补充安全权限日志与草稿状态约定

docs/checklists/AI生成代码检查清单.md

@@ -12,6 +12,7 @@ AI 生成或修改后端代码前后都要检查本清单。checklists 是 Revie
 - [ ] 涉及老板 AI 秘书、Agent、BotContext 或对话记忆时已读 `docs/specs/01_老板AI秘书与AI草稿.md`。
 - [ ] 涉及状态流转时已读 `docs/contracts/状态流转约定.md`。
 - [ ] 涉及飞书时已读 `docs/specs/03_飞书通知与反馈.md`。
+- [ ] 涉及权限、安全、日志脱敏、飞书验签或幂等时已读 `docs/contracts/安全权限日志约定.md`。
 
 ## 2. 范围控制
 
@@ -35,7 +36,7 @@ AI 生成或修改后端代码前后都要检查本清单。checklists 是 Revie
 - [ ] 老板消息统一走 `POST /api/secretary/handle-message`。
 - [ ] `source + message_id` 幂等，不重复调用模型、不重复创建草稿、不重复写 `secretary_messages`。
 - [ ] AI 输出 JSON 已做结构校验。
-- [ ] `qa/realtime_qa/note/need_more_info/unsupported` 不创建事项、提醒或通知。
+- [ ] `qa/realtime_qa/note/need_more_info/unknown/unsupported` 不创建事项、提醒或通知。
 - [ ] 实时问答第一版只做暂不支持提示，不做交易判断。
 - [ ] `need_more_info` 最多 3 个问题、最多 3 轮追问。
 - [ ] PostgreSQL AI 对话记忆只辅助理解和草稿修订，不替代任务、提醒、通知等正式业务表。
@@ -55,8 +56,9 @@ AI 生成或修改后端代码前后都要检查本清单。checklists 是 Revie
 ## 6. 飞书
 
 - [ ] 飞书回调必须验签。
-- [ ] 飞书事件使用 `event_id` 幂等。
+- [ ] 飞书事件使用 `event_id` 或 `idempotency_key` 幂等。
 - [ ] 卡片重复点击不会重复创建事项、提醒或反馈。
+- [ ] 旧卡片、失效卡片、已替代草稿和已过期通知只记录事件，不写业务对象。
 - [ ] 飞书通知只发送摘要和链接。
 - [ ] 非老板机器人访问不会调用 AI。
 - [ ] 回调失败会写 `feishu_events` 和 `failure_records`。
@@ -84,6 +86,8 @@ AI 生成或修改后端代码前后都要检查本清单。checklists 是 Revie
 - [ ] 普通日志不包含 API Key、App Secret、飞书 token。
 - [ ] 普通日志不包含完整手机号或完整邮箱。
 - [ ] 原始错误摘要不包含密钥。
+- [ ] OAuth code/state、回调验签密钥、一次性操作 token 明文不进入日志或业务表。
+- [ ] `model_call_logs` 原始请求/响应和 `feishu_events.raw_payload` 访问范围受限。
 
 ## 10. 测试
 
@@ -93,3 +97,13 @@ AI 生成或修改后端代码前后都要检查本清单。checklists 是 Revie
 - [ ] 定时测试覆盖重复触发防护。
 - [ ] 事务测试覆盖通知失败不留下半截数据。
 - [ ] AI 测试覆盖解析失败、实时问答和人工确认边界。
+- [ ] 每个 plan 完成前已说明新增或修改了哪些 tests、覆盖哪些 spec / contract 约定、如何运行。
+
+## 11. 文档同步
+
+- [ ] 改接口同步 `docs/contracts/API接口约定.md`。
+- [ ] 改字段同步 `docs/contracts/数据对象约定.md`。
+- [ ] 改状态同步 `docs/contracts/状态流转约定.md`。
+- [ ] 改权限、安全、日志脱敏、飞书验签或幂等同步 `docs/contracts/安全权限日志约定.md`。
+- [ ] 改飞书逻辑同步 `docs/specs/03_飞书通知与反馈.md`。
+- [ ] 改 AI 规则同步 `docs/specs/01_老板AI秘书与AI草稿.md`。