xsl
7c67506474
Billing implements reserve -> commit -> refund against bl_quota and bl_ledger with row-level locking and idempotency keys; the refund commits on its own transaction so a failed request cannot silently keep a user's quota. Task implements the unified task centre over the state machine. Identity issues and resolves users. Remaining domains are placeholders whose READMEs state what belongs there and what must not.
packages/compliance/ — 统一合规出口
所有对外生成物必须经过
publish_asset()，没有例外。（架构 §7.5、ADR-11）
铁律
- 不得反向依赖任何业务域（架构 §4.2）。它必须能被任何模块安全调用。 import-linter 契约会在 CI 拦下违规 import。
- 审核是唯一不允许降级的外部依赖（架构 §11.4）。审核服务不可用时按 拦截处理（fail-close），宁可少发不可漏审。
现状：只有接口，没有实现
签名已经定死，业务代码可以照着写；实现落地时调用方不用改。 半实现比不实现更危险 —— 一个"半工作"的审核调用看起来和正常的一样。
待实现（T-P1-22 / T-P1-23，CR-05 / CR-06 不可裁剪）
- 内容审核（腾讯云 IMS 图片 / TMS 文本 + 备案关键词库），fail-close
- 生成 27 位内容编号并登记
cp_content_registry - 显式标识：图片加可见「AI 生成」水印；文本加提示语
- 隐式标识：写入文件元数据（属性信息 + 服务提供者编码 + 内容编号）
- 上传目标 COS 桶，返回签名地址
- 表：
cp_content_registrycp_moderation_logcp_audit_logcp_data_request
必须专门测试的点
图片经过 CDN、缩略图处理、客户端保存与再次分享后，元数据是否仍然存在。 很多图片处理链路会剥离 EXIF/XMP，一旦剥离就等于没做隐式标识（TD-21）。 这一条上架被拒的概率很高，且事后补救成本极大。
六类审核对象
用户上传图、生成图、用户文本、模型输出、知识内容、后台录入内容 —— 全覆盖。