docs: R16 成员档案修改与空壳删除裁决入档

成员操作面扩为可改 name/remark、key_count=0 时硬删空壳；软删除仍是账本实体默认语义。

docs/design/需求清单.md

@@ -4,7 +4,7 @@
 
 | 项目 | 内容 |
 |------|------|
-| 状态 | 定稿（2026-10-01） |
+| 状态 | 定稿（2026-10-01；R16 定稿 2026-10-10） |
 | 关联 | `README.md`（背景、动因与架构约束）· 各篇表字段设计 · `docs/references/NewAPI-接口范围.md`（可用接口参考） |
 | 取代 | 《设计议题》（2026-09-29 由本清单取代；其中双形态裁决与 CFW 调研结论已并入本文 §5/§7） |
 
@@ -57,6 +57,7 @@
 |---|------|------|------|
 | R11 | 平台身份体系与鉴权 | 访问主体 = 作者 + 成员（运营方完全信任，不设身份）。**成员身份与管理面鉴权均已裁决**（2026-09-29，见裁决记录） | **已裁决**（2026-09-29） |
 | R12 | 成员自助视图 | 令牌进成员视图：**名下 key 的模型调用日志**——每条记录额外携带所属订阅/充值的信息（具体携带形态待核查后设计）+ 用量聚合（quota / 美元，按来源分解）；**完全公开透明**（订阅与支付参数对成员可见）；无「应付」概念（分摊是社交层问题）；登录壳交互（输令牌 → sessionStorage，关标签失效） | **已裁决**（2026-09-29） |
+| R16 | 成员档案维护与空壳删除 | **修改**：开户后可改 `name` / `remark`（误建、挂 key 前改名等真实场景）；`status` 走启停、令牌走重发，不并入档案编辑。**删除**：仅当**当前无任何 key 归属**（`key_count = 0`）才允许硬删——清理空壳，不触碰账本事实；名下有 key 只能停用（软删除语义不变） | **已裁决**（2026-10-10） |
 
 ## 5. 交付域（已裁决）
 
@@ -92,6 +93,8 @@
 
 **需求阶段收官（2026-10-01）**：15 项全部有归宿——R1 / R2 / R5 / R6 / R7 / R8 / R9 / R11 / R12 / R13 / R14 / R15 已裁决关闭，R10 裁撤，R3 / R4 延后（提案存档见 §9）。表字段设计与交互设计均经作者逐篇审阅**定稿**；其后 API 契约与同步引擎设计亦已立稿。
 
+**增补（2026-10-10）**：R16（成员档案维护与空壳删除）已裁决——成员操作面由「开户 / 启停 / 重发」扩为含档案修改与条件硬删；随 members / API / 交互三线落地。
+
 ## 9. 裁决记录
 
 ### 2026-09-29 · 访问主体模型（R11 · R12 · 关联 R5）
@@ -164,6 +167,17 @@
 - **展示仍称「支付记录」**：管理面一菜单两 Tab；成员「支付参数」两组清单；R7/R8/R9 哲学不变（只存事实、`subscription_id` 直连、币种无关）
 - **原 `payments表字段设计.md` 删除**，由两篇表设计替代；契约与交互随拆表修订
 
+### 2026-10-10 · 成员档案维护与空壳删除（R16）
+
+**动机**：开户后挂 key 前发现名称不对（误建、占位名）——改比重发/重建好（令牌已发出时重建会作废旧令牌）；另有从未使用的开户空壳需要清理，停用行会越积越多。
+
+**裁决**：
+
+- **修改成员档案**：允许改 `name` / `remark` 两字段。`status` 与令牌不并入档案编辑（仍走启停 / 重发，生命周期语义不变）；`id` / `created_at` / `token_hash` / `token_issued_at` 不可直接改。`name` 仍 UNIQUE（账目署名不可歧义，members 3.3）；冲突 `409 member_name_taken`。**展示口径 = 当前名**（日志 / 总览 / 成员视图联查实时取 `members.name`，与 key 的 `token_name` 同则——历史账目署名随改名漂移可接受）
+- **删除成员（条件硬删）**：**仅当 `key_count = 0`（当前无任何 `api_keys.member_id` 指向）** 才允许物理删除。理由：用量事实经 key 归属联查，空壳行不承载任何账本事实；硬删释放 UNIQUE 名称，便于「删了重建」。名下有 key → 拒绝删除（`409`），只允许停用——**软删除仍是账本实体的默认语义**，硬删只是空壳例外
+- **与支付删除的分界**：支付记录是人工抄录、改错即修（全 CRUD）；成员是账本锚点，默认软删除——空壳硬删不突破该哲学（无账本可保）
+- **审计**：`member.update`（改名/改备注，按实际变更字段落痕）· `member.delete`（摘要含删除时名称）；均属管理面写操作
+
 ### 2026-09-29 · 数据资产域延后（R3 / R4）
 
 **裁决：不纳入现阶段**（锦上添花能力，核心功能实现后再议）。提案存档如下，供重启讨论时作起点：