fix(admin): remove operation-level email reauthentication

docs/BUG_HISTORY.md

@@ -3465,3 +3465,18 @@
 - 防复发：首页业务入口不得把 API 失败只写入未渲染状态；本地资料完整与服务端资料不一致时必须提供可见错误和恢复动作，不能静默返回。
 - 相关记录：BUG-177、BUG-198、BUG-199
 - 修复版本：本地未提交候选
+
+## BUG-207 | 管理端业务操作重复要求邮箱验证码复核
+
+- 状态：resolved（本地修复，未提交、未发布）
+- 首次发现：2026-08-16
+- 最近更新：2026-08-16
+- 影响面：管理端兑换码生成/编辑/撤销、管理员角色变更、账务与订阅调整、商品保存/发布、功能开关发布、易支付设置等写操作。
+- 用户现象：管理员已经登录后台并具备对应权限，执行批量生成兑换码等日常营销操作时仍需发送并等待邮箱验证码，造成重复验证与操作中断。
+- 根因：多个管理写入被统一接入 operation-level `requireHighRiskAdminMutation`，公共 `ReasonActionModal` 又内置权限级邮箱 OTP challenge/proof，导致账户登录安全与每次业务操作二次验证被错误叠加到所有管理业务。
+- 修复：所有管理业务写入统一改用 `requireAdminMutation`，继续强制管理员会话、细粒度权限与可信 Origin；公共确认弹窗只保留必填操作原因与确认状态；删除 `/api/admin/reauth`、high-risk challenge/proof cookie 及相关 UI 参数。兑换码批量生成改为“确认生成”。
+- 安全边界：保留 request ID、数据库权限检查、领域 RPC、append-only 审计、最后一位 Owner 保护；保留账户级 Better Auth TOTP MFA 和一次性恢复码；普通用户登录、注册与找回密码的邮箱 OTP 不受影响。
+- 验证：新增全局合同扫描，锁定管理路由、组件和公共库中不得恢复 operation-level reauth；兑换码、角色、账务、商品、功能开关、易支付、MFA 与普通登录 OTP 聚焦测试 75/75 通过，`tsc --noEmit`、目标 ESLint 与 `git diff --check` 通过。
+- 防复发：新增管理业务时只能在登录、权限、Origin、原因和审计边界内扩展；不得把邮箱 OTP 放回公共业务确认弹窗或新建操作级 reauth API。账户级 MFA 与普通用户身份验证必须保持独立。
+- 相关记录：BUG-155、BUG-156
+- 修复版本：本地未提交候选