产品文档
功能需求
带编号的首发需求及模块与实现映射
P0 为首发必需；条件 P0 为启用对应能力时必需；P1 为后续能力。所有需求当前为“待实现/待验证”，上游和现有前端仅作为候选基础。需求细则通过链接引用唯一模块规范；验收见验收标准。
| 编号 | 优先级 | 需求与边界 | 规范 | 实施任务 |
|---|---|---|---|---|
| PL-001 | P0 | 统一用户、注册登录找回密码、共享 Cookie、白名单返回与全局撤销 | 身份 | T-04 |
| PL-002 | P0 | 平台细分角色、产品作用域权限、受限服务凭据；后台只恢复已授权操作 | 身份 | T-04、T-05 |
| PL-003 | P0 | Key 创建/查询/编辑/启停/删除、完整复制、模型/额度/有效期限制 | Console | T-02、T-06、T-07 |
| PL-004 | P0 | OpenAI/Claude/Gemini 文本协议、普通与流式、用量与异常政策 | 中转 | T-02、T-06 |
| PL-005 | P0 | 一用户一钱包，模型与非模型同一资金路径、整数/定点精度、流水核对 | 钱包 | T-03、T-05 |
| PL-006 | P0 | 客户方案与协议价有效期、价格版本快照、报价预览、未配置拒绝 | 钱包 | T-05、T-06、T-08 |
| PL-007 | P0 | 非模型预留、确认开始、补充预留、结算/释放与幂等冲突 | 钱包 | T-03、T-05 |
| PL-008 | P0 | 持久任务/账务恢复、提交未知核对、终态保护、人工异常处理 | 集成验证 | T-03、T-05、T-06、T-08 |
| PL-009 | P0 | 人民币订单与支付校验、一次入账、状态查询、凭证补单与退款政策 | 钱包 | T-09 |
| PL-010 | P0 | Console 公开模型/价格/文档、本人总览/Key/钱包/记录/账户/安全 | Console | T-07 |
| PL-011 | P0 | Admin 用户/企业方案/销售模型/价格/订单/调整/权限/审计与产品入口 | Admin | T-08 |
| PL-012 | P0 | 每笔使用可追溯到用户、可信产品、单位、价格快照、操作与任务 | 钱包 | T-05、T-06、T-07、T-08 |
| PL-013 | 条件 P0 | 视频任务提交/查询/结果归属/计价/退款/恢复，直接经媒体网关 | 中转 | T-02、T-06 |
| PL-014 | 条件 P0 | 图片/音频协议、供应候选与计量；只在组合验收后开放 | 中转 | T-02、T-06 |
| PL-015 | P0 | 保留品牌及可用页面、迁移两套 React 前端、移除旧 BFF 和会话库 | 前端迁移 | T-07、T-08 |
| PL-016 | P0 | 可重复构建、版本及提交可追溯、迁移/备份/恢复与发布验证 | 运行与发布 | T-01、T-10 |
| PL-017 | 条件 P0 / P1 | 周/月优惠订阅配置与统一记账纳入首期，配置完整并验收后上架；营销、赠送、Playground、官网内容管理仍为P1 | 首发范围 | 订阅 T-07～T-09；其他后续立项 |
约束需求
- PL-N01 数据边界：平台不保存产品 Project/作品/素材域；不直连模型供应商；不新增第二钱包。
- PL-N02 身份边界：前端路由不是安全边界，所有受保护接口由后端检查；用户输入不能改变可信主体、产品或角色。
- PL-N03 资金边界：并发和故障下账务不丢失、不重复生效；用户余额与 Key 额度分别核对。
- PL-N04 可解释性：业务拒绝、未登录、无权限、暂不可用与结果未知分别返回状态；操作可定位，日志脱敏。
- PL-N05 迁移边界：平台验收前不删除 Studio 现有账号/钱包；不修改 uumi 现有客户或渠道；不提前归档可运行的 Console/Admin。
变更规则
需求编号保持稳定。变更写明原因、影响的接口/资金/权限、验收和任务，不以删除编号隐藏已确认需求。首发排除项在决策清单记下决定与禁用方式，再同步页面及模型能力开关。