chore: auto bump version and changelog [skip ci]

cfc-web/.last_build_commit

@@ -1 +1 @@
-f5beec913c2ccce6a092da9efc98c0d094a89b0c
+8c3559dd4810dc68a7af998c3a23ff18688001aa

cfc-web/package.json

@@ -1,6 +1,6 @@
 {
   "name": "cfc-web",
-  "version": "1.0.845",
+  "version": "1.0.846",
   "private": true,
   "scripts": {
     "dev": "vue-cli-service serve",

cfc-web/public/CHANGELOG-v1.0.md

@@ -4,6 +4,36 @@
 
 ---
 
+## v1.0.846 (2026-08-07)
+
+### 测试
+- 身份参数加固回归测试 + 修复过期断言
+
+### 其他
+- - 修复 X-User-Id header 断言（改为断言不再发送）
+- - 新增 identity parameter hardening 4 个回归测试：
+-   request 不发 X-User-Id 头、测评 wrapper 无参且 body 为空、today-tasks 仅含 memberId
+- 
+-   改为 @RequestAttribute("userId") 获取当前用户，移除 body.userId 读取
+- - record/current 标记为已废弃（无前端调用方，familyId 参数不再被信任）
+- - FamilyController：guide-bind 的 @RequestHeader("X-User-Id") 改为 @RequestAttribute("userId")；
+-   两个已废弃端点移除 X-User-Id 参数
+- - AdminController：/api/admin/families/** 及 /families/count 增加 admin 角色校验
+- - HealthReportController：parse-preview 的 familyId 由 @RequestParam 改为 @RequestAttribute
+- 
+- - 移除 pages/promotion/material.vue 本地 _request 的 X-User-Id 头
+- - 测评 wrapper（getMy/ChildAssessmentResults）改为无参发送 {}
+- - 测评页面（results/apply/purchase）停传 userId
+- - 删除 mind/index.vue 两个指向不存在端点的死调用（/api/mind/report/*）
+- - 移除 report-upload/meal-config/bind-invite 的 familyId/family_id 传参
+- - parent-index.vue getPendingWishes() 去实参（wrapper 已忽略）
+- 
+
+### Bug 修复
+- 后端身份参数改从JWT推导，不再信任客户端传入
+- 移除前端身份参数传递——前端只传memberId，不传userId/familyId/childId
+
+
 ## v1.0.844 (2026-08-07)
 
 ### Bug 修复

cfc-web/public/CHANGELOG.md

@@ -1,6 +1,6 @@
 # 更新日志
 
-> 当前版本: v1.0.844
+> 当前版本: v1.0.846
 
 ## 历史版本
 
@@ -8,6 +8,36 @@
 
 ---
 
+## v1.0.846 (2026-08-07)
+
+### 测试
+- 身份参数加固回归测试 + 修复过期断言
+
+### 其他
+- - 修复 X-User-Id header 断言（改为断言不再发送）
+- - 新增 identity parameter hardening 4 个回归测试：
+-   request 不发 X-User-Id 头、测评 wrapper 无参且 body 为空、today-tasks 仅含 memberId
+- 
+-   改为 @RequestAttribute("userId") 获取当前用户，移除 body.userId 读取
+- - record/current 标记为已废弃（无前端调用方，familyId 参数不再被信任）
+- - FamilyController：guide-bind 的 @RequestHeader("X-User-Id") 改为 @RequestAttribute("userId")；
+-   两个已废弃端点移除 X-User-Id 参数
+- - AdminController：/api/admin/families/** 及 /families/count 增加 admin 角色校验
+- - HealthReportController：parse-preview 的 familyId 由 @RequestParam 改为 @RequestAttribute
+- 
+- - 移除 pages/promotion/material.vue 本地 _request 的 X-User-Id 头
+- - 测评 wrapper（getMy/ChildAssessmentResults）改为无参发送 {}
+- - 测评页面（results/apply/purchase）停传 userId
+- - 删除 mind/index.vue 两个指向不存在端点的死调用（/api/mind/report/*）
+- - 移除 report-upload/meal-config/bind-invite 的 familyId/family_id 传参
+- - parent-index.vue getPendingWishes() 去实参（wrapper 已忽略）
+- 
+
+### Bug 修复
+- 后端身份参数改从JWT推导，不再信任客户端传入
+- 移除前端身份参数传递——前端只传memberId，不传userId/familyId/childId
+
+
 ## v1.0.844 (2026-08-07)
 
 ### Bug 修复