个人工作台首批开发拆解：架构分析、待办与排期

2026-10-10。输入：白晨已认可的组件与场景方案（下称「方案」；首批范围以同名讲解稿为准：18 个模块，22 个场景，其中 P0 13 个、P1 9 个），决策页工作文件夹首批只做云端，以及原型演绎与布局重构汇报稿（下称「汇报稿」，白晨 10-10 接受其中约 4 人日的首批增量）。产品范围不再改（「2711 就此为止」），本文只回答「怎么做、谁来做、要多久、缺什么」。 性质：5.2 节列出的各项是白晨已定（10-10、10-11），5.3 节还有 2 项待拍板；其余是本文提案。三条已定边界照用：文件夹首批只做云端；工作台只经宿主 HTTP 接口和渲染器包使用底座；工作台最多两人。 证据写法：本仓库文件写 路径:行号，路径相对仓库根；底座写 ../workbench-daemon/路径:行号；没核实的标【待验证】。估时单位是「人日」：一个人带 AI 代理，用一个工作日完成实现、测试、评审，并按档收口。 修订：同日两轮：先按评审意见改（必须改 M1～M9、建议改 1～9，评审原文不入库），再按白晨 10-10 的拍板改（两条切片都做、首批只用化名、保持登录即注册、截图模型先跑探针再定、批准三个解析库、向底座提两项需求、10/16 交付版本，以及按推荐定的五个小项），10-11 再按白晨对最后三项的答复改（不接钉钉日程、Agent 直接写用部署开关、海外模型通道已申请），之后按终审并入汇报稿的布局重构增量，新增 5.3 两项待拍板。 读法：正文 5 节；能力对照明细、待办明细、AC 预分配、与方案的出入、风险对策、原型章节与阶段的对应放在附录 A～F。

〇、先读这几条

1. 待办数：P0 59 项（含 4 次收口）、85 人日；P1 16 项、21 人日；「真实学生数据入库前」另有 3 项、4 人日，首批不排期。余量 30%，假设 10-12 开工，完整 P0 约 12-31、P1 约 2027-01-21 完成（按 5.3 第 1 项的现排计；选推荐项各晚 1 个工作日）。
2. 两条试跑切片都做（白晨 10-10 定，第三节）：共用部分只做一次，先上教师、后上青年人，合计 51.5 人日。按现排，教师切片约 11-13 试跑（化名数据），青年人切片约 11-27 试跑。 教师切片要不要带上日程和第一次打开待拍板（5.3 第 1 项），推荐带上，代价是两个日期变成 11-18、11-30。
3. 界面结构按汇报稿的重构做（白晨 10-10 接受）：桌面即今日、没有左栏、全部模块面板、卡片点开成整页、「＋ 收进来」统一入口；视觉基调是 C 柔彩 Bento（白晨 10-11 选定）。
4. 架构判断：18 个模块都做成工作台原生模块。依据是底座方向稿早已定好的分工：大模型调用、确认界面归顶层应用，底座不碰业务数据和 AI（../workbench-daemon/docs/AI工作台/报告/2026-10-04-工作台架构与协议范围-方向稿.md:28-29、97）。外部系统接入继续做成插件，同时向底座提两项需求：宿主执行确认、插件声明触发条件（1.4）。
5. 复用与新建：能直接复用的只有登录与会话、调宿主（含 C 端措辞改写）、模型网关客户端、桌面卡片框架；公共对象层、待拍板、写能力封堵、文件存储、抽取管线、后台作业、部署、试跑度量和 18 个模块都要新建。
6. 两处现状和直觉相反：
   • 登录即注册：任何人输入一个新名字就能进系统（apps/api/app/identity/service.py:1、78-96）。白晨 10-10 定首批保持这样，但放真实数据之前必须改（K6 清单）。
   • 写操作可以绕过确认：已登录用户现在就能直接调写能力，通用调用接口、HTML 卡片桥接口、演示 Agent 都不看 kind。三条路最后都汇到 invoke_for_user（apps/api/app/invocation/service.py:109），P0 在这一处统一封堵（WB-60）。
7. 对底座的依赖：白晨 10-11 定首批不接钉钉日程（钉钉待办只写，照常保留），教师用工作台自己的日程，钉钉日程列为后续项，所以 P0 不需要底座新增能力。
8. 最没把握的两处：截图用国产还是海外模型、每人每天花多少钱，首周探针（WB-05）实测后定；「每句可溯源」只能保证引用的记录存在，保证不了它真的支撑那句话。
9. 待拍板 2 项（5.3）：教师切片带不带日程与第一次打开；C 风格与原生卡尺寸。白晨 10-10、10-11 已定的记在 5.2。

一、架构分析

1.1 能力对照（逐项证据见附录 A.1，逐模块见附录 A.2）

• 已有，可直接用：登录与会话（保持登录即注册，白晨 10-10 定）；按用户隔离；经宿主读写飞书日历、建钉钉待办（只能写）、读飞书文档；代用户调能力并改写成 C 端措辞（apps/api/app/invocation/service.py:109、68）。
• 需改造：写能力的三条直接写的路要统一封堵（apps/api/app/cards/router.py:170-191、apps/api/app/cards/service.py:261-283、apps/api/app/agent/tools.py:70）；模型网关客户端缺图片消息、JSON 校验和 429 处理；卡片表要能放原生卡；前端路由、假模型网关、门禁的风险区和覆盖安排也要改。
• 需新建：业务对象存储、待拍板、文件上传与存储、后台作业。宿主对外接口没有应用数据接口，也没有文件接口（../workbench-daemon/protocol/v0/07-宿主对外接口.md:26-71）。
• 首批不做：主动推送到用户。底座没有事件推送（../workbench-daemon/protocol/v0/05-事件.md:3）。

1.2 首批模块与数据流

flowchart LR
  subgraph WEB[前端 apps/web]
    TODAY[桌面即今日：顶部今天简报＋卡片网格＋右栏等你定（可收起）]; LIB[全部模块面板]; PAGES[模块整页（卡片点开、卡里一条直达）]; CARDS[桌面卡片：插件卡＋原生卡]; DROP[＋ 收进来（粘贴、上传、截图）]
  end
  subgraph API[后端 apps/api]
    INBOX[inbox 收件箱]; FILES[files 存储·上传·提取（子进程）]; JOBS[jobs 后台作业]
    EXTRACT[extract 抽取管线：校验·预算·限流]; MODEL[model 网关客户端]
    OBJ[objects 公共对象层]; MODS[各模块域]; METRICS[metrics 试跑度量]
    APPROVE[approvals 待拍板＋执行器]; INVOKE[invocation.invoke_for_user：写能力只放行执行器]; HOST[host_client（已有）]
  end
  PG[(工作台 PostgreSQL)]; DISK[(文件存储：服务器磁盘卷)]
  GW[模型：公司网关或海外，探针后定]; WBD[底座宿主]; EXT[飞书日历·飞书文档·钉钉待办]
  DROP --> INBOX; PAGES --> FILES; FILES --> DISK; FILES --> JOBS; INBOX --> JOBS
  JOBS --> EXTRACT --> MODEL --> GW
  EXTRACT -->|草稿| APPROVE; MODS --> OBJ --> PG; APPROVE --> PG; JOBS --> PG; METRICS --> PG
  APPROVE -->|确认后：本地改动| MODS; APPROVE -->|确认后：kind=write| INVOKE --> HOST --> WBD --> EXT
  MODS -->|只读：飞书日程与文档| INVOKE; CARDS -->|只读| INVOKE
  TODAY -.现算.-> MODS; TODAY -->|等你定| APPROVE; LIB --> PAGES; LIB --> CARDS

界面结构照汇报稿第三节：顶栏只放日期、全部模块、搜索（首批只按模块名）、「等你定」角标、头像；卡片点开是整页，插件卡沿用现有详情弹窗。约 4 人日增量落在 WB-07、08、28、63、66 和新增的 WB-73～77（附录 B）。

三条主数据流：

• 进来：原件先落库或落盘。后台作业调抽取管线，模型抽字段、代码做校验，生成对象草稿。草稿进待拍板给人核对，确认后才成为正式对象，并在 object_links 里记下「由谁生成」。
• 看：桌面顶部的「今天」简报和各模块卡片都在打开时现算。飞书日程打开时经宿主现取，不做后台同步。
• 写出去：所有 kind=write 的调用只能由待拍板执行器发出（WB-60）。

分包（按 apps/api/AGENTS.md 的约定）：

• 公共层：objects、jobs、model、extract、files、approvals、metrics。crypto 等真实数据入库前再建。
• 通用模块：inbox、todos、calendar、meetings、projects、documents、notes、tables、contacts、polls、today。
• 教师模块：roster、timetable、profiles、parents、school_tasks。

前端在 apps/web/src/features/ 下建同名目录。每新建一个域，同一任务里写模块说明，并同步 apps/api/AGENTS.md 的「各域」索引。

模型与代码怎么分工：模型只做判断类任务（摘要、拆分、抽字段、打标签、起草），校验、计数、冲突、名字对人的前三层、预算与重试都用代码，逐项见附录 A.3。

1.3 关键选择（每项两种方案，给推荐）

K1 模块放在哪里，底座补什么。

• A：业务模块放工作台，外部系统接入继续做成插件，同时推动底座补「确认点」和「触发」。B：只放工作台，不向底座提需求。
• 共同依据是方向稿的分工：顶层应用管「大模型调用、确认界面」，底座「不碰业务数据、布局、AI」（方向稿:28-29）；大模型只在顶层调用（方向稿:97）。插件在自己进程里调模型、写自己的 HOME，底座不禁止（方向稿:98；host/app/runtime/process.py:132），但这不是底座的职责。
• 不选 B：B 会让 C 端需求在这两个月里一项也到不了底座，和「底座首要服务 C 端」（方向稿:320）不一致。
• 推荐 A：价值决策页写了插件要补触发和确认（docs/decisions/2026-10-09-工作台的价值.md:96）；方向稿把确认校验划给了底座（方向稿:29）；协议已给 pending_confirmation 占位（04-调用与结果.md:22）。
• 工作台内部模块的能力，按协议能力说明的形状定义（name、kind、confirm、input Schema），方便以后作为 Agent 工具或插件暴露（方向稿:92）。

K2 数据模型。

• A：统一对象表 objects 加按 kind 校验的 JSONB 载荷，关联表 object_links 记生成、更新、引用三种关系，行数多的数据单独建表。B：每个模块一张强类型表。
• 推荐 A：待拍板、今日一屏、检索、溯源都只写一份。各模块都要查的字段（status、due_at、start_at、end_at、project_id）做成真列；学生姓名、家长电话、档案正文现在就集中放、不进检索列，为以后加密留位（K6）。

K3 文件存储。

• A：服务器磁盘卷，代码只经 Storage 接口读写。B：S3 兼容对象存储。已定（白晨 10-10）首批用 A（只需加已批准的 python-multipart，但只能单实例），公测前换 B。
• 安全要求：落盘文件名用 sha256，只在同一用户范围内去重；文件类型用白名单；解析放在子进程里，设超时和内存上限，防解压炸弹（WB-10）。pypdf 的已知拒绝服务漏洞【待验证】。

K4 上传之后怎么处理。

• 推荐 A：后台作业。任务进 PG 作业表（FOR UPDATE SKIP LOCKED），worker 跑在后端进程里。
• 不选 B（同步处理）：单次模型调用的读超时就有 60 秒（apps/api/app/agent/gateway.py:24），一次上传几十份文件，同步处理必然超时。

K5 待拍板怎么执行。

• 推荐 A：统一的待拍板表加执行器注册表，只有一处审计、一处防重复执行、一处放行写能力；B 是各模块各自弹窗确认。宿主没有幂等键，外部写不自动重试；以后宿主执行 confirm，执行器改为对接宿主（切换点见 1.4 第 1 项）。

K6 学生数据：已定（白晨 10-10）：首批只用化名，不录入真实学生信息；姓名换编号在真实数据入库前做（WB-44）。

• 影响：字段加密（WB-61）、送模型前脱敏与「导出与删除我的数据」（WB-44）、邀请制账号（WB-11）都移出首批，归入「真实数据入库前」组。试跑不签同意书，改为页面常驻提示「请勿录入真实学生信息」、试跑说明写明同样的要求、提供化名示例数据（WB-71）。
• 真实学生数据入库前必须补做（缺一项都不能放真实数据）：
  1. 合规确认：存放位置、能否送模型、能否用海外模型，要有校方或合作方的书面意见。
  2. 关闭登录即注册，改邀请或白名单，可停用账号、可重置口令（WB-11）。
  3. 敏感字段加密（WB-61）。名字对人在内存里解密后比对，加密字段不进 pg_trgm 和普通索引。
  4. 送模型前把姓名换成编号、结果回填（WB-44）。脱敏漏网的风险要评估：外号、名册里没登记的名字代码认不出来。
  5. 导出与删除我的数据（WB-44）。
  6. 同意书与隐私告知。
  7. 试跑库里的化名数据清理或隔离，正式数据另起一套环境。
  8. 按风险区标准再做一次多视角评审，交白晨复核。
• pg_trgm 对中文是否有效，取决于部署库的 LC_CTYPE【待验证，WB-62 核实】。无效就退回 ILIKE。

K7 截图与口述。

• 截图：已定（白晨 10-10）先跑探针再定。WB-05 用同一批不含真实个人信息的截图，同时测公司网关里的国产多模态模型和海外模型，按识别准确率与成本选。海外模型通道已申请好（白晨 10-11），密钥按仓库规则放在仓库外。两种都读不好，改走「OCR 加文本模型」。
• 口述：首批不做语音识别，用户用输入法的语音输入转成文字。

1.4 需底座提供（逐项现状与证据见附录 A.4）

1. 宿主执行 confirm 并提供确认接口；2. 插件声明触发条件、宿主负责触发。白晨 10-10 定首批期间就提，需求说明写在 WB-01 设计稿里一并交出。工作台先用应用内的办法顶着，底座做好后切换：
   • 确认：先由 WB-60（invoke_for_user 拦截写能力）加 WB-06（待拍板执行器）顶着。切换点是工作台把支持的协议版本升到「宿主执行确认」那一版：在同一个任务里，执行器改为调宿主的确认接口，WB-60 的拦截保留为第二道防线。
   • 触发：先由「打开时现算」加工作台自己的后台作业（WB-03）顶着。切换点是宿主能按插件声明推送触发：工作台改为接收推送，WB-03 只留文件处理这类内部作业。
   • 两次切换都按大档做，时间看底座排期，不在本文估时内。
2. 钉钉日程读写插件：白晨 10-11 定首批不接钉钉日程，列为后续项，不进 P0；钉钉待办只写，照常保留（WB-15）。 4～8. 钉钉待办读回、邮件收信插件、invoke 写操作幂等键、飞书日历参会人与全天日程，都排 P1；会议转写来源（飞书妙记等）排第二批。

二、待办拆解

明细见附录 B。每项写明动哪些文件、前置依赖、验收（含端到端由哪个场景覆盖，或按什么理由豁免）、是否命中风险区、估时和负责人。标题里的〔共用〕〔教师〕〔青年〕表示它属于哪条试跑切片。

附录 B 按内容分组（M1～M4 加「后续」组），执行顺序按第四节的阶段走：

分档：宪章规定跨两个模块或命中风险区即为大档（../workbench-daemon/docs/standards/2026-10-02-AI-Coding工程宪章.md:19-21），本仓库只有前端、后端两个模块（tools-config/gate.toml:86）。因此每个阶段当作一个大档任务，各配一份设计稿（WB-01 覆盖两条切片，WB-64、67、69 分别覆盖阶段三、四、五；都含多视角评审、白晨复核和实现计划），收口跑 make check 加 make mutation。附录 B 每项都是子任务，不单独判档，「风险区」标「是」的按风险区标准评审；WB-05 探针不进产品代码，按小档做。

覆盖门禁：动 apps/api/app 或 apps/web/src 的子任务都写明端到端由哪个场景覆盖；界面细节写成补充用例放 testing/e2e/e2e/specs/，豁免照底座 tools/coverage/README.md 的写法；每个阶段中途就跑一次 make coverage。

两人并行的规矩：

• 迁移号预分配：0003_objects（WB-02）、0004_jobs（WB-03）、0005_approvals（WB-06）、0006_card_kind（WB-08）、0007_files（WB-09），之后的在各阶段设计稿里分配。
• 生成物不手工合并：openapi.json 和前端生成客户端合并后重新生成。
• app/main.py、app/invocation/、testing/e2e/ 的编排部分要串行改。

分工（合写的项一人算一半；甲偏后端，乙偏前端，两人都写前后端）：

关键路径：把各阶段的设计稿和收口闸门都算进去，按附录 B 的依赖算，最长的一条到 WB-45 共 33.5 人日：WB-01 → 02 → 06 → 15 → 19 → 28 → 77 → 14（教师切片收口）→ 72（青年人切片收口）→ 64 → 65 → 22 → 26 → 27 → 31 → 67 → 68 → 34 → 37 → 45。每人分到的 P0 约 42～43 个工作日，比这条链长，所以决定工期的是总量，不是依赖链。

三、两条试跑切片（白晨 10-10 定：教师和青年人都做）

切片里的项都取自附录 B，估时按原值或按裁剪后的范围算，余量 30%。共用部分只做一次。

先后与重叠：

阶段一做共用部分和教师专属：

• 时间是 10-12～11-13，两人各约 19 人日，加余量是 25 个工作日。
• 教师切片不需要文件模块，所以先上。日程按现排在阶段二；要不要连同教师第一次打开挪进阶段一，见 5.3 第 1 项。
• 收件箱的截图在这时走一个单独的小上限，不依赖 WB-09。
• 11-13 教师切片收口发布，用化名数据给老师试跑。

阶段二做青年专属：

• 时间是 11-16～11-27，两人约 7 人日、6.5 人日，加余量是 10 个工作日。
• 11-27 青年人切片发布。
• 重叠的办法：阶段一里谁先做完手上的项，就提前拿青年专属里不依赖对方的项。比如乙的 WB-17 只依赖 02、06。这样青年人切片有机会早于 11-27。

能跑的场景：

• 再加 1 人日的 WB-40，教师切片可以跑 T08 的拆任务部分。
• 再加 WB-20（1 人日），Y03 的改期更新也能跑。
• 青年人切片适合网龙内部的设计、运营、策划（docs/decisions/2026-10-09-工作台的价值.md:98）。

四、排期建议

假设：10-12（周一）开工，两人全职，余量 30%；按工作日算，扣除 2027-01-01 元旦；不含等白晨复核的时间（按 1 天内回复算）；各阶段之间串行。

• 「真实学生数据入库前」那一组（4 人日，两人约 3 个工作日）不排期，要放真实数据时再插进来。
• 10/16 交付版本（已定，白晨 10-10）：M1 设计稿（WB-01，含两条切片）、截图探针结论（WB-05，含模型对比与成本）、按新风格重做的可点击原型、基座进度。原型由 AIC-2715 负责，是演示用的样板间，讲场景给人看；WB-63 是真产品的界面设计，以 C 柔彩 Bento（白晨 10-11 选定）为视觉基调，开发照它做。
• 上表按 5.3 第 1 项的现排（不挪）计。选推荐项时阶段一 28 个工作日到 11-18，阶段二 8 个工作日到 11-30，之后各阶段顺延 1 个工作日，P0 到 2027-01-04、P1 到 2027-01-22。

五、风险与未决

5.1 技术风险（13 项，对策见附录 E）

影响最大的四项：截图读不准（影响 6 个 P0 场景）；模型成本与限流还不知道；开放注册之下任何人都能注册并消耗模型额度；老师在化名环境里录入了真实学生信息。

5.2 已定（白晨 10-10、10-11）

1. 试跑人群：教师和青年人两条都做，排法见第三节。
2. 学生数据：首批只用化名，不录入真实学生信息；姓名换编号在真实数据入库前做（WB-44）。入库前要补的事项见 K6 清单。
3. 开放注册：保持登录即注册，不做邀请制。WB-11 移到「真实数据入库前」组；放真实数据之前必须再处理（附录 E 第 11 项）。
4. 截图模型：先跑探针，同时测公司网关里的国产多模态模型和海外模型，按识别准确率与成本定（WB-05 的验收）。
5. 批准 pypdf、python-docx、openpyxl：由 WB-10 开工时在底座 .claude/approved-packages.txt 登记，按该文件 :3 的格式另起一段注释，出处写「白晨 10-10，AIC-2711 拆解」。这是一次底座仓库的提交，单独提交、不和工作台的改动混在一起。Pillow 看探针结果，要加时另行批准。
6. 向底座提「宿主执行确认」「插件声明触发」：首批期间就提。工作台先用应用内的拦截顶着，底座做好后切换，切换点见 1.4。
7. 10/16 交付版本：M1 设计稿、截图探针结论、按新风格重做的可点击原型、基座进度（AIC-2715）。原型是演示用；WB-63 是真产品的界面设计，视觉 C 柔彩 Bento（白晨 10-11 选定）。
8. 按推荐定的五个小项：
   • 文件存储先用服务器磁盘卷加存储接口（K3）。
   • 公开分享页放 P1（WB-50）。
   • 邮件首批不做。
   • 界面设计由两人用 AI 做高保真原型，白晨看过再开发（WB-63、65、68、70）。
   • 余量 30%。
9. 不接钉钉日程，钉钉待办（只写）保留（10-11）：钉钉日程优先级低，首批教师用工作台自己的日程，钉钉日程插件列为后续项，不进 P0（附录 A.4 第 3 项）；待办同步钉钉（WB-15，经待拍板）照做。
10. 演示 Agent 直接写两种都支持（10-11）：保留 WB-60 的部署开关，试跑环境默认关、演示环境可以开。AC-A13 在开关打开的环境里继续验；WB-58 做完后，Agent 的写操作也改走待拍板。
11. 海外模型通道（10-11）：已申请好。WB-05 直接对比国产与海外两类模型；密钥按仓库规则放在仓库外（~/.config/workbench-app/），不写进文档。
12. 布局重构的首批增量约 4 人日接受（10-10，汇报稿第七节第 3 条）：逐项落在 WB-07、08、28、63、66 和 WB-73～77。汇报稿第七节第 4 条（青年人第一次打开，0.5 人日）没有单独回复，它本就算在这 4 人日里，随之一并接受（WB-76）。

5.3 待拍板（2 项）

1. 教师切片带不带日程与第一次打开。 5.2 第 9 条定了教师用工作台自己的日程，但现排里日程（WB-17、18）在阶段二，教师的第一次打开并在 WB-35（阶段四），所以 11-13 教师试跑时没有日程，第一天是空桌面。
   • A（推荐）：把原生日程 WB-17、18 挪进阶段一，另加 WB-78「教师第一次打开：两问加入门清单（不含课表）」0.5 人日（WB-35 到阶段四再补课表与开学向导）。教师切片到 11-18，青年人切片到 11-30，P0 完成到 2027-01-04；代价是两条切片分别晚 3 个、1 个工作日，P0 多 0.5 人日。
   • B：维持现排，在试跑说明里写明教师切片 11-13 没有日程和入门清单：日程 11-27 之后才有，入门清单要到阶段四（12-31）。日期即第四节的表。
   • 推荐 A：今天简报的日程部分和 AC-A16 在教师切片里才跑得通，第一次见面就是空桌面也最伤试跑。
2. C 柔彩 Bento 和原生卡尺寸。 C 的观感靠一桌大小不一的色块（风格样张），而首批原生卡只做一种尺寸（汇报稿第五节），真产品里效果会打折。
   • 一：接受落差，首批原生卡只做一种尺寸，靠状态色区分，0 人日。
   • 二（推荐）：待办、日程、随手记三个高频模块首批支持小、中、大三档，约 2 人日（尺寸框架 0.5，每个模块 0.5），排在阶段三，不推迟两条切片的试跑日期，P0 完成日约晚 1～2 个工作日。
   • 推荐二：这三个模块每天都会打开，2 人日换到主要的视觉效果；其余模块仍一种尺寸，原定的约 8 人日「三种尺寸」照旧放到以后。本文的数字都没含这 2 人日。

附录 A　能力对照明细

A.1 公共能力

A.2 逐模块

A.3 模型与代码的分工（用户级规则：模型只做判断类任务，流程控制用代码）

A.4 需底座提供

前两项是向底座提的协议需求，不阻塞首批。第 3 项白晨 10-11 定首批不接，列为后续项。

附录 B　待办明细

列说明：

• 前置：写编号。
• 验收：单＝单元，集＝集成，端＝端到端。AC 和场景名见附录 C；「补充」指 testing/e2e/e2e/specs/ 里的补充用例。
• 风险区：命中现有风险区或 WB-12 新增的风险区，标「是」。
• 所有项都是所属阶段大档任务的子任务（WB-05 除外）。标题里的〔共用〕〔教师〕〔青年〕表示属于哪条试跑切片，没标的在阶段三及以后做。

M1 基座（P0）

M2 通用模块（P0）

M3 教师模块（P0）

M4（P1）

后续：真实学生数据入库前（不在首批排期，见 K6 清单）

建议纳入变异范围（only_mutate）的核心文件：

• app/approvals/service.py
• app/invocation/service.py（已经在范围内，写能力判定要有用例杀掉变异体）
• app/calendar/slots.py
• app/files/diff.py
• app/files/text.py 的限额判定
• app/roster/matching.py
• app/school_tasks/prefill.py
• app/today/suggest.py
• app/objects/service.py

后续组做的时候，再把 app/extract/redact.py 和 app/crypto/ 加进去。

附录 C　AC 预分配与场景名

• AC 编号从现有最大号 AC-A13 往后顺延，下表只是预分配，以实施时实际登记的为准。
• 〔回归 P0〕〔回归 P1〕是场景的回归等级标签（底座 .claude/rules/gherkin.md:24：只决定回归时先跑哪些），和产品优先级 P0／P1 是两回事。比如 Y02 的「时间安排建议」标〔回归 P1〕，它仍属于产品 P0 范围。
• 场景默认集成层和端到端层都跑。

附录 D　与方案不一致或方案没覆盖的地方

1. 「后台·待建设」的归因：方案归因于底座没有后台触发。实际上工作台后端可以自己跑后台作业（WB-03）。真正缺的是把事情推到用户眼前的通道，这正是要向底座提的「触发」需求（1.4 第 2 项）。
2. 账号：方案没提。现状是登录即注册（apps/api/app/identity/service.py:78-96）。白晨 10-10 定首批保持不变，放真实数据前必须改（WB-11）。
3. 写操作的保证：方案的原则是「写出去先拍板」，现状有三条绕行路径（1.1），要靠 WB-60 封堵。
4. 口述与截图：没有语音识别来源，按输入法语音转文字处理。截图依赖多模态模型，用国产还是海外模型由探针对比后定（白晨 10-10）。
5. 飞书前提：C 端用户未必用飞书，教师多用钉钉，首批的日程和会议以原生数据为主。
6. 溯源强度：工程上只能保证引用存在、属于本人。
7. 教材目录预置：这是内容工作，首批由老师自己粘贴课题目录。
8. 学校填报格式：首批只支持单张 xlsx、首行表头。
9. 公开分享页：方案没提免登录入口的安全问题和家长个人信息的收集，本文放在 P1。
10. 本机与云端：方案里「计算在本机做」「名册只存本机」首批都不成立。白晨 10-10 定首批不存真实学生数据，只用化名或模拟数据，见 K6。
11. 方案没写到的工作：部署、界面设计、试跑度量、文件安全、模型成本。本文都补成了待办项（WB-62、63、65、68、70、66、10、05）。
12. 伟华「先做前端（可以是假的）」：本文按真实实现来拆，假前端用本周的原型代替。
13. 界面结构：方案写的是今日一屏做首页、待拍板台单独成页；白晨 10-10 接受汇报稿的重构（桌面即今日、无左栏、全部模块、卡片点开成整页、「＋ 收进来」），本文按汇报稿拆（WB-07、08、28、73～77）。原生卡三种尺寸、拖动换位、放大转场、「为你推荐」、手机底部页签按汇报稿第五节放到以后（尺寸的部分提前见 5.3 第 2 项）。

附录 E　技术风险与对策

附录 F　原型章节在首批哪个阶段能用

对照样板间原型的两条故事线（章节见汇报稿第四节）。日期按第四节现排；选 5.3 第 1 项 A 时在括号里注明。