安全与恢复

故障不是例外，是设计输入

账号与数据隔离

所有工作流、版本和运行查询都同时校验当前用户；管理员入口每次请求重新校验角色。图图 ID 未验证邮箱不关联本地账号。

运行由服务端持久队列驱动，浏览器只观察状态；关页、刷新或换设备不终止运行。

每个节点完成后写检查点。重启后安全节点可恢复；外部副作用处于未知结果时标记中断，由用户确认后重试。

创建和运行都使用稳定幂等键，双击、超时重发和前端重试返回同一个实体。

请求体、工作流、输入、输出、节点时长、并发数全部有硬上限；健康接口不会与无限任务争抢资源。