# 阶段3C方案审查清单

状态：**独立审查已完成，结论PASS；F1–F6已全部采纳。** 本清单保留为审查基线，实施以《阶段3C方案审查裁决-2026-09-23.md》为准。

日期：2026-09-23。用途：供用户交给其他AI做独立方案审查。审查者不得修改代码；应在独立审查文档中逐项给出PASS、FLAG或BLOCK及证据。

## A. 范围与前置门

- [ ] 3C只做组合、限定正式服fixture、诊断和证据，不接游戏入口。
- [ ] 默认无生产文件修改；接口不足时必须返回差异评审。
- [ ] 当前主会话负责未来实施，其他AI本轮只审方案。
- [ ] 正式API、账号、模式和缓存根目录均已固定。

## B. 正式服安全

- [ ] manifest在任何变更前落盘，key集合不可运行时扩大。
- [ ] 碰撞预检失败时不删除碰撞key。
- [ ] 受限Handler保证Owner初始化不会把业务KV写入测试缓存。
- [ ] Set/Delete越界在网络前拒绝，无重定向、重试或全量清理。
- [ ] 正式服不制造Unknown、超时、断网、4xx或迟到写。
- [ ] Unknown出现时停止写、原运行失败、清理不反向改成通过。
- [ ] 清理只按manifest，两个账号均用双新会话确认为空。

## C. 组合和并发

- [ ] 离线覆盖真实Owner+3A+3B，而非重新实现状态机。
- [ ] 跨进程pending/文件锁步骤可确定执行且有超时。
- [ ] Unknown和RecoveryRequired策略不被诊断导出改变。
- [ ] 101/102和API指纹隔离有明确证据。

## D. 诊断隐私

- [ ] 使用专用DTO，不直接序列化完整DiagnosticSnapshot。
- [ ] 不含Cookie、Token、正文、值、业务key、原始测试key和用户名路径。
- [ ] key只输出SHA256；数量、序号、状态足以定位问题。
- [ ] 诊断失败不修改缓存、不清理证据。

## E. 可执行性和验收

- [ ] 允许文件、命令、结果格式和退出条件完整无歧义。
- [ ] 方案没有TBD/TODO或依赖未授权服务端能力。
- [ ] 42/86/29、Unity、hash及实施后独立审查均是强制门。
- [ ] 清理失败、Unknown、越界请求或生产hash变化均明确阻塞。
- [ ] 真机、游戏接线、PlayFab替换/SDK删除仍明确未完成。

## 输出要求

审查者新建`CodexOutput/upserver/阶段3C独立方案审查-2026-09-23.md`，按严重度列出：位置、问题、触发场景、影响、最小修改建议。最后只能给出“通过”“有条件通过”或“退回”，不得直接修改方案或代码。