监管机构会问的那些控制，直接内建在结算周期里。
不是一份事后补写、用来描述发生了什么的政策文件。而是结算周期入账前必须通过的一道闸门，以及它确实通过了的记录。
两个人，否则不入账。
会动钱的两个决定——改计划、以及给一个周期入账——各自都需要第二位操作员。这道拒绝既在应用里也在数据库里，所以直接调用 API 也绕不过去。
所有者
薪酬管理员——制单人
财务——复核人
合规
客服
市场
操作员的角色够不到的板块，渲染的是一条访问提示，绝不是数据。这个区别很重要：一个把数字渲染出来、只把按钮藏起来的控制台，已经把数字披露出去了。
对薪酬总额设一道硬上限。
一个周期的薪酬总额，是拿该周期扣除退款后的现金净销售额来衡量的。超过上限，这个周期根本无法被批准——不是标记，也不是警告。是拒绝。
这就是那个决定一套薪酬计划在算术上能否付得起它所承诺之物的数字。付款可能超过销售额的计划不是慷慨；它是由下一批人出的钱。每个周期都在审批路径里、拿扣除退款后的销售额去衡量它，就是“知道”和“事后才发现”的差别。
internal/runs · program config cap_pct_bps
一份覆盖所有人计算出来的收入披露。
会员数、有收入者、无收入者、总额、平均数、中位数、第 90 和第 99 百分位以及最大值——按日历年度，覆盖每一个已注册位置。
- 01
无收入者计入分母
在被披露年度内存在过的每一位会员都算数，没赚到钱的会员计为零。剔除无收入者是这份报告替一个项目贴金的标准做法，也是中位数能读成真相十倍的原因。 - 02
负的一年是零，不是负收入
当追回金额超过某位会员当年的收入时，该会员按零披露。没有谁的亏损会被拿去冲抵别人的收入以改善平均数。 - 03
往年的数据不会被稀释
分母是在被披露年度结束前已注册的会员，所以在 2026 年发布 2025 年的分布，不会被此后加入的所有人悄悄改善。 - 04
它是算出来的，不是写出来的
它出自付款所出自的同一本总账。这正是它之所以是佐证而非营销的原因，也正因如此，平台条款才能要求任何做出收入宣称的操作方发布一份。
internal/exposure · internal/report
可做账龄分析、可直接交给会计的负债。
欠了多少、欠了多久，以及总账和提取记录是否对得上。
账龄分析
internal/exposure
记账凭证，借贷方向正确
internal/report
每位会员的税务对账单
internal/report
负债交叉核对
internal/report
谁可以参与，以及依据什么。
一项默认关闭出厂的地域政策、一个能让您看到“真执行会发生什么”的监视模式，以及一种只留决定、不留证件的身份核验。
国家/地区判定在平台自己的数据库里完成，而不是在请求路径上去查第三方。这是一个刻意的合规决定：一个通过明文 HTTP 从限流公共接口返回的答案，链路上的任何人都能改写；而一个攻击者能改写的值，可以参与风险评分，但绝不能决定某人能否登录。
每个被封禁的国家/地区都带一个原因代码——监管、制裁、牌照待批或商业——这样一年之后，一个当时不在场的人也能为这份名单辩护。例外是单独的豁免记录，上面记着经手人的名字，而不是去改初始数据。
身份核验跑在您自己的服务商账户上。回到平台的是一个决定和一个不可逆的句柄——只够执行“一人一位置”，仅此而已。XEX 不保存您会员的身份证件，因为保管证件最安全的方式就是不保管。
internal/geo · internal/verification
发出去之前必须先审批的市场素材。
让一个项目被关停的那句话，几乎从来不是操作方说的。是一位会员在群里说的，关于收入。
素材要经过一道审批，这道审批会把合规披露附加到正文上——一次，且幂等——所以已批准的素材不可能不带它就流传出去。团队通知也从已批准的模板发出，而不是自由文本。市场角色不能批准自己的素材；这是角色边界，不是政策。
这些都拦不住一位会员在自己的账号上想写什么写什么。它们能做到的是：给您一套已批准的素材库、一份“什么被谁批准了”的记录，以及当有人问您的项目对外说过什么时，一个站得住脚的回答。
internal/marketing · /admin/marketing
我们不宣称的事。
这一页上最有用的一段，也是多数供应商会略去的一段。