每次请求使用 HMAC-SHA256 签名验证，防止篡改与重放攻击。
按百分比与标签精确控制灰度范围，支持一键回滚。
自动注册、授权管控、标签分组、禁用解禁，全生命周期可追溯。
下载会话支持 Range 请求，弱网环境下也能完成更新。
每一次操作留痕，变更快照、操作人、IP 全部记录在案。
基于 Cloudflare 全球边缘网络，低延迟高可用，无需自建 CDN。
管理后台上传 APK/补丁包，自动计算哈希并存入私有 R2 存储桶。
选择构件、渠道与灰度比例，创建发布并激活，唯一索引保证单活。
客户端签名请求检查更新，命中灰度后获得下载会话，完成 OTA 升级。
R2 存储桶完全私有，所有下载请求经 Pages Functions 代理转发。客户端永远只看到 Pages 域名，不存在预签名 URL 泄露风险。
每个应用每个渠道同一时间只有一个 active 发布，D1 唯一索引兜底。激活与归档在同一个批处理事务中完成，杜绝竞态。
支持自动授权与手动授权两种模式。按天数/永久/取消授权三种粒度，过期设备惰性标记，后台一键续期。
check-in 采用 60 秒节流写入，设备事件 5 分钟去抖。nonce 防重放交给 Durable Object，不在热路径上压 D1。