计划改动清单

• 对应需求版本：v0.3-MVP（Owner冻结）
• 当前阶段：前后端实现/开发自测、一次独立Gate C、本机部署、前后端Gate D、隔离与真实浏览器Gate A和本地范围Gate P均PASS；本地实例保持运行，正式线上仍禁止
• 原则：先落地基本功能、再分段迭代；只做员工本人修改密码闭环，不在首版重构整套认证体系，不重复评审已经冻结的方案

第一阶段候选改动

本机部署与浏览器验收路线

1. 运维在127.0.0.1以生成数据启动单进程、单写实例，确认不读取data/并提供停止入口。
2. 后端与前端分别对同一运行实例执行Gate D，只确认已审核源码、页面资源和API关键链路，不修改代码。
3. 测试与质量使用真实浏览器执行最小Gate A，覆盖登录、改密、退出、新旧密码重登、错误关闭和360px布局。
4. 产品只在前述结果均PASS后执行本地范围Gate P；任何步骤失败只返回对应责任角色，不扩大范围。

Gate R统一冻结清单

Gate R只冻结第一阶段最小实现材料，不把延期安全能力重新并入MVP。以下各项必须有明确结论、责任角色和可复核证据；任一适用项未PASS时不得进入业务实现。

Gate R角色输出

• 架构与数据治理：统一接口、身份、原子性、并发、重新认证和回滚边界。
• UI与交互设计：最小页面结构、状态、移动端和无障碍规格。
• 前端开发：页面承载点、请求状态机、错误映射、登录清理和自测方案。
• 后端开发：接口字段、认证身份、校验、持久化、并发和主管重置回归方案。
• 代码审核与安全：威胁边界、敏感值规则、停止线及未来Gate C证据清单。
• 测试与质量：十项验收矩阵、虚构样本、环境前置、自动化和脱敏证据。
• 运维与发布：仅限隔离测试环境的部署、备份、复位和回滚方案；正式生产部署不在范围。

Gate R首轮结果与契约冲突

当前必须收敛的技术差异：

1. 接口路径：架构建议POST /api/v1/me/password/change，后端建议POST /api/account/change-password。
2. 请求字段：架构与UI建议确认密码只在前端校验、请求体仅含当前密码和新密码；后端建议三字段均提交并由后端最终校验。
3. 成功响应：架构建议204 No Content，后端建议200和脱敏成功标识。
4. 错误码命名：两份分项的HTTP语义基本一致，但机器码名称尚未统一。
5. 字符计数：前端与后端建议Unicode码点计数，需由架构写入唯一契约。

共同事实保持不变：账号只来自后端认证上下文、不接受目标账号字段、停用账号拒绝、失败不落盘、同账号并发最多一次成功、后端离线失败关闭、成功后当前登录失效、密码不进入URL/响应/日志/文档/持久化。

协作事件标题已只读复核为76个且76个唯一，重复0；测试和安全在文件并发更新期间看到的重复快照不再作为持续阻塞。

Gate R v0.4唯一接口契约（当前事实源）

以下契约由架构与数据治理在COLLAB-20260717-087收敛为PASS，取代首轮架构和后端分项中的全部备选接口。产品需求版本仍为v0.3-MVP；v0.4仅是Gate R技术契约版本。

接口与请求

• 方法和路径：POST /api/v1/me/password/change。
• Content-Type：application/json。
• 认证：只使用Authorization头建立的后端认证上下文；账号不得来自路径、查询参数或请求体。
• 请求体严格且只能包含currentPassword: string和newPassword: string。
• confirmPassword只属于前端防误输入校验，不发送后端；它和任何用户名、用户ID、角色、状态、Token或未知字段均按INVALID_REQUEST拒绝。
• 接口不接受查询参数。

字符与校验

• 新密码长度按Unicode码点计数，前后端等价于Array.from(value).length；8和64有效，7和65无效。
• 当前密码和新密码均不裁剪、不折叠、不做Unicode规范化；空格计入码点数，新旧按原始字符串比较。
• 后端顺序固定为：严格Schema → 认证 → 进入账号级临界区 → 重新读取账号与启用状态 → 验证当前密码 → 校验新密码长度 → 校验新旧不同 → CAS/原子持久化。

成功响应

• 成功返回204 No Content，响应体必须为空。
• 设置Cache-Control: no-store。
• 不返回账号对象、新Token或其他凭据。
• 成功后当前认证失效；前端清除表单、认证和业务态并返回登录页。完整多设备会话撤销继续延期。

稳定错误码

错误结构固定为error.code、安全的error.message和error.requestId，不得包含密码、账号明细、存储细节、堆栈或完整请求。

确认密码不一致是前端字段错误，不存在服务端确认密码错误码。网络断开和格式未知响应分别作为前端本地状态处理，均不得显示成功。

原子、并发与兼容

• 本人改密、主管重置和账号停用共享账号级写入原语与修订号/CAS；重叠写入最多一个成功。
• 持久化失败不得发布内存新状态，原密码和原数据保持不变。
• 主管原重置业务和授权保持不变，但不得新增第二套直接密码写入路径。
• 当前隔离测试阶段限定单后端进程/单写入实例；多进程或多实例必须先补共享事务或锁方案，否则停止实施。

已废止的备选

• POST /api/account/change-password废止。
• 三字段后端请求废止。
• 成功200及带成功标识响应废止。
• AUTH_REQUIRED、CURRENT_PASSWORD_INVALID、PASSWORD_UNCHANGED、PASSWORD_CHANGE_CONFLICT、PASSWORD_UPDATE_UNAVAILABLE等首轮备选命名废止。

Gate R跨角色实现细则 v0.4

本节整合架构、UI、前后端、安全、测试和运维结论，是v0.4唯一接口契约的实现细则。前端、后端和测试已在原队列项完成复评，产品已汇总为整体PASS；若本节与首轮回执冲突，以本节及上方“Gate R v0.4唯一接口契约”为准。

本人改密接口

稳定错误码与页面动作

confirmPassword不进入后端，因此“两次输入不一致”是前端字段错误而不是服务端错误码。所有错误响应只允许稳定代码、安全提示和请求ID，不得包含密码、账号明细、存储状态、堆栈或完整请求内容。

冻结交互规格

• 入口位于顶部账号操作区、账号标识和退出附近；所有已登录且启用账号可见，不依赖业务权限；不新增侧边导航或URL参数。
• 模态框按“当前密码—新密码—确认新密码”单列排列，均为密码输入，不预填、不恢复历史值、不持久化；确认字段仅用于前端一致性校验。
• 打开后焦点进入当前密码；背景不可交互；Tab限制在模态框内；可见标签、错误关联和状态播报齐全，不只依赖颜色。
• 提交前依次检查必填、Unicode码点8至64、新旧不同和确认一致，聚焦首个错误；当前密码正确性只由后端判断。
• 提交前同步建立忙碌锁；提交中禁用字段、确认、取消和Esc，重复点击、回车或事件重入最多产生一个请求；失败后允许人工重试，禁止自动重试。
• 空闲状态下取消或Esc立即清空三字段、错误和临时状态，关闭后焦点回到入口；遮罩点击不关闭。
• 只有收到明确204才视为成功；随后清空敏感内存和登录状态并返回登录页，显示一次性“密码已修改，请使用新密码重新登录”。
• 移动端360 CSS像素及以上保持单列、左右至少16像素安全间距、触控目标至少44×44 CSS像素；软键盘下可滚动，无水平溢出。
• 后端离线、超时和未知响应必须失败关闭，不调用现有本地模拟接口，不写浏览器持久化，不显示成功。

隔离测试环境与计划入口

首轮冲突关闭记录

• confirmPassword只在前端校验；后端新正式会话在原QUEUE-20260717-032确认两字段严格Schema可实施，结论见COLLAB-092。
• 接口统一为POST /api/v1/me/password/change和204 No Content；前端在原QUEUE-20260717-024复评PASS，结论见COLLAB-095。
• 前端首轮提出的接口、字符口径、错误码与交互分歧均已关闭，原执行锁已释放。
• 测试首轮提出的事件唯一性、矩阵输入、环境复位和计划命令问题均已关闭；原QUEUE-20260717-027复评PASS，结论见COLLAB-096。
• 产品通过COLLAB-098汇总七个专业角色最终均PASS，v0.4契约唯一且R-01至R-11无未决分歧；Gate R整体PASS。

Gate R最终结论

Gate R通过时只打开“另建精确实现任务”的前置条件，不等于自动授权实现。该时间点功能实现进度为0%，无可审核代码基线，未测试、未部署、不可上线；后续实现与验收结果以本文顶部状态和实现/验收记录为准。

首版明确不改

• 不做一次性临时密码、强制首次改密、全员轮换和密码找回。
• 不做完整会话中心、复杂限流、审计平台和认证模块重构。
• 不清理Git历史，不修改CRM-20260717-002的责任范围。
• 不因页面改动顺手重构其他账号、权限或客户功能。

后续独立改进

1. 密码哈希和旧认证机制退役。
2. 改密、重置和停用后的完整会话撤销。
3. 主管一次性临时凭据与首次强制改密。
4. 限流、审计、密码强度和安全告警。
5. 多设备会话和自助找回能力。

实施停止线

• Gate N已经PASS，但不等于实现授权。
• Gate R已经整体PASS，但仍不等于实现授权；必须由Owner/项目管理员另建实现事件、精确队列和可审核基线后才能修改业务代码。
• 首轮五项契约差异已经由v0.4唯一契约和COLLAB-092、095、096关闭；旧接口、三字段请求、成功200和旧错误码不得恢复。
• 实现若发现多进程、多写入实例或无法提供账号级原子/CAS，必须停止并重新进入架构评审。
• 第一阶段只允许部署到隔离测试环境进行验证；当前正式线上环境禁止部署，后续线上发布必须另立授权并通过适用Gate。
• 员工可以修改他人密码、当前密码错误仍能修改、后端断开却显示成功，任一情况均不得交付。
• 任何密码值进入URL、接口响应、普通日志或协作文档时立即停止并整改。