Guide Feishu app setup and surface tenant lookup codes

docs/specs/SDD-007-built-in-feishu-issuer.md

@@ -67,3 +67,9 @@
 | AC-07-04 | 启用时企业标识留空可自动获取；查询失败不保存；手工输入兼容 | 管理接口测试与前端构建 |
 
 发布前完成 Go 测试与前端构建；部署后检查新路由被托管 Nginx 白名单接受、未授权返回 401，并在轮换飞书 Secret 后进行真实查询。恢复可回退二进制与前端资源；不需要数据迁移，也不修改已运行专线。
+
+## 8. 飞书应用引导与查询错误诊断（S3）
+
+当前 `tenant/v2/tenant/query` 失败时统一显示“请确认应用已开通企业信息读取权限”，掩盖接口路径、调用方式、应用发布状态、权限和网关拒绝等不同故障。页面需要针对企业自建应用给出最小配置步骤：凭据页 App ID/Secret；权限管理查找企业信息读取（`tenant:tenant:readonly`，以控制台实际名称为准）并发布版本；安全设置登记系统显示的精确 HTTPS 飞书回调；网页授权准备 `user_profile` 范围和应用可用范围。自动读取企业标识失败允许手填，但不能把未核实的企业标识视为认证成功。
+
+后端只回显飞书返回的数字错误码与 HTTP 状态，不回显第三方原始 `msg`、访问令牌或凭据；页面保留错误提示以便管理员根据飞书错误码排查，不再把所有错误归因于权限。验收：模拟 `code != 0`、非 2xx、无响应码，区分令牌与企业查询阶段且不泄露上游原始信息；前端引导能看到精确回调、自动查询权限与发布要求；构建和身份模块测试通过。发布先构建和测试，再按现有 `/tmp` 双备份流程部署并检查 HTTPS、401 和 Nginx；恢复为上一版二进制，保留数据库与身份配置。