6 分钟阅读
自动发布为什么必须有一个急停开关
任何能修改客户网站的自动化流程，都应该按支付系统的标准来设计。这里是我们的完整清单。
问题不是「会不会出错」，而是「出错时能不能停下来」
自动发布本质上是把一个写权限交给一个长期运行的程序。只要它在运行，它就有可能在你不注意的时候写入十篇不该发的内容。
所以真正需要设计的不是「怎样让它不出错」，而是「出错时多久能停下来，停下来之后现场是什么样」。
我们的清单
默认关闭自动发布，必须显式开启；每站点每日发布硬上限；发布任务幂等，重试不产生重复文章；工作台和插件双端急停；取消订阅后不再创建任何任务；用户手工编辑过的正文永不覆盖；所有动作写入审计日志。
这些约束加起来会让产品看起来「不够自动」。这是有意的取舍：一次事故造成的信任损失，远大于少发几篇文章的损失。