加密导出：合规与效率的平衡

背景：合规要求加密，但智能体不能有「后门」

在一家大型制造企业，数据导出有硬性合规要求：交付的表格文件必须走 DRM 加密，接收方按流程才能打开。网页端本来有「加密导出」按钮，但当智能体要替用户交付文件时，就必须接上同一条合规管线——不能因为是对话场景、图省事，就开一条不加密的方便门。

方案：异步两步流，把限制写在明处

核心是两步：先发起导出拿到一个任务 key，再轮询下载文件流。入口有两种——按场景导出（服务端自己查数）和自带数据导出（把智能体手里已有的数据直接加密），后者兼容三种行形态，数组行、对象行都可以。所有限制显式写进规范：单次 10 万行硬上限，超限直接拒绝而不是悄悄截断；产物 5 分钟自动清理，下载要及时；完成后的响应是文件流，必须落盘，不然会打乱终端。

创新：加密是默认且唯一出口

我坚持一个原则：不给这条管线留任何非加密旁路。大结果不允许反复分页查询去绕——接口本来就没有分页参数，这条写进规范属于防呆；错误处理逐项列死：鉴权失败查哪里、非内网来源怎么办、限速要等多久、下载 0 字节意味着什么，各自一行话，不留模糊空间。谁来接手，照着错误表就能处理，不用猜。

价值：效率与合规不再二选一

业务同事在对话里说一句「导个表」，拿到的就是与网页端同等合规的加密文件，批量取数从提工单等半天变成当场交付。每次调用都带用户标识，后台按人归档访问统计，谁在什么时候导了什么，随时可查。合规从「额外的负担」变成了「默认的形状」——这是这类内部数据产品能被放心推广的前提。