版本：v1.0｜执行：小齐｜时间：2026-09-14 00:3x｜基线 HEAD：9b88ece9（推送后0ef1efe3）
依据设计文档：docs/reports/gpt6-评审-2026-09-13/03-波波小齐苦力活长线包设计.md
判据：关键路径全绿；阻断缺陷为 0；非阻断缺陷有 owner
Q08「回归巡检与发布回执包」。目标：对当前任务池执行冒烟与回归，输出发布回执（是否可发布）、缺陷闭环表（每条有 owner 与状态）。
产出仅入 docs/delivery/evidence/verify/318/ + 回执 + TASKS 行尾；不改核心代码。
| # | 项 | 命令 | 结果 |
|---|---|---|---|
| 1 | 三端 typecheck | bash docs/tools/verify_tsc.sh | ✅ TSC_ALL_EXIT=0（miniprogram / b-workbench / admin-console 均 EXIT=0 ERRORS=0） |
| 2 | 三端 build | bash docs/tools/verify_build.sh | ✅ BUILD_ALL_EXIT=0 |
| 3 | staging 冒烟 | bash docs/tools/verify_smoke.sh | ✅ SMOKE_ALL_EXIT=0（health 200 / 商品 200 / 商户 200） |
| 4 | 集成深验 | bash docs/tools/verify_deep.sh | ✅ 11 PASS（幂等 / 锁价 / 状态机 409 / 过期会话 401 / 下单·列表·详情·退款预览·取消 200） |
| 5 | 契约一致性 | python3 docs/tools/verify_contract.py | ⚠️ 契约 356 vs 实现 399、对齐 345（漂移仍在，P2） |
| 6 | P0 十域覆盖 | python3 docs/tools/verify_p0_coverage.py | ⚠️ 见 Q01 矩阵（④退款/⑤消息/⑥核销 在位） |
关键路径结论：全绿（1-4 项）；5-6 项为一致性/覆盖提示，非阻断。
| 判据 | 要求 | 实测 | 是否满足 |
|---|---|---|---|
| 关键路径全绿 | 是 | ✅ 全绿 | ✅ |
| 阻断缺陷为 0 | 是 | ❌ 存在 1 个 P0 | ❌ |
| 非阻断缺陷有 owner | 是 | ✅ 全部有 owner | ✅ |
阻断项：Q01-D01 支付回调 POST /api/miniapp/pay/notify 无鉴权、无验签（P0 阻断·资金）。
按设计文档 §3.2：P0 阻断＝「资金、库存、权限、状态机、数据一致性错误」⇒ 禁止合并/发布，立即回核心席。
解除条件：补微信 APIv3 验签；未过验签返回 4xx 且不改订单状态；沙箱闸门由服务端环境变量控制；小齐复验通过后本回执转「可发布」。
| 编号 | 摘要 | 等级 | Owner | 状态 |
|---|---|---|---|---|
| Q01-D02 | /me/assets-overview 无 user 参数、恒返零态 | P1 | 域⑦/⑨（阿仁+一号） | 待修 |
| Q01-D03 | 契约漂移 356 vs 399 | P2 | 波波（B01） | 待修 |
| Q04-D01 | 营业时间字段缺失 | P2 | 波波 B05 + 核心席 | 待定/待修 |
| Q04-D02 | 收款账户无承载字段 | P2 | 阿仁（核心席） | 待确认承载位置 |
| Q04-D03 | 公开接口明文返回商户电话 | P2 | 核心席定口径 + 波波 B02 | 待定 |
| Q07-D01 | 审计留痕仅 payment_mode_change（5 行） | P1 | 阿仁 + 波波 B02/B08 | 待修 |
| Q07-D02 | 注销/导出/隐私设置端点零命中 | P1（合规） | 核心席 + 波波（契约） | 待刘总/核心席定是否本期 |
| D-02（历史） | 257 144fa8bc 空提交冒充交付 | P2 | 二号 | 待回执注明勿引错 hash |
| D-03（历史） | 257 误提构建产物 server/dist/tsconfig.tsbuildinfo | P2 | 二号 | 待清理+gitignore |
| OBS-01 | rating/reviewCount 与「商户平等·无评分」红线口径 | 待拍板 | 刘总 | 待拍板 |
| 🔴 安全（历史） | .env 在版本控制内（ADMIN_API_KEY / DATABASE_URL） | 红线 | 二号清理 + R1 复核 | 复核未清除 |
.env 清仓与密钥轮换（若含真实密钥）