- RealIdentityVerificationProvider: 伪造证件校验位拦截、配置缺失 fail-fast、第三方 fail-closed - AuthService: 钉死刷新 Token Redis TTL 用 getRefreshExpirationMs(14 天)而非 access*2(4 小时) - PhotoService: 直传落库 + 归属/存在性护栏(修复「传了白传」) - JwtAuthFilter: 管理端 HttpOnly Cookie(dy_op_at)兜底鉴权 + 头优先于 Cookie - miniapp profileLabels: 枚举码→中文映射不退化(serviceTypeLabel / labelOf)