游戏开发

《余世》游戏开发总需求

《余世》游戏开发总需求。未定之世，此生自成；开场篇章：无名之初。一款客户端、四套独立玩法，完整保留入口、加点、孩子剧情到达、家庭、死亡和交通规则。新增武器战斗、生活建造、种植经营、独立前史、内容依赖与实际开工交付要求；数值为待实测开发基线。

小郝2026-09-04 发布

需求说明

《余世》游戏开发总需求

未定之世，此生自成。

整理版本：2026-09-05。开场篇章：无名之初。正文与实施附录共同构成完整需求，建议初值及容量规划不代表已经实测。

导读：正式命名、背景与产品边界
一、总需求定位
二、物理与逻辑隔离
三、账号认证
四、统一客户端、世界目录与进入选择
五、世界作用域身份
六、一次性交接票据
七、交接纪元与世界控制租约
八、进入交接状态机
九、接口允许信息
十、退出与切换交接
十一、失败恢复
十二、发布与变更边界
十三、账号入口与交接验收
十四、多平台客户端适配
十五、超大球面地图与大陆分区加载
十六、五篇需求关系与验收
十七、开放式因果路线空间
十八、选择、努力与反馈闭环
十九、玩家原创内容的结构指纹与命名
二十、角色状态与负面效果规则
二十一、路线深度验收
二十二、机缘不是随机发奖
二十三、机缘和遭遇的来源分类
二十四、从发现到失效的完整链路
二十五、载体占有、角色认知与能力掌握必须分离
二十六、多人发现、争夺与共享规则
二十七、四个世界的机缘路线实例
二十八、开放式因果分支与数量口径
二十九、数据记录与阶段验收
三十、婚姻与家庭关系
三十一、子女出生与未开智生命状态
三十二、失散、被带走与独立远行
三十三、新玩家承接既有孩子
三十四、年龄、自然寿命与延寿
三十五、亲子识别、监护与重逢
三十六、父母死亡与子女均分遗产
三十七、儿童事故、死亡与安全边界
三十八、独立实现、数据与验收
三十九、天文参考、环境与地图口径
四十、经济、组织、社交与安全边界
四十一、完整版本、阶段实施与变更控制
四十二、交付物、容量指标与最终验收
四十三、实际开发基线、内容生产与完整交付
四十四、交通专项交付、旅行尺度与入口交接
四十五、世界内容定稿、战斗生活制作与开工交付
附录A、账号入口与交付落地
附录B、可执行规则包与动作协议

导读：正式命名、背景与产品边界

品牌与开场命名

游戏正式中文名为《余世》，主题表达固定为“未定之世，此生自成。”，首次进入的开场篇章固定为“无名之初”。三个名称分别承担品牌、主题和开场章节的职责，不拼接成冗长游戏标题，也不表示三款游戏。英文品牌、标志字形与商标注册状态尚未确定，不以内部命名确认代替商标及同名产品核查。

四个独立作品正式命名为《余世·原始》《余世·科技》《余世·魔法》《余世·仙武》，品牌与作品名之间统一使用间隔号“·”，不使用冒号。文稿为《余世》游戏开发总需求及四个作品各自的独立开发需求；目录、客户端和发行介绍使用这套名称，正文可以用原始世界、科技世界、魔法世界、仙武世界指代各自运行世界。仙武世界包含修仙与武道两条可独立深入的成长路线，不是新增第五世界，也不是把武道作为进入修仙的必修前置。

开普勒-22b保留为天文资料、球面尺度和历法数值的参考，不再作为游戏名、系列副标题或世界内所有生命天然知道的地名。资料中的真实天体与《余世》的原创地理、生物和文明分别标注；“290日世界历”的旧称统一整理为“290日世界历”，实际运行仍保持每世界日2现实小时、每世界年290世界日。

故事总纲

旧日的世界已经毁灭，但其中的生命、材料、地貌、遗物和痕迹并未全部消失。新的个体在这些遗留之中出生、苏醒或取得自己的意识，从最基本的身体与感官开始认识身边事物。玩家不是被指定的救世者，没有出生自带的职业、阵营、高阶力量或必须完成的拯救任务；曾经存在的知识也不会因拾取一本书、一块石片或一处遗迹就成为角色的能力。

“余”既指前代留下的世界，也指尚未度过的人生。玩家可以求生、远行、研究、生产、建立家庭和组织，也可以拒绝宏大目标，只经营自己能够触及的一片生活。其选择留下的工具、建筑、道路、记录、后代、遗产与生态变化，会成为别人后来遇到的世界。文明可能恢复、改变、衰落或再次断代，没有固定通关结局、规定必须出现的国家或保底成功的历史。

四份历史彼此独立，没有共同幕后主使、跨世界战争、穿越者主线或最后必须汇合的剧情。开发顺序不代表故事年代先后，选择另一个世界不是原角色转世。相同的初始宏观球面基准只是离线复制的制作输入，历史、地域名称、资源形态、运行数据和未来变化不互相同步。

独立世界	前代断裂	留下的可探索事实	玩家能够形成的未来
原始世界	流星撞击引发连锁灾变，原生智慧族群灭绝	撞击盆地、灰层、朽坏工具、失落居所、迁徙与生态恢复	从采集、取火、制作与庇护，走向不同部落、技艺和生态生活方式
科技世界	世界大战与基础设施连锁失效终结旧技术文明	废城、断电设施、工业污染、残缺档案、休眠或制造来源与轨道残骸	从观察、拆修和试验，走向玩家工业、科学体系、治理与远行
魔法世界	魔物侵略、裂隙与魔力污染摧毁前代社会	有限魔物生态、废弃学院、残留法术、变质媒介和失效防御网络	从感知与小规模构造，走向不同学派、法术、生产体系与魔法社会
仙武世界	大能交战与地脉破坏波及修行宗门、武道聚落和交通水系	残损洞府、断代功法、武学刻痕、旧战场、破阵与迁移后的生态	修仙者探索灵气与神魂，武者钻研身体与劲路；双方可以经营、传承、协作或冲突

“无名之初”的叙事职责

开场按“公开前史片段、真实个体经历、当前感官与处境、最终控制交接”衔接。公开前史只交代该世界确实发生过的总体背景，不透露隐藏坐标、配方、功法、密码和灾变答案；个体段只能依据真实来源和经历表现，不编造失散、血缘、财富、救援或被选中身份。背景知识属于玩家观看的产品介绍，不自动写入角色知识。

“无名”是没有预设社会身份，不要求玩家永远没有名字，也不抹掉既有孩子真实的亲缘和财产权。开场结束后不存在强制任务链；基础操作提示只解决怎样操作，认识食物、处理材料、感知力量及解释遗留信息仍由实际尝试和玩家交流形成。回放或跳过CG不重置资源、候选、年龄、寿命、新手保护与世界时间。

规则效力与阅读方法

已确认的硬边界包括必须联网、一人一主体、五项独立交付、无功能型NPC、真实坐标与探索、因果选择形成路线、永久死亡、种族寿命和实际流逝的290日世界历。文稿中由实施设计补全的物种细表、属性分配、具体动作窗口、内容样本、解释器预算和容量数字按其注明的设计基线、建议初值或待实测目标管理，不得混称为用户逐项确认或已经实现。

本总需求的跨领域章节用于产品边界和验收，不成为线上共用的地图、家庭、能力或经济服务。四份独立需求各自完整包含自己的进入、玩法、地图、路线、家庭、死亡、数据与实施要求。正文给出正式目标，实施附录给出开发先后和验证办法；原型通过不等于完整交付，也不删减后续必做内容。

一、总需求定位

本项目面向玩家只交付一款《余世》客户端：同一安装入口、同一应用内登录和选择世界，不要求分别安装四款游戏。工程责任仍划分为统一客户端宿主与账号入口、原始、科技、魔法、仙武五个交付件；世界玩法代码、服务端、数据及资源独立维护，最终客户端安装包统一集成、签名和发行。下表“客户端”均指同一应用内所属世界的独立玩法模块，不是另一款独立安装的App。

交付件	责任范围	独立成品需求
统一客户端宿主与账号入口	一款应用的安装发行、登录与世界选择、模块装载和资源检查；账号认证、世界作用域身份、一次性交接票据、控制权切换和故障恢复	本文
原始世界	原始世界的客户端、服务端、地图、角色、生态、玩法、数据和运营规则	《余世·原始》独立开发需求
科技世界	科技世界的客户端、服务端、地图、角色、生态、玩法、数据和运营规则	《余世·科技》独立开发需求
魔法世界	魔法世界的客户端、服务端、地图、角色、生态、玩法、数据和运营规则	《余世·魔法》独立开发需求
仙武世界	仙武世界的客户端、服务端、地图、角色、生态、玩法、数据和运营规则	《余世·仙武》独立开发需求

正式生产顺序固定为“账号入口最小闭环与原始世界 -> 科技世界 -> 魔法世界 -> 仙武世界”。账号入口先只交付原始世界所需的认证、目录、资源检查和交接能力，后续再以向后兼容版本逐个开放科技、魔法和仙武世界；不得为了提前展示后续世界而建立空壳角色、共享玩法服务或跨世界数据。每个世界进入全面生产前，须先完成自己的首小时可玩纵切、容量基线和规则内核验收；前一世界形成的经验、规范和工具可以用于下一世界开发，但不能使后者成为前者的资料片或运行时依赖。

账号入口是唯一允许共用的产品入口，但不是任何世界的玩法底层。本文对出生、种族、角色属性、CG、新手保护、地图分区、时间、生态、NPC、职业、能力、机缘、经济、社交、婚育、死亡、夺舍、遗产和世界容量，只规定跨交付隔离、产品级安全边界与验收不变量，不提供任何世界可调用的玩法实现，也不替代其具体规则；这些内容必须由四份独立世界需求分别写全。独立世界需求不得通过本文或任何外部文档引用省略自身流程。

玩家使用同一正式账号保存进入不同世界的资格，但任一时刻只直接操纵一个世界中的一个主体。这里的“单人游戏”只指一名玩家控制自己的一个主体及其当前合法载体，不是离线单机、房主房间、本地联机、分屏或一人控制队伍。游戏过程必须连接所属世界的权威服务；产品不提供可操作的离线存档、离线私人世界或断网继续游玩模式。网络中断后客户端立即停止提交新操作，所属世界仍连续运行，并按该世界已经定义的异常断线和回流规则结算。大量真实玩家处于各自世界的同一持续状态中，只有实际到达同一同步范围后才相遇和交互。

四个世界的正式产品历法统一以开普勒-22b约 289.9 个地球日的公开公转周期为数值参考，固定取整为每个世界年 290 个世界日，不设置隐藏闰日；每个世界日固定实际运行 2 个现实小时，因此一个世界年实际运行 580 个现实小时。该比例是服务端持续推进世界状态的真实时间规则，不是客户端日期显示、背景叙事或只在玩家在线时运行的换算：离线、断线、跨区、过渡动画、平台切换和维护恢复都不暂停世界时间，年龄、成年、孕育、自然衰老、寿命及已经成立的生态、生产和世界事件均从所属世界同一权威时间轴结算。北半球春、夏、秋、冬依次为 72/73/72/73 个世界日，南半球在相同日序采用相反季相；昼长按各世界独立锁定的纬度、半球、日序和轴倾模型连续变化。四个世界必须各自在自己的服务端实现、持久化和恢复这套历法，不得共用玩法时间服务或从账号入口校时；验证码、交接票据、控制租约、安全超时与审计时间仍按现实单调时间和UTC计算，不得按压缩世界时间折算。

二、物理与逻辑隔离

原始世界、科技世界、魔法世界和仙武世界必须分别使用独立代码仓库、依赖锁文件、内部包命名空间、模块构建产物和版本线；不得把本项目内部的玩法代码、角色服务、地图服务、分区协调器、物品服务、能力系统、经济系统、组织系统、聊天系统、关系系统或死亡系统抽成四个世界共同引用的运行时包或服务。四个世界也不得共用数据库、缓存、消息主题、对象存储桶、搜索索引、玩法密钥、管理后台或故障恢复单元；各世界服务部署、扩容与回滚不要求其他世界同步操作。统一客户端宿主可以集成四个已签名模块制品，但该集成流水线只是安装包发布依赖，不成为线上共享玩法服务。应用商店最终签名、审核和可执行代码发版以整款应用为单位，不能同时承诺四套代码在移动端完全独立热更新或热回滚。

同一研发团队可以按固定顺序参与多个世界，也可以复用已取得合法许可的商业引擎、操作系统与设备SDK、通用第三方开源库、云产品、开发规范、测试思想、美术生产软件和持续集成平台。客户端共用仅限统一宿主、登录选世界、应用生命周期、安装下载能力及锁定版本的外部通用引擎与SDK；本项目自研世界玩法、镜头交互和规则仍分别维护。世界仓库独立保存配置、适配层、测试及制品，可在其他世界仓库和服务不可用时构建模块、通过宿主测试壳运行并独立部署服务。最终应用集成只消费锁定制品，不拉取另一个世界内部源码作为玩法依赖；已有实现可复制到下一仓库后独立维护，不持续引用共享内部玩法包。

四个世界按同一产品级球面基准分别制作自己的完整地图副本：逻辑半径约为地球平均半径的 2.4 倍，首发大陆板块、海洋轮廓和经纬网的宏观拓扑一致。该基准是进入四个独立交付件前复制并版本锁定的验收输入，不是运行时地图底层；四套地图网格、区域ID、分区、名称、资源与现象解释、探索迷雾、玩家地图、事件历史和坐标数据必须分别生成、存储、发布与恢复。相同球面位置可以在不同世界具有完全不同的区域名称、资源形式和可交互规则，任一世界的局部变化、灾害、命名或版本升级不得自动写入其他世界，也不得提供跨世界地图合并、坐标传送或对象映射接口。

账号入口只持有认证资料、世界目录、世界作用域身份映射和最小控制状态。它不保存、读取或修复世界内部的角色、身体、灵魂、意识、种族、位置、资产、亲缘、知识、能力、任务、事件和死亡数据，也不提供共享聊天、邮件、好友传送、仓库、交易、排行榜或跨世界组织。

账号入口与四个世界之间可以共同遵守一份版本化的网络接口规范和签名格式，但四个世界分别实现自己的网关、验签、幂等、防重放、会话和审计组件，不引用同一个运行时服务或共享数据库。兼容同一接口不等于共用底层。

角色、物品、货币、知识、能力、坐标、家庭、遗产、通信记录及任何对象标识不得跨世界转移。海洋、洞穴、地下、天空、轨道、秘境和过渡动画只能连接所属世界内部的地理或运行分区，不能成为原始、科技、魔法、仙武之间的旅行方式。

三、账号认证

账号入口支持以下登录方式：

手机号接收一次性验证码并完成登录；
邮箱接收一次性验证码或验证链接并完成登录。

验证码或链接必须具有用途、短有效期、尝试次数上限、发送频率限制、一次性消费、重放防护和审计记录。验证码错误、过期、发送失败、验证未完成或玩家取消时，不得查询世界主体、签发交接票据、建立世界会话或占用任何世界资源。

手机号和邮箱是账号凭据，不是世界角色主键。绑定、替换、解绑和找回必须验证原凭据，或经过带风控与审计的账号恢复流程；成功后撤销旧账号会话，但不得重建、复制、合并或改写世界数据。已经拥有世界数据的两个账号不能因联系方式变化而自动合并。产品不提供游客账号、不绑定身份的临时世界存档或绕过认证的试玩角色。

账号会话采用短期访问凭证、可撤销续期凭证和设备会话记录。更换设备、凭据重置、账号冻结及高风险找回会撤销旧账号会话。网络地址、设备型号或地理位置只能作为风险信号，不能单独作为违规结论或角色归属依据。

四、统一客户端、世界目录与进入选择

登录成功后的第一项操作是选择原始世界、科技世界、魔法世界或仙武世界。账号入口目录只展示名称、维护状态、是否可申请进入、粗粒度排队状态、所需客户端版本和资源包大小，不展示或缓存角色坐标、种族、资产、家庭、知识、死亡原因及其他玩法状态。

玩家在同一款《余世》应用内明确确认目标，账号入口不得在目标不可用、排队过长或票据失败时自动改投另一世界。选择目标不创建角色、不启动另一个App；宿主只激活该世界模块，角色恢复、首次创建和未决状态处理由该模块直接与自己的世界网关完成。

目标世界接管后，已有主体直接恢复自己的唯一权威状态，不再次选种族、加点、选出生地或领取物资。创建新主体的玩家可见流程固定为“登录 -> 选世界 -> 选择该世界种族/生命形态 -> 初始属性加点 -> 可旋转缩放的3D球形地图 -> 可选地点范围或跳过 -> 世界服务匹配来源及校验实际点，必要时等待真实剧情迁移 -> 确认属性、实际范围与真实初始权属 -> 出生CG -> 最终复检并开始控制”。系统新生和接替既有孩子都必须有初始属性加点与可选地点步骤，不能因孩子已经成长而删除或缩减新玩家的加点额度。属性点与地理位置分别命名为“初始属性加点”和“出生范围”，不得用含混的“初始点”代替两项。

当前设计基线为五项基础分配值合计25点、每项3至7点，默认各5点；种族修正逐项另列，修正各为-1、0或+1且总和为0，分配层加种族修正为2至8点。该额度对系统新生与既有孩子首次开智等量；不是在孩子原有数值上再加25点，也不是只能分配成长剩下的余额。基础分配层与真实身体结构、遗传、年龄、成长、伤病、永久修正及物资独立记账；新玩家确定基础倾向，历史事实仍限制实际表现，不能加体质就治好伤口、加智力就得到未知答案。具体属性字段、曲线、UI和授予账本由四个世界分别实现，账号入口不保存或计算这些数据。进入前可以使用默认均衡方案，但必须明确确认，不能后台略过加点；最终创建/承接才幂等提交一次，同一主体重连、换设备、换体或夺舍均不再授予。

选地点只提交范围偏好，跳过不是创建失败；两者都由目标世界完成安全、资源、容量及无碰撞检查。同一范围允许多人分别申请，不保证同一精确点、固定财富或机缘。接替孩子可以匹配已经在目标范围的合法孩子，也可以由可成立的失散、事故、漂流、搬运或本世界合法通道等剧情事件链实际到达，抵达并通过复检后承接。不能先改坐标再补CG，也不能仅因点选便让他人孩子被迫遭灾；新玩家不能指定家庭、孩子、灾害或移动路线。无可达事件链时明确等待、重选、接受真实现址或另行确认系统新生，不静默改变来源。剧情耗时、风险、亲缘、伤病、世界事件和资产随真实过程保留；CG只表现已经发生且允许感知的部分。球体、CG和游玩界面均在同一应用内由当前世界模块管理，账号服务不保存坐标，宿主不替模块分配出生地或读取探索结果。

统一客户端宿主与四套世界模块制品在代码和职责上分离，对玩家仍为同一安装包/应用身份。宿主读取制品清单、协议范围、内容哈希、签名、最低设备能力和资源分包大小，按世界命名空间下载必要资源；不能把原始地图、魔法规则或仙武UI变成另一世界的运行依赖。PC可以在平台许可范围内更新已签名可执行模块；iOS及受商店约束的移动版本把所需可执行代码随应用审核发布，新增世界程序通过应用更新取得，不能冒充普通资源包绕过平台政策。未发布的世界可显示未开放，不发票、不创建占位角色，也不要求下载全部后续世界资源。

在同一应用内激活目标世界模块前必须完成宿主与模块ABI/协议兼容、清单验签、关键资源完整性、可用空间与最低设备能力检查，并原子锁定本次版本集合。关键资源缺失、签名错误、版本过旧或下载中断时留在入口或安全恢复页，不带缺失碰撞、界面或危险征兆进入世界。下载可续传；旧完整资源仅在宿主、模块和目标网关共同声明的兼容窗口内使用，不能回滚角色状态。世界切换先完成旧输入撤销，再卸载活动模块和私有上下文、返回目录并激活新模块，不同时运行两个可操作世界。

五、世界作用域身份

账号入口为同一正式账号分别维护四个互不相同、不可相互推导的 world_subject_id。该标识表示账号在一个目标世界中的稳定主体槽，不等于角色ID、身体ID、灵魂ID、意识ID或本地对象ID；死亡后是否可在该槽重新创建以及当前控制何种载体，由目标世界自行判定。

每个独立世界的 world_subject_id 命名空间必须能够登记、寻址和冷热恢复至少 1,000,000,000 个稳定主体槽，使用至少128位不可预测的不透明标识；四个世界须各自达到该容量，不能把四套数量相加宣称单世界达标。账号入口据此按最多约40亿条“账号到世界作用域主体槽”映射设计和分片，但仍不保存玩法状态。10亿是注册主体数据与寻址上限，不表示10亿同时在线、同屏可见或逐帧模拟；在线、热点、迁移和持久对象容量分别按所属世界的独立压测报告承诺。

一次设备进入还使用只在目标世界有效的 world_device_id。两个标识均不得包含或可逆编码手机号、邮箱、全局账号主键、真实设备标识以及另一世界的标识。账号入口保存全局账号到四个作用域标识的映射，世界网关只得到属于自己的值，世界之间不得查询、交换或碰撞比对这些值。

删除账号、司法保全、数据导出和账号恢复等后台流程也只能通过受审计的专用控制面分别调用目标网关，不能把玩法数据库接入账号库。任何人工运维查询都遵循最小权限、双人审批或等价控制及完整审计。

六、一次性交接票据

账号入口完成认证、目标确认、版本检查和控制权前置检查后，签发仅能由目标网关消费的一次性短期票据。票据至少包含：

固定目标受众和请求用途；
world_subject_id 与 world_device_id；
账号入口全局单调递增的 handoff_epoch；
本次交接授权的硬截止时间 handoff_lease_not_after；
幂等 request_id 和不可重放的唯一 handoff_grant_id；
签发时间、到期时间和允许的时钟偏差；
认证强度、客户端协议版本和资源清单版本；
签名算法版本和签名。

票据不得包含手机号、邮箱、验证码、密码、全局账号或设备主键、来源世界的会话和玩法状态。票据受众必须精确到原始世界网关、科技世界网关、魔法世界网关或仙武世界网关中的一个；不存在可被多个网关接受的通票。

目标网关独立完成签名、受众、用途、时效、协议版本、资源版本、入口接纳容量和未消费状态校验。消费与结果落账必须原子完成；相同 request_id 的重复提交只返回首次结果，换请求号重放同一票据，以及不同请求携带等于或低于本世界对同一 world_subject_id 已确认 handoff_epoch 的票据、错误受众、过期票据和已消费票据全部拒绝。仅原 request_id 可以查询该票据首次形成的原结果。票据消费前，目标世界不得创建玩法主体、锁定候选、占用出生资源或开始CG。若入口接纳容量在状态查询后发生变化，目标网关只能在消费前把该 handoff_grant_id 原子标记为永不可消费，并签发“未消费且已拒绝”证明；证明可以附带新的不透明排队令牌，但不能同时建立世界会话、角色流程或本地租约。消费成功后则不得返回入口排队结果，账号入口也不得参与、补偿或回滚目标世界的内部事务。

七、交接纪元与世界控制租约

账号入口必须为每个正式账号维护一条可持久恢复的单写者交接记录，至少包含 current_target、current_handoff_epoch、handoff_status、current_handoff_grant_id、当前 world_device_id、current_handoff_lease_not_after、覆盖原票及全部已提交续授权的 max_issued_handoff_not_after、pending_request_id、当前 release_request_id 和 state_version。合法主链为 IDLE -> ENTERING -> ACTIVE -> RELEASING -> IDLE；ENTERING 收到绑定原票且可验证的“未消费且永久拒绝”证明可回到 IDLE。消费结果未知时不能推断未消费，但 ENTERING、ACTIVE 和 RELEASING 均有本章规定的授权硬到期终止出口，不允许无限占据账号。选择、签票、续授权、接管回执、退出、换设备和切换都必须在账号级串行锁或带版本比较交换的单事务中校验并提交；同一账号最多存在一个 ENTERING 或 RELEASING 事务和一份尚未终止的输入授权。两个设备并发选择相同或不同目标时只能一个请求提交状态和票据，其余请求只能取得该请求的既有幂等结果、等待或在状态终止后重试，绝不能分别得到可由两个独立网关消费的授权。

handoff_epoch 由账号入口按正式账号全局单调签发，只用于确定当前获准接管输入的目标及防止旧交接重放。目标网关按本世界每个 world_subject_id 分别持久保存其已确认的最高 handoff_epoch，只在同一主体槽内拒绝更低值、已撤销值和延迟到达的旧交接；不同账号的纪元不具有可比性，不能使用网关全局最大纪元拒绝新账号。该值不参与角色动作排序，世界服务也不得自行递增或复用它处理内部玩法。

目标网关成功消费票据后，立即按第八章投递同一消费事务的精简回执，由入口确认授权为 ACTIVE；这个账号状态只表示交接授权生效，不表示世界角色已经创建、已经落地或取得实体操纵权。目标世界自行生成单调递增的本地 control_epoch 并签发一份有限排他控制租约。租约绑定 world_subject_id、world_device_id、本地 control_epoch、对应 handoff_epoch、世界会话ID、随机租约ID、签发与到期时间、最后提交输入序号、本世界协议版本和权限模式。恢复已有主体或必须处理的存续状态时模式为 PLAY_CONTROL；尚无主体、正在选择生命形态、分配初始属性、选择出生范围、等待剧情到达、确认或播放首次CG时模式为 ENTRY_ONLY，只允许该入口事务的查看、属性草案编辑及校验、范围偏好选择、确认、恢复和退出操作，不能移动、战斗、交易、占用角色名额或操纵任何世界实体。首次创建最终提交必须在同一事务内把当前租约由 ENTRY_ONLY 原子切换为 PLAY_CONTROL，沿用同一 control_epoch、租约ID和硬截止，不得再次递增纪元或签发第二份并行租约。所有获准输入都携带当前租约、本地纪元和幂等序号；同一序号重试只返回原结果。账号入口不读取、生成、续期或解释本地 control_epoch 或权限模式。

本地控制租约不得续签到 handoff_lease_not_after 之后。正常在线时，账号入口只能在账号级事务确认记录仍为同一未过硬截止、未取消和未撤销的 ACTIVE 授权后，为当前目标签发短期交接续授权；首次加点、等待真实剧情、内部排队和CG期间也按同一频率续权，不以已经创建角色或完成CG为条件。续授权必须包含精确目标受众、用途、world_subject_id、world_device_id、当前 handoff_epoch、原始 handoff_grant_id、唯一 handoff_renewal_id、幂等请求ID、签发时间、过期时间、新的 handoff_lease_not_after、签名算法版本和签名，不包含 control_epoch 或任何玩法状态。目标网关只有在这些绑定值与当前本地租约及已消费原票完全一致、续授权尚未消费、签名与时效有效、旧硬截止尚未经过且原授权与本地输入均未被永久撤销，并且新硬截止时间严格晚于旧值并未超过版本锁定的最大延长期时，才能一次性消费并原子推进硬截止；相同幂等请求只返回首次结果，错主体、错设备、错原票、非递增截止和重放一律拒绝。世界不需要同步调用账号库，且账号入口、客户端和网关的时钟偏差上限必须锁定，任何一方都不能单方面把旧授权无限延长。

换设备固定采用先撤后建，不能同时保存旧活动授权和新待接管授权。账号入口先以比较交换把旧设备的 ACTIVE 改为 RELEASING、停止续授权并按本章生成唯一退出请求；只有旧输入得到终态撤销证明或越过硬截止与容错点，并完成 RELEASING -> IDLE 后，才能用新的比较交换执行 IDLE -> ENTERING，递增 handoff_epoch 并签发绑定新 world_device_id 与新 handoff_grant_id 的票据。目标网关消费新票后自行递增本地 control_epoch；旧设备此时只能显示控制已转移。两个设备并发发起切换仍只能一个进入 RELEASING，不存在新票未消费时继续给旧票续权的回退路径；新票被证明未消费且永久拒绝，或按本章达到授权硬到期终态后回到 IDLE，玩家再明确选择目标。签票提交后响应丢失、目标失联或消费结果未知时按 pending_request_id 恢复同一新票，最迟等待该授权已持久化的最大硬截止越过容错点，记录 AUTHORIZATION_EXPIRED 并回到 IDLE；终态前不能恢复旧设备授权或再签第三张票，终态后仅能以新请求、新纪元建立下一次授权。

玩家主动退出、换设备或切换目标时，客户端必须先向账号入口登记退出意向。账号入口在账号级事务中核对当前目标、world_device_id、handoff_epoch 与 handoff_grant_id，生成或幂等返回唯一 release_request_id，持久化 ACTIVE -> RELEASING 并停止续授权；客户端和账号入口随后只能携带这一个规范退出ID向当前网关请求撤权，二者并发到达也属于同一事务。客户端不得自行另造可供入口采信的退出ID。账号入口不可用时，客户端可以停止输入或关闭连接，但该行为只触发世界断线管理，不能伪造协调退出；旧输入最迟在既有硬截止失效，入口恢复后依据原状态登记规范退出，或按持久最大截止完成授权到期终止，不能假定未登记退出的 ACTIVE 已经处于 RELEASING。

授权到期、未知结果与终态恢复

签发原票和每次续授权前，账号入口必须在同一账号级事务内保存本次不可变授权内容、幂等结果及新的 max_issued_handoff_not_after，提交后才允许签名结果离开服务；签名重试只能重放已提交的相同内容。该最大值包括已经提交但发送失败、响应丢失、网关尚未确认或消费情况未知的所有续授权，不能只保存最后一次收到确认的截止，也不能因客户端称未收到而缩短。续权、取消、撤权与到期任务在同一 state_version 上竞争，只有一个合法状态转换提交。

账号入口在可信UTC时间严格超过 max_issued_handoff_not_after + clock_safety_margin 后，可从 ENTERING、ACTIVE 或 RELEASING 原子封存原 handoff_grant_id 为 AUTHORIZATION_EXPIRED 并回到 IDLE。这是“所有可能签出的输入授权均已终止”的证明，不是“票据未消费”“世界角色不存在”或世界退出成功的证明；不要求网关先恢复，也不伪造 RELEASED、DISCONNECTED_MANAGED 或 release_request_id。封存保留原目标、纪元、请求、最大截止、结果已知/未知标记、终止时间及版本。消费、创建、剧情、死亡、迁移和财产是否已经提交，仍只由原世界确认和恢复，绝不能借账号回到 IDLE 撤销。

到期任务必须重新读取当前授权及最新最大截止，比较原状态与版本后提交；与续权竞争失败时重读，不能使用旧定时器释放新延长的授权。仍为 ENTERING 且未收到消费回执时不发续授权；玩家取消、关闭页面或换目标只登记 cancel_requested 并停止投递原票，仍可查询原结果。在到期前查到消费成功时，入口在同一事务中记录授权已消费并直接进入 RELEASING、登记唯一规范退出ID且不续权；查到未消费且永久拒绝则回 IDLE；始终未知则走到期出口。取消不撤销已经发生的世界事实。

所有迟到消费回执、续授权应答和退出回执必须先匹配授权历史与当前状态。已封存原票只允许补记历史事实和审计，不得重新设为 ACTIVE、延长截止、清除终态或影响后来已经建立的新授权；同一时刻到达的回执与超时只按账号级事务先后得到一个结果。世界网关在本地硬截止经过后永久拒绝该原票的输入与续权，服务恢复时先校时、加载撤销栅栏和检查截止，再处理任何排队包；有效但迟到的续授权也不能复活已经终止的租约。账号重新选择原世界时使用新票与更高交接纪元，原世界恢复同一主体或同一未决入口事务，不重抽角色、不重新加点，也不要求读取另一个世界的数据。

账号服务重启必须从持久授权、续权记录、最大截止和终态恢复到期任务。备份恢复若无法证明已覆盖事故前全部已签授权与最高纪元，必须先通过完整日志恢复或隔离至可证明所有事故前授权失效并恢复单调纪元，期间不签新票；不能靠回滚账号行使一份仍可消费的授权失去记录。时钟误差无法证明在上限内时停止签票、续权和按时间解除，只能等待校时恢复或取得可验证终态证明，不以猜测解锁。

租约只授予玩家输入权，不拥有或复制角色。租约到期、客户端断线和账号入口暂时不可用不能暂停世界时间、复制主体、回滚已经成立的行为或直接宣告角色死亡；角色和在途事务怎样继续，完全由当前世界自己的断线规则决定。

八、进入交接状态机

账号入口与目标世界的完整进入流程如下：

玩家用手机号验证码或邮箱完成认证；
账号入口读取目录，玩家明确选择一个目标；
账号入口用该目标的 world_subject_id 发起最小状态查询；
目标网关只返回粗粒度入口状态、容量、协议和资源清单要求；
入口壳检查并准备该目标的独立玩法模块包；
账号入口以账号级事务进入交接；有旧目标时先进入 RELEASING、停止续授权，并确认旧输入已终态撤销或越过硬截止与容错点；
账号入口在一个提交中递增 handoff_epoch，保存新目标、设备、handoff_grant_id、硬截止、请求ID和 ENTERING 状态并签发受众唯一的一次性票据；客户端把票据原样交给目标网关；
目标网关通过最终入口接纳检查后，原子消费票据、建立本世界会话与唯一排他租约，并保存精简消费回执及事务发件箱；已有主体取得 PLAY_CONTROL，首次创建只取得 ENTRY_ONLY。提交成功即可靠投递同一回执，不等待种族选择、加点、候选、剧情到达、内部排队或CG；若接纳检查失败则在不消费票据的同一结果中永久拒绝该授权，并返回可验证拒绝证明及排队或重试信息；
账号入口校验回执的签名、固定目标、handoff_epoch、原 request_id、handoff_grant_id 与结果版本，只对仍有效的当前授权把 ENTERING 比较交换为 ACTIVE；账号状态查询返回这个确认，统一宿主才继续目标模块入口页面。已取消请求按第七章直接撤权，拒绝证明使入口回到 IDLE，未知结果只查询原请求并在最大硬截止加安全余量后终止，不能等创角完成才接收回执；
授权确认后，当前应用内的目标世界模块自行恢复已有主体或未决事务；新主体创建及既有孩子首次承接依次完成生命形态选择、完整初始属性加点、3D球体出生范围选择或跳过、来源及真实剧情到达校验、属性与实际范围及初始权属确认、个人CG和最终落地。全程正常续授权，世界状态 ENTRY_PENDING 与账号 ACTIVE 可以同时成立；最终创建只改变世界本地租约权限，不再触发账号激活。

目标网关允许返回的入口状态限定为：

状态	入口可展示含义	入口动作
`NO_SUBJECT`	目标允许开始内部首次进入流程	准备客户端并申请票据
`ENTRY_PENDING`	目标内有可恢复的入口事务	进入当前应用内的目标世界模块恢复
`ACTIVE`	目标内有可恢复的存续主体	进入当前应用内的目标世界模块恢复
`RESOLUTION_PENDING`	目标内存在必须先处理的状态	进入当前应用内的目标世界模块处理，不展示细节
`RECREATE_ALLOWED`	目标确认可以开始新的内部创建	准备客户端并申请票据
`TEMP_UNAVAILABLE`	维护、容量或短时故障	展示队列、取消或重试时间

回执投递失败由目标世界自己的事务发件箱重试，也允许客户端宿主原样转送签名精简回执或账号入口查询原请求；这三条路径返回同一持久结果且只激活一次。回执不带创建页面、候选、加点、CG进度或在途剧情信息。未确认期间宿主显示交接恢复状态，不让玩家先完成长流程再补授权；超过原票硬截止时不得新激活，即使安全余量尚未结束也只能等待封存后重新交接。

票据消费前的入口接纳排队只使用 world_subject_id、不透明队列令牌、目标、版本和到期时间。排队系统由目标世界独立运行；账号入口保持 IDLE，可以临时转显排队位置和预计时间，但不保存队列明细，也不能用全局账号建立跨世界优先级。容量就绪后必须重新完成状态查询、账号级比较交换和新票据签发，旧拒绝票据永久不可消费。票据已经消费后的出生来源、候选、点位或形成资源等待属于该世界内部 ENTRY_PENDING 事务：账号入口保持 ACTIVE，不保存或解释其队列令牌、生命形态和资源条件，由当前应用内的世界模块展示、取消和恢复。两类排队均不得提前创建主体或启动保护；玩家取消时只释放本次尚未消费的预约和预留，不改变已经成立的主体与世界事实。

九、接口允许信息

阶段	发起方 -> 接收方	允许传递	禁止传递
目录发布	目标网关 -> 账号入口	世界标识、健康与维护状态、粗粒度容量、协议范围、资源清单版本	内部服务地址、分区拓扑、角色或玩法数据
状态查询	账号入口 -> 目标网关	请求ID、目标标识、`world_subject_id`、客户端类型和协议范围	联系方式、登录凭据、全局主键、另一世界标识
状态应答	目标网关 -> 账号入口	第八章状态码、排队令牌或重试时间、客户端要求	身体、载体、坐标、资产、关系、知识和未决事务详情
进入授权	账号入口 -> 目标网关	第六章一次性票据	通票、长期角色令牌、来源世界状态、客户端自报角色快照
接管应答	目标网关 -> 客户端	票据消费结果、世界会话和本世界租约、内部下一页面	另一世界任何数据
接管回执	目标网关 -> 账号入口	固定世界标识、`handoff_epoch`、原 `request_id`、`handoff_grant_id`、已消费成功，或未消费且永久拒绝、入口接纳排队或可重试，幂等结果版本、签发时间和网关签名	权限模式、世界内部出生排队、世界会话详情、主体载体和玩法事务
退出意向登记	客户端 -> 账号入口	幂等意向请求ID、当前目标、当前 `world_device_id`；入口核对当前授权并返回规范 `release_request_id`	客户端自造退出ID、世界会话、本地租约、`control_epoch` 或下一目标
客户端退出准备	客户端 -> 当前网关	入口已登记的 `release_request_id`、固定世界标识、当前世界会话、`world_device_id`、对应 `handoff_epoch`、本地租约与 `control_epoch`	下一目标、要求回滚的动作或指定安全位置
入口撤权准备	账号入口 -> 当前网关	同一 `release_request_id`、固定世界标识、`world_subject_id`、`world_device_id`、对应 `handoff_epoch` 和经双向认证或签名保护的撤权用途	世界会话、本地租约、`control_epoch`、下一目标或玩法状态
退出回执	当前网关 -> 账号入口	`release_request_id`、固定世界标识、对应 `handoff_epoch`、三态结果、结果版本、可重试时间、签发时间、签名算法版本和网关签名	`world_subject_id`、`world_device_id`、本地 `control_epoch`、会话、坐标、战斗、迁移、资产、死亡及其他内部判定

新增内部状态不能直接扩展账号库。确有新入口语义时，先把它映射到既有粗粒度状态；无法映射才发布向后兼容的新接口版本，并保证旧入口能够安全拒绝而不是误判。

十、退出与切换交接

退出请求只表达结束当前输入控制，不携带下一目标。主动退出一律使用账号入口在 RELEASING 事务中登记的规范 release_request_id；客户端与入口重复发送该请求时，当前网关依据自己的同一权威事务返回以下一种幂等结果：

RELEASED：世界确认当前控制租约已经关闭，内部角色按该世界离线规则继续；
DEFERRED：当前操作仍需要玩家输入且不能立即安全撤销，旧控制暂时保留，入口不得签发新目标票据；
DISCONNECTED_MANAGED：实时输入已经撤销，角色、风险和在途事务仍由当前世界继续结算，入口可在确认旧纪元失效后进行下一次交接。

收到 DEFERRED 后，玩家可以返回当前客户端完成相关操作，也可以在明确看到断开后果后用同一 release_request_id 请求撤销实时输入；当前网关完成撤销后改为 DISCONNECTED_MANAGED 或 RELEASED。账号入口保持 RELEASING 且不再续授权。关闭进程、断网、设备休眠和客户端崩溃只触发世界内部异常断线：网关生成本世界唯一 disconnect_event_id，把输入撤销栅栏、最后输入序号和离线管理状态原子落账，但此时不生成对账号入口有效的三态回执，也不虚构 release_request_id。如果退出意向尚未登记，账号入口恢复后须基于仍记录的当前授权生成规范 release_request_id 并发起撤权；网关校验其绑定后，把该请求幂等关联到既有 disconnect_event_id，再生成可验证的 DISCONNECTED_MANAGED 回执，或者入口等待已知硬截止越过容错点。

RELEASED 和对账号入口签发的 DISCONNECTED_MANAGED 是不可倒退的协调撤权终态。当前网关必须把对应租约及 handoff_epoch 的永久失效栅栏、最后接收输入序号、规范 release_request_id、可选的既有 disconnect_event_id、结果版本和签名回执在同一持久事务中提交，且只能在该提交成功后生成终态回执；服务重启、主从切换或恢复旧备份都不得令已撤销输入重新有效。DEFERRED 不是撤销证明，可在同一 release_request_id 下单调推进为终态。玩家主动确认断开和硬截止到达可直接形成协调 DISCONNECTED_MANAGED；异常失联先形成不出世界的内部断线事实，只有绑定入口后来签发的规范退出请求后才形成同名协调回执。硬截止必然覆盖暂时有效的 DEFERRED 租约，届时继续由世界结算内部后果但不能继续接受玩家输入。

账号入口只接受 release_request_id、固定世界标识和 handoff_epoch 均与当前 RELEASING 记录一致、签名及结果版本有效的回执，并以比较交换完成 RELEASING -> IDLE；旧请求回执、错世界回执和倒退版本不能释放当前授权。只有收到可验证的 RELEASED 或 DISCONNECTED_MANAGED，或者按第七章授权到期规则确认全部已提交原票及续授权的最大硬截止和安全余量均已越过后，才能结束旧授权，并为玩家后来明确选择的目标另行执行 IDLE -> ENTERING。新票据不含来源标识和状态，目标网关也不得向来源网关查询玩家。

世界切换不是角色旅行，也不存在跨世界分布式事务。目标进入失败不会回滚来源世界的退出、断线、战斗、交易、迁移、生产、孕育或死亡结果；玩家可以重试同一目标、重新选择来源目标并建立一条新会话，或回到目录，但不能恢复已经失效的旧输入租约。

十一、失败恢复

故障	唯一处理
认证未完成	不查询目标、不签票、不占用世界资源
目录或状态查询超时	使用同一请求ID查询；未知结果不得当作无主体
资源下载或验签失败	保留可续传下载，停在入口安全状态
票据尚未消费且请求失败	有效期内以同一请求重试；取消后只查询，取得未消费且永久拒绝证明或达到授权硬到期终态后释放
票据已消费但响应丢失	发件箱投递、原请求查询或宿主原样转送同一精简回执；期限内立即激活授权，始终未知则按最大硬截止加安全余量封存，不签并行票据
两个设备或两个目标并发申请	账号级比较交换只提交一个 `ENTERING`；失败请求查询既有状态或在终止后重试，不签并行票据
客户端与入口并发请求退出	入口先登记并返回同一规范 `release_request_id`，两条网关请求合并为一个退出事务；客户端自造ID不能推进入口状态
换设备时旧端仍有效	先停止续权并完成旧端 `RELEASING -> IDLE`，再为新设备执行 `IDLE -> ENTERING`；不得同时保存、续权或签出两组授权
新设备票据未消费或结果未知	未消费且永久拒绝证明使其回 `IDLE`；未知时只查原票，越过最大硬截止与安全余量后记录 `AUTHORIZATION_EXPIRED` 并回 `IDLE`，之后允许新请求，不恢复旧设备
账号入口在签票提交后崩溃	恢复同一原票、全部已提交续授权、最大截止和到期任务；未知授权终止前不递增纪元、不改投目标，封存后新交接仍须保持纪元单调
续授权响应丢失或被重放	仅以原幂等请求查询；网关一次消费并只接受绑定当前原票、主体、设备、纪元且截止时间递增的结果
网关返回协议或资源不兼容	更新对应独立玩法模块；禁止降级进入不完整运行时
票据消费前目标接纳容量已满	目标原子封存该授权为未消费且永久不可用并签名返回，入口 `ENTERING -> IDLE`，使用目标自己的入口队列；容量恢复后重新查询和签新票
票据消费后出生来源或局部容量不足	入口保持 `ACTIVE`；目标世界只在内部 `ENTRY_PENDING` 排队，独立玩法模块可取消、重选或恢复，账号入口不读取
建立目标会话后客户端崩溃	重新认证并以更高纪元接回目标保存的唯一状态
退出回执丢失	用同一 `release_request_id` 查询带签名的单调结果，不把未知状态当作 `RELEASED`，也不接受其他退出事务的回执
尚无规范退出请求时异常断线	世界先以唯一 `disconnect_event_id` 原子撤销输入且不签入口回执；入口恢复后生成规范退出请求并由网关校验绑定，或等待硬截止越过容错点
当前网关失联	停止续授权；无论原状态为 `ENTERING`、`ACTIVE` 还是 `RELEASING`，越过持久最大硬截止与安全余量后封存并回 `IDLE`；世界恢复先拒绝旧输入，再恢复内部状态
切换后目标进入失败	不补偿来源世界；玩家从目录重新选择后再交接
账号入口暂时不可用	当前输入最多持续到既有交接授权硬截止时间；随后世界撤销输入并按本地断线规则继续角色，入口恢复后对齐最高 `handoff_epoch`

长时间首次进入还须覆盖：加点停留、孩子真实旅程、内部出生排队和CG分别超过初始120现实秒时，已确认的 ACTIVE 授权可以连续续期，世界仍只持有一份 ENTRY_ONLY 租约；续权断开后允许恢复同一世界入口事务，但不能延长候选、资源预留或反刷承诺的独立期限。

所有重试接口必须幂等，所有状态转换保存请求ID、前后版本、时间、目标、结果和错误码。日志不得写入验证码、完整票据、联系方式或可复用签名材料。

十二、发布与变更边界

五项交付分别拥有版本号、代码制品、依赖清单、配置、数据库迁移、备份恢复方案、容量报告、安全报告和发布回滚方案。世界内部服务版本可以独立前进；网关或票据变化须验证账号交接兼容，客户端模块、引擎、ABI、生命周期、资源清单或依赖变化还须验证统一宿主集成兼容。移动端可执行代码按完整应用签名审核发布，不能以独立服务回滚能力宣称四套移动代码可以任意热回滚。

账号入口发布不得连带修改世界玩法库或数据库。世界发布不得读取账号数据库、改变作用域ID算法或要求入口理解新增玩法状态。网关契约变更采用先扩展兼容、再切换、最后淘汰旧版的顺序；不兼容客户端应被明确阻止进入，不能靠服务器猜测字段含义。

备份恢复后必须保持账号入口交接状态版本、已签 handoff_grant_id、已消费续授权、已消费票据、最高 handoff_epoch、各世界本地最高 control_epoch、输入撤销栅栏、退出回执和幂等结果的单调性。恢复旧备份不能让旧票据重新有效、旧设备重新取得控制或让一次交接出现两个成功结果。密钥轮换保留明确的验证窗口与撤销列表，泄露时可以按受众撤销，不要求同时停服四个世界。

任何新功能先判定归属：认证、目录、资源启动和交接协议属于账号入口；角色进入后的状态与行为全部属于一个明确的独立世界。禁止为了复用而新建跨世界的角色、地图、能力、经济、家庭、社交、死亡或内容中台。确需重复的规则在四份世界需求和四套实现中分别落地、分别测试。

十三、账号入口与交接验收

账号入口及其与四个独立世界的交接边界至少通过以下验收：

手机号验证码和邮箱两种登录方式均覆盖成功、失败、过期、重放、频控、换绑、找回和旧会话撤销；
目录准确展示四个独立目标，玩家明确选择后才准备资源和签发票据，目标失败不会自动改投；
同一账号在四个目标得到四个不可关联的 world_subject_id，任一网关都无法取得联系方式、全局主键或另一目标标识；
原始世界、科技世界、魔法世界和仙武世界分别消费只面向自己的票据，交叉投递、重放、过期和错误版本全部拒绝；
票据消费、会话建立和结果查询在超时、重复请求、服务重启及响应丢失下至多成功一次；
同账号双设备对同一目标和不同目标并发进入、续权、退出与切换时，账号级串行事务或CAS始终只提交一份未终止授权；入口在签票前后崩溃也只恢复同一票据和幂等结果；换设备严格先撤旧端再建新端，新票未消费、结果未知和目标失联均不会恢复旧授权或签出第三张票；
handoff_epoch 由账号入口单调签发，四个网关分别拒绝旧交接；每张消费成功的票据在目标世界恰好产生一个本地 control_epoch 和一份租约，无主体时先为 ENTRY_ONLY，CG最终提交只将同一租约切换为 PLAY_CONTROL，不得增加纪元、租约或硬截止；换设备和切换目标不会产生两条有效直接操纵流；
续授权严格绑定目标、主体、设备、纪元和原票，错配、并发、非递增截止、过期、响应丢失及重放均不能延长错误租约；客户端和入口时钟处于允许偏差边界两侧时结论唯一；
RELEASED、DEFERRED 和 DISCONNECTED_MANAGED 三种协调退出路径均可恢复、可查询且不会向入口泄露内部玩法状态；客户端退出前由入口CAS登记唯一 release_request_id，客户端与入口并发撤权只形成一个事务。异常断线先在世界内原子形成唯一 disconnect_event_id 与输入撤销栅栏且不产生入口回执，入口恢复后再生成规范退出请求并与该事件校验绑定；协调终态回执与规范请求、可选内部事件及撤销栅栏原子落账，并能用请求ID、世界及纪元排除串单回执；
目标进入失败不回滚来源状态；来源不可达时必须停止续授权并等待旧 handoff_lease_not_after 越过容错点，不能靠猜测创建并发控制；
PC、手机、平板及获支持手柄均在同一应用完成选世界、进入和退出；四套资源清单可独立验签、续传和在兼容窗口内切版，资源不交叉引用。PC模块更新遵守发行渠道规则，移动端可执行代码随完整应用审核发行，不能当作资源独立热更新或热回滚；
停止或恢复任意一个世界不会影响账号认证及其余三个世界运行；四套世界数据库、缓存、消息、密钥、日志和备份无法互相读写；
海洋、洞穴、天空、轨道、秘境和加载动画只产生所属世界内部迁移，不存在跨世界角色、资产或坐标通道；
四套独立地图在约 2.4 R⊕ 的球面尺度、首发大陆板块、海洋轮廓和经纬网宏观拓扑上通过同源基准比对，同时证明区域ID、名称、资源语义、迷雾、玩家地图、灾害历史、服务、数据库和发布恢复完全隔离；
系统新生和接替孩子的新玩家均有完整初始属性加点、球体出生范围选择或跳过；孩子只能在真实现址或实际剧情迁移后的合法位置交接，不因输入坐标瞬移。默认加点须确认，非法额度不能提交，断线及换设备不重复授予，伤病不因加点清除；现实中交换经纬度可以申请同一范围，但不定向匹配家庭。账号入口数据库中不存在角色、载体、种族、属性、位置、初始资产、地图迷雾、关系、能力、事件、死亡详情、聊天和世界内队列明细；
五项交付可以分别部署和验收，四份世界成品不引用本文来补足玩法流程，也不引用其他世界需求；
故障注入覆盖认证服务、目录、资源服务、四个网关、网络分区、时钟偏差、入口在事务提交前后崩溃、回执乱序串单、数据库恢复和密钥轮换，始终保持票据与续授权一次消费、纪元及结果版本单调和单一输入权；
票据消费成功后丢失所有回执且网关停机，入口原为 ENTERING 时仍须在最大硬截止与安全余量后回到 IDLE，可选择新目标；旧网关恢复、延迟回执和续授权均不能复活旧授权或回滚原世界事务。同样覆盖未登记退出的 ACTIVE、正在退出的 RELEASING、到期与续权并发、续权已提交但响应丢失、账号重启与旧定时器；
首次加点、内部排队、真实旅程和CG分别持续超过120现实秒，证明消费回执先于这些步骤入账、入口已为 ACTIVE 且正常续权；CG最终提交无第二次账号激活、不额外延长硬截止、不重发属性、寿命与保护。取消发生在回执前后分别进入拒绝、协调撤权或授权到期出口，旧票不再继续投递。

只有上述接口、隔离、恢复和发布边界全部通过，账号入口交付才算完成。产品级最终验收以本篇“四十二、交付物、容量指标与最终验收”为准；任何世界内部玩法是否完整，以该世界自己的独立需求和验收为准，不纳入账号入口代验。

十四、多平台客户端适配

PC、手机App和平板各提供同一《余世》产品在该平台的一款客户端，用户不按世界分别安装四款App。统一宿主提供登录、世界选择、模块资源检查和交接状态展示，选择后仍在同一应用内进入相应独立玩法模块。PC支持键鼠、窗口/全屏、分辨率、帧率与键位重映射；手机和平板支持触屏、安全区、后台、弱网、发热控制；适用平台支持手柄和完整映射。宿主提供通用平台生命周期与受限输入分发，不实现或兜底世界玩法；一次只把有效输入交给当前模块，不提供分屏、本地多人或一人控制队伍。

四个世界均采用斜俯视2.5D作为正式玩法表现：用分层场景、透视、视差、光照、阴影、角色与实体动画表现高低、室内外、楼层、洞穴和大规模玩家活动。镜头可跟随、缩放并在遮挡时透明化必要结构，但核心玩法不得退化为第一人称、全3D自由镜头、纯平面正俯视或横版卷轴。各世界模块分别维护镜头策略、遮挡、资源、效果和交互逻辑，可以运行在统一客户端锁定版本的通用第三方引擎与图形平台上；共用引擎不等于共用自研玩法或世界状态。模块与宿主引擎/ABI不兼容时应适配并重新集成，不能偷偷要求用户再装另一款世界客户端。

首次登录、回流登录和更换设备必须使用同一个稳定账号与设备会话状态。新设备取得控制前，服务端先令旧设备会话失效并完成未提交输入的确定性处理；两个平台同时请求时只能一个获得主动控制，另一个显示会话已转移，不能形成同一主体的两个控制流。卸载、清缓存和更换平台不改变角色、候选、CG、迁移、交易、孕育或死亡事务状态。

不同平台进入的是玩家所选世界的同一个权威世界和同一份角色数据，不形成平台专属世界或独立存档。输入与画质可以不同，但服务器使用相同的移动、交互、战斗、资源、机遇和世界判定规则；“结果一致”指相同权威状态与相同有效操作得到相同结算，不要求触控与鼠标自动产生相同操作，也不得给某个平台暗加属性、掉落或机缘优势。辅助瞄准、快捷操作和无障碍输入若存在，必须转化为公开、受限且可审计的有效操作，不得替玩家自动完成探索、战斗、试验或高风险判断。

客户端必须支持资源分包、按需下载、增量更新、画质档位、动态实体密度、远景简化、低内存回收、后台恢复、弱网重连和断线状态续接。动态密度只能降低远处外观细节、动画采样或非交互装饰，不能隐藏交互或效果范围内的玩家、危险、碰撞、关键线索和事件结果。进入新板块前可预取必要资源；设备达不到已公开最低条件或关键资源校验失败时，应阻止进入危险状态并明确提示，不得以缺少碰撞体、角色、线索或特效的方式继续游戏，也不得因客户端裁剪而改变服务器判定。

系统新角色创建草案的出生CG资源、候选筛选所需通用资源、既有角色当前位置资源和目标分区资源，分别必须在最终创建提交、申请候选租约、开放当前位置实时玩法输入或提交迁移前完成对应清单校验。消费票据、创建会话和账号确认 ACTIVE 不代表场景已经就绪；目标世界模块可在该会话内获取仅属于自己的当前位置资源清单，先完成清单校验与最新权威场景同步再开放移动、战斗等实时玩法输入。资源准备期间按原唯一租约维持续权，不推迟消费回执、不重签租约、不泄露坐标给账号入口；世界仍按既有断线与恢复规则持续演算。既有孩子的个性化出生CG只有在候选确定后才能生成资源清单，因此应先预载通用资源，再在有期限的候选租约内下载并校验候选专属资源。临时下载或校验失败时，在租约和断线宽限仍有效的范围内保留同一候选、同一入口事务与CG检查点并允许重试，不得静默换候选；玩家取消、租约到期、资源被确认与当前客户端永久不兼容或重试期限耗尽时，才幂等释放候选且不提交承接。任何失败都不能长期占用孩子、提前永久绑定账号、生成第二实体或直接改写孩子位置；已提交剧情迁移继续真实结算，取消下载和承接不能倒带。

创建草案、初始点预留和候选租约都必须有明确有效期，并由所属世界用世界作用域主体ID、世界作用域设备会话ID和入口事务标识；CG进度还须关联创建草案或候选编号。跨设备恢复只能向同一世界网关查询，不从账号入口恢复角色数据。候选租约失效时释放孩子，草案预留失效时释放点位与资源，两者都不得在世界中残留实体、角色名额、寿命或保护状态；若独立的入口承诺尚未终止且仍在公开期限内，世界网关只允许恢复合法的原候选，或在玩家明确同意后使用同生命形态、同一后备种子的系统新生，不得轮换浏览其他候选；已终止承诺在冷却期不保留可提交版本，也不能重新锁定候选。玩家可明确终止承诺、释放未消费预留并使旧确认失效，但首次终止时按承诺开始前已公开锁定的冷却时长记录唯一冷却截止，新一轮创建须等该截止经过；达到最长有效期时由服务自动执行同一终止，不等待玩家在线。取消重试、重复超时或换设备不能重置、缩短或滚动延长该截止。CG承诺前返回加点会使旧确认和受影响预留失效，只保留一个可提交方案；承诺生效后，系统新生与孩子承接都锁定同一完整25点方案、生命形态、位置偏好与反刷种子。孩子失效后只有玩家明确接受才沿用原方案转系统新生；不接受可以终止，不能静默切来源、直接洗点或抽另一名孩子。必要位置重算仍受原偏好限制；不兼容时等待或终止，待原冷却结束后以新一次创建重新选择，不丢失尚未授予的完整初始点资格。CG结束后的最终提交仍由世界服务重新校验实时资源、出生点或候选状态与分区容量；客户端伪造“播放完成”不得越过服务端校验和最终控制交接。

移动端切到后台、客户端崩溃或网络中断后，服务端不再接受本地预测操作，但世界时间与已提交动作按权威规则继续。断线不得使角色瞬移、无敌、脱离夺舍或逃过已经形成的危险；同样不得因为服务端未收到玩家可输入的操作，就在无合理响应窗口时直接判定永久死亡。恢复会话时必须回到唯一权威状态并显示离线期间的重要变化。

跨平台版本发布必须定义协议兼容窗口、资源清单校验、强制更新条件和失败回退。旧客户端不能提交新版本不认识的结构或继续用过期规则结算；新版本也不能在另一平台尚未更新时造成角色、资产、路线或跨区状态分叉。

各平台的按键教学和无障碍提示只解释如何执行服务器已经允许的底层动作。客户端不得因为安装了完整资源包、切换到信息密度更高的平台或读取本地缓存，就提前显示角色尚未察觉的地点、物品用途、配方、机缘入口、法术、功法或诊断答案。四个世界的资源索引、本地缓存、遥测事件和对象编号必须分命名空间；同一客户端承载世界选择和游玩，也不能把一个世界的数据用于另一个世界的提示或预测。账号凭据只交由登录宿主管理，世界模块仅取得自己的作用域票据；本地命名空间是工程隔离，不冒充可抵抗被篡改客户端的安全边界，世界服务仍须独立验权。

十五、超大球面地图与大陆分区加载

独立世界需求自行锁定其星球尺寸、球面关系、大陆板块、海洋、纬度气候和天文环境，并区分开普勒-22b公开资料与明确标注的原创推测。账号入口不保存地图或坐标。交付的世界地图需要形成足够巨大的长期探索空间，并保留连续经纬度认知。

四个世界的首发产品历法均以开普勒-22b约 289.9 地球日的公开公转周期为参考，固定取整为每个世界年 290 个世界日，不设置隐藏闰日；每个完整世界日固定消耗 2 个现实小时，因此一个世界年实际消耗 580 个现实小时。该比例是服务端真实推进比例，不只是日历显示或背景设定：离线、跨区、过渡动画、切换平台和账号入口暂时不可用都不暂停。角色年龄、成年、孕育、自然衰老和剩余寿命必须按它实际扣减；作物、生态、制造、建筑或设备老化、契约、租期、债务到期和世界事件若采用不同过程速度，也必须把明确倍率作用于同一世界权威时间，不得另建会在断线或换区时漂移的隐藏时钟。账号入口的验证码、票据、租约硬截止和安全审计仍使用现实单调时间与UTC时间，不得拿压缩后的世界时间计算认证有效期。

四个世界分别运行、持久化和恢复自己的历法纪元、日序、时刻、季节与定时事务，不从账号入口或另一世界读取时钟，也不得共用一个玩法时间服务。北半球春、夏、秋、冬依次占 72/73/72/73 个世界日；南半球在同一轨道日序采用相反季相，即北春对应南秋、北夏对应南冬，但仍沿春、夏、秋、冬正常循环，不能把“相反”实现成倒序历法。昼长由该世界锁定的纬度、半球、轨道日序和轴倾模型连续计算。公开公转周期与产品取整历法必须分别标注，不能把开普勒-22b尚未观测确认的自转周期、昼长、轴倾角或地表季节冒充科学实测。

巨大世界允许真实空旷，不设系统保证的内容密度、真人相遇时间或自动社会聚集指标。任何世界都不得因为某区域玩家少而生成商人、导师、职业NPC、任务点、无来源遗迹或保底机缘，也不得把自动出生暗中集中到热门玩家与组织附近。跳过选点时只依据所属生命形态的最低落地安全、实际形成来源、生态承载、无碰撞和分区容量分配；主动选择同一经纬度范围是玩家自行约定共同出生的唯一入口方式之一，仍不保证精确同点、资源和免除实际移动。

为控制服务器和客户端压力，世界内部可将不同大陆板块、海域、岛群、洞穴群、地下层、天空区域和特殊空间设为独立运行分区。分区独立承载局部玩家、实体、建筑、生态和事件，只同步当前玩家需要感知的范围；该需求交付件自己的协调服务维护必要的主体与载体归属、坐标索引、时间、环境摘要和跨区迁移状态。这些组件属于该世界内部，不是账号入口能力，也不得成为另一世界的运行依赖。

分区不能表现成菜单选关。玩家必须通过世界内真实路径抵达边界，例如跨越海洋、进入洞穴通道、穿过峡谷、搭乘交通设施或使用该世界内合法建成的传送设施。跨区时播放与路径相符的航行、洞穴深入、风暴穿越、升降或空间变化过渡动画，并在动画期间完成目标分区资源加载和服务器状态迁移。动画只是连续过程的表现，不能暂停世界风险、跳过路程、恢复状态、刷新资源或给予无敌；期间发生的天气、伤势、载具消耗、追逐和事件结果仍由服务端按迁移状态结算。若过程会出现需要及时反应的新危险，客户端必须在动画中保留对应操作；完全不可操作的加载段只能结算进入前已经确认且不需要新输入的连续后果，不能趁加载制造无从应对的永久死亡。

迁移必须以唯一迁移编号和明确的源区提交、目标区接管状态保证主体、当前载体、物品、载具、乘员、随行实体、时间、伤势、玩家契约、事件参与状态和坐标连续，不得复制、回滚获利或丢失。同一船只、交通设施或共同事件中的多名玩家需要形成一致的迁移组；个别玩家断线不能复制载具或把其他乘员留在互相矛盾的分区。

世界内部迁移必须指定唯一“在途写入权”。源区冻结迁移快照后，源区和目标区不得同时修改同一实体；独立迁移协调实例或继续持有令牌的源区成为唯一写入者，按单调事件序列结算途中输入、环境、伤害、消耗、追击、载具损毁、出生、载体变化、主体存续变化及拆组，直到把最新版本一次性交给目标区或交还源区。发生过已提交途中事件后不得回滚到旧快照；目标区接管、死亡、主体或载体转换、出生和回源以同一序列及版本栅栏决定先后。迁移组使用可版本化成员清单，途中依法形成或终止的实体必须以同一事务原子加入、替换或移出。具体实体类型、途中规则、令牌、日志、标识和数据库均由该独立世界需求定义，平台不提供共用协调器。

目标分区不可用时不得把角色投入空白区域，应停留在可恢复的迁移状态并支持重试、回源或稍后续接。该状态的风险、资源消耗和最长等待必须预先定义，既不能无条件冻结以供玩家躲避危险，也不能因基础设施故障造成无法操作的永久死亡。客户端关闭后，服务端仍只能完成一次接管。

排队分为两层且不能混用。票据消费前的网关接纳排队由目标世界保存世界作用域主体ID、不透明队列令牌、请求编号、版本和接纳容量条件；账号入口保持 IDLE，只临时转显目标、粗粒度位置和到期时间，不把队列写成交接状态。容量就绪后重新查询并签发新票，旧票若已收到未消费拒绝证明则永久不可再用。票据消费后，因生命形态、出生来源、形成批次、初始点或局部分区容量不足产生的等待属于目标世界内部 ENTRY_PENDING；账号入口保持 ACTIVE，不保存生命形态条件、内部队列令牌或玩法细节，玩家在当前应用内的世界模块中恢复或取消。两层都不得提前生成主体、锁定未被规则允许长期锁定的候选、授予寿命或启动保护，也不得用令牌反推全局账号；取消和超时只释放尚未消费的预约及预留。已有角色回流或在途迁移的恢复队列由目标世界引用原主体与原事务，优先恢复原位置和状态，绝不能退化为创建队列。

大量玩家聚集在同一城市、战场、港口或洞府时，只能在同一权威世界状态内继续细分空间计算、分散服务负载和调整兴趣同步，不能为不同玩家复制互不影响的私人实例，也不能把实际处于同一交互或效果范围的玩家静默隔离。容量口径必须分开定义：连续热点是可由多个相邻计算单元承载的连续宏观区域；完整交互集是单客户端当前接收高频个体状态并可直接选择的集合；碰撞范围、直接目标范围和效果范围由各世界按玩法分别版本锁定。超过客户端完整交互硬档时可以明确显示简化人群与密度，但所有主体仍处于同一权威空间；服务端必须对范围效果涉及的全部实体结算，客户端提供按距离、威胁、视线和玩家主动焦点确定且防抖的晋升机制，不能靠隐藏对象免除碰撞、受击、观察或反制。容量宣称必须同时给出热点面积与密度分布、任一观察者的最大高频集合、超档表现和范围效果压测结果；不能把宏观热点人数误写成同一客户端可完整渲染人数。分区边界必须有唯一实体所有者或可证明的一致交接协议，保证边界两侧的碰撞、攻击、拾取、建筑和事件只有一次结算。

这里的跨区只指同一世界内部的大陆或空间分区，不允许借海洋、洞穴、动画或任何技术入口跨越原始、科技、魔法、仙武四个独立世界。

平台交接验收至少覆盖手机号和邮箱登录、世界状态查询、消费前接纳排队、票据消费后的世界内部创建排队、一次性票据重放、票据过期或受众错误、资源版本不兼容、网关超时、票据已消费但响应丢失、旧设备令牌失效、退出延迟、异常断线接管、目标不可用以及先退出后进入失败。结果必须证明消费前拒绝的旧授权永久不可用，票据消费回执立即提交并由入口确认 ACTIVE 后才推进长创角，不能等CG结束才回执；结果未知超过最大硬截止和安全余量则封存原授权回到 IDLE，不冒充未消费，也不读取内部排队；一张成功票据只产生一个 control_epoch 与一份租约，首次CG最终提交只将其从 ENTRY_ONLY 切换为 PLAY_CONTROL。异常断线还须先落世界内部 disconnect_event_id 与输入撤销栅栏而不产生入口回执，再由入口规范 release_request_id 校验绑定后形成 DISCONNECTED_MANAGED。全过程须证明入口不创建角色、不保存角色细节、不发出多受众通票、不因重试产生两个有效控制会话，也不因目标失败回滚来源状态。

世界内部的平台与分区验收由对应独立需求完整定义，至少覆盖PC、手机和平板的首次进入与回流续接、CG跨设备中断恢复、同状态同操作一致结算、弱网与后台恢复、首次创建排队取消、已有角色满载恢复、迁移中断恢复、迁移组跨区、边界并发交互、热点扩缩容以及目标分区故障。账号入口只检查交接回执和契约不变量，不读取世界日志代替内部验收。

十六、五篇需求关系与验收

本总需求只定义账号入口、交接协议、隔离原则和不可违反的产品边界，不是世界运行时的公共玩法规范库。原始、科技、魔法、仙武分别以独立需求立项，各自给出完整规则、架构、内容、数据、部署、容量和验收标准；复制必要的产品约束属于需求自包含，不代表抽取公共代码。独立需求未明确声明的世界内部行为，不能由总平台默认实现或补位。

验收以实际可操作结果、服务器权威状态、异常流程、日志、数据版本和测试用例为准。不得用概念文案、数量宣称或演示视频代替真实可重复验证的功能。每个世界立项时必须给出可测量的世界总注册角色、同时在线玩家、热点区域同时可见玩家和跨区迁移吞吐目标，并在超过目标时证明能够扩展或明确降级，不能用私人副本、复制大陆或把同位置玩家互相隐藏来冒充单一共享世界容量。

十七、开放式因果路线空间

本章定义总产品对“高自由度、非随机路线和可验证分支”的验收语义，不是可供独立世界调用的路线引擎、技能基类、状态表或内容仓库。世界需求必须把适用于自身的路线、数据、失败出口和验收写全；即使重复表达这些产品约束，也不得转化为运行时共享依赖。

17.1 路线不是随机技能池

本项目的高自由度来自玩家一生中连续发生的有效选择，而不是随机生成名称、随机抽取技能或在固定职业树上点满节点。

若连续十次机遇均存在三个能够持续改变角色的选择，则仅选择顺序就可以形成 3^10 = 59049 条理论路线；连续十三次即形成 3^13 = 1594323 条理论路线。实际角色还受到世界、种族、初始属性、出生状态、既有知识、选择先后、练习投入、身体状态、所在经纬度、季节、天气、材料和其他玩家行为影响，因此一个世界的有效路线空间可以远高于百万，不设置固定数量上限。

上述计算只用于说明路线增长方式，不允许把所有数学组合直接宣传为有效内容。两条路线如果最终只有名称、颜色或单个数值不同，而操作、条件、效果、代价、风险和后续可能性相同，只能算不同经历，不能算两个独立技能或两种有效玩法。

17.2 角色路线演算

每次选择的结果由以下状态共同计算：

下一时刻角色状态 = 世界规律（当前版本） + 原角色完整状态 + 历史有序选择 + 当前机遇条件 + 玩家本次判断与操作 + 实际投入和练习 + 当前环境 + 其他玩家造成的有效影响。

系统必须保存选择顺序。先完成甲再完成乙，与先完成乙再完成甲可以产生不同的身体适应、知识理解、能力结构和后续机遇。系统允许部分路线汇合、互斥、退化、转修、融合、变异或重新分叉，不强行保证每个选择永远独占一个结局。

机遇本身也不是无条件随机掉落。其出现由经纬度、区域状态、时间、季节、天气、角色生命形态、已有知识、历史行为、世界事件和其他可追溯条件触发。玩家不一定知道全部条件，但服务器必须能够解释和复现结果。

17.3 有效选择标准

一个选项只有至少持续改变以下一项内容，才计为有效选择：

身体结构、生命状态、属性倾向或环境适应；
角色已经观察、猜测、验证或掌握的知识；
技艺、技术、魔法或功法的内部结构；
能力的使用方式、条件、效果、消耗、代价、风险或反制；
与其他能力的兼容、冲突、转化或进阶可能；
玩家与其他玩家、组织、地区或知识谱系的关系；
后续能够出现、无法再出现或发生变化的机遇；
世界中的资源、生态、建筑、设施、制度或历史记录。

只改变一段文本、按钮颜色、显示名称或无感知数值的选择，不得计入有效分支数量。

17.4 路线、结果与能力分别统计

内部统计与验收必须分别计算以下口径；对玩家公开时只能展示不会泄露未发现内容、他人隐私或隐藏机缘条件的聚合结果：

路线序列数：玩家做出的有序有效选择组合数量；重复同一无效动作、来回切换、挂机时长和可以完全回滚且未改变状态的循环不得重复计数；
有效角色状态数：经过等价合并后，身体、知识、关系和后续可能性确有差异的状态数量；
已知能力结构数：世界规则中已经存在并通过验证的技艺、技术、魔法或功法数量；
玩家原创结构数：玩家实际悟出、发明并通过验证的新内容数量；
已被发现数与仍未发现数：按世界和版本在服务端分别记录，未发现数默认不向玩家公开；
当前角色已知、理解、熟练和可稳定使用的内容数量。

百万级是世界内容空间而不是单个角色的技能栏。角色受到寿命、身体结构、认知、练习时间、资源、能力冲突和死亡风险约束，只能真正走过并掌握其中一部分。

任何“远超百万”的宣称都必须注明统计口径、规则版本、等价合并方法和实际已验证样本，不能把理论笛卡尔积、无效循环、不同玩家重复同一路线或尚未通过规则验证的结构相加。开放空间不设置设计上的固定终点，不等于服务器可以无限保存无意义组合；每个世界应对实际发生且产生持久影响的节点记账，并以快照、等价状态和谱系压缩控制规模。

十八、选择、努力与反馈闭环

每个重要路线节点至少包含发现条件、可观察信息、当前条件下实际可行的处理方向、操作过程、即时反馈、延迟结果、失败结果、后续分支和可追溯记录。处理方向数量不固定：有的节点当前只能撤退或等待，有的节点可由几十种底层动作、物品和协作方式组合；先前选择还会增加、改变或删除后续动作。“三个选择”只用于抽样解释指数增长，不得成为所有机缘的界面模板。选项不得只用一段菜单文字完成；需要由玩家实际移动、选择材料、调整顺序、控制动作、投入时间或与其他玩家协作。

重要尝试必须用所属世界内唯一的尝试编号串起“准备材料与状态 → 提交实际操作 → 消耗和环境变化 → 感知反馈 → 角色认知变化 → 练习或后续尝试”。断线、跨平台恢复、跨世界切换、分区迁移和服务重启不自动成功、不退还已经真实消耗的资源，也不重复消耗或生成第二份结果；重新进入时只能从权威快照继续、看到已经发生的失败或发起新的尝试。需要持续操作的步骤若玩家失去输入，按预先可知的中断规则产生暂停、衰减、失败或危险，不能由系统补做正确动作。

系统反馈按以下层级逐步开放：

感官或仪器现象：角色实际看到、听到、触到、测到或感受到的内容；
角色推测：依据当前认知形成，可能正确、片面或错误；
实验记录：保存条件、过程和结果，不自动给出因果答案；
重复验证：相同或对照条件下得到稳定结果；
已掌握规律：角色能够解释并稳定应用；
熟练与改良：通过长期实践降低消耗、减少风险或改变用途；
创造与传承：形成新结构、命名并传播给其他玩家。

机遇决定玩家遇到什么可能，判断决定选择哪条方向，个人努力决定能否理解、掌握、改良和继续走下去。稀有机遇不能替代练习，也不能成为唯一成长入口；相同规律可以通过独立发现、玩家教学、遗产记录和长期实验等多种方式接触。

角色认知和现实玩家记忆必须诚实区分。玩家可以从上一角色、其他玩家或外部资料知道某个答案，系统不假装能够删除现实记忆；但新角色仍只能执行其身体、感官、工具和已形成动作能力允许的底层操作。纯信息规律可以被玩家带着答案重新验证，身体控制、能量运行、精密操作和长期熟练则必须重新练习。系统不得用僵硬的“未解锁”按钮否定玩家实际可完成的尝试，也不得因玩家输入一段旧配方便直接恢复已死亡角色的熟练度、适配和隐性状态。

操作教学、感知记录、玩家口述、知识载体、理解、首次成功、稳定复现、个体适配和熟练度是不同状态。客户端教学只说明按键与通用动作，不写入任何世界知识；其他玩家传授可以增加角色实际听见、看见或读取的信息与练习机会，但不能把教师的理解、熟练度或能力对象复制给学生。教师中断、说错、离线或彻底死亡后，已实际传出的部分保留，未表达部分不会由系统或导师NPC自动补齐。

十九、玩家原创内容的结构指纹与命名

玩家自创内容必须由本世界允许的底层要素和操作组成，不允许上传任意脚本或直接填写最终伤害、范围和效果。每个世界使用自己受约束、可版本化的结构描述和演算预算；服务器根据完整结构、过程与实际结果生成结构指纹，并完成规则合法性、资源与能量约束、效果上限、重复度、冲突、风险、计算复杂度和可复现性验证。超出单次计算、存储或同步预算的结构应以世界内可观察的失败或拆分需求反馈，不能拖垮分区，也不能仅因客户端性能不同而得到不同合法性结果。

偶然成功一次只记为未确认发现。玩家或其他玩家在声明条件下稳定复现后，才可登记为正式新技艺、新技术、新魔法或新功法。结构等价的内容合并为同一成果的独立发现或改良版本；具有实质结构差异的成果可以形成分支谱系。

原创验证可以异步执行，但提交时必须冻结用于验证的结构快照、所属世界规则版本、实际实验记录、参与者及其贡献，不冻结玩家角色、材料或现场继续变化。重复提交、超时、验证服务重启和跨分区回调必须返回同一验证编号；验证失败要说明角色当时可理解的结构、复现或规则原因，不能吞掉原始实验记录，也不能把排队本身算作练习或成果。规则版本在排队期间改变时，先按提交版本完成历史判定，再明确决定是否迁移或要求在新版本重新验证，禁止悄悄换规则。

首次正式验证者拥有命名提议权。名称经过重复、冒充和违规内容检查后写入世界记录。记录至少包括创造者与共同创造者、首次成功时间和经纬度、使用世界、版本、完整结构、前置认知、实际效果、代价、风险、反制、复现条件、公开或保密状态、传授链和改良谱系。

玩家可以在提交未确认发现时预留命名提议；名称审核失败只退回命名，不撤销合法结构与贡献。创造者在验证完成前离线、失踪、载体转换或主体彻底死亡时，验证继续使用既有证据：已有合法提议可在验证通过后采用；没有提议时先使用不泄露结构的稳定编号，等待仍存续的共同创造者，或按该世界预先公开的独立发现顺位取得提名权，不能由系统NPC命名，也不能让一个已经可用的成果永久卡在提交中。多人近乎同时发现等价结构时，服务端按实际首次成功、提交和共同贡献记录独立发现关系，只登记一个结构对象，不重复生成能力。

创造者可以公开、出售、限权传授、写入知识载体、作为组织秘传或保密。系统保护记录真实性和访问权限，但不凭空赋予对自然规律的永久垄断；其他玩家可以独立发现等价规律，并留下独立发现记录。

二十、角色状态与负面效果规则

四个世界分别独立实现自己的角色状态系统，但每种状态都必须定义来源、归属载体或主体、强度、阶段、持续、叠加、扩散或转化、可观察症状、实际行为影响、角色当前认知、诊断方式、处理方式、恢复过程、后遗症、载体死亡阈值和可能的主体彻底死亡条件。

通用状态类别可包括饥饿、口渴、营养失衡、疲劳、睡眠不足、冷热、潮湿、缺氧、疼痛、出血、骨折、烧伤、冻伤、感染、中毒、寄生、疾病、恐惧、惊慌、压力、迷失、幻觉、感官受损、昏迷和永久伤残。各世界在此基础上增加完全独立的专属状态。

状态不能只是一个减属性图标。它应通过动作、视听、呼吸、移动、判断、操作精度、社交表达和环境互动产生可感知影响。多个状态可以形成因果链，例如潮湿引起失温，失温导致颤抖和操作失误，持续暴露导致昏迷与死亡。相同物质或行为在剂量、角色状态和用法不同的情况下，可以是资源、药物、增益或毒害。

未知状态先显示症状，只有角色本人或提供诊断的玩家具备足够知识和条件时，才显示可靠名称与处理建议。错误判断和错误治疗同样进入路线记录并可能产生新的后果。

二十一、路线深度验收

每个世界至少选取若干组相同出生条件的测试角色，在不提供答案的情况下经历相同机遇。验收应证明不同选择顺序、努力程度和既有状态可以产生可解释的不同路线；相同操作在相同完整条件下结果可复现；结果不是随机换名；失败会提供可以继续判断的信息；路线能够被记录、传授、改良、遗失和重新发现。

自动化测试需要覆盖规则不变量、等价合并、互斥冲突、极端组合、跨版本兼容、恶意高复杂度结构和大规模分支抽样。不能穷举开放式路线空间，但必须证明所有生成结果均经过所属世界自己的规律校验，并对已经实际产生的重要分支保留可验证审计链。

端到端验收还必须让同一角色完成“察觉机缘 → 形成推测 → 实际试验 → 失败或首次成功 → 重复验证 → 个体练习 → 正式原创登记或接受传授 → 再传给另一玩家”的完整链路，并在每一阶段注入断线、角色死亡、材料被他人取走、规则升级和重复提交。验收应证明已发生部分不会丢失或翻倍，未发生部分不会自动补齐，学生不会因交易或教程直接获得教师能力，原创结构与命名也不会因创建者失联永久锁死。

审计链应采用分级留存：主体彻底死亡、夺舍与操纵权交接、原创登记、重大伤害、稀有原件、资产变更和不可逆世界变化保存规则版本、权威输入、前后快照及完整关键事件；高频移动和重复练习可保存聚合结果、校验摘要与必要回放窗口。压缩与过期策略不得破坏争议复核、来源追踪或复现重大结果所需的信息，也不能要求永久保存每一帧客户端输入后仍宣称系统可实施。

本章只属于总需求，用来定义机缘必须具备的因果深度、来源广度和验证口径，不是独立世界的运行时规范库。原始、科技、魔法、仙武需求各自保存权威的机缘规则、对象和验收，不通过引用本章省略内部定义，也不共用机缘底层、数据表、脚本、概率、物品或知识系统。

二十二、机缘不是随机发奖

机缘是角色在特定时空、身体、认知和世界状态下接触到的一种“可继续探索的可能性”。它可以是一件捡到的东西、一处传承洞府、一段残缺记录、一种自然现象、一只野生生命的行为、一次灾害留下的变化、一名玩家的遗产、长期劳动中出现的异常，也可以只是一个尚未被理解的声音、气味、信号、能量变化或身体反馈。

机缘不等于奖励，不等于技能，不等于任务完成后的宝箱，也不保证稀有、正向、适合当前角色或能够被带走。角色可能发现但无法进入，进入但无法取得，取得但无法识别，识别但理解错误，理解后无法复现，复现后不适合自身，掌握后因代价选择不用，也可能主动保留、公开、争夺、毁坏或让它再次失传。

任何机缘都必须先作为世界中真实存在或真实发生的事实出现。其来源、形成条件、出现地点、持续时间、可观察线索和变化原因由该世界的权威规则产生并保留记录。系统不得执行以下做法：

根据角色等级直接向背包投放“专属机缘”；
接触物品、打开容器或进入地点后随机弹出完整技能；
用稀有度颜色代替来源、用途、风险和理解过程；
为了照顾某条职业路线而无因果地生成最适配奖励；
把同一奖励随机换名、换色或换数值后统计为新路线；
让首个触碰者无条件绑定整处遗迹、自然规律或可复制知识；
用看不见的幸运判定直接决定学会、突破、发明或领悟成功。

世界模拟可以使用可审计种子处理天气细节、地质暴露、迁徙偏差、遗留物落点等自然不确定性，但种子只决定世界事实在何时何地以何种状态出现，不能直接替角色完成理解和成长。重大结果必须能够由事件种子、世界快照、角色状态、实际操作和选择顺序重放解释。

同一类规律不得只有一个唯一机缘入口。稀有物品或某个历史原件可以唯一，但其中涉及的自然规律、技艺、科技、魔法或功法原则上可以通过其他遗迹、其他玩家传授、独立观察、长期实验或自创推演再次接触。错过一次机缘会改变人生路线，但不得因此永久封死整个世界的一项基础玩法。

每个机缘的选择数量不固定，也不要求在界面上显示成有限按钮。同一节点可能只有一种当前可行的保命动作，也可能因玩家掌握的动作、知识、物品、同行者、时间和环境而出现几十种可组合操作。玩家还可以等待、观察、绕行、分步尝试、撤退、求援、破坏入口或完全忽略；先前行为会增加、改变或永久删除后续选项。“三选一”只用于解释组合增长，不是内容模板。

二十三、机缘和遭遇的来源分类

本章导航：

23.1 捡取、冲刷、坠落与偶然暴露
23.2 自然现象与环境窗口
23.3 灾害、事故和世界事件余波
23.4 野生生命、生态关系与行为观察
23.5 遗迹、洞穴、传承洞府与封闭设施
23.6 玩家遗落、死亡遗产与组织兴衰
23.7 玩家主动传授、交换、赠予与诱导
23.8 痕迹、传闻、地图、信号与坐标线索
23.9 长期劳动、熟练积累与生产异常
23.10 失败、伤病、濒死与错误理解
23.11 主动实验、组合与独立领悟
23.12 多人协作、竞争和区域历史变化

正式内容不能只依赖宝箱和洞府。每个世界需要建立足够丰富、能够交叉的来源，并允许同一来源因地点、时间、角色状态和处理方式继续分化。

23.1 捡取、冲刷、坠落与偶然暴露

玩家可以在地表、河滩、海岸、洞穴、裂隙、废墟、巢穴、遗体附近或灾后区域捡到自然物、加工物、残片、记录载体或未知器物。所有可捡物必须有来处，例如地层风化、洪水冲刷、风暴搬运、生命携带、设施破损、其他玩家遗落或死亡遗产，不是靠近玩家后凭空刷出的个人掉落。

捡到只改变物品的物理占有状态。玩家仍需观察、保存、搬运、清理、拼接、解码、试用或寻求其他玩家帮助，才能判断它是什么以及是否有用。直接使用也可以成为选择，但必须承担污染、损坏、反噬、误操作和破坏证据的风险。

23.2 自然现象与环境窗口

昼夜、季节、潮汐、天气、天象、温度、压力、地形、灵气或魔力变化可以暂时显露平时不可见的材料、入口、结构和规律。窗口结束后，入口可能被淹没、冻结、掩埋、失去能量或改变位置。玩家可以立即进入、先记录规律、准备后再返回、分享坐标组织同行，或放弃本次窗口。

23.3 灾害、事故和世界事件余波

洪水、雷击、火灾、地震、风暴、疫病、生态失衡、设备事故、魔力潮、空间异常、灵脉异变和天劫等事件既能制造危险，也能改变材料、地貌、生命和知识载体。机缘通常存在于事件前兆、处理过程和余波中，而不是事件结束后统一发奖。玩家选择救援、撤离、观察、采样、封锁、利用或修复，会得到完全不同的后续条件。

23.4 野生生命、生态关系与行为观察

植物、动物、异兽、魔物、元素生命及其他野生生命可以通过进食、迁徙、筑巢、蜕变、争斗、患病、共生和避险暴露线索。它们是生态或事件实体，不提供固定对话、任务、商店、治疗或职业教学。玩家可以远观、追踪、模仿、采样、驱赶、猎杀、驯养或保护；每种行为都会改变生态、风险和以后还能否观察到该现象。

23.5 遗迹、洞穴、传承洞府与封闭设施

这一来源可以表现为天然洞穴中的旧痕迹、失落营地、封闭工坊、废弃实验室、魔法遗迹、封印空间、传承洞府、秘境或其他符合所属世界的历史场所。场所本身至少应包含入口形成原因、进入条件、内部环境、结构变化、有限资源、知识载体、危险和关闭或损毁机制。

传承地点不得只是按键领取整套能力。所谓“传承”可以由残卷、壁画、器具、实验记录、阵纹、环境布置、训练设施、失败遗迹和有限试验共同表达。玩家需要自己判断各线索的关系；原建造者不以功能型NPC身份站在其中稳定讲课、发布任务或无限兑换奖励。

遗迹守卫、自动装置、阵法反应、残留投影或事件意识可以作为有限的世界机制与危险存在，但不得承担可反复使用的导师、商人和任务发布者职能。它们的行为、能源、触发条件、损耗和可破坏性都必须符合本世界规律。

重要传承可以包含连续闯关、环境生存、机关或阵法、解读、战斗、多人配合、资源取舍和撤离。敌对生命、守卫和其他玩家都可形成战斗，但胜负由位置、动作、时机、身体、能力结构、装备状态、环境和协作实时结算。玩家当场操作是结算输入的一部分，既有状态会改变可行动作与容错，却不能由“战力值达标”或隐藏抽签越过实际闯关和战斗。

传承残留意志、神魂结构、真实玩家灵魂或同类事件机制可以尝试侵入、寄生、覆盖记忆或夺舍；角色应能从感知异常、记忆断层、身体排斥、能量变化等线索作出抵抗、中断、隔离、求援、反制或撤退操作。夺舍必须先同时满足所属世界独立定义的极苛刻资格条件，再经过不可跳过的连续阶段；满足条件只取得尝试资格，不直接增加一条“成功”结果。玩家之间由双方逐阶段实际操作推进，有限事件意志发起时也必须按可观察、可消耗和可中止的行为规则行动，并给目标玩家充分的实际响应窗口。失败可以造成控制受损、人格或记忆缺失、永久伤残、肉身死亡乃至主体彻底死亡，但不得以不可见的单次概率、战力比较或玩家离线直接决定夺舍或死亡。

所属世界允许夺舍时，必须把稳定角色主体、肉身或其他载体与当前操纵权分开记录。完全夺舍成功不是改一条阵营或皮肤字段，而是服务端在唯一事务中令被夺舍主体立即彻底死亡，并把目标肉身的当前操纵权交给成功占据的主体；受害者不能在最终结算后再从灵魂、寄存物、备用容器或其他载体继续存在。受害者只有在最终接管前通过实际操作完成弃体保魂，才可继续操纵其灵魂状态，此时目标已经是空置肉身，不计为对该主体完成夺舍。夺舍者只获得目标肉身真实保留的结构、年龄、伤病和身体能力，不自动取得受害者的记忆、熟练度、世界作用域身份、婚姻、亲缘、财产、组织职位或自然剩余寿命基线。空置肉身和无玩家承接的残留意志只能按有限事件实体规则演算，不得成为新的功能型NPC。

闯关、战斗和夺舍期间，安全登出只有在服务端确认角色已离开持续操作、即时攻击和控制权争夺状态后才完成；确认前关闭客户端按异常断线处理，不能伪装成安全登出。异常断线不得成为撤退、无敌、复制载体或清除风险的按钮。服务端按最后确认状态和公开的断线处理规则继续或暂存，并为非主动断线保留与风险节奏匹配的恢复窗口；无法收到操作时不得伪造玩家操作，也不得以一帧超时直接判定不可逆死亡。所有身体与灵魂控制权变化必须能够从规则版本、前后状态和有效操作重放核对。

23.6 玩家遗落、死亡遗产与组织兴衰

玩家遗失的工具、营地、书写物、实验数据、魔法书、功法载体、建筑和组织档案可以成为后来者的机缘。系统必须保留创造、持有、遗失、载体死亡或主体彻底死亡、搬运、复制、修改和再次发现的来源链，不能在原主体彻底死亡后把知识自动灌输给新角色；原主体若以灵魂或其他载体存续，只保留该主体真实保存的记忆，不自动取回遗失实物。

一座衰败聚落、停运工厂、废弃学院或没落宗门也可以成为多人共同探索的历史现场。后来者可能修复、拆除、占据、公开档案、隐瞒关键部分或在错误理解上建立新传统。

23.7 玩家主动传授、交换、赠予与诱导

真实玩家可以口述、演示、带路、分享经纬度、赠送或出售载体、共同实验、收徒、开课，也可以撒谎、隐瞒关键步骤或给出自己尚未验证的猜测。系统记录信息版本和传播链，但不替接收者判断真假，更不因交易完成而直接授予能力。

23.8 痕迹、传闻、地图、信号与坐标线索

烟柱、足迹、刻痕、废料、道路、异常声音、无线信号、魔力波动、传讯、星象记录、藏宝图、残缺地图和他人分享的经纬度，只提供“可能在哪里或发生过什么”的线索。信息可能过期、精度不足、被误读或故意篡改。玩家仍需规划路线、跨区加载、携带补给并实际抵达，不能点击线索直接传送到机缘处。

23.9 长期劳动、熟练积累与生产异常

机缘可以在反复采集、种植、狩猎、建造、测量、维修、施法、炼制、修炼和照料中出现。材料异常、操作手感变化、长期误差、身体适应、失败样本和不同批次差异都可以成为新规律入口。它不要求角色先找到稀有遗迹，确保专注生活与生产的玩家也能产生深度路线。

23.10 失败、伤病、濒死与错误理解

一次失败可能暴露材料边界、能量逆流、身体代偿、设备故障、法术反制或功法冲突。玩家可以治疗并回到原路线、保留状态继续观察、绕开受损结构、转修其他方向或据此创造新方法。失败不是自动赠送“隐藏技能”，严重后果必须有先兆和降低风险的方法，且可能真的造成永久损伤或死亡。

23.11 主动实验、组合与独立领悟

玩家可以主动把已有观察、不同材料、技术、法术结构、功法路线或生活经验组合起来，制造以前没有发生过的条件。世界规则只演算真实过程，不因玩家选择“探索”按钮而随机返回成果。一次异常结果是线索；经过控制变量、重复成功和适用边界确认后，才可能形成已知规律的独立发现、有效改良或可以命名的原创内容。

23.12 多人协作、竞争和区域历史变化

有些入口需要多人同时搬运、测绘、供能、维持结构、抵御环境或从不同感知角度观察。其他玩家的开采、建设、战争、保护、污染、研究公开和知识封锁也会改变后来者遇到的机缘。协作不保证平均分配成果，竞争也不自动决定胜者；实际贡献、占有、权限、位置、行动和组织制度共同形成后果。

以上来源可以叠加。例如暴雨引发山体滑坡，暴露一处玩家旧洞穴；野生生命叼走其中残片，另一名玩家在河滩捡到；其分享近似坐标后，多组玩家从不同入口到达并作出不同解释。系统应保存这条连续来源链，而不是把每一步切成互不相关的随机事件。

二十四、从发现到失效的完整链路

每个重要机缘至少实现以下链路。阶段可以重复、跳回、由不同玩家分别完成，也可能在任一阶段中止。系统不得默认“发现即获得、获得即学会、学会即精通”。

阶段	必须实现的状态与行为	主要分支与失败
形成	由地理、生态、历史、玩家行为或世界事件形成实体、现象或窗口，并记录来源	尚未被发现便自然消散；因后续事件改变；被其他生命或玩家移动
察觉	角色通过视觉、听觉、嗅觉、触觉、身体感应、仪器、痕迹或他人信息接触线索	忽略、误认、只记位置、跟踪来源、告知他人；感知差异导致看到不同部分
定位	通过追踪、测绘、对照时间、解读记录或分享经纬度缩小范围	坐标过期、入口移动、路线危险、线索被破坏或被故意误导
接近与进入	实际移动到达，并处理地形、气候、封闭结构、供能、机关、守卫、阵法或时间窗口	强行突破、研究入口、另寻入口、等待窗口、多人协作、撤退；受伤、被困、入口关闭
获取与保全	拿取、采样、拓印、抄录、拆卸、搬运、激活、占据现场或只在原地观察	原件有限且可争夺；复制可能失真；拆取可能毁坏上下文；搬运环境改变可能使载体失效
识别与理解	判断载体语言、结构、用途、完整性、前置知识、适用生命和潜在风险	看不懂、误译、只懂局部、错误拼接、发现伪造、请其他玩家协助或长期自行研究
试验与验证	以真实材料、动作、参数、身体或能量进行小规模试验、对照和重复	偶然成功、条件遗漏、反噬、污染、样本耗尽；复现后才形成可靠认知
适配与掌握	根据角色身体、已有路线、环境和用途练习、修改、兼容或放弃	原样适配、形成地区版或个体版、与旧能力冲突、转修、只掌握理论、成为原创分支
争夺或共享	多人通过先行占有、协商、交易、契约、组织规则、防守、偷取或冲突处理有限实体和现场	原件归一方、多人分批观察、共同维护、复制公开、隐藏入口、破坏现场；必须遵守新手保护和其他安全规则
传承与扩散	口述、动作示范、实物、图画、文字、数据、魔法记录、玉简、建筑或教学实践传播	完整传授、残缺传授、错误分支、保密、独立发现、跨生命不适配；接收者仍需理解和练习
衰减与失效	载体受腐败、磨损、断电、失磁、污染、魔力消散、阵法崩坏、禁制变化、语言失传或版本变化影响	维护、修复、迁移、转录、备份、抢救局部；彻底失传后仍可通过规律重新发现

每一阶段都保存世界事实与角色认知两个进度，不保存一个笼统“机缘完成度”。安全登出、异常断线、跨区、切换世界或服务重启时，现场、有限实体、时间窗口和其他玩家继续按权威世界变化；回流只能取得角色离开前真正看见、带走、理解和练习过的部分。未拿走的原件可以被别人取得，未完成的闯关可以坍塌或关闭，已经消耗的材料不会因重连返还，系统也不会替离线角色完成解读、练习、原创验证或传授。

进入一个地点也不代表该地点保持静止。洞穴会坍塌或积水，设施会断电和腐蚀，魔法结构会耗散或受环境干扰，传承洞府会因阵法、灵脉、天象和探索行为改变。玩家如何开启、拆解、取走和战斗，应永久改变现场状态，并成为后来者的新机缘或损失。

二十五、载体占有、角色认知与能力掌握必须分离

系统至少区分以下状态，不允许合并成一个“已获得”标记：

看见或听说： 知道可能存在，但未定位或未确认；
接触： 实际观察过实体或现象，留下有限感官记录；
持有或可访问： 拥有原件、复制件或地点权限，但可能不知道用途；
识别： 能判断载体类别、部分结构和明显危险；
解读： 能读取其中信息，但不代表理解其原理或真假；
理解： 能说明关键条件、过程、作用和风险，理解也可能仅覆盖局部；
首次做成： 在某组条件下成功一次，只登记为未确认结果；
稳定复现： 能在声明条件下重复结果，形成已验证认知；
个体适配： 能用自己的身体、工具、材料或能量可靠执行；
熟练与改良： 通过长期使用改善成本、稳定性、用途或风险；
可传授： 能把关键条件表达并指导他人完成，但受教者仍需自行理解、验证和练习。

因此，捡到锋利石片不等于会制作石器；取得完整图纸不等于会制造和维护设备；拿到魔法书不等于能够感知、供能和稳定施法；获得玉简、残卷或洞府控制权不等于读懂功法、适配经脉并完成修炼。

一个载体还必须记录完整度、真实性、版本、语言或编码、适用条件、复制误差、当前耐久、环境需求、保密权限和来源链。玩家可以拥有真原件却得出错误结论，也可以只从残片中独立推演出一条合法的新路线。

二十六、多人发现、争夺与共享规则

机缘存在于同一个持续世界，不按每名玩家生成互不影响的私人副本。同一地点可以被很多玩家先后或同时发现，其地形、入口、有限物品、设施损耗和探索痕迹由对应世界服务器权威同步。

有限实体与可重复规律必须分开处理：

一件实物、一个样本、某个原始载体或一次性环境窗口可以被取走、耗尽、损坏或占有；
可观察的自然规律不能被首位发现者永久垄断，其他玩家仍可独立发现；
原件归属不自动包含全部复制件、后来改良和独立发现；
对遗迹场所的控制来自实际占据、建设、维护和玩家制度，不来自首次点击后的永久系统绑定；
知识公开提高传播与纠错速度，也会失去独占优势；保密保留优势，也承担死亡失传、重复研究和错误长期未被发现的风险。

多人同时到达时，可以共同测绘、分工进入、轮流测试、共享拓本、按贡献分配物资、建立公共研究场所，也可以隐瞒线索、抢先搬走原件、封锁道路或发生符合该世界规则的冲突。系统不发布“争夺任务”，只执行位置、动作、伤害、权限、资产、契约和审计规则。同一原件、入口、机关、守卫和载体必须具有唯一权威状态；并发拿取、破坏、激活或夺舍只能提交一次有效结果，失败请求应得到其角色当时能够感知的现场变化，不能各自得到一份私人副本。

七个现实日的新手保护继续有效。其他玩家不得以共享机缘、带路、教学或赠送为借口抢夺、诱捕和强制使受保护角色失效。受保护角色主动进入明确高风险争夺区或主动攻击前，客户端必须显示本次行为将改变的具体保护范围、持续后果与不可逆风险，并经玩家二次确认；局部确认不能被扩大成未确认的全面失效。

二十七、四个世界的机缘路线实例

以下实例用于规定最低设计深度，不是固定任务、唯一答案或封闭内容清单。四个世界应使用各自独立的规则、数据和实现。

27.1 原始世界：捡到石片、自然火与旧洞穴

角色在洪水退去的河滩捡到一块边缘锋利的石片。它可能来自上游岩层撞裂、动物踩踏、洪水搬运或过去玩家遗落，服务端保存真实来源，角色最初只看到形状、重量、纹理和触碰反馈。

玩家可以直接拿它切割植物或食物，快速发现用途但可能割伤；用另一块石头敲击，观察断口并尝试复制；在粗糙岩面磨削，走向较慢的成形路线；把它带回营地给其他玩家观察；或只沿河追踪同类岩石的产地。后续还要经历材料比较、握持、绑缚、耐久、修刃和重复制作，才能形成石器技艺。捡到成品工具也只允许玩家使用其现有形态，不自动获得制作与维修知识。

另一条路线中，雷击点燃树林并把动物逼出巢穴。玩家可以保存余烬、观察哪些材料燃烧、收集受热改变的木石、追踪动物逃生路线，或帮助其他玩家控制蔓延。火、工具、狩猎、材料加工和群体制度因此从同一事件分叉；事件结束后没有结算宝箱。

角色还可能发现一处旧洞穴，其中有烟熏痕迹、磨损石槽、骨骼排列、朽坏纤维和过去玩家留下的刻痕。洞穴不会播放完整教学。玩家可以占为庇护所、拆取材料、复原动作、拓印符号、寻找仍在世的记录者，或误把祭祀排列当成制作步骤。潮湿、坍塌、野生生命占据和继续拆取会改变可保留的信息。

27.2 科技世界：残件、异常信号与废弃实验设施

角色捡到从事故残骸中脱落的未知模块。外壳烧蚀、接口变形，内部可能仍有电荷、污染或碎片数据。玩家可以拆取材料、先测量端口、尝试供能、隔离保存、与其他残件比对或分享坐标邀请具备不同知识的玩家。错误供能可能彻底烧毁数据；读取文件也不等于理解设计，更不等于具备材料、精度、设备和操作能力来制造它。

一段周期性弱信号可以引导玩家定位到封闭实验设施。进入可能需要恢复局部供电、绕开泄漏、修复门体、从破损处施工或等待环境压力下降。设施内只有有限仪器、样本、失败记录和不完整档案；自动安全装置属于有能源和故障状态的设施机制，不是发布任务或无限答疑的NPC。

玩家可以保留现场进行复验、拆走关键部件、公开数据、封锁区域、抢救污染样本或把实验室改建成公共设施。档案中的方案需经过格式恢复、校验、原理理解、原型制造、负载测试和地区适配后才成为可靠技术。拆解可能快速获得资源，却永久失去设备上下文；公开可能促成跨大陆协作，也会失去技术独占。

27.3 魔法世界：异常媒介、遗迹结构与魔力事件

风暴后，角色在晶化区域捡到会随声音、体温和天气改变的碎片。玩家可以直接接触、用木石金属隔离、记录鸣响节奏、带到不同环境、尝试刻痕或与不同生命形态的玩家共同观察。碎片只是魔法媒介和现象载体，不会自动授予“雷系法术”。直接引入身体可能形成感知，也可能造成魔力灼伤；保存和测量可能走向储能、符文、炼金或天气研究。

玩家依据遗迹外泄的光影和周期波动找到一处封闭施法场。入口可能依赖时间、声序、材料共鸣、空间位置或多人维持，强行破坏也可能打开另一条不稳定通道。内部的墙面结构、破损媒介、烧灼痕迹和残缺魔法书互相印证，但没有固定导师讲解完整法术。

取得魔法书后，角色仍需识别符号、感知魔力、推断动作与声音顺序、补全缺失条件、以小规模结构测试并确认代价和反制。照抄可能失败；根据自身种族与媒介修改可能形成地区版、个体版或原创法术。多人可以争夺原书，也可以分别拓印、轮流使用现场结构或共同成立玩家学派。遗迹魔力耗尽、结构被拆除、污染扩散或空间闭合后，本次入口会失效，但其中规律仍可被保存、传授或独立重新发现。

野生元素生命、龙族迁徙和魔力潮同样只提供行为与现象。玩家可以观察、避让、保护、猎取材料、尝试契约或利用余波；这些生命不得站在固定地点重复发布任务和兑换法术。

27.4 仙武世界：拾得残卷、传承洞府与灵脉异变

角色可能在山洪后的碎石中捡到半片玉简、残卷、断裂法器或刻有运行痕迹的石片。其来源可以是地层暴露、旧时代遗存、探索者遗落或死亡玩家遗产。载体可能残缺、封闭、受损、只适合特定神魂或需要特定能量读取。拿到它不显示完整功法，更不直接增加境界。

玩家可以先保存并辨识材质、冒险注入灵气、拓印可见纹路、寻找其他残片、与玩家交换解读，或依据身体反馈尝试极短的一段运行。错误方向、节奏和体质判断可能导致经脉滞涩、神魂受损或载体彻底破裂；局部试练、对照其他版本和长期验证可以降低风险。残缺部分既可能被正确补全，也可能产生暂时有效的偏功或一部可验证的新功法分支。

传承洞府不是领取功法的副本。玩家可能先从灵植分布、灵气潮汐、异兽避让、山壁风声、旧地图或他人坐标发现入口线索；再选择等待特定天象、研究阵法节点、挖掘侧路、强行破禁或与多名玩家共同维持通道。不同进入方式会改变洞府供能、内部危险、可保存记录和出口状态。

洞府内部可以包含修炼环境、壁刻、残卷、丹炉、药园、法器、阵眼、失败修炼痕迹和原创建者留下的有限记录，但不存在可无限答疑、收徒和发放任务的长老NPC。玩家可以优先抢救功法、采集灵植、研究阵法、维护洞府、取走阵眼、公开坐标或建立真实玩家宗门。取走阵眼可能得到稀有实物却导致洞府坍塌；保护现场有利于多人长期研究，却要承担维护与争夺。

获得完整记录后，角色仍需读懂概念、确认运行路径、判断自身生命结构、从小周段试练、处理功法冲突、长期修炼并完成重复验证。原样修炼、修改路线、转为炼体、只研究阵法、据此创丹方、公开传承或秘而不宣，会继续形成互相交叉的路线。洞府关闭、灵脉转移、禁制衰败和载体损坏会让具体入口失效；被玩家理解和保存的规律可以继续传承，未被保存的部分则可能失传并等待未来重新发现。

二十八、开放式因果分支与数量口径

机缘来源不是职业入口列表，也不是有限事件库。一次角色路线至少由以下维度共同决定：

路线后继状态 = 所属世界独立规律(
  机缘真实来源与当前完整状态，
  角色能否察觉及察觉到的线索，
  定位和到达方式，
  进入方式与进入时机，
  获取、保全或破坏方式，
  角色既有身体、认知与历史选择，
  理解、试验、验证和练习过程，
  参与玩家及其实际行为，
  是否争夺、共享、保密或传承，
  载体与地点之后的变化和失效
)

真实节点不固定为三选一。每个节点的可行动作数量由当时完整状态动态生成，玩家可以组合底层动作、暂缓决定、折返、错过、拒绝、请他人参与，后来也能重新解释旧记录。即使只用若干个三选一节点解释组合增长，十三次选择已经超过一百万条有序序列；实际还叠加不同节点的选择数量、来源、顺序、角色状态、操作质量、多人关系、环境和后续修正，因此单个世界的路线空间可以远超百万且不设上限。

数量统计仍必须遵守有效分支标准：发现方式不同但后续完整状态等价时，可以记录为不同经历，不得冒充两个独立能力；获取同一载体的不同玩家不等于生成多份新知识；只有身体、认知、结构、用途、条件、代价、风险、关系、环境或后续可能性发生实质变化，才计为有效状态或有效内容。

机缘系统应允许以下长期结果同时存在：

同一机缘被不同玩家走成完全不同的人生方向；
不同来源最终汇合到同一条可靠规律；
一条错误传承经多代玩家纠正，也可能继续分裂成适用条件不同的新谱系；
唯一原件永久损毁，但其部分知识通过口述、复制、建筑或实际掌握保留；
某项知识彻底失传后，后来者从自然规律中独立重新发现；
低价值捡取物因角色此前经历成为关键线索，稀有洞府则可能因完全不适配而被放弃；
玩家主动创造的设施、记录和事故成为数年后其他玩家的新机缘。

二十九、数据记录与阶段验收

每个世界需要独立记录重要机缘实例，至少包括：所属世界、来源类型、形成原因、事件或历史来源、创建与变化时间、经纬度及区域、当前环境、可见线索、发现者、进入过程、参与玩家、实体及载体状态、占有与复制记录、角色解释版本、试验参数、验证状态、伤害与代价、分享或争夺过程、传承谱系、维护、损毁、关闭和失效原因。

对角色只展示其感官和认知允许的信息；完整因果记录用于服务端演算、反作弊、事故复盘和测试，不得变成首次接触时的答案面板。

阶段验收至少覆盖：

四个世界分别存在捡取、自然现象、世界事件、野生生命、遗迹或传承地点、玩家遗产、长期劳动和主动实验等多种来源；
任取一项重要机缘，可以完整演示形成、察觉、定位、进入、获取、理解、验证、适配、争夺或共享、传承和失效；
同一机缘由具有不同身体、知识和历史选择的角色处理时，产生可解释的不同结果，不按职业标签随机发奖；
获得实物、图纸、魔法书、玉简或洞府权限后，角色不会自动获得对应能力；
一次偶然成功只形成线索，稳定复现、个人适配和长期熟练分别结算；
两组玩家能够共享同一现场并永久改变其状态，不为各自复制互不影响的私人机缘；
有限原件可以争夺和损毁，自然规律可以通过其他来源独立发现，知识能够完整、残缺或错误传承；
遗迹守卫、自动装置、野生生命和事件实体不会提供固定商店、任务、职业教学或无限服务；
机缘的位置线索和经纬度分享只帮助定位，玩家仍需真实移动并完成跨区加载；
机缘关闭、载体衰减、组织灭亡和掌握者主体彻底死亡可以造成真实失传，同时保留符合规则的重新发现路径；
日志能够解释机缘为何出现、玩家为何得到当前结果、哪一步造成损坏或分支，并能区分不同经历、有效角色状态、独立能力和原创能力；
内容测试证明普通捡取、长期劳动和观察同样能通向深度路线，传承洞府和稀有事件不是成长所必需的唯一入口；
抽样机缘的可行动作数量随角色状态和现场条件变化，不得把所有机缘强制实现为三个按钮；等待、观察、撤退和底层动作组合能够产生有效后果；
至少一处高风险传承可完整演示进入、闯关、战斗、取舍、读取与撤离，胜负及死亡由可操作状态结算；存在夺舍风险时，必须有可感知征兆、极苛刻且不可跳过的资格条件、连续多阶段操作型对抗和完整因果日志，并证明“条件满足但发起者操作失败”和“防守者凭准备及操作成功反制”都能按真实输入发生；
仅在所属世界实际支持灵魂、载体转换或夺舍时，分别测试普通肉身死亡后成功留魂、灵魂被束缚、最终接管前弃体保魂、多人争夺同一肉身和完全夺舍成功：前两种状态由原玩家继续操纵实际存续的灵魂并可等待、求援、争取载体转换或主动消散；最终接管成功则受害主体立即彻底死亡且不能留魂，只有发起者获得目标肉身操纵权；不支持这些机制的世界不得为通过通用验收而补建能力，其中原始世界必须证明相关状态不可达、伪造请求被拒绝；任何用例都不得出现双重操纵、状态复制或永久无输入软锁；
断线、重连、跨分区和并发请求不能复制原件、身体或成果；在实际支持灵魂或夺舍的世界还不能复制灵魂、替玩家作出高风险选择，或利用断线清除已经形成的夺舍后果；所有世界都不能利用断线清除已经形成的闯关与战斗后果；
同一机缘在察觉、获取、解读、试验、练习、原创验证和传授各阶段发生安全登出、异常断线、世界切换与其他玩家介入后，世界事实继续且角色只保留真实完成部分；恢复不会重置有限资源、自动补齐知识或重复登记成果。

本章只规定机缘和遭遇必须具备的来源广度、因果深度与传承规则，不为四个世界设置有限的机缘清单。正式运营后，玩家行为、世界历史、生态变化、知识兴衰和原创内容应持续成为新的机缘来源，使每个世界的路线数量随着真实选择继续增长，而不是在预制内容被找完后停止。

本章定义总产品对婚姻、生命、血缘、年龄、寿命、儿童、继承与匹配的边界和验收不变量，不是四个世界共用的玩法底层。各世界必须按自己的生命规律分别写全并独立实现、部署、扩容和验收。

三十、婚姻与家庭关系

婚姻只能由主体心智阶段和当前身体或等价载体都达到所属世界成年条件的真实玩家角色建立。双方必须明确发起和分别确认；婚姻同意不等于对孕育、财产处分、坐标共享、身体使用或夺舍的永久同意。系统只登记关系、时间、世界、双方稳定主体身份、财产约定和后续变更，不要求NPC主持，也不因结婚自动授予属性、技能、职业、传送、精确坐标或控制对方角色的权限。

普通人类新玩家进入时不超过10个世界年，因此不能在创建角色后立即结婚，必须在持续世界中实际成长到18个世界年才取得婚姻资格。特殊种族按自身生命周期表定义初始年龄上限和成年年龄，不能套用人类数字；主体夺舍、寄存或转生到未成年载体后，也不得利用原主体年龄绕过当前载体的婚姻门槛。孕育不得复用婚姻或年龄标签作为硬门槛，只校验当前身体或等价载体是否已经真实形成该过程所需的成熟生理结构，以及当次同意、资源、环境和健康条件。已经由玩家取得操纵权的未成年角色使用与成年角色相同的移动、探索、学习、劳动、生产、建造、交易、持有财产、组织参与、照料、救援、监护、收养、战斗、受伤、拘束、事故和永久死亡规则；照料、临时监护与收养资格应依据真实接触、身体可操作性、持续供给、住所、照料记录、风险和承担责任能力逐项判断，不得只因角色年龄拒绝。七个现实日新手保护结束后，系统不得仅因角色未成年继续给予额外无敌、免伤或无风险退出。

角色在世界内成年只代表角色具备婚姻资格，不自动证明当前身体具备任何具体孕育结构，也不证明账号背后的现实用户已经成年。手机号验证码或邮箱登录也不构成现实年龄验证；发行与账号层必须另行满足目标地区的年龄分级、未成年人保护、隐私和监护要求，且不能把现实身份资料写入四个世界的亲缘、婚姻或角色数据。

默认同一角色主体同一时间只能登记一段有效婚姻。解除婚姻、配偶主体彻底死亡、失踪状态、共同财产和监护变化均需留下记录；肉身死亡但主体以灵魂或其他载体存续时，不自动解除婚姻，夺舍者也不会继承被夺舍主体的配偶关系。具体仪式、称谓、家庭制度和社会认可可以由玩家文化形成。婚姻关系不能成为绕过四世界隔离、单角色操控、新手保护和永久死亡的接口。

婚姻建立采用所属世界内唯一的申请编号和条款版本。发起只产生有期限的待确认关系，另一方离线、断线或不操作不视为同意；双方对同一版本确认且服务端再次校验主体、载体成年状态和现有婚姻后，才原子登记一次。任一方确认前取消、超时、主体彻底死亡、最终被夺舍或不再符合条件时申请失效，不产生婚姻、财产或亲缘；重复点击和重连只能返回同一申请结果。

离婚不能成为永久软锁。双方可以协商解除；一方失踪、长期离线、灵魂被束缚或拒绝响应时，另一方仍可按所属世界预先公布的通知期完成单方解除，主体彻底死亡则按死亡时间关闭婚姻状态。离婚只终止之后的配偶关系，不删除已有孩子、真实孕育、历史亲缘和已经独立成立的合同。共同财产以离婚生效时的唯一快照和婚前约定处理；在途交易、组织资产、担保与争议只冻结相关项目，不能靠离婚复制资产，也不能由NPC代为经营或裁判。

婚姻和孕育必须校验所属世界自己的亲缘来源图。直系来源关系、同一父母或等价来源下的兄弟姐妹关系，以及仍有效的监护人与未成年被监护人关系，均不得建立婚姻或共同孕育；多父母、分化、克隆、核心拆分、寄体和换体等非传统生命形态必须在各世界规则表中给出等价亲等，不能借更换身体、隐瞒身份或使用不同称谓绕过。校验只返回允许或拒绝及角色已经有权知道的理由，不泄露其尚未发现的亲属身份和坐标。关系在孕育开始后才被可靠确认时，保留已经发生的生命和历史，但禁止新的不合规孕育并按世界规则处理当前事务，不回滚、复制或删除孩子。

三十一、子女出生与未开智生命状态

符合所属世界生命规律的玩家可以依据独立规则产生子女，不要求参与者先结婚，也不以角色年龄标签直接放行或拒绝。所有由真实玩家控制且实际参与孕育或提供当前身体、载体或生殖材料的主体，都必须对本次过程单独确认；婚姻登记、旧有同意或占有他人肉身不能代替本次同意。生育不是点击后立即领取角色或奖励，必须计算当前身体或等价载体是否真实具备该过程所需的成熟生理结构、生命形态兼容、孕育或等价形成过程、时间、身体状态、营养或能源、环境、照料、疾病、事故和世界专属代价。四个世界可以分别采用生育、孵化、培育、核心分裂、灵性孕育或其他符合该世界的方式，但不能互相调用生命系统。

每次孕育从申请、各方确认、条件校验、实际开始、形成独立生命、成长到出生分别记录同一个孕育事务编号。重复确认、断线重连、跨区交接和服务重启不得多扣资源或形成多个孩子；条件只在申请时满足不够，关键阶段仍按实时身体、环境、资源和玩家操作演算。安全登出、离线、失踪和跨世界切换不暂停所属世界的孕育时间，也不让系统替玩家补充照料、治疗或正确操作。

离婚、配偶失踪或婚姻随后失效不删除已经真实开始的孕育。孕育状态跟随实际承载它的身体、蛋、培养设施、核心或其他世界专属载体，不随主体灵魂逃离、寄存或换身体自动转移；承载体受伤、死亡、断能、跨区或被最终夺舍时，孕育可依据可观察状态继续、受损、被救援或终止，但不得复制到新旧载体两边。最终夺舍者不会因此成为既有孩子的父母，也不能改写形成时的来源与亲缘；已有独立生命编号的孩子即使在父母离婚、失踪或主体彻底死亡后仍保持自己的生命和继承资格。

出生是一次独立的权威提交：只有达到世界规则定义的出生条件时，才把孕育中的唯一主体切换到出生阶段并生成一次当前位置、身体与监护记录。分区边界、迁移、重复回调和客户端断线只能由一个分区提交出生；失败恢复必须返回同一孩子编号，不能重新抽取种族、特征、父母或数量。没有真实玩家照料时，出生后的孩子只进入未开智依赖生命状态，不由系统生成医生、接生者、食物或住所补位。

每个孩子从形成开始拥有唯一且永不复用的角色主体编号，并为每个身体、灵魂或等价载体另设载体编号，记录所属世界、生命形态、形成与出生时间、经纬度、生物学父母或等价来源、法定监护关系、身体结构、遗传或传承特征、成长阶段、健康、自然寿命类别、当前操纵权和完整事件历史。亲子关系绑定稳定主体及真实来源链，一经形成便永久保留；孩子失踪、远行、被新玩家承接、改名、换身体、父母离婚或父母主体彻底死亡都不得删除或转移该历史记录。孩子被最终夺舍时其主体立即彻底死亡，亲缘转为死亡亲属记录；夺舍者不会因此成为原父母的孩子，也不取得原孩子的亲缘权利。

在没有新玩家承接前，孩子是本需求明确允许的“未开智依赖型生命实体”。它属于必要生命循环，不属于功能型NPC，但必须遵守以下边界：

只有与当前成长阶段相符的进食、表达需求、跟随、躲避、睡眠、抓握、简单模仿、有限移动和本能求生行为；年龄增长可以改变动作表现，但不能形成自主规划与社会职业；
不会生产、采集、经营、交易、教学、治病、发布任务、管理组织、担任守卫或补足玩家职业；
不会自动学习父母的技能、功法、魔法、科技、语言和社会身份，也不会为家庭产生无限资源，不接受让监护玩家逐项指挥生产或战斗的命令；
需要真实玩家提供食物、庇护、医疗、陪伴、运输和保护，照料缺失会产生有因果的成长与健康后果；
玩家附近以完整实体模拟，远离玩家时采用所属分区的低精度成长和风险结算，重新进入同步范围后恢复高精度状态；
未开智状态不是永久免死或无风险状态，孩子可能因疾病、事故、灾害、生态捕食和长期无人照料发生肉身死亡；所属世界存在灵魂延续时继续按主体与载体规则结算。任何彻底死亡都不得因无征兆的隐藏抽签突然发生。

孩子出生数量由真实孕育周期、父母身体、照料能力、资源、居住环境和所属世界生命规律约束，不通过每日奖励或账号批量生成。未被玩家承接的孩子无论实际年龄多大，都不能结婚、孕育后代、建立组织、独立经营产业或递归形成NPC人口社会。服务器还必须设置分区实体预算和聚合模拟方案，避免大量未承接孩子拖垮世界；性能限制不得暗中把孩子复制、重置、停止年龄推进或无因果删除。

被玩家承接的孩子随权威世界时间成长，达到成年只新增该主体的婚姻资格，不自动授予或限制职业、技能、知识、合同、交易、财产控制、组织参与、职位或“成年奖励”。孕育资格始终另按当前身体或等价载体是否真实具备该过程所需的成熟生理结构及实时条件判断，不因成年事件自动取得。未承接孩子即使身体年龄达到成年，也继续遵守未开智边界，只有承接完成后才可由玩家独立历练。

三十二、失散、被带走与独立远行

孩子可以留在家庭附近，也可以因真实事件失散或在可独立行动后离开。来源包括洪水冲散、风暴或海难、地震和坍塌、迁徙混乱、野生动物叼走或搬运、交通事故、撤离错误、洞穴或同世界空间通道、其他玩家救援转移，以及达到相应阶段后主动离开。任何方式都只能在所属世界内移动，绝不能借失散进入其他三个世界。

“被老虎叼走”不是预设必播动画。捕食者必须先处在对应生态区域，实际发现孩子，并依据饥饿、护卫、距离、遮挡、负重、伤势和玩家动作作出行为；父母或其他玩家可以驱赶、追踪、救援、阻断路线或失败。洪水同样必须由降水、水位、地形、建筑和角色位置形成，孩子的漂流路径、受伤、抓附、搁浅和最终位置由真实状态演算。

每次失散至少保存前兆、起因、发生坐标、移动路径、参与实体、玩家操作、遗留痕迹、最后可靠信息、当前实际位置和结果。系统不得为了把孩子分配给新玩家而无原因传送；远距离首次接管必须有可追溯的搬运、漂流、迁徙、救援或通道经过。监护人故意制造洪水暴露、放任捕食、反复搬运或伪造失踪来定向安排承接账号，按伤害儿童和匹配操纵处理，不能成为合法“机缘”。

亲子关系在距离很远时仍存在，但父母不会自动获得孩子的实时精确经纬度。父母可以依据足迹、气味、物品、道路、目击记录、信号、玩家消息、血缘检测或各世界独有方法寻找；信息可能迟延、残缺或错误。后台知道真实关系和位置，不等于角色界面直接获得答案。

未被玩家承接的孩子不能真正“外出历练”并自动积累职业能力。它只能进行有限生存和移动；只有被新玩家接管后，离家探索、学习、战斗、经营和形成职业路线才由玩家实际操作。

离线时继续按所属世界已经定义并锁定版本的权威规则结算。孩子处于已验证安全住所并有足够供给时，不得只因监护玩家离线便触发无法防范的失踪或永久死亡；持续中的洪水、火灾、疾病或照料断绝可以继续演算，但必须已有可观察风险、合理预防方式、日志和救援窗口。

三十三、新玩家承接既有孩子

出生剧情与地理偏好

新玩家可以提出出生范围，所属世界在不改写既有家庭事实的前提下，用可成立的真实事件发展到该范围。可以承接已经经历失散到达的孩子，也可以进入尚未完成的剧情意向等待；不可把目标坐标先写进实体，再补一段从未发生的CG。所有旅程都有世界独立的事件编号、前置、起点、承载物、路径、速度、耗时、资源、伤病、监护干预、迁移提交及终态；不新建共享剧情或家庭服务。

故事编排只申请满足真实环境、生态、设施与权限条件的事件，不凭空制造洪水、捕食者、车辆、救援NPC或空间通道，不强制父母交出孩子，也不替未开智孩子规划长途历练。现场玩家可以预防、阻止或改变事件；新玩家不能选择受害家庭、触发灾害或远程操纵孩子。意向匹配、候选租约及反浏览限制仍生效，不能用连续坐标申请轮换家庭。

待事件或在途阶段只持有有公开上限的意向，未取得主体控制，不启动加点授予、寿命基线或新手保护；限时结束即释放意向，世界中的事件与孩子继续真实演变。实际抵达后才检查年龄、存活、身体、安全、容量和候选排他性，并复核完整加点和确认版本；被救回、偏航、受伤、超龄、死亡或终点不可用时废止旧交付结果。玩家可看到不泄露家庭的状态与预估等待，可取消、重选、接受安全现址或明确改走系统新生，不能静默换孩子或把不合格身体强行交付。

世界时间不为剧情快进或暂停；CG可剪辑已经发生的长途经历，尚未发生的行程仍须等待本世界的真实交通过程。取消只撤销意向和未消费预留，不倒带孩子、退还已耗物资或取消已经发生的灾害；断线与跨区只恢复同一旅程。孩子的亲缘、历史和资产保持连续，沿途未被有效感知的区域不因CG自动点亮。验收须覆盖现址匹配、真实到达、无路径、家长救回、途中死亡、取消、超时和并发跨区，不能以一段过渡动画代替事件账本。

新玩家的固定入口保持为：在同一款《余世》应用内通过手机号验证码或邮箱登录，选择世界，选择种族或基础生命形态，完成一次完整初始属性加点，再进入所属世界的位置流程，确认角色，播放该角色CG，最终一次提交后在对应真实位置获得控制。位置流程中，系统新生和接替孩子的新玩家都使用可旋转缩放的3D球形地图选择出生范围或跳过。系统新生按合法来源与点位创建；既有孩子匹配已在范围的合法现址，或经真实失散、事故、漂流、救援搬运及本世界合法通道实际抵达，再完成安全复检与承接。范围偏好可以引导符合条件的剧情编排，但不能直接修改孩子坐标或强制他人的孩子遭灾；没有可行路径时明确等待、重选、接受合法现址或另行确认系统新生。属性草案只保存在所属世界服务，不写入账号入口，也不提前改变世界实体；出生服务须按已校验的属性方案与实时身体状态预留合法形成来源及安全初始点，或建立公平候选租约。服务端应在角色确认前临时锁定候选并只披露作出知情确认所必需的年龄、当前可感知外观、可操作性、永久身体状态与必要位置情况；不得披露家庭财富、遗产、精确亲缘身份、隐藏属性或候选列表。玩家不接受已披露的永久状态时可以在个性化CG开始前取消，候选安全释放且不占角色名额；确认并开始CG时则建立不占角色名额、有公开期限和反刷冷却的入口承诺，绑定当前世界作用域主体槽 world_subject_id、生命形态、完整属性方案及版本、候选编号或系统草案种子，承诺未终止时及终止后的冷却内，不能借候选取消、租约超时、断线和重新申请轮换浏览候选、环境与机缘线索。玩家明确放弃或最长承诺期限到期即显式终止并回到无角色，同时释放未消费预留且旧确认永久失效；首次终止按建立承诺时已公开锁定的时长写入固定冷却截止，重复请求不重算。冷却结束即可开始唯一新承诺和新的完整加点，无需继续等待旧承诺最长期限，不能形成永久软锁。

孩子进入承接池必须同时满足：角色主体和可操控载体仍然存续、从未绑定任何世界作用域主体槽、当前没有其他主体占用或争夺其载体、生命形态与玩家所选种族一致、身体状态达到该种族最低直接操控阶段、普通人类实际年龄不超过10岁、当前不处于无法操作的即时死亡或夺舍过程，并且能在实际交接位置通过初始点安全校验。剧情在途只进入独立的有限期意向队列，不冒充可立即交付的安全候选；只有真实抵达后满足资格才进入最终承接池。安全校验至少验证可离开、基础资源、当前灾害、敌对占据、封闭权限和短时间可响应风险；不能把困在他人锁闭建筑、正在漂流、正被捕食或只能依靠特定监护人才能存活的孩子交给新玩家。

低于最低可操控年龄的孩子继续作为依赖生命成长；超过10岁仍未承接的普通人类不再分配给新玩家，继续保持未开智、无繁殖能力且无社会职能的世界生命，直到按照世界状态发生主体延续或彻底死亡。仅有灵魂而没有普通入口支持的安全可操控载体时，不得放入普通承接池；某世界要允许新玩家直接承接灵魂状态，必须在该世界独立需求中另行定义初始操作、风险披露和寿命规则，且仍不得超过对应初始生命阶段。

分配应在足够大的有效候选集合中采用可审计的公平规则。父母不能指定现实中的某个账号承接，也不能通过付费、组队、好友关系、共享坐标、稀有种族筛选或刻意清空某区域候选来锁定孩子；新玩家不能浏览富裕家庭、血脉、遗产和隐藏属性挑选孩子。独立世界需求必须锁定可测量的最小候选数量、地理离散度和单一候选命中概率上限；候选数量或分布不满足阈值时，应尝试按本世界已经定义的形成方式、出生预算和安全流程建立符合所选生命形态初始阶段的新角色，其中普通人类年龄不超过10岁且达到最低可操控阶段，特殊种族处于各自幼年或初始可操控阶段。不能用唯一候选完成可预测配对；只有系统新生所需来源、预算、安全点、容量或服务也不满足时，才进入不提前生成实体的排队或重选。

候选的临时锁定、退出和再次申请必须有短期去重、频率限制和审计。各世界自己的接入与风控服务应识别关联账号异常并发、同设备轮换、重复婚育—死亡—承接、坐标集中准备和承接后立即输送遗产等组合信号，必要时冻结匹配或资产处置并进入复核；风险数据按最小必要范围和明确期限保留，不得借此共享四个世界的亲缘、坐标或资产。任何处罚必须基于多项可解释证据并提供申诉，不能仅凭家庭共用设备、同一网络或一次正常赠予判定作弊。

候选锁只有分配排他作用，只以已认证的 world_subject_id、本世界设备会话和入口请求作为临时租约持有人，不建立该主体槽与孩子角色主体的永久绑定；它不停止未开智行为，也不冻结孩子的年龄、健康、位置、环境风险、父母救援或分区迁移。每个锁具有请求编号、创建时间、明确有效期和断线宽限期；CG开始前取消、超时、本世界会话退出或候选彻底死亡后必须幂等释放。CG开始后租约到期仍要释放孩子，避免长期占用，但该 world_subject_id 的入口承诺在尚未显式终止且未达最长承诺期限时仍有效：原孩子仍合法可得时只可重新取得同一候选，已经被承接、死亡、超龄或永久失效时只可在玩家明确同意后转为同生命形态、同一后备种子的系统新生，不能再抽取另一名既有孩子。玩家明确放弃或最长承诺期限到期即提交显式终止，立即释放未消费预留并永久废止旧确认；反刷冷却从首次终止按既定时长一次写入固定截止，不能因重复请求或断线重算。冷却期不保留可提交的旧承诺，也不能重新锁定候选；冷却结束即可建立唯一新尝试，不再等待旧承诺原最长期限。历史候选指纹仅在公开去重期限内阻止重复展示。锁定期间孩子仍可能因已有因果移动、受伤或死亡，因此系统不能提前授予寿命基线、保护、遗产权限或玩家角色名额，也不能把锁本身展示给父母用于配对。

同一世界内，系统新生与承接既有孩子的新玩家都必须获得一次完整的初始属性分配，不以孩子已形成属性或剩余未定潜力扣减点数，也不允许把某个孩子降为零点只读角色。实施数值按 DESIGN_BASELINE_V1 定义：五项基础属性各为3至7的整数、合计25点；所属生命形态修正每项为 -1、0 或 +1，五项修正之和为0，修正后分配层各项为2至8。属性名称、修正表、效果曲线及实现分别归属目标世界，不构成共用玩法服务；25点是该角色主体首次开智时独立分配层的完整总额，不是再给孩子已有五项属性各自叠加或额外增加25点。这些具体数值是新设计基线，须实现和验证后才能宣称平衡成立。

既有孩子的身体、遗传或制造特征、真实成长、父母、出生史、年龄、伤病、亲缘、事件及位置全部保留，并作为身体和状态层继续影响实际能力；加点不修复伤势、重塑载体、赠送知识或覆盖既往后果。分配层的2至8范围不要求伤病后的实际能力也保持在该范围，身体限制须在最终安全校验中真实生效。性别、体型和外观选择只能匹配兼容候选；找不到兼容候选时只能按有真实来源的系统新生流程或排队处理，不能重塑既有身体。候选若有永久性状态，必须在确认角色前以不泄露隐藏机缘的方式提示；会导致无法完成基础操作的候选不得进入普通承接池。

个性化CG开始前，角色确认只是可撤销的完整方案与披露确认；返回修改属性、生命形态或出生范围时，必须废止旧确认、旧安全校验和受影响预留，重新校验后才能继续。玩家确认并开始个性化CG时才建立入口承诺，固定本次候选、生命形态、完整25点方案及版本、CG快照、系统新生草案种子或一次生成的后备种子，不等于已经承接。CG播放中候选继续按世界变化；中断后在候选锁有效期内恢复同一次CG，超过候选宽限期则释放锁且不产生角色，单独的候选租约到期不终止仍有效的入口承诺；玩家明确放弃或最长承诺期限到期则必须终止。CG结束前服务端再次校验候选存续、年龄、占用、属性方案、当前位置与安全；伤病、位置、载体和永久状态重大变化必须废止旧披露并再次确认，不解锁已承诺的加点和生命形态。玩家拒绝变化、候选死亡或不再合格时，结束该候选申请；只有玩家明确同意才可转为同生命形态、同一后备种子的系统新生，否则等待或退出，不能静默换来源或另抽孩子。仍有效承诺内的重试、排队、断线、候选租约到期、重播CG和回退均保留原完整25点方案，既不重发也不扣减；位置复检只更新同一来源的真实落点与安全披露，不能用重新点地图轮换候选或预览新机缘。确需重新加点、改种族或选择另一来源时，玩家可随时明确放弃当前入口承诺；明确放弃或到达最长承诺期限时，服务端即显式提交唯一终止事务，原子释放未消费预留、永久废止全部旧确认和可提交草案，旧请求只能返回终止结果。首次终止事务按承诺建立时已经公开锁定的反刷冷却时长，一次写入固定冷却截止 cooldown_until；重复终止、断线、重连或服务恢复均不重算或延长。冷却结束后即可建立唯一新尝试、重新选择生命形态并完整分配25点，无需另等已经终止的旧承诺最长时限。尚未最终创建或承接就没有消费首次完整加点资格，新尝试仍可完整分配25点，不得并行保留草案或因失败变成零点角色。

最终承接才是单次服务器事务：在事务内再次比较候选租约、候选状态版本、完整属性方案及草案版本、安全与分区容量，全部仍成立后才消费租约、把 world_subject_id 主体槽绑定到该角色主体、关闭未开智行为控制、建立唯一玩家操纵权、以目标世界独立且对该角色主体唯一的初始属性授予编号提交完整分配层与初始认知、授予一次寿命基线、启动七个现实日新手保护并写入审计记录。系统新生成角色也只在最终创建事务中消费仍有效的创建草案，并重新校验初始点、安全、资源条件和分区容量后，形成世界中的唯一角色主体并一次提交自己的完整初始属性授予；创建草案在此之前不属于世界实体，取消、过期或复检失败不得留下属性授予、角色名额、寿命、保护或可继承资产。并发承接、夺舍、迁移、出生和死亡结算不得让两个 world_subject_id 得到同一孩子或同一载体；最终提交的重复请求只能返回同一主体和同一属性授予结果，失败必须回到未提交状态或同一已提交状态，不能留下半NPC、半玩家。CG重播、重连、换设备、换体、寄存、转生或夺舍都不重发初始点数，也不继承受害主体的初始分配层。承接后，该角色主体是此主体槽在本次生命中的唯一有效角色；以后即使转换肉身、灵魂或寄存载体，仍是同一角色主体，父母和其他玩家均不能召回、切换、解绑或代替操作。

出生CG必须依据孩子真实经历生成：可以表现家庭中的出生与成长、洪水冲散、被野生动物带离、被其他玩家救援或在远方醒来，但不能把未承接阶段编造成孩子主动离家历练，也不能编造数据库中没有发生的经历。CG只能展示该角色当时能够感知、记住或合理回想的部分，不能泄露后台精确亲缘、隐藏参与者、机缘答案或不可定位对象的实时坐标。CG结尾必须按最终校验更新到该实体当时的真实经纬度与可感知状态；跨分区经历使用已有过渡记录，不借CG传送。最终控制权交接后，玩家可以把主动离家作为自己的第一个实际操作，客户端可用短镜头衔接该操作，但该镜头属于已经提交的玩家行为而不是伪造历史。若变化使原CG结尾失真，必须追加真实过渡或重新生成受影响部分，不能用旧动画覆盖世界事实。

七个现实日新手保护只在最终承接事务提交、玩家第一次获得控制权时开始。该时长固定为168个现实小时，在正式时间比例下等于84个世界日；它独立于角色年龄，但保护期间的年龄、成长与剩余寿命仍按权威290日世界历实际流逝。候选锁和CG播放不消耗保护时间，也不使未承接孩子免于原本存在的自然风险；候选进入可立即交付的承接池前必须处于可暂时生存的位置；在途剧情意向不免除自然风险，也不能提前取得操纵权。保护可以阻止其他玩家直接或间接侵害，却不删除角色此前已经发生的亲缘、身体和世界历史。

同一 world_subject_id 绑定的原角色主体彻底死亡后，其新角色不得被分配为原角色的子女、后代、继承人或已经指定的受益人，防止用血缘承接绕过永久死亡和新角色不继承旧角色的原则。肉身死亡但原角色主体仍以灵魂或其他载体存续时，不开放该主体槽的新角色创建名额。所属世界还必须在不取得手机号、邮箱或全局账号主键的前提下检查可解释的关联入口主体与资产路径风险；只限制同一 world_subject_id 不足以应对批量凭据、设备轮换或同伙定向承接。

本章所称“建立唯一玩家操纵权”，在首次入口协议中固定指把票据消费时已经唯一签发的租约从 ENTRY_ONLY 原子切换为 PLAY_CONTROL；最终承接不得再次递增 control_epoch、更换租约ID或签发第二份租约。候选租约和创建草案不是控制租约，也不能被升级为另一条并行输入权。

三十四、年龄、自然寿命与延寿

普通人类玩家首次进入世界并获得控制时，当前身体实际年龄不得超过10个世界年。为了保证公平，同一世界内所有普通人类新角色主体在首次玩家接管时各自只获得一次固定的100个世界年自然剩余寿命基线，不因接管年龄是6、8或10个世界年而减少；原角色彻底死亡后，同一 world_subject_id 新建的是另一个角色主体，该新主体才有自己的一次首次基线。实际年龄、主体持续时间、肉身剩余寿命和灵魂或其他载体稳定度分别记录，因此不同接管年龄可能对应不同的自然肉身死亡年龄；承接退出重试、换设备、断线、肉身更换、夺舍、寄存和转生都不能让同一角色主体再次领取该基线。

既有孩子在承接前已经发生的永久伤病、器官或载体衰退、已实际生效的延寿以及寿命缩减全部保留，并在最终确认前以不泄露隐藏原因的方式披露。首次控制后的可结算自然剩余寿命按“该生命形态统一首次基线 + 承接前已生效延寿修正 - 承接前已生效寿命缩减”初始化；永久伤病若按所属世界规则另有持续死亡风险，继续单独结算，不能被基线覆盖。每条承接前修正只允许落账一次，最终交接、重连、换设备、迁移、换体和规则重放既不能抹掉，也不能重复叠加；CG期间修正发生变化时必须作废旧披露并重新确认。系统新生没有承接前修正，只使用其形成批次已经真实产生且已披露的身体状态。

自然剩余寿命不是存活保证。饥饿、疾病、伤势、战斗、事故、修炼或施法反噬、设备故障和其他合理原因仍可使肉身提前死亡；若灵魂或等价主体载体仍存续，则角色尚未彻底死亡。自然剩余寿命只规定当前身体在没有额外伤害和延寿时何时到达衰老终点，不是主体可以通过换身体复制或累加的通用数值。

年龄和寿命统一按所属世界的权威290日世界历推进：1个完整世界日固定等于2现实小时，290个世界日固定构成1个实际世界年。玩家离线、跨区、客户端切换和普通维护不暂停，也不存在独立于日历的生理年龄倍率。服务端必须记录角色主体编号、基线授予时间、世界日序、承接前修正明细、授予后的已消耗量、后续延寿变化和载体转换；计划性历法调整不得追溯吞掉或凭空增加某一批角色的剩余寿命。未受其他修正时，100个世界年等于29,000个世界日、58,000个现实小时，约6.62个现实年；1,000个世界年约66.21个现实年。普通人类从10个世界年成长至18个世界年实际需要4,640个现实小时，约193.33个现实日；从6个世界年成长至18个世界年实际需要6,960个现实小时，即290个现实日。特殊生命按各自表格计算后可能需要多个现实年才成熟，这是当前实际历法的明确设计结果，客户端和服务端不得为了提前成年、结婚或进入某条路线而另设加速、跳龄、挂机折算或付费缩短。界面可以只显示角色能够合理判断的年龄阶段和寿命估计，但后台结算必须精确、同条件公平且可审计。

特殊种族和非人类生命按各自生理、结构或等价存续规律拥有不同的初始年龄上限、成年阶段、衰老方式和自然剩余寿命基线。同一世界、同一叶级生命形态的新玩家获得相同基线，差异只能来自已经披露的种族规则、承接前真实修正和后续行为。魔法世界精灵首次接管时实际年龄不超过100个世界年，并统一取得1,000个世界年的自然剩余寿命基线，不因实际接管年龄提前扣除。其他特殊生命须沿相同口径，在各自独立需求中依据形成、成熟速度、身体耐久、维护条件和种族特性给出一个明确的初始年龄上限与固定剩余寿命数字；不得只写“长寿”“短寿”或区间后在创建时暗抽。对不按生物年龄成长的生命，界面同时显示形成时间、可理解的发展阶段及对应耐久或稳定寿命。

四个世界都可以存在延长寿命的物品、环境、方法和能力，但必须独立实现并符合本世界规律。延寿效果至少记录来源、适用生命、前置条件、实际增加量或衰老变化、使用次数、累积影响、冲突、失败、代价、副作用和可验证依据。延寿物只提供可能性，不得由登录奖励随机发放，也不得仅凭名称或稀有度直接增加寿命。

多次延寿可以因个体适配、重复使用、身体负担、材料差异和方法冲突产生不同结果。玩家可以研究、保密、交易、抢救、改良或创造新的延寿路线；服务器只承认在所属世界受支持规则内产生且可复现的效果。意识备份、灵魂体、附身、夺舍、寄存、转生等主体延续方式与延长当前身体寿命分别记账，不能混为一个剩余寿命数值。夺取较年轻肉身只获得该肉身已经真实剩余的生理时间，不恢复首次接管基线，也不抹除夺舍主体自身的灵魂损耗、冷却和代价。

三十五、亲子识别、监护与重逢

后台永久区分稳定角色主体、当前身体或其他载体、生物学或等价来源关系、法定亲子关系、监护关系、玩家实际认知和社会称谓。被其他玩家救援、照料、夺舍或提供新载体不会篡改原始血缘；符合世界制度的收养可以增加法定关系，但必须保留原来源链。换身体只更新当前载体关系，不转移主体已有的父母、子女、婚姻和监护身份。

孩子被新玩家承接后是独立玩家，不是父母的附属角色。父母可以寻找、交流、照料、教学、赠予、邀请回家或发生冲突，但不能查看其私密界面、强制组队、替其操作、限制下线、支配其灵魂或取得其精确坐标。孩子也可拒绝相认、只接受部分信息、独立生活或建立自己的家庭。孩子身体被最终夺舍时，父母不会自动获得夺舍者位置或控制权，原孩子主体直接彻底死亡并保留为死亡亲属；若孩子在最终接管前已经实际弃体保魂，则亲子关系继续指向仍存续的原主体，而占用空置肉身者不取得该关系。

亲缘事实与角色是否知道该事实分开。明显共同生活、可靠记录、见证者或世界专属检测可以提高确认程度；失散幼年角色可能只拥有模糊感官和物品线索。系统关系页只能显示角色已经合理确认的信息，后台真实关系用于防止错误绑定、计算继承和审计，不直接泄露远方位置。

全部合法监护人死亡、失去主体资格、被长期束缚或超过公开失联期限时，孩子进入有明确时限的紧急照料状态，而不是生成NPC监护人或立即判定失踪、收养和死亡。所属世界只延续孩子已有住所、库存、自动设施和年龄允许的有限本能，不凭空补给；已经取得操纵权、实际接触孩子并完成救援、供给和安全安置的玩家可申请临时监护，服务端依据其真实身体能力、资源、住所、路径、照料记录与风险逐项校验，不以未成年状态单独拒绝。临时监护按唯一申请、亲缘与现有监护通知、照料证据、并发排序、权限清单、复核期限和终止条件提交，只授予必要搬运、医疗、住所和限额照料支出权限，不授予孩子操纵权、全部财产权、实时定位权或当然收养资格。原监护人恢复、合法收养生效、孩子被玩家承接并具备自主管理条件、临时监护人失格或期限届满时必须原子终止或重新裁定；无人救援时仍按已有供给、环境与可预见危险继续演算，不得无限冻结，也不得因后台无人响应直接处决。

三十六、父母死亡与子女均分遗产

任一父母角色进入主体彻底死亡候选时，以唯一死亡编号记录资格与资产冻结点 D；确认并提交死亡最终性 DEATH_FINAL 的权威点为 F，提交唯一继承快照 ESTATE_SNAPSHOT_COMMITTED 的权威点为 S。三者属于同一死亡事务且逻辑顺序为 D -> F -> S，不是消息到达时间；同一原子交接中形成D与F时也须保存该逻辑先后。D冻结个人既有资产、在途权利及直接孩子的资格范围，分离配偶、组织、托管对象与其他共有人份额；自动完整性检查与有明确上限的技术复核通过后才提交F，F之后结清只以遗产为限、在D前真实成立的有效负担，并按已锁定规则处理实际必要的保全与结算费用，最后建立S。F与S成功前不得释放角色名额。普通肉身死亡后成功留魂、灵魂被束缚、寄存、失联，或作为夺舍发起者成功完成载体转换时，主体仍存续，不得进入彻底死亡候选；作为夺舍受害者被最终接管时立即失去全部控制和普通存续出口，并进入同一死亡最终性流程。玩家确认主动消散并终结最后主体状态后同样进入该流程。孩子不自动承担超出所得遗产的死者个人债务。

死亡、离婚、交易交割、组织退会或解散、产权转移、孩子形成与出生、最终夺舍和主动消散并发时，必须依据所属世界权威提交序号确定唯一先后；同一事务重试不得在不同顺序各结算一次。继承快照提交后，该 world_subject_id 在所属世界的角色名额通过绑定死亡编号、最终性编号与快照编号的一次性状态转换释放，重复回调不得再次释放；遗产在不同分区的所有权落账、通知、实物取得和争议复核异步继续。在已经取得完整权威依赖证据并提交S之后，某个分区或继承人离线只延迟对应资产的物理交割与通知，不能重开快照、吞掉其他孩子份额或让新角色继承旧主体状态。S之前若远区尚不能证明相关亲缘、子女最终死亡顺序或在途权利完整性，必须保留待决状态，不得把消息未到当作不存在。F前确认的服务器重复结算、迁移错误或数据损坏只能通过一笔纠正事务撤销候选死亡及快照准备；F后不得恢复旧主体，尤其不能与已经创建的新主体并存。

继承快照必须回看D前后的所有权变化，并以D、交易各自的权威提交序号及不可逆交割点决定结果。D前已经真实交付、由对方接受且不再受死者控制的正常赠予、交易和共同建设不属于遗产；D前已由各方确认同一条款并真实锁定、但尚未完成最终交割的交易，必须把死者在该事务中的锁定资产、应收权利和仅以遗产为限的有效义务纳入同一冻结与快照，再按原条款单次交割、退回或转为遗产权利，既不能双赔，也不能借死亡单方毁约。D之后才补签、未获各方确认、已经取消或伪造的债务与交易，以及循环转账、关联世界作用域主体代持和伪造共同所有权，不得减少遗产。系统只冻结和复核具有多项异常证据的争议资产，并提供玩家申诉，不能为了保证孩子有财产而追缴一切正常生前交易。

直接孩子资格范围固定于D：亲生或等价子女必须在D之前已经按所属世界规则形成唯一独立生命编号；尚在孕育或孵化者也属于已形成主体，其在D之后出生只改变既有主体阶段，不新增继承候选。D之后才形成的新主体不得追溯进入本次遗产。合法收养是否启用及生效条件由独立世界需求明确；启用时仅纳入D之前已最终生效且D时仍有效的关系，D之后的申请、完成收养或解除变化不能稀释或追溯重排本次资格。已锁定资格不等于最终一定继承，仍须在S依据孩子自己的死亡最终性确定存续。存在 N 名符合条件的孩子时，每人取得死者个人净遗产中每项资产或同品质批次的严格 1/N 权益，不得因距离、是否失踪、是否已由玩家承接、当前载体、性别、种族表现、出生先后或父母偏爱改变法定均分份额。

资格范围内的孩子是否存续，只比较其自身 DEATH_FINAL 与父母S在同一世界中的权威提交序号：孩子在S之前已提交最终死亡则不计入N，其后代不代位；尚处 DEATH_CANDIDATE、只失去肉身但仍以该世界实际支持的灵魂或其他合法载体存续、失踪或离线都不视为最终死亡。孩子在S之后才最终死亡时，S取得的份额进入该孩子自己的遗产，不回滚父母分配。D到S之间的孩子形成、成长与死亡继续真实演算，冻结遗产不能暂停生命事件、回滚后来的死亡或恢复已最终死亡的孩子。父母先后死亡时分别结算各自实际产权；父母与孩子在同一时间片死亡也按同一世界权威提交序列逐项排序，不能按各服务收到消息的顺序或未定义的“同时死亡”例外结算。若以后要启用代位继承，属于会改变既有继承人的重大版本规则，必须明确迁移边界且不得追溯改写已提交快照。

所属世界以自己的权威提交序和参与分区的完整性证明判定D、F、S，不建立跨四世界的亲缘或继承服务。S提交须以父母D时的亲缘图版本、各候选子女的主体版本、相关交易与资产账本组成一致性读集，并在该世界同一权威提交序列中验证后原子写入；与子女最终死亡并发时版本冲突必须重读后重试，物理消息晚到不会制造新的先后。只有已证明在S前的孩子 DEATH_FINAL 才排除，孩子处于待决死亡但最终性尚未成立时不能擅自当成死亡；若某远区连此前是否已提交最终性都无法证明，则不能提交S。自动复核每次尝试及总体告警期限须在本世界版本中预先锁定；期限到达分别返回 FINALITY_DEPENDENCY_UNAVAILABLE 或 ESTATE_DEPENDENCY_UNAVAILABLE，保留原死亡编号、证据检查点与有界重试任务，显示待恢复并提供技术排查入口，不以超时直接判死、假定存活或释放角色名额。已经提交F只等待S时不能撤销F；尚未提交F的故障纠正也不得撤销其他主体已经真实提交的生命事件。

D后由已成立的合法交易结算或另一主体继承产生的新增权利，必须以来源事务和唯一权利编号追加为本遗产的冻结应收，不恢复死者处分权，也不能因为死亡候选较早就丢弃。例如父母S先提交、孩子F后提交时，孩子已取得的份额即使实物远在异区，也必须进入孩子自己的资产账本；即便孩子的D早于父母S，该份额也作为D后冻结新增权利进入孩子自己的S。孩子F早于父母S则本次不取得份额，其后代不代位。S固定的是继承人、比例、权利清单及可追踪的在途或争议权利，不要求实物已送达；后续只对已登记权利按固定比例落账、交割、退回或裁定，不重开S、不追加继承人、不重复分配。已知但尚未量化的合法在途收益须先作为明确来源的权利登记；无法证明完整性的未知缺口不能伪装成零资产完成S。

遗产时序专项须使用固定输入复现：一，D后到S前孩子最终死亡，排除该孩子且其后代不代位，存续兄弟姐妹重新按同一N均分；二，D前已形成独立生命的孕育子代在D后出生仍用原编号，D后才形成的生命与才生效的收养不进入本次资格；三，孩子只进入待决死亡而未最终确认时按S上的权威状态处理，肉身死亡但仍有灵魂或其他合法载体时仍存续；四，两名父母与孩子同一时间片死亡，分别改变其F与各S的提交顺序，得到可重放且不循环分配的唯一结果；五，远区已提交的孩子最终死亡消息迟到时，在完整性证据不足期间停留可恢复状态，取得证据后按原权威序结算；六，父母S在孩子D与F之间提交，遗产实物仍未交付，孩子自己的S仍登记正确冻结应收，后续实物交付失败、重试及争议均不重开任一S；七，缺少最终性或依赖证据时复核期限到达只返回明确未决错误并继续可恢复处理，证据齐备后只释放一次名额。

可分物资按同种、同品质和同权利负担的批次分割。若最小实体单位不能被 N 整除，余数不得随机偏给某个孩子、复制或销毁，而应对余数建立每人 1/N 的共同权益；建筑、土地、设施、独一器物等不可直接切分的资产同样登记为等比例共同所有。继承人可以继续共有、协商实物分配、由一方补偿其他人、出售后分配收益，或依据玩家建立的制度处理。系统不使用不存在的统一市场价格强行声称不同物品“等值”，只执行所有权、权限和审计，不生成NPC法官、管家或拍卖人替玩家经营。

遗产不会瞬移到孩子背包。物品、建筑、知识载体和设施仍留在原经纬度与分区，继续受腐败、损坏、能源、维护、盗窃、灾害和实际占有影响；继承的是所有权和合法权限。远方或失踪孩子要靠信息、交通、代理授权或亲自抵达处置，不能借继承跨区传送。

尚未被玩家承接的未开智孩子，其份额进入该世界服务端独立冻结的所有权托管记录；世界内可以用符合本世界的实物、契据、刻记或权限表现，不要求四个世界共用“账户”系统。监护人不能把份额当作自己的财产使用。必要食物、医疗和保护支出只有在真实发生、金额或实物可核对并受上限与重复扣除检查时，才可从其可分物资中支付，不得自动维护全部产业或向监护人发放报酬。孩子被玩家承接并满足认知、身份确认及该资产实际处置条件后取得权限。

属性、技能、熟练度、记忆、职业、功法境界、法术掌握、科技理解、声誉、主体身份、当前操纵权、存续中的身体或灵魂和组织职位不是遗产，不得继承。无人占用的遗体、残留材料或寄存器物可以按所属世界规则成为有来源的实体，但继承它不授予其中主体的操纵权。书籍、图纸、数据、魔法书、玉简、工具、实验室和建筑可以作为实体资产继承，但孩子仍需找到、解读、理解、练习和验证其中知识。夺舍死者肉身或占据遗产所在地不会成为继承人；夺舍孩子肉身也不会取得该孩子主体的冻结份额和处置权限。

只有S在D锁定的资格范围中核算得到 N = 0 时，才按D之前已经生效的婚姻财产约定、玩家遗嘱、组织规则或无主遗产规则处理。遗嘱可以安排保管、使用和无子女时的去向，但不能剥夺已经存在的孩子在本规则下的均等法定份额。

三十七、儿童事故、死亡与安全边界

未开智孩子可能受伤、失踪、肉身死亡或主体彻底死亡，但必须由可追溯的身体、照料、环境、生态和事件过程造成。疾病要有暴露和症状，洪水要有水位与路径，捕食要有真实生物行为，坍塌要有结构原因；父母或附近玩家的观察、准备、追踪、战斗、救援和治疗操作必须能够改变结果。

未开智孩子不是战利品、商品、空白肉身或职业工具。默认禁止玩家故意伤害、虐待、买卖、献祭、强制劳动、夺舍或利用其绕过角色名额、寿命和继承规则；救援、搬运、临时照料和依法形成的监护必须记录发起者、原因、路径与结果。该限制不阻止符合世界规律的自然危险，也不阻止孩子被玩家接管后在新手保护结束、具备对应能力并主动选择的正常探索和战斗。

孩子主体彻底死亡后立即从承接候选池移除，亲缘和事件记录保留，遗体、灵魂残留与随身物按所属世界规则分别处理。只有肉身死亡而灵魂仍存续时，孩子主体不视为彻底死亡，但在重新取得安全可操控载体前不得进入普通承接池。系统不得把彻底死亡孩子重新刷新、替换成同名候选或让新玩家覆盖其历史。父母只能通过角色实际可得信息确认失踪、肉身死亡或主体彻底死亡，后台状态不得无条件变成远程死亡通知。

三十八、独立实现、数据与验收

四个世界分别保存稳定角色主体、身体/灵魂/其他载体、当前操纵权、婚姻、亲缘、监护、孕育、出生、成长、位置、失散、承接、年龄、寿命、延寿、载体死亡、主体彻底死亡和继承数据。账号入口只向所选世界传入不可反查的 world_subject_id、world_device_id 与一次性交接票据，不传入手机号、邮箱或全局账号身份，也不保存可被四世界共同调用的角色载体、操纵权、血缘或寿命规则。

阶段验收至少证明：

两名符合所属世界成年条件的玩家可以自愿建立婚姻，未成年角色不能结婚；孕育不要求婚姻且只按当前身体或等价载体是否具备该过程所需的成熟生理结构及其他实时条件判断，婚姻不授予控制、能力或传送；
子女通过所属世界真实生命过程形成，并以唯一实体在同一世界持续存在；
未承接孩子只表现年龄允许的依赖和本能行为，不承担任何玩家职业或自动生产；
洪水、野生动物或其他有效事件能够造成可追踪的远距离失散，玩家操作可以预防、追踪、救援或失败；
失散后后台亲子关系不丢失，角色不会自动获得对方实时精确经纬度，所有跨分区移动都有连续路径；
普通人类候选在新玩家接管时不超过10岁，低于最低可控阶段不能接管；特殊种族使用自己的幼年与寿命规则；
同一世界同一普通种族的新角色主体获得相同自然剩余寿命基线且每个主体只授予一次，承接前永久伤病及已生效的延寿或缩寿修正保留、披露且只结算一次，事故可使肉身提前死亡，后续合法延寿可按实际效果改变寿命，载体转换不能刷新基线；
承接事务在并发、断线和分区迁移下不会重复绑定或丢失，CG、当前位置和真实历史一致，保护期从首次控制开始；
父母不能指定承接身份，新玩家不能按财富或遗产挑选候选，同一 world_subject_id 的新主体不能通过承接旧主体的后代绕过永久死亡；
父或母主体彻底死亡时，两个、三个及更多仍存续孩子均能分别获得严格相等份额，失踪和未承接孩子的份额不会被吞没；
不可分资产可形成正确共有关系，遗产保持原地且不会把技能、记忆、职业、境界或知识理解自动传给孩子；
孩子在继承前彻底死亡、继承后彻底死亡、父母先后彻底死亡、无子女死亡和全部继承人失踪等边界情况均有确定且可审计结果；
未承接孩子在近区使用完整模拟、远区使用聚合结算，跨多个大陆分区的容量测试不会造成重复、倒退成长或无因果死亡；
关闭所有玩家后，不会出现未开智孩子经营聚落、维护产业、学习职业或繁衍出NPC社会的情况；
四个世界分别通过上述适用验收，任何一个世界的婚姻、子女、寿命、延寿或遗产数据都无法进入另一个世界；原始世界还必须证明灵魂、意识备份、换体、寄存、转生和夺舍状态不可达，相关伪造请求被拒绝，不能为满足通用条目而补建这些机制；
候选分配在永久状态披露前后保持事务一致，退出不能轮换浏览富裕家庭；候选稀少时生成新角色，父母、关联入口主体和重复申请无法定向命中特定孩子；
未承接普通人类超过10岁后不再进入候选池，也不会结婚、生育、经营、教学或形成NPC社会，其年龄、风险和死亡仍按权威世界时间推进；
在所属世界实际支持主体脱离肉身继续存续时，父母只发生肉身死亡但主体以灵魂或其他合法载体存续不触发遗产，主体彻底死亡后才建立一次快照；不支持该机制的世界按其独立需求判定肉身死亡与主体彻底死亡。所有适用世界都须证明不可整除物资、孕育中已形成编号的孩子、并发死亡和受担保资产能够严格且可复现结算；
仅在所属世界实际支持换体、寄存、转生、夺舍或弃体保魂时，父母或孩子完成这些行为后，稳定主体的婚姻、亲缘和财产不转给载体占用者，首次接管寿命基线不重发；被最终夺舍者立即彻底死亡并结算遗产，夺舍者不能偷取其亲缘或继承资格；
仅在所属世界实际支持灵魂存续时，肉身死亡而灵魂存续、灵魂被束缚和主动消散才须具备可操作界面与明确结算；等待救援不会被系统自动判死，主动消散经过后果展示、二次确认和可取消期后才触发主体彻底死亡及遗产；
同一主体或载体在承接、夺舍、跨区、断线和死亡并发时始终只有一个操纵者，不会复制角色名额、寿命、资产、身体或灵魂状态；死亡前正常交易保留，临终伪造债务、代持和循环转账不能绕过子女均分；
婚姻申请在双方确认、取消、超时、断线、失踪、最终夺舍和主体彻底死亡下均只有一个结果；单方离婚有明确通知期，不会因另一方永久离线或束缚而卡死，离婚不删除亲缘和孕育；
孕育在重复确认、父母离婚或失踪、承载身体死亡、留魂、最终夺舍、跨区和服务重启下只产生一个或零个孩子；孕育不随灵魂复制，已经形成编号的孩子保持来源与继承资格；
候选锁定和CG期间未承接孩子继续年龄、位置、健康与风险演算，仅取消候选或候选租约过期会释放候选，不单独终止仍有效的入口承诺；明确放弃承诺或到达其最长时限则立即终止、废止旧确认并开始一次固定冷却；CG结束前重校验并处理状态变化，最终交接重复提交只绑定一次且保护期从第一次控制开始；
被承接孩子必须由玩家实际探索、学习和经营，成年只新增婚姻资格，合同、交易、财产、组织及其他玩法不以年龄直接放行或拒绝；未承接孩子可以有因果地受伤或死亡，但不能独立历练、自动形成职业或由功能型NPC补足照料；
父母彻底死亡与交易、组织、离婚、孩子形成、夺舍并发时只建立一份遗产快照；取得完整证据并提交唯一S后，远端实物交付失败与争议不会复制结算或阻塞对应 world_subject_id 之后创建新主体；缺少最终性或依赖证据时不能跳过F或S释放名额。
直系亲属、兄弟姐妹、等价来源亲属及有效监护关系不能通过换体、失忆或未知亲缘绕过婚姻与孕育限制，拒绝校验不泄露隐藏亲属位置；
全部监护人死亡、失格或长期失联后，紧急照料、临时监护、原监护人恢复、合法收养及无人救援都能进入唯一结果，且不生成NPC或转移孩子操纵权与全部财产；
入口承诺前返回改点废止旧确认，承诺后候选失效与明确同意系统新生均保留完整25点、生命形态和种子；明确放弃或最长承诺期限到期即终止，首次终止固定冷却截止，重复终止和断线不延长；冷却结束即可建立唯一新尝试，无需继续等待旧承诺最长期限，旧确认不能提交且首次完整分配资格不丢失。
在D锁定资格后，子女在S前最终死亡则排除且后代不代位；子女在S后最终死亡，其既得份额只进入该子女自己的遗产，待决死亡不能被当作最终死亡。

三十九、天文参考、环境与地图口径

《余世》是正式游戏品牌。开普勒-22b只提供部分天文参数与环境研究参考，不提供共享世界模型、已知大陆图或已证实的生命设定。原始、科技、魔法、仙武需求分别建立自己的设定基线，把资料分成“有来源的公开观测”“带误差范围的科学推测”“为玩法采用的原创设定”三类；每项记录来源、资料日期、采用值、误差或未知项、游戏化处理和变更历史。独立需求可以采用彼此不同的原创解释，其运行时天体、气候、地图和生态均留在自身交付边界内。

世界设定基线至少明确星球半径、可探索比例、坐标比例、质量与重力采用值、轨道和公转、自转与昼夜、恒星光照、季节成因、大气与水体假设、海陆板块、极区与赤道差异、地平线和视距。真实资料没有可靠结论时必须标记未知，不能用未经说明的地球参数填空；为了可玩性压缩距离、时间或地形时，要公布压缩规则并保证经纬度、实际移动、交通成本和分区边界前后一致。

气候和环境必须形成统一因果链：纬度、高度或深度、地形、水体、光照和季节影响温度、降水、风暴、湿度、能见度、土壤、植被、生态、资源、疾病、建筑、运输、能源和角色状态。四季可以存在，但外观和规律不得只是地球四季换色；每个世界要用自身来源解释其环境循环，并由该世界服务器权威演算。

地图信息分为星球级概览、玩家或组织实际测得的区域地图、角色当前视野以及地下、洞穴、天空、轨道、秘境或特殊空间的附加坐标。未探索区域、封闭内部、他人私密位置和变化后的旧地形不能被系统地图无条件揭示。地图、测绘和经纬度可以帮助汇合，但不自动寻路、传送或绕过真实旅行。

四十、经济、组织、社交与安全边界

四个世界分别定义物资、货币或交换媒介的来源、消耗、损耗、运输、储存、生产上限和回收，不存在系统无限买家、无限库存或保底价格。每个世界要测试资源枯竭与恢复、价格波动、通货膨胀、关键资源垄断、囤积、诈骗、赃物流转和市场中断；解决手段来自玩家生产、替代路线、合同、组织和世界规则，不能生成NPC经济补位。

交易、订单、雇佣、研究悬赏、共同建设和组织贡献都是玩家提出并接受的关系，不是系统任务。服务端必须记录双方确认、物品或权利状态、履约条件、交割、撤销边界、违约和争议证据。个人、家庭、组织、公共设施、借用物和托管资产分别记录所有权与使用权；退出、离婚、成员死亡、组织分裂或解散时必须有确定的资产快照和处理规则。

生产和建造必须记录所属世界内唯一的过程编号、操作者、材料批次、工具或设施、位置、规则版本、开始条件、每阶段实际输入、消耗、产物和失败状态。安全登出、异常断线、跨区、切换世界或服务重启后，只能恢复真实存在的半成品、已完成阶段和剩余材料，不能回滚已经消耗的物资、重复生成产物或由系统补做缺失操作。玩家建成且真实获得能源、材料与控制结构的自动设施可以继续运行；这属于世界物理过程，不允许借“离线生产”生成没有设备、投入和损耗的NPC劳动力。

交易使用“提议 → 各方确认同一条款 → 锁定待交割资产 → 单次交割或按条款失败/撤销”的状态机。确认前退出不转移资产，交割后重复回调不再转移；买卖双方断线、切换世界、肉身死亡、灵魂存续、最终被夺舍或主体彻底死亡时，都按权威提交顺序和预先条款确定资产仍归原主、进入托管、退回或进入遗产。跨分区交易只能由一个协调归属完成一次，不得让源区与目标区各交割一份。订单没有真实玩家对手方时保持无人接受、过期或撤销，不能由系统充当买家、卖家、雇员或担保人。

组织的创建、加入、权限变更、退出、继任、分裂和解散同样使用唯一事务与成员确认记录。职位必须由真实玩家主体担任；负责人离线、失踪、灵魂被束缚、退出或彻底死亡时，只能由此前明确的玩家制度、有效投票、授权顺位或公开默认规则把权限交给另一名真实玩家。没有合格玩家时，组织进入受限、冻结、衰败或按规则解散状态，设施与资产继续受世界环境和维护影响，不生成NPC经理、守卫、工人或掌门补位。组织争议只能冻结争议权限或资产，不得复制全组织快照，也不得阻止无关成员正常退出。

世界内制度、治安和纠纷处理可由玩家建立，但产品仍必须提供账号安全、会话保护、聊天和命名规则、隐私控制、屏蔽、举报、证据留存、申诉、处罚复核和未成年人保护。账号入口只负责账号与交接安全；聊天、命名、玩法证据和处罚数据均由四个世界在自己的边界内分别实现、存储和治理，不得形成共享社交或玩法风控底层。产品治理只处理作弊、现实骚扰、隐私泄露、违法内容和服务规则，不生成世界内官员或替玩家裁决正常的资源、领地与路线冲突。

移动、战斗、采集、生产、原创验证、交易、资产、坐标权限、载体转换和死亡均由所属世界服务器权威判定。客户端预测只改善操作表现。每个世界必须独立建设异常输入、速度与碰撞校验、物品复制防护、并发交易保护、外挂与自动化脚本识别、关联资产链审计和人工复核；不得仅凭网络地址、家庭共用设备或单次异常自动定罪，也不得跨世界共享角色关系、坐标、资产和玩法风控数据。

安全登出是服务端确认的状态迁移，不是关闭界面。玩家请求后，服务端应说明能否立即退出主动控制，并在角色不处于需要连续输入的战斗、夺舍、迁移交接或关键生产阶段时提交唯一离线快照；确认前关端、断网、进程崩溃和设备断电都按异常断线规则处理。跨世界切换只能复用这两种离开语义：来源世界能够安全登出时正常提交；不能安全登出时，玩家取消切换，或在明确后果后放弃实时输入并由来源世界接管为异常断线，入口确认旧控制令牌失效后才签发目标世界凭证，不得创造“挂起但不结算”的第三种状态。两种离开方式都不能取消已提交的交易、孕育、世界危险或死亡，也不能让系统替玩家接受合同、选择路线或完成操作；回流时必须返回离开后形成的唯一权威状态和重要因果摘要。

交接权限固定分为票据消费前的入口接纳阶段和消费后的世界会话阶段。接纳容量不足只返回“未消费且永久拒绝该授权”的签名结果，账号入口保持 IDLE；成功消费与唯一会话、租约、精简回执及发件箱原子提交，立即投递回执并由入口确认 ACTIVE，之后才推进世界内的长创角；ACTIVE 仅表示授权活动，加点、真实剧情、出生排队和CG期间 ENTRY_ONLY 正常续权，不等CG完成才激活。目标世界恰好创建一个 control_epoch 与一份租约，无主体时为 ENTRY_ONLY，最终创建或承接只原子切换为 PLAY_CONTROL，不再递增或重签。异常断线也分两次落账：所属世界先生成自己的唯一 disconnect_event_id、撤销输入并继续世界结算，不向入口伪造三态回执；入口恢复后以当前授权CAS到 RELEASING 并生成规范 release_request_id，世界把它与既有内部事件校验绑定后才签发协调 DISCONNECTED_MANAGED。消费结果未知不等于未消费；账号入口按原票及全部已提交续授权的持久最大硬截止与安全余量，将 ENTERING、ACTIVE 或 RELEASING 封存为授权到期终态后回 IDLE，不以网关可达或未消费证明为必要条件。旧回执和迟到续权不能复活终态，世界事实不回滚。四个世界须各自实现这些状态、标识、表、事务与故障恢复代码，不得共用交接运行库。

四十一、完整版本、阶段实施与变更控制

四个世界均按完整正式版本立项，原始、科技、魔法、仙武任何一篇都不能被解释为换皮、资料片或可选附属世界。允许按原型验证、核心功能、封闭测试、公测和正式运营分阶段实施，但阶段划分只决定交付顺序，不缩减本总需求、四个世界独立需求及已确认增补的最终范围；每个阶段必须书面列出已完成、后续必做、明确排除、风险、依赖和验收条件，不能用Demo或概念演示宣称完整需求已经交付。

原型至少验证手机号验证码和邮箱认证的成功、失败与恢复，首次登录和已有角色回流，世界选择与隔离凭证，种族和属性，出生CG及中断续播，普通人类不超过10岁，系统安全分配或可选出生范围、既有孩子在合法现址或真实剧情到达后的承接，一个玩家一个主体，安全登出与异常断线，直接移动和底层交互，操作教学与角色知识隔离，球面坐标，多人近区同步，世界时间，新手保护，死亡状态、遗产快照与新角色释放，以及一次可恢复跨区迁移。后续阶段分别扩展所属世界完整的生存、探索、生产、建造、经营、社会、战斗、机缘、原创、家庭、寿命、遗产与长期文明路线；无功能型NPC和四世界独立必须从第一阶段就成立，不能留到上线前替换。

独立世界交付件必须包含自己的入口与角色状态转换表，至少覆盖：无角色、认证失败、创建排队、系统创建草案与初始点预留、既有孩子候选租约、角色确认、个性化CG入口承诺及反刷冷却、CG待播放、最终创建或承接、在线、已安全登出、异常断线恢复、跨区迁移、死亡候选与技术复核中、死亡最终性已提交待快照、快照已提交待释放、彻底死亡且可新建，以及该需求真实支持的载体延续与受限状态。存在夺舍或完整意识接管的需求还必须定义 TAKEOVER_SETTLEMENT_PENDING：成功公告前冻结双方主体、原载体、目标肉身及关联资产，检查失败只回到合法对抗状态，检查通过则一次提交受害者死亡最终性和唯一肉身交接；不得出现“攻击者已经使用肉身、受害者仍可技术恢复”的状态。原始世界把灵魂、意识备份和夺舍标为不适用且无可达转换；科技、魔法与仙武分别定义自身的意识或灵魂状态，不得为了填满同一张表增加能力或共用载体底层。每个暂态都要定义唯一事务编号、数据所有者、允许操作、超时、取消、重试、回滚边界和下一状态。候选租约及其宽限期失效后必须释放孩子，系统创建草案失效后必须释放草案和点位且不产生世界实体；尚在期限内的CG入口承诺只能续同一候选，或经玩家明确同意后转同种族同后备种子的系统新生，完整25点、生命形态、位置偏好与种子保持锁定，世界变化只更新必要披露。CG前可以改点并废止旧确认；CG后若确需改点、改种族或重新选范围，须显式终止原承诺并等待公开冷却结束，才能建立唯一新尝试且不扣除未授予的完整加点资格。玩家明确放弃或达到最长时限时原子终止旧确认、释放未消费预留；首次终止按此前公开时长固定冷却截止，自动到期不等待玩家上线，重试与换设备不重新起算，不能永久软锁。遇到未知或损坏状态只能隔离并从权威日志恢复，禁止回到默认出生、复制角色或从需求边界之外寻找“兼容数据”修补。

新增第五世界、跨世界通道、角色或资产互通、新平台、新死亡或重生类别、改变儿童承接年龄、改变永久死亡、引入功能型NPC、改为房间或本地联机，均属于范围变更，必须重新评估玩法、工期、预算、性能、数据隔离、安全与测试，不得作为模糊实现细节直接加入。规则修订要保存版本、迁移方案和对既有角色、知识、资产、寿命、关系及在途事件的处理，禁止静默改写历史结果。

所有世界观、名称、文本、角色、法术、功法、技术表现、美术、音乐和剧情均须原创或取得明确授权。可以研究现实科学、历史生产方法和通用题材概念，但不得以“参考某款游戏或某部作品”替代规则定义，也不得复制其专有名称、角色、文本、数值表、地图、美术或具体表达。

四十二、交付物、容量指标与最终验收

每个世界必须分别交付并维护：世界设定与资料来源表、球面地图和分区拓扑、角色与载体状态图、种族和属性表、时间与寿命表、资源和生态表、能力及声明式规则说明、知识与原创谱系、生产链、建筑与交通、战斗和负面状态、组织与经济、婚姻和亲缘、儿童承接、死亡与遗产、客户端与服务端职责、数据结构、接口和权限、部署扩容与故障恢复、反作弊规则、测试用例、已知问题和版本路线。相同名称的交付物也必须属于各自世界，不能用一套实现或数据模板替代四份独立成果。

交付物还必须包含账号凭据与世界凭证边界、首次/回流入口状态机、候选及CG交接状态机、生产与交易提交状态机、组织权限和无人继任处理、婚姻/离婚/孕育/出生状态机，以及主体死亡到遗产快照再到新角色的状态机。四份状态图可以遵守同一产品不变量，但节点编号、数据库、队列、锁、超时和恢复程序必须各自实现，不能把总需求中的示意状态图当作共用底层。

每项能力、物品、配方、建筑、事件结构和重要状态至少具有所属世界内唯一编号、来源、结构、前置认知、获取或形成过程、操作输入、环境条件、效果、消耗、维护、风险、反制、失败、兼容或互斥、版本、验证与测试记录。几万、几十万、几百万以及“远超百万”的内容承诺必须分别披露人工定义核心结构、规则允许的合法组合、当前启用、已经验证、已被发现和玩家原创等口径，并经过等价合并、质量抽检、性能上限与极端组合测试，不能按名称、颜色或理论排列虚报。

容量指标不能只写“很多玩家”。四个世界分别锁定总注册主体、持续实体、同时在线、登录与出生排队、单分区、单同步范围、热点聚集、跨区每秒迁移、全局事件、建筑和物品、未承接孩子、候选锁、原创结构验证队列、生产和交易在途事务、存储增长、日志保留、网络延迟、客户端内存、最低系统版本、目标帧率、弱网恢复和故障恢复目标；实际支持灵魂或意识载体的世界还须分别锁定对应容量。超过设计值时允许按公开顺序降低远景、装饰和非关键更新频率，但不能隐藏近区玩家、复制私人世界、改变规则、丢失状态、提前创建排队角色或暂停必要反制窗口。

以下数字属于待独立验证的生产容量规划与长期扩容目标，不是已有实测结果，也不是第一份可玩原型已经具备的首发承诺。原型、封闭测试和正式运营分别登记目标、测试负载、设备与服务配置、实际结果及公开支持值；允许用较小负载验证核心流程，但不能以此宣称十亿真实记录或大规模在线已经通过。正式对外承诺必须来自对应世界自己的压测报告；不得池化机器、数据库、吞吐或故障余量，也不因分阶段验证缩减十亿主体槽的长期寻址边界和完整玩法范围：

指标	待测生产规划与压力档	长期扩容目标	口径
已登记稳定主体槽	10亿等效数据集可寻址，逐步写入真实记录	每世界10亿实际可寻址	不代表在线人数，不预分配在线资源
历史角色或历世记录	20亿等效数据集	50亿以上可归档	与稳定主体槽、当前身体或载体分开
峰值同时在线	10万持续、30万压力档	100万持续、200万压力档	只有独立实测通过值可对外宣称
单个连续热点总人数	5,000持续、10,000压力档	10,000持续、25,000压力档	指版本锁定面积与密度分布的连续宏观区域，可跨相邻计算单元，仍是同一世界且无副本
单客户端完整交互玩家	256目标、512硬档	512硬档或经独立压测提高	指当前高频个体集合；第513个仍保留碰撞、受击、观察与按确定规则晋升资格
单客户端低频人群表现	2,000目标、5,000硬档	5,000硬档	只可降低表现采样；范围效果仍由服务器结算全部命中实体，不得从权威世界删除或隐身
单计算单元高频加权实体	50,000持续、100,000压力档	100,000持续	各世界分别定义复杂主体与普通物件权重
全世界迁移组吞吐	每秒1,000持续、5,000突发	每秒5,000持续、20,000突发	标准组另受64名受控主体、4,096个批次化状态实体和32 MiB规范压缩快照上限约束
单边界迁移组吞吐	每秒200持续、1,000突发	每秒500持续、2,000突发	双向、故障和重试均计入
世界状态查询或进入	每秒10,000持续、50,000突发	每秒20,000持续、100,000突发	各世界网关独立承担
新生或承接最终提交	每秒500持续	每秒1,000持续、5,000突发	包含点位、形成批次、容量和候选事务
区内权威关键帧	20Hz且单帧p99不超过50ms	同生产规划	非关键远区过程另用聚合周期
同区域动作结果	p95不超过150ms	同生产规划	跨地域网络公平档p95不超过300ms
正常跨区加载与故障恢复	标准组最终冻结至恢复输入p95不超过3秒，分区故障30秒内进入可恢复状态	同生产规划	大型组先预复制且最终差量不超过32 MiB；动画不能遮蔽卡死或无响应死亡

“加权实体”必须由每个世界自己的CPU、内存、网络和存储基准测出，例如一个玩家身体、未承接孩子、复杂设备、火势单元、召唤物、持续法术、阵法、元神和普通物品批次不能都按一个对象计价。离线身体、远区生态和历史对象可以使用事件驱动、聚合状态与冷存储，但其身份、物质、亲缘、资产、寿命和因果仍须连续存在。任何首发承诺未通过实测时必须下调公开数字或继续开发，不得把长期目标写成已经支持。

最终验收必须运行真实客户端和独立部署的四套世界服务，以自动化、压力、故障注入和人工操作共同验证正常流程与边界流程。至少覆盖：

首次手机号或邮箱登录成功，以及验证码错误、过期、重复回调、邮箱失败、账号恢复、新设备顶替和两个既有账号禁止自动合并；
无角色创建、已有肉身角色回流、死亡待快照回流、有效期内CG中断续播、候选租约过期后终结旧CG、系统创建草案过期释放、CG期间出生点变危险或分区满载、票据消费前接纳排队、消费后世界内部 ENTRY_PENDING、排队取消和重复最终创建或承接；一张成功票据只能产生一个 control_epoch 与一份租约，最终创建只将其从 ENTRY_ONLY 切换为 PLAY_CONTROL；灵魂或束缚状态回流只由实际支持这些状态的独立世界执行，原始世界须验证状态不可达且伪造回流请求被拒绝；
来源角色可安全登出和正处于不能安全登出状态时分别切换四个世界，确认前者正常离线、后者只能取消或按异常断线继续结算；异常断线先只生成所属世界内部 disconnect_event_id 与输入撤销栅栏，入口恢复后才生成规范 release_request_id 并绑定形成协调 DISCONNECTED_MANAGED；目标世界各自恢复自己的角色，来源世界危险与在途事务继续，其他世界凭证、对象编号、缓存、角色数据和玩法服务全部拒绝；
操作教学只改变玩家对按键的理解，不写入角色知识或泄露配方、法术、功法与机缘答案；
同一角色完成机缘察觉、理解、练习、原创验证、命名和传授，并在各阶段注入断线、死亡、规则升级、重复提交与其他玩家竞争；
生产中断、交易双方断线或死亡、交割重复回调、跨分区交割、组织负责人失踪或死亡、无继任者和组织解散，均不复制资产且不出现NPC补位；
婚姻申请确认或取消、单方离婚、配偶失踪、孕育中离婚或死亡、跨区出生、儿童失散与死亡、候选锁过期、CG期间候选变化、承接后成长和成年；承载体被夺舍只在所属世界实际支持夺舍时纳入孕育并发验收；
仅由实际支持相应机制的独立世界验收灵魂束缚、夺舍资格拒绝、夺舍双方多阶段操作及最终交接、条件满足但发起者因操作失败、防守者依靠准备与操作反制、弃体保魂和最终被夺舍者彻底死亡；原始世界必须反向验证这些状态不可达、相关接口不存在或拒绝伪造请求，不能为满足本条增加灵魂、意识备份或夺舍能力；
主体彻底死亡与已确认待交割交易、组织、离婚、孕育、夺舍并发，交易资产与权利按唯一提交点只进入一次交割或遗产，遗产只建立一个快照；快照后的重复回调只释放一次所属世界角色名额，新角色可创建但不能继承旧主体状态；
跨区重复提交、多人同物争夺、资源和经济长期模拟、原创等价与恶意复杂结构、新手保护间接伤害、服务重启、版本错配与跨世界访问拒绝。

每项验收都必须同时检查正常完成、玩家取消、请求超时、客户端异常断线、服务进程重启、重复请求和并发冲突，并给出最大恢复时间与人工升级条件。验收依据是可操作结果、权威前后状态、日志和可复现测试，不是口头说明、概念图、数量文案或视频。

四十三、实际开发基线、内容生产与完整交付

本章导航：

43.1 本轮补充的性质与优先级
43.2 五项工程与交付边界
43.3 内容必须怎样落成数据
43.4 时钟、单位与生理量的执行约定
43.5 世界地理与自然环境的制作输入
43.6 全部玩法模块的完成定义
43.7 技能与海量分支的生产方法
43.8 资产与工具的实际制作规格
43.9 验收顺序与不允许被掩盖的欠账

43.1 本轮补充的性质与优先级

本章与四篇世界新增的内容基线，是按实际开发缺口补充的制作规格，不是已经完成的游戏、数据库或平衡报告。用户已确认的品牌、四世界独立、开发顺序、联网、操纵权、无职业NPC、认知、历法、保护、寿命、家庭和永久死亡不变。新增物种、阶段名称、具体参数及模型常量标为 DESIGN_BASELINE_V1：研发可以据此实现第一版，不必自行猜空值；以后修改须提交影响分析、内容版本和已有状态迁移，而不能随手覆盖线上数据。

开发状态分别登记为“规则已定义、数据已录入、运行已实现、资产已制作、联调已通过、长期与平衡已验证”。本文中的表格只意味着规则或初始数据已经定义。某条公式有了不代表模拟器已经实现，列了物种不代表模型和AI已经制作，理论组合不代表百万法术已经逐条上线。不得把文档完整度当成游戏完成率。

后文具体数据补充此前“必须填写”的空项；同一个参数只能有一份该世界版本内的有效定义。明确写为原型预算的旧值与内容成长上限分开保存，超出原型性能预算的高阶内容仍属正式范围，不得悄悄删掉，也不能在没有实现时向玩家开放。冲突按“用户确认的不变量、明确注明替代关系的新条目、原有细则”的顺序处理，并留变更记录。

43.2 五项工程与交付边界

交付件	正式工作边界	本次须具备的独立内容
统一客户端宿主与账号入口	一款应用的集成发行、模块装载、认证、账号恢复、发行清单、票据和输入权交接	宿主生命周期、模块ABI、资源和平台兼容矩阵，入口状态图、字段、错误码与签名；不保存任何生态、属性或境界数据
余世·原始	身体、自然材料、生态、动作与技艺、玩家文明	原始第十六章的地区生态、物种、代谢、材料、工具、动作和生产数据
余世·科技	科学测量、工程、生产、生命与意识载体	科技第十六章的技术成熟度、材料、器件、武器、研究和环境数据
余世·魔法	魔力场、媒介、法术、生命、契约与灵魂	魔法第十六章的环阶、自然生态、魔物、法术算子、装备和对抗数据
余世·仙武	灵气修仙与身体武道、丹器符阵、神魂	仙武第十七章的双线境界、识破遮掩、物种、兵器、功法和武学数据

以上是制作职责清单，不提供共用的 Species、Skill、Realm 或世界规则SDK。客户端模块兼容统一宿主锁定的第三方引擎、外部库和ABI；服务端及工具独立锁定自身依赖，内部实现可复制后独立维护。四套世界代码仓库独立构建，客户端最终集成为一款应用，移动可执行代码统一审核发行。原始完成后开发科技，再魔法，再仙武；后续需求现在可以写全，不等于四个世界同时开工。

43.3 内容必须怎样落成数据

内容作者交付可版本化的结构化源数据，世界自己的编译器生成服务端定义包和按权限裁剪的客户端表现包。推荐以UTF-8 JSON作为正式交换格式，表格是作者编辑界面而不是游戏运行时的真值来源；复杂配方、连接、行为与关系用对象和数组，不塞在逗号分隔的说明字符串中。

数据层	必须表达的事实	禁止的替代方式
定义	稳定ID、版本、单位、合法范围、必填字段、语义类型、引用及校验	用中文展示名当主键、用空字符串暗示“由程序判断”
规则	确切输入、输出、阈值、曲线、执行次序、失败、中止与副作用	只写“更强、少量、适当、有概率”却没有算法与来源
实例	定义版本、形成来源、数量质量、位置、身体或设备状态、权属、事件序号	把定义表当世界库存，重连重新抽个体
认知	观察者、实际感知字段、样本条件、证据、时间与来源	下发真值表后让客户端把未知字段隐藏
表现	模型、材质、骨骼、动作、碰撞、音效、可感知征兆、降级档	只有名字或占位图，动画打中但权威碰撞未接触
关系	食物链、传粉、配方、伤害作用、前置、克制、兼容和社会权利	依靠程序员看名字猜一条边是否存在

必填数值没有默认值时编译失败；不适用必须使用声明过的原因枚举，不能用0同时表示无、未知、无限和未制作。区间端点说明开闭，除数为0、负量、NaN、溢出、无效引用和循环触发预算耗尽都有确定出口。浮点仅用于允许误差的表现与已界定物理求解；权属、计数、寿命、资源与关键判定使用世界自己确定的定点单位或精确整数。

每个数据条目记录 design_status、implementation_status、asset_status 和 validation_status，以及负责人、变更理由和证据地址。正式内容包不能包含运行会到达的 TODO 函数、占位物种、没有动作的身体、只有伤害数字却没有作用过程的技能。

43.4 时钟、单位与生理量的执行约定

权威世界日由现实单调时间推导，world_day = elapsed_real_seconds / 7200，world_year = world_day / 290。战斗前摇、网络、输入、模拟步和声音长度用现实秒；植物生长、季节、年龄、自然寿命和明确按日计的代谢用世界日。一个过程的字段必须显式带 real_s 或 world_d，换算只在边界做一次。禁止把2现实小时一天再次乘进伤害、弹速、发力、炉子功率或已经换算的代谢。

即时机械过程按带单位的现实秒求解；长期过程用作者明确采用的世界日曲线，必要的游戏化变化在来源中写清。人物长期代谢和植物成熟可压缩，不能由此声称人体、生物体和现实工程完全等同。精确结算采用事件时刻和时间差，不按玩家点击、帧率或是否正在观看累计收益。

常驻界面仅有血量、饥饿度与SAN。各世界分别实现其内部身体或载体状态映射；饥饿数值高表示更缺乏摄取，SAN高表示较稳定，血量高表示当前存续状态较好。魔力、内息、电量、血流、温度、感染和伤势仍在后台存在，并按可感知程度出现在短提示或展开面板，不删成三个万能数值。血量显示取整到0不直接触发不可逆死亡；死亡由该世界真实存续条件与既有最终性流程决定。

43.5 世界地理与自然环境的制作输入

开普勒-22b没有公开可照抄的真实地表、生物和气候图。球面尺度和290日历保留；大陆、气候、生物与文明遗留属于原创数据。发布前必须冻结一份离线制作的宏观球面资产，分别复制到四个世界，再在各自仓库锁版本。该资产只包含经纬网、初始海陆轮廓、宏观高程与连通，不包含任何玩家、资源、名称、遗迹或运营服务，也不在运行时被四个世界共同调用。

宏观资产采用地理坐标加球面三维向量，不能用经纬度直接求欧氏距离。距离按大圆弧，地表移动使用局部切平面与高程；极点、180度经线、洞穴上下层、桥下水面、屋顶和飞行层都必须有唯一空间归属。物理原点可重定位，持久坐标不可随着客户端漂移。

制作的最小空间层级为“球面宏观网格、气候与水系流域、生态单元、实际地形与可交互物”。一个大陆不是只能放一台服务器；服务器可以管理多个冷单元，也可把同一大陆的热点拆给多个独立权威单元。玩家看到的世界连续，分区加载只改变资源和权威归属，不重置生态。大陆地图可以很大，但单个近区模拟的体素、碰撞、视距和网络集合必须有实测预算。

自然区域必须具备可计算的光照、水、温度、土壤、生产者、初级消费者、捕食或竞争、分解和迁移关系；缺项允许是地理事实，例如荒漠缺水，但该处不能被出生服务误判为可生存。海洋、河流、湿地、森林、草原、荒漠、高山、寒区、地下均属于完整地理范围，不得只制作新手林地便宣称星球生态完成。

大体型规则使用“典型体积约两倍”，等比例线长约为 cbrt(2)，不是长宽高各乘2。质量由体积、身体构成和密度产生；幼体、身体成长、载具承重、门洞和动作距离读取一致参数。实际生物例外写入叶种，不由美术自行缩放且不通知碰撞与生态模型。

43.6 全部玩法模块的完成定义

模块	从输入到结果必须真正连通	完整交付不允许缺失的边界
进入与回流	认证、世界、叶种、球体选点、来源预留、确认、真实CG、唯一控制	排队、取消、过期、重连、孩子承接、无可交付来源
生存与生态	观察、摄取、代谢、追踪、捕食、繁殖、死亡、分解、再生	延迟毒性、冬季、灭绝、迁入、远区、断线、低人口
移动与感知	方向、路径、接触、视觉/听觉等感官、未知/已知投影	遮挡、隐匿、残迹、失去目标、跨层、远距信息过时
装备与生产	来源、采集、处理、部件、连接、完成、使用、磨损、修复、拆解	批次、重量、失败、废料、替代材料、权限、无资源
技艺与成长	现象、尝试、反馈、练习、真实适配、用途、分支与命名	无知识起点、转向、兼修、身体差异、停滞、失败后继续
战斗与灾害	准备、攻击、接触或传播、抵御、伤势、撤离、救治或死亡	前兆、取消、误伤、保护、网络、多人、范围、结构破坏
探索与事件	实际到达、可感知线索、介入、变化、有限遗留和终止	忽略、撤退、争夺、错过、耗尽、没有玩家到场
知识与通信	自动记本次证据、研究、载体、传授、合并、纠错	语言未知、伪说法、部分传送、主体死亡、版本过时
社会与家庭	玩家创建制度、合作、婚姻、孕育、孩子、分离、继承	多孩均分、未承接、收养、离婚、无人继任、争议
死亡与延续	伤势、肉身或载体失效、合法延续、永久终结、遗产	夺舍原子交接、灵魂受限、无资格逃魂、无双主体
世界运行	近远区、保存、迁移、恢复、内容发布、治理和扩容	无私服分流、未验证容量不能宣传、不可逆历史不回档

原始没有法术/元神，科技没有灵气/魔法；对应格子用自身已经定义的真实机制完成，不为凑模板给原始增添复活。角色可以只采集、种植、制作、交易或教人而不攀最高战斗阶段；完整性衡量可选择的生活，而不是所有人必须通关同一成长表。

43.7 技能与海量分支的生产方法

先实现有明确输入输出的基础规律，再录入基础材料、身体、环境和作用结构，最后开放它们之间可执行且可到达的组合。已有技能、自悟技能和改良技能使用该世界同一版本规则，不得让预置技能走特权代码而玩家原创只有换皮参数。用户自由命名不会生成新的基础物理规律。

区分“成长阶段、学科或流派、技能用途、执行机制、装备质量、稀有程度”。六者不是一个颜色或等级数字：稀有材料不必更适用，高阶武器需要相容身体与供能，低阶方法也可能在特定条件下正确克制高阶结构。修仙与武道分别记录阶段，不把修仙等级复制给武道；科技与原始不添加玄幻式人物境界。

每个启用内容族需要至少一条从合法起点到取得、使用、维护、失败与替代的真实见证。几百万条路线不是几百万篇文案，但必须有确切的规则空间、前置图和实质差异口径。内容作者不能仅给出 3^n 宣称已完成；有限基础算子也不能承诺玩家说出的任何构想都自动实现。边界之外的构想保留为研究表达，待所属世界扩展规律后再验证。

43.8 资产与工具的实际制作规格

每个启用的身体、野生生命、武器、建筑部件、场效应与可交互遗物都必须绑定真实资源。资源记录包含单位与轴向、枢轴、包围体、碰撞、骨架或程序形变、材质、透明遮挡、阴影、拾取/攻击/受击/损坏状态、声音及各平台降级。动物至少表达移动、警觉、进食、逃跑或攻击、受伤和死亡；不会承担该行为的物种声明不适用并保留等价可观察反馈。模型切换LOD不改变命中体、实际体积或动物是否存在。

作者工具至少能编辑并预览地区生态、身体拓扑、物种与食物链、材料曲线、部件装配、技能结构、事件阶段、知识投影和CG事实片段；提供单变量对照、时间推进、来源账本及规则错误定位。它们是研发工具，不是玩家的全知世界编辑器。正式客户端不能包含完整毒性表、遗迹库、隐藏境界、敌人背包或待承接家庭私密数据。

地图生成、场景流送、物理、寻路、行为调度、音频和图形使用选定引擎或成熟通用库；自研部分集中在本世界规则及状态连续性。选型须留许可证与平台导出确认，不以未评估工具替代已定义玩法，也不要求四套工程使用同一内部运行库。

43.9 验收顺序与不允许被掩盖的欠账

第一步做原始的一片完整生态，不先造一颗只能转不能玩的空球：一株植物能生长结实，一只食草生命能取食和繁殖，捕食者能追踪与放弃，遗体能处理与腐解，玩家能从采食走到工具、狩猎、居住和跨区。接着补齐其余初始生命、地理、生产、社会、家庭和长期内容。开发测试地块小不改变正式世界规模，后续三个世界依次按自己的闭环制作。

数值验收使用明确输入输出和容差，不要求游戏体验只剩自动化报告。身体、毒性、成长、材料、装备、探查与技能先做单过程，再做组合，再做近远区与跨区，然后用真实玩家检查操作是否仍然简明、征兆是否能被感知、失败是否来自选择。本文新增规格的静态检查只核对文本和数据定义一致，不代表已经执行这些游戏验收。

正式完整候选版放行须同时满足：已确认的生命与玩法范围全部实现；开放地区的生态与资源链可持续计算；基础算子和组合无未实现出口；资产、平台、交接、永久死亡与长期恢复全部通过；内容覆盖与百万路线按既有口径举证；容量和费用按本世界实测公开。不能用一个样例、一个故事、一组随机名称或一场压测替代完整交付。

仍需要实际制作的成果包括游戏工程、可加载数据包、地形与美术音频资产、规则编译器、模拟与AI、客户端交互、世界服务和运营部署。仍需要实测才能确定的结论包括手感、节奏、数值平衡、生态多年稳定、移动端性能和在线容量。需求可以把这些工作的输入、结果和检查方法写清，但不能凭补写文章宣称这些工作已经完成。

四十四、交通专项交付、旅行尺度与入口交接

44.1 范围与独立交付

交通是正式玩法，不只是一段跨区动画。本章补齐产品验收边界，四份独立需求分别交付自己的交通定义、制造、生命与载具实例、操作、事故、运输合同、地图、存档和服务；不建立共用载具仓库、坐骑服务、航线服务或运输数据库。以下新增参数标记为 TRANSPORT_DESIGN_V1，是可执行的开发初值，尚未经过手感、长途节奏及性能实测。

独立作品	交通专项必须覆盖的方向	自身完整交付
余世·原始	搬运、拖具、驮载与骑乘、筏舟、风帆、自然道路和渡口	第十七章；只使用本作自然材料、身体及环境规律
余世·科技	人力与畜力、车辆、轨道、船舶、潜航、航空、航天和工程运输	第十七章；动力、控制器和自动化均有实际来源
余世·魔法	普通运输、骑乘、浮载、飞行器物、魔法舟船、移动设施和双锚传送	第十七章；魔力、媒介、生命与空间成本分别记账
余世·仙武	凡俗交通、御兽、武道步法与轻身、御器与飞舟、移动洞府和阵法交通	第十八章；武道不被迫转修仙，凡俗角色可以乘坐合法交通工具

早中晚期是内容生产和能力复杂度分类，不是玩家必须依次点亮的固定科技树。玩家可以自己试造、维修遗存、接受实物交付、付费乘坐、交流工艺或形成原创设计；获得物件不自动得到驾驶、造船、驯养、法术或武学知识。没有司机、船夫、售票员、驿站管理员或自动经营交通网络的职业NPC。

44.2 星球距离、现实时间与玩法密度

交通首版采用地球平均半径6,371,000m的2.4倍，即 R=15,290,400m，周长约96,072km。它细化已有“约2.4倍”口径，不缩小原定星球。全球位置使用球面坐标，海陆路径按实际曲线累计长度，不能用经纬度差直接当米；两点大圆距离只是可行路径的下界，不穿山、不穿海床、不自动生成道路。速度单位始终是米/现实秒，动画、手机帧率和世界日换算都不改变实际位移。

隔离验收路段	不含休息的算例	说明
1km、有效速度1.2m/s	约13.9现实分钟	步行局部探索对照，不保证实际地形始终能走直线
10km、有效速度3m/s	约55.6现实分钟	低速地面或水上运输对照
100km、有效速度10m/s	约2.78现实小时	补给、停靠和事故另计
1000km、有效速度50m/s	约5.56现实小时	不把长途飞行包装成几秒加载

估算式为 travel_real_s=sum(segment_length_m/effective_speed_mps)+known_stop_real_s；速度为0或未知时不显示虚假到达时间，而显示停滞或估算不足。顺逆风、海流、坡度、满载、伤病、夜间和维修使时间变化。客户端只使用本主体已取得的路线和测量证据估算，未探索段可给距离下界，不能泄露危险、捷径、码头、精确耗能或其他玩家位置。

日常生活应在可步行的局部生态内形成完整选择；隔离制作样区用0.3至2km的生活活动范围、2至10km的区域探索和更长的贸易/远征验证不同体验。这是制作与试玩尺度，不在正式世界围绕每个玩家刷新资源、保证相遇或放置固定密度的机缘。大陆与海洋允许空旷，跨洲是可拒绝、可分段、可长期准备的远征，不要求每名玩家定期跨洲才能继续生存。

一个世界日仍真实推进7200现实秒，年龄、寿命与四季照常流逝。压缩历法的天光相位不直接转换为地表惯性自转速度；首版交通使用星球固定的非自转机械参考模型，日照和气候按既有压缩日历演变，不凭两小时昼夜给角色或飞船附送赤道速度。这是明示的游戏物理近似，不是开普勒天体实测，也不暂停世界时间。引入真实自转与轨道耦合须另有版本化动力学及存量迁移，不暗改重力、速度或发射成本。

44.3 载具生命期与制作证据

正式载具必须贯通“发现原理或遗物、取材、部件加工、连接、检验、试行、投入使用、补给、磨损、修理、转让或继承、损毁与回收”。样本表中的速度和载荷是结构设计工况，不是输入材料后由系统保证生成的成品性能。可允许合法危险试造和超载，但要有变形、吃水、疲劳、失稳等可感知反馈，不能靠禁止全部失败来实现安全。

定义必须含尺寸/碰撞、空载质量、座位和接口、体型适配、载荷、质心、材料及实际工序、动力/储备/流量、移动介质、阻力与转向制动、环境包线、损坏/维修、资产和表现资源。实例另保存全部部件版本、真实能量与货物批次、占有和所有权、乘客、驾驶者及操纵纪元、位置速度、生命或设备状态、事件序和迁移组。未填必需字段的族不能开放，不能以“自动判断”替代公式、曲线或成熟物理求解器配置。

载重包含乘客、儿童、装备、食水、燃料、随行生命和货物；大体型不能靠缩小碰撞挤进小座位。容积、总质量、连接受力和重心分别检查。活体坐骑是原有生态中的真实生命，不是背包召唤图标；智能玩家生命的自愿搭载不建立人身所有权，也不交出其主体控制权。

44.4 单主体、多工位与最简操作

方向、动力或牵引强度、停止、交互为基础输入，航空及空间器具按需增加高度或目标锚。键鼠、手柄和触屏映射为同一规范命令，不要求手机绘制复杂轨迹或连点维持速度。常驻人物HUD仍仅血量、饥饿度和SAN；载具焦点面板临时显示已知速度、负载、可感知故障和能源/续航，不把全部工程数据永久铺满画面。

驾驶某个工位不是新建第二个主体。每个互斥工位只有一份有效占用与版本令牌；驾驶者仍有真实身体位置和风险，不能同时远程控制另一个主体。乘客、舵手、观察者、炮位和装卸者各自只控制自己当前合法动作。交接须双方确认或按已经生效的紧急授权完成，旧输入立即失效；成为船主、配偶、继承人或队长不自动夺走现任驾驶者的输入。

44.5 离线、跨区与账号入口

交通内部保存驾驶权、乘员和断线处置；入口只接收既有世界会话交接状态，不新增“车辆ID”“航班号”“坐骑”“目的地”等玩法字段。安全停靠后可以完成 RELEASED；危险行程需要输入时可返回 DEFERRED，硬截止或明确断开后仍须撤销旧设备并进入本世界 DISCONNECTED_MANAGED 的既定协调流程。不能以旅行未结束无限保留入口操纵租约，也不能因切世界而把在途载具一起带走。

断线不是系统驾驶员。只允许已经启动并由真实结构支持的惯性、锚定、制动、稳定器、有限控制器或生命本能继续；不能在断线瞬间补发完美降落、自动返航和免损救援。交通内容开放前必须有该阶段实际可取得的停止、驻留、降落、浮具或换班方案；没有方案的高风险行程须事前披露，不能用没有操作窗口的加载动画制造死亡。安全退出不免疫真实攻击、风暴、衰老或已成立后果。

跨区沿用所属世界唯一迁移组和在途写入权。船体、机体、座位、乘员、儿童、孕育记录、坐骑、拖曳件、货物与效果按同一成员版本交接；桥跨边界、长列车、长船和高速穿越多个区不能靠中心点瞬移或跳过扫掠碰撞。单个乘客断线不冻结全船，事故拆组也不能复制实体。入口不参与成员和事故裁定。

44.6 完整交付门槛

每个已承诺交通族至少交付一套可从本世界合法来源制造或修复的完整结构，验证空载、设计载荷、超载、错误重心、天气、坡岸/跑道/水深、补给断供、操作失误、修理、回收和身体适配；不能以一个可移动底盘代替海陆空全族完成。原创结构按真实材料、作用、效率、条件及风险差异形成谱系，换外观和名字不算新交通原理。

验收另覆盖上下客及紧急离开、装卸与交易竞争、驾驶权交接、死亡和多孩遗产、儿童与新手保护、借用及权限撤回、司机断线而乘客在线、无活跃驾驶者、同舟跨区故障、多人抢座、事故救援、残骸回收、正常与恶意碰撞、高速碰撞及低配手机征兆可见性。独立场景的黄金输入核对位置、耗时、资源、人数与所有权连续，并记录真实游戏体验中的准备、有效操作、等待和事故恢复时间；文档检查不冒充这些玩法已经实现或测试通过。

四十五、世界内容定稿、战斗生活制作与开工交付

本章导航：

45.1 本次定稿范围与独立交付
45.2 武器类别不是一张伤害排行榜
45.3 生活、建造、种植的完成范围
45.4 历史定稿与地图落点的分工
45.5 内容依赖与覆盖核对
45.6 原始优先的实际开工包
45.7 节奏和常在线生活的验证指标
45.8 预算、平台和未确认事实
45.9 本轮完成定义

45.1 本次定稿范围与独立交付

本章将已确认的武器类别、攻击、生活、建造、种植、历史与长期路线补成制作任务和可核对的交付物，不改变一款客户端、四套独立玩法仓库、独立世界服务及原始到科技到魔法到仙武的顺序。新增采用值标记为 DESIGN_BASELINE_V2；与旧基线发生替代的参数必须在所属世界明确点名，未点名部分原样保留。代表路线是开发用的可达见证，不是玩家任务、固定职业或必经升级线。

总需求只负责入口、宿主、发行及制作验收边界；武器、动作、作物、房屋、功法、历史与生态的类型和求解器分别留在目标世界。不新增通用武器SDK、统一等级表、共享种植服务或跨世界历史数据库。工具、引擎与格式经验可以复用，运行状态与玩法实现仍按既有边界隔离。

45.2 武器类别不是一张伤害排行榜

制作清单区分器物形制、动作、作用机制、质量、材料、掌握状态和稀有性。同一器物可以切割食材、砍材、防御或攻击，具体用途由动作与接触形成；同一种长兵器可以采用不同材料、重心、连接和打法，而不是每个名称新增一个无差别类别。世界自己的分类表列出徒手/身体、短长接触兵具、投射、束缚、防护、设施及该世界成立的特殊媒介，并逐项给出纳入或不适用的理由。

每个启用武器族至少交付：一个能从合法来源获得的完整样本，一个材料或结构替代样本，一个故障或失效样本，以及与防御、环境和不同身体的真实对抗样本。只有器物名、伤害数字或概念图不算完成。玩家原创沿该世界已实现的材料和动作规律形成，名称不获得额外伤害或绕过类别边界。

单个动作交付字段为本世界动作ID、版本、身体接口、器物实例、起势/有效段/恢复时长、轨迹和碰撞体、转向约束、停止与取消点、投入和扣除时点、受击与打断、实际损伤过程、征兆和表现引用。连用读取上一动作结束后的真实位置与负荷，不靠无限取消跳过恢复；屏幕选中目标不保证命中。高速轨迹须扫掠检测，不能因恰好跨过两个采样帧穿人。具体时间线与权威网络策略由所属世界锁定。

45.3 生活、建造、种植的完成范围

生活不是战斗的补给菜单。完整交付包含食水处理、烹饪储藏、衣物与容器、睡眠休息、卫生废弃物、身体护理、住居布置、家庭照料、运输交易、记录表达及玩家自建组织。采集者、农人、厨师、营建者、护理者、匠人、测绘者和教师均可长期生活，不以杀敌或最高境界解锁基本劳动。职业是玩家形成的能力与分工，不生成职业NPC。

营建包含选址、整地、基础、支撑与连接、地板墙顶、门窗通风、火水布置、家具仓储、扩建、维修、拆除与材料回收；地表、地下、水边和移动住所分别检查承载与风险。可摆放不等于已建成，确认设计不生成材料；物品权限、家庭/组织权属和实际物理通行分别计算。装修与个人表达有真实材料、可读尺度和遮挡，不能借装饰删除碰撞或私密信息。

种植包含采集种源、分辨与留种、地块水土光照、播种、照料、授粉、成熟、收获、加工、储藏、留种与土壤恢复；还包含季节、虫病、杂生竞争、传粉群落、灌排、污染、选育和生态恢复。作物按已有实例和自然过程生长，离线不发按等级计算的收菜奖励，开地也不解锁无限种子。畜养、菌培、园艺及世界特殊培育使用其独立生物模型，不全部套成同一种进度条。

每项生活方向至少制作一条无第二名玩家的慢启动路径和一条合作路径。二者都须有真实前置、可操作步骤、等待期间可做的事、损失、中止、补救与替代；“客观存在合法路径”不等于保底治好、保底丰收或给玩家刷新机缘。

45.4 历史定稿与地图落点的分工

四份前史分别拥有自己的人物、组织、纪年、灾变因果、遗留证据和开服快照。历史人物只作为前史中的已故者或被记录者，不因此新增可互动导师、商人或长老；有限残留事件不得转成常驻社会服务。没有共同幕后敌人、跨世界遗产或四世界合流结局。

地图生产先冻结宏观海陆基准，再由各世界将已写定的地区内容绑定自己的 region_id 与实际经纬度/层。内容包先使用区域相对锚，不在尚未制作的球面上随手编一个坐标。绑定时必须满足地貌、水系、历史距离、交通耗时与资源来源约束；不满足则调整本世界局部布点或提交设计修订，不能随玩家登录迁移遗迹。开场CG只使用公开前史及该主体已成立的来源事实，不提前播放遗迹真相、最佳选择和未发生事件。

历史证据保存作者已知事实、载体中的说法、说法成因、实物可见部分、损坏状态和玩家认知投影。误报、宣传、隐瞒和不同立场可以共存，但底层事件先于选择存在；系统不能在玩家猜中后才临时决定真相。

45.5 内容依赖与覆盖核对

正式内容源按本世界版本导出带类型的依赖图：自然或Day-0来源、原料、工具、加工、测量、部件、成品、维护、废弃及再利用。闭环不是自动错误，例如生产工具需要维护；但每个从初始状态可达的循环必须有已有入口或可独立执行的较低精度替代，不能把循环引用本身当制造答案。有限遗留耗尽后，基础生存与继续发现仍有此前确定的自然恢复或替代链，稀有能力不保证人人取得。

内容统计分别公布已定义类别、已录入条目、运行支持机制、已制作资产、已验证组合和玩家实际发现。百万有序历史不是百万同质技能，也不意味着要逐条制作百万动画。新增组合要在用途、操作、代价、反制或持续后果上具有可辨差异；在三种代表环境下完全同效且无持久历史差别的换名换色项不得重复充数。

45.6 原始优先的实际开工包

既有G0到G5顺序保持，第一可玩片段继续使用原始已规划的一片生态及相邻分区，不削减正式星球和后续生命范围。交付顺序为内容数据与材料/身体求解、基本输入和可感知反馈、生态和生活生产、代表战斗、持久化与跨区、长期时间推进和移动实机。登录宿主与世界票据可用小规模真实实现联调，不用开发一次性账号捷径替代正式交接。

交付包	必须交付的实物或数据	放行证据
世界底稿	球面宏观资产候选、原始两相邻分区、水系土壤与种群快照、有限出生来源预算	相同种子与版本可重建；出生和资源引用有唯一来源
生活生产	可观察的植物与动物、采食、取火、处理食物、容器、庇护和一轮耕作	从空手实际得到物品并用完、损坏、维护和回收，不靠发道具
武器战斗	身体攻击、短接触器具、长兵具、投射和真实防御的代表样本	改方向、距离、遮挡、伤肢、材料和时间，结果有可解释区别
世界连续	正常控制、断线、离线过程、重连、相邻分区交接与唯一资产	无重复伤害、物品复制、出生重发和近远区凭空恢复
使用体验	PC与移动端等价输入、可读征兆、常驻三项状态、按需详情	玩家能表达吃、休息、建造、播种、主攻击和停止，不需要读制作答案

模拟时间可以在隔离研发环境推进来检查四季、成长、家庭及衰退；正式服务的2现实小时一天、290日一年不变。技术验证记录与玩家实玩记录分开：先核对过程正确，再衡量是否好玩，不能用文字校验通过代替任一种。

45.7 节奏和常在线生活的验证指标

首轮记录60到90现实分钟内的有效决定、重复输入、纯等待、可自主并行活动、探索和失败恢复时间；建议原始连续纯等待不超过120现实秒，已选手工重复段继续采用最长30秒初值。超过建议值不篡改物理或偷偷完成工艺，而应检查是否有可理解的中止、批量处理、已掌握方法复用与其他实际可做活动。科学功率、魔力和灵气成本依所在世界规则，不为压缩动画凭空产能。

离线负担分别记录8、24、72现实小时后的食水、腐坏、建筑、作物和身体状态，允许真实耗尽与死亡，但必须区分玩家承担的已知风险、未能感知的风险和界面/服务故障。不能因为结果苛刻就自动补药、冻结角色或把其他玩家移出世界；也不能因为“真实”就放任输入误触和不可读征兆造成永久损失。

45.8 预算、平台和未确认事实

G0设备候选以Windows 64位键鼠和一台Android ARM64真机先测；Unity长期支持版/C#仍为需要许可证与性能审查的候选，不伪造已锁定的具体引擎版本。设备表逐行记录型号、系统、CPU/GPU、内存、分辨率、温控、帧时间、加载、输入与网络，不写“所有手机兼容”。iOS和平板按既有范围后续完整交付。

产能估算用本次实际做出的代表物件、动作、生态单元、历史地区和规则机制分别计人日，并计入美术音频、技术美术、客户端、服务端、内容校验、返工、QA及运维。团队人数、投入、预算上限、地区、账号服务商、收费模式和商店资质属于用户/项目负责人尚须确认的经营事实；文档提供表项和放行条件，不擅自选定收费、不购买服务、不对外承诺工期。

上线预算从该世界独立测得的活跃实体、热点、同步字节、地形修改和日志成本推导。十亿主体槽不等于十亿同时在线；原型通过不等于既有长期容量目标已达成。内容版本、兼容矩阵、迁移与回滚方案需经目标世界检查不可逆历史，不可通过技术回滚复活已最终死亡角色。

45.9 本轮完成定义

本轮完成是五篇文章保留原内容，并新增世界独立的武器类别与动作样本、生活建设种植深链、前史事实、代表中高阶路线、数据定标与生产门槛；完整正文和博客发布副本应逐篇一致。尚未实际实现、录入、制作或验证的成果仍维持对应未完成状态，不宣称游戏已开发完毕。

附录A、账号入口与交付落地

本章导航：

A1. 本次补充的效力与完成口径
A2. 开工路线与阶段交付
A3. 账号入口的实际模块与数据归属
A4. 可对接的接口交付与安全初值
A5. 多平台分发与客户端技术验证
A6. 时间、尺度与长周期验收
A7. CG、内容与制作工具交付
A8. 持久化、维护和事故恢复
A9. 容量与费用必须由数据推导
A10. 开工前仍需实际落实的事项

A1. 本次补充的效力与完成口径

本补充把已确认的产品方向落实为可拆任务、可实现和可验证的交付要求，不表示游戏代码、资产或服务器已经完成。在线必需、五项独立交付、原始至仙武的生产顺序、无功能型NPC、单一操纵权、球形地图、真实探索认知、因果分支、永久死亡及种族寿命继续有效。2026-09-05命名确认后，将维护分稿整理为《余世》总需求及四份独立世界完整需求，旧分稿保留备份与来源映射；正式阅读以校验通过的五份整理版为准，维护从对应分稿修改并重新生成。组装命令只生成本地成品，不自动发布博客；原文章更新须在明确授权、来源复核和完整记录备份后单独执行，并逐篇核对数据库、公开接口与网页，不能用未复核的线上旧文覆盖本地已确认规则。

以下标为“建议初值”“预研候选”或“规划目标”的内容是便于开工的工程假设，不冒充玩家已确认规则、实测成绩或正式上线承诺。调整它们须保留依据、影响和回归结果；涉及既有角色权利、寿命、永久死亡、世界互通或最终功能范围的改变，仍须重新确认，不能借调参绕过。

总需求只落实账号入口和交付协调。世界动作、数值、规则解释器、地图生成、CG事实、经济和家庭等实现由各自主稿的实施补充独立规定，账号入口不代做。需求可以使用同一种验收方法，但不存在一份线上共用的玩法规则包。

A2. 开工路线与阶段交付

正式生产先完成原始世界，之后依次启动科技、魔法、仙武的正式生产。后续世界可以先整理需求与技术风险，不因此提前建立线上角色、世界服务依赖或并行承诺四套完整成品。

阶段	实际交付	通过条件	不得冒充
G0 开工基线	需求编号、未决问题、规则初表、目标设备、技术验证报告、资产授权清单和任务估算	关键玩法有可执行输入与出口；原始世界候选技术在PC与一台目标移动设备跑通球体、2.5D场景与网络输入	概念图不等于可玩版本；选型报告不等于量产代码
G1 原始首个可玩片段	账号入口最小服务、原始独立玩法模块和权威服务、两个相邻地理分区、少量有来源生态与物资	两个真人客户端完成登录、选点或自动分配、CG、尝试、知识记录、实际相遇、地图交换、一次跨区及重连	有边界的开发测试场不是正式世界被缩小或变成私人副本
G2 原始流程闭环	原始全部初始生命形态可用，生存、生产、建造、战斗、原创、组织、婚育、失散、承接、死亡与遗产均有真实实现	主稿列明的正常、取消、并发、断线、重启、超时和非法状态用例通过；长期流程使用隔离测试时钟验证	测试数据库预置成年角色不能成为正式新玩家成年出生的入口
G3 原始封闭测试	扩展地图、资源链和生态，持续运行、内容制作工具、多平台实机、独立压测、事故演练和治理流程	已完成范围与缺失范围逐项公开；经济来源守恒、数据恢复、原创预算、热点和迁移有报告	机器人压测不能充当真实玩家社会或正式职业NPC
G4 原始完整交付	原始独立需求全量验收、运营配置、签名客户端、回滚方案和交接兼容报告	无阻断性流程缺陷，公开容量不超过独立实测；明确仍需长期跟踪的平衡风险	后续更新计划不等于已交付原文必需功能
G5 后续独立交付	科技完成后再魔法，魔法完成后再仙武；各自重复自身G0至G4	使用自己的场景、数据、规则、仓库、制品和报告独立通过	复制原始客户端换资源不能算另一世界完成

建立可检索的需求追踪记录，字段至少为 requirement_id、所属交付件、原文位置、确认来源、实现模块、数据所有者、验收用例、阶段、负责人、状态、风险及证据地址。账号入口使用 ENT-，原始使用 PRI-，科技使用 TEC-，魔法使用 MAG-，仙武使用 XWU-；编号只用于文档追踪，不成为跨世界玩法对象ID。状态区分未开始、实现中、待验收、已验证和受阻，不把“已写进需求”登记为已实现。

一次纵切必须由实际客户端操作真实世界状态；演示路线可以在测试环境准备条件，但正式环境不投放路线引导、保底机缘或自动队友。测试者选择忽略、失败或离开时也要有合法结果，不要求玩家完成设计者选定的剧本。

A3. 账号入口的实际模块与数据归属

第一版账号入口采用有清晰模块边界的单体服务加后台作业，先避免把一次登录拆成大量分布式写入。达到实测瓶颈后可独立拆分，但认证、交接状态和映射不能出现两个权威写入者。

模块	权威数据与职责	不拥有的内容
认证与凭据	账号、手机号或邮箱绑定、用途化验证挑战、恢复案件、凭据版本	种族、年龄、角色名、出生位置
设备与账号会话	设备会话、刷新凭据族、撤销时间、认证强度	世界本地租约、身体操纵状态
世界身份映射	全局账号到目标作用域主体槽及目标设备标识的映射	世界内部角色和载体编号
目录与清单校验	已签名目录、客户端包地址、版本兼容范围和必要下载元数据	地图、资源含义、隐藏知识、角色文件
交接协调	账号级交接行、签发授权、续授权、退出意向、签名回执及幂等结果	出生事务、候选锁、死亡详情、世界队列明细
安全审计与通知	必需安全事件、发送结果、告警、恢复通知和受限管理操作	跨世界资产风控、家庭关系或聊天中台

关系型数据库保存账号与交接权威记录，建议以独立PostgreSQL实例验证事务、唯一约束和备份；缓存只保存可丢弃的限流或读取加速结果，不决定已签授权是否存在。挑战消费、会话建立和通知待发记录在同一数据库事务中提交，通知采用事务发件箱重试；短信、邮件或回执发送成功不能反向替代数据库提交。

最低约束包括：规范化联系方式在有效绑定中唯一；一条挑战最多成功消费一次；账号与目标对应唯一作用域主体槽；账号对应唯一当前交接行；handoff_grant_id、续授权ID和退出ID各自唯一；所有状态更新检查原状态与 state_version。作用域标识使用密码学安全随机数生成并处理唯一冲突，不截断全局账号ID生成。

账号冻结、凭据恢复或设备会话撤销时，入口停止续授权并按既有撤权协议收束当前输入；通知失败也不能无限延长旧输入。冻结账号不等于删除或处死世界角色，世界按自身断线规则继续运行。

A4. 可对接的接口交付与安全初值

入口提供版本化的HTTPS接口，建议路径如下。接口名不是世界玩法共享服务；目标网关分别实现自己的端点。公开接口的错误响应不暴露账号是否存在，私有端点需要独立身份认证及受众校验。

调用	最低请求与返回	提交和重试要求
`POST /entry/v1/auth/challenges`	登录方式、联系方式、用途、请求ID；返回挑战ID与发送冷却	仅入口接收联系方式；发送失败可查状态，不重复无限发送
`POST /entry/v1/auth/verifications`	挑战ID、验证码或链接证明、设备证明、请求ID；返回账号会话	原子消费，失败计数与成功提交互斥，重复成功请求不再创建账号
`POST /entry/v1/sessions/refresh`	刷新凭据、设备绑定、请求ID；返回轮换后的会话凭据	只接受当前刷新族；同一已提交请求恢复原结果，其他旧令牌重放触发撤销检查
`GET /entry/v1/worlds`	已认证账号会话；返回可见目录和签名清单	不返回世界内部状态或依赖读取世界数据库
`POST /entry/v1/handoffs`	明确目标、目标设备、客户端版本、请求ID；返回一次性票据或原事务状态	校验下载就绪及旧授权终止，账号级CAS签票；未知结果只查原请求
`POST /gateway/v1/entries`	面向本目标的一次性票据及原请求ID；向客户端返回消费结果与本地会话	票据消费前检查接纳，成功后只交给本世界；入口只获第九章允许的精简回执
`POST /entry/v1/handoffs/renewals`	当前目标授权绑定与请求ID；返回目标专用续授权	仅同一 `ACTIVE` 授权可续，世界独立验签消费
`POST /entry/v1/releases`	当前目标、设备与意向请求ID；返回规范退出ID	先持久提交 `RELEASING`，再由客户端或入口携带该ID请求目标撤权
`GET /entry/v1/operations/{request_id}`	已认证会话及本人事务ID；返回允许范围内的原结果	必须校验事务归属，不能通过枚举ID查询他人或世界内部事务

正式接口交付同时包含OpenAPI、签名字段规范、测试向量、幂等键作用域、错误码、权限表与契约测试。世界对入口的状态查询、回执、撤权及续授权消费端点按第九章信息白名单单独定义；不得为了接口方便让入口收到客户端完整网关响应。64位序号通过十进制字符串传输，避免客户端JSON数字精度损失；结构有长度、嵌套和重复字段校验，验签使用固定规范表示而不是重新拼接任意JSON。

建议认证初值为：验证码有效期5个现实分钟、每挑战最多5次错误、同一联系方式发送间隔60秒、每小时5次且每天10次；进一步结合设备、用途和服务商预算限流，不把同IP视为同一玩家。邮箱链接使用至少128位随机一次性证明；邮件预览或安全扫描的GET请求不直接完成登录，须在原挑战会话中确认并以POST消费。验证码仅保存带服务端秘密的校验摘要，不把短数字码以可离线穷举的普通哈希裸存。

建议账号访问凭据有效期15个现实分钟，刷新族绝对有效期30个现实日，每次刷新轮换且可单独撤销。一次性交接票据建议60秒有效，首次授权硬截止不超过签发后120秒；本地控制租约建议30秒，正常连接每10秒续本地租约，每40秒申请一次入口续授权，新硬截止最多推进至该续授权签发后120秒。ENTRY_ONLY期间在消费回执已确认的 ACTIVE 下正常续授权；回执必须先于长流程投递，CG结束不另造租约或重置硬截止。授权续期不续候选锁、剧情意向、出生预算或CG反刷承诺。这些是待弱网、吞吐与故障验证的初值，不是维持游戏输入所需的客户端可信时钟。

建议参与签票和验签的服务时钟绝对误差上限为2秒；仅靠截止时间完成旧授权释放时，入口至少等到持久最大已签发硬截止 max_issued_handoff_not_after 之后 2×最大时钟误差+3秒，即建议7秒安全余量；初始授权签发后120秒截止且没有续授权的未知交接，可信入口时间严格超过签发后127秒即可封存原授权并回到 IDLE，不必证明票据未消费。不得把这7秒当作旧世界继续收输入或接受迟到续权的宽限。服务在进程内使用单调时钟计时并保存UTC截止，重启后重新检查可信校时与已持久化栅栏；无法证明误差上限时停止签发、续权和基于时间推断撤权，只允许依赖可验证终态证明收束。设备时钟被篡改不能延长任何服务端授权。

签名采用成熟标准库与明确算法白名单，密钥按环境和受众管理并支持轮换，不能自制加密算法；账号会话凭据、完整交接票据和证明不进入URL、分析事件、错误报告或普通日志。客户端仅向白名单目标网关投递其专用票据。

A5. 多平台分发与客户端技术验证

建议先以Windows 64位客户端和Android ARM64实机验证原始纵切，再完成iOS、iPadOS和Android平板发布验证；“PC”不自动承诺Linux桌面、macOS、网页或主机版本。最终支持的PC系统、最低系统版本与具体机型须在G0设备矩阵锁定，未列平台是未承诺而非已适配。移动平台仍进入同一原始世界，不另建触控专用副本。

统一客户端可先以原始模块评估Unity长期支持版本与C#，验证2.5D分层、球形地图、资源分包、输入与无头权威模拟可行性；这是预研候选，须审查许可证、目标平台导出和真实负载后锁定宿主引擎及ABI。后续客户端模块必须兼容该集成基线，服务端和离线工具仍可独立选型；需要升级宿主时提交四模块兼容矩阵，不要求四套服务共用引擎或玩法实现。物理、渲染、音频、输入、导航及密码学优先采用成熟引擎或库，团队只实现本游戏独有规则，不从零编写通用物理引擎，也不把客户端物理预测当作权威事实。

PC和移动端都由同一应用宿主激活世界模块，不另装或启动世界App。模块清单至少锁定 world_id、app_version、host_abi、引擎版本、模块版本及哈希、资源版本及哈希、网关协议范围、平台架构、最低设备能力与签名；兼容检查和必要资源准备成功后才申请正式交接。移动端新增世界可执行程序随统一应用审核发行；资源更新只涉及平台许可的数据与媒体，不能下载任意二进制、原生库或脚本绕过审核。

宿主通过受限模块接口交付本世界票据、资源句柄和平台事件，票据不进入URL、剪贴板、日志或其他模块。生命周期按“未装载、校验、就绪、入口、游玩、撤权、清理、未装载”推进；世界网关只认权威租约，不能仅凭本地模块状态授权。退出要取消订阅和输入回调、关闭连接、清理私有场景及敏感缓存；失败时保持可恢复页并等待撤权，不启动并行有效输入。模块加载失败、移动后台恢复、资源更新中断和宿主崩溃都恢复原世界事务，不借重新装载再分配属性、孩子或资产。

设备验证至少覆盖PC键鼠、手机触控、平板触控和适用手柄；建议性能目标为PC常用场景60帧、移动最低档持续30帧，同时记录帧时间p95/p99、内存峰值、发热降频、耗电、网络流量与加载时间。目标帧率不是已有成绩，也不能由删除关键危险、降低触控反制能力或裁掉近区实体实现。至少连续运行30个现实分钟并完成一次后台恢复和地图分区切换，不能只测空场景瞬时帧率。

A6. 时间、尺度与长周期验收

世界历法时间与即时操作时长必须区分单位但映射到同一权威时间轴。一个世界日为7200个现实秒，历法秒以现实秒的12倍推进；移动速度、碰撞步长、瞄准、攻击前后摇和交互窗口默认以现实模拟秒或毫秒计量，不能再乘12而导致角色运动、重力或反制节奏改变。作物、孕育、衰老、气候和长期工艺明确登记世界时长及转换；每种过程只能换算一次，不得客户端与服务器各压缩一次。具体参数由所在世界独立锁定。

按已确认规则，人类100世界年剩余自然寿命对应58,000现实小时，约2,416.7现实日；精灵1,000世界年对应580,000现实小时，约24,166.7现实日。若某种族以18世界岁成年，10岁开始控制到成年需要4,640现实小时，约193.3现实日。这些是持续运行下的算术结果，必须在建角与长期流程测试中呈现，不能在实现时暗改成在线计龄或为演示临时加速正式服。

为验证婚育、寿尽、子代承接和多代继承，测试部署允许可注入虚拟时钟、种子和预置家庭；测试服务与正式服务使用不同密钥、数据库、域名和构建标识，正式构建不提供时间快进、创建成年新角色或重发寿命的客户端接口。测试快速推进应与逐步模拟对照，不能只跳改年龄字段而跳过疾病、资源、出生及资产事件。

球面制作的建议精确基准为地球平均半径6,371,008.8米乘2.4，得到15,290,421.12米；文稿中的15,290公里是显示近似值。经纬度采用度且明确正负方向，经度规范区间为 [-180,180)，纬度为 [-90,90]；海拔、深度及局部偏移使用米，洞穴或特殊空间另带层标识。权威位置使用64位球心坐标或等价有误差界限的表示，局部渲染使用分区原点偏移，不能用一个超大单精度场景承载整颗星球。显示到小数点后六位不代表角色测量精度达到该位数。

输入同一经纬度是同一范围申请，不是地表可安全站立的保证；山体、海洋、地下层和被占据位置仍按目标世界验证。地图生成器在发布前生成并锁定宏观地形基准、种子与版本；细节可在访问时确定性物化，但必须来自已成立的地质、生态及历史模型，不能因观察者职业或背包改变成最适配机缘。程序化生成不等于无限随机发奖，也不需要开服前把每一粒土建成逐帧实体。

A7. CG、内容与制作工具交付

个人CG采用“世界历史片段、生命形态片段、真实事件片段、当前落点衔接”的可组合时间线，按角色可知事实选择镜头。世界服务器出具本世界入口事务绑定的事实摘要和资源清单，客户端只表现已授权片段；使用已制作动画、场景与音频组合，不承诺在线为每人实时生成一部独立长片，也不让生成模型编造亲缘或资源来源。

CG应具有已验证的轻量表现版本、字幕及可访问音频设置，中断后按服务端检查点恢复。跳过或使用轻量版只影响表现，不改变入口承诺、事实记录和最终校验。资源缺失时若已有兼容轻量版则使用它，否则按已有租约和取消规则退出，不伪造观看完成后强行落地。

原始资源来自灭族灾变遗留及自然生态，科技资源来自战争遗留及自然资源，魔法资源来自侵略灾变遗留及本世界自然过程，仙武资源来自世界破碎遗留及本世界自然过程；这些背景各自落实为可追溯世界初始快照，不是无限遗迹刷新借口。作者工具必须能编辑来源、材料、动作、可见线索、后果、持续条件和有限事件实体，并在入库前执行结构、资源守恒、引用和终止条件校验。

原创能力不是开放执行任意代码或让语言模型裁定战斗。玩家自由操作与表达先映射为所在世界实际支持的受限规则结构，服务器验证与计算效果；命名不增加威力。当前解释器不支持的语义应明确属于尚未实现的内容边界，不能伪装为“角色领悟失败”扣除生命或吞掉物资。测试只枚举代表性结构、边界与恶意组合，不承诺穷举无限人生路线；内容规模统计分开记录规则结构、等价类、已验证组合与真实玩家发现。

素材交付至少包含源文件、导出制品、比例与朝向、遮挡层、碰撞与交互锚点、动画事件、音频事件、不同画质资源和授权来源。危险判定与其必要表现共用所在世界版本号，资源工具自动检查缺失前兆和不同平台表现不一致；完整隐藏规则不随客户端素材表公开。

A8. 持久化、维护和事故恢复

入口的账号与交接是独立故障域。目标世界由自己的状态拥有者提交动作与事件、保存持久快照和日志，并独立维护恢复程序；不能依赖入口事件队列保存死亡、继承或分区所有权。第一版优先采用清晰的模块与单写者分区，在该世界内部经过压测后拆分服务，不因为需求写了十亿名额就提前部署大量空闲集群。

对于已对外确认的票据消费、撤权栅栏、交易交割、主体死亡最终性、继承快照和分区归属交接，建议目标为故障模型内已确认记录零丢失。确认必须等待相应权威事务达到已定义的持久化及同步副本条件；网络分区无法取得提交资格时拒绝或保持未决，不同时允许两端继续写。异步通知与读取缓存可以落后，但不能先显示不可逆成功再等后台落账。

“零丢失”须写明覆盖单进程、单节点还是单可用区故障，不能将异步备份称为任意灾难下零丢失。无法证明最高已提交版本、纪元或死亡最终性时，只能隔离有关状态、停收新输入并恢复日志，不能把旧备份直接开放给玩家。正式环境至少演练一次恢复到新部署、重复投递日志、校验栅栏与资产守恒后重新接入；测试报告记录实际恢复时间和尚未覆盖的灾害边界。

维护不停止历法、年龄和既有过程。计划维护提前公告，并提供玩家按自身世界规则准备庇护、库存及退出的窗口；恢复时按时间轴补结算真实既有过程，不以一次“离线过久”抽签制造死亡。需要玩家新输入才能成立的事件不能在整个不可操作期间凭空完成；已经确认的持续危险仍按该世界故障处置规则处理。技术复核只能在既有最终性流程内进行，不能绕过永久死亡恢复已释放名额的旧主体。

必要监控包含提交延迟、单写者冲突、积压时间、入口授权剩余时间、候选到期、分区迁移时长、资源守恒偏差、重复死亡和孤立事务；告警只进入所属交付件的管理边界。实时遥测采用抽样和分级保留，关键最终性记录采用可验证检查点及不可复用墓碑长期维持；既不能无限保存每帧全部隐私数据，也不能日志过期后重新接受旧票或重结算遗产。

A9. 容量与费用必须由数据推导

十亿主体槽是单世界长期寻址设计边界，不是首次测试必须有十亿真人，也不是十亿人同屏的承诺。容量表中的在线、热点、吞吐与加载时间均作为独立待测目标，按原型、封测、生产规划、长期扩容分档记录；低档测试通过不能外推高档已通过，容量不足也不能改成私有副本或暗中隔离同地玩家。

估算至少拆为稳定主体槽、历史主体、近区动态实体、远区聚合状态、地形修改、建筑、物品批次、知识与原创结构、亲缘资产、日志、索引、副本、备份和网络出口。使用实测 记录数×平均字节数×副本系数 估算存储，使用 活跃人数×平均每秒同步字节数×持续秒数 估算基础下行，再加热点、迁移、资源下载与重传；不能只按注册人数乘单台服务器价格。

例如仅十亿条每条1 KiB的基础记录就约0.93 TiB原始存储，尚不含索引、历史、备份和实体数据；100,000在线者若平均每人20 KiB/s下行，则约1.91 GiB/s，持续一天约161 TiB流量。这只是带明确输入的量级算例，不是本游戏已测流量、报价或最低硬件需求。G1测出真实样本后替换假设，再决定G3的实例数与费用上限。

持续离线角色与没有观察者的区域使用因果连续的事件驱动和聚合模拟，历史对象进入可恢复冷存储；不对十亿槽全部以20Hz执行。降低精度必须对照高精度参考演算并给出允许误差；不可逆死亡、有限资产和亲缘身份不允许因近远区转换随机改变。

A10. 开工前仍需实际落实的事项

可以先按本次工程建议完成G0和G1，不必先把百万条路线逐条写成任务。但进入有真实用户的测试或对外承诺前，需要落实：团队岗位与实际投入、研发和运营预算上限、发行地区及账号服务商、目标设备型号、素材生产能力、许可证与商店资质、备份故障模型和公开容量。这些依赖资金、账号或人员的事实不能由需求文章虚构已具备。

工期估算按可交付任务列出设计、实现、内容、联调、测试和返工的乐观/常规/悲观人日，加上人员并行约束与外部等待；首次估算在G1后用实际速度修订，不凭世界数量给出固定完成日期。最低职责要有人承担玩法规则、客户端、服务端与数据、技术美术和内容、测试、运维及发行治理；同一个人可以兼任，但不能把未安排的工作当作零成本。

收费模式、是否销售外观、订阅或买断尚未确认，本次不擅自加入商城、付费延寿、出售机缘或指定血缘承接。角色年龄与现实玩家年龄是不同概念；角色未成年婚姻限制按既有玩法执行，现实用户的隐私、未成年人保护、内容分级和地区发行要求单独审查，不能用虚构种族寿命替代合规。

本次文稿补充完成的标准，是上述事项有明确归属、建议初值、实施路径和验证出口；游戏可开发原型不等于已经具备完整量产条件，正式完成仍以各独立需求的真实交付证据为准。

附录B、可执行规则包与动作协议

原始、科技、魔法和仙武世界在进入玩法生产前，必须各自在自己的代码仓库交付可机器读取、编译、版本化和确定性重放的 WorldRulePackage v1。同名概念只用于产品验收，不构成共享Schema或公共运行库；四套字段编号、单位注册表、编译器、规则制品、种子空间、数据库和回放工具均由所属世界独立拥有。规则包至少包含：

世界常量、基础单位、数值精度、合法范围和舍入方式；
主体、载体、材料、物品、环境、位置和持续效果的状态结构及版本；
玩家可提交的动作原语、参数、前置条件、阶段、取消窗口和不可逆提交点；
质量、能量或世界专属资源的来源、转化、损耗、去向与守恒误差；
状态叠加、互斥、传播、伤害、恢复、死亡及同时事件的冲突优先级；
仅由服务端产生的确定性种子、随机流用途、调用次数和重放规则；
原创结构白名单算子、类型检查、复杂度预算、等价规范化及拒绝原因；
从旧规则版本迁移既有角色、世界对象、在途动作和知识证据的逐项方案；
标准初始状态、边界状态、反例、黄金输入日志和预期结果。

每个离散或阶段性玩家操作都使用所属世界唯一的 action_id、当前控制租约、输入序号、规则版本、实体版本和权威时间，并按本世界独立实现的 PREVIEW -> PREPARED -> COMMITTED -> RUNNING -> RESOLVED | INTERRUPTED | FAILED 单向状态推进。PREVIEW只显示角色已知且当前能够感知的后果范围；PREPARED可以限时锁定实物、目标与容量但不消费，取消或超时只释放一次；材料首次发生不可逆改变、能量首次离开可回收状态、攻击越过出手点、法术开始实际放能或运功进入首段时即进入COMMITTED。提交后的取消必须转化为世界内真实中止动作，已经发生的耗用、伤势、暴露、噪声和环境改变不得返还。响应丢失、重复包与重连只查询或继续同一动作，不能重做一次收益。

除明确记录在初始世界状态中的隐藏差异外，相同规则版本、权威前态、世界种子、完整操作输入和事件顺序必须产生相同结果。随机流只能用于预先允许的不确定世界形成、自然扰动和NPC之外的生态行为，并以所属世界、分区、事件、实体与规则版本生成不可由客户端选择的种子；不得用未记录随机数决定玩家已经正确完成的动作、临时换掉机缘结果或按账号调整运气。玩家所说的“运气”来自其在巨大世界中实际遇到的地点、时间、天气、遗存、自然资源和其他已形成条件，而不是系统保底、抽卡或失败后的暗中补偿。

四套服务端统一采用各自规则包声明的定点数、整数或经过跨平台一致性验证的确定性数值实现；客户端浮点预测不得成为物品、命中、伤害、知识、原创、寿命和死亡的最终依据。长度、质量、时间、温度、能量、电量及其他现实量优先采用明确的国际单位；魔力、灵气、神魂或等价原创量必须定义本世界基础单位、测量误差以及与可观察效果的转换表，不能只用“少量”“强大”参与后台结算。

玩家原创结构不得执行任意代码、动态加载外部模块或访问文件、网络、账号和其他世界数据。首发个人结构预算为最多256个有效节点、1,024条边、深度32、单次最多64次有界重复和128个直接目标；大型设施、仪式或阵法预算为最多2,048个节点、8,192条边、深度64和1,024个直接目标，并只能异步验证后发布。超过任一预算必须在提交前明确拒绝，不得截断后静默执行。每个世界可以依据独立压测下调某类上限，提升上限则作为规则版本发布并重新执行恶意复杂度、等价归并和历史重放测试。

规则编译器必须先做Schema、单位、类型、权限、资源、循环、目标数和复杂度检查，再删除不可达节点、展开有界重复、规范化单位与等价顺序并生成结构指纹。两个结构只有在有效状态、持续历史、消耗、风险、知识谱系与未来可达条件全部等价时才能合并；仅名称、颜色、动画或书写顺序不同不能重复计数。编译成功只证明结构可执行，不保证角色拥有知识、身体、材料、时间和操作能力，也不保证实际使用成功。