spec 状态 已批准（2026-09-21）
只授权 Phase 0（有条件）；Phase 1 和 Phase 2 附条件；Phase 3 和 Phase 4 不批准，须重新审批
Phase 0–2 只用测试库、沙盒支付、测试 bucket 和测试凭据，不接生产 iOS 流量，不写生产数据库，不切生产 DNS
各阶段审批与门禁
Phase 0 合同提取 未开始
审批：有条件批准（2026-09-21）：执行计划 plan.md 经用户确认后才能开始
门禁：协议文档经用户确认；翻译清单覆盖率 100%，每条都有处置结论
范围：纯文档与测试产出，不写新系统业务代码
plan.md 还没写（WITH-529 起草中）
Phase 1 新服务端骨架与 Android MVP 链路 未开始
审批：附条件：Phase 0 退出条件满足、执行计划获确认、测试环境与生产隔离
门禁：翻译自旧系统的 golden tests 全部通过；Android 内部 MVP 同步验收通过；容量压测报告达标
范围：NestJS 骨架、PostgreSQL、身份和同步核心、新测试服，三类同步类型双向打通
默认压测阈值：auth 和 sync head p95 ≤ 300 ms，push 和 delta p95 ≤ 500 ms，5xx < 0.1%
Phase 2 域逐个补齐 未开始
审批：附条件，同 Phase 1
门禁：合同矩阵中全部生产路径实现且合同测试通过；任一域未完成，Phase 3 不得开始
范围：managed AI 网关、计费（沙盒）、主动消息云端调度、社交动态、voice 和媒体、支持信箱、设备 token、支付回调、账号删除、admin
每个域以翻译测试为验收
Phase 3 iOS 迁移彩排 未开始
审批：不批准，须重新审批
门禁：全量迁移矩阵、反向回放与回滚域矩阵、灾难恢复演练（实测 RPO 和 RTO）、iOS 全量兼容矩阵、计费切换 runbook；至少彩排两次
范围：迁移一致性、回滚演练、版本兼容
开始前须另行完成迁移与回滚 plan，并做一次针对迁移一致性的专项复核
Phase 4 切换日与回滚 未开始
审批：不批准，须重新审批
门禁：旧服务端短停机只读，增量追平并对账，DNS 切换；72 小时内可回滚，旧服务端热保留 90 天
范围：切换日操作与回滚
回滚目标：计划内 RPO ≈ 0，灾难场景 RPO ≤ 15 分钟，RTO ≤ 1 小时
Phase 0 交付物（0 / 6）
1. 同步与认证协议冻结文档 未开始
2. 合同矩阵与测试语料翻译清单 未开始
3. 计费与 managed AI 合同清单 未开始
4. 旧系统隐性规则盘点 未开始
5. 生产真实拓扑盘点与部署验收门禁 未开始
6. 关键行为的特征化测试补写 未开始
已做的决策（spec 决策记录）
1. 过渡期登录方案最初定为微信，已被第 10 条取代
2. 技术栈采纳 TypeScript + NestJS + PostgreSQL + Redis
3. 无测试覆盖的关键行为，先对旧系统补写特征化测试再翻译；“已废弃”的结论须用户本人签字
4. 切换日策略为短停机只读，不强制更新 App
5. 旧服务端热保留 90 天，之后冷归档永久保存
6. 统一后双 canonical 账号并存，不自动合并
7. epoch 和 revision 默认全账号新 epoch 并强制 bootstrap
8. 回滚模型为 DNS 切回加反向回放，Phase 3 建成并演练；演练失败降级 forward-only 须用户签字
9. 过渡期测试服独立 session 密钥和 issuer，切换日沿用旧 issuer 并双密钥验证
10. Android 第一版登录为微信加邮箱；2026-09-25 调整为先上邮箱验证码，微信待公司资质就绪后接入
11. 迁移用受控停写，不引入 CDC 或双写；新生产服复用同一 OSS bucket 和 key 约定
还没回答的问题
Phase 0 执行计划（plan.md）还没写：范围、顺序和时间表都未定
来源：后端换代 spec，批准边界；WITH-529 起草中
生产真实拓扑还没核实（/ready、worker、watchdog、蓝绿 slot 与仓库代码的差异），每项生产事实要登记责任人和信息来源
来源：后端换代 spec，Phase 0 交付物 5
生产备份能力不能视为已具备，运维文档仍标为 BLOCKED，新服务端第一天就要有可用的备份和恢复演练证据
来源：后端换代 spec，Phase 0 交付物 5
活跃 iOS 版本矩阵和最低支持版本还没统计，要在 Phase 3 彩排前冻结
来源：后端换代 spec，Phase 3 第 8 项
微信登录什么时候接入：取决于公司资质办理进度
来源：后端换代 spec，2026-09-25 登录顺序调整
Gate 4 何时通过：取决于真机冒烟结果；新服务端 Phase 0–2 要等 Gate 4 通过后才重新启用
来源：Android 客户端先行 spec，Backend Replacement Gate