Agent-System-Documents/docs/proposals/2026-10-11-rdm-final-target-completion.md

---
title: RDM 最终目标核对、系统差距与完整交付方案
date: 2026-10-11
type: feat
execution: code
artifact_contract: ce-unified-plan/v1
product_contract_source: legacy-requirements
---

# RDM 最终目标核对、系统差距与完整交付方案

修订 r1；负责人 weichen；编制 Codex；更新时间 2026-10-11（Asia/Shanghai）。
用户已明确最终实现范围：全部文档模板、文档三权、系统级项目及独立两树一网协作；本轮进一步要求先核对目标和差距、形成详细完整方案。
本总体方案待人工评审；业务实现、迁移、真实模型评测、浏览器验收、上线均 NOT_RUN。
本文件承担本次最终目标补齐的统筹记录；不替代 RDM 已批准需求正文。实施负责人按各工作包立项指定，不预设已有人承接。
下文 `RDM:` 为 Agent-System-RDM，`Dev:` 为 Agent-System-Dev，`Legacy:` 为旧 Agent-System 的仓内路径。

## Goal Capsule

让不同用户在同一个系统级项目内，用各自私有的对话和资料工作，通过有权限的项目知识协作，按模板完成全部体系文档的编制、审核、批准，并能追溯来源、版本、决策和验证结果。

采用 RDM 领域实现与基座通用能力组合：先接通项目、权限、资料和持久运行，再完成全部文档及三权、需求和合规链、项目生命周期与交付。
项目建议书、竞品分析仍作为第一条真实验证路径；**最终交付包含全部 69 类现有文档模板与现有报价 XLSX 资产的接入，不以两份试点或目录登记完成作为终点**。
每个项目可按自身适用性选择文档，但平台模板覆盖不能以“不适用”替代未实施。新增模板也必须沿同一发布、生成和验收契约接入。

本次三项关键口径已由用户明确，不再列为待决：系统内同名项目唯一；创建者在平台管理员上限内覆盖管理；个人聊天/原件/草稿私有，受控文档按三权及明确授权读取。
后续遇到模块职责、权限范围、外部集成或交付顺序重大改变时按 `Dev:policy/delivery.md` 回到受影响阶段评审。后移目标逐项保留，不能无记录地消失。

---

## Product Contract

### Authority and Confirmed Decisions

权威顺序：本轮用户明确指示和澄清 → 已批准 U0 D1–D9、V2.2 Q1–Q8/D10 裁定及权威正文 → 未被取代的既有定稿条款 → 原始会议材料 → 派生摘要/旧审计快照。
原始 ASR 与用户补充可用于查清意图；不能用旧会议草案反向覆盖较新的明确裁定。`.tmp` 原件保持不改，正式需求修订仍进入 RDM `docs/requirements/`。

`RDM:docs/requirements/README.md:15–21` 明确 01/02/03/04/08/09 已于 2026-10-09 合入定稿 V2.2；05/06/07/10 未重发，但解读服从新裁定。U0 页首 proposed、部分 V2.2 正文“待评审”等是残留状态文字，不能据此宣称需求未批准。
前一份模板生成方案对这些残留文字的判断在本次纠正；其具体实现建议依然是待评审方案。

| 编号 | 用户重申与最终口径 | 与最终设计的关系及依据 |
|---|---|---|
| D1 | 系统可有多个不同项目；同一名称只对应一个权威项目身份，用户加入后访问同一个项目 | 符合 UR-22、SR-G10；01:312、517；用户补充 S:50 |
| D2 | 创建者默认项目负责人，在平台管理员设置的范围和上限内管理成员、覆盖权限、分配每文档三权 | 符合 SR-G8/G9、U0 D2；用户设计意见 D:76；本轮再次确认 |
| D3 | 每项目有独立笔记树、文档树、追溯网；成员及其智能体通过授权后的项目知识协作 | 符合 SR-G11、SR-N4、08 数据模型；S:60–61 |
| D4 | 个人聊天、上传原件、个人草稿默认私有，受控文档只向三权人员与明确授权者开放，不自动全员共享 | 用户本轮明确确认；与 U0 D3 私域边界及 SR-C7 三权相容；SR-G12 的主动只读分享仍须明确授权 |
| D5 | 管理权不自动包含读取私人资料、发起代编、代审、代批 | 已批准 U0 D2、V2.2 A4；S:65–72；创建者也受职责分离约束 |
| D6 | 先项目建议书/竞品分析验证，最终扩展所有文档 | 上轮用户选择与本轮“所有文档加入并实现”；阶段顺序不缩减最终范围 |

S=`Dev:.tmp/Discussion-Meetings/2026-10-08_12-24/.tmp/user-supplement.txt`；D=同目录 `user-design-ideas.txt`。原文 S:35–36 提出上限内覆盖，D:75–76 的直接用户意见收敛该选择；S:40–73 同时定义项目、私聊、共享知识和三权。
晚会原始 ASR（2026-10-08_19-36，00:37:00–00:37:21，正文段落 P329–P338）确认共同项目根，不能单独拿它证明私有权限；该部分依据以前述用户补充及本轮确认为准。

### Problem Frame

目前存在“基座界面里的用户项目”和“RDM 领域项目”两条没有完整贯通的路径。RDM 已实现项目表、部分权限计算和章节审签，但用户还无法通过统一界面完成研发项目管理及全部文档工作。
多份历史任务卡把局部领域方法、测试桩或直接处理器调用概括成阶段完成，掩盖了真实入口、授权、持久恢复、资料来源和部署组合的差距。
因此需要围绕最终用户路径重新映射证据、补齐已有实现，而不是从零重建或只补一页项目设置。

### Current State

本轮证据等级为 SELF：当前源码、测试资产、原始会议材料、只读进程构建元数据。未读业务数据库、未操作业务数据、未执行模型/业务测试。
调查基线：Dev `80a518628c526fd6ddece4abeb707ab4bb0b5618`；Backend `c8d66ca3cd21b055a8605e9eb4d8e525037618a6`；Frontend `3ed10e122042a64180fb24a42d9cc6438cd2d2d6`；RDM 初查 `0081628a10ec48a36537c6eced11a57439c986fa`，本轮期间项目授权改动合入后已增量复核至 **`d8d7e7436ca501e3ae03bbea9cc60405c74b9afc`**；RDM Backend pin `421fee81c314c05530bc809e224b5d0818ec3472`，Frontend pin `84b73ab32848e623d0a0ab7ade552784dca8cf3c`。
原始命令、固定对象和输出见 [调查收据](../records/2026-10-11-rdm-final-target-source-receipt.json)。源码基线不等于部署组合。

只读观察到 Dev `runtime/dev/bin/agent-system` 正运行 Backend c8d66ca 基座入口；另有较早、位于临时或已删除工作区的 RDM 进程。用户当前访问的 URL/实例尚未核对，不能据此直接判定其浏览器所见部署了哪个产品。正式验收须固定实例、端口、二进制摘要、组件 pins 和数据根；本轮不停止或清理这些进程。

| 差距 | 当前已有 | 尚未完成及影响 | 源码定位 |
|---|---|---|---|
| G1 项目入口 | Dev 有新建/切换/通用设置；RDM 有项目/成员命令 | Dev 创建走 owner 项目，无同名全局约束；未接研发成员/职责管理 | Dev frontend store.ts:286、ProjectSettingsModal.tsx:23；Backend store/projects.go:15 |
| G2 唯一身份 | RDM name UNIQUE、TrimSpace、创建者字段；新增一对一 HostBinding 与映射读取 | 绑定尚缺宿主项目存在性/绑定权限核验；成员不在 ListProjectsFor 目录中，页面仍首项/默认选择；新建与负责人写入非原子 | projects/projects.go:69、89；rdmapp/projects_api.go:23–87；web/app.js:98 起 |
| G3 权限覆盖 | 已有 cap∩override/default、12 动作；新增命令守卫，删除建项目自动引导管理员，改部署引导＋单行约束 | cap 管理仍认 RDM 台账，平台管理员可信接入未完成；专业角色/资源策略不足；doc.write 不等于编制职责；超管槽未接 | perms/perms.go:18–60、112、172、302；perms_api.go 的 AuthorizeCmd；runtime.go:172 起 |
| G4 私域与协作 | 私有会话 owner 边界；RDM 禁止上传预索引/会话卡镜像 | EXT-8 项目布尔授权会放大到整项目工件，无法区分原件/发布快照；Host 仍 owner-only；成员上传、发布、检索不一致 | plugin.go:31；runtime.go:136；Dev server.go:1134、1199；RDM pin hostcaps.go:219 |
| G5 两树项目分片 | WorldFor、项目事件重放；主要命令新增非空项目/动作守卫，图走审计权限，上传台账按项目过滤 | rdm.init 仍可进入全量自举写路径；仍需全入口与对象归属验证；业务读/导出与审计读须分开，原件不能仅按项目过滤 | runtime.go:81–117；plugin.go:850、879；init.go:39、52；upload.go 的 UploadsList |
| G6 文档三权 | 章节角色异人、锁定、全员审核、正式链；生成已有通用动作权限检查 | 非文档级；指派对象未核有效账号/成员；通用 doc.write 未收紧到指定编制人；审签 schema 与可信 actor 处理仍矛盾 | domain/review.go:31、69；plugin.go 的 review 规格、rdmDraftCompose/Apply |
| G7 模板覆盖 | 69 种 docType；旧 69 Markdown＋1 XLSX；当前 4 模板 | 仅覆盖 3 类；首项模板误选、模板可静默缺失；结构/格式/版本未统一 | 模板盘点与生成子方案 G1–G10 |
| G8 对话生成 | Compose 实际调用模型；Draft/Apply 存在；UI 新增领域项目注入与绑定尝试 | intent 类型键错误、未投影工具；缺持久提案/整文版本；旧依据可能丢失；独立页面普通文本 cmd=null 后 startsWith 仍在 | compose.go、draft.go、plugin.go 的编写 intent/compose 规格；web/app.js:410–448 |
| G9 解析与锚点 | 原件保留、md/txt/docx、部分表格/标题锚点 | 未接 ParseDocument；PDF/表格/演示文稿/图片未完整消费；慢切片改 slow:batch 丢原定位 | parse.go:33、346；slow.go:267 |
| G10 统一摄取 | 上传相关性三态、纯文本公共入库终点、发布方法 | 普通 ingest 可绕过相关性；发布未带 ProjectID，失败无持久补偿；上传非空摘要占位跳过真实摘要；聊天自动沉淀未接 | ingest.go:89、122；upload.go:406–409；llm_summary.go:20 |
| G11 结论与冲突 | 结论提议/确认、词面冲突检测、supersedes；拒绝提议已校验所属项目 | 确认提议仍按 id 查询未限定项目；固定阈值且已有结论后不再触发；无完整候选组/两层裁决；Resolve 可误关其他争议 | conclusions.go:125–135、264、310；domain/fc/collide.go:35、125 |
| G12 需求与合规 | UR/SR 台账；15 节点/11 边、四视图、八规则、矩阵/导出 | 六维/父子分解不足；受控节点和边写方法无生产调用；只有读命令，缺真实业务生产者 | requirements.go:21；compliance.go:155；plugin cgraph commands |
| G13 法规双通道 | 知识检索与法规声明记录 | “网络通道”用 Complete 生成 URL JSON，无实际搜索/抓取；不能作为独立网络核验 | regcheck.go:35、58–72 |
| G14 阶段与完整性 | 部分素材数/待确认文字检查 | 项目无阶段状态；缺推进/结项用户路径；审核提交未接内容/合规缺口门禁 | projects/projects.go:17；baseline.go:82；review.go |
| G15 长任务 | 内存队列、慢任务台账、重启标 failed | 不保存恢复所需项目/owner/原输入；不能续跑；通用快慢任务与取消恢复未闭合 | slowledger.go:31–43、74–77；slow.go |
| G16 看板与影响 | 职责/编制状态/正文变化投影 | 来源变了而正文未变时看板无法反映；缺影响对象、责任人、解决状态的闭环 | kanban.go:26、67；todo.go |
| G17 版本导出 | DOCX/XLSX 代码和测试 | 未按模板渲染格式、未绑定整文批准快照；合规导出正文为当前图却展示最新快照 hash | docx.go:155、298；cgraph_export.go:114 |
| G18 团队部署与执行 | 基座 PG/Redis、预算与动作矩阵；RDM 执行硬关闭 | RDM 领域仍 SQLite；动作矩阵公开接线不足；隔离执行尚未替代禁用；缺真实 RDM 双实例与备份恢复 | RDM domain/store/store.go:21、main.go:188；Dev server.go:90 |
| G19 完成证据 | 单测、桩 E2E、历史任务卡与 smoke | 真实三用户/两项目/模型/浏览器/安装包验收缺项；历史广义完成声明不能覆盖实际缺口 | v01_e2e_test.go:28、61、99、120；selfhost.go:130 |

“部分已有”表示可复用，绝不表示运行通过；“未接通”也不应改写为“所有组件都没有”。
RDM 数据库名唯一仅证明该源码对单数据库的精确字符串约束，尚未核实部署旧库索引；多数据库、多实例及名称规范化另需验收。
本轮新增实现来自 RDM 项目授权 #195/#196 的提交；上传来源项目解析、批次授权及结论拒绝的项目约束也已补入。未受此次改动影响的解析、模板、语义检索、任务恢复和合规生产缺口继续有效。U2/U3 必须复用这些新能力并补闭环，不能重复建设。
当前最高优先级之一是宿主绑定的双向权限：仅证明“我是 RDM 项目创建者”不足以绑定一个任意宿主项目。绑定前必须在宿主核验真实项目身份及调用者管理/绑定资格，并在服务端绑定可信上下文；否则已有共享读回调会扩大到不属于该主体的宿主资料。
绑定管理不能复用只读 AuthorizeAudit（当前 canManageBinding 的回落会在未来超管接线后扩大写权）。同理，合法三权人员查看/导出自己的文档不应要求其具备整个项目审计权限；当前 doc.export 的审计守卫需要按业务资源重新分类。

### Requirements and Acceptance

完整逐条索引见 [34 UR／68 SR／10 F 对照矩阵](../records/2026-10-11-rdm-final-target-requirements-matrix.md)。下表以 R-ID 固定本次设计不变量，保留原 UR/SR 作为正式需求身份。

| ID | 必须成立的最终行为 | 可判定验收 |
|---|---|---|
| R1 | 同系统项目名称与身份全局唯一 | 不同用户并发创建同名只有一个成功；加入成员看到同一 projectId；不存在按用户复制 |
| R2 | 上限内覆盖权限，并在执行端生效 | 撤销上限后旧 override 立即不生效；页面/API/命令/工具/任务恢复均拒绝越界 |
| R3 | 创建者可管理项目成员与每文档职责 | 项目负责人完成分配；平台全局权限不因建项目增加；职责对象必须有效且是成员 |
| R4 | 私聊/原件/草稿私有，受控文档按职责或明确授权读取 | 同项目其他成员无法通过正文、计数、搜索、摘要、预览、下载、追溯、模型输出读取未授权内容 |
| R5 | 每项目两树一网独立且内部按权限协作 | A 项目成员/智能体可使用 A 的发布知识，不能读取 B 项目或 A 的私有原文 |
| R6 | 全部现有文档类型可用，模板发布后结构/格式固定 | 69 类逐份有发布模板和真实生成验收；报价 XLSX 独立验收；项目不适用不减少平台覆盖 |
| R7 | 原件、解析、锚点、标签、知识发布可解释且可恢复 | 多格式能力分档声明；失败原件可取回；慢处理不丢页表锚点；存疑/拒绝不进共享检索 |
| R8 | 结论、冲突、依据选择受控 | 新资料可触发结论更新；文档层选择不改变项目全局结论；裁决只关闭指定争议 |
| R9 | 对话生成整文可修改可恢复，采纳才生效 | 模板与输入版本固定；无依据不编造；旧引用不丢；重复提交不重复写；部分采纳后整文仍一致 |
| R10 | 文档三权完整执行 | 编制一人、批准一人、审核至少一人且互异；审核/批准不可改正文；提交锁定，全员审核后才能批准 |
| R11 | 文档/需求/验证/风险/合规链真实生产和历史可重建 | 业务操作产生版本节点与候选边，人确认生效；导出内容/哈希/批准快照一致；无伪造验证结论 |
| R12 | 项目有阶段、准入准出和结项 | 仅在提交审核/申请推进时执行正式缺项门禁；不合格不能推进；按固定快照决策并可追溯 |
| R13 | 对话、卡片、工作区为同一对象的入口 | 右栏收起仍能完成任务；刷新/重启不丢；过期卡片不生效；不以假数据替代真实产物 |
| R14 | 团队运行具备当前授权、事务一致、恢复和隔离执行 | 两项目多人并行、撤权、故障注入、备份恢复通过；禁执行仅为过渡，最终隔离后按策略开放 |
| R15 | 全部已批准目标有去向和真实证据 | 34 UR/68 SR/10 F 无漏项；实现、测试、部署分别登记，只有显式裁决可取消目标 |

### Scope and Completion Levels

核心完整交付 C1：U1–U14 加 U16，覆盖项目/权限、私域与协同、全部模板、三权、资料、知识、需求合规、生命周期及团队可用性。
最终扩展交付 C2：U15 的 F-01…F-10 各项完成或经用户明确裁定取消/替代；外部系统接入受凭据、平台授权与独立交付条件约束。
**C1 通过不能写成所有最终目标完成。** C2 未完成的目标保留在同一矩阵，不将“后移”改成永久非目标。F-09 已有较新两树一网展示方案，应并入 U11/U14，而不继续沿用早期延期状态。
完整方案不意味在一个大 PR 同时改完；按依赖交付，每阶段保留可回退、可独立验收的增量。

---

## Planning Contract

### KTD1. One Project Identity

推荐继续由 RDM 保存研发项目、成员、职责权威；基座提供共享项目上下文及私有会话/工件能力。用户看到的是**一个系统级项目**，宿主内部 ID 只作一对一技术映射，不能再产生每用户一个同名研发项目。
对照备选：把研发项目权威搬入基座需重新划分领域职责，成本更大；为每位成员复制基座项目会破坏唯一身份与追溯，不采用。
统一入口的创建/改名/归档均调用项目应用服务。RDM 产品界面不再暴露绕过该服务的独立“个人研发项目”创建路径；通用基座个人项目保留为基座模式能力，不混入 RDM 项目目录。
复用新合入的 HostBinding 表与命令，补宿主端存在性、绑定资格和实例域校验；不能仅凭 RDM 创建者权限接受任意 hostProjectId。项目目录分为成员工作目录与受限审计目录：普通成员必须看到加入的项目，但不因看见项目获得审计权。

项目对象包含稳定 ID、名称与规范化键、创建者、生命周期、权限策略版本、文档目录版本及宿主绑定。建议名称规则为去首尾空白、Unicode 规范化、拉丁字符大小写归一；展示原名，规范化键由数据库唯一约束保护。规则在迁移前用现有名称干跑确认，冲突由人裁定，禁止静默合并。
归档保留名称与身份；删除采用受控归档/软删除，不让新项目复用同名后被误认成旧项目。名称变更的历史同样留存。
成员可见同一项目不等于全系统用户可列出所有项目；未加入者的同名创建返回名称不可用，不泄漏成员、内容或审计。
RDM 项目＋创建者成员角色＋名称保留在同库事务建立；跨库宿主绑定采用幂等 provisioning→ready/failed 与可恢复补偿。绑定未完成显示初始化状态，禁止继续向默认项目写入。
业务只接受服务端从当前会话/对象解析的项目；客户端 projectId 是定位符，跨项目参数或不一致绑定拒绝。外部旧命令的空项目全量回退关闭；未归属历史仅受信迁移工具可访问。

### KTD2. Policy and Duties

普通业务动作的允许条件为：有效账号与项目成员身份 ∧ 平台上限 ∧ 项目 override（未设置则角色默认）∧ 资源可见范围 ∧ 适用阶段/状态 ∧ 操作所需文档职责。
“显式拒绝”优先；平台上限收紧不需逐一改旧 override 才生效。多角色合并仍受同一上限，冲突按显式拒绝收敛，不依靠前端按钮控制。
平台管理员维护角色、默认权限、可覆盖上限及受管配置；项目创建者/负责人只调整项目内范围。支持专业角色目录，但编制/审核/批准是**文档职责**，不等同于“工程师角色”或广义 doc.write。
项目创建不得触发管理员引导；管理员初始化与移交走受信管理入口和事务唯一约束。既有“双层管理员”裁定用于审计可见性，不自动扩大成私人内容阅读或三权签字豁免。
CreatedBy 固定记录创建事实；负责人变更另有显式委任/接替记录，不重写创建事实。任何接替均不能跨过管理员上限。
权限、成员与职责变更写入审计并递增 policy/duty 版本；长任务开始、敏感读取、恢复、结果投递、提交、下载都重验。前端撤按钮不足以撤权。

### KTD3. Private Data and Shared Knowledge

| 资源 | 默认读者 | 共享/派生规则 |
|---|---|---|
| 个人会话、Agent 中间过程 | 本人 | 不自动镜像项目流；他人模型也不能间接读取 |
| 上传原件、个人草稿 | 本人 | 文件分享只产生明确的只读授权；不因 projectId 相同开放 |
| 项目发布知识快照 | 被授权项目成员 | 原件作者明确将选定内容发布为项目知识；可检索内容与原件权限分离，保留来源/发布版本 |
| 受控文档正文与修订 | 指定三权人员及明确获授权者 | 角色授权随职责/状态校验；全员只读必须明确授予，不默认开放 |
| 文档树目录、状态、待办 | 按所需最小范围 | 不通过标题、摘要、计数或引用暴露无权文档；负责人可管理职责元数据不代表可读全文 |
| 项目审计中心 | 按已有创建者/管理员审计方案 | 私人原文、秘密和隐藏推理仍不直接出现在审计 DTO/导出 |

两树一网在项目内共享其业务知识和组织结构，**不等于每个节点的所有载荷对所有成员可见**。文档树仍保存要求＋正文版本（Q8），正文节点继承文档 ACL；追溯遍历使用受限投影，不直接返回内部 payload。
明确“提交为项目资料”只发布选定知识内容；保留的原文件仍可私人。普通上传不自动发布全文，混合/存疑材料先确认。资料作者可发布脱敏摘要/摘录并保留批准的发布快照，使其他成员能使用该快照而无需读取私人原件。
审核所需依据应提供职责范围内的证据包：可读发布快照、明确原件授权或经确认的脱敏材料；仅有无权访问的私人引用时不能宣称证据已可核验。文档存储了私人资料的事实也属于披露，提交前必须处理发布授权。
撤销原件分享立即停止新访问与上下文注入；已经明确发布的知识快照按其独立发布生命周期处理，不把撤销文件链接误当成回收所有已批准知识。撤回发布知识时停止新使用，标记依赖文档 stale；历史受控快照的保留与可读性分别受记录保全及当前授权控制。
所有 HTTP、Host、索引/检索、卡片/SSE、预览下载、导出、图查询采用同一资源级决策；授权参数包含主体、项目、动作、资源类型/ID/版本、policyVersion。只读布尔项目授权无法表达这些边界，不因补齐项目 ID 就直接开放全项目工件。

### KTD4. Transaction and History Foundation

复用现有两树一网方案的原子事件、幂等、历史重建和 outbox，不再另造第二套事件中心。
在领域事务内完成预期版本校验、写台账、事件批次及幂等结果；提交后更新投影。跨宿主存储操作通过幂等步骤与 outbox，提交未知时先查结果再重试。
历史对象为 ID@version，切片原文与历史版本不可变；结构删改用软删除/取代/新事件。普通哈希用于一致性检查，不宣称具备外部防篡改或电子签名保证。
部分更新、角色调整、关系变化、合规 stale 标记与重放对等；同一历史水位必须还原同一文档/图/职责/审批事实，未知事件版本不得静默忽略。
旧数据先盘点归属及 ACL。旧 Agent-System 业务数据仍按 O9 不迁移；旧模板内容属于可复用资产，当前 RDM 数据必须保全，二者不得混淆。

### KTD5. Source-to-Knowledge Pipeline

统一上传、明确发布的对话内容、会议和外部研究的摄取契约：来源对象→私域留档→解析状态→相关性/发布决策→带锚点切片/标签→知识快照/索引→冲突与结论候选。
接入基座公开 ParseDocument，按原件保全、文本、表格、OCR、图像描述、页表锚点逐档标能力；不支持时留原件并明确说明，不把“收到了文件”当作“完整理解了内容”。
锚点使用 sourceId@version＋页/表/段/偏移；快慢处理沿同一解析块精化，不把锚点替换成不可回跳的 slow:batch。chunk 与 slice 是显式多对多映射。
共享标签字典版本化，记忆侧描述标签与文档章节需求条件同源；已确认强制材料/旧有效依据不能被 topK 静默挤掉。自动分类及摘要用独立人工金标验证，不以同源样本给自己评分。
知识发布失败留下可重试任务，不静默计零后报全部入库成功。待裁定、拒绝、撤回的资料不进入共享检索；原件取回与上传台账同样鉴权。

### KTD6. Conclusions, Conflicts and Impact

结论必须绑定依据和材料水位，允许随着新内容提出新结论；模型决定是否足够形成有价值总结，冷却只控制通知频率，不能让“已有结论”永久阻止更新。
会议纪要结构化抽取结论/待办/待确认，各条带原发言或资料锚点。模型提炼不等于已批准项目事实；采纳由人完成，结果回两树一网。
冲突对象使用明确 conflictId/groupId 和候选版本。相似度只提供检测线索，不能充当语义矛盾的证据；保留双方陈述、出处、影响与建议。
文档层裁决选择本文档的依据；项目层裁决改变项目有效结论，由负责人或明确指定知识责任人完成。只关闭该争议，不把两个节点参与的其他争议一起关闭。
来源、需求、测试结果或规则变化产生影响清单，指向受影响文档和负责人；正文未改变也要显示“依据有更新/验证过期”。看板与收件箱被动汇聚，对话按任务节点集中处理，不频繁插话。

### KTD7. All Templates and Controlled Documents

复用 [模板对话生成子方案](2026-10-11-rdm-template-dialog-generation.md) 的模板元数据、结构、检索条件、格式和发布清单，以及 Run/ContextManifest/Proposal/DocumentRevision 设计。
完整模板台账覆盖 [69 类旧资产](../records/2026-10-11-rdm-template-inventory.md) 与报价 XLSX。逐份保留来源 SHA，拆分内容要求、格式约束和管理记录；去除旧“任务键＝模板文件名”绑定。
模板按用途区分正文、纪要、汇报，绑定明确默认；缺模板或版本失效时拒绝“按模板生成”路径，不静默用自由文本代替。v10/v2 使用正式版本语义，不按字典序。
首批两模板先验证闭环，随后按资产台账完整迁入。每份上线模板均需有材料的成功样本及空缺/冲突反例；不能仅通过注册表计数宣称 69 类可用。
模板目录是组织资产，项目实例按适用性选择，但全部类型保持可配置可用。标准模板由用户后续提供（F-10），导入需差异评审及版本迁移；用户没有提供的标准模板不伪称已经替换。

三权面向每份文档：编制唯一、批准唯一、审核可多人且至少一人；三者互异。所有审核人通过后才可批准；审核/批准只能批注和通过/驳回，不改正文、不发起生成。
新文档无职责时任务停在可见“等待分配”，负责人可通过对话或管理页分配；其他成员可转交最小编制请求，不能转发其私人聊天全文。负责人可在上限内给自己分配其中一种职责，但不能同时兼任冲突职责。
提交冻结整文版本、模板、依据、职责与策略版本。职责变更、成员撤销或正文变动使受影响的待审决定失效；不能先让本人编制，再改职责给本人审核/批准同一提交版本。历史职责/操作身份参与分离校验，角色改名不洗掉已执行事实。
生成、人工修改、导入、旧命令、直接状态迁移必须经过同一编制与版本服务，不能从旧入口绕过。
旧章节职责和签署作为历史保留，不能拼成“整文已批准”；启用文档级流程前明确职责并处理旧活动审签，首个整文正式版本重新审签。驳回只增加内部修订，终批才产生新正式版并建立取代关系。
实际采纳的新旧章节组合须重新验依赖、术语、指标一致性；确认绑定该组合 hash，事务前重验版本。版本＋引用/追溯＋提案状态＋领域事件全成或全败。

### KTD8. Requirements and Compliance Producers

复用已有 15 类受控节点、11 类边、四链视图、八完整性规则、快照、矩阵和导出器；补真实业务生产者及写入/确认入口。
需求台账支持批准基线要求的 UR/PR/SWR/HWR 等类型、父子分解及六维分类；保留原 UR/SR 编号兼容映射。用户需求先确认后分解，法规反推产生候选，不直接替人定需求。
设计、风险、风险控制、测试计划/执行结果、验证、确认、设计转换、SOUP 等对象通过各自业务动作产生版本节点；字符串 LinkedSections/LinkedTests 迁为受控版本边，映射歧义保留待处理。
模型只推荐合规关系，授权人确认转正；目标升版标 stale，不自动转移旧签名/旧验证结论。验证结果必须关联实际被测版本、执行者与证据文件；没有实际结果时仅可生成计划、空表或 NOT_RUN 草稿。
法规双通道必须是受控知识库＋真实联网搜索/抓取的独立证据，保存 URL、取得时间、文档版本、片段锚点与可复核快照。模型生成 URL 不算网络核验；失败清楚标单通道/未核实。
本方案使用项目已批准的合规数据模型，不作具体标准符合性认定。专家校准负责规则、链视图与交付格式，保留意见来源及版本；不以数据结构存在代替合规验收。

### KTD9. Lifecycle, UI and Agent Execution

项目阶段配置、文档适用目录与准入准出规则版本化；当前字典为既有种子基线，关于进一步阶段合并的旧未裁定意见不擅自生效。
提交审核和申请推进时执行模板内容要求、缺项、职责、冲突、合规完整性门禁；有材料不等于满足要求，所有候选边也不等于冲突。可接受的不适用必须说明理由并由有权者确认。
阶段推进/回退/结项记录固定对象集合、规则和决策；外部完整变更引擎在 F-02 交付前，当前保留撤回重审、冲突和影响提示，不能直接改批准基线。
沿三栏工作台：左侧统一项目及私有会话；项目管理承载成员/权限/文档职责/阶段；工作区承载树、文档、追溯与看板；右侧工作/文件用于待办和唯一预览。对话与这些入口访问同一服务。
所有业务操作均可经自然语言准备并在必要节点显式确认。查询/总结不触发写入；模糊“继续”只作用于已展示且未过期的请求。工具说明渐进注入，RDM 编制/审阅配方作为产品资产，内核保持通用。
执行自由度遵 Q7/D10：检索、解析、归纳、候选生成可自主；三权、基线、正文生效和合规边确认受确定性门禁约束。模型不能自签或借工具权限继承管理员能力。

### KTD10. Durable Jobs, Storage and Deployment

Run/Step 保存发起主体、项目、输入引用、模板/提示词版本、检查点、水位、幂等键和恢复状态；模型调用不持数据库长事务。取消、审批与恢复针对同一持久对象，权限变化后拒绝续跑或投递。
重启仅标 failed 是可观察失败，不是任务恢复。最终必须能安全续跑，或对未知副作用停在需人工确认的恢复状态；禁止无条件重放。
复用多人存储方案已有工作：团队 PostgreSQL 为权威、Redis 可丢失、预算可配置、单实例先行。RDM 领域库、原件、知识发布、任务与检查点必须显式纳入迁移/备份，不能只设置 Backend PG DSN。
多实例验收包括领域唯一性、事务、数据库发号、运行 owner/epoch、队列领取、事件追赶和共享工件；两个 dataDir 的宿主 smoke 不证明 RDM 多实例写入一致。
多人隔离前继续硬禁高风险代码执行；最终交付隔离执行后端、目录/网络/资源约束和受控开放，符合 SR-G16，不以永久禁用替代能力。
发布包必须包含 RDM 插件接线、模板/字典/提示词资产和明确组件清单；离开源码目录仍可启动。部署另设固定环境与授权，安装、升级、备份、恢复、回滚均有可执行操作说明与演练证据。

### High-Level Technical Design

```mermaid
flowchart TB
  P[平台账号与角色上限] --> A[统一动作与资源授权]
  C[系统级项目目录和成员] --> A
  U[各用户私有会话 原件 草稿] --> A
  A --> K[明确发布的项目知识快照]
  K --> N[项目笔记树]
  T[已发布模板及文档职责] --> D[项目文档树 要求和版本]
  N --> G[项目追溯网 依据 决策 影响]
  D --> G
  A --> R[持久任务与提案]
  N --> R
  D --> R
  G --> R
  R --> H[编制确认 审核 批准]
  H --> V[固定整文及合规快照]
  V --> X[DOCX XLSX 可审计导出]
```

```mermaid
sequenceDiagram
  participant U as 编制人
  participant S as 领域应用服务
  participant J as 持久任务
  participant D as 领域存储
  participant R as 审核和批准人员
  U->>S: 项目内编制请求
  S->>S: 当前权限 职责 资源检查
  S->>J: 固定模板 输入和目标版本
  J-->>U: 进度 持久提案 差异
  U->>S: 采纳固定提案
  S->>D: 事务提交版本 依据 追溯
  U->>S: 提交审核
  S->>D: 完整性门禁并冻结整文
  R->>S: 当前身份审签固定快照
  S->>D: 正式版及批准记录
  S-->>U: 可预览下载的固定版本
```

```mermaid
stateDiagram-v2
  [*] --> Provisioning
  Provisioning --> Active: 项目和绑定均就绪
  Provisioning --> Recovery: 初始化失败
  Recovery --> Provisioning: 幂等恢复
  Active --> StageReview: 申请推进
  StageReview --> Active: 通过并进入下一阶段
  StageReview --> Active: 驳回维持原阶段
  Active --> Closing: 申请结项
  Closing --> Archived: 准出与确认通过
```

文档状态独立为编制中→审核中→待批准→已批准；驳回回编制中，新版本获批才取代旧正式版。任务运行、文档审批与项目阶段不能合并成一个“完成”标记。

### Public Contracts and Existing Plans

| 契约组 | 场景与公开面候选 | 现有缺口及兼容方式 |
|---|---|---|
| X1 项目绑定和生命周期 | RDM 项目服务与 Host 项目上下文创建/解析/成员目录 | 现有个人项目 CRUD 无统一约束；新增可选插件适配，RDM 启用时所有入口走同一服务；通用基座模式不被偷换 |
| X2 资源动作授权 | 身份＋项目＋action＋resourceRef＋version；HTTP/Host/检索/下载同判定 | EXT-8 只读 bool 太粗；动作矩阵尚非完整公开生产接线；版本化扩展、默认拒绝，旧读取适配器不获得写权 |
| X3 资料发布与解析 | 原件保全、ParseDocument、知识发布/撤销、chunk 映射 | 部分能力已在基座；RDM 逐项采纳并组合验证，缺失能力才申请新面 |
| X4 持久任务和恢复 | 受限 Host 工厂、Run/Step、取消/确认/状态事件 | 复用现有能力及团队存储路线，RDM 不保存旧 Host 凭据，不创建第二套账号 |
| X5 工件和外部证据 | 固定文档/图快照导出、artifact 绑定、真实 web search/fetch | 输出引用不等于实际文件/网络证据；受控任务产物与可核验抓取结果走公开面 |

每个缺失扩展按 RDM AGENTS 的场景、期望符号/路径、现有组合不足原因、兼容方式四要素申请；不导入 Backend internal，不修改 RDM pins 内实现。
与 [两树一网方案](2026-10-11-rdm-two-trees-trace-audit-integration.md) 共用项目绑定/授权、事务历史和审计展示；与 [多人存储方案](2026-10-11-collaboration-storage-and-distribution.md) 共用 PG、运行所有权、预算、恢复和隔离；模板子方案为 U7/U8 的详细设计输入。
在途核对：本轮远端查询 Dev #337 为存储迁移工具/恢复操作说明组合，#336 为 Generative UI U2，#317 为启动检查；不能把它们的未合入能力计入当前基线，也不重复立项。RDM 新增 `docs/proposals/2026-10-11-u1-base-extension-requests.md` 已提出平台身份能力与可信当前项目两项扩展，X1/X2 应承接该申请而不是再写第二份。正式立项时再次刷新在途状态。
原 [RDM 阶段总案](2026-10-07-rdm-phase-plan.md) 的历史进度保留，新补齐顺序批准后回填该案及 RDM requirements/10，不制造多份互相覆盖的“最终状态”。旧广义完成声明只保留为历史记录，另做需求→证据重新映射，不改写其原始收据。

---

## Implementation Units

优先级 P0 为核心安全/正确性与用户路径，P1 为完整核心交付，P2 为外部扩展；P1/P2 不表示可永久省略。责任为仓/模块，具体 owner 在立项时明确。
依赖顺序：U1→U2→U3；U4 与 U7 可在各自契约固定后并行；U9→U5→U6，同时 U5→U12 真实法规双通道；U7 的首批模板和 U12 就绪→U8 首批闭环→U16 全文档族推广；U8/U11 汇合到 U10（经 U8 已包含 U12）；U13 与业务开发并行收敛，最后 U14；U15 按子目标独立立项。

| 单元 | 交付主题 | 主要范围 | 前置 |
|---|---|---|---|
| U1 | 需求、证据和组合契约 | Documents/RDM requirements 与 pins 清单 | 无 |
| U2 | 系统级项目与管理入口 | RDM projects/members、基座项目适配、Frontend | U1 |
| U3 | 权限上限、私域与资源授权 | RDM perms、基座资源/Host/检索边界 | U2 |
| U4 | 原子事件、历史和旧数据归属 | RDM domain/store/eventlog/replay | U1、U2 契约 |
| U5 | 完整资料摄取与检索 | upload/parse/ingest/fbhost | U3、U4、U9 |
| U6 | 结论、冲突、两层裁决与影响 | conclusions/fc/kanban | U5 |
| U7 | 全资产台账与首批模板契约 | templates/structure、资产 bundle | U1 |
| U8 | 整文生成、三权和版本导出 | compose/draft/review/docx | U3、U4、U5、U6、U7、U9、U12 |
| U16 | 全部文档族迁移和真实验收 | 69 模板及 XLSX、契约与样本 | U8 |
| U9 | 持久快慢任务与对话入口 | RDM jobs/plugin、基座运行/卡片、UI | U3、U4 |
| U10 | 项目阶段、缺项门禁与结项 | projects/baseline/review | U8、U11 |
| U11 | 需求/风险/验证/合规生产闭环 | requirements/compliance/chainviews/exports | U3、U4、U6 |
| U12 | 真实外部研究与法规双通道 | regcheck、公开检索/抓取能力 | U3、U5、U9 |
| U13 | 团队存储、隔离执行和运行恢复 | RDM store、Backend/Squad/Native、发布包 | U1、U4、U9 |
| U14 | 全量验收、自举和用户上线 | 测试、CI、部署/恢复资料 | U1–U13、U16 |
| U15 | 最终后续目标逐项实现 | F-01…F-10 责任模块 | 各子项按下表 |

### U1. Baseline and Evidence Reconciliation

覆盖 R15。统一 34 UR、68 SR、10 F 的解释，明确本轮 D1–D6；修正文档状态漂移及历史测试覆盖映射，固定实际 RDM/Backend/Frontend/UI/Native/Squad 组合。
文件：RDM requirements/README、01/03/04/08/09/10、U0/V2.2 主记录；Dev proposals/INDEX 与扩展申请；新增需求证据矩阵（本轮候选已给出）。
方法：先评审来源和范围，再按最小契约申请/采纳 X1–X5；已有能力只补接线，不重新立项重写。U1 保留在途 PR 及 owner、版本和接受条件。
验收：全部原编号各有最终行为/工作包/测试入口；没有历史 PASS 自动变成当前 PASS；被覆盖的旧表述有指向当前解释的入口。

### U2. System Project and Management

覆盖 R1/R3/R5。交付创建/改名/归档、授权目录、成员加入/移除、创建者管理、宿主绑定及用户可用项目管理页面/对话路径。
文件：RDM internal/projects/projects.go、internal/members/members.go、rdmapp/projects_api.go、runtime.go、plugins/rdm/plugin.go；Backend store/projects.go/server 项目入口/公开适配；Frontend TaskSidebar/ProjectSettings 与 RDM 工作区。
测试：扩展 projects_test.go、成员测试及新合入 u1_auth/u1_surface 用例；新增项目绑定和浏览器流程用例。两用户同名并发、规范化碰撞、改名碰撞、归档、创建者角色写失败、宿主绑定失败重试、绑定他人宿主项目拒绝、成员加入后同 ID 可见、非成员目录及默认项目回退拒绝。
出口：真实用户可用统一研发项目管理；测试不能直接向数据库播种一个“已经绑定”的项目绕过创建路径。

### U3. Policy, Resource Access and Privacy

覆盖 R2/R3/R4/R5/R10。完成专业角色默认/上限/覆盖、文档职责分配授权、资源级读写策略与即时撤权；交付 X2 公开契约和全部生产入口接线。
文件：RDM perms、perms_api.go、sharing.go（实际路径在实施时核对）、upload 台账/确认、plugin 守卫；Backend extension、server、hostcaps、retriever、cardsvc；新增 resource_authz_test.go、隐私浏览器用例。
测试：上限拒绝覆盖、撤上限后旧许可失效、无效/停用/非成员职责指派拒绝；同项目私聊/原件/草稿、关键词/计数/摘要/导出不泄漏；职责读取与明确分享允许；普通三权人员可合法导出本文档而无全项目审计权；审计读取许可不能变绑定写权；撤权后 SSE/模型结果/下载立即拒绝；建项目不成为管理员。
出口：原件私有且项目发布知识可被其他成员合法检索；HTTP 与 Host 行为一致，不出现“页面可读但模型不可读”或反向泄漏。

### U4. Atomic Domain and History

覆盖 R5/R8/R9/R10/R11/R14。将多事件操作、台账、幂等和 outbox 收入单一领域事务，修复投影先写、重放不对等与历史快照不完整。
文件：RDM domain/eventlog.go、replay.go、payloads.go、store、doctree.go、tracenet.go、compliance.go；新增 transaction_fault_test.go/history_replay_test.go、迁移映射清单。
测试：在版本、建边、职责记录、快照阶段注入失败；提交全成/全败，重试唯一；跨项目边拒绝；同水位重启前后对象/签署/stale 相同；未知事件拒绝；遗留空项目只读隔离且不自动归属。
出口：真实持久库故障证明一致性；授权不明历史留待裁定，不以清空数据修复测试。

### U5. Ingestion, Parsing and Retrieval

覆盖 R4/R5/R7。统一原件、上传对象、相关性、发布、解析锚点、标签、知识索引与补偿；消费公开 ParseDocument。
文件：RDM upload.go、parse.go、ingest.go、relevance.go、llm_summary.go、fbhost/adapter.go；公开能力差距经 Backend 扩展；测试 upload/parse/publish_consumption，新增 anchor_roundtrip_test.go。
测试：PDF/Word/Excel/PPT/图片与文本各能力档、重名重传、损坏/大文件/解析中断、表格宽列、部分成功、私有和待裁定不发布、确认重试不重入、慢处理保留页表位置、发布失败重试、跨项目检索负例。
出口：真实素材的原文→切片→检索→引用可回跳；性能按已批准 SR-N1 的样本规模协议测量，不用空文件证明时限。

### U6. Knowledge, Decisions and Notifications

覆盖 R5/R8/R11/R13。结论水位更新、会议三类抽取、冲突组、两层裁决、依据变化影响清单与低打扰通知。
文件：RDM conclusions.go、domain/fc、pending/todo、kanban.go；新增 conflict_scope_test.go、conclusion_update_test.go、impact_notification_test.go。
测试：已存在结论后新增资料仍可提出更新；相似但不冲突的反例；同一切片参与多个争议只关闭指定争议；编制人只改本文档选择，负责人裁定共享结论；正文未变但依据更新仍提醒；受限来源不在通知泄漏。
出口：知识更新和文档写入是独立受控动作，用户能知道“谁改变了哪条依据、影响谁”。

### U7. Template Contract and Pilot Assets

覆盖 R6/R9。登记全部 69 类及 XLSX 资产；按模板子方案 U1/U2 建立公共章节结构、内容/格式约束、发布版本、默认用途、稳定 sectionKey 和 bundle，先结构化项目建议书、竞品分析两模板。
文件：RDM docs/templates、templates.go、structure.go、domain/doctree.go；69 类台账及 XLSX 资产；template_contract_test.go/template_instance_test.go 与每模板验收样本。
测试：台账无遗漏，首批用途匹配、v2/v10、多版本保留、模板升级迁移提案、无源代码运行和格式契约；两模板能正确实例化，不用静态检查冒充真实生成。
出口：公共模板契约和首批两模板可供 U8 使用；其余模板标记待迁移/验收，全部完成由 U16 承接，避免 U7 与生成能力互相等待。

### U8. Document Generation and Three Duties

覆盖 R6/R9/R10/R11/R13。复用模板子方案 U3–U5，交付文档级职责、持久提案、完整来源、差异采纳、锁定审签、正式版本和批准快照导出。
首批竞品分析模板含法规要点，完整验收以前置 U12 的真实双通道就绪为条件，不能用模型生成 URL 或单通道占位降低模板要求。
文件：RDM compose.go、draft.go、domain/fb/writegate.go、domain/review.go、docx.go、plugin、编制 skill；新增 document_revision_test.go/document_duties_test.go，真实三人浏览器编制案例。
测试：无职责等待/分配/接续；非编制人所有写入口拒绝；审核人不能改正文；审签走真实总线不传伪造身份；多审核人缺一不能批准；更换职责不能让原作者自审；旧卡/旧版本拒绝；部分采纳重验整文；撤权/并发/故障原子性；真实 DOCX 打开和引用可达。
出口：两份试点从真实资料经真实模型和三人账号完整通过，随后 U16 全量文档族推广；有实际结果才能生成验证报告通过结论。

### U16. All Document Families

覆盖 R6/R9/R10/R11，依赖 U8 首批真实闭环。按原 69 类台账逐族迁移、发布和验证，现有报价 XLSX 独立交付；需求、设计、风险、测试/验证、评审等文档族全部有结果。
文件：RDM docs/templates/registry 与全部模板、XLSX 资产/renderer、各模板结构/格式/样本测试；原件哈希与迁移差异写入台账。
测试：每份至少一个有材料的真实生成与审签导出正例、一个空缺/冲突反例；特有表格、章节、引用、公式、格式与职责均检查。编制共同契约复用 U8，不为每份模板新写一套业务流程。
出口：69 类均有已发布可用正文模板及对应运行证据，XLSX 实际打开检查通过。公司新标准模板另列 F-10；平台全量覆盖不得用项目内“不适用”豁免。

### U9. Durable Task and Conversation Infrastructure

覆盖 R7/R9/R13/R14。建立持久快慢任务、输入与检查点、取消/恢复/幂等、对话内卡与工作区同源；修正 RDM 普通文本入口和插件工具投影。
文件：RDM slow.go/slowledger.go/plugin/web；Backend 公共任务/HostFactory/事件面；现 slow_persist_test.go 加真实恢复语义，新增 task_recovery_test.go 与对话路由用例。
测试：跨刷新/重启/断网恢复；任务接纳后权限撤回；重复取消/确认；模型超时与外部结果未知先查询；seq 乱序丢弃；普通自然语言不触发空值异常，查询不落写任务；持久记录与页面计数同一状态。
出口：任务失败、部分完成、待确认、恢复中均可见，后台工作不会在进程重启后仅静默丢失。

### U10. Stage Gates and Project Closure

覆盖 R10/R11/R12/R13。阶段配置、推进/回退/结项、文档提交门禁、条件性不适用和决策快照；与内容/合规规则共用判断结果。
文件：RDM projects、baseline.go、review 服务、plugin；新增 stage_transition_test.go/document_submit_gate_test.go 与生命周期浏览器路径。
测试：有资料但未满足内容要求不能提交；无关候选边不误阻断；必需验证缺失/过期阻断；合法不适用可经有权者确认；上传不催缺项；陈旧推进卡和并发阶段变更拒绝；结项后只读与受控恢复。
出口：用户从立项到结项均可通过对话完成，不靠管理者手改状态。

### U11. Requirements and Compliance End to End

覆盖 R8/R11/R12/R15。实现需求分解/六维分类、风险/验证/确认/SOUP 业务录入和版本生产，合规边建议/确认、完整性规则、四链视图、审计展示与精确快照导出。
文件：RDM requirements.go、compliance.go、cderived.go、chainviews.go、cgraph_export.go、plugin/web；新增 producer_to_graph_test.go/compliance_replay_test.go；复用既有合规测试而不只域层播种。
测试：真实命令新增/升版需求到图、分解来源可追、候选边不能自动生效、风险控制缺验证、验证版本不一致、SOUP 标记、旧快照查询/导出相同、受限端点不泄漏、规则版本变化导致缺口重新评估。
出口：已有读模型真正有生产数据；专家校准意见、规则版本与证据映射齐备。全图视图保持渐进，不强迫用户操作大图。

### U12. Real External Evidence

覆盖 R7/R11/R15 与 UR-13/14。真实法规知识库与网络双通道，外部资料入树，冲突和降级明确；模型答案与取得的网页原文分开。
文件：RDM regcheck.go/domain/regcheck；Backend 公共搜索/抓取接入（有则复用）；regcheck_test.go 扩展真实受控来源回放及失败样本。
测试：模型编造 URL、链接不可达、标准版本不一致、两通道冲突、仅单通道、来源权限撤回、摘录与正文不符；均不能显示双通道已核验。
出口：每条外部结论有实际检索/获取记录、原文快照和支持关系；外网不可用时仍可工作但不伪称核验。

### U13. Team Runtime and Isolated Execution

覆盖 R14 与 SR-G16/SR-N1/N4/N5。复用团队存储计划，把 RDM 领域数据纳入 PG/事务/任务恢复；实现隔离执行档、资产发布包、备份恢复/迁移回滚和运行可观察性。
文件：RDM domain/store、projects/members/perms、原件/慢任务存储；Backend/Squad/Native 对应公开边界；migrations、安装/升级清单；新增 rdm_pg_test.go/rdm_multi_instance_test.go 与隔离执行黑盒用例。
测试：SQLite→PG 干跑/核对/失败回滚、旧库名称冲突、原件与 DB 一致恢复；双实例同名/同文档竞写、epoch 过期写入拒绝、重连追赶；执行不能越目录/越项目/读秘密/超资源；取消后子进程停止或进入明确恢复状态。
出口：先单实例团队版通过，再开放双实例；使用脱敏固定数据集，记录容量阈值而非仅声称支持 100 人。

### U14. Full Acceptance and Operational Delivery

覆盖 R1–R15。逐条重放需求矩阵、全部文档、真实三用户/两项目、真实模型、真实浏览器、自举与安装包；接上固定 HEAD CI 和独立重放。
文件：RDM docs/requirements/09、业务 E2E/fixtures、CI、release manifest、安装/回滚/恢复说明；Dev 组合记录；新增最终验收台账，不篡改历史原始收据。
测试：上述正常/拒绝/故障全部场景；真实自举材料不能由测试临时编造“支撑资料”；全部上线模板实际打开产物；项目/私域/职责隔离、性能、重启恢复和安装包离线资产校验。
出口：每条声明绑定命令、精确对象、输出和来源；业务完成、合入、部署、用户验收分别签收。用户当前实例在部署阶段明确选定，先备份再切换，不擅自清理旧进程。

### U15. Remaining Final Goals

| 原目标 | 完整路线与本轮去向 | 前置/责任与完成判据 |
|---|---|---|
| F-01 飞书全套 | 渠道、身份绑定、权限映射、虚拟人、文件/版本链接 | 核心授权和固定文档快照先完成；独立连接器任务固定外部租户/权限/凭据；外部回调不能绕过同一三权和资源权限 |
| F-02 完整变更流程 | 按公司流程选择系统内流程或外部集成，七步闭环逐项有对象和状态 | 先评审业务权威及外部 owner；实施追溯的申请、影响、评审、批准、执行、验证、关闭；当前影响提示不冒充闭环 |
| F-03 精细分享 | 保留显式授权与撤销；会话/部分会话分享仅在用户再次明确启用后开放 | 本轮私聊私有为硬默认，不能以最终扩展名义自动共享；范围、接收者、版本及撤销语义需独立批准 |
| F-04 时间权重 | 内容新旧、版本、来源质量可配置排序，冲突仍由人裁决 | U5/U6 后，固定检索评估集及配置版本；效果对照和公平覆盖达标，不靠“越新必正确” |
| F-05 代码工具 | GitLab 等只读代码、版本、缺陷与需求关联 | 外部仓库授权与读取契约、可验证 commit 绑定；不包含擅自写代码/推送权限 |
| F-06 交互收敛 | 纳入 U9/U14：看板、卡片、领域工作区同源 | 单一状态所有者、刷新/事件/撤权一致、右栏关闭无能力缺失 |
| F-07 遗留决策 | 重建 Q/O 决策台账，逐项定论或保留具体阻塞 | 不能把问题组当已确定功能；阶段划分、专家规则、对抗验证形态等按来源和裁定处理 |
| F-08 难度与人机边界 | 评估表、任务分工建议、人工为主的降级、独立质量检查 | U7/U9 后，明确谁评估、输入和证据；高难任务不伪装全自动完成，人工意见留痕 |
| F-09 追溯可视化 | 按 10 月 11 日已批准展示方案纳入 U11/U14 | 项目树/一跳关联/审计时间线/四链与矩阵可用且鉴权；不是继续无限延期 |
| F-10 公司标准模板 | 用户提供后按 U7 模板发布/映射/差异迁移机制替换 | 需实际模板文件及评审责任人；旧文档版本保留，标准模板逐份真实生成验收 |

这些目标没有被删除。F-01/02/03/05/07/08/10 所需外部授权、组织裁定或输入未齐时，分别记阻塞对象与责任人；核心已有能力可继续交付，但最终全范围不得提前关闭。

---

## Verification Contract

本轮仅调查与文档验证；业务 PASS 一律不得由本方案文字推断。

| 验证层 | 范围与工具入口 | 证据与退出条件 |
|---|---|---|
| 资产和静态 | 需求矩阵、模板契约、安装包资产 | 34 UR/68 SR/10 F/69 模板全部有去向；链接、schema、版本和文件均可核 |
| 领域单元 | RDM `make test`、针对变更新增拒绝/边界/故障用例 | 事务/职责/版本/门禁明确正确；mock 只证明机制 |
| 总线/公开契约 | 注册 schema→可信身份→handler→领域服务；实际工具投影目录 | 不绕过 schema、登录与权限；旧命令和 UI/API 同一行为 |
| 持久集成 | 真实 SQLite/PG、原件/索引/任务、进程故障重放 | 无已确认数据丢失/静默重复生效/跨项目泄漏；迁移和恢复可复核 |
| 用户全链路 | 真实三权账号及普通成员、两个项目，真实浏览器 | 立项、分配、私有上传、发布知识、生成、审签、导出、阶段推进；刷新/重启/撤权一致 |
| 模型任务级 | 固定素材与版本，前后对照并保留真实调用 | 正确模板/来源、冲突与空缺诚实、权限不越界；人工盲审语义支持，不只看引用 ID 存在 |
| 交付文件 | 实际 DOCX/XLSX 与 Office/LibreOffice 打开 | 内容、表格、格式、来源、签署和快照一致；报告不能编造真实测试结果 |
| 运维与容量 | 固定环境，10→30→100 用户阶梯与故障演练 | 以已批准存储方案量化合同及 SR-N1 为准；预算和数据规模公开记录，跳过的 PG/Redis 项目不算通过 |
| 正式准入 | RDM 与 Dev 固定组件 SHA、CI 链接/身份、独立重放 | SELF/GATE/REPLAY 分开；本地通过不能代替人工评审、平台准入或线上验收 |

关键用户验收样例：

1. A 创建项目，B 同名创建被拒；A 加入 B/C/D 后大家看到同一个项目，彼此会话仍不可见。
2. 平台允许成员管理但禁止某动作，A 的项目 override 不能放大；管理员撤销上限后旧任务和旧卡片也失效。
3. B 上传私有原件并发布一段经确认知识；C 可使用该知识而不能打开 B 的原件，D 的搜索、计数、摘要不泄漏它。
4. A 指派 B 编制、C 审核、D 批准；B 生成，C 只能批注；D 等全部审核通过后批准，A 不能凭负责人身份代批。
5. B 在审核中改正文、切换成审核人后自审、旧卡批准新版本、跨项目伪造 sectionId 均被服务端拒绝。
6. 资料升级但文档未变，看板仍显示依据更新；编制人选本文档依据不自动改变共享结论。
7. 断网/重启后恢复同一任务与提案；重复采纳只有一次内容版本；版本写入或建边失败不出现半条追溯。
8. 已批准旧快照与当前修改并存，导出旧正式版仍得到旧内容/旧依据/旧签署；合规报告使用同一水位图和 hash。
9. 69 类模板及报价 XLSX 分批全部真实验收；没有资料的报告不生成不存在的实验/测试结果。

## Definition of Done

当前方案阶段：用户关键口径准确落盘，所有原需求与后续目标有追溯映射，源码差距与运行未知分开，工作包含依赖、责任模块、文件、验收与停止条件。
核心产品 C1：U1–U14 及 U16 对应矩阵证据全部齐备，真实项目管理、隐私协同、全部文档三权与导出运行可用；没有把历史桩测试当真实验收。
最终目标 C2：U15 每项实现验证，或用户明确取消/替代并更新权威需求。只“已备案”或“后移”不能关闭最终目标。
正式上线：固定目标实例和制品、完成迁移/备份/恢复/回滚验证、取得对应部署授权并通过用户运行验收；上线与代码合入分别记录。

优先下一步为 U1：固化本次总体范围、修正基线/证据口径，并细化 U2/U3 的项目与资源授权公开契约。其直接解决当前用户无法管理同一项目、创建者无法完整配置三权、私域与共享层可能混用的问题。
本轮“所有文档都加入并实现”和“三权要实现”已作为明确交付要求记录；由于同时要求先完成全系统目标核对和完整方案，本轮停在可评审总体方案，不把尚未评审的新跨仓/权限设计直接实施。

### Decisions Still Required

用户已确认的 D1–D6 不重复请求。仍需评审的是本总体方案的技术路线、U1–U16 分工和交付边界；实施前固定目标运行实例、团队部署档及具体负责人。
进一步阶段合并、外部完整变更流程归属、外部系统租户/凭据、公司标准模板和专家校准结果有明确后续依赖，不阻塞当前项目/权限/模板地基工作；未齐备时不伪造完成。
各阶段沿 `Dev:policy/delivery.md` 人工评审；若后续要求连续实施，应明确覆盖的阶段和终点，发布、保护规则变更等双钥匙边界继续保留。

## Appendix

原始来源：S:35–76 与 D:75–88；RDM requirements/README、00、01/03/04/08/09/10；U0、V2.2 已批准裁定。矩阵中给出每条需求的原文位置。
设计依赖：两树一网展示方案 r1、多人存储方案 r1、模板对话生成方案及 69 类资产盘点。涉及 API 的名称均为候选设计，正式符号由公开契约申请确定。
本轮没有联网核验法律或标准条款，也没有声称系统已符合任何特定法规；本方案讨论项目既定需求、数据追溯与实现验收。

## 2026-10-13 项目成员闭环增量

用户复现宿主项目成员保存成功、成员登录不见项目且不能建对话，已批准针对 U2/U3/U5 的方向与阶段 1–9 连续推进。具体实施主记录为 [系统项目、成员工作入口与私域协作闭环 r1.1](2026-10-13-system-project-membership.md)，验证/组件/PR/CI 结果在关联 Dev 任务卡维护。当前实现候选已覆盖统一项目、全局名称、成员个人会话、领域分片、私域与发布知识，以及旧项目显式修复；组合验收与正式 tag 消费仍推进中，不据此声明全部 U2/U3/U5 或总目标完成。部署、8788 数据修复与清理仍未授权。