# 订单状态助手运行手册

## 服务目标

返回已验证的订单状态，或进行清晰的升级处理；不得暴露机密、跨越租户边界或执行修改操作。

## 首次响应

1. 确认追踪或请求 ID。
2. 重试前先对故障分类。
3. 确认是否有任何工具已执行。
4. 检查权威订单状态。
5. 当可能存在安全或跨租户访问时，遏制受影响能力。

## 故障类别

### 缺失或格式错误的订单 ID

- 响应：请求提供精确的公开 ID。
- 重试：仅由用户驱动。
- 验证：没有运行查询工具。

### 完整响应前 provider 超时

- 响应：将尝试标记为未完成。
- 重试：若未发生工具副作用，则以有边界的退避重试一次。
- 验证：检查追踪中是否有完整的终止事件和工具操作。

### 速率限制

- 响应：排队，或在服务目标范围内返回明确的暂时不可用状态。
- 重试：按 provider 指引进行有边界的退避。
- 验证：没有重复的工具操作。

### 协议或 schema 错误

- 响应：不要将部分输出作为最终结果展示。
- 重试：仅在重建有效消息状态后，或在有边界的结构化输出修复策略内进行。
- 验证：契约测试和通信追踪能识别被修复的边界。

### 策略拒绝

- 响应：保留拒绝结果并说明安全的下一步。
- 重试：仅在获得有效外部批准或修正低风险请求后进行。
- 验证：禁止的工具没有执行。

### 未找到订单

- 响应：不要猜测状态；升级至获批准的支持路径。
- 重试：仅使用已更正且经认证的标识符。
- 验证：查询使用当前用户获授权的订单范围。

### 工具不可用

- 响应：说明当前无法验证状态。
- 重试：按服务目标进行一次有边界的只读重试或排队。
- 验证：没有出现编造的状态。

### 安全事件或机密泄露

- 遏制：禁用受影响的工具、MCP 服务器、插件、hook 或网络路径。
- 撤销：立即轮换任何可能泄露的凭证。
- 调查：保留脱敏追踪并查询权威访问日志。
- 恢复：修复失效的信任边界，并将该样本加入安全评估。
- 恢复服务：以最小权限和主动监控进行金丝雀发布。

### 模型或配置变更后的回归

- 遏制：回滚模型、prompt、schema、工具、Skill、hook、插件或服务器版本。
- 诊断：比较成对的评估案例和追踪。
- 恢复：修复具体失效的边界。
- 验证：恢复发布前，完整的必需和安全测试套件均须通过。

## 不明确修改操作的规则

当前应用为只读。若未来版本增加修改操作，在稳定幂等键和系统记录核对证明第一次尝试是否完成之前，绝不重试不明确的超时。

## 升级处理证据

向操作人员提供追踪 ID、故障类别、允许时提供订单 ID、组件版本、策略决策、工具结果类别和当前权威状态。不得包含原始凭证、完整私有内容或不受限制的 prompt。