/proto — 工作流验证原型

原型是用于学习和验证的产物，不是生产系统，也不能证明生产可靠性。只有当未验证的问题可能改变决策，且原型比继续讨论/查资料更便宜时才做。开始前记录待验证问题、媒介及其保真度、原型代表/未覆盖的条件、什么观察会改变决策和时间盒；到期仍未获得相关证据时，结论标为“证据不足”。一次原型优先验证一个高风险假设。若要比较多个方案，在一个可切换原型中呈现差异，不要生成完整产品。

1. 选择验证媒介

先明确要验证的问题，再选择能产生所需证据的最小媒介；模板只是可选起点，不按设备类别硬套：

• 交互/信息呈现：只有页面或终端流程能回答问题时，才检查 templates/ 中是否有合适起点；不匹配时改用项目惯例或更小的自定义原型，不按设备类别硬套。
• 逻辑/状态：用最小 CLI、交互状态模型或测试桩，观察关键状态和边界行为。
• 算法/传感器效果：优先用获准且有代表性的记录做离线回放/评测，必要时用台架或模拟器。页面可以辅助查看结果，但不能替代指标、标注或失败样本证据；缺少数据或评价依据时，只能提出验证方案，不能声称效果已验证。
• 系统/设备集成：优先复用项目技术栈做最小垂直切片；单文件页面不能证明真实集成。智能硬件/具身场景按需使用模拟器、录制数据或台架。
• 物理输出/能量：若原型会驱动真实执行器或产生可能影响人员/环境的运动、热、强光、声压等物理输出（包括台架或硬件在环），先确认测试负责人、受控区域、动作/能量限值、急停/停止方式和旁观人员安全；不得绕过固件/硬件联锁，或在公共演示中触发未评审的自主动作。纯软件模拟无需套用实体动作检查。

当前 HTML 起始模板包含公共 CDN 样式/图标依赖；这是仓库当前状态，使用时仍要检查所选模板的实际外链与脚本。离线、内网受限或禁止外连时，不要原样交付联网模板；改成内联样式/图标或获准的本地资源，并检查页面没有非预期外部请求。离线演示还应关闭或移除实时服务调用。单次原型不需要为此引入通用构建系统。

产物放在 prototypes/<feature-slug>/ 或项目既有临时原型目录，除非用户明确要求，不修改生产应用代码。

若契约缺失，询问已确认的工作流或在原型中清楚标记假设。FDE/客户场景使用脱敏输入，并明确客户环境、身份、数据驻留、集成边界和验收责任人。

2. 演示行为

• 默认先用脱敏 Fixture/模拟数据验证工作流。所有模拟结果明确标记；固定回放不代表真实模型或服务可靠。
• 模拟页面不得在旁边显示未标明的虚构模型名、设备/产线身份、帧率、置信度定义/标定或质量目标，以免免责声明与主画面互相矛盾。若此类细节对演示有用，明确标为“示例/模拟”，否则省略；未经实际集成验证，不得称为本地推理或真实设备结果。模拟统计须与同一份 Fixture/回放一致，不自造验收阈值。
• 若有多个可切换场景，每个场景使用独立、可重复的 Fixture 和清楚的统计范围；切换时加载对应数据并重置该场景的计数，除非用户明确要求跨场景累计并在界面标明。避免切场景后旧事件/旧 KPI 混入新场景。
• 故障/降级场景必须表达明确状态转移：停止产生新的成功检测事件与计数，保留并标记最后一条有效结果（注明“最后有效/已过期”），展示降级提示。恢复后从恢复点继续或重新开始的行为应明确，不能默默把故障期间记成正常检测。
• 多场景回放的细化模式可参考 references/replay-scenario-pattern.md；只有当场景切换会影响结论时才加载，不要求为单场景原型增加状态复杂度。
• 只包含验证工作流有用的场景，通常是成功、歧义/确认、失败/降级。
• 优先呈现用户结果；协议轨迹和假设可供审查。
• 将反馈记录为决策或证据：用户要完成什么任务、哪里失败、哪个假设变化、谁接受结果。
• 交付前按所选媒介实际运行或预览关键工作流：页面看核心内容和控件，CLI/状态模型看输入、状态和输出，算法/回放看样本与指标，集成切片看真实边界是否接通；其他媒介选择能观察目标假设的最小验证。物理输出/能量只在受控区域、保护联锁与急停确认后做获准的最小动作验证；否则仅做仿真/空载并说明未在真实执行器上验证。记录实际观察到的证据；仅凭文件已生成或代码静态检查不能视为运行验证。若出现黑屏、空输出、占位统计或交互未运行，先修复；当前环境无法运行/预览或无法复测时，明确标为“运行/预览未验证”，不得称为可演示/已验证原型，并说明剩余验证步骤。

3. 实时模型/服务模式

• 优先调用项目批准的后端或本地可信代理。浏览器代码不得内嵌凭据、企业服务令牌或客户秘密。
• 仅在明确选择的开发者演示中，允许使用临时个人密钥和合成/脱敏数据直连供应商。不得使用企业生产凭据或客户敏感数据；不持久化密钥，并清楚展示数据将发送到哪里。
• 不满足这些条件时，保持离线模式或标记实时模式不可用；不能为了演示绕过安全边界。
• 实时调用前说明输入流向、供应商/端点及留存/驻留未知项。未获批准前只用脱敏数据。
• 模型输出按不可信数据处理：渲染时转义/净化内容，不执行生成的 HTML/JS 或动作。客户端检查只是演示行为，不是服务端鉴权或持久化门禁。

4. 如实呈现边界

明确标注每个结果属于模拟、代理转发还是连接真实服务。客户端切换到 AWAITING_CONFIRM 或 FALLBACK_ERROR 仅演示界面行为；真实鉴权、确认、重试、降级、持久化、监控和回滚必须由可信服务端实现。

结束时给出结论：假设成立/不成立/证据不足，说明依据和仍未知的部分；标记原型为一次性资产，并建议删除或把已验证的决定移入正式工作项。交付时附原问题、运行/测试方式、时间盒、观察反馈、限制和下一项决策。若还需真实现场暴露来学习，再转 /pilot。不要仅凭 Demo 宣称生产就绪或具备工业级容错。