模块 XXI — 高管仪表盘与报表

模块 XXI 是 Web 层（第 4 层）的领导层界面：对整体 estate 的高层次读取—— 开支、用量、风险态势、合规覆盖与可靠性——与各模块的技术 UI 并列。 它汇总并呈现；它从不重新计算（每个数字都由各模块拥有）， 并继承与它所汇总的视图相同的租户作用域与 RBAC。

它是什么

本模块由两个只读界面组成：

• 高管仪表盘（/dashboards）——完整的跨模块汇总，带有可选的成本区间 （7d / 30d / 90d / 月初至今），按团队、项目、agent、模型或 provider 的开支细分， 以及一个可打印的报表封面；
• 首页概览（/）——一个刻意更轻量的入口：一个由 estate 支柱构成的单一网格 （清单、活动会话、安全、合规、开支运行率、健康/SLA），每一项都是通往其模块的下钻链接。

首页概览复用仪表盘的读取 hooks、纯汇总函数与图块原语，而非重复实现它们， 并共享同一个租户作用域的查询缓存，因此该入口在保持轻量（更少查询）的同时 仍与深度视图保持一致。

它呈现什么（以及它从不计算什么）

仪表盘以贯穿五大支柱的 KPI 为首——成本（FinOps XI + 模型 X）、 用量（清单 I + 会话 II）、风险（安全 IX + 红队 XVIII + 访问地图 III）、 合规（XIII）与可靠性（健康与 SLA XXII）。 汇总层是一组纯函数，它们只对各模块已经裁定的内容进行计数、求和与排名： 成本保持各模块的整数单位，finding 严重度、红队评分、控制项状态与健康状态原样透传。

因为它不拥有任何计算逻辑，它无法洗白一个数据源的诚实接缝（honesty seam），它也确实没有这么做： 一个 truncated 的聚合值仍被标记为下限；一次未能完成其探测的红队运行绝不被计为通过； 以近似或不透明覆盖率观测到的访问被呈现为下界；合规被读作控制项覆盖， 绝不作为”已合规”的主张，并保留其一贯的免责声明； 一个没有任何检查的健康主体读作 unknown，而非健康。

导出与传输

导出是按需的、客户端的：仪表盘通过浏览器的”另存为 PDF”（window.print()） 打印屏幕上所显示的内容，带有一个仅打印时出现的报表封面（组织、区间、生成时间） 以及一个一贯的免责声明页脚。这在构造上忠实于 RBAC 与租户作用域—— 报表只可能包含该角色实际渲染出的小节。导出的文档与仪表盘本身一样， 仅携带聚合的 KPI——无任何 payload、无任何密钥： 最小数据（minimal-data）是关于何物穿越传输通道的一项属性，而非对查看者良好行为的承诺。

执行

模块 XXI 没有执行接口（在模块目录中为 —）。 它是覆盖在各模块已提供的读取端点之上的呈现层；它不发出任何写入，不触发任何事物，也不分派任何事物。

诚实的边界

• 没有定时或投递式报表。 目录的设计意图包含定时的、可导出的报表； 今天交付的仅是按需的、客户端打印为 PDF。没有服务端报表端点、没有循环排程， 也没有邮件投递——不要期望一份报表会自行送达。
• 它仅与其数据源同样诚实。 每一处覆盖缺口、截断、待归属与免责声明都来自底层模块， 并被如实展示而非粉饰；一个低数值可能意味着低风险或有限覆盖。 请结合每个支柱所属模块的边界来解读它（例如访问地图的覆盖层级）。
• RBAC 管控每一个支柱。 一个无法读取某数据源的角色永远看不到其 KPI，也无法打印它。 一个没有任何被许可数据源的读者看到的是诚实的空状态，而非一个捏造的仪表盘。
• 某一时点、单一来源。 风险、合规与可靠性是当前状态的快照；只有成本横跨所选区间。 该视图是对本 control plane 自身数据的汇总，而非一个外部 BI 工具。

相关

• 模块目录 — 各层级，以及治理（Govern）/执行（Actuate）的划分。
• 模块 XI — 成本与 AI FinOps — 它所汇总的开支数字。
• 模块 XIII — 合规 — 控制项覆盖，绝非一项合规主张。
• 模块 III — 访问与资源地图 — 风险支柱背后的偏移（drift）。
• 架构概览 — Web 层所处的位置。
• 诚实与边界 — 本产品如何陈述它做什么与不做什么。