1. 公开 API 检查
先跑公开只读检查，确认健康检查、CORS、未授权读取拦截都正常。这个命令不需要 secrets，也不会写生产数据。
中文运营流程 / 2026-07-27
GCA 中文运营流程
这一页说明用户在官网提交邮箱和会员账户资料以后，GCA 运营者应该怎样同步 Cloudflare D1 记录、导出联系名单、处理退订、保留本地账本，并把会员权益审核接到支持流程里。
邮箱注册、账户入口、只读钱包验证、设备密钥脱敏账户状态、100 credits、会员人工审核、30 天持有证据和已完成会员权益转账的生产证据验证已经上线。10,000 GCA 转账本身仍由储备钱包人工确认。
运营人员不能通过邮箱或工单索要用户的设备状态密钥。密钥丢失、过期或撤销后，必须先由注册邮箱联系官方支持并经过人工核验。
服务请求队列、Credit 使用记录和 GCA Member 人工审核的 Cloudflare Worker 路由已经正式上线并受管理员 token 保护；权限、D1 migration、部署和公开/管理员只读 smoke 检查均已通过。
本地 Operator Console 只在运行 tools/gca_member_backend.py 后通过 http://127.0.0.1:8787/operator.html 打开，不作为普通官网入口。
邮箱注册 API
Cloudflare Workers + D1 已上线
正式 API 地址
gca-registration-api.gcagochina.workers.dev
运营读取
需要本地 ADMIN_READ_TOKEN
会员账本
符合条件写入 D1 账本记录
账户状态
设备密钥保护 / 脱敏只读
Operator Pipeline
用户提交邮箱后的六步流程
2. 管理员导出
运营者只在本机使用 ignored 的 ADMIN_READ_TOKEN 读取 D1 注册记录。不要把 token、完整导出文件或用户邮箱公开。
3. 同步本地账本
把 Cloudflare 记录同步到 .gca_access_data/email_registrations.jsonl。这个目录是本地运营资料，不提交到公开仓库。
4. 同步退订记录
把 /gca/contact-suppressions 的记录同步到本地不再联系名单，导出联系名单前必须先应用退订。
5. 导出联系名单
内部 CSV 只给运营使用；对外只能分享 gca_email_contacts_public_redacted.csv 这类 public-redacted 文件。
6. 记录运营汇总
用 gca_registration_ops_summary.json 记录同步数量、跳过数量、退订应用、输出路径和安全边界。
公开只读检查
这个命令可以在没有管理员 token 的环境运行，用来确认公开 API 没坏。
python3 tools/check_gca_registration_api.py --public-only --timeout 30
一键运营同步
这个命令只给运营者在本地运行。它读取 token 保护的管理员接口，同步注册和退订记录，导出内部 CSV、public-redacted CSV 和运营汇总。
python3 tools/run_gca_registration_ops.py --limit 100 --data-dir .gca_access_data
Member Access Ops
会员后台运营流程
当 live Worker 已经有账户、钱包验证、100 credits、GCA Member 或会员权益审核记录后，运营者在本地运行这个流程。它需要 ignored 的 cloudflare/gca-registration-worker/.env.admin.local 文件和 ADMIN_READ_TOKEN。输出只写到 .gca_access_data/，不提交到公开仓库。
/gca/service-requests、/gca/credit-usage、/gca/member-reviews、/gca/holding-verifications 和 /gca/member-benefit-transfers 已正式上线并受管理员 token 保护。每次发布仍需先运行 python3 tools/check_gca_worker_deploy_readiness.py --run-wrangler --run-cloudflare --require-deploy-auth，再通过权限、迁移、部署和 public/admin 只读 smoke。
1. 受保护导出
运行 .venv/bin/python tools/run_gca_member_access_ops.py --base-url https://gca-registration-api.gcagochina.workers.dev --limit 100 --redact none --summary-output .gca_access_data/gca_member_access_ops_summary.json，只在本机读取 token 保护的会员后台数据。
2. 本地报告
输出包含 .gca_access_data/cloudflare_member_access_export.json、账户/钱包/credits/member CSV，以及 .gca_access_data/member_access_report/gca_member_access_summary.json。
3. 支持审核队列
流程生成 .gca_access_data/member_access_report/gca_member_support_queue.csv，用于人工确认用户状态、补资料要求和支持回复，不能自动批准权益。
4. 30 天持有资料
需要 30 天持有审核时，使用 --include-holding-report --holding-no-live-read 基于已有快照生成报告；汇总写到 .gca_access_data/member_access_report/gca_holding_period_summary.json。
5. 运营摘要刷新
会员后台同步后运行 .venv/bin/python tools/run_gca_daily_ops.py --build-digest --update-public-status，让本地运营摘要展示会员数量和处理状态，不暴露用户明细。
6. Credit 使用记录
完成一次人工审核交付后，才通过受管理员 token 保护的 credit_usage 生产路由记录 creditUsageId、serviceId、使用数量和扣减前后余额。该路由不是用户自助扣减入口。
7. 服务请求队列
服务请求先进入本地 service_requests 队列，记录用户请求的服务范围、可选 credit 账本引用、请求占用数量和处理状态。服务请求不会扣减 credits；Credit 使用记录只在人工审核交付后写入。
8. GCA Member 人工决定
用户提交的持有日期和交易哈希只作为辅助材料。运营人员确认资料后，使用 tools/review_cloudflare_member.py 通过受管理员 token 保护的接口记录批准、拒绝或补资料决定。批准时系统会在 Base 安全区块读取余额，并结合 Base Blockscout 与最近的钱包定向 RPC 日志重建观察到的 30 天持有历史；历史不完整、重建不一致或最低余额不足 1,000,000 GCA 时会拒绝批准。
9. 持有证据读取
成功批准后会写入不可覆盖的 gca_holding_verification_v1 记录，管理员可通过 GET /gca/holding-verifications 读取。该记录是只读链上历史重建结果，不是第三方审计，也不会发起签名、交易或会员权益转账。
10. 转账证据记录
储备钱包手动发送完成后，运行 tools/record_cloudflare_member_benefit_transfer.py。Worker 会验证成功回执、Base safe 区块、官方储备、已批准会员钱包、GCA 合约和精确 10,000 GCA；不会发起、签名或广播转账。
本地输出文件
完整注册导出.gca_access_data/cloudflare_email_registrations_export.json
本地注册账本.gca_access_data/email_registrations.jsonl
退订账本.gca_access_data/gca_contact_suppressions.jsonl
内部联系 CSV.gca_access_data/gca_email_contacts.csv
对外脱敏 CSV.gca_access_data/gca_email_contacts_public_redacted.csv
运营汇总.gca_access_data/gca_registration_ops_summary.json
服务请求记录.gca_access_data/member_access_report/gca_service_requests.csv
Credit 使用记录.gca_access_data/member_access_report/gca_credit_usage.csv
运营使用规则
用户联系只联系同意接收 GCA 更新的邮箱
退订处理退订邮箱必须从后续联系导出中排除
对外分享只能分享 public-redacted CSV 或统计摘要
管理员 token只在本地使用，不进网页、不进 Git、不发给第三方
会员审核注册名单只是入口；GCA Member 必须通过受保护人工审核，用户填写日期不能自动激活
服务请求只进入人工审核队列，不会自动扣减 credits、转账或开放交易权限
安全边界
运营流程不能做这些事
- 不能索要私钥、助记词、钱包密码、验证码、交易所 API Secret、提现权限或远程控制。
- 不能把邮箱注册说成已经开通 100 credits、GCA Member 或 10,000 GCA 会员权益。
- 不能把完整用户邮箱、管理员 token、完整 D1 导出文件或本地账本发给外部平台。
- 不能用运营导出绕过钱包余额验证、30 天持有审核、支持审核队列或上线门槛。
- 不能把本地运营汇总、public-redacted CSV 或人工审核记录说成第三方审计或平台批准。
- 可以说明
/gca/service-requests、/gca/credit-usage、/gca/member-reviews、/gca/holding-verifications和/gca/member-benefit-transfers已正式上线并受管理员 token 保护，但不能把它们说成公开自助交付、自动扣减 credits、自动会员激活、自动链上转账或交易权限。
Member Handoff
和会员审核怎么连接
邮箱注册只是用户入口。后续如果用户要进入 100 credits 或 GCA Member 审核，仍需要受控账户 UI、只读 GCA 余额验证、30 天持有资料、支持审核队列和账本记录。运营名单只能作为联系和通知来源，不能替代链上验证。
运营支持入口
继续处理用户流程
普通用户优先使用中文页面和会员入口。运营页面只说明处理流程，不是用户注册表、会员领取页或后台管理页面。