X-Financial/document/development/2026-07-17/feature/hermes-ontology-tenant-security/TODO.md

Hermes、本体解析与财务报告多租户安全 开发 TODO

更新时间：2026-07-17

关联方案：CONCEPT.md

1. 信任边界

• [CONCEPT: 信任边界] HTTP 入口只使用认证用户企业，覆盖请求中的 user/tenant 上下文。
• [CONCEPT: 信任边界] Orchestrator 内部调用必须显式传入已注册、启用的 trusted_tenant_id。
• [CONCEPT: 信任边界] Agent Run 的 route/ontology 同时保存租户快照，冲突时 fail-closed。

2. 本体与画像

• [CONCEPT: 本体解析] 在模型调用前创建 running Run，并在成功、规则降级和失败路径闭环状态。
• [CONCEPT: 本体解析] 员工、组织、费用、应收、应付和项目目录全部首 SQL 租户过滤。
• [CONCEPT: 员工画像] 画像模型新增租户字段、复合员工外键和租户索引。
• [CONCEPT: 员工画像] 实现本人、直属领导、财务/高管/管理员访问矩阵及 claim 归属校验。

3. Hermes 与报告

• [CONCEPT: Hermes 与数字员工] 风险扫描、画像扫描、风险线索、提醒和看板接入显式租户。
• [CONCEPT: Hermes 与数字员工] 调度器逐 active 企业运行，不创建默认或全局扫描。
• [CONCEPT: 财务分析报告] 新增企业报告配置、收件人校验和周期幂等账本。
• [CONCEPT: 财务分析报告] 报告上下文、邮件收件人和文件路径按企业隔离。

4. 数据与验证

• [CONCEPT: 数据与迁移] 完成 20260717_0028 数据回填、约束、索引、报告表和 downgrade 保护。
• [CONCEPT: 数据与迁移] upgrade/downgrade 在 DDL 前拒绝非 PostgreSQL 方言。
• [CONCEPT: 测试与验收] 完成本体、画像、Hermes、报告和 Orchestrator 两企业安全测试。
• [CONCEPT: 测试与验收] 完成旧本体 72 项、Orchestrator 16 项及认证/关联草稿 18 项回归。
• [CONCEPT: 测试与验收] 完成一次性 PostgreSQL fresh、回滚重升和旧结构迁移探针。
• [CONCEPT: 测试与验收] 相关 Python 文件通过容器 Ruff，Git diff 无空白错误。

5. 上线

• [CONCEPT: 本轮实现记录] 完成概念文档、TODO 和安全修复日志。
• [CONCEPT: 降级与回滚] 上线前在生产备份副本执行 0027 → 0028 → 0027 → 0028，确认历史默认企业归属。
• [CONCEPT: 财务分析报告] 为每个启用企业确认 SMTP、报告收件人和实际投递审计，不使用全局兜底地址。