所有权威名单，一次调用。

一次调用

权威名单层在一个响应里为它调用过的每一个来源作答，包括那些什么都没返回的来源。

完整，而不是只给命中

发行方拒付名单与制裁名单一起查。没有命中的来源同样被上报，附名单版本与作答时间——因为「这个来源在这个版本、这个时点说了没有」，正是你日后需要拿得出来的东西。

快到可以放在链路里

权威名单层的目标是 P99 低于 100 ms，因为它就坐在你的贷记链路上，后面所有环节都在等它。

每次调用的成本都可见

每个响应都报告本次调用消耗的计量单位，因此花销可以从你自己的日志里还原，而不是只能从我们的账单里看。

给引用，不给布尔值

命中不是以 true 的形式返回的。它带着来源、名单版本、该来源给出的细节，以及指向我们收到并留存的那份响应体的内容寻址引用。布尔值是别人替你下好的结论；留存的响应是你可以自己重读的东西。

多源并列

不同来源用的是不同量纲、不同的分类词汇、不同的更新节奏。一家的分数与另一家的分数不可比，强行换算会制造出两边都不存在的精确度。

原样保留

每个来源的判定、分数与分类标签，都按该来源自己的口径返回——不翻译、不换算、并标明出处。

把不一致摆出来

来源之间互相矛盾时，响应会明确说出来，而不是悄悄挑一个赢家、再把结果当成共识端上桌。

不做合成

没有加权合并，没有总分，任何模式下都没有，debug 输出里也没有。

付费源受闸门控制

调用付费源是整条裁决里唯一的边际成本，也是最容易被要求解释的那一行账。路由器的职责是在风控要求允许的范围内尽量少花，顺序固定、由你配置、可被审计。

1. 01 权威名单层已经足以定级时，不调用任何付费源。
2. 02 金额低于你设定的阈值时，不调用任何付费源。
3. 03 存在有效缓存结果时，用缓存。
4. 04 你本周期预算耗尽时，裁决降级——降到 HOLD，绝不会降到 CREDIT。
5. 05 大额入金调用双源，两者之间若有不一致会如实上报。

月度归因把花销按规则、按来源、按入金逐项拆开，账单可以逐行争论，而不是只能整份接受。

按事件失效的缓存，不只按时间

地址风险不是静态的，而只靠 TTL 的缓存，恰恰会在最要紧的那天最不准。三类事件会立即让缓存结果失效：

1. 01 该地址出现在任一名单上。
2. 02 该地址发生新的链上活动。
3. 03 某个来源发布了名单更新。

基于时间的过期仍然在底下跑。它是下限，不是机制本身。