docs(mvp): 整理产品功能缺口待办清单

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

docs/mvp/1.0.0-产品功能缺口待办清单.md

@@ -0,0 +1,84 @@
+# Muse 1.0.0 产品功能缺口待办清单
+
+> 日期：2026-06-28
+> 口径：本文只记录“完整产品设计相比当前实现/验证仍缺什么”。1.0.0 线 A 是否可发仍以 [1.0.0-交付计划](1.0.0-交付计划.md)、[1.0.0-RC发布说明](1.0.0-RC发布说明.md)、[1.0.0-真验证清单](1.0.0-真验证清单.md) 为准。
+
+## 0. 结论
+
+Muse 1.0.0 线 A 最小可用闭环已经具备：写作、AI 真生成、候选采纳/拒绝、知识绑定/上传/检索、市场发现/安装/handoff、账户用量与配额、Admin 基础治理、MetaSchema 字段预校验都有 fresh 证据。
+
+但按完整产品设计看，仍有三类工作没有完成：
+
+1. **产品深面缺口**：导入深解析、版本恢复、市场生产者深面、知识失败恢复、账号安全真实能力等。
+2. **架构与横切债**：Meta impact all-real 用量建模、统一 Source/Auth/Audit/Outbox Schema、AI grant/runtime 物理隔离、gateway 运行期转发。
+3. **验证与运维债**：Admin Playwright、Studio D0-fork UI 物化用例、GraphRAG attribution、FileService 下载成功链路、recheck worker opt-in。
+
+以下清单按优先级排序；“验收标准”必须用真后端、真 PostgreSQL、外部 live 或 MSW-off e2e 证明，不接受 mock-only。
+
+## 1. P0：补齐后才算“完整产品体验”的缺口
+
+| 编号 | 域 | 待办 | 当前事实 | 最小验收标准 |
+|---|---|---|---|---|
+| P0-01 | content/import | LLM 全书深解析 | 完整导入向导已接上传扫描→AI owner 解析→章节确认→Knowledge Draft，但当前解析是 txt/md 确定性拆章，不调用 LLM。 | 真实上传一本长文后，AI owner 调外部模型产出章节候选；用户确认后只写 Knowledge Draft，不绕过审核；失败/超时可重试且可审计。 |
+| P0-02 | content/import | `docx/epub` 解析 | 当前只支持 `.txt/.md/.markdown`，`docx/epub` 返回 unsupported。 | 上传 docx/epub 后能抽取正文、章节与基础元数据；异常文件 fail-closed；有目标单测和真实后端 smoke。 |
+| P0-03 | content/version | 版本恢复/高级回滚 | 已有只读版本快照和任意两版 diff；没有写入式恢复/回滚入口。 | 从历史版本恢复时走 Content owner 写边界，生成新 revision、来源归因、审计和旧草稿失效；越权/陈旧 revision fail-closed。 |
+| P0-04 | content/export | FileService 下载成功链路 | 导出范围/格式 UI、任务查询和凭证下载已接；真后端下载 e2e 仍待 FileApi 环境 smoke。 | 配置对象存储/FileService 后，TXT/DOCX/EPUB 至少一种格式能生成文件、返回凭证、一次性下载并落审计；对象存储不可用时任务失败可追踪。 |
+| P0-05 | market/publisher | 发布者生产端深面 | Studio 已有保存、检查、提交审核、申诉、撤回、补充材料入口和 e2e；仍缺附件上传、发布素材管理、版本/审核反馈深面。 | 普通用户可上传发布素材/申诉附件、管理资产版本、查看审核反馈并重新提交；附件和素材走真实文件链路，权限/撤回/补充材料有真后端 e2e。 |
+| P0-06 | knowledge | 处理状态与失败恢复 UI | 上传、绑定、检索、草稿动作、图谱 CRUD 已接；RAGFlow 处理失败后的用户侧恢复深面不足。 | 用户能看到资料扫描/索引状态、失败原因、重试/删除/重新上传入口；真实 RAGFlow 失败与恢复路径有 e2e 或 real-PG 证据。 |
+| P0-07 | member/security | 真实改密、2FA、session service 会话吊销 | Studio 已补安全事件处理动作，但这不等于真实账号安全能力。 | 改密、二次验证、会话列表、单会话/全会话吊销由后端可信边界执行；高危动作有 step-up、审计和失败补偿。 |
+| P0-08 | member/preferences | 偏好与通知页 | 当前无完整 app 写契约，不能伪造前端。 | 有偏好/通知 OpenAPI、后端持久化、Studio UI、通知发送或降级策略；权限和租户隔离通过真测试。 |
+| P0-09 | meta | impact preview 生产级 all-real usage contributor | Meta schema 生命周期和字段校验已通；生产影响预览仍要求多 owner usage contributor all-real，本轮测试仅用 `VERIFIED_ZERO` 满足装配门。 | content/knowledge/ai/market/member 等真实贡献影响数据；publish/activate/rollback/deprecate 前能展示受影响对象与阻断原因；假 0 不允许通过。 |
+| P0-10 | admin/e2e | Admin Playwright 真后端 e2e | Admin 当前有 typecheck、Vitest、后端真 PG 证据；RC 明确未跑 Admin Playwright。 | 管理端至少覆盖 system 权限治理、AI 配置写命令、market 治理、meta schema 生命周期的 MSW-off Playwright。 |
+
+## 2. P1：功能已可用，但深度/闭环/证明不足
+
+| 编号 | 域 | 待办 | 当前事实 | 最小验收标准 |
+|---|---|---|---|---|
+| P1-01 | ai/eval | 真实评估集管理、LLM judge、评估结果对比/发布建议 | 已补本地确定性 Quality eval 执行器，合成/脱敏数据可终态化。 | 管理员可创建/导入评估集，授权后调用 judge，比较策略版本，产出发布建议；敏感数据外发必须有显式凭证和审计。 |
+| P1-02 | ai/agent | 工作流型智能体深编辑 | 配置型核心生命周期、版本、槽位 bind/unbind 已通；工作流型深编辑后置。 | Studio 支持工作流节点编辑、校验、保存版本、试运行；后端校验非法节点和越权工具。 |
+| P1-03 | ai/agent | 智能体运行试用与运行记录深面 | 生成主链已通，Agent 生命周期可管；“运行试用/运行记录”用户深面不足。 | Agent 页面能试运行当前版本、查看输入输出摘要、外部调用、用量和错误；敏感内容脱敏。 |
+| P1-04 | ai/slot | Override Slot Contract 主数据 | 当前 `slotKey` 仍偏自由字符串，系统默认 agent、合法槽位骨架和 `listWorkAgentSlots` 预设骨架未完整实现。 | 后端定义合法槽位目录、默认系统 agent 来源和兼容策略；前端只展示合法槽位；非法 slotKey fail-closed。 |
+| P1-05 | ai/arch | grant/runtime 完整物理包隔离 | 当前有最小 ArchUnit 护栏，尚未完成 ADR 级物理包拆分。 | runtime 包不能访问 grant 写模型；模块依赖图和 ArchUnit 均证明隔离；运行时自授权路径不可编译。 |
+| P1-06 | market/runtime | 副本资源回收 | KB/agent 物化和召回阻断已通；副本数据集/本地副本资源回收后置。 | 资产删除、召回、授权过期或用户卸载后，副本资源进入可追踪回收流程；失败可重试，不误删仍有效授权。 |
+| P1-07 | market/governance | 下架/撤权细补偿 | 管理治理和申诉主链已具备；下架/撤权后对安装者、绑定、运行中任务的补偿细节仍后置。 | 下架/撤权触达 installed_ref、槽位绑定、运行中任务和用户通知；补偿状态可查且幂等。 |
+| P1-08 | market/e2e | Studio D0-fork UI 物化用例 | 后端 D0-fork、KB handoff、召回已有证据；Studio `market-install-kb-retrieval.spec.ts` 仍 `test.fixme`。 | 补齐 global-setup 可用资产后，去掉 fixme，浏览器端完成安装 KB 后检索命中，且发布者私有内容不泄露。 |
+| P1-09 | knowledge/live | GraphRAG attribution live 验证 | external-live 中 GraphRAG attribution honest skipped，不计为通过。 | 配置独立 opt-in 后，真实 RAGFlow GraphRAG attribution 返回可追踪来源，缺配置只允许 skipped。 |
+| P1-10 | knowledge/recheck | recheck 真外部校验与 outbox worker 启用 | recheck 默认关闭，等待运维和外部源配置。 | worker claim/terminal、重试、幂等、失败审计完整；真实外部校验成功和失败均有证据。 |
+| P1-11 | events/studio | 统一 SSE 客户端接业务组件 | AI SSE 独立链路已修；通用 `connectEventStream` 未被业务组件广泛消费。 | 至少一个非 AI 业务组件使用统一事件流展示任务进度/通知；断线重连和去重有测试。 |
+| P1-12 | platform/gateway | gateway 运行期转发验证 | 配置层已收口，单体仍直服；Nacos/服务发现真实转发未首跑。 | gateway、muse-server、Nacos 同时部署，`/app-api` 与 `/admin-api` 经网关真实转发通过 smoke 和 e2e。 |
+| P1-13 | content/import | 完整导入向导 real-PG 与 MSW-off e2e 证据 | targeted 后端测试、前端 Vitest/typecheck 已过，mini-desktop 已真实应用 V34；但还缺专属 `_test` 库 Flyway V34 迁移回归和浏览器 MSW-off 全链 e2e。 | 用 `_test` 库跑导入向导 real-PG IT，浏览器从上传文件到章节确认再到 Knowledge Draft 生成全链通过；V34 迁移在测试库可重复验证。 |
+| P1-14 | market/publisher | 发布素材与申诉附件链路 | 当前发布和申诉主链可用，但前端提交里 `evidenceMaterials`、`attachmentIds` 仍偏空数组/轻量字段。 | 发布资产和申诉补充均可上传/选择附件，后端保存附件引用并在审核/治理详情中可追踪；非法附件、越权附件 fail-closed。 |
+
+## 3. P2：完整商业化/平台化能力，明确后置线 B
+
+| 编号 | 域 | 待办 | 当前事实 | 最小验收标准 |
+|---|---|---|---|---|
+| P2-01 | pay | 自助支付 | 1.0.0 线 A 明确不做，当前用 admin 人工开通会员。 | 支付订单、回调、权益发放、退款/补偿、对账和失败重试有真沙箱证据。 |
+| P2-02 | report | 报表大屏 | report 模块默认隐藏/禁用，不纳入线 A。 | 关键运营指标从真实事件/用量表汇总，权限隔离和刷新策略明确。 |
+| P2-03 | bpm | 工作流 | bpm 模块沿用平台代码但不纳入 Muse 线 A。 | 若启用，需定义 Muse 审批场景、菜单权限、流程实例和治理操作边界。 |
+| P2-04 | mp | 公众号/消息平台 | mp 模块后置。 | 绑定、模板消息、退订、失败重试和隐私合规完整。 |
+| P2-05 | meta/ui | 可视化 schema 编辑器 | 当前 admin 可做 schema 草稿与生命周期；可视化编辑器后置。 | 拖拽/表单化编辑字段、约束、版本 diff、影响预览，且不绕过 meta 校验。 |
+| P2-06 | cross/schema | 统一 Source/Auth/Audit/Outbox Schema | 当前按分域实现可用；统一横切 Schema 仍未落。 | 新增统一模型、迁移策略和兼容层；关键链路从统一 Schema 读写并有迁移验收。 |
+| P2-07 | cross/source | Source 全自治传播 | 关键市场/知识/AI 链路已补；全自治传播仍后置。 | Source 状态变化可跨域自动传播、补偿和重放，事件丢失有兜底扫描。 |
+| P2-08 | platform/flyway | 平台基线 Schema 版本化 | 历史 yudao 基座 schema 仍偏静态 dump。 | 基座表纳入 Flyway 或等价版本化流程，部署新库可一键 provision。 |
+
+## 4. 容易误判但已完成的项
+
+| 项 | 当前结论 |
+|---|---|
+| 完整导入向导 | 已建成上传扫描、AI owner 解析、章节确认、Knowledge Draft；缺的是 LLM 深解析、docx/epub、专属 real-PG 迁移回归和 MSW-off 浏览器全链证据。 |
+| AI 候选采纳/拒绝 | 已经真 New-API 生成、SSE done、采纳/拒绝归档；不是 mock-only。 |
+| Admin 配置 system agent | 创建、发布新版本、归档停用、Tool Grant 登记/调整已接真实 admin API；缺的是部分高危回滚/深命令和 Playwright。 |
+| Market 发布/申诉主链 | Studio 不是“生产者 0 UI”：已有保存、检查、提交审核、申诉、撤回、补充材料入口；缺的是附件/素材/版本管理等深面。 |
+| Market agent 物化 | 已落在 handoff 目标 owner 兑现点，槽位绑定指向本地副本；不是“安装后不可用”。 |
+| Market KB 召回触达 | 已触达 installed_ref 并阻断检索来源；缺的是副本资源回收和细补偿。 |
+| Member 用量/配额/New-API 管理口 | AI 生成用量写源、配额扣减、quota request worker、New-API 管理口 Real facade 已有证据；缺的是偏好通知和真实账号安全能力。 |
+| Account 市场投影 | 单体内 market provider 已真实提供 purchase/license/publish-records 投影，不应再按旧静态误判列为 facade 缺口。 |
+
+## 5. 使用规则
+
+1. 新任务从 P0 开始，优先补“用户能感知的完整体验”和“会阻塞发布治理的 owner 真实化”。
+2. 每项完成必须回写本文状态、相关模块 `.agent` 和 `docs/mvp/进度总账.md`；不新增过程型状态文档。
+3. 每项完成必须给出 fresh 证据：后端至少 real-PG 或 external-live；前端至少目标 Vitest/类型检查，用户旅程用 MSW-off Playwright。
+4. 默认 skipped、preview-only、mock-only、台账门禁不得作为完成证据。
+5. 涉及 DDL、生产库写入、外部服务凭据、支付/安全写操作时，先评审再执行。