THAMO 首期需求与验收矩阵
版本：1.0 · 2026-11-02。状态：验收设计；执行结果见阶段1–3交付报告。本表描述预期，不自动将跨阶段场景标为全部通过。
1. 需求追踪
| ID | 首期需求 | 实施阶段 | 对应验收 |
|---|---|---|---|
| R01 | OTP、账户、设备、会话与删除 | 1、2、6 | AC01、AC02、AC14 |
| R02 | 原生四入口、Logo、一次授权引导 | 2、6 | AC06、AC20 |
| R03 | 真正默认短信、自动反诈 | 3 | AC07、AC22 |
| R04 | 真正默认电话、筛查与通话记录 | 4 | AC08、AC04 |
| R05 | App真实安全扫描、来源/签名/情报 | 5 | AC09、AC18 |
| R06 | 三类云存储、增量/去重/撤销/删除 | 1、3、4、5、6 | AC03、AC04、AC14 |
| R07 | 短信、URL、截图举报与个人回执 | 1、3 | AC10、AC11、AC12、AC23 |
| R08 | 高危候选/有效库与公开情报冷启动 | 1、3、5 | AC13、AC18、AC19 |
| R09 | 个人信任、官方身份、规则例外 | 1、3、6 | AC15、AC16、AC17 |
| R10 | Gemini文本/图像分析及无人值守队列 | 1、3、6 | AC11、AC13、AC15、AC22 |
| R11 | App与后台保护开启度100分 | 1、2、3、4、5、6 | AC20、AC21 |
| R12 | 小后台、受控原文探查与审计 | 1、6 | AC02、AC05、AC12、AC23 |
| R13 | Play候选、正式签名、GPL与真实披露 | 6 | AC24 |
| R14 | 语言、弱网、低端适配与误报质量 | 2、3、4、5、6 | AC06、AC17、AC22 |
2. 可执行验收场景
每项记录：版本/提交、环境、样本类型、复现动作、预期、实际、证据路径与未覆盖项。下表列的是预期；已执行路径和未覆盖范围在阶段报告中分别记录。
| ID | 场景与必要预期 | 主要阶段 |
|---|---|---|
| AC01 | OTP错误/过期/重发/限流、首次注册与再次登录；账户不重复，旧会话按策略撤销。模拟运输与运营商送达分开记录 | 1、2 |
| AC02 | 两个账户互查用户、三类记录、举报、附件、评分；篡改user_id/device_id/report_id不得跨账户读写；后台普通账号无任意原文权限 | 1、6 |
| AC03 | 批次提交成功但客户端未收ACK后重试；不重复入库；部分失败不能推进未完成游标；空批次与无权限读取分开 | 1、3、4、5 |
| AC04 | 排队/正在上传时撤销同意、退出或失去默认角色；停止新读取，废弃未发送任务；过期回调不能重新开启上传；服务器提交前复查同意/删除状态 | 3、4、5 |
| AC05 | 普通MySQL业务字段可授权查询；原文查看/导出有操作者和范围记录；OTP、令牌、服务账号和客户原文不进入调试日志 | 1、6 |
| AC06 | 四入口、字体放大、English/Bangla、拒绝后续接、已有步骤跳过；未实现模块不请求空壳角色；演示验证码不在业务包生效 | 2、6 |
| AC07 | 接收/发送、长短信、双卡、MMS、通知回复；系统Provider→消息→检测→云记录相连；模型失败不丢短信；秘密类短信排除 | 3 |
| AC08 | 实际默认电话、锁屏/后台来电、接听拒接挂断、DTMF/静音/音频路由、双卡、未接通知；最终系统记录与后台对应；未知来电不因超时被自动挂断 | 4 |
| AC09 | 实际包名/版本/签名轮换/来源与后台快照一致；身份仿冒有证据；侧载或某权限本身不判恶意；可见范围不足不能当完整扫描 | 5 |
| AC10 | 短信预填、URL粘贴、单张截图选择/移除/说明/确认；空表单和危险scheme受拒；不读取全相册，不奖励举报刷分 | 3 |
| AC11 | 提交快速返回已收到，不等待Gemini；工作进程重启/超时可恢复；处理幂等、重试有上限；任务状态与结论分开，无真实分析不能显示已确认诈骗 | 1、3 |
| AC12 | 举报回执仅所有者可见；只能查看自己的截图和历史；模型/来源版本与证据可追溯；重复举报不泄露另一个用户的私信 | 1、3 |
| AC13 | 原始线索、AI意见、公开确认情报分层；AI高置信与大量投诉仍不能单独全局封禁；候选/有效/冲突/过期/撤销有独立状态 | 1、3 |
| AC14 | 删除举报/账户时，取消任务、删除图片/派生文本及按策略清理记录；晚到模型回调不能复活已删数据；备份恢复不复活已注销数据 | 1、3、6 |
| AC15 | 多账户同文案/同图刷量、镜像源重复、截图伪造及提示注入；去重和来源家族不把它们变为独立确证；不能由输入指令改白名单 | 3、6 |
| AC16 | 个人信任只影响本人；官方身份不跳过索PIN检测；规则例外仅作用于指定对象/规则/期限；强证据冲突仍提示，不生成超级放行 | 3、6 |
| AC17 | 正常交易/快递/家人消息、已修正误报与真正诈骗独立回放；规则更新不能扩大误报；训练/模板重复不当测试效果；语言与覆盖不足单列 | 3、5、6 |
| AC18 | 公开源固定版本/许可/时间/精确作用范围；MIT声明不替代上游质量核验，官方旧IOC不当仍活跃；共享平台不整域封禁 | 1、3、5 |
| AC19 | 源不可用/清空/突变/撤回、名单冲突、版本下载中断；旧有效版保留但标陈旧，过期撤销可下发，发布和回滚一致 | 3、5、6 |
| AC20 | 分数只来自当前账户、真实角色/功能与云ACK；只有授权或排队不满分；撤权立即变更；后台注明最后确认时间，24小时未更新不能称当前实时100 | 2、6 |
| AC21 | 新设备0条短信/通话也能通过真实扫描完成与空结果ACK确认；读失败、权限不足、部分可见不能以0记录冒充同步完成；100分仍展示实际风险 | 3、4、5、6 |
| AC22 | Gemini故障/预算用尽/情报过期/网络中断：本地收发接听继续，检测明确未完成；不自动访问任意URL，不无限重试或把失败判安全 | 3、4、5、6 |
| AC23 | 图片MIME/解码/大小/像素上限、EXIF处理、私有访问、缩略图与缓存删除；用户选图实际发送对象与说明一致，不宣称所有截图已可靠自动脱敏 | 1、3、6 |
| AC24 | 正式AAB/签名/API/Manifest、角色撤销、权限必要性、Data Safety含图片/三类记录、儿童适配、公开隐私/注销、GPL及审核路径一致；提交/获批/上线分别记录 | 6 |
3. 阶段放行与证据级别
阶段1重点AC01–AC05、AC11–AC14、AC18的后端/合成部分；不提前声称手机采集成立。阶段2重点AC01、AC06及AC20的引导/状态部分。阶段3重点AC03/04/07、AC10–AC17、AC19/22/23中的短信/举报部分。阶段4重点AC08及通话同步。阶段5重点AC09/18/19及应用同步。阶段6闭环全部适用场景。
部分场景跨阶段：在结果中标明已覆盖路径与待覆盖路径，不因为阶段1跑过合成输入就自动将整个AC记通过。状态为未执行/通过（注明范围）/失败/受阻；无证据不填通过。
证据等级：静态代码、Mock、受控API、模拟器、真实模型/供应商、真实设备、Play结果分别记录。真实OTP不向现有客户主动测试；既有用户“不用测试”指令继续有效，运营商送达无独立证据时只保留待验。紧急呼叫不主动拨号测试。
阶段1交付见../implementation/stage-1-report.md；阶段2见../implementation/stage-2-report.md，阶段3见../implementation/stage-3-report.md。矩阵本身不代表验收通过。