结论先行

建议采用“六个责任包、一个契约基线、两个集成工作区、一个总验收门”。 五层、主题引擎、数据迁移全部纳入本波，冈子负责既有前端/BFF 对接，不再给冈子另开一个重叠施工包。

本波交付口径：全量设计可施工、契约可校验、关键风险可验证；不等于全部生产代码已上线。

依据：材料明确目标是“一次性全部交付白标化设计”；已有后端端点、BFF 映射只能证明已有能力基础，不能直接证明白标适配、租户隔离、迁移和回滚已经完成。

建议排期：满足六席可并行编辑、两台 Mac 可轮转验证的前提下，承诺 7—9 个工作日；5—6 日只作为无重大返工的冲刺目标。

依据：下面工作量估算为 180—258 人时，另加冈子 8—12 人时，且存在契约冻结、跨包验证和终验串行环节。每日有效工作时间、机器规格、CI 条件、历史数据复杂度均为 『材料未涉及』，不能据“两台 Mac、六席”直接报两天完成。

1. 统一施工约定

以下路径是建议新增的逻辑边界，并非声称现有仓库已有这些目录；实际目录结构 『材料未涉及』。

每人交付目录必须自含：

design.md          方案、取舍、边界、失败处理
contracts/         Schema、接口或机器可读约束
examples/          正例、反例、边界例
checks/            校验器、契约测试或关键验证脚本
acceptance.md      本包验收清单
evidence/          执行命令、结果、版本与日志
handoff.md         后续实施任务、依赖、剩余限制

自含不等于无依赖，而是验收人不需要口头追问即可理解、验证和移交。

依据：本次要求“一次性全部交付”，只提交散落文档会把集成工作留给下一波。

2. 六包总表

以上工时包括设计、样例、关键验证、交叉审阅和一轮修订，不包括完整生产实现。

依据：目标是全量设计交付，但已有风险要求至少有可执行证据，不能只估写文档时间。

3. 每包具体交付与判据

P1｜一号：品牌层＋主题引擎

范围

• 品牌清单：名称、Logo、favicon、颜色、字体、暗色模式、登录页、错误页、加载态及其他品牌触点。
• 主题 token 分层、默认值、继承、覆盖优先级、非法值处理与资源降级。
• 租户切换时主题加载、缓存隔离、旧样式清理。
• 邮件、导出、打印等触点是否存在 『材料未涉及』，先盘点；存在则纳入，不存在则以证据标记不适用。

验收判据

• 品牌触点盘点项 100% 有处理结论，不得以“换 Logo”替代品牌层。
• 提供两个明显不同的合成租户主题和一个默认主题，验证切换无跨租户残留。
• 非法主题、资源缺失、配置缺项均有可复现的降级测试。
• 与冈子现有设计规范七件套逐项建立对应关系；内容尚未核查，不预先声称兼容。

边界

• 不修改 DSL 组件实现；不自行增加租户识别机制。
• 输出主题契约给 P3，品牌数据映射要求给 P5。

依据： 材料明确指出“品牌层半吊子”是 Top3 风险之一。

P2｜波波：结构层＋受控 DSL

范围

• 将既有 14 类组件白名单落实为组件注册表、属性 Schema、插槽、事件与数据绑定约束。
• 定义页面、布局、导航、模块启停及受控扩展点。
• 明确禁止任意脚本、任意 SQL、任意服务端地址和无界嵌套。
• 对接 BFF 48 条映射及 P0/P1 清单。

验收判据

• 14/14 类组件有结构定义、正例、反例及错误定位规则。
• 48/48 条 BFF 映射有白标相关性判定、消费者与接入状态；不相关项须说明原因。
• P0/P1 清单 100% 分类：可直接复用、需适配、不适用、阻塞。
• 未知组件、越权绑定、超深结构、非法事件全部拒绝并给出明确错误。
• 至少一个合成租户完整页面走通配置解析到渲染的关键验证；冈子确认接入方式。

边界

• 导航隐藏不等于权限控制；权限与租户校验归 P4。
• 不以扩大 DSL 能力解决个别租户特例，新增能力须走契约变更。

依据： 已有白名单应作为收敛边界，直接对应“DSL 泥潭”风险。

P3｜阿仁：配置治理＋跨包总契约

范围

• 盘点并升级已有 tenant.yaml schema，保留兼容说明。
• 定义配置来源、覆盖优先级、默认值、校验、审批、审计、敏感信息引用和生效机制。
• 管理各包共用的契约版本、错误码、示例结构和变更记录。
• 规定配置与版本的引用关系；发布执行仍归 P6。

验收判据

• 所有跨包字段均有类型、必填性、默认值或缺失行为、所有者及兼容规则。
• 正例全部通过；缺字段、非法值、未知字段、冲突覆盖等反例均得到预期结果。
• 配置从草稿到审批、生效、撤回的状态及责任人完整。
• 敏感值不进入可提交配置样例；使用引用方式表达。
• 六包引用同一契约版本，禁止存在未裁决的同名异义字段。

边界

• 阿仁负责总契约归档与一致性，不替其他五人完成领域设计。
• 重大业务取舍的最终批准人 『材料未涉及』，开工时指定；不能让字段维护者隐性承担业务决策权。

依据： 五层共享配置和版本语义，必须有单一归口，否则两台机器各自正确、合并后仍会冲突。

P4｜二号：租户上下文＋隔离

范围

• 定义租户来源、身份绑定、入口解析、请求生命周期与可信传播规则。
• 覆盖 BFF、后端、数据访问、缓存、后台任务；消息、文件存储等机制是否存在 『材料未涉及』，先盘点再决定适用性。
• 定义用户切租户、管理员跨租户及越权拒绝规则。

验收判据

• 已有 60 路由域全部完成租户相关性盘点，输出当前端点清单和适配分类。
• “355+”不是精确分母：以盘点快照为准，逐端点标明租户绑定点、豁免理由或缺口。
• 两个合成租户完成合法访问、伪造租户、无上下文、跨租户读取、缓存串租户等关键用例。
• 客户端传入的 tenant ID 不能未经服务端授权直接成为有效上下文。
• 未验证的生产隔离能力明确标注，不拿设计测试替代全端点生产证明。

边界

• 不重写已有后端；交付适配矩阵与关键验证。
• P5/P6 的迁移与发布都必须使用本包规定的目标租户校验。

依据： 后端“就绪”不等于具备白标租户隔离，是最需要核查的隐含前提。

P5｜小渔：数据迁移＋租户初始化

范围

• 对齐既有四段初始化流水线，不凭空重新命名或替换其阶段。
• 建立源到目标的映射、逐实例迁移策略、幂等键、检查点、重试、失败恢复和核对方法。
• 覆盖种子 v1.6.0 十六模块的迁移/初始化适用性。
• 定义可逆迁移、不可逆迁移和备份恢复边界。

验收判据

• 16/16 模块有处理结论：复用、转换、补齐、不适用，并附理由。
• 用合成数据验证 dry-run、重复执行、失败后恢复、目标租户错误拒绝。
• 行数、关键字段、关联关系及业务不变量均有核对规则，所有差异必须可解释。
• 不可逆步骤明确恢复方案和停止条件，不得写成“一键回滚”。
• 每个人工步骤都有原因、操作者、输入、输出和验证点；不允许隐含手改数据库。

边界

• 真实历史库、规模、停机窗口及备份能力均为 『材料未涉及』；本波能验收迁移设计和合成演练，不能宣称真实迁移已成功。

依据： 直接对应材料中的“脚本半自动化”风险及逐实例迁移要求。

P6｜小齐：发布版本＋集成验收

范围

• 定义应用版本、配置 Schema 版本、DSL 版本、主题版本、数据版本的兼容关系。
• 定义租户级发布清单、灰度、暂停、回退和混合版本运行约束。
• 组装六包验收入口、证据索引和最终交付标签。

验收判据

• 发布清单能定位目标租户及全部依赖版本，禁止使用含糊的“最新版”。
• 至少演练：成功发布、兼容检查阻断、失败中止、支持范围内的回退。
• 数据不可逆时能阻止不安全回退，并指向 P5 恢复流程。
• 全部六包能从干净工作区按说明完成校验。
• 总验收报告列出通过、失败、不适用与未验证项；阻塞项未清零不得打交付标签。

依据： 发布版本层是独立交付能力，不能用“git 合并完成”代替发布可控。

② 两台 Mac 协作协议

1. 选择：一个权威 Git 仓，两端独立工作区

推荐同一远端仓库，不推荐两台机器各维护一套最终真相。

依据：六包共享契约、版本和验收链，分仓会增加同步成本；远端仓和托管条件 『材料未涉及』，开工时建立。无托管服务时，可临时以受控 SSH bare 仓作为唯一远端，并安排备份。

权威远端
├── main                     仅接收已验收提交
├── integration/wl-wave5     小齐负责集成
├── pkg/brand-theme          一号
├── pkg/structure            波波
├── pkg/config               阿仁
├── pkg/tenant-context       二号
├── pkg/migration            小渔
└── pkg/release              小齐

• 每席独立 git worktree，同机可直接读其他目录，但不得跨 worktree 写文件。
• 共享契约目录仅阿仁合入，其他人提变更请求。
• 既有前端/BFF 目录由冈子归口。
• 跨包修改必须由目标文件所有者确认；禁止“先帮别人改了再通知”。

2. 同机资源协议

共享文件方便，不代表数据库、端口和缓存可以混用。

• 每席固定端口段、临时目录、数据库/schema 和缓存前缀。
• 破坏性迁移、重置种子和长时间全套验证使用机器级预约锁。
• 全套集成验证每天安排固定窗口；日常运行轻量契约测试。
• SSH 用于执行明确命令和读取证据，不直接修改另一端未提交文件。

依据： 两台 Mac 的资源规格未知，共享运行态比共享文件更容易产生伪失败和数据污染。

3. 跨机同步协议

• 每日两次集成窗口，具体时刻开工时确定。
• 接口交接必须带：commit SHA、契约版本、变更说明、校验命令和结果。
• 第 2 日完成基线冻结；后续破坏性变更必须列出受影响包及返工量。
• 每个 PR 至少由一个上下游责任人审阅；小齐负责集成，不能以集成职责代替领域审阅。
• 集成失败只回退对应提交，不允许覆盖另一端整个目录。

③ “一次性全部交付”的验收标准

总验收采用六道门，全部通过才算完成

建议的阻塞问题定义： 核心范围漏项、契约无法兼容、关键验证失败、租户越权、迁移可能无声损坏数据、回退承诺与数据现实矛盾、验收无法复现。

最终交付物：

1. 带版本标签的统一仓库快照。
2. 六个自含包及跨包契约。
3. 全量覆盖矩阵与依赖图。
4. 统一校验入口及执行证据。
5. 冈子前端/BFF 接入确认记录。
6. 已知限制与后续实施清单。
7. 终验报告及批准记录。

不能偷换的边界： 把某项写入“后续实施”可以说明生产代码尚未开发，但不能把本波应完成的设计、契约或关键验证转移出去。

依据：否则只是全量目录，不是全量设计交付。

④ 依赖图＋关键路径

依赖图

已有方案 / schema / 白名单 / 后端清单 / 冈子材料
                          │
                    全员资产盘点
                          │
             ┌────────────┴────────────┐
             ▼                         ▼
      P3 配置与契约草案  ◄────反馈────► P4 租户上下文草案
             └────────────┬────────────┘
                          ▼
                 M1：统一契约基线冻结
                          │
            ┌─────────────┼─────────────┐
            ▼             ▼             ▼
      P1 品牌主题     P2 结构/DSL     P4 隔离验证
            │             │             │
            └──────┬──────┘             │
                   ▼                    │
         P5 最终迁移映射与演练 ◄─────────┘
                   │
                   ▼
         P6 集成兼容/发布/回退演练
                   │
                   ▼
        冈子对接确认＋六包复验＋终验标签

P5、P6 不必等到最后才开工。

• P5 从首日盘点种子、四段流水线和迁移风险，冻结后收敛映射。
• P6 从首日建立验收骨架和版本模型，最后才运行完整集成演练。
• P1/P2 首日完成触点和组件盘点，契约冻结后完成具体接口与验证。

依据： 将“开始工作依赖”和“最终验收依赖”分开，才能真正并行。

关键路径

预计关键路径：

资产盘点 → P3/P4 契约冻结 → P1/P2 数据形状收敛 → P5 迁移演练 → P6 发布兼容验证 → 终验。

这是计划关键路径，不是已测得结果。

依据：真实包复杂度尚未核查；若租户隔离存在根本缺口，P4 会成为最长路径；若冈子无法及时对接，P1/P2 联验也会成为瓶颈。

⑤ 诚实日历时间

1. 推荐执行日程

2. 估算成立条件

以每席每天 6 小时有效交付时间为规划假设：

• 六包：180—258 人时。
• 冈子对接：8—12 人时。
• 理想总量下限约为 188—270 ÷ 36 ≈ 5.2—7.5 个工作日。
• 还需考虑任务分配不均、关键路径及两台 Mac 的验证排队，因此建议承诺 7—9 个工作日，而非直接使用理想下限。

若按每周五个工作日、无节假日计算，约 9—13 个自然日；具体日期取决于实际开工日，材料未提供可确定的年份与工作日制度。

3. 必须明确的两种例外

例外 A：每台 Mac 实际只能一个席位独占工作。

则不能按六席并行估算。若每台每天仅有 6 小时有效机器使用时间，两台总吞吐为 12 人时/日，仅总量就需约 16—23 个工作日，另需考虑交接。

依据：同机共享目录只是协作条件，并不自动产生四席或三席同时工作的资源能力。

例外 B：要求“全部生产实现＋真实数据迁移＋上线验收”。

该目标另立估算，本材料不足以给可靠总工期。缺失项包括真实代码适配量、权限现状、历史数据规模、测试环境、发布设施、生产窗口和性能指标，均为 『材料未涉及』。不得沿用上述 7—9 日承诺。

开工即执行的指令

1. 阿仁建立覆盖矩阵、总契约和共享文件所有权。
2. 小齐建立统一仓、集成分支、验收骨架及机器验证预约表。
3. 二号先核查租户识别与隔离现状，优先暴露根本性缺口。
4. 一号、波波当天与冈子对齐品牌触点、14 类 DSL 和 48 条 BFF 映射。
5. 小渔当天盘点十六模块和四段流水线，列出不可逆迁移风险。
6. 开工时指定最终验收批准人，D2 冻结基线并重估一次；D2 后任何新增范围必须同时更新验收表、依赖和日历。

最终原则：一次性交付的是一个能够整体评审、复现验证并交给实施团队施工的白标设计基线，而不是六份互相引用、无人负责串起来的文档。