feat(embed): 新增办件进度嵌入页签发端点与免签数据端点

src/main/java/com/yunhai/flowcenter/controller/oapi/OapiFlowController.java

@@ -25,6 +25,7 @@ import java.util.List;
  * - POST /oapi/flow/instance/{instanceId}/withdraw?schId=&submitterId= → data=null（提交人复核后撤回）
  * - GET  /oapi/flow/progress?instanceId=|bizType=&bizId=&schId=        → data={status,steps:[…]}
  * - GET  /oapi/flow/diagram/url?instanceId=|flowGuid=&mode=&schId=     → data={imgUrl,expiresIn}
+ * - GET  /oapi/flow/embed/url?instanceId=|bizType=&bizId=&mode=&schId= → data={pageUrl,expiresIn}
  * - POST /oapi/flow/callback/reg?schId=                  → data={secret}
  * 应用内审批（2026-09 第三步，原"刻意不提供审批动作"立场由该方案修订：登录身份由调用方
  * 应用按其 CAS 会话保证并以 operatorId 传入，本端按任务办理人逐字复核，审计链不断）：
@@ -89,6 +90,20 @@ public class OapiFlowController {
         return flowService.diagramUrl(schId, instanceId, flowGuid, mode);
     }
 
+    /**
+     * 办件进度嵌入页换址（iframe 场景，token 模式与换图同构）：pageUrl 为 flow-center 前端
+     * 绝对地址，子应用直接放 {@code <iframe src>}。用户级可见性（本人/办理人/管理员）由
+     * 子应用后端在调本端点前完成——oapi 层只认 schId，应用签名不替代"谁能看"。
+     */
+    @GetMapping("/embed/url")
+    public OapiModels.EmbedUrlVo embedUrl(@RequestParam(value = "instanceId", required = false) Long instanceId,
+                                          @RequestParam(value = "bizType", required = false) String bizType,
+                                          @RequestParam(value = "bizId", required = false) String bizId,
+                                          @RequestParam(value = "mode", required = false) String mode,
+                                          @RequestParam("schId") Long schId) {
+        return flowService.embedUrl(schId, instanceId, bizType, bizId, mode);
+    }
+
     /**
      * 撤回（提交人本人；仅尚无任务被办理时）。submitterId 由业务应用按其办件归属传入，
      * 本端与办件提交人复核——应用签名不替代"谁在撤"的身份证明。