yuqei
1d85329a6a
Build and Test Quality Gate / Contract Web typecheck and build (pull_request) Successful in 9m12s
Build and Test Quality Gate / Isolated Alibaba and Tencent KMS gateway (pull_request) Failing after 4m53s
Build and Test Quality Gate / Python tests and Contract API migration (pull_request) Failing after 24m55s
Security Quality Gate / npm audit, Bandit, pip-audit, detect-secrets (pull_request) Failing after 8m42s
63 lines
3.2 KiB
Markdown
63 lines
3.2 KiB
Markdown
# V2 P1-07.6.1 双云可信增强延后与核心产品解耦实施说明
|
||
|
||
> 日期：2026-08-25
|
||
> 决策：保留双云能力，默认关闭，不作为当前核心产品上线门禁
|
||
|
||
## 1. 决策背景
|
||
|
||
阿里云/腾讯云 KMS 与 OSS/COS 不可变见证主要解决密钥外部托管、独立防篡改证明、跨云故障域和外部审计问题。它们不会提升合同起草、审查、版本、审批、下载或签署主流程的基本可用性，而且真实接入涉及付费资源、云账号权限和不可逆对象锁。
|
||
|
||
当前阶段优先验证核心产品价值，因此不购买双云资源，不删除既有实现，也不以本地 mock 冒充真实双云验收。
|
||
|
||
## 2. 能力模式
|
||
|
||
新增 `CONTRACT_API_RELIABLE_EVIDENCE_EXTERNAL_TRUST_MODE`：
|
||
|
||
| 模式 | 行为 | 发布门禁 |
|
||
|---|---|---|
|
||
| `disabled` | 默认；内部证据链和签名自检可用，外部锚定关闭 | 缺少双云材料只产生 warning，不阻断 |
|
||
| `optional` | 允许逐步配置外部探针/见证 | 配置不完整产生 warning，不阻断 |
|
||
| `required` | 企业可信增强正式启用 | 缺少任一探针或见证目标产生 error，阻断 |
|
||
|
||
隔离 UAT Compose 强制使用 `required`；普通开发和当前核心生产配置使用 `disabled`。
|
||
|
||
## 3. 后端保护
|
||
|
||
- `disabled` 模式下，定时 worker 不执行外部透明锚定；
|
||
- 管理员不能通过策略开关绕过能力模式启用外部锚定；
|
||
- 手工调用外部锚定接口返回 `409 external_trust_capability_disabled`；
|
||
- 内部签名自检探针继续可用，不会请求双云服务；
|
||
- `required` 模式仍保持双地域、双见证和最少见证数的原有失败关闭语义；
|
||
- 运行配置返回 `mode` 和 `release_blocking`，发布工具可区分付费增强缺失与核心配置错误。
|
||
|
||
## 4. 前端调整
|
||
|
||
- 试点运营页从“P1-07.6 外部见证”调整为“P1-07 试点运营与核心旅程”；
|
||
- 默认明确展示“企业外部可信增强暂未启用，不影响核心主流程”；
|
||
- 外部锚定间隔、最少见证数和外部锚定开关在 `disabled` 模式下不可编辑；
|
||
- 双云信任运营面板折叠为可选能力说明，避免给运营人员造成“未购买即系统故障”的误解；
|
||
- 内部证据链、公共验签治理、运营工单、SLO 和漏斗仍正常工作。
|
||
|
||
## 5. 当前上线边界
|
||
|
||
核心上线可以继续验收：
|
||
|
||
- 场景化起草和模板生成；
|
||
- 上传审查、失败重试和人工接管；
|
||
- 合同版本、正文哈希和审批失效；
|
||
- 企业 Playbook 与规则解释；
|
||
- 国内电子签署连接器；
|
||
- 新用户引导、市场首页和试点运营后台。
|
||
|
||
当前不得对外宣称：
|
||
|
||
- 已通过真实双云 UAT；
|
||
- 已获得两个云厂商的独立不可变见证；
|
||
- 本地内部证据链等同于第三方存证或司法效力证明。
|
||
|
||
## 6. 重新启用条件
|
||
|
||
出现以下任一条件时再启动双云采购和 UAT：已有付费企业客户明确要求；外部审计或融资尽调要求独立见证；合同证据需要跨云灾备；合规负责人批准保留期、预算和不可逆锁定操作。
|
||
|
||
届时把模式从 `disabled` 调整为 `required`，使用既有隔离编排和执行器完成真实验收，不需要重新开发核心能力。
|