分阶段开发任务清单

本页供项目负责人拆分任务和验收。当前只有目录骨架与文档站可运行，以下均为待开发任务。 阶段按依赖排序，不代表固定日历周期；每阶段通过验收门槛后再扩大范围。阶段目标与指标是验收口径，本页列实际工作包。

阶段 0：工程与契约基线

先选定一个可授权的真实业务场景、一个主数据源和一个有回写能力的测试源。明确数据所有者、源系统权限、敏感字段和成功指标。

ID	负责模块	开发任务与交付物	完成判据
F01	`contracts/`、全部服务	定义租户、主体、`traceId`、`executionId`、模型版本、错误码、事件信封、幂等键的 OpenAPI/JSON Schema；建立兼容性检查。	契约可生成客户端与服务桩；破坏性变更在 CI 中失败。
F02	`infra/`、全部服务	建立本地 PostgreSQL、对象存储、服务启动模板、数据库迁移、密钥注入、健康检查和 CI。	新环境按文档启动一个空服务并完成迁移、备份和还原演练。
F03	Policy、API、Control Plane	明确身份来源、租户隔离键、认证与授权边界，设计默认拒绝的测试矩阵。	伪造租户与主体的负面契约样例写入测试规范，供阶段 1 执行。
F04	Registry、Runtime、Integration	固定首个实体、字段、关系、源映射和查询样本，写源系统能力与延迟基线。	样本能覆盖模型发布、授权读取和来源追溯。
F05	架构负责人	对本阶段候选开源组件做短周期 PoC，记录版本、许可证、运维依赖、退出方案和是否采用。	决策写入 `docs/adr/`；没有通过 PoC 的组件不进入生产依赖。

退出门槛： 能从版本化契约生成服务接口，构建与迁移在干净环境通过；首个场景、源系统和验收数据得到业务所有者确认。

ID	负责模块	开发任务与交付物	完成判据
R01	Registry、`packages/ontology-core`	实现元模型、草稿校验、版本比较、不可变发布快照和 Outbox。	Runtime 只能读取已发布版本；不兼容变更发布前被阻断。
R02	Integration、Connector SPI	实现 JDBC 和 HTTP 连接器的能力声明、凭据绑定、超时、分页、限流和来源元数据。	至少接通两类测试源，连接器契约测试覆盖失败与 Schema 漂移。
R03	Runtime	实现实体/关系解析、单源计划、策略改写、预算限制和取消；输出来源、新鲜度与模型版本。	未授权字段在读取前被阻断；超预算查询不会访问源端。
R04	Policy、API	实现可信身份上下文、基础 RBAC/租户隔离、REST 读接口和统一错误。	越权用例失败；响应可通过 `traceId` 关联请求。
R05	Console	建立模型草稿、校验、发布和实体查询的最小界面。	业务用户通过界面完成一次发布和授权读取。

退出门槛： 在真实或等价测试源上完成“建模→发布→授权读取→来源查看”；单源查询延迟按建议验收指标实测并报告源端耗时。

ID	负责模块	开发任务与交付物	完成判据
A01	Registry、Actions	发布 Action 输入/输出 Schema、风险级别、规则和审批要求；实现持久化执行状态机。	每次提交有唯一 `executionId`，状态迁移受约束。
A02	Policy、Actions	实现对象、实例、字段、Action 的授权，审批前和执行前复验。	审批后权限或业务状态变化时不能直接回写。
A03	Actions、Integration	实现幂等键、Outbox、源端回写、重试、Saga 补偿及“结果未知”核验。	并发重复提交只产生一次业务副作用；源端响应丢失不被标记为成功。
A04	Lineage	保存规则、决策、审批、每次尝试、源端回执、核验和证据摘要；建立 `executionId`/`traceId` 查询。	成功回写可追溯到审批和源端核验；篡改证据可被发现。
A05	API、Console	提供 Action 提交、审批处理、执行状态和人工处置界面。	用户能处理拒绝、失败、未知结果和补偿失败。

退出门槛： 对同一业务动作跑通“拒绝、审批通过、重复提交、超时未知、核验成功、补偿失败”六类用例，并在证据查询中还原实际步骤。

ID	负责模块	开发任务与交付物	完成判据
X01	Runtime、Integration	加入受预算约束的两源关联、查询计划解释、逐源新鲜度和部分失败语义。	两源查询不会无界扫描；超时和取消释放连接。
X02	Integration	按真实需求引入 CDC/ETL、物化和位点管理，定义与虚拟化结果的一致性边界。	断点续传与 Schema 漂移可测试，来源位点可查。
X03	MCP、Registry、Policy	将已发布 Function/Action 投影到 Tool Registry，按租户、委托和权限过滤发现与执行。	REST 和 MCP 调用同一业务能力获得一致授权及状态语义。
X04	Lineage	记录字段静态映射、实例动态路径、变更影响、审批链和源端观测等级。	可从实体字段追至源字段和具体执行；未观测源端内部步骤有明确标记。
X05	全链路	建立追踪、指标、事件关联与诊断视图；完成跨服务故障注入。	`traceId` 可定位请求，`executionId` 可定位 Action，二者都能关联证据。

退出门槛： 两类客户端、两个数据源完成端到端验证；若当期启用 CDC/ETL，还须完成一个位点恢复场景。权限、血缘和新鲜度在查询与工具路径一致。

ID	负责模块	开发任务与交付物	完成判据
P01	Control Plane	实现租户生命周期、套餐/订阅、配额、用量去重、价格版本、账本和对账。	账单项目可回溯到原始用量事件；迟到与重复事件处理可复现。
P02	API、Runtime、Actions	在入口和执行路径同时实施配额，定义控制平面故障时各能力的降级策略。	超额请求在产生不可控资源消耗或副作用前被拦截。
P03	全部服务、运维	完成密钥轮换、加密、保留/删除、备份恢复、容量压测、SLO、告警和发布回滚。	RPO/RTO、SLO、隔离与恢复指标通过演练和测量。
P04	全部服务	完成租户间越权、审批绕过、重放攻击、连接器故障、事件乱序等安全与韧性测试。	高风险缺陷关闭，残余风险有负责人和处置期限。

退出门槛： 以真实套餐和租户样本完成用量对账；生产评审有压测、恢复演练、安全测试和运维交接记录。