init

2026-06-12 01:27:11 +08:00
commit bbe619d386
33 changed files with 6234 additions and 0 deletions
@@ -0,0 +1,113 @@
+# 模块 3：若依场景中的幻觉死循环
+
+<div class="mt-6 text-sm">
+
+**常见表现：**
+- AI 说所有接口都有权限校验 → 但不给 Controller 依据
+- AI 说操作日志完整 → 但不给注解或 AOP 依据
+- AI 说按钮权限安全 → 但只看到前端代码
+</div>
+
+<!--
+在若依项目里，AI 很容易因为它“知道若依是权限系统”就过度自信。
+它说所有接口都有权限校验，但不给 Controller 依据。
+它说操作日志完整，但不给注解或 AOP 依据。
+它说按钮权限安全，但只看到了前端按钮隐藏。
+这就是需要切断的幻觉。
+-->
+
+---
+
+# 幻觉控制顺序
+
+<div class="grid grid-cols-3 gap-4 mt-10">
+<div class="text-center p-6 rounded-xl bg-blue-500/10 border border-blue-500/30">
+<div class="text-2xl mb-2">1️⃣</div>
+<div class="font-bold">先找证据</div>
+</div>
+<div class="text-center p-6 rounded-xl bg-emerald-500/10 border border-emerald-500/30">
+<div class="text-2xl mb-2">2️⃣</div>
+<div class="font-bold">再判断原因</div>
+</div>
+<div class="text-center p-6 rounded-xl bg-amber-500/10 border border-amber-500/30">
+<div class="text-2xl mb-2">3️⃣</div>
+<div class="font-bold">最后给方案</div>
+</div>
+</div>
+
+<!--
+遇到这种情况，不要继续让 AI 给结论。
+先让它找证据：文件、类、方法、注解、调用关系。
+然后再判断问题。
+最后才给方案。
+-->
+
+---
+
+# 若依证据收集 Prompt
+
+<div class="mt-4 p-4 rounded-xl bg-blue-500/10 border border-blue-500/30 text-sm">
+
+```
+请先不要修改代码。请围绕"用户管理删除按钮权限"收集证据：
+1. 前端按钮在哪个页面
+2. 使用了哪个权限字符
+3. 前端如何判断按钮显示
+4. 后端删除接口在哪里
+5. Controller 是否有权限注解
+6. 是否记录操作日志
+7. 无法确认的内容
+```
+
+</div>
+
+<!--
+这是若依场景下的证据收集 Prompt。
+它没有直接问“有没有风险”，而是先要求 AI 找证据。
+前端按钮在哪里，权限字符是什么，前端怎么判断，后端删除接口在哪里，Controller 是否有权限注解，是否记录操作日志，哪些无法确认。
+这些证据收集完，才能判断风险。
+-->
+
+---
+
+# 原因判断 Prompt
+
+<div class="mt-4 p-4 rounded-xl bg-emerald-500/10 border border-emerald-500/30 text-sm">
+
+```
+请基于证据判断风险：
+- 每个风险必须对应文件、函数或注解
+- 区分已确认事实和推测
+- 无法确认的内容写入不确定点
+- 不要直接下安全结论
+```
+
+</div>
+
+<!--
+第二步是原因判断。
+比如发现前端按钮有权限字符，但后端删除接口没有找到权限注解。
+这时可以说“存在接口级权限待确认风险”，但不能直接说“系统不安全”。
+如果没有看到后端文件，也要写无法确认，而不是猜测。
+-->
+
+---
+
+# 方案生成 Prompt
+
+<div class="mt-4 p-4 rounded-xl bg-amber-500/10 border border-amber-500/30 text-sm">
+
+```
+请基于已确认风险给出方案：
+修改文件 · 修改方法 · 新增或调整权限注解 · 
+是否需要操作日志 · 影响范围 · 验证方式 · 测试建议
+```
+
+</div>
+
+<!--
+第三步才给方案。
+如果确认证据显示后端接口缺少权限注解，才建议补权限注解。
+如果敏感操作缺少日志，才建议补操作日志。
+每个方案都要说明文件、方法、影响范围、验证方式和测试建议。
+-->