ai-contract-platform/project-docs/V2-controlled-pilot-tenant-admission-governance-2026-08-26.md

V2 核心产品上线收口：受控试点租户准入治理实施报告

日期：2026-08-26
阶段结论：工程实现与本地验收完成；真实用户试点仍保持关闭。

1. 本阶段为什么先做租户准入

前一阶段已经建立平台级“真实模型与受控预发布”门禁，但平台级状态不能代替具体客户准入。若缺少租户级治理，即使将来平台整体通过验收，也可能把未明确场景、数据边界、负责人或退出方案的租户误当成可开放对象。

本阶段把原审查报告中的“3～5 个设计伙伴、每家一个明确场景、具名负责人、试点名单、数据边界、支持方式和退出计划”转化为可执行状态机，并与现有平台级门禁串联。

2. 已实现能力

2.1 租户级准入资料

每个非系统工作空间可维护一份版本化准入资料：

• 单一试点场景编码、目标及明确不包含范围；
• 客户业务负责人和平台支持负责人；
• 数据等级、真实合同数据许可、去标识要求和保留期；
• 1～100 人参与上限；
• 明确的试点开始、结束时间；
• 支持、升级、退出、导出和删除方案。

系统工作空间不能成为试点对象。已激活、暂停或退出的资料不能直接改写。

2.2 四方双人审批

当前版本必须取得产品、法务、安全、运营四个职责的决定，且至少由两名不同平台管理员完成批准。服务端同时执行以下限制：

• 提交人不得审批自己的准入资料；
• 每个职责在同一版本只能作出一次决定；
• 任一职责退回后，状态立即变为“待修改”；
• 修改被退回或已批准资料会产生新版本，旧版本决定不会被复用；
• 不提供覆盖或删除审批决定的接口。

2.3 失败关闭的激活门禁

租户激活同时要求：

1. 工作空间有效；
2. 场景、负责人、数据边界、时间、人数及退出方案全部通过；
3. 四方双人审批完成；
4. 当前平台级受控试点门禁无阻断项。

受邀设计伙伴由平台管理员管理，因此“公众注册发布开关”不作为单个设计伙伴激活的前提；但该开关本身仍保持关闭，不会因为租户准入而打开。隔离环境、真实模型披露与 Provider 验收、正式政策以及身份防滥用配置继续参与租户激活判断。

2.4 生命周期

已实现以下显式状态：

资料草稿 → 四方评审中 → 待修改 / 已批准待激活 → 试点运行中 → 已暂停 / 已退出

暂停和退出必须填写原因；平台门禁失效时不能激活或恢复。生命周期操作只记录试点运营状态，不会修改租户账号状态，也不会开放公众注册。

2.5 超级管理员控制台

新增 /admin/pilot-admissions：

• 候选工作空间、可激活和运行中数量；
• 当前平台级阻断项的中文业务说明；
• 租户资料编辑表单；
• 8 项租户级准入检查；
• 四方审批证据和不同管理员要求；
• 激活、暂停、恢复和退出操作。

页面和服务端 API 均要求 platform_admin，普通租户管理员即使直接访问 URL 也不能读取跨租户准入资料。

3. 数据与接口变更

数据库迁移：20260826_0073

新增表：

• pilot_tenant_admissions
• pilot_tenant_admission_decisions

新增管理 API：

• GET /api/v1/admin/pilot-operations/admissions
• PUT /api/v1/admin/pilot-operations/admissions/{tenant_id}
• POST /api/v1/admin/pilot-operations/admissions/{tenant_id}/submit
• POST /api/v1/admin/pilot-operations/admissions/{tenant_id}/decisions
• POST /api/v1/admin/pilot-operations/admissions/{tenant_id}/lifecycle

OpenAPI 契约、Next.js 代理路由、管理首页入口、页面标题和前端权限规则已同步更新。

4. 验收证据

4.1 自动化测试

• 新增准入测试 4 项：四方双人审批、提交人自审阻断、平台门禁阻断、退回后新版本、权限隔离和迁移往返；
• 准入、受控试点门禁及 P0 主旅程联合回归共 11 项通过；
• 前端权限测试 5 项通过；
• TypeScript 类型检查通过；
• OpenAPI YAML 可解析且新增路径、Schema 存在；
• Next.js 生产构建成功，共生成 173 条页面/API 路由。

4.2 数据库和运行服务

• 当前 PostgreSQL 已从 20260825_0072 升级到 20260826_0073 (head)；
• Contract API http://127.0.0.1:8100/health 正常；
• AI Platform API http://127.0.0.1:8101/health 正常；
• Web http://localhost:3000 正常；
• 浏览器只读验收后，正式本地库中准入资料 0 条、决定 0 条，没有写入虚假材料。

4.3 Chrome 超级管理员只读验收

已使用现有超级管理员登录状态检查：

• 页面正常加载候选工作空间及完整表单；
• 空资料仅有“工作空间有效”通过，其余条件明确阻断；
• 未保存前“提交四方评审”保持禁用；
• 平台阻断项以中文展示；
• 浏览器控制台无错误；
• 验收过程中未点击保存、提交、审批或激活。

5. 当前发布判断

核心门禁证据：project-docs/qa-artifacts/core-launch-readiness/core-launch-readiness-summary.json

当前结果：

• status = blocked_external
• core_engineering_ready = true
• external_pilot_ready = false
• 双云外部可信能力不是核心上线门禁；
• 10 类核心合同旅程通过；
• 31 个确定性合同生成/条款推荐金标样例技术通过；
• 31 个金标样例仍待具名法务确认，技术通过不等于法律正确性批准。

当前 5 项租户激活阻断：

1. 隔离预发布环境；
2. 真实模型与生成式 AI 披露；
3. Provider 技术与法务验收；
4. 正式政策与同意证据；
5. 身份、邮件和防滥用生产配置。

公众注册总开关仍关闭。这是预期的失败关闭结果，不是工程回归失败。

6. 实际试点操作顺序

取得真实设计伙伴后，应按以下顺序操作：

1. 在独立预发布环境创建或邀请目标工作空间；
2. 平台管理员填写单一场景、双方负责人、数据边界、时间、人数和退出方案；
3. 提交四方评审；
4. 由至少两名不同平台管理员记录产品、法务、安全和运营决定；
5. 完成平台级 5 项外部条件；
6. 由发布负责人激活受控试点；
7. 在试点运营中枢持续观察关键旅程、失败任务、签署异常、人工复核和 SLO；
8. 条件恶化时暂停，试点结束后执行退出、导出及删除方案。

7. 下一阶段建议

下一阶段进入“真实模型接入与受控预发布验收”的外部材料收口，不再继续扩展双云基础设施：

1. 在独立 staging 环境接入一个面向国内网络的真实模型 Provider；
2. 用当前 31 个确定性样例和真实脱敏样例完成质量、延迟、失败回退及费用验收；
3. 由具名法务确认 Provider 条款、数据处理边界、AI 披露和四份正式政策；
4. 配置真实邮件通道、共享限流存储和防滥用策略；
5. 先录入 1～3 家真实设计伙伴的准入资料，完成双管理员四方审批；
6. 重新运行 controlled-pilot 核心门禁，只有 external_pilot_ready = true 后才激活租户；
7. 公众自助注册继续保持关闭，直到受控试点数据证明主旅程和支持能力稳定。

本阶段没有把本地测试、内部证据链或未执行的双云 UAT包装成第三方存证、司法效力或真实客户批准。