发微信通知 · 唯一发送方 + 两个入口

这一页是唯一口径。机器可读版：neibu/contracts/wechat-send-authority.json。任何地方与本页冲突，以本页为准。

红线（老板 2026-11-06）

「bendi 有挂微信。但我们不能用这微信发消息。要用 qxiaodian 的机器发消息。」

发送方只有一个：qxiaodian。bendi 即使开着微信、技术上能发，也不用于对外发送。
不许改用企业微信 / WeCom。那要另一套账号、另一套凭据、另一套审计 —— 不是本项目在用的通道。
不许自建第三条路（在业务代码里直调 UIA、或另起一个后台发送进程）。

在 bendi 上要求发送，会自动转发给 qxiaodian 执行（老板 11-06：「如果有人给bendi要求发送微信信息，bendi把发送任务转发给qxiaodian，让他执行」）。实现：tools/wechat-uia-send.ps1 在 bendi 上带 -Live 时不碰本机微信，而是把这条写成队列条目并推到 git，返回 stage=forwarded + 队列 id；真正发送由 qxiaodian 完成，回执在 queue/_done/<id>.json。没有任何开关能让 bendi 自己发 —— 逃生口已按老板指示删除。

一、你要发消息，只有两个入口（发送方都还是 qxiaodian）

谁用	多快	怎么做	说明
你（在中台点）	约 30 秒	店铺 → 售后品退 → 发微信通知卡片：选目标 → 填内容 → 发送	卡片只负责“写队列 + 推到 git”；真正操作微信的是 qxiaodian
机器 / 脚本	约 30 秒 ~ 5 分钟	`C:\neibu\tools\wxnotify.ps1 -To "会话名" -Text "内容"`	慢的那几分钟是发起方“被唤醒 + 思考”的时间，不是网络

二、入口 1：中台点按钮给非技术用

打开中台 → 进 店铺 → 售后品退（有「客服看图版」那一页）
找到 「发微信通知（经 qxiaodian 的微信发出，不经过你本机）」
选目标（下拉是白名单）→ 填内容 → 点发送 → 确认一次
等约 30 秒，卡片下方出现回执 ✅ 已发送

别连点同一件事只发一次。重复通知比迟到的通知更糟。

失败提示若红字写“消息没能同步到发送机（git 推送失败），所以没有发出去”，那是真的没发出去（不会骗你），把红字发我。

三、入口 2：命令行给机器 / 自动化

# 发一条
C:\neibu\tools\wxnotify.ps1 -To "徐邦挺" -Text "要发的话"

# 我能发给谁（白名单）
C:\neibu\tools\wxnotify.ps1 -Allow

# 最近回执（含“等待中”）
C:\neibu\tools\wxnotify.ps1 -Status

# 只校验，不真写
C:\neibu\tools\wxnotify.ps1 -To "徐邦挺" -Text "试验" -DryRun

它怎么自动选路（你不用管）：

能写 C:\neibu\queue ⇒ 直接入队 + git push；push 失败会回滚并报错（绝不假装成功）
写不进（只读沙箱，如 dxiaoying）⇒ 落到自己工作区的 .agentbus-out\queue\，由唤醒脚本在沙箱外替它发布

四、完整链路（谁在干什么）

发起方（你 / 任意机器）
   ↓  写一条队列条目
neibu/queue/<id>.json              ← 白名单 + 幂等 id + class=public
   ↓  git
qxiaodian 的常驻 worker            ← 唯一的发送方（-Watch，每 30 秒；每分钟自愈任务）
   ↓  UIA 写入 + 点击发送
qxiaodian 上登录的微信
   ↓  回执
neibu/queue/_done|_failed/<id>.json   ← stage=sent 才算成功

五、回执怎么读（`stage` 字典）

stage	含义	你该怎么办
`sent`	已发出	没事。回执里 `messageSeen` 是气泡数快照，用于佐证。
`blocked:sender-policy`	正常拦截	这台不是发送方（例如 bendi 带 `-Live`）。改用 `wxnotify.ps1` 入队。
`sendUnverified`	点了但不确定	微信窗口可能隐藏/白屏。先恢复界面（重新登录），worker 下一轮会重试；不要盲目重发。
`row:noRow`	找不到会话	名字没匹配上；核对微信里显示的名字（含 `[内部]` 这类括号）。
`noInput` / `wrongChat`	会话没打开	检查微信是否登录、窗口是否异常。
`writeMismatch`	回读不一致	会自动重试一次；仍失败会清空草稿（不留残字给人误发）。
`failed` + `hint`	失败	按 `hint` 字面处理。

六、出问题时的 4 步定位（从近到远）

看回执：queue/_done、queue/_failed，或跑 wxnotify.ps1 -Status。你那条 id 在不在？
看是否入队：queue/ 里还有待发文件 = 没被取走；一个都没有且没回执 = 没进队列（推送失败会明确报错）。
看发送机是否活着：queue/_health/qxiaodian.json 的 at 要在近几分钟内。⚠️ 用实时心跳，别看 git 里那份（队列空时提交会稀疏）。bendi 的心跳不新鲜是正常的 —— 它不是发送方。
看微信本身：qxiaodian 上微信是否登录、主窗是否隐藏/白屏（窗口异常时 UIA 能写字但点不动发送）。

七、安全边界（别绕过）

白名单 fail-closed：只有名单里的会话能发。权威：qxiaodian 的 tools/wechat-queue-worker.config.json；镜像：neibu/contracts/wechat-allow-targets.json（给读不到业务仓的机器做前置校验）。
不加白名单就发不出去，这是设计。要加目标：改配置 + 同步镜像。
不把凭据写进消息正文（密码/密钥/cookie）。队列是 git 仓库，进了历史删不掉。
同名会话拒发：两个群/人同名时宁可失败也不猜。
幂等：同一条内容只发一次。

八、常见坑（都是踩过的）

“页面说已入队，但没人收到”：曾经出现 —— 本机 git 不在 PATH，推送失败被当成成功。已修：推不上去会明确报错并回滚。
“bendi 心跳十几小时没动，是不是坏了”：不是。bendi 不跑常驻 worker，它不是发送方。
“那用企业微信吧”：不是这条路。本项目是个人微信 + UIA，换通道等于换整套账号与审计。
“窗口最小化就发不出去？”：可自动恢复（最小化→还原是唯一可靠的激活手段）。
“群必须置顶吗？”：不用。搜索完整会话名 + 回车即可打开任意会话（含个人、含没置顶的群）。
“没收到但气泡数没变”：判断送达要看气泡里的文字，不能只数气泡个数。

2026-11-06 修订：改为“唯一发送方 + 两个入口”。原页面把“bendi 本机直发”列为正式路径，那是错的 —— 老板明确禁止。机器可读权威口径：neibu/contracts/wechat-send-authority.json。