fix(osi): 加固 Phase 0 验收实现（T-006）

progress.md

@@ -92,8 +92,15 @@
 ## 2026-07-06 T-005 阶段 0 验收：Go 侧真实请求打通 + init.sh
 
 - 状态：DONE
-- 变更：新增 `verify_jkda.go`/`verify_jkda_test.go`，`main.go` 增加 `-verify-jkda-id-card` 验证入口；`config` 支持 `OSI_*` 等环境变量覆盖；`osi/transport.go` 改为按原始 HTTP/1.1 写请求以保留 `orgCode/deviceSN/userName` 头名大小写；`init.sh` 配置依赖下载、`go test ./...`、启动三步命令；补充传输层头名与基础请求头单测。
+- 变更：新增 `verify_jkda.go`/`verify_jkda_test.go`，`main.go` 增加 JKDA00002 验证入口（T-006 后改为 `-verify-jkda` + `OSI_VERIFY_ID_CARD`）；`config` 支持 `OSI_*` 等环境变量覆盖；`osi/transport.go` 改为按原始 HTTP/1.1 写请求以保留 `orgCode/deviceSN/userName` 头名大小写；`init.sh` 配置依赖下载、`go test ./...`、启动三步命令；补充传输层头名与基础请求头单测。
 - 验证：`go test ./...` 通过；`go build ./...` 通过；使用本地环境变量发起 Go 版 JKDA00002 真实请求，返回 `JKDA00002 code=01 message=操作成功 data_count=1`。
 - 验证补充：`init.sh` 三命令已替换；当前机器从 Git Bash 启动 Go 会出现标准库路径/构建缓存权限异常，导致脚本运行环境未能完整验收。等价 PowerShell 下直接执行 `go test ./...`、`go build ./...` 与 Go 真实请求均通过。
 - 决策：真实平台/代理对请求头大小写敏感，Go `net/http` 会规范化头名并触发 EOF；传输层因此对 OSI 调用使用原始 HTTP/1.1 写入，保留 Python requests 已验证的头名大小写与基础头语义。
 - 下一步：T-201（`contract/jkda.go` 查询响应结构体）。
+## 2026-07-06 T-006 Phase 0 review hardening
+
+- 状态：DONE
+- 变更：`osi/transport.go` 默认 `Accept-Encoding` 改为 `identity`，避免声明 gzip/br 却不解压；删除传输层未使用的 `http.Client`/roundTripper 残留；`main.go` 验证入口改为 `-verify-jkda` 并从 `OSI_VERIFY_ID_CARD` 读取身份证；删除 `contract.Envelope` 顶层 `BaseInfo`，保留 `uploadinfo.baseInfo`；同步 `docs/03`、`docs/current-state.md` 与 `tasks.md`。
+- 验证：按 TDD 先看到 `TestTransportRequestsIdentityEncoding`、`TestEnvelopeDoesNotExposeTopLevelBaseInfo`、`TestResolveVerifyIDCard*` 失败；实现后目标测试通过；`go test ./...` 通过；`go build ./...` 通过；`git diff --check` 通过。
+- 决策：Phase 0 先避免压缩响应风险，不实现 gzip/br 解压；https 支持仍按当前沙箱事实 fail-fast，生产若切 https 需另起任务处理 TLS 下的头名保留策略。
+- 下一步：T-201（`contract/jkda.go` 查询响应结构体）。