初始化提交：go比特版本精简

knowledge-base/Shared/00-index.md

@@ -0,0 +1,13 @@
+---
+title: 共享知识索引
+type: index
+status: active
+updated: 2026-08-31
+tags: [shared, index]
+---
+
+# 共享知识索引
+
+- [证据、安全与未知结果](./evidence-security-and-unknown-results.md)：证据等级、敏感信息边界、网络失败后的结果判断。
+- [状态、幂等与恢复原则](./state-idempotency-recovery.md)：跨流程通用的状态机、幂等键、提交点、恢复和并发原则。
+

knowledge-base/Shared/evidence-security-and-unknown-results.md

@@ -0,0 +1,45 @@
+---
+title: 证据、安全与未知结果
+type: standard
+status: active
+updated: 2026-08-31
+tags: [evidence, security, operations]
+---
+
+# 证据、安全与未知结果
+
+## 证据等级
+
+| 等级 | 定义 | 使用方式 |
+|---|---|---|
+| A | 当前代码、自动化测试、数据库结构或可重复的本地行为 | 可作为实现事实；改动后必须重新验证 |
+| B | 已观察到的外部服务响应或页面行为，但没有稳定、可脱敏的固定样本 | 可指导兼容；文档中必须注明外部行为可能变化 |
+| C | 推测、回忆或尚未复现的说法 | 只能列为待验证假设，不能作为自动状态迁移依据 |
+
+## 敏感信息边界
+
+不得写入 Git、知识库、测试快照或普通日志：
+
+- 实际邮箱或账号清单、密码、辅助邮箱；
+- ChatGPT Session 原文、access token、refresh token、session token；
+- API Secret、飞书密钥、代理用户名和密码；
+- 卡密、支付凭据、OTP/TOTP 值；
+- 可还原账号身份的截图、CSV 或数据库副本。
+
+允许记录字段名、数据流、脱敏错误码、数量和哈希元数据。凭据由本地配置或 Windows DPAPI 密文保存；日志只应说明“已读取/缺失/失效”，不能打印内容。
+
+## 远程副作用后的未知结果
+
+邀请、迁移、充值确认等请求在服务端可能已经成功，而客户端收到超时、断线或本地落库失败。此时结果是“未知”，不是普通失败。
+
+处理顺序：
+
+1. 保留可恢复指针，例如远程任务 ID、操作 ID或可重新读取的团队成员关系。
+2. 执行只读后置条件查询。
+3. 确认远程未生效后，才允许重新发起副作用请求。
+4. 如果无法确认，保持处理中、待人工确认或明确的“外部已生效但本地保存失败”，不得伪造失败。
+
+## 证据保留
+
+运行证据只记录目录、时间范围、文件数量、总体大小、版本提交和测试结果。原始数据库、日志、截图和导出文件继续留在受控运行目录，不能复制进知识库。
+

knowledge-base/Shared/state-idempotency-recovery.md

@@ -0,0 +1,38 @@
+---
+title: 状态、幂等与恢复原则
+type: engineering-principle
+status: active
+updated: 2026-08-31
+tags: [state-machine, idempotency, recovery, concurrency]
+---
+
+# 状态、幂等与恢复原则
+
+## 状态是独立维度
+
+账号总状态、ChatGPT 状态、授权 JSON 状态、套餐状态、充值状态、账号退款状态、退款流程状态互相独立。一个流程只能更新自己拥有的字段，不能用“总状态”代替其他结果。
+
+## 幂等规则
+
+- 远程副作用请求使用稳定操作标识；重试同一操作时复用标识和远程任务 ID。
+- 只有明确的终态失败才允许创建新的完整尝试。
+- 成功是单调状态：迟到的超时、查询失败或本地进度消息不能把成功降级。
+- 数据库更新应带操作归属或最新状态检查，避免并发结果串号。
+
+## 提交点
+
+每个流程必须明确不可逆提交点。提交点之前可以安全停止；提交点之后必须完成必要清理和本地对账。退款迁移的提交点是个人空间迁移成功；充值的远程创建/确认后必须通过任务查询判定结果。
+
+## 恢复规则
+
+- 充值：保存远程任务 ID，启动时由 reconciler 继续查询。
+- 退款：通过团队成员关系和个人空间状态做只读后置确认；提交后即使收到停止信号也继续清理。
+- 定时任务：同类任务不重叠；下一次触发遇到仍运行的上次任务时跳过本轮，不启动第二份。
+- 外部成功、本地保存失败：单独报告，不能再次执行可能重复的副作用。
+
+## 并发规则
+
+- 浏览器查询可按配置并发，但同一账号避免同时变更。
+- 充值对账号做占用；一个账号同一时间只有一个未决充值操作。
+- 母号团队退款共享座位和团队成员表，手动、额度触发、截止时间触发共用一把全局锁并固定串行。
+