yuqei
1d85329a6a
Build and Test Quality Gate / Contract Web typecheck and build (pull_request) Successful in 9m12s
Build and Test Quality Gate / Isolated Alibaba and Tencent KMS gateway (pull_request) Failing after 4m53s
Build and Test Quality Gate / Python tests and Contract API migration (pull_request) Failing after 24m55s
Security Quality Gate / npm audit, Bandit, pip-audit, detect-secrets (pull_request) Failing after 8m42s
3.2 KiB
3.2 KiB
V2 P1-07.6.1 双云可信增强延后与核心产品解耦实施说明
日期：2026-08-25
决策：保留双云能力，默认关闭，不作为当前核心产品上线门禁
1. 决策背景
阿里云/腾讯云 KMS 与 OSS/COS 不可变见证主要解决密钥外部托管、独立防篡改证明、跨云故障域和外部审计问题。它们不会提升合同起草、审查、版本、审批、下载或签署主流程的基本可用性，而且真实接入涉及付费资源、云账号权限和不可逆对象锁。
当前阶段优先验证核心产品价值，因此不购买双云资源，不删除既有实现，也不以本地 mock 冒充真实双云验收。
2. 能力模式
新增 CONTRACT_API_RELIABLE_EVIDENCE_EXTERNAL_TRUST_MODE：
| 模式 | 行为 | 发布门禁 |
|---|---|---|
disabled |
默认；内部证据链和签名自检可用，外部锚定关闭 | 缺少双云材料只产生 warning，不阻断 |
optional |
允许逐步配置外部探针/见证 | 配置不完整产生 warning，不阻断 |
required |
企业可信增强正式启用 | 缺少任一探针或见证目标产生 error，阻断 |
隔离 UAT Compose 强制使用 required；普通开发和当前核心生产配置使用 disabled。
3. 后端保护
disabled模式下，定时 worker 不执行外部透明锚定；- 管理员不能通过策略开关绕过能力模式启用外部锚定；
- 手工调用外部锚定接口返回
409 external_trust_capability_disabled； - 内部签名自检探针继续可用，不会请求双云服务；
required模式仍保持双地域、双见证和最少见证数的原有失败关闭语义；- 运行配置返回
mode和release_blocking，发布工具可区分付费增强缺失与核心配置错误。
4. 前端调整
- 试点运营页从“P1-07.6 外部见证”调整为“P1-07 试点运营与核心旅程”；
- 默认明确展示“企业外部可信增强暂未启用，不影响核心主流程”；
- 外部锚定间隔、最少见证数和外部锚定开关在
disabled模式下不可编辑； - 双云信任运营面板折叠为可选能力说明，避免给运营人员造成“未购买即系统故障”的误解；
- 内部证据链、公共验签治理、运营工单、SLO 和漏斗仍正常工作。
5. 当前上线边界
核心上线可以继续验收：
- 场景化起草和模板生成；
- 上传审查、失败重试和人工接管；
- 合同版本、正文哈希和审批失效；
- 企业 Playbook 与规则解释；
- 国内电子签署连接器；
- 新用户引导、市场首页和试点运营后台。
当前不得对外宣称：
- 已通过真实双云 UAT；
- 已获得两个云厂商的独立不可变见证；
- 本地内部证据链等同于第三方存证或司法效力证明。
6. 重新启用条件
出现以下任一条件时再启动双云采购和 UAT：已有付费企业客户明确要求；外部审计或融资尽调要求独立见证；合同证据需要跨云灾备；合规负责人批准保留期、预算和不可逆锁定操作。
届时把模式从 disabled 调整为 required，使用既有隔离编排和执行器完成真实验收，不需要重新开发核心能力。