feat(oa): add permission-controlled shared finance remarks to done center

Share one finance remark per approval instance across Web and mobile. Require the explicit permission and the current tenant user's own done task for every read and write; keep general instance responses free of financial remarks.

Add idempotent MySQL migration without automatic role grants, cross-end editors, isolated backend and frontend tests, and rollout requirements. Refs #7; platform validation and target database migration remain pending.

docs/README.md

@@ -13,6 +13,8 @@
 | 数据库 | [SQL 初始化与迁移](sql/) |
 | 部署 | [部署导航](../deploy/README.md) |
 
+OA 已办财务备注上线前先执行 [2026-10-30 迁移](sql/migrations/2026-10-30-oa-done-finance-remark.sql)，再更新应用；迁移不自动赋权。通过角色菜单配置授予已办中心下“财务备注（查看和修改）”权限（`oa:done:finance-remark`），同一权限作用于 Web 和移动端，仍限本人已办单据。
+
 `docs/sql/zkxw.sql` 仍被交付打包和 Compose 引用，但当前初始化基线不完整，不能据此宣称可从空库部署。SOP HTML 是导入脚本的输入资源，继续保留。
 
 历史细胞产品导入必须显式指定 `--file`，不再自带默认 TSV。实际业务测试保留在各应用源码目录；删除历史报告不代表现有测试已经执行或通过。