feat: establish AIOA identity and organization baseline

docs/engineering/decisions.md

@@ -0,0 +1,21 @@
+# 工程决策记录
+
+## ADR-001：先交付纵向闭环
+
+首个里程碑围绕请假审批实现端到端能力，不按技术层横向建设全部平台组件。
+
+## ADR-002：模块化单体
+
+核心后端以单部署单元运行；模块拥有自己的数据表，通过应用接口与领域事件协作。
+
+## ADR-003：本地环境最小化
+
+首期本地依赖为 PostgreSQL、Keycloak、Redis 和 MinIO。Kafka、OpenSearch、APISIX、Vault 和 Kubernetes 在出现对应验收需求时接入。
+
+## ADR-004：契约优先
+
+移动端和 AI 服务通过 OpenAPI 与 Kotlin 后端集成。AI 只返回结构化建议或工具调用请求，业务执行权始终属于 Kotlin 后端。
+
+## ADR-005：环境基线
+
+项目使用 JDK 21、Python 3.11+ 和与主机架构一致的 Flutter stable。生产依赖和镜像禁止使用浮动 `latest` 标签；发布生产环境前由 CI 将已验证镜像解析并固定到真实摘要。

docs/engineering/roadmap.md

@@ -0,0 +1,37 @@
+# 实施路线
+
+## M0：工程基线
+
+- [x] 仓库、目录、环境和编码约定
+- [x] 本地基础依赖配置
+- [x] OpenAPI 基础契约
+- [x] Kotlin 后端 Wrapper、测试和构建入口
+- [x] Trace ID、统一异常和数据库基础迁移
+- [ ] GitLab CI 格式检查、测试和构建流水线
+
+## M1：身份与组织
+
+- [x] Keycloak Realm、移动客户端和开发测试身份
+- [x] 当前用户 OA 数据查询
+- [x] 租户、部门、人员、岗位、任职关系和角色基础模型
+- [x] 统一鉴权、错误结构、Trace ID 和审计基础
+- [x] Keycloak 与后端容器端到端验证
+- [ ] 设备注册、撤销与远程注销
+- [ ] 数据范围与工具权限
+
+## M2：请假审批闭环
+
+- 表单草稿和版本
+- Flowable 流程发布与执行
+- 发起、待办、批准、驳回、撤回和时间线
+- 附件、通知、弱网恢复和幂等处理
+
+## M3：AI 最小闭环
+
+- 自然语言生成请假草稿
+- 查询本人流程进度
+- 确认卡片、工具鉴权和 AI 审计
+
+## Definition of Done
+
+每项功能必须同时具备：权限校验、审计、自动化测试、契约更新、错误处理和最小可观测性。