No-code Webhook 工作流发布：配置代际、原子切换与确定性回放

No-code 编辑器把“收到付款 Webhook -> 查客户 -> 发欢迎信 -> 更新 CRM”画成四个方块，看上去不需要发布工程。实际事故往往来自方块之间：运营人员删掉一个字段后直接点保存，已经入队的旧事件在新图上运行；修复映射后点击 replay，欢迎信和 CRM 更新又执行一次；还有系统先把 JSON 解析重排，再拿变过的字节验签，导致真实请求被拒绝。

事件驱动架构解释事件与消费者的解耦，后台任务队列处理交付和 worker 扩缩。Webhook 订阅正确性负责提供方的端点验证、密钥轮换与投递证明；本篇从消费入口收到请求开始，只治理可视化工作流的配置身份、入口时绑定哪个版本，以及回放是否获准重新产生效果。队列能够重放消息，不代表业务允许重放动作。

编辑草稿不能成为运行配置

编辑器保存的是可变 draft；发布时编译为不可变 workflowRelease.v1，固定图结构、schema、connector、secret/runtime generation、超时预算及 effect slot。slot 来自 workflow 级 lineage registry：改名保留原 canonical ID，删除写永久 tombstone，新副作用必须申请新 ID。编译器 diff gate 拒绝复用或偷偷改名，也拒绝无入口、无界环路、类型不兼容和未声明写操作。

schema: workflowRelease.v1
workflowId: paid-onboarding
release: 18
runtime: [email protected]
inputSchema: payment.succeeded@2
graphDigest: sha256:6af...
effectSlots:
  - welcome-email@1
  - crm-entitlement@2
secretGeneration: 31

activeRelease 只是带 CAS generation 的入口 alias。切换在一个线性化写入中发生，并记录 approver、兼容性结果和 cutoverAt；不能逐节点替换。Webhook 到达入口时读取一次 alias，创建 workflowAssignment，把 event ID、release digest 和 ingress generation 绑定。之后即使发布 release 19，这个 run 仍完整使用 18。Feature Toggle可以控制入口暴露，但节点级混搭不是灰度，而是未被验证的新程序。

先验证原始请求，再生成标准事件

ingress 保存受限保留期内的加密 raw body、raw SHA256、关键请求头、接收时间、provider event ID、signature key generation 和验证结论。供应商 raw-body 签名按原始字节验证；RFC 9421 profile 签的是规范化 HTTP components，必须覆盖 @method、@target-uri、content-digest 及 created/expires/nonce 参数，并在解析前从 raw body 重算 Content-Digest。JSON 规范化只能发生在验证之后。

验证成功后映射为带 specversion、稳定 id、source、type、subject 和 occurred/received 时间的事件信封。CloudEvents 提供互操作字段，但业务去重仍取受信 provider ID、source 和 event type。Stripe 等供应商可能重复投递且不保证顺序，因此重复不能直接丢弃：同键同 raw hash 返回原 ingress receipt，同键不同 hash 进入 IDENTITY_CONFLICT，不能以后到正文覆盖。

run 状态区分 ASSIGNED、RUNNING、WAITING、SUCCEEDED、FAILED 与 UNKNOWN_EFFECT。effect key 由 workflow ID、source event identity 和 canonical slot 生成，不含 attempt 或 release。外部 I/O 前，PREPARED -> DISPATCHING CAS 必须匹配 assignment、slot lineage 和 connector revocation generation；撤销与 dispatch 只准一方获胜。未知结果先查 provider receipt；不支持幂等与查询的写节点标记 NON_REPLAYABLE。REST API 版本控制保护连接器合同。

Replay 是新实验，不是假装时间倒流

replay 命令必须选择 ORIGINAL_RELEASE 或明确的新 release，记录原因、发起者、范围、输入摘要和 replay generation。默认 SIMULATE_EFFECTS：重新执行纯转换与读取，用保存的结果夹具或受控 read snapshot 比较输出，不调用写 connector。确需补做效果时逐 slot 展示原 receipt，只有 NOT_APPLIED 且获得独立批准的 slot 才可解锁；UNKNOWN_EFFECT 不允许靠 replay 猜测。

原 payload 超过保留期、schema reader 已撤回、secret 权限失效或依赖读快照不可重建时，结果是 NON_REPRODUCIBLE，不能用当前数据补齐后宣称确定性回放。Agent 回放评测重现模型轨迹以分析质量，这里的 replay 面向运营事件和外部 connector，验收点是效果没有被意外复制。

故障注入、发布门和撤回

测试旧事件在切换前入站但切换后出队、同 provider ID 不同正文、签名 header 重放、connector 成功后丢 ACK、replay 与原 run 并发，以及 slot 改名或删除后复用。断言 assignment 只引用一个 release，Content-Digest 来自原始正文，slot lineage 不变，同一事件和 slot 最多一个确认效果，未知项保持阻断。

门禁要求编译和 schema conformance 100% 通过；十万条历史事件在 shadow 新 release 上的未解释输出差异为 0；重复输入产生的新外部效果为 0；入口 assignment 缺 release digest 为 0；UNKNOWN_EFFECT 在 15 分钟内完成查询或进入人工队列。发布先 shadow、再给内部 source 5% alias，最后按 provider 扩大。

回滚时原子把 alias 指回上一 release 并提升 ingress generation，新事件使用旧图，已分配 run 继续原 release 或显式暂停。撤回 connector 时提高 revocation generation，使它在同一 dispatch gate 赢过尚未发出的 I/O；已赢得 dispatch 的调用只能对账，不得换实现重试。receipt、assignment 和 slot tombstone 继续保留。