发给第三方 LLM 的 user_prompt 不再带真名;ScriptContext/input_snapshot(PAC 内部)不变。
- 新增 script-common/pii.ts:NAME_TOKEN(称呼/诊断医生/客服)+ realNames + detokenizeNames/Script
  · token 用「原样保留」约定 【】(同 【时间段1】),不能用 {{}}(会跟 {xxx}=要替换 占位冲突,
    被 LLM 吐成单括号 → 露生 token)
- prompt.ts:称呼/诊断医生/客服 emit token;监护人触达提示去全名(只留关系)
- orchestrator:LLM 输出在渲染/写库前 detokenizeScript 回填真名(流式 partial + 终态都回填)
- base-system.md:声明 【称呼】【诊断医生】【客服】 为系统回填占位,LLM 原样保留
- 验证:张震校 重生成 → prompt 无真名;输出"徐女士/韩维医生"正确回填;promptVersion v12

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>