交付出件箱

请 root 发生产 · Phase 86 批0（两处鉴权修复）· 2026-09-28

长官已同意发生产（9-28 深夜：「test 真打验收，没问题就按要求发到生产」）。「按要求」= 只发两处修复，不带题库审核。
为什么要 root：发版工具 release_main.py:867 对「main 上不存在的文件」拒绝 --accept-main-side（提示「请回 test 处理」），MR#780 里夹着生产没有的题库审核文件，工具走不通。

一、发什么

修复	问题	改法
标注接口 4 个（`/api/annotations/pending、prefill、submit、stats`）	登录校验那行被注释掉，不登录就能调（生产现状）	改为 `require_role("admin")`；前端 3 处裸 `fetch` 改 `apiFetch` 带登录凭证
席位活动 `/api/admin/seat-activity`	`seat_id` 不校验是否属于传入的 `org_id`，可看别家席位	不属于即 404

不发：app/api/admin_rumor_questions.py、tests/contract/test_rumor_admin_api.py、tests/contract/test_phase86_b0_rumor_menu_auth.py（题库审核功能，生产没有）。

二、已备好的候选（dev2 机器，未 push）

分支 prep/phase86-b0-prod，worktree /home/dev2/wt-phase86-b0-prod
基于 origin/main@90e9d7ca，单提交 f64b6e4d（cherry-pick 6ef738fd 后剔除上面 3 个题库文件）
git diff origin/main..f64b6e4d --stat 恰 7 个文件：
app/api/admin_activity.py（+11）、app/api/annotations.py（+5/-4）
tests/api/test_phase86_b0_annotations_auth.py、tests/api/test_phase86_b0_seat_activity_scope.py（新增）
web/app/(dashboard)/annotations/page.tsx、web/app/(dashboard)/workbench/page.tsx、web/components/annotations/AnnotationWizard.tsx
补丁包：https://dev-tokyo.tail3912a6.ts.net/phase86-b0-prod-patch-20260928.zip
sha256 caf2bd88f852cc5de49149ec63fc157af5d584fd84c9abeb82ef805c91ef4802，内含 0001-fix-phase86.b0.patch（git am 可直接用）
与 test 对比：6 个文件和 origin/test 逐字节相同；admin_activity.py 的本次改动 11 行与 test 逐字一致，其余差异是 test 上另一个未发生产的「机构洞察 v14 重写」，正确地没带。

三、验证证据

test 环境真打（部署 commit 549a12e2，含 MR#780 合并 f44699c2）：
标注 pending/prefill/stats/submit 不登录 → 均 401；admin 登录 → pending/stats 200
席位活动 admin：机构97+本机构席位417 → 200；机构97+别家席位411 → 404；机构96+席位411 → 200；不登录 → 401（主会话亲手复核过 404/200/401 三条）
候选分支本地真 PG：两个新测试文件 16 passed；相关 8 个旧测试文件在候选与 main 基线各跑一次：都是 4 failed, 53 passed, 1 error，失败集合完全一致（consult_confirm ×2、phase52_emit_points ×2、phase52_retention error，均为既有环境噪音），零新增回归
前端：3 个文件与 test（已构建部署）逐字节相同；@/lib/auth 的 apiFetch 在 main 上存在（web/lib/auth.ts:134），路径原样透传不会双前缀。⚠️ 本机内存不够，没跑 next build/tsc

四、建议步骤（root 定夺）

从最新 main 建 release/* 分支，套 f64b6e4d（或 git am 补丁包），确认 diff 恰 7 个文件
建 release/* → main MR 并合并；等生产自拉部署
生产核验（不需要账号）：
GET https://chat.tongban.love/api/annotations/pending?doctor_id=1 不带 token → 期望 401（改前能直接返回数据）
GET https://chat.tongban.love/api/admin/seat-activity?org_id=1&seat_id=1 不带 token → 期望 401（对照）
无迁移、无配置变更、无新依赖

五、影响提醒

修复后，标注页、工作台的待标注列表只有 admin 登录才能用（原来不登录也能调）。这是本次要的效果，长官已拍板。