feat(invite): 租户成员二维码邀请（可复用团队码，扫码关注即入组）

owner/admin 在桌面端生成一张微信带参二维码发给团队，成员用微信扫码关注
即自动加入租户，并收到「✅ 已加入团队【X】」被动回复。与登录二维码同一微信机制，
scene 加 inv_ 前缀分流；扫码入组走被动回复，不需要 access_token、不碰 IP 白名单。

- store: TenantInvite(可复用码=有效期+人数上限+可撤销三道闸)；RedeemInvite 幂等入组、
  同一人重复扫不重复消耗名额、复活已移除者；带单测钉死过期/撤销/满员/幂等。
- handler: 建码/列表/撤销端点(RequireTenantRole admin)；WxMPEvent inv_ 分支。
- 顺手修潜在生产 bug：微信用户此前都建成空邮箱，User.Email 整列唯一索引下第二个微信
  用户就撞唯一约束建号失败(登录"全通"只因当前仅一个微信用户)。改为按 openid 合成占位
  邮箱 wx-<openid>@wx.local，绕开冲突且不动索引。邀请功能会批量建微信用户，非修不可。
- desktop: 顶栏「邀请成员」入口(租户 admin/owner 可见) + 二维码弹窗(生成/大图展示/撤销)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-gateway/internal/handler/tenant_invite.go

@@ -0,0 +1,92 @@
+package handler
+
+import (
+	"net/http"
+	"time"
+
+	"github.com/gin-gonic/gin"
+	"github.com/sundynix/sundynix-gateway/internal/store"
+)
+
+// 租户成员「二维码邀请」（可复用团队码）。owner/admin 生成一张微信带参二维码发给团队，
+// 成员扫码关注/识别即自动入组（见 wechat_login.go 的 WxMPEvent inv_ 分支）。
+//
+// 挂在 tenant_self.go 旁，作用于当前活跃租户；建/撤销须 ≥admin（路由 RequireTenantRole 把守）。
+
+const (
+	inviteScenePrefix = "inv_" // 二维码 scene 前缀，区分邀请扫码 vs 登录扫码
+	inviteMaxDays     = 30     // 微信临时二维码有效期上限
+	inviteDefaultDays = 7
+)
+
+// CreateTenantInvite: POST /api/v1/tenants/current/invites {role?, expires_days?, max_uses?}
+// 建邀请码并调微信出二维码，返回含二维码图 URL 的邀请记录。
+func (h *Handler) CreateTenantInvite(c *gin.Context) {
+	var b struct {
+		Role        string `json:"role"`
+		ExpiresDays int    `json:"expires_days"`
+		MaxUses     int    `json:"max_uses"`
+	}
+	_ = c.ShouldBindJSON(&b)
+
+	role := b.Role
+	if role == "" {
+		role = store.RoleMember
+	}
+	if role == store.RoleOwner || !store.ValidRole(role) {
+		c.JSON(http.StatusBadRequest, gin.H{"error": "非法角色（二维码不能邀请为 owner）"})
+		return
+	}
+	days := b.ExpiresDays
+	if days <= 0 {
+		days = inviteDefaultDays
+	}
+	if days > inviteMaxDays {
+		days = inviteMaxDays
+	}
+
+	ctx := c.Request.Context()
+	cfg := h.loadWechatMP(ctx)
+	if !cfg.Enabled() {
+		c.JSON(http.StatusServiceUnavailable, gin.H{"error": "微信未配置，无法生成邀请二维码"})
+		return
+	}
+	token, err := h.accessToken(ctx, cfg)
+	if err != nil {
+		c.JSON(http.StatusBadGateway, gin.H{"error": "微信暂不可用"})
+		return
+	}
+
+	inv, err := h.db.CreateInvite(ctx, tenantID(c), userID(c), role, time.Now().AddDate(0, 0, days), b.MaxUses)
+	if err != nil {
+		c.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
+		return
+	}
+	qr, err := cfg.CreateSceneQR(ctx, token, inviteScenePrefix+inv.Token, days*86400)
+	if err != nil {
+		// 二维码没建成 → 撤销这条，别在列表里留一条无图的死码。
+		_ = h.db.RevokeInvite(ctx, tenantID(c), inv.ID)
+		c.JSON(http.StatusBadGateway, gin.H{"error": "生成二维码失败：" + err.Error()})
+		return
+	}
+	if err := h.db.SetInviteQR(ctx, inv.ID, qr); err != nil {
+		c.JSON(http.StatusBadGateway, gin.H{"error": err.Error()})
+		return
+	}
+	inv.QRImage = qr
+	c.JSON(http.StatusOK, gin.H{"invite": inv})
+}
+
+// ListTenantInvites: GET /api/v1/tenants/current/invites —— 本租户的有效邀请码（含已用/上限/有效期）。
+func (h *Handler) ListTenantInvites(c *gin.Context) {
+	c.JSON(http.StatusOK, gin.H{"invites": h.db.ListInvites(c.Request.Context(), tenantID(c), true)})
+}
+
+// RevokeTenantInvite: DELETE /api/v1/tenants/current/invites/:id —— 撤销一张邀请码。
+func (h *Handler) RevokeTenantInvite(c *gin.Context) {
+	if err := h.db.RevokeInvite(c.Request.Context(), tenantID(c), c.Param("id")); err != nil {
+		c.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
+		return
+	}
+	c.JSON(http.StatusOK, gin.H{"status": "ok"})
+}

sundynix-gateway/internal/handler/wechat_login.go

@@ -6,6 +6,7 @@ import (
 	"crypto/sha1"
 	"encoding/hex"
 	"encoding/json"
+	"fmt"
 	"io"
 	"log"
 	"net/http"
@@ -161,6 +162,14 @@ func (h *Handler) WxMPEvent(c *gin.Context) {
 		return
 	}
 
+	// 邀请扫码：scene 带 inv_ 前缀 → 找/建用户 + 入组 + 被动回复回执。独立于 PC 登录，
+	// 且不需要 access_token（回执走被动回复）。放在最前，避免被登录/欢迎逻辑抢先。
+	if scene := ev.Scene(); strings.HasPrefix(scene, inviteScenePrefix) {
+		c.Header("Content-Type", "application/xml")
+		c.String(http.StatusOK, h.handleInviteScan(ctx, ev, strings.TrimPrefix(scene, inviteScenePrefix)))
+		return
+	}
+
 	// 登录扫码（关注扫码 / 已关注再扫）→ 授权对应 ticket，让 PC 端轮询登录。
 	if ev.IsLoginScan() {
 		h.authorizeWxLogin(ctx, ev)
@@ -182,6 +191,34 @@ func (h *Handler) WxMPEvent(c *gin.Context) {
 	c.String(http.StatusOK, "success")
 }
 
+// handleInviteScan 处理邀请扫码：按 openid 找/建用户 → 兑换邀请令牌入组 → 返回被动回复 XML。
+// 回执走被动回复（无需 access_token），无论成败都要回一段合法响应体给微信。
+func (h *Handler) handleInviteScan(ctx context.Context, ev *wechat.Event, token string) string {
+	openID := ev.FromUserName
+	u, err := h.db.GetUserByWechatOpenID(ctx, openID)
+	if err != nil {
+		return "success"
+	}
+	if u == nil { // 新用户：建号 + 个人租户（与登录一致），随后再入被邀请的租户
+		u, err = h.db.CreateWechatUser(ctx, openID, wechatNickname(openID))
+		if err != nil {
+			log.Printf("[wxinvite] 建微信用户失败 openid=%s: %v", openID, err)
+			return "success"
+		}
+		if _, e := h.db.EnsureDefaultTenant(ctx, u.ID, "我的空间"); e != nil {
+			log.Printf("[wxinvite] 建默认租户失败 uid=%s: %v", u.ID, e)
+		}
+	}
+	name, ok := h.db.RedeemInvite(ctx, token, u.ID)
+	now := time.Now().Unix()
+	if !ok {
+		return wechat.BuildTextReply(ev.FromUserName, ev.ToUserName,
+			"邀请链接已失效或人数已满，请向邀请人重新获取。", now)
+	}
+	msg := fmt.Sprintf("✅ 已加入团队【%s】\n在桌面端用微信扫码登录即可共享团队积分。", name)
+	return wechat.BuildTextReply(ev.FromUserName, ev.ToUserName, msg, now)
+}
+
 // authorizeWxLogin 处理登录扫码事件：按 openid 找/建用户并置 ticket 已授权。
 // 只做副作用（Redis/DB），不写 HTTP 响应——响应由调用方按事件类型统一决定。
 func (h *Handler) authorizeWxLogin(ctx context.Context, ev *wechat.Event) {

sundynix-gateway/internal/router/router.go

@@ -86,6 +86,10 @@ func New(db *store.Postgres, cache *store.Redis, bus *nats.Bus, blobStore *blob.
 			p.POST("/tenants/current/members", middleware.RequireTenantRole(db, store.RoleAdmin), middleware.Audit(db), h.TenantAddMember)
 			p.PUT("/tenants/current/members/:uid", middleware.RequireTenantRole(db, store.RoleAdmin), middleware.Audit(db), h.TenantSetMemberRole)
 			p.DELETE("/tenants/current/members/:uid", middleware.RequireTenantRole(db, store.RoleAdmin), middleware.Audit(db), h.TenantRemoveMember)
+			// 二维码邀请（可复用团队码）：看 ≥viewer，建/撤销 ≥admin + 审计。扫码入组走 /wx/mp/callback。
+			p.GET("/tenants/current/invites", middleware.RequireTenantRole(db, store.RoleViewer), h.ListTenantInvites)
+			p.POST("/tenants/current/invites", middleware.RequireTenantRole(db, store.RoleAdmin), middleware.Audit(db), h.CreateTenantInvite)
+			p.DELETE("/tenants/current/invites/:id", middleware.RequireTenantRole(db, store.RoleAdmin), middleware.Audit(db), h.RevokeTenantInvite)
 			p.GET("/me/usage", h.MyUsage)                                                                // 我的用量明细（余额 + 趋势 + 最近消耗）
 			p.GET("/tasks/:id/eval", h.TaskEval)                                                         // 自动化评测结果（综合/质量/忠实度/分级）
 			p.PUT("/memory", h.SetMemory)                                                                // 偏好记忆登记（→ mcp-go memory_upsert）

sundynix-gateway/internal/store/invite.go

@@ -0,0 +1,172 @@
+package store
+
+import (
+	"context"
+	"crypto/rand"
+	"encoding/hex"
+	"errors"
+	"time"
+
+	"gorm.io/gorm"
+	"gorm.io/gorm/clause"
+)
+
+// 租户成员「二维码邀请」（可复用团队码）：owner/admin 生成一张微信带参二维码，
+// 发给团队，成员扫码关注/识别即自动入组。与登录二维码同一微信机制，区别只在
+// scene 指向邀请令牌、扫码后干的是「入组」而非「授权 PC 登录」。
+//
+// 三道安全闸：有效期(ExpiresAt) + 可撤销(Status) + 最大人数(MaxUses)。
+// 令牌 Token 随机不可枚举——它就是二维码里的 scene，泄露即等于把加入权发出去。
+//
+// 不标 isTenantScoped：与 TenantMember 一样是基础设施表，租户过滤在查询里显式做；
+// 且扫码入组发生在微信回调（无请求 ctx 租户），本就不能依赖插件自动注入。
+
+// TenantInvite 一张可复用的租户邀请码。
+type TenantInvite struct {
+	BaseModel
+	TenantID  string    `gorm:"size:64;index" json:"tenant_id"`
+	Token     string    `gorm:"size:64;uniqueIndex" json:"-"` // = 二维码 scene；已在图里，不必回前端
+	Role      string    `gorm:"size:16" json:"role"`          // 入组角色（member/viewer/admin；禁 owner）
+	InviterID string    `gorm:"size:64" json:"-"`             // 建码人（审计）
+	QRImage   string    `gorm:"size:255" json:"qr_image"`     // 微信二维码图 URL（showqrcode）
+	ExpiresAt time.Time `gorm:"index" json:"expires_at"`      // 过期时间（对齐微信临时二维码，≤30 天）
+	MaxUses   int       `gorm:"default:0" json:"max_uses"`    // 0 = 不限人数
+	UsedCount int       `gorm:"default:0" json:"used_count"`  // 已成功加入的人数（同一人重复扫不重复计）
+	Status    string    `gorm:"size:16;default:active" json:"status"`
+}
+
+func (TenantInvite) TableName() string { return "sundynix_tenant_invite" }
+
+const (
+	InviteActive  = "active"
+	InviteRevoked = "revoked"
+)
+
+// newInviteToken 生成不可枚举的邀请令牌（16 字节 → 32 hex）。
+func newInviteToken() string {
+	b := make([]byte, 16)
+	_, _ = rand.Read(b)
+	return hex.EncodeToString(b)
+}
+
+// CreateInvite 建一张邀请码（QRImage 由 handler 拿到微信二维码后回填 SetInviteQR）。
+func (p *Postgres) CreateInvite(ctx context.Context, tenantID, inviterID, role string, expiresAt time.Time, maxUses int) (*TenantInvite, error) {
+	if p.db == nil {
+		return nil, errStoreDisabled
+	}
+	if role == "" {
+		role = RoleMember
+	}
+	if !ValidRole(role) || role == RoleOwner {
+		return nil, errors.New("非法角色（二维码不能邀请为 owner）")
+	}
+	if maxUses < 0 {
+		maxUses = 0
+	}
+	inv := &TenantInvite{
+		TenantID: tenantID, Token: newInviteToken(), Role: role, InviterID: inviterID,
+		ExpiresAt: expiresAt, MaxUses: maxUses, Status: InviteActive,
+	}
+	if err := p.db.WithContext(ctx).Create(inv).Error; err != nil {
+		return nil, err
+	}
+	return inv, nil
+}
+
+// SetInviteQR 回填二维码图 URL（建码后拿到微信二维码再写）。
+func (p *Postgres) SetInviteQR(ctx context.Context, id, qrImage string) error {
+	if p.db == nil {
+		return errStoreDisabled
+	}
+	return p.db.WithContext(ctx).Model(&TenantInvite{}).Where("id = ?", id).Update("qr_image", qrImage).Error
+}
+
+// GetInviteByToken 按令牌取邀请码（含已撤销/过期，校验交给调用方）。
+func (p *Postgres) GetInviteByToken(ctx context.Context, token string) *TenantInvite {
+	if p.db == nil || token == "" {
+		return nil
+	}
+	var inv TenantInvite
+	if err := p.db.WithContext(WithoutTenant(ctx)).Where("token = ?", token).First(&inv).Error; err != nil {
+		return nil
+	}
+	return &inv
+}
+
+// ListInvites 列出某租户的邀请码（新在前）。onlyActive 时只列未撤销的。
+func (p *Postgres) ListInvites(ctx context.Context, tenantID string, onlyActive bool) []TenantInvite {
+	if p.db == nil {
+		return nil
+	}
+	q := p.db.WithContext(ctx).Where("tenant_id = ?", tenantID)
+	if onlyActive {
+		q = q.Where("status = ?", InviteActive)
+	}
+	var out []TenantInvite
+	q.Order("created_at desc").Limit(100).Find(&out)
+	return out
+}
+
+// RevokeInvite 撤销一张邀请码（限本租户，防越权撤别家的）。
+func (p *Postgres) RevokeInvite(ctx context.Context, tenantID, id string) error {
+	if p.db == nil {
+		return errStoreDisabled
+	}
+	res := p.db.WithContext(ctx).Model(&TenantInvite{}).
+		Where("id = ? AND tenant_id = ?", id, tenantID).Update("status", InviteRevoked)
+	if res.Error != nil {
+		return res.Error
+	}
+	if res.RowsAffected == 0 {
+		return errors.New("邀请码不存在或不属于本租户")
+	}
+	return nil
+}
+
+// RedeemInvite 扫码入组：校验令牌 → 把 userID 加入其租户（幂等，复活已移除者）。
+// 返回加入的租户名（供回执文案）与是否成功。令牌无效/过期/超次/撤销 → ok=false（回调静默）。
+// UsedCount 只对「首次加入」计数：同一人重复扫（subscribe→之后 SCAN）不重复消耗名额。
+func (p *Postgres) RedeemInvite(ctx context.Context, token, userID string) (tenantName string, ok bool) {
+	if p.db == nil || userID == "" {
+		return "", false
+	}
+	inv := p.GetInviteByToken(ctx, token)
+	if inv == nil || inv.Status != InviteActive {
+		return "", false
+	}
+	if !inv.ExpiresAt.IsZero() && time.Now().After(inv.ExpiresAt) {
+		return "", false
+	}
+
+	sctx := WithoutTenant(ctx) // 入组的目标租户与请求 ctx 无关，一律显式、旁路插件
+	var name string
+	p.db.WithContext(sctx).Model(&Tenant{}).Where("id = ?", inv.TenantID).Select("name").Scan(&name)
+
+	// 已是活跃成员 → 幂等成功，不再计数、不改角色（避免重复扫把人降/升级）。
+	var existing TenantMember
+	err := p.db.WithContext(sctx).Where("tenant_id = ? AND user_id = ?", inv.TenantID, userID).First(&existing).Error
+	if err == nil && existing.Status == "active" {
+		return name, true
+	}
+
+	// 首次加入前再查一次名额（软闸：极端并发下可能轻微超一两个，对邀请链接可接受）。
+	if inv.MaxUses > 0 && inv.UsedCount >= inv.MaxUses {
+		return "", false
+	}
+
+	// 幂等入组（复活已移除者）：命中唯一约束则置 active + 本码角色。
+	if err := p.db.WithContext(sctx).Clauses(clause.OnConflict{
+		Columns:   []clause.Column{{Name: "tenant_id"}, {Name: "user_id"}},
+		DoUpdates: clause.Assignments(map[string]any{"role": inv.Role, "status": "active", "updated_at": time.Now()}),
+	}).Create(&TenantMember{TenantID: inv.TenantID, UserID: userID, Role: inv.Role, Status: "active"}).Error; err != nil {
+		return "", false
+	}
+
+	// 名额 +1（原子自增，避免读改写丢更新）。
+	p.db.WithContext(sctx).Model(&TenantInvite{}).Where("id = ?", inv.ID).
+		UpdateColumn("used_count", gorm.Expr("used_count + 1"))
+
+	// 若目标租户已启用全员空间，新成员自动纳入（与 AddMemberByEmail 一致）。
+	p.autoJoinTenantSpace(sctx, inv.TenantID, userID, inv.Role)
+	return name, true
+}

sundynix-gateway/internal/store/invite_test.go

@@ -0,0 +1,97 @@
+package store
+
+import (
+	"context"
+	"testing"
+	"time"
+)
+
+// 邀请码 = 把「加入权」发出去。这组测试钉死：正常入组、重复扫不重复消耗名额、
+// 过期/撤销/超人数一律拒绝——每一条错了都是「陌生人白嫖共享租户积分」的口子。
+
+func mkUser(t *testing.T, p *Postgres, openid string) string {
+	t.Helper()
+	u, err := p.CreateWechatUser(context.Background(), openid, "微信用户_"+openid)
+	if err != nil {
+		t.Fatalf("建用户失败: %v", err)
+	}
+	return u.ID
+}
+
+func TestRedeemInvite_HappyAndIdempotent(t *testing.T) {
+	p := newTestStore(t)
+	seedTenant(t, p, "t1")
+	ctx := context.Background()
+	inv, err := p.CreateInvite(ctx, "t1", "inviter", RoleMember, time.Now().Add(time.Hour), 0)
+	if err != nil {
+		t.Fatalf("建码失败: %v", err)
+	}
+	uid := mkUser(t, p, "o-1")
+
+	name, ok := p.RedeemInvite(ctx, inv.Token, uid)
+	if !ok {
+		t.Fatal("正常令牌应入组成功")
+	}
+	if name != "T-t1" {
+		t.Fatalf("应回租户名 T-t1，得 %q", name)
+	}
+	if r := p.MemberRole(ctx, "t1", uid); r != RoleMember {
+		t.Fatalf("入组后应为 member，得 %q", r)
+	}
+
+	// 同一人重复扫：仍成功但不重复消耗名额。
+	if _, ok := p.RedeemInvite(ctx, inv.Token, uid); !ok {
+		t.Fatal("重复扫应幂等成功")
+	}
+	got := p.GetInviteByToken(ctx, inv.Token)
+	if got.UsedCount != 1 {
+		t.Fatalf("同一人重复扫，UsedCount 应仍为 1，得 %d", got.UsedCount)
+	}
+}
+
+func TestRedeemInvite_ExpiredAndRevoked(t *testing.T) {
+	p := newTestStore(t)
+	seedTenant(t, p, "t1")
+	ctx := context.Background()
+
+	expired, _ := p.CreateInvite(ctx, "t1", "inv", RoleMember, time.Now().Add(-time.Minute), 0)
+	if _, ok := p.RedeemInvite(ctx, expired.Token, mkUser(t, p, "o-exp")); ok {
+		t.Fatal("过期码不该能入组")
+	}
+
+	revoked, _ := p.CreateInvite(ctx, "t1", "inv", RoleMember, time.Now().Add(time.Hour), 0)
+	if err := p.RevokeInvite(ctx, "t1", revoked.ID); err != nil {
+		t.Fatalf("撤销失败: %v", err)
+	}
+	if _, ok := p.RedeemInvite(ctx, revoked.Token, mkUser(t, p, "o-rev")); ok {
+		t.Fatal("已撤销码不该能入组")
+	}
+}
+
+func TestRedeemInvite_MaxUses(t *testing.T) {
+	p := newTestStore(t)
+	seedTenant(t, p, "t1")
+	ctx := context.Background()
+	inv, _ := p.CreateInvite(ctx, "t1", "inv", RoleViewer, time.Now().Add(time.Hour), 2)
+
+	if _, ok := p.RedeemInvite(ctx, inv.Token, mkUser(t, p, "u1")); !ok {
+		t.Fatal("第 1 人应成功")
+	}
+	if _, ok := p.RedeemInvite(ctx, inv.Token, mkUser(t, p, "u2")); !ok {
+		t.Fatal("第 2 人应成功")
+	}
+	if _, ok := p.RedeemInvite(ctx, inv.Token, mkUser(t, p, "u3")); ok {
+		t.Fatal("第 3 人应被名额闸拦下")
+	}
+	if got := p.GetInviteByToken(ctx, inv.Token); got.UsedCount != 2 {
+		t.Fatalf("UsedCount 应为 2，得 %d", got.UsedCount)
+	}
+}
+
+func TestRedeemInvite_RejectsOwnerRole(t *testing.T) {
+	p := newTestStore(t)
+	seedTenant(t, p, "t1")
+	if _, err := p.CreateInvite(context.Background(), "t1", "inv", RoleOwner, time.Now().Add(time.Hour), 0); err == nil {
+		t.Fatal("二维码不该能生成 owner 邀请")
+	}
+}

sundynix-gateway/internal/store/pgsql.go

@@ -66,7 +66,7 @@ func OpenPostgres(dsn string) *Postgres {
 	migrateLegacyIntIDs(db)
 	migrateDocLinkToID(db)
 
-	if err := db.AutoMigrate(&User{}, &Task{}, &Eval{}, &LLMModel{}, &KB{}, &Doc{}, &Agent{}, &DocLink{}, &Pricing{}, &Prompt{}, &AuditLog{}, &GuardrailEvent{}, &Tenant{}, &TenantMember{}, &Space{}, &SpaceMember{}, &UsageEvent{}, &CreditLedger{}, &UsageRollup{}, &Setting{}, &CreditPack{}, &PaymentOrder{}, &RedeemCode{}, &SubscriptionPlan{}, &Subscription{}); err != nil {
+	if err := db.AutoMigrate(&User{}, &Task{}, &Eval{}, &LLMModel{}, &KB{}, &Doc{}, &Agent{}, &DocLink{}, &Pricing{}, &Prompt{}, &AuditLog{}, &GuardrailEvent{}, &Tenant{}, &TenantMember{}, &TenantInvite{}, &Space{}, &SpaceMember{}, &UsageEvent{}, &CreditLedger{}, &UsageRollup{}, &Setting{}, &CreditPack{}, &PaymentOrder{}, &RedeemCode{}, &SubscriptionPlan{}, &Subscription{}); err != nil {
 		log.Printf("[store] postgres AutoMigrate 失败，降级运行: %v", err)
 		return &Postgres{}
 	}

sundynix-gateway/internal/store/testdb_test.go

@@ -32,7 +32,7 @@ func newTestStore(t *testing.T) *Postgres {
 	sqlDB.SetMaxOpenConns(1) // :memory: 每连接一个库，锁死单连接才共享同一份数据
 
 	if err := db.AutoMigrate(
-		&User{}, &Tenant{}, &TenantMember{}, &CreditLedger{}, &PaymentOrder{},
+		&User{}, &Tenant{}, &TenantMember{}, &TenantInvite{}, &CreditLedger{}, &PaymentOrder{},
 		&RedeemCode{}, &CreditPack{}, &UsageEvent{}, &UsageRollup{}, &Setting{}, &Pricing{}, &LLMModel{},
 		&AuditLog{}, &Task{}, &Eval{}, &SubscriptionPlan{}, &Subscription{},
 		&KB{}, // 租户作用域模型，验证隔离插件

sundynix-gateway/internal/store/user.go

@@ -74,7 +74,11 @@ func (p *Postgres) GetUserByWechatOpenID(ctx context.Context, openID string) (*U
 	return &u, nil
 }
 
-// CreateWechatUser 为首次微信登录的用户建号（无邮箱/密码）。name 是展示名（微信昵称或默认）。
+// CreateWechatUser 为首次微信登录的用户建号（无密码）。name 是展示名（微信昵称或默认）。
+//
+// 邮箱填一个合成的、按 openid 唯一的占位值（wx-<openid>@wx.local）：User.Email 上有整列
+// 唯一索引，微信用户若都留空邮箱，第二个就会撞唯一约束建号失败。合成邮箱唯一且一望即知非真实，
+// 既绕开冲突又不动索引（改成部分唯一索引需删存量索引，无法在无库可见时稳妥进行）。
 func (p *Postgres) CreateWechatUser(ctx context.Context, openID, name string) (*User, error) {
 	if p.db == nil {
 		return nil, errStoreDisabled
@@ -82,7 +86,7 @@ func (p *Postgres) CreateWechatUser(ctx context.Context, openID, name string) (*
 	if openID == "" {
 		return nil, errors.New("openid 必填")
 	}
-	u := &User{WechatOpenID: openID, Name: name}
+	u := &User{WechatOpenID: openID, Name: name, Email: "wx-" + openID + "@wx.local"}
 	if err := p.db.WithContext(ctx).Create(u).Error; err != nil {
 		return nil, err
 	}

sundynix-gateway/internal/store/user_wechat_test.go

@@ -5,7 +5,7 @@ import (
 	"testing"
 )
 
-// 微信首次登录建号：无邮箱、按 openid 可查回。
+// 微信首次登录建号：合成占位邮箱（按 openid 唯一，避免多个微信用户空邮箱撞唯一约束）、按 openid 可查回。
 func TestCreateAndGetWechatUser(t *testing.T) {
 	p := newTestStore(t)
 	ctx := context.Background()
@@ -19,8 +19,13 @@ func TestCreateAndGetWechatUser(t *testing.T) {
 	if err != nil {
 		t.Fatalf("建号失败: %v", err)
 	}
-	if u.Email != "" {
-		t.Fatalf("微信用户不该有邮箱，得 %q", u.Email)
+	if u.Email != "wx-openid-x@wx.local" {
+		t.Fatalf("微信用户应有按 openid 合成的占位邮箱，得 %q", u.Email)
+	}
+
+	// 第二个微信用户不能撞唯一约束（此前空邮箱会冲突——邀请功能会批量建微信用户）。
+	if _, err := p.CreateWechatUser(ctx, "openid-y", "微信用户2"); err != nil {
+		t.Fatalf("第二个微信用户建号不该冲突: %v", err)
 	}
 
 	got, err := p.GetUserByWechatOpenID(ctx, "openid-x")

sundynix-gateway/internal/wechat/mp.go

@@ -149,9 +149,15 @@ func PullToken(ctx context.Context, tokenURL, secret string) (string, int, error
 	return r.AccessToken, r.ExpiresIn, nil
 }
 
-// CreateLoginQR 用带参数「临时」二维码承载 scene（=登录 ticket）。
-// expireSec：二维码有效期，登录场景取 ticket 的 TTL。返回可直接 <img> 展示的二维码图 URL。
+// CreateLoginQR 用带参数「临时」二维码承载登录 ticket。登录与邀请共用底层 CreateSceneQR。
 func (c Config) CreateLoginQR(ctx context.Context, accessToken, scene string, expireSec int) (string, error) {
+	return c.CreateSceneQR(ctx, accessToken, scene, expireSec)
+}
+
+// CreateSceneQR 建一张带参数「临时」二维码，scene 为任意字符串（≤64 字符）。
+// 登录用它承载 ticket、邀请用它承载 inv_<token>。expireSec 为二维码有效期。
+// 返回可直接 <img> 展示的二维码图 URL。
+func (c Config) CreateSceneQR(ctx context.Context, accessToken, scene string, expireSec int) (string, error) {
 	reqBody := map[string]any{
 		"expire_seconds": expireSec,
 		"action_name":    "QR_STR_SCENE", // 字符串型 scene，便于放我们的随机 ticket