套餐变更最难的部分不是把租户的plan_code改成另一个值而是回答一个具体时刻的执行结果升级是现在生效还是下期生效降级前排队的任务还执行吗已经开始生成的报表要不要中断订阅到期后用户昨天下载过的文件会不会突然消失如果这些问题没有先约定代码往往会各自给出答案菜单按缓存接口按新套餐Worker 按旧任务下载服务按文件是否存在。本文用同一条时间线把权益生效、任务处理和历史数据分开设计。环境为 Java 17、Spring Boot 风格服务层、MySQL 8.0.16 及以上数字、公司和日期都是教学用的虚构示例不代表实际产品规则或计费承诺。目录先给升级、降级和到期设定明确时刻权益变化和存量对象不是同一个开关用连续订阅区间与变更记录保存证据服务层怎样提交变更并处理任务边界测试、SQL 和上线验收如何核对时间点故障处理与适用边界一、先给升级、降级和到期设定明确时刻沿用虚构的甲公司t_a。原订阅sub_101 → PRO v3本来覆盖北京时间 2026-10-01 00:00 至 2026-11-01 00:00开通批量报表示例上限为每自然月 20 个任务。平台已发布PRO v4示例上限改为 30但甲公司尚未自动获得新版权益。现在发生三件事即时升级10 月 17 日 12:00甲公司从PRO v3切到PRO v4。sub_101在此刻结束新订阅sub_102从此刻开始到 11 月 1 日 00:00 结束。预约降级11 月 1 日 00:00sub_103 → BASIC v1生效到 12 月 1 日 00:00 结束。基础版不包含batch_report。到期12 月 1 日 00:00 后没有续订记录因此新报表请求不再有有效的批量报表能力这不等于立即删除历史文件。北京时间命中的订阅新建批量报表本例的解释10 月 17 日 11:59:59sub_101 / PRO v3允许上限 20升级尚未生效10 月 17 日 12:00:00sub_102 / PRO v4允许上限 30新区间左端包含此刻11 月 1 日 00:00:00sub_103 / BASIC v1拒绝旧区间右端不包含此刻12 月 1 日 00:00:00无有效订阅拒绝不能回退到旧套餐这里的“允许”只表示租户能力满足条件成员动作权限、目标资源归属和剩余用量仍需另外核对。20 与 30 是配额上限不是可用余额。中途升级后本月已使用的次数如何折算是计费与配额政策不能从套餐版本变化自行推断下一篇单独处理并发用量。图1四个查询点落在不同的左闭右开区间发布新版不等于自动升级。二、权益变化和存量对象不是同一个开关一次套餐切换至少影响四类对象它们不必同一秒做出相同动作新请求、排队任务、运行中任务、历史数据与文件。下面明确的是本文案例的业务政策不是所有 SaaS 产品必须照搬的规则。对象降级前11 月 1 日 00:00 后原因新报表请求可按当时权益提交拒绝新建基础版没有批量报表能力尚未领取的任务j_queue10 月 31 日 23:59 已排队领取时重查并转BLOCKED提交成功不承诺未来仍有执行权已在运行的任务j_run10 月 31 日 23:58 已授权开跑本例允许完成并登记产物商业降级不强制中断已开始的工作已完成的报表文件私有存储本例允许授权成员只读下载至 12 月 7 日 00:00历史访问与新建能力分开源业务数据租户数据不因套餐变化立即删除数据保留由合同、法规和保留策略决定为什么排队任务与运行中任务不一样前者还没消耗主要计算资源可以在领取前按当前权益决定是否启动后者已经经过领取检查若因普通商业降级立刻杀掉可能留下半成品和不一致的任务状态。本例选择“允许已开始的任务完成”但要求started_at和领取时的授权证据可追溯。安全事件、租户停用或管理员紧急封禁不能套用这个宽限政策应另有即时阻断规则。历史下载也不是“能力开了才能看”这么简单。batch_report可以控制新建report:read加租户归属、产物状态和download_until控制读取旧结果。本例的 12 月 7 日只是演示截止时间文件保留期限与可下载期限可以不同。即使下载入口关闭也不能直接把对象存储中的文件当作已经完成数据销毁。如果不想允许运行中任务跨越降级边界也可以选“到点取消并清理半成品”但必须能发出取消信号、停止计算、回滚预留并验证没有产物外泄。选哪种政策取决于合同和任务成本关键是把决定写成显式规则并在测试里固定。图2新建资格、执行资格和历史读取资格是三道不同的判断。三、用连续订阅区间与变更记录保存证据前文采用demo_subscription(subscription_id, tenant_id, plan_code, version_no, starts_at, ends_at, sub_state, revision)查询条件为starts_at :at AND ends_at :at。升级不是覆盖旧行的套餐编码而是把旧行结束时间缩短、插入新行并记录“谁在何时因什么操作改变了原计划”。否则审计只能看到现在的区间无法解释它为什么提前结束。下面在已有demo_tenant和demo_subscription的演示模型上增加租户权益修订号与变更日志ALTERTABLEdemo_tenantADDCOLUMNentitlement_revisionBIGINTNOTNULLDEFAULT0;CREATETABLEdemo_subscription_change(change_idVARCHAR(36)PRIMARYKEY,tenant_idVARCHAR(32)NOTNULL,command_keyVARCHAR(64)NOTNULL,change_kindVARCHAR(16)NOTNULL,old_subscription_idVARCHAR(32)NOTNULL,new_subscription_idVARCHAR(32)NOTNULL,effective_atDATETIME(6)NOTNULL,old_planned_end_atDATETIME(6)NOTNULL,operator_idVARCHAR(32)NOTNULL,created_atDATETIME(6)NOTNULL,CONSTRAINTuq_change_commandUNIQUE(tenant_id,command_key),INDEXix_change_tenant_time(tenant_id,effective_at),CONSTRAINTck_change_kindCHECK(change_kindIN(UPGRADE,DOWNGRADE)),CONSTRAINTfk_change_tenantFOREIGNKEY(tenant_id)REFERENCESdemo_tenant(tenant_id),CONSTRAINTfk_change_oldFOREIGNKEY(old_subscription_id)REFERENCESdemo_subscription(subscription_id),CONSTRAINTfk_change_newFOREIGNKEY(new_subscription_id)REFERENCESdemo_subscription(subscription_id))ENGINEInnoDB;在上一篇演示库已经有sub_101、PRO v4和BASIC v1的前提下可以按下列顺序构造本例。SQL 为单人演示脚本生产写入应走下一节的统一服务不能绕开区间冲突和操作人校验。STARTTRANSACTION;SELECTtenant_idFROMdemo_tenantWHEREtenant_idt_aFORUPDATE;UPDATEdemo_subscriptionSETends_at2026-10-17 04:00:00WHEREsubscription_idsub_101ANDtenant_idt_aANDends_at2026-10-31 16:00:00;INSERTINTOdemo_subscriptionVALUES(sub_102,t_a,PRO,4,2026-10-17 04:00:00,2026-10-31 16:00:00,ACTIVE,1);INSERTINTOdemo_subscription_changeVALUES(chg_101,t_a,upgrade-101,UPGRADE,sub_101,sub_102,2026-10-17 04:00:00,2026-10-31 16:00:00,p_01,2026-10-17 04:00:00);UPDATEdemo_tenantSETentitlement_revisionentitlement_revision1WHEREtenant_idt_a;COMMIT;STARTTRANSACTION;SELECTtenant_idFROMdemo_tenantWHEREtenant_idt_aFORUPDATE;INSERTINTOdemo_subscriptionVALUES(sub_103,t_a,BASIC,1,2026-10-31 16:00:00,2026-11-30 16:00:00,ACTIVE,1);INSERTINTOdemo_subscription_changeVALUES(chg_102,t_a,downgrade-102,DOWNGRADE,sub_102,sub_103,2026-10-31 16:00:00,2026-10-31 16:00:00,p_01,2026-10-17 05:00:00);UPDATEdemo_tenantSETentitlement_revisionentitlement_revision1WHEREtenant_idt_a;COMMIT;第一笔模拟升级当时写入第二笔模拟一小时后预约未来降级。演示脚本为了可读性没有检查第一条UPDATE的影响行数生产服务必须断言恰好更新一行否则旧计划可能已被别的操作改变不应继续插入新订阅。本例完成后三个订阅区间应是订阅套餐北京时间区间状态sub_101PRO v3[10-01 00:00, 10-17 12:00)历史有效区间sub_102PRO v4[10-17 12:00, 11-01 00:00)当前或历史有效区间sub_103BASIC v1[11-01 00:00, 12-01 00:00)预约后按时覆盖数据库仍以 UTC 保存这些时刻升级点是2026-10-17 04:00:00降级点是2026-10-31 16:00:00到期点是2026-11-30 16:00:00。前文的sub_stateACTIVE表示订阅记录未被取消不表示当前时刻已经生效未来区间还必须经过时间过滤。command_key让同一变更请求重试时返回同一结果而不是再切一次套餐。entitlement_revision在每次变更事务里递增供权益缓存失效使用但时间预约本身也要设置“最迟缓存有效至下一次切换点”不能只在写入预约时清一次缓存就把当前权益一直缓存到新时段。这里还没有处理预约修改与撤销生产流程需要同样留下变更记录不能直接删掉已对外确认的计划。图3订阅描述何时有效变更日志保留旧计划与操作原因修订号用于缓存同步。四、服务层怎样提交变更并处理任务边界下面的服务层伪接口保留核心事务顺序省略具体 DAO 映射。所有订阅写入都要先锁租户行随后按同一事务完成区间调整、新订阅、变更日志与修订号更新外部支付成功与否不由这个事务假定真实系统还要对接订单或合同状态。recordChangeCommand(StringtenantId,StringoldSubscriptionId,StringnewSubscriptionId,StringnewPlanCode,intnewVersion,InstanteffectiveAt,InstantnewEndAt,StringcommandKey,StringoperatorId){}recordSubscription(Stringid,StringtenantId,StringplanCode,intversion,InstantstartsAt,InstantendsAt){}interfaceSubscriptionStore{voidlockTenant(StringtenantId);// SELECT ... FOR UPDATEOptionalStringchangeIdByKey(StringtenantId,StringcommandKey);SubscriptionfindPredecessor(StringtenantId,Stringid);booleanoverlapsOther(StringtenantId,Instantstart,Instantend,StringexcludedSubscriptionId);voidshortenEnd(StringsubscriptionId,InstantoldEnd,InstantnewEnd);voidinsert(Subscriptionsubscription);voidinsertChange(ChangeCommandcmd,InstantoldPlannedEnd);voidbumpEntitlementRevision(StringtenantId);}finalclassSubscriptionChangeService{privatefinalSubscriptionStorestore;SubscriptionChangeService(SubscriptionStorestore){this.storestore;}TransactionalStringapply(ChangeCommandcmd){store.lockTenant(cmd.tenantId());varpriorstore.changeIdByKey(cmd.tenantId(),cmd.commandKey());if(prior.isPresent())returnprior.get();Subscriptionoldstore.findPredecessor(cmd.tenantId(),cmd.oldSubscriptionId());if(!old.tenantId().equals(cmd.tenantId())||cmd.effectiveAt().isBefore(old.startsAt())||cmd.effectiveAt().isAfter(old.endsAt())||!cmd.newEndAt().isAfter(cmd.effectiveAt()))thrownewIllegalArgumentException(INVALID_CHANGE_INTERVAL);if(store.overlapsOther(cmd.tenantId(),cmd.effectiveAt(),cmd.newEndAt(),old.id()))thrownewIllegalStateException(SUBSCRIPTION_OVERLAP);InstantpreviousEndold.endsAt();if(cmd.effectiveAt().isBefore(previousEnd))store.shortenEnd(old.id(),previousEnd,cmd.effectiveAt());store.insert(newSubscription(cmd.newSubscriptionId(),cmd.tenantId(),cmd.newPlanCode(),cmd.newVersion(),cmd.effectiveAt(),cmd.newEndAt()));store.insertChange(cmd,previousEnd);store.bumpEntitlementRevision(cmd.tenantId());returncmd.newSubscriptionId();}}findPredecessor应确认旧订阅未取消并且其区间覆盖生效点或恰好在该点结束降级预约发生在旧区间右端时不需要再缩短旧行。新套餐版本必须是可订阅的已发布版本操作人也要经过平台侧授权示例把这些检查留在服务入口而非假装外键可以完成。overlapsOther需要排除当前被缩短的旧订阅并在实际写入路径以租户行锁串行化只靠UNIQUE(tenant_id, starts_at)无法阻止不同起点的重叠区间。这段代码有一个需要特别说明的前提newEndAt是业务明确确定的结束时刻不能默认照抄旧订阅结束时间。即时升级在本例继承原周期右端 11 月 1 日预约降级则有新的周期右端 12 月 1 日。若升级需要立刻重新计费或重置周期应由订单与计费规则先算出这些值再调用区间事务本文不推导账单金额。任务一侧沿用上一篇的 Worker 策略但要把不同状态的决定明文列出来enumTransitionAction{START_QUEUED,BLOCK_QUEUED,FINISH_RUNNING,READ_OLD}booleanmaySubmit(booleancurrentBatchReport,booleantenantActive){returntenantActivecurrentBatchReport;}TransitionActiondecideExisting(Instantnow,ReportJobjob,booleancurrentBatchReport,booleantenantActive,InstantdownloadUntil){if(!tenantActive)thrownewSecurityException(TENANT_NOT_ACTIVE);if(job.state().equals(PENDING))returncurrentBatchReport?TransitionAction.START_QUEUED:TransitionAction.BLOCK_QUEUED;if(job.state().equals(RUNNING))returnTransitionAction.FINISH_RUNNING;if(job.state().equals(DONE)now.isBefore(downloadUntil))returnTransitionAction.READ_OLD;thrownewSecurityException(NOT_DELIVERABLE);}这是商业套餐变更的策略函数不是完整鉴权器。FINISH_RUNNING必须以任务此前成功领取、started_at和领取令牌为前提遇到紧急停用则进入另一个取消策略。READ_OLD还必须由下载服务核对成员的report:read、任务归属、产物状态与私有存储权限。若把这个函数单独当成授权入口反而会漏掉用户权限和跨租户边界。图4变更事务固定时间线任务在提交、领取、运行和下载阶段按各自政策判断。五、测试、SQL 和上线验收如何核对时间点边界测试必须精确到生效时刻不能只测“升级前一天”和“升级后一天”。下面用 JUnit 5 展示权益、排队任务和历史文件的关键断言Fixture负责建立前述订阅、任务和输出文件的测试数据并把时钟固定为指定北京时间对应的Instant。TestvoidupgradeChangesOnlyAtExactBoundary(){FixturefFixture.timeline();assertEquals(20,f.rights.at(t_a,2026-10-17T03:59:59Z).quota(report_jobs));assertEquals(30,f.rights.at(t_a,2026-10-17T04:00:00Z).quota(report_jobs));assertEquals(sub_102,f.rights.at(t_a,2026-10-17T04:00:00Z).subscriptionId());}TestvoiddowngradeBlocksQueuedButDoesNotEraseRunningOrHistory(){FixturefFixture.timeline();assertEquals(BLOCKED,f.claimAfterBoundary(j_queue).state());assertEquals(0,f.outputs.countByJob(j_queue));assertEquals(DONE,f.finishStartedJob(j_run).state());assertTrue(f.download.canRead(u_07,t_a,j_run,2026-12-06T15:59:59Z));assertFalse(f.download.canRead(u_07,t_a,j_run,2026-12-06T16:00:00Z));}TestvoidexpiryDoesNotReviveAnOlderSubscription(){FixturefFixture.timeline();assertEquals(NO_ACTIVE_SUBSCRIPTION,assertThrows(IllegalStateException.class,()-f.rights.at(t_a,2026-11-30T16:00:00Z)).getMessage());assertEquals(3,f.subscriptions.history(t_a).size());}这些是使用测试夹具表达业务契约的示例不是可直接粘进生产项目的完整类。还要做两类集成测试相同command_key重试只产生一条变更两个管理员同时变更同一租户时第二个事务在锁释放后发现预期旧订阅或区间已变化返回冲突而不是造出重叠订阅。缓存测试则在升级点和预约降级点各发一次请求确认没有沿用跨边界的旧权益。上线后可先用一条时间点查询核对订阅再看区间是否重叠、变更事件是否齐全WITHpointsAS(SELECT升级前ASlabel,CAST(2026-10-17 03:59:59ASDATETIME)ASat_utcUNIONALLSELECT升级点,CAST(2026-10-17 04:00:00ASDATETIME)UNIONALLSELECT降级点,CAST(2026-10-31 16:00:00ASDATETIME)UNIONALLSELECT到期点,CAST(2026-11-30 16:00:00ASDATETIME))SELECTp.label,s.subscription_id,s.plan_code,s.version_noFROMpoints pLEFTJOINdemo_subscription sONs.tenant_idt_aANDs.sub_stateACTIVEANDs.starts_atp.at_utcANDs.ends_atp.at_utcORDERBYp.at_utc;-- 预期依次为 sub_101/PRO v3、sub_102/PRO v4、-- sub_103/BASIC v1、NULL无有效订阅。SELECTa.subscription_id,b.subscription_idFROMdemo_subscription aJOINdemo_subscription bONa.tenant_idb.tenant_idANDa.subscription_idb.subscription_idANDa.starts_atb.ends_atANDa.ends_atb.starts_atWHEREa.tenant_idt_aANDa.sub_stateACTIVEANDb.sub_stateACTIVE;-- 预期 0 行。SELECTchange_kind,old_subscription_id,new_subscription_id,effective_at,old_planned_end_atFROMdemo_subscription_changeWHEREtenant_idt_aORDERBYeffective_at;-- 预期两条升级 sub_101→sub_102降级 sub_102→sub_103-- 升级事件 old_planned_end_at 保留原定的 10月31日16:00 UTC。任务和文件还要单独核对j_queue应为BLOCKED且无output_keyj_run应有领取时间、DONE状态和私有对象键下载接口在 12 月 7 日 00:00 北京时间后拒绝签发新地址。不要只用数据库里有没有文件判断是否允许下载也不要因为到期查询无订阅就执行自动删除保留、归档与销毁各有独立政策和审计证据。图5验收既检查订阅时间线也检查排队、运行和历史下载的不同结果。六、故障处理与适用边界预约变更有两个常见故障点。第一是缓存跨越生效边界新订阅已经在库里但应用仍显示旧套餐。缓存不应只靠固定 TTL应同时绑定权益修订号并保证缓存有效时间不超过下一次订阅切换点高风险执行路径在边界附近应读取足够新的事实。第二是外部计费成功而权益变更失败不要把支付回调直接等同于权益生效应由可重试的订单状态和幂等变更命令衔接发生分歧时保留待处理记录并告警。本例选择“商业降级不终止已开始任务历史下载宽限到指定日期”只为展示政策如何落地。紧急封禁、合规删除、欠费催缴、按量计费、提前退订和配额折算都需要各自规则不能由一个expired布尔值推导。真正可靠的套餐生命周期是每次变更都有明确生效时刻、唯一订阅来源、可核对的任务决定和独立的数据保留政策。参考资料StripeSubscription schedules use cases可参考其按阶段安排未来订阅变化的概念本文的权益、任务和数据政策由示例业务自行定义并非 Stripe 的默认行为。MySQL 8.0InnoDB Transaction Isolation Levels核对锁定读取与普通快照读取的区别。AWS SaaS LensTenant Tiers理解不同租户层级会影响功能和服务边界不能只作展示标签。
