Vibe Coding 渐进启用收据：证明哪批用户实际运行哪版代码

很多发布报告只有两句话：“新版本已部署，10% Canary 正常。”这里至少缺少四个问题：10% 是实例、请求还是稳定用户；这些请求是否真的命中新代码路径；观测数据能否区分基线与候选；评估期间 Flag 规则有没有变化。若这些身份没有绑定，Vibe Coding 生成的补丁即使出了问题，也可能被旧实例、未曝光用户或聚合指标稀释。

本文不再解释 Feature Toggle 的基本类型，那部分可查Feature Toggle 模式和AI 功能灰度实践。这里解决更窄的问题：为每一轮渐进启用生成一张不可含糊的收据，证明“谁在何时、以什么规则、运行了哪份闭合候选，并产生了哪些结果”。

先拆开部署、资格与曝光

部署表示目标运行环境已经拥有候选制品；资格表示某个主体按 Flag 规则可以进入新路径；曝光表示一次真实执行确实使用了新路径。三者不能互相代替。Pod 带候选镜像不代表请求路由到它，用户属于候选 cohort 也不代表触发目标功能，Flag 服务返回新值更不代表后续代码没有降级到旧实现。

OpenFeature 规范为 provider、evaluation context、hook 和 evaluation details 定义了共同抽象。实现可以利用评估详情记录 flag key、variant、reason 和 provider 元数据，但启用收据还必须带应用制品 digest、配置代际和业务执行结果。不要只保存布尔值；同一个 true 在两次规则编辑后可能代表不同 cohort。

一张 activationReceipt 至少包含：releaseId、制品摘要、配置/schema 水位、Flag 规则版本、稳定分桶键类型、候选资格、实际 variant、执行路径版本、请求或任务 ID、时间窗、观测查询版本以及数据完整性状态。用户标识应使用符合隐私边界的稳定内部 ID，不把邮箱、Prompt 或令牌写进遥测。

设计不会漂移的 cohort

渐进比例要说明分母。按实例切 10% 适合发现进程级崩溃，却可能让同一用户在新旧行为间跳动；按请求随机切流会污染有状态流程；按稳定账户分桶更利于比较，但要处理新用户、共享账户和跨设备。选择取决于风险，收据必须记录分桶算法与代际，不能只写百分比。

Canary wave 在开始时冻结候选资格快照。期间若产品人员改 Flag、扩展 allowlist 或发布另一个制品，当前观察窗应结束并创建新 wave。Kubernetes Deployment 的滚动状态、Argo Rollouts 的流量步骤和应用 Flag 是不同控制面；三者都可能改变真实曝光，所以要在查询里连接，而不是假定平台会自动给出一致答案。

对支付、写入、消息发送等副作用，先从内部或合成主体开始，限制租户、金额、操作和最大次数。影子请求不能执行真实副作用；真实 cohort 则必须使用幂等与对账。模型质量类 Canary 可参考模型服务金丝雀发布，但普通代码改动还要观察错误语义、状态转换和数据一致性，不只看延迟与成功率。

用预注册门槛推进 wave

每一 wave 开始前写清最短与最长观察窗、必须收到的曝光量、关键切片、数据延迟、停止信号和人工 owner。具体比例与阈值来自服务基线和风险，不让 AI 编造“行业标准 5%”。没有足够曝光、遥测丢失或 cohort 串版时，状态是 INCONCLUSIVE，不是默认通过。

指标至少分为资格数、曝光数、成功结果、业务拒绝、未知结果和未归因请求。聚合成功率要按版本、variant 与 cohort 切片，并配合Agent 在线评测指标中的用户结果思路。若只看全站平均值，小 cohort 的严重错误会被多数旧路径掩盖。若曝光日志与请求总量无法对账，先修观测链，暂停扩量。

停止时也要区分动作。关闭 Flag 可以停止新曝光，但已排队任务和长会话仍可能继续；回退流量权重不一定卸载候选实例；回退镜像也不会自动恢复候选写入的数据。收据列出每个控制面的当前状态与收敛证明，直到候选不再接受新工作、在途工作得到处置、指标回到可解释基线。

让收据成为下一步的输入

扩量决策引用上一 wave 的收据摘要，下一 wave 继承完全相同的候选身份，只改变批准的 cohort 或流量权重。任何代码、配置、规则、schema 或观测查询变化都开新 release，而不是继续沿用旧绿色。这样编程 Agent 的改动验证门证明的是代码候选，启用收据证明的是候选在真实曝光中的行为，两者不会混写。

最终报告可以很短：候选身份、wave 范围、资格/曝光对账、关键结果、数据完整性、异常切片、决定与下一步。真正的渐进交付不是把滑块慢慢推到 100%，而是让每次扩大风险面都有同一份可复算证据。Feature Flag 和 Canary 只是执行手段；能回答“谁实际运行了什么、结果如何、怎样停止”，才是发布控制。

延伸阅读

• Feature Toggle 模式
• AI 功能灰度实践
• 模型服务金丝雀发布
• Agent 在线评测指标
• 编程 Agent 的改动验证门