学习契约与正确模型
先明确为什么学、学完能做什么，以及如何证明自己真的掌握。
自动化会把一个小错误扩散到成千上万 URL。真正的收益来自稳定 schema、测试、observability、approval 和 rollback，而不只是省下复制粘贴时间。
- 能用 frequency × stability × verifiability × reversibility 选择自动化候选
- 能设计 input contract、validation、dry run、approval、audit log 和 rollback
- 能区分 read/assist/draft/write 四个风险等级并设置权限
精读 40 分钟 → 引导练习 36 分钟 → 实战任务 94 分钟。实战时间单列，不再把浏览页面和项目操作混成一个数字。
- 它是什么
- 自动化是一个受治理的系统：trigger → authorized input → deterministic/probabilistic transform → validation → approval → output → monitor/recover。
- 为什么重要
- 将边界和验证内建，才能让脚本、API 与 AI 在规模化时仍可追踪、可停止和可恢复。
- 什么时候使用
- 重复报告、URL 分类、差异监控、QA、数据连接、brief 草稿和审批后的批量操作时使用。
- 什么时候不要套用
- 规则不稳定、输入含敏感数据、错误不可逆、输出无法抽样验证或生产 owner 未同意时不要自动化。
- 边界与不确定性
- 默认最小权限和 read-only；凭证进入 secret manager，不进表格/代码；生产写入必须限额、dry run、人工批准、canary、audit log 和 kill switch。
机制精讲
先读完整因果链，再看每个环节留下什么可观察信号。
适合 SEO 自动化的工作具有高频、规则稳定、输入可控、输出可验证和失败可恢复等特征。成熟度应从 read-only extraction 开始，依次进入 assist、draft、受控 write，而不是从“能调用 API”直接跳到生产写入。URL 分类、差异检测、报告刷新和候选票据通常适合早期自动化；redirect、canonical、robots、noindex、内容发布和分析标签会扩大生产影响，需要更高证据、审批与回滚。
可靠工作流把输入契约、规则版本、验证、幂等、重试、隔离和人工责任设计在正常路径之前。失败不只包括程序报错，还包括静默空数据、schema drift、部分批次成功、重复写入、权限过宽和“格式正确但语义错”。每次运行应有 run_id、输入快照、规则/代码版本、候选输出、验证结果、批准者和生产 diff；监控阈值触发停止而非继续扩散。自动化节约操作时间，不转移事实、隐私或生产责任。
自主等级限制影响面
read 只观察，assist 给诊断，draft 形成待审变更，write 改生产；等级越高，对可逆性、权限和批准要求越高。
输入与规则契约防止静默漂移
列名、URL 规则、状态语义或 API 响应改变时，流程可能仍成功运行却产生错误结果。
幂等、canary 与回滚控制故障
同一批次重跑不应重复创建或累加；小批验证与旧状态快照限制爆炸半径。
人审必须拥有能力与拒绝权
把数千条输出丢给忙碌人员点批准不是有效控制；审阅者需看证据、抽样与影响清单。
关键概念
掌握术语之间的关系，才能迁移到不同网站、行业和工具。
Automation ladder
从提醒→提取→分类→建议→草稿→审批写入逐级提高风险；每级需独立证明可靠。
Input/output contract
定义 schema、类型、必填、允许值、版本、空值和错误处理；不让上游变化静默污染结果。
Idempotency
同一任务重复执行不会重复创建、覆盖或扩大变化，常用 stable key 和 processed state 实现。
Observability
记录 run ID、版本、输入哈希、数量、错误、样本、审批者和输出位置，以便审计和回滚。
完整示范
跟随一次“输入 → 分析 → 中间产物 → 结论”，看见专家是怎样做判断的。
把旧 URL 映射自动化停在 draft 层
教学用合成数据：站点迁移有8,000个旧 URL 和5,500个新 URL，脚本可按标题与产品 ID 生成 redirect 候选；团队最初计划直接写入 CDN。
- 旧新 inventory 有稳定 ID，但并非每个旧页都有等价替代
- CDN 写权限与读取/草稿权限分离
- 相似度只是候选信号，不证明语义等价
量化最坏影响
- 输入
- 错误规则可把8,000页导向首页，覆盖82%历史点击；CDN变更会立即全量生效。
- 分析
- 爆炸半径大且语义错误难由状态码检测，不能直接 write。
- 输出
- 风险等级定为高，自动化范围限定 read＋draft。
建立输入与候选验证
- 输入
- 脚本检查唯一旧 URL、唯一目标、产品 ID、locale、状态与相似度；1,140条无可靠目标进入 Unknown。
- 分析
- Unknown 保留而非强行匹配；gold set 同时含一对一、合并、无替代和跨语言反例。
- 输出
- 候选表显示 matched_rule、evidence、confidence 与拒绝原因。
人工批准与 canary
- 输入
- owner 审核高价值全量和普通页分层样本，先发布100条；自动检查单跳、目标200、无循环、locale和页面任务。
- 分析
- 机器负责覆盖与一致性，人负责语义和业务替代；异常阻断下一批。
- 输出
- 签字记录、canary diff、阈值和可恢复旧规则。
幂等扩大与监控
- 输入
- 同一 run_id 重跑不新增重复规则；发布后5xx、循环或目标错误超过阈值即停止并恢复快照。
- 分析
- 写入层仍由批准流程执行，自动化不会自行扩大权限。
- 输出
- 分批发布、reconciliation、kill switch 与 incident runbook。
决策规则与证据边界
把“看到什么、意味着什么、下一步做什么”连起来，同时区分公开事实、实践推断和未知项。
- 输入、规则、run、输出、批准和生产 diff 可以版本化并审计。
- 幂等键、canary、阈值和回滚能降低重复与批量故障影响。
- gold set 表现良好支持在相同分布扩大，但不能保证所有未来边界输入。
- 自动化减少操作时间可能提高一致性，不自动提高战略或内容正确性。
- 未见过的输入、第三方 API 变化和系统组合故障无法被测试集完全覆盖。
- 语义判断、业务例外和生产故障的全部尾部风险在上线前仍未知。
引导练习
先独立完成，再按提示修正，最后展开参考解法并用 0–4 级量规评分。
教学用合成数据：流程每日抓取GSC后自动把CTR低的页面标题写入CMS。昨日API只返回空表，系统把所有2,400页标成“无数据”并生成统一标题；没有dry run、审批或旧值快照。请重构。
给定材料
- 工作流节点、API请求/响应、CMS权限和昨日2,400条候选diff
- 历史row count/freshness基线、标题gold set与CMS回滚能力
需要提示时再展开
- 空表应被视为数据质量失败，不是合法的“无机会”输入。
- CTR候选需要控制位置、意图和SERP，标题写入至少先降为draft。
完成后核对参考解法
立即停止生产写入并使用CMS版本记录恢复昨日标题；若无可靠快照，应先导出当前diff并由owner逐批确认，不能再次自动覆盖。新流程首先只读提取，验证property、日期成熟度、schema、row count、总量控制和空表；任何异常 fail closed 并隔离run。CTR机会按品牌、设备、意图和位置带筛选，只生成带 clicks、impressions、实际标题与证据的draft，不把低CTR直接等同于标题问题。建立正常、空表、截断、标题改写和低量页 gold set；业务/品牌owner审阅高风险全量及普通分层样本。若未来允许write，使用最小CMS权限、稳定页面键、dry-run diff、20页canary、旧值快照、写后读取核对、停止阈值和kill switch。每次run记录输入、规则、批准者与结果，自动化不得自行从draft升级。
自评分量规
真实项目实战
把理解变成一个可以检查、复核和复用的工作产物。
设计每周 SEO anomaly pipeline
团队每周手工导出 GSC、计算目录变化并发送提醒，耗时且容易漏筛选器。
- 写清当前决策、频率、稳定步骤、输入权限、输出用户和误报/漏报成本。
- 先用只读 API 拉取固定维度，schema validate 后保存带 run metadata 的快照。
- 计算同比/环比和 segment contribution，用最低样本、成熟日期与阈值减少噪声。
- 在通知中附原始证据链接和“需要人工判断”的候选原因，不自动修改页面。
- 以历史回放测试、canary property、错误告警、quota/backoff、kill switch 和月度阈值 review 上线。
验收条件
- 候选任务高频且规则/输出可验证
- 默认只读、凭证安全、日志不含敏感数据
- 错误、限额、重复运行和上游 schema 变化有处理
- 生产动作不由模型或脚本无审批直接执行
诊断练习
目标不是猜中答案，而是提出竞争假设并选择能区分它们的证据。
自动化脚本把 8,000 个 URL 标记为“低流量需删除”。
竞争假设
- 输入日期/segment/schema 错误
- 业务价值、assist、seasonality 和新页面成熟期未纳入
- 规则把缺失数据当成零
- 无最小样本、人工审批与保护清单
应该检查的证据
- run metadata/input snapshot
- 历史回放与人工 gold sample
- 规则代码/版本/阈值
- CRM/internal link/indexing/launch-date join 结果
常见陷阱：把自动化标签直接转换为 noindex、删除或 redirect。
完成后用本页决策规则复核
- 若观察到：输入规则稳定、输出可逐项验证且失败易恢复
应优先：先做 dry run、gold set 和 canary，再按风险批准升级。
历史稳定不保证未来 schema 不漂移，监控必须持续。 - 若观察到：输出涉及 redirect、noindex、robots、canonical 或大批发布
应优先：默认 draft，实施双人批准、代表性 canary、备份和 kill switch。
用户要求速度也不授权绕过生产与数据治理。 - 若观察到：Unknown、空输入或 row count 突然变化
应优先：fail closed，隔离批次并通知 owner，禁止把 Unknown 当默认动作。
阈值应按本站基线设定，不能用通用百分比。 - 若观察到：人工审阅量大到只能快速全选
应优先：缩小批次、改善证据摘要、分层抽样或降低自主等级。
抽样不能替代高风险条目的逐项审批。
自测与误区
先口头回答，再展开检查。无法给出例外与证据，说明还没真正掌握。
你应该能回答
1. 错误发生时最大影响面和恢复成本是什么？
参考答案：先列单次错误可触达的URL、用户、数据和生产系统，是否立即生效、能否精确识别已写对象、恢复需多久以及旧状态是否存在。影响面与不可逆性越高，自主等级越低，canary和批准越严格。
为什么：平均节省时间不能抵消尾部批量损失；最坏场景决定必要控制和权限。
2. 输入、规则和输出能否独立验证？
参考答案：输入需验证schema、freshness、数量、允许值与来源总量；规则以版本、gold set、正反例验证；输出要做格式、业务语义、reconciliation和写后读取。三层应由不同检查点独立失败关闭。
为什么：程序成功只说明执行完成，不能证明输入完整、规则正确或生产结果符合意图。
3. 自动化应停留在 read、assist、draft 还是 write？
参考答案：默认从read开始；需要判断时用assist；可验证但仍需owner责任的变更停在draft；只有规则稳定、失败可控、权限最小、canary和回滚成熟的低风险任务才考虑write，且按范围单独批准。
为什么：自主等级应由风险与证据决定，不由工具能力或演示成功决定。
4. 谁能批准、停止并回滚生产结果？
参考答案：业务/SEO owner批准语义，数据owner批准采集与指标，生产系统owner批准写入；值班或指定负责人有kill switch与回滚权限。RACI、SLA、代理人和事故升级必须在上线前记录。
为什么：自动化不承担问责，模糊的“有人会看”在故障时无法及时停止和恢复。
需要避开的误区
- 能写脚本的流程都值得自动化。
- 人工审核会降低自动化价值，因此应尽快移除。
- LLM 输出格式正确就表示事实和决策正确。
术语与复盘
用自己的话复述术语和结论；如果只能认出、不能解释，就还没有形成可调用的知识。
- Blast radius
- 一次错误可能影响的数据、页面、用户和生产范围。
- Autonomy level
- 自动化从读取、辅助、草稿到生产写入的权限等级。
- Idempotency
- 同一输入与业务键重跑不会重复累加副作用。
- Fail closed
- 验证不通过时停止并隔离，而不是猜测默认动作继续。
- Dry run
- 不写生产，只生成预计变更与验证结果的运行。
- Kill switch
- 达到风险阈值时能立即停止后续写入的控制。
离开本页前记住
- 自动化先从read和draft开始。
- 最大影响面决定自主等级。
- 输入、规则与输出要独立验证。
- Unknown和空数据必须失败关闭。
- 幂等、canary、快照和回滚缺一不可。
- 人工审阅需要能力、时间、证据和拒绝权。
资料与证据
优先采用官方和一手资料。实践材料用于补充工作方法，不替代机制证据。