docs(memory): 第三批修复与三个新踩到的坑

- 2026-10-29.md：第三批 7 项改动与验证数据
- MEMORY.md：三条长期结论 ——
  「用户主动删除 = 真删」（模型全带 DeletedAt，默认 Delete 是软删）、
  「配额必须与内容同事务」（incrementQuotaTx 是唯一实现，且投票口径是票数不是个数）、
  「错误页不套模板」（f.NotFound 不经过组级中间件，注入 template.Data 会 panic）
- topics/quality.md：标注第三批范围

新踩到的三个坑：
1. gofmt 会把注释列表 `// 1) ...` 改写成 `//  1. ...`，被标为未格式化时先排除这个
2. Select(...) 漏列 = 字段静默为空（摘要永远是空串，只有一项测试红）
3. CDP 验证纯前端：chrome 必须作为独立后台进程启动，跟在别的命令后面 `&`
   会随 shell 退出被回收；headless=new 的空标签页 type 常是 other

.workbuddy/memory/2026-10-29.md

@@ -91,19 +91,57 @@ gzip 实现质量高、后台移动端短标签方案做得细。
 另：本项目 `core.autocrlf=true`，仓库里存 LF、工作区 checkout 成 CRLF，
 所以「工作区看到 CRLF」不等于「仓库里是 CRLF」，判断基准要看 `git show`。
 
-### 待办
+---
+
+## 第三批（数据安全 + 产品缺口）
+
+1. **删除投票 / 删除提问改成一个事务 + 真删（`Unscoped`）**。
+   原来四步独立写入、前几步失败只 Warn → 中途失败留下「选项没了票还在」这类
+   界面修不好的状态，重试时投票已不存在、只能报 not exist。
+   更关键的是：所有模型都带 `dbutil.Model` 的软删除，原来全是软删 ——
+   提交记录里的参与者文本、`voter_ip`、`voter_token`、提问里的 `FromIP`
+   只是「界面上看不见」，库里永久留着。用户点删除的预期是删掉。
+2. **配额与内容同事务**：抽出 `incrementQuotaTx(tx, userID, feature, delta)`，
+   提问 `Questions.Create`、私聊 `CreateWithFirstMessage`、投票提交
+   `VoteSubmissions.Create`（新增 `QuotaUserID` 字段）都在自己的事务里 +1。
+   原来 handler 里独立写入且失败只 Warn，`quota_count` 会永久偏低。
+3. **追问改回答不再重复发邮件**：`UpdateAnswerByID` 返回 `wasFirst`（事务内读旧值判定），
+   handler 只在首次回答时发。原来改三遍措辞就发三封。
+4. `isQuestioner` 的 token 比较改 `subtle.ConstantTimeCompare`（与 Pager 中间件同口径）；
+   CSV 导出的**表头与选项列**补 `sanitizeCSVCell`（原来只有数据列走它）。
+5. 写路径功能开关改 **fail-closed**：新增 `db.FeatureStateOfStrict`，
+   读配置失败时拒绝而不是回退默认「开启」。
+6. **真 404 + HTML 500**：新增 `internal/route/errorpage.go`，`f.NotFound` 不再 302 到首页，
+   改 `writeErrorPage(ctx, 404, ...)`；`flamego.Recovery()` 换成 `recoveryMiddleware()`。
+7. **提问者找回自己的提问**：成功页写 localStorage，箱主页显示提示条，
+   新增 `POST /api/v1/ask-status`（批量问「哪些已被回答」）。
+
+### 这批踩到 / 学到的
+
+- **flamego 的 `f.NotFound` 拿不到组级中间件**：`template.Templater` 与 `Contexter`
+  （含 session、CSRF）都挂在 `f.Group("", ...)` 上，NotFound 不经过它们。
+  所以在 NotFound 里注入 `template.Data` 会直接 panic：
+  `unable to invoke the 8th handler: value not found for type template.Data`。
+  错误页最终用**内联 HTML + i18n.T**（`pickErrorPageLang` 从 Accept-Language 猜语言），
+  不依赖模板系统 —— 错误页本来是最后一道防线，不该依赖可能出错的链路。
+- **`gofmt` 会把注释里的列表规范化**：`// 1) ...` 会被改写成 `//  1. ...`。
+  自己写的中文注释列表如果用了 `1) 2) 3)`，`gofmt -l` 会标为未格式化 —— 不是行尾问题。
+- **`Select(...)` 漏列 = 字段静默为空**：`ListByIDsAndUser` 一开始只选了
+  id/token/answer/created_at，摘要永远是空串，接口 12 项里就这一项红。
+- **配额口径要按功能分别确认**：投票的定量收集是「累计收到的票数」（在提交成功时 +1），
+  不是「创建了几个投票」。所以我一度在删除投票里加了 -1，那是错的 —— 删投票不代表票没发生过。
+- **CDP 验证纯前端功能的套路**（`verify_ask_history_ui.mjs`）：
+  `chrome --headless=new --remote-debugging-port=9222`（必须作为独立后台进程跑，
+  跟在别的命令后面 `&` 会随 shell 退出被回收）→ node 用内置 `WebSocket` 连
+  `/json/list` 里任一 target → `Runtime.evaluate` 注入 localStorage → 重新 navigate →
+  断言 DOM → `Page.captureScreenshot`。注意 headless=new 的空标签页 `type` 常是 `other`，
+  不能只找 `type === "page"`。
+- **控制台错误要区分来源**：页面里 R2 图片的 CORS 报错是既有问题，
+  把它算进「本次改动失败」只会得到假阳性。判据要按 URL/关键字过滤。
+
+### 待办（仍未做）
 
-本批改动已 commit。剩余清单在 `outputs/review-2026-10-29.md` 第四、五节，尚未做的：
-- 删除投票的级联 4 步无事务（`route/user/vote.go:1048-1076`）
-- 配额递增失败只 Warn → `quota_count` 与真实行数永久漂移（3 处调用点）
-- 改写追问回答会重复发「您的提问有回复」邮件
-- `isQuestioner` 用裸 `==` 比 token（与中间件口径不一致）
-- CSV 导出选项内容未做公式注入转义
-- `FeatureStateOf` 查询异常时 fail-open
 - AutoMigrate 无版本化（改列名会静默丢数据）
-- 无备份脚本（用户图片全在对象存储，只备份 DB 恢复后全是裂图）
+- 无备份脚本（图片全在对象存储，只备份 DB 恢复后全是裂图）
 - 32 个 `<label>` 无 `for=`、语义标签对比度 1.9:1
-- 真 404 页（现在全 302 到首页）、500 纯文本页
-
-产品向（`review-2026-10-29.md` 第六节，按 ROI）：提问者用 localStorage 记住自己的提问、
-箱主数据面板（全站无 page view 数据）、Telegram/Webhook 通知、JSON-LD + RSS、图片前端压缩。
+- 箱主数据面板（全站无 page view 数据）、Telegram/Webhook 通知、JSON-LD + RSS、图片前端压缩

.workbuddy/memory/MEMORY.md

@@ -41,6 +41,9 @@
 - 线上通道 = 七牛；裁决在 `censor/policy.go` + `moderation.Check`，新增调用点必须走 `moderation.Check`，不可用时 fail-closed。
 - 严格度存 `users.moderation_strictness`；受处置用户强制 strict（`moderation.EffectiveStrictness`），查询失败回退用户设置。
 - 同请求渲染只能用 `ctx.SetError`/`SetInternalError`，不能 `*Flash`。
+- 写路径查功能开关用 `db.FeatureStateOfStrict`（失败即拒）；`FeatureStateOf` 的
+  fail-open 只给读展示用 —— 它的默认值对提问/投票是「开启」，等于让一次配置读失败
+  绕过箱主的关闭与定量上限。
 - 处置四级 L1–L4；到期靠 `expires_at` 无 cron；`restrict` 是替换语义；比较用 `RestrictionAtLeast`。
 - L2 强制私密须在审核通过后、与写回答同一条 UPDATE（`AnswerByIDPrivate`）。
 - `ListAPI` 不经 Pager 中间件，L4 与页面密码须自校验；分享卡拦截须在缓存查询之前。
@@ -54,11 +57,23 @@
 
 - 默认值必须带引号；事务里每句 `tx.WithContext(ctx)`；链式对象带状态，统计/更新各自重建 query。
 - 软删除+唯一索引 = 槽位永久占用；级联删除一律 `Unscoped()`。
+- **「用户主动删除」= 真删**：模型全带 `dbutil.Model` 的 `DeletedAt`，默认 Delete 是软删 ——
+  提交记录里的 `voter_ip`/文本、提问里的 `FromIP` 会永久留在库里。删投票/删提问已改
+  `Unscoped` 并收进一个事务（`Votes.DeleteWithCascade`、`Questions.DeleteByID`）。
+- **配额必须与内容同事务**：`incrementQuotaTx(tx,...)` 是唯一实现；别在 handler 里
+  再补一次 `IncrementQuota`（那是独立写入，失败只 Warn → `quota_count` 永久偏低）。
+  注意口径按功能不同：提问/私聊是「条数」，投票是「累计收到的票数」。
 
 ## 前端样式（topics/style.md）
 
 - `static/css/base.css`（`?v=` 取 `conf.StaticVersion`，改完 +1）。令牌在 `:root` + `html[data-theme="dark"]`，新样式一律 `var(--tb-*)`。
 - 移动端（≤640px）语言/主题按钮在固定底栏 `#tb-mobile-utils`；箱主页**有意**无语言切换。
+- **错误页不套模板**：`f.NotFound` 不经过组级中间件（`template.Templater`/`Contexter`
+  连同 session、CSRF 都在 `f.Group` 里），在里面注入 `template.Data` 会 panic。
+  404/500 统一走 `internal/route/errorpage.go` 的内联 HTML + `i18n.T`，
+  语言从 `Accept-Language` 猜（`pickErrorPageLang`）。Recovery 也是自写的。
+- **提问者找回自己的提问**：`templates/question/{success,list}.html` + `POST /api/v1/ask-status`。
+  记录只在本机 localStorage；接口必须同时给对 token 才返回信息，三种失败情形响应完全一致。
 - UIkit 3.3.3：`.uk-flex::before/::after{display:none}`；主色是编译期常量，需在 base.css 末尾映射。
 - 视觉自检：`TEST_PREVIEW=1 go test ./templates -run TestGenPreview`；截图用 `chrome --headless=old`。
 

.workbuddy/memory/topics/quality.md

@@ -6,6 +6,9 @@
 > 紧接着做了第二批（P2 + 高价值 P3，共 9 项）：投票结果 stale-while-revalidate、
 > 三处幂等、私聊首条事务、`/healthz` `/readyz`、验证码失败保正文、`tbBeginSubmit`、
 > waline 按页加载 / lazy / safe-area / i18n、5 处裸断言。
+> 第三批（同日）：删除投票/提问改事务 + 真删、配额与内容同事务、追问改回答不重复发信、
+> token 常数时间比较 + CSV 注入补齐、写路径 fail-closed、真 404/HTML 500、
+> 提问者找回自己的提问（localStorage + `/api/v1/ask-status`）。
 > 条目保留是为了记住**为什么**会踩、以及验证该怎么做。
 
 ## 已修：两个 P0（都是实测出来的）