检查点：开始项目生命周期与事务审计整改

doc/Scert整改任务执行清单.md

@@ -1,5 +1,19 @@
 # Scert 整改任务执行清单
 
+## 2026 年 9 月 28 日：项目生命周期与审计（20:21 开始）
+
+需求确认：继续 P0-06／P0-07，补齐项目创建、资料修改和空项目删除的正式入口；项目不是用户分组。创建仅允许当前有效超级管理员，修改沿用项目管理员实时权限；删除仍遵守默认项目与域名、服务器、成员引用保护，不自动删除业务资源或成员，不清理现有业务数据。名称允许重名，标识由服务端生成且不可修改。所有成功变更与审计同事务，失败记录不泄露请求正文。
+
+- [x] 核对上一批提交 `61652f0` 与干净工作区；浏览器工具问题不阻止本批源码整改。
+- [~] 核对权限、引用约束、事务审计及页面目录状态；先提交推送任务检查点再修改源码。
+- [ ] 新增项目生命周期仓储、实时判权、事务审计及失败回滚正式测试；不得只在 HTTP 层先判权再写入。
+- [ ] 接入项目创建、编辑、删除 API 与失败审计，拒绝客户端指定项目标识、操作者或时间字段。
+- [ ] 页面增加创建、编辑和二次确认删除，保持现有分页、角色管理及旧请求隔离。
+- [ ] 执行后端与前端回归，按真实范围补充数据库与构建证据；真实浏览器、PostgreSQL 当前实库和生产验收仍单独保留。
+- [ ] 同步总清单、模型与验证记录，精确提交推送；不提交运行包、业务库、凭据或日志。
+
+原始 44 项及其验收标准不缩减。删除引用冲突必须明确提示且不产生部分删除，授权能力提示不能替代服务端每次检查。
+
 ## 2026 年 9 月 28 日：项目页面浏览器验证（19:57 开始，20:15 同步实际进展）
 
 需求确认：使用已提交的项目入口与成员页面，在最新正式构建上验证实际页面、权限操作和布局；不以 SSR 代替浏览器，不扩大为生产验收。正式首次初始化必须经过临时 HTTPS 身份核对、数据库验证、DNS 权限验证和管理证书配置，不通过手工改库或关闭 TLS 校验绕过。