P2 LightFoundry — 本体论驱动的企业数据操作系统

本体四层（Object / Property / Link / Action）

products/foundry/ontology/（models/repository/service/version/impact/yaml/validate）实现本体论引擎完整版：

可选骨架：Interfaces（对象多态，属性集合匹配 + 统一查询展开）、Shared Property（跨对象复用属性定义）。

版本管理（状态机 / 冲突检测 / 审批）

• 快照式版本：改动产生新版本快照（不可变历史），ontology_versions 存 snapshot + base_version（main 基线）+ change_diff（新增/修改/删除的属性、链接、动作 JSON）。
• 状态机：draft → review → merged + 回滚；draft/review 带 base_version。
• 冲突检测：merge 时聚合 main 自 base_version 后所有版本的 change_diff，同 kind + 同 api_name 且 op 均为 modify/delete → 真冲突阻塞需人工解决；禁止以单版本 diff 判定（防漏检多版本累计修改）。
• 审批策略：approval_policy（最少批准人数 / 禁自我批准 / per-resource reviewer）；受保护资源（requires_approval）未过审不得 merged。
• 影响分析：合入前计算受影响的指标/报表/Agent 检索，merge 返回影响对象列表与 build 建议（POST /ontology/objects/:id/impact）。

YAML 声明式导入导出

本体定义可用 YAML 导出/导入（ontology/yaml.go），随 Apollo bundle 分发（契约④）。对象/属性/关系/动作一律用稳定 api_name/rid 引用（不用内部自增 id），字段命名参考 dbt MetricFlow / OSI。导入时两遍扫描解析 link 目标。

• GET /ontology/objects/:id/export?format=yaml — 导出（Gotham 图 seed、Apollo ontology_yaml 组件的生产者）。
• POST /ontology/objects/import — 导入（api_name/rid 引用）。

指标语义层（entity / dimension / measure / metric）

products/foundry/metric/ 对齐 dbt MetricFlow / OSI 四层：

聚合查询 POST /metrics/query（按指标名+维度+粒度），对象级权限在查询层生效；demo seed：customer/order/product + total_gmv/aov 指标。

语义查询 / 防注入 / OOL / SemanticSearch

products/foundry/semantic/（mapper/query/search/ool）：

• 对象 → SQL 翻译引擎：对象定义（映射列 + link）→ SQL；参数白名单防注入（过滤算子/值类型白名单校验）+ link 自动 JOIN + RLS/CLS 注入 + OOL 轻量版。
• OOL（Ontology Query Language 轻量版，语义冻结）：单对象遍历式，一次只针对一个对象类型；跨对象用 traverse（对应 OQL TRAVERSE_TO）进入相邻对象再过滤；禁止点号引用（related.field 不允许）；过滤算子 eq/neq/lt/lte/gt/gte/is_null/contains/starts_with + and/or/not；查询最多 3 层深。
• SemanticSearch（契约①）：按文本匹配指标/对象/属性返回结构化结果（POST /ontology/semantic-search），供 AIP OAG 检索。
• Ontology SQL：按稳定 rid/api_name 引用对象类型（列名 = 属性 api_name）。

// OOL 请求示例（对象属性过滤 → SQL 翻译）
{ "object_type": "order",                       // 按 api_name
  "filters": { "status": { "eq": "shipped" }, "amount": { "gte": 1000 } },
  "traverse": [ { "link": "purchased_by", "then_filters": { "level": { "eq": "VIP" } } } ],
  "select": ["id", "amount", "created_date"], "limit": 50 }

Action 写路径安全流水线（唯一写入口）

products/foundry/writepath/（pipeline/schema_validator/idempotency）——所有数据回写必须走 Action Type，无绕过路径（R2 红线）。

执行四模式

安全流水线八步（与只读侧 RLS SQL 改写不同；已核实 2026-09-08）

1. 参数 Schema 校验：按 ontology_actions.param_schema（JSON Schema）校验入参；
2. ValidationRules 前置校验：求值动作提交前校验规则（表达式条件），失败聚合提示且失败即阻断（默认安全，规则空时零开销跳过，B7-6）；
3. 逐动作授权（RBAC）：校验操作者对 Action 的执行权限；
4. 记录级写权限：非 SQL 改写，SELECT 主键 + RLS 可见性双计数；无边界写（无 WHERE）整批拒绝；
5. 属性级写权限三分：Read → EditProperty → EditPolicyProperty，未授权属性返回 null/隐藏值而非整行拒绝；
6. 幂等与事务：幂等键（AIP 用 action_run_id，Swift 用 UETR）+ DB 事务包裹，重复提交返回首次结果（ACTION_IDEMPOTENT_REPLAY）；
7. 乐观并发控制：回写 SQL 带 updated_at = :expected 条件（毫秒精度，避免秒级盲区）；受影响行数 = 0 → HTTP 409 + ACTION_CONFLICT + latest_state，客户端以最新状态重试。
8. 强制审计：每个终态落底座 audit（异步队列），记录 who/when/prior state（修改前状态快照）。

回写事务模式（write_back_config.mode）

• pre：先回写源系统，成功后才提交本体变更；回写失败全部本体变更回滚（伪原子，适合 Swift 结算/对账）。
• post：先提交本体变更与编辑态，再异步副作用；副作用失败不影响已提交（适合通知/审计）。

管道构建器 + 数据质量

products/foundry/pipeline/：

• SQL 步骤管道：pipeline_definitions = 数据源 + 有序 SQL 步骤（SELECT/transform）+ 目标对象映射 + 触发方式（手动/定时）。范围：单数据源内 SQL 步骤（跨源 join 不做，与单机优先一致）。
• 输出写模式：append | append_only_new | snapshot_replace | snapshot_replace_and_remove | changelog；对象类型同步优先 changelog / snapshot_replace。
• 输出期望（质量规则挂输出）：未达标不得部署，失败告警 + 隔离。规则类型：null / format / unique / referential 四类，问题跟踪（open/acknowledged/fixed）。
• API：/pipelines CRUD + /pipelines/:id/run + runs/enable/disable；/quality/rules + /quality/issues。

数据血缘（四级链路 + Action 写边）

products/foundry/lineage/：data_lineage 记录 上游 → 下游 边，MVP 先做四级血缘：源 → 管道 → 对象 → 指标 → 报表（字段级 P2）。

• Action 写操作是血缘边：upstream_type=action，支撑"谁在何时改了什么"回溯与审计（血缘写入点：元数据导入、管道执行、Action 执行、指标定义、报表创建）。
• 查询 GET /lineage 支持上下行追溯；分支上移除资源破坏下游血缘时告警。

数据集 / 质量画像 / 同步（V5 数据域）

products/foundry/dataset/（fd_datasets + fd_dataset_versions 版本快照，行数据动态表 ds_<safe> 列名白名单防注入）：从数据源拉数建集（platform_ds）或 CSV/JSON 上传（XLSX 明确报错降级），版本发布与历史追溯、数据预览、基础画像（null 率/distinct/top5）与血缘记录；资源 URI dataset://foundry/<rid>。

对象化 SQL 工作台 + 编辑态聚合叠加（V5）

products/foundry/query/（translate.go/rest.go）：以对象名直查的受限只读 SQL——翻译器将 FROM/JOIN 对象名替换为物理表、属性替换为物理列，注入 RLS/CLS 只读安全、强制外层 LIMIT（无则补 500、上限钳 5000）。安全模型：标识符白名单 + 关键字黑名单（DML/多语句拒绝）+ 字符串参数化。API：POST /ontology/sql/translate|execute。

semantic/edit_overlay.go（B1-5）：编辑态一致性——行级查询与聚合查询均正确叠加编辑态数据（LoadEditValues/HasRelevantEdits/OverlayAggregate），聚合回退为行级 + 内存聚合（上限 10000，超限 approximate 标注），保障分析口径一致（红线测试通过）。

Notebook / 块式报表 / Fusion / 流规则（V5 协作闭环）

ValueType / 本体函数 / MCP / 安全标记 / OWL-SHACL（V5 语义互操作）

组件市场 / 代码仓库 / 统一搜索 / CLI（V5 生态工程）

HTTP API 分组（/api/v1，V5 后 100+ 路由）

统一响应 {code:0, data:...}；错误 {code, error}。demo seed：customer/order/product 本体 + GMV/AOV 指标。契约测试 TestOpenAPIContractRoutes 双向对拍 openapi spec 与 gin 路由。