docs: T-03 文档同步(378 绿, 评审 PASS with findings P0=0)——TODO 勾选 + MEMORY/FRAMEWORK/REQUIREMENTS F-03 状态改为完成 + 下一步 T-21/前端

2026-09-07 11:18:28 +08:00
parent 207fc79f61
commit 5f32dd349c
4 changed files with 6 additions and 6 deletions
@@ -40,7 +40,7 @@
 | 数据分析 Agent | NL→SQL→解读 | Core RO、画像只读 | 空壳 service（chat 骨架已通） |
 | 风控监测 Agent | 预警、L3、R-02 适当性 | 交易事件、AML 名单 | **已实现**（B1~B7：rules/alert_service/profile_l3/aml_service/engine/scoring 占位 + 4 API + suitability + main 集成与挂账①~⑦） |
 | Core 只读层 | L0 事实查询 | `jinrong_core` | **已实现 + 已接对话 Tool（T-04）**：core_ro 经 app/tool/core_tools.py 三只读 Tool（L0/持仓/流水）进 chat；风控扩展查询照旧 |
-| 共用底座 | 会话、审计、输入防护 | MySQL 11 表 + Redis | **大部分接入（2026-09-07）**：会话（T-06 session_repository + memory_service 窗口）、审计中间件（T-02 http_access + input_guard_log 双写）、agent_tool_call Tool 留痕（T-04）已接；输入防护规则待 T-03 |
+| 共用底座 | 会话、审计、输入防护 | MySQL 11 表 + Redis | **已接入（2026-09-07）**：会话（T-06 session_repository + memory_service 窗口）、审计中间件（T-02 http_access + input_guard_log 双写）、agent_tool_call Tool 留痕（T-04）、输入防护（T-03 input_guard：注入词表纯函数检测 + oversize + Redis 固定窗口限流，chat 链路 限流→注入/超长→归属） |
 | 对话编排 | LangGraph StateGraph + DeepSeek | langgraph/langchain-openai | **已实现（T-07 骨架 + T-04 Tool 节点，2026-09-07）**：tool（关键词意图→Tool）→llm→guard（免责声明）；LLM intent 与风控四 Tool 归 C1/C2 |
 | 同步脚本 | 归属、Neo4j | Core → agent / 图库 | **sync_*.py 已实现** |

@@ -9,7 +9,7 @@

 **项目是什么：** 金融四 Agent（客户财富 / 代理人 / 数据分析 / 风控）共用数据层与合规底座；**不**互调 LLM，跨 Agent 走 L1/L2/L3 画像与预警表。

-**当前进度：** 需求与表设计已定 · **风控模块 B1~B9b 全部完成（M2 tag risk-m2），M4 复核已闭环（2026-09-07），风控阶段 B 正式完结** · **Wave 0 已完成（2026-09-07，经独立 AI 评审闭环）**：T-01 JWT 鉴权（auth_service Auth SDK + deps 工厂替换 + X-Agent-Type 准入矩阵）/ T-02 审计中间件（http_access + 独立 request_id + 4xx/500 统一错误体 + input_guard_log 双写）/ T-06 chat 最小闭环（POST /api/chat + 会话落库 + Redis 窗口）/ T-07 LangGraph StateGraph 骨架 + DeepSeek（无 key 降级）· **T-04 Core RO Tool 节点已完成（2026-09-07）**：app/tool/core_tools.py 三只读 Tool + tool_service（意图/归属校验/run_tool）+ 图 tool 节点 + agent_tool_call 落库 + `utils/authz.py` 公共鉴权留痕，**321 测试绿（首评+复审双闭环）**。**下一步：T-21 Milvus / T-03 输入防护 / 前端 React 多 Agent 入口（HashRouter `web/` init）。风控阶段 C 已完成（2026-09-07，345 绿，tag `risk-m3`，A-6 对话线验收通过，独立 AI 评审 PASS P0=0）。****开发在分支 `feature/risk`（未合入 main）。**
+**当前进度：** 需求与表设计已定 · **风控模块 B1~B9b 全部完成（M2 tag risk-m2），M4 复核已闭环（2026-09-07），风控阶段 B 正式完结** · **Wave 0 已完成（2026-09-07，经独立 AI 评审闭环）**：T-01 JWT 鉴权（auth_service Auth SDK + deps 工厂替换 + X-Agent-Type 准入矩阵）/ T-02 审计中间件（http_access + 独立 request_id + 4xx/500 统一错误体 + input_guard_log 双写）/ T-06 chat 最小闭环（POST /api/chat + 会话落库 + Redis 窗口）/ T-07 LangGraph StateGraph 骨架 + DeepSeek（无 key 降级）· **T-04 Core RO Tool 节点已完成（2026-09-07）**：app/tool/core_tools.py 三只读 Tool + tool_service（意图/归属校验/run_tool）+ 图 tool 节点 + agent_tool_call 落库 + `utils/authz.py` 公共鉴权留痕，**321 测试绿（首评+复审双闭环）**。**下一步：T-21 Milvus / T-03 输入防护 / 前端 React 多 Agent 入口（HashRouter `web/` init）。风控阶段 C 已完成（2026-09-07，345 绿，tag `risk-m3`，A-6 对话线验收通过，独立 AI 评审 PASS P0=0）。**T-03 输入防护已完成（2026-09-07，378 绿，独立 AI 评审 PASS with findings P0=0）：app/service/input_guard.py 注入词表 42 条纯函数检测 + oversize 4000 + actor 级 Redis 固定窗口限流 30 次/分（fail-open）；chat 链路顺序 = 鉴权→准入→空白→限流 429→注入/超长 400→归属→会话，被拒 fail-fast 不建会话，blocked 落 input_guard_log（ENUM 四值已用满）。****开发在分支 `feature/risk`（未合入 main）。**

 **仓库地图：**

@@ -65,8 +65,8 @@
 ## 1. 项目简介

 - **名称：** JinRong 金融四 Agent 智能管家
- **当前阶段：** **T-04 Core RO Tool 节点完成并经两轮评审闭环（2026-09-07）**；Wave 0 共用底座完成（T-01 JWT / T-02 审计中间件 / T-06 / T-07 LangGraph）；风控模块 B1~B9b 完成（M2 tag risk-m2）+ M4 复核闭环；**风控阶段 C 完成（2026-09-07：chat_tools 四只读 Tool + risk 分支意图接入 + A-6 对话线验收 + 诱导处置边界，M3 tag risk-m3，345 绿，独立 AI 评审 PASS）**；下一批 = T-21 Milvus / T-03 输入防护 / 前端 React 入口
- **当前优先级：** T-21 / T-03 → 风控阶段 C（A-6）→ Wave 1
+- **当前阶段：** **T-04 Core RO Tool 节点完成并经两轮评审闭环（2026-09-07）**；Wave 0 共用底座完成（T-01 JWT / T-02 审计中间件 / T-06 / T-07 LangGraph）；风控模块 B1~B9b 完成（M2 tag risk-m2）+ M4 复核闭环；风控阶段 C 完成（M3 tag risk-m3，345 绿）；**T-03 输入防护完成（2026-09-07：input_guard 注入词表 42 条纯函数检测 + oversize 4000 + actor 级 Redis 限流 30 次/分 fail-open，chat 链路 限流→注入/超长→归属 fail-fast，378 绿，独立 AI 评审 PASS with findings P0=0，P2 已收口）**；下一批 = T-21 Milvus / 前端 React 入口
+- **当前优先级：** T-21 / 前端 React 入口 → Wave 1

 ------

@@ -19,7 +19,7 @@
 | --- | --- | --- | --- | --- |
 | F-01 | JWT + RBAC + 数据归属 | 越权 403 + audit；JWT 手册 §13 | **已完成（T-01，2026-09-07）**：auth_service 验签/吊销 + deps 工厂（Bearer 全环境 + dev debug 头兜底）+ X-Agent-Type 准入矩阵 + 归属断言（B6 已有）；越权 403 + audit + input_guard_log 双写 | ~~T-01~~ |
 | F-02 | 全量审计留痕 | trace_id 可还原 | **已完成（T-02，2026-09-07）**：http_access 审计中间件 + X-Trace-Id/X-Request-Id 双贯通 + 4xx/500 统一错误体；业务判定审计 B6 已接 | ~~T-02~~ |
-| F-03 | 输入防护 | input_guard_log | **部分（2026-09-07）**：input_guard_log 双写通道已由 T-02 接通（鉴权拒绝类）；防护规则（prompt_injection/oversize/限流）待做 | T-03 |
+| F-03 | 输入防护 | input_guard_log | **完成（2026-09-07，T-03）**：prompt_injection（词表 42 条纯函数检测，命中即拒）/ oversize（4000，Pydantic 硬顶 20000）/ rate_limit（Redis 固定窗口 actor 级 30 次/分 fail-open）；chat 链路 blocked 全留痕，fail-fast 不建会话 | — |
 | F-04 | Core 只读层 | 不改 Core 账；Repository 只 SELECT | **已完成（T-04，2026-09-07）**：core_ro（含风控扩展）经 app/tool/core_tools.py 三只读 Tool 接入 chat（L0/持仓/流水）；Tool 层归属校验（A-01 语义：customer 本人/advisor assigned/risk_officer 全量）+ agent_tool_call 全留痕；Core 侧仍仅 SELECT | ~~T-04~~ |
 | R0-DB | MySQL 共用 11 表 + Redis | 01-mysql-共用底座.sql | SQL 已定；本机已灌库（B9b 走查验证） | T-05（本机已完成） |
 | R0-CORE | Core 模拟 + 同步 | reset.ps1 + sync 脚本 | **脚本已落地** | T-05 |
@@ -11,7 +11,7 @@

 - [x] T-04 Core RO 封装为 Tool 节点；A-01 归属校验（chat Tool 接入 + agent_tool_call 落库）—— **完成（2026-09-07）**：`app/tool/core_tools.py`（L0/持仓/流水三只读 Tool + TOOL_REGISTRY 白名单）+ `app/service/tool_service.py`（关键词意图仅 customer/advisor；归属校验对齐 deps.assert_customer_access 口径——Tool 层拒绝不抛 403 而 blocked 留痕，纵深防御；run_tool 执行+落库，落库失败降级）+ agent_service 图 tool 节点（START→tool→llm→guard；结果注入 LLM 上下文，降级回复带摘要）+ session_repository.insert_tool_call（message_id 一期 NULL）。**A-01 口径：本任务只做 Tool 层归属校验语义（customer 本人/advisor assigned/risk_officer 全量/其余拒），A-01 完整场景（代理人画像）仍归 T-20**；risk 分支四 Tool 归 C1 复用 run_tool。**评审闭环（2026-09-07）：首评 P1×2+P2×3+P3×2 → 修复 `40a9ee2` → 复审 P2×1+P3×4 → 修复 `1216d26`，pytest 321 绿；入参白名单+days 钳制、公共鉴权双写 `utils/authz.py`、list_holdings LIMIT 均落地**
 - [ ] T-21 Milvus Lite + kb_product_rules 首批入库
- [ ] T-03 输入防护规则（F-03：prompt_injection/oversize/限流；input_guard_log 双写通道已由 T-02 接通）
+- [x] T-03 输入防护规则（F-03：prompt_injection/oversize/限流）—— **完成（2026-09-07，commits 497554d/65b45aa/cc6f34f/207fc79）**：`app/service/input_guard.py`（注入短语词表 42 条四类纯函数检测 + `inspect_message` oversize 4000 先于 injection + `check_rate_limit` Redis INCR 固定窗口 actor 级 30 次/分 fail-open）+ chat 路由接入（顺序：鉴权→准入→空白→限流 429→注入/超长 400→归属→会话；被拒 fail-fast 不建会话不落消息，blocked 落 input_guard_log，留痕降级不改拒绝语义；Pydantic 硬顶 20000，业务限 4000 移 guard 层换留痕）+ redis_gateway.incr + settings.guard_rate_limit_*；拍板：命中即拒不清洗、仅 blocked 留痕、词表代码常量可审计。**独立 AI 评审 PASS with findings（P0=0；P2×3 已收口：词表断言修正/补 7 条同构变体/窗口 TTL 断言+EXPIRE 失败取舍锁定；P3 已收 session_id 截断，挂账对抗变体扩表）**，378 绿
 - [x] 风控阶段 C（C0 pytest-asyncio / C1 chat_tools / C2 risk 分支 StateGraph / C3 A-6 验收）—— **完成（2026-09-07）**：`app/service/risk/chat_tools.py` 四只读 Tool（alert_query/customer_context/suitability_check/aml_lookup）挂 `RISK_TOOL_REGISTRY`；`tool_service.run_tool` 改查 core+risk 统一注册表 `get_registered_tool` 且恒传 `risk_repo`；`_normalize_params` 读 spec 白名单；`match_intent` 按 agent 分组扩 risk 关键词；`agent_service.tool_node` 守卫放宽（`requires_customer=False` 允许无绑定客户，支撑 A-6 全量待审）；A-6 验收+诱导处置边界（无处置 Tool、系统提示禁自动处置、诱导只触发只读且预警状态不变）；**独立 AI 评审 PASS（P0=0，P2 补 advisor 归属/空 product_id 单测已收口），345 绿，tag `risk-m3`**
 - [ ] 前端 React 多 Agent 入口（HashRouter，`web/` init）