工程上最危险的不是完全不可用，而是在理想环境里正常、进入真实网络和真实数据量后悄悄失去边界。 用户需要连接尽快回来，但不需要每次 ICE 抖动都弹窗。前几秒在原位静默恢复，超过阈值才显示可理解阶段和取消入口。
产品闭环要覆盖开始、等待、取消、失败、恢复与再次进入，并保证自动化服从用户最后一次明确选择。指标应衡量任务结果，而不是按钮点击数量。
工程边界与取舍
这项能力横跨客户端、网络与服务端，局部最优很容易制造全局故障。工程决策需要同时约束两端行为、持久化事实和运维预算。
- stop intent 按对端持久化并高于 online、timer 和 refresh 事件；技术重连若身份与信任未变不重复请求同意，权限变化才重新确认。
- 为状态写出唯一所有者、版本号和终态；任何回调只能修改自己创建的版本。
- 上线参数必须有保守默认值、服务端上限和灰度开关，不能把浏览器传来的数字直接当作资源预算。
“自动重连的产品体验：积极恢复，但永远尊重用户点的 ×”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
生产环境会怎样出错
生产问题往往发生在两个正确动作同时到达时。需要逐条检查迟到消息、重复执行、资源耗尽和版本交叉，而不是只补当前堆栈显示的那一行。
- 把“正在连接”条关闭只当 UI dismiss 会让后台继续弹回；每次刷新都重新同意则把可靠性问题转嫁给对端。
- 失败被压成一个布尔值，调用方无法区分可重试、需用户介入与永久拒绝，最终形成无限循环。
- 没有背压或配额时，慢消费者会把内存、队列长度与尾延迟一起推高，最后拖累无关用户。
把测试跑成闭环
发布闸门应包含确定性回归、随机时序探索和真实浏览器组合。发现一次失败后保存 seed 与状态轨迹，让它永久成为可重放用例。
- 对 1/5/30 秒断线、用户点 ×、A 刷新、A/B 同刷和撤销信任做双端测试，记录提示次数、恢复时间与最终意图。
- 让刷新、取消、超时和远端完成在同一调度窗口发生，断言系统只产生一个终态和一次副作用。
- 分别覆盖直连、中转、弱网、后台标签页和移动端，报告不能只给平均值或一次成功截图。
最终交付标准应当是：正常路径足够快，异常路径能够收敛，用户意图不会被自动恢复覆盖，运维人员也能从有限而安全的证据定位问题。