技能介绍

要解决的问题

订阅同意状态散落在表单后端、ESP 事件、邮件退回和合规审计日志中。退订信号到达后，各层缓存和投影可能未同步，导致已撤回的联系人继续被发件流程命中。审计时缺少可重放的时间戳与合法依据，并且一旦原始 PII 进入台账，合规边界反而扩大。

核心能力与关键步骤

Consent Registry 以伪名主体 ID 为最小单位，将表单、ESP、退订、投诉、恢复等事件作为不可变证据追加写入 NDJSON 流。所有读写指向 registry-events.py，缓存投影只作为人类可读视图。对每一发件资格判断，必须重放流并调用 python3 "$AARON_SKILLS_ROOT/scripts/registry-events.py" is-suppressed，其结果优先于任何缓存段。

退订、投诉或硬退回属于即时抑制路径：任何经过校验的 producer 都可以直接 suppress，无需等待审批。系统只追加 deny-only 事件，不可清除、恢复或授权发件。恢复订阅必须携带 host 签发的 capability、合法依据引用、严格晚于撤回的时间戳证据，以及对应的恢复事件；擦除则移除投影载荷，但保留抑制墓碑。

适用边界与注意点

台账不发送邮件，不修改 ESP 状态，也不声明列表安全；下游 ESP 同步是独立副作用，必须先读取实时抑制结果。
原始 PII 不得进入聚合 ID、幂等键、来源引用或报告，运行时仅保留伪名 ID 和最小证明指针。
独立安装只能准备提案、擦除 handoff 或精确的即时抑制 handoff；没有已校验的根运行时和 schema 目录时，不能追加、恢复或声称拥有权威同意状态。