feat(M09-D2): 完成商品订单与库存占用生命周期

docs/api-changelog/2026-08-11-M09-D2-product-orders.md

@@ -0,0 +1,30 @@
+# 2026-08-11 M09-D2 商品订单 API
+
+## 顾客接口
+
+- `POST /app-api/product-orders`
+- `GET /app-api/product-orders`
+- `GET /app-api/product-orders/:orderId`
+- `POST /app-api/product-orders/:orderId/cancel`
+
+创建请求包含门店、幂等 `requestId`、履约方式、订单备注和 SKU 数量/备注。服务端从当前目录和门店售价生成不可变快照并复算金额，不接受客户端价格。顾客列表、详情和取消只允许订单本人访问。
+
+## 管理接口
+
+以下接口同时提供 `/admin-api` 与 `/app-api/management` 前缀：
+
+- `GET /product-orders?storeId=...`
+- `GET /product-orders/:orderId`
+- `POST /product-orders/:orderId/actions`
+
+动作限定为 `ACCEPT`、`START_DELIVERY`、`MARK_READY`、`COMPLETE`、`CANCEL`、`REFUND`，服务端按履约方式和当前状态执行合法转换。读取要求 `goods.order.read`，写入要求 `goods.order.manage`；STAFF、STORE_ADMIN 必须在授权门店范围内，租户边界在查询和写事务中重复校验。
+
+## 支付与退款适配边界
+
+- 非生产且显式启用测试适配器时，注册顾客测试支付创建/完成和管理测试退款完成接口。
+- 生产环境不注册任何 `test-complete` 路由；真实微信支付/退款适配器调用 `confirmPayment` / `confirmRefund` 领域入口，并提供 provider callbackId、服务端金额和验签后的脱敏 payload。
+- 回调按 provider/callbackId 和 payload 指纹幂等；金额或 provider 不匹配不推进订单。死锁/锁等待冲突由完整事务有限重试，库存、支付、订单和事件保持原子一致。
+
+## 状态与错误边界
+
+订单状态为 `PENDING_PAYMENT`、`PAID`、`ACCEPTED`、`DELIVERING`、`READY_FOR_SELF_SERVICE`、`COMPLETED`、`CANCELLED`、`REFUNDING`、`REFUNDED`、`REFUND_FAILED`。未找到返回 404，权限/门店范围返回 403，版本、状态或幂等冲突返回 409，输入、销售关闭、库存或履约前置失败返回 400 语义错误码。

docs/current-baseline.md

@@ -1,10 +1,10 @@
 # 当前开发成果基线
 
 > V5.0 首次核验日期：2026-06-16  
-> audited_commit: `2de7961`
-> audited_worktree: M09-D1 当前工作树（待本次中文工程提交）
-> audited_at: `2026-08-11T03:41:30+08:00`
-> next_engineering_target: 按 V5.7 固定队列执行 M09-D2，建立商品订单与库存锁定、扣减、释放、取消回补闭环
+> audited_commit: `93af128`
+> audited_worktree: M09-D2 当前工作树（待本次中文工程提交）
+> audited_at: `2026-08-11T06:58:52+08:00`
+> next_engineering_target: 按 V5.7 固定队列执行 M09-D3，建立安全寄存、分次取出、并发防超领和通知 outbox
 > 事实源：当前工作区、Git 历史、状态文档、Windows/WSL 检查脚本。
 
 ## 总体结论
@@ -13,10 +13,10 @@
 |---|---|---|---|
 | 总纲版本 | V5.7 已成为当前权威总纲，V5.6 及更早版本仅作历史基线 | 根目录 `V5.7.md` 的增量控制层与第 30 章固定队列 | 必须按 V5.7 游标开发，不得回退到历史队列 |
 | Git 远端 | `origin=ssh://git@git.txyundm.cn:2222/panda/qipai.git`，分支 `main` | `git rev-list main...origin/main` 为 `0 0` | 本地与远端同步 |
-| 正式后端 | 已完成 Fastify、迁移兼容、outbox/worker、多应用租户、身份/RBAC/门店范围及 M03-M08 业务 API；M09-A/B/C 已完成保洁收口，M09-D1 已完成商品分类、商品、SKU、门店售卖/营业时段、库存策略、可用/锁定/损耗库存、幂等请求与不可变流水 | `backend/src/products/**`、`backend/src/inventory/**`、`backend/src/routes/{products,inventory}.ts`、`database/migrations/2026081107_m09d1_*`、`backend/tests/product-*.test.mjs`、`backend/tests/inventory-*.test.mjs`、`backend/tests/mysql-migration-roundtrip.test.mjs` | M09-D1 当前工作树的 build、全测、静态门禁和真实 MySQL 门禁通过，游标进入 M09-D2；提交 SHA 待本次中文工程提交取得 |
-| 后台管理端 | 已建立 Vue3 + Vite + TypeScript + Element Plus 权限路由工程；12 个业务入口按路由懒加载；保洁工作台覆盖规则、任务、版本验收、同源结算导出、冲正历史、状态事件和人工付款；商品/库存菜单由服务端按 capability 返回 | `admin/src/router.ts`、`admin/src/components/CleaningWorkspace.vue`、`backend/src/routes/admin-auth.ts` | M09-D1 管理端 build/test 通过；商品库存专用运营页面归入后续业务切片，当前进入 M09-D2 |
+| 正式后端 | 已完成 Fastify、迁移兼容、outbox/worker、多应用租户、身份/RBAC/门店范围及 M03-M08 业务 API；M09-A/B/C 已完成保洁收口，M09-D1/D2 已完成商品目录、库存、订单项快照、支付/退款衔接和库存占用生命周期 | `backend/src/products/**`、`backend/src/inventory/**`、`backend/src/routes/{products,inventory,product-orders}.ts`、`database/migrations/202608110{7,8}_m09d*`、`backend/tests/product-*.test.mjs`、`backend/tests/inventory-*.test.mjs`、`backend/tests/mysql-migration-roundtrip.test.mjs` | M09-D2 当前工作树的 build、全测、静态门禁和真实 MySQL 门禁通过，游标进入 M09-D3；提交 SHA 待本次中文工程提交取得 |
+| 后台管理端 | 已建立 Vue3 + Vite + TypeScript + Element Plus 权限路由工程；12 个业务入口按路由懒加载；保洁工作台覆盖规则、任务、版本验收、同源结算导出、冲正历史、状态事件和人工付款；商品/库存/商品订单菜单能力由服务端 capability 控制 | `admin/src/router.ts`、`admin/src/components/CleaningWorkspace.vue`、`backend/src/routes/admin-auth.ts` | M09-D2 管理 API 与权限边界通过；商品、库存、订单和寄存专用运营页面统一归入 M09-D4 |
 | 微信小程序 | 已纳管微信原生模板，并完成顾客端订单、充值、权益明细、下单抵扣主体链路、保洁任务端照片上传/补做主体链路，以及管理员门店/房态/订单/代下单/验券/会员/员工/保洁/设备/经营统计 | `miniapp/pages/index`、`miniapp/pages/store/detail`、`miniapp/pages/room/detail`、`miniapp/pages/orders/*`、`miniapp/pages/recharge/*`、`miniapp/pages/profile/*`、`miniapp/pages/cleaner/*`、`miniapp/pages/manager/*`、`miniapp/utils/api.js`、`scripts/check-miniapp-m08-a.mjs`、`scripts/check-miniapp-m08-c.mjs` | M08-A/B/C/D 可独立工程内容完成，执行游标进入 M09-A；真实团购、微信和硬件现场验收保持外部阻塞，M08 维持 PARTIAL |
-| 数据库迁移 | 已形成 M01-B 至 M09-D1 连续 up/down/verify 计划；M09-D1 新增 9 张商品/库存表和不可变流水双触发器，迁移 runner 按增量 marker/checksum 执行，并可在 interrupted up/down DDL 后原地重试；同库迁移全流程由专用连接和数据库命名锁串行化 | `database/migrations/2026081107_m09d1_product_inventory_foundation.{up,down,verify}.sql`、`backend/src/db/migration-runner.ts`、`backend/tests/mysql-migration-roundtrip.test.mjs` | WSL MySQL 8.4.10 已完成 179 up、141 verify、171 down 的 up/verify/down/up/verify；增量跳过、崩溃恢复、双连接迁移互斥、触发器前置、并发单赢家、幂等、负库存拒绝、流水不可变和 cleanup probe 通过 |
+| 数据库迁移 | 已形成 M01-B 至 M09-D2 连续 up/down/verify 计划；M09-D2 新增 7 张商品订单、订单项/事件、支付、退款/回调表和不可变触发器；M09-D1 崩溃重试会先按依赖撤销 D2，迁移 runner 继续按 marker/checksum 增量执行并由数据库命名锁串行化 | `database/migrations/2026081108_m09d2_product_order_payment_inventory.{up,down,verify}.sql`、`backend/src/db/migration-runner.ts`、`backend/tests/mysql-migration-roundtrip.test.mjs` | WSL MySQL 8.4.10 已完成 201 up、150 verify、187 down 的 up/verify/down/up/verify；并发支付回调单次扣减、取消/超时释放、退款返库、不可变事件及跨阶段迁移重试通过 |
 | M00 部署脚本 | 已有菜单、状态、HTTPS、Certbot、EMQX、备份检查模板 | `setup.sh`、`scripts/setup/`、`deploy/` | PARTIAL，生产未执行 |
 | 发布清单 dry-run | 可基于当前 HEAD 输出 `deployed=false` 的 release manifest，记录后端/后台/迁移尚未生成而跳过 | `scripts/setup/deploy-business.sh --dry-run .`、`scripts/dev/windows/check-release-manifest.ps1` | 可在 M00 验证结构；真实构建与生产发布待 M01/M09 后接入 |
 | 参考资料 | 已有清单、脱敏日志、页面/接口/表结构摘要 | `docs/reference-*`、`docs/db-schema-inventory.md` | PARTIAL，仍需按模块迁移正式实现 |
@@ -26,7 +26,7 @@
 ## 状态校准
 
 - `docs/module-status.md` 中 M00 仍为 `PARTIAL` 是正确的：生产 Ubuntu 初始化、部署与运维验收尚未执行；后端、后台和小程序源码已在后续模块建立。
-- M01-M04 与 M07 已具备模块工程验收；M05、M06、M08 因真实厂商/硬件/生产条件保持 `PARTIAL`；M09-A/B/C/D1、M06-C/E-R1、M06-R-REGRESSION 与 M08-D-R1 已完成，当前按 V5.7 执行 M09-D2，M10 尚未进入。
+- M01-M04 与 M07 已具备模块工程验收；M05、M06、M08 因真实厂商/硬件/生产条件保持 `PARTIAL`；M09-A/B/C/D1/D2、M06-C/E-R1、M06-R-REGRESSION 与 M08-D-R1 已完成，当前按 V5.7 执行 M09-D3，M10 尚未进入。
 - 任何“目录存在”只能证明骨架存在，不能证明模块完成。
 
 ## Git 历史敏感信息核验
@@ -37,6 +37,6 @@
 
 ## 下一步
 
-1. 执行 M09-D2：建立商品订单与订单项金额、商品、SKU、规格、履约方式等服务端快照，明确与支付订单分离的状态机。
-2. 复用 M09-D1 库存服务，在下单/支付/取消/超时链路中按稳定业务号完成锁定、扣减、释放和取消回补，保证重放幂等与并发单赢家。
-3. 补商品订单 API、权限、真实 MySQL 事务/崩溃恢复和订单金额服务端复算；M06-G 真实硬件联调继续等待外部条件，不阻断内部主队列。
+1. 执行 M09-D3：建立寄存单、寄存明细和数量流水，支持 `STORED/PARTIALLY_RETRIEVED/RETRIEVED/EXPIRED/CANCELLED` 状态机。
+2. 领取凭证只保存哈希，限制本人或授权门店员工领取；分次取出以事务行锁、稳定 requestId 和剩余数量条件阻止重复、超量与并发超领。
+3. 寄存、取出、取消和过期同事务写审计与通知 outbox；M06-G 真实硬件联调继续等待外部条件，不阻断内部主队列。

docs/db-changelog/2026-08-11-M09-D2-product-order-payment-inventory.md

@@ -0,0 +1,13 @@
+# 2026-08-11 M09-D2 商品订单、支付与库存生命周期
+
+- 版本：`2026081108_m09d2_product_order_payment_inventory`。
+- 新增 7 张表：`qipai_product_orders`、`qipai_product_order_items`、`qipai_product_order_events`、`qipai_product_payments`、`qipai_product_refunds`、`qipai_product_payment_callbacks`、`qipai_product_refund_events`。
+- 商品订单保存客户端请求指纹、库存业务号/请求号、履约方式、房间订单、金额/数量汇总、库存状态、各阶段时间和版本；数据库 CHECK 保证金额、数量、来源、指纹、版本和房间履约组合合法。
+- 订单项保存商品/SKU 代码与名称、规格 JSON、单位、单价、数量、小计和备注快照；订单项行号和订单事件请求/版本均唯一，双触发器禁止更新或删除订单项与订单事件。
+- 支付与商品订单分表；有效支付、支付业务号、客户端请求、provider paymentId 均唯一，退款同样约束有效单据、provider refundId 和返库请求。金额统一整数分。
+- 支付回调以 provider/callbackId 唯一，保存 payload 指纹、验签结果、处理状态和脱敏 payload；订单/支付/退款/回调复合外键阻止跨租户、跨门店或跨单据串接。
+- 退款保存 `RESTOCK/NO_RESTOCK` 决策和 `PENDING/SUCCEEDED/FAILED/NOT_REQUIRED` 库存状态；退款事件记录每次状态、库存结果和版本，双触发器禁止修改或删除历史。
+- 新增 `goods.order.read`、`goods.order.manage` 并授予活动 STAFF、STORE_ADMIN、TENANT_ADMIN、PLATFORM_ADMIN；新租户通过登录和 RBAC 初始化路径取得相同权限，避免迁移后创建的租户缺少授权。
+- down 先删除不可变触发器、角色权限，再按回调/退款/支付/事件/订单项/订单依赖逆序删除 7 张表和 marker；M09-D1 崩溃重试测试先执行本迁移 down，避免直接删除被 D2 外键引用的库存请求表。
+- verify 校验 7 张表、列排序规则、22 个唯一/查询索引、18 个复合外键、34 个 CHECK、6 个不可变触发器、2 项权限、完整角色授权和迁移 checksum。
+- MySQL 8.4.10 已完成 201 up、150 verify、187 down 的 `up → verify → down → up → verify`；并发支付单次扣减、取消/超时释放、退款返库、门店范围、事件不可变与跨阶段重试均通过。

docs/devlogs/2026-08-11-M09-D1-商品目录与库存底座.md

@@ -2,7 +2,7 @@
 
 ## 工程结果
 
-- 工程状态：当前工作树已完成，待以 `feat(M09-D1): 完成商品目录与库存流水底座` 中文标题提交并取得 SHA。
+- 工程状态：已由 `93af128002c27ea548e9ed7d0c9af7b8f264002a` 以 `feat(M09-D1): 完成商品目录与库存流水底座` 中文标题提交并推送。
 - 新增分类、商品、SKU、门店上架、门店销售设置、每周最多 8 段且支持跨日的营业时段；分类/商品/SKU 支持软删除后的代码或条码复用，写操作统一使用 `expectedVersion` 乐观锁。
 - 新增 `TRACKED` / `UNLIMITED` 库存策略、可用/锁定/损耗三类数量，以及入库、调整、盘点、损耗、批量锁定、释放和扣减服务；批量操作同事务完成，任何一个 SKU 失败均整体回滚。
 - 库存请求以租户、门店和大小写敏感 requestId 建立全局幂等记录；请求指纹不一致明确拒绝，锁定归属按业务类型和业务号核对，重复释放、跨订单释放和超额扣减不会改动库存。
@@ -33,7 +33,7 @@
 - 管理端 `npm run build`、`npm test`：PASS。
 - WSL 原生临时副本 + MySQL 8.4.10：完成 `up → verify → down → up → verify`，179 条 up、141 条 verify、171 条 down；双连接迁移锁、interrupted up/down DDL 原地重跑、增量 marker/checksum、触发器生产前置和 cleanup probe 均 PASS。
 - 真实 MySQL 业务用例覆盖门店唯一性、跨日时段、商品/SKU 版本冲突、并发锁定单赢家、重复 requestId 重放与冲突、批量原子回滚、锁定/释放/扣减、损耗/盘点、负库存拒绝、流水对账与不可变触发器。
-- Windows 汇总门禁在全部 M09-D1 与 V5.7 文件显式暂存后执行最终复跑；不得将提交前的未跟踪完整性提示记为功能失败。
+- Windows 汇总门禁在全部 M09-D1 与 V5.7 文件显式暂存后最终复跑通过；提交前的未跟踪完整性提示未被记作功能失败。
 
 ## 阶段结论
 

docs/devlogs/2026-08-11-M09-D2-商品订单与库存生命周期.md

@@ -0,0 +1,37 @@
+# 2026-08-11 M09-D2 商品订单与库存生命周期
+
+## 工程结果
+
+- 工程状态：当前工作树已完成，待以 `feat(M09-D2): 完成商品订单与库存占用生命周期` 中文标题提交并取得 SHA。
+- 新增独立的商品订单、订单项快照、订单事件、支付、退款、支付回调和退款事件领域；商品订单不复用房间订单或支付单状态，订单项固化商品/SKU 名称、规格、单价、数量、小计和备注。
+- 顾客创建订单时由服务端读取有效门店上架、售价、销售开关和跨日营业时段并复算金额；`DELIVERY` 必须绑定本人当前有效房间订单，`SELF_SERVICE` 明确禁止伪造房间绑定。
+- 下单按稳定订单业务号批量锁定库存；支付成功回调在同一事务扣减并推进 `PAID`，取消和待支付超时释放，退款按履约状态选择 `RESTOCK` 或 `NO_RESTOCK`。重复请求、重复回调和指纹冲突分别重放或明确拒绝。
+- 支付回调统一事务边界对 MySQL 死锁和锁等待超时最多重试 3 次；真实并发回调验证只有一个扣减副作用，另一请求按已落库 callback 幂等返回。
+- 顾客 API 支持创建、本人列表/详情、取消；管理 API 同时提供后台和管理员小程序前缀，支持门店列表/详情、接单、配送、自助待取、完成、取消和退款。服务端重复校验 `goods.order.read/manage`、租户和授权门店范围。
+- 测试支付与退款适配器只在显式非生产开关开启时注册；生产支付/退款回调通过领域服务输入对接后续真实微信适配器，禁止暴露测试完成接口。
+
+## 数据库结果
+
+`2026081108_m09d2_product_order_payment_inventory` 新增 7 张表：
+
+1. `qipai_product_orders`
+2. `qipai_product_order_items`
+3. `qipai_product_order_events`
+4. `qipai_product_payments`
+5. `qipai_product_refunds`
+6. `qipai_product_payment_callbacks`
+7. `qipai_product_refund_events`
+
+订单项、订单事件和退款事件均由数据库双触发器拒绝 UPDATE/DELETE；订单/支付/退款业务号、客户端请求、有效单据、回调和事件版本使用唯一键防重。复合外键保持租户、门店、订单、支付、退款和库存请求归属一致。
+
+## 验证证据
+
+- `node scripts/check-m09-d2-product-orders.mjs`：PASS，静态门禁确认迁移、路由、服务、RBAC、回归入口及 Windows/WSL 门禁均已接线。
+- 后端 `npm run build`、后端全量 `npm test`：PASS；新增服务与路由测试覆盖服务端快照、状态转换、本人边界、门店范围和测试适配器生产隔离。
+- WSL 原生临时副本 + MySQL 8.4.10：完成 `up → verify → down → up → verify`，201 条 up、150 条 verify、187 条 down；M09-D1 interrupted up/down 重试会先按依赖撤销 D2，恢复后 D2 权限和表完整重建。
+- 真实 MySQL 业务用例覆盖下单重放/指纹冲突、无效房间配送拒绝、并发支付单次扣减、配送和自助状态机、已完成订单退款不返库、未履约订单退款返库、待支付取消释放、超时批量回收、跨门店拒绝及不可变事件触发器。
+- Windows 汇总门禁在全部 M09-D2 与伴随文档显式暂存后执行最终复跑；提交前唯一失败为完整性门禁按设计拒绝未跟踪的新交付文件，不是功能失败。
+
+## 阶段结论
+
+`M09-D2=DONE`。唯一执行游标进入 `M09-D3`，下一阶段建立寄存单、分次取出、哈希领取凭证、并发防超领和通知 outbox。

docs/feature-status.md

@@ -48,7 +48,9 @@
 
 > 2026-08-11 M09-C：工程提交 `1f10715` 为 `CLN-003`、`CLN-004` 统一协作成员份额的待结算/已结算口径，补活动份额数据库唯一键、并发生成单赢家、成员奖励冻结、不可变负向冲正与状态事件；微信转账在出站前 CAS 为处理中，回调按商户隔离且成功重放幂等，并支持失败后的人工付款。列表/API/CSV 共用查询，所有保洁 CSV 金额输出整数分。Windows 全量与 WSL MySQL 8.4.10 的 160 up、132 verify、154 down 往返通过，游标进入 M09-D1。
 
-> 2026-08-11 M09-D1：当前工作树为 `PRD-001`、`INV-001` 建立租户/门店隔离的商品目录和库存底座；9 张表覆盖分类、商品、SKU、门店上架、销售设置、跨日时段、库存、幂等请求和不可变流水。增量迁移可跳过历史 marker，interrupted up/down DDL 可原地重试，同库发布由数据库命名锁串行化；触发器生产前置、API/RBAC、并发库存、幂等冲突、负库存拒绝和流水 UPDATE/DELETE 拒绝已通过。WSL MySQL 8.4.10 完成 179 up、141 verify、171 down 往返及 cleanup probe，游标进入 M09-D2；结果随本次中文工程提交固化。
+> 2026-08-11 M09-D1：工程提交 `93af128` 为 `PRD-001`、`INV-001` 建立租户/门店隔离的商品目录和库存底座；9 张表覆盖分类、商品、SKU、门店上架、销售设置、跨日时段、库存、幂等请求和不可变流水。增量迁移可跳过历史 marker，interrupted up/down DDL 可原地重试，同库发布由数据库命名锁串行化；触发器生产前置、API/RBAC、并发库存、幂等冲突、负库存拒绝和流水 UPDATE/DELETE 拒绝已通过。WSL MySQL 8.4.10 完成 179 up、141 verify、171 down 往返及 cleanup probe，游标进入 M09-D2。
+
+> 2026-08-11 M09-D2：当前工作树为 `GOODS-102` 建立商品订单与支付库存闭环；7 张表分离商品订单、快照项、状态事件、支付、退款、支付回调和退款事件。下单按服务端目录/价格快照锁库存，支付回调在死锁/锁等待时有限重试并仅扣一次，取消/超时释放锁定，退款按订单履约状态决定返库且重复回调幂等。房间配送校验本人有效房间订单，自助场景不绑定房间；顾客和管理员/员工 API 复用租户、门店范围与 `goods.order.read/manage`。WSL MySQL 8.4.10 完成 201 up、150 verify、187 down 往返，游标进入 M09-D3；结果随本次中文工程提交固化。
 
 | ID | 功能 | 模块子阶段 | 状态 | 最近提交 | 测试/验收证据 | 阻塞原因 | 下一步 |
 |---|---|---|---|---|---|---|---|
@@ -75,8 +77,9 @@
 | CLN-003 | 保洁统计 | M08-B/M09 | DONE | `1f10715` | 保洁员与管理端统计统一按有效成员份额复算：免清洁不计奖励，DRAFT/CONFIRMED 仍计未付款，只有 PAID 计已结算；负责人/协作者、任务状态、结算状态、门店、日期和每日趋势口径一致。统计页、任务/结算明细和整数分 CSV 可相互校验；真实 MySQL 覆盖协作成员分步付款和最终任务结算。 | - | M10 以生产数据抽样复算，不重开统计状态机。 |
 | CLN-004 | 保洁结算 | M09-C | PARTIAL | `1f10715` | 同一任务成员份额由数据库生成唯一键保证最多一条有效结算明细，并发生成只有一个赢家；活动结算冻结成员奖励。取消保留原单/明细并生成负向冲正和状态事件，可重新生成；出款前 CAS、稳定请求号、商户隔离回调、成功重放、失败重试、人工已付、同源列表/导出和整数分均已闭环。协作任务按收款人分别付款，全部有效份额 PAID 后任务才进入 SETTLED。 | 真实微信商户凭据、生产小额转账和回调仍为 BLOCKED_EXTERNAL。 | 取得生产商户条件后执行小额转账、迟到回调和账单对账验收；内部工程不阻断 M09-D1。 |
 | CLN-005 | 保洁驳回/免清洁 | M08-B/M09 | PARTIAL | `eb838f5` | 已支持管理侧驳回、批量驳回和保洁员驳回补做；已新增 `POST /admin-api/cleaning/tasks/:taskId/exempt`，后台任务列表提供免清洁按钮、批量免清洁和 `EXEMPT` 筛选，仓储将可处理任务置为 `EXEMPT`、奖励归零并移除未结算协作者；待结算候选继续只取 `COMPLETED` 且未结算任务，免清洁任务不进入结算；管理统计 summary、门店明细、每日趋势和统计导出均新增免清洁数量，便于核对不结算口径。 | 真实商户现场执行仍待继续。 | 继续 M08-B/M09，补现场验收记录和更完整运营管理界面。 |
-| PRD-001 | 商品目录与门店售卖 | M09-D1 | DONE | M09-D1 当前工作树（待本次中文工程提交） | 分类、商品、SKU、门店上架、履约方式、销售开关/人工暂停及最多 8 段每周营业时段已实现；代码/条码软删除后可复用，写操作用 expectedVersion CAS，跨日营业判断和租户/门店/角色越权拒绝有路由、仓储和真实 MySQL 证据。 | - | M09-D2 复用目录快照创建商品订单，不重建第二套商品主数据。 |
-| INV-001 | 库存策略与不可变流水 | M09-D1 | DONE | M09-D1 当前工作树（待本次中文工程提交） | TRACKED/UNLIMITED 策略、入库、调整、盘点、损耗、批量锁定/释放/扣减已实现；请求指纹全局幂等、复合外键、数量边界、版本 CAS 和事务保证负库存拒绝与批量原子性，流水版本唯一且双触发器禁止 UPDATE/DELETE。MySQL 8.4.10 覆盖并发单赢家、重放/冲突、锁定归属、对账与 interrupted up/down 恢复。 | - | M09-D2 把订单状态机接入库存锁定、扣减、释放和取消回补。 |
+| PRD-001 | 商品目录与门店售卖 | M09-D1 | DONE | `93af128` | 分类、商品、SKU、门店上架、履约方式、销售开关/人工暂停及最多 8 段每周营业时段已实现；代码/条码软删除后可复用，写操作用 expectedVersion CAS，跨日营业判断和租户/门店/角色越权拒绝有路由、仓储和真实 MySQL 证据。 | - | M09-D4 在顾客端和运营端复用同一目录，不重建第二套商品主数据。 |
+| INV-001 | 库存策略与不可变流水 | M09-D1/M09-D2 | DONE | `93af128` + M09-D2 当前工作树 | TRACKED/UNLIMITED 策略、入库、调整、盘点、损耗、批量锁定/释放/扣减已实现；M09-D2 已把订单创建、支付、取消、超时和退款接入稳定业务号与同事务库存变更。请求指纹、版本 CAS、数量边界和不可变流水保证并发回调只扣一次、重复释放/返库幂等且不出现负库存。 | - | M09-D3 的寄存数量独立记账，不回写已完成订单项快照。 |
+| GOODS-102 | 商品订单与支付库存闭环 | M09-D2 | DONE | M09-D2 当前工作树（待本次中文工程提交） | 商品订单与支付单分离；订单项固化商品、SKU、规格、单价、数量和金额快照，状态事件不可变。顾客可下单、查询、取消，授权 STAFF/管理员可接单、配送/待取、完成、取消/退款；房间配送验证本人有效房间订单，自助订单不绑定房间。支付成功扣减、取消/超时释放、退款按履约状态返库均有回调幂等、事务重试、审计和 MySQL 8.4 并发证据。 | - | M09-D3 仅允许从符合条件的已完成商品订单创建寄存来源，并写通知 outbox。 |
 | STAFF-001 | 员工账号 | M02-D/M08 | PARTIAL | `93f06d2` | 已实现创建员工、分配角色/门店、禁用、备注、重置会话和审计；管理员小程序已展示员工概况，Vue 后台可按角色/状态搜索并完成完整生命周期管理，权限变化即时撤销活动会话。 | 真实员工微信绑定和生产账号生命周期验收待补。 | M10 以真实员工账号验证绑定、门店切换、禁用和重新登录。 |
 | BKG-002 | 后台用户管理 | M02-D/M08 | PARTIAL | `0511008` | 已实现分页筛选、注册/登录时间、状态、角色、门店范围、手机号/IP 脱敏及会员/STAFF 分栏；租户管理员可为同租户有效 STAFF 设置唯一登录名和强密码，更新凭据会撤销其活动会话且不返回密码哈希。 | 尚缺平台级跨租户用户视图和真实生产数据验收。 | M10 以生产平台/租户账号复验跨租户用户视图、凭据重置和审计。 |
 | TEN-001 | 多门店支持 | M02/M03 | PARTIAL | `15139b3` | 门店 CRUD 与门店管理员数据范围已实现；跨门店写操作在 Windows 和 WSL MySQL 实测被拒绝。 | 地图选店、前端切换与完整订单数据范围待后续阶段。 | M03-C 接入地图选店，M04 起业务资源继承门店范围。 |

docs/module-status.md

@@ -3,16 +3,16 @@
 ```yaml
 execution_cursor:
   current_module: M09
-  current_stage: M09-D2
+  current_stage: M09-D3
   stage_status: TODO
-  last_completed_stage: M09-D1
-  next_stage: M09-D3
-  last_engineering_commit: `1f10715`
-  pending_engineering_commit: "M09-D1 当前工作树（待本次中文工程提交）"
+  last_completed_stage: M09-D2
+  next_stage: M09-D4
+  last_engineering_commit: `93af128`
+  pending_engineering_commit: "M09-D2 当前工作树（待本次中文工程提交）"
   last_push_verified: true
   base_branch: main
   blocked_reason: "M08-A 真机合法域名、真实微信支付和实物开门验证缺微信后台/商户/硬件现场条件；M08-B 可独立工程内容已完成，真实商户凭据、微信后台配置、生产小额转账和实物硬件结果保持 BLOCKED_EXTERNAL；M08-C 可独立工程内容已完成，真实美团/抖音/快手商家授权与真机验券保持 BLOCKED_EXTERNAL，已按规则旁路进入 M08-D。M06-G 真实硬件联调仍缺生产 MQTT 账号/ACL、DeviceID、控制箱、门锁、插座和现场配线。"
-  updated_at: 2026-08-11T03:41:30+08:00
+  updated_at: 2026-08-11T06:58:52+08:00
 ```
 
 | 模块 | 状态 | 最近提交 | 最近开发日志 | 备注 |
@@ -26,6 +26,6 @@ execution_cursor:
 | M06 设备、MQTT 与真实硬件联动 | PARTIAL | `da5751f` | docs/devlogs/2026-06-24-M06-E-智慧插座.md | M06-C/E-R1 已按原件校正控制箱、Sub-1G 与智慧插座 Wire/事件/脱敏；M06-R 已通过 Windows 后端全量、MQTT fixture、四项静态检查的中文/空格路径回归及 WSL MySQL 8.4.10 完整往返。M06-G 仍缺生产 MQTT 账号/ACL、DeviceID 和实物配线，保持 BLOCKED_EXTERNAL。 |
 | M07 会员、余额、充值、优惠券和套餐营销 | DONE | `ed0d455` | docs/devlogs/2026-06-24-M07-D-会员管理.md | M07-A 已完成现金/赠送双余额账本；M07-B 已完成充值优惠；M07-C 已完成优惠券/套餐权益底表和冻结、确认、退回的可靠补偿核销服务；M07-D 已完成会员画像、订单、消费、余额、充值、优惠券和套餐聚合查询。 |
 | M08 微信原生小程序完整业务 | PARTIAL | `3faf868` | docs/devlogs/2026-08-10-M08-D-Vue平台后台.md | M08-A/B/C/D 功能切片与 M08-D-R1 架构返工已完成；12 个权限路由按领域懒加载，最大 JS 分块 217,195 B，三档响应式门禁通过。真实微信、团购和硬件现场验收按 BLOCKED_EXTERNAL 保持 PARTIAL。 |
-| M09 保洁任务、结算、商品和库存 | DOING | M09-D1 当前工作树（待本次中文工程提交） | docs/devlogs/2026-08-11-M09-D1-商品目录与库存底座.md | M09-A/B/C 已完成保洁收口；M09-D1 已完成 9 张表、商品/SKU/门店售卖与跨日时段、库存策略、幂等请求、不可变流水、API/RBAC、增量/崩溃重试迁移和真实 MySQL 门禁。当前进入 M09-D2，建设商品订单与库存占用生命周期。 |
+| M09 保洁任务、结算、商品和库存 | DOING | M09-D2 当前工作树（待本次中文工程提交） | docs/devlogs/2026-08-11-M09-D2-商品订单与库存生命周期.md | M09-A/B/C 已完成保洁收口；M09-D1 完成商品/库存底座，M09-D2 完成 7 张订单/支付/退款表、服务端快照、订单状态机、支付库存扣减、取消/超时释放、退款返库、顾客与管理 API、RBAC 和真实 MySQL 并发回归。当前进入 M09-D3，建设寄存/取出安全闭环。 |
 | M10 部署、域名、验收和运维闭环 | TODO | - | - | - |