Xiuxiu 3.0 B2B Commercial Architecture

授权码、Hub总控、两档B端交付方案

本页把已确认的商业化基础设计成可落地的技术方案： 客户必须授权后使用，域名和服务器指纹绑定，Hub由我方统一运营， 58000元档和158000元档边界清晰。C端暂时保留为远期方向，不进入当前B端验收。

打开 Web 端 对象与架构分析 返回架构首页
授权强控授权码、域名、服务器指纹、有效期、禁用。
Hub统一运营我方Hub负责连接路由，不接管客户私有数据。
两档B端58000托管秀秀服务器，158000客户私有部署。
C端暂缓只作为远期保留，不纳入当前报价和交付。

已确认的架构决策

这些是之前架构里需要审核确认的点，现在按你的新标准固化下来。

已确认
确认项结论进入当前版本的方式不进入当前版本的内容
授权码模块必须做 由我方统一生成、发放、激活、禁用。绑定客户、域名、服务器指纹、有效期和方案档位。不允许客户绕过授权自行扩容或迁移。
源码保护必须做 158000档交付加密/混淆/编译后的商业模块。核心商业授权模块闭源或加密，开源基础模块可交付。不承诺绝对无法逆向，只做工程、授权和法律三层防护。
Hub归属我方统一运营 我方公司也是Hub上的一个平级节点。Hub做路由、索引、授权校验和连接状态。Hub不默认保存客户公司内部聊天正文。
公司间互通需要支持 秀秀账号可跨公司搜索和联系。真人和Bot都作为可搜索对象，必须经过授权/添加关系。公司内部群消息不能跨公司广播。
B端报价两档明确 58000元档、158000元档。形成标准化交付清单、授权范围和运维责任。C端收费、个人每人10个Bot暂不纳入。
C端方向暂时保留 只保留在远期规划。架构中保留扩展口，不影响B端数据库和权限设计。当前页面、报价、验收不包含C端交付。

子任务一：授权模块技术方案

授权码像邀请码，但比邀请码多域名、指纹、有效期、档位和禁用状态。

授权模块
1

生成授权

我方后台生成唯一授权码，绑定客户、套餐、有效期和可用节点数。

2

客户部署

客户安装秀秀服务，填写授权码、域名、公司名和Logo。

3

采集指纹

服务端采集机器指纹：CPU、主板、磁盘、MAC、系统UUID组合哈希。

4

激活验证

服务器向授权中心提交授权码、域名、指纹、版本和时间戳。

5

签发证书

授权中心签发本地许可证，包含域名、指纹、功能范围和过期时间。

6

运行校验

启动、登录、定时任务、Hub接入时都校验证书和域名。

7

禁用/续期

我方可禁用、续期、换绑或降级授权，并记录审计。

授权码字段

  • license_id、license_code
  • customer_id、company_name
  • plan：58000或158000
  • bound_domains、server_fingerprint
  • issued_at、expires_at、status
  • feature_flags、max_bots、max_users

域名绑定

  • 授权激活必须填写客户域名。
  • 请求Host不在授权域名内时拒绝登录。
  • 允许配置主域名和有限个备用域名。
  • Logo、软件名和页脚标识跟随品牌配置。

服务器指纹

  • 采集多项硬件和系统ID后做哈希。
  • 允许小范围容错，避免换网卡导致误伤。
  • 换服务器必须走我方换绑审批。
  • 一套授权不能同时激活多台未授权机器。
校验点触发时机校验内容失败处理
安装激活首次部署授权码、客户、域名、服务器指纹、套餐档位。不生成本地许可证，服务不可用。
服务启动每次启动本地许可证签名、机器指纹、有效期。只允许进入授权错误页，不开放业务接口。
用户登录每次登录请求域名、授权状态、套餐功能。拒绝登录，提示联系管理员。
Hub接入跨公司搜索/通信Hub节点状态、授权状态、开放范围。拒绝路由，不泄露目标公司数据。
定时复核每日或每小时授权是否禁用、过期、换绑、降级。进入宽限期或停止外联能力。
源码保护的现实边界：工程上可以通过加密商业模块、代码混淆、许可证签名、指纹绑定和在线复核降低外移风险；但任何交付到客户机器上的代码都不能承诺“绝对不可逆向”。所以需要技术保护、合同条款和Hub授权三层一起做。

授权码管理后台设计稿

后台面向我方超级管理员，不给普通客户开放。

后台设计

授权列表

  • 客户名称、方案档位、授权状态。
  • 绑定域名、服务器指纹摘要。
  • 有效期、激活时间、最近校验时间。
  • 启用、禁用、续期、换绑入口。

生成授权

  • 选择58000或158000方案。
  • 填写客户公司、联系人、授权时长。
  • 设置用户数、Bot数、Hub接入权限。
  • 生成一次性授权码或激活链接。

激活详情

  • 查看域名、IP、服务器指纹。
  • 查看客户端版本和服务版本。
  • 查看授权校验日志。
  • 查看异常迁移和多机激活风险。
页面核心字段主要按钮审计事件
客户管理客户ID、公司名、联系人、方案、合同金额。新增客户、查看授权、查看节点。customer.create、customer.update
授权管理授权码、状态、域名、指纹、有效期、功能开关。生成、禁用、续期、换绑、导出。license.issue、license.disable、license.rebind
节点管理server_id、base_url、在线状态、Hub接入状态。启用、禁用、测试连接、查看日志。node.enable、node.disable、node.ping
品牌配置软件名、Logo、域名、页脚秀秀标识、主题色。预览、发布、回滚。brand.publish、brand.rollback

品牌自定义范围清单

客户可以改品牌，但必须保留底层秀秀标识和授权标识。

品牌边界
项目客户可改我方保留说明
软件名称可改 客户公司自定义名称。页脚或关于页保留“Powered by 秀秀”。例如改成“正平协同”“合众沟通”。
Logo可改 登录页、导航栏、APP图标。授权信息页保留秀秀标识。Logo规格需统一，避免页面错位。
域名可改 客户自有域名。授权中心记录绑定域名。未绑定域名不可登录。
主题色可改 主色、按钮色、登录背景。不能隐藏授权状态和关于信息。需限制颜色范围，保证可读性。
功能名部分可改 朋友圈、Bot秀可起别名。底层对象名和API不变。避免后续升级时数据结构混乱。
授权模块不可改授权校验、指纹绑定、Hub接入规则。这是商业控制核心。
Hub连接不可绕过Hub节点身份和API Key。跨公司互通必须由Hub管理。

子任务二：公域Hub总控架构

Hub由我方统一运营，客户公司都是Hub上的节点；我方公司节点与客户节点平级。

Hub总控

我方公司节点

作为一个普通公司节点接入Hub，可发布我方Bot和服务。

公司A南安

私有数据在A服务器；开放对象通过Hub索引。

公司B守一

私有数据在B服务器；跨公司通信走Hub路由。

我方公域Hub
授权校验
节点注册
公域搜索
路由转发
状态审计

客户公司C

后续新增客户，按授权码注册成为Hub节点。

开放Bot市场

只保存开放索引、简介、权限和计费规则。

授权中心

生成授权、禁用节点、复核域名和指纹。

Hub保存什么

  • 公司节点ID、名称、域名、状态。
  • 开放真人/Bot/群组的索引。
  • 授权关系、路由日志、计费摘要。
  • 不默认保存客户内部聊天正文。

客户服务器保存什么

  • 本公司员工、Bot、群组。
  • 本公司聊天消息和文件。
  • 本公司朋友圈原始内容。
  • 本公司审计日志和权限配置。

Hub控制什么

  • 谁能接入Hub。
  • 谁能被公域搜索。
  • 跨公司消息是否允许路由。
  • 授权过期或禁用后立即阻断外联。

跨公司互通接口规范

先定义接口边界，后续代码实现时按这个协议扩展。

接口规范
接口方向用途关键字段权限要求
POST /hub/nodes/register客户服务器 -> Hub注册或更新公司节点。server_id、company_name、base_url、license_id、signature授权码有效，域名和指纹匹配。
POST /hub/search客户端/服务器 -> Hub搜索开放真人、Bot、群组。keyword、type、requester_server、requester_user节点启用，搜索对象已开放。
POST /hub/contacts/request源服务器 -> Hub -> 目标服务器跨公司添加联系人或Bot。source_account、target_account、reason目标策略允许或管理员审批通过。
POST /hub/messages/route源服务器 -> Hub -> 目标服务器跨公司消息路由。conversation_id、source、target、message_type、payload_ref双方授权关系存在，消息类型允许。
POST /hub/bots/invoke源服务器 -> Hub -> Bot归属服务器调用外部开放Bot。bot_id、caller、input、session_id、quota_tokenBot开放，额度或付费状态有效。
POST /hub/moments/sync客户服务器 -> Hub/目标服务器同步公开或授权可见朋友圈。post_id、author、visibility、visible_servers、metadata可见范围允许，不同步内部私密动态。
GET /hub/licenses/status客户服务器 -> 授权中心定时复核授权状态。license_id、server_fingerprint、domain、version机器签名有效。
1

甲公司发起

甲公司用户搜索或联系乙公司的秀秀账号。

2

本地校验

甲服务器确认用户、授权、消息类型和发送权限。

3

Hub路由

Hub检查甲乙节点状态和跨公司授权关系。

4

乙方接收

乙服务器按本公司策略接受、拒绝或进入审批。

5

目标回复

真人或Bot回复后沿原路返回。

6

两边落库

两家公司只保存与自己相关的会话和审计记录。

子任务三：B端两档方案规格

当前只做B端两档方案，C端暂不纳入报价、交付和验收。

报价方案
对比项58000元档158000元档
定位标准托管部署，适合先快速上线和培训。完整私有化部署，适合客户要求服务器和数据全部在自己环境。
秀秀服务器我方提供，统一部署在秀秀服务器上。客户自行部署，需我方授权加密后运行。
龙虾服务器客户自行部署，隐私数据在客户本地。客户自行部署，隐私数据在客户本地。
域名客户自行申请，绑定到我方提供的秀秀服务入口。客户自行申请，绑定到客户自己的秀秀服务器。
授权模块基础授权：域名绑定 + 指纹绑定 + 功能范围。完整授权：域名绑定 + 指纹绑定 + 源码加密授权 + Hub接入。
源码交付不交付完整服务端源码，客户使用我方托管服务。交付可部署版本，商业授权模块加密/混淆/编译保护。
Hub接入可按我方托管节点接入Hub，开放范围由我方后台控制。正式接入Hub，客户服务器成为独立Hub节点。
品牌定制支持名称、Logo、域名、基础主题。支持名称、Logo、域名、基础主题和更完整部署配置。
包含内容四大法部署、20个BOT训练、个性化培训。全套部署授权、源码交付加密版、接入Hub、部署指导。
数据归属秀秀聊天服务在我方托管；龙虾隐私数据在客户本地。秀秀数据和龙虾数据均在客户自己的服务器。
运维责任秀秀服务器由我方运维；客户维护自己的龙虾服务器和域名。客户维护自己的秀秀服务器、龙虾服务器和域名；我方负责授权、升级指导和Hub接入支持。
适合客户预算较低、希望快速上线、接受托管秀秀服务的B端客户。对私有化、源码交付、服务器自主权要求高的B端客户。
C端内容不包含不包含

58000元档交付清单

  • 我方秀秀服务器托管实例。
  • 客户域名绑定和基础品牌配置。
  • 基础授权激活。
  • 客户龙虾服务器接入指导。
  • 四大法部署。
  • 20个BOT训练。
  • 个性化培训。

158000元档交付清单

  • 客户私有秀秀服务器部署包。
  • 加密授权商业模块。
  • 完整授权激活和服务器指纹绑定。
  • 客户龙虾服务器接入。
  • Hub独立节点接入。
  • 品牌定制配置。
  • 部署和迁移指导。

验收清单与后续文档化

网页先用于确认方案；最终版确认后再生成正式文档。

验收
验收项验收标准当前页面是否覆盖后续实现要求
授权码生成/激活/禁用授权码唯一，可激活、禁用、续期、换绑。已设计新增授权中心数据表、API和管理后台。
域名绑定非绑定域名不可登录。已设计中间件校验Host，登录页和API同时限制。
服务器指纹绑定非授权环境无法正常运行业务。已设计采集指纹、签发本地许可证、定时复核。
源码加密防外移加密商业模块在非授权环境不可运行。已设计商业模块加密/混淆/编译，许可证签名校验。
品牌自定义客户可改名和Logo，但秀秀标识不可移除。已设计品牌配置表、资源上传、页脚强制标识。
Hub管理多实例Hub可管理多套秀秀服务器实例。已设计节点注册、心跳、状态、禁用和路由日志。
跨公司搜索通信甲公司秀秀账号可搜索和联系乙公司开放账号。已设计公域索引、添加关系、消息路由和审批。
数据隔离各公司数据独立，Hub只做连接路由。已设计Hub只保存索引、授权和路由摘要。
两档报价边界58000和158000差异清晰，交付物明确。已设计最终确认后生成正式报价文档。
C端暂缓当前B端方案不包含任何C端交付。已明确只在长期架构中保留扩展接口。
下一步建议：先确认本页里的授权字段、两档交付清单和Hub是否“只路由不保存客户内部聊天正文”。确认后再把它生成正式技术方案文档、报价说明文档和开发任务清单。