增加气站历史账户显式修复与审计

docs/05-平台总后台需求.md

@@ -139,7 +139,7 @@
 
 气站只能由平台总后台新增，创建后直接进入启用状态，无需审核。已启用或已停用气站可继续切换启停状态。
 
-气站账户与配送点账户当前均只有管理员角色。新建时服务端分别固定写入 `admin`，编辑时不允许变更角色；旧客户端继续提交 `role_code` 时服务端兼容接收但不采纳。列表、详情、新建和编辑页面统一显示“角色”，并将 `admin` 显示为“气站管理员”或“配送点管理员”。历史未知编码显示为“未知角色（原编码）”，不得自动改成管理员。
+气站账户与配送点账户当前均只有管理员角色。新建时服务端分别固定写入 `admin`，编辑时不允许变更角色；旧客户端继续提交 `role_code` 时服务端兼容接收但不采纳。列表、详情、新建和编辑页面统一显示“角色”，并将 `admin` 显示为“气站管理员”或“配送点管理员”。气站账户未填写显示名称时明确展示“未填写”，不使用含义不明的横线。历史未知编码显示为“未知角色（原编码）”，不得自动改成管理员；确需修复时必须通过定向维护命令校验唯一目标，并记录操作者、修复时间及修复前后值。
 
 气站账户、配送点账户和生产商账户没有头像字段与受控头像接口。它们的详情和编辑页使用紧凑文字账户摘要，新建页直接显示基本信息表单，不展示无法上传或保存的默认头像。工作人员、用户和平台账户继续使用真实头像上传与受控读取链路。
 
@@ -308,6 +308,8 @@
 
 平台账户必须关联角色编码。系统角色和 root 账户受保护，不能通过普通管理动作破坏。角色菜单通过 `/platform_role/:identity/menu` 整体读取和替换，菜单自身由系统初始化，不在后台任意增删改。
 
+定向数据修复不开放为普通页面能力。修复命令必须校验唯一目标和有效平台操作者，并在同一事务向 `audit_operation_log` 追加资源标识、动作、操作者、发生时间及修复前后快照；审计记录不提供通用编辑或删除入口。
+
 ## 7. 通用页面与接口行为
 
 - 列表资源提供分页、字段筛选、状态展示、详情和关联资源选择。