fix version 1

docs/pkgs-ecmall.md

@@ -203,3 +203,21 @@ flowchart TD
 12. **入口限流与可观测**（E8、E18）：在 `httpMiddleware` 内对匿名路径加一个基于内存的简单计数限流；`http.Server` 补 `WriteTimeout`；按 `BSM_RuntimeMode` 设置 gin 模式；注册 `HEAD /` 健康端点。
 
 > 本报告只列与现有实现直接相关的修复项，不引入新的分层或抽象封装。审计中"合并两个聚合入口""为聚合引入配置中心/服务注册中心""把动态 RPC 改造成网关插件"一类改造不在此列。
+
+## 8. 整改记录（2026-09-22）
+
+> 本节记录按本报告结论执行的代码整改。整改遵循**最小修正**原则：未引入新框架、抽象层、DTO/VO、事件总线，未拆分服务边界，**未修改任何 `proto/*.proto` 与生成的 `pb/*.go`**；新增/修改注释均为中文；口令类摘要统一使用 bcrypt（验证码等短时效一次性凭证仍按原有 Redis 明文比对链路存储）。校验方式：`GOWORK=off go build ./...` + `GOWORK=off go vet ./...` + `gofmt -l`（仓库根 workspace 模式存在 genproto 拆包的 ambiguous import，属本机既有问题）。
+
+| 编号 | 级别 | 问题 | 处理结果 |
+| --- | --- | --- | --- |
+| E1 | 高 | JWT 密钥默认值是可直接使用的公开字面量 | 已修复：同 `pkgs/all` A3，显式拒绝公开默认密钥，缺失时启动失败（未改 SDK） |
+| E2 | 高 | session 密钥取未校验的 `SecretKey`（默认 `CHANGE_ME`） | 已修复：同 `pkgs/all` A2，增加非空与非公开默认值校验 |
+| E3 | 高 | 无 prod 配置，且构建脚本不覆盖 `pkgs/*` | 已修复：新增 `etc/default_prod.yaml`、`etc/default_test.yaml`；构建脚本覆盖聚合入口 |
+| E4 | 高 | gateway 404 与业务 `NotFound` 不可区分 | 已修复：同 `pkgs/all` A4，改用 `WithRoutingErrorHandler` 标记「路由未命中」，业务 `NotFound` 原样透出 |
+| E14 | 中 | 聚合不建表不播种，`Mgt.InitRootUser: true` 不生效 | 部分处理：聚合已打开自动迁移，启动时可为可达的模块建表；**播种（`InitData`/`InitRootUser`）位于各模块 `internal/` 下，聚合进程无法导入，未能执行**——需产品侧决策播种入口，未擅自扩大改动范围 |
+
+### 未纳入本轮范围
+
+报告中「中」「低」级别的项（分页上限、死代码、README 与实现不符、单测缺失、可维护性等）**本轮未处理**；如需继续，按各报告第 8 节「修复建议」的顺序推进即可。
+
+> 本轮整改未修改任何 `proto/*.proto` 与 `pb/*.go`，因此少数需要新增接口字段才能完整实现的项目（已在处理结果中标注）做了安全降级。