需求与验收
R 条目＝需求与验收口径，A 条目＝第一期验收标准。任务级拆解（T0–T6，可验收粒度）见仓库根目录 todo.md（主线外另有 R23–R27 追加批次）。
留痕原则（铁律）
连接服务端的唯一目的是留痕。 以下功能永久排除，不排期、不留接口、不作为可配置项：
- 密聊／阅后即焚：不存在「发送后自动消失」的会话形态；
- 撤回抹除归档：撤回仅作用于客户端显示，服务端保留原文并记录撤回事件（谁、何时、撤回哪条）；
- 终端侧单方删除归档：清本地缓存不影响服务端记录，界面区分「本地缓存」与「云端归档」；
- 面向使用者的留痕开关：留档策略仅由管理侧按部门下发。
衍生口径：归档以消息为单位判定（不以会话为单位）；跨态会话唯一留痕缺口以「未归档」标识显式暴露且不可关闭；媒体内容不落地存储，但「发生过这次通信」的元数据必须归档。
需求清单（R1–R19）
| 编号 | 需求 | 优先级 | 验收口径 | 期次 |
|---|---|---|---|---|
| R1 | 不登录即可使用，无需配置 | 必须 | 安装后不填地址、不注册即可自动发现同网段终端并收发消息 | 一 |
| R2 | 直连态消息不经服务器 | 必须 | 点对点传输，服务端无任何记录，抓包可验证 | 一 |
| R3 | 登录后聊天记录集中留存 | 必须 | 协作态消息统一落服务端；管理员可按人员／时间／关键词检索；终端删除不影响留存；不提供任何可由发送方消除已归档内容的功能 | 一 |
| R4 | 换机登录与多端管控 | 必须 | 账号可在不同电脑登录；桌面端同账号仅一台在线，重复登录前一个被踢并收到提示；每次登录记录设备类型与标识 | 一 |
| R5 | 双态集成于同一客户端 | 必须 | 单一安装包；未登录为直连态，登录后切换协作态，切换不重启、不丢本地历史 | 一 |
| R6 | 局域网文件共享 | 必须 | 目录级共享与权限区分；文件字节不经公网 | 一 |
| R7 | 归档范围可标识 | 必须 | 跨态会话界面明确标注「未归档」且不可关闭；归档起点可追溯 | 一 |
| R8 | 国产操作系统 | 重要 | 至少覆盖统信 UOS 与麒麟 Linux，消息／文件／界面显示正常 | 一 |
| R9 | 跨网段与多地域、大文件 | 重要 | 跨网段与跨地域由协作态承接；直连态限本网段；支持整目录发送与断点续传 | 一 |
| R10 | 功能范围参照企业微信 | 重要 | 按二期分期清单逐项验收，不要求一次性达成 | 二起 |
| R11 | 内网 AI 能力 | 计划 | 群内助手、会议纪要、需求整理；模型内网部署；归档数据只送本地模型 | 三 |
| R12 | 服务端高可用 | 重要 | 服务端故障时直连态仍可通信；具备备份与恢复预案 | 一 |
| R13 | 沟通体验 | 重要 | 内置截图与标注后直接发送；自定义表情包导入；常用联系人置顶与快速查找 | 一 |
| R14 | 组织架构含汇报关系与可见性 | 重要 | 成员资料可查看直属上级；按部门设置通讯录可见范围；敏感字段可隐藏 | 一 |
| R15 | 办公室位置图 | 计划 | 楼层平面图定位工位；搜索姓名图上高亮；按园区楼层限定可见 | 二 |
| R16 | 远程协助 | 计划 | 请求远程查看／控制；被控方显式授权、过程持续可见、全程留痕；默认仅 IT 运维 | 二 |
| R17 | 手机端首次连接必须初始化服务器地址（追加） | 必须 | 移动端首次启动进入初始化向导，第一步为域名／服务器地址设置，填写并连通校验通过后才能进入主界面；未初始化不出现任何可聊天界面 | 一 |
| R18 | 手机端不提供匿名聊天（追加） | 必须 | 直连态／免登录能力仅存在于桌面端；移动端全部为协作态；移动端界面不出现「免登录体验」「附近设备直连」类入口 | 一 |
| R19 | 客户端主题切换（追加） | 重要 | 亮／暗双主题：跟随系统＋设置内手动切换，选择持久化；颜色令牌化并预留多主题扩展位，品牌橙为主色 | 一（主线后） |
第一期验收标准（A1–A23）
| 编号 | 验收项 | 标准 |
|---|---|---|
| A1 | 免登录免配置可用 | 新终端安装后不填地址、不输账号即可发现同网段终端并发起会话 |
| A2 | 直连态不经服务器 | 抓包验证直连态消息无服务端流量；服务端无任何相关记录 |
| A3 | 模式切换 | 填入服务器地址并登录后正常切换至协作态，无需重启，本地历史正常保留与合并 |
| A4 | 多端登录管控 | 同一账号在第二台电脑登录后，第一台被下线并收到提示；桌面端与移动端可同时在线 |
| A5 | 登录记录完整性 | 后台可查到账号的全量登录记录，含设备类型、设备名称、时间与来源 |
| A6 | 归档完整性 | 协作态会话在终端删除本地记录、或发送方撤回消息后，管理员仍可检索到原始消息内容；撤回动作本身（谁、何时、撤回哪条）亦可查 |
| A7 | 跨态会话标识 | 与未登录终端的会话显示「未归档」标记，且标记不可关闭 |
| A8 | 归档起点准确性 | 跨态转为协作态的会话，后台显示的归档起点与实际登录时间一致 |
| A9 | 策略开关生效 | 关闭「允许与未登录设备通信」后跨态会话无法建立；关闭「允许免登录使用」后未登录客户端无法进入主界面 |
| A10 | 文件传输与共享 | 文件与文件夹传输完成，断点续传有效；共享目录按权限访问，越权被拒 |
| A11 | 服务端降级表现 | 服务端不可用时客户端明确提示并回落至直连态，同网段消息与文件传输仍可用 |
| A12 | 国产系统覆盖 | 在统信 UOS 与麒麟终端上完成消息收发、文件传输与界面显示正常 |
| A13 | 跨网段通信 | 不同 VLAN 的终端之间协作态消息正常收发；直连态限本网段，不作跨网段要求 |
| A14 | 服务端恢复 | 按预案完成一次数据库恢复演练，验证流程可执行、数据完整 |
| A15 | 多地域接入 | 异地地域经专线接入同一服务端，登录、消息收发、组织架构与历史检索功能正常 |
| A16 | 断线归档规则 | 服务端不可达期间协作态双方消息本地暂存，恢复连接后按消息标识去重补传，归档无重复、无缺失 |
| A17 | 截图与标注 | 在多显示器与高 DPI 环境下截图区域正确；涂鸦、箭头、马赛克可用；确认后直接发送至会话 |
| A18 | 表情与常用联系人 | 自定义表情包可导入并在会话中发送；常用联系人在换机登录后完整保留 |
| A19 | 汇报关系 | 成员资料中可查看直属上级；按上级链路可逐级上溯；批量导入生效且能校验错误项 |
| A20 | 通讯录可见性 | 被隐藏的部门与成员不出现在通讯录且不可被搜索；受限部门仅能看到本部门通讯录 |
| A21 | 媒体底座可用性 | 在目标终端（Windows、UOS、麒麟）上验证 WebRTC 连接可建立；截图功能的画面采集在各平台可用，不支持的环境有明确降级提示 |
| A22 | 组件许可清单 | 交付时提供完整第三方组件清单，经核查不含 AGPL／SSPL 等强传染性许可组件；例外项保持独立进程部署并留有核验记录 |
| A23 | 系统标识一致性 | 安装包名、Windows 服务名、数据库与日志前缀、内网域名统一采用 Memex 标识 |
任务与验收的逐条映射在 todo.md 每个任务的「验收」行内。