docs: M2 收尾复核闭环(M4)+Wave 0 状态同步——M4 复核记录(任务映射/T-30~T-32 边界收口/成功体不包裹演进口径维持/agent_message.trace_id 请求级口径/会话枚举取舍登记), TODO(T-01/T-02/T-06/T-07 勾选+T-30~T-32 收口), MEMORY(§0 进度/仓库地图/下一步/273 绿), FLOW(§0 JWT 已做/§1 链路/§2 对话主链路状态), FRAMEWORK(能力模块+分层), REQUIREMENTS(F-01/F-02 完成/F-03 部分), 开发计划头注, 演示 SOP 补 JWT 通道签发演示

docs/memory/REQUIREMENTS.md

@@ -17,11 +17,11 @@
 
 | ID | 需求 | 验收对照 | 状态 | TODO |
 | --- | --- | --- | --- | --- |
-| F-01 | JWT + RBAC + 数据归属 | 越权 403 + audit；JWT 手册 §13 | **部分**（deps.py debug 头 AuthContext + 归属断言 + 越权审计已落地，B6；JWT 解析待 T-01） | T-01 |
-| F-02 | 全量审计留痕 | trace_id 可还原 | **部分**（utils/trace 贯通 + 风控审计 INSERT 已接；全量审计中间件待 T-02） | T-02 |
-| F-03 | 输入防护 | input_guard_log | 未做（双写缺口挂账 B7 接 T-02 时统一补） | T-03 |
+| F-01 | JWT + RBAC + 数据归属 | 越权 403 + audit；JWT 手册 §13 | **已完成（T-01，2026-09-07）**：auth_service 验签/吊销 + deps 工厂（Bearer 全环境 + dev debug 头兜底）+ X-Agent-Type 准入矩阵 + 归属断言（B6 已有）；越权 403 + audit + input_guard_log 双写 | ~~T-01~~ |
+| F-02 | 全量审计留痕 | trace_id 可还原 | **已完成（T-02，2026-09-07）**：http_access 审计中间件 + X-Trace-Id/X-Request-Id 双贯通 + 4xx/500 统一错误体；业务判定审计 B6 已接 | ~~T-02~~ |
+| F-03 | 输入防护 | input_guard_log | **部分（2026-09-07）**：input_guard_log 双写通道已由 T-02 接通（鉴权拒绝类）；防护规则（prompt_injection/oversize/限流）待做 | T-03 |
 | F-04 | Core 只读层 | 不改 Core 账；Repository 只 SELECT | **部分**（core_ro 已扩展风控查询；接入 api/service Tool 与归属校验待 T-04） | T-04 |
-| R0-DB | MySQL 共用 11 表 + Redis | 01-mysql-共用底座.sql | SQL 已定；灌库待验 | T-05 |
+| R0-DB | MySQL 共用 11 表 + Redis | 01-mysql-共用底座.sql | SQL 已定；本机已灌库（B9b 走查验证） | T-05（本机已完成） |
 | R0-CORE | Core 模拟 + 同步 | reset.ps1 + sync 脚本 | **脚本已落地** | T-05 |
 
 **F-01 部分完成说明：** B6 已落地 `app/api/deps.py`（AuthContext Pydantic + `get_auth_context()` 工厂，dev 从 `X-Debug-Role`/`X-Debug-Actor` 头构造；T-01 就绪后仅替换工厂内部为 JWT 解析）。