feat: complete frozen MVP — period-aware stats, layout-driven UI, quick checkin

- Fix first daily record 422 (expectedVersion now accepts 0)
- Add period_window + summarize; /api/summary and /api/tasks/{id}/summary
  aggregate each metric inside its own day/week/month/lifetime window,
  reading raw facts only (never the rebuildable month archives)
- Drive frontend rendering from per-page layout JSON with a component
  registry; scope/cardinality enforced server-side, invalid layouts fall back
- Add quick checkin and duration input in H:M:S that round-trips integer seconds
- Fix heatmap/completedAt timezone drift to Asia/Shanghai
- Add server-side session TTL (30d) matching the login cookie
- Handle date.min/date.max boundaries without OverflowError
- Half-up rounding to match browser Math.round

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

需求记录.md

@@ -1,17 +1,30 @@
 # 个人进度监视系统需求记录
 
+> 实现状态（2026-08-24）：以下「已冻结的 MVP」已全部在代码中落地并通过测试（`pytest -q`，17 项）。
+> 每条后面的 `[x]` 表示已完成。周期统计、布局驱动渲染、一键打卡、时长友好输入、会话 TTL
+> 与日期边界处理为本次补充完成项。
+
 ## 已冻结的 MVP
 
-- 服务器可部署、可远程访问；Docker Compose 默认绑定本机端口，生产使用反向代理和 HTTPS。
-- JSON 是主存储契约，不把运行数据提交到 Git；单 worker/单副本。
-- 分层 JSON：任务当前定义、任务修订、每日事实、可重建月归档；原始事实不因归档被移动或删除。
-- 任务使用稳定 UUID；默认软删除；改名或修改属性保留 `taskRevision`，后台支持恢复和确认后永久删除。
-- `metrics[]` 可并存 `checkin`、`quantity`、`duration`；周期 `day/week/month/lifetime`；`target: null` 表示无上限；duration 使用整数秒。
-- 创建、编辑、删除、恢复、排序；字段包括名称、起止日期、优先级 1-5、状态和描述。
-- 每日记录支持一键打卡、数量、时长、心得和完成时间；修改记录带版本冲突检测。
-- 首页与任务详情分别读取独立布局 JSON；布局组件白名单校验，禁止动态执行。
-- 中文响应式 UI：左侧任务列表和拖放排序，右侧任务详情、热力图、多指标进度和今日记录。
-- 可选单用户密码会话认证、HttpOnly 会话 Cookie、基本 CSRF 校验。
+- [x] 服务器可部署、可远程访问；Docker Compose 默认绑定本机端口，生产使用反向代理和 HTTPS。
+- [x] JSON 是主存储契约，不把运行数据提交到 Git；单 worker/单副本。
+- [x] 分层 JSON：任务当前定义、任务修订、每日事实、可重建月归档；原始事实不因归档被移动或删除。
+- [x] 任务使用稳定 UUID；默认软删除；改名或修改属性保留 `taskRevision`，后台支持恢复和确认后永久删除。
+- [x] `metrics[]` 可并存 `checkin`、`quantity`、`duration`；周期 `day/week/month/lifetime`；`target: null` 表示无上限；duration 使用整数秒。
+- [x] 创建、编辑、删除、恢复、排序；字段包括名称、起止日期、优先级 1-5、状态和描述。
+- [x] 每日记录支持一键打卡、数量、时长、心得和完成时间；修改记录带版本冲突检测。
+- [x] 首页与任务详情分别读取独立布局 JSON；布局组件白名单校验，禁止动态执行。
+- [x] 中文响应式 UI：左侧任务列表和拖放排序，右侧任务详情、热力图、多指标进度和今日记录。
+- [x] 可选单用户密码会话认证、HttpOnly 会话 Cookie、基本 CSRF 校验（会话服务端 30 天 TTL）。
+
+## 已实现的实现细节（本次补充）
+
+- 进度统计只读原始每日事实、绝不读月归档；`/api/summary` 与 `/api/tasks/<id>/summary`
+  按各指标自身周期窗口聚合，`lifetime` 下界取任务开始日期，历史查询不会计入 `ref` 之后的事实。
+- 百分比采用与浏览器 `Math.round` 一致的四舍五入进位（half-up），避免 `.5` 边界不一致。
+- 布局组件按页面/区域约束（如 `task-header`/`today-record` 仅限任务详情页），非法组件不渲染。
+- 时长输入为「时:分:秒」，完整 round-trip 任意非负整数秒；一键打卡一次提交所有打卡指标。
+- 极端日期（`date.min`/`date.max` 附近的 month/week 窗口）不再溢出，返回 200。
 
 ## 后续路线图