只读状态与控制指令分离
- 所有观察者可以读取经过权限筛选的状态，但只有当前授权方能提交操作。指令记录操作者、目标对象、参数与时间。控制端显示的授权状态必须来自服务端，不能只依靠本地按钮是否可点击。
控制权的生命周期
- 定义申请、授予、续期、释放与失效流程。客户端断线或超时后是否保持动作，应由业务和安全规则决定。重新连接不能自动夺回控制权，否则旧页面可能在用户不知情时干扰当前操作。
并发和回放如何隔离
- 历史回放必须与实时控制隔离。对重复、延迟和乱序指令进行识别，不能把重试当成新动作。对需要现场确认的操作设置独立授权环节，不由协同界面绕过原系统的安全链。
验收要故意制造冲突
- 用两个账号同时申请同一对象，检查只有一方获得权限；再验证失联、撤权与重复提交。交付权限矩阵、审计日志和冲突处理说明。画面同步成功并不意味着控制权仲裁已经可靠。