· 事件溯源 + Saga：授权 / 撤销 / 清算 / 退款 事件全量写入 Kafka + Cassandra 做事件溯源；跨服务操作（授权 → 记账 → 清算）以 Saga 编排，任一步失败自动反向补偿，保证资金最终一致。

· 多区域容灾拓扑：us-east-1（主）/ eu-west-1 / ap-southeast-1 三区域 active-active，Aurora 全球数据库跨区域复制，授权服务按延迟路由就近处理；金丝雀发布按区域 → 流量百分比 → 商户白名单三级灰度。