补充安全权限日志与草稿状态约定

AGENTS.md

@@ -66,24 +66,30 @@
 
 1. `docs/contracts/状态流转约定.md`
 
+涉及权限、安全、日志脱敏、飞书验签、幂等或敏感信息时再读：
+
+1. `docs/contracts/安全权限日志约定.md`
+
 涉及飞书时再读：
 
 1. `docs/specs/03_飞书通知与反馈.md`
 2. `docs/contracts/API接口约定.md`
+3. `docs/contracts/安全权限日志约定.md`
 
 涉及 Review 或提交前检查时再读：
 
 1. `docs/checklists/AI生成代码检查清单.md`
 2. `docs/checklists/后端Review清单.md`
+3. 本次新增或修改的 tests
 
 不要每次全量读取所有 docs，避免上下文过大、重点变散。
 
 ## 事实源优先级
 
-1. `docs/contracts/` 是字段、接口、状态、错误码和全局约定的唯一事实源。
+1. `docs/contracts/` 是字段、接口、状态、错误码、安全权限日志和全局约定的唯一事实源。
 2. `docs/specs/` 说明业务边界和模块目标，不复制完整字段表。
 3. `docs/plans/active/` 是当前施工依据，不用于偷偷改变业务边界。
-4. `docs/checklists/` 和测试是 Review 闸门。
+4. `docs/checklists/` 和 tests 是 Review 闸门；tests 是真实约束。
 
 如果 spec 和 contract 冲突，以 contract 为准，并提出文档修正建议。
 
@@ -99,7 +105,7 @@ PostgreSQL 中的 AI 记忆表只能辅助 AI 理解、追问、恢复会话和
 2. 不允许普通员工给别人创建事项或提醒。
 3. 不允许绕过后端权限校验，只靠前端隐藏按钮。
 4. 不允许自动操作交易系统、公司历史数据库、后台管理系统或其他外部业务系统。
-5. 不允许把 API Key、App Secret、飞书 token、完整手机号、完整邮箱写进代码或普通日志。
+5. 不允许把 API Key、App Secret、飞书 token、OAuth code/state、回调验签密钥、一次性操作 token、完整手机号、完整邮箱写进代码或普通日志。
 6. 不允许把老板解释中的游戏化表达写进事项标题、接收人、时间、反馈要求等结构化字段。
 7. 不允许把第一版明确不做的功能混入主线。
 8. 不允许只写 AI 记忆表就认为任务、提醒或通知已经创建成功。
@@ -116,6 +122,7 @@ PostgreSQL 中的 AI 记忆表只能辅助 AI 理解、追问、恢复会话和
 -> 没有 plan：读必要 contracts，生成 plan 给人确认
 -> 已有 plan：只按当前 plan 执行
 -> AI 读 checklists
+-> AI 确认本次要新增或修改哪些 tests
 -> AI 按 plan 写代码
 -> AI 自测
 -> 泽源跑测试