# 平台架构：三端分工、双市场引擎与一套数据边界

> GEO 平台不是一个网页工具就能干完的：发布环节需要用户自己的登录态，海外采样要出网，客户数据有出境合规要求。这三个约束决定了平台必须被切成三端、两个市场与一套明确的数据边界。本文讲清我们为什么这样搭，以及这套架构不承诺什么。

## 为什么 GEO 平台的架构值得单独讲

选一个 GEO 平台时，多数人先看功能清单：支持哪些引擎、能不能生成内容、报告长什么样。这些当然重要，但它们回答的是"能做什么"，不回答"在哪做、以谁的身份做、数据去了哪里"。

后者恰恰是 GEO 与普通 SaaS 的分水岭。有三个约束绕不过去：

**第一，发布环节必须用到用户自己的登录态**。内容平台（公众号、小红书、知乎等）的发布接口大多要求登录态或平台专门签发的凭据。把这些东西搬到平台服务器上集中托管，等于让平台代持用户的账号——这既是安全问题，也是责任问题。

**第二，海外引擎要出网**。OpenAI、Perplexity、Gemini、Claude 这些服务在国内网络环境下不可直连。要真实采样，就必须有一条合规、稳定的出网链路。

**第三，客户数据有出境合规要求**。一次监测会把品牌名、产品信息、问题集送给模型供应商。这些数据能不能出境、要留什么痕、客户能不能反悔，不是产品体验问题，是法律问题。

这三条约束叠加，平台就不可能做成"一个大后端 + 一个网页"。它必然被切成几块职责不同的组件，并在中间划出明确的数据边界。这篇文章讲的就是这条切分线。

## 一、三端分工：不是三套产品，是同一个平台的三段职责

先说明：三端不是"同一个功能做三遍"。它们是同一条工作流上**职责不同**的三段，共用同一套项目、知识库、任务与数据。

### PC 管理后台：完整的运营台

从发起 AI 采样、生产内容、审核发布到生成报告，全流程都在这里。

- 多引擎可见性监测：每条 AI 回答都能溯源到原始信源；
- 任务化的内容生产，配合合规预检与 GEO 评分；
- 分发编排、线索归因与效果报告。

它是"主控台"，也是唯一能看到全部数据的地方。

### 桌面客户端：把需要登录态的动作留在用户自己的机器上

这是整套架构里最容易被误解的一块：为什么不把所有事都放到服务器上跑？

因为**发布这件事本身依赖用户的身份与环境**。桌面客户端承担的是"本机执行"这一环：用用户自己的网络、自己的账号完成发布动作，平台服务器从头到尾不接管用户的媒体账号。

这样做有三个直接后果：

- **避免风控误伤**：多个账号从同一个 IP 高频操作，是内容平台风控最典型的识别特征之一。本机执行意味着每个账号使用自己正常的网络环境；
- **凭据留在本地**：账号凭据只存在用户自己的机器上并加密，平台侧只下发任务、不回传凭据；
- **权限可随时收回**：桌面端接入用的 Key 按用途签发，用户随时可以撤销。

这条设计与我们的凭据红线是同一件事的两面：**平台不保存、不索取、不代持用户在第三方内容平台的登录密码**。能存的是平台专为程序签发、且用户可单独吊销的凭据（例如 WordPress 的应用专用密码）；用户日常登录用的那个密码，一概不进平台。

### 微信小程序：把"要你拍板的事"从电脑前解放出来

小程序不做全量操作，只做三件在手机上最合理的事：

- 查看待办与 AI 可见性概览；
- 直接审核通过或驳回内容；
- 订阅消息推送，支持微信免密登录与双重认证。

它的定位是"审批与知会"，不是"移动版后台"——把小屏硬塞成完整工作台，结果是每个动作都变得难用。

### 三端职责对照

| 端 | 谁在用 | 主要动作 | 为什么放在这里 |
|---|---|---|---|
| PC 管理后台 | 运营 / 内容负责人 | 采样、生产、审核、分发、报告 | 需要全量数据与批量操作 |
| 桌面客户端 | 需要登录态发布的运营 | 在本机完成发布 | 登录态与网络环境属于用户本人 |
| 微信小程序 | 老板 / 项目负责人 | 审批、看待办、看趋势 | 决策发生在离开电脑的时候 |

## 二、双市场：一套问题集，两个引擎生态

国内与海外的 AI 生态不是"同一个东西的两个语言版本"，它们的内容来源、排序逻辑与用户提问方式都不同。

平台的取数是**双市场同源**的：同一批问题，分别向国内引擎与海外引擎提问，两侧结果各自成组呈现，不合并成一个平均数。

- **国内侧**覆盖豆包、DeepSeek、Kimi、通义千问、百度 AI 搜索、智谱 GLM、文心一言、腾讯元宝等入口；
- **海外侧**覆盖 OpenAI、Perplexity、Gemini、Claude 等入口；
- 海外采样经**美国节点独立链路**完成，不与国内数据混流；
- 具体覆盖清单与当前数量以平台能力页的实时口径为准——清单会随引擎接入与下线变化，我们不把数字抄进文章里当承诺。

为什么强调"不合并成一个平均数"：把国内外样本混在一起算出的可见率，看起来是一个干净的数字，但它对应的口径在现实中并不存在。客户需要知道的是"在哪个市场、被哪个引擎、以什么方式提到"，而不是一个跨市场平均后的百分比。

## 三、数据边界：数据域、出境授权与可撤销凭据

### 数据域可选

平台的数据域分为**境内**与**跨境**两种，由客户在项目层选择。选择境内时，调用海外模型需要额外开启授权；也可以配置为**境内模型专用**，完全不走海外链路。

### 出境调用需显式授权并留痕

调用海外模型不是默认行为。开启跨境调用时，平台会记录授权动作；调用链路可追溯，便于客户在合规审查时提供说明材料。

### 凭据只存可撤销的，不存密码

这一点在前面桌面客户端部分已经提到，这里单独重申，因为它是一条**产品红线**而不是实现细节：

判断一个凭据能不能存，我们看三个问题：

1. 它能不能被单独吊销，而不影响用户自己登录？
2. 拿到它能不能登录账号后台？
3. 它是平台专为程序签发的，还是用户日常登录那一个？

三个问题都答"是、不能、专门签发"，才允许存。出现"就是登录密码"的，一律禁止——没有替代通道的平台，我们宁可换通道（例如改为桌面端本机发布），也不降低这条线。

跨设备免登录的正确做法也因此明确：**存可撤销的令牌，不存密码**。OAuth 刷新令牌属于前者——撤销权在用户手上，用户可以随时让平台失效。

## 四、开放能力：让平台接进客户自己的系统

平台不是终点，很多客户需要把数据接进自己的 CRM、BI 或内部工作流。为此提供三层出口：

- **API v2**：以编程方式读取监测结果、任务状态与报告数据；
- **Webhook**：在关键事件发生时主动推送（任务完成、报告生成、线索进入等）；
- **MCP Server**：把平台能力暴露给支持 MCP 的 AI 客户端与代理。

三者的定位不同：API 是"我来取"，Webhook 是"你来推"，MCP 是"让 AI 直接调用"。客户按自己的系统形态选，不需要三样都接。

## 五、部署方式：SaaS 与私有化

标准形态是 SaaS：开箱即用，按套餐订阅，升级与运维由平台负责。

对数据驻留、内网访问或采购流程有额外要求的客户（大型企业、机构、集团），可以联系我们评估**私有化部署**。需要说明的是：私有化不是标准 SKU，能否实施取决于部署环境、引擎凭据来源与运维条件，需要单独评估，不在自助下单范围内。

## 这套架构不能推出什么

架构讲的是"能力在哪里、边界在哪里"，它不构成效果承诺。请避免以下推论：

- **✗「三端齐全就等于发布一定能成功」**——发布成功率取决于内容平台自身的接口与风控策略，桌面端解决的是"以正确身份、从正确环境发起"，不是"绕过平台规则"；
- **✗「双市场覆盖就等于在两边都能被推荐」**——覆盖是"测得到"，推荐是"AI 愿不愿意提"，两者不是一回事；
- **✗「开了跨境授权就合规了」**——平台提供数据域选择与调用留痕，具体的出境合规义务仍取决于客户自身业务与所在司法辖区；
- **✗「有 API 就能随便接」**——开放接口按套餐与权限点开放，且受调用配额约束；
- **✗「私有化部署适用于所有人」**——它需要单独评估，不是所有环境都能落地。

## 怎么自己核对这套架构

架构不该只听介绍，可以自己验证：

- **能力页**：/platform 下五个模块页，分别讲监测、提问、知识供给、内容流水线、归因；
- **引擎覆盖清单**：/platform/ai-radar 页列出当前真实接入的国内外引擎，与注册表同源；
- **测量方法论**：/methodology 公开采样口径、统计方法与已知边界；
- **数据诚信**：/insights/data-integrity 讲零样本如何显示、指标如何带分母、采集方式为什么不合并；
- **信任与合规**：/trust 汇总安全基线自检、行业合规包与合规声明。

如果某份材料里的说法与这些页面不一致，以后者为准——它们是平台代码事实的直接呈现。