Vibe Coding 外部服务切换：从 Mock、Sandbox 到生产的可逆门禁

本地 Mock 返回预期 JSON，Sandbox 也创建成功，于是把 base URL 和 API key 换成生产值就上线，这是第三方集成最危险的“最后一步”。生产环境可能使用不同账户权限、Webhook 密钥、资源 ID、速率限制和风控流程；Sandbox 中立即完成的对象，在生产可能异步审核。AI 能快速改配置，却无法从测试响应推断这些差异不存在。

API Mock 与 Fixture 漂移门禁说明 Mock 必须受真实契约约束。迁移到 Sandbox 和生产时，还要建立环境身份与状态证据。Stripe 的测试模式和 API key 文档明确区分测试/生产对象与密钥，这类边界必须以所接供应商当前官方文档为准。

为每个环境建立清单

创建 EnvironmentDescriptor，记录环境名、base URL、账户/项目 ID、区域、API 版本、凭证引用、Webhook endpoint 与签名密钥代际、允许的资源前缀、配额策略和数据保留。它保存引用和非敏感指纹，不保存明文 secret。应用启动时验证组合，例如生产 URL 不能搭配测试 key 前缀，生产账户不能加载 sandbox webhook secret。

Mock 描述的是我们相信的契约，Sandbox 描述供应商提供的测试能力，生产才是最终运行边界。为每个 operation 建差异表：Sandbox 是否实现、是否模拟异步事件、是否触发真实通知、错误和限流是否可测试、数据能否重置、生产是否需要额外审批。未知项保持未知并建立生产探针，不能让 AI 填“与生产一致”。

资源不能靠同一个远端 ID 跨环境复制。产品、Webhook endpoint、OAuth client、队列 topic 等建立逻辑资源名到各环境 ID 的映射，映射有 owner、来源与校验状态。代码引用逻辑名，部署配置选择环境映射；禁止把 sandbox 返回的 ID 直接写入生产配置。

凭证按环境、服务与权限最小化，生产 secret 只在生产运行时可读。开发者和 AI 工具默认接触 Mock/Sandbox，生产配置变更走审核并记录 secret 版本的安全指纹。编程 Agent 沙箱权限同样适用于集成工作：读取源码不意味着可以读取生产密钥或发起真实副作用。

让 Mock 和 Sandbox 各负其责

Mock 用于快速、确定性的单元和前端测试，覆盖契约 schema、常见错误和边界延迟。它必须从 OpenAPI 或录制契约生成/校验，并故意拒绝未知字段。不要把 Mock 写得比真实服务更宽容，也不要只返回 200。

Sandbox 用于验证认证、序列化、分页、异步状态和 Webhook 闭环。测试创建带唯一 run ID 的资源，等待事件，查询最终状态，再按 owner 标签清理。共享 Sandbox 需要 namespace 与并发隔离；不可清理的对象记录保留策略。预览环境的生命周期可参考预览环境隔离 Seed。

同一套 conformance suite 对 Mock、Sandbox 运行，差异必须在 allowlist 中写原因与官方依据。消费者与提供者交互可借鉴契约测试，但第三方无法由我们修复，所以发现差异后应调整适配器或升级决策，而不是篡改测试通过。

生产切换不是一次开关

第一阶段做无副作用探针：验证账户身份、API 版本、权限范围、时钟和只读 operation。响应中的账户 ID 必须等于 descriptor，不只看 200。第二阶段创建最小、可撤销、明确标记的生产测试对象；执行者、时间窗、预期副作用和清理步骤需预先批准。

第三阶段只给内部账号或极小流量启用 feature flag，限制 operation、租户和金额/数量等业务边界。所有生产写使用幂等键，日志记录远端 request ID 与环境，但绝不记录 key。Webhook 先验证签名并落 receipt，相关设计见Webhook 订阅正确性；测试环境事件不得进入生产 handler，反之亦然。

切换期间比较本地请求、远端对象和 Webhook 最终状态。成功率不是唯一门禁，还要看未知结果、重复、状态停留、对账差异、权限错误和限流。对账使用供应商查询接口和稳定远端 ID，不能只相信本地“已发送”日志。

回滚前先定义什么可逆。停止新流量可由 flag 完成；已创建的远端对象可能需要取消、退款或等待，不应通过删除本地行假装回滚。若 Sandbox 与生产共用一套 worker，回滚必须保证积压消息仍按其环境 descriptor 处理，不能切换全局 base URL 后把旧任务发到另一环境。

把差异变成持续回归

生产启用后仍定期对 Sandbox 跑契约探针，监测供应商 API 版本、字段和错误变化；生产只做低频无副作用健康检查。每次 SDK 或 API 版本升级，重新生成差异报告和环境验收证据。Sandbox 漂移并不一定代表生产已变，但应触发调查而非自动发布。

故障演练包括错配 key 与 URL、Webhook secret 代际错误、资源映射缺失、Sandbox 不发送事件、生产返回未见状态、切换中进程重启、flag 回退后队列仍有消息。预期系统在任何不确定环境身份时默认拒绝，所有已接受操作都能按 request ID 对账。

Mock、Sandbox 和生产不是三个仅 URL 不同的后端。它们分别承担确定性开发、真实协议演练和受控业务验证。把环境清单、差异表、限量门禁与回滚责任交给 AI 作为不可变约束，它可以生成配置和探针，却不能跳过生产身份确认或把测试成功冒充上线证据。