# 附录 A Workflow 上线检查清单 {.unnumbered}

这份清单适用于新的 Team Workflow、普通 Workspace Workflow 或重要版本更新。检查人逐项填写证据位置；不能确认的项目写“阻断”，不要用“以后补”换取上线。

## A.1 资产与版本 {.unnumbered}

- [ ] 业务用途、适用请求、禁止用途和预期收益已经写清。
- [ ] 业务 Owner、运营 Owner、数据 Owner 与恢复 Owner 均为当前有效角色。
- [ ] Team Workflow 已由固定 Leader 创建并提交，首次发布经过 Team Owner 审批。
- [ ] 上线对象是精确 PlanVersion，能关联冻结草稿、语义 digest、审批人与批准时间。
- [ ] 更新待审时，旧批准版与新草稿的使用边界已经说明。
- [ ] 复制或派生没有继承旧资产的审批、Schedule、Run 或外部授权。
- [ ] 复审日期、触发式复审条件和退役条件已经确定。

## A.2 输入、数据与最小披露 {.unnumbered}

- [ ] 每个输入字段都有类型、权威来源、时间基准和缺失处理。
- [ ] Workspace-backed 的 Agent、Member 与 Scope 由选择器或权威身份提供，不由文本猜测。
- [ ] 数据元素已经按团队制度分类，并说明进入 Plan 输入、消息、Run 证据、结果卡和外部工具日志的位置。
- [ ] 敏感字段已删除、区间化、令牌化或改成安全引用。
- [ ] token、密钥、完整凭据和无关个人数据不会进入提示词、Plan、调用输入或结果卡。
- [ ] 留存期限、法律例外、删除 Owner 和删除核验方式不是空值。
- [ ] 已记录 PlanVersion、Invocation、Run 与事件账本不能逐对象配置留存或自动删除的限制；无法按期清除的敏感内容在进入 Workflow 前已经最小化。

## A.3 流程、审批与外部动作 {.unnumbered}

- [ ] 每条成功路径到达明确成功终点，每个失败或超时有可解释路线。
- [ ] `send_message` 的目标、responder、completion 与 callback 输出已按真实合同确认。
- [ ] Team Workflow 直接发布与 Run 内 `request_approval` 分开记录。
- [ ] 审批摘要能让人看到对象、范围、风险、验证和恢复入口。
- [ ] 长时间等待的提醒、升级和人工取消是明确运营规则，不宣称 runtime 自动超时。
- [ ] 外部动作只使用当前 Catalog 中已授权的精确 Extension 名称。
- [ ] 高影响写入固定完整意图身份，只提交一次，并保存外部回执。
- [ ] 结果不明时先读取权威状态；证据不足不重放。
- [ ] 补偿被视为新的高影响动作，另有确认、执行身份和结果证据。
- [ ] 团队理解停止 Run 不会召回消息、停止 Agent 或撤销既有外部结果。

## A.4 运行、观察与恢复 {.unnumbered}

- [ ] 手动输入和 Schedule 输入都已用真实边界样本验证。
- [ ] 零条、多条、缺字段、回调不合结构、审批驳回和重复请求都有预期结果。
- [ ] Run 详情能定位精确版本、Activation、Effect、事件与当前等待点。
- [ ] Agent callback 修正只提交冻结合同要求的结果，不重复外部业务动作。
- [ ] 已演练 worker 重启、迟到 callback、重复 callback、投递失败、外部部分成功和恢复失败。
- [ ] 恢复 Owner 能在没有原作者在线时找到手册、外部状态和结果卡。

## A.5 指标与上线决定 {.unnumbered}

- [ ] 至少一个业务结果指标和一个风险反指标已经定义。
- [ ] 指标有分子、分母、窗口、时区、版本范围、来源和 Owner。
- [ ] 失败、取消、仍等待、未进入 Workflow 的适用请求和结果不明不会静默消失。
- [ ] 指标达到、未达到或越线时的管理动作已经确定。
- [ ] 上线范围、观察期、首场运营例会日期和回退为人工处理的条件已经确定。

## A.6 上线结果卡 {.unnumbered}

复制并填写：

```text
Workflow：
Team / Workspace：
精确 PlanVersion：
业务 Owner：
运营 / 恢复 Owner：
数据 Owner：
发布审批证据：
外部 App / Extension 与最小权限：
数据分类与留存：
演练记录：
业务指标 / 反指标：
观察期：
仍开放的风险：
结论：通过 / 限期整改后通过 / 暂停上线
结论人：
日期：
下一次复审：
```

“限期整改后通过”必须同时写明不会受整改影响的上线范围、整改 Owner 与截止日期。任何涉及越权、凭据暴露、无法核验的高影响写入或缺少 Owner 的问题都应阻断上线。