路由表字面重复也掀桌子;死信没收件人时出声;票据横向范围与「权限只到端」写进 ADR

**I1:字面路由重复注册仍是静默覆盖 —— 与参数侧的掀桌子不对称。**
两条**字面**契约同方法同路径撞上时,后写覆盖先写,命中谁全看 `Object.values(contracts)`
的顺序。参数模版撞了会抛(理由是「命中谁只看声明顺序 = 静默判错权限」),而字面这一半
没设防:同一个病、同一个后果。把守卫从 59 处收成 1 处之后,注册表是**唯一**的授权
事实源,它的自检不该有半边缺口。`size` 一并从 `routes.length` 改成
`literal.size + patterns.length`(重复被拒之后两者相等,但语义上它说的是「表里有几条」)。
`lookup` 上补一句:它只认 HTTP_METHODS 那五个,**归一是调用方的职责**;测里钉了
`lookup('HEAD', …)` 仍是 undefined —— 将来有人把中间件那行归一挪走,这条分工还在。

**顺手两条:**
- 死信通知的收件人为空时不出声(`deadLetters.report`),而 container 的 governanceStaff
  对同一件事会往 stderr 喊一句 —— 后者的理由(把「出事了」无声丢掉最糟)在前者同样成立。
- ADR-010 状态行补「已被 ADR-012 取代」:ADR-012 说了取代,但先翻到 ADR-010 的人看不到。

**两条不修,写进文档:**
- 票据的**横向范围**进 ADR-012 与 debt:票据里没有用途,60 秒内它等于持票人的
  **全部读权限** —— 凭一枚为下载附件取的票据,同一分钟里读得了整张客户主数据。
  不是提权(那些读权限他本来就有),风险在留痕面(URL 走浏览器历史 / 反代日志 / Referer)。
  收敛做法记进 debt:签发时把用途绑进票据(scope ∈ {stream, file}),或中间件对认票据的
  路径设白名单。
- 「权限只到端」的影响面进 ADR-012 的「后果」:design 现在同时意味着装活动、跑测试台、
  传文件、探大模型;design|ops 意味着 `GET /api/gov/data/:domain/:object` 能翻整张客户
  主数据(**从前要 data:read 才行**)。半年后有人问「为什么设计的人看得到客户手机号」,
  ADR 里得有这句话在。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015kAzS35kMnZNt4YGgJXtfw

apps/api/src/app/__tests__/route-registry.test.ts

@@ -36,6 +36,13 @@ describe('路由注册表', () => {
   it('未知路由 → undefined', () => {
     expect(registry.lookup('GET', '/api/nope')).toBeUndefined();
   });
+  it('只认五个 HTTP 方法:HEAD 查不到 —— 归一是中间件的职责,不是表的', () => {
+    // 框架把 HEAD 改写成 GET 再分发,而请求行上的方法仍是 HEAD;
+    // 表只按 HTTP_METHODS 装,所以这里如实回 undefined。
+    // 这条钉住的是分工:哪天有人把中间件里那行归一挪走,鉴权就漏了,而这里仍然该是 undefined。
+    expect(registry.lookup('HEAD', '/api/gov/tasks')).toBeUndefined();
+    expect(registry.lookup('GET', '/api/gov/tasks')).toBe('ops');
+  });
   it('数组归属原样回', () => {
     expect(registry.lookup('GET', '/api/gov/staff')).toEqual(['design', 'ops']);
   });
@@ -124,6 +131,22 @@ describe('建表自检 —— 两条模版能撞就不许建', () => {
       ]),
     ).not.toThrow();
   });
+  it('同一条字面路由注册两遍 → 抛(后写的会静默盖掉先写的)', () => {
+    expect(
+      reg([
+        { method: 'GET', path: '/api/gov/staff', access: 'ops' },
+        { method: 'GET', path: '/api/gov/staff', access: 'design' },
+      ]),
+    ).toThrow(/注册了两遍/);
+  });
+  it('同路径不同方法照旧不算撞', () => {
+    expect(
+      reg([
+        { method: 'GET', path: '/api/gov/staff', access: 'ops' },
+        { method: 'POST', path: '/api/gov/staff', access: 'ops' },
+      ]),
+    ).not.toThrow();
+  });
   it('真实 95 条契约路由建得起来(没有暗撞)', () => {
     expect(() => buildRouteRegistry(routesOf(Object.values(contracts)))).not.toThrow();
   });