一、需求背景
现网 vty.vip 中国部分区域成功进入约 75%；需合并双池、防扫描、可衡量 KPI。
vty-domain-shield · PRD v3.0 · 2026-09-02
保护品牌域名 · 可落地技术方案
vty.vip 中国区成功进入 ~75% → 新方案目标 ≥88%。Brand 301 → Gate 双检 → 加密 3 域 → 轮询。
二、总体方案
Brand→落地域→主站域 五层；判定失败留落地域报错。
三~五、分册
运维（301+桶）、技术（接口+探活+SDK）、测试（P0 用例 TC-B/G/R/C/A）。
域名分层
| 角色 | 示例 | 内容 | 主责 |
|---|---|---|---|
| Brand | winbet.com | 禁止 | 运维 301 |
| Landing 落地域 | entry.vty.net | 判定+报错 | 技术 Gate |
| Site 主站域 | play-a.com | 完整业务 | 技术+运维 |
| Share | s-xx.com | 解析跳转 | 技术 |
KPI 目标
| 指标 | vty.vip 基线 | 新方案目标 |
|---|---|---|
| 中国区全链路成功进入 | ~75% | ≥ 88%（稳定 30 天） |
| 品牌首跳 301 | ~80～85% | ≥ 95% |
| 单省最低 | < 60% | ≥ 78% |
五层域名 + 报错归属（§2.2）
Brand winbet.com ─301─→ 落地域 entry.vty.net（中间层 · 判定）
├─ 判定 FAIL → 地址栏仍是落地域，在本域报错（空页/Loading/全屏）
└─ 判定 PASS → location.replace → 主站域 play-a.com（池内可轮换）
└─ 运行期故障 → 在主站域 Toast/FAILOVER（不回落地域）
分享/直访/App：见 PRD §2.3 各入口差异
四条入口（§2.3）
① 品牌 → 301 落地域 → 双检 → resolve → probe → 进主站域 ② 分享 → 302 直达主站域（默认不经落地域） ③ 直访 play-a.com → 已在主站域 ④ App → 客户端内等效落地逻辑 → 主站域 切流日：Brand + 落地域 + 皮肤 + min_version 同发 · 旧 App 强更
怎么读
运维分册
品牌域只做 301；Gate/Site 分桶；禁止品牌绑 Site 源站。
必须交付（O-1 ~ O-10）
- 品牌 DNS → Brand CDN，仅 301 到 Gate，Body 为空。
- URL 桶：bucket-brand（空）、bucket-gate（极简页）、每 Site 独立桶 +
/__health。 - 证书/WAF：Brand GET/HEAD；Gate +POST resolve；Site 常规。
- 监控：非 301、Body 非空、证书到期、探活失败、可用 Site=0。
- 应急：Site 挂不动 Brand；Gate 挂切备用 Gate Location。
自检
curl -sI https://winbet.com/ # 301 + Location → Gate curl -sL --max-redirs 0 https://winbet.com/ | wc -c # 0 或极短
详见 PRD 第三章。
技术分册
Gate 双检 + 加密 Resolve + 统一池 + 探活 Worker + H5/App SDK。
必须交付（T-1 ~ T-12）
- 池合并：单表
site_domain_pool，channels 区分 h5/app。 - gate/resolve：IP+fp 通过 → AES 加密最多 3 域。
- app/bootstrap：版本关 +
min_version/force_update（§4.4.5）。 - app/resolve：HMAC 签名；低版本 40310；浏览器/curl → 403。
- 探活：30s 周期，3 败 disabled + 告警。
- SDK：解密 → 轮询 health → 失败重拉 Resolve。
- 网关：Site API 校验 X-App-Sign。
接口决策（摘要）
| 条件 | 结果 |
|---|---|
| IP 或指纹异常 | 空页，不返回域名 |
| App 版本 < min | 40310 强制更新 |
| App 无签名 | 403 |
| healthy 域 ≥3 | 加密返回 3 条 |
| healthy 域 = 0 | 503 维护 |
风控、轮询与前端提示（摘要）
| 模块 | 定案 |
|---|---|
| IP | 硬拒绝 5 条 + 评分扣分 10 条；ip_score≥60 通过（§4.3.6） |
| 指纹 | 硬拒绝 8 条 + 评分扣分 10 条；fp_score≥60 通过（§4.3.7） |
| 轮询 | 3 域 HEAD 各 3s → Resolve 重试 3 轮 → 运行期 FAILOVER（§4.6） |
| 前端文案 | E-LOAD / E-PROBE / E-RESOLVE 等 i18n 定稿（§4.10）；截图 Demo |
| 参考实现 | js/gate-fp-collect.js · js/gate-ip-check.reference.js |
完整规则见 PRD §4.3、§4.6、§4.10、§4.11。
测试分册
P0 全过方可上线；可直接拆 Jira/禅道。
P0 模块
| 编号 | 焦点 | 期望 |
|---|---|---|
| TC-B1~B4 | 品牌零内容 | 仅 301，无业务页 |
| TC-G1~G4 | Gate 双检 | 正常进站；异常空页 |
| TC-R1~R5 | Resolve+池 | 3 域加密；切换一致 |
| TC-C1~C7 | 客户端轮询 | 自动切域；UI 映射 §4.11 |
| TC-UI1~UI7 | 前端异常提示 | 文案与 Demo 一致 |
| TC-A1~A5 | App resolve | 签名 OK；非客户端 403 |
| TC-VER1~6 | App 强更+切流 | 40310；Brand+皮肤同发 |
| TC-P1~P3 | 探活+分享 | 90s 摘除；Share 同源 |
| TC-SEC1~8 | 安全审视 | Brand 零内容；无泄密 |
验收签字
| 角色 | 焦点 | 签字 |
|---|---|---|
| 运维 | 301 + 桶 + 监控 | |
| 技术 | 接口 + SDK + 探活 | |
| 测试 | P0 全过 | |
| 产品 | 口径 |
完整用例见 PRD 第五章；安全见 §2.8 TC-SEC。
安全审视分册
杜绝 品牌域 / 主站域 被标记「危险」或无法访问。Brand + Landing 必须保护；Site 可轮换牺牲。
North Star：品牌域 7 日内 0 次因内容/举报失效；浏览器无「危险网站」警告。主站域单域可标红，不得连带 Brand。
保护优先级
【必须保护】Brand + Landing — 零内容、无业务特征、可热备 【可轮换牺牲】Site 主站域 — 池内切换，90s 摘除，不动 Brand
已覆盖（方案强度）
| 能力 | 强度 | 作用 |
|---|---|---|
| Brand 零内容 301 | ★★★★★ | 举报材料无业务截图 |
| 落地域中间层 + 报错留本域 | ★★★★☆ | 判定阶段不暴露 play-* |
| IP + 指纹双检 + 加密 Resolve | ★★★★☆ | 挡爬虫撞库 |
| 主站池轮换 / FAILOVER | ★★★★★ | Site 死 Brand 活 |
| 证书 SAN 分离 | ★★★★☆ | 降关联分析 |
| 分享 302 明文 primary | ★★☆☆☆ 薄弱 | 主域 URL 可泄露 |
| 主站直访无 Gate | ★★☆☆☆ 薄弱 | 爬虫直达 Site |
| Safe Browsing 自动监测 | ★☆☆☆☆ 遗漏 | 标红后才发现 |
漏洞与遗漏（须补齐）
| ID | 级 | 问题 | 建议 |
|---|---|---|---|
| SEC-01 | P0 | Brand 误指 Site 源站 | 日巡检 Body+301；O-3 告警 |
| SEC-02 | P0 | 应急把业务挂回 Brand | 制度禁止 + 变更审批 |
| SEC-03 | P0 | 落地页出现业务特征 | bootstrap <2KB，无赛事/钱包 |
| SEC-04 | P1 | Share 302 明文 primary | token 化 / 限流 / 高频换域 |
| SEC-05 | P1 | 直访无 Gate | WAF 行为 + 可选二次跳 Landing |
| SEC-06 | P1 | H5 AES 密钥可逆向 | 混淆 + 90d 轮换 + pinning |
| SEC-07 | P1 | 无威胁情报监测 | 日检 Safe Browsing / 360 |
| SEC-08 | P1 | Landing 单点 | ≥2 Landing 热备 |
| SEC-09 | P1 | 错误文案含禁词 | 仅 §4.10 中性 i18n |
| SEC-10～14 | P2 | Referer/CT/分享深链等 | 见 PRD §2.8.4 全文 |
三层加固（执行清单）
A · 品牌域
仅 301、Body 0、独立证书、WAF 仅 GET、多 Brand 热备、禁止回挂业务。
B · 落地域
无业务路由、风控空页、≥2 热备、Bot 不调 resolve、维护页无业务视觉。
C · 主站域
独立桶、90s 摘除、FAILOVER 不回 Brand、物料不印 play-*。
边界声明：架构保证 Brand 举报无业务特征；不能保证 Site 永不被标红——保证 Site 可换、Brand 不连带。国家级封锁、App 商店举报属边界外。
安全验收 TC-SEC（P0）
| 编号 | 期望 |
|---|---|
| TC-SEC1 | 扫 Brand 全路径：仅 301/空，0 业务关键词 |
| TC-SEC2 | Headless → 空页，响应无 domains |
| TC-SEC3 | curl resolve 无明文 play-* |
| TC-SEC5 | Safe Browsing 查 Brand 无威胁 |
| TC-SEC7 | Site disabled 后 Brand 仍 301 空 Body |
完整威胁模型、14 项 SEC 清单、TC-SEC1～8 → PRD §2.8