验证与验收边界

为什么需要分级

「页面存在」不等于「能力完整」。在一个私有化部署的产品里，这句话的代价很具体：采购方会根据你的描述做验收，而验收失败发生在客户现场。

因此平台按四个级别分别陈述每项能力的完成度。四层互不替代。

一、已实现

路由、接口、领域服务和权威存储或运行时链路存在，并有定向测试。

这一层证明代码写了，链路接上了。它不证明部署能跑，也不证明真实外部系统能对接。

二、已通过仓库门禁

相关测试、类型检查、构建、协议与模块边界验证通过。

这一层证明代码在隔离环境中自洽。它不证明运行时行为，因为门禁通常使用受控夹具。

三、已部署

明确代码快照已构建为不可变镜像，并在指定环境完成健康、路由和相关冒烟检查。

这一层证明它能被部署，基础链路可达。它不证明任何业务能力，因为冒烟检查通常只验证进程活着、路由通。

四、认证业务端到端

真实登录主体使用真实模型网关、Git 服务、连接器或数据面完成对应读写链路。

这是唯一能证明业务能力的级别。

不能互相替代的原因

受控夹具的全路由浏览器检查只证明生产包、路由与布局。它使用静态数据，因此不能证明任何数据链路的正确性。

编译通过或基础健康检查不能替代运行验收。一个没有连上模型网关的部署可以完全健康。

集群冒烟或单个真实任务不能替代逐项能力的业务验收。一次成功的任务不证明知识召回、市场发布或企业登录也工作。

当前状态

仓库已经形成可运行的本地与 OrbStack 纵向切片，用来验证产品领域模型、控制面、真实 Agent 会话、隔离沙箱、依赖图调度、产物交接、知识召回、运行时快照与恢复、可观测性与界面体验能够贯通。

这不等于生产版本已经完整交付。以下仍在持续建设和验收中：

• 持久化服务的完整覆盖；
• 企业单点登录与审计；
• 高可用控制面；
• 更多编码驱动；
• 生产环境安装升级；
• 基于真实企业网关和代码托管系统的完整端到端验收。

具体实现与缺口以仓库中的系统架构文档为准。

对外声明的规则

在对外材料、售前说明和验收报告中：

• 不在缺少第四级证据时声称某项能力可用；
• 不用「已部署」代替「已验收」；
• 明确标注目标形态与当前实现的差异。

这条规则约束的是本手册本身，不只是产品。