@microi.net/cli 5.8.5 → 5.8.7

package/skills/system-observability/SKILL.md

@@ -1,248 +1,251 @@
----
-name: system-observability
-description: Microi 系统日志/监控查询、诊断与治理规范。用于分析系统日志、Trace、热点接口、CPU/内存吃满、OOM、异常分配、接口引擎/V8 事件归因、重启事故恢复、网络流量、安全事件和监控性能成本。
----
-
-> **Microi吾码基础规范（强制）：** 任何 AI 模型与宿主每次新建或接续吾码任务，先完整读取 `../workspace-conventions/SKILL.md`，必须执行版本播报、`@microi.net/cli` 后台自动升级、Skills/MCP 同步和进度播报。安装与诊断读取 `../microi-codex-installer/SKILL.md`；更新失败延后重试，不阻断当前工作。
-
-# Microi 系统日志/监控
-
-本 Skill 用于读取、解释、扩展和验收 Microi 的统一【系统日志/监控】能力。它不授权查看其它租户、绕过菜单/平台管理员权限，或把当前节点样本扩写成全局结论。
-
-## 大权限对象与 SQL 参数处理回归
-- 浏览器 Pinia 持久化应按已选字段独立深度监听，缓存序列化片段；非持久化的时钟/加载状态不得触发完整权限遍历，主题变化不得重新序列化用户。权限嵌套修改、登录退出、显式保存、恢复钩子、失败恢复和 dispose 必须回归，嵌入 WebOS 窗口保持只读存储边界。前端镜像验收与后端分开记录。
-待办的多项只读计数由内部 `IFormEngineReadOnlyCountRuntime` 在一个批次中拥有一份独立身份；业务参数不能提供非空 `_CurrentUser`，每项仍经过原表单查询与租户/角色/数据范围检查，事务内顺序执行。抄送分页及可能执行行 V8 的 CRUD 保留独立身份。私有文件 HTTP 原子可接收本次 DiyToken 验证后独占的身份，后台可信上下文仍复制；资源引用、权限、审计和 `Limit=true` 不变。上述优化需要更新后端镜像，不能靠修改 V8 参数来启用或跳过鉴权。
-
-- `FromSection.formatSql` 是 ORM 结果缓存键处理，独立于页面 SQL 展示。大型 IN 权限快照需测试这条真实路径的分配量、参数前缀、字面量、替换值含参数文本、空值和缓存键稳定性；禁止用逐参数 `String.Replace`。单对象 HTTP 表单仅可转交本次 DiyToken 验证后独立身份，批量行与已有 JSON 持有者必须保留副本，不能推广为共享可变身份缓存。
-
-- 保持用户需要的 `PrintSqlToPage` 开启。参数准备、页面可执行 SQL 与慢日志不得逐参数扫描和复制整条 SQL；使用单次扫描，并测试字符串、注释、参数名前缀、替换值含参数文本及完整页面输出。
-- 动态 FormEngine 参数不得把 `_CurrentUser` 复制进业务行数据；一轮转换只拥有一份独立身份树，不能为性能共享可变用户缓存或修改调用方对象。用接近实际规模的权限树测量分配，并验证租户、访问密钥、角色和可变子对象隔离。
-- 接口引擎正常、异常与慢日志使用 `ApiEngineLogParameters.Serialize`，在序列化前排除顶层内部 `_CurrentUser`，用户仍由独立 UserId/UserName 字段记录；业务嵌套同名字段、类型和空值保留，不修改原参数。不允许先深复制/序列化权限树再截断。托管文件 URL、后台任务和菜单接口向可信原子只投影业务参数，后端仍独立验证身份、租户和资源权限。
-
-登录身份权限异常膨胀时，先比对 sys_rolelimit 的有效行与 IsDeleted=1 历史行。原生权限快照与菜单授权编辑只加载有效权限，IsDeleted 为 NULL 的存量记录仍有效；没有该列的旧表保持兼容，新增列后立即采用过滤，元数据或查询异常不回退为全量授权。该修复需要更新后端镜像；已有登录缓存通过正常重新登录或 RefreshToken 刷新，不删除权限历史，不改变 DiyToken、角色/数据范围或 PrintSqlToPage。用真实数据库回归旧表、新列、撤销权限、无权限角色、注入参数和查询失败，不能仅凭身份体积下降宣称请求耗时已经恢复。
-
-接口引擎构造脚本参数时，顶层 `_CurrentUser` 属于宿主保留身份，不再复制到 `V8.Param`；脚本读取已认证身份应使用 `V8.CurrentUser`。权限树仍保留完整内容，身份验证、令牌撤销、访问密钥范围、跨租户检查和独立脚本快照保持执行；嵌套业务对象中同名字段仍保留。实时通知检测只读取成功结果的 Code 与 DataAppend，避免为了检查不存在的事件而序列化整份用户/列表/文件 Data；事件字段白名单、大小限制、提交后发送和订阅权限不变。两项优化都需要更新后端镜像。
-- 公共鉴权的角色基础权限读取只检查 `_Roles`，不得复制整份用户的表/菜单权限树；显式 Bearer 请求在同一过滤器中只加载一次有效会话。优化必须保留签名、过期、安全版本、租户一致性、Redis 活动令牌、历史敏感字段清理及访问密钥撤销/范围检查；不得用跨请求身份缓存或共享可变 V8 用户对象换取速度。
-- 分层归因同时核对 `FormAuthorization` 与其内部 `AuthorizationVersion`；原生 Redis 授权版本读取不经过通用 `RedisRead`，不能只用后者排除缓存等待。
-- HTTP Controller 到首个接口引擎可单次交接已经实时验证的身份；交接必须绑定原始参数对象和同一 HttpContext，不能放入 JSON/可复制注解。参数克隆、租户或身份投影变化、重复消费、后续请求及嵌套调用均回到原验证路径。脱敏须继续覆盖全部嵌套字段，优化临时分配不能跳过大权限树。
-- V8 AI 代理在创建时固定不可变身份，首次调用 AI 才构造可变 JSON；普通 V8 不应为未使用的 AI 复制完整权限树。必须测试脚本修改后的身份隔离、全部权限保留、JSON 类型/注解和二进制值隔离，不能延迟读取仍由脚本持有的身份对象。
-- 原生统计失败时不自动重跑全部兼容查询。兼容回退只处理能力确实缺失的旧后端，避免故障放大。
-- 用相同测试记录修复前失败、修复后通过；实际请求需区分冷启动、稳定调用、页面并发、数据库执行与 HTTP 总耗时。镜像、应用包和线上节点分别验收。
-
-## 请求等待分层归因
-
-- 用唯一 TraceId 对齐浏览器计时与 `RecentRequests[].Latency`，分别解释发出前排队、首字节等待、响应接收和服务端顺序阶段；不能将总耗时减 TTFB 当作下载时间。
-- `Latency.Parts` 是含子调用、可能并行的累计墙钟时间，不可相加或等同 CPU。连接打开/连接池等待与 SQL 命令分开；Reader 后续读行不计入 DatabaseCommand。
-- `RuntimeIntervals` 是当前节点最近 30 个约 1 秒同窗样本。分别核对 CPU 执行、I/O wait、steal、GC 暂停、线程池积压、采样唤醒延迟和 cgroup 节流；缺值按不可用处理。旧 Linux CPU 百分比包含 I/O wait，不能直接判定计算饱和。
-- `Memory.HelperProcesses.Collector/RecoveryAnalyzer` 是当前 API 管理的诊断采集/恢复子进程。两次查询间的 CPU 结合 PID、启动时间和 RSS 判断监控成本；首次、重建、不可用时 CPU 为 null。它不是 NAS 全部进程清单，不能将剩余主机负载直接归给某个服务。
-- `Snapshot(includeHost:true)` 的 `Host.Processes`（`process-resources/v1`）每 5 秒持续采样，CPU/RSS/Swap/I/O 前 10 名及最近 12 次样本；核对 Fresh、Scope、HostProcessesVisible、不可读/缺项计数。CPU 100% 是一核；首次、PID 重用、计数重置为 null，RSS 不能累加作独占内存。不采命令行/环境变量。Linux 无固定只读 `/proc:/host/proc:ro` 挂载时只声明当前 PID 命名空间，不能声称看到了全部宿主进程；镜像更新不能新增挂载，不能为诊断开放 Docker socket 或特权容器。
-- `Host.DiskIO.Devices` 包含 SATA/NVMe/RAID/映射设备的速率、IOPS、BusyPercent、AwaitMs 和 InFlight；分区按 sysfs 标记识别，名称以数字结尾不能排除。汇总只累加物理整盘，避免与 RAID/dm 双计；独立时间窗，首次/重置速率为 null。Docker 不可访问不等于宿主没有 Docker。
-- 宿主进程排名的 CPU/IO 速率分别使用每个进程计数器的实际读取时间窗 `CpuWindowSeconds / IoWindowSeconds`，顶层 `WindowSeconds` 只是扫描周期。GC 或调度暂停导致扫描耗时变长时，不能继续用扫描开始时间作为计数分母；单次计数读取超过 250 ms 则该次时间无效，速率为 null。旧后端长扫描的 CPU 尖峰不能直接用来证明宿主饱和。
-- `Trace.RuntimeRequests` 只从当前租户、当前节点最近 500 个请求中返回最多 20 个匹配记录；淘汰和重启导致缺证，不代表快。协议为 `request-latency/v1`，现有 MCP 查询参数不变；本次底层指标没有新增商城声明式资源，后端升级即可读取。
-
-- 批量角标/计数变慢时核对 Identity 次数是否随项数增长。只读 `GetTableDataCountBatch` 允许批内复用一份脱离缓存的可信身份；保留逐项表权限/数据范围、跨批次实时校验及普通 CRUD 的可变身份隔离，不能把该优化扩展为跨请求缓存权限或共享脚本可修改身份。
-- `RoutingMs` 包含在 `BeforeActionMs` 中；路由阶段也可能访问缓存和数据库，不可只看 Controller/表单内部计时。
-
-## 先选入口
-
-| 目标 | 推荐入口 |
-|---|---|
-| 人工排查、看趋势、打开日志详情 | 平台菜单【系统日志/监控】 |
-| AI 查询、自动诊断、验收 | MCP `microi_query_system_observability` |
-| AI 封禁或解封 IP | MCP `microi_manage_system_observability` |
-| 连接池耗尽时在线诊断/恢复 | 查询 `DatabasePools / DatabasePoolRecovery`，治理 `ResetDatabasePools` |
-| 应用页面读取 | Managed 接口引擎 `mci-system-observability-query` |
-| 应用页面治理 | Managed 接口引擎 `mci-system-observability-action` |
-| 扩展宿主、进程、Mongo 或安全底层原子能力 | `V8.Method.GetSystemObservability` / `V8.Method.ManageSystemObservability` |
-
-AI 第一次使用时先查询 `action=Capabilities`，再按返回的动作、权限和边界选择查询。优先使用专用工具，它已经限制动作、参数、分页、确认和审计。旧进程缺少新 Memory 动作时，仅允许通过标准 `microi_run_engine` 临时只读执行固定查询引擎；完整版本排查与降级边界见 [内存事故排查手册](references/memory-incident-triage.md)。不得创建临时维护引擎或绕过后端权限。
-
-## 查询动作
-
-### 连接池故障应急入口
-
-- 收到 `obtaining a connection from the pool` 时，直接用 `microi_query_system_observability(action=DatabasePools,poolTarget=Both)`；故障池可能阻塞普通 `Capabilities` 或 Managed 引擎，此动作走固定 `/api/Diagnostics/database-pools` 应急协议。要求后端支持 `database-pools/v1`，只更新 MCP 不能安装后端。
-- `microi_manage_system_observability(action=ResetDatabasePools,poolTarget=Both)` 无确认值时只预览。执行必须带同一预览的 `operationId`、`poolIds`、`poolTarget` 和 `confirmExecution=ResetDatabasePools:<operationId>`。预览票据 2 分钟有效；执行前仍复核配置摘要。
-- 请求超时或响应未知，使用查询动作 `DatabasePoolRecovery` 与原 `operationId` 回读，禁止换编号重试。每租户 60 秒冷却；命令期限 90 秒；回执保留 10 分钟，过期编号不能重新执行。
-- 回执逐节点区分 `Pending / Incomplete / PartialFailure / CompletedForRegisteredNodes`。只有最后一项证明已注册节点完成；未升级节点不在覆盖范围，最后还需验证原故障只读接口。不得把当前节点探测成功说成全站恢复。
+---
+name: system-observability
+description: Microi 系统日志/监控查询、诊断与治理规范。用于分析系统日志、Trace、热点接口、CPU/内存吃满、OOM、异常分配、接口引擎/V8 事件归因、重启事故恢复、网络流量、安全事件和监控性能成本。
+---
+
+> **Microi吾码基础规范（强制）：** 任何 AI 模型与宿主每次新建或接续吾码任务，先完整读取 `../workspace-conventions/SKILL.md`，必须执行版本播报、`@microi.net/cli` 后台自动升级、Skills/MCP 同步和进度播报。安装与诊断读取 `../microi-codex-installer/SKILL.md`；更新失败延后重试，不阻断当前工作。
+
+# Microi 系统日志/监控
+
+本 Skill 用于读取、解释、扩展和验收 Microi 的统一【系统日志/监控】能力。它不授权查看其它租户、绕过菜单/平台管理员权限，或把当前节点样本扩写成全局结论。
+
+## 大权限对象与 SQL 参数处理回归
+- 浏览器 Pinia 持久化应按已选字段独立深度监听，缓存序列化片段；非持久化的时钟/加载状态不得触发完整权限遍历，主题变化不得重新序列化用户。权限嵌套修改、登录退出、显式保存、恢复钩子、失败恢复和 dispose 必须回归，嵌入 WebOS 窗口保持只读存储边界。前端镜像验收与后端分开记录。
+待办的多项只读计数由内部 `IFormEngineReadOnlyCountRuntime` 在一个批次中拥有一份独立身份；业务参数不能提供非空 `_CurrentUser`，每项仍经过原表单查询与租户/角色/数据范围检查，事务内顺序执行。抄送分页及可能执行行 V8 的 CRUD 保留独立身份。私有文件 HTTP 原子可接收本次 DiyToken 验证后独占的身份，后台可信上下文仍复制；资源引用、权限、审计和 `Limit=true` 不变。上述优化需要更新后端镜像，不能靠修改 V8 参数来启用或跳过鉴权。
+
+- `FromSection.formatSql` 是 ORM 结果缓存键处理，独立于页面 SQL 展示。大型 IN 权限快照需测试这条真实路径的分配量、参数前缀、字面量、替换值含参数文本、空值和缓存键稳定性；禁止用逐参数 `String.Replace`。单对象 HTTP 表单仅可转交本次 DiyToken 验证后独立身份，批量行与已有 JSON 持有者必须保留副本，不能推广为共享可变身份缓存。
+
+- 保持用户需要的 `PrintSqlToPage` 开启。参数准备、页面可执行 SQL 与慢日志不得逐参数扫描和复制整条 SQL；使用单次扫描，并测试字符串、注释、参数名前缀、替换值含参数文本及完整页面输出。
+- 动态 FormEngine 参数不得把 `_CurrentUser` 复制进业务行数据；一轮转换只拥有一份独立身份树，不能为性能共享可变用户缓存或修改调用方对象。用接近实际规模的权限树测量分配，并验证租户、访问密钥、角色和可变子对象隔离。
+- 接口引擎正常、异常与慢日志使用 `ApiEngineLogParameters.Serialize`，在序列化前排除顶层内部 `_CurrentUser`，用户仍由独立 UserId/UserName 字段记录；业务嵌套同名字段、类型和空值保留，不修改原参数。不允许先深复制/序列化权限树再截断。托管文件 URL、后台任务和菜单接口向可信原子只投影业务参数，后端仍独立验证身份、租户和资源权限。
+
+登录身份权限异常膨胀时，先比对 sys_rolelimit 的有效行与 IsDeleted=1 历史行。原生权限快照与菜单授权编辑只加载有效权限，IsDeleted 为 NULL 的存量记录仍有效；没有该列的旧表保持兼容，新增列后立即采用过滤，元数据或查询异常不回退为全量授权。该修复需要更新后端镜像；已有登录缓存通过正常重新登录或 RefreshToken 刷新，不删除权限历史，不改变 DiyToken、角色/数据范围或 PrintSqlToPage。用真实数据库回归旧表、新列、撤销权限、无权限角色、注入参数和查询失败，不能仅凭身份体积下降宣称请求耗时已经恢复。
+
+接口引擎构造脚本参数时，顶层 `_CurrentUser` 属于宿主保留身份，不再复制到 `V8.Param`；脚本读取已认证身份应使用 `V8.CurrentUser`。权限树仍保留完整内容，身份验证、令牌撤销、访问密钥范围、跨租户检查和独立脚本快照保持执行；嵌套业务对象中同名字段仍保留。实时通知检测只读取成功结果的 Code 与 DataAppend，避免为了检查不存在的事件而序列化整份用户/列表/文件 Data；事件字段白名单、大小限制、提交后发送和订阅权限不变。两项优化都需要更新后端镜像。
+- 公共鉴权的角色基础权限读取只检查 `_Roles`，不得复制整份用户的表/菜单权限树；显式 Bearer 请求在同一过滤器中只加载一次有效会话。优化必须保留签名、过期、安全版本、租户一致性、Redis 活动令牌、历史敏感字段清理及访问密钥撤销/范围检查；不得用跨请求身份缓存或共享可变 V8 用户对象换取速度。
+- 分层归因同时核对 `FormAuthorization` 与其内部 `AuthorizationVersion`；原生 Redis 授权版本读取不经过通用 `RedisRead`，不能只用后者排除缓存等待。
+- HTTP Controller 到首个接口引擎可单次交接已经实时验证的身份；交接必须绑定原始参数对象和同一 HttpContext，不能放入 JSON/可复制注解。参数克隆、租户或身份投影变化、重复消费、后续请求及嵌套调用均回到原验证路径。脱敏须继续覆盖全部嵌套字段，优化临时分配不能跳过大权限树。
+- V8 AI 代理在创建时固定不可变身份，首次调用 AI 才构造可变 JSON；普通 V8 不应为未使用的 AI 复制完整权限树。必须测试脚本修改后的身份隔离、全部权限保留、JSON 类型/注解和二进制值隔离，不能延迟读取仍由脚本持有的身份对象。
+- 原生统计失败时不自动重跑全部兼容查询。兼容回退只处理能力确实缺失的旧后端，避免故障放大。
+- 用相同测试记录修复前失败、修复后通过；实际请求需区分冷启动、稳定调用、页面并发、数据库执行与 HTTP 总耗时。镜像、应用包和线上节点分别验收。
+
+## 请求等待分层归因
+
+- 用唯一 TraceId 对齐浏览器计时与 `RecentRequests[].Latency`，分别解释发出前排队、首字节等待、响应接收和服务端顺序阶段；不能将总耗时减 TTFB 当作下载时间。
+- `Latency.Parts` 是含子调用、可能并行的累计墙钟时间，不可相加或等同 CPU。连接打开/连接池等待与 SQL 命令分开；Reader 后续读行不计入 DatabaseCommand。
+- `RuntimeIntervals` 是当前节点最近 30 个约 1 秒同窗样本。分别核对 CPU 执行、I/O wait、steal、GC 暂停、线程池积压、采样唤醒延迟和 cgroup 节流；缺值按不可用处理。旧 Linux CPU 百分比包含 I/O wait，不能直接判定计算饱和。
+- `Memory.HelperProcesses.Collector/RecoveryAnalyzer` 是当前 API 管理的诊断采集/恢复子进程。两次查询间的 CPU 结合 PID、启动时间和 RSS 判断监控成本；首次、重建、不可用时 CPU 为 null。它不是 NAS 全部进程清单，不能将剩余主机负载直接归给某个服务。
+- `Snapshot(includeHost:true)` 的 `Host.Processes`（`process-resources/v1`）每 5 秒持续采样，CPU/RSS/Swap/I/O 前 10 名及最近 12 次样本；核对 Fresh、Scope、HostProcessesVisible、不可读/缺项计数。CPU 100% 是一核；首次、PID 重用、计数重置为 null，RSS 不能累加作独占内存。不采命令行/环境变量。Linux 无固定只读 `/proc:/host/proc:ro` 挂载时只声明当前 PID 命名空间，不能声称看到了全部宿主进程；镜像更新不能新增挂载，不能为诊断开放 Docker socket 或特权容器。
+- `Host.DiskIO.Devices` 包含 SATA/NVMe/RAID/映射设备的速率、IOPS、BusyPercent、AwaitMs 和 InFlight；分区按 sysfs 标记识别，名称以数字结尾不能排除。汇总只累加物理整盘，避免与 RAID/dm 双计；独立时间窗，首次/重置速率为 null。Docker 不可访问不等于宿主没有 Docker。
+- 宿主进程排名的 CPU/IO 速率分别使用每个进程计数器的实际读取时间窗 `CpuWindowSeconds / IoWindowSeconds`，顶层 `WindowSeconds` 只是扫描周期。GC 或调度暂停导致扫描耗时变长时，不能继续用扫描开始时间作为计数分母；单次计数读取超过 250 ms 则该次时间无效，速率为 null。旧后端长扫描的 CPU 尖峰不能直接用来证明宿主饱和。
+- `Trace.RuntimeRequests` 只从当前租户、当前节点最近 500 个请求中返回最多 20 个匹配记录；淘汰和重启导致缺证，不代表快。协议为 `request-latency/v1`，现有 MCP 查询参数不变；本次底层指标没有新增商城声明式资源，后端升级即可读取。
+
+- 批量角标/计数变慢时核对 Identity 次数是否随项数增长。只读 `GetTableDataCountBatch` 允许批内复用一份脱离缓存的可信身份；保留逐项表权限/数据范围、跨批次实时校验及普通 CRUD 的可变身份隔离，不能把该优化扩展为跨请求缓存权限或共享脚本可修改身份。
+- `RoutingMs` 包含在 `BeforeActionMs` 中；路由阶段也可能访问缓存和数据库，不可只看 Controller/表单内部计时。
+
+## 先选入口
+
+| 目标 | 推荐入口 |
+|---|---|
+| 人工排查、看趋势、打开日志详情 | 平台菜单【系统日志/监控】 |
+| AI 查询、自动诊断、验收 | MCP `microi_query_system_observability` |
+| AI 封禁或解封 IP | MCP `microi_manage_system_observability` |
+| 连接池耗尽时在线诊断/恢复 | 查询 `DatabasePools / DatabasePoolRecovery`，治理 `ResetDatabasePools` |
+| 应用页面读取 | Managed 接口引擎 `mci-system-observability-query` |
+| 应用页面治理 | Managed 接口引擎 `mci-system-observability-action` |
+| 扩展宿主、进程、Mongo 或安全底层原子能力 | `V8.Method.GetSystemObservability` / `V8.Method.ManageSystemObservability` |
+
+AI 第一次使用时先查询 `action=Capabilities`，再按返回的动作、权限和边界选择查询。优先使用专用工具，它已经限制动作、参数、分页、确认和审计。旧进程缺少新 Memory 动作时，仅允许通过标准 `microi_run_engine` 临时只读执行固定查询引擎；完整版本排查与降级边界见 [内存事故排查手册](references/memory-incident-triage.md)。不得创建临时维护引擎或绕过后端权限。
+
+## 查询动作
+
+### 连接池故障应急入口
+
+- 收到 `obtaining a connection from the pool` 时，直接用 `microi_query_system_observability(action=DatabasePools,poolTarget=Both)`；故障池可能阻塞普通 `Capabilities` 或 Managed 引擎，此动作走固定 `/api/Diagnostics/database-pools` 应急协议。要求后端支持 `database-pools/v1`，只更新 MCP 不能安装后端。
+- `microi_manage_system_observability(action=ResetDatabasePools,poolTarget=Both)` 无确认值时只预览。执行必须带同一预览的 `operationId`、`poolIds`、`poolTarget` 和 `confirmExecution=ResetDatabasePools:<operationId>`。预览票据 2 分钟有效；执行前仍复核配置摘要。
+- 请求超时或响应未知，使用查询动作 `DatabasePoolRecovery` 与原 `operationId` 回读，禁止换编号重试。每租户 60 秒冷却；命令期限 90 秒；回执保留 10 分钟，过期编号不能重新执行。
+- 回执逐节点区分 `Pending / Incomplete / PartialFailure / CompletedForRegisteredNodes`。只有最后一项证明已注册节点完成；未升级节点不在覆盖范围，最后还需验证原故障只读接口。不得把当前节点探测成功说成全站恢复。
 - 支持当前租户 MySQL/SQL Server 主、读池；`Both / Write / Read`，相同池去重。已加载的其它租户共享池时拒绝；扩展库和其它驱动明确不支持。池上限、驱动版本、退避和失败码可读，`Opening` 不等于驱动借出数。
-- 服务继续验证 DiyToken、Redis 有效会话和主库管理员；访问密钥需要 `mcp:admin`。仅鉴权使用有界无池连接，每节点应急请求最多 2 个、连接和命令超时各 5 秒；修复后的探测使用原业务池。不得创建匿名维护引擎或另设万能密码。
-- 不杀事务、不全局清池、不重放 SQL、不自动放大池上限，不以重启数据库/API 作为默认恢复。无有效会话、Redis/主库不可用或内存保护触发时不能绕过防护。持续泄漏、慢 SQL、容量与网络故障仍需定位根因。
-- 此功能属框架运行时应急协议，不新增表/菜单/引擎，不需要发布商城资源；责任同步为 Core/Dos.ORM、MCP、本文档与内嵌知识。验收必须覆盖真实池耗尽、HTTP 撤权/失效会话、两个独立进程、幂等重试、配置漂移与事务存活。
-
-`microi_query_system_observability` 支持：
-
-| action | 用途 | 关键参数 |
-|---|---|---|
-| `Capabilities` | 能力目录与真实边界 | 无 |
-| `Snapshot` | 请求、进程、主机、Docker、队列、诊断和实时网络 | `windowMinutes=1..15`、`top`、`includeHost`、`includeDocker` |
-| `Memory` | 当前节点内存压力、线程池及共享请求槽占用/等待、执行分配、对象类型和采集质量 | 无；必须先核对采集器心跳与存储错误 |
-| `MemoryIncidents` | 当前租户共享事故与本机持久记录摘要；持续线程池积压也会触发留证 | 最近最多 50 条 |
-| `MemoryIncident` | 执行链、代码哈希、CLR 分配栈和退出证据 | 32 位小写十六进制 `incidentId` |
-
-| `Logs` | 日志列表和完整详情数据 | `keyword/type/category/source/level/searchMonth/pageIndex/pageSize` |
-| `LogTypes` | 日志类型与数量 | `keyword/searchMonth` |
-| `LogStats` | 总数、错误、警告、慢 SQL、慢执行、异常 | `keyword/searchMonth` |
-| `Signal` | 时间窗内的诊断信号 | `windowSeconds=60..86400` 与日志过滤项 |
-| `Trace` | W3C Trace 时间线 | 32 位十六进制 `traceId` |
-| `ApiRank` | 热点接口、耗时占比、平均/P95、异常率 | `top/apiEngineKey/name` |
-| `AppLogs` | 当前 API 进程日志尾部 | `lines=20..1000` |
-| `PlatformStats` | 表、菜单、接口引擎、租户、用户和排行 | 无 |
-| `SecurityData` | 访问、攻击或封锁记录 | `kind=Access|Attack|Block`、分页 |
-| `TrafficHistory` | MySQL 固定时间桶流量趋势 | `rangeKey`；可选 `dimensionType` |
-| `HistoricalDashboard` | 同一时间范围内的热点接口、IP、帐号、租户、内容类型与请求/流量总览 | `rangeKey=live5|today|yesterday|3d|7d|15d|30d|3m|6m|1y`、`top` |
-| `TrafficDetails` | 跨月大文件、上传下载和可疑传输 MongoDB 明细 | `rangeKey`、`pageIndex/pageSize`；可选 `keyword/transferAction/ip/userId/endpoint` |
-
-`Memory` 和事故帧中的 `PressureGlobal*`、`PressureV8Global*` 给出共享槽占用与排队；持续满额排队触发 `SustainedRequestGateWait` 留证。它说明当前节点共享闸门拥堵，需结合租户执行链定位长请求，不能只凭片段数归责某租户。
-请求先取单接口/单租户槽，再取共享 V8/全局槽，避免故障租户在自身槽前排队时占住其它租户的共享容量。不得把 V8.Http 全局默认 600 秒改短来处理单个上游故障；业务需要时按接口明确配置超时。
-
-示例：
-
-```json
-{
-  "action": "HistoricalDashboard",
-  "rangeKey": "30d",
-  "top": 15
-}
-```
-
-```json
-{
-  "action": "TrafficDetails",
-  "rangeKey": "7d",
-  "transferAction": "Upload",
-  "pageIndex": 1,
-  "pageSize": 15
-}
-```
-
-所有列表默认按 15 条开始；扩大分页前先增加过滤条件。日志和安全数据每页最多 200 条，Trace 最多 500 条。历史总览由固定聚合桶一次返回有界 TOP，不得循环拉取无时间边界的全量日志。
-
-## 安全治理动作
-
-`microi_manage_system_observability` 只允许 `BlockIp` 和 `UnblockIp`。第一次不带确认调用只返回 dry-run，不产生写入；确认值必须精确为：
-
-```text
-BlockIp:<ip>
-UnblockIp:<ip>
-```
-
-封禁前必须核对反向代理、容器网桥、健康检查、办公出口和 NAT。可信后端会再次验证平台管理员身份、IP 格式、本机/未指定/组播限制、租户范围，并写审计日志。不能通过参数指定其它租户，也不能把批量 IP、CIDR、任意表写入或旧菜单删除塞进这个工具。
-
-## 数据解释边界
-
-1. `Snapshot`、活动请求、最近请求、进程与应用日志是当前 API 节点视角。多节点结论需要逐节点或接入统一遥测平台。
-2. 热点接口的“耗时占比”是窗口总请求耗时贡献，用于定位相关性；它不是逐请求 CPU 核采样，也不等于该接口独占同等 CPU。
-3. HTTP 可归因流量只统计经过 API 中间件的请求体和响应体。网卡、容器 NetIO 还包含 TLS/HTTP 头、重传、数据库、Redis、MongoDB、MQ、对象存储、外部 HTTP、健康检查和同机其它进程。
-4. “未归因流量”只能作为排查线索，不能强行归属给某个帐号、IP 或接口。
-5. IP 必须注明是可信代理解析后的客户端地址还是直接连接地址；代理链未配置正确前不要据此处罚用户。
-6. 进程 CPU“多核原始值”可超过 100%；247.7% 表示约占用 2.48 个逻辑核心。判断整机压力应使用主机归一值并结合持续时间、请求率与热点排行。
-7. 执行累计分配和 EventPipe 抽样不是存活堆或 RSS；父执行包含子调用，不能相加或把最高分配者直接宣布为唯一根因。CLR 栈关联脚本哈希和资源身份，不保证 JavaScript 行号。
-8. MongoDB 驻留内存、WiredTiger 缓存和日志库存储空间分开解释；磁盘大小不能当作进程 RAM。未正常退出只说明检查点未完成正常关闭，不单独证明 OOM。
-
-## 关键事故 MySQL 持久化与等待归因
-
-- 包含 `critical-incidents/mysql-v1` 的后端将关键事故异步直写当前租户主库 `mci_runtime_incident`，不依赖本地写文件或 Mongo 成功。表和索引必须由【系统日志/监控】官方应用安装；不新增启动 DDL 或环境开关。
-- 持久目录中的事故由独立写库线程每 10 秒分批补写 MySQL，重启后继续；MySQL 版本确认文件与 Mongo 的 `.ack` 独立。核对 `SpoolReplayError`，未挂持久卷且尚未写库的内存队列不在重启恢复保证内。
-- `Memory.RequestWaits` 包含按接口/阶段/目标的 Groups、活动 Samples 和 Recent。HTTP 目标只有主机/端口与路径哈希，不采路径明文、参数或凭据；TraceId 关联执行。Admission 与 Http 是不同计数，不能相加成工作线程数。
-- 事故 `WaitEvidence` 保留分组并发峰值、最长请求样本及最差线程池帧，恢复后的空快照不覆盖现场。各分组 `ObservedAtUtc` 可能不同，不能相加为同一时刻并发量；DiscardedGroups/DiscardedSamples 和 EvidenceTruncated 表示有界取证缺口。
-- `Gate:V8Tenant` 表示租户闸门等待；`AwaitingHttpCompletion` 包含连接/远端处理/接收，不虚构 DNS/TCP 分段。等待超过 10 秒只留证，不改 600 秒默认与显式长超时。
-- 核对 `Evidence.CriticalStorage` 的 AcknowledgedWrites、LastAcknowledgedAtUtc、Pending、DroppedSnapshots、Error；Scope=CurrentNodeAllLoadedTenants 表示这些是节点全部已加载租户的合计，不能据此断言当前租户已写库，必须回读该租户的 MySQL 事故。只有已确认写入才能宣称可跨容器重建读取。MySqlError:1146 提示先核对应用表升级。关系库后备当前仅支持 MySQL，其他驱动明确降级，不能说全部数据库已验收。
-- MySQL 详情标记 `StorageKind=MySqlCriticalEvidence`、RawStacksStoredHere=false；EvidenceTruncated 和 RequestWaits 省略/溢出计数必须报告。MemoryIncidents/MemoryIncident 分别报告 RelationalStorage 与 SharedStorage，Mongo 失败不能掩盖 SQL 成功。
-- 采样与写库使用独立线程。最多 2 个无池连接，连接/命令各 2 秒；失败按租户退避 10 秒。全局最多 64 个合并待写快照，每租户最多 8 个；全局满时从占用最多的租户释放旧快照，新租户仍可进入。核对 MaximumTenantPending、RetryingTenants 与 DroppedSnapshots；容量替换不等于写库确认，旧 spool 不得挤出较新现场。每条 256 KiB、每租户 14 天或最新 512 条，旧快照不能覆盖新证据。
-- 必测：目录不可写 + Mongo 不可用时仍写 MySQL、业务连接池耗尽、单个或多个故障租户填满队列时健康租户仍可写入、跨节点与租户隔离、旧快照重放、线程池饥饿、容器删除后新节点查询。原始栈仍需持久卷；数据库同时故障与尚未确认的强杀窗口不承诺零丢失。
-
-## 内存事故留证规范
-
-处理内存吃满、OOM、异常分配、长循环或重启丢日志时，必须继续读取 [内存事故排查手册](references/memory-incident-triage.md)，按字段与证据质量完成归因，不得仅返回一个热点排行。
-
-- 诊断始终独立于 V8 内存/语句保护；不能为了留证默认开启 `V8Limit`，也不能把正常复杂业务报错当成问题已解决。
-- 先核对包含独立采集器的 API 二进制、可写持久 `logs` 卷和本机 .NET 诊断通道；仅升级商城微服务不代表底层已经上线。
-- 每 2 秒检查点与周期分配样本覆盖尚未返回的执行；API 被强杀后由独立采集器保存末段证据，再由重启节点恢复。极快崩溃、线程调度停顿、磁盘满/丢失仍有缺口，不承诺零丢失。
-- 优化版使用执行边界计量与单独后台线程约 200 ms 身份刷新，不挂载诊断专用的 Jint 逐语句 Constraint，也不依赖可能耗尽的业务线程池定时回调。后台事件必须携带原始 OS 线程 Id 和递增版本；运行中长循环的实时分配看 EventPipe 样本，不能把边界累计值的暂时不变或身份刷新误判成业务没有分配/已经取得进展。
-- `Memory` 动作兼容不变；核对 `Executions.ObservationMode/IdentityRegistryOverflowCount/NativeThreadIdentityUnavailableCount/IdentityRefreshFailureCount` 和 `Collector.ObservedIdentityProtocolVersion/BackgroundIdentityRefreshes/RejectedStaleIdentityMarkers`。字段缺失按旧版/未知处理，不按零故障处理。性能数据与完整边界见下方内存诊断参考文件。
-- 共享 Mongo 事故保留 14 天，本机历史预算 256 MiB。原始片段单段上限 64 MiB，保留最近两段，加上正在写入的一段最多 192 MiB；采集主体到 16 MiB 时提前收尾，为 rundown 留出空间，EventPipe 缓冲固定 64 MiB。完整 API 的收尾实测约 35 MiB，不能用小测试进程的片段大小代替平台验收；仍须检查截断、丢事件和离线方法栈。事件 Id 全局唯一，重放幂等且更新版本只前进；不得回退为无界日志/完整对象序列化。
-- 共享存储断开时先保留本机证据，恢复后补传。多节点共享卷的恢复和清理必须尊重仍存活节点及采集器的租约。
-- 查询先报告 `Fresh/LastCaptureError/LostEvents/OverflowSamples`、本机存储错误和待补传状态；指标缺失应显示不可用，不得按零值宣布健康。
-- 整个容器退出后，重启解析器尝试最后两个原始片段。尾段缺方法栈时保留执行身份与对象类型，并补充前段；必须同时报告 `MissingStackSamples`、`Truncated` 与 `Evidence.StackQuality`，不得把部分恢复称为完整栈。
-- 高 RSS 但没有分配热点时，继续区分长期保留、非托管和数据库进程；受控堆分析属于后续证据，不能伪称分配采样已经给出存活对象根因。
-
-## 隐私与权限
-
-- 只允许平台可观测性管理员读取敏感运行数据或治理 IP；通常要求 `Level >= 9999`，最终以可信后端判定为准。
-- 不采集或持久化请求正文、响应正文、QueryString、Cookie、Authorization、Token、密码、Secret 或 API Key。
-- 文件流量只记录清洗后的文件名/扩展名/数量/字节，不记录文件内容。
-- 日志详情由可信后端递归脱敏；AI 回答仍要避免复述连接串、内部路径、个人信息或可用于登录的材料。
-- 对外分享截图前检查帐号、IP、Trace、内部域名、物理路径和业务数据；需要时使用测试数据重新截图。
-
-## 高性能存储规范
-
-- 请求热路径只做原子计数和有硬上限的分钟桶聚合；端点、IP、帐号、租户、内容类型限制基数并保留 TOP N。
-- 普通高频明细只保留短窗口内存；错误、慢请求、大文件和可疑传输进入有界队列，异步批量写 MongoDB。
+- `Pools[].MinimumPoolSize/ConnectionLifetimeSeconds` 回读保留策略；`CapacityBudget` 合计当前节点所选去重主/读池的配置最大/最小值，`Scope=CurrentNodeSelectedPools`。未知驱动合计为 null，无池连接单列；不包含其它节点、Quartz、扩展库或外部客户端，不用注册节点数虚构全局总量。多节点池预算须低于实例 max_connections 并保留管理/备份余量。
+- 大量 `Sleep` 不证明泄漏；先比对两个窗口的拒绝增量、历史峰值、活跃事务和连接来源。MySQL 未显式配置的业务池默认 100、最小 0，显式值优先；安装器内存足够推荐 500、低内存降级，但现有数据库不会自动扩容。连接 Lifetime 是归还时淘汰过龄连接，不能当空闲回收期限。
+- 服务继续验证 DiyToken、Redis 有效会话和主库管理员；访问密钥需要 `mcp:admin`。仅鉴权使用有界无池连接，每节点应急请求最多 2 个、连接和命令超时各 5 秒；修复后的探测使用原业务池。不得创建匿名维护引擎或另设万能密码。
+- 不杀事务、不全局清池、不重放 SQL、不自动放大池上限，不以重启数据库/API 作为默认恢复。无有效会话、Redis/主库不可用或内存保护触发时不能绕过防护。持续泄漏、慢 SQL、容量与网络故障仍需定位根因。
+- 此功能属框架运行时应急协议，不新增表/菜单/引擎，不需要发布商城资源；责任同步为 Core/Dos.ORM、MCP、本文档与内嵌知识。验收必须覆盖真实池耗尽、HTTP 撤权/失效会话、两个独立进程、幂等重试、配置漂移与事务存活。
+
+`microi_query_system_observability` 支持：
+
+| action | 用途 | 关键参数 |
+|---|---|---|
+| `Capabilities` | 能力目录与真实边界 | 无 |
+| `Snapshot` | 请求、进程、主机、Docker、队列、诊断和实时网络 | `windowMinutes=1..15`、`top`、`includeHost`、`includeDocker` |
+| `Memory` | 当前节点内存压力、线程池及共享请求槽占用/等待、执行分配、对象类型和采集质量 | 无；必须先核对采集器心跳与存储错误 |
+| `MemoryIncidents` | 当前租户共享事故与本机持久记录摘要；持续线程池积压也会触发留证 | 最近最多 50 条 |
+| `MemoryIncident` | 执行链、代码哈希、CLR 分配栈和退出证据 | 32 位小写十六进制 `incidentId` |
+
+| `Logs` | 日志列表和完整详情数据 | `keyword/type/category/source/level/searchMonth/pageIndex/pageSize` |
+| `LogTypes` | 日志类型与数量 | `keyword/searchMonth` |
+| `LogStats` | 总数、错误、警告、慢 SQL、慢执行、异常 | `keyword/searchMonth` |
+| `Signal` | 时间窗内的诊断信号 | `windowSeconds=60..86400` 与日志过滤项 |
+| `Trace` | W3C Trace 时间线 | 32 位十六进制 `traceId` |
+| `ApiRank` | 热点接口、耗时占比、平均/P95、异常率 | `top/apiEngineKey/name` |
+| `AppLogs` | 当前 API 进程日志尾部 | `lines=20..1000` |
+| `PlatformStats` | 表、菜单、接口引擎、租户、用户和排行 | 无 |
+| `SecurityData` | 访问、攻击或封锁记录 | `kind=Access|Attack|Block`、分页 |
+| `TrafficHistory` | MySQL 固定时间桶流量趋势 | `rangeKey`；可选 `dimensionType` |
+| `HistoricalDashboard` | 同一时间范围内的热点接口、IP、帐号、租户、内容类型与请求/流量总览 | `rangeKey=live5|today|yesterday|3d|7d|15d|30d|3m|6m|1y`、`top` |
+| `TrafficDetails` | 跨月大文件、上传下载和可疑传输 MongoDB 明细 | `rangeKey`、`pageIndex/pageSize`；可选 `keyword/transferAction/ip/userId/endpoint` |
+
+`Memory` 和事故帧中的 `PressureGlobal*`、`PressureV8Global*` 给出共享槽占用与排队；持续满额排队触发 `SustainedRequestGateWait` 留证。它说明当前节点共享闸门拥堵，需结合租户执行链定位长请求，不能只凭片段数归责某租户。
+请求先取单接口/单租户槽，再取共享 V8/全局槽，避免故障租户在自身槽前排队时占住其它租户的共享容量。不得把 V8.Http 全局默认 600 秒改短来处理单个上游故障；业务需要时按接口明确配置超时。
+
+示例：
+
+```json
+{
+  "action": "HistoricalDashboard",
+  "rangeKey": "30d",
+  "top": 15
+}
+```
+
+```json
+{
+  "action": "TrafficDetails",
+  "rangeKey": "7d",
+  "transferAction": "Upload",
+  "pageIndex": 1,
+  "pageSize": 15
+}
+```
+
+所有列表默认按 15 条开始；扩大分页前先增加过滤条件。日志和安全数据每页最多 200 条，Trace 最多 500 条。历史总览由固定聚合桶一次返回有界 TOP，不得循环拉取无时间边界的全量日志。
+
+## 安全治理动作
+
+`microi_manage_system_observability` 只允许 `BlockIp` 和 `UnblockIp`。第一次不带确认调用只返回 dry-run，不产生写入；确认值必须精确为：
+
+```text
+BlockIp:<ip>
+UnblockIp:<ip>
+```
+
+封禁前必须核对反向代理、容器网桥、健康检查、办公出口和 NAT。可信后端会再次验证平台管理员身份、IP 格式、本机/未指定/组播限制、租户范围，并写审计日志。不能通过参数指定其它租户，也不能把批量 IP、CIDR、任意表写入或旧菜单删除塞进这个工具。
+
+## 数据解释边界
+
+1. `Snapshot`、活动请求、最近请求、进程与应用日志是当前 API 节点视角。多节点结论需要逐节点或接入统一遥测平台。
+2. 热点接口的“耗时占比”是窗口总请求耗时贡献，用于定位相关性；它不是逐请求 CPU 核采样，也不等于该接口独占同等 CPU。
+3. HTTP 可归因流量只统计经过 API 中间件的请求体和响应体。网卡、容器 NetIO 还包含 TLS/HTTP 头、重传、数据库、Redis、MongoDB、MQ、对象存储、外部 HTTP、健康检查和同机其它进程。
+4. “未归因流量”只能作为排查线索，不能强行归属给某个帐号、IP 或接口。
+5. IP 必须注明是可信代理解析后的客户端地址还是直接连接地址；代理链未配置正确前不要据此处罚用户。
+6. 进程 CPU“多核原始值”可超过 100%；247.7% 表示约占用 2.48 个逻辑核心。判断整机压力应使用主机归一值并结合持续时间、请求率与热点排行。
+7. 执行累计分配和 EventPipe 抽样不是存活堆或 RSS；父执行包含子调用，不能相加或把最高分配者直接宣布为唯一根因。CLR 栈关联脚本哈希和资源身份，不保证 JavaScript 行号。
+8. MongoDB 驻留内存、WiredTiger 缓存和日志库存储空间分开解释；磁盘大小不能当作进程 RAM。未正常退出只说明检查点未完成正常关闭，不单独证明 OOM。
+
+## 关键事故 MySQL 持久化与等待归因
+
+- 包含 `critical-incidents/mysql-v1` 的后端将关键事故异步直写当前租户主库 `mci_runtime_incident`，不依赖本地写文件或 Mongo 成功。表和索引必须由【系统日志/监控】官方应用安装；不新增启动 DDL 或环境开关。
+- 持久目录中的事故由独立写库线程每 10 秒分批补写 MySQL，重启后继续；MySQL 版本确认文件与 Mongo 的 `.ack` 独立。核对 `SpoolReplayError`，未挂持久卷且尚未写库的内存队列不在重启恢复保证内。
+- `Memory.RequestWaits` 包含按接口/阶段/目标的 Groups、活动 Samples 和 Recent。HTTP 目标只有主机/端口与路径哈希，不采路径明文、参数或凭据；TraceId 关联执行。Admission 与 Http 是不同计数，不能相加成工作线程数。
+- 事故 `WaitEvidence` 保留分组并发峰值、最长请求样本及最差线程池帧，恢复后的空快照不覆盖现场。各分组 `ObservedAtUtc` 可能不同，不能相加为同一时刻并发量；DiscardedGroups/DiscardedSamples 和 EvidenceTruncated 表示有界取证缺口。
+- `Gate:V8Tenant` 表示租户闸门等待；`AwaitingHttpCompletion` 包含连接/远端处理/接收，不虚构 DNS/TCP 分段。等待超过 10 秒只留证，不改 600 秒默认与显式长超时。
+- 核对 `Evidence.CriticalStorage` 的 AcknowledgedWrites、LastAcknowledgedAtUtc、Pending、DroppedSnapshots、Error；Scope=CurrentNodeAllLoadedTenants 表示这些是节点全部已加载租户的合计，不能据此断言当前租户已写库，必须回读该租户的 MySQL 事故。只有已确认写入才能宣称可跨容器重建读取。MySqlError:1146 提示先核对应用表升级。关系库后备当前仅支持 MySQL，其他驱动明确降级，不能说全部数据库已验收。
+- MySQL 详情标记 `StorageKind=MySqlCriticalEvidence`、RawStacksStoredHere=false；EvidenceTruncated 和 RequestWaits 省略/溢出计数必须报告。MemoryIncidents/MemoryIncident 分别报告 RelationalStorage 与 SharedStorage，Mongo 失败不能掩盖 SQL 成功。
+- 采样与写库使用独立线程。最多 2 个无池连接，连接/命令各 2 秒；失败按租户退避 10 秒。全局最多 64 个合并待写快照，每租户最多 8 个；全局满时从占用最多的租户释放旧快照，新租户仍可进入。核对 MaximumTenantPending、RetryingTenants 与 DroppedSnapshots；容量替换不等于写库确认，旧 spool 不得挤出较新现场。每条 256 KiB、每租户 14 天或最新 512 条，旧快照不能覆盖新证据。
+- 必测：目录不可写 + Mongo 不可用时仍写 MySQL、业务连接池耗尽、单个或多个故障租户填满队列时健康租户仍可写入、跨节点与租户隔离、旧快照重放、线程池饥饿、容器删除后新节点查询。原始栈仍需持久卷；数据库同时故障与尚未确认的强杀窗口不承诺零丢失。
+
+## 内存事故留证规范
+
+处理内存吃满、OOM、异常分配、长循环或重启丢日志时，必须继续读取 [内存事故排查手册](references/memory-incident-triage.md)，按字段与证据质量完成归因，不得仅返回一个热点排行。
+
+- 诊断始终独立于 V8 内存/语句保护；不能为了留证默认开启 `V8Limit`，也不能把正常复杂业务报错当成问题已解决。
+- 先核对包含独立采集器的 API 二进制、可写持久 `logs` 卷和本机 .NET 诊断通道；仅升级商城微服务不代表底层已经上线。
+- 每 2 秒检查点与周期分配样本覆盖尚未返回的执行；API 被强杀后由独立采集器保存末段证据，再由重启节点恢复。极快崩溃、线程调度停顿、磁盘满/丢失仍有缺口，不承诺零丢失。
+- 优化版使用执行边界计量与单独后台线程约 200 ms 身份刷新，不挂载诊断专用的 Jint 逐语句 Constraint，也不依赖可能耗尽的业务线程池定时回调。后台事件必须携带原始 OS 线程 Id 和递增版本；运行中长循环的实时分配看 EventPipe 样本，不能把边界累计值的暂时不变或身份刷新误判成业务没有分配/已经取得进展。
+- `Memory` 动作兼容不变；核对 `Executions.ObservationMode/IdentityRegistryOverflowCount/NativeThreadIdentityUnavailableCount/IdentityRefreshFailureCount` 和 `Collector.ObservedIdentityProtocolVersion/BackgroundIdentityRefreshes/RejectedStaleIdentityMarkers`。字段缺失按旧版/未知处理，不按零故障处理。性能数据与完整边界见下方内存诊断参考文件。
+- 共享 Mongo 事故保留 14 天，本机历史预算 256 MiB。原始片段单段上限 64 MiB，保留最近两段，加上正在写入的一段最多 192 MiB；采集主体到 16 MiB 时提前收尾，为 rundown 留出空间，EventPipe 缓冲固定 64 MiB。完整 API 的收尾实测约 35 MiB，不能用小测试进程的片段大小代替平台验收；仍须检查截断、丢事件和离线方法栈。事件 Id 全局唯一，重放幂等且更新版本只前进；不得回退为无界日志/完整对象序列化。
+- 共享存储断开时先保留本机证据，恢复后补传。多节点共享卷的恢复和清理必须尊重仍存活节点及采集器的租约。
+- 查询先报告 `Fresh/LastCaptureError/LostEvents/OverflowSamples`、本机存储错误和待补传状态；指标缺失应显示不可用，不得按零值宣布健康。
+- 整个容器退出后，重启解析器尝试最后两个原始片段。尾段缺方法栈时保留执行身份与对象类型，并补充前段；必须同时报告 `MissingStackSamples`、`Truncated` 与 `Evidence.StackQuality`，不得把部分恢复称为完整栈。
+- 高 RSS 但没有分配热点时，继续区分长期保留、非托管和数据库进程；受控堆分析属于后续证据，不能伪称分配采样已经给出存活对象根因。
+
+## 隐私与权限
+
+- 只允许平台可观测性管理员读取敏感运行数据或治理 IP；通常要求 `Level >= 9999`，最终以可信后端判定为准。
+- 不采集或持久化请求正文、响应正文、QueryString、Cookie、Authorization、Token、密码、Secret 或 API Key。
+- 文件流量只记录清洗后的文件名/扩展名/数量/字节，不记录文件内容。
+- 日志详情由可信后端递归脱敏；AI 回答仍要避免复述连接串、内部路径、个人信息或可用于登录的材料。
+- 对外分享截图前检查帐号、IP、Trace、内部域名、物理路径和业务数据；需要时使用测试数据重新截图。
+
+## 高性能存储规范
+
+- 请求热路径只做原子计数和有硬上限的分钟桶聚合；端点、IP、帐号、租户、内容类型限制基数并保留 TOP N。
+- 普通高频明细只保留短窗口内存；错误、慢请求、大文件和可疑传输进入有界队列，异步批量写 MongoDB。
 - 长期趋势使用 MySQL 固定时间桶和确定性幂等键批量 upsert；5 分钟桶保留 48 小时、小时桶保留 45 天、天桶保留 400 天。页面不能每次扫描 Mongo 明细重新聚合总览。
-- 队列必须有硬容量、故障 spool/WAL、停机排空和幂等重放；禁止无界 `ConcurrentQueue` 或逐请求同步写 Mongo/MySQL。
-- Redis 适合短时热点结果、租约和限流；缓存 Key 包含租户、动作和过滤摘要，写入或治理后主动失效，并保留短 TTL 防止永久陈旧。
-
-## 接口引擎归因规范
-
-- PC、UniApp、内置微服务、MCP 和应用包中的固定接口必须调用 `/apiengine/{ApiEngineKey}` 或该引擎唯一 `ApiAddress`；新增代码禁止调用 `/api/ApiEngine/Run`。
-- SDK 的普通 `ApiEngine.Run` 必须自动生成真实引擎路径；旧通用入口只能封装在显式 `RunLegacy` 中，供不能立即升级的历史客户端使用。
-- 监控中保留通用入口的兼容识别，但不能依赖读取请求正文才能知道 Key；真实路由、访问日志、限流和流量排行应直接显示接口引擎 Key。
-- 代码审计要区分运行调用与文档/兼容测试；发布门至少扫描 Microi.Client、UniApp、微服务源码、MCP 与应用包，确保没有新增固定业务依赖。
-
-需要压测或修改热路径时同时读取 `../performance-testing/SKILL.md`；排查 V8/日志写法时读取 `../v8-debugging/SKILL.md`。
-
-## AI 诊断顺序
-
-### 宿主数据库进程高 CPU
-
-- `Host.Processes` 确认 `mysqld` 高 CPU 后，继续用 `microi_query_external_database` 对已授权实例只读查询实际 `performance_schema`/`information_schema`。先核对数据库版本与可用列；使用规范化 `DIGEST_TEXT`，不回传连接串或含业务值的 SQL 正文。
-- 至少间隔一个业务周期采集两次 `events_statements_summary_by_digest`，计算 `COUNT_STAR/SUM_TIMER_WAIT/SUM_ROWS_EXAMINED/SUM_SELECT_SCAN` 差值；累计总耗时与并发墙钟时间不等于 CPU。当前页面 SQL 很快不能排除后台任务在同库扫描。
-- 核对实际索引与锁/事务状态。典型例子是 `mic_data_version` 缺少 `(TableId,TableRowId,CreateTime)`，定时任务运行时间刷新又不断生成版本，形成越来越重的历史扫描。索引由所属应用声明，新旧库都应交付；在线修复后必须回读并观察后续 digest 和同窗宿主进程。
-- 原生建索引工具若不能表达生产所需的在线算法、锁等待上限，应通过受控管理员数据库工具预览固定语句，再按已有明确修复授权执行并回读；不得因响应超时重复建索引，不做表重建或删除历史来掩盖问题。
-
-1. 先查 `Capabilities`，确认当前版本和边界。
-2. 查 `Snapshot`，记录节点、窗口、请求率、活动请求、CPU/内存、队列、HTTP 流量与未归因残差。
-   内存问题同时查 `Memory`、`MemoryIncidents`、`MemoryIncident`，先确定采集健康，再关联接口/V8 事件、表/工作流节点、代码哈希和 Trace。
-3. 查 `ApiRank` 和 `TrafficHistory` 的 Endpoint/IP/User/Tenant/ContentType 维度，区分“计算慢”与“传输大”；再用 `TrafficDetails` 定位具体帐号/匿名、IP、接口、文件元数据和 TraceId。
-4. 按异常接口或 TraceId 查 `Logs`、`Signal`、`Trace`；先处理时间线中的首个根因。
-5. 对慢 SQL 核对执行计划、索引、返回字段、分页、排序/Join 和锁等待；不要先盲目加 Redis。
-6. 对高频只读结果评估短 TTL Redis，并明确更新/删除时的失效路径；对写接口先批量化 I/O、缩小事务和消除逐行远程调用。
-7. 对匿名上传、大响应、重复轮询或攻击信号先核对业务合法性，再限流、对象存储直传/CDN、Range、压缩或封禁。
-8. 优化后用相同窗口与负载复测 P50/P95/P99、RPS、错误率、CPU、内存、分配率和网络字节，不能只凭单次页面刷新下结论。
-
-## 扩展与商城交付
-
-### CDN 模块
-
-- 现有 `microi-platform-service` 的系统日志页增加 CDN Tab；不另建同名应用。固定管理员入口为 `mci-cdn-manager`，内部 `mci-cdn-core / mci-cdn-aliyun / mci-cdn-worker` 均 `StopHttp=1`，四个引擎归 `app.microi.sys-log` 的 Managed 资源。
-- 通过当前租户 MCP 的 `microi_run_engine` 先查 `Capabilities`，再使用 `Domains / Trend / ReportList / Reports / Sls / Configs / Config / Rules / Operations`。现有执行、源码、元数据及发布工具已覆盖此模块，不为 CDN 新增旁路鉴权或通用 HTTP 代理。
-- 凭据优先级为当前租户 `Integration.Cdn.Aliyun.*` 完整私密组 → `Integration.Dns.Aliyun.*` 私密组 → 当前租户 SaaS 的兼容 DNS 字段。半组配置必须失败，不能混组或回退主租户。新增密钥写 `mci_system_setting` Secret，由可信后端解密到后端 `ServerPrivateSettings`；不返回原文。
-- Aliyun 运营报表 ID：1/3 URL 请求/流量、5/7 Referer 请求/流量、9/11 回源 URL 请求/流量、13/15 IP 请求/流量、17 域名、19 PV/UV、21 地区、23 运营商。未订阅不能伪造成零流量，也不能将历史 TOP 当作分钟级规则数据；未知流量单位保持原始值。
-- 报表参数按类型分开：只有 13/15 传非空 Area，1/3/9/11 传非空 HttpCode，21/23 传 IsOverseas；17 不传 DomainName。不得统一附加无关或空筛选项，否则阿里云返回 InvalidParameter。内嵌调用的 V8.Param 可能是 CLR JObject，不向它写入配置对象，创建独立 JS 请求并从服务端读取接入配置。
-- SLS 只用固定查询模板与已校验域名/项目/地域/Logstore；自动判断基于 `remote_ip`、`response_size` 字节以及完整窗口、采集延迟、连续命中、白名单、冷却与限额。私网/环回/链路本地/组播和与保护 CIDR 重叠的地址不封禁。动态阈值须满足历史样本数，默认观察。
-- 云端变更先 `Preview` 再 `Submit`，请求号幂等、配置快照比较、独立持久化状态和租约不可省略。超时/崩溃记 Unknown 并 `Reconcile`，不能自动重发不确定写入。到期只删除本应用新增条目，重叠封禁延后回收。
-- CMS 历史公有媒体的专用动作是 `RefreshCmsMedia/CmsRefreshStatus`；先验证 Capabilities 的 `CmsMediaRefresh/CmsRefreshTaskReadback`。管理员只能提交 `RendId/CmsTaskId`；服务端必须从当前租户已 Offline 的衍生、同站/同版本/同 InputHash 的原源删除检查点、可信 FileServer 与 `/当前租户/mci-cms-public/` 路径计算唯一旧 URL。拒绝任意 URL/目录/正则/客户端任务 Id/云密钥；普通 CMS 角色不能进入管理员入口，内部调用仍须重查权威撤销记录。
-- 云刷新前独立提交操作请求键、租约、原任务快照和 `CloudWriteStarted`；未知只读回原任务，不重复云写入。缺失 TaskId 仅可依据原 URL、执行时间与前快照恢复唯一新任务，歧义保持 Unknown。任务全部 Complete/100%、原 URL 严格 HTTP404 后，CMS 还必须重查源对象不存在和当前发布权限，并在站点锁内消费当前租户权威 outbox。客户端 CacheVerified 标记、隐藏前台、源404、刷新受理或加随机参数404均不能作撤权成功。用户保存/下载副本不可召回。
-- 精确文件刷新通常约5～6分钟；单 URL 入口保留默认每日10,000文件刷新额度、50QPS写入与5QPS任务读取边界，任务历史仅3天且同秒同 URL 任务可能合并，不假定请求与 TaskId 一一对应。刷新本身无独立费用，回源对象存储请求/流量仍可能计费。以阿里云 [RefreshObjectCaches](https://www.alibabacloud.com/help/en/cdn/developer-reference/api-cdn-2018-05-10-refreshobjectcaches)、[DescribeRefreshTasks](https://www.alibabacloud.com/help/en/cdn/developer-reference/api-cdn-2018-05-10-describerefreshtasks)及[刷新预热说明](https://help.aliyun.com/zh/cdn/user-guide/refresh-and-prefetch/)核对实际额度。验收先 warm 自有测试旧 URL 至真实缓存命中，再原请求撤回，保留源删除后旧 URL 仍200的红证、云任务与原 URL404绿证；Node模型通过不能替代真实云端。
-- 单域名 IP 黑名单与全账号海量封禁必须分开；后者需阿里云开通，须明确 `ALL_CDN_DOMAINS`，不在验收时自动开通付费服务。`limit_rate` 是至少 100 KB/s 的下载速率，不是 QPS；日志规则也不等于实时边缘 WAF。
-- `mci-cdn-security-tick` 回收到期封禁；每条启用规则通过 `V8.Method.SaveScheduleJob` 创建错峰任务并使用独立数据库租约。安装包包含基础调度及三张表的结构，不带云密钥、规则实例、白名单或任何测试 IP。
-- 验收分开记录 Node 行为测试、真实管理员/云端只读、文档保留 IP 的受控封禁/到期恢复、真实宿主页面、包正文 SHA 与安装。日志未投递或海量服务未开通时，如实标为待配置，不伪造云端通过。
-
-- 普通查询和汇总优先在 `mci-system-observability-query` 接口引擎编排。
-- 历史日志兼容入口为 `POST/GET /api/SysLog/AddSysLog`；它只接受当前 DiyToken 用户和租户上下文，返回进入异步持久化流程不等于日志已经落库，必须以后续记录回读作为验收事实。
-- 只有接口引擎缺少宿主进程、Docker、Mongo 聚合、安全运行态等可复用底层能力时，才扩展最小 V8 原子方法；Controller 不承载业务编排。
-- 官方引擎声明 `ResourcePolicies.ApiEngines=Managed`，由本次已校验包正文覆盖其拥有的资源；客户扩展使用独立 Key 或 `CreateIfMissing`，既有扩展不被覆盖。不得把 Managed 的旧本地改动当作拒绝应用升级的理由，也不得扩大到无关资源。
-- 按应用发布契约交付表、字段、索引/DDL、接口引擎、菜单、版本日志和微服务运行产物；私有源码由源码同步链交付。`DatabaseOnly/SourceNotIncluded` 必须如实标识，不能声称商城包包含全部源码。安装后回读固定版本快照并在真实页面验收。
-- 后端框架和商城应用是两条升级链：只升级其中一条不能证明功能完整。目标端应先升级兼容框架，再安装/更新最新【系统日志/监控】应用。
-
-## 最低验收
-
-- 系统日志位于首个 Tab；统计、筛选、15 条默认分页、搜索、详情、Trace 时间线均可用。
-- 日志详情使用平台级 `Teleport to="body"` 遮罩整个系统框架；标题/副标题最多两行，异常标红并提供原因与解决方案。
-- 八个 Tab 均跟随主题；动画只使用 transform/opacity 等低成本属性，页面隐藏或 `prefers-reduced-motion` 时暂停。
-- MCP 能发现两个专用工具；`Capabilities`、日志/流量分页、Trace 缺参拦截、IP dry-run、错误确认和成功审计均有自动测试。
-- 通过实际打包后的 MCP 执行 `initialize`、`tools/list`、`describe_tool` 和 Memory 查询，确认三个动作及 `incidentId` 校验；源码测试通过不能代替发行包验收。旧后端失败保留原始 Code/Msg，不能伪造为空结果或自动开启 V8 限制。
-- 对请求热路径做开关前后压测，确认观测开启后 P95/P99、CPU、内存和分配率没有不可接受回退；故障 Mongo 不得阻塞业务请求。
-- 多节点、网卡重置/回绕、服务重启、匿名/登录、大上传/下载、敏感字段脱敏、时间桶幂等和缓存失效均有验证证据。
-- 内存专项至少覆盖：V8 限制关闭的复杂执行、真实 Kestrel TraceId、500 个活动请求、异步嵌套归属、独立采集栈、Mongo 故障、执行中强杀、改名重启、跨节点补传、旧快照重放和租户隔离。
+- 流量桶的 `BucketStartUtc` / `LastSeenAtUtc` 是官方 `varchar(25)` UTC 文本，固定以 `yyyy-MM-dd HH:mm:ss` 19 字符参数写入；禁止直接传含微秒的 `DateTime`，驱动可能生成 26 字符而拒绝整桶。失败回滚、待桶重试和限速告警保持；已捕获的写入警告不能直接归因 `StopHost`，先核对退出码/宿主事件。不通过扩大字段或写生产数据库掩盖序列化根因。
+- 队列必须有硬容量、故障 spool/WAL、停机排空和幂等重放；禁止无界 `ConcurrentQueue` 或逐请求同步写 Mongo/MySQL。
+- Redis 适合短时热点结果、租约和限流；缓存 Key 包含租户、动作和过滤摘要，写入或治理后主动失效，并保留短 TTL 防止永久陈旧。
+
+## 接口引擎归因规范
+
+- PC、UniApp、内置微服务、MCP 和应用包中的固定接口必须调用 `/apiengine/{ApiEngineKey}` 或该引擎唯一 `ApiAddress`；新增代码禁止调用 `/api/ApiEngine/Run`。
+- SDK 的普通 `ApiEngine.Run` 必须自动生成真实引擎路径；旧通用入口只能封装在显式 `RunLegacy` 中，供不能立即升级的历史客户端使用。
+- 监控中保留通用入口的兼容识别，但不能依赖读取请求正文才能知道 Key；真实路由、访问日志、限流和流量排行应直接显示接口引擎 Key。
+- 代码审计要区分运行调用与文档/兼容测试；发布门至少扫描 Microi.Client、UniApp、微服务源码、MCP 与应用包，确保没有新增固定业务依赖。
+
+需要压测或修改热路径时同时读取 `../performance-testing/SKILL.md`；排查 V8/日志写法时读取 `../v8-debugging/SKILL.md`。
+
+## AI 诊断顺序
+
+### 宿主数据库进程高 CPU
+
+- `Host.Processes` 确认 `mysqld` 高 CPU 后，继续用 `microi_query_external_database` 对已授权实例只读查询实际 `performance_schema`/`information_schema`。先核对数据库版本与可用列；使用规范化 `DIGEST_TEXT`，不回传连接串或含业务值的 SQL 正文。
+- 至少间隔一个业务周期采集两次 `events_statements_summary_by_digest`，计算 `COUNT_STAR/SUM_TIMER_WAIT/SUM_ROWS_EXAMINED/SUM_SELECT_SCAN` 差值；累计总耗时与并发墙钟时间不等于 CPU。当前页面 SQL 很快不能排除后台任务在同库扫描。
+- 核对实际索引与锁/事务状态。典型例子是 `mic_data_version` 缺少 `(TableId,TableRowId,CreateTime)`，定时任务运行时间刷新又不断生成版本，形成越来越重的历史扫描。索引由所属应用声明，新旧库都应交付；在线修复后必须回读并观察后续 digest 和同窗宿主进程。
+- 原生建索引工具若不能表达生产所需的在线算法、锁等待上限，应通过受控管理员数据库工具预览固定语句，再按已有明确修复授权执行并回读；不得因响应超时重复建索引，不做表重建或删除历史来掩盖问题。
+
+1. 先查 `Capabilities`，确认当前版本和边界。
+2. 查 `Snapshot`，记录节点、窗口、请求率、活动请求、CPU/内存、队列、HTTP 流量与未归因残差。
+   内存问题同时查 `Memory`、`MemoryIncidents`、`MemoryIncident`，先确定采集健康，再关联接口/V8 事件、表/工作流节点、代码哈希和 Trace。
+3. 查 `ApiRank` 和 `TrafficHistory` 的 Endpoint/IP/User/Tenant/ContentType 维度，区分“计算慢”与“传输大”；再用 `TrafficDetails` 定位具体帐号/匿名、IP、接口、文件元数据和 TraceId。
+4. 按异常接口或 TraceId 查 `Logs`、`Signal`、`Trace`；先处理时间线中的首个根因。
+5. 对慢 SQL 核对执行计划、索引、返回字段、分页、排序/Join 和锁等待；不要先盲目加 Redis。
+6. 对高频只读结果评估短 TTL Redis，并明确更新/删除时的失效路径；对写接口先批量化 I/O、缩小事务和消除逐行远程调用。
+7. 对匿名上传、大响应、重复轮询或攻击信号先核对业务合法性，再限流、对象存储直传/CDN、Range、压缩或封禁。
+8. 优化后用相同窗口与负载复测 P50/P95/P99、RPS、错误率、CPU、内存、分配率和网络字节，不能只凭单次页面刷新下结论。
+
+## 扩展与商城交付
+
+### CDN 模块
+
+- 现有 `microi-platform-service` 的系统日志页增加 CDN Tab；不另建同名应用。固定管理员入口为 `mci-cdn-manager`，内部 `mci-cdn-core / mci-cdn-aliyun / mci-cdn-worker` 均 `StopHttp=1`，四个引擎归 `app.microi.sys-log` 的 Managed 资源。
+- 通过当前租户 MCP 的 `microi_run_engine` 先查 `Capabilities`，再使用 `Domains / Trend / ReportList / Reports / Sls / Configs / Config / Rules / Operations`。现有执行、源码、元数据及发布工具已覆盖此模块，不为 CDN 新增旁路鉴权或通用 HTTP 代理。
+- 凭据优先级为当前租户 `Integration.Cdn.Aliyun.*` 完整私密组 → `Integration.Dns.Aliyun.*` 私密组 → 当前租户 SaaS 的兼容 DNS 字段。半组配置必须失败，不能混组或回退主租户。新增密钥写 `mci_system_setting` Secret，由可信后端解密到后端 `ServerPrivateSettings`；不返回原文。
+- Aliyun 运营报表 ID：1/3 URL 请求/流量、5/7 Referer 请求/流量、9/11 回源 URL 请求/流量、13/15 IP 请求/流量、17 域名、19 PV/UV、21 地区、23 运营商。未订阅不能伪造成零流量，也不能将历史 TOP 当作分钟级规则数据；未知流量单位保持原始值。
+- 报表参数按类型分开：只有 13/15 传非空 Area，1/3/9/11 传非空 HttpCode，21/23 传 IsOverseas；17 不传 DomainName。不得统一附加无关或空筛选项，否则阿里云返回 InvalidParameter。内嵌调用的 V8.Param 可能是 CLR JObject，不向它写入配置对象，创建独立 JS 请求并从服务端读取接入配置。
+- SLS 只用固定查询模板与已校验域名/项目/地域/Logstore；自动判断基于 `remote_ip`、`response_size` 字节以及完整窗口、采集延迟、连续命中、白名单、冷却与限额。私网/环回/链路本地/组播和与保护 CIDR 重叠的地址不封禁。动态阈值须满足历史样本数，默认观察。
+- 云端变更先 `Preview` 再 `Submit`，请求号幂等、配置快照比较、独立持久化状态和租约不可省略。超时/崩溃记 Unknown 并 `Reconcile`，不能自动重发不确定写入。到期只删除本应用新增条目，重叠封禁延后回收。
+- CMS 历史公有媒体的专用动作是 `RefreshCmsMedia/CmsRefreshStatus`；先验证 Capabilities 的 `CmsMediaRefresh/CmsRefreshTaskReadback`。管理员只能提交 `RendId/CmsTaskId`；服务端必须从当前租户已 Offline 的衍生、同站/同版本/同 InputHash 的原源删除检查点、可信 FileServer 与 `/当前租户/mci-cms-public/` 路径计算唯一旧 URL。拒绝任意 URL/目录/正则/客户端任务 Id/云密钥；普通 CMS 角色不能进入管理员入口，内部调用仍须重查权威撤销记录。
+- 云刷新前独立提交操作请求键、租约、原任务快照和 `CloudWriteStarted`；未知只读回原任务，不重复云写入。缺失 TaskId 仅可依据原 URL、执行时间与前快照恢复唯一新任务，歧义保持 Unknown。任务全部 Complete/100%、原 URL 严格 HTTP404 后，CMS 还必须重查源对象不存在和当前发布权限，并在站点锁内消费当前租户权威 outbox。客户端 CacheVerified 标记、隐藏前台、源404、刷新受理或加随机参数404均不能作撤权成功。用户保存/下载副本不可召回。
+- 精确文件刷新通常约5～6分钟；单 URL 入口保留默认每日10,000文件刷新额度、50QPS写入与5QPS任务读取边界，任务历史仅3天且同秒同 URL 任务可能合并，不假定请求与 TaskId 一一对应。刷新本身无独立费用，回源对象存储请求/流量仍可能计费。以阿里云 [RefreshObjectCaches](https://www.alibabacloud.com/help/en/cdn/developer-reference/api-cdn-2018-05-10-refreshobjectcaches)、[DescribeRefreshTasks](https://www.alibabacloud.com/help/en/cdn/developer-reference/api-cdn-2018-05-10-describerefreshtasks)及[刷新预热说明](https://help.aliyun.com/zh/cdn/user-guide/refresh-and-prefetch/)核对实际额度。验收先 warm 自有测试旧 URL 至真实缓存命中，再原请求撤回，保留源删除后旧 URL 仍200的红证、云任务与原 URL404绿证；Node模型通过不能替代真实云端。
+- 单域名 IP 黑名单与全账号海量封禁必须分开；后者需阿里云开通，须明确 `ALL_CDN_DOMAINS`，不在验收时自动开通付费服务。`limit_rate` 是至少 100 KB/s 的下载速率，不是 QPS；日志规则也不等于实时边缘 WAF。
+- `mci-cdn-security-tick` 回收到期封禁；每条启用规则通过 `V8.Method.SaveScheduleJob` 创建错峰任务并使用独立数据库租约。安装包包含基础调度及三张表的结构，不带云密钥、规则实例、白名单或任何测试 IP。
+- 验收分开记录 Node 行为测试、真实管理员/云端只读、文档保留 IP 的受控封禁/到期恢复、真实宿主页面、包正文 SHA 与安装。日志未投递或海量服务未开通时，如实标为待配置，不伪造云端通过。
+
+- 普通查询和汇总优先在 `mci-system-observability-query` 接口引擎编排。
+- 历史日志兼容入口为 `POST/GET /api/SysLog/AddSysLog`；它只接受当前 DiyToken 用户和租户上下文，返回进入异步持久化流程不等于日志已经落库，必须以后续记录回读作为验收事实。
+- 只有接口引擎缺少宿主进程、Docker、Mongo 聚合、安全运行态等可复用底层能力时，才扩展最小 V8 原子方法；Controller 不承载业务编排。
+- 官方引擎声明 `ResourcePolicies.ApiEngines=Managed`，由本次已校验包正文覆盖其拥有的资源；客户扩展使用独立 Key 或 `CreateIfMissing`，既有扩展不被覆盖。不得把 Managed 的旧本地改动当作拒绝应用升级的理由，也不得扩大到无关资源。
+- 按应用发布契约交付表、字段、索引/DDL、接口引擎、菜单、版本日志和微服务运行产物；私有源码由源码同步链交付。`DatabaseOnly/SourceNotIncluded` 必须如实标识，不能声称商城包包含全部源码。安装后回读固定版本快照并在真实页面验收。
+- 后端框架和商城应用是两条升级链：只升级其中一条不能证明功能完整。目标端应先升级兼容框架，再安装/更新最新【系统日志/监控】应用。
+
+## 最低验收
+
+- 系统日志位于首个 Tab；统计、筛选、15 条默认分页、搜索、详情、Trace 时间线均可用。
+- 日志详情使用平台级 `Teleport to="body"` 遮罩整个系统框架；标题/副标题最多两行，异常标红并提供原因与解决方案。
+- 八个 Tab 均跟随主题；动画只使用 transform/opacity 等低成本属性，页面隐藏或 `prefers-reduced-motion` 时暂停。
+- MCP 能发现两个专用工具；`Capabilities`、日志/流量分页、Trace 缺参拦截、IP dry-run、错误确认和成功审计均有自动测试。
+- 通过实际打包后的 MCP 执行 `initialize`、`tools/list`、`describe_tool` 和 Memory 查询，确认三个动作及 `incidentId` 校验；源码测试通过不能代替发行包验收。旧后端失败保留原始 Code/Msg，不能伪造为空结果或自动开启 V8 限制。
+- 对请求热路径做开关前后压测，确认观测开启后 P95/P99、CPU、内存和分配率没有不可接受回退；故障 Mongo 不得阻塞业务请求。
+- 多节点、网卡重置/回绕、服务重启、匿名/登录、大上传/下载、敏感字段脱敏、时间桶幂等和缓存失效均有验证证据。
+- 内存专项至少覆盖：V8 限制关闭的复杂执行、真实 Kestrel TraceId、500 个活动请求、异步嵌套归属、独立采集栈、Mongo 故障、执行中强杀、改名重启、跨节点补传、旧快照重放和租户隔离。