交付出件箱

← 返回出件箱

Phase 83 批次五 · 登录改造 + 家长号新编码 · 技术方案

2026-09-24 · 阶段 3 architecture · 分支 feature/subseat-login-v2（基线 e6770bb7；origin/test 已到 498b8252，多出 3 个 MR 共 11 个文件，只动聊天后端与测试，与本方案 184 处代码引用 0 重叠 —— 9-24 深夜自检 D1 实测；开工第一步 rebase 到最新 origin/test）
需求口径唯一来源：~/reports/subseat-login-v2-plan-20260923.md §十三（16 条拍板 + 5 条红线 + 「9-24 补充 · 实施必看」8 条）
方案图定稿：~/reports/subseat-login-plan-v2-20260924.html（r12，16 块）；自检报告：~/reports/subseat-login-mockup-selfcheck-20260924.md
本文所有 file:line 均为 9-24 物理 grep / sed 取证；9-24 深夜自检用脚本把 184 处引用逐条复核（180 处一致，4 处 ±1 行已校正），行号以基线 e6770bb7 为准。

一、改动总览

不做：短信验证码（决策 12）、换绑（决策 13）、老号改格式（决策 1）、把登录从 chat/page.tsx 拆出去（与首页改版会话约定，见第十一节）。

二、数据库（一个迁移 phase83_002）

2.1 迁移挂载

• down_revision = "phase83_001"（migrations/versions/phase83_001_seat_seq_counter.py:24 revision 原文；grep -rn "down_revision.*phase83_001" migrations/versions/ 0 命中 → 它是叶子）
• ⚠️ 仓库现有 3 个 head：34ec94466f0c / phase79_001 / phase83_001（alembic heads 实测）。批次五只接 phase83_001 这一支，不做 merge heads（历史债，不在本批范围）
• ⚠️ app/models/user.py:46 写着 phone = Column(String(20), unique=True, ...)，但生产 / test 库实际是 phase74_001 建的三个带条件唯一索引（uq_users_phone_h5 / _store / _parent，9-24 生产 pg_indexes 实查）。迁移必须手写，禁止 autogenerate，否则会生成错误的全表唯一约束
• 生产 alembic 停在 phase48a_002 → #730-#733 必须先上生产（硬依赖不变）

2.2 三处结构变更

• organizations 现有列清单（app/models/organization.py:11-59）无任何前缀字段；全仓 grep -rn "subseat_prefix\|seat_prefix\|org_prefix" app/ migrations/ 0 命中 → 均为新增
• 新文件 git ls-files 均为 0：migrations/versions/phase83_002_subseat_prefix_and_phone_login.py、app/models/org_parent_seat_counter.py

2.3 老计数表

seat_seq_counter（phase83_001 建，app/models/seat_seq_counter.py 复合 PK (period, seat_kind)）只被家长取号用（门店走 _gen_unique_username seat_service.py:129-170，不碰它）。批次五家长取号换成按机构计数后它不再被写入：表保留不删（删表要迁移、且无收益），_alloc_seq_batch 若成孤儿函数则同批删除，表的去留记为技术债。

三、取号（app/services/seat_service.py）

3.1 现状

• generate_seats :261-359，家长 / 门店分叉 :305-317（seat_type == _PARENT_SEAT_KIND 才走 _alloc_parent_usernames）
• _alloc_seq_batch :186-210（pg_insert(SeatSeqCounter)...on_conflict_do_update(...).returning(last_seq) 原子批量）
• _alloc_parent_usernames :213-255，拼装 :239 f"{seq:06d}{period}"，批量 username.in_() 查重、最多 5 轮
• 建号字段 :319-334：must_change_password=True、seat_type、seat_source（不传则走模型默认 platform）；不设 phone

3.2 改成

1. 家长分支先读 Organization.subseat_prefix：
2. 为空 → HTTPException(409, detail="该机构还没设置子席位账号前缀，请先到『机构管理 → 更多 → 子席位前缀』里设置")
3. 取号照抄现有原子写法，换表：pg_insert(OrgParentSeatCounter).values(org_id=..., last_seq=100000 + count).on_conflict_do_update(index_elements=["org_id"], set_={"last_seq": OrgParentSeatCounter.last_seq + count}).returning(last_seq) → 区间 new_max-count+1 .. new_max
4. 超上限靠 §2.2 的 CHECK（last_seq BETWEEN 100000 AND 999999）：UPSERT 超限时 db.execute 直接抛 IntegrityError，不会返回 new_max，所以不写「执行后比较 new_max」的死代码；取号函数内部自己 try/except IntegrityError → await db.rollback() → HTTPException(409, "该机构家长账号编号已用完，请联系平台")。⚠️ 现有调用点 seat_service.py:307 在 try（:311）之外，外层 except IntegrityError（:343）兜不到，不在函数内捕获就是裸 500
5. 沿用现有「取号后立即 commit 放锁」（:237-238）：后面建号失败时这一批号段作废不回收（:347-348 注释），下一批接着往后排，号码出现空档属正常（极少，只在建号撞车时发生）
6. 拼装：f"{prefix}{seq:06d}"（例 BF100001）。保留批量 username.in_() 查重 + 轮数上限（username 全表唯一 user.py:33，手工建的后台账号理论上可能撞）
7. 所有新建席位（门店 + 家长，含品牌码）一律 phone_login_enabled=True（决策 3：新席位开）
8. 门店号生成（_gen_unique_username）一行不改；internal_settlement.py:577/698/1643 三处调用均未传 seat_type → 开的是门店号，不受前缀影响；另有后台「生成席位」admin_seats.py:126（POST /api/admin/orgs/{org_id}/seats/generate）同样不传 seat_type → 门店号，也不受前缀影响（9-24 深夜自检 D7 补）

3.3 前缀锁定

「开过号」= org_parent_seat_counter 有该机构的行且 last_seq > 100000。锁定后前缀不许改（决策 1）。

四、前缀维护接口（新文件 app/api/admin_org_subseat_prefix.py）

• 照 app/api/admin_brand_code.py 的写法：router = APIRouter(prefix="/api/admin/orgs", ...)（admin_brand_code.py:41）、require_role("admin")
• 注册：app/main.py:49 import 列表 + include_router（照 :233 品牌码写法）
• 接口：

• PUT 校验顺序与报错原文（方案图第 12 块三种状态）：
• 不符合 ^[A-Z]{1,6}$ → 422 "只能填 1-6 个英文字母"
• 已锁定且值有变化 → 409 "已开过子席位，前缀不能再改"
• 被别的机构占用（先查，再靠唯一索引 IntegrityError 兜底） → 409 "前缀 BF 已被其他机构使用，请换一个"
• 不支持清空（设了就一直有；品牌码开启依赖它）
• 带出前缀给前端：
• 机构列表 GET /api/v1/admin/orgs：app/api/api_v1.py list_orgs（:288-289），返回模型 OrgItem（:225-261）加 subseat_prefix: Optional[str]
• 门店卡片 GET /api/h5/store-card（app/api/h5_store_card.py:229）加 subseat_prefix_set: bool（门店端只需要知道有没有，不给前缀值）

五、开号 / 开品牌码守门

六、登录接口（app/api/seat_auth.py seat_login :152-457）

6.1 现状步骤（行号）

IP 限流 :183-224 → 查用户 + 冷却 :226-238（按 User.username == username 精确查 :228-235）→ 验密码 :241-255 → is_active :260-265 → org_code :267-284 → 机构停用 :299-304 → 席位到期 :306-312 → 家长必带微信身份 403 :314-330 → 微信绑定：非本人 403 :351-363 / 已绑未带 token :369-384 → 写设备 :386-396 → 审计 + 签发 :398-418 → 下发开关 :420-457（响应含 must_change_password :454）

失败告警：app/main.py:116 _LOGIN_PATHS 命中 /api/seat/login 且状态 ∈ {401,403,423,429} → schedule_login_fail_alert（main.py:163-164 → alert_notifier.py:111）；免告警名单 alert_notifier.py:44 _NOT_ALERTABLE（(module, error_type) 集合，:56 判断）。error_type 由 main.py:139 拼成 seat_login_{状态码}——手机号查无此人和密码错都是 seat_login_401，光靠状态码分不开；push_alert 先查 is_alertable（alert_notifier.py:338）再看 _force（:342），所以名单对登录告警有效（9-24 自检已读代码）

6.2 改成（只在「查用户」这一步前后加分支，后面步骤一律照走）

请求体加两个可选字段：scene: Literal["chat","store","tablet","parent"] = "chat"、chosen_username: Optional[str] = None

1. 输入像手机号（^1\d{10}$）→ 手机号分支（9-24 深夜实查：生产 173 个 / test 303 个席位里账号长得像手机号的 0 个，这个分支不会误伤任何现有账号）：
2. 候选 = role='org_seat' 且 phone = 输入 且 phone_login_enabled 且 must_change_password = false，再按 scene 过滤（store / tablet 只要门店号；parent 只要家长号；chat 门店 + 家长都要）（门店号判定照现有惯例 or_(User.seat_type.is_(None), User.seat_type == "store")，seat_service.py:154）；查询必须用 .scalars().all() 取全部（最多 2 条：门店一条 + 家长一条，分边唯一索引 phase74_001_parent_subseat_foundation.py:92-103），不许照抄本文件 :228-235 的 scalar_one_or_none()（2 条时抛 MultipleResultsFound → 500）
3. 0 个 → 401 通用文案；不计冷却、不推告警（红线 5）。做法（9-24 自检读代码定）：① 抛 401 前设 request.state.login_fail_kind = "phone_not_found"；② main.py:139 算 error_type 时见到这个标记就加后缀 → seat_login_401_phone_not_found；③ _NOT_ALERTABLE 加 ("login_fail", "seat_login_401_phone_not_found")。日志照落，只是不推群。记账照现有「查无此账号」同款调 register_login_failure(None, 打码手机号, reason="phone_not_found")：没有席位行就不会冷却（auth_service.py:150 要 user is not None 才锁），但 login_attempts 照写，IP 限流（seat_auth.py:190-224）仍生效，防人拿一堆手机号乱试。审计里手机号打码（138****1234，红线 2）
4. 1 个 → 就是它，往下照走
5. 2 个（只可能是 chat 场景的门店新号 + 家长新号，因为同一边手机号唯一）→ 两个都验密码：
   • 都不对 → 两个号各记一次失败（照常冷却）
   • 只对一个 → 进那个号
   • 两个都对 → 409 {code:"multiple_accounts", candidates:[{username, seat_type}]}（结构照抄找回密码 seat-forgot-password-sheet.tsx:82-86 消费的那个），前端让选后带 chosen_username 重提交，后端只在这两个候选里取
6. 找到号以后的失败记账一律用 seat.username，不用手机号：冷却按 LoginAttempt.username 数次数（auth_service.py:139-150），用账号记才能和同一个号用账号输错的次数算在一起；手机号只进审计 detail 且打码（红线 2）
7. 否则按账号：strip() 后先原样精确查（和现在 :231 一样）；查不到、且输入里有小写字母，再按 upper() 查一次（决策 2：只改这个接口，/api/auth/login 一字不动）。⚠️ 不能整体转大写再查：9-24 实查生产 173 个席位里有 12 个门店号的账号带小写字母（test 303 个里 18 个；家长号 0 个），整体转大写这 12 个人当场登不进（全表账号只差大小写的撞车：生产 / test 均 0 组 → 转大写兜底不会串号）。前端也不许替用户转大写
8. 查到的是「设好密码的新号」（phone_login_enabled and not must_change_password and phone 非空）→ 401 通用文案（新号只认手机号，决策 14）。⚠️ 必须带「phone 非空」，和 7.1 的 login_by = phone 判定一字不差：新号没设过密码就先走了自助找回（seat_auth.py:851 把 must_change 置 False，不收手机号）→ 没手机号 → 手机号查不到、账号又被拒 → 彻底登不进。带上这条，这种号继续用账号登
9. 这类 401 照常推告警（红线 5 只免「手机号查无此人」，不扩大）；误报靠第 3 条的撤告警解决
10. scene 为 store / tablet 而查到家长号、或 scene 为 parent 而查到门店号 → 401（决策 14：门店专用页只找门店号，家长专用页只找家长号）
11. 其余照原流程（老号、第一次登录的新号、刚被重置的新号都走账号）
12. 两个分支之后的所有检查原样执行，尤其微信绑定 403（决策 15：手机号登录必须过这道锁，同时收掉「手机号当登录名安全降级」的顾虑）
13. 登录成功撤告警（seat_auth.py:400 note_login_success(username)）改成按输入值、seat.username、seat.phone（有才撤）各撤一次：现在只按输入值撤，改成手机号登录后，之前用账号输错挂起的告警撤不掉，180 秒后误报（alert_notifier.py:84-98 按 key 删）
14. 响应加 phone_login_enabled: bool（前端初始化弹窗据此决定写法，见 9.2）

6.3 scene 怎么传

SeatLoginSheet 挂载点（grep -rn "<SeatLoginSheet" web/app）：

（store-refractive/_components/create-patient-sheet.tsx:133 只是注释提到 SeatLoginSheet，不是挂载点）

七、微信反查 / 找回 / 改密

7.1 微信反查（红线 3：只加字段不改语义）

• /api/seat/wx-identity（seat_auth.py:463-537）现返回 wx_identity_token / nickname / avatar / seat_username / h5_user_*；seat_username 来自 lookup_seat_username_by_wx(unionid, openid, db)（:510，不传 return_all 即默认 False），命中多条 / 停用 / 无身份时为 None（seat_service.py:736-741）
• 加一个字段 bound_seats: [{seat_type, login_by: "account"|"phone", fill: <账号或手机号>}]，在 wx-identity 端点里另写一条查询算出来：条件照抄 lookup_seat_username_by_wx（role='org_seat'、is_active、seat_bound_unionid / seat_bound_openid 任一命中），多取 seat_type / phone_login_enabled / must_change_password / phone；不改 lookup_seat_username_by_wx 本身——它的 return_all=True 被找回密码候选列表（seat_auth.py:815）共用，改返回结构就打坏候选（红线 3）。seat_type 为 NULL 按门店（照 seat_service.py:154 的 or_(User.seat_type.is_(None), User.seat_type == "store") 惯例；9-24 深夜生产 / test 实查 NULL 均 0 个）。login_by = phone 当且仅当 phone_login_enabled and not must_change_password and phone
• seat_username 保持原语义不动（被找回密码入口 seat-login-sheet.tsx:402 与自动填账号共用）

7.2 找回密码（seat_auth.py:789-869）

• 现返回 {"username": seat.username}（:870），前端回填账号（seat-login-sheet.tsx:415-430 setUsername(u)；平板 :386-401）
• 加字段 login_phone：该席位 login_by = phone 时给手机号，否则 null；前端有 login_phone 就回填手机号（补充 1：不然新号回填账号会被拒）
• 找回成功本身已把 must_change_password 置 false（:851），手机号不变 → 新号找回后照常手机号登录

7.3 改密（seat_auth.py:706-773）

• 现状 contact_phone 可选（:733-738）；请求体没有区分首登 / 设置页的字段
• 改：seat.must_change_password 为真（第一次设密码、刚被重置、品牌码家长首次设置）时 contact_phone 必填，缺 → 422 "请填写手机号"（决策 6，后端锁）；设置页改密（must_change_password 为假）照旧可不传。顺序：「必填」判断放在查出 seat（:741-745）之后单独判；:731-738 现有格式校验原位不动（只在传了时校验格式）
• 撞号沿用现有 409 "该手机号已被其他账号使用"（:756-759），弹窗原样显示后端 detail（seat-change-password-sheet.tsx:91）——长官 9-24 定：提示文案够用、不改（手机号栏标题 9-24 晚另改为统一「手机号」，见 9.2）

八、品牌码家长

改：

1. 删掉 brand_code_service.py:110 那行 → 新扫码家长保持 must_change_password=True（推翻原「永远免密」设计，决策 11）；phone_login_enabled=True 由第三节统一给
2. 激活返回体加 must_change_password（brand_code_public.py:31 响应模型同步加）
3. 前端在扫码落地时存下这个标志；点任意功能先弹设置框（第九节 9.3）
4. 生产品牌码 0 个 / 开通 0 条（9-24 count + n_live_tup 双查）→ 不做存量回填；前提：批次五上线前生产不开品牌码
5. 品牌码后台页（决策 13，依据见方案文档 §十三「决策 13 的依据」）：
6. ActivationRecord（admin_brand_code.py:128-142）加 family_seat_phone；_bulk_enrich_family_seats（:183-239）顺带取 users.phone
7. 名单 GET .../brand-code/activations（:423-436）与导出 GET .../brand-code/export（:670-681）都带手机号
8. 重置密码直接复用 POST /api/admin/parent-seats/{seat_id}/reset-password（admin_parent_seats.py:302-309）；守门 get_parent_seat_or_404（parent_seat_service.py:280-289）只认 role/seat_type，不看 seat_source → 后端零改动
9. ⚠️ 结算侧清理会误删品牌码家长（9-24 深夜自检补）：_purge_undelivered_seats（internal_settlement.py:381，条件 :396-400，调用 :536 / :692）把「must_change_password=True 且 last_login_at IS NULL 且 id 在水位以上」的席位当没交付的孤儿直接删除；品牌码激活从不写 last_login_at（brand_code_service.py 0 处），本批改成 must_change_password=True 后，正在用的品牌码家长就符合这个条件。改：删除条件加 or_(User.seat_type.is_(None), User.seat_type == "store")——结算开通只建门店号（internal_settlement.py:577/698/1643 都不传 seat_type），只删门店号正好对上，家长号（后台开 / 门店开 / 品牌码）一律不碰。测试：水位以上造一个品牌码家长（must_change=True、last_login_at 空）+ 一个结算孤儿门店号，跑清理，前者还在、后者被删

九、前端

9.1 登录框（两份复制代码必须同步：红线 4）

改：
1. 读 bound_seats（新 sessionStorage 键，wx-oauth.ts:71-91 setWxIdentityToken 旁加存取），按本页 scene 过滤后定框的写法：没有 / 全是账号 → 「席位账号」；全是手机号 → 「手机号」；两种都有 → 「手机号或账号」（决策 14，方案图第 2 / 5 / 9 块）
2. 自动填：过滤后恰好一个号才填（手机号或账号），提示语跟着变（第 6 块）；手机号框的密码占位符恒为「密码」
3. 手机号拦截（isPhoneLikeUsername）只在「席位账号」写法下生效；文案 seat-login-hints.ts:13-14 改成「席位账号不是手机号，请输入提供给您的账号」（第 16 块）
4. 提交 body 加 scene、chosen_username
5. 收到 409 multiple_accounts → 弹选账号框，照抄 seat-forgot-password-sheet.tsx:141-165 候选列表（账号 + 「门店版 / 家长版」，不显示店名，第 8 块）；找回密码框本身一行不动（决策 16）
6. 找回成功回填：改 seat-forgot-password-sheet.tsx 三处——:23 onSuccess 签名加第三参 loginPhone?: string、:100 响应类型加 login_phone?: string、:106 传出 data.login_phone；两份登录框回填处（手机端 :415-430、平板 :386-401）有 loginPhone 就填手机号并切到「手机号」写法，没有照旧填账号。找回密码框的界面与候选列表一行不动（决策 16 指界面）
7. 微信授权回跳处把 bound_seats 一起存下——两处都要改（红线 4）：手机端 chat/page.tsx:924-991（setWxIdentityToken 调用 :975-980）、平板 tablet/page.tsx:338-343（同款调用）。漏平板 → 平板登录框拿不到 bound_seats，新号在平板上退回「席位账号」写法

9.2 初始化弹窗（chat/components/seat-change-password-sheet.tsx）

• 现状：标题 :153；phoneLabel :37（isParent ? "家长手机号" : "门店联系电话"，isParent 来自 :36 getSeatType()）；底部 :277-284「设置后，管理员给您的初始密码立即失效，以后请用您自己设的这个密码登录」；props :22-32（onSuccess / collectPhone / onClose）；弹窗现在就不显示账号（全文件只有 :163「为保护账号安全…」一处提到"账号"），决策 7「不显示账号」无需改动
• 手机号栏标题统一叫「手机号」（9-24 长官令）：删 :37 phoneLabel 三元式，家长版 / 门店版、新号 / 老号一律显示「手机号」；:36 isParent 随之无用删除；:17 import 里的 getSeatType 本文件别处 0 处引用，一并删（孤儿清理）。老号首登弹窗这一栏也跟着改名。测试 web/app/h5/chat/components/__tests__/seat-change-password-sheet.spec.tsx:93-95 原断言「门店联系电话」改为「手机号」，并加家长身份下也显示「手机号」的用例
• 加 prop phoneLogin?: boolean（默认 false = 老号，除手机号栏标题外文案一字不变）、variant?: "default" | "brand_code"
• phoneLogin 为真：手机号标题旁加「用于登录」小标签；底部改「设置后，管理员给您的初始密码立即失效，以后请用手机号 + 这个密码登录」（第 4 / 11 块）
• variant="brand_code"：底部只留「以后请用手机号 + 这个密码登录」，标题不变（第 7 块）
• 调用方：登录框改密分支传 phoneLogin={data.phone_login_enabled}；品牌码拦截传 phoneLogin variant="brand_code"
• ⚠️ 设置页「修改密码」也要改（9-24 自检补）：h5/settings/components/ParentAccountCard.tsx:272 写死 collectPhone={false}。品牌码家长还没设密码（9.3 的标志为真）时从设置页点「修改密码」→ 按 7.3 后端要手机号 → 422「请填写手机号」，弹窗里却没有手机号栏，卡死。改：标志为真时传 collectPhone phoneLogin variant="brand_code"，设完清标志；标志为假照旧 collectPhone={false}

9.3 品牌码家长「点任意功能先设密码」（chat/page.tsx）

入口处理函数（前端调查 F6）：handleStart4L 定义 :1634（入口 :3108-3110、:2670-2690）、handleOpenHistory :1970（入口 :3122-3124、:3019-3021）、sendText :2012（发送 :3269-3270、回车 :3261-3263）、视光档案 router.push :3087-3089、查同款案例 :2670-2690。「也许想问」Q1-Q3（:2720-2725）只填输入框不发送 → 不拦，发送时由 sendText 拦。另有 2 个直接跳转的功能入口也要拦（9-24 深夜复核按显示条件确认）：首页胶囊区是 isParentSeat ? (家长) : (其他)（:3013 / :3082），家长那一支里只有 4 个按钮——历史解读 :3021（handleOpenHistory，已在上面）、个人档案 router.push("/h5/family") :3037、近视的世界 window.location.href = "/myopia-world.html" :3053、关于赵阳智脑 :3069（只打开说明弹窗，不拦）。要补拦的就是 :3037 和 :3053。抗近领航 :3143、谣言粉碎机 :3161、近视的世界 :3179、视光档案 :3089 都在 :3082 之后的非家长分支，家长看不到，不用拦（上面列的视光档案 :3087-3089 同理，可不加）。设置页（侧栏 menu-sidebar.tsx:284）不拦——设置页「修改密码」已按 9.2 带手机号栏。

加一个 requireSeatPasswordSetup()：家长席位且「要设密码」标志为真 → 弹 9.2 的弹窗（variant="brand_code"）并 return；设完清标志。在上面这些处理函数 / onClick 开头各加一行调用。

标志存 localStorage，跟席位登录态同处（chat/lib/auth.ts:9-19 席位 token / 昵称都是 localStorage）：扫码落地是整页跳转（brand-scan/page.tsx:99），只放内存会丢。清除点四处（逐一落到行）：① 设密码成功后；② clearSeatToken()（chat/lib/auth.ts:585，登出 / 鉴权失效共 10 个文件都经过它）里加一行；③④ 两份登录框密码登录成功处，紧跟 setSeatToken(data.access_token) 之后（手机端 seat-login-sheet.tsx:192、平板 tablet/components/seat-login.tsx:168），防换人登录被残留标志误拦。⚠️ 不许放进 setSeatToken() 本体：token 刷新 auth.ts:682 也调它，放进去品牌码家长一刷新就绕过设密码（激活返回 ActivateResponse brand_code_public.py:30-36 不带账号、前端也没存当前账号，所以不做「标志存账号」）
⚠️ chat/page.tsx 是 chat-e2e 守门文件（协议 C 第 14 项），提交前必须 bash scripts/verify.sh chat-e2e。

9.4 后台 / 门店端四处前缀提示

橙字提示色值：text-amber-600（#d97706），出处 admin/orgs/page.tsx:121（方案图附录第 21 条已核）。

9.5 品牌码后台页（admin/orgs/[id]/brand-code/page.tsx）

• 表头 :590-600 在「用户」后加「手机号」列（空值「—」，样式照 parent-seats/page.tsx:971「家长手机」列）
• 操作列 :634-652 在「停用 · 延期」后加「重置密码」（样式照 parent-seats/page.tsx:1035；family_seat_user_id == null 时与现有两个按钮一样置灰）
• 二次确认 + 发号卡片：照 parent-seats/page.tsx:1110 确认文案与 :334 卡片（账号 + 新密码；长官 9-24 定：卡片照旧给账号）
• 重新启用失败提示：[id]/brand-code/page.tsx:374 现在只弹「操作失败，请稍后重试」，改成显示后端原因（detail），这样没前缀被第五节 409 拦下时能看到「请先设置前缀」。生产现有品牌码 0 个、上线后开品牌码必须先设前缀且前缀不能清空，只有 test 旧数据会碰到；本页不加任何预先提示（长官 9-24 定）

9.6 记住密码（两份登录框 + 初始化弹窗 · 9-24 深夜自检补）

• 现状：登录成功存「输入的账号 + 密码」（手机端 seat-login-sheet.tsx:198、平板 tablet/components/seat-login.tsx:172 setRememberedSeatCredentials(username.trim(), password)）；下次打开本机记住的优先于微信带入（手机端 :90-108，注释「本机记住的优先」；平板 :75 起同款）；初始化弹窗设完密码只更新记住的密码、不动账号（seat-change-password-sheet.tsx:95-99，注释「用户名不变故不动」）
• 问题：新号第一次用「账号 + 初始密码」登录 → 记住的是账号；设完密码后下次打开，框是「手机号」写法却预填了账号 → 一点登录被拒（新号只认手机号），再由 resolveLoginFailureHint 清掉记住的内容——每个新号下次需要重新登录时（退出登录、登录过期等）第一次都要报错一次
• 改：① 初始化弹窗 phoneLogin 为真且设密码成功时，记住的账号一并改成刚填的手机号（键 seat_remember_username，与 :99 写密码同处）；② 两份登录框挂载时，记住的账号与本框写法不符（「手机号」写法下不像手机号 / 「席位账号」写法下像手机号）就不用它，改走 bound_seats 自动填（红线 4：两份同步）；③ 品牌码家长走 9.3 设完密码同 ①

十、测试（协议：no-mock，真 PG / 真后端）

预存失败先存档：test_phase74_admin_parent_seats.py 已知 3 个预存失败（测试里家长登录没带微信身份，被 seat_auth.py:314-330 403）。动手前先在基线跑一遍，把 3 个用例名 + 失败原因原文存档；本批改了登录分支，改完逐条比对失败原因有没有变。这 3 个用例本批顺手修（测试里补微信身份），修后 25 个全绿

找回密码组件 seat-forgot-password-sheet.tsx 没有任何测试（前端调查 F12）：本批只改回调多传一个字段、界面不动；新建 web/app/h5/chat/components/__tests__/seat-forgot-password-sheet.spec.tsx 补一个最小用例（响应带 login_phone 时 onSuccess 收到第三参）

十一、与首页改版会话的约定

首页改版总方案（~/reports/CLOUD-SESSION-HANDOFF-20260924-home-master.md 第 26-28 行）提了两件：

1. 「一个微信多个家长号，主登录 seat_auth.py:510 不带 return_all → 退回手输」：批次五不做按微信选账号。登录框写法按「这个微信登过哪些号」定；选账号框只在「同一手机号的门店新号 + 家长新号、密码一样」时出。生产同一微信绑 ≥2 个家长号 = 0（9-24 seatops 实查）。扫码绑定要「多账号先选账号」请用 lookup_seat_username_by_wx(return_all=True)，批次五不改它的语义
2. 「谁把登录从 chat/page.tsx 拆出来」：批次五不拆，只在 chat/page.tsx 动两处小改：9.1 第 7 条（OAuth 回跳多存一个字段）与 9.3（所列功能入口开头各加一行拦截）。首页改版开工前以批次五合入 test 后的版本为基线再拆

十二、上线清单

1. 730-#733 先上生产（迁移依赖 phase83_001）

2. 批次五上线前生产不开品牌码（现 0 个）
3. 要继续开家长号的机构先在后台设好前缀（老家长照常用，只是开新号会被提示拦下）
4. 前后端同一批上线（红线 2）
5. 上线后 SQL 核：新开号 phone_login_enabled=true、org_parent_seat_counter 有行、organizations.subseat_prefix 非空数

十三、本方案已知没验的

1. 品牌码家长被踢下线后页面具体显示什么——没在真机走过，实施时真机验
2. ~~exam/new 登录框算哪个 scene~~ → 9-24 自检已定 parent（6.3）
3. ~~登录失败 error_type 怎么推导~~ → 9-24 自检已读 main.py:139，做法见 6.2 第 1 步
4. 生产 12 个 / test 18 个带小写字母的门店号只数了数量、没看账号原文；实施后在 test 挑一个真登一次，证明「先原样精确查」没把它们弄坏
5. ~~品牌码家长在「家长子席位」后台页会显示「待绑定」~~ 9-24 深夜撤回（我查漏了）：该页列表已排除品牌码家长（parent_seat_service.py:103-108 显式 seat_source != "brand_code"，API 层 source 只放 platform / store），品牌码家长只在品牌码页管理，不存在这个问题