---
title: "多意图持久计划与 HITL（核心 U1–U8，扩面 U9–U12）"
status: in_progress
created: 2026-09-15
updated: 2026-09-22
owner: Cursor
branch: "-"
worktree: "-"
mutex: "-"
---

# 多意图持久计划与 HITL（核心 U1–U8，扩面 U9–U12）

> **W1-D 对账（2026-09-22）**：伪完成降级。U1–U8 步骤与独立单元报告已落地，但本总览 **11 条验收标准全部未勾**（含真实 PI E2E），且 U9–U12 步骤未完成 → `done` 改为 `in_progress`。FEATURE-MATRIX「多意图持久计划」行保持 `partial`。

## 目标

不回退现有模块解耦、单意图行为和权限边界，交付可持久、可恢复、可并发裁决的 2–4 步计划；所有批量生成/写入/控制确认前零副作用，执行前逐动作重新授权。

## 权威文档

- [详细设计与计划](../../system-design/2026-09-15-multi-intent-hitl-plan.md)
- [复核审计](../../audit/2026-09-15-multi-intent-hitl-plan-review.md)
- [模块边界 SSOT](../../system-design/module-boundaries.yaml)

## 强制约束

- `internal/intent` 继续只依赖 `maturity`；新生命周期归 `internal/app/intentflow`；
- 确认不是授权；每步由动作 owner 按当前主体、状态和版本重新鉴权；
- PG plan state 权威，卡片/SSE 仅投影；
- 每步一个业务事务，不做跨模块长事务；
- 中间结果不进 FAV；
- 新行为从 legacy/shadow 开始，回滚不丢已有计划。

## 波次

| 波次 | 单元 | 交付 | 依赖 | 主 mutex | go/no-go |
|------|------|------|------|----------|----------|
| W0 | U1 | 模块/API/状态/事件契约 | 无 | `intent`,`events` | arch/event/table owner 全绿 |
| W1 | U2 | 纯规则提案 shadow | U1 | `intent` | 不改路由，安全错误为 0 |
| W2 | U3 | intentflow + PG/CAS/lease | U1,U2 | `intent-plan` | 两 worker 无双 owner/执行 |
| W2 | U4 | outbox + 投影 | U3 | `events` | projection diff=0 |
| W3 | U5 | decision API + 授权端口 | U3 | `intent-plan`,`server/authz` | 权限负例全绿 |
| W3 | U6 | Web 卡片/刷新/a11y | U4,U5 | `web` | 双标签/reload 无假成功 |
| W4 | U7 | 低风险只读执行 | U4-U6 | `intent-plan`,`chat` | legacy 无回归 |
| W4 | U8 | task generate adapter | U7 | `taskrun`,`intent-plan` | 首版 real PI 闭环 |
| W5 | U9 | 可选 LLM adapter 实验 | U2,U7 | `intent-plan`,`pi-agent` | 不阻塞首版；达阈值才启用 |
| W5+ | U10 | low mutate 逐 action 扩面 | U8 | 实际 owner | 单 action 签署 |
| W5+ | U11 | docgov 逐 action 扩面 | U8 | `docgov`,`intent-plan` | 单 action 签署 |
| W5+ | U12 | workflow/run-control 分项扩面 | U8 | `workflow`/`taskrun` | 分项签署 |

> 本文件仅是总览，不长期占用一个 mutex。实施时每个 U-ID 新建独立 short-term、分支和认领；U10–U12 还必须按 action 拆分。核心首版为 U1–U8，U9 与后续 owner 扩面不阻塞首版关闭。

## 步骤

1. [x] U1 冻结边界、状态机、批量策略、错误码、事件和默认 legacy tier（[独立任务](./2026-09-15-multi-intent-u1-contracts.md)；[报告](../../test-reports/2026-09-15-multi-intent-u1-contracts-test-report.md)）；
2. [x] U2 characterization-first 建 golden/hard-negative 与 shadow 基线（[独立任务](./2026-09-15-multi-intent-u2-segmenter.md)；[报告](../../test-reports/2026-09-15-multi-intent-u2-segmenter-test-report.md)）；
3. [x] U3 建 intentflow owner、PG schema、CAS/lease/fencing/retention（[独立任务](./2026-09-15-multi-intent-u3-intentflow-pg.md)；[报告](../../test-reports/2026-09-15-multi-intent-u3-intentflow-pg-test-report.md)）；
4. [x] U4 接 Track E outbox/dispatcher，只投影状态事实（[独立任务](./2026-09-16-multi-intent-u4-outbox-projection.md)；[报告](../../test-reports/2026-09-16-multi-intent-u4-outbox-projection-test-report.md)）；
5. [x] U5 建统一 decision command 与动作 owner 授权端口（[独立任务](./2026-09-16-multi-intent-u5-decision-api.md)；[报告](../../test-reports/2026-09-16-multi-intent-u5-decision-api-test-report.md)）；
6. [x] U6 取消计划动作的前端本地成功路径，以 PlanView 恢复（[独立任务](./2026-09-16-multi-intent-u6-web-cards.md)；[报告](../../test-reports/2026-09-16-multi-intent-u6-web-cards-test-report.md)）；
7. [x] U7 只开放独立低风险查询（[独立任务](./2026-09-16-multi-intent-u7-auto-read.md)；[报告](../../test-reports/2026-09-16-multi-intent-u7-auto-read-test-report.md)）；
8. [x] U8 只接 task generate，完成首版闭环（真实 PI 环境缺失记 stop-gate）（[独立任务](./2026-09-16-multi-intent-u8-task-generate.md)；[报告](../../test-reports/2026-09-16-multi-intent-u8-task-generate-test-report.md)）；
9. [ ] U9 作为独立可选实验接语义分段；
10. [ ] U10–U12 分别按 mutate/docgov/workflow/run-control owner 扩面。

## 验收标准

- [ ] 含写/生成/控制时，确认前相关表、任务、文档和工作流零变化；
- [ ] 两标签确认/取消只产生一个决策和至多一次动作；
- [ ] 服务/worker 重启后 PG 恢复，成功步骤不重跑；
- [ ] 确认后权限或资源版本变化时 fail closed；
- [ ] 跨用户/项目/会话读取和决策被隐藏；
- [ ] 按钮与自然语言确认得到同一服务端 receipt；
- [ ] intent 边界、单一写者、UoW、事件静态契约和组合根无回退；
- [ ] 无活动计划时单意图生成保持；有活动计划时不创建第二任务；多意图生成需确认；
- [ ] 部分确认可稍后处理未选项，只有显式排除才取消；部分完成可重试、继续或关闭；
- [ ] 双标签/刷新/重开/SSE 重连真实页面通过；
- [ ] 适用的真实 PI E2E 通过，stub 不冒充验收。

## 非目标

- >4 步、并行 DAG、多活动写计划自动合并；
- 跨步骤 ACID/自动补偿；
- coordinator/chat 全量重构；
- FAV 启用或中间产物归档；
- 改变单意图生成策略。

## 交付纪律

- 每单元记录精确边界影响、适用测试、go/no-go、回滚、branch/commit/merge/push 状态；
- 每单元独立 test report、CURRENT 认领/集成槽和 FEATURE-MATRIX 回链；
- 安全、越权、双执行或刷新差异任一出现，停止当前 tier；dispatcher 故障只停投影；LLM 故障进入澄清。

## 相关链接

- Checklist: [U1](../checklists/2026-09-15-multi-intent-u1-contracts.md)；[U2](../checklists/2026-09-15-multi-intent-u2-segmenter.md)；[U3](../checklists/2026-09-15-multi-intent-u3-intentflow-pg.md)；[U8](../checklists/2026-09-16-multi-intent-u8-task-generate.md)
- Handoff: 每个 U-ID 独立建立
- Test report: [U1](../../test-reports/2026-09-15-multi-intent-u1-contracts-test-report.md)；[U2](../../test-reports/2026-09-15-multi-intent-u2-segmenter-test-report.md)；[U3](../../test-reports/2026-09-15-multi-intent-u3-intentflow-pg-test-report.md)；[U4](../../test-reports/2026-09-16-multi-intent-u4-outbox-projection-test-report.md)；[U5](../../test-reports/2026-09-16-multi-intent-u5-decision-api-test-report.md)；[U6](../../test-reports/2026-09-16-multi-intent-u6-web-cards-test-report.md)；[U7](../../test-reports/2026-09-16-multi-intent-u7-auto-read-test-report.md)；[U8](../../test-reports/2026-09-16-multi-intent-u8-task-generate-test-report.md)

## 证据 / 备注

- 当前 `plan_builder.go` 最多两段且写意图返回 nil；`action_planner.go` 的确认仍是文字提示。
- 当前 `module-boundaries.yaml` 中 intent 仅依赖 maturity；Track E live，FAV off。
- U1 已冻结 intentflow 契约、事件与 BatchActionPolicy，默认 `MULTI_INTENT_PLAN_TIER=legacy`。
- U2 已落地规则分段与 shadow `PlanProposal`；生产 TopIntent / IntentPlan 不变；反事实 `false_auto_execute=0`。
- U8 已落地 confirm 落盘与 `task.run` adapter；默认 legacy 不落盘。U9–U12 不阻塞核心首版。共享环境 schema 45 待晋升窗口。