pomaster 0.3.0 → 0.5.0

package/seeds/specs/hard/themes/performance-and-capacity.md

@@ -0,0 +1,226 @@
+---
+seed_source: packages/cli/seeds/aggregation-manifest.json
+seed_source_sha256: 039b637ccffacdfe3ce30d85e193f4b38928fcdfb16efdc4eb255e35e05af91f
+seed_version: B7-THEME
+lane: [frontend, backend]
+status: CURRENT
+authority_scope: mixed_required_and_advisory
+applies_to: [frontend, backend]
+related_evidence_specs: []
+related_tools: []
+legacy_id: theme:performance-and-capacity
+criticality: standard # 聚合注记：取源最高；info 性注记非执行语义
+injection_mode: triggered # 聚合注记：来源同值；info 性注记非执行语义
+stages: [prepare, check, release] # 聚合注记：来源 stages 并集；info 性注记非执行语义
+triggers: [performance, capacity] # 聚合注记：来源 triggers 并集；info 性注记非执行语义
+requires: [] # 聚合注记：来源 requires 并集（全空）
+x-aggregation: # 聚合来源（D6）：逐源 vendor pin（sha256 与卡 vendor_pin 同值）
+  - seed_source: pomaster/components/frontend-hard-spec/assets/universal/31-performance-protocol.md
+    sha256: 416ff411c75e538feec3aad8be5e733b95913580fd937c0abebd16aa0d21608c
+    seed_version: B6B-2
+  - seed_source: pomaster/components/backend-hard-spec/assets/universal/30-performance-capacity-protocol.md
+    sha256: b575dd07e4bb6def646acb55c3d62d086a9fd12035b2ab359ec353bf443773e5
+    seed_version: B6C
+---
+
+# 性能与容量
+
+> **聚合纪律**：本文档 12 节正文规则行逐字取自 frontmatter x-aggregation 所列来源协议（节内按「端 → 源编号升序」以加粗来源行分块，源内标题与层级原样保留），零新增、零改写、零删除；新增文本仅限文档标题、本注记与逐节来源行。
+
+## Scope
+
+**源：FE 31 性能协议（pomaster/components/frontend-hard-spec/assets/universal/31-performance-protocol.md）**
+
+P1。定义首屏、包体、请求、列表、表格、图表、长任务和渲染稳定的性能规则。
+
+**源：BE 30 性能与容量协议（pomaster/components/backend-hard-spec/assets/universal/30-performance-capacity-protocol.md）**
+
+规范延迟、吞吐、连接池、线程、批处理、背压、容量和压测证据。
+
+## Non-Scope
+
+**源：FE 31 性能协议**
+
+不替代后端容量规划和基础设施性能，不允许只追分数牺牲正确性。
+
+**源：BE 30 性能与容量协议**
+
+不在 universal 中规定具体数值阈值或硬件规模。
+
+## Terms
+
+**源：FE 31 性能协议**
+
+- Performance Budget：可验证的时间、大小或资源阈值。
+- Core Web Vitals：LCP、INP、CLS 等反映加载、交互响应和视觉稳定性的用户体验指标。
+- RUM Distribution：按页面类型、设备、网络、浏览器、版本和采样窗口聚合的真实用户指标分布。
+- Virtualization：仅渲染可见窗口数据。
+- Stale Response：已被新请求替代的旧响应。
+
+**源：BE 30 性能与容量协议**
+
+性能预算是由业务目标与运行环境确认的可测量约束。
+
+## MUST
+
+**源：FE 31 性能协议 · §MUST**
+
+- 定义首屏、包体、交互和核心页面预算。
+- 路由、图表和重组件按需加载。
+- 大列表服务端分页，宽表虚拟化。
+- 搜索防抖、旧请求取消、过期响应丢弃。
+- 长任务异步执行并可恢复。
+- 性能变更用同数据量测量并记录结果。
+- 性能预算必须区分实验室数据与真实用户数据，记录设备、网络、浏览器、采样窗口、指标版本和 p75 等统计口径。
+- 启用真实用户监测时，核心 Web Vitals 应按当前稳定定义分设备评估；默认参考目标为 p75 的 LCP ≤ 2.5s、INP ≤ 200ms、CLS ≤ 0.1，项目可基于证据收紧或批准例外。
+- LCP、INP、CLS、FCP、TTFB、长任务和关键业务交互预算必须声明数据源、指标版本、测量起止点、样本下限、排除规则、聚合窗口和适用页面类型；p75 用于主要放行判断，p95/p99 用于尾部退化诊断。
+- RUM 报告必须按页面类型、设备类别、网络类别、浏览器和应用版本切分，实验室结果不得冒充真实用户分布；运行采集与传输韧性引用 `34-monitoring-logging-protocol`。
+- 页面隐藏、恢复与离开时必须暂停不必要工作并释放资源，恢复后重新校验数据新鲜度；遵守浏览器运行时生命周期协议。
+
+### 分层性能责任（按目录层级）
+
+性能是架构期约束，按目录层级分担责任；每层有明确的性能检查点与禁止行为。层级划分与 `09-module-boundary-protocol` 一致。
+
+- **app 层 — 应用启动性能**：初始化代码、Provider 数量、全局插件、首屏依赖必须精简。路由必须懒加载（router-level lazy loading）。MUST NOT 在应用入口（如 `main.ts`）直接同步 import 重型编辑器、图表库或大表组件（用户打开登录页即加载整个系统能力 → 首屏变慢）。
+- **platform 层 — 状态管理性能**：server state 走 Query Cache，local UI state 走状态库（如 Pinia）。MUST NOT 在全局 store 存储大量业务数据（如 10 万 BOM 节点入 Pinia → reactive 开销、刷新慢、内存增加）。
+- **api 层 — 网络性能治理**：页面初始化请求必须并行或由后端聚合。MUST NOT 串行发起可并行的请求（如打开页面串行 GET user/permission/menu/bom/supplier/price/config = N×RTT）。
+- **domain 层 — 计算性能**：实时轻计算在前端，重计算后台异步。MUST NOT 前端遍历大数据全集做计算（如改一个零件价格就遍历 10 万 BOM 节点 → CPU 100%、页面冻结）。
+- **feature 层 — 页面级性能**：页面进入核心优先、非核心延迟加载（如 BOM 编辑页：核心表格先加载，历史/图表/分析延迟）。MUST NOT 一次加载页面全部重组件。
+- **shared 层 — 公共组件性能**：Table / Tree / Select / Form / Modal / Virtual List 面对大数据必须虚拟滚动或分页。MUST NOT 大列表用普通 `v-for` 渲染全量数据（如 10000 行表格普通渲染）。
+
+**源：BE 30 性能与容量协议 · §MUST**
+
+- 性能结论必须绑定负载模型、数据规模、环境、版本和统计口径。
+
+## MUST NOT
+
+**源：FE 31 性能协议 · §MUST NOT**
+
+- MUST NOT 一次渲染大数据全部节点。
+- MUST NOT 每次按键立即请求。
+- MUST NOT 让旧响应覆盖新状态。
+- MUST NOT 在 render 中执行复杂计算。
+- MUST NOT 为追求性能分数牺牲安全、正确性、可访问性或用户可恢复性。
+- MUST NOT 混用不同版本、不同环境或不同统计口径的性能结果作直接回归结论。
+- MUST NOT 只报告平均值而省略样本量、分位数、窗口和切分维度。
+- MUST NOT 在本协议定义业务行为漏斗或事件用途；这些规则归 `40-analytics-protocol`。
+- MUST NOT 在应用入口同步 import 重型编辑器、图表库或大表组件（首屏重依赖）。
+- MUST NOT 在全局状态库存储大量业务数据（server state 须走 Query Cache）。
+- MUST NOT 串行发起可并行的页面初始化请求（须并行或后端聚合）。
+- MUST NOT 前端遍历大数据全集做计算（须实时轻计算 + 后台异步重计算）。
+- MUST NOT 一次加载页面全部重组件（须核心优先、非核心延迟加载）。
+- MUST NOT 大列表用普通 `v-for` 渲染全量数据（须虚拟滚动或分页）。
+
+**源：BE 30 性能与容量协议 · §MUST NOT**
+
+- 不得用单次本地耗时、平均值或无代表性数据声称满足容量。
+
+## SHOULD
+
+**源：FE 31 性能协议 · §SHOULD**
+
+- SHOULD 监控真实用户核心指标和业务交互时间。
+- SHOULD 同时观察 p75 与 p95/p99，区分总体回归和长尾退化，并为样本不足标记不可判定而非假定通过。
+- SHOULD 保持行高、工具栏和 loading 尺寸稳定。
+
+**源：BE 30 性能与容量协议 · §SHOULD**
+
+- 应同时观察尾延迟、错误率、资源、排队、背压和依赖瓶颈。
+
+## Contract
+
+**源：FE 31 性能协议 · §Contract**
+
+```text
+Scenario, DatasetSize, BudgetMetric, Threshold,
+MeasurementMethod, DataSource, MetricVersion, SampleWindow, SampleSize,
+Percentile, Dimensions, Baseline, Owner
+```
+
+分层性能责任契约（按目录层级，与 `09-module-boundary-protocol` 层级一致）：
+
+```text
+Layer, Responsibility, CheckPoint, Forbidden
+app, 启动性能/路由懒加载, 入口依赖 + Provider/插件数 + 首屏包, 入口同步 import 重型组件
+platform, 状态管理性能, server vs local 归属 + store 数据量, 全局 store 存大数据
+api, 网络性能, 请求并行/聚合 + 串行风暴, 可并行请求串行发起
+domain, 计算性能, 实时轻计算 + 后台异步, 前端遍历大数据全集
+feature, 页面级性能, 核心优先 + 非核心延迟, 一次加载全部重组件
+shared, 公共组件性能, 虚拟滚动/分页, 大列表普通 v-for
+```
+
+**源：BE 30 性能与容量协议 · §Contract**
+
+容量计划必须包含场景、预算、峰值、瓶颈、扩缩容和降级策略。
+
+## Checklist
+
+**源：FE 31 性能协议 · §Checklist**
+
+- [ ] 预算和数据量明确。
+- [ ] 分包、分页、虚拟化合理。
+- [ ] 请求并发安全。
+- [ ] 有测量证据。
+- [ ] 实验室/真实用户口径、指标版本和分位数已记录。
+- [ ] LCP/INP/CLS 等预算含数据源、样本下限、窗口、排除规则和页面适用范围。
+- [ ] RUM 报告包含 p75 主要口径与 p95/p99 长尾诊断，样本不足不会被提升为通过。
+- [ ] 隐藏、恢复与离开场景无无效工作和资源泄漏。
+- [ ] 分层性能责任已按 app/platform/api/domain/feature/shared 分担，每层检查点与禁止行为已确认。
+
+**源：BE 30 性能与容量协议 · §Checklist**
+
+- [ ] 连接池、线程池、队列、批量、缓存与数据库联动已验证。
+
+## Examples
+
+**源：FE 31 性能协议 · §Examples**
+
+### 内容示例，可删除
+
+筛选输入防抖并取消旧请求，详情抽屉按需加载，导出创建后台任务。
+
+**源：BE 30 性能与容量协议 · §Examples**
+
+- 在目标数据量和并发模型下报告 p95/p99、错误率与资源曲线。
+
+## Anti-patterns
+
+**源：FE 31 性能协议 · §Anti-patterns**
+
+下载十万行到浏览器假分页，导致内存和交互崩溃。
+
+应用入口同步 import 重型编辑器/图表/大表组件，导致登录页首屏被拖慢。
+
+全局 Pinia store 存储 10 万 BOM 节点，reactive 开销致刷新慢、内存涨。
+
+打开页面串行发起 6 个可并行请求，体验 N×RTT。
+
+修改一个零件价格即遍历 10 万 BOM 节点重新计算，CPU 100%、页面冻结。
+
+10000 行表格用普通 `v-for` 渲染，未虚拟滚动。
+
+**源：BE 30 性能与容量协议 · §Anti-patterns**
+
+- 盲目增大池大小导致下游过载和更长排队。
+
+## Ownership
+
+**源：FE 31 性能协议 · §Ownership**
+
+前端性能 Owner 维护预算，模块 Owner 修复回归，后端 Owner 配合数据和接口容量。
+
+**源：BE 30 性能与容量协议 · §Ownership**
+
+业务 Owner 提供负载目标，Backend 与运行角色验证容量。
+
+## Change Policy
+
+**源：FE 31 性能协议 · §Change Policy**
+
+预算放宽必须有数据和批准；新增重依赖或核心页面需建立基线。
+
+**源：BE 30 性能与容量协议 · §Change Policy**
+
+预算或容量模型变化必须记录来源并重新运行代表性测试。
+
+> **语言节**：本主题无语言节挂点（缺席诚实）；规则本体即上文通用节。

package/seeds/specs/hard/themes/permission-and-authorization.md

@@ -0,0 +1,168 @@
+---
+seed_source: packages/cli/seeds/aggregation-manifest.json
+seed_source_sha256: 039b637ccffacdfe3ce30d85e193f4b38928fcdfb16efdc4eb255e35e05af91f
+seed_version: B7-THEME
+lane: [frontend, backend]
+status: CURRENT
+authority_scope: mixed_required_and_advisory
+applies_to: [frontend, backend]
+related_evidence_specs: []
+related_tools: []
+legacy_id: theme:permission-and-authorization
+criticality: critical # 聚合注记：取源最高；info 性注记非执行语义
+injection_mode: triggered # 聚合注记：来源同值；info 性注记非执行语义
+stages: [prepare, implement, check] # 聚合注记：来源 stages 并集；info 性注记非执行语义
+triggers: [authorization, tenant, data-scope] # 聚合注记：来源 triggers 并集；info 性注记非执行语义
+requires: [] # 聚合注记：来源 requires 并集（全空）
+x-aggregation: # 聚合来源（D6）：逐源 vendor pin（sha256 与卡 vendor_pin 同值）
+  - seed_source: pomaster/components/frontend-hard-spec/assets/universal/17-permission-protocol.md
+    sha256: 3f51aeb30497c07a3b552c8f21ecff22730d276c85fd504fde16e9e17b622ec0
+    seed_version: B6B-1
+  - seed_source: pomaster/components/backend-hard-spec/assets/universal/17-permission-authorization-protocol.md
+    sha256: d85a431b682a3a7c3dd4a6ee1f67fc375b54edb4a8e7fe98d283103b64a6b41e
+    seed_version: B6C
+---
+
+# 权限与鉴权
+
+> **聚合纪律**：本文档 12 节正文规则行逐字取自 frontmatter x-aggregation 所列来源协议（节内按「端 → 源编号升序」以加粗来源行分块，源内标题与层级原样保留），零新增、零改写、零删除；新增文本仅限文档标题、本注记与逐节来源行。
+
+## Scope
+
+**源：FE 17 权限协议（pomaster/components/frontend-hard-spec/assets/universal/17-permission-protocol.md）**
+
+P1。定义菜单、页面、按钮、字段、数据范围和接口权限的前端一致表现。
+
+**源：BE 17 权限与鉴权协议（pomaster/components/backend-hard-spec/assets/universal/17-permission-authorization-protocol.md）**
+
+规范操作权限、数据范围、租户隔离、资源归属和字段脱敏。
+
+## Non-Scope
+
+**源：FE 17 权限协议**
+
+不替代后端鉴权，不允许前端扩大或计算权威数据权限。
+
+**源：BE 17 权限与鉴权协议**
+
+不替代认证机制、业务状态规则或隐私保留决策。
+
+## Terms
+
+**源：FE 17 权限协议**
+
+- Operation Permission：可执行某动作。
+- Field Permission：字段可见、脱敏、只读或编辑。
+- Data Scope：允许访问的数据集合。
+
+**源：BE 17 权限与鉴权协议**
+
+数据范围是主体在当前租户、角色与资源关系下可访问的记录集合。
+
+## MUST
+
+**源：FE 17 权限协议 · §MUST**
+
+- 菜单、路由、按钮、字段和接口使用同一权限语义。
+- 直达 URL 仍经过页面权限守卫。
+- 字段权限明确可见、脱敏、只读和编辑策略。
+- 数据范围由后端过滤并影响查询、详情和导出。
+- 权限不足提供一致、可解释状态。
+
+**源：BE 17 权限与鉴权协议 · §MUST**
+
+- 每个受保护操作必须在服务端验证主体、操作、租户、数据范围和资源归属。
+
+## MUST NOT
+
+**源：FE 17 权限协议 · §MUST NOT**
+
+- MUST NOT 只隐藏菜单或按钮而省略后端鉴权。
+- MUST NOT 前端获取全量数据后自行过滤敏感内容。
+- MUST NOT 按角色名称硬编码权限。
+- MUST NOT 将 Feature Flag 当权限。
+
+**源：BE 17 权限与鉴权协议 · §MUST NOT**
+
+- 不得只依赖路由隐藏、按钮状态或客户端传入的租户与 owner。
+
+## SHOULD
+
+**源：FE 17 权限协议 · §SHOULD**
+
+- SHOULD 使用统一 gate/hook/component。
+- SHOULD 对禁用动作展示只读原因。
+
+**源：BE 17 权限与鉴权协议 · §SHOULD**
+
+- 应采用集中策略并测试越权、跨租户、批量与导出场景。
+
+## Contract
+
+**源：FE 17 权限协议 · §Contract**
+
+```text
+PermissionCode, Resource, Action, FieldPolicy?,
+DataScope?, BackendEnforcement, DeniedPresentation
+```
+
+**源：BE 17 权限与鉴权协议 · §Contract**
+
+权限契约必须定义主体、资源、动作、范围、拒绝语义和审计。
+
+## Checklist
+
+**源：FE 17 权限协议 · §Checklist**
+
+- [ ] 菜单到接口一致。
+- [ ] URL 无法绕过。
+- [ ] 字段和数据范围安全。
+- [ ] 无权限状态可解释。
+
+**源：BE 17 权限与鉴权协议 · §Checklist**
+
+- [ ] 单条、列表、搜索、批量、导入与导出均执行一致范围控制。
+
+## Examples
+
+**源：FE 17 权限协议 · §Examples**
+
+### 内容示例，可删除
+
+无导出权限时入口按产品策略隐藏或禁用，后端导出接口仍拒绝请求。
+
+**源：BE 17 权限与鉴权协议 · §Examples**
+
+- 查询在数据库条件中收紧租户与数据范围，而不是返回后再过滤。
+
+## Anti-patterns
+
+**源：FE 17 权限协议 · §Anti-patterns**
+
+前端按 `role === 'admin'` 显示全部按钮，并认为无需后端校验。
+
+**源：BE 17 权限与鉴权协议 · §Anti-patterns**
+
+- 只检查角色名，不检查目标资源归属和字段敏感级别。
+
+## Ownership
+
+**源：FE 17 权限协议 · §Ownership**
+
+业务/安全 Owner 定义权限，后端执行鉴权，前端平台维护统一呈现。
+
+**源：BE 17 权限与鉴权协议 · §Ownership**
+
+BP 定义业务权限语义，Backend 执行最终授权。
+
+## Change Policy
+
+**源：FE 17 权限协议 · §Change Policy**
+
+权限码和数据范围变化必须同步菜单、路由、缓存、接口、测试和审计。
+
+**源：BE 17 权限与鉴权协议 · §Change Policy**
+
+扩大权限范围必须经过正式业务确认、安全评审和回归测试。
+
+> **语言节**：本主题无语言节挂点（缺席诚实）；规则本体即上文通用节。

package/seeds/specs/hard/themes/privacy-and-data-lifecycle.md

@@ -0,0 +1,176 @@
+---
+seed_source: packages/cli/seeds/aggregation-manifest.json
+seed_source_sha256: 039b637ccffacdfe3ce30d85e193f4b38928fcdfb16efdc4eb255e35e05af91f
+seed_version: B7-THEME
+lane: [frontend, backend]
+status: CURRENT
+authority_scope: mixed_required_and_advisory
+applies_to: [frontend, backend]
+related_evidence_specs: []
+related_tools: []
+legacy_id: theme:privacy-and-data-lifecycle
+criticality: critical # 聚合注记：取源最高；info 性注记非执行语义
+injection_mode: triggered # 聚合注记：来源同值；info 性注记非执行语义
+stages: [prepare, implement, check, release] # 聚合注记：来源 stages 并集；info 性注记非执行语义
+triggers: [sensitive-data, privacy, data-export] # 聚合注记：来源 triggers 并集；info 性注记非执行语义
+requires: [] # 聚合注记：来源 requires 并集（全空）
+x-aggregation: # 聚合来源（D6）：逐源 vendor pin（sha256 与卡 vendor_pin 同值）
+  - seed_source: pomaster/components/frontend-hard-spec/assets/universal/44-privacy-data-lifecycle-protocol.md
+    sha256: 5b3472bba296c1bb437c3ce41e1c937b636605e39b78cf06747d1010e46ba08e
+    seed_version: B6B-2
+  - seed_source: pomaster/components/backend-hard-spec/assets/universal/13-privacy-data-lifecycle-protocol.md
+    sha256: df20ccb85008f8744ea16db3ea64e54bdf9fd19d7aa3098c45dc44fff94c3d8d
+    seed_version: B6C
+---
+
+# 隐私与数据生命周期
+
+> **聚合纪律**：本文档 12 节正文规则行逐字取自 frontmatter x-aggregation 所列来源协议（节内按「端 → 源编号升序」以加粗来源行分块，源内标题与层级原样保留），零新增、零改写、零删除；新增文本仅限文档标题、本注记与逐节来源行。
+
+## Scope
+
+**源：FE 44 隐私与客户端数据生命周期协议（pomaster/components/frontend-hard-spec/assets/universal/44-privacy-data-lifecycle-protocol.md）**
+
+P0。约束个人、敏感和可关联数据在前端的收集、访问、传输、存储、复制、第三方共享、保留、撤回与清理。
+
+**源：BE 13 隐私与数据生命周期协议（pomaster/components/backend-hard-spec/assets/universal/13-privacy-data-lifecycle-protocol.md）**
+
+规范数据最小化、分类、脱敏、保留、删除、导出、接收方与审计。
+
+## Non-Scope
+
+**源：FE 44 隐私与客户端数据生命周期协议**
+
+不替代适用法律、组织隐私政策、后端数据治理或安全控制；安全负责防止未授权访问，隐私还负责数据是否必要以及应保留多久。
+
+**源：BE 13 隐私与数据生命周期协议**
+
+不替代一般安全控制或业务合法性确认。
+
+## Terms
+
+**源：FE 44 隐私与客户端数据生命周期协议**
+
+- Data Purpose：收集或处理数据的明确用户/业务目的。
+- Data Minimization：仅处理实现已批准目的所需的最少数据。
+- User Control：同意、拒绝、撤回、删除或选择数据范围的有效机制。
+- Privacy Boundary：数据进入浏览器、第三方 SDK、剪贴板、通知、下载或监控系统的边界。
+
+**源：BE 13 隐私与数据生命周期协议**
+
+生命周期覆盖收集、传输、存储、使用、共享、导出、保留与删除。
+
+## MUST
+
+**源：FE 44 隐私与客户端数据生命周期协议 · §MUST**
+
+- 每类受保护数据必须声明分类、目的、来源、接收方、客户端存储、保留期、删除触发器、用户控制和 Owner。
+- 请求、缓存、日志、埋点和第三方共享必须限制为已批准目的所需的最小字段和最小精度。
+- 浏览器存储、草稿、下载、剪贴板和通知必须遵守身份、租户、权限、过期和清理策略。
+- 注销、切换账号/租户、权限降低、目的撤回或数据过期时，必须停止相关处理并清理无权继续保留的数据与运行时资源。
+- 在政策要求同意或选择时，数据采集和第三方 SDK 必须在有效选择之后启用；撤回必须阻止后续采集且不得暗中回退。
+- 调用摄像头、麦克风、位置、剪贴板等敏感能力必须由可理解的用户动作触发，并提供拒绝后的安全路径。
+- 第三方脚本和数据目的必须有清单、字段白名单、目标域、保留策略、禁用方式和负责人。
+- 客户端持久化内容读取时必须视为不可信输入，并执行 schema、身份、权限和版本校验。
+
+**源：BE 13 隐私与数据生命周期协议 · §MUST**
+
+- 敏感数据必须有目的、来源、接收方、保留期、删除触发与访问控制。
+
+## MUST NOT
+
+**源：FE 44 隐私与客户端数据生命周期协议 · §MUST NOT**
+
+- MUST NOT 为“以后可能有用”收集、传输或长期保留额外数据。
+- MUST NOT 将敏感原值、搜索原文、文件内容或可识别信息放入 URL、日志、trace、埋点或未批准第三方载荷。
+- MUST NOT 将去标识化、哈希或内部 ID 自动视为匿名且无隐私风险。
+- MUST NOT 用客户端存储内容证明身份、权限或用户已同意。
+- MUST NOT 通过默认勾选、阻碍撤回或与目的无关的强制授权获取选择。
+
+**源：BE 13 隐私与数据生命周期协议 · §MUST NOT**
+
+- 不得因“以后可能有用”收集或无限期保留数据。
+
+## SHOULD
+
+**源：FE 44 隐私与客户端数据生命周期协议 · §SHOULD**
+
+- SHOULD 对新增浏览器权限、稳定标识符、第三方 SDK、跨域传输和持久化数据进行隐私评审。
+- SHOULD 为数据访问、导出、删除、撤回和过期清理建立可测试路径。
+- SHOULD 优先在本地或边界处聚合、截断或脱敏，避免传输不必要原值。
+
+**源：BE 13 隐私与数据生命周期协议 · §SHOULD**
+
+- 应在非必要场景使用最小字段、脱敏值或不可逆标识。
+
+## Contract
+
+**源：FE 44 隐私与客户端数据生命周期协议 · §Contract**
+
+```text
+DataClass, Purpose, MinimumFields, Source, Recipients[],
+ClientStorage, Retention, DeletionTriggers[], UserControl,
+ThirdPartyPolicy, Redaction, Owner, Evidence
+```
+
+**源：BE 13 隐私与数据生命周期协议 · §Contract**
+
+数据设计必须记录分类、处理目的、存储位置、流向、保留与删除证据。
+
+## Checklist
+
+**源：FE 44 隐私与客户端数据生命周期协议 · §Checklist**
+
+- [ ] 每类数据有明确目的和最小字段。
+- [ ] 存储、保留、撤回和清理可执行。
+- [ ] 第三方和遥测载荷已白名单化。
+- [ ] 身份、租户和权限变化不会遗留数据。
+- [ ] 敏感权限有拒绝和撤回路径。
+
+**源：BE 13 隐私与数据生命周期协议 · §Checklist**
+
+- [ ] URL、日志、trace、缓存、导出和备份均已检查敏感数据。
+
+## Examples
+
+**源：FE 44 隐私与客户端数据生命周期协议 · §Examples**
+
+### 内容示例，可删除
+
+分析事件只发送批准的事件 key、粗粒度结果和随机 operation id；搜索原文、用户输入和业务数据不进入事件载荷，撤回后停止初始化 SDK。
+
+**源：BE 13 隐私与数据生命周期协议 · §Examples**
+
+- 审计记录保存必要标识与操作事实，不复制完整敏感 payload。
+
+## Anti-patterns
+
+**源：FE 44 隐私与客户端数据生命周期协议 · §Anti-patterns**
+
+为了未来分析把完整表单、查询词和页面文本发送给第三方 SDK，并在用户退出后继续保留在本地缓存。
+
+**源：BE 13 隐私与数据生命周期协议 · §Anti-patterns**
+
+- 在测试样例、日志或分析事件中使用真实敏感数据。
+
+## Ownership
+
+**源：FE 44 隐私与客户端数据生命周期协议 · §Ownership**
+
+隐私/安全 Owner 定义政策，产品 Owner 证明目的与必要性，前端 Owner 实施边界、用户控制和清理，数据 Owner 审核接收与保留。
+
+**源：BE 13 隐私与数据生命周期协议 · §Ownership**
+
+数据 Owner 决定用途与保留，Backend 实施并证明技术控制。
+
+## Change Policy
+
+**源：FE 44 隐私与客户端数据生命周期协议 · §Change Policy**
+
+新增目的、字段、接收方、持久化或保留期必须重新评审并更新用户控制；不得用功能发布记录替代隐私批准。同步检查 `universal:security-protocol`、`universal:analytics-protocol` 与 `universal:browser-storage-protocol`。
+
+**源：BE 13 隐私与数据生命周期协议 · §Change Policy**
+
+扩大处理范围或接收方必须重新评审目的、权限与保留规则。
+
+> **语言节**：本主题无语言节挂点（缺席诚实）；规则本体即上文通用节。