fix(analytics): close Phase 20 KEEP-VERIFY — 20 defects (fake metric definitions, hardcoded zeros, systemic soft-delete leak, module-wide 403, fake-green tests); add MetricCatalog + unified calculator + V043 grants + 51 guard tests; full regression 648 green

口径造假：
- D1 实名人数用 user_profiles.profile_status != 'rejected' 冒充 → in_progress/need_edit 被算成已实名
- D3 Chat Started 直接数会话行数 → system/risk_notice 系统通知计入
- D4 Match 不分来源 → 活动 10 对互选被当 10 对成功引用（Gate）
- D6 Banner 曝光/点击硬编码 0 → 改返回 null + NOT_INSTRUMENTED 标记

死代码 / 占位：
- D5 活动漏斗全部硬编码 0 + 一行把"用户数"当"活动数"的死代码
- D20 getDailySummary(days) 无边界校验

系统性软删缺陷（D12）：
- BaseEntity.deletedAt 无 @TableLogic 且全局无逻辑删除配置
  → selectCount 把软删数据全部计入统计且无任何报错
- 修复 45 处统计调用显式 deleted_at IS NULL（2 轮复验，首轮漏扫 5 处次级路径：
  服务用户数分域明细 / 服务站统计 / 性别与年龄分布）

结构类：
- D15 Dashboard/用户漏斗/专项页各实现一遍同名指标且互不相同 → 抽 AnalyticsMetricsCalculator 统一口径

权限（Gate ⑩）：
- data_viewer 在 V001 定义却全仓从未授权（空壳角色）
- platform_admin 的 V015 扩展条件 id >= '20000000-…' 漏掉 V1.0 老权限段
  → 整个 Analytics 模块除 super_admin 外全员 403
- V043 授予两角色；刻意不授予 organization_admin（相关表无组织维度，无范围全量即越权）

假绿测试：
- 删除 AnalyticsServiceTest（5× assertTrue(true)，零断言）

新增：
- 指标字典 MetricCatalog（36 指标 × 12 字段）+ MetricStatus/MetricDefinition + docs/ANALYTICS_METRICS.md
- 守卫 51 用例：MetricCatalogGuardTest(11) / AnalyticsMetricsPhase20IntegrationTest(21)
  / AnalyticsSoftDeleteGuardTest(4，结构性) / AnalyticsPermissionGrantTest(6)
  / LocalEligibilityStatusVocabularyGuardTest(9)

跨阶段修复（缺陷本体属账号生命周期模块，按"发现即修"处理）：
- X1（Critical）注销写入 user_identities 状态域的 'failed' → 违反生产 V017 chk_elig_verify_status
  → 真实 PG 上 closeAccount 事务回滚、账号注销 100% 不可用（负向验证实测 DataIntegrityViolation）
- X2 checkCanWithdraw 资格拦截用 submitted/pending（该表永不可能出现）→ 死代码
- X3 测试库补 chk_elig_type/chk_elig_verify_status，暴露 ActivityPhase14Test 夹具违规

验证：
- 负向验证两轮共 7 处注入 → 7 个用例精准变红且无无关失败（一处被源码结构+运行时行为两层捕获）
- 还原后 md5sum 逐字节一致，NEG-VAL 残留 0
- 后端全量 648 tests / 0 failures / 0 errors / BUILD SUCCESS；admin-web vue-tsc EXIT=0

docs/JIRA_BACKLOG.md

@@ -24,7 +24,36 @@
 > 证据：`docs/Phase-18-V11-Recovery-Completion-Report-2026-09-17.md`。
 >
 > **2026-09-17 Phase 19 复验关闭：** EPIC-P19 已完成。复验不采信任何「历史 ✅」，逐条核对运行时路径与生产约束，查出并修复 **25 处真实缺陷**。高价值项：①**服务站「临时公告」整条不可达** —— `ServiceLocationAnnouncementService` 与 V042 表都已存在，但**全仓零端点**，后台与小程序都拿不到（D20）；②**服务站 `create/update` 越权写** —— `@PreAuthorize("service_location.view")` 挂在**类**上，V015 下发的 `service_location.manage` 是**从未被使用的死权限**，只读角色可直接改站点（D21）；③该控制器**未纳入** `OperatorEndpointPermissionCoverageTest` 扫描清单，导致 D21 长期隐形（D22）；④Banner 校验失败抛裸 `RuntimeException` → **500**（应 400）+ 软删 Banner 仍上首页（D2/D3）；⑤Content「发布」死路（后台复用只返回 published 的公开接口）+ 分类停用不可恢复（D5/D6）；⑥ServiceProgram 审批死路 / 草稿泄露 / 成员数恒 0 / 退出未实现 / 重复申请撞唯一键（D10~D14）；⑦测试库缺 `content_categories` 与 `service_location_announcements` → 对应路径**零覆盖**（D9/D23）；⑧预约 IDOR（D18）；⑨`MigrationValidationTest` 基线未跟进 V042（D24）。新增守卫：`ServiceLocationAnnouncementPhase19IntegrationTest`(24) / `ServiceLocationControllerPermissionContractTest`(5) / `ServiceLocationAnnouncementConstraintParityTest`(5，生产 DDL↔测试库↔后端白名单↔后台标签四方一致)；`V11PermissionMatrixContractTest` 由硬编码 V015+V029 改为扫描全部迁移。负向验证：注入 3 处缺陷（移除软删过滤 / 移除测试库 CHECK / 写端点降级为 `view`）→ **4 个用例精准变红且无无关失败**，还原后 `NEG-VAL` 残留 0。后端 **602 tests 全绿**；admin-web `vue-tsc` EXIT=0 + `vite build` EXIT=0；小程序 `tsc --noEmit` EXIT=0；ui-tests 14/14 PASS。
-> 证据：`docs/Phase-19-V11-Recovery-Completion-Report-2026-09-17.md`。**Phase 20 尚未获准。**
+> 证据：`docs/Phase-19-V11-Recovery-Completion-Report-2026-09-17.md`。
+>
+> **2026-09-17 Phase 20 复验关闭：** EPIC-P20 已完成。`STATUS.md` 早已把 Phase 20 标为「✅ 已完成」，
+> 复验起点是 `AnalyticsController` 15 端点 + `AnalyticsService` 546 行**确实存在**，
+> 但其中同时含有**硬编码 0**、**占位死代码**、**字母级口径造假**、**全员 403**、**假绿测试**。
+> 逐条核对运行时路径与生产约束后修复：①**口径造假** —— 实名人数用 `user_profiles.profile_status != 'rejected'`
+> 冒充（把"资料还在填"算成已实名）；Chat Started 直接数会话行数（系统通知计入）；
+> Match 不分来源（10 对互选被当 10 对成功引用）；**Banner 曝光/点击硬编码 0**；②**死代码** ——
+> 活动漏斗**全部硬编码 0**（不是没数据，是根本没有查询）+ 一行把"用户数"当"活动数"的死代码；
+> ③**系统性软删缺陷（D12）** —— `BaseEntity.deletedAt` 无 `@TableLogic`、全局无逻辑删除配置，
+> `selectCount` 把**软删数据全部计入统计且无任何报错**，修复 45 处统计调用（**2 轮复验，首轮漏扫 5 处次级路径**）；
+> ④**权限授予脱节（Gate ⑩）** —— `data_viewer` 角色被定义却**从未授权**（空壳角色），
+> `platform_admin` 因 `id >= '20000000-…'` 漏掉 V1.0 老权限段 →
+> **整个模块除 super_admin 外全员 403**（含专为它设计的 `data_viewer`）；⑤**三套独立实现** ——
+> Dashboard/用户漏斗/专项页各实现一遍同名指标且互不相同、字段名还不一致（`verifiedUsers` vs `verifiedCount`）；
+> ⑥**假绿测试** —— `AnalyticsServiceTest` = 5×`assertTrue(true)`（零断言）。
+> 建立指标字典（`MetricCatalog` 36 指标 × 12 字段 + `docs/ANALYTICS_METRICS.md`）与统一口径层
+> `AnalyticsMetricsCalculator`；新增 V043 打通 `analytics.view` 授权（刻意不授予 `organization_admin` ——
+> 相关表无组织维度，无范围的全量数据即越权）；新增守卫 `MetricCatalogGuardTest`(11) /
+> `AnalyticsMetricsPhase20IntegrationTest`(21) / `AnalyticsSoftDeleteGuardTest`(4，**结构性**约束：统计包内
+> 每处 Mapper 统计调用必须显式含 `isNull(..)`，含防假绿下界) / `AnalyticsPermissionGrantTest`(6)。
+> **跨阶段发现（本轮已修 X1~X3）**：`AccountLifecycleService` 注销时把 `user_identities` 状态域的 `'failed'`
+> 写入本地资格表 → 违反生产 `V017 chk_elig_verify_status` → **真实 PG 上 `closeAccount` 事务回滚、
+> 账号注销 100% 不可用**（负向验证实测报 `DataIntegrityViolation`）；`checkCanWithdraw` 的资格拦截用
+> `submitted`/`pending`（该表永不可能出现的值）→ **死代码**；测试库补 `chk_elig_type`/`chk_elig_verify_status`
+> 后立即暴露 `ActivityPhase14Test` 夹具违规（`household` → `household_registration`）。新增
+> `LocalEligibilityStatusVocabularyGuardTest`(9)。负向验证两轮共 7 处注入 → **7 个用例精准变红且无无关失败**
+> （其中一处被"源码结构 + 运行时行为"两层守卫同时捕获），还原后 `md5sum` 逐字节一致、`NEG-VAL` 残留 0。
+> 后端 **648 tests 全绿**；admin-web `vue-tsc --noEmit` EXIT=0；**Phase 21 尚未获准。**
+> 证据：`docs/Phase-20-V11-Recovery-Completion-Report-2026-09-17.md`。
 
 > **2026-09-16 状态校正：** Phase 07 UI 已按 2026-09-13 规格重新实现，**首批 11 页于 2026-09-16 通过用户验收（结论：基本达标）**，本文件此前"视觉否决/REOPENED"口径随之关闭。
 >
@@ -148,6 +177,7 @@
 | Phase 17 举报与风控复验 | 已完成（2026-09-17） | 见 `Phase-17-V11-Recovery-Completion-Report-2026-09-17.md`；修复 **6 处真实缺陷**（**D1（Critical，必崩级盲区）测试库缺 `reports`/`risk_events`/`risk_actions` 三表 → 风控/举报真实 DB 路径零覆盖，`ReportServiceTest` 全 `assertTrue(true)` 假绿**；**D3（High）敏感访问（查看他人风险画像/举报）无审计（违反 AGENTS.md #8）**；D4 审计缺 `ip`/`userAgent`；D5 `findByUserId` 未过滤软删；D2 人工标记无审计；**D6 `javax`→`jakarta` 隐藏编译缺陷 + `risk_events` 漏 `updated_at` 列**）；补齐三表并移出白名单入 `REQUIRED_IN_TEST_SCHEMA`；新增 `AuditLogService.recordSensitiveAccess` 并接线三端点；新增 `ReportAndRiskPhase17IntegrationTest`（7 用例）；负向验证（注释 getReportDetail 审计 → D3 守卫精准变红并还原）；后端 **488 tests 全绿**；**Phase 18 尚未获准** |
 | Phase 18 申诉复验 | 已完成（2026-09-17） | 见 `Phase-18-V11-Recovery-Completion-Report-2026-09-17.md`；修复 **8 处真实缺陷**（**D1（Critical，必崩级盲区）测试库缺 `appeals` 表 + `AppealServiceTest` 9 例中 6 例 `assertTrue(true)` 假绿 → 申诉真实 DB 路径零覆盖**；**D2（High，只在 PG 上炸）`escalateAppeal` 向 `operatorId` 发用户通知撞 `notifications.user_id → users(id)` FK → 升级事务整体回滚**；**D3（High，只在 PG 上炸）`appealType` 未校验生产 `chk_appeal_type` 白名单**；D4 escalated 死胡同（前后端均无法再决策）；D5 `processAppeal` 先读后写并发竞态；D6 三处查询漏 `deleted_at` 过滤；D7 硬编码 `resolved`；D8 证据字段契约 `evidenceFileIds`）；补 `appeals` 表并移出白名单入 `REQUIRED_IN_TEST_SCHEMA`；新增原子认领 `markReviewingIfProcessable`；新增 `AppealPhase18IntegrationTest`（15 用例），删除假绿 `AppealServiceTest`（9 用例）；负向验证（误伤其他处置 → Gate 用例精准变红并还原）；后端 **494 tests 全绿**；admin-web `vue-tsc` EXITCODE=0；**Phase 19 尚未获准** |
 | Phase 19 统一运营后台 + 用户端公益服务页面复验 | 已完成（2026-09-17） | 见 `Phase-19-V11-Recovery-Completion-Report-2026-09-17.md`；修复 **25 处真实缺陷**（**D20 服务站公告能力整条不可达：Service + V042 表都在、全仓零端点**；**D21 服务站 `create/update` 越权写：类级 `service_location.view` 兜底，`service_location.manage` 是从未使用的死权限**；D22 该控制器未纳入权限覆盖守卫；**D2/D3 Banner 校验 500 + 软删 Banner 仍上首页**；**D5/D6 Content 发布死路 + 分类停用不可恢复**；D10~D14 ServiceProgram 审批死路/草稿泄露/成员数恒 0/退出未实现/撞唯一键；D9/D23 测试库缺 `content_categories` 与 `service_location_announcements` → 零覆盖；D18 预约 IDOR；D24 迁移基线未跟进 V042）；补 V042 公告表 + 运营端五端点 + 用户端只读端点 + 后台公告管理 UI + 小程序 U50 公告区块；新增 3 组守卫（24+5+5 用例）并把服务站运营端收入权限覆盖扫描；负向验证 3 注入 → 4 用例精准变红；后端 **602 tests 全绿**；admin-web `vue-tsc`/`vite build` 双绿；小程序 `tsc` EXIT=0；ui-tests 14/14；**Phase 20 尚未获准** |
+| Phase 20 Analytics 数据统计与管理驾驶舱复验 | 已完成（2026-09-17） | 见 `Phase-20-V11-Recovery-Completion-Report-2026-09-17.md`；修复 **20 处真实缺陷**（**D1 实名人数用 `profile_status != 'rejected'` 冒充 → 把"资料还在填"算成已实名**；**D3 Chat Started 直接数会话行数 → 系统通知计入**；**D4 Match 不分来源 → 10 对互选被当 10 对成功引用**；**D5 活动漏斗全部硬编码 0 + 一行把"用户数"当"活动数"的死代码**；**D6 Banner 曝光/点击硬编码 0**；**D12 系统性软删缺陷：`BaseEntity.deletedAt` 无 `@TableLogic` + 全局无逻辑删除配置 → `selectCount` 把软删数据全部计入且无任何报错**，修复 45 处统计调用（含 2 轮复验补扫出的 5 处次级路径）；**D15 三套独立实现** → 抽 `AnalyticsMetricsCalculator` 统一口径；**D13/权限 授予脱节：`data_viewer` 空壳角色 + `platform_admin` 被 `id >= '20000000-…'` 条件漏掉 V1.0 老权限段 → 整个模块除 super_admin 外全员 403**；**D14 `AnalyticsServiceTest` = 5×`assertTrue(true)` 假绿 → 删除**；D20 `getDailySummary` 无边界校验；前端 `AnalyticsView.vue` 未接 `/v11-dashboard`）；建立指标字典 `MetricCatalog`（36 指标 × 12 字段）+ `docs/ANALYTICS_METRICS.md`；新增 V043 授权（**刻意排除 `organization_admin`** —— 相关表无组织维度，无范围全量数据即越权）；新增守卫 `MetricCatalogGuardTest`(11) / `AnalyticsMetricsPhase20IntegrationTest`(21) / `AnalyticsSoftDeleteGuardTest`(4，结构性) / `AnalyticsPermissionGrantTest`(6)；**跨阶段修复 X1~X3**（**注销写入 `user_identities` 状态域的 `'failed'` → 违反 V017 `chk_elig_verify_status` → 真实 PG 上账号注销 100% 不可用**；`checkCanWithdraw` 资格拦截死代码；测试库补两条 CHECK 后暴露 `ActivityPhase14Test` 夹具违规）并新增 `LocalEligibilityStatusVocabularyGuardTest`(9)；负向验证两轮 7 注入 → 7 用例精准变红并还原（`md5sum` 逐字节一致）；后端 **648 tests 全绿**；admin-web `vue-tsc` EXIT=0；**Phase 21 尚未获准** |
 | UI-CLEANUP-20260913 | 已完成 | 废弃 UI 代码、冲突规范、旧计划和无效验收证据已清理；`ui-document-baseline-contracts` 锁定唯一视觉入口 |
 | UI-ADMIN-20260913 | 已完成（待桌面端目视复验） | 管理端全局框架与工作台已按规格交付；18 modules + 22 routes，vue-tsc 与 vite build 全绿 |
 | UI-MINIAPP-20260913 | 已完成 | 小程序 11 个核心页面已重构；11/11 页 TS-only，2026-09-16 通过用户验收 |
@@ -559,7 +589,7 @@
 - P19-V11-T27 Program CRUD ✅ (GET/POST/PUT /service-programs)
 - P19-V11-T28 Member application ✅ (POST /service-programs/{id}/apply)
 - P19-V11-T29 Member approval ✅ (POST /operator/members/{id}/approve)
-- P19-V11-T30 Program statistics basic ⏳ 待Phase 20 Analytics
+- P19-V11-T30 Program statistics basic ✅ (Phase 20 已提供 `service.program.member.approved` 等统一口径)
 
 ### Banner管理（后端API）
 - P19-V11-T01~T07 ✅ (V019已有HomeBannerService + HomeController，后续补充Admin CRUD API)