https://workflow.games/wiki/changelog Workflow(workflow.games)产品与 API 变更 https://workflow.games/wiki/changelog#2026-09-03-current-project-pat-module-access 2026-09-03-current-project-pat-module-access Thu, 03 Sep 2026 00:00:00 +0000 用只读 API Token 调用 `GET /projects/current` 时，`membership.moduleAccess` 会按 token 的 scope 与你的角色求交：只读 token 六个业务模块都是 `read`，不再把角色的 `manage` 原样投出来。Agent 预检请看这一块，不要看 `permissions`。 https://workflow.games/wiki/changelog#2026-07-26-authz-guards 2026-07-26-authz-guards Sun, 26 Jul 2026 00:00:00 +0000 后端测试新增鉴权普查、越权普查、RLS 审计与 PAT 实时天花板四道机械守卫，任何新增端点漏配鉴权、缺越权用例或绕过租户隔离都会在提交前被拦下。对用户无感，对所有 API 调用方意味着权限行为更可预期。 https://workflow.games/wiki/changelog#2026-07-23-module-access 2026-07-23-module-access Thu, 23 Jul 2026 00:00:00 +0000 项目角色改为两套独立权限：治理 permissions 管项目设置/成员/工作流配置等，moduleAccess 以 none/read/edit/manage 四档管五个业务模块。原 manage_requirements、manage_work_items、manage_schedule、manage_bugs 四个权限键退役，写角色时 moduleAccess 五键整组必填。存量角色已按不降权原则自动迁移。 https://workflow.games/wiki/changelog#2026-07-09-milestones-create-panel 2026-07-09-milestones-create-panel Thu, 09 Jul 2026 00:00:00 +0000 里程碑节点上线：状态由关联需求进度自动派生，自动汇总风险项；跨模块统一创建面板上线，顶栏「新建」一处入口创建需求/任务/缺陷等对象，显式选类别、字段联动、支持草稿与附件。 https://workflow.games/wiki/changelog#2026-07-08-workflow-engine 2026-07-08-workflow-engine Wed, 08 Jul 2026 00:00:00 +0000 需求与工作项的状态流转统一切换到数据驱动的工作流引擎：模板/草稿/发布版本、权限与必填字段守卫、槽位路由与认领。旧的直接改状态接口退役，流转一律走 transitions 端点(引擎自 2026-07-07 起分波交付，本条记 M1/M2 主体落地)。 https://workflow.games/wiki/changelog#2026-07-08-notifications 2026-07-08-notifications Wed, 08 Jul 2026 00:00:00 +0000 铃铛通知上线：指派给我、我负责的需求流转、轮到我处理、@提及、排期变动、里程碑风险、项目接管七类投影；高优先级变更同时渲染成飞书卡片投递到群，绑定飞书身份的成员可收私聊提醒，不可达时逐级降级不静默丢失。 https://workflow.games/wiki/changelog#2026-07-07-attachments 2026-07-07-attachments Tue, 07 Jul 2026 00:00:00 +0000 需求、工作项、缺陷、里程碑、文档支持附件上传与下载，图片/视频带内联缩略图；飞书群机器人收缺陷时自动把消息里的截图采集为附件。附件有大小上限与类型白名单，元数据与文件本体分离存储。 https://workflow.games/wiki/changelog#2026-07-04-agent-api-pat 2026-07-04-agent-api-pat Sat, 04 Jul 2026 00:00:00 +0000 项目面支持 GitHub 式个人访问令牌(`wfp_` 前缀)：在「项目设置 → API Token」签发，配合 `wf` 命令行工具或直接携带 `Authorization: Bearer` 调用 `/api/v1` 全部合同能力。token 权限 = scope 与你实时角色权限的交集，角色降级立即生效，无需吊销重发。