Compare commits
3
Commits
| Author | SHA1 | Date | |
|---|---|---|---|
 weichen
|
8c9a12d996 | ||
|
weichen
|
dd30e061d8 | ||
|
weichen
|
2e826e7f58 |
@@ -1,6 +1,25 @@
|
||||
---
|
||||
description: 任务分级、授权、文档与收口入口
|
||||
description: 强制 Agent 文档同步与 ops 协作纪律；详情见 AGENTS.md
|
||||
alwaysApply: true
|
||||
---
|
||||
|
||||
遵循 [AGENTS](../../AGENTS.md) 的启动、任务分级与收口规则。写入文档前读 [文档地图](../../.doc/README.md)；创建、集成、环境操作、清理前读 [操作规范](../../.doc/ops/2026-09-21-agent-worktree-workflow.md)。
|
||||
# Agent 文档同步（强制）
|
||||
|
||||
完整规范见 [AGENTS.md](../../AGENTS.md) 与 [PROJECT.md](../../PROJECT.md)。
|
||||
|
||||
## 开场必读
|
||||
|
||||
1. `AGENTS.md` → `PROJECT.md` → `.doc/README.md` → `.doc/ops/CURRENT.md` → `FEATURE-MATRIX` → short-term / handoff
|
||||
|
||||
## 红线
|
||||
|
||||
- 任务开始前：short-term/long-term + CURRENT 并行认领（mutex）
|
||||
- 合 dev + 容器测：占用 CURRENT 集成槽位；他人 queue 等待
|
||||
- 多 Agent 并行：worktree（`.worktrees/`）；禁止 worktree 内 env-service start
|
||||
- 禁止只改代码；done 任务 → `archive/ops/`
|
||||
- 验收报告 → `.doc/test-reports/`；运行产物 → `test-reports/assets/`
|
||||
- 禁止在 `.doc/` 根或 `docs/` 随意新建文档
|
||||
|
||||
## 状态
|
||||
|
||||
`planned | in_progress | blocked | done | cancelled`
|
||||
|
||||
@@ -1,6 +1,24 @@
|
||||
---
|
||||
description: 凭证与推送授权入口
|
||||
description: Git push 凭证自主读取；禁止向用户索要 token；详情见 AGENTS.md §8
|
||||
alwaysApply: true
|
||||
---
|
||||
|
||||
遵循 [AGENTS 安全与证据](../../AGENTS.md#5-安全与证据)；授权推送的凭证和脚本入口见 [PROJECT](../../PROJECT.md#凭证与推送)。
|
||||
# Git Secrets 自主（禁止索要）
|
||||
|
||||
完整规范见 [AGENTS.md](../../AGENTS.md) §8 与 [PROJECT.md](../../PROJECT.md) §7。
|
||||
|
||||
## 本仓约定
|
||||
|
||||
- 凭证：`${HOME}/.secrets/gitea`
|
||||
- 字段：`- ACCESS_TOKEN=`、`- URL_PREFIX=`
|
||||
- 推送：优先 `./scripts/git-push-dev.sh <branch>`
|
||||
|
||||
## 禁止
|
||||
|
||||
- 向用户索要或要求粘贴 token
|
||||
- 在聊天/文档/commit 中展示 secret
|
||||
- 写入 git config 或提交到仓库
|
||||
|
||||
## 缺失时
|
||||
|
||||
在 `.doc/ops` 记 blocker（路径 + 缺字段），提示用户本机补齐后重试；**仍不索要内容**。
|
||||
|
||||
@@ -1,6 +1,60 @@
|
||||
---
|
||||
description: 分支、原子提交与环境操作入口
|
||||
description: 项目固定3分支模型(dev/test/main)、逐步渐进式提交规范与三套独立服务（知识库共享+对话与DB隔离）准则
|
||||
alwaysApply: true
|
||||
---
|
||||
|
||||
分支/原子提交边界见 [AGENTS](../../AGENTS.md)，环境拓扑见 [PROJECT](../../PROJECT.md)。创建、集成、环境写操作及清理按 [操作规范](../../.doc/ops/2026-09-21-agent-worktree-workflow.md) 执行。
|
||||
# Git 三分支流转与三套服务环境架构准则
|
||||
|
||||
本仓库严格遵循以下固定分支体系、提交拆分规范与多套独立服务运行准则：
|
||||
|
||||
## 一、 Git 固定三分支体系
|
||||
|
||||
1. **开发分支 (`dev`)**:
|
||||
- **合入基线**，不是日常 commit 目标。
|
||||
- **禁止**在 `dev` 上直接开发提交（含 docs/chore）。
|
||||
- 一律从最新 `dev` 检出 `feature/<name>` 或 `fix/<name>`，在 feature 分支上渐进式提交；自测后占集成槽位，`--no-ff` 合回 `dev`，并删除临时子分支（见 [AGENTS.md](../../AGENTS.md) §6.2）。
|
||||
|
||||
2. **测试分支 (`test`)**:
|
||||
- 当 `dev` 积累了一定的功能阶段后，合并至 `test` 分支，创建阶段候选节点 Tag（如 `rc-vX.Y.Z-beta.1`）。
|
||||
- 用于较长时间的真实环境部署、全链路集成测试、运维稳定性检验。
|
||||
- **严禁**在 `test` 分支进行开发或直接 commit。
|
||||
|
||||
3. **主分支 (`main`)**:
|
||||
- 生产发布分支（Release）。
|
||||
- **严禁**直接在 `main` 上开发或 commit！
|
||||
- 只有 `test` 分支的代码经过实际运维和测试充分验证达到发布标准后，方可将对应验证节点合并回 `main` 分支，并打正式发布 Tag（如 `v1.0.0`）。
|
||||
|
||||
---
|
||||
|
||||
## 二、 任务拆分与渐进式提交规范 (Progressive Commits)
|
||||
|
||||
- **原子性拆分**：严禁把整个任务的大量改动揉合成一次庞大的提交。
|
||||
- **阶段逐步提交**：一个任务必须按功能逻辑分层逐步提交：
|
||||
1. `feat(db)` / `refactor(db)`: 数据表、模型、迁移脚本
|
||||
2. `feat(agent)` / `feat(service)`: 业务逻辑、智能体执行流程
|
||||
3. `feat(api)`: 接口路由与交互
|
||||
4. `test(...)`: 单元测试与集成测试用例
|
||||
5. `docs(...)` / `chore(...)`: 配置、运维脚本与文档同步
|
||||
- **提交规范**：遵循 Conventional Commits (`feat`, `fix`, `refactor`, `test`, `docs`, `chore`, `ci`)。
|
||||
|
||||
---
|
||||
|
||||
## 三、 三套环境独立运行准则 (知识库共享 + 对话与DB隔离)
|
||||
|
||||
三套独立服务对应三个分支的运行态：
|
||||
|
||||
| 环境 | 分支 | Compose 项目 | HTTP 端口 | DB 端口 | 数据/对话路径 |
|
||||
| :--- | :--- | :--- | :--- | :--- | :--- |
|
||||
| **共享知识库** | 跨环境 | `agent-infra` | - | `5432` | `data/shared/kb` |
|
||||
| **开发环境** | `dev` | `agent-dev` | `8080` | `5433` | `data/dev` |
|
||||
| **测试环境** | `test` | `agent-test` | `8081` | `5434` | `data/test` |
|
||||
| **生产环境** | `main` | `agent-main` | `8000` | `5435` | `data/main` |
|
||||
|
||||
### 核心约束：
|
||||
1. **知识库共享**：
|
||||
- 三套环境服务均通过共享网络或内网连接同一个知识库数据库（`shuimu-kb-shared:5432`）。
|
||||
- 知识库法规、向量索引保持全局一致。
|
||||
2. **对话数据与数据库隔离（红线）**：
|
||||
- 各环境对话记录（Chat History）、Agent 思考工作区、审计事件及 SQLite/Postgres 业务库必须严格隔离！
|
||||
- 严禁任何环境读取或写入其他环境的对话数据与业务库。
|
||||
- 宿主机挂载目录严格区分：`data/dev/`、`data/test/`、`data/main/`。
|
||||
|
||||
@@ -1,6 +1,65 @@
|
||||
---
|
||||
description: 按变更范围选择测试及真实证据要求
|
||||
description: 规定项目中所有自动化测试、功能测试、集成测试报告的存放路径与结构标准规范
|
||||
globs: ["**/*test*.go", ".doc/test-reports/**/*.md"]
|
||||
alwaysApply: true
|
||||
---
|
||||
|
||||
测试范围、精确产品 PI 入口、环境模型证据和报告格式统一见 [验证契约](../../.doc/ops/2026-09-21-validation-contract.md)。按实际变更选择适用行；报告大小不扩大测试范围。
|
||||
# 测试报告规范准则 (Test Reports Standard)
|
||||
|
||||
本仓库严格遵循标准化、可追溯的质量测试管理体系。所有测试报告必须归档于指定的文档目录下，并遵循固定结构。
|
||||
|
||||
## 一、 测试报告归档路径规范
|
||||
|
||||
- **统一目录**：所有测试报告必须统一存放于 `.doc/test-reports/` 目录下。
|
||||
- **命名规范**：遵循 `YYYY-MM-DD-<模块/功能/版本>-test-report.md` 命名格式。
|
||||
- 例如：`.doc/test-reports/2026-09-07-three-branch-intent-framework-test-report.md`
|
||||
- **证据附件**：运行产物（json/jsonl、workspace 快照、截图）放 `.doc/test-reports/assets/<report-slug>/`，**不得**与 `*-test-report.md` 混放在同一层级目录。
|
||||
|
||||
---
|
||||
|
||||
## 二、 测试报告固定结构模板
|
||||
|
||||
每份测试报告必须包含以下核心板块：
|
||||
|
||||
```markdown
|
||||
# [功能/模块名称] 测试报告
|
||||
|
||||
## 一、 测试背景 (Background)
|
||||
- 简述被测功能/特性的产生背景、业务痛点或上一轮测试中发现的缺陷与瓶颈。
|
||||
|
||||
## 二、 测试目标 (Test Objectives)
|
||||
- 列举本次测试需要验证的核心功能点、质量指标（如通过率 100%、无流程卡点、非阻塞人机协同等）。
|
||||
|
||||
## 三、 测试方案与环境 (Test Plan & Environment)
|
||||
- 测试环境（OS、Go 版本、后端 Stub/Real 模型）；
|
||||
- 测试层级分层（单元测试、协同集成测试、CLI 真实交互测试）；
|
||||
- 核心测试用例矩阵设计。
|
||||
|
||||
## 四、 预期结果 (Expected Results)
|
||||
- 明确给出各用例输入下的理论判定分支、目标意图、提取槽位、参谋回复风格与状态机流转。
|
||||
|
||||
## 五、 实际测试结果与判定 (Actual Results & Evaluation)
|
||||
- 必须包含针对每一个典型测试用例的真实记录：
|
||||
- **测试输入 (Input)**
|
||||
- **实际输出 (Actual Output)**：贴出真实的终端/日志输出文本
|
||||
- **评价判定 (Evaluation / Verdict)**：PASS / FAIL 标志及判定依据
|
||||
- **性能与耗时 (Duration & Latency)**
|
||||
|
||||
## 六、 自动化测试套件汇总 (Test Suite Execution)
|
||||
- 附带 `go test -v ./...` 全量回归测试输出与通过率统计。
|
||||
|
||||
## 七、 测试结论与后续优化建议 (Conclusion & Next Steps)
|
||||
- 总结测试是否达到上线/合并标准，提出后续演进或强化点。
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 三、 执行要求与真实 Agent 交付铁律
|
||||
|
||||
1. **真实 Agent 交付铁律（红线）**：
|
||||
- **开发实现阶段**：可以快速使用 `stub` 验证状态机、协议分流、数据落盘与逻辑契约，加速反馈；
|
||||
- **交付前验收与测试报告生成**：**必须切回真实环境与真实 Agent（`pi-agent` + 实际运行的 `MiniMax-M2.7-highspeed` 容器）进行全链路端到端实测**；
|
||||
- **严禁**使用 stub 的测试输出作为最终交付报告的验收数据。
|
||||
2. **严禁散落存放**：测试报告统一归档至 `.doc/test-reports/` 目录下，禁止散落在根目录或临时沙箱中。
|
||||
3. **真实控制台取样**：测试报告中的输入、输出、耗时与判定必须取自实际环境运行的真实控制台输出与日志。
|
||||
4. **Git 规范管理**：测试报告伴随对应阶段的 `docs(test)` 或 `test(...)` 规范提交入库。
|
||||
|
||||
@@ -33,10 +33,6 @@
|
||||
|
||||
| 我要… | 读这里 |
|
||||
|--------|--------|
|
||||
| 规则来源/生效版本 | [规范登记](ops/2026-09-21-policy-registry.md) |
|
||||
| 选择测试/报告范围 | [验证契约](ops/2026-09-21-validation-contract.md) |
|
||||
| 任务模板与会话收口 | [任务模板](ops/templates/short-term-task.md) · [收口清单](ops/templates/session-close-checklist.md) |
|
||||
| 创建任务、集成、部署、清理 | [worktree 工作规范](ops/2026-09-21-agent-worktree-workflow.md) |
|
||||
| 当前在做什么 | [ops/CURRENT.md](ops/CURRENT.md) |
|
||||
| 模块完成度 | [status/FEATURE-MATRIX.md](status/FEATURE-MATRIX.md) |
|
||||
| 发布 blocker | [remediation/gap-matrix.md](remediation/gap-matrix.md) |
|
||||
@@ -61,13 +57,9 @@
|
||||
|
||||
## 文档生命周期
|
||||
|
||||
按 [AGENTS 任务分级](../AGENTS.md#2-任务分级与授权) 选择最小产物。下图是可选信息流，不要求每任务创建所有文件；小任务/有价值的只读审查可由一个主文档承载范围、结论、验证与交接。主文档先明确 task_id、owner、授权来源、状态和证据；跨阶段信息确需独立时才拆分并回链。
|
||||
|
||||
```text
|
||||
audit（问题）→ remediation（方案）→ ops/short-term（任务）
|
||||
→ test-reports（验收）→ archive（关闭证据）
|
||||
```
|
||||
|
||||
状态字段：`planned | in_progress | blocked | done | cancelled`
|
||||
|
||||
会话结束不等于任务完成；只有 done/cancelled 任务归档。CURRENT 保留最多 3 项焦点及活跃/阻塞/待集成/待清理事项，完成认领和长证据迁入 [历史快照](archive/ops/2026-09-21-current-history.md)。移动文档同步修复相对链接，保留证据与来源。规范生命周期另用 proposed/approved/active/deprecated；工具能力另用 manual/enforced。
|
||||
|
||||
@@ -2,7 +2,7 @@
|
||||
|
||||
## 状态
|
||||
|
||||
已接受（2026-09-14 提议；2026-09-18 确认——Phase 1 纵向绞杀与 Phase 2 持久事件交付已落地并验收，见 gap-matrix `DOC-RELIABILITY-PILOT` PASS、[Phase 1 计划](../remediation/2026-09-14-module-decoupling-refactor-plan.md)、[Phase 2 修订计划](../remediation/2026-09-15-module-decoupling-ipc-phase2-remediation-plan.md)、[Track E 复盘](../ops/research/2026-09-15-track-e-retrospective.md)）
|
||||
提议（2026-09-14；架构与实施计划已修订，等待用户确认后进入首个实现里程碑）
|
||||
|
||||
## 背景
|
||||
|
||||
|
||||
@@ -1,85 +0,0 @@
|
||||
# ADR：纯软件工作流 key 与领域边界（SWBOOT-00）
|
||||
|
||||
## 状态
|
||||
|
||||
已接受（2026-09-16）
|
||||
|
||||
## 背景
|
||||
|
||||
工作流引擎已声明 `non_medical_software` 产品域，但正式目录、创建入口与模板仍以医疗器械三工作流（`main` / `product_manager` / `test_manager`）为硬编码白名单。继续复用医疗 manifest 会造成临床/注册/CDO 语义污染；直接改写既有三 key 会破坏已激活医疗实例。
|
||||
|
||||
详细设计见 [software-project-bootstrap-workflow](../system-design/2026-09-14-software-project-bootstrap-workflow.md)。
|
||||
|
||||
## 决策
|
||||
|
||||
### 1. 新增正式可选工作流 key
|
||||
|
||||
| key | 定位 | 默认产品域 | 可重复实例 |
|
||||
|-----|------|------------|------------|
|
||||
| `software_bootstrap` | 一次性建立项目事实、需求、架构、风险、路线与验证基线 | `non_medical_software` | 否（默认一次；终止后可重建并保留旧证据） |
|
||||
| `software_delivery` | 按里程碑/发布重复交付，承接 change brief → 证据 → 验证 → 发布 → 复盘 | `non_medical_software` | 是 |
|
||||
|
||||
医疗三 key **保持不变**，仍为正式可选；不得在其 published hash 上替换为软件语义。
|
||||
|
||||
### 2. 目录策略：published + selectable，而非“仅三 key”
|
||||
|
||||
项目可选工作流 = 已发布 (`latest_published_version > 0`) ∩ `project_selectable=true` ∩ 策略白名单。
|
||||
|
||||
白名单扩展为：
|
||||
|
||||
```text
|
||||
main | product_manager | test_manager | software_bootstrap | software_delivery
|
||||
```
|
||||
|
||||
固定文档数量校验 **仅** 继续约束医疗三 key；软件工作流按 manifest 自身完整性校验，不强制医疗文档数。
|
||||
|
||||
### 3. 领域与合规分离
|
||||
|
||||
- `product_domain=non_medical_software` 只说明非医疗器械，不关闭鉴权/审计/安全基线。
|
||||
- `compliance_profile` / `governance_profile` / `execution_mode` / `team_mode` 为项目级独立字段。
|
||||
- 首期默认：`governance=standard`，`compliance=internal_control+security_baseline`，`execution_mode=docs_only`。
|
||||
- `controlled_patch` 在 SWBOOT-10 受控执行器就绪前 **不可真正启用**；仅保留 allowlist stub。
|
||||
|
||||
### 4. 串联而非回环
|
||||
|
||||
```text
|
||||
software_bootstrap（完成 + 创建者确认）
|
||||
→ 仅建议 software_delivery
|
||||
→ 创建者确认后新建 planning/激活实例
|
||||
```
|
||||
|
||||
bootstrap 完成不得自动创建或激活 delivery。
|
||||
|
||||
### 5. Solo 审批策略（契约）
|
||||
|
||||
- `collaborative`：独立三权（author/reviewer/approver 不同人）。
|
||||
- `solo`：`creator_acknowledgement`；页面与审计持续标注“未独立评审”。
|
||||
- `controlled` 或要求独立审查的 compliance profile：**禁止 solo**。
|
||||
|
||||
### 6. 错误码（首期）
|
||||
|
||||
| code | 含义 |
|
||||
|------|------|
|
||||
| `ERR_WORKFLOW_NOT_SELECTABLE` | key 不在正式可选白名单或未 published |
|
||||
| `ERR_DOMAIN_INCOMPATIBLE` | 工作流与项目 `product_domain` / `project_type` 不兼容 |
|
||||
| `ERR_COMPLIANCE_PROFILE` | 合规配置非法或与治理冲突（如 controlled+solo） |
|
||||
| `ERR_EXECUTION_MODE_DISABLED` | 请求 `controlled_patch` 但受控执行器未启用 |
|
||||
| `ERR_REPO_PATH_NOT_ALLOWLISTED` | 仓库路径不在管理员 allowlist（SWBOOT-10 stub） |
|
||||
| `ERR_CREATION_PREVIEW_STALE` | creation token / plan_hash 过期或不匹配（409） |
|
||||
|
||||
### 7. 运行时权威不变
|
||||
|
||||
继续遵守 [workflow-runtime-authority](./2026-09-12-workflow-runtime-authority.md)：任务只能从冻结 `doc_task_instance` 启动；禁止客户端 `task_key`/duty/stage 旁路。
|
||||
|
||||
## 后果
|
||||
|
||||
- Bootstrap seed 与 catalog API 必须同时暴露软件两 key，且按 `product_domain` 过滤时不把医疗默认话术塞进软件项目。
|
||||
- 项目表 additive 增加 `project_type_key` / `compliance_profile_key` 等字段；旧项目不自动分类为医疗或软件。
|
||||
- SWBOOT-10 仅落地 allowlist stub：任何真实 patch/merge/push 必须 fail closed，直到独立 Epic 验收。
|
||||
- 医疗三工作流黄金用例与固定文档数门禁保持回归基线。
|
||||
|
||||
## 关联
|
||||
|
||||
- 实施任务：`.doc/ops/short-term/2026-09-16-software-project-bootstrap.md`
|
||||
- Backlog：`.doc/ops/long-term/2026-09-14-software-project-bootstrap-implementation.md`
|
||||
- 验收清单：`.doc/ops/checklists/2026-09-14-software-project-bootstrap-acceptance.md`
|
||||
@@ -1,63 +0,0 @@
|
||||
---
|
||||
title: "D7 对话数据留存与删除口径（草案）"
|
||||
status: proposed
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
compliance: pending-compliance-signoff
|
||||
owner: Cline
|
||||
related:
|
||||
- ../remediation/2026-09-16-partial-deferred-completion-plan.md
|
||||
- ../ops/short-term/2026-09-16-partial-deferred-completion.md
|
||||
- ../status/FEATURE-MATRIX.md
|
||||
---
|
||||
|
||||
# ADR：D7 对话数据留存与删除口径
|
||||
|
||||
## 状态
|
||||
|
||||
**提议 / 工程草案**（2026-09-17）。数字与删除口径标 `pending-compliance-signoff`：合规签字或改数前，W7 仅允许数据分类盘点与现状审计，不得按未签字数字执行物理删除或备份清除。接受后状态改为 `accepted`。
|
||||
|
||||
## 背景
|
||||
|
||||
FEATURE-MATRIX「对话数据治理（D7）」为 `deferred`。收口计划 W7 要求：数据分类盘点 → 留存/删除口径落 ADR → 库/备份/日志控制 → 敏感字段加密边界。工程不能单方面定合规数字，但必须提供可审草案，避免无限期停在 deferred。Track E / R13 / R18 / R22 已对日志脱敏与销毁门禁有硬约束，本 ADR 将其固化为 D7 口径。
|
||||
|
||||
## 决策（建议默认；待合规确认）
|
||||
|
||||
### 1. 数据分类与留存
|
||||
|
||||
| 数据类 | 留存 | 说明 |
|
||||
|--------|------|------|
|
||||
| 会话正文（chat sessions/messages） | 热库 **365 天**（可配置） | 超期 soft-delete → 观察窗 → 物理清理 |
|
||||
| 派生文档 / 私密文档 | 与聊天**独立周期**；回收站 **30 天**后物理清理 | 删除 UI 须说明影响范围（只删聊天 / 只删文档 / 两者） |
|
||||
| 审计元数据（导出/治理审计） | **180 天** | 不可被普通用户删除覆盖 |
|
||||
| Agent trace / workspace 非终态 | 任务结束后 **30 天**；nightly 仅合成数据 | 禁止当长期事实源 |
|
||||
| 日志 / dead-letter / reconciliation | 不按正文留存；**只存 ID、digest、typed error code、allowlist 摘要** | Track E 红线 |
|
||||
| FAV 终态制品 | `retention_class` + legal hold + delete ledger | 与聊天口径解耦 |
|
||||
|
||||
### 2. 删除路径
|
||||
|
||||
1. **用户删除**：soft-delete / tombstone → 观察窗 → 物理清理。
|
||||
2. **备份清除**：须二次批准 + 精确 delete manifest；对齐销毁门禁 R22（完整备份恢复演练、migration corpus、FAV coverage、manifest、用户批准）。
|
||||
3. **删除界面**：必须说明聊天源消息与派生文档的独立保留周期及本次操作影响范围。
|
||||
|
||||
### 3. 加密边界（首期）
|
||||
|
||||
- 首期范围：敏感字段**盘点** + 传输与备份访问控制。
|
||||
- **不默认**上字段级加密；选型待合规确认与威胁模型后再立实现任务。
|
||||
|
||||
### 4. 违规升级
|
||||
|
||||
盘点确认当前基线违反已确认的安全或合规要求 → **立即**写入 [`gap-matrix.md`](../remediation/gap-matrix.md)，不得继续当普通 backlog；本行 `done` 让位于整改。
|
||||
|
||||
## 后果
|
||||
|
||||
- W7 可按本草案启动盘点；物理删除与备份清除在 `pending-compliance-signoff` 解除前禁止按建议数字自动执行。
|
||||
- 2026-09-17 只读盘点：[../audit/2026-09-17-d7-data-inventory.md](../audit/2026-09-17-d7-data-inventory.md)（未删数据、未升矩阵 done、未写 gap-matrix blocker）。
|
||||
- 日志/DLQ/reconciliation 实现与审计须持续满足 Track E ID-only 红线。
|
||||
- 合规改数后：更新本 ADR 数字表、`updated` 日期，并将 `compliance` 改为 `signed` / `accepted`；再开 W7 整改实现。
|
||||
|
||||
## 相关链接
|
||||
|
||||
- 收口计划 §7.1：[../remediation/2026-09-16-partial-deferred-completion-plan.md](../remediation/2026-09-16-partial-deferred-completion-plan.md)
|
||||
- FEATURE-MATRIX D7 行：[../status/FEATURE-MATRIX.md](../status/FEATURE-MATRIX.md)
|
||||
- Track E Phase 2：[../remediation/2026-09-15-module-decoupling-ipc-phase2-remediation-plan.md](../remediation/2026-09-15-module-decoupling-ipc-phase2-remediation-plan.md)
|
||||
@@ -1,609 +0,0 @@
|
||||
---
|
||||
title: "个人工程中控台：实时项目看板与离线 HTML 快照"
|
||||
type: feat
|
||||
date: 2026-09-17
|
||||
artifact_contract: ce-unified-plan/v1
|
||||
product_contract_source: ce-plan-bootstrap
|
||||
execution: code
|
||||
---
|
||||
|
||||
> **已废弃（2026-09-17；2026-09-19 更新）**：旧版只读工程中控台代码已移除。后来短暂合入的 Control Center 也已移出本仓库，进度管理由独立项目承担。本文仅作历史证据保留。
|
||||
|
||||
# 个人工程中控台：实时项目看板与离线 HTML 快照
|
||||
|
||||
## Goal Capsule
|
||||
|
||||
为仓库所有者提供一个独立于产品后台的本地只读中控台。打开一个页面即可判断当前系统由什么组成、哪些任务正在计划或实施、真实分支和 worktree 在哪里、各环境实际运行了什么，并能在两次点击内到达对应的设计、审计、整改、任务和测试材料。
|
||||
|
||||
中控台同时提供两种输出：
|
||||
|
||||
1. `serve`：持续采集本地仓库、Git 和运行环境，提供自动刷新的 HTML 页面与机器可读 JSON；
|
||||
2. `export`：基于同一份不可变快照生成单文件 HTML，便于归档、离线查看和交接。
|
||||
|
||||
这不是产品功能，不接入产品后台、产品数据库或产品权限体系；它也不是发布系统，不执行 Git、Docker、部署或文档写操作。
|
||||
|
||||
### 成功标准
|
||||
|
||||
- 在当前仓库规模下，首次可用页面目标为 2 秒内出现；慢数据源可随后标记为 `degraded`，不得拖垮整页。
|
||||
- 正常情况下，本地文件、Git 或运行态变化在 5 秒内反映到新快照。
|
||||
- 页面分别展示“文档声明、Git 实施、验证证据、环境实装”，不把任务文档的 `done` 翻译为已合并或已部署。
|
||||
- 每个关键结论均显示来源、采集时间、新鲜度和可信类型；冲突保留双方证据，不静默选边。
|
||||
- 在线模式检索 allowlist 内未截断的 Markdown 正文；离线导出同时给出 included、truncated 和 metadata-only 清单，二进制附件只索引路径、类型、大小和归属。
|
||||
- 单文件 HTML 默认权限为 `0600`，可脱离仓库阅读已纳入 inclusion manifest 的 Markdown 正文，并醒目标出截断或仅元数据条目；不打包 `.doc/**/assets`。
|
||||
- 任一采集源失败时仍可查看最近成功数据，并明确显示 `stale/error/last_success_at`。
|
||||
|
||||
---
|
||||
|
||||
## Product Contract
|
||||
|
||||
### 用户与使用场景
|
||||
|
||||
唯一主要用户是仓库所有者。典型使用包括：
|
||||
|
||||
- 每天开始工作时查看焦点任务、阻塞、集成槽和环境异常；
|
||||
- 从模块进入设计、任务、测试和部署证据链；
|
||||
- 判断某项工作究竟只是有计划、正在实现、已经验证，还是已在某环境实装；
|
||||
- 查看本地分支、远端跟踪引用、ahead/behind、worktree 和未提交变更；
|
||||
- 发现 `CURRENT`、功能矩阵、发布门禁、Git 与 Docker 之间的漂移；
|
||||
- 导出一个自包含 HTML，作为某一时点的项目快照。
|
||||
|
||||
### 已确定的产品决策
|
||||
|
||||
#### PKD-1：独立本地工具
|
||||
|
||||
采用独立 Go CLI 和本地 Web 页面，不加入现有产品后台。
|
||||
|
||||
（session-settled: user-approved — chosen over product-admin integration: the console is for the repository owner’s local engineering management and the production image excludes `.doc` and `.git`）
|
||||
|
||||
#### PKD-2：只读实时页与离线快照共用数据模型
|
||||
|
||||
实时服务和导出文件必须由同一份版本化快照生成，避免在线页面与离线报告出现两套口径。
|
||||
|
||||
（session-settled: user-approved — chosen over a static-only report: the requested console must follow agent tasks and project state as they change）
|
||||
|
||||
### 核心需求
|
||||
|
||||
| ID | 需求 |
|
||||
|---|---|
|
||||
| R1 | CLI 默认解析当前 Git 仓库根，也接受显式 `--repo`；页面始终显示绝对根路径、当前分支、HEAD 和采集时间。 |
|
||||
| R2 | 仅监听 `127.0.0.1`，不依赖产品容器、产品数据库或产品登录。 |
|
||||
| R3 | 架构与模块页聚合 `module-boundaries.yaml`、系统设计索引和 `FEATURE-MATRIX`，展示模块、能力、依赖和证据链。 |
|
||||
| R4 | 任务状态至少拆为 `doc_status`、Git facets、`verification_result`/`verification_freshness`、deployment facets；可并存事实不得压成单值枚举。 |
|
||||
| R5 | Git 页展示本地/跟踪分支、ahead/behind、最近提交、worktree、dirty/untracked 和任务声明匹配情况；不得隐式 `fetch`。 |
|
||||
| R6 | 部署页按 shared/dev/test/main 分别展示容器状态、应用 readiness、服务完整性、schema、镜像与 promotion receipt；不得计算未经定义的综合绿灯。 |
|
||||
| R7 | 文档页支持按 taxonomy、状态、模块和关键词筛选，展示正文、正向链接、反向链接、broken、orphan 与 unindexed 状态；查询状态可通过 URL 恢复。 |
|
||||
| R8 | 一个不可变快照包含 `schema_version`、`generation_id`、`revision_id`、`generated_at`、仓库/提交身份、来源状态、事实与冲突。 |
|
||||
| R9 | 自动刷新采用完整快照原子切换；每个来源独立超时，失败时保留最近成功数据并标注过期。 |
|
||||
| R10 | 每条关键事实标注 `declared`、`observed`、`verified` 或 `inferred`，并保留来源路径和采集时间。 |
|
||||
| R11 | 单 HTML 内嵌结构化模型、页面资源和允许导出的 Markdown 正文；附件只保留元数据及相对链接，并显示内容覆盖清单。 |
|
||||
| R12 | 对 Agent 暴露稳定的只读 JSON，而不是让 Agent 解析 HTML；JSON 与页面引用同一 `generation_id` 和 `revision_id`。 |
|
||||
| R13 | TaskState 显示声明的 owner/Agent 类型/认领/mutex 与基于 Git 的最近活动证据；Herdr 工程 Agent 和产品 PI Agent Runner 使用不同类型。没有运行态来源时必须显示 unknown，不得把“已认领”写成“正在执行”。 |
|
||||
| R14 | 文件、命令和 HTTP 均采用 allowlist；拒绝路径穿越、symlink 越界、原始 HTML 执行、远程资源加载和凭证读取。 |
|
||||
|
||||
### 事实源与权威边界
|
||||
|
||||
| 领域 | 权威来源 | 中控台处理方式 |
|
||||
|---|---|---|
|
||||
| 发布门禁 | `.doc/remediation/gap-matrix.md` | 只解释发布 blocker，不替代能力完成度。 |
|
||||
| 能力成熟度 | `.doc/status/FEATURE-MATRIX.md` | 显示功能完成度，不据此推断是否部署。 |
|
||||
| 当前焦点、认领、集成槽 | `.doc/ops/CURRENT.md` | 作为团队声明，与 Git 和运行态对账。 |
|
||||
| 任务计划 | `ops/short-term`、`ops/long-term`、backlog front matter | 作为计划状态，不据此推断实现。 |
|
||||
| 分支与 worktree | Git plumbing | 作为本地观测；远端状态注明“基于本地 refs，未联网刷新”。 |
|
||||
| 环境运行态 | Docker/Compose 元数据与 `/ready` | 分开展示容器、应用与服务完整性。 |
|
||||
| 验收证据 | `.doc/test-reports` 及 promotion receipts | 显示证据存在性与身份，不以文件名替代内容校验。 |
|
||||
|
||||
来源之间不设全局覆盖顺序。各来源回答自己的问题；值不一致时生成 drift，并并列展示原值、时间和来源。
|
||||
|
||||
### 用户流程
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
Start[启动 serve 或 export] --> Root[解析显式 repo root]
|
||||
Root --> Collect[并行采集文档 Git 运行态]
|
||||
Collect --> Snapshot[构建不可变快照]
|
||||
Snapshot --> Reconcile[按领域对账]
|
||||
Reconcile --> Live[本地实时页面和 JSON]
|
||||
Reconcile --> Export[单文件 HTML]
|
||||
Live --> Refresh[定时生成下一快照]
|
||||
Refresh --> Snapshot
|
||||
```
|
||||
|
||||
总览默认优先显示 `in_progress`、`blocked`、`planned`、`partial/deferred`、drift 和 degraded。`done` 与 archive 默认收起，避免历史材料淹没当前工作。
|
||||
|
||||
任务详情按照以下证据链导航：
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
Audit[audit 问题] --> Remediation[remediation 方案]
|
||||
Remediation --> Task[任务声明]
|
||||
Task --> Git[分支 worktree commit merge]
|
||||
Git --> Test[测试与验收报告]
|
||||
Test --> Deploy[环境 artifact 与 readiness]
|
||||
```
|
||||
|
||||
显式 Markdown 链接和既定 taxonomy 属于强关系；仅由文件名或 slug 推断的关系标为“候选”，不得参与完成度计算。
|
||||
|
||||
### 状态模型
|
||||
|
||||
```mermaid
|
||||
flowchart TB
|
||||
D[doc_status: planned/in_progress/blocked/done] --> View[并列状态视图]
|
||||
G[Git facets: branch/worktree/merge/cleanliness/ahead-behind] --> View
|
||||
V[Verification: result + freshness + bound identity] --> View
|
||||
P[Deployment facets: container/readiness/services/artifact identity] --> View
|
||||
View --> Drift{来源是否一致}
|
||||
Drift -->|是| Consistent[consistent]
|
||||
Drift -->|否| Conflict[drift + 双方证据]
|
||||
```
|
||||
|
||||
“实装”定义为存在可核对的环境观测证据，而不是任务文档为 `done`。容器可达但 artifact identity 无法核对时显示“运行可见、版本未验证”，不得提升为 verified deployment。当文档声明 healthy、Docker 显示异常而 `/ready` 为 ok 时，页面保留多值并标记 drift，不输出统一绿灯。
|
||||
|
||||
### 真实验收样本
|
||||
|
||||
1. rdev：存在调研、设计、任务与 backlog，但若没有 CURRENT 认领和真实分支，应显示“已计划、未认领、未实施、未实装”。
|
||||
2. main 环境：若 CURRENT 声明整体 healthy，而 events 容器实际 restarting、应用 `/ready` 仍为 ok，应同时显示三项证据与 drift。
|
||||
3. 本地 dev：若分支领先 `origin/dev`，必须显示“本地已具备、远端未确认可用”，不得写成已远程发布。
|
||||
4. `system-admin-console`：作为产品管理后台能力，与本计划的个人工程中控台分开展示，名称和边界不得混淆。
|
||||
|
||||
### 安全与非目标
|
||||
|
||||
一期明确不做：
|
||||
|
||||
- 不写文档，不修改任务状态，不占用集成槽；
|
||||
- 不创建、切换、合并、删除或推送 Git 分支；
|
||||
- 不执行 `git fetch`，不调用远端托管平台 API；
|
||||
- 不启动、停止、重建或部署容器；
|
||||
- 不控制 Herdr 或向 Agent 派发任务；
|
||||
- 不读取 `.env`、`.secrets`、Docker `Config.Env`、数据库数据或 `.git` 内部文件正文；
|
||||
- 不加入产品 API、产品前端、产品数据库或生产镜像；
|
||||
- 不执行 Markdown 原始 HTML、脚本、Mermaid 或远程资源。
|
||||
|
||||
后续候选包括跨快照历史、远端 CI/Gitea 聚合、受限 Markdown/Mermaid 渲染、Agent 查询 API 和修复建议。任何写操作继续保持在本工具之外。
|
||||
|
||||
---
|
||||
|
||||
## Planning Contract
|
||||
|
||||
### High-Level Technical Design
|
||||
|
||||
以下图示冻结边界和协议，不规定具体函数签名。
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
Docs[.doc sources] --> DC[Document collector]
|
||||
Git[Git/worktrees] --> GC[Git collector]
|
||||
Run[Docker/ready/receipts] --> RC[Runtime collector]
|
||||
DC --> Build[Snapshot builder]
|
||||
GC --> Build
|
||||
RC --> Build
|
||||
Build --> Rec[Reconcile facts and conflicts]
|
||||
Rec --> JSON[Read-only JSON]
|
||||
Rec --> Web[Local HTML]
|
||||
Rec --> File[Offline HTML]
|
||||
```
|
||||
|
||||
```mermaid
|
||||
sequenceDiagram
|
||||
participant UI as Browser
|
||||
participant C as Collection coordinator
|
||||
participant S as Sources
|
||||
participant P as Snapshot publisher
|
||||
UI->>C: poll with revision_id
|
||||
C-->>UI: current snapshot immediately
|
||||
C->>S: singleflight collection with deadlines
|
||||
S-->>C: facts or source error
|
||||
C->>P: publish complete generation atomically
|
||||
P-->>UI: new revision or not-modified
|
||||
```
|
||||
|
||||
```mermaid
|
||||
stateDiagram-v2
|
||||
[*] --> Loading
|
||||
Loading --> Fresh: first collection succeeds
|
||||
Loading --> ErrorUnknown: first collection fails
|
||||
Fresh --> Refreshing: TTL expires
|
||||
Refreshing --> Fresh: new generation succeeds
|
||||
Refreshing --> Stale: source fails and last-known exists
|
||||
Stale --> Fresh: source recovers
|
||||
ErrorUnknown --> Fresh: source first succeeds
|
||||
```
|
||||
|
||||
### 技术决策
|
||||
|
||||
#### KTD-1：采用仓库内独立 Go CLI
|
||||
|
||||
新增 `cmd/engineering-dashboard` 与 `internal/engineeringdashboard`，复用仓库 Go 工具链但不导入产品业务包。Go 标准库足以提供本地 HTTP、资源嵌入、JSON、并发和原子文件输出；现有 `yaml.v3` 可用于已定义的 YAML 契约。
|
||||
|
||||
#### KTD-2：快照是唯一交付模型
|
||||
|
||||
采集器只生产事实，reconcile 层只生产派生状态和冲突，HTTP/API/export 只消费已完成的不可变快照。快照至少包含：
|
||||
|
||||
```text
|
||||
schema_version, generation_id, revision_id, generated_at, collection_duration
|
||||
repository { root, branch, head, dirty }
|
||||
sources[] { name, status, observed_at, last_success_at, error }
|
||||
facts[] { subject, field, value, provenance, source_ref, observed_at, confidence }
|
||||
conflicts[] { subject, field, kind, fact_refs[] }
|
||||
documents[], modules[], tasks[], git[], environments[]
|
||||
```
|
||||
|
||||
`generation_id` 唯一标识一次采集，包含采集批次语义；`revision_id` 只由 schema、仓库身份和规范化的非易变事实、冲突、来源状态确定，明确排除 `generated_at`、`observed_at` 和采集耗时。HTML 与 JSON 必须展示同一对标识，HTTP ETag 和前端是否重绘使用 `revision_id`。一期不读取旧 schema 的外部 JSON；离线 HTML 自带对应 renderer，因此不依赖未来二进制迁移。
|
||||
|
||||
#### KTD-3：专用解析器与容错索引并存
|
||||
|
||||
对 CURRENT、FEATURE-MATRIX、gap-matrix、任务 front matter 和 module boundaries 编写契约化解析器。文档层只索引 promotion receipt 的路径与链接，结构化部署凭证由运行态采集器唯一负责。对其余 Markdown 只提取安全元数据、标题、正文与链接。专用解析器失败时保留原文入口并标记 degraded，不凭模糊规则编造状态。
|
||||
|
||||
#### KTD-4：命令执行采用固定 argv 和超时
|
||||
|
||||
Git 与 Docker 采集通过注入式 command runner 执行固定程序和分离 argv，不通过 shell 拼接。`--repo` 先转为绝对、symlink-resolved 的 Git 根并作为单个参数传递。每个来源默认 2 秒超时；错误输出做长度限制和敏感字段清理。Git 使用 porcelain/plumbing 输出，例如 `status --porcelain=v2`、`worktree list --porcelain`、`for-each-ref`、`rev-list`、`merge-base`。
|
||||
|
||||
#### KTD-5：一期采用短轮询，不引入持久数据库
|
||||
|
||||
服务端由单一采集协调器按 TTL 触发完整重采集，2–5 秒刷新；同一仓库最多一轮采集在途，请求只读取当前快照，不直接叠加扫描。每轮带单调 generation 序号和整轮 deadline，只有当前有效轮次能原子发布。页面使用 ETag/`revision_id` 避免重复传输。last-known 只在同一 `serve` 进程内有效；冷启动或单次 export 首次采集失败时显示 unknown/error，不伪造历史值。文件监听、SSE 通知、持久缓存和历史数据库均后置。
|
||||
|
||||
#### KTD-6：安全阅读优先于富渲染
|
||||
|
||||
在线详情页一期将 Markdown 全部作为纯文本安全转义，并保留换行和空白；标题、列表、链接、代码、图片和 Mermaid 均显示源码，不生成 HTML 节点或发起资源请求。静态导出内嵌同一正文和内部导航。所有文档 ID 都是规范化仓库相对路径，只允许 `.doc/**/*.md` 及明确列入 allowlist 的根 Markdown；读取前后都校验解析路径，直接拒绝 symlink，并对 `.git`、`.env*`、`.secrets`、`data` 等敏感路径执行最终目标 denylist。
|
||||
|
||||
#### KTD-7：导出为自包含、有限尺寸的证据快照
|
||||
|
||||
导出将模型、CSS、JS 和允许的 Markdown 正文写入单 HTML，采用临时文件加 rename 原子落盘，默认 `0600`。数据使用 HTML-safe JSON 或等价编码封装，正文只通过 `textContent`/DOM API 写入；CSP 禁止网络、外部资源和内联事件执行。默认只嵌入 Git tracked、allowlist 内的 Markdown；untracked Markdown 只列元数据，除非用户显式选择。导出前输出 inclusion manifest 与敏感模式告警；`.doc/**/assets`、数据库、构建产物和二进制报告不嵌入。
|
||||
|
||||
### 建议目录
|
||||
|
||||
```text
|
||||
cmd/engineering-dashboard/
|
||||
main.go
|
||||
internal/engineeringdashboard/
|
||||
model.go
|
||||
collector.go
|
||||
source_docs.go
|
||||
source_git.go
|
||||
source_runtime.go
|
||||
reconcile.go
|
||||
server.go
|
||||
export.go
|
||||
assets/
|
||||
index.html
|
||||
app.js
|
||||
app.css
|
||||
testdata/
|
||||
docs/
|
||||
git/
|
||||
runtime/
|
||||
scripts/
|
||||
engineering-dashboard.sh
|
||||
.doc/test-reports/
|
||||
YYYY-MM-DD-engineering-dashboard-test-report.md
|
||||
```
|
||||
|
||||
### 风险与缓解
|
||||
|
||||
| 风险 | 缓解 |
|
||||
|---|---|
|
||||
| 文档结构并不完全统一 | 只对 SSOT 和任务 front matter 使用严格契约；其余文档容错索引并暴露解析告警。 |
|
||||
| 看板制造“假完成” | 多轴 facets、事实 provenance、验证身份绑定、冲突不覆盖、真实反例测试。 |
|
||||
| Docker/Git 卡住或不可用 | 独立超时、并行采集、last-known 状态、degraded 页面。 |
|
||||
| 文档 XSS 或路径穿越 | 纯文本渲染、HTML-safe 数据封装、CSP、路径 allowlist、拒绝 symlink、最终目标敏感路径 denylist。 |
|
||||
| `.doc` 附件导致扫描/导出失控 | 默认跳过 assets 内容，只采集元数据；设置单文档和总正文上限并报告截断。 |
|
||||
| 导出副本离开本机后 `0600` 不再提供保护 | 页面首部标明敏感快照、仓库身份和生成时间；输出 inclusion manifest，交接者自行控制接收者、保留期与删除。 |
|
||||
| worktree 与主 checkout 混淆 | 只管理 `--repo` 指定/解析出的根，页面常驻显示根与 HEAD；其他 worktree 仅作为 Git 元数据。 |
|
||||
| 本地 remote refs 被误认为远端实时状态 | 显示 refs 观测时间和“未联网刷新”，不自动 fetch。 |
|
||||
| 与产品 `system-admin-console` 命名冲突 | CLI、包和文档统一使用 `engineering-dashboard` / “个人工程中控台”。 |
|
||||
|
||||
---
|
||||
|
||||
## Implementation Units
|
||||
|
||||
### U1：冻结快照、事实与状态契约
|
||||
|
||||
**目标**：先建立不会把计划、实现、验证、部署混为一谈的模型与测试夹具。
|
||||
|
||||
**覆盖需求**：R4、R8、R10、R12、R13；承接 PKD-2 的同源快照决策。
|
||||
|
||||
**依赖**：无。
|
||||
|
||||
**文件**：
|
||||
|
||||
- `internal/engineeringdashboard/model.go`
|
||||
- `internal/engineeringdashboard/model_test.go`
|
||||
- `internal/engineeringdashboard/testdata/**`
|
||||
|
||||
**实施要点**：
|
||||
|
||||
1. 定义版本化 `Snapshot`、`SourceState`、`Fact`、`Conflict`、`TaskState`、`AgentClaim`、`EnvironmentState`。
|
||||
2. provenance 固定为 `declared|observed|verified|inferred`；freshness 固定为 `fresh|stale|error|unknown`。
|
||||
3. 状态使用可组合 facets：Git 分为 branch/worktree/merge/cleanliness/ahead-behind；验证分为 result/freshness/subject identity；部署分为 container/readiness/services/artifact identity。
|
||||
4. TaskState 保留 owner、agent kind、claim、mutex、声明分支、观测 worktree、最近活动时间及证据；声明与观测不可互相提升。
|
||||
5. 建立 rdev、dev ahead、main events restarting、CURRENT/worktree 不匹配等夹具。
|
||||
|
||||
**测试场景**：
|
||||
|
||||
- 文档 `done` 但无 merge/deploy 时，Git 与部署 facets 不改变；
|
||||
- `claimed` 但无可观测运行信号时，Agent 活动保持 unknown；Herdr 与产品 PI Runner 不共享类型；
|
||||
- 同字段多来源不一致时生成 conflict 并保留所有 fact 引用；
|
||||
- JSON round-trip 保留 schema 与 snapshot identity；
|
||||
- 枚举未知值失败且错误可定位。
|
||||
|
||||
**完成证据**：模型测试通过，schema 示例落入 Go fixture，不存在页面专用的第二套状态类型。
|
||||
|
||||
### U2：实现文档图谱与领域解析器
|
||||
|
||||
**目标**：将 `.doc` taxonomy、模块、任务、测试和链接转换为可追溯文档图谱。
|
||||
|
||||
**覆盖需求**：R3、R7、R10、R11、R14。
|
||||
|
||||
**依赖**：U1。
|
||||
|
||||
**文件**：
|
||||
|
||||
- `internal/engineeringdashboard/source_docs.go`
|
||||
- `internal/engineeringdashboard/docs_test.go`
|
||||
|
||||
**实施要点**：
|
||||
|
||||
1. 扫描 allowlist 内 Markdown，默认跳过任何 `assets` 目录正文；记录附件元数据。
|
||||
2. 解析 front matter、标题、显式 Markdown 链接和反向链接。
|
||||
3. 为 CURRENT、FEATURE-MATRIX、gap-matrix、任务文、module boundaries 和 test report 建立专用适配器；receipt 只在文档图谱中作为文档与链接，结构化解析归 U4。
|
||||
4. 区分 `broken`、`orphan`、`unindexed`；slug 相似只形成候选关系。
|
||||
5. 规范化路径并阻止 `..`、绝对路径和任何 symlink；最终目标再次应用扩展名 allowlist 与敏感路径 denylist。
|
||||
|
||||
**测试场景**：
|
||||
|
||||
- taxonomy 内文档可检索且反向链接正确；
|
||||
- broken link 不导致整个索引失败；
|
||||
- front matter 缺失或非标准时产生告警并仍可阅读；
|
||||
- assets 不读正文，越界 symlink 被拒绝；
|
||||
- rdev 文档链被发现，但没有被推断为已实现。
|
||||
|
||||
**完成证据**：文档索引能从 fixture 生成稳定 JSON，路径安全负例通过。
|
||||
|
||||
### U3：实现 Git 与 worktree 采集
|
||||
|
||||
**目标**：以只读 Git plumbing 形成可复现的分支、提交和 worktree 观测。
|
||||
|
||||
**覆盖需求**：R1、R4、R5、R10、R14。
|
||||
|
||||
**依赖**：U1。
|
||||
|
||||
**文件**：
|
||||
|
||||
- `internal/engineeringdashboard/source_git.go`
|
||||
- `internal/engineeringdashboard/git_test.go`
|
||||
|
||||
**实施要点**：
|
||||
|
||||
1. 抽象 command runner，固定 argv、工作目录、超时和输出上限。
|
||||
2. 收集当前分支/HEAD、dirty/untracked、local/remote-tracking refs、ahead/behind、merge-base 和 worktree。
|
||||
3. 不执行 fetch；remote tracking ref 始终带本地观测时间与免责声明。
|
||||
4. 对账任务声明的 branch/worktree，但不因路径名相似而认定一致。
|
||||
|
||||
**测试场景**：
|
||||
|
||||
- 本地分支领先 origin 时显示 ahead 且不显示“远端可用”；
|
||||
- worktree 目录名与真实检出分支不一致时生成 drift；
|
||||
- 命令超时、Git 不存在、非 Git 目录时单源 degraded；
|
||||
- runner 记录中不存在 shell、fetch、push 或写命令。
|
||||
|
||||
**完成证据**：临时 Git 仓库集成测试和 fake runner 单元测试通过。
|
||||
|
||||
### U4：实现运行态与部署证据采集
|
||||
|
||||
**目标**：按环境独立呈现容器、应用 readiness、服务完整性、schema、镜像和晋升凭证。
|
||||
|
||||
**覆盖需求**：R4、R6、R10、R14。
|
||||
|
||||
**依赖**：U1。
|
||||
|
||||
**文件**：
|
||||
|
||||
- `internal/engineeringdashboard/source_runtime.go`
|
||||
- `internal/engineeringdashboard/runtime_test.go`
|
||||
|
||||
**实施要点**：
|
||||
|
||||
1. 从仓库内批准的 Compose 静态配置和 allowlist labels 映射环境与服务；无法明确映射时显示 unknown，不用名称猜测。容器 JSON 只提取容器名、image/digest、状态、restart count、health，以及 allowlist 内的 Compose project/service labels；不复制 Env、Mounts、完整 NetworkSettings 或任意 labels。
|
||||
2. 对 allowlist 中的本地 `/ready` 端点执行短超时、响应大小受限的请求；禁用重定向，或对每一跳重新校验 scheme、解析后 IP、端口和 host。
|
||||
3. 解析 promotion receipt/candidate image 等仓库证据，保留 artifact identity。
|
||||
4. 将 container health、app readiness、required-service completeness 分开建模。
|
||||
|
||||
**测试场景**：
|
||||
|
||||
- app ready 且 events restarting 时同时保留两项状态；
|
||||
- Docker 不可用或 HTTP 超时时，其他数据源仍可输出；
|
||||
- receipt 与容器 image 不一致时生成 deployment drift；容器可达但 identity 缺失时标记“运行可见、版本未验证”；
|
||||
- readiness 重定向到外网或非 allowlist 本地端口时拒绝访问；
|
||||
- 输出中不存在容器环境变量或凭证。
|
||||
|
||||
**完成证据**：fixture 和 fake HTTP/Docker runner 测试通过，main 分叉场景被覆盖。
|
||||
|
||||
### U5：实现对账、派生视图与新鲜度
|
||||
|
||||
**目标**：把来源事实组合成用户可判断的视图，但不替来源做未经定义的裁决。
|
||||
|
||||
**覆盖需求**：R3、R4、R6、R8、R9、R10、R13。
|
||||
|
||||
**依赖**：U2、U3、U4。
|
||||
|
||||
**文件**：
|
||||
|
||||
- `internal/engineeringdashboard/reconcile.go`
|
||||
- `internal/engineeringdashboard/reconcile_test.go`
|
||||
|
||||
**实施要点**：
|
||||
|
||||
1. 按领域 SSOT 规则构建 module、task、environment 和 evidence-chain 视图。
|
||||
2. 实现 conflict 分类：declared-vs-observed、task-vs-git、test-vs-subject、receipt-vs-runtime、stale-source、missing-evidence。
|
||||
3. 快照构建期间每个来源独立记录 `observed_at`、持续时间和错误；成功后一次性发布。
|
||||
4. 失败源只可复用同一 serve 进程的 last-known，并标注 stale、age 与 last-success；冷启动无缓存时为 unknown/error。过期数据不隐藏，但按年龄提升告警级别。
|
||||
5. 测试报告只有在 commit/artifact identity 与当前 subject 对齐时才能派生 pass；身份缺失为 unbound，身份不匹配为 stale/drift。
|
||||
|
||||
**测试场景**：
|
||||
|
||||
- 三个真实样本得到预期多轴状态；
|
||||
- 同一组输入顺序变化不改变规范化快照；
|
||||
- 单源失败不会删除其他源，也不会重写 last-known 的观测时间；冷启动失败没有伪造 last-known；
|
||||
- 旧测试报告、新 HEAD 与不同 image 不会派生当前验证通过；
|
||||
- 恢复后 stale 自动清除并产生新 snapshot ID。
|
||||
|
||||
**完成证据**：reconcile table tests 覆盖一致、漂移、缺失、过期和恢复。
|
||||
|
||||
### U6：实现本地服务、总览与文档导航
|
||||
|
||||
**目标**：提供能快速判断异常并下钻证据的本地只读页面和 JSON。
|
||||
|
||||
**覆盖需求**：R1、R2、R3、R7–R10、R12–R14；承接 PKD-1 和 PKD-2。
|
||||
|
||||
**依赖**：U5。
|
||||
|
||||
**文件**：
|
||||
|
||||
- `internal/engineeringdashboard/server.go`
|
||||
- `internal/engineeringdashboard/server_test.go`
|
||||
- `internal/engineeringdashboard/assets/index.html`
|
||||
- `internal/engineeringdashboard/assets/app.js`
|
||||
- `internal/engineeringdashboard/assets/app.css`
|
||||
- `cmd/engineering-dashboard/main.go`
|
||||
|
||||
**实施要点**：
|
||||
|
||||
1. `serve --repo <path> --addr 127.0.0.1:<port>`；一期无条件拒绝所有非 loopback 地址，包括通配、IPv6 非 loopback 和显式传入值。
|
||||
2. 暴露 `/api/v1/snapshot`、`/api/v1/doc/<id>`、`/healthz`；所有接口只读。严格校验 Host/Origin/Fetch Metadata，不信任代理转发头；页面和 API 使用每次启动生成的不可预测访问令牌，降低 DNS rebinding 与跨站读取风险。
|
||||
3. 页面分为总览、架构/模块、任务、Git、部署、文档和证据链。
|
||||
4. 自动刷新完整快照，保留当前筛选、滚动位置、焦点和选中文档；ETag 未变化时不重绘。
|
||||
5. 明确一级视图状态：initial loading、fresh empty、fresh success、partial/degraded with last-known、hard error without cache、refreshing、recovered。刷新中继续展示上一完整快照，直到下一版本原子替换。
|
||||
6. 搜索覆盖标题、仓库相对路径、front matter 和未截断正文；不同维度用 AND、同一维度多选用 OR，默认先排当前任务和异常证据，再按匹配度与路径稳定排序。筛选、查询和选中文档写入 URL 参数，支持浏览器前进/后退与深链。
|
||||
7. 桌面优先；窄屏下侧栏变为可关闭抽屉，宽表格保留可横向滚动的语义表头，详情区单列。所有功能可键盘完成，使用 landmark/标题/表格语义，drift/degraded 不只靠颜色表达，自动刷新通过非打断式 live region 报告且不抢焦点。
|
||||
8. Markdown 正文只进入文本节点；在线页与导出页均设置限制性 CSP，不执行 HTML、脚本、SVG、远程 URL 或事件属性。
|
||||
|
||||
**测试场景**：
|
||||
|
||||
- 只监听 loopback，方法 allowlist 拒绝写请求；Host/Origin/token、DNS rebinding 和跨 Origin 负例被拒绝；
|
||||
- HTML 与 JSON 的 generation/revision identity 一致；
|
||||
- 文档 ID 越界、symlink 越界、未知 ID 返回安全错误；
|
||||
- degraded source 在总览可见且页面仍可导航；
|
||||
- 任务状态四轴、drift 和来源时间在浏览器中可见。
|
||||
- 首次加载、空数据、无缓存错误、刷新、恢复状态可区分；键盘、焦点、语义结构、窄屏和非颜色告警验收通过。
|
||||
- 搜索组合逻辑、排序、无结果、URL 深链和刷新后的视图保持通过。
|
||||
|
||||
**完成证据**：HTTP tests、基本无障碍检查和真实浏览器验收通过。
|
||||
|
||||
### U7：实现离线导出、启动脚本与治理文档
|
||||
|
||||
**目标**：生成安全、可携带、可追踪的单文件快照，并完成仓库治理接线。
|
||||
|
||||
**覆盖需求**：R1、R8、R9、R11、R14；承接 PKD-1 和 PKD-2。
|
||||
|
||||
**依赖**：U6。
|
||||
|
||||
**文件**：
|
||||
|
||||
- `internal/engineeringdashboard/export.go`
|
||||
- `internal/engineeringdashboard/export_test.go`
|
||||
- `scripts/engineering-dashboard.sh`
|
||||
- `.doc/status/FEATURE-MATRIX.md`
|
||||
- `.doc/ops/CURRENT.md`
|
||||
- `.doc/test-reports/YYYY-MM-DD-engineering-dashboard-test-report.md`
|
||||
|
||||
**实施要点**：
|
||||
|
||||
1. `export --repo <path> --output <file>` 构建一次不可变快照并原子写入；首次采集失败的来源显示 unknown/error。
|
||||
2. 以 HTML-safe JSON/等价编码内嵌允许的 Markdown 正文、索引和页面资源；附件保持元数据与相对链接，所有正文只写入文本节点。
|
||||
3. 默认权限 `0600`，输出页显示生成时间、repo、HEAD、snapshot ID 和 degraded/drift。
|
||||
4. 薄脚本只负责定位仓库与调用 Go CLI，不隐藏参数或执行安装/部署副作用。
|
||||
5. 实施期间按仓库规范更新 CURRENT、FEATURE-MATRIX 和 test report；完成后再迁移任务生命周期状态。
|
||||
|
||||
**测试场景**：
|
||||
|
||||
- 导出文件脱离仓库后仍能搜索和阅读 Markdown；
|
||||
- 导出中不含附件字节、绝对凭证路径、env 值或远程请求；`</script>`、事件属性、SVG、危险 URL scheme 和 Unicode 边界载荷不能逃逸数据上下文；
|
||||
- 默认 tracked/untracked 与敏感模式策略、inclusion manifest 和覆盖清单符合契约；
|
||||
- 采集部分失败时仍能导出并保留错误；
|
||||
- 输出中 JSON/HTML snapshot identity 一致，权限符合预期；
|
||||
- 大文档和总正文上限触发时明确标记截断。
|
||||
|
||||
**完成证据**：export tests、离线浏览器验收和治理文档回链完整。
|
||||
|
||||
---
|
||||
|
||||
## Verification Contract
|
||||
|
||||
### 自动验证
|
||||
|
||||
实施阶段至少运行：
|
||||
|
||||
```bash
|
||||
go test ./internal/engineeringdashboard/...
|
||||
go test ./cmd/engineering-dashboard/...
|
||||
go vet ./...
|
||||
go test -short ./...
|
||||
git diff --check
|
||||
```
|
||||
|
||||
涉及共享容器的只读验收也必须遵守 CURRENT 集成槽规则；中控台本身不得为测试启动、停止或重建共享容器。
|
||||
|
||||
### 契约验证矩阵
|
||||
|
||||
| 领域 | 必须证明 |
|
||||
|---|---|
|
||||
| 模型 | 计划、Git facets、验证、部署 facets 互不覆盖；Agent 声明和运行观测分离；所有派生结论可追溯到 facts。 |
|
||||
| 文档 | taxonomy、全文检索、反链、broken/unindexed、路径安全与 assets 排除。 |
|
||||
| Git | ahead/behind、worktree、dirty、local refs 新鲜度和无隐式 fetch。 |
|
||||
| 部署 | container/app/service 三类信号分离，receipt/artifact 身份可核对。 |
|
||||
| 降级 | 每个源超时、错误、stale、恢复都不会让整页不可用。 |
|
||||
| 实时 | 变化在目标时间内形成完整新快照，不出现半新半旧卡片。 |
|
||||
| 导出 | 单文件离线可读、默认 `0600`、不嵌 assets、不产生网络请求。 |
|
||||
| 安全 | loopback、Host/Origin/startup token、read-only methods、命令 allowlist、路径边界、Docker 字段 allowlist、CSP 与输出脱敏。 |
|
||||
|
||||
### 浏览器验收
|
||||
|
||||
1. 从总览进入 rdev，确认“计划/实施/验证/实装”四轴与源文档链接均可见。
|
||||
2. 在仓库外复制导出 HTML，断网打开并全文搜索、阅读至少一份设计与一份测试报告。
|
||||
3. 制造 fixture 中的 CURRENT/Docker/readiness 冲突，确认页面保留多值且不出现综合绿灯。
|
||||
4. 切换 fixture 快照，确认页面刷新后筛选条件和当前文档保持不变。
|
||||
5. 尝试路径穿越、未知文档、POST、DNS rebinding、跨 Origin、readiness 重定向和含原始 HTML/脚本逃逸载荷的 Markdown，确认均不能越界、外联或执行。
|
||||
|
||||
### 性能与容量验证
|
||||
|
||||
- 记录当前 `.doc` 规模下的冷启动、增量刷新、JSON 大小和 HTML 导出大小。
|
||||
- 建议一期门槛：UI shell 与来源状态在 2 秒内可交互，P95 完整快照重建不超过 5 秒，单源超时不超过 2 秒；基线不达标时必须记录实测并拆分后台正文索引，不能伪造 PASS。
|
||||
- 导出达到配置上限时必须显式列出被截断文档，不允许静默丢失。
|
||||
|
||||
---
|
||||
|
||||
## Definition of Done
|
||||
|
||||
- [ ] `serve` 和 `export` 在显式仓库根下可重复运行，且没有产品后台依赖。
|
||||
- [ ] 实时 HTML、离线 HTML 与 JSON 使用同一版本化快照契约。
|
||||
- [ ] `generation_id` 标识采集实例，`revision_id` 标识内容版本并驱动 ETag；无内容变化不会触发重绘。
|
||||
- [ ] 架构、模块、功能、任务、Git、部署、文档和证据链均可从页面访问。
|
||||
- [ ] 计划、实施、验证、实装四轴独立，rdev、dev ahead、main events 分叉样本通过。
|
||||
- [ ] Agent 认领与可观测活动分开，Herdr 工程 Agent 与产品 PI Agent Runner 不混称。
|
||||
- [ ] 所有 drift、degraded、stale 都带来源和时间，不存在未经定义的综合绿灯。
|
||||
- [ ] 默认 loopback、Host/Origin/startup token、只读命令、路径边界、脱敏、CSP 和 Markdown 安全测试通过。
|
||||
- [ ] 首次加载、空数据、部分失败、无缓存失败、恢复、键盘、窄屏和 URL 深链验收通过。
|
||||
- [ ] 导出 HTML 脱离仓库可读 Markdown，且不包含二进制 assets 或凭证数据。
|
||||
- [ ] 单元、集成、全仓短测、浏览器验收和 `git diff --check` 均有真实输出。
|
||||
- [ ] `.doc/test-reports` 报告回链任务文，FEATURE-MATRIX 与 CURRENT 按实际状态更新。
|
||||
- [ ] 没有遗留调试入口、写操作按钮、未使用的替代模型或与产品后台重名的组件。
|
||||
|
||||
---
|
||||
|
||||
## Appendix
|
||||
|
||||
### 一期交付边界
|
||||
|
||||
一期交付：本地只读服务、版本化快照 JSON、架构/任务/Git/部署/文档视图、四轴状态、drift/degraded、全文搜索、安全文档阅读和单 HTML 导出。
|
||||
|
||||
后续评估：跨快照历史趋势、远端托管/CI 聚合、受限富文本与 Mermaid、跨仓库聚合、面向 Agent 的筛选查询 API。
|
||||
|
||||
永久排除：在页面中修改文档、切换或推送分支、控制 Agent、执行部署、读取密钥、成为产品后台模块。
|
||||
|
||||
### 方案依据
|
||||
|
||||
- `.doc/README.md` 定义的文档 taxonomy 与生命周期；
|
||||
- `.doc/ops/CURRENT.md` 的焦点、认领、集成槽与环境声明；
|
||||
- `.doc/status/FEATURE-MATRIX.md` 的模块完成度口径；
|
||||
- `.doc/remediation/gap-matrix.md` 的发布门禁口径；
|
||||
- `.doc/system-design/README.md` 与模块边界清单；
|
||||
- Git/worktree、Docker/Compose、`/ready` 和 promotion receipts 的当前可观测能力。
|
||||
@@ -1,55 +0,0 @@
|
||||
---
|
||||
title: "PU6 语义摘要 shadow（SEMANTIC_SUMMARY_SHADOW）"
|
||||
status: done
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-16
|
||||
owner: Cursor-Auto
|
||||
branch: feature/pu6-semantic-summary
|
||||
worktree: ".worktrees/feature-pu6-semantic-summary"
|
||||
mutex: chat
|
||||
---
|
||||
|
||||
# PU6 语义摘要 shadow
|
||||
|
||||
## 目标
|
||||
|
||||
在授权可见消息集合上落地 `SEMANTIC_SUMMARY_SHADOW`（默认 off）：shadow 语义摘要、失败回 deterministic 并标注 freshness；不启用 REPLACE。
|
||||
|
||||
## 范围
|
||||
|
||||
- `internal/ctxmgr/summarizer.go` + semantic shadow
|
||||
- `internal/app/chatflow/` 授权过滤入口
|
||||
- `internal/server/chat_digest_api.go` 出站 freshness/shadow 字段
|
||||
- 单元/表征测试；测试报告
|
||||
|
||||
## 非目标
|
||||
|
||||
- 不启用 `SEMANTIC_SUMMARY_REPLACE`
|
||||
- 不合入 `dev`
|
||||
- 不改 plan 文件
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 从 `dev` 开分支 / worktree 并认领
|
||||
2. [x] flags + 无工具语义摘要器 + rolling summary shadow
|
||||
3. [x] chatflow 授权路径 + digest API
|
||||
4. [x] 测试与报告
|
||||
5. [x] 渐进提交并 push
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] flag off 行为与基线一致
|
||||
- [x] shadow on：仅 authorized 消息；失败保留 deterministic + freshness
|
||||
- [x] injection 不能提权；REPLACE 路径未接线
|
||||
- [x] 测试报告归档
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Contract: `../long-term/2026-09-16-pu6-semantic-summary-contract.md`
|
||||
- Test report: `../../test-reports/2026-09-16-pu6-semantic-summary-test-report.md`
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- 分支：`feature/pu6-semantic-summary`（worktree）
|
||||
- 测试：`go test -short ./internal/ctxmgr/ ./internal/app/chatflow/ ./internal/server/` PASS
|
||||
|
||||
@@ -1,48 +0,0 @@
|
||||
---
|
||||
title: "P5 PU8 U9–U12 独立 flag 脚手架"
|
||||
status: done
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-16
|
||||
owner: Cursor
|
||||
branch: feature/pu8-u9-u12-flags
|
||||
worktree: /tmp/wt-pu8
|
||||
mutex: intent-plan
|
||||
---
|
||||
|
||||
# P5 PU8 U9–U12 独立 flag 脚手架
|
||||
|
||||
## 目标
|
||||
|
||||
为多意图扩面 U9–U12 落地独立 env flag（默认 OFF）与 stub/dry-run 端口，不升 `MULTI_INTENT_PLAN_TIER`。
|
||||
|
||||
## 范围
|
||||
|
||||
- `MULTI_INTENT_U9_SEGMENT` / `U10_MUTATE` / `U11_DOCGOV` / `U12_RUN_CONTROL`
|
||||
- U9 segment proposal port + fail-closed stub
|
||||
- U10–U12 dry-run adapters + `BuildOwnerMux` 门控
|
||||
- 单测证明默认 off 与 enable 路径不 panic
|
||||
|
||||
## 非目标
|
||||
|
||||
- 真实 LLM 分段 / 升 tier / 合入 `dev`
|
||||
- 真实 docgov/workflow 副作用写路径
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 独立 flags + `.env.example`
|
||||
2. [x] segment proposal + expansion adapters + mux 门控
|
||||
3. [x] Assemble `BuildOwnerMux` 接线
|
||||
4. [x] 单测 + 测试报告
|
||||
5. [x] push（不合 `dev`）
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 四 flag 默认 off；开 flag 不升 PlanTier
|
||||
- [x] flag off ≡ legacy（无 LLM proposal、无新 adapters）
|
||||
- [x] flag on：U9 fail-closed；U10–U12 dry-run/guarded
|
||||
- [x] 报告归档
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Contracts: [u9](../long-term/2026-09-16-pu8-u9-segment-proposal-contract.md) … [u12](../long-term/2026-09-16-pu8-u12-workflow-run-control-contract.md)
|
||||
- Test report: [../../test-reports/2026-09-16-pu8-u9-u12-flags-test-report.md](../../test-reports/2026-09-16-pu8-u9-u12-flags-test-report.md)
|
||||
@@ -1,30 +0,0 @@
|
||||
---
|
||||
title: "Wave 2 PU4 真实 PI 补证（U8 + full/none）"
|
||||
status: done
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-16
|
||||
owner: Cursor
|
||||
branch: feature/wave2-real-pi-evidence
|
||||
worktree: "-"
|
||||
mutex: intent-plan
|
||||
---
|
||||
|
||||
# Wave 2 PU4 真实 PI 补证（U8 + full/none）
|
||||
|
||||
## 目标
|
||||
|
||||
补齐 multi-intent U8 与工作流 full/none 的真实 PI / PG / 跨用户 / 恢复证据。
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 认领 + 占槽 rebuild
|
||||
2. [x] U8 live 证据路径
|
||||
3. [x] full/none 混合长链 live 测试
|
||||
4. [x] 报告 + 矩阵更新 + 释放槽位
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] U8 真实 PI PASS
|
||||
- [x] full 跨用户审批 PASS
|
||||
- [x] none 免审批且不阻塞 PASS
|
||||
- [x] 报告归档 `.doc/test-reports/2026-09-16-wave2-real-pi-evidence-test-report.md`
|
||||
@@ -1,48 +0,0 @@
|
||||
---
|
||||
title: "docgov 变更提案 HTTP + 前端接线"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/docgov-modification-proposal-http
|
||||
worktree: .worktrees/feature-docgov-modification-proposal-http
|
||||
mutex: docgov
|
||||
---
|
||||
|
||||
# docgov 变更提案 HTTP + 前端接线
|
||||
|
||||
## 目标
|
||||
|
||||
暴露 `POST /api/v1/docgov/proposal`，前端「修改」快捷分支与 `ProposalConfirmCard` 走真实 propose/decide，不再本地假装成功。
|
||||
|
||||
## 范围
|
||||
|
||||
- API：`ProposeModification` 路由；decide 补 404/403 映射
|
||||
- 前端：`docgov.ts` + `App.tsx` 接线
|
||||
- 单测 + 真实 HTTP 证据
|
||||
- 关闭 audit 缺口；dev 试点总开关证据归档
|
||||
|
||||
## 非目标
|
||||
|
||||
- 晋升 test/main
|
||||
- 变更提案自动改写受控正文（批准后仍为 UI 演示增补）
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 实现 propose handler + 路由
|
||||
2. [x] 前端 client + App 接线
|
||||
3. [x] handler/client 单测
|
||||
4. [x] 合入 dev + rebuild + 真实 HTTP
|
||||
5. [x] push origin/dev；清理 author-only worktree
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] `POST /api/v1/docgov/proposal` 可写库（单测）
|
||||
- [x] 真实 HTTP claim → propose → decide PASS
|
||||
- [x] audit 缺口 resolved；CURRENT 认领收敛
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Audit: [../../audit/2026-09-17-docgov-modification-proposal-http-gap.md](../../audit/2026-09-17-docgov-modification-proposal-http-gap.md)
|
||||
- Pilot: [../../test-reports/assets/2026-09-17-author-only-pilot/](../../test-reports/assets/2026-09-17-author-only-pilot/)
|
||||
- Closeout: [../handoffs/2026-09-17-document-author-only-closeout.md](../handoffs/2026-09-17-document-author-only-closeout.md)
|
||||
@@ -1,53 +0,0 @@
|
||||
---
|
||||
title: "修复 CreateOrGetDocument 可选职责 0→NULL FK"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: fix/docgov-optional-duty-null-fk
|
||||
worktree: "-"
|
||||
mutex: docgov
|
||||
---
|
||||
|
||||
# 修复 CreateOrGetDocument 可选职责 0→NULL FK
|
||||
|
||||
## 目标
|
||||
|
||||
无 reviewer/approver 职责时创建文档账本成功，不再因 `reviewer_id=0` FK 失败并被标成 `INTERNAL_ERROR`。
|
||||
|
||||
## 范围
|
||||
|
||||
- `internal/docgov/engine.go`：`nullIfZero` 写入 author/reviewer/approver
|
||||
- `internal/stream/classify.go`：`DOC_LEDGER_ERROR` 分型
|
||||
- 回归测试 + audit/test-report
|
||||
|
||||
## 非目标
|
||||
|
||||
- 不强制项目配置 reviewer
|
||||
- 不改前端 flushSync / 虚拟列表
|
||||
- 不改项目 6417 存量数据（代码修好后重试即可）
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] CreateOrGetDocument 0→NULL
|
||||
2. [x] ClassifyError `DOC_LEDGER_ERROR`
|
||||
3. [x] 单元/回归测试（`-short` 已绿）
|
||||
4. [x] 占集成槽位 rebuild + 6417 复测（`run_1789625396102207018`，`doc_proj6417_intake` NULL FK）
|
||||
5. [x] test-report 归档；合入 `dev`
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] `go test -short ./internal/docgov/... ./internal/stream/...` PASS
|
||||
- [x] 仅-author 项目 `CreateOrGetDocument` / 任务发起不再 `INTERNAL_ERROR`；`reviewer_id IS NULL`
|
||||
- [x] 项目 6417 账本创建成功（full 职责路径未被本修复改动）
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Audit: [../../audit/2026-09-17-docgov-optional-duty-null-fk.md](../../audit/2026-09-17-docgov-optional-duty-null-fk.md)
|
||||
- Test report: [../../test-reports/2026-09-17-docgov-optional-duty-null-fk-test-report.md](../../test-reports/2026-09-17-docgov-optional-duty-null-fk-test-report.md)
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- 失败 run：`run_1789622069585300787`
|
||||
- 验证 run：`run_1789625396102207018` / `doc_proj6417_intake` author=9 reviewer/approver NULL
|
||||
- merge：`e488d10 merge: fix/docgov-optional-duty-null-fk`
|
||||
@@ -1,47 +0,0 @@
|
||||
---
|
||||
title: 文档编制人兼任审核批准方案
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Codex
|
||||
branch: feature/document-author-only-plan
|
||||
worktree: .worktrees/feature-document-author-only-plan
|
||||
mutex: document-duty-policy-plan
|
||||
---
|
||||
|
||||
# 文档编制人兼任审核批准方案
|
||||
|
||||
## 目标
|
||||
|
||||
基于当前源码形成管理员总授权、项目创建者逐文档选择的详细实施方案，交用户审核。
|
||||
|
||||
## 范围
|
||||
|
||||
权限、系统设置、工作流规划和冻结、文档三职、动作鉴权、状态机、前端、迁移与验收。
|
||||
|
||||
## 非目标
|
||||
|
||||
本次不修改业务代码、不变更数据库或共享容器、不推送。
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 阅读启动链并从本地 dev 建立隔离分支。
|
||||
2. [x] 核查实现并记录证据。
|
||||
3. [x] 编写方案、检查边界与验收覆盖。
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 方案覆盖用户两个权限层级及逐文档持久化。
|
||||
- [x] 当前事实与拟议行为分开，列明实施单元与测试场景。
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
基线 dev adb48c8。已 fetch origin/dev，本地 dev 领先 44、落后 0，保留未推送集成成果；主工作区 feature/control-center-server 未切换。worktree 脚本默认从当前 HEAD 创建，故直接指定 dev 创建本 worktree，避免引入他人分支。
|
||||
|
||||
## 交付
|
||||
|
||||
- 方案：`.doc/remediation/2026-09-17-document-author-only-plan.md`
|
||||
- 核查：`.doc/audit/2026-09-17-document-author-only-analysis.md`
|
||||
- 本任务完成仅指方案交付，业务实现为 planned；R9/R10 待用户审核。
|
||||
- 未合入 dev：方案保留在独立分支供审核；未推送、未修改业务代码或容器。
|
||||
- 验证：源码与文档一致性检查、git diff --check；未执行业务测试。
|
||||
@@ -1,57 +0,0 @@
|
||||
---
|
||||
title: "文档编制人兼任：U1 策略存储与总授权"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/document-author-only-plan
|
||||
worktree: ".worktrees/feature-document-author-only-plan"
|
||||
mutex: sysadmin + document-duty-policy
|
||||
---
|
||||
|
||||
# 文档编制人兼任：U1 策略存储与总授权
|
||||
|
||||
## 目标
|
||||
|
||||
落地 `workflow.allow_author_only_approval` 管理员总开关：默认关闭、严格 bool、revision CAS、事务内审计，并向 projectinstance 提供可参与激活事务的窄读取接口。
|
||||
|
||||
## 范围
|
||||
|
||||
- Goose 增量迁移（revision 列、种子行、策略审计表）
|
||||
- `internal/sysadmin` 存储/服务/窄 Policy 接口
|
||||
- `admin_system_handlers` 对本 key 的 `expected_revision` 协议
|
||||
- 单元 / PG / HTTP 负例测试
|
||||
|
||||
## 非目标
|
||||
|
||||
- 逐文档 duty_policy（U2）
|
||||
- 前端设置页文案（U5）
|
||||
- 已激活实例紧急熔断
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 认领 CURRENT
|
||||
2. [x] 迁移 00050
|
||||
3. [x] sysadmin CAS + 审计 + PolicySource
|
||||
4. [x] admin handler
|
||||
5. [x] 测试与提交
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 管理员可开关；非管理员 403
|
||||
- [x] null/字符串布尔拒绝
|
||||
- [x] 并发 CAS 仅一版成功
|
||||
- [x] 审计失败回滚设置
|
||||
- [x] 窄接口可读 allowed+revision；缺行默认 false；DB 故障不伪装
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Plan: `.doc/remediation/2026-09-17-document-author-only-plan.md` U1
|
||||
- Checklist:
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- `go test ./internal/sysadmin/ ./internal/server/ -run 'Settings|AuthorOnly|PGSettings|AdminSystem'` PASS
|
||||
- `go test -short ./internal/sysadmin/ ./internal/server/` PASS
|
||||
- Key: `workflow.allow_author_only_approval`
|
||||
- 窄接口: `sysadmin.AuthorOnlyPolicySource`
|
||||
@@ -1,54 +0,0 @@
|
||||
---
|
||||
title: "文档编制人兼任：U2 逐文档模式与激活"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/document-author-only-plan
|
||||
worktree: ".worktrees/feature-document-author-only-plan"
|
||||
mutex: projectinstance + document-duty-policy
|
||||
---
|
||||
|
||||
# 文档编制人兼任：U2 逐文档模式与激活
|
||||
|
||||
## 目标
|
||||
|
||||
落地逐文档 `duty_policy=author_only`：规划校验、预览摘要、激活 token 绑定策略 revision，激活事务内行锁串行化关闭总开关。
|
||||
|
||||
## 范围
|
||||
|
||||
- DocTaskPlan / PreviewSummary / ProjectSettings 扩展
|
||||
- ResolveDocTaskDuty、Save/Preview/Activate 消费 U1 策略
|
||||
- Goose 00051 token revision 列
|
||||
- app 适配器装配、HTTP 错误码映射
|
||||
- 单元测试
|
||||
|
||||
## 非目标
|
||||
|
||||
- Heal/文档投影（U3）
|
||||
- 前端 UI（U5）
|
||||
- 运行时动作多职责（U4/U6）
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 类型与解析器
|
||||
2. [x] service/store/迁移
|
||||
3. [x] app 装配与 handler
|
||||
4. [x] 测试与提交
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 一位成员兼任可存/预览/激活（总开关开）
|
||||
- [x] 总开关关时 Save 拒绝
|
||||
- [x] 预览后 revision 变化旧 token 409
|
||||
- [x] 未开模式只填作者仍 partial 拒绝
|
||||
- [x] 旧快照缺 duty_policy 时 hash 稳定
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Plan: `.doc/remediation/2026-09-17-document-author-only-plan.md` U2
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- `go vet ./internal/projectinstance/ ./internal/app/ ./internal/server/`
|
||||
- `go test -short ./internal/projectinstance/ ./internal/server/ ./internal/app/` PASS
|
||||
@@ -1,55 +0,0 @@
|
||||
---
|
||||
title: "文档编制人兼任：U3 文档绑定与职责投影"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/document-author-only-plan
|
||||
worktree: ".worktrees/feature-document-author-only-plan"
|
||||
mutex: docgov + docduty + bizdev + document-duty-policy
|
||||
---
|
||||
|
||||
# 文档编制人兼任：U3 文档绑定与职责投影
|
||||
|
||||
## 目标
|
||||
|
||||
生成时写入实例治理职责并 `duty_locked`；heal/revoke 跳过锁定行；读侧投影 `duty_policy`。
|
||||
|
||||
## 范围
|
||||
|
||||
- Goose 00052：`document_records.duty_locked` / `duty_policy`
|
||||
- `docgov.LockDocumentDuty` + 列表投影
|
||||
- `docduty` heal/revoke `AND NOT duty_locked`
|
||||
- `bizdev.InstanceDutySource` + `resolveTaskDocumentDuties` 治理分支；跳过 governed 内存 heal
|
||||
- `app/instance_duty_adapter.go` 装配
|
||||
|
||||
## 非目标
|
||||
|
||||
- U4 动作鉴权 / allowed_actions
|
||||
- U5/U6 前端
|
||||
- 合入 `dev`
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 迁移
|
||||
2. [x] docgov / docduty
|
||||
3. [x] bizdev + app 适配器
|
||||
4. [x] 测试与提交
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 受治理文档创建后 `duty_locked=true` 且三职来自实例
|
||||
- [x] heal/revoke 不清锁定行（SQL 过滤 + 单测/PG 可选）
|
||||
- [x] 生成后 governed 路径不再用项目默认覆盖内存态
|
||||
- [x] 模块边界：bizdev/docduty/docgov 不导入 projectinstance
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Plan: U3（文档绑定与职责投影一致性）
|
||||
- 依赖：U1 `3b6def2`、U2 `c03d0a3`
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- `go vet ./internal/docgov/ ./internal/docduty/ ./internal/bizdev/ ./internal/app/ ./internal/projectinstance/`
|
||||
- `go test -short` 上述包 PASS
|
||||
- PG：`TEST_DATABASE_URL` 未配置时 `Heal/Revoke SkipsDutyLocked` 自动跳过
|
||||
@@ -1,47 +0,0 @@
|
||||
---
|
||||
title: "文档编制人兼任：U4 动作鉴权与审计"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/document-author-only-plan
|
||||
worktree: ".worktrees/feature-document-author-only-plan"
|
||||
mutex: projectinstance + docgov + document-duty-policy
|
||||
---
|
||||
|
||||
# 文档编制人兼任：U4 动作鉴权与审计
|
||||
|
||||
## 目标
|
||||
|
||||
ABAC 门禁识别 `duty_policy=author_only` 派生职责；审计 Details 携带 duty_policy。
|
||||
|
||||
## 范围
|
||||
|
||||
- `duty_action` / `stage_access` / `gate` 改用 `ResolveDocTaskDuty`
|
||||
- `state_machine` Transition* Details 补 `duty_policy`
|
||||
- author_only 动作矩阵与阶段可见性测试
|
||||
|
||||
## 非目标
|
||||
|
||||
- U5 UI / U6 浏览器闭环
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] ABAC 三文件
|
||||
2. [x] 审计详情
|
||||
3. [x] 测试与提交
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] author_only 规范存储（仅 Author ID）下 A 可 run/edit/submit/review/approve
|
||||
- [x] 非 A 拒绝；阶段门禁将 author_only 视为 approvalManaged
|
||||
- [x] 审计 Details 含 duty_policy
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Plan: U4+U5 实施计划
|
||||
- 依赖：U1–U3
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- `go test -short ./internal/projectinstance/ ./internal/docgov/ ./internal/app/ ./internal/server/` PASS
|
||||
@@ -1,48 +0,0 @@
|
||||
---
|
||||
title: "文档编制人兼任：U5 系统设置与逐文档 UI"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/document-author-only-plan
|
||||
worktree: ".worktrees/feature-document-author-only-plan"
|
||||
mutex: web + document-duty-policy
|
||||
---
|
||||
|
||||
# 文档编制人兼任：U5 系统设置与逐文档 UI
|
||||
|
||||
## 目标
|
||||
|
||||
前端识别 `duty_policy` / `author_only_policy`；项目设置可逐文档开启兼任。
|
||||
|
||||
## 范围
|
||||
|
||||
- `projectSettings.ts` 类型
|
||||
- `projectSettingsDuties.ts` resolveClientDocTaskDuty + 校验
|
||||
- `ProjectSettingsModal` 兼任勾选与预览
|
||||
- SettingsSection 不改（白名单通用渲染）
|
||||
|
||||
## 非目标
|
||||
|
||||
- U6 多职责动作栏 / 浏览器 E2E
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 类型与 lib
|
||||
2. [x] UI
|
||||
3. [x] 测试与提交
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] author_only 客户端校验通过且不计三人门槛
|
||||
- [x] 总开关关闭时兼任勾选禁用并提示
|
||||
- [x] 预览展示兼任文档计数
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Plan: U4+U5 实施计划
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- `npx tsc --noEmit` PASS
|
||||
- `npm test` PASS（含 projectSettingsDuties author_only 用例）
|
||||
@@ -1,55 +0,0 @@
|
||||
---
|
||||
title: "文档编制人兼任：U6 多职责动作与真实闭环"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/document-author-only-plan
|
||||
worktree: ".worktrees/feature-document-author-only-plan"
|
||||
mutex: web + document-duty-policy
|
||||
---
|
||||
|
||||
# 文档编制人兼任：U6 多职责动作与真实闭环
|
||||
|
||||
## 目标
|
||||
|
||||
去掉 author-first 动作短路，把认领/送审/审核/批准接到真实 docgov HTTP，完成 author_only 端到端验收。
|
||||
|
||||
## 范围
|
||||
|
||||
- `web/src/api/docgov.ts` 四接口客户端
|
||||
- `docGovActionVisibility` / `holdsDocDuty`
|
||||
- `App.tsx` 真实 handler + 快捷指令
|
||||
- `duty_policy` 透传与「编制人兼任」徽标
|
||||
- 单测 + 真实闭环报告
|
||||
|
||||
## 非目标
|
||||
|
||||
- 变更提案 HTTP 路由（另记 audit）
|
||||
- 合入 `dev` / 推送远端（未授权不推）
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] API 客户端
|
||||
2. [x] ID 直判可见性
|
||||
3. [x] App 接线 + 驳回批准修正
|
||||
4. [x] duty_policy 徽标透传
|
||||
5. [x] 单测 / tsc
|
||||
6. [x] 真实闭环与报告
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] author_only 下 A 可见三动作；非 A 403
|
||||
- [x] 真实 API 闭环写库与审计含 duty_policy
|
||||
- [x] 浏览器可见「编制人兼任」徽标
|
||||
- [x] 测试报告归档
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Test report: [../../test-reports/2026-09-17-document-author-only-u6-test-report.md](../../test-reports/2026-09-17-document-author-only-u6-test-report.md)
|
||||
- Remediation U6: [../../remediation/2026-09-17-document-author-only-plan.md](../../remediation/2026-09-17-document-author-only-plan.md)
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- `npm test` 390 pass；`tsc --noEmit` clean
|
||||
- assets: `test-reports/assets/2026-09-17-document-author-only-u6/`
|
||||
@@ -1,41 +0,0 @@
|
||||
---
|
||||
title: "首次加载性能诊断与改进方案"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Codex
|
||||
branch: feature/initial-load-performance-plan
|
||||
worktree: .worktrees/feature-initial-load-performance-plan
|
||||
mutex: loading-performance-audit
|
||||
---
|
||||
|
||||
# 首次加载性能诊断与改进方案
|
||||
|
||||
## 目标
|
||||
以源码、现有容器静态资源和只读浏览器测量定位首次加载瓶颈，输出可审核的分期改进方案。
|
||||
|
||||
## 范围
|
||||
登录前首屏、登录后初始化、项目/文档首次打开、静态资源交付；区分事实与待验证假设。
|
||||
|
||||
## 非目标
|
||||
不修改业务代码，不重启/重建共享服务，不触发真实对话或文档写任务，不提交或推送其他人的工作。
|
||||
|
||||
## 步骤
|
||||
1. [x] 阅读仓库启动链；独立 dev 基线 worktree，主仓保留其他 Agent 分支。
|
||||
2. [x] 采集数值基线和源码证据。
|
||||
3. [x] 写 audit 和 remediation，同步 CURRENT，归档任务。
|
||||
|
||||
## 验收标准
|
||||
- [x] 原因有文件位置或运行时测量支持，未覆盖环境明确标注。
|
||||
- [x] 方案包含优先级、改动边界、性能预算、回归门禁和回滚。
|
||||
|
||||
## 证据 / 备注
|
||||
仅诊断与方案，不代表优化已实施。fetch 后 origin/dev 落后本地 dev；不拉回或覆盖本地工作。worktree 从创建瞬间的 dev 建立。
|
||||
|
||||
## 交付
|
||||
|
||||
- 诊断：`.doc/audit/2026-09-17-initial-load-performance-audit.md`
|
||||
- 方案：`.doc/remediation/2026-09-17-initial-load-performance-plan.md`
|
||||
- 报告：`.doc/test-reports/2026-09-17-initial-load-performance-baseline.md`
|
||||
- 本轮仅方案；没有业务代码、没有部署、未提交、未合dev、未推送。主仓仅同步本任务认领。
|
||||
- 临时3199 Vite已停止；既有3100/8080/8081未重启。未占集成槽。
|
||||
@@ -1,55 +0,0 @@
|
||||
---
|
||||
title: "修复 KB 宿主机错误口令与静默离线降级"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: fix/kb-host-auth-layered-load
|
||||
worktree: "-"
|
||||
mutex: infra
|
||||
---
|
||||
|
||||
# 修复 KB 宿主机错误口令与静默离线降级
|
||||
|
||||
## 目标
|
||||
|
||||
消除 `config.Load("")` 只读 `configs/.env.dev`、忽略根 `.env` 的 `KB_DB_PASSWORD` 导致的错误默认口令与静默离线；E2E/nightly 默认 fail-closed。
|
||||
|
||||
## 范围
|
||||
|
||||
- `internal/config` 分层加载 + 宿主机 DNS 归一化 + 空默认口令
|
||||
- `internal/kb` 脱敏日志、`Online()`、`KB_REQUIRE_ONLINE` / `KB_ALLOW_OFFLINE`
|
||||
- `/health` 增加 `kb_ready`
|
||||
- PI E2E helper 与 `scripts/run-nightly-real-pi.sh` 预检
|
||||
- env 模板与验收报告
|
||||
|
||||
## 非目标
|
||||
|
||||
- 不改 KB 数据内容 / 法规迁移
|
||||
- 不把真实口令写入 git 跟踪的 `configs/.env.*`
|
||||
- 不把容器内 DNS 改成 localhost
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 分层 Load + 默认口令清空
|
||||
2. [x] NormalizeKBHostForRuntime
|
||||
3. [x] kb 客户端脱敏 + RequireOnline（EnsureOnline；不 Fatalf）
|
||||
4. [x] health `kb_ready` + E2E/nightly 门禁
|
||||
5. [x] 合入 `dev` 冒烟（rebuild + `/health` `kb_ready=true`）
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] `config.Load("")` 分层合并后口令来自根 `.env`（单测临时文件 + live 布尔校验）
|
||||
- [x] 宿主机 `shuimu-kb-shared` → `127.0.0.1`；容器内保留 compose DNS
|
||||
- [x] 错口令/空口令离线且日志无明文密码；`KB_ALLOW_OFFLINE=1` 可降级
|
||||
- [x] 合 `dev` 后 short 测 PASS；dev rebuild 后 `kb_ready=true`，日志 `online=true dsn=...:***@shuimu-kb-shared...`，无 `shared_kb_secret_pass`
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Test report: `.doc/test-reports/2026-09-17-kb-host-auth-layered-load-test-report.md`
|
||||
- Plan: 修复 KB 连接降级
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
根因：`Load` 优先单文件 `configs/.env.dev`（故意省略 `KB_DB_PASSWORD`），保留错误默认 `shared_kb_secret_pass`；Compose 本已分层，宿主机 `go test` 未对齐。
|
||||
合入后容器日志：`[kb] online=true dsn=postgres://regkb:***@shuimu-kb-shared:5432/regulations?sslmode=disable`；health `kb_ready=true`。
|
||||
@@ -1,57 +0,0 @@
|
||||
---
|
||||
title: "rdev 模板深度补强 S1 续批（剩余 46 份）"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/rdev-template-depth-s1-continued
|
||||
worktree: ".worktrees/feature-rdev-template-depth-s1-continued"
|
||||
mutex: rdev-templates
|
||||
---
|
||||
|
||||
# rdev 模板深度补强 S1 续批（剩余 46 份）
|
||||
|
||||
## 目标
|
||||
|
||||
将剩余 46 份 `rd_*` 模板按写作规范做同等深度补强，lint allowlist 扩至全 60 份，抽样真 PI 打样收口。
|
||||
|
||||
## 范围
|
||||
|
||||
- 批1：6 份评审记录
|
||||
- 批2：阶段06 硬件/工艺 8 份
|
||||
- 批3：阶段06 软件/检验/技术要求+清单 9 份
|
||||
- 批4：阶段08 验证 12 份
|
||||
- 批5：阶段10–13 转换/确认 11 份
|
||||
- lint allowlist + 抽样真 PI + 文档同步
|
||||
|
||||
## 非目标
|
||||
|
||||
- S2/S3、P2 前端、P3 三样本全量 E2E、P4 键名空间化
|
||||
- 晋升 test/main
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 批1 评审记录 6 份
|
||||
2. [x] 批2 硬件/工艺 8 份
|
||||
3. [x] 批3 软件/检验/清单 9 份
|
||||
4. [x] 批4 验证 12 份
|
||||
5. [x] 批5 转换/确认 11 份
|
||||
6. [x] 抽样真 PI + 文档同步（合入 push 见 merge 步骤）
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 46 份无「按本阶段专业结构写」；lint allowlist 60/60
|
||||
- [x] 抽样 1–2 份真 PI PASS（`rd_planning_review` + `rd_design_vv`，项目 6446）
|
||||
- [x] FEATURE-MATRIX / 写作规范 / backlog 已更新
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Backlog: [.doc/backlog/2026-09-17-rdev-phase2-backlog.md](../../backlog/2026-09-17-rdev-phase2-backlog.md)
|
||||
- 写作规范: [.doc/system-design/project-workflow/08-rdev模板写作规范.md](../../system-design/project-workflow/08-rdev模板写作规范.md)
|
||||
- 首批报告: [.doc/test-reports/2026-09-17-rdev-template-depth-test-report.md](../../test-reports/2026-09-17-rdev-template-depth-test-report.md)
|
||||
- 续批报告: [.doc/test-reports/2026-09-17-rdev-template-depth-s1-continued-test-report.md](../../test-reports/2026-09-17-rdev-template-depth-s1-continued-test-report.md)
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- 资产：`.doc/test-reports/assets/2026-09-17-rdev-template-depth-s1-continued/`
|
||||
- 附带：`fix(projectinstance): allocate next instance_no for planning drafts`
|
||||
@@ -1,54 +0,0 @@
|
||||
---
|
||||
title: "rdev 模板深度补强 S0 + S1 首批"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/rdev-template-depth
|
||||
worktree: ".worktrees/feature-rdev-template-depth"
|
||||
mutex: rdev-templates
|
||||
---
|
||||
|
||||
# rdev 模板深度补强 S0 + S1 首批
|
||||
|
||||
## 目标
|
||||
|
||||
修复 rdev leader prompt 错配，并为阶段 01–05 的 14 份 rdev 模板补齐 ISO 13485 专业章节与逐节写作指令，以 dev 真实 PI 打样验证收口。
|
||||
|
||||
## 范围
|
||||
|
||||
- S0.1 B1：`rdev_leader.md` + InstructionsFile 注入链
|
||||
- S0.2：`rd_design_input_spec` 样例 + 写作规范 + lint
|
||||
- S0.3：dev 真实 PI 打样
|
||||
- S1 首批：阶段 01–05 共 14 份模板（分 3 批）
|
||||
|
||||
## 非目标
|
||||
|
||||
- overlay 机制本体、R1–R7 二期、per-stage 步骤定制、模型配置化、manifest 元数据、前端（P2）、键名空间化（P4）、阶段 06–13 模板
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] S0.1 leader prompt 注入链（`6a09062`）
|
||||
2. [x] S0.2 样例模板 + 规范 + lint（含于 `eb09b21`）
|
||||
3. [x] S0.3 真实 PI 打样（项目 6424 intake + 6425 `rd_design_input_spec`）
|
||||
4. [x] S1 批 1–3（`eb09b21`）
|
||||
5. [x] 文档与门禁
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] rdev leader AGENTS.md 含「设计控制」且不含「商务对接负责人」「CDO」
|
||||
- [x] intake leader 回归仍含「商务对接负责人」
|
||||
- [x] 14 份模板 lint 绿灯；真 PI 终稿五节实质论证
|
||||
- [x] `go vet` + `go test -short` 全绿
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Test report: [.doc/test-reports/2026-09-17-rdev-template-depth-test-report.md](../../test-reports/2026-09-17-rdev-template-depth-test-report.md)
|
||||
- Assets: [.doc/test-reports/assets/2026-09-17-rdev-template-depth/](../../test-reports/assets/2026-09-17-rdev-template-depth/)
|
||||
- Backlog: [.doc/backlog/2026-09-17-rdev-phase2-backlog.md](../../backlog/2026-09-17-rdev-phase2-backlog.md)
|
||||
- 写作规范: [.doc/system-design/project-workflow/08-rdev模板写作规范.md](../../system-design/project-workflow/08-rdev模板写作规范.md)
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- 依赖 `feature/rdev-core`（尚未合 dev）；合入前需 rebase 丢弃已进 dev 的 engineering-dashboard 重复提交。
|
||||
- 真 PI：`run_1789635054471569201`（intake ~220s）；`run_1789635960880707641`（DI ~450s，`stage=RD03_design_input`）。
|
||||
@@ -1,70 +0,0 @@
|
||||
---
|
||||
title: "研发工作流（rdev）接入：13 阶段 / 60 文档任务"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: fix/docgov-stage-dynamic → feature/rdev-core
|
||||
worktree: "-"
|
||||
mutex: workflow-def
|
||||
---
|
||||
|
||||
# 研发工作流（rdev）接入：13 阶段 / 60 文档任务
|
||||
|
||||
## 目标
|
||||
|
||||
在现有 5 个正式工作流外新增医疗第 4 工作流「研发设计控制流程」（key: `rdev`），完整承载参考项目 13 phase / 60 文档任务的 ISO 13485 DHF 设计控制链，并通过真实 PI 验收；随后完成全工作流任务键命名空间化（P4）。
|
||||
|
||||
## 范围
|
||||
|
||||
- 方案：[07-研发工作流rdev接入-设计与实施计划](../../system-design/project-workflow/07-研发工作流rdev接入-设计与实施计划.md)（P0–P4 五期；§8 四项决策已确认）
|
||||
- P0：docgov Stage 去硬编码 + stage key 透传
|
||||
- P1：rdev.v2.json manifest（13×60 一次到位）+ 60 份 rd_ 前缀模板 + catalog/seed/registry + squad kind 编排 + main-completed precheck + 齐套测试 + stub PG 全链路
|
||||
- P2：前端激活规划/切换/前置 Banner + intent 文档名匹配 + prior docs 注入与血缘
|
||||
- P3：真实 PI Agent E2E（rd_proposal / rd_planning_review / rd_sw_plan 三样本）+ CI 门禁扩四
|
||||
- P4：现有工作流（main/pm/tm + 软件两盘点）任务键 `bd_`/`pm_`/`tm_`（`sw_`）空间化，alias 兼容式改名（D12），独立分支独立验收
|
||||
|
||||
## 非目标
|
||||
|
||||
- 二期增强全部移入 backlog：[2026-09-17-rdev-phase2-backlog](../../backlog/2026-09-17-rdev-phase2-backlog.md)（N/A 不适用页生成、UR/RS 结构化门禁、kind 专用门禁、depends_on 精确血缘、DMR 归档、sw_ 键盘点、complexity regulatory 注入）
|
||||
- 云盘 canonical DHF/DMR 归档（本仓库无云盘模块）
|
||||
- 软件域（non_medical_software）开放 rdev
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 用户确认方案 §8 四项决策（2026-09-17：名称「研发设计控制流程」/ 60 任务一次到位 / N/A 规划期关闭 + backlog / rd_ 前缀并扩展到现有工作流键名空间化）
|
||||
2. [x] P0 分支 `fix/docgov-stage-dynamic`（StageKey 透传；已叠入 `feature/rdev-core`）
|
||||
3. [x] P1 分支 `feature/rdev-core`（manifest/模板/seed/编排/precheck/齐套测试）
|
||||
4. [ ] P2 分支 `feature/rdev-web-governance`（前端 + intent + 血缘）— **骨架已定，待独立认领**
|
||||
5. [ ] P3 真实 PI 验收 + 报告归档 + FEATURE-MATRIX 更新 — **骨架已定，待独立认领**
|
||||
6. [ ] P4 分支 `feature/workflow-key-namespace`（D12 alias 兼容式改名 + 双路径回归）— **骨架已定，待独立认领**
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] `go vet ./...` && `go test -short` 相关包 PASS（P0+P1）
|
||||
- [x] 齐套断言：manifest 60 任务 ↔ `templates/docs/rd_*.md` 存在非空；rd_ 键与既有任务键不相交
|
||||
- [x] precheck：main 未 completed 时 rd 任务启动被拒且文案含 CDO
|
||||
- [ ] PG 集成：rdev 实例 planning→live→推进（`TestPG_RDevActivateWithNAClose`，需 `TEST_DATABASE_URL`）
|
||||
- [ ] web `npm test && npm run build` PASS；Playwright 抽检激活/推进（P2）
|
||||
- [ ] 真实 PI + MiniMax 三样本 E2E 报告归档 `.doc/test-reports/`（P3）
|
||||
- [ ] P4：旧 live 实例（旧键）+ 新实例（新键）双路径回归 PASS；全工作流任务键集合无交集
|
||||
|
||||
## 相关链接
|
||||
|
||||
- 设计方案: [07-研发工作流rdev接入-设计与实施计划](../../system-design/project-workflow/07-研发工作流rdev接入-设计与实施计划.md)
|
||||
- 参考调研: [2026-09-17-rdev-workflow-reference-analysis](../research/2026-09-17-rdev-workflow-reference-analysis.md)
|
||||
- 二期 backlog: [2026-09-17-rdev-phase2-backlog](../../backlog/2026-09-17-rdev-phase2-backlog.md)
|
||||
- Checklist: -
|
||||
- Handoff: -
|
||||
- Test report: -
|
||||
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- 参考项目：`.refs/weichen-agent-system`（configs/workflows/rdev.yaml 60 stage、templates/docs 60 模板、squads/overlays 配套）
|
||||
- 关键约束：WF-DEF-06（无流程级依赖，precheck 先例 test_manager）；doc_id `doc_proj{pid}_{taskKey}` 平铺命名 → rd_ 前缀
|
||||
|
||||
## 合入说明（2026-09-17）
|
||||
|
||||
- P0+P1 已 `--no-ff` 合入本地 `dev`（含 template-depth S0+S1）。
|
||||
- P2/P3/P4 仍 planned，待独立认领。
|
||||
@@ -1,39 +0,0 @@
|
||||
---
|
||||
title: "W4 PU8 U9–U12 独立 flag live"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/w4-u9-segment-live
|
||||
worktree: "-"
|
||||
mutex: intent-plan
|
||||
---
|
||||
|
||||
# W4 PU8 U9–U12 独立 flag live
|
||||
|
||||
## 目标
|
||||
|
||||
U9 真实 LLM proposer（规则能切则不出 proposal）；U10–U12 各自独立 flag 的 dry-run→confirm 证据；不升 `MULTI_INTENT_PLAN_TIER`。
|
||||
|
||||
## 范围
|
||||
|
||||
- `PiSegmentProposer` + 规则门 + 组合根接线
|
||||
- U10 mutate 幂等 dry-run receipt；U11 项目 143 只读；U12 run-control 独立 flag
|
||||
- 四份独立 test-report
|
||||
|
||||
## 非目标
|
||||
|
||||
- 不升 `confirm` / `full`
|
||||
- 不把 U10–U12 dry-run 写成领域 live 写
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] U9 PI proposer + 规则门
|
||||
2. [x] U10–U12 分 flag 证据
|
||||
3. [x] 合 `dev` + 矩阵升 done
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 真实 MiniMax U9
|
||||
- [x] 负例 malformed/timeout/OOB/规则已切
|
||||
- [x] PLAN_TIER 仍 legacy
|
||||
@@ -1,40 +0,0 @@
|
||||
---
|
||||
title: "功能启用与文档修改影响分析调研"
|
||||
status: done
|
||||
created: 2026-09-20
|
||||
updated: 2026-09-20
|
||||
owner: Codex
|
||||
branch: feature/capability-enablement-impact-plan
|
||||
worktree: "-"
|
||||
mutex: capability-impact-research
|
||||
---
|
||||
|
||||
# 功能启用与文档修改影响分析调研
|
||||
|
||||
## 目标
|
||||
核实已实现功能的有效启用状态，形成分阶段启用方案及需求追踪、增量影响分析设计。
|
||||
|
||||
## 范围
|
||||
源码、配置、只读运行态、已有证据；研究报告与整改方案落盘。
|
||||
|
||||
## 非目标
|
||||
本轮不修改业务代码、不启用开关、不改变共享容器或真实项目数据。
|
||||
|
||||
## 步骤
|
||||
1. [x] 核实功能状态和接线。
|
||||
2. [x] 调研已有修改报告、依赖与需求追踪模型。
|
||||
3. [x] 编写详细报告和可实施方案，完成文档核查。
|
||||
|
||||
## 验收标准
|
||||
- [x] 当前事实与历史验收分开；每项启用方案有前置条件、验收、回退。
|
||||
- [x] 影响分析有版本、权限、增量更新、一致性和用户交互契约。
|
||||
|
||||
## 证据 / 备注
|
||||
开始时 dev=8fdcd98，工作区干净；git pull --ff-only 返回 Already up to date。无集成槽占用、无 push 授权。
|
||||
|
||||
产物：
|
||||
|
||||
- [调研报告](../../ops/research/2026-09-20-capability-enablement-impact-research.md)
|
||||
- [整改方案](../../remediation/2026-09-20-capability-enablement-impact-plan.md)
|
||||
- [FEATURE-MATRIX 校准](../../status/FEATURE-MATRIX.md)
|
||||
- [方案审阅记录](../../ops/research/2026-09-20-capability-enablement-impact-plan-review.md)
|
||||
@@ -1,49 +0,0 @@
|
||||
---
|
||||
title: "2026-09-20 P0 热修（迁移 / 越权 / 稳定性 / 凭证）"
|
||||
status: done
|
||||
created: 2026-09-20
|
||||
updated: 2026-09-20
|
||||
owner: Cursor-Auto
|
||||
branch: docs/p0-closeout-2026-09-20
|
||||
worktree: "-"
|
||||
mutex: docs
|
||||
---
|
||||
|
||||
# 2026-09-20 P0 热修
|
||||
|
||||
## 目标
|
||||
|
||||
关闭系统体检发现的 P0 critical：迁移断链、三项 IDOR、进程 panic/race、凭证泄漏与生产口令轮换。
|
||||
|
||||
## 范围
|
||||
|
||||
- Wave 0–4（见 [整改方案](../../remediation/2026-09-20-p0-remediation-plan.md)）
|
||||
- 后续实现分支：`fix/capability-merge-00058-2026-09-20`、`fix/authz-idor-hotfixes-2026-09-20`、`fix/runtime-panic-races-2026-09-20`、`fix/credential-hardening-2026-09-20`、`docs/p0-closeout-2026-09-20`
|
||||
|
||||
## 非目标
|
||||
|
||||
- main 分支对齐晋升
|
||||
- FAV / SWBOOT-10 / D7 / MULTI_INTENT full
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] Wave 0：审计与整改文档、CURRENT 认领、long-term 增补
|
||||
2. [x] Wave 1：capability 合入 + 00058 + rebuild
|
||||
3. [x] Wave 2：三项越权
|
||||
4. [x] Wave 2b：panic/race/recover/XSS
|
||||
5. [x] Wave 3：凭证 + 口令轮换
|
||||
6. [x] Wave 4：测试报告与收口
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 见 [测试报告](../../test-reports/2026-09-20-p0-hotfixes-test-report.md)
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Audit: [../../audit/2026-09-20-system-triage-audit.md](../../audit/2026-09-20-system-triage-audit.md)
|
||||
- Remediation: [../../remediation/2026-09-20-p0-remediation-plan.md](../../remediation/2026-09-20-p0-remediation-plan.md)
|
||||
- Test report: [../../test-reports/2026-09-20-p0-hotfixes-test-report.md](../../test-reports/2026-09-20-p0-hotfixes-test-report.md)
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
（各波次合入 commit 与健康输出）
|
||||
@@ -1,51 +0,0 @@
|
||||
---
|
||||
title: "落实 Agent 规范与 L1 操作门禁"
|
||||
status: done
|
||||
created: 2026-09-21
|
||||
updated: 2026-09-21
|
||||
owner: Codex
|
||||
branch: feature/agent-governance-implementation
|
||||
worktree: .worktrees/agent-governance-implementation
|
||||
base_dev_sha: a241e838150f218f3a09d3523f93291b847d45fd
|
||||
mutex: agent-governance
|
||||
review_state: passed
|
||||
integration_state: integrated
|
||||
deployment: not_required
|
||||
cleanup: pending
|
||||
cleanup_owner: independent-maintainer-after-owner-exit
|
||||
remote_sync: not_requested
|
||||
---
|
||||
|
||||
# 落实 Agent 规范与 L1 操作门禁
|
||||
|
||||
用户已授权“按照方案实现这些规范”。范围：审查 R01–R10、两项安全补充、两个共享文档与 dev 操作的 L1 管理入口。所有修改在本任务 worktree；不改产品业务代码、数据库、模型配置，不升级 test/main，不 push。Python 标准库 sqlite3/fcntl 实现本机协调，不增加产品 Go 依赖。
|
||||
|
||||
## 实施单元与所有权
|
||||
|
||||
- 规范 Agent：AGENTS/PROJECT/客户端薄入口/模板/测试规范/CURRENT 归档，互斥 policy-docs。
|
||||
- 工具 Agent：worktree helper、env-service、candidate-images-build 与对应测试，互斥 ops-scripts。
|
||||
- 根 Agent：agentctl/SQLite/lease/CAS/提交与集成门禁、runbook、报告、FEATURE-MATRIX、ignore，互斥 coordination-core。
|
||||
- 测试 Agent：核心独立行为测试，仅写自己的测试文件，使用临时 Git 仓库。
|
||||
|
||||
## 验收
|
||||
|
||||
- [x] 新规范一致、轻量入口和真实状态可用；历史迁移不丢失。
|
||||
- [x] 主仓唯一 .locks；原子资源集合、父子冲突、活跃/失效身份、幂等及保守恢复。
|
||||
- [x] CURRENT/MATRIX 受控增量/CAS 更新，旧基线不覆盖，记录恢复证据。
|
||||
- [x] 错误工作区/无租约服务写入被拒；候选镜像源码 SHA 不符被拒。
|
||||
- [x] 安全 create/remove、commit/ref 门禁正反例通过。
|
||||
- [x] 独立代码审查及真实临时仓库并发验收；本地 dev 接收验证后的候选；安全清理。
|
||||
|
||||
## 交付边界
|
||||
|
||||
L1 对统一入口与 Git hooks 防误改，不能阻止任意同 UID shell 绕过。OS 沙箱、跨机锁、产品 PI 镜像交付等独立运行架构变更不在本次规范/最小门禁改动内。纯工程代码与文档不触发产品重建；将验证主目录运行挂载和就绪未因本轮改变。
|
||||
|
||||
## 验证与集成结果
|
||||
|
||||
- 76 项 Python 工程测试通过；最终候选复跑同样 76 PASS。20 个真实进程/独立 Git worktree 争同一资源：1 个执行、19 个 LOCK_BUSY。
|
||||
- ce-simplify-code 三视角完成；ce-code-review `20260921-133611-5e4781e6` 的 5 个确认问题全部修复并经独立复核关闭。详见[报告](../../test-reports/2026-09-21-agent-governance-test-report.md)。
|
||||
- 源码实现提交 `fed87ad1`；保留并行 Cursor 材料切块任务后任务 HEAD 为 `578a96440da56717582ec5ab267a094ceea3d941`。dev 从 `a5ea469ca44171a5c3e6419b1757852270fb991d` 接收完整验证候选 `7e9317b849e0696e110bac5b27749861178d7e3d`，这是规则 effective_commit。
|
||||
- 主仓 `.locks` 初始化、旧/新 dev flock 同 inode 和三个 hooks 已启用；doctor 正常，无租约 env guard 返回 LEASE_REQUIRED。收口文档使用已生效入口完成 CAS、提交与后续候选集成。
|
||||
- 真实 dev 合入前后 ready=ok/schema61、容器镜像和主目录 data/dev 挂载一致。本轮 deployment=not_required；未 push、未操作 test/main、无产品数据库或模型配置改动。
|
||||
- cleanup=pending：实际普通 remove 因部分同 UID 进程 cwd 不可读拒绝。保留本任务及 integrate-agent-governance-implementation 两个工作区，不使用 force/-D。独立维护者在 owner 退出并解决/核实进程可见性后重跑全部门禁；仅含可再生 pycache 的文件先明确删除。其他任务现场不在清理范围。
|
||||
- 文档链接检查 356 个目标中，唯一已存在的 `FEATURE-MATRIX` 历史 promotion receipt 断链不由本轮引入；本轮新增/修改链接全部有效。
|
||||
@@ -1,48 +0,0 @@
|
||||
---
|
||||
title: "Agent 工作规范与 worktree 并行治理方案"
|
||||
status: done
|
||||
created: 2026-09-21
|
||||
updated: 2026-09-21
|
||||
owner: Codex
|
||||
branch: feature/agent-workflow-governance-plan
|
||||
worktree: .worktrees/feature-agent-workflow-governance-plan
|
||||
mutex: agent-workflow-governance-plan
|
||||
---
|
||||
|
||||
# Agent 工作规范与 worktree 并行治理方案
|
||||
|
||||
## 目标
|
||||
|
||||
基于当前仓库规范、脚本和现场，评估主目录保护、强制 worktree、串行集成与清理机制，交付可审核方案。
|
||||
|
||||
## 范围
|
||||
|
||||
- 只读检查 Git、脚本、Compose、测试入口和协作记录。
|
||||
- 形成调研、治理方案及交接文档；仅在本任务 worktree 写文档。
|
||||
|
||||
## 非目标
|
||||
|
||||
- 不修改业务代码、Agent 规则或运维脚本；不切换主目录分支、不干预其他任务、不重建服务、不清理既有 worktree、不 push。
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 阅读启动链并盘点现场。
|
||||
2. [x] 显式从本地 dev@15b8a4a8 创建独立 worktree。
|
||||
3. [x] 完成机制核验、方案和边界审查。
|
||||
4. [x] 写交接并核查文档差异。
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 有现状证据、方案比较、操作流程、并行边界、恢复与验收标准。
|
||||
- [x] 区分已存在机制与拟实现机制；不将方案宣称为已落地。
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
初始主目录为 fix/intent-workflow-scoping-2026-09-21，有其他任务未提交变更。为保护现场，未执行 checkout dev / pull；从显式本地 dev 创建 worktree。origin/dev...dev 为 0/309，仅为本地远端跟踪引用快照，本轮未 fetch。认领仅登记本 worktree 的 CURRENT，尚无跨 worktree 实时协调入口；本任务只读代码且使用独立文档路径。
|
||||
|
||||
## 交付
|
||||
|
||||
- [调研](../../ops/research/2026-09-21-agent-workflow-governance-research.md)
|
||||
- [方案](../../remediation/2026-09-21-agent-workflow-governance-plan.md)
|
||||
- [交接](../../ops/handoffs/2026-09-21-agent-workflow-governance-plan.md)
|
||||
- 仅文档核验，未执行产品测试；治理能力在 FEATURE-MATRIX 保持 planned。
|
||||
@@ -1,286 +0,0 @@
|
||||
# CURRENT 历史快照（2026-09-21）
|
||||
|
||||
归档来源：实施基线 `eb4dbdca5baae8dd5f3ddefc0f5510ac2978dcd3` 的 `.doc/ops/CURRENT.md`。以下保留原始认领、环境断言、焦点和证据索引；只调整移动后的 Markdown 相对链接。历史状态不是当前锁、环境或授权依据，活跃协调见 [CURRENT](../../ops/CURRENT.md)。基线内已失效的旧链接另在本次验证记录中说明，不把历史声明改写成新结论。
|
||||
|
||||
---
|
||||
|
||||
# 当前焦点
|
||||
|
||||
**更新**: 2026-09-21
|
||||
**production_ready**: yes（门禁 B1–B4 已签；dev schema **61**，test/main 仍为 **58**。P0 热修 done；rdev 种子热修 done，见 [报告](../../test-reports/2026-09-20-rdev-seed-hotfix-test-report.md)）
|
||||
|
||||
## 焦点
|
||||
|
||||
1. **工作流作用域权重**：`WORKFLOW_SCOPE_MODE` 默认 `strict`；`weighted` 按关系权重打分，只读跨流注明归属，写动作仍拦截。见 [报告](../../test-reports/2026-09-21-workflow-scope-weighting-test-report.md)。test/main 未晋升。
|
||||
2. **意图确认优先与阶段感知**：弱写「整理需求」→ intake 确认卡片。见 [报告](../../test-reports/2026-09-21-intent-confirm-stage-aware-test-report.md)。test/main 未晋升。
|
||||
3. **上传解析提示 / 去重 / CoW 收口**：MinerU 解析状态轮询闭环（pending→running→done）、重复文件「已复用」提示、失败原因+重新解析、CAS 不可变 CoW 契约测试，已合入 `dev`（代码 `99905571`、证据 `74587ccf`、收口 `a0464eb5`）。见 [报告](../../test-reports/2026-09-21-upload-parse-ux-dedup-test-report.md)。test/main 未晋升。前序任务执行状态卡收口见 [报告](../../test-reports/2026-09-21-taskrun-status-card-persistence-test-report.md)（含二轮修复：completed 步骤 label 冻结为"正在…（NN%）"的收口归一化 + dev 历史回填，已合入 `dev@4b303247` 并真实 PI 验收）。
|
||||
4. **MinerU 真实 PDF 二轮验收**：用户反馈「PDF 内容未被理解」由两因叠加——(A) 首轮在 worktree 内跑 `env-service dev rebuild` 令挂载漂到 worktree `data/dev`，真实历史 blob 全部读不到；(B) Agent 轻量 API 硬限 20 页，28 页真实文件失败。首轮结论作废。二轮从**主目录** rebuild 修复挂载，`internal/mineru` 在 `-30003` 时按 20 页窗分块解析并重编全局页锚；`ReadRefBytes` 失败改为 `slog.Warn`。已合入 `dev@362b68a0`。真实 `bd_intake`（项目 6532）`completed`，工作区 `materials_text` 注入 29152 字节中文正文。见 [报告](../../test-reports/2026-09-21-mineru-doc-parsing-test-report.md) 第八节。
|
||||
5. **红线**：禁止整支 merge FAV；不默认升 `MULTI_INTENT_PLAN_TIER=full`；`SEMANTIC_SUMMARY_REPLACE` 不随 W2 开启；FAV live 观察窗证据驱动；`FAV_DEGRADED_READ=false`；项目 143 只读；SWBOOT-10 保持 fail-closed stub；D7 对话 ADR 仍待合规签字（追踪表留存类别已定为 `record`，不授权物理删除）；**不改 `production_ready`**；模块解耦批次 A–G 与回溯实施切片未单独认领前保持 `planned`；**合入 dev 后必须回主目录跑 `env-service.sh dev rebuild`，禁止任何 worktree 内运行 `env-service`**（脚本 ROOT_DIR 取自脚本所在目录树，会带走 bind mount，导致 `/app/data` 漂到 worktree 空目录）。
|
||||
|
||||
## 并行认领
|
||||
|
||||
| owner | task | branch | worktree | mutex | status |
|
||||
|-------|------|--------|----------|-------|--------|
|
||||
| Codex | 2026-09-21-agent-governance-implementation | feature/agent-governance-implementation | .worktrees/agent-governance-implementation | agent-governance | in_progress |
|
||||
| Cursor | 2026-09-21-workflow-scope-weighting | feature/workflow-scope-weighting-2026-09-21 | .worktrees/workflow-scope-weighting-2026-09-21 | intent+web+docgov | done |
|
||||
| Cursor | 2026-09-21-upload-parse-ux-dedup | feature/upload-parse-ux-2026-09-21 | .worktrees/upload-parse-ux-2026-09-21 | server+web+storage | done |
|
||||
| Cursor | 2026-09-21-mineru-doc-parsing | feature/mineru-doc-parsing-2026-09-21 | .worktrees/mineru-doc-parsing-2026-09-21 | storage+bizdev+kb | done |
|
||||
| Cursor | 2026-09-21-intent-confirm-stage-aware | fix/intent-confirm-stage-aware-2026-09-21 | .worktrees/intent-confirm-stage-aware-2026-09-21 | intent+web+docgov | done |
|
||||
| Cursor | 2026-09-21-taskrun-status-card | feature/taskrun-status-card-2026-09-21 | .worktrees/feature-taskrun-status-card-2026-09-21 | chat+web+taskrun | done |
|
||||
| Cursor | 2026-09-21-intent-workflow-scoping | fix/intent-workflow-scoping-2026-09-21 | - | intent+web+docgov | done |
|
||||
| Codex | 2026-09-21-agent-workflow-governance-adoption | feature/agent-workflow-governance-plan | .worktrees/feature-agent-workflow-governance-plan | agent-workflow-governance | in_progress |
|
||||
| Codex | 2026-09-21-agent-workflow-governance-plan | feature/agent-workflow-governance-plan | .worktrees/feature-agent-workflow-governance-plan | agent-workflow-governance-plan | done |
|
||||
| Cursor | 2026-09-21-workflow-doc-key-unification | fix/workflow-doc-key-unification-2026-09-21 | .worktrees/fix-workflow-doc-key-unification-2026-09-21 | docgov+web | done |
|
||||
| Cursor | 2026-09-21-dev-deep-test-four-issues | fix/dev-deep-test-four-issues-2026-09-21 | - | web+intent+taskrun | done |
|
||||
| Cursor | 2026-09-21-trace-panel-to-chat | feature/trace-panel-to-chat-2026-09-21 | - | trace-impact+web | done |
|
||||
| Cursor | 2026-09-21-taskrun-scope-persist | fix/taskrun-scope-persist-2026-09-21 | - | projectinstance+taskrun | done |
|
||||
| Cursor | 2026-09-21-dev-multiuser-four-issues | fix/dev-multiuser-four-issues-2026-09-21 | .worktrees/fix-dev-multiuser-four-issues | projectinstance+docgov | done |
|
||||
| Cursor | 2026-09-21-taskrun-error-transparency | fix/taskrun-error-transparency-2026-09-21 | - | chat+web | done |
|
||||
| Cursor | 2026-09-21-trace-panel-null-crash | fix/trace-panel-null-crash-2026-09-21 | - | trace-index+web | done |
|
||||
| Cursor-Auto | 2026-09-20-stage-backtrack-design | feature/stage-backtrack-design | - | trace-impact-design | done |
|
||||
| Cursor-Auto | 2026-09-20-impact-loop-t1 至 T3/B1–B3 | feature/stage-backtrack-impl | - | trace-index | done |
|
||||
| Cursor | 2026-09-20-rdev-seed-hotfix | fix/workflow-seed-bootstrap-2026-09-20 | - | workflow-def | done |
|
||||
| Cursor-Auto | 2026-09-20-module-decoupling-spec-audit | docs/module-decoupling-spec-2026-09-20 | - | module-decoupling-spec | done |
|
||||
| Cursor-Auto | 2026-09-20-p0-closeout | docs/p0-closeout-2026-09-20 | - | docs | done |
|
||||
| Cursor-Auto | 2026-09-20-p0-hotfixes（Wave 0 文档） | docs/p0-triage-2026-09-20 | - | docs | done |
|
||||
| Cursor-Auto | 2026-09-20-p0-capability-00058 | fix/capability-merge-00058-2026-09-20 | - | infra+chat | done |
|
||||
| Cursor-Auto | 2026-09-20-p0-idor | fix/authz-idor-hotfixes-2026-09-20 | - | authz | done |
|
||||
| Cursor-Auto | 2026-09-20-p0-runtime-stability | fix/runtime-panic-races-2026-09-20 | - | taskrun+chat+web | done |
|
||||
| Cursor-Auto | 2026-09-20-p0-credentials | fix/credential-hardening-2026-09-20 | - | ops+infra | done |
|
||||
| Cursor-Auto | 2026-09-20-proposed-authoritative-reports | feature/capability-enablement-impact-plan | - | docgov | done |
|
||||
| Cursor-Auto | 2026-09-20-pi-narrative-clipped-diff | feature/capability-enablement-impact-plan | - | docgov | done |
|
||||
| Cursor-Auto | 2026-09-20-pi-reasoning-profile | feature/capability-enablement-impact-plan | - | pi-agent | done |
|
||||
| Cursor-Auto | 2026-09-20-semantic-summary-persistence | feature/capability-enablement-impact-plan | - | chat+lineage-version | done |
|
||||
| Cursor-Auto | 2026-09-20-feature-readiness-and-lineage-authz | feature/capability-enablement-impact-plan | - | sysadmin+lineage | done |
|
||||
| Codex | 2026-09-20-capability-enablement-impact-plan | feature/capability-enablement-impact-plan | - | capability-impact-research | done |
|
||||
| Cursor-Auto | 2026-09-20-post-activation-duty-reassign-member-chat | fix/post-activation-duty-reassign-member-chat | - | projectworkflow+authz+web | done |
|
||||
| Cursor-Auto | 2026-09-20-test-env-triage-fixes | fix/test-env-triage-2026-09-20 | - | projectworkflow+chat+assets | done |
|
||||
| Cursor-Auto | 2026-09-20-test-env-beta6-verification | docs/test-env-beta6-verification | - | infra+docs | done |
|
||||
| Cursor-Auto | 2026-09-20-bug-hunt-permissions-uploads | fix/bug-hunt-2026-09-20-permissions-and-uploads | - | authz+web+projectworkflow | done |
|
||||
| Cursor | audit-b1-data-consistency | fix/audit-b1-data-consistency | - | docgov+workflow+chat | done |
|
||||
| Cursor | audit-b2-authz-hardening | fix/audit-b2-authz-hardening | - | authz | done |
|
||||
| Cursor | audit-b3-sse-events | fix/audit-b3-sse-events | - | chat+events | done |
|
||||
| Cursor | audit-b4-frontend | fix/audit-b4-frontend | - | web | done |
|
||||
| Cursor-Auto | 2026-09-19-audit-remainder-closeout | fix/audit-remainder-closeout | - | audit-remainder | done |
|
||||
| Antigravity | 2026-09-20-dev-deep-test-and-promotion | feature/dev-deep-test-and-promotion | - | integration | done |
|
||||
| Cursor-Auto | 2026-09-19-remove-control-center | fix/remove-control-center | - | controlcenter | done |
|
||||
| Cursor-Auto | 2026-09-17-control-center-server | feature/control-center-server | - | controlcenter | cancelled |
|
||||
| Kimi | 2026-09-18-user-manual | feature/user-manual | .worktrees/feature-user-manual | docs | done |
|
||||
| Cursor-Auto | 2026-09-18-wave7-roadmap-orchestration | docs/wave7-roadmap-orchestration | - | roadmap-orchestration | done |
|
||||
| Cursor-Auto | 2026-09-18-wave6-doc-drift | docs/wave6-doc-drift | - | doc-drift | done |
|
||||
| Cursor-Auto | 2026-09-18-wave5-deadcode-decisions | fix/wave5-deadcode-decisions | - | deadcode-cleanup | done |
|
||||
| Cursor-Auto | 2026-09-18-wave4-hardening-r1-r8 | fix/wave4-hardening-r1-r8 | - | hardening | done |
|
||||
| Cursor-Auto | 2026-09-18-wave3-test-debt-blindspots | fix/wave3-test-debt-blindspots | - | test-debt | done |
|
||||
| Cursor-Auto | 2026-09-18-wave2-config-flag-align | fix/wave2-config-flag-align | - | infra | done |
|
||||
| Cursor | 2026-09-18-wave1-main-env-fix | fix/wave1-main-env-fix | - | infra | done |
|
||||
| Cursor | 2026-09-18-wave0-p0-bug-fixes | fix/wave0-p0-sse-chat-cache-bugs | - | chat + web | done |
|
||||
| Kimi | 2026-09-17-system-health-check（只读审计，未实施） | - | - | audit | done |
|
||||
| Cursor | 2026-09-17-docgov-modification-proposal-http | feature/docgov-modification-proposal-http | - | docgov | done |
|
||||
| Cursor | 2026-09-17-document-author-only-closeout | feature/document-author-only-plan | - | document-duty-policy | done |
|
||||
| Cursor | 2026-09-17-rdev-template-depth-s1-continued | feature/rdev-template-depth-s1-continued | .worktrees/feature-rdev-template-depth-s1-continued | rdev-templates | done |
|
||||
| Cursor | 2026-09-17-rdev-workflow-integration | feature/rdev-core | - | workflow-def | done |
|
||||
| Cursor | 2026-09-17-rdev-template-depth | feature/rdev-template-depth | .worktrees/feature-rdev-template-depth | rdev-templates | done |
|
||||
| Codex | 2026-09-17-document-author-only-plan | feature/document-author-only-plan | - | document-duty-policy-plan | done |
|
||||
| Cursor | 2026-09-17-initial-load-perf-u2 | feature/initial-load-perf-u2 | - | web + static-delivery | done |
|
||||
| Codex | 2026-09-17-initial-load-performance-plan | feature/initial-load-performance-plan | .worktrees/feature-initial-load-performance-plan | loading-performance-audit | done |
|
||||
| Kimi | 2026-09-17-system-admin-console | feature/system-admin-console | - | web + sysadmin | done |
|
||||
| Cursor-Auto | 2026-09-17-engineering-dashboard | feature/engineering-dashboard | .worktrees/feature-engineering-dashboard | engineering-dashboard | done |
|
||||
| Cursor | 2026-09-17-promote-null-fk-to-test | feature/promote-null-fk-to-test | - | infra | done |
|
||||
| Cursor | 2026-09-17-docgov-optional-duty-null-fk | fix/docgov-optional-duty-null-fk | - | docgov | done |
|
||||
| Cursor | 2026-09-17-leftover-hygiene | chore/leftover-hygiene-2026-09-17 | - | ops | done |
|
||||
| Cursor | 2026-09-17-w2-semantic-summary-shadow | feature/w2-semantic-summary-shadow-live | - | chat | done |
|
||||
| Cursor | 2026-09-17-w3-pi-change-report-narrative | feature/w3-pi-change-report-narrative-live | - | docgov | done |
|
||||
| Cursor | 2026-09-17-w4-multi-intent-u9-u12 | feature/w4-u9-segment-live | - | intent-plan | done |
|
||||
| Cursor | 2026-09-17-w5a-software-bootstrap-ui | feature/w5a-software-bootstrap-ui-pi | - | workflow-design | done |
|
||||
| Cursor | 2026-09-17-w6-fav-subscriber-shadow | feature/w6-fav-subscriber-shadow | - | events | done |
|
||||
| Cursor | 2026-09-17-w7-d7-inventory | feature/w7-d7-data-inventory | - | chat | done |
|
||||
| Cursor | 2026-09-17-promote-dev-to-test | feature/promote-dev-to-test-2026-09-17 | - | infra | done |
|
||||
| Cursor | 2026-09-17-kb-host-auth-fix | fix/kb-host-auth-layered-load | - | infra | done |
|
||||
| Cursor | 2026-09-17-w1-ci-e2e-green-nightly | feature/w1-ci-e2e-green-nightly | - | ci | done |
|
||||
| Cline | 2026-09-16-partial-deferred-completion | docs/partial-deferred-completion-plan | - | architecture-docs | in_progress |
|
||||
| Cursor | 2026-09-16-intent-plan-playwright-dual-tab | feature/intent-plan-cards-playwright | .worktrees/feature-intent-plan-cards-playwright | web | done |
|
||||
| Cursor | 2026-09-16-full-backlog-override | docs/override-nogo-full-backlog | - | architecture-docs | done |
|
||||
| Cursor | 2026-09-16-gitea-nightly-docker-datadir | fix/gitea-nightly-docker-datadir | - | ci | done |
|
||||
| Cursor | 2026-09-16-gitea-nightly-host-tools | fix/gitea-nightly-host-tools | - | ci | done |
|
||||
| Cursor | 2026-09-21-test-env-lazy-doc-verification | docs/lazy-doc-verification-2026-09-21 | - | infra+docs | done |
|
||||
| Cursor | 2026-09-16-wave-leftovers | fix/wave-leftovers-n7-playwright-dod | - | ci | done |
|
||||
| Cursor | 2026-09-16-wave3-pu6-pu8-go-no-go | feature/wave3-pu6-pu8-go-no-go | - | architecture-docs | done |
|
||||
| Cursor | 2026-09-16-wave2c-same-image-digest | feature/wave2c-same-image-digest | - | infra | done |
|
||||
| Cursor | 2026-09-16-wave2b-nightly-promotion-receipt | feature/wave2b-nightly-promotion-receipt | - | ci | done |
|
||||
| Cursor | 2026-09-16-wave2-real-pi-evidence | feature/wave2-real-pi-evidence | - | intent-plan | done |
|
||||
| Cursor | 2026-09-16-wave1-race-tempdir-cleanup | fix/race-tempdir-cleanup | - | ci | done |
|
||||
| Cursor | 2026-09-16-wave1-iam-fail-closed | fix/iam-store-fail-closed | - | authz | done |
|
||||
| Cursor | 2026-09-16-feature-matrix-wave0-calibration | feature/feature-matrix-production-readiness-plan | .worktrees/feature-matrix-production-readiness-plan | architecture-docs | done |
|
||||
| Codex | 2026-09-16-feature-matrix-production-readiness-plan | feature/feature-matrix-production-readiness-plan | .worktrees/feature-matrix-production-readiness-plan | architecture-docs | done |
|
||||
| Cursor-Auto | 2026-09-16-matrix-deep-test-promote-test | feature/matrix-deep-test-promote-test | - | infra | done |
|
||||
| Cursor-Auto | 2026-09-16-production-ready-gates | docs/production-ready-flip | - | ci | done |
|
||||
| Cursor-Auto | 2026-09-16-demo-seed-pollution | fix/demo-data-pollution-web | - | web | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u8-task-generate | feature/multi-intent-u8-task-generate | - | intent-plan | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u7-auto-read | feature/multi-intent-u7-auto-read | - | intent-plan | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u6-web-cards | feature/multi-intent-u6-web-cards | - | web | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u5-decision-api | feature/multi-intent-u5-decision-api | - | intent-plan | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u4-outbox-projection | feature/multi-intent-u4-outbox-projection | - | events | done |
|
||||
| Cursor | 2026-09-15-multi-intent-u3-intentflow-pg | feature/multi-intent-u3-intentflow-pg | - | intent-plan | done |
|
||||
| Cursor | 2026-09-15-multi-intent-u2-segmenter | feature/multi-intent-u2-segmenter | - | intent | done |
|
||||
| Cursor | 2026-09-15-multi-intent-u1-contracts | feature/multi-intent-u1-contracts | - | architecture-docs | done |
|
||||
| Cursor | app-composition-u11-u12 | feature/app-composition-u11-u12 | - | app | done |
|
||||
| Cursor | chatlog-contextasm-u10 | feature/chatlog-contextasm-u10 | - | chat | done |
|
||||
| Cursor | chat-history-refresh-remediation | fix/chat-history-refresh | - | chat | done |
|
||||
| Cursor | dataset-lifecycle-u9 | feature/dataset-lifecycle-u9 | - | dataset | done |
|
||||
| Cursor | taskrun-runmanifest-u8 | feature/taskrun-runmanifest | - | taskrun | done |
|
||||
| Cursor | document-reliability-m1-live-and-m2 | refactor/document-reliability-pilot | - | workspace | done |
|
||||
| Codex | module-decoupling-remediation-plan | feature/module-decoupling-remediation | - | architecture-docs | done |
|
||||
| Codex | module-decoupling-phase2-plan-review | docs/module-decoupling-ipc-assessment | - | architecture-docs | done |
|
||||
| Cursor | module-decoupling-phase2-docs | feature/module-decoupling-phase2-docs | - | architecture-docs | done |
|
||||
| verifier_antigravity | controlled-content-ui-acceptance | fix/controlled-content-ui-acceptance | - | document-content-ui-acceptance | done |
|
||||
| implementer_cursor | controlled-content-canonical-hash | fix/controlled-content-canonical-hash | - | docgov | done |
|
||||
| Codex | project143-controlled-content-404-diagnosis | fix/project143-controlled-content-404-diagnosis | - | docgov-content-diagnosis | done |
|
||||
| Codex | software-project-bootstrap-plan | feature/software-project-bootstrap-plan | - | workflow-design | done |
|
||||
| Codex | conversation-intent-runtime-state | fix/conversation-intent-state | - | intent | done |
|
||||
| Cursor | conversation-intent-runtime-state | docs/conversation-intent-dual-tab | - | intent | done |
|
||||
| Cursor | document-revision-wave1-6-implementation | feature/document-revision-management | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-runtime-ui03 | fix/document-revision-runtime-ui03 | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-sse-idempotency | fix/document-revision-sse-idempotency | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-active-doc-routing | fix/document-revision-active-doc-routing | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-quality-context | fix/document-revision-quality-context | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-e2e-pending-flow | fix/document-revision-e2e-pending-flow | - | pending-report-ui | done |
|
||||
| Cursor-Auto | document-revision-e2e-reject-routing | fix/document-revision-e2e-reject-routing | - | document-revision-runtime-ui | done |
|
||||
| Cursor-Auto | document-revision-e2e-block-selector | fix/document-revision-e2e-block-selector | - | document-revision-block-selector | done |
|
||||
| Cursor-Auto | document-revision-e2e-save-selector | fix/document-revision-e2e-save-selector | - | document-revision-save-selector | done |
|
||||
| Cursor-Auto | document-revision-e2e-overlay-selector | fix/document-revision-e2e-overlay-selector | - | document-revision-overlay-selector | done |
|
||||
| Cursor-Auto | document-revision-e2e-overlay-transition | fix/document-revision-e2e-overlay-transition | - | document-revision-overlay-transition | done |
|
||||
| Cursor-Auto | document-revision-second-doc-routing-lease | fix/document-revision-second-doc-routing-lease | - | document-revision-second-doc-routing-lease | done |
|
||||
| Cursor-Auto | document-revision-prelim-output | fix/document-revision-pi-runner-module | - | document-revision-prelim-output | done |
|
||||
| Cursor-Auto | document-revision-editor-hydration-race | fix/document-revision-editor-hydration-race | - | document-revision-editor-hydration-race | done |
|
||||
| Cursor-Auto | document-revision-quality-repair-workspace-contract | fix/document-revision-quality-repair-workspace-contract | - | document-revision-quality-repair-workspace-contract | done |
|
||||
| Cursor-Auto | document-revision-fast-completion-observation | fix/document-revision-fast-completion-observation | - | document-revision-fast-completion-observation | done |
|
||||
| Cursor-Auto | document-revision-workflow-category-navigation | fix/document-revision-workflow-category-navigation | - | document-revision-workflow-category-navigation | done |
|
||||
| Cursor-Auto | document-revision-duty-cell-assertion | fix/document-revision-duty-cell-assertion | - | document-revision-duty-cell-assertion | done |
|
||||
| Cursor-Auto | document-revision-reviewer-duty-sync | fix/document-revision-reviewer-duty-sync | - | document-revision-reviewer-duty-sync | done |
|
||||
| Cursor-Auto | document-revision-post-restart-selector | fix/document-revision-post-restart-selector | - | document-revision-post-restart-selector | done |
|
||||
| Cursor-Auto | document-revision-post-restart-final-snippet | fix/document-revision-post-restart-final-snippet | - | document-revision-post-restart-final-snippet | done |
|
||||
| Cursor-Auto | document-revision-pg-id-remap | fix/document-revision-pg-id-remap | - | document-revision | done |
|
||||
| Cursor-Auto | document-revision-runtime | fix/document-revision-runtime-ui03 | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-runtime-ui-final-report | feature/document-revision-runtime-ui-final-report | - | document-revision-runtime-ui | done |
|
||||
| Cursor-Auto | document-revision-evidence-count | fix/document-revision-evidence-count | - | document-revision-evidence-count | done |
|
||||
| Cursor-Auto | document-revision-session-close | feature/document-revision-session-close | - | document-revision-session-close | done |
|
||||
| Cursor-Auto | vite-frp-allowed-hosts | fix/vite-frp-allowed-hosts | - | web-devserver | done |
|
||||
| implementer_cursor | workflow-plan-409-frozen-and-optional-duties | fix/workflow-plan-409-frozen-and-optional-duties | - | workflow | done |
|
||||
| implementer_cursor | governance-action-level-authz | fix/governance-action-level-authz | - | workflow | done |
|
||||
| Cursor | leftover-branch-cleanup | chore/leftover-branch-cleanup | - | ops | done |
|
||||
| Cursor | event-e0a-production-scope-contract | fix/event-production-scope-contract | - | events | done |
|
||||
| Cursor | event-e0b-dispatcher-pg | feature/events-dispatcher-pg | - | events | done |
|
||||
| Cursor | event-e1a-notify-cutover | fix/event-notify-cutover | - | events | done |
|
||||
| Cursor | event-e1b-workflow-advance | fix/event-workflow-advance | - | events | done |
|
||||
| Cursor | event-e1c-projection-cutover | fix/event-projection-cutover | - | events | done |
|
||||
| Cursor | event-e2-hook-guard | fix/event-e2-hook-guard | - | events | done |
|
||||
| Cursor | doccontent-canonical-boundary | fix/doccontent-canonical-boundary | - | docgov | done |
|
||||
| Cursor | intent-bizdev-boundary | fix/intent-bizdev-boundary | - | intent | done |
|
||||
| Cursor | stageflow-type-ownership | fix/stageflow-type-ownership | - | stageflow | done |
|
||||
| Cursor | bizdev-locator-removal | fix/bizdev-locator-removal | - | bizdev | done |
|
||||
| Cursor | chatflow-orchestration-boundary | fix/chatflow-orchestration-boundary | - | chat | done |
|
||||
| Cursor | phase2-closeout-inventories | feature/phase2-closeout-inventories | - | architecture-docs | done |
|
||||
| Cursor | event-shared-live-cutover | feature/event-shared-live-cutover | - | events | done |
|
||||
| Cursor | pi-typed-result | feature/pi-typed-result | - | pi-agent | done |
|
||||
| Cursor | promote-dev-to-test-2026-09-15 | feature/promote-dev-to-test-2026-09-15 | - | infra | done |
|
||||
|
||||
> 新任务开始前登记。`branch` 必须为 `feature/<slug>` 或 `fix/<slug>`，**禁止** `dev` / `test` / `main`。同一 `mutex` 同时仅一个 `in_progress`。
|
||||
|
||||
> workflow-plan 409 与治理鉴权 G1–G5 已收口（见 [test-report](../../test-reports/2026-09-14-governance-action-level-authz-test-report.md)）。禁止终止或改写项目 143。
|
||||
> `document-reliability-pilot` U11–U12 已合入 `dev@bf59cce` 并 rebuild。`CHAT-INTENT-STATE` 双标签 busy 已 PASS（项目 6275）。禁止 worktree 内 `env-service`。项目 143 只读，禁止终止。
|
||||
> 2026-09-17 leftover 二次收口：[报告](../../test-reports/2026-09-17-leftover-hygiene-test-report.md)。已合入 leftover worktree/旁支再拆一轮；`feature/software-project-bootstrap` L1 已在 `dev`（残留关闭 commit 已丢弃）。`fix/clean-test-env-baseline` **不 merge**（前端 demo 清理已放弃；仅保留已挑拣的 `SEED_DEMO_USERS=false`）。extra worktree 仅余 `.worktrees/fix-dev-runtime-data-root-guard`（目录名是 guard，检出的是 `feature/final-artifact-vault`）。**故意不合入、不删**：`feature/final-artifact-vault`、`feature/remove-herdr-agent-settings`、`fix/project143-controlled-content-404-diagnosis`、`fix/dev-runtime-data-root-guard`、`dev-old-linear`。不删 `origin/*`。不整支 merge FAV；不启用 `FAV_DEGRADED_READ`。
|
||||
|
||||
## 集成槽位
|
||||
|
||||
| holder | phase | since | scope | queue |
|
||||
|--------|-------|-------|-------|-------|
|
||||
| - | idle | 2026-09-21 | taskrun-status-card label 修复已合入 dev@4b303247 并真实 PI 验收（round2 docs 随后合入）；mineru 二轮文档已合入；schema=61 | - |
|
||||
|
||||
**phase**: `idle` | `merging` | `smoke` | `e2e`
|
||||
|
||||
> 合入 `dev` + 共享容器验证必须串行。详见 [AGENTS.md](../../../AGENTS.md) §6.3。
|
||||
|
||||
## 环境快照
|
||||
|
||||
| 环境 | 端口 | schema | 状态 |
|
||||
|------|------|--------|------|
|
||||
| dev | 8080 | **61** | healthy（mineru `00061`；intent-confirm 真实 PI PASS；`/health` schema_version=61；`pi-agent`；events `:8088`） |
|
||||
| test | 8081 | **58** | healthy（`rc-v1.0.0-beta.7`；rdev v1 active；`published_by` 回落到用户 4；events `:8089`） |
|
||||
| main | 8000 | **58** | healthy（P0 Wave3 rebuild 已追平 schema；分支树对齐仍记 backlog；口令已轮换；events `:8090`） |
|
||||
|
||||
## SSOT
|
||||
|
||||
| 类型 | 路径 |
|
||||
|------|------|
|
||||
| 2026-09-21 Agent worktree 工作规范 | [方案](../../remediation/2026-09-21-agent-workflow-governance-plan.md) · [调研](../../ops/research/2026-09-21-agent-workflow-governance-research.md) · [交接](../../ops/handoffs/2026-09-21-agent-workflow-governance-plan.md)；规范已采纳，自动化另列 planned |
|
||||
| 2026-09-20 rdev 种子 | [short-term](../../ops/short-term/2026-09-20-rdev-seed-hotfix.md) · [报告](../../test-reports/2026-09-20-rdev-seed-hotfix-test-report.md) |
|
||||
| 2026-09-20 模块解耦 | [审计](../../audit/2026-09-20-module-coupling-audit.md) · [规范](../../system-design/2026-09-20-module-development-standards.md) · [批次 A–G](../../remediation/2026-09-20-module-decoupling-batch-plan.md) · [short-term](../../ops/short-term/2026-09-20-module-decoupling-spec-audit.md) |
|
||||
| 文档总地图 | [../README.md](../../README.md) |
|
||||
| 模块完成度 | [FEATURE-MATRIX](../../status/FEATURE-MATRIX.md)（Wave 0 已校准契约与冻结边界） |
|
||||
| 发布缺口 | [gap-matrix](../../remediation/gap-matrix.md)（`production_ready=yes`；Wave 0 IAM 只读未发现旁路） |
|
||||
| 2026-09-20 系统体检 | [audit](../../audit/2026-09-20-system-triage-audit.md) · [P0 整改](../../remediation/2026-09-20-p0-remediation-plan.md) · [short-term](../../ops/short-term/2026-09-20-p0-hotfixes.md) |
|
||||
| 连续性审计/计划 | [audit](../../audit/2026-09-16-feature-matrix-production-readiness-audit.md) · [remediation](../../remediation/2026-09-16-feature-matrix-production-readiness-plan.md) · [Wave 0 任务](../../ops/short-term/2026-09-16-feature-matrix-wave0-calibration.md) |
|
||||
| 测试报告 | [test-reports/](../../test-reports) |
|
||||
| dev→test 晋升前复核 | [research](../../ops/research/2026-09-19-pre-test-promotion-review.md)（2026-09-19 只读；静态门禁过，容器未 rebuild，暂不合并） |
|
||||
| D7 盘点（W7） | [audit](../../audit/2026-09-17-d7-data-inventory.md) · [报告](../../test-reports/2026-09-17-w7-d7-inventory-test-report.md) · ADR 仍 `pending-compliance-signoff` |
|
||||
| 功能启用与文档影响分析 | [调研](../../ops/research/2026-09-20-capability-enablement-impact-research.md) · [整改方案](../../remediation/2026-09-20-capability-enablement-impact-plan.md) · [方案审阅](../../ops/research/2026-09-20-capability-enablement-impact-plan-review.md)（2026-09-20；未启用开关、未改业务代码） |
|
||||
| 阶段回溯与影响闭环 | [设计](../../system-design/2026-09-20-stage-backtrack-and-impact-loop-design.md) · [short-term](../../ops/short-term/2026-09-20-stage-backtrack-design.md)（2026-09-20；仅设计。切片 T1/T2/B1/B2/B3/T3 均为 planned） |
|
||||
| Wave 7 编排确认 | [决策记录](../../ops/short-term/2026-09-18-wave7-roadmap-orchestration.md) |
|
||||
| Agent 手册 | [AGENTS.md](../../../AGENTS.md) |
|
||||
| 意图双标签 busy 交接 | [./handoffs/2026-09-15-conversation-intent-dual-tab.md](../../ops/handoffs/2026-09-15-conversation-intent-dual-tab.md) |
|
||||
| 受控正文 hash 漂移 W1–W6 | [../ops/handoffs/2026-09-14-controlled-content-canonical-hash.md](../../ops/handoffs/2026-09-14-controlled-content-canonical-hash.md) |
|
||||
| DOCREV ADR | [../adr/2026-09-13-document-version-boundary.md](../../adr/2026-09-13-document-version-boundary.md) |
|
||||
| DOCREV 管理测试 | [../test-reports/2026-09-13-document-revision-management-test-report.md](../../test-reports/2026-09-13-document-revision-management-test-report.md) |
|
||||
| DOCREV 运行时 UI Round20 | [../test-reports/2026-09-14-document-revision-runtime-ui-test-report.md](../../test-reports/2026-09-14-document-revision-runtime-ui-test-report.md) |
|
||||
| 纯软件项目自举设计 | [../system-design/2026-09-14-software-project-bootstrap-workflow.md](../../system-design/2026-09-14-software-project-bootstrap-workflow.md) |
|
||||
| 模块化单体解耦架构 | [../system-design/2026-09-14-module-decoupling-architecture.md](../../system-design/2026-09-14-module-decoupling-architecture.md) |
|
||||
| 模块解耦整改计划 | [../remediation/2026-09-14-module-decoupling-refactor-plan.md](../../remediation/2026-09-14-module-decoupling-refactor-plan.md) |
|
||||
| Phase 2 方案审阅 | [../audit/2026-09-15-module-decoupling-phase2-plan-review.md](../../audit/2026-09-15-module-decoupling-phase2-plan-review.md) |
|
||||
| Phase 2 修订计划 | [../remediation/2026-09-15-module-decoupling-ipc-phase2-remediation-plan.md](../../remediation/2026-09-15-module-decoupling-ipc-phase2-remediation-plan.md) |
|
||||
| 多意图 HITL 复核方案 | [../system-design/2026-09-15-multi-intent-hitl-plan.md](../../system-design/2026-09-15-multi-intent-hitl-plan.md) |
|
||||
| 多意图 HITL U1 契约 | [../test-reports/2026-09-15-multi-intent-u1-contracts-test-report.md](../../test-reports/2026-09-15-multi-intent-u1-contracts-test-report.md) |
|
||||
| 多意图 HITL U2 分段 | [../test-reports/2026-09-15-multi-intent-u2-segmenter-test-report.md](../../test-reports/2026-09-15-multi-intent-u2-segmenter-test-report.md) |
|
||||
| 多意图 HITL U3 PG | [../test-reports/2026-09-15-multi-intent-u3-intentflow-pg-test-report.md](../../test-reports/2026-09-15-multi-intent-u3-intentflow-pg-test-report.md) |
|
||||
| 多意图 HITL U4 投影 | [../test-reports/2026-09-16-multi-intent-u4-outbox-projection-test-report.md](../../test-reports/2026-09-16-multi-intent-u4-outbox-projection-test-report.md) |
|
||||
| 多意图 HITL U5 API | [../test-reports/2026-09-16-multi-intent-u5-decision-api-test-report.md](../../test-reports/2026-09-16-multi-intent-u5-decision-api-test-report.md) |
|
||||
| 多意图 HITL U6 Web | [../test-reports/2026-09-16-multi-intent-u6-web-cards-test-report.md](../../test-reports/2026-09-16-multi-intent-u6-web-cards-test-report.md) |
|
||||
| 多意图 HITL U8 generate | [../test-reports/2026-09-16-multi-intent-u8-task-generate-test-report.md](../../test-reports/2026-09-16-multi-intent-u8-task-generate-test-report.md) |
|
||||
| 多意图 HITL U7 只读 | [../test-reports/2026-09-16-multi-intent-u7-auto-read-test-report.md](../../test-reports/2026-09-16-multi-intent-u7-auto-read-test-report.md) |
|
||||
| 文档可靠性 M1 报告 | [../test-reports/2026-09-14-document-reliability-pilot-test-report.md](../../test-reports/2026-09-14-document-reliability-pilot-test-report.md) |
|
||||
| 文档可靠性 M1 活验 | [../test-reports/2026-09-14-document-reliability-pilot-live-test-report.md](../../test-reports/2026-09-14-document-reliability-pilot-live-test-report.md) |
|
||||
| 文档可靠性 M2 | [../test-reports/2026-09-14-document-reliability-m2-test-report.md](../../test-reports/2026-09-14-document-reliability-m2-test-report.md) |
|
||||
| 文档可靠性 M3 U8 | [../test-reports/2026-09-15-taskrun-runmanifest-u8-test-report.md](../../test-reports/2026-09-15-taskrun-runmanifest-u8-test-report.md) |
|
||||
| 文档可靠性 M3 U9 | [../test-reports/2026-09-15-dataset-lifecycle-u9-test-report.md](../../test-reports/2026-09-15-dataset-lifecycle-u9-test-report.md) |
|
||||
| 文档可靠性 M4 U10 | [../test-reports/2026-09-15-chatlog-contextasm-u10-test-report.md](../../test-reports/2026-09-15-chatlog-contextasm-u10-test-report.md) |
|
||||
| 文档可靠性 M5/M6 U11–U12 | [../test-reports/2026-09-15-app-composition-u11-u12-test-report.md](../../test-reports/2026-09-15-app-composition-u11-u12-test-report.md) |
|
||||
| Track E E2 闭包守卫 | [../test-reports/2026-09-15-event-e2-hook-guard-test-report.md](../../test-reports/2026-09-15-event-e2-hook-guard-test-report.md) |
|
||||
| Track E 复盘 | [./research/2026-09-15-track-e-retrospective.md](../../ops/research/2026-09-15-track-e-retrospective.md) |
|
||||
| 旁支清点收口 | [../test-reports/2026-09-15-leftover-branch-cleanup-test-report.md](../../test-reports/2026-09-15-leftover-branch-cleanup-test-report.md) · [二次收口](../../test-reports/2026-09-17-leftover-hygiene-test-report.md) |
|
||||
| SSE/幂等审计 | [../audit/2026-09-13-document-revision-sse-idempotency.md](../../audit/2026-09-13-document-revision-sse-idempotency.md) |
|
||||
| 质量门禁自污染审计 | [../audit/2026-09-13-document-revision-quality-gate-self-pollution.md](../../audit/2026-09-13-document-revision-quality-gate-self-pollution.md) |
|
||||
| 当前文档路由审计 | [../audit/2026-09-13-document-revision-active-doc-routing.md](../../audit/2026-09-13-document-revision-active-doc-routing.md) |
|
||||
| 行动表状态假阳性审计 | [../audit/2026-09-13-document-revision-quality-status-false-positive.md](../../audit/2026-09-13-document-revision-quality-status-false-positive.md) |
|
||||
| 待确认报告选择失败审计 | [../audit/2026-09-13-document-revision-pending-report-selection.md](../../audit/2026-09-13-document-revision-pending-report-selection.md) |
|
||||
| UI-05b 拒绝路由失败审计 | [../audit/2026-09-13-document-revision-e2e-reject-routing.md](../../audit/2026-09-13-document-revision-e2e-reject-routing.md) |
|
||||
| 职责伪造与 ETag 覆盖审计 | [../audit/2026-09-13-document-revision-duty-etag-overwrite.md](../../audit/2026-09-13-document-revision-duty-etag-overwrite.md) |
|
||||
| UI-06 块选择器失败审计 | [../audit/2026-09-13-document-revision-block-selector.md](../../audit/2026-09-13-document-revision-block-selector.md) |
|
||||
| UI-06 保存选择器失败审计 | [../audit/2026-09-13-document-revision-save-selector.md](../../audit/2026-09-13-document-revision-save-selector.md) |
|
||||
| UI-07 纯净阅读取样失败审计 | [../audit/2026-09-13-document-revision-overlay-selector.md](../../audit/2026-09-13-document-revision-overlay-selector.md) |
|
||||
| UI-07 transition 中间帧取样审计 | [../audit/2026-09-13-document-revision-overlay-transition.md](../../audit/2026-09-13-document-revision-overlay-transition.md) |
|
||||
| UI-11 第二份文档路由与 lease 审计 | [../audit/2026-09-13-document-revision-second-doc-routing-lease.md](../../audit/2026-09-13-document-revision-second-doc-routing-lease.md) |
|
||||
| UI-11 prelim_design 缺 output.md 审计 | [../audit/2026-09-13-document-revision-prelim-output.md](../../audit/2026-09-13-document-revision-prelim-output.md) |
|
||||
| UI-06 编辑弹窗 hydration 竞态审计 | [../audit/2026-09-13-document-revision-editor-hydration-race.md](../../audit/2026-09-13-document-revision-editor-hydration-race.md) |
|
||||
| UI-03 质量修复子工作区契约审计 | [../audit/2026-09-13-document-revision-quality-repair-workspace-contract.md](../../audit/2026-09-13-document-revision-quality-repair-workspace-contract.md) |
|
||||
| UI-11 快速完成观测误判审计 | [../audit/2026-09-13-document-revision-fast-completion-observation.md](../../audit/2026-09-13-document-revision-fast-completion-observation.md) |
|
||||
| UI-13a 私密分类导航失败审计 | [../audit/2026-09-13-document-revision-workflow-category-navigation.md](../../audit/2026-09-13-document-revision-workflow-category-navigation.md) |
|
||||
| UI-13a 职责单元格误判审计 | [../audit/2026-09-13-document-revision-duty-cell-assertion.md](../../audit/2026-09-13-document-revision-duty-cell-assertion.md) |
|
||||
| UI-13a reviewer 职责未同步审计 | [../audit/2026-09-13-document-revision-reviewer-duty-sync.md](../../audit/2026-09-13-document-revision-reviewer-duty-sync.md) |
|
||||
| UI-03 首次生成 PG ID 误删 baseline | [../audit/2026-09-13-document-revision-pg-id-remap.md](../../audit/2026-09-13-document-revision-pg-id-remap.md) |
|
||||
| UI-06 刷新后缓存竞争死锁审计 | [../audit/2026-09-14-document-revision-refresh-cache-race.md](../../audit/2026-09-14-document-revision-refresh-cache-race.md) |
|
||||
| 受控正文真实 UI 验收报告 | [../test-reports/2026-09-14-controlled-content-ui-acceptance.md](../../test-reports/2026-09-14-controlled-content-ui-acceptance.md) |
|
||||
|
||||
## 并行集成补录
|
||||
|
||||
来源：dev@a5ea469c 的 CURRENT 增量。保留材料切块任务的新结论；活跃 CURRENT 保留其认领和最新槽位。
|
||||
|
||||
5. **材料切块不再看体积**：项目 6579 `doc_proj6579_bd_intake` 已确认候选 535，正式正文不再含「二进制压缩流」。成功解析的材料一律写入 `material_chunks`，≤60KB 仍全文注入。见 [报告](../../test-reports/2026-09-21-force-material-chunk-index-test-report.md)。已合入 `dev` 并从主目录 rebuild。test/main 未晋升。
|
||||
@@ -1,46 +0,0 @@
|
||||
---
|
||||
task_id: herdr-orchestration-v12
|
||||
status: done
|
||||
owner: Codex
|
||||
branch: feature/herdr-orchestration-v12
|
||||
base_dev_sha: d919e06a73f7a4e18ed9d0cc26728f9cb32f8d97
|
||||
policy_revision: agent-governance-2026-09-21-r1
|
||||
deployment: not_required
|
||||
remote_sync: not_requested
|
||||
integration_state: merged
|
||||
review_state: passed
|
||||
cleanup: pending
|
||||
cleanup_owner: independent-maintainer-after-owner-exit
|
||||
effective_commit: 8c5e3477585fe27a485343dac97a670d95cf8905
|
||||
---
|
||||
# Herdr v1.2 分工与自动审批
|
||||
|
||||
授权：用户要求研究所给方案、纳入仅 Herdr 生效规范，并让已准备客户端自动通过工具请求。本轮修改规则与对应本地入口，提交/合入 dev；不改个人全局配置，不花费模型额度做探针，不操作产品/test/main，不 push。
|
||||
|
||||
本会话 HERDR_ENV 检查失败；依 Herdr 技能不查看/操作现有会话。以本机帮助/非敏感模型别名、官方文档及真实临时 Git/SQLite 配合模拟 Herdr 边界验收，不能声称真实 pane 已启动。
|
||||
|
||||
范围：AGENTS/PROJECT 条件入口、roster、两个启动/派发脚本及共享模块/测试。写入通过任务 path 租约；共享 CURRENT 用 CAS。保留其他任务与已存在 cleanup_pending。
|
||||
|
||||
结论与验收见下文。交付后的原 task_id 继续用于 Kimi 总次数；不得以拆子任务重置预算。
|
||||
|
||||
## 研究与验证结果
|
||||
|
||||
总体采纳。修正 Cursor“无限量”前提、执行跟踪与代码实施边界、默认唯一实施与显式故障接管的矛盾；Kimi 应急/终稿共用上限，GPT 耗尽不以文稿审核代替代码安全终审；普通会话不套用本分工。
|
||||
|
||||
本机配置只读核验：Claude Opus/Sonnet 别名为 glm-5.3[1m]，Haiku 为 glm-5.3-flash[1m]；Codex 默认 gpt-6-astra；PI 默认 minimax-cn/MiniMax-M3，模型目录可列出 qwen-token-plan-cn/qwen3.8-max、qwen3.8-flash 与 zai-coding-cn/glm-5.3。未读取或输出凭证；未修改这些全局设置；未实际调用远端模型。
|
||||
|
||||
- 11 项专用行为测试 PASS（4.664s），包含九个 profile 的自动审批 flags、Herdr 外/错工作区拒绝、目标 pane 检查、报告路由、显式实施备援、不确定发送不重投、唯一重试标记、同角色歧义、Kimi 关停/跨入口计数/未知结果不退款；八进程竞争只有一次真实模拟发送。
|
||||
- [测试输出](../../test-reports/assets/2026-09-21-herdr-v12/focused-tests.txt)；[九种启动命令](../../test-reports/assets/2026-09-21-herdr-v12/launch-commands.json)。Git/SQLite 是真实临时仓库，Herdr transport 为 fake，绝不将其声明为实际 pane 启动/模型 E2E。
|
||||
- PI 安装版本 0.85.1 的本机 README 明确内置工具无权限弹窗，`--approve` 是项目文件信任；扩展仍可自建交互。Cursor force 保留显式 deny，Kimi 使用 auto 而非 yolo。其他本机帮助与[官方出处](../../ops/2026-09-13-herdr-agent-roster.md#5-自动通过请求与实际启动)相互核对。
|
||||
- 本地复核：路由/参数集中于一个 Python 模块，两个 shell 薄入口不复制策略；保留 task 与主仓 `.locks` 身份校验；Kimi 占用在投递前事务提交。没有后台队列/全账户计费控制，MiniMax/GPT 预算轮次由任务记录管理。
|
||||
- 代码不涉及产品 Go/前端/数据库业务；无需产品重建。提交后的候选将按工程测试全集验证，再受控合入 dev；真实 Herdr 会话核验留给下一次在 Herdr 内的实际任务，不在外部强行接入。
|
||||
|
||||
## 收口
|
||||
|
||||
实现提交 `8bc7940e`；生效 dev 候选 `8c5e3477585fe27a485343dac97a670d95cf8905`，其第一父节点 `d919e06a`，主目录持锁快进接收同一已验证节点。[候选完整输出](../../test-reports/assets/2026-09-21-herdr-v12/candidate-tests.txt)：87 tests PASS，36.216s，含原门禁与本轮 11 项测试。语法、diff 与本轮链接检查均通过。收口附加提交仅文档，按文档契约另验。
|
||||
|
||||
运行边界：未启动真实 Herdr/pane/模型请求，未改全局配置、产品服务或数据库；deployment=not_required，无远端 push。不会把模拟 transport 的通过当作实际账户、余额或审批 UI 已消失的证明。
|
||||
|
||||
清理：[进程可见性预检](../../test-reports/assets/2026-09-21-herdr-v12/cleanup-preflight.json)拒绝，部分同 UID cwd 不可读。保留 `.worktrees/herdr-orchestration-v12` 与 `.worktrees/integrate-herdr-orchestration-v12`；独立维护者在 owner 退出和进程可见性核实后重跑普通 remove/-d 的全部门禁，不强删，不接管其他任务。
|
||||
|
||||
影响：Herdr roster、条件入口、规范登记、启动/派发脚本一致；不改变 FEATURE-MATRIX 的产品状态或治理完整自动化 partial，也不改变 gap-matrix。下一次实际 Herdr 任务先核验模型/自动审批启动状态，再按既有任务范围调度；Kimi 仅有必要时调用一次。
|
||||
@@ -1,41 +0,0 @@
|
||||
---
|
||||
title: "意图确认优先与阶段感知消解"
|
||||
status: done
|
||||
created: 2026-09-21
|
||||
updated: 2026-09-21
|
||||
owner: Cursor
|
||||
branch: fix/intent-confirm-stage-aware-2026-09-21
|
||||
worktree: .worktrees/intent-confirm-stage-aware-2026-09-21
|
||||
base_dev_sha: 49fb68fec1ea56f00616c23d08efb15950c2300d
|
||||
mutex: intent+web+docgov
|
||||
---
|
||||
|
||||
# 意图确认优先与阶段感知消解
|
||||
|
||||
## 目标
|
||||
|
||||
商务流初期「整理一下需求」等弱写表述 → 阶段感知消解为 intake，经确认卡片拍板后再执行；不强指令误伤。扩展已合入的工作流作用域修复。
|
||||
|
||||
## 范围
|
||||
|
||||
- 批次5 `feat(intent)`：弱写动词 + `stageAwareRequirementsTask` + `needs_confirmation`
|
||||
- 批次6 `feat(coordinator)`：智能确认门禁（PendingExpectation）
|
||||
- 批次7 `feat(web)`：阶段错误降级聊天一次
|
||||
- 批次8：验收报告 + 合回 `dev` + 真实 PI 抽样
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 批次5–7 实现与单元门禁
|
||||
2. [x] 批次8：合入 `dev@0c401904` + rebuild + 真实链路抽样（陈威项目 6579）
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] V0.1「整理一下需求」→ 确认 →「好」→ intake（单元 + 真实 PI）
|
||||
- [x] 强指令不强制确认；「编写用户需求表」无 rdev 误拦
|
||||
- [x] 合入后真实 PI 抽样（见测试报告）
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Plan: `~/.cursor/plans/意图确认优先与阶段感知_7ab2c4d5.plan.md`
|
||||
- Prior (done): `.doc/archive/ops/2026-09-21-intent-workflow-scoping.md`
|
||||
- Test report: `.doc/test-reports/2026-09-21-intent-confirm-stage-aware-test-report.md`
|
||||
@@ -1,70 +0,0 @@
|
||||
---
|
||||
title: "意图填槽工作流作用域修复"
|
||||
status: done
|
||||
created: 2026-09-21
|
||||
updated: 2026-09-21
|
||||
owner: Cursor
|
||||
branch: fix/intent-workflow-scoping-2026-09-21
|
||||
worktree: "-"
|
||||
mutex: intent+web+docgov
|
||||
---
|
||||
|
||||
# 意图填槽工作流作用域修复
|
||||
|
||||
## 目标
|
||||
|
||||
意图识别填槽（target_doc / target_task）只命中当前激活工作流的文档与任务；显式点名其他工作流的文档时拦截并引导切换工作流，不误触、不执行。
|
||||
|
||||
## 背景
|
||||
|
||||
用户反馈：填「要修改的文档」等槽位时可能命中其他工作流的文档。根因链（2026-09-21 调研）：
|
||||
|
||||
1. `intent.ContextSnapshot` 无 workflow 字段，`ToSnapshot()` 丢弃 `Project.ActiveWorkflowKey`；server 默认上下文硬编码 `CurrentWorkflow: "intake"`
|
||||
2. `extractDocName` 词表全是 main（bd_）流文档名，无按流归属约束
|
||||
3. 消费端匹配池 `ListWorkflowDocumentsByProject` 仅按 project_id 过滤（跨工作流全量），`selectReadableWorkflowDocument` 双向 contains 模糊匹配取首个命中
|
||||
4. 前端 `resolveTaskTemplateForMessage` 匹配池 `currentProjectDeliverables` 仅按 projectId 过滤；`activeWorkflowKey` 只用于徽标展示
|
||||
|
||||
## 范围
|
||||
|
||||
- 批次1 `feat(intent)`：`ContextSnapshot` 增加 `ActiveWorkflowKey`；`ToSnapshot` 下传；docgov 命中他流文档名时打 `workflow_scope_mismatch` 标记不误填
|
||||
- 批次2 `feat(coordinator+server+projectinstance)`：`ActiveWorkflowTaskKeys` 辅助查询；文档匹配池收窄到激活流；`ErrDocWrongWorkflow` 拦截引导；TRIGGER_TASK 任务键归属校验；enrich 时注入真实 `active_workflow_key`
|
||||
- 批次3 `feat(web)`：`DeliverableItem.workflowKey`；文档列表 API 附带 `workflow_key` 与 `active_workflow_key`；templateMatch 匹配池按激活流过滤，他流点名返回 wrongWorkflow 提示
|
||||
- 批次4：真实环境验收 + 测试报告 + 合回 dev
|
||||
|
||||
## 非目标
|
||||
|
||||
- 不迁移 `document_records` 表（不加 workflow_instance_id 列）
|
||||
- 不改 `production_ready`、不晋升 test/main、不动项目 143
|
||||
- 不改 SWITCH_WORKFLOW 意图本身行为
|
||||
- UI 文档展示列表保持全量（仅匹配池收窄）
|
||||
|
||||
## 渐进安全策略
|
||||
|
||||
`active_workflow_key` 为空或查不到激活实例（存量单流项目、planning 态）→ 不过滤，保持现状行为。
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 批次1：intent 快照与工作流词表归属
|
||||
2. [x] 批次2：服务端匹配池收窄与拦截引导
|
||||
3. [x] 批次3：前端模板匹配池收窄
|
||||
4. [x] 批次4：真实环境验收、报告归档、合回 dev
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 激活 main 流说「查看调研报告」→ 命中 main 流文档（正例；修改/生成话术另记路由噪声）
|
||||
- [x] 激活 main 流说「编写项目建议书」（rdev 流文档）→ 拦截 + 引导切换（反例；tasks/run 409 ERR_DOC_WRONG_WORKFLOW）
|
||||
- [ ] 激活 rdev 流后同名操作 → 正常执行（切换后正例；本轮 SWITCH 落库未兑现，记 deferred）
|
||||
- [x] 存量无 active_workflow_key 项目 → 行为不变（回归）
|
||||
- [x] 相关包 `go vet` / scoped `go test -short`、`web: npm test && npm run build` 全绿
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Plan: `~/.cursor/plans/意图填槽工作流作用域修复_dba2ab4c.plan.md`
|
||||
- Handoff:
|
||||
- Test report: `.doc/test-reports/2026-09-21-intent-workflow-scoping-test-report.md`
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
用户在 dev 商务对接实测发现跨工作流误命中。用户在方案确认时选定：严格拦截 + 引导切换；等四问题修复 mutex 释放后独立分支推进。
|
||||
|
||||
- 2026-09-21 收口：已合入 `dev@e0665ca4`，验收报告见 `.doc/test-reports/2026-09-21-intent-workflow-scoping-test-report.md`。
|
||||
@@ -1,59 +0,0 @@
|
||||
---
|
||||
title: "工作流作用域权重化"
|
||||
status: done
|
||||
created: 2026-09-21
|
||||
updated: 2026-09-21
|
||||
owner: Cursor
|
||||
branch: feature/workflow-scope-weighting-2026-09-21
|
||||
worktree: .worktrees/workflow-scope-weighting-2026-09-21
|
||||
base_dev_sha: 10aee3feb478c550adc9959f2d3a8d17cd5b48a0
|
||||
write_scope: [internal/workflowscope, internal/intent, internal/server, internal/coordinator, internal/config, internal/sysadmin, web/src, docker-compose.dev.yml, docker-compose.test.yml, docker-compose.main.yml, .env.example, .doc]
|
||||
head_sha: 7723a5515948788602b342cdda1137c90fee311b
|
||||
deployment: deployed
|
||||
cleanup: pending
|
||||
mutex: intent+web+docgov
|
||||
---
|
||||
|
||||
# 工作流作用域权重化
|
||||
|
||||
## 目标
|
||||
|
||||
把「句子里出现他流文档短语就硬拦截」改为「匹配质量 × 工作流关系权重」裁决。激活流优先；只有他流精确命中明显压过激活流时才跨流。只读跨流在查看权限通过后放行并注明归属；写动作仍引导到项目设置切换（跨流写在现架构下不可执行）。`WORKFLOW_SCOPE_MODE` 默认 `strict`，保持现状。
|
||||
|
||||
## 范围
|
||||
|
||||
- 新建 `internal/workflowscope`（开关、关系权重、打分裁决）
|
||||
- 服务端文档读取、意图填槽、前端模板匹配改用同一裁决
|
||||
- compose / `.env.example` / sysadmin 登记开关
|
||||
- dev 真实环境验收与测试报告
|
||||
|
||||
## 非目标
|
||||
|
||||
- 不迁移 `document_records`，不加 `workflow_instance_id`
|
||||
- 不改工作流切换 / 激活接口
|
||||
- 不改 `production_ready`，不晋升 test/main，不动项目 143
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 打分内核与开关
|
||||
2. [x] 服务端只读跨流放行与查看权限
|
||||
3. [x] 意图填槽改打分
|
||||
4. [x] 前端模板匹配改打分
|
||||
5. [x] 开关声明、真实验收、报告、合回 dev
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] strict 模式与现有跨流拦截断言一致
|
||||
- [x] weighted 下激活流精确名压过他流短语，不再误拦
|
||||
- [x] weighted 下只读精确点名他流文档可放行并注明归属；写动作仍拦截
|
||||
- [x] 无查看权限 / 实例已关闭时跨流只读拒绝
|
||||
- [x] 空激活键不过滤
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Plan: `~/.cursor/plans/工作流作用域权重化_411b5e35.plan.md`
|
||||
- Test report: `.doc/test-reports/2026-09-21-workflow-scope-weighting-test-report.md`
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
查看权限：治理实例 `ViewableTaskKeys` 只含当前实例已启用文档。他流任务键不在快照内，不能把它当成「显式隐藏」。判定为：解析失败按 `failClosedAuthz` 拒绝；`ViewableTaskKeys` 为空（实例已关闭）拒绝；键落在当前实例但不可见则拒绝；键不属于当前实例、且调用方已能查看该实例文档时允许只读。
|
||||
@@ -1,48 +0,0 @@
|
||||
---
|
||||
title: "Wave 2B PU5B：nightly PI + promotion receipt"
|
||||
status: done
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-16
|
||||
owner: Cursor
|
||||
branch: feature/wave2b-nightly-promotion-receipt
|
||||
worktree: "-"
|
||||
mutex: ci
|
||||
---
|
||||
|
||||
# Wave 2B PU5B：nightly PI + promotion receipt
|
||||
|
||||
## 目标
|
||||
|
||||
落地夜间真实 PI 回归入口、不可变 promotion receipt，以及晋升脚本强制校验；same-image digest 晋升本轮仅做到 same-commit + digest 可追溯。
|
||||
|
||||
## 范围
|
||||
|
||||
- promotion receipt 写/校验 + waiver
|
||||
- nightly-real-pi.yml + run-nightly-real-pi.sh
|
||||
- git-workflow-helper / promote-to-test / release-to-main 门禁钩子
|
||||
- 报告与 FEATURE-MATRIX / remediation 同步
|
||||
|
||||
## 非目标
|
||||
|
||||
- compose 按 digest pull 的同镜像晋升流水线
|
||||
- Playwright 双标签；升 MULTI_INTENT tier
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 认领 + 开分支
|
||||
2. [x] receipt 写/校验脚本
|
||||
3. [x] nightly workflow + 本机脚本
|
||||
4. [x] 晋升钩子
|
||||
5. [x] 报告 + 合入 dev
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 缺 secret/runner → infra_fail，晋升拒绝
|
||||
- [x] product_fail → 晋升拒绝
|
||||
- [x] pass receipt → 晋升可过；无 receipt → 非零退出
|
||||
- [x] 报告归档（`.doc/test-reports/2026-09-16-wave2b-nightly-promotion-receipt-test-report.md`）
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Remediation PU5B: `../../remediation/2026-09-16-feature-matrix-production-readiness-plan.md`
|
||||
- Test report: `../../test-reports/2026-09-16-wave2b-nightly-promotion-receipt-test-report.md`
|
||||
@@ -1,41 +0,0 @@
|
||||
---
|
||||
title: "Wave 2C：同 digest 镜像晋升"
|
||||
status: done
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-16
|
||||
owner: Cursor
|
||||
branch: feature/wave2c-same-image-digest
|
||||
worktree: "-"
|
||||
mutex: infra
|
||||
---
|
||||
|
||||
# Wave 2C：同 digest 镜像晋升
|
||||
|
||||
## 目标
|
||||
|
||||
候选 commit 一次构建；test/main 按 receipt digests 启动；pinned 禁止 rebuild 另造镜像。
|
||||
|
||||
## 范围
|
||||
|
||||
- candidate-images-build/apply
|
||||
- compose + env-service pinned
|
||||
- promote/release 钩子 + receipt --require-digests
|
||||
- nightly digests 对齐
|
||||
|
||||
## 非目标
|
||||
|
||||
- 远程 registry；升 tier；Playwright；U8 quality_failed（Phase 3）
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 认领 + 开分支
|
||||
2. [x] build/apply + check digests
|
||||
3. [x] compose/env-service/hooks
|
||||
4. [x] nightly align
|
||||
5. [x] 报告合入
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] PASS receipt 含 digests；apply 后 ID 一致
|
||||
- [x] pinned rebuild 不换 ID（env-service 拒绝 --build）
|
||||
- [x] 缺 digest 拒绝晋升
|
||||
@@ -1,26 +0,0 @@
|
||||
---
|
||||
title: "Wave 3 PU6–PU8 go/no-go 文档任务"
|
||||
status: done
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-16
|
||||
owner: Cursor
|
||||
branch: feature/wave3-pu6-pu8-go-no-go
|
||||
worktree: "-"
|
||||
mutex: architecture-docs
|
||||
---
|
||||
|
||||
# Wave 3 PU6–PU8 go/no-go 文档任务
|
||||
|
||||
## 目标
|
||||
|
||||
完成 PU6–PU8 产品 go/no-go 记录与获批后契约；未获批不实施。
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] 调研 go/no-go 总文
|
||||
2. [x] PU6–PU8 / U9–U12 契约
|
||||
3. [x] 勾 DoD + 矩阵/CURRENT 同步 + 合入
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Research: `../research/2026-09-16-wave3-pu6-pu8-go-no-go.md`
|
||||
@@ -1,59 +0,0 @@
|
||||
---
|
||||
title: "个人工程中控台：实时项目看板与离线 HTML 快照"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
owner: Cursor-Auto
|
||||
branch: feature/engineering-dashboard
|
||||
worktree: .worktrees/feature-engineering-dashboard
|
||||
mutex: engineering-dashboard
|
||||
---
|
||||
|
||||
# 个人工程中控台：实时项目看板与离线 HTML 快照
|
||||
|
||||
## 目标
|
||||
|
||||
实现一个独立于产品后台的本地只读中控台，以同一不可变快照驱动实时页面、机器可读 JSON 与单文件 HTML 导出。
|
||||
|
||||
## 范围
|
||||
|
||||
- 聚合 `.doc`、Git/worktree、Docker/Compose、`/ready` 和晋升凭证。
|
||||
- 展示架构、模块、功能、任务、分支、验证和环境实装证据。
|
||||
- 提供 Markdown 搜索、阅读、正反向链接和证据链导航。
|
||||
- 显示来源、新鲜度、degraded 与 drift，不把声明状态当作观测状态。
|
||||
|
||||
## 非目标
|
||||
|
||||
- 不接入产品后台、产品数据库或产品权限体系。
|
||||
- 不写文档，不操作 Git、Docker、部署或 Herdr。
|
||||
- 不隐式联网或执行 `git fetch`。
|
||||
|
||||
## 步骤
|
||||
|
||||
1. [x] U1：冻结快照、事实与四轴状态契约。
|
||||
2. [x] U2：实现文档图谱与领域解析器。
|
||||
3. [x] U3：实现 Git 与 worktree 采集。
|
||||
4. [x] U4：实现运行态与部署证据采集。
|
||||
5. [x] U5：实现对账、派生视图与新鲜度。
|
||||
6. [x] U6：实现本地服务、总览与文档导航。
|
||||
7. [x] U7：实现离线导出、脚本、浏览器验收和治理文档同步。
|
||||
|
||||
## 验收标准
|
||||
|
||||
- [x] 实时 HTML、离线 HTML 和 JSON 引用同一 `generation_id` 与 `revision_id`。
|
||||
- [x] 计划、实施、验证、实装四轴独立展示。
|
||||
- [x] rdev、dev ahead、main events 分叉三个真实样本按方案输出。
|
||||
- [x] 单源失败时页面仍可用，且显示 stale/error/last-success。
|
||||
- [x] 默认仅监听 loopback，无写操作、凭证暴露、路径越界和远程资源执行。
|
||||
- [x] 导出 HTML 离开仓库后仍可阅读 Markdown，且不嵌入 assets。
|
||||
|
||||
## 相关链接
|
||||
|
||||
- 设计与实施方案：[../../archive/design/2026-09-17-personal-engineering-control-center-plan.md](../../archive/design/2026-09-17-personal-engineering-control-center-plan.md)
|
||||
- Test report: [../../test-reports/2026-09-17-engineering-dashboard-test-report.md](../../test-reports/2026-09-17-engineering-dashboard-test-report.md)
|
||||
|
||||
## 证据 / 备注
|
||||
|
||||
- 实现提交序列见 `feature/engineering-dashboard`（U1→U7）。
|
||||
- 启动：`./scripts/engineering-dashboard.sh serve --repo . --addr 127.0.0.1:8787`
|
||||
- 导出：`./scripts/engineering-dashboard.sh export --repo . --output /tmp/engdash.html`
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "当前受控文档改写被领域关键词改路由到另一交付物"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 当前受控文档改写被领域关键词改路由到另一交付物
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第二轮真实 UI（schema 30）**UI-05 首个失败**：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-06 用 overlay/p/h 选择器找不到真实文档块"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-06 用 overlay/p/h 选择器找不到真实文档块
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第六轮真实 UI（schema 30）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-13a 用整行 option 文案误判编制负责人"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-13a 用整行 option 文案误判编制负责人
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第16轮真实 UI（schema 30，`dev@dd5671e`）：UI-00 至 UI-12 PASS；分类导航修复已实证，UI-13a 已能从「我的私密」切回「流程受控」并打开 reviewer B 权限矩阵。
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "文档职责伪造与保存时重取 ETag 可覆盖并发正文"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: critical
|
||||
---
|
||||
|
||||
# 文档职责伪造与保存时重取 ETag 可覆盖并发正文
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
静态审查与 E2E UI-13 路径暴露两类产品缺陷：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-05b 缺当前受控文档指示语被路由到 feasibility_reg"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-05b 缺当前受控文档指示语被路由到 feasibility_reg
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第五轮真实 UI（schema 30）**UI-05b 首个失败**：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-06 编辑弹窗打开期间 hydration 换块 ID 导致保存静默丢稿"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-06 编辑弹窗打开期间 hydration 换块 ID 导致保存静默丢稿
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第十二轮真实 UI（schema 30，dev@4c465d2 基线）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-11 快速 completed 被验收脚本误判为失败"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-11 快速 completed 被验收脚本误判为失败
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第14轮真实 UI（schema 30，`dev@339e871`）在 **UI-11** 失败：页面上传附件并发送「请将此附件归档」后，相邻助手卡片已快速处于 `completed`（文案：已收录补充材料并关联黑板）。
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-07 纯净阅读用 overlay/class*block 找不到真实块"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-07 纯净阅读用 overlay/class*block 找不到真实块
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第八轮真实 UI（schema 30）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-07 在 CSS transition 中间帧采样纯净阅读"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-07 在 CSS transition 中间帧采样纯净阅读
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第九轮真实 UI（schema 30）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-05a 未打开待确认报告导致确认按钮缺失"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-05a 未打开待确认报告导致确认按钮缺失
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第四轮真实 UI（schema 30）**UI-05a 首个失败**：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "post-restart 项目名同时命中顶栏与侧栏"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# post-restart 项目名同时命中顶栏与侧栏
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第18轮真实 UI（schema 31）：main **18 PASS / 0 FAIL**。宿主重启 app 后 `UI_PHASE=post-restart` 在页面**已经恢复项目**时失败，尚未走到 `revision-state`。
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-11 prelim_design 缺 output.md 导致 TASK_INTERRUPTED"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-11 prelim_design 缺 output.md 导致 TASK_INTERRUPTED
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第11轮真实 UI（schema 30，`dev@2a58674`）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "质量门禁自污染与 auto_repair 未启用导致 quality_failed"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 质量门禁自污染与 auto_repair 未启用导致 quality_failed
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
同一整改范围真实 run（与 SSE/幂等现场同源）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-03 质量修复子工作区越界改写根 output.md"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-03 质量修复子工作区越界改写根 output.md
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第13轮 Antigravity 完整 UI（schema 30，dev@8b1a531 基线）：UI00–02 PASS，UI-03 真实 PI 终态 `quality_failed`，页面 70 分、缺少必填章节「阻塞信息 / 非阻塞信息」。
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "行动计划表状态列「待续」被质量门禁误判为敷衍"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 行动计划表状态列「待续」被质量门禁误判为敷衍
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第三轮真实 UI（新用户 `mtzzliz5`，新项目，真实 MiniMax）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "项目 reviewer 未同步到受控文档职责"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: critical
|
||||
---
|
||||
|
||||
# 项目 reviewer 未同步到受控文档职责
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第17轮真实 UI（schema 30，`dev@639969f`）：UI-00 至 UI-12 PASS。UI-13a 精确职责断言首次暴露产品缺陷：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-06 全页模糊保存按钮未发出 PATCH"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-06 全页模糊保存按钮未发出 PATCH
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第七轮真实 UI（schema 30）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-11 第二份文档路由到 intake 且 human lease 残留"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-11 第二份文档路由到 intake 且 human lease 残留
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第十轮真实 UI（schema 30）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "任务 run SSE 超时断线后同 turn 误击 DOC_BUSY"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: critical
|
||||
---
|
||||
|
||||
# 任务 run SSE 超时断线后同 turn 误击 DOC_BUSY
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
真实 Antigravity UI-03（dev schema 30）：
|
||||
|
||||
@@ -1,16 +1,13 @@
|
||||
---
|
||||
title: "UI-13a 在私密分类下打不开受控工作流文档"
|
||||
status: done
|
||||
status: in_progress
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-13
|
||||
severity: high
|
||||
---
|
||||
|
||||
# UI-13a 在私密分类下打不开受控工作流文档
|
||||
|
||||
> **W3 UI-rerun 关闭（2026-09-22）**：`status=done`。真实 Playwright 账本 PASS：[`ui-acceptance-results.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results.json)（main UI-00..16）+ [`ui-acceptance-results-post-restart.json`](../test-reports/assets/2026-09-22-docrev-ui-rerun/ui-acceptance-results-post-restart.json)（UI-15）。任务 tip 已合入本地 `dev`；详见 [short-term](../ops/short-term/2026-09-22-docrev-ui-rerun.md) 与 [测试报告](../test-reports/2026-09-22-docrev-ui-rerun-test-report.md)。
|
||||
|
||||
|
||||
## 现象
|
||||
|
||||
第15轮真实 UI（schema 30，`dev@48a4dcb`）：UI-00 至 UI-12 全部 PASS，UI-11 快速完成修复已实证 PASS。**UI-13a 在真正权限断言前失败**。
|
||||
|
||||
@@ -1,19 +0,0 @@
|
||||
---
|
||||
title: "BUG-11 410 兼容策略冻结"
|
||||
created: 2026-09-16
|
||||
status: done
|
||||
---
|
||||
|
||||
# BUG-11：旧 WORKFLOW_SWITCH API 410 策略
|
||||
|
||||
## 决定（2026-09-16 产品/工程冻结）
|
||||
|
||||
**保留** 治理可用时返回 `410 Gone` + `WORKFLOW_SWITCH_API_RETIRED`；治理不可用环境仍允许旧路径。
|
||||
|
||||
- 不视为能力缺口；不强制本轮删除路由。
|
||||
- 遥测若证明零流量，可另开退役任务。
|
||||
|
||||
## 证据
|
||||
|
||||
- `internal/server/project_handlers.go` Gone 分支
|
||||
- gap-matrix BUG-11 → PASS（策略冻结）
|
||||
@@ -1,24 +0,0 @@
|
||||
---
|
||||
title: "FAV U7 incremental — remaining port inventory"
|
||||
status: open
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-17
|
||||
---
|
||||
|
||||
# FAV U7 增量：未移植清单
|
||||
|
||||
相对 `feature/final-artifact-vault`，本切片 **未** 整支 merge，且因 `internal/artifactvault` 与当前 `dev`（dataset Candidate backfill）大面积 DIFF，下列能力仍待后续手工移植 + 审计：
|
||||
|
||||
| 项 | 旁支路径 | 阻塞 |
|
||||
|----|----------|------|
|
||||
| EnumerateTerminals / LoadExclusions | `internal/artifactvault/enumerate.go` | 依赖 TerminalRow；与现 `Enumerate(Candidate)` 并存需设计 |
|
||||
| TerminalRow Backfill | FAV `backfill.go` | 现 backfill 已改为 dataset 路径 |
|
||||
| 完整 CLI | `cmd/artifact-vault` 全命令 | 本切片仅 status stub |
|
||||
| ingest hooks | `internal/server/vault.go` OnFinalArtifact* | 会写 staging；需与 publisher 门闩同批审批 |
|
||||
| schema JSON | `*.schema.json` | 可选文档资产 |
|
||||
| durable Register(fav) | `cmd/events` | events 硬门 + 单独 cutover 审批 |
|
||||
| live staging → artifact → publication | publisher Drain / ingest hooks | 每级观察窗 ≥7 天；本轮 **未** 放量 |
|
||||
|
||||
**W6 已移植（仍非 live）**：`internal/app/fav.EventConsumer.ObserveShadow` 只计算 intended outcome（`WouldStage`/`WouldPublish` 恒 false）；`FAV_DEGRADED_READ` 为 true 时 shadow 直接拒绝；`HandleLease` 与 `Registry.Register(fav)` 仍 fail-closed。
|
||||
|
||||
**红线保持**：`FAV_DEGRADED_READ=false`；fav consumer mode=off；禁止整支 merge。
|
||||
@@ -1,110 +0,0 @@
|
||||
---
|
||||
title: "FEATURE-MATRIX production-ready 连续性审计"
|
||||
status: done
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-16
|
||||
---
|
||||
|
||||
# FEATURE-MATRIX production-ready 连续性审计
|
||||
|
||||
## 结论
|
||||
|
||||
排除“纯软件项目自举”后，当前证据没有显示新的发布 blocker。`CURRENT.md`、`gap-matrix.md` 与 B1–B4 报告一致记录 `production_ready=yes`，dev/test/main 均为 schema 47。
|
||||
|
||||
`FEATURE-MATRIX.md` 仍需整改，但问题主要是状态语义混杂和证据漂移：同一个 `partial` 同时表示补证、首发后增强、实验、刻意关闭和真正的能力缺口。矩阵不能仅凭这些 `partial` 把 production-ready 回退，也不能据此宣称所有能力完整。
|
||||
|
||||
本轮只读核对文档和源码，没有运行测试、改业务代码、切换 feature flag 或操作共享环境。运行态事实仍以现有测试报告为准；后续状态提升必须重新验证。
|
||||
|
||||
## 审计边界
|
||||
|
||||
- 包含：除“纯软件项目自举”外的 `partial` 行、与这些行直接相关的 done/deferred 边界、发布门禁和证据链。
|
||||
- 不包含：纯软件项目自举的实现方案、FAV 的实现审计、业务代码整改、部署或环境晋升。
|
||||
- 权威关系：`FEATURE-MATRIX.md` 描述能力成熟度；`gap-matrix.md` 描述发布 blocker；`CURRENT.md` 描述当前协作与环境快照。
|
||||
|
||||
## 已确认事实
|
||||
|
||||
1. 发布门禁 B1–B4 已签，三环境 schema 为 47；U9–U12、FAV、完整 PI change-report 叙事和软件自举明确不挡当前首发。
|
||||
2. 对话刷新、重登、重启和跨用户拒绝已有真实 PI/运行态证据。
|
||||
3. 可靠事件 notify、workflow advance、projection 已 live，生产闭包 hook 已退出；FAV 仍保持 off。
|
||||
4. 多意图 U1–U8 已合入默认 `legacy` 的安全基线，但 U8 真实 PI generate 在其报告中是 SKIP，不能写成真实生成闭环已签。
|
||||
5. 工作流治理的设置页、DutyMode、动作级鉴权和三工作流真实 PI E2E 已签；full/none 文档长链的页面证据仍未完整覆盖。
|
||||
6. 文档版本账本、人工修订、比较、通知和运行时 UI 已通过；change report 仍是明确标识的 deterministic fallback，不是完整 PI 叙事。
|
||||
|
||||
## 逐行核对
|
||||
|
||||
| 模块 | 当前判定 | 剩余工作 | 发布关系 |
|
||||
|---|---|---|---|
|
||||
| 意图识别 L1 | 当前行范围已具备改为 `done` 的条件 | 把 U9–U12 移出 L1 行；L1 只保留 18 类、三分支、读写分流和纯依赖边界 | 文档校准，不是 blocker |
|
||||
| 多意图持久计划 | `partial` 合理 | 先补 U8 真实 PI + PG + browser + restart + 撤权证据；U9 独立实验；U10–U12 逐 action 扩面 | 默认 `legacy`，不挡首发 |
|
||||
| 对话 / ctxmgr baseline | 当前冻结范围可改为 `done` | 语义摘要是 backlog D3，不是 D5；拆成独立 deferred/partial 行 | 文档校准，不是 blocker |
|
||||
| 对话安全治理 D7 | `deferred` 独立行 | 数据分类，数据库/备份/日志控制盘点，留存删除口径和加密边界；若确认当前基线违规则升级 blocker | 待合规口径，不得无限期隐藏在普通 backlog |
|
||||
| 工作流治理 | `partial` 合理 | full 文档真实 PI 人工审批长链；none 文档真实 PI 生成、免审批、账本持久化和阶段不阻塞长链 | 补证优先，不预设改代码 |
|
||||
| IAM / 鉴权 | 现有缺口文字过时，模块仍应暂保 `partial` | 历史读取统一 owner/阶段授权已闭环；改为全路由 inventory、PG fail-closed、管理员例外、缓存失效和 410 退役决策 | 若发现现行旁路则升级 blocker |
|
||||
| 文档版本与修改认知 baseline | 当前冻结范围可改为 `done` | 账本、人工修订、真实 diff+lineage 和 UI 已签；完整 PI narrative 拆成独立 deferred/partial 行 | 文档校准，不是 blocker |
|
||||
| 前端工作台 | 当前行范围可改为 `done` | 其他 409 消费方复用信封解析应另列 hardening，不能让当前能力永久 `partial` | 文档校准，不是 blocker |
|
||||
| CI / E2E | `partial` 合理 | 夜间 `RUN_PI_E2E=1`、失败分类与证据归档；修复全仓 race 的 TempDir 异步收口 flake | 阻止下一次晋升，不自动否定已发布版本 |
|
||||
| Artifact promotion | `partial/deferred` 独立行 | 现状只证明同 commit 与各环境 digest 可追溯；要声明 same-image promotion，需一次构建、按 digest 晋升和可执行 receipt | 发布加固，不反向否定已签版本 |
|
||||
| 模块解耦与可靠事件 | 当前核心范围可改为 `done` | 将 FAV 拆成独立 `deferred` 行；选择性后续解耦按收益触发 | FAV 保持 off，不挡首发 |
|
||||
|
||||
## 文档漂移
|
||||
|
||||
1. 多意图行仍写“共享环境 schema 45 待晋升”，与三环境 schema 47 冲突。
|
||||
2. 对话行将语义摘要标成 D5；`chat-agent-p6-backlog.md` 中语义摘要实际为 D3，D5 是共享 KB 环境隔离评估。
|
||||
3. IAM 行仍把已经闭环的历史读取 owner/阶段授权写成待办。
|
||||
4. 前端行的“缺口/后续”没有未完成项，但状态仍是 `partial`。
|
||||
5. 模块解耦行把已完成的事件核心和故意关闭的 FAV 混在同一状态中。
|
||||
6. `2026-09-15-multi-intent-hitl-plan.md`、Phase 2 解耦方案、HTTP 信封方案和相关历史研究的头部状态或叙事已被后续报告部分或全部取代。
|
||||
|
||||
历史文档不得删除。应在原文增加 implemented/superseded 指针，或更新仍作为活方案的状态与证据链接。
|
||||
|
||||
## 风险发现
|
||||
|
||||
### IAM fail-open 潜在路径
|
||||
|
||||
`internal/auth/store_factory.go` 在 pool 为空或 IAM 表未就绪时回退 `MemoryStore`，没有按环境显式拒绝。当前 main schema 47 使该分支未被证实正在触发，因此本审计不直接翻转 production-ready；后续必须先只读核对部署实际选择，再把 fallback 改成仅 dev/test 加显式 opt-in 可用，空值、未知环境和 main/prod 一律 fail closed，并覆盖既有 session 的授权依赖中断负例。
|
||||
|
||||
### 状态提升越级
|
||||
|
||||
U8 的代码合入、默认 legacy 安全和真实 PI 放量是三件不同的事。矩阵若只写“U1–U8 完成”，会掩盖真实 PI stop-gate，并可能误导后续把 tier 升到 `confirm/full`。
|
||||
|
||||
### `none` 语义误写
|
||||
|
||||
`none` 表示不需要人工三权审批，不是“none 文档审批长链”。验收应证明真实 PI 生成、版本账本、审批动作不适用和阶段不阻塞。
|
||||
|
||||
### 证据失效
|
||||
|
||||
测试报告只证明其 commit、schema、镜像、runner/model/protocol 和环境。代码、迁移、compose、flag、runner 协议变化或环境晋升后，历史 PASS 不能单独证明新部署。
|
||||
|
||||
## 推荐状态模型
|
||||
|
||||
能力状态与发布状态必须正交：
|
||||
|
||||
- `done`：本行声明的能力边界已完成并有相应层级证据；不表示该领域永无后续。
|
||||
- `partial`：已交付可用子集，行内列出尚未满足的关闭条件。
|
||||
- `planned`：方案已存在但尚未实施。
|
||||
- `deferred`：明确不进入当前路线，且不是发布 blocker。
|
||||
- `blocked`：该行目标无法继续，必须给出 blocker 和恢复条件。
|
||||
- `production_ready`：只由 `gap-matrix.md` 的发布门禁决定，不由所有能力行必须 `done` 推导。
|
||||
|
||||
## 重验触发器
|
||||
|
||||
发生以下任一变化时，受影响行必须重新验证，不能沿用旧 PASS：
|
||||
|
||||
- 授权谓词、owner port、会话或阶段作用域变化；
|
||||
- schema、迁移、compose、镜像或环境晋升；
|
||||
- feature flag/tier 从 off、legacy 或 shadow 升级；
|
||||
- PI Runner URL、模型、typed-result 协议或 prompt/schema 变化；
|
||||
- event consumer writer、lease、receipt、replay 或回滚路径变化；
|
||||
- 浏览器用户流、SSE 恢复或持久化边界变化。
|
||||
|
||||
## 相关证据
|
||||
|
||||
- 能力矩阵：`status/FEATURE-MATRIX.md`
|
||||
- 发布缺口：`remediation/gap-matrix.md`
|
||||
- 当前环境：`ops/CURRENT.md`
|
||||
- 发布门禁任务：`archive/ops/short-term/2026-09-16-production-ready-gates.md`
|
||||
- 多意图设计与 U8：`system-design/2026-09-15-multi-intent-hitl-plan.md`、`test-reports/2026-09-16-multi-intent-u8-task-generate-test-report.md`
|
||||
- 对话门禁：`test-reports/2026-09-16-chat-refresh-gate-test-report.md`
|
||||
- 工作流 full/none 证据边界：`test-reports/2026-09-14-workflow-plan-409-frozen-and-optional-duties-test-report.md`
|
||||
- 文档版本：`test-reports/2026-09-14-document-revision-runtime-ui-test-report.md`
|
||||
- 事件与解耦：`test-reports/2026-09-15-phase2-closeout-test-report.md`、`ops/research/2026-09-15-track-e-retrospective.md`
|
||||
@@ -1,23 +0,0 @@
|
||||
---
|
||||
title: "R13 数据安全清单（nightly / real-PI）"
|
||||
created: 2026-09-16
|
||||
status: done
|
||||
---
|
||||
|
||||
# R13 数据安全清单
|
||||
|
||||
用于真实 PI / nightly / 扩面验收的出站与留存门禁。
|
||||
|
||||
| # | 控制项 | 状态 | 证据/路径 |
|
||||
|---|--------|------|-----------|
|
||||
| 1 | 隔离合成 project/session，禁止生产真实 PII | PASS | nightly `agent_wave2_pi` + 合成 fixture |
|
||||
| 2 | 凭证不入库；secrets 仅 Gitea Actions / `~/.secrets` | PASS | handoff gitea-nightly-secrets |
|
||||
| 3 | evidence_refs 脱敏；日志无 token/密码 | PASS | `promotion-receipt-*` + run script |
|
||||
| 4 | PI 最小字段 allowlist / typed-result-v1 | PASS | deploy/pi-agent typed-result |
|
||||
| 5 | 跨项目/跨用户负例拒绝 | PASS | Wave2 / authz 套件 |
|
||||
| 6 | 产物保留期有限（本地 tar / Actions） | PASS | workflow archive step |
|
||||
| 7 | KB 出站失败降级不泄漏凭证 | PASS | pi-agent runner health 无 key |
|
||||
|
||||
## 开放增强
|
||||
|
||||
- 完整红队注入矩阵可另开 audit；不挡本清单基线勾选。
|
||||
@@ -1,45 +0,0 @@
|
||||
---
|
||||
title: "临时验证脚本 Path 空字符串拼接导致跨任务取证串味"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
severity: low
|
||||
---
|
||||
|
||||
# 临时验证脚本 Path 空字符串拼接导致跨任务取证串味
|
||||
|
||||
## 现象
|
||||
|
||||
S0.3 真 PI 打样归档时，`rd_design_input_spec-final.md` 一度被写成无关客户的商务对标报告（「掌上无线超声系统 × GE Vscan / Philips Lumify」），而非设计输入规格书终稿。
|
||||
|
||||
## 根因分析
|
||||
|
||||
产品侧小队/工作区创建正常：失败的 `rd_*` 请求因 main-completed 硬 precheck 拒绝，`task_runs.WorkspaceID` 如实为空。
|
||||
|
||||
缺陷在**本地临时取证脚本**（`.doc/test-reports/assets/2026-09-17-rdev-template-depth/run_s0_*.py`）的兜底逻辑：
|
||||
|
||||
1. `ws_id = pi_result.get("workspace_id") or ""` 在响应无该字段时得到空串；
|
||||
2. Python `pathlib`：`Path(bizdev_root) / ""` **坍缩为父目录本身**（无报错）；
|
||||
3. 随后 `root.rglob("output.md")` 扫遍共享 `data/dev/workspaces/bizdev/` 全树；
|
||||
4. 「取最长文本」启发式选中历史商务任务终稿并误归档。
|
||||
|
||||
证据：会话内 `task_runs` 失败记录 `WorkspaceID=""`；`Path('/a/b') / '' == Path('/a/b')` 可复现；误归档文件内含 `adhoc_GEVsca_...` 工作区路径。
|
||||
|
||||
## 严重度
|
||||
|
||||
`low` — 仅本地取证脚本；未污染产品库、未改小队/黑板创建逻辑；同轮已用精确工作区路径重归档并随测试报告提交干净终稿。
|
||||
|
||||
## 关联整改
|
||||
|
||||
- 无需产品代码改动。
|
||||
- 经验红线：临时验证脚本禁止「空路径拼接 + 全树 `rglob` + 取最大值」组合；`work_dir`/`WorkspaceID` 为空时必须失败退出，不得扩大搜索范围。
|
||||
|
||||
## 证据
|
||||
|
||||
- 正确终稿：`.doc/test-reports/assets/2026-09-17-rdev-template-depth/rd_design_input_spec-final.md`
|
||||
- 测试报告：`.doc/test-reports/2026-09-17-rdev-template-depth-test-report.md`
|
||||
- 工作区 ID 生成：`internal/squad/workspace.go`（`ws_%s_%d` + UnixNano）
|
||||
|
||||
## 开放问题
|
||||
|
||||
- 无。
|
||||
@@ -1,62 +0,0 @@
|
||||
---
|
||||
title: "D7 对话数据分类盘点"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
severity: medium
|
||||
---
|
||||
|
||||
# D7 对话数据分类盘点
|
||||
|
||||
## 现象
|
||||
|
||||
FEATURE-MATRIX「对话数据治理（D7）」为 `deferred`；ADR 数字 `pending-compliance-signoff`。W7 只盘点当前基线：会话正文、派生副本、共享 KB、日志、备份、事件敏感字段。本轮**未**按草案 365/180/30 天执行物理删除或备份清除。
|
||||
|
||||
## 根因分析
|
||||
|
||||
当前基线是「热库明文 + 软删除列预留 + 事件 ID 化」，不是已签字的留存作业。缺口是**尚未实现**的治理能力，不是已确认合规数字被违反。
|
||||
|
||||
## 严重度
|
||||
|
||||
`medium`（实现缺口；**不**升 gap-matrix blocker）
|
||||
|
||||
## 分类盘点
|
||||
|
||||
| 数据类 | 位置 | 形态 | 现状 |
|
||||
|--------|------|------|------|
|
||||
| 会话正文 | `chat_sessions` / `chat_messages.content` | 热库明文 TEXT；`deleted_at` 列存在 | dev 619 sessions / 3291 messages；`deleted_at` 全 NULL；Go 无 `SET deleted_at`、无 `DELETE FROM chat_*` |
|
||||
| 派生摘要 | `chat_daily_digests` | headline / key_points JSON | 0 行 |
|
||||
| 向量记忆 | `context_memory_chunks` | `content` TEXT + embedding | 102 行：`project_doc` 71、`chat_history` 24、`approved_case` 7。聊天派生副本会随正文留存 |
|
||||
| 私密文档 | `freeform_documents` | `is_deleted` / `deleted_at` + version markdown | 122 份，其中 113 已软删（聊天消息无对等写路径） |
|
||||
| 共享 KB | `shuimu-kb-shared` / `regulations` | 法规 chunks，无 chat 表 | `reg_documents` 2907、`reg_chunks` 312919；与对话库隔离 |
|
||||
| 事件 envelope | `event_envelopes.payload` BYTEA | JSON 字段 | 4 条；keys 均为 ID/digest/`summary_ref`，`has_content=false` |
|
||||
| 事件 DLQ / attempts | `event_dead_letters` / `event_delivery_attempts` | ID + reason / error_code | DLQ 0；attempts 4；无正文列 |
|
||||
| 日志 | Docker `json-file` 无 max-size | 应用 slog | 抽检 rebuild 日志：DSN 已 `***`，无 chat content |
|
||||
| 备份 | `scripts/backup-system-db.sh` `pg_dump -Fc` | 整库含 chat 明文 | 宿主机无 `./backups` 目录；CI 有 backup-restore-drill |
|
||||
| Agent workspace | `data/dev/workspaces` 150M | 非终态工作区 | 无 30 天清理作业（ADR 草案待签字） |
|
||||
| FAV | `final_artifacts` | 1 行；consumer mode=off | 与聊天口径解耦；W6 shadow 不写 |
|
||||
|
||||
事件 payload 比 `StaticContracts` allowlist **多出** `workspace_id` / `manifest_sha256` 等 ID 字段，但仍无聊天正文。属契约收紧 follow-up，不是 Track E 正文泄漏。
|
||||
|
||||
## 违规判定
|
||||
|
||||
对照已签字约束（Track E ID-only 日志/DLQ、R13 出站最小化、ADR 明确「签字前禁止按数字删除」）：
|
||||
|
||||
- **未发现**已确认安全/合规基线被当前实现违反。
|
||||
- **因此不写** `gap-matrix` blocker。
|
||||
- 缺 365 天热库清理、缺聊天 soft-delete 写路径、缺字段级加密，均属 ADR 签字后的 W7 整改实现，不得在本轮当「已违规」执行删除。
|
||||
|
||||
## 关联整改
|
||||
|
||||
- ADR 草案: [../adr/2026-09-17-d7-chat-data-retention.md](../adr/2026-09-17-d7-chat-data-retention.md)
|
||||
- 签字后整改：soft-delete 写路径 → 观察窗 → 物理清理；同步清 `context_memory_chunks` 的 `chat_history`；备份二次批准 + delete manifest（R22）
|
||||
|
||||
## 证据
|
||||
|
||||
`.doc/test-reports/assets/2026-09-17-w7-d7-inventory/`（counts / columns / event keys / KB / logs / health）。查询只读，未 `DELETE`/`UPDATE`。
|
||||
|
||||
## 开放问题
|
||||
|
||||
- 合规何时签字或改数（365/180/30）？
|
||||
- 聊天 UI 删除是否要与 freeform 回收站对齐？
|
||||
- `taskrun.completed` payload 额外 ID 字段是否收紧 allowlist？
|
||||
@@ -1,32 +0,0 @@
|
||||
---
|
||||
title: "docgov 变更提案缺少 HTTP 路由"
|
||||
status: resolved
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
severity: medium
|
||||
---
|
||||
|
||||
# docgov 变更提案缺少 HTTP 路由
|
||||
|
||||
## 现象
|
||||
|
||||
引擎侧存在 `docgov.ProposeModification` / `DecideModificationProposal`，但服务端此前仅注册 `POST /api/v1/docgov/proposal/decide`；前端 `App.tsx`「变更方案提议」（`pendingProposal`）为本地模拟。
|
||||
|
||||
## 根因分析
|
||||
|
||||
生命周期三接口与 claim 已注册；变更提案 **propose** 路径从未暴露为 HTTP。
|
||||
|
||||
## 严重度
|
||||
|
||||
`medium` — 不阻塞编制→审核→批准主链；阻塞「认领后小队修改须提案确认」的真实治理。
|
||||
|
||||
## 处置（resolved）
|
||||
|
||||
- 新增 `POST /api/v1/docgov/proposal` → `ProposeModification`
|
||||
- 前端 `proposeModification` / `decideModificationProposal` + App 接线
|
||||
- 单测：`TestServer_DocGovProposeAndDecideHTTP`、`web/src/api/docgov.test.ts`
|
||||
- 任务：`.doc/ops/short-term/2026-09-17-docgov-modification-proposal-http.md`
|
||||
|
||||
## 证据
|
||||
|
||||
- 合入后真实 HTTP 证据见 `.doc/test-reports/assets/2026-09-17-docgov-modification-proposal-http/`
|
||||
@@ -1,54 +0,0 @@
|
||||
---
|
||||
title: "可选职责空审核人 CreateOrGetDocument 写 reviewer_id=0 触发 FK"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 可选职责空审核人 CreateOrGetDocument 写 reviewer_id=0 触发 FK
|
||||
|
||||
## 现象
|
||||
|
||||
dev 项目「内廷元无创神经刺激器」(6417) 发起 `intake` 任务后 UI 显示：
|
||||
|
||||
- `code: INTERNAL_ERROR`
|
||||
- `userMessage: 系统内部错误，请重新开始会话`
|
||||
- `requestId: run_1789622069585300787`
|
||||
- `sessionId: sess-p6417-u9`
|
||||
|
||||
浏览器偶发 `flushSync was called from inside a lifecycle method`（错误态重渲染副作用，非根因）。
|
||||
|
||||
## 根因分析
|
||||
|
||||
1. app-dev 日志：`persist document ledger: ... document_records_reviewer_id_fkey (SQLSTATE 23503)`
|
||||
2. 项目成员仅 `document_duty=author`（user 9），无 reviewer/approver
|
||||
3. `resolveTaskDocumentDuties` 合法返回 `ReviewerID=0`
|
||||
4. [`internal/docgov/engine.go`](../../internal/docgov/engine.go) `CreateOrGetDocument` 把 `0` 写入可空 FK，PG 拒绝（无 `users.id=0`）
|
||||
5. `ClassifyError` 默认分支掩盖为 `INTERNAL_ERROR`
|
||||
|
||||
对照：[`internal/docduty/store.go`](../../internal/docduty/store.go) heal 路径已有 `nullIfZero`，**创建路径漏改**。
|
||||
|
||||
复现：`INSERT ... reviewer_id=0` → 同 FK 错误。近 7 天同因至少 3 次（6417/6359/6274）。
|
||||
|
||||
## 严重度
|
||||
|
||||
`high`（任何无 reviewer 职责的项目首次落文档账本均会失败；可扩散至 test/main）
|
||||
|
||||
## 关联整改
|
||||
|
||||
- Short-term: [../archive/ops/2026-09-17-docgov-optional-duty-null-fk.md](../archive/ops/2026-09-17-docgov-optional-duty-null-fk.md)
|
||||
- Fix branch: `fix/docgov-optional-duty-null-fk`
|
||||
- Test report: [../test-reports/2026-09-17-docgov-optional-duty-null-fk-test-report.md](../test-reports/2026-09-17-docgov-optional-duty-null-fk-test-report.md)
|
||||
|
||||
## 证据
|
||||
|
||||
- `docker logs shuimu-agent-app-dev` @ `2026-09-17T05:14:29Z` run_1789622069585300787
|
||||
- `task_runs.error_message` 与上述一致；`document_records` 对 project 6417 为 0 行
|
||||
- 手工 `INSERT reviewer_id=0` → `Key (reviewer_id)=(0) is not present in table "users"`
|
||||
|
||||
## 后续
|
||||
|
||||
- 创建路径 0→NULL；ClassifyError 增加 `DOC_LEDGER_ERROR`
|
||||
- 不强制配置 reviewer（保持可选职责语义）
|
||||
- flushSync 另开任务
|
||||
@@ -1,45 +0,0 @@
|
||||
---
|
||||
title: 文档编制人兼任模式源码核查
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
severity: medium
|
||||
---
|
||||
|
||||
# 文档编制人兼任模式源码核查
|
||||
|
||||
## 结论
|
||||
|
||||
当前 dev 基线 adb48c8 不支持本需求。已有标准三人审批、可选免审批、系统设置白名单可复用，但必须补齐逐文档模式、职责来源和前端多职责。
|
||||
|
||||
## 根因与证据
|
||||
|
||||
1. `internal/projectinstance/duty_mode.go`：partial 拒绝，full 要求三人分离。
|
||||
2. `internal/projectinstance/service.go`：创建者规划权限与激活后冻结已存在。新需求需在这条链上增加总授权，不能只改 UI。
|
||||
3. `internal/docduty/store.go`：HealProjectDocuments 按项目默认职责回填受控文档。`internal/docgov/project_docs.go` 在列表读取时调用；`internal/bizdev/service.go` 在生成后调用。新增逐文档策略必须阻止该链覆盖实例职责。
|
||||
4. `web/src/lib/currentDocRole.ts` 优先返回 author；`docGovActionVisibility.ts` 按单角色显示动作。同人三职会缺审核和批准入口。
|
||||
5. `internal/server/handlers.go` 三个动作端点固定使用相应 action role，并以登录身份调用引擎；`internal/docgov/state_machine.go` 可复用逐步流转。
|
||||
6. `internal/sysadmin/settings.go` 有白名单 bool 设置，但没有本需求 key；存储只保留最后修改人时间，新策略需独立版本与审计。
|
||||
|
||||
以上为静态源码核查，未查询真实用户数据，未执行功能测试，未声称线上已复现或已修复。完整源码映射与实施单元见方案。
|
||||
|
||||
## 关联方案
|
||||
|
||||
[文档编制人兼任审核批准](../remediation/2026-09-17-document-author-only-plan.md)
|
||||
|
||||
## 文档检查
|
||||
|
||||
已检查两级权限、逐文档独立性、full/none 兼容、前后端职责来源、状态与锁、并发授权撤销、成员退出、迁移及回滚。修正一处 docflow 路径为 internal/app/docflow。方案明确区分已知事实与建议口径。
|
||||
|
||||
ce-doc-review 未运行：当前工具目录未提供可调用的 skill invocation 入口；按 ce-plan 的 skill_unreachable 分支记录，不能把本地自检当作独立文档审查通过。
|
||||
|
||||
```yaml
|
||||
fixes_applied: 0
|
||||
proposed_fixes_count: 0
|
||||
decisions_count: 0
|
||||
fyi_count: 0
|
||||
skipped_reason: skill_unreachable
|
||||
skipped_detail: No callable skill invocation interface in this session; local source and consistency checks only.
|
||||
```
|
||||
|
||||
上方计数仅为未运行技能的占位，不代表产品决策已解决。开放问题仍为 R9、R10；用户未答复时保持方案建议，业务实现不得自行视为授权。
|
||||
@@ -1,117 +0,0 @@
|
||||
---
|
||||
title: "首次加载慢：静态资源、字体与初始化请求诊断"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 首次加载性能诊断
|
||||
|
||||
## 结论与适用范围
|
||||
|
||||
当前已复现的主要问题在浏览器加载入口：登录页也下载约 2.82 MB 未压缩 JavaScript；外部 Google Fonts CSS 阻塞页面加载；若用户访问 Vite 3100，首访进一步扩大为 207 个资源请求、12.24 MB。冷缓存与热缓存差异很大，与“尤其第一次慢”一致。
|
||||
|
||||
登录后还有已确认的请求放大和后端重复工作，但没有登录态浏览器瀑布图或 SQL 耗时，不能声称已量化其贡献。用户已确认 3100/8080/8081，系统重启后第一次访问约十数秒；设备、网络与“系统重启”包含宿主机还是仅应用尚未确认；本次未复现用户原始环境的完整等待时间。
|
||||
|
||||
- 主仓读取时 `feature/rdev-core@52f0fbc`；其他 Agent 正在工作，未切换其分支。
|
||||
- 文档独立 worktree 基线为 `dev@d0ef696`。创建前已 fetch；本地 dev 有未推送提交，未 reset/覆盖。
|
||||
- 实测现有 8080/8081/8000 构建入口与 3100 Vite；以资源 hash 为运行产物标识，**没有证据证明容器恰好等于上述源码 commit**。
|
||||
- “首次”定义为新浏览器 context、空 HTTP 缓存；没有重启服务、清空 DB 缓存或重启 Vite，故不是服务/依赖预构建冷启动。
|
||||
- 未登录、没有调用对话/文档写接口；浏览器探针未使用真实用户会话。
|
||||
|
||||
## 实测基线
|
||||
|
||||
工具：隔离 Playwright v1.63.0 Docker 浏览器，host 网络访问既有服务。宿主浏览器缺 libatk，改用本机已有浏览器镜像；未修改应用容器。每个场景一个样本，仅诊断，不是 p95 或交付验收。
|
||||
|
||||
| 场景 | 登录输入框可见 | FCP | 资源数 | transferSize 合计 |
|
||||
|---|---:|---:|---:|---:|
|
||||
| 8080 本机冷缓存 | 662 ms | 664 ms | 4 | 2,857,761 B |
|
||||
| 同 context 再次导航 | 62 ms | 60 ms | 5 | 353 B |
|
||||
| 8080 CDP 10 Mbps / 80 ms 冷缓存 | 2,636 ms | 2,636 ms | 4 | 2,857,761 B |
|
||||
| 同 context 再次导航 | 60 ms | 60 ms | 5 | 353 B |
|
||||
| 8080 CDP 2 Mbps / 80 ms 冷缓存 | 11,776 ms | 11,776 ms | 4 | 2,857,761 B |
|
||||
| 3100 本机冷缓存 | 659 ms | 652 ms | 207 | 12,238,086 B |
|
||||
| 3100 同 context 再次导航 | 162 ms | 160 ms | 208 | 52,253 B |
|
||||
|
||||
transferSize 是浏览器 Resource Timing 可观测资源求和，不含顶层 HTML，不等于全链路抓包流量。输入框可见按导航命令开始至 selector 可见计时，FCP 来自页面 Performance API，两者采样时钟和帧提交不同。CDP 限速为模拟设置，不能代替真实公网 RTT；本机 document TTFB 仍约 1–3 ms。首次/再次均保持已有服务运行，未运行 Vite 冷预构建基准。
|
||||
|
||||
### F1. 入口包过大且未按需加载（高置信）
|
||||
|
||||
- `web/src/main.tsx:2` 静态导入 App；`web/src/App.tsx:98,103,108,145-146` 静态导入导出、系统管理、文件预览等模块；未登录判断直到 `App.tsx:3461`，无法避免入口依赖下载和求值。
|
||||
- `web/src/features/replyExport/download.ts:1` → docx；`web/src/engine/docxRenderer.ts:19-22` → docx、KaTeX、Mermaid；`web/src/engine/xlsxRenderer.ts:1` → XLSX。
|
||||
- `web/src/components/doc/preview/FilePreviewPanel.tsx:19-24` 全部静态导入预览器；DocxViewer、ExcelViewer 各自静态导入重依赖。
|
||||
- 浏览器访问登录页即可观测大 JS。3100 瀑布中含 katex.js 485,944 B、xlsx.js 870,702 B（decodedBodySize）。并非仅仅源码中出现依赖但构建已经排除。
|
||||
- 8080 主 JS `/assets/index-BLnmtk_3.js` = **2,820,055 B**；8081 = 2,805,141 B；8000 = 2,798,137 B。
|
||||
|
||||
因果链：空缓存 → 登录视图与全部工具共入口 → 下载/解析无关依赖 → 网络较慢时登录表单迟迟出现。10 Mbps 下主 JS 下载约 2,373 ms；2 Mbps 首屏约 11.78 秒。没有采集 CPU trace，不能进一步把时间分解成具体库的执行成本。
|
||||
|
||||
### F2. 静态响应无压缩、无明确长缓存策略（高置信）
|
||||
|
||||
- 三个构建入口均携带 `Accept-Encoding: gzip, br` 请求主 JS，响应没有 `Content-Encoding`，`Content-Length` 为原始字节数。
|
||||
- `internal/server/server.go:344-384` 使用 `http.ServeFile`，没有静态压缩协商或显式 Cache-Control。
|
||||
- 同一 8080 JS 离线 gzip 后 **796,146 B**，相对原始包减少约 **71.8%**。这是体积估算，不是已部署优化结果，也不是端到端提速承诺。
|
||||
- 资源有 Last-Modified，没有显式 Cache-Control/ETag。本次再次导航已命中浏览器缓存；**不能写成“完全没有缓存”**。问题是版本化资源缺少可预测的长期缓存契约。
|
||||
|
||||
源站是上述行为，未知用户实际入口是否另有反向代理压缩。优先在真正提供构建资源的层验证和修复。
|
||||
|
||||
### F3. 外部字体 CSS 可放大首次白屏（高置信机制，用户网络贡献待测）
|
||||
|
||||
- `web/index.html:9-15` 的 Google Fonts 是 head 中普通 stylesheet。`display=swap` 控制字体显示，不会让外链 CSS 本身变为非阻塞。
|
||||
- 本机自然请求字体 CSS 耗时 **508 ms**，DOMContentLoaded 609 ms，登录可见 662 ms。
|
||||
- 浏览器拦截并立即失败字体 CSS：登录可见 **210 ms**。Playwright route 会禁用 HTTP cache，因此这个场景不能用于热缓存收益对比，也不能据单样本得出精确净收益。
|
||||
- 控制实验仅让字体 CSS 等待 5 秒再失败，其余请求正常：DOMContentLoaded **5,111 ms**、登录可见 **5,161 ms**。证明该依赖可以把外部等待传到登录首屏，**不表示自然字体请求真的用了 5 秒**。
|
||||
|
||||
### F4. 登录后项目成员扇出并放大会话同步（源码已证实，耗时待测）
|
||||
|
||||
`web/src/App.tsx:524-540` 获取项目后，对每个项目调用成员接口；`:383-387` 每次成员结果用 map 生成新的 projects 数组；`:560-590` 的会话列表 effect 依赖 projects，因此成员返回可重复触发会话列表请求。取消标志仅忽略部分返回，没有 AbortController 终止已发请求。React 批处理可能合并更新，**不能写成固定 N 次会话请求**。
|
||||
|
||||
项目数 N 增大时，初始成员请求为 N，叠加会话重取、setProjects 及本地持久化。`web/src/data/storage.ts:63` JSON.stringify + localStorage.setItem，`App.tsx:343` 随 projects 更新保存。持久化是否成为长任务还须 profile，不能预设为主要根因。
|
||||
|
||||
### F5. 认证有重复查询和同 session 写放大（源码已证实，耗时待测）
|
||||
|
||||
`internal/server/auth_middleware.go:48,62` 已认证并保存 principal；`internal/server/auth_handlers.go:126-139` 的 me 再认证。每次经 `internal/auth/service.go:197-203`、`internal/auth/pg_store.go:335-367` 执行 SELECT session、SELECT status、UPDATE session、GetUserByID。正常 PG me 路径共 8 次认证 DB 操作，加一次权限查询。
|
||||
|
||||
其他鉴权请求也无条件 UPDATE 同一 auth_sessions 行；首屏并发可能放大行锁/连接等待。未采集 pg_stat_activity/锁等待或接口 p95，锁竞争是待验证风险。
|
||||
|
||||
### F6. 文档列表的隐含写修复与轮询叠加（源码已证实，耗时待测）
|
||||
|
||||
`internal/docgov/project_docs.go:59-74` 列表先调用 `HealProjectDocuments`；`internal/docduty/store.go:173-205` 开事务并取得项目 advisory lock（`internal/docduty/revoke.go:111-126`），重复读取创建者/成员，扫描文档，按需逐条 UPDATE，commit 后才正式 SELECT。
|
||||
|
||||
前端 `App.tsx:1507-1545` 每 5 秒为租约同步调用这个完整列表。请求时长超过间隔时可能重叠；相同项目多个标签放大成本。**不能直接删除 heal**：须先补齐创建/成员变更/转交/撤销写路径与历史数据修复闭环。本轮没有用该 GET 做只读探针。
|
||||
|
||||
### F7. 会话列表先聚合消息再分页（源码已证实，耗时待测）
|
||||
|
||||
`internal/ctxmgr/chat_history.go:110-125` 候选会话 JOIN 消息、COUNT、GROUP BY/ORDER BY 后 LIMIT，另取最新消息内容。仅返回少量会话不代表少量消息扫描。`internal/projectworkflow/store.go:171-240` 项目列表也无分页。
|
||||
|
||||
已有 `chat_messages(session_id, created_at)` 索引（`deploy/postgres/goose/00001_baseline.sql:119`）；不笼统认定缺索引。先 EXPLAIN/数据量和可见性分析，再决定先分页后统计、索引或摘要。
|
||||
|
||||
### F8. 重启场景补查（用户补充后）
|
||||
|
||||
用户明确 3100、8080、8081 在系统重启后首次进入约十数秒。三种冷态须分开：浏览器 HTTP 缓存、Vite 转换/依赖缓存、Go/DB/代理启动就绪。重启若不改变构建 hash，并不会自动清掉浏览器持久 HTTP 缓存；不能直接用新 context 测量解释全部重启现象。
|
||||
|
||||
现存容器启动记录：dev StartedAt `2026-09-17T07:00:38.127811581Z`，打印“监听地址”于 `07:00:38.293728694Z`（约 **166 ms**）；test StartedAt `06:20:05.243037366Z`，打印监听于 `06:20:05.384607542Z`（约 **142 ms**）。这是已有 DB 就绪条件下的一次启动、且日志先于真正 ListenAndServe，**不是 host reboot→ready 时间**；但未支持“Go 每次初始化必然十几秒”。
|
||||
|
||||
`cmd/server/main.go:41-50` 的初始化在监听前，`internal/bizdev/service.go:69-114` 包括 DB Ping/迁移/成员补齐/seed；DB连接段 timeout 5 秒，后续 seed 使用 Background，缺少分阶段耗时。`internal/app/app.go:355` 的 Runtime.Start 幂等，入口重复调用不会重复启动 worker，不能据此误判双倍启动。
|
||||
|
||||
Compose app healthcheck 每 10 秒、start_period 20 秒；start_period 是失败宽限窗口，**不代表强制等待20秒**。若代理/运维脚本等健康状态才放流，则探测周期可能影响可见就绪，需要对齐宿主启动、DB healthy、app listen、ready、首次请求时间。3100 的无缓存 Vite 预构建/按请求转换为独立候选，8080/8081 构建产物不存在 Vite 首次编译。
|
||||
|
||||
隔离 Vite 在 3199 使用独立空 cacheDir，同源码、未重启宿主/DB：监听准备 43 ms，首访登录可见 **1,580 ms**、207 资源/14,445,631 B，再次 171 ms。服务先启动、浏览器随后连接，部分预构建可能已在导航前完成；该值不是“启动到首屏”总时间。支持开发冷态有额外成本，但本机未复现自然网络十数秒；不得仅靠 warmup 宣称已解决 8080/8081。证据见 `../test-reports/assets/2026-09-17-initial-load-performance/vite-cold.json`。
|
||||
|
||||
本轮不重启正在使用的共享服务；U1/U7 纳入计划中的隔离重启矩阵和阶段计时。没有把服务冷启动排除在用户需求之外。
|
||||
|
||||
## 已排除与未证明
|
||||
|
||||
- 本机静态 HTML TTFB 约 1–3 ms；这组未登录测试并非后端生成首页耗时数秒。
|
||||
- 没有请求产品 PI Runner，因此本次首屏慢不能归因于大模型冷启动。
|
||||
- 服务监听前迁移/种子初始化（`cmd/server/main.go:41-50,84-85`；`internal/bizdev/service.go:69-114`）只解释重启就绪，不等于每个新浏览器首访。
|
||||
- 没有用户重启时的 FRP/公网瀑布、登录后基线、慢 CPU profile、数据库 EXPLAIN；不对这些项宣称已复现。
|
||||
- 基线现有测试以功能为主；本轮未发现首屏资源预算/冷缓存性能门禁。未运行业务测试，因为没有业务代码变更。
|
||||
|
||||
## 关联整改与证据
|
||||
|
||||
- [改进方案](../remediation/2026-09-17-initial-load-performance-plan.md)
|
||||
- [诊断测量报告](../test-reports/2026-09-17-initial-load-performance-baseline.md)
|
||||
- [完整浏览器数据](../test-reports/assets/2026-09-17-initial-load-performance/browser.json)
|
||||
- [受控实验](../test-reports/assets/2026-09-17-initial-load-performance/controlled.json)
|
||||
- [静态响应摘要](../test-reports/assets/2026-09-17-initial-load-performance/assets.json)
|
||||
@@ -1,180 +0,0 @@
|
||||
---
|
||||
title: "系统全面体检：任务收口、缺陷与未启用功能审计"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 系统全面体检（2026-09-17）
|
||||
|
||||
> 范围：① 规划未实现 / 需变更 / 实施中任务；② 现存与潜在 bug；③ 已实现但未启用或未测试的功能。
|
||||
> 方法：文档 SSOT 盘点（CURRENT / FEATURE-MATRIX / gap-matrix / short-term / long-term / backlog / ADR / handoff）+ Go 全量 vet/build/test + 前端 test/build + 特性开关与环境配置交叉核对。只读审计，未实施任何修改。
|
||||
> 基线验证：`go vet ./...` 与 `go build ./...` 全绿；`go test -short -count=1 ./...` 62 包全 ok；`web` npm test（380+32）与 build 通过。
|
||||
|
||||
---
|
||||
|
||||
## 一、任务状态盘点
|
||||
|
||||
### 1.1 实施中（in_progress）
|
||||
|
||||
| # | 任务 | 位置 | 剩余工作 |
|
||||
|---|------|------|----------|
|
||||
| T1 | partial/deferred 全量收口总控 | `.doc/ops/short-term/2026-09-16-partial-deferred-completion.md`（owner Cline） | W5（SWBOOT-10 真实现 + 真实 PI + UI 二次验收）、W6（FAV shadow→live 放量）、W7（D7 按 ADR 整改，待合规签字）、逐行升 done |
|
||||
| T2 | Control Center 个人中控台 | 2026-09-19 已移出本仓库 | 进度管理改由独立项目承担；本仓库不再保留该模块 |
|
||||
| T3 | 纯软件项目自举 W5b | `.doc/ops/long-term/2026-09-14-software-project-bootstrap-implementation.md` | SWBOOT-10 受控执行器（真 patch/merge）未启动，需独立安全评审，当前 fail-closed stub |
|
||||
|
||||
### 1.2 已规划未开始
|
||||
|
||||
| # | 任务 | 位置 |
|
||||
|---|------|------|
|
||||
| T4 | 首次加载性能 U1/U3–U7 | `.doc/remediation/2026-09-17-initial-load-performance-plan.md`（仅 U2 done：主 JS 传输 2.82 MB→~624 KB） |
|
||||
| T5 | 选择性模块解耦 M4–M6 | `.doc/ops/long-term/2026-09-14-selective-module-decoupling.md`（planned，owner=TBD） |
|
||||
| T6 | 产品 backlog：B5 报价复核、A5/A6 小队降级与 trace、A7 中文注释迁移、D5 KB 按环境隔离评估 | `.doc/backlog/chat-agent-p6-backlog.md`（均无任务文件） |
|
||||
| T7 | `TestReconcile_LegacyRepair_PG` 工程测试债 | gap-matrix DOC-CONTENT-CANONICAL-HASH-DRIFT 行（需隔离 PG，本机无） |
|
||||
| T8 | IAM 收尾开放项：410 退役产品拍板、R13 全量清单勾选 | handoff `2026-09-16-phase3-leftover-closeout.md` |
|
||||
|
||||
### 1.3 部分完成（partial，剩余关闭条件）
|
||||
|
||||
| 行 | 剩余关闭条件 |
|
||||
|----|--------------|
|
||||
| 纯软件项目自举 | SWBOOT-10 非 stub（W5b）+ 真实 PI 全链路 + UI 二次验收 |
|
||||
| FAV | W6 shadow 已合；live 未放量（staging→artifact→publication 各 ≥7 天观察窗） |
|
||||
| Control Center | 2026-09-19 已移出本仓库，不再作为本仓库关闭条件 |
|
||||
| 首次加载性能 | U1/U3–U7 |
|
||||
| 文档可靠性试点 | M1 结论「停止扩面」；M2（U5–U12）明确禁止开工，真实 PI/浏览器验收未勾 |
|
||||
|
||||
### 1.4 deferred 待决策
|
||||
|
||||
- **D7 对话数据治理**：ADR `2026-09-17-d7-chat-data-retention.md` 仍 `pending-compliance-signoff`；W7 盘点未发现违规；签字前禁止物理删除。
|
||||
- **`SEMANTIC_SUMMARY_REPLACE`**：决策默认不启用；启用须另开授权 + fail-closed 灰度。
|
||||
- **`MULTI_INTENT_PLAN_TIER` 升 confirm**：W4 证据闭环，升级需独立授权；永不默认 full。
|
||||
|
||||
### 1.5 文档漂移 / 矛盾（文档债）
|
||||
|
||||
| # | 漂移 | 涉及文件 |
|
||||
|---|------|----------|
|
||||
| D-1 | PU8 四份契约文件仍 `status: in_progress`，但 U9–U12 已升 done、报告已归档 | `.doc/ops/long-term/2026-09-16-pu8-u9/u10/u11/u12-*.md` |
|
||||
| D-2 | ADR modular-monolith-decoupling 仍「提议，等待用户确认」，但 Phase 1/2 已落地并被当作已确认结论引用 | `.doc/adr/2026-09-14-modular-monolith-decoupling.md` |
|
||||
| D-3 | audit/INDEX.md 与 remediation/INDEX.md 末行称首次加载性能「方案未实施」，与 U2 已验收矛盾 | 两个 INDEX.md（**本审计已顺手修正为准确表述**） |
|
||||
| D-4 | handoff `2026-09-15-conversation-intent-dual-tab.md` 的「未完成」已被后续 PASS 覆盖但未回标 | 该 handoff |
|
||||
| D-5 | backlog D3/D7 条目与 W2 done、W7/ADR 草案并存，backlog 未同步 | `.doc/backlog/chat-agent-p6-backlog.md` |
|
||||
| D-6 | PROJECT.md §9「剩余 blocker」表述与 gap-matrix「门禁已签、production_ready=yes」口径冲突 | `PROJECT.md` |
|
||||
|
||||
---
|
||||
|
||||
## 二、Bug 清单
|
||||
|
||||
### 2.1 确认 bug（有明确证据）
|
||||
|
||||
**后端**
|
||||
|
||||
| ID | 描述 | 证据 | 严重度 |
|
||||
|----|------|------|--------|
|
||||
| B-1 | **SSE 聊天流被全局 WriteTimeout=120s 强杀**：`server.go:350` 的 WriteTimeout 是绝对期限；`handleChatStream`（`sse.go:129`）从不调用 `extendSSEWriteDeadline`、无心跳，该机制只接到了 run-events 订阅端点。任何 >120s 的聊天回合（长 PI 推演常见）必断流 | `internal/server/server.go:350`、`internal/server/sse.go:46-64,129` | high |
|
||||
| B-2 | **`POST /tasks/run/stream` 同样无 deadline 延长/心跳**，且断线后无法续订：`sse.go:390` 写死 `Subscribe(created.RunID, 0)`，不接受 `after_seq` | `internal/server/sse.go:305-424,390` | high |
|
||||
| B-3 | `handleRunTaskStream` **静默吞 JSON 解析错误**：`_ = json.NewDecoder(r.Body).Decode(&req)`，畸形 body 以空请求走默认 `TaskKey="intake"`，可能误启动 intake 任务 | `internal/server/sse.go:315,362-364` | medium |
|
||||
| B-4 | `handleRunTaskStream` **Flush 200 SSE 头之后才做会失败的操作**（CreateAndStart/Subscribe），失败时往 SSE 流里写 JSON 错误体；同文件 chat 路径明确「授权必须在 Flush 前」，task 路径未对齐 | `internal/server/sse.go:355-360,383-393` | medium |
|
||||
|
||||
**前端**
|
||||
|
||||
| ID | 描述 | 证据 | 严重度 |
|
||||
|----|------|------|--------|
|
||||
| B-5 | **会话窗口缓存 key 不一致**：读/初次写带 `userId` 前缀，但 `loadOlder`/`loadFullDay`/`jumpToDate`/`loadDayForAnchor`/`appendLiveMessage` 等 7 处后续写入不带前缀 → 刷新/切会话恢复到旧窗口；且 LRU 驱逐只用无前缀 key，带前缀缓存永不驱逐，localStorage 只增不减 | `web/src/hooks/useChatWindow.ts:84,100,136,235,271,315,365,416,439,471`、`web/src/data/storage.ts:164-176` | high |
|
||||
| B-6 | **mount 时 IndexedDB 恢复用陈旧快照整体覆盖 deliverables**：捕获 mount 闭包、非函数式 set，resolve 前新增的 deliverable 被静默丢弃（旁边已有 `deliverablesRef` 未用） | `web/src/App.tsx:326-336` | medium |
|
||||
| B-7 | `useTaskRunStream` 返回**伪 ref**（每渲染新建对象、快照值非 live），且全仓库无消费方——误导性 API | `web/src/hooks/useTaskRunStream.ts:96` | low |
|
||||
|
||||
### 2.2 高风险隐患
|
||||
|
||||
| ID | 描述 | 证据 |
|
||||
|----|------|------|
|
||||
| R-1 | **聊天会话无归属校验**：`getOrCreateSession` 仅凭客户端传入 `session_id` 返回既有内存会话，随后直接覆盖 `sess.UserID`；非项目会话（ProjectID==0）无任何授权关卡，内存 Messages/Facts 可进入他人 Prompt 与 SSE。缓解：session ID 为纳秒时间戳不易猜 | `internal/server/server.go:394-415`、`handlers.go:181`、`sse.go:187`、`stage_access_helpers.go:251-253` |
|
||||
| R-2 | **18 个非测试文件 `rows.Next()` 循环后未查 `rows.Err()`**，中途断连静默截断结果集（ctxmgr 历史/窗口/搜索、docgov engine、freedoc、storage/cas、`cmd/document-content-reconcile` 漏检会让 reconcile 漏报文档） | 如 `internal/ctxmgr/chat_history.go`、`internal/docgov/engine.go`、`cmd/document-content-reconcile/main.go:82` |
|
||||
| R-3 | 事件 dispatcher `Handlers` map **写持锁、读不持锁**（当前仅启动期注册则良性，动态注册即 race） | `internal/events/worker.go:87,154,234` |
|
||||
| R-4 | `memTurns` 全局幂等表只增不删且跨实例共享，长期运行内存缓增、测试间可能串扰 | `internal/ctxmgr/chat_turns.go:169` |
|
||||
| R-5 | `internal/docrevision/pg_store.go:68-208` 十余处 `_ = json.Unmarshal(...)`，账本 JSONB 损坏时静默零值化 | 同左 |
|
||||
| R-6 | 后台 ticker goroutine 无关停通道（通知提醒、vault Drain 错误被丢弃、bizdev 心跳用 `context.Background()`），`Shutdown` 未覆盖 | `notification_reminder_loop.go:15`、`vault.go:63`、`bizdev/service.go:682` |
|
||||
| R-7 | SSE 重连对 401/404 无 fail-fast：任何错误一律退避重连 40 次（~3 分钟）期间 UI 一直 thinking；`streamChat` 对畸形 data 帧直接抛错中断整条流 | `web/src/api/taskRuns.ts:108-140`、`api/chatStream.ts:122` |
|
||||
| R-8 | 组件卸载/登出不 abort 任务流，在途 SSE 继续写 localStorage | `web/src/App.tsx:595,2804` |
|
||||
|
||||
### 2.3 环境 / 配置缺陷
|
||||
|
||||
| ID | 描述 | 证据 | 严重度 |
|
||||
|----|------|------|--------|
|
||||
| E-1 | **main 环境 app `ENV=prod` 与 events `ENV=main` 不一致**：事件信封以 `Environment="prod"` 写入，而 `event_consumer_modes` 只种子 dev/test/main 三行 → app 侧 `WriterLive("prod")` 恒 false（in-process 直连不退出），events worker 按 'main' 判定 → **main 存在双写或 durable 管道空转风险**（取决于 main 行 mode）。dev/test 两服务 ENV 一致，无此问题 | `docker-compose.main.yml:90,160`、`internal/app/docflow/commands.go:276`、`goose/00040:55-59`、`internal/events/dispatcher.go:308-313` | **critical（main 专属）** |
|
||||
| E-2 | **main schema 落后两版（47 vs dev 49）**：00048 给 projects 加 13 列，当前 HEAD 代码直接 SELECT/INSERT 这些列；00049 建 system_settings。若把 dev HEAD 镜像升 main 而不先跑迁移，项目工作流查询/系统设置 API 直接 SQL 报错。**main 晋升顺序必须 events（跑迁移）先于 app** | `goose/00048`、`goose/00049`、`internal/projectworkflow/store.go:76,113` | high（晋升窗口） |
|
||||
| E-3 | `MULTI_INTENT_PLAN_TIER` 未在任何 compose environment 声明（configs/.env 设了也传不进容器）；test/main 连 U9–U12 flag 都未声明 → 容器内锁死 legacy，授权升级时需先改 compose | `docker-compose.*.yml` | medium |
|
||||
| E-4 | `CURSOR_RUNNER_URL` 三环境 compose 都注入但代码零读取；cursor-agent 容器是 alpine 占位，cursor-cli 后端容器部署不可达 | `docker-compose.*.yml` | low |
|
||||
| E-5 | `ENABLE_DEV_IMPORT` 不在任何 compose/.env.example；且判断把 `cfg.Env==""` 也算 dev——配置缺失时导入门禁自动放开 | `internal/server/chat_window_api.go:171` | medium |
|
||||
| E-6 | `SEED_DEMO_USERS` 仅 test compose 显式 false；dev 依赖默认播种（demo 密码 123456），main 靠代码 `Env!="dev/test"` 兜底，主 compose 未显式关闭 | `docker-compose.test.yml:91`、`internal/auth/bootstrap.go:67-116` | low |
|
||||
| E-7 | `INTENT_V2_DECISION_TIER` 非法值回退 `query`（激进），与 `MULTI_INTENT_PLAN_TIER` 回退 `legacy`（保守）策略不一致 | `internal/intent/flags.go:47-64` | low |
|
||||
| E-8 | `publisher_gate_test.go:16` 读 `FAV_PUBLISHER_ENABLE`（少 D），与正式变量名不符，该测试门永远走默认分支 | `internal/artifactvault/publisher_gate_test.go:16` | low |
|
||||
| E-9 | main compose 的 system-db initdb 只挂 00001_baseline.sql，与 dev/test 不一致；新建卷时初始脚本漂移（依赖 events 启动迁移补齐） | `docker-compose.main.yml:23` | low |
|
||||
|
||||
---
|
||||
|
||||
## 三、已实现但未启用 / 未测试的功能
|
||||
|
||||
### 3.1 特性开关封存（实现完整，全环境 off）
|
||||
|
||||
| 功能 | 实现位置 | 状态与门禁 |
|
||||
|------|----------|-----------|
|
||||
| FAV 事件订阅者 | `internal/app/fav/subscriber.go` | 三重硬门禁：cmd/events 刻意不注册、registry fail-closed、SetMode 拒绝非 off；仅 ObserveShadow 可达 |
|
||||
| FAV 发布器 | `internal/server/vault.go:18-67` | `FAV_PUBLISHER_ENABLED=false` 三环境显式；且 VAULT_* 三变量 compose 全未声明，容器内即使开 flag 也会静默 return（E-类：实际不可误开，属设计内封存） |
|
||||
| FAV 降级读 | `internal/docquery/service.go:70` | `FAV_DEGRADED_READ=false` 红线保持 |
|
||||
| 多意图 PlanTier shadow/auto_read/confirm | `internal/app/intentflow/turn.go` | 容器内锁死 legacy（见 E-3） |
|
||||
| U9–U12 扩面 | `intentflow/expansion.go`、`mux.go` | 全 false；dev compose 已声明可调，test/main 未声明 |
|
||||
| 意图 V2 shadow/decision | `internal/intent/shadow_v2.go`、`v2_decision.go` | 三环境显式 false |
|
||||
| 语义摘要 shadow | `internal/ctxmgr/semantic_summary.go:216` | 默认 off，且仅 AGENT_BACKEND=pi-agent 时挂载 |
|
||||
| PI change-report 叙事 | `internal/docrevision/narrative.go:68` | 默认 off，仅确定性 fallback（不得冒充完整 PI） |
|
||||
| artifact-vault CLI | `cmd/artifact-vault/main.go` | 未部署 stub |
|
||||
| eventmode cutover CLI | `cmd/eventmode/main.go` | 硬门禁仅 dev 可用（`internal/events/cutover.go:13`） |
|
||||
|
||||
### 3.2 死代码 / 机制先行无消费方
|
||||
|
||||
| # | 项 | 位置 |
|
||||
|---|----|------|
|
||||
| X-1 | `SEMANTIC_FALLBACK_ENABLED` 死 flag：无任何业务消费方，仅 sysadmin 展示；三环境 compose 都在设一个没用的变量 | `internal/intent/flags.go:43`、`internal/app/app.go:285` |
|
||||
| X-2 | `SEMANTIC_SUMMARY_REPLACE` 读取后 `_=` 显式丢弃，刻意永久未接线 | `internal/ctxmgr/semantic_summary.go:257` |
|
||||
| X-3 | goose 00048 三张新表 `project_source_bindings`/`repo_path_allowlist`/`project_type_workflows` 无代码消费方（swboot 目录硬编码内存版，RepoAllowlist 为 stub） | `internal/swboot/catalog.go:92,118`、`repo_allowlist.go` |
|
||||
| X-4 | `system_settings` 白名单 6 键全部无业务消费方——可写不生效，纯机制先行 | `internal/sysadmin/settings.go:57-66` |
|
||||
| X-5 | 前端死组件：`DocumentNotificationList.tsx`（含已读回写，功能完整无挂载点）、`WorkflowPrerequisiteBanner.tsx`、`user/SettingsModal.tsx`（已被 UserSettingsModal 取代）；死 API：`api/projectWorkflow.ts:71 activateWorkflow`；`data/storage.ts:141 saveMessages` deprecated no-op | web/src 各文件 |
|
||||
| X-6 | `useTaskRunStream` 伪 ref（同 B-7） | — |
|
||||
|
||||
### 3.3 测试盲区
|
||||
|
||||
| # | 盲区 | 说明 |
|
||||
|---|------|------|
|
||||
| S-1 | `TestReconcile_LegacyRepair_PG` 从未执行 | 要求隔离 PG 且硬拒绝 5433/5434/5435；canonical-hash 修复链路零自动化验证（gap-matrix 已记测试债） |
|
||||
| S-2 | 两个「永久跳过」 | `taskstream_test.go:189`（功能已删，测试成死代码应删除）；`plan_owner_test.go:125`（重定向跳过） |
|
||||
| S-3 | 无测试的 cmd 入口 | `cmd/server`、`cmd/events`、`cmd/artifact-vault`、`cmd/dataset`、`cmd/eventmode`、`cmd/recategorize`、`cmd/document-revision-backfill`（仅 bizdev-cli、document-content-reconcile 有）；`internal/observability`、`internal/workflow` 无测试文件 |
|
||||
| S-4 | **E2E 默认全不跑**：web/e2e 9 个 spec 全部被环境门禁（`RUN_UI_ACCEPTANCE=1`/`DOCREV_E2E_BASE_URL`/`INTENT_DUAL_TAB=1`），默认 `playwright test` 实跑 0 用例；`test:ui-acceptance` script 只覆盖 1 个 spec，其余 8 个无 script 入口 | web/e2e/、web/package.json:11 |
|
||||
| S-5 | 409 信封处理只覆盖部分消费方：projectMembers、freeformDoc、createTaskRun、chatSessions upsert 等 409 只能裸报错（与 FEATURE-MATRIX hardening backlog 一致） | `web/src/api/projectMembers.ts`、`freeformDoc.ts:177`、`taskRuns.ts`、`chatSessions.ts` |
|
||||
| S-6 | 前端 bundle 大 chunk 未分割（mermaid/katex/xlsx/docx 各成 >500 kB chunk，已有 precompress 缓解） | vite build 警告 |
|
||||
|
||||
---
|
||||
|
||||
## 四、结论与优先级
|
||||
|
||||
**总体判断**：发布门禁与 FEATURE-MATRIX 的 `done/partial/deferred` 口径与代码实况基本一致，未发现「stub 冒充验收」类违规；质量门禁（vet/test/build）全绿。主要风险集中在三处：
|
||||
|
||||
1. **E-1（main ENV 不一致 → 双写/空转）是唯一 critical 级发现**，且只在 main 环境存在， dev/test 的「healthy」不能证明 main 事件链路正确。
|
||||
2. **SSE 120s 断流（B-1/B-2）直接影响长任务可用性**，是用户可感知的现存 bug。
|
||||
3. **封存面（FAV/多意图 tier/U9–U12/语义摘要/PI 叙事）实现完整但容器内不可调或硬门禁封存**，红线达标，但授权放量时会发现 compose 层缺失（E-3）与若干死接线（X-1/X-2）。
|
||||
|
||||
详细整改顺序见 [remediation 方案](../remediation/2026-09-17-system-health-remediation-plan.md)。
|
||||
|
||||
## 关联整改
|
||||
|
||||
- Remediation: [2026-09-17-system-health-remediation-plan.md](../remediation/2026-09-17-system-health-remediation-plan.md)
|
||||
|
||||
## 证据
|
||||
|
||||
- `go vet ./...` / `go build ./...` / `go test -short -count=1 ./...`（62 包 ok）/ `cd web && npm test && npm run build`：2026-09-17 全绿。
|
||||
- 文中所有 `文件:行号` 引用均为 2026-09-17 dev 分支工作区实测。
|
||||
|
||||
## 开放问题
|
||||
|
||||
- E-1 的修复取向（app 改 `ENV=main` vs 事件信封/consumer mode 键改用部署名）需架构决策。
|
||||
- D7 合规签字、`MULTI_INTENT_PLAN_TIER` 升 confirm、FAV live 放量均需用户显式授权，不在本整改自动范围内。
|
||||
- configs/.env.dev/.env.test/.env.main 实际文件未读取（含密钥）；若偏离 example 模板，E-3/E-4/E-6 结论需复核。
|
||||
@@ -1,130 +0,0 @@
|
||||
---
|
||||
title: "系统深度体检审计（2026-09-19，dev@e8ed33b）"
|
||||
status: done
|
||||
created: 2026-09-19
|
||||
updated: 2026-09-19
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 系统深度体检审计（2026-09-19）
|
||||
|
||||
> 只读审计，未修改业务代码。分支 `docs/system-deep-audit-2026-09-19`，基点 dev@e8ed33b。
|
||||
> 方法：go vet / go test -short 静态基线 + 五路并行深潜（后端 server/chat、docgov/events/工作流/迁移、前端 web、配置 flag/死代码、安全鉴权）。
|
||||
|
||||
## 一、总体结论
|
||||
|
||||
- **静态基线健康**：`go vet ./...` 零告警；`go test -short ./...` 55 包全 PASS；全仓 TODO/FIXME 仅 2 处非实质。
|
||||
- **四条已声明红线全部核实一致**：`MULTI_INTENT_PLAN_TIER=legacy`、`SEMANTIC_SUMMARY_REPLACE` 未接线、`FAV_DEGRADED_READ=false`、SWBOOT-10 fail-closed stub——代码与三环境 compose 均对齐，无漂移。
|
||||
- **IAM 主链路复核成立**：路由统一挂鉴权中间件、SQL 全参数化、token 哈希存储、错误出参有内部信息过滤。但存在 dev/test 兜底与端点级鉴权缺口（见 S1/S2）。
|
||||
- **本次新发现**：2 项 critical（后端数据竞态 + docgov 吞错）、10 项 high、若干 medium/low。其中 3 项被两路独立审查交叉命中（见 ★ 标记），可信度最高。
|
||||
- FEATURE-MATRIX 已声明的 partial/deferred（rdev、SWBOOT、FAV、D7、首载性能）不在本次重复申报范围；本次发现均为**新增**缺口。
|
||||
|
||||
## 二、Critical（发布前必须评估）
|
||||
|
||||
### C1 ★ docgov 持久化全链路 fire-and-forget 吞错；fencing token 未读回
|
||||
`internal/docgov/lease.go:460-467, 485-490`；`internal/docgov/engine.go:318, 392, 405, 470, 477, 650, 743, 750, 1081-1134`
|
||||
|
||||
租约获取/续约/回收、正文哈希、认领状态、提案决定及**全部审计日志**均为 `_, _ = e.pool.Exec(...)` 静默吞错：
|
||||
- 审计 INSERT 失败 → 合规事件永久丢失，无重试无告警；
|
||||
- 租约 UPDATE 失败 → 内存与 DB 分叉，重启后可并行编辑同一文档；
|
||||
- `lease.go:485` 用 `context.Background()` 脱离请求生命周期；
|
||||
- `loadDocumentFromDBLocked` 的 SELECT 列表**不含 `lease_fencing_token` 列**（00034 迁移已建列）→ 进程重启后 fencing 语义完全失效（合法持锁者被误判 stale，或 stale 写者被放行——两个方向都有缺口）。
|
||||
|
||||
**建议**：持久化失败必须返回 error 或 slog.Error+指标；审计写入失败进重试队列；lease SELECT 补 fencing 列；persistLeaseLocked 失败回滚内存状态。
|
||||
|
||||
### C2 ★ Session 全字段数据竞态 + 跨项目污染
|
||||
`internal/chat/session.go:275-277`；`internal/server/server.go:432-435`；`internal/server/handlers.go:196-198`
|
||||
|
||||
- `Messages`/`UserCtx`/`LastAccessedAt` 的读写锁粒度碎片化：SSE 路径持 `execMu`，而 `hydrateVisibleHistory`、`handleGetProject`、`cleanStaleSessionsLocked`、`server.go:435` 均不持锁。并发 SSE+REST 同会话时 `go test -race` 可复现 data race。
|
||||
- `handleChat` 无锁写 `sess.ProjectID = req.ProjectID`，同一 sessionID 被不同项目请求交错时跨项目串扰。
|
||||
|
||||
**建议**：Session 加 `sync.RWMutex` 统一保护；ProjectID 改为请求级参数不写回共享 sess。
|
||||
|
||||
### C3 SSE WriteTimeout=120s 硬杀长任务 + 心跳 goroutine 生命周期不一致
|
||||
`internal/server/server.go:352-355`；`internal/server/sse.go:252-271`
|
||||
|
||||
全局 `WriteTimeout: 120s`；SSE 靠 45s 续期+15s 心跳兜底，心跳被中间代理吞掉时长 LLM 回合（dialogueTimeout=3min）被强杀。非流式 `handleRunTask` 同步执行数十分钟任务，120s 必然截断响应（业务已执行、客户端收不到结果 → 幂等重试造成重复执行观感）。心跳 goroutine 模式与 `handleTaskRunEvents`（主循环 select，无此问题）不一致。
|
||||
|
||||
**建议**：长任务端点异步化（提交+轮询/SSE）；心跳并入主 select 或 WaitGroup 收敛。
|
||||
|
||||
### C4 工作流计划保存跨语句竞态 + completed_by 错填
|
||||
`internal/projectinstance/service.go:185-190`；`internal/projectinstance/stage_store.go:132-138`
|
||||
|
||||
- `SaveWorkflowPlan`：upsert 与 bump revision 两条独立事务，并发下同版本号先互相覆盖 plan 再一方 bump 失败 → **版本号与 plan 内容错位落库**。`Activate` 的 token 前置校验与激活事务间存在 TOCTOU。
|
||||
- `completed_by = (SELECT activated_by ...)`：最终阶段完成的归属人被错填为激活人，审计归属错误。
|
||||
|
||||
**建议**：upsert+bump 同事务 + `FOR UPDATE` 锁 project 行；completed_by 显式传当前操作者。
|
||||
|
||||
## 三、High（建议进入 short-term 整改）
|
||||
|
||||
| # | 发现 | 位置 | 要点 |
|
||||
|---|------|------|------|
|
||||
| H1 ★ | dev/test 未认证静默兜底为 user id=1 | `internal/server/auth_middleware.go:48-51` | `Env=dev|test` + `AllowInMemory` + 无 ContextDB 时，无 token 请求静默识别为 id=1（管理员）。main 已被 `validateProductionSecrets` 兜住。建议：兜底路径加审计日志+启动告警；中期删除 legacy 兜底 |
|
||||
| H2 ★ | docgov 批注/审计端点无资源级鉴权且信任请求体身份 | `internal/server/handlers.go:858-940, 534-552` | 任意登录用户读任意文档批注/审计；`AddComment` 直接用 `req.UserID/UserName/UserRole` 可伪造他人身份；`Claim` 角色由客户端自选。两路审查交叉命中。建议：actor 一律取 principal；读类端点加项目成员校验 |
|
||||
| H3 ★ | 会话查询类端点水平越权 | `chat_turn_api.go:12-45`；`handlers.go:947-981, 429-451` | `handleGetChatTurn`/`handleListChatSessions`/`handleGetUserContext` 的 session_id/user_id 来自 query 不校验归属；userID<=0 时默认 1（种子 admin）。建议：改用 principal 或比对不一致 403 |
|
||||
| H4 | 登录/注册无速率限制 | `server.go:295-296` | 全仓无限流；bcrypt 高成本反而便于 CPU 耗尽 DoS。建议：IP+用户名滑动窗口限流 |
|
||||
| H5 | SSE 任务流缺幂等前置检查 | `internal/server/sse.go:398-424` | REST 路径有 `FindByIdempotencyKey`，SSE 路径没有；EventSource 断线重连产生重复任务执行 |
|
||||
| H6 | 事件 dispatcher stale-fencing 无限重放 | `internal/events/worker.go:206-275` | ErrStaleFencing 直接 cancel+return 不计 Failed；handler 半成功被回滚后事件无限重放，永不可达 dead，无告警 |
|
||||
| H7 | 迁移 00001–00009 缺 down；00012 seed 迁移破坏性 DELETE | `deploy/postgres/goose/` | 前 9 个迁移无 down；00012 无条件 DELETE 30 个 session 的真实消息再插种子；多个迁移事务内 CREATE INDEX（非 CONCURRENTLY）大表会锁表 |
|
||||
| H8 | compose 弱口令兜底 + main 注册默认开放 | `docker-compose.{dev,test}.yml:17,86,101`；`main.yml:101` | dev/test 的 DB/ADMIN 口令有弱默认值；main 已用 `:?required` 强制但 `AUTH_REGISTRATION_ENABLED` 默认 true。建议 test 对齐 main 必填，main 注册默认 false |
|
||||
| H9 | 前端 KaTeX 占位符 XSS | `web/src/engine/renderMarkdown.ts:44-64, 106-108` | 数学公式 catch 分支把未转义原文放入占位符数组，还原发生在 escapeHtml 之后 → XSS。建议：catch 分支 escapeHtml(math) + 占位符随机化 |
|
||||
| H10 | `context.Background()` 脱离请求生命周期 | `internal/chat/session.go:131-134`；`server.go:423,458,566` | LLM 摘要/DB 调用用 Background，客户端断开无法取消，慢库时 handler 挂死。建议：透传请求 ctx + WithTimeout |
|
||||
|
||||
## 四、Medium（选录，详见各专项）
|
||||
|
||||
| # | 发现 | 位置 |
|
||||
|---|------|------|
|
||||
| M1 | 全局缺安全响应头（CSP/nosniff/X-Frame-Options/Referrer-Policy） | `internal/server/server.go:624-636` |
|
||||
| M2 | 租约 TTL 无上限（可锁文档 1000 天）+ AcquireLease 无编辑权校验 | `handlers.go:1196-1203`；`docgov/lease.go:62-70` |
|
||||
| M3 | coordinator 关键词命中强制改写意图 + 模板硬编码"张工您好" | `internal/coordinator/engine.go:409-416, 485` |
|
||||
| M4 | `fmt.Sscanf` 解析 `u_sess_xxx` 必然失败 → UserID=0 审计落空 | `coordinator/engine.go:930-934, 1067-1071` |
|
||||
| M5 | `Runtime.Start` 被 main 与 Server.Start 双重调用且错误被吞 | `server.go:343-345`；`cmd/server/main.go:47` |
|
||||
| M6 | sessions map 无硬上限，惰性清理可被随机 session_id 放大 | `server.go:451-453` |
|
||||
| M7 | 修订三阶段写（账本→DocGov→freeform）无事务，靠客户端重试补偿 | `document_revision_handlers.go:274-318` |
|
||||
| M8 | 测试 flag 名笔误 `FAV_PUBLISHER_ENABLE`（少 D）门闩失效 | `internal/artifactvault/publisher_gate_test.go:16` |
|
||||
| M9 | dev compose 声明永不消费的 `SEMANTIC_SUMMARY_REPLACE`（诱导性配置）；dev 与 test/main 默认模型不一致（M2.7-highspeed vs M3） | `docker-compose.dev.yml:119,44` |
|
||||
| M10 | OpsCutover 硬编码 `"dev"`，test/main 无合规 cutover 路径 | `internal/events/cutover.go:12-19` |
|
||||
| M11 | 前端乐观已读无失败回滚；MessageStream prevMsgCount 跨会话不重置；SSE 无 online 感知重连 | `web/src/hooks/useUnreadMarks.ts:176-233`；`MessageStream.tsx:148-154` |
|
||||
| M12 | ExcelViewer 无行数上限内存爆炸；React 19 下 30+ 处裸 setTimeout 无清理 | `ExcelViewer.tsx:42-55` |
|
||||
| M13 | `deploy/postgres/migrations/` 疑似死目录（14 个旧 SQL 无引用，与 goose 重复） | `deploy/postgres/migrations/` |
|
||||
| M14 | `Orchestrator.ResolveDocTask` 静默返回 0 值三权掩盖数据不一致 | `internal/workflow/runtime/orchestrator.go:69-83` |
|
||||
| M15 | PG 事件投递允许乱序而 MemoryBus 有 gap 语义——测试替身与生产行为分叉 | `internal/events/dispatcher.go:56-63` vs `bus.go:99-103` |
|
||||
|
||||
## 五、Low（选录）
|
||||
|
||||
- `handleHealth` 每请求同步两次 DB 往返无缓存无超时（`handlers.go:97-110`）
|
||||
- `writeStoredEvents` json.Marshal 错误被吞（`task_run_handlers.go:437`）
|
||||
- `ReplayPlan.Digest()` 不含 DryRun 字段（纵深防御，`internal/events/replay.go:24-38`）
|
||||
- 前端 localStorage 缓存无版本字段；`lucide-react@^1.16.0` 版本异常需确认来源；App.tsx 4600 行/30 个 useEffect 巨石组件
|
||||
- `handleRunTaskStream` 死参数 `includeDetails/requestID`（`sse.go:417-418`）
|
||||
|
||||
## 六、复核确认无问题的面（证据性记录）
|
||||
|
||||
- SQL 注入：全部 pgx 参数化；仅 4 处 fmt.Sprintf 涉 SQL 均为常量
|
||||
- CORS：白名单制、无 `*`+凭证；SSE 鉴权失败返回 JSON 而非污染流
|
||||
- 日志：密码 bcrypt、token SHA-256 摘要存储；`httpx.LooksInternal` 过滤内部错误串
|
||||
- os/exec：bridge 路径来自服务端配置，用户输入只进 stdin payload；无 text/template 引用
|
||||
- 事件系统：claim 幂等（SKIP LOCKED + fencing 复合判断）、ack+inbox+checkpoint 单事务、envelope 完整性校验、replay 审批人≠操作人——设计正确
|
||||
- 前端：Mermaid strict 模式、链接 noopener、ErrorBoundary 覆盖根组件、EventSource 卸载清理正确
|
||||
|
||||
## 七、优先级建议
|
||||
|
||||
1. **进 main 前必须处理**：C1–C4、H1–H5、H8、H9（H8 的 main 注册默认开放一项）
|
||||
2. **short-term 整改批**：H6、H7、H10、M1、M2、M8（一行修复恢复门闩）
|
||||
3. **backlog**：其余 medium/low
|
||||
|
||||
## 关联整改
|
||||
|
||||
- Remediation: 待立项（建议按第七节优先级拆 short-term 任务）
|
||||
|
||||
## 证据
|
||||
|
||||
- `go vet ./...` 零输出；`go test -short ./...` 55 包 ok（2026-09-19，dev@e8ed33b）
|
||||
- 五路只读深潜：后端 server/chat、docgov/events/工作流/迁移、前端 web、配置/flag/死代码、安全鉴权
|
||||
- 任务条目：[ops/short-term/2026-09-19-system-deep-audit.md](../ops/short-term/2026-09-19-system-deep-audit.md)
|
||||
|
||||
## 开放问题
|
||||
|
||||
- dev 与 test/main 默认模型不一致（M2.7-highspeed vs M3）是否刻意？未见 `.doc/ops` 对齐记录
|
||||
- `deploy/postgres/migrations/` 是否还有外部工具依赖？无则建议归档
|
||||
- H1 legacy 兜底是否有仍在使用的内部工具依赖？删除前需盘点
|
||||
@@ -1,48 +0,0 @@
|
||||
---
|
||||
title: "系统权限设置与项目协作多项缺陷排查"
|
||||
status: done
|
||||
created: 2026-09-20
|
||||
updated: 2026-09-20
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 系统权限设置与项目协作多项缺陷排查
|
||||
|
||||
## 现象
|
||||
|
||||
用户报告：成员管理勾选无效、系统设置「允许编制人兼任审核批准」400、PDF 预览被拦截、任务 runs 403 刷屏、发起编制被标 NETWORK_ERROR、注册/建号 rollback、改密后刷新再强制改密、退出重登出现同名重复项目、无项目仍可对话、右侧工具栏默认展开且不记忆。
|
||||
|
||||
## 根因分析
|
||||
|
||||
| # | 根因 | 关键路径 |
|
||||
|---|------|----------|
|
||||
| 1 | CSP 缺 `frame-src`，blob iframe fallback 到 `default-src 'self'` | `internal/server/cors.go` |
|
||||
| 2 | PdfViewer 同源 iframe 直连，触发 `X-Frame-Options: DENY` 原生拦截页 | `web/src/components/doc/preview/renderers/PdfViewer.tsx` |
|
||||
| 3 | 前端未传 `expected_revision`（该 key 后端强制 CAS） | `web/src/api/systemAdmin.ts` / SettingsSection |
|
||||
| 4 | `ProjectSettingsApiError` 字段名与消费方 `httpStatus`/`errorCode` 不一致 | `web/src/api/projectSettingsError.ts` |
|
||||
| 5 | task-run view 仅放行创建者/owner；前端 403 无停止轮询 | `task_run_auth.go` / `App.tsx` |
|
||||
| 6 | `CanManageProjectMembers` 未读细粒度权限位 | `internal/authz/service.go` |
|
||||
| 7 | memStore `ListProjectsForUser` 忽略成员表 | `internal/projectworkflow/store.go` |
|
||||
| 8 | `user_role_bindings` 插入吞错 → commit rollback；handler 一律 400 | `internal/auth/pg_store.go` |
|
||||
| 9 | 嵌套 `user.mustChangePassword` OR 合并复活 + fetchMe 未回写 session | `authUserMap.ts` / WorkbenchView / useAuthenticatedWorkspaceSync |
|
||||
| 10 | `projects.name` 无唯一约束 + Create 无幂等键；logout 不清 projects 缓存 | `service.go` / migration 00056 / App logout |
|
||||
| 11 | `Project()<=0` 时跳过项目访问校验 | `handlers.go` / `sse.go` / `stage_access_helpers.go` |
|
||||
| 12 | `rightCollapsed` 默认 false 且无持久化 | `AppShell.tsx` / `storage.ts` |
|
||||
|
||||
## 严重度
|
||||
|
||||
`high`
|
||||
|
||||
## 关联整改
|
||||
|
||||
- Short-term: `.doc/ops/short-term/2026-09-20-bug-hunt-permissions-uploads.md`
|
||||
- 分支: `fix/bug-hunt-2026-09-20-permissions-and-uploads`
|
||||
|
||||
## 证据
|
||||
|
||||
- 产品决策：新增 `project:manage_members`；无项目禁止对话并置灰发送按钮；同创建人内项目名唯一 + `client_key` 幂等。
|
||||
- 迁移：`00055_...project-manage-members-permission.sql`、`00056_...project-create-idempotency.sql`
|
||||
|
||||
## 开放问题
|
||||
|
||||
- 无（本批范围内）
|
||||
@@ -1,142 +0,0 @@
|
||||
---
|
||||
title: "模块耦合现状审计（规范与分批整改基线）"
|
||||
status: done
|
||||
created: 2026-09-20
|
||||
updated: 2026-09-20
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 模块耦合现状审计（规范与分批整改基线）
|
||||
|
||||
## 现象
|
||||
|
||||
系统已经是模块化单体，不是未治理的大泥球：`module-boundaries.yaml` + `internal/archtest` 已把 import 与事件登记清到零违规（`baseline_counts.import=0`、`event=0`，二者在 `block_kinds`），可靠事件由独立 `cmd/events` worker 经 PostgreSQL lease 消费。
|
||||
|
||||
故障仍会跨模块扩散的原因不在“缺总线”，而在四类残留：
|
||||
|
||||
1. HTTP 适配层直接持有领域具体类型，而不是只调用用例端口。
|
||||
2. `chat`、`app` 子包与 `coordinator` 用子包拆分避开了 Go 编译环，逻辑上仍互相依赖。
|
||||
3. `docgov` 的状态、角色和错误被多个模块当成本模块词汇使用。
|
||||
4. 带到期日的 SQL/路径例外仍允许非属主写入或拼接工作区路径。
|
||||
|
||||
本审计只记录证据与分级，不改代码。整改批次见 [分批计划](../remediation/2026-09-20-module-decoupling-batch-plan.md)。
|
||||
|
||||
## 根因分析
|
||||
|
||||
### 已有隔离基线（不要推倒）
|
||||
|
||||
| 机制 | 位置 | 现状 |
|
||||
|------|------|------|
|
||||
| 模块化单体 ADR | [2026-09-14-modular-monolith-decoupling](../adr/2026-09-14-modular-monolith-decoupling.md) | 不拆微服务；窄端口 + 组合根 + 领域事件 |
|
||||
| 静态边界 | [module-boundaries.yaml](../system-design/module-boundaries.yaml) | import allowlist、表唯一写者、路径属主、事件生产者/消费者 |
|
||||
| 架构门禁 | `internal/archtest`、`scripts/arch-check.sh --mode block` | import/event 零容忍 |
|
||||
| 进程内端口 | `internal/app/*flow`（例：`internal/app/chatflow/ports.go`） | 消费者拥有窄接口；组合根注入实现 |
|
||||
| 跨进程事件 | `internal/events` + `cmd/events` | PG outbox/inbox；dev `:8088` / test `:8089` / main `:8090` |
|
||||
| 事件契约 | `internal/events/registry.go` `StaticContracts()` | 11 个事件名、schema version、payload 字段 allowlist；与 YAML parity |
|
||||
|
||||
`StaticContracts` 现有事件：`document.agent_candidate_ready`、`document.agent_version_committed`、`document.downstream_impact_detected`、`document.change_report_degraded`、`document.approved`、`taskrun.completed`、`taskrun.cancelled`、`fav.artifact_staged`（`Enabled: false`）、`intent.plan.awaiting_input`、`intent.plan.step_changed`、`intent.plan.completed`。
|
||||
|
||||
### 热点 1（P1）：`server` 上帝适配层
|
||||
|
||||
`internal/server/server.go` 的 `Server`（约 40–80 行）同时持有 `*bizdev.Service`、`*coordinator.CoordinatorEngine`、`*docgov.GovernanceEngine`、`*docrevision.Service`、`*taskrun.Manager`、`*projectinstance.Service`、`*pgxpool.Pool` 等具体类型。同结构体里只有少数字段是端口（`chatflow.ChatLog`、`chatflow.ContextAssembler`、`intentflow.Service`、`intent.Recognizer`）。
|
||||
|
||||
生产 import 覆盖约 30 个内部包（`server.go` 11–34 行）。handler 直接解释领域错误，例如 `internal/server/handlers.go` 对 `docgov.ErrDocumentBusy` 的分支（426、449 行）以及 `docgov.RoleAuthor`（702、1291 行）。
|
||||
|
||||
后果：领域包改一个错误或角色常量，HTTP 层必须跟着改；`pool` 还让适配层有机会绕过表属主写 SQL。
|
||||
|
||||
### 热点 2（P2）：`chat` ↔ `app` ↔ `coordinator` 逻辑环
|
||||
|
||||
编译环被子包拆开了，依赖方向没有：
|
||||
|
||||
- `internal/chat/session.go` 11–13 行 import `app/chatflow`、`app/intentflow`、`coordinator`。
|
||||
- `internal/chat/action_executor.go` 10–14 行 import `app/intentflow`、`app/stageflow`、`coordinator`、`docgov`、`taskrun`，并持有具体引擎指针。
|
||||
- `internal/app/chatflow/ports.go` 又 import `coordinator`、`ctxmgr`、`projectinstance`（`AssembleRequest` 直接嵌 `coordinator.UserInfo`）。
|
||||
|
||||
`chat` 既是领域会话，又反向依赖用例包。用例一变，会话执行器就会编译失败，问题不会停在单一模块。
|
||||
|
||||
### 热点 3（P3）：`docgov` 词汇泄漏
|
||||
|
||||
生产代码（不含本包测试）直接使用 `docgov` 状态/角色/错误的位置包括：
|
||||
|
||||
- `internal/coordinator/engine.go`：`ErrDocumentBusy`（955）、`StateDrafting`（1596、1598）。
|
||||
- `internal/bizdev/service.go`：`ErrDocumentLocked` / `ErrDocumentBusy`（718）。
|
||||
- `internal/server/handlers.go`、`document_revision_handlers.go`、`auth_helpers.go`：`RoleAuthor`、`ErrDocumentBusy`。
|
||||
- `internal/chat/action_executor.go`：动作名字符串 `"docgov.review_approve"`（58、150 行），以及 `docgov.StateDrafting`（90）。
|
||||
|
||||
这些不是稳定共享词汇（`internal/contracts/vocabulary` 尚未承接它们），而是领域实现类型被当公共 API。
|
||||
|
||||
### 热点 4（P3）：工作流定义与实例网
|
||||
|
||||
- `internal/workflowdef/catalog.go` import `projectworkflow`。
|
||||
- `internal/workflowdef/validator_v2.go` import `workflow`。
|
||||
- `internal/projectinstance` 生产文件（`store.go`、`service.go`、`gate.go`、`types.go` 等）import `workflowdef`。
|
||||
- `internal/workflow/runtime/orchestrator.go` import `projectinstance`。
|
||||
|
||||
定义、目录、实例和运行时互相看得见对方的包。改一份工作流校验会同时碰到定义包和实例包。
|
||||
|
||||
### 热点 5（P4）：巨型文件
|
||||
|
||||
非测试生产文件行数（2026-09-20 `wc -l` 口径，探索盘点）：
|
||||
|
||||
| 行数 | 文件 |
|
||||
|------|------|
|
||||
| 1844 | `internal/coordinator/engine.go` |
|
||||
| 1590 | `internal/bizdev/service.go` |
|
||||
| 1395 | `internal/server/handlers.go` |
|
||||
| 1291 | `internal/projectinstance/store.go` |
|
||||
| 1245 | `internal/intent/recognizer.go` |
|
||||
| 1235 | `internal/projectworkflow/store.go` |
|
||||
| 1207 | `internal/docgov/engine.go` |
|
||||
| 1172 | `internal/docrevision/service.go` |
|
||||
| 1151 | `internal/squad/workspace.go` |
|
||||
| 1028 | `internal/freedoc/service.go` |
|
||||
|
||||
单文件过大本身不是耦合，但它把多个用例绑在同一变更面上，评审和回滚半径变大。拆分应跟在解环之后，避免边搬边改依赖。
|
||||
|
||||
### 热点 6（P4）：前端 API 层无统一客户端
|
||||
|
||||
`web/src/api/` 约 37 个文件按域各写 `fetch()`，`API_BASE` 与鉴权头分散。错误信封、重试和 401 处理无法在一处收口，后端错误契约一变就会在多个 api 文件重复漏改。这是适配层问题，不是把前端改成 RPC。
|
||||
|
||||
### 热点 7（P2，有到期日）：边界例外未清零
|
||||
|
||||
[module-boundaries.yaml](../system-design/module-boundaries.yaml) `exceptions` 共 21 条，`baseline_counts` 为 sql_write 5、path 16。
|
||||
|
||||
| 种类 | 条数 | 里程碑 | 到期 | 风险 |
|
||||
|------|------|--------|------|------|
|
||||
| `sql_write` | 4 | U3 | 2026-09-28 | **8 天后到期**。`docduty`、`docrevision` 仍写 `document_records` / `freeform_documents` |
|
||||
| `sql_write` | 1 | U8 | 2026-10-26 | `projectinstance` 终止流程直接取消 `task_runs` |
|
||||
| `path` | **3** | U4 | 2026-09-28 | **同样到期**。`docrevision/projection.go` + server `document_revision_access.go` / `document_revision_handlers.go` 仍点名 `output.md`（对账前文档少记 handlers 一条） |
|
||||
| `path` | **13** | U5 | 2026-10-12 | `agent`、`bizdev`、`coordinator`、`docgov`、`storage` 仍拼接工作区路径或把 `data/dev` 写进提示 |
|
||||
|
||||
到期后若门禁把这些 kind 升为 block 而代码未迁走，构建会失败；若继续延期而不迁，非属主写入会继续让文档/任务故障跨包扩散。本轮不改 YAML，清零归整改批次 G。
|
||||
|
||||
## 严重度
|
||||
|
||||
整体 `high`：不会单独打穿已签发布门禁（`production_ready` 不因本审计回退），但 P1/P2 使“问题停在单一模块”尚未成立。
|
||||
|
||||
| 级别 | 热点 | 扩散方式 |
|
||||
|------|------|----------|
|
||||
| P1 | server 具体类型装配 | 领域改动直接编译失败到 HTTP |
|
||||
| P2 | chat/app/coordinator 逻辑环 | 会话、意图用例、协调引擎必须同改 |
|
||||
| P2 | 2026-09-28 到期的 sql_write/path 例外 | 非属主写表或读工作区文件 |
|
||||
| P3 | docgov 词汇泄漏 | 状态机常量变成跨包协议 |
|
||||
| P3 | workflow 定义/实例网 | 校验与运行时同改 |
|
||||
| P4 | 巨型文件、前端 fetch 分散 | 变更面大，不立刻产生跨表写入 |
|
||||
|
||||
## 关联整改
|
||||
|
||||
- Remediation: [2026-09-20-module-decoupling-batch-plan.md](../remediation/2026-09-20-module-decoupling-batch-plan.md)
|
||||
- 开发规范: [2026-09-20-module-development-standards.md](../system-design/2026-09-20-module-development-standards.md)
|
||||
- 上位约束（不重复制定）: [架构](../system-design/2026-09-14-module-decoupling-architecture.md)、[Phase 2](../remediation/2026-09-15-module-decoupling-ipc-phase2-remediation-plan.md)、[影响面守则 §2](../remediation/2026-09-16-partial-deferred-completion-plan.md)
|
||||
|
||||
## 证据
|
||||
|
||||
- 结构体与 import：`internal/server/server.go`、`internal/chat/session.go`、`internal/chat/action_executor.go`、`internal/app/chatflow/ports.go`。
|
||||
- 事件契约：`internal/events/registry.go` `StaticContracts`。
|
||||
- 例外账本：`module-boundaries.yaml` `exceptions` 与 `baseline_counts`（import 0 / sql_write 5 / path 16 / event 0）。
|
||||
- 盘点方式：2026-09-20 只读检索生产 import 与 `docgov` 符号引用；行数来自当时文件长度，后续拆分后以 `wc -l` 重测为准。
|
||||
|
||||
## 开放问题
|
||||
|
||||
- U3/U4 例外在 2026-09-28 到期后，是先延长豁免并写原因，还是立刻占用 `docgov` mutex 做批次 G 的第一刀。本审计不代决，批次 G 开工前必须二选一，禁止静默改到期日。
|
||||
- `internal/contracts/vocabulary` 在架构文档中已定义，代码侧尚未作为 docgov 状态/角色的唯一出口。批次 C 再决定是新建该包还是把稳定枚举留在消费者端口。
|
||||
@@ -1,68 +0,0 @@
|
||||
---
|
||||
title: "2026-09-20 系统全量体检审计"
|
||||
status: done
|
||||
created: 2026-09-20
|
||||
updated: 2026-09-20
|
||||
severity: high
|
||||
---
|
||||
|
||||
# 2026-09-20 系统全量体检审计
|
||||
|
||||
## 现象
|
||||
|
||||
在 `production_ready=yes`、dev/test/main 健康、近期 triage 已合入的前提下，对全系统做只读深度体检，发现若干**未写入 gap-matrix 的 critical/high**，以及一批 medium/low 加固项。
|
||||
|
||||
方法：四路并行深潜（后端 Go、安全鉴权、前端 web、基础设施）+ 本机实证（goose 版本表、容器 health、口令登录、代码交叉复核）。
|
||||
|
||||
## 根因分析（P0 / critical，均已实证）
|
||||
|
||||
| ID | 发现 | 位置 | 证据 |
|
||||
|----|------|------|------|
|
||||
| P0-MIG | 迁移序号空洞 00054；`chat_summaries` 建表与 summarizer 写失败修复滞留未合入分支 | `feature/capability-enablement-impact-plan@848a0457`；dev 代码仍读写不存在表 | `goose_db_version` 53→55→57 跳号；`to_regclass('chat_summaries')` 空；`summarizer.go:119` `_ = err` |
|
||||
| P0-IDOR-PREF | 偏好写入信任请求体 `user_id`，无归属校验 | `internal/server/handlers.go:508-537` | 无 `requireAuthenticatedUser` 比对 |
|
||||
| P0-IDOR-SESS | `handleGetProject` 以 `callerUserID=0` 调会话，归属校验被跳过 | `server.go:458-463`；`handlers.go` / `project_handlers.go` | `if callerUserID > 0` 守卫 |
|
||||
| P0-IDOR-RECAT | 重分类无会话归属；空 `session_id` 触及全库消息 | `chat_recategorize_api.go`；`ctxmgr/recategorize.go` | `WHERE ($1 = '' OR session_id = $1)` |
|
||||
| P0-PANIC | taskrun 订阅发送在锁外，Unsubscribe `close` 后向 closed channel 发送 panic | `taskrun/manager.go:481-497` vs `:590` | select default 不挡 closed；全仓非测试 `recover()`=0 |
|
||||
| P0-RACE | 同步 `POST /chat` 不取 `execMu`，与 SSE 并发 data race | `handlers.go:240` vs `sse.go:341` | 09-19 C2 残留半修 |
|
||||
| P0-CRED-BACKUP | 三环境 DB 口令硬编码进仓库；生产口令与脚本一致可登录 | `scripts/backup-system-db.sh:43-56` | 实测 `prod_highly_secure_db_pass` 可连 main |
|
||||
| P0-CRED-PUSH | push 脚本把 token 拼进 URL，`ps` 可见 | `scripts/git-push-dev.sh:23` | `https://oauth2:${TOKEN}@...` |
|
||||
| P0-XSS | 块编辑器 math 错误分支未转义 | `BlockEditorModal.tsx:206`；`MathBlockView.tsx:20` | catch 裸拼 + `dangerouslySetInnerHTML` |
|
||||
|
||||
### 环境与分支脱节（本轮不做晋升，记 backlog）
|
||||
|
||||
| ID | 发现 | 证据 |
|
||||
|----|------|------|
|
||||
| ENV-MAIN-DRIFT | main 分支 goose 最高 00025，main 库 schema 52；灾备从分支重建不可复现 | `git ls-tree main`；`goose_db_version` MAX=52 |
|
||||
| ENV-TEST-DRIFT | test 分支最高 00056，test 库已 57 | 实测 |
|
||||
| DOC-SCHEMA | CURRENT 写 dev schema 56，实测 57 | health JSON |
|
||||
| GOOSE-DUP56 | dev 库 version_id=56 记账两行（id 57/58，间隔 2ms） | SQL 取证 |
|
||||
|
||||
## 严重度
|
||||
|
||||
- **critical / P0**：上表 P0-*（本轮整改）
|
||||
- **high / medium / low**：见下方「非 P0 清单」与 [long-term](../ops/long-term/2026-09-19-audit-remainder.md) 2026-09-20 增补区
|
||||
|
||||
## 关联整改
|
||||
|
||||
- Remediation: [../remediation/2026-09-20-p0-remediation-plan.md](../remediation/2026-09-20-p0-remediation-plan.md)
|
||||
- Short-term: [../ops/short-term/2026-09-20-p0-hotfixes.md](../ops/short-term/2026-09-20-p0-hotfixes.md)
|
||||
|
||||
## 证据
|
||||
|
||||
- `go vet ./...` 零告警（2026-09-20）
|
||||
- `go test -short ./...`：仅 `TestPiAgentDockerBuildContext_RunnerModulesPresent` 因外网镜像源 EOF 失败，属测试卫生
|
||||
- 三环境 health：dev/test schema **57**，main **52**；events `:8088`/`:8089`/`:8090` ok
|
||||
- 四路深潜交叉：IDOR×3、XSS、凭证、迁移空洞均被 ≥2 条路径或本机取证命中
|
||||
|
||||
## 非 P0 清单（摘要，详 long-term）
|
||||
|
||||
**后端**：XFF 限流可绕过；events `cancelFns` 只增不减；docrevision/docgov 全局锁内 DB I/O；Shutdown 5s vs 长任务；`idemLocks` 无界；SSE query 传消息；C1 缓存不失效；chat 落库非原子等。
|
||||
|
||||
**前端**：`useChatWindow` 切会话竞态；PLAN_CONFIRM 无 try/catch；turn Map 只增不减；重置密码死功能；ErrorBoundary 仅顶层；SSE `\r\n`；token localStorage + 无全局 401 登出等。
|
||||
|
||||
**基础设施**：容器 root、无资源限制；健康检查路径不一致；main events 挂 shared-net；init 三套；Dockerfile Go 1.23 基镜像；backup 无定时；main 分支对齐晋升专项。
|
||||
|
||||
## 开放问题
|
||||
|
||||
- capability 分支合入后 00054 重编号为 00058 是否与其他未合并旁支再撞号？（当前仅该分支占用 54）
|
||||
- main 分支对齐晋升时 00057 会对存量项目做不可逆改名——晋升前需预演清单
|
||||
@@ -1,234 +0,0 @@
|
||||
---
|
||||
title: "Agent 工作规范增删改审查"
|
||||
status: done
|
||||
created: 2026-09-21
|
||||
owner: Codex
|
||||
reviewed_dev_sha: a241e838150f218f3a09d3523f93291b847d45fd
|
||||
implementation_status: not_started
|
||||
---
|
||||
|
||||
# Agent 工作规范增删改审查
|
||||
|
||||
## 结论
|
||||
|
||||
现有方向合理：任务 worktree、主目录保护、串行集成、真实证据和安全清理应继续保留。当前最值得做的是**消除冲突、减少重复维护、让关键门禁可执行**，不是继续扩充一份越来越长的 AGENTS。
|
||||
|
||||
本轮建议集中为 10 组增删改与 2 项安全补充观察。它们不都是缺陷：下文区分已验证问题、流程简化建议与已有方案的实施事项。只形成审查结果，没有修改生效规则、脚本、锁、运行环境或业务代码。
|
||||
|
||||
已确定的用户选择不重新讨论：全部新增写入走 `.worktrees`；锁先交付统一入口与提交门禁防误改，OS 权限隔离后续实施；本轮是规范审查，不是实施授权。
|
||||
|
||||
## 1. 审查范围与现场
|
||||
|
||||
冻结基线为本地 `dev@a241e838`，审查在 `.worktrees/agent-policy-review` 进行。覆盖 AGENTS、PROJECT、worktree 工作规范、Cursor 四条规则、任务/收口/handoff 模板、Herdr roster，并检查相关脚本与测试入口。
|
||||
|
||||
主目录采样为干净 dev；未 fetch 或推送。本轮新分支只写审查记录和自己的 CURRENT 快照，不修改被审查规范。
|
||||
|
||||
实际测量：
|
||||
|
||||
- 基线 CURRENT 并行认领共有 **161 条**：158 条 done、2 条 in_progress、1 条 cancelled。新增本轮认领后为 162 条；不把本轮新增记录算成基线问题。
|
||||
- 基础启动链六份文件合计 **71,205 字符**，这是文件字符数，不是模型 token 数或耗时指标。
|
||||
- CURRENT 焦点有 5 项，而 AGENTS 要求 1–3 项；其中长期红线混在当前焦点中。
|
||||
- 之前的规范收口 `d5302a76` 与 `.locks` 方案 `5987bdcd` 均不是本轮基线 dev 的祖先，不能把它们当作所有 Agent 已能读取的生效规则。
|
||||
- 本轮没有运行 Go、前端、数据库或产品 PI 测试；命令问题来自源码筛选条件核查，不宣称本轮复现了产品运行故障。
|
||||
|
||||
## 2. 优先级总表
|
||||
|
||||
“先修”是工程流程优先级，不改变产品 FEATURE-MATRIX 或 production_ready。
|
||||
|
||||
| ID | 类别 | 建议动作 | 优先级 | 直接收益 |
|
||||
|---|---|---|---|---|
|
||||
| R01 | 已验证冲突 | 修改测试范围与验收模型规则 | 先修 | 消除纯文档也被要求真实 PI 的矛盾 |
|
||||
| R02 | 已验证命令问题 | 修改真实 PI 示例为准确、可核验的入口 | 先修 | 避免漏测而误以为完成全链路 |
|
||||
| R03 | 流程简化建议 | 新增任务分级，允许一个主文档承载小任务 | 第二批 | 少建重复记录，减少共享文件写入 |
|
||||
| R04 | 已验证膨胀/不一致 | 精简 CURRENT 和启动读取范围 | 第二批 | 活跃冲突更易发现，降低每轮上下文成本 |
|
||||
| R05 | 已验证状态矛盾 | 修改会话结束与任务完成定义 | 先修 | 防止为了结束会话把未完成任务写成 done |
|
||||
| R06 | 已验证过强要求 | 删除固定五层提交顺序，保留逻辑原子性 | 第二批 | 代码与测试一起可验证、可回退 |
|
||||
| R07 | 已验证引用问题 + 结构调整 | 确立规范唯一来源与生效版本 | 先修 | 避免客户端副本、草案和历史记录互相覆盖 |
|
||||
| R08 | 规范增强建议 | 新增任务授权记录与例外处理边界 | 第二批 | 授权内持续执行，超范围才停下确认 |
|
||||
| R09 | 已知方案实施事项 | 优先落实最小工具门禁 | 与先修并行规划 | 把已知运维误操作挡在执行前 |
|
||||
| R10 | 收口流程增强 | 明确清理执行者、保留原因和复查触发 | 第二批 | 已完成 worktree 不再长期无主积累 |
|
||||
|
||||
## 3. 具体增删改
|
||||
|
||||
### R01 修改：测试要求必须按变更范围生效
|
||||
|
||||
**依据**：`AGENTS.md:118`、`PROJECT.md:118` 明确纯工程规范/文档不调用产品 PI；`.cursor/rules/test-reports-standard.mdc:49,61` 仍要求报告包含全量 Go 回归，并在报告生成前做真实 PI 全链路。后者是 alwaysApply。旧收口分支虽包含相关澄清，但尚未进入本轮基线 dev。
|
||||
|
||||
**后果**：Agent 依据不同入口可能运行无关长测试、误动共享服务，或把必要测试当作可选。冲突本身应先消除，不能依靠“Agent 应该理解”。
|
||||
|
||||
**建议修改**：测试范围统一在一处定义，PROJECT 和客户端规则引用它：
|
||||
|
||||
| 变更 | 必要验证 |
|
||||
|---|---|
|
||||
| 纯规范/普通文档 | 差异、链接、状态与指令一致性 |
|
||||
| 治理脚本 | 沙盒临时仓库中的真实分支、锁、退出与拒绝路径；不以 shell 语法检查替代行为验证 |
|
||||
| Go/接口 | 对应单测、项目 Go/架构门禁，受影响 PG/鉴权负例 |
|
||||
| 前端 | 对应测试和构建；受影响交互用真实浏览器 |
|
||||
| 迁移/运行配置 | 独立环境升级、兼容性、回退/前滚条件及就绪验证 |
|
||||
| 产品 Agent/工作流 | 受影响真实产品 PI 链路；不得以 stub/SKIP 替代 |
|
||||
|
||||
固定七段报告模板改为“完整报告模板”，小型文档/脚本验证可用精简报告或任务内验证节；必须保留实际命令、结果、提交与适用范围。不要删除真实性要求，也不允许把未运行记作 PASS。
|
||||
|
||||
模型要求按目标环境的已批准配置核验并记录实际值。`PROJECT.md:118` 的固定 M2.7-highspeed 不能不分环境套用：当前 dev Compose 默认 M2.7-highspeed，而 test/main Compose 默认 M3。这里是配置源码差异，未检查运行中的秘密配置；建议保留环境策略，禁止为“满足文档”自行切换模型。
|
||||
|
||||
### R02 修改：真实 PI 命令要准确选择测试并证明没有跳过
|
||||
|
||||
**依据**：`PROJECT.md:91–92` 使用 `RUN_PI_E2E=1 ... go test ./... -run 'PI'`。测试名 `TestPiAgent_FullLifecycle_MultiRole_RealWorld_E2E`（`internal/server/piagent_e2e_test.go:66`）及 `TestWorkflowGovernance_PiAgent_PG_*`（同模块的 `workflow_governance_piagent_pg_test.go:264,278,293`）不匹配大小写敏感的 `PI`。
|
||||
|
||||
**后果**：命令执行范围与“全链路”的名称不一致；配置缺失还可能让数据库用例跳过。退出码 0 不能单独证明验收完成。
|
||||
|
||||
**建议修改**：优先引用已有 `scripts/run-nightly-real-pi.sh` 作为明确基线入口，写清独立 TEST_DATABASE_URL、Runner 认证、KB/运行环境要求。该脚本当前仅选 U8 和 FullNoneMixedChain 两类测试，**不能把它表述为覆盖全部工作流**；任务按变更范围追加精确测试名与浏览器验收。增加 expected-tests 与实际执行/SKIP 对照，保存最终提交、配置与证据。
|
||||
|
||||
不得在文档中填写真实凭证，也不运行测试来试探生产数据。
|
||||
|
||||
### R03 新增：任务分级；删除小任务必须重复建多份记录的要求
|
||||
|
||||
**依据**：`AGENTS.md:12,37,41–44` 要求任何任务落盘、任务文、研究/审计产物、验收及交接；没有最小产物集或合并记录的规则。
|
||||
|
||||
**建议**：保留“需要审计的工作必须有持久证据”，明确三档：
|
||||
|
||||
- **信息答复**：解释已有结果、查询简单状态，且不产生新决策、持久成果、仓库写入或运行副作用，可直接答复；不为一次答复单独开 worktree。若要写入任何成果，仍进入任务 worktree。
|
||||
- **单一小任务/有价值的只读审查**：一个任务文或专用 audit/research 主文档可同时承载范围、结论、验证、状态和交接；不强制再复制同一内容到另外三份文档。
|
||||
- **跨模块、多阶段、数据/部署任务**：完整 task、必要 plan、验证报告、handoff；仅在信息确实独立时拆文件，互相链接而不复制全文。
|
||||
|
||||
本次这样的实质规范审查仍须落盘，不能以“只读”免除证据。将相关追问、修正与收口归入原 task_id；只读子审查使用父任务的范围和记录，不为每个 reviewer 再开业务任务链。无关新增任务才从 dev 建新分支。
|
||||
|
||||
这项改变需要审核采纳；本轮仍遵守现有落盘规则，没有提前使用豁免。
|
||||
|
||||
### R04 修改：CURRENT 只承载活跃协调，历史留索引
|
||||
|
||||
**依据**：CURRENT 161 条认领中 158 条已完成；`AGENTS.md:132` 要求 1–3 焦点，当前正文有 5 项。
|
||||
|
||||
**建议删除/迁移**：从 CURRENT 活跃表移出已完成/取消且没有后续阻塞的行，历史 owner、branch、worktree、证据在归档任务/历史索引保留。将长期红线独立为受控约束区或链接；它不是每天反复排序的焦点。
|
||||
|
||||
**建议保留**：正在进行、阻塞、等待集成及仍需清理的事项。cleanup_pending 是清理/操作阶段，不新增为 task.status 的第六种状态；一行可写任务 done、cleanup pending，并给 owner、原因和下次检查条件。
|
||||
|
||||
**启动读取修改**：每会话先读短核心规则、项目入口、活跃状态摘要；编码前按范围补读相关模块标准、相关 FEATURE-MATRIX 行、任务/方案及操作规程。发布才读完整发布门禁。不要通过摘要跳过硬红线，也不要要求每次解释一个已知结果都重读全部历史。
|
||||
|
||||
模块开发任务应有明确条件指针指向已有 `.doc/system-design/2026-09-20-module-development-standards.md`，复用现有接口/事件/表写者规则，不新造一套编码规范。
|
||||
|
||||
### R05 修改：会话结束、任务完成、合入与清理分别判定
|
||||
|
||||
**依据**：收口模板第 3 行适用于“任务完成或切换 Agent”，第 22 行却无条件要求 `status=done`；AGENTS 同时允许 blocked/cancelled。任务模板已有 deployment/cleanup 字段，但缺少明确的结果判定与集成/同步状态。
|
||||
|
||||
**建议替换收口条件**：
|
||||
|
||||
> 会话结束不等于任务完成。根据实际情况保留 in_progress、blocked、cancelled 或 done；只有任务范围内的验收条件满足才能 done。换 Agent 必须记录剩余工作及接管条件。只有终态任务才归档；不得为了归档改成 done。
|
||||
|
||||
为任务记录补充按需字段：`review_state`、`integration_state`、`deployment`、`cleanup`、`remote_sync`。例如“方案研究 done、review pending、未合入、deployment not_required”是合法状态；“代码已合入、部署 failed”不能报交付完成。字段由工具生成优先，避免人工重复维护多张表。
|
||||
|
||||
研究/审查的验收是有据可审的产物，不要求把未获实施授权的方案部署到 dev。实现任务的 done 则按其获授权交付范围判定。收口报告始终区分本地提交、dev 合入、实际运行版本和远端状态。
|
||||
|
||||
### R06 删除：固定按数据库、服务、API、测试、文档分层提交的硬性顺序
|
||||
|
||||
**依据**：`.cursor/rules/git-workflow-and-environments.mdc:33–38` 规定“一个任务必须”按五类依次提交；AGENTS 的原子提交目标是一个逻辑变更一批。
|
||||
|
||||
**后果**：小修复也被机械拆分，代码与对应测试分离；一些提交无法独立构建/验证，回退时还可能留下半套契约。
|
||||
|
||||
**建议替换**：
|
||||
|
||||
> 每个提交围绕一个可解释、可验证、可回退的逻辑变更；实现与其回归测试可同批。迁移、兼容阶段、配置或文档只有在独立审查/回退有价值时拆分，不要求每项任务凑齐固定提交层次。
|
||||
|
||||
保留 Conventional Commits、明确文件范围、渐进式交付和独立 worktree；不以“原子”为名把无关改动揉成一批。
|
||||
|
||||
### R07 修改：规范来源、生效状态与客户端薄入口
|
||||
|
||||
**已验证的小错误**：`.cursor/rules/git-secrets-autonomy.mdc:2,8` 把 Secrets 指向 AGENTS §8，实际在 §9。AGENTS 开头称可整文件复制到任意项目，但正文包含本仓库日期路径、脚本和 Herdr 约定；应改为“可复用基线，项目路径/流程需调整”。
|
||||
|
||||
**建议新增规范生命周期**：每项规则记录 proposed/approved/active/deprecated 的规则状态、适用范围、生效提交与 owner；工具能力另记 manual/enforced。这里是规则生命周期，不复用任务 status。
|
||||
|
||||
外层系统约束和当前用户授权仍有效；项目内部规则冲突时有明确处理：AGENTS 保存通用硬边界，PROJECT 定义其授权范围内的项目细则，专门 runbook 负责操作流程；客户端入口只引用同一来源，不复制一套近似规则。草案、旧审计和历史报告属于证据，不能自行覆盖生效规则；较新的日期不等于已生效。
|
||||
|
||||
此前收口和锁方案未进入当前 dev，说明“已经写好/提交”与“已被所有新任务读取”必须分开。旧任务启动时记录 policy revision，集成前重读当前 dev 的相关生效规则；期间发生变化时做差异检查，不默默套旧规则，也不突然按未来未实施机制阻塞旧任务。
|
||||
|
||||
删除 PROJECT 中重复的“当前已无 blocker”等长期硬编码断言，改为引用有日期/制品身份的权威门禁结果。模型、schema、角色可用性等动态值记录在环境/执行收据中；不要在多个入口重复写一份可能过期的“当前值”。
|
||||
|
||||
### R08 新增：任务授权记录与例外边界
|
||||
|
||||
这是一项规范增强建议，不是声称现有 Agent 已越权。现有手册限制自动审批扩权、push 和破坏性操作，但任务模板只有范围/非目标，没有统一记录“这次到底获准做到哪一步”。
|
||||
|
||||
建议任务创建时记录：任务类型（研究/实现/运维）、用户目标、允许写路径、可执行环境、交付终点及明确禁止项。已授权范围内自主持续执行，不在每个 Git/测试步骤重复确认；分析和方案请求默认不包含业务实施。
|
||||
|
||||
只有扩大业务范围、增加外部写入、操作未授权环境或破坏性恢复等才重新确认。push 仍遵守明确授权规则；凭证存在不代表允许推送。合理默认写进任务模板，不用每次都问用户一张权限问卷。
|
||||
|
||||
紧急/迁移例外需记录 owner、原因、范围、期限/退出条件和恢复动作；例外仅覆盖明确条款。`AGENTS.md:29` 的紧急热修免启动阅读不能被解释为允许主目录直接开发、删库或取消验收。
|
||||
|
||||
### R09 落实：先做最小执行门禁，不再只增加禁止句
|
||||
|
||||
这是上一治理/锁方案已承认的工程任务，不作为“新发现的缺失要求”重复计数。
|
||||
|
||||
**已有证据**：AGENTS 已禁用旧 helper 的 create/remove；源码仍包含省略 dev 起点和强制删除。env-service 的根目录来自脚本所在树，缺少执行目录/锁守卫。CURRENT 第 11 行及关联 MinerU 报告已记录一次 worktree rebuild 引起数据挂载漂移，说明风险并非仅理论；本轮未重演该事故。
|
||||
|
||||
**建议实施顺序**：
|
||||
|
||||
1. 修 worktree create/remove 的明确基线、主仓定位和安全删除。
|
||||
2. 给共享服务写操作加主目录/dev/操作身份/持锁前置检查，明确 status 等只读入口；构建必须校验真实源码与申报 SHA。
|
||||
3. 为 CURRENT/MATRIX 提供短锁、增量更新、版本检查，接入已设计 `.locks` 流程；旧锁兼容迁移后才换权威位置。
|
||||
4. Git 提交/集成门禁拒绝超范围文件、混入 `.env`/运行产物和错误主干写入。门禁真实负例验收后再记录 enforced。
|
||||
|
||||
保持用户确认的 L1 目标，不提前搭建跨机平台或要求 OS 隔离才能使用。代码文件锁、全量资源队列和额外 UI 按已有阶段与实际冲突扩展，优先把当前两个共享文档和 dev 操作做可靠。
|
||||
|
||||
### R10 新增：清理负责人和完成后的再检查机制
|
||||
|
||||
现有安全清理条件应保留，不放宽“不强删、不覆盖”的红线。需要补的是谁在 Agent 退出之后真正执行清理，以及什么时候重试。
|
||||
|
||||
操作规范要求无 Agent/进程 cwd 使用才能移除 worktree；长驻客户端即使完成任务也可能仍占 cwd。任务模板允许 retained-with-reason，但没有下一次检查条件。建议由独立集成/维护执行者在 owner 已退出后检查并清理，记录 `cleanup_owner`、保留原因、证据位置和触发条件；遗留目录分为活跃、保护、待审核、未合入和可清理，不按年龄批量删除。
|
||||
|
||||
已合入任务的依赖缓存与唯一截图/日志区别处理：可再生缓存明确登记，唯一证据先保存再移除；只保存路径而不保存文件不是证据归档。清理失败不影响已经通过的业务交付事实，但要保持可追踪的 cleanup pending。
|
||||
|
||||
## 4. 两项安全补充观察（非本轮阻塞项）
|
||||
|
||||
- **材料不能授予权限**：日志、网页、测试输出、引用文本、Agent 产物可能含命令或“用户已授权”字样，应作为待核实内容。handoff 的授权声明回链到可核实的用户目标/委派范围，不仅凭文档自述执行推送、清理或外部写入。已有自动审批不扩权规则继续保留；这项建议补充来源辨别，不要求 L2 现在落地。
|
||||
- **真实证据允许最小化与脱敏**：测试报告可以保存真实执行中足够判定的片段，说明脱敏范围；不要求提交原始完整日志、个人信息、业务正文或截图中的秘密。现有凭证禁入与真实用户数据不复制要求继续有效。真实性约束来源与结论，不能误解成“未经处理的所有材料都要入 Git”。
|
||||
|
||||
## 5. 推荐的规范组织
|
||||
|
||||
不建议再并列增加一套“总规范 v2”。保留现有路径并收敛职责：
|
||||
|
||||
| 位置 | 负责内容 | 移出/减少 |
|
||||
|---|---|---|
|
||||
| AGENTS | 最小安全红线、任务入口、权限/状态原则、操作指针 | 环境动态值、长命令、历史事件、重复模板索引 |
|
||||
| PROJECT | 仓库地图、目标环境、测试入口与模块标准指针 | 重复通用规则、过期发布结论 |
|
||||
| worktree runbook | 创建、同步、候选、部署、失败与清理 | 已结束迁移的具体临时目录案例，移入历史交接 |
|
||||
| 锁管理 runbook（落地后） | 唯一入口、状态、等待、恢复与兼容版本 | 让 Agent 手动拼锁协议的日常操作 |
|
||||
| CURRENT | 活跃任务、当前槽位、1–3 焦点、必要约束链接 | 大量 done 历史行与长复盘 |
|
||||
| FEATURE-MATRIX | 能力声明范围、证据、剩余条件 | 逐次操作流水、重复环境快照 |
|
||||
| 客户端入口 | 明确引用上述来源 | 复制并稍微改写的第二套规则 |
|
||||
| 任务/审查主文档 | 单项工作的范围、决定、证据和交接 | 对相同内容的无意义多文件复制 |
|
||||
|
||||
## 6. 改动顺序与验收
|
||||
|
||||
**第一批：消除矛盾。** R01、R02、R05、R07 的明确错误先修。检查从所有客户端入口读取后，纯文档、业务修复、暂停交接、取消任务、真实 PI 验收五种场景都得到一致决策。
|
||||
|
||||
**第二批：减少流程负担。** 采纳 R03/R04/R06/R08/R10 后更新模板与薄入口；历史只迁移、不删除。验证信息问答不触发无意义写入，实质审计有唯一主产物，代码与测试能形成完整逻辑提交，未完成任务不会被强制 done。
|
||||
|
||||
**第三批：工具实现。** R09 与既有 `.locks` 分阶段方案合并为一个实施队列，不重复造项目。用两个并行任务、锁冲突、旧版本共享文档、错误工作区部署、异常退出和清理拒绝的真实证据验收。当前 user-approved 的 L1 防误改边界不变。
|
||||
|
||||
规范检查可以自动化为轻量 `doctor/lint`：本地链接、必需字段/状态、过期 waiver、活跃认领冲突、测试入口存在、脚本能力版本与规范声明对齐。没有明确规则契约的模糊 prose lint 不作硬失败，也不为文案偏好构造复杂测试。
|
||||
|
||||
## 7. 审查覆盖与可信度
|
||||
|
||||
使用 ce-doc-review 非交互只读流程，审查依据为上述实际文件及脚本，而非仅凭历史记忆。
|
||||
|
||||
| 审查视角 | 结果 | 本报告处理 |
|
||||
|---|---|---|
|
||||
| 一致性（独立上下文） | 3 项 | 复用声明/引用合入 R07，焦点上限合入 R04 |
|
||||
| 可执行性（独立上下文） | 1 项 | PI 测试筛选问题合入 R02，主审已核对源码 |
|
||||
| 范围/减负（独立上下文） | 3 项 | 合入 R03/R04；保留实质审计必须落盘，收窄纯只读豁免 |
|
||||
| 安全（独立上下文） | 2 项观察，置信锚 50 | 仅列为 §4 补充观察，不当作已证实漏洞 |
|
||||
| 反例审查（独立上下文） | 0 项新增缺陷 | 候选 SHA、失败恢复、累计部署差异等已有引用约束，未重复提出 |
|
||||
| 主审当前源核查 | 测试范围冲突、状态模板、提交顺序、动态配置与工具事实 | 补充 R01/R05/R06 等；明确区分改进建议与已知实施项 |
|
||||
|
||||
外部第三方 CLI 跨模型复核未执行：本轮未获得向其他外部服务发送仓库文档的显式授权；未以此阻塞会话内独立视角审查。未更改技能或项目配置来伪造关闭该步骤。
|
||||
|
||||
未采纳的建议形态：不把纯只读豁免扩大到有持久价值的审计；不把 cleanup_pending 塞进既有任务 status；不要求当前实现 OS 级权限隔离；不因为当前 helper 明确标为未修复，就重复说规范已承诺了不存在的能力。
|
||||
|
||||
**已应用规范修正：0。** 上述均是待审核建议。本轮只写审查产物与任务记录，未升级 FEATURE-MATRIX、未改 production_ready、未运行产品测试、未合入 dev 或 push。
|
||||
|
||||
## 8. 相关资料
|
||||
|
||||
- [当前工作手册](../../AGENTS.md)
|
||||
- [项目入口](../../PROJECT.md)
|
||||
- [已采纳工作方式](../ops/2026-09-21-agent-worktree-workflow.md)
|
||||
- [既有治理方案](../remediation/2026-09-21-agent-workflow-governance-plan.md)
|
||||
- `.locks` 补充方案：目前在 `feature/agent-lock-coordination-plan@5987bdcd` 的 `.doc/remediation/2026-09-21-agent-lock-coordination-plan.md`，不在本轮 dev 基线；后续合入时再建立普通相对链接。
|
||||
@@ -1,46 +0,0 @@
|
||||
---
|
||||
title: "文档存储 CoW（写时复制）现状审计"
|
||||
status: done
|
||||
created: 2026-09-21
|
||||
updated: 2026-09-21
|
||||
severity: low
|
||||
---
|
||||
|
||||
# 文档存储 CoW（写时复制）现状审计
|
||||
|
||||
## 背景
|
||||
|
||||
用户诉求：上传文档要「几个人传同一份只存一份」，涉及可编辑文档时「考虑 CoW，写入时复制」。本审计确认系统当前的去重与写时复制实现状态，并明确本次收口补齐了什么。
|
||||
|
||||
## 现状分析
|
||||
|
||||
系统存在两套内容存储，均已采用内容寻址（Content-Addressed Storage, CAS），天然满足去重与 CoW 语义：
|
||||
|
||||
### 1. 二进制资产：`internal/storage/cas.go`
|
||||
|
||||
- 物理对象表 `storage_blobs` 以 `sha256` 为主键，`ref_count` 记录引用数。
|
||||
- 上传命中相同 sha 时（[cas.go](../../internal/storage/cas.go) `storeFileDB`）**不写第二份物理文件**，仅 `ref_count + 1`，并新建一条 `file_references` 逻辑引用。→ 满足「多人传同一文档只存一份」。
|
||||
- 文件路径 `blobs/<xx>/<yy>/<sha>.bin` 由内容 hash 唯一决定；`StoreFile` 对已存在 blob **只读不覆写**（命中去重分支直接返回）。内容变化 → hash 变化 → 新路径新文件。→ 即 CoW：修改等价于写入新对象，旧对象不被就地改写。
|
||||
|
||||
### 2. 可编辑文档正文：`internal/docrevision/pg_store.go`
|
||||
|
||||
- `document_content_blobs` 以 `content_sha256` 为键，`ensureBlobTX` 使用 `INSERT ... ON CONFLICT DO NOTHING`（[pg_store.go:309](../../internal/docrevision/pg_store.go)）。
|
||||
- 每次编辑保存生成新 `document_snapshots`，指向新的 `content_sha256`；未变化的正文块复用同一 blob 行。→ 编辑保存不会复制未改动内容，写入时才产生新 blob。→ 满足「可编辑文档 CoW」。
|
||||
|
||||
## 结论
|
||||
|
||||
- **去重**：物理层早已实现（sha256 + ref_count）；本次补齐的是**逻辑提示**——把 `FileReference.IsDeduplicated` 透出到上传/列表 API 的 `deduplicated` 字段，并在前端附件卡片与文档预览面板展示「重复·已复用」，让"只存一份"对用户可见。跨项目/同项目的逻辑引用记录保留（权限与审计需要），不做合并（已与用户确认方案：物理一份 + 提示）。
|
||||
- **CoW**：语义已是事实实现，但**缺防回归守卫**。本次新增 `TestCAS_ImmutabilityCoWContract`（[cas_test.go](../../internal/storage/cas_test.go)）固化契约：① 相同内容重复写入 → 物理 blob 数不变、字节不变；② 内容变化写入 → 新 blob、旧 blob 不被覆写、历史引用仍读原始字节。未来任何"就地改写 blob"的实现都会在测试期失败。
|
||||
|
||||
## 严重度
|
||||
|
||||
`low` —— 现状正确，本次为可见性增强 + 契约固化，无缺陷修复。
|
||||
|
||||
## 关联整改
|
||||
|
||||
- 任务：[2026-09-21-upload-parse-ux-dedup.md](../ops/short-term/2026-09-21-upload-parse-ux-dedup.md)
|
||||
- 验收报告：[2026-09-21-upload-parse-ux-dedup-test-report.md](../test-reports/2026-09-21-upload-parse-ux-dedup-test-report.md)
|
||||
|
||||
## 开放问题
|
||||
|
||||
- `storage_blobs.ref_count` 目前只增不减；引用删除（若未来支持资产删除）需配套 decrement 与 blob 物理回收，属后续独立任务，不在本次范围。
|
||||
@@ -1,297 +0,0 @@
|
||||
---
|
||||
title: "系统整改与重构方案 — 前两阶段及取消状态契约审核检查清单"
|
||||
status: done
|
||||
created: 2026-09-23
|
||||
updated: 2026-09-23
|
||||
severity: high
|
||||
task_id: modular-refactor-review-2026-09-23
|
||||
---
|
||||
|
||||
# 系统整改与重构方案 — 前两阶段及取消状态契约审核检查清单
|
||||
|
||||
## 1. 目的与范围
|
||||
|
||||
本清单供**产物机器**上的方案执行者，对照自查《系统整改与重构方案》中**阶段 1、阶段 2、取消状态契约**是否可审、可测、可回退。
|
||||
|
||||
| 项 | 值 |
|
||||
|---|---|
|
||||
| 目标方案（产物机器，本机不可见） | `.doc/remediation/2026-09-22-agent-system-modular-refactor-plan.md` |
|
||||
| 目标 worktree（产物机器） | `.worktrees/modular-contract-standard-2026-09-22` |
|
||||
| 本机清单基线 | local `dev@8f0e31e53a5f8d0dd25a908ba6d127a5bb6768a4` |
|
||||
| 本轮授权 | **仅编制清单并合入本机 dev**；不实施业务代码；不审核方案正文（本机无正文）；不 push |
|
||||
| 自查结果枚举 | `符合` / `偏差` / `阻断` |
|
||||
|
||||
**非目标**：阶段 3–6 全量逐条（除非阶段 1/2 或取消契约依赖它们）；业务实施；改 YAML 例外；FAV live / `production_ready` / test·main 晋升。
|
||||
|
||||
## 2. 「22 条规范」映射回填（本机未定位权威编号表）
|
||||
|
||||
本机可见权威材料中**没有**名为「22 条规范」的独立编号清单。邻近可对账来源：
|
||||
|
||||
| 候选来源 | 本机状态 | 与「22」的距离 |
|
||||
|---|---|---|
|
||||
| [模块开发规范](../system-design/2026-09-20-module-development-standards.md) §2–§4（端口规则表、事件契约、故障隔离红线 1–7、checklist） | active | 条目合计接近但**未编号为 1–22** |
|
||||
| [耦合审计](./2026-09-20-module-coupling-audit.md) + [A–G 分批计划](../remediation/2026-09-20-module-decoupling-batch-plan.md) | A–G 能力行已 `done` | 21 条 YAML `exceptions` + 边界规则，**非**「22 条规范」正文 |
|
||||
| 产物机器新方案（2026-09-22） | 本机不可见 | **应以方案正文为准** |
|
||||
|
||||
产物机器回填表（填完后本清单才可宣称「22 条已闭环对账」）：
|
||||
|
||||
| 规范编号 | 方案章节/工作包 ID | 本机对账锚点（规范/A–G/代码路径） | 阶段归属 | 自查 |
|
||||
|---|---|---|---|---|
|
||||
| N01 | _待填_ | _待填_ | 1 / 2 / cancel / 其他 | |
|
||||
| N02 | _待填_ | _待填_ | | |
|
||||
| … | | | | |
|
||||
| N22 | _待填_ | _待填_ | | |
|
||||
|
||||
若方案「22 条」≠ 上表候选来源，在回填表首行注明**权威出处路径 + SHA**，禁止用 A–G `done` 冒充新方案已验收。
|
||||
|
||||
## 3. 判定规则
|
||||
|
||||
| 判定 | 条件 |
|
||||
|---|---|
|
||||
| 符合 | 方案条目写明代码位置、依赖、责任范围、测试场景、回退条件；与本机锚点无冲突；测试可复现 |
|
||||
| 偏差 | 可合入意图成立，但路径过时、依赖遗漏、测试偏弱或回退含糊；实施前须修订方案 |
|
||||
| 阻断 | 与生效规范/[验证契约](../ops/2026-09-21-validation-contract.md)/表写者/事件至少一次语义冲突；或回退会丢数据/假 PASS |
|
||||
|
||||
每条核对项须留下：方案段落锚点、对照 SHA、结论、证据路径（可为本机相对路径或产物机器截图哈希）。
|
||||
|
||||
---
|
||||
|
||||
## 4. 阶段 1 — 契约、模块职责、验证基线
|
||||
|
||||
### R1.1 三种通信契约完整且无第四种
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 模块开发规范 §2.1–§2.3；ADR 模块化单体 |
|
||||
| 应核对代码/文档 | `internal/app/*/ports.go`；`internal/events/registry.go` `StaticContracts()`；`internal/server` wire DTO；方案工作包是否禁止 gRPC/全局 bus/跨包未导出 helper |
|
||||
| 依赖与责任 | 消费者定义端口；组合根（`internal/app`、`cmd/*`）注入；server 不持领域 SQL |
|
||||
| 测试场景 | 新增端口无 JSON/`pgx`/物理路径；事件改动跑 registry↔YAML parity；HTTP 错误信封 `code/message/request_id` |
|
||||
| 回退核对 | 契约变更可单批 revert；不留下「半套第四种通信」 |
|
||||
| 自查 | |
|
||||
|
||||
### R1.2 表唯一写者与解包事务名单
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 规范 §4 红线 1–2；`module-boundaries.yaml` `table_owners` |
|
||||
| 应核对代码 | YAML `table_owners` / `tx_unpackers`；工作包是否把跨表原子性放在用例 UnitOfWork，而非各模块自开事务 |
|
||||
| 依赖与责任 | 非属主不得 `INSERT/UPDATE/DELETE`；server/chat 不得解包 `pgx.Tx`（除非已登记例外且有到期日） |
|
||||
| 测试场景 | `./scripts/arch-check.sh --mode block`；针对新增写路径的属主负例 |
|
||||
| 回退核对 | 回退代码与恢复/删除 exception **成对**，避免门禁与代码错位 |
|
||||
| 自查 | |
|
||||
|
||||
### R1.3 事件信封与至少一次投递 + 幂等
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 规范 §2.2、§3.2 |
|
||||
| 应核对代码 | `internal/events/registry.go`；`ClaimLeases` / outbox 同 UoW；消费者 inbox/`source_event_id`（例：`internal/notification/service.go` `EmitVisible*`） |
|
||||
| 依赖与责任 | 生产路径为 PG outbox + `cmd/events`；`MemoryBus` 仅特征测试 |
|
||||
| 测试场景 | 重复投递仅一个可见副作用；缺 `environment`/`project_id` fail closed；永久失败进 dead/quarantine 不堵其他订阅者 |
|
||||
| 回退核对 | 不回退到 SELECT-only claim（`ClaimIDs` 已禁用） |
|
||||
| 自查 | |
|
||||
|
||||
### R1.4 模块职责与 A–G 残留边界
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | [A–G 分批计划](../remediation/2026-09-20-module-decoupling-batch-plan.md)；FEATURE-MATRIX「模块解耦批次 A–G」=`done` |
|
||||
| 应核对 | 新方案 17 工作包是否**重复**已合入的 A–G，或明确「在 A–G 之上增量」；互斥 mutex 是否与已关闭批次冲突 |
|
||||
| 依赖与责任 | 新工作包不得把 FAV live / RPC / `production_ready` 回退写进完成定义 |
|
||||
| 测试场景 | 声明的依赖边在合入后可用 `go list` / arch-check 证明消失或未回潮 |
|
||||
| 回退核对 | 单工作包 revert；不整支回滚无关批次 |
|
||||
| 自查 | |
|
||||
|
||||
### R1.5 验证基线与门禁衔接
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | [验证契约](../ops/2026-09-21-validation-contract.md)；规范 §7 |
|
||||
| 应核对 | 方案阶段 1「验证基线」是否映射到：`arch-check --mode block`、`go vet ./...`、`go test -short ./...`；前端相关则 `npm test` / `npm run build`；纯文档不要求 PI |
|
||||
| 依赖与责任 | stub/SKIP 不得作交付 PASS；共享环境测试须持锁 |
|
||||
| 测试场景 | 方案每个工作包的「测试场景」列能落到精确包路径或 `-run` 名 |
|
||||
| 回退核对 | 失败时保留候选证据，不伪造 PASS |
|
||||
| 自查 | |
|
||||
|
||||
### R1.6 稳定词汇与跨包错误
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 规范 §3.3；批次 C |
|
||||
| 应核对 | `internal/contracts/vocabulary`；方案是否禁止新增 `docgov.State*` / `Role*` / `Err*` 跨包引用 |
|
||||
| 依赖与责任 | 带哈希/路径的函数留在属主模块（如 `doccontent`） |
|
||||
| 测试场景 | 热点引用改为端口或词汇后，原状态机测试仍绿；HTTP code 不变 |
|
||||
| 回退核对 | 单批 revert |
|
||||
| 自查 | |
|
||||
|
||||
---
|
||||
|
||||
## 5. 阶段 2 — 通知事务、事件领取、授权、业务入口一致性
|
||||
|
||||
### R2.1 通知与领域提交同事务
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 规范 §2.2「副作用与 receipt 能进同一数据库事务的必须同事务」；§4 红线 4（持锁不做外部 IO） |
|
||||
| 应核对代码 | `internal/notification/service.go` / `document_events.go`（`EmitVisible*` 要求 caller fenced tx）；`internal/app/docadvance/consumer.go`；dispatcher `handle` 在 lease tx 内调用 handler |
|
||||
| 依赖与责任 | notify 消费者不在持锁路径调 LLM/HTTP/SSE；可见通知以 `source_event_id` / dedupe 幂等 |
|
||||
| 测试场景 | 提交失败无可见通知；重复 `source_event_id` 成功且不双写；`HashVisibleNotifications` 类对账 |
|
||||
| 回退核对 | 回退后不得留下「已提交领域、无通知」或相反的半状态；优先前滚修复 |
|
||||
| 自查 | |
|
||||
|
||||
### R2.2 事件领取：lease、续租、抢占
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 规范 §2.2；Phase 2 事件计划（投递/lease 语义） |
|
||||
| 应核对代码 | `internal/events/dispatcher.go` `ClaimLeases` / `HeartbeatLease`；`internal/events/worker.go`；`cmd/events` |
|
||||
| 依赖与责任 | 生产禁止 `ClaimIDs`；quarantine/expire 不可被再次 claim；多 worker 互斥由 `FOR UPDATE SKIP LOCKED` 语义保证 |
|
||||
| 测试场景 | `dispatcher_pg_test`：双 worker 仅一人领到；quarantine 不可领；续租失败不再处理 |
|
||||
| 回退核对 | 不恢复已禁用的 SELECT-only claim；lease 时长变更有观察窗 |
|
||||
| 自查 | |
|
||||
|
||||
### R2.3 授权检查收敛点
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 规范 §2.1「Principal 只来自已认证会话」；§2.3 授权拒绝不泄露存在性；多意图设计「卡片/SSE 不能替代授权」 |
|
||||
| 应核对代码 | `internal/authz`；`internal/server/*_handlers.go`（task/intent/freeform 等）在 Flush/副作用前鉴权；`events.AuthorizePrincipal` 于消费者路径 |
|
||||
| 依赖与责任 | 请求体不得覆盖 UserID/ProjectID；消费者授权失败 → quarantine，非无限重试 |
|
||||
| 测试场景 | 跨用户 IDOR 负例 403；SSE 鉴权在 Flush 前（对照 gap `AUTH-TASK-SSE`）；重复提交不绕过 |
|
||||
| 回退核对 | 回退不得重新打开已关闭 IDOR；测试与代码同批 |
|
||||
| 自查 | |
|
||||
|
||||
### R2.4 业务入口一致性（HTTP / 对话 / SSE / 事件投影）
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 规范 §2.3；多意图权威性排序：认证主体与资源 → 授权/不变量 → PG → 卡片投影 → SSE |
|
||||
| 应核对代码 | 同一命令是否只经一个用例入口；chat action 与 REST 是否共用端口；投影/SSE 是否只读权威状态 |
|
||||
| 依赖与责任 | GET 不修投影（红线 6）；修复为独立命令并写审计 |
|
||||
| 测试场景 | 双入口同输入同权威结果；刷新后以 GET 覆盖本地缓存；投影丢失仍能经 active discovery 找回 |
|
||||
| 回退核对 | 入口合并失败时可切回旧入口且状态不分裂 |
|
||||
| 自查 | |
|
||||
|
||||
### R2.5 与阶段 1 基线的衔接（方案自述三处衔接问题）
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 用户汇报：审阅发现的三处衔接问题已修正 |
|
||||
| 应核对 | 方案正文是否显式列出三处问题的**原描述、修正段落、回归检查**；是否仍依赖未合入的阶段 3+ 契约 |
|
||||
| 依赖与责任 | 修正不得静默改验证契约或放宽 arch-check |
|
||||
| 测试场景 | 针对三处各有一条可执行核对（文档锚点或测试名） |
|
||||
| 回退核对 | 修正可独立 revert 而不拆阶段 1 |
|
||||
| 自查 | |
|
||||
|
||||
---
|
||||
|
||||
## 6. 取消状态契约 — Runner 取消、未知结果、SSE 恢复
|
||||
|
||||
> 用户建议优先审核。本机可见实现重心：`internal/taskrun`（`Cancel`/`StatusCancelled`/`taskrun.cancelled` 事件）、`internal/server/task_run_handlers.go`（Cancel + SSE `after_seq`）、`internal/agent/piagent.go`、多意图计划中的 cancel 转移。
|
||||
|
||||
### R3.1 取消状态机覆盖全转移
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 方案「取消状态契约」；多意图步骤状态含 `cancelled`；`taskrun.cancelled` 事件登记 |
|
||||
| 应核对 | 状态集合是否覆盖：`cancel_requested` →（执行中）→ `cancelled` / `unknown`（或方案等价命名）；禁止从终态回退到 running |
|
||||
| 代码锚点 | `internal/taskrun/finalize.go`（`Commands.Cancel`、`StatusCancelled`、事件名）；`manager.go` `Cancel`；意图计划状态机（若工作包触及） |
|
||||
| 依赖与责任 | 取消与 finalize 竞态仅一个终态（见 `TestPG_FinalizeCancelRaceOneTerminal` / `TestCommands_CancelWinsOverFinalizeMemory`） |
|
||||
| 测试场景 | 用户取消、租约过期视同取消、Runner 已结束后的迟到取消、双端并发 cancel/finalize |
|
||||
| 回退核对 | 回退不得出现双终态或「已取消仍计费/仍写产物」 |
|
||||
| 自查 | |
|
||||
|
||||
### R3.2 未知结果：幂等重试与人工裁定
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 操作规范/AGENTS：Docker/网络超时先区分未知与未执行；管理器不自动撤销外部副作用 |
|
||||
| 应核对 | 方案是否定义 `unknown`（或等价）的进入条件、可见对外语义、幂等重试键、人工裁定 API/运维入口、超时升级 |
|
||||
| 代码锚点 | taskrun 结果应用路径；PI Runner 客户端（`internal/agent/piagent.go`）；方案工作包列出的裁定命令 |
|
||||
| 依赖与责任 | 未知不得冒充 `succeeded`/`cancelled`；重试必须带 fencing/idempotency，避免双执行 |
|
||||
| 测试场景 | Runner 超时无响应 → unknown；重试仅一次可见副作用；裁定后 SSE/GET 一致 |
|
||||
| 回退核对 | 清除 unknown 标记不得删除审计；禁止自动 Down/删库「恢复」 |
|
||||
| 自查 | |
|
||||
|
||||
### R3.3 执行租约、fencing 与取消的交互
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 多意图设计：短 lease + owner + lease_until + fencing；续租失败不再领步骤 |
|
||||
| 应核对 | 取消是否使 lease 立即失效；旧 fencing token 的迟到心跳/完成是否被拒绝 |
|
||||
| 代码锚点 | `internal/taskrun` store/lease；workspace lease 相关迁移与调用 |
|
||||
| 依赖与责任 | 持 lock 期间取消不调用外部 IO；取消收据与 outbox 同事务（若发 `taskrun.cancelled`） |
|
||||
| 测试场景 | 取消后旧 worker 心跳失败；fencing 错则拒绝 finalize |
|
||||
| 回退核对 | 放宽 fencing 视为阻断，不得以「兼容」绕过 |
|
||||
| 自查 | |
|
||||
|
||||
### R3.4 SSE 恢复后与权威状态一致
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 系统健康整改 Wave0（`after_seq`、心跳、Flush 前鉴权）；多意图「SSE 允许重复/乱序/丢失，缺口 GET 对账」 |
|
||||
| 应核对代码 | `internal/server/task_run_handlers.go`（`after_seq`、`extendSSEWriteDeadline`、Cancel handler）；`web/src/api/taskStream.ts`；聊天 SSE 同等语义 |
|
||||
| 依赖与责任 | SSE 非权威；取消/unknown 以 PG/GET 为准覆盖本地 |
|
||||
| 测试场景 | 断线重连不重复创建运行；取消过程中重连看到终态；WriteTimeout 后同 turn 不误 409（对照 `DOCREV-SSE-IDEM-BUSY` 经验） |
|
||||
| 回退核对 | 去掉 `after_seq` 视为回归阻断 |
|
||||
| 自查 | |
|
||||
|
||||
### R3.5 Runner 取消传播
|
||||
|
||||
| 字段 | 内容 |
|
||||
|---|---|
|
||||
| 规范来源 | 方案阶段 2/3 交界：Runner 取消与未知结果 |
|
||||
| 应核对 | HTTP/对话取消 → taskrun → PI Runner 取消信号是否端到端定义；Runner 已完成后的取消应答 |
|
||||
| 代码锚点 | `Manager.Cancel`；server cancel 路由；PI 客户端 cancel |
|
||||
| 依赖与责任 | 取消失败进入 unknown 而非假 cancelled（若方案如此定义则测试锁定） |
|
||||
| 测试场景 | Runner 可取消；Runner 无响应 → unknown；已终态 cancel 幂等成功 |
|
||||
| 回退核对 | 回退保留「至少不双执行」不变量 |
|
||||
| 自查 | |
|
||||
|
||||
---
|
||||
|
||||
## 7. 工作包级抽查模板（阶段 1/2 + 取消相关包）
|
||||
|
||||
对方案中每个相关工作包复制下表（ID 以方案为准）：
|
||||
|
||||
| 工作包 ID | 阶段 | 规范 Nxx | 代码位置（方案 vs 本机） | 依赖 | 责任范围 | 测试场景可执行？ | 回退可操作？ | 判定 |
|
||||
|---|---|---|---|---|---|---|---|---|
|
||||
| WP-? | 1 | | | | | 是/否 | 是/否 | |
|
||||
| WP-? | 2 | | | | | | | |
|
||||
| WP-? | cancel | | | | | | | |
|
||||
|
||||
**阻断级缺省**（出现任一条则该包不得开工实施）：
|
||||
|
||||
1. 无精确文件/包路径，或路径在本机 `dev@8f0e31e5` 已改名且方案未更新。
|
||||
2. 测试场景只有「手动看看」或依赖 stub 作交付。
|
||||
3. 回退是「再想想」或要求硬重置/删库。
|
||||
4. 扩大写路径/mutex 未在任务登记中重新认领。
|
||||
5. 将卡片/SSE/前端缓存当作授权或权威状态。
|
||||
|
||||
## 8. 产物机器回填指引
|
||||
|
||||
1. 在产物机器打开方案 + 本清单（本清单合入本机 `dev` 后，经授权 `push` 或手动同步到产物机器）。
|
||||
2. 先填 §2 的 N01–N22 映射；未填完不得宣称阶段 1 审核通过。
|
||||
3. 按 §4–§6 逐条标 `符合`/`偏差`/`阻断`，证据写入方案附录或 `.doc/test-reports/`（普通文档级即可）。
|
||||
4. 若有 `阻断`：只改方案文档，**不**开工对应业务代码；修正后更新方案 `updated` 与衔接说明。
|
||||
5. 全部阶段 1/2 + 取消契约无 `阻断` 且偏差有修订计划后，在产物机器 CURRENT 登记「方案审核通过、待实施授权」——实施须**另开**任务与授权，不由本清单授权。
|
||||
6. 本清单单列任务 `modular-refactor-review-2026-09-23`；方案合入/实施不得冒用本 task_id 扩权。
|
||||
|
||||
## 9. 本机环境与证据边界
|
||||
|
||||
| 项 | 记录 |
|
||||
|---|---|
|
||||
| 本机 | macOS Darwin；仓库 `/private/tmp/Agent-System` |
|
||||
| 方案正文 | **不可见**（另一主机 `/home/weichen/projects/...`；origin/frp-mix 无对应分支） |
|
||||
| agentctl | 本机已可用 `with` / `docs apply` / `validate` / `integrate`（进程层）；创建本任务时已 `task register` |
|
||||
| 清单性质 | 审核**方法**与核对项，不是对方案正文的已审结论 |
|
||||
|
||||
## 10. 相关链接
|
||||
|
||||
- 任务记录：[../ops/short-term/2026-09-23-modular-refactor-review.md](../ops/short-term/2026-09-23-modular-refactor-review.md)
|
||||
- 模块开发规范：[../system-design/2026-09-20-module-development-standards.md](../system-design/2026-09-20-module-development-standards.md)
|
||||
- A–G 分批：[../remediation/2026-09-20-module-decoupling-batch-plan.md](../remediation/2026-09-20-module-decoupling-batch-plan.md)
|
||||
- 耦合审计：[./2026-09-20-module-coupling-audit.md](./2026-09-20-module-coupling-audit.md)
|
||||
- 验证契约：[../ops/2026-09-21-validation-contract.md](../ops/2026-09-21-validation-contract.md)
|
||||
- gap-matrix：[../remediation/gap-matrix.md](../remediation/gap-matrix.md)
|
||||
- 操作规范：[../ops/2026-09-21-agent-worktree-workflow.md](../ops/2026-09-21-agent-worktree-workflow.md)
|
||||
+1
-44
@@ -13,46 +13,6 @@
|
||||
|
||||
## 核心文档（按阅读顺序推荐）
|
||||
|
||||
### 模块化重构方案审核检查清单（2026-09-23）
|
||||
|
||||
**文件**: [2026-09-23-modular-refactor-plan-review-checklist.md](./2026-09-23-modular-refactor-plan-review-checklist.md)
|
||||
|
||||
**结论**: 产物机器方案（`modular-contract-standard-2026-09-22`）本机不可见；本清单按已生效模块开发规范与 A–G/验证契约，覆盖阶段 1、阶段 2 与取消状态契约自查项，并留「22 条规范」映射回填。不实施业务代码。
|
||||
|
||||
**任务**: [short-term](../ops/short-term/2026-09-23-modular-refactor-review.md)
|
||||
|
||||
### 模块耦合现状（2026-09-20）
|
||||
|
||||
**文件**: [2026-09-20-module-coupling-audit.md](./2026-09-20-module-coupling-audit.md)
|
||||
|
||||
**结论**: 模块化单体与事件总线已在；残留扩散点是 server 具体类型装配、chat/app/coordinator 逻辑环、docgov 词汇泄漏，以及 2026-09-28 到期的 sql_write/path 例外。不改 `production_ready`。
|
||||
|
||||
**整改**: [分批计划](../remediation/2026-09-20-module-decoupling-batch-plan.md) · [开发规范](../system-design/2026-09-20-module-development-standards.md)
|
||||
|
||||
### 系统全量体检（2026-09-20）
|
||||
|
||||
**文件**: [2026-09-20-system-triage-audit.md](./2026-09-20-system-triage-audit.md)
|
||||
|
||||
**结论**: 迁移 00054 断链 + 三项 IDOR + taskrun channel panic + 凭证硬编码/暴露为 P0；main 分支与生产 schema 脱节记 backlog。
|
||||
|
||||
**整改**: [P0 热修方案](../remediation/2026-09-20-p0-remediation-plan.md) · [short-term](../ops/short-term/2026-09-20-p0-hotfixes.md)
|
||||
|
||||
### 可选职责空审核人 CreateOrGetDocument FK（2026-09-17）
|
||||
|
||||
**文件**: [2026-09-17-docgov-optional-duty-null-fk.md](./2026-09-17-docgov-optional-duty-null-fk.md)
|
||||
|
||||
**结论**: 无 reviewer 职责时 `CreateOrGetDocument` 写 `reviewer_id=0` 触发 FK，被 `ClassifyError` 掩盖为 `INTERNAL_ERROR`；heal 路径已有 `nullIfZero`，创建路径漏改。
|
||||
|
||||
**整改**: [short-term](../archive/ops/2026-09-17-docgov-optional-duty-null-fk.md) · branch `fix/docgov-optional-duty-null-fk`
|
||||
|
||||
### FEATURE-MATRIX production-ready 连续性审计（2026-09-16）
|
||||
|
||||
**文件**: [2026-09-16-feature-matrix-production-readiness-audit.md](./2026-09-16-feature-matrix-production-readiness-audit.md)
|
||||
|
||||
**结论**: 排除纯软件项目自举后没有新增发布 blocker；矩阵需要拆分能力成熟度、发布关系、补证、增强和 deferred 状态，并修复 schema、D3/D5、IAM、前端与 FAV 叙事漂移。
|
||||
|
||||
**整改**: [FEATURE-MATRIX Production-Ready Continuity - Plan](../remediation/2026-09-16-feature-matrix-production-readiness-plan.md)
|
||||
|
||||
### 多意图与 HITL 方案复核（2026-09-15）
|
||||
|
||||
**文件**: [2026-09-15-multi-intent-hitl-plan-review.md](./2026-09-15-multi-intent-hitl-plan-review.md)
|
||||
@@ -197,7 +157,7 @@
|
||||
|
||||
**结论**: 消息仍在数据库；文档任务与激活前消息缺阶段作用域，被刷新后的窗口过滤器剔除，而统计仍返回未过滤数量。
|
||||
|
||||
**整改**: [对话刷新恢复与阶段授权一致性整改方案](../remediation/2026-09-13-chat-history-refresh-remediation.md)（2026-09-22 口径裁定：gap `CHAT-HISTORY-REFRESH` = PASS；见 [reconcile](../ops/short-term/2026-09-22-chat-history-refresh-reconcile.md)）
|
||||
**整改**: [对话刷新恢复与阶段授权一致性整改方案](../remediation/2026-09-13-chat-history-refresh-remediation.md)
|
||||
|
||||
### 0️⃣ 当前状态（Live SSOT）
|
||||
|
||||
@@ -496,6 +456,3 @@ Day 4-5: Phase C 完善与发布准备（20h）
|
||||
---
|
||||
|
||||
*本索引最后更新于 2026-09-12 15:05 UTC*
|
||||
|
||||
- 2026-09-17：[系统全面体检](2026-09-17-system-health-check.md)（任务收口 / 缺陷 / 未启用功能；配套 [整改方案](../remediation/2026-09-17-system-health-remediation-plan.md) Wave0–7）。
|
||||
- 2026-09-17：[首次加载性能诊断与改进](2026-09-17-initial-load-performance-audit.md)（三入口重启首访；U2 已验收，主 JS ~624 KB；U1/U3–U7 待实施）。
|
||||
|
||||
@@ -1,157 +0,0 @@
|
||||
---
|
||||
title: "Authorization matrix v3 — full route inventory"
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-16
|
||||
status: done
|
||||
---
|
||||
|
||||
# Authorization matrix v3 — full route inventory
|
||||
|
||||
Generated from `mux.HandleFunc` registrations under `internal/server/`.
|
||||
AuthN column is **heuristic**; negative-test pointers filled where known.
|
||||
|
||||
| Method | Path | Handler | File | AuthN (heuristic) | Neg test |
|
||||
|--------|------|---------|------|-------------------|----------|
|
||||
| GET | `/` | `s.serveSPA` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/admin/config` | `s.handleAdminConfig` | `server.go` | admin+project? | see suite |
|
||||
| PUT | `/api/v1/admin/config` | `s.handleAdminConfig` | `server.go` | admin+project? | see suite |
|
||||
| GET | `/api/v1/admin/permissions` | `s.handleAdminPermissions` | `server.go` | admin+project? | see suite |
|
||||
| GET | `/api/v1/admin/roles` | `s.handleAdminRoles` | `server.go` | admin+project? | see suite |
|
||||
| POST | `/api/v1/admin/roles` | `s.handleAdminRoles` | `server.go` | admin+project? | see suite |
|
||||
| DELETE | `/api/v1/admin/roles/{id}` | `s.handleAdminRoleByID` | `server.go` | admin+project? | see suite |
|
||||
| PATCH | `/api/v1/admin/roles/{id}` | `s.handleAdminRoleByID` | `server.go` | admin+project? | see suite |
|
||||
| GET | `/api/v1/admin/templates` | `s.handleAdminTemplates` | `server.go` | admin+project? | see suite |
|
||||
| POST | `/api/v1/admin/templates` | `s.handleAdminTemplates` | `server.go` | admin+project? | see suite |
|
||||
| GET | `/api/v1/admin/templates/{key}/versions` | `s.handleAdminTemplateVersions` | `server.go` | admin+project? | see suite |
|
||||
| GET | `/api/v1/admin/users` | `s.handleAdminUsers` | `server.go` | admin+project? | see suite |
|
||||
| POST | `/api/v1/admin/users` | `s.handleAdminUsers` | `server.go` | admin+project? | see suite |
|
||||
| PUT | `/api/v1/admin/users/{id}/role` | `s.handleAdminUpdateRole` | `server.go` | admin+project? | see suite |
|
||||
| PUT | `/api/v1/admin/users/{id}/status` | `s.handleAdminUpdateStatus` | `server.go` | admin+project? | see suite |
|
||||
| GET | `/api/v1/admin/workflows` | `s.handleAdminWorkflows` | `server.go` | admin+project? | see suite |
|
||||
| POST | `/api/v1/admin/workflows` | `s.handleAdminWorkflows` | `server.go` | admin+project? | see suite |
|
||||
| GET | `/api/v1/admin/workflows/{id}` | `s.handleAdminWorkflowByID` | `server.go` | admin+project? | see suite |
|
||||
| PATCH | `/api/v1/admin/workflows/{id}/versions/{version}` | `s.handleAdminWorkflowVersion` | `server.go` | admin+project? | see suite |
|
||||
| POST | `/api/v1/admin/workflows/{id}/versions/{version}/publish` | `s.handleAdminWorkflowPublish` | `server.go` | admin+project? | see suite |
|
||||
| POST | `/api/v1/admin/workflows/{id}/versions/{version}/retire` | `s.handleAdminWorkflowRetire` | `server.go` | admin+project? | see suite |
|
||||
| POST | `/api/v1/admin/workflows/{id}/versions/{version}/validate` | `s.handleAdminWorkflowValidate` | `server.go` | admin+project? | see suite |
|
||||
| POST | `/api/v1/admin/workspaces/reconcile` | `s.handleReconcileWorkspace` | `server.go` | admin+project? | see suite |
|
||||
| POST | `/api/v1/auth/change-password` | `s.handleAuthChangePassword` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/auth/login` | `s.handleAuthLogin` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/auth/logout` | `s.handleAuthLogout` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/auth/me` | `s.handleAuthMe` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/auth/public-config` | `s.handleAuthPublicConfig` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/auth/register` | `s.handleAuthRegister` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/auth/sessions` | `s.handleAuthSessions` | `server.go` | handler | see suite |
|
||||
| DELETE | `/api/v1/auth/sessions/{id}` | `s.handleAuthSessionByID` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/chat` | `s.handleChat` | `server.go` | session+project (ERR_NO_PROJECT if unbound + zero memberships) | see suite |
|
||||
| GET | `/api/v1/chat/categories` | `s.handleListChatCategories` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/dates` | `s.handleListChatDates` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/digests` | `s.handleListDailyDigests` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/chat/digests/generate` | `s.handleGenerateDailyDigest` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/export/messages` | `s.handleChatExportMessages` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/messages` | `s.handleGetChatMessages` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/messages/day` | `s.handleGetChatDayMessages` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/chat/messages/import` | `s.handleImportChatMessages` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/messages/window` | `s.handleGetChatWindow` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/messages/{message_id}/export-capability` | `s.handleGetExportCapability` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/messages/{message_id}/export-source` | `s.handleGetExportSource` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/chat/read` | `s.handleChatRead` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/chat/recategorize` | `s.handleChatRecategorize` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/search` | `s.handleChatSearch` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/sessions` | `s.handleListChatSessions` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/chat/sessions` | `s.handleUpsertChatSession` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/stream` | `s.handleChatStream` | `server.go` | session+project (ERR_NO_PROJECT if unbound + zero memberships) | see suite |
|
||||
| POST | `/api/v1/chat/stream` | `s.handleChatStream` | `server.go` | session+project (ERR_NO_PROJECT if unbound + zero memberships) | see suite |
|
||||
| GET | `/api/v1/chat/turns/{client_turn_id}` | `s.handleGetChatTurn` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/chat/unread` | `s.handleChatUnread` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/context/cases/recommend` | `s.handleRecommendCases` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/context/project` | `s.handleGetProjectContext` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/context/user` | `s.handleGetUserContext` | `server.go` | handler | see suite |
|
||||
| PUT | `/api/v1/context/user/preference` | `s.handleUpdateUserPreference` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/docgov/approver-decision` | `s.handleDocGovApproverDecision` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/docgov/audit-logs` | `s.handleDocGovListAuditLogs` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/docgov/claim` | `s.handleDocGovClaim` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/docgov/comments` | `s.handleDocGovListComments` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/docgov/comments` | `s.handleDocGovAddComment` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/docgov/content` | `s.handleDocGovSaveContent` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/docgov/document` | `s.handleDocGovGetDocument` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/docgov/documents/{doc_id}/content` | `s.handleDocGovGetDocumentContent` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/docgov/lease/acquire` | `s.handleDocGovAcquireLease` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/docgov/lease/heartbeat` | `s.handleDocGovHeartbeatLease` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/docgov/lease/release` | `s.handleDocGovReleaseLease` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/docgov/proposal/decide` | `s.handleDocGovDecideProposal` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/docgov/review-decision` | `s.handleDocGovReviewDecision` | `server.go` | handler | see suite |
|
||||
| POST | `/api/v1/docgov/submit-review` | `s.handleDocGovSubmitReview` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/documents/{doc_id}/agent-candidates/{candidate_id}` | `s.handleDocRevisionGetCandidate` | `document_revision_handlers.go` | session+project | see suite |
|
||||
| POST | `/api/v1/documents/{doc_id}/agent-candidates/{candidate_id}/decision` | `s.handleDocRevisionCandidateDecision` | `document_revision_handlers.go` | session+project | see suite |
|
||||
| GET | `/api/v1/documents/{doc_id}/change-reports/{report_id}` | `s.handleDocRevisionGetReport` | `document_revision_handlers.go` | session+project | see suite |
|
||||
| PATCH | `/api/v1/documents/{doc_id}/content` | `s.handleDocRevisionPatchContent` | `document_revision_handlers.go` | session+project | see suite |
|
||||
| GET | `/api/v1/documents/{doc_id}/diff` | `s.handleDocRevisionDiff` | `document_revision_handlers.go` | session+project | see suite |
|
||||
| GET | `/api/v1/documents/{doc_id}/manual-overlay` | `s.handleDocRevisionManualOverlay` | `document_revision_handlers.go` | session+project | see suite |
|
||||
| GET | `/api/v1/documents/{doc_id}/revision-state` | `s.handleDocRevisionState` | `document_revision_handlers.go` | session+project | see suite |
|
||||
| GET | `/api/v1/documents/{doc_id}/versions` | `s.handleDocRevisionListVersions` | `document_revision_handlers.go` | session+project | see suite |
|
||||
| GET | `/api/v1/documents/{doc_id}/versions/{version_no}` | `s.handleDocRevisionGetVersion` | `document_revision_handlers.go` | session+project | see suite |
|
||||
| GET | `/api/v1/freeform-documents` | `s.handleListFreeformDocs` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/freeform-documents` | `s.handleCreateFreeformDoc` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/freeform-documents/from-message` | `s.handleCreateFreeformDocFromMessage` | `server.go` | session+project | see suite |
|
||||
| DELETE | `/api/v1/freeform-documents/{doc_id}` | `s.handleDeleteFreeformDoc` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/freeform-documents/{doc_id}` | `s.handleGetFreeformDoc` | `server.go` | session+project | see suite |
|
||||
| PUT | `/api/v1/freeform-documents/{doc_id}` | `s.handleUpdateFreeformDoc` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/freeform-documents/{doc_id}/share` | `s.handleShareFreeformDoc` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/freeform-documents/{doc_id}/unshare` | `s.handleUnshareFreeformDoc` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/health` | `s.handleHealth` | `server.go` | public | see suite |
|
||||
| GET | `/api/v1/me/preferences` | `s.handleMePreferences` | `server.go` | handler | see suite |
|
||||
| PUT | `/api/v1/me/preferences` | `s.handleMePreferences` | `server.go` | handler | see suite |
|
||||
| GET | `/api/v1/me/profile` | `s.handleMeProfile` | `server.go` | handler | see suite |
|
||||
| PATCH | `/api/v1/me/profile` | `s.handleMeProfile` | `server.go` | handler | see suite |
|
||||
| PATCH | `/api/v1/notifications/{id}` | `s.handlePatchNotification` | `document_revision_handlers.go` | handler | see suite |
|
||||
| GET | `/api/v1/projects` | `s.handleListProjects` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/projects` | `s.handleCreateProject` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}` | `s.handleGetProjectByID` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/projects/{id}/activation-preview` | `s.handleActivationPreview` | `server.go` | session+project | see suite |
|
||||
| PUT | `/api/v1/projects/{id}/active-workflow` | `s.handleActivateWorkflow` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}/assets` | `s.handleListProjectAssets` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/projects/{id}/assets` | `s.handleUploadProjectAsset` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}/documents` | `s.handleListProjectWorkflowDocuments` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}/lineage` | `s.handleGetProjectLineage` | `server.go` | session+project | see suite |
|
||||
| DELETE | `/api/v1/projects/{id}/members` | `s.handleProjectMembers` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}/members` | `s.handleProjectMembers` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/projects/{id}/members` | `s.handleProjectMembers` | `server.go` | session+project | see suite |
|
||||
| PUT | `/api/v1/projects/{id}/members` | `s.handleProjectMembers` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}/notifications` | `s.handleListProjectNotifications` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}/settings` | `s.handleGetProjectSettings` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/projects/{id}/workflow-instances/activate` | `s.handleActivateWorkflowInstance` | `server.go` | session+project | see suite |
|
||||
| PUT | `/api/v1/projects/{id}/workflow-plan` | `s.handleSaveWorkflowPlan` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}/workflow-plan/default` | `s.handleGetDefaultWorkflowPlan` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}/workflows` | `s.handleListProjectWorkflows` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/projects/{id}/workflows/{workflow_key}/run` | `s.handleRunProjectWorkflow` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/projects/{id}/workflows/{workflow_key}/runs` | `s.handleListProjectWorkflowRuns` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/ready` | `s.handleReadiness` | `server.go` | public | see suite |
|
||||
| POST | `/api/v1/tasks/run` | `s.handleRunTask` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/tasks/run/stream` | `s.handleRunTaskStream` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/tasks/run/stream` | `s.handleRunTaskStream` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/tasks/runs` | `s.handleCreateTaskRun` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/tasks/runs/{run_id}` | `s.handleGetTaskRun` | `server.go` | session+project member (view) | see suite |
|
||||
| POST | `/api/v1/tasks/runs/{run_id}/cancel` | `s.handleCancelTaskRun` | `server.go` | session+run owner or project owner | see suite |
|
||||
| GET | `/api/v1/tasks/runs/{run_id}/events` | `s.handleTaskRunEvents` | `server.go` | session+project member (view) | see suite |
|
||||
| POST | `/api/v1/tasks/runs/{run_id}/resume` | `s.handleResumeTaskRun` | `server.go` | session+run owner or project owner | see suite |
|
||||
| GET | `/api/v1/workflow-instances/{id}` | `s.handleGetWorkflowInstance` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/workflow-instances/{id}/stages/{stage}/advance` | `s.handleAdvanceStage` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/workflow-instances/{id}/stages/{stage}/readiness` | `s.handleGetStageReadiness` | `server.go` | session+project | see suite |
|
||||
| POST | `/api/v1/workflow-instances/{id}/terminate` | `s.handleTerminateWorkflowInstance` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/workflow-instances/{id}/termination-preview` | `s.handleTerminationPreview` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/workflows` | `s.handleListWorkflowDefinitions` | `server.go` | session+project | see suite |
|
||||
| GET | `/api/v1/workflows/catalog` | `s.handleWorkflowCatalog` | `server.go` | session+project | see suite |
|
||||
| GET | `/health` | `s.handleHealth` | `server.go` | public | see suite |
|
||||
| GET | `/ready` | `s.handleReadiness` | `server.go` | public | see suite |
|
||||
| * | `/sse` | `func(w http.ResponseWriter, r *http.Request` | `task_run_idempotent_sse_test.go` | handler | see suite |
|
||||
|
||||
**Total routes:** 133
|
||||
|
||||
## Session interrupt fail-closed
|
||||
|
||||
When IAM/auth store unavailable after session established, protected reads must reject (see `TestAuthStore_SessionInterruptFailClosed`).
|
||||
|
||||
## BUG-11 410 policy
|
||||
|
||||
Product decision 2026-09-16: **retain** `WORKFLOW_SWITCH_API_RETIRED` 410 when governance available; legacy path only when governance unavailable. Not a capability gap.
|
||||
@@ -1,75 +0,0 @@
|
||||
# rdev 研发工作流二期增强 Backlog
|
||||
|
||||
> 来源：[07-研发工作流rdev接入-设计与实施计划](../system-design/project-workflow/07-研发工作流rdev接入-设计与实施计划.md) §8 决策 3——首期 N/A 采用「激活规划期关闭」，以下增强项不阻塞首期交付，**用户要求记录以便随时续推进**。
|
||||
> 创建：2026-09-17。每项建议独立 short-term 任务认领。
|
||||
|
||||
## 优先级排序（建议）
|
||||
|
||||
### R1 N/A 不适用页生成模式（对齐参考项目行为）
|
||||
|
||||
- 现状：skippable 任务在激活规划期由创建者关闭 = 不适用；
|
||||
- 目标：保留任务但可生成「不适用说明页」（完整论述理由而非一句话），仍走审核/批准，再进入下一阶段（参考项目 rdev_software overlay 语义）；
|
||||
- 涉及：manifest 不适用模式标记、bizdev 执行 N/A 生成路径、squad N/A 编排、前端规划 UI「保留但声明不适用」选项；
|
||||
- 验收：软件类任务声明不适用 → 生成完整不适用页 → 审批通过 → 阶段可推进。
|
||||
|
||||
### R2 UR/RS 结构化质量门禁（复用 PM requirements.json 模式）
|
||||
|
||||
- **状态**：✅ **done**（2026-09-19）— `rd_user_needs` / `rd_system_reqs` 在 `QualityGate.Validate` 中检查连续编号、禁止随机抽取、验证准则与正文/JSON 一致。`pm` 的 `system_reqs` 仍走原有检查。
|
||||
- 范围：`rd_user_needs`、`rd_system_reqs`（及 `pm_system_reqs`）输出结构化需求集合；确定性门禁：ID 唯一连续、不随机抽取、缺验证准则拒绝、正文/JSON 不一致拒绝；
|
||||
- 参考先例：`quality.system_reqs.v2`。
|
||||
|
||||
### R3 review_minutes / upload_index 专用确定性门禁
|
||||
|
||||
- **状态**：✅ **done**（2026-09-19）— 评审记录拒绝空洞「同意通过」；附件清单要求索引表与影响分析。`TestRDevQualityGates`。
|
||||
|
||||
- review_minutes（6 个评审记录）：问题-决议-行动项闭环检查（拒绝空洞「同意通过」、行动项无责任人/期限）；
|
||||
- upload_index（7 个附件清单）：附件索引表存在性、缺失影响分析存在性检查；禁止伪造附件内容靠 Accept 纪律 + 门禁抽查「待上传后更新」结论。
|
||||
|
||||
### R4 depends_on 精确血缘与 stale 传播
|
||||
|
||||
- 现状：rd 任务 prior docs 全量注入 + 摘要级血缘；
|
||||
- 目标：per-task upstream 声明表（对齐参考项目 rdev.yaml depends_on：rd_planning_review ← rd_proposal+rd_design_plan、rd_verification_review ← rd_design_vv+rd_risk_report_v 等），上游新版本批准 → 下游 stale 且不能完成；
|
||||
- 参考先例：test_manager 对 approved SR 的 stale 传播（projectworkflow/service.go）。
|
||||
|
||||
### R5 DMR 双记录归档
|
||||
|
||||
- 参考项目 `records: [dhf, dmr]` 的设计输出/转换文档在本仓库无对应物；需评估文档「记录归属」字段扩展 + 归档/导出按 DHF/DMR 分类（本仓库无云盘，先落 docgov 元数据与导出分类）。
|
||||
|
||||
### R6 软件工作流任务键 `sw_` 前缀盘点（并入 P4 或其后）
|
||||
|
||||
- `software_bootstrap`/`software_delivery`（executor `software.doc.v1`）任务键盘点并纳入统一命名空间规约（D12 的遗留尾巴）。
|
||||
|
||||
### R7 高复杂度 regulatory 步注入策略
|
||||
|
||||
- 现状：D7 中 regulatory 按任务清单静态注入；目标：接 `complexity_tier`（complexity_high/medium 分层）动态注入，对齐参考项目 `when: complexity_tier=high`。
|
||||
|
||||
## 依赖关系
|
||||
|
||||
- R2/R3 可并行；R4 依赖 manifest 落地后的 upstream 声明表；R1 独立；R5/R6/R7 低优先级。
|
||||
|
||||
---
|
||||
|
||||
## 模板深度与运行时续批（S1 续批 / S2 / S3）
|
||||
|
||||
> 来源：Kimi 分析方案 + [2026-09-17-rdev-template-depth](../archive/ops/2026-09-17-rdev-template-depth.md) 收口。S0 + S1 首批（14 份）已交付；以下不阻塞本轮合并候选。
|
||||
|
||||
### S1 续批 — 剩余模板专业章节
|
||||
|
||||
- **状态**：✅ **done**（2026-09-17）— 46 份全部同等深度补强；allowlist 60/60；真 PI `rd_planning_review` + `rd_design_vv` PASS
|
||||
- **证据**：[测试报告](../test-reports/2026-09-17-rdev-template-depth-s1-continued-test-report.md)；[short-term](../ops/short-term/2026-09-17-rdev-template-depth-s1-continued.md)
|
||||
|
||||
### S2 — 运行时编排与配置化
|
||||
|
||||
- **状态**：✅ **done**（2026-09-19，`fix/audit-remainder-closeout`）
|
||||
- per-stage 步骤覆盖（相对默认 organize→engineer→draft→review 的阶段差异）
|
||||
- regulatory 步接 `complexity_tier`（与 R7 可合并认领）
|
||||
- 模型去硬编码（配置/环境驱动）
|
||||
- manifest hint + aliases 元数据补齐
|
||||
- **证据**：`TestRDevRegulatoryFollowsComplexityTier`、`TestRDevModelFromEnv`、`TestRDevStageOverrideAndAliases`
|
||||
|
||||
### S3 — overlay 与质量门禁扩面
|
||||
|
||||
- **状态**：部分（2026-09-19）。overlay 与 R2/R3 已落地；P3 真 PI 未做
|
||||
- 轻量 overlay 机制（模板管结构；overlay/运行时管纪律与粒度下限）— done，`configs/overlays/`，`TestRDevWorkspaceWritesOverlay`
|
||||
- R2/R3 专用确定性门禁落地 — done，`TestRDevQualityGates`
|
||||
- P3：三样本真 PI E2E 报告 + CI 四工作流门禁挂钩 — 未做
|
||||
@@ -5,6 +5,6 @@
|
||||
- **B5** 报价模块接入轻量复核与输入范围校验（`internal/quote/`）
|
||||
- **A5/A6** 小队工作流支持非关键步骤降级；并行 trace 序号改单次加锁读-算-写（`internal/squad/`）
|
||||
- **A7** 将中文注释中的已知限制迁移为正式 issue
|
||||
- **D3**（已实现，shadow）摘要引擎语义摘要能力已落地：`SEMANTIC_SUMMARY_SHADOW` 默认 off，见 [FEATURE-MATRIX「语义摘要（D3）」行](../status/FEATURE-MATRIX.md)、[PU6 契约](../ops/long-term/2026-09-16-pu6-semantic-summary-contract.md)（`status: done`）、[W2 真 PI 报告](../test-reports/2026-09-17-w2-semantic-summary-shadow-test-report.md)。`SEMANTIC_SUMMARY_REPLACE` 仍未接线（红线，需独立授权）。本行状态转入 FEATURE-MATRIX 常态跟踪，不再作为独立 backlog 开放项
|
||||
- **D3** 摘要引擎替换为语义摘要（依赖模型接入，需单独评估）（`internal/ctxmgr/summarizer.go`）
|
||||
- **D5** 知识库按环境隔离方案评估（当前三环境共享 KB 为 intentional 架构）
|
||||
- **D7** 对话数据留存期限与敏感字段加密——草案 ADR [2026-09-17-d7-chat-data-retention.md](../adr/2026-09-17-d7-chat-data-retention.md)（`compliance: pending-compliance-signoff`）；[W7 只读盘点](../audit/2026-09-17-d7-data-inventory.md) 未发现基线违规，见 [报告](../test-reports/2026-09-17-w7-d7-inventory-test-report.md)。签字前禁止按 365/180/30 物理删除；本行继续跟踪合规签字进度
|
||||
- **D7** 对话数据留存期限与敏感字段加密（先对齐合规再定技术方案）
|
||||
|
||||
@@ -1,110 +1,94 @@
|
||||
# Herdr 多 Agent 编排 v1.2
|
||||
# Herdr Agent 角色、审批与备援 SSOT
|
||||
|
||||
更新：2026-09-21；owner：Herdr 任务协调者；本轮规范修订 `herdr-v1.2`。本文件是 Herdr 角色、额度、审批与备援的唯一来源，取代原 2026-09-13 路由。实现/核验见[任务记录](../archive/ops/2026-09-21-herdr-orchestration-v12.md)。
|
||||
**更新**: 2026-09-13
|
||||
**owner**: `orchestrator_codex`
|
||||
**status**: active
|
||||
|
||||
## 1. 生效范围与前提
|
||||
本文只管理工程协作终端，不管理产品运行时智能体。通用分支、worktree、mutex、集成槽、密钥和破坏性操作规则仍以仓库根 [AGENTS.md](../../AGENTS.md) 为准。
|
||||
|
||||
**仅在明确使用 Herdr 编排、启动或派发任务时适用本表分工。** 普通 Codex、Claude Code、Cursor 独立会话，以及仅研究/编辑本规范的任务，不自动套用 Cursor 唯一实施通道，也不自动启动多 Agent。通用授权、分支、锁、验证、清理始终遵循 [AGENTS](../../AGENTS.md) 与 [worktree 操作规范](./2026-09-21-agent-worktree-workflow.md)。
|
||||
## 1. 身份边界
|
||||
|
||||
只有 `HERDR_ENV=1` 才能查看/控制当前 Herdr 会话；外部会话可读规范、跑 dry-run 与隔离测试。用户已授权这些客户端自动通过工具请求；不为已授权步骤再等待人工批准。自动审批不产生额外环境、外部写入或破坏性操作授权。
|
||||
| 名称 | 唯一含义 | 禁止混称 |
|
||||
|------|----------|----------|
|
||||
| Herdr PI / `context_pi` | Herdr pane 内运行的 PI CLI，当前目标模型 MiniMax M3，负责工程调研与长上下文分析 | 不代表后端 runner，不作为产品 E2E 证据 |
|
||||
| 产品 PI Agent Runner | Compose/服务端调用的产品执行器；模型与验收要求见 PROJECT | 不参与 Herdr 工程任务路由 |
|
||||
|
||||
Herdr 中的 PI CLI（例如 `context_pi`）是工程协作客户端；Compose 中“产品 PI Agent Runner”是业务执行器。二者不共享验收结论，不修改产品模型配置来满足本表。
|
||||
文档、提示词和 handoff 中禁止只写“PI”；必须写 `context_pi` 或“产品 PI Agent Runner”。
|
||||
|
||||
## 2. 资源与取舍
|
||||
## 2. 稳定角色
|
||||
|
||||
订阅价格与个人额度优先级来自用户本次说明，是预算输入，不是实测余额或供应商无限量承诺。
|
||||
| 逻辑名 | 客户端 / 目标模型 | 主责 | 工作量策略 | 首选备援 |
|
||||
|--------|-------------------|------|------------|----------|
|
||||
| `orchestrator_codex` | Codex / GPT Sol 5.6 | 需求澄清、系统方案、任务拆解、调度、跨模块风险、代码终审、发布判断 | 保留推理容量，原则上不承担大批量机械实现 | `context_kimi`；关键争议才用 `reserve_claude` |
|
||||
| `implementer_cursor` | Cursor / Auto | 前后端实施、测试补齐、重构、浏览器验证、按 checklist 收口 | 主力实施席，承担最大常规工作量 | `implementer_cline` → `verifier_antigravity` → `orchestrator_codex` |
|
||||
| `verifier_antigravity` | Antigravity / Gemini 3.8 Flash | 快速只读排查、测试设计、文档核对、日志归纳、低风险小修 | 低成本高频；不得单独作安全或发布终审 | `implementer_cline` → `implementer_cursor` |
|
||||
| `context_pi` | PI CLI / MiniMax M3 1M | 全仓长上下文扫描、文档/代码交叉研究、候选清单、handoff 压缩 | 长材料首选；结论由 Codex 或 reviewer 复核 | `context_kimi` → `orchestrator_codex` |
|
||||
| `context_kimi` | Kimi Code / Kimi K3 1M | PI 备援、长文档审查、跨文件一致性检查、方案反证 | 额度有限，优先作长上下文备援而非日常实现 | `context_pi` → `orchestrator_codex` |
|
||||
| `implementer_cline` | Cline / GLM 5.3 Flash | 机械实现、测试修复、格式化、重复性迁移、Cursor 备援 | CLI 已可调用；进入主路由前需完成一次隔离 worktree 写验收 | `implementer_cursor` → `verifier_antigravity` |
|
||||
| `reserve_claude` | Claude Code / Sonnet 5 | P0/P1 架构争议、安全关键复核、Codex 失败后的第二强意见 | 额度极少，禁止日常调研、批量实现和首轮测试 | `orchestrator_codex` → `context_kimi` |
|
||||
| `reserve_devin` | Devin / 尚未接入 | 预留长任务自治席 | `standby`，不得派发 | 无 |
|
||||
|
||||
| 资源 | 用户预算 | Herdr 纪律 |
|
||||
|---|---|---|
|
||||
| Cursor Ultra | $200/月，实施优先 | 默认唯一产品代码实施通道；高额度仍监测限流/余额，不自动开启额外付费 |
|
||||
| Qwen 3.8 max/flash | 百炼最高档，充裕 | max 分析、报告、监督判断；flash 例行检查和执行已有测试 |
|
||||
| GLM 5.3/flash | 高档 token plan，充裕 | 规划、执行跟踪、代码审查；模型额度共享时不把两个客户端当两份预算 |
|
||||
| MiniMax M3 | ¥119/月，中等 | 失败归因、二线审查；每个失败问题至多两轮归因，重复失败转交带证据复核 |
|
||||
| Kimi Code | ¥699/月，个人调研/报告优先 | Herdr 默认不用；仅可选正式报告终稿检查，或有理由的应急借用；合计每逻辑任务最多一次 |
|
||||
| Codex / GPT-6 | 稀缺 | 终审仲裁、高歧义与两轮审查仍未解决的争议；不作日常监督/机械实施 |
|
||||
| agy / Antigravity | 最低档，极少 | 轻量杂活与测试想法；耗尽转 flash，不做高频轮询或安全终审 |
|
||||
模型名称来自当前工作区约定；启动脚本不猜测各 CLI 的模型别名。每次新会话由 orchestrator 在首条状态回报中确认实际模型，不一致则停止高风险任务并记录 handoff。
|
||||
|
||||
修正“Cursor 订阅不限量”：官方[用量说明](https://prod.cursor.com/help/models-and-usage/usage-limits)仍描述用量池/限制。其他“充裕”也只是调度优先级，任务开始记录 available/low/exhausted/unknown；unknown 不等于无限。价格不写进程序阈值。
|
||||
## 3. 任务泳道与自动备援顺序
|
||||
|
||||
## 3. 角色、客户端与路由
|
||||
| lane | 适用任务 | 路由顺序 |
|
||||
|------|----------|----------|
|
||||
| `governance` | 方案、拆解、跨模块决策、普通 review | Codex → Kimi → Cursor → Claude |
|
||||
| `critical-review` | 鉴权、安全、迁移、发布 blocker 终审 | Codex → Claude → Kimi |
|
||||
| `implementation` | Go/React/SQL 实施与测试 | Cursor → Cline → Antigravity → Codex |
|
||||
| `ui` | React、交互、Playwright | Cursor → Antigravity → Cline |
|
||||
| `test` | 单测、集成测试、失败定位 | Cursor → Cline → Antigravity |
|
||||
| `fast-check` | 日志、静态核对、文档一致性、小修 | Antigravity → Cline → Cursor |
|
||||
| `long-context` | 全仓/全量文档审读、证据汇总 | PI → Kimi → Codex |
|
||||
|
||||
模型路由基于本机帮助和已配置别名，启动后还须确认实际模型。`pi --list-models` 只证明配置目录可识别，不证明账户余额、远端可用或本任务真实输出质量。
|
||||
Claude 只在 `critical-review` 中作为前排备援；其他 lane 放在最后或不进入路由，以保护额度。Codex 的实现兜底只用于阻塞交付的关键路径。
|
||||
|
||||
| 角色 / lane | 默认 → 备援 | 交付边界 |
|
||||
|---|---|---|
|
||||
| 例行监督 `supervision` | qwen_flash → qwen_max → verifier_antigravity | 读任务/测试/锁状态；阻塞判断交 max，僵局显式 critical-review |
|
||||
| 需求分析 `analysis` | qwen_max → qwen_flash | 可验收需求、歧义、边界；高歧义显式终审升级 |
|
||||
| 规划 `planning` | reviewer_glm → qwen_max → glm_pi | 步骤、依赖、允许写范围、测试计划 |
|
||||
| 执行计划 `execution` | reviewer_glm → qwen_max | 调度、跟踪、核对产物；不与实施者同时改产品代码 |
|
||||
| 实施 `implementation` / `ui` | implementer_cursor | 可运行改动、回归测试；仅明确写入接管理由时追加 reviewer_glm → qwen_max |
|
||||
| 代码审查 `code-review` | reviewer_glm → context_pi | 对冻结 diff 独立审查；两轮未过显式 critical-review |
|
||||
| 系统测试 `test` | qwen_flash → verifier_antigravity | 执行确定性测试命令；不能以“模型判断通过”替代进程退出码与断言 |
|
||||
| 失败归因 `test-analysis` | context_pi → reviewer_glm | 可重现输入、原因、最小修复建议；修复回实施通道 |
|
||||
| 报告 `report` | qwen_max → qwen_flash | max 写交付稿；flash 仅草稿，须回 max 定稿 |
|
||||
| 报告二审 `report-review` | reviewer_glm | max 自审后，GLM 独立查来源/逻辑/未验收声明 |
|
||||
| 可选终稿 `report-final-check` | context_kimi | max 完成正式交付稿后，至多一次，非每任务必经 |
|
||||
| 终审 `critical-review` | orchestrator_codex → reviewer_glm | GPT-6 仲裁；GLM 若是原作者/审查者须独立上下文并补跨模型复核，未解决风险保留 blocked |
|
||||
| 轻量杂活 `fast-check` | verifier_antigravity → qwen_flash | 小范围静态核对和整理 |
|
||||
| 长材料 `long-context` | qwen_max → glm_pi | 相关证据扫描，不默认占 Kimi |
|
||||
| 特例借用 `quota-emergency` | context_kimi | 百炼等故障、任务确需借个人额度；与终稿入口共用一次计数 |
|
||||
## 4. 自动派发和接管协议
|
||||
|
||||
兼容旧 lane `governance` 转到规划 GLM → max，已移除日常 Codex/Kimi 路由。Cline、Devin 和旧 `reserve_claude` 不在 v1.2 活跃路由；Claude Code 是客户端名称，本机路由到 GLM，不把它算作另一份 Claude 高端模型额度。
|
||||
1. Orchestrator 先创建 short-term、认领 mutex、建立独立 worktree；之后才启动或选择 agent。
|
||||
2. 实例必须使用上表逻辑名，且 `cwd` 必须与任务 worktree 完全相同。派发器不会占用名称不规范或其他目录的实例。
|
||||
3. 只向 `idle` / `done` 实例投递。同一 mutex 同时只允许一个执行者写入。
|
||||
4. 以下情况可自动尝试下一个备援：实例不存在、启动前已 blocked、认证失败、明确额度耗尽、客户端在写入前失败。
|
||||
5. Agent 只有在尚未写文件、未运行有副作用命令时，才可返回派发器给出的本次唯一 `HERDR_RETRY:<dispatch-id>:<reason>` 行触发降级。
|
||||
6. `timeout`、`agent_prompt_stalled`、`unknown` 或无终态标记均不能证明任务未执行；派发器必须停止，不得盲目重投。先读取 pane，必要时写 handoff。
|
||||
7. 接管前确认原实例不再 `working`；有部分改动时由原实例或 orchestrator 写 handoff，备援串行续作，不得并发覆盖。
|
||||
8. Review 可由不同 worktree 的多个只读实例并行；写任务仍受 mutex 单写者约束。
|
||||
|
||||
| profile | 标准逻辑名 | 启动选择 |
|
||||
|---|---|---|
|
||||
| claude | reviewer_glm | Claude Code `--model opus`，本机 Opus 别名配置为 GLM 5.3；不修改全局配置 |
|
||||
| codex | orchestrator_codex | 默认已配置 GPT-6；仅角色名称兼容旧脚本，其职责收窄为终审 |
|
||||
| cursor | implementer_cursor | cursor-agent 的已配置模型 |
|
||||
| pi-max | qwen_max | qwen-token-plan-cn / qwen3.8-max |
|
||||
| pi-flash | qwen_flash | qwen-token-plan-cn / qwen3.8-flash |
|
||||
| pi-glm | glm_pi | zai-coding-cn / glm-5.3 |
|
||||
| pi | context_pi | minimax-cn / MiniMax-M3 |
|
||||
| kimi | context_kimi | Kimi Code 已配置模型 |
|
||||
| antigravity | verifier_antigravity | agy 已配置模型 |
|
||||
## 5. 自动审批不是无限授权
|
||||
|
||||
独立上下文审查有价值，但规划和审查都用 GLM 仍可能同源盲点；高风险争议增加 MiniMax/GPT-6 跨模型意见。简单任务采用“实施 → 验证/审查 → 收口”最短路径，不强制走九个角色；大任务按依赖拆分，最多一个产品代码写者/重叠范围，独立 worktree 可并行。
|
||||
统一入口为 [`scripts/herdr-agent-start.sh`](../../scripts/herdr-agent-start.sh)。当前安装版本验证过的参数如下：
|
||||
|
||||
## 4. 预算闸门
|
||||
| profile | 自动审批参数 | 保留的边界 |
|
||||
|---------|--------------|------------|
|
||||
| Claude | `--dangerously-skip-permissions` | 仍受本规范和任务提示约束 |
|
||||
| Codex | `--ask-for-approval never --sandbox workspace-write` | 保留 workspace 沙箱；失败回传模型，不询问人工 |
|
||||
| Cursor | `--force --sandbox enabled --approve-mcps --trust` | 保留 Cursor 沙箱和显式 deny |
|
||||
| Antigravity | `--dangerously-skip-permissions --sandbox` | 保留其终端沙箱 |
|
||||
| PI | `--approve` | 信任项目本地文件；该 CLI 没有独立的逐工具审批开关 |
|
||||
| Kimi | `--auto` | Never Ask 模式 |
|
||||
| Cline | `--tui --auto-approve true` | 所有工具自动批准 |
|
||||
|
||||
- 每任务记录一个不可随子任务/重试变化的 task_id、角色调用、升级原因、审查/归因轮次、实际来源与结果。轮询优先直接读机器状态，只在状态改变或阻塞时调用模型。
|
||||
- Kimi 默认不进入普通分析、代码审查、测试归因或报告撰写备援。协调者在既有授权内判断是否值得调用，显式填 `--kimi-reason`，不用再向用户索取工具批准。
|
||||
- 派发器在发送前向主仓 `.locks/state.sqlite` 的 `herdr_kimi_uses` 原子登记；同一 task_id 两个入口合计 ≤1。发送失败/结果未知也占用，不自动退款，不通过新 task_id 重置。此计数是一次投递，不是模型内部工具轮数或真实账单 token 上限；输入只含最终稿/必要来源，禁止继续发多轮 Kimi。
|
||||
- 个人调研额度告急时，协调者在主仓 `.locks/herdr-kimi.disabled` 留停用标记，所有后续受管 Kimi 派发拒绝；确认恢复后移除此标记。它不控制个人在 Herdr 之外的 Kimi 主业，也不能自动读取个人用量。
|
||||
- Kimi 停用：max 自审 + GLM 二审。GPT-6 耗尽：GLM 复核；仅交付文档可以用尚未使用的 Kimi 终稿检查，不能拿文稿检查顶替代码安全/发布终审。百炼故障先用 GLM/MiniMax 支撑，确需 Kimi 才借用；故障消除即回原通道，不形成新默认。
|
||||
- 机器强制范围是统一派发入口的一次计数；直接在 Kimi pane 手工发问可绕过，禁止据此声称全账户硬限额已完成。MiniMax 轮次/GPT 升级由任务记录管理，尚无跨供应商余额 API。
|
||||
即使客户端不弹确认框，Agent 也不得自行执行：删库/清空数据、强推、删除主干或 worktree、停止 Herdr server、覆盖其他 Agent 未合并改动、泄露密钥、未获用户授权的外部写入。需要新权限时写 handoff/blocker，不把确认框转交给用户逐条点击。
|
||||
|
||||
## 5. 自动通过请求与实际启动
|
||||
## 6. 操作入口
|
||||
|
||||
所有 Herdr 启动均走 [start](../../scripts/herdr-agent-start.sh)；仅影响该次进程参数，**不改个人客户端的全局审批设置**。以下来自本轮安装 CLI `--help`，不是猜测同名产品能力。
|
||||
|
||||
| 客户端 | 参数 | 说明 |
|
||||
|---|---|---|
|
||||
| Claude Code | `--dangerously-skip-permissions --model opus` | 自动通过工具权限，使用用户已配置 GLM 别名 |
|
||||
| Codex | `--ask-for-approval never --sandbox danger-full-access` | 不再等待批准；授权内操作仍须 agentctl/Git 门禁 |
|
||||
| Cursor | `--force --sandbox disabled --approve-mcps --trust` | Run Everything + MCP 自动批准 + workspace trust；显式 deny 仍有效 |
|
||||
| agy | `--dangerously-skip-permissions` | 自动通过工具请求，不再添加旧脚本的限制性 sandbox |
|
||||
| PI CLI | `--approve` + 明确 provider/model | 内置工具本就无逐工具弹窗；该参数处理项目文件信任，不能说它关闭了不存在的权限系统 |
|
||||
| Kimi | `--auto` | Never Ask；`--yolo` 仍可能询问，不替代 auto |
|
||||
|
||||
[Cursor 参数](https://cursor.com/docs/cli/reference/parameters)、[Kimi 参数](https://www.kimi.com/code/docs/en/kimi-code-cli/reference/kimi-command)、[Claude 参数](https://code.claude.com/docs/en/cli-reference)与本机帮助一起核对。CLI 升级后先重新核验 flags；外部认证、显式 deny、企业策略或扩展交互无法由统一参数保证消失，失败写 blocker，不反复向用户弹批准，不擅自清除已有安全规则。
|
||||
在任务 worktree 的 Herdr pane 中启动标准实例：
|
||||
|
||||
```bash
|
||||
# 先用 agentctl 注册 task-id。名称可用 base__短任务后缀，完整长度最多 32。
|
||||
./scripts/herdr-agent-start.sh --dry-run pi-max qwen_max__demo w1:p2
|
||||
./scripts/herdr-agent-start.sh --task task-id pi-max qwen_max__demo w1:p2
|
||||
./scripts/herdr-agent-dispatch.sh --explain report
|
||||
./scripts/herdr-agent-dispatch.sh --task task-id report '根据已提交证据撰写报告'
|
||||
./scripts/herdr-agent-dispatch.sh --task task-id --kimi-reason '正式报告的一次终稿核验' report-final-check '核验最终稿与来源'
|
||||
./scripts/herdr-agent-dispatch.sh --task task-id --implementation-fallback 'Cursor 额度已耗尽，已核对无在途写入' implementation '接续已登记范围'
|
||||
./scripts/herdr-agent-start.sh codex orchestrator_codex <pane-id>
|
||||
./scripts/herdr-agent-start.sh cursor implementer_cursor <pane-id>
|
||||
```
|
||||
|
||||
启动/派发仅接受注册任务的直接 `.worktrees` 工作区；目标 pane/agent cwd 必须匹配。标准名后缀支持不同任务同时有自己的同角色 Agent；同任务同角色出现多个可用实例时拒绝歧义。旧命名实例先由其 owner 完成/交接，不自动抢占、改名或停止。
|
||||
预览某泳道路由，或自动投递：
|
||||
|
||||
## 6. 监督、失败、恢复与交接
|
||||
```bash
|
||||
./scripts/herdr-agent-dispatch.sh --explain implementation
|
||||
./scripts/herdr-agent-dispatch.sh implementation "读取任务文并完成已认领范围，验证后写 handoff。"
|
||||
```
|
||||
|
||||
1. 协调者读取任务与本规范，确认预算、角色、分支、允许写路径、实际客户端/模型和精确 head。启动后核验身份；标准名字只能表达意图，不能证明客户端模型没被手工切换。
|
||||
2. Herdr 的新 pane 不是 `agentctl with` supervisor 的子进程；禁止把短命令租约凭据复制进去。worker 按每条写命令取自己的任务 path 租约，提交另取 git:index；共享 CURRENT/MATRIX 用 docs apply。监督者不长期持有所有资源锁。
|
||||
3. 只投递同任务的 idle/done Agent；已工作/blocked/unknown 不发第二份。等待最多 60 秒；超时只观察，不把超时当未执行或自动终止任务。
|
||||
4. 已选实例的 prompt RPC 出错统一视为可能已发送，不根据输出里出现 quota/auth 字样自动转发。只有已 settled 且返回本轮唯一 HERDR_RETRY 标记、明确未写入/无副作用时才可备援；仍是合作协议，不是任意工具副作用的机器证明。
|
||||
5. 不抢主目录、不切他人分支、不覆盖旧 CURRENT；合入/环境验收由独立协调者按机器锁串行处理。模型返回“完成”不等于测试通过或 dev 已部署。
|
||||
6. 每次交接含冻结 SHA、改动范围、实际验证/缺项、未完成副作用、下一执行者与预算用量。owner 退出并确认文件/进程/祖先证据后再清理；异常现场保留 cleanup_pending，不强删。
|
||||
派发器只处理规范命名且已在线的实例，不擅自创建 pane、不重启 agent、不抢集成槽。缺少实例时由 orchestrator 用启动脚本补齐。
|
||||
|
||||
## 7. 当前可用性基线
|
||||
|
||||
2026-09-13 现场基线：Herdr client/server 0.9.0、协议 22；Claude/Codex/Cursor/Antigravity/PI/Kimi 集成已安装且 current；Cline CLI 3.0.61 可调用，但尚无在线标准命名实例；Devin 尚未接入。在线状态是瞬时信息，派发前必须重新运行 `herdr agent list`。
|
||||
|
||||
@@ -1,22 +0,0 @@
|
||||
---
|
||||
title: "dev 试点：开放编制人兼任总开关"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
---
|
||||
|
||||
# dev 试点：开放编制人兼任总开关
|
||||
|
||||
## 结论
|
||||
|
||||
在运行中的 `agent-dev`（`:8080`，schema 52）经 admin CAS 将 `workflow.allow_author_only_approval` 设为 `true`（revision `0 → 1`）。**未**改默认迁移值；**未**晋升 test/main；test/main 仍保持默认 off。
|
||||
|
||||
## 证据（脱敏）
|
||||
|
||||
- [before-enable.json](../../test-reports/assets/2026-09-17-author-only-pilot/before-enable.json)
|
||||
- [put-enable.txt](../../test-reports/assets/2026-09-17-author-only-pilot/put-enable.txt)
|
||||
- [after-enable.json](../../test-reports/assets/2026-09-17-author-only-pilot/after-enable.json)
|
||||
|
||||
## 关联
|
||||
|
||||
- author-only 收口：[../handoffs/2026-09-17-document-author-only-closeout.md](../handoffs/2026-09-17-document-author-only-closeout.md)
|
||||
@@ -1,133 +0,0 @@
|
||||
# Agent worktree 与 L1 操作规范
|
||||
|
||||
**修订**：`agent-governance-2026-09-21-r1`。来源：[AGENTS](../../AGENTS.md)、[规范登记](./2026-09-21-policy-registry.md)。工具为 `scripts/agentctl`（Python 标准库，Linux 本机），协议 v1；实际安装与验证见[实施任务](../archive/ops/2026-09-21-agent-governance-implementation.md)。
|
||||
|
||||
本规范约束合作 Agent 的统一操作入口和 Git 提交/引用门禁。任意同 UID shell、修改管理器或跳过 hooks 仍可绕过；不把 L1 宣称为 OS 沙箱。共享服务配置与产品数据库不属于任务素材。
|
||||
|
||||
## 1. 首次启用与旧锁兼容
|
||||
|
||||
由获授权协调者在干净主目录 dev 执行一次：
|
||||
|
||||
```bash
|
||||
./scripts/agentctl init
|
||||
./scripts/agentctl hooks install
|
||||
./scripts/agentctl doctor
|
||||
```
|
||||
|
||||
`init` 只在主目录运行；明确初始化主仓唯一 `.locks/state.sqlite` 和身份文件，不能从 linked worktree 自动建立第二套状态。现有 `.git/agent-control/dev-integration.lock` 保留，用硬链接使 `.locks/os/dev-integration.lock` 指向同一 inode；旧操作未结束、旧锁忙或新旧身份不符均拒绝迁移。状态目录整体被 Git/Docker 忽略，禁止自行删锁/删库/复制 WAL/重建空目录。
|
||||
|
||||
`status`、`doctor` 只读，未初始化返回结构化错误而不创建文件；每次打开管理库都会核对旧新 dev 锁身份。`hooks install` 拒绝覆盖外来 hook 或既有自定义 hooksPath；不能把别人的保护脚本直接替换掉。启用前必须完成主目录集成，并让旧任务在下一次写/集成前读取本修订。
|
||||
|
||||
## 2. 创建任务并登记范围
|
||||
|
||||
从任一同仓工作区使用已验证工具：
|
||||
|
||||
```bash
|
||||
./scripts/agent-worktree.sh create feature/task-id
|
||||
# 输出 worktree 路径和本次实际 base_dev_sha；所有新任务显式来自当前 dev。
|
||||
cd .worktrees/task-id
|
||||
../../scripts/agentctl task register --id task-id --owner Codex --scope internal/example --scope .doc
|
||||
```
|
||||
|
||||
示例名称、范围应替换为实际 task_id 与最小写范围；要维护 CURRENT 自己的行，task_id 与该行 task 字段一致。工具定位唯一主仓，不在任务区嵌套 `.worktrees`。分支只接受 `feature/<task-id>` 或 `fix/<task-id>`，重名/路径占用/符号链接均拒绝。旧目录清理由 Git 真实映射定位，不按名字猜测。
|
||||
|
||||
任务登记保存 owner、分支、worktree、源提交、允许写路径和能力；不隐式扩展已有登记。任务 scope 是允许范围，实际写许可由每次 `with` 获取。文件路径为仓库相对路径或目录前缀，`.` 表示全仓源文件范围，仅供明确需要的治理/集成任务；不能登记 `.git`、`.locks` 或运行数据作为源码写范围。
|
||||
|
||||
特殊能力按任务授权登记，例如 `--capability docs:publish`、`git:dev`、`env:dev`；test/main/shared 能力不能由普通 dev 任务顺带申请。能力字段记录的是已授予的任务边界，不自行产生用户授权。
|
||||
|
||||
## 3. 写操作与长驻客户端
|
||||
|
||||
```bash
|
||||
# 每次命令包裹完整操作；不是先拿一次 fd 锁，再换一个 shell 假定仍持有。
|
||||
../../scripts/agentctl with --task task-id --resource path:internal/example -- <command> <args>
|
||||
|
||||
# Git 暂存/提交用同一 supervisor 包住，另持任务自身的 index 锁。
|
||||
../../scripts/agentctl with --task task-id --resource path:internal/example --resource git:index -- <git-write-script>
|
||||
```
|
||||
|
||||
`with` 可包裹任务客户端或包含多条命令的受控脚本；不必由模型手工续租。它是非重入操作锁：不在持有某资源的 child 中再次申请同一资源。长期 worker 只持实施路径，不长期占共享文档/集成资源；提交、共享文档更新和 task close 由协调者在 worker 退出后以新的短操作完成。需要自主逐步提交的客户端使用逐命令 `with`，不套全任务的大锁。默认 child cwd 为登记的任务 worktree，只有明确环境/集成操作可选择主目录。代码审查、查询或读取不可变 Git 快照不必持写锁。`--shared` 仅供稳定读取，不能通过写操作 guard。
|
||||
|
||||
锁资源支持目录层级冲突；多个资源一次申请、全部获准才启动 child。同任务不同路径可并发；index 单独排他。每个执行器持工作区生命周期 SH 锁，删除必须取得 EX，防止检查完清理后又进入新任务。`--wait` 为有限秒数，默认立即拒绝冲突；失败给 request_id/holder，可做不冲突工作或用原 request_id 重试。没有后台无限排队服务，也不需要常驻产品容器。
|
||||
|
||||
会话身份包含 PID/start-time/boot、操作代次与 epoch；继承凭据只对真实 supervisor 的子孙进程有效。锁不会因超时自动转给别人；异常进程和未完成 operation 保留恢复状态。SIGINT/SIGTERM、孤儿子进程和未完成文档写回按实现的恢复门禁处理。
|
||||
|
||||
## 4. 共享文档：短锁、行版本和写回收据
|
||||
|
||||
当前提供 CURRENT 与 FEATURE-MATRIX 的受控更新；普通任务只改 CURRENT 中自己的 task 行，不能覆盖别人的状态或自行释放槽位。模块行使用现有唯一模块名称定位；重复/歧义 ID 拒绝。发布入口不是对旧文件的整份覆盖。
|
||||
|
||||
```bash
|
||||
../../scripts/agentctl docs snapshot --file .doc/ops/CURRENT.md --record task-id
|
||||
../../scripts/agentctl docs apply --task task-id --request /tmp/task-state-delta.json
|
||||
```
|
||||
|
||||
请求格式（示意，hash 使用 snapshot 的实际结果）：
|
||||
|
||||
```json
|
||||
{"request_id":"task-id-state-1","changes":[{"file":".doc/ops/CURRENT.md","record_id":"task-id","expected_sha256":"<old-row-hash>","replacement":"| Codex | task-id | feature/task-id | .worktrees/task-id | module | in_progress |"}]}
|
||||
```
|
||||
|
||||
新增行使用 `expected_sha256: null`。必须登记目标文件 scope 和 `docs:publish` 能力。工具在同一个短租约中重新读取、行级 CAS、保留其他内容、记录 operation、原子替换并保存文件 hash 收据。同一 request_id 同一请求重放不会重复写；更换载荷不能复用 ID。存在未经管理的本地共享文档改动时拒绝将它们混入收据，先保留现场并对齐正确基线。
|
||||
|
||||
多个文档先全部预检再写；中断留下可恢复的前后内容，不能把两个 rename 声称为任意文件读取者的一次原子发布。以同一 Git 提交作为持久发布边界。文件正常更新后，在自己的 task worktree 持对应 path + git:index 租约暂存/提交；hook 检查暂存文件 hash 与已生成收据一致。
|
||||
|
||||
FEATURE-MATRIX 从未完成升为 done 需要 `docs:approve` 和已在该任务 HEAD 提交的 `evidence` 路径，不能因任务退出自动关闭能力。仅有工具日志不等于产品验收。文档布局/焦点维护使用显式 `docs:admin` 与 `record_id: "@document"` 的整文档 hash CAS；它不能修改 CURRENT 集成槽位，也不能绕过模块完成证据规则。普通任务没有此入口权限。
|
||||
|
||||
## 5. 验证与候选集成
|
||||
|
||||
按[验证契约](./2026-09-21-validation-contract.md)选真实检查。工程工具自测入口：
|
||||
|
||||
```bash
|
||||
python3 -B -m unittest discover -s scripts/tests -p 'test_*.py' -v
|
||||
```
|
||||
|
||||
冻结待交付提交 T。从最新 dev D 创建独立 `feature/integrate-<id>` 候选工作区并登记，合并 T 形成 `--no-ff` 节点 M；候选的两名父提交中第一名必须是 D。发生业务冲突回原任务修复。
|
||||
|
||||
```bash
|
||||
# 在候选工作区：登记 candidate-id、实际写范围和 git:dev 能力。
|
||||
../../scripts/agentctl validate --task candidate-id -- <verification-command> <args>
|
||||
../../scripts/agentctl integrate --task candidate-id --expected-dev <D>
|
||||
```
|
||||
|
||||
validate 要求干净树、记录精确 HEAD 与命令摘要；必要的实际命令/测试输出仍保存在任务验收证据。不能拿 `true` 替代验证契约。integrate 要求对应验证收据、干净主目录 dev、基线仍为 D，再接收同一 M；dev 前进则重建候选并重验，不能重用陈旧 PASS。
|
||||
|
||||
本地 hooks 检查主干直接提交、task 身份、暂存 scope/实际租约、共享文档收据与敏感运行路径；引用事务门禁复用同一候选父节点和 task-bound 验证检查；dev 还要求由 integrate 创建、绑定 old/new 的操作身份，不能借 with 的租约直接快进或 update-ref 绕过。test/main 仍需要各自明确授权的候选与能力。所有管理工具始终以主仓已生效版本为准，旧 worktree 的旧脚本不能代表新协议已接入。
|
||||
|
||||
## 6. 共享服务与镜像
|
||||
|
||||
```bash
|
||||
# task 已获 env:dev；从主目录执行，源码须干净。
|
||||
./scripts/agentctl with --task task-id --resource env:dev --cwd <main-root> -- ./scripts/env-service.sh dev rebuild
|
||||
```
|
||||
|
||||
服务写动作在任何配置创建、网络或 Docker 调用前检查：调用目录与脚本目录都属于主目录、主分支为 dev、当前执行身份与目标环境租约有效。`all` 必须显式持有四个环境资源；不为方便隐式扩大权限。`status/ps/logs` 不初始化 env/data，也不要求写租约。
|
||||
|
||||
`candidate-images-build.sh --commit SHA` 要求实际源码 HEAD==SHA 且源码干净；仅允许现有 nightly 的固定 promotion-receipts 目录内未跟踪证据。它从该提交 `git archive` 到私有临时目录，Dockerfile 和上下文均来自不可变导出，不读取随后被其他操作修改的工作树或未跟踪证据。清单记录 source_tree/source_context；临时目录在退出时删除。镜像清单通过临时文件/fsync/rename 发布，避免截断 receipt 被当作完整证据。制品与报告版本分别记录；restart 不是新代码部署证明。
|
||||
|
||||
影响产品运行的变更合入后按授权更新 dev，核对实际镜像、挂载、schema、health/ready 与受影响业务。普通工程规范与本地治理工具更新无需重建产品容器。使用共享 dev 的长 E2E 持有环境租约到结束，不能让另一部署改变验收对象。
|
||||
|
||||
## 7. 查询、恢复与冻结
|
||||
|
||||
```bash
|
||||
./scripts/agentctl status
|
||||
./scripts/agentctl operation <run-id>
|
||||
./scripts/agentctl recover --run <run-id> --reason '<现场检查与恢复依据>'
|
||||
```
|
||||
|
||||
已结束且结果明确的请求可按 ID 查询；busy 不证明旧操作死亡。recover 仅在原 supervisor 和子进程组均已消失、物理锁可获得时继续；文档现场必须匹配该 operation 的原/目标内容，第三方变化则停止。外部 Docker/Git 未知结果必须先核对现场，理由写入恢复记录；管理器不能自动撤销已经发生的外部副作用。
|
||||
|
||||
必要维护可用 freeze/unfreeze 对已授权资源显式冻结，带 task 与 reason；有效持有者也不能绕过冻结。不能删除锁文件“解锁”，也不能恢复一份旧库后把旧租约自动标 active。损坏、身份变化、文件系统异常时停止受保护写入并交接。
|
||||
|
||||
## 8. 收口与清理
|
||||
|
||||
任务状态、集成、部署、远端同步和 cleanup 分别记录，见[收口清单](./templates/session-close-checklist.md)。命令结束不等于任务完成；task close 会拒绝仍有运行或待恢复 operation 的任务。
|
||||
|
||||
```bash
|
||||
./scripts/agentctl task close --id task-id --status done
|
||||
./scripts/agent-worktree.sh remove feature/task-id --delete-branch
|
||||
```
|
||||
|
||||
清理由目录外的维护者执行，核对实际 Git 映射、dev 祖先、所有证据、tracked/untracked/ignored 文件、未完成 Git 操作、registry、生命周期锁和使用目录的进程。只用普通 remove/-d，拒绝时保留 cleanup_pending 和复查责任，不换成强制删除。
|
||||
|
||||
**本机限制**：无法读取某些同 UID 进程 cwd 时，工具不能证明其未使用目录，故保留 cleanup_pending；只有明确识别的 OS 用户 systemd 管理进程有诊断性例外。测试中的 3 个删除正例仅替换 `/proc` 枚举以模拟可见主机，其余 Git/锁/文件条件为真实执行；可见占用、未知不可读、未合入、脏文件与活跃登记的拒绝另有真实/针对性测试。不要把这项限制转成跳过检查的通用开关。
|
||||
|
||||
保护任务、旧 detached 工作区和非本次产物不自动清理。用户未要求 push 时仅本地提交/合入；用户已要求时再按授权同步并核对远端引用。
|
||||
@@ -1,29 +0,0 @@
|
||||
# Agent 规范来源与生效登记
|
||||
|
||||
## 生命周期与权威
|
||||
|
||||
`proposed → approved → active → deprecated` 是规则生命周期；与任务的 `planned/in_progress/blocked/done/cancelled` 分开。`manual/enforced` 是工具执行能力，独立于规则状态。规则获批准不证明脚本已经强制执行。
|
||||
|
||||
本轮修订 ID：`agent-governance-2026-09-21-r1`。owner：`orchestrator_codex`。批准依据：[规范审查](../audit/2026-09-21-agent-policy-review.md) R01–R10 与用户后续实施授权，具体授权回链由[实施任务](../archive/ops/2026-09-21-agent-governance-implementation.md)保存；审查原文保留历史“待采纳”语境，不改写成执行证据。
|
||||
|
||||
本轮规则已通过 `7e9317b849e0696e110bac5b27749861178d7e3d` 合入 dev 并为 `active`；**包含本修订的受控 dev 集成提交**是 `effective_commit`，从该提交进入 dev 后为 `active`。集成者在实施任务记录完整 SHA 与验证证据，避免自引用提交散列。读取时先核对该集成提交是否为当前 dev 祖先；尚未集成的规则不能冒充全仓已生效。任务记录读取的 dev SHA 和修订 ID；旧任务集成前比较规则变化，只按已生效规则补齐适用条件。
|
||||
|
||||
| 唯一来源 | 范围 | 本轮 revision/state | owner | 生效提交 |
|
||||
|---|---|---|---|---|
|
||||
| [AGENTS](../../AGENTS.md) | 任务分级、授权、安全、Git/收口硬边界 | r1 / active | orchestrator_codex | 本修订 dev 集成提交 |
|
||||
| [PROJECT](../../PROJECT.md) | 仓库地图、环境、工具与模块入口 | r1 / active | orchestrator_codex | 同上 |
|
||||
| [验证契约](./2026-09-21-validation-contract.md) | 测试范围、精确 PI 用例与报告 | r1 / active | orchestrator_codex | 同上 |
|
||||
| [worktree 操作规范](./2026-09-21-agent-worktree-workflow.md) | 创建、租约、共享文档、候选、环境、恢复、清理 | 本轮更新 active；既有规则按历史集成记录 | orchestrator_codex | 本轮实施任务及既有历史交接 |
|
||||
| [Herdr roster](./2026-09-13-herdr-agent-roster.md) | 角色与备援；实际模型/可用性须重新核验 | 既有规则 active；本轮澄清 active | orchestrator_codex | Git 历史及本轮实施任务 |
|
||||
|
||||
客户端入口仅指向上述来源；不独立制定第二套测试、提交或凭证规则。外层系统约束及当前用户授权优先，内部冲突按 AGENTS 硬边界、PROJECT 项目细则、专门操作流程的职责解决；仍无法同时满足时记录冲突并请求范围决策。
|
||||
|
||||
## 能力与证据登记
|
||||
|
||||
具体工具版本、已验收能力与不覆盖范围由 [操作规范](./2026-09-21-agent-worktree-workflow.md) 和实施任务中的真实负例验收记录定义。文档/脚本存在不等于 `enforced`：只有指定版本入口及其测试证明的边界可记 enforced。普通 prose、未接入 hooks、绕过入口的直接文件修改、跨机器权限隔离不得因此声称已被强制。
|
||||
|
||||
CURRENT 是带时间的活跃协调快照；Git/机器状态用于核验实际分支、锁与进程，FEATURE-MATRIX 是能力声明，gap-matrix 是发布门禁。审计、方案、历史报告和较新日期均不能自行覆盖上述权威。保留每条结论的范围、提交、环境与日期，避免把旧的通过结论当作当前运行事实。
|
||||
|
||||
## Herdr v1.2 局部修订
|
||||
|
||||
用户已授权采纳经研究修正的资源分工与自动审批。Herdr roster 的角色/额度/客户端参数由 `herdr-v1.2` 取代旧路由，仅在明确使用 Herdr 时激活，不扩展通用会话工作流。具体来源、验证与生效集成见[本轮任务](../archive/ops/2026-09-21-herdr-orchestration-v12.md)。已通过 dev 合并提交 `8c5e3477585fe27a485343dac97a670d95cf8905` 生效；profile/dry-run、入口保护和 Kimi 原子计数有隔离验收，真实 Herdr pane 启动未在本轮执行，不将其记为已实测。
|
||||
@@ -1,65 +0,0 @@
|
||||
# 按变更范围选择验证与证据
|
||||
|
||||
规则状态、owner 与生效条件见 [规范登记](./2026-09-21-policy-registry.md)。本文件是项目验证范围和报告要求的唯一来源；客户端仅引用。执行共享环境测试前，先满足 [操作规范](./2026-09-21-agent-worktree-workflow.md) 的授权、环境身份和持锁条件。
|
||||
|
||||
## 验证矩阵
|
||||
|
||||
| 变更范围 | 必需验证 | 不足以验收的证据 |
|
||||
|---|---|---|
|
||||
| 纯规范/普通文档 | diff、相对链接、状态、所有入口指令一致性 | 未核对来源的文案结论 |
|
||||
| 治理脚本 | 临时 Git 仓库中的真实分支/锁/并发/异常退出与拒绝路径 | 仅语法检查或 stub |
|
||||
| Go/接口 | 对应单测；`./scripts/arch-check.sh --mode block`、`go vet ./...`、`go test -short ./...`；受影响 PG 和鉴权负例 | short 测试替代被跳过的 PG/真实链路 |
|
||||
| 前端 | `web/` 中 `npm test`、`npm run build`；受影响交互的真实浏览器验证 | API 直调替代 UI 操作 |
|
||||
| 迁移/运行配置 | 独立环境升级、兼容性、回退/前滚条件及就绪验证 | 重启/health 替代版本与持久性证据 |
|
||||
| 产品 Agent/工作流（含运行模板/提示词） | 受影响真实产品 PI Agent Runner 链路；对应用户流程、持久状态和 UI | stub、SKIP、测试名未匹配、仅健康检查 |
|
||||
|
||||
多类变更取并集。按 [模块开发标准](../system-design/2026-09-20-module-development-standards.md) 追加边界与 registry parity 等范围门禁。开发阶段可用 stub；交付验收不能冒充真实执行。纯文档无需产品 PI 或全量 Go，也不为形式重建服务。
|
||||
|
||||
## 产品 PI 基线与精确追加
|
||||
|
||||
优先入口：`./scripts/run-nightly-real-pi.sh`。调用前核验并从获授权配置提供（不在命令/报告贴凭证值）：
|
||||
|
||||
- 独立可写 `TEST_DATABASE_URL`，不得指向真实生产业务库；确认 Runner 与测试所需工作区/`DATA_DIR` 挂载相容。
|
||||
- `PI_AGENT_RUNNER_URL` 和 `PI_AGENT_RUNNER_AUTH_TOKEN` / `RUNNER_AUTH_TOKEN`；真实 Runner 可访问。
|
||||
- 共享 KB 的授权连接与必要凭证；正常验收要求在线。`KB_ALLOW_OFFLINE=1` 只证明显式降级场景。
|
||||
- 目标环境批准的实际模型、协议及制品；通过 `PI_AGENT_MODEL` 传入批准值并比对 Runner 实际配置。脚本默认值不构成批准，也不证明实际模型。
|
||||
- 脚本可能构建候选镜像、写 promotion receipt；须满足构建身份/授权条件。`NIGHTLY_SKIP_IMAGE_BUILD=1` 不能补足缺失的制品摘要证据。
|
||||
|
||||
脚本当前筛选 **五项**（U8 + 四条工作流治理链）：
|
||||
|
||||
```text
|
||||
TestMultiIntentU8_RealPI_ConfirmGenerate_PG
|
||||
TestWorkflowGovernance_PiAgent_PG_FullChain
|
||||
TestWorkflowGovernance_PiAgent_PG_ProductManager_FullChain
|
||||
TestWorkflowGovernance_PiAgent_PG_TestManager_FullChain
|
||||
TestWorkflowGovernance_PiAgent_PG_FullNoneMixedChain
|
||||
```
|
||||
|
||||
它覆盖 main / product_manager / test_manager / FullNone 四条工作流治理链，但**不是**「全部工作流通过」，也不含 rdev P3 Go 顶层（rdev 仍用 Python 三样本 harness）。按变更范围追加精确名称，例如（前提条件已核验，且已处于相应环境执行租约/独立环境）：
|
||||
|
||||
```bash
|
||||
go test -count=1 -timeout 2h -v ./internal/server/ -run '^TestPiAgent_FullLifecycle_MultiRole_RealWorld_E2E$'
|
||||
go test -count=1 -timeout 90m -v ./internal/server/ -run '^TestWorkflowGovernance_PiAgent_PG_(FullChain|ProductManager_FullChain|TestManager_FullChain)$'
|
||||
```
|
||||
|
||||
当前源码前提：上述 PG/U8 用例的 `piAgentRunnerHealthy` 预检固定访问 `127.0.0.1:18865`，不能仅设置其他 Runner URL 就假定能执行；FullLifecycle 配置写死 `MiniMax-M3` 且使用临时 DataDir/内存模式，不能用它单独证明 PG 持久性，也不能声称 `PI_AGENT_MODEL` 已改变该用例模型。执行前确认这些条件符合目标环境批准范围；不符时记录缺项并安排相应测试适配，不静默换模型或把 SKIP 当验收。
|
||||
|
||||
测试筛选区分大小写；`-run 'PI'` 不能选择名称中的 `PiAgent`。追加用例先读其环境前提；FullLifecycle 中 `RUN_FULL_ADHOC_WBS` 与 `RUN_HEAVY_STAGES` 控制额外段，不能把默认未跑段报为已覆盖。普通 PG 用例同样以源码中的精确名称/前提为准。
|
||||
|
||||
运行前列 `expected_tests`（含必须子场景），运行后逐项对照执行、PASS、FAIL、SKIP、未匹配及重试。退出码 0 或 nightly receipt `pass` 不能替代该对照：基线脚本逐项核对五个预期顶层测试；额外子场景/用例仍须逐项核验。缺项不记 PASS，基础设施问题记录 blocker/infra_fail。保留首轮与重试关系，不隐藏失败。
|
||||
|
||||
## 模型与环境证据
|
||||
|
||||
模型以目标环境批准配置为准；dev/test/main 的 Compose 默认值可能不同，不能将某个模型全局写成验收条件。每次记录目标环境、源码 SHA、镜像/制品摘要、schema、Runner 实际模型/协议、配置来源与核验时间；仅有环境变量不能证明实际值。发现不符先查明并记录，不为满足文档自行换模型。不得用 Herdr `context_pi` 的模型信息替代产品 Runner。
|
||||
|
||||
共享环境的长 E2E 持锁至结束；无权使用该环境则在独立固定环境执行。制品/候选变更后重新确认适用证据，不把旧提交 PASS 搬到新提交。
|
||||
|
||||
## 报告与真实性
|
||||
|
||||
小型文档/脚本任务可以在主文档设验证节；独立报告放 `.doc/test-reports/YYYY-MM-DD-<slug>-test-report.md`，附件放 `.doc/test-reports/assets/<report-slug>/`。任何层级至少记录：范围、被测 SHA、实际命令、环境、预期与实际、判定、证据链接、缺项/风险。命令包含秘密时记录参数名与脱敏方式，不记录值。
|
||||
|
||||
跨模块/业务交付使用完整报告：背景、目标、方案/环境、预期、逐例实际结果与耗时、实际执行套件汇总、结论与剩余条件。套件汇总只列本次适用并实际运行的检查，不无条件要求全量 Go。声明 PASS 必须有对应真实输入/输出或足够判定的真实片段；来源与结论可核实，脱敏不得改写结果。无需提交原始完整日志、个人信息、业务正文或秘密截图。记下删减/脱敏范围，唯一证据清理前先安全归档。
|
||||
|
||||
## 工程工具验收补充
|
||||
|
||||
本地协调与运维守卫使用 `python3 -B -m unittest discover -s scripts/tests -p 'test_*.py' -v`，在临时真实 Git/SQLite/进程环境执行；Docker 守卫测试使用受控目标记录调用，不重建共享服务。nightly 入口现在核对最终尝试日志中五个预期顶层测试均恰好执行且 PASS；零用例、部分 SKIP 或重复拼接证据均不能生成 PASS 收据。该日志核验不是本轮执行了产品 PI 的声明。
|
||||
+149
-30
@@ -1,52 +1,171 @@
|
||||
# 当前焦点
|
||||
|
||||
**更新**：2026-09-22（dev 门禁复验与 test 晋升收口）。此文件是协调快照；实际分支、进程、执行租约以机器核验为准。能力和发布结论分别见 [FEATURE-MATRIX](../status/FEATURE-MATRIX.md) / [gap-matrix](../remediation/gap-matrix.md)。
|
||||
|
||||
手工 CAS 前：本 macOS 宿主 `docs apply`/`with`/`validate`/`integrate` 因 `/proc` 不可用；本轮文档与环境写采用手工等效（见任务例外登记）。
|
||||
**更新**: 2026-09-16
|
||||
**production_ready**: yes（门禁 B1–B4 已签；dev/test/main `schema_version=47`。不把 fallback change report 写成完整 PI）
|
||||
|
||||
## 焦点
|
||||
|
||||
1. **dev→test 已晋升**：`origin/dev@591ea601`（schema 61 门禁绿）；`origin/test@83c6a12a` + tag `rc-v1.1.0-beta.1`；test 环境 health schema=61、Runner `MiniMax-M3`。[报告](../test-reports/2026-09-22-dev-gate-and-test-promotion-test-report.md)。
|
||||
2. **本任务 cleanup=pending**：feature / integrate / promote-test worktrees 待独立维护者按门禁复查后清理；不强删。
|
||||
3. **Agent 规范与 L1 门禁**：R01–R10、共享 .locks 已启用；本机 macOS 上租约路径不可用，受测 Linux 主机仍 enforced。
|
||||
1. **MATRIX 深度测试 + 晋升 test**：`feature/matrix-deep-test-promote-test` → `rc-v1.0.0-beta.2`
|
||||
2. **首发后 backlog**：多意图 U9–U12、软件项目自举、FAV、完整 PI change-report 叙事
|
||||
3. **MULTI-INTENT HITL**：核心 U1–U8 已合入；U9–U12 不阻塞首版
|
||||
|
||||
## 并行认领
|
||||
|
||||
| owner | task | branch | worktree | mutex | status |
|
||||
|---|---|---|---|---|---|
|
||||
| Cursor | 2026-09-22-status-reconcile | feature/status-reconcile-2026-09-22 | .worktrees/status-reconcile-2026-09-22 | ops-status-reconcile | done |
|
||||
| Cursor | 2026-09-22-dev-prod-ready-test-promotion | feature/dev-prod-ready-test-promotion-2026-09-22 | .worktrees/dev-prod-ready-test-promotion-2026-09-22 | dev-runtime-migration+release-gate+test-promotion | done |
|
||||
| Cursor | integrate-dev-prod-ready-test-promotion-2026-09-22 | feature/integrate-dev-prod-ready-test-promotion-2026-09-22 | .worktrees/integrate-dev-prod-ready-test-promotion-2026-09-22 | git:dev | done |
|
||||
| Cursor | promote-test-2026-09-22 | feature/promote-test-2026-09-22 | .worktrees/promote-test-2026-09-22 | git:test | done |
|
||||
| Codex | 2026-09-21-agent-workflow-governance-adoption | feature/agent-workflow-governance-plan | （本机 clone 后不存在） | agent-workflow-governance | done |
|
||||
| Cline | 2026-09-16-partial-deferred-completion | docs/partial-deferred-completion-plan | - | architecture-docs | in_progress |
|
||||
|-------|------|--------|----------|-------|--------|
|
||||
| Cursor-Auto | 2026-09-16-matrix-deep-test-promote-test | feature/matrix-deep-test-promote-test | - | infra | in_progress |
|
||||
| Cursor-Auto | 2026-09-16-production-ready-gates | docs/production-ready-flip | - | ci | done |
|
||||
| Cursor-Auto | 2026-09-16-demo-seed-pollution | fix/demo-data-pollution-web | - | web | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u8-task-generate | feature/multi-intent-u8-task-generate | - | intent-plan | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u7-auto-read | feature/multi-intent-u7-auto-read | - | intent-plan | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u6-web-cards | feature/multi-intent-u6-web-cards | - | web | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u5-decision-api | feature/multi-intent-u5-decision-api | - | intent-plan | done |
|
||||
| Cursor | 2026-09-16-multi-intent-u4-outbox-projection | feature/multi-intent-u4-outbox-projection | - | events | done |
|
||||
| Cursor | 2026-09-15-multi-intent-u3-intentflow-pg | feature/multi-intent-u3-intentflow-pg | - | intent-plan | done |
|
||||
| Cursor | 2026-09-15-multi-intent-u2-segmenter | feature/multi-intent-u2-segmenter | - | intent | done |
|
||||
| Cursor | 2026-09-15-multi-intent-u1-contracts | feature/multi-intent-u1-contracts | - | architecture-docs | done |
|
||||
| Cursor | app-composition-u11-u12 | feature/app-composition-u11-u12 | - | app | done |
|
||||
| Cursor | chatlog-contextasm-u10 | feature/chatlog-contextasm-u10 | - | chat | done |
|
||||
| Cursor | chat-history-refresh-remediation | fix/chat-history-refresh | - | chat | done |
|
||||
| Cursor | dataset-lifecycle-u9 | feature/dataset-lifecycle-u9 | - | dataset | done |
|
||||
| Cursor | taskrun-runmanifest-u8 | feature/taskrun-runmanifest | - | taskrun | done |
|
||||
| Cursor | document-reliability-m1-live-and-m2 | refactor/document-reliability-pilot | - | workspace | done |
|
||||
| Codex | module-decoupling-remediation-plan | feature/module-decoupling-remediation | - | architecture-docs | done |
|
||||
| Codex | module-decoupling-phase2-plan-review | docs/module-decoupling-ipc-assessment | - | architecture-docs | done |
|
||||
| Cursor | module-decoupling-phase2-docs | feature/module-decoupling-phase2-docs | - | architecture-docs | done |
|
||||
| verifier_antigravity | controlled-content-ui-acceptance | fix/controlled-content-ui-acceptance | - | document-content-ui-acceptance | done |
|
||||
| implementer_cursor | controlled-content-canonical-hash | fix/controlled-content-canonical-hash | - | docgov | done |
|
||||
| Codex | project143-controlled-content-404-diagnosis | fix/project143-controlled-content-404-diagnosis | - | docgov-content-diagnosis | done |
|
||||
| Codex | software-project-bootstrap-plan | feature/software-project-bootstrap-plan | - | workflow-design | done |
|
||||
| Codex | conversation-intent-runtime-state | fix/conversation-intent-state | - | intent | done |
|
||||
| Cursor | conversation-intent-runtime-state | docs/conversation-intent-dual-tab | - | intent | done |
|
||||
| Cursor | document-revision-wave1-6-implementation | feature/document-revision-management | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-runtime-ui03 | fix/document-revision-runtime-ui03 | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-sse-idempotency | fix/document-revision-sse-idempotency | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-active-doc-routing | fix/document-revision-active-doc-routing | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-quality-context | fix/document-revision-quality-context | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-e2e-pending-flow | fix/document-revision-e2e-pending-flow | - | pending-report-ui | done |
|
||||
| Cursor-Auto | document-revision-e2e-reject-routing | fix/document-revision-e2e-reject-routing | - | document-revision-runtime-ui | done |
|
||||
| Cursor-Auto | document-revision-e2e-block-selector | fix/document-revision-e2e-block-selector | - | document-revision-block-selector | done |
|
||||
| Cursor-Auto | document-revision-e2e-save-selector | fix/document-revision-e2e-save-selector | - | document-revision-save-selector | done |
|
||||
| Cursor-Auto | document-revision-e2e-overlay-selector | fix/document-revision-e2e-overlay-selector | - | document-revision-overlay-selector | done |
|
||||
| Cursor-Auto | document-revision-e2e-overlay-transition | fix/document-revision-e2e-overlay-transition | - | document-revision-overlay-transition | done |
|
||||
| Cursor-Auto | document-revision-second-doc-routing-lease | fix/document-revision-second-doc-routing-lease | - | document-revision-second-doc-routing-lease | done |
|
||||
| Cursor-Auto | document-revision-prelim-output | fix/document-revision-pi-runner-module | - | document-revision-prelim-output | done |
|
||||
| Cursor-Auto | document-revision-editor-hydration-race | fix/document-revision-editor-hydration-race | - | document-revision-editor-hydration-race | done |
|
||||
| Cursor-Auto | document-revision-quality-repair-workspace-contract | fix/document-revision-quality-repair-workspace-contract | - | document-revision-quality-repair-workspace-contract | done |
|
||||
| Cursor-Auto | document-revision-fast-completion-observation | fix/document-revision-fast-completion-observation | - | document-revision-fast-completion-observation | done |
|
||||
| Cursor-Auto | document-revision-workflow-category-navigation | fix/document-revision-workflow-category-navigation | - | document-revision-workflow-category-navigation | done |
|
||||
| Cursor-Auto | document-revision-duty-cell-assertion | fix/document-revision-duty-cell-assertion | - | document-revision-duty-cell-assertion | done |
|
||||
| Cursor-Auto | document-revision-reviewer-duty-sync | fix/document-revision-reviewer-duty-sync | - | document-revision-reviewer-duty-sync | done |
|
||||
| Cursor-Auto | document-revision-post-restart-selector | fix/document-revision-post-restart-selector | - | document-revision-post-restart-selector | done |
|
||||
| Cursor-Auto | document-revision-post-restart-final-snippet | fix/document-revision-post-restart-final-snippet | - | document-revision-post-restart-final-snippet | done |
|
||||
| Cursor-Auto | document-revision-pg-id-remap | fix/document-revision-pg-id-remap | - | document-revision | done |
|
||||
| Cursor-Auto | document-revision-runtime | fix/document-revision-runtime-ui03 | - | docgov | done |
|
||||
| Cursor-Auto | document-revision-runtime-ui-final-report | feature/document-revision-runtime-ui-final-report | - | document-revision-runtime-ui | done |
|
||||
| Cursor-Auto | document-revision-evidence-count | fix/document-revision-evidence-count | - | document-revision-evidence-count | done |
|
||||
| Cursor-Auto | document-revision-session-close | feature/document-revision-session-close | - | document-revision-session-close | done |
|
||||
| Cursor-Auto | vite-frp-allowed-hosts | fix/vite-frp-allowed-hosts | - | web-devserver | done |
|
||||
| implementer_cursor | workflow-plan-409-frozen-and-optional-duties | fix/workflow-plan-409-frozen-and-optional-duties | - | workflow | done |
|
||||
| implementer_cursor | governance-action-level-authz | fix/governance-action-level-authz | - | workflow | done |
|
||||
| Cursor | leftover-branch-cleanup | chore/leftover-branch-cleanup | - | ops | done |
|
||||
| Cursor | event-e0a-production-scope-contract | fix/event-production-scope-contract | - | events | done |
|
||||
| Cursor | event-e0b-dispatcher-pg | feature/events-dispatcher-pg | - | events | done |
|
||||
| Cursor | event-e1a-notify-cutover | fix/event-notify-cutover | - | events | done |
|
||||
| Cursor | event-e1b-workflow-advance | fix/event-workflow-advance | - | events | done |
|
||||
| Cursor | event-e1c-projection-cutover | fix/event-projection-cutover | - | events | done |
|
||||
| Cursor | event-e2-hook-guard | fix/event-e2-hook-guard | - | events | done |
|
||||
| Cursor | doccontent-canonical-boundary | fix/doccontent-canonical-boundary | - | docgov | done |
|
||||
| Cursor | intent-bizdev-boundary | fix/intent-bizdev-boundary | - | intent | done |
|
||||
| Cursor | stageflow-type-ownership | fix/stageflow-type-ownership | - | stageflow | done |
|
||||
| Cursor | bizdev-locator-removal | fix/bizdev-locator-removal | - | bizdev | done |
|
||||
| Cursor | chatflow-orchestration-boundary | fix/chatflow-orchestration-boundary | - | chat | done |
|
||||
| Cursor | phase2-closeout-inventories | feature/phase2-closeout-inventories | - | architecture-docs | done |
|
||||
| Cursor | event-shared-live-cutover | feature/event-shared-live-cutover | - | events | done |
|
||||
| Cursor | pi-typed-result | feature/pi-typed-result | - | pi-agent | done |
|
||||
| Cursor | promote-dev-to-test-2026-09-15 | feature/promote-dev-to-test-2026-09-15 | - | infra | done |
|
||||
|
||||
## 清理接管与遗留现场
|
||||
> 新任务开始前登记。`branch` 必须为 `feature/<slug>` 或 `fix/<slug>`，**禁止** `dev` / `test` / `main`。同一 `mutex` 同时仅一个 `in_progress`。
|
||||
|
||||
| 路径/事项 | 分类与保留原因 | cleanup_owner | 复查触发 |
|
||||
|---|---|---|---|
|
||||
| `.worktrees/dev-prod-ready-test-promotion-2026-09-22` 等本轮三个 worktree | 任务 done；cleanup=pending；证据已入 test-reports / gap-matrix | 独立维护者 | 核对 tip 为 origin/dev 或 origin/test 祖先、无进程后 remove |
|
||||
| Cline `2026-09-16-partial-deferred-completion` | 仍 in_progress；W5–W7 未关闭 | Cline owner / 维护者 | 单独授权实施或交接 |
|
||||
| 保护分支 / FAV 相关 | 保护项；故意不合入、不删 | 原 owner / 维护者 | 用户调整保护边界后 |
|
||||
| embedding 401（dmxapi） | 非 blocker 运维债；不挡 PI | 运维 | 换钥后重跑 chunk index |
|
||||
> workflow-plan 409 与治理鉴权 G1–G5 已收口（见 [test-report](../test-reports/2026-09-14-governance-action-level-authz-test-report.md)）。禁止终止或改写项目 143。
|
||||
> `document-reliability-pilot` U11–U12 已合入 `dev@bf59cce` 并 rebuild。`CHAT-INTENT-STATE` 双标签 busy 已 PASS（项目 6275）。禁止 worktree 内 `env-service`。项目 143 只读，禁止终止。
|
||||
> 2026-09-15 旁支清理：[报告](../test-reports/2026-09-15-leftover-branch-cleanup-test-report.md)。已合入本地旁支 31 条已 `git branch -d`；7 个对应 worktree 已拆。extra worktree 仅余 `.worktrees/fix-dev-runtime-data-root-guard`（目录名是 guard，检出的是 `feature/final-artifact-vault`）。**故意不合入、不删**：`feature/final-artifact-vault`、`feature/remove-herdr-agent-settings`、`fix/project143-controlled-content-404-diagnosis`、`fix/dev-runtime-data-root-guard`、`dev-old-linear`。不删 `origin/*`。不整支 merge FAV；不启用 `FAV_DEGRADED_READ`。
|
||||
|
||||
## 集成槽位
|
||||
|
||||
| holder | phase | since | scope | queue |
|
||||
|--------|-------|-------|-------|-------|
|
||||
| - | idle | 2026-09-22 | 本轮合入与 test 晋升已完成并推送；后续合入须重新认领串行 | - |
|
||||
| Cursor-Auto | merging | 2026-09-16T13:20Z | matrix deep test → promote rc-v1.0.0-beta.2 + test rebuild | - |
|
||||
|
||||
**phase**: `idle` | `merging` | `smoke` | `e2e`
|
||||
|
||||
## 受控约束
|
||||
> 合入 `dev` + 共享容器验证必须串行。详见 [AGENTS.md](../../AGENTS.md) §6.3。
|
||||
|
||||
- 禁止整支 merge FAV；保留既有保护分支；不删 `origin/*`（本轮仅前进 `dev`/`test` 与新增 rc tag）。
|
||||
- 不默认升 `MULTI_INTENT_PLAN_TIER=full`；`SEED_DEMO_USERS=false` 在 test 保持。
|
||||
- D7 对话 ADR 仍待合规签字；追踪表类别 `record` 不授权物理删除。
|
||||
- main 未在本轮晋升。
|
||||
## 环境快照
|
||||
|
||||
## 活跃入口
|
||||
| 环境 | 端口 | schema | 状态 |
|
||||
|------|------|--------|------|
|
||||
| dev | 8080 | **47** | healthy（`pi-agent` typed-result-v1；events worker `:8088`；notify/advance/projection live、fav off；health+ready PASS；demo 6001–6010 retired） |
|
||||
| test | 8081 | **47** | healthy（`rc-v1.0.0-beta.1`；pi-agent `:18866`；events `:8089`；notify/advance/projection live、fav off；health+ready PASS；schema 与 dev 对齐 47） |
|
||||
| main | 8000 | **47** | healthy（app + events + runner + DB；与 dev/test 对齐） |
|
||||
|
||||
- [操作规范](./2026-09-21-agent-worktree-workflow.md) · [规则来源/生效](./2026-09-21-policy-registry.md) · [验证契约](./2026-09-21-validation-contract.md)
|
||||
- [dev 门禁与 test 晋升任务](./short-term/2026-09-22-dev-prod-ready-test-promotion.md) · [报告](../test-reports/2026-09-22-dev-gate-and-test-promotion-test-report.md)
|
||||
- [gap-matrix](../remediation/gap-matrix.md) · [partial-deferred 主任务](./short-term/2026-09-16-partial-deferred-completion.md)
|
||||
## SSOT
|
||||
|
||||
| 类型 | 路径 |
|
||||
|------|------|
|
||||
| 文档总地图 | [../README.md](../README.md) |
|
||||
| 模块完成度 | [FEATURE-MATRIX](../status/FEATURE-MATRIX.md) |
|
||||
| 发布缺口 | [gap-matrix](../remediation/gap-matrix.md) |
|
||||
| 测试报告 | [test-reports/](../test-reports/) |
|
||||
| Agent 手册 | [AGENTS.md](../../AGENTS.md) |
|
||||
| 意图双标签 busy 交接 | [./handoffs/2026-09-15-conversation-intent-dual-tab.md](./handoffs/2026-09-15-conversation-intent-dual-tab.md) |
|
||||
| 受控正文 hash 漂移 W1–W6 | [../ops/handoffs/2026-09-14-controlled-content-canonical-hash.md](../ops/handoffs/2026-09-14-controlled-content-canonical-hash.md) |
|
||||
| DOCREV ADR | [../adr/2026-09-13-document-version-boundary.md](../adr/2026-09-13-document-version-boundary.md) |
|
||||
| DOCREV 管理测试 | [../test-reports/2026-09-13-document-revision-management-test-report.md](../test-reports/2026-09-13-document-revision-management-test-report.md) |
|
||||
| DOCREV 运行时 UI Round20 | [../test-reports/2026-09-14-document-revision-runtime-ui-test-report.md](../test-reports/2026-09-14-document-revision-runtime-ui-test-report.md) |
|
||||
| 纯软件项目自举设计 | [../system-design/2026-09-14-software-project-bootstrap-workflow.md](../system-design/2026-09-14-software-project-bootstrap-workflow.md) |
|
||||
| 模块化单体解耦架构 | [../system-design/2026-09-14-module-decoupling-architecture.md](../system-design/2026-09-14-module-decoupling-architecture.md) |
|
||||
| 模块解耦整改计划 | [../remediation/2026-09-14-module-decoupling-refactor-plan.md](../remediation/2026-09-14-module-decoupling-refactor-plan.md) |
|
||||
| Phase 2 方案审阅 | [../audit/2026-09-15-module-decoupling-phase2-plan-review.md](../audit/2026-09-15-module-decoupling-phase2-plan-review.md) |
|
||||
| Phase 2 修订计划 | [../remediation/2026-09-15-module-decoupling-ipc-phase2-remediation-plan.md](../remediation/2026-09-15-module-decoupling-ipc-phase2-remediation-plan.md) |
|
||||
| 多意图 HITL 复核方案 | [../system-design/2026-09-15-multi-intent-hitl-plan.md](../system-design/2026-09-15-multi-intent-hitl-plan.md) |
|
||||
| 多意图 HITL U1 契约 | [../test-reports/2026-09-15-multi-intent-u1-contracts-test-report.md](../test-reports/2026-09-15-multi-intent-u1-contracts-test-report.md) |
|
||||
| 多意图 HITL U2 分段 | [../test-reports/2026-09-15-multi-intent-u2-segmenter-test-report.md](../test-reports/2026-09-15-multi-intent-u2-segmenter-test-report.md) |
|
||||
| 多意图 HITL U3 PG | [../test-reports/2026-09-15-multi-intent-u3-intentflow-pg-test-report.md](../test-reports/2026-09-15-multi-intent-u3-intentflow-pg-test-report.md) |
|
||||
| 多意图 HITL U4 投影 | [../test-reports/2026-09-16-multi-intent-u4-outbox-projection-test-report.md](../test-reports/2026-09-16-multi-intent-u4-outbox-projection-test-report.md) |
|
||||
| 多意图 HITL U5 API | [../test-reports/2026-09-16-multi-intent-u5-decision-api-test-report.md](../test-reports/2026-09-16-multi-intent-u5-decision-api-test-report.md) |
|
||||
| 多意图 HITL U6 Web | [../test-reports/2026-09-16-multi-intent-u6-web-cards-test-report.md](../test-reports/2026-09-16-multi-intent-u6-web-cards-test-report.md) |
|
||||
| 多意图 HITL U8 generate | [../test-reports/2026-09-16-multi-intent-u8-task-generate-test-report.md](../test-reports/2026-09-16-multi-intent-u8-task-generate-test-report.md) |
|
||||
| 多意图 HITL U7 只读 | [../test-reports/2026-09-16-multi-intent-u7-auto-read-test-report.md](../test-reports/2026-09-16-multi-intent-u7-auto-read-test-report.md) |
|
||||
| 文档可靠性 M1 报告 | [../test-reports/2026-09-14-document-reliability-pilot-test-report.md](../test-reports/2026-09-14-document-reliability-pilot-test-report.md) |
|
||||
| 文档可靠性 M1 活验 | [../test-reports/2026-09-14-document-reliability-pilot-live-test-report.md](../test-reports/2026-09-14-document-reliability-pilot-live-test-report.md) |
|
||||
| 文档可靠性 M2 | [../test-reports/2026-09-14-document-reliability-m2-test-report.md](../test-reports/2026-09-14-document-reliability-m2-test-report.md) |
|
||||
| 文档可靠性 M3 U8 | [../test-reports/2026-09-15-taskrun-runmanifest-u8-test-report.md](../test-reports/2026-09-15-taskrun-runmanifest-u8-test-report.md) |
|
||||
| 文档可靠性 M3 U9 | [../test-reports/2026-09-15-dataset-lifecycle-u9-test-report.md](../test-reports/2026-09-15-dataset-lifecycle-u9-test-report.md) |
|
||||
| 文档可靠性 M4 U10 | [../test-reports/2026-09-15-chatlog-contextasm-u10-test-report.md](../test-reports/2026-09-15-chatlog-contextasm-u10-test-report.md) |
|
||||
| 文档可靠性 M5/M6 U11–U12 | [../test-reports/2026-09-15-app-composition-u11-u12-test-report.md](../test-reports/2026-09-15-app-composition-u11-u12-test-report.md) |
|
||||
| Track E E2 闭包守卫 | [../test-reports/2026-09-15-event-e2-hook-guard-test-report.md](../test-reports/2026-09-15-event-e2-hook-guard-test-report.md) |
|
||||
| Track E 复盘 | [./research/2026-09-15-track-e-retrospective.md](./research/2026-09-15-track-e-retrospective.md) |
|
||||
| 旁支清点收口 | [../test-reports/2026-09-15-leftover-branch-cleanup-test-report.md](../test-reports/2026-09-15-leftover-branch-cleanup-test-report.md) |
|
||||
| SSE/幂等审计 | [../audit/2026-09-13-document-revision-sse-idempotency.md](../audit/2026-09-13-document-revision-sse-idempotency.md) |
|
||||
| 质量门禁自污染审计 | [../audit/2026-09-13-document-revision-quality-gate-self-pollution.md](../audit/2026-09-13-document-revision-quality-gate-self-pollution.md) |
|
||||
| 当前文档路由审计 | [../audit/2026-09-13-document-revision-active-doc-routing.md](../audit/2026-09-13-document-revision-active-doc-routing.md) |
|
||||
| 行动表状态假阳性审计 | [../audit/2026-09-13-document-revision-quality-status-false-positive.md](../audit/2026-09-13-document-revision-quality-status-false-positive.md) |
|
||||
| 待确认报告选择失败审计 | [../audit/2026-09-13-document-revision-pending-report-selection.md](../audit/2026-09-13-document-revision-pending-report-selection.md) |
|
||||
| UI-05b 拒绝路由失败审计 | [../audit/2026-09-13-document-revision-e2e-reject-routing.md](../audit/2026-09-13-document-revision-e2e-reject-routing.md) |
|
||||
| 职责伪造与 ETag 覆盖审计 | [../audit/2026-09-13-document-revision-duty-etag-overwrite.md](../audit/2026-09-13-document-revision-duty-etag-overwrite.md) |
|
||||
| UI-06 块选择器失败审计 | [../audit/2026-09-13-document-revision-block-selector.md](../audit/2026-09-13-document-revision-block-selector.md) |
|
||||
| UI-06 保存选择器失败审计 | [../audit/2026-09-13-document-revision-save-selector.md](../audit/2026-09-13-document-revision-save-selector.md) |
|
||||
| UI-07 纯净阅读取样失败审计 | [../audit/2026-09-13-document-revision-overlay-selector.md](../audit/2026-09-13-document-revision-overlay-selector.md) |
|
||||
| UI-07 transition 中间帧取样审计 | [../audit/2026-09-13-document-revision-overlay-transition.md](../audit/2026-09-13-document-revision-overlay-transition.md) |
|
||||
| UI-11 第二份文档路由与 lease 审计 | [../audit/2026-09-13-document-revision-second-doc-routing-lease.md](../audit/2026-09-13-document-revision-second-doc-routing-lease.md) |
|
||||
| UI-11 prelim_design 缺 output.md 审计 | [../audit/2026-09-13-document-revision-prelim-output.md](../audit/2026-09-13-document-revision-prelim-output.md) |
|
||||
| UI-06 编辑弹窗 hydration 竞态审计 | [../audit/2026-09-13-document-revision-editor-hydration-race.md](../audit/2026-09-13-document-revision-editor-hydration-race.md) |
|
||||
| UI-03 质量修复子工作区契约审计 | [../audit/2026-09-13-document-revision-quality-repair-workspace-contract.md](../audit/2026-09-13-document-revision-quality-repair-workspace-contract.md) |
|
||||
| UI-11 快速完成观测误判审计 | [../audit/2026-09-13-document-revision-fast-completion-observation.md](../audit/2026-09-13-document-revision-fast-completion-observation.md) |
|
||||
| UI-13a 私密分类导航失败审计 | [../audit/2026-09-13-document-revision-workflow-category-navigation.md](../audit/2026-09-13-document-revision-workflow-category-navigation.md) |
|
||||
| UI-13a 职责单元格误判审计 | [../audit/2026-09-13-document-revision-duty-cell-assertion.md](../audit/2026-09-13-document-revision-duty-cell-assertion.md) |
|
||||
| UI-13a reviewer 职责未同步审计 | [../audit/2026-09-13-document-revision-reviewer-duty-sync.md](../audit/2026-09-13-document-revision-reviewer-duty-sync.md) |
|
||||
| UI-03 首次生成 PG ID 误删 baseline | [../audit/2026-09-13-document-revision-pg-id-remap.md](../audit/2026-09-13-document-revision-pg-id-remap.md) |
|
||||
| UI-06 刷新后缓存竞争死锁审计 | [../audit/2026-09-14-document-revision-refresh-cache-race.md](../audit/2026-09-14-document-revision-refresh-cache-race.md) |
|
||||
| 受控正文真实 UI 验收报告 | [../test-reports/2026-09-14-controlled-content-ui-acceptance.md](../test-reports/2026-09-14-controlled-content-ui-acceptance.md) |
|
||||
|
||||
@@ -1,74 +1,72 @@
|
||||
---
|
||||
title: "纯软件项目自举工作流验收清单"
|
||||
status: in_progress
|
||||
status: planned
|
||||
created: 2026-09-14
|
||||
updated: 2026-09-22
|
||||
updated: 2026-09-14
|
||||
related_task: "ops/long-term/2026-09-14-software-project-bootstrap-implementation.md"
|
||||
redline_evidence: "ops/short-term/2026-09-22-redline-evidence.md"
|
||||
---
|
||||
|
||||
# 纯软件项目自举工作流验收清单
|
||||
|
||||
> 不得把设计评审、stub、接口注入或静态 JSON 写成真实功能 / 真实 PI / UI PASS。
|
||||
> **2026-09-22 红线证据批次**（SHA `364ed7f1`）：仅复验无需真实仓写的 L1–L4 子集；L5/L6 **pending auth**。报告：[../../test-reports/2026-09-22-redline-evidence-swboot-test-report.md](../../test-reports/2026-09-22-redline-evidence-swboot-test-report.md)。SWBOOT-10 仍为 fail-closed stub。
|
||||
> 本文件是未来实施验收计划，当前全部用例均为 `NOT RUN`。不得把设计评审、stub、接口注入或静态 JSON 写成真实功能 PASS。
|
||||
|
||||
## 0. 验收分层
|
||||
|
||||
| 层 | 范围 | 可否代替真实 UI | 2026-09-22 红线证据 |
|
||||
|----|------|-----------------|---------------------|
|
||||
| L1 | manifest、profile、模板、quality gate 单元测试 | 否 | 子集 PASS（见 §1） |
|
||||
| L2 | PostgreSQL 迁移、领域服务、API、鉴权、并发 | 否 | 领域 short PASS；PG **NOT RUN**（无 `TEST_DATABASE_URL`） |
|
||||
| L3 | 前端组件、类型、build | 否 | **NOT RUN**（本机缺 `tsc`/`tsx`） |
|
||||
| L4 | stub 小队和固定输出工程测试 | 否 | stub PASS；live PI SKIP |
|
||||
| L5 | 真实 PI Agent Runner | 否，仍需页面验证 | **pending auth** |
|
||||
| L6 | Ubuntu Server 无头浏览器真实页面操作 | 是，最终验收 | **pending auth** |
|
||||
| 层 | 范围 | 可否代替真实 UI |
|
||||
|----|------|-----------------|
|
||||
| L1 | manifest、profile、模板、quality gate 单元测试 | 否 |
|
||||
| L2 | PostgreSQL 迁移、领域服务、API、鉴权、并发 | 否 |
|
||||
| L3 | 前端组件、类型、build | 否 |
|
||||
| L4 | stub 小队和固定输出工程测试 | 否 |
|
||||
| L5 | 真实 PI Agent Runner | 否，仍需页面验证 |
|
||||
| L6 | Ubuntu Server 无头浏览器真实页面操作 | 是，最终验收 |
|
||||
|
||||
## 1. 工程门禁
|
||||
|
||||
### Manifest 与目录
|
||||
|
||||
- [x] `software_bootstrap` 和 `software_delivery` 均可校验（发布/退役全路径未本轮覆盖） — 证据：L1 `TestValidateDefinitionV2_SoftwareManifests` PASS（2026-09-22）
|
||||
- [x] 不兼容 domain 的工作流被过滤 — 证据：`TestCompatibleWithProductDomain` PASS（2026-09-22）
|
||||
- [ ] 新版本不会改变已激活实例的 manifest/template/profile hash — 证据：NOT RUN（需 PG 激活实例）
|
||||
- [x] 医疗正式 key 仍在官方集合且软件 key 并存（非全量黄金回归） — 证据：`TestOfficialWorkflowKeys` PASS（2026-09-22）
|
||||
- [x] 不再依赖“仅三正式 key”硬编码 — 证据：同上 + `TestCreateSoftwareProject_NoMedicalDefaults` PASS
|
||||
- [ ] `software_bootstrap` 和 `software_delivery` 均可校验、发布和退役 — 证据：NOT RUN
|
||||
- [ ] 非 published / 非 selectable / 不兼容 domain 的工作流不出现在项目目录 — 证据：NOT RUN
|
||||
- [ ] 新版本不会改变已激活实例的 manifest/template/profile hash — 证据：NOT RUN
|
||||
- [ ] 医疗现有三工作流及黄金用例无回归 — 证据：NOT RUN
|
||||
- [ ] 不再依赖“三正式 key”或固定文档数量硬编码 — 证据：NOT RUN
|
||||
|
||||
### 数据与迁移
|
||||
|
||||
- [ ] 空数据库从 schema 1 升级并创建项目类型、profile、source binding — 证据：NOT RUN（无 `TEST_DATABASE_URL`）
|
||||
- [ ] 空数据库从 schema 1 升级并创建项目类型、profile、source binding — 证据：NOT RUN
|
||||
- [ ] 旧数据库升级不误分类既有项目 — 证据：NOT RUN
|
||||
- [ ] secret 只存引用，数据库、文档、日志和 prompt 无明文 — 证据：NOT RUN（本批未做 secret 扫描）
|
||||
- [ ] 项目、成员、planning instance、模板账本创建具备幂等事务语义 — 证据：NOT RUN（PG）
|
||||
- [ ] secret 只存引用，数据库、文档、日志和 prompt 无明文 — 证据：NOT RUN
|
||||
- [ ] 项目、成员、planning instance、模板账本创建具备幂等事务语义 — 证据：NOT RUN
|
||||
- [ ] 应用重启后项目、来源、plan、阶段和文档版本可恢复 — 证据：NOT RUN
|
||||
|
||||
### 授权与治理
|
||||
|
||||
- [ ] 非成员无法列出项目、对话、来源、文档、SSE、RAG 或 Agent 结果 — 证据：NOT RUN（需 API/UI）
|
||||
- [ ] 非成员无法列出项目、对话、来源、文档、SSE、RAG 或 Agent 结果 — 证据：NOT RUN
|
||||
- [ ] 非创建者无法激活、推进、选择下一流程或终止 — 证据：NOT RUN
|
||||
- [ ] 客户端伪造 task/stage/duty/repo path 被服务端拒绝 — 证据：NOT RUN（完整 API）；repo path stub 见 §4
|
||||
- [x] collaborative / solo / controlled 预览规则（领域层） — 证据：`TestBuildCreationPreview_*` PASS（solo acknowledgement；privacy+solo 与 controlled_patch 拒绝）
|
||||
- [ ] solo 页面显示“未独立评审” — 证据：NOT RUN（L3/L6）
|
||||
- [x] controlled profile / controlled_patch 禁止未授权执行 — 证据：creation preview + SWBOOT-10 stub PASS
|
||||
- [ ] 激活后 workflow/template/profile/duty 不能直接修改 — 证据：NOT RUN（需激活实例）
|
||||
- [ ] 客户端伪造 task/stage/duty/repo path 被服务端拒绝 — 证据：NOT RUN
|
||||
- [ ] collaborative 模式三权必须不同人 — 证据：NOT RUN
|
||||
- [ ] solo 只允许 creator acknowledgement 且页面显示“未独立评审” — 证据：NOT RUN
|
||||
- [ ] controlled profile 禁止 solo — 证据：NOT RUN
|
||||
- [ ] 激活后 workflow/template/profile/duty 不能直接修改 — 证据：NOT RUN
|
||||
|
||||
### 小队与文档
|
||||
|
||||
- [ ] 每个 executor/template/quality gate/profile 均注册且可解析 — 证据：NOT RUN（全量 registry 未本轮枚举）
|
||||
- [ ] 每个 executor/template/quality gate/profile 均注册且可解析 — 证据：NOT RUN
|
||||
- [ ] 正式任务只能从冻结 doc_task_instance 启动 — 证据：NOT RUN
|
||||
- [ ] 步骤预算、timeout、工作区边界和 manifest 生效 — 证据：NOT RUN
|
||||
- [x] 失败/stub 不改写成真实 PASS — 证据：本报告区分 stub PASS vs L5 pending；LiveMiniMax SKIP
|
||||
- [x] 纯软件项目类型目录无医疗默认术语污染 — 证据：`TestProjectTypesCatalog` / `CreateSoftwareProject_NoMedicalDefaults` PASS
|
||||
- [x] 软件创建默认走 `software_bootstrap` 且无医疗 device 字段 — 证据：同上
|
||||
- [ ] 失败、跳过、fallback、未验证项不会被改写成 PASS — 证据：NOT RUN
|
||||
- [ ] 非医疗默认小队不包含 regulatory — 证据：NOT RUN
|
||||
- [ ] 纯软件模板和回复无医疗默认术语污染 — 证据：NOT RUN
|
||||
|
||||
## 2. Ubuntu Server 真实 UI 前置（L5/L6 — pending auth）
|
||||
## 2. Ubuntu Server 真实 UI 前置
|
||||
|
||||
- [ ] 占用 CURRENT 集成槽位 — 证据：pending auth
|
||||
- [ ] `go vet ./...`、`go test -short ./...`、前端测试/build 通过 — 证据：本批仅跑范围子集 + arch-check；全量 short/前端 pending
|
||||
- [ ] PostgreSQL、app、真实 PI Runner、MiniMax 均 ready — 证据：pending auth
|
||||
- [ ] 明确记录 commit、schema、镜像、模型、BASE_URL 和开始时间 — 证据：pending auth
|
||||
- [ ] 使用官方 Playwright Chromium 容器；宿主无需安装浏览器 — 证据：pending auth
|
||||
- [ ] 若容器不可用，才执行 `npx playwright install --with-deps chromium` — 证据：pending auth
|
||||
- [ ] 禁止 `page.route`、mock/stub、直接写数据库或伪造 API 输出 — 证据：pending auth
|
||||
- [ ] 占用 CURRENT 集成槽位 — 证据：NOT RUN
|
||||
- [ ] `go vet ./...`、`go test -short ./...`、前端测试/build 通过 — 证据：NOT RUN
|
||||
- [ ] PostgreSQL、app、真实 PI Runner、MiniMax 均 ready — 证据：NOT RUN
|
||||
- [ ] 明确记录 commit、schema、镜像、模型、BASE_URL 和开始时间 — 证据：NOT RUN
|
||||
- [ ] 使用官方 Playwright Chromium 容器；宿主无需安装浏览器 — 证据：NOT RUN
|
||||
- [ ] 若容器不可用，才执行 `npx playwright install --with-deps chromium` — 证据：NOT RUN
|
||||
- [ ] 禁止 `page.route`、mock/stub、直接写数据库或伪造 API 输出 — 证据：NOT RUN
|
||||
|
||||
推荐运行形态：
|
||||
|
||||
@@ -187,26 +185,23 @@ docker run --rm --network host --ipc host \
|
||||
- **Evidence**：完整对话、全部文档、版本、trace/video、来源 hash。
|
||||
- **Status**：NOT RUN。
|
||||
|
||||
## 4. 未来 controlled patch 负例（SWBOOT-10 stub — 无真实仓写）
|
||||
## 4. 未来 controlled patch 负例
|
||||
|
||||
> 真实 allowlist DB / patch / merge 执行器未实现。下列勾选仅表示 **stub fail-closed**；不得当作 SWBOOT-10 已交付。
|
||||
|
||||
- [x] repo / 路径未在 stub allowlist 不能读 — 证据：`TestRepoAllowlistStub` → `ERR_REPO_PATH_NOT_ALLOWLISTED`（2026-09-22）
|
||||
- [x] 非 allowlist 路径被拒绝 — 证据：同上
|
||||
- [ ] `.env`、secret、生产 dump 排除有效 — 证据：NOT RUN（需真实执行器）
|
||||
- [ ] 只在 feature worktree 写入 — 证据：NOT RUN（执行器未实现；本批证据写在任务 worktree）
|
||||
- [ ] repo 未绑定不能执行 — 证据：NOT RUN
|
||||
- [ ] 非 allowlist 路径被拒绝 — 证据：NOT RUN
|
||||
- [ ] `.env`、secret、生产 dump 排除有效 — 证据：NOT RUN
|
||||
- [ ] 只在 feature worktree 写入 — 证据：NOT RUN
|
||||
- [ ] 超出批准文件范围立即停止 — 证据：NOT RUN
|
||||
- [x] 测试失败不自动 merge（ApproveMerge stub） — 证据：`ApproveMerge` → `ERR_SWBOOT10_STUB_ONLY`
|
||||
- [x] 批准执行不等于批准 merge/push/deploy — 证据：同上 + `ExecuteControlledPatch` stub
|
||||
- [x] `controlled_patch` 创建/顾问路径被拒绝 — 证据：preview + `TestPiSoftwareBootstrapAdvisor_RejectsControlledPatch`
|
||||
- [ ] 保护分支直接 commit、force push、破坏性命令均被拒绝 — 证据：NOT RUN（需真实执行器策略）
|
||||
- [ ] 测试失败不自动 merge — 证据：NOT RUN
|
||||
- [ ] 批准执行不等于批准 merge/push/deploy — 证据：NOT RUN
|
||||
- [ ] 保护分支直接 commit、force push、破坏性命令均被拒绝 — 证据：NOT RUN
|
||||
|
||||
## 5. 完成定义
|
||||
|
||||
- [ ] L1–L5 工程门禁分别记录真实结果 — 2026-09-22：L1 子集 + L4 stub 已记；L2 PG / L3 / L5 未完成
|
||||
- [ ] UI-SW-00–14 全部由真实页面操作执行并留证 — L6 pending auth
|
||||
- [ ] 真实 PI 回复、小队进度和所有交付文档均可在 UI 看到 — L5/L6 pending auth
|
||||
- [ ] 医疗与软件两套黄金项目均无回归 — NOT RUN
|
||||
- [ ] 刷新、重登、重启、并发和权限负例通过 — NOT RUN
|
||||
- [x] test-report 逐项包含 Input/Expected/Actual/Verdict/Duration — 红线 SWBOOT 报告已遵循
|
||||
- [x] 任何 NOT RUN、fallback、失败和开放风险均如实保留 — 见 2026-09-22 报告
|
||||
- [ ] L1–L5 工程门禁分别记录真实结果
|
||||
- [ ] UI-SW-00–14 全部由真实页面操作执行并留证
|
||||
- [ ] 真实 PI 回复、小队进度和所有交付文档均可在 UI 看到
|
||||
- [ ] 医疗与软件两套黄金项目均无回归
|
||||
- [ ] 刷新、重登、重启、并发和权限负例通过
|
||||
- [ ] test-report 逐项包含 Input/Expected/Actual/Verdict/Duration
|
||||
- [ ] 任何 NOT RUN、fallback、失败和开放风险均如实保留
|
||||
|
||||
@@ -1,65 +0,0 @@
|
||||
---
|
||||
title: "D7 Track E ID-only 合规清单（红线证据）"
|
||||
status: done
|
||||
created: 2026-09-22
|
||||
updated: 2026-09-22
|
||||
related_task: "ops/short-term/2026-09-22-redline-evidence.md"
|
||||
related_adr: "adr/2026-09-17-d7-chat-data-retention.md"
|
||||
compliance: pending-compliance-signoff
|
||||
---
|
||||
|
||||
# D7 Track E ID-only 合规清单
|
||||
|
||||
> 本清单只做静态/契约复验。ADR 数字仍 `pending-compliance-signoff`。**禁止**物理删除、备份清除或把 stub/SKIP 写成 retention PASS。
|
||||
|
||||
## 范围
|
||||
|
||||
| 表面 | 允许 | 禁止 |
|
||||
|------|------|------|
|
||||
| 事件 envelope / DLQ / reconciliation | ID、digest、typed error code、allowlist 摘要（含 `summary_ref`） | 聊天正文、prompt、markdown、原始 payload dump |
|
||||
| 应用日志 | 脱敏 DSN、run/plan/doc ID | 消息 `content` |
|
||||
| 备份 | 整库 dump 作为运维能力存在 | 本轮执行 dump / 按 365 天清备份 |
|
||||
| 热库 chat_* | 只读盘点 / 内容编辑 UPDATE | `DELETE FROM chat_*`、retention `SET deleted_at` |
|
||||
|
||||
## 勾选（2026-09-22 / SHA `364ed7f1`）
|
||||
|
||||
### A. StaticContracts payload
|
||||
|
||||
- [x] 全部事件 `PayloadFields` 已枚举 — 证据：`assets/2026-09-22-redline-evidence/d7-track-e-payload-fields.txt`
|
||||
- [x] 无 `content` / `body` / `message` / `prompt` / `text` / `markdown` — `forbidden_hits=NONE`
|
||||
- [x] intent.plan.* 含 `summary_ref` 而非正文 — `TestIntentPlanContractsOmitSensitivePayload` PASS
|
||||
- [x] YAML ↔ `StaticContracts` 对等 — `TestRegistryParityWithYAML` PASS
|
||||
- [x] `SanitizeSummary` 丢弃非 allowlist 键 — `TestSanitizeSummaryDropsPayload` PASS
|
||||
|
||||
### B. 热库 / 删除路径
|
||||
|
||||
- [x] Go 检索无 `DELETE FROM chat_*` — `d7-no-physical-delete.txt`
|
||||
- [x] Go 检索无 chat retention `SET deleted_at` — 同上
|
||||
- [x] 存在的 `UPDATE chat_messages` 为内容编辑路径，非 soft-delete 作业 — 已注明
|
||||
- [x] 本轮未对共享/本地业务库执行 DELETE/UPDATE retention — 操作边界
|
||||
|
||||
### C. 备份 / 日志 / workspace
|
||||
|
||||
- [x] `scripts/backup-system-db.sh` 使用 `pg_dump -Fc` 整库（含 chat 明文）— 静态阅读
|
||||
- [x] 本轮**未**执行 dump、**未**清除备份目录
|
||||
- [x] Agent workspace 30 天清理作业仍未实现（待 ADR 签字）— 记为缺口非违规
|
||||
- [x] FAV `final_artifacts.retention_class` 与聊天口径解耦；consumer off
|
||||
|
||||
### D. ADR / 矩阵边界
|
||||
|
||||
- [x] ADR `compliance: pending-compliance-signoff` 未改
|
||||
- [x] FEATURE-MATRIX D7 保持 `deferred`（本批不升）
|
||||
- [x] 未发现已确认安全/合规基线违反 → **不写** gap-matrix blocker
|
||||
- [x] 报告：[../../test-reports/2026-09-22-redline-evidence-d7-test-report.md](../../test-reports/2026-09-22-redline-evidence-d7-test-report.md)
|
||||
|
||||
## 未做（明确排除）
|
||||
|
||||
- 共享 PG 实时 COUNT（无本轮 DB 只读授权会话；沿用 2026-09-17 W7 计数作历史参考）
|
||||
- 按 365/180/30 物理删除或备份二次清除
|
||||
- soft-delete 写路径实现
|
||||
|
||||
## 下一步（需另授权）
|
||||
|
||||
1. 合规签字或改数 → ADR `accepted`/`signed`
|
||||
2. soft-delete 写路径 → 观察窗 → 物理清理
|
||||
3. 备份清除：二次批准 + delete manifest（R22）
|
||||
@@ -1,37 +1,30 @@
|
||||
---
|
||||
title: "对话刷新后正文消失整改实施交接"
|
||||
created: 2026-09-13
|
||||
updated: 2026-09-22
|
||||
from: codex
|
||||
to: closed
|
||||
status: done
|
||||
to: next-agent
|
||||
status: open
|
||||
---
|
||||
|
||||
# 交接：对话刷新后正文消失整改实施
|
||||
|
||||
## 收口结论（2026-09-22）
|
||||
|
||||
**本交接关闭。** tip `364ed7f1` 上原发布缺口已关闭；发布 SSOT 以 [gap-matrix](../../remediation/gap-matrix.md) 行 `CHAT-HISTORY-REFRESH` = **PASS** 为准。
|
||||
|
||||
口径裁定见 [2026-09-22-chat-history-refresh-reconcile](../short-term/2026-09-22-chat-history-refresh-reconcile.md)。不得再凭本文件的历史 “open / publish blocker” 表述回退该 PASS。
|
||||
|
||||
门禁 B3（激活后文档任务 + rebuild）已有归档证据：[gate report](../../test-reports/2026-09-16-chat-refresh-gate-test-report.md)（项目 6359）。
|
||||
|
||||
## 目标（历史）
|
||||
## 目标（下一位 Agent 应完成什么）
|
||||
|
||||
按整改方案修复消息作用域、历史读取授权和统计同集问题，并完成历史回填与真实刷新 E2E。
|
||||
|
||||
## 已完成
|
||||
|
||||
- 诊断：消息未删；空 `stage_key` 被过滤器丢弃；统计不同集。
|
||||
- **实施已合入**：`message_scope`、`chat_history_auth` / `chatflow` 同集、goose 00026/00027、`useChatWindow` 恢复态。
|
||||
- 闲聊 live 6252 + 门禁 B3 6359（activate+task+rebuild）证据归档。
|
||||
- 2026-09-22 口径对齐：本 handoff / remediation 关闭；gap 保持 PASS。
|
||||
- 源码链路与 dev PostgreSQL 只读定位完成，确认消息未删除。
|
||||
- 确认 project 143/session `sess-p143-u9` 的 4 条消息均缺 `stage_key`，工作流激活后被窗口过滤器全部移除。
|
||||
- 确认异步文档任务写入路径缺阶段/实例作用域；分类与日期统计未应用同一过滤。
|
||||
- 审计、整改方案、发布 blocker 与 planned short-term 已建立。
|
||||
- 现有相关 Go 测试和前端 192 项测试通过，但均未覆盖真实缺陷场景。
|
||||
|
||||
## 残留（不回退本 gap）
|
||||
## 未完成
|
||||
|
||||
- `useChatWindow` 非 403 路径仍可能 cache→`ready`（降级 UX）；不得扩大。
|
||||
- `StageKeyAllowed("")` 非聊天调用点另账。
|
||||
- 未修改业务代码、迁移或运行态数据。
|
||||
- 未建立实施 checklist/test-report。
|
||||
- 未运行真实 PI 刷新回归和双用户对象级授权负例。
|
||||
|
||||
## 认领 / 槽位状态
|
||||
|
||||
@@ -39,15 +32,39 @@ status: done
|
||||
|----|-----|
|
||||
| mutex 已释放 | yes |
|
||||
| 集成槽位 holder | idle |
|
||||
| 关闭依据 | tip `364ed7f1` + [reconcile](../short-term/2026-09-22-chat-history-refresh-reconcile.md) |
|
||||
| branch | dev（诊断）；建议实施用 `fix/chat-history-refresh` |
|
||||
| worktree | 建议 `.worktrees/fix-chat-history-refresh` |
|
||||
|
||||
## 红线（持续）
|
||||
## 关键文件
|
||||
|
||||
- 禁止空 `stage_key` 一律放行；聊天可见性以 `MessageVisible` 为准。
|
||||
- 禁止用 localStorage 掩盖服务端空结果/错误作为修复。
|
||||
| 路径 | 说明 |
|
||||
|------|------|
|
||||
| `.doc/audit/2026-09-13-chat-history-refresh-disappears.md` | 根因与运行态证据 |
|
||||
| `.doc/remediation/2026-09-13-chat-history-refresh-remediation.md` | 分波次整改与验收 |
|
||||
| `internal/server/task_run_handlers.go` | 文档任务消息缺阶段作用域 |
|
||||
| `internal/server/stage_access_helpers.go` | 空阶段消息被丢弃 |
|
||||
| `internal/server/chat_window_api.go` | 正文与统计授权口径分裂 |
|
||||
| `web/src/hooks/useChatWindow.ts` | 刷新后服务端空桶覆盖本地窗口 |
|
||||
|
||||
## 如何验证
|
||||
|
||||
```bash
|
||||
go test -short ./internal/server -run 'TestServer_ChatWindow' -count=1 -v
|
||||
go test -short ./internal/ctxmgr -run 'TestChatWindow' -count=1 -v
|
||||
cd web && npm test
|
||||
```
|
||||
|
||||
实施时必须另加真实 PG 场景：激活前对话 → 激活 → `intake` 文档任务 → 刷新窗口，以及非 owner/无阶段职责负例。
|
||||
|
||||
## 风险 / Blocker
|
||||
|
||||
- 当前为发布 blocker；刷新会造成对话“数据丢失”假象。
|
||||
- 不能用“空 `stage_key` 全部放行”或保留旧 localStorage 缓存作修复，否则会扩大阶段/跨用户泄露。
|
||||
- 历史回填存在重复 `task_key` 歧义，必须先 dry-run 并按实例与时间唯一匹配。
|
||||
|
||||
## 相关链接
|
||||
|
||||
- Reconcile: [../short-term/2026-09-22-chat-history-refresh-reconcile.md](../short-term/2026-09-22-chat-history-refresh-reconcile.md)
|
||||
- Remediation: [../../remediation/2026-09-13-chat-history-refresh-remediation.md](../../remediation/2026-09-13-chat-history-refresh-remediation.md)
|
||||
- Reports: [闲聊](../../test-reports/2026-09-13-chat-history-refresh-test-report.md) · [B3](../../test-reports/2026-09-16-chat-refresh-gate-test-report.md)
|
||||
- CURRENT: [CURRENT.md](../CURRENT.md)
|
||||
- Task: [chat-history-refresh-remediation](../short-term/2026-09-13-chat-history-refresh-remediation.md)
|
||||
- Audit: [chat-history-refresh-disappears](../../audit/2026-09-13-chat-history-refresh-disappears.md)
|
||||
- Remediation: [chat-history-refresh-remediation](../../remediation/2026-09-13-chat-history-refresh-remediation.md)
|
||||
|
||||
@@ -65,13 +65,3 @@ curl -sf http://127.0.0.1:8080/ready
|
||||
- CURRENT: [CURRENT.md](../CURRENT.md)
|
||||
- Task: [../short-term/2026-09-13-conversation-intent-runtime-state.md](../short-term/2026-09-13-conversation-intent-runtime-state.md)
|
||||
- Test report: [../../test-reports/2026-09-13-conversation-intent-runtime-state-test-report.md](../../test-reports/2026-09-13-conversation-intent-runtime-state-test-report.md)
|
||||
|
||||
## 回标（2026-09-18，Wave 6 文档漂移修复）
|
||||
|
||||
上方「未完成」与「认领 / 槽位状态」两节是 2026-09-15 交接时刻的快照，**已在同一提交（`8a8f64a`）内被后续证据覆盖**：
|
||||
|
||||
- 浏览器双标签刷新恢复 / busy 租约可见性：项目 6275、`sess-p6275-u10` 真实 PI + Docker 截图（`dual-tab-live.py`、`live.json`、`window-before-refresh.json`、`window-after-refresh.json`、`screenshots/tab-b-after-reload.png` 等，均在同一提交归档）。
|
||||
- `CHAT-INTENT-STATE` 已在 [gap-matrix](../../remediation/gap-matrix.md) 标记 **PASS**（「双标签活验项目 6275 / `sess-p6275-u10`」）。
|
||||
- mutex 已释放：CURRENT.md 当前无该任务 `in_progress` 行；集成槽位 holder 为 `idle`。
|
||||
|
||||
**结论**：本 handoff 无待办事项，`status: closed` 生效，仅为历史记录保留原文，不删除。
|
||||
|
||||
@@ -1,66 +0,0 @@
|
||||
---
|
||||
title: "Wave 0 FEATURE-MATRIX 校准完成 → 待合 dev / Wave 1"
|
||||
created: 2026-09-16
|
||||
from: Cursor
|
||||
to: next-agent
|
||||
status: done
|
||||
---
|
||||
|
||||
# 交接：FEATURE-MATRIX Wave 0 完成后
|
||||
|
||||
## 目标（下一位 Agent 应完成什么）
|
||||
|
||||
1. 开启 **Wave 1**：PU3 IAM fail-closed + PU5A TempDir race flake（独立 `fix/*` / `feature/*`，分 mutex `authz` / `ci`）。
|
||||
2. 勿把 Wave 0 的 `done` 行当作真实 PI 补证已完成；U8 / full-none 仍归 Wave 2。
|
||||
|
||||
## 已完成
|
||||
|
||||
- PU1：FEATURE-MATRIX 状态契约、行模板、status README
|
||||
- PU2：按冻结边界收口 L1 / Chat baseline / DocRev baseline / 前端 / 可靠事件；拆出 D3、D7、PI 叙事、U9–U12、FAV、artifact promotion
|
||||
- 修正漂移：schema 47、D3≠D5、IAM 历史缺口文案、事件与 FAV 拆行
|
||||
- 历史指针：multi-intent 设计、Phase2 remediation、HTTP envelope、Track E 复盘
|
||||
- IAM 只读核验：dev/test/main schema 47、IAM 表齐全、`ALLOW_IN_MEMORY=false`；**未**证实 MemoryStore 旁路 → **保持** `production_ready=yes`，未新增 gap-matrix blocker
|
||||
- 文档已 `--no-ff` 合入 `dev`；**未** push
|
||||
|
||||
## 未完成
|
||||
|
||||
- Wave 1+（IAM 代码 fail-closed、race、真实 PI 补证、nightly/receipt）
|
||||
|
||||
## 认领 / 槽位状态
|
||||
|
||||
| 项 | 值 |
|
||||
|----|-----|
|
||||
| mutex 已释放 | yes |
|
||||
| 集成槽位 holder | idle（合入后已释放） |
|
||||
| branch | 已合入 `dev`（merge commit） |
|
||||
| worktree | `.worktrees/feature-matrix-production-readiness-plan`（可移除） |
|
||||
|
||||
## 关键文件
|
||||
|
||||
| 路径 | 说明 |
|
||||
|------|------|
|
||||
| `.doc/status/FEATURE-MATRIX.md` | 校准后能力矩阵 |
|
||||
| `.doc/ops/short-term/2026-09-16-feature-matrix-wave0-calibration.md` | Wave 0 任务与 IAM 证据 |
|
||||
| `.doc/remediation/2026-09-16-feature-matrix-production-readiness-plan.md` | 五波总计划 |
|
||||
| `.doc/audit/2026-09-16-feature-matrix-production-readiness-audit.md` | 审计 |
|
||||
| `.doc/remediation/gap-matrix.md` | 仅增加 Wave 0 核验注记；`production_ready=yes` |
|
||||
|
||||
## 如何验证
|
||||
|
||||
```bash
|
||||
# 在 worktree
|
||||
git diff --check
|
||||
# 人工对账 FEATURE-MATRIX / CURRENT / gap-matrix 叙事一致
|
||||
# IAM 只读证据见 short-term「证据 / 备注」
|
||||
```
|
||||
|
||||
## 风险 / Blocker
|
||||
|
||||
- `store_factory.go` 仍可能在缺表时 silent MemoryStore → Wave 1 必须 fail-closed；当前部署未触发。
|
||||
- 合入前确认主仓 CURRENT 与 worktree 无冲突（主仓可能另有 matrix-deep-test 认领行）。
|
||||
|
||||
## 相关链接
|
||||
|
||||
- CURRENT: [CURRENT.md](../CURRENT.md)
|
||||
- Task: [../short-term/2026-09-16-feature-matrix-wave0-calibration.md](../short-term/2026-09-16-feature-matrix-wave0-calibration.md)
|
||||
- Remediation: [../../remediation/2026-09-16-feature-matrix-production-readiness-plan.md](../../remediation/2026-09-16-feature-matrix-production-readiness-plan.md)
|
||||
@@ -1,41 +0,0 @@
|
||||
---
|
||||
title: "Gitea nightly secrets 已本机配置"
|
||||
created: 2026-09-16
|
||||
from: Cursor
|
||||
to: any
|
||||
blocker: false
|
||||
---
|
||||
|
||||
# Gitea nightly secrets 已本机配置
|
||||
|
||||
## 已配置（weichen/Agent-System）
|
||||
|
||||
**Secrets**（API，值不入库）：
|
||||
|
||||
- `RUNNER_AUTH_TOKEN` ← `configs/.env.dev`
|
||||
- `NIGHTLY_TEST_DATABASE_URL` → `127.0.0.1:5434/agent_wave2_pi`
|
||||
|
||||
**Variables**：
|
||||
|
||||
- `PI_AGENT_RUNNER_URL=http://127.0.0.1:18865`
|
||||
- `PI_AGENT_MODEL` ← `.env.dev` MINIMAX_MODEL_ID
|
||||
|
||||
## Runner（本机 `/home/weichen/gitea`）
|
||||
|
||||
- label：`nightly:host`（写入 `runner/data/.runner`，勿只改 compose）
|
||||
- `network_mode: host` + `address=http://127.0.0.1:3000`（PI 只绑 `127.0.0.1:18865`，bridge 不可达）
|
||||
- 挂载 brew + 宿主机 glibc + `/usr/bin/docker` + `/host-agent-data`（仓库 `data/`）
|
||||
- workflow：`DATA_DIR=/host-agent-data/test`；artifact 用本地 tar（Gitea 不支持 upload-artifact@v4）
|
||||
- `run-nightly-real-pi.sh`：全 SKIP / 镜像构建失败 → `infra_fail` receipt（不再 silent exit 127）
|
||||
|
||||
## 验证
|
||||
|
||||
- run#15：缺 node → FAIL
|
||||
- run#17：checkout/setup-go PASS；curl 缺失 → `infra_fail`；upload-artifact@v4 → GHESNotSupported
|
||||
- run#19：curl/PI OK；缺 docker + 无 DATA_DIR → SKIP 后 exit 127、无 receipt
|
||||
- run#21：DATA_DIR+docker OK；用例真实执行；receipt=`product_fail`；archive/summarize PASS
|
||||
（产品失败属套件本身，非 runner/secrets 配置问题）
|
||||
|
||||
## 触发
|
||||
|
||||
Gitea Actions → Nightly Real PI → Run workflow；或 schedule UTC 16:00。
|
||||
@@ -1,33 +0,0 @@
|
||||
---
|
||||
title: "Phase 3 遗留清点收口"
|
||||
created: 2026-09-16
|
||||
from: Cursor
|
||||
to: any
|
||||
blocker: false
|
||||
---
|
||||
|
||||
# Phase 3 遗留清点收口
|
||||
|
||||
## 已关闭本轮
|
||||
|
||||
| 项 | 处置 |
|
||||
|----|------|
|
||||
| N7 U8 `quality_failed` 偶发 | `run-nightly-real-pi.sh` 对 quality_failed 全文重试一次；仍失败则 `product_fail`（非 PASS）。根因：模型质量门，非 secret/runner。 |
|
||||
| Playwright intent-plan 双标签 | 正式长期 gated + long-term 契约；矩阵关闭条件写死 |
|
||||
| Wave3 PU6–PU8 | 已 no-go（Phase 2） |
|
||||
| Artifact same-image | Wave2C done |
|
||||
|
||||
## 保留开放（需产品/另任务，不假装 done）
|
||||
|
||||
| 项 | 说明 |
|
||||
|----|------|
|
||||
| IAM 全路由 inventory | 仍开放；fail-closed 核心已签 |
|
||||
| session 中断负例 / 410 退役 | 需产品拍板 |
|
||||
| R13 全量清单勾选 | nightly 脱敏证据路径已有；完整 R13 矩阵另开 audit |
|
||||
| deterministic/B1–B4 持续回归 | 合入冒烟覆盖 short；全量门禁保持现有 CI |
|
||||
| FAV / 旁支分支 | CURRENT 已声明故意不合入 |
|
||||
|
||||
## 下一步
|
||||
|
||||
- 配置 Actions `RUNNER_AUTH_TOKEN` + `NIGHTLY_TEST_DATABASE_URL` 使 nightly 真跑
|
||||
- 获批后按 long-term 契约开 PU6–PU8 / Playwright 实现任务
|
||||
@@ -1,40 +0,0 @@
|
||||
---
|
||||
title: "document-author-only U1–U6 收口交接"
|
||||
status: done
|
||||
created: 2026-09-17
|
||||
updated: 2026-09-17
|
||||
from: Cursor
|
||||
to: integrator
|
||||
---
|
||||
|
||||
# document-author-only U1–U6 收口交接
|
||||
|
||||
## 结论
|
||||
|
||||
实现与验收任务已全部收口：U1–U6 short-term 已迁入 `archive/ops/`；FEATURE-MATRIX / remediation DoD（除发布末条）已更新；U6 报告已归档。
|
||||
|
||||
**远端**：已 `git-push-dev.sh` 推送 `origin/dev`（含 author-only merge）；**未**晋升 test/main。
|
||||
|
||||
**dev 试点**：`workflow.allow_author_only_approval=true`（revision 1）；证据见 [pilot assets](../../test-reports/assets/2026-09-17-author-only-pilot/) 与 [ops 笔记](../2026-09-17-author-only-pilot-toggle.md)。
|
||||
|
||||
## 分支
|
||||
|
||||
- `feature/document-author-only-plan` — 已合入并清理 worktree/本地分支
|
||||
- 续作：`feature/docgov-modification-proposal-http`（变更提案 HTTP）
|
||||
|
||||
## 合入 `dev`（已完成）
|
||||
|
||||
- `merge --no-ff feature/document-author-only-plan` → 后续推送至 `origin/dev@ba92a8b` 一带
|
||||
- 冒烟：`go vet` / `go test -short` 相关包 PASS；`./scripts/env-service.sh dev rebuild`；`GET /health` → `schema_version=52`、`status=ok`
|
||||
- 总开关默认迁移值仍为 off；**dev 运行态**已 CAS 试点开启；**未**晋升 test/main
|
||||
|
||||
## 明确不在本期（已转入续作）
|
||||
|
||||
- ~~变更提案 HTTP 路由~~ → [short-term](../short-term/2026-09-17-docgov-modification-proposal-http.md) / [audit resolved](../../audit/2026-09-17-docgov-modification-proposal-http-gap.md)
|
||||
- test/main 晋升仍另授
|
||||
|
||||
## 证据
|
||||
|
||||
- [U6 报告](../../test-reports/2026-09-17-document-author-only-u6-test-report.md)
|
||||
- [方案 DoD](../../remediation/2026-09-17-document-author-only-plan.md)
|
||||
- [pilot](../../test-reports/assets/2026-09-17-author-only-pilot/)
|
||||
@@ -1,43 +0,0 @@
|
||||
---
|
||||
title: "Agent worktree 并行治理规范采纳与迁移交接"
|
||||
created: 2026-09-21
|
||||
from: Codex
|
||||
to: user-and-next-agent
|
||||
status: open
|
||||
---
|
||||
|
||||
# 交接：Agent worktree 并行治理规范采纳与迁移交接
|
||||
|
||||
## 已完成
|
||||
|
||||
- 当前规范、worktree/服务/制品脚本、Compose、CI 和实际运行挂载的只读核查。
|
||||
- [调研](../research/2026-09-21-agent-workflow-governance-research.md) 与 [完整方案](../../remediation/2026-09-21-agent-workflow-governance-plan.md)，含现状差距、五阶段实施、恢复与十四项验收。
|
||||
- 本分支 CURRENT 登记已结束；FEATURE-MATRIX 新能力保持 planned；研究任务归档。
|
||||
|
||||
## 下一步
|
||||
|
||||
用户已确认采纳并提交。生效规则见 [worktree 工作规范](../2026-09-21-agent-worktree-workflow.md)；自动化仍按 [W0–W4 实施任务](../long-term/2026-09-21-agent-workflow-governance-automation.md) 追踪，不能当作已经实现。此次仅集成规范文档，不迁移旧任务或重建服务。
|
||||
|
||||
## 认领 / 槽位
|
||||
|
||||
| 项 | 值 |
|
||||
|---|---|
|
||||
| 研究 mutex | 已在本 worktree CURRENT 标记 done |
|
||||
| 共享集成槽位 | 本任务分支 CURRENT 登记文档集成；实际操作持 common-dir 下 dev-integration.lock，主目录 CURRENT 保留 |
|
||||
| branch | feature/agent-workflow-governance-plan |
|
||||
| worktree | .worktrees/feature-agent-workflow-governance-plan |
|
||||
| 起点 | 本地 dev@15b8a4a8 |
|
||||
| 合入 / push | 本次按已验证候选合入本地 dev；未 push，最终结果见规范采纳验收报告 |
|
||||
|
||||
## 验证及边界
|
||||
|
||||
- 仅文档差异、链接和状态检查；未运行 Go/前端测试、迁移或真实 PI 操作，不作产品验收声明。
|
||||
- 主目录另有 Cursor 工作流作用域任务的未提交改动；保留现场，不 checkout/pull/stash/reset。
|
||||
- 当前没有自动任务协调器，分支 CURRENT 不等于全局实时认领。此次只有人工明确范围和本机 flock，不宣称自动队列或全局硬隔离已实现。
|
||||
- 收口文档允许单独审核/合入，但不能按计划已写完将治理功能改成 done。
|
||||
- 主目录仍是旧任务分支；dev 暂由 `.worktrees/agent-governance-dev-integration` 检出以安全集成文档。旧任务 owner 保存成果、确认主目录干净后，先安全移除临时 dev worktree，再在主目录切回 dev；不得强抢 dev 检出。
|
||||
|
||||
## 相关链接
|
||||
|
||||
- [研究任务](../../archive/ops/2026-09-21-agent-workflow-governance-plan.md)
|
||||
- [CURRENT](../CURRENT.md)
|
||||
@@ -1,8 +1,8 @@
|
||||
---
|
||||
title: "纯软件项目自举工作流实施"
|
||||
status: in_progress
|
||||
status: planned
|
||||
created: 2026-09-14
|
||||
updated: 2026-09-17
|
||||
updated: 2026-09-14
|
||||
---
|
||||
|
||||
# 纯软件项目自举工作流实施
|
||||
@@ -22,19 +22,6 @@ updated: 2026-09-17
|
||||
- 真实 PI 和 Ubuntu 无头浏览器黄金项目验收通过；
|
||||
- 未实现受控代码执行前，系统不会直接修改项目仓库。
|
||||
|
||||
## 实施进度（2026-09-17）
|
||||
|
||||
| Epic | 状态 | 说明 |
|
||||
|------|------|------|
|
||||
| SWBOOT-00 | done（契约） | ADR `.doc/adr/2026-09-16-software-project-bootstrap-keys.md` |
|
||||
| SWBOOT-01 | done（迁移） | goose `00048` additive；已合 `dev` |
|
||||
| SWBOOT-02..04 | done（L1） | manifests + catalog 五 key；医疗三门禁保留；已合 `dev`（`f0029df`） |
|
||||
| SWBOOT-05..08 | done（W5a） | catalog 驱动创建向导；软件不克隆医疗 7 模板；solo 未独立评审标注 |
|
||||
| SWBOOT-09 | partial | docs_only 真实 PI 已出；无头浏览器全向导仍 NOT RUN |
|
||||
| SWBOOT-10 | stub only | allowlist + fail-closed；真 patch/merge 归 W5b，本轮不实施 |
|
||||
|
||||
L1（SWBOOT-00…09 契约/迁移/目录钩子 + SWBOOT-10 stub）**已合入 `dev`**。后续由 [partial/deferred W5](../short-term/2026-09-16-partial-deferred-completion.md) 承接：W5a = UI + `docs_only` 真实 PI；W5b = 受控执行器（独立安全评审）。
|
||||
|
||||
## 实施拆分
|
||||
|
||||
| Epic | 范围 | 依赖 | 验收 |
|
||||
@@ -59,11 +46,9 @@ L1（SWBOOT-00…09 契约/迁移/目录钩子 + SWBOOT-10 stub）**已合入 `d
|
||||
- 文档版本运行时 Round20 能力作为文档链基线；
|
||||
- 用户确认首期执行模式及 solo/collaborative 策略。
|
||||
|
||||
## 剩余工作
|
||||
## 暂不启动原因
|
||||
|
||||
L1 已合 `dev`。W5a 从 `dev` 开 `feature/w5a-software-bootstrap-ui-pi`（mutex `workflow-design`）。W5b 受控执行器未启动，SWBOOT-10 保持 fail-closed stub。
|
||||
|
||||
**Wave 5 X-3（2026-09-18）**：goose 00048 三表（`project_types` / `compliance_profiles` / `project_type_workflows`；另含零读者的 `project_source_bindings` / `repo_path_allowlist`）消费方接线评估结论 = **deferred → SWBOOT-10/W5b**。不改 schema；API 继续硬编码目录。决策落点：[wave5-deadcode-decisions.md#x-3](../short-term/2026-09-18-wave5-deadcode-decisions.md#x-3)。不阻塞 W5b 立项。
|
||||
本轮用户要求先梳理和制定详细方案；业务代码、迁移、模板和智能体配置尚未授权进入实施。本任务保持 `planned`，启动时须从 `dev` 新建独立 feature 分支，并在 CURRENT 认领 `workflow-design`/相应拆分 mutex。
|
||||
|
||||
## 相关链接
|
||||
|
||||
|
||||
@@ -1,27 +0,0 @@
|
||||
---
|
||||
title: "Playwright intent-plan 双标签 — 长期 gated"
|
||||
status: done
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-16
|
||||
owner: Cursor-Auto
|
||||
branch: feature/intent-plan-cards-playwright
|
||||
mutex: web
|
||||
---
|
||||
|
||||
# Playwright intent-plan 双标签 — 长期 gated
|
||||
|
||||
## 现状
|
||||
|
||||
- short-term / 报告已关闭：见 [../short-term/2026-09-16-intent-plan-playwright-dual-tab.md](../short-term/2026-09-16-intent-plan-playwright-dual-tab.md) 与 [../../test-reports/2026-09-16-intent-plan-playwright-dual-tab-test-report.md](../../test-reports/2026-09-16-intent-plan-playwright-dual-tab-test-report.md)
|
||||
- `RUN_UI_ACCEPTANCE=1` 真浏览器 PASS（Docker Playwright）；默认 skip
|
||||
- **不升** `MULTI_INTENT_PLAN_TIER`
|
||||
|
||||
## 关闭条件
|
||||
|
||||
1. 独立 short-term + `RUN_UI_ACCEPTANCE=1` 真浏览器：双标签 confirm 不同时本地成功
|
||||
2. 刷新/重登后与 PG plan 一致
|
||||
3. 报告归档 `.doc/test-reports/`；不升 MULTI_INTENT tier
|
||||
|
||||
## 非目标
|
||||
|
||||
- 用 stub/SKIP 冒充 PASS
|
||||
@@ -1,33 +0,0 @@
|
||||
---
|
||||
title: "PU6 语义摘要 D3 — 获批后任务契约"
|
||||
status: done
|
||||
created: 2026-09-16
|
||||
updated: 2026-09-17
|
||||
owner: Cursor
|
||||
branch: feature/w2-semantic-summary-shadow-live
|
||||
mutex: chat
|
||||
go_no_go: go
|
||||
---
|
||||
|
||||
# PU6 语义摘要 D3 — 获批后任务契约
|
||||
|
||||
**go/no-go**：GO。脚手架 + W2 live 已合 `dev`。`SEMANTIC_SUMMARY_SHADOW` 默认 off；开 flag 时组合根注入产品 PI no-tool summarizer。**不启用** `SEMANTIC_SUMMARY_REPLACE`。
|
||||
|
||||
## 目标
|
||||
|
||||
在授权可见集合上 shadow 语义摘要，可解释 fallback；REPLACE 为后置独立授权任务。
|
||||
|
||||
## 预注册门
|
||||
|
||||
- flag：`SEMANTIC_SUMMARY_SHADOW` → 可选 `SEMANTIC_SUMMARY_REPLACE`（本轮不启用）
|
||||
- 输入：authorized view only；无工具权限摘要器；R13 出站门
|
||||
- 失败：保留旧摘要/deterministic；标注 freshness
|
||||
- 负例：撤权消息不入摘要；injection 不能改权限
|
||||
|
||||
## 路径提示
|
||||
|
||||
`internal/ctxmgr/summarizer.go`、`internal/ctxmgr/semantic_summary.go`、`internal/app/chatflow/`、`internal/server/chat_digest_api.go`、`internal/agent/piagent.go`
|
||||
|
||||
## 回滚
|
||||
|
||||
关 flag；读路径回 deterministic；保留历史证据指针
|
||||
Some files were not shown because too many files have changed in this diff Show More
Reference in New Issue
Block a user