海外订阅核对与乱序保护
适用范围与用途
本段用于 FST 海外服务的订阅核对。海外服务使用 Tesla 美国 API 区域覆盖北美及亚太（不含中国），后台运行在上海；中国与海外服务的账户数据、Tesla 授权、登录签名与存储加密密钥隔离；同一 FST App 的 Apple WeatherKit 天气服务及 APNs 推送认证凭据在两个地区共用。具体可用区域以 Tesla 账户和 Fleet API 的支持情况为准。仅对已经绑定 FST 海外账户的 Apple 订阅，向 Apple 查询交易历史和当前订阅状态，并校验签名、App 标识、环境及账户归属，以决定是否提供依赖订阅的服务。这项核对不发出车辆命令、不创建新用户，也不把历史查询当作已收到的苹果通知或新账务交易。
处理的数据
在既有订阅记录之外，对账状态包括状态核实时间、订阅记录版本、校验代数、当前购买时间、有限的分页计数、失败次数及下一次重试时间。Apple 历史查询的续传标识使用海外独立存储密钥加密。 为避免旧续费或退款乱序造成错误恢复，记录与账户关联的原始交易哈希和通过签名验证的退款购买/撤销时间门槛；待解决退款事实还可能包含交易及原始交易哈希和签名日期。哈希记录仍可与账户关联，不能称为匿名数据。该对账表不保存完整签名载荷、明文交易编号、车辆身份或新的财务事件记录。既有订阅表中的加密原始交易编号继续按该表的实际规则处理。
有效窗口、保留与清理
历史续传标识的逻辑有效窗口为 24 小时；启用中的对账维护会清理超期标识并重新扫描。维护停止或关闭时，不承诺恰好在第 24 小时物理删除。 待解决退款事实不随续传标识过期而自动清除，保留至验签确认解决或对应账户/服务数据清理；未解决时可能持续至账户生命周期结束。核对成功会清除该次待解决事实，但已经确认的退款时间门槛仍保留，以防后续收到旧交易时错误恢复服务。 状态确认及重试信息、退款时间门槛持续与账户关联，直至对应账户或服务数据清理。软删除或服务数据已清理的账户，由启用中的维护作业清理这些对账记录；实际物理账户删除通过外键级联移除对应记录。维护关闭或失败时，不能承诺上述记录立即清理。数据库逻辑清理不等于承诺所有日志、存储页或备份立即消失。本对账实现不延长既有财务记录或通知回执的保留规则。
失败时的行为
归属不明确、退款事实未解决、状态过期、表缺失或 Apple 查询失败时，依赖订阅的执行暂停。查询失败本身不会把付款认定为退款，也不会伪造通知送达或财务删除结果。若缺少新的有效证明，暂停可能持续至有效核实或获授权的人工处理。