自动发货 Provider

只有已付款且交付类型适用的数字/provider 订单行可以创建 intent。同一 tenant、订单行与 Provider 操作只存在一个 durable operationId，并作为 Provider 幂等键。插件不能直接写支付、订单、退款或履约事实。

状态机为 pending → dispatching → succeeded | failed_retryable | failed_terminal | unknown | manual_review。超时、断网或不可解析响应进入 unknown，绝不能当作成功或立即盲重试。

进入 unknown 后，任何重试前都要先按 operation ID query/reconcile。迟到成功、重复回调、双 Worker、租约过期和 Provider reference 冲突都通过数据库条件更新收敛。只有确认成功后，才调用公开 fulfillment service 一次写入交付事实与 Outbox。

Provider 凭据是加密引用，不进入浏览器、事件、日志或本站。Endpoint 必须使用 HTTPS、allowlist、重定向上限、私网/DNS rebinding 防护、响应大小/超时、熔断和 installation 配额。真实 Provider 与网络故障证据必须和 deterministic adapter 测试分开验收。