活动「每身份限参加 N 次」· 跨账号去重设计

1 · 根因:限次绑了 userId

ECA 现有「每人次数」(见 规则引擎 §9)是 count by rule + user ≤ max_issue_per_user —— 限次锚点是 userId。

2 · 核心原则

3 · 它是 ECA 的规则属性(配在活动定义里)

不新造一个「新人券」子系统,而是给规则/活动加一组「参加资格」字段,把现有 max_issue_per_user 从「按账号」扩展出「按身份」作用域:

4 · 身份锚点选型(注销+重注册仍指向同一个人)

5 · 去重账本 campaign_participation_ledger

一张与用户表解耦的参加记录账本,只记「某身份 × 某活动(范围键)参加过几次」,不存任何明文 PII。

CREATE TABLE campaign_participation_ledger (
  id                VARCHAR(64)  PRIMARY KEY,
  country_code      VARCHAR(8)   NOT NULL,   -- 一国一份额度
  identity_type     VARCHAR(16)  NOT NULL,   -- PHONE / IDCARD / PAYOUT_ACCOUNT / DEVICE
  identity_hash     VARCHAR(64)  NOT NULL,   -- HMAC(secret, 归一化手机号)，不存明文
  scope_key         VARCHAR(64)  NOT NULL,   -- 限次范围键，默认 campaignId；可配「参加组」
  participate_count INT          NOT NULL DEFAULT 1,   -- limit>1 时累加
  first_at          DATETIME     NOT NULL,
  last_at           DATETIME     NOT NULL,
  ex_user_id        VARCHAR(64)  NULL,       -- 最近一次参加的 userId（审计；注销后失效但保留）
  source_ref        VARCHAR(128) NULL,
  created_at        DATETIME     NOT NULL,
  updated_at        DATETIME     NOT NULL,
  UNIQUE KEY uk_identity_scope (identity_type, identity_hash, scope_key, country_code)
);

6 · 判定流程(引擎统一执行)

flowchart TD
  FIRE["规则触发(任意动作:发券/现金/抽奖…)"]:::in --> SCOPE{"规则 participation_scope?"}:::decision
  SCOPE -->|"PER_USER(默认)"| OLD["按现有 max_issue_per_user(count by rule+user)"]:::step
  SCOPE -->|"PER_IDENTITY"| ANCHOR["取身份锚点
phoneHash = HMAC(secret, 归一化手机号)"]:::step
  ANCHOR --> CHK{"账本 count(scope_key, identity_hash, country)
≥ participation_limit ?"}:::decision
  CHK -->|"是(已达上限/已参加过)"| SKIP["拦截 · 不执行动作"]:::skip
  CHK -->|"否"| RUN["执行动作 + 账本 upsert(count+1)"]:::ok
  OLD --> RUN2["照常执行"]:::ok

  classDef in fill:#eff6ff,stroke:#3b82f6,color:#1e40af;
  classDef step fill:#ffffff,stroke:#e8d9b8,color:#1a1410;
  classDef decision fill:#fef3c7,stroke:#e07c00,color:#7a4f24,stroke-width:2px;
  classDef skip fill:#fff7ed,stroke:#fb923c,color:#9a3412;
  classDef ok fill:#f0fdf4,stroke:#15803d,color:#15803d;

7 · 与「全链路物理删除」的关系(关键)

flowchart LR
  DEL["账号注销
全链路物理删除"]:::danger --> A["users / 订单 / 钱包
风控 / 活动奖励 …全部物理删除"]:::danger
  DEL --> B["campaign_participation_ledger
保留(脱敏哈希,无 PII)"]:::ok
  B --> C["重注册同手机号
查账本命中 → 限次规则照常拦"]:::ok

  classDef danger fill:#fff5f5,stroke:#dc2626,color:#991b1b,stroke-width:2px;
  classDef ok fill:#f0fdf4,stroke:#15803d,color:#15803d;

8 · 纵深防御(防换号绕过)

9 · 合规(ID 有 PDP 法,注销要删个人数据)

• 账本只存加盐哈希(HMAC),不存明文手机号 —— 既能去重,又是「已脱敏的反欺诈最小记录」。
• 反欺诈所需数据的留存通常是「删除权」的合法例外,前提是数据最小化 + 脱敏:只留 identity_hash + scope_key + 国家 + 计数/时间。
• HMAC 密钥按环境隔离、走配置中心,不入库不入码。

10 · 发布范围

11 · 验收点