REITs TechDeveloper
开发文档 7
DOCUMENTATION开发者工作区
从身份、契约到质量发布
更多入口 10
DEVELOPER DIRECTORY业务入口与运行事实
非业务审批和旧刀次已归档，不占当前开发页面
开始接入SSO · Mini App SDK

D05-R50 · IMMUTABLE INTAKE · EVIDENCE ADAPTER · WINDOW ORCHESTRATOR

工程五十刀已经收口，外部执行仍必须从真实对象开始

R50 把最后一段工程缺口落成生产形态工作台：原始回执只允许 create-only 不可变写入，专用目标必须提交独立证据，停止态安装只能进入人工确认的一次性候选窗口。当前真实输入为零，所以控制面完整、执行能力为零。

PROGRAM TRUTH / 2026-07-28双轨进度必须分开读
D05_R50_IMMUTABLE_IMPORT_TARGET_EVIDENCE_AND_CANDIDATE_WINDOW_ORCHESTRATION_IMPLEMENTED_EXTERNAL_INPUTS_ABSENT
正式业务验收4/36
当前 D05 · 0/11 Gate含当前剩余 32 刀
工程子阶段50/50
D05-R01..D05-R50剩余工程刀 0

OPERATIONS COCKPIT

收件、目标、窗口不是三张孤立表，而是一条不可越级的证据链

每一栏都显示真实输入、首个失败和下一合法动作。空状态不是空白页：它明确说明缺什么、为什么不能继续，以及哪些操作永远禁止。

01
IMMUTABLE INBOX

不可变收件箱

EMPTY
0/6已导入对象
写入模式
CREATE ONLY
原始对象
永久保留
覆盖 / 修补
禁止 / 禁止
首个失败
SOURCE_OBJECT_ABSENT
02
TARGET EVIDENCE

专用目标适配器

HELD
×当前 Portal EC2共享生产主机 · 明确拒绝→?Dedicated staging尚未提供 targetRef
证据字段
0 / 24
现场检查
0 / 12
独立复核
未收到
Target lock
尚未生成
03
STOPPED WINDOW

候选窗口编排

NOT SCHEDULED
00:30:00MAX · ONE SHOT
窗口绑定
0 / 8
Owner / Witness
0 / 2
安装阶段
0 / 10 可执行
自动排期 / 启动
禁止 / 禁止

SIX-LANE IMMUTABLE INTAKE

每条责任泳道都有十二阶段导入状态机

原始字节先做边界检查和摘要，再 create-only 写入、写后独立读回、规范化映射、重放判定和隔离裁决；验签只接收不可变对象引用。

01
AUTH-PLATFORM

Platform SRE

EMPTY

D05-G01 · D05-G07

123456789101112
Source object
未收到
Immutable ref
未生成
Expected ID
d05-r48-auth-platform-receipt-v1
Task digest
sha256:e48760f…475f18d1
FIRST FAILURESOURCE_OBJECT_ABSENT
02
AUTH-MOBILE

Mobile Platform

EMPTY

D05-G02

123456789101112
Source object
未收到
Immutable ref
未生成
Expected ID
d05-r48-auth-mobile-receipt-v1
Task digest
sha256:b5608cb…e871662f
FIRST FAILURESOURCE_OBJECT_ABSENT
03
AUTH-SECURITY

Security

EMPTY

D05-G03

123456789101112
Source object
未收到
Immutable ref
未生成
Expected ID
d05-r48-auth-security-receipt-v1
Task digest
sha256:93d1527…8b8bae9a
FIRST FAILURESOURCE_OBJECT_ABSENT
04
AUTH-ARCH

Global Architecture

EMPTY

D05-G04

123456789101112
Source object
未收到
Immutable ref
未生成
Expected ID
d05-r48-auth-arch-receipt-v1
Task digest
sha256:1a60715…7911701a
FIRST FAILURESOURCE_OBJECT_ABSENT
05
AUTH-SUPPLY

Supply Chain + Release

EMPTY

D05-G09

123456789101112
Source object
未收到
Immutable ref
未生成
Expected ID
d05-r48-auth-supply-receipt-v1
Task digest
sha256:1477944…f510424f
FIRST FAILURESOURCE_OBJECT_ABSENT
06
AUTH-FINOPS

FinOps

EMPTY

D05-G01 · D05-G02 · D05-G07

123456789101112
Source object
未收到
Immutable ref
未生成
Expected ID
d05-r48-auth-finops-receipt-v1
Task digest
sha256:ab884ac…185c7167
FIRST FAILURESOURCE_OBJECT_ABSENT
WRITE-ONCE OBJECT CONTRACT

16 字段导入信封 + 24 字段业务回执

原始对象与规范化视图分离

导入信封

01intakeObjectId02laneId03objectRef04objectVersion05contentLength06mediaType07receivedAt08sourceAuthorityRef09transportReceiptRef10rawDigest11canonicalDigest12writeOnceStoreRef13retentionUntil14duplicateOf15quarantineReason16importerReceiptDigest

业务回执

01receiptId02laneId03ownerId04gateScope05taskPacketDigest06sourceKitDigest07targetProfileId08subject09decision10constraints11issuedAt12expiresAt13nonce14idempotencyKey15signerKeyRef16signatureAlgorithm17signature18witnessKeyRef19witnessSignature20rollbackWindowRef21budgetEnvelope22productionEffectLimit23previousReceiptDigest24receiptDigest
CREATE-ONLY同 ID 不同内容一律冲突READ-AFTER-WRITE长度和摘要必须独立重算NO REPAIR失败对象只隔离，不原地修补NO SIGNINGPortal 不导入私钥、不代签
APPEND-ONLY QUARANTINE LEDGER

十二类隔离原因提前编码

隔离不是删除失败证据。每个对象只追加 reason、decision、对象引用和裁决轨迹，操作员不能把失败对象原地改成通过。

Q-01

来源未登记DENY_UNREGISTERED_SOURCE

0EMPTY
Q-02

媒体类型或编码非法DENY_UNSUPPORTED_ENVELOPE

0EMPTY
Q-03

大小超限或解压异常DENY_SIZE_OR_DECOMPRESSION_BOMB

0EMPTY
Q-04

写后读回摘要不一致DENY_IMMUTABILITY_READBACK_DRIFT

0EMPTY
Q-05

二十四字段合同不完整DENY_RECEIPT_CONTRACT_DRIFT

0EMPTY
Q-06

任务包或来源包摘要漂移DENY_SOURCE_BINDING_DRIFT

0EMPTY
Q-07

责任泳道冲突DENY_LANE_COLLISION

0EMPTY
Q-08

nonce 重放DENY_NONCE_REPLAY

0EMPTY
Q-09

idempotency key 冲突DENY_IDEMPOTENCY_COLLISION

0EMPTY
Q-10

Owner 与 Witness 权威折叠DENY_AUTHORITY_COLLAPSE

0EMPTY
Q-11

对象过期或未来签发DENY_FRESHNESS_WINDOW

0EMPTY
Q-12

当前实际状态：没有外部对象HELD_EXTERNAL_OBJECT_ABSENT

0EMPTY
DEDICATED TARGET EVIDENCE ADAPTER

目标不是一个 IP，而是一份可独立复核的二十四字段证据包

当前共享生产主机只保留拒绝说明；Dedicated staging 必须让采集者和复核者分离，并把 Release、Source Kit、网络、文件系统、systemd、socket 与回滚根绑定到同一摘要。

COLLECTOR × REVIEWER

十二项双栏复核

×

主机类别共享主机：SHARED_PRODUCTION_PORTAL_HOST

采集：未观测复核：未复核
×

环境共享主机：production

采集：未观测复核：未复核
×

生产标记共享主机：/etc/reits-production-host PRESENT

采集：未观测复核：未复核
×

Portal 服务共享主机：reits-developer-portal active

采集：未观测复核：未复核
×

端口 8100共享主机：1 listener

采集：未观测复核：未复核
✓

端口 8110共享主机：0 listeners

采集：未观测复核：未复核
×

UID 991共享主机：redis6

采集：未观测复核：未复核
×

GID 991共享主机：nginx

采集：未观测复核：未复核
✓

Controller identity共享主机：ABSENT

采集：未观测复核：未复核
✓

运行清单共享主机：ABSENT

采集：未观测复核：未复核
✓

安装根目录共享主机：ABSENT

采集：未观测复核：未复核
✓

Unit / process共享主机：ABSENT / 0

采集：未观测复核：未复核
TARGET EVIDENCE PACKET

24 字段证据合同

ABSENT
01evidencePacketId02targetRef03profileId04hostIdentityDigest05environment06hostClass07region08networkZone09observedAt10expiresAt11collectorIdentityRef12collectorSessionRef13reviewerIdentityRef14releaseDigest15sourceKitDigest16checkSetDigest17networkBoundaryDigest18filesystemBaselineDigest19systemdBaselineDigest20socketBaselineDigest21rollbackRootRef22packetDigest23reviewerKeyRef24reviewerSignature
Target lock digest尚未生成

ONE-SHOT CANDIDATE WINDOW

窗口先绑定八类证据，再允许人工排期

窗口描述符不携带安装或启动能力。只有八项绑定全绿、Owner 与独立 Witness 对同一个窗口确认后，才能由人工一次性调度；超时或竞争会永久废止 nonce。

EIGHT BINDINGS

0 / 8 已满足

HELD
01

六席不可变回执集合sealedReceiptSetDigest

HELD
02

外部 KeyRef 验签结算verificationSettlementDigest

HELD
03

专用目标锁targetLockDigest

HELD
04

精确 Release 与 Source KitreleaseSourceBindingDigest

HELD
05

回滚根与保护对象rollbackRootDigest

HELD
06

Owner / Witness 权威法定人数authorityQuorumDigest

HELD
07

最大三十分钟有效期timeboxDigest

HELD
08

一次性 nonce 与终止条件oneShotControlDigest

HELD
WINDOW STATE MACHINE

候选窗口状态机

1DRAFT只创建不带能力的窗口草案HELD2QUALIFIED八项绑定均有效且未过期HELD3SCHEDULEDOwner 与独立 Witness 对同一窗口确认HELD4ARMED只允许显式、一次性、短时武装HELD5ACTIVE停止态安装事务可在边界内执行HELD6SETTLED封存安装候选回执与独立读回HELD7ABORTED任一失败立即撤销本事务对象AVAILABLE8EXPIRED超时后 nonce 永久不可复用AVAILABLE
当前首个失败IMMUTABLE_RECEIPT_SET_0_OF_6
CAPABILITY-FREE INSTALL CANDIDATE

十阶段候选包已经定义，但没有一项可执行

安装候选只描述输入、输出、检查点和停止态约束；它不能创建身份、写配置、安装 unit、启动服务或打开端口。

01
INSTALL-01

冻结输入与窗口

锁定 Release、Source Kit、六回执集合、目标证明与最大三十分钟窗口

02
INSTALL-02

采集停止态基线

独立记录 identity、目录、unit、process、8100、8110 和网络边界

03
INSTALL-03

创建专用身份

仅在 UID/GID 均未占用时创建不可登录的 Controller 身份

04
INSTALL-04

建立最小目录树

只创建 manifest 声明的 install、config、state、journal 与 rollback 根

05
INSTALL-05

物化配置与 SecretRef

写入内容寻址配置，秘密只保留引用，禁止明文落盘

06
INSTALL-06

校验制品与来源包

逐文件重算十项 Source Kit、SBOM、配置和迁移摘要

07
INSTALL-07

安装 stopped systemd unit

安装后必须 disabled、inactive，ExecStart 不得被调用

08
INSTALL-08

停止态独立复核

再次证明无 process、无 8110 listener、无生产调用和无付费资源

09
INSTALL-09

封存回滚检查点

逐项记录本事务创建对象并生成反向撤销顺序与期限

10
INSTALL-10

签发安装候选回执

只签发 capability-free 候选回执；不启动、不监听、不推进 Gate

reits-developer-portalredis6nginx8100-listenerexisting-production-data
ELEVEN ADMISSION GATES

R50 执行前十一道门

01

六个来源对象均已收到R50-G01

0/6HELD
02

六个不可变对象均完成写后读回R50-G02

0/6HELD
03

十二个外部 KeyRef 均可解析R50-G03

0/12HELD
04

六席双签、时效与重放检查全部结算R50-G04

0/6HELD
05

专用目标证据包完整R50-G05

0/1HELD
06

十二项目标检查由独立复核者确认R50-G06

0/12HELD
07

目标锁绑定精确 Release 与回滚根R50-G07

0/1HELD
08

八项窗口绑定全部满足R50-G08

0/8HELD
09

Owner / Witness 确认同一窗口R50-G09

0/2HELD
10

十阶段安装候选包能力为零R50-G10

0/1HELD
11

候选窗口可由人工显式调度R50-G11

0/1HELD
TWELVE FAILURE DECISIONS

失败先于执行定义

FAIL-01对象写入后读回摘要漂移QUARANTINE_IMMUTABILITY_DRIFT

保留原始对象和写入回执，拒绝后续解析

FAIL-02同一回执 ID 出现不同内容DENY_CONTENT_COLLISION

两份都隔离，等待外部责任人裁决

FAIL-03只导入部分责任泳道DENY_PARTIAL_SETTLEMENT

允许只读检查，不生成集合摘要

FAIL-04KeyRef 不可信、撤销或算法漂移DENY_EXTERNAL_KEY

不导入私钥，不尝试本地代签

FAIL-05当前共享 Portal 主机被提交为目标DENY_SHARED_PRODUCTION_HOST

拒绝证据包且不生成目标锁

FAIL-06采集者与复核者是同一权威DENY_REVIEWER_COLLAPSE

要求独立证据包重签

FAIL-07目标检查只通过 11/12DENY_PARTIAL_TARGET

保持窗口和安装候选为空

FAIL-08窗口绑定在排期前过期EXPIRE_AND_REISSUE

废止 nonce，重新收集全部时效证据

FAIL-09两个操作员竞争同一窗口DENY_WINDOW_COLLISION

只接受第一个原子声明，其余失败关闭

FAIL-10安装候选包携带启动能力DENY_CAPABILITY_ESCALATION

拒绝候选包并保留审计证据

FAIL-11运行中出现 Controller 进程或 8110EMERGENCY_ABORT_AND_QUARANTINE

终止窗口、撤销事务对象、触发独立事故复核

FAIL-12当前实际状态HELD_EXTERNAL_INPUTS_ABSENT

对象 0/6、目标 0/1、窗口 0/1、安装 0/10

DETERMINISTIC QUALIFICATION480 / 480失败关闭断言全部通过
导入信封
6 × 16 = 96
导入管线
6 × 12 = 72
验签交接
6 × 10 = 60
目标证据
12 × 5 = 60
窗口编排
8 × 6 = 48
安装候选
10 × 6 = 60
隔离裁决
12 × 7 = 84
R50-UI01正式验收与工程 R50 双轨总览R50-UI02不可变收件箱总览R50-UI03六席对象导入队列R50-UI04逐席十二阶段导入管线R50-UI05十六字段导入信封浏览器R50-UI06二十四字段回执合同浏览器R50-UI07create-only 写入策略R50-UI08写后独立读回R50-UI09raw 与 canonical 双摘要R50-UI10重复对象链接R50-UI11nonce 重放拦截R50-UI12idempotency 冲突拦截R50-UI13十二类隔离原因账本R50-UI14隔离对象不可修补边界R50-UI15外部 KeyRef 验签交接R50-UI16专用目标证据适配器R50-UI17二十四字段目标证据合同R50-UI18当前共享主机拒绝说明R50-UI19十二项采集与复核对照R50-UI20采集者与复核者权威分离R50-UI21目标锁预览R50-UI22八项窗口绑定R50-UI23候选窗口状态机R50-UI24三十分钟时限与一次性 nonceR50-UI25Owner / Witness 窗口确认R50-UI26十阶段安装候选包R50-UI27能力为零检查R50-UI28受保护生产对象清单R50-UI29十一道 R50 准入门R50-UI30十二情景故障实验室R50-UI31四百八十项确定性验证R50-UI32零生产副作用审计账本
ENGINEERING CLOSEOUT / EXTERNAL EXECUTION HANDOFF

工程 50/50 已收口，下一步必须由真实外部输入触发

R50 工程阶段已完结。后续不是继续堆叠页面，而是在真实外部对象和专用目标出现时执行首份回执不可变导入、外部验签结算、独立目标锁和人工停止态窗口授权。