Agent 也要有照：比照主系統，先改 License Center

整案一句話：License Center 多一種照叫「Agent 照」，一台 Agent 一張、綁那台機器碼、有到期日、沒有模組清單；員工在 LC 後台簽發拿序號，客戶在 Agent 主控台看到機器碼、把序號＋機器碼交回來，員工在 LC 後台離線開通、把照寄回，客戶上傳到 Agent；沒照的 Agent 不向主系統註冊、不跑掃描。

依賴一句：P1 獨立可做、現在開卡；P2 要 P1 簽得出照，且要等 FR-181（Agent 長輪詢）與 FR-179（Agent 首次設定頁）的 Agent 卡合回（接點見 §2.4）；P3 要 P2 的事件格式。決策者功課：§4 的 D1～D8 看一次雛形後正式拍板。

1.1 現況：主系統有照，Agent 沒有

結論：Agent 已經有驗章引擎、有機器碼、有編譯進去的公鑰，缺的只是「照」這個東西和「沒照怎麼辦」的規則。LC 端則是零——它只認得主系統的照。

1.2 為什麼不把 Agent 台數塞進主系統的照裡

最省事的做法是主系統照的 limits 加一個 max_agents: 5，主系統註冊第 6 台時拒絕。排除理由：

• Agent 本機沒有東西可驗——它只能信主系統說「你可以」。客戶封閉網路、主系統不通時，Agent 連自己有沒有授權都不知道，離線開通做不出來。
• 不是「一樣的模式」——決策者要的是 Agent 自己拿機器碼來註冊，跟主系統一樣的體驗。
• 台數額度綁在主系統照上，客戶加買 Agent 要重簽主系統的照（換照＝重新開通一次），麻煩。

所以是獨立一張照，照上記得它屬於哪個客戶、掛在哪張主系統的照底下（可空），LC 總覽看得出「這個客戶買了主系統＋3 台 Agent」，到期日各自算。

2.1 License Center 端

2.2 Agent 端（P2 用，本稿只定方向）

2.3 主系統端（P3 用）

2.4 與 FR-181（Agent 只出站）、FR-179（安裝精簡）的接點

決策者 11-07 提醒 FR-181 是 Agent 通訊方式大改，要對一次。對完的結論：方向不衝突，P1 零影響；P2 有三個接點要排在那兩案的 Agent 卡之後。

FR-181 退役 8443 六個指令 blueprint對本案無關——本案在 8443 上不加任何東西；主控台「授權」頁在 8444。

時序：P1（LC）現在開；P2 等 FR-181 批 2（F-2）與批 5（A-3）、FR-179 批 1（A1）與批 2（A2）合回後再拆卡；P3 等 P2。

3.1 端到端：一台 Agent 怎麼拿到照

%%{init: {'theme':'base','themeVariables':{'primaryColor':'#E2F0F1','primaryTextColor':'#14201F','primaryBorderColor':'#0E7C86','secondaryColor':'#EEF2F3','secondaryTextColor':'#14201F','tertiaryColor':'#FBFCFC','tertiaryTextColor':'#14201F','lineColor':'#4A5A5C','textColor':'#14201F','mainBkg':'#E2F0F1','nodeBorder':'#0E7C86','nodeTextColor':'#14201F','edgeLabelBackground':'#FBFCFC','titleColor':'#14201F','clusterBkg':'#FBFCFC','clusterBorder':'#E4EAEB','actorBkg':'#E2F0F1','actorTextColor':'#14201F','actorBorder':'#0E7C86','actorLineColor':'#C7D1D2','signalColor':'#4A5A5C','signalTextColor':'#14201F','labelBoxBkgColor':'#EEF2F3','labelBoxBorderColor':'#C7D1D2','labelTextColor':'#14201F','loopTextColor':'#14201F','noteBkgColor':'#F6EBD5','noteTextColor':'#14201F','noteBorderColor':'#9C6B12','activationBkgColor':'#EEF2F3','activationBorderColor':'#C7D1D2','sequenceNumberColor':'#FFFFFF'}}}%%
sequenceDiagram
    participant E as 我們的員工
    participant L as License Center
    participant C as 客戶
    participant A as Agent 主控台
    participant M as 主系統

    Note over E,L: 簽約後
    E->>L: 「Agent 授權」→ 簽發：客戶、訂單、數量 3、天數 365
    L-->>E: 3 張照（未綁機）＋ 3 組序號
    E->>C: 交付序號（email 等既有管道）

    rect rgb(238, 242, 243)
    Note over C,A: 路徑 B — 離線開通（第一期）
    C->>A: 裝好 Agent，登入主控台 → 「授權」頁顯示「尚未開通」＋機器碼
    C->>E: 序號 ＋ 機器碼
    E->>L: 「Agent 離線開通」：輸入序號＋機器碼
    L-->>E: 綁定該機器碼的照（.license）
    E->>C: 回寄照檔
    C->>A: 上傳照
    A->>A: 驗章＋核對機器碼＋到期日 → 「已授權」
    A->>M: 開始註冊／心跳／回報授權狀態
    end

    rect rgb(226, 240, 241)
    Note over C,L: 路徑 A — 線上開通（第二期，Agent 不直連 LC）
    C->>A: 「授權」頁輸入序號 → 線上開通
    A->>M: 序號＋機器碼（走既有出站通道）
    M->>L: 代打 /api/activation/agent/activate
    L-->>M: 綁機的照
    M-->>A: 照
    A->>A: 驗章 → 「已授權」
    end

3.2 Agent 照的內容

跟主系統的照同一個信封（Ed25519、format_version 2、armor 後叫 .license），差在 payload：

3.3 LC 資料表：agent_license_issuance

新模組 modules/agent_licensing/，自己一張表，不塞進 license_issuance（那張表 tenant_id／plan_code／modules 必填，塞進去要全改可空、總覽頁與狀態推算到處加「如果是 Agent」分支）。欄位比照 license_issuance 的 append-only 事件帳：

3.4 LC 後台頁（雛形：prototype/lc-agent-license.html）

導覽列加一項「Agent 授權」，底下五個頁，全部照既有 Tabler 樣式：

客戶總覽（主系統照那頁）不動，只在客戶時間軸頁加一行「Agent 照 N 台 → 看清單」連過去。

3.5 LC 機器 API（新路徑，不碰凍結的四支）

回應形狀比照既有：成功 {"license": {…信封…}, "license_id": "alic-…"}，失敗 {"error": "…"}；驗證順序比照既有「格式 → 鎖定 → 查無 → 已使用 → 序號逾期 → 授權過期 → passphrase」。進 OpenAPI、進 tests/test_api_contract.py 新情境表。

3.6 CLI

agent-issue（同表單欄位，--count N）、agent-activate（序號＋機器碼）、agent-verify <檔>、agent-extend、agent-rebind。保底用，跟既有 issue／activate 一樣的形狀。

3.7 Agent 端的規則（P2，雛形：prototype/agent-console-license.html）

照存哪：AGENT_DATA_DIR/license/agent.license（資料目錄，升級不動）。

狀態（Agent 自己算，不問主系統）：

不擋啟動：啟動閘門（防竄改）維持原樣；授權檢查在閘門之後、起 sync 模組背景元件（註冊、心跳、設定拉取、FR-181 的長輪詢）之前——一道門關掉整個 sync 模組，不逐條通道加 if（§2.4）。擋啟動的話客戶連主控台都進不去、看不到機器碼，開通流程走不下去。上傳照成功後不用重啟：閘門在同一行程內放行、起 sync 元件（照 FR-179 A1 「未註冊 → 首次設定頁註冊」的同一條路）。

機器碼對不上（照是別台的）：視同沒照，主控台明講「這張照綁的是另一台機器（前 12 碼 …），請洽原廠換綁」。

時間倒轉：主系統照有時鐘水位（clock_watermark）防把系統時間撥回去。Agent 第一期不做，列在 §7。

3.8 主系統端（P3）

• Agent 的 agent_status 事件多帶 license: {status, expires_at, license_id}；主系統落到 agents 表兩欄（license_status、license_expires_at），遠端 Agent 列表多一欄。
• 第二期：Agent 主控台「線上開通」→ 走出站通道到主系統 → 主系統 BE 代打 LC → 照回傳 Agent。主系統只是中轉，仍由 Agent 自己驗章。
• 第二期：root 後台「向 LC 請 Agent 照」（比照 lc-issue）。

決策者 11-07 已口頭同意下列建議；寫成條列是為了看雛形時再核一次，看完沒意見就當定案。

L2 與 L3 都要在 web/app.py 掛 blueprint——登記型共用檔。做法：L1 當 owner，先把兩個空 blueprint 檔建好、在 app.py 掛上（空的也能起），L2／L3 只填自己的檔。這樣 L2、L3 同批。

P2（Agent）與 P3（主系統）等 P1 驗完、D8 定了再拆卡；粗估 Agent 三張（驗章與狀態機／主控台授權頁／狀態事件帶授權）、主系統兩張（列表欄位與事件落庫／線上開通代打）、FE 一張。

• Agent 功能分級：照上沒有模組清單，永遠只有有效／無效。
• Agent 直連 LC：線上開通一律經主系統中轉（FR-181 Agent 只出站）。
• 一張照多台共享：每台一張。
• 主系統照格式變動：License dataclass、license_issuance 表、四支凍結 API 一字不動。
• Agent 的唯讀／鎖定四段式：只有提醒與寬限。
• 時鐘倒轉防護（主系統照有）：Agent 第一期不做，列入 P2 的「第二期」候選。
• 自助換綁：同主系統政策，人工受理。
• Agent 照當更新站身分票：FR-167 的 update_ticket 是主系統照開通時附簽的；Agent 更新鏈（FR-172）目前不靠票，這期不碰。