当前结论
Refresh service readiness：true
Directory client readiness：true
Token / scope / app permission：true
Snapshot schema contract：true
当前 next_gate：
FEISHU_READONLY_SNAPSHOT_REFRESH_DRY_RUN_APPLY_GATEDry-run 与正式同步的区别
下一步如果单独批准，dry-run 只验证飞书只读 snapshot refresh 的最小链路。它可以按 run_id 写入三张 snapshot 表的只读镜像或 metadata，但仍不写 HRMS 主数据层，不创建权限主体，不创建真实测评任务，不反写飞书。
- 允许进入 DB 的范围：
feishu_readonly_snapshot_runs、feishu_user_snapshots、feishu_department_snapshots。 - 不得进入 DB 的范围：departments、positions、employees、permission_subjects、employee_role_assignments、feishu_user_mappings。
- public 页面和 JSON 只能展示 counts、run_id、状态、字段名和脱敏摘要。
隐私保护边界
public 输出不得出现真实员工姓名、手机号、邮箱、open_id、union_id、user_id，也不得出现 token、secret 或 credential。若 refresh service 需要输出这些字段才能排错，下一步必须停在隐私 guardrail rework，而不是继续执行。
三张表当前状态
snapshot_runs row_count：
0user_snapshots row_count：
0department_snapshots row_count：
0如果下一步批准，dry-run 会做什么
- 创建一个只读 refresh run_id。
- 只把飞书只读 snapshot 写入三张 snapshot 表。
- public 输出只给 counts 和 metadata。
- 失败时停在 refresh service rework、schema contract gap、token/permission gate 或 rollback review gate。