ADR-0005：生效方式与用户控制边界

日期：2026-07-20　状态：已接受

决策

下载、验签、自检、暂存全程静默。生效需重启： - 默认：下次自然重启静默生效。 - 清单标 urgent（发布审批时决定，P0 故障标）：弹轻提示引导重启；用户有活跃下载任务时延迟到任务完成后再弹；同一热修最多提示 1~2 次，之后安静等自然重启。

用户控制边界："给用户控制何时生效的权利，不给是否修复的选择，留隐藏通道兜极端情况"： - 拒绝重启提示 = 推迟生效，不是拒绝热修； - 不在 UI 提供"关闭热修"设置（避免在网版本碎片化污染 VIP 平台成功率指标；Chrome 组件更新同例）； - 隐藏逃生门：标记文件禁用热修拉取（沿用 ignoreDataStatistics 模式），供客服排查与极端兜底； - 个体"热修后变差"：客服指引隐藏开关 + 本地 safe exe 换回；群体性 → 走指标回滚；清单支持 exclude 名单按 machine_id 排除个别设备。