答案摘要：AI 客服系统接入订单和工单时，需要设计身份校验、订单只读查询、工单创建、状态查询、人工转接和结果回写等接口。聚匠科技通常先限制 AI 可读字段和可写动作，再配置幂等、超时、脱敏与审计，避免客服回答正确却产生重复工单或泄露订单信息，写入动作再分阶段开放。
先确定用户身份，再决定能查什么
官网匿名访客、登录用户、企业微信客户和内部客服能看到的信息不同。匿名访客可以查询公开服务说明，但不能仅凭一个订单号读取收货地址；登录用户也应校验订单归属；内部客服则按岗位和组织权限读取必要字段。
身份链路至少要明确渠道用户 ID、会员 ID、手机号或客户 ID 如何映射。无法确认身份时，AI 可以说明查询路径或转人工，不应为了完成回答而放宽校验。验证码、登录态和客户授权应由业务系统负责，模型不保存明文凭证。
订单与工单接口可以分成六组
| 接口组 | 典型用途 | 权限边界 |
|---|---|---|
| 身份校验 | 确认会员、客户与订单归属 | 失败时不返回订单详情 |
| 订单查询 | 状态、物流、商品、售后进度 | 地址、金额等按需脱敏 |
| 知识检索 | 售后政策、产品手册、处理步骤 | 只命中生效版本 |
| 工单创建 | 写入问题、订单号、摘要和附件 | 使用幂等键避免重复建单 |
| 工单查询 | 处理人、状态、预计下一步 | 不展示内部敏感备注 |
| 转接与回写 | 进入人工队列、写入处理结果 | 人工接手后停止自动回复 |
第一阶段通常以查询和创建为主，不开放关闭工单、修改赔付金额、确认退款等高风险动作。确需写入时，要把工具拆成独立权限，不能用一个“工单管理接口”同时覆盖创建、改派、关闭和删除。
接口清单要写到字段与状态
- 每个接口的调用角色、鉴权方式、频率限制和超时时间。
- 请求字段中哪些来自用户输入，哪些必须从登录态或订单系统取得。
- 返回字段中哪些可直接展示，哪些需要脱敏或仅供规则判断。
- 订单、退款、物流、工单分别有哪些状态，状态之间如何转换。
- 重复请求使用什么幂等键，未知结果如何查询而不是盲目重试。
- 接口失败、权限不足、资料冲突时进入哪个人工队列。
字段字典要由订单、客服和技术负责人共同确认。比如“已完成”在订单系统可能只表示交易结束，并不代表售后问题已经解决；AI 不能把不同系统的同名状态直接当作同一含义。
联调时重点制造失败场景
正常查询只证明接口能通，不能证明客服链路能上线。测试时应故意使用错误订单号、他人订单、已关闭工单、重复提交、接口超时和知识库过期样本，检查系统能否拒绝、追问、转人工或进入待处理状态。
日志至少关联会话 ID、用户身份、知识版本、工具名称、参数摘要、接口状态和业务对象 ID。敏感字段可以脱敏，但要能还原为什么给出某个回答、为什么创建或没有创建工单。
哪些情况先不要开放自动写入
如果订单主键不统一、工单状态靠人工口头维护、接口没有幂等能力或客服队列无人负责，先开放写入会产生更多脏数据。可先从 AI 客服系统 的知识问答和只读查询开始，再按 客服售后 AI 串联订单与工单；回答依据和版本由 企业知识库 RAG 统一维护。
