58 Commits

Author	SHA1	Message	Date
姚章浩	e744114ff4	fix(catalog): 打通共享授权扫描与统一来源清单显示	2026-10-26 18:36:11 +08:00
Hermes	c8f05ee46f	fix(qa): 数据源登记改走 dws，不再要求扫码 ... 侧车扫码会话只用于解析空间；dws 已有有效凭据且能给出空间 id 与根节点， 登记直接用 dws 结果生成确定性键，同名来源回 200 already_present，认不出的空间才回落侧车。	2026-10-26 17:58:44 +08:00
hermes	020cae1228	style: gofmt 新增的发现与路由文件	2026-10-26 17:23:27 +08:00
hermes	017cbcb851	feat(api): 数据源统一列举与添加前校验 ... GET /source-catalog/available 四类同一形状（wiki/drive/doc/pp），类型差异只放在 content_type； POST /source-catalog/validate 真读一次：文档表格校验可读、知识库钉盘校验账号仍可见，失败不让添加。	2026-10-26 17:22:09 +08:00
hermes	1a9d1fff83	fix(qa): 看板附图上传改用大请求体解码 ... 附图 base64 远超 64KiB 的质量编辑上限，被误判为无效设置并报“发送设置无效”。 改为 12MB 上限的通用解码，并返回明确的图片错误文案。	2026-10-26 16:03:52 +08:00
hermes	822fb652ff	feat(qa): 周报邮件区分主送抄送并附统计看板图片 ... 设置新增抄送列表，MIME 增加 Cc 头、envelope 同时投递主送与抄送，同一地址不得同时出现在两边。 确认后可保存统计看板 PNG（multipart/related + cid），发送时放在正文末尾内联显示；正文改动使确认失效后不再使用旧图。	2026-10-26 15:59:06 +08:00
hermes	600e9a2dc2	feat(qa): 周报邮件支持立即发送测试 ... 管理员可在周报页先发一封测试邮件验证邮箱配置；测试不写入发送记录、不改变确认状态，也不会把该周标记为已发送。	2026-10-26 15:31:46 +08:00
hermes	5aa32492de	fix(qa): 周报邮件读取鉴权与测试隔离 ... 只读查询不再要求同源操作意图，写操作仍需；前端改为直接消费已解包的 data。 调度集成测试按租户清理并要求一次性测试库，避免误清正式数据。	2026-10-26 09:57:41 +08:00
hermes	6816289552	feat(qa): 周报确认后按设定时段自动发邮件 ... 周报页新增自动发送区：管理员配置 SMTP/收件人/发送星期与小时，授权码用主密钥加密保存。 确认绑定当前草稿版本与正文哈希，正文再改则确认失效；worker 每分钟仅在启用、到点、周已结束且未发送过时发一次。 邮件同时提供渲染后的 HTML 与可读纯文本；SMTP 仅允许 TLS，拒绝明文。 迁移 000060 新增设置、确认与发送记录三张表，唯一键防重复发送。	2026-10-26 09:49:23 +08:00
姚章浩	00c4c13283	fix(qa): 首批即显并统一五字段后端筛选 ... 列表正文改为按需读取；保留完整导出、版本隔离和有效标签筛选。 验证：前端全量、Go全量及隔离PG全mirror竞态通过；覆盖首批回调、续载失败与筛选分页。	2026-10-25 12:45:31 +08:00
姚章浩	2c0bb32183	fix(qaops): 点踩问题统一判为不正确 ... 通过持久来源关联读取最新本地反馈，强制总表有效正确性为否，保留原问答和人工证据。统一列表、详情、指标和两阶段读取的反馈快照，拒绝冲突选择并保留其他字段编辑。已通过完整本地门禁、隔离PG竞态和真实恢复库52条点踩逐条读回、桌面及手机验收；未调用模型或连接源生产库。	2026-10-20 08:18:03 +08:00
姚章浩	87f97a2f9b	feat(qaops): 完成详情下拉与每周自动保存草稿 ... 详情使用共享主表字典，稀疏修改所选字段并保留原始问答及旧复核审计。 月周统计提供文本和下拉双入口；每租户每周一份持久草稿，按技能六节双语模板真实预填。 加入幂等自动保存、冲突保留、未知响应重试、切周及离开保护和schema58非破坏降级保护。 验证：完整make verify、隔离PostgreSQL全mirror竞态回归、真实恢复库浏览器验收通过。 浏览器实测字段精确读回、月周双输入、模板预填、MD/CSV、自动保存、冲突、失败重试与API重启恢复。 未连接或改写DobotAI生产源库，未运行付费模型；提交时尚未部署。	2026-10-20 05:44:02 +08:00
姚章浩	4a2b2b7d84	feat(qaops): 增加部门树区域统计与父子联选 ... 区域配置入口改为区域统计，五列表按当前通讯录整支人员去重；调岗依当前归属、零分母未知、最近真实提问时间和父行收起不重算。仅读治理正式总表，后台单并发/请求合并/60秒缓存，目录与配置版本隔离，客户端失败不伪零。 保留区域自定义目录与预览/双版本锁保存，父部门勾选联选全后代，取消子支清除祖先整支选择，避免隐式覆盖未选子级；允许删除无引用区域，已有引用不静默孤立。统计页与设置共享选择，统计支持累计与北京时间自然月；不新增迁移，不改DobotAI生产、代理、原问答、历史趋势或已有AI任务。 验证已执行：完整make verify退出0，705 Go/340前端通过、120项声明的可选集成跳过且必需0跳过；镜像全量隔离PG race退出0；新增去重/调岗/空分母、后台缓存/并发、HTTP授权/严格请求、真PG目录与配置失效、树选择/收起、五列与删除保护均先红后绿。旧导航测试按新名称更新后全量通过。上线前治理库备份与真实恢复72表/29张QA内容哈希一致，匹配独立主密钥受限备份。 当前尚待精确SHA CI、同镜像真实数据浏览器与正式读回，不把源码验证称为已上线。公司真实区域映射不在本轮擅改；只在隔离库验证保存。	2026-10-19 19:01:36 +08:00
姚章浩	533db535f1	feat(qaops): 接入真实模型补缺任务与总表看板 ... 按已确认需求提供独立安全模型配置、真实探测、正式字典字段评估与原问题译中，持久批次支持只补空白、暂停恢复、有限重试、幂等和逐字段依据。覆盖固定规则、本地语言、组织关联与主表有效看板共用治理侧读模型，保留源生产和冻结历史。 验证：完整 make verify 退出0，702项Go与329项前端通过；默认118项外部/隔离集成明确跳过，另跑完整镜像及组织隔离PG竞态。12并发、输入漂移、过期租约、暂停/恢复及有限重试通过。用户授权的百炼 deepseek-v4.1-flash 完成真实后台与浏览器评估/翻译；552行、16列、11块看板及完整PNG、独立配置页测试/保存、重开恢复和零JS异常通过。仅非业务样本外发，自动处理关闭，原payload不变。 上线前治理库已做导出快照原生备份并真实恢复，60表行数与17个QA表内容哈希一致；不修改DobotAI生产或隧道。本提交时尚未部署，线上验收须独立完成。	2026-10-19 14:29:49 +08:00
姚章浩	f5e0f8d20f	feat(qa-ops): 建立独立正式主表并保真导入历史问答 ... 将可维护总表与可替换2.0镜像分离，稳定来源关联和原始事件键保留； 源端更新/删除不覆盖主表或人工复核。首次收录保留原评估审计， 主表输入/复核独立持久化；历史原标注不冒充新AI或冻结证据。 历史导入绑定源哈希、逐行批准清单与真实恢复备份；三字段精确去重， 批次及原字段留档，重复执行不覆盖后续修改。仅操作本地治理库。 验证：完整make verify退出0；镜像与区域两组隔离PG race退出0； 真实恢复数据隔离导入12522、跳过792、暂缓1，总表15050； 重放保留模拟修改，结构down拒绝丢历史；真实浏览器第41周551条完整， 历史原标注和独立主表复核读回通过，移动布局及JS异常0。	2026-10-19 08:49:18 +08:00
姚章浩	6e67034fbd	feat(qa-ops): 交付十一项统计看板与完整图片导出 ... 以治理库单一只读事务分开聚合累计、自然周、截止月及当前通讯录使用分母；浏览器不再读取全量长答案来构建看板。 新增迁移52与普通worker周质量冻结，保留真实冻结时点、规则和标量贡献；缺少当时快照留空。提交后冻结头与贡献不可修改、删除或追加；只读接口保留管理员、固定租户、严格JSON与输入冲突保护。 已验证：make verify退出0，686个Go用例和305个前端用例通过，必需跳过0；镜像与组织隔离PostgreSQL竞态回归退出0。真实治理副本浏览器核对第41周累计1885与新增471、十一项和完整PNG下载，390px无外溢、JS异常0；明确模拟503后不伪零且重试恢复。没有修改DobotAI原始问答、真实区域规则或生产发布门禁。	2026-10-18 23:26:55 +08:00
姚章浩	76671e0784	feat(qa-ops): 支持自定义区域与分级部门批量归属	2026-10-18 21:50:29 +08:00
姚章浩	3e7fcce0b1	feat(qa-ops): 持久本地问答副本与安全答案预览 ... 新增迁移50与每5分钟/手动持久同步，API只读本地；同步失败保留、权限阻断、租约与质量失效原子激活。 保留全量稳定分页/固定列，已存质量批量读取，元数据不反复解压长答案；详情安全Markdown与原文。 已运行整仓 make verify、源与副本隔离PG -race、真实只读源及隔离浏览器。 实际同步2525条；固定窗口640条本地中位1.46秒，对照直接源33.10秒。 停worker、缺源凭据、重启API后仍可查询；未更新8088，未修改生产原问答。	2026-10-18 19:10:47 +08:00
姚章浩	013ce4a24e	fix(version): 补全开发快照记录与同步交付闭环 ... 收录 main、注释开发快照和完整运行 SHA；开发说明绑定原提交，补记 0.1.1–0.1.25。 进行中同步按仓库合并，完成后重新执行；启动入队，部署脚本读回版本证据。 开发快照独立于正式标签与 Release，既有冲突标签不移动。 已运行：整仓 make verify，Go 673 通过、前端 274 通过，92 个已声明可选跳过，必需跳过 0。 隔离 PostgreSQL 重复同步队列用例及 -race 通过；未更新现有 8088、未修改生产问答。	2026-10-18 18:11:49 +08:00
姚章浩	2ea2111420	fix(web): 保留代理端口以修复同源质量查询误拒绝 ... Nginx 使用原始 Host 和端口转发，不修改后端跨站防护。补充无 Fetch Metadata 的 LAN/Tailscale 同源和异源、异端口、转发头伪造回归。 验证：配置回归先因丢失端口失败后通过；HTTP竞态、真实隔离Nginx正反例及完整make verify均通过。部署前真实入口无Metadata为403，同源Metadata对照可过；源库及人工复核无写入。	2026-10-18 15:45:09 +08:00
姚章浩	828c2c5fa0	feat(qa-ops): 按确认口径补齐质量比例与分母明细 ... 使用完整筛选范围的当前有效结论计算覆盖率和正确率，人工优先，失效与对应待确认/未评估/不计入排除；零分母返回null，界面展示原始分子分母和排除构成，前端拒绝不守恒或比例不一致的响应。 验证：make verify退出码0，Go658及前端257通过，91项声明可选集成跳过；隔离PG、三包竞态及合成/真实只读源浏览器验证通过。无新增迁移，不接AI模型，不改绩效，不写源库；本批未推送或部署，8088运行版保持0.1.21。	2026-10-18 02:00:31 +08:00
姚章浩	4b3aaff321	feat(qa-ops): 完成复检留档与人工复核闭环 ... 治理侧保存输入观测版本、自动复检及人工复核历史，输入变化失效、版本冲突和幂等重放不覆盖人工记录。批量质量数量使用完整筛选元数据，未采集原文不伪造快照，延迟旧扫描不回退新输入。 验证：全仓 make verify 退出码0，Go656及前端253通过；五包竞态、源/组织/质量隔离PG、真实只读源和隔离网页读回复核通过。默认91个可选集成跳过不计通过。未接AI模型，不写DobotAI源库，未推送、未合并、未部署。	2026-10-17 22:37:26 +08:00
姚章浩	9556db1ef0	feat(qaops): 增加个人自然月用量与零记录人员明细	2026-10-17 19:59:33 +08:00
姚章浩	56b8cabed9	feat(qaops): 接入问答组织补全与区域使用统计	2026-10-17 19:02:13 +08:00
姚章浩	cc4906b6a9	feat(qaops): 接通网页通讯录持久化同步与后台接管	2026-10-17 17:36:07 +08:00
姚章浩	dab74b706b	feat(qaops): 增加版本化部门区域归属配置与预览	2026-10-17 11:39:38 +08:00
姚章浩	fd04bf7886	feat(qaops): 接入独立只读问答查询与治理覆盖复检	2026-10-17 09:04:19 +08:00
姚章浩	9a8a3e7795	fix(dingtalk): 登记钉钉知识库 409 space_registration_conflict —— 归档行占名 + 错误被吞 ... 现象：点「公司级技术支持知识库」登记，返回 HTTP 409：space_registration_conflict。 根因（真数据取证）： - source_connections.name 有唯一约束。这 3 个钉钉来源是**早期路径**登记的 （base_url 为空，id 与 dws 现在推导的确定性 id 不同）： sc-18d10ca0… 公司级技术支持知识库 / sc-eaef0ec1… ATOM知识库 / sc-dc7cea1c… 技术诊断部知识沉淀。 - 上一步「去掉来源」只是归档下架，**名字仍占着唯一槽位** ⇒ 重新登记时 INSERT 撞 UNIQUE(name)。 - 处理器把**所有**存储层错误都翻译成同一个 409 space_registration_conflict（真实原因被吞）。 修复： - store：同名的另一行若**已归档** ⇒ 改名腾位（`…（已下架 · <短ID>）`，归档行不显示， 数据与审计一行不动）；若**仍在使用** ⇒ ErrDingtalkSpaceNameTaken（绝不悄悄改名）。 同一个登记键解析到别的 root 时：在用中的行报 ErrDingtalkSpaceIdentityConflict； 归档过的行允许就地改写（"去掉后再用 dws 重新获取"的语义）。 - httpapi：分类映射 —— space_name_conflict / space_identity_conflict（409 + 可行动 hint）， 其余内部故障改回 500 space_registration_failed，不再伪装成冲突。 - web：读一次响应体同时取 error 与 hint，**hint 优先**；补两个新码的中文说明。 验证：真 postgres 集成测试复刻线上形态（旧行占名 + 归档 ⇒ 登记成功、旧行改名保持归档、 内容不丢；同名在用 ⇒ 拒绝；同键换 root 在用 ⇒ 拒绝、归档 ⇒ 就地改写）；handler 分类测试 （409/409/500，且不回显内部细节）；前端 hint 优先用例；make verify 15/15。	2026-10-14 12:59:52 +08:00
姚章浩	2c7265efc4	feat(sources): 数据源配置收敛成 dws 导入 + PP 导入；「去掉来源」= 归档下架（不删数据） ... 主人要求：去掉入口，统一成 dws 导入与 PP 导入；其他来源连数据一起下架，之后用 dws 重新获取。 界面（web）： - 「数据源配置」只剩两块：**dws 导入（钉钉）**（按当前钉钉账号列出可访问的知识库与钉盘空间） 与 **PP 导入**（PP 资料下载中心）。上一步加的「显示 AList／钉钉知识库来源」折叠开关删除。 - 来源卡片新增管理员可见的「去掉来源」（带确认弹窗，说明是归档下架、数据保留可恢复）。 - 侧栏文案改成"只留两个入口"；发现面板标题改为「dws 导入（钉钉）」。 后端（归档语义，可逆）： - 迁移 000047：source_connections 增 archived_at / archived_by + 只覆盖未归档行的部分索引。 - store：ArchiveSourceConnection / RestoreSourceConnection（幂等；归档同时停用并清空 next_refresh_at，避免被手工改回后立刻带着旧调度跑）。列表、目录、计划刷新（claimDue）、 手动扫描（triggerBlock/inspect）四类查询一律排除归档行。 - 注册路径（dws 重新获取）：RegisterDingtalkSpace 的 ON CONFLICT 清掉归档标记 —— 重新登记同一个空间**原地复活同一行**，不产生重复，历史快照仍属于同一行。 - HTTP：POST /api/v1/source-connections/{id}/archive|restore（管理员专属，写意图头 source-archive / source-restore + Idempotency-Key；404 区分"不存在"与"已是目标状态"）； openapi 同步两条契约。 验证： - 集成测试（真 postgres）：归档从列表消失但 source_items 一行不少、重复归档不漂移归档时间与人、 未知 ID 报 ErrSourceConnectionNotFound、归档来源不能再被扫描、恢复后回到列表但保持停用； dws 重新登记同一空间复活同一行。 - httpapi：写意图/幂等键门禁、200/403/404/500、错误体不回显内部细节、classifyRole 管理员专属。 - 迁移护栏：000047 结构 + 四类 SQL 必须含 archived_at is null（漏一条就是入口没去掉）。 - make verify 15/15。	2026-10-14 12:36:32 +08:00
姚章浩	0974d8dfa2	feat(version-history): 「版本记录」页 —— 追踪远端 main 全部提交（只读 + 管理员手动同步） ... 按已确认的契约实现（口径见 docs/VERSION_HISTORY.md）： - **版本号口径（只给有证据的）**：注释 tag + tag 指向该提交 + 该提交内 CHANGELOG 顶部三者一致 ⇒ 正式版本； tag 之后的提交按 `<主>.<次>.<自该 tag 的提交数>` 显示开发号（与 scripts/version.py **同规则**）； 证据不足 ⇒ 「历史提交 · 短SHA」+ 原因码，**不补造版本号**。完整 SHA 是唯一身份、版本号不是唯一键 （tag 之后两条并行分支各自的第 1 个提交都算 0.1.1 ⇒ 两条都保留，用短 SHA 区分）。 - **迁移 000046**：version_history_commits（提交记录，主键 repo_key+commit_sha）+ version_history_sync_runs （同步状态）。快照 = 一次同步：抓完并与 X-Total-Count 对账通过才切换；失败不切换快照、不清空历史、 last_success_at 不动（页面显示"上次同步失败（原因）· 仍展示上次成功数据"）；「同步成功」≠「历史完整」。 - **只读客户端（匿名，不使用任何凭据）**：白名单 origin + 固定仓库、拒绝任意 URL 与跨主机重定向、 响应上限 5MB / 超时 15s、仅 5xx/429 退避重试（最多 3 次）；逐页抓到短页为止；每次全量扫 tag ⇒ 旧提交后补的 tag 会更新既有记录（不新增第二行）。 - **接口**（三个都登记进 api/openapi.yaml）：GET /api/v1/build-info（viewer）、 GET /api/v1/version-history（viewer；游标绑定快照，过期返回 409 cursor_expired；不返回伪造 total）、 POST /api/v1/version-history/sync（admin；并发同步复用同一作业，靠 IdempotencyKey）。 - **「当前运行」只认精确匹配**：产物注入的完整 SHA 命中某条记录才标该条；开发构建显式标注"开发构建"； 没有可用标识 ⇒ "当前运行版本未知"；**不拿最新 main / 最新 tag 顶替**，CI 成功不等于已部署。 - **前端**：一级菜单第 5 项（版本记录）+ 时间线页面（全部/正式/开发/历史四段筛选、正文展开、 加载更多、760px 单列无横向溢出、提交正文与变更记录按纯文本渲染）；无打 tag / 发布 / 部署入口。 新增配置（留空即未接线，页面降级）：VERSION_HISTORY_GITEA_BASE_URL / _REPO / _ALLOWED_ORIGINS / _HTTP_TIMEOUT / _MAX_PAGES。 验证：`make verify` 15/15 success（tests-go 578 通过 / 0 失败；tests-web 209 通过 / 0 失败）； 新增 Go 用例 30（版本口径与图遍历 12、客户端守卫 6、同步编排 5、接口 7）；前端新增 18（组件 10 + 客户端 8）； 真实仓库匿名快照拉取（`VERSION_HISTORY_LIVE_BASE_URL=… go test -run TestLiveSyncAgainstRealRepository`）： 抓到 113 条与 X-Total-Count 一致、v0.1.0 是注释 tag 且目标与 `git rev-parse v0.1.0^{commit}` 一致、 开发号逐个等于 `git rev-list --count v0.1.0..<sha>`（正式 1 / 开发 22 / 历史 90）。	2026-10-13 19:40:19 +08:00
姚章浩	c04abd6530	style(go): 清掉存量 gofmt（6 个文件的字段对齐与文件末尾换行） ... 接入格式门禁前先量了一次存量：gofmt -l 在 295 个被跟踪的 .go 文件里报 6 个， 全是字段对齐与缺文件末尾换行这类机械问题。先一次性清干净，门禁接上后 Go 侧一条都不欠。 为什么独立一个提交：格式清理混进功能改动会让 diff 无法 review（正本要求存量清理独立提交）。 验证：gofmt -l 对被跟踪的 .go 文件输出为空；go vet 与 go test 全过。	2026-10-12 00:10:31 +08:00
姚章浩	1283f65a95	feat(catalog): 首次扫描中的来源也出现在「来源与目录」，并显示实时进度 ... 用户反馈：加了钉盘来源后「来源与目录」里看不到。根因不是丢数据，而是列表只列"已经有快照" 的来源 —— 首次扫描要几分钟到几十分钟（钉盘空间 2900+ 个文件夹），这段时间页面上什么都没有。 - 新 Store 方法 ListCatalogScanProgress：已启用 + 还没有 catalog head + 有在跑/排队的 source.catalog.refresh（三条件同时成立）。进度直接取 worker 写在任务载荷里的同一份计数 （progress/message/scanned_directories/discovered_directories/scanned_files），不另立口径。 - /api/v1/source-catalog/sources 在既有列表后追加这些行（snapshot_status="scanning" + scan_progress/scan_message）。走窄接口按需接线：未接线时安静跳过，不会把旧列表弄坏。 - 前端：左列显示「首次扫描中 44%」，选中后是进度面板（百分比 + 进度条 + 当前文案 + 已发现文件数），并说明"扫完自动出现目录"；有来源在扫描时每 3 秒自动刷新列表， 扫完那一行自动变成「本地只读快照」。扫描中不拉目录节点、也不显示标注/格式入口。 - 解析器保持严格：snapshot_status 只接受 ready/scanning，scanning 必须带 scan_progress， 否则整包拒绝 —— 不给"假装 0%"的机会。 测试：postgres 集成测试（真库）覆盖四种不该出现的来源（停用、已有快照、任务类型不符、 历史上已完成的那次任务）；前端 parser + 渲染各一条；Go 全绿、前端 192 条 + tsc 干净。 面板实测：左列「公司级营销资料管理 · 首次扫描中 44%」，主区「首次扫描中 · 44% / 正在扫描目录：已完成 1540 个文件夹 / 已发现约 4934 份文件」。	2026-10-10 17:04:59 +08:00
姚章浩	e00cab2f70	feat(settings): 数据源配置改成「列出来、勾选、变成来源」，并去掉文件格式筛选 ... 用户对 系统设置 → 数据源配置 的四条要求： ① 这里不要做文件格式筛选（格式归目录级标注决定）； ② 列出我账号下能看到的知识库；③ 列出钉盘能看到哪些；④ 勾选那些作为来源。 ① 来源卡片不再渲染 FilenameFilterEditor（目录级筛选仍在「来源与目录」里，按目录就近覆盖）。 ②③ 新端点 GET /api/v1/dingtalk-spaces/available（管理员，只读）：用 dws 列举 - 知识库：wiki +space-list --type orgWikiSpace/myWikiSpace（实测 17 + 1 个） - 钉盘：wiki space list --type mySpace/orgSpace（实测 我的文件 + 6 个组织空间） 实测约束写进命令形态：--limit 上限是 50；翻页必须 --page-all（--max-items 兜底）， 否则超过一页的知识库会被静默截断（被截断时页面显示"可能不全"而不是假装列全）。 列不出来 ≠ 空列表：dws 未登录/权限不足 → 503 + 原因；某一类失败只丢那一类。 ④ 面板勾选后走既有登记路径（/api/v1/dingtalk-spaces），首次目录扫描自动排队； 已登记的按空间名标「已是来源」并禁用勾选；扫码会话失效时直接弹二维码，扫完自动重试。 基础设施：api 与 worker 共享同一份 dws 状态（bind mount 同一份，refresh token 是轮换制， 不能各留一份）。子进程 HOME 必须指向 DWS_HOME —— 这条是实测踩出来的：漏了会报"未登录"， 已有回归测试钉住。dws 子进程沿用白名单环境，库口令等变量不进子进程。 测试：新包 internal/dingtalkdiscovery（fixture 用真实 dws 输出形状）：paging 约束、 截断提示、一类失败不连带、全部失败→ErrUnavailable、子进程环境；httpapi 侧 401/501/503/500 与不泄漏内部错误；OpenAPI 契约（400/503 组件）通过。前端 189 条 + tsc 干净。 面板实测：知识库（18）/钉盘（7）都列出来，已有三条钉钉来源自动标「已是来源」； 勾选「视觉文档」→ 加入为来源 → 新来源 sc-8a4be5b8293d1c9a048c3c7e9b194155（dingtalk，enabled） + source.catalog.refresh 已完成。	2026-10-10 16:46:39 +08:00
姚章浩	f8faed0b21	feat(release): 发布到生产一键完成（建批+锁定+授权合成一个动作） ... 用户的反馈是对的：上一轮只砍掉了"冻结/锁定"两个按钮，但一条文档从"已批准"到"发出"实际仍要 ~9 次交互（找条目→勾选→填名→建批→滚到清单→找批次→授权→输语句→提交），因为"批次仪式"本身 还留在路径上。 - 新端点 POST /api/v1/release-batches/publish-now：在同一操作里先建批（SealImmediately，冻结 即锁定）再授权生产发布，返回 {batch, execution}。 - 不放松任何约束：请求门禁(403)、备份恢复验证门禁(412)、管理员身份(401)、固定确认语句(400)、 发布前快照硬门禁(409)、建批门禁(422) 全部沿用既有实现，无旁路；名称可省(服务端固定回退名， 保证重放指纹一致)。 - 界面：审核行上直接「发布到生产」（管理员 + 门禁开启时显示），工具栏支持选中多条一次发布； 复用既有确认弹窗（固定语句）。批次名不再是必经步骤。 - 实测（面板）：点行级按钮 → 输 `publish-to-production` → 提交 → 批次 rb-bee80550…(sealed) + 执行 rx-3d831129…(completed, 项级 verified) → 页面回滚 rx-43835fac…(rolled_back, absent)。 测试：publish_now_test.go（四道关卡 + 组合调用 + 名称回退）与 reviewRelease.test.ts（请求体/回传/错误原因）； Go 26 包、前端 183 条全过。	2026-10-10 15:48:30 +08:00
姚章浩	70131c6161	feat(release): 批量审核 + 建批即锁定 —— 发布管理单文档交互降到 3~4 次 ... P0-3： - 批量审核：新增 POST /api/v1/review-candidates/batch-decision，逐条复用单条审核的写入 路径（同一套合法性校验与"最新验收轮次"绑定），逐条回报 decided/skipped/skipped_ids； 不可审核的条目只计入 skipped，不打断整批，其他错误整批回滚（不留半成品）。 界面新增「全选可批准」「批量批准选中」「批量驳回选中」。 - 建批即锁定：建批请求加 seal 字段，服务端在创建后立即执行既有的密封（仍逐项复核门禁， 失败整批回滚），草稿态不再单独占一步；界面按钮改为「创建并锁定清单」，流程说明从 8 步改 7 步。 - 判据修正：「可批准」原先把已驳回的算进去（review_state !== 'approved'），改为只含 pending + 门禁通过。 语义边界（写进测试）：批量批准按人工身份记录，人工可推翻自己先前的驳回；system:auto 发起的 批量批准对人工驳回过的那条必须跳过（Decided=0/Skipped=1）——机器永远不覆盖人工。 测试：review_batch_integration_test.go（批量决定/跳报/重复 id 拒绝/机器不覆盖人工、 建批即锁定）、review_batch_test.go（幂等键、400/409/500/501 映射、服务端盖操作人）、 reviewRelease.test.ts（批量请求体与逐条回报、建批带 seal）。前端 181 条通过。	2026-10-10 15:29:31 +08:00
姚章浩	acf053faf3	feat(release): 建批时冻结 + 验收通过自动批准 —— 把"每份文档 8 步"砍掉两步并去掉两次卡死 ... 背景：发布管理把"逐条核验"的仪式强加给每一份文档。实测一份文档要 9~11 次交互， 且有两处顺序陷阱（冻结后批准 → 建批 422；生成即固化 → 批准被永久钉住）。 P0-1 建批时冻结： - CreateReleaseBatch 在未指定版本时，自己把当前实时计划冻结成一份**已确认**版本并绑定 （同一事务；同摘要复用最近版本，planned 或 confirmed 都可复用，因此同一份计划不堆版本）。 - 语义不变：批一旦建立，清单/摘要/验收轮次/目标库绑定全部不可变、回滚按它走；变的只是 "谁在什么时候按固化键"——从操作员的手动两步变成建批这一下。 - 效果：去掉「生成新版本」「确认冻结」两步；消灭"批准晚于冻结 → 422"这类顺序陷阱； 前端不再传版本 id，也不再有"所选知识不在冻结清单里"的阻断。 - 计划→清单项的映射抽成 ChangeSetItemsFromPlan 供两处共用，否则两处算出的摘要不同， "同一计划复用同一版本"永远不命中。 P0-2 验收通过自动批准： - 验收三项结论达发布门槛（knowledge_exists/chunks_present=passed，retrieval_hit 与门槛同 口径）时，由 worker 写入 reviewer_ref='system:auto' 的批准记录，替代"每份文档点一次批准"。 - 策略 TEST_AUTO_REVIEW_POLICY = off | internal（默认，仅对内）| all；值不认识拒绝启动。 只影响审核这一步：生产授权、双闸与发布前快照门禁不受影响。界面上只读展示当前策略。 - 安全边界（写死在审核 SQL 里）：系统只允许写"第一条"审核——人工一旦表过态，机器不得用一条 更晚的 approved 把人工结论翻回去；人工随时可再审。集成测试去掉该约束即 FAIL（已实测）。 - 自动批准自身的任何失败都不影响验收结论，只上报。 顺带（P1-1 前半，已被 P0-1 取代的部分已删除）： - 写操作失败把服务端 {"error": ...} 的原因带出来，并对已知原因给出下一步（不再只给 HTTP 状态码）。 - 当前的"不在已冻结清单里"标注与就地修复按钮随 P0-1 一起移除（该失败模式已不存在）。 测试：bind_time_freeze_integration_test.go（绑定已确认版本/同计划复用/冻结后不可变/ 动作不符仍 NotEligible）、auto_review_integration_test.go（系统只写第一条、人工可再审）、 validate_test.go（对内自动/对外不自动/策略关闭/验收未过不批/自身失败不影响验收）、 auto_review_test.go、config_test 及前端能力解析测试。 实测耗时：本机 Go 全量 26 包通过、前端 178 条通过。	2026-10-10 15:05:20 +08:00
姚章浩	a1b46d2b7c	feat(monitor): 需下架车道可逐条移除测试库知识 —— 补齐最后一个没有页面入口的流程 ... 背景：来源侧被判「禁止导入」后，已建好的测试库知识不会自动消失；此前只有变更集 删除路径会入队 test.remove，页面既列不出条目也没有按钮，运维无法闭环（车道只有按 库计数）。 新增： - GET /api/v1/test-publications?removal=required：条目级列表，判据与车道计数同源 （superseded_at IS NULL / 有 knowledge_id / completed / retrieval_state NOT IN (disabling,disabled) / policy_state='blocked'），过滤是叠加而不是替换。 - POST /api/v1/test-publications/{id}/removal：engineer 级写路由，要求 Idempotency-Key， 按条目幂等（operator-remove:<id>）；置 disabling 并交既有 test.remove 工作流去删除 远端知识并读回校验。错误映射 404/409(已移除)/409(不可移除)/501(未接线)。 - 界面：需下架车道逐条显示条目 + 「下架（从测试库移除）」，页内二次确认，成功提示， 完成后计数归零。 修掉过程中踩到的两个真问题： 1. 二次确认的确认态原先经容器 props 传给视图，一次容器改动把三个 props 丢了 —— 视图永远渲染原按钮、确认步骤静默消失，而所有静态单元测试仍然通过。改为把确认态 放在视图内部；并把「取消」放在原按钮位置（真实指针连点两下只会落到取消）。 2. jobs 上有部分唯一索引 UNIQUE (business_change_set_id, business_version_id, business_target_kb_id, business_action) WHERE business_change_set_id IS NOT NULL。 本路径给这三列写空串（非 NULL），('','','','remove') 对所有条目是同一个键 —— 第一条之后每次 INSERT 都撞唯一索引、被 ON CONFLICT DO NOTHING 静默吞掉，留下 「状态已 disabling、没有任务」的永久卡死条目，而车道恰好隐藏 disabling，运维也 看不到。改为写 NULL（语义：无变更集身份）+ 冲突目标收敛到 idempotency_key + 校验 RowsAffected()（0 行回查既有任务；查不到就报错，不提交无任务的 disabling）。 卡死状态在重试时可自愈。 测试：internal/platform/postgres/test_publication_removal_integration_test.go（两条发布 各自入队、business_* 为 NULL、卡死自愈；把修复退回旧写法该测试即 FAIL，已实测）、 internal/httpapi/test_publication_removal_test.go（权限/幂等键/错误映射/未接线 501/列表 过滤）、前端 testPublications.test.ts + WeKnoraMonitor.test.tsx。 验收（纯界面，两条都走完）：解析监控 → 需下架（2）→ 逐条「下架」+ 二次确认 → retrieval_state=disabled（PDF 03:57:03Z、md 04:08:55Z），jobs completed（attempt 2， 首次 test_remove_pending＝远端仍在处理，重试通过；工作流以 GetKnowledge 读回 404 判 成功）→ 车道需下架（0）。核验「确认前不执行」：首次点击后仍 unpublished、移除任务数仍 1。	2026-10-10 12:10:46 +08:00
姚章浩	d0a45d563f	fix(monitor): 需下架车道恒为 0（判据用了没人写的状态）+ 隔离会改线上设置的集成测试 ... 界面验收第三遍（禁止导入 → 需下架）暴露两处真问题： 1) 需下架车道死掉：判据 `retrieval_state='enabled'`，而 retrieval_state 在这套状态机里 描述「是否发布到生产」(unpublished/disabling/disabled/failed)，全仓没有任何代码写过 'enabled'，线上 5/5 发布单元都是 unpublished → 车道恒 0，界面「仍在知识库里的文件会 出现在这里」的承诺不成立。改为与设计注释一致的口径：仍在测试库存活（completed + 有 knowledge_id + 未 disabling/disabled）+ 来源项 policy_state='blocked'。 线上对照：旧判据 0 → 新判据 1，命中被禁止导入的 DH-AG95夹爪适配-指令协议.md； 修后页面显示「需下架（1）· 对内知识库 · 1 份仍在检索中」。新增集成测试覆盖 存活/未禁止/移除中/已移除/未上传五种情形（真实 Postgres + 独立 schema）。 2) 集成测试改到线上设置（直接踩到并已恢复）：ui_settings_integration_test.go 只判断 TEST_DATABASE_URL 是否存在、无 schema 隔离，而它「创建候选并激活」——跑在共享库上会把 真实 active 设置挤成 retired。已先备份（backups/ui-settings/…pre-restore.jsonl），再用 单事务（先 retire 再 activate，uq_ui_setting_active 只允许一条 active）恢复 uis-d40ea1fc…（15/30/1800/7200 + https://weknora-test.dobot.cn/），并复核线上值。 根因修复：给该用例加 per-test schema 隔离，复跑后线上设置不再被改动。 同时把两处与事实不符的文案改实话（WeKnoraMonitor.tsx 需下架说明、SourceCatalogBrowser.tsx 禁止导入说明）：移除走 test.remove 工作流（删除测试库知识条目，可再入库），入口当前由 变更集删除路径触发，页面尚无独立按钮——条目级列表与下架按钮列为待排期。	2026-10-10 10:55:03 +08:00
姚章浩	e95a50ca3a	fix(backup): 保存后即时反映主机状态；最近一次备份不再重复同一时间戳 ... - 后端 handleSaveBackupSchedule 改为先下发、再组装投影：此前页面保存成功那几行仍是 下发前的主机计划，看起来像没生效（需等下一次刷新） - 前端 runMoment：清单里的 created_at 就是目录戳，同值不再重复显示（原为 '20261009T060736Z · 20261009T060736Z'） - 前端补 runMoment 用例（171 个 vitest 全绿） 面板实测：保存后立即显示 每天 03:30 / 保留 7 天 / 已一致，cron 条目 30 03 * * *	2026-10-09 14:12:10 +08:00
姚章浩	3f603aa293	feat(backup): 系统设置里的存储与备份——定时时间与储存天数可配、下发到目标主机 cron ... 需求：整库逻辑备份做定时，但要在「系统设置 → 存储与备份」里设置定时时间与储存天数。 后端 - migration 000045 backup_schedule（单行：enabled/schedule_time/retention_days/retention_months/ last_applied_*），store + 领域校验（HH:MM、1~365 天、0~24 月，非法值 400 且不落库不下发） - internal/backuphost：通过 ssh 在目标主机上读回/下发计划并立即备份（未接线时 Available=false， 页面降级提示；主机侧错误带输出回传）。最近一次只认有 MANIFEST.json 的完整目录，跳 *.incomplete - 接口 GET/PUT /api/v1/backup-schedule、GET …/host、POST …/apply、POST …/run； 写操作经 classifyRole 限管理员；run 为异步 202 + 在途单飞（http 写超时 30s，备份约 35s） - openapi.yaml 补齐 5 条路由（契约测试要求每条都写 400/500） 主机侧 - scripts/install_backup_schedule.sh（幂等）：写 /etc/knowledge-governance/backup-schedule.env 与 /etc/cron.d/kb-logical-backup，参数校验，--show/--disable，最后一行 SCHEDULE_APPLIED 供平台核对 - logical-backup.sh 从该文件读保留策略；失败或被中断把目录改名 *.incomplete，不留'像成功'的半成品 - install --show 只回显计划行（原先把 SHELL=/PATH= 当计划显示） 前端 - web/src/backupSchedule.ts（严格解析：缺计划字段即报错，不把默认值伪装成设置） - BackupScheduleSection：容器 + 纯视图（管理员表单/只读、已一致/待下发、在途轮询） 运行前提（已落实）：运行镜像加 openssh-client，且容器 uid 1000 在 /etc/passwd 有名字 （否则 ssh 报 No user exists for uid 1000）；凭据只读挂载 secrets/backup-host（git 忽略） 实测：主机 cron 每天 03:30 / 保留 7 天 / 每月 3 份；立即备份一次 34 秒 / 742.7 MiB / 失败 0； Go 与前端测试全绿（170 vitest）。	2026-10-09 13:50:23 +08:00
姚章浩	86732ca987	fix(api): 执行明细补齐 action 与目标知识库字段 ... 逐项明细 DTO 漏了 action（前端 parseReleaseItemExecution 必需），点 「查看结果」整个明细区报 invalid release item execution。同时把遷移 000044 的 target_knowledge_base_id 读出来透出，页面逐项结果显示「目标库」， 让'目标知识库可选'在界面上可核对。测试：Go 契约用例 + 前端解析回归用例。	2026-10-08 17:26:26 +08:00
姚章浩	280a81c855	fix(api): 执行列表返回批次进度字段，修复页面执行列表解析失败 ... /safeReleaseExecution 没带 batch_size/current_batch/total_batches，而前端 parseReleaseExecution 要求这三个计数，任何一条执行记录都会让整个列表抛 'invalid release execution'，页面因此看不到执行历史与回滚/重排按钮，门禁 状态也一并回落到'已锁定'。补上这三个非敏感进度字段。	2026-10-08 17:15:32 +08:00
姚章浩	2de7a43286	feat(release): 生产授权支持页面通道（管理员会话 + 固定确认语句） ... 页面原本没有任何生产入口，授权/重排/回滚只能带 Bearer 调接口，实际还要 admin 会话。 现在三个端点支持两条通道，门禁语义不变： - 运维通道：Authorization: Bearer <token>，审计记 PRODUCTION_RELEASE_AUTHORIZER_REF - 页面通道：已认证 admin 会话 + 固定确认语句，审计记该管理员用户名 - 请求门禁 / 备份恢复门禁 / Release Worker 执行门禁三者不受影响 - 发布管理第 6–8 步加「授权发布 / 重排 / 回滚」按钮，点击需逐字输入确认语句， 仅 admin 可见；重排沿用原执行授权人，不改写历史 - openapi 与 P6 契约同步；测试：双通道各一条 + 非 admin/错短语拒绝 + 前端按钮与确认门禁	2026-10-08 17:00:49 +08:00
姚章浩	6440e3f679	feat(release): 发布目标知识库可选（源库 → 目标库映射） ... - 迁移 000044：production_kb_bindings + release_item_executions.target_knowledge_base_id - 系统设置新增「生产知识库绑定（对内/对外）」：从生产 WeKnora 实际列表选库， 保存时真校验（不存在拒收；生产端不可达只提示并如实回报），仅管理员可改 - 执行计划按绑定解析目标库并冻结进 release_item_executions；空目标直接拒收； 已发布过的条目保留原目标（重试/回滚回到同一处） - DocumentBundle.RemapKnowledgeBase：knowledges/chunks/knowledge_tags/wiki_pages/ wiki_folders 的 knowledge_base_id 与 ES 文档字段改写为目标库，重算表/文档摘要并重新封装 - 契约比对改为「声明的映射对」(KnowledgeBaseMapping)，其余字段继续 fail-closed - 契约检查器 / 目标身份 / 验证器全部走映射后的目标库；对象通道无需改写 - Compose 拆分：数据面接线 compose.release-sim.yaml + 两道门禁 compose.release-gates.yaml - 测试：RemapKnowledgeBase 全通道/无操作/fail-closed、映射契约、绑定接口、RBAC、真实 PG 集成	2026-10-08 15:41:13 +08:00
hermes	cddc4c90d1	fix(monitor): 修复取件死信无法重排与列表 NULL 标志导致的 500 ... - platform/postgres: listTestPublicationsSQL 的 can_start/can_retry 在 LEFT JOIN 内容对象为空时算出 NULL，Go 侧 bool 扫描失败使整个列表接口 500，前端三个 lane 全空（表现为“待入库 0 / 全部任务 0”）。改为 COALESCE(..., false)。 - 新增 POST /api/v1/job-failures/{id}/requeue：取件任务的幂等键绑在版本上， 失败那次已占住它，重新标注同一文件不会再入队；现在按新轮次 (…:r<n>) 重排、 复位意图取件状态并把死信标记为 requeued（幂等信封 + 审计字段）。 - web: 死信区对 artifact.fetch 显示「重新入队」；系统设置新增「知识库绑定」分区， 挂上一直没被渲染的 RoutingBindingsSection，导入目标库可在页面上切换。 - 测试：真实 PostgreSQL 集成测试（NULL 折叠 + 重排轮次/幂等/拒绝）、前端死信按钮 与设置分区渲染测试。	2026-10-08 12:09:34 +08:00
姚章浩	1db21fb899	feat(settings): 服务配置四项化并保存时真校验 ... - 生产/测试 WeKnora 地址、租户 ID、知识库 ID 由静态 env 收敛为版本化 UI 设置，保留修订号与操作人审计 - 新增 serviceverify：保存前真调目标端点探测，端点无效才拒绝；网络抖动或无凭据仅告警 - 迁移 000042（生产 WeKnora 端点）/000043（服务目标）；补齐设置候选与校验契约用例	2026-09-30 10:54:07 +08:00
姚章浩	1d6ba6dc2e	fix(monitor): keep failing publications visible outside the queue page ... - The attention lane was derived from page 1 of the queue (limit 50, newest by updated_at), so failures ranked past 50 silently disappeared from "needs attention" as the completed backlog grew. - Fetch attention items with a dedicated request: the API now accepts a comma-separated processing_state list (failed,stalled) and the view prefers that result set over the paged queue. - Batch retry/cancel targets are computed from the same failure set instead of the visible page, so actions reach every failing item. - 全部任务 shows 已显示 N / 共 M plus 加载更多 so rows past 50 are reachable. - Fix pre-existing ui_settings integration test: strict JSON decoding rejects the legacy updated_by field (actor comes from the session). - Tests: view regression (attention item outside the page, load-more affordance) + handler multi-state filter + isolated-DB set filter.	2026-09-30 10:54:07 +08:00
姚章浩	5037c05e93	feat(monitor): 取消失败发布并修正危险按钮对比度 ... - Parse-monitor: the batch-retry button rendered red-on-red because weknoraMonitor.css overrode the global .danger style with text color only; make .danger a filled red button with proper hover/disabled states. - Add operator cancel: 批量取消所选 / per-task 不再处理 buttons move failed/stalled publications to a new 'cancelled' state in one audited batch operation (POST /api/v1/test-publications/cancel-batch, idempotent, migration 000041 widens the CHECK constraints). Queued upload jobs are cancelled, open dead letters abandoned; source records and spool files stay intact so re-marking in the catalog can retry later. - Queue status filter and labels learn 已取消; OpenAPI contract updated.	2026-09-30 10:54:07 +08:00
姚章浩	e6ef5a4693	feat(filters): allowlist mode for filename filters ... - filter rules gain mode ('exclude'|'allow'); nearest allow rule governs a directory subtree, extensions outside it are filtered before fetch - filename_extension() now requires a well-formed suffix, so dated names like 'CRA_V3.1手册_2024-07-31_en' no longer fake an extension; extensionless files are never filtered - API accepts {mode, extensions}; UI editor becomes grouped format chips with keep/exclude modes (keep-list default: docs/text/scripts/images) - migration 000036 + integration tests for allow, nesting and restore	2026-09-30 10:54:07 +08:00
姚章浩	b3c9331966	feat(ingest): 源与目录文件名过滤及钉钉文档导出 ... - filename_filter_rules table (000035) with source-root and per-directory rows - additive inheritance: source default + every ancestor directory contributes - filename_is_filtered() SQL predicate applied to catalog browsing, subtree counts, change-set diffing, routing fan-out and artifact fetch manifests - fetch_state 'filtered' (CHECK extended); reconcile cancels/restores fetch jobs, retires planned publications and blocks items when rules change - GET/PUT/DELETE /api/v1/filename-filters (Idempotency-Key, normalized extensions) + Settings and Catalog filter editors - failJobSQL no longer swallows the claimed row when the failure projection upserts (fixes spurious 'lease lost' retries) - DingTalk live fetch: adoc/axls now use the export-job pipeline (HTTP 403 from file/download fixed), header-signature downloads supported	2026-09-30 10:54:07 +08:00