PLAT-02-017 全域记录与产品运营
Platform 全域视图、产品独立运营、统一交易与权益的领域及交互设计
运营后台需求补充：统一运营后台 PRD v0.7及配套 FS 已将营销人群／投放、促销／优惠券、活动任务／奖励／返利纳入完整可配置需求，串联配置、参与、购买或领奖、使用与售后复盘；新增分产品运营、前端展示位及独立公告方案见 §5.1～5.4（Proposed）。下文保留原产品归属及商业权威；旧文中的后置类型不阻止本次需求设计，也不表示这些能力已实现或获准生产启用。全域邀请归因与原单快照继续保持。
2026-10-10模型/请求/使用整改落实PL-021.R01/R06/R07中的记录基础：统一查询当前操作、旧站原单位历史及产品业务摘要；可信产品凭据加本人会话报告新摘要，后台恢复从原任务授权或原已授权操作确定用户。事件ID重投返回原回执，版本乱序不回退，父任务归属与循环引用校验；摘要不能修改模型终态、价格或账务。新增产品记录契约位于平台仓库 platform-usage-records.fragment.json。同日继续接线Studio、Drama及Commerce的业务事务outbox与失败重试，专项证据在平台 docs/verification/T-13/product-business-events-20261010/；私密素材授权读取和套餐/活动全链仍分别验收，不以这一索引宣告整个T-13通过。
2026-10-10用户认可通用充值、有限共享用量订阅与按需产品专项商品的设计，并要求按此构建代码。端到端方案、两端职责与构建索引见支付、订阅与消费整体方案；本页继续维护商品归属、范围和购买关系的唯一细则。新增PL-021.R08～12与AC-16.A08～12，代码与业务验收未完成。
用户确认的目标：Platform 能查看本人在整个 OceanWay 的业务使用、生成、消费、金额、订阅和活动；Studio、Drama、Commerce 展示本人在本产品的情况，并分别运营专属套餐和活动。这些套餐、购买、参与和权益也能在 Platform 查询。关联 PL-021、T-13、AC-16，联 PL-001/002/005/008/009/012/017/019/020。
状态：需求和设计已建立，Platform商业/业务事件及三产品outbox已有具名联合分项；产品自身运营UI、完整创作保存恢复、经营视图及全部T-13/AC-16仍开放。 本地联合范围见任务与证据，Studio按切片恢复准备，不把平台分项或接入桥替代各产品完整验收。本页维护运营归属、查看范围与交易链路的唯一细则；资金分配、并行周期、到期、退款继续引用多资源权益，不另建一套计费规则。
1. 一套权威，多处入口
| 能力 | Platform 权威与全域入口 | 产品本域入口 |
|---|---|---|
| 身份、余额、支付配置 | 唯一账户、会话、普通钱包与商户配置 | 使用同一身份；可显示明确标注的 OceanWay 通用余额 |
| 套餐与活动 | 保存全部归属产品的定义、版本、发布、购买资格与发放规则 | 编辑和运营获准的本产品对象，通过 Platform 接口保存 |
| 购买、支付与履约 | 唯一下单、支付核验、订阅履约、权益发放与原单恢复 | 展示本产品商品并发起同一交易；回读原订单，不本地发放 |
| 使用与资金记录 | 本人全域明细、全域分析；获准员工全域核对 | 本人本域明细与分析，服务端固定产品范围 |
| 生成和业务任务 | 平台执行事实及产品业务状态摘要、来源、原费用与授权结果入口 | 原对话、项目、分镜、素材和业务任务详情 |
| 订阅与权益 | 本人全部订阅、活动、资源与来源历史 | 本产品订阅及本产品可用权益，来源与适用范围分别说明 |
| 产品内容运营 | 受控导航、获准摘要与统一审计关联 | 作品治理、提示词、技能、生成运维、存储和产品公告 |
Admin 仍是员工统一入口，提供“全域 / Studio / Drama / Commerce”工作区。产品子站可以提供自己的运营页，两处编辑相同 Platform 对象，不复制商品、活动或账本数据库。切换工作区不授予权限；产品内容的管理与长期保存继续留在产品工程。
2. 四种归属不能共用一个 product 字段
下列名称是待实现的领域字段建议，正式接口与迁移在平台仓库 docs/openapi/ 和迁移目录定稿，不表示当前 API 已接受这些字段。
| 维度 | 含义与例子 | 服务端来源 |
|---|---|---|
owner_product | 谁运营和管理商品或活动：platform、studio、drama、commerce | 对象归属及员工授权；平台通用与 API 商品可归 platform |
sales_surface | 这笔订单从哪个受控入口创建：console、studio、drama、commerce、site | 可信入口/产品凭据和下单上下文，写入原订单快照 |
| 权益适用范围 | 每项资源能在哪些调用来源使用，如仅 studio 或 studio+drama，另有模型/规格/有效期约束 | 发布的权益规则快照；复用现有 AllProducts/Products 等能力 |
usage_product | 实际业务使用/生成发生在哪个产品：api、studio、drama、commerce | 原 operation 的可信 Product 或产品业务事件的凭据范围 |
platform 是运营归属，console 是入口，api 是实际调用来源，不能互换。现有资金 operation 中的 wallet 也不能解释为 Studio 套餐收入归属。商品在 Console 显示不会变成平台通用商品；付款从 Studio 发起不会让普通充值积分自动只能在 Studio 使用。
例：用户在 Console 购买 Studio 月套餐，获得只适用于 Studio 的视频次数。订单归属是 Studio，销售入口是 Console，核销产品是 Studio；该订阅和原订单在 Console 与 Studio 都可见，Drama 不显示它为 Drama 可用权益。若另有明确跨产品权益，则 Drama 可显示适用资源及其 Studio 来源，但不能管理 Studio 套餐。
3. 套餐、订阅、活动与权益对象
| 对象 | 必须保存的事实 | 生命周期与边界 |
|---|---|---|
| 套餐定义/版本 | 运营归属、名称、人民币售价、售卖入口、购买资格、期限、权益组合及续订规则 | 草稿、发布、暂停；并发版本核对；已购版本不可被新编辑改写 |
| 订单/支付事实 | 用户、商品及版本、运营归属、销售入口、应付/实付币种金额、支付与退款关联 | 复用现有人民币订单；商品退款与消费冲销分开；原单只能履约一次 |
| 用户订阅实例 | 用户、原订单/履约、套餐快照、运营归属、生效/到期、各周期/资源引用 | 查询真实新订阅与历史来源；未付款不显示生效，续订不抹掉原窗口已用 |
| 活动定义/版本 | 运营归属、展示/参与入口、开始结束、受控资格条件、名额或奖励预算、领取方式、奖励规则 | 草稿、发布、暂停、结束；资格/领取/发放有原回执，不能仅展示营销卡片 |
| 活动参与/奖励 | 用户、活动版本、可信资格事件、参与/领取、审核或待生效、实际发放与 grant | 每个活动按自己的资格与去重范围；暂停/结束不能丢失已形成的奖励事实 |
| 用户 grant/窗口 | 来源订单/活动、来源归属、资源/范围/期限、授予/已用/原占用及周期 | 同一权益服务，沿原 operation 分配和核销；不再加一遍普通余额 |
| 业务活动索引 | 用户、可信产品、业务任务、父 Run、平台操作引用、业务状态/版本、必要摘要 | 不持有第二份项目/素材权威，不根据摘要改变资金或模型终态 |
商品的运营归属与发放来源稳定保留；需要转移归属时必须另有明确迁移流程，不能通过普通编辑把旧订单、收入、权限和用户权益改归另一产品。模板名称、活动名称变更不重写历史快照。
同一用户可以同时持有不同产品的有效套餐，各资源独立保留其规则与窗口。同一个套餐的购买次数、续订/升级/替换资格要由明确的已发布规则校验；当前首批复用已有可证明的购买/续订语义，不因这次设计自动交付自动续费、升降级、取消退款或按比例结转。不同产品套餐也不能未经核对相加成一个总额度。
用户订阅以稳定逻辑订阅ID关联原购买与续订覆盖段，生效订阅数按该ID去重。同模板连续续订保存每份原订单/履约/grant与窗口引用，不显示成两份重复生效订阅，也不合并后丢失历史；续订的周期衔接继续按原规则，不重置当前已用。不同套餐版本的升级/替换不由这一关联自动启用。
首期编辑默认：通用用量订阅覆盖API及获准创作产品并共享一份有限额度；产品专项套餐/活动默认仅本产品，通用或跨产品权益由平台明确发布。 这是本轮方案的构建默认，实际模型、规格、额度与范围由获准管理员明确发布；不改写既有grant快照。普通钱包继续全域通用。每项资源的适用范围必须直接展示，不能靠套餐名称推断；产品运营员工扩大到其他产品或API的范围须有相应跨产品授权。新增产品不能仅凭“通用”名称获得既有订单尚未核对的范围。
套餐决定付费期限和资源组合，不隐式授予管理员角色、不改变个人标准模型价或客户 Key 模型许可。产品运营可以决定套餐售价与附赠资源，但全局积分换算、模型标准价及供应开关仍是平台级独立权限。
首批活动实施建议覆盖“专属订阅附赠、限时积分、限定图片/视频次数、可信业务事件触发的领取或发放”；具体产品活动类型/发布范围尚待配置及核对，可信产品事件资格与领取/发放继续按 T-13 实现验收。资格由 Platform 对支付/消费权威事实或受控产品事件核对。邀请码全域归因与首次消费奖励继续遵循既有 PL-019，不拆成每产品重新奖励一次；其他产品首用活动必须是独立活动对象，不改全域邀请规则。优惠券、折扣叠加、签到、现金提现及其他活动类型不因本页对象设计自动启用。
4. 用户侧的全域和本域信息
Platform Console
沿用已有页面，增加产品与归属维度，不堆成一个不可读的总表：
- 总览：本人全域资源摘要、近期业务与异常、按产品入口。只显示同单位且可比较的数据。
- 使用记录与生成记录：按实际使用产品筛选；模型调用、非模型使用和产品业务活动分别有类型。详情关联父业务任务、实际模型操作、费用来源、执行/结算/保存状态及受控原产品入口。
- 使用分析：仍是独立分析页，按实际消费产品展示调用、产出、钱包积分支出与权益核销；记录页不重新加聚合图表。
- 钱包与我的订阅：全部本人订阅按运营归属分组；每份展示期限、原订单、并行窗口、资源范围及剩余。普通钱包标为 OceanWay 通用余额。
- 套餐与购买：平台通用及产品套餐按归属筛选；商品展示和购买都核验同一售卖资格，能在 Console 售卖的 Studio 套餐直接走原商品下单。
- 活动中心：平台与各产品已发布且对本人可见的活动，以及本人参与/待领取/已获得历史。已停售套餐、已结束活动的本人历史仍可查询，不等于允许新购买或领取。
- 订单：全域订单按商品归属、销售入口、状态和时间查询；人民币实付与获授积分/次数分别展示。
“全部”对本人表示整个 OceanWay，而非所有用户。私密提示词、项目正文、内部规划、原供应链接及服务凭据不进入全域摘要；本人需要详细创作内容时，通过再授权的结果入口或原产品页面读取。平台 Admin 的全域统计/用户支持权限不自动授予读取私密创作内容的权限。
Studio / Drama / Commerce
各产品至少提供“本产品概览、使用与生成记录、套餐/我的订阅、活动/参与历史、本产品相关订单”入口，保留现有创作主流程。名称及导航随各产品页面规格落地，不要求复制整个 Console。
本域记录按实际使用产品筛选；本产品相关订单包含本产品商品订单，也可展示在本产品入口创建的普通充值订单，但须区分“Studio 套餐订单”和“OceanWay 通用充值”，不能把通用充值算作 Studio 套餐收入。其余全域订单入口跳 Console。套餐比较和我的订阅中，本产品拥有的套餐与来自其他产品但可在本产品使用的资源分组呈现。
本域可用资源由服务端结合可信产品和规则匹配，不是浏览器下载全部记录后筛选。模型或规格限定资源必须标出范围，不能显示成全部生成通用次数。展示共享钱包余额时写明其全域性质；“本域消费”展示本域实际钱包支出及权益用量，不虚构产品专属余额。
来自其他产品但可在本域使用的资源只返回来源标签、规则适用范围、可用量/窗口及期限等必要投影，不附带其他产品完整订阅、原订单金额、活动参与或消费历史。需要全域详情时进入本人Console，不以“可在Studio使用”扩大产品查询范围。
5. 员工运营工作区
| 模块 | 平台工作区 | 产品工作区 |
|---|---|---|
| 运营概览 | 全域/按运营归属/销售入口/消费产品分析 | 本产品用户、套餐订单、活动参与、生成与支出 |
| 套餐 | 所有归属产品的套餐，具名全域或相应产品权限 | 本产品套餐草稿、发布/暂停、资格和权益配置 |
| 活动 | 全域活动、预算与发放核对 | 本产品活动、参与和原奖励发放结果 |
| 订阅与权益 | 获准目标用户的全域资源和原来源、原窗口、异常履约 | 本产品所属商业订阅及获准必要资源事实；财务/权益读取分别授权 |
| 用户运营 | 全域账户事实与具名用户联查 | 具有本域业务/购买/参与关系的用户及最小必要资料 |
| 订单与处理 | 独立财务权限下全域订单、补单、退款与审计 | 本产品商业对象订单状态及受限查询；资金动作需独立授权 |
| 内容/生成运维 | 获准摘要和受控产品入口 | 原项目、素材、作品治理与持久业务任务 |
初期不新增组织/租户体系，也不按套餐创建员工角色。复用平台/产品角色基础，增加有产品范围的动作：运营读取、套餐编辑、套餐发布、活动编辑、活动发布、奖励发放/回收等。持有 studio:admin 只是角色基础，具体动作仍由 Platform 判断；产品服务凭据不等于员工权限。
新运营写入要求“当前用户会话 + 可信产品/入口 + 员工动作权限 + 对象归属”同时通过；后台自动履约只能按原已授权订单/活动版本进行，不能让 Worker 自报任意用户奖励。普通查询、对象 ID 查询、导出、聚合、未知回执查询都执行相同范围。用户禁用、角色或产品凭据撤销后，新动作拒绝，原资金和原任务继续按既有恢复规则处理。
产品运营员工不因查看本域用户就获得全域账户启停、密码/登录配置、全域 Key、其他产品消费、通用余额调整、支付秘密或退款权限。全域员工也必须分别获得跨产品经营读取与资金动作权限；前端工作区选择器不是权限边界。
本人订单读取与员工订单读取使用不同权限规则。用户本人可查询本产品商品订单及在本入口创建的本人通用充值订单；产品员工默认只读取本产品所属商业对象的获准订单，不能沿用“商品owner或销售入口属于本产品”的并集条件。平台归属/通用充值即使从Studio发起也需要独立财务授权。只有明确跨产品财务授权的员工才能扩大查询范围。
5.1 分产品经营与前端展示位补充方案（Proposed）
本节承接用户新增的“每个平台独立运营、前端预留活动和公告展示位置”要求，与运营 PRD共同评审。统一后台及按产品隔离已确认，以下具体位置、工作流和展示默认值为方案，未据此启用线上投放。当前顺序为 Platform／Console 优先，后续逐产品接入；旧 Studio 与新 Creative 分别核定，Commerce 保持原型范围。架构复盘已记录新 Drama 部署事实，本计划不自动启动其运营／素材接入；新旧代际与范围按 PLAT-02-040 核定，上文历史三产品描述不构成新接入授权。
组织方式：一个后台、多个产品运营空间、共用商业规则、各自前端承载。 空间内配置本产品的目标、人群、商品、促销、活动、公告、内容与排期，查看本域效果；运营可在一个入口完成工作，不要求往返多个独立后台。确需原产品治理的作品、提示词和业务内容，通过有权限的产品能力处理，保留其唯一归属。
| 运营空间 | 主要目标与可配置动作 | 前端候选位置 | 主要效果口径 |
|---|---|---|---|
| Platform／Console，含 API 用户 | 注册后首次成功调用、充值／订阅、补量／续购、团队消费；配置新客任务、用量活动和模型服务公告 | Console 总览公告条／运营卡，模型目录提示，充值订阅页优惠区，活动与公告中心；API 本身没有图形展示位，由 Console 承载 | 首次有效调用、购买交付、资源使用、续购及异常处理 |
| Studio | 首次成功创作、重复创作和适用资源购买；配置创作任务、作品征集、公共内容推荐及模型更新通知 | 产品首页／项目列表上方的收起式横幅，公共内容浏览区推荐卡，生成设置旁相关提示，活动与公告入口；不覆盖画布或进行中的结果 | 首次成功产出、再次创作、活动有效参与、奖励使用及购买 |
| Commerce（后续方案） | 围绕商品图片／视频工具的首次成功产出、持续使用和补量；按经营节点配置工具活动和服务公告 | 工作台工具区轻量公告条、工具说明旁相关卡、额度提示及活动详情入口；保留直接选择工具的主路径 | 工具有效使用、成功产出、结果导出及资源购买；具体事件须可信接入 |
候选位置不是已经实现的页面清单，也不是所有位置必须同时展示。各产品在局部设计阶段确认位置与数量。官网如后续承接公开获客，可作为另行接入的公开投放入口；不由本节自动启动官网 CMS 或扩大冻结产品范围。
5.2 每个产品运营人员的工作流（Proposed）
- 选产品并看经营情况：本产品有效用户、首次成功使用、近期转化、资源消耗及交付异常；周期与统计口径可选，数据未知不填零。
- 选目标与人群：例如 Studio 已注册但未成功创作的人群、Console 订阅临期用户；只用获准本域事实，筛选人群不自动扩大查看权限。
- 准备业务和内容：选择已发布商品／促销／活动，或创建独立公告；准备标题、图片、按钮、规则和语言版本。没有奖励的内容无需创建虚假活动。
- 选择展示位置与排期：可选单个或多个本域位置；配置设备、目标人群、时间、优先级、展示次数与关闭冷却，查看占位冲突和不可用原因。
- 预览并发布：按实际产品、位置、桌面／移动端、语言、未登录／个人／团队预览；业务对象、素材和投放分别满足发布条件后才出现。编辑与发布权限可分别分配，也可由同一获准员工执行，不强制多层审批。
- 用户参与与使用：点击查看公告或进入活动／商品；登录后返回原目标，再核对主体与资格。参与、购买、领奖各自明确操作，曝光或点击不自动报名、扣款或领取。
- 回读与复盘：运营查看真实展示、点击、参与、购买、奖励与使用；下架投放不删除原订单／奖励。按表现调整下一个版本，保留原版本结果。
运营日常可以处理未生效排期、公告更正、已结束内容和用户异常；按周比较不同内容及位置的触达和有效使用，按活动周期核对承诺与成本。这里定义工作能力，不创建自动任务或发送消息。
5.3 前端展示位目录（Proposed）
| 展示形式 | 适合承载 | 交互要求 |
|---|---|---|
| 公告条 | 维护、故障影响、功能更新等简短通知 | 可进入完整公告；服务恢复可更新状态，不能用营销占满关键通知位置 |
| 横幅／运营卡 | 新客计划、阶段促销、产品活动 | 标题、利益与条件、明确按钮；尺寸与条数遵守该位置规格，无内容收起 |
| 场景提示 | 当前模型、工具、资源不足或相关能力的说明 | 只显示与当前操作有关的内容；原任务状态和操作优先，提示不自动更改模型或购买主体 |
| 活动与公告入口 | 活动列表、参与历史、公告列表和详情 | 可按产品筛选；结束活动与本人历史分开，公告不伪装成待领奖任务 |
| 弹窗／站内消息 | 需要较强提示的已核验消息或获准营销 | 默认避免重复打断；可关闭、限频、键盘可用，不能把关闭理解成已读或同意条款 |
每个位置由产品维护归属、所在页面、可展示内容类型、条数、图片／文字规格、设备与语言支持、点击形式、留白与失败处理，以及可用状态；位置是否可用必须与前端实际承载能力一致。运营在范围内维护内容、顺序、排期和启停；新位置或新的交互形式需一次产品接入，以后日常投放不再依赖代码发布。后台可停用位置；删除或改版前应提示受影响排期并要求处置，不静默把旧投放迁到另一位置。
内容、业务对象、投放三者分开。 同一公告或活动可被多个位置引用，不复制预算、优惠或领奖资格；同一位置可排多个时段，按确定的优先级和冲突策略选择。草稿素材不可投放；引用的活动或商品若结束／停售，停止新的购买引导，已参与者仍可从历史查看原权益。
建议服务影响通知使用独立公告位置，营销使用运营卡；必须共用时，明确采用“服务影响通知 → 重要产品公告 → 营销内容”的默认顺序，并允许获准角色维护同类优先级。相同优先级按固定排序，不随机跳动；界面明确一个位置最多显示多少条。同一营销计划在多个位置合并限频、去重，并受产品整体弹窗上限约束，不能每个计划都只展示一次却连续打断用户。
无匹配内容直接收起；缺少当前语言时只按已配置且兼容的语言回退，否则隐藏。获取投放失败不阻断创作、充值或支付，不显示空白广告壳；缓存只可展示仍在有效期且符合当前范围的内容。撤回及紧急通知的生效时限须在接入验收前明确并验证，不能用无限期缓存规避下架。影响调用能力的真实服务状态由原业务准入决定，公告不能代替服务判断。
5.4 公告与跨产品投放（Proposed）
公告中心支持分类、标题、摘要、正文、适用产品／模型／功能、重要程度、发布时间、展示结束时间、置顶、语言、阅读状态与修订历史。公告可独立发布，不要求绑定促销、商品或奖励；已结束展示的普通公告可在有权限的历史列表查看，撤回的错误正文改为撤回说明，避免旧链接继续误导。重要事实更正发布新版本并给出变更说明，不为了重新曝光悄悄重置已读。
全站公告归平台，产品公告归相应产品；统一后台提供集中维护入口。已有产品公告仍保留唯一原文与治理责任，在统一后台经产品授权编辑或引用；投放引用已发布版本，原文更新提示运营重新预览受影响位置，紧急撤回联动停止展示。不因“统一公告中心”另存一份可独立修改的正文。公开公告和登录／人群限定公告分别控制可见性，详情页与列表执行相同范围。
曝光、打开、已读、关闭和明确确认是不同状态：曝光不等于已读，关闭只控制再次提示，明确确认只在必要业务场景定义；广告不能要求强制确认。建议公告详情打开且正文加载成功后记为已读，同一用户、同一公告版本跨产品同步；团队限定公告仅在相应团队上下文生效，成员阅读不代表全队已读。具体阅读口径在发布与报表中一致说明。
跨产品活动先确定一个归属、业务规则和总预算，再选择获准目标产品及位置。各产品可制作适配素材，不能擅自改奖励、价格或资格；平台员工也须获得目标产品投放权，不能仅有全域报表权限就占用所有前端。分别展示商品归属、内容归属、展示产品、成交入口和实际使用产品的效果；同一笔收入只计一次主归因，不能因 Console 与 Studio 都曝光而重复算收入。
从 Studio 点击活动进入 Console 时保留安全的目标和来源信息；重新登录、切换账号或团队后重验可见性、参与及购买资格。不给无权团队成员自动跳成个人购买，也不因前端能看到入口就授予跨产品使用权。
每个产品接入需共同验收“后台空间与权限 → 展示位目录 → 内容／业务与投放发布 → 实际前端 → 阅读或参与购买 → 使用与效果回读”，覆盖排期、冲突、账号／团队切换、撤回、语言、窄屏和加载失败。详见 FS 的分产品展示规则与 A64～A77。
6. 购买、活动与生成的链路
购买未知时只查原订单/原请求；支付重复、乱序或返回页刷新不能重复发权益。生成服务读取同一 grant/窗口，不在产品扣一次、平台再扣一次。Model operation 已覆盖模型消费时，不再额外建非模型 operation 收取同一费用。真正的非模型收费另用平台原操作接口。
活动资格与奖励也只在 Platform 保存一次：核验事件 → 原参与/领取请求 → 实际 grant 或待审核奖励 → 查询原发放回执。客户端给出的“生成成功”“首次使用”或金额不能作为资格事实。相同事件重复投递不多发；同一用户能否参加多个活动按各活动已发布资格与叠加规则判断，当前设计不默认批准所有优惠叠加。
7. 产品业务事实进入全域记录
平台模型终态与产品业务终态分开。一次 Agent Run 可能含多次规划/生成操作；一个视频可能已成功计费但尚未保存为素材；上传或导入素材也不是一次付费模型生成。Platform 要覆盖这类业务使用，需要产品提供授权业务摘要，而不是只读模型账本。
在现有 PostgreSQL/应用内使用持久 outbox/inbox 或等价可靠机制，不以新消息中间件为首期前置。产品业务状态提交与待投递事件同事务；Platform 按可信产品及唯一事件 ID 去重。事件至少关联平台用户、产品业务任务/父 Run、事件版本、原 operation 列表、业务状态与必要结果数量/引用。产品归属从服务凭据取得，原操作须属于相同用户和产品；不能接任意 operation_id 再关联到别人的资产。
纯业务上传、导入、保存和父Run无需伪造付费操作。新任务先由产品凭据与本人平台会话取得不可变任务授权；有本地账户的产品须先显式绑定双方已认证身份。授权固定用户、产品、任务类型、父Run与原发生时间，接口不接受调用方选择 user_id。后台只从原Agent Run授权派生属于同一用户和产品的子任务，或从原generation授权派生同父Run的save；save授权不能再派生任务。原授权已签发但本地事务失败时，精确重试采用平台返回的原时间及授权，再与业务事实一起落盘。
operation_ids仅填写确实属于该产品和用户的Platform原操作；产品自身task/run/attempt的稳定编号另存 source_call_ids。管理员端和用户端均可按原产品调用编号联查相关业务尝试，真实Platform操作仍联查其原详情；产品私密内容继续由来源产品授权读取。显式重新执行产生独立业务尝试，worker接管、轮询与事件补发保持原尝试。
产品事件与业务状态使用同一PostgreSQL事务；File适配器使用同一原子文件封装，临时文件及目录同步，并以进程身份和锁令牌保护写入。投递器使用持久租约、超时、退避、失回执精确重投及到期接管；确认只接受当前未过期租约，失败事件保留供恢复。未接平台的本地模式明确显示未连接；配置接入后授权失败不提交新的业务事实，已持久待投递事实不因平台断线丢弃。Cookie和产品Key不进入事件载荷。
旧版本/乱序事件不能回退已采用的业务状态；丢响应重投原事件，平台接收失败不触发重新生成或再次扣款。双端保留水位及按业务任务定向补查/重放能力。平台自有执行/资金事实不被产品事件覆盖；产品保存成功也不能伪造平台已结算。
全域记录将业务摘要与平台操作关联，按稳定身份去重展示：父任务详情可以列子调用，但用户业务任务数和模型调用数是两种指标，不能把父 Run 和所有子操作加成同一种“生成次数”。摘要被删除/结果链接过期时仍准确说明业务状态，平台资金记录按既有留存规则保留；媒体再授权只读取原结果，不建立长期公开 URL。
8. 统计口径
| 指标 | 权威事实与维度 | 避免的混淆 |
|---|---|---|
| 人民币实收/实退 | 可信原支付/退款事实，按商品 owner 与 sales_surface 分别聚合 | 下单未支付不算实收；购买入口与商品归属不能重复合计收入；不声称已完成会计收入确认 |
| 钱包积分支出 | 已结算原消费及关联冲销，按 usage_product | 充值到账/购买套餐不是模型消费；不把原价等值和实际钱包支出相加 |
| 权益覆盖与消耗 | 原 allocation/event，分别按资源单位、来源 owner 与实际产品 | 图片、视频、积分、并行周期上限不同单位不相加 |
| 模型调用数 | 有实际派发事实的原模型 operation，按可信产品与模型，成功/失败/UNKNOWN分别呈现 | 未发送拒绝/预留后释放单列，不算真实调用；恢复、轮询、SSE重连不新增调用；免费派发也有记录；实际发送attempt另保留核对，不能去重丢事实 |
| 业务任务与产出数 | 产品父任务及可信结果，任务/张/条分别统计 | 多图一次请求不是多次 API 调用；项目导入不冒充生成 |
| 订阅数与期限 | 稳定逻辑订阅ID、原购买/续订覆盖段及权益状态 | 未付订单不算生效订阅；同模板续订不重复计实例，原订单/窗口仍保留；模板停售不让已购订阅消失 |
| 活动参与/领取/发放 | 原参与、领取、实际 grant 各自状态 | 参与不等于领取，领取未知不等于奖励已入账 |
同一查询页的明细、图表、导出采用相同时间区间、用户范围及产品维度；支付按支付事实时间、消费按原消费时间、业务事件保留发生与接收时间，不能按通知重投次数统计。沿用现有 UTC 查询边界与具体订阅周期定义，界面显示时区；旧 Asia/Shanghai 预算和订阅原锚点继续保留其规则。跨产品用户数按平台用户 ID 去重，产品人数之和不当作全域独立用户数。
统计同步有延迟时显示最后更新及待同步状态，不填假零；客户明细仍能通过原标识核对。业务字段、事件版本及权限撤销继续全链检查。统计索引只作可重建投影，不能成为钱包或权益扣减入口。
9. 当前代码的复用与缺口
本轮只读源码盘点，未新跑业务验证：
| 当前入口 | 可复用 | 新需求仍缺 |
|---|---|---|
model/platform_accounting.go、service/platform_customer_queries.go、platform_media_records.go | operation 的可信 Product/BusinessTaskID、本人产品筛选与资金/生成投影 | 产品业务摘要、全部任务类型、可信本域委托查询与经营维度 |
model/platform_entitlements.go、service/platform_entitlements_allocations.go | 权益的 AllProducts/Products、grant/window/allocation 与原资源恢复 | 商品/活动 owner、分产品运营、可用范围投影及授权接口 |
service/platform_entitlements_subscriptions.go、platform_subscription_payments.go | 模板 CAS/发布/暂停、原购买快照、幂等履约 | 运营归属/销售入口快照、真实新订阅实例的统一查询、产品售卖资格 |
service/platform_referral*.go、migrations/0010_platform_referral.sql | 既定全域邀请归因与两类奖励 | 多活动定义、各产品资格/参与/领取/发放；不能修改原全域一次奖励范围冒充扩展 |
service/platform_identity_authorization.go、运营 controller | 平台与产品角色基础 | 运营对象归属、细分产品动作、产品凭据和员工联合校验 |
| Studio 现有商业后台 | 本域界面与既有创作业务可以作为迁移来源 | 原账户/钱包/套餐/活动写入必须逐项改走平台后才停用 |
当前媒体浏览器接口和开发者 Key 接口主要以 API 为来源；不能用它们让 Studio 冒充 API 来绕过产品委托缺口。文本已有产品委托接口，媒体创建/查询/恢复/结果和业务事件仍须接独立可信产品作用域，按 G-07 与 T-13 联验。
10. 实施顺序与交付门槛
详细任务在 T-13，不重新搭建 Core/Edge/Contracts 或独立运营服务。
- 归属与权限基础：商品/活动归属、销售入口、发布范围、原快照与产品动作接口；同步正式契约和有显式旧对象归属政策的迁移。无归属对象不能自动开放给任意产品员工。
- 订阅与活动权威：复用订单/履约/权益，补统一订阅实例和多活动资格/领取/发放；保存与查询均有本域边界及原回执。
- 全域与本域视图：Console/Admin 和产品委托查询同一权威，产品筛选在服务端；收款、消费、权益分口径。
- Studio 最小闭环：本产品员工发布套餐/活动 → 用户从 Studio 或允许的 Console 入口购买/领取 → Studio 模型消费 → 双端记录/资源一致；媒体未验时以本地夹具完成，不上线收费供给。
- 业务摘要和恢复：可靠事件、父子任务关联、乱序/重启/断线补查、结果保存失败原结果恢复及内容权限验收。
- Drama/Commerce 复用：同一实现、各自作用域；完成跨产品权限与资金对账后逐项退出旧商业写入口。
至少覆盖：跨入口同商品一次购买/履约、Studio 专属权益不能被 API/Drama 使用、获准跨域权益有来源解释、员工跨产品对象直调拒绝、暂停保留历史、双端查询一致、并行套餐/窗口竞争、部分成功和 UNKNOWN 原占用、原资源退款、重复/乱序事件、业务保存失败不重生成、人民币/积分/次数去重及用户切号/撤权。编号与预期见 AC-16。
本设计不表示平台首发、真实媒体供应或产品改造已完成。T-13 在相应分项验收前保持未实现；现有 T-04～T-12、G-07 及生产门槛继续独立判断。