fix(t235): validate ERP user session by id

docs/tasks/T-235.md

@@ -4,7 +4,7 @@ title: 修复顺运宝登录后用户会话校验协议
 phase: 2
 deps:
   - T-234
-status: PLANNED
+status: DONE
 created: 2026-07-29
 context_ref: 4cf2151
 work_branch: null
@@ -14,6 +14,7 @@ write_paths:
   - docs/current-state.md
   - docs/integrations/shunyunbao-contract.md
   - backend-api/internal/platform/shunyunbao/**
+  - backend-api/internal/transport/httpapi/admin_handlers_test.go
 ---
 
 ## 问题 / 背景
@@ -39,13 +40,13 @@ write_paths:
 
 ## 验收要点
 
-- [ ] 登录成功后的用户校验请求包含登录响应中的唯一 `id`，且复用登录 Cookie。
-- [ ] 用户响应 ID/username 必须与登录身份一致；缺失、冲突或普通 `status=false` 返回
+- [x] 登录成功后的用户校验请求包含登录响应中的唯一 `id`，且复用登录 Cookie。
+- [x] 用户响应 ID/username 必须与登录身份一致；缺失、冲突或普通 `status=false` 返回
   `ERP_RESPONSE_INVALID`。
-- [ ] 仅 HTTP 401/403 或 ERP code `-2` 清除认证并返回 `ERP_SESSION_REQUIRED`。
-- [ ] Admin 不再因缺失 user id 得到 `freight_import_failed status=503`；该协议失败若重现应显示
+- [x] 仅 HTTP 401/403 或 ERP code `-2` 清除认证并返回 `ERP_SESSION_REQUIRED`。
+- [x] Admin 不再因缺失 user id 得到 `freight_import_failed status=503`；该协议失败若重现应显示
   `ERP_RESPONSE_INVALID`。
-- [ ] 标准 Go 测试、race、vet 和三个入口构建通过。
+- [x] 标准 Go 测试、race、vet 和三个入口构建通过。
 
 ## 边界
 
@@ -57,3 +58,6 @@ write_paths:
 - 2026-07-29：创建任务。真实日志已排除 OCR、网络和账号密码；对照
   `D:/chengma/shunyunbaoerp/shunyunbaoerp_single.py` 确认 Go 遗漏用户接口的 `id` query，
   并发现非 `-2` 响应被过度归类为会话失效。
+- 2026-07-29：实现受锁内存 session identity、结构化 user id query、ID/username 一致性校验
+  和精确 session error 分类；更新 source/Admin 脱敏 fixture，并验证 diagnostics 不输出 query
+  或用户身份。标准 Go 测试、race、vet 及 api/migrate/authctl 构建均通过。