个人与匿名访问
登录用户使用随机的 analytics_person_id。匿名访问使用短期 ID，登录和退出时按用途管理关联。
PRIVATE ANALYTICS BLUEPRINT / 01
TikHub 用户行为
数据体系
用户行为、API 调用、活动触达和风险调查的数据流，以及 TikHub 的采集、身份与数据控制方案。
DESIGN PRINCIPLES01 / 数据自控02 / 事件有来源03 / 身份有边界04 / 运营可衡量
01 / DATA FLOW
从行为发生，到业务行动
选择场景高亮完整路径；点击任意节点，查看数据内容和边界。
ARCHITECTURE →
系统数据流 / 架构提案
当前数据流其他路径
01 / 行为与业务来源
02 / TIKHUB 自有数据层
03 / 分析与决策
04 / 员工操作与反馈
运营效果反馈↶活动触达 → 曝光、点击、领取及业务转化 → 统一事件接入 → 效果分析
统一事件接入
采集前字段白名单、用途控制、身份确认
传输与存储TLS、访问控制、队列重试与数据删除
使用时员工权限、查询审计、营销退订
业务场景模拟
| 步骤 / 时间 | 事件或处理 | 模拟数据与结果 | 流向 |
|---|
示例用于解释目标设计；部分事件已用合成数据验证，具体生产实现仍需验收。高亮行跟随上方播放步骤变化。
02 / EVENT CATALOG
TikHub 应该采集什么？
以业务问题为中心定义事件，先覆盖关键节点；下列名称和口径为设计提案。
EVENTS →
| EVENT / 事件 | 采集时机 | 来源 | 用于回答 |
|---|
03 / IDENTITY MODEL
一个用户，多种业务身份
同时表达个人、组织、成员和服务身份，保留事件发生时的真实上下文。
IDENTITY →
组织与成员关系
组织拥有独立分析 ID。记录操作人和成员关系；切换组织不会改写历史事件。
服务身份
服务 Key 和自动任务标记为 service 或 system，不会被误认为自然人。
App 与事件来源
每个事件标明可信来源和所属 App，关键事实由拥有该事实的服务上报。
卖家 pairwise 隔离
沿用按卖家隔离的 sub；不向卖家暴露跨卖家身份映射或其他卖家的行为。
用途、权限与删除
映射表单独保护；查看与导出需授权和审计，注销或适用撤回时按策略处理数据。
04 / SYNTHETIC POC
两轮 PoC：从现象到边界
隔离环境、虚构账户和事件；点击卡片展开实测过程。结论是产品接入依据，不代表生产验收通过。
TEST RESULTS →
同一项目内，卖家可互相读取
两个虚构卖家都只有项目读取权限；同项目内访问对方画像返回 200。分别限制到不同项目后，跨项目请求返回 403。
查看验证与设计影响
测试了画像查询 API，不代表所有 API、导出和共享链接均已覆盖。卖家不能直接访问共享项目；TikHub 需在服务端强制租户、角色与字段授权。
事件归属 ≠ 当前成员关系
Alpha 有 3 个历史事件主体，显式分配后成员列表是 2 人。Bob 只重新分配到 Beta 后，旧 Alpha 分组仍保留。
查看验证与设计影响
事件标签和画像成员是两套口径；所测分组更新会保留旧值。TikHub 应维护可撤销、带生效时间的权威成员关系，并单独保留事件发生时的组织。
删除后重放，事件会再次出现
合成主体在数据库中删除后，重放旧事件重新写入；导出的记录也可被恢复。仅删除当前数据库行不足以完成删除。
查看验证与设计影响
本次是直接对两张表做行级导出、删除、重放和回写，不是原生删除或全量恢复验收。应维护持久删除标记，并在重试、队列重放及恢复备份时重新执行。
容器隔离不等于浏览器隔离
原始后台曾出现厂商与第三方资源请求；限制后页面仍含第三方脚本引用。三个应用容器的 DNS、TCP 和空 HEAD 出站探测未成功。
查看验证与设计影响
没有完整浏览器与容器抓包，无法证明所有外联已阻断。生产前需移除外部组件，并覆盖 DNS、IPv4/IPv6、全部页面、故障和升级路径。
| 对照项目 | OpenPanel 2.x | Umami 3.4.1 |
|---|---|---|
| 合成事件 | 22 条成功接收；重发会重复 | 22 条成功接收；重发会重复 |
| 产品能力 | 画像、组织与事件界面已验证 | 三步激活漏斗为 4 → 3 → 2 人 |
| 轻量负载 | 240 条全部入库；约 20 条/秒的短时测试 | 本轮未在相同负载条件下测试 |
| 资源范围 | 本轮负载期间约 2.45–2.47 GiB | 第一轮单次快照约 271 MiB |
数据均为本机小样本观察，不同轮次和条件不可直接作为性能排名；未完成长期压测、全面权限检查、全量备份恢复或完整出站抓包。
05 / DELIVERY PLAN
从验证到可用的四步
先验证产品和数据边界，再逐步建设 TikHub 专属能力。
ROADMAP →
隔离 PoC
合成数据测试 OpenPanel 与 Umami，检查功能、身份适配、外联及资源。
统一事件与身份
建设事件规范、接入、脱敏、身份映射和可靠投递，不进入资金热路径。
分析与运营闭环
展示核心漏斗，连接现有员工权限、站内活动、邮件订阅与退订。
风险与上线验证
补齐规则告警、人工复核、备份恢复、删除和权限审计后评估上线。
当前进度：两轮合成数据 PoC 已完成部分验证。上线前仍需完成卖家权限、浏览器与容器全面外联审计、完整删除恢复及生产负载验收。