线上敏感操作

本页列出会真实扣费、结算、退款、发通知、改订单状态或影响生产发布的操作。执行人必须确认环境、对象、金额、幂等和回滚方式，并保留操作记录。

风险等级

等级	说明	要求
高	真实资金、退款、保险、批量状态、生产发布和权限变更	双人复核，关联工单，执行后立即核对。
中	派发、通知、规则配置、单笔订单人工处理	明确影响对象，保留操作日志。
低	查询、导出、dry-run 和只读预演	仍需控制个人信息和大范围查询。

资金和结算

操作	真实影响	执行前检查	执行后检查
月度品牌费“执行”	扣门店资金，余额不足会暂停派发	账期、预演、门店范围、重复执行	钱包流水、实扣、待补和派发状态
对公充值“审核通过”	给公司或门店真实入账	银行到账、主体、金额、重复申请	余额、流水和通知
员工提现打款	向员工账户真实付款	申请、账户、金额、渠道状态、dry-run	提现、钱包流水和易宝结果
标准单结算补跑	可能发起分账或写员工收入	订单完成、等待期、入网、幂等键	结算任务、分配、钱包和渠道流水
发展奖励释放	解冻可提现奖励	账期、退款冲减、是否已释放	奖励流水和可提现余额
钱包/积分人工调整	改变资金或派发资格	调整原因、审批、原始流水	反向/补偿流水、账户和派发状态

资金类操作优先使用预演、dry-run、小批量和幂等入口。已经产生真实流水后，不通过删除记录伪装回滚。

订单和派发

操作	真实影响	安全要求
人工派单或改服务人员	改变实际履约责任人和档期	校验能力、区域、工期和当前状态，通知客户与员工。
接单、拒绝、超时顺延	改变派发尝试和轮发位置	不手工重复推进已结束 attempt，确认档期释放。
开始或完成服务	改订单状态并触发结算	核对实际服务、照片和服务人员，异常单走人工审批。
取消订单	释放档期并可能进入退款	确认是否已支付、已开始服务和第三方退款状态。
卡单清理任务	批量自动取消或完成长期卡单	先列出命中订单，复核自动完成是否会触发结算。
规则总开关和城市范围	影响全国订单能否自动派发	记录原值、预计订单范围和回滚值。

支付、退款和保险

操作	真实影响	安全要求
易宝退款	真实原路退款	使用原支付流水和原收款商户，等待最终回调，不重复提交。
支付回调人工重放	可能重复入账、分账或改订单状态	先确认幂等键和已处理记录，只在受控工具中执行。
投保或保险支付	产生真实保单和费用	核对产品、被保对象、起保时间、金额和第三方状态。
退保或批改	改变保险权益并可能退款	先确认第三方可操作状态和材料完整性。
清理待支付保险	改本地保险状态	先 dry-run，并排除第三方已成功但本地未回调记录。

通知

公众号、短信、企微和业务统计通知可能触达真实客户、员工、门店或管理群。批量补发前确认模板、对象、数量和重复发送影响。通知失败重试不应改变订单接单时限，除非业务规则明确执行延期。

发布和基础设施

• 推送生产触发分支可能自动部署云函数。
• 覆盖 /www/wwwroot/yun.jingangai.cn 会立即影响云平台页面。
• 微信小程序“提交审核”和“发布”是两个不同的生产动作。
• 修改云函数环境变量、回调域名、数据库、Redis、OBS、证书或白名单会影响整条链路。
• 停用宝塔任务可能导致派发、超时、通知、结算、提现或对账停止。
• 删除 OBS 文件、日志库或数据库备份难以恢复，必须单独审批。

操作记录

每次敏感操作记录：环境、操作时间、执行人、复核人、工单号、业务对象、执行前状态、参数、执行结果、流水或日志证据、回滚或补偿结果。记录中对手机号、身份证、银行卡和客户地址做脱敏。