ft/CodexOutput/upserver/阶段3C方案审查清单-2026-09-23.md

阶段3C方案审查清单

状态：独立审查已完成，结论PASS；F1–F6已全部采纳。 本清单保留为审查基线，实施以《阶段3C方案审查裁决-2026-09-23.md》为准。

日期：2026-09-23。用途：供用户交给其他AI做独立方案审查。审查者不得修改代码；应在独立审查文档中逐项给出PASS、FLAG或BLOCK及证据。

A. 范围与前置门

• 3C只做组合、限定正式服fixture、诊断和证据，不接游戏入口。
• 默认无生产文件修改；接口不足时必须返回差异评审。
• 当前主会话负责未来实施，其他AI本轮只审方案。
• 正式API、账号、模式和缓存根目录均已固定。

B. 正式服安全

• manifest在任何变更前落盘，key集合不可运行时扩大。
• 碰撞预检失败时不删除碰撞key。
• 受限Handler保证Owner初始化不会把业务KV写入测试缓存。
• Set/Delete越界在网络前拒绝，无重定向、重试或全量清理。
• 正式服不制造Unknown、超时、断网、4xx或迟到写。
• Unknown出现时停止写、原运行失败、清理不反向改成通过。
• 清理只按manifest，两个账号均用双新会话确认为空。

C. 组合和并发

• 离线覆盖真实Owner+3A+3B，而非重新实现状态机。
• 跨进程pending/文件锁步骤可确定执行且有超时。
• Unknown和RecoveryRequired策略不被诊断导出改变。
• 101/102和API指纹隔离有明确证据。

D. 诊断隐私

• 使用专用DTO，不直接序列化完整DiagnosticSnapshot。
• 不含Cookie、Token、正文、值、业务key、原始测试key和用户名路径。
• key只输出SHA256；数量、序号、状态足以定位问题。
• 诊断失败不修改缓存、不清理证据。

E. 可执行性和验收

• 允许文件、命令、结果格式和退出条件完整无歧义。
• 方案没有TBD/TODO或依赖未授权服务端能力。
• 42/86/29、Unity、hash及实施后独立审查均是强制门。
• 清理失败、Unknown、越界请求或生产hash变化均明确阻塞。
• 真机、游戏接线、PlayFab替换/SDK删除仍明确未完成。

输出要求

审查者新建CodexOutput/upserver/阶段3C独立方案审查-2026-09-23.md，按严重度列出：位置、问题、触发场景、影响、最小修改建议。最后只能给出“通过”“有条件通过”或“退回”，不得直接修改方案或代码。