吸收数字员工治理审计补齐

qimingclaw/docs/digital-employee-frontend-integration-plan.md

@@ -567,10 +567,10 @@ GET /api/digital-employee/approvals
    - 建议：下一轮围绕管理端视图和记忆治理，把长期记忆从本地事实继续扩展到人工可审计、可归档、可合并的运营闭环。
 
 4. **治理命令完整生命周期**
-   - 已吸收：`create_plan`、`submit_plan`、`approve_plan`、`activate_plan` 等基础命令可记录本地运行事实；任务级 `retry_task`、`skip_task`、`pause_task`、`resume_task`、`provide_task_input`、`cancel_task`、`start_run`、`cancel_run` 已具备本地事实闭环；embedded plan / task action endpoint 已开始映射为正式 governance command。
-   - 当前能力：`/api/plan/:id/submit`、`/api/debug/plan/:id/:action`、`/api/task/:id/:action` 会进入 qimingclaw 本地治理记录；plan revision v1 可从 `governance_*` 事件投影只读时间线。
-   - 缺口：`escalate`、正式计划 revision 表、治理审计链和对真实 ACP 执行流的硬中断仍不完整。
-   - 建议：下一轮围绕治理审计和低风险 action policy，把 route decision 到 governance command 的自动映射补齐。
+   - 已吸收：`create_plan`、`submit_plan`、`approve_plan`、`activate_plan` 等基础命令可记录本地运行事实；任务级 `retry_task`、`skip_task`、`pause_task`、`resume_task`、`provide_task_input`、`cancel_task`、`start_run`、`cancel_run` 已具备本地事实闭环；embedded plan / task action endpoint 已开始映射为正式 governance command；治理审计链和低风险 action policy 已开始吸收，route decision 自动映射 governance command 前会先经过低风险/受保护高风险 action guard，未命中的动作写入 `route_action_policy_blocked`，所有 `governance_*` event 的同步 `business_view` 会提炼 command、route、实体目标、风险等级和结果字段，`provide_task_input` 只同步 `input_length`。
+   - 当前能力：`/api/plan/:id/submit`、`/api/debug/plan/:id/:action`、`/api/task/:id/:action` 会进入 qimingclaw 本地治理记录；plan revision v1 可从 `governance_*` 事件投影只读时间线；数字员工首页会展示“治理审计/治理拦截”摘要，管理端通用 sync record 可通过 `business_view.category = governance` 消费治理命令审计字段。
+   - 缺口：`escalate`、正式计划 revision 表、正式管理端治理工作台和对真实 ACP 执行流的硬中断仍不完整。
+   - 建议：下一轮围绕正式管理端治理工作台和 ACP 硬中断，把本地治理审计推进到完整跨端裁决与执行控制。
 
 5. **ManagedService 控制面**
    - 已吸收：Agent、MCP、Computer Server、Lanproxy、File Server、GUI Server 状态已进入 snapshot / projection；File Server 与 GUI Server 已开放白名单式 restart bridge，并会写入 `managed_service_restart` / `managed_service_restart_rejected` 事件，安全服务 restart bridge 已开始闭环。
@@ -599,7 +599,7 @@ GET /api/digital-employee/approvals
 
 10. **入口路由 / 任务分流（路由业务视图与通知联动已开始）**
     - 已吸收：管理端通过 `/computer/chat` 进入 qimingclaw 后会生成本地任务事实；embedded `/api/ingress/route`、`/api/route-decisions` 和 `/api/digital-employee/route-decisions` 已由 qimingclaw adapter 接管。
-    - 当前能力：入口请求会按上下文、ready PlanStep、调度、查询和控制动作生成 route decision，并写入 `digital_events.kind = route_decision` 与现有 event outbox；路由时间线优先从 qimingclaw 本地事件读取；低风险 route decision 已开始映射为明确的本地 governance command，并把 `created_command_id` 回填到 route decision；入口路由策略可从管理端远端下发，支持按 intent 阻断、按 intent 要求审批、限制自动创建 governance command，并在策略干预时先记录 route decision 再停止本地命令执行；首页已展示路由干预队列，审批通过/拒绝会写入本地 approval decision 并回写管理端，管理端审批更新拉取后会自动扫描已批准 route approval 并按幂等规则恢复执行；scheduler check 已接入 ready PlanStep 安全派发，首页立即执行后会触发一次派发 sweep 并展示派发结果；路由决策本地业务视图、首页摘要、策略来源/拉取错误、阻断/待审/待干预/已恢复计数和通知联动已开始闭环。
+    - 当前能力：入口请求会按上下文、ready PlanStep、调度、查询和控制动作生成 route decision，并写入 `digital_events.kind = route_decision` 与现有 event outbox；路由时间线优先从 qimingclaw 本地事件读取；低风险 route decision 已开始映射为明确的本地 governance command，并把 `created_command_id` 回填到 route decision；自动映射前会执行低风险/受保护高风险 action guard，未允许的控制动作会记录 `route_action_policy_blocked` 或 `route_action_missing_context`，避免静默创建命令；入口路由策略可从管理端远端下发，支持按 intent 阻断、按 intent 要求审批、限制自动创建 governance command，并在策略干预时先记录 route decision 再停止本地命令执行；首页已展示路由干预队列和治理审计摘要，审批通过/拒绝会写入本地 approval decision 并回写管理端，管理端审批更新拉取后会自动扫描已批准 route approval 并按幂等规则恢复执行；scheduler check 已接入 ready PlanStep 安全派发，首页立即执行后会触发一次派发 sweep 并展示派发结果；路由决策本地业务视图、首页摘要、治理审计、策略来源/拉取错误、阻断/待审/待干预/已恢复计数和通知联动已开始闭环。
     - 后续缺口：管理端正式路由 UI、跨设备路由干预冲突可视化和批量干预入口仍待吸收。
     - 建议：下一轮围绕管理端正式路由 UI 和跨设备冲突可视化，把入口路由从客户端可运营干预推进到管理端运营台。
 
@@ -609,7 +609,7 @@ GET /api/digital-employee/approvals
     - 建议：下一轮围绕 sandbox audit 与 token/cost 采集，把只读投影升级为可追溯的真实审计与成本统计。
 
 12. **管理端业务查询模型**
-    - 已吸收：管理端已有通用 sync record 接收、查询、payload 摘要和深链；embedded adapter 已拆出 `/api/digital-employee/plans`、`/tasks`、`/runs`、`/events`、`/artifacts`、`/approvals` 与 `/plans/:planId` 只读业务查询接口，从 qimingclaw runtime、artifact、approval 和 canonical event 投影生成统一分页视图；客户端 outbox 的 event `business_view` 已开始按 route decision、approval action、artifact lifecycle/access、skill call audit 和 ready PlanStep dispatch 细分常用字段，本地业务视图投影已开始闭环。
+    - 已吸收：管理端已有通用 sync record 接收、查询、payload 摘要和深链；embedded adapter 已拆出 `/api/digital-employee/plans`、`/tasks`、`/runs`、`/events`、`/artifacts`、`/approvals` 与 `/plans/:planId` 只读业务查询接口，从 qimingclaw runtime、artifact、approval 和 canonical event 投影生成统一分页视图；客户端 outbox 的 event `business_view` 已开始按 route decision、governance command、approval action、artifact lifecycle/access、skill call audit 和 ready PlanStep dispatch 细分常用字段，本地业务视图投影已开始闭环。
     - 缺口：尚未接入管理端真实业务表、复杂组合检索、跨设备维度过滤和业务视图 UI。
     - 建议：先稳定本地投影 API 和管理端消费模型，再决定是否拆物理业务表。