当上线受阻时：诚实的运行状态

用笼统的状态更新来掩盖受阻的上线过程，会隐藏关键的交付失败并损害协作信任。与其依赖模棱两可的回复，不如公开精确的运行信号，例如预付扣留和待处理的 DLR 状态。将状态响应与实时系统遥测直接对齐，可确保团队在解决部署瓶颈时保持完全透明。

受阻是状态，不是软性徽章

受阻意味着生产承诺已失效，而不是“即将上线”或销售可以覆盖的黄色标签。

产品、运营和财务必须共享统一的受阻语言。首日绿灯标准依然适用；本页面从这些绿灯失效的地方开始。

心跳过期就不要说 Live

曾经返回 200 的 webhook 并不代表拥有上线许可。心跳必须是新鲜的：包含最近的签名事件、消费者无静默丢包、关联 ID 与账本行匹配。心跳过期 ≡ 受阻，其严重程度等同于缺失金库密钥。

当心跳年龄超出新鲜度窗口、traffic_ok 为红色或过期、签名无法通过次日重试、钱包止损线从未强制执行或订购的故障转移备份从未测试时，切勿显示 Live。覆盖操作需要指定负责人、书面理由并在上线前进行新一轮测试。接近 USD 1,000/月 的业务量不能豁免过期心跳。

诚实的受阻措辞长什么样

建议使用：“Launch blocked — HB stale since TIMESTAMP”(上线受阻 — 心跳过期于时间戳)、“Gated — stop-line unproven”(受限 — 止损线未验证)、“In setup — failover smoke red”(配置中 — 故障转移测试红色)。避免使用“即将就绪”或“Live(运营待定)”。客户端文案保持白标；支持宏复用 UI 中的受阻原因。当闸门清除后，使用新的心跳时间戳和测试导出记录进行一次性切换。USD 20 购买的是恢复测试，而非软性徽章。

产品、财务与运营共用同一闸门

产品拥有徽章，财务拥有账本，运营拥有心跳和测试。每个路径一个受阻原因代码；一个新鲜度时间戳；一个导出行(状态、原因、心跳年龄、测试意图 ID、停止状态)；在三者全部显示绿色之前，不得显示 Live。停止和故障转移保持独立的闸门，但在红色时提供相同的受阻语言。不要发明“产品 Live / 财务受阻”这种说法。在接近 USD 1,000/月 时，状态不匹配即为对账事故。

受阻上线状态的买家检查清单

1. 在任何首日指标或 traffic_ok 为红色时，客户端是否显示 blocked / gated / in setup，绝不显示 Live？
2. 过期的 webhook 心跳是否被硬性拦截并设置了书面新鲜度窗口？
3. 产品、运营和财务是否共享一个受阻原因 + 时间戳？
4. 在显示 Live 之前，webhook 签名习惯和钱包止损线是否已验证？
5. 在声称有备份的通道上，故障转移测试是否为绿色？
6. 任何覆盖操作是否已命名、有时限并由新的测试关闭？

任何“否”都会让 Live 保持关闭。

从 IOSOR 开始

跑道标红时，在状态导出里点名每一道挡门——traffic_ok、vault check、webhook freshness——任何人再说 Live 之前。不要在红行上刷绿标。挡门导出清空前，冻结试点量。证明一条重开路径：修好具名闸、再导出、再放 MT。这是 blocked-status 诚实，不是软延期故事，也不是 02:00 闸历史倾倒。

• 首日准备：必须呈现绿灯的指标
• 在规模化前检查即时号码开通速度
• 割接期间的 dual-write 窗口风险

IOSOR 要点

被挡的上线是具名状态，不是营销绿。

要做：按名导出挡门、冻结试点、仅在干净再导出后 reopen。不要：红行上宣传 Live，或用周计划藏挡门。