feat: enhance risk pool management and role validation

- Updated AGENTS.md to streamline information on risk pool operations and agent account restrictions.
- Introduced filtering options in AdminRiskPoolIndexController for active risk pools.
- Refactored AdminRiskPoolLockLogIndexController to support grouping by ticket or entry.
- Enhanced AdminRoleStoreController and AdminRoleUpdateController to prevent the use of reserved slugs for new roles.
- Improved error messaging for role creation and updates to clarify reserved role restrictions.
- Added new API routes for ticket item retrieval to improve admin functionalities.

AGENTS.md

@@ -42,15 +42,14 @@
 
 ## Learned Workspace Facts
 
-- 期号 `close_time` / `draw_time` 以 UTC 存储与比较；后台展示转浏览器本地时区，创建/编辑表单提交前须转回 UTC。
-- 下注是否开放由 `DrawHallSnapshotBuilder::isBettingOpen()` / `effectiveHallDisplayStatus()` 实时判定，不只看 `draws.status`。
-- 后台期号列表展示数据库 `status`；详情 API 另提供 `hall_preview_status` 供与大厅预览态对比。
+- 期号 `close_time`/`draw_time` UTC 存储；下注由 `DrawHallSnapshotBuilder` 实时判定；列表展示 DB `status`，详情 API 有 `hall_preview_status`。
 - `AgentProfileCapabilityFilter` 仅作用于**已绑定代理节点**的经营账号（按档案 `can_create_*` 收紧权限）；**禁止**对无代理绑定的平台账号（如 `site_admin`）套用，否则会误剥 `prd.agent.manage` 等权限。绑定经营代理主账号统一绑 `slug=agent`，模板仅含 `prd.settlement.agent.view`；登录态对绑定代理主账号自动补足 `settlement.agent.manage`，实际操作仍受直属边 + 收款方校验。
 - 站点管理员（`admin_user_site_roles` + `slug=site_admin`，且**未**绑 `admin_user_agents`）定位单站信用盘运营（代理树/玩家/结算/注单/报表）；不含开奖赔率等平台技术权限；开通一级代理线路仅超管（`prd.agent-line.provision`）。
-- 结算中心登记收付/确认/坏账/补差 UI 需 `prd.settlement.agent.manage`（`canManage`）；仅 view 时操作区静默隐藏。另需账单 `status` ∈ confirmed/partial_paid/overdue 且 `unpaid_amount > 0`。**坏账核销 / 补差冲正** 另需未绑定代理（站点财务，`canFinanceAdjustments`），绑定代理仅有收付/确认。
-- 结算账单可见范围（绑定代理）：**玩家账单**仅直属玩家；**代理账单**仅 `owner=本节点` 或 `counterparty=本节点`（不含下级玩家的账单、不含更深层代理链）。**账务流水/账期 pipeline** 的玩家维度同样仅直属玩家。站点财务/超管仍见全站。
-- 登记收付/确认：绑定代理仅可操作 **收款方**（玩家账单=直属 counterparty；代理账单=按 net_amount 方向的 payee）。上级不能代登下级玩家收付，下级也不能代登向上级的代理账单。
+- 结算中心登记收付/确认/坏账/补差 UI 需 `prd.settlement.agent.manage`（`canManage`）；仅 view 时操作区静默隐藏。另需账单 `status` ∈ confirmed/partial_paid/overdue 且 `unpaid_amount > 0`。**坏账核销 / 补差冲正** 另需未绑定代理（站点财务，`canFinanceAdjustments`），绑定代理仅有收付/确认。绑定代理账单可见范围：**玩家账单**仅直属玩家；**代理账单**仅 `owner=本节点` 或 `counterparty=本节点`；登记收付/确认仅可操作 **收款方**。
 - 收付/调账/坏账后端落库 `payment_records`、`settlement_adjustments`；账期详情 **收付与调账** Tab 查操作台账，**账务流水** 仅玩家信用变动；单张账单详情内另有该账单的收付列表。
-- 代理仪表盘/账期列表「输赢」用本级占成（`share_profit`），不可看 `platform_pnl` 全站报表。
-- 开/关账期仅未绑定代理的站点财务（`canManagePeriods = canOperateBills && boundAgent === null`）。
-- **一级代理 profile**：每站唯一根节点（`depth=0`）的占成/授信/回水仅超管可改（`AdminAgentScope::nodeProfileEditableBy`）；站点管理员与一级代理账号对根节点 profile API 为 403；下级仍由上级代理维护。
+- 线上生产：已有库用 `php artisan lottery:db-init --no-demo`（含 RBAC sync）；常驻 `schedule:work`、`queue:work redis --queue=broadcasts:countdown,broadcasts,default`、`reverb:start`；`CACHE_STORE`/`QUEUE_CONNECTION` 须 Redis；先部署 lotterLaravel 再前端。
+- `AgentProfileService::upsertForNode` PATCH 缺省键会写 0（占成/回水等），须按 `array_key_exists` 合并既有 profile。
+- 代理仪表盘/账期「输赢」用本级 `share_profit`；开/关账期仅未绑定代理站点财务；根节点（`depth=0`）profile 仅超管可改。
+- SSO 钱包盘：首次有效 JWT 调 `GET /api/v1/player/me` 按 `(site_code, site_player_id)` 自动建档；`username`/`nickname` 彩票生成 `nlotto******`，不从主站同步。
+- 错误 8005（Account suspended）：站点不存在/停用或玩家冻结；**生产**按 `admin_sites` 验站点，`.env` `MAIN_SITE_*` 兜底仅 `local/testing`。
+- 建站即生成 `sso_jwt_secret`/`wallet_api_key`；`main-site/` 须手动对齐 `MAIN_SITE_CODE` 与两把密钥（未设时默认 `main-site`），不会从后台自动同步；`wallet_api_url` 填主站钱包根 URL，勿填彩票 H5。