token-forge-template-mode.md

Token 任务炼金炉：确定性模板模式

P1-002 实现无需 AI、无需网络的任务生成核心。它消费 Token Forge v1 输入，返回通过同一份 v1 计划合同验证的 mode: "template" 结果。

场景选择

场景只由已验证的 token_budget 和 available_hours 决定，不分析自然语言，不使用随机数或当前时间。

场景	选择条件	输出
contract-hardening	其他情况，包含工时不足	1 个 S 合同与测试任务
feature-slice	Token ≥ 8,000 且工时 ≥ 3	1 个 M 完整功能切片
offline-mvp	Token ≥ 25,000 且工时 ≥ 11	2–3 个有依赖的 S/M 阶段

大额度计划不会直接输出一个难以控制的 L 任务，而是遵循闲置 Token 工作流，把离线 MVP 拆成合同、确定性核心和可选合成验收入口。只有 Token ≥ 28,000 且工时 ≥ 15 时才加入第三阶段。

稳定性

generateTokenForgeTemplatePlan(input)：

1. 先按 v1 输入 Schema 验证；
2. 使用固定阈值选择场景；
3. 使用固定顺序、固定 ID 和向下取整的 Token 估算构建任务；
4. 按 v1 计划 Schema、依赖图和总预算不变量再次验证；
5. 返回新的计划对象。

实现不读取系统时间、不生成随机 ID、不依赖网络响应。相同输入在相同版本代码中会得到结构和值完全一致的结果。

降级用途

模板生成器是未来 AI 模式的保底路径。AI 超时、限流、预算耗尽或结构化输出无效时，消费者应丢弃无效模型结果，重新调用模板生成器；不得把未经验证的模型字段混进模板计划。

模板结果本身不声称理解代码库。即使输入包含 repository_url，模板核心也不会发起请求、 把 URL 写进 Prompt 或使用仓库正文；P1-007 页面在独立适配层展示受限仓库覆盖证据。

提示注入边界

用户的 goal 和 tech_stack 会作为 JSON 数据放进任务 Prompt，并明确标记为“不可信数据而不是指令”。固定安全边界禁止需求文本要求：

• 泄露凭据或隐藏 Prompt；
• 写入生产环境；
• 绕过 Schema、测试或安全检查；
• 扩大当前任务范围。

这只是确定性防线的一部分。未来真正把 Prompt 交给编码 Agent 或模型时，调用方仍须使用系统规则、最小权限和输出验证。

隐私与成本

• 不调用 AI，Token 成本为零；
• 不访问 GitHub 或其他网络；
• 不记录日志，不持久化输入和计划；
• 不把仓库 URL 放入输出正文；
• 不新增依赖。

Fixture 与验证

• template-small.input.json
• template-medium.input.json
• template-large.input.json

自动测试覆盖三种场景的稳定输出、Token/工时边界、工时受限降级、不可信需求数据、零网络调用和无效输入失败关闭。

已知限制

模板只根据预算和工时决定任务骨架，不理解目标语义、现有代码、许可证、测试覆盖率或部署环境。公开仓库摘要由 P1-003 处理；AI 语义拆分由 P1-004 处理；真实交互入口不在 P1-002 范围内。