danyang-match/docs/governance/decision-register.md

# 决策登记表 — decision-register.md

> **版本**：V1.0.1 配置与规则纠偏基线 · **生效**：2026-09-20 · **owner**：产品负责人
> **只登记产品负责人已正式确认的决策**（LOCKED / 已确认默认）。未确认项一律在
> `open-questions.md`，**不得**出现在本表（消解 PENDING「同一事项既待确认又已确认」矛盾）。
> 确认值同步记入 `config-register.md` 的「产品正式确认」列。

---

## 已确认决策

| 类别 | 确认项 | 分类 | 代码载体 / 备注 |
|------|--------|:---:|----------------|
| 品牌 | 善缘丹阳品牌正式启用 | LOCKED | 品牌资源统一走 `admin-web/src/brand.ts` 的 `BASE_URL` 拼接 |
| 首页 | Banner 运营 + 8 个核心入口 + 固定顺序 | LOCKED | INV-017 顺序固定，运营不可重排；Banner 仅内部跳转（INV-016） |
| 数据保留 | **注销后用户数据保留不得低于 36 个月**（2026-09-19 产品确认） | LOCKED | `account.data-retention-months`（默认 36）；到期人工审核匿名化清除（V049 `users.closed_at` + `DataRetentionService` + `account.retention.purge`）；隐私政策 §3.3 / PIA §8 已修订 |
| 服务站 | 万善公园婚姻登记处为固定阵地 | LOCKED | `service_locations` 种子数据 |
| 服务 | 婚恋咨询 + 婚前辅导进入 V1.1 首发 | LOCKED | counseling / premarital 模块 |
| 内容 | 婚恋课堂 + 婚恋反诈进入 V1.1 首发 | LOCKED | content 模块 |
| 活动 | 多类型公益活动 + 活动双向沟通确认进入 V1.1 首发 | LOCKED | 二阶段同意（INV-014/015） |
| 核心规则 | Required 不可放宽 / Mutual 后才 Chat / Block 优先 | LOCKED | 匹配/聊天不变量 |
| 推荐 | 每日 6 人 / Pass 冷却 180 天 | LOCKED | `match.default-daily-limit=6`、`match.default-cooldown-days=180` |
| 资料 | 兴趣标签上限 8 个 / 自我介绍 500 字符 | LOCKED | 前端常量 + 后端校验 |
| 资料审核 | 实名认证后的个人资料任何变更都必须生成新版本并重新进入审核；新版本审核通过前不得正常展示、推荐或参与匹配 | LOCKED | V1.2 用户确认；实现为 profile revision + published revision，后端门禁优先于前端隐藏 |
| 隐私 | Privacy 默认全 TRUE | LOCKED | `user_privacy_settings` |
| 活动规则 | 需审核 / 男女名额独立配置 / 互选最大 3 人 / 截止后 48 小时 | LOCKED | activity 模块 |
| 关系状态 | searching / getting_to_know / paused / matched_successfully / service_exited | LOCKED | 关系状态枚举 |
| 推荐重置 | 每日 00:00 Asia/Shanghai | LOCKED | 时区统一 Asia/Shanghai |
| 红娘权限 | DEC-MATCHMAKER-001 红娘角色定位与权限边界（受授权、受范围限制的公益服务角色，非管理员/裁决者/风控） | LOCKED | 见下方「红娘角色权限专项」 |
| 红娘权限 | DEC-MATCHMAKER-002 / A1 服务对象由平台授权人员或红娘组长分配，普通红娘仅访问本人有效分配对象 | LOCKED | 见下方「红娘角色权限专项」 |
| 红娘权限 | DEC-MATCHMAKER-003 / B1 红娘联系用户默认平台内渠道，不默认开放电话/线下/完整联系方式 | LOCKED | 见下方「红娘角色权限专项」 |
| 红娘权限 | DEC-MATCHMAKER-004 红娘不得代替用户执行交友决策（Like/Pass/活动意向/开启聊天/修改择偶条件/同意公开资料） | LOCKED | 见下方「红娘角色权限专项」 |
| 红娘权限 | DEC-MATCHMAKER-005 红娘数据访问最小必要（角色权限∧有效分配∧范围∧字段隐私∧服务目的，五条件同时满足） | LOCKED | 见下方「红娘角色权限专项」 |
| 红娘权限 | DEC-MATCHMAKER-006 红娘操作全程留痕（分配/受限查看/授权/越权拒绝等审计事件 + 第八节字段要求） | LOCKED | 见下方「红娘角色权限专项」 |
| V1.2 账号登录 | 用户使用已核验手机号 + 密码登录 | LOCKED | 新账号和历史微信账号关联均须完成手机号核验；不再新增独立用户名登录主路径 |
| V1.2 初始凭据 | 系统生成一次性初始密码，由后台授权人员线下核验后发放 | LOCKED | 只存密码哈希；首次登录强制改密；发放失败进入人工补发队列 |
| V1.2 服务授权 | 两份授权书分别确认；拒绝任一份即不能进入匹配、展示及相关服务 | LOCKED | 授权书版本、确认人、时间和审计信息独立保存 |
| V1.2 历史账号 | 历史微信用户必须完成手机号核验后关联；重复或歧义账号不得自动合并 | LOCKED | 进入人工关联队列，禁止覆盖已有用户数据 |
| V1.2 重复资料 | 重复手机号或资料不得自动覆盖，进入人工处理队列 | LOCKED | 注册、后台建档和导入均执行同一规则 |
| V1.2 红娘分配 | 首版沿用人工分配；自动分配算法另行确认 | LOCKED | 无可用红娘时进入待分配队列，不阻塞用户注册 |
| V1.2 看板范围 | 看板按当前登录主体的数据权限计算 | LOCKED | 普通红娘=本人；组长=本组织；管理员=平台范围；详情查询不得扩大范围 |
| V1.2 组长权限 | 红娘组长仅管理本组织内红娘及用户 | LOCKED | 不得跨组织建档、导入、分配或调整关系 |
| V1.2 工作台权限冲突裁决（2026-10-25） | 普通红娘与红娘组长均可查看五类工作台业务卡片，并在本人/本组织范围内执行审核、业务待办分配、确认、完成；不得跨组织、查看敏感原始佐证/咨询备注或代替用户作出 Like/Pass 等意思表示 | LOCKED | V068/V069 的授权意图按最新需求保留；V070/V071 仅作为历史收敛迁移，不得覆盖本裁决；后续幂等迁移恢复最小权限 |

---

### 红娘角色权限专项（ZC-MM-001~007，2026-10-10 登记）

> 决策基准：《善缘丹阳 V1.1 红娘角色权限正式决策与开发规则》V1.1（A1/B1 均标记 LOCKED）。
> 实施全链路：审计先行 → A1 建模 → 数据范围/字段隐私 → B1/代操作护栏 → 审计与权限回收 → 本登记。

| 决策 | 实施摘要 | 落地提交 | 验证 |
|------|---------|---------|------|
| DEC-MATCHMAKER-001~006 差距审计 | 全仓只读走查（角色/分配建模/数据范围/联系方式/代操作/审计/测试/治理 9 项），产出 P0×5 / P1×6 / P2×6 差距清单 | 2d60f78（ZC-MM-001 审计报告） | — |
| DEC-MATCHMAKER-002 / A1 | `matchmaker_assignments` 五态状态机（V053 部分唯一索引防多主责 + 存量回填）、`matchmaker_leader` 角色 + `matchmaker.team.assign`（V054）、`ServiceAssignmentPolicy` 唯一判定器、claim 端点删除、/pending 权限收敛 | 861c78e（ZC-MM-002） | 定向 38/38、UI 24/24、小程序真编译通过 |
| DEC-MATCHMAKER-005 / §5.2 | 读侧纯判定器（删除 assigned_operator_id 回退）、非持有人 404 防探测、字段白名单 7 键 + showOccupation 接入、组长团队脱敏统计 | 3caf5f8（ZC-MM-005） | mvn verify 884/884、UI 契约 24/24、后端契约 198 |
| DEC-MATCHMAKER-003 / B1 | 纯护栏（零生产代码改动）：MM-CONTACT-001~004 守卫锁定（无联系端点/无授权机制/零联系方式回显，含紧急联系人 write-only）；受控联系机制 DEFERRED（见 OQ-MATCHMAKER-003） | 5e484d0（ZC-MM-003） | MatchmakerContactGuardTest（负向注入） |
| DEC-MATCHMAKER-004 | 代操作核查 + 锁定：红娘可调写端点逐一无代用户意思表示；operator 主体调用户决策端点认证层 403（SecurityConfig 身份类型防线）；转介 must-confirm 语义测试锁死 | 5e484d0（ZC-MM-004） | MatchmakerActionGuardTest（负向注入） |
| DEC-MATCHMAKER-005/006 | V055 audit_logs 补 purpose_code/service_assignment_id/actor_role_snapshot/request_trace_id；JWT 权限实时查库回收（零缓存）；SensitiveAccessLog 接入服务详情；写接口 404 化防探测统一 | 1be0d98（ZC-MM-006） | mvn verify 884/884、后端契约 198 |
| **DEC-MATCHMAKER-003-B1 例外通道立项**（2026-10-11 LOCKED→已实现） | 受控联系全链路：V056 `matchmaker_contact_authorizations` 六态状态机（申请→审批→**用户单独同意**[PIPL，独立端点/无预同意参数]→限时生效→撤销/过期）+ ContactAuthorizationPolicy/Service + 双控制器 + 前端三端（miniapp 同意页/工作台入口、admin-web 审批 tab）；**唯一披露出口** disclose 专用端点（enabled fail-safe + 404 化 deny + user_phone_disclosure 敏感审计 + phone 不落应用日志）；守卫翻转五条（ReferralService 响应键白名单与无 @Scheduled 保留，其余从「锁不存在」改「锁新机制契约」）；审批岗/有效期/保留期等全部 DEFAULT+CONFIG（config-register `matchmaker.contact.*` 五键，非 LOCKED 待终审） | d3735e3 | mvn verify **895/895**、UI 契约 **24/24**、后端契约 **228**/CURATED 20、小程序真编译 **87 WXML**、守卫负向注入 **5+2** |

**专项验证汇总**：mvn verify 全量 **884/884**、UI 契约 **24/24**、后端契约 **198**、守卫负向注入变异验证 **7 处判红→还原**（守卫有效性自证）。

---

## 明确「非」已确认（防止误登记，OQ 见 open-questions.md）

| 事项 | 正确定位 | 参见 |
|------|----------|------|
| 照片上限 6 | **技术默认，未产品确认**（OQ-PROFILE-001） | open-questions |
| 推荐阈值 60 | **技术默认，未产品确认**（OQ-MATCH-001） | open-questions |
| 活体核验强制 | **V1.1 首发不强制**，Flag 默认关（OQ-IDENTITY-001） | open-questions |
| Banner 最大活跃数量 | **未定 + 代码未实现**（OQ-BANNER-001，真缺口） | open-questions |
| 有效匹配报送口径 | **PROVISIONAL，未产品裁决**（OQ-ANALYTICS-001） | open-questions |

---

*最后更新: 2026-10-23 — 登记 V1.2 Gate 0 账号生命周期、授权、资料发布、红娘分配和看板范围决策；此前已登记 V1.1 核心与红娘权限专项决策。*