GA 与分阶段更新

当前 GA 状态是 `BLOCKED / NOT STARTED`。没有真实安装包、公开下载、生产更新源或已经进入分阶段更新的用户。第 8 周完成的是一套 NON_PRODUCTION 控制面演练与失败关闭契约，不是正式 GA。

可以查看机器可读 GA 演练记录、GA 演练 Schema和发行清单页面。

已经演练的控制面

演练使用临时 Ed25519 测试密钥和 updates.example.test 合成源站，依次验证了 10 个签名 pointer revision：

staged / 5% 初始阶段；
扩大到 25%；
保持 25% 暂停；
在同一 cohort 恢复；
扩大到 50%；
进入 full / 100%；
在 T−72h 窗口开始时用更高 sequence 正常续签；
从 full / 100% 直接暂停，不重开或改变已批准比例；
恢复到 full / 100%；
pointer 过期后用更高 sequence 直接恢复到 withdrawn / 0%。

全部 revision 保持同一 Manifest 引用和 cohort seed，并使用严格递增的 sequence。正常续签只允许在批准的 T−72h 窗口内执行；pointer 过期后不能走普通续签，只能直接恢复为安全的 paused 或 withdrawn 状态。演练还确认：暂停和恢复不能夹带扩大，撤回必须是 0%，错误签名、sequence 回退、跳级、引用漂移和 seed 漂移都会失败关闭。

以上步骤使用生产凭据 0 次、生产网络 0 次、供应商写操作 0 次，真实发布产物为 0；所有 productionCredit 都是 none。

正式分阶段更新如何工作

正式发布时，客户端会用本机私有的 installation ID 和公开 cohort seed 计算稳定分桶。同一个版本扩大百分比时，先前命中的安装仍会保留在 cohort 中。该机制针对安装实例，不代表用户身份、企业、地域或付费资格。

网站直接下载不受 updater 百分比控制。早期阶段如果公开安装包链接，就会绕开稳定分桶，因此网站下载、更新 feed、公告和第三方镜像必须作为独立曝光面逐项批准。

暂停、撤回或 pointer 过期只会阻止后续安装，不会自动卸载、降级或恢复已经安装的客户端。已安装版本出现问题时，需要发布更高版本的前向修复，或按照升级前备份执行受控恢复。

为什么 GA 仍然阻断

正式 GA 仍缺少：

真实发行主体、品牌权利、正式域名、首发市场和已验证的支持、安全、隐私、法律渠道；
规范 Git 历史、正式签名 tag、受保护的原生 macOS arm64 / x64 runner 和生产凭据；
与同一候选字节绑定的签名、公证、真实平台验收、产品素材和 14 天 soak；
启用生产信任的客户端、不可变 HTTPS 更新源和供应商级 create-only / CAS 原子发布；
能按版本、架构和阶段提供可信分母的监控、告警、值班与事故响应。

在这些事实全部出现并通过独立审批前，“GA 已发布”“自动更新已上线”“100% 分阶段完成”和“已有公开安装包”都是禁止 Claim。