fix: explain credential rotation grace period in console

docs/08-development-plan.md

@@ -295,3 +295,9 @@ A04派发已提交而消息尚未到达Worker的精确进程故障已通过[专
 - 已实现：页顶应用/环境与队列筛选、列表和详情应用标签、URL 保持筛选；切换隔离旧请求和表单，错误范围不降级读取默认数据。
 - 单管理员通过 Cookie 显式选择范围；业务事务重新核验会话与目标应用，SDK 不支持范围覆盖，订阅原凭据绑定不变。
 - 同步提供[范围接口](api/console-scope.md)、真实 MySQL 授权/审计/退出后拒绝测试和 HTTP 列表及订阅管理回归。最终结果见[本批报告](reports/console-scope.md)。
+
+### 换证过渡状态提示（2026-09-27）
+
+- 凭据卡片明确区分「过渡中 · 暂不可换证」与「已撤销 · 不可换证」，展示禁用原因、旧 Token 实际截止及服务切换步骤；到期后页面刷新恢复换证入口。
+- 保留过渡期禁止重复换证的保护；提前结束仍需管理员确认服务全部切换、在途任务收尾，不自动结束过渡或替换现有凭据。
+- 回归范围：标准竞态测试、vet/build、JavaScript 语法和文档链接；本地页面核对过渡说明、正常换证入口与结束过渡确认弹窗。说明同步到[应用接入手册](api/console-applications.md)。

docs/api/console-applications.md

@@ -91,6 +91,8 @@ prepare 请求：
 
 expected_revision 为读取到的字符串版本。只允许上述轮换字段，不混入新应用名称或能力组。准备对象包含原 application_id / namespace_id / credential_id，没有 queue_id。apply 复用原有凭据轮换事务：将原摘要保留到固定过渡截止，替换当前摘要与可选到期时间，版本加一，保存脱敏回执及人类账号审计；权限组不改变。已撤销的凭据禁止变更。ROTATE 的 grace_days 范围 0–30，API 省略/0 保持立即停用旧 Token 的兼容语义，页面显式提交 7；实际截止不超过旧 Token 原到期时间。过渡未结束时再次轮换返回 409。
 
+页面在过渡期将按钮标为「过渡中 · 暂不可换证」，同时显示原因、实际截止和切换步骤。这表示上一轮换证已生效；再次轮换会挤掉仍在使用的旧 Token，所以暂时禁止。将已保存的新 Token 配置到所有服务、Worker 和结果消费者，并收尾在途任务。到期后页面刷新会恢复换证按钮；只有确认全部切换完成，才可提前点「结束过渡，停用旧 Token」。结束过渡会立即停用旧 Token，不能仅为解锁按钮而操作。已撤销凭据单独显示「已撤销 · 不可换证」。
+
 apply 成功 data：
 
 ```json
@@ -140,7 +142,7 @@ SET_EXPIRY 不生成新 Token，只更新当前有效期；valid_days=0 为长
 | PERMISSION_DENIED | 403 | 核对唯一管理员配置、会话及同源请求 |
 | INVALID_ARGUMENT | 400 | 核对字段、能力组、固定身份及有效期 |
 | NOT_FOUND | 404 | 核对命名空间/凭据是否存在 |
-| STATE_CONFLICT | 409 | 应用名称已存在、凭据已撤销或版本已变更；读取当前状态 |
+| STATE_CONFLICT | 409 | 应用名称已存在、凭据已撤销、版本已变更或旧 Token 仍在过渡期；读取当前状态 |
 | IDEMPOTENCY_CONFLICT | 409 | 原操作内容被修改，保留原始操作核对 |
 | 数据库/网络故障 | 5xx / 网络错误 | 不假定失败，保留原操作重报 |