这类问题看似集中在一个 API 或参数上，真正决定可用性的却是状态归属、资源上限和失败后的恢复方式。 最后写入胜出依赖可比较时钟并会静默丢掉并发意图。版本向量按参与者计数：一方全部分量不小于另一方才具有因果支配，否则需要合并。
分布式正确性来自幂等键、租约、单调版本和可对账事实，而不是假设请求只到一次。超时代表结果未知，调用方不能未经确认就把它解释成失败。
先把实现决策说清楚
先从数据和协议能保证的事实出发，再决定界面承诺。下面的规则都应有明确所有者、边界值和兼容策略，不能只存在于某次代码评审的口头共识里。
- 仅为确实允许多主离线写入的实体启用向量；字段使用集合并集、显式撤销优先或人工选择等确定策略，并压缩退休设备分量。
- 为状态写出唯一所有者、版本号和终态；任何回调只能修改自己创建的版本。
- 资源释放是协议的一部分：定时器、句柄、队列和临时数据都要在终态中可重复清理。
“版本向量何时值得用：合并双方离线修改而不是选最后写入”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
最容易漏掉的失败路径
失败路径需要与成功路径共享同一套状态模型。只弹一个错误提示却不释放资源、不传播终态，下一次恢复就会继承脏状态。
- 把“撤销信任”和“修改昵称”整个对象做 LWW，较晚昵称更新可能复活已撤销设备；无限保留设备分量又让元数据增长。
- 刷新或网络切换同时触发两条恢复路径，重复副作用被误当成两次真实用户操作。
- 只在理想数据量下测试，真实的大文件、长会话或高并发会越过隐含上限并产生级联故障。
上线前怎样验证
验证时同时观察两端状态、持久化记录和可观测指标。单看某个按钮或一次接口响应，无法证明整个闭环成立。
- 让两个离线设备分别撤销信任和修改设置后同步，交换到达顺序并重复合并，结果必须确定、幂等且安全字段不被复活。
- 让刷新、取消、超时和远端完成在同一调度窗口发生，断言系统只产生一个终态和一次副作用。
- 分别覆盖直连、中转、弱网、后台标签页和移动端，报告不能只给平均值或一次成功截图。
当实现能够安全降级、重复执行不产生额外副作用、故障指标早于投诉出现时，这项能力才算具备长期维护价值。