一、用途
Roblox 在线运营与持久化技能，用于将在线状态设计为可恢复、可审计、可抵御重试和并发的服务器流程。当需要实现 DataStore 持久化、开发者产品发放、线上活动或运营回滚时使用。开始前读取架构契约、数据字段、经济规则、目标体验及插件路由。
二、主要能力
- 状态设计与所有权
DataStoreService 仅由服务器访问；客户端不得成为存档、余额、收据或运营配置的权威写入者。使用 Studio API Services 会连接同一体验的线上 DataStore，不得擅自开启；测试必须使用独立测试体验/版本和独立命名空间。收据的唯一授予入口为服务器 MarketplaceService.ProcessReceipt；不得用 PromptProductPurchaseFinished 判断或授予商品。
- 数据契约与写入规划
先查状态架构、数据格式、读写频率、并发写入者、购买类型、失败恢复目标和已批准测试环境。为每份数据明确唯一写入者、主键、当前结构、默认值、验证、隐私边界和过期/删除策略；只有 Work Item 或需求文档明确要求存量数据迁移/兼容时才规划迁移，默认不新增旧版兼容层，也不为旧客户端保留兼容层。
- 请求预算与并发控制
对 DataStore 请求按预算规划批量、缓存、重试、退避、限频与失败界面；标明临时不可用时的安全行为。并发更新使用合适的原子更新路线；UpdateAsync 回调必须短小、确定且不可 yield，不在回调内执行外部副作用。玩家进入/退出时避免重复加载与覆盖新数据；请求超时或退出期间写入时保留可恢复状态并记录失败。
- 购买收据幂等
对开发者产品按 PurchaseId 做持久化幂等和并发控制；仅在商品已可靠授予且收据状态已持久记录后返回 PurchaseGranted。未能可靠授予或保存收据时返回 NotProcessedYet，让平台可重试；不能因短暂错误标记已领取。
- 运营配置与渐进式发布
运营配置须有默认安全值、版本、启停条件、观察指标、回滚值和配置缺失的行为；灰度范围按可观察风险逐步扩大。将活动与经济变更交给 QA 验证重复请求、并发、掉线、服务器关闭和重试；若需求明确要求存量迁移，再额外验证迁移路径。
- 故障演练与监控
为每个 DataStore Key 定义最大记录尺寸、字段必需性、当前默认值和结构校验；只有项目明确要求存量数据迁移/兼容时才设计旧格式处理。读取存档时校验结构并隔离坏记录，不把不可信数据直接应用到经济或权限。对 UpdateAsync 的重试设计纯函数式变换；回调不 yield，也不发送通知或发奖等外部副作用。监控请求失败、预算不足、异常增长、重复收据和配置读取失败，规定告警后的负责人。灰度功能应有快速关闭开关，关闭后客户端和服务器对未完成流程采取一致的回退。
三、使用方式
- 交付与验证
交付数据字典、存档结构版本、读写预算、失败/恢复路径、收据状态机、配置开关和回滚说明。使用脚本搜索与读取确认读写入口和 ProcessReceipt 唯一所有者；记录 Studio 证据与测试数据命名空间。验证每个关键操作的重复执行和并行竞争；缺少独立测试环境或持久性证据时标记 NOT_RUN/阻断。对 Creator Dashboard 或线上服务的任何写入、灰度变更和发布单独取得明确授权。
- 状态与交接
状态所有权遵循架构，经济参数与 QA 用例分别交接数值和 QA。不得在 ProcessReceipt 中丢失购买，或在持久化确认前报告已发货。不得使用线上 DataStore 进行未经授权的测试或回填。
- 数据恢复与回滚
运营奖励要有唯一发放记录和适用条件，重复领取时返回稳定结果。数据恢复或退款涉及线上记录时，先准备审计输入、目标 Key 清单和恢复差异，再执行获批操作。明确要求的存量数据迁移或旧客户端兼容，先通过独立测试体验验证读取、写入与重试；其他任务仅实现当前目标格式，不添加旧版兼容路径。发布后观察窗口和回滚门槛需在变更前明确，不能等线上异常发生后临时定义。
四、适用场景
需要实现 DataStore 持久化、开发者产品发放、线上活动或运营回滚时使用。适用于设计在线数据、经济结算、收据处理、配置开关和渐进式运营的服务器流程。
五、限制
若数据留存、经济恢复、购买权益、线上配置或测试命名空间有无法从契约和环境证据消除的取舍，交给 Roblox 游戏拷问明确用户决定并记录；这不自动授权对线上 DataStore 或 Creator Dashboard 写入。决定后回交原工作项。对 Creator Dashboard 或线上服务的任何写入、灰度变更和发布需单独取得明确授权。缺少独立测试环境或持久性证据时标记 NOT_RUN/阻断。其他细节暂未提供。