docs: mark access and audit done

docs/todo_list.md

@@ -79,7 +79,7 @@
 **测试方案**
 - 关键接口：正常请求 + 参数类型错误时返回明确错误。
 
-### 5) 内容访问策略完善（资源权限与预览差异化）
+### 5) 内容访问策略完善（资源权限与预览差异化）（已完成）
 **需求目标**
 - 媒体资源访问遵循：未购仅预览，已购全量，作者/管理员全量。
 - 签名 URL 或下载地址生成前进行权限校验。
@@ -96,7 +96,7 @@
 **测试方案**
 - 未登录/未购/已购/作者/管理员的可见资源集合一致性。
 
-### 6) 审计参数传递规范化
+### 6) 审计参数传递规范化（已完成）
 **需求目标**
 - 审计服务禁止自行读取 `ctx`，改为显式传入操作者信息。
 
@@ -195,6 +195,8 @@
 - 鉴权与权限收口（AuthOptional/AuthRequired、super_admin 校验、Super.Login/CheckToken）。
 - 上传会话归属测试补齐（UploadPart owner mismatch）。
 - ID 类型统一（int64 / model 注入，upload_id 等非数值标识除外）。
+- 内容访问策略完善（资源权限与预览差异化）。
+- 审计参数传递规范化（Audit 显式传参）。
 - 内容可见性与 tenant_only 访问控制。
 - OTP 登录流程与租户成员校验（未加入拒绝登录）。
 - ID 类型已统一为 int64（仅保留 upload_id/external_id/uuid 等非数字标识）。