@umacloud/knowledge 1.0.16 → 1.0.17

package/product/kpi-and-metric-tree.md

@@ -1,37 +1,80 @@
 ---
 id: kpi-and-metric-tree
-title: kpi-and-metric-tree
+title: KPI 与指标树方法库（商业级必读）
 domain: product
-category: kpi-and-metric-tree.md
+category: 02-playbooks
 difficulty: intermediate
-tags: [and, kpi, metric, product, tree, 与指标树方法库]
-quality_score: 70
-last_updated: 2026-06-15
+tags: [指标, kpi, 北极星, metric-tree, 指标树, 漏斗, 任务成功率, 口径, 数据驱动, 增长, 产品, 商业级]
+quality_score: 95
+last_updated: 2026-06-29
 ---
-# kpi-and-metric-tree
 
-## KPI 与指标树方法库
+# KPI 与指标树方法库（商业级必读）
 
-### 目标
-- 建立从战略目标到页面行为指标的可追踪链路。
+> 没有指标树的产品，"做得好不好"只能靠感觉和嗓门吵出来。最常见的失败有两种：一是只盯**虚荣指标**（PV/UV/下载量），看着涨却和价值无关；二是各团队**口径打架**，同一个"活跃用户"三套算法，开会先吵定义。指标树的作用是把一个模糊的战略目标，**逐层拆成可观测、可归因、有人负责的具体指标**，让每个功能上线后都能回答"它到底有没有用、用在哪"。本方法库给出指标分层、构建步骤、口径治理与验收门禁。
 
-### 指标层级
-- 北极星指标：反映核心价值交付。
-- 一级指标：新增、活跃、留存、收入、成本。
-- 二级指标：转化率、漏斗流失率、成功率、时延、错误率。
-- 过程指标：页面点击、操作耗时、失败类型分布。
+## 1. 指标分层（从战略到行为，逐层可拆）
 
-### 指标树构建步骤
-- 明确业务目标与目标时间窗。
-- 拆解关键用户行为路径。
-- 为每个路径节点定义成功与失败指标。
-- 绑定阈值与预警规则。
+| 层级 | 作用 | 示例 |
+|---|---|---|
+| **北极星指标** | 全公司/产品线唯一对齐的核心价值度量 | 周活跃创作数、成功交易额、完成核心任务的用户数 |
+| **一级指标（输入）** | 直接驱动北极星的可拆解因子 | 新增、激活、留存、收入、成本 |
+| **二级指标（健康度）** | 反映各环节质量与效率 | 转化率、漏斗流失率、任务成功率、P95 时延、错误率 |
+| **过程指标（行为）** | 最细粒度的可观测行为，用于定位 | 页面点击、操作耗时、失败类型分布、空结果率 |
 
-### 指标验收规则
-- 每个新功能至少绑定 1 个业务指标和 2 个质量指标。
-- 指标必须有口径说明、数据源、更新频率、负责人。
-- 指标上生产前必须完成一次历史基线对齐。
+**北极星指标的判定**：它涨，用户拿到的价值就真的涨（不是仅仅"用得更久")；它能被一级指标解释；它不能靠刷量伪造。下载量、PV 几乎都不合格。
 
-### 常见失败模式
-- 指标只统计访问量，不统计任务成功率。
-- 指标口径跨团队不一致，导致决策冲突。
+## 2. 指标树构建步骤
+
+1. **锚定北极星 + 时间窗**：先定义"我们为用户创造的核心价值"，再选一个能代表它的可度量量，明确统计窗口（日/周/月）。
+2. **按驱动关系拆一级指标**：把北极星写成乘法/加法分解（如 收入 = 活跃用户 × 付费转化率 × 客单价），每个因子就是一级指标。
+3. **沿关键用户路径拆二级/过程指标**：对每条核心任务流（注册→激活→留存→付费），在每个节点定义成功指标与失败指标。
+4. **为每个叶子节点定义口径与阈值**：口径说明、数据源、更新频率、负责人、健康/告警阈值。
+5. **反向校验**：每个一级/二级指标都要能回答"它服务于哪个上层指标"，挂不上北极星的指标要么删掉，要么补一层。
+
+## 3. 成功指标 vs 失败指标（必须成对定义）
+
+只统计"做成了多少"会掩盖问题，每个关键环节都要同时盯失败面：
+
+| 环节 | 成功指标 | 失败指标 |
+|---|---|---|
+| 搜索 | 搜索后点击率 | 空结果率、零点击率 |
+| 表单/结算 | 提交成功率 | 字段报错率、放弃率、超时率 |
+| 任务流 | 端到端完成率 | 中途流失节点分布、平均重试次数 |
+| 服务质量 | P50/P95 时延达标率 | 错误率、超时率、降级触发次数 |
+
+## 4. 口径治理（指标可信的前提）
+
+每个指标必须登记为一条可治理的元数据，否则不予上线：
+
+- **口径定义**：精确到"谁、在什么时间窗、满足什么条件算一次"——"活跃"是打开 App 还是完成一次核心动作，必须写死。
+- **数据源 + 计算逻辑**：来源表/事件、过滤条件、去重规则、时区，全部明确，可复算。
+- **更新频率 + 负责人**：实时/小时/天级，谁对这个数负责、谁有权改口径。
+- **跨团队唯一口径**：同一指标名全公司只能有一套定义；要拆分必须改名（如"登录活跃"vs"创作活跃"），禁止同名异义。
+- **历史基线对齐**：上生产前用历史数据跑一遍，确认数值落在合理区间、与已有口径不冲突。
+
+## 5. 指标验收门禁（功能上线前）
+
+- 每个新功能上线前**至少绑定 1 个业务指标 + 2 个质量指标**，并预设预期变化方向与幅度。
+- 指标缺口径说明 / 数据源 / 负责人任意一项 → 不允许进生产。
+- 关键指标必须配**告警阈值**与异常下钻路径，能从二级指标一路下钻到过程指标定位根因。
+- 上线后设**验证窗口**：到期用绑定指标判定功能成败，达不到预期触发迭代或回滚，而不是"上了就不管"。
+
+## 反模式
+
+- **虚荣指标驱动**：只看 PV/UV/下载量等看着好看、与价值无关的数，掩盖真实的任务失败。
+- **只统计成功面**：盯着提交成功率却不看放弃率/报错率，问题被平均数藏住。
+- **口径跨团队打架**：同名指标多套算法，开会先吵定义，决策建立在不可比的数上。
+- **指标挂不上北极星**：堆了一屏指标，没人能说清它服务于哪个上层目标，沦为数据噪声。
+- **无负责人无更新频率**：指标没人维护，口径悄悄漂移，数据慢慢失真却无人察觉。
+- **上线即弃**：功能上线绑了指标却不设验证窗口，从不回看到底有没有效果。
+
+## 最低交付 checklist
+
+- [ ] 产品/产品线有唯一北极星指标，且能被一级指标解释、不可刷量伪造。
+- [ ] 指标树自上而下分层（北极星 → 一级 → 二级 → 过程），每个下层指标可追溯到上层。
+- [ ] 关键环节均成对定义成功指标与失败指标。
+- [ ] 每个指标登记了口径、数据源、计算逻辑、更新频率、负责人，且跨团队口径唯一。
+- [ ] 所有指标上生产前完成历史基线对齐。
+- [ ] 每个新功能绑定 ≥1 业务指标 + ≥2 质量指标，并预设预期方向与验证窗口。
+- [ ] 关键指标配置告警阈值与从二级到过程指标的下钻定位路径。

package/product/product-discovery-and-prd-deep-dive.md

@@ -1,16 +1,14 @@
 ---
 id: product-discovery-and-prd-deep-dive
-title: product-discovery-and-prd-deep-dive
+title: 产品环节深度知识库
 domain: product
-category: product-discovery-and-prd-deep-dive.md
+category: 01-standards
 difficulty: intermediate
-tags: [and, deep, discovery, dive, prd, product, 产品环节深度知识库]
+tags: [产品, prd, 需求发现, discovery, 产品设计, product]
 quality_score: 70
 last_updated: 2026-06-15
 ---
-# product-discovery-and-prd-deep-dive
-
-## 产品环节深度知识库
+# 产品环节深度知识库
 
 ### 目标
 - 把业务目标转化为可执行需求，保证“价值、可行性、可验收”一致。

package/security/01-standards/owasp-top10-complete.md

@@ -5,8 +5,8 @@ domain: security
 category: 01-standards
 difficulty: intermediate
 tags: [access, broken, complete, contents, control, cryptographic, failures, injection]
-quality_score: 70
-last_updated: 2026-06-15
+quality_score: 93
+last_updated: 2026-06-29
 ---
 # OWASP Top 10 (2021) Complete Security Standards
 

package/security/02-playbooks/incident-response-security-playbook.md

@@ -11,10 +11,6 @@ quality_score: 70
 ---
 
 # 安全事件响应作战手册
-# 功能：安全事件响应全流程作战手册
-# 作用：指导安全团队完成安全事件的检测、遏制、取证、修复、通报与复盘
-# 创建时间：2026-03-28
-# 最后修改：2026-03-28
 
 ## 目标
 

package/security/02-playbooks/penetration-testing-playbook.md

@@ -11,10 +11,6 @@ quality_score: 70
 ---
 
 # 渗透测试作战手册
-# 功能：渗透测试全流程作战手册
-# 作用：指导安全团队完成 Web 应用、API、基础设施的渗透测试及报告编写
-# 创建时间：2026-03-28
-# 最后修改：2026-03-28
 
 ## 目标
 

package/security/compliance-automation.md

@@ -2,7 +2,7 @@
 id: compliance-automation
 title: 合规自动化完整指南
 domain: security
-category: compliance-automation.md
+category: 01-standards
 difficulty: intermediate
 tags: [automation, code, compliance, security, 合规工作流, 合规报告, 合规框架, 审计日志]
 quality_score: 70

package/security/container-security.md

@@ -2,7 +2,7 @@
 id: container-security
 title: 容器安全完整指南
 domain: security
-category: container-security.md
+category: 01-standards
 difficulty: intermediate
 tags: [container, layer, security, 主机安全, 容器安全分层, 概述, 编排安全, 网络安全]
 quality_score: 70

package/security/devsecops-complete.md

@@ -2,7 +2,7 @@
 id: devsecops-complete
 title: DevSecOps 完整实践指南
 domain: security
-category: devsecops-complete.md
+category: 01-standards
 difficulty: intermediate
 tags: [complete, devsecops, security, 安全工具链, 安全度量指标, 实施路径, 常见反模式, 最佳实践]
 quality_score: 70

package/security/sast-dast-sca.md

@@ -2,7 +2,7 @@
 id: sast-dast-sca
 title: SAST/DAST/SCA 完整指南
 domain: security
-category: sast-dast-sca.md
+category: 01-standards
 difficulty: intermediate
 tags: [dast, sast, sca, security, 三者对比, 动态应用安全测试, 报告和度量, 概述]
 quality_score: 70

package/security/secrets-management.md

@@ -2,7 +2,7 @@
 id: secrets-management
 title: 密钥管理完整方案
 domain: security
-category: secrets-management.md
+category: 01-standards
 difficulty: intermediate
 tags: [kubernetes, management, secrets, security, 中的使用, 密钥在, 密钥生命周期管理, 密钥管理]
 quality_score: 70

package/security/security-architecture-deep-dive.md

@@ -1,16 +1,14 @@
 ---
 id: security-architecture-deep-dive
-title: security-architecture-deep-dive
+title: 安全环节深度知识库
 domain: security
-category: security-architecture-deep-dive.md
+category: 01-standards
 difficulty: intermediate
-tags: [architecture, deep, dive, security, 安全环节深度知识库]
+tags: [安全架构, security-architecture, 纵深防御, 威胁建模, 零信任, security]
 quality_score: 70
 last_updated: 2026-06-15
 ---
-# security-architecture-deep-dive
-
-## 安全环节深度知识库
+# 安全环节深度知识库
 
 ### 目标
 - 形成从设计到运行期的全链路安全防护体系。

package/security/threat-modeling-stride-playbook.md

@@ -1,16 +1,14 @@
 ---
 id: threat-modeling-stride-playbook
-title: threat-modeling-stride-playbook
+title: STRIDE 威胁建模手册
 domain: security
-category: threat-modeling-stride-playbook.md
+category: 02-playbooks
 difficulty: intermediate
-tags: [modeling, playbook, security, stride, threat, 威胁建模手册]
+tags: [威胁建模, threat-modeling, stride, 攻击面, 安全设计, security]
 quality_score: 70
 last_updated: 2026-06-15
 ---
-# threat-modeling-stride-playbook
-
-## STRIDE 威胁建模手册
+# STRIDE 威胁建模手册
 
 ### 目标
 - 在需求与设计阶段提前识别安全风险，降低上线后高危漏洞暴露概率。

package/seed-templates/auth-system.md

@@ -2,7 +2,7 @@
 id: auth-system
 title: Seed Template: Authentication System
 domain: seed-templates
-category: auth-system.md
+category: seed-templates
 difficulty: intermediate
 tags: [auth, component, gates, page, patterns, quality, seed-templates, structure]
 quality_score: 70

package/seed-templates/blog-content.md

@@ -2,7 +2,7 @@
 id: blog-content
 title: Seed Template: Blog / Content Site
 domain: seed-templates
-category: blog-content.md
+category: seed-templates
 difficulty: intermediate
 tags: [article, articles, blog, content, gates, page, quality, rules]
 quality_score: 70

package/seed-templates/dashboard.md

@@ -2,7 +2,7 @@
 id: dashboard
 title: Seed Template: Dashboard
 domain: seed-templates
-category: dashboard.md
+category: seed-templates
 difficulty: intermediate
 tags: [component, dashboard, gates, layout, page, patterns, quality, rules]
 quality_score: 70

package/seed-templates/docs-site.md

@@ -2,7 +2,7 @@
 id: docs-site
 title: Seed Template: Documentation Site
 domain: seed-templates
-category: docs-site.md
+category: seed-templates
 difficulty: intermediate
 tags: [component, docs, gates, page, patterns, quality, seed-templates, site]
 quality_score: 70

package/seed-templates/e-commerce.md

@@ -2,7 +2,7 @@
 id: e-commerce
 title: Seed Template: E-Commerce Product Page
 domain: seed-templates
-category: e-commerce.md
+category: seed-templates
 difficulty: intermediate
 tags: [commerce, gates, page, quality, seed-templates, structure]
 quality_score: 70

package/seed-templates/saas-landing.md

@@ -2,7 +2,7 @@
 id: saas-landing
 title: Seed Template: SaaS Landing Page
 domain: seed-templates
-category: saas-landing.md
+category: seed-templates
 difficulty: intermediate
 tags: [bottom, gates, into, landing, page, paste, quality, root]
 quality_score: 70

package/seed-templates/settings-page.md

@@ -2,7 +2,7 @@
 id: settings-page
 title: Seed Template: Settings / Account Page
 domain: seed-templates
-category: settings-page.md
+category: seed-templates
 difficulty: intermediate
 tags: [gates, page, quality, seed-templates, settings, structure]
 quality_score: 70

package/testing/02-playbooks/e2e-testing-playbook.md

@@ -11,10 +11,6 @@ quality_score: 70
 ---
 
 # E2E 测试作战手册
-# 功能：E2E 测试全流程作战手册
-# 作用：指导团队建立和维护高质量的 E2E 测试体系
-# 创建时间：2026-03-28
-# 最后修改：2026-03-28
 
 ## 目标
 

package/testing/risk-based-test-matrix.md

@@ -1,36 +1,86 @@
 ---
 id: risk-based-test-matrix
-title: risk-based-test-matrix
+title: 风险驱动测试矩阵（商业级必读）
 domain: testing
-category: risk-based-test-matrix.md
+category: 02-playbooks
 difficulty: intermediate
-tags: [based, matrix, risk, test, testing, 风险驱动测试矩阵]
-quality_score: 70
-last_updated: 2026-06-15
+tags: [测试策略, risk-based, 测试矩阵, 回归, 验收门, 缺陷密度, 发布门禁, qa, 风险评分, 商业级]
+quality_score: 95
+last_updated: 2026-06-29
 ---
-# risk-based-test-matrix
 
-## 风险驱动测试矩阵
+# 风险驱动测试矩阵（商业级必读）
 
-### 目标
-- 把测试资源聚焦到高风险高影响场景，提升回归效率与事故预防能力。
+> 测试的产能永远是有限的，"全都测、都测到 100%"既做不到也不划算。真正的问题不是"测得够不够多"，而是"有限的测试投入有没有压在最可能出事、出事最严重的地方"。对所有模块一刀切同等测试深度，结果往往是低风险代码被过度测试、高风险链路反而漏测。本矩阵把测试投入与**业务风险**对齐：先给每个变更/模块评风险，再按风险等级映射到差异化的测试深度与发布门禁，让回归更快、事故更少。
 
-### 风险评分模型
-- 业务影响：低/中/高
-- 变更复杂度：低/中/高
-- 历史缺陷密度：低/中/高
-- 依赖外部系统数量：低/中/高
+## 1. 风险评分模型（四因子）
 
-### 测试等级映射
-- R1（低风险）：单元测试 + 冒烟验证。
-- R2（中风险）：单元 + 集成 + 契约测试。
-- R3（高风险）：单元 + 集成 + E2E + 性能 + 安全专项。
+对每个待测模块/变更，按四个因子各评 低(1)/中(2)/高(3)：
 
-### 执行清单
-- 每次发布前更新模块风险评分。
-- 高风险模块回归失败时禁止发布。
-- 高风险缺陷必须沉淀为长期回归用例。
+| 因子 | 含义 | 低(1) | 高(3) |
+|---|---|---|---|
+| 业务影响 | 出错对用户/收入/合规的伤害 | 内部辅助功能 | 支付/账号/数据/核心任务流 |
+| 变更复杂度 | 改动的范围与不确定性 | 文案/样式微调 | 跨服务、并发、状态机、迁移 |
+| 历史缺陷密度 | 该区域过去的故障频率 | 长期稳定 | 反复出问题的"重灾区" |
+| 外部依赖数量 | 依赖的下游系统/三方数量 | 自包含 | 多三方、强网络、强时序耦合 |
 
-### 常见失败模式
-- 所有模块“一刀切”同等测试深度。
-- 风险评估不更新，矩阵失去参考价值。
+**风险分 = 四因子之和（4–12）**，映射到风险等级：
+
+| 风险分 | 等级 | 含义 |
+|---|---|---|
+| 4–6 | R1 低 | 出错影响小且不易错 |
+| 7–9 | R2 中 | 需要常规多层验证 |
+| 10–12 | R3 高 | 关键链路，需专项 + 门禁 |
+
+> 任一因子=高 且 业务影响=高，直接按 R3 处理（一票升级），不必等总分达标——支付链路即使改动很小也是高风险。
+
+## 2. 风险等级 → 测试深度映射
+
+| 等级 | 必做测试 | 覆盖率要求 | 自动化 |
+|---|---|---|---|
+| R1 低 | 单元 + 冒烟 | 关键路径覆盖即可 | 可手动冒烟 |
+| R2 中 | 单元 + 集成 + 契约 | 行/分支覆盖达团队基线 | 集成纳入 CI |
+| R3 高 | 单元 + 集成 + 契约 + E2E + 性能 + 安全专项 + 故障注入 | 关键分支接近全覆盖，含异常/边界/并发路径 | 全自动 + 发布门禁 |
+
+- **契约测试**对有外部依赖的模块是 R2 起步的硬要求，防止"各自单测都过、联调才炸"。
+- **性能/安全专项**只对 R3 强制，避免在低风险模块上空耗。
+- R3 必须显式覆盖**异常路径、边界值、并发与重试、幂等**，而不只是 happy path。
+
+## 3. 发布门禁（风险等级决定阻断强度）
+
+| 等级 | 回归失败处置 | 发布要求 |
+|---|---|---|
+| R1 | 修复或记录待办 | 冒烟通过即可放行 |
+| R2 | 阻断本次发布，修复后重跑 | 集成+契约全绿 |
+| R3 | 阻断 + 触发复盘 | 全部专项通过、关键缺陷清零、有回滚预案 |
+
+- **高风险模块回归失败 = 禁止发布**，不接受"已知问题先上、下个版本修"。
+- **高风险缺陷必须沉淀为长期回归用例**（缺陷驱动测试），防止同一根因反复复发。
+- 风险评分是**动态的**：每次发布前根据新变更、新依赖、新故障重新评分，矩阵不更新就会失去参考价值。
+
+## 4. 与变更频率结合（热点优先）
+
+把"风险高"与"改得勤"叠加，识别需要最强测试纪律的热点：
+
+- 高风险 × 高频变更 → 投入最深测试 + 强门禁 + 监控告警兜底。
+- 高风险 × 低频变更 → 每次改动都需完整 R3 流程（改得少更易疏忽）。
+- 低风险 × 高频变更 → 重自动化冒烟与回归，控制人工成本。
+
+## 反模式
+
+- **一刀切测试深度**：所有模块同等对待，低风险代码被过度测试、高风险链路反而漏测。
+- **评分一次定终身**：风险分上线后从不更新，新增的依赖与故障未反映，矩阵沦为摆设。
+- **只看总分忽略一票升级**：支付/账号类小改动因总分不高被降级处理，绕过专项。
+- **覆盖率刷数字**：为达 R3 覆盖率指标补一堆只测 happy path 的用例，异常/并发/边界仍是盲区。
+- **高风险失败放行**：以"deadline 到了"为由对 R3 回归失败放行，把风险转嫁给线上。
+- **缺陷不沉淀**：修了线上缺陷却不补回归用例，同一根因下个版本再炸。
+
+## 最低交付 checklist
+
+- [ ] 每个待测模块/变更有四因子风险评分与 R1/R2/R3 等级，且本次发布前已刷新。
+- [ ] 高业务影响项已按一票升级规则处理为 R3。
+- [ ] 各等级的必做测试类型已按映射表执行（R2 起含契约、R3 含性能+安全+故障注入）。
+- [ ] R3 用例显式覆盖异常路径、边界、并发/重试与幂等。
+- [ ] 发布门禁按等级生效：R2/R3 回归失败阻断发布。
+- [ ] 所有已修复的线上缺陷均已沉淀为长期回归用例。
+- [ ] 高风险 × 高频变更的热点模块有自动化回归 + 监控告警兜底。

package/testing/testing-strategy-deep-dive.md

@@ -1,16 +1,14 @@
 ---
 id: testing-strategy-deep-dive
-title: testing-strategy-deep-dive
+title: 测试环节深度知识库
 domain: testing
-category: testing-strategy-deep-dive.md
+category: 01-standards
 difficulty: intermediate
-tags: [deep, dive, strategy, testing, 测试环节深度知识库]
+tags: [测试策略, testing-strategy, 测试体系, 自动化测试, 质量, testing]
 quality_score: 70
 last_updated: 2026-06-15
 ---
-# testing-strategy-deep-dive
-
-## 测试环节深度知识库
+# 测试环节深度知识库
 
 ### 目标
 - 建立“快速反馈 + 高风险覆盖”的测试体系。