- 工作区隔离
- 会话和 API 密钥在数据路由执行之前解析工作区。 系统会检查所选工作区的成员资格；客户端提供的身份标头会在网关处被替换。
- 有界操作
- 作业需要幂等密钥和显式的最大单元数。 批量预留是原子性的。 对于数据源结果不确定的任务，系统会保留该任务以进行协调。
- 私有存储
- 数据源凭据保留在私有的服务器端服务中。 结果工件存储在私有对象存储中，并通过经过身份验证的工作区路由下载。 新结果的保留时间可配置。
- 团队责任
- 所有者管理成员资格。 管理员配置工作区和密钥。 编辑运行任务并维护记录；查看者检查结果。 变更会创建审计条目。
- 代理边界
- 外部列表、评论文本和导入记录均视为数据。 它们无法授予访问权限、更改预算或授权外部通信。
验证限制
阅读数据策略 这些控制措施已实施，并由选定的回归测试覆盖。 独立的渗透测试、生产负载验证、法律政策和认证合规性仍然是独立的验收门槛。