# 上线检查清单

## 凭证与安全

- [ ] Invoice、Transfer、Query 客户端使用独立 Host 配置。
- [ ] 私钥存放在 KMS、HSM 或受控 Secret Manager。
- [ ] 生产环境只申请最小必要 Scope。
- [ ] 服务器时间通过 NTP 同步，偏差稳定小于 60 秒。
- [ ] 日志不包含 API Key、私钥、签名、完整卡号或敏感付款信息。

## 请求可靠性

- [ ] 所有写请求都有稳定的 `X-Idempotency-Key` 或 `Idempotency-Key`；同时发送时两者一致。
- [ ] 超时重试沿用原始幂等键和相同业务 payload。
- [ ] 已覆盖 `400`、`401`、`403`、`409`、`422`、`429` 与 `5xx` 的处理策略。
- [ ] 不确定结果能够通过 Query API 收敛。

## Webhook

- [ ] 回调地址是 HTTPS（443 端口）域名，已通过商户后台配置；公钥按 `X-Webhook-Key-ID` 保存，轮换时同时保留新旧两把。
- [ ] 使用原始 body 验签，并检查时间戳窗口。
- [ ] `X-Webhook-Event-ID` 已持久化去重（不要用 `X-Timestamp` 或 `X-Signature`）。
- [ ] 可以处理乱序、重复与延迟事件；未知的 `event` 记录后返回 `2xx`。
- [ ] 接收端在 10 秒内返回响应头，业务处理已异步化。
- [ ] 定时对账可以补偿漏收事件，覆盖自动重试耗尽（当前约 30 秒）之后丢失的事件。
- [ ] 已配置投递失败的监控，知道如何在商户后台手动重发。

## 业务验收

- [ ] 已在测试环境完成创建、查询、取消和退款的正反向场景。
- [ ] 已演练请求超时但 PSP 实际成功的场景。
- [ ] 已验证金额、币种、账户和商户订单号的对账规则。
- [ ] 已配置技术联系人、告警升级路径和回滚方案。

完成清单后，将测试证据、目标商户账户、所需 Scope 与回调域名提交给接入团队进行生产开通审核。