Agent-System-Documents/docs/proposals/2026-10-12-rdm-function-implementation-plan.md

title, date, type, execution, artifact_contract, product_contract_source

title	date	type	execution	artifact_contract	product_contract_source
RDM 功能、实现与计划矩阵及追溯审计和权限闭环整改方案	2026-10-12	fix	code	ce-unified-plan/v1	legacy-requirements

RDM 功能、实现与计划矩阵及整改方案 r1

负责人：weichen；编制：Codex；核对日期：2026-10-12（北京时间）。 本稿供人工评审，尚未批准实施。此次仅研究、读取运行元数据与保存报告；未实施业务代码、操作业务数据库、执行测试、部署或重启。

保存说明：Dev 首次启动检查因 Backend 的 index.lock 返回 SHARED_WORKSPACE_BUSY。按 AGENTS.md 任务启动门禁，不创建项目 worktree、不写共享检出；报告暂存为独立交付文件。入仓时由项目 owner 排除共享写入冲突后，在登记任务 worktree 保存到 Documents proposals，并更新 INDEX/PROJECT 的入口。此次没有修改这些入口。

发布补记（2026-10-12 入仓时）

本稿冻结观察之后的运行时变化（独立于上文，不回改冻结记录）：

• dev 槽位部署时序（北京时间）：14:54 rdm@310c3fe → 15:50 回滚普通基座 dev@4bf6e4a（根页此时已 200 服务 React 资产）→ 16:37 刷新为 dev@0d224ff（权威 main 组合，backend=5e8ada7 / frontend=cc233fe，plugins 目录无 RDM 插件）。「根页 404 与缺少嵌入产物一致」的判断已被 main 组合现状超越；RDM 组合产物与门控验收仍开放（U1/PR #450 线）。
• 本稿 U2 执行端问题表第 1-5 行与第 7 行前半已按本方案在 Agent-System-RDM 合入（PR #251/#254/#256/#258，红测先行，CI 绿）；第 6 行归 U4、第 7 行后半归 U5、第 8 行待私域语义设计。行号引用基于冻结源码 1ee2b300，合入后有所漂移。

Goal Capsule

使创建者能在实际使用的 dev 服务中管理项目成员与文档职责，使管理员能创建专业角色并配置权限，使编制、审核、批准人员完成同一份文档的审签，并能从实际页面追溯来源、操作与历史。

复用现有 RDM 项目、成员、权限、两树一网与审签组件，先修组合产物及执行端缺口，再接现有项目设置、系统管理与文档工作区，最后按真实账号验收。完整目标仍覆盖全部 34 UR、68 SR、10 F，不以本次五个问题修好替代全系统交付。

本稿终点为可评审矩阵和方案。实施、真实账号测试、数据迁移、部署及正式验收各在对应授权后进行。当前用户请求未授权这些动作。

Product Contract

来源与权威

1. 本轮用户报错及补充：访问 localhost:8788，58880 是 FRP 映射，实例为 dev；要求核对全系统，重点追溯审计、三权、项目成员、系统角色、权限矩阵。
2. RDM docs/requirements/README.md:15-32 规定的 V2.2 正文与 U0/Q 裁定；重点 01-用户需求与系统需求.md、03-产品设计方案.md、08-核心数据模型-两树一网.md、10-实施推进方案-基座与下游二次开发.md。
3. RDM 原始用户补充 docs/materials/meeting-sources/user-supplement.txt 和 user-design-ideas.txt；原始内容用于解释需求，不反向覆盖较新裁定。
4. Documents docs/proposals/2026-10-11-rdm-final-target-completion.md、模板子方案、两树一网追溯展示方案；主计划与任务卡存在历史批准记录，页首残留“待评审”不能单独否定批准。本次整改路线仍需评审。
5. RDM docs/records/2026-10-11-requirements-evidence-matrix.md 是逐条维护入口；Documents 副本是旧附件。2026-10-12-final-acceptance-ledger.md:39-53 全量运行验收仍为 NOT_RUN。

UR-21（系统角色权限）、UR-22（项目和成员）、UR-24（文档三权）均为本期 P0 已定需求，不能再解释为尚未决定是否做。管理权不赋予代编、代审、代批权；文档编制唯一、批准唯一、审核至少一人，三种职责互异。项目创建者在平台上限内覆盖项目权限。私聊、原件和个人草稿私有，受控文档按职责或显式授权读取。

核对对象及证据边界

对象	固定版本 / 观察
Dev	8c1edbebece8212ec8c0cd9e646b4b0592b1503d；研究初始为 72f6a679，期间由其他任务更新
Backend / Frontend	5e8ada727c358438f8ff9f94eabb697e99fe28dc / cc233fec908d0f8c12193042942b94ad68508091
Documents / UI	9d9b1523c87dc4ba178d143a8b966a77be9b320b / bfecf8b51f9a0fdbd9a13590cddf8fc06b7ae700
RDM 本地源码	1ee2b300a9c898ef5b9e2febafa6b0f2eb871c15
dev 当前 RDM 部署来源	310c3fe42fec2416b8b1e1e72e00ad2e53b58130；相对 1ee2b300 仅四个 pins 与任务卡变化，本文 RDM 业务行号仍适用
dev 当前进程文件摘要	420654002eb0cdc28ce9d90a8d258f215192dee78ff74195db2b2657b3fe3fff；2026-10-12 15:04:37 核对
服务访问	user 确认 58880→8788；本轮直接 GET 8788 根路径为 404，未登录 GET /api/commands 为 401
对照实例	9015 的命令清单有 enabled 的 inspect 命令；这是另一实例，不能作为 dev 通过依据

15:24:29收尾刷新：Dev主检出由其他任务推进至 0d224ffcab82cab7def2c0b0cc36d2e6d02ce3dd，Documents至 8d0810bd35f4934e0ad37fb96d7bab6d7a732473；RDM业务源码、Backend、Frontend、dev部署来源及进程摘要均与上表一致。8788根页仍404，未登录命令清单仍401。新收据 runtime-refresh-receipt.json 保留该时间点，不覆盖15:04的调查收据；本文RDM需求与业务判断仍以固定1ee2b300为对象。

源码阅读、运行登记、HTTP GET 与本稿审阅均为 SELF；没有复核 GATE/独立 REPLAY，不作业务 PASS 判定。完整命令输出由 make evidence 保存为随附收据，未手工重构。测试文件存在只表示已有测试资产。

追溯审计故障结论

2026-10-12 14:50:06.701 北京时间 的 unknown or disabled command 是命令总线 Resolve 阶段失败（Dev Backend internal/cmdbus/cmdbus.go:252-254），服务将 rejected 映射为 HTTP 400（internal/server/server.go:1012-1014）。该阶段尚未进入 RDM 的项目/审计权限判断；放宽权限不能注册一个不存在的命令。

同一 dev 的部署历史显示：13:38:38 启动 dev@4bf6e4a 普通基座，14:50:48 停止，14:54:49 启动 rdm@310c3fe。用户确认访问这台服务。基座入口仅 import 基座 app；RDM main.go:18-23 才 import plugins/rdm，后者 plugin.go:17-21,173-179 注册命令。因此，故障时正式前端暴露了研发审计入口，而同实例运行普通基座、没有 RDM 命令，有部署历史和组合根源码支撑。

此后其他任务已切换部署，不意味着审计运行验收完成：当前 8788 根页 404，命令清单需有效登录才能核对。本轮未借用账号、创建凭证或发送会写审计回执的业务 POST，未重现当前登录态下 capabilities 调用；历史故障定位与当前修复验收分开记录。

现有 Frontend 已增加七命令门控及人话错误，见 src/workspaces.ts:22-36、src/store.ts:794-801、src/rdmErrors.ts:16-24。仍有三项接线缺口：

• RDM Makefile:39-40 只 Go build；Dev scripts/svc.sh:1446-1464,1594-1600 对 RDM 也只构建 Go 并复制独立 web/。更新 frontend pin 没有构建及嵌入 React dist；Backend web/embed.go 要求构建前具备 dist。当前根页 404 与缺少嵌入产物一致。
• AdminZone.tsx:37,67-71 的声明管理分区没有消费七命令门控；插件注册失败允许保留部分能力（Backend internal/app/compiled.go:198-202），所以“插件列表有 rdm”仍不足以证明审计页可用。
• 错误分类把 403 和 401 都解释成登录失效；实际已登录但无权限时应展示权限拒绝。原始 receipt.reason 要保留。

密码字段未处于 form 的浏览器提示是独立问题，不会造成命令注册失败。React 主动改密、登录及强制改密已有 form 修复；RDM 独立 web 的令牌 password 仍位于普通 div。修复有源码记录，当前浏览器验证 NOT_RUN。

Requirements：本次整改验收要求

ID	用户可见行为	原需求映射	判据
R1	同一正式入口加载匹配的研发前端与 RDM 后端	UR-08/25，SR-D1/D6/G3/G5	登录后七命令齐备并可查询有数据项目；无 RDM 时不出现可进入后即 400 的页面
R2	创建者在项目设置添加、移除、调整成员	UR-22，SR-G9/G10	选择有效系统账号，加入后同 projectId 可见；最后负责人保护；撤权立即影响现有访问
R3	管理员创建/停用专业角色、分配账号并设默认和上限	UR-21，SR-G6/G7/G8	自定义角色持久化；重启保留；项目设置不得扩大系统上限
R4	系统和项目矩阵解释实际允许/拒绝	UR-17/21，SR-G2/G6/G7/G8	同一动作矩阵结果与 API/命令/工具/后台执行一致，能显示默认、上限、覆盖与原因
R5	创建者按文档分配编制、审核、批准	UR-24，SR-C7/G9	有效项目成员、三种职责互异；资格不足明确说明；无职责任务保持可见等待
R6	三个人完成固定整文版本审签	UR-24/25，SR-C3/C7/C8/D6/G3/G5	非编制不可改正文；审核可批注/驳回；所有审核完成才批准；旧票不能签新正文
R7	图、历史、导出及文档读取符合当前授权	UR-08/23/25/33，SR-D/G/N4	合法职责人员能读自己的文档；跨项目/私域不可见；审批与导出是同一固定快照
R8	界面、对话、工具、卡片访问同一对象与执行服务	UR-10/16/27/28，SR-E/F，F-06	右栏关闭仍可完成支持的动作；模型不能伪造身份或自动签字；撤权及迟到结果不旁路

功能、实现、缺口与计划矩阵

“已有”仅描述固定源码中的能力；“UI 缺口”指正式用户路径未闭合。除特别列出的只读观察，全表运行验收 NOT_RUN。U 编号均带方案名称，避免“追溯展示 U3”和“完整目标 U3”混用。

功能域及需求	当前已有实现	UI/对话与执行缺口	后续工作与现有计划归属
项目身份/成员：UR-22；G9/G10	全局研发项目、生命周期、成员持久表、成员可见同项目目录；局部 #203	项目设置无成员页；有效账号目录及可信宿主映射未闭合；新旧成员守卫不同；建项与owner写入非原子	本稿 U3/U6；完整目标 U2
角色/权限：UR-21/17；G2/G6-G8	12 动作、全局 cap、项目成员 override；cap∩默认/覆盖	角色固定 admin/owner/member；没有专业角色CRUD或完整矩阵；多个业务入口绕过 cap	本稿 U2/U4/U6；完整目标 U3
三权/版本：UR-24/25；C3/C6-C8	文档职责默认及章节覆盖 #205；章节审签；持久提案、整文内容快照 #217	没有分配页；schema 与可信身份互斥；审签仍按章节；非编制写入、审核驳回、整文批准快照未闭合	本稿 U2/U5/U6/U7；完整目标 U3/U8，模板子案 U3-U5
资料接收/解析：UR-01-04/18；A1-A5/B1-B7	原件、三态相关性、MD/TXT/DOCX、快慢处理；台账私域 #209；锚点 #211	PDF/表格/PPT/图片未完整接线；三个附件无文字实测、60秒反馈及10分钟级管道没有实际签收	完整目标 U5/U9/U14；在本稿 U8 衔接
结论/冲突：UR-07/26/34；B8/B9/B11/B12	提议确认、词面冲突、指定冲突对关闭与水位修复 #215	完整候选组、文档依据/项目结论两层裁决、来源变更影响与通知闭环未充分完成	完整目标 U6；本稿 U8 衔接
模板/全文档：UR-05/15；C1/C2	69 类型 catalog #207；正文 registry 仍4模板、3文档类型	目录登记不是全部模板；结构/格式/发布版及XLSX、全量生成审签导出未验收	完整目标 U7→U8→U16；本稿 U8 衔接
对话生成：UR-10/11/12/16；E1-E6/F1-F5	模型 compose、持久提案、原子采纳、整文内容快照 #217/#219	全动作自然语言及工具投影缺失；依据完整性、差异采纳与真实模型/用户链待验证	本稿 U7；完整目标 U8/U9
私域/项目协作：UR-23；G11-G13/N4	基座owner会话隔离；上传及确认资源约束 #209	同项目草稿/原件/受控文档全读面、Host检索、明确只读分享与撤权需贯通	本稿 U2/U4/U5；完整目标 U3/U5/U9
追溯/审计/历史：UR-08/25；D1/D5/D6/G3/G5	两树、一般网/合规网、原子事件、inspect和导出；追溯展示 #195/#197/#201/#213	用户dev曾未组合RDM；新产物无React根页；Host审计覆盖仍缺；四链/完整矩阵实际展示未全部接线	本稿 U1/U7/U8；完整目标 U4/U11/U14、F-09
需求/风险/合规：UR-09/33；D2/D7-D11	控制节点/候选边/确认 #231、req→graph #233、UR→SR及需求快照 #235	真实风险→措施→验证及SOUP、六维分解、四链业务录入、专家校准及真实交付尚待验证	完整目标 U11/U14；本稿 U8 衔接
法规双通道：UR-13/14；F3	#236已实际HTTP抓取候选、摘录核对、快照；“只模型URL”旧结论过期	真实权威素材、失败/冲突/版本场景及首批模板法规闭环仍未签收	完整目标 U12；本稿 U8 衔接
快慢任务/卡片：UR-27/28/29/30；B10/E/F	卡片/小队；slow保存原文且可重新入队 #219	slow台账未保存project/owner，恢复入队传空项目；取消/恢复/重新授权、同源卡片与模型结果需闭合	本稿 U7/U8；完整目标 U9/U13
阶段/结项：UR-06/17；C5/G2	阶段序列、三级门禁、close/只读 #226	主要检查章节无版本/正文“待确认”；阶段适用文档、批准快照、验证过期、N/A和旧确认缺失	完整目标 U10；本稿 U8 衔接
团队存储/执行/运维：G16/N1-N5	PG方言 #224、迁移 #242、sandbox #244、备份发布/长驻工具 #248；Dev存储组合#446于收尾已合入	dev实际使用档位未核；RDM多实例租约/恢复、容量、故障/回滚验收未签收；复用Dev已交付存储能力	完整目标 U13/U14；衔接存储/恢复总案
自举/完整交付：UR-19；G4	U14台账骨架 #246	R1-R15与九层验证仍NOT_RUN，不能由局部merge宣称“系统完成”	本稿 U8；完整目标 U14
飞书/变更/遗留扩展：UR-20/31/32；G1/G14/G15/D4/F-01-F-10	目标和依赖有记录	飞书、完整变更引擎、细粒度分享、权重、代码集成、遗留决策、难度机制仍后续；后移不等于取消	完整目标 U15；F-06→U9/U14，F-09→U11/U14，F-10待用户标准模板

覆盖口径：SR 分组 A5/B12/C8/D11/E6/F5/G16/N5，共68；UR34、F10的逐条定位见附录。项目能力、实际UI、工具路径、部署与验收应各列证据，避免一个“完成”字段盖住五种状态。

已静态确认的执行端问题

问题	固定源码定位	必要修正
审签接口无可成功参数组合	RDM plugin.go:500-501,509-510,518-519 强制 reviewer/actor/approver；:1461-1462,1488-1489,1515-1516 拒绝这些字段；Backend cmdbus.go:384-402 检查required	schema删除身份输入，只认认证actor，项目/固定提交对象必需；补真实总线和HTTP测试
新旧成员命令绕过不同约束	RDM projects_api.go:317-380 新路径不查member.manage上限；plugin.go:2212-2245 旧路径直接Remove；members.go:54-59 UPSERT可降级最后owner	所有入口共用服务，原子保持最后owner、归档状态、账号有效性与上限
配置的建项权限未作用于创建	RDM plugin.go:2041-2054 仅检Actor非空，ActProjectCreate没有接入	按专业角色有效权限判建项，不能一律管理员限定或一律认证即可
doc.write不等于编制职责	RDM plugin.go:2510-2536,2581-2588 仅通用写动作；doctree.go:152-168 仅状态守卫	所有生成/编辑/采纳/改来源写入口再查本文档编制职责
阶段只读约束未接业务读面	RDM perms_api.go:80-100 AuthorizeDocRead生产路径未消费	列表、详情、搜索、导出、Host及恢复统一资源授权
角色/上限模型维度不足	RDM perms.go:42-55,70-94,310-324 固定默认，cap主键仅action	持久专业role的默认/上限，解释有效权限，不只在UI加checkbox
审核人不能驳回，职责可换人继承旧审核	RDM review.go:243-245,276-279 读当前职责，ReviewCard未冻完整职责；:111-119,141-149 可覆盖职责	冻结整文提交的职责/策略版本；改职责使受影响审核失效；审核人可驳回，编制撤回独立
草稿列表未按个人/文档资格过滤	RDM draftproposal.go:135-150 无actor；plugin.go:2567-2578 仅doc.read	私人提案按owner；受控文档按职责/明确授权；分页/计数同样过滤

上述为源码确定或静态路径推导，没有在真实账号下重跑。现有 plugins/rdm/three_sig_test.go:18-25,73-75 构造Actor并直接调handler，未走登录和总线。函数名“RealAccounts”不能提升为真实账号验收。

Planning Contract

KTD1. 组合产物与正式入口

推荐 RDM 产品用固定 pins 的 React 前端与 RDM Go 组合二进制形成正式产物，复用 Backend embed 的公开构建机制。RDM构建必须构建frontend→装入backend/web/dist→Go编译；不能只升级gitlink。构建在独立物化目录完成：从固定pins复制/物化基座组件，以Frontend既有frontend/ui邻接布局构建，将dist写入该目录中的Backend，再由隔离构建映射消费；RDM仓的pins检出保持只读，不把产物或源码修补写进pins。发布清单记录 RDM/backend/frontend/ui SHA、dist摘要、二进制摘要和能力契约版本。构建/安装阶段拒绝声明“完整Web产品”但缺index/bundle的产物。

独立 RDM:web/ 留作历史诊断入口，退出正式产品唯一流程，迁移前明确旧链接兼容和私有访问策略。若用户选择独立静态React+API部署，则同样固定双产物清单、同源反代与认证；这是部署形态备选，不能复用旧斜杠工作台宣称正式管理界面已完成。

KTD2. 一套执行端授权及项目身份

账号、认证、平台管理员和通用资源执行边界由基座维护；研发项目/成员、专业角色、领域动作、职责与文档状态由 RDM 维护。公开扩展不足时沿 RDM 的四要素扩展申请，禁止导入基座internal或修改pins源码。

新旧命令、UI、工具、后台恢复都调用同一 RDM 应用服务。平台账号目录只提供授权管理所需的最小公开身份/有效状态与分页，不提供私聊/原件；AdminProvider.IsAdmin 已有，不能再当缺失能力重建。创建者、当前owner、RDM域管理员、平台管理员各保留来源，审计能力不自动升级成绑定/成员写权。RDM项目创建与初始负责人必须同事务；Host映射检查双方资格并可恢复重试，不能以复制个人项目解决共享身份。

现有公开EXT-8仅接主体和projectId，HTTP自有工件命中不咨询回调，共享列表按整项目放行；因此本稿U9先提供通用资源级公开授权契约及消费接线。可信资源类型/ID、资源属主、项目和动作由执行端解析，RDM只作领域判定；注册新策略后，域内自有/共享读取、列表、检索、Host及下载均执行同一判定，不能仅在RDM命令handler加守卫。未注册的普通基座保持既有行为；RDM受控产品若缺必要契约，禁止启用扩大共享读取的旧回退。衔接已有协作存储KTD13动作授权，复用当前内部项目动作槽，补资源维度及公开注册，而非再造平行授权器。

读路径不修复业务数据。授权检查覆盖每个请求与资源，未知身份/关键能力默认拒绝；这与现有规范及 OWASP Authorization Cheat Sheet 一致。本文更细的项目和职责规则来自已批准需求。

KTD3. 专业角色与矩阵

区分四个对象：平台管理身份、项目管理关系、专业角色、文档职责。用户界面的 ADMIN/USER、成员表的owner/member以及文档三权不是专业角色CRUD。

专业角色在系统范围建定义，保存稳定roleId、名称、停用状态、版本、动作默认、动作上限及账号关联。owner/member继续表示项目关系，roleId不写入members.role字段。管理员设置每角色上限；负责人只在许可的成员/项目范围覆盖。首版每账号一个生效专业角色，避免未经确认采用多角色叠加；未来多角色规则另行评审。

有效权限在服务端计算：平台硬禁止 ∩ 角色上限 ∩（项目显式覆盖或角色默认）∩ 资源关系/阶段/状态/职责。文档签字资格还要求当前有效成员、已分配职责、互异历史、固定提交轮次；指派职责本身不解除上限。矩阵显示最终结果和第一拒绝原因，UI不重新计算。

旧cap转换为同等限制，固定默认映射到兼容内置角色，旧override不被扩大。变更前干跑列出有效权限差异；同级迁移不得扩大有效权限。新角色或权限新授予由有权管理员明确执行。新增schema迁移需向前迁移及恢复方案，不能把旧二进制直接启动在不兼容新库上。

KTD4. 整文三权与历史保全

一份受控文档对应一组编制/审核/批准。项目设置提供文档清单与批量分配入口；项目默认职责规则如需提供，须单独定义生效/覆盖语义，不能悄悄把成员的通用角色当所有文档职责。章节可分配贡献工作，正式整文签字不采用章节覆盖改变整文责任。

整文提交冻结：文档ID、有序章节集合及版本、整文内容、模板版本、依据快照、编制/全体审核/批准人、职责版本、策略版本、提交轮次和完整内容摘要。现有整文内容快照可复用，需补这些治理字段并绑定审批、历史和导出。未知事件版本或不可还原必须报错。

签字取可信actor，HTTP不能传reviewer/approver替代主体。智能体可以准备正文、修改提案、批注建议和待提交操作；人的审核/批准须由该人的认证会话确认，模型无自动签字权。审核人可批注/通过/驳回但不改正文；编制撤回单列。职责变更、撤成员、改正文/依据/模板使受影响待审结果失效，不能换职责让原作者自审同一提交。已批准历史保留，下一正式版本重新审签。

旧章节审签作为历史证据保全，不聚合成“整文已批准”；迁移时对活动轮次作显式处理，首个整文版本重新签署。没有明确规则时暂停有关旧轮次，不静默迁移票据。

KTD5. 现有界面与对话接线

沿三栏：左侧项目/会话，中间对话，右侧工作/文件。系统管理新增“角色”“权限”；现有项目设置新增“成员”“项目权限”“文档职责”；文档预览/工作卡提供“编制、审核、批准”状态及动作。审计仍用四入口并补受控链/矩阵；不新增独立控制台或第二预览。

项目设置读取 canManageMembers/canConfigurePermissions/canAssignDuties 等实际能力，普通成员可读自身资格但不可管理。系统角色、账号全局专业角色关联和全局上限由平台有权管理员配置；项目成员页显示该关联并管理项目成员关系，不授予创建者修改账号全局专业角色的权限。RDM域管理员的业务管理范围保留，是否可改平台上限不从审计兜底权限推断。矩阵分“角色×动作”和“项目成员×动作”，职责清单则“文档×编制/审核/批准”，避免一个表混淆三种对象。

所有页面共享单一能力状态所有者；七命令门控同时约束工作区、声明管理分区和已挂载页面。退出登录、切项目、能力撤销应作废旧结果。请求generation/seq处理快速对象切换与历史查询；计数缺失显示“未提供”，失败不显示空数据。401/403、能力缺失、参数/状态冲突、服务失败分别呈现并保留原receipt。

对话和工具投影使用原子领域动作、真实project上下文及typed CommandResult；高危命令带conversationId和确认卡上下文。自然语言解析出的用户/项目名称仅作查找候选，最终使用稳定ID并校验。不把手写斜杠或登记handler当自然语言能力已就位。

High-Level Technical Design

flowchart LR
  UI[系统管理 / 项目设置 / 文档工作区] --> C[同源命令与确认回道]
  Chat[对话 / 工具 / 工作卡] --> C
  C --> I[基座可信身份与当前项目]
  I --> A[RDM统一动作与资源授权]
  A --> P[项目 / 成员 / 专业角色策略]
  A --> D[文档职责 / 整文提交 / 审签]
  D --> E[原子事件 / 正式快照]
  P --> E
  E --> R[审计 / 历史 / 合规 / 导出读面]
  R --> A

stateDiagram-v2
  [*] --> 等待分配
  等待分配 --> 编制中: 指派有效三权
  编制中 --> 审核中: 编制人提交整文快照
  审核中 --> 待批准: 所有审核人通过
  审核中 --> 编制中: 驳回 / 撤回 / 快照失效
  待批准 --> 编制中: 驳回 / 撤回 / 快照失效
  待批准 --> 已批准: 指定批准人确认
  已批准 --> 编制中: 新内部修订

sequenceDiagram
  actor Creator as 创建者
  actor Writer as 编制人
  actor Reviewer as 审核人
  actor Approver as 批准人
  participant Service as 统一文档服务
  Creator->>Service: 分配有效成员及职责
  Writer->>Service: 提交固定整文 / 版本 / 职责 / 策略
  Reviewer->>Service: 认证身份审核同一提交轮次
  Service->>Service: 校验全部审核及当前授权
  Approver->>Service: 认证身份批准该提交
  Service-->>Writer: 正式版本与固定快照导出

Implementation Units

本稿U1-U9为整改任务包，按依赖安排；不同于既有方案U号。U9为审阅补入的公开契约前置，编号不重排。责任角色为后续立项时指定的Dev组合owner、RDM实施者、Frontend实施者和独立审阅者。本轮不代指具体执行人。工作量是待排期的估计区间，不是工期承诺，项目数据量/迁移规模核定后更新。

本稿工作包	依赖	优先级	交付内容	粗估工作量	对应完整目标总案
U1	无	P0	正式产物/根页/审计入口与实例证据	2-4人日	U4/U11/U14及追溯展示补闭环
U9	无；与U1并行	P0	公开资源/账号/宿主资格契约及基座消费接线	4-7人日	X1/X2、U2/U3及存储KTD13
U2	U9发版与RDM升pins；schema局部修正可提前	P0	schema、统一执行端与私域安全收口	3-5人日	U2/U3/U8
U3	U2；账号目录扩展	P0	项目成员/唯一身份/有效账号闭环	3-5人日	U2
U4	U2/U3	P0	专业角色与解释矩阵	4-7人日	U3
U5	U2/U3/U4	P0	整文三权与批准快照	6-10人日	U3/U8
U6	U3/U4；职责页依赖U5	P0	系统/项目管理页面	4-6人日，可与服务契约后并行	U2/U3/U8
U7	U5/U6	P0	对话/卡片、审计完善、真实用户闭环	4-7人日	U8/U9/U11/U14
U8	对应已有基础及U7	P1并保持既定需求优先级	全系统余量、模板/法规/阶段/团队验收	各子任务另估	U5-U16

U1. 固定产品组合并恢复审计正式入口

Requirements： R1/R7；责任： Dev组合owner＋RDM构建owner。Files： RDM Makefile、scripts/pack-release.sh；Dev scripts/svc.sh、modules/backend/web/embed.go（复用机制）、Frontend src/store.ts、src/workspaces.ts、src/components/AdminZone.tsx、src/components/RdmAuditWorkspace.tsx、src/rdmErrors.ts。

Approach： 先基于现有实例历史保留故障证据，固定RDM+四pins+实际bundle+二进制和数据绑定。补 pinned React embed构建与产物完整检查；统一全部入口能力门控、可见失败和错误分类。插件必要注册失败不能静默声明完整产品可用，可让启动拒绝或标为不可用，但不可留下可点击的半套管理面。正式环境切换需批准，备份和恢复与已有svc方案衔接。

Tests： 扩展 Frontend test/workspaces.test.ts、test/rdm-errors.test.ts、e2e/plain-base.playwright.ts、e2e/rdm-audit.playwright.ts；Backend internal/app/compiled_list_test.go、internal/server/compiled_list_test.go；新增RDM scripts/rdm-product-smoke.sh（拟建），验证实际产物而非Vite预览。

• 基座无RDM、只注册部分、命令disabled、声明分区残留：均不自动发失败审计请求；已开页面能转不可用态。
• 构建后真实根页200及JS/CSS匹配固定frontend SHA；缺dist拒绝作为完整Web安装；清洁重构建不能借旧dist成功。
• 有效登录后dev命令清单及capabilities成功；创建者/域管理员/纯平台管理员分别查询各自可审计范围；外部账号拒绝。
• 403权限拒绝与401过期文案不同；query失败保留reason；密码form警告独立回归。

完成条件： 实际8788及FRP入口能加载同一批准产物并查询有数据项目；没有以9015对照或health代替。工作树和CI的验证身份仍按SELF/GATE/REPLAY区分。

U2. 修复命令契约并统一授权服务

Requirements： R2/R4/R6/R7/R8；依赖： U9的公开契约、基座发布和RDM升pins，schema修正可先独立交付。责任： RDM实施者，公开扩展由Dev责任人承接。Files： RDM plugins/rdm/plugin.go、internal/rdmapp/perms_api.go、projects_api.go、draft.go、draftproposal.go、internal/domain/doctree.go、review.go；Dev公开契约与执行端消费者按U9先交付。

Approach： 先写真实注册总线/HTTP用例捕获schema身份矛盾，删除客户端签字身份字段。梳理全部命令、工具、上传、下载、Host和恢复路径；新旧成员命令兼容别名调用同一服务。统一动作+资源+状态守卫，归档/结项禁止新业务写；草稿列表及聚合计数按可见性过滤。合法用户职责可读文档，不错误要求全项目审计权。

Tests： RDM plugins/rdm/three_sig_test.go、internal/rdmapp/perms_test.go、resource_authz_test.go；新增 plugins/rdm/command_bus_contract_test.go（拟建，消费公开extension启动/注册路径，不导入Backend internal）。

• 不提供身份字段的合法approve/reject/final能通过schema；伪造字段、空project、错对象所属项目拒绝。
• 各别名在禁member.manage、归档、最后owner更新/移除时结果一致；并发变动不移除最后owner。
• reviewer/approver/普通成员/管理员无编制职责时各内容写入口拒绝；指定编制且动作上限允许时可写。
• 禁阶段、私有草稿/原件、撤权后的旧卡/任务/下载均拒绝；过滤后的分页/计数不泄漏。

完成条件： 建立入口×动作×身份×资源矩阵，直接handler单测之外有真实总线/HTTP正负例。

U3. 项目成员与可信账号目录

Requirements： R2/R5；依赖： U2。Files： RDM internal/members/members.go、internal/rdmapp/projects_api.go、plugins/rdm/plugin.go；Dev公开身份/账号目录扩展申请与相应Host实现；Frontend src/api.ts。

Approach： 研发项目和初始owner原子写，Host一对一映射双方授权核对。有权管理者分页查找最小有效账号，添加/调整/移除均按权限及生命周期；创建者事实保持不可改，owner变动不伪造创建者。幂等请求记录稳定operationId及策略版本，成功后加入账号看到同一项目并新建私有会话。

Tests： RDM internal/members/members_test.go、internal/rdmapp/sysproj_test.go；基座账号/Host扩展新增契约测试（路径立项时固定）。

• 非有效账号/停用账号不能加；非管理者查不到全系统用户目录；搜索和分页只返回必要字段。
• 双用户同名建项、owner写失败、Host绑定失败/恢复、绑定他人宿主项目均不留下可用的错误项目。
• 最后owner改为member、旧命令强制member、并发移除均守不变量。
• 加入→同ID可见→私有对话；移除→现有会话/模型读取/导出立即受限，历史操作保留。

完成条件： 真账号项目生命周期闭环，身份目录、领域项目与宿主映射有固定公开契约。

U4. 专业角色与可解释权限矩阵

Requirements： R3/R4；依赖： U2/U3。Files： RDM internal/perms/perms.go、internal/rdmapp/perms_api.go、plugins/rdm/plugin.go；拟新增 internal/perms/roles.go、角色/关联迁移及解释DTO。Frontend渲染由U6承接。

Approach： 按KTD3建持久专业角色、版本及账号关联；角色CRUD、默认/上限更新、项目覆盖、解释读面都调用统一evaluator。平台管理员信任来源经Host，不接受param.isAdmin。矩阵查询按管理范围过滤，返回动作目录、默认、上限、覆盖、有效值及来源/拒绝原因，资格变化使旧许可立即失效。

Tests： 扩展RDM internal/rdmapp/perms_test.go；拟新增 internal/perms/roles_test.go、plugins/rdm/roles_contract_test.go。

• 创建自定义角色、关联账号、修改/停用/重启，结果持久且内置系统身份不可经角色CRUD伪造。
• default允许+cap禁止+override允许仍拒绝；撤上限后旧override即时失效；负责人不能改全局角色上限。
• 矩阵解释与实际业务调用逐动作一致，doc.read与audit.read、assign与approve不混用。
• 旧数据迁移干跑和故障回滚、停用角色仍有引用的处理、同版本并发编辑冲突可见。

完成条件： 角色能实际创建并影响执行，不是仅显示固定三个标签；矩阵不靠浏览器推算。

U5. 固定整文三权与正式版本

Requirements： R5/R6/R7；依赖： U2/U3/U4。Files： RDM internal/domain/review.go、doctree.go、eventlog.go、replay.go、internal/rdmapp/draftproposal.go、review应用服务、docx.go、plugins/rdm/plugin.go；拟新增整文submission及annotations实体/迁移。

Approach： 复用持久提案与整文快照，补KTD4冻结字段、轮次、事件与审批状态。提交/批注/通过/驳回/撤回/批准共用固定提交对象，数据与事件同事务。无职责等待可见；分配时查当前账号、项目、动作资格和互异。批准读/导出固定快照，不从current章节拼装。

Tests： internal/domain/review_test.go、internal/rdmapp/docduties_test.go、plugins/rdm/three_sig_test.go、现有提案/重放/导出测试；拟新增 internal/domain/document_submission_test.go。

• 至少三份独立账号：作者提交、多审核缺一拒批、审核驳回、批准批注及批准；作者/管理者代审拒绝。
• 改正文/依据/模板/职责、撤成员、换批准人使受影响旧票失效；换名字/职责不能洗掉原作者历史。
• 章节贡献分配不改变整文签字人；旧章节PASS不聚合为整文PASS；旧活动轮次迁移有显式结果。
• 旧卡签新版本、并发审签、重复提交、事件写失败、重启恢复、未知schema及历史水位查询均有可判定结果。
• 正式DOCX及合规导出与批准正文/模板/来源/职责摘要一致，新内部修订保留旧正式版。

完成条件： 整文状态机及三个真实身份完整签署，管理权和签字权分离，全部写入入口遵守编制职责。

U6. 补齐系统管理与创建者项目设置

Requirements： R2-R6；依赖： U3/U4；文档职责依赖U5。Files： Frontend src/components/AdminZone.tsx、adminSections.tsx、ProjectSettingsModal.tsx、TaskSidebar.tsx、src/api.ts、src/store.ts；复用UI src/SettingsShell.tsx；拟新增RdmRolesSection/RdmPermissionMatrix/RdmMembersSection/RdmDutiesSection组件。

Approach： 使用现有入口和SettingsShell。角色表支持创建/修改/停用；系统矩阵支持默认/上限解释；项目成员页支持账号选择及角色关联；项目矩阵只允许上限内override；文档职责页列文档状态、编制/审核/批准与资格不足原因。未分配不伪装有流程。异步对象单一所有者；全部样式和折叠按DESIGN令牌/原语。

Tests： 扩展Frontend test/workspaces.test.ts及相关组件测试；拟新增 test/rdm-management.test.tsx、e2e/rdm-management.playwright.ts；执行Frontend/UI design-guard与必要构建。

• 纯创建者而非管理员能看到并完成项目管理；普通成员不可配置；平台角色管理入口与领域项目管理按实际能力展示。
• 角色创建→系统矩阵→成员添加→项目覆盖→职责分配，刷新/重启保留且readback来自服务端。
• 同名账号、停用账号、空清单、服务器拒绝、409并发、断网未知结果时有明确状态，不乐观写成成功。
• 禁止上限勾选不能通过手造请求保存；所有异步取消/切项目/撤权状态一致；键盘、对比度及主题可用。

完成条件： 用户指出的四项缺失功能均在既有入口可操作，服务端同一规则强制执行。

U7. 对话、审签工作卡与审计读面

Requirements： R1/R6/R7/R8；依赖： U5/U6。Files： RDM plugins/rdm/plugin.go、意图/工具声明、internal/rdmapp/inspection.go、卡片/任务接线；Frontend src/api.ts、src/components/RdmAuditWorkspace.tsx、工作卡组件。

Approach： 将已有原子命令公开为合法工具/意图，带真实当前项目和确认上下文；读状态和写动作同对象。模型只准备签字，用户认证确认执行。审计页补完整分页、另一端关系判定、不可还原/未提供状态、generation处理。Host审计覆盖和领域事件区分，补真实四链/矩阵、导出进度与下载，而不声称当前四页签已覆盖全部合规展示。

Tests： Frontend e2e/rdm-audit.playwright.ts及管理e2e；RDM plugins/rdm/intents_test.go、internal/rdmapp/u3_inspection_test.go、导出/任务测试；新增真实对话与审核/批准卡回道用例。

• 按钮和对话完成同一成员/职责对象，返回同operationId归因；工具传Actor、伪造project或旧卡均拒绝。
• 右栏关闭仍可读取状态并完成允许的用户确认；真实审核与批准始终属于相应人的认证会话。
• 快速对象A→B、项目切换、不同历史seq并发、撤权事件与迟到响应，不显示旧对象或旧权限正文。
• 数据多于首屏能分页，读失败与空数据分开，缺count非零；关联另一端正确；事件水位与正式快照一致。
• dev+FRP真实入口完成角色→成员→职责→整文审签→追溯→固定导出，账号不能全都兼管理员。

完成条件： 用户可见完整首批业务链和负例有真实账号、浏览器、固定制品证据；局部单测不是替代。

U8. 回填全系统矩阵并推进剩余能力

Requirements： 全部原UR/SR/F；依赖： 按完整目标总案，不新增平行编号权威。Files： RDM docs/records/2026-10-11-requirements-evidence-matrix.md、2026-10-12-final-acceptance-ledger.md、docs/requirements/10-实施推进方案-基座与下游二次开发.md；Documents完整目标/模板/追溯/存储/恢复方案入口。

Approach： 保存旧快照和真实收据，新增当前SHA实现/剩余/部署/验收列。优先以下切片，逐包立项和评审：

1. 完整目标U9：slow持久project/owner/输入版本与授权恢复；取消、状态读取和卡片同源，先补恢复可信项目断点。
2. U5/U6/U12：完整格式解析与锚点、发布补偿、共享检索、两层结论裁决；复用#236真实抓取，真实法规双通道为竞品模板前置。
3. U7/U8/U16：首批建议书/竞品分析真实闭环后扩展所有69模板及报价XLSX，逐类登记模板内容/格式版本与验收。catalog不能结项。
4. U11/U10：真实需求/风险/措施/验证生产与四链，阶段适用文档/批准/合规/过期门禁，固定对象推进及结项。
5. U13/U14：复用Dev存储/恢复在途任务，领域PG/多实例租约与故障恢复、容量、迁移及发布包，最终九层验证和用户上线签收。
6. U15：F-01到F-10保留owner/依赖/状态；F-06/F-09已纳入当前链，F-10待用户标准模板，不隐式取消后续目标。

Tests： 延用各总案列出的直接测试，并落实 make test/make build、发布制品实测、需求到收据映射。每个子任务立项时冻结样本、数据档位、具体命令和验收环境；上述远期任务不以本稿粗粒度条目直接启动未授权实验。

完成条件： 112条都有当前对象与证据状态、责任包；已合入局部能力不会重复重建，旧过期缺口不继续冒充现状。所有最终需求仅在真实证据或用户明确取消/替代裁定后闭合。

U9. 先交付通用公开授权和身份契约

Requirements： R2/R4/R5/R7/R8；依赖： 无，可与U1并行。责任： Dev Backend公开扩展owner；RDM提出/验收契约。Files： Dev Backend pkg/extension/extension.go、pkg/extension/host.go、internal/app/compiled.go、hostcaps.go、internal/server/server.go、internal/store/content.go及相应资源/共享检索授权测试；Documents沿既有扩展申请主记录补四要素。RDM消费发布tag并更新pins，不在pins内改代码。

Approach： 契约输入包括认证主体、动作、资源类型/ID、真实资源属主和项目，字段从受信存储/执行上下文生成，不能接受body自报资源归属。资源策略安装后对RDM域内所有访问权威，包括owner自有命中和共享读取；列表/统计/检索候选逐项过滤，SSE/下载/模型上下文注入在当前权限下重验。角色/职责/原件可见性仍由RDM判定，基座不硬编码RDM状态机。兼容使用可选注册能力与版本声明，旧普通基座行为保持；RDM缺该必需能力时停止共享启用而非整项目回退。

同包冻结最小账号目录及宿主项目资格读面：授权项目管理者只获得可选账号的稳定身份/有效态，不获得完整系统用户管理权限；Host项目查验包含存在性、当前主体管理/绑定资格和实例域。复用已存在AdminProvider、项目共享/会话公开扩展，只补缺少字段与检查。

交付顺序为扩展申请评审→基座实现与提供者/消费者契约验证→基座发版→RDM升pins/公开能力检查→U2/U3消费；发版按仓库人工双钥匙，由用户执行。本轮不创建发布或迁移。下游只使用公开符号，真实命令总线测试走公开启动/注册与HTTP，不跨internal边界。

Tests： 扩展Backend internal/server/resource_authz_test.go、internal/app/compiled_authz_test.go及Host/检索测试；RDM新增公开契约消费测试，衔接U2真实HTTP负例。

• 同一项目中A私有原件和B获授权文档，列表/详情/内容/下载/搜索/摘要/模型上下文仅返回获许可对象，私域owner自有命中也不绕过受控文档职责。
• 撤销角色、成员、分享后旧任务及已开流在新输出/使用边界重验；拒绝/错误/未知资源元数据不变成放行，私聊始终owner隔离。
• 假projectId、假资源属主、跨实例宿主ID、绑定他人项目均被执行端解析/资格检查拒绝。
• 未注册时普通基座兼容；RDM旧公开契约缺失时明确拒启受控共享；提供者发版和消费者固定pins组合都有证据。

完成条件： 不经RDM命令入口的HTTP/Host/检索也遵守同一资源策略，U2/U3可以在不修改基座internal或pins源码的前提下完成私域/项目绑定要求。

Verification Contract

正式启动前处理共享锁的owner现场，在相应项目各自通过precheck、从权威main建立worktree和任务卡；不删除他人锁兜底。文档、源码、迁移、测试、部署各有授权范围。阶段内可迭代，跨阶段按Dev policy/delivery.md 人工评审，用户沉默不是授权。

验证必须包含三层：模块/公开契约；真实注册总线+认证HTTP；固定正式产物+浏览器用户链。命令语义与服务端拒绝优先，不能用直接handler返回或一张页面截图替代。

最小账号集：平台管理员、RDM域管理员、项目创建者/负责人、编制人、审核人（多审核时至少两人）、批准人、普通成员、外部用户。可以在不冲突场景复用账号，但审计兜底和三权签字用例必须拆开；两个独立项目和私有素材，禁止把所有账号均设管理员让负例失效。

层级	计划检查	判定
规范/门禁	启动precheck、验收/审核/合入各task-sync、共享写入owner核对	同步对象和任务范围有收据；本轮共享BUSY不掩盖
RDM	make test；真实cmdbus/HTTP契约；角色/成员/整文事务及回放	选中用例且全部必要正负例有输出，非零用例或SKIP不算PASS
Dev组合	make test+make build，检查精确pins和被测工作树	CI PR HEAD为GATE；本地仅SELF；公开扩展兼容及组合构建均核实
UI	design-guard、相关组件、实际固定产物的管理/审计/三权浏览器流程	有用户动作及可见结果；不能只跑Vite测试而遗漏embed产物
部署	固定dev制品、manifest、数据身份、同源/FRP入口、登录及七命令	新旧时点分开；根页200与有数据查询；启动健康不替代业务验收
持久/故障	并发成员/签字、撤权、断连未知结果、事件失败、重启/备份恢复	无越权或半事务，操作有可对账身份；真实DB档位与恢复对象明确
审核	独立审阅者先重放最小集，再读作者SELF；核对CI身份/链接/SHA	本稿Agent审阅不代替正式REPLAY/GATE、人审和上线签收

完成声明的precheck/task-sync/测试三段输出由evidence写入任务卡；产出物引用任务卡/原收据。本轮仅保存调查与precheck收据，不补写业务测试输出。业务测试、真实模型、迁移、重启、部署、当前登录态审计验收均NOT_RUN。

Definition of Done

本稿交付：矩阵覆盖全部原需求、故障因果链有固定对象/运行历史、五个问题分别定位到已有与缺口、方案有依赖/模块/测试/验收/兼容及停止条件，报告可审阅并保存。没有要求或宣称此轮实施。

首批整改验收：在实际dev及FRP入口，管理员建角色/配置上限，创建者管理成员/覆盖项目权限/分配文档职责，真实三权完成整文审签，审计历史和导出一致；越权/撤权/旧卡/旧版本负例成立。源码、CI、组合、部署、用户验收分别签收。

全系统C1：完整目标U1-U14及U16全部对应证据齐备；C2额外包含U15最终扩展或用户明确裁定，不把后续备案当已实现。新报告只记录当前差距，不修改旧收据或取消需求。

停止条件：权威需求改变；必要公开扩展不兼容；实际制品/数据身份无法确定；迁移权限扩大或旧审签票迁移规则不明；跨出当前批准范围或共享写者未退出。先保存证据/现场，提交受影响设计评审，不以临时放宽权限继续。

待人工评审与下一步

建议优先批准本稿U1：正式产品构建及审计实际入口，U9公开契约并行；U2可先在隔离工作区建立schema失败用例，完整资源授权出口依赖U9发版/升pins。上述首批工作不依赖69模板全量完成。随后U3/U4固定服务契约，U5整文三权与U6页面接线按依赖并行，U7交付用户完整流程。

需评审的新增技术选择：RDM组合二进制嵌入React正式入口；RDM专业角色首版单角色；旧cap/角色映射不扩大权限；整文签字替代章节级正式签字并保全历史。项目级批量职责默认若需要，另定义应用范围与显式覆盖，不把它作为此次分配每文档职责的隐藏前置。

这些是待批准设计，不重问是否实现角色/成员/权限/三权。正式实施负责人、隔离测试环境和部署切换窗口在批准启动时登记。此次独立报告入仓仍待共享门禁解除，未创建提交或PR。

Appendix

随附文件 source-runtime-receipt.json 为make evidence原始调查收据，precheck-receipt.json 为启动拒绝收据；readonly-probe.py 为可复核只读命令脚本。报告审阅记录另保留；同一次作者侧子代理检查仍为SELF。

逐条需求定位与计划索引

以下只携带现有权威矩阵ID、摘要与既有工作包，原文位置相对RDM docs/requirements/01-用户需求与系统需求.md。摘要可能被原矩阵截断，完整语义以原文为准。历史矩阵中的“源码状态”列不复制，当前实现/缺口以本稿功能域表及固定源码为准；每行运行结论均为NOT_RUN。

原ID	权威摘要	既有完整目标工作包	原文行	当前运行验收
SR-A1	系统应支持 doc/docx/pdf/ppt/pptx/xls/xlsx/md/txt/图片等常见格式上传，对不支持格式仅提醒不阻断	U5/U9/U14；G9/G10/G15	437	NOT_RUN
SR-A2	上传不强制附带文字指令；无指令时进入默认"记忆构建"流程（见 SR-B 系列），不输出制式化"未识别需求"回复	U5/U9/U14；G9/G10/G15	438	NOT_RUN
SR-A3	支持单文件、多文件批量上传，并记录来源渠道（Web/飞书/其他）与上传人	U5/U9/U14；G9/G10/G15	439	NOT_RUN
SR-A4	上传后 60 秒内输出第一阶段反馈（相关性结论 + 初步阶段归类）；完整入库允许后台异步完成	U5/U9/U14；G9/G10/G15	440	NOT_RUN
SR-A5	入库完整性保障：解析失败、部分内容不可解析或入库异常时，必须显式告知用户并在入库记录中标记，原始文件永久保留可取回；禁止静默降级或静默产出残缺结果（教训来源：旧版曾发生报价单 Excel 数据丢失、P…	U5/U9/U14；G9/G10/G15	441	NOT_RUN
SR-B1	对每份上传资料输出相关性判定（相关 / 存疑 / 无关）及判定依据；存疑时必须挂起并向用户请求确认，确认前不入库	U5/U6；G9/G10	447	NOT_RUN
SR-B2	对资料进行结构化解析，保留章节/页/表格级锚点，锚点在后续所有引用与追溯中可用	U5/U6；G9/G10	448	NOT_RUN
SR-B3	将内容片段映射到研发阶段及"该阶段应从事的具体工作事项"，映射结合项目当前所处阶段；支持一片段映射多阶段	U5/U6；G9/G10	449	NOT_RUN
SR-B4	每个切片附带结构化标签（JSON）：阶段、工作事项、主题、可行性维度（技术/市场/注册）、关联需求 ID、来源、上传时间、置信度；并生成一句话描述（description）	U5/U6；G9/G10	450	NOT_RUN
SR-B5	支持"两速入库"：快速通道（打标签 + 摘要 + 入库）先行返回，慢速通道（细切片、嵌入向量化）后台补齐，状态对用户可见	U5/U6；G9/G10	451	NOT_RUN
SR-B6	入库完成后向用户输出勾连总结：本文档涉及哪些内容、对应哪些阶段/工作事项/文档章节，以显式清单呈现	U5/U6；G9/G10	452	NOT_RUN
SR-B7	会议纪要类资料按同一管道处理，并可抽取"结论 / 待办 / 待确认"三类条目	U5/U6；G9/G10	453	NOT_RUN
SR-B8	笔记树内一致性检测：同一主题簇下多个切片的陈述不一致（如多人表述冲突）时，系统检测冲突 + 记录入追溯网（何时/何人/何节点/何操作）+ 通知触发冲突的用户 + 挂起待裁决；智能体不自行处理冲突，裁决…	U4/U6；G11	454	NOT_RUN
SR-B9	并发更新冲突避免与及时提示：多人几乎同时更新同一树节点时，系统忠实记录全部操作入追溯网，冲突以候选子节点组并存挂起，智能体不自行处理冲突；裁决集中在编制人发起编制时经 HITL 完成（裁决两层，规则同…	U4/U6；G11	455	NOT_RUN
SR-B10	任务快慢双速：对用户任务按快慢双速模式执行——快通道同步短链路即时反馈（如上传文档→相关性判断→相关给概要/不相关给理由＋相似文档供选择），慢通道小队（subagent）后台深度执行（逐页解析、建节点…	U9/U13；G15	456	NOT_RUN
SR-B11	结论节点：结论作为笔记树的节点类型保存（结论入树）；结论节点与切片同受 08 R1–R5 硬规则约束（append-only、软删除、结构事件日志、可重建）；结论节点与其依据切片/来源的关联入追溯网。…	U6；G11	457	NOT_RUN
SR-B12	总结触发：何时生成阶段总结交模型自主判断（不设固定阈值）——信息足够支撑结论时自动生成阶段性总结并询问用户是否纳入文档（HITL 确认）；保留人工触发入口（用户明确指令触发）；上传后先快速摘要反馈、后…	U6；G11	458	NOT_RUN
SR-C1	内置可配置的研发体系文档树（阶段 → 文档 → 章节），每章有内容要求说明；文档树对应设计开发控制程序，商务对接与策划合并为同一阶段	U7/U8/U16；G7/G8	464	NOT_RUN
SR-C2	体系文档模板集中注册、版本化管理；模板与阶段/文档节点的关联可配置，不与具体工作流实例硬绑定。模板策略：本期按当前已有模板设计与完善；标准模板待系统完成并通过测试后由用户补充（E-T3，后续目标 F-…	U7/U8/U16；G7/G8	465	NOT_RUN
SR-C3	文档生命周期状态机：草稿 → 评审中 → 已基线 →（变更中）→ 新版本基线；基线文档不可被直接修改	U4/U8/U10；G6/G8/G17	466	NOT_RUN
SR-C4	新切片填充文档章节前，与该章节现有内容比对，输出三分类结论：新增 / 更新 / 冲突；更新与冲突均需用户确认后生效	U4/U8/U10；G6/G8/G17	467	NOT_RUN
SR-C5	缺项分析仅在两种触发条件下输出：文档提交评审时、项目申请推进阶段时；上传节点禁止输出缺项提示	U10/U11；G14	468	NOT_RUN
SR-C6	每次文档内容变化生成版本记录，可查看任意两版本差异及差异来源切片	U4/U8/U10；G6/G8/G17	469	NOT_RUN
SR-C7	三权分立流程规则：编制/审核/批准三权异人（编制唯一、批准唯一且异于编制人、审核可多人但异于编制与批准人）；编制发起唯一；审核/批准仅可批注与通过/驳回，不可修改正文或发起编写；提交审核即锁定；驳回回…	U3/U8；G6/G17	470	NOT_RUN
SR-C8	批准后修改的处理：本期路径＝撤回重审（D-12：撤回后修改并重新升版审批）＋影响提示（沿追溯网列出受影响范围给人看，不走流程，见 SR-D3）；松散管理取向，但审计链不断（08 R1/R2/R5 不动…	U3/U8；G6/G17	471	NOT_RUN
SR-D1	建立并持久化双向追溯网络：资料切片 ↔ 需求条目 ↔ 文档章节 ↔ 法规条款 ↔ 测试用例；每条边记录类型、来源（人工/规则/模型候选）与置信度	U11/U14；G12/G17	477	NOT_RUN
SR-D2	需求条目化管理：用户需求与系统需求大表，字段含状态（草稿/已评审/已基线）、版本、关联文档与法规；支持增删改与批量导入	U11/U14；G12/G17	478	NOT_RUN
SR-D3	新内容入库触发变更检测：与已评审条目比对，不一致时向用户提示风险并给出"确认变更 / 维持原样 / 发起变更流程"选项。影响提示（V2.1 增补）：批准后修改或引用内容变化时，系统沿追溯网列出受影响范…	U6/U11；G11/G16	479	NOT_RUN
SR-D4	变更流程闭环（变更申请 → 影响分析 → 评审 → 批准 → 执行 → 验证 → 关闭，全程留痕）：整体后移，不作为本阶段系统实现目标——变更流程走公司内部管理流程，移入后续目标备案 F-02（《10…	U15/F-02；G14	480	NOT_RUN
SR-D5	任一需求可导出完整追溯链报告；无法匹配进体系的资料进入"待裁定"清单，提醒用户处理	U11/U14；G12/G17	481	NOT_RUN
SR-D6	追溯主体扩展：追溯网每个节点的信息来源可溯——来自哪个用户、哪个智能体、哪次网络搜索、哪个文档树模板、哪条知识树切片，保证所有信息细节的准确性与可追溯性	U4/U8/U11；G8/G17	482	NOT_RUN
SR-D7	完整合规追溯模型（权威定义见 08 第十六章）：15 类受控节点（含危害/风险控制措施/设计确认/设计转换/变更）＋11 类合规边（两端=节点 ID@版本，模型仅候选、人工确认转正）＋四条链视图（13…	U11/U14；G12/G17	483	NOT_RUN
SR-D8	需求分类与分解框架：用户需求与性能需求分到不同文档；先确认用户需求再分解系统需求；系统需求按六维度分类（功能/交互/安全/运输包装/维护/合规）；智能体可从法规反推部分系统需求，但不完全依赖智能体；先…	U11/U14；G12/G17	487	NOT_RUN
SR-D9	风险登记册追溯：危害（HAZ）与风险控制措施（RCM）入网；每个 RCM 同时登记为需求并必须被验证（verifies 边）；每个危害至少被一项 RCM mitigate；措施-危害-验证三向可查（术…	U11/U14；G12/G17	484	NOT_RUN
SR-D10	验证结果绑定被测版本：VR 记录对应用例与被测对象版本；被测版本≠当前基线版本时系统报「验证过期」并列入缺口；设计确认（VAL）必须追溯到用户需求	U11/U14；G12/G17	485	NOT_RUN
SR-D11	SOUP 组件登记与追溯：软件组成项（含 SOUP）入网为架构项，其需求分配与验证沿用同一边模型	U11/U14；G12/G17	486	NOT_RUN
SR-E1	意图识别分层：规则层（仅限整句完全匹配的高频确定性短指令）→ 语义层 → LLM 层；规则层不得单独触发高风险操作	U2/U8/U9/U10；G1/G8/G14/G15	493	NOT_RUN
SR-E2	规则层命中必须通过上下文校验（上一轮存在对应的待确认事项）才可执行；无上下文时降级为普通对话	U2/U8/U9/U10；G1/G8/G14/G15	494	NOT_RUN
SR-E3	确认、变更、删除、阶段推进等操作一律通过标签卡/按钮交互完成，卡片明示操作对象与后果	U2/U8/U9/U10；G1/G8/G14/G15	495	NOT_RUN
SR-E4	支持意图分类（查询 / 编写 / 命令 / 讨论）与意图切换识别；编写类意图需命中目标文档并确认后执行	U2/U8/U9/U10；G1/G8/G14/G15	496	NOT_RUN
SR-E5	简单询问即时回答；复杂任务先给出执行计划与预计耗时，执行中提供进度反馈	U2/U8/U9/U10；G1/G8/G14/G15	497	NOT_RUN
SR-E6	对话完备路径：从立项到结项的全部状态变更操作（创建项目、提交评审、批准变更、阶段推进、导出、结项等）均可通过对话指令驱动，页面/按钮不是任何步骤的唯一入口；高风险操作的对话路径终点为对话流内联确认卡（…	U2/U8/U9/U10；G1/G8/G14/G15	498	NOT_RUN
SR-F1	复杂任务由多角色"小队"在固定流程骨架约束下执行：骨架显式定义步骤序列与返回检查节点，角色在骨架内有限自主	U8/U9/U13；G8/G15/G18	504	NOT_RUN
SR-F2	每个角色显式声明：职责、可用工具白名单、禁区；角色提示词作为受控资产版本化管理	U8/U9/U13；G8/G15/G18	505	NOT_RUN
SR-F3	涉及法规的任务强制执行"法规知识库检索 + 网络检索"双通道，结果附引用来源；冲突时以权威来源为准并提示	U12；G13	506	NOT_RUN
SR-F4	长任务后台异步执行，进度可查询、完成有通知；不得阻塞对话主线程	U8/U9/U13；G8/G15/G18	507	NOT_RUN
SR-F5	执行任务时自动组装上下文：项目当前状态、相关记忆切片、目标文档模板、近期对话；上下文构成可解释	U8/U9/U13；G8/G15/G18	508	NOT_RUN
SR-G1	飞书集成：智能助手可加入群聊，支持群内对话、收文件、推送反馈与通知。本期不做飞书功能（J-11），本条与 UR-20 一并后移 → F-01	U15/F-01；外部依赖	514	NOT_RUN
SR-G2	基于角色与项目阶段的权限控制（ABAC），阶段转换需满足准入准出条件并留痕。判定维度（角色 × 项目 × 阶段 × 动作）保留；权限主数据裁决（J-10，R2 关闭）：本期系统内建最小权限系统（管理员…	U2/U3；G3/G4	515	NOT_RUN
SR-G3	全量审计日志：上传、入库、更新、变更、确认、生成等动作均可审计	U4/U11；G5/G17	516	NOT_RUN
SR-G4	系统以自身研发项目为首个运行实例（自举元项目），自身需求与体系文档由本系统管理	U14；G19	517	NOT_RUN
SR-G5	结构追溯：笔记树、文档树、追溯网自身的结构变更全程留痕——节点与关系的增/删/改记录操作者、时间、理由与前后值；删除一律软删除（tombstone）；追溯边有"候选 → 生效 → 废止"全生命周期；支…	U4/U11；G5/G17	518	NOT_RUN
SR-G6	系统管理员与系统级设置：全局唯一管理员拥有所有权限；仅管理员可进行系统级设置——Tavily API Key、大模型相关设置、Agent 参数（工具调用轮数/工具权限等）、系统级插件管理、用户/角色的…	U2/U3；G3/G4	519	NOT_RUN
SR-G7	角色管理：角色定义与默认权限集——能否创建项目/是否拥有某些文档的读取权限/能否推进项目到下一阶段/能否为项目添加成员/能否为成员配置项目内权限/能否为各模板文档分配三权负责人；角色可分配给用户（如项…	U2/U3；G3/G4	520	NOT_RUN
SR-G8	权限覆盖优先级——上限内覆盖（J-05，原存疑关闭）：管理员设定角色默认权限与权限范围上限（最底层约束）；项目负责人（创建者）在该范围内调整项目成员权限；项目内配置可覆盖角色默认配置，但不得突破管理员…	U2/U3；G3/G4	521	NOT_RUN
SR-G9	项目负责人权限：项目创建者即项目负责人，拥有项目内全部权限——添加项目成员、编辑项目成员权限、为各模板文档分配编制/审核/批准负责人	U2/U3；G1/G2	522	NOT_RUN
SR-G10	项目唯一性与成员自动可见：同名项目全系统唯一；用户被添加为项目成员后，其界面自动出现该项目，并可直接开始项目工作（新建对话等）	U2/U3；G1/G2	523	NOT_RUN
SR-G11	对话隐私：用户之间的对话互相不可见，仅本人可见本人与智能体的对话；智能体会话/中间过程默认互不可见（J-06，原存疑关闭），协作全部经两树一网项目共享层；用户分享分层（整个项目/会话/部分会话）的精细…	U3/U5/U9；G4/G5/G10	524	NOT_RUN
SR-G12	文档分享：上传者可将文档分享给指定成员/部分成员/全部项目成员；被分享者只读、不可编辑；被分享文档进入接收者上下文，支撑其后续对话中查看并基于这些文档对话	U3/U5/U9；G4/G5/G10	525	NOT_RUN
SR-G13	上下文时间权重：本期最小实现——检索与注入排序新内容优先；替换/冲突场景走 J-02 人裁决（SR-B8/SR-B9）。可配置时间权重衰减模型（权重数值、配置粒度）移入后续目标 F-04（J-07，优…	U5/U15/F-04；G10	526	NOT_RUN
SR-G14	飞书项目对接适配（接口层四项功能：产品创建/账户绑定扫码登录/URL 协同连接/知识库上传生成链接；飞书角色权限映射读取）：本期不做飞书功能，整条移入后续目标备案 F-01（J-11）；保留设计预留说…	U15/F-01；外部依赖	527	NOT_RUN
SR-G15	虚拟人账号（企业账号下为智能体创建固定账号持有文档/文件夹访问权限；授权范围、审批与定期审计流程待明确，《10》Q-04）：随飞书对接整体后移，移入后续目标备案 F-01（J-11）	U15/F-01；外部依赖	528	NOT_RUN
SR-G16	代码执行安全：多用户共享部署在隔离执行档就位前，以启动级硬关闭禁用执行原语（run_shell/run_python/register_artifact 及内核执行配置），用户设置不得覆盖（基座已交付…	U13；G18	529	NOT_RUN
SR-N1	性能：上传首轮反馈 < 60 秒；单文档完整入库（后台）< 10 分钟；追溯链查询 < 3 秒	U14；G18/G19	535	NOT_RUN
SR-N2	可维护性：模块边界清晰、依赖单向；任一核心功能（如文档入库）可在 5 分钟内定位到对应代码模块；支撑每周代码审查机制	U1/U14；G19	536	NOT_RUN
SR-N3	可解释性：每个入库、更新、变更动作给出依据（来源切片、命中标签、比对结果）	U4/U5/U8；G10/G17	537	NOT_RUN
SR-N4	部署与数据：支持本地化部署；法规知识库本地存储；项目数据按项目隔离	U2/U3/U13；G5/G18	538	NOT_RUN
SR-N5	模型无关性：大模型通过抽象层接入，可替换（当前为 MiniMax，不绑定）	U9/U13；G8/G18	539	NOT_RUN
UR-01	自由上传	U5/U9/U14	547	NOT_RUN
UR-02	相关性把关	U5/U6	548	NOT_RUN
UR-03	自动归纳入库	U5/U6/U9/U14	549	NOT_RUN
UR-04	及时反馈	U2/U5/U6/U8/U9/U10/U13/U14	550	NOT_RUN
UR-05	渐进式清晰	U4/U7/U8/U10/U16	551	NOT_RUN
UR-06	缺项提示时机	U10/U11	552	NOT_RUN
UR-07	冲突与变更	U4/U6/U8/U10/U11/U15	553	NOT_RUN
UR-08	严格可追溯	U4/U5/U6/U8/U10/U11/U14	554	NOT_RUN
UR-09	需求条目化	U6/U11/U14	555	NOT_RUN
UR-10	模糊澄清	U2/U4/U5/U6/U8/U9/U10	556	NOT_RUN
UR-11	一键生成文档	U2/U8/U9/U10/U13	557	NOT_RUN
UR-12	主动提问	U2/U5/U6/U8/U9/U10	558	NOT_RUN
UR-13	外部查询入库	U5/U6/U8/U9/U12/U13	559	NOT_RUN
UR-14	法规双通道	U12	560	NOT_RUN
UR-15	商务策划贯通	U7/U8/U16	561	NOT_RUN
UR-16	显式确认	U2/U8/U9/U10	562	NOT_RUN
UR-17	阶段门禁权限	U2/U3/U4/U11	563	NOT_RUN
UR-18	会议纳入记忆	U5/U6	564	NOT_RUN
UR-19	自举	U14	565	NOT_RUN
UR-20	协作平台接入	U15	566	NOT_RUN
UR-21	系统角色与权限管理	U2/U3	567	NOT_RUN
UR-22	项目成员与协作	U2/U3	568	NOT_RUN
UR-23	文档分享与上下文注入	U3/U5/U9/U15	569	NOT_RUN
UR-24	三权分立文档流程	U3/U8	570	NOT_RUN
UR-25	版本全量保留与来源追溯	U4/U8/U10/U11	571	NOT_RUN
UR-26	并发更新冲突避免与提示	U4/U6	572	NOT_RUN
UR-27	快慢处理与任务拆解展示	U9/U13	573	NOT_RUN
UR-28	简易看板	U4/U6/U8/U10/U11	574	NOT_RUN
UR-29	难度分级与降级使用	U8/U9/U13/U14/U15	575	NOT_RUN
UR-30	对抗验证机制	U8/U9/U13/U14/U15	576	NOT_RUN
UR-31	飞书项目对接	U15	577	NOT_RUN
UR-32	代码管理工具集成	U15	578	NOT_RUN
UR-33	法规合规追溯	U11/U14	579	NOT_RUN
UR-34	结论沉淀与阶段总结	U6	580	NOT_RUN
F-01	飞书对接全套（渠道 EXT-3、扫码登录、权限映射、虚拟人账号、文档同步/版本关联）	U15/F-01	643	NOT_RUN
F-02	变更流程引擎（七步闭环、变更单、完整影响分析）	U15/F-02	644	NOT_RUN
F-03	用户分享分层（整个项目/会话/部分会话）与智能体可见性的精细设计	U15/F-03	645	NOT_RUN
F-04	可配置上下文时间权重衰减模型	U15/F-04	646	NOT_RUN
F-05	代码管理工具集成（GitLab token 只读拉取、需求-版本-缺陷关联）	U15/F-05	647	NOT_RUN
F-06	看板与卡片流的界面统一（随原型 V2.3）	U9/U14	648	NOT_RUN
F-07	会议遗留问题组（Q-01/02/03/07/10/13/14 等，《12》问题 8 组）；其中 Q-02 经晚会部分裁决（C-03，见 §7.1）	U15/F-07	649	NOT_RUN
F-08	难度分级评估表与降级机制的落地细化（UR-29 保留 P1，实施细节备案）	U15/F-08	650	NOT_RUN
F-09	追溯网可视化（先功能后展示，暂缓）	U11/U14	651	NOT_RUN
F-10	标准模板替换：本期按当前已有模板设计与完善；待系统完成并通过测试后，由用户补充标准模板（取代晚会 T2「今晚下载官方模板替换」，不执行）	U16＋U15/F-10	652	NOT_RUN