分期、工作包与验收
# 分期、工作包与验收
版本 v2.3，2026-10-28。返回总览。
# 1. 估算前提
本路线图按 AI 工作日估算，由 AI 主导设计、编码、调试、测试、联调和文档维护，人员负责必要的需求确认、权限/环境提供及验收。采用 Vben web-antd，R1 不含存量数据迁移、MFA 和商业业务；SSO、多终端、纯 Go 通用工作流及完整兼容矩阵仍属于必须交付的后续阶段。
计量约定：
- 1 AI 工作日 = 8 小时有效实施时间，包含分析、编码、构建、测试、排错、复查和文档，不只统计生成代码的时间。零散执行时段可累积，不足一天按实际小时折算。
- 以一个主 AI 执行流程为基线；经授权的并行工作按关键路径核算，不能把多个 agent 的并行小时直接叠加成阶段历时，也不能按 agent 数量简单除工期。
- 表中列出各阶段剩余有效实施时间；M0–M2 已完成，M3 已完成工程与自动化验收，剩余实施为 0。需求确认、账号/许可、商业数据库实例、外部审批和执行资源不可用等等待单列为日历等待，不计为有效 AI 工作日。
- 不沿用人工团队每周 5 天的周历，也不预设 AI 全天运行。换算自然日时，使用实际每天可投入的有效小时；关键路径上未被并行覆盖的外部等待另加。
下表为 AI 模式的首轮工程估算，按剩余工作包重估，没有套用固定“人工效率倍数”，也不是把原来的周数改写为天数。阶段区间包含必要联调、回归和修复，尚未加入统一风险余量。首轮 R1 的 M1–M4 合计估算为 5–10 AI 工作日，加约 20% 风险余量为 6–12 AI 工作日，保留作历史基线。2026-10-23 M0–M2 已完成，M3 已完成工程与自动化验收，M4 执行前剩余估算为 1–2 AI 工作日，加约 20% 风险余量为 1.2–2.4 AI 工作日，保留为历史规划基线。2026-10-23 本轮本地发布候选工程与自动化验收已完成，剩余有效实施为 0；用户确认没有生产环境，正式部署验收未执行，未来取得环境后另估，不把本地结果表述为生产已上线。
R1 二级等保 应用基线（锁定、idle、审计、备份演练、deploy/mlps-*.md 勾选）已计入 M1–M4 上述区间，不另设独立里程碑工期。若测评或行业规范要求 提前 MFA、国密或额外扩展项，按 ADR-016 单估并调整 M4/M5。
# 2. 里程碑
| 阶段 | 预计剩余 AI 工作日（未加统一余量） | 依赖 | 交付与退出条件 |
|---|---|---|---|
| M0 合同和工程 | 已交付，剩余 0 | 本方案 | 多模块可独立编译；OpenAPI、迁移、CI、代理就绪；高风险驱动/SSO/工作流持久化 PoC 有结论 |
| M1 身份与导航 | 已完成，剩余 0 | M0 | 真实登录、刷新、登出、改密、权限码和动态路由闭环 |
| M2 系统管理 | 已完成，剩余 0 | M1 | 用户/部门/岗位/角色/授权/数据范围全流程可操作 |
| M3 平台与 SaaS | 工程与自动验收完成，剩余 0 | M2；平台 UI 可提前 | 租户/套餐/初始化/停用/到期闭环，隔离和提权测试通过 |
| M4 R1 发布 | 本地候选工程完成，剩余 0；生产未执行 | M1–M3 | E2E、容量基准、备份恢复、升级回滚和文档验收 |
| M5 R2 通用平台与身份 | 本地工程与自动验收完成，剩余 0 | R1 | 字典/文件/worker/代码生成，以及多用户、多终端、OIDC SSO |
| M6 R3 通用工作流 | 10–18 | R1 组织权限 + R2 文件/可靠任务 | Go 引擎、审批、表单/流程设计器、文件/业务资源与扩展构件认证 |
| M7 R4 兼容认证 | 4–8 | 驱动 PoC、测试环境、R1–R3 | 七种业务库/五种消息后端认证；工作流持久化/恢复同时回归 |
| M8 业务扩展 | 单独估算 | 具体业务说明 + 必要平台能力 | 每个业务按状态机、数据和外部依赖重新估算 |
租户隔离、基础审计和版本机制从 M0/M1 起贯穿各阶段。M3 不能成为修补前期所有 SQL 的阶段。
# 3. M0 工作包
| 编号 | 工作 | 验收 |
|---|---|---|
| A01 | 锁定 Vben 参考提交、工具链与 UI 库 | sources、lockfile、许可证说明可追溯 |
| A02 | fago 多模块工程、依赖 DAG、配置、日志、错误、优雅退出、健康检查 | 依赖异常有明确错误，无敏感信息输出 |
| A03 | MySQL/Redis Compose、迁移、显式 bootstrap | 空库按 README 可启动，生产无通用管理员密码 |
| A04 | Vben 依赖闭包、路由基础、同域代理、API 客户端 | 真后端健康 API 成功，生产包不含 mock |
| A05 | OpenAPI：身份、用户、菜单、分页、错误与权限 | schema lint 通过，前端类型可生成，样例可校验 |
| A06 | CI、单元/集成测试入口、两个租户 fixture | workspace/独立模块校验；测试数据不进入生产 |
| A07 | PostgreSQL/Oracle/SQL Server/DM 风险 PoC | 驱动、锁、迁移、序列、构建环境和错误有结论，不只测连接 |
| A08 | OIDC 双应用、工作流持久化/并发 join/定时器与幂等 PoC | 验证现有 Go 库复用范围与自研核心成本，SSO 不新增 JVM 部署 |
M0 末演示：浏览器打开空壳后台 → 调用 Go 健康接口 → 通过独立迁移与初始化命令准备后续身份数据。没有登录功能也不标记 M1 完成。
# M0 本轮实施状态
工程、合同和可执行 PoC 交付见 M0 实施与验收。A07 对 Oracle/SQL Server/DM 的结论为环境缺失、未认证；A08 的 Dex 本地密码方案被淘汰，工作流有界 PoC 在 MySQL/PostgreSQL 通过。不能将风险结论表述为完整数据库/SSO/流程能力已实现。
# 4. M1 工作包
- 建立平台/租户独立 session/token、密码校验、限流、cookie 和 Origin 校验。
- 登录、刷新轮换、登出、密码修改、会话列表/撤销和必须改密限制。
- me/codes/menus，菜单组件 manifest、版本一致性检查与动态路由。
- 移除 Vben token 持久化、调整刷新解包、跨标签页协调和登出错误处理。
- 审计登录/失败/撤销；构建受限用户和租户管理员两种身份。
- 等保基线（M1）：账户锁定、
session idle、口令策略 API/改密校验（长度/复杂度）；不含策略管理页与 90 天有效期（M2）。详见 二级等保 §4.1 与 身份设计 §2.1–2.2。 - 强制改密先判断登录/刷新 DTO，静态改密页不请求 me/codes/menus；受限刷新、改密撤销和重载恢复使用同一合同。
- 校验 HTTPS 前缀 cookie 与 HTTP 开发专用名称的保存/刷新/清除；生产推荐 HTTPS，未 HTTPS 时 API 启动 WARN（见 登录与会话）。
退出条件：初始管理员可完成登录 → 固定页改密 → 重新登录，重载改密页可恢复受限状态且不能访问业务 API；正常页面可恢复会话；过期 access 仅刷新一次；403 不触发刷新；刷新重放、用户禁用和登出后的 token 拒绝；无权限不能通过直输 URL 或直接调用 API 访问；连续口令失败触发账户锁定、idle 超时后 refresh 被拒绝。
# M1 本轮实施状态
2026-10-22 已落地身份服务、双 realm 前端与自动化回归；2026-10-23 用户确认“M1 已经人工验收”，M1 已完成。此前证书环境等待仍单列，不折算为 AI 工作日。新增 YAML 项目配置、生产 JWE 内容加密和独立脱敏模块已实现，详见 配置与数据安全。人工结论以用户确认为来源，验收归档详见 M1 实施及验收：
migration
0003_mlps_identity增加锁定字段、password_changed_at、last_seen_at和平台安全策略种子（最短 8 位、三类字符、5 次锁定 15 分钟、idle 30 分钟）。连续口令错误锁定账户；锁定期间登录对外仍是凭证错误，刷新拒绝并撤销该账号会话。IP/账号限流仍在 HTTP 层，不增加失败计数。
改密按策略校验长度和复杂度；bootstrap 仍要求至少 14 位。沿用旧口令或当前口令错误会拒绝，且不改账号、不撤销会话。成功改密后口令版本递增、必须改密标志清除，该用户全部会话撤销，旧 access 与两枚 refresh 都返回 401002，审计原因是
all_sessions_revoked。业务 idle 与 7 天 refresh cookie 上限分开，过期 access 不滑动 idle。必须改密会话的绝对期限是 30 分钟：TestIntegrationIdentityBaseline/restricted-absolute在两个 Docker 库上确认刷新不延长该上限，到期后 refresh 返回 401002 且审计原因为session_invalid。锁定、idle 和改密用例放在
TestIntegrationIdentityBaseline，只连接专用 MySQL 或 PostgreSQL。未设置FAGO_INTEGRATION时跳过。scripts/integration.sh已用-race在 Docker MySQL 8.4（13307）和 PostgreSQL 16（15432）的专用库fago_identity_test上通过，覆盖原有租户隔离、身份基线和登录限流。限流用例使用本机 Redis127.0.0.1:16379。租户停用或
expires_at已过期时，正确口令登录仍返回 401003，审计原因保持credentials_invalid，失败计数不增加。已有 refresh 和 access 返回 403002。TestIntegrationIdentityBaseline/tenant-unavailable已在两个 Docker 库上通过。HTTP 浏览器已核对登录后进入固定改密页、重载仍恢复受限状态；改密 API 与撤销通过真实 HTTP 合同验证，随后重新登录可进入工作台和目录。原浏览器填写/提交新口令与可信 HTTPS 后续恢复/退出门槛已按用户 2026-10-23 的整体验收确认结项；未登记 URL 拒绝、内存会话与旧存储清理均另有客户端回归。本轮退出判定以 M1 实施记录中的命名用例及逐项审计为准。
同一 MySQL 上还核对了：连续 5 次错误口令后正确口令仍返回 401003，审计区分为
credentials_invalid与account_locked；access 到期后GET /auth/me返回 401001，同一次 refresh 成功且随后 me 成功；重放旧 refresh 返回 401002 并拒绝该会话的 access；登出、账号停用、idle 已过期的 refresh 都返回 401002，idle 的审计原因是session_idle；无目录权限调用返回 403001。浏览器里用无目录权限账号再调该接口，响应是 403001，请求列表中没有/auth/refresh。TestCookieProfile通过：当时验收为生产拒绝development-http和通配 Origin，开发 HTTP 只接受 loopback，cookie 名分别是__Secure-admin_rt与dev_admin_rt。（2026-10-23 后续：生产未 HTTPS 改为 API 启动 WARN、按 Origin 选用 Cookie 名，见 登录与会话 与 变更范围证据。）两个标签页已核对：第二页能恢复会话并看到本机会话列表；第一页退出后，第二页回到登录页并提示「已在其他标签页退出」。TestIntegrationIdentityBaseline已在 Docker 里的 MySQL 8.4 和 PostgreSQL 16 专用库fago_identity_test上通过，包括平台 token 不能访问租户、租户 token 不能访问平台。TestRequestSource通过：错误 Origin、错误X-App-Request或非 JSON 正文会被拒绝。TestIntegrationLoginRateLimit在同一对 Docker 库和本机 Redis 上通过：同一账号第 21 次登录返回 429，失败锁定计数停在 5，被限流的请求没有继续记入口令失败。TestIntegrationLoginLimiterDown也在这两个库上通过：Redis 端口无响应时，即使口令正确也返回 503001「依赖服务暂时不可用」，响应不含地址或口令，失败计数保持 0。浏览器里把当前 access 行改成已过期后，下一次会话列表请求先得到 401，只调用了一次
/auth/refresh，然后原请求成功；紧接着再查一次只访问会话列表，没有再次刷新。撤销一条非当前会话后，列表去掉该条，当前会话仍在，对应行revoked=1。授权版本被改成不一致时，me/codes/menus 各请求两次后停住，页面提示「权限版本连续不一致，请稍后重试。」，动态菜单不再登记。退出请求失败时，登录页提示本地状态已清除、服务端撤销未确认；localStorage 仍没有 token，该会话在库里保持未撤销，随后打开工作台仍能用 refresh cookie 恢复。
两个标签页在 access 已过期时同时请求会话列表：两边都先收到 401，随后各自的
/auth/refresh都返回 200，原请求接着成功。会话没有被重放撤销。同一页里的两次并发请求只刷新了一次。TestIntegrationCookieRoundTrip已在同一对 Docker 库上通过：开发 HTTP 与 HTTPS 前缀 cookie 都会在登录时写下、刷新时轮换、登出时按同一名称和 Path 清除，且不带 Domain。另一套名称不能拿来刷新。2026-10-22 的 HTTPS 浏览器证书阻塞保留为历史；2026-10-23 用户已确认 M1 人工验收，原浏览器门槛据此结项，本次未新增代理观测。TestIntegrationIdentityBaseline/session-revoke已在两个 Docker 库上通过：他人会话返回 404001 且不撤销，本人非当前会话撤销后审计为owner_revoked，当前会话撤销后 refresh 为 401002。本轮累计 36 项客户端/页面回归、29 项普通 JSON 与两库共 58 项加密 HTTP 响应合同、两库刷新/改密/撤销竞争和禁用/登出生命周期、空库与有数据 v1 升级测试；个人中心和平台独立区域已可使用，具体命令和截图见 M1 实施记录。
# 5. M2 工作包
M1、M2 已分别按 2026-10-23 用户人工验收确认结项。2026-10-23 当前 schema v9：部门/岗位、用户、多角色及按权限绑定的 SELF/DEPT/ALL 数据范围已实现 API 与页面；双库 race、保留角色、最后管理员保护、再鉴别和 328 个实际明文/JWE 响应合同通过，前端 67 项回归通过。租户安全策略、账号解锁、90 天有效期已实现；审计/登录日志查询和持续保留已实现，SELF/DEPT/ALL 普通用户页面已分别在 MySQL/PostgreSQL 核对，用户明确确认“M2人工验收成功”，原账号创建、重置、实际授权及安全策略写入等人工门槛据此结项，M2 已完成。人工来源归档于 docs/evidence/m2-manual-acceptance.json，本次未新增代理浏览器观测。详见 M2 实施记录。
| 工作 | 后端重点 | 前端重点 |
|---|---|---|
| 部门/岗位 | 树防环、同租户归属、非空删除保护 | 部门树、岗位列表和编辑 |
| 用户 | 搜索分页、版本锁、启停、重置密码、批量边界 | 部门筛选、详情/编辑、状态和关联岗位 |
| 角色 | 保留角色、权限目录、同事务授权 | 角色列表、菜单和权限树、数据范围 |
| 数据范围 | 按角色绑定权限和范围，读写/统计均约束 | 只显示已支持范围，解释授权效果 |
| 审计 | 脱敏变更差异、登录日志、查询权限 | 筛选、详情、requestId 定位 |
| 等保 | 三员种子角色与权限码、口令策略管理 UI、90 天有效期、特权再鉴别（重置密码/授权） | 安全/审计管理员不能改业务授权；操作留痕 |
退出条件：租户管理员在真实页面建立组织和普通用户；普通用户按 SELF/DEPT/ALL 看到正确数据；授权更改后新请求生效；并发更新返回冲突而非静默覆盖；最后管理员不能被移除。
# 6. M3 工作包
- 平台登录、租户列表/详情、PENDING 创建与初始化、套餐和配额。
- 租户到期、停用、恢复、套餐降级、每租户权限自定义及授权版本更新。
- 平台/租户 API audience 与前端区域隔离；平台账号默认无业务数据读取权。
- 两个租户构造相同用户名和不同组织，检查全部核心端点、关联表、count、日志与缓存 key。
- 套餐移除能力后，菜单和 API 同时受限；数据保留，超额配额仅阻止新增。
退出条件：平台创建租户并成功初始化，失败可重试；停用/到期阻止新访问；通过 ID/租户头/角色/部门/批量请求均无法跨租户提权。
# M3 本轮实施状态
2026-10-23 已落地平台租户/套餐/权限上限/配额/操作审计及真实页面，schema v11；工程与自动化退出条件已通过。MySQL、PostgreSQL 各 29 个顶层完整集成测试通过，另补强两位不同管理员争夺配额、降级保留选择/扩容恢复、真实 Redis 同名账号键隔离的 M3 专项；两库明文/RSA JWE/SM2-SM4 合计 306 条响应通过实际 OpenAPI 校验。14 个默认 workspace 模块 race/vet 及 GOWORK=off 独立验证、前端类型/91 项回归/构建通过。
真实浏览器已核对独立平台导航、租户详情、初始化/权限表单与取消、套餐影响预览和审计页重载恢复；本轮没有在浏览器输入新口令或提交授权变更，不将这些观测表述为用户人工验收。M3 的初始化与生命周期实际写入由双库真实事务/HTTP 测试证明；M4 仍需全链路 E2E、容量、备份恢复和发布交付验收。证据与边界见 M3 实施记录。
2026-10-23 后续达梦接入已完成开发实例上的 31 项完整业务 race 回归、v1–v13 迁移及真实 CLI/API 验证；当前 schema 因代码生成和 widgets 增量为 v13。该验证不替代 R4 的版本矩阵、生产备份恢复和容量认证，见 数据库适配。
# 7. M4 发布门槛
| 维度 | 验收证据 |
|---|---|
| 功能 | 完整平台建租户 → 租户授权 → 普通用户操作 E2E 视频或测试报告 |
| 权限 | identity-and-tenancy 中列出的核心案例全部通过 |
| 合同 | OpenAPI、实际路由和前端类型一致；关键错误码有断言 |
| 数据 | 空库与上一版本升级通过，失败迁移和备份恢复演练记录 |
| 性能 | 固定数据量、脚本、环境和 p95/错误率；瓶颈 SQL有解释 |
| 运行 | 配置清单、依赖故障降级、日志/指标、优雅停止与告警说明 |
| 安全 | cookie/Origin/限流/凭证脱敏、密码重置与会话撤销回归；二级等保 应用基线（锁定/idle 超时/审计/备份演练/加固检查表） |
| 交付 | README、部署步骤、初始化、升级、回滚、已知限制和实际支持接口清单；deploy/mlps-hardening-checklist.md 已勾选归档 |
未修复的跨租户访问、提权、会话撤销失效、数据丢失和迁移破坏问题均阻断发布。普通 UI 缺陷按影响记录，不用主观“看起来完成”代替证据。
# M4 本轮实施状态
2026-10-23 M4 本地发布候选的工程与自动化验收完成。用户明确当前没有生产环境，本轮不等待生产资源、不执行生产部署。双库各 32 项完整业务 race、新 TCP/TLS 三套 E2E、634 条真实响应、18 个 workspace 成员独立验证、每库 2700 请求容量、31 表备份恢复/快照回滚和运行指标通过；修复已知可达依赖漏洞，双库 API/worker/CLI 源码扫描通过。文档与本地加固检查已归档。
本地候选剩余有效实施为 0；此前 M4 的 1–2 AI 工作日是执行前规划区间，本轮实际约 0.6 AI 小时，不将未知生产部署估算为已完成。正式投产、生产网络/主机、旧二进制/流量切换和 RPO/RTO 仍未验证，待未来有部署环境时另行验收。实际证据和边界见 M4 实施记录，复验步骤见 发布验证与恢复演练。
# 8. R2 通用平台拆分
| 批次 | 能力 | 依赖与验收 |
|---|---|---|
| R2.1 | 字典、参数配置、数据范围扩展 | 全局模板与租户值来源明确，CUSTOM/子部门移动有回归 |
| R2.2 | 文件与对象存储 | 租户授权上传/下载、类型和大小限制、失败清理 |
| R2.3 | outbox、worker、通知、定时任务 | 重试不重复业务副作用，任务超时和租约恢复可观测 |
| R2.4 | 代码生成器 | 导入元数据 → 配置 → 预览 → 下载 → 编译/类型检查 → 权限与租户 E2E |
代码生成器生成 handler/service/repository、DTO/合同片段、SQL migration、权限/菜单种子、Vben API/列表/编辑页。输出进入评审，不直接覆盖现有文件；记录模板版本，二次生成显示差异。先通过一个真实 CRUD 手工实现固定规范，再抽取模板。
# M5 本轮实施状态
2026-10-29 追加空值与SQL性能修复：批量菜单、租户/套餐用量、服务scope、字典模板和代码生成列查询，PoC损坏状态拒绝，以及schema v30查询索引。实际验证与未认证边界见M5查询修复记录，操作见数据库迁移。
2026-10-28 布局留白修正：主内容区四边统一 20px，启动时同步旧偏好缓存中的零间距，保留其他显示偏好；底部叠加固定页脚的占位高度。浏览器以合成授权挂载真实布局和个人中心，实测四边均为 20px、无横向溢出；本增量仅修改前端显示。
2026-10-28 最终状态：M5本地工程与自动化验收完成。 R2.1–R2.4、多用户/多终端、Vben与macOS有限原生、真实双Web应用SSO/故障补偿/签名退出均有证据。当前schema v26；完整双库各152项应用、20项迁移集成及2项迁移单元race通过，161项应用前端测试及当前生成包/组合恢复通过。逐项证据及未认证边界见M5最终验收。下文保留各轮历史状态，不以早期未完成描述覆盖最终结论。无生产环境，不宣称投产。
2026-10-28 审查后修复三项 P1/P2：加密上传按精确 POST 路由支持 5 MiB 原始文件，参数详情失败时禁止用空输入更新，nginx 精确文件入口允许 16 MiB 线报文。新增 18 项前端回归后，应用 17 文件/179 项测试、类型检查、生产构建和产物检查通过；本机 nginx 隔离回归的 7 组边界通过。没有修改 Go、schema 或权限合同，本增量未重跑真实数据库及对象存储集成，不替代前述历史验收；详见 M5 实施记录。
2026-10-28 菜单分组增量：租户五组、平台三组的二级侧栏已实现，保留固定入口与原页面 URL，按当前授权隐藏空组。新增六项真实菜单组件回归后，18 文件/185 项前端测试、类型检查、修改文件 ESLint、生产构建及产物检查通过；浏览器以合成授权快照核对了两域展开/高亮和只授权文件时的分组隐藏。本次仅调整前端展示，无 Go/schema/授权接口变更，不追加生产或真实账号验收声明。操作见 菜单与路由。
2026-10-28 按用户确认恢复官方 vue-vben-admin 完整布局：接入固定上游快照的 BasicLayout、AuthPageLayout、原生多标签、搜索、主题及布局设置，保留现有业务、两域登录与 SSO。二级菜单改由官方布局展示，分组目标仅重定向到当前已授权叶节点。前端 21 文件/194 项回归、类型检查、生产构建与产物检查通过；账号/授权变化清理旧标签、普通凭证轮换保留标签及退出失败/旧退出竞争均有真实布局组件测试。浏览器核对使用合成授权的受保护页面和真实未登录入口，没有重新执行真实账号或后端集成。详见 M5 实施记录。
2026-10-23 已开始实施。首个增量实现 R2.1 的数据范围扩展：schema v14、DEPT_AND_CHILDREN/CUSTOM_DEPTS、角色授权页面、用户与审计查询/写入共同约束。本轮验证与剩余工作见 M5 实施记录。2026-10-24 继续实现字典/参数：独立 fago-infra、schema v15、显式模板复制、敏感参数投影与真实页面，双库各 38 项完整业务 race/10 项迁移专项通过，累计 844 条实际响应合同通过；从模块落盘至归档约 0.7 小时（含测试与等待，前置阅读未单独计时）。文件/对象存储已完成通用 S3 装配与本地 RustFS 联调，双库各 44 项业务 race、三种传输的 5 MiB 往返和恢复演练通过；可靠消息原语、Event 与 Redis Streams 已落盘并通过专项；v18 站内通知与正式 Event worker 已接入，v19 定时任务与运行恢复已接入并完成双库专项，Event/Redis 正式运行入口与 SQL 积压观测已实现并本地验证，R2.3 引用保留及 SQL/Redis/S3 组合恢复已通过双库本地演练，本地工程基线已通过；身份扩展仍需实施，代码生成差异预览与安全导出已补齐，旧空占位/手写资源门禁不足以证明 R2.4；现新增tenant-crud-v1，同ZIP双库迁移、三协议CRUD/租户权限/实际合同及Vben类型/构建通过，四表/边界类型宿主矩阵、元数据一致快照及旧门禁私有化已补齐，真实生成页面在双库完成CRUD/分页/只读按钮/租户切换和持久化审计读回，R2.4受限模板本地工程基线通过；2026-10-26继续落地v20客户端注册与平台配置、现有两类会话主体/受众绑定、同client多会话策略及本人全设备撤销，双库专项和真实页面通过；会员、服务身份及OIDC真实IdP仍待实施。M5 整体尚未完成。无生产环境不阻塞本地工程实施，也不将本地结果表述为已投产。
2026-10-26 后续追加v21独立会员账号/会话、管理端再鉴别、新建与重置强制改密、刷新重放和本人设备撤销，双库专项与192条三协议实际合同通过。会员管理页面已通过双库真实浏览器及停服读回，完整双库race回归各96项应用及15项迁移通过；服务身份、会员注销、原生PKCE和真实IdP SSO保持后续必做范围，不能用现有会员口令或注册元数据替代。
2026-10-26 再追加会员本人注销命令/API：当前密码再鉴别、明确确认、账号墓碑/版本推进、所有client撤销与同事务审计；同名重建获得新主体，不恢复历史凭据。注销与登录的MySQL屏障识别二级用户名索引/账号锁反转，登录改为无锁定位ID后按当前账号定位键加锁重验。注销不宣称个人数据物理删除；服务身份/scope、原生PKCE、provider绑定、双应用真实IdP SSO与统一登出仍须继续实施。验证结果见M5实施记录。
2026-10-26 继续落地v22独立服务账号、一次性凭据、轮换/启停/当前scope栅栏，以及服务本人和字典只读消费者。双库各七项服务race专项、非空v21升级专项、三协议与限流164条服务实际响应合同通过；完整双库各109项应用及16项迁移race通过。Vben服务管理已接入真实API，双库浏览器验证列表/编辑取消/只读/租户与平台隔离；创建与轮换由真实HTTP验证，不宣称已执行浏览器凭据写入。原生PKCE、provider配置与绑定、双应用真实IdP SSO及统一登出继续保持必做范围，M5仍未完成。详情见服务手册与M5实施记录。
2026-10-27 追加v23 OIDC提供方与外部绑定管理：部署信任档案、三域/租户/主体外键、精确issuer/sub唯一性、停用保留键、版本与同事务双审计，以及Vben配置/绑定页面。管理接口与原有JSON/JWE出口共用；当前没有SSO登录回调或本地OIDC会话，原生PKCE、认证模式、真实双应用IdP SSO和统一退出仍须继续实施，M5整体未完成。操作见OIDC管理手册。
2026-10-27 继续追加v24一次性state、明确来源的本地OIDC会话、当前撤销守卫、Web/原生HTTP与签名backchannel退出，并装配短期材料清理worker。双库协议/事务与三种内容协议HTTP专项、非空v23升级、完整回归及后续锁等待专项通过；协议签名夹具不替代真实IdP。认证模式、RP主动退出、原生系统浏览器程序及真实双应用SSO/统一退出仍须继续完成，M5不结项。见M5实施记录。
2026-10-27 继续追加v25 RP主动退出与到期加密材料清理：本地撤销和审计先提交，IdP故障不恢复会话；Web固定退出关联返回、原生无动态退出回跳，签名通知确认后清空重试hint。自然改密到期同事务收紧材料期限。双库各14项应用及19项迁移集成race、60条实际合同与模块检查通过；认证模式、实际客户端与成熟IdP双应用SSO/统一退出仍未完成，M5保持实施中。
2026-10-27 追加原生系统浏览器有限客户端：先绑定随机loopback端口、S256 PKCE、内存凭据、三协议与有限wait/实际API拒绝/本地及RP退出。合入源码双库各五组真实API+独立CLI race、23模块workspace与独立检查通过；macOS与真实ZITADEL同一原生应用的三协议登录/刷新/撤销及IdP退出页验证通过，库内3会话全部撤销/3状态消费。认证模式、Vben入口、两个独立应用SSO/签名统一退出及M5完整回归继续必做，M5保持实施中。操作见原生SSO手册。
2026-10-27 继续追加v26自然人认证模式：password/hybrid/sso_only、当前来源守卫、全client旧会话撤销、最后绑定与口令恢复管理员保护，Vben管理页和双库真实页面/三协议HTTP专项通过。完整回归与模块门禁以M5实施记录最终结果为准；Vben实际SSO入口、两个独立应用与真实IdP统一退出仍继续实施，M5未完成。操作见账号认证模式。
# 9. 业务扩展路线
| 方向 | 先定义什么 | 不能省略的工作 |
|---|---|---|
| 会员/SSO | 账号来源、绑定与注销 | 身份生命周期、隐私与回调安全 |
| CRM | 客户归属、共享、公海、跟进 | 转移和数据权限，不只是客户 CRUD |
| ERP/WMS | 单据、库存、仓库、成本 | 事务、并发扣减、盘点和冲销 |
| 支付/商城 | 订单、支付、退款、履约 | 对账、回调幂等、金额和失败恢复 |
| BPM | 所需审批语义或 BPMN 兼容清单 | 版本、任务、会签/撤回/委派/审计 |
| AI/IoT/IM | 模型/设备/连接和数据规模 | 配额、长连接、事件、成本和独立伸缩 |
全量对标需逐模块做功能差异矩阵和验收用例，不能根据模块名给一个总工期。本方案明确架构接入点，业务字段、状态机和历史迁移留给对应模块专项设计。
# 10. 范围控制
每项需求进入里程碑前写明用户、入口、权限、状态变化、数据和失败处理，再估算。新增 MFA、独立部署租户、超出已定义构件的 BPMN、SAML 或存量 Java 数据迁移会改变关键路径，记录为范围变更。
每完成一个可验收工作包就演示可操作场景，并按 AI 工作日记录有效实施小时、已验收结果、剩余依赖、缺陷和外部等待，不用代码行数衡量进度。架构偏差记录 ADR；里程碑未达到退出条件不能用后续模块堆功能抵消。
# 11. 新增必做阶段的工作包
| 阶段 | 工作包 | 退出条件 |
|---|---|---|
| R2 身份 | realm/client registry、会员认证、服务身份、多终端策略、SSO provider 配置和绑定 | 两个应用单点登录；Web/原生测试客户端；跨 realm 拒绝、单端/全端撤销与统一登出验收 |
| R2 消息 | outbox/inbox、Event/Redis可靠配置、transport能力检测 | 崩溃恢复、重复、失败、死信与重放不产生重复业务副作用 |
| R3.1 核心 | workflow-core/approval、持久化 token/scope/join、命令、定时器 fencing、engineVersion 与准入状态 | 跨版本恢复、可发起定义兼容性、准入/退役并发与回滚保护、AND/OR/串行与同库事务通过 |
| R3.2 设计与资源 | JSON 表单、内置 form-instance adapter、流程设计器、文件/文档与单据 ResourceAdapter | 无业务模块的表单发起；同一模板审批文件/单据；固定版本/ACL/授权回收与在线发布 |
| R3.3 扩展审批 | 子流程、消息/信号、暂停恢复、加减签、撤回/驳回、比例审批 | 每个动作状态语义、旧任务/定时器取消、父子传播通过 |
| R3.4 高级构件 | 边界事件、inclusive/event gateway、补偿和运行实例迁移 | 逐构件语义/组合/恢复认证，未支持构件发布拒绝 |
| R4 DB | MariaDB/TiDB/Oracle/SQL Server/DM 完整适配与七库统一回归 | 每库版本、脚本、测试报告与部署文档可追溯 |
| R4 MQ | RabbitMQ/Kafka/RocketMQ 适配与五种后端统一合同 | 基础语义一致、增强能力单列、切换迁移可演练 |
R1 在 MySQL 主线交付，并在 PostgreSQL 验证核心合同；R4 完成全部模块在全部目标业务库上的认证。高风险 Oracle/DM 从 M0 就做 PoC，不能到最后才发现驱动或迁移不可行。
# 12. 完整范围的投入说明
以下表格保留以 M0 已交付为起点的初始估算。2026-10-28 已完成 M0–M5 本地工程，当前 M6/M7 尚未执行工作的基础区间为 14–26 AI 工作日，统一加入约 20% 余量后约 17–32 AI 工作日；生产部署验收因没有环境而未执行，未来另估，不能继续把下表 R1 历史基线当作当前剩余。原始基础区间如下：
| 范围 | 基础 AI 工作日 | 计入一次约 20% 风险余量后 |
|---|---|---|
| R1：M1–M4 | 5–10 | 6–12 |
| R2：M5 | 4–7 | 总量统一计提 |
| R3：M6 | 10–18 | 总量统一计提 |
| R4：M7 | 4–8 | 总量统一计提 |
| R1–R4 剩余合计 | 23–43 | 28–52 |
R1–R4 的 28–52 AI 工作日约为 224–416 小时有效实施时间，已在总量上计提一次余量；不能再把 R1 的 6–12 加上其他阶段的基础值后重复加余量。M0 不重复计入剩余工期；M8 具体业务与 R5 决策/案例引擎另行估算。
日历换算采用：预计自然日 ≈ 剩余 AI 工作日 × 8 ÷ 每日有效执行小时 + 关键路径外部等待天数。例如每天能投入 8 个有效小时，则 1 AI 工作日对应约 1 个执行日；若每天只有 4 个有效小时，则对应约 2 个执行日。是否在周末执行取决于实际可用时段，不默认套用人工工作周。
这些区间是待实际吞吐校准的规划假设，不是承诺日期。Oracle/SQL Server/DM 环境尚未就绪，真实ZITADEL本地双应用已验证，其他IdP与生产拓扑仍需认证；这类等待和由新证据触发的返工应独立记录，不能因 AI 编码完成便提前宣布认证通过。并行条件具备时可重排关键路径，但数据库锁/恢复、身份安全、完整工作流语义和发布演练仍需执行对应测试。完成 M1、M2 中点及每个大阶段退出时更新剩余区间。
完整发布仅在用户列出的能力各有证据通过后完成；不能将 R1 上线称为已经支持全部数据库、SSO 和完整工作流能力。
# 13. 自研组件与更完整对标
R3.1–R3.4 为分批可发布版本，先验证执行正确性，再做设计器和高级构件。复用现有 Go 核心若通过同等验收，可以缩短估算；未通过则按自研路线执行，不以强行接入第三方库替代持久化和权限要求。
运行时升级保护归 R3.1，不等待 R3.4 的实例迁移功能。验收在旧 engineVersion 存在人工等待、并行 join、循环和 timer 时滚动部署新构建：旧实例保持原行为，旧定义的新发起仍按 requiredEngineVersion，新发布定义才使用新语义；不兼容 worker 不领取。没有活动实例但仍有可发起旧定义时，删除旧处理器/不兼容回滚也必须被阻止。
退役验收先将版本置 draining 并关闭新准入、停用/替换旧定义入口，再排空实例、已受理命令、job/timer 和执行租约，原子确认后置 retired。并发发起或定义启用要么先提交并计入保护，要么因关闭准入被拒绝，不能越过检查创建无处理器实例；已受理命令重投和未受理外部消息分别按原结果/当前准入处理。此边界在七数据库的合同套件中一致验证。
独立表单归 R3.2，必须用内置 form-instance 资源完成无业务代码的设计/提交/审批闭环。
R1–R4 的时间区间不包含完整 DMN/CMMN 语义组件、全部 Flowable 私有 API 兼容和历史实例迁移。若“功能完全相同”包含决策/案例引擎，R5 以独立 Go 组件补齐相应语义、设计器和测试，并在专项说明后估算；这些差距在工作流矩阵中公开记录，不能先宣称完全等价。
2026-10-22 执行顺序调整：用户明确要求暂缓人工验收，继续推进 M2。当时 M1 人工项保留待办并独立推进 M2；2026-10-23 用户已确认 M1 人工验收，原暂缓安排现已解除。
# M5后续：平台基础设施分层与Cron（本地验收通过）
2026-10-28按用户「实现前述所有建议并设为目标」追加本增量，原M5历史结项保持为原范围证据。新范围包含平台公共标准/字典模板、平台业务参数与公开默认模板、租户显式复制、仅Cron/时区/错过策略/预览，以及独立平台系统任务与按租户拆分执行。用户后续要求只保留Cron，已覆盖原一次/间隔调度方案，人工执行命令保留。
2026-10-29完整MySQL/PostgreSQL各170项应用/23项迁移race通过，24个workspace/独立模块、前端213项/类型/生产包、三协议378条真实响应和1881条静态合同、实际页面及文档交付均有证据。平台统计、按真实租户拆分和90天统计结果有界清理已实现；人工命令、历史与原死信恢复保留。进度及验收见M5第27节与结构化进度文件 docs/evidence/platform-infra-cron-progress.json。本增量不代表M6工作流或生产/达梦认证完成。
# M6 R3.1 实施进度
2026-11-09仓库已到 schema v52。已接入表单设计原稿与富字段发布、简易审批和受控 BPMN 原稿、流程定义原子发布，以及不可变文档版本、留存、引用和按对象归属清理。这些能力有对应代码、迁移和页面，本次文档更新没有重跑双库完整套件，也不把它们写成 R3.1 结项或生产工作流。任意脚本、未支持的 BPMN 构件、通用业务资源认证和完整滚动/容量验收仍然保留。
2026-11-03继续W12：四类工作流持久队列已接入API同一只读积压快照，固定13查询及安全标签、后段失败保留完整快照、真实指标端口已有双库证据。MySQL两万条完成历史的实际job读取由20,001行降至1行；20轮串行采样与边界见M6积压记录。端到端负载、锁等待/恢复容量、完整审计及浏览器仍继续，R3.1未结项。
2026-11-03继续W10/W12：固定历史提交的真实旧API/worker与当前v2/v3构建完成五状态滚动专项，保留旧实例/旧定义语义、新定义才受理审批，验证旧回滚拒绝及drain/retire/Reopen全池覆盖边界。双库各2个应用父专项和18项迁移race通过；另修复公开业务码日志被遮盖，schema保持v48。范围与失败记录见M6历史滚动记录，容量基线、完整审计及真实浏览器继续，R3.1未结项。
2026-11-03继续W08/W09：同一实例贯通command/ready/external/timer四队列、两轮fork/join循环和自然超时，跨四个真实强杀窗口恢复；远端SQL幂等、原提交不变与最终资源结果回写均有断言。双库各3个应用父专项和18项迁移race通过，schema保持v48；现有外部模板语义不变。详见M6四队列组合记录，完整滚动/回滚、容量与浏览器继续，R3.1未结项。
2026-11-03继续W08/W09：在线Resume/Cancel与真实存活worker的四种受控提交顺序已通过双库专项，验证旧租约整体回滚、原检查点接续、取消CAS冲突和冻结收据不被复活；此前崩溃恢复/API生命周期同时回归，每库3个应用父专项与18项迁移race通过。schema保持v48，无生产合同变更。范围、失败记录与未完成项见M6在线竞争记录，完整组合恢复、滚动/容量与浏览器继续，R3.1未结项。
2026-11-03继续W08/W09：正式v3审批受理通过真实API/worker进程专项。双库各3个场景证明撤销会话/当前审批权后后台继续、draining恢复、领取后强杀/正常停止、丢失202响应并重启API后按原命令查询重投，140自动后继跨检查点且人工投票不重复。每库另18项迁移race通过；边界与证据见M6真实进程记录。完整组合恢复、滚动/容量与浏览器继续，R3.1未结项。
2026-11-03继续W08/W11：schema保持v48，正式v3审批受理、原主体当前审批权限的收据查询/显式继续、当前任务能力投影及真实Vben状态处理已接入；正式OpenAPI扩至46操作/63schema。双库各414条真实响应/105个成功请求、三协议及部分会签专项通过，26模块workspace race/vet与全新独立测试、前端317项及类型/构建通过。新审批实际子进程恢复、完整滚动/容量与真实浏览器仍待完成，详见M6受理产品记录，R3.1未结项。
2026-11-03前批W08：schema保持v48，正式v3追加显式审批命令受理能力。真实人工投票与检查点/job/outbox同事务，后继由受信worker自动恢复；新种类收据要求原操作者当前审批权限，取消/在线恢复撤销旧fence。当时HTTP/页面仍走同步审批，后续产品入口见上条；Go端口证据见M6审批受理记录，R3.1未结项。
2026-11-03继续W11：正式工作流43个操作/62个schema、模块片段与根合同同步、生成前端类型及CLI定位修复已接入；实际Gin/权限/query/DTO检查及双库三协议响应合同专项已有证据。schema保持v48，详见M6正式合同记录。真实浏览器与W07/W08/W10/W12完整后续仍继续，R3.1未结项。
2026-11-03继续W11：schema v48仅登记四租户管理菜单与一个平台目录菜单；真实Vben定义发布/历史/独立准入、平台运行目录与显式引用、实例取消/任务补分配及外部恢复已接入。前端精确工作流JWE额度与后端512KiB对齐，严格JSON和独立对象版本检查已补齐；实际验证见M6管理页记录及操作手册。正式OpenAPI、浏览器与W07/W08/W10/W12完整后续仍继续，R3.1未结项。
2026-11-03继续W11：schema v47仅发布四个本人页面菜单，真实Vben审批中心/参与历史与标量表单草稿/发起、稳定命令重投已接入统一客户端。组件与双库专项范围见M6页面记录和用户手册。定义准入/运行管理界面、浏览器验收、W07/W08后续与完整W10/W12仍继续，R3.1未结项。
2026-11-03继续W11：schema v46仅新增跨实例actor/action索引，个人领取/转办/委派/归还操作记录及正式HTTP已接入当前历史权限和有界分页；投票已办合同保持独立。实际验证与未完成范围见M6个人操作记录。真实Vben审批页面/菜单与完整W10/W12仍继续，R3.1未结项。
2026-11-03继续W11：schema v45新增独立历史权限和五索引，参与人详情、跨来源时间线、受限私有条目及按原节点白名单的固定原提交读取已实现并验证。旧grant/执行处理器不作为历史授权，真实Vben页面与个人非投票操作收件箱继续；完整边界见M6历史记录，R3.1未结项。
2026-11-03继续W11：schema v44仅追加实际投票人已办索引，定义/表单key目录、本人草稿/发起/实际投票已办五类安全元数据列表已实现并验证。参与人详情/历史正文合同和真实Vben审批中心继续，详见M6产品列表记录；R3.1未结项。
2026-11-03推进W11：实际api池和独立目录bootstrap、首批表单/定义/草稿/受理发起/当前任务/正文审批及外部动作管理HTTP已接入统一认证/Origin/JSON-JWE链路。关键专项有双库、三协议和真实API子进程证据，schema保持v43。完整查询/历史与真实Vben审批中心仍在继续，详见M6记录和接口手册；R3.1未结项。
2026-11-02继续W08正式外部进程：统一配置增加固定v6表单外部模板与多版本独立目标，实际HTTP调用器/第四类worker循环和取消join/连接释放已接入cmd/worker。真实双库子进程专项已验证未知响应及独立收据窗口的强杀恢复、阻塞HTTP正常停机，最终回归与边界见M6记录。其他accepted命令、W11实际API池/审批产品和完整滚动/容量继续，R3.1未结项。
2026-11-02继续W08：schema v43追加激活级外部job/attempt和独立原响应收据；v6接入真实表单/审批端口、事务外HTTP、固定输入/业务键、有限重试/dead、当前管理身份的重试/补偿，以及所有终态和退役引用保护。核心和实库专项持续验证，最终范围与结果见M6记录。正式外部动作配置/进程装配、其他受理命令、W11实际API池/审批产品及完整滚动/容量仍待完成，M6/R3.1未结项。
2026-11-02开始W08外部动作协议基础：新增v6纯编译、显式输入/输出白名单、固定目标清单、激活级业务键与操作摘要、输出字段基线冲突检查和固定HTTP调用器。真实回环HTTP及协议/凭证边界单测通过；v6发布与执行仍关闭。schema仍v42，持久动作job、未知结果恢复、补偿执行、退役引用及正式进程装配尚待接入，不将协议代码当作可靠服务任务已支持，详见M6记录。
2026-11-02继续W08提示闭环：正式消息循环增加固定工作流订阅，原事件/同租户command-instance-job绑定与旧无job档案校验、inbox去重和提交后单槽唤醒已接入，schema仍v42。Event/真实AOF Redis及原消息通知回归已有双库证据，正式进程与完整结果见M6记录。提示不是执行授权，SQL租约/池门禁与轮询继续为权威；可靠外部动作、其他命令受理、W11/W12仍待继续。
2026-11-02继续W10：schema v42持续池、心跳与固定操作截止、三类队列池来源fencing、最后兼容池受控关闭、全核心引用排空及原子退役/重新开放已实现。新内置v2显式强制池保护，旧v1清单保持；首次发起也复核当前api/worker覆盖。库级与正式worker专项已有双库证据，完整回归结果见M6记录。正式API池装配及审批产品入口、可靠外部动作/唤醒消费者、完整滚动/容量仍待后续，不宣称M6完成。
2026-11-02继续装配正式worker：代码固定的标量表单运行时、统一YAML/环境配置、无在线会话的实际bundle/清单启动核验及三循环取消/join已实现；双库实际cmd/worker的SIGKILL与阻塞SIGTERM后重启恢复、启动拒绝/默认关闭专项通过，schema保持v41。下一步继续W10持续执行池、全引用排空和原子退役/回滚保护；启动快照不替代这些协议，最终验证见M6记录。
2026-11-02继续W09：schema v41实例级ready引用与后台自动续跑、accepted优先归属、在线取消fencing、显式dead恢复已实现；三类worker补齐绝对租约context与即时串行领取，长历史索引有双库有界执行计划证据。正式worker进程装配/跨进程恢复、W10执行池与原子退役、W11审批产品入口仍是下一顺序，完整范围与最终验证见M6记录。不将库级Run或本机索引结果表述为生产支持。
2026-10-29按用户目标开始正式工作流核心与基础审批。完整范围、分批交付及验收证据清单见M6 R3.1实施记录。当前规范编译、运行时目录、schema v32定义发布/独立准入基础已通过双库专项；schema v33规范化实例/token/scope/join、循环与有界推进内核已实现并追加实库验证。真实审批/资源适配器、资源/表单发布绑定、可靠accepted命令/定时器、自动worker、部署排空/退役、API/界面及完整恢复验收尚未完成；不将PoC或单项测试通过表述为正式工作流已支持。
2026-10-29继续追加schema v34真实审批首批：指定用户/角色/部门/岗位/发起人、四种审批模式及领取/转办/委派归还/补分配已落地，当前资格与原候选来源共同约束。部门负责人/主管、自选/资源策略及W07–W12继续实施；验证与边界见M6审批增量。
2026-10-29继续补齐按运行时档案绑定compilerVersion的基础：保留默认v1摘要/清单，新v2显式选择并冻结发布/恢复版本；新策略真实适配仍继续W06，不宣称R3.1完成。见M6编译规则档案。
2026-10-29继续追加schema v35显式负责人/直属主管关系、独立版本/防环/删除保护及四个真实维护API，并接入新版本的两类候选。旧运行时保持原五类；当前共七类真实候选，自选/资源策略及W07–W12继续实施。操作见组织关系，范围与验证见M6记录。
2026-10-29继续追加schema v36不可变发起自选快照、第八类实际候选与旧命令空字段兼容。新运行时显式启用，选择只在首次发起接受，循环/恢复使用原名单并复核当前资格；双库专项与独立模块检查已通过，资源候选策略及W07–W12仍待实现。见M6自选快照。
2026-10-29继续补齐compiler v3正式资源绑定：类型/合同/formVersion冻结进规范摘要与运行时清单，发布/重新启用同事务校验，Start与受信注册表精确分派；schema保持v36。双库各40项应用/6项迁移及25个模块检查通过，不将注册表或合成事务测试表当作实际资源支持。W06资源策略、W07真实资源/表单与ACL/授权消费者及W08–W12继续实施。见M6资源绑定门禁。
2026-10-30继续实现schema v37真实内置标量表单资源：fago-bpm的版本发布、本人草稿CAS、不可变提交、独立用途占位/结果、受控变量来源与同库审批/事件回滚。已接入正式Registry与当前系统守卫，当前无HTTP/页面入口；临时授权记录尚未接正文资格消费者。双库各43项应用/7项迁移及26个模块检查通过，资源候选/正文ACL与W08–W12继续实施。见M6表单资源。
2026-10-30继续补齐compiler v4当前任务正文读取：节点可读字段冻结、原候选当前资格/委派来源、同事务grant续期与读取审计、固定提交及当前值投影已接入真实内置表单。旧v3不自动扩权，schema保持v37，无HTTP/页面入口。双库新增正文专项及1/20人会签固定43次查询已通过；完整专项与模块结果见M6正文读取记录和本批证据。W06资源策略、W07其他资源及W08–W12继续实施，R3.1未完成。
2026-10-30继续实现compiler v5真实资源候选：固定Submission的整数用户字段/原提交人、参数及真实formVersion发布门禁、当前用户批量收缩与原人/原来源序号复核已接入，当前共十类候选。旧v1–v4不接受新field键，schema保持v37。新增双库资源专项及1/16来源固定47次查询通过；完整专项与边界见M6资源候选记录和证据。W07其他资源及W08–W12继续实施，不把端口/标量表单当作完整审批产品。
2026-10-30补齐W06十类候选/四模式与真实表单并行循环组合：原来源去重/撤销、基本委派转办、激活级授权隔离和终态回收已验证。修复实例任务超过100条时静默截断的问题，新增绑定租户/实例的有界游标管理列表，120张真实任务可完整遍历并处理末页；1/100条列表均固定11次查询。完整结果与边界见M6组合与分页和证据。W07其他资源、W08–W12继续实施，尚未开放工作流HTTP/页面或完成容量/恢复验收。
2026-11-02进入W08可靠命令首批：schema v38、显式AcceptedStarts清单、真实表单初始检查点/资源占位/accepted命令/outbox同事务、原主体当前身份有界恢复、取消与恢复竞争及冻结收据已实现。旧档案保持原语义；当前无自动worker或工作流HTTP/页面。可靠外部动作、W09–W12及W07其他资源继续实施，完整范围与验证见M6受理发起和证据。
2026-11-02解除历史Start/AcceptStart重投对旧处理器的依赖：原主体/原载荷先在当前身份与版本锁内核验，done返回冻结结果、accepted只返回检查点；新命令继续完整准入/定义/资源校验。该修复为W10升级前置边界，未开放完整退役或自动worker，schema保持v38。实现与验收见M6发起重投和证据，W07其他资源及W08–W12完整范围继续保留。
2026-11-02继续进入W09命令worker首批：schema v39持久job/attempt、不可变后台合同、当前租户能力与独立Work身份、短事务领取/同库恢复/最终lease与fence复核、最多五次失败及原主体明确恢复已实现。真实内置表单可在原会话撤销后建立待办并由当前审批人完成，停用租户不阻塞其他租户。当前只提供显式装配Run，不代表正式worker进程默认启动；持久定时器、超时竞争、W10部署排空及W11/W12继续实施，完整范围见M6后台命令恢复。
2026-11-02继续实现W09激活级持久定时器：schema v40、显式PersistentTimers/独立端口合同、不可变原截止与独立退避、审批/超时竞争、精确授权回收、循环新期限、timer自身跨128步续跑和当前管理身份显式恢复已接入真实表单。旧档案不补造期限，后台不伪造人工投票。非timer入口ready自动调度、正式worker清单配置、W10–W12及W07其他资源/W08可靠动作仍待完成，R3.1保持进行中，见M6定时器记录。