86 Commits

Author	SHA1	Message	Date
姚章浩	47eb23cf68	feat(library): 封存执行器可用性与还原条件来自真实观测 ... 页面上的"可发起封存"原来只判 LIBRARY_AGENT_SOCKET 非空：正式栈的 API 根本没挂 那个 socket，而 agent 曾顶着正式单元名冻结候选实例——配置非空、页面可点、真发起 却封错库。 现在：agent 新增 health 动作（不占封存操作锁、不跑子进程，只回答身份/降级/忙）， worker 每 30 秒探测并写入迁移 074 的 library_executor_status；overview、快照列表与 POST /library/captures 共用同一份判定（过期、不可达、实例不符、降级、正忙都拒绝并 给原因）。封存结果由 agent 附上自报身份，worker 在停写入者之前再探测一次、执行后 用结果复核，不一致就不登记测试封存——心跳只能证明"刚才"。 期望身份用 LIBRARY_SOURCE_*（封存源），不是 LIBRARY_TARGET_*（同步目标），否则 正确的执行器会被判成不匹配。另加 GET /library/restore-availability：恢复能否执行由 双闸、该快照的恢复授权与实例维护状态决定，页面不再写死 disabled。 真跑（候选隔离栈，两处 socket 隔离不变）：overview 返回 executor {kgmaint-weknora/kgmaint-app}；停 agent 后转不可达并 503 带原因；重启后恢复。	2026-10-29 13:01:37 +08:00
姚章浩	e508abd958	fix(library): 死信解除绑定封存源实例而不是同步目标 ... 同步目标与封存源常常不是同一个实例（kgseal vs kgmaint）；用目标名去绑来源死信， 真实观测的 project 永远对不上，解除会被一律拒绝。新增 LIBRARY_SOURCE_INSTANCE， 留空回落到目标实例名，API 写记录与 worker 取指纹共用同一个来源实例名。 试过：真实 API GET/POST、go test ./internal/{httpapi,appconfig} 与 make verify 全绿。	2026-10-29 07:13:18 +08:00
姚章浩	c2402947a9	feat(library): 死信按精确指纹解除，保留上游记录 ... 上游 task_dead_letters 没有解决标记，purge/DELETE 会销毁"失败过"的唯一证据。 治理侧新增解除记录（迁移 073）：绑定实时行逐字节指纹、重放引用、源侧观测摘要与 操作人；行被改过、重放后又出现新死信、源侧未结清都不命中，封存照旧阻断。 指纹先压紧空白再摘要，避免 PG to_jsonb::text 与 json.Marshal 的空白差异。 试过：go test ./internal/{librarydeadletter,libraryagent,httpapi,releaseadapter/v071, platform/postgres}，make verify 15 项全绿。	2026-10-29 06:55:13 +08:00
姚章浩	a6406209bd	fix(httpapi): 恢复作业 id 改成维护窗口可接受的形状 ... librestore-<scope>-<时间戳.微秒> 带 "."，冻结协调器的 job 白名单只收 [A-Za-z0-9_-]，所以每次恢复都在开窗口时被拒（invalid freeze request）， 作业随后被接管扫成失败。改纳秒整数，并加测试锁住该约束。 试过：make verify 15 项全绿；真实恢复复现该错误后修复。	2026-10-29 06:28:29 +08:00
姚章浩	f2d6f3f646	fix(httpapi): 封存队列作业 id 按 jobs.id 列宽拼短 ... 真实请求 POST /api/v1/library/captures 一律 500：拼出来的 "library-capture-<scope>-<nano>" 是 45 个字符，而 jobs.id 是 varchar(36)， PG 直接拒绝（value too long）。此前页面一直停在"未接线"，这条路径从没被 真实请求覆盖过，所以只有接上 agent 之后才暴露。 改为 libcap-<scope>-<nano>（35 字符），并用测试锁住列宽与形状。 试过：go test ./internal/httpapi -run LibraryCapture 全绿；修复前用真实 DATABASE_URL 复现 enqueue error: value too long for type character varying(36)。	2026-10-29 06:05:16 +08:00
姚章浩	1f482e4b49	feat(library): Wiki 撤销按贡献比对，维护窗口在页面如实呈现 ... 为什么：删除一篇与别人共同贡献同一 Wiki 页的文档后，页面还在、名字也在， 只有那篇文档的正文与引用被摘掉。原来的页面级差异会把这种语义重算显示成 "无变化"，操作员据此会误判撤销没有生效。 怎么改：librarydiff 新增 CompareWiki，以 slug 为身份把正文/来源文档/引用分块/ 出入边/目录分别取集合比较，输出 sources_removed、citations 变化与具体类别； overview 的 diff.wiki 增加逐页明细（最多 50 页，超出置 pages_truncated）， 说明文字明确"重算发生在源侧，本平台只如实比对与保留结果"。 页面：新增目标维护面板（实例级/库级、持有、入口开关、阶段、进度、恢复错误）， 只有窗口仍持有且作业失败时才给"按预备份恢复"；没有维护记录时写未接入 + fail closed。 变更页把 Wiki 逐页差异列出来源/引用怎么变。kind 补上 restore。 验过：go test ./internal/librarydiff ./internal/httpapi；web vitest 453 项； make verify 全绿（15 项，无未运行项）。真实撤销语义验收见交付报告。	2026-10-29 04:45:34 +08:00
姚章浩	b007acd443	feat(library): 恢复失败后可以重新排队，不必手工改库 ... 失败作业的幂等键把恢复入口锁死，运维修好故障也点不动第二次。 现在按窗口重排失败作业（同窗口有活作业则拒绝并发），CLI/API 都能真恢复。	2026-10-29 01:38:39 +08:00
姚章浩	1a04dfb4fa	fix(library): 恢复作业的队列 id 不能超过列宽 ... "librecover-"+窗口作业 id 超过 varchar(36)，投递直接失败——恢复入口等于打不开。 按窗口摘要取 33 字符的确定性 id。	2026-10-29 01:07:11 +08:00
姚章浩	3643e9bf82	fix(library): 维护收尾必须按预备份恢复并校验 ... 删掉会自己开入口、只看服务健康的 FinalizeAfterOperatorRecovery。 新的 RecoverWindow 绑定原作业/目标指纹/持久化预备份，在维护关闭下 执行恢复与逐类校验，通过才恢复服务与入口；失败继续维护。 预备份身份与内容风险在第一笔写入前一起落盘；后台任务必须静默后才停写者； 写入者发布端口即拒绝开窗口；维护占用改为按实例互斥（000072）。	2026-10-29 00:50:32 +08:00
姚章浩	fe6e218d9c	fix(library): 整库只读接口改清单级读取，修掉真实超时 ... 候选归档 79 版 / 56MB blob 上，overview、storage、snapshots 三个只读接口 都在 10s 请求期限后返回 503。分段计时定位到唯一瓶颈是按版本重读全部 blob： Open 0ms、LoadManifest×79 11~22ms、ContentUsage 15~25ms、 Usage（逐版 Load 验字节）13.75~14.11s；单版 Load 261~290ms。 - Usage 拆成 Usage（逐版复核字节，同步/恢复与运维 CLI 用）与 UsageFromManifests（同一份去重实现，只做清单级校验），列举路径改用后者； - library_storage.go 每版两次 Load、snapshots 每版一次 Load 改为一次清单读取； - wiki/文档差异只读所需部件，被读部件仍由 OpenPart 复核摘要； - LoadManifest 与 Load 共用同一套清单判据（严格解码 + 重新编码校验）； - 列举响应带 verification=manifest / verified=false，详情整版复核后才是 content， 避免把"清单可读"读成"完整性已验证"； - libraryWithDeadline 去掉超时后再写已结束响应的 goroutine 写法 （候选环境实测 http: superfluous response.WriteHeader call）。 回归：多版本共享大 blob 时枚举不读 blob 字节（篡改后枚举仍成功）， 而 Load/OpenPart/Usage 仍拒绝坏 blob；坏清单两条路径都整条报错。 make verify 15 项全绿（local 档案）。	2026-10-28 21:52:14 +08:00
姚章浩	288e01a01a	feat(library): 目标维护窗口（持久所有权/独占/release-on-verify）+ known-broken 记录 ... 为什么：用户确认维护窗口方案，需要真实占有目标而不是 503 页面。 - 迁移 000070 library_maintenance：scope 唯一持有者、作业/目标身份、服务原状态、阶段。 - worker 在写目标前 acquire，验证+登记成功才 release；回滚失败/未验证保持 needs_restore。 - API GET /library/maintenance + 同步入口在他人持有时 409。 - 已知缺陷如实记录：候选实例该路由 404；kill 取证脚本竞态导致三项断言为 false。	2026-10-28 20:45:02 +08:00
姚章浩	b76a433574	fix(httpapi): 整库只读接口加请求级超时，避免归档大时请求挂死 ... 为什么：候选前端联调时 /library/overview 与 /library/storage 会挂到连接被重置， 浏览器无法渲染。加 10s 超时并返回明确降级原因，同时差异计算放进看门狗。	2026-10-28 20:36:59 +08:00
姚章浩	c72b71d78a	fix(library): 预备份硬门禁 + 崩溃接管 + 五项入口验收 ... 为什么：父审指出预备份引用持久化失败仍继续写目标、接管依赖启动扫描且漏掉租约未过期、 恢复失败被标成"无需恢复"、版本登记与作业状态分叉。 - BackupPrepared 返回 error，持久化失败即零写入；预备份同时登记 production_prebackup 版本。 - 接管改为按队列租约判定 + 运行期 30s 扫描 + 原子抢占 + 固定幂等键 + attempt 归零。 - 接管场景保留预备份、不再宣称"未写无需恢复"。 - 恢复/重放同一快照重新激活 production_effective（清 superseded_at）。 - finalize 续作只做校验+登记（finalize_only），不重写生产。 - 索引映射基线缺失时采用首次观察值并登记；索引校验加孤儿文档检查（按 knowledge_id）。 真实验收（候选 API :18089 + 真实 PG/ES/MinIO）： A0 首次发布、A1 撤销、B 按版本恢复、C 写阶段 SIGKILL 接管、 D 跨 kind 互斥与多 worker 单次执行、E1 登记失败、E2 finalize 续作、E3 预备份失败零写入。	2026-10-28 19:11:37 +08:00
姚章浩	ac3b395102	fix(library): 对齐真实 WeKnora Schema + 入口级真实服务验收 ... 为什么：候选环境改用真实 WeKnora 表结构后，暴露出多处"按猜的列名/形状"的假设， 以及若干 varchar 长度、对象定位符、空索引基线问题，导致真实链路跑不通。 - knowledge_tag_relations 无 tenant_id/KB 列 → 归属走父表；resources 作用域=绑定+chunk 引用。 - 写入顺序按真实外键；无代理键表用内容摘要核对。 - 队列作业 ID / 版本记录 ID 改固定长度摘要（列宽 varchar(36)/varchar(64)）。 - 对象定位符拆 storage://<backend>/oss://<bucket>/<key>；provider 可配置。 - 空索引基线全链路一致（Current/Export/Backup/Archive），非空仍严格比对映射。 - finalize 阶段：版本登记失败不报成功；崩溃接管复用已持久化预备份。 - 迁移 000069：同一目标的 sync/restore 跨 kind 互斥。	2026-10-28 17:53:43 +08:00
姚章浩	a2d051f6b3	feat(library): 按版本恢复入口与失败作业续作 ... 为什么：恢复此前只有"失败自动回滚"，没有手动按版本恢复；失败作业也只能重发封存。 - 迁移 000068 允许 kind=restore；POST /library/restores（管理员 + 该快照恢复授权 + 闸口）。 - POST /library/jobs/{id}/resume 对失败/取消的同步/恢复作业按原参数续作。 - worker 统一 runLibraryRelease，同步与恢复共用链路；成功后登记 production_effective 版本。	2026-10-28 16:27:46 +08:00
姚章浩	2038462dbb	feat(library): Wiki 页面级差异与页面展示 ... 为什么：撤销文档后 Wiki 变化此前只有"快照保存"证据；页面级差异能给出增/改/撤， 但必须写明它不等于实体、概念、边与引用的语义重算。 - overview 差异新增 wiki 字段：读两份快照的 wiki_pages 行数组比较，缺部件时 unknown。 - 发布管理"本次变更"显示 Wiki 新增/更新/撤销页数与页面级声明。 - 真实归档验证：对内 vs 对外 = 新增 31 / 撤销 1，反向镜像一致。	2026-10-28 15:15:33 +08:00
姚章浩	7b8cc0384b	feat(library): 生产发布授权与同步/恢复编排，worker 接线 ... 为什么：同步入口此前只会拒绝；授权、预备份、四类写入、验证与失败恢复都没有代码。 本轮把编排与授权实现出来，真实生产执行仍按授权闸口关闭。 - internal/libraryrelease：预备份 → 数据库/资源/索引/Wiki → 验证 → 失败恢复； 授权过期/目标不符/快照不符/参数变化在动生产前拒绝；恢复失败单独上报。 - 迁移 000067 library_release_authorizations（目标+快照+参数摘要+有效期，可撤销）。 - POST/GET /api/v1/library/authorizations 与 /{id}/revoke，仅管理员签发，5–1440 分钟。 - worker library.sync 接编排：先闸口再授权，阶段落库，只有编排成功才标成功。 - 生产目标适配器未配置时显式失败（不返回零值状态），预备份存储同。 - overview 返回授权状态，页面"生产保护与恢复"显示签发人与有效期。 - 验收矩阵区分"已实现·隔离测试通过"与"真实执行未授权"。	2026-10-28 15:11:27 +08:00
姚章浩	f91359f881	feat(library): 存储管理真实化——容量门禁、依赖保护与清理预览 ... 为什么：存储页原来只有占用数字，保留/依赖保护/清理预览写"未接线"；这些都不需要生产写权限， 按"未设置就不做决定"的口径实现成只读计算。 - internal/libraryretention：按保留数量/天数生成预览；生产生效、每库最近封存、每次生产预备份、 在飞作业引用一律受保护；回收预览只算独占字节，共享 blob 不计。 - internal/libraryretention.CheckCapacity：预算未设置即不放行（无法证明装得下），超预算阻断； 已并入 POST /library/syncs 的 gate 缺项。 - 新增 GET /api/v1/library/storage：真实归档用量 + 三类版本保护依据 + 策略 + 预览 + 容量，只读。 - 系统设置→存储管理改为读该接口：策略未设置时明确"全部保留、不生成候选"，自动清理恒关闭。 - 配置项 LIBRARY_CAPACITY_BUDGET_BYTES / LIBRARY_RETENTION_VERSIONS / LIBRARY_RETENTION_DAYS（未设=0）。	2026-10-28 15:04:44 +08:00
姚章浩	e313ae12f2	feat(library): 真实差异比对 + 孤儿作业回收 + 验收矩阵与台账 ... 为什么：发布管理的差异一直显示"未接入"，业务作业也可能因队列丢作业而永久占锁； 本轮把这两件做成真实实现，并把 30 个验收项与 CI/版本身份落成可审计文档。 - internal/librarydiff：稳定文档 ID + 排除易变列的整行摘要做增改撤销；overview 在 生产权威版本与测试封存都在时给出 computed 差异并标注两侧快照，缺一侧仍是 unknown。 - 发布管理"本次变更"列文档身份与比对版本；无差异时明确写"没有文档差异"。 - ReconcileLibraryJobs：worker 启动清理队列已无对应作业的孤儿，避免永久互斥。 - docs/library-acceptance-matrix.md 与 docs/release-ledger.md 固定证据与版本事实。	2026-10-28 14:39:17 +08:00
姚章浩	dc9e827656	feat(library): 整库版本/作业持久化与状态读取契约，生产同步默认拒绝 ... - 新增 library_versions：测试封存、生产生效、生产预备份三类分开登记， 生产生效版本唯一（旧版本必须先 supersede），测试快照不能顶替生产版本 - 新增 library_jobs + library_job_stages：业务作业身份、阶段、错误与恢复说明， 分项计数用 NULL 表示"总量未知"；互斥与幂等由数据库唯一索引保证 - 新增 GET /api/v1/library/overview、/jobs、/jobs/{id}；POST /syncs 闸口未齐 返回 503 缺项且不建作业 - 封存作业落库：先建业务作业再入队，worker 推进 export 阶段并登记 test_sealed - 发布管理读真实状态：生产未知不再顶替、差异 unknown、启动同步按缺项禁用、 同步明细/四类分项来自持久阶段；阶段勾选只认当前作业证据 - 准备信息标注封存时间与范围，不声称实时测试库已就绪	2026-10-28 13:58:51 +08:00
姚章浩	bb64c32654	feat(release): 发布管理整库视图 + R4/R5/R6/R7 修复 ... - R4：封存子进程 SIGTERM 宽限停、libraryctl 信号转 ctx；失败/超时后 agent 再做 有界 recover，恢复失败即降级阻断封存并给出原因；启动先恢复、关闭等恢复完成 - R5：封存闸口以已存 payload 为准，同作业号换范围 409 且不入新队；重放回显真实状态 - R6：作业列表按类型查询（ListByType），不再先取全局再过滤 - R7：根目录 libraryagent 二进制移出版本库，保留运行产物并精确忽略 - UI：发布管理只保留对内/对外两目标，整合快照/完整性/作业/存储；链路未接线项禁用 并标原因；整库版本独立导航并入；文档级旧流程折叠保留	2026-10-28 12:28:04 +08:00
姚章浩	910c0fcd76	feat(library): 页面发起封存的最小权限主机侧执行边界 ... - libraryagent：0700 目录内 0600 unix socket + SO_PEERCRED 同 uid， 固定 binary/归档/日志/项目/写入者声明，请求只能选范围与作业号 - API：POST/GET /api/v1/library/captures（入队 library.capture + 读队列状态） - worker：library.capture handler 走 socket；启动先 recover；不挂 Docker socket、 不持有来源凭据 - web：整库版本页显示真实作业状态并可发起封存（未接线/无权限给出原因） - scripts/library-agent-install.sh：构建、安装 systemd user 服务并读回权限	2026-10-28 12:11:08 +08:00
姚章浩	c5e033dd0e	fix(library): 幂等重放、跨版本去重用量与契约复核 ... - 同作业号重跑读持久日志+已封存清单按首次请求重放（source_read=false, writers_stopped=false），换范围/绑定库或清单校验失败即拒绝 - 归档用量按跨版本去重统计内容字节，清单/未引用 blob/实际分配单列， 不再用各版本 unique 之和冒充归档占用 - 冻结窗口内复核来源契约，不一致即中止；拒绝组外同镜像运行容器 - 补齐整库只读接口的 OpenAPI 契约 - 按用户确认取消 A06：文档/页面/接口不再把效果测试列为封版门槛	2026-10-28 12:01:09 +08:00
姚章浩	20fc40a147	test(library): 验证只读整库版本读取路径并修正部署校验 ... - 合成归档断言数量/字节/契约/策略与"未接线"行为 - 部署校验改用容器内读回，不再依赖需登录的 build-info	2026-10-28 11:44:05 +08:00
姚章浩	045fc44f0e	feat(library): 接通整库封存真实入口与只读版本页 ... - libraryctl：status/preflight/capture/list/verify/recover，只读来源会话、 结清检查、契约推导、维护窗口内停写者、导出十表+索引+对象+Wiki、封存候选后恢复 - libraryfreeze.ProjectController：按 Compose 项目逐服务声明固定身份， 未声明服务/容器重建即拒绝，仅 SIGTERM，恢复后必须 healthy - httpapi：GET /api/v1/library/snapshots[/{id}] 只读列出封存产物 - web：「整库版本」页（只读、未接线显示原因、无假按钮） - api：LIBRARY_ARCHIVE_ROOT + 归档根只读挂载 - docs/library-capture.md：运维手册与 2026-10-28 两次真实封存实测 不代表整库业务验收通过：内容/问答/性能验收、跨系统切点、Wiki 删除语义重算、 生产预备份/恢复演练/双闸/同步协调仍未完成。	2026-10-28 11:39:50 +08:00
姚章浩	1b09f7d35b	feat(monitor): 卡片概况与统一文件处理表	2026-10-27 12:14:19 +08:00
姚章浩	7448d130ec	feat(settings): 汇总全部数据源配置操作审计	2026-10-27 10:42:30 +08:00
姚章浩	f0b12412a1	fix(settings): 仅展示只读DWS凭证状态	2026-10-27 09:56:19 +08:00
姚章浩	e744114ff4	fix(catalog): 打通共享授权扫描与统一来源清单显示	2026-10-26 18:36:11 +08:00
Hermes	c8f05ee46f	fix(qa): 数据源登记改走 dws，不再要求扫码 ... 侧车扫码会话只用于解析空间；dws 已有有效凭据且能给出空间 id 与根节点， 登记直接用 dws 结果生成确定性键，同名来源回 200 already_present，认不出的空间才回落侧车。	2026-10-26 17:58:44 +08:00
hermes	020cae1228	style: gofmt 新增的发现与路由文件	2026-10-26 17:23:27 +08:00
hermes	017cbcb851	feat(api): 数据源统一列举与添加前校验 ... GET /source-catalog/available 四类同一形状（wiki/drive/doc/pp），类型差异只放在 content_type； POST /source-catalog/validate 真读一次：文档表格校验可读、知识库钉盘校验账号仍可见，失败不让添加。	2026-10-26 17:22:09 +08:00
hermes	1a9d1fff83	fix(qa): 看板附图上传改用大请求体解码 ... 附图 base64 远超 64KiB 的质量编辑上限，被误判为无效设置并报“发送设置无效”。 改为 12MB 上限的通用解码，并返回明确的图片错误文案。	2026-10-26 16:03:52 +08:00
hermes	822fb652ff	feat(qa): 周报邮件区分主送抄送并附统计看板图片 ... 设置新增抄送列表，MIME 增加 Cc 头、envelope 同时投递主送与抄送，同一地址不得同时出现在两边。 确认后可保存统计看板 PNG（multipart/related + cid），发送时放在正文末尾内联显示；正文改动使确认失效后不再使用旧图。	2026-10-26 15:59:06 +08:00
hermes	600e9a2dc2	feat(qa): 周报邮件支持立即发送测试 ... 管理员可在周报页先发一封测试邮件验证邮箱配置；测试不写入发送记录、不改变确认状态，也不会把该周标记为已发送。	2026-10-26 15:31:46 +08:00
hermes	5aa32492de	fix(qa): 周报邮件读取鉴权与测试隔离 ... 只读查询不再要求同源操作意图，写操作仍需；前端改为直接消费已解包的 data。 调度集成测试按租户清理并要求一次性测试库，避免误清正式数据。	2026-10-26 09:57:41 +08:00
hermes	6816289552	feat(qa): 周报确认后按设定时段自动发邮件 ... 周报页新增自动发送区：管理员配置 SMTP/收件人/发送星期与小时，授权码用主密钥加密保存。 确认绑定当前草稿版本与正文哈希，正文再改则确认失效；worker 每分钟仅在启用、到点、周已结束且未发送过时发一次。 邮件同时提供渲染后的 HTML 与可读纯文本；SMTP 仅允许 TLS，拒绝明文。 迁移 000060 新增设置、确认与发送记录三张表，唯一键防重复发送。	2026-10-26 09:49:23 +08:00
姚章浩	00c4c13283	fix(qa): 首批即显并统一五字段后端筛选 ... 列表正文改为按需读取；保留完整导出、版本隔离和有效标签筛选。 验证：前端全量、Go全量及隔离PG全mirror竞态通过；覆盖首批回调、续载失败与筛选分页。	2026-10-25 12:45:31 +08:00
姚章浩	2c0bb32183	fix(qaops): 点踩问题统一判为不正确 ... 通过持久来源关联读取最新本地反馈，强制总表有效正确性为否，保留原问答和人工证据。统一列表、详情、指标和两阶段读取的反馈快照，拒绝冲突选择并保留其他字段编辑。已通过完整本地门禁、隔离PG竞态和真实恢复库52条点踩逐条读回、桌面及手机验收；未调用模型或连接源生产库。	2026-10-20 08:18:03 +08:00
姚章浩	87f97a2f9b	feat(qaops): 完成详情下拉与每周自动保存草稿 ... 详情使用共享主表字典，稀疏修改所选字段并保留原始问答及旧复核审计。 月周统计提供文本和下拉双入口；每租户每周一份持久草稿，按技能六节双语模板真实预填。 加入幂等自动保存、冲突保留、未知响应重试、切周及离开保护和schema58非破坏降级保护。 验证：完整make verify、隔离PostgreSQL全mirror竞态回归、真实恢复库浏览器验收通过。 浏览器实测字段精确读回、月周双输入、模板预填、MD/CSV、自动保存、冲突、失败重试与API重启恢复。 未连接或改写DobotAI生产源库，未运行付费模型；提交时尚未部署。	2026-10-20 05:44:02 +08:00
姚章浩	4a2b2b7d84	feat(qaops): 增加部门树区域统计与父子联选 ... 区域配置入口改为区域统计，五列表按当前通讯录整支人员去重；调岗依当前归属、零分母未知、最近真实提问时间和父行收起不重算。仅读治理正式总表，后台单并发/请求合并/60秒缓存，目录与配置版本隔离，客户端失败不伪零。 保留区域自定义目录与预览/双版本锁保存，父部门勾选联选全后代，取消子支清除祖先整支选择，避免隐式覆盖未选子级；允许删除无引用区域，已有引用不静默孤立。统计页与设置共享选择，统计支持累计与北京时间自然月；不新增迁移，不改DobotAI生产、代理、原问答、历史趋势或已有AI任务。 验证已执行：完整make verify退出0，705 Go/340前端通过、120项声明的可选集成跳过且必需0跳过；镜像全量隔离PG race退出0；新增去重/调岗/空分母、后台缓存/并发、HTTP授权/严格请求、真PG目录与配置失效、树选择/收起、五列与删除保护均先红后绿。旧导航测试按新名称更新后全量通过。上线前治理库备份与真实恢复72表/29张QA内容哈希一致，匹配独立主密钥受限备份。 当前尚待精确SHA CI、同镜像真实数据浏览器与正式读回，不把源码验证称为已上线。公司真实区域映射不在本轮擅改；只在隔离库验证保存。	2026-10-19 19:01:36 +08:00
姚章浩	533db535f1	feat(qaops): 接入真实模型补缺任务与总表看板 ... 按已确认需求提供独立安全模型配置、真实探测、正式字典字段评估与原问题译中，持久批次支持只补空白、暂停恢复、有限重试、幂等和逐字段依据。覆盖固定规则、本地语言、组织关联与主表有效看板共用治理侧读模型，保留源生产和冻结历史。 验证：完整 make verify 退出0，702项Go与329项前端通过；默认118项外部/隔离集成明确跳过，另跑完整镜像及组织隔离PG竞态。12并发、输入漂移、过期租约、暂停/恢复及有限重试通过。用户授权的百炼 deepseek-v4.1-flash 完成真实后台与浏览器评估/翻译；552行、16列、11块看板及完整PNG、独立配置页测试/保存、重开恢复和零JS异常通过。仅非业务样本外发，自动处理关闭，原payload不变。 上线前治理库已做导出快照原生备份并真实恢复，60表行数与17个QA表内容哈希一致；不修改DobotAI生产或隧道。本提交时尚未部署，线上验收须独立完成。	2026-10-19 14:29:49 +08:00
姚章浩	f5e0f8d20f	feat(qa-ops): 建立独立正式主表并保真导入历史问答 ... 将可维护总表与可替换2.0镜像分离，稳定来源关联和原始事件键保留； 源端更新/删除不覆盖主表或人工复核。首次收录保留原评估审计， 主表输入/复核独立持久化；历史原标注不冒充新AI或冻结证据。 历史导入绑定源哈希、逐行批准清单与真实恢复备份；三字段精确去重， 批次及原字段留档，重复执行不覆盖后续修改。仅操作本地治理库。 验证：完整make verify退出0；镜像与区域两组隔离PG race退出0； 真实恢复数据隔离导入12522、跳过792、暂缓1，总表15050； 重放保留模拟修改，结构down拒绝丢历史；真实浏览器第41周551条完整， 历史原标注和独立主表复核读回通过，移动布局及JS异常0。	2026-10-19 08:49:18 +08:00
姚章浩	6e67034fbd	feat(qa-ops): 交付十一项统计看板与完整图片导出 ... 以治理库单一只读事务分开聚合累计、自然周、截止月及当前通讯录使用分母；浏览器不再读取全量长答案来构建看板。 新增迁移52与普通worker周质量冻结，保留真实冻结时点、规则和标量贡献；缺少当时快照留空。提交后冻结头与贡献不可修改、删除或追加；只读接口保留管理员、固定租户、严格JSON与输入冲突保护。 已验证：make verify退出0，686个Go用例和305个前端用例通过，必需跳过0；镜像与组织隔离PostgreSQL竞态回归退出0。真实治理副本浏览器核对第41周累计1885与新增471、十一项和完整PNG下载，390px无外溢、JS异常0；明确模拟503后不伪零且重试恢复。没有修改DobotAI原始问答、真实区域规则或生产发布门禁。	2026-10-18 23:26:55 +08:00
姚章浩	76671e0784	feat(qa-ops): 支持自定义区域与分级部门批量归属	2026-10-18 21:50:29 +08:00
姚章浩	3e7fcce0b1	feat(qa-ops): 持久本地问答副本与安全答案预览 ... 新增迁移50与每5分钟/手动持久同步，API只读本地；同步失败保留、权限阻断、租约与质量失效原子激活。 保留全量稳定分页/固定列，已存质量批量读取，元数据不反复解压长答案；详情安全Markdown与原文。 已运行整仓 make verify、源与副本隔离PG -race、真实只读源及隔离浏览器。 实际同步2525条；固定窗口640条本地中位1.46秒，对照直接源33.10秒。 停worker、缺源凭据、重启API后仍可查询；未更新8088，未修改生产原问答。	2026-10-18 19:10:47 +08:00
姚章浩	013ce4a24e	fix(version): 补全开发快照记录与同步交付闭环 ... 收录 main、注释开发快照和完整运行 SHA；开发说明绑定原提交，补记 0.1.1–0.1.25。 进行中同步按仓库合并，完成后重新执行；启动入队，部署脚本读回版本证据。 开发快照独立于正式标签与 Release，既有冲突标签不移动。 已运行：整仓 make verify，Go 673 通过、前端 274 通过，92 个已声明可选跳过，必需跳过 0。 隔离 PostgreSQL 重复同步队列用例及 -race 通过；未更新现有 8088、未修改生产问答。	2026-10-18 18:11:49 +08:00
姚章浩	2ea2111420	fix(web): 保留代理端口以修复同源质量查询误拒绝 ... Nginx 使用原始 Host 和端口转发，不修改后端跨站防护。补充无 Fetch Metadata 的 LAN/Tailscale 同源和异源、异端口、转发头伪造回归。 验证：配置回归先因丢失端口失败后通过；HTTP竞态、真实隔离Nginx正反例及完整make verify均通过。部署前真实入口无Metadata为403，同源Metadata对照可过；源库及人工复核无写入。	2026-10-18 15:45:09 +08:00
姚章浩	828c2c5fa0	feat(qa-ops): 按确认口径补齐质量比例与分母明细 ... 使用完整筛选范围的当前有效结论计算覆盖率和正确率，人工优先，失效与对应待确认/未评估/不计入排除；零分母返回null，界面展示原始分子分母和排除构成，前端拒绝不守恒或比例不一致的响应。 验证：make verify退出码0，Go658及前端257通过，91项声明可选集成跳过；隔离PG、三包竞态及合成/真实只读源浏览器验证通过。无新增迁移，不接AI模型，不改绩效，不写源库；本批未推送或部署，8088运行版保持0.1.21。	2026-10-18 02:00:31 +08:00
姚章浩	4b3aaff321	feat(qa-ops): 完成复检留档与人工复核闭环 ... 治理侧保存输入观测版本、自动复检及人工复核历史，输入变化失效、版本冲突和幂等重放不覆盖人工记录。批量质量数量使用完整筛选元数据，未采集原文不伪造快照，延迟旧扫描不回退新输入。 验证：全仓 make verify 退出码0，Go656及前端253通过；五包竞态、源/组织/质量隔离PG、真实只读源和隔离网页读回复核通过。默认91个可选集成跳过不计通过。未接AI模型，不写DobotAI源库，未推送、未合并、未部署。	2026-10-17 22:37:26 +08:00