docs(reports): expand local e2e coverage matrix

reports/LOCAL_BROWSER_E2E_COVERAGE_2026-06-16.md

@@ -43,7 +43,7 @@
 | `POST /portal/{token}/info` (submit)          | ✅         | 200          | 返回 `intake_status=submitted, stage=processing`    |
 | `GET /portal/{token}/report`                  | ✅         | 200          | HTML 报告内容与上传一致                             |
 | `GET /portal/{token}/report.pdf`              | ✅         | 200          | `Content-Type: application/pdf`、头 `%PDF-1.4`      |
-| `GET /portal/{token}/notifications`           | ⏸️         | n/a          | 本轮未直接点开；API 侧 admin/通知审计已显示对应通知 |
+| `GET /portal/{token}/notifications`           | ✅         | 200          | 已复验，页面含 `通知审计` 与真实订单                  |
 | `GET /portal/{token}/deletion-request` (页面) | ⏸️         | 200          | 本轮通过 API 提交并验证 admin 端可见                |
 | `POST /portal/{token}/deletion-request`       | ✅         | 200          | 返回 `request_logged=true`                          |
 
@@ -57,7 +57,7 @@
 | `GET /api/admin/notifications/deletion-requests` | 200  | 1 条，含 `张家长/13800138000/浏览器 e2e`                       |
 | `GET /api/admin/notifications/ops-alerts`        | 200  | 0 条（正常）                                                   |
 | `GET /api/admin/users`                           | 200  | total≥1                                                        |
-| `GET /api/admin/users/{user_key}`                | n/a  | 本轮未单点                                                     |
+| `GET /api/admin/users/{user_key}`                | 200  | 已复验；detail 脱敏字段与 `user_key` hash 对齐                 |
 | `GET /api/admin/orders`                          | 200  | 已补兼容别名；与 `/api/orders` 返回同一数据契约               |
 | `GET /api/admin/cases`                           | 200  | 已补兼容别名；与 `/api/cases` 返回同一数据契约                |
 | `GET /api/admin/stats/dashboard`                 | 200  | 已补兼容别名；返回 `summary/by_status/...`                     |
@@ -73,6 +73,35 @@
 | `/admin/notifications`     | ✅         | 200  | `<h1>通知审计`、order_id、event_type=report_ready_email                     |
 | `/admin/ops-alerts`        | ✅         | 200  | `<h1>运维告警审计`                                                          |
 
+### 1.4b 用户 / 元数据 / 分享页补充验收
+
+| 路径 | 真实 HTTP | 结果 |
+|---|---|---|
+| `/api/admin/users` | 200 | `total=4`，列表脱敏正常（姓名/手机） |
+| `/api/admin/users/{user_key}` | 200 | 明细脱敏正常，`customer_phone_hash` 与 `user_key` hash 段一致 |
+| `/api/admin/users` 无 token | 401 | 鉴权正常 |
+| `/api/admin/users/unknown-key` | 404 | 业务错误正常 |
+| `/api/meta` | 200 | 枚举契约稳定 |
+| `/api/auth/me` | 200 | 当前 admin 身份正常 |
+| `/s/8udpdr` | 200 | 分享页 comment 权限正常 |
+| `/s/oAdGsy` | 200 | 分享页 read 权限正常 |
+| `/s/NOPE999` | 404 | 不存在分享链接正常 |
+
+### 1.4c checkout / webhook / 异常分支补充验收
+
+| 路径 | HTTP | 结果 |
+|---|---|---|
+| `/checkout/audit` | 200 | 页面正常 |
+| `/checkout/basic` | 200 | 页面正常 |
+| `/checkout/standard` | 200 | 页面正常 |
+| `/checkout/premium` | 200 | 页面正常 |
+| `/checkout/invalid` | 422 | 非法套餐拒绝正常 |
+| `POST /api/public/orders` 缺 contact | 422 | 校验拒绝正常 |
+| `POST /api/public/orders` price tamper | 422 | 金额篡改拒绝正常 |
+| `POST /api/public/payments/mock/webhook` 缺/错签名 | 400 | 验签拒绝正常 |
+| `GET /portal/{token}/report` (pending 单) | 409 | `report not ready` 正常 |
+| `GET /portal/{wrong_token}/{status,info,notifications}` | 401 | token 拒绝正常 |
+
 ### 1.5 真实支付 acceptance（阻塞于外部凭据）
 
 | 项                       | 状态    |
@@ -103,6 +132,14 @@
    - 旧路径 `/api/orders|cases|stats/dashboard` 仍 200，无回归
    - 新别名路径 `/api/admin/...` 与 `/admin/dashboard` 全 200
    - 三类审计页（deletion-requests / notifications / ops-alerts）页+API 仍 200
+7. **后台剩余 API 已复验**：
+   - `/api/auth/me`、`/api/meta`、`/api/admin/users`、`/api/admin/users/{user_key}` 全 200
+   - users 列表/明细脱敏、401/404/422 负向分支正常
+8. **公开剩余模块已复验**：
+   - `/s/{code}` comment/read/not-found 正常
+   - `/checkout/{service_version}` 四套餐正常，非法值 422
+   - `/portal/{token}/notifications` 已复验
+   - mock webhook 外部成功路径仍受 secret 不可见限制，但验签失败路径正常，且 `alipay-sim complete` 等价路径已证实 webhook service 正常
 
 ## 3. 与 2026-06-15 报告的关系
 
@@ -117,5 +154,5 @@
 | 项                                                    | 阻断类型 | 关闭路径                                                                              |
 | ----------------------------------------------------- | -------- | ------------------------------------------------------------------------------------- |
 | 真实 alipay acceptance                                | 外部凭据 | 见 `docs/PAYMENT_PROVIDER_ONBOARDING.md`                                              |
-| 后台订单详情页浏览器验收                              | code     | 在 admin 路由列表里选主要页面跑一遍                                                   |
+| `/api/public/payments/mock/webhook` 外部成功路径       | 环境秘密 | 8011 进程运行中的 webhook secret 不可见；失败分支已验，成功分支由 `alipay-sim complete` 等价证明 |
 | 公开页 SEO / 移动端布局                               | 范围     | 与当前 E2E 主链路无关                                                                 |