安全与审批边界

必须由人决策

重大产品宣称、定价与法务变更、生产部署、破坏性变更、商户付款、广告花费、对外发布和账号修改都需要明确批准。

为什么不自动上线

外部平台规则

ShipSite 不绕过账号登录、CAPTCHA、所有权验证、社区规则、服务商政策审核或付费结账。它可以准备提交包，并在人工操作后验证公开证明 URL。

Secret 与最小权限

凭据按可行的最小工作区、项目、账号、仓库或 Zone 范围授权，加密存储，只展示状态或脱敏证据。连接失败不会把受保护动作静默降级成未经验证的成功。

用回执代替承诺

部署需要版本与端点检查；搜索提交需要服务商回执；支付需要已验证 Webhook；分发结果需要公开证明 URL。证据 partial 或不可用时，UI 必须如实说明。