feat: add project-scoped operations

docs/operational-task-workers.md

@@ -28,7 +28,8 @@ conda run -n server python scripts/run_operational_worker.py
 
 | 变量 | 用途 |
 | --- | --- |
-| `OPERATIONAL_WORKER_PROJECT_ID` | 唯一授权项目 UUID |
+| `OPERATIONAL_WORKER_PROJECT_ID` | 单项目模式的授权项目 UUID |
+| `OPERATIONAL_WORKER_PROJECT_IDS` | 可选，显式授权项目 UUID 列表，逗号分隔；非空时优先于单项目配置，同步器和调查 worker 均按列表运行 |
 | `OPERATIONAL_WORKER_SERVER_URL` | 主后端地址，默认本机 8000 |
 | `OPERATIONAL_WORKER_AGENT_URL` | Agent 地址，默认本机 8787 |
 | `OPERATIONAL_WORKER_RECONCILE_SECONDS` | SSE 中断或漏通知时的对账间隔，默认 30 秒 |
@@ -42,6 +43,8 @@ conda run -n server python scripts/run_operational_worker.py
 
 工作身份必须能通过现有产品身份与项目成员权限校验。配置令牌获取不等于自动创建产品用户、项目成员或授权。权限错误会保留任务用于后续重试，不会绕过认证。
 
+多项目模式为每个项目维护独立事件游标、会话、消息游标及 OAuth 缓存，单项目暂时失败不阻止其他项目对账。`OPERATIONAL_WORKER_MAX_CONCURRENCY` 是每个项目的上限，总上限随显式配置的项目数增加；需要控制整体模型用量时相应调低。进程不自动枚举所有项目或扩大服务身份权限。修改项目列表后需同时重启 `tjwater-operational-worker.service` 和 `tjwater-peripheral-sync.service`。
+
 调查数据读取沿用账号已有的项目权限，不再因 `service` 身份额外移除 `scada.view` 和
 `simulation.view`。上下文的 `approved_data_scopes` 与数据查询采用同一权限集合；已有读取
 权限无需逐任务数据审批或委托凭据。此规则不新增角色权限、不放开跨项目读取，也不改变