2026-09-03 系统测试

对 unis_crm 做了全系统测试（后端8080 + 前端3000/3002 + frontend1），产出《系统测试报告-20260903.md》
关键发现：
- 严重：后端信任 X-User-Id 头（任何登录用户可冒充任意 userId，IDOR）
- 严重：/sys/api/admin 的 wecom-app-config、report-reminder-config、dashboard-analytics-config 无鉴权（普通用户可读企微 secret、可写配置、跨租户）；speech-recognition 与 user-data-scope 有权限校验（对照组）
- 高：全局异常处理器缺 MissingServletRequestParameter/HttpMessageNotReadable 等 → 大量参数错误返回 500
- 高：运行环境使用仓库默认 JWT 密钥 change-me-please-change-me-32bytes（签名验证通过实证）；有 Redis 会话绑定兜底
- 中：CORS 反射任意 Origin + Allow-Credentials；单测 2/113 失败（ExpansionServiceImplTest 渠道重名 vs 联系人必填校验顺序）
接入要点：前端 vite 代理把 /api/sys/* 重写为 /sys/*；业务接口需同时带 Authorization + X-User-Id 两个头
测试账号：admin_crm/crm@123 (userId=19)；13752913297/123456 (周瑾 userId=20，部门领导，全租户数据权限)
遗留测试数据：商机2228/2229、签到1025、日报999（均带【自动化测试】前缀）；企微配置曾意外清空已恢复