ai-web-delivery-doc/02-业务流程与产品需求.md

AI 软件交付与持续服务平台业务流程与产品需求

状态：版本 0.15，更新日期 2026-10-13。2026-10-13 会议补充见下一节，依据 H0004 与 D085–D088。此前首期基线仍留在后文，被新口径改到的句子以本节为准。

2026-10-13 会议补充

• 不单独建设「任务执行、版本与恢复 / 自动能力与人工接续」这一层。每一次工单创建一个版本，恢复就用这个版本。该版本是工单完成后的结果，还是同时保留发起前版本，以及带数据恢复是否仍另选时间点，会上没有说明。
• 自动路径在转入人工之前先做 AI 验收。验收失败未达到 x 次时继续修改并再次验收；达到 x 次才转入原工单的人工模式。x 未定。这不是客户先验收再上线。
• 初级版本不让客户选择 Web、API、worker 等组件，组件按应用预设固定带上。高级版本以后再做界面，选择这个项目要不要组件。
• 应用指功能。邮箱是一种应用。域名是需要购买的资源，不包含在应用里。
• 计费按客户使用不同模式，暂时只记两种，规则见 05。创建和开通要能按客户所属模式走，不能只剩一套年付向导。

阶段 3 当前进度与下一轮入口

四条业务路径与首期核心收费已明确。普通购买单 APP 分步向导，高级模式管理多 APP 与资源；工单有回执和失败重试；年付套餐可捆绑开发及运维并含 AI 用量，超额扣充值积分；退役释放资源不退钱，只留代码和启动配置。整体公开服务目标与首期熟客试用分别记录。

不再将新客赠送频率/结转、按月退款或退役业务恢复列为首期讨论前提。确定预充值积分消费，推荐 1 USD = 100 积分，支持小数；实际已耗 AI 调用不因失败/重试/转人工而免计。充值渠道、具体规格和执行预算在对应设计阶段明确，金额同意、积分扣款和开通成功仍是不同事实。

下一轮建议进入阶段 4，先确定统一平台的业务模块、数据责任与执行边界，再讨论工作流/Git 专题。隔离执行、验证/恢复阶段 6 细化；充值接入和具体参数可按架构及版本依赖完成。首期业务基线不等于已经形成全部数据库字段或运营细则。

普通购买向导与高级配置

公开案例旁提供“建立同类项目”入口，预选案例对应的已支持应用；另一入口从服务目录直接建立项目。建议引用案例的模板/应用版本与展示方案，不复制其他客户代码、业务数据或私有素材；是否有可授权的方案素材另行登记。

普通流程：选择应用 → 必需配置 → 可选服务 → 核对年付套餐及积分合计 → 余额不足则充值 → 确认扣除真实充值积分 → 自动开通 → 受保护预览。账号/项目/订单保存节点后定，不能因建了项目记录就开通未支付的正式资源；测试赠送不能支付正式套餐。

普通向导步骤	客户看到什么
应用选择	金融官网等业务名称、案例及用途；案例快捷入口已预选，可调整
必需配置	由应用预设列出必需项，客户选择支持的档位；金融官网的 Web/数据库/PVC 不可删掉，纯前端应用不出现无关依赖
可选服务	域名代购、自有域名接入、邮箱等；说明默认域仅受保护预览，不强制采购域名
费用核对	展示年度套餐、选配项、积分合计、包含 AI 用量及超额收费；真实充值余额与测试赠送分开
支付和开通	显示付款结果、部署状态、完成后的访问入口；成功后邮件通知

普通路径默认一个项目、一个 APP、应用预设的一套组件。用业务语言表达配置，不把 namespace、仓库名、所有部署字段一次堆给普通客户。标准组合若以后在普通模式出现，应同样封装为清楚的预设，而不是自动切换成复杂后台。

高级模式留到后面再做：用界面选择这个项目要不要 Web、API、worker 等组件。初级版本不提供这项选择，组件按应用预设固定带上。邮箱按功能应用处理，不做成没有应用的项目。域名作为需要购买的资源，不包含在应用里。

付款后开通与状态显示

客户后台显示可理解的任务步骤，例如等待部署、准备资源、初始化应用、检查访问、已开通或开通异常。是否显示具体步骤由应用契约决定；不展示终端映射或 AI 实时编辑，也不伪造不能计算的整体百分比。

付款结果与每项服务的开通状态分别记录。应用、域名、邮箱可能分别完成或等待人工准备；不能因为其中一项成功就把全部订单标为已开通。完成邮件提供项目入口及实际开通项，邮件发送失败不把已经健康运行的应用重新判为部署失败。

建议开通过程保存可恢复的执行记录；遇到超时或供应商返回结果不明，先核查实际结果，避免重复采购域名、创建资源或重复扣款。首期熟客开通失败由人员排查，特殊退款或差额系统外协商处理，不提供系统内退款。公开经营时的客服申请退款路径留后续细化，见 05。

客户购买与运行应用

公开站点展示应用、案例和定制价值，客户选择已支持应用和包年资源档位，也可独立购买域名或邮箱。已接入开源应用标准部署不另收费；平台默认域名仅用于测试/预览，不允许作为正式公开网站入口。正式公开访问需要独立域名路径，允许客户自有域名绑定或平台代购。每个应用预设声明必需和可选资源，纯前端应用不强制数据库/PVC，带后台的金融官网需要这些依赖。

只要成功创建项目，客户即可提交归属于该项目的工单。建议将“允许提交”与“具备执行条件”分开：尚未付款、应用尚在初始化或缺少开发基准时，工单可保存并显示等待条件，不能假装已能修改运行版本。没有历史版本时明确记录未初始化，不虚构发起前版本。

首期包含固定运维、人工定制、有限自动 AI 与套餐包含用量，由深度合作既有中介普通账户试用；固定项目服务费使年度合计符合旧价。新客注册试用赠送未来再开放，具体授予细则不在首期细化。长期保持公开获客，需求可自由提交，不能自动处理则转人工。

未来使用测试赠送开通的部署永远只作测试预览，禁止绑定正式域名，平台可撤销并销毁测试部署，不保证留存业务数据；不能将测试赠送转为真实积分或正式服务权益。正式套餐包含的 AI 用量可用于正式项目，两者不是同一类别。试用转正式的具体流程以后设计，不能靠给测试部署填一个自有域名绕过资格限制。

在线客服与工单的职责

工单的产品目的包括固定客户本次提出的明确需求，防止反复摇摆、无止境追加和“提出了但没做”的争议。客户应将要执行的改动清楚地写入文字或详细附件；执行结果、代码与上线版本均能核对到这份需求。

在线客服或 Telegram 负责客户沟通、需求澄清、可行性咨询、价格协商和后续反馈。用户考虑接入 TG 机器人接口处理沟通，当前作为渠道候选记录；具体自建、集成及身份关联后定，不要求客户进入真实邮件系统。

工单主要记录伴随代码修改的一次改动任务，包括客户提交的文字和文档附件、处理模式、必要的人工价格确认、执行状态、代码与线上版本关联、执行结果和回退记录。少量运维任务沿用已确认的服务场景，但不能因此将工单设计成包办全部客户沟通的客服会话。

本轮补充：工单内需要系统回执，显示处理结果、失败原因、模式转换和必要操作；这是任务记录，不是客服聊天。价格协商与反馈讨论仍在客服/TG，不把客户验收设为每张工单必经步骤。人工和 AI 的内部评估可追踪，客户无需参与一轮评估会话。

客服会话是否需要关联项目或工单编号以方便人员处理，属于后续建议；不要求把会话复制到工单，不预设一个会话对应一张工单。

需求固定与变更规则建议

已确认工单提交后保留当时的需求文字与附件版本，作为本次执行和完成核对的依据。客户后来改变方向或追加内容另建工单，原需求不被覆盖；客服或 TG 聊天中的新想法不自动扩大原工单范围。

本轮明确失败后支持修改需求并重试。建议同一工单追加新的需求修订及执行尝试，保存原文字、附件和失败原因，不覆盖历史；每次执行只使用一个明确修订版本。失败后的补缺、澄清和原范围修复可保留在该工单，改变业务目标或增加工作范围仍另建工单，不能把“重试”变成无期限免费追加。

正在执行时不覆盖输入，先结束或停止尝试，再固定下一修订。人工报价绑定需求修订，改变范围需重新确认金额。失败重试中的实际 AI 消耗照常抵扣套餐用量或充值积分；已消耗部分不因没有满意成果免计。同一调用不得因重复事件重复记账，未发生费用的请求不虚构消耗；修复循环有停止/预算控制。

工单附件建议

建议首期支持 TXT、Markdown、PDF、DOCX 以及 PNG/JPEG/WebP 图片，不强迫客户只交 Markdown。Word/PDF 的图文需求是真实业务输入；扩展名不代表安全，Markdown 中的 HTML 和危险链接也需处理。

建议采用允许类型清单、真实格式验证、文件数量/大小及解压/解析限额、恶意文件扫描、私有存储与受控下载。文档转换和内容提取在无生产凭据、受限网络与权限的隔离进程执行，保留需求图片和页码/位置等线索。Markdown 禁止原始 HTML 执行；上传文件不在平台主域直接作为可执行页面展示。宏文档、可执行程序、脚本、HTML/SVG 和压缩包首期不进入普通上传清单；旧 DOC、加密或解析失败文档的人工处理规则待定。

附件状态应区别上传成功、检查中、可供处理、被拒绝和解析失败。需求与文件必须归属正确项目和工单，保存原件标识及修订引用；AI 将附件当作客户提供的数据，不能据附件内文本获得部署权限或跳过检查。扫描不能保证绝对安全，具体限额与工具阶段 4/6 选择。OWASP 文件上传指南

工单提交与处理模式

客户提交任务描述和附件时选择自动或人工模式。需求不受预设定制能力清单限制，按实际任务判断执行方式。

一张工单只能属于一个项目，可修改该项目内多个 APP；跨项目需求分别提交工单。内部可将前后端配套修改拆成多个执行任务，保存全部涉及 APP 与成果；客户不必为同项目的配套改动另发多张工单。多 APP 的发布顺序、部分成功与恢复规则后续细化，详见 03 的项目发布记录建议。

建议记录客户最初选择的模式、当前实际模式以及转换事件。自动转人工保留同一工单标识、原始需求、已执行步骤与版本记录；无需客户重新提交或重新描述任务。

自动模式

2026-10-13 起的主流程：提交自动工单、AI 修改、AI 验收、通过后发布线上，客户直接看到修改结果。无需在验收通过前做人工报价，也不设置客户先验收预览再发布。

AI 验收失败未达到 x 次时，继续修改并再次验收。达到 x 次后，才把当前工单转为人工模式，继续走人工价格确认和执行。不是只提示客户另建一张人工工单。若已产生部分改动，需保留追踪并明确尚未发布的状态。x 的具体次数未定。此前“AI 判断不适合就直接转人工”的路径，改为先经过 AI 验收，失败次数用尽再转。

AI 判断和检查不是沟通环节，需要澄清交人工及客服。调用先抵扣套餐包含用量，超出扣充值积分；不足暂停新调用并提示充值。验收失败可在预算/次数范围继续修复，每次实际调用均计消耗，不设每轮报价或客户验收门槛。

人工模式

主流程：提交人工工单或从自动模式转入、内部人工评估并设置价格、系统提示金额、客户点击同意或拒绝、同意后人工修改并更新线上、记录执行完成。

客户确认价格的体验类似网购订单改价：展示需要确认的金额及同意、拒绝操作。报价协商通过在线客服完成，工单不承载协商文字、报价邮件或反复商谈记录。

确认记录应对应当时的金额和价格版本。若价格再次调整，之前同意的记录不能自动视为已同意新金额；具体支付和扣款时点另定，同意价格不等于已支付。

拒绝价格终止本次人工改动，不撤销项目或停掉有效服务，也不退回此前实际 AI 消耗。人工项目调用同样计消耗，超出套餐包含用量扣充值积分；人工报价与超额 AI 费用分别说明，同一已含费用不重复收费。本轮修订早期人工模式完全不计客户 AI 费用的假设。

工作流接入与工单回执建议

建议平台拥有工单、需求修订、执行尝试、费用、代码版本和发布结果；内部执行器或 Dify 等第三方工作流均通过适配接口接入。首期不必先做通用可视化工作流编辑器，也不能把全部业务状态交给一个外部工作流。

平台应能识别已接收、分析需求、修改、检查、发布、恢复、完成或异常等执行阶段。接入保存外部执行标识，按引擎能力接收事件或查询状态；失联显示等待核查，不直接当作失败后重复启动。引擎“运行成功”仍需独立核对实际提交、产物、发布与可用性，才能完成工单。第三方不支持必要的状态/结果协议时需补适配或不进入自动支持范围。Dify Workflow API

Git Issue 作为工程关联保留，Issue、PR、提交和上线记录均关联平台工单；Issue 关闭不等于交付成功。强制范围、单/多仓库对应、回写和冲突处理在阶段 4 单独讨论，本轮不选择 Git 服务商或工作流引擎。

系统回执	内容与客户操作
成功	本次完成的功能/页面调整、涉及 APP、版本及预览地址；文件数量、数据库变更等可展开查看，不暴露密钥和原始敏感日志
转人工	原因摘要、当前模式和待报价/待确认金额状态；保留原工单与已执行记录
失败	可理解的失败原因、当前线上版本是否保持/恢复、可重试或需要人工的说明；支持修订需求后再次提交
额度不足或等待条件	明确尚未执行/已暂停的步骤和下一操作，不把余额不足描述为开发成功或无限等待

回执内容来自实际执行与变更记录，并核对原需求；不要让 AI 自称“已完成”替代发布证据。默认项目地址继续受预览保护，有正式域名时也提供实际可访问入口；无 Web 端点的任务不伪造预览链接。

线上更新与完成条件

工单处理的成果是更新客户在线运行的应用。工程检查、构建和必要的内部测试可以在隔离环境执行；它们不是客户必须先查看和验收的预览环节。

代码提交、PR 合并、构建成功及上线成功分别追踪。只有目标线上应用已更新且检查可用，才将代码改动工单标记处理完成；工程步骤成功不能代替发布成功。发布前失败保持原版本；已上线但无法正常运行时自动进入恢复，恢复后核验并回执修改失败。数据库/文件变化按既定兼容与恢复计划处理，不能用镜像回滚冒充数据恢复。恢复也失败时显示恢复异常并人工接管，不能虚报“已退回正常版本”。

发布记录保存工单、代码提交、镜像或产物、配置版本、目标应用和环境、执行者及结果。客户通过在线站点看到成果；不满意时可使用版本回退能力，并通过在线客服反馈，反馈讨论不继续扩充原工单会话。

是否由客服将后续调整整理成新工单、如何携带相关上下文后续讨论。当前不把工单完成改为等待客户验收，也不预设必须重新打开工单进行沟通。

工单版本与回退体验

已明确的目标是客户可回到任意历史工单发起前的应用版本，人工与自动模式都需同样追踪。记录工单提交时的线上有效版本和实际执行时的开发基准；排队期间其他工单可能已经更新线上，两者不能合并为一个字段。

每次处理尝试产生的代码、产物、内部检查及实际发布记录分别保存，不覆盖之前的成果引用。客户无需查看所有工程细节，但系统能从工单定位发起前版本、发布后版本和回退目标。

例如工单 A 将 V1 改为 V2，工单 B 再改为 V3：回到 A 发起前是恢复 V1，A、B 的应用修改均不再生效。若客户要保留 B 但撤销 A，属于选择性撤销，需要评估依赖，可能形成新改动；这是另一种操作，尚未作为普通回退自动完成承诺。

建议回退生成新的执行和部署记录，保留当前版本、目标版本、涉及工单、恢复范围和结果，不删除旧工单或费用记录。正在执行的工单需核对基准，避免把回退后的版本再次覆盖为旧任务成果。发布与回退的顺序协调待工程设计细化。

已确认应用版本回退和带数据恢复分别提供：普通回退保留新业务数据并检查兼容；带数据恢复另选明确时间点并提示可能失去其后新增记录。修改结构/数据/文件前建立恢复材料，纯样式修改不必每次复制全部数据。日常备份独立于工单；本阶段制定确认、保留期限和费用，具体恢复实现后置，详见 03。

任意历史版本恢复依赖代码、镜像或可重建产物、配置和必要数据恢复材料的保留。保存期限、容量和长期恢复成本尚未定案，不能只保存版本名称而删除全部恢复材料。

托管、独立服务与供应商账号

运行资源按所购档位包年，项目页显示 APP、部署组件、资源及服务。支持扩容和添加 APP；用户希望可直接减配，克隆项目留待后续版本评估。减配建议、退役、到期规则见下文，差价和基础维护范围仍需细化。删 APP 的资源引用与订阅期限分别处理，不自动承诺按未用天数退费。

数据库/卷记录归属及实际引用；删除最后引用前提示相关数据将释放，资源管理页面显示待释放与预计时间。用户提出可有释放宽限期，举例三天；最终期限与恢复/撤销操作待定。释放前重新检查引用与正在执行的操作。域名、邮箱、API 等独立服务不能仅因删 APP 自动取消，备份也采用明确保留和清除规则。

仅邮箱服务不创建无关 Web 资源或 AI 开发任务。共享邮箱分配到有效 Migadu 账号池，独享账号及池补充目前人工准备；可封装已有账号的固定开通操作。邮箱价格和开通状态独立于网站运行状态。

默认域名、客户自有域名接入和 Gname 代购是不同路径。域名购买有独立账目，添加绑定不等于采购。Cloudflare、Migadu 的具体账号及资源通过显式关系分配，缺少账号、容量或权限时转相应人工处理，不依赖项目名称或业务分组推断账号。

配置调整、退役与再次部署

建议同项目内支持符合应用最低配置、真实负载和供应商能力的 CPU/内存或副本减配，必要时提示重启与可用性影响。配置变更保存前后档位、价格版本和生效记录，不需要靠克隆新项目才能降配。差价是否补收、形成余额或下次续费生效仍未决定。

存储与数据库规格不能统一承诺可逆减配。K8s 卷扩容功能不支持直接缩小已有卷；减小 PVC 容量通常需要新卷、数据迁移和切换，应另作受控/人工流程。数据库也需按供应商能力和数据量判断，不把“页面可选更低价档”当作已经完成迁移。Kubernetes 存储类说明

已明确需要退役项目：停止运行并释放所占资源，保留项目代码，必要时再次部署。同项目恢复运行与克隆新项目是两个功能；克隆暂不纳入首期，后续再评估价格、授权和业务价值。

退役保留项目标识、代码/交付版本、构建说明、启动配置和资源声明；凭据按独立规则管理，不把密码散存在代码里。确认页展示将停止/释放的资源及数据，说明不恢复旧业务，核对引用并进入释放流程；主动退役的清除与到期后七天保留是不同触发规则。

首期主动退役不提供原业务恢复：确认后释放计算、数据库、PVC/上传文件和相关占资源备份，仅保留代码、启动配置、依赖说明及轻量项目记录。无需保留所有历史镜像，代码可重建。重新部署初始化新的业务数据，目的是避免重新开发，而非恢复原运营状态；退役不退年费，不核算按月未用金额或退役前后配置退款差额。可提示客户自行导出需要的数据，不建设长期付费保留备份选项。

客户或价格客户组的退役结算模式可预留扩展，首期统一年付不退。客户自建项目组不是价格客户组；域名/邮箱作为独立已购服务继续按各自年度规则管理，不因释放网站运行资源就默认注销。

到期提醒、停止访问与数据保留

用户明确：到期前邮件提醒；未续费到期后外部无法访问，数据最多保留一周。该七天到期保留规则与“最后资源引用删除后的释放期”是不同触发原因，三天仍是后者候选参数。

建议状态为运行中 → 到期停服/保留数据 → 续费恢复，或保留期结束 → 释放运行数据资源并转退役记录。到期停服期间关闭默认/正式入口及相关运行任务，保留客户后台登录、查看续费及保留截止时间的能力；不能只隐藏网页却让爬虫、worker 等继续无限运行。停止计算及续费恢复的具体能力按应用契约设计。

一周内续费可在资源和数据完整条件下恢复；超过期限的数据不可承诺恢复。截止时间、保留范围、备份是否同期限清除、长期代码保留、再次部署及跨服务续费仍需确认。域名、邮箱、API 有独立到期与供应商成本，不因运行订阅到期自动全部停用或退款。

默认域预览与正式访问

运行实例在线存在，未有正式域名时通过默认建站域测试/预览；完成工单后直接更新该实例。使用默认域不代表拥有正式公开发布资格；绑定正式域名也不自动意味着另买一套服务器。正式域名可由平台采购，也可绑定客户自有域名。

用户要求默认域先展示免责声明并通过验证码才显示应用；统一入口保护可以实现。已确认采用项目所有者登录或受控分享权限，验证码仅作为附加人机验证，不能以任意访客通过验证码代替访问授权。具体验证码类型、分享有效期、机器/API 调用与深链接保护阶段 3/4 细化。默认域禁作公开内容入口属于明确规则，免责声明的法律效果需按经营主体及服务地区评估，不能预先承诺免责。

未来可使用隔离沙盒进行 AI 开发，并提供临时受保护预览。当前不承诺客户实时观看处理过程，不增加客户验收后才发布的门槛。

客户与后台界面范围

客户界面	内部管理界面
应用、服务、订单和项目	应用目录、资源规格、订单与项目归属
在线客服	咨询、澄清、价格协商和反馈处理
工单提交：文字、附件和模式	工单执行分派、内部评估与模式转换
人工价格提示及同意或拒绝	人工金额设置、调价与确认记录
工单状态、系统回执和失败重试	AI 或人工执行、检查、构建、发布和恢复
历史版本与回退操作	版本关联、恢复、审计及对账
配置调整、退役、续费及保留截止时间	供应商账号池、成本、生命周期与资源释放

状态划分建议，尚未定案

处理模式与状态分开：自动或人工是模式，待处理、执行中、发布中、已完成、失败、取消等是状态候选。人工模式额外有待确认价格的候选状态；客户拒绝后的状态待定。自动转人工记录模式转换，不另造一个客户沟通流程。

工单状态反映改动处理，客服会话状态、支付状态和线上应用版本各自记录。自动工单不进入待人工报价或待客户验收；转人工之后才进入人工价格确认路径。金额同意不代替支付成功，代码合并不代替上线成功。