应用、版本、安装与 Scope

统一账号可以创建开发者组织；组织拥有 App，App 拥有不可变语义化 Version；审核通过的版本发布后，才可由店铺 owner 或授权 admin 安装。

每个 installation 绑定一个应用版本、环境、tenant/store、市场、已授予 scope、法律同意、capability 上限、配额、Origin、redirect URI 与 Webhook 用途。撤销安装会立即阻止新的 token 使用、Webhook 投递、库存命令和自动发货执行，同时保留审计历史。

高风险 scope 需要平台审核。商家可以授予低于平台上限的权限，绝不能放宽上限。成本、风控、付款审批、平台管理与读取秘密的权限不开放给普通第三方应用。

Manifest extension 是声明式外部服务连接。Ayalink 不在平台进程中执行上传的 JavaScript、CSS、HTML、容器或任意代码。店铺装修只接受受控区块；库存和发货通过公开 API、durable intent 与签名事件协作。

状态转换使用 expectedVersion，写请求使用 16–128 字符高熵幂等键。409 表示版本或幂等意图冲突，禁止静默覆盖。