咖啡馆和餐厅所需的一切功能

可安装应用（PWA）4

• 安装到主屏幕（iOS 与 Android） — 管理后台和顾客菜单可直接从浏览器安装为应用——无需应用商店，无需下载。
• 离线可用 — 已打开过的菜单在没有网络连接时也能继续使用。
• 推送通知 — 新订单、呼叫服务员和结账请求会以推送通知的形式送达已安装的应用。
• 全屏独立模式 — 安装后不显示浏览器界面，像原生应用一样运行。

点餐、KDS 与厨房23

• 桌边点餐
• 在线点餐

• QR 菜单（核心顾客菜单） — 通过 QR 或直接 URL 访问的面向公众的电子菜单，含品类、商品与图片
• 点餐购物车与结账 — 在付款前选择商品、配料与数量的购物车
• 顾客点餐（5 步生命周期） — 下单 → 待处理 → 已确认 → 备餐中 → 就绪 → 已送达，实时状态更新；服务端权威状态机
• 订单配料与定制 — 按商品的配料组（规格、配料、加料），各选项价差以 JSON 快照存储
• 商品备注（特殊要求） — 按单品填写自由文本备注（"不要洋葱"），在 KDS 小票上呈现
• ETA / 订单倒计时 — 顾客可见的 25 分钟备餐计时器，从 'preparing' 到 'ready'（target_ready_at），每 30 秒轮询，就绪时绿色脉冲
• 订单小费调整（付款后） — 顾客在下单后添加/修改小费，服务端按 tip_max_percent 设上限（默认 50%）
• 订单取消（90 秒窗口） — 顾客在 90 秒内取消待处理订单，含原子竞态校验、积分回滚与影子封禁
• 订单退款（累计跟踪） — 管理端部分/全额退款在 refunded_amount_cents 中累计跟踪，并带 OCC 竞态保护（409）
• 多币种与税额拆分 — 订单总额含按税率拆分的税额 JSON、含税与不含税、币种快照
• 订单分享（Web Share API） — 顾客通过原生系统分享面板或剪贴板将实时订单状态分享至其他手机
• KDS（厨房显示系统） — 实时 SSE/轮询订单队列，支持状态流转（pending → confirmed → preparing → ready → served）
• KDS 工位与 PIN 登录 — 每家餐厅可设多个 KDS 工位，各自带 4–6 位 PIN 并按工位筛选品类
• KDS 订单状态工作流（OCC） — 原子化的厨房状态流转，带 `AND status=<prev>` 竞态校验，并可按状态自定义按钮文案
• 订单列表与详情 — 按状态分组的全部订单；可下钻查看商品/合计/顾客；支持手动部分退款与小费调整
• 订单录入（手动 POS） — 员工创建订单：桌台 → 品类 → 商品 → 数量 → 确认；带幂等键 POST；可处理电话/现金单
• 吧台挂账（按会话挂账跟踪） — 跨多笔订单为每位顾客持久挂账，含实时余额与逐项跟踪
• ESC/POS 热敏打印机支持 — 原始 ESC/POS 字节构建器（32/42/48/56 字符宽），采用 CP857 土耳其语编码打印小票
• 热敏打印机桥接（Web Serial/USB/Bluetooth） — 通过 Web Serial、USB 与 Bluetooth 进行 ESC/POS 通信的浏览器传输层
• 打印机设置与配对界面 — 发现、配对并测试打印机，可选择型号/宽度/编码
• 厨房小票 — 专用 ESC/POS 厨房打印：餐厅、桌台、商品、数量、备注、配料、已用时长
• 顾客小票 / 账单 — 面向顾客的热敏小票：餐厅、桌台、商品、单价、合计、支付方式、时间戳
• 缺货自动下架（Auto-86） — 下单时原子扣减库存，库存 ≤ 0 时自动下架商品并向店主推送告警

支付2

• 桌边支付

• Stripe Checkout 与 Payment Intents — 顾客结账会话 + 代理订单的支付意图；SCA/3D-Secure、元数据归因、退款
• Stripe Connect — 餐厅分账与佣金拆分（餐厅留存小计份额，平台收取佣金）；由 webhook 驱动

自助点餐机2

• 自助点餐终端

• 自助点餐机模式（自助服务） — 任意平板上的全屏自助终端：“点击开始”界面、实时菜单与购物车，闲置 60 秒后重置；订单以自取订单形式提交
• 自助点餐机设备注册 — 在开发者/集成界面注册并管理自助点餐机设备

菜单、库存与定价15

• 菜单管理

• 菜单编辑器（商品/品类/配料） — 完整菜单 CRUD：创建/编辑/删除项、批量补货 CSV、过敏原标记、税率覆盖、AI 营养
• 菜单品类（层级） — 商品分组（前菜/主菜/甜点/饮品），支持拖拽排序与可选的父级嵌套
• 商品管理（CRUD） — 完整商品生命周期：名称、描述、价格、图片、可用性、备餐时长、过敏原、配料
• 商品菜谱编辑器 + COGS — 菜谱配料清单，含逐单位 COGS 与毛利率计算
• 商品批量导入/导出
• 商品批量调价 — 对多个商品按百分比加价/降价，提交前可预览
• 商品补货跟踪 — 记录手动补货的数量与时间戳，用于库存对账
• 商品图库（多图） — 上传多张商品照片（角度、配料、制作过程），含图库查看器；端侧处理
• 营养信息（AI + 手动） — 由 AI 或手动填充的卡路里、宏量营养素、过敏原，含逐项税率
• 过敏原跟踪 + 顾客警示 — 商品标注 EU-14 过敏原；顾客输入过敏原时购物车弹出警示；事件日志
• 库存管理 — 按商品跟踪库存，库存 ≤ 0 自动下架，店主通知并更新可用状态
• 库存流水台账 — 全部库存调整（对账、履约、损耗、变质、调拨）的详细日志，带原因码
• 库存预测分析与补货 — AI 14 天断货预测（消耗速率 + 置信度），距断货 < 3 天时告警
• COGS 夜间刷新 — UTC 02:30 根据菜谱重算商品 COGS，检测毛利下降 > 10% 并向管理端告警
• 税务设置与税率 — 多税率配置，支持逐商品覆盖与餐厅默认值，含税/外加税开关

员工与运营14

• 管理平台

• 员工管理（角色 + 权限） — 店主/管理员/经理/厨房/服务员/收银/KDS 角色，带细粒度权限闸门（view_orders）
• 员工 PIN 鉴权 — 面向 KDS/前厅员工的 4–6 位 PIN 登录，采用 PBKDF2 20 万次迭代哈希、逐凭证 16 字节盐
• 考勤打卡（上/下班） — 基于 PIN 的上下班打卡，含班次时长、休息、人力成本计算、加班自动标记与 KDS 令牌
• 排班 — 周期性/一次性排班日历，含员工指派、日期范围排期、按餐厅时区
• 交接班 — 结构化的班次交接记录（未结订单、问题、事件、库存备注），带确认
• 小费池 / 服务费 — 每日小费汇总，含按员工的分配规则、按角色/班次分成与手动覆盖
• 员工审计日志 — 员工操作（登录、PIN/密码变更、权限变更、退款）滚动保留 24 个月
• 收件箱（统一告警流） — 每 5 秒轮询呼叫服务员、结账请求、低库存、评价、预订、过敏原事件与班次
• 呼叫服务员（铃声系统） — 顾客"呼叫服务员"按钮创建 waiter_calls 记录并推送至员工手表 + 管理端 Web
• 呼叫服务员确认 — 员工从仪表盘或智能手表查看/排序/确认呼叫，并跟踪响应时长
• 结账请求（adisyon） — 顾客"请求结账"创建 bill_requests 记录并带关闭状态机；账单冻结会阻止新单
• 结账请求确认 — 员工从仪表盘或智能手表确认接收与完成
• 活动流 — 全部操作（创建订单、退款、员工登录、菜单编辑）的实时流，可搜索可筛选
• 营业时间 + 假日模式 — 按星期设置营业时间（含休息），在非营业时段禁止点餐，并提供假日模式开关

通知与推送10

• Web Push（VAPID, RFC 8291） — 面向管理端浏览器与顾客（订单就绪）的 ES256 VAPID 签名 Web Push；urgency:high，约 10 分钟 TTL
• 收到订单 → 店主 — 顾客成功提交订单 POST 时触发（"N 号桌新订单，合计 $X"），覆盖原生端 + Web
• 订单就绪 → 店主 — 订单进入 'ready' 状态时触发；自动折叠同一订单的多次更新
• 订单就绪 → 顾客（Web Push） — 顾客订单就绪时的顾客端 VAPID 推送；可在订单详情页选择开启
• 订单取消 → 店主 — 顾客在 90 秒窗口内取消订单时触发
• 呼叫服务员 → 店主/员工 — 顾客"呼叫服务员"按桌推送至智能手表 + 员工手机 + 管理端 Web，并带触感语汇
• 结账请求 → 店主/员工 — 顾客"请求结账"按桌推送至智能手表、手机与 Web
• 库存断货预测 → 店主 — AI 预测的 3 天断货预警，置信度 ≥ 50% 时每店每天一次
• 创建预订 → 店主 — 新预订产生时按店推送至店主的智能手表/手机/Web
• 实时 SSE 通知 → 管理端 Web — 每 5 秒轮询 D1，将待处理订单数、呼叫服务员、结账请求与就绪订单推送至管理端

自动化5

• 每日运营摘要邮件 — 按餐厅时区可选订阅的每日邮件：营收、订单、小费、热销品、反馈汇总、新增
• 低库存每日摘要邮件 — Resend HTML 邮件列出库存 ≤ 阈值的商品；UTC 09:00，幂等保护
• 配料补货提醒 — 每日邮件列出需补货商品，含按使用速率计算的数量与供应商链接；UTC 09:30
• 备份（每周）+ 校验（每日） — 每周日 UTC 02:00 对全部 D1 数据库做 AES-256-GCM 快照至 R2（跳过 PII 表），并每日 UTC 05:00 校验
• GDPR/KVKK 删除处理 — 每日 UTC 14:00 通过擦除表白名单硬删除超过 30 天宽限期的账户

管理后台2

• 设置 / 餐厅配置 — 元数据、币种、时区、小费设置与运营开关
• 管理端通知收件箱 — 集中收件箱处理订单、退款、员工告警与管理消息，带已读状态

顾客体验 / PWA / 多语言14

• 数字菜单
• 多语言菜单

• PWA（可安装、离线优先） — 可安装的顾客菜单 + 管理端仪表盘，带 Service Worker 离线支持、写操作网络优先
• 后台同步（离线队列） — 订单/反馈离线排队，重连后由 Service Worker 重放，并带离线指示器
• 本地化（31 种语言 + RTL） — TR/EN/DE/FR/ES/IT/PT/RU/AR/HE/FA/ZH/JA/KO/NL/PL/RO/EL 等，含阿拉伯语/希伯来语 RTL 镜像
• 实时货币转换 — 实时货币切换（EUR/USD/GBP/SAR/AED）——游客以本国货币查看价格
• 深色模式 — 系统主题检测 + 手动切换，持久化至 localStorage
• 无障碍（WCAG 2.1 AA） — Aria 标签、语义化 HTML、键盘导航、focus-visible 与 44×44 触控目标
• 菜单主题编辑器 — 颜色选择器、字体选择、Logo/封面与布局切换（网格 vs 列表），应用于菜单与网页
• 图库 / 餐厅图片 — 上传带说明的室内/菜品图库照片，用于菜单头部与落地页
• 社交链接管理 — 在菜单页脚可配置 Instagram/TikTok/Facebook/LinkedIn 链接，并带 safeHref 校验
• Wi-Fi 信息展示 — 在菜单页脚显示访客 Wi-Fi SSID + 密码
• 反馈 / NPS（售后） — 送达后填写 5★ + 品类 + 280 字消息，带每单去重、实体编码与按 IP 限制
• 反馈管理仪表盘 — 全部反馈带情感标签、日期范围与来源筛选，以及严重告警推送
• 菜品建议分流 — 顾客提交的菜品创意排队等待管理端分流，带状态与管理员备注
• 顾客 Web Push 订阅 — 订单就绪/取消通知，带回到订单详情的深链；订阅持久化

预订 / 候位10

• 预订

• 预订 + 预订日历 — 顾客按日期/时段预订，含人数、客人姓名/邮箱/电话与备注；管理端按日视图日历
• 预订管理队列 — 状态流转（pending → confirmed → seated/no-show/completed），可排序的即将到来/历史视图
• 预订取消（顾客） — 通过确认码链接取消，带原子竞态校验（status='pending'）
• 预订确认码 — 每个预订的唯一码，用于引用、查询状态与取消
• 预订 iCalendar 导出 — 顾客导出 .ics，含预订详情可导入日历
• 预订爽约跟踪 — 管理端标记爽约以执行相关政策
• 预订人数上限 — 按餐厅设置最大人数并在预订时强制（默认 50）
• 有效时段去重索引 — 部分 UNIQUE 索引，确保每个（餐厅、桌台、时间窗口）仅有一条待处理/已确认预订
• 桌台会话（QR 加入，1 小时 TTL） — 多位顾客扫描同一桌台 QR 组成会话（session_token、join_code、host_device_id）；主机控制
• 候位管理 — 自助加入队列（人数、电话、备注），管理端可进行状态流转（waiting → notified →）

顾客 CRM4

• 顾客名单 / CRM — 将会员 + 预订 + 反馈聚合为可搜索联系人名单的仪表盘，含详情
• CRM 联系人信息（去重） — 跨订单、预订、会员与反馈去重的统一邮箱/电话联系人存储
• CRM 召回候选 — 将 60+ 天无到访的顾客标记为流失风险以便再营销
• CRM 标签 — 任意标签（VIP/常客/一次性）用于分群

营销与会员22

• 会员积分

• 邮件群发活动 — 向订阅者列表群发 HTML 邮件，带状态跟踪（草稿/排队/发送中/已发送/失败）与送达情况
• 邮件模板 — 可复用的品牌化 HTML 模板，含自定义发件人名称与回复地址
• 邮件订阅者 — 订阅者列表，含状态（已订阅/已退订/退信/投诉）、来源跟踪与逐订阅者信息
• 邮件滴灌序列 — 基于触发的多步生命周期邮件（注册/首单/生日/预订完成，第 1/7/30 天）
• 邮件订阅注册 + 退订 — 结账时采集邮箱，使用管理端配置的列表并支持一键退订
• 促销横幅活动 — 精选菜单横幅，含自定义颜色、徽章文案、图片、日期窗口与排序
• 公告（菜单内横幅） — 菜单内置顶横幅（"欢乐时光 5-7pm"），含自定义颜色/图标/文案与定时日期范围
• 促销码 — 管理端创建的促销码，支持百分比/固定折扣、最低订单额、使用上限、每位顾客核销限制
• 顾客使用促销码 — 结账时应用，含服务端校验、使用上限强制、最低消费校验与按 IP 限制
• 会员计划（赚取 + 兑换） — 按订单赚取积分并可兑换折扣/奖励；原子余额校验、奖励库存管理
• 会员注册 — 顾客通过邮箱/手机创建账户，含按等级的赚取倍率与到访历史
• 会员等级 — 按消费/到访门槛分为 Bronze/Silver/Gold/Platinum，各等级有专属赚取倍率与兑换权益
• 会员等级自动化 — 每日 cron 按 90 天累计消费自动升级等级；应用加成与会员折扣
• 会员积分过期 — 12 个月过期，每日 UTC 11:00 清理：写入冲抵记录、扣减余额并通知
• 会员积分手动调整 — 手动增减积分（正/负），可附管理员备注用于审计追踪
• 会员名单 — 管理端查看全部会员：邮箱/手机/姓名、积分余额、累计积分/消费、到访次数、最近到访
• 会员钱包统计 — 顾客钱包展示累计积分、余额、等级、本期赚取与可兑换奖励库存
• 营销 AI（内容 + 分群） — AI 生成社媒帖文、邮件模板与促销文案，并进行顾客分群/活动
• 自动聚光灯 — 每周一 cron 自动将低库存商品提升为精选，以减少浪费并清理库存
• 每日特餐 — 由 AI 建议或手动设置的限时特餐，带"今日特餐"徽章与自动轮换
• 商品精选标记 — 手动标记以突出/推广菜单项，在顾客菜单中视觉强调
• 商品喜欢 / 心愿单 — 顾客通过 localStorage 收藏喜爱菜品，并通过邮箱档案进行跨餐厅解析

联盟计划28

• 联盟计划 — 推荐计划，向合作伙伴支付平台实际收取服务费的一部分，含提现、1099 阈值告警与异常扫描。
• 联盟注册（Turnstile + IP 上限） — 邮箱/密码或 Google 注册；邮箱路径启用 Turnstile，通过每日加盐的 IP 哈希，每个 IP 每天最多 3 个账户。
• 邮箱 OTP 增强验证 — 6 位邮箱验证码（10 分钟 TTL，5 次尝试）通过一次性、5 分钟有效的作用域授权，管控提现信息变更、提现申请与账户删除。
• 联盟仪表盘（KPI 卡片） — 已赚取、待结算（15 天保留期）、可提现与已提现余额，平台服务费分成，按推荐码的点击漏斗与台账。
• 收益历史与拆分 — 12 个月收益折线图、匿名化的归因餐厅列表、最近 50 笔佣金及来源，以及 CSV 提现对账单。
• 提现申请流程 — 针对可提现余额、经 OTP 校验的申请；默认最低 $50、15 天冷却期与月度上限（默认 2）均原子执行。
• 手动提现结算（Mercury/Wise） — 财务审批（美国合作伙伴须提交 W-9），通过 Mercury（美国 ACH）或 Wise（美国以外）手动付款，然后将提现标记为已付。
• 资金流动台账（审计账本） — 联盟余额变动的幂等账本：释放、提现结算、追回、手动调整、没收；每日进行偏差检查。
• 提现信息 KYC（加密） — 经 OTP 校验的表单，填写国家、税表、受益人与地址；税号、IBAN 与 ACH 号码以 pgcrypto 静态加密。
• 提现通道（ACH/Wise） — 两种手动通道：美国合作伙伴经 Mercury 走 ACH（路由号、账号、税号）；其他所有人通过 Wise 转账至 IBAN。
• 1099-NEC 阈值告警 — 每日 13:00 UTC 将美国合作伙伴的已付提现与该纳税年度的 IRS 1099-NEC 阈值比对；每个合作伙伴每年仅一条管理员告警。
• 1099-NEC 报告（超管） — 按纳税年度供超管查看每个美国联盟的已付提现与 IRS 1099-NEC 阈值的对比。
• 异常检测（基于规则） — 标记无点击的推荐码、注册激增、同日共用 IP、高退款的转化离群值、自我推荐与拒付。
• 异常自动停用（严重） — 受平台开关控制，每 30 分钟运行：停用存在未解除严重标记的联盟直至标记清除；48 小时后升级至所有者。
• 休眠关闭（12 个月） — 每月任务关闭并匿名化 12 个月内无佣金且余额低于 $50 的联盟账户，跳过有未完成提现的账户。
• S2S 回传 webhook（HMAC） — 每笔新佣金向联盟 URL 发送签名的 HTTPS POST（X-thMenu-Signature、HMAC-SHA256），超时 5 秒。
• 回传密钥轮换（双签） — 轮换后 7 天内，回传同时携带 X-thMenu-Signature（新密钥）与 -Previous（旧密钥）；之后由每日 cron 清除旧密钥。
• 回传重试 + 死信队列 — 每小时 cron 以指数退避重试失败的回传；失败 5 次（平台默认）后该投递标记为 dead_letter。
• 推荐码每日上限（防刷闸门） — 通过原子 UPSERT…WHERE count<cap 为每个联盟设置新推荐码每日上限（平台设置，默认 10）；超出的请求返回 429。
• 推荐链接点击跟踪 — 在 affiliate_clicks 中记录经有效 ?ref=THM-XXXXXX 链接的访问（每日加盐的 IP/UA 哈希），保留 90 天用于统计与反欺诈检查。
• 推荐码统计 — 每个推荐码的点击数、佣金笔数与扣除追回后的净佣金，以及仪表盘上的点击-佣金转化率。
• 台账时间线 — 联盟仪表盘上按最新优先分页的余额变动列表（已释放佣金、追回、提现），金额带正负号。
• 退款追回（按比例） — Thmenu 处理的付款发生退款时，按比例冲回其佣金；保留中的佣金相应减少，已释放的则从余额扣除。
• 拒付追回（争议败诉） — 仅在争议败诉时追回，按付款中被争议部分的比例计算，并触发严重异常标记。
• 联盟营销素材 — 由超管精选的下载链接（仅限有效条目）；R2 托管文件经由有大小上限的代理提供，并拒绝已停用的键。
• 营销手册（引导指南） — 计划的基本情况、必须披露佣金的规则，以及在素材发布后陆续呈现的仪表板栏目
• 佣金保留与释放（15 天） — 每笔佣金先以待结算状态等待 15 天；之后由每日 cron 扣除任何退款后计入可提现余额。
• 联盟鉴权（网页 + 应用外壳） — Google 或邮箱/密码登录，字段带自动填充标记，通过邮件发送重置链接，邮箱注册受 Turnstile 保护。

AI 套件29

• AI 菜单导入
• AI 代理

• AI 商品描述生成器 — LLaMA 3.1 8B 根据名称/品类/价格生成 2 句菜单描述，输入经过净化
• AI 商品详情自动填充 — 填充营养信息（kcal/脂肪/碳水/蛋白质/盐）、配料与 EU-14 过敏原白名单，带 7 天 KV 缓存
• AI 菜单生成器（批量） — 一条提示词生成完整菜单结构（品类、商品、描述、建议价、过敏原、分量）
• AI 菜单清理 — 识别重复/停用商品、命名不一致、错别字与低效商品，作为精简候选
• AI 定价建议 — 将 30 天单品销量/营收与跨餐厅匿名品类中位数对比；返回建议价
• AI 菜谱建议 — 根据现有配料、菜系与饮食趋势建议时令/主题菜谱，并标注过敏原
• AI 每日特餐生成器 — 根据配料、季节性与趋势生成每日/每周特餐 + 营销文案，并给出建议价
• AI 排班优化器 — 根据历史客流、高峰时段、预订、可用性与人力成本建议员工排班
• AI 菜单翻译 — 结合语境将名称 + 描述翻译为 31 种语言，保留 HTML 标记
• AI 评价回复生成器 — 以可选语气（含致歉语气）为顾客评价起草店主回复；由店主编辑并发送
• AI 简介生成器 — 根据菜系、地点、特色与创立故事生成 200 字 SEO 优化的餐厅简介
• AI 洞察（每日/每周/每月） — 由 cron 生成的叙述性报告（3–5 段），对比同比/环比的营收/AOV/热销品/漏斗
• AI 菜单对话（面向顾客） — 自然语言菜单搜索（"素食意面？""哪些不含麸质？"），返回 3–5 个匹配商品
• AI 商品推荐 — 结合菜单语境 + 购物车内容 + 排除列表给出 3–5 个商品建议，并锚定主商品
• AI 智能加购 — 根据菜单给出 2–4 个互补商品（搭配、加料、甜点、饮品、前菜），按 upsell_type 分类
• AI 语音点餐（语音转购物车） — Web Speech API → LLaMA 解析意图 → 匹配商品 → 返回购物车项并标注歧义；已本地化
• AI 葡萄酒/饮品搭配 — 按风味特征、菜系与酒单为所点菜品提供搭配建议，并给出价格区间
• AI 菜品建议（顾客表单） — 顾客提交菜品创意（名称、描述、菜系提示）；管理端按状态分流
• AI 内容清理（批量审核） — 批量审核顾客反馈中的脏话/垃圾内容，支持批量删除与标记
• 情感分析（反馈/评价） — 由 cron 将顾客反馈分类为正面/中性/负面/严重，并提取主题
• MCP: start_order_session — 签发 agent_session_id + customer_confirm_url（30 分钟 TTL）；校验餐厅的 agent_enabled 标志
• MCP: place_order — 原子插入订单 + 商品，校验商品、快照币种、扣减库存，库存为零自动下架
• MCP: cancel_order — 原子取消，带归属 + 会话 TTL 校验、OCC 竞态保护与积分回滚
• MCP: get_order_status — 查询状态 + ETA + 商品；缓存 30 秒；权限 orders:read
• MCP: request_bill — 插入 bill_request，触发管理端推送，可为分单界面预填总额
• MCP: waiter_call — 插入 waiter_call，触发管理端 + 智能手表推送并带振动语汇；可附备注
• MCP: get_restaurant_menu — 公开菜单结构（无需权限），返回品类 + 商品 + 价格 + 过敏原
• MCP: check_loyalty — 返回会员余额 + 等级 + 下一等级门槛；权限 loyalty:read
• MCP: apply_promo — 原子预留/领取促销折扣，校验最大使用次数 + 每位顾客上限；权限 orders:write

分析与 BI11

• 餐厅数据分析

• 分析仪表盘 — 实时 KPI 卡片（24 小时营收、订单数、AOV、完成率）、30 天营收趋势、按小时热力图
• 订单分析 — 订单量、营收、AOV、支付方式拆分、退款跟踪、累计退款台账、取消
• 菜单 ABC（帕累托）分析 — 根据 30 天历史将商品分为 A（营收前约 80%）/B/C，含累计营收占比与排名
• 菜单健康度评分 — 设置校验器：图片是否齐全、描述是否完整、过敏原覆盖、定价一致性、精选
• 订单热力图 — 按时段 × 星期的订单量可视化，用于识别高峰与冷淡时段
• AI 顾客洞察 — 每日叙述（环比/同比指标、流失风险顾客、顶级会员、3 个行动 CTA）+ 每周深度分析
• 营收目标 / KPI 指标 — 管理端设定每日/每周/每月的营收/订单/顾客目标，含进度可视化与差异分析
• 热门时段热力图（公开 API） — 公开端点按小时暴露餐厅人气，供顾客决策参考
• Z-report（日终对账） — 班次结束时的现金与刷卡合计，含差异检测、退款汇总、待处理项、小费列
• 税务报表导出 — 月度/季度损益：营收、已征税款、退款、净应税收入；可下载 CSV 供会计使用
• COGS 成本跟踪 — 商品级商品成本，自动计算毛利并出具月度损益；与菜谱关联

安全与合规19

• 邮箱/密码 + 魔法链接鉴权 — 店主通过邮箱/密码或无密码魔法链接登录
• Supabase Auth — 面向运营者、联盟与超管的基于 JWT 的鉴权，含魔法链接找回、密码重置与 RLS
• JWT 持有者令牌鉴权 — 用于 API 访问与 Cloudflare Worker 中间件的 HMAC-SHA256 签名 JWT
• Supabase RLS（行级安全） — 运营者只见自己的餐厅，联盟只见自己的佣金/提现，顾客只见自己的
• TOTP 双因子（超管） — 超管登录强制要求 RFC 6238 验证器应用双因子
• CSRF 双提交 Cookie 防护 — 状态变更端点需要 X-CSRF-Token 请求头，并与安全 Cookie 校验
• 内容安全策略（nonce + strict-dynamic） — script-src 'self' 'nonce-…' 'strict-dynamic' 以防内联脚本注入
• 限流（Next.js 路由处理器） — 对 14 个菜单端点按隔离实例的每日加盐 SHA-256 IP 哈希滑动窗口限流
• 影子封禁检测 — 检测重复取消与可疑 IP 模式，静默拦截订单而不返回错误
• 虚假 GPS 检测 — 标记订单时间戳之间不可能的位置变化
• URL 协议校验器（safeHref） — 白名单 http(s)/mailto/tel，防止通过 social_links、logo_url、cover_url 与评价链接的存储型 XSS
• PIN/密码哈希加固 — PBKDF2 20 万次迭代、逐凭证 16 字节盐，下次登录时透明重哈希历史凭证
• PIN 锁定计数器（D1 支撑） — 在 pin_failures 中原子 UPSERT，采用 30 分钟轮转窗口
• GDPR 数据主体权利（DSR） — 自请求起 30 天删除窗口、JSON 数据导出与 90 天订单匿名化宽限期
• KVKK 合规（土耳其） — 等同 GDPR 的 30 天删除、DSR 与同意日志，含多法域 cron 逻辑
• 账户删除流程 — 店主发起删除，带 30 天宽限期并通过白名单级联擦除 PII
• 同意日志（Cookie 横幅） — 按会话持久化分析/邮件的开启/关闭记录
• 过敏原与安全事件跟踪 — 员工记录过敏原交叉接触/受伤/违规报告，含照片/时间戳/位置；12 个月后 PII 置 NULL
• 政策（隐私/条款/堂食规则） — 可定制的隐私政策、条款与堂食规则，显示于菜单页脚

集成 / API9

• 公开 API 密钥与 REST API — 运营者为第三方集成生成的 API 密钥，带限流（60 次/分钟）与读/写权限
• Webhook 订阅与分发器 — 运营者自定义的顾客事件（订单、反馈、评价）webhook，带 HMAC-SHA256 签名
• OAuth 客户端鉴权（RFC 7009/6749） — OAuth 应用可吊销自身令牌；客户端凭证校验（基本鉴权 + 请求体）；刷新令牌轮换
• 自定义域名 + CNAME 验证（暂不支持提供菜单） — 添加自定义域名（menu.myrestaurant.com）并验证其 CNAME 记录；暂不支持通过该域名提供菜单
• QR 码生成 + PDF 导出 — 将菜单/桌台/客房 QR 码生成为单张或批量 PDF，带品牌叠加与 SRI
• 邮件服务（Resend） — 运营者与顾客的事务邮件（摘要、告警、提现状态、密码重置、账单、OTP）
• Google 评价链接与 Maps 导入 — 餐厅的 Google 评价链接（用于引导评价），以及导入 Google 地图链接以填写商家名称和坐标
• OpenAPI 规范 — 自动生成、可发现的 REST API 结构，位于 /openapi.json
• llms.txt（AI 说明文件） — 面向 LLM/AI 搜索引擎的机器可读平台概览（产品、功能、定价、鉴权）