openxiangda 2.69.1 → 2.70.1

package/documentation/application-operations.md

@@ -206,3 +206,17 @@ Native记录事件才能使用 `ordering:record`。订阅错误先修正应用
 在已经授权清理的范围运行 `acceptance-data.execute-cleanup`，核对金丝雀原回执，再把 mode 改为 remaining。丢响应先 preview/status，不换 run 或 digest；pending 清单复用原 repair。每份计划最多100条/1MiB，终结后重新 preview 下一批。外部修改、坏凭证、变化 Head、未知/预算结果及部分失败不会返回 purged。只有完整读回 `cleanupState: purged` 和剩余0表示此批 owned Native 数据验空；registry、参与者、凭证、审计和原修复回执保留。
 
 MCP仍通过 `application_operations/application_operation` 使用同一目录，不提供任意URL或重建来源。生产、旧数据、其他run不接受此入口。目录可用不代表目标平台已升级；404核对版本，不用直接SQL旁路。
+
+
+## 旧审批当前节点接续
+
+`admin execute workflows.legacy-prepare --environment test --input <file> --json`
+使用应用超级管理员身份锁定现有 Native 业务单、版本、原申请人、审批轮次与历史事实。
+输入契约从 `admin operations --json` 查询。未导入的原单先通过正式 Native 导入协议
+保留 UUID，不能用新建流程替代。仅支持内部分派、手动审批和线性条件路径；姓名无法
+证明账号、历史不完整或分支不匹配时拒绝接续。
+
+准备成功后保留 planId、planDigest，通过 `workflows.legacy-apply` 原子创建当前节点
+及待办。`workflows.legacy-receipt` 查询原回执，结果未知时沿用原计划查询/重试。
+历史审批只作为来源事实保留，不伪造旧 V2 操作、发起人登录或历史通知。角色撤销、
+原单、Head 或有效配置变化会拒绝尚未执行的旧计划；已执行计划返回原实例。

package/documentation/data-authz.md

@@ -2,7 +2,7 @@
 
 授权由四层组成：页面/操作 capability、行谓词、字段 read，以及字段 create/update。前端只消费平台返回的最终访问结果来隐藏按钮、只读输入和剔除 payload；平台每次请求重新执行权威校验。
 
-涉及独立企业的上下级组织、跨学校身份或家校班级范围时，先读[多组织与家校目录](./multi-organization.md)。平台已有组织/成员/会话基础；V2 角色 reach、目录事实应用映射和组织行边界尚未完整接通，不能将当前普通角色并集、unrestricted 规则或前端 `corpId` 当成自动跨组织授权。
+涉及独立企业的上下级组织、跨学校身份或家校班级范围时，先读[多组织与家校目录](./multi-organization.md)。V2 已提供组织角色 reach、目录事实应用映射和组织行归属声明；执行这些边界需要目标平台部署配套 contracts、后端及正式 SQL。普通角色并集、unrestricted 规则或前端 `corpId` 不能自动产生跨组织授权；包发行、站点配套和真实角色验收仍须分别核验。
 
 以下仅以仪器管理应用举例，不是平台默认模型或角色。该示例的行规则是：学校管理员不受行谓词限制；学院管理员按记录 `collegeId` 匹配；仪器管理员按 `instrumentAdminIds` 包含当前用户匹配。不要增加影子范围字段。
 
@@ -247,3 +247,6 @@ SDK复用现有应用CSRF与512条命令绑定缓存，预览到期不会自动
 打印先筛选同一成员同时具备资料read及所有打印能力的资格，再沿原RLS、Perspective、字段读取与脱敏；不能把ALL-read职责和own-print职责合并成ALL-print。普通app-admin与平台超管分别验收。SDK `loadNativeRecordPrint(resourceCode, recordId, { viewCode? })` 只读当前单记录投影；公开 `ResourceRecordPrintPreview` 与生成Native详情中的“打印”入口共用它。字段权限仍使用页面/模型规则，不增加流程节点字段权限配置。
 
 预览显示读取时间、当前详情可见字段和分组。打印前重新读取当前授权数据，失败清除旧预览，身份/授权/Perspective变化和关闭淘汰过期请求。附件/图片只列名称及大小、富文本转安全文本，没有自动外部下载；系统打印取消不写业务资料。当前版本只支持主记录，详情包含可读子表返回409，超2MiB返回413，不静默漏项；专用PDF模板、签章与子表完整打印另行提供。独立权限保护平台的打印接口和标准入口，已读资料的截图/浏览器自行打印不属于可撤销许可。
+
+
+多组织应用使用 `role.organizationReach`、`authz.directoryRoleSources` 与 `resource.organization` 显式声明；来源字符串范围、可信用户组织及数据库行边界共同执行。声明、配套平台版本与目标站点实际启用分别核验。完整字段、上级内容下发、目录派生角色所有权、手工组织授权和限制见[多组织与家校目录](./multi-organization.md#authorization)。

package/documentation/declarations-cheatsheet.md

@@ -222,3 +222,6 @@ image/signature/富文本图片字段在上传计划（initiate）里返回 `max
 省略/false关闭新入口；true绑定资源read，数组引用已有能力，不隐式生成能力。
 同一角色成员须同时满足资源read和全部历史能力，原行权限继续约束旧固定实例；该项独立于Native `audit.read`。
 标准Native详情和公开 `WorkflowRecordHistoryPanel` 可复用，参见[工作流历史](./workflow-events.md#record-history-read)。
+
+
+多组织应用使用 `role.organizationReach`、`authz.directoryRoleSources` 与 `resource.organization` 显式声明；来源字符串范围、可信用户组织及数据库行边界共同执行。声明、配套平台版本与目标站点实际启用分别核验。完整字段、上级内容下发、目录派生角色所有权、手工组织授权和限制见[多组织与家校目录](./multi-organization.md#authorization)。

package/documentation/getting-started.md

@@ -68,10 +68,10 @@ MCP 服务随项目根包一起安装，AI 客户端的 stdio 连接仍需配置
 以下命令的版本占位符由随包资料替换为该根包的精确版本。网站源码阅读者应先确认要使用的发行版本。
 
 ```bash
-pnpm dlx openxiangda@2.69.1 skill install --force
-pnpm dlx openxiangda@2.69.1 auth status --base-url <平台地址> --json
-pnpm dlx openxiangda@2.69.1 login --cwd my-app --base-url https://platform.example.com
-pnpm dlx openxiangda@2.69.1 create my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.70.1 skill install --force
+pnpm dlx openxiangda@2.70.1 auth status --base-url <平台地址> --json
+pnpm dlx openxiangda@2.70.1 login --cwd my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.70.1 create my-app --base-url https://platform.example.com
 cd my-app
 pnpm openxiangda context --json
 pnpm openxiangda dev
@@ -221,9 +221,9 @@ MCP 的 `docs_read` 可以读取本说明，当前没有独立的源码操作 MC
 无需本地工作区，使用本 Skill 随包精确版本或已安装的对应 CLI：
 
 ```bash
-pnpm dlx openxiangda@2.69.1 auth status --base-url <平台> --json
-pnpm dlx openxiangda@2.69.1 source resolve <仓库URL> --base-url <平台> --json
-pnpm dlx openxiangda@2.69.1 source clone <仓库URL> <新目录> --base-url <平台> --json
+pnpm dlx openxiangda@2.70.1 auth status --base-url <平台> --json
+pnpm dlx openxiangda@2.70.1 source resolve <仓库URL> --base-url <平台> --json
+pnpm dlx openxiangda@2.70.1 source clone <仓库URL> <新目录> --base-url <平台> --json
 ```
 
 登录缺失或站点不匹配时，先按该平台执行 login。resolve 根据平台已经登记的绑定返回

package/documentation/manifest.json

@@ -1,12 +1,12 @@
 {
   "schemaVersion": "openxiangda.documentation/v1",
-  "version": "2.69.1",
+  "version": "2.70.1",
   "topics": [
     {
       "id": "getting-started",
       "title": "安装与开始开发",
       "file": "getting-started.md",
-      "sha256": "88715ad6a3e93ccaad5ad9409c21a2e3ecd42ccf46a257802d6e0f7fe8e8bc02"
+      "sha256": "00e63ce63d826a42af684680b6c99f25877aa7157c64f287aab7cdcdbfd766dc"
     },
     {
       "id": "product-design",
@@ -36,7 +36,7 @@
       "id": "declarations-cheatsheet",
       "title": "声明速查：一次写对 config",
       "file": "declarations-cheatsheet.md",
-      "sha256": "69ef6d6c02424f2db6bc050e9dd84b39cd8b61f358dbb7cb8eefaf7eabb5ab9e"
+      "sha256": "91957b16bf2ca08059f6a602d6b2cb354b6c78cac8cbdab2920a5fef67c1354d"
     },
     {
       "id": "application-foundation",
@@ -78,13 +78,13 @@
       "id": "data-authz",
       "title": "数据查询与权限",
       "file": "data-authz.md",
-      "sha256": "317ecd5c68c7a8713dfb01d96a82b58be0dff27cd5213374dacc68aa0c1911be"
+      "sha256": "de73eeb5e9940d2740f1f5ab62efbcec6dea648fffadf6be48ac47b38ec0c8e4"
     },
     {
       "id": "multi-organization",
       "title": "多组织、局校管理与家校目录",
       "file": "multi-organization.md",
-      "sha256": "6810f3def86e43dcd36b57ec2504fba83535d0169e46fb66cca2c17a3de0e2ae"
+      "sha256": "1000d6e9eefb31c4a4659e0a074f5c836b4ccc7652d714dd236f7a67b345566d"
     },
     {
       "id": "public-access",
@@ -96,7 +96,7 @@
       "id": "workflow-events",
       "title": "审批、事件与通知",
       "file": "workflow-events.md",
-      "sha256": "0950e53e14652922e10983137565dacd95c04fb324720abbdb5f7676cd24c431"
+      "sha256": "14a8e0b302302083a7ff3cb1a0a058226b6cababbf926796477425bcbb78b4ab"
     },
     {
       "id": "backend",
@@ -144,7 +144,7 @@
       "id": "application-operations",
       "title": "AI 自助诊断、环境密钥和通知配置",
       "file": "application-operations.md",
-      "sha256": "d31ac969dabfab23fed865d6c5b3824cfd6e7437123a96c574c76a4e7e22178b"
+      "sha256": "911271eeeb0e98ea83851c6f20afcabab8bdbbdc568fe902277db2355c62717b"
     },
     {
       "id": "testing",
@@ -174,7 +174,7 @@
       "id": "mcp",
       "title": "MCP 配置与工具参考",
       "file": "reference/mcp.md",
-      "sha256": "88c421628b635cc8b4b9ee5a6cd3cedfa9d7c73a9228867c2b6c7f3bc5e833b2"
+      "sha256": "dadc9a90681182901df93ab6ca503573647bb37f6ce46f984965f7a224695d88"
     }
   ]
 }

package/documentation/multi-organization.md

@@ -2,7 +2,7 @@
 
 教育局与多所学校各有独立钉钉企业、同一教师属于多个组织、家长的孩子在不同学校时，优先复用平台的组织与身份基础能力。应用不再建立第二份企业组织树、钉钉身份库或学校密钥配置。
 
-本专题描述 2026-10-14 的源码契约基线。组织基础、本人目录角色事实读取和 SDK 组织上下文/切换生命周期已有配套实现；事实到应用角色、组织 reach 与跨组织数据权限仍有接入缺口。目标站点是否部署了这些接口，需现场核实；安装新工具或读到本专题不证明平台已经升级。
+本专题描述 2026-10-14 的源码契约基线。组织基础、本人目录角色事实读取、SDK 组织切换、目录事实到应用角色的投影及 Native 组织行边界已有配套实现。目标站点是否部署了这些接口，需现场核实；安装新工具或读到本专题不证明平台已经升级。
 
 ## AI 识别场景与选择能力 {#scenario}
 
@@ -26,9 +26,9 @@
 | 当前人的可切换组织 | 已有平台会话 HTTP 与 `loadCurrentOrganizationMemberships()` | 读取本人活动成员列表，显示对应企业/学校选项 |
 | 当前工作组织、同会话切换 | 已有平台登录上下文、SDK `activeOrganizationId` 和 `switchCurrentOrganization()` 生命周期 | 在支持本契约的会话中读取/切换；不能从 URL 直接产生授权 |
 | 组织管理授权 | 已实现平台管理员授予人/部门，祖先授权覆盖后代 | 管理操作由平台核验；不能把“教育局成员”当作“全区管理员” |
-| 应用角色 `self` / `subtree` | 传统平台角色 CRUD 能保存 `organizationReach`；V2 声明与执行尚未接通 | 在设计中明确每个角色的组织覆盖意图，不向 V2 config 填入未支持字段 |
-| 家校事实到应用角色、班级范围的消费 | 本人事实 HTTP/SDK 读取已实现；业务角色与班级范围映射尚未接通 | 声明拟使用哪些事实及范围，将接入列为依赖；不能凭空调用 SDK |
-| 组织数据归属、隔离、后代可见与公共内容下发 | Native Data API 的组织边界尚未接通 | 不能宣称已经自动隔离或继承，也不能用前端筛选代替服务端权限 |
+| 应用角色 `self` / `subtree` | V2 声明、组织维度角色绑定和实时 SQL 准入已接通 | 声明每个角色的覆盖意图；旧应用未声明继续沿用原行为 |
+| 家校事实到应用角色、班级范围的消费 | `authz.directoryRoleSources` 由平台投影到应用角色和字符串 scope | 使用真实来源角色事实，目录派生绑定不能手工覆盖；事实退休立即拒绝旧投影 |
+| 组织数据归属、隔离、后代可见与内容下发 | `organization.mode=owned/inherited-down`、不可改归属及 RLS 已实现 | 声明策略并核验目标站点的配套能力，按真实组织角色验收允许和拒绝 |
 | 安装回调、每校自动定时同步、组织通知路由与链接生成 | 尚未完成整条自动接入 | 不假定安装完成后立即能登录，不假定消息自动选中正确安装 |
 
 平台管理组织的授权与应用业务授权是两种事实。能开通学校或查询组织树，不会自动获得该学校的业务数据权限；看到一条成员关系，也不会自动成为应用管理员。
@@ -102,7 +102,7 @@ SDK 通过应用 `/auth/organization/switch-surface` 取得真实浏览器会话
 
 成功、运输结果未知或服务器 5xx 时，SDK 失效旧授权、命令缓存和在途读取，通过 Runtime identity epoch 重读并重建页面。旧学校晚到的响应不会覆盖新学校数据。跨页只发送失效信号，不传身份或凭据；明确 4xx 拒绝保留原授权。切换写入不自动重放；结果未知先读回当前授权，不能把目标名称当成成功。组织切换不选择应用角色，也不是只收窄读取的 Perspective。
 
-完整 V2 role reach 和组织数据策略仍未接通，不能把切换后的角色列表或字段传递当作组织隔离证明。
+角色与数据隔离通过下面的显式声明启用；切换后的角色列表或字段传递仍不能替代实际行权限验收。
 
 ### 管理面接口
 
@@ -129,24 +129,51 @@ SDK 通过应用 `/auth/organization/switch-surface` 取得真实浏览器会话
 
 SDK 使用 `loadCurrentDirectoryRoleFacts({ limit, after, signal })`，返回 `DirectoryRoleFactPage`，包含 organizationId、userId、items、nextCursor。每个 item 包含 id、subjectId、source、roleCode、scopeType、scopeValue。客户端拒绝与当前 identity 不同组织/用户的响应，并在组织变化时丢弃旧读取，不自动拉取全部页面。
 
-读取来源事实不授予应用能力。业务角色、班级范围的可执行声明仍是后续接入项；不能以管理 upsert 或复制应用通讯录替代。
+读取来源事实不授予应用能力。使用下面的 `directoryRoleSources` 声明由平台派生角色及班级范围；不能以管理 upsert 或复制应用通讯录替代。
 
 ## 应用角色与数据边界 {#authorization}
 
-每个应用角色在设计中显式声明组织 reach，具体可执行的 V2 声明仍需后续接通：
+应用通过显式声明启用组织能力；编译器自动生成 `authz.organizations`、`authz.directory-roles` 和 `data.organizations` 的最低能力要求。目标平台不支持时拒绝激活，不能手改生成契约绕过协商。
 
-| reach 意图 | 适用范围 | 例子 |
-| --- | --- | --- |
-| `self` | 授予组织自身 | 学校教师只能在任职学校的业务范围操作 |
-| `subtree` | 授予组织及全部后代 | 获授权的上级管理人员处理被授予组织子树内的业务 |
+```ts
+authz: {
+  roles: [
+    { code: 'teacher', name: '教师', organizationReach: 'self', capabilities: teacherCapabilities },
+    { code: 'bureau', name: '区管理人员', organizationReach: 'subtree', capabilities: bureauCapabilities },
+  ],
+  scopeDimensions: [{ code: 'class', name: '班级', valueType: 'string' }],
+  directoryRoleSources: [{
+    code: 'teachers', name: '家校教师事实', source: 'dingtalk_school_contact',
+    roleFactCode: 'teacher', roleCode: 'teacher', failureMode: 'strict',
+    scopes: [{ dimensionCode: 'class', scopeType: 'class', operations: ['read', 'create', 'update'] }],
+  }],
+},
+data: {
+  resources: [{ code: 'assignments', name: '作业', organization: { mode: 'owned' }, fields: assignmentFields }],
+},
+```
+
+上例省略了应用自己的操作能力与班级行策略定义；`teacherCapabilities`、`bureauCapabilities` 和 `assignmentFields` 是应用变量，并非平台内置对象。班级字段保存真实来源字符串 ID，通过原 dataPolicy 的 `class` 维度核对。来源字符串不能绑定 Native UUID 维度、valueSource、resourceCode 或组织树层级。
+
+| 声明 | 语义 |
+| --- | --- |
+| `role.organizationReach = self` | 绑定在授予组织，只在该工作组织生效 |
+| `role.organizationReach = subtree` | 绑定在授予组织，在该组织和活动后代生效；不自动授予操作能力 |
+| `resource.organization.mode = owned` | 创建时记录归属可信工作组织。self 只操作本组织；subtree 可在其获准树内结合行策略操作 |
+| `resource.organization.mode = inherited-down` | 同 owned，额外允许获准角色读取工作组织的祖先内容；下级不能修改祖先内容 |
+| 未声明或 `none` | 沿用原无组织行为，不产生组织隔离 |
+
+角色的操作能力、字段能力、组织 reach 和班级行范围必须在同一条 membership 中成立。不能合并多个组织的班级范围，不能用 subtree 角色的组织范围借用另一角色的班级范围。上级普通成员没有 subtree，共享 unionId 也不合并各校授权。目录映射角色只能 self，不能与 Native roleMembershipSources 争用同一角色。
+
+目录源最多 32 个，每个源最多 16 个 scope；每次当前人、工作组织最多 512 个不同事实。超限、源失效、手工 shadow 冲突和更新锁竞争失败关闭；无变化的投影不更新 membership 或权限版本，也不与当前事务自己的角色锁冲突。目录派生绑定稳定且分组织，原始目录仍只有平台一份。本人读取不返回 raw 或 unionId。没有工作组织时，启用了目录映射的当前授权请求返回 `OPENXIANGDA_CURRENT_USER_ORGANIZATION_REQUIRED`。
 
-这是组织覆盖维度，与某资源的 `read/create/update/delete` 能力、班级 scope、行/字段策略分别组合。`subtree` 不自动授予修改权限；`self` 不是 Data API 的“记录属于当前人”谓词。上级学校/教育局的普通成员不会因层级自动成为管理员；共享 unionId 也不会把一个人在几所学校的权限合并到当前组织。
+手工给非目录角色授权使用现有 Native membership 管理面及 `createNativeRoleMembership`，新增可选 `organizationId`。组织角色必须明确目标，目标用户须是同租户活动安装的活动成员；平台管理员或应用管理员可管理。已有委托管理没有组织覆盖契约，不能扩大为跨校授权。更新不能换组织，目录派生角色的 create/update/revoke 均返回平台所有权拒绝。传统无组织角色不需要该字段。批量 create 也支持组织维度；重复目标以 user/role/organization 核对。
 
-当前传统平台角色 CRUD 能保存 `organizationReach`，不等于 V2 `authz.roles` 已支持此字段。当前权限引擎也没有已接通的“当前工作组织”内置行条件，不存在可使用的 `currentOrganization()` helper。不要手改生成契约、追加虚构 requiredPlatformCapabilities 或把所有学校授予一个 unrestricted 角色来替代组织边界。
+组织归属是平台保留列 `organization_id`，不是业务字段。组织资源的读回提供这一只读 UUID，可在 Data API 的筛选和聚合 dimensions 中按学校分组；写入包含它会被拒绝。传统资源不增加该字段。创建从可信当前用户派生，更新不可修改；历史 NULL 归属不会自动推断或回填，组织资源也不会放行。唯一键按组织分区；父子表需要同样的组织策略，复合外键防止跨组织关联。已启用资源不能通过下一版本移除组织策略来开放历史数据。
 
-组织数据权限还需把工作组织送入可信 Native principal，并执行数据归属、reach 与服务端行边界。在该接入完成前，以下都不能作为已支持行为交付：学校互相隔离；教育局只看/代操作全部下级数据；上级公共内容自动向后代开放。现有 `publicRead` 是已认证用户的公共字段投影，不等于组织树下发；匿名公开访问也不是跨学校共享机制。
+列表、直接 ID、聚合、导出及关联通过同一 Native RLS。命名 Nest 业务动作保留经过验证的当前用户/组织，继续核验短期调用证明、动作能力与同一 membership 的变更前后行范围。业务输入不能填充可信组织；没有当前用户证明的普通 application、后台或定时身份不获得组织资源权限。声明策略不自动授予服务身份全区访问。
 
-应用可以先设计业务模型、页面及明确的业务操作；数据访问仍走已有 Data API 和受支持的 Nest operation。涉及尚未接通的组织授权闭环，记录平台依赖和所需验收，不用前端隐藏、浏览器字段或另一套成员表绕过。
+组织上下文请求实时核对目录与成员，当前暂不使用授权快照缓存。fresh 和事务请求均不读取或保存未提交快照；Head 在准备期间变化要求刷新。安装、成员、账号、主体或事实撤销后，数据库下一条语句即拒绝。源码和独立 PostgreSQL 测试不证明目标站点已经部署，也不代表真实教师/家长验收。
 
 ## 入口、同步与通知的处理边界 {#entry-sync}
 
@@ -158,7 +185,7 @@ SDK 使用 `loadCurrentDirectoryRoleFacts({ limit, after, signal })`，返回 `D
 
 ## 开发前核对与验收 {#verification}
 
-1. 用项目锁定版本的 `context --json` / MCP `workspace_context` 确认平台绑定；用 `docs multi-organization` / `docs_read` 读取同版本正文。文档主题已注册，不代表 `platform_capabilities` 已有新的组织能力 code；当前不能仅凭缺少/出现某个虚构 feature 判断支持。
+1. 用项目锁定版本的 `context --json` / MCP `workspace_context` 确认平台绑定；用 `docs multi-organization` / `docs_read` 读取同版本正文。通过实际 `platform_capabilities` 核对配套声明的能力 code 和最低版本，不能把文档可读当成站点可用。
 2. 确认目标站点的源码/部署版本、正式 SQL 迁移与组织管理授权。资料版本、接口状态和实际启用分别记录；站点缺能力由平台维护者补齐，应用不自行执行迁移或发包。
 3. 在测试组织核实本人成员列表、真实企业名称、活动安装、profile/原始授权组织字段，验证同会话切换与非成员拒绝。不以单次 HTTP 200 代替响应 `code` 和业务事实。
 4. 使用家校角色前，确认平台已经提供可消费的事实读取及映射契约；使用 `self/subtree` 前，确认 V2 声明、可信上下文和服务端数据边界均已实现。未闭合就标记依赖，不能报告自动隔离通过。

package/documentation/reference/mcp.md

@@ -288,6 +288,327 @@ MCP 使用项目锁定的根包；在客户端配置下列 stdio 启动参数，
 {
   "type": "object",
   "oneOf": [
+    {
+      "type": "object",
+      "additionalProperties": false,
+      "properties": {
+        "operation": {
+          "const": "workflows.legacy-prepare",
+          "description": "准备旧审批当前节点接续，冻结原申请人、轮次、历史和Native业务单"
+        },
+        "environment": {
+          "type": "string",
+          "enum": [
+            "test",
+            "production"
+          ]
+        },
+        "input": {
+          "type": "object",
+          "additionalProperties": false,
+          "properties": {
+            "schemaVersion": {
+              "const": "openxiangda.workflow-legacy-adoption-prepare/v2"
+            },
+            "requestKey": {
+              "type": "string",
+              "minLength": 1,
+              "maxLength": 128
+            },
+            "reason": {
+              "type": "string",
+              "minLength": 1,
+              "maxLength": 1000
+            },
+            "expectedHeadRevision": {
+              "type": "integer",
+              "minimum": 1,
+              "maximum": 9007199254740991
+            },
+            "workflowCode": {
+              "type": "string",
+              "minLength": 1,
+              "maxLength": 128,
+              "pattern": "^[a-z][a-z0-9]*(?:-[a-z0-9]+)*$"
+            },
+            "resourceCode": {
+              "type": "string",
+              "minLength": 1,
+              "maxLength": 128,
+              "pattern": "^[a-z][a-z0-9]*(?:-[a-z0-9]+)*$"
+            },
+            "recordId": {
+              "type": "string",
+              "minLength": 1,
+              "maxLength": 36,
+              "pattern": "^[0-9a-fA-F]{8}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{12}$"
+            },
+            "expectedRevision": {
+              "type": "integer",
+              "minimum": 1,
+              "maximum": 9007199254740991
+            },
+            "source": {
+              "type": "object",
+              "additionalProperties": false,
+              "properties": {
+                "system": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 128,
+                  "pattern": "^[a-z][a-z0-9]*(?:-[a-z0-9]+)*$"
+                },
+                "recordKey": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 255
+                },
+                "snapshotSha256": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 64,
+                  "pattern": "^[0-9a-f]{64}$"
+                },
+                "recordSha256": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 64,
+                  "pattern": "^[0-9a-f]{64}$"
+                }
+              },
+              "required": [
+                "system",
+                "recordKey",
+                "snapshotSha256",
+                "recordSha256"
+              ]
+            },
+            "checkpoint": {
+              "type": "object",
+              "additionalProperties": false,
+              "properties": {
+                "initiatorUserId": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 36,
+                  "pattern": "^[0-9a-fA-F]{8}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{12}$"
+                },
+                "approvalRound": {
+                  "type": "integer",
+                  "minimum": 1,
+                  "maximum": 2147483647
+                },
+                "currentNodeId": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 128,
+                  "pattern": "^[a-z][a-z0-9]*(?:-[a-z0-9]+)*$"
+                },
+                "initiatorField": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 63,
+                  "pattern": "^[A-Za-z][A-Za-z0-9_]{0,62}$"
+                },
+                "initiatorIdentityField": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 63,
+                  "pattern": "^[A-Za-z][A-Za-z0-9_]{0,62}$"
+                },
+                "roundField": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 63,
+                  "pattern": "^[A-Za-z][A-Za-z0-9_]{0,62}$"
+                },
+                "stateField": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 63,
+                  "pattern": "^[A-Za-z][A-Za-z0-9_]{0,62}$"
+                },
+                "stateValue": {
+                  "type": "string",
+                  "minLength": 1,
+                  "maxLength": 255
+                },
+                "history": {
+                  "type": "array",
+                  "maxItems": 64,
+                  "items": {
+                    "type": "object",
+                    "additionalProperties": false,
+                    "properties": {
+                      "nodeId": {
+                        "type": "string",
+                        "minLength": 1,
+                        "maxLength": 128,
+                        "pattern": "^[a-z][a-z0-9]*(?:-[a-z0-9]+)*$"
+                      },
+                      "reviewerDisplay": {
+                        "type": "string",
+                        "minLength": 1,
+                        "maxLength": 255
+                      },
+                      "reviewedAt": {
+                        "type": "string",
+                        "minLength": 1,
+                        "maxLength": 64
+                      },
+                      "opinion": {
+                        "type": "string",
+                        "maxLength": 8192
+                      },
+                      "reviewerField": {
+                        "type": "string",
+                        "minLength": 1,
+                        "maxLength": 63,
+                        "pattern": "^[A-Za-z][A-Za-z0-9_]{0,62}$"
+                      },
+                      "reviewedAtField": {
+                        "type": "string",
+                        "minLength": 1,
+                        "maxLength": 63,
+                        "pattern": "^[A-Za-z][A-Za-z0-9_]{0,62}$"
+                      },
+                      "opinionField": {
+                        "type": "string",
+                        "minLength": 1,
+                        "maxLength": 63,
+                        "pattern": "^[A-Za-z][A-Za-z0-9_]{0,62}$"
+                      }
+                    },
+                    "required": [
+                      "nodeId",
+                      "reviewerDisplay",
+                      "reviewedAt",
+                      "opinion",
+                      "reviewerField",
+                      "reviewedAtField",
+                      "opinionField"
+                    ]
+                  }
+                }
+              },
+              "required": [
+                "initiatorUserId",
+                "approvalRound",
+                "currentNodeId",
+                "initiatorField",
+                "initiatorIdentityField",
+                "roundField",
+                "stateField",
+                "stateValue",
+                "history"
+              ]
+            }
+          },
+          "required": [
+            "schemaVersion",
+            "requestKey",
+            "reason",
+            "expectedHeadRevision",
+            "workflowCode",
+            "resourceCode",
+            "recordId",
+            "expectedRevision",
+            "source",
+            "checkpoint"
+          ]
+        }
+      },
+      "required": [
+        "operation",
+        "environment",
+        "input"
+      ]
+    },
+    {
+      "type": "object",
+      "additionalProperties": false,
+      "properties": {
+        "operation": {
+          "const": "workflows.legacy-apply",
+          "description": "按原计划摘要原子接续当前节点，仅创建当前待办"
+        },
+        "environment": {
+          "type": "string",
+          "enum": [
+            "test",
+            "production"
+          ]
+        },
+        "input": {
+          "type": "object",
+          "additionalProperties": false,
+          "properties": {
+            "schemaVersion": {
+              "const": "openxiangda.workflow-legacy-adoption-apply/v2"
+            },
+            "planId": {
+              "type": "string",
+              "minLength": 1,
+              "maxLength": 36,
+              "pattern": "^[0-9a-fA-F]{8}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{12}$"
+            },
+            "expectedPlanDigest": {
+              "type": "string",
+              "minLength": 1,
+              "maxLength": 64,
+              "pattern": "^[0-9a-f]{64}$"
+            }
+          },
+          "required": [
+            "schemaVersion",
+            "planId",
+            "expectedPlanDigest"
+          ]
+        }
+      },
+      "required": [
+        "operation",
+        "environment",
+        "input"
+      ]
+    },
+    {
+      "type": "object",
+      "additionalProperties": false,
+      "properties": {
+        "operation": {
+          "const": "workflows.legacy-receipt",
+          "description": "读取旧审批接续准备或执行回执"
+        },
+        "environment": {
+          "type": "string",
+          "enum": [
+            "test",
+            "production"
+          ]
+        },
+        "input": {
+          "type": "object",
+          "additionalProperties": false,
+          "properties": {
+            "planId": {
+              "type": "string",
+              "minLength": 1,
+              "maxLength": 36,
+              "pattern": "^[0-9a-fA-F]{8}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{12}$"
+            }
+          },
+          "required": [
+            "planId"
+          ]
+        }
+      },
+      "required": [
+        "operation",
+        "environment",
+        "input"
+      ]
+    },
     {
       "type": "object",
       "additionalProperties": false,

package/documentation/workflow-events.md

@@ -1261,3 +1261,24 @@ pnpm openxiangda workflow sync request-review --from production --to test \
 新节点尚未填完标准成员/角色时可以保存草稿；正式发布与办理覆盖仍完整校验。服务端重新读取实际上下文，不信任浏览器自报目录或已校验标志。AI提案同样经过原binding/canvas门禁；不能把草稿可保存解释为可发布。
 
 冲突、失权或结果未知时保留整个assignment及原operationId，不自动合并分支、不静默丢失条件。已进入流程的任务仍使用原冻结快照，新的规则不回写历史任务。源码同步、配置与发布分别核对原Head/版本和操作回执。
+
+
+### 应用事务拥有的业务待办
+
+预约分配、结算确认等非 Workflow 的业务任务，可由同一 Native 事务写入业务状态并
+发送不可变自定义事件。订阅显式声明
+`platformAccess.notification: { mode: 'business-task', taskCodes: ['booking-review'] }`，
+验证签名的 Nest 事件消费者使用 `OpenXiangdaBusinessNotificationService.sendTaskFromEvent`。
+平台协商 `notification-hub-v2.event-tasks` 能力并检查当前运行 Head 和封存的任务代码清单。
+
+输入使用 `openxiangda.notification.event-task-send/v2`，通过 taskCodePath、recordKeyPath、
+generationPath、sequencePath、statePath、recipientPaths、titlePath 和可选 summaryPath
+投影原事件，状态只能是 action_required/completed/rejected/cancelled。不接收调用者
+自拟收件人或消息键。navigationTarget 使用同应用 AUTHENTICATED APP_ROUTE，原页面
+重新验证办理权限；不生成 Workflow 回调或审批令牌。
+
+同一业务键和轮次只产生一个待办；重新申请必须创建新的 generation。终态先到、
+乱序和重试不会重新打开旧待办。应用应冻结原任务收件人，在原业务事务中关闭旧轮次
+并创建下一轮，不因管理员变化覆盖旧任务。此能力复用平台任务中心、通知发件箱、
+供应方关闭和审计；普通 informational 通知仍不能创建待办。业务提交成功不等于
+供应方投递或用户收到，分别核对业务回执、事件投递和消息详情。