docs(m0): 用实测结果重写 M0 清单 + 补 PR 模板

- 0.1–0.9 全部标为完成，但不是"代码写完"就算完成：
  33 条测试全绿、ruff/format 通过、真机 uvicorn 冒烟（/health /version 登录 建工作区 列表 /auth/me）通过
  之后才敢打勾；没跑过的（downgrade、mypy、CI 在 Gitea 实跑、Web/Android 联调）保持未勾并写明原因。
- 记录 5 处"计划与实际不符"的偏差及理由：
  JWT 30min/14d、refresh 无状态不可撤销、权限用 ROLE_RANK 而非 PERMISSIONS 字典、
  app_user 故意不加 RLS（登录发生在租户绑定之前）、minio 与 pgvector 推迟到 M3。
- 新增「环境现状与阻塞」一节：Docker 起不来用便携 PG、外网 TLS 被拦走 HTTP 镜像、
  pip 必须 --no-cache-dir（否则写缓存卡死）、pg_ctl restricted token 报错、fnsvr-01 只有 8418/3306。
- 验收用例表加"现状"列，区分已验证 / 部分 / 未做。

顺带修：
- alembic downgrade 之前直接失败：workspace 的 RLS 策略引用了 member，
  不先 DROP POLICY 就 drop table，报 "cannot drop table member because other objects depend on it"。
  现已按策略先删后删表，downgrade base → upgrade head 全通。
- npm 依赖必须 --ignore-scripts 才能装（沙箱禁止 lifecycle 脚本派生进程），
  已写进 DEVELOPMENT.md；web 首次构建成功（tsc -b + vite，177KB/gzip 58KB）。

验收：pytest 33 passed / ruff 干净 / alembic 升降级往返通过 / web build 通过。

2.Design/DEVELOPMENT.md

@@ -88,6 +88,24 @@ ruff check . && ruff format --check .
 | `pip` 报 `UnicodeDecodeError: 'gbk' codec` | requirements.txt 里有非 ASCII | 该文件保持纯 ASCII |
 | `docker compose` 报 `unknown command` | 只装了 compose v1 | 用 `docker-compose` |
 | Docker 起不来 | Docker Desktop 未启动 / 需要管理员 | 先启动 Desktop，`docker info` 有输出再继续 |
+| 迁移报 `cannot insert multiple commands into a prepared statement` | asyncpg 走预备语句，一次只能一条 SQL | 多语句 DDL 拆成每语句一次 `op.execute()` |
+
+### 本机特例（2026-10 实测，换机器可跳过）
+
+这台开发机的 Docker Desktop 起不来，且外网 TLS 被拦，实际用的是：
+
+- **便携 PostgreSQL 16.4** 放在 `.local/pg`（已在 `.gitignore`），`initdb` 后用**后台作业**前台跑：
+  ```powershell
+  .\.local\pg\pgsql\bin\postgres.exe -D .\.local\pg\pgdata -p 5433 `
+    -c listen_addresses=127.0.0.1 -c fsync=off -c synchronous_commit=off
+  ```
+  不要用 `Start-Process`：父进程一退出，子进程就被带走；`pg_ctl` 在本机会报
+  `could not create restricted token: error code 87`。
+- **装包只能走 HTTP 镜像**：PyPI `http://mirrors.aliyun.com/pypi/simple/`，
+  npm `http://mirrors.huaweicloud.com/repository/npm/`。
+- **pip 必须加 `--no-cache-dir`**：不加时写缓存会卡死（无输出、CPU 空转，实测 25 分钟无进展）。
+- **安装类命令一律写日志文件再 tail**，不要用管道截断输出，否则看不到进度也不知道卡在哪。
+- `npm install` 要加 `--ignore-scripts`：沙箱不允许 npm 的 lifecycle 脚本派生进程（`EPERM spawn`）。
 
 ## 8. 提交前自检清单