feat: 实现容量与配额安全闸 (#75)

docs/02-architecture-and-code-map.md

@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Architecture-and-Code-Map
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Architecture-and-Code-Map.-
-wiki_revision: 3c95336ab96aa1e245f67c598299f2904f0e4437
-synchronized_at: 2026-08-27T11:07:58Z
+wiki_revision: 502d61f5c765c6c9b71432cdbbf0159c9b9c1071
+synchronized_at: 2026-08-28T03:50:51Z
 <!-- gitea-wiki-mirror:end -->
 
 # 架构与代码地图
@@ -174,3 +174,44 @@ Bell 使用独立 PostgreSQL、JWT realm、token key 和首次迁移管理员环
 - `dev_scripts/harness.py sync` 只从 Gitea Wiki 导出 `wiki-docs.json` 映射的核心镜像；`sync --check` 只检查一致性。
 - `archive`、`export` 和 `export --all` 只在人工明确要求时处理可选任务快照，任务快照不进入核心映射。
 - `dev_scripts/wiki_docs.py` 负责 Gitea Wiki 读取、revision、镜像头、脏文件保护和安全路径校验。
+
+<!-- sense-provisioning:start -->
+## Sense 批量开通代码入口
+
+工单 #72 的领域代码位于 `Sense/server/app/sense/provisioning/`，GoAdmin JWT/Casbin/PermissionAction 路由注册在 `Sense/server/app/admin/router/sense_provisioning.go`，迁移位于 `Sense/server/cmd/migrate/migration/version/2026082809000_provisioning.go`。前端页面为 `Sense/ui/src/views/sense/provisioning/index.vue`，API 封装为 `Sense/ui/src/api/sense/provisioning.js`；页面复用 BasicLayout、动态菜单、Axios、Element Plus Steps/Upload/Form/Table/Pagination/Dialog/Tag/Alert/Button 和权限指令。
+
+PostgreSQL 表 `sense_provisioning_batches` 保存幂等键、配额快照和汇总状态，`sense_provisioning_items` 保存行号、设备信息、逐项状态、失败原因、尝试次数和已建立的设备引用；两表都没有凭据字段。执行链按条目条件领取 ready/failed 状态，调用既有 Device、Credential Vault 与 Admission 服务，成功项不整体回滚。API 根路径为 `/api/v1/provisioning/batches`，覆盖创建/预校验、列表、详情、执行、失败项重试、单项重试和无秘密 CSV 导出。
+<!-- sense-provisioning:end -->
+
+<!-- sense-local-events:start -->
+## Sense 本地事件只读链路
+
+- 内部模型、DTO、服务、API 与合成夹具：`Sense/server/app/sense/local_event/`。
+- GoAdmin 路由：`Sense/server/app/admin/router/sense_local_event.go`，仅开放 `GET /api/v1/local-events` 和 `GET /api/v1/local-events/:id`。
+- PostgreSQL 表：`sense_local_event_candidates`；迁移同时建立“本地事件”菜单、详情功能权限和 implementation_operator/site_admin/viewer 的只读 Casbin 策略。
+- go-admin-ui 页面：`Sense/ui/src/views/sense/local-event/index.vue`；复用 BasicLayout、Element Plus 表单、表格、分页、Dialog、Tag、权限指令与 Axios 封装。
+- API 响应只包含 Sense 内部候选、匿名源引用、规则引用、证据状态和保留信息，不包含 Bell/Brain schema 或送达字段。页面上的 Bell 送达状态固定解释为“不适用”，避免把本地候选冒充外部预警。
+- 列表和详情成功/失败读取会同步写入脱敏的 `sys_opera_log`，不依赖可关闭的全局数据库日志开关；记录只含动作、路由、操作者、结果和候选 ID，不保存筛选值、响应或证据内容。拒绝访问继续由认证/RBAC 身份审计记录。
+<!-- sense-local-events:end -->
+
+<!-- sense-operations:start -->
+## Sense 运维中心代码路径
+
+- 后端入口：`Sense/server/app/admin/router/sense_operations.go`。
+- 领域投影：`Sense/server/app/sense/operations/`，只读聚合 `sense_devices`、`sense_admission_results` 和 `sense_media_routes`，不建立第二套运维状态表。
+- API：`GET /api/v1/operations`、`GET /api/v1/operations/:id`、`POST /api/v1/operations/:id/retry`；均复用 GoAdmin JWT、Casbin、PermissionAction 和响应封装。
+- 设备重试先用版本 CAS 取得在途所有权，再调用既有 admission Probe；失败时释放在途闸。媒体重试以 CAS 写入 `retry_pending` 和到期时间，由既有 MediaMTX 对账循环执行。
+- 前端：`Sense/ui/src/views/sense/operations/` 与 `Sense/ui/src/api/sense/operations.js`，复用 BasicLayout、Element Plus 表单、表格、分页、Dialog、Tag 和权限按钮。
+- 本模块不导入 Brain/Bell 模型，不访问其数据库，不定义共享契约。
+<!-- sense-operations:end -->
+
+<!-- sense-quota:start -->
+## Sense 容量与配额代码路径
+
+- 领域模型、DTO、服务、API 与测试：`Sense/server/app/sense/quota/`。
+- GoAdmin 路由：`Sense/server/app/admin/router/sense_quota.go`；API 为 `GET /api/v1/quota` 和 `PUT /api/v1/quota`，复用 JWT、Casbin、PermissionAction 和 GoAdmin 响应封装。
+- PostgreSQL 表：`sense_quota_settings` 保存单行配置与版本，`sense_quota_changes` 保存不可变变更记录。迁移 `2026082812000_quota.go` 初始化默认 16、动态菜单、最小权限及设备启用权限。
+- 设备新增和重新启用由 `quota.WithAvailableSlot` 在事务内锁定配置行、计算非停用设备占用并执行写入；设备服务与批量开通服务共用该事实源。
+- 前端：`Sense/ui/src/views/sense/quota/` 与 `Sense/ui/src/api/sense/quota.js`；复用 BasicLayout、Axios、Element Plus Alert/Row/Progress/Form/Table/Pagination/Dialog/Tag/Button 和权限指令。
+- 本模块不导入 Brain/Bell 模型，不访问其数据库，也不定义跨项目配额契约。
+<!-- sense-quota:end -->