Admin：平台运营与支持

历史方案：本页为恢复第一版多仓文档前的快照，不是现行任务或已实现能力。现行入口为平台架构。

版本：2026-09-12 / PRD v0.2。Admin 服务当前三人团队；开发由用户一人负责，日常维护由团队分工承担，具体职责尚未明确。以下是详细需求草案，原型、员工角色及首发功能尚未定稿。后台依据为 new-api 固定基线，源码存在不等于已集成。

Admin 负责让模型供应、账户与费用正常运转，并定位客户问题。产品编辑、剧集制作、画布和商品生产留在 Drama、Studio、Commerce。Admin 可以查看必要业务关联，不接管产品的全部业务后台。

目标与首期建议

首期覆盖“配置供应与价格 → 客户能调用 → 查询异常 → 核对费用 → 留下操作记录”。优先提供现有后台能够真实支持的配置与查询。自动对账修复、客服工单系统、完整企业 IAM 和产品内容管理分别列为扩展，避免混入基础运营页面。

页面清单

页面	内容与主要操作	需求
运营总览	调用、额度消耗、订单、失败与渠道状态的受支持指标	ADM-01
用户列表与详情	搜索、账户状态、分组、用量、订单、订阅与支持定位	ADM-02
渠道	创建、修改、测试、启停、模型与路由配置、凭据管理	ADM-03
模型与供应商目录	元数据、能力、展示信息、上下游模型映射	ADM-04
定价与分组	计价规则、组倍率、报价预览、变更影响	ADM-05
订单与余额处理	充值记录、补单、余额调整、异常核查	ADM-06
套餐与订阅	套餐、上下架、分配、失效、重置	ADM-07
调用与任务	按关联标识排查、状态、失败原因、结果与费用线索	ADM-08
任务插件与媒体接入	版本、启用、验证、渠道绑定、运行状态	ADM-09
管理权限	角色、现有授权能力、用户授权与撤销	ADM-10
审计	操作者、对象、动作、时间、结果与请求标识	ADM-11
系统设置与运行	已启用功能、认证／支付配置、实例与维护任务	ADM-12

首期分组建议为“运营、模型供应、商业、治理与系统”。每页仅显示当前身份有权执行的操作；隐藏按钮只是界面处理，真实权限由后台保证。

权限基线

身份／能力	固定上游事实	页面要求
普通客户	UserAuth 范围	拒绝 Admin，不能因为知晓 URL 读取后台数据
Admin	用户、日志、模型等多组接口使用 AdminAuth	不能将此角色命名为“只读客服”
Root	设置、插件生命周期、系统维护等使用 RootAuth	权限入口与普通运营清晰区分
channel.read / operate / write	上游已有渠道分项权限	列表、测试启停、普通编辑各自控制
channel.sensitive_write	新建及敏感渠道修改的独立权限	无此权限不能修改密钥／目标地址等
完整渠道密钥读取	当前路由另要求 Root 与安全验证	不因目录声明 secret_view 就放宽成普通 Admin
task_plugin.bind	允许取得绑定选项并参与受控渠道绑定	不代表可上传、启用或删除插件
audit.read	非 Root 的跨账户审计能力	不代表可看 Root 审计；按后台输出边界展示

上游有权限目录和部分权限覆盖机制，但没有证明所有用户／财务／模型操作都受细粒度权限约束。后续若需要客服、财务、运维分别授权，应先补资源和路由授权，再提供角色模板；首期不承诺这三种角色已可安全隔离。

ADM-01 运营总览

展示明确时间范围内的调用／额度统计、失败记录入口、充值订单概况、已启停渠道与任务入口。每张卡注明单位、统计范围和更新时间；数据缺失显示不可用。充值金额、客户消费额度、供应商成本是不同口径，不直接相减得利润。

从卡片进入详情时保留可支持的过滤条件。没有服务端统计的“全站失败率”“队列等待 P95”“按产品收入”等指标登记缺口，不靠抓取一页数据或模拟数字填充。

验收 ADM-01-A： 统计与明细范围一致；单卡请求失败不影响其他卡；没有供应成本数据时不展示虚构毛利。

ADM-02 用户与支持详情

列表呈现用户标识、账号／昵称、状态、角色、价格分组、余额、使用摘要。支持实际可用的搜索与分页。详情将账号、订阅、充值、调用和任务线索分区展示，明确各区是否支持按该用户精确查询。

账户启停、资料修改、权限提升／降低分别呈现对象与影响；不能编辑更高角色。停用后登录和模型 API 的实际失效行为需要联调，不只验证列表状态。默认不提供代登录、查看客户完整 Key、代选创作结果。

支持查询必须保持用户上下文；如果某个后台列表无法按 user_id 过滤，不把全站结果放进用户详情。例如任务列表现有筛选没有明确 user_id 参数，需扩展后才能承诺用户任务聚合页。

验收 ADM-02-A： 搜索后打开正确用户；切换用户不残留上一位数据；普通 Admin 无法提升自己或管理 Root；账户状态变更有可回查记录。

ADM-03 渠道生命周期

列表显示渠道名称、类型、状态、支持模型、分组、优先级／权重、最近测试和可取得的余额信息。模型供应与渠道是不同对象，同一模型可由多个渠道提供。

新增流程：选择类型 → 填接入配置与凭据 → 设定模型／分组／路由 → 保存 → 测试 → 明确启用。最终启用顺序需对齐上游默认状态，不允许保存时意外上线。测试可能产生真实调用和供应成本，应展示实际动作。

普通编辑与敏感编辑分开授权。完整密钥只在明确查看操作及安全验证后展示；保存时空值语义必须明确，不能把未加载的密钥误清空。模型探测／同步先展示变更差异，再决定采用范围。

批量启停展示目标数量、具体对象与逐项结果；网络失败后回读状态再重试。删除渠道不能当作下线的唯一方式。渠道不可用时给出原因，不替供应商伪造成功测试结果。

验收 ADM-03-A： 无敏感写权限者无法新建／改凭据或目标地址；批量部分成功可识别；停用后的路由效果、现有长连接和在途任务影响有实测说明。

ADM-04 模型与供应商目录

模型元数据管理名称、展示名、描述、供应商、能力信息和实际字段支持的展示配置；供应路由管理放渠道，价格管理放定价。管理员模型配置不直接暴露给公开 Developer。

同步上游信息时先预览新增、更新和冲突，保留需要维护的 OceanWay 展示字段。暂不可售模型不应被展示为当前客户可调用；公开目录可展示技术介绍，但必须说明可用性。

验收 ADM-04-A： 元数据变化不意外改写渠道凭据或客户价格；一个模型可以映射多个渠道；公开展示与登录后可用列表差异可解释。

ADM-05 定价、倍率与生效

差异定价属于重点需求：支持个人客户和企业专属账户，企业首期不做多人协作。Admin 需要管理客户价格方案、逐模型／规格协议价及适用期，充值套餐与模型消费价格分开设计；具体优先级和优惠叠加仍为讨论稿，见客户价格设计。

显示原计价单位、客户显示单位、输入／输出／缓存等规则、分组倍率及版本来源。能够获取的预览接口用于核对典型调用价格；没有预览能力的规则先提供待验证标记。

修改前显示旧值、新值、涉及模型／分组、适用时间及对当前调用的影响说明；保存后回读实际配置。不得默认上游支持草稿、定时发布、审批流或全量历史版本。若业务需要这些能力，应补版本与生效协议。

价格分组只表示供应／计费配置，不作为企业租户、部门或项目权限。客户余额调整不放在定价编辑页。任务在途时采用哪个价格快照，需要明确测试；不能用现价反算历史账单。

验收 ADM-05-A： 预览与相应真实调用的单位和结算可以核对；保存失败不显示生效；客户不可调用 Root 定价接口。

ADM-06 充值、补单与余额调整

充值订单统一显示人民币实付，到账以积分记录，购买积分与赠送积分保留来源；同时显示订单号、客户类型、用户、套餐版本、支付方式、时间和实际状态。筛选以端点支持为准；详情区分支付平台已收款与本平台已入账，未取得外部证据时标为未核实。

补单： 定位已有订单 → 核对支付证据、账户与金额 → 说明操作影响 → 执行 → 回读订单及余额 → 记录结果。固定后台已有补单入口，但不能把它等价为通用退款或无条件补偿。

余额调整： 增加、扣减与覆盖余额是不同动作。首期建议暴露增减，覆盖余额保留受限维护流程。界面要显示对象、单位、增减量和操作理由；理由持久保存、稳定操作 ID 与重复请求去重属于待补协议。源码已有调整及审计不等于已具备这些字段。

响应丢失时显示结果待核查，先查审计／记录，不提供盲目重复加款。后台没有可靠查询或去重能力前，只读原型可完成，真实调整操作保持未接入状态。补单、赠送、消费退款和原路退款在界面和记录中分开。

验收 ADM-06-A： 同一补单／调整操作重复提交不会造成重复影响的要求必须经后台验证；人民币实付与积分不能混用；未核实的订单不能标成已到账；记录能够关联操作者与目标用户。

ADM-07 套餐与订阅

用户已确认人民币充值、系统内积分；充值套餐不等于周期订阅，具体商品后续敲定。现有订阅强制 USD 的实现需适配，不能只改前端币种文本。

套餐表单覆盖标题、说明、人民币实付与积分权益、有效期、额度与重置、分组升级、排序、上下架、用户购买限制和钱包使用相关规则，以真实模型字段为准。

新增套餐 → 核对规则 → 保存 → 选择上线。上下架影响可购买性；是否影响既有订阅必须明确显示和实测。分配订阅、失效订阅、重置额度、删除记录分开操作，不使用同一个“重置”按钮隐藏差异。

批量重置要展示影响用户范围及执行结果；不默认具备预览 API 或可回滚能力。后台未补齐批量可靠性前，原型展示流程和待接入状态即可。

验收 ADM-07-A： 停售不被显示成用户订阅已失效；重置与延期不混淆；套餐币种与 Console 一致；无对应权限无法从直接请求绕过界面。

ADM-08 调用、任务与异常处理

提供调用列表和任务列表两个入口，通过请求 ID、任务 ID、用户、模型、渠道与时间建立可取得的关联。每种筛选按真实端点能力实现；不能以供应商任务 ID 代替平台任务 ID。

详情显示客户所见状态、内部失败信息、执行时间、渠道／插件版本、结果访问和费用记录线索。错误信息需脱敏。按角色显示内部字段，不把 Root 原始响应发送给普通 Admin 后再用 CSS 隐藏。

异常处理首期以查询和定位为主：“重新查询”“重新提交生成”“取消供应任务”“费用补偿”是四种不同操作。尚无通用恢复命令协议时，不制作可实际提交的“一键修复／强制成功／退款”按钮。

与产品相关的异常显示来源产品和业务对象引用；产品上下文未接入时允许粘贴已有任务 ID 排查，不要求 Admin 能打开所有画布、剧本或商品内容。

验收 ADM-08-A： 任务成功但结果过期、供应成功但本地状态未知、费用待核查可以分别表达；查询行为不会触发再次生成或扣费。

ADM-09 媒体适配与任务插件

Root 管理插件列表、版本、运行状态、上传、验证、启用／停用、版本切换；获得 task_plugin.bind 的管理员只能在允许范围绑定已注册插件。

上传／验证结果不等于生产可用。启用前展示插件标识、版本和绑定渠道；dryrun 需核对是否访问真实供应服务及收费，再决定原型与测试数据。删除版本前检查正在引用或执行的任务，不默认旧任务可自动迁到新版本。

自研媒体网关保持独立供应执行边界。插件把共享后台请求与其协议连接起来，不复制产品画布或分镜状态。

验收 ADM-09-A： 只有绑定权限不能上传／激活插件；版本切换失败后显示实际活动版本；在途任务仍能查询其原版本相关信息，具体兼容策略在接入时验证。

ADM-10 管理授权

按团队成员独立账号与实际职责授权设计；不默认三人共享 Root，也不预设具体谁负责财务或供应维护。展示真实权限目录及本人能力。用户授权变更必须由允许的主体执行，保存后回读，不在前端维护独立权限真值。

客服／财务／运维的职责划分和权限模板列为待确认项，并逐一列出需要读取和执行的资源；现有 AdminAuth 覆盖较宽的接口必须先收窄，否则不能开放为“客服账号”。原型可以切换角色场景，但必须标明角色为拟扩展。

验收 ADM-10-A： 权限撤销后接口实际拒绝原操作；渠道读取不自动取得敏感写权限；同名组织／价格分组不参与员工授权。

ADM-11 审计与留痕

按时间、操作者、类别、成功／失败和请求标识查询现有审计。详情显示对象、动作、变化摘要及真实可获得的上下文；敏感凭据掩码，不能把完整请求体默认当作审计详情。

要求关键账户、配置和费用操作可追溯，但本轮仅证实部分记录机制；需逐条验证操作是否实际产生日志。业务成功而审计失败属于需要处理的状态，不宣称审计已具备跨库原子保障。

非 Root 能否查询跨账户审计由 audit.read 决定，Root 记录保持上游既有隔离。审计删除和保留周期不能作为普通列表批量删除。

验收 ADM-11-A： Key 查看、余额调整和账户停用可查对应动作；普通 Admin 无法通过改过滤条件得到 Root 审计；查询返回不含完整密钥。

ADM-12 系统配置与维护

Root 管理已启用的认证、支付和站点能力，界面分区呈现实际可配置项；不把全部 Option 原始键值作为普通运营主界面。配置写入后显示真实结果，敏感字段区分未设置、已设置但遮挡、正在替换。

运行区读取实例状态和维护任务。日志清理、缓存清理、实例记录删除等维护动作应展示目标范围和影响；配置了实例心跳不等于具备完整监控告警或容量证明。

验收 ADM-12-A： 普通 Admin 不能读取 Root 设置；失效配置不会被前端显示成正常；维护任务显示真实进度／失败，接口无进度时不伪造百分比。

关键支持流程

客户“已支付但未到账”：用户 → 订单 → 支付证据 → 本地状态 → 必要时受控补单 → 回读余额／记录。不能直接通过改余额掩盖订单不一致。
某模型调用失败：请求 ID → 调用详情 → 对应渠道／模型／插件 → 可授权的测试或下线 → 回查后续调用。测试成功只证明该次结果。
视频任务长时间无结果：任务 ID → 平台／供应关联 → 查询状态和版本 → 费用状态 → 转对应产品恢复流程。查询未知不等于失败退款。

原型与待定项

ADM-01-A 至 ADM-12-A 为需求验收场景；真实接口未接入前只表示原型覆盖。接口来源及扩展项见API 映射，执行顺序见Console 与 Admin 工作包。

ID	待定内容	当前建议／影响
CA-D06	三人团队的实际维护分工与成员权限	用户负责开发已确认；其余职责及操作范围待明确；影响 ADM-02/10
CA-D07	哪些人工财务操作进入首发	查询先行，写操作补理由、去重与查询；影响 ADM-06/07
CA-D08	模型／渠道／插件的首发集合	以已接入能力做原型样例；影响 ADM-03/04/09
CA-D09	日志保留、数据导出与敏感字段规则	定义展示与后台保留责任；影响 ADM-08/11/12

需要持久记录的操作理由、业务操作 ID、变更版本、费用最终状态和跨产品关联，不能只存在于弹窗或浏览器内。对应后台缺口未完成时，真实动作不应宣称已可用。