附录 B：公开方法来源与适用边界
以下资料提供方法依据。本文的角色划分、双轴审查、门禁节拍与模板属于综合设计，不应视为各来源的原文规定。2026-10-14 核对了下列可访问页面的标题与相关引用段落；IMDA 的访问限制见下。在线文档可能持续更新，采纳具体规范时应登记所用版本。
B.1 工程与治理方法
| 主题 | 公开来源 | 本文采用的范围与边界 |
|---|---|---|
| 架构决策记录 | Michael Nygard：Documenting Architecture Decisions；AWS：Architectural decision record process | 记录背景、决定、状态与后果；目录、编号和审批方式由团队选择 |
| 代码审查 | Google：How to do a code review；What to look for | 对设计、功能、复杂度和测试等方面开展审查；Standards / Spec 双轴是本文归纳，并非 Google 命名的标准 |
| 测试规模与范围 | Adam Bender：Software Engineering at Google，第 11 章 | 区分测试规模与验证范围；本文的执行节拍、依赖类型和验收映射为进一步设计 |
| 请求标识与幂等 | Google：AIP-155: Request identification | 支持请求 ID 和幂等重试；作用域、参数冲突、保留期与恢复流程须由具体契约确定 |
| 威胁建模 | OWASP：Threat Modeling Cheat Sheet | 识别资产、边界、威胁与缓解措施，不据此推导统一审批人数或研发阶段 |
| 视觉回归 | Playwright：Visual comparisons | 使用可控环境与渲染基线进行截图比对；截图不能替代业务或无障碍验收 |
| AI 辅助编码安全 | OWASP：Secure Coding with AI Cheat Sheet | 关注上下文注入、工具权限、运行隔离及代码验证 |
| Agent 安全 | OWASP：AI Agent Security Cheat Sheet | 关注参数绑定授权、执行侧校验、防重放与日志；具体字段和状态机仍由实现定义 |
| MCP 安全 | MCP：Security Best Practices，2025-11-25 文档路径 | 参考令牌受众、代理授权及禁止令牌透传等要求；不将该路径称为最新版本 |
| AI 治理 | IMDA：Agentic AI 治理框架发布公告；NIST：AI RMF Core；ISO：ISO/IEC 42001:2023；官方解释 | 用于理解治理责任与风险管理；不据此宣称本文、团队或 Agent 已获认证 |
核验限制：上述三个 IMDA 入口的直接访问均遇到机器人验证，本次未核实其正文或框架后续版本号，因此不列未经确认的更新日期或版本结论。ISO 仅核验公开说明与产品介绍页，未审读付费标准全文，不据此宣称满足认证要求。
B.2 需求与规划方法
| 来源 | 本文采用的范围 | 不据此推导的结论 |
|---|---|---|
| Atlassian：Product discovery | 需求发现持续联系用户反馈、问题证据与交付 | 不要求采用 Jira，不把所有反馈视为承诺 |
| Intercom：RICE | 使用覆盖范围、影响、置信度与投入进行比较，保留依赖和必备项的例外 | 不以模型自评代替证据，不以分数覆盖安全要求或业务决定 |
| Scrum Guide 2020 | 历史表现、可用容量与完成标准共同支持迭代预测 | 不声称本文完整实施 Scrum，不强设双周迭代或故事点 |
| Atlassian：Agile roadmaps | 采用目标导向的滚动路线图与时间窗口 | 不将远期方向自动变成发布日期承诺 |
| DORA：Work in process limits | 识别全流程工作和瓶颈，按容量限制在制工作 | 不按 Agent 数量直接换算团队交付能力 |
这些方法的适用说明已整合在第〇章，执行模板集中在附录 A，无需另读项目文档或补充调研稿才能理解本指南。