fix(iam): keep revocation core active when new flows are disabled

docs/iam-v2.md

@@ -2,7 +2,7 @@
 
 ## 默认状态与部署次序
 
-所有新功能由 `iam.v2_enabled` 控制，默认 **false**。关闭时不写新表、不登记来源会话，原密码、企微、IAM 入站登录保持原路径。本文只描述源码；生产开关、迁移、真实浏览器及三端联调需另行验收。
+首次部署 `iam.v2_enabled`、`iam.v2_management_enabled`、`iam.v2_launch_enabled` 都默认 **false**。全局未启用时不登记新来源会话，原密码、企微、IAM 入站登录保持原路径。产生v2关联后，全局核心必须保持true以持续中央停用检查、签名事件和代际补偿；维护/回退优先关闭management与launch两个新流程开关，不能以关闭全局核心绕过这些检查。本文只描述源码；生产开关、迁移、真实浏览器及三端联调需另行验收。
 
 1. 备份部署版本与配置，审查并执行 `server/database/migrations/20261029_iam_v2.sql`（按实际表前缀调整）。此迁移只加七张表及独立菜单/权限，不给现有角色自动授予权限，不改账号与角色。
 2. 中央先部署 v2 绑定墓碑、幂等恢复、固定来源回查、版本检查、源/目标访问授权、密码设置协议与签名事件。旧 v1 token 不得获得新管理权限。
@@ -12,6 +12,8 @@
 ```ini
 [IAM]
 V2_ENABLED = false
+V2_MANAGEMENT_ENABLED = false
+V2_LAUNCH_ENABLED = false
 V2_TOKEN = <dedicated-login-v2-credential-at-least-32-chars>
 V2_MANAGEMENT_TOKEN = <different-management-v2-credential-at-least-32-chars>
 V2_INTROSPECTION_TOKEN = <distinct-callback-credential-at-least-32-chars>
@@ -77,7 +79,7 @@ SQLite 合成测试不加载生产 `.env`、不发网络、不修改真实用户
 
 ## 回退
 
-先将 `V2_ENABLED=false`，恢复上一已验证代码/静态构建。保留七张新表、旧开户账本、事件与审计记录、所有真实账号和业务数据。关闭 v2 停止委托登录/新证明，不撤回中央已执行的人事操作；错误关联通过有审计的显式解绑/换绑恢复，而非删表或恢复旧数据库。
+已有v2状态时先将 `V2_MANAGEMENT_ENABLED=false`、`V2_LAUNCH_ENABLED=false`，保持 `V2_ENABLED=true` 和当前安全核心；管理写/个人关联密码写/新的委托事务停止，普通授权核验、事件和代际补偿继续。仅可回到同样保持这些核心能力的兼容版本，不能盲退到无v2检查的旧代码。只有从未激活、七表无v2业务状态且全局仍false的首次部署，才可还原本次原文件与原index。保留七张新表、旧开户账本、事件与审计记录、所有真实账号和业务数据。关闭新流程开关停止新的委托登录/管理证明，不撤回中央已执行的人事操作；错误关联通过有审计的显式解绑/换绑恢复，而非删表或恢复旧数据库。
 
 ## 2026-10-29 只读生产入口核对与发布步骤
 
@@ -97,7 +99,7 @@ SQLite 合成测试不加载生产 `.env`、不发网络、不修改真实用户
 4. 中央先完成v2迁移、凭据/固定URL/回查注册、原生IAM本人入口和中央复核部署；ZYT新代码先保持 `V2_ENABLED=false`。配置完整的API/portal/ERP公开callback URL及两条来源映射，尤其ERP公开 `/basic-api` 前缀。
 5. 后端按审核清单更新；静态资源先增量加入旧资源目录，最后原子切换index.html，不删旧哈希文件。按实际OPcache配置处理源码重载，不把CLI `opcache_reset()`当成FPM已刷新，不重启无关服务。
 6. 先验证开关关闭时原登录/业务行为，再用授权测试账号开启v2验收：密码/企微→ERP、IAM管理后台本地session无KC cookie→ZYT/ERP、员工工作台→两端、同人/异人多标签、已有账号/角色2新开户、密码owner双阶段、敏感单人中央审批及批量跳过、签名事件/30秒补偿。逐项核对真实页面与后端会话，不以HTTP200代替登录验收。
-7. 回退先关闭v2，恢复发布前的本次后端文件与静态index；保留七表、事件、绑定历史、中央操作与所有业务数据。不要用整库恢复或删除IAM员工来回退代码。普通source logout按约定不是全局登出。
+7. 初次未激活部署（全局false且七表空）可恢复发布前文件/index；一旦已有v2状态，回退优先只关闭管理/新登录两个开关、保持全局安全核心true，不盲退到旧代码；保留七表、事件、绑定历史、中央操作与所有业务数据。不要用整库恢复或删除IAM员工来回退代码。普通source logout按约定不是全局登出。
 
 ### 最终发布基线差异（追加）