逐REQ深化：任务、目标、办理与交付边界

2026-10-01 · v0.1.0 · 41个候选REQ的完整规划范围卡。
Wave归属是唯一编排索引；模块目录定义路径缩写；执行计划定义正式化/分支/交接方式。
各卡是正式REQ的上游输入，不是人类已确认/锁定的A→B→C，不替代正式FR/AC、S2设计或S3合同。未授权绑定或实施。

1. 全部REQ共用的交付要求

业务卡里的“达到目标”指精确集成版本上的真实结果，不是原型按钮或Stub返回。每个REQ正式化时必须为本卡所有必要功能建立有限FR/AC库存，关联模块当前stories/flows/场景/CASE，并明确不适用的具体理由。

事实与办理同源：页面显示ID/版本/金额/单位/时间/范围/来源；空记录、零、失效、来源缺失和UNKNOWN分别表达。组合查询不成为写Owner。
权限与受托：入口、字段、对象范围、具体动作分别检查；高风险动作说明目标、影响、政策和证据。代办检查工作人员权限与客户授权/证据，不能因是管理员就忽略守卫。
重复与竞争：正常、同键重放、同键异载荷、版本冲突、权限撤回、跨对象额度/数量竞争、适用的时间边界分别有判据。
恢复：超时先查原目标；部分成功逐项保留结果/未结责任；重启/迟到/乱序/重放不重复效果；命令、投递、现场/Provider观察和核验结果不混为“完成”。
人工兜底：可定位阻断原因/源证据/原请求，依法依权限复核、更正、继续或升级。不存在“强制完成/直接改状态”的万能操作；通知未读不算同意。
监控与责任：业务REQ交付必要的源信号、质量/时点、检测/响应接入、受控恢复动作和回源核验；平台内核不写零售分支。技术REQ如无UI，如实说明。
迁移与运行：正式REQ逐项说明初建/存量/在途输入、兼容/回退/恢复责任；钱和实物已发生不靠软件回滚撤销。运行时限/容量阈值/实际人员在适用阶段收口，不能填假数字。

下面的每项“出口判据”都需要正式化为可验证AC及反例。它们给出最低业务目标，不声称本轮已有完整测试或实现证据。政策只引用定案条件D-01～D-15，不在卡里私定退款去向、费档、超重责任、扣款授权等。

2. 全量范围卡

共同事实与工程

REQ-DW-SHARED-BASELINE｜共享事实与基础数据契约

要得到什么：所有真实消费者使用一套可执行的公共数据含义；Account、Customer、MealOccurrence、Order、Payment、Confirmation、Execution等身份不会混用。现有§A草案继续作为正式化入口。
触发/动线：领域作者增加操作→引用原生类型/关系→消费者生成或验证→发现不兼容回Owner收口，不能各端补DTO绕过。
必要功能：typed ID/SourceRef；金额币种/整数表示；数量单位与测量精度；权威时间/日期/时区；版本与证据引用；命令身份/幂等/确定拒绝/UNKNOWN/原结果查询；核心对象关系与状态引用。仅收公共结构和已明确原则，不一次冻结全部业务字段/状态。
工作面：无业务UI；提供FE/BE/适配器实际消费入口、合法样例/结构反例和可运行检查。
事实/目录：公共类型维护责任；M: common、packages/model-bindings/、tools/model-generation/；沿用docs/architecture/state/，不复制状态机。领域Schema仍归各域。
出口判据：①同一原生Money/Quantity在实际消费者中语义一致；②合法JSON通过、结构非法JSON被拒绝，业务拒绝不伪装结构错误；③UNKNOWN含原目标查询依据，不被当确定失败；④模型源及依赖闭包可定位，无REQ私有副本/不同字段同名源。
边界/兜底：错误ID/单位/时区不能默认修正成另一业务；未明确的金额精度/序列化协议先定技术语义；后续领域政策不由公共类型代判。
编排/交接：工程地基并行收敛生成/检查接口；公共Schema和最小消费者构件交接后下游用。共享文件变更走公共维护队列。

REQ-DW-ENGINEERING-BASE｜工程地基与开发环境

要得到什么：新分支可从明确commit获得可运行工程和一致工具链，不依赖作者本机、未提交文件或复制控制面。
触发/动线：开发者获取正式基线→安装/启动→生成绑定/运行根检查→按目录扩展模块→提交并复现；集成者验证REQ主checkout隔离。
必要功能：目标工程骨架/包边界、开发配置/密钥引用、固定依赖与生成配置、实际构建/启动/CI命令、迁移命名/执行接口、模块扩展端口；多REQ主会话Hook/Runtime/journal/证据隔离的有限验证。数据库/队列选择在正式设计中决定，不把unknown当已选。
工作面：无零售页面；能启动各入口工程空壳和业务承载区。业务布局由SURFACE-FRAMEWORK负责。
事实/目录：工程/集成责任；apps/、services/business/、packages/根、tools/build/、tools/development/、database/migrations/机制；不创建41个REQ代码目录。
出口判据：①干净环境按文档可安装/构建/启动；②同源生成可复现且不手改输出；③失败构建/迁移失败显式阻止错误交接；④两个独立REQ主checkout不会串写Runtime、证据、锁/凭据，缺该证据不启用并发执行。
边界/兜底：缺外部权限/秘密给可定位阻断，不能提交凭据；迁移失败有保留水位和恢复路径；未确定部署单元数不能沿用旧数量作为验收目标。
编排/交接：与共享基线共享工具接口；交根命令/扩展端口/最小生成器后W1才能真正消费。产品目录是本REQ未来成果，本轮未创建空源码目录。

身份、客户与可靠保存

REQ-DW-RELIABLE-RUNTIME｜持久命令与可靠运行基础

要得到什么：领域操作已提交但回执丢失时仍可查原结果；消息/调度重启可恢复，审计/证据可回源。
触发/动线：用户提交→Owner原子提交事实与可靠消息→响应丢失→查询同一命令→继续原义务；运行人员定位失败投递/作业，不重新制造业务目标。
必要功能：持久命令结果、同键载荷绑定、Outbox/Inbox、调度租约/代际fence、重试/死信/期限、服务恢复主体、审计、FileAsset可用性/完整性、技术参数/展示字典接缝。领域守卫仍在各Owner本地提交。
工作面：运行接口为本轮重点；W2后台/控制中心挂载原结果、调度、审计、文件和未结责任。业务恢复按钮由后续各域REQ交付。
事实/目录：P: commands/messages/jobs/audit/files/configuration；M: platform/runtime；持久化适配与原子事务约束。
出口判据：①提交后断线重放不重复事实；②同键异载荷拒绝；③进程在提交/发送间退出仍可补投，消费者重放不重复效果；④作业租约失效旧worker被fence，证据不可用和审计缺失能解释。
边界/兜底：数据库、消息、文件失败分开报告；技术重放不授权第二次退款/开工；未结结果有期限/责任，UNKNOWN不自动转失败释放业务额度。
编排/交接：消费W0类型/工程；先交持久命令/消息/文件端口，Identity/Customer可并行实现，真实持久集成需此实现。D-07/11/15相应机制收口。

REQ-DW-IDENTITY｜身份、授权与服务范围

要得到什么：顾客、员工、设备/服务主体有可信身份；每次操作能解释谁能对哪些对象/字段做什么，撤权即时受约束。
触发/动线：建立账号/外部身份→任职/角色/区域授权→登录→动作校验→撤销身份或作用范围→新操作拒绝、已有义务由受限恢复责任接续。
必要功能：Account/Member/Organization/Position、角色和有效动作/字段/范围、Session和外部身份绑定、ServicePrincipal、服务区域版本、受托证据输入端口、撤权与权限解释。客户档案不是账号表附属状态。
工作面：本轮真实领域接口；W2多端登录与后台员工/权限办理，业务REQ再接本域动作。
事实/目录：B: identity/accounts/organizations/roles/sessions/service-principals/service-areas；M: identity；Identity只判有效授权，业务条件由命令Owner判。
出口判据：①多端Actor归属一致，不能提交任意customerId冒用；②有菜单无对象权限仍拒绝；③撤销会话/角色后旧token不能继续新敏感动作；④恢复主体只续既有义务不能生成无限新意图。
边界/兜底：重复绑定/失联/任职变化需解释；账号停用不删除历史客户/财务；受托签名、范围、TTL和撤回依据缺失时不开放代确认。
编排/交接：与Customer共用Account↔Customer关系/初始化补偿；与运行基础共用Actor审计。D-06证据接缝、D-13主体保留边界收口。

REQ-DW-CUSTOMER｜客户档案、地址与用途同意

要得到什么：客户资料、地址、偏好/用途同意有真实版本；小程序与后台读取同一来源，编辑资料不改已成交承诺。
触发/动线：首次建立业务关系→保存地址/用途→本人修改或员工受托更正→读取新版本；旧订单继续展示自身快照。
必要功能：Customer与账号关系、Profile、Address及有效性、用途Consent/限制、最小偏好、版本更新/冲突、基础服务沟通记录接口；成交时的引用/快照接缝。破坏性合并/删除归后续LIFECYCLE。
工作面：本轮领域命令/查询；W2账户/地址/同意和后台档案/服务事项入口；不增加个人接待中心。
事实/目录：B: customer/profiles/addresses/consents/service-records；M: customer/profile；Identity仅提供可信关系。
出口判据：①同一客户两端回读同版本；②并发修改产生明确冲突不静默覆盖；③地址簿更新不改历史订单地址；④跨客户/用途无授权时字段或动作拒绝，初始化部分失败可续原关系。
边界/兜底：重复账号关系/缺地址/服务区外/撤回同意有解释；沟通“客户说过”不能直接充当符合D-06的授权；资料错误更正保留审计。
编排/交接：消费W0，领域实现可与Identity并行；真实关系/持久依赖在W1汇合。D-13最小化/同意基础语义收口。

REQ-DW-SURFACE-FRAMEWORK｜跨端布局与模块扩展槽

要得到什么：业务模块按同一导航/对象/请求上下文接入已认可风格，后台保持全局视野和可返回的客户下钻。
触发/动线：从全局任务进入列表→选择对象/客户→办理→返回原筛选；折叠导航仍可识别位置，深链接/刷新保留上下文。
必要功能：Foundation语义token消费、导航折叠/标题层级、布局/模块注册槽、身份/能力上下文、全局/客户范围切换、详情返回/深链接、空/拒绝/未知/未就绪呈现、访问性基础。继承当前暖纸/深墨/行动色及已接受纹理方向，不借此重做品牌。
工作面：各apps/*/src/app/公共框架；业务模块页面由对应REQ交付。全局概览只提供组合槽，不输出装饰数字。
事实/目录：packages/surface-kit/、各apps/*/src/app/；M: platform/surface-capability若存在跨端公开数据；框架不拥有客户/订单。
出口判据：①全局与客户同对象使用相同ID/权限，切客户不串数据；②折叠/刷新/回退/深链接不丢任务位置；③键盘、窄屏、长名称和拒绝/UNKNOWN状态可操作；④能力未交付显示未就绪，不给虚假成功。
边界/兜底：隐藏菜单不替代服务端授权；过期页面版本可安全重新取源，敏感对象切换清理旧查询。未发布Foundation不进入正式有UI需求漏斗。
编排/交接：W0挂载端口后可做独立组件；W2消费真实身份/客户。共享根路由/样式由框架维护队列，后续模块提交注册描述。

基础办理与通用监控

REQ-DW-CONTRACT-ADAPTERS｜同源Client、隔离适配与故障注入

要得到什么：独立分支在对端未完成时可依同一协议开发，真实联调时清楚哪些能力是真实、哪些为合成。
触发/动线：选择开发配置→同源Client调用Real/Stub/Fake→注入拒绝/冲突/UNKNOWN→恢复原结果；集成切全Real验证。
必要功能：Owner分区Client生成/边界验证、Fixture隔离/清理、Stub/Fake与Mixed能力表、故障注入、NOT_READY/模式可见、契约一致性和版本固定。业务Fixture随对应域REQ提供，不能本REQ预造全量领域模型。
工作面：开发/验证设施；框架显示适用模式/未就绪。生产构建禁止启用合成写效果。
事实/目录：packages/api-clients/、packages/contract-adapters/、tests/contract/；原生源在各M，Mock不得复制DTO。
出口判据：①Real与Stub消费相同Schema/操作；②Fixture不跨主体/分支污染；③已提交但超时可查原目标的故障可重现；④全Real闭环不依赖隐藏Stub，生产配置不能加载合成订单/付款结果。
边界/兜底：Mock通过只证明隔离行为；生成器未交付属于真实构件依赖；不支持的能力明确未就绪而非空列表/零。
编排/交接：W1真实服务、W0生成构件；按Owner分输出交给同wave消费端，后续每域REQ维护自己的Fixture/错误见证。

REQ-DW-CUSTOMER-ACCESS｜顾客登录、账户与标准办理体验

要得到什么：顾客能在真实小程序维护身份相关账户、地址/同意，短时离开或弱网后继续办理且不重复提交。
触发/动线：进入需身份的任务→登录/恢复会话→核对账户/地址→提交→查看真实回执；未知时查原结果，冲突时比对当前来源。
必要功能：登录/外部身份适配、会话恢复/撤销、账户/地址/用途同意、基础偏好与客服服务事项入口、标准loading/失败/拒绝/UNKNOWN/版本冲突。只交基础任务，不冒称完整零售。
工作面：C: account/addresses/consents/service-records；管理端相应事实由BACKOFFICE-ACCESS显示，不另造客户模型。
事实/目录：消费M: identity/customer及生成Client，客户端没有身份或授权裁决；仅顾客端模块、相关入口适配。
出口判据：①真实登录后只读本人资料；②保存地址后后台回读同版本；③会话过期/撤权不保留可写假态；④超时查询原命令避免重复地址/同意记录，冲突可重新核对再提交。
边界/兜底：绑定失败/用户拒绝授权/无地址有可理解出口；不能强制同意无关用途；客服联系方式或记录入口不等于代操作授权。
编排/交接：W1真实Identity/Customer和框架；同waveClient最小实现先交接。第三方登录能力/真实配置在正式合同验证，不能用演示账号证明上线。

REQ-DW-BACKOFFICE-ACCESS｜全局管理、权限模式与客户上下文

要得到什么：管理者在一套后台完成全局管理，工作人员按权限查客户/下钻，后续所有域动作可在同一上下文办理。
触发/动线：全局客户/员工台账筛选→选对象→看有效权限/事实→预告影响→执行→看回执/未结项→返回原列表。选客户后显示其全部获授权模块，不切成个人工作系统。
必要功能：真实登录、身份/任职/范围/角色/会话/服务主体管理；客户/地址/同意/沟通记录；对象详情和客户下钻；字段脱敏、授权解释、动作预告、批量逐项回执；文件/审计/调度/字典参数/能力目录与通用异常入口；全局概览组合槽。
工作面：A: identity/customer/platform及app客户上下文；未来域REQ挂载原事实/动作。通知/未结责任是全局记录，不新增“我的工作/交班”导航。
事实/目录：只消费Identity/Customer/Platform；services/business/internal/experience/admin/仅组合查询/适配；公共根由指定维护责任管理。
出口判据：①全局/客户视图同对象同版本，切客户与返回不串资料；②无动作或字段权限被服务端拒绝；③批量部分成功可逐项继续不重办成功项；④基础真实办理后顾客看到结果，审计可查员工/理由/目标/回执。
边界/兜底：角色编辑防越权授予、最后合法管理权限丢失的恢复方案在S2审定；导出与代确认不能因客服权限默认放开；参数/字典不能修改业务状态含义。
编排/交接：W1领域和框架、同waveClient；本REQ维护全局/客户公共槽，具体订单/售后等不在这里抢实现。D-06代办模型、D-07责任基础需落合同。

REQ-DW-OPERATIONS-ACCESS｜现场身份、设备与弱网意图

要得到什么：现场人员能带可信主体/设备/作业点进入后续任务，弱网不把旧意图变成未经许可的开工或交付。
触发/动线：登录→选授权现场/设备→扫码定位对象→提交观察/证据或受控命令→断网保留意图→联网查原结果/重新核验门禁。
必要功能：作业会话/作用范围、设备信任/撤销、扫描输入/重复/错误码、文件证据上传、请求队列/意图ID/依赖/恢复、时间/版本/代际附带信息；危险动作在线门禁端口。
工作面：O: session/devices/scanning/request-queue；A: devices授权维护/观察；X: device-health异常关联。具体任务/称重/签收由W5交付。
事实/目录：M: platform/device与Identity输入；P: adapters/device；客户端队列只是待办意图，不是Fulfillment执行事实。
出口判据：①撤销设备/岗位后旧会话不能开新敏感动作；②重复扫描不重复命令效果；③断线恢复查询原目标，已成功不重发；④离线不能自主开始不可逆切配，旧代际意图重新核验被挡。
边界/兜底：相机/扫码/上传失败有手动定位或补传出口，人工输入仍校验对象；客户端时钟不当权威截止；不能用离线缓存证明质量有效。
编排/交接：W1身份/可靠文件命令；D-09设备能力与离线接缝先定接口，W5真实设备验证和W7真机运行补证据。

REQ-DW-MONITORING-DETECTION｜通用监控接入、检测与发布

要得到什么：非专业人员能配置目标/信号/规则，看懂判据和质量；先证明平台不依赖零售硬编码，再由业务REQ接入源。
触发/动线：建空间/目标→接来源/验证信号→配置查询/策略→预览/影子评估→发布代际→看Evaluation/Trigger及解释。
必要功能：Space/Target/Source/Signal/Query/Policy版本、数据质量/时点、编译/能力检查、等价性预览、影子/发布/回退、评估证据、触发去重与恢复、配额/插件隔离接缝。具体引擎能力用真实候选验证，不因Prometheus可选就视为已确定完整栈。
工作面：X: monitoring主工作面；A: monitoring-links关联摘要；源适配器按Owner交付，无顾客页面。
事实/目录：P: monitoring/{spaces,sources,signals,queries,policies,evaluation}；M: platform/monitoring；零售场景包由业务REQ增量接入。
出口判据：①对非零售服务真实故障能解释检测依据；②无数据/失效源显示未知而非健康；③配置编译失败不发布、回退不混代际；④跨空间读取/配额越界被拒绝，重放观察不重复相同触发。
边界/兜底：策略原稿、引擎产物和发布结果可回源；平台自身故障需独立探测，不能自称无告警即正常；不让监控修改业务状态。
编排/交接：与RESPONSE先共享Trigger/Evaluation/空间/代际协议后并行；响应真实链出口实接。D-15有限引擎/策略范围和D-07责任接口收口。

REQ-DW-MONITORING-RESPONSE｜事件响应、通知与回源核验

要得到什么：检测后有可持续追踪的处置责任；通知、接手、处理和业务恢复各有自己的证据，失败不会悄悄消失。
触发/动线：触发→建立/关联事件→执行响应计划/投递→接手/升级→处理→独立回源核验→符合关闭条件再关闭。
必要功能：ResponsePlan/Instance、Incident、Notification/投递回执、责任/值守与升级、重复事件关联、未结项和接续、静默/抑制边界、核验和关闭证据。责任记录全局可查，不建设个人接待/交班产品。
工作面：X: response/incidents/notifications；A: exceptions/notifications按对象关联；后续各域自带办理入口与恢复动作。
事实/目录：P: response；M: platform/response；源恢复真假归源Owner，事件关闭只说明平台处置结论。
出口判据：①非零售故障检测到恢复核验完整实接；②通知失败/无人接手持续显示责任并升级；③告警恢复但核验未过不能按成功关闭；④同一触发重放不重复建互相矛盾的响应，转移接续前责任不失。
边界/兜底：接手ACK不代表解决；通知未读不代表客户同意；受控操作权限缺失转合法人工出口，不能借响应计划提升权限。
编排/交接：消费DETECTION公开合同，可并行实现；D-07实际接手链/预算、D-15组合响应语义在启用前落实；自动执行归下一轮AUTOMATION。

食材、内容、生活计划与受控动作

REQ-DW-MEDIA-ASSETS｜业务媒体与用途资产

要得到什么：商品/首页/菜谱使用可追踪用途和版本的真实媒体；资源丢失或撤回不会静默留下错误发布。
触发/动线：上传FileAsset→标用途/访问范围→业务引用→预览可用性→发布消费→撤回/替换时检查受影响引用。
必要功能：媒体元数据/用途/引用、访问与派生版本、可用性检查、替换/归档/清理保护、缓存失效/旧版本保留；业务用途与平台文件完整性分离。
工作面：A: catalog/media；C: media受控消费；X: asset-health；文件基础由W1提供，不另造上传平台。
事实/目录：B: catalog/media、M: catalog/media；消费FileAsset公共端口。是否采用独立媒体上下文须S2明确，当前按Catalog经营资产候选。
出口判据：①发布引用绑定真实资产版本；②无权/已撤回资源不泄漏；③正在发布依赖的删除有明确保护/处置，不造成无解释空白；④缓存替换/加载失败能回源并有合法替代呈现。
边界/兜底：上传成功不等于业务可发布；恶意格式/缺完整性拒绝；批量替换逐项结果和影响引用可查。
编排/交接：W1文件真实可用；与首页/商品并行以媒体引用合同协作，媒体实现先交必要构件；资产保留/用途与D-13衔接。

REQ-DW-HOMEPAGE-CONTENT｜首页编排、发布与回退

要得到什么：运营能在后台维护顾客真正看到的首页；预览和发布读取同一快照，错误发布可定位/回退。
触发/动线：编排商品/菜谱/说明→验证引用→预览目标Surface→发布版本→顾客读取→观察失败/回退上一有效版本。
必要功能：草稿/组件配置、引用有效性、版本/预览、发布代际/生效范围、下架/回退、缓存和异常；保留自主选购，经营承诺文字有真实依据。
工作面：A: catalog/homepage；C: homepage；X: publication-health。不为首页扩张通用CMS或在线推荐引擎。
事实/目录：B: catalog/homepage/publication的独立子片；M: catalog/homepage；快照引用媒体/商品，不维护价格和可用量副本。
出口判据：①同一目标预览与实际消费相同版本；②无效/撤回引用阻止错误发布或按批准规则明确降级；③并发发布不覆盖新版本、回退不恢复失效资产；④源加载失败不显示虚构销量/服务保证。
边界/兜底：发布成功、缓存传播、顾客消费结果分别可观察；数据未就绪可保留合法上一快照并标时点，不能无限掩盖失效。
编排/交接：与媒体/商品共享引用/发布协议，各写独立片；D-10发布生命周期，Foundation正式化前提适用。

REQ-DW-CATALOG-PUBLICATION｜商品规格、公共菜谱与销售发布

要得到什么：工作人员能维护有稳定规格的食材，顾客浏览/搜索/看菜谱映射，后续报价引用准确销售标的。
触发/动线：建分类/商品/SKU/切配包装规格→关联公共菜谱/食材量→校验发布→顾客发现/查看→选择可识别规格进入计划或肉篮。
必要功能：分类、商品、SKU、SpecVersion、公共菜谱及份量映射、静态精选内容、草稿/发布/下架、详情/搜索/来源与可用性摘要。展示价如已接入只能来自Commerce，不在本轮造正式价格Owner。
工作面：A: catalog/products/specifications/recipes；C: catalog/recipes；X: catalog-publication。个人菜卡归Customer。
事实/目录：B: catalog/products/specifications/recipes/publication；M: catalog/product；商品详情组合Owner接Supply公开摘要/媒体。
出口判据：①两端同SKU/规格版本；②下架后新购买被挡而历史引用可查；③菜谱份量映射有明确单位/标的，缺映射不能默换商品；④源缺货/质量未知如实呈现，商品发布不被等同可成交。
边界/兜底：规格改版保留历史，不原地改已报价/成交标的；无结果/长名称/多规格有可理解操作；静态精选不是个性推荐决策。
编排/交接：与媒体/供给/首页共享SKU/发布/摘要合同；W4报价基于不可变规格。D-10规格/发布生命周期需收口。

REQ-DW-SUPPLY-QUALITY｜来源接收、质量与物料可用性

要得到什么：到货来源、数量、质量与物料余额有凭据；能判断哪些食材可以供给，隔离不会被过期投影绕过。
触发/动线：记录来源/接收证据→建Lot→观察/质量裁决→追加物料账→发布有时点的可用性→发现错误依法更正/隔离并找影响。
必要功能：来源主体/接收记录、批次数量单位、质量观察/决定/隔离/放行、物料追加账/更正、可信可供给能力、最小追溯查询与脱敏；后续分配/转换端口。无已批准仓位WMS假设。
工作面：A: supply/receiving/lots/quality/ledger/availability/trace；O: receiving/quality-evidence适用现场录入；C: trace-summary；X: supply-quality。
事实/目录：B: supply/receiving/lots/quality/ledger/availability/trace；M: supply/lot。库存投影只读，由账与有效质量推导。
出口判据：①收到货但未质量放行不能视为可用；②重复接收/并发账操作不重复增量或负余额越界；③更正保留原事实及依据；④缺源/过期可用性是未知，不当充足；公开追溯不泄露敏感供应信息。
边界/兜底：质量隔离与未分配/已分配/已开工状态影响区别呈现；不能删账修库存；观察设备ACK不等于裁决通过。
编排/交接：SKU/单位合同先统一，分配转换后续复用；D-09质量有效性与撤销接缝、D-10物料生命周期收口。

REQ-DW-FULFILLMENT-CAPACITY｜原始履约能力发布

要得到什么：准备/作业/配送能力有明确版本和适用范围，为后续服务接受提供真实依据而不形成循环依赖。
触发/动线：有权人员维护可承接范围/日期时段/约束→验证发布→Demand读取并形成自己的承诺→能力减少时显示受影响义务。
必要功能：最小CapacitySnapshot、来源/单位/时点/版本、发布/撤回、条件与失效解释、消费接口、受影响承诺查询接缝。排班优化算法和独立配送网络不默认包含。
工作面：A: fulfillment/capacity；X: capacity-quality；小程序由Demand说明服务可接受性，不直接要求用户抢资格。
事实/目录：B: fulfillment/capacity；M: fulfillment/capacity；Demand的承诺另在demand/capacity-promises，不得互改。
出口判据：①消费者能识别能力版本/有效范围；②过期/缺数据不默认无限容量；③并发发布不丢新版本；④降低能力不删除已接受承诺，冲突可查并交合法处置。
边界/兜底：原始能力不是客户确认或承诺；人工停能力不能自动取消已确认订单；未定精确容量单位/原子消费协议须在Demand接缝冻结前解决。
编排/交接：先于W4确认交接，避免等W5完整作业才设计服务接受；与Supply能力各自Owner，D-01/10服务接受协议收口。

REQ-DW-MEAL-PLANNING｜个人菜卡与餐次生活计划

要得到什么：顾客可集中安排本周多餐、保存个人菜卡；工作人员可有权帮助调整未成交意图，买过的安排可追踪而不被编辑抹掉。
触发/动线：收藏/自建菜卡→选日期/餐次与规格/份量→保存计划→局部调整→后续选择餐次购买；后台客户下钻看版本/购买关联后协助编辑草稿。
必要功能：PersonalRecipe、MealPlan/稳定MealOccurrence、份量/标的引用、修订与并发冲突、模板复用、部分选择购买接缝、历史购买链接和失效商品提示。
工作面：C: meal-plans/personal-recipes；A: customer/meal-plans/personal-recipes；X: planning-failures必要信号；无现场任务。
事实/目录：B: customer/meal-plans/personal-recipes；M: customer/meal-plan。计划意图归Customer，订单/批次归Commerce，配送授权归Demand。
出口判据：①跨日保存后两端回读相同餐次ID/版本；②调整草稿不修改已成交订单/确认；③商品下架/份量映射变化提示并要求新报价校验；④并发编辑可核对冲突，重复保存不生成重复餐次。
边界/兜底：购买失败保留计划；不是订阅/默认扣款/自动配送；受托草稿编辑不等于代确认授权；不能以“已经买过”隐藏尚未解决的后继交易。
编排/交接：消费Customer/Catalog稳定引用；W4按餐次修订形成唯一购买意图。个人计划编辑、成交引用和同餐次再次购买语义在D-10收口。

REQ-DW-CONTROLLED-AUTOMATION｜通用受控自动化与独立验证

要得到什么：平台能按权限/预算执行一套可解释步骤，动作未知或中止后不重复现实副作用；先验证非零售动作再接业务。
触发/动线：编Runbook→校验动作/权限/预算→试运行/审批按规则→执行步骤→查询未知目标或停止未来步骤→独立核验实际结果。
必要功能：Runbook/版本、ActionAdapter能力声明、互斥/代际/预算/前置条件、步骤依赖、命令目标/尝试/原结果、停止与恢复、独立验收、配额和执行隔离。
工作面：X: automation；A: automation-links；业务办理不塞平台内核，顾客/现场由本域操作入口体现结果。
事实/目录：P: automation、M: platform/automation；业务动作Adapter位于各Owner边界，平台不拥有退款/开工状态。
出口判据：①非零售场景真实执行并独立核验；②无权/超预算/互斥冲突阻止动作；③外部超时保留原目标，不用换ID重试制造新效果；④中止不回滚既有现实效果，旧worker/fence失效不能续写，核验失败保持未结责任。
边界/兜底：Runbook显示成功不代表源业务成功；不具备可查询/幂等能力的高风险Adapter不能自动重发；人工恢复仍按Owner守卫。
编排/交接：W2检测/响应、W1持久命令基础；D-15编译/隔离/动作能力与D-07执行责任收口。零售动作在各后续REQ实接验证，不在此预写万能业务流程。

购买、资金与配送授权

REQ-DW-QUOTE｜购物意图、服务端报价与权益

要得到什么：顾客核对的标的、价格、优惠和费用能被后续交易按同一版本接受；运营调整新价不改变旧成交。
触发/动线：从餐次或自主选购加入肉篮→选择购买范围→服务端报价→核对标的/费用/有效期→变更输入后重新报价；员工在后台模拟并维护获批准价格/权益政策。
必要功能：Cart/CheckoutIntent输入、版本化价格/优惠规则、权益资格/预留/核销/释放、不可变PriceQuote、有效范围/期限、整数金额分摊/舍入、供给/能力验证接缝。配送费由Demand政策提供适用依据，收费/资金结果仍归Commerce。
工作面：C: cart/quote；A: commerce/pricing/benefits/quote；X: quote-benefit-failures；购买旅程根由ORDER-BATCH维护。
事实/目录：B: commerce/pricing/benefits；M: commerce/quote；Order、资金和确认只引用报价与权益占用，不各算价格。
出口判据：①小程序和后台核对同一报价ID/版本/整数金额；②报价过期/输入变化被拒绝接受而不静默换价；③并发用同权益不重复核销，商业拒收后按合同释放；④多单/行分摊守恒，实际计价后适用优惠如何解释有批准算例。
边界/兜底：肉篮不是成交/库存或容量承诺；缺源报价不能伪造可购买；未知权益占用查原目标，不擅自重复消耗。
编排/交接：W3商品/供给/能力和Customer；W4四REQ共用报价接受/权益/费用输入协议后并行。D-04精确计价/优惠/舍入及D-01费用跨档未决会阻塞有关合同。

REQ-DW-ORDER-BATCH｜订单拆分、购买批次与商业接受

要得到什么：一次选择可覆盖多个餐次，但每笔商业义务的日期/地址/时段范围明确；重复提交不会多出一组订单。
触发/动线：选餐次/商品→核对报价和拆分→提交唯一购买意图→支付核验/商业接受协调→看各订单与总批次→进入各日配送确认；后台从订单或客户进入同一谱系。
必要功能：购买来源/意图唯一性、Order/OrderLine/PurchaseBatch、日/址及独立时段拆分、成交不可变快照、报价接受、商业成立/拒绝/终态、资金/授权接缝、拒收/到期关闭协调、订单/批次/来源查询；维护购买旅程组合根。
工作面：C: checkout/orders/purchase-batches；A: commerce/orders/purchase-batches；X: commercial-coordination。资金、配送卡由对应REQ挂入。
事实/目录：B: commerce/checkout/orders/purchase-batches；M: commerce/order；来源意图映射归Commerce，Customer保留餐次引用。
出口判据：①同一购买意图换请求键重放仍关联原订单集合；②跨日/址不能混一单，一日到期不取消其他已确认订单；③支付观察不直接替代商业接受，成交快照可追溯；④拒收或到期关单有明确资金未结结果，终态旧单不能复活。
边界/兜底：购买失败/部分成立逐项展示并保持责任；合并运输不合并订单/授权；同餐次主动再次购买与网络重复必须有不同明确来源意图语义。
编排/交接：共用W4报价、支付/分配、确认资格/关闭协议；其他REQ交独立组件，不能一起改checkout根。D-02部分范围、D-10商业生命周期及D-05拒收款处置先收口。

REQ-DW-PAYMENT-FUNDS｜支付验真、原款守卫与最小退款

要得到什么：收款凭渠道核验而非回跳；一笔原款支持多单且额度不被退款/换单重复占用；早期拒收/退出已经有合法资金退出能力。
触发/动线：创建支付目标→尝试支付→收到/主动查询渠道观察→核验交易→分配订单原款→如拒收/退出创建批准的退款目标→查询/核验并显示去向；客服看原目标而非重新支付/退款。
必要功能：PaymentIntent/Attempt/Transaction、真实Provider验签/账户币种金额目标核验、原款分配/留守额度、本地原子守卫、退款目标/尝试/观察/核验、最小拒收/退出退款、资金/渠道对账差异、UNKNOWN持久查询与迟到反向证据处置。
工作面：C: payment/funds-status；A: commerce/funds/refunds/reconciliation；X: funds-unknown；不造钱包/默认余额。
事实/目录：B: commerce/funds含收款/分配/退款独立子片；M: commerce/funds；Owner本地保护所有同原款竞争，Channel只交销售渠道观察。
出口判据：①支付回跳/伪回调不能宣称已实收，真实核验可回源；②同原款并发退款/重分配不超可处置额度；③UNKNOWN持续保护额度且查原目标，不再创建第二效果；④支付已成功但订单拒收也能依批准政策办结/核验资金退出，不等W6售后。
边界/兜底：重复/迟到/金额不一致/已退款后反向证据各有差异处置；人工核验基于原交易证据，不直接标已退款。平台重试不覆盖资金守卫。
编排/交接：W4与订单/报价/确认共用原款/费用协议；D-05退款方式/时点和D-08真实Provider能力未定，不能开放真实收款。具备退款机制不等于已批准自动原路退政策。

REQ-DW-DELIVERY-CONFIRMATION｜逐次配送安排、费用、确认与到期

要得到什么：付款核验且订单成立后，顾客能立即提前确认未来多次配送；每次明确时间/地址/费用同意，未确认到期不配送且关单/资金义务可追。
触发/动线：查看未来安排→选一日/多日逐项核对→确认时间和适用费→服务端接受→保留确认依据；后台筛待确认/冲突或客户下钻，合法受托代办或核验到期未结项。
必要功能：DeliveryInstruction/ConfirmationRecord、逐单资格、权威时间/CAS、服务能力消费/Promise、配送费政策版本和Commerce费用目标、受托证据/有效性、截止配置/期限快照、到期检测/权威裁决、订单关闭与资金处置协调。
工作面：C: delivery-instructions/confirmation；A: demand/instructions/confirmations/capacity-promises/fee-policies；X: authorization-expiry；作业端后续只消费合法授权。
事实/目录：B: demand/instructions/confirmations/capacity-promises/fee-policies；M: demand/confirmation；Commerce收费/关单、Fulfillment原始能力各自Owner。
出口判据：①已付款核验且成立可提前确认多天，不要求每天重复登录确认；②默认配送日北京时间16:00，t<截止接受、t>=截止到期，竞争只有一个权威结果；③提前量满2小时免费，少于2小时按批准档位，费档线不等于取消线；④未确认逐单到期，已确认保持有效，商业关闭/资金未知独立显示且可继续。
边界/兜底：改截止/地址/费用政策不能静默改变已接受范围；批量部分成功逐项回执；无受托证据不能代确认；容量缺失/冲突由合法处置解决，不用抢名额或“强制确认”绕过。
编排/交接：W3原始能力，W4资金/订单资格/报价费协议先统一后并行。D-01费基准/跨档、D-06代办、D-07等待责任和精确门禁在有关合同冻结前收口。

作业、物料、交付与结算

REQ-DW-EXECUTION-WEIGHING｜执行门禁、现场任务与采用重量

要得到什么：钱、商业承诺、明确配送授权、有效质量/物料与现场条件成立后才可开始不可逆作业；实际计价能找到被采用的重量依据。
触发/动线：合法订单形成执行计划→领取任务→核对版本/质量/物料/工位→权威开工→登记现场观察/称重→按规则接受测量→完成相应份额；后台看阻断/异常并合法复核。
必要功能：ExecutionScope/QuantityShare/Lineage、gate与停止/开始裁决、generation fence/永久停止墓碑、Plan/Task/Workstation、依赖/权限、原始Measurement/AcceptedMeasurement、设备读数与人工更正证据、部分作业结果/未结份额、可追溯状态。
工作面：O: fulfillment/execution/measurements；A: fulfillment/execution/workstations/measurements；C: fulfillment-progress摘要；X: execution-failures。
事实/目录：B: fulfillment/execution/workstations/measurements；M: fulfillment/execution；质量/物料接口Supply拥有，原款额度Commerce拥有。
出口判据：①任一必要资格缺失均不能开工；②停止先成立后旧队列/设备/fence不能开工，开工先成立则记录真实已做；③多个任务/补发不重复消耗同一执行份额；④结算读取明确采用重量，原始读数/更正/采用原因可查，断线补传不改已终结事实。
边界/兜底：设备ACK/任务受理/作业完成分别表达；不可逆动作不离线自授许可；误读/部分加工转人工核验证据，不能清空历史重来。
编排/交接：与物料/封包共享gate/份额/测量协议后并行；真实封包需此结果。D-09现场fence/质量竞争、D-10任务/测量精确生命周期先收口。

REQ-DW-MATERIAL-TRANSFORMATION｜物料分配、加工转换与守恒追溯

要得到什么：从来源批次到订单产出和损耗的数量可核对；多人分配/多批投入不会超用，也不能只记半笔转换。
触发/动线：任务申请合格物料→Supply受保护分配→核对多批投入/产出/损耗→原子记转换/账→绑定追溯→有误依法更正而保留原历史。
必要功能：Allocation/保留与释放、有效质量校验、多Lot输入/Output/Loss、单位转换依据、账本守恒、转换唯一性/原子边界、追溯谱系、更正/异常未结。
工作面：O: supply/allocation/transformation；A: supply/allocation/transformation/trace；C: trace-summary消费；X: material-balance。
事实/目录：B: supply/allocation/transformation/ledger/trace中的受影响切片；M: supply/transformation。Fulfillment任务状态另归本域，不能跨域直接改账/库存投影。
出口判据：①并发分配/质量隔离不会超可用或使用失效批次；②多批投入与产出损耗同次完整记录，不半记账；③重放转换不重复扣增；④每个产出可回溯投入批次，人工更正后原账与原因仍可查。
边界/兜底：物理损耗不可回滚为“没加工”；单位/称重证据不全保持待核验；释放失败显示真实占用而不默增可用量。
编排/交接：W3账本/质量基础，W5执行/封包共享物料绑定协议；D-09质量接缝、D-10投入产出/损耗容差及更正规则收口。

REQ-DW-PACKAGE-DELIVERY｜封包、交接、配送与交付证明

要得到什么：从作业产出到客户收到的每个包裹可追溯；合并运输仍能分别核对订单份额、授权和部分交付。
触发/动线：核对任务/物料/质量/采用重量→绑定订单份额封包→生成标签→交接/派送→登记实际交付证据→客户/后台查询；失败或少件保留未交付项。
必要功能：Package/Item/TraceBinding、封装条件、标签与重印版本、Handover/Dispatch/DeliveryAttempt/Proof、多订单合并运输边界、部分交付、错包/缺证据/拒收/失联处置、公共追溯消费。
工作面：O: fulfillment/packages/delivery；A: fulfillment/packages/delivery；C: delivery-tracking/trace；X: delivery-obligations。
事实/目录：B: fulfillment/packages/delivery；M: fulfillment/package-delivery；Supply给追溯证据，Commerce按合法交付份额结算。
出口判据：①缺作业/物料/质量证据不能封包放行；②重印/重扫不多生成一个可交付份额；③扫码/交接不等同客户签收，交付有实际证据；④部分交付只完成对应份额，剩余任务可续且不重复送，运输合并不扩大授权。
边界/兜底：地址/授权变化走合法变更，不在配送端默改；错误签收需受控证据更正/调整，客服不能直接标“客户已收到”；逾时提醒不代替交付证明。
编排/交接：与执行/物料/结算共享份额、重量、追溯/交付协议；D-10包裹/交接/交付状态及证据，D-09设备能力收口。

REQ-DW-SETTLEMENT-REFUNDS｜实际计价、退差与批次核对

要得到什么：实际采用重量和合法交付范围形成可解释应收/退差；客户与客服能看账单和未结款，批次关闭后晚到事实以调整续办。
触发/动线：接受测量/交付事实→按成交政策计价/分摊→创建SettlementTarget→需要退款时引用原款合法额度→核验结果→核对订单/批次；晚到更正另建Adjustment。
必要功能：实重/实际交付计价、优惠/费用整数分摊、Settlement目标/范围/版本、原款/退款目标协调、订单/批次账单、终态关闭守卫、晚到Adjustment、失败/差异/UNKNOWN恢复、人工金额复核。
工作面：C: bills/refund-status；A: commerce/settlement/purchase-batches；X: settlement-obligations；Finance核算结果单独展示。
事实/目录：B: commerce/settlement；M: commerce/settlement；复用commerce/funds退款能力，不另建第二退款引擎。
出口判据：①账单每项能回到采用重量/成交价/交付份额；②部分交付、整数余数分摊有守恒算例；③退款未知不结清且不建重复目标；④已关闭批次不复活，晚到合法事实形成关联调整；客户和后台金额/范围一致。
边界/兜底：超重不足不得默扣款或擅定商家承担；缺测量/交付证据不估算完成；退款时点/去向按批准政策，不能默认整周等完或即时原路退。
编排/交接：W4原款守卫、W5测量/交付/Finance来源协议共用后并行；D-04应收时点/超重/分摊、D-05资金政策必须闭合相关合同。

REQ-DW-FINANCE-POSTING｜经济来源、会计解释与过账

要得到什么：资金和履约经济事实被唯一、平衡、有期间和规则版本地解释；账务失败不伪造交易失败或重复退款。
触发/动线：接经济来源→验证身份/范围/版本→用适用规则解释→期间允许时过账→试算/核对→更正/冲销按独立关联处理；关账核对未解释源。
必要功能：AccountingEntity/Ledger/科目、EconomicSource唯一性、规则版本、Posting/Journal/平衡校验、期间开关/竞争、冲销/调整、总账/试算回源、批准范围期初输入/迁移和核对、源修订适配。
工作面：A: finance/economic-sources/rules/posting/journals/periods/opening；X: accounting-blocks；客户端账单仍是Commerce账单，不以总账代替。
事实/目录：B: finance/economic-sources/rules/posting/journals/periods/opening；M: finance/posting；交易事实Owner独立，不借财务更正改原付款。
出口判据：①来源重放或换规则版本不会重复经济过账；②借贷不平/期间已关拒绝有解释；③关账与过账竞争保留唯一裁决；④更正/冲销/期初可回源并验证守恒，核算阻塞不触发第二次退款。
边界/兜底：入账、收款、收入不是同一事实；缺批准会计规则/真实责任人不冻结运行过账范围；修总账投影不能代替修来源/分录。
编排/交接：W4资金与W5结算/现场源Operation/经济身份先收口再并行；D-14核算解释/更正/期间和D-11期初切换边界落实。

变化、售后、召回与资料处理

REQ-DW-ORDER-CHANGES｜取消、换菜与受控改址改时

要得到什么：临时变化在保留历史/资金/授权和真实开工事实的前提下办理，客服能看见当前卡在哪一段并继续原变更。
触发/动线：客户请求取消/换菜/改安排→核对影响/费用/授权→申请永久停止旧执行→裁决停止与开工→旧单终态→必要时新报价/后继订单/资金差额/新确认→查每段结果。
必要功能：ChangeRequest/影响预告/客户接受、停止协议/旧单终态、Replacement/successor谱系、补差/退款/重分配守卫、地址/时间安全变更规则、新配送授权、部分结果/UNKNOWN恢复、缺货替代同意。
工作面：C: order-changes；A: commerce/changes并挂客户/订单详情；O: execution-change-impact只消费最新有效许可；X: change-obligations。
事实/目录：B: commerce/changes；受影响命令仍由Demand/Fulfillment/Funds各Owner持有；M: commerce/change，公开协作不得互写源表。
出口判据：①停止先成立则旧执行永不再开，开工先成立走真实后续处置；②旧单终态不复活、不原地改标的抹历史；③新单未成立/新钱未知/新授权缺失不会双履约；④恢复同一变更继续未结步骤，不重新退款/重分配/建后继单。
边界/兜底：只暂停队列不等于永久停止；旧单成功停止但新单失败清楚说明客户当前无有效配送而非装作换菜完成；不同地址/时间影响需重算范围及授权。
编排/交接：W4/W5已存在稳定守卫；W6与售后共享取消/后继交易接口。D-02部分取消、D-03费用/改址改时、D-05/06资金/受托先闭合相应范围。

REQ-DW-AFTERSALES｜分项售后、退款、补发与回收

要得到什么：顾客提出问题后工作人员可在同一系统按订单行/数量作判断、执行与关闭；部分退款/补发/回收失败不会被整体“已处理”遮住。
触发/动线：客户提交问题/证据或员工记录诉求→查成交/重量/交付→分项裁决→客户按规则接受→执行退款/补发/回收→逐项核验→所有必要义务结束才关闭。
必要功能：AftersalesCase/Item范围与累计数量保护、证据/Resolution版本、退款目标、标准补发后继订单/资金政策/新授权/执行份额、ReturnTask/回收证明与质量处置、部分成功/拒绝/复核/重开规则、关闭守卫。
工作面：C: aftersales；A: commerce/aftersales整合原事实和分项动作；O: fulfillment/returns及补发标准作业；X: aftersales-obligations。
事实/目录：B: commerce/aftersales与B: fulfillment/returns各写自身；M: commerce/aftersales、M: fulfillment/return；Supply另核回收物质量，不默重回可用库存。
出口判据：①不同Case同时办理不超过可售后数量/原款额度；②退款完成但回收/补发未核验保持未结；③补发复用标准交易/授权/执行守卫，不造无资金或无许可的第二套任务；④客户端与后台逐项结果一致，UNKNOWN查原目标，缺证据可复核但不能强制关闭。
边界/兜底：沟通记录不是退款裁决；收回物品不等于可再售或退款成功；退货/退款/补发政策、客户接受条件及部分履约费用明确后才启用。
编排/交接：与变更、召回共用标准处置接口；W4/5实际资金/执行/交付能力必需。D-02/03/05/06和D-10售后/回收精确生命周期收口。

REQ-DW-QUALITY-RECALL｜批次影响、召回与逐项办结

要得到什么：质量事件能从来源批次找到尚未执行、已开工、已配送和已交付的全部受影响份额，逐项采取合法动作并核验。
触发/动线：隔离/风险判定→固定影响范围及证据水位→按状态分组→停止/通知/回收/售后协调→逐项查询未结结果→复核范围完整性后关闭。
必要功能：RecallCase/影响版本、Lot→转换→产出→包裹→订单追溯、范围补全/晚到事实、执行停止/质量门禁、通知与客户联系结果、Return/Aftersales处置关联、分项责任/核验和关闭。
工作面：A: supply/recall/trace；O: quality-blocks/returns；C: recall-notice/aftersales；X: recall-response，事件关闭和召回办结区别显示。
事实/目录：B: supply/recall/trace；M: supply/recall；实际停止归Fulfillment、售后归Commerce、回收归Fulfillment；只编排并记录关联结果。
出口判据：①受影响范围可从每个产出追到客户并核对无遗漏；②未开工被合法阻断，已开工不假装回滚，已交付走真实召回路径；③通知失败/联系不到/退款未知均保留责任；④迟到追溯增加影响项并有续办，不能靠关闭事件隐藏未结义务。
边界/兜底：缺链路保留未知影响而非零风险；召回需正确权限/证据，公开信息按用途最小化；批量处置不重复停止/退款/补发。
编排/交接：W3/W5来源/质量/追溯，W6售后/变更共享作用范围与恢复合同；D-09隔离竞争、D-10影响/关闭、D-07实任责任明确。

REQ-DW-ANALYTICS｜可回源经营指标与数据质量

要得到什么：管理者能区分成交、实收、确认、实际交付、退款及未结责任，指标有口径/时点/范围，数据缺失不会变成好看的零。
触发/动线：选授权日期/区域/维度→看口径和质量→从指标下钻实际记录→缺失/迟到找源→重建验证→发布新结果；导出按用途/权限受控。
必要功能：MetricDefinition版本、来源/历史接入、去重/时间水位/迟到规则、只读投影、质量解释、重建/验证/发布切换、钻取和受控ExportJob/下载；概览组合沿用后台槽。
工作面：A: analytics/metrics/quality/rebuild/exports；X: analytics-health；无默认个体画像或顾客分析页面。
事实/目录：B: analytics/definitions/ingestion/projections/quality/rebuild/publication/exports；M: analytics/metric；W6前各域已提供实时运营查询，本REQ不为基本台账迟迟补真数据。
出口判据：①指标能回到源对象且说明单数/人数、日期/金额分母；②缺源/失效标未知而非零；③重放/迟到/重建不重复累计，验证失败保留上一合法结果并标时点；④导出创建/下载均验证用途与当前权限，撤权后不得下载敏感旧文件。
边界/兜底：只读分析不能修源资金/账/执行；投诉缺口/不同版本差异保留解释；不将归因或推荐业务写模型塞此域。
编排/交接：W4/W5领域事实和W6异常事件合同可先共用后并行；D-10事件/指标精确状态、D-13用途/保留与导出语义收口。

REQ-DW-CUSTOMER-DATA-LIFECYCLE｜同意撤回、资料合并与保留处理

要得到什么：客户资料处理在明确用途和保留义务下可以完整办理，跨域传播有证据，历史资金/追溯和正在履行的责任不被删除。
触发/动线：客户申请/员工有据发起→验证身份/用途/影响预告→审批或授权按规则→逐Owner处理→查传播/失败/保留理由→给可解释最终结果。
必要功能：ConsentWithdrawal、CustomerMerge身份关系/冲突处理、数据Export/Retention/DeletionRequest、影响清单/保留依据、传播命令/结果、授权撤回影响、部分完成/恢复、审计/客户结果。财务/追溯原标识保留按审定规则解释。
工作面：C: privacy/data-requests；A: customer/lifecycle；X: data-lifecycle-obligations；域模块提供各自合法处理端口。
事实/目录：B: customer/lifecycle；M: customer/data-lifecycle；Identity处理账号/会话关系，其他Owner处理本域用途/历史，不由Customer直接跨库删除。
出口判据：①合并前可核对两个主体权限、交易/授权/地址冲突；②撤回后新用途被挡，旧任务按审定续办规则处理；③部分传播失败可续原请求并说明保留项；④导出/删除不破坏法定/合同保留和资金/来源证据，客户拿到真实完成/保留结果。
边界/兜底：不能“管理员合并”顺带转移全部授权/自动扣款资格；无法证明身份不销毁数据；未定保留规则保持受限，不开放批量永久删除。
编排/交接：W1同意/身份与W4–6历史Owner处理协议先统一，可与Analytics并行；D-13审批/保留/传播，D-11存量回填与恢复收口。

生产条件与核心版本交接

REQ-DW-PRODUCTION-INFRASTRUCTURE｜真实生产环境与可恢复切换

要得到什么：正式候选可以部署到已批准拓扑/权限/环境，软件和数据切换失败可恢复，不遗失既有资金或现场义务。
触发/动线：确定部署/外部资源→按可复现配置建环境→注入密钥引用→演练迁移/唯一写者切换→部署/检查→失败时按水位回退软件或前向恢复数据。
必要功能：真实拓扑/IaC或等效可复现方案、网络/身份/密钥/权限、环境/配置版本、迁移兼容/备份水位/切换、发布过程/软件回退、运行探测/日志/证据和外部Provider/设备访问；保留已有义务恢复权限。
工作面：运维/配置与控制中心环境/健康入口；不新造一套交易后台。顾客/管理/现场已有页面在实际环境消费真实服务。
事实/目录：infra/environments/security/observability/recovery、Owner迁移与服务启动适配；X: environment-health；技术选型/资源负责人在S2落实，不照搬旧部署数量。
出口判据：①环境从记录的配置/权限可复建，秘密不入Git；②迁移失败/部分切换可确定唯一写者与水位；③回退旧软件不会重复退款/丢停止墓碑或既有义务；④真实Provider/设备权限与独立外部探测可使用，缺权限明确阻塞。
边界/兜底：软件回滚不撤销已发生款/货；监控同环境停机需外部探测；所有未经验证的云资源/证书/容量保持UNKNOWN，不当“部署成功”。
编排/交接：核心功能W6已有；与生产验证共享目标拓扑/迁移/故障接口并行准备，真实验证TASK需先交环境。D-11切换恢复、D-15平台运行条件及实际发布/安全责任收口。

REQ-DW-PRODUCTION-VERIFICATION｜生产容量、故障恢复与终端验证

要得到什么：批准运行目标在真实候选/环境/设备上有证据；常见经营与平台故障能恢复原目标，工作人员知道如何接续。
触发/动线：确定SLO/容量/RPO/RTO与有限风险库存→建代表性数据/真设备→负载和故障/备份恢复演练→追踪未结义务→验证访问性/兼容→整理结果、缺口、责任和运行手册。
必要功能：峰值/容量/保留、备份恢复/灾备、支付回执丢失、消息重复/乱序、数据库/服务/监控停机、设备失联/fence、版本切换、独立探测、真实终端/浏览器/辅助技术与网络条件；取样边界/覆盖有限可追溯。
工作面：X: operations-evidence与运行手册；已有C/A/O办理链在真实设备验证，不用新UI掩盖原流程问题。
事实/目录：tests/recovery/、tests/integration/、web/e2e/<module>/、infra/recovery/及docs/reports/适用结果；复用正式CASE/AC，不造另一份“测试分母”。
出口判据：①批准SLO/RPO/RTO/负载目标各有实测或明确失败；②恢复备份后逐笔核对资金/授权/停止/物料未结责任；③监控自故障可被外部发现且有实任响应；④真机弱网/撤权/长内容/键盘辅助流程可完成合法办理，未验证设备不能列兼容。
边界/兜底：不能用本机模拟当生产故障证据，不能用 targeted PASS代完整覆盖；测试暴露产品缺陷进入正式修复/新完整验证，审计文件不代修代码。
编排/交接：与基础设施并行收敛演练设计，实测依赖真实环境/候选和外部权限；D-07实任响应、D-09真设备、D-11/15恢复/独立监测关闭。

REQ-DW-INTEGRATED-RELEASE｜鲜配核心候选、验收与发布交接

要得到什么：一份精确兼容、有限范围、可运行可恢复的核心候选完成完整审查，发布者能明确知道授权对象、未启用扩展和未结责任。
触发/动线：选启用范围→固化候选来源/指纹→真实走正常/异常完整链→核对需求与证据/责任→审计残余风险/手册→交人类发布Gateway；获得授权后按另行批准动作发布。
必要功能：需求/模型/合同/Client/代码/配置/迁移的候选清单及兼容证据、全局/客户/现场/控制中心链路、有限覆盖与反证、运行准备/回退/恢复、隐私/安全/财务责任、剩余风险归属、发布交接与当前限制。不是再次实施全部模块。
工作面：验收材料与运行交接；不新造“验收后台”。范围有变则正式变更并重验相应精确候选。
事实/目录：docs/reports/release-audits/、docs/reports/、候选清单工具；读取真实产品/配置/合同，S10期间不修改产品、锁定REQ、合同或TASK。
出口判据：①商品/到货→餐次→购买付款→确认→切配称重→配送→结算，以及取消/售后/召回/代办在同候选真实闭环；②每个启用FR/AC/CASE和运行目标有有效证据，缺证据不是N/A；③未结/风险有实际Owner和恢复路线；④S11只交授权Gateway，不自动部署/发布。
边界/兜底：多个分支旧PASS不能相加；发现问题进S8/S9/新完整S7后重审，S9不跳S10；W9/W10未启用能力明确排除，不误宣称全商业模式上线。
编排/交接：W6核心功能、W7真实运行准备及所有适用REQ完整证据；候选校验依赖精确版本，不把本候选范围卡当提前 release_authorized。

外部销售与获客扩展

REQ-DW-GROUP-CAMPAIGNS｜团长资格、活动与同账号门户

要得到什么：获批准团长能管理授权活动/成员关系，顾客从活动进入同一购买闭环；身份切换不泄漏非授权客户信息。
触发/动线：后台审核资格/活动→同账号进入团长门户→分享/顾客参与→标准购买→门户核对获授权参与结果→资格撤回处理在途关系。
必要功能：LeaderQualification/Campaign/Participation、活动适用范围/版本、同账号角色门户隔离、资格授予/撤回、参与唯一性/状态、标准交易来源关联、隐私最小查询/导出；奖励/佣金只有明确获批才增加合同，不由团长名词推导。
工作面：C: campaigns/leader-portal；A: customer/campaigns；X: campaign-obligations；复用标准订单/资金/授权/现场链。
事实/目录：B: customer/campaigns候选内部责任；M: customer/campaign；Commerce接受活动来源，不另建团购订单中心。
出口判据：①资格/活动范围明确，门户只见授权参与信息；②重复参与/导入不重复下单；③活动关闭/撤权阻止新越权操作而历史义务可续；④活动入口最终实接标准购买/确认/交付与售后，不仅留一个报名记录。
边界/兜底：普通客户与团长切换清缓存/数据范围；退出不删除成交；部分活动调整不静默改顾客已接受条件；不默认启用佣金结算。
编排/交接：W6核心，W9分享合同可并行但无分享算法也可有真实活动入口；D-12团长模式/启用边界、D-13门户用途收口；上线补对应生产/完整验收。

要得到什么：合法分享能落到真实商品/活动/标准购买；来源证据与归因裁决区分，归因规则可解释且不被重放/撤回滥用。
触发/动线：生成目的明确Token→分享→匿名/登录落地核验→展示有效目标→记录最小来源证据→按批准规则裁决归因→交易关联与后台核对。
必要功能：ShareToken/目的/TTL/范围、落地验证/失效出口、匿名转登录关联边界、SourceEvidence、AttributionRule/Decision版本、去重/重放/冲突解释、同意/撤回、结果下钻；商业奖励不自动附带。
工作面：C: share/landing；A: acquisition/source-attribution为规划工作面；X: share-attribution-health；最终域Owner确认后才定写模块。
事实/目录：来源可引用Customer/Campaign/Catalog；归因裁决Owner与B/M路径待S2定案。端侧可规划modules/share/，不能先写Analytics当万能归属。
出口判据：①失效/伪造/超范围Token不能访问隐藏对象或窃取资料；②真实落地进入同一商品/购买，不复制订单；③来源观察与归因决定都能回到证据/规则版本，重放不多算；④未同意用途/撤回阻止新越权关联，匿名合并不默转个人授权。
边界/兜底：多个来源竞争需有批准归因规则，不能前端先到先占；数据缺失是未知来源不是自然流量；无合法目标提供可解释自主浏览出口。
编排/交接：W6核心及Identity/Consent，和团长/Channel独立；D-12归因Owner/规则、D-13用途/保留为冻结阻塞，先关闭再实现写裁决。恢复Route为停用新裁决、保留合法源证据并按规则续办。

REQ-DW-EXTERNAL-CHANNEL｜外部销售观察、标准导入与回传

要得到什么：批准Provider的销售业务通过防腐边界进入同一核心闭环；同步未知/重复/撤权能定位原目标，不造成两套订单或资金。
触发/动线：验证Provider能力/授权→绑定账户和对象映射→接原始观察/游标→合法标准购买接受→回传原目标→查询未知→核对账单差异；客服从外部号下钻标准对象。
必要功能：CapabilityContract、AuthorizationRef、ExternalObservation、作用范围映射键、SyncCursor/水位/重放、ImportIntent/accept结果、OutboundTarget/Attempt/查询、StatementObservation/差异、撤权/恢复、在途义务。
工作面：A: channel/providers/authorizations/mappings/imports/outbound/statements；X: channel-sync；C: orders显示合法来源，不强加某平台新页面；现场继续标准履约。
事实/目录：B: channel/providers/authorizations/mappings/observations/imports/outbound/statements；M: channel/sync；资金核验归Commerce，支付适配不是此REQ延期能力。
出口判据：①外部Provider/账户/类型/ID组合唯一，不同商家号不串；②观察重放/游标恢复不重复订单；③回传超时查同一目标，不无条件重发不可幂等效果；④撤权后新同步受限，已有标准义务仍可追；账单观察不冒充资金核验。
边界/兜底：未获证实支持“客户明确配送授权”的渠道不能默认成交即配送；字段不足/金额不一致转合法拒收/待核验；不能假定所有Provider有查询/退款或幂等能力。
编排/交接：W6标准交易/异常能力，W9其他REQ无需等待该Provider；D-12渠道商业语义、D-08适用观察/资金接缝、真实外部权限/合同在冻结/启用前落实。

持续服务与选购决策扩展

REQ-DW-CONTINUOUS-SERVICE｜批准的服务合同、权益与周期出单

要得到什么：客户明确选择持续合同后能看清权益、周期与退出；每次出单是标准交易，仍需合法资金与本次配送授权。
触发/动线：核对合同/费用/权益→合法接受→周期形成唯一标准购买意图→按规则付款/确认→可跳过/暂停/退出→后台核验失败周期和既有未结义务。
必要功能：ServiceContract/版本/同意、Entitlement/占用/消耗/释放、Cycle/来源意图唯一性、标准出单、暂停/恢复/跳过/退出、到期/失败/UNKNOWN接续、未来权益与已成交订单分离；扣款只在独立获批准能力/同意下启用。
工作面：C: continuous-service；A: demand/continuous-service并关联标准客户/交易；X: cycle-obligations；现场复用核心链。
事实/目录：B: demand/continuous-service候选责任线；M: demand/service-contract；Commerce仍拥有每次商业订单/资金，Customer生活计划不是合同。
出口判据：①周期重放不重复出单/消耗权益；②暂停/退出与周期触发竞争不产生未授权新义务；③已有订单不被退出合同直接删除，取消走核心规则；④每次付款/明确配送授权可查，合同同意不等于无限自动扣款或默认送货。
边界/兜底：周期失败给真实未结原因/恢复路径，不以补发新周期遮住UNKNOWN；合同改版不静默改已接受权益；没有政策批准不启用。
编排/交接：W6标准交易/售后/取消与W3个人计划已有；与推荐/W9并行，不互为前置。D-12商业合同/周期/扣款范围、D-05退出款、D-06代办及D-10精确生命周期收口。

REQ-DW-RECOMMENDATION-DECISIONS｜可解释选购引导、规则与实验

要得到什么：获同意的决策帮助客户做选购选择，能解释依据/限制；运营可模拟/发布/回退规则，决策不偷偷变成订单。
触发/动线：客户选择用途/偏好→用合法输入/候选作决策→说明推荐依据→客户修改/自主选择→进入同一报价购买；管理者模拟反例→发布规则/实验→核对真实口径/回退。
必要功能：明确Decision Owner、输入/候选/Consent版本、RuleRevision、Decision与解释/失效、模拟/验证/发布/回退、Experiment分配与效果口径、拒绝/无候选/质量未知出口、最小用途/保留约束。
工作面：C: recommendations/selection-guidance；A: decisions/rules/simulation/experiments为规划入口；X: decision-health；有选择后仍走标准计划/报价/购买。
事实/目录：Customer偏好/同意、Catalog静态内容、Supply候选质量均是输入Owner；在线规则/实验/决策写Owner和B/M路径待S2定案，不得默认归Analytics或Platform。
出口判据：①合法输入/同意/规则版本能回源解释一次决策；②过期/撤回同意阻止新越权推荐，质量未知候选不伪称适合；③无候选/引擎失败仍可自主选购，推荐不自动下单/扣款/确认配送；④发布/实验分配可复现且回退不改历史决策，指标有口径不反向写交易。
边界/兜底：不能凭“猜你喜欢”新增未经同意画像；实验不能越过履约安全门禁；静态精选/个人菜卡已有并不证明在线决策完成。
编排/交接：W6实际核心及Consent/质量/指标，持续服务非必要前置；D-12 Owner/规则/实验启用、D-13用途保留先关闭冻结阻塞。Owner不成立时保留自选/静态内容，停用新在线裁决。

3. 每张卡怎样拆成实施任务

按实际依赖拆任务，不预定每REQ都要五个TASK：

规则与公开能力：本卡必要对象/命令/查询/事件、政策范围、权限和恢复先在S2/S3收口。将本卡出口逐项转正式AC，已有状态/模型仅引用与增量维护。
最小真实Owner实现：受保护提交、持久原结果/审计、只读回源查询和必要Adapter。包含首条正常及拒绝/UNKNOWN恢复见证；不是先做大量页面再补真实命令。
独立入口与组合交接：C/A/X/O中实际相关任务分别实现，在各自模块目录写入；交出可用接口/组件并集成，再由指定组合Owner挂到根流程。
运行与人工出口：补源质量、检测/响应/动作Adapter、责任/时限；同一客户/对象里能查原目标、分项继续和核验。每项门禁/证据条件对应实际动作入口。
真实集成与完整验证：同精确版本验证本REQ库存和本wave共同业务；回归前轮、适用迁移/回退/恢复；保留失败和UNKNOWN，按正式流程处置。

有些路径需要最小共享构件先交；可以先集成该TASK再推进消费任务，不用等提供者整个REQ完全关闭。界面、Contract、Stub/Client的各自责任可以并行，但真实钱货闭环不得用Stub拼接验收。

4. 完整性复核与残余缺口

本轮目标是给41个候选都补明确范围卡。每卡有目标、动线、功能、工作面、Owner/目录、具体出口、异常与编排；目录中的待建/待定事实不会伪装已实现。

正式化仍须逐REQ核对原型有限页面/动作库存，建立FR→AC→story/CASE→真实证据覆盖；当前82页原型不是81或82份独立REQ，也不能凭本文卡数证明每个按钮都已覆盖。模块设计八项、场景所有分支、真实Provider/设备、运行人员及政策尚待相应阶段收口。发现新必要能力先补对应卡/上游范围，经人类确认后进入正式REQ，不默删缺口。

主会话负责范围完整性与反证；领域Owner负责事实；集成责任负责公共路径/版本；实际业务、现场、财务、隐私、安全和运行责任需落实。替代方案/迁移/恢复收口到相应REQ和S2，未定归因/推荐Owner禁止提前创建写裁决模块。本轮不产生产品实现、锁定记录或验收通过结论。