人手改的那一手真正落得下去;界面不撒谎那几处补齐

手改是**兜 AI 的错**的那一手 —— 这一轮把它从「摆在那儿但落不了地」做成真的:

件上就地改
· 保存**按地址收**,不看当下那张卡:载荷从前借道工单的 `blocks[i]` 取列名,
  于是熔断卡(没有 blocks)在屏上时,人补的那一格一个字都送不出去 ——
  而他要补的恰恰是把这一单卡住的那个必填格。授权面改由活动清单的台账声明把关。
· **能增删行**:错不止「这一格填错了」,还有「这一行不该在」与「漏了一行」。
  删挂记号不当场抹掉(看得见、可后悔),且**删要说出来**(`drops`)——
  「没回传就是删了」会把一次不完整的回传变成一次删表。
· **必填没填按不下提交**:与放行门 L1 同一个数同一套算法;闸上摆出差在哪一行哪一格。
· 只写真改了的那几行 —— 改一格却留「修订 4 行」的痕,那句话是假的。

判据与门
· 裁量判据带谓词时**谓词说了算**:「选填缺口已补齐」基座数得出来,
  人填好的目标价它照样判「客户未提供」的毛病由此消掉。
· 验收卡判据**读时现算** —— 人在成果件上补一格,判据跟着变。
· 放行门认「**办完了没有**」不认「有人写过」:从前写个 `false` 就把门推开,
  于是一单没打标就进了放行门。三个数全由基座现数。
· 拒回把「活没干完」说成「数或行对不上」的毛病:判据点名的表一行都没写时直说那一步没办。
  **指向两扇打不开的门,比不指还糟。**

界面不撒谎
· 日志只有三色:负责人绿 · 智能体蓝 · 系统灰(归侧五种是度量的分法,不是给人看的)。
· 验收收口答两件事:落了什么(按**交付物**点名,一份成果的几张表并成一行)、
  往哪儿去(转出哪一口、带过去哪些字段);一个口都没发就直说到此为止。
· 签完到收尾之间那一段有自己的话「字已签下,正在落地」—— 中间态本来就该说出来,只是要说对。
· 消息不再被内部事件刷屏:只有从通道进来的件才谈得上「无人认领」。
· 建客户公司与联系人**一次确认落两行**;联系人编码自增不问人;卡面摆表的人读名。

A1 三案例端到端全 released:全 A 类直通 12 拍 / 客户点名跳一条 10 拍 / 新客户缺必填 14 拍。
五道门禁全绿(971 passed)。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01JsTDjoHovERXyy6Wmw1ALp

api-report/apps/api/src/modules/ledger/contract.d.ts

@@ -51,6 +51,12 @@ export type DraftWrite = {
 export type ReleaseWriteResult = {
     readonly mergedRows: number;
     readonly emittedEvents: number;
+    /**
+     * **试跑单被挡下的主数据行数** —— 合到出参里去,是因为界面不撒谎:
+     * 放行痕上写「合并 N 行」而其中几行根本没进表,那句话就是假的。
+     * 非试跑单恒为 0。
+     */
+    readonly simulatedRows: number;
     /**
      * 合并进正式版的那些行(键 + 值)。
      * 「落地收敛,输出口才发射」——发射的载荷就该是**这些已落地的事实**,
@@ -78,6 +84,22 @@ export type LedgerService = {
     }>>;
     systemWrite(write: SystemWrite): Promise<void>;
     draftWrite(write: DraftWrite): Promise<void>;
+    /**
+     * **撤掉本单草稿层的一行** —— 写错了得有退路(2026-08-01 加)。
+     *
+     * 不是第四种写:它只作用在**本单草稿层**,正式版一个字都动不了,也不抛事件 ——
+     * 撤的是「我这一单还没过门的那一笔」。放行门的位置没变。
+     *
+     * 没有它的后果实测过:客户说本轮跳过的那颗料被写进了有效清单,条目数报 9 而表里躺着 10,
+     * 判据 `record_rows = line_total` 正确地拦住,而模型**改不动** ——
+     * 它唯一能改的是那个数(改了 skipped_total 又不对),13 次拒回、23 拍、234k token 才熔断。
+     * 门拦住一件办错的事却不给改正的手段,那扇门就只是个死胡同。
+     */
+    draftDrop(drop: {
+        taskId: TaskId;
+        address: ObjectAddress;
+        key: Record<string, unknown>;
+    }): Promise<boolean>;
     releaseWrite(taskId: TaskId): Promise<ReleaseWriteResult>;
     /** 正式版查询 —— 跨任务只见过门的事实 */
     query(query: LedgerQuery): Promise<LedgerPage>;

api-report/apps/api/src/modules/ledger/port.d.ts

@@ -1,7 +1,7 @@
 /**
  * module: ledger —— 本模块要外界提供的能力(编码规范 §10.1 / §5.3)。
  */
-import type { EnvelopeDraft, LedgerKey, LedgerQuery, LedgerRow } from '@contracts';
+import type { EnvelopeDraft, LedgerKey, LedgerQuery, LedgerRow, LedgerObjectKind } from '@contracts';
 import type { MaterializedObject, SchemaChange } from './internal/domain/schema-merge.ts';
 import type { DraftEntry } from './internal/domain/task-view.ts';
 export type Clock = {
@@ -14,6 +14,20 @@ export type IdGenerator = {
 export type EventPublisher = {
     publish(envelope: EnvelopeDraft): Promise<void>;
 };
+/**
+ * 这一单是不是**试跑** —— app 注入(设计台的两条试跑路径都算,见 `container.ts`)。
+ *
+ * 台账在 L1,认不出「谁起的单」;而放行写要不要落主数据,取决的恰恰是这件事。
+ * 所以由 app 把这一个布尔判断喂进来 —— 与 `EventPublisher` 同一个套路:
+ * 模块只声明「我需要知道什么」,不声明「去哪儿问」。
+ *
+ * 为什么只挡主数据、不挡单据:单据按单标识分行,一次试跑写一行自己的,
+ * 清运行数据就没了;主数据是**按业务实体**分行的档案,试跑往里建一位客户,
+ * 「新客户」那条样例就此再也试不出来 —— 它成了老客户。
+ */
+export type SimulationProbe = {
+    isSimulated(taskId: string): Promise<boolean>;
+};
 export type ObjectRef = {
     readonly domain: string;
     readonly object: string;
@@ -26,9 +40,18 @@ export type LedgerStore = {
     /** 已物化对象的列与主键;未物化返回 undefined */
     describe(ref: ObjectRef): Promise<MaterializedObject | undefined>;
     /** 出参带人读名(表注释);没登记就没有 label,呈现退回对象键 */
+    /** 记下对象性质(单据/主数据/派生)与单标识 —— 随声明走,不随建表走 */
+    setObjectMeta(ref: ObjectRef, kind: LedgerObjectKind, caseKey: string | undefined): Promise<void>;
     listObjects(): Promise<Array<ObjectRef & {
         label?: string | undefined;
     }>>;
+    /**
+     * 哪些对象是**主数据** —— 放行写要据此把试跑单的主数据挡在正式表外。
+     *
+     * 单独一个方法而不是让调用方 `listObjects` 自己筛:性质记在 `__object_meta` 里,
+     * 一次 where 就够;`describe` 读的是 information_schema,那里没有性质这一维。
+     */
+    masterRefs(): Promise<ReadonlyArray<ObjectRef>>;
     /** 执行「只增不破坏」的变更计划 */
     applyChanges(ref: ObjectRef, changes: readonly SchemaChange[]): Promise<void>;
     select(query: LedgerQuery): Promise<{
@@ -46,5 +69,13 @@ export type DraftStore = {
     list(taskId: string): Promise<Array<DraftEntry & ObjectRef>>;
     listForObject(taskId: string, ref: ObjectRef): Promise<DraftEntry[]>;
     put(taskId: string, ref: ObjectRef, entry: DraftEntry): Promise<void>;
+    /**
+     * 撤掉本单草稿层的**一行** —— 写错了得有退路(2026-08-01 加)。
+     *
+     * 只动 `taskId` 那一份,正式版碰不到。没有它的后果实测过:客户说本轮跳过的那颗料
+     * 被写进了有效清单,条目数报 9 而表里躺着 10 —— 判据正确地拦住,而模型改不动
+     * (唯一能改的是那个数,改了别的判据又不对),13 次拒回、23 拍、234k token 才熔断。
+     */
+    drop(taskId: string, ref: ObjectRef, key: LedgerKey): Promise<void>;
     clear(taskId: string): Promise<void>;
 };