docs(acceptance): 记录 B-03 凭据验收证据

docs/development/OpenNexus生产化实施进度-2026-09-08.md

@@ -923,3 +923,13 @@ Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写
 - 独立 oracle 核对依赖环、缺包和版本冲突在不可变计划阶段返回稳定错误；无效配置在创建安装事务前拒绝。失败后的既有执行许可仍只绑定原 `notes.read`，尝试增加 `notes.write` 返回 `PERMISSION_CHANGED`，事务恢复不签发或扩大权限。
 - 提交 `af67a2250e091ddc0a4b3a93487707447af57b20` 后在只保留用户 Vault 修改的工作树运行统一 runner，summary/case 均为 `PASSED`，5 项断言通过，耗时 35726 ms。证据目录 `H:\OpenNexus-acceptance\d03-af67a22-c314a1d271bb4add81f62ce24ca7c14c-report\`，报告标记 `contains_credentials=false`；隔离数据根已在报告生成后删除。
 - desktop Rust 全目标通过：库 141 项、Host 11 项、其余集成 9 项，合计 161 项，16 项 ignored 中包含由父用例实际调用的辅助入口及需单独运行的长时验收；D-03 driver 已显式运行新增硬终止用例。全目标 Clippy `-D warnings`、runner 7 项测试、Python 编译、Rust 格式和差异检查均通过。D-03 可记为通过；其余 14 个生产验收 ID 尚未登记，整体生产化目标保持未完成。
+
+
+## 增量：B-03 凭据锁定、改密与恢复生产验收
+
+- 新增组合 oracle，把真实 `WM_WTSSESSION_CHANGE/WTS_SESSION_LOCK` 投递到 Host 的隐藏会话窗口，并使用 CredentialBroker 的生产撤销代次验证新解析在 1 秒内返回 `CREDENTIALS_LOCKED`；手工锁定走同一代次并满足同一时限。解锁会话消息不会恢复旧代次。
+- Host 手工锁定测试在凭据 mutex 被占用时执行：先观察凭据和扩展执行两个原子撤销信号，再释放 mutex 让清理完成，整个可观察拒绝路径小于 1 秒，避免 Argon2/KDF 或在途操作推迟安全边界。
+- Stronghold 改密用例保存一条加密记录，锁定后错误旧密码无法解锁，新密码重开后记录数和值保持一致。加密备份用例在原库损坏后先用错误密码恢复，确认损坏原字节不变；正确密码恢复精确记录、保留恢复前副本并保持锁定，备份中无秘密明文。
+- 无可用备份的损坏库固定拒绝解锁且不重建或覆盖原文件；同一进程中的独立 Workspace 仍可创建、保存、读取本地笔记并核对文件摘要，凭据故障不阻断编辑。
+- 提交 `101c8070b9b83e809610e80a7c3e51d2537c8ced` 后在只保留用户 Vault 修改的工作树运行统一 runner，summary/case 均为 `PASSED`，5 项断言通过，耗时 54583 ms。证据目录 `H:\OpenNexus-acceptance\b03-101c807-d2b194f8c8454fbbb43b28b47468a6e3-report\`，报告标记 `contains_credentials=false`；隔离数据根已删除。
+- 五项 exact Rust oracle、全目标 Clippy `-D warnings`、runner 7 项测试、Python 编译、Rust 格式和差异检查均通过；D-03 前一轮完整 Rust 回归也覆盖改动前的全部其他目标。B-03 可记为通过；其余 13 个生产验收 ID 尚未登记，整体生产化目标保持未完成。

docs/development/OpenNexus生产验收Runner.md

@@ -24,4 +24,4 @@ python scripts/phase3-production-acceptance.py `
 
 报告目录包含 `summary.json`、`case-manifest.json`、`junit.xml`、`cases/<ID>.json` 和脱敏的 `logs/<ID>.log`。摘要记录 commit、各锁文件 SHA-256、配置摘要与已提供安装产物摘要。日志将仓库、数据根、报告根、用户主目录和配置声明的秘密值替换为占位符，并限制为 10 MiB。报告目录必须为空，避免单例复跑覆盖原始证据。
 
-当前 runner 与失败闭合行为已实现，A-02/A-03 Sidecar、B-01/B-02 凭据、C-03 沙箱许可、D-01/D-03 扩展包与事务、S-01/S-02/S-03/S-08 Sync 客户端以及 S-04/S-05/S-06/S-07/S-09 Sync 服务 driver 已登记；其余 14 个生产验收 ID 尚未登记，运行时会生成 `NOT_IMPLEMENTED` 证据并退出 1。这用于阻止误报，不是这些用例的验收通过。
+当前 runner 与失败闭合行为已实现，A-02/A-03 Sidecar、B-01/B-02/B-03 凭据、C-03 沙箱许可、D-01/D-03 扩展包与事务、S-01/S-02/S-03/S-08 Sync 客户端以及 S-04/S-05/S-06/S-07/S-09 Sync 服务 driver 已登记；其余 13 个生产验收 ID 尚未登记，运行时会生成 `NOT_IMPLEMENTED` 证据并退出 1。这用于阻止误报，不是这些用例的验收通过。