# 公司消息系统九项能力设计

> 日期：2026-07-24
> 范围：R1 统一直通车、R2 公司文件提炼、R3 系统整合与验收
> 状态：已实现、发布并完成生产认证闭环；五个处理角色已预置，具体人员仍由管理员按实际职责绑定

## 1. 九项能力落位

| 原始表达 | 系统落位 |
|---|---|
| 定向下达 | 复用银城大喇叭项目/岗位/职级定向、必读和“与我有关” |
| 总裁直达 | 统一直通车的 `PRESIDENT` 渠道，默认匿名 |
| 财务直达 | 统一直通车的 `FINANCE` 渠道 |
| 人力直达 | 统一直通车的 `HR` 渠道 |
| 告别微信群 | 运营结果，不新增独立功能 |
| 文件提炼 | 大喇叭附件异步解析、摘要、相关性说明、原文件和受控追问 |
| 审计直达 | 统一直通车的 `AUDIT` 渠道，默认匿名 |
| 运营直达 | 统一直通车的 `OPERATIONS` 渠道 |
| 生活顾问一站式 | 复用“问”和“练”，不新增平行模块 |

## 2. R1：统一直通车

员工从公司消息页进入直通车，选择五个固定渠道之一，输入最多 5000 字反馈并选择是否匿名。总裁、审计默认匿名，其他渠道默认实名，但员工可切换。提交使用请求 ID 保证幂等。

首版只支持一次正式回复，不做即时聊天、附件、工单和 SLA。员工可查看本人反馈及正式回复；处理人员只能查看其角色对应渠道。匿名反馈的业务接口不返回提交人姓名、手机号或外部人员 ID，系统仍保存提交人内部 ID，用于本人查询、幂等和安全审计。

固定渠道与处理角色：

| 渠道 | 处理角色 |
|---|---|
| `PRESIDENT` | `direct_president` |
| `FINANCE` | `direct_finance` |
| `HR` | `direct_hr` |
| `AUDIT` | `direct_audit` |
| `OPERATIONS` | `direct_operations` |

`superadmin` 可处理全部渠道；其他系统账号按角色收窄。APP 用户只能提交和读取本人记录。

## 3. R2：公司文件提炼

管理端发布大喇叭消息时可上传一个文件。文件先进入 OSS，再由现有解析器异步提取正文并生成公共摘要。提取文本和摘要保存在大喇叭专属附件表，不自动进入企业知识库。

文件状态为 `QUEUED/PROCESSING/READY/FAILED`。只有 `READY` 文件可随消息发布；失败时明确显示原因，不生成假摘要。员工详情显示摘要、目标命中原因和原文件入口。客户端下载原文件时服务端按租户、消息发布状态和当前员工身份重新鉴权。

客户端追问仍只传 `broadcastMessageId`。服务端重新加载消息及其已就绪附件片段，把受控文本加入现有消息上下文；撤回、跨租户或附件不可用时立即拒绝继续使用。

## 4. R3：系统整合

员工“大喇叭”页保留全部/与我有关/必读未读筛选，并增加直通车入口。管理端“内容运营”增加直通车收件箱；生活顾问一站式继续由“问”和“练”承载。

“告别微信群”只以系统使用结果表达，不新增企业微信、短信或电话功能。可使用现有阅读记录统计消息总量、未读和必读完成情况。

## 5. 安全与失败关闭

- 所有查询显式带 `tenant_id`，不信任客户端租户、提交人或渠道权限。
- 匿名只影响业务展示，不影响本人查询、幂等和安全审计。
- 直通车请求 ID 在租户和提交人范围内唯一；同键异内容返回 409。
- 原文件、摘要和片段均从服务端绑定关系重新加载，不接受客户端正文。
- 消息撤回后原文件下载和消息上下文追问同时失效。
- 文件解析失败不回退成伪造摘要。

## 6. 验收

生产认证验收使用线上系统已有受控账号；账号标识不得出现在报告、截图或命令输出中。

- 五渠道提交、收件和回复闭环。
- 匿名反馈不向业务处理端泄露提交人。
- 跨渠道、跨租户、非本人读取均拒绝。
- 重复提交幂等、同键异内容冲突。
- 大喇叭文件上传、解析、摘要、原文件下载和受控追问。
- 定向员工显示“与我有关”，非命中员工不误标。
- 390×844 员工端与桌面管理端截图和交互检查。
- 前端构建、移动端构建、后端定向测试、schema 检查和完整发布预检通过。