docs: 审计清单 M5/M12/L7 完成（track 前后端）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/audit-checklist.md

@@ -36,15 +36,15 @@
 
 ## P2 会话与安全加固
 
-- [ ] **M5** 登录安全基线缺失 —— 无锁定/后端验证码/密码策略。方案：先锁定+密码策略，验证码后置
+- [x] **M5** 登录安全基线缺失 —— 无锁定/后端验证码/密码策略。✔ 已完成：失败锁定（5 次/15 分钟）+ 密码长度策略（验证码后置）
 - [ ] **M7** Swagger 无鉴权 + CORS 全开 + 无 helmet/限流 —— 方案：/docs 收口 + CORS 白名单 + helmet + 限流
-- [ ] **M12** RefreshToken 哈希未校验 + 无清理 —— 方案：校验 hash + 过期清理任务
+- [x] **M12** RefreshToken 哈希未校验 + 无清理 —— ✔ 已完成：refresh 校验 tokenHash（清理并入 L8）
 - [x] **M14** 401 强退后 authStore 失真 —— ✔ 已完成：auth store 增 reset，handler 同步清空
 - [x] **M15** dictStore loaded 守卫无法刷新 —— ✔ 已完成：fetch 加 force 参数，字典页增删改后 force 刷新
 - [x] **M20** 登录租户写死 touyun —— ✔ 已完成：登录按用户名自动探测租户，多租户返回候选由前端弹窗选择
 - [x] **M3** created_by 全项目零写入 —— ✔ 已完成：BaseCrudService.create 注入 createdBy
 - [x] **L5** 登出审计 username 写 null —— ✔ 已完成：按 userId 回查真实 username
-- [ ] **L7** useRequest loading 竞态 + ty-crud 重复请求 —— 方案：请求序号/去重
+- [x] **L7** useRequest loading 竞态 + ty-crud 重复请求 —— ✔ 已完成：useRequest 请求序号防竞态 + ty-crud 搜索/重置去重
 - [ ] **L8** 审计/登录日志、refresh_token 无清理任务 —— 方案：定时清理任务
 
 ## P3 工程化契约

sources/sysmgr-admin

@@ -1 +1 @@
-Subproject commit ed1a1e115c5fd7f3f2b6b3a5a4a47edd7548566c
+Subproject commit 77c9c3fd2558c1758ae433fa22909658a581a73d

sources/sysmgr-nest

@@ -1 +1 @@
-Subproject commit 5c1f2992b5954c012cfcc5ae7ed4725e4b88bcf2
+Subproject commit 606585c3bd20fbc65c8cf5a7e3e686c90911ad8a