主用例说明：插件安装与启停

背景概述

PowerX 核心平台支持企业以插件化方式快速扩展业务能力。为了确保插件在不同租户、环境与生命周期阶段中稳定运行，平台必须提供覆盖安装、启停、升级与风控的统一能力。随着 Marketplace 丰富、内测需求增加、以及对风险插件的即时处置要求，本主用例聚焦“插件安装与启停”主流程，梳理多角色在沙箱调试、正式部署、自动升级与风险控制中的关键触点与约束。

目标与价值

• 敏捷交付：支持开发者与管理员快速、低风险地在不同环境安装插件。
• 标准化治理：提供统一的启停、升级、回滚机制，保障插件生命周期管理规范。
• 安全可控：在发现风险或合规问题时，可及时停用插件并保留审计记录。
• 运营效率：通过 Marketplace 与自动升级能力降低人工运维成本。

参与角色

• 插件开发者：在测试租户中手动安装、调试本地插件包。
• 企业管理员：从 Marketplace 安装官方插件并配置租户级策略。
• 运维人员：监控插件运行状态，执行启停、升级、回滚等操作。
• Marketplace 服务：提供插件检索、购买、安装源与版本控制能力。
• 自动化升级任务：定时检测新版本并执行升级编排。
• 安全/合规团队：在风险场景下要求停用插件并保留证据链。

主场景 User Story

作为 平台运维负责人，我希望 可以统一管理插件的安装、启停与升级流程，从而 确保插件快速上线且在出现风险时能够即时处置并可审计。

子场景详解

子场景 A：开发者在测试租户手动安装本地插件

• 角色与触发：插件开发者在迭代测试阶段，需要将本地构建的插件安装至沙箱租户验证。
• 主要流程：
  1. 开发者在控制台选择目标测试租户并进入“插件管理”。
  2. 上传本地插件包（包含 manifest、二进制/脚本、依赖说明），系统执行签名校验与依赖检查。
  3. 安装向导引导配置必要环境变量、密钥占位符与调试日志级别。
  4. 系统启动插件实例，并在沙箱环境中自动生成测试用数据。
• 成功标准：插件在 2 分钟内完成安装并进入运行态；日志面板显示健康状态；测试租户独立隔离。
• 异常与风控：包签名校验失败、依赖冲突或资源配额不足时中断安装并回滚；所有调试操作仅限测试租户。
• 指标建议：安装耗时、失败率、资源占用情况、沙箱回滚次数。

子场景 B：企业管理员从 Marketplace 一键安装官方插件

• 角色与触发：企业管理员希望在生产租户快速部署经过认证的官方插件。
• 主要流程：
  1. 管理员在 Marketplace 浏览并选择插件，查看版本、权限请求与定价条款。
  2. 点击“一键安装”，系统校验租户 License、计费权限与依赖插件是否满足。
  3. 安装流程自动拉取插件镜像/包，完成部署并执行自检。
  4. 管理员在向导中确认默认配置、授权租户内用户或角色，发布至生产环境。
• 成功标准：安装步骤无人工干预即可完成；插件状态为“已启用”；相关用户获得访问入口；计费记录同步生成。
• 异常与风控：若 License 不足或依赖缺失，安装需阻断并提示补齐；Marketplace 拉取失败时可自动重试或回滚；安装全程具备审计轨迹。
• 指标建议：Marketplace 安装成功率、平均部署时间、依赖校验命中率、配置完成率。

子场景 C：系统检测到新版本后自动触发升级

• 角色与触发：自动化升级任务发现插件发布新版本，需要在维护窗口内升级。
• 主要流程：
  1. 升级任务对比 Marketplace/镜像仓库版本，生成升级计划并通知运维。
  2. 在维护窗口内自动创建灰度实例，加载配置并执行健康检查。
  3. 成功后逐步将流量切换至新版本，保留旧版本回滚通道。
  4. 升级完成后生成报告并更新版本状态。
• 成功标准：升级过程不中断关键业务；健康检查通过后才切换流量；旧版本自动归档且可回滚；通知同步到运维与管理员。
• 异常与风控：健康检查失败或关键指标异常时需自动回滚；可配置升级暂停开关；必须记录变更日志以便审计。
• 指标建议：升级成功率、平均切换时间、自动回滚次数、灰度覆盖度。

子场景 D：运维人员手动停用存在风险的插件

• 角色与触发：安全团队发现插件存在漏洞，需要立即停用以避免影响。
• 主要流程：
  1. 运维人员在“插件运行状态”中定位目标插件并触发“停用”操作。
  2. 系统通知相关用户，逐步停止新请求并等待当前任务完成或中断。
  3. 停用过程中生成存档数据与日志快照，供后续分析或举证。
  4. 插件状态标记为“已停用”，仅管理员可重新启用，需二次审批。
• 成功标准：停用动作在 1 分钟内生效；相关用户收到通知；日志与数据快照安全存储；审批链条完整。
• 异常与风控：停用失败需即时告警；支持强制中断模式并记录风险；合规要求下保留最少 30 天的访问记录。
• 指标建议：停用响应时间、执行成功率、通知到达率、恢复审批时长。

功能边界 & 非目标场景

• 不涉及插件代码开发、调试工具链的实现细节，参见“插件开发与调试”主用例。
• 不覆盖计费结算或 Marketplace 审核流程细节，需参考“计费与结算”或“插件发布与上架”主用例。
• 不处理宿主与插件的通信协议细节，相关内容归入“宿主调用插件”与“插件间通信”主用例。

依赖与接口

• 插件包管理服务：负责包签名校验、依赖解析、镜像仓库访问。
• 租户与 License 服务：校验租户配额、计费授权与安装权限。
• 配置与密钥管理服务：集中存储插件配置、密钥模板并支持环境隔离。
• 监控与健康检查服务：提供资源监控、心跳检测与升级前验证。
• 通知服务：向管理员、用户推送安装/停用/升级通知。
• 审计日志服务：记录插件生命周期内的操作、审批、回滚动作。

验收要点

1. 支持测试租户手动上传安装，具备签名、依赖与资源配额校验，并可一键回滚。
2. Marketplace 安装流程自动完成依赖校验、配置引导与权限分配，失败可回滚并留痕。
3. 自动升级具备灰度、健康检查、流量切换与回滚机制，可配置维护窗口与暂停策略。
4. 停用操作必须支持通知、日志存档与审批复核，确保关键风险在 1 分钟内得到控制。

场景级测试用例示例

测试准备：搭建包含“测试租户”“生产租户”的沙箱环境，预置 1 名开发者、1 名企业管理员、1 名运维人员；部署 Marketplace 测试仓库、升级调度服务与审计日志服务；准备正常插件包 analytics-lite 与带签名错误的包 bad-signature。

用例 A-1：测试租户手动安装成功（正向）

• 前置条件：测试租户资源配额充足；插件包 analytics-lite 签名有效。
• 操作步骤：
  1. 开发者上传 analytics-lite 包并填写环境变量。
  2. 启动安装并观察日志面板。
• 预期结果：
  • 安装在 2 分钟内完成，插件状态为“运行中”。
  • 日志显示初始化完成，生成测试数据样本。
  • 审计日志记录上传者、包版本、安装时间。

用例 A-2：签名校验失败回滚（逆向）

• 前置条件：使用 bad-signature 包；启用严格签名策略。
• 操作步骤：
  1. 上传 bad-signature 包并尝试安装。
• 预期结果：
  • 系统在校验阶段拒绝安装，提示“签名无效”。
  • 插件未进入运行态，资源释放；审计日志记录失败原因。
  • 开发者收到失败通知，需重新提交。

用例 B-1：Marketplace 一键安装成功（正向）

• 前置条件：生产租户 License 有效；Marketplace 中插件 crm-suite 可用。
• 操作步骤：
  1. 管理员在 Marketplace 选择 crm-suite，点击“一键安装”。
  2. 按向导完成权限配置并发布。
• 预期结果：
  • 插件状态为“已启用”，门户显示入口。
  • Marketplace 记录消费订单；租户内指定角色获得访问权限。
  • 审计日志记录安装人、配置项与发布时间。

用例 B-2：依赖缺失阻断（逆向）

• 前置条件：crm-suite 依赖 data-hub 插件；租户未安装依赖。
• 操作步骤：
  1. 发起安装流程。
• 预期结果：
  • 安装被阻断并提示需先安装 data-hub。
  • 无插件实例被创建；通知发送给管理员与运维。
  • 审计日志记录阻断原因与建议动作。

用例 C-1：自动升级灰度成功（正向）

• 前置条件：升级计划将 crm-suite 从 v1.2 升级至 v1.3；灰度比例 20%。
• 操作步骤：
  1. 启动自动升级任务并监控灰度实例。
  2. 确认健康检查通过后切换全部流量。
• 预期结果：
  • 灰度实例运行稳定，关键指标无异常。
  • 升级完成后版本号更新为 v1.3，旧版本标记可回滚。
  • 升级报告生成并推送给运维。

用例 C-2：健康检查失败自动回滚（逆向）

• 前置条件：升级至 v1.4 时健康检查返回错误。
• 操作步骤：
  1. 启动升级任务，监控健康检查。
• 预期结果：
  • 系统检测到错误后自动回滚到 v1.3，恢复流量。
  • 触发告警并标记升级计划为“失败”。
  • 审计日志记录回滚动作与错误指标。

用例 D-1：手动停用成功（正向）

• 前置条件：安全团队确认 risk-monitor 插件存在漏洞。
• 操作步骤：
  1. 运维在控制台执行“停用”并选择“等待任务完成”。
• 预期结果：
  • 插件状态变为“已停用”，新请求被拒绝。
  • 相关用户收到停用通知；日志快照存档完成。
  • 重新启用需要管理员与安全团队审批。

用例 D-2：强制停用并保留证据（逆向）

• 前置条件：risk-monitor 已造成异常流量；需立即强制停用。
• 操作步骤：
  1. 运维选择“强制停用”，勾选“保留日志并冻结配置”。
• 预期结果：
  • 插件立即停止运行并阻断所有请求。
  • 系统生成完整的日志包与配置快照供安全调查。
  • 审计日志记录强制停用原因、执行人与时间戳。