接入前端真实接口并标记邮件HTML清洗

docs/project/frontend-backend/README.md

@@ -40,6 +40,9 @@
 ## 5. 当前已明确后置事项
 
 - 普通任务切换订单接口后置。
+- 任务列表按订单状态 `order_status` 筛选待后端补充或确认。
+- 任务详情 / 任务写操作是否需要显式 `hotel_id` 待后端确认；前端已先统一配置 `VITE_RESERVATION_HOTEL_ID` 并用于列表和订单详情查询。
+- 邮件 `html_body` 已标记为需要 sanitize：前端联调阶段临时直渲只用于本地看效果，生产前请后端返回已清洗 HTML 或明确清洗字段，并确认 CSP / 外链图片 / 附件 URL 策略。
 - SuperAgent 查询接口 4 后置，当前先不开发。
 - SuperAgent 查询接口 3 涉及附件解析、OCR、Excel、voucher、rooming list 等能力，当前系统暂不具备，仍后置。
 - 用户身份 / 权限方案后置；当前后端审计 actor 仍是本地占位。

docs/project/frontend-backend/backend-to-frontend-notes.md

@@ -49,7 +49,7 @@
 | `GET /api/source-messages` | 查询来源消息安全摘要 | 列表不返回邮件正文、HTML、附件 URL 或原始 payload。 |
 | `GET /api/source-messages/{id}` | 查询来源消息安全详情 | 只用于安全摘要详情。 |
 | `GET /api/source-messages/{id}/original` | 读取来源消息原文 | 需要受控访问头，返回 HTML 时前端展示前必须 sanitize。 |
-| `GET /api/source-messages/{sourceMessageId}/conversation` | 读取邮件会话详情 | 返回同一外部会话全部邮件的完整 text/html、附件外链、内联图片和关联订单 / 任务摘要；前端不传原文读取 key，但展示 HTML 前必须 sanitize。 |
+| `GET /api/source-messages/{sourceMessageId}/conversation` | 读取邮件会话详情 | 返回同一外部会话全部邮件的完整 text/html、附件外链、内联图片和关联订单 / 任务摘要；前端不传原文读取 key。2026-07-08 联调阶段前端可临时直渲 `html_body` 看效果；生产方案必须对 `html_body` 做 sanitize，建议后端返回已清洗 HTML 或明确清洗字段。 |
 
 ### 5.1 本轮新增 / 修改接口说明
 
@@ -79,10 +79,11 @@
 ### 5.3 邮件会话详情接入注意
 
 - `GET /api/source-messages/{sourceMessageId}/conversation` 只接收路径参数 `sourceMessageId`；第一版不接收 `hotelId`、`includeBody`、`includeRelated`。
+- 前端当前通过 `VITE_RESERVATION_HOTEL_ID` 统一配置 Reservation 默认酒店上下文，并会在订单列表、任务列表和订单详情查询中传 `hotel_id`；任务详情、任务写操作和邮件会话详情当前后端接口不接收该参数。
 - 后端会根据 `sourceMessageId` 定位 `external_conversation_id`，并返回同一会话下全部邮件；如果来源消息没有外部会话 ID，会降级返回当前单封邮件。
 - `messages[]` 按后端接收时间正序返回，前端不要重新按创建时间或任务时间排序。
 - 返回内容包含完整 `text_body`、`html_body`、`inline_images[]`、`attachments[]`、`related_orders[]`、`related_tasks[]`。
-- `html_sanitize_required=true` 时，前端必须先 sanitize 再渲染 HTML；不要使用未清洗的 `html_body` 直接设置 DOM。
+- `html_body` 已标记为需要 sanitize；`html_sanitize_required=true` 时，生产渲染必须使用清洗后的 HTML。当前为了联调观察效果，前端临时直接渲染原始 `html_body`，上线前需要后端 / 前端共同确认清洗字段、CSP、外链图片和附件 URL 策略。
 - `inline_images[]` 和 `attachments[]` 里的 `externalUrl` 可能包含有时效或访问凭证的外链，前端不得写入普通日志、错误上报、localStorage 或 URL query。
 - 会话详情接口由后端内部写原文读取审计，前端不传 `X-TH-Hotel-Source-Original-Read-Key`。
 - 会话详情外层字段主要是 snake_case，但媒体对象沿用原文读取接口字段，当前是 `mediaType`、`fileName`、`contentType`、`sizeBytes`、`externalUrl`、`externalMediaId` 这种 camelCase，前端类型定义需要单独处理。

docs/project/frontend-backend/frontend-to-backend-api-requests.md

@@ -9,7 +9,7 @@
 | 优先级 | 接口 | 页面 / 场景 | 状态 |
 | --- | --- | --- | --- |
 | P0 | 订单列表接口 `GET /api/reservation/orders` | 订单列表页、首页工作台 | 已完成第一版 |
-| P0 | 任务列表接口 `GET /api/reservation/tasks` | 任务列表菜单、订单详情任务入口 | 已完成第一版，已补来源邮件会话字段 |
+| P0 | 任务列表接口 `GET /api/reservation/tasks` | 任务列表菜单、订单详情任务入口 | 已完成第一版，已补来源邮件会话字段；`order_status` 筛选仍待后端补充或确认 |
 | P0 | 订单详情接口 `GET /api/reservation/orders/{orderId}` | 订单详情页 | 已完成第一版，已补 `tasks[]` 每个任务的来源邮件会话字段 |
 | P0 | 任务详情读取接口 `GET /api/reservation/tasks/{taskId}` | 任务详情页动态渲染 | 已完成第一版，已补来源邮件字段和 3.0 字段元数据 |
 | P0 | 任务详情操作接口 | 任务详情保存、确认、OPERA、审计 | 已完成；前端可直接接入 |
@@ -25,12 +25,12 @@
 
 | 接口 / 能力 | 当前后端状态 | 前端是否可直接接入 | 仍需后端处理 |
 | --- | --- | --- | --- |
-| `GET /api/reservation/tasks` | 已完成第一版，已补来源邮件会话字段 | 可以 | 暂无。 |
+| `GET /api/reservation/tasks` | 已完成第一版，已补来源邮件会话字段 | 可以 | 前端暂不传 `order_status`，如任务列表需要按订单状态筛选，请后端补 `order_status` 入参并明确匹配逻辑。 |
 | `GET /api/reservation/orders/{orderId}` | 已完成第一版，已补 `tasks[]` 来源邮件会话字段 | 可以 | 暂无。 |
-| `GET /api/reservation/tasks/{taskId}` | 已完成第一版，已补任务顶层来源邮件字段和 `fields[]` 3.0 元数据 | 可以 | 暂无。 |
-| `PUT /api/reservation/tasks/{taskId}/draft` | 已完成 | 可以 | 暂无。 |
-| `POST /api/reservation/tasks/{taskId}/confirm` | 已完成 | 可以 | 暂无。 |
-| `GET /api/reservation/tasks/{taskId}/audits` | 已完成 | 可以 | 暂无。 |
+| `GET /api/reservation/tasks/{taskId}` | 已完成第一版，已补任务顶层来源邮件字段和 `fields[]` 3.0 元数据 | 可以 | 当前 Controller 不接收 `hotel_id`；如后续多酒店隔离需要前端显式传酒店上下文，请后端补可选入参或确认按 taskId 全局唯一即可。 |
+| `PUT /api/reservation/tasks/{taskId}/draft` | 已完成 | 可以 | 当前 Controller 不接收 `hotel_id`；如写操作需要酒店上下文幂等 / 权限校验，请后端补可选入参或请求体字段。 |
+| `POST /api/reservation/tasks/{taskId}/confirm` | 已完成 | 可以 | 当前 Controller 不接收 `hotel_id`；如写操作需要酒店上下文幂等 / 权限校验，请后端补可选入参或请求体字段。 |
+| `GET /api/reservation/tasks/{taskId}/audits` | 已完成 | 可以 | 当前 Controller 不接收 `hotel_id`；如审计查询需要酒店上下文隔离，请后端补可选入参。 |
 | `POST /api/reservation/tasks/{taskId}/opera-operations/{operationId}/execute` | 已完成第一版模拟操作 | 可以 | 暂无；真实 OPERA 写入另行确认。 |
 | `POST /api/reservation/tasks/{taskId}/opera-operations/{operationId}/retry` | 已完成第一版模拟重试 | 可以 | 暂无；真实 OPERA 重试另行确认。 |
 | `POST /api/reservation/tasks/{taskId}/manual-review-conversions` | 已完成 | 可以 | 暂无。 |
@@ -38,7 +38,7 @@
 | `GET /api/source-messages/{id}` | 已完成单条安全摘要 | 可以 | 不能替代邮件会话全文接口。 |
 | `GET /api/source-messages/{id}/original` | 已完成单封原文受控读取 | 谨慎接入 | 只能读单封邮件，不能返回同一 conversation 全量邮件。 |
 | `GET /api/reservation/orders` | 已完成第一版 | 可以 | 默认查询全部订单状态；`open_task_count` 排除 `COMPLETED` 和 `FAILED`。 |
-| `GET /api/source-messages/{sourceMessageId}/conversation` | 已完成第一版 | 可以 | 返回完整 text/html、媒体外链和关联订单 / 任务摘要；前端不传原文读取 key。 |
+| `GET /api/source-messages/{sourceMessageId}/conversation` | 已完成第一版 | 可以 | 返回完整 text/html、媒体外链和关联订单 / 任务摘要；前端不传原文读取 key。当前前端为看效果临时直渲 `html_body`；请后端标记 / 保障 `html_body` 需要 sanitize，生产前返回已清洗 HTML 或明确清洗字段、CSP、附件 URL 策略。 |
 | `POST /api/system/reservation/demo-data` | 已完成 | 仅本地 / test 联调可用 | 默认关闭，必须后端配置访问口令；不能作为生产页面接口。 |
 | `GET /api/source-message-conversations/{externalConversationId}` | 未发现后端实现 | 不可以 | 历史讨论过的候选路径，当前不提供；前端统一使用 `GET /api/source-messages/{sourceMessageId}/conversation`。 |
 | `GET /api/reservation/message-notifications` | 未发现后端实现 | 不可以 | 如需独立信息提醒页再新增；第一版可先用任务接口过滤。 |
@@ -87,6 +87,7 @@ GET /api/reservation/tasks
 | `task_type` | 否 | `NEW_BOOKING`、`UPDATE_BOOKING`、`CANCEL_BOOKING`、`MANUAL_REVIEW`、`INFORMATIONAL_MESSAGE`。 |
 | `task_status` | 否 | 任务状态过滤。 |
 | `task_subtype` | 否 | 任务卡 subtype 过滤。 |
+| `order_status` | 待补 | 前端任务列表已有订单状态筛选控件，但当前后端 Controller 未接收该参数，前端先禁用该筛选。建议后端确认是否支持按任务所属订单状态过滤。 |
 | `queue_participation` | 否 | 是否参与订单执行队列。 |
 | `keyword` | 否 | Group Code、Confirmation No、临时订单号、来源消息安全摘要关键词。 |
 | `page_num` | 否 | 页码，建议从 1 开始。 |
@@ -323,6 +324,7 @@ GET /api/source-message-conversations/{externalConversationId}
 - 邮件会话详情页需要展示完整正文或清洗后的 HTML、附件、内联图片、发件人摘要、发送 / 接收时间、主题和关联订单 / 任务。
 - 前端不在页面上做业务截断或隐藏；但仍只调用本项目后端接口，不直接访问邮箱、AgentBus、数据库或外部附件 URL Secret。
 - 如果后端仍需要审计原文读取，应由后端在该业务接口内部处理；前端不保存 `X-TH-Hotel-Source-Original-Read-Key` 一类受控访问 key。
+- 2026-07-08 联调临时策略：前端为快速看效果，会优先直接渲染后端返回的 `html_body`；这不是最终安全方案。请后端明确标记 `html_body` 需要 sanitize，并确认是否输出已清洗 HTML、是否增加 `html_body_sanitized` / `html_render_mode` 等字段，以及生产环境 CSP 和外链图片策略。
 
 建议入参：
 
@@ -493,6 +495,7 @@ GET /api/reservation/tasks/{taskId}
 - 如果前端只做“按后端字段直接渲染”，现有 `fields[]` 可以支撑第一版表单展示；本轮已经扩展 `ReservationTaskFieldResult`，避免前端维护第二套字段矩阵。
 - `result_type`、`task_type`、`task_subtype`、`default_value_source` 当前从后端字段矩阵定义透出。
 - 如果后端已有更细的字段来源或适用场景元数据，可后续再扩展 `field_source`、`applicable_scenario`，不作为本轮 P0 阻塞项。
+- 前端已统一配置 `VITE_RESERVATION_HOTEL_ID`，并会在 `GET /api/reservation/orders`、`GET /api/reservation/tasks`、`GET /api/reservation/orders/{orderId}` 自动传 `hotel_id`。当前 `GET /api/reservation/tasks/{taskId}` 以及任务写操作 Controller 不接收 `hotel_id`，请后端确认 taskId / operationId 是否全局唯一；如果不是，需要补可选 `hotel_id` 以避免多酒店数据串读或误写。
 
 ## 9. Message Notification 列表 / 详情接口