第 1 步先过门 · 再读写
每个 Agent 都走同一扇门
所有读写先经过一道受控入口，底层存储不直接暴露。
统一合同受控 Service存储隔离
第 2 步多入口 · 同边界
三种调用方，一套规则
Hermes、OMP 与管理面，共享同一套服务合同。
HermesOMPPanel / BFF
第 3 步认证 · 授权
先认身份，再谈记忆
Bearer 凭据同时限定身份、权限和可访问主题。
readwriteadminTopic scope
第 4 步分类 · 隔离
Topic 是边界，不是聊天标签
Topic 既负责分类，也负责阻止跨域读取。
只搜授权范围语义归类低置信度有去处
第 5 步接收 · 落盘
一轮对话先安全落盘
完整回合先进入持久队列，断线后仍可继续。
完整 turnevent_iddurable pending
第 6 步可追踪 · 可重试
回执让每次重试都有证据
event_id 和 receipt，让状态可查、重试不重复。
pendingfailedcompleted
第 7 步异步 · 不挡召回
慢任务离开在线路径
后台 Worker 独立提炼，不再阻塞在线召回。
进程隔离限量轮询失败轮转
第 8 步分析 · 唯一落点
只从授权主题里做选择
分析器只从已授权 Topic 中，选择唯一落点。
一次分析一个 Topic越权零写入
第 9 步提炼 · 合并
记住事实，而不是复制聊天
Mem0 判断新增、更新或忽略，避免机械追加。
提炼去重语义合并
第 10 步Service · Qdrant
底层数据库留在服务后面
只有 Service 能访问 Qdrant，调用方看不到存储层。
受控写入Topic metadata无直连
第 11 步问题 · 候选
先把问题变成搜索信号
问题先转向量，再召回一批候选记忆。
queryEmbedding候选集
第 12 步匹配 · 合并 · 去重
多条搜索路，最后汇成一条
显式、匹配与兜底 Topic，合并后统一去重。
授权内搜索确定性排序去重
第 13 步重排 · 门槛
相关性不过门，就不交给 Agent
重排器筛掉低相关候选，异常时拒绝裸结果。
固定门槛fail-closed高相关结果
第 14 步上下文 · 回答
记忆回到回答现场
通过门槛的少量记忆返回 Agent，辅助当前回答。
limit 截断受控上下文当前回答
第 15 步管理 · 密钥不落前端
管理能力也不把密钥交给浏览器
浏览器只连接 BFF，管理员凭据不会进入前端。
同源 BFFCSRFloopback Admin
第 16 步看得见 · 恢复快
每一步都可查，每个故障都可隔离
审计、回执和进程隔离，让故障可定位、可恢复。
append-only auditdurable receipt读写隔离自动守护