Launch 购买期限与账号 SDK 边界

本次变更仅在本地开发、验证；未部署 Launch，未发布 SDK 包。当前源码依赖 Licentivo 的账号授权协议和配套官方 SDK 更新，不能与仅支持长期许可证密钥的旧服务端混用。

职责

Launch 的订单、购买期限、同步完成标记都不能放行受保护功能。客户端必须通过官方 SDK 的 RunFeature 等运行接口执行受保护业务。

每个 Launch 产品保存一个稳定的公开 Licentivo 产品路由。同一产品的套餐可选择不同策略，但不能切换到另一个远端产品；映射保存通过共同产品的数据库行锁串行校验。客户身份、套餐发布与 SDK 接入配置读取同一绑定，草稿不能改变已购客户的产品上下文。这只校验接入配置的一致性，不决定功能或设备授权。旧库缺少稳定字段时优先参考购买及发布历史，无法唯一确认时返回 PRODUCT_MAPPING_CONFLICT，详见 映射并发修复。

购买期限同步

复用现有接口，不新增付款事实、退款事实或报价服务：

• POST /api/v1/launch/connections、PUT /connections/{id}：登记身份签名公钥，正式与测试环境分别建立连接。
• PUT /api/v1/launch/connections/{id}/plans/{plan}：登记不可重复的 Launch 套餐版本引用及远端产品、策略版本。
• POST /api/v1/launch/connections/{id}/events：提交完整的版本化购买快照。
• GET /api/v1/launch/connections/{id}/events/{event}：确认处理结果。
• POST /api/v1/launch/connections/{id}/events/{event}/retry：核对后重试原事件。

快照只含事件编号、环境、事件类型、购买引用、匿名账号引用、Launch 产品、套餐版本引用、递增版本和绝对 valid_from / valid_until；迁移时附旧许可证 ID。不发送支付密钥、价格、客户邮箱或长期许可证密钥。永久购买的 valid_until 为 null，由 Licentivo 校验是否与策略匹配。

Launch 在同一数据库事务内确认付款、记录不可变的购买覆盖区间并保存同步任务。按日/月/年的日历周期计算截止时间；续费沿用原购买锚点，已过期后才付款则从实际付款时间开始。升级报价和期限仍在 Launch 计算。

每次变化发送完整绝对值，重试使用同一个事件 ID 和相同正文，不发送“再加 N 天”。任务持久化请求、远端连接和处理进度；响应丢失、进程重启和并发工作进程均不会重复叠加期限。

HTTP 202 只代表 Licentivo 已接收。仅收到 applied 才标记同步完成；pending 继续查询，manual_review 和无法确认的 stale 保留待核对状态。网络错误退避重试，连续失败达到上限后进入人工核对。

退款只移除对应订单的覆盖区间：退升级订单恢复基础套餐；退续费订单移除对应延长部分；仍有未退款购买时同步重算结果，不撤销全部购买。全部购买均退款后发送 entitlement.refunded。以后重新购买使用新的购买引用，防止复活已撤销的远端许可证。

渠道确认的败诉拒付或撤款也只移除对应订单的购买覆盖，订单显示为 reversed，实际授权变化仍由 Licentivo 应用购买快照后处理。未决争议不改变购买记录。历史待核对撤款通知可通过原渠道重新验签重发恢复。

未知退款进入人工核对后，可由管理员通过 POST /api/v1/admin/refunds/{id}/reconcile 恢复原操作。回执需匹配原交易、币种和金额；不得变更原操作编号及审批时间，超出安全重试窗口后不得盲目重新提交资金请求。

账号与客户端

1. 客户端使用 POST /api/v1/auth/login 建立真实桌面登录会话。
2. Launch SDK 请求 POST /api/v1/software/products/{id}/identity，指定 sandbox 或 live。
3. Launch 签发最长 120 秒、指定接收方及产品/购买上下文的身份断言，包含真实登录 sid 和登录到期。断言不含功能、设备额度或离线权限。
4. Launch SDK 仅在内存中把 identity_token、launch_connection_id、environment 传给官方 SDK，license_key 为空。
5. 官方 SDK 调用 Licentivo /api/v1/launch/exchange，由 Licentivo 决定授权并下发设备凭据和签名许可。

Launch 正常账号记录使用 v2，只保存账号会话及公开路由信息，不保存断言、许可证密钥或授权许可。显式退出时转为仅用于撤销的私有 v3 待办，不能恢复为登录；确认 Launch 会话撤销后再删除。旧 /credential 接口返回 HTTP 410。公钥和产品 ID 可以随应用分发，管理密钥只留在服务端。

退出、关闭、远程解绑

官方 SDK 的退出会立即停止本进程使用授权，清理其运行凭据，使用专用退出票据撤销远端绑定。网络失败必须保留 SDK 的 .logout.json，结果应显示远端撤销待完成，不能提示解绑成功。Launch SDK 不删除、遍历清理或修改官方 SDK 的缓存目录；待撤销票据由官方 SDK 在对应缓存再次初始化后恢复处理。

Launch 账号退出也有独立的待办状态：网络失败、取消或响应丢失时，不删除重试所需的安全记录；再次登录、恢复或退出只补交原会话撤销，待办不能用于恢复登录。成功或 HTTP 401 确认会话失效后删除。跨进程恢复需要持久化安全 Store，MemoryStore 只在本进程有效。详见 退出重试修复与联调。

远程解绑请求携带原列表返回的 activation_id 和 expected_generation，重试沿用 operation_id。Launch 不计算解绑次数，不自行审批或执行解绑队列，也不刷新代次后自动重试旧操作。剩余次数、是否允许释放、审核及最终结果均来自 Licentivo。

账号恢复 Restore 需要联网确认账号并取得新身份断言；Launch 不在账号服务故障时自行选择离线放行。需要离线启动的应用按官方 SDK 的恢复契约接入；签名、离线期限和时钟检查仍由官方 SDK 完成。

服务端身份撤销

对接 Licentivo V39 的现有接口，无需商业事实或报价接口：

• POST /api/v1/launch/connections/{id}/session-revocations：撤销指定 sid 或账号的旧登录，返回同步提交的回执。
• GET /api/v1/launch/connections/{id}/session-revocations/{event_id}：取回原事件的已提交结果，恢复响应丢失的请求。

普通桌面退出、强制退出指定会话使用 scope=session；改密、重置密码、邮箱变更、停用账号及网站人员角色变更导致的全部会话失效使用 scope=account。网站会话的普通退出不影响客户软件。Launch 只通知身份已失效，远端授权会话、运行凭据和设备释放均由 Licentivo 完成，不修改购买期限，也不消耗 Launch 维护的解绑额度。

本地会话失效与通知入队在同一事务内完成。队列冻结当时已存在的连接和环境，使用同一事件 ID、账号匿名标识及原请求重试；后来创建的连接不接收历史账号撤销。先查询原回执，确认不存在时才重新提交；每个环境分别持久化结果，只有全部收到匹配的成功回执才显示完成。断网自动重试，凭据/契约冲突进入人工核对。管理员可在同步任务页查看通知并重试；重试不生成新的撤销事件。

账号范围撤销以 Licentivo 首次接收的 revoked_before 为界。通知待完成期间暂停新的桌面登录和身份断言；完成后，真实登录的 auth_time 必须严格晚于所有环境回执中的截止秒。同秒登录可稍后重新认证；刷新 iat 或身份断言不能续用旧登录。网站登录仍可用于恢复操作。账号重新启用后也必须重新登录，不恢复旧会话。

旧数据迁移

有已确认旧许可证绑定的购买使用 entitlement.migrated，只提交旧许可证 ID，不读取或下发旧密钥。Licentivo 确认迁移后，再发送独立的新版本快照同步当前商业期限和状态。未确认过的旧发放结果及不兼容的授权需要人工核对；旧管理命令不会自动重放。

普通 SDK 退出、远程设备解绑和服务端身份撤销均对接现有接口。远程停用仍受官方 SDK 已签发离线许可的期限约束，Launch 不承诺离线设备收到即时撤销。

账号退出采用独立安全待办、本机会话退出摘要及跨进程协调，旧实例只处理自己的登录。存储故障后的恢复先补交账号撤销，不取得身份或启动授权；功能、离线许可、设备代次和解绑额度继续由 Licentivo 决定。详见 修复与两端联调记录。