diff --git a/docs/tech-debt.md b/docs/tech-debt.md
index a52ce8c..8e53ac8 100644
--- a/docs/tech-debt.md
+++ b/docs/tech-debt.md
@@ -4,7 +4,7 @@
 
 ## 安全 / 合规（优先处理）
 
-- [ ] **id_card_no 存储层加密**：staff + elder 的身份证目前明文存（代码留 TODO），需统一走一个 security change（AES 加密；掩码/查看留痕已做）。
+- [x] ~~**id_card_no 存储层加密**~~ ✅ 已做（2026-10-21）：AES-256-GCM 加密 + SHA-256 哈希唯一，掩码/查看留痕保留。密钥 `DATA_ENC_KEY`（缺省开发回退 key，生产必须配置）。
 - [ ] **tenant_super_admin 未纳入身份证明文查看口径**：`elder` detail 明文目前仅 admin/qc/super_admin，业务租户顶层管理员 `tenant_super_admin` 遗漏（低危，C1 遗留）。
 - [ ] **身份核验 P-9**（扫脸/人证核验）：依赖医保 APP 能力，后置；本期兜底＝拍照留痕 + 实名账号 + 家属可选确认。
 - [ ] **评估结论副本孤儿文件**：建档先上传副本、create 失败（如重复身份证）会在 MinIO 留孤儿对象，需失败清理。
diff --git a/sources/ec-nest b/sources/ec-nest
index 6ea9ad0..394d7a9 160000
--- a/sources/ec-nest
+++ b/sources/ec-nest
@@ -1 +1 @@
-Subproject commit 6ea9ad097bb7630d476e18018d2ba9d0885d0acf
+Subproject commit 394d7a9731447c468b42ab9cf9e8927c939d4091