Refine Kafka persistence topic boundaries

docs/IM-Kafka接入方案.md

@@ -170,13 +170,12 @@ Admin 内部配置 API 只返回 IM 运行需要的字段，不返回后台管
 | `im.admin.command.result` | IM 回传命令执行结果。 |
 | `im.config.event` | Admin 发给 IM 的配置、字典、租户状态变更。 |
 | `im.business.event` | IM 内部或 Admin 触发的 C 端业务事件。 |
-| `im.message.persist` | 私聊、群聊消息异步落库。 |
+| `im.message.persist` | 私聊消息异步落库。 |
+| `im.group.message.persist` | 群聊消息异步落库。 |
 | `im.message.push` | 离线 Push 任务。 |
 | `im.file.security` | 文件内容安全、恶意文件检测任务。 |
-| `im.file.lifecycle` | 文件引用绑定、释放、回收、合规删除。 |
-| `im.workbench.event` | 会议、日报、月报、信箱、工作台红点事件。 |
 | `im.cache.invalidate` | 跨节点缓存失效。 |
-| `im.audit.event` | 审计事件。 |
+| `im.audit.event` | IM 与 Admin/HotGo 的跨系统审计事件。 |
 | `im.dead.letter` | 消费失败死信。 |
 
 首版可合并部分 Topic，但事件体必须保留 `biz_type` 和 `event_type`，方便后续拆分。
@@ -418,19 +417,19 @@ IM 调 Admin 配置接口时，Admin 只校验服务身份和接口白名单，
 
 ### 9.1 文件
 
-文件上传下载不走 Kafka，OSS 是文件字节流主链路。Kafka 只处理上传完成后的事件：
+文件上传下载不走 Kafka，OSS 是文件字节流主链路。当前只有消息落库使用 Kafka；文件生命周期改为同步处理：
 
-1. `im.file.security`：内容安全、恶意文件检测。
-2. `im.file.lifecycle`：业务引用绑定、释放、临时文件回收、合规删除。
-3. `im.business.event`：文件审核失败、合规处置等 C 端通知。
+1. `im.file.security`：仍可用于内容安全、恶意文件检测。
+2. 消息附件引用绑定在消息落库 consumer 内同步执行。
+3. 群文件登记/删除由对应 HTTP 业务接口同步落库。
 
 ### 9.2 工作台
 
-工作台查询不走 Kafka，状态变化和提醒走 Kafka：
+工作台查询不走 Kafka，状态变化和提醒当前也改为同步处理：
 
-1. 会议创建、更新、取消、提醒、响应：`im.workbench.event`。
-2. 日报/月报提交、撤回、重开、催办：`im.workbench.event`。
-3. 总经理信箱提交、处理结果：`im.workbench.event` + `im.audit.event`。
+1. 会议创建、更新、取消、提醒、响应：业务接口同步生成通知/红点事件。
+2. 日报/月报提交、撤回、重开、催办：业务接口同步生成通知/红点事件。
+3. 总经理信箱提交、处理结果：业务接口同步处理。
 4. 工作台模块配置变更：`im.config.event` 或 `im.cache.invalidate`。
 
 ## 10. 首批落地建议
@@ -490,8 +489,8 @@ IM Server 侧只访问租户业务库，负责执行 Admin Command、维护租
 | 配置消费 | 消费 `im.config.event`，刷新进程内缓存或本地副本。 | 租户配置、字典、第三方配置生效。 |
 | 配置兜底查询 | 调 Admin `/internal/im-config/*`。 | IM 启动预热和缓存缺失恢复。 |
 | 内部只读 API | 提供 `/internal/admin-query/*`。 | Admin 实时查询租户业务数据。 |
-| 文件任务 | 上传完成后生产/消费 `im.file.security`、`im.file.lifecycle`。 | 文件审核、引用绑定、回收。 |
-| 消息异步落库 | 接入 `im.message.persist`。 | 私聊/群聊消息削峰落库。 |
+| 文件任务 | 上传完成、附件绑定、群文件登记/删除同步处理。 | 文件审核、引用绑定、回收。 |
+| 消息异步落库 | 接入 `im.message.persist`、`im.group.message.persist`。 | 私聊/群聊消息削峰落库。 |
 | Push 任务 | 生产 `im.message.push`。 | 离线 Push 异步投递。 |
 | 死信处理 | 写失败表、投 `im.dead.letter`、Command 死信回传 Result。 | 失败可诊断、可补偿。 |
 | 内部鉴权 | 校验 Admin 调用 `/internal/admin-query/*` 的签名、权限和审计。 | 保护租户业务查询。 |
@@ -723,7 +722,7 @@ IM Server 已接入 `im.message.persist`，用于把在线发送链路和最终
 当前处理方式：
 
 1. WS/HTTP 发送入口先完成权限校验，并由 topic 内存态分配 `seq_id`。
-2. Kafka 开启时，发送入口直接生产 `im.message.persist`，不查库、不落库、不写 DB outbox；客户端在 Kafka 写入成功后拿到已分配的 `seq_id`。
+2. Kafka 开启时，私聊发送入口直接生产 `im.message.persist`，群聊发送入口直接生产 `im.group.message.persist`，不查库、不落库、不写 DB outbox；客户端在 Kafka 写入成功后拿到已分配的 `seq_id`。
 3. Kafka 关闭时，继续走原同步落库路径，兼容本地和未接 Kafka 环境。
 4. 消费者按 `message_kind` 区分私聊与群聊：
    - `p2p` 写入 `im_messages`。
@@ -833,7 +832,7 @@ IM Server 已在 `im.admin.command` 中接入用户治理类后台动作。Admin
 3. 踢设备只影响匹配 `device_id` 的在线连接，同时删除该设备 Push token 记录。
 4. 全端登出只踢在线连接，不修改用户状态。
 5. 注销/删除会停止用户相关 Topic、清理缓存并调用 `store.Users.Delete`。
-6. 命令执行成功后统一回传 `im.admin.command.result`，并写入 `im.audit.event`。
+6. 命令执行成功后统一回传 `im.admin.command.result`；跨系统审计通过 `im.audit.event` 投递给 Admin/HotGo 同步落表。
 
 7. 群消息消费成功后继续写入 Redis 热消息缓存，便于 24 小时内热点拉取。
 
@@ -880,29 +879,29 @@ IM Server 不再维护租户库 `im_kafka_outbox`，Kafka 事件统一由发送
 
 本轮暂不实现 `im.message.push` 离线 Push Kafka 化，已记录到 [IM 第一至十一章后续增强项](./IM-未实现后续增强项.md)。
 
-### 11.10 IM Server 已接入的文件生命周期事件
+### 11.10 IM Server 文件生命周期同步处理
 
-IM Server 已接入 `im.file.lifecycle` 的首批生产与消费，用于把文件上传、附件绑定、群文件登记/删除纳入可靠事件链路。
+IM Server 不再生产或消费 `im.file.lifecycle`。文件相关的小流量动作改为同步执行。
 
 当前事件：
 
 | `event_type` | 生产时机 | 消费行为 |
 | --- | --- | --- |
-| `file.upload.completed` | HTTP/gRPC 上传成功并完成文件记录后。 | 当前作为可靠生命周期事实记录，文件安全任务仍由上传完成事务创建。 |
-| `file.attachments.bind` | `im.message.persist` 消费成功后，如果消息携带附件。 | 私聊写 `im_filemsglinks`；群聊写 `im_group_files`。 |
-| `group.file.created` | 群文件 API 登记成功后。 | 当前作为可靠生命周期事实记录，供后续 Admin 摘要、审计、回收策略复用。 |
-| `group.file.deleted` | 群文件 API 删除成功后。 | 当前作为可靠生命周期事实记录，供后续 Admin 摘要、审计、回收策略复用。 |
+| `file.upload.completed` | HTTP/gRPC 上传成功并完成文件记录后。 | 当前无需 Kafka 消费。 |
+| `file.attachments.bind` | 消息落库 consumer 成功后，如果消息携带附件。 | 同步写 `im_filemsglinks` 或 `im_group_files`。 |
+| `group.file.created` | 群文件 API 登记成功后。 | HTTP 业务接口同步完成。 |
+| `group.file.deleted` | 群文件 API 删除成功后。 | HTTP 业务接口同步完成。 |
 
 说明：
 
-1. Kafka 开启时，消息附件绑定从消息落库消费者中拆出，改由 `im.file.lifecycle` 消费者完成。
-2. Kafka 关闭时，仍沿用原同步绑定路径，兼容本地环境。
+1. 消息附件绑定在消息落库 consumer 内同步完成。
+2. Kafka 关闭时，仍沿用原同步消息落库与附件绑定路径，兼容本地环境。
 3. 文件对象字节流仍走 OSS/文件服务，Kafka 不承载上传/下载内容。
 4. 合规删除、临时文件 TTL 回收、OSS 删除动作仍保留为后续深化项。
 
-### 11.11 IM Server 已接入的工作台事件
+### 11.11 IM Server 工作台事件同步处理
 
-IM Server 已接入 `im.workbench.event` 的首批生产与消费。
+IM Server 不再生产或消费 `im.workbench.event`。工作台小流量事件由业务接口同步创建系统通知和 `im_business_events_outbox`。
 
 当前生产范围：
 
@@ -915,14 +914,12 @@ IM Server 已接入 `im.workbench.event` 的首批生产与消费。
 
 当前消费行为：
 
-1. 消费 `im.workbench.event`。
-2. 按 `target_user_ids` 生成系统通知。
-3. 写入 `im_business_events_outbox`，由现有 WS 业务事件投递器下发在线客户端。
-4. 使用 `im_kafka_consume_log` 做消费幂等，失败按统一重试和死信规则处理。
+1. 按 `target_user_ids` 同步生成系统通知。
+2. 同步写入 `im_business_events_outbox`，由现有 WS 业务事件投递器下发在线客户端。
 
 ### 11.12 IM Server 已接入的审计事件
 
-IM Server 已接入 `im.audit.event` 的直接生产，审计事件不写 DB outbox。
+IM Server 对跨系统审计仍生产 `im.audit.event`。该 topic 由 Admin/HotGo 消费并同步写审计表；IM Server 本地不消费该 topic，也不通过它做内部异步落库。
 
 当前审计范围：
 
@@ -933,7 +930,7 @@ IM Server 已接入 `im.audit.event` 的直接生产，审计事件不写 DB out
 | Kafka 死信 | `kafka.dead_letter.created`。 |
 | 文件生命周期 | 上传完成、附件绑定、群文件新增/删除。 |
 
-审计事件当前不在 IM 内部落审计表，预期由 Admin/HotGo 消费 `im.audit.event` 后写入 `hotgo` 审计库或审计表。
+审计事件当前不在 IM 内部通过 Kafka 落审计表，只作为 IM -> Admin/HotGo 的跨系统写事件。
 
 ## 12. 风险与约束