DEV-X-01-001 总体架构
当前平台与Studio主链、目标创作底座、数据权属和多应用升级入口
更新于2026-10-15。当前创作产品是Studio与Drama（ADR-0022）；Commerce为原型，未来平级复用独立OceanWay Runtime。旧Admin、旧Console仓已废弃，不是迁移前置；本页Console/Admin指Platform内现行界面。 10-15具名记录已有Studio统一登录、文本、异步图片、基础视频、会话和免费Canvas，完整功能与规模仍按各切片验收。
自建Higgs类网站的完整方案见多应用升级：登录态服务证据、详细边界、演进顺序、开发任务与验收。下图区分当前主链和未来复用方，不代表全部目标已经实现。
当前主链与目标复用
图片/视频走现行供应决定（原 decisions 页已归档，仅作历史参考），旧独立Media Gateway不作为本轮已验主链。它已有的对象转存/队列/恢复实现可作为工程参考，但不能算新链已集成，也不因本方案重新启用。
目标：独立公共运行时
同日用户进一步确定共用Agent脱离Studio命名和长期工程归属。OceanWay Runtime 作为独立执行工程，供Studio、Commerce及其他获准组件接入；独立Runtime现已实现中性PG核心、Artifact/ResultSink与串行Agent，并完成免费工具到候选回执的隔离验证；产品现行链仍在Studio，尚未交接Writer或接入新Runtime。Runtime内包含direct、Workflow和Agent共同使用的Job/产物/恢复与媒体模块，Platform继续持有授权、唯一资金和原供应操作。
B1建立独立模块/合同/构建边界；Studio可先同进程加载，随后交接独立API/Worker。切换按原身份、版本、租约和单Writer执行，旧任务排空或明确兼容接管。产品UI是否同仓/同部署与Runtime独立分开决定，详见决策索引（原 decisions 页已归档，仅作历史参考）。
共用Agent可嵌入各平台的工作区、侧栏或页面区域，Runtime自有Session/Thread/Run与共同Job；每个AgentSurface按正式调用方绑定上下文、工具和结果接收。参考Higgsfield与Krea的模式及全平台范围见Agent接入设计，不以共享账号自动开放跨产品上下文。
职责边界
| 项目 | 唯一责任 | 不承担 |
|---|---|---|
| Platform | 统一账号/会话/角色、Key、销售模型目录/能力准入、价格/订单/支付/权益/钱包、Run授权、收费Operation、原单和资金恢复；现行Console/Admin | 通用创作Project、Canvas图定义、产品素材域与完整私密正文 |
| OceanWay Runtime（核心已实现） | Tool、Job/JobSet/Attempt、Workflow/Agent、Artifact、持久事件、Worker及可复用媒体模块；首期可嵌入加载 | 产品领域对象、身份/资金/销售价权威，Studio/Next App依赖 |
| Studio | 当前创作应用、专业工作台、项目/对话/Canvas、领域候选、上下文与结果接收器；Runtime首个消费者 | 独立账号、钱包、销售价计算、供应路由和客户API Key |
| 未来Commerce模块 | 从原型提取领域schema、上下文、模板/工具、候选采纳与专业界面，经Runtime SDK/适配器接入 | 复制任务引擎、上传队列、资金体系；把原型mock当成生产服务 |
| Site | 品牌、发现、公开内容和受控产品入口 | 付费执行、私密任务/素材权限或资金权威 |
| uumi / 当前媒体供应 | 供应服务、渠道、采购成本和上游原任务 | OceanWay终端用户销售钱包与创作领域 |
| Design / Docs / Infrastructure | 设计规范与消费版本 / 需求与架构正文 / 制品、部署、监控、备份恢复 | 第二套业务或资金事实源 |
uumi原有企业客户的账号、价格与账务独立保留。供应服务用自己的服务身份面对平台，不向产品浏览器泄露采购凭据。
数据与执行权威
| 对象 | 权威归属 | 关联方式 |
|---|---|---|
| 用户、会话、员工/产品权限、Key | Platform | 可信Host产品凭据与当前会话/Run核验，不信任客户端subject |
| 余额、销售价快照、订单、订阅、资源、资金流水 | Platform | 每次收费沿唯一Operation；产品只读精确金额和状态 |
| 产品商业运营 | Platform保存统一商业对象；产品保留获准本域运营界面 | 受限接口核owner/action；中央视图与本域视图同对象 |
| Project、文档、Canvas、领域业务对象、候选/采纳 | 对应产品工程 | 用户/产品/creator和业务对象版本共同校验 |
| Job/JobSet/Attempt、Workflow/Agent执行、Artifact | OceanWay Runtime；切换前沿用原Writer | 稳定ID、授权作用域、原Operation和持久交付回执 |
| 产品上传、长期媒体、版本/派生与引用 | Runtime可复用媒体模块受托登记；产品持归属/权限/业务引用，按批交接 | 稳定资产身份、来源Job/Operation、授权读取；已有local/object代码继续复用 |
| 平台API结果与原调用receipt | Platform | 原Operation及输出身份；与产品长期资产分域，可引用/复制但不共享删除权 |
| 业务摘要与统计 | Platform只读投影，原业务事实留产品 | 事务outbox、稳定事件ID/对象版本、原operation关联，事件不触发收费 |
| 供应原任务与供应结果 | 现行供应服务 | 平台适配器持久原task/trace/合同并核对恢复 |
目标OceanWay Runtime将通用Job/JobSet/资产与Studio、对话、Canvas接收器解耦，独立工程不导入具体产品。当前媒体task仍依附AgentRun，保存仍依赖Studio对话；这是升级任务要解决的差距，不是已经完成的新架构。
典型调用与恢复
开发者以本人Key调用Platform；Studio以可信用户/产品授权调用Platform。平台核模型/规格与当前适用资源，建立原操作/价格快照，唯一派发给供应，再按可信用量/输出结算。产品保存业务结果与素材，不能以摘要或结果保存再次记同笔模型消费。
当前Studio媒体入口经过文本Agent规划。目标直接工具可按明确参数执行，固定流程和开放式Agent分别编排同一Job；纯媒体后台Run仍需扩展正式初始意图合同，不能用产品Key、恢复凭证或伪造LLM步骤绕过授权。现行行为变更先同步产品规格。
UNKNOWN、提交丢失或费用未知只核对原调用，不换幂等键重新生成，不猜零退款；保存失败只重取/重存原输出。新工作流必须继承这些机制。产品非模型动作只有在已授权发布收费项时才能走平台记账，不因示例含合成/导出就新增收费。
登录、存储与运行范围
10-15已核对Console与Studio在受控 oceanway.tech 主域共享会话、精确Origin与固定回调；这不代验未来原型子站SSO。登录与角色、对象权限分开。退出/改密不撤销已授权Run；资源不足暂停、用户主动继续；停止阻止后续调用，已提交媒体继续结算保存。
当前运行是单主机的Platform与Studio应用/Worker；Studio使用独立业务数据库但共用旧PG服务，媒体挂本地目录。已有S3 provider代码不等于当前生产链已启用对象存储。 Platform native大结果还有16MiB/PG Base64门槛，产品上传有20MiB/全量Buffer路径；数据面、故障域和容量必须独立验证。
详细运行版本、具名能力及未通过项见当前进度和运维。本方案不承诺具体QPS、用户规模、内部微服务数量或未经实测的恢复目标。