站点与产品拓扑

OceanWay 的域名不是简单的页面分类，而是不同用户意图与安全边界的入口。公共品牌站负责建立认知和转化；登录后的账户控制层负责统一上下文；各工作台负责完成具体生产任务。

域名规划

oceanway.tech、canvas.oceanway.tech、ai.oceanway.tech、api.oceanway.tech、console.oceanway.tech 与 admin.oceanway.tech 已确认。ai.oceanway.tech 是无需登录的公开开发者中心，不再承载 Developer App、Key、用量或其他客户管理后台；这些登录后能力统一进入 console.oceanway.tech/ai。

Console 是唯一客户登录控制平台。admin.oceanway.tech 只对 OceanWay Workforce 开放，是内部控制面而不是第二个客户后台，不能共享 Customer Session 或权限。漫剧、电商与文档 Host 的正式 DNS、品牌命名与部署方式仍需单独决策。

公共站信息架构

oceanway.tech 应围绕客户理解和商业转化组织，而不是复制工作台导航：

首页
├── 产品
│   ├── OceanWay Studio 创作平台
│   ├── 模型与 API
│   ├── AI 漫剧工作台
│   └── 电商工作台
├── 解决方案
│   ├── 品牌内容生产
│   ├── 漫剧工业化
│   ├── 电商增长
│   └── 企业 AI 基础设施
├── FDE
│   ├── 服务方式
│   ├── 交付流程
│   └── 能力边界
├── 案例
├── 定价
├── 文档
├── 公司与合作
└── 登录 / 进入 Console

公共页面采用“业务问题 → OceanWay 能力 → 可验证案例 → 合作方式 → 下一步行动”的叙事。模型数量、工作台功能和 FDE 不应成为三个互不关联的宣传孤岛。

账户控制层

console.oceanway.tech 是生态的“大厅”，不是第五个业务工作台。它解决跨应用的共同问题：

• 应用启动与最近访问；
• 当前个人空间或企业组织；
• Workspace 与 Project 切换；
• 全局任务与通知；
• 资产入口与共享记录；
• 钱包、订阅、资源包、预算、账单与发票；
• 成员、角色、Service Account/API Key 全局清单、MCP Connection；
• 安全、审计、SSO 与企业策略；
• 在 /ai 专业空间管理 Developer App、Environment、Service Account、Credential、Webhook、Playground、API 请求与 API-only 用量。

Console 使用“全局壳 + 专业空间”组织登录后体验：全局壳负责账户、上下文、商业和治理，/ai 负责开发者的专业任务。两者共享身份与事实源，但使用不同的局部导航和权限门禁。Console 可以在早期继续与现有应用共享代码库和基础设施，但必须保持模块边界；不得再把这些能力定义为 Canvas 的私有页面。

完整的平台组合与 Console 设计见平台与产品和统一客户控制台。

全局壳与专业空间

Console 的全局壳在所有登录后空间保持一致；Canvas、漫剧和电商等独立工作台也复用同一顶层上下文语义，但保留自己的产品导航：

[OceanWay / 应用切换器]
[当前组织] [Workspace] [Project]
                         [全局任务] [钱包 / 预算] [通知] [用户]

console.oceanway.tech/ai 在这层全局壳内切换为开发者专业导航：

模型与 API
├── 概览与快速开始
├── Developer App / Environment
├── Playground
├── Service Account / Credential
├── Webhook 与技术限额
├── API 请求、运行与 API-only 用量
└── 公开模型、文档、价格与状态链接

导航按角色与当前授权组合，不为每个人展示完整后台：个人和企业开发者优先进入 /ai；Owner / Admin 优先看到组织、应用授权和安全；Billing Admin 优先看到跨产品账务；未获得开发者权限的成员不显示 Key、Webhook 或请求日志。

交互规则：

• 在 Console 全局空间与 /ai 之间切换时保持当前 Organization、Workspace 与 Project。
• 切换到独立工作台时尽量保持同一上下文，并在目标 Host 重新验权。
• 切换组织时同步切换钱包、资产、Agent、MCP、API Key、订阅和安全策略。
• 深链接属于其他组织时先明确提示，不在后台静默切换。
• 只有一个默认 Workspace 的个人用户可隐藏层级；出现第二个 Workspace 后再展示完整切换器。
• 提交任务前必须看得见“数据属于谁、费用由谁承担、产物最终归谁”。

登录与 Session 演进

所有登录后客户空间共享 Customer Identity 与单点登录体验，但只有 Console 承载客户控制后台。ai.oceanway.tech 的公开内容不要求 Customer Session；内部 Admin Host 使用独立 Workforce Session，不参与客户身份体系。

第一阶段：当前实现与 Console 接入

• 当前客户 Host 与 Console 使用同一认证数据源。
• Session Cookie 可设置在 .oceanway.tech 父域。
• 浏览器只调用当前 Host 的同源 /api/*。
• 非 GET 请求继续校验精确 Origin / Referer。
• 登录回跳只允许受信任的 OceanWay Origin。
• ai.oceanway.tech 只发布公开内容；旧的登录后开发者 GET 页面跳转到 console.oceanway.tech/ai，受保护管理 API 不继续留在该 Host。
• api.oceanway.tech 不使用 Customer Session 鉴权；即使过渡期父域 Cookie 到达边缘，也必须被忽略或剥离。

这适合快速完成客户多站点拆分，但任何子域一旦被错误接管，都可能扩大 Session 风险。

目标态：集中身份提供方

目标态中，Console 与独立产品工作台使用 Host-only Cookie，通过标准 OIDC 单点登录共享身份。ai.oceanway.tech 可保持纯公开 Surface，点击“进入控制台”后由 Console 完成登录和上下文恢复。这样仍能实现“一次登录，多站可用”，同时降低父域 Cookie 的横向风险。身份服务候选域名与迁移时间需要在实施阶段确认。

Workforce 管理身份

admin.oceanway.tech 可以复用同一个底层 Identity Provider，但必须注册独立 Workforce Client、Audience 和 Host-only Session：

• 登录要求 MFA，并可按岗位接入企业 SSO 与条件访问；
• Customer Identity、Organization Membership 和 role=admin 不能直接换取后台会话；
• 高风险处置使用限时 JIT Grant、职责分离和完整 Audit；
• Admin Host 不进入客户应用切换器，也不向客户子域下发 Session；
• 当前 /admin 的管理员身份只作为迁移映射，不是目标授权边界。

开发者公开中心与 Console 专业空间

开发者旅程正式拆成三个责任明确、互相链接的入口：

ai.oceanway.tech（公开开发者中心）
├── 模型目录
├── API 文档与 SDK
├── 公开价格
├── 服务状态
├── 更新日志与弃用公告
└── 登录 / 进入 console.oceanway.tech/ai

console.oceanway.tech/ai（登录后开发者专业空间）
├── 概览、快速开始与 Playground
├── Developer App / Environment
├── Service Account / Credential
├── Webhook、技术限额与应用授权
├── API 请求与运行
└── API-only 用量与费用分析

api.oceanway.tech/v1（机器入口）
└── 稳定公共 API、鉴权、限流与协议响应

ai.oceanway.tech 不提供登录后的 App、Key、用量或账务页面，也不成为第二个 Customer BFF。公开模型目录面向 API 契约；Canvas 的模型选择面向创作任务。两者可以引用同一公共模型注册表，但不能共享同一个未经 Surface 过滤的展示列表。

公开价格展示经过发布的公共 Rate Card；某个 Organization 的合同价格、赠送权益、预算和实际结算只在 Console 中按权限展示。公开页不能根据浏览器登录状态泄露客户专属商业条件。

Console /ai 的资源链固定为 Developer App → Environment → Service Account → DeveloperCredential。个人开发者自动获得个人空间、默认 App、开发环境与受限 Service Account，不保留另一套自由悬挂在 User 下的 Key。

API-only 用量与跨产品账务是 Console 中的两种视图：前者按 Developer App、Environment、Credential、模型和请求解释 API 消费，后者按付款主体、产品、Workspace、Project、预算、订单和账期解释全部消费。两者读取同一 Metering、Billing、Ledger 与 Run 事实，不建立两个余额、费率或账本。

UUMI/new-api 与 Media Gateway 均不进入公共站产品列表、应用切换器或客户登录流程；其中 Media Gateway 不建设本地 User、CustomerGroup、APIKey、公开模型广场、OceanWay 用户售价、钱包或订阅服务，只验证 OceanWay Workload Principal 使用的短期 Workload Credential。内部运维身份来自 OceanWay 集中 SSO/RBAC 或基础设施 IAM。

oceanway-vozeb 产品收敛

现有 oceanway-vozeb 正式作为 OceanWay Studio 的代码基座，不再作为多个客户产品的长期混合宿主：

迁移顺序是先建立 Console /ai 等价能力和 AI 公开内容，再停止 Canvas 与公开 AI Host 写入客户开发者数据，最后移除过渡代理。旧登录后 GET 页面可以安全跳转到 Console；生产 API POST 不通过普通网页重定向迁移，避免丢失请求 Body、认证与幂等身份。

内部管理员平台信息架构

admin.oceanway.tech 首期复用现有 OceanWay 管理后台代码基座，但不原样继承其身份、权限、日志和人工操作模型。它按职责组织：

管理员平台
├── 经营分析
├── 商品运营
├── 财务管理
├── 上游配置
├── 系统管理
│   ├── Run Explorer
│   ├── Error Center
│   ├── Alert / Incident
│   ├── 队列 / Worker / Gateway
│   ├── Telemetry / Audit
│   └── 存储 / 备份 / 安全
└── 内容运营

同一个外壳按 Workforce 角色呈现不同首页、字段和操作。完整诊断、对账与命令边界见管理员平台与运维控制面。企业客户管理员继续在账户控制层管理自己的成员、预算、Key 和审计，不能进入该内部入口。

FDE 的公开与私有边界

• FDE 正式采用“公开展示 + 私有交付”双界面。
• 公开的服务说明、方法论和案例放在 oceanway.tech/fde 与 /cases。
• 售前线索、合同、报价与回款进入 CRM/合同流程，不放进普通创作钱包。
• 已签约且需要共同交付的客户通过 Console 进入私有 Delivery Workspace，用于里程碑、交付物、验收、变更和生产移交；建议首期路径为 console.oceanway.tech/delivery，最终路由在 FDE 详细设计中确认。
• FDE 交付形成的可复用 Agent、Canvas 模板、MCP 连接规范与模型策略，经过脱敏和授权后才能进入平台公共能力。
• 私有交付默认永不公开；公开案例必须是独立、固定、可撤回的 CaseStudyRelease，不能直接读取 Delivery Workspace。

部署边界

客户网页域名可以在早期由同一个 Next.js 服务按 Host 分流，但 api.oceanway.tech 从第一阶段起就是独立部署、认证与限流边界；它可以复用同一仓库和领域模块，不能与网页请求共享进程入口：

“可拆分”不意味着首期必须微服务化。客户网页和共享领域模块首期可以保持模块化单体，通过清楚的领域接口和数据所有权避免未来被迫大规模重写；独立 Public API Edge 是已确认的安全边界，不属于可延后的拆分项。