发布门禁与数据包

当数字员工开始定期产出报告与数据，最大的风险不是它不干活，而是它产出了看起来很正常、实际上口径不对的东西，而且没人发现。门禁就是为此存在的：一组由平台强制执行的自动校验，加上一次由人做的业务确认。

// 一句话理解

门禁不接受自报合格。所有校验由平台执行、由平台判定，产出方只能提交，不能宣称自己通过了。这一条约束看起来苛刻，但它是「AI 产出可以被当作经营依据」的唯一前提。

发布门禁的五项校验

每次报告发布都要过下面五项。任何一项不过，发布被拒绝，产出停留在草稿状态。

数据日期一致Data window

报告声明的数据窗口与本周期应覆盖的窗口一致。这一项拦住最常见也最隐蔽的错误：用上周的数据生成了本周的报告，页面上一切正常。

标题与归属一致Identity

报告标题、所属业务段与产出者与该节点的定义一致。防止产出被挂错位置——挂错位置的报告等于没产出，因为下游会去正确的位置找它。

关键字段齐备Required fields

节点定义中声明为必须出现的字段，确实出现在产出里。这是对「模型偷懒省略了某一段」的直接防御。

页面可打开Smoke test

平台真实访问一次发布后的页面并确认它能正常渲染。不是检查文件存在，而是检查它作为一个页面确实能用。

回滚可用Rollback

上一版本仍然完整可访问，且校验值匹配。这保证任何一次发布都可以在发现问题时立刻退回，而不是只能紧急修复。

数据包是跨部门交付的结构化摘要。它比报告更严格，因为下游会拿它去算别的东西。一个数据包由六个要素定义：

标识	稳定的业务标识，例如「采购·价格风险·汇总」。标识一旦发布不再更改——下游按它取数。
字段定义	服务端权威。请求里携带的字段定义不作为信任来源，避免产出方单方面改口径。
周期	本包覆盖的时间区间，与价值链节点的周期一致。
过期时间	超过此时间即视为失效，消费端读不到。防止下游拿着半年前的数据继续算。
敏感级	按三级分级判定共享范围，决定哪些部门可以成为消费方。
消费方白名单	明确列出哪些部门可读。白名单之外的部门看不到这个包的存在。

// 最小披露原则

数据包里只放消费方真正需要的摘要与指标。来源方的明细记录、合同原文、内部路径、凭证一律不进包。判断标准很直接：如果下游不用这个字段做计算，它就不该出现在包里。

这样分工的意义在于：技术正确不等于业务可用。一份数据窗口正确、字段齐全、页面正常的报告，仍然可能因为口径与下游的理解不一致而不能用——那是人的判断，不该由自动校验替代。