fix(m3): code-review 15 项修复（13 项落地，2 项依赖分摊语义记待办）

- 审批：删 _flush_order 撞键内部重试（rollback 会回掉同事务业务行造成
  静默丢数据，异常改由 create 外层重试整体重来/update 路径审计收敛）；
  act() 出参固化前置到 commit 之前（commit 后查询失败会把已通过的审批
  记成失败审计）；驳回/撤回清空方案生效行（防被否决方案进 M3 快照）；
  keyword 改 contains(autoescape=True) 对齐全库转义口径；撤单抽
  withdraw_pending_orders 供编辑清空方案时显式调用
- 业务：删业务遇在途审批单禁删 400、终态审批单随 _hard_delete 清理；
  编辑清空方案同步撤回在途单；历史离职参与人编辑放行（冗余姓名固化
  语义，仅新增参与人做在职校验）
- 迁移：business_secondary_allocations 补 uk(business_id, personnel_id)
  （模型/迁移 py/导出 SQL/init-dev 四方同步，开发库往返重放验证）
- 设置：upload_logo 改同步 def（阻塞操作不卡事件循环）+ file.size 先拦；
  company_name schema 剥空白防全空白入库；logo 旧文件清理移到 commit
  成功后（防库指旧路径而文件已删断链）；uploadLogo 走 request() 解包
  （原直发 service.post 不解包信封，logoUrl 会被置 undefined）
- 备份：restore_drill --drop-exec 先清全部历史 drill 库再演练并即删本轮
  （原语义永远删错对象，每轮净增一份整库拷贝）
- 测试：conftest 清理补 system_settings 种子行与 uploads/logo 文件；
  新增 5 例（驳回清方案/清空撤单/在途禁删终态随删/离职放行/BOOL 边界）；
  全量回归 701 passed
- 遗留 2 项记 AI_CONTEXT（方案版本承载、审批单快照，依赖 ④ 分摊语义）

Co-Authored-By: Claude Code <noreply@anthropic.com>

scripts/restore_drill.sh

@@ -37,6 +37,20 @@ if [[ -z "$LATEST" ]]; then
 fi
 
 DRILL_DB="payroll_drill_$(date +%Y%m%d_%H%M%S)"
+
+# 0. --drop-exec：演练前先清掉**全部**历史遗留 drill 库（含上一轮「保留供
+#    核对」的那份——否则每演练一轮净增一份整库拷贝，磁盘被无人认领的
+#    drill 库吃满），演练完成后本轮临时库也随之删除
+if [[ "${1:-}" == "--drop-exec" ]]; then
+  OLD_DBS=$(docker exec "$CONTAINER" sh -c \
+    "mysql -uroot -p\"\$MYSQL_ROOT_PASSWORD\" -N -B -e \"SHOW DATABASES LIKE 'payroll_drill_%';\"" 2>/dev/null || true)
+  for OLD in $OLD_DBS; do
+    docker exec "$CONTAINER" sh -c \
+      "mysqladmin -uroot -p\"\$MYSQL_ROOT_PASSWORD\" -f drop \"$OLD\""
+    echo "已清理历史演练库 $OLD"
+  done
+fi
+
 echo "演练恢复：$(basename "$LATEST") → 临时库 $DRILL_DB"
 
 # 1. 创建临时库（mysqladmin create 无反引号转义问题）
@@ -75,9 +89,10 @@ if [[ "$ALL_OK" == "1" ]]; then
   if [[ "${1:-}" == "--drop-exec" ]]; then
     docker exec "$CONTAINER" sh -c \
       "mysqladmin -uroot -p\"\$MYSQL_ROOT_PASSWORD\" -f drop \"$DRILL_DB\""
-    echo "已删除临时库 $DRILL_DB"
+    echo "本轮临时库 $DRILL_DB 已删除（历史遗留亦在演练前清理）。"
   else
-    echo "临时库 $DRILL_DB 保留（核对用）；确认无误后重跑本脚本加 --drop-exec 删除。"
+    echo "临时库 $DRILL_DB 保留（核对用）；确认无误后重跑本脚本加 --drop-exec，"
+    echo "会先清掉包括它在内的全部演练库再演练，本轮完成后同样即删。"
   fi
   exit 0
 else