RT-05-004 Studio Runtime 上线收口证据

记录更新至：2026-10-16 11:57:35（北京时间）。Platform 与供应侧原单退款契约修复均已实际部署；依用户明确批准的卖方补偿政策，供应侧于 11:39:03 沿原单正式事务全额退回 90000 source_quota，唯一退款凭证已取得，保留原扣款日志。11:40:19 已核对 Platform 原图像 18 points 释放一次、冻结归零，Studio 原 Run 失败结案且恢复完成；Planner 0.0164 points 结算保留。同一原请求重放没有新增调用或费用。上游执行及最终收费仍未知，尾部成本由 OceanWay 承担，不能据退款声称供应商未执行。随后获准的独立新意图已于 11:44:09 完成真实生成，原图、Artifact、未采纳候选与产品回执一致，实际浏览器预览/下载/刷新通过；新增 18.0266 points、累计已结算 54.1192 points，在原 US$10 上限内。完成后 333.153857 秒实际稳定观察已通过，11:51:21 已解除临时外部写保护、恢复同一单账号生产灰度；原 Nginx 配置精确恢复，App/唯一 Worker、数据库和准入范围未变。解除后至 11:57:13 的 351.591182 秒独立公开观察也已通过，原/新快照与账本保持、canonical 健康，单账号灰度继续。原失败生成没有重发。

本轮只收口 Studio 对话的现有文本与文生图切片。通用 SDK/Panel、Canvas 第二入口、独立 Runtime API 服务及 Drama/Commerce 实际消费仍按实现计划交付；完整 G2 与整个 UP-T 工作包不因此结项。工作包状态唯一入口仍为开发清单。

原产物与对话投递分态

付费生成成功、原产物保存成功、候选进入对话和用户采纳是四个不同事实。原 Artifact 已保存，但目标对话内容版本变化时，产品 Run 进入 delivery_pending，并单独公开 deliveryState。此时不再占用对话的生成槽位，也不继续自动 Planner 或生成；已有 stopped/failed 保留原终态，原产物仍可恢复。

当原件已全部保存但候选待投递时，原生 Platform Run 当前以 failed 加 delivery_pending 原因结案，这是产品交付未完成的表示；其中已成功的 Operation 仍为 succeeded/settled/saved，不能因对话投递冲突改成模型失败、撤销原结算或重新生成。

对话改名只更新标题及手动命名标记，不推进内容版本。新消息或真实上下文修改仍使原冻结目标失效。系统等待/停止摘要和恢复候选的公开文案不能自行推进内容版本，从而使同时进行的新一轮失效。

显式恢复通过产品接口完成：

恢复命令冻结目标、版本和整批 Artifact 身份。产品侧候选、inbox 与回执在同一事务提交；网络丢回执可沿原命令续读，页面刷新后仍能找回该命令。原 Runtime Delivery、Attempt、Job、Operation 与请求 envelope 保留原记录，产品恢复不篡改原投递历史，也不直接写 Runtime schema。

恢复只使用已经保存在 local/S3 的原件，不再次依赖供应原图 URL，不请求 Planner 或模型，也不创建新的模型调用授权或计费。当前用户权限仍须重新验证；跨主体、跨产品、失效目标及变化版本均须拒绝。恢复到本人其他对话须核对该目标的当前权限与版本。候选仍未采纳，不自动修改 Canvas 或领域对象。

Studio 提供保存到当前对话、保存到本人新对话及下载原图。网络异常重试沿同一恢复命令；不能每次点击生成新命令掩盖未知提交。生成已完成而投递待处理时，界面应表达“保存到对话”，不能诱导用户再次付费生成。

受控产品与浏览器回执

正式 Go Platform、隔离 PostgreSQL、真实 Studio/Runtime 与本地合成供应实际参与。浏览器受控验收当时的源码为 4060489，完成以下验证；后续 3dd3f720 增加后端恢复读取修复与 PG 断言，当前候选另含下方 Canvas 与测试夹具修复，不能将本次浏览器记录写成最终镜像已验。合成供应不是实际模型消费，以下流程未新增真实收费。

测试曾发现新对话的候选/inbox 已提交，但没有公开消息，导致 UI 空白。该失败明确阻断了当时的发布；后续补齐同事务幂等公开消息和素材关联，再通过上述浏览器刷新验证。不能只凭数据库候选存在就登记产品送达成功。

CI 与可复现制品

上一批源码 60b0762ee1cfc8006c328e48e1cffc6737de9af7 的远端 Quality 因 braces@3.0.3 开发依赖高危审计阻断，属于历史回执。本轮保留审计门禁，修复依赖源码和发布流程，不以忽略告警或删除检测宣布通过。

本次固定发布源码为 e4a4981e5feec4971c1b70956a5991896ef1c87a，Studio PR #44为 Draft。f7c6b2c 已完成业务修复及 SBOM artifact 使用 github.sha 的修正；随后 3dd3f720 修复跨目标命令提交前中断后默认刷新漏读，以及后来未完成命令遮住先前已提交回执与目标入口的问题。命令按自身目标独立核对权限，并优先保留已提交回执，相关 PG 场景补入断言。

3dd3f720 在全新隔离库完成 48/48 Runtime PG，0 跳过，其 Quality 38749151656 与 Docker 38749217909 曾通过依赖、安全、单元、Platform 178 项 PG、Runtime 48 项 PG、格式与构建步骤。随后因下方完整 Browser 失败而取消两条流水线，没有可部署镜像；此前页面的“Browser 运行中”是当时状态，不是该源码的最终通过回执。

最终源码 e4a4981e5feec4971c1b70956a5991896ef1c87a 的 Quality 38756191422 与 Docker 38756276328 均已完成并成功。独立复审绑定该完整 head，无未解决 P0～P2。各组按原报告登记，套件存在包含或重叠，不能相加为新的总测试数。

实际服务器 Docker 29.1.3 使用 containerd image store，本地镜像 ID 与容器 .Image 为上述 index，而非 amd64 config。已分别重算原始 index → 唯一 linux/amd64 manifest → config 的 SHA，核对源 revision、非特权 node 用户及实际容器平台描述符；Compose 精确固定该实际 image ID，没有将三种 digest 混用或接受任意匹配。身份差异与 Docker 官方实现对应。

完整 Browser 阻断与定向修复

4060489 的补充完整 Browser E2E 实际运行 44.3 分钟：126 通过、19 跳过、9 未运行、3 失败。3 项失败分别涉及 Canvas 首次文本编辑没有 PATCH，以及视频桌面静音、时长控件隐藏。运行时长本身不是失败原因；这些实际失败阻断发布，不能被其他已通过子集覆盖或从历史中删除。3dd3f720 未修改这两条路径，因此取消其发布，先做定向复现和最小修复。

该增量仅修改 Canvas Hook、两份 E2E 与 changelog 共 4 个文件，没有新增 timeout、skip 或资源策略。定向修复不替代当前完整 head 的全量 Browser 和发布流程；所有上述测试新增真实收费为零。

先前 f7c6b2c 的 Quality 38746573243 与 Docker 38746714880 已取消，未产出可部署镜像，不能登记为通过。

早期 b2f3139 的流水线已通过 audit/security、单元及旧 178/新增 47 项 PG，但它早于新对话公开消息修复，不能代替最终提交的门禁。最终数量以同一提交的完整报告为准。单元测试子集、SSE 子集和包含这些用例的完整套件不能重复相加；旧 Platform PG 与新增 Runtime PG 是分开的套件。

独立文档站同时将自身 SBOM artifact 名称改为 oceanway-docs-sbom-${{ github.sha }}，修复同类手动分支发布问题；现行 main 发布路径原本不受分支斜杠影响。该一行发布修复不改变业务验收结论。

预发布、真实生成与灾备

预发布已实际运行上述最终镜像，使用独立 Compose 项目、受限非 superuser PostgreSQL 角色、新数据库、独立 local 媒体目录与唯一正式 Worker。应用仅由服务器 loopback :18092 提供；私有 TLS relay :18443 使用已登记的 https://studio.oceanway.tech canonical Origin 与受信 CA，真实 Chromium 核对实际连接，应用与数据库健康检查通过。该预发演练期间，生产入口 :18091、旧 :3000、生产库、媒体和 Platform 均未参与切换；后续生产执行另见下节。

上述预发验收使用 Platform aa67267a3ea8970d837e6eda83e5aac6d0ffa3d7，复用其正式用户授权、Run、Operation、准入、原结果与账务接口；后续 Platform 原单恢复修复部署另见下节。Planner 配置与当前生产一致：gpt-6-luna、maxSteps=4；早期 maxSteps=2 只属于历史实验。媒体实际 provider 为 local，备份前同时检查数据库实际 object storage 设置与备份 manifest 均未启用 S3；本轮不将 local 恢复回执外推为 S3 环境灾备。

已有十份旧 schema/运维源文件与现行生产对应源码相同；新增 Runtime migration 仍实际安装了既有媒体表的 GC 引用保护 trigger，不能称为完全没有 DDL 增量。首次正式请求在 Platform grant 前创建 Runtime schema v5、请求认领和新旧 Writer 准入围栏，没有伪造业务行或迁移标记。

同一原请求的真实闭环

本轮由唯一验收执行者提交收费请求；全程使用冻结的原请求身份，其他操作不创建新需求。先停唯一 Worker 提交原请求，再将新准入关闭为 flag=0 并重建应用：原 Run、scope、requestWriter claim 与 grant 的完整字段前后一致，期间 Planner、媒体调用及 Job 均为零。随后原正式 Worker 接续同一请求；已实际观察媒体进入 sending 且绑定原 Operation，再对唯一 Worker 正常发送 SIGTERM 15，退出 0、无 SIGKILL、无 OOM，重启同一 Worker 后原请求完成。该回执是正常停止与续跑，不声称测试了硬杀、数据库崩溃或供应故障。

应用停止修复

离线备份前，实际发现镜像默认 sh -c 启动没有向 Node 转发 Docker SIGTERM，备份因无法确认离线而未开始；该失败未登记为灾备通过。冻结 Studio 源码与镜像保持上述 SHA/digest，Infrastructure 仅增加对应应用的三项启动配置：working_dir: /app/web、command: [node, /app/web/server.js]、PORT: "3000"，使 Node 成为 PID1，与原程序目录、入口及端口一致。Worker 与其他运行凭据不因该 override 改动。

严格 preflight 及负向保护 15/15 通过，独立静态复核无 P0～P2。最终镜像按此配置启动后，纯 GET 核对原 Run 仍完成、原 PNG hash 不变，再实测正常 Docker SIGTERM 15，0.448 秒退出 143（128＋SIGTERM）、无 SIGKILL、无 OOM。退出 143 如实记录，不改写为退出 0；测试时没有在途业务，不声明活跃 HTTP drain 通过。

最终镜像正式备份与恢复

预发演练结束时，原预发布 App/Worker 在离线备份后有意保持停止，原库与原件保留；第二恢复 App 仅由私有入口提供核查，保持 flag=0、无 Worker。上文健康通过对应各演练阶段，不表示此刻主预发仍在运行。

恢复核验中两次只读 Platform TLS 连接在建立前出现 ECONNRESET，保留原日志；后续原请求核对和重放均已成功，没有更换原请求、创建新生成或改变后台逻辑。上述实际备份与恢复没有新增模型调用、重放资金或修改现行生产服务。此前工具层 120 表/819 行/67 触发器回执仍是独立夹具历史，不替代本次真实预发布的 120 表/98 行数据。

运维交付固定 Infrastructure 完整源码 b4dc5c95f2a7235a1a8d1555e87a8d035d902118，见 PR #23及该提交的生产 review packet。15/15 保护测试与 diff 检查通过；独立 AI 技术复核绑定上述 Studio 与 Infrastructure 完整 head，本轮审查范围无未解决 P0～P2。Governance 38774176231 已成功；此前 metadata 检查因 PR 说明缺少仓库要求的模板标题失败，补齐说明后在同一源码 head 的新事件通过，没有放宽源码或工作流，失败历史保留。这些回执只说明预发演练与技术复核；实际生产执行见下节。

单账号生产灰度执行与当前写保护

用户于北京时间 02:09 明确确认 Studio e4a4981e5feec4971c1b70956a5991896ef1c87a 与 Infrastructure b4dc5c95f2a7235a1a8d1555e87a8d035d902118，要求按既定操作包仅向现有验收账号灰度，并完成上线后验证。本次按该授权执行，名单保持一个账号；用户确认与独立 AI 技术复核分别记录，AI 复核只代表其技术范围。两份发布源码与上述签名镜像保持冻结。

以下均为 canonical https://studio.oceanway.tech 的实际生产回执，时间为北京时间 2026-10-16；预发与本次生产备份分别记录。

切换后独立核对了旧分区原 7 个 Agent、14 个 step、7 个 media、7 个 attempt 的全部原身份及状态，7 个原件 hash 相同；旧 :3000 原 44 条任务记录及 App/Worker 保持。新增 Runtime schema 1～5、唯一原请求认领及原媒体 GC 保护 trigger 已实际存在。这些保全回执本身不能消除新媒体原单的 UNKNOWN；后续正式补偿与消费状态分别见下节。

stage 0 的操作校验曾误读 readiness envelope 的字段层级；实际后端健康，随后经独立核对，只读确认同一容器的 data.ready，没有为消除校验错误重建容器、重放 schema 或提交模型需求。

原单退款契约修复与部署状态

Platform 修复固定为 ff8eff69287c5e6488d46c3d02f14e0690598bba，独立 AI 技术复核在本轮范围内无未解决 P0～P2。隔离 PostgreSQL 16.14 的 31 项顶层测试全部通过、0 跳过，10 份源码及契约文件 hash 与该提交一致；范围包含图片原单、原结果恢复、scanner、媒体及视频拒绝回归。共享供应回执示例在两仓逐字节相同，并经实际 loopback HTTP 消费测试。以上测试使用本地夹具，不是真实供应退款。

该 Platform 版本于 10:30:18 完成应用部署，固定镜像为 sha256:02dc3e0f33f566eaa6ab51535c8e351c3ef9acbfe0c9a297e919bb7346ab92cc。只替换原 Platform App 并配置已有 Studio 产品 key ID 的恢复映射；PostgreSQL、Redis 及 Studio 原 App/唯一 Worker 保持。10:31:39 Console 临时生成门禁解除，原站点与有效 Nginx 配置逐字节恢复；Studio 外部写保护保留，flag1 与单账号范围未扩展。10:38 独立只读复核实际镜像、源码标签、健康状态、映射与配置 hash 通过，没有生产资金动作或模型提交。

部署前完成 Platform 在线只读 PostgreSQL 快照、独立 Redis RDB 和 28 份日志前缀保全；加密离机后在全新本机 PostgreSQL 18.4/Redis 8.6.3 实际恢复，120 表、155722 行、每表/schema/序列摘要与归档对照通过。Redis RDB 字节与加载通过，期间自然过期项单独记录；这不是 PostgreSQL/Redis 原子一致快照，也没有覆盖源库或启动恢复应用。

远端 CI 38838043357 的后端通过，前端 typecheck 通过，但单个测试 Job 在 10 分钟上限取消，不能登记该次全量前端成功。后续提交 54d8eee517c2d5846e51876155d2fcc4e0ef39e7 只调整 CI：四个 Vitest 文件分片、fail-fast: false，保留原聚合检查名且必须全部分片成功；测试断言、既有超时和运行源码未改。实际 sequencer 发现的 306 文件划为 77/77/76/76，无交集、无遗漏；发现清单不是测试执行。新 CI 38841253923 在 Job 步骤启动前因账号付款/支出限制阻断，未修改组织账单、额度或测试门禁。

本地 macOS、Bun 1.3.14/Node 24.6.0、Vitest 4.1.10 的首次四分片为 3618 通过、2 失败、0 跳过：viewer 首个元素查询触及既有 1 秒等待，key-expiration-picker 一项触及既有 20 秒测试上限。两文件隔离复验 46/46 通过后，完整失败分片 3/4 以单 Worker 顺序复验，76 文件/856 测试与 76 文件/1116 测试分别全部通过；连同原成功的 1/2 分片 77 文件/859 测试与 77 文件/789 测试，最终覆盖 306 个唯一文件、3620 个实际断言通过，0 失败、0 跳过。独立复算每份报告 hash、全部断言/文件状态与发现清单，无交无漏；没有只重跑两项后代称全量通过，也没有修改断言或既有超时。首次失败历史保留，不能称首次无失败或外推为远端 Linux CI 成功。实际运行候选继续固定为上述 ff8eff6，其业务源码与仅 CI 子提交相同。

新的消费契约沿原 request_id、task、精确模型及冻结连接/凭据读取供应方的原单审计回执。回执须证明 source_quota 中 charged_quota == refunded_quota > 0，并持久保留审计摘要、时间、固定政策与责任字段；Platform 才能沿原 Operation、原价格快照和唯一记账服务释放同一笔预留。供应采购单位与客户售价分别核对。部分退款、错单位/政策/责任、跨原单复用、503 或零用量错误日志均不能释放占用；释放中断、并发查询及同原请求重放必须仍只有一次释放、零次新增模型提交。

其中卖方补偿政策明确保留 provider_dispatch=unknown：供应方真实全额退回原买方扣款，并承担上游可能继续发生的成本。它可以证明原买方已获退款，不能据此声称供应商未执行或未收费；迟到结果也不能重新扣客户款或覆盖原补偿回执。供应方本轮只发行这一补偿分支；provider-failure 分支仍须有独立核验的原供应终态证据，本轮保持关闭。

后台恢复器的已有 Studio 产品 key ID 映射已按上述部署补齐，配置入口为 OCEANWAY_PLATFORM_RELAY_RECOVERY_PRODUCT_KEYS_JSON，值为已存在且有效的产品凭据 ID，不含 secret，不增授调用权。隔离 PG 已验证缺映射时继续保留占用，补上同一合法产品 key ID 后由 scanner 续办同一笔释放。供应退款前的生产正常周期扫描已沿原任务完成查询，原因由授权不可用推进为 original_media_result_pending，当时仍为 UNKNOWN/reserved、原 Attempt 恰好 1、释放次数 0；补齐映射和恢复查询本身不构成供应退款或恢复完成。11:00 canonical Studio 受信 TLS 健康与原 Run 回读通过，当时原 Run 为 paused、图像仍 running；外部无副作用 health POST 返回 503，原 App/Worker 身份不变。

供应侧实际发布源码为 bd1953d729bf667cefc6f921e96909e5ebf8ef60，资金恢复与正常停止基线为 f81db3e5fec032a8ff705806f9c0ad90e1945d8e，两次独立技术复核在已审范围内均无未解决 P0～P2。先前实际预检发现无限 Key 剩余额度可为负、存量余额使用 bigint，旧草案错误使用 int32 余额边界；现按原扣款的逆操作处理 remain+q / used-q，保留原无限额度标记和合法大余额，使用受检加法防溢出，不重置余额或虚增补偿。真实隔离 PostgreSQL 16.14 与 SQLite/HTTP 验证为 19 项顶层、33 个含子测试通过事件，0 失败、0 跳过，不能称作 33 项独立 PG 顶层测试。官方发布脚本另补固定 App 的锁内 TERM、无限等待且无自动 SIGKILL 回退、退出/无 OOM 核对及私有文件权限；五项停止协议夹具通过。

首次 f81db3e 官方生产发布中，候选本机健康检查已通过，但维护机到公开状态接口的 TLS 握手失败、尚未取得 HTTP 回应，官方流程据此正常回滚旧 175ebec 镜像并恢复原 Caddy 配置。旧 App 与候选两次停止均实测 TERM、退出 0、无 SIGKILL/无 OOM，没有恢复源数据库或执行退款。后续 bd1953d 仅为这个无副作用的公开状态 GET 增加两次有界重试，保留 CA/SNI 验证，完整回应必须为 HTTP 200 且 JSON success=true；四项隔离回归通过，不重试生成 POST。

bd1953d 沿官方入口实际部署成功，固定镜像为 sha256:08c547f50975774efd4195f12baea104b4762c07f52f55c4aa2163c4288f39c5，维护机公开状态 GET 的严格 TLS/HTTP/JSON 校验通过。旧 App 正常 TERM、0.641 秒退出 0，无 SIGKILL/无 OOM；原 Caddy 全配置于 11:22:44 精确恢复，原自动渠道测试单项设置于 11:24:34 恢复为 true，原 60 分钟周期与 passive recovery 模式保留，其他设置未变。恢复时原调度时间已到，随后按既有自动调度执行的任务与本轮手动生成分别登记，不能声称全供应站零请求。11:26 默认 execute=false 的原单预检通过、资金及任务行无变更；它是演练，不等于正式退款。

供应源码远端仓库当前已归档，标准推送返回 403；本轮保留原 remote 与归档状态，没有强推、解归档或扩仓。上述提交为本地固定源码，技术发布使用该提交的 Git archive，26,173,440 bytes、SHA-256 3da45cbedb8f3f6bdc9603a60f94c0008e3306439d524ccb4f44749ccbd7353a，构建提取的 2458 文件与归档精确相等。官方部署退出 0 后，34 份既有用户文件的字节、权限、owner、Git 状态与 HEAD 均恢复，保留本次恢复快照，没有丢弃他人暂存。不能据此登记远端 PR、CI 或合并通过，远端维护归属仍为待处理项。

用户已明确确认该原单的卖方补偿政策：原图像 18 points 释放、Planner 0.0164 points 保留、未知上游尾部成本由 OceanWay 承担。并授权在原 US$10 累计上限及同一账号内，以独立新意图验收一次真实生成；原单不得重发。

11:39:03 供应侧原单正式退款已执行。 一次退款 POST、零次重试，在同一事务内形成唯一 journal，原扣款与退款均为 90000 source_quota，买方钱包及原 token remain 各增加 90000、token used 减少 90000。原 task 结案为 FAILURE，原 consume 整行保留；原 token 授权的公开回执已实际读取。provider_dispatch=unknown 与卖方承担未知上游成本责任均保留，没有生成 POST，也没有绕过正式退款服务手改余额或抹除原扣款。

11:40:19 Platform 与 Studio 原单结案已核对。 原 image Operation 为 failed/released，原 reserve 与 release 各恰好一次、settle 为零、冻结及本单客户已结算均为零；原价格预留的 18 points 已释放，Planner 原 0.0164 points 成功结算保存。原 Run 为 failed、recoveryComplete=true，requestWriter/Job/Attempt 各恰好一个且原身份保留，Artifact/候选/inbox 均为零，没有伪造原图或成功产物。供应 source_quota 与客户 points 分层对账，不能因两层使用同一数值字段就混为一个账本。

沿同一冻结原请求的实际重放已通过：返回同一 Run、created=false，原 Native calls 完全相同，新增模型调用 0、额外结算 0。原单失败退款与下节独立新图像分别验收，原失败请求没有改成新意图或重新派发。

独立新意图真实生成验收

在用户明确授权、实际原单退款/结案/重放和剩余累计预算核对后，同一个既有验收账号于 11:43:03 仅提交一次不同的新意图；唯一正常 Worker 自然执行，没有由验收脚本推进队列。新 Run 于 11:44:09 completed，11:44:30 首次只读终态回执确认成功；Studio、Platform 与供应技术版本保持上述完整源码和不可变镜像。

上述真实生成、原件验收、完成后超过 5 分钟的实际稳定观察，以及恢复公开入口后超过 5 分钟的独立观察均已通过，同一单账号灰度已恢复。解除后还以该账号的现有会话重新核对实际浏览器，原完成图仍可见、无错误覆盖层、console error 0，未提交新业务或模型请求。原失败单的供应执行与尾部费用未知事实继续保留。

灰度准入与停止条件

新请求同时受 Runtime 开关与显式 subject allowlist约束，默认关闭。用户已明确首批范围仅为既有受控验收账号；扩大名单须另有明确登记。已绑定 Runtime 的原请求、读取、停止及恢复不受新准入名单撤销影响，避免关闭开关后付费结果无法取回。

本次执行前已固定 CI、预发布、存储、Worker、灾备及独立技术复核回执；用户已确认上述两份完整源码并授权单账号灰度。本次确认及操作包的依据见该 Infrastructure 版本的 AGENTS 生产切流规则与 CONTRIBUTING 验收规则。灰度仍限定无附件、无 Skill 的 chat 文本与文生图；未覆盖入口继续使用原 Writer。观测重点为原 Operation 对应、在途/UNKNOWN/待保存/待投递、原产物可读、重复调用及冻结余额，而非仅观察 HTTP 健康。

生产切换已按 review packet 临时阻止生成与变更请求进入，再排空旧 Worker、核对在途和恢复状态并执行离线备份；Runtime 的 flag=0 仅关闭新 Runtime 准入，不能替代所有旧入口的维护措施。先前预发仅在所属私有恢复 relay 实演 HTTP method gate：GET/HEAD 200，POST/PUT/PATCH/DELETE 503，OPTIONS 交后端返回 404；解除后 health POST 回到后端原有 405，原 Run 与 PNG hash 前后不变。私有 relay 的启停配置均核对 Nginx 语法及 reload；该准备阶段的生产 canonical :443 完整配置仅通过 syntax-only nginx -t，尚未应用。该私有演练没有调用收费路径或修改当时生产，不证明活跃 HTTP drain；随后实际 canonical 维护启停与本次重新写保护以上节为准。

发现重复生成/结算、原件不可恢复、越权、旧 Writer 绕过围栏或备份不可恢复，立即关闭新准入并保留原单恢复器。不能通过新建 Run、替换 envelope 或恢复旧数据库后重放请求来消除告警。

费用、来源与未覆盖项

验收预算仍为用户授权的 Planner 与生成合计 US$10，使用现有余额；它是本轮验收约束，不是产品 Run 的预算表单。费用按当前原生账务回执登记：

原单结案前曾独立核对可用余额减少 18.0164 points，恰好为 Planner 已结算 0.0164 加图像占用 18；11:40 的正式释放回执将原 18 points 全额退回可用余额，Planner 结算保留，当时累计已结算仍为 36.0926 points / ¥0.360926。独立新意图新增 18.0266 points 后累计为 54.1192 points / ¥0.541192。原生产需求没有重试生成。显示换算仍采用 Platform 的 100 points/CNY 与参考 6.75 CNY/USD，不声明为市场汇率。预发备份、恢复、启动修复、原请求重放及生产部署/写保护操作均没有新增收费需求。此次退款依明确政策经原单正式事务执行，保留 provider 执行与尾部成本未知事实；没有绕过正式服务手改余额或任务表、补零、替换 envelope 或重发来消除不确定状态。

本轮 Studio 从 60b0762ee1cfc8006c328e48e1cffc6737de9af7 的独立干净工作树推进，最终源码与制品固定为上表。文档从 b067b44a69b8a0bb17f69ed6071adae3f4e423f2 的独立干净工作树更新，先前 8e9bb9a、cd30de5 的状态是对应时点的历史快照，本次继续补记实际生产切换、原单未知与写保护状态。原 Studio 57 个、Docs 35 个既有 dirty 文件的内容 hash 与 HEAD 已核对未变，未纳入本轮提交；不以文档构建替代应用验收。

原失败单已正式退款并结案，独立新意图的真实生成、保存、候选回执及完成后稳定观察通过，11:51:21 已恢复同一单账号灰度；恢复公开入口后的独立复核与超过 5 分钟观察也已通过。已通过部分只覆盖上述 Studio 首批切片，它不证明通用 Panel、Canvas 双入口、独立 Runtime 服务、第二领域消费或多副本容量已经完成，也不恢复废弃旧 Admin/Console 仓库。