spec.md 43 KB
应用级业务流程编排器
status: apply created: 2026-08-03 complexity: 🔴复杂 change:
application-business-process-orchestrator
1. 背景与目标
Forge 已经以“应用”作为低代码开发主入口，一个应用可以聚合页面、表单、业务对象、访问入口和发布版本。但流程相关能力仍分散在业务对象流程绑定、自动化触发器、业务动作和 Flowable 流程设计器中。用户必须先理解这些底层资产的差异，再手工拼接“何时触发、操作哪条记录、是否发起审批、审批完成后执行什么动作”，导致应用工作台虽然以应用为入口，业务流程设计仍以对象和技术配置为中心。
本变更在应用工作台建立统一“业务流程”核心面板。一个应用可以创建多个业务流程，每个流程选择一个主业务对象作为记录主体，通过一张可视化画布完成触发、条件、审批子流程、数据动作、消息和结束结果的编排。Flowable 继续作为人工审批权威引擎，现有动作、消息、定时任务、企业集成和统一能力开放平台继续作为节点执行能力；新画布只负责应用级编排、版本、运行状态和恢复，不重造这些底层引擎。
完成后必须达到以下可验证结果：
- 应用工作台只有一个面向普通设计者的“业务流程”入口，不再要求在“业务流程、自动化触发器、自动化动作”三个入口间切换。
- 一个应用可以维护多个有稳定编码、独立草稿和发布版本的业务流程；每个流程首版固定一个开始节点和一个主业务对象，可包含多个条件、动作、审批和结束节点。
- “提交审批”“记录新增后自动审批”“审批通过后更新状态并通知”等场景可以在一张业务画布中完整表达。
- 审批节点引用一个已发布 Flowable 模型；点击节点打开现有真实流程设计器，会签、驳回、退回、抄送、审批人和节点字段权限仍保存在 BPMN 中。
- 业务流程发布后形成不可变版本。应用发布快照固定业务流程版本、业务对象版本和审批模型版本，运行中的实例不受后续草稿修改影响。
- 事件、定时和手动入口先创建持久化运行实例，再异步执行；审批节点进入等待态，收到通过、驳回或取消回调后从对应出口继续运行。
- 旧触发器、对象流程绑定和自动化动作可以预览迁移结果并幂等转换；旧入口停止新增和修改前必须完成迁移校验，历史配置、运行实例和日志不物理删除。
- 所有状态变更、权限、执行身份、幂等、重试、外部调用和审计都在服务端校验；画布和前端按钮不能绕过现有业务运行时。
1.1 目标信息架构
应用工作台
├── 概览
├── 页面与表单
├── 业务流程
│ ├── 流程列表
│ ├── 业务编排画布
│ ├── 运行记录
│ └── 迁移与问题
├── 访问入口
├── 高级数据设置
└── 发布
1.2 本次范围
- 应用级业务流程定义、不可变版本、运行实例和节点运行记录。
- 独立的
businessProcessJson协议、服务端校验器和发布编译器。 - 触发、条件、审批子流程、动作和结束节点的可视化编排。
- 事件、定时、手动三类开始节点；开始节点支持结构化条件，不开放任意脚本。
- 更新记录、创建记录、复用业务动作、发送消息、调用受治理能力、调用子流程等动作节点。
- 审批子流程的启动、等待、回调恢复、结果出口和业务状态修复。
- 手动开始节点发布为列表、详情或表单操作，复用现有页面动作权限与运行机制。
- 应用发布快照、就绪检查、回滚、执行日志、失败重试和迁移工具。
- 采购审批样例和现有低代码示例迁移为新业务流程画布。
1.3 非目标
- 不用新的业务编排器替代 Flowable，也不在应用中心建设第二套审批节点配置界面。
- 不把现有
DingFlowDesigner.flowJson直接作为业务编排存储协议，也不把整张业务画布转换为一个大 BPMN 模型。 - 首版不支持业务画布任意回环、无限循环、动态代码、任意 Java 类、任意 SQL 或任意 URL Webhook。
- 首版不支持跨应用引用未发布流程；子流程只能引用当前应用内已发布业务流程，并必须通过静态循环检查和最大调用深度限制。
- 不承诺跨数据库业务写入、Flowable 启动和外部系统调用的全局事务；通过检查点、幂等、重试和补偿处理部分成功。
- 不允许同一业务记录同时存在多个活动审批子流程；多个纯自动化流程可以并行，但审批启动必须按
tenantId + businessKey检查活动实例。 - 不删除业务动作运行时。业务动作继续作为原子能力存在，只取消普通用户需要单独进入
BusinessActionDesigner维护审批自动化的主路径。 - 不在本 Proposal 阶段修改任何生产代码、数据库、菜单、样例或运行配置。
2. 代码现状（Research Findings）
2.1 应用工作台只有跳转聚合，没有流程编排
forge-admin-ui/src/views/app-center/application-workspace/ApplicationAutomationPanel.vue的ApplicationAutomationPanel按应用对象展示“业务流程、自动化触发器、业务动作”三个按钮，点击后分别打开对象设计器面板；当前“流程自动化”只是导航聚合，不是应用级流程资产。forge-admin-ui/src/views/app-center/application.[applicationCode].vue把automation映射到ApplicationAutomationPanel，工作台没有业务流程列表、画布、版本或运行记录。forge-admin-ui/src/views/app-center/object-designer.[objectCode].vue继续分别加载BusinessFlowAppConfigPanel、trigger.vue和BusinessActionDesigner，应用上下文在进入对象后退化为对象上下文。
2.2 触发器只能表达一个触发和一个动作
forge-server/forge-framework/forge-plugin-parent/forge-plugin-generator/src/main/java/com/mdframe/forge/plugin/generator/domain/entity/AiBusinessTrigger.java的AiBusinessTrigger只保存eventType/eventCondition/actionType/actionConfig，无法表达多步骤、审批等待、结果出口和节点级重试。forge-server/forge-framework/forge-plugin-parent/forge-plugin-generator/src/main/java/com/mdframe/forge/plugin/generator/service/businessapp/BusinessTriggerExecutor.java的BusinessTriggerExecutor#executeAction直接在START_FLOW/SEND_MESSAGE/CREATE_RECORD/UPDATE_FIELD/WEBHOOK之间分支；WEBHOOK仍返回 TODO，且整个触发器只产生一次动作结果。forge-admin-ui/src/views/app-center/components/TriggerActionConfigPanel.vue的START_FLOW配置固定useMainFlow=true，要求先在对象流程配置中维护主流程，用户仍需跨入口完成同一业务链路。forge-server/forge-framework/forge-plugin-parent/forge-plugin-generator/src/main/java/com/mdframe/forge/plugin/generator/service/businessapp/BusinessTriggerSchedulerService.java已通过单个LOWCODE.lowcodeBusinessTriggerScanJob扫描定时触发器并具备集群锁、记录锁和分层提醒，应保留调度机制，只替换配置来源和启动目标。
2.3 业务动作已经具备可复用步骤执行基础
forge-server/forge-framework/forge-plugin-parent/forge-plugin-generator/src/main/java/com/mdframe/forge/plugin/generator/service/businessapp/BusinessActionExecutionService.java的BusinessActionExecutionService#executeSteps已按BusinessActionStepExecutor.supportType()注册并顺序执行步骤，具备步骤结果、幂等日志和失败边界。- 当前步骤执行器已经覆盖
CREATE_RECORD/UPDATE_FIELD/SEND_MESSAGE/START_FLOW/DOMAIN_ACTION/FOREACH，出处为同包下CreateRecordActionStepExecutor、UpdateFieldActionStepExecutor、SendMessageActionStepExecutor、StartFlowActionStepExecutor、DomainActionStepExecutor和ForeachActionStepExecutor。 forge-admin-ui/src/views/app-center/components/designer/BusinessActionDesigner.vue只对数量处理和部分嵌套步骤提供可视化，其余步骤回退高级 JSON；它把审批发起、审批结果动作和页面动作分开解释，进一步增加认知负担。- 结论：动作执行器可以作为新业务流程动作节点的底层能力，但需要抽取公共步骤运行服务，不能让新编排器复制
BusinessTriggerExecutor的动作分支。
2.4 Flowable 绑定仍以业务对象和业务记录为运行主体
forge-server/forge-framework/forge-plugin-parent/forge-plugin-generator/src/main/java/com/mdframe/forge/plugin/generator/service/businessapp/BusinessFlowService.java的BusinessFlowService#startFlow固定查询targetType=OBJECT/bindingType=FLOW，运行时使用objectCode:recordId作为businessKey。AiBusinessBinding虽允许APPLICATION目标，但现有业务启动、任务表单、状态回写和ai_business_flow_instance_link都以业务对象和记录为事实来源，不能仅把绑定行从OBJECT改成APPLICATION。BusinessFlowService已提供流程启动锁、业务实例链接、变量映射、任务表单、回调和结果事件，应由审批子流程节点调用，不新增第二条前端自定义启动链路。.agents/skills/forge-business-flow-development/references/bpmn-configuration.md与code-copilot/memory/decisions.md已冻结：审批节点表单、字段权限、审批人、会签、驳回和监听器归真实流程设计器维护，应用中心只能维护业务对象、流程模型和变量映射。
2.5 DingFlowDesigner 可以复用画布基础，不能直接复用协议
forge-admin-ui/src/components/flow-designer/constants/node-types.js把flowJson的 12 类节点直接映射到 BPMNStartEvent/UserTask/ServiceTask/Gateway/SubProcess/CallActivity。forge-admin-ui/src/components/flow-designer/converter/json-to-bpmn.js的convertJsonToBpmn会把整份flowJson写成 BPMN 2.0 XML；协议中没有应用、主业务对象、触发身份、节点重试和发布依赖语义。forge-admin-ui/src/components/flow-designer/composables/useFlowDesigner.js已提供节点/边增删、分支、布局、撤销重做等可复用图编辑能力，但新增条件分支会默认创建审批人节点，不能直接用于通用业务节点。- 结论：抽取或复用
FlowCanvas、连线、布局、选择、撤销重做等视图基础；业务流程使用独立节点注册表和businessProcessJson，现有DingFlowDesigner继续服务 BPMN 审批设计。
2.6 应用发布已经具备快照和可恢复步骤
forge-server/forge-framework/forge-plugin-parent/forge-plugin-generator/src/main/java/com/mdframe/forge/plugin/generator/service/businessapp/BusinessApplicationSnapshotService.java已把应用、对象、入口、绑定、扩展和权限写入白名单化快照，并清洗敏感键。BusinessApplicationPublishService和BusinessApplicationPublishStep已按PRECHECK/SNAPSHOT/OBJECTS/ENTRIES/PAGE_MENUS/EXTENSIONS/COMMIT执行可恢复发布步骤，可新增PROCESSES步骤和流程版本引用，不另建第二套应用发布入口。forge-admin-ui/src/components/ai-form/AiCrudPage.vue已识别START_FLOW/COMMAND等运行时动作，适合增加稳定的START_PROCESS动作类型，由应用发布编译生成，不在浏览器动态注册后端能力。
2.7 主要问题与风险
- 应用级流程、对象主流程、触发器和动作缺少唯一事实来源，发布快照无法固定完整业务链路。
@Async触发执行没有应用级持久化运行实例；服务重启后无法从审批等待节点或失败节点恢复整张业务链路。- 审批结果动作与状态回写分散在 Flow Binding、BusinessAction 和 Trigger 中，可能重复执行或产生相互覆盖。
- 定时任务、事件触发和外部能力调用的执行身份不同；若不冻结身份策略，可能以管理员或错误租户发起审批。
- 直接删除旧配置会破坏运行中的 Flowable 实例、历史审计和存量应用回滚，且违反项目逻辑删除与可恢复规则。
3. 功能点
3.1 P0：应用级流程资产与统一入口
- 功能 1：应用工作台新增“业务流程”面板，展示流程名称、主业务对象、触发方式、草稿/发布状态、当前版本、运行统计和问题数。
- 功能 2：支持在应用内新增、复制、编辑、停用和逻辑删除业务流程；同一租户和应用内有效
processCode唯一，编码创建后不可修改。 - 功能 3：每个业务流程首版必须选择当前应用已关联的一个主业务对象；业务运行记录使用该对象和记录 ID 构建
businessKey=<objectCode>:<recordId>。 - 功能 4：应用可创建多个流程，但首版每个流程只允许一个开始节点，业务画布必须是有向无环图；多个流程可以引用同一对象，但同一记录同时只允许一个活动审批子流程。
3.2 P0：独立业务编排协议与设计器基础
- 功能 5：定义版本化
businessProcessJson，至少包含schemaVersion/processCode/subject/nodes/edges/policies/dependencies，所有 ID 以字符串传输。 - 功能 6：复用 DingFlowDesigner 的画布、连线、布局、选择和历史能力，建立独立业务节点注册表、节点卡片和右侧配置面板；不得修改 BPMN
flowJson含义来兼容业务节点。 - 功能 7：服务端发布校验覆盖单开始节点、可达结束节点、无环、合法出口、对象/字段存在、节点配置完整、依赖已发布、子流程无递归和敏感配置清洗。
- 功能 8：设计器支持草稿自动保存提示、显式保存、撤销/重做、缩放、居中、节点复制、删除、分支和发布问题定位。
3.3 P0/P1：开始节点
- 功能 9：事件开始节点支持
RECORD_CREATED/RECORD_UPDATED/RECORD_DELETED/STATUS_CHANGED/FIELD_CHANGED/FLOW_APPROVED/FLOW_REJECTED/FLOW_CANCELED和结构化条件。 - 功能 10：新增
FORM_SUBMITTED/ACTION_EXECUTED业务语义事件；审批场景默认使用显式“提交审批”，不把普通草稿保存等同于业务提交。 - 功能 11：定时开始节点支持到期字段、提前/回看天数、分层规则、批量和最小间隔，继续由
LOWCODE.lowcodeBusinessTriggerScanJob统一扫描。 - 功能 12：手动开始节点支持列表行、详情、表单和工具栏位置，发布后编译为
START_PROCESS页面动作；按钮权限、可见条件、确认文案和幂等键由服务端发布快照固定。
3.4 P1：条件、动作与结束节点
- 功能 13：条件节点使用结构化规则，支持 AND/OR、字段比较、状态、审批结果和当前上下文；普通模式不暴露 SpEL、脚本或任意表达式。
- 功能 14：动作节点支持更新记录、创建记录、执行已发布业务动作、发送消息、调用受治理能力和调用当前应用子流程。
- 功能 15：消息动作选择消息模板、发送通道和接收人规则；企业微信等外部协同渠道继续经过消息模块和协同连接，不在画布保存 Secret。
- 功能 16：外部调用使用统一能力开放平台或企业集成连接引用；不提供自由 URL Webhook，凭据、目标白名单、超时和审计由既有平台能力负责。
- 功能 17：结束节点只表达
SUCCESS/REJECTED/FAILED/CANCELED结果，不执行隐藏状态回写；业务状态变化必须使用显式更新记录节点或审批状态映射。 - 功能 18：子流程节点只能引用同一应用已发布业务流程，发布时检查直接/间接循环，运行时限制最大调用深度并继承可信租户和执行身份。
3.5 P1：审批子流程节点
- 功能 19：审批节点选择已发布 Flowable 模型，配置标题模板、表单资产、字段到流程变量映射、审批版本策略和结果出口。
- 功能 20：点击审批节点内嵌打开现有
flow/design.vue和DingFlowDesigner；审批人、会签、抄送、驳回、退回、监听器和节点字段权限只写 BPMN。 - 功能 21：审批节点启动成功后保存
processInstanceId和ai_business_flow_instance_link，业务流程运行实例进入WAITING；不得在画布执行线程中轮询 Flowable。 - 功能 22：Flowable 的通过、驳回、取消和终结回调以
processInstanceId + businessKey恢复唯一等待节点，并从APPROVED/REJECTED/CANCELED/FAILED出口继续。 - 功能 23：审批状态继续由任务创建、任务完成和终态回调幂等维护并支持查询修复；不能只依赖流程结束事件更新业务状态。
3.6 P1：持久化运行、身份与可靠性
- 功能 24：触发命中后同步创建唯一业务流程运行实例，再异步调度节点；运行状态支持
PENDING/RUNNING/WAITING/SUCCESS/FAILED/CANCELED。 - 功能 25：节点运行记录保存节点、尝试次数、开始/结束时间、安全输入摘要、结果摘要、关联 ID、错误码和下一重试时间，不保存 Token、Secret 或完整敏感报文。
- 功能 26：节点执行器按注册表解析，现有
BusinessActionStepExecutor抽为公共步骤运行服务，新触发器和旧业务动作共用同一执行合同。 - 功能 27：事件、定时、手动和流程回调均生成稳定幂等键；外部副作用使用
runId + nodeId稳定键，重试不能重复创建记录、重复发起审批或重复发送消息。 - 功能 28：失败策略支持停止、有限次数重试和人工重试；跨系统部分成功不做伪事务回滚，节点必须记录检查点并按能力提供补偿。
- 功能 29：手动触发使用当前登录用户和当前组织；记录事件使用可信原操作人；定时任务使用显式服务身份。需要发起审批但没有合法普通用户发起人时失败关闭，不回退管理员。
- 功能 30：所有业务对象读写继续经过租户、当前组织、数据权限、字段白名单和业务状态校验；计划任务和回调在最小数据库边界建立并恢复可信租户上下文。
3.7 P1：应用发布、版本和运行治理
- 功能 31：应用发布新增
PROCESSES步骤，为每个选中流程生成不可变版本，并把业务流程版本、业务对象版本、Flowable 模型版本和能力引用写入应用快照。 - 功能 32：流程草稿修改不影响正式运行；新触发只解析应用当前发布快照，运行中的实例始终读取自身固定流程版本。
- 功能 33：应用回滚生成新的应用发布版本，并重新激活目标流程版本和手动按钮投影；已开始的流程实例不回滚、不切换定义。
- 功能 34：运行记录支持按应用、流程、对象、记录、状态、时间和关联 ID 查询，提供节点时间线、失败原因和受权限控制的人工重试。
- 功能 35：发布就绪检查阻断无主对象、对象未发布、审批模型未发布、字段映射失效、无结束路径、递归子流程、审批并发冲突和手动按钮权限缺失。
3.8 P2：存量迁移与旧入口收口
- 功能 36：迁移预览按旧触发器、FLOW Binding 和自动化动作生成新流程草稿、字段映射、警告和无法转换原因，不修改旧配置。
- 功能 37：迁移执行以
legacySourceType + legacySourceId幂等；简单触发器转换为“开始节点 → 动作/审批节点 → 结束节点”，审批结果动作转换为结果出口后的显式动作。 - 功能 38：旧业务动作定义继续作为可复用原子能力；仅审批自动化的独立普通入口收口到新画布，页面交互动作和领域动作运行时不删除。
- 功能 39：迁移校验通过后，应用和对象设计器不再展示旧触发器、旧流程绑定和旧自动化动作入口；旧 API 进入受控只读/兼容期，运行中的旧实例继续执行。
- 功能 40：采购审批样例和相关 seed 转为应用级业务流程；初始化不得覆盖用户已经编辑或部署的 BPMN XML。
4. 业务规则
4.1 应用、流程和业务对象所有权
- 应用拥有业务流程目录、草稿、版本、发布和权限；业务流程不能脱离应用独立发布。
- 业务对象拥有字段、数据表、表单、列表、详情和业务记录，是流程事件与
businessKey的来源；对象仍可被多个应用复用。 - 每个首版业务流程必须有一个主业务对象。动作可以读取或写入当前应用内其它对象，但必须显式配置对象和字段映射。
- 一个应用可以有多个流程；同一流程只有一个开始节点。需要多种触发方式时创建多个流程或由一个手动动作调用子流程，不在首版允许多个开始节点竞争同一运行实例。
- 一个业务记录同一时间只允许一个活动审批子流程。纯数据和消息自动化可以并行，但必须使用各自流程版本和幂等键。
4.2 业务编排与 BPMN 边界
businessProcessJson是应用业务编排事实来源；flowJson/BPMN XML是审批子流程事实来源，二者不能双写同一审批节点配置。- 业务画布只保存审批模型引用、业务字段映射、标题、表单引用和结果出口。审批节点内部配置只能在真实流程设计器修改。
- 审批节点引用必须在应用发布时固定到已发布模型版本或部署标识；后续重新部署不静默改变已发布业务流程版本。
- 业务流程结束节点不得隐式更新字段、发消息或调用外部系统。所有副作用必须是可见、可审计的动作节点。
APPROVED/REJECTED/CANCELED/FAILED是审批节点标准出口。一般字段判断使用条件节点，不要求用户再次编写“审批是否通过”的重复条件。
4.3 触发与手动提交
RECORD_CREATED表示业务记录新增成功，不等同于“提交审批”。草稿型单据默认通过FORM_SUBMITTED或手动“提交审批”开始流程。- 记录事件必须在业务事务完成后进入流程调度；流程运行实例创建成功后才异步执行节点，禁止仅依赖进程内事件维持可靠性。
- 手动按钮只引用稳定
applicationCode + processCode，不能把整份流程 JSON 或 Flowable 参数下发到前端。 - 手动触发必须重新读取业务记录、校验当前状态、操作权限、数据权限和活动审批实例；前端传入的记录数据只能作为显示提示，不能作为权威执行数据。
- 定时触发不为每个流程创建 Quartz Job；统一扫描任务读取已发布的定时开始节点，保留集群锁、记录锁和分层规则。
4.4 状态、身份与幂等
- 状态变化必须通过业务状态机或显式受控更新节点，禁止任意写状态字段绕过合法流转校验。
- 业务审批状态至少兼容
DRAFT/IN_PROCESS/NEED_MODIFY/APPROVED/REJECTED/CANCELED，具体字典可以由对象配置扩展。 - Flowable 审批启动和节点恢复必须使用
businessKey=<objectCode>:<recordId>，前端与 JSON 中的雪花 ID 全部使用字符串。 - 手动、事件、定时和外部调用分别解析可信执行身份；租户、用户、当前组织和权限不得来自画布自由输入或请求 Header 自报。
- 流程运行唯一键至少包含租户、流程版本和来源幂等键。每个副作用节点使用稳定节点幂等键，重试和回调乱序必须安全。
- 回调恢复必须校验运行实例仍处于对应审批节点的
WAITING状态、流程实例匹配、结果尚未消费；重复回调返回幂等成功。
4.5 版本、发布和删除
- 设计草稿可修改；发布版本不可变。任何节点、连线、映射或依赖变更必须形成新流程版本。
- 应用发布快照是正式运行入口，必须固定选中的流程版本和所有依赖摘要。正式运行不得读取当前流程草稿。
- 删除流程使用逻辑删除。存在运行中实例或仍被已发布应用版本引用时阻断删除，允许停用以禁止新触发。
- 运行实例、节点日志和流程版本用于审计，不提供普通物理删除；超期日志只能由明确留存任务按策略清理。
- 旧配置迁移完成前可以兼容执行，但只有一个可写设计入口。迁移不得物理删除旧配置，也不得改变运行中 Flowable 实例使用的历史绑定。
4.6 外部能力安全
- Webhook、企业微信、邮件、短信、系统服务和第三方接口只能引用已注册消息模板、企业集成连接或统一能力开放平台能力。
- 业务流程 JSON、版本快照、运行上下文和日志不得包含 Secret、Token、私钥、Cookie、Authorization 或完整敏感报文。
- 外部调用必须具备目标白名单、超时、限流、幂等和安全审计；失败不得自动切换到未配置的其它通道或身份。
- 高风险、资金、权限和状态动作继续执行原业务服务的专项校验，流程画布不能因节点已发布而绕过审批或人工审查。
5. 数据变更
进入实施时已重新扫描 Flyway 目录：当前最新为并行变更中的 V1.0.82，本变更连续使用未占用的 V1.0.83/V1.0.84；若提交前出现新版本占用，必须 Reverse Sync 后顺延，禁止覆盖或修改已执行脚本。
5.1 新表
| 操作 | 表名 | 关键字段/索引 | 说明 |
|---|---|---|---|
| 新增 | ai_business_process |
id, tenant_id, application_id, process_code, process_name, subject_object_id, subject_object_code, draft_schema_json, design_status, current_version, published_version, status, legacy_source_type, legacy_source_id, del_flag；有效唯一索引 (tenant_id, application_id, process_code, del_flag)；非空旧来源唯一索引 (tenant_id, legacy_source_type, legacy_source_id, del_flag) |
应用级流程定义和当前草稿；del_flag BIGINT 删除时写主键；旧来源唯一索引保障简单来源迁移幂等，合并来源继续由迁移服务和 metadata.legacySources[] 校验 |
| 新增 | ai_business_process_version |
id, tenant_id, process_id, version_no, schema_version, schema_json, schema_hash, dependency_snapshot_json, publish_time, status, del_flag；唯一索引 (tenant_id, process_id, version_no, del_flag) |
不可变发布版本和依赖快照，不提供普通修改接口 |
| 新增 | ai_business_process_run |
id, tenant_id, application_id, process_id, process_version_id, process_code, subject_object_code, subject_record_id, business_key, trigger_type, source_event_id, idempotency_key, actor_type, actor_user_id, active_org_id, status, current_node_id, flow_process_instance_id, context_snapshot, retry_count, next_retry_time, error_code, error_summary, start_time, end_time；唯一索引 (tenant_id, process_version_id, idempotency_key) |
持久化编排实例、审批等待关联和恢复检查点 |
| 新增 | ai_business_process_node_run |
id, tenant_id, run_id, node_id, node_type, attempt_no, status, idempotency_key, correlation_id, input_summary, output_summary, error_code, error_summary, next_retry_time, start_time, end_time；唯一索引 (tenant_id, run_id, node_id, attempt_no) |
节点时间线、重试和安全摘要 |
上述表全部包含 create_by/create_time/create_dept/update_by/update_time，字符集 utf8mb4、引擎 InnoDB。定义和版本表属于用户可见设计元数据，使用逻辑删除；运行与节点运行表属于审计运行表，不提供行级删除接口，超期数据由后续明确留存任务物理清理。
5.2 既有表和快照
| 操作 | 对象 | 变更 | 说明 |
|---|---|---|---|
| 修改 | 应用发布快照 JSON | 增加 processes[]、publishedProcessVersions[] 和 runtimeActions[] |
固定业务流程版本、依赖和手动动作投影 |
| 兼容读取 | ai_business_trigger |
不新增新配置；迁移后进入只读兼容 | 不物理删除，旧运行和回滚继续可追溯 |
| 兼容读取 | ai_business_binding |
旧 OBJECT/FLOW 绑定继续服务运行中实例；新流程不再以该表作为编排事实来源 |
BPMN 节点表单兼容兜底继续保留 |
| 保留 | 业务对象动作配置和 ai_business_action_execution_log |
继续作为原子业务动作和执行审计 | 取消分散主入口，不删除运行时能力 |
| 修改 | sys_resource |
新增业务流程管理、运行记录、重试、迁移预览/执行 API 权限 | tenant_id=1，全部使用 NOT EXISTS |
5.3 迁移标识
ai_business_process.legacy_source_type/legacy_source_id 用于记录 TRIGGER/FLOW_BINDING/AUTOMATION_ACTION 来源并建立幂等迁移约束。同一旧配置重复执行迁移时返回已有流程，不重复创建。包含多个旧来源的合并流程在 draft_schema_json.metadata.legacySources[] 保存脱敏引用，迁移报告列出被合并关系。
6. 接口变更
6.1 设计与管理接口
| 操作 | 接口 | 方法 | 变更内容 |
|---|---|---|---|
| 新增 | /ai/business/process/page |
GET | 按应用分页查询业务流程 |
| 新增 | /ai/business/process/:id |
GET | 查询流程定义、草稿摘要和发布状态 |
| 新增 | /ai/business/process |
POST | 在应用内创建业务流程 |
| 新增 | /ai/business/process/:id/copy |
POST | 在同一应用内复制流程为新草稿；必须提供新的唯一编码，不复制发布和运行状态 |
| 新增 | /ai/business/process |
PUT | 修改名称、描述、主对象和草稿协议；编码不可修改 |
| 新增 | /ai/business/process/:id |
DELETE | 无运行中实例和有效发布引用时逻辑删除 |
| 新增 | /ai/business/process/:id/designer |
GET | 获取完整草稿、字段目录、节点能力和依赖候选 |
| 新增 | /ai/business/process/:id/schema |
PUT | 保存 businessProcessJson 草稿和摘要哈希 |
| 新增 | /ai/business/process/:id/validate |
POST | 执行发布前图、对象、字段、身份和依赖校验 |
| 新增 | /ai/business/process/:id/status |
PUT | 启用或停用新触发，不改变历史版本 |
6.2 运行与运维接口
| 操作 | 接口 | 方法 | 变更内容 |
|---|---|---|---|
| 新增 | /ai/business/process/runtime/:applicationCode/:processCode/start |
POST | 执行已发布手动开始节点；服务端重新加载业务记录和权限 |
| 新增 | /ai/business/process/run/page |
GET | 查询应用级流程运行记录 |
| 新增 | /ai/business/process/run/:id |
GET | 查询运行详情和节点时间线 |
| 新增 | /ai/business/process/run/:id/retry |
POST | 对可重试失败实例执行受权限控制的人工重试 |
| 新增 | /ai/business/process/run/:id/cancel |
POST | 取消尚未进入不可逆终态的业务流程运行；审批取消仍调用 Flowable 受控接口 |
6.3 迁移接口
| 操作 | 接口 | 方法 | 变更内容 |
|---|---|---|---|
| 新增 | /ai/business/process/migration/preview |
POST | 按应用预览旧触发器、绑定和动作转换结果 |
| 新增 | /ai/business/process/migration/apply |
POST | 对预览签名一致的结果执行幂等迁移 |
| 新增 | /ai/business/process/migration/issues |
GET | 查询无法自动转换、字段失效和审批冲突问题 |
旧 /ai/business/trigger/** 和 /ai/business/flow/binding/** 在迁移期保留兼容。停止编辑前先在前端移除普通入口并对写接口增加迁移状态保护，不能直接删除 Controller 或数据库表。
7. 影响范围
7.1 后端
forge-plugin-generator/domain/entity：新增流程定义、版本、运行和节点运行实体。forge-plugin-generator/mapper与resources/mapper：新增 XML 查询、CAS 状态迁移、运行锁定和迁移查询。forge-plugin-generator/service/businessprocess：新增 Schema、校验、编译、触发分发、编排运行、节点注册、审批恢复、发布和迁移服务。BusinessEventPublisher/BusinessTriggerExecutor/BusinessTriggerSchedulerService：新配置优先进入编排器，旧配置保留兼容适配。BusinessActionExecutionService及步骤执行器：抽取公共步骤运行合同，供业务动作与流程动作节点共同使用。BusinessFlowService：支持显式审批节点上下文、返回关联信息并发布可靠恢复事件，任务表单和状态回写逻辑不迁移到新模块。BusinessApplicationSnapshotService/BusinessApplicationPublishService/BusinessApplicationRuntimeService：加入流程版本、PROCESSES发布步骤和手动动作投影。forge-server/db/migration：新增表、索引、字典和权限资源；迁移 JSON 语义由 Java 服务处理，不在 Flyway 中拼接复杂画布。
7.2 前端
application-workspace/ApplicationAutomationPanel.vue：替换为应用级业务流程列表、运行记录和迁移问题入口。application.[applicationCode].vue与ApplicationWorkspaceNav.vue：将automation收口为唯一“业务流程”核心分区。components/business-process-designer/：新增业务画布、节点注册、节点卡片、配置面板、协议归一化和校验提示。components/flow-designer/：只抽取可复用图基础，不改变DingFlowDesigner的 BPMN 语义和转换测试。object-designer.[objectCode].vue：迁移完成后移除普通用户的旧流程绑定、触发器和自动化动作入口，保留高级兼容诊断。AiCrudPage.vue与views/ai/crud-page.vue：新增START_PROCESS动作协议、加载态、确认、权限和运行结果处理。api/business-process.js：新增设计、运行和迁移 API。
7.3 现有样例与运行数据
- 采购审批样例的手动提交、审批流程和结果动作迁移为新业务流程版本。
ai_business_flow_instance_link、Flowable 历史、旧触发器日志和业务动作日志继续保留。- 旧应用发布快照仍可回滚和运行；新应用发布快照才包含
processes协议。
8. 风险与关注点
⚠️ 本变更涉及业务状态流转、审批权限、定时服务身份、跨系统调用和旧配置迁移，进入
/apply前必须完成人工安全与状态机审查。
| 风险 | 级别 | 控制措施 |
|---|---|---|
| 把业务画布错误转换为大 BPMN，导致审批和自动化双重事实来源 | Critical | 新建 businessProcessJson，只复用画布基础；审批节点引用独立 BPMN |
| 同一记录重复发起审批 | Critical | 活动实例检查、流程运行唯一键、审批节点幂等键和 Flowable 启动锁 |
| 回调乱序或重复导致审批后动作重复 | Critical | 节点 CAS、processInstanceId 关联、结果一次性消费和动作幂等键 |
| 定时任务以错误用户或管理员发起审批 | Critical | 显式服务身份和发起人策略；没有合法普通用户时失败关闭 |
| 状态更新绕过业务状态机 | 高 | 状态动作调用领域状态服务；发布校验识别高风险字段，禁止通用字段节点直接改受保护状态 |
| 旧配置清理破坏运行实例和回滚 | 高 | 只读兼容、幂等迁移、逻辑删除、旧快照保留和分阶段停写 |
| 外部调用泄露 Secret 或形成 SSRF | 高 | 只引用统一能力/企业集成连接；快照敏感键清洗和出站白名单 |
| 服务重启丢失等待或失败节点 | 高 | 持久化 run/node_run，启动扫描恢复 PENDING/RUNNING/WAITING 异常状态 |
| 应用发布与流程版本部分成功 | 高 | 新增可恢复 PROCESSES 步骤、不可变版本和幂等提交，不伪装全局事务 |
| 画布协议无限扩张导致运行时不可控 | 中 | schemaVersion、节点白名单、DAG、最大节点数/分支数/子流程深度和严格校验 |
8.1 回滚原则
- 新表和新 API 可以通过功能开关关闭，新发布入口回退到旧兼容运行，不删除已生成版本和运行记录。
- 应用发布
PROCESSES步骤失败时保留发布运行单和候选快照，不提交应用新版本；重试复用同一运行单。 - 已迁移旧配置不删除，回退时可以重新启用旧兼容读取；迁移后产生的新运行实例不转换回旧触发器。
- 已启动 Flowable 实例继续按启动时的 BPMN 和业务流程版本完成，不因关闭新设计入口被终止。
8.5 测试策略
- 单元测试：Schema 归一化、图校验、无环/可达性、字段映射、身份策略、幂等键、节点状态机、审批结果出口、子流程循环和敏感键清洗。
- 服务测试：流程 CRUD、版本不可变、运行 CAS、重试、迁移预览/执行、应用发布
PROCESSES步骤和回滚快照。 - 合同测试：每种节点执行器使用 Fake Context 通过成功、失败、重试、重复调用和权限失败合同；现有 BusinessAction/Message/Flowable 行为回归。
- 前端测试：业务画布节点/连线编辑、草稿保存、条件和动作配置、审批设计器打开、问题定位、手动动作投影及旧入口隐藏。
- 集成测试：记录提交 → 持久化 run → 启动 Flowable → 回调恢复 → 状态更新 → 消息；定时扫描与手动按钮分别覆盖。
- 迁移测试：旧触发器、FLOW Binding、审批结果动作、无法解析 JSON、失效字段、重复执行和运行中旧实例。
- 安全测试：跨租户/跨应用/跨对象、无数据权限、伪造 actor、定时无发起人、回调重放、任意 URL/Secret 注入和日志脱敏。
- 性能目标：应用 100 个流程、单流程 100 个节点时设计详情和发布校验可用；事件匹配只读取当前发布快照索引，不扫描全租户草稿。
- 覆盖率目标：新增后端协议、状态机、迁移和核心编排分支覆盖率不低于 80%；关键前端协议工具分支覆盖率不低于 80%。
- 独立 Test Spec：是。进入
/test或编码阶段验证前创建test-spec.md和execution-log.md，并读取code-copilot/rules/automated-testing-standard.md。
9. 待澄清
以下采用推荐默认值写入 Proposal，用户明确确认后才能进入 /apply：
- 首版图能力：每个流程一个开始节点、业务画布只允许 DAG；循环只允许在 Flowable 审批内部或受控
FOREACH动作中存在。 - 审批并发：同一
businessKey同时只允许一个活动审批子流程；多个应用级自动化可以并行。 - 定时审批发起人：必须配置一个受限普通服务用户或从记录字段解析唯一普通用户；解析失败时不启动审批，不回退 admin。
- 旧入口停用节奏：“迁移预览 → 沙箱转换 → 新旧结果对比 → 新入口启用 → 旧写接口锁定 → 观察期后隐藏兼容入口”，不一次性删除旧表和 API。
- 子流程范围：首版只允许同应用已发布业务流程，最大调用深度 5；跨应用调用后续通过统一能力开放平台实现。
- 自由 Webhook：不提供，统一使用企业集成连接或能力开放平台中的受治理能力。
10. 技术决策
- 应用拥有流程，业务对象拥有记录。 流程定义、版本和发布属于应用；每次运行仍必须绑定明确业务对象和记录，不能把应用 ID 当作审批
businessKey。 - 一张业务画布，两套清晰运行边界。 应用画布负责触发和业务编排；Flowable 负责人工审批。审批节点是引用和等待点，不复制 BPMN 节点配置。
- 复用画布基础，不复用 BPMN 协议。
DingFlowDesigner的渲染、布局和历史能力可以抽取；flowJson与 BPMN 双向转换保持不变，新建版本化businessProcessJson。 - 编排器只协调，节点委托现有能力。 动作、消息、审批、企业集成和开放能力通过节点执行器注册表接入；不在编排器复制各模块业务逻辑。
- 持久化运行优先于异步执行。 先创建 run/node_run 检查点，再异步执行；审批节点进入等待并由回调恢复，服务重启可以扫描恢复。
- 显式副作用。 结束节点不做状态回写，审批结果通过标准出口连接到显式动作，保证设计、审计和排障一致。
- 应用发布是唯一正式发布边界。 流程可以保存和校验草稿，但正式版本随应用发布生成；运行入口只读取应用发布快照。
- 一个可写入口，兼容运行分阶段退出。 旧触发器、绑定和动作数据不物理删除；迁移后停止旧入口新增修改，新运行优先新流程，历史实例继续旧链路。
- 复杂 JSON 迁移使用 Java 服务。 Flyway 只建表、索引、字典和权限；旧 JSON 的语义转换需要预览、验证、问题单和幂等，禁止在 SQL 中猜测。
- 默认失败关闭。 无可信身份、对象/字段失效、审批版本漂移、权限不足、回调不匹配或外部能力不可用时停止当前节点并记录安全错误，不静默跳过或换身份执行。
11. 执行日志
| Task | 状态 | 实际改动文件 | 备注 |
|---|---|---|---|
| Research | completed | 本 spec.md、现有应用/触发器/动作/Flowable/发布代码 |
已核对当前入口、协议、执行器和迁移边界，未修改生产代码 |
| Proposal | completed | spec.md, tasks.md |
已形成应用级业务流程编排器提案和任务拆分，未创建测试或执行日志 |
| HARD-GATE | completed | 本 spec.md、tasks.md、test-spec.md、execution-log.md |
用户于 2026-08-03 明确要求开始开发，按第 9 章六项推荐默认值进入 /apply |
| Apply/M1 | in_progress | 当前变更目录及后续 Task 1-7、14-16 实现文件 | 先完成控制面与画布，不接管正式触发 |
| Apply/M2-发布边界 | completed | Task 12 后端发布、快照、就绪检查与回滚投影 | 已固定不可变流程/对象/Flowable 版本；正式触发与手动动作仍由 Task 10/13 接入 |
12. 审查结论
- Proposal 自审：目标、现状、功能、数据、接口、迁移、风险、测试和任务链路已经对应。
- 架构边界：未建设第二套审批引擎；未把应用直接当作业务记录；未直接扩展 BPMN
flowJson承载应用自动化。 - 安全边界：状态、权限、身份、外部调用、幂等和旧数据迁移均已标记人工审查门禁。
- 当前结论：第 9 章默认决策已确认，允许按
tasks.md顺序进入/apply；状态、权限、幂等、迁移和真实 Flowable 联调门禁继续保留。
13. 确认记录（HARD-GATE）
- 确认时间：2026-08-03。
- 确认人：用户（当前会话）。
- 确认范围：第 9 章首版图能力、审批并发、定时发起人、旧入口停用、子流程和 Webhook 六项推荐默认值全部确认。
- 当前授权：允许按本 Spec 与
tasks.md进入/apply，修改生产代码、Flyway 脚本、前端页面和样例；不授权自动启动真实服务、执行数据库迁移或改变现有 Flowable 运行态。