小红书聚合系统产品系统

一、立项原因：解决什么产品问题
小红书已成品牌与商家私域运营的主战场，但官方与通用工具撑不起「一个团队管 N 个号」的规模化运营。本项目要解决的痛点：

一是多号管理靠人肉。 一个团队常同时持有一二十个账号（矩阵号、门店号、员工号），逐个切号翻私信、回评论又慢又易漏。本项目把账号、私信、评论、群发、发布收拢到一个浏览器后台统一管理。

二是响应时效与质量难保证。 小红书生意高度依赖秒回。项目做了私信聚合、自动回复、评论自动回评、群发，把「看到—回复—跟进」自动化，并用「一条入站最多回一条」「只回复首次」等规则避免误刷。

三是矩阵内容与养号需编排。 批量定时发布、失败重试、素材库/模板/文生图、养号、矩阵挖人（从竞品评论区捞潜在客户），这些是单号手动做不到的能力。

四是安全合规是刚需。 平台强风控。项目硬约束：所有访问必须走已绑代理；系统不注册账号；平台管理员禁止读取私信正文、素材和 Session；生产使用外部 Signer、不实现签名算法。

二、行业场景 / 业务背景
小红书高客单、强种草、重私信成交，聚集大量本地商家、品牌方、MCN 和代运营公司。平台反爬强、无面向团队的多账号官方后台，留下第三方工具空间。合规替用户操作其授权账号，形成「SID 导入/扫码/短信登录 + 独立代理出口 + 外部签名」的标准路线，本项目正是其工程化实现（协议基线对齐 Android 9.47.0）。

典型场景：

代运营/MCN：一团队管多品牌多号，统一看板、账号分组、批量发布、按租户划客户。
门店矩阵：总部加门店号，区域化分发、定时发布、私信秒回与线索收集。
品牌私域：群发按互回会话/指定会话/手动 UID 做活动通知与老客唤醒。
获客挖人：从竞品评论区、关注列表批量采集潜在客户再私信触达。
数据运营：趋势、发布日志、CSV 导出、风控通知，用于复盘与合规留痕。

一、账号与接入 支持 SID 导入、短信登录、扫码登录三种接入方式；一租户可绑定多个小红书账号，统一管理登录态与在线状态。支持设备型号、代理绑定与出口 IP 探测，账号可分组管理。所有平台访问强制走已绑代理，保障合规与稳定。

二、私信中心 多账号私信聚合到统一收件箱，支持文字、图片、卡片、表情、引用回复，Enter 发送、Shift+Enter 换行。支持群聊与一对一，实时收消息、未读统计、历史补扫。内置自动回复规则：按关键词命中、优先级排序、延迟与最小间隔控制，一条入站最多回复一条，只回复首次，避免刷屏。

三、评论与群发 评论聚合可跨账号查看与批量回评。群发支持私信、评论、关注三种类型，范围可选全部互回、指定会话或手动 UID，创建后可预览、随时开始，带限流保护与自动重试（限流暂停后约 2 秒内自动恢复）。

四、内容与发布 素材库支持分类、克隆、文生图、模板复用与服务端分页加载。支持多账号定时发布、失败重试与重试去重；已发布笔记可查看、导出；草稿支持编辑与发布；图片支持多图、封面与排序。

五、矩阵与养号 矩阵挖人可从竞品笔记评论区、关注列表批量采集潜在客户并私信触达，目标列表支持分页与搜索。养号按轮次间隔自动执行，保持账号活跃。

六、数据与风控 提供账号与笔记趋势、发布日志、收款流水导出（CSV）、风控提醒与通知中心。通知中心区分风险、赞和收藏、评论等分类，支持已读管理。平台侧可管理租户、套餐与系统更新。

整体架构 采用前后端分离 + 多租户 SaaS 架构。后端为 Rust（2021 + Tokio 异步运行时），拆为 api 与 worker 两个独立二进制：api 对外提供 HTTP 接口，worker 消费异步任务执行平台操作。数据库用 PostgreSQL 16（SQLx 访问），任务队列用 Redis 7 Streams，通过 egress:{account_id} 锁保证同一账号同时只有一个出站任务。对象存储用 MinIO（aws-sdk-s3）存放素材与媒体。前端为 Vue 3 + TypeScript + Vite + Element Plus，单页应用。入口用 Caddy。

代码结构 Rust workspace 分六个 crate：api（约 2.8 万行，接口层）、worker（约 1.8 万行，平台交互与任务执行）、signer（签名）、tunnel（长连接/代理隧道）、ai（AI 能力）、update-pack（更新包）。共 91 个 .rs 文件、约 6.3 万行。数据库迁移 80 个，编译前由 build.rs 逐个校验 sha384，保证生产迁移一致性。前端约 52 个页面、37 个组件，路由分平台端、分销端、租户端、用户端四套。

关键技术设计

代理隔离：所有平台请求必须经账号已绑定的代理出口，reqwest 代理逻辑只放在 worker 中，避免泄漏。
异步任务：发送、同步、发布等操作写入 outbound_jobs，由 worker 消费；主循环分 15 秒普通节拍与 2 秒群发节拍，限流任务可快速重试。
签名外包：仓库不实现签名算法，生产环境调用外部 Signer 进程，签名与长连接解耦。
多租户隔离：平台管理员开通租户、指定套餐与拥有者；租户内 owner/admin/member 共享账号与数据，租户间完全隔离；平台层禁止读取