feat(security): complete capability messaging workflows

docs/architecture/authentication-authorization-hardening-plan.md

@@ -1,6 +1,6 @@
 # 认证与授权待补强清单
 
-> 2026-07-29 实施状态：可信代理启动校验、外部登录成员生命周期、Redis 跨实例频控与故障关闭、数据库 Capability、事务化 System Scope 审计、MassTransit EF Bus/Consumer Outbox、浏览器 Cookie/CSRF 主链路及 endpoint manifest 已落地。生产网关 ACL、RabbitMQ 4.x 重启/积压演练和按 job type 迁移旧轮询 Worker 仍属于部署验收项。
+> 2026-07-29 实施状态：可信代理启动校验、外部登录成员生命周期、Redis 跨实例频控与故障关闭、固定目录数据库 Capability、事务化 System Scope 审计、MassTransit EF Bus/Consumer Outbox 与即时 BackgroundJob Consumer、浏览器 Cookie/CSRF 主链路及 endpoint manifest 已落地。本地 RabbitMQ 4.3.4 已验证停机期间事务提交、outbox 积压及重启补发；生产网关 ACL 和生产 Broker 演练仍属于部署验收项。
 
 当前生效规则见 [认证、授权与 Host 安全策略](authentication-authorization-security.md)。本文只记录尚需补强的安全事项，不重复描述已实现体系。
 
@@ -49,7 +49,7 @@ Tenant Active
   + DataScope / Resource Scope
 ```
 
-实现说明：`ProductModule`、`PlanModuleEntitlement`、`TenantModuleOverride` 与 `ICapabilityAccessEvaluator` 已进入数据库授权 Handler。模块目录采用渐进启用：只有进入固定目录的模块才强制套餐校验，避免迁移时误封未建档模块。
+实现说明：固定 `ProductModuleCatalog`、`PlanModuleEntitlement`、可审计 `TenantModuleOverride` 与 `ICapabilityAccessEvaluator` 已进入数据库授权 Handler；未知或缺失目录模块 fail-closed。平台接口可替换套餐模块权益和设置带原因的租户覆盖，变更在同一事务写审计与 outbox 事件。迁移仅为从未配置权益的存量套餐补齐固定目录，已有显式权益不会被扩权。
 
 验收：
 
@@ -80,7 +80,7 @@ Tenant Active
 - 平台操作、Worker、迁移验证和受审计公共题库服务才允许使用 System Scope。
 - 跨租户写操作必须落 `AuditLog`。
 
-实现说明：`SystemScopeRequest` 强制 caller、reason、target tenant 和 correlation ID；旧参数签名已移除。成功路径的 entered 审计、跨租户业务写入和 completed 审计处于同一 PostgreSQL 事务，异常路径回滚业务并持久化 entered/failed 审计。
+实现说明：`SystemScopeRequest` 强制 caller、reason、target tenant 和 correlation ID；没有租户目标时必须显式声明 `IsGlobal`，且 Worker/公共题库不能创建全局 scope。旧参数签名已移除。成功路径的 entered 审计、跨租户业务写入和 completed 审计处于同一 PostgreSQL 事务，异常路径回滚业务并持久化 entered/failed 审计。
 
 验收：
 

docs/architecture/authentication-authorization-security.md

@@ -110,6 +110,7 @@ DataScope：
 - `Tiku.Contracts` 只包含版本化 DTO，不引用 EF、HTTP 或 Provider SDK。
 - API 使用 MassTransit EF Bus Outbox，Worker consumer 使用 EF inbox/outbox；业务变更、审计和消息由同一 DbContext 提交。
 - RabbitMQ 消息只负责非权威失效版本、菜单刷新和下游通知；成员、租户、Session 或套餐失效不等待 consumer。
+- 即时 `BackgroundJob` 由 `BackgroundJobRequestedV1` Consumer 执行；延时任务和失败后的定时重试继续由数据库调度器处理，同一即时任务不会同时进入两种消费路径。业务 handler 必须使用受审计 System Scope 提供的 scoped `DbContext`。
 - System Scope 只能通过完整 `SystemScopeRequest` 创建；成功路径将 entered 审计、跨租户业务写入和 completed 审计放入同一 PostgreSQL 事务。
 
 ## 审计与错误
@@ -137,6 +138,7 @@ DataScope：
 - CORS 明确 Origin。
 - Redis 7.2+ 连接串；Production 缺失时拒绝启动。
 - RabbitMQ 4.x Host、virtual host 与凭据；Production 缺失时拒绝启动。
+- 默认镜像不依赖 `x-delayed-message` 插件；Consumer 使用有限即时重试，延时业务重试落回 PostgreSQL `RunAfter`。
 - 公网只暴露覆盖 Forwarded Headers 的可信网关，API ACL 只允许该网关访问。
 - Secret encryption key。
 - 短信、对象存储、支付、通知和 AI provider 只通过租户 Provider 配置读取密钥。

docs/architecture/endpoint-authorization-manifest.md

@@ -5,5 +5,5 @@ Controller 授权面由 `AuthorizationManifestTests` 按 HTTP method、route、c
 
 该清单是防止接口绕过评审的变更门禁；实际授权事实仍来自 PostgreSQL permission、Capability 和 DataScope，不能用摘要替代运行时校验。
 
-- Action 数量：330
-- SHA-256：`ad09167662cb9dc25111f40902c5f16a6633465f0ca7e7da0e50cdc10cfb8bb5`
+- Action 数量：332
+- SHA-256：`a80fe477ba3021625e17c9fc639e5109bab678178f8024a51c3c732bf5a46d3f`

docs/quickstart.md

@@ -11,7 +11,18 @@ export RabbitMq__Username='guest'
 export RabbitMq__Password='guest'
 ```
 
-RabbitMQ 使用 MassTransit 8.5.10 和 PostgreSQL EF Bus/Consumer Outbox。`GET /api/health` 是 liveness，`GET /api/health/ready` 检查 PostgreSQL、已配置的 Redis、RabbitMQ bus health 和 outbox backlog；服务健康不等于认证授权验收完成。
+RabbitMQ 使用 MassTransit 8.5.10 和 PostgreSQL EF Bus/Consumer Outbox。`GET /api/health` 是 liveness，`GET /api/health/ready` 检查 PostgreSQL、已配置的 Redis、RabbitMQ bus health，并返回 outbox pending、最老消息时长和阈值告警；服务健康不等于认证授权验收完成。
+官方 RabbitMQ 4.x 镜像无需安装 delayed-message 插件；不要配置 `UseDelayedRedelivery`，延时后台任务由 PostgreSQL `RunAfter` 调度。
+
+本地 Broker 重启/outbox 恢复演练（仅对明确指定的测试容器执行 stop/start）：
+
+```bash
+TIKU_TEST_RABBITMQ=rabbitmq://localhost \
+TIKU_TEST_RABBITMQ_RESTART=1 \
+TIKU_TEST_RABBITMQ_CONTAINER=tiku-rabbitmq \
+dotnet test Tiku.IntegrationTests/Tiku.IntegrationTests.csproj \
+  --filter 'FullyQualifiedName~Bus_outbox_drains_after_real_broker_restart'
+```
 
 这份文档用于从全新开发环境启动 TIKU Backend、初始化 PostgreSQL，并完成平台管理员的首次登录。