chore: 号段一致性自检固化为 tools 脚本并纳入门禁；AGENTS.md 更新主分支口径、Agent/工具清单与测试基线

AGENTS.md

@@ -20,7 +20,8 @@
 > **⭐ 第 0 步先读这个**：`docs/superpowers/handoff/2026-09-11-交接文档-客服Agent与RAG收尾.md`
 > —— 客服 Agent + RAG 这条线的交接文档（**含合并完成后的第二次更新**）：环境口径、交付内容与
 > **可复现验证证据**、合并后修掉的 3 个真机故障、**已知问题清单（逐条标注当前状态）**、Git/PR 状态。
-> 当前工作分支是 **`NL_develop`**（个人分支 → PR 合回 `qyqy_develop`），**不要再用 `6516ccb`**。
+> **主集成分支是 `qyqy_develop`**（ZSY 的客服接入线已由 PR #7 合入，见 `docs/36`）；
+> 客服/RAG 那条线的个人分支是 **`NL_develop`**（个人分支 → PR 合回 `qyqy_develop`），**不要再用 `6516ccb`**。
 > 它是对"当前状态"最准确的一份，读完它再读下面这些。
 >
 > **⚠️ 文档现状（2026-09-11 第二次修订）**：本文件原先声明"已删除 5 份编号文档"，
@@ -78,9 +79,20 @@
   场外/推广那 17 张逐表登记见 `docs/28-场外与推广域数据表登记.md`；
   **投顾那 21 张的登记文档待补**（按同样口径另立一份）。
   核验命令：`python tools/audit_schema.py`（若报 `unexpected` 先分清是"库里多表"还是"迁移没进来"）。
-- 已注册业务 Agent：`FundQueryDemoAgent`、`CustomerServiceAgent`、`RiskAgent`、`PlatformProbeAgent`（见 `app/service/agent/bootstrap.py`）。
+- 已注册业务 Agent（**7 个**，见 `app/service/agent/implementations/` 与 `app/service/agent/`）：
+  `FundQueryDemoAgent`、`CustomerServiceAgent`、`RiskAgent`、`PlatformProbeAgent`、
+  **`AdvisorAgent`**、**`OffsiteFundAgent`**、**`PromotionMaterialAgent`**。
 - 已注册公共只读工具：`search_knowledge`（客服知识检索）、`check_suitability`、`query_customer_profile`（画像）、`query_fund_quote`；
+  **`query_knowledge` 是 `search_knowledge` 的别名**（同一 handler，为兼容一期发布配置与旧客户端保留，见 `bootstrap.py`）；
+  其余业务线工具（风控、投顾、NL2SQL）按各自 Agent 白名单注册，全部在 `bootstrap.py` 的 `get_agent_factory()` 里。
   **工具可用范围 = 代码上限 ∩ 当前 active `config_release` 的发布白名单**，缺发布配置则失败关闭。
+- ⚠️ **RBAC 权限码的定义源是 `tools/seed_test_rbac.py` 的 `PERMISSIONS`**（9001-9046 号段）：
+  那个脚本是 **DELETE 重建**语义（`DELETE FROM sys_permission WHERE id BETWEEN 9001 AND 9099`），
+  **没并进它的权限码重建一次就没了**，表现是"接口突然 403"而没有任何报错线索。
+  `tools/grant_*.py` 只补种子里缺的，且 id 必须与种子**逐条一致** ——
+  一致性由 `python tools/check_rbac_seed_consistency.py` 及其单测守着
+  （2026-09-12 曾因两套 id→code 映射并存，让 `advisor` 在种子重建后静默拿到语义错误的权限）。
+  另注：`sys_user` 已改为「存在则更新、不存在才插入」，故重跑种子**不会**再弄丢演示密码。
 - ⚠️ **`config_release` 是环境数据，不随代码合并**：本机 active 版本 id 与架构师环境**不同**
   （本机是我方发布的客服白名单；他那边还有风控的 9 条白名单）。**"白名单已发布"必须带环境限定**，换环境要重发。
   发布脚本 `tools/publish_customer_service_config.py`（**同 key 的继承项必须被本次定义覆盖**，否则旧值会被子集校验 422 拦下整次发布）。
@@ -93,10 +105,12 @@
   健康检查与部分检索链路会指向本地 **Milvus Lite 文件**。团队/生产环境请**保持该变量为空**。
   对应的 `milvus-lite` 属**本地开发依赖**，应放在 `pyproject.toml` 的
   `optional-dependencies`，**不要进主 `dependencies`**。
-- 测试基线（2026-09-11 架构师环境实测）：`ruff` 干净 / `mypy app` **228 个文件 0 错** /
-  `pytest tests/unit tests/contract` → **1207 passed, 2 skipped, 0 failed** /
-  `pytest tests/integration` → **99 passed**。完整口径与联调清单见
-  `docs/32-平台侧交接与联调准备.md`。
+- 测试基线（**2026-09-12 合并 PR #7 之后实测**）：`ruff` 干净 / `mypy app` **244 个文件 0 错** /
+  `pytest tests/unit tests/contract` → **1276 passed, 2 skipped, 0 failed**
+  （**用例数会随开发增减，判断健康看"0 failed"而不是看绝对值**；出现数量级差异再按下面那条对版本） /
+  `pytest tests/integration` → 99 passed（**合并前口径，合并后未整套复跑**，已复跑的是
+  `test_auth_login_mysql.py` + `test_rbac_read_mysql.py` → 19 passed）。完整口径与联调清单见
+  `docs/32-平台侧交接与联调准备.md`；本次合并的逐项证据见 `docs/36-PR7合并记录与权限号段修正.md`。
 - ⚠️ **mypy 与测试数必须带环境读**：出现"一边上百个错、另一边 0 错"时先对版本，别当代码质量问题。
   已知根因是某一侧的虚拟环境没满足 `pyproject.toml` 的 `sqlalchemy>=2.0,<3` / `mypy>=1.14,<2`。
   **不要装 `sqlalchemy2-stubs`** —— 那是给 SQLAlchemy 1.4 的，2.0 自带 `py.typed`，