YaoDel

一套模型接入，保留各应用的业务规则

一个应用可以经营会员服务，另一个应用可以提供开发者接口，两者共用模型供应商账户，但仍各自决定谁能调用、能看到哪些模型以及如何收费。YaoDel 用入口域名找到对应应用，由应用完成授权，再执行获准的模型请求。

入口由无状态边缘节点承接，控制器维护路由、账户和持久结果。管理员可以维护供应商、应用与账户，查询凭据状态、原请求结果和待通知记录。模型目录来自应用，目录中出现某个模型并不保证当前已有可执行账户。

接入方提供业务决定，网关完成模型执行

接入一个应用，需要稳定应用 ID、应用服务地址与独立服务凭据，以及要绑定的公开域名。应用服务提供身份检查、模型目录、调用授权和最终结果处理；其中授权与记账共用原请求记录，避免同一请求被重新解析后产生第二次预留或记账。

新建、重新启用或修改接收地址与凭据时，控制器通过 Check 核对候选地址返回的应用 ID。供应商账户另行维护，只有已启用、明确支持目标模型且凭据可用的账户才可被选中。应用目录与供应商可执行性分别成立。

1. 准备应用接收端

   确定稳定 ID、地址和凭据，实现模型列表、原请求授权与可去重的结果处理。

2. 登记完整路由与账户

   核对应用接收端后绑定公开域名，并准备供应商目标、模型声明和可用凭据。

3. 核对一次完整调用

   分别观察上游实际请求、客户端终态、保存的最终结果以及应用账务影响。

调用前固定目标，执行中保留原绑定

每次请求保留应用标识、请求标识、原域名、公开模型和获准的供应商目标。控制器从已启用、声明支持该模型且凭据可用的账户中选择执行者。随后修改域名、账户或路由，只影响后续选择，不能把已有结果改交给另一个应用。

账户支持 API Key 和 OAuth 凭据。凭据维护与模型请求分别推进：轮换中仍然有效的访问令牌可以继续使用；刷新结果不确定时，需要保留已有事实并处理凭据问题。模型执行不因凭据错误、供应商拒绝或丢失回复而自动换账户重试。

清楚说明接收什么，也保留原始内容

网关提供模型列表和流式 Responses 接口，接收文本、PNG/JPEG 图片，以及 PDF、TXT、Markdown、CSV、XLSX、DOCX、PPTX 内联文件；也保留所选函数和自定义工具声明。它采用明确的接口子集，未覆盖音视频、托管工具或完整 Responses API。

每次请求都提交所需完整历史，接收与发往上游的完整 JSON 分别受 64 MiB 限制，附件的 Base64 编码也计入其中。网关做有限的格式和字节检查，保留原文件，不提取、OCR 或转换内容。该限制不代表模型上下文容量，也不是整段生成结果的长度上限。

流式回答与最终用量，沿两条路径交付

边缘节点按次序转发事件，接受第一个完整且匹配同一响应的完成、失败或未完成终态。终态可以立即发给客户端，同时独立提交用量结果。只有该终态中完整有效的输入、缓存输入、输出和推理输出四项计数才会被保存。

终态前断流或取消会产生错误与零计数；终态计数组不完整时也整体归零，中间事件不补缺。零值描述网关取得的结果，不能证明供应商未执行。保存后的同一结果可反复通知，应用核对原授权并原子去重，确认后才结束交付。

按原应用与请求查结果，而不是重新生成

一项调查以应用 ID 和请求 ID 为入口，先找已保存的原绑定与最终计数，再看通知是否已经确认或到期。域名或服务地址后来变化，不改变该结果所属的应用；管理员还可查询应用记录删除后仍保留的结果。

查不到最终结果，可能意味着边缘节点尚未保存或在保存前丢失，不能由此证明供应商没有执行。应用已经记账而 ACK 丢失时，应让同一结果再次投递并返回原处理结果；生成一份新的回答只会制造新的执行与费用。

• 可以确认：应用按原绑定确认已处理

  成功确认要求原应用、请求、域名、模型与供应商目标均匹配，并完成持久处理与请求去重。

• 不能推断：零计数或结果缺失表示上游未执行

  零计数可以来自不完整终态，结果缺失也可能发生在保存之前；它们都不是供应商无效果的证明。

• 继续核对：通知到期未确认

  保留已保存结果与到期状态，区别于应用已确认。通知交付状态不改变原模型执行。

围绕原请求核对，不用重跑推理修复通知

结果提交与通知的重试都保留同一绑定和候选。边缘进程丢失可能留下尚未保存的结果，控制器不会凭超时合成一次执行。查询失败仍是无法观察，不能显示成“未找到”；待通知分页也只说明本页范围，不能直接当作全局队列总数。

设计验证应覆盖：切换域名后结果仍交给原应用、终态已输出但保存仍未确认、应用已记账但回执丢失，以及中途断流仅留下错误计数。独立核对上游请求次数、持久结果和应用账务影响，才能分别判断执行、交付与去重是否符合要求。