docs: 补充微信安全提醒账号操作明细

开发文档/2、架构/05-规范/20260730_微信安全提醒事件复盘.md

@@ -86,7 +86,44 @@ parent: [[微信风控统计与执行台账]]
 - [CORE71-51首次失败停止](../../10、项目管理/02-测试报告/20260729_CORE71_51_UNWRAP_FINAL/13_confirm_first_failure.json)
 - [风险恢复计划](../../10、项目管理/02-测试报告/20260729_CORE71_47_RISK_RECOVERY_PREP/group47_recovery_vector.json)
 
-## 8. 事件状态
+
+## 9. 账号级操作明细登记
+
+> 账号：`ACCOUNT_ID`；设备：`3c2d803e58f2c30a744234484c4e393e`；微信版本：`8.0.69`。以下按已落盘证据登记，未凭空补充未记录的动作。
+
+### 9.1 已确认的真实操作
+
+1. **创建群**：调用`create_group`，通过Frida RPC进入微信内部`createchatroom`场景，生成`@chatroom`群。
+2. **修改群名**：调用`set_group_name`，使用微信RoomSDK命令27写入群名，并轮询群表和联系人表回读。
+3. **发送群验证消息**：向新群发送测试消息，取得真实`message_id`和`msg_svr_id`。
+4. **重复确认/回放**：同一测试窗口出现confirm、幂等回放和后续验证准备；虽然调用层设置了`retry_calls=0`，但底层写入已发生。
+5. **失败后继续切换测试窗口**：部分窗口出现`readback_failed`或`business_readback_failed`，随后进入下一组CORE71任务或SDK reload准备。
+
+### 9.2 已确认的异常细节
+
+- `CORE71-47-VISIBLE`：创建群、改名、发消息均返回`verified=true`，底层标记`write_performed=true`。
+- `CORE71-47-ASYNC`：confirm一次，群名回读失败，窗口释放。
+- `CORE71-47-VALID-FRIENDS`：confirm一次，底层生成群后回读失败，窗口释放。
+- `CORE71-47-NAME-READBACK`：confirm一次，群名和群成员回读通过。
+- `CORE71-51-FINAL`：`set_group_name`真实写入通过。
+- `CORE71-51-UNWRAP`：第一次confirm返回`business_readback_failed`，回执明确写入已发生；随后停止重试。
+- `CORE71-52`：第一次confirm后脚本销毁/首败停止，窗口释放。
+
+### 9.3 最大可能的触发原因排序
+
+1. **同一账号短时连续创建多个群并改名**：这是最强候选，涉及微信内部群聊写场景。
+2. **真实写入后立即发送群消息**：新增群、改名、发消息形成连续行为组合。
+3. **写入回读失败后继续做下一轮准备**：微信侧可能已接受写入，服务端却因回读失败继续产生测试状态切换。
+4. **多轮SDK reload、Hook attach和任务切换**：增加了环境变化和探针密度。
+5. **测试内容高度相似**：群名、消息内容、成员组合带有明显批次测试特征。
+
+### 9.4 不能直接认定的部分
+
+- 现有文件没有微信安全提醒原始截图、内部retno或触发秒级时间戳。
+- `rate_limited`出现在OpenAPI示例和门禁配置中，不能直接证明本账号当时收到上游频控。
+- `CORE71-05`只读事件缺失属于Agent事件转发问题，不是账号写入行为。
+
+## 10. 事件状态
 
 | 项 | 状态 |
 |---|---|