换基线：把「底座换代」做进后台（站点数据一行不动）

导出是「底座为底 + 只覆盖托管表」，所以底座必须是手机导出的包。底座跟着数据集走，
手机重新导出后想换代，以前只能整包重新导入成新数据集（站点补录的行、主题、备注都得重收拾）。
新动作 /admin/baseline（后台首页加入口）就是给同一份数据的底座换代用的。

三道闸，顺序不能挪：
1. 重合判据：新包里的到访 UUID 与站点侧带 UUID 的到访比。一条都对不上直接拒
   （连 force 也不给过）——干跑只验结构，一份不相干的包照样导得出，但换下去站点
   每行都在新底座里认不出身份，全按新行插到最大编号之后，真机上就是「这些到访
   全变成新的」。重合率不到一半要显式确认；判据没过不当场报错了事：包已经收进
   uploads，页面给一个「我确认，强制替换」按钮，不必重传几十 MB。
2. 干跑导出：底座缺表/缺实体编号在这步挡住，不会出现「换完了才发现导不出、
   原来那份已经不知去哪」。
3. 旧底座留档 + 记档，换错了可一键回滚。

两个坑：
- 留档名不能只用秒级时间戳。「替换后紧接着回滚」落在同一秒时，回滚那次 rename 会把
  刚生成的留档覆盖掉，于是回滚回了个寂寞（TestRollbackBaselineRestoresPrevious 当场红）。
  改用 baselineBackupName()：20060102-150405 + 冲突自增。
- ensureBaseline 必须先看记档。只认 datasets.sha256（= 最初那份包）的话，底座一丢就静默
  重建回旧包，上一次换基线白做且毫无提示。抽出 ensureBaselineTo(ctx, dsID, dst) 共用；
  「重建」入口写临时文件再 rename，不做破坏性删除。

回归用例 7 条（internal/web/baseline_swap_test.go）：成功路径断言「换底座前后导出包里
ZVISIT 的 UUID 集合逐条一致」——编号会换、身份不该换，谁在底座里没对上立刻亮；
记档优先重建带反证（清掉记档后同一条路必须走不通）；部分重合需确认、完全对不上 force
也不给过、非包文件第一步就挡住、回滚还原且当前那份也留档、页面渲染到底。

验收：./scripts/verify.sh 全量 PASS=318 FAIL=0 SKIP=0。

.workbuddy/memory/2026-09-30.md

@@ -162,3 +162,33 @@ V2（+3 个站内新建地点）、V3（手机里也有的行按手机原值重
 （反忽略六行写法 + 只放行 .md 的理由 + `git check-ignore --no-index` 打靶复核 +
 `MAX_MEMORY_CHARS=1e4` 按字符判定 + 只有 MEMORY.md 参与注入 + CRLF 归一与
 「`grep -c $'\r'` 在 Git Bash 里会全命中」这个假信号）。
+
+## 「换基线」做进后台（2026-09-30 18:55）
+
+上一轮用户手工走的换基线闭环，这轮做成了后台动作：`/admin/baseline`（后台首页加了入口）。
+**站点数据一行不动，只换导出底稿**——这正是「底座必须是手机包」这条铁律的可操作形态。
+
+三道闸，顺序不可挪（写在 `internal/web/baseline.go` 的文件头注释里）：
+1. **重合判据**：拿新包里的到访 UUID 与站点侧带 UUID 的到访比（站点补录行本来就没 UUID，不计入分母）。
+   `matched==0` ⇒ 硬拒，**force 也不给过**（干跑只验结构，一份不相干的包照样导得出，但换下去站点每行都
+   认不出身份 ⇒ 全按新行插到最大编号之后 ⇒ 真机上「这些到访全变成新的」）。`matched*2 < withUUID` ⇒
+   要显式确认；判据没过不当场报错了事——包已收好，页面给一个 `?pending=<sha>` 的「强制替换」按钮，不必重传 20MB。
+2. **干跑导出**（`ExportRondbackup(..., tmp, io.Discard)`）：底座缺表/缺实体编号在这步就挡住，
+   不会出现「换完了才发现导不出、原来那份已经不知去哪」。
+3. **旧底座留档 + 记档**：`datasets.baseline_name/baseline_sha256/baseline_at`。
+
+踩到两个坑，都写进了 details 卅三：
+- ⚠️ **留档名不能只用秒级时间戳**：「替换后紧接着回滚」落在同一秒时，回滚那次 rename 会把刚生成的
+  留档覆盖掉，于是回滚「回了个寂寞」——`TestRollbackBaselineRestoresPrevious` 当场红给我看。改用
+  `baselineBackupName()`（`20060102-150405` + 冲突自增）。
+- ⚠️ **`ensureBaseline` 必须先看记档**：只认 `datasets.sha256`（= 最初那份包）的话，底座一丢就静默
+  重建回旧包，换基线白做且毫无提示。共用实现 `ensureBaselineTo(ctx, dsID, dst)`；「重建」入口写临时
+  文件再 rename，不做破坏性删除。用例里带了**反证**（清掉记档后同一条路必须走不通），免得被别的兜底弄绿。
+- 另一个小坑：算摘要的落盘要在 `uploads` **之外**，否则 `findUploadBySha` 会把自己认成「已存在」。
+
+第一次跑定点用例时还红了一条 `换底座后导出包里的到访数 824 != 站点 823`——那是**我的断言写错了**：
+导出条数与站点条数本来就不严格相等（导入会跳过内容重复的行），既有用例都只做「导出前后相对比较」。
+改成更锋利的判据：换底座前后导出包里 `ZVISIT` 的 **UUID 集合逐条一致**——编号会换、身份不该换。
+
+验收：`./scripts/verify.sh` 全量 **PASS=318 FAIL=0 SKIP=0**（10m15s）。
+新增用例 7 条（`internal/web/baseline_swap_test.go`）。

.workbuddy/memory/MEMORY-details.md

@@ -534,3 +534,46 @@ zip 包，**条目内容本身是 zlib 流**；`Model/*/` = 头 32768B + 每块
 - 验收四件套 `ROND_TEST_CONF`+`ROND_SRC`+`FOG_SRC`+`ROND_DSN`（须指 `rond_fog_test`）；`-count=1 -v ./...` 要 **0 skip**。两个假绿坑：缺 `ROND_SRC` 静默 Skip；共用库 `Import` 让 `internal/stats` 假 skip ⇒ 用专用库，`t.Cleanup` 在 `defer` **之后**才跑。
 - 静态守卫走 `moduleRoot(t)`/`pkgFile(t,name)`；`-race` 需 mingw 在 PATH。纪律：只走 IPv4、303 不跟随；**同一文件绝不并行发多条 Edit**；新回归测试做**变异验证**。
 - 📐 覆盖率**必须 `-coverpkg=./internal/...`**（`-cover` 只算本包 ⇒ rond/geo 假报 0%，真值 82.2%/92.9%）；解析 profile 按 `(文件,行段)` 取 **max 别求和**；**死代码删掉、别给它补测试**。关键页冒烟 `scripts/smoke.py`（`verify.sh --smoke`/`--all`）：关键区块不能用 `nav.nav`、用 `.card` 不用 `div.card`。`details 廿九`
+
+
+---
+
+## 三十三、「换基线」（底座换代）做进后台（2026-09-30）
+
+### 是什么 / 为什么要
+导出的实现是「**底座为底 + 只覆盖托管表**」（见 `internal/rond/export.go` 头部注释）：
+Core Data 元数据、索引、持久化历史、`ZRAWVISIT` 采样点、`ZTRIP*` 全从底座原样带出来。
+所以**底座必须是手机导出的包**。底座跟着数据集走，手机重新导出后想换代，
+以前唯一办法是整包重新导入成新数据集（站点补录的行、主题、备注全要重收拾）。
+新动作：**同一份数据的底座换代，站点数据一行不动**。
+
+### 实现要点（`internal/web/baseline.go` + `handlers_export.go` + `templates/admin/baseline.html`）
+- 顺序不可挪：写临时底座 → ①重合判据 → ②干跑导出 → 旧底座改名留档 → `rename` 就位 → 记档 → prune。
+  干跑（`rond.ExportRondbackup(..., tmp, io.Discard)`）把「底座缺表/缺实体编号」这类失败挡在替换之前，
+  否则会出现「底座换了、才发现导不出、原来那份已经不知去哪」。
+- ①重合判据（唯一能挡住「换错包」的闸）：分母是**站点侧带 UUID 的到访**（站点补录行本来就没有 UUID，
+  不计入）；`minOverlapVisits=20` 以下不判；`matched==0` ⇒ 硬拒（**force 也不给过**）；
+  `matched*2 < withUUID` ⇒ 要显式确认。理由：干跑只验结构，一份不相干的包照样导得出，
+  但换下去站点每行都在新底座里认不出身份 ⇒ 全按新行插到最大编号之后 ⇒ 真机上「这些到访全变成新的」。
+- ⚠️ **留档名必须防重名**：`fmt.Sprintf("%s.bak-%d", dst, time.Now().Unix())` 是秒级；
+  「替换后紧接着回滚」两个操作落在同一秒时，回滚那次 `rename` 会把刚生成的留档**覆盖掉**，
+  于是回滚拿到的还是新底座——实测 `TestRollbackBaselineRestoresPrevious` 就是这么红的。
+  改用 `baselineBackupName()`（`20060102-150405` + 冲突自增）。
+- 记档三列 `datasets.baseline_name/baseline_sha256/baseline_at`。
+  **`ensureBaseline` 必须先看记档**：只认 `datasets.sha256`（= 最初那份包）的话，
+  底座一丢就静默重建回旧包，上一次换基线白做。共用实现 `ensureBaselineTo(ctx, dsID, dst)`；
+  「重建」入口写临时文件再 `rename`，不做破坏性 `os.Remove`（重建失败不能让数据集没底座）。
+- 上传件要落 `uploads`（`stashUpload`，按 sha 去重后复用已有那份），否则底座丢了按记档找不回包。
+  ⚠️ 算摘要的落盘必须在 `uploads` **之外**（`ingest.TempDir` 下），否则 `findUploadBySha`
+  会把自己认成「已存在」。
+- 判据没过不当场报错了事：包已经收好了，页面用 `?pending=<sha>&pname=&pm=&pw=` 渲染一个
+  「我确认，强制替换」按钮（不必重传几十 MB）；`POST /admin/baseline/confirm` 走同一条路。
+- 导出内容在换底座前后**逐条不变**（`ZVISIT` 的 UUID 集合）：编号会换、身份不该换，
+  这条是回归用例最锋利的断言（谁在底座里没对上，就会多出一条派生 UUID 的行）。
+- 路由：`GET /admin/baseline`、`POST /admin/baseline`（上传并换）、`/confirm`、`/rollback`、`/rebuild`。
+
+### 用例 `internal/web/baseline_swap_test.go`（7 条）
+成功路径（文件真换/旧底座留档 sha 一致/记档写入/站点计数与样本时间不变/导出 UUID 集合一致）、
+记档优先重建（**带反证**：清掉记档后同一条路必须走不通，防止用例被别的兜底弄绿）、
+部分重合需确认、一条都对不上 force 也不给过、非包文件第一步就挡住、回滚还原且当前那份也留档、
+页面渲染到底（尾部 `</html>`）。

.workbuddy/memory/MEMORY.md

@@ -1,6 +1,6 @@
 # rond-with-you 硬规矩（索引）
 
-> 全文：`.workbuddy/memory/MEMORY-details.md`（34 节）；验证机制：技能 `rond-fix-verify`；备份包解析/导出：技能 `rond-backup-parse`。本文件只做关键词索引——**新规矩写 details，别堆这里**。
+> 全文：`.workbuddy/memory/MEMORY-details.md`（35 节）；验证机制：技能 `rond-fix-verify`；备份包解析/导出：技能 `rond-backup-parse`。本文件只做关键词索引——**新规矩写 details，别堆这里**。
 >
 > ⚠️ 本文件**按字符数**注入，硬上限 `MAX_MEMORY_CHARS = 1e4`（WorkBuddy `app.asar` 里 `getWorkingMemoryContent`；中文 1 字算 1，不是按字节）。超了会被 `substring(0,1e4)` 截断并写明「先整理再干活」——即整段尾部静默丢失。日常日志与本 details **不参与注入**，可以随便写。现值见 `wc -m`，留 20% 余量。
 
@@ -21,6 +21,7 @@
 - rows 收尾必须 `drainRows`（先 `Err()` 再 `Close()`）。`parse_rows_test.go`
 - **扫进裸 `bool` 的列必须先 `COALESCE`**：`weather.is_daylight` 漏写 ⇒ NULL ⇒ 整包拒收（details 卅C）。
 - 核对导出包**别按留档 UUID 找行**：站点新建行会被补派生 UUID（`coreDataUUID`）。
+- **换基线**（底座换代，`/admin/baseline`）：站点数据一行不动，只换底稿。判据=到访 UUID 重合率（`matched==0` 硬拒）+ 干跑导出；记档 `datasets.baseline_*`，`ensureBaseline` **必须先看记档**；留档名**必须防重名**（秒级时间戳会让回滚覆盖掉刚生成的留档）。`baseline_swap_test.go`（details 卅三）
 
 ## 迷雾 / 遮罩（details 三、九、十、廿二）
 - `.fwss`=zip、条目 zlib；`Model/*/`=头 32768B+每块 515B；`Model/~/`、`Model/#/` 原样写回；清空/替换都要连 `fog_raw_files`。