feat: 账本域 billing_domain 与成员支付可见性收紧

三表增加账本域标签，成员支付参数改为同域透明、跨域隔离、未标域默认藏；管理面登记/筛选/行内编辑与文档中心同步对齐。

docs/design/需求清单.md

@@ -56,7 +56,7 @@
 | # | 需求 | 说明 | 状态 |
 |---|------|------|------|
 | R11 | 平台身份体系与鉴权 | 访问主体 = 作者 + 成员（运营方完全信任，不设身份）。**成员身份与管理面鉴权均已裁决**（2026-09-29，见裁决记录） | **已裁决**（2026-09-29） |
-| R12 | 成员自助视图 | 令牌进成员视图：**名下 key 的模型调用日志**——每条记录额外携带所属订阅/充值的信息（具体携带形态待核查后设计）+ 用量聚合（quota / 美元，按来源分解）；**完全公开透明**（订阅与支付参数对成员可见）；无「应付」概念（分摊是社交层问题）；登录壳交互（输令牌 → sessionStorage，关标签失效） | **已裁决**（2026-09-29） |
+| R12 | 成员自助视图 | 令牌进成员视图：**名下 key 的模型调用日志**——每条记录额外携带所属订阅/充值的信息（具体携带形态待核查后设计）+ 用量聚合（quota / 美元，按来源分解）；支付参数**同账本域内可见**（同域透明、跨域隔离；未标域默认藏，详见各表 `billing_domain` 与《API契约-成员视图》§5）；无「应付」概念（分摊是社交层问题）；登录壳交互（输令牌 → sessionStorage，关标签失效） | **已裁决**（2026-09-29；2026-10-13 补账本域可见性） |
 | R16 | 成员档案维护与空壳删除 | **修改**：开户后可改 `name` / `remark`（误建、挂 key 前改名等真实场景）；`status` 走启停、令牌走重发，不并入档案编辑。**删除**：仅当**当前无任何 key 归属**（`key_count = 0`）才允许硬删——清理空壳，不触碰账本事实；名下有 key 只能停用（软删除语义不变） | **已裁决**（2026-10-10） |
 
 ## 5. 交付域（已裁决）
@@ -137,7 +137,7 @@
 - **支付记录**（订阅与充值同构）：支付金额 ↔ 额度的**比率关系**——**币种无关**（系统不预设人民币或其他币种，币种是使用者之间的约定）；订阅与充值两类支付事件统一建模（表结构与命名随 R15）
 - **计费来源标注为一等维度**：`billing_source`（订阅 / 充值）随日志解析存储；按来源 / 成员 / key / 模型的任意时段多维聚合
 - **充值登记**（R7 重定义）：与订阅同构——不做充值用量的金额分摊（原「池子加权平均」方案裁撤）
-- **成员视角（R12 形态修正）**：名下 key 的模型调用日志，**每条记录额外携带所属订阅/充值的信息**（具体携带形态待核查后设计）、**完全公开透明**（订阅与支付参数对成员可见）、无「应付」概念
+- **成员视角（R12 形态修正）**：名下 key 的模型调用日志，**每条记录额外携带所属订阅/充值的信息**（具体携带形态待核查后设计）、支付参数**同账本域内可见**、无「应付」概念
 
 ### 2026-10-01 · R15 审阅定稿