源码证据支持一个跨端主机制：账户快照、订阅定位与节点目录分开缓存，局部触发没有完整传播。Android 购买另有独立确定性故障：客户端把鉴权、网络、解码与切换失败全部压成“空套餐”，所以结账根本没有开始。额度语义也已按生产契约纠正。
实施状态：统一 Project 基座、首批 6 仓 caller、Windows CI 与 Apple TV CI 已合并；12 条现存 issue 已回填。Android 购买、密码、流水线和六端额度 / 刷新任务均按独立 worktree 与独立 PR 推进；未完成真机与用户到达验证，未触发发布。
Android 找回密码是明确缺功能；Android 购买是目录错误被伪装成“暂无套餐”。节点、续费与账户刷新共享跨端状态传播断链；额度则是六端合同漂移。Issue 统一查看不应破坏代码归属。
后端源码会读取当前账户与节点状态，客户端源码则存在“只刷新账户、不更新订阅定位”“只刷新套餐、不拉节点”“支付成功只改 UI 状态”“恢复前台只查隧道”等断点。登录会绕开这些局部缓存，因此常能恢复；真实工单中各根因占比仍需设备版本、请求轨迹与生产指标证明。
后端能力已存在。补原生 UI、验证码与重置 API 接入，不需要新后端。
后端目录健康；客户端不能再把鉴权、网络、解码或域名切换失败伪装成真实空目录。恢复明确错误合同后才进入结账。
不做固定计时或缓存年龄强刷。登录或新账户、账户 / 权益 / 定位指纹变化、缓存不可用、换号与凭据拒绝恢复可自动刷新一次；纯目录轮换保持手动。
成功才原子替换本地缓存；暂时失败且账户仍有效时保留旧节点与原检查时间，权威失效则隔离。触屏端下拉，桌面与 TV 保留明确按钮。
零或负额度是权威不可用；缺失、空值或畸形字段是结果不确定；正额度未用尽才可用，达到或超过即耗尽。
Issue 留在代码仓库。一个 GitHub Project 自动汇总，展示仓库、平台、原生类型、状态与负责人。
在受限事件流程内完成影响评估、轮换与现有安装升级连续性验证；闭环前停发该端。公开报告不记录载体、路径、材料或技术细节。
后端已具备，缺口明确，风险与范围最小。
根因链已定位；保持独立 PR，先区分真实空目录与可恢复故障，再修支付入口。
方案评分 96；机制置信度约 85。额度合同作为另一条独立安全链处理。
生产源码与 Fable 5 一致：0 不是不限量；不完整响应不能被误判为可用。
匹配各平台输入方式，入口一致且可发现。
一张 CEO 视图，仍保留代码归属和零 LLM 主链。
没有付费用户证据前，避免扩大兼容与测试面。
原生签名与商店不同，必须独立但采用同一发布闸门。
保留 192 提交历史与 21 条 main 修复；本集成 PR 唯一例外使用 merge commit。
登录是唯一在所有平台都稳定执行的完整强刷入口，并非各平台字面上的唯一完整链。Apple App 内支付大多另有完整流程；其余常用刷新路径仍只更新一段。
不同客户端断点不同，用户体验却一致。
网页或部分客户端续费后，服务端状态改变，但该路径没有可靠完成事件。
到期与流量可能更新，但订阅定位仍旧。
命中缓存、拒绝后清空，或根本不拉节点。
前台恢复与设置页没有完整刷新入口。
重建账户快照与节点目录，所以常能恢复；具体工单仍待版本与请求轨迹归因。
| 客户端表面 | 找回密码 | 双通道协调器 | 续费自愈 | 手动刷新与成功检查 | 前台账户检查 | 受保护发布链闭环 |
|---|---|---|---|---|---|---|
| Android 手机Kotlin / Compose | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ |
| Android TVKotlin / Compose TV | ☐ 待核实 | ☐ | ☐ | ☐ 按钮 | ☐ | X 停发 |
| iOSApple native shared | △ | △ | ☐ 含外部 | ☐ | ☐ | ○ |
| macOSApple native shared | △ | △ | ☐ 含外部 | ☐ | ☐ | ☐ |
| Apple TVSwiftUI / tvOS | X 网页 | ☐ | ☐ | ☐ 按钮 | ☐ | △ CI |
| 独立 macOSSwiftUI / System Extension | △ | ☐ | ☐ | ☐ | ☐ | ☐ 安全链 |
| WindowsWPF / .NET 4.8 | △ | ☐ | ☐ | ☐ | ☐ | ☐ |
目录服务把鉴权、网络、解码与域名切换失败统一返回空列表；购买 CTA 又把加载态和套餐名不匹配当成真实空目录，结账从未启动。
保留失败类型与去敏诊断；只有权威成功的空数组显示“暂无可用套餐”。加载、重试与真实空状态必须分开，目录恢复后原购买流程继续。
账户同步明确不更新订阅定位；提前续费只刷新套餐，不重新拉节点；恢复前台只查连接健康。
权威账户写入最新定位；前台只查账户。节点手动刷新，支付后账户 / 权益 / 定位指纹变化时自愈一次，成功才换缓存。
节点凭据拒绝直接清空并要求重登；非空旧定位不会刷新账户；无前台刷新。
拒绝后刷新账户并重试一次；设置页加焦点按钮与上次成功检查时间；缓存先显示，不做周期节点拉取。
核心刷新链已较完整，App 内支付大多也能走完；但登录仍是跨 iOS / macOS 一致稳定的全量触发。前台、外部网页支付、账户与设置没有接入。
复用现有 generation / epoch 围栏；scene active 只查账户，三指纹变化后才拉节点。页面提供手动刷新、暂时失败留旧与上次成功检查时间。
已有 last-good 与并发保护，但非空缓存启动不联网，格式有效的旧定位绕过账户刷新。
Home active 只查账户；旧定位变化后才拉节点。设置加入焦点按钮，暂时失败且账户仍有效时保留原缓存与成功检查时间。
冷启动竞态在当前源码已修，但用户实际安装版本未知。现有 30 分钟任务只刷新订阅且可命中 1 小时缓存，支付后不保证重新拉节点。
active 只查账户；支付后账户 / 权益 / 定位指纹变化再拉节点一次。账户 / 设置加按钮，节点成功才原子换缓存。
传播断点是支付成功只改 UI、Home 单例只初始化一次。额度路径另把 0、负数与不完整响应错误当成不限量，属于六端合同漂移，不是“无节点”的已证根因。
先把额度判断改回生产矩阵，再处理刷新协调器。支付后账户 / 权益 / 定位指纹变化与空缓存自动拉一次；其他时候节点只手动，暂时失败留旧。
账户与节点请求查询当前用户；节点响应含可用性原因、数量与随状态变化的 ETag。
这能排除一个源码层面的全局长期缓存设计，不能替代生产请求轨迹。仍需保留“真无套餐 / 到期 / 额度耗尽 / 禁用”等权威空状态。
共享行为，不共享代码。账户状态可以自动同步；节点目录手动为主，不做固定周期拉取，只保留正确性事件自愈。
前台只检查轻量权威状态；account、entitlement、定位三指纹全部未变化时，节点请求严格为零。没有 5/15 分钟轮询，也没有 24 小时陈旧强刷。
先显示当前账户的加密缓存。新节点必须完整验证后一次性发布；任何暂时故障都不能把可用列表变空，权威失效则准确隔离。
加密缓存原子携带 generation、账户 / 权益 / 定位三指纹、设备内 catalog 提交指纹、cacheState、reason、etagEligible、ETag、source、freshness 与 lastSuccessfulCheckAt。quarantined / absent 永不显示。
三指纹全部不变的普通前台、页面出现、计时器与缓存年龄，都不能触发节点请求。
请求记录 accountGeneration、单调 requestEpoch，以及预期账户、权益、定位三指纹；响应再通过结构、状态和账户匹配。catalog 指纹只在成功解析后做本地提交去重。
全部版本值仍匹配才提交；每轮在途触发只合并成一个 trailing request，trailing 期间的新外部允许事件进入下一轮，响应、计时器与递归不能自行续跑。旧响应丢弃。
正确的治理修复，但不是充分条件；额度合同、设备验证和发布到达率必须分别闭环。
账户仍有效时，暂时失败不会把可用列表变空；权威失效仍会准确隔离，用户能看到检查时间。
尊重用户控制，同时解决续费、空缓存、换号与旧凭据恢复。
会把“必须重登”改成“必须知道手动刷新”，续费与首次使用仍可能空白。
当前明确拒绝。未来若改变，必须新建 decision record，并先证明 revision 与事件链无法修复。
Issue 继续留在所属代码仓库，统一 Project 只做跨仓视图、优先级、负责人和进度。CEO 得到一张总看板，工程师仍在原仓处理。
使用 GitHub Projects V2。12 个套件仓库各放一个事件工作流：创建、重开或转移时自动加入；标签、指派与关闭变化同步执行字段。没有定时 LLM，也不复制 issue。
vpncheap · vpncheap-android · vpncheap-android-tv · vpncheap-app · vpncheap-apple-native · vpncheap-apple-tv · vpncheap-download · vpncheap-ios · vpncheap-macos · vpncheap-maintained · vpncheap-web · vpncheap-windows
当前 Project 已有 12 个 item、16 个字段和 5 个保存视图；上方卡片仍是版式示意，不冒充真实 issue 编号、优先级或负责人。
讨论、代码链接、PR、关闭状态都留在对应仓库。统一看板保存引用，不造副本，不改变团队工作习惯。
官方 Action 负责加入 Project；同一工作流再用确定性 Project API 更新自定义字段。两者固定到审核版本并可幂等重跑；一次性脚本回填历史 open issues。
仓库映射平台与运行时；Priority 只在 Project 中分诊，不复制为标签。AI 只允许负责人按需总结，绝不参与同步正确性主链。
仓库已说明代码归属。Platform / Runtime / Surface / Type 固定为可视 badge，不复制成 Project 字段；以下就是完整字典，不允许临时造同义标签。
自定义字段与标签不重复职责；Repository 和 Assignees 直接使用 GitHub 内建数据。
自动、保留原仓事实源、零定时 token；评分针对控制面架构。
可立即落地，但存在单账号与多仓 secret 扩散风险，必须明确 Owner、轮换和漏项恢复。
长期权限模型更稳，但当前组织形态与迁移成本需先确认。
双份状态、链接漂移、责任归属更模糊。
不必要的 token、延迟与失败面，且不能替代原仓事实源。
每个原生仓库必须有自己的签名、构建、测试与发布工作流。Windows 与 Apple TV CI 已合并，但签名发布仍因受保护环境与凭据未配置而保持待验证；既有 iOS TestFlight 与独立 macOS 链也不等于修复已到达用户。
Native Kotlin
Native Kotlin + Compose TV
Shared Apple native
同仓独立 target
Native tvOS
Developer ID distribution
Native WPF
客户端修复尚未完成、真机验证与用户到达证明不足，Android TV 还有发布凭据安全事件。可以并行修其他平台，但 TV 在安全闭环前不得发布。
上传所需的最新 Xcode 与 SDK，和用户设备最低版本是两件事。现有 target 由源码确认，是否下调必须由付费用户数据而不是猜测驱动。
共享 Apple 原生项目
iOS 17共享 Apple 原生项目
macOS 14独立 tvOS 项目
tvOS 17.4独立系统扩展项目
macOS 14这套基线与当前源码、系统扩展和设计实现一致。Apple 仍向部分旧设备发安全更新，不等于本产品必须马上扩大支持面。
代码与能力基线一致，测试面可控；残余风险是尚未拿到用户版本分布。
覆盖面可能增加，但没有收入数据支撑，且会扩大设计、API 与设备测试成本。
这是实现顺序，不是假定工期。四条平台线可并行，但共享契约、测试场景与发布闸门必须一致。
在改刷新前锁定状态语义、版本和安全边界。
每个平台先解决自己的确定性根因，再接统一触发。
把产品体验与团队观察面接到同一契约。
代码审查只能到 △，真实设备与发布链通过后才到 ○。
去掉术语争论，直接回答问题归属、原因、处理方式、发布入口与版本边界。
内容只承诺已完成的侦察与下一步实施，不把规划写成已上线。
已把原生客户端、后端、GitHub issue 和发布流程统一排查。逐项回复如下：
源码、GitHub 实时状态与官方文档交叉核验。本简报自身是只读静态页面；实施已进入独立 worktree，统一 Project 已建立，但客户端任务未经 PR、CI、设备验证前不会标为完成。所有统计是 2026-07-31 的时点快照。
Grok 实时第二意见：推荐“各仓事件驱动 Actions + 跨仓 Project”，不需要 LLM 或定时循环；同时区分最新上传 SDK 与最低用户系统版本。
Android / Android TV、Apple 全家桶、Windows / 独立 macOS 各由独立子代理读取源码、工作流和版本配置；主代理逐项抽查关键证据并做跨端归因。
Recall 用于检索历史上下文，涉及发布和兼容性的结论仍以本轮实时核验为准。Automation Hub 只读参考了现有跨项目总览的可视结构，未进行任何修改。
刷新根因结论为 AGREE：整体置信度 78，跨客户端状态传播机制约 85；采用“手动为主、正确性事件自愈、无周期节点轮询”。额度合同另获 98 / 100：0 / 负数权威不可用，不完整数据为 INDETERMINATE，正数按精确边界判断。Android 购买的单次 Fable 调用无可恢复输出，结论为 INCONCLUSIVE；其 93 / 100 根因置信度来自源码与生产只读证据，不借用 Fable 背书。Apple 分支另行以 V2 为基底走 integration train。
CodexLoop 对最终事实、刷新合同和 CEO 文案做迭代审查；最终结论以交付时 Completion gate 为准，不在页面预写。真实浏览器覆盖 320、390、768 与 1440 px，并检查溢出、筛选、主题、复制、ARIA、打印、无脚本降级和控制台。