# 安全边界

0.2.0 工作器限制并发/拉取/时间/重试预算，处理成功后确认；故障超时不自动 ACK/TERM，连接代次隔离旧投递，阻止 NAK/TERM 后重复结算。指标不记录凭据、端点、消息或业务异常。忽略 AbortSignal 的业务仍可能继续，必须检查 quiescent/unsettledHandlers，不宣称可强杀或撤回已发送副作用。SQLite 示例只证明同库事务幂等，不是生产断电或跨系统恰好一次。

远程推荐 TLS，证书/主机名校验不可关闭。凭据不放 URL/源码/公开日志，明文远程另需明确布尔许可。JWT/NKey 与 handshake-first 未支持。

0.1.1 将远程用户名也纳入明文鉴权门禁；NAK 延迟、请求配置和服务端头部严格检查。管理回复以严格 UTF-8、精确序号及 Base64 校验，拒绝异常而不返回错误数据。JSON/适配接收帧最多2 MiB，仅为1 MiB业务消息的Base64膨胀留余量，不取消业务、窗口或累积字节上限。

协议、精确序号、防注入、窗口与超时已回归，不代表所有版本/平台/恶意服务器证明。只重连原端点，不用 INFO 发现来扩大凭据发送范围。

断线发布结果可能不确定，同一事件保持 messageId；消费须业务去重。ACK 不是数据库事务或物理磁盘稳定性证明。示例实际保留突停后的重投风险。

测试证书/配置/存储私有，只清理自建进程和目录。不对生产做故障注入，问题报告去敏。