- 规则库: GET/PUT /api/recruiting-rules(登录读/admin写, data/recruiting-rules.json, 不进业务表)
- agent 只读: GET /api/agent/recruiting-rules + GET /api/agent/jobs(jobId/title, 含对内字段, X-Ingest-Token), security 放行
- llm.py: internalNote 纳入 _INTERNAL_ONLY_JOB_KEYS, 对内笔记 MD 不出对外/LLM
- skill 契约按 battle 定稿校正: 入口2=产出定稿包 -> agent 代建 OA 单(不用"同步到招聘系统"话术); OA bill 双轨(对外MD+执行字段进OA, 对内笔记 internalOnly 载荷按 oaBillNo 认领时合并归档 internalNote); jd-sync 改为内部/QA 导入通道
- 后端 96 passed

- 报告分享: candidate_reports 独立快照表 + 令牌公网只读(reports/report_repository/ShareReportView/security 放行/配置开关)
- 外部岗位认领: external_job_claims 待认领区 + sync-external 落区 + 认领行级接口(GET /api/job-claims, POST /api/job-claims/{id}/claim) + 前端「岗位认领」页 + 外部已审批岗位「核对后确认生效」流转
- docs/recruit-grill skill 镜像、CONTEXT.md 术语(外部岗位/待认领岗位/岗位认领/岗位对内档案/招聘规则库/OA 审批直读)、ADR 0003 与落地清单
- 后端 90 passed; vue-app npm run build 通过

新增 backend/app/services/risk_profile.py 本地确定性规则(跳槽频率/竞业协议/职业空窗/高层职业道德),从简历原文按章节提取任职时间线(自动排除教育/实习/项目段);local-structured 与 LLM 评估统一合并 riskProfile,LLM prompt 将 risks 限定固定四维;前端评估报告优先展示固定维度命中项,候选人详情「评估」Tab 新增「风险点评估」面板(正常/提示/需确认 + 依据 + 建议)。测试:test_risk_profile.py + test_ai.py prompt 断言,全量 72 passed。文档 requirements_from_interview.md 同步标注 ✅。

- 需求14: 评估/解析 prompt 加入「候选人自述优势不作匹配依据、只作面试待验证线索」铁律, 同步 CONTEXT.md 术语与 test_ai.py 单测
- 需求4: 确认入职后 hired>=headcount 自动置「已招满」并记 job_filled 事件, 待办关注/徽标/动作卡口径同步
- 需求22: 简历库顶部「各岗位简历量」统计 chips, 点击按岗位聚焦筛选候选人
- 看板: 修复 dashboardScope 漏返回 filters 导致的 TypeError; 漏斗改按「已达阶段累计」梯形展示(与 KPI 口径一致); 来源环图改数据驱动(扇区=真实占比); 日历跟随筛选月份; 趋势/ROI 明细与转化展示优化

- 人才池 = 总库:新增保留工作区 _pool + 行级 /api/pool(move/claim/read),
  跨招聘账号共享;个人工作区整包状态模型不变,池区禁止整包覆盖。
- 前端新增「人才池」页(统计/筛选/详情/认领),简历库卡片与详情抽屉
  支持一键移入;联动 pool_moved / candidate_claimed 事件并清理关联待办。
- 候选人标签升级 tags 数组(枚举+自定义,HR 手选,AI 不打标),简历库/
  人才池支持标签与「待跟进」筛选,旧单 tag 自动映射进 tags。
- 测试:新增 test_pool.py 7 例,全量 53 passed;conftest 在收集阶段即禁用
  .env,修复测试顺序导致的 qwenpaw 配置泄漏误挂。
- 文档:新增 CONTEXT.md 领域词表与 docs/adr/0001,更新需求文档标注。
- 附带提交 llm.py 解析 prompt 示例去具体化等本地改动。

Element Plus el-upload 的 on-change 回调传的是 uploadFile 对象而非 DOM 事件，
原代码读取 event.target.files 会抛 TypeError。改为取 uploadFile.raw；
批量上传弹窗存在同类隐患，一并修复，并移除一个多余花括号的语法错误。

- 激活 User 表(username/role/password_hash/is_active/last_login_at),13 张业务表加 owner_id,AppStateMeta 改 String 主键(工作区键)
- 认证中间件支持 Bearer 令牌 + Basic 兼容;ADMIN_PASSWORD 为登录总开关,未设置保持开放模式(local 工作区)
- 密码 PBKDF2-SHA256 哈希、HMAC 签名令牌(SESSION_SECRET),零新依赖
- 新增 /api/auth/* 路由:登录/登出/me/改密/用户 CRUD(admin 专属,含最后管理员保护)
- 状态读写/采集落库按 owner 隔离,admin 可 ?owner= 切换工作区
- 前端:登录页、用户管理页、user store、路由守卫、AppShell 用户菜单/工作区切换器,localStorage 按工作区分键
- 旧库启动自动补 owner_id 回填 local 并重建 users/app_state_meta,历史数据不丢
- 新增 create_user.py CLI(create/list/reset/disable/enable)
- 测试 25 passed(新增 test_auth.py 14 用例),文档同步更新

- 新增 AGENTS.md（AI 编码助手规范）、docs/project_handoff.md（交接文档）
- 启动统一走 backend/scripts/start_server.py，支持 --with-frontend 构建同步前端；
  删除 backend/package.json 及失效脚本 sync_frontend_static.py / legacy-server.mjs
- 学校/专业/技能词典抽为共享数据 shared/resume-dictionaries.json，
  后端 resume_parser_core.py 与前端 constants.js 均引用同一份
- 更新各 README、.gitignore（忽略 .codegraph/）；测试断言改为 Vue 前端资源