好的实现不会依赖用户反复刷新碰运气，而会让每个阶段有明确输入、输出、超时和终态。 用户关心任务能否完成，不只是剩余百分比。产品应估算当前文件或会话需求，并说明 relay 流量为何双向计数及统计可能延迟。
产品闭环要覆盖开始、等待、取消、失败、恢复与再次进入，并保证自动化服从用户最后一次明确选择。指标应衡量任务结果，而不是按钮点击数量。
先定义系统契约
先从数据和协议能保证的事实出发，再决定界面承诺。下面的规则都应有明确所有者、边界值和兼容策略，不能只存在于某次代码评审的口头共识里。
- 在 70/90/100% 分级提醒，显示本地化重置时间和本次任务预估；接近上限允许切直连、暂停或缩小质量，不用恐吓文案。
- 先定义正常、降级、取消和失败四类终态，再让界面、存储与指标消费同一状态。
- 兼容性通过显式能力协商决定，旧客户端得到可解释的降级路径，而不是进入半可用状态。
“配额提示怎么写：提前、透明、可解释，而不是到 100% 突然失败”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
哪些情况会破坏契约
最值得优先排查的是会静默留下错误事实的故障：界面看似恢复，底层队列、权限或计数却已分叉。这类问题通常在下一次动作才暴露。
- 只在失败后说“无限制已用完”自相矛盾；精确到字节的实时数字若来自延迟计量会反复跳动并失去信任。
- 只修正界面状态而没有清理底层资源，下一次操作继承队列、锁或过期凭据并再次失败。
- 没有背压或配额时，慢消费者会把内存、队列长度与尾延迟一起推高，最后拖累无关用户。
如何逐条验证契约
验证时同时观察两端状态、持久化记录和可观测指标。单看某个按钮或一次接口响应，无法证明整个闭环成立。
- 用计量延迟、跨日、区域切换和大文件预计超过余额场景测试，用户在开始前应能做决定且最终账单可解释。
- 让刷新、取消、超时和远端完成在同一调度窗口发生，断言系统只产生一个终态和一次副作用。
- 分别覆盖直连、中转、弱网、后台标签页和移动端，报告不能只给平均值或一次成功截图。
最终结果应同时满足正确性、可恢复性和可解释性。任何一项只能依赖刷新页面或工程师猜测，都说明协议闭环仍不完整。