docs: require project management write proxy coverage (#901)

Co-authored-by: Codex <codex@noreply.local>
2026-06-25 23:26:34 +08:00
parent 1b168bccbf
commit 08149396bd
2 changed files with 4 additions and 0 deletions
@@ -163,6 +163,8 @@ MDTODO 页面启动 Workbench 时，只能调用公共 Workbench Launch API 并

 项目管理原入口验收优先使用 web-probe observe/analyze，采样 `/projects`、`/projects/mdtodo` 和自然同源 `/v1/project-management/*` 请求；`script` 只能作为短 API matrix、截图或 observe command 缺口的补充证据。MDTODO Web closeout 必须至少有一次交互式 CLI 验收，使用同一个 observer 的 `observe command` 覆盖 Source 配置、HWPOD probe、文件选择、Rxx 树操作、编辑写回、reindex 和 Workbench launch，并用 `collect --view project-mdtodo-summary` 与 `observe analyze` 收口。

+该验收必须证明 Project Management 的同源 API 代理支持 MDTODO source/file/task 的写方法，而不是只支持 Workbench link 写入或只验证只读投影。若 Source 配置、HWPOD probe、reindex、title/body/status 编辑、新增、延续、删除任一操作需要直连 `hwlab-project-management` service、Kubernetes、Postgres 或 D601 SSH 才能成功，则客户端入口验收不成立。
+
 ## 7. 过程控制

 本规格不单独索引过程 issue；跨 L1 的内测、灰度和阶段活动索引统一保留在 [PJ2026-01 HWLAB 总规格](PJ2026-01-HWLAB.md) 的 `7. 过程控制`。客户端方向的阶段活动材料应引用本规格和各 L2 规格，不在本规格正文中展开执行流水。
@@ -396,6 +396,8 @@ API契约应定义 YAML-selected Cloud Web origin 下的项目管理 RESTful 资

 目标项目管理 API 资源设计如下。Cloud API 可以作为同源 route/auth bridge 转发到独立 `hwlab-project-management` 微服务，但不得拥有项目管理持久化、Markdown 解析、外部 PM sync、Workbench link 表或 adapter 状态。

+Cloud API 的 Project Management proxy 必须按同源鉴权和脱敏 envelope 转发下表所有项目管理资源所需的 `GET`、`HEAD`、`POST`、`PATCH` 和 `DELETE` 方法；只允许 `POST /v1/project-management/workbench-links` 这类单点写入的代理白名单是不合规的。代理层不得把 MDTODO source create/update/probe/reindex、file content 写入、task mutation/create/delete 拦截成 404/405，也不得要求 Cloud Web、web-probe 或 CLI 改用私有 service URL 绕过同源入口。
+
 | 资源 | Method / path | 请求字段 | 响应主体 | 状态码 | 权威边界 |
 | --- | --- | --- | --- | --- | --- |
 | Navigation | `GET /v1/project-management/navigation` | 可选 `projectId` | 导航可见性、capability、默认 project/source 摘要、blocker | 200/401/403 | 只表达项目入口能力，不返回 raw Markdown |