好的实现不会依赖用户反复刷新碰运气，而会让每个阶段有明确输入、输出、超时和终态。 Wi-Fi 到蜂窝通常使所有 host/srflx candidate 失效，网络成本也变化。底层重连成功不等于用户同意继续大文件或高码率共享。
网络诊断必须区分观察事实与推断结论。候选类型、选中路径和阶段耗时可以证明连接过程，完整 IP 或一次探测结果既不必要，也不足以代表真实可达性。
先定义系统契约
落地时要把关键选择变成稳定契约：输入如何校验、状态由谁推进、资源何时释放、旧版本如何降级。只有这样，后续优化才不会改变原有语义。
- network change 启动有界 ICE restart，同时暂停 bulk 读取；新 pair 确认后重置带宽控制，若 saveData 或用户策略命中则询问继续。
- 所有输入都设置大小、次数和时间预算，并在超限时返回可操作的稳定错误码。
- 重试必须带幂等键、退避和截止时间；超过截止时间后建立新任务，而不是继续复活旧回调。
“移动网络切换：Wi-Fi 到蜂窝时连接、配额和隐私怎样延续”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
哪些情况会破坏契约
边界条件会把隐藏假设变成真实事故。弱网、刷新、并发和容量上限必须组合测试，因为单独出现时它们往往都能被重试掩盖。
- 旧 selected pair 恢复事件晚到会覆盖蜂窝新路径；自动续传数 GB 文件可能消耗用户套餐并破坏信任。
- 刷新或网络切换同时触发两条恢复路径，重复副作用被误当成两次真实用户操作。
- 降级路径从未压测，主路径故障时所有流量同时进入更慢、更昂贵的后备方案。
如何逐条验证契约
验证需要先写预期状态轨迹，再执行故障注入。每个阶段同时核对用户可见结果、两端协议状态、持久记录和资源计数，才能证明闭环成立。
- 在文件和屏幕中往返切换 Wi-Fi/4G/5G，打开省流量、弱信号和 VPN，验证 epoch、暂停策略、码率与用户选择。
- 用乱序、重复和延迟消息驱动状态机，确认旧版本被丢弃且显式停止不会被自动恢复覆盖。
- 用故障注入验证告警先于用户投诉触发，并确认值班人员能从有限证据定位到具体阶段。
完成并不等于主路径跑通，而是每个终态都能对账、每个自动动作都受用户意图约束、每个成本都有明确上限。