feat(m6): 额度流水、套餐开通、数据删除、运营后台（M6 剩下的 P0）

决策 M6-1–M6-10（docs/architecture/m6-plan.md、docs/decisions.md）。

用户端：
- 额度与套餐页：本期额度、按功能分布、扣点规则、流水（逐条余额、关联项目和任务、导出 CSV）
- 开通 / 续费申请（对公转账，运营确认到账后开通），80% / 100% 提醒
- 专业版到期：整个账号只读、额度清零，到期前 30 / 7 / 0 天提醒（worker 每小时 billing_tick）
- 删除项目（彻底删除、销毁数据密钥），注销账号（企业名称 + 短信验证码）
- 通知铃铛、账号页

运营后台：
- 独立进程 bid-doctor ops（/ops/v1）和 apps/admin；用户名 + 密码 + TOTP + IP 白名单
- 开通申请（到账 / 开通 / 退回 / 发票）、企业查询和调额度、误报 / 漏报、失败任务、审计；不看业务内容
- 左侧菜单（标准 logo、可展开收起的分组、图标、待办数、环境标签）
- 运营人员角色只留结构：ops_admin.role、权限点、每个接口的检查点、菜单按权限过滤

数据库：迁移 0010（排队的订阅、申请单号、通知类型、billing_due）、0011（bd_ops 权限）、0012（运营角色）。
另修：取消解析 / 检查接口报 500；uuid7 进程内单调；data_key 销毁后不再新建；审计 None 存 SQL NULL。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

AGENTS.md

@@ -81,7 +81,7 @@
 骨架见技术架构 §13。后端 Python 3.12+（uv workspace），前端 Vue 3 + Vite（pnpm workspace）。
 
 ```
-server/                 后端：api 和 worker 是同一个包、两种进程（bid-doctor api | worker | migrate）
+server/                 后端：api、worker、ops 是同一个包、三种进程（bid-doctor api | worker | ops | migrate | ops-admin）
   src/bid_doctor/
     core/               配置、数据库与租户事务、错误码、加密、对象存储、队列、事件流、权限点
     identity/ billing/ project/ document/ checklist/ ai/ audit/ notification/   业务模块（架构 §3.2）
@@ -89,6 +89,7 @@ server/                 后端：api 和 worker 是同一个包、两种进程
   migrations/           Alembic；sql/0001_baseline/ 是 data-model 的建表脚本，按模块拆分
   tests/                集成测试（真实 PostgreSQL + 行级安全策略）和单元测试；fixtures/ 是虚构的小样例
 apps/web/               用户端单页应用
+apps/admin/             运营后台（单独构建、单独部署，私有化不交付；接口见 docs/architecture/ops-api.md）
 packages/api-client/    由 docs/architecture/openapi.yaml 生成的类型 + 客户端（不手写接口类型）
 prompts/                带版本号的提示词（已发布的版本不再修改）
 deploy/compose/         Docker Compose；deploy/docker/ 镜像
@@ -103,6 +104,7 @@ deploy/compose/         Docker Compose；deploy/docker/ 镜像
 | 建表 / 升级数据库 | `cd server && ../.venv/bin/bid-doctor migrate` |
 | 起后端 | `cd server && ../.venv/bin/bid-doctor api`（:8009），另开一个终端 `../.venv/bin/bid-doctor worker` |
 | 起前端 | `pnpm dev`（:5173，`/api` 代理到 :8009）。dev 环境短信验证码固定是 `000000` |
+| 起运营后台 | `cd server && ../.venv/bin/bid-doctor ops`（:8019，只放行白名单地址），`pnpm dev:admin`（:5174）；运营账号 `../.venv/bin/bid-doctor ops-admin create --username <名> --display-name <姓名>`，打印的 otpauth 地址用身份验证器 App 添加 |
 | 后端检查 | `cd server && ../.venv/bin/ruff check src tests migrations && ../.venv/bin/ruff format --check src tests migrations && ../.venv/bin/pyright && ../.venv/bin/lint-imports && ../.venv/bin/pytest -q` |
 | 前端检查 | `pnpm typecheck && pnpm build` |
 | 改了 openapi.yaml 之后 | `pnpm gen:api`，重新生成的 `schema.d.ts` 一起提交（CI 会比对） |
@@ -232,4 +234,10 @@ samples/
   - 概览：加了检查记录卡和文件卡。
   - 工作台：加了「致命」列、统计可点筛选、待处理的致命问题卡（「去处理」定位到那条问题）。
   - 日期输入加了日历弹层；查标页加了 ? 键。
-- 下一步：M6 剩下的 P0（额度流水、套餐开通、数据删除、运营后台）。
+- 2026-11-05：M6 剩下的 P0（`docs/architecture/m6-plan.md`，M6-1–M6-8 全部按建议确认）。
+  - 用户端：额度与套餐页（流水逐条可核、按功能分布、扣点规则、导出 CSV）、开通 / 续费申请、80% / 100% 提醒、通知铃铛、账号页和注销、删除项目（彻底删除）。
+  - 到期：专业版到期后整个账号只读、额度清零，到期前 30 / 7 / 0 天提醒；worker 每小时跑一次定时任务。
+  - 运营后台：独立进程 `bid-doctor ops` 和 `apps/admin`，用户名 + 密码 + TOTP + IP 白名单，可以处理开通申请、查企业、调额度、看误报 / 漏报、失败任务和审计，不看业务内容（`ops-api.md`）。新增数据库角色 `bd_ops`，迁移 0010、0011。
+  - 顺手修了取消解析 / 检查时接口报 500 的问题。后端 156 个测试，浏览器从注册走到注销。
+- 2026-11-05：运营后台第二版（M6-9、M6-10）：左侧菜单（标准 logo、可展开收起的分组、图标、待办数、环境标签），运营人员角色只留结构（`ops_admin.role`、权限点、每个接口的检查点、菜单按权限过滤，现在只有管理员），迁移 0012。
+- 下一步：可做的有：读标抽取专项优化（`extract-status.md`）、更多真实投标文件、M6 的 P1（协作权限、资产库）。