个人与匿名访问
登录用户使用随机的 analytics_person_id。匿名访问使用短期 ID，登录和退出时按用途管理关联。
PRIVATE ANALYTICS BLUEPRINT / 01
TikHub 用户行为
数据体系
面向 TikHub API 升级接入新 Platform：用真实接口、账户审计、结算记录与运营流程，说明分析数据如何形成。
打开行为分析后台演示 进入架构评审 →使用边界：行为上报与分析数据仅供内部授权员工使用，不向卖家开放。
代码依据：TikHub-Platform e2ea1b8a / TikHub_API 80132ea8 · 2026-11-09。API 只提供专属接口与请求事实；账户、组织、授权、资金和运营采用新 Platform 模型。分析旁路及 API 新平台接入尚待建设与联调，页面样本全部合成。
DESIGN PRINCIPLES01 / 数据自控02 / 事件有来源03 / 身份有边界04 / 运营可衡量
01 / DATA FLOW
从行为发生，到业务行动
选择场景高亮完整路径；点击任意节点，查看数据内容和边界。
ARCHITECTURE →
系统数据流 / 架构提案
当前数据流其他路径
01 / 行为与业务来源
02 / TIKHUB 自有数据层
03 / 分析与决策
04 / 员工操作与反馈
运营效果反馈↶现有邮件投递 → 拟建第一方点击与业务转化采集 → 统一事件接入 → 效果分析
统一事件接入
采集前字段白名单、用途控制、身份确认
传输与存储TLS、访问控制、队列重试与数据删除
使用时员工权限、查询审计、营销退订
业务场景模拟
| 步骤 / 时间 | 事件或处理 | 模拟数据与结果 | 流向 |
|---|
示例用于解释目标设计；真实名称取自代码，API 新平台接入与分析投影仍待建设。高亮行跟随上方播放步骤变化。
02 / EVENT CATALOG
TikHub 应该采集什么？
以业务问题为中心定义事件，先覆盖关键节点；现有审计、业务记录与建议新增事件分别标识。
EVENTS →
| EVENT / 事件 | 采集时机 | 来源 | 用于回答 |
|---|
03 / IDENTITY MODEL
一个用户，多种业务身份
同时表达个人、组织、成员和服务身份，保留事件发生时的真实上下文。
IDENTITY →
组织与成员关系
组织拥有独立分析 ID。记录操作人和成员关系；切换组织不会改写历史事件。
服务身份
服务 Key 和自动任务标记为 service 或 system，不会被误认为自然人。
App 与事件来源
每个事件标明可信来源和所属 App，关键事实由拥有该事实的服务上报。
Market 身份边界
保留既有 pairwise sub 的业务语义。行为数据仅供内部授权员工使用，不向卖家开放，包括其自身数据和聚合。
用途、权限与删除
映射表单独保护；查看与导出需授权和审计，注销或适用撤回时按策略处理数据。
04 / SYNTHETIC POC · 2026.11.09
三轮 PoC：验证数据与权限边界
全部使用隔离环境与合成数据。第三轮补测事件导出、队列重放、完整冷备恢复与外联；点击卡片查看范围。
TEST RESULTS →
项目 read 权限覆盖同项目其他测试主体
历史 PoC 将 A / B 命名为合成卖家；A 持项目 read 权限，可查 B 并创建读取客户端导出。无授权项目的事件查询为 403。这是权限范围测试，不是卖家产品功能。
查看验证与设计影响
读取客户端创建、导出及撤销均返回 200。测试凭据已撤销；账号角色由合成数据库引导，不是原生卖家角色。共享链接、缓存和全部 API 尚未覆盖。当前边界是卖家零访问：不开放任何行为数据、聚合、导出或共享入口。内部员工查询仍须服务端权限控制；卖家全面拒绝尚待 R08 验收。
事件归属 ≠ 当前成员关系
Alpha 有 3 个历史事件主体，显式分配后的成员列表是 2 人。Bob 重新分配到 Beta 后，旧 Alpha 分组仍保留。
查看验证与设计影响
这是第二轮观察：事件标签和画像成员是两套口径。TikHub 需维护可撤销、带生效时间的权威成员关系，并保留事件发生时的组织上下文。分析分组不能作为授权来源。
待处理的旧事件会重新写回
暂停 Worker 后将旧合成事件送入队列，删除对应数据库行，再恢复 Worker：事件从 0 条变回 1 条。
查看验证与设计影响
这次由实际 Redis 队列与 Worker 重放，区别于第二轮手工重新发送。直接删除了 ClickHouse 事件和画像，没有安装持久删除标记；不是原生完整删除流程验收。接入、队列消费和恢复后都应检查独立删除登记。
从新目录与新数据卷重新启动
备份包含 PostgreSQL、ClickHouse、Redis 三个完整数据卷及 Compose、环境和数据库配置。恢复后 269 条事件、10 条画像原始行、2 条分组记录一致，产品导出 API 返回 200。
查看验证与设计影响
校验 10 个备份文件后，在新目录和全新卷中启动；复用本机已固定摘要的镜像。备份包约 58.1 MiB，解包后从写卷到服务健康约 18.66 秒，仅为本机小样本。备份后已在源库删除的哨兵事件与画像恢复成 1 / 1，必须重新执行删除策略。未覆盖远程灾备、镜像重下载、加密密钥恢复及生产 RPO/RTO；本地测试包未加密且没有公开上传。
CSP 拦截厂商上报与第三方脚本
浏览器报告拦截 api.openpanel.dev/track 和 cdn.userjot.com/sdk/v2/uj.js。API、Dashboard、Worker 的 DNS、IPv4 / IPv6 TCP 与空 HEAD 出站点探测均未成功。
查看验证与设计影响
覆盖项目、概览、事件、画像与 Groups 页面；共收到 6 条 CSP 报告、2 个目标。容器 internal 网络未开启 IPv6，IPv6 结果不能说明双栈部署安全。CSP 报告不是完整抓包；仍需移除外部组件，验证所有页面、故障和升级路径。测试 CSP 不作为生产模板。
从事件到用户、运营与风险视图
依据两个项目代码重建总览、5 条动态业务流、账户身份、真实群发口径、审计风险和事件依据。模拟抖音接口的 200 / 402 / 429 / 500，观察指标变化。
查看演示范围
纯前端合成数据，尚未接入 OpenPanel 或 TikHub 后端；不发送通知、不执行风控处置。刷新重置数据。展示的是内部员工后台，不向卖家开放行为数据；持久存储、服务端鉴权和生产分析尚未实现。
| 对照项目 | OpenPanel 2.x | Umami 3.4.1 |
|---|---|---|
| 初轮合成事件 | 22 条成功接收；重发会重复 | 22 条成功接收；重发会重复 |
| 产品能力 | 画像、组织与事件界面已验证 | 三步激活漏斗为 4 → 3 → 2 人 |
| 第二轮轻量负载 | 240 条全部入库；约 20 条/秒的短时测试 | 未做同条件负载测试 |
| 资源观察 | 第二轮负载 2.45–2.47 GiB；第三轮恢复后约 1.58 GiB | 第一轮单次快照约 271 MiB |
| 第三轮完整冷备 | 三个完整卷 + 配置恢复；产品 API 可读 | 本轮未补测恢复 |
恢复后的 3 次快照仅为短时页面操作后观察，CPU 合计约 5.31–12.90%；不含宿主与 Docker VM。不同轮次与条件不可直接作为性能排名。完整冷备恢复已在本机验证，生产灾备、完整删除、全面权限与完整出站审计仍未验收。PostHog 仍只作功能参考，未部署实测。
05 / ARCHITECTURE REVIEW · 2026.11.09
架构评审：从问题到验收
14 项决策议题，分别列出依据、解决方案、优先级、责任角色与验收标准。
REVIEW →
已确认的产品边界
行为数据仅供 TikHub 内部授权员工使用
不向卖家开放上报数据、事件明细、用户画像、聚合统计、看板、查询 API、导出或共享链接，包含卖家自身主体的数据。Market 的 pairwise 身份只用于原业务身份边界，不提供行为数据读取权。
这是已确认的设计要求；技术上的“卖家零访问”尚待 R08 验收。当前公开页面仅展示合成样本与评审说明。
07项已有验证证据 · 均有限定范围
14项待建设 / 待验收议题
09项 P0 上线门槛 · 尚未关闭
已验证代码 / PoC 的限定证据 待建设方案或生产验收未完成 上线前必须完成本期真实数据接入门槛
三种标签不互斥：验证了风险不等于修复了风险。P0 阻断本期生产接入；P1 在相应功能启用前完成；P2 为后续扩展，本页不将其计入首期范围。责任角色是分工建议，具体人选与性能阈值须由团队确认。
查看 7 项已验证证据及其边界
业务契约与真实名称
已核对 Platform 账户、Key、资金、运营及 API 请求事实代码。
范围：只核对两个本地仓库；不代表生产已部署或跨仓联调完成。
查看依据 →项目读取权限范围
历史合成测试中，同项目 read 账号可查询和导出另一测试主体。
范围：仅覆盖所测 API。当前设计不为卖家开放任何行为数据；拒绝访问仍须验收。
查看依据 →删除后队列重放
直接删除后为 0 条，恢复 Worker 后旧事件变回 1 条。
范围：验证的是缺口；持久删除登记与产品完整删除流程尚未实现。
查看依据 →三卷与配置冷备恢复
新目录、新数据卷启动成功；269 条事件等计数匹配，产品导出 API 返回 200。
范围：本机小样本；复用缓存镜像，未验证加密备份、异机灾备及生产 RPO/RTO。
查看依据 →浏览器与容器出站点测
CSP 拦截 2 个外部目标；三个应用容器的出站点探测未成功。
范围：没有完成全流量抓包；网络未启用 IPv6，不构成双栈隔离认证。
查看依据 →小样本资源观察
恢复后 3 次内存快照合计约 1.58 GiB；已有短时合成负载记录。
范围：排除宿主和 Docker VM；不能作为生产容量或与 Umami 的同条件排名。
查看依据 →静态后台交互
模拟请求、顺序漏斗、身份筛选、场景自动播放与移动布局已检查。
范围：纯前端合成演示；没有生产采集、服务端鉴权、活动发送或风险处置。
查看依据 →展示 14 / 14 项 · 上线门槛 9 项未关闭
R01这套系统具体改善哪项业务？P1待建设含已验证依据
架构判断
首期围绕 API 接入激活，建立注册到首次业务成功的转化率与耗时基线，再验证接入引导的增量效果。
现有依据 · V07
漏斗与合成请求交互已演示；尚未采集真实基线，也没有验证活动收益。
解决方案 · 待落实
给每个看板绑定业务问题、行动和负责人。先运行一个接入引导试点，设未触达对照组，同时观察持续使用、退订和投诉。
验收标准
- 完成指标定义、观察窗口、基线和效果目标的评审记录；样本不足时报告不确定性。
- 提交一份可复算的试点报告，包含对照组、实际触达、增量结果与负面影响。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R02Platform、API 和分析层各自负责什么？P0待建设上线前必须完成含已验证依据
架构判断
新 Platform 管账户、组织、授权、资金与既有运营；API App 管 Key 和接口执行；分析层负责受控副本，OpenPanel 承担分析展示。
现有依据 · V01
已核对两个仓库的接口与事件名称。Crawler Gateway、Billing Gateway 未独立读仓，端到端接入待联调。
解决方案 · 待落实
冻结服务责任和数据契约，打通一个真实抖音接口的身份绑定、预扣、执行、结算与分析投影；分析层不写余额，不改变现有资金协议。
验收标准
- 由两端负责人确认权威数据来源、调用权限和失败责任；补齐网关侧契约核对。
- 在隔离预发布环境跑通一条请求，能追溯 request_id、reservation_id、结算事实和分析副本；失败分支逐项核验。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R03成功调用、激活、结算和付费是否定义清楚？P0待建设上线前必须完成含已验证依据
架构判断
HTTP 200、业务结果成功、首次激活、实际结算、充值过账和净贡献必须分别定义。当前演示的 HTTP 200 漏斗只是代理指标。
现有依据 · V01 / V07
已核对 usage_events 与 funding_postings 语义；演示尚未解析真实 API 业务成功结果。
解决方案 · 待落实
建立版本化指标字典，登记主体、分母、时间窗口、退款与冲正口径。首次业务成功使用接口契约，不以非空响应或 HTTP 状态码单独判断。
验收标准
- 覆盖 HTTP 200 但业务失败、合法空结果、零价结算、202 待复核、退款、冲正及重复投递样本。
- 逐项与权威事实对账，所有差异均有解释；产品和资金负责人确认同一套定义。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R04操作人、付款方、组织与目标对象会不会混淆？P0待建设上线前必须完成含已验证依据
架构判断
四种角色独立记录。member 的操作人与组织付款账户分开；service 不冒充自然人；员工发信不能记成收件用户的操作。
现有依据 · V01 / V07
Platform 字段契约与演示身份分离已核对；可信网关绑定及分析身份映射尚未接通。
解决方案 · 待落实
身份由服务端绑定，保留事件发生时的上下文；当前员工权限独立于历史画像。Market pairwise sub 仅保留原业务身份语义，不赋予行为数据读取权。
验收标准
- 同一成员在个人、组织 A、组织 B 间切换后，历史事件归属保持不变；服务请求不进入自然人漏斗。
- 移除员工分析权限后，查询和导出立即按权限策略拒绝；客户端伪造 actor、付款方、组织或 App 不得被采信。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R05API 升级后，历史账户和事件怎样接续？P1待建设
架构判断
旧应用账户映射到新 Platform 账户必须有可信依据；不确定的历史主体保留为未关联，不能仅按邮箱自动合并。
现有依据 · 尚无实测依据
目前只有目标设计，没有执行真实账户迁移或历史回填验证。
解决方案 · 待落实
建立受控迁移映射，保存依据、版本和生效时间；新旧统计并行核对。首次试点可只接新事件，历史回填另设启用条件。
验收标准
- 覆盖重复账户、邮箱变化、成员迁移、服务 Key、注销后重新注册等样本，无法确认的映射不得自动合并。
- 历史回填与实时流并行时不重复计数；提供切换与回退记录，回退不改资金账。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R06漏报、重复、乱序和延迟如何被发现？P0待建设上线前必须完成含已验证依据
架构判断
数据质量必须可观测；缺数据不能解释为未使用，重试也不能制造新的业务事实。
现有依据 · V03
已观察重复摄入与实际队列重放行为；尚未建设 TikHub 统一幂等与对账层。
解决方案 · 待落实
以来源 + 稳定事件 ID 去重，区分发生与接收时间，版本化字段规范；建立权威事实对账、缺口补采、延迟与死信监控。展示数据水位。
验收标准
- 重复、乱序、晚到、断流恢复和毒消息样本不会重复计数或阻塞整条队列；关键事实对账无未解释差异。
- 看板展示数据时间与不完整状态；依赖用量的数据源不可用时，运营资格计算失败关闭。延迟阈值须填写并经评审批准，未填写不算通过。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R07分析故障会不会拖慢 API 或破坏扣费？P0待建设上线前必须完成
架构判断
业务请求不得同步等待 OpenPanel。分析副本从已提交事实异步形成，现有资金协议保持独立。
现有依据 · 尚无实测依据
没有对真实 API / Platform 组合做断网、满盘、积压或性能影响验收。
解决方案 · 待落实
设计有界缓冲、重试退避与积压告警；可重建事实允许补采，低价值交互按明确策略采样或丢弃并计数。分析失败不触发重复扣费。
验收标准
- 关闭分析服务、阻断网络、制造积压和缓冲耗尽时，业务按既定降级策略运行；资金对账保持一致。
- 事先记录 API 延迟 / 错误率基线并批准增量预算，再用相同负载比较；无预算、无故障测试均视为未通过。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R08怎样确保卖家完全不能读取行为数据？P0待建设上线前必须完成含已验证依据
架构判断
用户已确认：行为上报与分析数据仅供 TikHub 内部授权员工使用，不向卖家开放，包含其自身主体的数据、聚合、画像与导出。
现有依据 · V02
产品边界已确认。历史 read 账号越界测试仅说明共享项目权限范围，不代表已经验证卖家全面拒绝。
解决方案 · 待落实
不创建卖家分析角色、项目凭据或共享入口。TikHub 服务端只接受明确授权的员工身份，逐次控制数据范围、字段和导出；普通业务账户、卖家会话与卖家 App 凭据默认拒绝。
验收标准
- 使用未登录、普通账户、卖家会话、卖家 App 凭据，对看板、事件、画像、聚合、导出、缓存、共享链接和 OpenPanel 直连逐项请求：全部拒绝或不可达，且不泄露记录与统计。
- 员工权限按角色最小化，撤权后不能继续查询或取回导出；所有敏感查询和导出留审计。同一自然人兼有卖家身份时，卖家身份本身不获得员工分析权限。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R09私有部署、加密与外联边界是否可信？P0待建设上线前必须完成含已验证依据
架构判断
自托管和密文上报不能单独证明安全。浏览器事件仍可能伪造，业务关键事实必须来自可信服务端。
现有依据 · V05
已拦截厂商上报和第三方脚本的部分尝试；还未完成全页面、宿主、升级与故障路径的出口验证。
解决方案 · 待落实
来源端字段白名单；传输和存储使用成熟加密机制，身份映射与密钥分离；移除不必要外部组件，采用明确出站允许列表。公开 Cloudflare 页面只展示合成内容，真实后台单独保护。
验收标准
- 验证 Key、Cookie、令牌、完整敏感参数不进入分析载荷、日志或公开包；完成密钥轮换与恢复演练。
- 覆盖浏览器、容器、宿主、DNS、实际采用的 IPv4 / IPv6 网络、故障和升级路径，留存出口证据与供应商数据边界；未经批准的目标无业务数据流出。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R10删除后，重试或恢复会不会让数据重新出现？P0待建设上线前必须完成含已验证依据
架构判断
本次已复现直接删除记录被队列与旧备份带回。删除登记必须独立持久，覆盖分析数据的完整生命周期。
现有依据 · V03 / V04
已验证重放和恢复会重引入记录；这两项是已知缺口，不是删除能力通过验收。
解决方案 · 待落实
记录不可被普通数据快照回滚的删除标记，在接入、消费、回填、导出与恢复时检查；恢复先隔离、清理、核验再开放。资金和安全原始记录按各自保留策略处理。
验收标准
- 删除后的旧事件重试、积压消费、历史回填、旧备份恢复均不能重新暴露适用范围的数据；缓存与可访问导出同步处理。
- 删除登记失联或恢复校验失败时不得开放相关查询；记录删除范围、期限、验证证据与例外保留依据。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R11运营人群是否准确，活动增量怎样证明？P1待建设含已验证依据
架构判断
never_used 是付款账户口径，不等于成员没有调用 API。自然人激活、组织使用和账户消费需要独立人群定义。
现有依据 · V01 / V07
已核对现有受众条件、退订复核和 sent / failed；没有真实点击与增量归因链路。
解决方案 · 待落实
人群只作候选，发送前由 Platform 重验资格、订阅和权限；按合适主体保留对照组。sent、点击、业务成功和净贡献分开统计。
验收标准
- 组织成员已调用但个人未付费、已退订、邮箱未验证、数据源不可用、安排人权限失效等样本均按定义处理，不能误发。
- 试点报告提供分组口径、触达版本、观察窗口、增量和退订 / 投诉；曝光和点击未采集时不展示伪造指标。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R12怎样识别违规而不误伤正常客户？P1待建设含已验证依据
架构判断
将平台规则映射为有证据的调查线索，首期人工复核。HTTP 429、单次登录失败或创建 Key 不单独等同于违规。
现有依据 · V01 / V07
已有审计词表与敏感操作分类已核对；没有验证真实检测准确率、案件流程或处罚能力。
解决方案 · 待落实
规则包含版本、适用范围、证据窗口与例外；记录调查过程、结论和复核人。既有鉴权与限流独立运行；自动处罚不在本期范围。
验收标准
- 用正常高流量、客户端重试、配置错误和确认违规样本评估误报与漏报；阈值需评审记录，未评估不启用。
- 每个案件可追溯证据和人工结论；敏感证据只有授权人员可读，分析服务故障不关闭原有业务保护。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R13真实流量下的成本、容量和恢复能力是否可承担？P0待建设上线前必须完成含已验证依据
架构判断
1.58 GiB 快照与 18.66 秒本机恢复仅是小样本观察，不能直接形成生产预算或恢复承诺。
现有依据 · V04 / V06
完整冷备已在本机新目录与新卷恢复；缺生产负载、镜像重获取、备份加密、异机及密钥恢复。
解决方案 · 待落实
按日量、峰值、载荷、保留周期、查询并发和备份份数估算容量。分用途保留与聚合；隔离分析资源，补齐异机恢复和积压追赶。
验收标准
- 记录实际流量基线、批准的容量 / 月成本上限、保留周期和 API 性能预算，完成代表性峰值与查询并发测试。
- 事先批准可接受丢失窗口 RPO 与恢复时限 RTO，完成含镜像、加密密钥、删除登记和业务核验的异机恢复；未定目标或未实测均不通过。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
R14OpenPanel 能否替换，长期由谁维护？P1待建设
架构判断
TikHub 保有事件规范、身份映射和受控数据副本，通过适配层接入分析组件，避免关键业务依赖专有查询模型。
现有依据 · 尚无实测依据
当前仍是候选评估；没有完成组件替换演练、完整许可证评审或人员责任分配。
解决方案 · 待落实
优先适配而非深度分叉。固定版本并检查许可证、依赖、外联和迁移变更；指定端到端后端负责人，各来源维护事件契约。高级分析能力按收益进入 P2。
验收标准
- 有具体人员认领事件、指标、告警、升级与恢复责任，并形成组件采用和许可证审查记录。
- 将同一受控样本送往替代消费端，关键指标可复算；完成一次升级回退，权限与删除用例无回归。
验收状态：未关闭 · 本页不产生审批结果定位此议题 ↗
没有匹配议题，请调整筛选或搜索词。
按四个阶段组织验收
01 · 定义口径
确认内部使用边界、业务目标、职责与指标字典。证据：责任人和评审记录。
02 · 最小链路
隔离预发布环境接通一个真实接口。证据：身份、请求、结算、分析副本关联及对账。
03 · 关闭 P0 门槛
逐项验证权限拒绝、故障隔离、出口、删除与灾备。证据不足的项目保持未关闭。
04 · 内部运营试点
通过 P0 后接入受控真实数据；首次触达前完成 R11，有对照组并观察负面影响。
P1 议题仍有自己的启用前置条件：历史回填看 R05、运营发送看 R11、风险调查看 R12、组件生产采用看 R14。高级自动化与自动处罚不在首期交付范围。
06 / DELIVERY PLAN
从验证到可用的四步
先验证产品和数据边界，再逐步建设 TikHub 专属能力。
ROADMAP →
隔离 PoC
合成数据测试 OpenPanel 与 Umami，检查功能、身份适配、外联及资源。
统一事件与身份
建设事件规范、接入、脱敏、身份映射和可靠投递，不进入资金热路径。
分析与运营闭环
展示核心漏斗，连接现有员工权限、站内活动、邮件订阅与退订。
风险与上线验证
补齐规则告警、人工复核、备份恢复、删除和权限审计后评估上线。
当前进度：三轮合成 PoC 已验证完整冷备恢复并复现权限与删除缺口；后台 MVP 已可演示。建议继续以 OpenPanel 做员工分析候选，由 TikHub 自建身份、内部员工鉴权与卖家拒绝访问、删除登记。上线前仍需全面外联审计、生产灾备与负载验收，详见上方 9 项 P0 评审门槛。