知识库工作台

引用定位三分型（char/page/block + 单位写死）——kb-citation 的 KbLocation 契约直接对齐。

正文 [N] 与 search_results 的 id 映射、绝不让模型生成 URL——无效编号降级为不可点角标的纪律出处。

证明模型引用经常不被文档支持——引用必须程序化校验，不能信任模型自觉（权限域引用白名单的依据）。

UNSTART/RUNNING/CANCEL/DONE/FAIL 五态与文档粒度单点重跑——kb-pipeline 状态机原型。

改 keywords 提升召回 + 手动补块 + 双通道检索——kb-chunks 审阅/补块的设计原型。

「分段模式创建后不可改、参数可随时调」的边界显式化——kb-segment 锁定语义与实时预览的出处。

Active ≠ 抓取成功；健康 = 4 离散信号 + 阈值 + 不可关闭告警——kb-connector 健康模型原型。

自然语言 preset + 按文档类型路由的解析策略——kb-pipeline 文档类型模板的参照。

分数纪律黄金标准：metric + 归一 + 分数拆解三件套——kb-core 分数契约（higherIsBetter / null→「—」）原型。

三视图（向查/拖图/JSON 全参数）与诚实呈现边界（空查询 score=1 无排序）——kb-retrieval playground 原型。

响应只有 {index, relevance_score}，前端 diff 即得 Δ——kb-rerank A/B 对比的契约出处（市场空白件）。

渗流理论证明「先检索后过滤」碎图掉召回——过滤必须进图遍历（pre-filter 语义的工程证据）。

先由过滤求出允许集再检索、高选择性退化为暴力扫描保 100% 召回——kb-retrieval 阈值/存活语义参照。

「检索内容是数据不是指令」+ 检索前过滤铁律 + fail-closed——kb-perm 安全纪律总纲（spec §9.0）的第一出处。

提示注入与敏感泄露连续居首——检索上下文作为权限汇聚点的威胁模型依据。

关系元组 + 并集/交集/排除求值——kb-core evaluateAcl（先 deny→并集→默认拒绝）的语义原型。

DLS 下打分刻意用全局统计、聚合可能泄露、多角色取并集——分数/聚合侧信道的官方证据。

retrievable:false 不是安全机制、每条查询必须带 filter——「漏一条查询就裸奔」的官方口径。

无 UserContext 返回全部文档（fail-open）且不校验自报身份——playground 未启用过滤必须打醒目警告的教训来源。

「对每次读写执行源系统权限」+ SSO 双侧验证——连接器同步 ACL、检索期执行的产品范式。

继承四件套 + 系统自动角色 + web 级 deny 优先——kb-acl 继承 banner 与 deny 置顶的原型。

可搜索发现 ≠ 可读内容（元数据可见性开关）+ 子级只能放大不能缩减——可见性五级中 metadata 级的出处。

RAG 输出会回显库内内容、可作 oracle 探测——「生成后过滤不是边界」的学术证据。

30 次查询、$0.02/文档即稳定推断受限文档存在——「差值计数即泄露」的定量依据。

按角色结构动态分区的中间态方案（隔离索引 vs 共享+过滤谱系）——多租户检索架构升级时的回归点。

eligible→active 激活（审批+MFA+理由+时长上限）——kb-access 到期三态与临时权限印记的范式。

Improvement/Regression/Tradeoff/Tie + baseline 自动选择——kb-eval 对比表的分级原型。

侧栏一等入口 / 试参数不污染生产 / Records 沉淀——kb-hittest 的交互原型。

批量 Approve/Deny/Don't know + 建议引擎 + 决定与执行两段式——权限复核工作台（后续演进）的范式。

FileAccessed 与 FilePreviewed 分列、同用户同资源 5 分钟去重——kb-audit 时间线的事件模型出处。

iframe allow-scripts 无同源 + postMessage 反调（callServerTool/updateModelContext）+ ui:// 资源——kb-sandbox 契约出处。

表/schema 可见、PII 列默认 redacted、按会话解锁且全程留痕——「数据目录式可见性」与打码形态的参照。