02-第七波排程.md

结论

冈子 M1 可以立即启动，但仅限隔离原型开发，不能按“真实双租户隔离已成立”验收。依据：组件注册表、DSL 输入、品牌注入链路已具备；但跨包总契约未冻结、BFF auth 38/40 未复核、隔离 L3 未实测。
A6 建议裁决为“运行时 JSON 配置＋构建期 TS 类型与组件注册表”。依据：品牌运行时替换已有实测，配置治理已有版本表和端点；继续把租户配置固化进 TS，会削弱现有动态配置与版本治理的价值。该方案是本次架构建议，非材料既定结论。
第七波排五项：品牌与配置真闭环 → M1 双租户原型 → 隔离验证及域盘点 → 初始化 hooks → 发布总验收。价值排序不等于开工顺序：隔离验证必须首日并行，且作为发布阻断项。

以下 D0、D1 等为建议相对工作日，不是工期承诺；人员容量、域复杂度及生产环境情况均为『材料未涉及』。

① 冈子 M1 开工条件与 A6 裁决

开工分两道门

门槛	现在能做什么	必须先补什么	负责人建议
原型开发门	搭建 M1 工程、接入注册表和品牌链路、准备双租户构建与渲染用例	D0 确认“三问”中的落点、A6 接入方式；先写最小 D2 契约，不必等待全部 hooks 或 29 域完成	冈子主责，波波、一号配合
真实链路验收门	接真实 BFF、配置治理及租户身份链路，验证双租户独立运行	D2 冻结；BLK-1 auth 38/40 差异逐条解释并对齐；小齐完成本轮链路的 L3 实测	波波归口 D2，冈子＋二号核对 auth，小齐验隔离

最小 D2 必须包含：

DSL/schema 版本、15 类组件标识及属性约束。
品牌配置结构、加载时机、缺失或无效配置处理。
租户与 destination 上下文来源、传递规则、后端校验责任。
BFF 映射、鉴权要求、错误语义，以及 38/40 差异表。
配置版本选择、应用生效和回退语义。

依据：上述边界分别横跨 P1—P4 和冈子 BFF；单包通过不能证明跨包兼容。具体字段和差异原因为『材料未涉及』，D0 应核对现有契约，不能另造一套。

A6 的执行裁决

租户差异放运行时 JSON；可执行代码、类型和组件白名单放构建期 TS。

JSON 仅描述品牌、布局和已注册组件参数，不承载任意脚本或任意模块路径。依据：已有 15 类组件注册表与 DSL 校验器，可作为允许范围。
配置发布前调用现有校验能力；前端另设运行时版本及结构检查。无效配置应阻断激活，或使用该租户已验证版本，不能跨租户兜底。依据：运行时配置会把错误暴露时点移到运行阶段。
配置获取必须绑定后端认可的租户上下文；缓存键至少包含租户、必要的 destination 及配置版本。依据：P4 已定义身份上下文和 destination 硬条款，不能让前端参数替代授权。
M1 仍做两次干净构建：同一代码基线，分别验证两个租户产物及运行结果；扫描另一租户的品牌、配置和凭据残留，再验证运行时配置与数据隔离。依据：干净构建是原 M1 目标，但它本身不能证明后端数据隔离。

② 第七波可执行排程：五项任务

按“用户可见价值 × 白标闭环完成度”排序

优先级／任务	负责人建议	开工与依赖	必交成果与验收条件	排序依据
1. 品牌配置＋版本管理接真闭环	一号：品牌页；二号：版本页；小冈：治理 API；小齐：验收	D0 开工，先核对 API；D2 最小契约冻结后完成跨端联调	328 接真、329 关闭 fixture；从页面修改品牌，经治理 API 形成版本，应用端显示生效；按契约执行一次版本回退并核对结果	页面骨架、治理端点、品牌运行时消费均已存在，补齐联调即可把六包能力转成用户可见价值
2. 冈子 M1 双租户隔离原型	冈子主责；波波、一号、二号配合	D0 搭架子；D1 契约门通过后接真实链路	A6 决议、冻结的最小 D2、auth 差异结论；双租户干净构建记录；M1-target 按注册表约束运行；品牌、配置、身份及本轮数据链路不串租户	DSL、品牌和 BFF 输入已齐备大部，是白标前端真正可复制的关键一步
3. 三域 L3 实测＋UNKNOWN 复核＋29 域排队	小齐主责；小冈提供后端支持，波波协助接口清单对齐	D0 并行开工，不等待 UI/M1 完成	orders/pay/redemption 正反例实测；UNKNOWN 10 域逐项结论；29 域矩阵标注适配范围、依赖、测试和负责人；优先补齐任务 1、2 实际调用域	三域仅有适配与迁移记录，L3 尚未实测；当前无法证明共享后端安全支撑白标
4. 325 初始化 hooks 最小真实闭环	小冈主责，小齐验收	D0 盘点；D1 起在隔离环境逐项实装	九项逐项列出“完成／未完成／阻断原因”；完成新租户本轮必需的真实资源初始化；验证重复执行、失败清理及恢复路径	当前只有校验段全量，dry-run 全绿不等于能真实交付租户；此项决定白标能否复制而非手工拼装
5. 新租户端到端发布演练与总收口	小齐主责；六人按模块处理缺陷	任务 1—4 达到门槛后执行	用新租户串起“初始化→配置→M1→真实业务链路→G1–G6→回退演练”；保留版本、日志和失败证据；复核不可逆回退硬拦	发布脚本与验收门已存在，但材料未给出上述跨包完整链路跑通证据

时间与依赖安排

D0：先解除等待，同时开四条线。

波波组织冈子、一号、二号、小冈完成最小 D2 草案、落点确认及 A6 决议。
冈子开始 M1 工程和双租户测试夹具，不等待全部后端完成。
一号、二号开始真 API 接线；小齐开始三域 L3 和域盘点。
小冈先处理 API 联调阻断，再按资源容量推进 hooks，避免两项同时承诺满负荷。

D1：执行第一次阻断检查。

冻结最小 D2，给出 auth 38/40 的逐条核对结论。
三域 L3 一旦发现串租户，立即转为最高优先级修复；UI 可继续开发，真实发布暂停。
按本轮前端调用链，从 29 域中确定必需适配集；没有进入本轮的域明确禁用或排除，不默认为已安全。

D2—D3：建议作为首轮集成检查窗口。

检查品牌及版本真闭环、M1 首轮证据、hooks 实际执行记录。
根据三域实测和域盘点结果重估剩余工作；不要在盘点前承诺 29 域全部收口日期。
任务 5 按门槛触发，而不是按日期强行发布。

第七波完成线：一个新租户能真实初始化、配置品牌、运行 M1，并在明确的业务域范围内通过隔离与发布验收。

不包含的默认承诺：29 域全覆盖；其范围和工期尚无足够材料支持。

③ 最大技术风险

风险 1：租户隔离“局部适配成立，全链路仍可能失效”——最高风险

依据：当前仅有三域样板，L3 待实测，29 域适配未动，UNKNOWN 10 域未人工复核。前端双租户构建成功不能弥补后端查询、写入或关联路径的隔离缺口。

立即措施：

三域测试至少覆盖同租户合法访问、跨租户读写拒绝、伪造／缺失 destination、关联对象越权。
对缓存、异步任务、导出等路径先盘点；这些路径是否存在为『材料未涉及』，不能直接假定无风险。
真实发布只开放已验证域；未验证域若仍可从后端访问，不能仅靠隐藏前端入口规避。

29 域工程量评估：

不能用“三域迁移回填 582 行”线性外推。依据：代码行数不反映接口数量、历史数据质量、关联关系及回归规模。

D0—D1 建议产出逐域估算，统一使用：

总人日 = Σ（域盘点＋代码适配＋数据迁移／回填＋隔离回归）＋跨域联调＋发布演练。

先确认 UNKNOWN 10 域与 29 域是否重叠，避免重复计数；两者关系为『材料未涉及』。在逐域复杂度和人员吞吐明确前，准确人日及完成日期均不可可信给出。

风险 2：单包验证通过，被误当成可重复交付闭环

依据：D2 尚未落地、UI 仍待真联调、hooks 只有校验段全量。即使各包都已上 main，也可能在身份、配置版本或资源初始化边界上失配。

立即措施：D1 冻结最小 D2；禁止用 fixture 或 dry-run 结果替代真实链路验收；最终必须使用一个新租户执行任务 5。运行时 JSON 的版本校验与租户级缓存隔离纳入同一验收，不另留“后续优化”口子。