feat(auth): 添加异步密码哈希和验证函数

refactor(relay): 复用HTTP客户端和请求体序列化结果

feat(kernel): 添加获取单个审批记录的方法

fix(store): 改进SaaS连接错误分类和降级处理

docs: 更新审计文档和系统架构文档

refactor(prompt): 优化SQL查询参数化绑定

refactor(migration): 使用静态SQL和COALESCE更新配置项

feat(commands): 添加审批执行状态追踪和事件通知

chore: 更新启动脚本以支持Admin后台

fix(auth-guard): 优化授权状态管理和错误处理

refactor(db): 使用异步密码哈希函数

refactor(totp): 使用异步密码验证函数

style: 清理无用文件和注释

docs: 更新功能全景和审计文档

refactor(service): 优化HTTP客户端重用和请求处理

fix(connection): 改进SaaS不可用时的降级处理

refactor(handlers): 使用异步密码验证函数

chore: 更新依赖和工具链配置

docs/features/SYSTEM_ARCHITECTURE.md

@@ -1,6 +1,6 @@
 # ZCLAW 多端系统架构文档
 
-> 版本: 1.0 | 日期: 2026-03-29 | 状态: 待审核
+> 版本: 1.1 | 日期: 2026-03-29 | 状态: 已更新 (Worker + Scheduler + SQL 迁移 + 多环境配置)
 
 ---
 
@@ -107,6 +107,11 @@ ZCLAW 是面向中文用户的 AI Agent 桌面客户端，由 **4 个独立服
 | ORM | sqlx | 编译时 SQL 检查，零开销 |
 | 认证 | JWT + TOTP | 无状态鉴权 + 双因素认证 |
 | 加密 | AES-256-GCM | API Key 加密存储 |
+| 后台任务 | Worker trait + mpsc Channel | 异步非阻塞，支持自动重试 |
+| 定时任务 | 声明式 Scheduler (TOML) | 无需改代码调整调度时间 |
+| 连接池 | sqlx PgPool (50 max / 5 min) | 高并发，自动管理生命周期 |
+| 迁移系统 | SQL 文件 + Schema 版本控制 | TIMESTAMPTZ 类型，向后兼容 |
+| 多环境 | ZCLAW_ENV (dev/prod/test) | 配置隔离，环境变量覆盖 |
 
 ### 3.4 核心运行时 (Rust Workspace)
 
@@ -660,11 +665,31 @@ React UI → saas-client.ts → HTTPS REST → SaaS 后端 (:8080)
 
 ### 9.2 SaaS 后端配置
 
+#### 配置加载优先级
+
+```
+ZCLAW_SAAS_CONFIG (精确路径) > ZCLAW_ENV (环境选择) > ./saas-config.toml (默认)
+```
+
+环境配置文件:
+- `ZCLAW_ENV=development` -> `config/saas-development.toml`
+- `ZCLAW_ENV=production` -> `config/saas-production.toml`
+- `ZCLAW_ENV=test` -> `config/saas-test.toml`
+
+环境变量覆盖:
+- `ZCLAW_DATABASE_URL` — 覆盖数据库 URL (避免配置文件存密码)
+- `ZCLAW_SAAS_JWT_SECRET` — JWT 签名密钥 (生产环境必须设置)
+- `ZCLAW_TOTP_ENCRYPTION_KEY` — TOTP/AES-256-GCM 加密密钥 (hex 64 字符)
+- `ZCLAW_SAAS_DEV` — 开发模式 (允许使用不安全的默认密钥)
+
+#### 配置结构
+
 ```toml
 # saas-config.toml
 [server]
 host = "0.0.0.0"
 port = 8080
+cors_origins = []
 
 [database]
 url = "postgres://postgres:123123@localhost:5432/zclaw"
@@ -672,19 +697,60 @@ url = "postgres://postgres:123123@localhost:5432/zclaw"
 [auth]
 jwt_expiration_hours = 24
 totp_issuer = "ZCLAW SaaS"
+refresh_token_hours = 168  # 7 天
 
 [relay]
 max_queue_size = 1000
-max_concurrent_per_provider = 5
-batch_window_ms = 50
+max_concurrent_per_provider = 5  # 预留
+batch_window_ms = 50             # 预留
 retry_delay_ms = 1000
 max_attempts = 3
 
 [rate_limit]
 requests_per_minute = 60
 burst = 10
+
+# 声明式定时任务 (新增)
+[[scheduler.jobs]]
+name = "cleanup-refresh-tokens"
+interval = "1h"
+task = "cleanup_refresh_tokens"
+run_on_start = false
+
+[[scheduler.jobs]]
+name = "cleanup-rate-limit"
+interval = "5m"
+task = "cleanup_rate_limit"
+run_on_start = false
 ```
 
+#### 连接池参数
+
+| 参数 | 值 | 说明 |
+|------|-----|------|
+| max_connections | 50 | 最大并发连接数 |
+| min_connections | 5 | 最小空闲连接数 |
+| acquire_timeout | 10s | 获取连接超时 |
+| idle_timeout | 300s | 空闲连接回收 |
+| max_lifetime | 1800s | 连接最大生命周期 |
+
+#### Worker 系统
+
+| Worker | 职责 | 触发方式 |
+|--------|------|---------|
+| LogOperationWorker | 异步写入操作日志 | Handler 派发 |
+| CleanupRefreshTokensWorker | 清理过期 Refresh Token | Scheduler 定时 |
+| CleanupRateLimitWorker | 清理过期限流条目 | Scheduler 定时 |
+| RecordUsageWorker | 记录 Token 用量 | Relay Handler 派发 |
+| UpdateLastUsedWorker | 更新 Key 最后使用时间 | Relay Handler 派发 |
+
+#### SQL 迁移系统
+
+- Schema 版本: **v6**
+- 迁移目录: `crates/zclaw-saas/migrations/`
+- 时间戳类型: **TIMESTAMPTZ** (新库)，向后兼容 TEXT (旧库)
+- 迁移文件按文件名排序执行
+
 ---
 
 ## 10. 接口设计背景与业务价值
@@ -741,4 +807,4 @@ burst = 10
 
 ---
 
-> **文档统计**: 84 个 API 端点 | 5 个通信通道 | 12 种权限 | 4 个独立服务
+> **文档统计**: 84 个 API 端点 | 5 个通信通道 | 12 种权限 | 4 个独立服务 | 5 个 Workers | 声明式 Scheduler | SQL Schema v6