NEXT-11 试运行准备与迁移演练
固定制品、本地负载与离线迁移核对，生产试运行独立验收
2026-09-21，用户授权进入 NEXT-11。已固定 NEXT06–10 交付，按容量/故障基线、离线迁移核对与运营手册三个工作包协同执行。第一批本地技术准备已独立验证并合入标准目录：制品检查、capture 容量/故障基线、离线迁移核对与真实数据库恢复。整个 NEXT-11 仍在进行，生产试运行未开放。
本轮输入与边界
- Core final09/10、Edge final07-2、Console candidate3、Admin candidate1，以及对应 Contracts/Infrastructure 固定制品。
- 12 个候选文件通过 SHA256 核对，输入和报告位于
coordination/next11/release-artifacts.json、artifact-inventory.json；本机 darwin/arm64 可执行文件不是 Linux 发布包。 - 负载仅调用隔离服务与本地合成网关；迁移仅处理明确标记的合成样本，不读取旧客户、修改现网、调用付费上游或改变原 51836 验收环境。
- 用户已确认首批目标为 2000并发，以持续文本流式连接为主、夹杂普通请求。本轮1/8/32/64是本机基线，不能作为2000达标证据；后续按容量验证逐级压测。商业规则、真实支付和正式域名仍按前轮待定项保留。
代码核对得到的发布缺口
| 内容 | 现状 | 影响 |
|---|---|---|
| Edge 正式入口 | 第二批新增cmd/server显式response-usage入口及依赖就绪；默认探针和旧billing-edge边界保留 | 正式TLS终止代理、真实客户端IP及部署环境验收仍需完成 |
| Core 就绪 | 身份服务 readyz 验证数据库 Ping，scope 为身份/Key | 不能据此断言支付、供应网关或整个账务链路健康 |
| 共享限流 | 第二批新增显式Redis共享身份/Key/目录/交接窗口；默认仍为local | 需部署时显式配置；这不是全局客户执行并发配额 |
| 数据库连接 | PG 每进程上限 10、空闲 5 | 压测必须记录实例数与连接预算，不默认可无限扩容 |
| 历史用量查询 | 逐条精确汇总，单次读取持有账户一致性锁 | 需要另测大历史量与同钱包写入竞争；短记录结果不能外推 |
| 监控与告警 | 探针、关联日志、管理查询已存在 | 集中采集、通知与实际响应链路尚未部署；手册只描述信号和处置 |
运行手册和可重复工具归 Infrastructure 的 integration/trial-readiness/；Docs 记录进度与链接，不复制第二套运行配置。维护责任按配置、账务核对、运行三类描述，实际人员待团队分配。
执行状态
| 工作包 | 当前状态 | 验收方式 |
|---|---|---|
| 固定候选 | 12 文件核对通过 | 篡改、缺失/重复角色、重复 JSON 与符号链接负测；不执行或发布制品 |
| 容量与故障 | 修订后独立928请求通过 | capture-chat-v1；逐阶段故障/恢复/钱包/账本门禁通过；现行response-usage-v1及2000并发未测 |
| 迁移核对 | 本地独立验证通过 | 33 项测试与 9 个 CLI 场景；复跑输出逐字节一致；无真实导入器 |
| 备份恢复 | 本地真实 PostgreSQL 验证通过 | 恢复水位、待支付 Worker 入账及重跑、原库增量保留 |
| 统筹独立复跑 | 本批本地范围通过 | 迁移23文件、容量最终5文件按归档和摘要合入；候选2独立14负测/单测及真实负载分别记录 |
容量基线结果与边界
冻结容量候选2归档 SHA256 为 f2b6cc59ba683966ce58ce05a765e33e0b7921e8cc7b3ab23efdba3316978d07，统筹报告 coordination/next11/capacity-root-v2.json；result=observed、failures为空、cleanup=complete，故障与恢复门禁均passed。
- 840次普通请求和8次短时慢读SSE全部完整成功；热钱包64并发P95约660.6ms，双客户64并发约660.1ms。
- 8次网关中断均502，每个原操作保留160预占且未扣款，共1280；网关恢复后8次新请求成功，每笔扣12，原预占未被错误释放。旧故障请求的Worker恢复不在本容量测试范围。
- 64路低余额竞争只放行1路，其余63路因余额不足返回422；唯一扣费12，最终余额148、预占0。
- 主机为Apple M4/16GiB；两Core启动但Edge只连接Core A。实际负载为loopback TCP、合成capture网关，未包含TLS/BFF、现行响应计费、分布式负载、生产长稳或2000连接。
初版故障阶段只记录结果、缺少断言，独立评审用反例复现后已在候选2修复；新增门禁验证截断、恢复全失败、错误释放预占和重复/错误扣费都会拒绝。初版报告保留，最终验收仅引用候选2。四秒左右的慢流不当作生产长连接或内核背压证明。
已验收的迁移与恢复范围
迁移工具只接受明确的 synthetic_only 输入，使用整数与显式有理数精确转换，拒绝未知单位、未决请求、映射冲突、重复或变更回执及不能精确换算的金额。演示比例 3/2 不是已确认的商业规则；合成增量扣款 -9 完整保留。存在差异时不输出可执行迁入项目，写后回退必须保留增量账务。真实 sub2api 导出、身份映射、Core 导入接口及旧 Key 切换尚未执行。
备份恢复以固定 Core 服务和隔离 PostgreSQL 实跑，比较两账户余额、用量、订单和账本。备份后原库新增入账 100000 microcredits，原账户账本由 44 条增至 45 条；恢复目标保持旧水位，原库新增记录不受影响。恢复库的一笔待支付沙箱订单由 Worker 完成唯一入账，再跑 Worker 不重复入账。旧快照因此不能直接覆盖已产生增量的在线库。本轮不测 PITR、跨主机灾备或生产 RPO/RTO。
证据分别位于 coordination/next11/migration-root-replay/、restore-root.json 和 restore-review.md。制品校验与恢复演练均有独立代码审查；恢复工具审查发现的报告摘要路径和缺少 Worker 正向验证问题已经修复。
第二批：正式文本入口与共享限流
2026-09-21 用户授权继续下一步，本批代码与独立联合验收已完成：
| 归属 | 本批内容 | 运行边界 |
|---|---|---|
| API Edge | cmd/server 显式response-usage入口、必须有界及能力清单、固定HTTPS上游、依赖就绪缓存、在途上限与优雅关闭 | 默认仍为探针；仅loopback监听用于TLS终止代理接入；不直接开放公网HTTP |
| Core | 可配置Redis原子共享窗口，身份/Key/目录/交接限流统一接入；新增受服务凭据保护的计费就绪接口 | 未启用时保持本地模式；Redis配置错误启动失败，依赖失联拒绝放行，不自动回退 |
| Contracts | 内部就绪接口的精确Schema与真实响应校验 | 私有proposal；不作为公开客户SDK发布 |
| Infrastructure | 两Core+Redis+Edge真实进程、合成网关、四协议普通/SSE、共享计数、依赖故障、在途限制和停机结算验收 | 小型SQLite功能联调；不是PG部署环境或2000并发负载测试 |
Core身份接口的请求频率限制与Edge每实例的在途上限不同。多实例共享身份窗口不等于已实现全局2000连接配额。当前不信任请求方传入的X-Forwarded-For；代理后的真实客户端IP、客户级分布式准入与实际部署预算需单独验证。
本批最终证据位于 coordination/next11-entry/run-final.json，54项检查通过，18次合成网关执行；Core/Edge制品及源码逐SHA核对，Core22个增量文件、Edge15个增量文件保留其余基线。
- Core、Edge均通过Go1.25.1全仓race/vet/build及来源核验；Redis依赖与Lua参考固定new-api版本，未复制价格或钱包到Edge。
- 四协议 × 普通/SSE × 两类客户共16次调用，另有2次在途SSE排空；每笔按冻结价格结算，全部唯一账本扣费，最终钱包与流水一致、预占归零、用量证据持久化。
- 两个真实Core进程共享Redis身份窗口。包括2次夹具登录在内，第11次开始返回429；伪造X-Forwarded-For不能另开窗口。Redis失联后Core与Edge就绪失败，新请求拒绝；恢复后重新就绪。
- 网关状态失败、在途达到2、SIGTERM排空均按预期拒绝新增请求或停止接收；原有流完整返回后结算完成。单测另外覆盖超时强制关闭、慢结算占槽、缓存过期、HTTP200截断、错误证书/重定向及客户端取消。
- 联合测试工具自身SIGTERM清理实测通过；最终正常运行6个自有进程均已退出，私有运行目录删除，原51836验收环境保持。
首轮失败记录保留：合成Chat SSE夹具漏finish_reason已修正；精确共享登录窗口测试移到稳定阶段，与Redis重启恢复分开验证。没有因此放宽产品的终止证据要求或开启Redis命令重试。审查提出的配置歧义、探测状态/body校验、测试证据排他写入和资源清理问题均已修复。
这些证据验证正式入口的功能与故障边界，不代表已部署：外部TLS代理/可信客户端IP、Redis传输/ACL/HA、PG真实拓扑及2000流式容量仍待完成。
第三批已进入部署形态与 oceanway 隔离验证，用户已指定测试主机；本页保留前两批结果，不混写后续运行证据。
后续执行顺序
- 固定部署形态：TLS终止代理与可信客户端IP、Edge/Core/Redis/PG实例拓扑、连接池/网络/文件句柄预算与客户执行配额；随后对现行response-usage-v1、四协议、计费上界、用量证据和恢复链路做部署环境联合验证。
- 按已确认2000并发目标补持续流式与混合请求、历史用量锁竞争、多实例与集中监控告警；当前本机档位不作为生产容量承诺。
- 在已确认客户范围、价格/充值/赠送/退款规则、支付渠道与域名后，完成真实迁移适配、灰度、回退和试运行验收。
总体 NEXT-11 退出条件仍按商业闭环与试运行计划执行。没有首批目标、真实渠道/政策、正式入口、环境及实际迁移证据时，不标记整个 NEXT-11 完成。