外部数据接入

外部系统不是数据源，是可调用的能力。大多数「ERP 集成」需求其实是问一个问题，不是要一张表。

三种接入方式

对方提供的是「能力」还是「事实」？
  ├─ 能力（我能问你一个问题）→ 能力集成
  └─ 事实（它的状态我必须知道）→
        ├─ 它能推变更 → 事件接入
        └─ 它只能被我拉 → 只读镜像

关键点：不复制对方的数据，只记下「问到的答案」。

不把 SAP 的库存表同步过来
而是注册一个 sap-inventory-query 能力
需要时调用 → 拿到结果 → 结果成为一条事实（带 actor 与调用时间）

这样不会产生第二个真相源，而且每次调用都可审计。

很多团队以为把外部数据同步进来就完事了。实际上：

所以接入的第一条规则不是「怎么同步」，是**「让第二写路径在机制上不可能」**：

某域声明为 mirrored
  → 业务写入一律 403
  → 只有同步管道能写

违反这条就会出现两个余额，且无法判断哪个对——这是传统 ERP 集成的经典失败模式。

如果确实做了镜像，就必须配一个对账，否则镜像只是另一个会腐烂的副本。

拉对方当前快照
  → 按映射算出「对方应该产生的投影」
  → 与本系统实际投影比对
  → 差异分级：missing / stale / divergent / orphan

对账结果本身也要落成事实——这样「什么时候发现过、谁处理的」都进因果链。

外部能力注册接受任意 URL，由服务端发起请求。如果做成普通用户端点，就等于让任何登录用户访问内网地址（SSRF）。

所以注册走部署配置或管理员通道，只开放调用。