135 KiB
135 KiB
ARCHITECTURE INVENTORY
1. 目的
- 本文档承接 PMFlow 的架构库存与关键入口索引。
CLAUDE.md保留当前架构说明、运行边界和参考模式。- 本文档记录当前模块分布、重要子包、关键脚本与前端页面分组，后续架构变更统一在此同步。
2. 同步规则
- 任何影响目录结构、主入口、模块归属、前后端页面/API 分组、脚本布局的架构变更，都必须同步更新：
CLAUDE.mddocs/architecture/ARCHITECTURE_INVENTORY.md
- API/Schema 契约变更仍需同步：
docs/architecture/API_CONTRACTS.md- 对应前端
types/api封装
- 路由/函数名/运行时流向变更仍需同步：
docs/architecture/DATAFLOW.mdbackend/.control_plane/pmflow-routing-rules.json
3. 顶层库存
docs/PMFLOW_PRODUCT_BLUEPRINT.md：PMFlow 产品蓝图真源；锁定“对话驱动的 AI 产品执行操作系统”、solo-first, team-ready、项目真相层、ChangeSet 待确认、Execution Bridge 与人机混编团队方向docs/PMFLOW_PRODUCT_DELIVERY_STANDARD.md：PMFlow 产品推进执行标准；记录当前进度、Phase A-F/P8 推进顺序、单次任务范围、Codex 并行推进协议、进度台账和新线程接续规则；P8 已完成 Review Decision Loop、Space review attention queue、Account review decision preference 与 integration 收口docs/PMFLOW_UI_CONTRACT.md：PMFlow UI 契约真源；锁定 Logo、浅色白底 +#2463EB、移动端固定底部导航、四类视觉语法、核心功能 canonical 契约和当前前端一致性审计docs/architecture/MASTER_CONTRACT.md：跨栈主契约docs/architecture/CODE_REFERENCE_INDEX.md：新增代码参考入口与高频代码索引docs/architecture/PMFLOW_OS_PRODUCT_CONTRACT.md：PMFlow OS 产品合同真源；锁定前端ProjectTruthState / ChangeSet / Evidence / Approval / ExecutionContext、项目级 AI 副驾投影与后端truth_nodes / tasks / semantic_facts / ai_project_control / dev_sync的复用边界；Phase C1 已实现 review 表和审查 API，Phase C2 backend/frontend 已实现 atomic commitdocs/architecture/PMFLOW_AI_MULTI_AGENT_OPERATING_RUNTIME.md：PMFlow AI Agent OS Runtime 真源；锁定用户侧 PMFlow AI 从/ask -> answer升级为Durable Agent Run -> PMFlowAIOperatingRunService -> OperatingMission -> Specialist Agent Registry -> Work Products -> Agent Council -> Product Object Projection -> Execution Bridge Preparation -> Learning/Next Cycle -> Customer Payload；PMFlowAIAgentRunService / GoalFrame / Step Planner / Tool Registry / Evidence Normalizer / Answer Runtime只作为 evidence/answer adapter；同时锁定/space/pmflow-ai工作台、兼容入口和旧链路删除/降级清单。docs/architecture/RUNTIME_GUARDRAILS.md：运行边界、守门规则与已知运行假设docs/architecture/API_CONTRACTS.md：接口/Schema 契约docs/architecture/DATAFLOW.md：主链与数据流说明docs/architecture/TASK_BRIEF_TEMPLATE.md：并行安全任务包模板；用于声明 Packet 的base_ref / read_scope / write_scope / forbidden_paths / shared_files / verification / docs_to_syncdocs/superpowers/plans/：实现计划docs/superpowers/specs/：需求/方案规格docs/task_briefs/：任务包产物与验收截图
4. 后端库存
4.1 API 路由分组
backend/app/api/ai_steward_api/backend/app/api/ai_pmo_api/backend/app/api/feishu_api/backend/app/api/rag_api/backend/app/api/sstc_api/backend/app/api/pmflow_launch_api/backend/app/api/space_api/backend/app/api/pmflow_os_api/backend/app/api/signals_api/backend/app/api/signal_sources_api/backend/app/api/semantic_facts_api/backend/app/api/skill_tags_api/backend/app/api/ai_logs_api/
4.2 AI PMO 与语义主链
backend/app/services/ai_pmo/ai_pmo_kernel/backend/app/services/ai_pmo/ai_pmo_kernel_ingress_flow/backend/app/services/ai_pmo/project_operating_context_builder.pybackend/app/services/ai_pmo/ai_pmo_typed_executor_execute/backend/app/services/ai_pmo/ai_pmo_typed_executor_discovery/backend/app/services/ai_pmo/semantic_context/backend/app/services/ai_pmo/workflow_semantic_planner/backend/app/services/ai_pmo/draft_confirm_handler.py
4.3 问答、模型与生成
backend/app/services/pmflow_ai_turn_runtime_service.pybackend/app/services/pmflow_ai_turn_object_ledger.pybackend/app/services/pmflow_ai_answer_renderer_registry.pybackend/app/services/pmflow_ai_answer_verifier_registry.pybackend/app/services/pmflow_ai_evidence_tool_registry.pybackend/app/services/pmflow_ai_evidence_absorber.pybackend/app/services/pmflow_ai_evidence_authority.pybackend/app/services/pmflow_ai_static_contract_registry.pybackend/app/services/pmflow_ai_project_execution_observation.pybackend/app/schemas/project_operating_evidence.pybackend/app/services/pmflow_ai_evidence_coverage_gate.pybackend/app/services/space_runtime_context_builder.pybackend/app/services/customer_answer_presentation_service.pybackend/app/services/adaptive_rag_service/backend/app/services/adaptive_rag_service/internal_query_context.pybackend/app/services/adaptive_rag_service/mixin_project_fit_brief.pybackend/app/services/adaptive_rag_service/mixin_query_route_gateway.pybackend/app/services/adaptive_rag_service/mixin_query_route_governance.pybackend/app/schemas/project_operating_context.pybackend/app/services/external_query_service/backend/app/services/semantic_fact_service/backend/app/services/semantic_fact_service/hooks.pybackend/app/services/llm_service/backend/app/services/ai_steward_service/backend/app/services/feedback_center/backend/app/services/task_brief_service.pybackend/app/config/ai_prompts.pybackend/app/config/ai_prompts_catalog/backend/app/config/ai_prompt_registry.pybackend/app/services/prompt_assets_service.pybackend/app/services/prompt_runtime_service.pybackend/app/services/model/model_routing/service.pybackend/app/services/model/model_config.py
4.4 集成、信号与运行时
backend/app/services/integrations/feishu_integration_service/backend/app/services/integrations/feishu_outbox/service.pybackend/app/services/integrations/feishu_signal_pipeline/backend/app/services/signal/signal_capture_service/backend/app/services/signal/signal_source_orchestration/backend/app/services/signal/signal_source_repair/backend/app/services/signal/signal_planner/backend/app/services/signal/draft_generator_service.pybackend/app/core/startup/backend/app/utils/thread_context.pybackend/app/utils/timezone.pybackend/app/utils/audited_write.pybackend/alembic/versions/backend/alembic/versions/20260429_rename_glm_provider_to_dashscope.py是供应商编码迁移：把历史integrations.config与ai_call_logs.routing_meta/provider中的旧内部 provider codeglm迁移为配置化dashscope；后续不得恢复glmprovider alias，glm-5只可作为模型名出现。backend/app/main.py现已把模型连通性探测、飞书长连接、World Model 预热、调度器与后台队列消费收口为显式环境开关；开发环境可直接通过STARTUP_*/FEISHU_LONG_CONNECTION_ENABLED关闭重型副作用，避免热重载每次都付全量启动成本。backend/app/api/router.py现改为按模块路径动态注册路由；默认保持full，并支持通过API_ROUTE_PROFILE与API_OPTIONAL_ROUTE_GROUPS在开发场景下裁掉重型 optional route group，减少 eager import 开销。backend/app/api/space_api/+backend/app/services/space_saved_idea_service.py+backend/app/models/saved_idea.py是 Personal Space 暂存想法闭环；saved_ideas作为 pre-project idea seed 保存原始输入、来源、准备度、缺失问题、状态、结构化 enrichment 元数据和 Project Launch draft 关联。创建与编辑原始输入时会尝试space_saved_idea_enrichment_v1结构化判断目标用户、问题、价值假设、验证信号和补充问题，prompt key 为PROMPT_SAVED_IDEA_ENRICHMENT，运行时经PromptRuntimeService读取平台 active release 并记录 prompt 归因；问候/测试/无实质想法输入必须判为信息不足与 0 准备度，AI 失败时显式保存ai_failed/system_baseline，不冒充 AI 成功。该链路允许创建、列表、更新、归档和 promote 到 Project Launch 草案，但不写 Project Memory、ChangeSet、执行事件或发布对象。backend/app/services/project_copilot_service.py是项目级 AI 副驾 truth-bound 服务；入口在backend/app/api/pmflow_os_api/的POST /pmflow-os/projects/{project_id}/project-copilot/ask，schema 在backend/app/schemas/pmflow_os.py。服务按项目成员边界读取 PMFlow OStruth-state与execution-summary，解析当前surface + object_anchor，返回服务端权威project_copilot_context_packet.v1、answer_canvas、客户对象锚点和过程包。当前实现是 deterministic renderer，model_calls=0，不写 thread message、不触发 extraction、不 commit ChangeSet、不写 Project Memory、不执行命令、不发布。- AI-Dual-04 后，
space_operating_packet.v1和project_copilot_context_packet.v1都带automation_policy(policy_version=ai_dual_04_low_risk_proactive.v1, mode=suggest_only)与proactive_suggestions[]。这些 proactive suggestions 只用于主动排序注意力、准备跳转、准备审查说明或执行上下文预览，并且每条都带requires_user_confirm=true；自动创建项目、写 Project Memory、ChangeSet commit、Execution Bridge handoff、外部命令执行、发布/部署和权限变更仍全部在 forbidden/blocked actions 中。 - 项目级副驾前端通过
frontend/src/features/pmflow-os/components/ProjectCopilot.tsx恢复跨页对象锚点：Space 或项目内链接传入changeSetId + itemId / taskId / releaseId / evidenceId时，副驾优先绑定对应 ChangeItem、Task、Release 或回流 Evidence，并把该对象写入project_copilot_context_packet.v1.object_anchor；ChangeReviewPage.tsx同步用itemId默认展开变更项，ExecutionBridgePage.tsx用taskId默认选中执行任务。该恢复只影响只读上下文和副驾解释，不自动写入、执行、发布或 commit。 - PMFlow AI 当前终局底座以
PMFLOW_AI_MULTI_AGENT_OPERATING_RUNTIME.md为准：/space/pmflow-ai与兼容/space/ai-concierge/ask都必须进入PMFlowAgentRuntimeService.run_space_turn()；pmflow_agent_runs / steps / observations / artifacts / verifications / memories是用户侧真源；旧/ask -> answer、单 agent 万能顾问、answer shape 主控、关键词/枚举场景分流和 presentation 层业务补戏只能作为兼容/历史能力，不能再作为新能力扩展方向。
4.5 Mounted Runtime / 训练相关
backend/app/models/reply_iteration.pybackend/app/models/training_pipeline.pybackend/app/models/mounted_ai_runtime.pybackend/app/models/query_route_memory.pybackend/app/models/semantic_fact.pybackend/app/models/semantic_fact_extraction_run.pybackend/app/models/pmflow_launch.pybackend/app/models/saved_idea.pybackend/app/models/pmflow_change_review.pybackend/app/api/ai_steward_api/routes_reply_iteration.pybackend/app/api/ai_steward_api/routes_training_pipeline.pybackend/app/api/ai_steward_api/routes_mounted_ai.py
4.6 结构归并结果
backend/app/services/根目录已目录化收敛，新增服务优先进入对应子包。- API canonical 入口优先使用
*_api/子包，不再优先引用顶层兼容壳。 - 运行时业务动作归因优先走“对象/上下文绑定 ->
SemanticContextPacket->SemanticDecision-> gatekeeper”。 - non-plan
query.answer现已在AdaptiveRAG内增加Query Route Gateway：只消费上游单次结构化query_profile/source_policy/effective_source_policy与显式 hint，结合ProjectOperatingContext归一化产出route_mode / decision_origin / reply_contract / probe_snapshot(contract audit) / execution_recipe，不再在运行时执行 internal/external probe 或 route memory 强拍板，再进入检索与回答主链。 - PMFlow AI 用户问答主链已进入拆除式 Runtime First Packet 9：
TurnState -> SufficiencyGate -> ActionSelector -> EvidenceTool -> EvidenceAbsorber -> State-based Answer。backend/app/schemas/pmflow_ai_turn_runtime.py定义PMFlowAITurnState / EvidenceGap / RuntimeAction / RuntimeStep / SufficiencyDecision / EvidenceToolResult / EvidenceAbsorptionResult，backend/app/services/pmflow_ai_turn_runtime_service.py是 Space AI turn 唯一主控，backend/app/services/pmflow_ai_evidence_tool_registry.py是只读工具注册入口，backend/app/services/pmflow_ai_evidence_absorber.py是唯一 evidence 吸收层，backend/app/services/customer_answer_presentation_service.py已降权为 shape-based renderer；/space/ai-concierge/ask只负责加载 context、调用run_space_turn()、持久化和返回。旧PMFlowAIConversationOrchestrator / SpaceAIExecutionContract / SpaceAITaskGraphService / pmflow_ai_runtime_kernel / space_project_lookup_service.py / space_ai_general_evidence_synthesis_service.py已删除；route 字段仅作为route_hypothesis_only兼容 payload，不参与 action 选择。每轮最多 3 步，ActionSelector 只按selected_frame / operation_gaps / sufficiency / performed_actions选择只读 action，工具层只返回事实、来源、置信度、目标相关性和剩余缺口，不生成 implication/judgement；Absorber 统一生成fact / source / implication / relevance_to_goal / confidence、remaining_gaps和JudgementState后进入 TurnState 和 CustomerEvidencePacket，且 final answer 不再反灌为 evidence finding。CustomerEvidencePacket.answer_type是 runtime display shape，不再是旧场景枚举；Presentation 只表达strategic_judgement / status_answer / clarification / execution_guidance / fact_list / composite_answer / general_answer，不得重判场景。answer_process_packet.steps来自真实 runtime action，QA session response payload 保存pmflow_ai_turn_statesnapshot 供 replay。Packet 8 新增backend/app/config/pmflow_ai_turn_runtime_golden_cases.py与backend/app/services/pmflow_ai_turn_runtime_golden_replay.py，用跨场景行为合同覆盖开放判断、内部状态、项目查找、追问、写入确认、多任务和外部新近证据；Packet 9 将这些主链文件纳入scripts/semantic_lint.py守门。该架构是后续 PMFlow AI 能力扩展主约束，禁止退回 executor enum、关键词路由、行业专项分支或 analyzer 早返回。 - Packet A 已在
backend/app/schemas/pmflow_ai_turn_runtime.py增加 Observation-driven WorkingState 终局合同：PMFlowAIGoalFrame / PMFlowAITargetScope / PMFlowAITargetCollection / PMFlowAIObservation / PMFlowAIOperationGap / PMFlowAIStateRevision / PMFlowAIVerificationFailure，并在PMFlowAITurnState上沉淀candidate_frames / selected_frame / observations / operation_gaps / state_revisions / verification_failures / customer_packet_draft / step_budget。这批字段用于后续 Packet B-E 把 Space AI 主循环改为持续 probe/read/draft/prepare/verify、Observation 修正状态、验证失败回流 runtime；旧decision_type / evidence_needs只能作为当前兼容链路输入，不再作为新增能力合同的终局出口。合同回归见backend/tests/test_pmflow_ai_working_state_contract.py。 - Packet 1/2 新增
backend/app/services/pmflow_ai_turn_contract.py，把 Turn Runtime 的目标评估输出归一、合同矩阵和冲突校验集中到一层：PMFlowAIGoalFrame.source_policy明确 internal/external/hybrid/none 来源策略，normalize_turn_hypothesis_contract()在 runtime/reviser 入口前修正operation_kind / target_scope / answer_shape / operation_gaps.system_action_hint，validate_turn_state_contract()将不一致写入turn_contract_violationverification failure。旧decision_type / evidence_needs只在该文件内作为集中兼容输入；build_initial_turn_state()、PMFlowAITurnStateReviser和 ActionSelector 不再散落消费旧字段补动作。针对“帮我搜搜 AI 漫剧的行业趋势”这类外部趋势问题，合同会归一为external_public + strategic_judgement + freshness_gap -> external_search，visible project 只能作为上下文，不能抢成内部项目工具。回归见backend/tests/test_pmflow_ai_working_state_contract.py、backend/tests/test_pmflow_ai_turn_runtime.py与backend/tests/test_pmflow_ai_action_selector_packet_d.py。 - Packet X/Y/Z 新增
backend/app/services/pmflow_ai_evidence_authority.py，作为 Turn Runtime 的结构化证据权威门禁。它不读自然语言关键词，而是消费PMFlowAITurnState.object_state.primary_object、binding strength、selected frame 和structured_evidence.project_operating_evidence_packet(s)：强绑定项目的状态、进展、推进建议在没有读取匹配项目运行态证据前，必须先执行inspect_project_status，并阻止external_search / external_fetch抢首步。pmflow_ai_turn_runtime_service.py在 sufficiency、action selection、canonical action hint、action/frame match 和 final verifier 中都接入该门禁；pmflow_ai_turn_state_reviser.py会把 verifier 的next_action_hint=inspect_project_status回写为 blocking system gap；pmflow_ai_turn_contract.py同步禁止非 canonical hint、scope_gap或自由文本 hint 隐式生成 external action。回归见backend/tests/test_pmflow_ai_object_ledger_packet_i.py。 - Packet AE 将
backend/app/services/pmflow_ai_evidence_authority.py升级为 Source Authority Gate：同一层现在可声明authority_domain / required_evidence / forbidden_first_actions / can_answer_without_tool / renderer_key / verifier_policy / process_label。explain_assistant不再进入项目或外部 evidence probe，而是绑定pmflow_assistant_contract + static_product_contract，候选动作只保留synthesize_answer，最终由_render_source_authority_answer_from_turn_state()输出 PMFlow AI 身份与能力边界，CustomerEvidencePacket 不再标记“外部证据不足”。pmflow_ai_turn_contract.py同步保护 direct static-contract frame，旧external_searchgap 不得把它改写为judge_direction。回归见backend/tests/test_pmflow_ai_source_authority_packet_ae.py。 - Packet AF 新增
backend/app/services/pmflow_ai_static_contract_registry.py，把静态产品能力合同从 runtime renderer 抽成注册表。PMFlowAIStaticContractRegistry.resolve_for_turn_state()消费 canonicalselected_frame与disclosure_state，当前explain_assistant解析到assistant_identity.v1；Source Authority 只返回contract_key / renderer_key / process_label / forbidden_first_actions，_render_source_authority_answer_from_turn_state()、CustomerEvidencePacket source/limitations/confidence 和 runtime step label 都从合同读取。回归见backend/tests/test_pmflow_ai_static_contract_packet_af.py，覆盖 renderer 不再内联身份回答正文。 - Packet AG 新增
backend/app/services/pmflow_ai_answer_renderer_registry.py，把最终表达选择从_run_state_answer_synthesis()的手写 if 链收口为 renderer candidate registry。Registry 根据 canonical TurnState 输出static_contract / collection_snapshot / project_operating_packet / open_judgement / llm_state_compose / safe_fallback候选，runtime 只执行候选并保留现有 deterministic renderer 函数。后续新增 renderer 必须登记 registry 并补行为回归，不能直接改主循环堆分支。回归见backend/tests/test_pmflow_ai_answer_renderer_packet_ag.py。 - Packet AH 新增
backend/app/services/pmflow_ai_answer_verifier_registry.py，把 final payload 出站校验从_verify_runtime_payload()的手写 if 链收口为 verifier policy registry。Registry 统一检查 Source Authority required read、static contract payload、项目运行态 coverage、interaction request 权限和 collection answer shape；runtime 只委托 registry。回归见backend/tests/test_pmflow_ai_answer_verifier_packet_ah.py。 - Packet AI/AJ/AK/AL 为用户侧 PMFlow AI 增加信息披露边界主链：
backend/app/schemas/pmflow_ai_turn_runtime.py新增PMFlowAIDisclosureState，_infer_turn_hypothesis()输出disclosure_policy，backend/app/services/pmflow_ai_turn_contract.py负责归一为public_product_capability / tenant_business_state / external_public / protected_pmflow_internal / platform_admin_debug与answer / safe_product_boundary / protected_refusal / platform_admin_redirect；PMFlowAITurnStateReviser把它落入 TurnState。PMFlowAIStaticContractRegistry新增protected_internal_refusal.v1，当disclosure_state为 protected 时优先于assistant_identity.v1；Source Authority 只允许synthesize_answer，过程 label 为“识别目标：检查 PMFlow AI 信息披露边界”。PMFlowAIAnswerVerifierRegistry新增protected_refusalpolicy，保护类问题的最终 payload 必须匹配保护拒答合同 source summary 与 Answer Runtime 计划，不能用身份合同、项目证据、外部证据或通用合成替代。回归见backend/tests/test_pmflow_ai_disclosure_policy_packet_ai_aj_ak_al.py。 - Packet AM 为用户侧 PMFlow AI 增加 Answer Runtime 合同：
backend/app/schemas/pmflow_ai_turn_runtime.py新增PMFlowAIAnswerObjective / PMFlowAIAnswerPlan / PMFlowAIAnswerDraft / PMFlowAIAnswerQualityFinding，backend/app/services/pmflow_ai_turn_runtime_service.py::_refresh_answer_runtime_plan在_run_state_answer_synthesis()进入 renderer 前先生成回答目标、回答计划、证据用法、表达边界、一次性追问列表和 draft source。最终 payload 新增answer_runtime_packet，_compose_state_answer()消费answer_objective / answer_plan，让模型先按本轮目标和证据计划回答，而不是继续依赖 renderer 顺序、静态模板或场景关键词。回归见backend/tests/test_pmflow_ai_answer_runtime_packet_am.py。 - Packet AN 将静态合同从“整段终局回答”改成 Answer Runtime 可消费的合同材料：
PMFlowAIStaticContract删除answer文本字段，改为required_claims / customer_safe_capabilities；_render_source_authority_answer_from_turn_state()通过answer_objective / answer_planmaterialize 本轮静态合同 draft；PMFlowAIAnswerVerifierRegistry._verify_static_contract()改为校验answer_runtime_packet + source_summary + protected disclosure plan，不再做全文相等校验。回归见backend/tests/test_pmflow_ai_answer_runtime_packet_an.py，并同步更新 AF/AH/AI-AK 回归。 - Packet AO 将
PMFlowAIAnswerQualityFinding从 schema 接成实际出站门禁：backend/app/services/pmflow_ai_turn_runtime_service.py::_apply_answer_quality_gate在 renderer 产出 draft 后、构建 CustomerEvidencePacket 前运行，检查空 draft、内部运行时术语泄漏、answer plan 策略语句回显、静态合同材料缺失，命中时写入answer_quality_findings并用客户安全 deterministic draft 重写。answer_runtime_packet.quality_findings进入 payload，便于 replay 解释为什么重写。回归见backend/tests/test_pmflow_ai_answer_runtime_packet_ao.py。 - Packet AP 删除旧
_sanitize_state_answer()单点兜底，让llm_state_compose只返回 draft，所有内部术语泄漏、空 draft、计划回显和材料缺失都统一进入 Answer Quality Gate。Gate 重写后必须二次复检；若复检仍失败，记录post_revision_quality_failed与block_answer_qualitystep，并返回客户安全 fail-closed 答案。回归见backend/tests/test_pmflow_ai_answer_runtime_packet_ap.py。 - Packet AQ 将项目运行态 verification 后处理并入 Answer Runtime 出站门禁：
_run_state_answer_synthesis()先把project_operating_answer_verification.v1对正文的约束合入draft_with_project_operating_verification，再执行_apply_answer_quality_gate()，最终answer_runtime_packet.draft.answer_text对应出站答案内容。_apply_project_operating_answer_verification_to_answer/packet/canvas通过_customer_safe_project_operating_text()过滤内部运行时术语，防止 verification action、boundary 或 reason 绕过 quality gate 泄漏到正文、CustomerEvidencePacket 或 answer_canvas。回归见backend/tests/test_pmflow_ai_answer_runtime_packet_aq.py。 - Packet AR/AS/AT 将用户侧最终 payload 和历史归档统一收口到 Customer Payload Gate：
backend/app/api/rag_ask_contract.py::sanitize_customer_rag_payload移除 runtime/debug/route/trace 顶层包，_sanitize_customer_display_packet递归剥离内部 key，_customer_tenant_project_context_packet把可答/保护范围转成客户可读标签；backend/app/api/space_api/__init__.py::_persist_space_direct_payload使用 sanitized payload 写入 QARecord answer、sources、evidence_pack 与routing_snapshot.response_payload，避免历史详情继续携带 rawpmflow_ai_turn_state或 runtime packet。回归见backend/tests/test_pmflow_ai_customer_payload_packets_ar_as_at.py。 - Packet AU 增加终局表达材料层：
backend/app/schemas/pmflow_ai_turn_runtime.py新增PMFlowAIClaim / PMFlowAIBoundary / PMFlowAIAttempt / PMFlowAIAnswerIntentPlan / PMFlowAITerminalAnswerState，并挂入PMFlowAITurnState.terminal_answer_state；backend/app/services/pmflow_ai_turn_runtime_service.py::_build_terminal_answer_state从 TurnState、静态合同、证据、judgement、verification failures 和 gaps 统一构建 claim/boundary/attempt ledgers；PMFlowAIAnswerVerifierRegistry的 failure 现在携带internal_diagnostic与customer_safe_summary/customer_safe_effect，Reviser 写入 operation gap 时只使用客户安全摘要；_build_verification_blocked_payload改为从 terminal state 生成客户安全 fallback，不再拼 raw verifier reason 或默认项目运行证据不足。rag_ask_contract.sanitize_customer_rag_payload清理 terminal state 内部诊断，Space history 同步保存 sanitized terminal state。回归见backend/tests/test_pmflow_ai_terminal_answer_state_packet_au.py。 - Packet AV 将 verifier recovery 改成 delta + state-delta gate：
PMFlowAIVerificationFailure.verification_delta记录claim_deltas / boundary_deltas / attempt_delta / retry_would_change_state / customer_safe_effect / internal_diagnostic；PMFlowAIAnswerVerifierRegistry._verification_failure和 runtime 本地_verification_failure都会生成该 delta。PMFlowAITurnRuntimeService._verification_failure_allows_retry统一判断是否允许继续重试，run_space_turn在 can-answer、final-answer 和 fallback recovery 三个校验点都遵守该 gate；PMFlowAITurnStateReviser.revise_from_verification只在 retry 会改变状态时创建 system action gap。回归见backend/tests/test_pmflow_ai_verification_delta_packet_av.py。 - Packet AW 将
PMFlowAIAnswerIntentPlan从占位字段升级为终局表达策略层：backend/app/services/pmflow_ai_turn_runtime_service.py::_plan_terminal_answer_intent从 Claim/Boundary Ledger 选择lead_claim_id / lead_boundary_id，并生成opening_move / user_value_focus / answer_moves / composition_guidance / anti_template_rules / detail_level / structure_preference。该层只规划“怎么表达”，不生成最终 answer、不按业务场景或 verifier failure type 选择固定 presenter、不读用户问句关键词做路由；blocked、保护边界、材料稀疏和材料丰富等状态只影响表达策略和反模板约束。回归见backend/tests/test_pmflow_ai_answer_intent_planner_packet_aw.py。 - Packet AX 把旧
_render_terminal_state_fallback的行拼接改为通用自然表达器：_compose_terminal_customer_answer / _compose_paragraph_terminal_answer / _compose_grouped_terminal_answer按AnswerIntentPlan和 lead claim/boundary 生成客户安全回答，_critique_terminal_customer_answer / _repair_terminal_customer_answer负责通用质量检查与修复；_evaluate_answer_quality会把固定标题模板和重复句纳入 Answer Quality Gate，_revise_answer_from_quality_findings优先用 terminal composer 修复失败 draft。回归见backend/tests/test_pmflow_ai_natural_answer_composer_packet_ax.py。 - Packet AY 继续删除旧 fallback 出口：
_render_state_answer_fallback()改为构建 terminal state 后调用_render_terminal_state_fallback()，不再维护独立段落模板；_render_answer_quality_fail_closed()改为每次重建干净 terminal state，避免失败 draft 作为answer_draft_claim回流，并在最终仍含内部运行时术语时返回短边界句。_terminal_claims_from_turn_state / _terminal_boundaries_from_turn_state同步吸收 judgement 的 direct/opportunity/can_do/mvp/next_actions/risks，使旧 fallback 需要的判断材料也进入统一 ledger。回归见backend/tests/test_pmflow_ai_terminal_fallback_unification_packet_ay.py。 - Packet AZ 收口展示层二次模板化：
backend/app/services/customer_answer_presentation_service.py::_standardize_canvas_direct_answer不再把普通长文本改写成**结论** / **判断依据**，只清洗内部词、去来源尾巴、剥离历史固定标题并裁剪；_render_state_shape_answer不再按 answer shape 加“综合判断/可执行建议/依据”等前缀，只返回 facts/fallback 的自然表达。回归见backend/tests/test_customer_answer_presentation_golden.py。 - Packet AA/AB 进一步把 verifier 回流和项目运行态表达收口到主循环：
PMFlowAITurnRuntimeService.run_space_turn()的 fallback synthesis 也必须经过_verify_runtime_payload()，失败后若存在可执行next_action_hint，runtime 会先执行该只读 action、重新吸收 observation、再合成并校验；仍失败时返回客户安全verification_blockedpayload，而不是输出未经校验的答案。_render_project_operating_answer_from_turn_state()成为强绑定项目 +ProjectOperatingEvidencePacket的 deterministic renderer，直接用项目全流程 facet、safe actions、blocked actions、answer boundaries 和 coverage 输出状态/推进建议，避免通用 LLM 把结构化 packet 淡化成“无法提供/请补充”的模板话。回归见backend/tests/test_pmflow_ai_object_ledger_packet_i.py与backend/tests/test_pmflow_ai_project_execution_packet_kl.py。 - Packet AC/AD 收口 Space AI 出口完整性：
backend/app/api/rag_ask_contract.py::attach_answer_process_timing不再改写 runtime 真实 step 的blocking/status/duration_ms，只补总耗时和缺失 duration；_customer_source_label明确把project_status / project_operating / project_execution显示为“项目运行态证据”，把internal_projects / project_object_resolver显示为“项目数据”。出口层只做客户安全展示，不再用过程包或来源标签参与 action 选择、对象绑定或 answer shape 重判。回归见backend/tests/test_pmflow_ai_turn_runtime.py与backend/tests/test_rag_route_contract.py。 - Packet 3/4 将追问和主交互展示合同收回 Turn Runtime：
PMFlowAITurnRuntimeService.run_space_turn()现在通过build_turn_presentation_contract_from_runtime_payload()返回turn_presentation_contract，Space API 只在缺失时兜底调用同一 runtime helper，不再保留本地_turn_presentation_contract_from_runtime。backend/app/api/rag_ask_contract.py::ensure_customer_interaction_request()已删除从旧route_plan / missing_fields / limitations / answer_canvas.next_actions反推interaction_request的逻辑，只规范化 payload 中已经存在的结构化请求；默认 sanitize 也不会再因为pmflow_ai_route_plan.needs_clarification=true补出追问卡。回归见backend/tests/test_pmflow_ai_turn_runtime.py，覆盖 Space sanitize 不吃旧 route plan、runtime presentation contract 不吃旧 clarification 字段、选择题 interaction 进入selection_required。 - Packet B 新增
backend/app/services/pmflow_ai_turn_state_reviser.py，并把PMFlowAITurnRuntimeService.run_space_turn()接入initialize_working_state -> select_next_minimal_action -> observe_payload -> revise_from_observation -> verify_runtime_payload -> revise_from_verification的循环骨架。PMFlowAITurnStateReviser负责把旧 hypothesis 兼容成candidate_frames、把 action payload 归一为PMFlowAIObservation、按can_answer_operations修正 sufficiency/customer packet draft，并把验证失败回流state_revisions；select_next_minimal_action()优先消费selected_frame.operation_kind，旧 candidate action 队列只作为兼容 fallback。Packet B 行为回归见backend/tests/test_pmflow_ai_working_loop_packet_b.py，锁定 collection 目标优先读集合证据、系统缺口不得触发用户追问、observation 命中目标后才允许进入可回答状态。 - Packet C 将
backend/app/services/pmflow_ai_evidence_tool_registry.py的 evidence tool payload 升级为显式 observation tool payload：内部 surface/saved ideas/project/status 工具和外部 evidence 工具都返回runtime_observation，由PMFlowAITurnStateReviser优先消费；空工具结果只产生system_evidence_gap，不得触发用户追问。PMFlowAITurnRuntimeService.absorb_evidence()不再因为任意 finding/source 直接设置can_answer_now，可回答状态必须来自 observation 命中can_answer_operations、verification 回流或 final answer。Packet C 行为回归见backend/tests/test_pmflow_ai_observation_tools_packet_c.py，锁定 surface collection observation、空 observation 不放行、sufficiency 优先尊重 WorkingState answerability。 - Packet D 删除旧
evidence_needs -> candidate_actions主控构造，build_initial_turn_state()初始化 WorkingState 后由refresh_action_state_from_working_state()统一生成 action state；select_next_minimal_action()每次选择前都会按selected_frame.operation_kind / operation_gaps / object binding / performed_actions重建队列并覆盖 stale queue。evidence_needs只保留为初始化 operation gap 的兼容输入，不再直接决定工具队列。Packet D 行为回归见backend/tests/test_pmflow_ai_action_selector_packet_d.py，锁定 stale queue 不夺权、初始 action 派生发生在 WorkingState 初始化之后、legacy route policy 不能把外部方向判断拉回内部项目工具。 - Packet E 将目标评估层主输出升级为
goal_frames / operation_gaps：_infer_turn_hypothesis()prompt 不再要求模型以decision_type / evidence_needs为主控输出；PMFlowAITurnStateReviser新增 direct goal frame / operation gap payload 解析，build_initial_turn_state()优先使用 goal frame 的 answer_shape 和 operation gaps，旧decision_type / evidence_needs只在 direct payload 缺失时 fallback。Packet E 行为回归见backend/tests/test_pmflow_ai_goal_frame_packet_e.py，锁定无 legacy 字段也能派生外部证据动作、direct goal frame 能覆盖冲突旧字段、用户可处理 operation gap 能进入 clarification gate。 - Packet F/G/H 将旧字段残余从真实链路继续外移：
build_initial_turn_state()在 direct WorkingState 存在时不再让旧evidence_needs设置 sufficiency flags，也不让 rawneeds_user_input单独生成阻塞追问；_runtime_actions_from_working_state()可消费operation_gaps.system_action_hint做低风险 probe；PMFlowAITurnStateReviser可根据 collection observation 把fact_list误判 frame 修正为list_collection并写入customer_packet_draft；_render_collection_answer_from_working_state()对集合类问题直接渲染对象列表，_verify_runtime_payload()禁止已有可回答 observation 时再显示interaction_request。Packet F/G/H 回归见backend/tests/test_pmflow_ai_turn_runtime.py，覆盖“现在有啥项目”类问题不能被通用补充表单劫持。 - Packet I 新增
backend/app/services/pmflow_ai_turn_object_ledger.py，把 Space AI 每轮真实展示、聚焦或读取到的客户安全对象沉淀为 Session Object Ledger，并由backend/app/api/space_api/__init__.py写入qa_session_states.context_capsules与 QArouting_snapshot.response_payload.object_ledger。PMFlowAITurnRuntimeService.build_initial_turn_state()在下一轮弱指代且目标框架需要单对象 inspection/execution 时，可把 ledger 的current_focus_object升级为binding_strength=session_object_ledger；ActionSelector 在已绑定对象且存在系统证据缺口时先执行低风险inspect_project_status / inspect_internal_projects / inspect_surface_context，不再把系统缺口文案暴露成用户追问。PMFlowAIEvidenceToolRegistry的 surface observation items 只表示真实项目/暂存想法对象，数量摘要不再混入对象列表。Packet I 回归见backend/tests/test_pmflow_ai_object_ledger_packet_i.py，覆盖项目清单后的“这个项目...”续问归位、系统 probe 优先和 ledger 持久化。 - Packet J 为 Session Object Ledger 增加 topic switch 与目标相关性门禁：
_infer_turn_hypothesis()要求object_binding_decision，_primary_object_from_hypothesis()只在目标框架需要单个既有对象且未拒绝旧焦点时才允许session_object_ledger绑定；scope_gap不再被 ActionSelector 归一成项目状态读取，非单对象guide_execution不再因为 ledger 存在就读取旧项目。PMFlowAIEvidenceAbsorber在吸收前过滤 off-topic 项目证据，无强项目对象时旧项目 status/surface facts 不进入known_facts。Packet J 回归继续见backend/tests/test_pmflow_ai_object_ledger_packet_i.py；答案出口内部术语清理由 Packet AO/AP 的 Answer Quality Gate 统一负责。 - Packet M/N 强化持续 runtime loop 与线程工作区记忆：
assess_sufficiency()在最终合成前会检查未执行的可执行系统 gap，先执行 read/probe 再回答；_thread_workspace_from_context()可从结构化thread_workspace_update/object_binding_decision创建或延续PMFlowAIThreadWorkspace，合并PMFlowAITurnDelta的 answers/supplement，并通过_workspace_payload_from_turn_state()和ResearchWorkspace.collected_inputs/pmflow_ai_thread_workspace持久化到qa_session_states.active_workspace。Packet M/N 回归见backend/tests/test_pmflow_ai_turn_runtime.py。 - Packet O/P 补齐开放判断出口与批量追问：
_render_open_judgement_answer_from_turn_state()在无强项目绑定、允许带假设回答时，直接消费 workspace slot、success criteria 和非阻塞缺口生成客户安全初判，不再因没有 evidence findings 退回“不能判断”；_build_thread_workspace_clarification_payload()与_build_generic_clarification_payload()会把 workspace pending questions 和 user-actionable gaps 批量组织为 stepper。Packet O/P 回归见backend/tests/test_pmflow_ai_turn_runtime.py。 - Packet K/L/Q/R/S/T 新增
backend/app/schemas/project_operating_evidence.py、backend/app/services/pmflow_ai_project_execution_observation.py与backend/app/services/pmflow_ai_evidence_coverage_gate.py，并在backend/app/services/pmflow_ai_turn_runtime_service.py接入项目推进答案 verification。项目状态工具现在读取 PMFlow OS truth-state / execution-summary 后输出项目阶段、当前执行任务、验收/发布门禁、阻塞项、候选任务和项目记忆摘要，并通过structured_evidence.project_operating_evidence_packet(s)输出项目全流程 evidence packet，不再把执行态压扁为active；Packet R 后该 packet 由独立 facet readers 读取指挥台、工作台、决策待确认、执行、测试质量、发布增长、团队、记忆、风险和动态，覆盖reviewerRouting / feed / testRuns / releaseSignals / recentProgressEvents / recentDeliveries / artifactReview / deliveryArtifacts等 PMFlow OS 投影。Packet S 后PMFlowAIEvidenceAbsorber会把 structured evidence 合并进TurnState.evidence_state.structured_evidence，coverage gate 在status_answer / execution_guidance + current_project下只读 packet facet coverage profile，不再读中文 finding 文案；覆盖项目阶段、当前执行、任务队列和阻塞/门禁不足时先触发只读inspect_project_status。Packet T 后最终合成会生成project_operating_answer_verification.v1，把safe_next_actions、blocked_actions、missing_or_partial_facets同步约束到正文、CustomerEvidencePacket 和 answer_canvas。Packet K/L/Q/R/S/T 回归见backend/tests/test_pmflow_ai_project_execution_packet_kl.py。 - 结构化追问提交在
backend/app/api/space_api/__init__.py只转为PMFlowAITurnDelta的原始问题、answers 和 supplement；intent_hint / evidence_mode / primary_subject已从 TurnDelta schema 物理移除，且不能在 API、runtime delta 或 evidence tool registry 恢复。不再根据 question_id、按钮文案、中文关键词或选项值推导意图、来源或主题。backend/app/services/pmflow_ai_turn_runtime_service.py的目标评估器负责判断用户目标、对象锚点、goal_frames / operation_gaps / primary_object / freshness_required；visible projects 只能进入 context object，不能因为空间里只有一个项目就升级为 primary object。项目查找、MVP、风险、容量、surface 和 external/kernel 只能作为 evidence tool adapter 接入，不能恢复成/space/ai-concierge/ask的分支主链。 - 用户侧问答展示层由
backend/app/schemas/customer_answer.py、backend/app/schemas/context_workspace.py与backend/app/services/customer_answer_presentation_service.py承接：CustomerEvidencePacket是客户可见 answer composer 的唯一输入合同，answer_type已开放为 runtime display shape；ResearchWorkspace / ContextCapsule负责把“当前项目 + 研究主题 + 候选集合 + 下一步”沉成可续问对象，不再只靠 transcript。Packet 6 后/space/ai-concierge/ask是薄入口：先调用SpaceRuntimeContextBuilder重建客户安全空间上下文，再进入PMFlowAITurnRuntimeService.run_space_turn()，随后只做 QA session 持久化、customer sanitize 和返回；不再经过 route planner、surface direct、planner direct、TaskGraph 或 API 层 presentation 分支。Space runtime 的interaction_request与turn_presentation_contract来自 TurnState，不再由rag_ask_contract.ensure_customer_interaction_request()/apply_turn_presentation_contract()从旧 route plan、正文、limitations 或 next_actions 反推。Presentation 不再按旧 answer_type 模板作文，Composer/Verifier 只消费 final TurnState/customer-safe packet，不再直接吃System Snapshot / User Snapshot / Project database / raw JSON / 字段名；返回内容包含answer_canvas、customer_interaction_context_packet、research_workspace与可带duration_ms / total_duration_ms的answer_process_packet，用于 Codex 式内容组织、续问对象锚定、workspace 恢复、前端动态过程和耗时归因展示。 - Packet U/V 后，展示层进一步移除伪过程和伪来源：
CustomerAnswerPresentationService.build_answer_process_packet()只保留显式process_steps/runtime_steps，不再按answer_type生成 renderer steps；rag_ask_contract._build_customer_direct_payload不再为 planner/customer policy 直答写固定 steps；Agent OS 工作台只展示agent_os_steps，无来源时保持空来源，禁止补PMFlow 上下文或个人空间。 - Space AI 追问选项现由
PROMPT_SPACE_AI_INTERACTION_OPTION_PLANNER在开放合成答案之后生成，输入用户原话、customer-safe packet、已生成答案和 fallback interaction request，输出贴合本轮语义的questions[].options[]；这层只做客户可见候选选项规划，不做路由、检索、写入或事实确认。 backend/app/services/pmflow_ai_evidence_tool_registry.py是 Space AI Evidence Tool 注册层：Packet 5 当前实现surface_context_tool / saved_ideas_tool / internal_project_evidence_tool / project_object_resolver_tool / project_status_evidence_tool / external_query_evidence_tool，只返回PMFlowAIEvidenceToolResult或 evidence payload，不得直接给用户最终答案，也不得生成 implication/judgement。Packet Q 后PMFlowAIEvidenceToolResult.structured_evidence可携带客户安全结构化 evidence packet；project_status_evidence_tool内部消费pmflow_ai_project_execution_observation.py，输出ProjectOperatingEvidencePacket与兼容 findings，项目查找和项目状态旧服务已删除，逻辑收口到 registry 内置只读 adapter；MVP、风险、容量后续也只能通过 registry 被 TurnState action 调用，再由PMFlowAIEvidenceAbsorber吸收。- PMFlow AI Agent OS 后，
backend/app/api/space_api/__init__.py的/space/ai-concierge/ask只做兼容转接；新产品入口是/space/pmflow-ai和/space/pmflow-ai/threads*。前端PMFlowAIWorkspace展示 thread 列表、连续 transcript 和每条 assistant message 的客户安全 work log / artifacts / actions / confirmations；旧SpaceAIConcierge浮窗已删除为个人空间入口。 - query semantics 上游真源也已继续收口：
PROMPT_RAG_QUERY_SEMANTICS+mixin_core_intent.py现在只把query_profile(needs_private_context, needs_freshness, confidence)与BusinessSemanticFrame写回运行时，query_profile.referenced_objects已从 production backend 移除，不再参与 route snapshot、session scope continuity 或任何 read-side 分流；subject_focus只作为历史结构化输入兼容字段进入shared_utils.py的实体归一化，不得重新作为 route/session 二次拍板来源。 WorkflowSemanticPlanner冷启动 bundle 现已补上四挡interaction_boundary合同：decision_schema.py定义InteractionBoundaryPacket / AnswerControlDecision / SelfReviewResult，planner 会把显式status / recommendation / draft / execute边界与识别出的workflow_plans合成answer_control，并把requested_level / forbidden_levels / effective_level / blocked_workflows落进 bundle diagnostics。对“只给建议/先别出草稿”这类 recommendation-only 问法，planner 允许识别到底层signal_source_flow，但最终会按 boundary 把 bundle 降回query_flow，避免误滑到draft_pending_confirm；旧的无 boundary bundle 仍走兼容透传，不会压坏既有写链路。AdaptiveRAG与 AI PMO 主链里几个最容易回流硬语义的入口也已继续收口：project progress fast answer 只按结构化interaction_level / goal_kind / resource_role / expected_answer_shape决定是否绕开 fast path；casual chat 直答只消费message_intent=casual_chat的结构化结果；typed executor 对project_lookup直答只认结构化message_intent=project_lookup(_question) + query_semantics，不再被项目列表/项目清单/项目#123这类词面带偏；signal 数量和“先分析再入库”这类分析模式也只读requested_count / analysis_mode / operation_intent_contract，不再从自然语言里额外解析“3个信号/先分析后入库”。- internal config 这条 read-side 也继续结构化了：
AdaptiveRAGTargetResolutionMixin不再把泛化resource_role=config自动映射成config:system，必须依赖显式object_binding区分config:model_routing与config:mcp_template_center；对应的 deep guard 直答也拆成模型路由和 MCP 配置两个子口径。 - 项目化影响判断不再必须依赖外部实时抓取才能保住“直接影响”那一行：
AdaptiveRAGFastAnswerProjectMainMixin现在会根据goal_kind=impact_judgment / expected_answer_shape=impact_chain保留结构化external_impact渲染，避免 WMS/税控/评论流这类高频影响问法退回普通项目周报。 AdaptiveRAG的 follow-up clarification 现在也继续往结构化真源收：mixin_followup_anchor.py不再在 runtime 用“第几条/标签名/最近回复 match_text”去消费pending_clarification；query_route_selection / followup_anchor_selection都先经过统一结构化澄清解析，再把选中的source_policy_hint / query_semantics_overrides / selected_qa_id透回mixin_answer_mainline.py。这样用户说“内部那个 / 第二条”后，主链会带着明确的 route override 或 anchor QA id 继续，不会再把原问题拿回去后靠最近回复词面重猜。- internal
Operation Contract / Target Resolver已按 business-frame-first 收口：mixin_target_resolution.py现在只消费goal_kind / target_scope / resource_role / project_binding / object_binding / expected_answer_shape来判定project / task / signal / config / feature / doc / user绑定，不再让subject_focus / referenced_objects这类 coarse 字段单独拍板内部对象类型。 - internal object/domain clarify 继续往下一层时，当前由
backend/app/services/adaptive_rag_service/internal_domain_catalog.py提供 catalog 真源；catalog 已覆盖project / task / signal / config / feature / doc / user这批 internal domain。mixin_target_resolution.py会在只确认大域（如resource_role=config或resource_role=doc）但尚未唯一落到子对象时生成candidate_summary，mixin_answer_payload.py/mixin_answer_precheck.py/mixin_followup_anchor.py再把它转成internal_target_selectionpending clarification，并在 follow-up 后回填query_semantics_overrides继续主链。 AdaptiveRAGread-side 那批旧 compatibility consumer 也已一起收口：shared_utils.py统一提供BusinessSemanticFrame -> structured entity/project binding归一化，mixin_deterministic_query_core.py、mixin_fast_answer_project_main.py、mixin_fast_answer_semantic_p1.py、mixin_deterministic_query_count.py、mixin_deterministic_query_list.py、mixin_retrieval_router_db.py、mixin_deep_guard_answer.py、mixin_answer_mainline.py、mixin_manifest_feature_p2.py现在只看这层结构化结果决定project / task / signal / config / feature / doc / user的快答、检索、deep guard 与 internal query plan；subject_focus仅在shared_utils.py作为上游旧结构化输入的实体类型补充，不允许各 consumer 分散读取或恢复referenced_objects二次业务分流。ProjectOperatingContext当前由project_operating_context_builder.py统一组装：最小范围固定为“当前项目 + 当前仓库摘要 + 页面/线程锚点”；world model 建完后会回填resolved_project_id / repo_scope，再供Query Route Gateway、mixin_project_fit_brief.py与 answer payload 消费。analysis_packet现作为单独的 analysis layer 增量接到问答主链：analysis_packets.py定义project_fit_analysis / external_impact_analysis / internal_explain_analysis / followup_explain_analysis这组 typed packet，analysis_packet_builder.py只消费ProjectOperatingContext / ExecutionRecipe / fit_brief / external_recommendation / InternalContextPacket / clarification等 runtime truth 组包，不从回答正文反推。当前 richer packet 会把current_subject / candidate_position / rejected_position / reason_chain这类对象级分析字段显式落盘，避免 presenter 再用泛句补戏；共享 richer project snapshot 由analysis_project_snapshot_loader.py统一补tasks/signals + description/summary + analysis_object_refs，供 AdaptiveRAG payload 和 Feishu presenter 复用。最新 snapshot loader 已 fail-closed：没有真实结构锚点时，不再从 task/signal 标题描述推fit_candidate_* / fit_rejected_* / primary_*关系，也不再生成task_signal_scores / signal_task_links这类 token-overlap 产物；builder 主路径只消费显式 object ref、精确文本绑定和唯一候选这三类非语义结构证据。analysis_packet_builder.py里原来那层“工程任务/信号源占位/展示层”词面 second-guess 已继续收掉：generic fallback、direct-match generic 分支和 internal explain target fallback 现在都不再靠_looks_like_engineering_task / _looks_like_signal_placeholder / _task_presentation_hint / token-overlap / partial-name match去反驳上游对象关系；没有显式 ref 时只能诚实降级，最多允许“唯一候选”这种纯结构兜底。- internal
query.answer的下一阶段基线已经确认：Query Route Gateway之后不再直接靠快答分支拍板，而是统一进入Operation Contract -> Target Resolver -> Query DSL Plan -> InternalContextPacket -> 白名单受控执行器 -> semantic facts 优先 -> verifier主链；InternalContextPacket由backend/app/services/adaptive_rag_service/internal_query_context.py定义，并作为 internal executor / verifier / runtime summary 的运行时单一真源；相关设计规格见docs/superpowers/specs/2026-04-15-internal-query-dsl-plan-design.md与docs/superpowers/specs/2026-04-15-semantic-facts-read-model-design.md。 - internal 主链现已补上 packet 预检：
mixin_answer_mainline.py在组完InternalContextPacket后，会先拦截missing packet / missing operation contract / target clarify / missing query plan contract这类上下文不完整场景，再决定是否进入 deterministic fast path、internal model-config fast path、provider-neutral project semantic fast path 或 retrieval；query_semantics对operation_contract / target_resolution / query_plan的镜像也已收口到单点兼容写回。 - external
query.answer已完成 second-pass 收口：Query Route Gateway之后统一进入backend/app/services/external_query_service/，按ProjectFitBrief -> External Query Planner -> External Query Gateway -> External Provider Registry -> MCP adapter 优先 -> bounded fallback live search -> external answer verifier -> ExternalContextPacket -> ExternalAnswerPresenter执行；planner 会显式消费fit_brief_summary / project_scope_hint / recommendation_goal / project_object_anchors / signal_source_objectives，其中 formal object anchors 优先来自ProjectFitBrief.signal_source_anchors，项目任务目标锚点来自ProjectFitBrief.signal_source_objectives，不再拿 feature capability 名称或固定类别模板直接冒充 formal project object；payload 会拆出fit_brief / external_recommendation / research_workspace，AdaptiveRAG external probe、freshness fetch 与 external route retrieval 已接到这条链上，并对 external sources 执行 fail-closed 过滤。当前 planner 还补了 recommendation query seed guard：命中“推荐外部信号源”问法时，会优先把当前项目任务目标和 formal anchor 驱动的 query 排到search_queries前面，避免 structured planner 用industry best practices / external data sources这类泛化词覆盖掉更贴当前项目的 seed query；同时interaction_level=recommendation会从统一语义规划层经answer_control/source_policy_hint透传到ExternalQueryPlan，recommendation 分支不再由 presenter 本地 cue list 单独拍板。presenter.py使用独立 external-only prompt 家族，并强制区分verifier_blocked / no_relevant_results / retrieval_failed / indirect_only，不再回流industry_trend/external_trendscene prompt；对 recommendation ask，presenter 现在会先生成SignalSourceRecommendationPacket(candidates + caveat)，再渲染成业务中文的1/2/3候选建议；对竞品/比较类问法，即使impact_status=indirect_only，也会继续保留候选级ResearchWorkspace(candidate_set_binding/candidate_items/analysis_dimensions)并输出带不确定性标注的 compare，而不是直接短路成“不能判断”。相关设计规格见docs/superpowers/specs/2026-04-15-external-query-gateway-design.md。 - non-plan recommendation -> signal-source write 当前已补齐结构 carry-over：external recommendation 不再只返回文本，
SignalSourceRecommendationPacket里的 candidate set 绑定会经reply_anchor_qa_context + action_contract一路沉到signal_source.onboard执行结果，并在 follow-up把推荐的写进系统 / 确认入库时由mixin_followup_project_signal_resume.py重建回operation_intent_contract(candidate_set_binding/candidate_refs/project_binding)。signal_source.onboard直写链会在 signal 已 materialize 且项目关联成功后把业务结果视为succeeded，同时仅通过post_process_status / signal_source_workflow.status暴露后续 onboarding/manual 状态；ai_pmo_reply_renderer.py也会把批量 signal source 直写回执渲染成自然业务中文，而不是 requirement draft 或 pending-manual 漂移文案。 - QA session detail 持久化现已补齐
routing_snapshot.response_payload：mixin_core_intent.py在写QARecord时会把project_operating_context / execution_recipe / fit_brief / external_recommendation / analysis_packet / handoff_mode / can_enter_plan / recommended_next_step一并归档，mixin_qa_session_list_ops_p1.py再将其投影给 AI Steward 历史回放，避免即时回答与 session detail 出现两套合同。 - Feishu QA 呈现现与共享 analysis packet 对齐：
mixin_receive_routing.py会先基于project_operating_context读取当前项目实体快照，再调用analysis_packet_builder.py生成共享analysis_packet，之后才进入“受控改写 -> blocked-entity 校验 -> deterministic fallback”的渠道 presenter。运行时会同时校验 fixed opener、标签摘要、内部 packet 术语（如analysis_packet / missing_mapping / next_step / focus_objects / reason_chain）以及未入选实体泄漏；若任一条件不满足，则 fail-closed 回退到 packet-based deterministic 文本。同时保留draft_pending_confirm / requirement_plan_followup / pending_manual优先走 action card，避免把飞书回归修成单纯文案 bypass。最新qa_direct还新增了一层中文化 presentation policy：内部现状问题若原始 answer 泄出Project database / signal_total / 当前盘面 / 建议动作 / External Freshness Guard这类英文或内部术语，会优先回退成共享 packet 文本，并最多只追加一行中文来源说明；外部信号源 recommendation ask 若已有推荐正文，则优先直出推荐正文，再补同样的中文来源说明；对 sparse project-fit 这类 packet，deterministic fallback 也会转成人话解释，不再原样暴露 packet 缺口字段。 - Feishu
project.create预填与 QA fallback 现继续去 lexical 化：project create 相关字段不再由_extract_project_scope / _extract_project_intent_fields / _is_contextual_project_request / heuristic_*之类 helper 从用户原话里扣词，而统一消费_extract_project_prefill()的结构化suggested_name / suggested_description / suggested_scope；QA fallback 也不再用_pick_feishu_entity_by_keywords按“摘要/拉取/推送”等关键词挑实体，改成只按共享 packet/select entity 的结构顺序兜底。 analysis_packet_builder.py的 sparse project-fit fallback 也往结构化真源继续收：当前如果preferred/rejected对象缺失，会直接按“结构对象缺失”降级，不再靠“解释层/当前主链”这类占位词表决定 sparse fallback 分支。- unified handoff 当前补有最小 rollback guard：
shared_utils.py提供 env flag 解析，mixin_query_route_gateway.py/mixin_answer_retrieval.py/mixin_answer_payload.py分别支持独立关闭execution_recipe增强、fit_brief + external_recommendation构建、以及默认offer_after_answer呈现，不需要回退 ingress/context 真源。 analysis_packet当前也带独立 rollout guard：PMFLOW_ENABLE_ANALYSIS_PACKET_FAMILY=0时，AdaptiveRAG payload / session replay / Feishu presenter 会回退到旧 handoff truth + 旧 presenter，避免影响project_operating_context / execution_recipe / fit_brief / external_recommendation真源。query.answer的客户可见回答展示也已确认独立基线：运行时证据必须拆成customer_safe与admin_debug双视图，客户侧统一消费中文化display_label，禁止直接暴露raw_source_label、机器来源或内部术语；external answer presenter 的 prompt 输入也必须保持 external-only，仅允许消费经 verifier 通过的外部证据摘要与计划摘要；相关设计规格见docs/superpowers/specs/2026-04-15-answer-presentation-policy-design.md。- 下一阶段的全量业务结构化基线已确认：在
InteractionBoundaryPacket / AnswerControlDecision之上继续引入BusinessSemanticFrame、AnswerShapeContract、RecommendationCandidateSet、ClarificationDelta / CorrectionDelta与OperationIntentContract，把 recommendation、clarification/correction、casual chat、non-planmode direct signal-source write 统一收口到同一语义真源；并以 58 条广覆盖业务语义矩阵作为完整回归基线、以docs/superpowers/specs/2026-04-20-business-golden20-refresh.md里的 20 条当前项目池黄金案例作为日常 P0/P1 spot check 集。 semantic_fact_service已升级为统一基线：semantic_facts / semantic_fact_extraction_runs读模型、ORM 提交钩子自动收集对象变更并 upsertingest_events(channel=semantic_fact_extract)、统一 worker 抽取/失活，以及 internal query 的 facts-first 主路径。- semantic facts 自动抽取覆盖
project / task / signal / document / user / requirement(charter) / release / review八类业务对象；manual retry 与 backfill 走同一队列、同一 worker，不再开旁路。 - MCP 模板接入中心已接入
backend/app/api/mcp_api/+backend/app/services/mcp_config/：租户内统一保存 MCP 模板 catalog、server 配置 bundle、命令预览、validate 结果、runtime probe 与pending_local_apply / user_confirmed / not_required状态；backend_direct模板既支持远程streamable_http（如microsoft_learn），也支持后端内建backend_adapterruntime（如duckduckgo），本地stdio模板只输出 Local Bridge/兼容 host 接入说明，服务端不直写客户机器~/.codex/config.toml。 query_route_memories作为独立路由记忆表，承接QARecord的 route audit、feedback 回灌和离线评估样本，不复用原 answer-quality 资产表。query_route_memories现已补 manager-only 只读治理入口：backend/app/api/rag_api/routes_route_governance.py+mixin_query_route_governance.py负责/rag/query-route-governance/summary|items|items/{id}，统一暴露reply_contract / probe_snapshot / query_profile / feedback_outcome审计快照，但 v1 不做在线自动调路由。backend/tests/test_runtime_structured_semantics_contract.py与backend/tests/test_feishu_pipeline_queue_contract.py共同守门 runtime 结构化语义收口，锁定飞书入口、signal capture、reply/runtime routing 不得回流旧词法拍板 helper。backend/tests/test_external_query_planner.py现已补进 external fallback 回归，锁定 planner fallback 只能产出 generic external plan，不得再根据weather/news/public_model/...之类对象映射在运行时硬分 query_kind。
5. 前端库存
5.1 页面分组
frontend/src/pages/ai-steward/（legacy redirect / 迁移占位，不再作为产品页入口）frontend/src/pages/scheduler-center/frontend/src/pages/project-board/（legacy 项目控制面，用户入口已下线；旧/projects/:id/board由 router 重定向到 PMFlow OS 主链，待确认后物理删除）frontend/src/pages/projects/frontend/src/pages/users/frontend/src/pages/recipes/frontend/src/pages/feishu-config/frontend/src/pages/ai-config/frontend/src/pages/model-routing-config/（隐藏 Route Lab，只读函数级路由诊断）frontend/src/pages/ai-config/mcp-config/frontend/src/pages/query-route-governance/frontend/src/pages/task-brief-center/frontend/src/pages/task-brief-runs/frontend/src/pages/task-brief-template/frontend/src/pages/charter-detail/frontend/src/pages/contract-sync-board/frontend/src/pages/dashboard/frontend/src/pages/knowledge-graph-context-board/frontend/src/pages/semantic-facts-board/frontend/src/pages/login/frontend/public/brand/（PMFlow Logo / favicon 源资产）frontend/public/avatars/（PMFlow 系统默认账号头像源资产；当前提供 3 张男性、3 张女性默认头像）frontend/src/components/brand/frontend/src/components/login/frontend/src/features/pmflow-os/pages/frontend/src/features/pmflow-os/components/（含ProjectCopilot.tsx项目级 AI 副驾统一入口）frontend/src/features/account-settings/frontend/src/features/personal-space/components/frontend/src/pages/skill-tasks/frontend/src/pages/skills/frontend/src/pages/user-profile/frontend/src/pages/user-skills/frontend/src/pages/workload-detail/frontend/src/pages/workloads/
5.2 API 与共享模块
frontend/src/api/aiPmo.tsfrontend/src/api/aiSteward.tsfrontend/src/components/brand/PMFlowLogo.tsx与frontend/src/components/brand/PMFlowUserAvatar.tsx（PMFlow Logo 与本地品牌头像统一入口；应用壳、营销页、登录视觉和 favicon 读取同一组品牌图，账号头像不依赖随机外链服务）frontend/src/components/marketing/frontend/src/components/login/frontend/src/components/layout/LazyBoundary.tsxfrontend/src/components/ai-steward/frontend/src/components/ai-steward/QAConversationStatusBar.tsxfrontend/src/components/ai-steward/QAResponseMetaCard.tsxfrontend/src/components/ai-steward/QAResponseMetaCard.test.tsx- AI Steward 问答展示现分两类：
FloatingQAChat.tsx、QAConversationStatusBar.tsx、QAResponseMetaCard.tsx保留为旧浮窗/历史 QA 兼容组件；个人空间 PMFlow AI 产品面由frontend/src/features/personal-space/components/PMFlowAIWorkspace.tsx承接，调用/space/pmflow-ai/threads*并展示连续 transcript 与客户安全 work log。当前产品壳不再全局或在 Space 挂载FloatingQAChat/旧聊天气泡。 - 登录页与营销页仍共享
frontend/src/components/marketing/的部分视觉基线；公开登录页现改由frontend/src/components/login/目录承载，其中LoginExperience.tsx负责登录壳层、LoginForm.tsx默认承接手机号验证码登录/自注册，用户名密码仅作为兼容入口，LoginWorkflowVisual.tsx负责左侧场景、loginScene.ts/loginMath.ts拆出展示配置与路径几何、login.css负责登录页专属样式边界，frontend/src/pages/login/LoginPage.tsx继续负责真实鉴权、错误态和 redirect 提示；未登录访问/会经frontend/src/router/index.tsx直接重定向到/login，无显式redirect的成功登录现在默认进入/command-center。 - 前端主包治理已切到“同步首屏最小集 + route/page-section lazy + 统一身份边界”模式：
frontend/src/router/index.tsx保留LoginPage / Layout这组同步入口，其余后台重页面通过React.lazy + Suspense懒加载；统一 fallback 在frontend/src/components/layout/LazyBoundary.tsx，统一身份/权限边界在frontend/src/auth/RouteBoundary.tsx。P0 公共壳冻结后，大模块 route 归属为：/space归 Space lane，真实/project-launch是启动层入口，/pmflow-os与/change-review / /structured-extraction / /memory-writeback-result / /execution-bridge / /release-growth归 Main Flow lane，/me归 Account Settings lane，/ai-config是客户空间 AI 使用设置，/platform/*是 PMFlow 平台 AI Operations Console；空间管理入口使用 workspace role，平台运营入口使用platform_context.capabilities，后端 JWT/RBAC 仍是最终校验；/settings当前仅为 reserved route、尚未实现，新增必须由 Shell / Integration owner 串行处理。/ai-steward只做 legacy redirect：tab=create迁到/project-launch，tab=engine迁到/ai-config，tab=feedback-center有project_id时迁到/release-growth?projectId=<id>、否则迁到/space，其它 legacy tab 迁到/space；导航不再暴露该入口。/command-center保留免登录产品预览壳；/space、真实/project-launch、主链 standalone 与/me均需登录；/project-launch?demo=1或?dataSource=demo是唯一匿名启动台演示入口。frontend/src/features/personal-space/作为登录后的空间层入口，承载继续推进、待我确认、AI 正在推进、暂存想法、草案箱与新建项目入口。frontend/src/features/project-launch/真实模式默认调用pmflow-launchdraft/confirm API，创建成功态主动作跳转后端返回的/pmflow-os?projectId=<id>，401/无 token 必须保存 pending input 并提示重新登录，不展示 Axios 原始错误；只有显式 demo 才启用本地 mock 状态机。frontend/src/features/account-settings/作为登录后的 Account Settings 产品域，通过/me提供个人资料、默认语言、AI 回答深度、证据展示偏好、待确认/执行回写/发布门禁/失败提醒通知偏好和账户操作入口；该域通过frontend/src/api/accountSettings.ts建立前端合同，有 token 时优先调用已挂入backend/app/api/router.py的backend/app/api/account_settings_api/GET /account-settings/me/PUT /account-settings/me同步当前账号偏好，后端不可用时明确回落本机暂存，不修改 OAuth/JWT/auth core。frontend/src/features/pmflow-os/作为登录后的真实项目产品域，通过PMFlowOsProvider在应用根部挂载共享 truth store，并提供CommandCenter / ChangeReview / WorkGraph / ExecutionBridge / ReleaseGrowth / TeamLayer / ProjectMemory / Account主入口；当前 PMFlow OS 页面已切到专属轻壳，桌面端默认隐藏旧 TopBar，并由frontend/src/features/pmflow-os/components/PMFlowOsFrame.tsx统一承接“左侧稳定导航 + 顶部上下文条 + 中央视图 + 右侧 AI 副驾”的全局骨架，同时承接项目内个人空间 / 当前项目名面包屑和项目切换器；账号退出登录由frontend/src/features/pmflow-os/components/AccountControls.tsx统一承接桌面头像下拉、退出确认与移动端 bottom sheet，正式应用壳移动端底部导航统一由frontend/src/features/pmflow-os/components/MobileBottomNav.tsx承接。 - PMFlow P8 Review Decision Loop 已由
big-module-integration-p8收口：Main Flowtruth-state.reviewerRouting与POST /pmflow-os/change-sets/{change_set_id}/review-decisions是 reviewer decision / approval audit 真源；Space 只读消费为/space的review_attention下一步队列；Account 只提供getReviewDecisionNotificationPreference页面内提醒偏好；P8 未新增 route/nav，未接真实通知中心，不自动 assign reviewer 或 commit ChangeSet。 frontend/src/features/personal-space/PersonalSpacePage.tsx是空间首页与 PMFlow AI 工作台视图层，frontend/src/api/space.ts是空间工作面只读聚合 API，frontend/src/api/aiSteward.ts提供/space/pmflow-ai/threads*用户对话 API 和/space/pmflow-ai/runs*兼容/debug API 封装。空间首页继续展示 nextActionQueue、执行准备度、待确认、发布关注、发布后反馈、下一轮迭代、执行中、暂存想法、草案箱和最近项目；这些 Space 派生项统一携带客户安全 object anchor 并只跳转主流程，不直接写 Project Memory、ChangeSet、execution event 或 release/growth 对象。/space/pmflow-ai是 PMFlow AI 主入口，PMFlowAIWorkspace展示左侧 thread 列表、中间连续 transcript、底部 composer、每条 assistant message 的 work log / artifacts / actions / confirmations；右下角聊天气泡和旧SpaceAIConcierge浮窗已删除。- PMFlow AI 前置研究闭环已加硬门禁：
backend/app/services/pmflow_ai_agent_runtime/agent_evidence_quality.py是 Source Quality Gate 与 Claim Quality Gate 的共同真源，agent_evidence_normalizer.py / agent_state_critic.py / agent_answer_runtime.py / pmflow_ai_operating_runtime/run_service.py必须共同过滤页面壳、导航、广告/联系片段、HTML entity、链接密集文本、source candidate、generic source wrapper 与 raw page fragment；ResearchNote 阈值和最终答案只能消费 gated claims。/space/pmflow-ai/threads*的 assistant message 同时返回work_log / work_log_full / work_log_meta，前端显示可见/总步骤数并可展开全部客户安全步骤。 - Space PMFlow AI 的用户侧主入口已切到 Thread + durable Agent OS：
backend/app/api/space_api/__init__.py的/space/pmflow-ai/threads*负责用户可见 thread/message，内部每条 assistant turn 调用backend/app/services/pmflow_agent_runtime/service.py::PMFlowAgentRuntimeService.run_space_turn()先创建pmflow_agent_runs，再委托backend/app/services/pmflow_ai_agent_runtime/agent_run_service.py::PMFlowAIAgentRunService.run_turn()执行动态 Agent loop。主链由agent_goal_frame_runtime.py生成 GoalFrame，agent_step_planner.py规划单步，agent_tool_registry.py执行 typed read/probe tool，agent_evidence_normalizer.py把 raw observation 归一成 source_quality、claim/boundary/gap ledger，agent_state_critic.py判断是否继续并声明 retry 是否会改变状态，agent_answer_runtime.py只基于 terminal answer state 和 ledgers 生成客户安全回答；PMFlowAgentRuntimeService只负责 durable run 真源和投影到pmflow_agent_steps / observations / artifacts / verifications / memories。兼容/space/ai-concierge/ask和/space/pmflow-ai/runs*不能重新成为产品主控。backend/app/services/pmflow_agent_runtime/loop.py与answer.py只保留 legacy compatibility，不能恢复为 WorkspaceBinder/固定 Planner/ExecutorRegistry/AnswerArbitrator 主控；specialists.py/pmflow_ai_operating_runtime/*作为 project operating tool modules 被调用但不能覆盖最终 answer。客户 payload 和历史保存必须优先使用thread_id / messages / assistant_message(content, work_log, artifacts, actions, confirmations)。 - 旧 Space AI Concierge / Turn Runtime 证据规划链路保留为兼容资产：
pmflow_ai_turn_runtime_service.py、pmflow_ai_evidence_tool_registry.py、pmflow_ai_evidence_absorber.py、customer_answer_presentation_service.py可被 Agent OS tools/renderers 复用，但不得再作为/space/pmflow-ai主控，也不得让前端回到“普通聊天气泡 + 展开 answer canvas”的旧形态。新增能力优先接入 Agent OS loop。 - Space AI 容量/工作量/人机协作能力只能经 TurnState evidence tool adapter 接入。
SpaceRuntimeContextBuilder可提供可见项目和 capacity surface hint；旧SpaceCapacityAssessmentService直出服务已删除，容量证据目前由inspect_surface_context读取space_capacity_packet.v1后以 facts/gaps/sources 输出，由 EvidenceAbsorber 和 State-based Answer 合并。该链路不写 capacity override、不自动派任务、不请求审查、不写 ChangeSet。 - Space AI 项目风险必须通过
PMFlowAIEvidenceToolRegistry.inspect_project_status消费 PMFlow OS truth-state 与 execution-summary 的项目执行态证据；旧ProjectRiskAssessmentService直出服务已删除。风险 facts、依据和缺口只能作为 tool evidence 进入 EvidenceAbsorber；该链路不写 review decision、不 commit ChangeSet、不发起执行或发布；风险问答不得退回surface_direct项目概览。 - 项目风险问答范围解析由 TurnState 统一承担：强项目锚点才允许单项目分析；没有强锚点时可把可见项目作为 evidence scope 扫描，但不能把 surface 项目数量或最近项目当作结论。只读风险扫描默认给结果和 scope 说明，不先追问；涉及处理、分派、提交或发布时再进入 confirmation gate。
- 前端主包治理已切到“同步首屏最小集 + route/page-section lazy”模式：
frontend/src/router/index.tsx保留LoginPage / Layout这组同步入口，其余后台重页面通过React.lazy + Suspense懒加载；统一 fallback 在frontend/src/components/layout/LazyBoundary.tsx。P0 公共壳冻结后，大模块 route 归属为：/space归 Space lane，/project-launch是启动层入口，/pmflow-os与/command-center / /change-review / /execution-bridge / /release-growth归 Main Flow lane，/me归 Account Settings lane，/settings当前仅为 reserved route、尚未实现，新增必须由 Shell / Integration owner 串行处理。frontend/src/features/personal-space/作为空间层入口，通过登录后的/space提供空间入口，承载继续推进、待我确认、AI 正在推进、暂存想法、草案箱与新建项目入口。frontend/src/features/project-launch/作为首次进入页 / 新项目启动台产品域，通过登录后的真实/project-launch提供启动入口（显式?demo=1或?dataSource=demo可匿名演示）；Phase B 后默认调用真实pmflow-launchdraft/confirm API，创建成功态主动作跳转后端返回的/pmflow-os?projectId=<id>，只有显式?demo=1或?dataSource=demo才启用本地 mock 状态机。frontend/src/features/account-settings/作为 Account Settings 产品域，通过/me提供个人资料、默认语言、AI 回答深度、证据展示偏好、待确认/执行回写/发布门禁/失败提醒通知偏好和账户操作入口；该域通过frontend/src/api/accountSettings.ts建立前端合同，有 token 时优先调用已挂入backend/app/api/router.py的backend/app/api/account_settings_api/GET /account-settings/me/PUT /account-settings/me同步当前账号偏好，后端不可用时明确回落本机暂存，不修改 OAuth/JWT/auth core。frontend/src/features/pmflow-os/作为新产品域，通过PMFlowOsProvider在应用根部挂载共享 truth store，并提供CommandCenter / ChangeReview / WorkGraph / ExecutionBridge / ReleaseGrowth / TeamLayer / ProjectMemory / Account主入口；当前 PMFlow OS 页面已切到专属轻壳，桌面端默认隐藏旧 TopBar，并由frontend/src/features/pmflow-os/components/PMFlowOsFrame.tsx统一承接“左侧稳定导航 + 顶部上下文条 + 中央视图 + 右侧 AI 副驾”的全局骨架，同时承接项目内个人空间 / 当前项目名面包屑和项目切换器；ChangeReviewPage.tsx现在可以请求审查、通过、要求修改或拒绝当前变更集，并展示审查状态、审查意见与高风险审批门禁；TeamLayerPage.tsx现在消费ProjectTruthState.reviewerRouting(status/summary/items)、ProjectTruthState.feed与execution-capabilities，以团队动态 / 决策台 / 角色收件箱 / 智能体工位 / AI 副驾组织团队协作态势，展示待审变更责任路由、审查人建议、审查状态、证据数量、执行单元信号和容量调度；动作只跳/change-review?projectId=<id>&changeSetId=<id>或下方容量区，不自动分派、不自动审查、不写 Project Memory。账号退出登录由frontend/src/features/pmflow-os/components/AccountControls.tsx统一承接桌面头像下拉、退出确认与移动端 bottom sheet，frontend/src/features/pmflow-os/pages/AccountPage.tsx提供/me入口并委托 Account Settings 域渲染设置页；正式应用壳移动端底部导航统一由frontend/src/features/pmflow-os/components/MobileBottomNav.tsx承接，固定为空间 / 指挥台 / 待确认 / 动态 / 我的，其中动态当前仍是/command-center占位。/command-center额外提供免登录产品预览壳，/pmflow-os是真实项目上下文 alias。主视觉按#2463EB + 白色的 Linear-like 高密度原型展开。UsersPage把创建/删除/重置/导入/批量分配对话框拆为按需 chunk，UserSkillsPage与WorkloadDetailPage的图表也分别拆到了frontend/src/pages/user-skills/components/UserSkillsRadarPanel.tsx与frontend/src/pages/workload-detail/components/WorkloadTrendChart.tsx。 frontend/src/features/personal-space/SpaceCollectionPages.tsx承接空间首页红框区块的二级页面：/space/ideas是暂存想法收集箱，支持状态筛选、搜索、补充、归档与转 Project Launch 草案；/space/drafts是草案箱 / 待确认事项页，支持按待确认、信息不足、冲突、已确认、挂起筛选并回主流程确认。空间首页只预览暂存想法、草案箱和最近项目各少量条目；最近项目完整查看复用/space/projects?view=recent，ProjectsPage内提供“全部 / 最近 / 待处理 / AI 进行中 / 已归档”筛选，不单独新增最近项目页。- 旧独立收件页已物理删除，
/inboxroute 和侧边栏入口已退场；旧 AI PMOwaiting_manual / draft_pending_confirm不再通过独立页面承载，而由frontend/src/api/space.ts作为 legacy adapter 只读接入/space的“我的下一步”和草案箱。missing_project_scope只允许在 Space 选择项目后复用POST /ai-pmo/work-items/{id}/decision继续既有审计链，不新增旁路接口；底层notificationsprimitive 暂留为未来 in-app reminder/偏好消费基础，不作为真实通知中心暴露。 - 前端主包治理已切到“同步首屏最小集 + route/page-section lazy”模式：
frontend/src/router/index.tsx保留LoginPage / Layout这组同步入口，其余后台重页面通过React.lazy + Suspense懒加载；统一 fallback 在frontend/src/components/layout/LazyBoundary.tsx。P0 公共壳冻结后，大模块 route 归属为：/space归 Space lane，/project-launch是启动层入口，/pmflow-os与/command-center / /change-review / /execution-bridge / /release-growth归 Main Flow lane，/me归 Account Settings lane，/settings当前仅为 reserved route、尚未实现，新增必须由 Shell / Integration owner 串行处理。frontend/src/features/personal-space/作为空间层入口，通过登录后的/space提供空间入口，承载继续推进、待我确认、AI 正在推进、暂存想法、草案箱与新建项目入口。frontend/src/features/project-launch/作为首次进入页 / 新项目启动台产品域，通过登录后的真实/project-launch提供启动入口（显式?demo=1或?dataSource=demo可匿名演示）；Phase B 后默认调用真实pmflow-launchdraft/confirm API，创建成功态主动作跳转后端返回的/pmflow-os?projectId=<id>，只有显式?demo=1或?dataSource=demo才启用本地 mock 状态机。frontend/src/features/account-settings/作为 Account Settings 产品域，通过/me提供个人资料、默认语言、AI 回答深度、证据展示偏好、待确认/执行回写/发布门禁/失败提醒通知偏好和账户操作入口；该域通过frontend/src/api/accountSettings.ts建立前端合同，有 token 时优先调用已挂入backend/app/api/router.py的backend/app/api/account_settings_api/GET /account-settings/me/PUT /account-settings/me同步当前账号偏好，后端不可用时明确回落本机暂存，不修改 OAuth/JWT/auth core。frontend/src/features/pmflow-os/作为新产品域，通过PMFlowOsProvider在应用根部挂载共享 truth store，并提供CommandCenter / ChangeReview / WorkGraph / ExecutionBridge / ReleaseGrowth / TeamLayer / ProjectMemory / Account主入口；当前 PMFlow OS 页面已切到专属轻壳，桌面端默认隐藏旧 TopBar，并由frontend/src/features/pmflow-os/components/PMFlowOsFrame.tsx统一承接“左侧稳定导航 + 顶部上下文条 + 中央视图 + 右侧 AI 副驾”的全局骨架，同时承接项目内个人空间 / 当前项目名面包屑和项目切换器；TeamLayerPage.tsx现在消费ProjectTruthState.reviewerRouting(status/summary/items)、ProjectTruthState.feed与execution-capabilities，以团队动态 / 决策台 / 角色收件箱 / 智能体工位 / AI 副驾组织团队协作态势，展示待审变更责任路由、审查人建议、审查状态、证据数量、执行单元信号和容量调度；决策台与待审路由卡片按真实条目密度排布，1-2 条不强行占 3 列，操作按钮不挤压正文宽度；动作只跳/change-review?projectId=<id>&changeSetId=<id>或下方容量区，不自动分派、不自动审查、不写 Project Memory；账号退出登录由frontend/src/features/pmflow-os/components/AccountControls.tsx统一承接桌面头像下拉、退出确认与移动端 bottom sheet，frontend/src/features/pmflow-os/pages/AccountPage.tsx提供/me入口并委托 Account Settings 域渲染设置页；正式应用壳移动端底部导航统一由frontend/src/features/pmflow-os/components/MobileBottomNav.tsx承接，固定为空间 / 指挥台 / 待确认 / 动态 / 我的，其中动态当前仍是/command-center占位。/command-center额外提供免登录产品预览壳，/pmflow-os是真实项目上下文 alias。主视觉按#2463EB + 白色的 Linear-like 高密度原型展开。UsersPage把创建/删除/重置/导入/批量分配对话框拆为按需 chunk，UserSkillsPage与WorkloadDetailPage的图表也分别拆到了frontend/src/pages/user-skills/components/UserSkillsRadarPanel.tsx与frontend/src/pages/workload-detail/components/WorkloadTrendChart.tsx。 backend/app/api/ai_readiness_api/+backend/app/services/ai_readiness_service.py+frontend/src/api/aiReadiness.ts+frontend/src/features/ai-readiness/是空间级 AI 可用状态与 Project Launch 草案门禁合同：后端GET /ai-readiness/project-launch从平台运行租户供应商配置、published activestructured槽、Project Launch scene registry、结构化能力证据和租户最近 24hpmflow_launch_draft_v1调用日志推导ready / blocked / recovering / unknown；单次最近生成失败只作为平台 warning，若 24h 内已有成功且连续失败少于 3 次，用户端仍保持可生成，连续失败达到阈值才进入 recovering；POST /ai-readiness/project-launch/check仅允许 platform AI Ops 触发真实结构化 smoke，固定以平台运行租户执行，复用 Project Launch 草案生成链但不写 draft/project/task/Project Memory，使一次平台 smoke 对所有客户空间的 readiness 恢复生效；前端useAIReadiness()默认消费后端结果，本机 localStorage 只保留 test 或VITE_AI_READINESS_LOCAL_OVERRIDE=true覆盖。/space顶部与首屏、真实/project-launch、项目级ResponsiveAICopilot、/ai-config?tab=setup和/platform/*共用该合同；用户端默认只消费客户可理解的业务影响、保护规则和可继续动作，空间负责人额外看到空间 AI 状态、团队策略和工具连接入口，平台 AI Ops 只有在显式诊断卡或/platform/*才看到 cause、raw status、供应商、路由、诊断、smoke 和 CTA。frontend/src/features/project-launch/types.ts、mockData.ts、useProjectLaunchState.ts是新项目启动台状态层；默认真实模式通过frontend/src/api/pmflowLaunch.ts创建pmflow_launch_draft_jobs、轮询 job 状态、拿到草案后再确认创建真实项目，API 失败进入明确失败态，不静默 fallback 成 mock 成功；mockData.ts仅在显式?demo=1或?dataSource=demo下作为演示状态机使用，真实模式的步骤摘要、操作流、审查建议、附件引用和计数从当前输入、job 状态、真实草案、warnings/evidence 派生。components/LaunchShell.tsx负责桌面/移动分流，桌面端复用frontend/src/features/personal-space/components/SpaceChrome.tsx的空间左侧栏和顶部条，并通过真实补充输入弹层提交merge_supplementrevision，禁止硬编码追加示例文本；SpaceSidebar承载稳定空间目的地（空间首页、暂存想法、草案箱、所有项目和管理配置），不展示最近项目、待我确认或 AI 正在推进等首页工作台区块项；真实模式下若AIReadiness.canGenerateProjectDraft=false，优先渲染AISetupRequiredPanel，普通成员只记录想法，空间负责人查看空间 AI 可用状态，平台 AI Ops 才进入平台 AI 能力处理，不提供空项目创建入口；低信息输入由后端input_needs_more_info422 拦截并进入补充输入失败态。LaunchCanvases.tsx和MobileLaunchLayout.tsx承接高保真图中的意图输入、AI 工作、人类确认、草案修改、生成失败、创建成功过渡与移动端 bottom sheet 交互。frontend/src/features/pmflow-os/store.tsx当前是 PMFlow OS 共享 truth store：?projectId=<id>时通过 React Query 调用frontend/src/api/pmflowOs.ts读取真实GET /pmflow-os/projects/{project_id}/truth-state与GET /pmflow-os/projects/{project_id}/execution-summary，真实模式下项目内sendMessage会写 thread message 并触发后端真实 AI extraction；显式proposed_itemsextraction、ChangeItemaccept/edit/defer、ChangeSet commit、review decision、Execution Handoff create/consume、execution progress writeback、release validation run create、release feedback ingest、单条 iteration recommendation -> ChangeSet draft 与同组 iteration recommendation 批量 -> ChangeSet draft 均调用/pmflow-os后端并 refetch；只有显式?demo=1或?dataSource=demo时才启用本地 mock 演示状态机。真实读取/动作失败会进入错误/空态，不静默 fallback 成 mock 成功；认证、权限、对象访问和服务错误必须转成客户可理解文案，不直接展示Could not validate credentials、HTTP 401或 Axios 原始错误；AI extraction 失败显示“结构化失败/待补充”，不创建模板 ChangeSet。frontend/src/features/pmflow-os/store.tsx仍保留演示用项目内 AI 结构化闭环状态机：command_idle / ai_extracting / extraction_ready / review_open / writeback_success。frontend/src/features/pmflow-os/pages/StructuredExtractionPage.tsx是本轮结构化提取页，也是结构化读取检查层：从指挥台进入时主动作进入待确认或继续补充；从ChangeReviewPage.tsx进入时通过origin=change_review / returnTo=change_review / changeSetId / itemId保留审查上下文，主动作返回待确认队列，补充证据才回指挥台；已 committed 的轮次显示为结构化写入快照并转向项目记忆或新变更链路。ChangeReviewPage.tsx是决策与待确认中心，真实模式下顶部识别统计、待确认列表与右侧 AI 副驾评估都只消费后端changeSets / changeItems / evidence，没有真实待审项时显示空态，禁止用 demo 审查项补位；确认写入 Project Memory 前，pending_review / accepted / edited / deferredChangeItem 均可继续 accept/edit/defer，只有committed / skipped或关闭轮次不可再操作；MemoryWritebackResultPage.tsx是项目记忆写入结果页，WorkGraphPage.tsx是项目工作台关系总览与对象投影视图，ExecutionBridgePage.tsx是执行桥上下文包、交接按钮、运行端领取确认、PR/测试与回写状态页；ReleaseGrowthPage.tsx真实模式读取execution-summary.releaseGate、latestValidationRun与releaseSignals，从 branch、commit、PR、test、failed evidence 展示可发布 / 阻塞 / 需要人工确认 / 缺少证据判断、阻塞原因、下一步动作、发布验证记录和发布后 feedback/revenue/ROI/compliance/recommendation 信号，缺少发布后信号时显示 empty/warning，不执行发布命令、不展示 mock 发布结果；页面可展示 recommendation quality grouping，把真实 recommendation 单条或同组批量生成下一轮待确认 ChangeSet draft，生成后仍进入 Change Review accept/edit/defer，不自动 commit、不写 Project Memory、不创建正式任务；ChangeReviewPage.tsx会展示iteration_recommendation_groupevidence 的来源组、feedback 数、recommendation 数、风险、影响和审查优先级；同时读取 Account notification preference helper，用releaseGate偏好控制发布门禁强调提醒，用failureAlert偏好控制失败强调提醒，偏好关闭时只静默提醒表达强度，不隐藏 release evidence、阻塞原因、审计状态、validation run 或 releaseSignals；静态发布/增长原型只保留在显式 demo 模式。A3 已接入后端 truth-state，C1 已接入真实 message/extraction/review 状态机，C2 已接入真实 ChangeSet commit，Phase D 已接入真实 execution-summary/dev-sync，D.2 已接入POST /execution-handoffs创建 PromptPackage + handoff_created progress event，P1 已接入POST /execution-handoffs/{prompt_package_id}/consume创建 handoff_consumed progress event 并把 execution status 投影为 coding，Release Growth P1 已接入 execution evidence gate，Release Validation P1 已接入POST /release-validation-runs创建ReleaseValidationRun快照，Release Feedback P1 已接入POST /release-feedback-ingests写入FeedbackIngest并生成IterationRecommendation，Iteration Loop P1 已接入POST /iteration-recommendations/{recommendation_id}/change-set-drafts把 recommendation 回流到 Change Review，Iteration Loop P2 已接入POST /iteration-recommendation-groups/{group_key}/change-set-drafts并在releaseSignals.recommendationGroups暴露分组/去重/风险/影响合同；真实 AI extraction 已接入独立change_reviewprotected scene、pmflow_change_review_extraction_v1运行合同、PROMPT_PMFLOW_CHANGE_REVIEW_EXTRACTIONPrompt 资产与后端llm_service.generate_structured_object，成功时生成 open ChangeSet、pending_review ChangeItems 与 thread message evidence，失败时 fail-closed，不把 mock 当真实失败 fallback，也不复用 Project Launch draft prompt/function。ProjectMemoryPage.tsx在真实模式下展示后端truth_nodes + semantic_facts的projectMemory投影，accepted/edited ChangeItem 只有 commit 成功后才进入 Project Memory。frontend/src/features/pmflow-os/components/ProjectStructuredLoop.tsx提供StatusLabel / EvidenceSnippet / ObjectChangeCard / ProjectConversationPanel / StructuredExtractionPanel / ProjectAICopilotPanel等闭环组件，并复用契约化InlineNotice表达“未确认不得写入”的局部提示。- Execution Result Protocol P1 将 Execution Bridge 的执行结果回写收敛为
execution_result_protocol_v1：backend/app/schemas/pmflow_os.py接收execution_status与blocker_summary，backend/app/services/pmflow_os_projection_service.py写入ProgressEvent.payload.protocol_version与execution_resultenvelope，同时保留branch_name / commit_sha / pr_number / test_summary / workflow_stateflat 字段兼容现有投影；frontend/src/api/pmflowOs.ts和ExecutionBridgePage.tsx支持手动记录 status/blocker。该链路只记录 Codex/IDE/Local Bridge/GitHub agent 已产生的结果，不执行本机命令、不推送、不发布、不自动创建正式任务；execution-summary、releaseGate与 Team Feed 均从ProgressEvent只读消费。 - Release Growth 工作台现由
frontend/src/features/pmflow-os/pages/ReleaseGrowthPage.tsx承载真实闭环：首屏发布上下文条展示项目、阶段、发布状态、观察窗口与下一轮 draft；左侧是发布健康闭环、发布门禁和阻塞下一步；中区承接执行证据、发布后反馈主题、增长候选、变现与 ROI、关键指标和合规风险；右侧 AI 发布增长副驾负责解释当前信号、提供反馈摄取和发布验证动作入口。该页只消费execution-summary.releaseGate / latestValidationRun / releaseSignals，可创建 release validation run、摄取 release feedback、把 recommendation 生成待确认 ChangeSet draft；不得执行发布、部署、外部支付、真实合规平台动作、自动 Project Memory commit 或正式 Task 创建，静态发布增长大盘只在显式 demo 模式保留。 - Main Flow D4/D4.5/D4.6/D4.7/D5/D6/D7/D8 已把 Execution Capability Graph、质量合同、验收门禁、执行写回、V1 happy path smoke 和 runtime result 幂等合同接入
/execution-bridge与后端回归：frontend/src/features/pmflow-os/store.tsx读取并刷新真实GET /pmflow-os/projects/{project_id}/execution-capabilities，ExecutionBridgePage.tsx先消费truth-state.requirements/tasks与execution-summary.activeDevTasks形成前端只读开发范围模型，展示本轮需求/任务总览、按 Requirement 聚合的需求执行队列、未归属任务和选中任务 Run 详情；D4.7 移除顶部大 Run Header 卡片，刷新/复制上下文迁入执行源包，需求执行队列按 Requirement / 未归属分组本地分页。选中 Run 继续通过单点状态模型推导已确认需求 / 上下文包 / 开发 / 测试 / 审查合并 / 回写阶段、当前主动作、证据数和阻塞原因。handoff 主按钮受正式 Task、待确认范围、repo/prompt package 与 reviewer gate 约束，技术审查责任缺失时 store 会阻止真实 handoff，缺 repo 时只允许表达交接草案；这里的 repo 是项目代码仓库连接，不限于 GitHub。GitHub App 为当前实现：平台方通过backend/app/core/config.py的GITHUB_APP_ID / GITHUB_APP_PRIVATE_KEY(_PATH) / GITHUB_APP_INSTALL_URL / GITHUB_APP_WEBHOOK_SECRET配置一次，docker-compose.yml/docker-compose.dev.yml将这些变量透传给 backend，backend/app/services/ai_project_control_service.py可直接用 GitHub App JWT 同步 installation/repository，用户只安装 App 并选择自己的仓库；Gitea/自托管 Git 后续通过 OAuth、Token 或 Local Bridge Provider 适配；手动回写在 drawer 中记录已发生的 branch/commit/PR/test/blocker/status。D5 的POST /execution-acceptance-decisions只记录用户验收/技术审查，不写 Project Memory；D6 的POST /execution-memory-writebacks写入execution_memory_writeback_v1ProgressEvent，并把已验收执行事实投影到 Project Memory writebacks、Space next action 和 release gate；D7 后端 smoke 证明 thread/extraction/review/commit/execution/release/feedback/recommendation draft 可连续跑通，且发布验证不执行部署、recommendation draft 不自动 commit；D8 允许外部运行端在POST /execution-progress-events传delivery_id / event_source_id，并在同 tenant/project/task 下按任一锚点复用已有ProgressEvent，防止运行端重试产生重复证据。该层仍只做能力判定、交接合同和结果回写展示，不执行本机命令、不触发真实 agent、不自动验收、不自动合并、不自动发布。 - Main Flow D11 已把结构化交付证据包接入同一条执行主链：
delivery_artifacts支持 changed files、commands run、test outputs、screenshots、logs、risk notes 与 review checklist；ExecutionSummaryProjection.deliveryArtifacts / artifactCompleteness由pmflow_os_projection_service.py聚合，ReleaseGate、Project Memory writebackmetadata、ExecutionBridgePage、ReleaseGrowthPage与frontend/src/api/space.ts的 next action 均消费同一份证据。缺 changed files、commands run、test outputs、UI 改动截图或 required review checklist 时保持 incomplete，failed/blocked artifact 会阻塞发布；证据包只保存摘要或 artifact ref，不保存 raw binary、无限长日志、secret 或宿主机私有文件内容。 - Main Flow D12 新增交付证据审查/返工闭环：
ExecutionSummaryProjection.artifactReview将缺 changed files、commands run、test outputs、UI 截图、review checklist 或 failed/blocked command/test/checklist 转成审查项；POST /pmflow-os/projects/{project_id}/execution-artifact-review-actions记录artifact_review_action_v1，支持要求返工、记录修复说明和标记待重检。Execution Bridge 的回写 drawer 可触发这些动作，Release/Growth 和/space只读消费同一份 artifact review；该动作不执行命令、不创建正式任务、不写 Project Memory。 - Main Flow D13 新增交付证据返工执行包：
POST /pmflow-os/projects/{project_id}/execution-artifact-rework-packages从artifactReview.items创建新的execution_handoffPromptPackage，并在package_payload.handoff_type='artifact_rework'下保存rework_contract、上一轮delivery_artifacts和当前artifactCompleteness。签名POST /pmflow-os/runtime/execution-packages返回package.reworkContract，运行端仍通过原 result contract 重新回写；普通 handoff 不复用 rework package，避免上下文污染。Execution Bridge 回写 drawer 已接入“生成返工包”动作。 - Main Flow D14 新增返工结果闭环和 UI 证据验收投影：
artifactReview.closure根据artifact_rework_package_created、execution_package_pulled和同prompt_package_id的/runtime/execution-results生成 review itemresolved/open状态、覆盖证据evidenceRefs与返工时间线；同名最新 passed command/test/checklist 可覆盖旧 failed evidence，但历史事件继续保留。Execution Bridge 展示返工闭环和 UI screenshot artifact ref，Release/Growth 交付证据 gate 展示同源 closure。 - Main Flow D15 新增发布门禁复检与执行写回证据链：
releaseGate.releaseReadinessProof、acceptance.evidenceProof与execution_memory_writeback_v1.writeback_proof共用artifactCompleteness / artifactReview.closure / execution events，区分awaiting_acceptance / awaiting_memory_writeback / ready / blocked；closure resolved 且 artifacts ready 时旧 failed artifact 不再阻塞，显式 failed/blocked/test_failed 仍 fail-closed。Execution Bridge 和 Release/Growth 展示同源复检 proof。 - Project Knowledge Hub 读模型由
GET /pmflow-os/projects/{project_id}/project-memory/overview、items、items/{item_id}、assets、context-packs、writebacks承载，后端在backend/app/services/pmflow_os_projection_service.py从truth_nodes / tasks / semantic_facts / pmflow_evidence_links / pmflow_thread_messages / pmflow_change_sets / pmflow_change_items聚合首页雷达、全部记忆、项目资产、上下文包和写入版本记录。前端对应ProjectMemoryPage.tsx、ProjectMemoryCollectionPages.tsx与projectMemoryUtils.ts：列表时间使用短格式，抽屉显示完整时间和北京时间；首页卡片与二级列表单条点击打开右侧详情抽屉，展示来源证据、影响对象和 AI 执行动作跳转；全部记忆支持类型、阶段、来源、状态、搜索筛选。该读模型只读，资产可自动索引，进入项目真相层仍必须经过 Change Review 或可信规则确认。 frontend/src/features/account-settings/AccountSettingsPanel.tsx是/me设置页实现：桌面端为个人资料摘要 + 分区设置面板，移动端为分组列表 +MobileBottomSheet编辑；当前覆盖个人资料、系统默认头像avatarPreset、默认语言、AI 回答深度、证据展示偏好、待确认、执行回写、发布门禁和失败提醒通知偏好，并在通知偏好区展示页面内提醒消费说明、提醒强度和证据展示配置；默认头像选择器展示 3 张男性、3 张女性头像。frontend/src/api/accountSettings.ts是前端合同层；有 token 时优先调用backend/app/api/account_settings_api/，失败时回落浏览器本机暂存；P2 新增shouldShowAccountNotification与getAccountNotificationConsumption，将四类通知偏好映射为本地 UI 的待确认、Execution Bridge、Release/Growth 和失败提醒显示/静默状态；P3 新增getReleaseGateNotificationPreference(settings, event)，把 Release/Growth 的release_gate_* / release_validation_*事件映射到releaseGate偏好，把failed_event映射到failureAlert偏好；P5/P6 的getPostReleaseNotificationPreference(settings, event)把发布后feedback_received / revenue_signal / compliance_blocked映射到releaseGate偏好，把iteration_recommendation / next_change_review映射到pendingConfirmation偏好和change_reviewsurface，并返回spaceReadable / evidencePolicy / reminderPolicy供 Main Flow 与 Space 消费；P7 将通知偏好扩展为reminderIntensity=silent|normal|prominent与evidenceDisplay=compact|expanded，并新增getAccountReminderConsumption(settings, event)覆盖change_review_high_risk / iteration_draft_ready / release_blocked / execution_stalled，输出notificationTransport=in_app_only / evidencePolicy=preserve_business_evidence / auditPolicy=preserve_audit_state；P8 新增getReviewDecisionNotificationPreference(settings, event)覆盖review_requested / review_approved / review_changes_requested / review_rejected / high_risk_approval_required，继续使用pendingConfirmation偏好和change_reviewsurface，并声明 reviewerRouting、approval、evidence、audit state 均必须保留。该合同只控制页面内提醒表达，不代表邮件、桌面推送或系统通知中心已接入；偏好关闭也不得隐藏业务证据、reviewerRouting、approval、recommendation、ChangeSet、执行状态或审计状态。backend/app/schemas/account_settings.py定义账号偏好合同，backend/app/services/account_settings_service.py当前复用既有integrations表按tenant_id + user_id保存account_settings_preferences配置包，backend/app/api/router.py已挂载该 API；未改用户表、OAuth/JWT/auth core 或 PMFlow OS truth store。frontend/src/features/pmflow-os/store.tsx当前是 PMFlow OS 共享 truth store：?projectId=<id>时通过 React Query 调用frontend/src/api/pmflowOs.ts读取真实GET /pmflow-os/projects/{project_id}/truth-state与GET /pmflow-os/projects/{project_id}/execution-summary，真实模式下项目内sendMessage会写 thread message 并触发后端真实 AI extraction；显式proposed_itemsextraction、ChangeItemaccept/edit/defer、ChangeSet commit、review decision、AI feedback、Execution Handoff create/consume、execution progress writeback、release validation run create、release feedback ingest 与 iteration recommendation -> ChangeSet draft 均调用/pmflow-os后端并 refetch；AI feedback 写入pmflow_ai_feedback_events，在truth-state.aiFeedback恢复当前用户选择，并由后端按prompt_key生成待复核JudgeRun / OptimizerCandidate质量优化候选，用户改回赞同时挂起此前候选，Prompt Asset quality summary 会聚合 PMFlow 反馈与优化候选；只有显式?demo=1或?dataSource=demo时才启用本地 mock 演示状态机。真实读取/动作失败会进入错误/空态，不静默 fallback 成 mock 成功；AI extraction 失败显示“结构化失败/待补充”，不创建模板 ChangeSet。frontend/src/features/pmflow-os/store.tsx仍保留演示用项目内 AI 结构化闭环状态机：command_idle / ai_extracting / extraction_ready / review_open / writeback_success。frontend/src/features/pmflow-os/pages/StructuredExtractionPage.tsx是本轮结构化提取页，ChangeReviewPage.tsx是决策与待确认中心，真实模式下顶部识别统计、待确认列表与右侧 AI 副驾评估都只消费后端changeSets / changeItems / evidence，没有真实待审项时显示空态，禁止用 demo 审查项补位；MemoryWritebackResultPage.tsx是项目记忆写入结果页，WorkGraphPage.tsx是项目工作台关系总览与对象投影视图，ExecutionBridgePage.tsx是执行桥上下文包、交接按钮、运行端领取确认、运行端接入包、PR/测试、交付证据包、证据审查/返工动作、返工包生成与回写状态页；ReleaseGrowthPage.tsx真实模式读取execution-summary.releaseGate、artifactCompleteness、artifactReview、latestValidationRun与releaseSignals，从 branch、commit、PR、test、failed evidence 与结构化交付证据展示可发布 / 阻塞 / 需要人工确认 / 缺少证据判断、阻塞原因、下一步动作、发布验证记录和发布后 feedback/revenue/ROI/compliance/recommendation 信号，缺少发布后信号时显示 empty/warning，不执行发布命令、不展示 mock 发布结果；页面可把真实 recommendation 生成下一轮待确认 ChangeSet draft，生成后仍进入 Change Review accept/edit/defer，不自动 commit、不写 Project Memory、不创建正式任务；同时读取 Account notification preference helper，用releaseGate偏好控制发布门禁强调提醒，用failureAlert偏好控制失败强调提醒，偏好关闭时只静默提醒表达强度，不隐藏 release evidence、交付证据、artifact review、阻塞原因、审计状态、validation run 或 releaseSignals；静态发布/增长原型只保留在显式 demo 模式。A3 已接入后端 truth-state，C1 已接入真实 message/extraction/review 状态机，C2 已接入真实 ChangeSet commit，Phase D 已接入真实 execution-summary/dev-sync，D.2 已接入POST /execution-handoffs创建 PromptPackage + handoff_created progress event，P1 已接入POST /execution-handoffs/{prompt_package_id}/consume创建 handoff_consumed progress event 并把 execution status 投影为 coding，D8 已接入delivery_id / event_source_id幂等执行结果回写，D9 已接入POST /execution-handoffs/{prompt_package_id}/runtime-credential生成 handoff-bound 短期凭据，D10 已接入签名POST /pmflow-os/runtime/execution-packages领取机器可读执行包并写execution_package_pulled审计，随后通过签名POST /pmflow-os/runtime/execution-results让 Codex/Local Bridge/GitHub agent 回传执行事实；D11 已接入delivery_artifacts交付证据合同；D12 已接入artifactReview与返工审查动作；D13 已接入artifact_rework执行包生成并继续复用签名拉包；D14 已接入artifactReview.closure返工闭环、UI screenshot artifact ref 与同名最新证据覆盖；D15 已接入releaseGate.releaseReadinessProof、acceptance.evidenceProof与 execution memory writeback proof；Release Growth P1 已接入 execution evidence gate，Release Validation P1 已接入POST /release-validation-runs创建ReleaseValidationRun快照，Release Feedback P1 已接入POST /release-feedback-ingests写入FeedbackIngest并生成IterationRecommendation，Iteration Loop P1 已接入POST /iteration-recommendations/{recommendation_id}/change-set-drafts把 recommendation 回流到 Change Review；真实 AI extraction 已接入后端llm_service.generate_structured_object与 PMFlow prompt/config/routing 层，成功时生成 open ChangeSet、pending_review ChangeItems 与 thread message evidence，失败时 fail-closed，不把 mock 当真实失败 fallback。ProjectMemoryPage.tsx在真实模式下展示后端truth_nodes + semantic_facts的projectMemory投影，accepted/edited ChangeItem 只有 commit 成功后才进入 Project Memory。frontend/src/features/pmflow-os/components/ProjectStructuredLoop.tsx提供StatusLabel / EvidenceSnippet / ObjectChangeCard / ProjectConversationPanel / StructuredExtractionPanel / ProjectAICopilotPanel等闭环组件，并复用契约化InlineNotice表达“未确认不得写入”的局部提示。- PMFlow OS 后端入口位于
backend/app/api/pmflow_os_api/，projection service 位于backend/app/services/pmflow_os_projection_service.py，Execution Capability Graph 只读聚合位于backend/app/services/team_execution_capability_service.py，Change Review / commit / review decision 服务位于backend/app/services/pmflow_change_review_service.py，AI feedback 服务位于backend/app/services/pmflow_ai_feedback_service.py，Pydantic 合同位于backend/app/schemas/pmflow_os.py；当前聚合truth_nodes / tasks / semantic_facts / ai_project_control / dev_sync，Thread / Message来自pmflow_threads / pmflow_thread_messages，ChangeSet / ChangeItem / Approval / EvidenceLink来自backend/app/models/pmflow_change_review.py对应真实表，ChangeSet committer 持久化在pmflow_change_sets.committed_by并由truth-state.lastWritebackBy、commit result 与 Project Memory writebacks 投影，AI feedback 来自pmflow_ai_feedback_events并归因到scene_key / prompt_key / prompt_release_id / runtime_profile_id。负反馈只创建待复核JudgeRun / OptimizerCandidate，由 Prompt 资产运营页展示，不直接修改 active prompt 或自动发布；用户改回赞同时自动挂起此前候选。GET /pmflow-os/projects/{project_id}/execution-capabilities返回executionModes / personalReadiness / teamSignals / warnings，复用用户、项目成员、技能绑定、负载、reviewer routing、execution summary 与 workspace binding 数据，只给建议、阻塞和解释，不自动分派任务、不自动请求审查、不写 ChangeSet；缺项目代码仓库、工具、测试命令、reviewer 或证据时返回 warning、blocked或needs_human_judgement，不虚构能力结论。ProjectTruthState.reviewerRouting是 Team layer 的 reviewer routing + decision 读模型：从 open/pending ChangeSet、待审 item 风险、跨对象类型、iteration_recommendationevidence、项目成员与OWNER / REVIEWER角色推导{status, warningCode, summary, items}；item 内含sourceType / riskLevel / priority / suggestedReviewer / fallbackReviewerRole / targetUrl / reviewDecision / approvalState / requestedAt / decidedAt / decisionReason；缺成员、缺角色或缺证据时 fail-closed 给 warning，不虚构 reviewer。P8 新增POST /pmflow-os/change-sets/{change_set_id}/review-decisions，支持request_review / approve / request_changes / reject，approve / request_changes / reject写PMFlowApproval审计，high-risk approve 后才满足 C2 approval gate，所有 decision 都不自动 commit。C1 已实现 message、真实 AI extraction、显式proposed_itemsextraction、ChangeSet detail、ChangeItemaccept/edit/defer与 AI feedback；真实 AI extraction 失败返回ai_extraction_failed / extraction_evidence_insufficient且不创建模板假结果；C2 backend/frontend 已实现POST /pmflow-os/change-sets/{change_set_id}/commit与真实模式前端接入，默认 atomic，将Requirement / Decision / Risk写入truth_nodes，将Task写入truth_nodes(node_type='task') + tasks，高风险项强制 approval gate；D.2 已实现POST /pmflow-os/projects/{project_id}/execution-handoffs，校验 task/repo project 边界，生成/复用PromptPackage(package_kind='execution_handoff')并写ProgressEvent(event_type='handoff_created')起点；P1 已实现POST /pmflow-os/projects/{project_id}/execution-handoffs/{prompt_package_id}/consume，校验 execution handoff package 后更新PromptPackage.package_payload.latest_handoff.handoff_state=consumed并写ProgressEvent(event_type='handoff_consumed', derived_task_status='coding')；D9 新增PMFlowExecutionRuntimeCredential与 migration20260506_add_execution_runtime_credentials，登录态POST /pmflow-os/projects/{project_id}/execution-handoffs/{prompt_package_id}/runtime-credential生成只返回一次 secret 的短期凭据；D10 新增签名POST /pmflow-os/runtime/execution-packages返回机器可读执行包并写execution_package_pulled幂等审计，签名POST /pmflow-os/runtime/execution-results校验 HMAC/timestamp/handoff/source/repo/expiry 后复用execution_result_protocol_v1写入ProgressEvent；Release Growth P1 在ExecutionSummaryProjection.releaseGate中从ProgressEvent推导发布门禁状态，失败事件 fail-closed 阻塞发布，无证据返回 empty/warning；Release Validation P1 新增POST /pmflow-os/projects/{project_id}/release-validation-runs，复用现有ReleaseValidationRun模型固化当前releaseGate快照、人工决策、证据、阻塞原因和下一步动作，并在releaseGate.latestValidationRun返回最新记录；Release Feedback P1 新增POST /pmflow-os/projects/{project_id}/release-feedback-ingests，复用现有FeedbackIngest / IterationRecommendation，在ExecutionSummaryProjection.releaseSignals中返回真实发布后 feedback、revenue event、ROI snapshot、compliance check 和 iteration recommendation 读模型；Release Business Signal Loop P1 已把 RevenueEvent、ROISnapshot 与 ComplianceCheckRun 纳入ExecutionSummaryProjection.releaseSignals风险读模型；Iteration Loop P1 新增POST /pmflow-os/projects/{project_id}/iteration-recommendations/{recommendation_id}/change-set-drafts，把真实 recommendation 转为 open ChangeSet、pending_review Requirement/Task/Risk/Decision items 与iteration_recommendationevidence，重复调用复用既有 draft 并在releaseSignals标记changeSetCreated/changeSetId；这些步骤都不直接执行本机命令、真实发布命令、外部支付、真实推送、自动 Project Memory commit 或正式任务创建；ModelDecision / MetricSignal在 C2 V1 仍 fail-closed。 - Adaptive Human Capacity 后端由
backend/app/services/adaptive_capacity_service.py、backend/app/models/human_capacity_override.py、backend/alembic/versions/20260427_add_human_capacity_overrides.py与backend/app/schemas/pmflow_os.py承载；API 位于backend/app/api/pmflow_os_api/：GET /pmflow-os/projects/{project_id}/capacity-plan实时计算每日容量计划，POST /pmflow-os/projects/{project_id}/capacity-overrides/simulate只模拟，POST /pmflow-os/projects/{project_id}/capacity-overrides只写 override 审计，GET /pmflow-os/projects/{project_id}/capacity-overrides返回调整记录；execution-capabilities同步返回adaptiveCapacitySummary。该模型不持久化每日计划快照，不写固定基线，不自动分配任务、不请求审查、不写 ChangeSet；旧UserWorkload.workload_ratio仅保留为成本参考信号。 - Adaptive Human Capacity 现在也是 Space AI 容量语义域证据源：客户侧只暴露有效/计划/剩余分钟、动态基线、瓶颈、人工触点、AI 预处理可释放时间、建议和 warning；自然语言问答只能只读判断，容量基线调整仍必须走 Team Layer simulate/apply 主链并写审计。
- PMFlow Launch 后端 Phase B 创建链位于
backend/app/api/pmflow_launch_api/、backend/app/services/pmflow_launch_service.py、backend/app/schemas/pmflow_launch.py与backend/app/models/pmflow_launch.py；POST /pmflow-launch/drafts只写pmflow_launch_drafts，POST /pmflow-launch/drafts/{draft_id}/confirm在同一事务内写projects / user_projects / pmflow_threads / pmflow_thread_messages / truth_nodes / tasks / semantic_facts seed / operation_logs，并把launch_draft_id / thread_id / thread_message_id写入正式对象 metadata。旧POST /ai-steward/project-from-text仅由backend/app/api/legacy_ai_steward_api.py保留 410 响应一个版本周期，且该模块在 lean profile 下也会挂载；禁止绕过草案确认直接创建正式项目。 frontend/src/features/pmflow-os/components/ChangeReviewGroup.tsx、WorkbenchPanel.tsx、ExecutionBridgeCards.tsx、PMFlowOsFrame.tsx、AccountControls.tsx、FeedbackPrimitives.tsx是高保真原型新增的行为组件层：分别承载变更 diff 审查块、工作台对象卡组、执行桥上下文/日志卡片、全局上下文条与 AI 副驾、账号菜单/退出登录确认交互，以及PageBanner / InlineNotice / HumanDecisionBar / ConfirmDialog / MobileBottomSheet这组提示、提醒、确认与移动端 bottom sheet 基础组件，避免再把这些业务片段内联塞回pages/。frontend/vite.config.ts保留固定第三方依赖 chunk 分组（framework / state-query / ui-radix / icons / charts / markdown）；业务源码不再强制切ai-steward / sstc / governancechunk，避免业务模块循环依赖在生产预览中触发初始化顺序错误。登录页与基础导航的体积治理继续依赖 route/page-section lazy。- 旧登录残留
frontend/src/components/ui/sign-in.tsx与frontend/src/components/ui/demo.tsx已删除，frontend/src/components/login/成为唯一登录实现真源。 - 前端开发链路已按职责拆分：
docker-compose.dev.yml下的 Vite 热更新开发前端固定占用5174，静态生产预览前端默认改为5175；frontend/scripts/dev-entrypoint.sh避免每次容器启动都执行npm ci，frontend/scripts/login-live-check.mjs与package.json中的verify:login-fast / verify:login-responsive / verify:login-full、capture:login:matrix作为登录页快回路验证入口，截图产物统一落到frontend/output/login/。 frontend/src/api/taskBriefs.tsfrontend/src/api/modelRouting.tsfrontend/src/api/aiRouting.tsfrontend/src/api/mcp.tsfrontend/src/api/knowledgeGraph.tsfrontend/src/api/semanticFacts.tsfrontend/src/api/queryRouteGovernance.tsfrontend/src/api/mountedAi.tsfrontend/src/api/feedbackCenter.tsfrontend/src/api/sstc.tsfrontend/src/components/sstc/frontend/src/pages/scheduler-center/components/frontend/src/pages/ai-routing/（平台 AI 运行层页面；业务场景路由优先消费后端scene_contract / scene_health / release_gate，sceneContracts.ts仅作为前端 fallback）backend/app/services/ai_routing_scene_contracts.py（业务场景路由合同 registry；active 场景参与健康度和发布门禁，candidate 场景只展示合同）backend/app/config/ai_function_runtime_profiles.py+backend/app/services/ai_function_runtime_profile_service.py（Function Runtime Profile 配置与发布服务；保存场景内生成预算、修复预算、temperature、响应模式、前台等待、provider/job 超时、最大重试、大输入策略、冒烟结果和发布历史到integrations(type='ai_function_runtime_profiles')；Project Launch 草案生成、Change Review 变更抽取与 PMFlow AI 客户答案呈现/质检运行时只消费 active profile，draft 只用于平台 AI Ops 校验、冒烟和发布预览；active profile 实际控制 provider HTTP timeout、draft job timeout、transient retry budget、large 输入预处理、客户答案输出预算和前端等待窗口）frontend/src/pages/platform/AICallTracesPage.tsx+frontend/src/api/aiCallTraces.ts+backend/app/api/ai_call_traces_api.py+backend/app/services/ai_call_trace_service.py（平台 AI 调用审计；只读消费ai_call_logs，按 provider/model/scene/slot/trace/status/time/keyword 过滤，默认只展示真实上游调用记录，能力探测按probe_capability_*单项上游调用显示，其中probe_capability_model_self_report是模型自报参考而非 verified 槽位证据；历史probe_engine_capabilities汇总行默认隐藏；详情只展示完整脱敏 provider 请求/响应 payload、上游尝试链、routing/probe meta、tokens/cost/latency、错误诊断和场景 timeout 策略，不在详情中展示兼容 prompt/response 字段；structured_timeout独立展示为模型超时，不与 JSON 无效/空响应混淆）backend/app/services/ai_scene_runtime_policy.py（AI 场景运行策略服务；按业务场景、function 和输入规模桶输出foreground_wait_seconds / provider_timeout_seconds / job_timeout_seconds / scene_fallback_policy / large_input_policy等显式 routing meta。Project Launch draft 当前由该服务提供 small/normal/large 默认策略，再由已发布 Function Runtime Profile 覆盖可运营字段，large 输入标记为预处理/分段生成方向）frontend/src/pages/platform/PromptAssetsPage.tsx+frontend/src/api/promptAssets.ts+backend/app/api/prompt_assets_api.py+backend/app/services/prompt_assets_service.py+backend/app/services/prompt_runtime_service.py+backend/app/config/ai_prompt_eval_rubrics.py（平台 Prompt 运营中心；聚合 prompt registry、默认 seed、prompt_releasesactive/draft、prompt_release_checks门禁状态、分层prompt_golden_cases、prompt_replay_runs / prompt_replay_case_results、ai_call_logsprompt 质量摘要、跨客户空间 PMFlow OSpmflow_ai_feedback_events用户反馈、optimizer_candidates优化候选、调用点和迁移状态，并对managed_releaseprompt 提供草稿创建、激活和回滚；guarded_release可创建候选并运行契约回放或 LLM 回放，LLM replay 走llm_service本地路由层并记录 baseline/candidate call log、judge score/label/reason；PMFLOW_SEMANTIC_CONTEXT_DECISION_PROMPT / PROMPT_PMFLOW_AI_TURN_GOAL_STATE_ASSESSOR / PROMPT_PMFLOW_AI_TURN_STATE_ANSWER_SYNTHESIZER / PROMPT_CUSTOMER_ANSWER_COMPOSER / PROMPT_CUSTOMER_ANSWER_VERIFIER / PROMPT_RAG_QUERY_SEMANTICS / PROMPT_RAG_FOLLOWUP_ANCHOR_SEMANTICS / PROMPT_RAG_PENDING_CLARIFICATION_SELECTION_SEMANTICS属于已迁移运行时治理/展示 prompt；PROMPT_PMFLOW_AI_ROUTE_PLANNER只保留为 legacy/deprecated prompt key 和离线 replay 迁移标识，不得被 Space AI runtime 调用；PMFlow OS 负反馈只生成待复核JudgeRun / OptimizerCandidate，由平台 AI Ops 人工复核后再进入 release 流程，不直接修改 active prompt；golden replay 无样本或无 replay run 时 fail-closed，blocking 样本失败阻塞发布，important/observation 样本失败进入 warning/人工复核；release watch 汇总 24h/7d 质量、结构化异常、默认回退与健康/复核/回滚建议；inline_discovered只表示已梳理但待迁移的代码散落 prompt）frontend/src/pages/ai-steward/components/frontend/src/lib/
5.3 前端结构边界
- 页面级编排逻辑优先收敛到
pages/*/子目录。 - API 调用统一走
frontend/src/api/，不在页面或组件内直接fetch。 frontend/src/components/sstc/继续作为 SSTC 共享组件目录维护。- AI Steward 浮窗的“当前对象/来源模式/证据状态”必须直接消费
/rag/ask与 QA session API 的显式 contract 字段，禁止在前端靠回答正文反推 internal/external 或 plan 状态。 - 网页问答显式锚点 v1 只能消费稳定强锚点：项目页路径中的
project_id与 URL query 中已显式存在的project_id/source_chat_id；前端禁止自行猜测source_chat_id。 /ai-config是空间级 AI 使用设置，技术路由继续保留但用户可见不再叫“AI 运营中心”“管理后台”或泛化 AI Config；/ai-config及其子路由必须使用空间配置壳SpaceSidebar(activeLabel="AI 使用设置") + SpaceTopBar，让用户仍处在个人空间/团队空间的配置上下文，不得切入项目工作台侧栏；/ai-config?tab=setup由AISetupWizard承接 AI 可用状态和项目生成能力门禁，只展示空间业务影响、团队策略和连接入口，不展示“启用供应商/路由/连接测试/额度诊断”类平台动作；连接、知识、团队策略、MCP 模板使用和 Prompt 策略继续组织客户空间可控能力，并明确这些配置影响当前团队空间内所有项目。AIReadiness必须遵守双层表达：用户端默认客户视图，平台人员在用户端也只能通过显式platformDiagnostic查看 cause/CTA；/platform/*默认平台诊断视图，展示供应商、全局路由、模型槽位、诊断、失败样本和处理动作。平台供应商、全局路由、route/context、semantic facts、高级函数路由和跨租户运营诊断不在客户空间暴露，统一进入/platform/*，由PlatformBoundary和platform_context.capabilities保护；旧/ai-config/contract-sync-board、/ai-config/query-route-governance、/ai-config/ai-routing-console、/ai-config/model-routing-config、/ai-config/knowledge-graph-board和/ai-config/semantic-facts-board只做兼容跳转到/platform/*，其中 model routing 旧入口跳到隐藏/platform/route-lab，避免平台页套入空间壳。/platform/*使用PlatformSidebar + PlatformTopBar专属壳，侧栏按运行总览、AI 运行层、工具与外部能力层、上下文与语义层、质量与事件层组织，不复用旧项目工作台导航；隐藏 Route Lab 不进侧栏，只读展示函数级规则、最近执行与历史 override 痕迹。AI 路由与供应商控制台由backend/app/api/ai_routing.py与backend/app/services/ai_routing_governance_service.py提供聚合，客户负责人只看业务场景策略，平台 AI Ops 才看供应商连接、快速/深度槽位、场景路由、诊断和审计提示；平台 AI 运行总览已合并进/platform，旧/platform/ai-routing-console只做兼容跳转；AI 运行层前端保留/platform/ai-routing-providers、/platform/ai-routing-slots、/platform/ai-routing-scenes、/platform/ai-routing-costs、/platform/ai-routing-failures五个明确子菜单，共享同一脱敏 admin-console 合同；质量与事件层新增/platform/ai-call-tracesAI 调用审计，只给平台 AI Ops 查看ai_call_logs的脱敏出入参、完整脱敏 provider 请求/响应 payload、上游尝试链、provider/model/slot/routing/tokens/cost/latency 和错误摘要，未脱敏 provider payload、headers 与密钥不暴露；团队策略只写integrations(type='ai_team_policy')，供应商连接写integrations(type='llm_engine')并在 engine config 内分层保存声明 capabilities、capability_probelive evidence 与后端派生effective_capabilities，旧 flatcapability_evidence只做兼容；能力探测必须按 registry 逐项验证，JSON Schema 独立于普通 JSON 输出，长上下文声明窗口只能作为declared_only；供应商页允许平台操作人对高成本长上下文能力执行“确认长上下文”，写入带来源、确认人和过期时间的operator_verified/operator_attestation证据，满足发布校验但不进入 AI 调用审计；能力槽位写integrations(type='ai_capability_slots')，但只有发布后的active.slots会由llm_servicelow/high/structured tier 解析消费，draft 只用于平台编辑、校验、发布和回滚；能力槽位发布校验按SLOT_REQUIREMENTS对 draft primary/fallback 的能力矩阵、缺证据和证据过期做阻塞检查，low 缺 probe 只 warning，reserved 槽当前只展示候选/缺口，除非 draft 显式配置运行时，否则不接 runtime 消费；backend/.control_plane/pmflow-routing-rules.json只作为 baseline rule pack 与冷启动 fallback。MCP 页负责模板化配置、后端直连/Local Bridge 状态展示、runtime probe、命令预览与本机确认；contract sync、route/context、knowledge graph 和 semantic facts 页属于平台 AI Ops 排障治理入口。- AI Routing Governance P5 已把 AI 路由治理验收锁进平台 AI 运营中心：后端
backend/app/api/ai_routing.py提供overview / team-policy / admin-console / diagnostics包络接口，backend/app/services/ai_routing_governance_service.py负责脱敏 provider/model/base URL 摘要、scene-slot matrix 与 recent failure 样本聚合；PUT /ai-routing/team-policy只写integrations(type='ai_team_policy')并记录operation_logs(entity_type='ai_routing_policy')，不改 PMFlow OS 主链、Space、Account Settings、control-plane routing rules 或运行时模型真源。backend/tests/test_ai_routing_governance_service.py与frontend/src/pages/ai-routing/AIRoutingPages.test.tsx锁定负责人视图不出现 provider/model、admin console 默认隐藏function_name且 recent failure 不泄露 prompt/key。 /platform/prompt-assets属于平台质量与事件层，不是客户空间 Prompt 策略页。它可展示平台内部 prompt 正文、默认模板 hash、active/draft release、release gate、replay run、质量归因、golden case、调用点和迁移缺口；客户空间、Space、Project Launch 和项目级 AI 副驾不得暴露 prompt body。标记为inline_discovered/needs_migration的资产只代表已完成清单梳理，运行时仍需单独迁移调用点到 PromptRuntimeService/PromptReleaseService 后才算可运营生效；已迁移调用点必须只消费 active release，当前 tenant 和平台运行租户都缺失 active release 或 release 渲染失败时 fail-closed，不得使用代码内 fallback prompt；guarded_release可创建候选但激活必须通过 replay/schema/golden case 门禁，当前 golden replay 无 active golden case 或无最新 replay run 时保持阻塞；LLM 回放只允许通过本地路由层和显式 routing_meta 执行，不在运营页硬选模型。- Workspace / Platform 账号边界：当前新增兼容层
tenant_memberships / tenant_invitations，把产品语义从“企业租户账号”收敛到solo-first, team-ready的个人空间/团队空间。手机号是登录、自注册与邀请绑定的主身份，后端通过phone_verification_codes、users.phone_e164和tenant_invitations.phone_e164串起“验证手机号 -> 创建或绑定账号 -> 创建个人空间 -> 接受团队邀请”的链路。用户账号不归团队所有；注册或受邀创建账号时必须有个人空间，接受邀请只是增加团队空间 membership，退出团队空间后仍保留个人空间。PMFlow 内部平台身份由platform_memberships单独承载，并在登录响应和/users/me返回platform_context，客户空间OWNER不自动拥有平台能力。历史数据修复由backend/alembic/versions/20260428_repair_admin_yangyu_workspace_state.py承接：tenant_id=1保留为旧团队空间，admin/yangyu 的当前激活users.tenant_id分别指向自己的 personal workspace。 - AI 路由与供应商用户可见层必须脱敏并分平面：成员视图不得出现 low/high、provider、model、
function_name、api_env、raw routing meta 或明文 key；客户空间负责人只看“质量优先 / 成本均衡 / 速度优先”和项目启动、需求结构化、任务拆解、人员匹配、内部问答、外部查询、飞书理解、飞书回复等场景策略；平台 AI Ops 的业务场景路由也不展示function_name，函数级路线只允许隐藏 Route Lab 只读诊断。 - 左侧导航不再展示团队负载、能力管理、用户管理或 AI 运营中心作为一级产品入口；旧
/projects、/users、/users/:id/profile、/users/:id/skills、/users/:id/skill-tasks/:skillId、/workloads、/workloads/:id与/dashboard均只作为兼容入口：/projects跳转/space/projects，用户相关旧路径跳转/space/settings/members或成员详情，/workloads*跳转/team-layer?view=capacity，/dashboard跳转/space。用户可见语义分别收敛为所有项目、成员与权限、团队今日容量；/space/projects使用空间壳承载项目集合和主流程分流，删除等高风险项目动作只放入高级操作；/team-layer承载 reviewer routing、Team Feed、执行能力、自适应容量、负责人容量模拟/调整与团队空间预留；客户侧 AI 使用设置归入/ai-config，PMFlow 平台 AI 路由、供应商和语义治理归入/platform/*。项目级页面通过顶部/右侧AI 副驾消费 AI 能力，只展示副驾状态、上下文缺口、待确认和项目流程跳转，不提供供应商、模型、MCP 模板或底层路由配置。 - PMFlow OS 原型页是前端独立产品域，不复用
AI Steward/Project Board的旧信息架构；新页面只允许消费frontend/src/features/pmflow-os/store.tsx的共享状态和行为组件，避免把原型再拖回 SSTC/治理后台语义。个人空间首页、新项目启动台和 Account Settings 同样是独立产品域：Space 只能通过frontend/src/api/space.ts做项目摘要、PMFlow OStruth-state / execution-summary / execution-capabilities的只读聚合并跳回主流程；Project Launch 默认走真实 draft/confirm 创建链，只有显式 demo 参数才使用本地状态机；Account Settings 只管理个人资料、偏好和通知，不改 OAuth/JWT/auth core、PMFlow OS truth store、Project Memory、ChangeSet 或 Execution Bridge 写回。
6. 工具与运行库存
backend/scripts/repair_requirement_plan_history.pyscripts/start_model_probe.shscripts/model_probe.pyscripts/gen_task_brief.shscripts/check_contract_sync.shfrontend/playwright.config.tsfrontend/vitest.setup.tsfrontend/e2e/feishu-project-full-flow.spec.tsfrontend/scripts/dev-entrypoint.shfrontend/scripts/login-live-check.mjs- 前端到后端访问链路已收敛为同源
/api：开发环境由 Vite proxy 转发，生产环境由 nginx/api反代；临时外网访问脚本与浏览器侧绝对 API base 配置已移除。
7. 维护建议
- 想看“现在怎么跑、边界怎么定”：先看
AGENTS.md，再看CLAUDE.md - 想看“模块都搬到哪里了、目录怎么分组”：看本文档
- 想看“接口/数据流契约”：看
docs/architecture/API_CONTRACTS.md与docs/architecture/DATAFLOW.md