chore: initial public snapshot for github upload

2026-03-26 20:06:14 +08:00
commit 0e5ecd930e
3497 changed files with 1586236 additions and 0 deletions
--- a/review/rounds/round1_architecture_review.md
+++ b/review/rounds/round1_architecture_review.md
@@ -0,0 +1,47 @@
+# Round-1 架构与替换路径评审输出
+
+- 评审日期：2026-03-19
+- 对应任务：`EXP-002`
+
+## 0. Skills 预审输入（2026-03-17）
+
+来源：`docs/subapi_design_comprehensive_review_findings_v1_2026-03-17.md`
+
+预置问题（会前必须预读）：
+
+1. `FND-P0-01`：内网隔离与 mTLS 未进入两周硬任务，是否允许带风险进入替换阶段。
+2. `FND-P1-05`：客户迁移缺少 SLA/沟通机制，是否影响商用推进节奏。
+3. `FND-P1-06`：任务 owner 未实名，是否会影响 P0 事件处置时效。
+4. `CB-SSOT-01`：是否已将“需求方仅用平台凭证入站、上游凭证零外发”写入 SSOT 并可验证。
+
+## 1. 评审结论
+
+- [ ] GO
+- [ ] CONDITIONAL GO
+- [ ] NO-GO
+
+## 2. 主要问题
+
+| 编号 | 等级 | 问题 | Owner | 截止日期 |
+|---|---|---|---|---|
+| R1-ISSUE-001 | P0 | 子系统边界安全未闭环：内网隔离与 mTLS 尚未形成硬门禁任务 | `SEC` + `PLAT` | 2026-03-20 |
+| R1-ISSUE-002 | P1 | 迁移方案缺少“客户受影响时的沟通/SLA/补偿”标准流程 | `产品` + `CS` + `法务` | 2026-03-24 |
+| R1-ISSUE-003 | P1 | P0/P1 任务 owner 尚未实名，升级授权链路风险较高 | `PMO` + `ARCH` | 2026-03-18 |
+| R1-ISSUE-004 | P1 | 接管率验收口径历史存在 canonical/alias 混算风险，需固化分母 | `ARCH` + `FIN` | 2026-03-22 |
+| R1-ISSUE-005 | P1 | 评审角色需要扩展到“用户代表、测试专家、网关专家”以覆盖真实使用与质量视角 | `ARCH` + `评审秘书` | 2026-03-18 |
+| R1-ISSUE-006 | P0 | 凭证边界未形成硬门禁（M-013~M-016）前，不得推进 S2 升波 | `SEC` + `PLAT` + `QA` | 2026-03-24 |
+
+## 3. 整改要求
+
+1. P0 项必须在 Round-2 前关闭，否则默认转入 `NO-GO` 候选。
+2. 所有 P1 项必须给出可验证证据（文档、日志、演练记录）并明确 owner+backup。
+3. 用户代表、测试专家、网关专家必须进入至少一轮实质评审并形成书面意见。
+4. 凭证边界必须满足：`M-013=0`、`M-014=100%`、`M-015=0`、`M-016=100%`。
+
+## 4. 证据链接
+
+1. `/home/long/project/立交桥/docs/subapi_design_comprehensive_review_findings_v1_2026-03-17.md`
+2. `/home/long/project/立交桥/docs/subapi_integration_risk_controls_execution_tasks_v1_2026-03-17.md`
+3. `/home/long/project/立交桥/review/experts_roster_2026-03-18.md`
+4. `/home/long/project/立交桥/docs/llm_gateway_subapi_evolution_plan_v4_2_2026-03-24.md`
+5. `/home/long/project/立交桥/docs/acceptance_gate_single_source_v1_2026-03-18.md`
--- a/review/rounds/round2_compat_billing_review.md
+++ b/review/rounds/round2_compat_billing_review.md
@@ -0,0 +1,55 @@
+# Round-2 兼容与计费一致性评审输出
+
+- 评审日期：2026-03-22
+- 对应任务：`EXP-003`
+
+## 0. Skills 预审输入（2026-03-17）
+
+来源：`docs/subapi_design_comprehensive_review_findings_v1_2026-03-17.md`
+补充来源：`docs/subapi_role_based_review_wargame_optimization_v1_2026-03-18.md`
+
+预置问题（会前必须预读）：
+
+1. `FND-P1-01`：主路径 SQL 包含 alias/空端点，是否与 canonical 契约冲突。
+2. `FND-P1-02`：`cn_platforms` 硬编码示例未配置化，是否影响 `cn_takeover=100%` 判断。
+3. `FND-P1-03`：Wave Gate 缺少 `route_mark_coverage_pct>=99.9%` 的硬门槛。
+4. `TST-001/TST-002`：契约漂移与流式高压回归是否已具备阻断能力。
+5. `GAT-001`：Provider 能力矩阵是否已覆盖全部已接入供应商。
+6. `CB-002`：需求方调用是否 100% 使用平台凭证，且无供应方上游凭证透出。
+
+## 1. 评审结论
+
+- [ ] GO
+- [x] CONDITIONAL GO（预审建议，待会议确认）
+- [ ] NO-GO
+
+## 2. 兼容差异清单
+
+| 编号 | 协议/端点 | 问题描述 | 风险等级 | Owner |
+|---|---|---|---|---|
+| R2-COMP-001 | 主路径统计口径（canonical） | 接管率分母需严格限定 canonical 端点，禁止混入 alias/空端点历史数据 | P1 | `ARCH` + `FIN` |
+| R2-COMP-002 | CN 平台识别口径 | `cn_platforms` 必须从配置中心/配置表读取，禁止 SQL 硬编码 | P1 | `PLAT` + `FIN` |
+| R2-COMP-003 | 契约漂移检测 | 升级前必须有契约漂移 CI 阻断，失败即停止发布 | P0 | `QA` + `PLAT` |
+| R2-COMP-004 | 流式与 Failover 组合场景 | 高压场景下 no-replay + 切换策略需有固定回归报告 | P0 | `QA` + `SRE` |
+| R2-COMP-005 | Provider 能力矩阵 | 已接入供应商能力矩阵未全量固化时，不得扩接新供应商 | P1 | `ARCH` + `PLAT` |
+| R2-COMP-006 | 入站凭证覆盖率 | `platform_credential_ingress_coverage_pct` 必须持续等于 100% | P0 | `PLAT` + `SEC` |
+| R2-COMP-007 | 凭证泄露防护 | 错误体/报表/导出不得出现可复用上游凭证 | P0 | `SEC` + `QA` |
+
+## 3. 账务风险清单
+
+| 编号 | 场景 | 风险描述 | 风险等级 | Owner |
+|---|---|---|---|---|
+| R2-BILL-001 | 幂等冲突告警 | 冲突告警已定义，但需验证是否能阻断继续升波 | P0 | `FIN` + `SRE` |
+| R2-BILL-002 | 账务争议处理 | 用户侧争议 SLA 与补偿边界需形成对外可执行文本 | P1 | `产品` + `FIN` + `法务` |
+| R2-BILL-003 | 升波证据包 | 升波审批缺少标准化账务抽样与 trace 证据包模板 | P1 | `QA` + `FIN` |
+| R2-BILL-004 | 凭证边界证据包 | 每次升波需提交 M-013~M-016 指标快照与日志证据 | P0 | `QA` + `SEC` + `SRE` |
+
+## 4. 证据链接
+
+1. `/home/long/project/立交桥/docs/subapi_design_comprehensive_review_findings_v1_2026-03-17.md`
+2. `/home/long/project/立交桥/docs/router_core_takeover_metrics_sql_dashboard_v1_2026-03-17.md`
+3. `/home/long/project/立交桥/docs/router_core_s2_acceptance_test_cases_v1_2026-03-17.md`
+4. `/home/long/project/立交桥/docs/subapi_role_based_review_wargame_optimization_v1_2026-03-18.md`
+5. `/home/long/project/立交桥/docs/subapi_integration_risk_controls_execution_tasks_v1_2026-03-17.md`
+6. `/home/long/project/立交桥/docs/llm_gateway_subapi_evolution_plan_v4_2_2026-03-24.md`
+7. `/home/long/project/立交桥/docs/acceptance_gate_single_source_v1_2026-03-18.md`
--- a/review/rounds/round3_security_compliance_review.md
+++ b/review/rounds/round3_security_compliance_review.md
@@ -0,0 +1,59 @@
+# Round-3 安全与合规攻防评审输出
+
+- 评审日期：2026-03-25
+- 对应任务：`EXP-004`
+
+## 0. Skills 预审输入（2026-03-17）
+
+来源：`docs/subapi_design_comprehensive_review_findings_v1_2026-03-17.md`
+补充来源：`docs/subapi_role_based_review_wargame_optimization_v1_2026-03-18.md`
+
+预置问题（会前必须预读）：
+
+1. `FND-P0-01`：内网隔离+mTLS 未明确排期，是否满足上线安全红线。
+2. `FND-P0-02`：query key 边界策略存在歧义，是否存在外部绕过路径。
+3. `FND-P1-04`：安全轮次是否具备可执行的问题清单与闭环责任人。
+4. `TST-001`：安全相关契约漂移是否接入 CI 阻断。
+5. `UXR-001`：安全事件是否具备 15 分钟用户通知机制。
+6. `CB-SEC-01`：凭证边界是否可验证（M-013~M-016）。
+
+## 1. 评审结论
+
+- [ ] GO
+- [x] CONDITIONAL GO（预审建议，待会议确认）
+- [ ] NO-GO
+
+## 2. 安全问题清单
+
+| 编号 | 风险点 | 等级 | 影响范围 | Owner | 截止日期 |
+|---|---|---|---|---|---|
+| R3-SEC-001 | subapi 内网隔离与公网不可达未完成验证 | P0 | 数据面与控制面边界 | `SEC` + `SRE` | 2026-03-20 |
+| R3-SEC-002 | 网关<->subapi mTLS 双向认证和轮换未完成演练 | P0 | 东西向链路安全 | `PLAT` + `SEC` | 2026-03-24 |
+| R3-SEC-003 | query key 外拒内转边界未完成全链路强测 | P0 | 鉴权与审计链路 | `SEC` + `QA` | 2026-03-21 |
+| R3-SEC-004 | 契约漂移 CI 阻断未形成强制门禁 | P1 | 发布流程 | `QA` + `PLAT` | 2026-03-22 |
+| R3-SEC-005 | 安全事件 15 分钟用户通知链路待实测 | P1 | 用户与客户成功 | `产品` + `CS` | 2026-03-22 |
+| R3-SEC-006 | 供应方上游凭证泄露检测与脱敏基线未完成 | P0 | 凭证与日志安全 | `SEC` + `PLAT` | 2026-03-26 |
+| R3-SEC-007 | 需求方绕过平台直连供应方检测未上线 | P0 | 出网与边界安全 | `SEC` + `SRE` | 2026-03-27 |
+| R3-SEC-008 | 平台凭证入站覆盖率未达 100% | P0 | 北向鉴权链路 | `PLAT` + `SEC` | 2026-03-26 |
+
+## 3. 合规结论
+
+1. ToS 审查结论：待法务确认（SEC-006）。
+2. 数据审计结论：待补充查询链路与导出证据样本。
+3. 需要法务补充项：低成本账号模块边界与用户告知条款一致性。
+4. 凭证边界合规结论：需求方仅使用平台凭证，供应方上游凭证零外发（待证据包确认）。
+
+## 4. 一票否决项检查
+
+| 项目 | 结果 | 说明 |
+|---|---|---|
+| 安全 P0 清零 | 否（预审） | `R3-SEC-001/002/003` 未关闭前默认不通过 |
+| 合规 P0 清零 | 待确认 | 依赖 `SEC-006` 法务结论与留档证据 |
+| 凭证边界 P0 清零 | 待确认 | 依赖 `R3-SEC-006/007/008` 与 `M-013~M-016` 达标 |
+
+## 5. 证据链接
+
+1. `/home/long/project/立交桥/docs/subapi_integration_risk_controls_execution_tasks_v1_2026-03-17.md`
+2. `/home/long/project/立交桥/docs/subapi_integration_compat_security_reliability_design_v1_2026-03-17.md`
+3. `/home/long/project/立交桥/docs/acceptance_gate_single_source_v1_2026-03-18.md`
+4. `/home/long/project/立交桥/docs/llm_gateway_subapi_evolution_plan_v4_2_2026-03-24.md`
--- a/review/rounds/round4_reliability_wargame_review.md
+++ b/review/rounds/round4_reliability_wargame_review.md
@@ -0,0 +1,59 @@
+# Round-4 可靠性与回滚演练评审输出
+
+- 评审日期：2026-03-29
+- 对应任务：`EXP-005`
+
+## 0. Skills 预审输入（2026-03-17）
+
+来源：`docs/subapi_design_comprehensive_review_findings_v1_2026-03-17.md`
+补充来源：`docs/subapi_role_based_review_wargame_optimization_v1_2026-03-18.md`
+
+预置问题（会前必须预读）：
+
+1. `FND-P0-01`：网络边界与 mTLS 未闭环时，回滚演练是否具备生产可信度。
+2. `FND-P1-03`：数据覆盖率不足时是否应禁止升波与验收。
+3. `FND-P1-05`：恢复后客户沟通与赔付机制是否同步触发。
+4. `GAT-002`：三层降级策略是否已完成演练并可在 30 分钟止血。
+5. `UXR-002`：账务争议 SLA 是否可在恢复后同步执行。
+6. `CB-REL-01`：凭证边界指标（M-013~M-016）是否在故障与回滚场景下仍持续达标。
+
+## 1. 评审结论
+
+- [ ] GO
+- [x] CONDITIONAL GO（预审建议，待会议确认）
+- [ ] NO-GO
+
+## 2. 演练结果
+
+| 项目 | 目标值 | 实际值 | 是否达标 |
+|---|---|---|---|
+| 自动回滚触发时间 | <= 10 分钟 | 待演练（REL-003/GAT-002） | 待验证 |
+| 服务恢复时间 | <= 30 分钟 | 待演练（REL-005） | 待验证 |
+| 数据一致性 | 无错误账务 | 待演练（UB-003 抽样） | 待验证 |
+| 用户通知时效 | <= 15 分钟 | 待演练（UXR-001） | 待验证 |
+| 凭证泄露事件数（M-013） | = 0 | 待演练 | 待验证 |
+| 平台凭证入站覆盖率（M-014） | = 100% | 待演练 | 待验证 |
+| 绕过平台直连事件数（M-015） | = 0 | 待演练 | 待验证 |
+| query key 外部拒绝率（M-016） | = 100% | 待演练 | 待验证 |
+
+## 3. 故障复盘摘要
+
+1. 预设故障场景：契约升级失败 + 上游 5xx 突增 + 流式中断组合。
+2. 目标止血路径：10 分钟内自动回切，30 分钟内恢复可用并完成用户通知。
+3. 复盘要求：输出链路证据（触发时刻、回切动作、恢复确认、账务抽样、凭证边界指标快照）。
+
+## 4. 后续整改项
+
+| 编号 | 等级 | 整改项 | Owner | 截止日期 |
+|---|---|---|---|---|
+| R4-REL-001 | P0 | 三层降级策略演练脚本未形成发布门禁（GAT-002） | `ARCH` + `SRE` | 2026-03-25 |
+| R4-REL-002 | P1 | 用户账务争议流程未与回滚演练联动验证（UXR-002） | `产品` + `FIN` | 2026-03-25 |
+| R4-REL-003 | P1 | 升波证据包模板未在演练中完成实操（TST-003） | `QA` + `SRE` | 2026-03-23 |
+| R4-REL-004 | P0 | 凭证边界回滚演练未纳入发布门禁（M-013~M-016） | `SEC` + `SRE` + `QA` | 2026-03-27 |
+
+## 5. 证据链接
+
+1. `/home/long/project/立交桥/docs/router_core_s2_acceptance_test_cases_v1_2026-03-17.md`
+2. `/home/long/project/立交桥/docs/subapi_integration_risk_controls_execution_tasks_v1_2026-03-17.md`
+3. `/home/long/project/立交桥/docs/acceptance_gate_single_source_v1_2026-03-18.md`
+4. `/home/long/project/立交桥/docs/llm_gateway_subapi_evolution_plan_v4_2_2026-03-24.md`