WORKSPACE / 管理中心
内容与配置
首页公告
快捷费用分类
仅调整快捷录入选项，不修改历史账目。最多 20 个，至少启用一个。
功能入口
关闭后隐藏或停用对应入口；不会删除数据，也不会停止已设定的后台周期任务。
帮助与联系
定时发布
在指定时刻自动发布下单时冻结的这一份快照——不是届时草稿的样子。执行入口挂在分钟级调度器上；期间若有人工发布，本次不会执行（避免静默回滚他人的发布）。时间按北京时间填写。
内容中心
帮助、常见问题与更新说明。正文一律纯文本：脚本、内联事件属性与可执行链接会被服务端拒绝入库；每条可设有效期（北京时间，含当日），未到生效日或已过截止日的条目在小程序里不会显示。首页公告是另一项，不受这里影响。
每一次发布，都有记录
回滚会发布一个新版本，不删除历史，不覆盖当前草稿。
配置备份与恢复
这是配置备份，不是全库备份：只含公开配置、功能控制与版本元数据，不含任何用户业务数据。导入只进草稿、需人工发布，不能恢复用户数据。范围可现场核对（下面的「查看备份范围」）。
总览
模块自检结论
注册表 × 代码 × 库的三方一致性自检结论：声明的集合/索引/定时依赖是否真实存在、每个模块在服务端与客户端各有几个拦截点（0 个＝后台设了「维护中」也不会生效）。数据来自自检脚本落库的每日快照；「现场探测」是本次请求实时读取集合的结果，两者分开标注。没有快照时显示「未接入」，不以空表冒充健康。
异常事件
只记脱敏分类、影响功能、请求标识、处理状态与备注；不含密码、令牌、密钥或完整账单正文。处理动作会写入操作日志。
任务失败计数
AI 调用质量
数据来自 aiTelemetry 的按天脱敏计数：只含成功/失败、通道、错误码分布与耗时分桶，不含提问内容、模型回答、用户身份。延迟是分桶计数、不是分位数；成本项没有账单来源，故不展示费用。未接入项一律显示「未接入」，不以 0 冒充正常。
业务数据诊断
只读扫描 expenses / todos / projects，检查数据是否违反它自己声明的不变量：退款超额、转账未配对、父子任务范围分裂、越权或悬空的项目关联。这几类在写入时都有校验，但历史数据、并发之间被撕开的缝、控制台直接改过的数据都拦不住 —— 而且它们不会报错，也不出现在任何业务界面上。本区块只列不改，修复需另行设计预览与审计。未采集到或已截断时一律显式标注，不用「0 项异常」冒充正常。
共享账本附件导出
把一段时间内的发票 / 付款凭证 / 合同打成一个 zip：一条账单一个目录，包根目录带 账单清单.csv，每行给出消费日期、上传时间、金额、所属账单标识与包内路径，可直接对账。
范围只含共享账本（公司 / 项目）的记录。私人记录不会出现在这里——员工的私人票据只能由其本人在小程序里自己导出，这个边界写在服务端端口里，不是靠前端藏按钮。
单次上限 40 个文件 / 20MB：超出的部分会列进包内「未导出清单.csv」并明确标出截断，不会静默少几张。每次导出都会写入操作日志。
调度器
任务＝平台定时器绑定的执行入口。暂停/恢复写的是功能控制级别草稿，需发布后才生效，服务端 gate 会真的跳过本轮——不是隐藏按钮。
规则型任务统计
只给聚合计数，不逐条展示用户规则：规则标题与金额语义属用户私人数据，运维需要的是「多少条在跑、多少条暂停、最近失败几条」。
执行历史
平台限制
平台配额与授权状态决定能否送达，后台不承诺必达。
版本矩阵
各层版本分开展示，不用一个版本号代替全部。未接入的槽位显式标注「未接入」，不填占位号。
可回滚版本
部署记录
记录由受信任发布流程登记（产物哈希、验证结果、release 目录）。后台只展示，不提供任何命令执行能力。
操作日志
记录配置保存、发布、回滚与管理员变更，不展示用户账目。导出为脱敏 CSV，不含密码、令牌或账目。
功能中心
按分组展示真实模块：控制级别、依赖与真实健康状态。状态来自服务端探测，不以云函数存在与否臆断。
发布前检查
本次变更影响、依赖与最低客户端版本提示。发布说明必填，配置 JSON 差异仅供核对。
用户反馈
只展示用户主动填写的内容与截图；系统不会附带任何账目正文。内部备注与给用户的结论是两回事：备注不进用户视图。
管理员账号
超级管理员可发布与授权；运营可编辑草稿；只读仅查看。权限或密码变更后原会话失效。
登录记录与会话
每次登录都会留下记录。撤销会话后对方立即失效；改密码、改角色或停用同样会让旧会话失效。