源码证据支持一个跨端主机制：账户快照、订阅定位与节点目录分开缓存，局部触发没有完整传播。Android 购买另有独立确定性故障：客户端把鉴权、网络、解码与切换失败全部压成“空套餐”；旧结算链还会误判完成响应与订单状态，并可能跨镜像重复提交。额度语义也已按生产契约纠正。
实施状态：统一 Project 基座、首批 6 仓 caller、Android / Windows / Apple TV / Apple iOS CI、独立 macOS 发布链与 Windows 额度修复已合并；12 条现存 issue 已回填。Apple iOS PR #54 经 Build Loop、CodexLoop、独立复核及合并前后两次远端 CI 全绿；发布 job 保持跳过。Android 购买、密码和其余各端额度 / 刷新任务继续按独立 worktree 与独立 PR 推进。未完成签名真机与用户到达验证，未触发发布。
Android 找回密码是明确缺功能；Android 购买是目录错误被伪装成“暂无套餐”。节点、续费与账户刷新共享跨端状态传播断链；额度则是六端合同漂移。Issue 统一查看不应破坏代码归属。
后端源码会读取当前账户与节点状态，客户端源码则存在“只刷新账户、不更新订阅定位”“只刷新套餐、不拉节点”“支付成功只改 UI 状态”“恢复前台只查隧道”等断点。登录会绕开这些局部缓存，因此常能恢复；真实工单中各根因占比仍需设备版本、请求轨迹与生产指标证明。
后端能力已存在。补原生 UI、验证码与重置 API 接入，不需要新后端。
后端目录健康；客户端不能再把故障伪装成真实空目录。结算 mutation 必须单端点、不可自动重放；发起下单前先记未知态，任何不确定结果只允许对账，不能再次下单。
不做固定计时或缓存年龄强刷。登录或新账户、稳定账户 / 可观察权益与可用性 / 受信订阅语义变化、缓存不可用、换号与凭据拒绝恢复可自动刷新一次；同一批准等价 origin 组内的 host-only 变化不触发，纯目录轮换保持手动。
成功才原子替换本地缓存；暂时失败且账户仍有效时保留旧节点与原检查时间，权威失效则隔离。触屏端下拉，桌面与 TV 保留明确按钮。
零或负额度是权威不可用；缺失、空值或畸形字段是结果不确定；正额度未用尽才可用，达到或超过即耗尽。
Issue 留在代码仓库。一个 GitHub Project 自动汇总，展示仓库、平台、原生类型、状态与负责人。
在受限事件流程内完成影响评估、轮换与现有安装升级连续性验证；闭环前停发该端。公开报告不记录载体、路径、材料或技术细节。
后端已具备，缺口明确，风险与范围最小。
根因链已定位；保持独立 PR，先区分真实空目录与可恢复故障，再修支付入口。
方案评分 96；机制置信度约 85。额度合同作为另一条独立安全链处理。
生产源码与 Fable 5 一致：0 不是不限量；不完整响应不能被误判为可用。
匹配各平台输入方式，入口一致且可发现。
一张 CEO 视图，仍保留代码归属和零 LLM 主链。
没有付费用户证据前，避免扩大兼容与测试面。
原生签名与商店不同，必须独立但采用同一发布闸门。
保留 192 提交历史与 21 条 main 修复；本集成 PR 唯一例外使用 merge commit。
登录是唯一在所有平台都稳定执行的完整强刷入口，并非各平台字面上的唯一完整链。Apple App 内支付大多另有完整流程；其余常用刷新路径仍只更新一段。
不同客户端断点不同，用户体验却一致。
网页或部分客户端续费后，服务端状态改变，但该路径没有可靠完成事件。
到期与流量可能更新，但订阅定位仍旧。
命中缓存、拒绝后清空，或根本不拉节点。
前台恢复与设置页没有完整刷新入口。
重建账户快照与节点目录，所以常能恢复；具体工单仍待版本与请求轨迹归因。
| 客户端表面 | 找回密码 | 双通道协调器 | 续费自愈 | 手动刷新与成功检查 | 前台账户检查 | 受保护发布链闭环 |
|---|---|---|---|---|---|---|
| Android 手机Kotlin / Compose | ☐ | ☐ | ☐ | ☐ | ☐ | △ CI |
| Android TVKotlin / Compose TV | ☐ 待核实 | ☐ | ☐ | ☐ 按钮 | ☐ | X 停发 |
| iOSApple native shared | △ | △ | ☐ 含外部 | ☐ | ☐ | △ CI |
| macOSApple native shared | △ | △ | ☐ 含外部 | ☐ | ☐ | ☐ |
| Apple TVSwiftUI / tvOS | X 网页 | ☐ | ☐ | ☐ 按钮 | ☐ | △ CI |
| 独立 macOSSwiftUI / System Extension | △ | ☐ | ☐ | ☐ | ☐ | △ CI |
| WindowsWPF / .NET 4.8 | △ | ☐ | ☐ | ☐ | ☐ | ☐ |
首个阻断：目录服务把鉴权、网络、解码与域名切换失败统一返回空列表，CTA 又把加载态和套餐名不匹配当真实空目录。生产源码复核还确认旧客户端误读免费 / 余额完成响应与订单状态，并可能跨镜像重放下单。
只有权威成功的空数组显示“暂无可用套餐”；错误保留类型与重试。下单和结算只走一个已选端点且禁止自动重放；发起下单前先持久化账户绑定的非敏感未知态，返回交易号后升级记录。浏览器、二维码、超时、返回、换号或进程恢复都必须先对账；单次未找到不能解除阻断。
账户同步明确不更新订阅定位；提前续费只刷新套餐，不重新拉节点；恢复前台只查连接健康。
权威账户以稳定数字 user_id 绑定最新加密 locator 候选；前台只查账户。支付后仅账户 / 可观察权益与 availability / 受信订阅语义变化时自愈一次；同一批准等价 origin 组内 host-only 不触发，成功才换缓存。
节点凭据拒绝直接清空并要求重登；非空旧定位不会刷新账户；无前台刷新。
拒绝后刷新账户并重试一次；设置页加焦点按钮与上次成功检查时间；缓存先显示，不做周期节点拉取。
核心刷新链已较完整，App 内支付大多也能走完；但登录仍是跨 iOS / macOS 一致稳定的全量触发。前台、外部网页支付、账户与设置没有接入。
复用现有 generation / epoch 围栏；scene active 只查账户，三个语义指纹变化后才拉节点。页面提供手动刷新、暂时失败留旧与上次成功检查时间。
已有 last-good 与并发保护，但非空缓存启动不联网，格式有效的旧定位绕过账户刷新。
Home active 只查账户；旧定位变化后才拉节点。设置加入焦点按钮，暂时失败且账户仍有效时保留原缓存与成功检查时间。
冷启动竞态在当前源码已修，但用户实际安装版本未知。现有 30 分钟任务只刷新订阅且可命中 1 小时缓存，支付后不保证重新拉节点。
active 只查账户；支付后稳定账户 / 可观察权益与 availability / 受信订阅语义变化再拉节点一次，同一批准等价 origin 组内 host-only 不触发。账户 / 设置加按钮，节点成功才原子换缓存。
传播断点是支付成功只改 UI、Home 单例只初始化一次。额度路径另把 0、负数与不完整响应错误当成不限量，属于六端合同漂移，不是“无节点”的已证根因。
额度生产矩阵已通过 PR #8 修正；刷新协调器现单独实施。支付后稳定账户 / 可观察权益与 availability / 受信订阅语义变化与空缓存自动拉一次；同一批准等价 origin 组内 host-only 和其他日常场景不拉，暂时失败留旧。
账户与节点请求查询当前用户；轻量账户响应没有 catalog revision，实际 subscription 也没有 ETag / 304 合同。/user/info 提供 banned；版本化 typed diagnostic 可选择性观察有效 user_group_id，但 speed / device 仍不可见。
这能排除一个源码层面的全局长期缓存设计，不能替代生产请求轨迹。仍需保留“真无套餐 / 到期 / 额度耗尽 / 禁用”等权威空状态。
共享行为，不共享代码。账户状态可以自动同步；节点目录手动为主，不做固定周期拉取，只保留正确性事件自愈。v1.3 合同已通过独立源码/状态机复核 94 / 100；客户端实现与真机验证仍未完成。
前台只检查轻量权威状态；getSubscribe 的数字 data.id 映射为稳定账户，配合含 availability 边界的可观察 entitlement、受信订阅语义形成三份触发快照。全部未变化时，节点请求严格为零。实际 AEAD locator 候选与触发指纹分离；只有同一版本化批准等价 origin 组内 exact 或强约束签名模板成员的 host-only 变化不触发，未知 origin、通配后缀与响应学习拒绝。没有 5/15 分钟轮询，也没有 24 小时陈旧强刷。
先显示当前账户的加密缓存。新节点必须完整验证后一次性发布；任何暂时故障都不能把可用列表变空，权威失效则准确隔离。
加密缓存原子携带 account generation / authority epoch、稳定账户 / 权益与 availability / 受信订阅语义触发快照、设备内 catalog 提交指纹、cacheState、reason、source、freshness 与 lastSuccessfulCheckAt。当前 subscription 无 ETag / 304 合同，etagEligible 固定为 false；实际 locator 候选独立 AEAD 保存，quarantined / absent 永不显示。
三个触发快照全部不变的普通前台、页面出现、同一批准等价 origin 组内 host-only 变化、计时器与缓存年龄，都不能触发节点请求；未知 origin 不进入候选。
A 与 N 创建时都记录 accountGeneration、accountAuthorityEpoch、各自单调 requestEpoch；N 另捕获 expectedCacheState 与三份预期触发快照。响应再通过结构、状态、账户与 CAS 校验；catalog 指纹只在成功解析后做本地提交去重。
A / N 网络可并行，写入必须单写者。A 先确认禁用 / 到期 / 耗尽会提升 authority epoch，任何晚到 N 不能复活列表；同样，隔离前创建的旧 ACTIVE A 因 epoch CAS 失败，不能反向解除隔离。每轮在途触发只合并成一个 trailing request，响应、计时器与递归不能自行续跑。
正确的治理修复，但不是充分条件；额度合同、设备验证和发布到达率必须分别闭环。
账户仍有效时，暂时失败不会把可用列表变空；权威失效仍会准确隔离，用户能看到检查时间。
尊重用户控制，同时解决续费、空缓存、换号与旧凭据恢复。
会把“必须重登”改成“必须知道手动刷新”，续费与首次使用仍可能空白。
当前明确拒绝。未来若改变，必须新建 decision record，并先证明 revision 与事件链无法修复。
Issue 继续留在所属代码仓库，统一 Project 只做跨仓视图、优先级、负责人和进度。CEO 得到一张总看板，工程师仍在原仓处理。
使用 GitHub Projects V2。12 个套件仓库各放一个事件工作流：创建、重开或转移时自动加入；标签、指派与关闭变化同步执行字段。没有定时 LLM，也不复制 issue。
vpncheap · vpncheap-android · vpncheap-android-tv · vpncheap-app · vpncheap-apple-native · vpncheap-apple-tv · vpncheap-download · vpncheap-ios · vpncheap-macos · vpncheap-maintained · vpncheap-web · vpncheap-windows
当前 Project 已有 12 个 item、16 个字段和 5 个保存视图；上方卡片仍是版式示意，不冒充真实 issue 编号、优先级或负责人。
讨论、代码链接、PR、关闭状态都留在对应仓库。统一看板保存引用，不造副本，不改变团队工作习惯。
官方 Action 负责加入 Project；同一工作流再用确定性 Project API 更新自定义字段。两者固定到审核版本并可幂等重跑；一次性脚本回填历史 open issues。
仓库映射平台与运行时；Priority 只在 Project 中分诊，不复制为标签。AI 只允许负责人按需总结，绝不参与同步正确性主链。
仓库已说明代码归属。Platform / Runtime / Surface / Type 固定为可视 badge，不复制成 Project 字段；以下就是完整字典，不允许临时造同义标签。
自定义字段与标签不重复职责；Repository 和 Assignees 直接使用 GitHub 内建数据。
自动、保留原仓事实源、零定时 token；评分针对控制面架构。
可立即落地，但存在单账号与多仓 secret 扩散风险，必须明确 Owner、轮换和漏项恢复。
长期权限模型更稳，但当前组织形态与迁移成本需先确认。
双份状态、链接漂移、责任归属更模糊。
不必要的 token、延迟与失败面，且不能替代原仓事实源。
每个原生仓库必须有自己的签名、构建、测试与发布工作流。Android、Windows、Apple TV、Apple iOS 与独立 macOS CI 已合并，但签名发布仍因受保护环境与凭据未配置而保持待验证；流水线全绿不等于修复已到达用户。
Native Kotlin
Native Kotlin + Compose TV
Shared Apple native
同仓独立 target
Native tvOS
Developer ID distribution
Native WPF
客户端修复尚未完成、真机验证与用户到达证明不足，Android TV 还有发布凭据安全事件。可以并行修其他平台，但 TV 在安全闭环前不得发布。
上传所需的最新 Xcode 与 SDK，和用户设备最低版本是两件事。现有 target 由源码确认，是否下调必须由付费用户数据而不是猜测驱动。
共享 Apple 原生项目
iOS 17共享 Apple 原生项目
macOS 14独立 tvOS 项目
tvOS 17.4独立系统扩展项目
macOS 14这套基线与当前源码、系统扩展和设计实现一致。Apple 仍向部分旧设备发安全更新，不等于本产品必须马上扩大支持面。
代码与能力基线一致，测试面可控；残余风险是尚未拿到用户版本分布。
覆盖面可能增加，但没有收入数据支撑，且会扩大设计、API 与设备测试成本。
这是实现顺序，不是假定工期。四条平台线可并行，但共享契约、测试场景与发布闸门必须一致。
在改刷新前锁定状态语义、版本和安全边界。
每个平台先解决自己的确定性根因，再接统一触发。
把产品体验与团队观察面接到同一契约。
代码审查只能到 △，真实设备与发布链通过后才到 ○。
去掉术语争论，直接回答问题归属、原因、处理方式、发布入口与版本边界。
内容只承诺已完成的侦察与下一步实施，不把规划写成已上线。
已把原生客户端、后端、GitHub issue 和发布流程统一排查。逐项回复如下：
源码、GitHub 实时状态与官方文档交叉核验。本简报自身是只读静态页面；实施已进入独立 worktree，统一 Project 已建立，但客户端任务未经 PR、CI、设备验证前不会标为完成。所有统计是 2026-07-31 的时点快照。
Grok 实时第二意见：推荐“各仓事件驱动 Actions + 跨仓 Project”，不需要 LLM 或定时循环；同时区分最新上传 SDK 与最低用户系统版本。
Android / Android TV、Apple 全家桶、Windows / 独立 macOS 各由独立子代理读取源码、工作流和版本配置；主代理逐项抽查关键证据并做跨端归因。
Recall 用于检索历史上下文，涉及发布和兼容性的结论仍以本轮实时核验为准。Automation Hub 只读参考了现有跨项目总览的可视结构，未进行任何修改。
早期刷新根因结论为 AGREE：整体置信度 78，跨客户端状态传播机制约 85；同意“手动为主、正确性事件自愈、无周期节点轮询”的方向。新的 Claude -p 已对 v1.3 和后端源码返回 AGREE：根因机制 82 / 100、合同 91 / 100、完整 host 触发替代方案 25 / 100；并要求 Xboard 动态 locator 采用签名、版本化、完整 hostname 锚定的强约束模板，现已写入合同。额度合同另获 98 / 100：0 / 负数权威不可用，不完整数据为 INDETERMINATE，正数按精确边界判断。Android 购买的单次 Fable 调用无可恢复输出，结论为 INCONCLUSIVE；其 93 / 100 根因置信度来自源码与生产只读证据。Apple 分支另行以 V2 为基底走 integration train。
刷新合同 v1.3 的独立 verifier 已 PASS 94 / 100；这只解锁各仓实现，不代表任何客户端已完成。后续每仓仍执行 Build Loop、CodexLoop、CI 与独立验证；最终结论以交付时 Completion gate 为准。真实浏览器覆盖 320、390、768 与 1440 px，并检查溢出、筛选、主题、复制、ARIA、打印、无脚本降级和控制台。