适用源码：
9da0beb8e8fdad85f50d7039408c3d98494e91c7。本文记录源码行为，默认配置不等于实服配置。
设计状态：按现状编写，具体业务批准记录未逐项核定；开发状态：下述能力有实现证据，限制单列；验证状态：完成定向源码核对，未执行自动测试或实服验收。
先保护原请求
收到资产、订单、车辆或包裹异常时，先停止同一请求的重复点击和补偿尝试。记录时间、动作、设施/订单标识和提示，保留日志及备份的访问控制；公开沟通中脱敏玩家与账户信息。不要在 Wiki 发布数据库、玩家文件或访问凭据。
按数据边界分流
| 场景 | 优先核对 |
|---|---|
| 通用材料库存 | 材质数量、实际背包、库存写入结果、当前归属 |
| 银行仓库/质押 | 两种存储不要混账，核对保存和退回结果 |
| 制造领取/维护 | 原订单、pending、玩家文件凭据及是否已 finish |
| 驿站包裹/货厢 | 原请求、收件 UUID、站点、整包容纳及保存凭据 |
| 旅行或外部账户 | 传送结果、玩家存档、SQL 与账户分别确认 |
市场结算安全仍需专项审查，本页不提供可公开利用的故障复现步骤或直接改账指令。
保存凭据的含义
SavedPlayerReceipt 回读真实玩家文件；签名或目录不兼容时关闭交接，不降级为内存 PDC。凭据只证明同次保存已发生，不保证玩家现在仍持有物品。缺凭据或读取失败不证明“未交付”，不能据此重发。
制造和包裹 recover 只完成原预留核对；不能绕过锁，也不能将过期快照直接恢复到当前背包。
排查次序
- 确认运行版本、配置、原设施身份和错误时间。
- 分清明确成功、明确失败与结果未知。
- 在受控副本比较证据；记录哪个环节尚不能证明。
- 由有权限维护者制定具体恢复方案，避免同时付款和退款。
- 处理后核对原请求终态与物品资金守恒，再恢复操作。
界面现有“核对”或登录恢复可使用，但未承诺每类异常都能自动解决。
不做什么
不清空 pending、删除订单/账本、直接编辑玩家背包或用新配方猜算退款。不把强制移除当安全结算。不公开生产路径、账户信息、调试凭据或可导致破坏的 SQL。需要私有记录或更高权限的部分由管理员单独处理。
来源
代码根 folia_plugin/src/main/java/com/flrv/：infrastructure/platform/player/SavedPlayerReceipt.java#requireSaved、logic/blacksmith/manufacturing/ManufacturingService.java#handoff/recover、logic/port/service/StationPostService.java#handoff/recover、PortTransportExecutor.java（同 port/service）；docs/玩家与设施指南.md、docs/部署与资源维护.md。
相关：备份边界、玩家常见问题。