01 / 钱是怎么漏的
钱不是在签合同时丢的，是在后面这几次「算了」里丢的
共性清单 · 按漏钱频次排列
OPC和独立开发者，最常说的不是「我缺一份合同模板」，而是这些：
客户一句「这个改动不大吧，顺手做了」，三个功能白做
二期交付两周了，群里@了三遍，还是没人回
尾款拖了 45 天，催款消息改了六遍，还是没好意思发出去
平台账期压着，提现前根本不知道这单到底挣多少
微信、支付宝、对公转账各走一笔，手续费各自扣，月底对不上
报价时按不含税谈，结算要开专票，税点落在哪一单上说不清
客户换了个对接人，之前口头答应的需求现在没人认
合同签没签、签的是哪一版，翻三年前的聊天记录找半天
八条的共同点是：每一步都靠记忆和人情在撑。记忆会漏，人情会耗。这套系统做的，就是把这几步从「记得就做」改成「系统不让你跳过」——里程碑没验收就进不了开票清单，票开出去就删不掉，到账记了状态才会走。
02 / 业务主线
一条闭环，八个业务对象
这不是流程图，是数据模型。每个环节对应一张表，每一步都有门禁——点任意一个环节，下面三张卡就会换成它自己的规矩。
一个客户，一行数据
项目、合同、发票全部挂在客户下面。客户列表支持带金额口径的视图——这个客户一共开出去多少、收回来多少、还欠多少，一行看完，不用自己拿计算器对。
删不掉是有意的
客户名下只要还有项目或发票，删除请求直接返回 409，不是弹个窗让你自己判断。否则删完客户，会留下一堆悬空的项目和单据。
存在哪张表
表 Client。项目通过 Project.clientId 指向它——这样发票的客户归属永远有唯一来源，不靠人填。
客户与钱之间的那根轴
里程碑挂在项目下；发票的客户归属也以项目为准——你填的客户和项目对不上，系统不会「以你填的为准」。
写票时的第一道校验
生成开票草稿之前，系统先核对项目属不属于你这个账号。拿别的账号的项目编号来开票，直接拒。
存在哪张表
表 Project。clientId 决定归属，Milestone.projectId 往下挂一层。
合同额是唯一事实源
项目、合同、发票三处金额必须一致，不一致时系统提示而不是静默通过——防止合同与账本分叉。发票的票面金额只能来自所选里程碑的金额合计，不允许凭空填。
五步走完，不靠第三方
AI 起草 → 条款审查 → 你确认 → 发起签署 → 签署完成。签署由平台自主完成，不依赖外部签署服务。效力分层 L1 / L2 / L3，默认 L2。
存在哪张表
表 Contract / ContractSigner / ContractReview，7 个接口：起草、生成、审查、签署人、作废等。每一步都留痕。
四个状态，一路向上
待开始 → 进行中 → 待验收 → 已验收。只有走到「已验收」，这个节点才有资格进开票清单。
开过票就锁住
已被有效发票覆盖的里程碑，禁止修改与删除。不然改完金额，票面就对不上了。
存在哪张表
表 Milestone。status 一个字段驱动整条链——它不动，后面的发票就动不了。
只有「已验收」能进清单
验收不是打个勾，是一道闸门。没验收的里程碑，永远不出现在开票的可选列表里——不是「建议你别选」，是根本选不到。
四道校验，一个函数
生成前逐条核对：项目属本账号 / 客户以项目归属为准（传错客户直接拒）/ 里程碑属该项目、已验收、且从未被有效发票覆盖 / 金额等于里程碑合计。
三条入口，口径不会走样
你自己开、外部系统草稿、审批台确认——三条路共用同一个校验函数。门禁只有一份实现，所以不会「这条路能过、那条路也能过」。
票号连续，不跳不重
按当期最大号 +1，撞号自动重试。你看到的编号是连续的，和账本对得上。
开出去就删不掉了
只有草稿可以删；已开票的只能作废，不能物理删除。改金额时不得低于已收金额——票面不会小于已经到手的钱。
账期有默认
账期留空，自动按开票日 +30 天。杜绝「没有账期的发票 ⇒ 逾期永远为 0」这种自欺欺人的报表。
只记录，不代付
到账是你手工登记的一笔流水。系统不代收代付、不碰税——它只把「钱到了」这件事记准。
记不准的不让记
同一笔重复提交会被「同一笔只认一次」的规则挡住；单笔金额不得超过这张票的未收金额。
记错了也有路
可以把记错的那笔更正掉，但必须填原因，并且写进审计。错账不是删掉，是留痕地纠正。
唯一不能手工设的状态
已结清 是全系统唯一不可人工设置的状态——它只能由到账累计推出来。没有任何一个接口，能把一张票直接标成已结清。
状态机里它没有入边
允许的流转是 已开票 → 部分到账 → 已结清，而「已结清」只能再往下走到 已作废。想往回改，接口直接拒。
对账不打折
欠款按每张票单独算：这张票多收了，不会拿去抵另一张票的欠款。所以你筛不筛选，欠款总额都是同一个数。
03 / 怎么用
登录后第一眼：今天该干什么
工作台上就四类待办——应收、逾期、待验收、已验收未开票。不用自己翻表拿计算器对，点进去就是当天要做的事。日常你实际只做三步：
第 1 步 · 建档
把这一单立起来
建客户 → 建项目 → 存合同。合同额就是项目金额，合同 / 项目 / 开票三处金额必须一致，对不上时系统会提示，不会默默放你过去。
第 2 步 · 交付
按里程碑推进，让对方验收
把项目拆成几期，每期走「待开始 → 进行中 → 待验收 → 已验收」。没验收的那一期，开票时根本不在可选列表里——不是建议你别选，是选不到。
第 3 步 · 收钱
开票、记到账、自动结清
勾选已验收的期数批量开票，编号连续不重复。之后每收到一笔就登记一笔，状态自己滚动：已开票 → 部分到账 → 已结清。没有任何地方能手工把票勾成「已收」。
04 / 能力地图
八个模块，一个都不用自己拼
上面是日常动线，这里是它背后全部的能力。八个模块全部开箱可用，不用你再接第三方工具拼起来。
客户
档案新建、修改、按关键字检索。列表可切到带金额口径的视图——直接看这个客户累计开了多少、回了多少。
删除受保护
项目
项目建档与状态推进。合同额即项目金额，合同与发票都向它对账——三处金额的唯一事实源。
金额单一事实源
合同
AI 依据项目上下文（客户、类型、金额、周期、范围）起草正文，再做条款级风险审查并分级（高 / 中 / 通过）。正文改一次，版本号 +1，旧版留痕。
AI 起草 · 版本留痕
里程碑
按项目拆分期，跟踪 待开始 → 进行中 → 待验收 → 已验收 四态并记录验收时间。已开票的里程碑即锁定。
四态状态机
发票台账
勾选已验收里程碑批量生成草稿，设税率与账期。编号按「当期最大号 + 1」分配，撞号自动重试，连续不重复。
编号连续不重复
到账对账
同一笔只认一次、单笔不得超过未收余额；支持更正，更正必须填原因。发票与到账两类 CSV 导出，带 BOM，Excel 直开不乱码。
只认一次 · 不超额
审批台
AI 与外部系统产生的一切写操作的唯一出口。草稿进待确认列表，你批准才写入，驳回要写原因；草稿不可重复处理，过期自动失效。
唯一写入出口
审计流水
操作者、时间、IP、动作、请求标识、会话标识全量留痕。可按请求标识或会话标识回放一次 AI run，或一整段用户操作序列。
可回放
05 / 账本门禁
六条系统级约束，关不掉
凡是和钱有关的数据，这套系统做的是写入拦截，不是操作建议。下面六条不是设置项，关不掉也改不了——它们写在代码和数据库里。
金额只用整数存
所有金额都按最小单位（分）存成整数，不存 12.34 这种小数。这样不管加多少次、减多少次，都不会因为小数点四舍五入而算出对不上的数。税额按含税、不含税两种算法分别用整数公式算。
开出去的发票删不掉
只能作废，不能删。这样票号不会被一次误操作弄断，也没有「先退回草稿、再删掉」这种把票据销毁掉的路子。
状态不能手动改
「已结清」不是一个可以勾选的选项。请求里直接写 status: 'PAID'（已收款），会被系统拒掉（返回 400）。它只能由一笔笔到账累积推出来，谁也改不了。
同一笔到账只认一次
重复提交同一笔到账，系统只会记一次，多提交的那次直接拿回原来那条。录到账时先锁住这张票、按最新的欠款余额核对，单笔不能超过还欠的金额。
改正到账必须写原因
要改掉或删掉一条到账记录，都必须填原因，原因原样进审计。想改金额，不能靠「删了重录」绕过去。
开错了有路可退
还没收到钱的发票可以直接作废，作废后里程碑自动放开、能重新开票；已经收到钱的，要先把每一笔到账都更正掉，才能作废。草稿可以直接删，但只要「开出去过」，就永远只能作废、不能删。
06 / AI 通道
AI 能读你的账，不能偷偷改
这不是提示词约束，是物理实现。外部系统走的是业务连接，但「写」被刻意收窄成「只写草稿」——业务表零改动。
GATE 01
白名单视图与字段
只允许访问登记在白名单内的脱敏视图，而且细到字段——例如某张表只授 id、tenantId、name、source、tags、note、createdAt 这几列。口令散列、客户联系方式明细对 AI 不可见。
GATE 02
账号由网关注入
账号条件由网关强制注入；请求里一旦出现账号字段，直接拒绝。AI 无法自己指定要读哪家账号。
GATE 03
只读角色 + 全表逐行隔离
AI 侧使用独立的数据库角色，无写权限；全表启用逐行隔离策略，写入与建表语句直接报错。业务应用与 AI 网关用的是两个不同角色。
GATE 04
行数与超时硬上限
任何查询都有返回行数硬上限，执行超时受控。没有「把整张表捞出来」这条路。
这个月还有多少没到账？
结构化查数。「哪些发票逾期」「按客户汇总开票金额」都走这条路。金额口径由数据库计算，不依赖模型自己加总——模型算错金额是这类系统最贵的 bug。
合同里约定的付款节奏是什么？
混合检索。「哪条备注提过分期」也能问。词法 + 向量双信号检索，返回带出处的命中，而不是一段无法核对的总结。
AI 或外部系统产生的任何写操作——包括开票草稿——都先进审批台。确认时先抢一把「谁先改到谁算」的执行权（status='DRAFT'，草稿状态，且影响行数恰好为 1），只有抢到的那个请求能执行；写入那一刻再走一遍完整门禁（比如该里程碑期间被别人开过票 → 409）。审计里操作者记的是你，会话标识指向外部系统那次 run，整条链路可回溯。
07 / 内测期价格
内测期价格
以下为拟定价格，内测成员享首年优惠。我们不抽你的项目流水。
08 / 内测名单
加入内测名单
留个邮箱。第一批开放 20 个名额，我会亲自陪你迁移一个真实项目。
我们只发产品进展，不做营销骚扰，随时可退订。
09 / 运行环境
如果你想自己跑，这些就是全部依赖
不想自己跑就用SaaS托管版。想自己跑也行——私有部署从第一天就支持，没有藏在企业版里的开关。
运行环境
- 服务器Linux 或 Windows，2 核 4G 起步
- 运行时Node.js 18 及以上
- 数据库PostgreSQL 16（本地开发可降级 SQLite）
- 应用框架Next.js（服务端渲染 + 接口路由）· Prisma
- 浏览器Chrome、Edge 等现代浏览器的最新版本
- 准入方式无自助注册，管理员开通账号；口令 scrypt 散列存储
- 会话HMAC 签名 Cookie：httpOnly · sameSite=lax · 30 天 · 生产环境 secure
部署与数据安全
- 部署开发
npm run dev；生产npm run build后npm start - 密钥门禁生产必须配置不少于 16 字符的会话签名密钥，密钥缺失时服务拒绝启动——刻意的安全设计，不是配置疏漏
- 初始化一次完成建库、建表、逐行隔离策略与脱敏视图部署，并以自检表确认安全对象全部就位
- 双数据库角色业务应用与 AI 只读网关使用不同角色，AI 侧无写权限、语句超时受限
- 账号隔离全部业务查询强制携带账号条件；跨账号访问一律按「对象不存在」处理
- 限流登录接口与 AI 查询接口均配滑动窗口限流
- 备份定期备份数据库与环境变量（含会话密钥）；恢复演练后核验客户、发票、审计三类数据完整
10 / 你会撞上的拦截
你会撞上它们，这是故意的
一个能随便改账的系统，账就是不可信的。下面六条是你一定会遇到的拦截——每一条背后，都有一条不许绕过的约束。
「该项目下还有发票或关联业务，不能删除」
先处理关联数据
删客户或项目时，名下还有子对象就直接拒绝；项目还挂着发票时，由数据库兜住。防的是误删导致账目断链。
「该里程碑已开票，禁止修改与删除」
票、款、里程碑口径一致
一张发票一旦覆盖某个里程碑，该里程碑就锁住。这是三者金额永远对得上的机制，不是权限限制。
「发票状态不可直接设为已收款」
状态只能滚动产生
状态由到账累计自动推导。你唯一能做的是登记到账，状态自己会走。
「到账金额超过该发票的未收余额」
不许多收一笔
校验建立在「锁住这张票、重新读一遍余额」之后，不是请求进来时的旧数字——并发下也不会被钻空子。
「该发票仍有到账，请先逐笔更正」
已收款禁止直接作废
先把每一笔到账更正掉才能作废，而且必须填原因。这样「这笔钱为什么退回去」永远查得到。
「检索结果为空」
检索索引需要手动重建
索引现状（语料条数、上次重建时间、模型有没有换过）随时可查。换过检索模型就必须重建——不同模型算出来的向量不能互相比较。
11 / 边界与常见问题
先把边界说清楚
下面每一条都是「我们不做什么」，以及为什么不做。签之前先把这些看完。
不会，也绝不会。你继续用自己的通道收——PayPal、Wise、Payoneer、Stripe、客户电汇，哪个都行。我们只记录应收、到账与凭证，帮你对账。代收付需要支付牌照，我们不做，也不打算做。「收款只记录、不代付」在这套系统里是硬约束，不是免责声明。
不能。我们提供发票台账、编号连续分配、状态由到账滚动，以及申报期提醒；开票动作与税务申报由你或你的会计师完成。系统里所有单据都不构成税务意见，税率与品目口径请与你的财税顾问确认。
内测期先按你实际结算的币种记账：金额一律以最小单位整数存储，不做浮点换算，也不会有浮点误差一笔笔累积出来的口径走样。多币种与汇率锁定在第二批开放——在那之前，跨币种的手续费与汇损建议记进到账备注，别让它消失在流水里，备注进审计。
不会。AI 只起草正文、审查条款、生成催款草稿，草稿必须经你确认才发出。这不是「有礼貌的建议」，是物理上写不进去：AI 侧的数据库角色没有写权限，它能写的只有草稿表，而草稿要你在审批台点确认才会真正写入——写入那一刻还会再走一遍完整门禁。审计里操作者记的是你，会话标识指向那次 AI run，整条链路可回放。
开放的是起草、条款级风险审查、签署方管理与作废，正文每次修改版本号 +1、旧版留痕。正文哈希冻结与客户签署页在下一批开放；在那之前可以用签署状态字段人工回写，版本与正文留痕照旧生效。
默认中国境内部署。客户姓名、联系方式、合同、到账流水属于个人信息，默认不出境；跨境功能需你明确授权并具备合法路径。多账号逐行隔离 + 业务与 AI 双数据库角色 + 全量审计留痕；可随时导出全部原始数据并删除账户。你也可以选择私有部署，数据完全不经过我们。
它们是通用底座，我们是针对「接单交付」的开箱方案：里程碑验收了才能进开票清单、发票编号连续不重复、状态由到账滚动而不许手工改、审批台是 AI 唯一的写入口、审计可按会话回放。如果你只需要一张表，别付费。
因为我们要替你保存可审计的经营记录，还要持续维护条款库与集成适配，这些有真实成本。如果你只需要生成几份文档，我们确实不适合你。
