上线前逐条对一遍：凭证、Webhook、限额、对账、告警。

Go-live 检查清单

未逐项打勾不发 live 凭据。

你这一侧

• [ ] 已建 live API Key，IP 白名单非空且为真实出口 IP
• [ ] 签名实现已用沙盒自测通过：PATH 进签名串（含 query）、raw body（没有重新序列化）、nonce 防重放
• [ ] 幂等键为每笔业务生成 UUID；504 用同键重试、业务失败换新键
• [ ] Webhook 端点已上线：校验签名 + 按 event_id 幂等 +按 status_version 向前合并
• [ ] 已把我方 webhook 出口 IP 加白
• [ ] 未知状态值走「未知 + 告警」，没有 default 成「处理中」
• [ ] 金额一律按字符串定点解析，没有转成浮点数
• [ ] 强认证选型已定（托管屏 / 断言 / 平台直连），不可逆操作走托管屏

我方这一侧

• [ ] 你的资金账户余额 > 首月预估成本，低水位告警阈值已配
• [ ] 产品与 BIN 授权已建，且已实测你只能取到被授权的那些
• [ ] 托管责任已在合同中写明；custody_model 与资产白名单已配
• [ ] 你的费率、限额、风控参数已在总后台配置并复核
• [ ] 隔离验收：用商户 A 的凭据尝试读商户 B 的会员与订单，全部 404
• [ ] 跨商户探测验收：用已属他商户的 email / 证件号建户，确认返回 400 invalid_request（而不是 409 email_taken）——我方不下发「这个人已经存在」这种可被用来探测的信息。⚠ 这同时是一条当前限制：同一自然人暂时不能在两个商户下各建一个账号，身份层的唯一索引尚未按商户拆分。命中的表现就是这个通用的 400。
• [ ] 限流配额按你的规模调整并压测
• [ ] 你的 webhook 死信告警已接入我方运维地址

一件必须让你知道的事

你的预付余额不足时，你的会员会看到「自己余额充足却交易失败」。

这是「会员资金由你自托管、业务成本走预付账户」这个模型的必然后果。我方对此做了三件事：

1. 余额闸排在冻结之前 —— 拦在钱进锁定桶之前，不会出现「订单卡住而钱冻在谁都碰不到的地方」；
2. 三级低水位：< 7 日均耗 → 后台横幅 + 邮件；< 3 日 → 每日告警 +我方运维同抄；< 1 日 → 按成本降序自动停售；
3. 会员侧文案不暴露原因 —— 对外只有一个「服务暂不可用」。

请把「低水位告警收件人」配成一个真的有人看的地址。