能力
FortressFlag 能做什么
不用部署就能在生产环境开关功能，精确圈定谁能看到，并让每一次变更都有据可查 - 从今天下午的第一个 flag，到规模上来之后的 SSO 和审批。七个 SDK 把这一切扛起来，客户端和服务端都在内。
Flag 与定向
从定义到线上代码大约一分钟。客户端应用按设备求值，只会收到属于自己的值 - 永远拿不到 ruleset；你自己的后端可以凭服务端密钥取走完整 ruleset，在进程内求值。
布尔与多变量布尔、字符串、数值三种类型，配具名变体。flag 的类型不可更改；键是永久的；改名只影响显示。kinds: 3
定向规则按环境配置的有序规则，支持 AND 条件组 - 包括 appVersion ≥ 2.0 这样的 semver 比较。设备标签求值后即丢弃，从不留存。first-match-wins
可复用的分群具名条件列表，跨 flag 和环境被规则共用，让“Beta 测试者”只定义一次。per-project
百分比灰度按设备和 flag 的哈希为每个 flag 分组 - 任何设备的分组归属都不会被存下来。sticky cohorts
自定义环境自己创建、重命名、重新归类环境。是不是生产是那一行上的一个属性，而不是某个魔法名字 - 你把它叫做“live”，所有保护照样生效。is_production
分发
flag 怎么到达你的代码 - 以及轮询为什么几乎不花钱。
七个 SDK客户端有 iOS、Android 和 Web；服务端有 Go、Node.js、Python 和 Java - 每一个都是契约级失效安全：不管有没有故障，读取总会解析成一个值。client & server
服务端本地求值服务端 SDK 会下载你的 ruleset，在进程内完成每一次 flag 判断 - 每次判断都不走网络，请求路径上也不会多出求值延迟。in-process
高效的轮询每个响应都带强 ETag；没有变化的轮询回 304 且没有响应体。你的设备群可以频繁检查，却几乎不传输任何数据。etag · 304
离线优先的客户端客户端 SDK 把最后拿到的值持久缓存，在任何故障期间继续提供 - 离线重启的设备会用它最后看到的内容求值。durable cache
安全
生产环境靠设计守住，而不是靠约定。
同伴审批的变更开发者提出一次生产变更；第二个人批准，批准即生效。自己批自己会被拒绝，审计日志会记下双方。second person
定时变更布尔切换在选定的时刻生效 - 对每个读取方都是那个精确时刻，而不是“cron 恰好跑到的时候”。exact-at-T
可撤销的删除归档、恢复、带保留期的彻底清除，让点错有得救，真正的删除是有意为之。archive → purge
陈旧 flag 提醒90 天没动过的 flag 会被打上标记并可筛选 - 只是提醒，绝不会自动归档。90 days
团队与访问
从第一个席位起就是企业级访问控制。
基于角色的访问控制Owner、Admin、Developer、Viewer - 角色矩阵在产品内公开，谁都不能授予高于自己的角色。4 roles
按项目的白名单Viewer 和开发者只看得到被授权的项目；没被授权的项目和不存在的项目无从分辨。404, not 403
SSO 与 SCIM接入你自己的身份提供商：SSO 登录、自动开通与回收账号，以及 IdP 用户组到角色的映射。saml · okta
MFATOTP 第二因子，可按组织强制启用。totp
审计日志每一次状态变更：谁、做了什么、什么时候、从哪里、变更前和变更后 - 配产品内的查看器、筛选和 CSV 导出。append-only
自动化
一份机器凭据和一套面向智能体的工具 — 两者都只继承同样的权限，不会多出新的。
管理 API 令牌令牌带着创建它的成员的角色，只在一个组织里 — 所以它永远做不了那个人做不了的事。全权限或只读，只显示一次，可吊销，成员资格没了它也就失效了。以你的身份行事
面向 AI 智能体的 MCP 服务器把 flag 交给编码智能体。读取随时可用；修改需要一个显式选项，切换生产环境还需要一次点名环境的确认。开发者的智能体是提出建议而不是直接写入 — 批准仍然是人的事。--allow-writes
计费
按设备计量，而不是按应用 - 价格页会说明为什么这样对你更便宜。
按设备的席位一个席位就是一台月活设备，在你整个应用家族范围内去重。模拟器会收到 flag 但从不计费，服务端求值也不会增加席位。monthly-active
用量透明只有 owner 能看的用量页面：本期设备数、一年的历史，以及每天的请求活动。12 months