面向下一轮开发、财务验收及生产部署。按当前源码和最近完成的测试记录整理，不将历史计划或测试通过等同于商用准入。
公式导出、说明页、对话追问、新增公式列、个人定义保存复用与证据分页已经实现；仍有需要修复的安全/交互边界、未完成的产品能力，以及必须在目标 Excel、数据库、基础设施和业务审批环境关闭的门禁。
本次交付仅新增本报告，不修改业务代码、不执行新的数据库迁移。以下“已完成”包括此前连续开发完成的改动；“静态确认”指源码可直接看出的行为，尚未新增专项复现测试，不能冒充测试复现结果。
| 能力 | 已完成状态 | 不能据此推断的内容 |
|---|---|---|
| 公式工作簿 | 版本 3，流式生成计算明细、汇总、使用说明、参数口径、人数去重、原始证据、对账；有自定义列时增加自定义指标页。 | 不是任意 Excel 模板生成器；不是全部输入/结构变化都能正确重算。 |
| 对话新增列 | 描述不全时追问，补充后确认；服务端校验表达式树及数据映射可用性。支持既有指标、常数、加减乘除。 | 真实外部模型未完成联调；自然语言适用范围不等于执行任意筛选、聚合规则。 |
| 个人定义库 | 按用户与数据集隔离，保存、同名更新、列出、载入、删除；保存和导出时校验；迁移文件 0004 已存在，隔离测试库已执行。 | 不是团队共享定义库；没有草稿续聊、版本审批、并发编辑冲突保护。非测试环境是否迁移仍需核对。 |
| 证据与文件导出 | 本期/基期切换、每页 50 条及翻页；CSV/XLSX 证据以临时文件和 FileResponse 分块发送；金额文本和公式注入防护保留。 | 前端仍用 Blob 接收完整下载文件；临时磁盘/tmpfs、并发容量尚无生产 SLA。 |
| 导出可靠性 | 任务专属路径、0600 文件与 0700 目录、失败状态恢复、随机临时文件、授权范围检查、过期清理。 | 并非所有符号链接异常路径都安全，见 F01；也未完成磁盘故障及生产崩溃恢复演练。 |
REFERENCE_DATASET_NAME 的原附件全量 UI 用例，不属于通过项。现有 acceptance.md / improvement-roadmap.html 仍存在 61 项测试、“没有定义库”等旧表述；历史 Excel 计划也有相互矛盾的状态提示。当前状态以本报告与最近完成的实测为准，后续应统一维护单一验收入口。
位置：finance/exporting.py → process_formula_export()。先设置 target，再检查 target.parent 是否为符号链接；拒绝后进入异常分支，仅检查 path.is_symlink()，未检查父目录。父目录为链接而最终文件本身为普通文件时，unlink 会跟随父目录删除链接目标下同名文件。
影响：需要本地存储目录被操纵这一前提，不能描述为普通远程用户已可利用；但违背“异常清理只删除自己创建的文件”的边界。
推荐修复：路径完整验证前不要将目标登记为可清理文件；只清理本次实际创建、且位于受控目录中的文件，必要时用目录描述符及不跟随链接的文件操作。不要用失败清理代替旧孤儿文件回收。
验收：父目录链接到受保护目录，预置同名文件；执行必须失败且受保护文件字节不变，任务为 failed；覆盖根目录链接、目标链接、写盘失败与正常重试。
位置：finance/exporting.py 与 cleanup_formula_exports.py。异常清理吞掉 OSError 后清空 job.path；清理器主要处理已成功且过期的文件及旧 .tmp，失败任务残留 .xlsx 可能不再被追踪。
修复：记录不含敏感数据的清理失败日志及任务编号，为安全范围内的孤儿 .xlsx 制定保留期与回收规则；不要删除仍处于活动任务的文件。
验收：注入 unlink 权限错误，任务失败状态仍保存；可观察到告警，恢复权限后回收成功，其他任务文件不受影响。
位置：frontend/src/dialogs.tsx → EvidenceDialog.selectSide()。第 0 页点击当前已选期间会清空 result，但 side/page 没变化，依赖这些值的 effect 不会重新请求。
修复：同期间同页直接返回，或明确触发刷新；补加载、空集、失败重试状态。
验收：当前期间重复点击、快速本期/基期切换、第二页切期间、空列表和请求失败均不显示过期数据或永久加载。
位置：FormulaExportDialog.loadDefinition()/send()。载入定义会清空 messages，随后只发送新增描述；“把刚才公式改成乘以 100”之类指代不能可靠关联已载入表达式。
修复：在可见、经同意的对话上下文中明确附带原定义，或建立服务端定义引用；仍要求重新确认，不让旧定义静默覆盖新解释。选择空选项也应同步清理当前定义，避免选择状态与预览不一致。
验收：保存 A、重开载入 A、发送依赖 A 的修改，检查模型请求实际包含 A；未发送补充时禁止生成，修改后生成的公式符合新定义。
位置：finance/formula_views.py → formula_definitions()。先 count 再 update_or_create，并发不同名字可能突破上限；同名更新采用最后写入覆盖，未携带 revision。保存/删除与审计也不在同一外层事务内。
修复：事务内锁定稳定的用户/数据集所属行，原子检查配额；引入 revision 和 409 冲突响应；变更和审计一同提交，保存增加合理限流。前端明确同名更新行为。
验收：PostgreSQL 并发保存不能产生第 51 条；两个标签页更新不静默丢失；模拟审计写入失败后定义变更回滚。
位置：finance/exporting.py → 参数与口径 / GrossCalc。参数页毛利率写成字典文本并标为可编辑，实际明细公式引用每行 MarginRate，修改参数页文本不会联动。说明页还提到“本页分组维度”，但没有完整的维度键与显示名称字典。
推荐：近期明确参数页为只读快照，写清需要修改计算明细的哪类输入；如必须按产品统一模拟，则实现真实产品毛利率参数表与 lookup 依赖，并验证 direct 毛利不受影响。
验收：每个标为可编辑的输入都对应真实依赖；收入、成本、原价、直接毛利、lookup 毛利率分别改值重算，说明页列出字段、单位、来源、缺失含义和固定结构边界。
位置：finance/exporting.py → 对账检查。人数、金额、比率共享差异阈值；对小数形式的比率，0.01 是一个百分点，未必适用业务。自定义列标记“需业务验收”，不是自动对账通过。
修复：财务批准后按指标配置比较规则：人数严格相等、金额按币种和舍入精度、比率独立阈值；用 Decimal 白名单表达式解释器计算自定义指标参考，不能执行任意代码。保持原始金额文本不变。
验收：阈值边界、大数、抵消、极小值、除零、缺失和多层表达式独立黄金样例通过；不得为消除报错而放宽容差。
当前有组织、任务所有者、科室范围检查，但 worker 不重新要求 admin/analyst 角色；下载接口也未声明同创建接口的角色白名单。是否允许被降为 viewer 的账号下载旧导出，需要明确政策，不能默认授权语义已完整。
推荐：敏感公式工作簿在申请、执行、下载时统一核验角色、组织、账户有效性和科室；补任务超时、重复请求、过期下载、worker 发布后崩溃的测试及运维告警。
验收：排队后撤权、成功后撤权均按签署政策处理；半成品不能下载；重启不重复发布或无限停留 processing。生产 PostgreSQL 锁语义单独验证。
| 优先级 / 功能 | 当前缺口 | 建议与完成标准 |
|---|---|---|
| P1 · 新列出现在网页汇总表 | 当前新增指标主要进入导出的自定义指标页，并未成为主分析表持久化可计算列。 | 若原需求包含网页表格，需新增受控服务器计算、列选择与展示；网页结果、导出公式、Decimal 参考使用同一语义，缺失不转零。 |
| P1 · 多列编辑与定义生命周期 | API 最多 10 列，但对话弹窗生成时仅提交当前单列；未完成草稿续聊、版本历史、团队共享和审批。 | 先做当前数据集的多列列表与显式确认，后做草稿。个人定义保存复用已完成，不应重复开发。团队共享另设权限和版本策略。 |
| P1 · 适用范围与表达式能力 | scope 为说明文本，实际按当前分组、本期/基期计算；不能表达任意条件、跨明细新聚合、任意 Excel 函数、维度列或其他缺失策略。 | 模型明确拒绝不支持范围，不用自然语言说明冒充已执行规则。扩展时结构化范围并加入服务端白名单及黄金测试。 |
| P1 · Excel 编辑防误操作 | 人数辅助表、期间、身份、维度为固定快照；追加/删除明细不能保证全部汇总与去重同步。输入验证、公式保护、完整字段字典未全部实现。 | 首版推荐固定结构、明确可编辑金额列并防误操作；结构改变需重新导出。表保护不是加密或真正权限控制。 |
| P1 · 原附件 332,830 行导出 | 当前产品仍限制 100,000 行 / 200 组；不能一次完整导出原附件。 | 推荐可审计分卷并保留全局汇总/去重口径，不能把分卷人数简单相加。备选是正式提高上限后验收内存、并发、Excel 首开和改值重算，不能仅改常量。 |
| P1 · 结果缓存与大文件下载 | openpyxl 不执行公式；未重算文件的预览/缓存读取可能为空。浏览器 Blob 下载完整驻留内存；生产 /tmp 为 tmpfs，临时文件仍计入容器内存。 | 明确必须由目标引擎重算；如需要服务器生成已缓存副本，独立评估计算引擎。大文件直接附件下载及临时存储配额需实测。 |
| P1 · 高基数与可访问性 | 聚合分组全量返回；缺高基数结果窗口、平板专项、键盘/屏幕阅读器专项。浏览器自动测试不等于人工可访问性验收。 | 先测真实高基数与并发，再决定分页或 SSRM；补 focus、Esc 关闭、错误提示、表头关联与触控专项。 |
| P2 · 扩展业务能力 | 多收入字段口径、消费比率、生效期毛利率、退款策略、结构占比、历史阈值、告警渠道和团队调查分派未完整实现。 | 先冻结业务定义，再逐项开发，不擅自以现有收入字段替代不同含义。 |
| P2 · 跨平台与高级网格 | 已有响应式 Web，没有原生客户端；AG Grid SSRM/Pivot/Tree Data/Master-Detail 未完整接入。 | Web 是复用基础，不等于原生交付。按真实需求和商业授权选择 PWA/桌面封装或高级网格。 |
| 门禁 | 现状 / 责任方 | 关闭证据 |
|---|---|---|
| P0 · Microsoft Excel 实机 | 历史只读 Excel 仅确认公式可见，无法保存重算；样例分组也与预期不符。财务、QA、目标终端负责人。 | 在可编辑 Windows/Mac Excel 用受控样例打开、强制重算、保存；读取公式和结果缓存，改值后依赖链正确，无非预期错误与修复提示。 |
| P0 · 财务签字与精度政策 | 原附件收入/实收定义有歧义，成本全缺；财务负责人。 | 签署收入、退款、原价、成本归属、毛利、ROI、自营、升单和容差。缺成本 ROI 保持不可用；不以技术测试替代业务认可。 |
| P0 · AI 真实联调及隐私 | 外部响应主要以 mock 验证；对话文本与筛选标签可能包含敏感信息。合规、数据负责人、AI 服务负责人。 | 审批数据处理/出境、模型版本、留存策略；真实验证超时、拒答、限流、非法输出、复杂 schema 接受度。批准前保持 AI 关闭。 |
| P0 · 目标基础设施 | 历史 Docker daemon 不可用、真实 .env 不存在；配置已交付，不等于构建和运行已验收。运维、安全。 | 目标镜像构建、迁移 0004、非 root/卷权限、TLS、代理、数据库认证、队列、备份恢复、日志脱敏、安全扫描与许可证通过。 |
| P1 · 当前版本 PostgreSQL 与 SLA | 最近 65 项全量是 SQLite；历史 PostgreSQL 对账/测试不能替代本版并发和锁语义。 | 在独立 PostgreSQL 执行当前测试、并发定义保存、worker 恢复、导出压力；记录 P95、资源预算、备份恢复 RPO/RTO。 |
| P1 · 安全运营和许可 | 没有完整 SSO/MFA、自助找回、数据库 RLS、不可变审计和外部告警；并非所有产品必须全选，但必须作安全决策。 | 风险评估明确必需项；验证加密存储、密钥轮换、权限回收和安全审查；启用 Enterprise 前取得对应商业许可。 |
没有给出未经测量的工期承诺。前三项主要由工程承担；财务口径、数据处理审批和目标环境依赖必须明确责任人，不能通过延长本地编码替代。
公式生成与任务发布 · 定义库与导出 API · 证据导出与分页 · 网页对话与证据交互 · 测试目录