47 Commits

Author	SHA1	Message	Date
姚章浩	87f97a2f9b	feat(qaops): 完成详情下拉与每周自动保存草稿 ... 详情使用共享主表字典，稀疏修改所选字段并保留原始问答及旧复核审计。 月周统计提供文本和下拉双入口；每租户每周一份持久草稿，按技能六节双语模板真实预填。 加入幂等自动保存、冲突保留、未知响应重试、切周及离开保护和schema58非破坏降级保护。 验证：完整make verify、隔离PostgreSQL全mirror竞态回归、真实恢复库浏览器验收通过。 浏览器实测字段精确读回、月周双输入、模板预填、MD/CSV、自动保存、冲突、失败重试与API重启恢复。 未连接或改写DobotAI生产源库，未运行付费模型；提交时尚未部署。	2026-10-20 05:44:02 +08:00
姚章浩	4a2b2b7d84	feat(qaops): 增加部门树区域统计与父子联选 ... 区域配置入口改为区域统计，五列表按当前通讯录整支人员去重；调岗依当前归属、零分母未知、最近真实提问时间和父行收起不重算。仅读治理正式总表，后台单并发/请求合并/60秒缓存，目录与配置版本隔离，客户端失败不伪零。 保留区域自定义目录与预览/双版本锁保存，父部门勾选联选全后代，取消子支清除祖先整支选择，避免隐式覆盖未选子级；允许删除无引用区域，已有引用不静默孤立。统计页与设置共享选择，统计支持累计与北京时间自然月；不新增迁移，不改DobotAI生产、代理、原问答、历史趋势或已有AI任务。 验证已执行：完整make verify退出0，705 Go/340前端通过、120项声明的可选集成跳过且必需0跳过；镜像全量隔离PG race退出0；新增去重/调岗/空分母、后台缓存/并发、HTTP授权/严格请求、真PG目录与配置失效、树选择/收起、五列与删除保护均先红后绿。旧导航测试按新名称更新后全量通过。上线前治理库备份与真实恢复72表/29张QA内容哈希一致，匹配独立主密钥受限备份。 当前尚待精确SHA CI、同镜像真实数据浏览器与正式读回，不把源码验证称为已上线。公司真实区域映射不在本轮擅改；只在隔离库验证保存。	2026-10-19 19:01:36 +08:00
姚章浩	533db535f1	feat(qaops): 接入真实模型补缺任务与总表看板 ... 按已确认需求提供独立安全模型配置、真实探测、正式字典字段评估与原问题译中，持久批次支持只补空白、暂停恢复、有限重试、幂等和逐字段依据。覆盖固定规则、本地语言、组织关联与主表有效看板共用治理侧读模型，保留源生产和冻结历史。 验证：完整 make verify 退出0，702项Go与329项前端通过；默认118项外部/隔离集成明确跳过，另跑完整镜像及组织隔离PG竞态。12并发、输入漂移、过期租约、暂停/恢复及有限重试通过。用户授权的百炼 deepseek-v4.1-flash 完成真实后台与浏览器评估/翻译；552行、16列、11块看板及完整PNG、独立配置页测试/保存、重开恢复和零JS异常通过。仅非业务样本外发，自动处理关闭，原payload不变。 上线前治理库已做导出快照原生备份并真实恢复，60表行数与17个QA表内容哈希一致；不修改DobotAI生产或隧道。本提交时尚未部署，线上验收须独立完成。	2026-10-19 14:29:49 +08:00
姚章浩	f5e0f8d20f	feat(qa-ops): 建立独立正式主表并保真导入历史问答 ... 将可维护总表与可替换2.0镜像分离，稳定来源关联和原始事件键保留； 源端更新/删除不覆盖主表或人工复核。首次收录保留原评估审计， 主表输入/复核独立持久化；历史原标注不冒充新AI或冻结证据。 历史导入绑定源哈希、逐行批准清单与真实恢复备份；三字段精确去重， 批次及原字段留档，重复执行不覆盖后续修改。仅操作本地治理库。 验证：完整make verify退出0；镜像与区域两组隔离PG race退出0； 真实恢复数据隔离导入12522、跳过792、暂缓1，总表15050； 重放保留模拟修改，结构down拒绝丢历史；真实浏览器第41周551条完整， 历史原标注和独立主表复核读回通过，移动布局及JS异常0。	2026-10-19 08:49:18 +08:00
姚章浩	6e67034fbd	feat(qa-ops): 交付十一项统计看板与完整图片导出 ... 以治理库单一只读事务分开聚合累计、自然周、截止月及当前通讯录使用分母；浏览器不再读取全量长答案来构建看板。 新增迁移52与普通worker周质量冻结，保留真实冻结时点、规则和标量贡献；缺少当时快照留空。提交后冻结头与贡献不可修改、删除或追加；只读接口保留管理员、固定租户、严格JSON与输入冲突保护。 已验证：make verify退出0，686个Go用例和305个前端用例通过，必需跳过0；镜像与组织隔离PostgreSQL竞态回归退出0。真实治理副本浏览器核对第41周累计1885与新增471、十一项和完整PNG下载，390px无外溢、JS异常0；明确模拟503后不伪零且重试恢复。没有修改DobotAI原始问答、真实区域规则或生产发布门禁。	2026-10-18 23:26:55 +08:00
姚章浩	76671e0784	feat(qa-ops): 支持自定义区域与分级部门批量归属	2026-10-18 21:50:29 +08:00
姚章浩	3e7fcce0b1	feat(qa-ops): 持久本地问答副本与安全答案预览 ... 新增迁移50与每5分钟/手动持久同步，API只读本地；同步失败保留、权限阻断、租约与质量失效原子激活。 保留全量稳定分页/固定列，已存质量批量读取，元数据不反复解压长答案；详情安全Markdown与原文。 已运行整仓 make verify、源与副本隔离PG -race、真实只读源及隔离浏览器。 实际同步2525条；固定窗口640条本地中位1.46秒，对照直接源33.10秒。 停worker、缺源凭据、重启API后仍可查询；未更新8088，未修改生产原问答。	2026-10-18 19:10:47 +08:00
姚章浩	013ce4a24e	fix(version): 补全开发快照记录与同步交付闭环 ... 收录 main、注释开发快照和完整运行 SHA；开发说明绑定原提交，补记 0.1.1–0.1.25。 进行中同步按仓库合并，完成后重新执行；启动入队，部署脚本读回版本证据。 开发快照独立于正式标签与 Release，既有冲突标签不移动。 已运行：整仓 make verify，Go 673 通过、前端 274 通过，92 个已声明可选跳过，必需跳过 0。 隔离 PostgreSQL 重复同步队列用例及 -race 通过；未更新现有 8088、未修改生产问答。	2026-10-18 18:11:49 +08:00
姚章浩	2ea2111420	fix(web): 保留代理端口以修复同源质量查询误拒绝 ... Nginx 使用原始 Host 和端口转发，不修改后端跨站防护。补充无 Fetch Metadata 的 LAN/Tailscale 同源和异源、异端口、转发头伪造回归。 验证：配置回归先因丢失端口失败后通过；HTTP竞态、真实隔离Nginx正反例及完整make verify均通过。部署前真实入口无Metadata为403，同源Metadata对照可过；源库及人工复核无写入。	2026-10-18 15:45:09 +08:00
姚章浩	828c2c5fa0	feat(qa-ops): 按确认口径补齐质量比例与分母明细 ... 使用完整筛选范围的当前有效结论计算覆盖率和正确率，人工优先，失效与对应待确认/未评估/不计入排除；零分母返回null，界面展示原始分子分母和排除构成，前端拒绝不守恒或比例不一致的响应。 验证：make verify退出码0，Go658及前端257通过，91项声明可选集成跳过；隔离PG、三包竞态及合成/真实只读源浏览器验证通过。无新增迁移，不接AI模型，不改绩效，不写源库；本批未推送或部署，8088运行版保持0.1.21。	2026-10-18 02:00:31 +08:00
姚章浩	4b3aaff321	feat(qa-ops): 完成复检留档与人工复核闭环 ... 治理侧保存输入观测版本、自动复检及人工复核历史，输入变化失效、版本冲突和幂等重放不覆盖人工记录。批量质量数量使用完整筛选元数据，未采集原文不伪造快照，延迟旧扫描不回退新输入。 验证：全仓 make verify 退出码0，Go656及前端253通过；五包竞态、源/组织/质量隔离PG、真实只读源和隔离网页读回复核通过。默认91个可选集成跳过不计通过。未接AI模型，不写DobotAI源库，未推送、未合并、未部署。	2026-10-17 22:37:26 +08:00
姚章浩	9556db1ef0	feat(qaops): 增加个人自然月用量与零记录人员明细	2026-10-17 19:59:33 +08:00
姚章浩	56b8cabed9	feat(qaops): 接入问答组织补全与区域使用统计	2026-10-17 19:02:13 +08:00
姚章浩	cc4906b6a9	feat(qaops): 接通网页通讯录持久化同步与后台接管	2026-10-17 17:36:07 +08:00
姚章浩	dab74b706b	feat(qaops): 增加版本化部门区域归属配置与预览	2026-10-17 11:39:38 +08:00
姚章浩	fd04bf7886	feat(qaops): 接入独立只读问答查询与治理覆盖复检	2026-10-17 09:04:19 +08:00
姚章浩	9a8a3e7795	fix(dingtalk): 登记钉钉知识库 409 space_registration_conflict —— 归档行占名 + 错误被吞 ... 现象：点「公司级技术支持知识库」登记，返回 HTTP 409：space_registration_conflict。 根因（真数据取证）： - source_connections.name 有唯一约束。这 3 个钉钉来源是**早期路径**登记的 （base_url 为空，id 与 dws 现在推导的确定性 id 不同）： sc-18d10ca0… 公司级技术支持知识库 / sc-eaef0ec1… ATOM知识库 / sc-dc7cea1c… 技术诊断部知识沉淀。 - 上一步「去掉来源」只是归档下架，**名字仍占着唯一槽位** ⇒ 重新登记时 INSERT 撞 UNIQUE(name)。 - 处理器把**所有**存储层错误都翻译成同一个 409 space_registration_conflict（真实原因被吞）。 修复： - store：同名的另一行若**已归档** ⇒ 改名腾位（`…（已下架 · <短ID>）`，归档行不显示， 数据与审计一行不动）；若**仍在使用** ⇒ ErrDingtalkSpaceNameTaken（绝不悄悄改名）。 同一个登记键解析到别的 root 时：在用中的行报 ErrDingtalkSpaceIdentityConflict； 归档过的行允许就地改写（"去掉后再用 dws 重新获取"的语义）。 - httpapi：分类映射 —— space_name_conflict / space_identity_conflict（409 + 可行动 hint）， 其余内部故障改回 500 space_registration_failed，不再伪装成冲突。 - web：读一次响应体同时取 error 与 hint，**hint 优先**；补两个新码的中文说明。 验证：真 postgres 集成测试复刻线上形态（旧行占名 + 归档 ⇒ 登记成功、旧行改名保持归档、 内容不丢；同名在用 ⇒ 拒绝；同键换 root 在用 ⇒ 拒绝、归档 ⇒ 就地改写）；handler 分类测试 （409/409/500，且不回显内部细节）；前端 hint 优先用例；make verify 15/15。	2026-10-14 12:59:52 +08:00
姚章浩	2c7265efc4	feat(sources): 数据源配置收敛成 dws 导入 + PP 导入；「去掉来源」= 归档下架（不删数据） ... 主人要求：去掉入口，统一成 dws 导入与 PP 导入；其他来源连数据一起下架，之后用 dws 重新获取。 界面（web）： - 「数据源配置」只剩两块：**dws 导入（钉钉）**（按当前钉钉账号列出可访问的知识库与钉盘空间） 与 **PP 导入**（PP 资料下载中心）。上一步加的「显示 AList／钉钉知识库来源」折叠开关删除。 - 来源卡片新增管理员可见的「去掉来源」（带确认弹窗，说明是归档下架、数据保留可恢复）。 - 侧栏文案改成"只留两个入口"；发现面板标题改为「dws 导入（钉钉）」。 后端（归档语义，可逆）： - 迁移 000047：source_connections 增 archived_at / archived_by + 只覆盖未归档行的部分索引。 - store：ArchiveSourceConnection / RestoreSourceConnection（幂等；归档同时停用并清空 next_refresh_at，避免被手工改回后立刻带着旧调度跑）。列表、目录、计划刷新（claimDue）、 手动扫描（triggerBlock/inspect）四类查询一律排除归档行。 - 注册路径（dws 重新获取）：RegisterDingtalkSpace 的 ON CONFLICT 清掉归档标记 —— 重新登记同一个空间**原地复活同一行**，不产生重复，历史快照仍属于同一行。 - HTTP：POST /api/v1/source-connections/{id}/archive|restore（管理员专属，写意图头 source-archive / source-restore + Idempotency-Key；404 区分"不存在"与"已是目标状态"）； openapi 同步两条契约。 验证： - 集成测试（真 postgres）：归档从列表消失但 source_items 一行不少、重复归档不漂移归档时间与人、 未知 ID 报 ErrSourceConnectionNotFound、归档来源不能再被扫描、恢复后回到列表但保持停用； dws 重新登记同一空间复活同一行。 - httpapi：写意图/幂等键门禁、200/403/404/500、错误体不回显内部细节、classifyRole 管理员专属。 - 迁移护栏：000047 结构 + 四类 SQL 必须含 archived_at is null（漏一条就是入口没去掉）。 - make verify 15/15。	2026-10-14 12:36:32 +08:00
姚章浩	0974d8dfa2	feat(version-history): 「版本记录」页 —— 追踪远端 main 全部提交（只读 + 管理员手动同步） ... 按已确认的契约实现（口径见 docs/VERSION_HISTORY.md）： - **版本号口径（只给有证据的）**：注释 tag + tag 指向该提交 + 该提交内 CHANGELOG 顶部三者一致 ⇒ 正式版本； tag 之后的提交按 `<主>.<次>.<自该 tag 的提交数>` 显示开发号（与 scripts/version.py **同规则**）； 证据不足 ⇒ 「历史提交 · 短SHA」+ 原因码，**不补造版本号**。完整 SHA 是唯一身份、版本号不是唯一键 （tag 之后两条并行分支各自的第 1 个提交都算 0.1.1 ⇒ 两条都保留，用短 SHA 区分）。 - **迁移 000046**：version_history_commits（提交记录，主键 repo_key+commit_sha）+ version_history_sync_runs （同步状态）。快照 = 一次同步：抓完并与 X-Total-Count 对账通过才切换；失败不切换快照、不清空历史、 last_success_at 不动（页面显示"上次同步失败（原因）· 仍展示上次成功数据"）；「同步成功」≠「历史完整」。 - **只读客户端（匿名，不使用任何凭据）**：白名单 origin + 固定仓库、拒绝任意 URL 与跨主机重定向、 响应上限 5MB / 超时 15s、仅 5xx/429 退避重试（最多 3 次）；逐页抓到短页为止；每次全量扫 tag ⇒ 旧提交后补的 tag 会更新既有记录（不新增第二行）。 - **接口**（三个都登记进 api/openapi.yaml）：GET /api/v1/build-info（viewer）、 GET /api/v1/version-history（viewer；游标绑定快照，过期返回 409 cursor_expired；不返回伪造 total）、 POST /api/v1/version-history/sync（admin；并发同步复用同一作业，靠 IdempotencyKey）。 - **「当前运行」只认精确匹配**：产物注入的完整 SHA 命中某条记录才标该条；开发构建显式标注"开发构建"； 没有可用标识 ⇒ "当前运行版本未知"；**不拿最新 main / 最新 tag 顶替**，CI 成功不等于已部署。 - **前端**：一级菜单第 5 项（版本记录）+ 时间线页面（全部/正式/开发/历史四段筛选、正文展开、 加载更多、760px 单列无横向溢出、提交正文与变更记录按纯文本渲染）；无打 tag / 发布 / 部署入口。 新增配置（留空即未接线，页面降级）：VERSION_HISTORY_GITEA_BASE_URL / _REPO / _ALLOWED_ORIGINS / _HTTP_TIMEOUT / _MAX_PAGES。 验证：`make verify` 15/15 success（tests-go 578 通过 / 0 失败；tests-web 209 通过 / 0 失败）； 新增 Go 用例 30（版本口径与图遍历 12、客户端守卫 6、同步编排 5、接口 7）；前端新增 18（组件 10 + 客户端 8）； 真实仓库匿名快照拉取（`VERSION_HISTORY_LIVE_BASE_URL=… go test -run TestLiveSyncAgainstRealRepository`）： 抓到 113 条与 X-Total-Count 一致、v0.1.0 是注释 tag 且目标与 `git rev-parse v0.1.0^{commit}` 一致、 开发号逐个等于 `git rev-list --count v0.1.0..<sha>`（正式 1 / 开发 22 / 历史 90）。	2026-10-13 19:40:19 +08:00
姚章浩	c04abd6530	style(go): 清掉存量 gofmt（6 个文件的字段对齐与文件末尾换行） ... 接入格式门禁前先量了一次存量：gofmt -l 在 295 个被跟踪的 .go 文件里报 6 个， 全是字段对齐与缺文件末尾换行这类机械问题。先一次性清干净，门禁接上后 Go 侧一条都不欠。 为什么独立一个提交：格式清理混进功能改动会让 diff 无法 review（正本要求存量清理独立提交）。 验证：gofmt -l 对被跟踪的 .go 文件输出为空；go vet 与 go test 全过。	2026-10-12 00:10:31 +08:00
姚章浩	1283f65a95	feat(catalog): 首次扫描中的来源也出现在「来源与目录」，并显示实时进度 ... 用户反馈：加了钉盘来源后「来源与目录」里看不到。根因不是丢数据，而是列表只列"已经有快照" 的来源 —— 首次扫描要几分钟到几十分钟（钉盘空间 2900+ 个文件夹），这段时间页面上什么都没有。 - 新 Store 方法 ListCatalogScanProgress：已启用 + 还没有 catalog head + 有在跑/排队的 source.catalog.refresh（三条件同时成立）。进度直接取 worker 写在任务载荷里的同一份计数 （progress/message/scanned_directories/discovered_directories/scanned_files），不另立口径。 - /api/v1/source-catalog/sources 在既有列表后追加这些行（snapshot_status="scanning" + scan_progress/scan_message）。走窄接口按需接线：未接线时安静跳过，不会把旧列表弄坏。 - 前端：左列显示「首次扫描中 44%」，选中后是进度面板（百分比 + 进度条 + 当前文案 + 已发现文件数），并说明"扫完自动出现目录"；有来源在扫描时每 3 秒自动刷新列表， 扫完那一行自动变成「本地只读快照」。扫描中不拉目录节点、也不显示标注/格式入口。 - 解析器保持严格：snapshot_status 只接受 ready/scanning，scanning 必须带 scan_progress， 否则整包拒绝 —— 不给"假装 0%"的机会。 测试：postgres 集成测试（真库）覆盖四种不该出现的来源（停用、已有快照、任务类型不符、 历史上已完成的那次任务）；前端 parser + 渲染各一条；Go 全绿、前端 192 条 + tsc 干净。 面板实测：左列「公司级营销资料管理 · 首次扫描中 44%」，主区「首次扫描中 · 44% / 正在扫描目录：已完成 1540 个文件夹 / 已发现约 4934 份文件」。	2026-10-10 17:04:59 +08:00
姚章浩	e00cab2f70	feat(settings): 数据源配置改成「列出来、勾选、变成来源」，并去掉文件格式筛选 ... 用户对 系统设置 → 数据源配置 的四条要求： ① 这里不要做文件格式筛选（格式归目录级标注决定）； ② 列出我账号下能看到的知识库；③ 列出钉盘能看到哪些；④ 勾选那些作为来源。 ① 来源卡片不再渲染 FilenameFilterEditor（目录级筛选仍在「来源与目录」里，按目录就近覆盖）。 ②③ 新端点 GET /api/v1/dingtalk-spaces/available（管理员，只读）：用 dws 列举 - 知识库：wiki +space-list --type orgWikiSpace/myWikiSpace（实测 17 + 1 个） - 钉盘：wiki space list --type mySpace/orgSpace（实测 我的文件 + 6 个组织空间） 实测约束写进命令形态：--limit 上限是 50；翻页必须 --page-all（--max-items 兜底）， 否则超过一页的知识库会被静默截断（被截断时页面显示"可能不全"而不是假装列全）。 列不出来 ≠ 空列表：dws 未登录/权限不足 → 503 + 原因；某一类失败只丢那一类。 ④ 面板勾选后走既有登记路径（/api/v1/dingtalk-spaces），首次目录扫描自动排队； 已登记的按空间名标「已是来源」并禁用勾选；扫码会话失效时直接弹二维码，扫完自动重试。 基础设施：api 与 worker 共享同一份 dws 状态（bind mount 同一份，refresh token 是轮换制， 不能各留一份）。子进程 HOME 必须指向 DWS_HOME —— 这条是实测踩出来的：漏了会报"未登录"， 已有回归测试钉住。dws 子进程沿用白名单环境，库口令等变量不进子进程。 测试：新包 internal/dingtalkdiscovery（fixture 用真实 dws 输出形状）：paging 约束、 截断提示、一类失败不连带、全部失败→ErrUnavailable、子进程环境；httpapi 侧 401/501/503/500 与不泄漏内部错误；OpenAPI 契约（400/503 组件）通过。前端 189 条 + tsc 干净。 面板实测：知识库（18）/钉盘（7）都列出来，已有三条钉钉来源自动标「已是来源」； 勾选「视觉文档」→ 加入为来源 → 新来源 sc-8a4be5b8293d1c9a048c3c7e9b194155（dingtalk，enabled） + source.catalog.refresh 已完成。	2026-10-10 16:46:39 +08:00
姚章浩	f8faed0b21	feat(release): 发布到生产一键完成（建批+锁定+授权合成一个动作） ... 用户的反馈是对的：上一轮只砍掉了"冻结/锁定"两个按钮，但一条文档从"已批准"到"发出"实际仍要 ~9 次交互（找条目→勾选→填名→建批→滚到清单→找批次→授权→输语句→提交），因为"批次仪式"本身 还留在路径上。 - 新端点 POST /api/v1/release-batches/publish-now：在同一操作里先建批（SealImmediately，冻结 即锁定）再授权生产发布，返回 {batch, execution}。 - 不放松任何约束：请求门禁(403)、备份恢复验证门禁(412)、管理员身份(401)、固定确认语句(400)、 发布前快照硬门禁(409)、建批门禁(422) 全部沿用既有实现，无旁路；名称可省(服务端固定回退名， 保证重放指纹一致)。 - 界面：审核行上直接「发布到生产」（管理员 + 门禁开启时显示），工具栏支持选中多条一次发布； 复用既有确认弹窗（固定语句）。批次名不再是必经步骤。 - 实测（面板）：点行级按钮 → 输 `publish-to-production` → 提交 → 批次 rb-bee80550…(sealed) + 执行 rx-3d831129…(completed, 项级 verified) → 页面回滚 rx-43835fac…(rolled_back, absent)。 测试：publish_now_test.go（四道关卡 + 组合调用 + 名称回退）与 reviewRelease.test.ts（请求体/回传/错误原因）； Go 26 包、前端 183 条全过。	2026-10-10 15:48:30 +08:00
姚章浩	70131c6161	feat(release): 批量审核 + 建批即锁定 —— 发布管理单文档交互降到 3~4 次 ... P0-3： - 批量审核：新增 POST /api/v1/review-candidates/batch-decision，逐条复用单条审核的写入 路径（同一套合法性校验与"最新验收轮次"绑定），逐条回报 decided/skipped/skipped_ids； 不可审核的条目只计入 skipped，不打断整批，其他错误整批回滚（不留半成品）。 界面新增「全选可批准」「批量批准选中」「批量驳回选中」。 - 建批即锁定：建批请求加 seal 字段，服务端在创建后立即执行既有的密封（仍逐项复核门禁， 失败整批回滚），草稿态不再单独占一步；界面按钮改为「创建并锁定清单」，流程说明从 8 步改 7 步。 - 判据修正：「可批准」原先把已驳回的算进去（review_state !== 'approved'），改为只含 pending + 门禁通过。 语义边界（写进测试）：批量批准按人工身份记录，人工可推翻自己先前的驳回；system:auto 发起的 批量批准对人工驳回过的那条必须跳过（Decided=0/Skipped=1）——机器永远不覆盖人工。 测试：review_batch_integration_test.go（批量决定/跳报/重复 id 拒绝/机器不覆盖人工、 建批即锁定）、review_batch_test.go（幂等键、400/409/500/501 映射、服务端盖操作人）、 reviewRelease.test.ts（批量请求体与逐条回报、建批带 seal）。前端 181 条通过。	2026-10-10 15:29:31 +08:00
姚章浩	acf053faf3	feat(release): 建批时冻结 + 验收通过自动批准 —— 把"每份文档 8 步"砍掉两步并去掉两次卡死 ... 背景：发布管理把"逐条核验"的仪式强加给每一份文档。实测一份文档要 9~11 次交互， 且有两处顺序陷阱（冻结后批准 → 建批 422；生成即固化 → 批准被永久钉住）。 P0-1 建批时冻结： - CreateReleaseBatch 在未指定版本时，自己把当前实时计划冻结成一份**已确认**版本并绑定 （同一事务；同摘要复用最近版本，planned 或 confirmed 都可复用，因此同一份计划不堆版本）。 - 语义不变：批一旦建立，清单/摘要/验收轮次/目标库绑定全部不可变、回滚按它走；变的只是 "谁在什么时候按固化键"——从操作员的手动两步变成建批这一下。 - 效果：去掉「生成新版本」「确认冻结」两步；消灭"批准晚于冻结 → 422"这类顺序陷阱； 前端不再传版本 id，也不再有"所选知识不在冻结清单里"的阻断。 - 计划→清单项的映射抽成 ChangeSetItemsFromPlan 供两处共用，否则两处算出的摘要不同， "同一计划复用同一版本"永远不命中。 P0-2 验收通过自动批准： - 验收三项结论达发布门槛（knowledge_exists/chunks_present=passed，retrieval_hit 与门槛同 口径）时，由 worker 写入 reviewer_ref='system:auto' 的批准记录，替代"每份文档点一次批准"。 - 策略 TEST_AUTO_REVIEW_POLICY = off | internal（默认，仅对内）| all；值不认识拒绝启动。 只影响审核这一步：生产授权、双闸与发布前快照门禁不受影响。界面上只读展示当前策略。 - 安全边界（写死在审核 SQL 里）：系统只允许写"第一条"审核——人工一旦表过态，机器不得用一条 更晚的 approved 把人工结论翻回去；人工随时可再审。集成测试去掉该约束即 FAIL（已实测）。 - 自动批准自身的任何失败都不影响验收结论，只上报。 顺带（P1-1 前半，已被 P0-1 取代的部分已删除）： - 写操作失败把服务端 {"error": ...} 的原因带出来，并对已知原因给出下一步（不再只给 HTTP 状态码）。 - 当前的"不在已冻结清单里"标注与就地修复按钮随 P0-1 一起移除（该失败模式已不存在）。 测试：bind_time_freeze_integration_test.go（绑定已确认版本/同计划复用/冻结后不可变/ 动作不符仍 NotEligible）、auto_review_integration_test.go（系统只写第一条、人工可再审）、 validate_test.go（对内自动/对外不自动/策略关闭/验收未过不批/自身失败不影响验收）、 auto_review_test.go、config_test 及前端能力解析测试。 实测耗时：本机 Go 全量 26 包通过、前端 178 条通过。	2026-10-10 15:05:20 +08:00
姚章浩	a1b46d2b7c	feat(monitor): 需下架车道可逐条移除测试库知识 —— 补齐最后一个没有页面入口的流程 ... 背景：来源侧被判「禁止导入」后，已建好的测试库知识不会自动消失；此前只有变更集 删除路径会入队 test.remove，页面既列不出条目也没有按钮，运维无法闭环（车道只有按 库计数）。 新增： - GET /api/v1/test-publications?removal=required：条目级列表，判据与车道计数同源 （superseded_at IS NULL / 有 knowledge_id / completed / retrieval_state NOT IN (disabling,disabled) / policy_state='blocked'），过滤是叠加而不是替换。 - POST /api/v1/test-publications/{id}/removal：engineer 级写路由，要求 Idempotency-Key， 按条目幂等（operator-remove:<id>）；置 disabling 并交既有 test.remove 工作流去删除 远端知识并读回校验。错误映射 404/409(已移除)/409(不可移除)/501(未接线)。 - 界面：需下架车道逐条显示条目 + 「下架（从测试库移除）」，页内二次确认，成功提示， 完成后计数归零。 修掉过程中踩到的两个真问题： 1. 二次确认的确认态原先经容器 props 传给视图，一次容器改动把三个 props 丢了 —— 视图永远渲染原按钮、确认步骤静默消失，而所有静态单元测试仍然通过。改为把确认态 放在视图内部；并把「取消」放在原按钮位置（真实指针连点两下只会落到取消）。 2. jobs 上有部分唯一索引 UNIQUE (business_change_set_id, business_version_id, business_target_kb_id, business_action) WHERE business_change_set_id IS NOT NULL。 本路径给这三列写空串（非 NULL），('','','','remove') 对所有条目是同一个键 —— 第一条之后每次 INSERT 都撞唯一索引、被 ON CONFLICT DO NOTHING 静默吞掉，留下 「状态已 disabling、没有任务」的永久卡死条目，而车道恰好隐藏 disabling，运维也 看不到。改为写 NULL（语义：无变更集身份）+ 冲突目标收敛到 idempotency_key + 校验 RowsAffected()（0 行回查既有任务；查不到就报错，不提交无任务的 disabling）。 卡死状态在重试时可自愈。 测试：internal/platform/postgres/test_publication_removal_integration_test.go（两条发布 各自入队、business_* 为 NULL、卡死自愈；把修复退回旧写法该测试即 FAIL，已实测）、 internal/httpapi/test_publication_removal_test.go（权限/幂等键/错误映射/未接线 501/列表 过滤）、前端 testPublications.test.ts + WeKnoraMonitor.test.tsx。 验收（纯界面，两条都走完）：解析监控 → 需下架（2）→ 逐条「下架」+ 二次确认 → retrieval_state=disabled（PDF 03:57:03Z、md 04:08:55Z），jobs completed（attempt 2， 首次 test_remove_pending＝远端仍在处理，重试通过；工作流以 GetKnowledge 读回 404 判 成功）→ 车道需下架（0）。核验「确认前不执行」：首次点击后仍 unpublished、移除任务数仍 1。	2026-10-10 12:10:46 +08:00
姚章浩	d0a45d563f	fix(monitor): 需下架车道恒为 0（判据用了没人写的状态）+ 隔离会改线上设置的集成测试 ... 界面验收第三遍（禁止导入 → 需下架）暴露两处真问题： 1) 需下架车道死掉：判据 `retrieval_state='enabled'`，而 retrieval_state 在这套状态机里 描述「是否发布到生产」(unpublished/disabling/disabled/failed)，全仓没有任何代码写过 'enabled'，线上 5/5 发布单元都是 unpublished → 车道恒 0，界面「仍在知识库里的文件会 出现在这里」的承诺不成立。改为与设计注释一致的口径：仍在测试库存活（completed + 有 knowledge_id + 未 disabling/disabled）+ 来源项 policy_state='blocked'。 线上对照：旧判据 0 → 新判据 1，命中被禁止导入的 DH-AG95夹爪适配-指令协议.md； 修后页面显示「需下架（1）· 对内知识库 · 1 份仍在检索中」。新增集成测试覆盖 存活/未禁止/移除中/已移除/未上传五种情形（真实 Postgres + 独立 schema）。 2) 集成测试改到线上设置（直接踩到并已恢复）：ui_settings_integration_test.go 只判断 TEST_DATABASE_URL 是否存在、无 schema 隔离，而它「创建候选并激活」——跑在共享库上会把 真实 active 设置挤成 retired。已先备份（backups/ui-settings/…pre-restore.jsonl），再用 单事务（先 retire 再 activate，uq_ui_setting_active 只允许一条 active）恢复 uis-d40ea1fc…（15/30/1800/7200 + https://weknora-test.dobot.cn/），并复核线上值。 根因修复：给该用例加 per-test schema 隔离，复跑后线上设置不再被改动。 同时把两处与事实不符的文案改实话（WeKnoraMonitor.tsx 需下架说明、SourceCatalogBrowser.tsx 禁止导入说明）：移除走 test.remove 工作流（删除测试库知识条目，可再入库），入口当前由 变更集删除路径触发，页面尚无独立按钮——条目级列表与下架按钮列为待排期。	2026-10-10 10:55:03 +08:00
姚章浩	e95a50ca3a	fix(backup): 保存后即时反映主机状态；最近一次备份不再重复同一时间戳 ... - 后端 handleSaveBackupSchedule 改为先下发、再组装投影：此前页面保存成功那几行仍是 下发前的主机计划，看起来像没生效（需等下一次刷新） - 前端 runMoment：清单里的 created_at 就是目录戳，同值不再重复显示（原为 '20261009T060736Z · 20261009T060736Z'） - 前端补 runMoment 用例（171 个 vitest 全绿） 面板实测：保存后立即显示 每天 03:30 / 保留 7 天 / 已一致，cron 条目 30 03 * * *	2026-10-09 14:12:10 +08:00
姚章浩	3f603aa293	feat(backup): 系统设置里的存储与备份——定时时间与储存天数可配、下发到目标主机 cron ... 需求：整库逻辑备份做定时，但要在「系统设置 → 存储与备份」里设置定时时间与储存天数。 后端 - migration 000045 backup_schedule（单行：enabled/schedule_time/retention_days/retention_months/ last_applied_*），store + 领域校验（HH:MM、1~365 天、0~24 月，非法值 400 且不落库不下发） - internal/backuphost：通过 ssh 在目标主机上读回/下发计划并立即备份（未接线时 Available=false， 页面降级提示；主机侧错误带输出回传）。最近一次只认有 MANIFEST.json 的完整目录，跳 *.incomplete - 接口 GET/PUT /api/v1/backup-schedule、GET …/host、POST …/apply、POST …/run； 写操作经 classifyRole 限管理员；run 为异步 202 + 在途单飞（http 写超时 30s，备份约 35s） - openapi.yaml 补齐 5 条路由（契约测试要求每条都写 400/500） 主机侧 - scripts/install_backup_schedule.sh（幂等）：写 /etc/knowledge-governance/backup-schedule.env 与 /etc/cron.d/kb-logical-backup，参数校验，--show/--disable，最后一行 SCHEDULE_APPLIED 供平台核对 - logical-backup.sh 从该文件读保留策略；失败或被中断把目录改名 *.incomplete，不留'像成功'的半成品 - install --show 只回显计划行（原先把 SHELL=/PATH= 当计划显示） 前端 - web/src/backupSchedule.ts（严格解析：缺计划字段即报错，不把默认值伪装成设置） - BackupScheduleSection：容器 + 纯视图（管理员表单/只读、已一致/待下发、在途轮询） 运行前提（已落实）：运行镜像加 openssh-client，且容器 uid 1000 在 /etc/passwd 有名字 （否则 ssh 报 No user exists for uid 1000）；凭据只读挂载 secrets/backup-host（git 忽略） 实测：主机 cron 每天 03:30 / 保留 7 天 / 每月 3 份；立即备份一次 34 秒 / 742.7 MiB / 失败 0； Go 与前端测试全绿（170 vitest）。	2026-10-09 13:50:23 +08:00
姚章浩	86732ca987	fix(api): 执行明细补齐 action 与目标知识库字段 ... 逐项明细 DTO 漏了 action（前端 parseReleaseItemExecution 必需），点 「查看结果」整个明细区报 invalid release item execution。同时把遷移 000044 的 target_knowledge_base_id 读出来透出，页面逐项结果显示「目标库」， 让'目标知识库可选'在界面上可核对。测试：Go 契约用例 + 前端解析回归用例。	2026-10-08 17:26:26 +08:00
姚章浩	280a81c855	fix(api): 执行列表返回批次进度字段，修复页面执行列表解析失败 ... /safeReleaseExecution 没带 batch_size/current_batch/total_batches，而前端 parseReleaseExecution 要求这三个计数，任何一条执行记录都会让整个列表抛 'invalid release execution'，页面因此看不到执行历史与回滚/重排按钮，门禁 状态也一并回落到'已锁定'。补上这三个非敏感进度字段。	2026-10-08 17:15:32 +08:00
姚章浩	2de7a43286	feat(release): 生产授权支持页面通道（管理员会话 + 固定确认语句） ... 页面原本没有任何生产入口，授权/重排/回滚只能带 Bearer 调接口，实际还要 admin 会话。 现在三个端点支持两条通道，门禁语义不变： - 运维通道：Authorization: Bearer <token>，审计记 PRODUCTION_RELEASE_AUTHORIZER_REF - 页面通道：已认证 admin 会话 + 固定确认语句，审计记该管理员用户名 - 请求门禁 / 备份恢复门禁 / Release Worker 执行门禁三者不受影响 - 发布管理第 6–8 步加「授权发布 / 重排 / 回滚」按钮，点击需逐字输入确认语句， 仅 admin 可见；重排沿用原执行授权人，不改写历史 - openapi 与 P6 契约同步；测试：双通道各一条 + 非 admin/错短语拒绝 + 前端按钮与确认门禁	2026-10-08 17:00:49 +08:00
姚章浩	6440e3f679	feat(release): 发布目标知识库可选（源库 → 目标库映射） ... - 迁移 000044：production_kb_bindings + release_item_executions.target_knowledge_base_id - 系统设置新增「生产知识库绑定（对内/对外）」：从生产 WeKnora 实际列表选库， 保存时真校验（不存在拒收；生产端不可达只提示并如实回报），仅管理员可改 - 执行计划按绑定解析目标库并冻结进 release_item_executions；空目标直接拒收； 已发布过的条目保留原目标（重试/回滚回到同一处） - DocumentBundle.RemapKnowledgeBase：knowledges/chunks/knowledge_tags/wiki_pages/ wiki_folders 的 knowledge_base_id 与 ES 文档字段改写为目标库，重算表/文档摘要并重新封装 - 契约比对改为「声明的映射对」(KnowledgeBaseMapping)，其余字段继续 fail-closed - 契约检查器 / 目标身份 / 验证器全部走映射后的目标库；对象通道无需改写 - Compose 拆分：数据面接线 compose.release-sim.yaml + 两道门禁 compose.release-gates.yaml - 测试：RemapKnowledgeBase 全通道/无操作/fail-closed、映射契约、绑定接口、RBAC、真实 PG 集成	2026-10-08 15:41:13 +08:00
hermes	cddc4c90d1	fix(monitor): 修复取件死信无法重排与列表 NULL 标志导致的 500 ... - platform/postgres: listTestPublicationsSQL 的 can_start/can_retry 在 LEFT JOIN 内容对象为空时算出 NULL，Go 侧 bool 扫描失败使整个列表接口 500，前端三个 lane 全空（表现为“待入库 0 / 全部任务 0”）。改为 COALESCE(..., false)。 - 新增 POST /api/v1/job-failures/{id}/requeue：取件任务的幂等键绑在版本上， 失败那次已占住它，重新标注同一文件不会再入队；现在按新轮次 (…:r<n>) 重排、 复位意图取件状态并把死信标记为 requeued（幂等信封 + 审计字段）。 - web: 死信区对 artifact.fetch 显示「重新入队」；系统设置新增「知识库绑定」分区， 挂上一直没被渲染的 RoutingBindingsSection，导入目标库可在页面上切换。 - 测试：真实 PostgreSQL 集成测试（NULL 折叠 + 重排轮次/幂等/拒绝）、前端死信按钮 与设置分区渲染测试。	2026-10-08 12:09:34 +08:00
姚章浩	1db21fb899	feat(settings): 服务配置四项化并保存时真校验 ... - 生产/测试 WeKnora 地址、租户 ID、知识库 ID 由静态 env 收敛为版本化 UI 设置，保留修订号与操作人审计 - 新增 serviceverify：保存前真调目标端点探测，端点无效才拒绝；网络抖动或无凭据仅告警 - 迁移 000042（生产 WeKnora 端点）/000043（服务目标）；补齐设置候选与校验契约用例	2026-09-30 10:54:07 +08:00
姚章浩	1d6ba6dc2e	fix(monitor): keep failing publications visible outside the queue page ... - The attention lane was derived from page 1 of the queue (limit 50, newest by updated_at), so failures ranked past 50 silently disappeared from "needs attention" as the completed backlog grew. - Fetch attention items with a dedicated request: the API now accepts a comma-separated processing_state list (failed,stalled) and the view prefers that result set over the paged queue. - Batch retry/cancel targets are computed from the same failure set instead of the visible page, so actions reach every failing item. - 全部任务 shows 已显示 N / 共 M plus 加载更多 so rows past 50 are reachable. - Fix pre-existing ui_settings integration test: strict JSON decoding rejects the legacy updated_by field (actor comes from the session). - Tests: view regression (attention item outside the page, load-more affordance) + handler multi-state filter + isolated-DB set filter.	2026-09-30 10:54:07 +08:00
姚章浩	5037c05e93	feat(monitor): 取消失败发布并修正危险按钮对比度 ... - Parse-monitor: the batch-retry button rendered red-on-red because weknoraMonitor.css overrode the global .danger style with text color only; make .danger a filled red button with proper hover/disabled states. - Add operator cancel: 批量取消所选 / per-task 不再处理 buttons move failed/stalled publications to a new 'cancelled' state in one audited batch operation (POST /api/v1/test-publications/cancel-batch, idempotent, migration 000041 widens the CHECK constraints). Queued upload jobs are cancelled, open dead letters abandoned; source records and spool files stay intact so re-marking in the catalog can retry later. - Queue status filter and labels learn 已取消; OpenAPI contract updated.	2026-09-30 10:54:07 +08:00
姚章浩	e6ef5a4693	feat(filters): allowlist mode for filename filters ... - filter rules gain mode ('exclude'|'allow'); nearest allow rule governs a directory subtree, extensions outside it are filtered before fetch - filename_extension() now requires a well-formed suffix, so dated names like 'CRA_V3.1手册_2024-07-31_en' no longer fake an extension; extensionless files are never filtered - API accepts {mode, extensions}; UI editor becomes grouped format chips with keep/exclude modes (keep-list default: docs/text/scripts/images) - migration 000036 + integration tests for allow, nesting and restore	2026-09-30 10:54:07 +08:00
姚章浩	b3c9331966	feat(ingest): 源与目录文件名过滤及钉钉文档导出 ... - filename_filter_rules table (000035) with source-root and per-directory rows - additive inheritance: source default + every ancestor directory contributes - filename_is_filtered() SQL predicate applied to catalog browsing, subtree counts, change-set diffing, routing fan-out and artifact fetch manifests - fetch_state 'filtered' (CHECK extended); reconcile cancels/restores fetch jobs, retires planned publications and blocks items when rules change - GET/PUT/DELETE /api/v1/filename-filters (Idempotency-Key, normalized extensions) + Settings and Catalog filter editors - failJobSQL no longer swallows the claimed row when the failure projection upserts (fixes spurious 'lease lost' retries) - DingTalk live fetch: adoc/axls now use the export-job pipeline (HTTP 403 from file/download fixed), header-signature downloads supported	2026-09-30 10:54:07 +08:00
姚章浩	e60b10256a	fix(settings): add DingTalk spaces and render the real login QR ... Address two gaps in the first DingTalk-session UI: - add an explicit admin-only '+ 新增钉钉知识库' action on the data-source panel; it accepts an alidocs space URL, resolves the live name/root through the authenticated sidecar, writes the inventory root atomically, upserts a deterministic source connection, and enqueues its first catalog refresh - read DingTalk's real QR canvas pixels rather than taking a DOM screenshot; select by dark-pixel content, composite onto a white quiet zone, and render at 320x320 so the dialog contains a large complete code, not a page thumbnail The live refresh path resolves registered roots from the connection locator, while existing name-based DingTalk sources remain compatible.	2026-09-30 10:54:07 +08:00
姚章浩	173b44abca	feat(settings): refresh DingTalk scan sessions from the data-source page ... DingTalk source scanning depends on a shared browser session whose capture file had to be replaced by hand whenever it expired (every scan 401s). - services/dingtalk-login: admin-triggered Playwright sidecar that opens the space page in a persistent headless Chromium, publishes the QR through session polling, verifies the first authenticated XHR against the box API, then writes the capture in place (same inode keeps the worker's ro bind mount current); tokens never leave the sidecar - api: POST/GET/DELETE /api/v1/dingtalk-session authenticated relay; QR is a login artifact, so the whole prefix is admin-only in classifyRole; OpenAPI contract and proxy/503/hostile-ID tests included - web: 系统设置 → 数据源配置 钉钉卡片新增扫码刷新会话（仅管理员可见）， QR 弹窗 + 1.5s 轮询 + 成功/过期/失败状态 - compose: sidecar service owns the ONLY rw mount of secrets/; worker keeps ro	2026-09-30 10:54:07 +08:00
姚章浩	021e91eae4	feat(settings): bind internal/external knowledge bases from the UI ... Routing targets move from env-only to a UI-managed binding (migration 000034 routing_kb_bindings, single active row): - GET/PUT /api/v1/routing-bindings + /options: env defaults act as the bootstrap fallback; a UI binding wins and takes effect immediately (per-request resolution, no restart), and clearing falls back to env - PUT validates against the connected WeKnora instance (real knowledge base list via the scoped API key) and rejects same-KB bindings; saves require the admin role - route/catalog capabilities now resolve through the binding so both annotation paths share one source of truth - system settings > 服务配置 gains a 知识库绑定 panel: dropdown picker (or raw ID when WeKnora is unreachable) showing bound name, origin (UI vs env default) and last author - contract tests: OpenAPI, handler matrix (fallback, validation, same-KB rejection, capability resolution), frontend fetch/save layer	2026-09-30 10:54:07 +08:00
姚章浩	4c86c5e659	fix(httpapi): accept planned in the test-publications state filter ... validProcessingState predated policy-driven ingestion and rejected processing_state=planned with a 400, so the 待入库 lane silently fetched an empty plan list while annotation, fetch and planning had all succeeded.	2026-09-30 10:54:07 +08:00
姚章浩	63f3b2c503	feat(governance): policy-driven ingestion from catalog annotations ... Annotation in 来源与目录 is now the only import decision surface: - migration 000033: catalog_import_intents (durable, rescan-proof per-file intent with locator snapshot + fetch lifecycle), source_items.policy_state, planned publication state, ui_setting_revisions.ingestion_concurrency - marking fans a folder decision out to per-file intents, materializes versioned items, reuses already-verified local bytes (compare, don't pull), and plans one publication per routed KB; blocked retires planned rows while live publications stay untouched (需下架 shows in the KB diff) - artifact.fetch worker lane (scripts/artifact_fetch.py): DingTalk export tree/live box API, AList /api/fs/get direct download with SSO-redirect fail-closed, PP ledger via locator hash; content-level dedupe on sha256 - 开始处理 promotes planned->pending inside the claim-time concurrency budget from system settings; claims enforce it in SQL - monitor overview rebuilt as knowledge-base diff: planned/needs_removal per KB + fetch pipeline summary; frontend lanes 待入库/需下架 replace the deprecated snapshot change-set confirmation - spool: images (png/jpg/gif/bmp/webp) accepted, ppt/pptx rejected in favour of PDF twins; DingTalk PPT resolves its converted PDF pair	2026-09-30 10:54:07 +08:00
zheromiku	f6cb90cd70	feat(web): login gate, session identity UI and member management ... - main.tsx 挂 AuthProvider 门控：未登录→登录页；must_change_password→强制改密页 - 登录页/改密页/顶栏身份（头像+姓名+角色徽章+退出）按 A·Data-console token 样式 - 全局 fetch 拦截器：任意业务请求 401 自动回登录页（会话过期/被撤销不留死表单） - 系统设置新增「成员与角色」分区（仅 admin 可见）：名单、角色调整、启停、重置临时密码、新增成员 - 消灭全部手填操作人：审核/封批/确认计划集/范围规则/来源调度/UI 设置/开始处理/批量重试/ 目录差异确认共 9 处输入框删除，请求体不再携带 actor 字段（服务端从会话注入） - 测试断言方向翻转：显式验证请求体不含 operator_ref/created_by 等字段 - 附带修复：登录失败计数 SQL 参数类型无法推断导致 500（pgx 扩展协议），显式 cast 解决 前端门禁：tsc 0 错、125 用例全绿、build 通过	2026-09-30 10:54:07 +08:00
zheromiku	fbe80ad784	feat(auth): accounts, sessions, RBAC and server-stamped actors ... 上线账号权限管理（后端）： - 迁移 000032：users + user_sessions（token 只存 sha256，服务端可即时撤销） - bcrypt 密码、8 次失败锁 15 分钟、统一 401 错误防用户名枚举 - 三角色 viewer/engineer/admin；HttpOnly+SameSite=Lax 会话 cookie，滑动续期 - 强制改密锁定：must_change_password 会话只能走 auth 端点；首登 dobotai - bootstrap：users 表为空时创建 admin（初始密码 dobotai，强制改密） - 生产双闸授权/回滚/失败重试收敛为 admin 角色；AuthorizedBy 用会话身份 - 全部业务写端点删除手填 actor 字段（operator_ref/reviewer_ref/created_by/ sealed_by/confirmed_by），服务端从会话注入；auth 关闭的开发 socket 回退 system - 成员管理 API：列表/创建/改角色/启停/重置密码，最后一名 active admin 保护 - RBAC 矩阵纯函数契约测试 + 中间件行为测试（登录/锁定/角色/审计戳） - 附带修复：GET /api/v1/users 曾被 GET=viewer 规则误放行（测试抓到）	2026-09-30 10:54:07 +08:00
zheromiku	dcdc8d1ddd	feat: 知识治理平台(含已验证发布/回滚契约) ... 全栈知识治理平台首次入库（P1-P10 + 发布链路模拟验证闭环）： - 治理核心：源目录/变更集/人工审核/发布批次/发布执行（fail-closed 闸口） - 测试通道：WeKnora 测试 KB 上传/轮询/验收；poll 完成时写入 parser_generation/index_generation，修复 manual/seed 路径发布闸口永久拦截 - 发布适配器 v071（本地 source=测试角色 / 云端 target=生产角色 模拟验证通过）： * ES 导出/导入 mapping 自适应（.keyword 子字段、可选 tenant_id） * OSS locator 支持嵌套 scheme；chunks.seq_id 由目标序列分配 * bundle 归档同身份重试原子替换；verifier 按 bundle chunk_type 计数 * 回滚 job payload 支持 prior_execution_id（strict 解码） - 三通道发布+回滚演练实测：publish 4/4 verified，检索命中， rollback 4/4 rolled_back，目标端 PG is_enabled=false、ES is_enabled=false - 前端 A·Data-console 风格全站统一，120 用例通过 - 门禁：go vet / go test 全包通过，gofmt 干净	2026-09-30 10:54:06 +08:00