feat: 初始化平台总后台与核心API

docs/11-数据接口与安全.md

@@ -11,12 +11,12 @@
 
 | 数据域 | 核心实体 | 关键约束 |
 | --- | --- | --- |
-| 身份组织 | `idn_account`、`idn_role`、`idn_permission`、`org_gas_station`、`org_service_area`、`idn_emergency_contact` | 手机号/账号唯一；角色和数据范围均生效；紧急联系人授权范围单独记录 |
+| 身份组织 | `idn_account`、`idn_role`、`idn_permission`、`org_gas_station`、`org_service_area`、`org_service_person`、`org_user_service_relation`、`org_invitation_qr_code`、`idn_emergency_contact` | 手机号/账号唯一；角色和数据范围均生效；紧急联系人授权范围、二维码归因和服务关系历史单独记录 |
 | 设备 | `dev_device`、`dev_device_binding`、`dev_device_group`、`dev_cylinder`、`dev_telemetry`、`dev_command` | 设备序列号唯一；绑定有有效期与历史；命令含幂等键与回执；气瓶信息保留来源和有效期 |
 | 安全 | `saf_rule`、`saf_event`、`saf_repair_request`、`saf_inspection`、`saf_rectification` | 事件编号唯一；等级、状态、SLA、证据、操作者完整可追溯；报修图片/定位需有采集时间 |
 | 商品交易 | `cat_category`、`cat_product`、`cat_sku`、`cat_cart`、`cat_coupon`、`ord_order`、`ord_payment`、`ord_invoice` | 金额使用最小货币单位整数；库存扣减有事务/预占规则；预约时段、库存快照和开票状态可追溯 |
 | 履约 | `ord_service_task`、`dsp_assignment`、`ord_delivery_track`、`dsp_delivery_track_point` | 任务状态转换受限；定位、轨迹和证据均有采集时间 |
-| 资金与押金 | `wal_wallet_ledger`、`wal_deposit`、`wal_deposit_refund`、`wal_settlement`、`wal_withdrawal`、`wal_reconciliation` | 流水不可更新删除；金额方向、关联对象和余额快照可校验；退押金保留验收、扣减和退款去向 |
+| 资金与押金 | `wal_wallet_ledger`、`wal_deposit`、`wal_deposit_refund`、`wal_settlement`、`wal_withdrawal`、`wal_reconciliation` | `wal_wallet_ledger` 为唯一钱包事实流水；金额方向、关联对象和余额快照可校验；退押金保留验收、扣减和退款去向 |
 | 用气统计 | `dev_usage_stat`、`dev_usage_report` | 明确统计周期、单位、来源、计算版本和最后更新时间；报表导出留痕 |
 | 内容审计 | `cnt_article`、`cnt_banner`、`cnt_notice`、`aud_operation_log` | 发布有版本；审计日志追加写入且设置留存期限 |
 
@@ -64,7 +64,13 @@
 - 用户端只返回本人订单所需的简化轨迹、最近有效位置、预计到达和事件节点；配送点/气站/平台按组织和职责获取更详细数据。精确轨迹回放及导出应审批并记录用途。
 - 轨迹属于敏感定位数据，传输与存储加密、最小化留存、访问审计；订单完结后按留存策略降精度展示或限制访问。严禁将配送员非履约时间的位置用于无关用途。
 
-## 3.3 服务端 App 工单、取证与结算要求
+### 3.3 移动端离线、定位与现场证据要求
+
+- 服务端 App 只有在任务执行期间可采集后台定位；定位权限撤销、后台运行受限、精度不足或长时间无位置时必须提示服务人员并向任务记录写入状态，不得伪造实时轨迹。
+- 离线队列中的任务材料、定位点、照片/视频元数据、签名、扫描结果和收款确认必须本地加密。补传请求携带原始采集时间、服务端接收时间、`identity`、幂等键、来源和完整性标记；服务端按任务状态和证据哈希进行去重、乱序校正和冲突处置。
+- 定位、签名和现场证据的采集开关、保留时长、可见角色、精度降级与导出权限由平台配置；客户端展示或本地删除不能绕过服务端留存、审计和安全事件证据义务。
+
+### 3.4 服务端 App 工单、取证与结算要求
 
 | 场景 | 核心实体 | 必要数据与规则 |
 | --- | --- | --- |
@@ -73,7 +79,7 @@
 | 维修工单 | `ord_service_task`、`ord_repair_evidence`、`ord_repair_material`、`ord_repair_receipt` | 维修前中后证据、材料、价格快照、应收/实收、签字和支付差异可追溯；不能由服务人员修改订单定价 |
 | 安装工单 | `ord_installation_condition`、`ord_installation_material`、`ord_installation_step`、`ord_installation_test`、`ord_installation_receipt` | 使用条件、备料、安装步骤、测试、前期安检、设备激活和收款按顺序记录；不合格或测试失败不能完成/激活 |
 | 配送与回收 | `dsp_delivery_cylinder_scan`、`dsp_delivery_evidence`、`dsp_delivery_payment_confirmation`、`dsp_cylinder_return` | 气瓶/设备编码、蓝牙/扫码来源、随瓶安检照片视频、收款确认、空瓶回收、押金和库存状态均与配送任务关联 |
-| 服务收入 | `wal_service_income`、`wal_service_withdrawal`、`wal_bank_card` | 收入由已完成且符合结算规则的任务生成；提现以可提现余额、银行卡验证、审核和打款回执为准 |
+| 服务收入 | `wal_service_income`、`wal_withdrawal`、`wal_bank_card` | 收入由已完成且符合结算规则的任务生成；`wal_withdrawal` 是所有钱包提现的唯一实体，以可提现余额、银行卡验证、审核和打款回执为准 |
 
 - 现场照片、视频、电子签字、蓝牙扫描、定位和收款确认属于取证数据。必须记录原始采集时间、服务端接收时间、任务、操作者、来源、完整性标记和对象存储哈希；客户端离线补传不得覆盖原始采集时间。
 - 强制取证项由任务类型、设备型号、风险等级和组织规则确定。服务端在工单完成前校验必填检查项、照片/视频数量、签字、地理围栏、材料和支付状态，前端按钮禁用不能替代服务端校验。