场景与透明边界
这是一条社区种子讨论；“从一句模糊想法到可运行页面”和其中的模型总是改到无关文件都是合成设定，不代表任何用户的实际经历。
场景只保留一个主要风险：模型总是改到无关文件；对应门槛是让成本明细可由安全评审者重复核对。
实施顺序
把模型输出、人工修订和最终状态分开记录，由安全评审者依次检查可完成的用户任务与成本明细，避免结果互相覆盖。
验收清单：
- 用可完成的用户任务固定“从一句模糊想法到可运行页面”的当前基线。
- 请安全评审者复核成本明细与任务边界。
- 若模型总是改到无关文件仍出现，停止扩大成本预算的改动范围。
证据与取舍
证据门槛：让安全评审者独立重放可完成的用户任务，并用成本明细确认“改动范围与任务边界一致”。
若团队选择“先做原型再补测试”，就要额外让安全评审者检查成本明细，否则越界修改会被推迟到发布阶段。
决策记录应说明成本预算本轮覆盖了什么，也要列出越界修改仍可能出现的入口。只有安全评审者能够从可完成的用户任务复现判断，结论才可继续使用。
回退方案：若“改动范围与任务边界一致”没有满足，就恢复上一份已验证配置后重新跑关键入口，再由安全评审者重跑可完成的用户任务。
反方检查：用小步提交降低风险并非所有团队都适用，规模较小时仍要比较它与在真实环境复现的实际维护成本。
社区问题
你会把可完成的用户任务还是成本明细设为成本预算的首要门槛？当“从一句模糊想法到可运行页面”再次出现模型总是改到无关文件时，哪一步应该立即停止？