release: FL 2.0 候选（C01 记账边界+P2-2 认领协议+D10 变量契约+D11 资格终审+D09 激活代次+T01/T03/T04/T05）

按《FL最终代码审计与上线阻断清单》194 项已审计工作树形成候选，基座 = origin/main 11e0778。

- 源码/测试/资源：沿用已审计工作树内容（96 项相对远端为新增或更新），含未跟踪实现
  CallbackFactStore、CallbackSourcePolicy、VariableContract、FormalApplyCommandService、
  FlowActorContextGate 等；C01 续验夹具修正一并入内。
- CI：保留远端 11e0778 的门禁强化（CI_SOURCE_SHA 核对、容器回收验证、空 schema 反向门禁、
  main ref 才推镜像）；ci/flow-test-schema.sql 按当前实体重新生成（14→20 表，补 6 新表与
  6 新列，回调日志复合唯一键 uk_flw_log_event_reg），workflow 表数断言同步 14→20。
- 依据：docs/tasks/evidence/FL-final-audit-20261027（194 项哈希/版本核对）。

src/main/java/com/yunhai/flowcenter/service/FlowInstanceService.java

@@ -24,7 +24,8 @@ import java.util.HashMap;
 import java.util.Map;
 
 /**
- * 办件生命周期：代发起（幂等 + R4 重启重提）、撤回。
+ * 引擎实例生命周期与迁移前代发起。正式命令通过 create/startFormalInstance 建立独立轮次实例，
+ * 命令受理、坐标锁和轮次分配归 FormalApplyCommandService；下述 R4 复用仅描述旧入口。
  *
  * <p><b>R4 驳回/撤回后重提语义（开工说明 §7#1，详设定稿）</b>：biz uk 命中已终态办件
  * （30 已拒绝 / 40 已撤回）时复用同一办件行"重启推进"——不新建、不报错：定义刷新为当前
@@ -63,6 +64,13 @@ public class FlowInstanceService {
         public final String applyAppCode;
         /** 发起时指派快照 JSON（oapi apply 校验后渲染；null=无指派） */
         public final String assignJson;
+
+    /**
+     * 受理载荷指纹（2026-10-25 T04，SHA-256 hex；<b>非构造参数</b>——13 参构造被
+     * {@code FlowEngineIT} 逐位钉住，由 {@code OapiFlowService} 在构建后赋值；
+     * null=存量调用方，指纹核对缺省关）。
+     */
+    public String payloadHash;
     }
 
     /** 代发起结果：instanceId + duplicated（命中既有办件=true，含重启重提） */
@@ -138,6 +146,10 @@ public class FlowInstanceService {
         if (round != null) {
             instance.setApplyRound(round);
         }
+        if (cmd.payloadHash != null) {
+            // 新一轮命令重新取指纹（新轮=新命令，指纹跟随最新受理载荷）
+            instance.setApplyPayloadHash(cmd.payloadHash);
+        }
         instance.setStatus(FlwEnums.InstanceStatus.APPROVING.getCode());
         instance.setSubmitTime(LocalDateTime.now());
         instance.setFinishTime(null);
@@ -297,6 +309,16 @@ public class FlowInstanceService {
         public final String requestToken;
         public final Integer attempt;
         public final boolean retryOnly;
+        /**
+         * 期望的前一轮次（2026-10-25 T04 服务端轮次收口，可选）：显式申报"我基于第 N 轮重提"。
+         * 非空时：行轮次 ≠ N ⇒ STALE_ROUND（不重启）；通过则服务端分配 round=N+1，
+         * <b>不信客户端 attempt</b>。null=既有客户端 attempt 语义（存量兼容）。
+         */
+        public final Integer expectedPrevRound;
+
+        public ApplyRetryPolicy(String requestToken, Integer attempt, boolean retryOnly) {
+            this(requestToken, attempt, retryOnly, null);
+        }
     }
 
     /** 守卫化结果：除 instanceId/duplicated 外，把"命中的是哪一种情形"落成稳定分支码 */
@@ -345,6 +367,15 @@ public class FlowInstanceService {
         // 新一轮授权重提（attempt≥2）才走得动 R4——存量行的守卫缺省是**关**而不是开。
         int currentRound = existing.getApplyRound() == null ? 1 : existing.getApplyRound();
         if (token != null && token.equals(existing.getApplyRequestToken())) {
+            // T04（2026-10-25）：同 token 必须同指纹——同 ID 不同载荷是两份命令撞同一 token，
+            // 按冲突拒绝，不伪装成幂等成功。存量行（指纹 NULL）或请求无指纹时跳过（守卫缺省关）。
+            if (existing.getApplyPayloadHash() != null && cmd.payloadHash != null
+                    && !existing.getApplyPayloadHash().equals(cmd.payloadHash)) {
+                log.warn("[flow-center] 同请求标识但载荷指纹不一致（冲突拒绝）：instance={} biz={}/{}",
+                        existing.getId(), cmd.bizType, cmd.bizId);
+                return new GuardedOutcome(existing.getId(), true,
+                        FlowApplyRetryModels.Branch.CONFLICT, existing.getApplyRound());
+            }
             log.info("[flow-center] 同请求标识重投命中，只回读现状不重启：instance={} biz={}/{} status={}",
                     existing.getId(), cmd.bizType, cmd.bizId, existing.getStatus());
             return new GuardedOutcome(existing.getId(), true,
@@ -353,6 +384,15 @@ public class FlowInstanceService {
         int status = existing.getStatus();
         if (status == FlwEnums.InstanceStatus.APPROVING.getCode()
                 || status == FlwEnums.InstanceStatus.COMPLETED.getCode()) {
+            // T04：带 token 的请求撞上在途/通过件且 token 不符=另一份命令（审计 P0-2：
+            // "10/20 即使异命令也回 IDEMPOTENT"是把他人命令的成功当自己的）。无 token 的
+            // 存量调用方保持 IDEMPOTENT（守卫缺省关）。
+            if (token != null) {
+                log.warn("[flow-center] 在途/通过件命中且请求 token 不符（冲突拒绝）：instance={} biz={}/{}",
+                        existing.getId(), cmd.bizType, cmd.bizId);
+                return new GuardedOutcome(existing.getId(), true,
+                        FlowApplyRetryModels.Branch.CONFLICT, existing.getApplyRound());
+            }
             return new GuardedOutcome(existing.getId(), true,
                     FlowApplyRetryModels.Branch.IDEMPOTENT, existing.getApplyRound());
         }
@@ -363,21 +403,52 @@ public class FlowInstanceService {
             return new GuardedOutcome(existing.getId(), true,
                     FlowApplyRetryModels.Branch.REPLAY_ONLY, existing.getApplyRound());
         }
-        int incomingRound = policy == null || policy.attempt == null ? 1 : policy.attempt;
-        if (incomingRound <= currentRound) {
-            log.warn("[flow-center] 陈旧轮次重投（不重启）：instance={} 行轮次={} 请求轮次={}",
-                    existing.getId(), currentRound, incomingRound);
-            return new GuardedOutcome(existing.getId(), true,
-                    FlowApplyRetryModels.Branch.STALE_ROUND, existing.getApplyRound());
+        // T04 服务端轮次：显式 expectedPrevRound 时——行轮次必须恰为 N（否则陈旧），服务端只分配 N+1；
+        // 未显式时保持客户端 attempt 语义（存量兼容）。
+        Integer expectedPrev = policy == null ? null : policy.expectedPrevRound;
+        int incomingRound;
+        if (expectedPrev != null) {
+            if (expectedPrev != currentRound) {
+                log.warn("[flow-center] 重提前置轮次不符（不重启）：instance={} 行轮次={} 期望前轮={}",
+                        existing.getId(), currentRound, expectedPrev);
+                return new GuardedOutcome(existing.getId(), true,
+                        FlowApplyRetryModels.Branch.STALE_ROUND, existing.getApplyRound());
+            }
+            incomingRound = currentRound + 1;
+        } else {
+            incomingRound = policy == null || policy.attempt == null ? 1 : policy.attempt;
+            if (incomingRound <= currentRound) {
+                log.warn("[flow-center] 陈旧轮次重投（不重启）：instance={} 行轮次={} 请求轮次={}",
+                        existing.getId(), currentRound, incomingRound);
+                return new GuardedOutcome(existing.getId(), true,
+                        FlowApplyRetryModels.Branch.STALE_ROUND, existing.getApplyRound());
+            }
         }
         restart(existing, cmd, token, incomingRound);
         return new GuardedOutcome(existing.getId(), true,
                 FlowApplyRetryModels.Branch.RESTARTED, incomingRound);
     }
 
-    /** 新建实例（与旧 apply 同一段代码形状：不复制第二份推进逻辑） */
+    /** Formal command caller must hold the coordinate lock in the same transaction. */
+    @Transactional(propagation = org.springframework.transaction.annotation.Propagation.MANDATORY)
+    public FlwInstance createFormalInstance(ApplyCommand cmd, String token, Integer round, String source) {
+        return createInstance(cmd, token, round, source);
+    }
+
+    @Transactional(propagation = org.springframework.transaction.annotation.Propagation.MANDATORY)
+    public void startFormalInstance(FlwInstance instance, ApplyCommand cmd) {
+        flowEngine.startAdvance(instance, cmd.def);
+        publishSubmitted(instance);
+    }
+
     private void createInstance(ApplyCommand cmd, String token, Integer round) {
+        createInstance(cmd, token, round, null);
+    }
+
+    private FlwInstance createInstance(ApplyCommand cmd, String token, Integer round, String source) {
         FlwInstance instance = new FlwInstance();
+        instance.setSourcePrincipalId(source);
+        instance.setLegacySlot(source == null ? 1 : null);
         instance.setSchId(cmd.schId);
         instance.setDefId(cmd.def.getId());
         instance.setDefCode(cmd.def.getCode());
@@ -393,6 +464,7 @@ public class FlowInstanceService {
         instance.setApplyAppCode(cmd.applyAppCode);
         instance.setApplyRequestToken(token);
         instance.setApplyRound(round);
+        instance.setApplyPayloadHash(cmd.payloadHash);
         instance.setSubmitterId(cmd.submitterId);
         instance.setSubmitterName(cmd.submitterName);
         instance.setStatus(FlwEnums.InstanceStatus.APPROVING.getCode());
@@ -400,8 +472,11 @@ public class FlowInstanceService {
         instanceRepository.saveAndFlush(instance);
         appendTraceEvent(instance, FlwEnums.TaskStatus.NODE_SUBMIT, "发起申请",
                 FlwEnums.TaskStatus.SUBMITTED, cmd.submitterId, cmd.submitterName);
-        flowEngine.startAdvance(instance, cmd.def);
-        publishSubmitted(instance);
+        if (source == null) {
+            flowEngine.startAdvance(instance, cmd.def);
+            publishSubmitted(instance);
+        }
+        return instance;
     }
 
     /**