48 Commits

Author	SHA1	Message	Date
姚章浩	7448d130ec	feat(settings): 汇总全部数据源配置操作审计	2026-10-27 10:42:30 +08:00
hermes	f87d3fad9b	fix(qa): 授权码按写入版本解密，改其它设置不再失效 ... 只调整收件人或时间也会递增设置版本，导致已保存的授权码无法解密、测试发送报存储不可用。 新增 password_revision 记录加密时的版本，迁移回填现有行。	2026-10-26 16:09:00 +08:00
hermes	23b19350cc	feat(qa): 周报邮件新增测试/审核邮箱 ... 测试发送只投递到该地址，不打扰主送与抄送名单；未填时退回主送首位。	2026-10-26 16:06:17 +08:00
hermes	822fb652ff	feat(qa): 周报邮件区分主送抄送并附统计看板图片 ... 设置新增抄送列表，MIME 增加 Cc 头、envelope 同时投递主送与抄送，同一地址不得同时出现在两边。 确认后可保存统计看板 PNG（multipart/related + cid），发送时放在正文末尾内联显示；正文改动使确认失效后不再使用旧图。	2026-10-26 15:59:06 +08:00
hermes	6816289552	feat(qa): 周报确认后按设定时段自动发邮件 ... 周报页新增自动发送区：管理员配置 SMTP/收件人/发送星期与小时，授权码用主密钥加密保存。 确认绑定当前草稿版本与正文哈希，正文再改则确认失效；worker 每分钟仅在启用、到点、周已结束且未发送过时发一次。 邮件同时提供渲染后的 HTML 与可读纯文本；SMTP 仅允许 TLS，拒绝明文。 迁移 000060 新增设置、确认与发送记录三张表，唯一键防重复发送。	2026-10-26 09:49:23 +08:00
姚章浩	2c0bb32183	fix(qaops): 点踩问题统一判为不正确 ... 通过持久来源关联读取最新本地反馈，强制总表有效正确性为否，保留原问答和人工证据。统一列表、详情、指标和两阶段读取的反馈快照，拒绝冲突选择并保留其他字段编辑。已通过完整本地门禁、隔离PG竞态和真实恢复库52条点踩逐条读回、桌面及手机验收；未调用模型或连接源生产库。	2026-10-20 08:18:03 +08:00
姚章浩	87f97a2f9b	feat(qaops): 完成详情下拉与每周自动保存草稿 ... 详情使用共享主表字典，稀疏修改所选字段并保留原始问答及旧复核审计。 月周统计提供文本和下拉双入口；每租户每周一份持久草稿，按技能六节双语模板真实预填。 加入幂等自动保存、冲突保留、未知响应重试、切周及离开保护和schema58非破坏降级保护。 验证：完整make verify、隔离PostgreSQL全mirror竞态回归、真实恢复库浏览器验收通过。 浏览器实测字段精确读回、月周双输入、模板预填、MD/CSV、自动保存、冲突、失败重试与API重启恢复。 未连接或改写DobotAI生产源库，未运行付费模型；提交时尚未部署。	2026-10-20 05:44:02 +08:00
姚章浩	a9870beade	feat(qaops): 补充独立历史覆盖率与正确率趋势 ... 用户提供的历史百分比独立持久化，按ISO自然周和截止范围读取，不伪造分子分母、记录数或冻结时间。现有两张趋势图与PNG共用来源分色/分段及两位小数；缺失周留空，关键词筛选不借用无明细历史，当前指标与原冻结证据不变。 验证：完整make verify退出0；镜像全量隔离PG race退出0，新增来源/精度/关键词/租户/截止/不可变和安全down回归先失败后通过。前端输入/来源及缺失周回归先红后绿。治理库上线前原生备份与真实恢复已完成，71表行数和28张QA表内容哈希一致，独立主密钥同时受限备份。 当前仅完成开发验证，真实数据候选浏览器验收、正式25周导入与应用上线需继续完成。不修改源生产数据库、原问答、已有模型自动开关或隧道；用户原始报表和图像只保存于私有证据目录，不入Git。	2026-10-19 17:55:15 +08:00
姚章浩	533db535f1	feat(qaops): 接入真实模型补缺任务与总表看板 ... 按已确认需求提供独立安全模型配置、真实探测、正式字典字段评估与原问题译中，持久批次支持只补空白、暂停恢复、有限重试、幂等和逐字段依据。覆盖固定规则、本地语言、组织关联与主表有效看板共用治理侧读模型，保留源生产和冻结历史。 验证：完整 make verify 退出0，702项Go与329项前端通过；默认118项外部/隔离集成明确跳过，另跑完整镜像及组织隔离PG竞态。12并发、输入漂移、过期租约、暂停/恢复及有限重试通过。用户授权的百炼 deepseek-v4.1-flash 完成真实后台与浏览器评估/翻译；552行、16列、11块看板及完整PNG、独立配置页测试/保存、重开恢复和零JS异常通过。仅非业务样本外发，自动处理关闭，原payload不变。 上线前治理库已做导出快照原生备份并真实恢复，60表行数与17个QA表内容哈希一致；不修改DobotAI生产或隧道。本提交时尚未部署，线上验收须独立完成。	2026-10-19 14:29:49 +08:00
姚章浩	f5e0f8d20f	feat(qa-ops): 建立独立正式主表并保真导入历史问答 ... 将可维护总表与可替换2.0镜像分离，稳定来源关联和原始事件键保留； 源端更新/删除不覆盖主表或人工复核。首次收录保留原评估审计， 主表输入/复核独立持久化；历史原标注不冒充新AI或冻结证据。 历史导入绑定源哈希、逐行批准清单与真实恢复备份；三字段精确去重， 批次及原字段留档，重复执行不覆盖后续修改。仅操作本地治理库。 验证：完整make verify退出0；镜像与区域两组隔离PG race退出0； 真实恢复数据隔离导入12522、跳过792、暂缓1，总表15050； 重放保留模拟修改，结构down拒绝丢历史；真实浏览器第41周551条完整， 历史原标注和独立主表复核读回通过，移动布局及JS异常0。	2026-10-19 08:49:18 +08:00
姚章浩	6e67034fbd	feat(qa-ops): 交付十一项统计看板与完整图片导出 ... 以治理库单一只读事务分开聚合累计、自然周、截止月及当前通讯录使用分母；浏览器不再读取全量长答案来构建看板。 新增迁移52与普通worker周质量冻结，保留真实冻结时点、规则和标量贡献；缺少当时快照留空。提交后冻结头与贡献不可修改、删除或追加；只读接口保留管理员、固定租户、严格JSON与输入冲突保护。 已验证：make verify退出0，686个Go用例和305个前端用例通过，必需跳过0；镜像与组织隔离PostgreSQL竞态回归退出0。真实治理副本浏览器核对第41周累计1885与新增471、十一项和完整PNG下载，390px无外溢、JS异常0；明确模拟503后不伪零且重试恢复。没有修改DobotAI原始问答、真实区域规则或生产发布门禁。	2026-10-18 23:26:55 +08:00
姚章浩	76671e0784	feat(qa-ops): 支持自定义区域与分级部门批量归属	2026-10-18 21:50:29 +08:00
姚章浩	3e7fcce0b1	feat(qa-ops): 持久本地问答副本与安全答案预览 ... 新增迁移50与每5分钟/手动持久同步，API只读本地；同步失败保留、权限阻断、租约与质量失效原子激活。 保留全量稳定分页/固定列，已存质量批量读取，元数据不反复解压长答案；详情安全Markdown与原文。 已运行整仓 make verify、源与副本隔离PG -race、真实只读源及隔离浏览器。 实际同步2525条；固定窗口640条本地中位1.46秒，对照直接源33.10秒。 停worker、缺源凭据、重启API后仍可查询；未更新8088，未修改生产原问答。	2026-10-18 19:10:47 +08:00
姚章浩	013ce4a24e	fix(version): 补全开发快照记录与同步交付闭环 ... 收录 main、注释开发快照和完整运行 SHA；开发说明绑定原提交，补记 0.1.1–0.1.25。 进行中同步按仓库合并，完成后重新执行；启动入队，部署脚本读回版本证据。 开发快照独立于正式标签与 Release，既有冲突标签不移动。 已运行：整仓 make verify，Go 673 通过、前端 274 通过，92 个已声明可选跳过，必需跳过 0。 隔离 PostgreSQL 重复同步队列用例及 -race 通过；未更新现有 8088、未修改生产问答。	2026-10-18 18:11:49 +08:00
姚章浩	4b3aaff321	feat(qa-ops): 完成复检留档与人工复核闭环 ... 治理侧保存输入观测版本、自动复检及人工复核历史，输入变化失效、版本冲突和幂等重放不覆盖人工记录。批量质量数量使用完整筛选元数据，未采集原文不伪造快照，延迟旧扫描不回退新输入。 验证：全仓 make verify 退出码0，Go656及前端253通过；五包竞态、源/组织/质量隔离PG、真实只读源和隔离网页读回复核通过。默认91个可选集成跳过不计通过。未接AI模型，不写DobotAI源库，未推送、未合并、未部署。	2026-10-17 22:37:26 +08:00
姚章浩	cc4906b6a9	feat(qaops): 接通网页通讯录持久化同步与后台接管	2026-10-17 17:36:07 +08:00
姚章浩	dab74b706b	feat(qaops): 增加版本化部门区域归属配置与预览	2026-10-17 11:39:38 +08:00
姚章浩	9a8a3e7795	fix(dingtalk): 登记钉钉知识库 409 space_registration_conflict —— 归档行占名 + 错误被吞 ... 现象：点「公司级技术支持知识库」登记，返回 HTTP 409：space_registration_conflict。 根因（真数据取证）： - source_connections.name 有唯一约束。这 3 个钉钉来源是**早期路径**登记的 （base_url 为空，id 与 dws 现在推导的确定性 id 不同）： sc-18d10ca0… 公司级技术支持知识库 / sc-eaef0ec1… ATOM知识库 / sc-dc7cea1c… 技术诊断部知识沉淀。 - 上一步「去掉来源」只是归档下架，**名字仍占着唯一槽位** ⇒ 重新登记时 INSERT 撞 UNIQUE(name)。 - 处理器把**所有**存储层错误都翻译成同一个 409 space_registration_conflict（真实原因被吞）。 修复： - store：同名的另一行若**已归档** ⇒ 改名腾位（`…（已下架 · <短ID>）`，归档行不显示， 数据与审计一行不动）；若**仍在使用** ⇒ ErrDingtalkSpaceNameTaken（绝不悄悄改名）。 同一个登记键解析到别的 root 时：在用中的行报 ErrDingtalkSpaceIdentityConflict； 归档过的行允许就地改写（"去掉后再用 dws 重新获取"的语义）。 - httpapi：分类映射 —— space_name_conflict / space_identity_conflict（409 + 可行动 hint）， 其余内部故障改回 500 space_registration_failed，不再伪装成冲突。 - web：读一次响应体同时取 error 与 hint，**hint 优先**；补两个新码的中文说明。 验证：真 postgres 集成测试复刻线上形态（旧行占名 + 归档 ⇒ 登记成功、旧行改名保持归档、 内容不丢；同名在用 ⇒ 拒绝；同键换 root 在用 ⇒ 拒绝、归档 ⇒ 就地改写）；handler 分类测试 （409/409/500，且不回显内部细节）；前端 hint 优先用例；make verify 15/15。	2026-10-14 12:59:52 +08:00
姚章浩	2c7265efc4	feat(sources): 数据源配置收敛成 dws 导入 + PP 导入；「去掉来源」= 归档下架（不删数据） ... 主人要求：去掉入口，统一成 dws 导入与 PP 导入；其他来源连数据一起下架，之后用 dws 重新获取。 界面（web）： - 「数据源配置」只剩两块：**dws 导入（钉钉）**（按当前钉钉账号列出可访问的知识库与钉盘空间） 与 **PP 导入**（PP 资料下载中心）。上一步加的「显示 AList／钉钉知识库来源」折叠开关删除。 - 来源卡片新增管理员可见的「去掉来源」（带确认弹窗，说明是归档下架、数据保留可恢复）。 - 侧栏文案改成"只留两个入口"；发现面板标题改为「dws 导入（钉钉）」。 后端（归档语义，可逆）： - 迁移 000047：source_connections 增 archived_at / archived_by + 只覆盖未归档行的部分索引。 - store：ArchiveSourceConnection / RestoreSourceConnection（幂等；归档同时停用并清空 next_refresh_at，避免被手工改回后立刻带着旧调度跑）。列表、目录、计划刷新（claimDue）、 手动扫描（triggerBlock/inspect）四类查询一律排除归档行。 - 注册路径（dws 重新获取）：RegisterDingtalkSpace 的 ON CONFLICT 清掉归档标记 —— 重新登记同一个空间**原地复活同一行**，不产生重复，历史快照仍属于同一行。 - HTTP：POST /api/v1/source-connections/{id}/archive|restore（管理员专属，写意图头 source-archive / source-restore + Idempotency-Key；404 区分"不存在"与"已是目标状态"）； openapi 同步两条契约。 验证： - 集成测试（真 postgres）：归档从列表消失但 source_items 一行不少、重复归档不漂移归档时间与人、 未知 ID 报 ErrSourceConnectionNotFound、归档来源不能再被扫描、恢复后回到列表但保持停用； dws 重新登记同一空间复活同一行。 - httpapi：写意图/幂等键门禁、200/403/404/500、错误体不回显内部细节、classifyRole 管理员专属。 - 迁移护栏：000047 结构 + 四类 SQL 必须含 archived_at is null（漏一条就是入口没去掉）。 - make verify 15/15。	2026-10-14 12:36:32 +08:00
姚章浩	0974d8dfa2	feat(version-history): 「版本记录」页 —— 追踪远端 main 全部提交（只读 + 管理员手动同步） ... 按已确认的契约实现（口径见 docs/VERSION_HISTORY.md）： - **版本号口径（只给有证据的）**：注释 tag + tag 指向该提交 + 该提交内 CHANGELOG 顶部三者一致 ⇒ 正式版本； tag 之后的提交按 `<主>.<次>.<自该 tag 的提交数>` 显示开发号（与 scripts/version.py **同规则**）； 证据不足 ⇒ 「历史提交 · 短SHA」+ 原因码，**不补造版本号**。完整 SHA 是唯一身份、版本号不是唯一键 （tag 之后两条并行分支各自的第 1 个提交都算 0.1.1 ⇒ 两条都保留，用短 SHA 区分）。 - **迁移 000046**：version_history_commits（提交记录，主键 repo_key+commit_sha）+ version_history_sync_runs （同步状态）。快照 = 一次同步：抓完并与 X-Total-Count 对账通过才切换；失败不切换快照、不清空历史、 last_success_at 不动（页面显示"上次同步失败（原因）· 仍展示上次成功数据"）；「同步成功」≠「历史完整」。 - **只读客户端（匿名，不使用任何凭据）**：白名单 origin + 固定仓库、拒绝任意 URL 与跨主机重定向、 响应上限 5MB / 超时 15s、仅 5xx/429 退避重试（最多 3 次）；逐页抓到短页为止；每次全量扫 tag ⇒ 旧提交后补的 tag 会更新既有记录（不新增第二行）。 - **接口**（三个都登记进 api/openapi.yaml）：GET /api/v1/build-info（viewer）、 GET /api/v1/version-history（viewer；游标绑定快照，过期返回 409 cursor_expired；不返回伪造 total）、 POST /api/v1/version-history/sync（admin；并发同步复用同一作业，靠 IdempotencyKey）。 - **「当前运行」只认精确匹配**：产物注入的完整 SHA 命中某条记录才标该条；开发构建显式标注"开发构建"； 没有可用标识 ⇒ "当前运行版本未知"；**不拿最新 main / 最新 tag 顶替**，CI 成功不等于已部署。 - **前端**：一级菜单第 5 项（版本记录）+ 时间线页面（全部/正式/开发/历史四段筛选、正文展开、 加载更多、760px 单列无横向溢出、提交正文与变更记录按纯文本渲染）；无打 tag / 发布 / 部署入口。 新增配置（留空即未接线，页面降级）：VERSION_HISTORY_GITEA_BASE_URL / _REPO / _ALLOWED_ORIGINS / _HTTP_TIMEOUT / _MAX_PAGES。 验证：`make verify` 15/15 success（tests-go 578 通过 / 0 失败；tests-web 209 通过 / 0 失败）； 新增 Go 用例 30（版本口径与图遍历 12、客户端守卫 6、同步编排 5、接口 7）；前端新增 18（组件 10 + 客户端 8）； 真实仓库匿名快照拉取（`VERSION_HISTORY_LIVE_BASE_URL=… go test -run TestLiveSyncAgainstRealRepository`）： 抓到 113 条与 X-Total-Count 一致、v0.1.0 是注释 tag 且目标与 `git rev-parse v0.1.0^{commit}` 一致、 开发号逐个等于 `git rev-list --count v0.1.0..<sha>`（正式 1 / 开发 22 / 历史 90）。	2026-10-13 19:40:19 +08:00
姚章浩	c04abd6530	style(go): 清掉存量 gofmt（6 个文件的字段对齐与文件末尾换行） ... 接入格式门禁前先量了一次存量：gofmt -l 在 295 个被跟踪的 .go 文件里报 6 个， 全是字段对齐与缺文件末尾换行这类机械问题。先一次性清干净，门禁接上后 Go 侧一条都不欠。 为什么独立一个提交：格式清理混进功能改动会让 diff 无法 review（正本要求存量清理独立提交）。 验证：gofmt -l 对被跟踪的 .go 文件输出为空；go vet 与 go test 全过。	2026-10-12 00:10:31 +08:00
姚章浩	1283f65a95	feat(catalog): 首次扫描中的来源也出现在「来源与目录」，并显示实时进度 ... 用户反馈：加了钉盘来源后「来源与目录」里看不到。根因不是丢数据，而是列表只列"已经有快照" 的来源 —— 首次扫描要几分钟到几十分钟（钉盘空间 2900+ 个文件夹），这段时间页面上什么都没有。 - 新 Store 方法 ListCatalogScanProgress：已启用 + 还没有 catalog head + 有在跑/排队的 source.catalog.refresh（三条件同时成立）。进度直接取 worker 写在任务载荷里的同一份计数 （progress/message/scanned_directories/discovered_directories/scanned_files），不另立口径。 - /api/v1/source-catalog/sources 在既有列表后追加这些行（snapshot_status="scanning" + scan_progress/scan_message）。走窄接口按需接线：未接线时安静跳过，不会把旧列表弄坏。 - 前端：左列显示「首次扫描中 44%」，选中后是进度面板（百分比 + 进度条 + 当前文案 + 已发现文件数），并说明"扫完自动出现目录"；有来源在扫描时每 3 秒自动刷新列表， 扫完那一行自动变成「本地只读快照」。扫描中不拉目录节点、也不显示标注/格式入口。 - 解析器保持严格：snapshot_status 只接受 ready/scanning，scanning 必须带 scan_progress， 否则整包拒绝 —— 不给"假装 0%"的机会。 测试：postgres 集成测试（真库）覆盖四种不该出现的来源（停用、已有快照、任务类型不符、 历史上已完成的那次任务）；前端 parser + 渲染各一条；Go 全绿、前端 192 条 + tsc 干净。 面板实测：左列「公司级营销资料管理 · 首次扫描中 44%」，主区「首次扫描中 · 44% / 正在扫描目录：已完成 1540 个文件夹 / 已发现约 4934 份文件」。	2026-10-10 17:04:59 +08:00
姚章浩	70131c6161	feat(release): 批量审核 + 建批即锁定 —— 发布管理单文档交互降到 3~4 次 ... P0-3： - 批量审核：新增 POST /api/v1/review-candidates/batch-decision，逐条复用单条审核的写入 路径（同一套合法性校验与"最新验收轮次"绑定），逐条回报 decided/skipped/skipped_ids； 不可审核的条目只计入 skipped，不打断整批，其他错误整批回滚（不留半成品）。 界面新增「全选可批准」「批量批准选中」「批量驳回选中」。 - 建批即锁定：建批请求加 seal 字段，服务端在创建后立即执行既有的密封（仍逐项复核门禁， 失败整批回滚），草稿态不再单独占一步；界面按钮改为「创建并锁定清单」，流程说明从 8 步改 7 步。 - 判据修正：「可批准」原先把已驳回的算进去（review_state !== 'approved'），改为只含 pending + 门禁通过。 语义边界（写进测试）：批量批准按人工身份记录，人工可推翻自己先前的驳回；system:auto 发起的 批量批准对人工驳回过的那条必须跳过（Decided=0/Skipped=1）——机器永远不覆盖人工。 测试：review_batch_integration_test.go（批量决定/跳报/重复 id 拒绝/机器不覆盖人工、 建批即锁定）、review_batch_test.go（幂等键、400/409/500/501 映射、服务端盖操作人）、 reviewRelease.test.ts（批量请求体与逐条回报、建批带 seal）。前端 181 条通过。	2026-10-10 15:29:31 +08:00
姚章浩	acf053faf3	feat(release): 建批时冻结 + 验收通过自动批准 —— 把"每份文档 8 步"砍掉两步并去掉两次卡死 ... 背景：发布管理把"逐条核验"的仪式强加给每一份文档。实测一份文档要 9~11 次交互， 且有两处顺序陷阱（冻结后批准 → 建批 422；生成即固化 → 批准被永久钉住）。 P0-1 建批时冻结： - CreateReleaseBatch 在未指定版本时，自己把当前实时计划冻结成一份**已确认**版本并绑定 （同一事务；同摘要复用最近版本，planned 或 confirmed 都可复用，因此同一份计划不堆版本）。 - 语义不变：批一旦建立，清单/摘要/验收轮次/目标库绑定全部不可变、回滚按它走；变的只是 "谁在什么时候按固化键"——从操作员的手动两步变成建批这一下。 - 效果：去掉「生成新版本」「确认冻结」两步；消灭"批准晚于冻结 → 422"这类顺序陷阱； 前端不再传版本 id，也不再有"所选知识不在冻结清单里"的阻断。 - 计划→清单项的映射抽成 ChangeSetItemsFromPlan 供两处共用，否则两处算出的摘要不同， "同一计划复用同一版本"永远不命中。 P0-2 验收通过自动批准： - 验收三项结论达发布门槛（knowledge_exists/chunks_present=passed，retrieval_hit 与门槛同 口径）时，由 worker 写入 reviewer_ref='system:auto' 的批准记录，替代"每份文档点一次批准"。 - 策略 TEST_AUTO_REVIEW_POLICY = off | internal（默认，仅对内）| all；值不认识拒绝启动。 只影响审核这一步：生产授权、双闸与发布前快照门禁不受影响。界面上只读展示当前策略。 - 安全边界（写死在审核 SQL 里）：系统只允许写"第一条"审核——人工一旦表过态，机器不得用一条 更晚的 approved 把人工结论翻回去；人工随时可再审。集成测试去掉该约束即 FAIL（已实测）。 - 自动批准自身的任何失败都不影响验收结论，只上报。 顺带（P1-1 前半，已被 P0-1 取代的部分已删除）： - 写操作失败把服务端 {"error": ...} 的原因带出来，并对已知原因给出下一步（不再只给 HTTP 状态码）。 - 当前的"不在已冻结清单里"标注与就地修复按钮随 P0-1 一起移除（该失败模式已不存在）。 测试：bind_time_freeze_integration_test.go（绑定已确认版本/同计划复用/冻结后不可变/ 动作不符仍 NotEligible）、auto_review_integration_test.go（系统只写第一条、人工可再审）、 validate_test.go（对内自动/对外不自动/策略关闭/验收未过不批/自身失败不影响验收）、 auto_review_test.go、config_test 及前端能力解析测试。 实测耗时：本机 Go 全量 26 包通过、前端 178 条通过。	2026-10-10 15:05:20 +08:00
姚章浩	a1b46d2b7c	feat(monitor): 需下架车道可逐条移除测试库知识 —— 补齐最后一个没有页面入口的流程 ... 背景：来源侧被判「禁止导入」后，已建好的测试库知识不会自动消失；此前只有变更集 删除路径会入队 test.remove，页面既列不出条目也没有按钮，运维无法闭环（车道只有按 库计数）。 新增： - GET /api/v1/test-publications?removal=required：条目级列表，判据与车道计数同源 （superseded_at IS NULL / 有 knowledge_id / completed / retrieval_state NOT IN (disabling,disabled) / policy_state='blocked'），过滤是叠加而不是替换。 - POST /api/v1/test-publications/{id}/removal：engineer 级写路由，要求 Idempotency-Key， 按条目幂等（operator-remove:<id>）；置 disabling 并交既有 test.remove 工作流去删除 远端知识并读回校验。错误映射 404/409(已移除)/409(不可移除)/501(未接线)。 - 界面：需下架车道逐条显示条目 + 「下架（从测试库移除）」，页内二次确认，成功提示， 完成后计数归零。 修掉过程中踩到的两个真问题： 1. 二次确认的确认态原先经容器 props 传给视图，一次容器改动把三个 props 丢了 —— 视图永远渲染原按钮、确认步骤静默消失，而所有静态单元测试仍然通过。改为把确认态 放在视图内部；并把「取消」放在原按钮位置（真实指针连点两下只会落到取消）。 2. jobs 上有部分唯一索引 UNIQUE (business_change_set_id, business_version_id, business_target_kb_id, business_action) WHERE business_change_set_id IS NOT NULL。 本路径给这三列写空串（非 NULL），('','','','remove') 对所有条目是同一个键 —— 第一条之后每次 INSERT 都撞唯一索引、被 ON CONFLICT DO NOTHING 静默吞掉，留下 「状态已 disabling、没有任务」的永久卡死条目，而车道恰好隐藏 disabling，运维也 看不到。改为写 NULL（语义：无变更集身份）+ 冲突目标收敛到 idempotency_key + 校验 RowsAffected()（0 行回查既有任务；查不到就报错，不提交无任务的 disabling）。 卡死状态在重试时可自愈。 测试：internal/platform/postgres/test_publication_removal_integration_test.go（两条发布 各自入队、business_* 为 NULL、卡死自愈；把修复退回旧写法该测试即 FAIL，已实测）、 internal/httpapi/test_publication_removal_test.go（权限/幂等键/错误映射/未接线 501/列表 过滤）、前端 testPublications.test.ts + WeKnoraMonitor.test.tsx。 验收（纯界面，两条都走完）：解析监控 → 需下架（2）→ 逐条「下架」+ 二次确认 → retrieval_state=disabled（PDF 03:57:03Z、md 04:08:55Z），jobs completed（attempt 2， 首次 test_remove_pending＝远端仍在处理，重试通过；工作流以 GetKnowledge 读回 404 判 成功）→ 车道需下架（0）。核验「确认前不执行」：首次点击后仍 unpublished、移除任务数仍 1。	2026-10-10 12:10:46 +08:00
姚章浩	e9a643cc33	fix(release): 禁止导入未被算进期望策略 —— 生产知识下不了架（计划与建批两处同源缺陷） ... 界面验收实测（2026-10-10）：把已发布到生产的 PDF 改为「禁止导入」后，发布通道既给不出 delete、也建不了 delete 批次。 根因：禁止导入只写 source_items.policy_state='blocked'，而"期望策略"的解析只看 source_item_scope_overrides / directory_scope_rules / source_items.visibility—— 两处实现都不看 policy_state： 1) release_plan.go 的 source_truth：被禁止且生产侧存在的条目被算成 unchanged/present、 can_release=false → 永远不会出现 delete 动作； 2) release_batches.go 的 releaseDeleteReadyCTEs.source_truth：同样口径 → 计划即使给了 delete，创建封批仍被拒 422（实测原文「创建封批失败（HTTP 422）」）。 修复：两处都把 policy_state='blocked' 算进期望策略（各一行，注释写明成因）。 新增集成测试 release_plan_policy_state_integration_test.go：用 policy_state（真实路由的写法） 造"生产存在 + 已禁止"的条目，断言①计划给出 action=delete/can_release、②delete 批次可创建； 分别回退任一处修复，该测试即 FAIL（已实测两种回退都 FAIL）。 实测闭环：重新发布使生产存在（enable_status=enabled）→ 禁止导入 → 计划 delete（present/ can_release=true）→ v8 delete_count=1 → 批次 rb-8c1ad1c9…(sealed, action=delete) → 留档 20261010T033100Z + 门禁 PASS → 执行 rx-6c19232a… completed（项级 verified/delete、 production_revision=absent）→ 目标库该行 enable_status=disabled（行保留、检索停用、可恢复）。 附带：从未导入却被标为禁止的 82 条"等待测试"噪音不再占发布计划（195 → 113 项）。 证据与说明补进 docs/USER_FLOWS_ACCEPTANCE.md（C2b + F.3h）。	2026-10-10 11:36:08 +08:00
姚章浩	343a005db1	test(backup): 迁移计数更新到 45 并补 44/45 内容断言；新增 backup_schedule 真实库往返集成测试 ... - migrations_test.go 之前硬编码 44：新增 000045 后该包测试失败（全量套件里才暴露） - 现在断言 migration 44 = production_kb_bindings、45 = backup_schedule - 新增 TestBackupScheduleRoundTripIntegration：默认值 → 保存(upsert 单行) → 读回(含 updated_by/at) → 记录下发结果(不改计划)；实测在 governance 库隔离 schema 上 PASS（0.95s）	2026-10-09 13:55:35 +08:00
姚章浩	3f603aa293	feat(backup): 系统设置里的存储与备份——定时时间与储存天数可配、下发到目标主机 cron ... 需求：整库逻辑备份做定时，但要在「系统设置 → 存储与备份」里设置定时时间与储存天数。 后端 - migration 000045 backup_schedule（单行：enabled/schedule_time/retention_days/retention_months/ last_applied_*），store + 领域校验（HH:MM、1~365 天、0~24 月，非法值 400 且不落库不下发） - internal/backuphost：通过 ssh 在目标主机上读回/下发计划并立即备份（未接线时 Available=false， 页面降级提示；主机侧错误带输出回传）。最近一次只认有 MANIFEST.json 的完整目录，跳 *.incomplete - 接口 GET/PUT /api/v1/backup-schedule、GET …/host、POST …/apply、POST …/run； 写操作经 classifyRole 限管理员；run 为异步 202 + 在途单飞（http 写超时 30s，备份约 35s） - openapi.yaml 补齐 5 条路由（契约测试要求每条都写 400/500） 主机侧 - scripts/install_backup_schedule.sh（幂等）：写 /etc/knowledge-governance/backup-schedule.env 与 /etc/cron.d/kb-logical-backup，参数校验，--show/--disable，最后一行 SCHEDULE_APPLIED 供平台核对 - logical-backup.sh 从该文件读保留策略；失败或被中断把目录改名 *.incomplete，不留'像成功'的半成品 - install --show 只回显计划行（原先把 SHELL=/PATH= 当计划显示） 前端 - web/src/backupSchedule.ts（严格解析：缺计划字段即报错，不把默认值伪装成设置） - BackupScheduleSection：容器 + 纯视图（管理员表单/只读、已一致/待下发、在途轮询） 运行前提（已落实）：运行镜像加 openssh-client，且容器 uid 1000 在 /etc/passwd 有名字 （否则 ssh 报 No user exists for uid 1000）；凭据只读挂载 secrets/backup-host（git 忽略） 实测：主机 cron 每天 03:30 / 保留 7 天 / 每月 3 份；立即备份一次 34 秒 / 742.7 MiB / 失败 0； Go 与前端测试全绿（170 vitest）。	2026-10-09 13:50:23 +08:00
姚章浩	86732ca987	fix(api): 执行明细补齐 action 与目标知识库字段 ... 逐项明细 DTO 漏了 action（前端 parseReleaseItemExecution 必需），点 「查看结果」整个明细区报 invalid release item execution。同时把遷移 000044 的 target_knowledge_base_id 读出来透出，页面逐项结果显示「目标库」， 让'目标知识库可选'在界面上可核对。测试：Go 契约用例 + 前端解析回归用例。	2026-10-08 17:26:26 +08:00
姚章浩	6440e3f679	feat(release): 发布目标知识库可选（源库 → 目标库映射） ... - 迁移 000044：production_kb_bindings + release_item_executions.target_knowledge_base_id - 系统设置新增「生产知识库绑定（对内/对外）」：从生产 WeKnora 实际列表选库， 保存时真校验（不存在拒收；生产端不可达只提示并如实回报），仅管理员可改 - 执行计划按绑定解析目标库并冻结进 release_item_executions；空目标直接拒收； 已发布过的条目保留原目标（重试/回滚回到同一处） - DocumentBundle.RemapKnowledgeBase：knowledges/chunks/knowledge_tags/wiki_pages/ wiki_folders 的 knowledge_base_id 与 ES 文档字段改写为目标库，重算表/文档摘要并重新封装 - 契约比对改为「声明的映射对」(KnowledgeBaseMapping)，其余字段继续 fail-closed - 契约检查器 / 目标身份 / 验证器全部走映射后的目标库；对象通道无需改写 - Compose 拆分：数据面接线 compose.release-sim.yaml + 两道门禁 compose.release-gates.yaml - 测试：RemapKnowledgeBase 全通道/无操作/fail-closed、映射契约、绑定接口、RBAC、真实 PG 集成	2026-10-08 15:41:13 +08:00
hermes	cddc4c90d1	fix(monitor): 修复取件死信无法重排与列表 NULL 标志导致的 500 ... - platform/postgres: listTestPublicationsSQL 的 can_start/can_retry 在 LEFT JOIN 内容对象为空时算出 NULL，Go 侧 bool 扫描失败使整个列表接口 500，前端三个 lane 全空（表现为“待入库 0 / 全部任务 0”）。改为 COALESCE(..., false)。 - 新增 POST /api/v1/job-failures/{id}/requeue：取件任务的幂等键绑在版本上， 失败那次已占住它，重新标注同一文件不会再入队；现在按新轮次 (…:r<n>) 重排、 复位意图取件状态并把死信标记为 requeued（幂等信封 + 审计字段）。 - web: 死信区对 artifact.fetch 显示「重新入队」；系统设置新增「知识库绑定」分区， 挂上一直没被渲染的 RoutingBindingsSection，导入目标库可在页面上切换。 - 测试：真实 PostgreSQL 集成测试（NULL 折叠 + 重排轮次/幂等/拒绝）、前端死信按钮 与设置分区渲染测试。	2026-10-08 12:09:34 +08:00
姚章浩	1db21fb899	feat(settings): 服务配置四项化并保存时真校验 ... - 生产/测试 WeKnora 地址、租户 ID、知识库 ID 由静态 env 收敛为版本化 UI 设置，保留修订号与操作人审计 - 新增 serviceverify：保存前真调目标端点探测，端点无效才拒绝；网络抖动或无凭据仅告警 - 迁移 000042（生产 WeKnora 端点）/000043（服务目标）；补齐设置候选与校验契约用例	2026-09-30 10:54:07 +08:00
姚章浩	1d6ba6dc2e	fix(monitor): keep failing publications visible outside the queue page ... - The attention lane was derived from page 1 of the queue (limit 50, newest by updated_at), so failures ranked past 50 silently disappeared from "needs attention" as the completed backlog grew. - Fetch attention items with a dedicated request: the API now accepts a comma-separated processing_state list (failed,stalled) and the view prefers that result set over the paged queue. - Batch retry/cancel targets are computed from the same failure set instead of the visible page, so actions reach every failing item. - 全部任务 shows 已显示 N / 共 M plus 加载更多 so rows past 50 are reachable. - Fix pre-existing ui_settings integration test: strict JSON decoding rejects the legacy updated_by field (actor comes from the session). - Tests: view regression (attention item outside the page, load-more affordance) + handler multi-state filter + isolated-DB set filter.	2026-09-30 10:54:07 +08:00
姚章浩	553eff5f7f	test(pg): cancel-batch 契约(取消态/撤回/DLQ/replay)	2026-09-30 10:54:07 +08:00
姚章浩	5037c05e93	feat(monitor): 取消失败发布并修正危险按钮对比度 ... - Parse-monitor: the batch-retry button rendered red-on-red because weknoraMonitor.css overrode the global .danger style with text color only; make .danger a filled red button with proper hover/disabled states. - Add operator cancel: 批量取消所选 / per-task 不再处理 buttons move failed/stalled publications to a new 'cancelled' state in one audited batch operation (POST /api/v1/test-publications/cancel-batch, idempotent, migration 000041 widens the CHECK constraints). Queued upload jobs are cancelled, open dead letters abandoned; source records and spool files stay intact so re-marking in the catalog can retry later. - Queue status filter and labels learn 已取消; OpenAPI contract updated.	2026-09-30 10:54:07 +08:00
姚章浩	0ef41594c2	fix(catalog): 快照节点绑定物化条目以显示导入进度	2026-09-30 10:54:07 +08:00
姚章浩	e8dae5c7f7	refactor(queue): single-statement complete + dead-letter retirement	2026-09-30 10:54:07 +08:00
姚章浩	767684bb1f	feat(monitor): 死信中文提示与成功/取消自动退信	2026-09-30 10:54:07 +08:00
姚章浩	c84f848849	perf(catalog): resolve filename filters once per query, not per row ... The 000036 evaluator probes the rules table and runs two regexes for every catalog file row; the first-level page of the 8k-file education source took 2.5-5s per query and the browser hung on 'reading first-level directory'. - source_catalog_nodes gains a STORED generated ext column (000038) - catalog_filter_context() resolves the connection's source-level allow/ exclude sets once; hot queries match node.ext against arrays (000039) - filename_is_filtered stays the exact fallback, used only when the connection has directory-scoped rules - ListCatalogSources, ListCatalogNodes (current/subtree/total/items) and RouteCatalogFiles fan-out adopt the fast path Education root page: 4770ms -> 12ms; all-source counts: 54ms.	2026-09-30 10:54:07 +08:00
姚章浩	e6ef5a4693	feat(filters): allowlist mode for filename filters ... - filter rules gain mode ('exclude'|'allow'); nearest allow rule governs a directory subtree, extensions outside it are filtered before fetch - filename_extension() now requires a well-formed suffix, so dated names like 'CRA_V3.1手册_2024-07-31_en' no longer fake an extension; extensionless files are never filtered - API accepts {mode, extensions}; UI editor becomes grouped format chips with keep/exclude modes (keep-list default: docs/text/scripts/images) - migration 000036 + integration tests for allow, nesting and restore	2026-09-30 10:54:07 +08:00
姚章浩	b3c9331966	feat(ingest): 源与目录文件名过滤及钉钉文档导出 ... - filename_filter_rules table (000035) with source-root and per-directory rows - additive inheritance: source default + every ancestor directory contributes - filename_is_filtered() SQL predicate applied to catalog browsing, subtree counts, change-set diffing, routing fan-out and artifact fetch manifests - fetch_state 'filtered' (CHECK extended); reconcile cancels/restores fetch jobs, retires planned publications and blocks items when rules change - GET/PUT/DELETE /api/v1/filename-filters (Idempotency-Key, normalized extensions) + Settings and Catalog filter editors - failJobSQL no longer swallows the claimed row when the failure projection upserts (fixes spurious 'lease lost' retries) - DingTalk live fetch: adoc/axls now use the export-job pipeline (HTTP 403 from file/download fixed), header-signature downloads supported	2026-09-30 10:54:07 +08:00
姚章浩	e60b10256a	fix(settings): add DingTalk spaces and render the real login QR ... Address two gaps in the first DingTalk-session UI: - add an explicit admin-only '+ 新增钉钉知识库' action on the data-source panel; it accepts an alidocs space URL, resolves the live name/root through the authenticated sidecar, writes the inventory root atomically, upserts a deterministic source connection, and enqueues its first catalog refresh - read DingTalk's real QR canvas pixels rather than taking a DOM screenshot; select by dark-pixel content, composite onto a white quiet zone, and render at 320x320 so the dialog contains a large complete code, not a page thumbnail The live refresh path resolves registered roots from the connection locator, while existing name-based DingTalk sources remain compatible.	2026-09-30 10:54:07 +08:00
姚章浩	021e91eae4	feat(settings): bind internal/external knowledge bases from the UI ... Routing targets move from env-only to a UI-managed binding (migration 000034 routing_kb_bindings, single active row): - GET/PUT /api/v1/routing-bindings + /options: env defaults act as the bootstrap fallback; a UI binding wins and takes effect immediately (per-request resolution, no restart), and clearing falls back to env - PUT validates against the connected WeKnora instance (real knowledge base list via the scoped API key) and rejects same-KB bindings; saves require the admin role - route/catalog capabilities now resolve through the binding so both annotation paths share one source of truth - system settings > 服务配置 gains a 知识库绑定 panel: dropdown picker (or raw ID when WeKnora is unreachable) showing bound name, origin (UI vs env default) and last author - contract tests: OpenAPI, handler matrix (fallback, validation, same-KB rejection, capability resolution), frontend fetch/save layer	2026-09-30 10:54:07 +08:00
姚章浩	d24e402ef6	fix(orchestration): test poll/validate schedules carry the retry round ... jobs.idempotency_key is globally unique, but test-poll:<pub>:<seq> and test-validate:<pub>:<seq> were reused verbatim by every manual retry. The first round's completed rows made ON CONFLICT DO NOTHING silently swallow the next round's schedule SQL: a retried publication re-uploaded, polled once, and then froze in pending/uploaded with no successor job and no error. Keys and job ids are now derived from (publication, retry_count, sequence) inside the schedule SQL so every retry round owns fresh orchestration rows.	2026-09-30 10:54:07 +08:00
姚章浩	63f3b2c503	feat(governance): policy-driven ingestion from catalog annotations ... Annotation in 来源与目录 is now the only import decision surface: - migration 000033: catalog_import_intents (durable, rescan-proof per-file intent with locator snapshot + fetch lifecycle), source_items.policy_state, planned publication state, ui_setting_revisions.ingestion_concurrency - marking fans a folder decision out to per-file intents, materializes versioned items, reuses already-verified local bytes (compare, don't pull), and plans one publication per routed KB; blocked retires planned rows while live publications stay untouched (需下架 shows in the KB diff) - artifact.fetch worker lane (scripts/artifact_fetch.py): DingTalk export tree/live box API, AList /api/fs/get direct download with SSO-redirect fail-closed, PP ledger via locator hash; content-level dedupe on sha256 - 开始处理 promotes planned->pending inside the claim-time concurrency budget from system settings; claims enforce it in SQL - monitor overview rebuilt as knowledge-base diff: planned/needs_removal per KB + fetch pipeline summary; frontend lanes 待入库/需下架 replace the deprecated snapshot change-set confirmation - spool: images (png/jpg/gif/bmp/webp) accepted, ppt/pptx rejected in favour of PDF twins; DingTalk PPT resolves its converted PDF pair	2026-09-30 10:54:07 +08:00
zheromiku	f6cb90cd70	feat(web): login gate, session identity UI and member management ... - main.tsx 挂 AuthProvider 门控：未登录→登录页；must_change_password→强制改密页 - 登录页/改密页/顶栏身份（头像+姓名+角色徽章+退出）按 A·Data-console token 样式 - 全局 fetch 拦截器：任意业务请求 401 自动回登录页（会话过期/被撤销不留死表单） - 系统设置新增「成员与角色」分区（仅 admin 可见）：名单、角色调整、启停、重置临时密码、新增成员 - 消灭全部手填操作人：审核/封批/确认计划集/范围规则/来源调度/UI 设置/开始处理/批量重试/ 目录差异确认共 9 处输入框删除，请求体不再携带 actor 字段（服务端从会话注入） - 测试断言方向翻转：显式验证请求体不含 operator_ref/created_by 等字段 - 附带修复：登录失败计数 SQL 参数类型无法推断导致 500（pgx 扩展协议），显式 cast 解决 前端门禁：tsc 0 错、125 用例全绿、build 通过	2026-09-30 10:54:07 +08:00
zheromiku	fbe80ad784	feat(auth): accounts, sessions, RBAC and server-stamped actors ... 上线账号权限管理（后端）： - 迁移 000032：users + user_sessions（token 只存 sha256，服务端可即时撤销） - bcrypt 密码、8 次失败锁 15 分钟、统一 401 错误防用户名枚举 - 三角色 viewer/engineer/admin；HttpOnly+SameSite=Lax 会话 cookie，滑动续期 - 强制改密锁定：must_change_password 会话只能走 auth 端点；首登 dobotai - bootstrap：users 表为空时创建 admin（初始密码 dobotai，强制改密） - 生产双闸授权/回滚/失败重试收敛为 admin 角色；AuthorizedBy 用会话身份 - 全部业务写端点删除手填 actor 字段（operator_ref/reviewer_ref/created_by/ sealed_by/confirmed_by），服务端从会话注入；auth 关闭的开发 socket 回退 system - 成员管理 API：列表/创建/改角色/启停/重置密码，最后一名 active admin 保护 - RBAC 矩阵纯函数契约测试 + 中间件行为测试（登录/锁定/角色/审计戳） - 附带修复：GET /api/v1/users 曾被 GET=viewer 规则误放行（测试抓到）	2026-09-30 10:54:07 +08:00
zheromiku	dcdc8d1ddd	feat: 知识治理平台(含已验证发布/回滚契约) ... 全栈知识治理平台首次入库（P1-P10 + 发布链路模拟验证闭环）： - 治理核心：源目录/变更集/人工审核/发布批次/发布执行（fail-closed 闸口） - 测试通道：WeKnora 测试 KB 上传/轮询/验收；poll 完成时写入 parser_generation/index_generation，修复 manual/seed 路径发布闸口永久拦截 - 发布适配器 v071（本地 source=测试角色 / 云端 target=生产角色 模拟验证通过）： * ES 导出/导入 mapping 自适应（.keyword 子字段、可选 tenant_id） * OSS locator 支持嵌套 scheme；chunks.seq_id 由目标序列分配 * bundle 归档同身份重试原子替换；verifier 按 bundle chunk_type 计数 * 回滚 job payload 支持 prior_execution_id（strict 解码） - 三通道发布+回滚演练实测：publish 4/4 verified，检索命中， rollback 4/4 rolled_back，目标端 PG is_enabled=false、ES is_enabled=false - 前端 A·Data-console 风格全站统一，120 用例通过 - 门禁：go vet / go test 全包通过，gofmt 干净	2026-09-30 10:54:06 +08:00