docs: allow explicit owner merge authorization

AGENTS.md

@@ -6,7 +6,7 @@
 - 保留他人的未提交修改和已有提交，仅暂存本任务内容；不得清理或覆盖未知工作。
 - 推送前同步远端，逐项检查最终差异并验证；被拒绝后先查明并合并更新，禁止任何形式的强推。
 - 不改写已发布历史，不批量选择冲突的某一方；不明确的行为取舍需要负责人确认。
-- 所有变更通过 PR 进入 `main`，不得直接推送主分支；独立审核与最新内容的验证通过后由维护者合并。
+- 所有变更通过 PR 进入 `main`，不得直接推送主分支；默认由非提交者审核。仓库所有者或管理员明确授权某个 PR 合并时，该书面授权可以代替独立审核，但仍必须同步最新主分支、验证最终提交并保留授权记录。
 - 不提交凭据、私钥、环境秘密或真实业务数据；不把合并授权当成生产部署授权。
 - 新建或修改数据表、映射表、查询和同步任务时，必须按实际过滤、关联、排序和唯一性设计索引，用执行计划和有代表性数据验证负载；禁止无边界全表扫描、无节制并发和重复全量同步。
 - 开发机器使用中央系统数据库和公网 TLS Redis，无需安装本地数据库；生产部署必须先将代码通过 PR 合入 `main`，并在 `/opt/cangku/deploy.lock` 锁内从服务器 Git 工作区快进拉取和验证。

仓库提交与合并规范.md

@@ -168,12 +168,12 @@ npm --prefix frontend run check
 
 合并要求：
 
-1. 至少一名非提交者的维护者或开发者审核最终差异；AI 自我复查可以辅助，但不代替独立审核。提交 AI 不得用另一个会话或共享账号冒充独立审核者。
+1. 默认由至少一名非提交者的维护者或开发者审核最终差异；AI 自我复查可以辅助，但不代替独立审核。仓库所有者或管理员对明确的 PR 作出书面合并指令时，该授权可以代替独立审核，但必须在 PR 中记录授权人、授权范围和当时的最终提交 SHA。提交 AI 不得伪造授权、冒用其他账号或把模糊的日常开发指令解释为合并授权。
 2. 审核需关注是否撤销他人逻辑、丢失配置/依赖、改变接口与权限、破坏已上线功能，不能只看有无冲突或测试绿灯。
-3. 审核和检查必须对应最终待合并提交；后续新提交或冲突解决后需要重新确认，不能沿用失效的批准。
-4. 合并前再次确认最新 `main` 已被纳入任务分支，并验证组合后的行为。其他 PR 先合并导致主分支前进时，更新本 PR、重新检查并确认审核后再合并。
+3. 审核、所有者/管理员授权和检查必须对应最终待合并提交；后续新增业务代码、依赖变更或冲突解决后需要重新确认，不能沿用失效的批准。授权后仅补充不改变行为的合并记录或文档时，应在 PR 中说明并重新检查最终差异。
+4. 合并前再次确认最新 `main` 已被纳入任务分支，并验证组合后的行为。其他 PR 先合并导致主分支前进时，更新本 PR、重新检查并确认审核或所有者/管理员授权仍适用于最终提交后再合并。
 5. 由维护者通过仓库 PR 合并功能依次处理；同时有多个待合并 PR 时串行合并。有合并队列时使用针对最新组合提交的检查，避免两份旧验证同时放行。
-6. 未解决冲突、必需检查失败、尚未审核或同步状态不清楚时不得合并。缺少独立审核者时保持 PR 待审核，不自行批准。
+6. 未解决冲突、必需检查失败、同步状态不清楚，或既无独立审核也无所有者/管理员明确授权时不得合并。授权例外不允许绕过失败检查、未解决冲突、数据库风险证据或分支保护，也不允许直接推送 `main`。
 7. 合并后核对主分支结果。删除任务分支前确认已合并且无人继续使用，不删除其他开发者的分支。
 
 ## 7. 发现误合并或代码被覆盖
@@ -190,6 +190,7 @@ npm --prefix frontend run check
 - [ ] 涉及数据表、索引、映射、查询或同步时，已验证执行计划、数据量边界和负载控制，并在 PR 记录真实证据。
 - [ ] 已同步最新主分支及远端任务分支，未强推、未改写已发布历史。
 - [ ] 已逐项审核最终差异；冲突处理保留双方有效行为，疑点已确认。
+- [ ] 已取得独立审核，或已在 PR 中记录仓库所有者/管理员针对最终提交的明确合并授权。
 - [ ] 已完成受影响的验证，记录准确结果和提交 SHA。
 - [ ] PR 已说明范围、兼容性、验证、风险和回退方法。
 - [ ] 已明确报告当前状态：本地提交 / 已推送 / PR 待审核 / 已合并；没有把推送成功说成合并或部署成功。
@@ -198,6 +199,6 @@ npm --prefix frontend run check
 
 本文件规定协作流程，`AGENTS.md` 提供 AI 读取入口；它们不是权限控制，不能保证每个 AI 工具自动读取或遵守。使用不自动读取这些文件的工具时，开发者必须主动提供规则。
 
-仓库管理员应在服务端落实以下保护，并以实际设置为准：保护 `main`、禁止直接及强制推送和删除、要求 PR 与独立审核、使过期审核失效、绑定真实运行的必需检查、限制合并权限、按个人发放最小权限凭据。没有真正运行的检查不能仅凭同名状态作为合并依据。
+仓库管理员应在服务端落实以下保护，并以实际设置为准：保护 `main`、禁止直接及强制推送和删除、要求通过 PR 合并、使过期审核失效、绑定真实运行的必需检查、限制合并权限、按个人发放最小权限凭据。团队可默认要求独立审核；需要允许所有者/管理员授权例外时，应确保只有真实所有者或管理员能够执行并保留可审计记录。没有真正运行的检查不能仅凭同名状态作为合并依据。
 
 **添加本文件不等于上述保护已经启用。** 此文档变更不修改仓库权限、分支保护、CI 或生产部署；如需启用服务端限制，应由管理员单独配置并验证。

服务器部署规范.md

@@ -59,8 +59,8 @@ git diff --stat origin/main...HEAD
 2. 本地已有修改先按 `仓库提交与合并规范.md` 提交到唯一任务分支，再同步最新 `origin/main`。
 3. 如果主仓库已有更新，先合并到任务分支，逐处处理冲突，重新检查最终差异并运行受影响测试。
 4. 禁止使用强制推送、`git reset --hard`、批量选择 `ours/theirs` 或复制旧目录覆盖新代码来解决冲突。
-5. 将任务分支推送到主仓库，创建 PR，经过审核和验证后合并到 `main`。这里的“先推送主仓库”指推送任务分支并通过 PR 合并，禁止直接推送 `main`。
-6. PR 合并后再次执行 `git fetch origin`，记录准备部署的 `origin/main` 完整 SHA。部署 SHA 必须与审核通过的最终提交一致。
+5. 将任务分支推送到主仓库并创建 PR；经过独立审核，或取得仓库所有者/管理员针对该 PR 最终提交的明确授权，并完成验证后合并到 `main`。这里的“先推送主仓库”指推送任务分支并通过 PR 合并，禁止直接推送 `main`。
+6. PR 合并后再次执行 `git fetch origin`，记录准备部署的 `origin/main` 完整 SHA。部署 SHA 必须与审核或所有者/管理员授权覆盖的最终提交一致。
 
 如果本次变更涉及数据表、索引、查询、数据映射或同步任务，部署者还必须确认 PR 已按《仓库提交与合并规范》记录索引与执行计划证据、分批/并发/超时边界、大表锁影响和回退方式。证据缺失、依赖全表扫描、可能对系统库或第三方云库造成不可控负载时，不得部署。