D07 退款与对账域 · 设计文档

本域总览见《账号计费中心 · 结构大纲》。本文为该域完整设计：定位与边界 / 角色与依赖 / 数据模型 / 核心流程 / 接口契约 / 关键约束与验收标准。

排序说明：先数据模型（事实结构）→ 再核心流程（结构之上的运行路径）→ 最后接口契约（流程的对外投影）。

1. 定位与边界

定位：资金流出的唯一闸门与资损防线的最后一道。回答三个问题——「这笔钱该不该退、由谁批准」（审批链与二审门禁）、「钱到底出去了多少」（以渠道实退为准的冲销口径）、「账实是否相符」（渠道账单与本地流水的双向对账）。

核心概念

关键口径

• 金额口径：一律元、6 位小数、字符串传输。退款定额经门禁恒为等效 2 位小数，渠道回执亦为 2 位，故比对按分精确比较、不设容差。
• 出款以渠道为准：只有渠道确认出款成功才冲销本地账；渠道失败或结果未知时一分钱都不动。
• 不确定即不收敛：渠道报成功但无法核实单笔实退金额时，保持处理中并把结果存疑交人工，绝不以本地定额自证冲销。
• 仅现金通道：可退订单限于充值类型，退款回的是现金、不恢复赠金，杜绝「堆赠金 → 现金套利」。
• 清偿后退款：退款把现金推为负是正常态，负债回潮由欠费标记的单一重算规则自然处理，不另设拒绝条件。
• 对账锚点是本地流水：以本地退款流水为基准逐笔对齐渠道账单行，不以账单为主反查本地。

边界

• 不管钱包记账原语：现金增减、流水写入、欠费标记重算都在钱包与账务域；本域只发起冲销。
• 不管订单状态机本体与渠道凭据：下单、支付回调、凭据配置在订购与支付域；本域消费其订单行与渠道能力。
• 不管用量对账与通知投递：用量对账属计量与计费域，触达通道与模板在通知与触达域。
• 不管台账本体与运营面权限载体：台账定义、规则配置与处置台在风控与合规域；运营端点的统一索引与平台员工权限登记在运营管理域。

归属口径

• 门户自助申请的频控在本域，与审批侧二审门禁正交；对账差异的产生与收敛在本域，台账行结构属风控与合规域。

2. 角色与依赖

能力矩阵

• 出款类端点（审批通过、人工结清、放弃、重试、线下确认）走运营面实人门禁，操作人须是在册、在用的平台员工。
• 申请与驳回不动钱，故不设实人门禁；但操作人线索不得静默缺失：缺操作人时审计落来源通道标记，提供了但非标识格式则显式拒绝而不降级为空值。

上游依赖

下游被引用

3. 数据模型

本域无自有表：退款以订单行的退款相关列与资金流水的退款类型行承载，对账差异落风控处置台账。

退款请求号落流水明细而非独立表：冲销行的唯一索引以「订单号 + 明细中的退款请求号」为键，部分索引收窄到退款类型，历史无该键的行天然不受影响。

• 订单行的退款列与流水、台账之间不建跨表外键：流水以订单号弱引用、台账以订单为弱关联，避免写路径被删除约束拖住；台账行结构属风控域，本域只写「差异已产生」这一事实与收敛动作。

3.3 表清单

• 审批定额缺省为剩余可退全额；门禁为「大于 0 且不超过剩余可退」外加等效 2 位小数校验，违规即拒，不静默取整。
• 出款按渠道分派：网关型渠道走两阶段（先落处理中并提交、再锁外调渠道）；对公转账不调渠道，审批即冲销。

• 判定为「金额达阈值」或「退款将把现金推为负」之一即需不同操作人二次审批；推负一档可单独关闭，阈值一档为 0 即关闭。
• 定格是四眼原则的支点：不钉金额则第二审批人可换任意金额绕过，画像按新金额重算而第一审批人从未见过该金额。复审不符一律拒绝且不清标记——绕过者不能顺手清掉标记再重来，只能驳回后重新发起。
• 存量待审行无定格金额可核验时按「不可核验即拒」处理：猜一个金额写进去更危险。

• 读出四类事实（现金余额 / 剩余可退 / 本次金额 / 历史退款笔数）、四个归一标记与二审判定，以及待二审时的第一审批人与定格金额（供弹窗预填，否则必然复审失败）。
• 支出类流水口径为全计：用量扣费、余额转让、负向调整都算消费——「充值 → 转账 → 退款」与「充值即退」同为套利变体；赠金抵扣行同样计入，它代表已发生用量。
• 不持锁的理由：画像只读、只呈现、不决策，且在审批入口内于订单锁之后调用；推负判定以出款时点的真实扣回为准（扣回无余额谓词、可为负），画像偏差不放过资损。若画像持锁，弹窗读与出款串行化。

• 剩余可退 = 订单金额 − 累计已退，是每单上限，申请与审批两道都按此判定，额度退尽即拒。
• 并发串行化是双保险：应用层为「订单咨询锁 + 行锁」的锁域，同订单各退款收敛入口共用；数据库层为「订单号 + 退款请求号」的部分唯一索引，后到者撞索引即收敛为幂等返回。
• 冲销幂等不能靠订单终态：部分退款后订单回已支付态，反而是「看起来可再退」的正常态；幂等键是与渠道共享的退款请求号，它在审批锁内按「已有退款冲销行数 + 1」推导，串行无竞态，重试与人工结清沿用当次号。

• 渠道实退为准：渠道报「有资金变化」只证明本次请求有过资金动作，不证明实退额等于本地定额——部分退、超额退、后台人工操作都会让两者背离，故必须另查单笔明细按 2 位小数精确比对。
• 冲销写法：另写一条退款类型反转行，金额为负、余额快照为冲销后余额（可为负），同事务重算欠费标记并发布准入状态；回执原文与交易号落订单行但不下发门户。

• 两类终态语义必须分清：失败 = 渠道明确未出款，可放弃回已支付态（余额保留）；未知 = 资金可能已出账，按失败走线下打款即渠道退一次、线下再退一次的双重退款，故未知只接受「渠道账单核实已退」这一种结清依据。
• 终止（放弃）也有禁用类：某些失败原因意味着「可能已退过」，回退会让余额保留与渠道已退款双得。
• 结果未知的 24 小时上限自最近一次渠道尝试起算，每次重试即重置时钟。

• 退避档按自渠道提交起的账龄升档（分钟级到小时级），间隔锚点为上次查询时点、无记录时以提交时点为锚——机会式扫描下若无锚点，首查时点可能被永久跳过。
• 每单独立短会话，单笔异常只记日志不拖垮整轮；收敛入口各自加锁且幂等，多副本与手动触发并发安全；结果未知的判定在锁内复检到期条件，旧判定不直接落终态。

• 线下确认纯台账语义：不写流水、不动余额、不改状态，只落确认时点与审计；与「人工结清」作用对象不同，二者不重叠。

• 两层结构：汇总级比对「本地该渠道退款笔数与金额」对「账单退款行汇总」；汇总有差异（或强制逐笔）时自动升级逐笔，省去无差异日的明细成本。
• 锚点是本地流水：逐笔对齐以本地退款流水为基准匹配账单行，配对键优先退款请求号；本地侧排序键为「时点 + 请求号」，保证同单多笔同额下配对稳定、同日重跑一致（幂等）。
• 双向比对与差异分类：两侧键集合取并集，任一侧缺失或两侧笔数/金额不等都出差异；金额取绝对值后按 2 位小数精确比较、无容差。分类四类——本地独有（含孤儿子类）、账单独有、两侧皆有但金额或笔数不符、被渠道查询确认的「账单缺行」标记。
• 渠道过滤口径：本地侧必须按本次对账的渠道过滤（账单一次只拉一个渠道）；若按全集过滤，另一渠道的退款会在本轮全部落成假差异，真实差异被假告警淹没。孤儿行不受该过滤影响，也不得静默消失。
• 「账单缺行但渠道确认已退」是资金已出、账实已平、只是账单口径缺行的情形，须单列标记供人工分流；差异落审计与告警，台账结构属风控与合规域，本域只产生事实并收敛可收敛项。

5. 接口契约

5.1 门户自助（/api/account）

• 申请不设实人门禁（不动钱），操作人恒为客户本人；退款进度与归一原因码的读侧展示与订单列表同源共用（详见订购与支付域）。

5.2 内部退款与对账（/internal）

• 审批出款端点须运营范围令牌，且另要求操作人为在册、在用、持有出款权限的平台员工，否则统一按无权限拒绝且不区分原因。
• 对账端点的账单日、模式与渠道为受约束取值（仅汇总 / 强制逐笔 / 有差异自动升级）；轮询与对账均幂等。

5.3 运营面退款处置（/api/account/ops）

• 运营面端点的统一索引与鉴权分组登记在运营管理域；运营发起退款不受门户频控约束。
• 出款类操作人身份比对口径：账号内用户取用户标识，外部操作人取带前缀的引用标识，二者皆无取匿名；「不同操作人」即标识不相等。

6. 关键约束与验收标准

6.1 约束

1. 申请不动钱：申请与驳回只改订单状态，不写流水、不动余额；资金动作只发生在审批出款与人工结清；可退额度 = 订单金额 − 累计已退，两道都校验，无全局常量上界。
2. 金额定格不可漂移：本次定额在审批时确定并落订单行，重试与人工结清一律沿用，复审只能审定格值。
3. 四眼原则不可退化：需二审的单必须由两个不同操作人标识先后审批；首审批人不得自行复审；同人重试按幂等返回而非放行。
4. 出款资格统一：出款类端点在两条令牌路径上共用同一份资格事实（在册 + 在用 + 持有出款权限），资格回收与停用即时生效。
5. 不确定即不收敛：渠道报成功但实退金额无法核实时保持处理中并告警，绝不以本地定额自证冲销。
6. 失败与未知账务等价：两类状态都不冲销，区别只在处置路径（失败可放弃、未知只能按账单核实结清）；重试一律沿用同一退款请求号。
7. 幂等键是请求号不是订单终态：部分退款完成后订单回到已支付态，故幂等一律以退款请求号与冲销流水唯一索引承载。
8. 对账同源同渠道：两侧必须同一渠道、同一自然日（本地按中国标准时间归日），本地侧不得按渠道全集过滤，同日重跑结果一致；本地流水找不到对应订单行时必须显式落为孤儿差异。
9. 对账可重试与终态分清：账单未生成、网络类暂态失败可重试并有次数上限；凭据失效、渠道不支持、账单日非法为终态，告警后当日落定，不留无出口的空转。
10. 线下确认不动账：清单与确认动作只承载执行台账，不改状态、不写流水、不动余额。
11. 只回现金：不恢复赠金、不动信用额度；退款可把现金推为负，负债回潮交由欠费标记的单一重算规则处理。

6.2 验收标准

6.3 待后续设计细化的开放项

1. 自动退款（无人工审批的小额自动放行）的阈值分级与风控信号闭环。
2. 退款通知的通道编排与去重窗口：站内信同事务落库、外部通道异步发送的失败重投口径。
3. 人工结清的复核留痕升级：现为单操作人动作，是否纳入双人复核。
4. 对账差异处置台账的处置状态回写与关闭条件（依赖风控与合规域的处置台能力）。