策略選型
簽章齊、來源在冊、沙箱範本相符者可自動放行；其餘fail‑closed。強制不安全安裝開關僅短時破窗，綁工單與到期，禁寫常態檔。
| 模式 | 假設 | 情境 |
|---|---|---|
| fail‑closed | 未知即拒 | 共享節點、合規嚴 |
| 簽章＋清單 | 鏈可追溯 | 內部建置池 |
| 強制不安全＋雙簽 | 顯式承擔 | 無簽章、緊急修補 |
分級：負責人自評→安全覆核範本與出境→破窗時值勤雙簽。依賴工單與版本庫紀錄，勿以需登入後台網址為唯一依據。
節點一致性
外掛目錄、網關拒絕規則由單一真實來源下發；啟動前校驗雜湊與簽章，失敗即停。設定與二進位分離並唯讀掛載。
步驟清單：
- 建基線檔：識別碼、雜湊、簽章、釋出日。
- 各節點套用同基線；啟動前比對，不一即告警。
- 關互動安裝，改部署帳戶下發。
- 網關預設拒，僅登記冊來源與令牌可過。
- 強制不安全開關預設關，綁工單單次時段。
- 變更後抽樣任務驗行為與日誌欄位。
變更視窗
升級與破窗集中在預告視窗；凍結期僅回滾與安修。視窗內放行同單號，結束關臨時開關並巡檢。併發與限流並用時先調併發上限再上外掛，免重試掩錯。
回滾
回滾與基線一對一：留上一版套件與設定快照。觸發如簽章敗、錯誤率越閾、稽核見未授權。序：關破窗→還目錄設定→重啟→抽樣驗；全程寫同日誌欄位便對時線。
稽核日誌要點
稽核須答：誰、何時、哪節點、哪工單、改什麼。欄位含身分、節點標、版雜湊、審級、開關態、網關決策與拒因。合規留存；令牌勿明文，改指紋或序號。可引用：審批至少三級標籤；破窗單次建議≤四小時；每輪變更後即巡檢並日抽樣。
常見問答
問：本機急用？答：同審批與視窗，或沙箱驗後併基線；勿本機設定倒灌共享節點。
問：上游無簽章？答：強制不安全短開、加重日誌與限速，並排程簽章版或內部鏡像。
問：驗收？答：兩節點差異零、拒測命中因碼、關破窗後同未簽套件不可裝。