审批、交付和发布

团队使用 Heicode 时，高危操作不能由 Agent 默认自动完成。审批是团队控制生产风险的核心机制。

必须审批的操作

• 生产部署。
• 生产数据库读写。
• 生产密钥访问。
• 云资源创建、删除、扩缩容。
• 合并到主分支。
• 外部发送敏感数据。
• 大额模型预算消耗。
• 批量删除文件。

审批人机制

每个高危操作可以指定一个目标审批角色（TargetRole），由该角色的成员批准。具体哪个操作配哪个审批角色，目前由任务发起时的实际设置决定，不是平台预置的固定规则表，也没有"生产部署需要 A+B 角色批准"这样的审批矩阵。团队可以按自身分工习惯为不同操作指定合适的 TargetRole，例如生产部署、生产数据库写入、生产密钥访问优先指定给熟悉运维和安全的成员，大额预算优先指定给 Owner。

审批前必须检查

• 操作目标。
• 目标资源。
• 目标环境。
• 影响范围。
• 风险等级。
• 预算影响。
• 是否可回滚。
• 凭证 TTL。
• diff 或部署计划。

审批结果

批准：

• 只批准本次操作。
• 只在当前 TTL 内有效。
• 平台派生短期凭证。
• 写入审计记录。

拒绝：

• 高危操作不会执行。
• 任务进入 blocked 或替代方案。
• Agent 应说明后续选择。

代码审查

代码审查应检查：

• 是否符合需求。
• 是否只修改授权范围。
• 是否有无关改动。
• 是否有测试。
• 是否有错误处理。
• 是否有明文密钥。
• 是否影响生产数据。

Reviewer Agent 可以辅助审查，但最终判断应由团队负责人完成。

功能验收

验收时检查：

• 是否满足验收标准。
• 核心流程是否可用。
• 边界条件是否处理。
• UI 或接口是否符合要求。
• 测试是否通过。
• 文档是否更新。

发布前检查

• 功能已验收。
• 测试已通过。
• 代码已审查。
• 无明文密钥。
• 部署计划已确认。
• 回滚方案已确认。
• 生产审批已完成。
• 监控和日志可用。
• 审计记录完整。

发布后检查

• 服务是否可访问。
• 核心功能是否正常。
• 错误率是否异常。
• 日志是否正常。
• 资源消耗是否异常。
• 用户反馈是否正常。

回滚

需要回滚时：

1. 停止继续部署。
2. 确认上一稳定版本。
3. 执行回滚。
4. 检查服务。
5. 记录原因。
6. 创建修复任务。

回滚同样应记录审计。