数据治理与安全规范

这次重构不按 PocketBase 旧字段原样搬迁。旧集合只作为历史输入源，正式业务表按商用 SaaS 规范重新建模。

默认原则

旧数据先进入 pb_raw_records，且默认脱敏。
密钥、token、session、private key、AppSecret、支付密钥不得进入 public schema。
私密配置进入 app_private.tenant_secrets，生产环境再接云厂商 KMS/Vault。
settings 不再作为业务表使用，必须拆成公开配置、支付账户、短信配置、OAuth 配置、存储配置。
users 不再作为万能表，拆成用户、身份、租户成员、学生资料、权益、学习记录。
users.isSvip、svipExpiry、svipRegions 不作为新系统权限源，统一迁移为 entitlements。
users.stats.favorites/wrongBook 不继续留在 JSON 中，统一迁移为收藏表和错题表。
crm_config、支付、短信、OAuth、对象存储等配置不得在 public schema 中保存明文密钥；公共表只保留可展示配置或 secret 引用。
导入后的上线闸门是 npm run pb:import:validate：有 FAIL 不上线，WARN 必须由业务确认并记录。

字段名包含以下关键词时默认视为敏感：

password
token
secret
privateKey
sessionKey
accessKey
appKey
apiKey
openid
unionid
aesKey
notifyToken

这些字段默认在导入原始区时写入 [REDACTED]。如果确实需要迁移到私有表，必须显式设置：

IMPORT_SECRET_VALUES=true npm run import:json

并且只能进入 app_private.tenant_secrets。

导入时会写入 pb_import_issues，用于记录：

查看旧 schema 风险：

npm run pb:schema:risk