PLAT-04-009 运行与发布

2026-10-13：已验证运行与后续源码边界

本次只读核对Platform应用仍为source 98f9f16971a42ed1bd6ef631b620d6a986f35b2f95d082f331b72ab3573d0822 / image sha256:426bef455ba6422d351db9c7bbbdc828870784f2c0d58b3fc7453fdfc0b560ca、Healthy；当前环境和历史制品矩阵统一见平台部署，具名业务验证、资金与恢复边界见证据索引。实际编排及配置由Infrastructure deploy/platform-staging维护。

工作树18个已存在文件差异及7个已核新增迁移源码/测试按同一证据索引交接，不能把后续dirty源码写成线上制品或继承旧版全量验收。完整T-10/T-12、持续运行指标及全量旧客户承接仍开放；本页维护下方恢复、监控、备份与发布要求。

构建与配置

单个版本关联源码 SHA、数据库迁移版本、Console/Admin 构建版本和配置清单。静态资源随服务打包，明确两前端路由和缓存策略，防止 HTML fallback 遮盖 API、使错误接口返回页面。

生产使用 PostgreSQL + Redis、HTTPS、受控主域名及 Origin/返回白名单；数据库/支付/供应/产品凭据按用途隔离。设置可信代理后再使用来源 IP，不能信任任意转发 Header。启动时校验关键配置，未配置支付与未验收模型保持禁用。

恢复与监控

Go服务已实现持久原操作巡检、租约/重试及Admin异常工作台，并在3ba4时点完成具名真实UNKNOWN恢复；具体默认参数、本地PG与实机证据见证据索引。多OS实例、长期/超处理期限和完整人工工作流仍独立验收。外部结果查询与原账务恢复不依赖浏览器在线；租约到期不是退款条件，未知执行只核原请求。

需要记录请求/操作/订单/平台任务/网关任务关联，统计身份失败、权限拒绝、上游延迟和错误、未知执行、冻结到期、结算/退款失败、支付异常、数据库及恢复队列。日志不包含完整 Key/Cookie、支付签名和可访问私密结果的 URL。

现有默认扫描30秒、租约90秒、异常观察120秒；具名联调阈值30秒、负责人UID1保留当时配置，不作为正式SLA。生产待核对时限、通知渠道、负责人交接与超期处置继续T-10验收。Admin人工处理走统一幂等记账服务并审计，不能靠SQL直接改余额结束事件。

核对与备份

核对余额/冻结与资金流水、支付到账与订单、模型用量与快照、Key 额度与用户资金、网关任务与平台操作。
对不一致记录原证据及修复动作，修复日志不能重复扣款，退款引用原消费。
备份数据库、必要配置和版本元数据；密钥备份采用受控渠道，不写 Git。
在隔离环境实际恢复，核对资金/任务/恢复状态。目标恢复时间与数据丢失上限待确定，不能仅写“已开启备份”。

发布步骤

满足首发 P0 验收，确定支付/精度/身份/异常政策，记录禁用的可选能力。
固定构建和迁移，测试环境演练新装、升级、重启、恢复与深链接。
备份并核对当前状态；明确迁移兼容窗口及需要停止新付费操作的条件。
发布后检查身份、Key、已启用协议、订单查询、余额与恢复队列；真实付费冒烟遵循授权。
记录版本、时间、环境、证据和异常，确认后再切换产品与客户入口。

回退边界

代码回退必须与数据库兼容。破坏性迁移不能仅重启旧二进制；先停新付费执行、保存正在执行的操作和订单事实，再按演练的兼容/前向修复方案处理。恢复历史数据库可能丢失已发生支付与消费，必须先核对外部事实，不能自动覆盖为旧余额。

上线、生产密钥变更、真实支付、客户迁移和正式域名切换由对应实施任务单独执行；本文档任务没有完成这些动作。