一项能力能否长期维护，不取决于演示是否成功，而取决于团队能否解释每个状态、每次重试和每一份残留数据。 同一局域网并不等于同一信任域，酒店、公司和访客 Wi-Fi 都可能包含陌生人。发现只应表明一个临时服务可用，不能泄露姓名、文件或长期指纹。
风控既要限制滥用，也要限制自己收集的数据。优先使用短期、粗粒度、可解释信号，并为共享网络、弱网和辅助技术保留恢复与申诉路径。
设计时必须回答的问题
这项能力横跨客户端、网络与服务端，局部最优很容易制造全局故障。工程决策需要同时约束两端行为、持久化事实和运维预算。
- 默认使用短期随机实例名和最少能力位，用户可关闭发现；连接请求仍经过带身份指纹的明确同意，拒绝后对请求方冷却。
- 把协议事实、用户意图和自动恢复分层；自动化只能恢复事实，不能推翻用户明确选择。
- 兼容性通过显式能力协商决定，旧客户端得到可解释的降级路径，而不是进入半可用状态。
“局域网发现的隐私边界：可见不等于可以自动连接”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
边界情况不是附加项
生产问题往往发生在两个正确动作同时到达时。需要逐条检查迟到消息、重复执行、资源耗尽和版本交叉，而不是只补当前堆栈显示的那一行。
- 广播长期设备 ID 允许旁观者跨地点追踪；发现后自动握手又会让同网攻击者持续弹窗或消耗 TURN 与电量。
- 旧响应在新任务建立后迟到，如果没有版本隔离，会把健康状态覆盖成失败或再次启动已取消工作。
- 指标标签直接包含用户或任务标识，既制造高基数成本，也让诊断数据泄露不必要的身份信息。
用证据确认它真的可用
用已知输入和可控故障建立金样本，然后把线上低基数指标与测试结果对齐。只有指标能提前识别同类退化，验证才真正延伸到生产。
- 在家庭、企业、访客和攻击者广播环境中抓包与交互，确认未同意前无法关联长期身份、触发功能或无限请求。
- 用乱序、重复和延迟消息驱动状态机，确认旧版本被丢弃且显式停止不会被自动恢复覆盖。
- 分别覆盖直连、中转、弱网、后台标签页和移动端，报告不能只给平均值或一次成功截图。
可以上线的标准是：用户知道当前发生了什么，系统在异常后能停止或恢复，资源不会无界增长，运维也能从最小必要证据定位阶段。