From 16c82739db1c12dff004d75a62c03793453e2876 Mon Sep 17 00:00:00 2001 From: WorkBuddy Date: Sun, 11 Oct 2026 16:01:13 +0800 Subject: [PATCH] =?UTF-8?q?docs(governance):=20=E5=8F=97=E6=8E=A7=E8=81=94?= =?UTF-8?q?=E7=B3=BB=E4=BA=A7=E5=93=81=E8=A3=81=E5=86=B3=E8=90=BD=E8=B4=A6?= =?UTF-8?q?=E2=80=94=E2=80=94OQ-003/009/010=20=E5=85=A8=E9=83=A8=20RESOLVE?= =?UTF-8?q?D?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit - open-questions.md: OQ-MATCHMAKER-003 RESOLVED（5 项 LEGAL_VERIFY 全闭环：①组长主审+管理员兜底 ②用户单独同意已实现 ③有效期 7 天维持 ④保留期 365 天维持 ⑤审计面满足+NULL=NULL 维持；建议放量前转法务复核留痕）；OQ-009 RESOLVED（分层审批：主审岗=approver-authorities 首段走组织范围，兜底岗固定 matchmaker.assign 全量，落地证据=4 条分层用例+注入自证+主理人 Docker 独立实跑 20/20）；OQ-010 RESOLVED（MatchmakerContactDisabledTest 行为基线，顺带修复 request 未查 enabled 真实缺口） - config-register.md: approver-authorities 转「已裁决/分层语义」（键名默认值不变）；enabled/request 读点更新 - PENDING_DECISIONS.md: 受控联系行改「产品裁决全部落定」，剩余决策清零 --- docs/PENDING_DECISIONS.md | 4 ++-- docs/governance/config-register.md | 4 ++-- docs/governance/open-questions.md | 35 +++++++++++++++--------------- 3 files changed, 21 insertions(+), 22 deletions(-) diff --git a/docs/PENDING_DECISIONS.md b/docs/PENDING_DECISIONS.md index 499ca6a..44e1004 100644 --- a/docs/PENDING_DECISIONS.md +++ b/docs/PENDING_DECISIONS.md @@ -74,7 +74,7 @@ | DEC-MATCHMAKER-004 不得代替用户决定 | Like/Pass/活动意向/开启聊天等用户本人操作 | ✅ 已完成（LOCKED；5e484d0 锁定） | | DEC-MATCHMAKER-005 数据最小必要 | RBAC + 数据范围 + 字段隐私 + 服务授权 | ✅ 已完成（LOCKED；3caf5f8 + 1be0d98） | | DEC-MATCHMAKER-006 全程留痕 | 分配/受限查看/越权拒绝等审计 + 第八节字段 | ✅ 已完成（LOCKED；V055 + 1be0d98） | -| 受控联系（电话/线下）授权机制 | **已立项实现**（DEC-MATCHMAKER-003 B1 例外通道，V056，提交 d3735e3，QA PASS 0 P0/P1）：申请（须持有效分配）→ 审批（双岗 DEFAULT+CONFIG）→ **用户单独同意**（PIPL 单独同意动作：独立端点、无预同意参数、守卫三端锁定）→ 限时生效（默认 7 天）→ 撤销/过期全链路上线；唯一披露出口专用 disclose 端点（enabled fail-safe + 404 化 deny + user_phone_disclosure 敏感审计 + phone 不落日志） | ⏳ 剩余决策：双岗收敛（OQ-MATCHMAKER-009）+ 5 项 LEGAL_VERIFY 终审（OQ-MATCHMAKER-003）；参数均 DEFAULT+CONFIG，终审后改配置生效 | +| 受控联系（电话/线下）授权机制 | **已立项实现 + 产品裁决全部落定**（DEC-MATCHMAKER-003 B1 例外通道，V056，提交 d3735e3 → f73a116，QA PASS 0 P0/P1）：申请（须持有效分配）→ **审批（组长主审 + 平台管理员兜底，分层已实现）**→ **用户单独同意**（PIPL 单独同意动作：独立端点、无预同意参数、守卫三端锁定）→ 限时生效（7 天，DEFAULT+CONFIG）→ 撤销/过期全链路上线；唯一披露出口专用 disclose 端点（enabled fail-safe [request 入口已同步补齐] + 404 化 deny + user_phone_disclosure 敏感审计 + phone 不落日志） | ✅ 产品裁决闭环（2026-10-11）：①审批岗收敛=组长主审+管理员兜底（OQ-009 RESOLVED）②用户单独同意已实现 ③有效期 7 天维持 ④保留期 365 天维持 ⑤NULL=NULL 组长可审维持；建议正式放量前将裁决记录转法务复核留痕 | | C 端死代码退役 3 项 | MatchmakerServiceService.getCandidates / cancelService / getRecommendationsForUser（grep 全仓零调用已核，2026-10-10） | ⏳ 待产品确认：是否批准专项治理批次执行（与 ZC-MM-006 G6 评估清单合并为一个退役 PR，不混入功能提交） | --- @@ -146,5 +146,5 @@ --- -*最后更新: 2026-10-11 — 受控联系行更新为「已立项实现」（DEC-MATCHMAKER-003-B1，V056，提交 d3735e3，QA PASS 0 P0/P1；验证 mvn verify 895/895 / UI 24/24 / 后端契约 228/CURATED 20 / 真编译 87 WXML / 负向注入 5+2）；剩余决策 = OQ-MATCHMAKER-009 双岗收敛 + OQ-MATCHMAKER-003 的 5 项 LEGAL_VERIFY 终审。此前：2026-10-10 红娘角色权限专项回写（DEC-MATCHMAKER-001~006 全部 LOCKED 已落地，ZC-MM-001~007 全链路）；2026-09-20 V1.0.1 配置与规则纠偏（消解「推荐阈值 60 已确认 / 待定」矛盾等）。* +*最后更新: 2026-10-11（二次）— 受控联系产品裁决全部落定（OQ-MATCHMAKER-003 RESOLVED / 009 RESOLVED / 010 RESOLVED，提交 f73a116 分层审批落地；裁决内容=组长主审+管理员兜底、有效期 7 天、保留期 365 天、NULL=NULL 组长可审；建议放量前转法务复核留痕）。此前：2026-10-11 受控联系立项（DEC-MATCHMAKER-003-B1，V056，d3735e3）；2026-10-10 红娘角色权限专项回写（DEC-MATCHMAKER-001~006 全部 LOCKED 已落地，ZC-MM-001~007 全链路）；2026-09-20 V1.0.1 配置与规则纠偏。* diff --git a/docs/governance/config-register.md b/docs/governance/config-register.md index 825e59f..5b9cb13 100644 --- a/docs/governance/config-register.md +++ b/docs/governance/config-register.md @@ -40,7 +40,7 @@ | `account.feature-flags.*`（活动/红娘/图片聊天/申诉/转介/互选/专项 开关） | `features.*` | CONFIG | 见 `FeatureFlagConfig` | 部分 | 是 | `FeatureFlagConfig`；`feature_flag_overrides`（V048）持久化覆盖。 | | `idempotency.ttl` | 应用层 `idempotency_records`（TTL 默认 86400s） | CONFIG / LEGAL_VERIFY | `86400s` | 否 | 是 | 幂等去重窗口；开放第三方时需决定是否按调用方分级（OQ，见 open-questions）。 | | `matchmaker.contact.enabled` | `matchmaker.contact.enabled`（Java 字段 `enabled`） | CONFIG / TBD | 代码缺省 **`false`**（fail-safe：配置缺失=机制关闭）；生产 yml 显式 `true` | 否 | 是 | `ContactAuthorizationConfig`；受控联系（DEC-MATCHMAKER-003 B1 例外通道）功能总开关，紧急停用入口；判定点 `ContactAuthorizationService` 全部写路径与 disclose 前置。 | -| `matchmaker.contact.approver-authorities` | `matchmaker.contact.approver-authorities`（逗号分隔权限码） | CONFIG / TBD | `"matchmaker.team.assign,matchmaker.assign"` | 否 | 是 | `ContactAuthorizationConfig`；审批岗位（LEGAL_VERIFY① 默认双岗并列，待产品终审收敛单岗，见 OQ-MATCHMAKER-009）；读点 `approve`/`reject` 的 Service 层动态判定（@PreAuthorize 无法配置化，故下沉 Service）。 | +| `matchmaker.contact.approver-authorities` | `matchmaker.contact.approver-authorities`（逗号分隔权限码） | CONFIG / 已裁决（2026-10-11） | `"matchmaker.team.assign,matchmaker.assign"` | 是（分层语义） | 是 | `ContactAuthorizationConfig`；**分层审批（OQ-MATCHMAKER-009 RESOLVED）**：列表首段（默认 matchmaker.team.assign）=主审岗（组织范围校验，NULL=NULL 平台直属可审），兜底岗键固定 `matchmaker.assign`（全量审批不受组织限制、不受本配置调整影响）；两者皆无 403。读点 `approve`/`reject` Service 层动态判定。 | | `matchmaker.contact.consent-deadline-hours` | `matchmaker.contact.consent-deadline-hours` | CONFIG / TBD | `72` | 否 | 是 | `ContactAuthorizationConfig`；批准后用户单独同意窗口，超时 pending_consent 惰性收敛为 expired。 | | `matchmaker.contact.default-validity-days` | `matchmaker.contact.default-validity-days` | CONFIG / TBD | `7` | 否 | 是 | `ContactAuthorizationConfig`；授权生效期（LEGAL_VERIFY③ 默认值，待终审），expires_at = user_consented_at + N 天。 | | `matchmaker.contact.retention-days` | `matchmaker.contact.retention-days` | CONFIG / TBD | `365` | 否 | 是 | `ContactAuthorizationConfig`；授权记录保留期（LEGAL_VERIFY④ 默认值，对齐 OQ-LOCAL-ELIG-001 现行 365）；读点 `GET .../my` 响应 `retentionDays` 下发前端。 | @@ -57,5 +57,5 @@ --- -*最后更新: 2026-10-11 — 受控联系立项（V056 / 提交 d373e53 前后端，QA PASS）：登记 matchmaker.contact.* 五个 canonical key（enabled / approver-authorities / consent-deadline-hours / default-validity-days / retention-days，均 DEFAULT+CONFIG、产品正式确认列=否，LEGAL_VERIFY①③④ 待产品+法务终审，见 OQ-MATCHMAKER-003/009）；代码载体补 `ContactAuthorizationConfig`。此前：2026-09-21 V1.0.1 配置与规则纠偏 + canonical key 字面化。* +*最后更新: 2026-10-11（二次）— 受控联系产品裁决落账：approver-authorities 转「已裁决/分层语义」（组长主审+管理员兜底，OQ-009 RESOLVED）；enabled/consent-deadline-hours/default-validity-days/retention-days 裁决维持默认值（OQ-003 RESOLVED）；request 读点补 enabled fail-safe（OQ-010 落地顺带修复真实缺口）。此前：2026-10-11 受控联系立项登记五 key。* diff --git a/docs/governance/open-questions.md b/docs/governance/open-questions.md index 38d7b25..2577edc 100644 --- a/docs/governance/open-questions.md +++ b/docs/governance/open-questions.md @@ -80,30 +80,29 @@ ## OQ-MATCHMAKER-003 · 受控联系（电话/线下）开放前的产品/法务确认项【LEGAL_VERIFY】 -- **状态**：**IN_PROGRESS**（2026-10-11 立项实现：V056 + ContactAuthorizationPolicy/Service + 双控制器 + 前端三端，提交 d3735e3，QA PASS 0 P0/P1；双守卫翻转完成——`MatchmakerContactGuardTest` 改写为新机制契约、`MatchmakerActionGuardTest` 保留） -- **背景**：DEC-MATCHMAKER-003 / B1 LOCKED——默认平台内渠道联系，电话/线下联系须专项授权。B1 例外通道已按「申请（须持有效分配）→ 审批（双岗）→ **用户单独同意**（PIPL 单独同意动作，独立端点、无预同意参数）→ 限时生效 → 撤销/过期」全链路上线。 -- **关闭前必须逐项终审（①②标 LEGAL_VERIFY，需产品 + 法务共同裁决）**： - 1. 电话/线下联系例外由**哪个岗位批准**【LEGAL_VERIFY】——当前默认 `matchmaker.team.assign,matchmaker.assign` 双岗并列（待收敛，见 OQ-MATCHMAKER-009）； - 2. 例外授权是否需要**用户单独同意**、如何记录【LEGAL_VERIFY】——当前实现已满足"单独端点 + consent 留痕 + 无捆绑默认勾选"，待法务确认该形式合规； - 3. 临时授权的**有效期限**——当前默认 `default-validity-days=7`（DEFAULT+CONFIG）； - 4. 联系授权记录/联系结果摘要的**保留周期**——当前默认 `retention-days=365`（DEFAULT+CONFIG）； - 5. 授权审批与用户同意的**审计字段与查询面**——当前已实现（purpose_code=matchmaker.contact.* 全链路 + service_assignment_id + request_trace_id + user_phone_disclosure 敏感审计），待确认是否满足合规查询要求。 -- **以上默认值均非 LOCKED**：全部经 `matchmaker.contact.*` canonical key 配置化（config-register），产品/法务终审后改配置即可，无需改代码。 +- **状态**：**RESOLVED**（2026-10-11 产品裁决全部落定 + 实现/测试闭环，提交 d3735e3 → f73a116；建议正式放量前将本节产品裁决记录转法务复核留痕） +- **背景**：DEC-MATCHMAKER-003 / B1 LOCKED——默认平台内渠道联系，电话/线下联系须专项授权。B1 例外通道已按「申请（须持有效分配）→ 审批（组长主审+管理员兜底）→ **用户单独同意**（PIPL 单独同意动作，独立端点、无预同意参数）→ 限时生效 → 撤销/过期」全链路上线。 +- **五项终审裁定（2026-10-11，产品侧全部确认）**： + 1. 电话/线下联系例外由**哪个岗位批准**【LEGAL_VERIFY①】——**RESOLVED：组长主审 + 平台管理员兜底**（OQ-MATCHMAKER-009 裁决，分层审批已实现，提交 f73a116）； + 2. 例外授权是否需要**用户单独同意**、如何记录【LEGAL_VERIFY②】——**RESOLVED：已实现**（单独端点 + consent 留痕 + 无捆绑默认勾选 + 三端守卫锁定）； + 3. 临时授权的**有效期限**【LEGAL_VERIFY③】——**RESOLVED：维持 7 天**（`default-validity-days=7`，DEFAULT+CONFIG，调整改配置即生效）； + 4. 联系授权记录/联系结果摘要的**保留周期**【LEGAL_VERIFY④】——**RESOLVED：维持 365 天**（`retention-days=365`，对齐平台审计口径）； + 5. 授权审批与用户同意的**审计字段与查询面**【LEGAL_VERIFY⑤/现 OQ-003 第 5 项】——**RESOLVED：现状满足**（purpose_code=matchmaker.contact.* 全链路 + service_assignment_id + request_trace_id + user_phone_disclosure 敏感审计；平台直属 org=NULL 审批边界按 NULL=NULL 规则维持，与分配建模口径一致）。 +- **产品裁决记录**：2026-10-11 四项裁决全部按推荐选项确认（审批岗收敛/有效期 7 天/保留期 365 天/NULL=NULL 组长可审）；`matchmaker.contact.*` 全部 canonical key 保持 DEFAULT+CONFIG，后续调整改配置即可。 - **机械锁（已翻转）**：`MatchmakerContactGuardTest` 现锁定新机制契约——披露能力仅限专用白名单类、端点前缀白名单、到期/撤销/拒绝/未同意状态下 disclose 一律 404+DATA_SCOPE_DENIED、consent 端点独立性、ReferralService 禁词与无 @Scheduled 保留；未来绕过专用出口的披露路径必触红。 -- **关联**：DEC-MATCHMAKER-003 规则 7、《决策》§十一；V056；提交 d3735e3。 +- **关联**：DEC-MATCHMAKER-003 规则 7、《决策》§十一；V056；提交 d3735e3、f73a116。 ## OQ-MATCHMAKER-009 · 受控联系审批双岗并列待收敛 -- **状态**：OPEN（待产品确认） -- **现状**：`matchmaker.contact.approver-authorities` 默认 `"matchmaker.team.assign,matchmaker.assign"`——红娘组长（同组织范围）或平台管理员**任一**即可批准/拒绝受控联系申请，无会签、无分歧裁决规则。 -- **待确认**：收敛为单岗（组长 or 平台管理员）？或定义会签（双岗同时批准才生效）？或按渠道分级（线下见面需更高岗位）？ -- **关联**：OQ-MATCHMAKER-003 第 1 项【LEGAL_VERIFY】；config-register `matchmaker.contact.approver-authorities`；改配置即可生效，无需改代码。 +- **状态**：RESOLVED（2026-10-11 产品裁决：组长主审 + 平台管理员兜底，提交 f73a116） +- **裁定**：分层审批——`matchmaker.assign`（平台管理员）为**兜底岗**（全量审批、不做组织范围校验）；`approver-authorities` 首段（默认 `matchmaker.team.assign`）为**主审岗**（assertTeamScope 组织范围，hasGlobalAssign 固定不透传、防权限面双通道；NULL=NULL 平台直属可审）；两者皆无 403 deny。双岗兼任者按兜底岗口径全量审批。 +- **落地证据**：`MatchmakerContactAuthorizationTest` 4 条分层用例（管理员跨组织兜底/组长他组织 403/组长审平台直属/双岗兜底全量，HTTP+审计双断言）；负向注入移除兜底分支→恰好 2 例分层用例判红→还原复绿；主理人 Docker 独立实跑 20/20。 +- **关联**：OQ-MATCHMAKER-003 第 1 项；config-register `matchmaker.contact.approver-authorities`（键名/默认值不变，语义分层）。 ## OQ-MATCHMAKER-010 · QA P2-2：`matchmaker.contact.enabled=false` 行为用例待补 -- **状态**：TBD（QA 观察项移交，2026-10-11） -- **现状**：fail-safe 语义（配置缺失=机制关闭）已在配置层实现，但 `enabled=false` 下的**行为级**测试用例（申请/审批/consent/disclose 各端点在关闭态的拒绝响应与审计）尚未进入自动化基线。 -- **待办**：补集成用例（建议挂 `MatchmakerContactAuthorizationTest`，同文件串行追加）；在补齐前，关闭态行为由代码评审保证。 +- **状态**：RESOLVED（2026-10-11 补齐，提交 f73a116） +- **落地**：新增 `MatchmakerContactDisabledTest`（@SpringBootTest properties 覆盖 `matchmaker.contact.enabled=false`）——disclose/request 均 404 化拒绝、零 SensitiveAccessLog、零 contact 成功审计行、fail-safe 先于 purpose 业务校验。补齐过程中**发现并修复真实缺口**：request 入口原未查 enabled（disclose 有、request 无），已补 denyAsNotFound 与 disclose 口径一致。 ## OQ-MATCHMAKER-004 · 红娘组长组织边界的 NULL=NULL「平台直属」规则 @@ -146,4 +145,4 @@ --- -*最后更新: 2026-10-11 — OQ-MATCHMAKER-003 由 DEFERRED 转 IN_PROGRESS（受控联系已立项实现 V056 / 提交 d3735e3，双守卫翻转，5 项 LEGAL_VERIFY 待产品+法务终审后关闭，默认值均 DEFAULT+CONFIG）；新增 OQ-MATCHMAKER-009（审批双岗并列待收敛，OPEN）与 OQ-MATCHMAKER-010（QA P2-2：enabled=false 行为用例待补，TBD）。此前：2026-10-10 红娘专项新增 OQ-MATCHMAKER-003~008。* +*最后更新: 2026-10-11（二次）— 产品裁决落账：OQ-MATCHMAKER-003 RESOLVED（5 项 LEGAL_VERIFY 全闭环：①组长主审+管理员兜底 ②用户单独同意已实现 ③有效期 7 天 ④保留期 365 天 ⑤审计面满足+NULL=NULL 维持；建议放量前转法务复核留痕）、OQ-MATCHMAKER-009 RESOLVED（分层审批落地，提交 f73a116）、OQ-MATCHMAKER-010 RESOLVED（disabled 行为基线补齐，顺带修复 request 未查 enabled 真实缺口）。此前：2026-10-11 OQ-003 转 IN_PROGRESS / 新增 009~010；2026-10-10 红娘专项新增 OQ-MATCHMAKER-003~008。*