worked-delivery

订单写入、授权、迁移与回退的实务检查

这是本包的原创合成工作样例，用于说明专业步骤、完整交付和拒收条件。它不是真实客户成果，也不是模型效果评测；实际任务替换输入与约束，按当前标准独立核验。

实务任务

合成任务：给已有多租户订单服务加入审批备注与审计记录，保持旧客户端可用。请求用户与tenant来自已验证身份上下文，不能相信请求正文的owner字段。

必须先分开的责任

• 身份验证回答谁在调用；对象级授权回答能否对该tenant与订单执行该动作。单查“已登录”不能替代对象/字段授权。
• 输入验证检查类型、范围、状态前提；事务维护多表不变量；幂等键界定一次业务操作，重试不能重复扣库存/发事件。
• 业务提交与外部通知要有可恢复边界。数据库提交成功而通知超时，不能把订单记成没有成功。

最小实现与验收样例

| 范围 | 实现要求 | 反例验收 | | --- | --- | --- | | 读写授权 | 以当前身份关联查询目标tenant和订单，每个公开入口独立校验 | A用户读写B订单，批量混入B订单，修改body.owner | | 幂等 | 同一业务键+相同输入返回同一结果；不同输入重用键明确拒绝 | 网络超时后重试，不能生成第二条审批 | | 并发 | 在事务/锁/条件更新中验证version和状态 | 两个审批者基于旧version不能同时改变最终状态 | | 审计 | 记录谁、何时、何事、前后状态及关联请求，不含秘密 | 删除日志字段后仍声称可追责应拒收 | | 迁移 | 先新增兼容字段，再回填/对账，最后切流与清旧字段 | 回填中断可续、旧客户端能读、回退不丢新数据 |

迁移交付模板

migrationPlan 至少包括：原/目标schema、数据量与窗口依据、可重入回填步骤、主键/外键/关键合计核对、锁等待与错误观测、停止阈值、回退能力和不可回退数据的处理。一次成功DDL不是迁移验收；只有备份命令也不是恢复成功。

implementation 显示真实事务边界和版本适配。testEvidence记录允许/拒绝对照、并发、重复请求、部分外部故障以及最终源版本。运行过的脚本、未运行的步骤和待操作决定分列。

条件变化

事件驱动方案要补投递/消费幂等、顺序与重放；跨地区写入要研究一致性约束；敏感字段变化要查日志与导出入口。没有这些需求依据时，不为本例另起消息平台或迁移框架。权限、数据完整性或回滚断言失败属于阻断项，不能用性能或覆盖率分数抵消。

使用与来源边界

方法依据沿用本包 PROVENANCE.md 的已登记专业资料。上面的数字、场景和交付表是原创合成示例；来源列表不证明当前任务已联网取证。先读取 professional-method.md 确认适用范围，再将本例迁移到当前事实；无法验证的结论交明确缺口，不填写成功回执。