| content |
{"Commits":[{"Sha1":"47ce4c614 {"Commits":[{"Sha1":"47ce4c6146a13c443db38c5816749d0591339e46","Message":"fix(quotations): 视图筛选下沉服务端 + 公开方案页不再泄漏后端英文报错\n\n## 1. 三个筛选视图的分页回归（G24 引入，本次修复）\n审核中心 / 客户报价页 / 报价版本 原先在浏览器里对列表结果 filter。列表全量返回时\n那样是对的，但 G24 加分页后客户端筛选只作用于**当前页**：待审报价不在最新一页\n就会被静默漏掉，而分页条的 total 仍是全量数，出现「共 N 条却一行不显示」的错位。\n与 C27「聚合范围由前端恰好拿到多少行决定」同族——筛选范围必须由拥有数据的一层决定。\n\n- contracts 新增 QUOTATION_VIEW_FILTERS 单源（inbox/review/customer/versions），\n 两后端各自翻译成 Prisma where；total 随之变成「该视图下的全量」；\n- quotationListViewSchema 刻意不 extend paginationQuerySchema——那会让\n quotation.ts 反向 import pagination.ts 的值，与既有 type import 形成循环；\n- 非法 view 是 400 而不是静默退回全部（静默兜底会让筛选看着生效实则没有）；\n- 前端只保留一条**权限谓词**（无 customer_link.read 读不到 accessToken）：\n 它对同一角色恒为全真或全假，不会像数据谓词那样把行留在分页窗口外。\n\n⚠️ 期间发现 QuoteOption.accessToken 是 @default(uuid()) **非空**，\n原「客户报价页」的 options.some(accessToken) 实际是权限谓词而非数据谓词。\n\n## 2. 公开方案页把后端英文报错渲染给客户\nPublicCustomerSolutionView 直接渲染 query.error.message，客户看到的是\n「Solution project not found」——看不懂、像坏了，还把内部对象名暴露出去。\n改为统一中文文案，且**不区分**链接无效/未发布/返工中：区分开等于告诉持链接的人\n「方案确实存在，只是没轮到你看」，而服务端刻意用 404 而非 403 正是为了不泄露存在性\n（方案蓝图 S1 审计裁决）。前端说破，那道防线就白立了。\n\n## 门禁断言随执行点搬家（不是放宽）\nquotation-review-server-state / quotation-version-snapshot 钉的是被移走的客户端谓词。\n不变量没变、执行点变了，故改为钉：前端必须把 mode 作为 view 传下去、\n两后端必须从 contracts 单源翻译 where，并加 reject 断言禁止客户端重新实现视图谓词。\n\n## 证据（本地工作区 2026-08-01）\n- pnpm check 0 / check:runtime 294 / check:ui 9\n- 两后端各 +3 条断言（view=review 只回待审、total 随筛选收窄、非法 view 400）\n- 负向两条实跑判红后恢复：\n ① 服务端忽略 view → view=review 期望 1 实得 2 判红\n ② 视图谓词写回客户端 → quotation-view-client-side-filter 判红\n\nCo-Authored-By: Claude Fable 5 \u003cnoreply@anthropic.com\u003e\n","AuthorEmail":"luoguoguo@gmail.com","AuthorName":"luoguoguo","CommitterEmail":"luoguoguo@gmail.com","CommitterName":"luoguoguo","Timestamp":"2026-08-01T08:35:11-07:00"},{"Sha1":"b0ba9576541405a0613ae827ad3c80873437ef53","Message":"docs(flow): 重新梳理业务模块与主干流程，补齐审批中心并画 mermaid 流程图\n\nbusiness-flow-overview.md 写于同一天更早的提交，正文里一次都没提 approval-inbox\n（468a6cd 才落地的 9 类聚合）。本次按 contracts 与前端导航逐条核对后重梳理：\n\n- 新增 §6 待办审批中心：明确它是**横切在主干之上的视图，不是主干的一个节点**\n （无写端点、不重定义「什么算待审」、入口不设独立 capability 而挂 event.read），\n 并给出 9 类条目各自落在主干哪一步；第 8/9 类是待办不是审批闸门。\n- 新增 §1.1 业务模块分层，并标注 owner-matrix 里的 inventory/procurement/logistics\n **不是物理模块**：三个域的写链全部实现在 fulfillment.service.ts（~2100 行，\n 两后端各一份），按目录名去搜会扑空。\n- §3 补两条被 happy path 掩盖的主干分支：报价审批是**条件审批**\n （quotationMachine 的 DRAFT 同时接 send，服务端仅在存在 requiresApproval 的\n 方案档时抛 409 拦截）；销售订单可先转 PROCUREMENT_REQUIRED，纯服务订单反向跳过发运。\n- §1 主干图 ASCII 换 mermaid（GitHub 可渲染），信息等价。\n\n仍不复制状态机全图——那是 P1 禁止的第二真源，图里只点 contracts 导出符号名。\n未新建流程图文档：本文件已是该事项的登记位置，另开一份即第二真源。\n\n证据：本地工作区 check:docs-truth / check:naming / check:governance-docs /\ncheck:gate-selftest 均绿（静态级，工作区 dirty，不外推远端与运行态）。\n\nCo-Authored-By: Claude Opus 5 \u003cnoreply@anthropic.com\u003e\n","AuthorEmail":"luoguoguo@gmail.com","AuthorName":"luoguoguo","CommitterEmail":"luoguoguo@gmail.com","CommitterName":"luoguoguo","Timestamp":"2026-08-01T08:08:20-07:00"},{"Sha1":"f315e642beda9d7ccc527955b2397f4702d33a9c","Message":"chore(gate): docs-truth 负向测试固化 + 幽灵资产清单扩面\n\n会话里手工跑一次的红盘不留证据，下轮重构会静默失效（G13）。把 docs-truth 的\n负向测试固化为 scripts/lib/docs-truth.test.mjs，由 check:gate-selftest 重跑，\ngateSelftests 地板 2 → 3。\n\n幽灵资产两条断言扩面：\n- no-phantom-config-prisma 清单补入 docs/README.md 与 naming-standard.md\n- 新增 contracts-package-name，递归扫描 docs/ 全域，真值取自\n packages/contracts/package.json 的 name（非黑名单）\n\n扩清单判据：该文件是在**主张**这条幽灵引用，还是在**否定**它？只有前者进清单——\nADR 澄清段与治理经验库引用它正是为宣告作废，扫进来即咬住纠错本身（C1 同类陷阱）。\n\nCLAUDE.md 会话收尾清单同步回灌两个已实锤两次的坑：注入点是否真落在目标断言上\n（replace 只换第一处），以及红是否红在点子上（崩溃/环境不满足同样非 0 退出）。\n\nCo-Authored-By: Claude Opus 5 \u003cnoreply@anthropic.com\u003e\n","AuthorEmail":"luoguoguo@gmail.com","AuthorName":"luoguoguo","CommitterEmail":"luoguoguo@gmail.com","CommitterName":"luoguoguo","Timestamp":"2026-08-01T08:08:01-07:00"},{"Sha1":"468a6cd2ab36d76237ae9c4d849eda17204d722c","Message":"feat(approval-inbox): 跨域待办审批中心（切片一）——9 类聚合 + 中心内直接审批\n\n经 business-module-intake 接待流程落地，蓝图见 docs/domain/approval-inbox-blueprint.md。\n\n## 解决的问题\n全系统有 7 道审批闸门，只有报价那一道有「审核中心」入口；技术复核、经理批准、\n采购、盘点、红冲、退款全部藏在各自工作台深处，待办不可发现。\n\n## 设计要害：聚合层不得成为第二真源\n- **不新建聚合写入口**：中心里的审批动作一律打各域原有端点，写入唯一点不变；\n- **不重新定义「什么算待审」**：判据只引用各域自己的状态枚举；\n- **入参 schema 直接引用各域已有 Zod schema**（APPROVAL_PAYLOAD_SCHEMAS），\n 某域改入参→改自己的 schema→中心类型立刻变→编译期红，而不是运行时静默 400/409；\n- 描述表 `satisfies Record\u003cApprovalTaskKind, …\u003e` 锁全集，漏一类即编译不过；\n- capability 裁剪、自批过滤、排序计数统一交给 contracts 纯函数 buildApprovalInbox，\n 两后端共用——行为对等由结构保证（G17）。\n\n## 覆盖 9 类\n7 道审批 + 2 类客户决定后的待办（客户已接受待申请合同、客户已选档待转报价）。\n后两类**不是审批闸门**：客户决定仍立即生效，只是把「决定之后必须有人做的那一步」\n从各自工作台捞出来，零状态机改动、零迁移、零对客语义变更。\n\n## 实测暴露并绕开的坑\n- 盘点列表 capability(inventory.stocktake) ≠ 审批 capability(.approve)，\n SALES_MANAGER 只持后者——中心按**审批** capability 判定，否则审批人看不到自己该审的单；\n- 采购员不持 procurement.approve（三责分离），中心里必须继续不可见；\n- 方案两类需回传 versionNo 做 STALE_VERSION 校验，中心从聚合结果带出。\n\n## 诚实边界（蓝图 §7，切片二再补）\n发起人字段只有 2/7 个域存在，自批过滤只在红冲/退款生效，UI 如实标注可判定范围。\n**本模块不得宣称「已保证不可自批」**——只有这两类成立。\n\n## 证据（本地工作区 2026-08-01）\n- pnpm check 0 / check:runtime 294（地板 279→294）/ check:ui 9\n- contracts 13 条单测；两后端各 1 条聚合 HTTP 验收（capability 裁剪/跨租户/自批计数/待办类）\n- check:module-integration 新增 5 条断言，三条负向实跑判红后恢复：\n ① 聚合层加写端点 ② capability 裁剪改全放行 ③ 去掉实时失效\n 其中 ② 首轮未判红——断言只查标识符、留着未使用 import 就能骗过，\n 已收紧到锚定调用点（断言剧场自查）\n\nCo-Authored-By: Claude Fable 5 \u003cnoreply@anthropic.com\u003e\n","AuthorEmail":"luoguoguo@gmail.com","AuthorName":"luoguoguo","CommitterEmail":"luoguoguo@gmail.com","CommitterName":"luoguoguo","Timestamp":"2026-08-01T07:45:16-07:00"}],"HeadCommit":{"Sha1":"47ce4c6146a13c443db38c5816749d0591339e46","Message":"fix(quotations): 视图筛选下沉服务端 + 公开方案页不再泄漏后端英文报错\n\n## 1. 三个筛选视图的分页回归（G24 引入，本次修复）\n审核中心 / 客户报价页 / 报价版本 原先在浏览器里对列表结果 filter。列表全量返回时\n那样是对的，但 G24 加分页后客户端筛选只作用于**当前页**：待审报价不在最新一页\n就会被静默漏掉，而分页条的 total 仍是全量数，出现「共 N 条却一行不显示」的错位。\n与 C27「聚合范围由前端恰好拿到多少行决定」同族——筛选范围必须由拥有数据的一层决定。\n\n- contracts 新增 QUOTATION_VIEW_FILTERS 单源（inbox/review/customer/versions），\n 两后端各自翻译成 Prisma where；total 随之变成「该视图下的全量」；\n- quotationListViewSchema 刻意不 extend paginationQuerySchema——那会让\n quotation.ts 反向 import pagination.ts 的值，与既有 type import 形成循环；\n- 非法 view 是 400 而不是静默退回全部（静默兜底会让筛选看着生效实则没有）；\n- 前端只保留一条**权限谓词**（无 customer_link.read 读不到 accessToken）：\n 它对同一角色恒为全真或全假，不会像数据谓词那样把行留在分页窗口外。\n\n⚠️ 期间发现 QuoteOption.accessToken 是 @default(uuid()) **非空**，\n原「客户报价页」的 options.some(accessToken) 实际是权限谓词而非数据谓词。\n\n## 2. 公开方案页把后端英文报错渲染给客户\nPublicCustomerSolutionView 直接渲染 query.error.message，客户看到的是\n「Solution project not found」——看不懂、像坏了，还把内部对象名暴露出去。\n改为统一中文文案，且**不区分**链接无效/未发布/返工中：区分开等于告诉持链接的人\n「方案确实存在，只是没轮到你看」，而服务端刻意用 404 而非 403 正是为了不泄露存在性\n（方案蓝图 S1 审计裁决）。前端说破，那道防线就白立了。\n\n## 门禁断言随执行点搬家（不是放宽）\nquotation-review-server-state / quotation-version-snapshot 钉的是被移走的客户端谓词。\n不变量没变、执行点变了，故改为钉：前端必须把 mode 作为 view 传下去、\n两后端必须从 contracts 单源翻译 where，并加 reject 断言禁止客户端重新实现视图谓词。\n\n## 证据（本地工作区 2026-08-01）\n- pnpm check 0 / check:runtime 294 / check:ui 9\n- 两后端各 +3 条断言（view=review 只回待审、total 随筛选收窄、非法 view 400）\n- 负向两条实跑判红后恢复：\n ① 服务端忽略 view → view=review 期望 1 实得 2 判红\n ② 视图谓词写回客户端 → quotation-view-client-side-filter 判红\n\nCo-Authored-By: Claude Fable 5 \u003cnoreply@anthropic.com\u003e\n","AuthorEmail":"luoguoguo@gmail.com","AuthorName":"luoguoguo","CommitterEmail":"luoguoguo@gmail.com","CommitterName":"luoguoguo","Timestamp":"2026-08-01T08:35:11-07:00"},"CompareURL":"luoanwu/juhai-quotation-system/compare/b0ed5cba764d5df24360ea70486bad9b6885431d...47ce4c6146a13c443db38c5816749d0591339e46","Len":4}... |