认证与权限
- 供应商验证 / 密码 / 挑战
- MySQL 身份与会话
- 撤销 / 过期 / 角色
- 资源引用鉴权
- 受限业务结果
外部身份只证明用户是谁；公开目录不授予私有文件权利。
SYSTEM MAP / 运行架构
ARCH / 2026系统设计
从 G1 到 G8 展开原生后端：独立可信构建、同镜像发布、MySQL 业务记录、私有 TOS 文件、权限隔离、恢复回滚与 RomM 实际退役。两环境均已切换；按视图选择节点查看详细数据流和验收边界，人工体验待测单独列出。
原生后端架构档案
2026-10-06 验收快照，不是实时监控网站业务由 MySQL 持久化，私有文件由 TOS 持久化，staging 与官网均按不可变镜像发布。RomM 已实际停用，不再是业务依赖。
- 最终 main
87839e2361e496280788ae87dfade20c57c80a6f- 官网镜像
sha256:e41de36502bf62ec3f0d555f2a8a4358086f522792f8c58dd68307e85497f4ec- 资产清单
roms/manifests/digibitplay/production/87839e2361e496280788ae87dfade20c57c80a6f.json
状态说明：自动检查完成不代表真人体验已测。Google 真人登录、视觉 / 多模态和真实本地模拟器统一留在人工待测清单；G7 按用户接受的 393.284 秒实测通过，不宣称五分钟或连续三次达标。
运行拓扑
正常业务只依赖原生网站、MySQL 与私有 TOS。公开模型单独发布，RomM 不在请求路径上。
运行中自动实测人工待测已退役实线：运行或控制关系虚线：真实终端体验待测
用户入口
网络与身份
原生应用
外部持久状态
独立控制面
点击或用键盘选择节点，高亮相关关系并在下面展开详情。窄屏可横向滚动，或切换文字列表；不会自动滚动页面。
选择一个节点查看详细合同
这里展开职责、输入输出、安全边界、实现入口和有方向的数据流；退役与待测组件不会被描述成已上线能力。
展开本视图全部有向关系（文字版）
- 网页与游戏库 → HTTPS 与流量入口：HTTPS 页面 / API
- 运营管理入口 → HTTPS 与流量入口：受限管理请求
- HTTPS 与流量入口 → 无状态网站 / API：当前蓝绿槽位
- 无状态网站 / API → 身份、会话与角色：身份与角色校验
- 无状态网站 / API → 独立游戏资源领域：领域路由
- 无状态网站 / API → 文件、引用与票据 API：私有资源请求
- 身份、会话与角色 → 托管 MySQL 8.4：会话 / 挑战 / 撤销
- 独立游戏资源领域 → 托管 MySQL 8.4：目录 / 社区 / 收藏
- 文件、引用与票据 API → 托管 MySQL 8.4：引用 / 上传 / 票据
- 文件、引用与票据 API → 私有 TOS 文件层：授权对象操作
- 网页与游戏库 → 公开模型与资产：公开模型资产
- 独立存储 worker → 托管 MySQL 8.4：任务 / 租约 / outbox
- 独立存储 worker → 私有 TOS 文件层：幂等提交 / 安全清理
- 自动备份与持续日志 → 托管 MySQL 8.4：备份 / 日志
- 本地启动器 → 文件、引用与票据 API：一次性票据兑换（待人工终端验收）
G1–G8：从边界设计到官网交付
按串行关卡完成。展开查看各关职责、实际验收范围与证据；历史阶段收据不替代最终官网运行身份。
G1后端边界与可信基础完成
识别业务写者、环境、JSON / RomM 边界与重置范围；复用独立 Runner 和受控代理，不把规划当上线。
- 实际入口与不可重建状态清单
- 来源 / 分支与发布身份边界
- 开发数据重置和文件保留范围
docs/evidence/native-backend-ci-g1-20261005.jsonG2新 MySQL 关系模型完成
实体模型、版本化 schema、事务约束、完整分页和最小账号权限；应用不自动 DDL。
- 真实 MySQL 集成与失败拒绝
- 账号 / 目录 / 社区 / 文件关系
- 初始化与应用身份分离
docs/evidence/native-backend-ci-g2-20261005.jsonG3私有 TOS 文件管理完成
分片外置、可信整文件摘要、精确版本、共享引用、outbox / 租约、可恢复上传和延迟清理。
- 16 个真实云阶段 / 97 项检查
- 23 项真实权限拒绝
- 中断 / 重启 / 替换 / 引用删除
docs/evidence/native-backend-ci-g3-20261005.jsonG4全域接线与解除依赖完成
认证、目录、云库、社区、运营、个性化与票据接入原生后端，移除 JSON / RomM fallback。
- 无 RomM 配置也能运行
- 服务端角色和普通用户拒绝
- 存储故障明确失败 / 必要 API 联调
docs/evidence/native-backend-ci-g4-20261005.jsonG5staging 自动部署与无状态完成
根 Dockerfile、私有 CR、同 digest 候选、只读配置、真实业务与多实例状态检查后切换。
- 58 项真实业务检查
- 重建 / 完整实例替换 / 双实例
- 当前 SHA / digest / manifest / 依赖不变
docs/evidence/native-backend-ci-g5-20261005.jsonG6恢复与兼容代码回滚实测通过
自动备份与日志、隔离时间点恢复、释放后恢复、私有文件完整性和两个新架构版本间回滚。
- RPO 3.305 秒 / RTO 184.703 秒
- 59 表 / 100 外键 / 对象字节
- 全量备份强制加密要求已取消
docs/evidence/native-backend-ci-g6-20261005.jsonG7热缓存发布速度用户接受实测
单次端到端 393.284 秒。原五分钟 / 连续三次性能断言未通过，保留原始数据而不改写为达标。
- 质量 35 秒 / 资产 109 秒
- 构建推送 116 秒 / 部署健康 103.284 秒
- 排队与衔接 30 秒；仅一个完整样本
docs/evidence/native-backend-ci-g7-20261005.jsonG8官网同镜像交付与实际退役完成
最终 main 候选与官网同 digest，实际停用两环境 RomM 和旧网站入口，退役后新业务仍通过。
- 最终 run 37375166062 / PR #101
- 58 业务 / 12 SQL / 12 隔离检查
- 36 完整模型；worker 保持；两环境退役
docs/history/plans/native-backend-delivery-20261006.md业务记录、文件字节与任务状态分别存在哪里
MySQL 持久化业务事实，TOS 持久化文件字节。公开模型、私有玩家资源和备份不是同一访问域。
| 关系模型领域 | 实际记录 | 必须保持的约束 |
|---|---|---|
| 身份与安全 | 用户、外部身份、密码校验材料、设备、会话、撤销、OAuth / OTP 挑战、角色、限流、审计 | 稳定身份；挑战过期 / 一次性消费；Admin 不等于 DB 管理员。 |
| 平台与游戏目录 | 平台、游戏、发行版本、地区、语言、媒介、文件组、多光盘、别名、人工元数据 | 摘要不等于游戏；扩展名不独立决定平台；元数据不授予下载权。 |
| 玩家与社区 | 用户持有、收藏、个人状态、集合、圈子、成员、帖子、回复、点赞、关注、举报、审核、个性化配置 | 实体关系 / 分页 / 外键 / 事务；公开交流不泄露私有对象。 |
| 文件与异步任务 | 对象版本、可信摘要、玩家引用、上传会话、分片索引、任务、outbox、租约、清理状态、启动票据 | 持久字节在 TOS；数据库只保存事实与关系；对象提交和物理删除可恢复。 |
关键链路与失败语义
流程中的顺序表示控制关系，不表示 MySQL 与 TOS 之间存在跨服务原子事务。
上传与就绪
- init 与持久 checkpoint
- TOS 分片 + MySQL 分片记录
- 完成请求 + outbox
- 租约 worker / 幂等提交
- 整文件摘要 + VersionId
- ready 与玩家引用
中断、重试或换实例从外部状态恢复；提交未知不能直接标记成功。
安全移除
- 校验玩家引用
- 事务移除单个引用
- 最后引用触发清理事件
- 等待恢复保留窗口
- 再次核对版本 / 摘要 / 零引用
- 独立清理身份物理删除
共享字节不共享权限；正常保留窗口为 30 天。
启动票据
- 会话 / 平台 / 文件组检查
- MySQL 一次性票据
- 本地桥接器兑换
- 受限私有下载 + 摘要
- 可重建 LRU 缓存
- 本地白名单模拟器
后端票据已自动验证；真实设备与模拟器体验待集中人工测试。
发布失败与回退
- 可信门禁
- 当前提交候选
- 身份 / 业务 / 模型验证
- 最新分支与锁检查
- Nginx 切换 + 外部健康
- 失败保留旧站 / 兼容版本回退
回退代码继续使用最新 MySQL / TOS，不恢复旧业务备份。
数据恢复
- 自动全量 + 连续日志
- 对象版本保留
- 选定恢复点
- 独立托管恢复目标
- 表 / 外键 / 引用 / 文件核对
- 正常业务 + RPO / RTO 收据
只使用隔离演练目标，不覆盖在线数据库；测量不是无限规模 SLA。
身份与权限矩阵
应用、初始化、清理、构建、拉取与备份身份分开。拒绝测试证明的边界不能用扩大权限来绕过。
| 身份 | 允许 | 禁止 |
|---|---|---|
| 网站应用 | 当前环境限定业务表读写、私有文件上传 / 授权下载、事务 outbox | DDL、创建用户 / 授权、跨环境写删、删除备份、直接物理清理 |
| 初始化 / 管理 | 受控 schema 初始化与限定账号权限配置 | 注入普通网站、作为应用故障时的 fallback、自动宽权限运行 |
| 存储 worker | 受限任务领取、版本对账、符合引用与保留条件的对象操作 | 绕过零引用 / 恢复窗口、读取另一环境、删除备份、初始化 schema |
| CI 推送 / ECS 拉取 | 分别推送构建镜像 / 拉取已确认 digest；临时认证 | 共享应用业务密钥、在镜像内放秘密、按可变标签猜版本 |
| 备份 / 恢复控制面 | 受控备份、日志保留、隔离恢复目标与演练资源管理 | 被应用身份代用、覆盖在线库、删除不属于演练的资源 |
| 浏览器 / 本地桥接器 | 用户会话 API、一次性票据、已授权短期文件结果 | MySQL 直连、云长期密钥、任意系统命令、凭客户端 ID 越权 |
当前运行、历史保留与后续待测
本档案是完成时基线。后续发布应结合公开 /api/release 和同次 Actions 收据，不把这个固定 SHA 当成永远最新。
当前运行
独立可信 Runner / 按需代理、北京私有 CR、两环境非 root 网站容器、独立存储 worker、分环境 MySQL 业务库与私有 TOS、公开不可变资产和恢复机制。
已停用但不删除资产
两环境 RomM 与旧网站入口已停用，无运行时 fallback。原卷与离线资料保留；原数据库容器不作为网站依赖，未为完成目标误停共享服务或释放收费资源。
待测 / 非本轮承诺
真人 Google、前端视觉、多模态、真实本地模拟器、Android / 其他供应商。Redis 不是原生业务唯一存储；当前也不把它画成必需部署服务。数据库物理高可用与任意事故 SLA 另行评估。