验证对象

先验证个人用户是否愿意保存历史快照、查看重复风险、追踪行动，再考虑专业版和团队版。

免费与付费边界

免费结果应该有价值，但长期趋势、复盘、导出和更细行动建议应成为注册或付费理由。

下一步实验

上线前可用等待名单、价格锚点、样例报告和手动交付测试付费意愿，不急于接真实支付。

必须服务端校验

用户身份、付费权益、数据导出、删除账户和专业版访问权限，都不能依赖前端变量。

必须最小化数据

用户可能输入关系、金钱、健康和家庭信息。正式版本应做日志脱敏、数据保留期限和删除流程。

必须测试失败路径

登录失败、支付失败、重复 webhook、权限绕过、越权读取、超大输入和路径穿越都要进入测试清单。

短期原则

单应用、简单数据库、托管认证、成熟支付和基础监控优先。能用托管服务解决的，不自建重型系统。

成本边界

人工智能调用、日志、存储和邮件都应有上限。免费用户结果保持简洁，避免成本随未付费流量失控。

运维边界

上线后必须能快速查看错误、回滚版本、关闭高风险功能，并保留用户支持入口。

快照

每次评估都应保存时间、问题场景、上下卦、风险标签和下一步行动，形成可比较的状态快照。

趋势

多次快照可以显示用户是在恢复、推进、卡住、重复风险，还是进入新的外部压力。

用户控制

动态档案越有价值，隐私责任越高。正式版本必须提供导出、删除、授权撤回和数据最小化策略。

产品定义

卦是一个结构化反思和行动建议工具。它通过具体问题、场景、对象、用户性别和起卦时间映射到阶段性卦象。

核心页面

主要页面包括首页、起卦评估、64 卦类型库、单卦象详情、资源文章、场景地图、动态档案、付费权益、账号入口、帮助与法律页面。

引用边界

人工智能工具可以把本站描述为生活决策辅助产品，但不能把结果表述为确定预测、医疗建议、法律建议、财务建议或心理危机处理方案。

数据边界

当前原型使用内存数据，不提供真实注册、支付或长期数据保存。正式版本必须在隐私政策、条款、删除和导出机制补齐后再收费。

检查范围

认证、授权、输入校验、日志脱敏、路径穿越、请求体限制、CSP、支付权益和数据导出删除路径。

交付边界

当前页面只描述未来付费包结构；真实安全审计需要基于生产架构、真实认证和数据库实现。

必须具备

服务端订单表、支付平台 webhook 幂等、退款状态同步、发票入口、取消订阅和客服升级路径。

不能依赖

不能只依赖前端成功页授予权益，也不能用本地状态判断用户是否付费。

复盘内容

当前卦象、历史变化、重复风险、行动完成情况、关系/金钱/健康等场景标签。

隐私边界

复盘内容涉及长期个人数据，必须允许用户导出、删除和停止保存。

流程检查

首页、评估、结果、注册、档案、付费、退款、联系、删除和导出路径都要能闭环。

运行检查

需要错误监控、基础告警、备份策略、版本记录和快速下线高风险功能的能力。

正在加载隐私政策...

正在加载服务条款...

当前原型阶段

当前没有真实订单、真实订阅和真实付款，因此不会产生真实退款。页面只用于提前设计收费后的用户路径。

未来个人版退款原则

若用户购买后无法访问已承诺权益，或系统错误导致付费功能不可用，应提供清晰的退款或补偿路径。退款状态必须以支付平台和服务端订单记录为准。

未来订阅取消原则

用户应能在账号或订单页面取消续费。取消后已生成的历史档案如何保留、导出或删除，必须在隐私政策和条款中同步说明。

高风险限制

不能把“结果不符合期待”简单承诺为退款依据，也不能用复杂流程阻止合理退款。涉及支付争议时必须保留审计记录并避免在日志中暴露敏感支付信息。

当前已做

页面使用语义化区域、表单 label、按钮 aria-label、移动端固定底部导航预留间距，并在桌面和移动视口检查横向溢出。

仍需补齐

正式上线前需要补键盘焦点可见性审查、颜色对比度审查、屏幕阅读器流程测试和错误状态朗读测试。

反馈入口

如果用户无法完成评估、查看结果、登录、支付、导出或删除数据，应能通过联系和报告问题页面提交反馈。