摘要
FR-3.7-02（溯源 AI-3.7-02，Could · P2）要求为消费者提供个人数字形象（默认或自定义真人形象）、个性化智能选品推荐、三语智能购物咨询、智能售后应答、会员权益智能匹配、数字员工互动等服务；订单全流程管理复用 FR-3.7-01 已有基础流程（AI 化的部分为咨询与应答），线下扫码承接复用 FR-3.6-05 已有静态二维码能力。PRD 验收要点原文：「AI 咨询应答抽检合格率（基线立项定）；推荐效果跟踪；形象授权与画像合规评估通过」。现状判定：形象/画像/对话式购物/个性化推荐全部零实现（conversational|personaliz 0 业务命中；customer 无 avatar/portrait 字段），但会员基座与消息触点在位（注册归因/账户中心/TalkJS Inbox/唯一排序）。
本卡为概念级 TDD（降级承诺：依赖链最长——AI-3.6-03 对话底座→多语应答→个性化，本条位于链尾；APPI 影响评估未出 C6①画像/C6④肖像——仅做概念级设计，字段级显式推迟，不虚假完整）。设计四块：①C 端消费侧共享底座接口假设 ②个人数字形象架构位（默认/自定义真人形象两级+授权状态位）③画像数据源与推荐消费点假设 ④APPI 影响评估输入清单（本卡核心交付）——C6① 画像五项+C6④ 肖像三项，供合规侧出具评估清单，评估结论不预设。
验收要点
3 条
AI 咨询应答抽检合格率（框架成文，数值 DEC-5）/ 推荐效果跟踪（事件契约成文）/ 形象授权与画像合规评估通过（C-c6-profile/C-c6-likeness 硬门控）
评估输入清单
8 条材料
C6① 画像五项（收集字段/告知触点/保存期限/opt-out/LLM 发送范围）+ C6④ 肖像三项（授权确认流/人格权益边界/撤回下架流）
前置 blocker
3 个（四重前置）
DEP-3.6-03 对话底座 + C-c6-profile 画像评估 + C-c6-likeness 肖像评估——17 条中依赖链最长
负证据（本 run 复核）
0 业务命中
rg -i "conversational|personaliz" 业务代码 0 命中；唯一排序=客户端价格重排+后端 pinned 置顶（无个性化引擎）关键概念
共享底座（AI-3.6-03 owns）
对话引擎+多语应答+TalkJS 会话+LLM 通路复用直调（translation client）全量归 AI-3.6-03 owns——本卡仅做 C 端消费侧接口假设，禁止另立 LLM 通路（任务卡硬约束）；PRD 现状说明原文「与数字员工（FR-3.6-03）共享对话与多语应答底座」。
两级形象配置
默认形象（平台预置静态资产库形象，无肖像权益问题——可先行设计，不被 C-c6-likeness 阻塞）+ 自定义真人形象（用户上传媒体+授权状态字段假设，整体 C-c6-likeness 门控——非本人形象须取得授权，商用边界在功能设计时界定）。
授权状态位（假设）
authorized / unauthorized / revoked 三态流转假设：本人形象=上传时确权声明勾选+留痕；非本人=第三人授权凭证上传；撤回→形象即时下架回默认形象→已渲染历史触点清理时窗。
C-c6-profile 硬门控
用户画像与个性化推荐涉及个人关联信息利用规则（PRD §8.1 C6① 原文并列点名 FR-3.4-03/FR-3.7-02）——评估通过前画像与推荐不启用；与 AI-3.4-03 特征源③同款门控、共享同一次评估结论（画像同源约束，互不重复设计）。
C-c6-likeness 硬门控
自定义真人形象涉及肖像与人格权益（PRD §8.1 C6④ 原文点名本条目）——评估通过前自定义形象不启用（默认形象不阻塞）。
双闸结构
feature flag 总闸（规划
featureFlags.personal_ai_assistant 默认 false）+ C-c6-profile 画像合规闸 + C-c6-likeness 肖像合规闸——任一关闭即对应能力不启用（合规门控优先于 feature flag）。opt-out 开关
会员中心个性化开关（关闭=画像停采+推荐回默认排序）+咨询会话内退出指引位——用户主动降级，与故障降级同路径；对应评估输入清单 C6① 第 4 项。
降级范式（NFR-3.8-01）
「未配置/故障即跳过不阻断主业务」——主业务=浏览/下单/支付/售后：无个性化=默认排序（sort-products.ts 现状语义+后端 pinned 置顶）、无 AI 咨询=人工客服入口（TalkJS 人类消息 Inbox 现状形态），AI 助手为增强层。
画像数据源三类（假设）
①浏览行为（商品曝光/详情页/类目偏好，含来源渠道——referral_code 既有归因维度复用）②订单行为（品类/复购/价格带——订单数据在、画像聚合无）③咨询行为（会话计数/类目倾向——默认不含会话内容，内容留存随 C-c6-dialog 同源评估）。
方案设计
架构总览与红线声明
flowchart TB
BASE["共享底座（AI-3.6-03 owns：对话引擎+多语应答+TalkJS 会话+LLM 通路复用直调）"]
ASSISTANT["个人 AI 购物助手（customer 维度会话，C 端消费侧接口假设）"]
INQ["咨询应答（三语购物咨询/智能售后应答/权益匹配——AI-3.5-03 场景域引用）"]
PERSONA["形象 persona（本卡 owns：默认/自定义真人两级——C-c6-likeness 门控）"]
REC["个性化推荐（本卡 owns：画像数据源→推荐消费点——C-c6-profile 门控）"]
FB["降级：无个性化=默认排序（sort-products 现状语义）+ 无 AI 咨询=人工客服入口（NFR-3.8-01）"]
REUSE["复用声明：订单售后=FR-3.7-01；扫码承接=FR-3.6-05（零重复建设）"]
BASE --> ASSISTANT
ASSISTANT --> INQ
ASSISTANT --> PERSONA
ASSISTANT --> REC
ASSISTANT -->|不可用时| FB
REUSE --> ASSISTANT
设计红线（AGENTS.md §0.1，逐条对照）
- Workflow 承载业务逻辑：形象配置/授权状态/画像开关变更走 Workflow step（架构级声明，steps 字段级推迟）；
- 不修改上游源码：
@medusajs/*customer 模型零触碰（形象扩展经 metadata 既有扩展位或新本地模块关联——两候选）；AI-3.6-03/TalkJS SaaS 边界零触碰； - 后端单一数据源：形象/授权/画像开关以后端为准，storefront 仅消费；
- 参数化 SQL：画像行为事件聚合查询参数化绑定。
① 共享底座接口假设（C 端消费侧——底座本体归 AI-3.6-03，禁止另立通路）
| 接口假设 | 内容 | 对齐声明 |
|---|---|---|
| 对话会话维度 | C 端 AI 购物助手会话=customer 个人维度（会话参与者=customer + 平台 AI 助手系统参与者——即 AI-3.6-03 owner_type=platform 两步走 Phase 1 平台级智能客服的 C 端实例，PRD §7.5-④ 能力复用依赖） | conversationId C 端前缀族假设（如 personal-assistant-${customer_id}）随 AI-3.6-03 底座会话维度定稿对齐（其 digital-employee- 前缀族范式），本卡不冻结命名 |
| 形象 persona 挂载位 | 助手会话/UI 呈现挂载 persona 配置（形象引用+显示名）——挂载形态（customer.metadata jsonb 扩展位 vs 新本地模块 persona 实体）为两候选，字段级推迟 | 挂载位语义=「消费者个人的助手形象」，与 AI-3.6-03 商家数字员工分身（seller 维度 persona）不同维度不混同（其卡 owner_type 边界） |
| 咨询应答场景枚举 | 三项 AI 化服务（PRD 需求描述原文）：三语智能购物咨询/智能售后应答/会员权益智能匹配——映射 scenario_code 候选：consumer_inquiry（既有枚举=消费者咨询应答）+售后应答/权益匹配=场景枚举扩展候选 | 场景实体归 AI-3.5-03 owns（引用声明）——本卡只声明消费诉求，不建场景 |
| LLM 通路对齐 | 全部 LLM 调用经 AI-3.6-03 底座通路（其三选一声明=复用直调 translation client） | 本卡禁止另立通路（任务卡硬约束）——三选一语境下本卡与 translation client 通路关系=无直接调用（隔 AI-3.6-03 底座一层） |
sequenceDiagram
autonumber
participant C as 消费者（TalkJS Inbox 会话触点）
participant P as C 端 AI 购物助手会话（customer 维度，接口假设）
participant B as AI-3.6-03 对话底座（owns，禁止另立通路）
participant L as translation client 通路（复用直调）
participant H as 人工客服（TalkJS 人类消息现状形态）
C->>P: 三语购物咨询/智能售后应答/权益匹配
P->>B: 场景路由（consumer_inquiry 等，AI-3.5-03 场景域引用）
B->>L: LLM 调用（isAIConfigured 预检）
alt AI 未配置/LLM 故障/超时
B-->>C: 会话级降级→转人工客服承接（触发接管通知，其 owns 机制）
else 应答成功
L-->>C: AI 应答（AI 身份明示契约：开场明示+持续标识，明示实施归底座）
end
Note over C,H: 主业务（浏览/下单/支付/售后）零阻断——NFR-3.8-01 范式
② 个人数字形象架构位（两级配置+授权状态，概念级）
| 级别 | 内容 | 合规属性 |
|---|---|---|
| 默认形象 | 平台预置静态资产库形象（无肖像权益问题——平台自制资产） | 可先行设计（C-c6-likeness 未决期不阻塞默认形象——blocker 二分） |
| 自定义真人形象 | 用户上传媒体文件+授权状态字段假设（authorized/unauthorized/revoked）+授权凭证留痕位 | 整体 C-c6-likeness 门控（评估通过前不启用）：非本人形象须取得授权（PRD 合规挂钩②原文），商用边界在功能设计时界定 |
存储边界假设：customer 上游模型无形象字段（负证据承接 findings，node_modules 边界注记）——扩展两候选：①customer.metadata jsonb（既有扩展位，零 schema 变更）；②新本地模块 customer-persona 关联实体（多形象/授权凭证结构化承载）。两候选取舍随 C-c6-likeness 评估结论+字段级立项定稿（本卡不冻结——降级承诺）。
stateDiagram-v2
state "unauthorized（未授权）" as U
state "authorized（已授权）" as A
state "revoked（已撤回）" as R
[*] --> U: 上传自定义真人形象（C-c6-likeness 后实装）
U --> A: 本人确权声明勾选留痕 / 第三人授权凭证上传
A --> R: 授权撤回
R --> [*]: 形象即时下架回默认形象（已渲染历史触点清理时窗）
note right of A: 授权状态字段为假设（概念级）——状态机流转随 C-c6-likeness 评估与字段级立项定稿
③ 个性化推荐架构位（画像数据源+推荐消费点，概念级）
画像数据源清单假设（三类行为事件，来源渠道维度复用既有归因——缺口⑤：注册推荐码入口证明会员归因链路成熟，画像采集设计可直接复用该归因维度）：
| # | 数据源 | 事件域（示意） | 现状 |
|---|---|---|---|
| 1 | 浏览行为 | 商品曝光/详情页访问/类目偏好（含来源渠道——referral_code 既有归因维度复用） | 无采集（事件埋点从零建） |
| 2 | 订单行为 | 品类/复购/价格带（订单事实源=既有订单表，聚合视图无） | 订单数据在、画像聚合无（同 AI-3.4-03 特征源⑤结论） |
| 3 | 咨询行为 | 会话关键词/咨询类目（会话内容留存与否随 C-c6-dialog 同源评估——AI-3.6-03 对话零留存门控联动，本卡默认咨询行为仅计数不存内容） | 无 |
推荐消费点假设（两处）：①商品列表排序消费——个性化排序为演进层，降级目标=sort-products.ts 现状语义+后端 pinned 置顶；②咨询应答上下文消费——会话内推荐注入（经 AI-3.6-03 底座上下文装配位，「商品/订单只读上下文」同位扩展）。
同源约束声明
画像特征利用同受 C-c6-profile 硬门控（PRD §8.1 C6① 原文并列点名 FR-3.4-03/FR-3.7-02）——与 AI-3.4-03-ai-product-selection.md 特征源③同款门控、共享同一次评估结论；两卡分工：AI-3.4-03=B 端选品决策场景（其 owns 管线），本卡=C 端会话/列表消费场景——互不重复设计（references_only 边界）。
erDiagram
CUSTOMER {
text id PK "上游模型，零 schema 变更"
jsonb metadata "候选① 既有扩展位（两候选之一）"
}
CUSTOMER_PERSONA {
text id PK "概念位（非冻结）"
text level "default | custom（两级）"
text auth_state "authorized unauthorized revoked（假设）"
text media_ref "自定义形象媒体引用位"
text display_name "助手显示名"
}
PROFILE_EVENT {
text id PK "概念位（非冻结）"
text event_domain "browse | order | inquiry（三类）"
text source_channel "referral_code 既有归因维度复用"
text retention_window "留存窗口，DEC-5/法务"
}
CUSTOMER ||--o| CUSTOMER_PERSONA : "候选② 新本地模块关联（概念级）"
CUSTOMER ||--o{ PROFILE_EVENT : "画像行为事件（C-c6-profile 门控，评估通过前不实施采集）"
④ 复用声明（防重复建设）
| 复用项 | 声明 |
|---|---|
| 订单全流程管理与售后基础 | 复用 FR-3.7-01 会员体系既有流程（PRD 需求描述原文）——AI 化部分仅「咨询与应答」，不建第二订单/售后体系 |
| 线下扫码承接 | 复用 FR-3.6-05 静态二维码能力（PRD 原文）；AI 个性化承接为规划（联动 AI-3.6-04 期 3 注记） |
| 三语应答 | 经 AI-3.6-03 多语应答底座（AI-3.5-03 场景翻译域）——零独立翻译设计 |
APPI 影响评估输入清单（本卡核心交付）
定位声明
评估清单本体由合规侧出具（PRD §8.1 C6 原文「评估清单由合规侧出具」）——本卡交付的是技术侧输入材料（评估的问题面与数据流事实），不预设评估结论。对照锚点：PRD §8.1 C6 原文「①用户画像与个性化推荐（FR-3.4-03/FR-3.7-02）涉及个人关联信息利用规则；④自定义真人形象（FR-3.7-02）涉及肖像与人格权益」。
C6①（画像与个性化推荐）输入材料清单——五项：
| # | 输入项 | 技术侧供给内容 |
|---|---|---|
| 1 | 收集字段清单 | 浏览事件（商品 id/类目/时间戳/来源渠道）、订单事件（订单 id/商品 id/品类/价格带——不含支付凭证）、咨询事件（会话计数/类目倾向——默认不含会话内容，内容留存随 C-c6-dialog 同源评估） |
| 2 | 利用目的告知文案位 | 三触点位次声明：注册流程（register 页）、会员中心隐私设置、首次个性化推荐启用时——文案内容归法务，本卡供触点结构 |
| 3 | 保存期限 | 行为事件留存窗口（数值 DEC-5/法务）——技术侧承诺提供滚动清理 job 承载位 |
| 4 | opt-out 触点 | 会员中心个性化开关（关闭=画像停采+推荐回默认排序——与独立开关联动）+咨询会话内退出指引位 |
| 5 | 第三方（LLM 服务）发送范围 | 咨询应答经 LLM 的发送内容边界（商品上下文+会话窗口摘要）；画像数据默认不进 LLM prompt（数据最小化预置立场，评估可推翻）——对齐 C2 委托/越境分支逻辑（条款本体归 AI-3.9-01，本卡供给数据流描述） |
C6④（自定义真人形象）输入材料清单——三项：
| # | 输入项 | 技术侧供给内容 |
|---|---|---|
| 1 | 肖像授权确认流 | 本人形象=上传时确权声明勾选+留痕；非本人=第三人授权凭证上传（书面/电子同意书载体）——授权状态字段假设承载状态机 |
| 2 | 人格权益边界项 | 公众人物肖像禁止（未授权名人肖像不得使用）、用途限定（形象仅限购物场景呈现）、未成年人形象限制（监护人同意）——边界项列举供法务定稿，本卡不臆断法律结论 |
| 3 | 授权撤回与形象下架流 | 撤回→形象即时下架（回默认形象）→已渲染历史触点清理时窗（技术侧声明清理机制承载位）——授权状态 revoked 态流转 |
降级与跳过路径（NFR-3.8-01 强制范式）
| 故障场景 | 行为 |
|---|---|
| AI 未配置（底座 isAIConfigured false——承 AI-3.6-03 同源判定） | 无个性化=默认排序（sort-products.ts 现状语义+后端 pinned 置顶）；无 AI 咨询=人工客服入口（TalkJS 人类消息 Inbox 现状形态）——范式句：「未配置/故障即跳过不阻断主业务」（主业务=浏览/下单/支付/售后，AI 助手为增强层） |
| LLM 调用失败/超时 | 会话级降级：该次应答不发，转人工客服承接（AI-3.6-03 降级范式引用，触发接管通知——其 owns 机制） |
| 画像开关关闭（opt-out） | 画像停采+推荐回默认排序（用户主动降级，与故障降级同路径） |
| C-c6-profile 未通过 | 画像/推荐功能不启用（合规门控优先于功能——双闸结构：flag 总闸+合规闸，任一关闭即不启用） |
跳过路径测试点（要素 8 必含）：①AI 未配置→购物主链路（浏览/下单/支付/售后）零阻断+咨询入口回人工；②LLM 故障→会话降级人工承接+主链路成功；③opt-out→默认排序+停采断言；④C-c6-profile 未通过→画像功能不可开启（配置面守卫）。
合规挂钩
| NFR / 评估项 | 影响判定 | 本卡动作 |
|---|---|---|
| C6①（画像与个性化推荐——PRD §8.1 原文点名本条目） | 「用户画像与个性化推荐（FR-3.4-03/FR-3.7-02）涉及个人关联信息利用规则」——评估未出 | 硬门控：C-c6-profile 通过前画像/推荐不启用（双闸）；本卡交付评估输入清单五项；与 AI-3.4-03 共享同一次评估结论（同源约束，不重复评估） |
| C6④（自定义真人形象——PRD §8.1 原文点名本条目） | 「自定义真人形象（FR-3.7-02）涉及肖像与人格权益」——评估未出 | 硬门控：C-c6-likeness 通过前自定义形象不启用（默认形象不阻塞）；本卡交付评估输入清单三项 |
| AI 身份明示（引用） | AI 购物助手不伪装自然人——《AI 事業者ガイドライン》参考（PRD FR-3.6-03 合规挂钩①同源） | 引用 AI-3.6-03 三通道明示范式（开场明示/持续标识/prompt 约束）适用于 C 端助手会话——明示实施归底座，本卡 UI 触点消费其明示契约 |
| NFR-3.9-01（APPI 数据最小化） | 画像默认不进 LLM prompt（预置立场）；收集字段最小化（清单即最小化评审对象） | 评估输入清单+双闸 |
| NFR-3.9-03（审计） | 咨询/推荐 AI 调用经 ai_call_log 审计载体（AI-3.5-02 P-④，底座层消费）；授权确认/撤回留痕 | 引用+落位声明 |
| NFR-3.9-04（面向公众 AI 输出巡检） | C 端推荐逻辑属面向公众 AI 输出 | 引用 AI-3.9-04 巡检机制（ai_patrol，scope=推荐逻辑）——引用不设计 |
| NFR-3.8-01 | AI 可选增强不阻断主业务 | 四态降级+测试点 |
| 外部决策点引用规范 | 数值（抽检合格率/留存窗口/推荐效果目标）全部基线立项定（DEC-5）；C-c6-profile/C-c6-likeness 仅引用不预设结论 | 全文执行 |
Workflow 与 API 契约（概念级）
update-customer-persona（形象配置变更——C-c6-likeness 后含自定义形象+授权状态流转）
update-personalization-settings（画像开关——关闭即停采+降级，守卫在 step）
record-likeness-consent（授权确认/撤回留痕——C-c6-likeness 后实装）steps 细节与补偿=字段级推迟项；画像行为事件采集为埋点链路（非业务状态 Workflow）。
| 路由（规划名） | 方法 | 权限域 | 契约要点 |
|---|---|---|---|
/store/customer/persona（或 customer metadata 扩展口） | GET/POST | customer auth | 形象读取/配置（默认形象选择；自定义形象 C-c6-likeness 后开放） |
/store/customer/personalization | GET/POST | customer auth | 个性化开关（opt-out 触点=画像停采+推荐回默认排序） |
| 推荐消费 | — | store | 列表排序演进层/咨询上下文注入——经 AI-3.6-03 底座与既有 products API，无独立公开推荐面（字段级推迟） |
错误码统一：400/401/404。本卡不冻结任何 schema（概念级承诺边界，字段级随评估+底座双前置解除后立项）。
分期路线、迁移与回滚
| 分期 | 内容 | 前置 |
|---|---|---|
| 概念级（本卡） | 接口假设+形象架构位+画像架构位+APPI 输入清单+复用声明 | 无（本卡即交付） |
| 期 1 | 底座对齐+默认形象+opt-out：对话底座定稿后对齐接口假设冻结；默认形象+个性化开关实装 | DEP-3.6-03 |
| 期 2 | 画像/推荐实装：评估通过后画像采集+推荐消费点+C6① 告知触点落地 | C-c6-profile |
| 期 3 | 自定义真人形象：授权确认流+人格权益边界实装 | C-c6-likeness |
Migration（medusa db:generate 规范）
期 1+ 实施时 schema（persona 关联实体候选/授权凭证表候选/画像事件表）经 medusa db:generate 生成（新模块独立 migration）——本卡概念阶段零 migration 承诺（不做无实现支撑的表结构臆造）；若走 customer.metadata 扩展位候选则零 migration（既有 jsonb 扩展位）；customer 主模型零 schema 变更（上游模型不触碰——形象扩展两候选均不改动 customer 表结构）；seed 兼容：不改 pnpm db:reset / db:reset:demo——种子不含形象/画像数据；功能 flag 默认关=现状行为，种子链路零依赖零破坏；customer 主数据零污染声明：关闭态下不向 customer 任何字段写入形象/画像数据。
| 变更 | 回滚路径 |
|---|---|
| 功能整体 | 独立开关（规划 featureFlags.personal_ai_assistant，medusa-config featureFlags 区同位范式 medusa-config.ts:55-56 复核，默认 false）→ 无形象默认态+无个性化默认排序（与现状行为逐字节等价——降级目标即现状语义的设计收益）；customer 主数据零残留 |
| 画像采集 | opt-out 开关/合规闸关闭即停采；已采行为事件按留存窗口滚动清理（评估回填），或立即清空（回滚强形态） |
| 自定义形象 | 授权 revoked→形象下架回默认形象（撤回流即回滚路径）；媒体文件清理随撤回流 |
| 推荐消费点 | 演进层停用→默认排序（sort-products 现状语义），无数据一致性风险 |
上线顺序：期 1（底座对齐+默认形象+开关）→ 期 2（C-c6-profile 后画像/推荐+告知触点+opt-out 全触点）→ 期 3（C-c6-likeness 后自定义形象+授权流）。全卡不改动会员/订单/消息/排序既有语义。
前端改动面与 i18n
前端触点（逐端，架构级）
| 端 | 改动 |
|---|---|
| storefront | 会员中心新增「我的形象+个性化设置」区块（默认形象选择/开关——C-c6-likeness 前仅默认形象+开关）；咨询触点=TalkJS Inbox 会话形态（AI-3.6-03 底座扩展，本卡零会话代码）；告知文案位三处（评估输入清单 C6① 第 2 项） |
| b2b / h2b storefront | 无改动（C 端个人服务域） |
| admin-panel | 无新增管理面（画像配置/评估材料归平台运营与合规侧；期后按需） |
| vendor-panel / influencer / referrer panel | 无改动 |
i18n 三语言 key 规划（en / ja / zh-Hans，仅 storefront）
storefront messages/{en,ja,zh-Hans}.json 新增 personalAi.* 命名空间，三语值随实现提交：
| 新增 key | 用途 |
|---|---|
personalAi.persona.defaultTitle | 默认形象标题 |
personalAi.personalization.toggle | opt-out 开关 |
personalAi.personalization.notice | 告知文案位 |
personalAi.fallback.humanSupport | AI 未配置人工客服入口文案 |
验收与测试
验收标准（PRD 要点+技术口径——概念级承诺边界）
| # | 验收标准 | 映射 |
|---|---|---|
| A1 | AI 咨询应答抽检合格率框架（PRD 要点①）：抽检框架成文（会话应答抽样→人工评检，机制引用 AI-3.9-04 巡检/AI-3.5-04 抽检范式）；合格率口径与数值基线立项定（DEC-5）——底座落地后执行 | 接口假设 / 测试策略 |
| A2 | 推荐效果跟踪框架（PRD 要点②）：效果事件契约成文（呈现→点击→转化归因，对齐 AI-3.4-03 双事件范式 selection_recommendation_shown/adopted 同构）；数值 DEC-5 | 推荐架构位 |
| A3 | 形象授权与画像合规评估通过（PRD 要点③）：C-c6-profile/C-c6-likeness 评估通过为画像/自定义形象功能启用硬门控——本卡交付=评估输入清单齐备（两项共八条输入材料），评估结论本身归合规侧 | 评估输入清单 / 合规挂钩 / 前置决策 |
| A4 | 共享底座接口假设齐备且对齐：会话维度/persona 挂载位/场景枚举/通路四项假设成文且与 AI-3.6-03 定稿契约无冲突（评审人工核对项） | 接口假设 |
| A5 | 降级路径（AI 不可用零阻断）：四测试点全量（AI 未配置→默认排序+人工入口；LLM 故障→会话降级；opt-out→停采；评估未过→功能不启用） | 降级路径 / NFR-3.8-01 |
| A6 | 复用声明零重复建设：订单售后/扫码承接/三语应答三项复用落位——代码面无第二订单体系/第二扫码链路/第二翻译通路 | 复用声明 |
| A7 | L0 门禁：本文档十要素齐备+关键锚点可 rg（register/page.tsx / sort-products / UserMessagesSection / AI-3.6-03-digital-employee.md / AI-3.4-03-ai-product-selection.md / DEP-3.6-03 / C-c6-profile / C-c6-likeness / C6① / C6④ / APPI 影响评估输入清单 等） | 模板 |
| A8 | 推迟声明：字段级设计显式标注推迟（DEP-3.6-03+C6 双评估解除后立项），无虚假完整度承诺 | depth_baseline / RK-13 缓解 |
测试策略（分层）与 L0 门禁
概念级 TDD 的测试承诺边界
本卡交付时无实现可测——测试设计为功能实装期的用例框架（在此声明防止验收空转）。
| 层 | 实装期用例框架（本卡定义形态，实现期填充） |
|---|---|
| 单测（形象+开关） | persona 配置流转（默认形象；自定义形象 C-c6-likeness 后含授权状态机 authorized/unauthorized/revoked）；个性化开关关闭→停采+降级断言 |
| 单测（降级） | 四测试点（AI 未配置/LLM 故障/opt-out/合规门控） |
| integration | 形象/开关 API（customer auth 权限域）；推荐降级=默认排序与现状语义逐字节等价断言（sort-products 回归守卫） |
| 合规评估执行 | 评估输入清单随评估流程提交的核对清单（八条材料逐项可追溯） |
| 既有回归 | storefront 会员/订单/消息触点现有行为回归（TalkJS Inbox/注册归因零破坏） |
量化指标占位口径
AI 咨询应答抽检合格率（基线/目标）、推荐效果指标（点击率/转化率 personal_ai_recommendation_ctr 候选名）、行为事件留存窗口、画像覆盖率＝全部基线立项定（DEC-5）。
风险与开放问题
已识别风险
blocker
DEP-3.6-03：对话底座未定稿，接口假设无法冻结
findings blockers 原文 blocks「AI-3.7-02 对话式购物」——底座实体/会话维度/LLM 通路形态未定稿。缓解：形象架构位/评估输入清单/复用声明三块零底座依赖（本卡即交付）；接口假设已按底座隔离写就（底座定稿后对齐冻结，无返工面）。
blocker
C-c6-profile 未出：推荐与画像方案无法定稿
阻塞画像数据源启用/推荐消费点上线/个性化排序演进层；合规双评估为 17 条中四重前置之一。缓解：评估输入清单编制与供给合规侧（本卡核心交付即此——评估的前置是先有材料）；画像事件采集 schema 可先行概念定稿（评估通过前不实施采集）。
blocker
C-c6-likeness 未出：自定义真人形象设计无法定稿
阻塞自定义真人形象授权流/商用边界/人格权益边界项定稿（肖像与人格权益——PRD 合规挂钩②）。缓解：默认形象先行（静态资产库，无肖像权益问题）；授权状态字段假设与确认流概念设计先行；肖像边界项列举供法务定稿。
中
文件名裁决：上游引用名与任务卡 target_file 不一致
AI-3.6-03 §7.2 所引 personal-ai-assistant 与本卡任务卡 target_file personal-digital-avatar 不一致。缓解：按 PILOT-DECISIONS.md 决策三「目标文件名以任务卡为准」取后者（其卡引用名以本注记为准）——交叉引用一致性已在两侧注记对齐。
低
概念级交付易被误期待字段级完整度
降级承诺（RK-13）下本卡不承诺字段级设计、不冻结任何 schema。缓解：全文显式标注推迟与门控条件；A8 验收项专设「无虚假完整度承诺」核对。
前提与假设
假设
- 设计归属总口径（承任务卡 design_ownership，不得越界）：本卡 owns C 端消费侧共享底座接口假设/个人数字形象架构位/画像数据源与推荐消费点假设/APPI 影响评估输入清单；对话与多语应答底座本体（AI-3.6-03）、会员体系与订单售后流程（FR-3.7-01）、静态扫码承接（FR-3.6-05）、画像利用规则与肖像授权边界（评估前置）、选品管线（AI-3.4-03）均 references_only；
- customer 无 avatar/portrait 字段结论沿用上游探索报告（node_modules 边界注记——上游模型不在本 run 复核范围），标注来源不重复验证；
- 负证据（conversational|personaliz 0 业务命中）为本 run rg 复核结论；register/page.tsx:8,20、UserMessagesSection.tsx:8-14、sort-products.ts 复核精确无漂移；
- 本 TDD 为设计文档，不改任何源代码/迁移/配置（执行契约约束）。
开放问题
- DEP-3.6-03：对话底座定稿时点——决定期 1 接口假设冻结与默认形象实装。
- C-c6-profile：画像与个性化推荐 APPI 影响评估清单出具时点与结论（本卡八条输入材料可先行提交）。
- C-c6-likeness：肖像授权边界评估时点——决定期 3 自定义真人形象实装。
- DEC-5：抽检合格率基线/目标、留存窗口、推荐效果指标数值定档（立项时）。
- 形象存储两候选（customer.metadata 扩展位 vs 新本地模块 customer-persona）取舍——随 C-c6-likeness 评估结论+字段级立项定稿。
前置决策点
Blocker 二分表（要素 7 承担主要约束表达——conceptual 级硬要求）
依赖链最长标注（任务卡硬要求）
本条位于 P2 依赖链尾——AI-3.6-03 对话底座 → 多语应答（AI-3.5-03 场景域）→ 个性化推荐（本卡）三层传导；加上合规双评估，四重前置为 17 条之最（findings key_finding 原文「依赖链最长」）。
| Blocker | 类型 | 阻塞什么 | 可并行做什么 |
|---|---|---|---|
| blocker DEP-3.6-03（数字员工对话底座——findings blockers 原文 blocks：「AI-3.7-02 对话式购物」） | internal_dependency | 阻塞对话式购物落地（底座实体/会话维度/LLM 通路形态未定稿——接口假设无法冻结）；不阻塞形象架构位/评估输入清单/复用声明（三块零底座依赖，本卡即交付） | 形象两级架构位+默认形象设计+APPI 输入清单+复用声明全量可交付（本卡核心）；接口假设已按底座隔离写就（底座定稿后对齐冻结，无返工面） |
| blocker C-c6-profile（用户画像与个性化推荐 APPI 影响评估，清单未出——PRD §8.1 C6①） | compliance_assessment | 阻塞推荐与画像方案定稿（画像数据源启用/推荐消费点上线/个性化排序演进层）；不阻塞评估输入清单编制（本卡清单即为其输入材料——评估的前置是先有材料）与非画像功能架构 | 评估输入清单编制与供给合规侧（本卡核心交付即此）；默认形象/会员复用/降级路径设计；画像事件采集 schema 可先行概念定稿（评估通过前不实施采集） |
| blocker C-c6-likeness（自定义真人形象肖像与人格权益授权边界——PRD FR-3.7-02 合规挂钩②/findings blockers） | compliance_assessment | 阻塞形象功能设计定稿（自定义真人形象授权流/商用边界/人格权益边界项）；不阻塞默认形象与评估输入清单（默认形象无肖像权益问题；输入清单即其评估材料） | 默认形象先行（静态资产库）；授权状态字段假设与确认流概念设计；肖像边界项列举供法务定稿 |
内部依赖与交叉引用
| 方向 | 条目 | 关系 |
|---|---|---|
| 上游 | AI-3.6-03-digital-employee.md（p2-b） | 依赖链 AI-3.6-03→本条（DEP-3.6-03）；对话与多语应答底座本体+LLM 通路+AI 身份明示全量引用（references_only）；文件名裁决注记见风险节 |
| 上游 | AI-3.4-03-ai-product-selection.md（p2-a） | 画像同源约束（C-c6-profile 共享评估，不重复设计）；其特征源③=本卡画像数据源同源门控（references_only） |
| 复用 | FR-3.7-01（已实现） | 会员体系/订单售后流程复用（防重复建设声明） |
| 复用 | FR-3.6-05（已实现） | 静态扫码承接复用（AI 个性化承接为规划） |
| 引用 | AI-3.9-04-human-review-framework.md（p1） | 面向公众推荐巡检机制引用（ai_patrol） |
| 同波 | AI-3.6-04-offline-retail-plaza.md（C 波） | 期 3 扫码个性化承接联动注记（同波异域无文件冲突） |
| 决策点 | DEC-5 | 抽检合格率/留存窗口/推荐效果指标数值占位 |
待决问题清单
- 前置决策 DEP-3.6-03：对话底座定稿——期 1 接口假设冻结的前置。
- 前置决策 C-c6-profile：画像/推荐合规评估——期 2 画像采集与推荐消费点上线的前置（可先提交八条输入材料）。
- 前置决策 C-c6-likeness：肖像授权边界评估——期 3 自定义真人形象实装的前置（默认形象不阻塞）。
- 前置决策 DEC-5：抽检合格率/留存窗口/推荐效果指标数值——基线立项定档。
- 前置决策 形象存储两候选取舍（metadata 扩展位 vs customer-persona 模块）——随评估结论+字段级立项定稿。
附录：溯源对照
本文档由 docs/reports/ai-module-prd/tdd/AI-3.7-02-personal-digital-avatar.md（文档版本 v1.0，2026-10-26）转换生成。输出章节与源章节映射如下（Preserved = 保留原文内容；Summarized = 摘要化重组；Inferred = 转换侧推断标注）：
| 本文档章节 | 源章节 | 处理方式 |
|---|---|---|
| 摘要 | 元数据表 + §1.1 PRD 溯源 + §1.3 现状三态判定 + 文首降级承诺声明 | Summarized |
| 关键概念 | 文首口径声明 + §1.2 关联映射 + §4.1/§4.2/§5.2 术语 | Summarized |
| 方案设计 · 架构总览与红线声明 | §4.0（含 AGENTS.md 红线逐条对照） | Preserved |
| 方案设计 · 共享底座接口假设 | §4.1①（四项接口假设+对齐声明）+ §5.1 通路声明 | Preserved（禁止另立通路硬约束逐字保留） |
| 方案设计 · 个人数字形象架构位 | §4.1②（两级配置+授权状态+存储两候选） | Preserved |
| 方案设计 · 个性化推荐架构位 | §4.1③（三类数据源+两处消费点+同源约束声明）+ §2.1③ 锚点 | Preserved |
| 方案设计 · 复用声明 | §4.1④（三项复用） | Preserved |
| 方案设计 · APPI 影响评估输入清单 | §4.2（C6① 五项+C6④ 三项+定位声明） | Preserved（八条输入材料逐字保留） |
| 方案设计 · 降级与跳过路径 | §5.2（四态降级+测试点） | Preserved（范式句逐字保留） |
| 方案设计 · 合规挂钩 | §6（八项挂钩表） | Preserved |
| 方案设计 · Workflow 与 API | §4.3 API 契约 + §4.4 Workflow 设计 | Preserved |
| 方案设计 · 分期路线与迁移回滚 | §9 分期路线 + §10 Migration/回滚/双闸结构 | Preserved |
| 前端改动面与 i18n | §4.5（逐端触点+personalAi.* key 规划） | Preserved |
| 验收与测试 | §8.1 验收标准 A1-A8 + §8.2 测试策略与量化占位 | Preserved |
| 风险与开放问题 | §3.2 缺口清单 + §7.1 blocker 表 + 文件名裁决注记（风险分级为转换侧判定，与 blocker 标注对齐） | Inferred |
| 前置决策点 | §7.1 Blocker 二分表（含依赖链最长标注）+ §7.2 内部依赖与交叉引用 | Preserved |
| 图1 / 图2 / 图3 / 图4 | §4.0 架构总览 / §4.1①+§5 接口假设与降级 / §4.1②+§4.2② 授权流转 / §4.1②③ 架构位 | Inferred（依源文字绘制的可视化视图；图2/图3/图4 均为概念级假设视图，非冻结） |
溯源说明
源文档锚点在执行 run 以 rg/sed 逐条复核：register/page.tsx:8,20、UserMessagesSection.tsx:8-14、sort-products.ts 复核精确无漂移；customer 无 avatar/portrait 结论沿用 findings（node_modules 边界注记见文首）；负证据（conversational|personaliz 0 业务命中）经复核成立。文件名裁决：AI-3.6-03 §7.2 所引 personal-ai-assistant 按任务卡 target_file 取 personal-digital-avatar（PILOT-DECISIONS.md 决策三同款）。APPI 影响评估输入清单（八条输入材料）为本卡核心交付，逐字保留，评估结论归合规侧不预设。内部流程标识（session/run 编号、TASK 编号、findings 引用）属过程元数据，不影响契约性内容。