Admin 改造计划与代码基线

更新日期：2026-09-28。已从计划进入 B0/B1、B2 内容链路与 B3 官网栏目后台实施。真实 Admin 入口、Console 价格页面和两端公开内容消费者已修改；尚未迁移正式业务数据、关闭旧后台或部署新管理功能。

当前执行计划：逐平台交付

按用户“现在更新计划，逐平台进行”的要求，计划修订为 v1.13，当前平台为 Site，后续依次 Console、Admin 公共业务、Studio、Commerce、Drama。原 B0–B5 保留功能范围及历史证据，执行队列改为平台阶段；员工继续暂缓，供应独立，64 AF / 104 CK 和首批29项不变。

v1.13 计划更新已完成，Site 已进入实际交付。以可访问入口、实际业务流程和明确遗留项交付；Admin/Core 只补当前平台依赖，跨平台功能保留分端验收。平台顺序和完整功能主归属见 coordination/admin-refactor-plan.json 的 platform_delivery；规划状态不表示任何平台已整体验收。

Site 持久本地操作入口

2026-09-28：本地后台为 http://127.0.0.1:7076/admin/site，官网为 http://127.0.0.1:7077。新增 coordination/site-delivery/start.mjs 启动器，复用现有 Core、Admin BFF 与 Site 实现，独立 SQLite 与数据持久保留。登录辅助入口仅供本机查看，不是生产登录实现；未部署生产。

当前 Site 源码的 18 组栏目已通过后台导入。主视觉实际完成修改草稿、私有预览、发布、官网回读、回退、撤回与恢复；最终草稿 3、发布记录 5、公开内容版本 1，均已恢复为原始内容。桌面后台和移动官网截图已检查。此次新增的是可持续使用的本地入口和实际内容，未新增产品业务 API。

私有预览的在线资讯请求被新闻源 CORS 拒绝，尚未修复；12 条模型源码记录仍需在此持久环境归并共享内容与实际目录规格。全部栏目逐项操作、整页交互、正式来源资格、域名和 216 部署继续待验。Site 阶段为进行中，不以主视觉链路代替全栏目验收，104 项整项状态不变。操作说明及记录见 coordination/site-delivery/README.md、coordination/site-delivery/delivery.json。

Site 三项目协同增量

Site、Admin、Core 已分别在各自项目任务协同。Site 新增固定只读 /public/news 并导出不可变 design.20；Admin 采用该制品。真实 opaque 私有预览通过本站接口显示 9 张资讯卡，无原先的新闻源跨域错误。Core 核对既有 18 组栏目 API 完整，本轮无必要服务端代码改动。

Admin 实际 UI 对 18 组栏目逐组修改并保存回读，一次组合预览、发布及官网桌面/手机消费后回退，草稿与公开正文均恢复原始内容。最终草稿版本 5、发布记录 7、公开内容版本 1。12 条源码模型仅经既有 UI 归档为私有待审核草稿，重复导入无新增；销售目录 0、模型公开发布 0，未伪造价格或规格。详见 coordination/site-delivery/delivery.json 与 coordination/site-delivery/collaboration/admin.md。

仍需真实销售规格/协议/计量、来源审核、完整可选字段与整页交互、正式域名及目标 216 验收。Site 阶段为进行中；此增量不改变原 104 项整项验收状态。 2026-09-29 用户改为各项目本地提交、本地合并、最后统一推送，不走 PR。Site 原首页基线 PR #7 与本次 PR #9 均已关闭，远端分支保留历史；不得通过 GitHub 合并。#9 的 quality/governance job 此前因 GitHub 账户付款或支出限额未启动，没有远端代码检查结果；本地相关测试、构建、类型及格式检查通过。各仓本地整合及最终推送状态单独记录，不把关闭 PR 当作已合并。

当前范围调整：员工部分暂缓

2026-09-28 用户明确“员工部分的内容暂时不做”。计划修订为 v1.12：AF-E05 员工管理、角色与权限配置移出首批，单独暂缓，不自动排入 B4；暂停继续扩展专门岗位/工作区权限矩阵。既有登录、客户与管理端隔离、必要接口鉴权及历史代码/证据保留，不因延期降低现有边界。

首批调整为 B1 9 项、B2 10 项、B3 10 项，共 29 项；B4 17 项、B5 13 项、供应独立 4 项及暂缓 1 项合计仍为 64 项。104 项核对当前为 3 项通过、100 项待验、CK-F-E05 一项暂缓。下方历史记录中的 30 项首批及 3/101 状态是当时基线，不改写历史结论。当前优先公共内容、Site 编辑预览发布及 Console/Site 实际使用流程；员工配置不再构成首期交付门槛。

客户管理对象、字段与回执边界

按 CK-F-C02/C06、CK-A01/A02 与 CK-R01 补充实际 HTTP 验证。当前 Core 和 Admin BFF 使用隔离 SQLite、官方账号工具、Root 授权及持久委托；六组员工能力配置分别验证客户列表/过滤/详情、创建、修改及启停。模型许可和客户价格绑定追加合法写入及自身/同级/Root/不存在对象边界，正常客户修改没有被为安全而一律禁用。

176 次请求全部符合预期：41 次 200、90 次 403、28 次 400、16 次 404、1 次 401。覆盖角色/密码/账务字段注入、非法启停动作、搜索隔离、创建回执归属及原请求重放；Root 读取较低角色员工仍合法；客户禁用后重新启用不会恢复原会话。每次预期拒绝、只读回执及幂等重放前后，10 张相关表完整行摘要保持一致。

初次联验使用短委托，跨真实限流窗口等待后出现 401，未计为权限检查通过。改用项目已有持久委托与正常续期后重跑；原限流保持，初次失败及清理记录保留。创建时初始密码是合法必填字段，仅对资料/启停接口验证密码注入拒绝；脚本不将合法创建密码误列为禁止字段。

本轮无产品代码变更。结果、源码摘要和临时环境清理见 coordination/admin-refactor/customer-boundary-matrix-implementation.json。尚未覆盖完整价格规则、订单/账务、浏览器、全部字段组合、并发撤权、PostgreSQL 或 216，仍保留原完整验收要求。64 AF / 104 CK 与 3 项通过、101 项待验不变。

内容权限与回执归属的双层 HTTP 核对

按首批动作台账补充 CK-A01/A02、CK-F-E05/E06 的运行证据。当前源码构建 Core，在隔离 SQLite 中通过正式账号工具建立 Root、四名员工和普通客户；员工能力全部通过 Root 的真实授权接口配置，Admin 通过正式身份交接和受限委托调用 Core。没有替换授权函数或使用模拟业务响应。

13 组能力配置 × 24 类动作 × Core 直连/BFF 两层，完成 624 次内容请求；覆盖单独写入不获得读取、单独审核不能保存、目标发布隔离、共享模型发布所需源读取、Site 整页读取/发布组合。另加 24 次回执归属、顺序撤权/恢复及客户/匿名访问检查，总计 648 次，158 次 200、484 次 403、4 次 404、2 次 401 均符合预期。拒绝、回执读取和恢复重放均逐次比较 11 张内容、发布、审计及回执表的全行摘要，无额外变更。

测试脚本首次把共享位置的发布版本误读成 version，导致构造的请求缺少 expected_version 而返回 400；修正为真实字段 publication_version 后重跑通过。首次失败及清理记录保留，不将无效请求当权限拒绝证据。扩展回执检查前后的两次成功结果也分别保存。

本轮无产品运行代码变更；证据与当前源码摘要见 coordination/admin-refactor/content-role-matrix-implementation.json。临时 Core/BFF、数据库和凭据已清理。这是 13 组代表性配置的真实 HTTP 联验，不是全部内容子集、商业域、浏览器、并发撤权、全部对象字段、PostgreSQL 或 216 验收。64 AF / 104 CK 与 3 项通过、101 项待验不变。

首批功能的动作接口核对

已将 B1/B2/B3 的 30 项功能对应到 53 个固定契约接口：47 个 Admin 员工代理接口、6 个客户本人或公开消费接口，覆盖 8 份契约。Admin docs/FIRST-RELEASE-ACTIONS.md 列出页面、动作、接口组、DTO 引用、错误状态、并发与恢复方式；结构化台账保存契约版本和源码摘要，脚本核对功能集合、接口引用及真实 BFF 白名单。身份交接、Studio 只读来源、Site 预览制品分别说明，不混作同一 Core 业务 API。Site 模型位置独立发布，其他固定栏目复用整页保存/预览/发布。

修正 Admin README 和工作区授权说明中的旧 Root-only 表述：目录/价格等操作只有在员工策略开关和受支持 Core 策略同时具备时按显式能力开放，旧模式保持原限制；员工授权本身始终限 Root。历史数据契约注释保留原版本，核对时同时读取后续授权策略。

核对另发现独立待核对处置记录把空字符串当作缺失，允许覆盖。现在仅 null 表示不存在，空记录保持错误并阻止读取、替换和清除；新增回归测试验证原字节保留及操作者隔离。223 项 Admin 测试、类型检查、Site 开关启用/关闭的真实模式构建通过。此修复验证的是本机记录保护，没有发起账务 API，也未新增浏览器或真实结算验收。

证据见 coordination/admin-refactor/first-release-actions-implementation.json。源码映射不等于权限、HTTP、生产数据库或逐动作整项验收；B4/B5 与供应独立范围继续按完整清单核对。64 AF / 104 CK 和 3 项通过、101 项待验保持。

Admin 本机恢复记录异常处理

核对首批受控请求时发现：原通用写入挂件直接解析 sessionStorage，损坏 JSON 会中断页面渲染；新建客户同样在组件初始化时直接读取恢复记录。现在将缺失记录与不可读/损坏记录分开，检查操作者身份、已知命令类别、请求 ID 与正文请求 ID 的一致性；异常保持可读警告与重新读取入口，阻止使用对应记录的写入，不删除记录或换新操作 ID。客户创建弹窗可关闭，列表与导航仍可用。仅投影允许的记录字段，额外字段不参与恢复状态渲染。

开始恢复时及异步回执未命中后的重放前再次核对本机原意图；已显示命令与当前记录不一致、损坏或不可读则停止。客户创建在保存新命令标识前重新检查记录，防止打开较早的表单覆盖后来出现的待确认/损坏记录。Core 的字段、权限、并发与回执规则保持，前端格式检查不替代服务端判定。

222 项 Admin 自动测试通过，包含损坏 JSON/空串/错误类别、不同操作者、请求 ID 不一致、存储访问失败、记录变化、回执查找期间损坏以及合法恢复。真实临时 Core/Admin SQLite + Chromium 联验覆盖：1440 桌面异常记录、导航与客户弹窗；受控 Storage SecurityError；恢复读取权限后查询真实模型回执且版本仍为 1；查询真实客户创建回执；表单打开后记录损坏；390 手机提示无横向溢出。六组浏览器检查通过，无 pageerror，无浏览器 BFF 写入请求，原记录未被异常处理清除。测试中的人工替换只用于自建夹具，不是产品自动修复入口。

证据与清理见 coordination/admin-refactor/recovery-journal-implementation.json。Admin 运行手册与发布交接已增加异常处理规则；生产记录修复须先核对 Core 回执/审计。本轮不代表完整岗位/动作矩阵、PostgreSQL BFF 或目标 216 验收，64 AF / 104 CK 与 3 项通过、101 项待验不变。

Console/Site 撤回与源下架的真实浏览器传播

按 CK-P05、CK-R06 补充实际时钟的端到端测量。隔离当前 Core SQLite、真实 Console BFF 与两个 Site 服务（模型消费、整页消费），通过 Core HTTP 创建合成内容并发布；四个 Chromium 页面保持在线可见，确认客户端读取后执行撤回，不刷新、不加速计时器、不触发手动重新读取。起点为 Core 确认响应，终点为已打开页面的 DOM 清除，不将接口耗时当作浏览器传播时间。

本次目标撤回测量：Console 探索 29.419 秒、公开模型价格表 29.557 秒、Site 模型位置 29.740 秒、Site 整页 29.954 秒；探索中已打开的详情同时关闭，整页标题/描述/OpenGraph 描述与 canonical 按预期清理。随后重新发布，单独撤销模型源公开资格：四处模型展示分别在 29.497、29.605、29.756、29.961 秒消失；三个目标位置均回读为版本 6、withdrawn、空条目。整页中不相关的正文及品牌标题保留，未把局部源下架误作整页撤回。

实际浏览器断网模拟让四处内容在本机观测 1–3 毫秒内隐藏，恢复联网后重新验证；官网元数据清理另作断言。保留旧版本 3 响应，在离线失效并读到真实版本 4 撤回后才交付，旧卡片和详情没有复活。故障场景使用受控网络/路由注入，独立于正常轮询样本。1440 桌面和 390 手机均检查结果页；无应用运行异常或框架错误遮罩，控制台只有匿名会话检查预期的 401。

验证脚本早期两次调整均保留：首次记录器把 SSR 水合期间的清空误当断网；第二次 Playwright 响应正文观察未取到已渲染页面对应数据而超时。最终以完成的浏览器资源读取、渲染帧、实际 DOM 与 Site 发布版本确认测试起点，没有修改产品轮询或提高产品读取期限。完整脚本、版本/命令/页面记录、截图及自动清理见 coordination/admin-refactor/content-propagation-implementation.json；临时 Core、消费者、浏览器、数据库和凭据均已清理。

每个场景/页面仅一次最终样本，不代表 p95/p99、生产传播承诺、负载容量或 216；Admin 发起操作前的人机耗时、真实素材、浏览器/设备矩阵及生产监测责任仍需验收。交接章新增统一测量口径，本轮无产品源码变更。64 AF / 104 CK 与 3 项通过、101 项待验不变。

Console 与 Site 消费失败诊断

按 CK-R06 补充 Console 模型位置、Site 模型位置和整页正文的消费诊断。三条读取链路记录脱敏 public_content_failure，区分 transport/timeout/http/contract/expired，包含目标、位置、调用来源、上游状态与读取耗时。Site 首屏吞掉读取错误并隐藏内容时也可诊断；公开 HTTP、首屏和直接加载分别标记。原 503/no-store、匿名读取、严格契约与新鲜度检查保持；成功撤回不记故障，成功读取不输出逐次日志。

输出延后执行，每个进程最多一个待回调写入和 64 条排队事件，溢出/写入失败计入后续 dropped_total；字段白名单排除正文、地址、原始错误与凭据。该 Node 队列只限制应用缓存，不是独立日志线程，操作系统同步 stderr 仍可能阻塞事件循环；不将其描述为生产日志可靠交付。

真实临时 HTTP 上游验证错误状态、断连和恢复，输出维持通用 503且不转发身份；定时器测试覆盖五秒终止，另测契约/过期分类、关闭/成功安静、日志写入异常与积压、真实子进程 stderr 脱敏。Site 实际 SSR 测试核对故障时 HTTP 页面保持隐藏内容并仅有对应首屏事件；这些结果不证明浏览器撤回传播时限。源码摘要与检查记录见 coordination/admin-refactor/consumer-content-diagnostics-implementation.json。

本轮没有改动公开契约、浏览器页面、预览渲染源或数据存储。生产采集/告警/保留/负责人、浏览器消费诊断、真实撤回传播和 216 仍待验；64 AF / 104 CK 及 3 项通过、101 项待验不变。

内容命令与公开读取的运行诊断

按 CK-R06 补充 Core 侧内容运行事件。原内容接口没有可关联的结构化失败日志；现在直接/委托内容路由及匿名读取登记同一观察器，成功命令和失败请求输出 JSON 事件，包含路由模板、目标/位置、状态、耗时、合法操作 UUID 与成功版本。新提交和 recovered 重放分开记录，成功读取/预览及回执 GET 保持安静。正文、操作理由、路径对象值、查询、Cookie、Token、媒体地址及原始 SQL/错误不进入事件。

内容审计和回执持久化错误增加内部阶段分类，保留原有错误链与 HTTP 结果，不新增公开错误协议、业务接口、权限或数据库迁移。默认输出采用 64 条有界异步队列，接收端阻塞或失败不会拖住发布响应；溢出/写入失败计入后续事件的 dropped_total。日志为尽力交付，不替代事务审计或命令回执，也不能由缺少日志断言没有发生业务操作。

真实临时 PostgreSQL + 当前 Core HTTP 验证八次故障：分别阻断审计与回执写入，覆盖模型保存、Site 保存、Console 发布操作与 Site 发布操作。八次均返回 500 且准确归类 audit/receipt；42 张表、5 个序列以及草稿/发布回读不变。另验证实际命令重放仅记 recovered、回执 GET 不伪报新提交、真实 409、匿名 Site 读取失败及恢复。保留 16 条脱敏运行事件，没有原始故障标记、正文、理由或真实登录 Token 泄漏。

自动测试覆盖敏感输入、非法目标/操作 ID、服务源失败、日志接收端失败和阻塞、队列上限与丢弃计数；原有 SQLite 事务回滚测试补阶段断言。源码、完整检查及清理记录见 coordination/admin-refactor/content-observability-implementation.json。运行查询与响应步骤维护于 Core docs/content-observability.md。

本轮为 CK-R06、CK-A07/A08、CK-P02 的局部证据。外层身份/Origin/限流在观察器之前拒绝的请求、浏览器消费结果、撤回传播测量、生产收集器/告警阈值/保留/负责人及 216 仍需独立验收。64 AF / 104 CK 与 3 项通过、101 项待验不变。

公共内容与 Site 的 PostgreSQL 恢复演练

按 CK-B06、CK-M06、CK-R07 补充内容域恢复交接。使用当前 Core 源码构建独立二进制，在自建临时 PostgreSQL 集群中建立源库和新恢复库；通过实际 HTTP 接口创建合成目录模型、获准模型卡、Console/Site 两个模型发布位置、Site 正文及整页发布，并为编辑员工显式授权。备份不读取或修改正式环境，整个过程未连接 Admin 或公开消费者到恢复库。

对完整 Core 源库执行原生逻辑备份并恢复到新库，逐表内容摘要、行数与序列比较覆盖 42 张表和 5 个序列，均与备份时刻一致。恢复实例 API 回读草稿、历史正文、目标发布指针及整页发布历史一致；原模型保存、Site 保存和 Site 发布命令重放返回 recovered，所有表及序列保持不变，没有重复版本、审计或回执。

备份后通过原源库 API 继续保存模型/Site 新草稿、撤销模型源公开资格、撤回整页发布并撤销编辑员工能力。12 张表发生可核对变化。负向对照显示：旧恢复库仍包含旧发布与旧员工授权，不能因此直接接管流量。关闭内容开关的恢复实例没有管理或公开内容路由；开启仅用于隔离检查。恢复操作和回执重放均不改变源库的备份后数据。当前二进制在原源库关闭/重新开启内容功能后，所有行、序列、草稿、撤回及撤权结果保留。

Core 新增 docs/content-recovery.md，固定完整恢复单元、应用回退保库、新库隔离、增量差异与重新核对源资格的操作步骤。Admin 交接章节引用该责任，未新建第二份业务数据库或自动差异导入器。演练脚本、摘要和清理位于 coordination/admin-refactor/content-recovery-implementation.json；自建 Core/PostgreSQL、备份文件和凭据已清理。

本轮是实际隔离 PostgreSQL 备份/恢复证据，不是生产灾备验收。未验证任意旧二进制兼容、并发备份负载、定时备份/保留/加密落地、外部媒体恢复、真实岗位、216 或生产恢复点/时限。64 AF / 104 CK 及 3 项通过、101 项待验不变。

Site 媒体传输与连续发布旅程

上一轮未解释的连续导航超时已定位并修复。原静态服务对视频 Range: bytes=0- 返回分块传输的整文件 200，暂停的视频读取持续占用连接；真实浏览器第三次导航前仍有 12 条媒体请求未结束，文档请求等待超时。独立对照保留视频时出现 10 秒超时，阻断视频时六次导航约 0.4 秒；修复后保留全部视频，六次导航均为 375–506 ms。该时长是本地诊断数据，不是容量或性能承诺。

Site 静态文件改用固定版本 send@1.2.1 流式传输，正确响应范围读取、已知长度、HEAD 和 416；维持 no-store、目标 Host/方法限制、404、公开接口和字体跨域边界。新增真实 HTTP 测试核对字节切片、后缀/开放范围、无效范围与 If-Range、HEAD、私有路径和错误正文。锁文件变化使预览来源摘要更新，显式生成并采用 design.19；历史 preview design.18 及其他制品不改写，管理 design.13 和公开 design.12 不变。

隔离真实 Core/Admin BFF/Site + SQLite 的同一 Chromium 流程通过：18 组导入→编辑与重开→旧公开版本保留→桌面/手机私有预览→发布→非法输入拒绝→清除→历史回退→撤回→24 条人工选编（屏蔽后 23 条）→最终撤回。全部六次跨页面导航完成，浏览器无运行时异常。测试等待实际公开响应和目标条目，避免把水合前 SSR 或中间空状态误作最终结果；未以延长超时或删除视频掩盖故障。桌面 1440 与手机 390 验证三列/单列、无横向溢出及素材加载。

Site 40 项测试及完整构建、Admin 217 项测试/类型/启用与默认关闭构建通过；证据、版本摘要、历史制品核对及清理见 coordination/admin-refactor/site-navigation-lifecycle-implementation.json。此项补充 CK-F-S06/S10、CK-P03/P06、CK-M05、CK-R02/R04 局部证据；全量仍为 64 AF / 104 CK，3 项通过、101 项待验。未验证实际新闻服务授权、216、完整岗位/目标矩阵、正式切换或生产部署。

Site 整页对照与新闻迁移补齐

对当前源码页与真实 Core 发布页做 13 组 SSR 对照，记录标题、链接目标、图片及视频引用。模型条带仍走共享内容发布，不复制为第二份 Site 真值；其他主要栏目在上述指标中未发现遗漏，但不据此推定整页视觉与交互完全一致。对照记录见 coordination/admin-refactor/site-page-parity-evidence/page-audit.json。

新闻区明确缺失标题旁“查看更多资讯”入口、中文分类、原来源卡片和上海日期展示，桌面还从原三列变成四列。管理契约 design.13 / 公开投影 design.12 增加可选 news.action；Core 保存时执行链接校验，Admin 固定表单可编辑/移除，静态导入保留原入口。新字段省略兼容旧正文，清除不从旧静态页补回。公开页面及预览 design.18 共用本轮展示，恢复桌面三列和手机单列，并适应任意允许的新闻条数；自定义分类不推导图片，异常订阅行不能把对象渲染为文本。所有历史制品保留，新制品仍是未发布候选，写入新字段须先升级对应读取方。

本地验收使用隔离 Core/Admin BFF/Site 和真实登录交接 Cookie，覆盖当前 18 组内容导入、编辑回读、旧公开版本保留、私有桌面/手机预览、显式发布、非法链接拒绝且版本不增、清除、历史回退及撤回。另验证 24 条人工新闻的置顶、屏蔽、自定义分类与多行分隔线；外部订阅由隔离响应替代，不宣称 AIHot 在线服务或商业授权通过。浏览器的初次加载等待、过早统计水合中栏目及连续跨页面导航超时均保留记录；前半编辑/发布链路和后续人工选编/实时回退撤回分别验证，连续跨页面导航仍有待排查，不宣称整条旅程通过。

Core 全量 race/vet/build、Contracts 143 项测试、Admin 217 项测试及 Site 36 项测试通过；对应类型、构建、格式及制品字节核对见 coordination/admin-refactor/site-page-parity-implementation.json。本轮归入 CK-F-S06/S10、CK-B07、CK-P03/P06、CK-M05、CK-R02/R04、CK-A07 局部证据。64 AF / 104 CK、首批 30 AF、3 项通过与 101 项待验不变；真实来源资格、完整授权及整页交互矩阵、216 和正式切换交接仍待完成。

模型目标发布的编排保留与分别重试

真实 Core/Admin BFF 与隔离 SQLite 复现发布页重连自动采用其他员工发布版本，导致本地未发布编排及操作理由被覆盖。现关闭自动重连读取，补充“读取最新发布状态”：有编排或操作输入时确认放弃，成功后同版本也重置；读取期间锁定输入和目标/位置。临时读取故障保留编排、理由和回退版本；身份/权限拒绝清除旧内容。受控写入待确认时锁定目标/位置，迟到预览不能恢复旧目标界面。

1440×1000 与 390×844 两条浏览器完整流程覆盖真实并发发布后的 409、取消重读无请求、延迟成功读取锁定输入、503 保留输入、目标/位置切换取消、同版本重置及再次发布。Console 成功而 Site 引用失败时，Console 版本不变；只重试 Site、撤回 Site 和合法历史回退均不改 Console。真实撤销源公开资格后，历史回退返回 422，公开读取保持撤回。JSON 与非 JSON 403 均清除旧编排。额外手机场景持有真实已提交发布回执，验证目标/位置及输入锁定；理由单独修改也触发重读/离开确认；旧目标预览迟到不恢复旧内容。

Admin 216 项测试、类型检查、真实 Site 开关开启/关闭构建、修改文件格式与差异检查通过，浏览器无运行时异常；预期 409/422/503/403 单独记录。完整证据、源码摘要和清理见 coordination/admin-refactor/publication-reload-implementation.json。本轮为 CK-F-M09、CK-P02/P04/P06、CK-A04、CK-R02、CK-M07 局部证据，64 AF / 104 CK 与首批 30 AF 不变，整项验收仍为 3 项通过、101 项待验。未使用正式内容、未部署生产、未验证 216 或完整岗位/目标矩阵。

管理编辑器重读、重连与未保存输入

真实 Core/Admin BFF 与隔离 SQLite 复现三项输入丢失：Site 主动重读期间仍可输入，迟到响应覆盖新输入；Site 临时读取故障卸载未保存表单；模型内容页重连时自动采用其他编辑者的新版本。基线浏览器记录见 coordination/admin-refactor/editor-reload-evidence/baseline.json。

两个编辑页现按读取状态锁定正文、理由和保存动作。已有表单遇到网络、服务、响应格式或限流故障时保留输入并显示重试提示；首次读取失败仍显示错误。身份变化、401/403/404 等拒绝不进入保留分支，即使错误正文不是 JSON 也不保留旧私有界面。模型内容关闭重连自动读取，补显式确认重读及同版本放弃修改；保存后再次编辑继续执行离开确认。

十个 Chromium 场景覆盖 1440×1000 与 390×844：断网期间真实并发保存、重连不覆盖、真实版本冲突、取消重读无请求、迟到读取锁定输入、503 保留正文/理由、确认重读同版本、采用新版本保存、再次编辑取消离开、首次读取失败恢复，以及两个编辑页的 JSON/非 JSON 403。另由 Core 实际撤销员工权限，验证在途成功响应不能恢复已清理的 Site 编辑器。Site 公开状态保持未发布，不以保存草稿推定发布完成。

Admin 216 项测试（31 文件，含 18 个读取错误保留边界）、类型检查、真实 Site 开关开启/关闭构建及修改文件格式检查通过。初次浏览器断言早于查询状态渲染，最终用例等待可见读取状态后核对控件，原记录保留。完整版本、截图、文档检查与清理见 coordination/admin-refactor/editor-reload-implementation.json。证据归入 CK-F-M01/M08/S01、CK-A04、CK-P02、CK-R02、CK-M07；全量 64 AF / 104 CK、首批 30 AF 与整项状态不变。未新增生产、216、完整岗位/目标矩阵或正式内容切换验收。

Console 真实页面的会话到期与详情恢复

隔离 Core 与 Console BFF 分别使用独立 PostgreSQL 数据库，Console 由本轮源码新构建，真实密码页面完成身份交接。仅将 Core 源会话期限缩短到未来时间，等待实际到期；源记录保持 active 且未撤销，BFF 本站期限仍有效，收到 Core 的 401 后删除旧本站会话。

实际浏览器复现两个缺口：未登录打开调用详情时回跳只保留 /usage；生产路由将数字筛选解析为数字后，原字符串校验丢掉时间、模型和 Key。修复沿用前端/BFF 共用的登录目的地校验及服务端登录事务，保留合法订单/调用 ID 和用量筛选，拒绝账户选择、重复字段和非法地址；Core 仍接收已登记的裸路径，详情归属仍由业务接口验证。路由保留数字类型，仅在 API 查询构造时转文本，避免 from=0 丢失和数字字符串被路由加引号。首版数字修复引起的真实浏览器回跳失败记录保留，最终构建重新执行全部场景。

八个 Chromium 场景在 1440×950 和 390×844 下验证余额、用量/文本详情、本人价格到期清理及实际重新登录恢复。用量同时核对原调用详情和全部筛选在到期前/恢复后的真实 API 请求。另验证真实成功余额响应迟到不能恢复旧数据；沙箱订单已提交但响应未到时，原请求保留，重新登录手动核对仍返回同一订单，只有一条创建审计、没有到账。订单详情再次到期登录后仍定位原 ID。读取场景核对 14 张业务表不变，订单恢复与提交后快照比较全部 14 张表不变。

128 项前端测试、52 项常规 BFF 测试通过；默认跳过的 PostgreSQL 共享会话用例在本轮隔离数据库单独通过。构建、类型、修改文件格式与差异检查通过。浏览器无运行时异常；匿名/到期的 401 和未配置公开参考价的 CORE_PRICE_MISSING 422 单独记录，本人当前价及文本单价实际加载成功。初始化和测试夹具修正记录保留，不视为产品缺陷。

完整版本摘要、浏览器结果、截图、文档检查及清理记录见 coordination/admin-refactor/console-expiry-implementation.json。本轮仍为 CK-F-C06/C07/E06、CK-A04、CK-M07、CK-R01 局部证据；未验证生产域名、216、其他浏览器、完整岗位/目标矩阵及正式迁移。全量 64 AF / 104 CK、首批 30 AF 和整项状态保持。

本人账务与订单自助的源会话期限

真实 PostgreSQL 复现余额读取在等待期间源会话到期仍成功，以及订单写入后到期仍提交订单、审计和回执的问题。修复前源码与失败日志保留在 coordination/admin-refactor/self-business-expiry-evidence/。

本人余额、流水、操作、每日用量、文本价格和历史明细，以及商品、订单创建/重放和本人订单查询，现在复用 withControlSession 的普通客户角色守卫。原所有者过滤、账户锁与商业计算保持，到期拒绝成功响应；新订单、回执与审计一起回滚。可信支付回调和独立补偿 Worker 不受客户会话生命周期控制。

测试使用原领域方法建立实际预留、合成文本用量证据及结算，保留精确历史费用，不调用真实供应商。十三个到期场景覆盖钱包/聚合/计数/分页、操作/每日用量/文本查询、订单详情/列表/创建/重放及写后提交；完整行快照核对 14 张表，有效测试会话恢复后重新请求与去重。流水分页延迟明确只作用于最终数据页，不以计数阶段等待替代；初版较宽的延迟用例记录保留，最终证据以收紧后运行结果为准。

账户与历史回归包含普通第二客户及 Root 的本人数据隔离、七日空账户结果、私有字段裁剪、当前配置变化不重算历史费用、商品读取及订单重复/冲突请求。完整结果见 coordination/admin-refactor/self-business-expiry-implementation.json。本轮为 CK-F-C06/C07、CK-A04、CK-M07、CK-R01 的局部证据，未新增浏览器/实际身份入口联验，也不等同新商品或财务调整功能交付；全量 64 AF / 104 CK、首批 30 AF 与整项验收状态保持。

客户自助目录与报价的源会话期限

真实 PostgreSQL 复现了本人价格在目录锁等待期间源会话到期仍返回成功，以及报价写入后源会话到期仍提交快照和审计的问题。失败日志及修复前源码保留在 coordination/admin-refactor/self-catalog-expiry-evidence/。

模型列表、资格、组别、本人有效价、报价创建/重放及历史快照现复用已有 withControlSession，最低角色仍为普通客户。原账号/会话与目录锁顺序保持；成功返回前复核期限，到期则报价快照和审计一起回滚。公开参考价格保持匿名读取，报价不产生扣费。

七个真实 PostgreSQL 期限场景覆盖模型、资格、价格、新报价、报价重放、历史快照及报价写后到期；核对 14 张表完整行值，并验证恢复测试期限后的有效重试和重复请求。账户边界回归覆盖正常目录/组别、其他账户（Root/员工）不可读快照、模型许可撤销后原报价与历史快照不变、同请求变更正文冲突、新报价被拒绝及过期组别读取拒绝。首次边界夹具遗漏权限版本而返回正确的 CAS 冲突，补齐原版本后重新执行；原失败日志保留。

本轮归入 CK-F-C06、CK-A04、CK-M07、CK-R01 的局部证据。Core 全量检查与环境清理结果见 coordination/admin-refactor/self-catalog-expiry-implementation.json；未新增 HTTP/浏览器或生产身份联验，不将直接服务测试替代完整客户链路。其他本人账务/订单回归、完整岗位/目标矩阵、216、实际业务数据和迁移交接仍待验收；64 AF / 104 CK、首批 30 AF 和整项状态不变。

用量与身份能力读取的源会话期限

真实 PostgreSQL 复现了等待期间源会话到期后仍成功的员工能力查询和客户本人用量查询。修复将原期限守卫提取为接受调用方原最低角色的 withControlSession，原 Admin 包装继续保持 role10；OwnUsage/AdminUsage、Capabilities 在成功返回前复核期限。普通客户仍无员工能力，员工查询仍校验 usage.read 与目标层级，Root 的能力投影不变。

用量聚合和分页保持原账户锁与精确整数运算，期限到达时整体拒绝成功响应，不能返回已查询的部分结果。测试分别控制聚合前的真实表锁，以及聚合完成后、分页查询结果阶段的 PostgreSQL 延迟；后者由隔离 GORM 测试钩子发起数据库等待。最初分页延迟未触发的夹具失败日志保留，修正后重新执行，不将该次结果作为通过证据。

测试同时核对恢复有效期限后重新读取、普通客户能力为空、员工自身用量不越账户、客户不能调用管理员查询、员工不能查询自己或更高角色、撤销 usage.read 后旧身份被拒绝。持久业务记录保持原值。结果与清理记录见 coordination/admin-refactor/usage-capabilities-expiry-implementation.json；主清单保留 CK-F-E04/E05/E06、CK-A04、CK-M07、CK-R01 的局部证据，不将此项等同完整用量经营总览或 B4 完成。

其他客户自助接口、完整 HTTP/浏览器与岗位/目标矩阵、216、数据与迁移交接仍未验收。主动变更密码等会撤销自身身份的事务有独立生命周期，不能直接套用普通成功后会话守卫。

订单与待核对恢复的管理员事务期限

隔离 PostgreSQL 已复现管理员源会话到期后仍提交的订单核对与计费结算，Root 和获授权员工均受影响。失败时订单/签名证据应用、钱包、Key 额度、账本、恢复任务、审计及回执存在变化；原始失败日志与修复前源码保留在 coordination/admin-refactor/order-recovery-expiry-evidence/。

订单管理列表/详情/核对，待核对列表/详情/重试/结算/未领取释放，现共用既有 withAdminSession。请求仍先验证原角色、能力与目标账户；成功返回前核对源期限，到期则整个事务回滚，历史回执同样不能绕过当前身份。客户订单自助和后台补偿不接入管理员期限守卫，既有签名、冻结金额、唯一入账与恢复租约保持。

测试使用真实领域方法创建沙箱订单和计费准入/预留/领取/最终用量，不调用真实支付或上游生成。完整行快照覆盖 13 张表；订单详情先完成事务外归属查询，再施加真实表锁，确保核对的是授权后的等待。场景涵盖 Root 与员工、同请求有效重试/去重，以及操作员到期后签名沙箱补偿和独立结算 Worker 仍可完成。最终检查与清理记录见 coordination/admin-refactor/order-recovery-expiry-implementation.json。

本轮归入 CK-F-C07、CK-F-E05/E06、CK-A04、CK-R01，完整角色/目标/HTTP/浏览器矩阵与目标部署仍待核对；首批及全量范围、3 项基线通过和 101 项未整体验收状态不变。用量与身份能力读取、客户自助期限、216、数据迁移和运营交接继续按原计划推进。

客户、员工授权与审计的事务期限

真实 PostgreSQL 延迟写入复现：源会话到期后，客户停用仍提交账户状态、身份版本、修订与审计；员工授权仍提交权限版本、回执和审计。失败证据及修复前源码保留在 coordination/admin-refactor/customer-staff-expiry-evidence/。

客户详情/列表、创建/回执恢复、资料修改/启停，以及员工授权读写和管理审计现采用已有 withAdminSession。原授权和目标对象校验后，事务成功返回前复核源期限，到期则全部回滚。员工授权仍仅 Root 可改；普通员工审计仍限自己的操作，客户资料和启停保留原版本冲突语义；没有新权限、契约、迁移或资金操作。

回归核对六张表的完整行值，覆盖账号身份版本、资料修订、授权内容、回执和审计。数据库等待通过实际阻塞进程观察，写入后到期使用真实 PostgreSQL 延迟。恢复隔离会话期限后，创建/授权重复请求回放原回执，资料/启停的旧版本返回冲突，均不再次写入。普通员工的资料修改与审计读取另有对应场景；完整结果和清理记录见 coordination/admin-refactor/customer-staff-expiry-implementation.json。

证据归入 CK-F-C02、CK-F-E05/E06、CK-F-O01、CK-A04 与 CK-R01，仍是局部验收；首批 30 AF、完整 64 AF / 104 CK 和既有整项状态不变。订单/核对恢复、完整岗位/目标/端到端矩阵、216 与正式迁移仍待验收。

目录与价格事务源会话到期：复现与修复

首批商业接口核对复现了目录锁等待期间源会话自然到期后仍成功的情况：模型创建新增模型、回执与审计，模型列表仍返回成功。失败回归及修复前源码保留在 coordination/admin-refactor/catalog-expiry-evidence/。

复用已有内容事务复核，将其提取为 withAdminSession。六类共用目录写入（模型创建/更新/删除、账户模型权限、价格计划、账户价格绑定）在资源锁等待后与提交前检查源期限，历史回执重放同样受限；模型列表/详情、权限、计划历史、账户绑定及运营报价预览在返回前复核。身份、能力与目标账户授权继续由既有守卫执行，未改变锁顺序、计价算法、数据结构或契约。

PostgreSQL 定向回归覆盖 13 个数据库等待场景和 6 个写入后、提交前到期场景，核对六张业务/回执/审计表的完整行值，避免只查数量而遗漏模型状态或版本变化。保持源会话 active 且未撤销，只通过真实期限触发拒绝；后续恢复隔离会话期限并核对同请求重试和回执重放。完整验证及清理结果见 coordination/admin-refactor/catalog-expiry-implementation.json。

本轮证据归入 CK-F-C04/C05/C06、CK-F-E05/E06、CK-A04 与 CK-R01，整项状态仍保留。客户资料、订单/核对恢复、员工授权及客户自助接口的完整期限与角色矩阵、216 和正式迁移仍未验收。

私有预览独立到期与终止状态：复现与修复

真实隔离 Core SQLite/Admin PostgreSQL/Site 复现了预览缺口：阻断续期正文和窗口到期通知后，iframe 到期清空，但父页面仍保留私有摘要并允许发布；恢复通信后，旧通道的自动续期还能重新显示正文。失败脚本、截图和修复前源码已保留。

父页面现在独立等待每次渲染确认（5 秒），并将预览有效期限制为发送已核对正文后的 25 秒。单调时钟校验阻止事件循环延迟、迟到或重复确认延长期限；到期后清除摘要、禁用发布、停止续期并收起空白预览区域。窗口收到清除、错误、到期或隐藏事件后进入终止状态，旧通道不能恢复内容；管理员须主动重新核对，建立新的窗口和通道。

Site 显式生成 preview design.17，Admin 采用相同制品字节；此前 16 个版本的 32 个文件未改写，管理 design.12 与公开 design.11 不变。没有新增权限、依赖或数据库变更。证据为 coordination/admin-refactor/preview-lease-implementation.json 和 preview-lease-evidence/。

Admin 198 项测试和开启 Site/默认关闭 Site 的构建通过；Site 34 项测试、类型检查、客户端/SSR/预览构建通过。真实隔离服务的三组浏览器场景通过：1440px 丢失正文及到期通知、390px 丢失确认及迟到确认、Core 源会话到期时清理两个已打开窗口及第三个在途结果。前两组均验证旧通道不能恢复、手动重新核对可以恢复；草稿未进入公开接口或官网。页面身份、非空、无框架错误/横向溢出检查通过，无脚本异常；截图已审视。IPC 故障为主动注入，源期限为隔离数据缩短后的真实时钟，未覆盖生产登录或容量。修改文件格式和仓库差异检查通过；全仓格式检查仍报 7 个未修改的生成文件/夹具，日志保留，未改写这些文件。

本轮作为 CK-F-S10、CK-P03、CK-A04、CK-F-E05/E06、CK-B07、CK-R01/R02 的局部证据，不改变 64 AF / 104 CK、首批 30 AF 或三项基线通过的范围。完整岗位/动作、其他模块、真实身份入口和目标环境仍需验收。本机登记及 SSH 别名未找到“216”的对应关系，已向用户请求访问地址或别名；未选择其他环境替代，也未进行远程部署或容量测量。

Core 源会话在内容事务中到期：复现与修复

PostgreSQL 真实锁等待复现了权限边界缺口：模型请求先通过身份验证，再等待内容锁，源会话在等待中自然到期后，读取仍返回成功，保存仍新增内容版本、回执和审计。原账号/会话锁可以串行化撤权，但不会停止实际时间期限。

公共内容与 Site 的共用读取/受控命令现于资源锁等待后及返回结果/提交事务前复核已锁定身份；模型预览与 Site 发布前置准备采用同一校验，不改变锁顺序或权限授予。到期时拒绝整个操作，已执行的事务写入一并回滚。既有回执重放也需当前有效会话，Site 外部来源读取后的原有再次校验保留。没有新增数据库迁移、契约、依赖或商业写入方。

新增 PostgreSQL 回归覆盖九种内容锁等待：模型/Site 保存和读取、两类预览、两类发布及回执重放；另用真实数据库延迟 INSERT 覆盖模型/Site 写入后、提交前到期。均使用短期限源会话和真实时钟，核对拒绝结果及版本、审计、回执、发布记录无残留。

真实隔离 Core SQLite/Admin PostgreSQL 浏览器联验中，保留较长的 BFF 本站期限，只缩短其绑定的 Core 源会话期限。期限到达后，私有读取、预览与保存返回 401；1440/390px 两个页面的旧表单清除并回到登录，数据库计数保持不变。没有修改撤销标志、缩短 BFF 期限或伪造客户端时钟。本轮不代表已打开预览 iframe 的完整失效测试、全部商业模块或生产身份入口验收。

证据位于 coordination/admin-refactor/core-content-expiry-implementation.json 和 core-content-expiry-evidence/，包含失败复现、修复后回归、全量检查及清理结果。本次继续作为 CK-A04、CK-F-E04/E05/E06、CK-P03 等的局部证据；3 项基线通过、101 项待整体验收的状态不变，216、完整岗位/动作矩阵和后续批次继续执行。

公共管理与 Site 帮助：本地实现与联验

新增 Site 范围内的管理帮助路由和导航，进入帮助保持 Site 工作区，返回官网栏目和预览发布页使用现有真实路由。登录目的地同步登记，匿名访问登录后回到同一帮助页，仍由既有能力与 API 接入状态限制访问。公共管理帮助按当前能力显示共享模型说明及入口；帮助页本身不读取私有业务对象。

说明补齐草稿保存与线上发布的区别、固定版本预览、单独发布/撤回/历史回退、来源失效校验、共享模型展示位独立编排及未知结果回查。读取、编辑与发布权限分别说明；旧商业深链保留，Studio 来源模块继续原后台使用，Site 静态内容须经显式切换，Console 和供应范围不变。侧栏及帮助显示实际访问站点，不再固定宣称“本地 Core 联调”；官网预览地址沿用已有严格校验，无效配置不展示凭据或宣称可预览。

192 项测试、类型检查、开启 Site 与默认关闭 Site 的构建、格式及差异检查通过。Playwright Chromium 在真实隔离 Core SQLite/Admin PostgreSQL 上完成 6 组开启场景和 1 组关闭场景：1440/390px 的登录回跳、工作区导航、实际编辑/发布页面跳转、手机菜单收起与键盘返回；只读、编辑、发布身份说明与公共模型入口隔离；撤权后帮助页卸载且直请求 Site API 拒绝；默认关闭时不展示入口且深链拒绝。无页面脚本异常、框架错误或横向溢出，截图已审视；匿名 401、空草稿 404 和刻意撤权 403 为预期。

证据为 coordination/admin-refactor/admin-help-implementation.json 和 admin-help-evidence/。本轮验证帮助、导航和真实权限投影，未重新执行发布/资金操作，未验收生产身份入口或 216。AF-E08 记录局部完成；实际目标环境说明及旧入口交接仍须核对，整项状态继续为 3 项基线通过、101 项待验收。后续继续 B0 依赖、首批联合回归和 B4/B5 全量范围。

B0/B1 按原验收范围核对：三项基线通过

本轮保持 v1.11、64 AF / 104 CK 和首批公共管理与 Site 的 30 项功能范围。Console 继续作为客户后台，供应后台一期独立；未新增主任务或缩减 Studio、Commerce、Drama 后续范围。

按当前未提交工作区重新盘点：旧 Studio 台账中 16 个文件已变化，现刷新 26 个 section key、80 个 HTTP 操作、56 个路由、18 个设置字段和 165 个源码摘要，并保留旧快照。总览与财务看板只读，却曾因共用接口路径被列入写操作，现已修正归属；作品及工单来源补记事务内会话校验。九个权限谓词差异仍明确记录，它们属于来源缺陷及迁移时须处理的事项，未伪装为目标授权已完成。

当前执行台账为 3 项基线通过、101 项整项未执行，保留所有既有局部测试证据；尚无 AF 功能整体验收通过。前文各历史切片的“104 项未执行”为当时记录，本节为最新状态。B0、B1 仍在进行，B2/B3 保留局部实现，B4/B5 未完成。

已记录九仓本地分支、HEAD、未提交摘要及限定源码指纹，不把 HEAD 当成全部代码。此快照不包含 216 实际部署、负载或运行数据；CK-B01 继续待验收。B0/B1 其余条目按原要求重写剩余范围，移除“编辑页、消费者尚未实现”等过时概括，保留旧记录供追溯。待闭合的是目标环境与版本、逐动作契约、迁移备份责任、实际身份入口和完整岗位/动作矩阵。

代码审视另确认 CK-F-E08 的真实缺口：当前帮助页仅有公共范围、结果回查和身份说明，缺 Site 编辑/预览/发布/回退、环境和旧路径处置指引。本轮只登记该项，未修改产品界面。后续优先补帮助，再闭合 B0 依赖和首批联合验收，不以菜单存在作为交付。

证据为 coordination/admin-refactor/b0-b1-audit-implementation.json；细项审视、可重跑校验、构建依赖图及九仓快照位于 coordination/admin-refactor/b0-b1-audit-evidence/。本轮未重跑 HTTP、数据库或浏览器业务测试，没有迁移正式数据、停用旧入口或部署。

Admin 跨标签页失效与在途结果：本地实现与联验

基线真实浏览器复现：一个标签页退出后，另一个虽收到通知，但在 /bff/session 复核返回前仍显示可编辑的私有 Site 草稿。现由 AdminClient 发出明确的身份变化事件，其他同源标签页收到后先取消请求、清除身份与查询缓存、卸载表单，再重新验证。普通新标签页使用相同会话时保持原未保存表单；新会话即使用户 ID 相同仍清空旧表单。事件不传播权限或凭据，接收方独立查询服务端，避免通知回环。

新增 BFF 绝对期限的本地计时与请求边界校验：到期不再发送业务写入，响应或 JSON 正文在期限之后返回时也丢弃。明确的 ADMIN_IDENTITY_CHANGED 先失效再查询；普通对象 403 仍先核对身份，不把单对象拒绝当作身份变化造成重试循环。外部撤权继续经可见页面 20 秒轮询、聚焦或实际请求发现；发现后才广播，不宣称服务端主动推送。

192 项测试、类型检查及开启 Site 构建通过。真实隔离 Core SQLite、Admin PostgreSQL 和 Playwright Chromium 在 1440/390px 完成 11 组会话场景及 4 组在途结果场景：普通新标签页保留草稿；退出时身份查询延迟，旧表单仍立即卸载；同用户新会话与换账号；短期限 BFF 会话随真实时间到期，本站和兄弟标签页转入登录；Core 员工权限撤回被一个标签页发现后，另一个标签页清除草稿，真实 Site API 返回 403。

另验证真实服务已提交但响应延迟的保存：退出后旧结果不能恢复表单；重新登录按原请求回读收据，每组只有一次 PUT、版本只增加一次。已取得真实私有响应但延迟送达的读取也不会在退出后挂载编辑页。截图、页面身份、非空、无框架覆盖层和无横向溢出均核对，无脚本异常；预期未登录/撤权 HTTP 拒绝单独记录。

期限测试仅缩短隔离 BFF 记录并等待实际时钟，不代表完整 Core 源会话自然到期、生产身份入口或所有管理模块的验收。证据为 coordination/admin-refactor/admin-session-boundary-implementation.json。全量 64 AF / 104 CK 保留，整项状态不变；216、正式数据迁移、所有角色/动作/服务端写入竞态、B4/B5 等原要求继续执行。

Admin 深链登录与交接恢复：本地实现与联验

真实 Shell 的登录地址现在保留客户详情、价格历史、模型内容和 Site 等已接入页面。前端与 BFF 共用严格目的地校验，审计只接受既有 action/object_key 筛选；非法 ID、额外参数、外域、未接入路径及恢复页循环不作为目标。BFF 将完整目标保存在登录事务，Core 仍校验固定注册入口；旧事务继续使用原 returnPath。无效持久目标在会话提交前拒绝。

登录回调、未知结果手动重试和重新发起登录均恢复同一目的地；恢复页只使用已验证的返回地址，离开页面中止请求，读取事务失败时提供明确提示和首页登录。恢复页复用既有页面留白与操作布局；独立运行包包含共享验证模块。

187 项 Admin 自动测试、类型检查及开启 Site 的生产构建通过，运行包依赖闭合测试通过。全新真实 Core SQLite 与 Admin PostgreSQL 联验在 1440/390px 完成 15 组流程：原客户/价格历史/Site 草稿登录回跳，清除本站会话后的重新登录，注入原子提交失败后的手动重试和重新发起，以及受限员工页面与真实 Site/价格 API 拒绝。拒绝页面没有发出私有对象请求；客户端拒绝伪造外域重试结果。全部截图和页面身份已核对，无脚本异常或横向溢出；22 次匿名会话 401、4 次刻意越权 API 403 为预期。初次夹具将历史详情文案误写成计划总览文案，已改为断言真实版本标题；未将该定位失败记录为产品故障。

登录采用已认证的隔离 Core 测试身份，不代表密码 UI 或生产 SSO 验收；模拟本站会话丢失不代替自然到期、跨标签撤权及全部在途请求矩阵。此轮只形成 AF-E03/E04/E06 与相关通用项的局部证据，104 个整项状态保持未执行。证据为 coordination/admin-refactor/admin-login-return-implementation.json；216、真实数据切换、完整商业回归、Studio/Commerce/Drama 及供应独立边界继续按完整计划执行。

改造计划 v1.11：入口兼容验收细化

本轮按制定计划的要求核对当前 Admin、Console、Site 工作区与既有执行证据，继续沿用 64 项 AF、104 项 CK、26 个 Studio 来源模块和 B0–B5 批次。首批公共管理与 Site 共 30 项，Console 为客户后台，供应后台首期独立；完整范围不缩减。

只读代码核对发现 Admin management-shell.tsx 的登录链接固定返回 /admin，BFF 当前只允许 /admin、/admin/customers，恢复页也固定重新发起至首页。将合法深链在登录、失效后登录、手动恢复和重新开始后的保持，以及旧事务兼容和目标重新授权，细化到 AF-E03、CK-F-E03、CK-R01 与 B1 实施步骤。此项是已确认代码缺口及待执行要求，本轮未修改产品代码或声称修复通过。

216 继续按目标环境登记、功能联验和容量实测分别验收，本轮未连接或测试该环境。文档检查与编号映射结果记录于 coordination/admin-refactor/plan-v1.11-evidence/；既有实施证据与全部整项验收状态保留。

公开模型价格与真实规格关联：本地实现与联验

发现 Console 探索页已消费发布内容，而公开模型价格表仍读取静态参考目录，撤回不能覆盖该入口。现将价格表接入同一 Console models 发布位置，明确加载、空、失败与重试；撤回或故障不回填静态内容。公开参考价格保留来源、币种和单位，与 Core 公开计划、本人有效价及报价快照分别展示。切换价格分区时继续检查发布失效，避免切回恢复旧内容；余额只在充值分区读取。

账户价格登录保留规范的 account 分区及可选正安全整数规格 ID。前端与 BFF 共用验证，Core 仍接收固定 /pricing；额外/重复参数、外部地址、其他账户选择、无效 ID 或非规范编码均拒绝。回调、手动恢复、打包运行及原模型回跳继续验证。

隔离真实 Core/Admin BFF/Console 联验通过：管理员从销售目录选择四个同名不同规格并保存，私有草稿发布被拒绝，再明确批准新版本后发布。普通客户只获得其中两个在售且获准规格；另一下架规格与未获许可规格不会因内容关联开放。1440/390px 验证公开表仅有发布卡、登录保留指定规格、模型详情到本人价、真实服务端报价及未授权深链。展示参考值 USD 999 不进入计价；隔离客户规格二的输入/输出费率为 11/17 microcredit，数量 11/5 得到 Core 报价快照 206 microcredit，无生成或扣费。直接请求未许可价格返回 422/CORE_MODEL_FORBIDDEN，其他账户选择返回 400。

已打开的桌面/手机价格表撤回、历史回退、503 后重试及切到账户分区期间的撤回均通过。手机保留横向表格，已验证价格/探索入口可聚焦、滚动到可见位置并打开正确详情。页面身份、非空、无框架错误及无页面横向溢出通过，截图已审视；无脚本异常，匿名会话 401 和主动注入公开接口 503 为预期。

Console 123 项前端测试、49 项 BFF 测试（含 PostgreSQL，零跳过）、类型/生产构建及独立运行包通过。补充的五项价格消费者测试通过；原 jsdom scrollTo 提示保留。测试夹具分别修正了未批准草稿直接发布、含重试按钮的错误文字定位、许可业务拒绝状态码假设；按真实协议重跑完整流程通过。登录使用已认证的隔离普通客户身份入口，不代表密码输入 UI 或生产 SSO 验收。所有隔离服务、临时数据库及私有运行目录已清理。

证据：coordination/admin-refactor/managed-pricing-implementation.json 与 managed-pricing-evidence/。本轮仍为局部 AF-M02/M09/M10、AF-C06 证据；真实业务模型/素材资格、完整岗位与价格政策、整页视觉、216、正式迁移交接及 B4/B5 保留。64 AF / 104 CK 不缩减，整项验收状态不变。

Site 到 Console 模型详情及登录回跳：本地实现与联验

Console 按稳定内容 ID 从自身已发布模型与精选位置解析详情。仅 Site 发布或 Console 已撤回时明确显示不可用；两个位置未读完时显示核对中，接口失败提供单独重试，不把失败解释为未发布。模型路由变化及浏览器返回重建当前选择，避免沿用上一张卡或已关闭弹窗的状态。

模型登录链接保留规范的本地目标，BFF 将完整目标保存在原登录事务 JSON，Core 交接仍使用已登记的 /models。回调、未知结果恢复及旧事务兼容已有测试；同一 ContentID 校验供前端和 BFF 使用，拒绝外部地址、重复/额外参数、非规范编码及控制字符。运行包显式包含共享校验模块。浏览器还复现精选区负边距超出页面留白约 13px，已统一留白变量，桌面/手机不再横向溢出。

Console 118 项前端测试、类型检查与生产构建通过；BFF 46 项含独立 PostgreSQL 事务持久化测试全部通过，无数据库跳过。独立打包产物完成服务导入、静态页面和模型登录入口 HTTP 验证。隔离 Core/Admin BFF/Console/Site 的真实浏览器覆盖 1440/390px 跨站跳转、Site 独有与精选独有内容、详情/目录/返回历史、两个已打开详情的撤回与回退、故障重试及手机登录回到同一模型。登录使用已认证隔离账号的测试身份入口调用真实 Core handoff/exchange，不代表真实身份入口密码输入流程或生产 SSO 已验收。

页面身份、非空、无框架报错、无横向溢出及交互均通过，截图已审视；无页面脚本异常，匿名端没有私有 API 读取或业务写入。匿名会话 401 与主动注入精选接口 503 为预期；原测试中的 jsdom scrollTo 提示仍存在。首次浏览器失败的布局问题已修复；身份入口拦截及打包测试端口不一致属于夹具问题，修正后重新执行通过。隔离服务/数据库/运行包与含凭据目录均已清理。

证据见 coordination/admin-refactor/model-deep-link-implementation.json 与 model-deep-link-evidence/。这是 AF-M09/M10、AF-S03、AF-C06 的局部消费者证据，不证明真实规格绑定或价格报价。完整 64 AF / 104 CK、来源资格、岗位矩阵、整页视觉、216、正式数据切换和后续 Studio/Commerce/Drama 范围不变；104 项整项状态仍未执行。

关闭栏目后的入口同步：本地修复与验证

本轮重新复现七类已知残留链接，再在 Site 的共用渲染器增加可用锚点规则。关闭栏目或移除具体工具后，顶部导航/快捷入口、栏目和产品按钮、工作台卡片、FAQ 帮助、作品弹窗及页脚隐藏对应页内入口；空菜单列、分组和帮助框不展示。工作台图片、说明及合法的外部素材来源保持可见，正文与历史版本保留原配置，重新开启或回退后恢复入口。目标集合变化时卸载旧展开菜单；静态首页保持原行为。

Site 34 项测试、类型检查、生产构建和预渲染通过；逐一关闭 14 个栏目均无 SSR 悬空链接。Admin 177 项测试和启用 Site 的构建通过，显式采用预览 design.16；管理 design.12、公开 design.11、数据库及 API 不变，旧预览 design.15 摘要一致。格式检查通过。

在新的隔离 Core/BFF SQLite、Admin 与 Site 上完成 10 组桌面/390px 浏览器场景：关闭后的私有预览、已打开页面自动更新及菜单清理、重新开启（包括作品弹窗）、移除单个工具和历史回退。另核对四个真实 HTTP SSR 版本、原静态页与整体撤回；UI 保存、显式发布、正文配置未被改写、无横向溢出和框架错误均有证据。没有页面脚本异常或公开端业务写入；新闻 503 为主动隔离，不代表新闻来源已验收。测试脚本修正了素材来源链接断言和回执/发布版本混用后，在全新数据库完成完整流程。

证据见 coordination/admin-refactor/site-link-visibility-implementation.json 与 site-link-visibility-evidence/。这是 AF-S01/S02/S04/S08/S09/S10 及相关通用项的局部证据，104 项 CK 的整项状态保持未执行；完整来源资格、模型推荐/目录映射、角色与商业回归、整页视觉、216 环境、切换交接及后续 Studio/Commerce/Drama 范围继续保留。

整页顺序与工具导航：本地修复与验证

只读整页对照发现原导入器颠倒了企业合作流程与行业场景；现改为按已验证静态 HTML 的真实位置生成栏目顺序。增加完整正文标题顺序、旧页锚点和唯一 ID 回归；既有草稿不会自动重排，仍需在导入差异中显式采用 layout 并发布。

真实浏览器复现并修正两类导航失效：私有预览点击漫剧入口仍显示对话；公开页手动切换画布后重复点击同一漫剧链接仍停留画布。共用工具组件现在处理点击及 hashchange，非工具锚点只滚动到自身目标；页面更新不会重放旧 URL 覆盖访客当前选择。手机验证还发现后台配置的页内快捷入口未关闭导航，已统一顶部链接的收起行为。

真实隔离 Core/BFF SQLite、受管 Site、原静态站和 Admin 私有预览完成 5 组浏览器流程：预览与公开页各 1440/390px，静态页桌面；覆盖重复/键盘入口、返回历史、非工具锚点、移动菜单收起和无横向溢出，桌面额外验证发布其他栏目后保留工具选择。预览外部产品跳转继续被拦截。无页面脚本异常；新闻源 503 为主动模拟。Site 31 项测试及完整构建、Admin 177 项及开启/默认关闭构建通过；仅 preview 升至 design.15，管理 design.12 / 公开 design.11 不变，旧 preview design.14 摘要保持一致。

证据位于 coordination/admin-refactor/site-navigation-implementation.json 和 site-navigation-evidence/。额外逐栏关闭审视确认 benefits、works、tools、process、scenarios、pricing、faq 七类场景存在其他位置仍指向已隐藏栏目的链接，见 disabled-section-anchor-audit.json。这是当时记录的真实缺口；后续关闭栏目与恢复的局部修复证据见本页前节，原轮仅验全部启用时的锚点与导航，未将缺口归为不适用或整项通过。共享模型、来源资格、全角色矩阵、整页视觉与正式切换继续保留。

服务价格编排与 FAQ 侧栏：本地联验

管理 design.12、公开 design.11 与预览 design.14 已显式采用。价格说明可独立展示或附在服务卡下方；服务关闭时恢复独立说明，价格关闭时隐藏，并保留唯一锚点。FAQ 帮助链接从商务联系链接中分开，清除后不补回旧静态内容；静态页、公开页和私有预览共用布局。浏览器联验发现旧手机样式隐藏帮助链接，已修正为在问答上方显示。

真实隔离 Core/BFF SQLite 与 Site 的 12 组场景通过：18 组导入、表单保存重开、私有预览不公开草稿、显式发布、桌面/手机布局、非法值不推进版本、已打开页面更新、组合锚点、栏目关闭、历史回退与撤回。视口为 1440/390px，预览也核对手机模式；页面身份、非空内容、无框架报错覆盖。无页面脚本异常、无公开端业务写入；初始无草稿的 404 和主动模拟新闻不可用的 503 为预期控制台记录，不代表真实新闻来源验收。

Contracts 141 项、Admin 177 项、Site 30 项测试通过，Core 全量 race/vet/build 通过；Site 完整构建与预渲染、Admin 开启/默认关闭 Site 的构建通过。固定消费者与生产者逐字节核对，25 个旧 vendor 目录按原 manifest 核对，并保留既有历史检查点摘要。所有本轮隔离服务已停止、私有运行目录已删除，Admin 构建已恢复默认关闭 Site。

证据：coordination/admin-refactor/site-composition-implementation.json 与 site-composition-evidence/。本次仅增加 AF-S05/S07/S08/S10 及相关通用检查的局部证据；全量岗位/身份矩阵、真实素材和目录资格、整页差异、旧入口切换与正式环境验收仍未完成，104 项 CK 不自动改为通过。

Studio 迟到页面导航：补充验证

使用真实 PostgreSQL 与 Next standalone，在桌面/390px 从个人页点击后台入口，延迟实际 RSC 导航响应；切换身份并观察到新会话后释放旧响应。两个场景均证明旧管理员子树未恢复，显式重新验证使用新身份。无新增产品代码；对应既有身份边界实现的补验证据见 coordination/admin-refactor/studio-rsc-navigation-implementation.json。同账号 Session 更换、完整跨标签页时限、26 个分区 API 与在途写入仍继续验收。

计划 v1.10 核对

复核指定任务「拉取代码更新」及本机 Admin 真实工作区、Console 模型/价格路由、Site 渲染代码。沿用现有 Admin 扩展统一入口；公共管理与 Site 首批承载于同一工程，产品独立后台保留目标授权；Console 为客户后台，供应后台首期独立。

按当前在改代码校准功能清单：服务与价格说明组合、FAQ 侧栏链接已有实现，仍需完整联验。补充已有 CK-F-S07/S08 的位置、显隐、清空、兼容、唯一锚点、手机布局及历史回退动作，不以源码存在认定整项通过。范围保持 64 项功能、104 项核对、26 个 Studio 来源模块；首批 30 项、后续 30 项、供应独立边界 4 项。

本次仅修订规划文档和协调记录，保留已有产品修改与实施证据；未运行产品验收或 216 环境测试，未改变任何整项验收状态。文档和映射验证见 coordination/admin-refactor/plan-v1.10-evidence/。

计划 v1.9 核对（2026-09-28）

本次按用户要求校准改造计划、完整功能清单和核对清单。复核现有 Admin 真实工作区、Console 价格路由、Site/Studio 引用类型及最近局部实施证据，纠正“Site 仅支持静态来源”等过时描述；补齐每个工作包的交付格式和责任登记，将自然会话到期、在途请求及服务/FAQ 迁移细节落入原核对项。

范围维持 64 项 AF、104 项 CK、26 个 Studio 来源模块。216 仅登记为待核实环境，不能以本机证据替代其验收。本轮只修改文档与协调记录，没有运行产品或 216 环境测试，保留全部既有局部证据与整项验收状态。校验记录位于 coordination/admin-refactor/plan-v1.9-evidence/review.json。

计划 v1.8 核对

本次围绕“制定改造计划、完整核对清单和功能清单”复核现有文档、指定任务「拉取代码更新」及当前 Admin/Console/Site 入口。补充功能归属与后台承载规则：公共事实统一管理，产品专属动作由产品执行；首批公共管理与 Site 在现有 Admin 承载，后续独立后台按环境、身份交接、目标授权和故障恢复接入。

功能表补充逐动作开工登记要求，验收表将独立后台交接场景落入已有 CK。范围保持 64 项 AF、104 项 CK、26 个 Studio 来源模块；首批 30 项、后续 30 项及供应独立边界 4 项不变。本次仅修改文档和协调记录，不变更产品代码、既有实施证据或整项验收状态。文档及映射核对记录在 coordination/admin-refactor/plan-v1.8-evidence/。

计划 v1.7 核对

再次核对指定任务「拉取代码更新」、现有 Admin 工作区/受权读取入口、Console 真实路由、Site 消费入口与作品字段约束。计划保持“现有 Admin 统一入口 + 按产品授权的工作区”：首批公共管理与 Site，Console 为客户端，供应后台独立。Studio 26 个模块继续按原归属表拆解，不整体复制。

补齐 Studio 作品进入 Site 的六步依赖工作包：固定来源契约、受权选编、引用持久化、预览/发布/回退复核、目标持续失效处理、全链路验收。明确已有源读取接口不能代替选择界面、存储或发布完成，并将相应动作补入原 CK-F-S04、CK-P05/P06。纠正计划中将 Console 历史问题描述为当前未修复问题的措辞，保留最终真实路由回归要求。

范围仍为 64 项功能、104 项核对；B1–B3 各 10 项，B4 为 17 项、B5 为 13 项、供应独立边界 4 项。本次只修订文档和协调记录，保留所有既有产品工作区修改、局部证据及整项验收状态。文档与映射校验记录在 coordination/admin-refactor/plan-v1.7-evidence/；本次未重新运行产品测试，也不据此判断在改来源读取代码已验收。

计划 v1.6 核对

针对本次“改造计划、完整核对清单和功能清单”要求，再次核对指定任务「拉取代码更新」、当前 Admin 工作区与路由、Console 价格路由、Site 消费入口及静态来源导出说明。沿用已有完整计划，补充原页面字段与交互迁移的核对表，明确主视觉、工具多媒体、栏目标题行动链接以及作品/场景的逐项验收，避免把结构化正文导入等同于完整迁移。

范围保持 64 项功能、104 项核对；首批 B1–B3 各 10 项，B4 为 17 项、B5 为 13 项、供应独立边界 4 项。本次仅修订计划及清单，不修改产品代码、不运行产品验收、不改变已有局部证据和整项状态。文档及映射检查记录在 coordination/admin-refactor/plan-v1.6-evidence/。

计划 v1.5 核对

本次响应改造计划与完整清单要求，复核指定任务「拉取代码更新」及本机当前工作区。Admin/Console/Site 分支与 HEAD 仍为下表所列，但均包含后续未提交实现，不能把原始 HEAD 或当时干净状态当作当前完整源码。

纠正主计划的滞后描述：Site 路由、独立导航、能力准入和默认关闭开关已有代码；全栏目公开消费者已有单独局部证据；共用 Site 渲染器的私有预览已有在改代码，最终制品及完整故障验收仍待核对。本次只更新计划和核对要求，没有运行产品验收或调整任何 CK 通过状态。

继续实施按“固定源码与逐动作台账 → 收敛私有预览 → 可重复导入与旧页面差异核对 → 首批联合回归 → 切换包与回退 → Studio 及后续产品逐模块迁移”组织。范围仍为 64 项功能、104 项核对、26 个 Studio 来源；首批 30 项、后续 30 项、供应独立边界 4 项。文档与映射校验记录在 coordination/admin-refactor/plan-v1.5-evidence/。

计划 v1.4 核对

再次核对现有 Admin 的真实工作区登记及 Console/Site 公开内容读取代码，保留既有基座复用决策，增加代码落点与剩余交付表。该次计划核对时，产品工作区的 connected 为 false，空间筛选也限定为 platform；Site 接入须同时完成路由、导航、授权和数据链路，不能只修改登记开关。Core/Contracts 已有本地 Site 栏目代码，本次只记录代码存在，未将其认定为完整后端或产品验收通过。两端已有模型内容消费者，其余 Site 栏目仍需接入。

功能清单补齐八类数量和统计口径；核对清单将界面、API、数据、权限、旧入口、回退六层证据落到现有 CK 编号。计划明确 Site 从契约后端到工作区开放的执行顺序，执行结果仍单独登记，未增加重复任务。

范围保持 64 项功能、104 项核对、26 个 Studio 来源模块；首批 30 项、后续 30 项和供应独立边界 4 项不变。本次仅修订文档和核对其映射，不改变产品验收状态、不以此认定任何批次完成。

计划 v1.2 核对

已复核指定任务对应的 Site 分支 codex/6-homepage-integration，并对照当前 Admin 工作区登记与 Console 真实路由修订计划描述。计划增加首批菜单、动作权限分工及六步可评审交付；明确 B1 的跨 Site 验收在 B3 联验完成前不能整项通过。Studio 26 项表格恢复独立的 AF 映射列。功能数量、原任务编号和首批范围保持不变。

本次修订只更新计划、清单与协调记录；已有产品代码修改保留，不由本次文档检查认定功能完成。v1.2 补充统一入口与独立部署的关系、六类验证身份及首批分层验收，复核 64 项功能、104 项核对与 26 个 Studio 来源模块的一致性。

已交付文档

• 改造计划：B0 盘点与契约准备，B1 入口权限，B2 模型内容与两端发布，B3 Site 栏目，B4 Studio 迁移，B5 条件扩展。
• 64 项功能清单：B1/B2/B3 各 10 项，共 30 项首批功能（含已有能力回归）；B4 17 项、B5 13 项；另 4 项供应独立边界。
• 104 项核对清单：64 项功能核对、40 项跨功能检查；逐项验收仍待完成；已有部分 UI/隔离测试证据，未用局部结果勾选整项。
• 保留 Studio 26 项原模块映射、原 32 项商业任务与新增的 6 项 P09 主任务；不重新编号，不把 AF/CK 重复计入主任务数量。

首批公共管理与 Site 管理页面规划在现有 Admin 内承载；Console 保持客户端，供应后台首期独立。首批新增内容持久化责任已选择 Core 内独立 managed-content 模块，Studio 原内容保持来源服务。模型卡精确 Schema、Core 本地后端及直接/委托 HTTP 已实现和验证；两端模型位置的前端采用与本地撤回验证已完成一个切片；Site 完整栏目与全量验收仍需完成。

审视版本及范围

以上是本机实际代码范围，不是所有仓远端最新分支或生产状态证明。B0 执行时需要重新固定源码版本及未提交差异。完整本机审视记录为 coordination/admin-console-site-code-review-2026-09-27.md。

已发现并纳入计划的问题

1. Console 旧 ModelsPage 仍实现本人价格/报价，但真实路由已替换为 ExplorePage/PricingPage；现有测试直接挂载旧组件，无法证明用户能通过新页面使用该能力。纳入 AF-C06、CK-P08。
2. 模型查询未完成或失败时，详情会把空结果显示为账户没有开放规格。纳入 AF-M02/M10，要求区分查询状态、关联状态和真实许可。
3. Console 34 张媒体参考卡没有真实模型 aliases，Site 独立维护模型快照；参考价用途已有标注，不是正式销售价。纳入模型稳定关联、共享内容和导入规则。
4. Site 控制台地址仍为既有站点 /dashboard，需要在迁移环境按最终地址核对；未在本轮验证线上目标可达性，不据此断言死链。
5. 初始审视时 Site 尚无固定栏目内容管理与发布后端；当前 Core/Contracts、BFF 和 Admin 固定表单已有本地联验；固定栏目 Site 消费已有局部联验，导入切换和完整视觉预览仍缺，不能认定整项交付。

已运行检查与限制

代码审视时 Console 14 个文件、96 项测试及构建通过；BFF 39 项中 38 项通过、1 项依赖 PostgreSQL 的集成检查跳过。Site 类型检查、客户端构建、SSR 预渲染和 7 项测试通过。这些仅为当时现有代码的验证，不覆盖计划中的新功能，也不覆盖完整生产 SSO、真实支付或收费模型调用。

本轮文档链接、编号/映射、Studio 来源覆盖和生产文档构建的结果记录在 coordination/admin-refactor-plan.json；只有实际运行通过后才更新。产品实施核对项全部保持 not_run。

首个实施切片（2026-09-27）

• Admin 真实入口 /admin 已显示管理首页；/admin/platform 提供公共管理入口，/admin/help 提供操作说明。外壳从真实 router 拆出，菜单及页面挂载按 Core 能力过滤；原商业深链保留。未接入的 Site/Studio/Commerce/Drama 不显示为可进入。
• Console /pricing?tab=account&model_id=... 已恢复本人价格与服务端报价，模型详情可以定位对应规格；匿名访问保留登录返回地址。加载/错误/未关联与真实不可用分开，失效规格不自动改查另一模型。小屏价格页签调整为两列。
• 首批内容责任及接口设计见 Contracts docs/admin-content.md，状态为 proposal。本切片当时尚无 Core 新内容表/API、精确类型和发布消费者；后端后续进展见下一节，不能视为新内容后台已经完成。
• 本切片 Admin 类型检查、71 项测试和构建通过；Console 102 项测试及构建通过。Contracts 现有 94 项测试及参考构建通过，但不验证尚未生成的新内容契约。
• 浏览器检查使用编译后的真实页面和隔离 HTTP 测试响应；覆盖管理入口、能力菜单、越权深链、模型详情到报价和桌面/手机布局。实际 Core/数据库联调仍待完成；证据和最终复查结果登记到 coordination/admin-refactor/initial-implementation.json。

完整功能和 104 项核对未宣称完成；B0/B1 及 Console 配套仍在进行，工作区范围授权、Site 管理和跨平台内容发布是后续必做项。

模型内容后端切片（2026-09-27）

• Core 新增 0012 双数据库迁移、独立模型内容/版本、目标发布/版本及命令回执。保存草稿、稳定 ID 关联、受控预览、按目标发布/撤回/回退和匿名安全投影已有直接与员工委托接口。参考价只作带来源的展示字段；空模型关联明确标为未关联。
• 写入在同一事务校验会话、员工能力和版本，记录审计与回执。源内容撤回会清理所有目标引用并永久撤销旧版本资格；重新批准只允许新版本，旧命令重放不能恢复旧发布。SQLite 已验证审计/回执失败整体回滚，隔离 PostgreSQL 已验证两个不同员工竞争同一版本及撤回链路。
• 新内容模块默认关闭，启用要求员工策略、目录和迁移。新授权策略为 staff-content-v1；旧策略不能无感覆盖含新内容权限的授权。当前 Admin BFF 尚未采用新策略，不据此开启现有产品环境。
• Contracts 新增 19 操作的独立 proposal、闭合 Schema 和 Go/TypeScript 结构类型，97 项契约测试通过；实际 PostgreSQL HTTP 捕获 21 条响应并通过契约校验。Core 全仓 race、vet、build 通过；更细的执行版本和日志记录在 coordination/admin-refactor/content-backend-implementation.json。
• 尚未接入 Admin 编辑器、内容 BFF、Console/Site 真实消费者、Site 固定栏目、Studio 公开资源适配、静态内容导入或撤回传播时限。所有相关 CK 只追加局部证据，未用后端测试代替整项验收。未部署、未操作生产数据、未调用收费模型。

Admin 内容采用与审核分权（2026-09-27）

• Admin BFF 已采用独立内容/授权制品及 staff-content-v2，内容路由显式开关默认关闭，校验路径、输入、实时能力、目标、回执绑定与服务返回投影。原商业能力保持既有来源。
• 真实内容编辑与目标编排页面已接通 Core：结构化模型卡、素材/来源、参考价、稳定规格 ID、预览、按目标发布/撤回/回退、未知结果回查。模型内容位于公共管理；Console 不增加员工空间，Site 栏目空间仍未开放。
• 修复保存即审核的权限混合。普通编辑使用 draft_only 保存不可发布版本，保留线上旧版；审核额外要求 content.models.approve 及对应委托作用域。批准产生新版本，源撤回清理所有目标引用，历史版本不能复活。审核能力撤销后原审核命令及回执读取也被拒绝。
• 修复内容恢复过程中的身份竞态：回执查询返回不存在后，重放前再次核对身份版本。另修复多行文本显式标签关联和预览响应对 JSON 字段顺序的错误依赖。
• 隔离浏览器通过真实 Core/BFF/SQLite 完成草稿→审核→Console/Site 分别预览发布→新草稿不影响发布→源撤回，两目标公开接口均回读验证；桌面/手机页面无脚本错误。登录交接使用真实 HTTP，未覆盖完整 Hub 登录界面。公开接口验证不等于 Console/Site 前台消费已交付。
• Core 全仓 race、vet、build 与隔离 PostgreSQL 内容 HTTP 检查通过；Contracts 98 项测试、结构类型及 21 条真实 PostgreSQL HTTP 响应验证通过；Admin 83 项测试、类型检查与构建通过。执行脚本、截图、日志及源码摘要见 coordination/admin-refactor/content-admin-implementation.json。

Console / Site 公开内容消费（2026-09-27）

• Contracts 增加独立的匿名公开制品，仅包含公开 Schema、结构类型和解码器；生成器可重现检查进入标准构建。Console/Site 固定制品摘要，构建校验字节，不暴露内部管理契约或跨仓源码依赖。
• Console 已接受控模型列表和精选位置，按稳定 Core ID 关联账户能力，保留参考价来源。公开代理不转发身份 Cookie/Authorization；原账户接口保持鉴权。修复媒体来源 CSP 配置传递、媒体 MIME，以及运行打包遗漏公开制品的问题。
• Site 模型推荐位接通同一公开来源；新增按请求渲染入口，HTML 与 bootstrap 使用同一发布版本。其余固定栏目仍未接入 Admin 编辑。受控部署需同时携带 dist 和 SSR 制品，静态 preview 不等于受控内容运行模式。
• 页面每 30 秒核对，首次失败隐藏，成功验证最长保留 60 秒；后台、离线与页面离开会清空，恢复时重新读取。初始 SSR 版本参与最低版本限制，旧响应与取消后的请求不能恢复已撤回内容；修复手动重试会恢复 SSR 初始快照的缺口。
• 最终浏览器联验使用真实 Core、Admin BFF、Console BFF、Site SSR 和独立 SQLite，经 Admin HTTP 批准并发布模型，验证两端显示、详情、断网隐藏/重连、源撤回和旧版本拒绝。撤回到两端不可见耗时 29,404 ms；Console 详情随撤回消失，后续 Site HTML 不含该内容。1440×1000 与 390×844 截图已检查，页面无脚本异常；Site 手机失败提示字号及重试触控尺寸已修正。
• Console 111 项前端测试、BFF 41 项通过，1 项 PostgreSQL 会话集成因未配置环境跳过；Site 10 项测试及类型/双端构建通过；Contracts 101 项、检查与构建通过。Console 最终运行包实际导入、启动和 HTML/CSP 回读通过。相关文件格式检查通过。
• 本地匿名会话探测 401、既有 AIHot localhost CORS 失败及 WebGL 诊断已登记；新闻沿用自身快照策略，不影响模型内容的失败隐藏。浏览器使用 Playwright，原因是 Browser plugin not available。生产 SLA、完整客户价格链、完整 Site 管理与所有 CK 整项验收未据此宣称完成。

本切片代码摘要、运行脚本、测试日志与截图保存在 coordination/admin-refactor/content-consumers-implementation.json 及同目录 content-consumers-evidence/。受控内容开关默认关闭；切换回静态模式可能重新展示旧素材，不能当作安全回退。运行配置与回退方式已写入两端的 docs/managed-content.md。

Site 栏目后端与 Admin BFF（2026-09-27）

• Contracts 增加独立 Site proposal 0.1.0-design.1：17 个直接/委托/公开操作，闭合固定栏目结构、生成类型、Go 字段校验和采用摘要。现有匿名模型制品及 migration 0012 不改写。首期采用每环境单一 main 站点，整页草稿快照与发布版本分离；栏目和集合条目仍有固定 key/ID。
• Core migration 0013 增加正文版本、发布指针与历史；保存、预览、发布、撤回、回退和回执均已有实际接口。保存不改变线上版本；发布仍检查实时读取/发布权限；CAS、历史、审计和回执原子提交。素材来源策略变化会阻断公开读取、预览和历史回退。Studio 私有对象选取尚未开放。
• Admin BFF 增加默认关闭的 ADMIN_SITE_CONTENT_APIS，依赖现有内容和员工策略；采用独立规范和校验器，限制精确路径、查询、载荷及响应对象/版本。Site PUT 单独允许 512 KiB 传输，正文限制 256 KiB；其他接口上限不放大。Site 回执使用独立路径，未知写入不自动重试。
• Core 全仓 race、vet、build 通过；SQLite 与隔离 PostgreSQL 的 24 条实际响应均与契约匹配，覆盖全部 17 个操作。另验证并发、权限撤销、缺失迁移、严格输入和事务回滚。Contracts 105 项测试通过；Admin 91 项测试、类型检查及构建通过。
• 真实 Core、Admin BFF、独立 SQLite 和持久身份交接完成 21 次请求联验：编辑/发布分权、新草稿不影响线上、固定版本预览、并发版本冲突、撤回后旧请求不复活、历史回退以及实时撤权。没有用 mock 结果替代该服务链路；本轮没有渲染 UI，故不形成编辑器或前台整页展示的完成证明。
• Site 工作区继续关闭，栏目表单、预览界面、全栏目消费者、静态导入和完整交接未交付。测试夹具已停止；未部署、未写生产数据、未调用收费上游。证据及源码摘要见 coordination/admin-refactor/site-content-backend-implementation.json。

Site 栏目 Admin 界面（2026-09-27）

• 在现有 Admin Shell 内增加 /admin/site、/admin/site/publication、/admin/site/models。13 组固定表单覆盖当前栏目契约；可调整集合条目顺序、固定栏目显隐，校验必填、字节限制、重复 ID 和新闻置顶/屏蔽冲突。共享模型仍复用已有编排，Site 页面只显示 Site 目标。
• 保存、指定版本核对、发布、撤回、历史回退与分页历史使用真实 BFF。预览目前是私有内容投影，页面明确说明实际官网布局以 Site 为准，尚不是官网视觉预览。编辑与发布能力分开；未知结果查询 Site 独立回执，确认后回读状态。
• 并发冲突保留输入；离开脏表单及主动重读需确认，同版本重读也可明确丢弃修改。断网重连不会自动替换编辑快照。撤权后旧栏目表单及私有查询被清理。
• PUBLIC_ADMIN_SITE_CONTENT 为默认关闭的构建开关；受控联调启用后仍要求员工身份和 Site read，服务器继续独立核权。正式工作区开放仍依赖全栏目消费、导入切换和完整验收。Console 不增加员工空间，供应保持独立。
• Admin 97 项测试、类型检查、开启及默认关闭构建通过，固定制品摘要和变更文件格式检查通过。真实 Core/BFF/隔离 SQLite 浏览器验证了新建、分权、固定版本发布、冲突恢复、响应丢失后回查、脏表单保护、重连保护、撤回/回退、实时撤权；桌面 1440×1000 与手机 390×844、430×932 检查无横向溢出或脚本错误。
• 浏览器使用 Playwright，原因是 Browser plugin not available。初始空草稿 404、故意制造的版本冲突 409 和丢失响应网络错误均为预期场景。当前只核对 Core 公开 JSON，不据此宣称 Site 全栏目已展示。运行结果、脚本、截图及源摘要见 coordination/admin-refactor/site-content-admin-implementation.json。

Site 全栏目公开消费（2026-09-27）

• Contracts 新增独立匿名 Site 制品 public-site/0.1.0-design.1，只包含公开投影可达 Schema、结构类型和限长解码器。生成结果可重现，Site 显式固定摘要；原模型公开制品和私有 Site 契约未改写。解码拒绝草稿/预览、内部字段、不合法状态、危险链接、超长正文和重复标识。
• Site 增加默认关闭的 SITE_MANAGED_SECTIONS，依赖已有模型受管理模式。匿名代理精确读取 /api/oceanway/public/site，浏览器只调用 /public/site，不转发身份。SSR 的栏目、导航、页脚、SEO 和 bootstrap 使用同一 Site 发布快照。11 个栏目按发布顺序和显隐展示；模型仍保持独立发布真值，不生成第二份价格。
• 当前固定栏目渲染覆盖主视觉、产品状态、工具与媒体、作品来源、场景概念/上线标识、服务、价格说明、新闻、FAQ 和联系。未开放入口不显示可点击承诺；不引入商务提交服务。保留部分既有锚点兼容。该候选复用 Site 样式，不表示所有旧营销动画和演示均已等价迁移；静态导入及完整视觉切换仍待完成。
• 可见在线页每 30 秒复核，内容最长保留 60 秒；断网、后台、过期或读取失败清除栏目及元数据。记录最高发布版本，拒绝新时间戳包装的旧版本；初始化数据缺失、损坏、模式冲突均保持受管理模式，不回退到旧静态首页。重新挂载模型位置不重复采用旧 SSR 模型快照。
• 新闻手工模式读取发布条目；订阅模式每次刷新都应用分类、屏蔽、置顶顺序及数量。订阅失败只保留资讯自身的有效快照并显示更新时间，不保留失效的 Site 发布。浏览器通过隔离订阅响应验证过滤与失败保留，未将外部实时新闻服务当作已验收。
• Site 类型、浏览器/SSR 构建、静态预渲染及 14 项测试通过；Contracts 检查、108 项测试及参考构建通过。真实 Core、Admin BFF、Site SSR 和独立 SQLite 浏览器链路完成 Admin 编辑→指定版本核对→发布→整页显示→断网清除/恢复→撤回→拒绝旧版本→历史回退。最终完整流程自然轮询撤回耗时 28,076 ms；未以强制刷新代替传播测量。
• 桌面 1440×1000 与手机 390×844 已检查；长标题及手机新闻刷新按钮布局已修正。主流程无脚本/控制台异常；订阅失败和初始化失败用例中的 503 为主动注入。使用 Playwright，原因是 Browser plugin not available。证据见 coordination/admin-refactor/site-content-consumers-implementation.json，不构成生产 SLA、正式域名、完整 SSO 或全部 CK 验收。

Site 授权实际布局预览（2026-09-27）

• 从 Site 的公开渲染代码提取共用 SitePresentation，构建不含草稿的独立渲染制品；Admin 显式采用固定摘要，不形成邻仓运行时源码依赖。Site 启动核对 SSR/template 与清单，匿名版本端点只暴露制品身份及公开目录地址。
• Admin 通过已有授权 BFF 读取固定内容版本，核对目标 Site 制品后经专用 MessageChannel 传给无同源 iframe。预览支持桌面、390px 手机和 FAQ；产品跳转停用。草稿不写入 URL、浏览器存储或公共端点。共享模型和订阅新闻仍展示独立发布的当前公开内容。
• 每 20 秒续验身份和制品，窗口 25 秒未续期清除正文及元数据。失配、超时、隐藏和撤权使预览失效并禁止发布；失败后停止自动续验，必须重新核对；渲染回执绑定本次发送序号。
• Site 16 项测试及类型、浏览器/SSR/预渲染构建通过；Admin 99 项测试、类型及启用/默认关闭构建通过。格式检查限定本轮源文件，固定采用的生成契约不重新格式化。真实 Core/BFF/Site 与隔离 SQLite 浏览器联验覆盖草稿不公开、沙箱隔离、FAQ、版本失配清理、接口恢复不自动复活、消息续期丢失后失效、隐藏后重核对、发布前后内容版本及栏目标题一致、编辑与发布分权、撤权移除私有 UI。无页面或控制台异常。
• 桌面和手机截图及公开页面已检查；手机预览居中展示。证据见 coordination/admin-refactor/site-content-preview-implementation.json。该证据只覆盖实际预览切片，不证明旧营销页面视觉等价、完整 SSO、全部身份矩阵或首批生产切换。

Console 静态模型卡导入（2026-09-27）

• Console 导出脚本离线读取 Explore 实际使用的 34 张参考卡、3 张文本卡和 5 个精选 ID。文本卡与精选顺序已提取为页面和导出共用的数据源；归档保留来源原文及 SHA-256，导出拒绝覆盖已有文件，不访问服务或写入 Core。
• Admin 新增 /admin/content/import，要求内容读与写能力。读取归档后校验格式、摘要、大小、字段和引用；只读核对新增、相同、冲突。每张卡使用稳定 console-{slug}，写前再读并以版本 0 创建私有草稿；不覆盖已有内容、不自动关联模型、不审核或发布。
• 参考价保留金额、币种、单位、来源及起价语义，仍仅展示；原价、折扣、模式数、专属标记及别名保留在来源归档和核对说明，不转化为 OceanWay 商业政策。原供应商为空时显示“来源未标注”。媒体仍受 Core 精确 origin 策略校验，本地配置不代表生产授权。
• 真实 Core/BFF 和隔离 SQLite 浏览器联验：37 张卡完整导入；第三条已提交但响应丢失时停止，按原请求核对后只新增剩余 34 条；重复核对全部跳过且版本仍为 1；人工修改保留为冲突。所有导入版本为私有草稿、未关联模型，Console/Site 公开投影仍未发布。只读员工不能进入导入页；仅有读写权限的员工可导入草稿，无需源审核或目标发布权。
• Admin 107 项测试、Console 112 项测试及两仓类型/构建通过。桌面与 390px 手机核对页已检查，展开来源摘要和长链接不横向溢出。浏览器无脚本异常；404 为查询尚不存在的内容，网络失败为响应丢失注入。证据见 coordination/admin-refactor/content-static-import-implementation.json，不构成完整内容切换或 B2 整项验收。

Site 静态栏目草稿导入（2026-09-27）

• Site 离线导出实际静态页面与共用数据，构建摘要覆盖源码、脚本、素材和配置；源码、HTML 或素材变化后拒绝导出，需重新构建。原包保留 23 份原文、41 份素材摘要和 8 类待迁移内容，拒绝覆盖既有归档。
• 当前映射 13 组栏目，包含 4 组导航、6 个产品、8 个工具、15 个作品、4 个概念场景、3 个服务和 11 条 FAQ；保留来源稳定 ID 和素材说明。产品/工具不自动认定正式开放，缺失联系邮箱、正式域名和法律地址不臆造。12 个旧模型快照保留为共享模型迁移输入，不嵌入第二份 Site 模型真值。
• Admin 新增 /admin/site/import，要求 Site 读写能力。只读核对来源摘要及栏目差异；首次导入全部 13 组，已有草稿默认保留不同项，仅显式选择的栏目被替换。写前复读当前草稿，使用 Core 版本并发控制；写后核对当前版本与正文。来源包摘要进入操作理由。
• 真实 Core/BFF 与隔离 SQLite 联验通过：仅有读写权限的员工导入草稿；已提交但响应丢失后按原请求恢复；重复核对不新增版本；仅恢复 FAQ 时保留手工主视觉；并发变更阻止写入；篡改来源摘要拒绝导入；只读身份不能进入。公开投影始终未发布，未开启前台切换。
• Admin 111 项测试与类型/启用及默认关闭构建、Site 18 项测试与类型/浏览器/SSR/预渲染检查通过。桌面和 390px 手机展开来源摘要及正文比较已检查，无横向溢出或脚本异常；两个 404 为初始空草稿，一个网络失败为主动丢弃响应。证据见 coordination/admin-refactor/site-static-import-implementation.json。
• FDE 流程、页脚分组、部分栏目标题、能力/工作台介绍和交互演示尚未完整建模或迁移，素材/字体/新闻授权及真实业务信息仍待核对。来源导入只是迁移切片，不构成 AF-S10、B3 或完整官网切换验收。

Site 栏目标题、FDE 与页脚扩展（2026-09-27）

• Site 私有契约、匿名制品及共用预览制品推进至 0.1.0-design.2，保留旧 vendor。新增可选栏目标题、FDE 流程及品牌页脚分组，旧 13 组正文仍可读取；新来源包为 15 组。原 11 个布局位置保持必需，允许独立 process 位置；启用时须有正文。
• Core 继续唯一写入，新增字段沿用内容版本、CAS、回执、素材来源和发布权限，不新增数据库迁移。校验新增栏目 key、步骤/分组 ID 唯一性、链接及素材。已提供的可选对象仍完整校验，null 不等于省略。
• Admin 新增栏目标题与 FDE 表单；旧草稿可显式增加流程及默认关闭的布局位置。来源导入映射 5 组原栏目标题、3 个 FDE 步骤/行动区和 4 组页脚导航。官网与私有预览使用同一渲染器；页脚分组与法律链接分开，process 锚点不再指向服务介绍。
• 真实 Core/BFF/Site 与隔离 SQLite 验证旧正文读取、只选 4 组差异导入、后台修改流程标题、预览与公开 SSR/浏览器同版本展示，以及回退旧发布不删除新草稿。桌面与 390px 手机检查通过，3 张流程图均已加载并解码；最终夹具内容撤回。
• Core 全仓 go test -race ./...、vet、build 通过；Contracts 109 项、Admin 112 项、Site 18 项测试与对应类型/构建通过。本轮未单独复跑 PostgreSQL；不以 SQLite 结果替代生产或完整权限矩阵。证据见 coordination/admin-refactor/site-editorial-fields-implementation.json。
• 新读者兼容旧正文，不代表旧读者能读新字段。新字段写入前须先采用兼容消费者和匹配预览制品；应用降级须保留兼容版本或关闭能力，不能回退为旧静态快照。能力/工作台介绍、模型快照迁入、完整交互/锚点等价及真实发布信息仍未完成。

Site 模型能力与专项工作台介绍（2026-09-27）

• design.3 新增可选 benefits/agents 正文与布局位置，保留原 11 个位置，最多 14 个。固定四块模型能力介绍和专项工作台卡片支持文案、示例、素材与跳转管理；没有脚本/任意 HTML、模型授权或第二份价格事实。旧 13/15 组正文仍能读取，缺失的新栏目不自动使用静态内容。
• 原静态 Bento/Agents 提取为静态官网、受管理官网和私有预览共用组件。原文案/媒体及文本短句提取为单一静态数据文件，导出也使用它；保留接入示意、图片堆叠、文本切换、视频展示与工作台卡片。文本标签明确为演示，不发起模型请求；减少动态效果偏好会停止短句轮播。
• 新来源包为 format 3、17 组字段、25 份源码原文、41 份素材摘要；剩余 3 类差异是 12 个模型快照迁入、其他交互演示等价、实际发布信息及授权核对。Admin 兼容旧来源包；新建正文不填入可选对象，可显式添加/移除可选视频，新增布局位置默认关闭。
• 真实 Core/BFF/Site、隔离 SQLite 完成来源导入、两个栏目实际表单编辑、私有示例交互、发布后 SSR/浏览器读取、键盘切换、减少动态效果、画布深锚点及桌面/390px 检查。公开组件卡片正文与静态 SSR 一致；自然轮询撤回观测 26,542 ms，两个栏目和动画组件均清除，无页面脚本异常。
• Core 全仓 race、vet、build；Contracts 110、Admin 113、Site 19 项测试及对应类型/构建通过。新字段未单独复跑 PostgreSQL。证据见 coordination/admin-refactor/site-showcase-fields-implementation.json；该局部结果不代替整页交互/视觉等价、生产身份/商业回归或生产切换。

模型内容真实规格选择（2026-09-27）

• Admin 模型内容页以销售目录选择器替换手工 ID 串。默认展示已选规格，按需展开分页目录；提供当前页筛选及精确 ID 查询，显示模型名、规格、厂商、能力及状态，支持同名多规格、跨页保留和明确移除，最多 32 项。
• 目录请求要求 catalog.read，查询按身份 epoch 隔离；没有目录读取权的内容编辑仍可保留/移除旧 ID。下架规格不被误判为客户无权；删除或读取失败不静默丢失选择。保存前回读新增引用，沿用 Core 最终事务校验、内容版本与受控命令，不自动审核、发布或修改商业事实。
• 隔离 SQLite、真实 Core/BFF 浏览器链路验证同名多规格、跨页选择、下架与删除、草稿保存回读、移除生成新版本、目录 503 故障重试、无目录读取权编辑保留/移除。最终本地草稿版本 3，未发布；桌面及 390px 截图已核对，无页面脚本异常；控制台仅有故意注入的 503。
• Admin 119 项测试、类型检查与默认关闭 Site 开关的构建通过。Browser plugin not available，使用本机已有 Playwright。证据见 coordination/admin-refactor/content-model-picker-implementation.json；未新增 API、权限能力、数据库迁移或服务，不代表 Site 12 条真实来源已归并/绑定，也不替代完整客户价格、撤权矩阵或生产切换验收。

Site 模型来源映射与固定版本交接（2026-09-27）

• 复用现有 Site 栏目来源包中的 12 条模型快照，新增 Admin 公共内容迁移页。每条明确选择已有共享内容或新建私有草稿；创建类型/厂商必须手工核对，稳定 ID 由完整网关名摘要派生，不靠显示名猜规格或覆盖已有卡片。
• 只读核对显示当前内容/版本与冲突，创建前逐项回读，已有不同正文、版本变化、失败或未知结果即停止。沿用内容受控命令及回执；重复执行跳过相同正文，已编辑的新卡须明确转为复用。
• 映射记录保存原始来源、逐条网关→共享内容 ID/固定版本/正文摘要，可下载交接并重新读取当前版本。Site 模型目录发布页逐项核对指定版本、正文摘要和公开资格，再用真实预览接口填入未发布编排；不会自动审核或发布。多条来源复用同一卡片按首次出现合并，Console 发布记录不受影响。
• 隔离 SQLite、真实 Core/BFF 浏览器验证原 12 条来源显式映射为 2 条复用与 10 条新草稿、零写 dry-run、复用正文保留、重复执行、记录下载恢复、旧草稿版本拒绝、审核后重新核对新版本、Site 独立发布与公开顺序、源撤回后旧记录拒绝。完成后撤回测试目标；类型、厂商、源审核与单条数字规格关联均为夹具输入，不能视为正式来源审核或业务迁移。
• Admin 132 项测试、类型检查、启用与默认关闭 Site 开关的构建通过；桌面及 390px 画面已核对，无页面脚本异常。浏览器 20 个 404 为新增候选内容在核对与创建前尚不存在的查询。Browser plugin not available，使用已有 Playwright。后端及契约未修改，本轮未新增 PostgreSQL 测试。证据见 coordination/admin-refactor/site-model-mapping-implementation.json。

作品轮播与行业场景共用展示（2026-09-27）

• 原静态官网和受管理官网共用 WorksSection 与 EnterpriseShowcase，替换受管理端的普通作品/场景列表。作品数量动态显示，支持前后切换、显式暂停、减少动态效果、单条/空列表、原生详情弹窗及键盘焦点恢复；详情保留全部已配置素材、来源和模板链接，不补入静态图片。
• 弹窗按当前发布数据查找稳定作品 ID，新发布正文更新打开的弹窗，移除作品或撤回会卸载弹窗并释放滚动锁。场景按稳定条目 ID 选择，复用原画布与场景图交互；概念/已上线状态、界面说明、要点及媒体来源来自发布字段，支持纯视频素材和空列表。
• 预览渲染制品升级为 design.4 并由 Admin 显式采用，旧目录不改；Site 私有/匿名契约仍为 design.3，无新增 Core API、数据迁移或权限。Site、Admin 固定预览字节及 manifest 一致，匿名渲染标识仍与目标 SSR 绑定。
• 真实 Core/BFF/Site、隔离 SQLite 验证后台实际编辑、私有预览的键盘弹窗/场景切换、公开 SSR 与浏览器一致、3 条配置作品及原静态 15 条作品、桌面/390px 布局、减少动态效果、普通模式自动轮播/暂停、纯视频、弹窗打开期间发布更新及移除、自然撤回清理。撤回观测 30,122 ms；最终测试发布版本 6 已撤回，草稿版本 5。无页面脚本异常；已上线状态是夹具输入，不证明真实业务成果。
• Site 22 项测试、类型检查、客户端/SSR/预览构建；Admin 132 项测试、类型检查、启用和最终默认关闭 Site 开关的构建通过。Browser plugin not available，使用已有 Playwright。证据见 coordination/admin-refactor/site-interactive-sections-implementation.json。
• 当前来源包仍为 format 3、17 组字段，现含 26 份原文与 41 份素材摘要。差异说明已明确剩余主视觉流体/展映、工具多画面及栏目标题行动链接；后者尚无对应结构化字段，不能将本轮共用组件等同于整页完整视觉迁移。真实数据审核、完整身份/商业矩阵、Studio 来源适配及生产切换仍待验收。

栏目标题行动链接（2026-09-27）

• Site headings[].action 增加可选完整链接，复用稳定标识、名称、说明与地址；省略表示隐藏，不从静态页面补值。Contracts 私有/匿名候选升级 design.4，Core 显式采用生成类型及校验器；沿用原路由、权限、CAS、版本和审计，没有新增数据表或迁移。
• Admin 原固定表单可添加/移除操作入口，保存为私有草稿；Site 六类固定栏目及共用作品轮播显示指定版本的链接。渲染器升级 design.5 并固定摘要采用，旧制品保持。部署先兼容读取端再开放新字段写入，旧封闭读者不可直接读取新版正文。
• 官网来源导出提取实际 HTML 的独立栏目按钮，FAQ 两个帮助链接仍归联系入口，不重复导入；format 3、17 组字段不变。真实 Admin 校验新来源包并只读核对差异，默认保留未选择栏目。
• Contracts 112 项测试、检查及参考构建，Core 全量 race/vet/build，Site 23 项测试及客户端/SSR/预览构建，Admin 133 项测试、类型检查与开关启用构建通过。9 条真实 Core/BFF 响应独立通过契约校验；本轮未单独运行 PostgreSQL。
• 隔离 SQLite、真实 Core/BFF/Site 浏览器验证：无按钮历史正文、非法地址 400 且无新版本、后台添加与保存、私有预览和键盘锚点、编辑身份发布拒绝、显式发布后 SSR/浏览器一致、移除按钮在发布前不影响线上、发布后自然轮询隐藏（观测 28,138 ms）、真实后台历史回退保留最新草稿、最后撤回。最终草稿 5、发布 7 为 withdrawn；观测时间不是硬性传播 SLA。
• 桌面及 390px 公开布局、桌面/手机私有预览已核对，无页面脚本异常或公开写请求。Browser plugin not available，使用已有 Playwright；独立 AIHot 请求存在既有 CORS 拒绝，保留来源快照，不将其记录为新闻在线读取通过。浏览器脚本第一次将非法地址预期误写为 422，随后又漏填回退理由；修正测试后在同一已确认存活的隔离实例重新完成全流程，未修改产品规则以迁就测试。
• 证据见 coordination/admin-refactor/site-heading-actions-implementation.json。全量权限/商业回归、实际内容与来源审核、Studio 适配、整页视觉迁移和切换交接未完成；本轮仅补相关检查局部证据。

工具多画面管理与共用展示（2026-09-27）

• Site 私有/匿名契约推进 design.5，预览渲染器 design.6。工具新增可选 preview，包含画面、说明、标签和步骤；Studio 最多 4 幅，图片/短剧/电商/企业最多 3 幅，视频/Agent/画布最多 1 幅，步骤只用于 Agent/企业。旧 media 正文仍可读；明确配置空画面时不补静态素材。
• Core 沿用唯一写入、版本和权限，校验模式数量、稳定 ID、素材种类与来源地址。Admin 固定表单支持新字段；原静态官网和受管理官网共用工具标签与展示组件，保留八类工具、深链和键盘切换。来源包保持 format 3、17 组，增加到 28 份原文、41 份素材摘要。
• Contracts 113 项、Admin 134 项、Site 24 项测试与对应类型/构建通过；Core 全仓 race/vet/build 通过，本轮未单独复跑 PostgreSQL。隔离 SQLite、真实 Core/BFF/Site 验证后台编辑、私有预览、显式发布、SSR/浏览器一致、原 blocks 深链、八类标签、减少动态效果及视频卸载清理、更新保留选中 ID、删除后回到首项。更新自然轮询观测 29,089 ms，不作为 SLA。最终草稿 7、发布 7 已撤回。
• 浏览器无脚本异常、控制台错误或公开写请求；新闻使用明确的空手动夹具，不证明在线新闻可用。Browser plugin not available，使用已有 Playwright。第一次测试错误地用手机不可见的计数器 innerText 作断言，改用 textContent 后在同一隔离实例完成流程，未修改产品以迁就测试。
• 桌面与 390px 截图已核对，但移动端继承旧 CSS 隐藏图库第三幅画面；这属于尚待处理的完整内容可达性缺口，不能将 DOM 中存在三幅图记为手机全部可见。普通动态偏好的工具视频自动播放未在本轮单独验收。证据见 coordination/admin-refactor/site-tool-previews-implementation.json。
• 本轮不增加服务、接口、权限能力、数据库迁移或依赖。新字段须先部署兼容消费者；主视觉/展映、移动图库、完整字段与交互等价、正式来源审核及切换交接继续保留，所有整项 CK 状态不变。

手机工具图库完整展示（2026-09-27）

• 删除手机样式对图片、漫剧、电商图库第三幅的隐藏规则；800px 及以下改为单列，画面与说明随页面自然展开。展示容器不再固定为 630px，也不依赖内部滚动才能查看后续画面；桌面三列与错位构图保持原样。
• Site 预览渲染器升级 design.7，Admin 显式采用并固定摘要，历史 design.6 字节保留。私有/匿名 Site 契约保持 design.5；未修改 Core、BFF、权限或数据库。
• Site 24 项测试、类型、客户端/SSR/预览构建，Admin 134 项测试、类型及构建通过。此次是样式和预览采用改动，未重复运行未修改的 Core/Contracts 测试。
• 隔离 Core/BFF/Site 与真实 Admin 私有手机预览验证通过；公开页面覆盖 320/390/800px，逐张检查图片已解码、可见、处于面板边界内、标签不截断且无横向溢出或内部裁切。旧静态官网在 390px 也通过三类图库检查，桌面 1440px 截图保留三列构图。
• 复验八类工具、后台保存与显式发布、SSR、深链/键盘、发布更新和删除后的稳定选择、撤回。普通动态偏好的视频实际播放且时间推进，切换后暂停并卸载；减少动态效果时保持暂停。15 条真实响应通过契约校验，浏览器无脚本异常、控制台错误或公开写请求；新闻采用空手动夹具。自然更新观测 27,554 ms，最终草稿 6、发布 6 已撤回，隔离进程与端口已关闭，Admin 最终构建关闭 Site 开关。
• Browser plugin not available，使用已有 Playwright。首次脚本在图片图库滚动后未将视频展示区移入视口，懒加载视频未创建而超时；补齐滚动步骤后在同一实例重新完成全流程，未更改产品加载规则。
• 运行证据见 coordination/admin-refactor/site-mobile-gallery-implementation.json；其实际浏览器结果、旧静态与受管理页面验证范围、夹具清理状态独立记录。完整 Site 视觉验收、主视觉/展映、正式内容授权和切换仍不由此推定通过。

主视觉与作品展映管理（2026-09-27）

• Site 私有/匿名候选升级 design.6，预览渲染器升级 design.8。hero.presentation 可选，包含无动态/流体背景、颜色、展映导航说明及可选展映；展映管理窗口文字、品牌、副标题和最多 11 个稳定画面，分别配置图片封面、可选视频及来源。旧正文仍可读，不自动补新字段或静态素材。
• Core 沿用原接口、权限、CAS、版本和审计，补颜色、数量、唯一 ID、素材类型与地址校验，无新表或迁移。Admin 固定表单提供编辑提示和明确字段名称，保存后仍须受权预览与显式发布。
• 原静态和受管理官网共用 HeroSection、Showcase，保留流体、原展映构图、滚动交互与暂停。减少动态效果时停用流体和动态展映；全部画面与来源可通过独立列表查看，关闭列表会暂停其中的视频。移除展映或发布撤回会卸载相关组件。
• 来源包保持 format 3、17 组字段，现有 30 份源码原文、41 份素材摘要；原主视觉和 11 幅展映有单一静态数据来源，导出不再遗漏。整页版式与锚点、正式来源资格及业务信息仍需单独验收，导出不是授权证明。
• 真实 Core/BFF/Site、隔离 SQLite 完成后台实际修改、授权私有预览、显式发布、SSR/浏览器同版本、11 幅素材与来源完整列表、桌面/390px、减少动态效果、暂停/恢复、列表关闭暂停、删除后的画面/视频/流体清理、恢复历史正文与撤回。自然更新观测 28,654 ms，不作为 SLA；最终草稿 3、发布 4 已撤回，隔离端口关闭，Admin 最终构建关闭 Site 开关。
• 普通动态偏好的历史私有预览实际创建 WebGL 画布并显示流体；旧静态官网手机文案、展映锚点与完整素材列表也通过。无页面脚本异常、控制台错误或公开写请求；新闻使用空手动夹具。Browser plugin not available，使用已有 Playwright。
• 初次浏览器脚本遗漏必填字段标签的星号，随后又在元数据 effect 完成前比较标题；修正定位与等待条件后在同一实例完整通过。最终补关闭列表暂停与品牌字段名称后，停止原实例并用新构建启动隔离实例，完整流程再次通过。9 条真实响应独立通过契约校验。
• Contracts 114 项测试、检查和参考构建；Core 全仓 race/vet/build；Site 25 项测试、类型及客户端/SSR/预览构建；Admin 135 项测试、类型和构建通过。未单独复跑 PostgreSQL，未部署生产或调用收费服务。浏览器与最终制品证据见 coordination/admin-refactor/site-hero-implementation.json。

Studio 26 模块逐动作来源核对（2026-09-27）

• 固定本机 Studio 分支 codex/issue-9-gitleaks-cli、HEAD 2c8caf950cb1faf6366e91a2640f615aa3dd0f6f，工作区干净。未以远端最新或生产运行状态替代本机源码事实。补齐 26 个 section 的页面、旧入口、菜单能力、来源服务/存储、目标归属、操作和切换条件；仍使用原 64 项 AF / 104 项 CK，不新增功能编号。
• 本次提取范围为带管理路径或管理权限 guard 的 Next route.ts 导出函数：56 个文件、80 个 HTTP 操作。逐方法保存源码行号、路由权限、直接调用服务和摘要；独立审计 API 归 AF-O01，不虚构第 27 个菜单，也不把调用日志当作不可变审计。直接 import 证据不是完整调用图，目标 DTO、错误、幂等、并发及恢复协议仍需冻结。
• 共享 settings 的 18 个字段按身份/邮件、站点、计费权益、供应配置、生成运行和 Skills 分拆。一处 PATCH 要求本次字段的全部能力，渠道变化还联动逻辑模型和默认模型。API 支持不等于当前表单可编辑：points 直接保存 apiCreditRateCards；遗留免费积分、旧模型积分/倍数和 entitlements 保留为 API 配置来源。用户写接口的路由 OR 条件之后，还有普通用户、管理员、权限范围和资金字段的服务端二次校验，迁移不得丢失。
• 执行原菜单与权限纯函数，复现 9 组反例，覆盖注销申请、本地媒体、生成运维、订单、财务、支付配置和 CDK 共 7 个模块：菜单可进而读取能力不足，或有 API 能力却不能进入菜单。现有权限函数没有 manage 自动包含 read 的规则。overview 的商业与媒体摘要也分别依赖 billing.read 和 generation.read。新 Admin 的授权核对必须覆盖这些动作和分区失败，不能只迁旧菜单判断。
• 财务页为商业/余额摘要，尚不能作为完整统一账本；余额修改来自用户服务。更新页检查版本与阅读说明，不执行部署。备份只覆盖 Studio 定义的数据范围。价格同步为外部映射预览，实际采用仍通过设置保存；渠道密钥读取、测试邮件、协议生成、Skill 导入和存储迁移各自登记副作用边界，本次均未执行。
• 来源操作台账见 coordination/admin-refactor/studio-action-inventory.md 与同名 JSON；可复现提取、权限谓词及映射校验保存在 studio-action-inventory-evidence/。校验 64 个 AF、104 个 CK、26 个来源 key、80 个 HTTP 操作、18 个字段及 164 份来源文件摘要一致；仅证明文档与源码覆盖，不代表 HTTP、浏览器、数据库、产品迁移或整项 CK 通过。
• 当前仍保留所有旧入口和原服务写入。迁移顺序沿用 B1–B3 首批闭环、B4 Studio 逐模块、B5 条件扩展；每个模块完成界面、API、数据、权限、旧入口与回退六层核对后才停写或跳转旧入口。Console 保持客户后台，供应后台一期独立。检查点见 coordination/admin-refactor/studio-action-inventory-implementation.json。

Admin 页面与动作授权对齐（2026-09-27）

• 根据 Studio 来源核对中的菜单/API 差异，继续检查新 Admin 实际流程，修正“仅内容写入可进新建页、保存后详情却不可读”和“只有发布能力仍列出不可读取目标”两个入口问题。菜单与页面改用同一准入函数；模型新建要求读写能力；发布页仅列可读取目标；未知子路径不再继承菜单前缀权限，未接入空间不返回公共菜单。
• 员工授权页提示内容保存/审核/发布所缺的流程能力，保持明确选择，不自动扩大权限。更新 Site 编辑能力说明，删除已经过时的“接口待接入”。当前页面条件服务于必要回读，不修改 Core 的独立命令契约：仅有写权的程序仍可按原契约保存草稿，但没有后台完整编辑流程的读取权。
• 128 种内容能力组合对照实际 BFF gate 验证已准入流程的必要读取条件，并核对编辑/源审核、目标发布和跨目标权限分离。Admin 共 141 项测试、类型检查、Site 开关开启构建、最终默认关闭构建及本轮格式检查通过；没有修改 Core、Contracts 或数据库迁移，未重复运行未改动仓全套测试。
• 隔离真实 Core/BFF/SQLite 建立 Root、内容编辑、仅写入、仅 Site 发布、Site 读取与发布、公共内容只读及普通客户身份。直接请求验证权限不足拒绝、编辑不能自授公开资格/发布、Site 不能操作 Console、Site 共享模型发布还需公共模型读取。浏览器完成编辑保存→详情回读、只读目标过滤、Site 独立撤回、Root 显式补授读取能力和实时撤权后的页面/菜单清除；Console 发布在 Site 撤回后保持原状态。
• 浏览器桌面 1440px、手机 390px 检查页面身份、正文、无框架覆盖层、交互、控制台与截图通过，无页面脚本/控制台错误或手机横向溢出。Browser plugin not available，使用已有 Playwright。12 条 Core 成功响应通过固定契约验证；10 条 BFF 本地权限拒绝按自身边界响应核对。首次响应核对误将 Core 错误 Schema 套在 BFF 的 AUTH_FORBIDDEN 上；改正验证层次后通过，未修改接口迁就测试。
• 最终测试模型的 Console/Site 发布均撤回；Site 整页仅有私有草稿；被测发布员工读取权已撤销。自建 Admin/Core 端口 54036/54037 和 fixture 会话均已退出，最终构建关闭 Site 工作区开关。运行说明位于 Admin docs/WORKSPACE-ACCESS.md，证据见 coordination/admin-refactor/workspace-access-implementation.json。
• 该切片只补 B1/B2/B3 授权相关局部证据。全商业角色矩阵、所有对象/字段权限、在途预览撤权、PostgreSQL、正式源审核与规格绑定、整页等价及生产切换仍需继续核对，不据此将任何整项 CK 标为通过。

Admin 商业入口与本地接口可用性（2026-09-27）

• BFF 会话新增 available_apis，分别投影订单、查询、公共内容、Site 整页与员工授权接口开关，保留 Core 原始能力及策略版本。页面与菜单同时检查接口接入、权限及流程依赖；Root 不绕过本地关闭状态。接口开关变化参与身份 epoch，取消旧在途请求并清除私有缓存。
• 旧 BFF 缺少整个字段时，可选入口归一化为关闭，基础客户/目录/价格保持原能力判定；字段存在却残缺或非布尔值时拒绝解析。该字段表示本地配置，不声称上游健康或整体验收；部署应先 BFF 后前端。公共内容的 Site 共享模型目标与 Site 整页接口开关保持独立。
• 客户、订单、核对、调用记录和价格页的跨模块链接统一核对目标页面权限；不可进入时保留必要业务标识或隐藏动作。价格编辑器创建规则依赖目录读取，入口补齐 catalog.read；仅价格读写身份仍可查看版本，不修改 Core 独立写命令契约。移除客户页已过时的“订单/价格等尚未接入”说明。
• 146 项 Admin 测试、类型检查、启用 Site 构建和最终默认关闭构建通过。新增实际 HTTP BFF 测试验证开关投影和关闭前拒绝转发；客户端测试验证可用性变化使旧响应失效。没有修改 Core、Contracts、数据库迁移或商业记账逻辑。
• 隔离真实 Core/BFF/SQLite 覆盖客户只读、订单只读、用量只读、价格读写无目录读取、显式组合授权员工；Root 仅用于准备。桌面 1440px / 手机 390px 验证页面身份、无框架错误覆盖、关联入口、价格编辑依赖、接口关闭后当前订单页及菜单清除与恢复，无页面/控制台错误或手机横向溢出。Browser plugin not available，使用已有 Playwright。
• 20 条直接请求验证 Core/BFF 读取和拒绝结果：11 条成功响应通过固定 Core 契约校验；3 条 Core 权限拒绝及 6 条 BFF 本地拒绝按各自边界核对。脚本最初误用页面派生的客户/目录 API 地址，修正为实际 /user/{id}、/models/ 后完整通过，未修改服务契约迁就测试。
• 新建本地沙箱订单保持 pending、零入账；未修改价格或执行核对写入，未访问收费供应商。自建端口 57760/57761 停止，最终 Admin 构建关闭 Site 开关。说明在 Admin docs/WORKSPACE-ACCESS.md，证据见 coordination/admin-refactor/commercial-access-implementation.json。
• 该局部证据不覆盖非空用量逐行跳转、全部商业写动作、对象/字段完整矩阵、PostgreSQL、正式来源绑定或生产切换；全部 104 项整项 CK 仍未验收。

Admin 订单未知结果恢复与阻塞解除（2026-09-27）

• 上一轮商业入口联验已产生代码与真实服务证据，本轮继续 B1 订单核对的实际写入与恢复。发现原请求结果未知后，Core 明确返回版本冲突或缺少支付证据时，待确认记录一直保留并阻止后续写入；先用两项回归测试复现，再修复恢复分支。
• 仅订单核对重放收到确定的 409 CORE_VERSION_CONFLICT 或 422 PAYMENT_EVIDENCE_MISSING 且身份 epoch 未变化时，清理对应原请求并触发订单回读。依据 Core 事务顺序：先检查既有请求回执，再检查当前版本及证据，这两类结果证明该请求未提交。网络未知、401/403、请求身份冲突、其他错误和不匹配回执继续保留原参数与请求 ID；未扩展其他命令的清理规则。
• 明确未执行后仍显示解释，可由员工关闭；订单核对失败关闭提交弹窗，未知结果统一由恢复提示承接。截图发现恢复后旧的“结果待确认”文案仍留在详情，已移除重复状态并用最终构建重跑，避免同时显示“原请求未执行”和旧的未知结果提示。
• 158 项 Admin 测试、类型检查、默认关闭 Site 构建、相关格式及差异检查通过。新增 12 项命令测试覆盖确定拒绝、撤权/断网/请求冲突保留、身份变化和回执不匹配。未修改 Core、Contracts、数据迁移或记账规则。
• 最终隔离真实 Core/BFF/SQLite 浏览器覆盖：初次缺证据、发送前丢失、刷新恢复、缺证据后解除阻塞、另一操作者先完成造成版本冲突、提交成功后响应丢失、恢复前撤权与恢复授权、原请求幂等重放和改参冲突、可信 pending 证据不误报入账。桌面 1440px / 手机 390px 检查通过；无页面脚本异常，7 条控制台错误均来自显式注入的断网或实际 422/409/403 拒绝。Browser plugin not available，使用已有 Playwright。
• 数据库只读核对两笔订单各增加一条 1000 测试额度流水，钱包从 100000 到 102000；第三笔订单仍 pending、无入账。每单只出现一份成功核对回执及审计；两个明确未执行的请求无回执，已提交请求的重复恢复未增加流水。所有数据为本地技术夹具，没有真实收款或收费供应调用。
• 首次浏览器脚本在失败请求尚未完成时关闭弹窗，导致后续点击等待超时；等待请求结束后使用新隔离实例重跑成功。视觉修正后再次启动新实例完整复验；各自创建的三个 Core/BFF 实例均已停止，未改生产配置。证据见 coordination/admin-refactor/order-recovery-implementation.json。
• 本轮是 CK-F-C07、CK-A02/A04/A08 等相关局部证据；完整商业和对象/字段矩阵、非空用量联查、PostgreSQL、正式支付及全产品切换仍未验收，104 项整项 CK 保持原状态。

非空用量联查与指定历史价格版本（2026-09-27）

• 上一轮订单恢复修复已完成实际写入、回执与数据库核对；本轮继续核对非空用量记录。发现用量表虽显示冻结价格版本，点击却进入整个价格计划，顶部呈现最新版本。新增真实只读路由 /admin/pricing/plans/{planId}/versions/{priceVersion}，仅展示请求的固定版本，不提供追加入口；需要查看全部版本时显式跳转原计划页。
• 历史路由仍要求 pricing.read，不因 usage.read 或价格写权自动开放。无此版本时明确提示并不显示最新费率；价格响应及各版本的计划 ID 必须与目标一致。该页提供当时版本规则，不重算或取代历史已扣金额；复用原 Core 计划接口，没有新增 API/计价逻辑。
• 用量操作链接明确指向核对任务；任务 404 不再让用户误以为调用不存在或已结算，也不会出现处置按钮。用量只读身份保留操作 ID、计划与版本文字，不显示无权限的价格/核对跳转。核对只读身份可以查看实际任务而不能重新排队或结算。
• 使用真实 Core 内部 API 和合成 capture-chat-v1 证据，在新 SQLite 中生成 13 条调用：11 条结算、2 条缺少最终证据而待核对，没有调用供应商。浏览器验证 10/3 条分页、全量汇总不随页改变、刷新回第一页、精确操作筛选、实际核对详情、历史版本跳转、只读权限和缺失版本/任务状态。
• 夹具在产生 v1 调用后追加不同费率且不重叠时段的 v2，证明计划 head 更新不改变历史引用。v2 使用独立测试时段，不代表生产调价政策。指定页只显示 v1 的 2/3 费率；显式查看全部版本才看到 v2 的 99 费率和编辑入口。
• 数据库只读核对 11 条结算流水合计 77，钱包 credited=100000、debited=77、reserved=320；13 条冻结快照仍指向 v1，核对任务为 11 completed / 2 queued。两个查询分页和一个计划响应通过固定契约验证；两个 BFF 权限拒绝按自身边界验证。
• Admin 160 项测试、类型检查、默认关闭 Site 构建、相关格式及差异检查通过。桌面 1440px 与手机 390px 验证身份、正文、交互和截图；表格沿用可横向滚动区域，没有文档级横向溢出。无页面脚本异常，唯一控制台错误为主动查询不存在核对任务产生的 404。Browser plugin not available，使用已有 Playwright。
• 初次夹具使用自由文本作为内部 unknown 原因，被 Core 400 拒绝；改为契约允许的 transport_ambiguous 后重建隔离实例，未修改服务放宽校验。最终自建端口 62300/62302 已关闭，未修改 Core、Contracts、数据库迁移或生产配置。证据见 coordination/admin-refactor/usage-history-implementation.json。
• 本轮仍为相关商业/权限项的局部证据。所有计费 profile、历史任务补录、全对象/字段矩阵、PostgreSQL、正式来源与全平台切换继续按主计划验收，104 项整项 CK 未因此通过。

Studio 目标归属与作品引用契约提案（2026-09-27）

• 在已有 26 模块来源台账基础上，Contracts 增加 80 个 HTTP 动作与 18 个设置字段的目标归属提案。每项关联原路由、源码摘要、原权限、AF、目标工作区、写入责任和迁移缺口；目标写入方名称是职责标签，不表示新增服务或部署已完成。Console 仍为客户后台，供应相关动作继续在一期独立范围。
• 混合用户与设置接口按身份、产品、资金及字段责任拆分，禁止原样转发旧 settings PATCH；商业数据交接前不复制钱包，公共入口不改变业务事实写入方。所有目标动作仍为 target_http_adopted=false，未将来源权限自动翻译为 Core 能力。
• 现有 Studio 公开作品响应缺少固定版本标识，接受 unlisted，并暴露任意素材 metadata。新增指定版本只读引用提案，限定当前获准公开的版本，封闭返回字段、校验作品/版本/素材身份与路径；源治理仍由 Studio 执行，Site 仅拥有选编与目标发布责任。提案没有改变现有 Studio 页面或分享接口。
• 发现现有对象存储媒体 GET 会跳转至签名地址；元数据 no-store 和相对路径不能证明媒体可及时撤回。已将重定向白名单或受控源读取、签名地址存续、作者禁用、私有化、版本替换和素材删除列为接入前置。沿用现有内容 60 秒元数据有效期设计约束，完整源到目标/媒体撤回时限未验收。
• Contracts 121 项测试、完整性检查、参考制品构建和差异检查通过；7 项新增协议测试覆盖字段泄漏、身份错配、地址/素材约束、缓存与错误包装。独立脚本将全部 80 动作、18 字段及 5 个作品来源文件与固定 Studio 提交逐项比对；64 AF / 104 CK / 26 来源模块的可追踪关系仍通过，Studio 源码保持干净。
• 证据见 coordination/admin-refactor/studio-target-contract-implementation.json；提案说明位于 Contracts docs/studio-admin-migration.md。本轮未修改产品运行时，未进行真实 PostgreSQL、HTTP 或浏览器接入测试。CK-B04/B05/B07、CK-F-T01/S04、CK-A07、CK-P05/P06 只增加部分设计证据，104 项整项 CK 状态不变。

指定作品版本的 Studio 本地生产者

本轮从上一轮归属/协议提案继续实施，新增 Studio GET /api/public/works/{slug}/versions/{versionId}/reference。一条 PostgreSQL 查询同时核对作者有效、作品有效、当前指定版本审核通过且为 public，以及全部素材的永久登记、归属、类型与 MIME；任一素材不合格时拒绝整个引用，不静默返回部分版本。返回字段显式白名单化，隐藏署名不输出；错误与成功均禁止缓存。现有 unlisted 分享保持原行为，媒体字节读取仍沿用现有路径，未据此开放跨产品引用。

• 验证：Studio 全量测试 2,594 通过 / 12 按条件跳过；相关 45 项测试包含 10 个真实 PostgreSQL 场景和 7 个 HTTP 边界单测，类型及全仓 lint 通过。真实数据库验证私有/unlisted、待审/拒绝/下架、作者禁用、作品撤销、指针移除、素材失效与空素材；并发事务提交前只见完整旧版、提交后旧版 404 且新版独立可读。
• 使用自建 PostgreSQL 17 与独立 Next 开发服务，无真实渠道和用户数据。实际 HTTP 验证 200/400/404，1440px、390px、430px 浏览器验证源改为 unlisted 后重新读取即 404。该浏览器检查只覆盖匿名元数据与重新读取，不是新 Admin/Site 页面、媒体展示或全创作流程验收。
• Contracts 独立校验 28 个数据库生产者响应与 3 个真实 HTTP 响应通过。初始夹具遇到未初始化 Schema、用户必填字段、素材外键及唯一性约束，均修正测试数据与初始化顺序，没有放宽业务约束。源码台账保留实现前固定提交，当前改动摘要单独记录，不能再把历史台账的“源码未变”当作当前状态。
• 所有本轮自建服务已停止，Next 临时生成的配置变更已还原。证据为 coordination/admin-refactor/studio-reference-producer-implementation.json。未运行生产构建、全部 Canvas/图片/视频创作浏览器矩阵或真实供应 API；本轮只新增只读 API，未接新消费页面，未配置或调用真实供应。Studio 当前文档索引已替换旧 todo/pending-test/production-readiness 路径，因此按现行 status/next-steps 和 CHANGELOG 记录实际候选及剩余工作。

Admin 选编、Site 持续资格核对、版本绑定媒体读取、已签发媒体地址失效、端到端撤回时限和历史回退仍待实现及联合验收。104 项 CK 整项状态保持不变；这不是完整 Studio 管理迁移完成。

版本绑定媒体读取的本地实施

上一轮指定版本元数据生产者已完成本地验证；本轮继续解决媒体地址脱离版本和对象存储签名地址直接交给浏览器的问题。新增 /api/public/works/{slug}/versions/{versionId}/media/{assetId} GET/HEAD，引用候选演进为 v2 并返回该地址。v1 契约、示例和运行证据保留为历史，不覆盖旧制品；尚无 Admin/Site 消费者需要切换。

• 新媒体入口逐次检查作品、作者、public 状态、审核、指定当前版本及素材归属；过期登记也拒绝。私有化、unlisted、下架、禁用、指针移除及版本切换之后，新媒体请求不能绕过资格检查；条件缓存和 Range 在授权后处理。
• 本地文件复用现有 WebP、Range 和安全头。对象存储使用原登记位置与已配置 S3 客户端，通过 Studio 流式返回，浏览器不接收 Location、对象键或签名 URL。HEAD 查询实际大小，GET 使用 ETag 条件读取并核对范围/长度；沿用 32 MiB 单范围限制及现有并发保护。关闭外部存储写开关不影响已有对象读取。
• 实际隔离 PostgreSQL + Next HTTP + 本地文件/S3 TCP 夹具验证完整链路，涵盖图片原始读取、WebP、HEAD、206/416、禁止原件下载、缺失对象和源撤回。1440px、390px、430px 浏览器实际解码 WebP，并验证下架后新读取 404；源失去资格时未访问对象存储。S3 夹具另验证不跟随 307 和浏览器取消时关闭上游流，没有访问真实供应或存储账户。
• Studio 全量测试 2,600 通过 / 12 条件跳过；类型、全仓 lint、相关格式检查通过。Contracts 新增 v2 元数据/媒体契约，122 项测试通过；28 个生产者响应和 1 个实际 HTTP 元数据响应由 v2 独立校验。原 80 个管理动作不变，历史 164 文件来源基线与当前改动分别核对。
• 本轮夹具初次插入默认存储设置遇到 Schema 已有默认行，改为仅在自建隔离数据库中 upsert 后重跑成功。所有自建服务已停止，Next 生成的临时配置变更已还原。证据为 coordination/admin-refactor/studio-reference-media-implementation.json。

本轮保证新入口的新请求重新鉴权，不召回已经传送的字节或所有在途流；旧分享入口和旧签名地址仍遵循原语义。Site 仍须及时移除已展示内容。未运行生产构建、真实对象存储兼容/负载或全部 Canvas/图片/视频创作浏览器矩阵；新入口只验证合成图片和协议字节，不能声称完整视频播放验收。Admin 选编、Site 消费、跨站部署及端到端撤回/回退尚未完成，104 项 CK 整项状态不变。

Studio 受权读取与固定身份草稿（2026-09-27）

上一轮计划 v1.7 修订产生了可追踪的依赖与核对要求；本轮继续实施，完成来源读取候选和私有草稿身份持久化，未将完整选编发布范围缩减为读取接口。

• Contracts 生成 Node 服务端 Studio v2 读取候选，固定摘要，校验精确作品/slug/版本和媒体路径；只访问配置好的 origin，不转发员工身份、不跟随跳转、不缓存、不自动重试。Admin BFF 采用该制品，读取前后复核 Core 身份与 content.site.read；补上最后一次 Core 查询期间退出登录的竞态检查，迟到结果被丢弃。
• Site 管理契约升级为 design.7，增加 studio_reference 的作品/slug/版本身份。静态作品必须有素材且不带该身份；Studio 来源必须带完整身份、空媒体和空模板地址。BFF、Core 与 Admin 表单校验混合来源、缺字段和错误版本。沿用原不可变 JSON、CAS、回执和审计，没有数据库迁移。
• 当前允许保存和读取私有草稿；来源身份不等于已经核对公开资格。Core 一致阻止含 Studio 引用的预览、发布、历史回退和公开读取，避免未完成的源资格与目标消费被绕过。原静态发布保持兼容。公开制品的新候选继续只允许静态作品，Site 已采用制品与 Admin 预览制品未替换。
• 编辑页可查看已保存的固定身份，通用表单不能修改来源类型或身份，也不能为该引用添加静态媒体；可编辑编排文案并继续保存。新增作品选择界面尚未接入，页面明确显示当前限制。这是接入选编的存储基础，不是 AF-S04 完成交付。
• Admin 168 项测试和类型/构建通过；Contracts 129 项测试、完整性与参考构建通过；Core 全仓 race、vet、build 通过。新增测试覆盖来源读取边界、退出竞态、非法混合来源、固定身份回读、重复提交、原发布保持以及预览/发布/历史回退/公开读取阻断。
• 新 SQLite 的真实 Core/BFF 与受控 Studio HTTP 源联验通过：7 条来源读取结果和 8 条草稿/发布请求；没有连接真实 Studio 数据库。浏览器在真实 Admin 页面编辑并保存已有来源草稿，版本 2 更新为 3，刷新后身份保留；桌面及 390px 小屏检查单独记录。真实员工登录界面、作品搜索选择、Studio/Core/Site 全链撤回、PostgreSQL 专项与生产运行仍未验收。

证据见 coordination/admin-refactor/studio-reference-consumer-implementation.json。相关 CK 只追加局部证据，104 项整项状态保持不变；完整源选择、发布复核及 Site 持续清理仍是下一步工作，不能长期以临时发布阻断代替实现。

Core Studio 固定版本读取基础（2026-09-27）

• Contracts 从同一 Studio v2 规范生成 Go 类型、闭合结构校验及可重现摘要；Core 通过显式采用脚本固定到本仓，运行时不读取兄弟仓库。私有候选版本为 0.2.0-proposal.1，未发布 SDK。
• Core 的 internal/studioreference 只向配置的 Studio origin 匿名读取精确作品/slug/版本，检查素材归属路径、重复 ID、内容素材、MIME/类型及封面类型。拒绝跳转、可缓存响应、未知字段、重复字段、缺失/null 字段及超大正文；调用方提供超时，取消或超时关闭请求，没有重试、最新版本替代或历史成功快照回退。
• 经过验证的 404 与临时来源故障分开处理；权限拒绝、限流和其他声明错误不误判为可正常移除的作品。上游错误原文不返回调用方。字符串长度按码点核对，不对来源素材进行隐含数量截断。
• 复用 Core 原严格 JSON 解码逻辑并抽出独立包；原 controller 的 HTTP 类型、大小限制及错误包装保留。Core 全仓 go test -race ./...、go vet ./...、go build ./... 通过；Contracts 129 项测试、完整性检查与参考构建通过。新增来源测试通过实际 loopback HTTP 覆盖成功后撤回、错误版本、协议错误、跳转、缓存、超大正文、请求取消及响应头/正文超时。
• 当前仍是来源读取基础：没有接入 Site 预览/发布/回退/匿名读取，没有增加服务器启用配置，原 Studio 来源发布阻断保留。本轮未执行真实 Studio/PostgreSQL 或浏览器全链路测试，未修改 Admin/Console/Site 产品源码，未部署、调用收费供应或修改生产数据。

证据见 coordination/admin-refactor/studio-reference-go-implementation.json。仅为关联 CK 添加局部证据，64 项功能及 104 项整体验收范围和状态不变。下一步把来源读取接入发布生命周期，在事务外读取来源、返回前复核权限/发布状态，保持命令回执重放，并同步采用兼容的公开投影和 Site/Admin 消费制品。

Studio 来源接入 Site 发布生命周期（2026-09-27）

• Core 已将固定版本读取器接入 Site 的预览、发布、历史回退和公开读取；通过 CORE_STUDIO_ORIGIN 显式启用，未配置继续拒绝 Studio 引用。来源网络请求在数据库事务外执行，共用五秒批次期限，结束后复核员工权限、发布版本或不可变正文。慢请求期间撤权、发布撤回和并发版本冲突均有真实数据库测试。
• 草稿仍只保存来源身份，媒体地址在本次输出中生成，不持久化或覆盖源对象。所有来源素材保留并受原整页大小限制；静态作品继续限制 1–2 份。公开读取遇到经过验证的来源 404 只移除对应作品；协议/临时故障返回 503，预览、发布和回退遇到失效来源返回 422。已提交命令重放只返回原回执，不重新发布，也不因后来来源失效破坏回执恢复。
• Contracts 的管理/公开候选升级到 design.8，Admin 与 Site 显式固定采用；草稿校验与已解析输出校验分开。Site 预览升级到 design.9，复用公开正文校验；本地预览仅在 loopback 目标允许 localhost/127.0.0.1 HTTP 媒体，生产 HTTPS 规则保持。原 Site 刷新/过期清理及按当前作品派生的弹窗用于源失效处理。
• Core 全仓 race、vet、build 通过；Contracts 130 项、Admin 170 项、Site 25 项测试及各自构建通过。新数据库的真实 Core/BFF/Site 与受控 Studio HTTP 来源完成 14 条草稿/预览/发布请求和 7 条员工来源读取核对，覆盖 SSR、三份媒体、来源下架/故障、命令重放和历史回退。测试来源不是实际 Studio 数据库，不把该证据视为真实 Studio 全链验收。
• 补齐运行包遗漏的 design.8 公共校验制品；构建与打包均验证固定摘要。新增隔离目录测试验证打包后的 BFF/PostgreSQL 会话模块可加载，并以移除制品后的加载失败验证该依赖确实必要；默认关闭 Site 的 Admin 构建通过。
• 浏览器验证桌面作品弹窗、Admin 私有布局预览、390px 小屏展示及来源撤回清理。Admin 来源失效后媒体和弹窗清零、发布按钮禁用；小屏已打开页面观察到约 7.0 秒后作品与弹窗清零，该单次局部测量不是生产传播时限保证。检查中修正本地 CSP 的不受支持 IPv6 源表达式；旧错误日志保留，修正后预览图片已正常解码。管理员浏览器操作发布到版本 5、内容版本 2，随后公开 SSR 再次确认作品可见；隔离进程已停止，私有浏览器状态已清理。

证据见 coordination/admin-refactor/studio-site-publication-implementation.json。没有新增数据迁移、第二写入方、生产部署或收费调用。作品搜索选编、真实 Studio/Core/Site/PostgreSQL 联验、真实存储和视频兼容以及既有整页迁移/商业回归仍待完成；64 AF / 104 CK 的完整范围与整项状态保持不变。

Studio 作品搜索与选编（2026-09-27）

• 新增精简公开候选契约及 Studio 生产者，复用服务端关键词搜索和 keyset 查询；候选返回固定作品/slug/版本身份与文案，选择时另行复核来源和媒体。所有响应 no-store；未知、重复和无效参数拒绝。
• 真实 PostgreSQL 回归发现并修复共享广场游标的微秒精度丢失：公开日期显示不变，游标保留数据库精度。固定同一微秒的两条作品在 limit=1 时可完整翻页；另验作者停用、unlisted 过滤与媒体资格变化后的精确选取拒绝。
• Admin 接入受权搜索、前后翻页、固定版本选择和草稿保存；重复选取阻止、迟到请求取消、固定身份保留。新增制品显式固定，运行包覆盖新 BFF 依赖，浏览器代码不导入 Node 内置模块。
• 浏览器完成搜索翻页、来源下架时拒绝加入、恢复后选择、保存重开、预览和发布。草稿版本 3 保存两个空媒体的固定身份；发布版本 5 使用内容版本 3，公开 SSR 确认新作品可见。390px 手机列表、来源信息及分页未横向溢出。
• 当前浏览器为真实 Core/BFF/Site 加受控 Studio HTTP，真实 PostgreSQL 的 Studio 路由与查询独立验证；没有将二者合并宣称完整真实链路通过。预览外部新闻请求出现 CORS 失败，沿用已有快照回退；新闻来源兼容仍待核验。完整创作、画布、视频和供应协议浏览器矩阵本次未运行，此改动未涉及对应界面或收费生成。

证据见 coordination/admin-refactor/studio-selection-implementation.json。只补关联 CK 的局部证据，不调整 64 AF / 104 CK 范围及整项状态，不部署生产。

Studio 真实跨服务联验与预览媒体修复（2026-09-27）

• 联验使用真实 Studio Next standalone、Core、Admin BFF 与 Site；Studio、Core、Admin 分别持有隔离 PostgreSQL 数据库和登录角色。Studio 使用正式 standalone 资产预处理；不运行生成 Worker，不连接生产或收费供应。
• 9 组接口检查覆盖来源搜索/精确版本、真实图片/WebP 与视频 Range/HEAD、服务端权限、查询期间撤权、固定身份保存/去重/回读、发布及 SSR、源下架、撤回回执重放、历史回退和真实来源服务停机恢复。另在新库运行 Studio 12 项来源数据库测试。
• 浏览器首次暴露公开版本媒体 same-site 响应头会阻止不透明来源私有预览嵌入；仅将此公开媒体端点调整为 cross-origin。来源授权、no-store、版本资格及私有媒体策略保持原有约束。修复后隔离预览能解码图片和视频，公开官网桌面及 390px 手机弹窗可用。
• 浏览器完成实际发布版本 4 / 内容版本 2。源 unlisted 后，已打开页面的作品入口、弹窗和对应媒体节点均清除；实际 Core 公开响应保持目标发布版本 4 并移除无资格作品。此结果不构成传播时间 SLA。选编拒绝/恢复/保存重开及手机重复选择检查在同一轮修复前的真实服务夹具完成，与修复后的媒体验收分别留证。
• Studio 全量测试 2591 通过 / 24 条件跳过，构建（含类型检查）、lint 通过；当前来源 PostgreSQL 12 项通过；Admin 显式启用构建及恢复默认关闭构建通过。未覆盖 S3 实际部署、生产域名/数据、完整角色和商业矩阵、Studio 审核 UI 及无关创作/画布/供应生成浏览器流程。本次源状态变化通过隔离夹具 SQL 注入，不能替代真实审核操作验收。

证据见 coordination/admin-refactor/studio-real-chain-implementation.json。64 AF / 104 CK 范围与整项状态不变；此次补真实链路局部证据，未部署。

审核动作、目标发布权限与错误码修复（2026-09-27）

• 沿用真实 Studio/Core/Admin BFF/Site 和三个独立 PostgreSQL 数据库，17 组 HTTP 联验通过。新增 Site 编辑者、Site 发布者、Console 发布者及 Studio 审核员/其他员工/普通客户，验证动作和目标隔离；Site 发布权不授予编辑或 Console 发布能力。
• 实际数据库锁阻塞 Studio 来源查询时撤销 Core 发布权限，发布返回 403 且版本不变；另一操作先撤回时，迟到的发布返回 409，没有覆盖已提交状态。联验发现 Core 原有 AUTH_FORBIDDEN 不在采用契约中，导致 BFF 将正确拒绝转为 502；已修正模型管理 design.3 / Site 管理 design.9 的错误目录和显式采用，保留脱敏 403，未知错误继续拒绝。
• Studio 使用实际登录会话及审核 API：待审样本批准后可公开，下架后指定引用/媒体返回 404，Site 不再返回该作品，预览与历史回退返回 422，原发布版本保持。下架版本再次批准返回 409；初始测试错误地预期可以重新批准，现按真实生命周期修正测试，未放宽产品约束。批准/下架审计与审核人持久化已核对。
• 样本初始化、兼容场景与待审准备使用隔离 SQL，批准/下架使用真实 API。Studio 下一次请求可观察权限撤销；Studio 审核请求在事务等待期间撤权仍需单独验证，不能用 Core 的并发授权证据替代。未执行本轮浏览器或审核 UI，未验证作者编辑后新版本再提交的完整流程。
• Contracts 135 项、Admin 174 项测试通过，Contracts 检查/构建、Admin 类型/构建及 Core 全量 race/vet/build 通过；Studio 12 项来源 PostgreSQL 测试通过。本轮未修改 Studio 产品代码。公开 Site design.8 与模型 design.2 的运行文件和固定消费者逐字节一致；仅规范生成 manifest 的来源摘要更新，消费者原固定 manifest 保留。
• 隔离进程已停止。无生产部署、生产数据或收费调用；全量角色矩阵、审核 UI、源生命周期、传播时限、导入切换和 B4/B5 仍在完整范围内。

证据见 coordination/admin-refactor/studio-moderation-implementation.json。64 AF / 104 CK 不变，仅补局部证据，不把这 17 组场景视为整批验收。

Studio 审核事务撤权与作者重新送审

• 真实 HTTP/PostgreSQL 复现入口授权通过后、等待作品行锁期间撤权仍可批准的漏洞（预期 403、实际 200）。审核、下架和管理员删除现在在取得作品行锁后，于同一事务重新读取并锁定管理员记录，检查 active、admin 和 content.manage；权限锁持有到事务结束。原路由 Session 检查继续保留，无新增 API 或迁移。
• 21 组真实服务场景通过，新增审核/下架/删除三个在途撤权场景；拒绝后作品状态和源媒体保持。作者不能直接提交旧 taken_down 版本，实际编辑产生新版本、提交并批准后，旧 Site 固定引用仍不可用；编辑者显式改选新版并由目标发布者发布后才恢复展示。
• Playwright 在真实 Studio 会话中执行桌面批准、390px 手机下架及确认删除。私有预览使用合法永久媒体路径并成功解码 WebP；手机文档宽度与视口均为 390。实际批准、下架和删除的审计可查；删除后发布主记录及版本清除，原画布、一组两份媒体登记和磁盘文件保留，公开引用 404、Site 作品列表为空。浏览器无错误，存在重复 CSS 预加载警告。
• 联验夹具初始 Canvas JSON 的裸文件名不能识别为媒体引用，私有预览又要求正式日期路径；修正为实际引用格式和合法永久路径后重跑，没有放宽产品媒体规则。夹具数据与待审准备仍由隔离 SQL 建立，作者编辑/提交、管理审核/下架/删除及 Site 改选发布使用真实 API；浏览器进一步验证上述三个管理动作。
• Studio 全量 2595 通过 / 24 条件跳过，相关服务 24 项通过，来源 PostgreSQL 12 项通过，类型/生产构建、lint、格式与差异检查通过。本轮未运行无关 Canvas/图片/视频生成或收费供应浏览器流程；不代表整个 Studio 功能矩阵通过。
• 当前证据覆盖管理员角色/状态/职责复核，未覆盖所有在途会话注销、举报/申诉和精选动作；生产源生命周期、真实 S3、传播时限、统一员工身份交接及旧入口迁移仍待完成。原文档规则提到的 todo/pending-test/production-readiness 文件在当前 Studio 文档树不存在，本轮更新现行 status、next-steps、来源说明和 CHANGELOG。

证据见 coordination/admin-refactor/studio-moderator-revocation-implementation.json。保持 64 AF / 104 CK 全部范围，整项状态不据此勾选；没有生产部署或收费调用。

Studio 治理职责与当前会话的事务复核

• 复现实际退出登录后的在途下架仍成功（预期 401、实际 200）。作品审核、下架、管理员删除、精选/取消精选及举报/申诉处理现共用事务授权 helper，核对当前 active/admin/content.manage 和会话存在、归属、有效期，持有管理员及会话锁到提交；路由仅传已认证 Cookie 会话 ID，不采信正文会话字段。精选写入改为同一事务；无新公开字段、能力或数据库迁移。
• 25 组真实 Studio/Core/Admin/Site/PostgreSQL HTTP 场景通过。实际 logout 在等待作品锁期间完成后，旧下架请求返回 401 且作品保持；精选/取消精选及举报/申诉处理在等待期间撤权返回 403，案件和作品不变。经授权确认举报仅下架被举报版本，通过申诉则按现有规则恢复案件绑定版本，当前有效 Site 引用随后重新可读；这属于源治理恢复，不是失效缓存回退或自动换版本。
• 浏览器在真实会话中完成桌面设为精选、取消精选和举报下架，390px 手机完成申诉恢复。案件状态、处理说明、固定版本、Site 读取和审计均经数据库核对。浏览器申诉使用隔离 SQL 建立，作者真实提交申诉已在 HTTP 场景单独验证。无浏览器错误，保留既有 CSS 预加载警告；手机文档宽度为 390。
• Studio 2605 项通过 / 24 条件跳过，49 项相关测试通过，来源 PostgreSQL 12 项通过，类型/构建、lint、格式和差异检查通过。相关测试包含过期/归属错误/缺少会话与正文伪造会话字段。未运行无关创作、画布或供应生成浏览器矩阵，未连接生产或收费供应。
• 仍需核对相反决定的重复案件处理、在途读取/自然到期边界、普通用户写入、源生命周期及旧入口处置；完整 B1–B3 与 B4/B5 范围不变。现行 Studio 文档和 CHANGELOG 已同步，所有隔离服务和浏览器已停止，私有会话文件已清理。

证据见 coordination/admin-refactor/studio-governance-authority-implementation.json。64 AF / 104 CK 仍保留完整范围，以上局部证据不构成整项验收或生产交付。

Studio 案件重复提交与相反决定冲突

• 真实 HTTP 复现已确认案件再次提交驳回仍返回 200，成功审计还记录请求中的相反决定。服务现在只允许决定及规范化说明完全一致的重放，其他提交返回 409；原处理人、处理时间和案件结果不改写。成功审计从持久层返回结果取值，失败审计保留被拒绝的请求决定。
• 27 组真实 Studio/Core/Admin/Site/PostgreSQL 场景通过。新增举报/申诉的相反决定、修改说明、相同请求重放检查；行锁阻塞下并发两笔相反决定，释放后仅一笔成功，另一笔冲突，重复成功请求不改处理人和时间，审计与最终结论一致。
• Playwright 双标签页复现旧弹窗：一页先确认下架，另一页桌面和 390px 手机提交旧驳回均显示冲突并保留说明；取消后刷新待处理列表移除案件，切换已确认显示最终说明。数据库核对一条成功及两条失败审计，来源保持下架且 Site 作品列表为空。手机文档宽度 390；浏览器出现两条预期 409 资源错误及既有 CSS 预加载警告，没有其他错误。截图留存弹窗和输入，短暂冲突提示由浏览器可见性断言留证。
• Studio 全量 2609 通过 / 24 条件跳过，相关 15 项、来源 PostgreSQL 12 项通过，类型/构建、lint 通过。夹具时间断言曾将 Date 隐式转字符串丢失毫秒，修正为 getTime 后通过，未改产品时间规则。无关创作、画布、供应生成浏览器矩阵未运行；无生产部署、生产数据或收费调用。
• 本项为局部证据，完整在途读取/自然到期边界、普通用户写入、来源生命周期、身份交接及旧入口迁移仍待验收；64 AF / 104 CK 范围及整项状态不变。

证据见 coordination/admin-refactor/studio-case-conflict-implementation.json。

管理内容官网的导航迁移

• 回到 B3 整页/旧入口差异核对。隔离浏览器复现旧静态页具备、管理版缺失的向下键进入链接和菜单外关闭；手机关闭后重开残留上次分组。820px 下模型、创作工具及开发者下拉菜单越过视口边界。已恢复键盘进入、Escape 返回触发器、外部点击与焦点移出关闭、手机分组重置；菜单受页头边界约束并保留原列宽。
• 发布后的导航内容变化会仅重建页头，清除旧展开菜单；相同导航的周期读取不重置交互。HTTPS 导航链接恢复原页的新窗口及 noreferrer 行为，私有预览继续阻止实际外跳。
• 共用预览渲染器升级到 design.10，Admin 显式固定采用；原 design.9 的 renderer/manifest 字节保持不变。公开 Site design.8 与管理内容 design.9 DTO 不变，无 Core 数据结构或权限变更。静态导出增加原页顶部 Studio/API 快捷入口、主题切换及调色控件的未迁移记录，防止这些功能静默丢失。
• 隔离 Core/BFF SQLite 的真实 Admin 导入 17 组栏目、私有预览、显式发布及官网消费通过；四组菜单在 1440/1024/820px 下均未溢出，390px 关闭/重开、Escape 返回菜单按钮、画布锚点切换及滚动通过。新的导航发布后旧菜单关闭；SSR 29 个本地锚点都有目标。Site 25 项、Admin 174 项测试、类型/构建、格式及文档检查通过。浏览器无 pageerror；两条空库首次读取草稿 404、三条夹具注入新闻 503 已明确归因，不作为无错误的假证据。
• 当前仍须完成顶部控件的去向、极长导航文案、全页视觉与交互差异、实际数据和生产切换验收；不把导航修复视为 CK-F-S02/S10 或整个 B3 完成。范围继续保持 64 AF / 104 CK。

验证结果及限制见 coordination/admin-refactor/site-navigation-implementation.json。

官网顶部入口与访客偏好（2026-09-28）

• 管理契约 design.10 / 公开制品 design.9 新增可选 header，包含独立可移除的主要入口和次要入口；旧正文不补默认值。Core 沿用既有安全链接校验、版本、CAS、审计、回执及发布接口，没有新增数据库迁移。Console 在此是客户入口，不成为管理员工作区。
• Admin 增加“顶部快捷入口”表单及用途说明，显式采用预览 design.11；Site 从实际旧静态页提取两个入口，离线正文增至 18 组，去除原 preserved.header-actions-theme 缺口。旧归档与旧制品字节保留。
• 原站明暗/调色实现提取为共同组件，静态页、公开页和私有预览共用。公开页沿用配色本地持久化，明暗切换为当前访问状态；私有预览不访问持久存储。主题和调色不进入发布正文，也不写 Core。更换配色不覆盖明亮主题的深色文字。
• 浏览器发现 820–1100px 次要入口被原样式隐藏，已改为 1100px 及以下折叠导航，两个入口均可达；从手机导航打开调色面板时焦点丢失导致立即关闭的问题也已修复。桌面长标签视觉截断并保留完整可访问名称和 title，手机完整换行。
• 真实隔离 Core/BFF SQLite → Admin → Site 联验完成 18 组导入、两入口表单修改/保存/重开、私有预览、显式发布、单入口删除、历史回退和撤回。1440/1024/820/390px、128 字节导航和入口标签、桌面键盘菜单、手机调色边界/关闭焦点、预设/颜色/滑块/自动配色/重置/复制/重载持久化通过。访客操作前后后台正文相同，公开页无业务写请求；浏览器无脚本错误，空草稿 404 与刻意注入的新闻 503 单独记录。
• Contracts 137 项、Admin 175 项、Site 25 项测试通过；Core 全量 race/vet/build、Contracts check/build、Site 构建、Admin 启用与恢复默认关闭构建、相关格式及差异检查通过。本轮没有新增 PostgreSQL 或生产验收，不代表整页视觉、完整角色、正式来源与发布切换已完成。

证据见 coordination/admin-refactor/site-header-implementation.json。只增加局部证据，不改变 64 AF / 104 CK 整项状态；未部署生产或发起收费调用。

服务介绍与 FAQ 原交互保留（2026-09-28）

• 原站服务卡按“使用方式／服务内容”切换，FAQ 单项展开；受管页此前同时铺开服务清单，FAQ 使用另一套 details。现在两者提取为共同组件，静态页、公开页及私有预览复用；正文变化重置对应交互，空列表不补旧项，关闭栏目卸载内容。沿用现有字段，无 Core 写入或计价改动。
• Admin 显式采用 preview design.12，管理 design.10 / 公开 design.9 不变，旧预览字节保留。原站受众、共建标注与强调卡尚未映射的遗漏已登记到离线归档 preserved.service-annotations，不能按服务数组位置在公开版本中猜测。服务/价格分栏、FAQ 侧栏联系入口和其余整页版式差异继续保留。
• 实际 Core/BFF SQLite → Admin → Site 联验通过：18 组内容导入、FAQ 表单编辑保存、私有预览交互、显式发布；1440/390px 公开及静态页完成服务切换和 FAQ 键盘展开。当前公开版本实时替换后旧卡及 FAQ 行清除、交互重置；空列表、栏目关闭、历史回退和撤回分别验证。访客操作不改变 Core 正文，不产生业务写请求。
• Site 27 项测试与完整构建通过，Admin 175 项及启用/恢复默认构建通过，格式、差异和文档检查通过。浏览器无脚本错误；空草稿 404 和人为注入的新闻 503 单独记录。未执行新的 Core/Contracts 全量测试，二者本轮未修改；隔离 SQLite 证据不替代生产、PostgreSQL 或全角色矩阵。

证据见 coordination/admin-refactor/site-service-faq-implementation.json。64 AF / 104 CK 范围和整项状态不变，仅增加本轮局部证据，未部署生产或发起收费调用。

服务卡受众、标注和强调字段（2026-09-28）

• 补齐上一切片发现的源字段遗漏：管理契约 design.11 / 公开 design.10 的 SiteService 增加可选 audience、badge 和 featured。文本各限 128 UTF-8 字节，强调为布尔；空文本不显示，false 显式关闭，省略不补默认。Core 采用生成类型与校验，沿用原版本、授权、回执和发布存储，无新增迁移或接口。
• Admin 增加服务受众、标注、强调表单及用途说明，预览显式采用 design.13；旧公开 design.9 / 预览 design.12 字节保留。静态导入按唯一服务名称读取原卡片实际属性，移除 preserved.service-annotations 缺口；18 组正文的旧归档仍可读取。标注随服务稳定身份而非数组索引，展示强调不代表来源批准、产品开放或价格事实。
• 实际 Core/BFF SQLite → Admin → Site 联验完成导入、两段文本修改、强调开启、排序、保存重开、私有预览和显式发布。非法长度、null 和字符串布尔写入被拒绝且版本不变；表单移除标注与关闭强调后，已打开公开页清理旧文字和样式。1440/390px 及 128 字节中文标注通过边界检查；服务切换保留当前标注，历史回退恢复原版本，撤回移除卡片。
• Contracts 139 项、Admin 176 项、Site 28 项测试通过；Core 全量 race/vet/build、Contracts check/build、Site 完整构建、Admin 启用及恢复默认关闭构建通过。相关格式、差异、UTF-8 和文档检查通过。浏览器无脚本错误，空草稿 404 与注入新闻 503 单独记录；本轮未新增 PostgreSQL 或生产验收。
• 服务/价格组合、FAQ 侧栏联系位置与其余全页差异、正式来源及模型绑定、完整角色/商业矩阵和切换验收仍保留。Studio 剩余会话/读取及来源生命周期与 B4/B5 迁移继续在完整范围内。

证据见 coordination/admin-refactor/site-service-fields-implementation.json。64 AF / 104 CK 范围和整项状态保持不变；没有生产部署、生产数据或收费调用。

Studio 管理列表的在途授权复核

真实隔离 PostgreSQL/Next HTTP 复现作品和案件两个列表在退出、撤权、自然 Session 到期后仍返回受保护结果，共六个竞态。现已由路由传入 cookie 身份，并在列表及媒体信息读取结束后复用事务内当前职责和 Session 复核；失败返回 401/403、data 为 null。未把身份或 Session 接受来源扩展到请求参数。

修复后六个 HTTP 竞态、初始越权拒绝与恢复读取通过；1440px/390px 的作品和案件页面各完成真实刷新→数据库等待→撤权→清除列表。全量测试 2628 通过、24 跳过；另跑 PostgreSQL 来源夹具 12 项，类型、构建与 lint 通过。证据见 coordination/admin-refactor/studio-read-session-implementation.json。本轮未跑完整 Canvas/图片/视频/上游能力浏览器矩阵；未触及真实上游、216 或生产。旧弹窗、跨标签页、身份切换以及完整写入到期矩阵保留为待验范围，64 AF / 104 CK 整项状态不变。

Studio 作品与案件页面的身份和弹窗清理

桌面/手机真实浏览器复现 403 后旧处理弹窗及输入仍保留。现复用用户状态与会话 epoch，对管理请求的响应正文完成后再次检查身份；已知身份/职责变化清除对应页面，当前 401/403 丢弃所有旧在途结果并关闭详情、处理及本页面持有的确认框。普通客户/公开作品请求保持既有行为；409 仍保留处理说明，余额或资料更新不重置表单。

实际 Next/PostgreSQL 浏览器通过 14 个场景：八个 401/403 清理及显式恢复、桌面/手机另一标签页退出后详情清理、两份延迟的真实 200 丢弃、409 输入保留，以及无审核权限身份切换时销毁删除确认框且作品未删除。标签页测试在真实退出后显式触发现有 visibilitychange 复核，不宣称立即广播失效。全量测试 2640 通过、24 跳过；另跑 PostgreSQL 来源夹具 12 项，类型/构建/lint 通过。证据见 coordination/admin-refactor/studio-client-authority-implementation.json。

仍需核对根会话并发水合、同账号更换 Session、其他后台分区与外壳、跨标签页失效时限及完整写入到期矩阵。本轮未跑完整 Canvas/图片/视频/上游能力浏览器矩阵；未调用真实上游、测试 216 或部署。64 AF / 104 CK 整项状态保持未验收。

Studio 共享会话刷新与账户菜单

真实 Next/PostgreSQL 浏览器复现两个问题：旧管理员会话响应覆盖较新的无审核权限身份，以及退出后账户菜单回退显示 SSR 初始用户。共享加载器现拒绝被替代/重置的响应，根初始化只应用当前缓存对应的结果；路由变化重新核对，登录/注册成功时失效旧请求。账户菜单水合后使用当前用户状态，不恢复旧初始身份。

桌面和 390px 共六个浏览器场景通过，包含真实登录后迟到匿名响应。相关测试 35 通过，全量测试 2643 通过、24 条件跳过，PostgreSQL 来源夹具 12 通过，类型/构建/lint 通过。旧源码表达式断言曾要求保留错误回退，现已移除，实际行为由浏览器验证。登录夹具曾因缺少加密配置进入安装页，补齐隔离测试配置后完成；测试等待有界。证据见 coordination/admin-refactor/studio-session-refresh-implementation.json。

退出场景在实际另一标签页退出后显式触发现有可见性复核，不宣称主动广播或所有分区已完成。AuthUserHydrator、其他管理分区/外壳、同账号 Session 更换、跨标签页失效时限与完整写入到期矩阵仍待处理。未重跑无关 Canvas、图片/视频生成及供应能力浏览器矩阵；未调用真实上游、测试 216 或部署。隔离进程已停止，四个本次相关私有运行目录已移除。当前 Studio 文档树无 AGENTS 引用的 todo/pending-test/production-readiness，继续更新现行 status、next-steps 和 CHANGELOG。64 AF / 104 CK 整项状态不变。

Studio 服务端身份初始化与管理页面清理

桌面和 390px 真实浏览器复现退出后用户列表及后台外壳仍保留。服务端用户现只在浏览器尚未观察身份时初始化；用户 store 记录身份、角色、状态与规范化职责的变更版本，余额/资料或权限顺序变化不使页面失效。管理首页、财务页和初始化页统一绑定当前身份与权限版本；不匹配时卸载整个管理内容及其 Ant Design 弹窗上下文，恢复权限也须显式重新验证，避免旧表单自动恢复。

十个实际 Next/PostgreSQL 浏览器场景通过，覆盖用户列表退出、编辑弹窗撤权、普通资料刷新、权限恢复后的显式验证、作品删除确认框关闭，以及财务/初始化页退出。删除确认框测试先将隔离作品设为已下架，符合现有删除前提，未发出删除请求。新组件已登记到既有组件清单；相关测试 43 通过，全量 2651 通过、24 条件跳过，PostgreSQL 来源夹具 12 通过，类型/构建/lint/格式/差异检查通过。证据见 coordination/admin-refactor/studio-admin-boundary-implementation.json。

迟到服务端身份应用已由 store 状态测试覆盖，但真实迟到 RSC 导航未实测；各模块 API 的拒绝处理及在途写入、同账号 Session 更换、完整到期与跨标签页时限继续验收。客户页和全局侧栏的旧快照不在此管理页边界保证内；不以十个场景宣称全部 26 个模块已完成。未运行无关 Canvas/图片/视频生成及供应能力浏览器矩阵，未触及真实上游、216 或生产。四个本轮隔离运行目录已清理，64 AF / 104 CK 整项状态不变。Studio 当前仍使用 status、next-steps 与 CHANGELOG 记录候选变更；AGENTS 所引用的 todo/pending-test/production-readiness 在当前树不存在。

下一项可执行工作

Site 12 条模型来源归并已有可重复流程与隔离证据；栏目标题行动链接已完成本地链路验证；继续核对正式共享卡/规格绑定和来源资格，并完成整页版式、字段可达性及剩余交互差异核对，完成旧营销页面/锚点差异核对、正式域名及产品地址配置和切换回退；完成这些验收后再正式开放 Site 工作区。全栏目公开读取与本地撤回传播已有局部证据，不能代替导入、完整视觉及生产交接。完成导入模型卡的来源审核与目标编排、实际数据的规格绑定、目标历史记录及完整权限/商业回归；B0 的 26 个 Studio 模块逐动作来源台账已补齐本机证据；继续冻结目标接口与字段权限契约，补真实服务直请求和恢复验收。B4/B5 保留在完整范围内。

Studio 目标归属提案现已覆盖全部来源动作和设置字段，指定作品版本的源元数据及媒体接口已有本地验证；受权读取及固定身份草稿也已接通局部链路。Core 来源资格复核与 Admin/Site 消费已完成受控来源局部联验；Admin 选编已完成受控来源局部联验；真实 Studio/Core/Site/PostgreSQL 的来源下架、读取撤权、媒体与历史回退已有局部联验，实际审核 API 与目标发布撤权/冲突已有局部联验；审核 UI、审核/下架/删除事务等待期间职责撤销及作者新版本再提交已有局部证据；举报/申诉/精选与管理写入会话复核已有局部证据；案件重复及并发冲突、旧弹窗保留输入已有局部证据；下一步核对在途读取/到期边界、剩余来源生命周期矩阵、完整目标权限矩阵和旧入口处置，并逐模块补齐其余目标动作 DTO、权限、错误、并发与恢复契约。不得用本地生产者测试替代目标消费者、真实存储兼容和新旧入口切换验收。

本切片只增加相关检查的局部证据。104 项整项验收未全部通过，未部署生产或操作生产数据。