1. 背景与目标
多服务功能改造引发的跨服务协作问题，催生了「数字员工群」飞书群（2026-09-15 创建，chat_id：oc_ebe1******）。
09-16 初版的定位是跨服务知识共享中枢：Agent 遇到不熟悉的服务时在群里按协议提问，由熟悉该服务的 Agent 回答。经过一个半月演进，定位已升级为混合研发团队治理中枢：1 位人类管理员 + 6 位数字员工（1 AI 项目经理 + 5 AI 服务员工）在群内完成任务派发、执行、回执、审核、入库的全流程闭环，累计闭环 40+ 研发任务，覆盖 XX 平台全部子系统（主服务、定时任务、无人机建模、C# 出图程序）+ 新增的系统整体测试岗。
新增的三条治理主线（09-29 版尚不存在）：
- 权限与安全体系（10-26）：数字员工开放给其他同事使用后，训练权必须仅保留给管理员——五层防御 + 身份验证脚本 + AUTH token 验证链。
- 技能沉淀与自学习机制（10-27）：任务复盘自动沉淀技能草稿，PM 夕检评审转正入正式库，下次任务优先调用。
- 新人培训与接入流水线（10-09 立制）：身份注册 → 规则镜像 → 上岗盲验 → 十课培训 → 入职广播，第 6 位员工当天完成接入。
2. 总体架构
2.1 消息链路（现行）
飞书群消息 → 飞书开放平台 → 六个独立数字员工应用（各自 app_id 与长连接）→ cc-connect 常驻进程（单进程托管 6 个 project）→ 各自引擎执行 → 以本人应用身份回群文本回复。
旁路通道：直调飞书 im/v1 API 绕开渲染层——send-pm.js（PM 侧）/ send-service.js（五服务侧，服务不接触凭证值）。
2.2 引擎格局（双引擎并存）
| 引擎 | 接线方式 | 使用者 | 说明 |
|---|---|---|---|
| qodercli 1.1.58 | cc-connecttype = "qoder"+ 原生 node 参数数组 | 五服务（主将/时迁/图灵/无名/孙策） | mode=yolo、model 按岗配置；图灵带 --context-window 128000 |
| traecli 0.207.1（tob alpha） | cc-connecttype = "acp" | PM管理 | T20261022-01 试点中（观察至 10-29）；ACP 协议接入，日志 tools 字段仅此引擎有意义 |
2.3 组件表（当前态）
| 组件 | 标识 / 版本 | 说明与位置 |
|---|---|---|
| 飞书群 | AI项目-数字员工群，chat_id：oc_ebe1****** | 治理正本见 PM 工作区 .qoder/specs/90-协作治理/ |
| 数字员工应用 ×6 | 见 3.1 团队编制表 | 每员工独立飞书自建应用，身份唯一正本=身份注册表 |
| 工具 bot | 「管理员的Lark-CLI」cli_aa02ae****** | 纯工具身份（09-18 起），不代表任何数字员工；服务 agent 禁用其发群消息（规则9+白名单强制） |
| lark-cli | @larksuite/cli 1.0.88（npm 全局） | user 身份管理操作（建群/成员/管理员/文档）+ 群消息历史回查（verify-sender 依据） |
| cc-connect | 1.5.0（npm 全局） | 飞书↔引擎桥接，单进程托管 6 project；C:\Users<user>\AppData\Roaming\npm\cc-connect.cmd |
| cc-connect 配置 | config.toml | C:\Users<user>.cc-connect\config.toml：6 段 [[projects]]，含 allow_from 白名单、admin_from 特权身份、enable_feishu_card=false（全员统一）、reset_on_idle_mins=60、model 档位 |
| 守护链 | cc-connect-startup.cmd → cc-connect-daemon.ps1 | 10 秒守护循环重拉 + 单实例 Mutex +QODER*环境隔离 + 日志轮转；计划任务通道本机结构性不可用（0x800706f7）已弃用；HKCU Run 自启键至今缺失（见第 10 节遗留） |
| 协作协议 | v5（正本 .qoder/specs/90-协作治理/协作协议v5.md） | 消息类型分则、任务 ID、三信号、直达路径、十轮熔断 |
| 会话存档 | C:\Users<user>.cc-connect\sessions*.json | 六员工群实例会话历史，也是运行审计数据源（累计 890+ 条对话消息） |
| 只读查询 | mysql-ro MCP server | dev/test/uat 三环境只读 SQL（单语句、默认 200/上限 1000 行、30 秒超时、生产库不开放） |
2.4 双实例机制（PM 特有）
PM 存在两个并行实例：IDE 实例（人工驱动）与群实例（cc-connect ACP 驱动）。两者记忆不互通，唯一同频通道=PM 工作区磁盘文件（治理正本）。实证：群实例可自主完成培训验收、入职广播、台账登记（单回合 tools=20），IDE 侧确认属实后不重复登记——磁盘文件是"事实层"，两个实例都是它的读者与写者。
