test: run launch persona smoke with app session

docs/refactor/production-launch-evidence.template.json

@@ -136,11 +136,12 @@
     {
       "id": "api.launch-persona-smoke",
       "status": "pass",
-      "command": "npm run smoke:launch-persona > docs/refactor/launch-artifacts/launch-persona-smoke.log",
+      "command": "LAUNCH_SMOKE_AUTH_MODE=app_session npm run smoke:launch-persona > docs/refactor/launch-artifacts/launch-persona-smoke.log",
       "completedAt": "2026-06-30T10:49:30+08:00",
       "artifact": "launch-artifacts/launch-persona-smoke.json",
       "summary": {
         "status": "pass",
+        "authMode": "app_session",
         "student": {
           "status": "pass",
           "result": {
@@ -163,8 +164,8 @@
           "status": "pass",
           "result": {
             "guards": {
-              "studentDashboardDenied": "TENANT_MEMBER_REQUIRED",
-              "crossTenantDenied": "TENANT_MEMBER_REQUIRED"
+              "studentDashboardDenied": "TENANT_ADMIN_REQUIRED",
+              "crossTenantDenied": "AUTH_TENANT_MISMATCH"
             }
           }
         },

docs/refactor/web-launch-acceptance-checklist.md

@@ -90,7 +90,7 @@ node scripts/taro-h5-release-guardrails-test.js --require-dist
 npm run smoke:launch-persona
 ```
 
-`smoke:launch-persona` 是真实 API 角色旅程烟测，必须进入生产上线证据：普通学生要能在 SVIP 权益下创建练习、答题、收藏题目、进入收藏复习和错题复习入口；租户管理员要能读取看板/主题/学生/销售转化并拒绝学生或跨租户访问；平台管理员要能读取租户/套餐/审计入口并拒绝学生访问平台后台。
+`smoke:launch-persona` 是真实 API 角色旅程烟测，必须进入生产上线证据；正式证据必须使用 `LAUNCH_SMOKE_AUTH_MODE=app_session`，通过 Bearer `tk_` session 验证身份，不使用旧 `x-user-id` 或平台本地 key。普通学生要能在 SVIP 权益下创建练习、答题、收藏题目、进入收藏复习和错题复习入口；租户管理员要能读取看板/主题/学生/销售转化并拒绝学生或跨租户访问；平台管理员要能读取租户/套餐/审计入口并拒绝学生访问平台后台。
 
 `smoke:taro:h5` 会启动临时静态服务器和 mock API，验证三套 H5 的 `index.html`、JS/CSS 资源、history fallback、公开 runtime config 和 `/api/tenant/resolve` 契约。`smoke:taro:h5:interaction` 会在真实 Chrome/Edge 中点击学生、租户后台、平台后台关键路径，覆盖静态烟测发现不了的 JS 运行时、直接 history 路由刷新和 Taro 点击事件问题；当前脚本覆盖 32 项检查，包括学生首页、题库、答题、收藏、错题/收藏复习、背单词、知识手册、资料短签名和水印、视频播放授权、分数线、AI 择校、消息中心、会员收银台下单/支付参数/订单状态，租户后台内容导入、公共题库采纳/同步/冲突处理、学生运营、营销/CRM/分佣、主题/角色/成员写操作，以及平台后台租户、账务、公共题库授权和员工写操作。`taro-h5-release-guardrails-test` 会扫描源码、三套 H5 产物和 runtime-config 边界，防止旧 PocketBase、`x-user-id`、`x-platform-admin-key`、数据库连接串和服务端密钥形态进入前端发布目录。若刚构建完但未放入真实 `runtime-config.json`，脚本允许 warning；正式部署目录必须补齐。