上一版我自己写了 textarea + 正则工具栏，看着能用，一到粘贴图片、 中文输入法、撤销栈就露馅——这几样正是成熟组件积累的部分。按要求改成品。 - 编辑器开关 def: RichTextEditor = Vditor 4.0.1（MIT，ir 模式） * 运行时资源自托管：web/scripts/vendor-vditor.mjs 把 lute/i18n/icons 同步到 public/vditor，predev/prebuild 自动执行，不走 unpkg CDN （内网会一直卡在加载） - 只读渲染换 markdown-it + dompurify，删掉自写的正则渲染器 - 附件直链的令牌只在内存里存在：落库前 stripAttachmentTokens， 渲染/装载前补回（<img> 带不了 Authorization 头，raw?token= 是必要折中） - Vditor 不会替我们插入 upload.handler 的返回值（只当提示语 tip.show）， 所以上传完自己 insertMD 验证：pytest 70 passed；e2e richtext 13 项、smoke 7、tickets 8、 knowledge 7 全绿；tsc 0 错；主包 299 kB/gzip 75 kB，Vditor 独立 chunk 385 kB 按需加载。
- 0.1–0.9 全部标为完成，但不是"代码写完"就算完成： 33 条测试全绿、ruff/format 通过、真机 uvicorn 冒烟（/health /version 登录 建工作区 列表 /auth/me）通过 之后才敢打勾；没跑过的（downgrade、mypy、CI 在 Gitea 实跑、Web/Android 联调）保持未勾并写明原因。 - 记录 5 处"计划与实际不符"的偏差及理由： JWT 30min/14d、refresh 无状态不可撤销、权限用 ROLE_RANK 而非 PERMISSIONS 字典、 app_user 故意不加 RLS（登录发生在租户绑定之前）、minio 与 pgvector 推迟到 M3。 - 新增「环境现状与阻塞」一节：Docker 起不来用便携 PG、外网 TLS 被拦走 HTTP 镜像、 pip 必须 --no-cache-dir（否则写缓存卡死）、pg_ctl restricted token 报错、fnsvr-01 只有 8418/3306。 - 验收用例表加"现状"列，区分已验证 / 部分 / 未做。 顺带修： - alembic downgrade 之前直接失败：workspace 的 RLS 策略引用了 member， 不先 DROP POLICY 就 drop table，报 "cannot drop table member because other objects depend on it"。 现已按策略先删后删表，downgrade base → upgrade head 全通。 - npm 依赖必须 --ignore-scripts 才能装（沙箱禁止 lifecycle 脚本派生进程）， 已写进 DEVELOPMENT.md；web 首次构建成功（tsc -b + vite，177KB/gzip 58KB）。 验收：pytest 33 passed / ruff 干净 / alembic 升降级往返通过 / web build 通过。
dadao
Steven
dadao
Steven