书信与投递
地址体系、笔友申请、信件状态、班次、路径与在途轨迹共同决定一封信如何离开、如何绕路、如何送达。
Core Modules
六组能力共同决定心乡如何真正运转
在公开页面上看到的是一片平静世界，背后则是围绕书信、旅行、社区、推荐、审核与纪事档案建立起来的一整组边界清晰的服务。
旅行与实时会面
旅行服务负责车票、船票、路线、到达判定与旅行状态切换；到站后才临时打开即时会面的权限。
社区与世界事件
档案室、提案、选举、税收流向、条件篝火、世界广播和纪念条目由异步社区能力与纪事系统共同承接。
地理、路网与物流
地理域、路网域和物流域保证信件与旅人要遵守同一片大陆的真实规则，而不是被前端假装成“有距离”。
流苏与 AI 辅助
流苏承担入境问答、回响、润色和匹配等辅助职责，但始终不替代真实关系，也不制造虚假亲密闭环。
审核与治理
书信、波纹、回声、路碑、篝火消息与纪念条目统一进入审核编排链路，由模型、安全服务和人工复核共同托底。
Architecture
从入口到事件流，心乡采用一套明确区分体验编排、模型调度与世界规则的分层结构
这样设计的意义，是避免“世界感”沦为前端特效，而让每一段旅程、每一封信件、每一次到达都能被系统稳定计算和治理。
入口层
BFF 统一承接客户端请求，负责鉴权、版本管理、聚合编排和对外 API 的一致体验。
模型网关层
LLM Gateway 统一管理多模型接入、路由、回退、计费、审计与 Prompt Registry，避免业务直接耦合某一家模型供应商。
服务层
通信、异步社区、实时会面、旅行、世界、工作、通知、推荐、审核和纪事档案按边界拆分，互相通过事件协作。
领域层
地理域、路网域、物流域、班次与估时服务保证书信和旅行遵循同一套世界规则，而不是假装存在距离。
AI Boundary
AI 在心乡里的角色，是摆渡人与守望者，不是关系替代者
心乡对 AI 的要求不是“越像真人越好”，而是“越能辅助真实关系，越能守住边界越好”。这决定了它只能停留在辅助位，而不能成为产品的情感核心。
入境问答
流苏通过语义理解评估动机、耐心和情感深度，筛除明显不适合进入世界的人，保证这片空间有自己的门槛。
无人回应时的回响
当情绪海暂时没有被人接住，AI 可以给出一段克制、非说教的回响，照亮第一瞬间，但不霸占后续关系。
灵魂匹配与润色
AI 负责做语义匹配、风格接近度判断和表达润色建议，帮助人更清晰地找到彼此，却不替用户代写整段亲密交流。
多模型与本地优先
高频轻量场景优先交给本地或低成本模型，质量要求高的问答再走更强模型，既控制成本，也保留体验弹性。
Governance
治理不是附加条款，而是这片世界能否长期存在的地基
书信、波纹、回声、篝火与纪念条目都承载真实情感，因此必须进入严肃的审核、风险与权限体系，而不是交给“社区自发解决”。
统一审核编排
所有关键内容进入统一队列，由阿里云内容安全、本地模型和人工复核共同处理，避免高风险文本绕开治理链路。
- 书信、波纹、天穹回声、篝火消息、路碑与纪念内容全部纳入同一机制
- 管理面板可以查看审核状态、人工复核结果与申诉记录
权限与后台边界
后台采用菜单、RBAC 和操作审计，避免运营动作与系统治理混在一起。世界维护需要被精确授权，而不是任何人都能直接改写规则。
- 世界管理、内容处理、客服、审核与系统运维各自拥有不同权限集
- 关键治理动作要求留痕，支持审计与追溯
合规与边界表达
心乡明确不是游戏，也不以“治病”为产品定位。即时通信与增值电信能力需要遵循合规要求，公开表达也必须避免误导式承诺。
- 对用户表达坚持“陪伴、倾听、归属”，而不做医疗功效宣传
- 涉及即时能力的部分默认遵循相应监管和许可证要求
纪事与事件流
RoadOpened、RoadBlocked、ShipmentDelivered 等事件不仅驱动系统变化，也被纪事服务捕捉，用于沉淀世界记忆和可追踪的运营历史。
- 系统层事件成为世界广播与纪念条目的来源之一
- 重要状态变化既可计算，也可以被人真正看见