- ReferrerAuthenticator：验签+sub绑定+状态/审批门禁的唯一实现，过滤器与票桥共用
- SsoTicketController：issue 在鉴权链内（签发即完整认证）；consume 匿名 permitAll、
  票即凭证，消费端重验绑定与门禁后返回 token+clientUserBizId
- SsoTicketService/RedisReferrerTicketStore：30s TTL、Lua 原子取即焚、同票重放必拒
- audience 由单值 contains 改逗号分隔接受集合交集语义（工作台+小程序双应用，D2 口径）
- issue 单端点 CORS 白名单（referrer.ticket.allowed-origins，默认空=仅同源）
- ReferrerIdentityFilter 瘦身委托 authenticator，mock 兜底链路不变
- 单测 11 例；本地 9202 E2E：issue/consume/重放/假票/多值 aud 回归全过

对接前端 BACKEND-API-CHANGES v1.0，全部为新增字段，已在 local-prod
核对环境实测通过：

- 月结单详情：新增 mpfRemark/otherRemark/remark 与 payouts[] 打款
  细项（salary_remittance 全量，过滤批量生成的空白占位行）；
  items[] 新增 referrerName/periodPremium/paymentFrequency/
  paymentTerm/remark
- 保单列表：新增 paymentFrequency/nextPremiumDate(取续保日期)/
  effectiveDate
- 佣金弹窗：保留名目粒度（销售佣金/管理奖等分行、带预计/实际出账
  日），失效段不再混入明细行，新增头部合计 paidTotal/pipelineTotal/
  retainedTotal/lapsedTotal
- paymentFrequency 出口统一 ANNUAL/SEMI_ANNUAL/QUARTERLY/MONTHLY/
  SINGLE（趸缴）
- brokerRatio/myRatio 出口统一 0~1 小数（兼容库里三种脏格式）
- salary 表新增 mpf_remark 列（DDL 见 sql/salary_add_mpf_remark.sql，
  生产已执行）

本地搭建生产数据核对环境：csf-api 以 local-prod profile 连生产库
只读账号，同事经办公网访问本机逐人核对门户数据口径。

- DevMockIdentitySupplier/HeaderMockIdentitySupplier：dev 模拟身份，
  经 X-Mock-Broker-Biz-Id 请求头切换转介人，汇入 ReferrerIdentityFilter
  同一 applyIdentity 路径；@Profile("local-prod") Bean 级硬隔离，
  生产无 Bean 即物理禁用
- DevReferrerController + selectDevBrokerOptions：选人列表
  （salary 已推送 UNION policy_broker 归属，覆盖无保单归属单）
- bootstrap.yml local-prod 段：nacos.config/discovery 关闭。Nacos
  远程 property source 优先级高于本地 yml 且 override-none 对 Nacos
  无效，不关闭则测试库连接串静默覆盖生产只读配置
- application-local-prod.yml：全量自包含本地配置，生产库连接串经
  PROD_DB_* 环境变量注入（占位 fail-safe），敏感口令一律不入库
- XxlJobConfig：xxl.job.enabled=false 可关执行器，防本地抢定时任务

salary 表不存关联 ID，唯一锚点是月份；旧口径按
fortune.reconciliation_year_month == salary.month 匹配，但对账月与
出账月可错位（生产实例：202610 薪资单 ↔ 2026-09 对账月），导致
已推送月结单详情明细全空。

改为单据链：salary.month ↔ fortune_account.fortune_account_date
落同月（与薪资单生成校验 checkIsBilling 同口径，status=2 已出账）
→ fortune.fortune_account_biz_id（出账时回写）。

- 新增 GET /c/customer/list，以新单跟进记录为粒度输出客户进展阶段（8 态语义码）
- 仪表盘新增 caseCount（跟进记录数）与 followingCount（跟进中数，不含暂缓）
- 后端镜像基础镜像 temurin 8 改为 11-jre-jammy，修复 JDK 8 下 OIDC 校验失败导致的登录刷新循环