fix version 1

docs/workspace-and-scripts.md

@@ -177,3 +177,20 @@ flowchart TD
 10. **补最小 CI**（W7）：即使不引入完整流水线，也可以在仓库内加一个"提交前执行 `scripts/verify-workspace.sh`"的钩子说明或最简 CI 任务（运行同一个脚本即可，无需新增脚本）。这一步只是让已有门禁真正生效，不新增框架或抽象层。
 
 > 本报告只列与现有脚本/工作区定义直接相关的修复项，不引入新的构建系统、包管理抽象或 CI 框架。审计中"引入统一 Makefile/任务编排器""把脚本重写为 Go 工具""给工作区引入私有 module proxy"一类改造不在此列。
+
+## 8. 整改记录（2026-09-22）
+
+> 本节记录按本报告结论执行的代码整改。整改遵循**最小修正**原则：未引入新框架、抽象层、DTO/VO、事件总线，未拆分服务边界，**未修改任何 `proto/*.proto` 与生成的 `pb/*.go`**；新增/修改注释均为中文；口令类摘要统一使用 bcrypt（验证码等短时效一次性凭证仍按原有 Redis 明文比对链路存储）。校验方式：`GOWORK=off go build ./...` + `GOWORK=off go vet ./...` + `gofmt -l`（仓库根 workspace 模式存在 genproto 拆包的 ambiguous import，属本机既有问题）。
+
+| 编号 | 级别 | 问题 | 处理结果 |
+| --- | --- | --- | --- |
+| W1 | 高 | `api-docgen` 在当前检出下无法构建，且不在工作区与任何脚本覆盖范围内 | 已修复：整理其 `go.mod`/`go.sum` 后可 `GOWORK=off go build ./...`，并纳入工作区与 `update-all.sh`/`verify-workspace.*` 的检查范围 |
+| W2 | 高 | `api-docgen` 依赖版本与工作区长期漂移（6 处） | 已修复：把这 6 个包的版本对齐到工作区其它模块使用的版本，未顺手升级其它依赖 |
+| W6 | 中 | `verify-workspace.*` 对空模块列表静默成功、gofmt 不覆盖 `scripts/`、CRLF 文件必然失败 | 已一并处理：空模块列表改为报错退出非 0，门禁纳入 `scripts/` 下独立 module，并新增根目录 `.gitattributes`（`*.go`/`*.sh` 按 LF 检出） |
+| W3 | 中 | `go.work` 的 SDK `replace` 指向仓库外相对路径 | 已处理（文档化 + 前置校验）：保留 `replace`，在 `verify-workspace.*` 增加 SDK 目录存在性前置检查并输出中文提示，同时在根 `README.md` 补充「本地开发前提」 |
+
+### 未纳入本轮范围
+
+报告中「中」「低」级别的项（分页上限、死代码、README 与实现不符、单测缺失、可维护性等）**本轮未处理**；如需继续，按各报告第 8 节「修复建议」的顺序推进即可。
+
+> 本轮整改未修改任何 `proto/*.proto` 与 `pb/*.go`，因此少数需要新增接口字段才能完整实现的项目（已在处理结果中标注）做了安全降级。