PLAT-02-011 钱包与计费

2026-10-11当前名义换算为1 USD=1 RMB、充值1 RMB=100积分，配置修改只作用于后续新订单和调用；不得重标已有资金单位或重估原快照。模型USD标准基价不乘UUMI上游Key分组倍率，平台模型组折扣仅乘一次。6.75 RMB/USD用于客户参考折数（F×S÷6.75×10），不参与预留、结算或退款。原始计量维度未知/矛盾时保留原冻结与UNKNOWN，不因计价推断缺失缓存、写入时长或输出Token。

2026-10-11用户授权文本UUMI标准USD基价批量及周期同步：仅当前精确目录内绑定UUMI的文本模型，平台保留F/R/S换算与模型组折扣，不计UUMI上游Key倍率。同步失败、不完整或并发变化保留原价；新的有效价格只作用后续操作，原不可变资金快照及既有最小结算/舍入规则不变。定时同步需管理员显式启用，模型可暂停、撤权阻断，无价格历史版本/对比页。Gemini仅原生生成范围可把无法发生的缓存写入标为不适用，输入/输出/cache-read适用价格须完整，缓存管理/存储排除；不适用不是任意兼容路由的零价声明。

2026-10-10端到端商品与两端流程见支付、订阅与消费整体方案；本页末尾新增收款/履约分态与人工现金售后的目标，现行账本、原价格快照与资源分配继续各自唯一来源。新增方案不代表业务代码或真实商户已验收。

2026-10-05用户确认：客户API Key没有分组，也不配置逐Key模型白名单；每个有效Key均可调用平台全部已上架、已开放且有有效价格的模型。同一模型/规格使用相同个人标准销售价，按实际用量结算。账户状态、Key归属/启停/额度/有效期、钱包与必要调用限制仍校验；用户组只作账户归属管理，不筛选个人用户的模型或售价。上游Key由后台按模型接入配置选择，供应渠道及采购价格留在uumi（文本）或媒体网关（视频）。未验收能力不开放。

基本规则

• 只有一个钱包。 每个用户在平台上只有一个普通积分钱包；API、Studio、Drama、Commerce共用同一资金/权益记账和原操作。匹配的限时积分、订阅额度与生成次数作为具名资源分配，未覆盖部分只在明确授权上限内从普通余额扣除，产品不存余额或另扣资源。细则见多资源权益。
• 人民币充值，系统内用积分。 对客户只显示人民币和积分，不提供多币种钱包。供应成本的原始单位按事实保存，不对客户展示。
• Console 展示客户需要的账务信息。 用户看到可用于消费的余额、充值到账、实际消费及所有产品的使用记录，可以按产品筛选。用户界面、详情、导出和接入文档不展示冻结、预留金额或内部 quota；这些仍属于后台记账与恢复状态。
• 未确认费用不能冒充零消费。 调用结果或费用尚未确认时展示对应调用状态与“费用尚未确认”，继续查询原操作，不自动重新生成。客户流水展示实际余额变动，内部预留、补充和释放转移不作为充值或消费明细。

2026-10-06 订阅展示与推荐

余额与流水包含本人订阅概况及历史，钱包余额与订阅额度分开展示。展示原记录额度及按当前积分单位计算的已用/剩余，套餐名称仅代表当前配置，不替代原购买快照。按本人全部记录与同一服务端时间生成单张推荐：无生效记录且无待生效/未知记录时了解套餐，生效记录7天内到期时优先续订，其他生效记录用量≥80%时比较升级，其余比较套餐。推荐只跳转套餐页，无自动下单/支付/授予权益；购买与周期执行未验时明确关闭，历史重置时间不承诺下一次自动刷新。读取失败不按未订阅处理。关联PL-017.R04、T-07/T-09。

2026-10-02 已确定的充值与订阅方向

• 普通充值初始基准为 40元人民币获得100积分，即1元=2.5积分、1积分=0.4元，可由后台调整；这是销售换算，不是供应成本换算。金额以人民币分保存，内部积分单位与舍入由开发按真实基线完成映射和验证，不要求用户先提供技术数值。
• 首期提供充值与按周/按月订阅，周/月套餐更优惠。价格、额度、周期、重置、到期及支付方式通过后台配置，复用new-api已具备的字段与管理能力；尚未配置完整的套餐保持未上架，不阻塞配置功能开发。原生能力未覆盖的权益须明确扩展范围，不能宣称已有。所有产品仍使用统一钱包与记账服务，订阅接入不能绕过这条资金路径。
• 模型计费方式、价格与倍率复用new-api的配置能力，用户指定初始倍率为1，后续可调整。开发负责核对原生模型/输出/缓存等字段的含义及积分显示换算，不把字段映射转成用户必须先回答的编码阻断；原生计价字段与供应成本分别保存。
• 异常消费暂沿用new-api原生计费规则，由开发审计超额和缺用量的实际计算并接入统一记账、持久恢复与隔离PG验收。重复扣款、Key失配和未知提交重新付费生成等已复现缺陷仍须修复；用户选择原生计费规则不改变原任务核对和幂等要求。
• 退款暂由管理员控制，首期不开发用户自助线上退款或自动支付渠道退款。管理员处理原订单/原消费关联、实退金额及必要积分调整，保留权限、幂等和审计。模型失败释放未消费预留与充值退款是不同业务动作，不能通过关闭线上退款遗失原操作账务恢复。

支付相关内容均应配置化：充值比例、档位与折扣、套餐、渠道开关、商户信息、回调地址及原生渠道支持的选项。沿用new-api现有配置源和管理入口，在迁入Admin时接入平台权限与审计，不建立平行配置库或另一套计费引擎。商户密钥只由后端保存，管理读取脱敏，不进入前端包、日志或证据。订单保存创建时的金额、币种、权益与配置依据；后续改价不改写历史订单或消费快照。渠道未配置完整时不允许下单；商户凭据是启用真实支付与联调的输入，不是本地夹具开发的前置条件。

统一记账与价格快照

以下是平台改造的持续验收要求。模型/非模型同钱包、事务幂等、原价格快照、Key核对与持久恢复已在T-03及正式分批实现中通过列明范围的隔离验证；2026-10-03又完成容量合计约束和消费统计原子投影。新多资源订阅资金和原使用退款已有本地分项验收；实际商户/供给、完整人工异常处理及生产历史迁移仍有缺口；不能因为 new-api 已有预扣能力或某一分项通过就视为全部通过。分项证据见验收记录。

• 模型与非模型消费共用平台的余额、冻结额度和记账服务。新增接口必须接入 new-api 的资金路径，不建立 Core 钱包与 quota 之间的同步机制。产品不得在平台扣费前后再执行自己的积分扣减。
• 可用余额扣减、冻结额度变化、操作状态和资金流水必须在数据库事务内一致提交，并有唯一约束保护重复操作。用户余额与 API Key 的额度限制是不同概念，令牌额度的失败补偿也要有持久记录。
• 金额和积分使用确定的整数最小单位或定点数，接口声明单位与精度；禁止浮点误差改变资金结果。2026-10-08后的充值目标为1元=100积分，后台可配置；通过新充值政策实现，已有内部单位与余额不重估。
• 预留时保存不可变价格快照：客户方案及版本、模型或收费项、单价、单位、倍率、精度与舍入规则。结算和退款沿用原快照，改价只影响后续的新操作。
• 每笔操作有平台生成的 operation_id。余额、资金流水、使用记录能通过它核对；展示日志不是资金正确性的唯一依据。
• 资金结果不依赖进程内标记或异步 goroutine 是否执行成功。失败的结算、退款和记录写入有持久恢复状态，重启后继续原操作。

五类规则要分开管理

充值优惠影响“买到多少积分”，客户价格方案影响“每次用多少积分”。两者可以同时存在，但叠加规则必须明确，不能默默叠加。

一期个人用户，企业方案二期

2026-10-02用户明确：当前所有用户都是个人用户，先把当前功能正常交付。模型计费使用可配置的个人标准销售价及不可变版本快照；不为一期构建客户专属基础/覆盖方案、逐客户企业协议价与有效期绑定。人民币充值、周/月订阅优惠、员工权限及产品作用域保持一期。分组解耦按实际个人功能落地，不以企业方案扩展作为前置。旧用户组不能隐式选择新售价，订阅不改员工权限或路由。

二期与后续迁移的保留设计

零售客户。 设置零售标准方案和老零售客户方案。迁移时核对老客户在 sub2api 上的实际价格待遇，而不只是界面上的倍率。新增模型单独定价。旧价保护覆盖哪些模型、有效多久，待定。历史余额按原购买力换算，不自动扩大为永久享受旧充值优惠。

FDE 客户。 专属套餐拆成两部分报价：服务（实施、定制、培训等）和使用额度（积分或约定模型用量）。服务费不计入可消耗的模型余额。一个专属账户绑定一个价格方案，首期不做多人共享余额。

模型对接客户。 留在 uumi，不进入平台钱包。

客户价格的选择顺序：

1. 有效期内的企业协议价，覆盖了该模型时优先。
2. 未覆盖的模型，使用该账户指定的基础价格方案。
3. 基础方案也没有价格时，拒绝调用并提示未配置，不静默使用意外的低价。

new-api 的倍率、固定价、表达式与计量计算可以复用；原生“用户组到使用组”的共同命名空间不能作为平台客户价格方案的领域模型。逐模型的企业协议价、价格版本与有效期需要显式扩展。

2026-10-02：拆分原生分组职责

2026-10-02审计时，正式模型报价及充值折扣仍读取 User.Group，Key的Token.Group参与选择使用价格，原生订阅可修改同一用户组；用户要求将此列为PL-002/003/006/009/017与T-04～09的P0改造约束。2026-10-03本批已实现新个人模型 pricing_policy=personal-standard-v1 和新Epay充值 native-epay-personal-v2：原生倍率/固定价/表达式/金额档位discount继续配置，新销售组系数明确为1，旧 User.Group / Token.Group / GroupRatio / GroupGroupRatio / TopupGroupRatio 不再选择新售价或充值折扣。三个旧倍率Option保留、正式管理只读；历史模型/订单沿原快照，不能隐式升级为新策略。订阅配置拒绝新非空升降组，既有字段只读兼容；实际购买/周期仍关闭，不能声称已完成订阅生命周期解耦验收。

一期按个人模型价格、Key额度/有效性、独立角色、充值/订阅权益与服务策略分别管理；企业分类和客户方案绑定二期。后台以独立对象/绑定管理上述规则，不换几个字段名后继续共用一套group列表。客户API Key不选择组、价格方案或模型白名单；已开放模型统一可调用。必要调用限制由平台独立配置。复用原生计算函数及配置值不等于保留原生组选择权威。

迁移时把旧User.Group、Token.Group、组倍率、充值组倍率及订阅升降组分别映射到明确的规则，不能按同名字符串自动创建授权或绑定，也不能丢弃旧待遇。保留历史原生价格快照，旧操作继续按旧快照结算；新绑定与价格规则只影响后续已授权操作。具体验证至少覆盖改客户分类/Key策略/网关路径不暗改同规格售价、改价不授予模型/员工权限、订阅到期不覆盖合同、并发撤许可与预留、历史结算不被改写。缺价/无许可继续拒绝，资金仍走唯一记账服务。

两条扣费路径

一、模型调用。 API 调用，以及产品代用户发起的模型调用，都经过平台的模型中转：

1. 调用前按原价格和适用策略分配匹配权益及钱包，保存本次原操作占用与钱包支出约束；普通单次调用的已授权策略保持，Run 调用由下方规则自动处理。
2. 完成后按上游返回的实际用量结算，多退少补。
3. 写一条使用记录，标注来源产品。

二、非模型扣费。 不对应模型调用的收费（如 Commerce 批量导出、Studio 视频合成）使用平台新增的内部扣费接口：

每次请求必须带产品后端生成的幂等键，作用域绑定“产品、用户、业务操作、动作”，并保存请求指纹。同键同请求返回原结果，同键不同金额、模型或输入返回 409；普通用户传入的 Header 不能直接成为账务身份。结算与释放还必须引用原 operation_id，平台从持久操作中取得用户与产品，不从新请求里重新指定。

模型调用的实际金额可能高于预扣额：平台必须在发出请求前评估允许的用量上限，必要时补充预留；已发生的超额消费不得因余额不足丢失流水。原生超额计费规则由开发核对并记录实际适用行为，不能静默记零。非模型业务要超过预留上限时，先申请补充预留，获得成功回执后才能继续扩大执行范围。

Run 的逐次资源核验（P2 待实现交接）

用户发起 Run 即委托 Platform 按适用资源执行，不填写、确认或追加 Run 金额预算、额度或付费偏好。Platform 在启动及每次收费调用前核验委托、账号、产品访问与产品凭据，并按当前模型、规格、资源范围和有效性判断是否有足够余额或权益；有适用权益时不要求普通钱包必须为正。资源选择与分摊沿用多资源权益的先到期规则，逐次调用建立唯一原 operation 并原子预留、按可信实际用量结算。

不预先冻结整个 Run，不把启动时余额或权益封存成该 Run 的终身库存，也不新增隐藏的 Run 金额上限。模型规格、授权有效性和资源自身范围、库存、周期限制仍分别校验；单次原 operation 的预留和结算约束不构成另一个 Run 预算。

启动时资源不足返回可理解提示；运行中不足则暂停并保留已有结果和在途原操作。用户补足余额或权益后，通过当前会话显式继续同一个 Run，再核验当前适用资源；不创建替代 Run，不重发 UNKNOWN，不释放或挪用未决原调用的占用。Console 展示实际费用、资源来源、暂停原因和停止入口，不提供 Run 预算编辑或追加界面；金额未知仍显示未知，不补零。

本节只调整 Run。普通单次调用与 API Key 的既有预算、额度和付费偏好规则保留；已发出调用仍按其原授权、分配与价格快照恢复。P2 及 Console 对应能力仍待实现交接，本文没有修改平台代码或登记业务验收完成。

预留到期与异常恢复

预留有截止时间，但是否释放取决于业务状态：

结算与释放并发时只能有一个资金结果。退款关联原消费流水，不按当前价格重新计算。页面刷新、网络重试、Worker 重启均复用原操作；只有用户明确发起新的业务执行才建立新操作。

待核对必须有可查询状态、审计与处理入口，不能无限冻结而没有负责人。最大核对周期及部分成功收费政策在验证后定稿；人工处理同样使用幂等账务接口。

这个接口 new-api 没有，需要新增。旧 Core 已实现过类似的操作记录与幂等结算（代码在工作区 archive/repos/oceanway-core，见 service/billing_settlement.go 及其测试），可以作为设计参考。

使用记录

每一次扣费都要能回答“为什么扣了这些积分”：

• 账户、来源产品、调用者（Key 或产品）
• 模型与规格、实际用量及单位（Token、张、秒、次分开，不全叫 Token）
• 适用的价格方案和单价、预扣、实际扣除、释放或退款
• 关联的请求 ID 或产品任务 ID

new-api 的日志表需要增加“来源产品”字段，并支持非模型扣费的记录。

Console 与 Admin 的分工

2026-10-06：按用户确认，单纯积分调整仅填写方向与数量，不要求凭证编号或原因。服务器自动保留操作者、原请求关联和调整记录，沿唯一记账及原操作恢复；旧显式审计字段和历史原回执兼容。支付补单仍核对可信支付凭证，不由普通积分调整代替。

待定事项

• 2026-10-08后的充值目标为1元=100积分，充值/订阅/支付/计费均配置化；具体套餐与商户输入仅影响对应能力上架。内部单位保持，兼容旧值及资金的映射须验证。
• 活动积分与限时媒体次数、多资源订阅（PL-020）及PD-15/16本轮分配/计量/到期/原资源返还政策已确定，见多资源权益；实际商品额度、供给/商户启用及PD-12旧转换仍按具名配置和验收。
• 零售老客户旧价保护的模型范围和期限。
• 首发实际启用的支付方式及商户配置，未启用渠道不得接受订单。
• 异常消费沿用new-api原生计费；部分成功及长期待核对的人工处理入口、负责人和验收须补齐。
• 首期管理员控制退款、无用户自助线上退款已确定；人工退款的原订单关联、权限和积分调整验收仍须完成。

验证场景及证据要求见平台集成验证。

2026-10-03：用户组与Key组独立管理纳入一期（历史要求）

下列组要求及实现记录保留原时点；其中Key组/获准关系/绑定与分组模型许可已由2026-10-05 D-KEY-ALL-MODELS替代，不再作为当前交付目标或新行为验收证据。

用户明确本期必须完成，登记PL-018 / AC-13，关联T-04～T-09。一期全部个人用户不取消账户侧分组管理，也不将这项拆分随企业功能后置。本批独立实体、绑定授权、CRUD/审计、本人Key管理和新收费动作组门槛已实现，列明范围通过真实隔离PostgreSQL/TLS；两端页面已接线，本批组配置→本人Key/额度/停启/复制/原请求恢复/撤权/删除及共享退出已通过真实浏览器联合验收，记录为平台 docs/verification/T-07/console-layout-keys.md。AC-13整体及T-04～T-09仍进行中。

验收至少覆盖两类组同名不会串用、独立编辑/删除不隐式迁改另一类引用、有绑定对象不能被静默删成悬空引用、客户不能越权选Key组、改组/撤权与新预留竞争、订阅到期不覆写用户组或Key组、旧操作仍按旧价结算。所需CRUD、绑定、契约、数据迁移、授权和前端回读都属于本期交付；真实隔离PostgreSQL证据是完成条件。企业专属账户及逐客户协议价仍为二期。

本批实现和验收边界：

• 独立UG/KG采用不同Go ID类型、SQL表/前缀约束及各自唯一名称；获准UG→KG、用户→UG、Key→KG显式引用。同名不授权；默认 ug_personal / kg_standard 停用且无绑定，不自动映射旧User/Token字符串。撤销用户绑定保留tombstone/revision，组有引用时删除拒绝，Admin配置与本人选择分别核动作/归属/CAS及审计。
• 当前模型许可是全局已发布协议目录、启用UG策略、启用且获准KG策略、原生Key限制的交集。无绑定/停用/撤权阻止新授权；产品无个人Key路径只校UG和目录，不虚构KG。报价只读检查，新预留、未执行任务的新开始及新补充在资金事务内复审；原动作回执、已发出任务查询/结算/释放不重新报价或授权，不能借恢复再次执行。
• 钱包可用与冻结共用 9007199254740991 quota合计容量；服务与迁移中的延迟数据库约束保护预留、补充、入账、调整、结算和释放，旧异常数据拒绝迁移不重估。model/non_model成功结算同事务维护原生消费/request计数；不等于已补历史统计、原生日志或渠道统计。
• 平台 docs/verification/T-04/groups-keys.md / groups-keys-postgres-https.json 的11个组/Key场景、T-05/personal-finance.md / personal-finance-results.json 的43个资金顶层测试、T-06/text-protocols.md / text-protocol-results.json 的24个文本顶层测试分别通过。均为受限角色、独立本机PG及TCP/TLS夹具，已清理；无生产迁移、真实收款或收费模型。T-08/admin-native-layout.md只证明4项DOM及类型检查，不代替本批最终浏览器验收。

仍须按一期完成条件继续：独立限流/并发和完整服务策略，旧客户待遇及绑定的显式迁移，订阅统一购买/周期权益和到期不改两类组，管理员原订单/消费关联退款，待核对任务人工入口与原上游查询，以及完整Console/Admin回读联动。当前保留订阅购买关闭，配置草案通过不算到期场景通过；不得把以上分项验证登记为AC-13全通过或一期完成。企业/FDE、逐客户基础/覆盖方案及协议价有效期仍属二期。

2026-10-07：文本单渠道与媒体多种计量

PL-006.R01～02、PL-011.R10、PL-013/014：文本同名多版本方案暂时搁置，每个文本模型仅一个渠道及个人标准售价。图片/视频采用内部自定义协议，能力与按次/按张/按秒/按token等计量方式分开管理；仅发布实际支持的具名规格与规则，不由客户自报计费单位或费用绕过原生计价。请求输入规格用于预估和校验，结算用量来自可信结果；token及秒数的口径明确，缺用量不伪造、不按零完成。管理员及客户价目表/试算沿用同一价格版本和单位，改价不重估原操作。统一记账、Key额度、幂等归属及未知任务恢复仍适用，媒体执行与真实计量继续按T-06/G-07验收。

2026-10-07：多资源权益与旧sub2api承接

用户确认活动限时/限定模型图片视频次数、活动积分、邀请积分、订阅周/月限额及附带次数，并要求系统承接旧用户全部数据与订阅权益。新增PL-020/T-12；统一规则与商业待决项以多资源权益为唯一细则。仍沿同一资金事务和原operation，不新增第二钱包、不把订阅上限或次数合成普通余额；旧周/月7/30天上限并行，USD列名不决定美元换汇。审计与方案完成不代表引擎或客户迁移交付，PD-12/15/16及原资金/供给验收保持开放。

2026-10-07：多资源消费与订阅履约的本地实现

PD-15/16已按用户要求继续完成的策略确定，现行细则集中于多资源权益，本页不复制政策。服务端共同分配钱包/限时积分/订阅/次数，标准价等值Key额度与实际钱包支出分别记量；原操作恢复、可信成功结果核销、失败及获准全额使用退款回原资源/窗口。原生历史订阅继续只读核对；新版本化多资源模板、人民币支付订单与原快照履约已有本地实现，同模板续期接原到期点且不重置旧窗口。此前按2026-10-06范围记录的“购买关闭”保留其历史事实，新商品仍受发布、支付和供给就绪门槛控制。

本地验收见平台 docs/verification/T-12/entitlements-implementation-20261007/report.md；本轮未真实支付、收费生成、生产部署或迁移客户。旧币种返利、TOTP及历史对象/源切点未解决前不能宣称完整旧客户恢复，父任务按各自证据保持开放。

2026-10-08：官方基价、充值换算与模型组倍率

PL-006.R01/R02、PL-009.R01、PL-011.R10、T-05/T-08：接入模型以提供商官方USD计费为主要可拉取基价。默认采用名义换算F=1（1 USD=1 RMB）和充值积分比例R=100（1 RMB=100积分），管理员可以调整。最终积分价为标准单价×F×R×S；不读取市场外汇率。原生内部quota和显示单位D保持，新充值由Price=D/R换算，不重估已有余额。

• 官方价格读取固定提供商来源，保留准确的币种、型号及计量维度；社区预设与绑定连接配置价是明确标注的其他参考源。未识别、缺价、缺维度或不支持规则不按零导入。获取只读、明确采用当前基价并保存，原生编码先还原USD单价再按本地quota单位编码，F/R/S只应用一次。
• 管理员可创建具名模型价格组，显式选择接入目录中的精确模型名（含草稿），统一指定倍率。模型成员不能跨组或重复，组/成员及倍率由后端校验；未分组倍率1，0.4为四折、1.5为1.5倍、显式0免费。旧提供商/系列规则保留兼容；明确组覆盖对应旧规则而不叠乘，管理员采用新组后明确保存迁移。分组不决定供给、调用权限或Key范围。
• 只提供当前价格配置，不提供历史版本管理或价格对比。保存标识、来源指纹和CAS用于后台并发与原请求核查，不作为价格版本产品功能。已发生消费、订单及未知操作保留原金额和不可变资金快照，恢复不读取新价重估。
• 新报价的完整线性文本token/上下文阶梯使用精确十进制计算，原字面值不能无损识别则官方来源拒绝采用；只在新资金快照记录计算选择，旧快照保持原引擎，原操作恢复不重估。新预留核对当前计算方式及完整规则，防止沿用旧报价降级。
• 全新未有资金/计价配置的安装种入R100/F1/默认倍率1；既有实例不因重启迁移。充值比例变化需要settings:write，组及标准价换算变化需要pricing:write；冲突或保存未知保留草稿，回读不自动重试。配置、目录和新报价共用价格事务栅栏，客户最终积分展示与实际结算同源。

本批实际官方来源支持边界与本地验证见追踪矩阵；价格配置不能证明真实模型供给、支付或客户迁移通过。

2026-10-10：通用商品的收款、履约和售后目标

关联PL-021.R09/R12、PL-009.R01～04，联T-05/08/09/12/13及AC-08/10/16。用户已认可通用充值＋有限共享用量订阅＋按需专项包，整体产品与两端流程见商业整体方案。以下是待构建目标，不将现有pending/credited或checkout成功视为完整新生命周期。

收款与交付

原订单保存商品类型/版本、用户、运营归属、可信销售入口、币种应付/实付、基础和赠送资源、范围、期限、生效/续购规则及支付配置依据。金额使用精确人民币分值；客户端不得自算发放积分或指定任意用户。普通充值发普通钱包积分，订阅发周期资源，专项包发明确库存，分别履约一次。

支付状态与履约状态独立：签名通知或可信查单核对原订单、商户、交易号、币种与金额后，先持久保存可信收款事实及待履约记录；同一个平台通过持久任务一次履约。账务写入失败不回滚已收款的业务可观察事实，不能在页面伪装为未付款。无需新增资金微服务，原钱包和权益仍由同一事务/唯一约束保证。

支付成功返回页、checkout链接、用户截图和本地倒计时不是可信收款。重复通知/查询/补单返回原收款与履约；新渠道交易号不得串入其他原单。可信收款未到账或未发权益时，员工执行原履约恢复；不能另发一份无原来源积分。原订单已有可信未收款关闭、退款或异常冲突时保存新证据并进入原单核对。确实有效的迟到付款不得被静默丢弃；仍有效原单沿原快照履约，已退款或矛盾事实不能自动再发。

商品暂停、改价或资源规则改版不改写已收款原单。首次新订阅从成功交付可用时刻起算，可信付款时间独立保留；未来续购沿原排期，错过生效点的故障按多资源权益§8保留原案件补时/退款核对，不无声消耗不可用期限。已有credited原订单按原收款和履约证据映射，不重新发资产；原pending须逐笔核对可信事实，不按旧单名或时间批量认定成功/失败。正式枚举、迁移、Worker恢复与OpenAPI在平台仓库定稿。

人工现金售后

首期管理员处理现金退款，不开放客户自助或自动调用支付渠道退款。退款案件关联原现金订单及实收、已退、在途退款、原购买覆盖段/发放资源、赠送和邀请奖励。人工核算金额及资源处置方案，保存可信外部退款凭证与结果，再沿原案件幂等完成资源和账务处理；退款未知只能查询原案件/外部原交易。

退款额不得超过原实收减已退及在途金额；原现金币种金额与原授予数量独立保留。处理前检查原来源可回收量和在途占用，保护相关资源不被重复使用或重复回收；已发送任务及未知占用继续按原授权恢复。现金已退但资源处理失败必须显示待恢复，不让重复提交再退一次现金。外部明确未退款时才按原方案恢复可释放的处置占用；外部未知不能当成失败。

部分使用、原充值赠送、已领取奖励和部分现金退款需原订单级可解释归因及具名核算政策。未取得事实时保留待核对，不能以账户当前余额、当前商品价格或当前R反推原可退款额；不自动扣另一用户已领取奖励、不无声改负债为0。现金退款、原使用冲销、权益回收与普通积分调整各有原对象和权限。

旧原消费全额冲销继续只退原普通钱包支出及原grant/窗口核销，原限时资源返还保持原有效期；不退订阅购买价、不补满新窗口。普通积分调整继续按已确认方向/数量输入和自动审计，无支付凭证仍不能冒充收款或现金退款。

售价与资金统计

新商品不隐式增加会员模型折扣；沿当前个人标准价和不可变原快照。充值R、模型F/R/S、商品现金售价及获授额度是不同配置，任何实际改值仍须相应权限、版本回读和资金影响核对。修改R改变新模型积分价及新充值待遇，旧余额数值不变仍可能改变面对新价的购买力，不能称为纯显示修改或自动旧客户迁移。

现金实收/实退按可信支付/退款事实，钱包支出按已结算原operation，订阅/次数按原allocation核销，调用与产品业务产出分别统计。原标准价等值、资源覆盖与实际钱包支出不能相加计收入；商品归属、购买入口与消费产品各自聚合，不重复分摊整笔现金。实际采购成本另从受控供给事实核对，官方USD参考与名义F=1不是采购利润证明。