能力
FortressFlag 能做什麼
不用部署就能在正式環境切換功能，精準鎖定誰看得到，並讓每一次變更都有跡可循 - 從今天下午的第一個 flag，到規模長大之後的 SSO 與核准流程。七個 SDK 把這一切撐起來，用戶端和伺服器端都在內。
Flag 與鎖定對象
從定義到線上程式碼大約一分鐘。用戶端應用程式按裝置評估，只會收到屬於自己的值 - 永遠拿不到 ruleset；你自己的後端可以憑伺服器金鑰取走完整的 ruleset，在行程內評估。
布林與多變量布林、字串、數值三種型別，搭配具名變體。flag 的型別不可變更；鍵是永久的；改名只影響顯示。kinds: 3
鎖定規則依環境設定、有順序的規則，支援 AND 條件群組 - 包括 appVersion ≥ 2.0 這類 semver 比較。裝置標籤評估完就丟掉，從不保留。first-match-wins
可重複使用的分群具名的條件清單，跨 flag 與環境被規則共用，讓「Beta 測試者」只定義一次。per-project
百分比發布依裝置與 flag 的雜湊，為每個 flag 分組 - 任何裝置的分組歸屬都不會被存下來。sticky cohorts
自訂環境自己建立、重新命名、重新分類環境。是不是正式環境是那一列上的一個類別，而不是某個神奇的名字 - 你把它叫做「live」，所有保護照樣生效。is_production
傳遞
flag 怎麼抵達你的程式碼 - 以及輪詢為什麼幾乎不花錢。
七個 SDK用戶端有 iOS、Android 和 Web；伺服器端有 Go、Node.js、Python 和 Java - 每一個都是契約等級的失效安全：不管有沒有故障，讀取一定會解析成一個值。client & server
伺服器端本地評估伺服器端 SDK 會下載你的 ruleset，在行程內完成每一次 flag 判斷 - 每次判斷都不走網路，請求路徑上也不會多出評估延遲。in-process
高效的輪詢每個回應都帶強 ETag；沒有變動的輪詢回 304 且沒有內容主體。你的裝置群可以頻繁確認，卻幾乎不傳輸任何資料。etag · 304
離線優先的用戶端用戶端 SDK 把最後拿到的值持久快取，在任何故障期間繼續提供 - 離線重新啟動的裝置，會用它最後看到的內容評估。durable cache
安全
正式環境靠設計守住，而不是靠默契。
同事核准的變更開發者提出一次正式環境變更；第二個人核准，核准就等於套用。自己核准自己會被拒絕，稽核紀錄會記下雙方。second person
排程變更布林切換會在選定的時刻生效 - 對每個讀取端都是那個精確時刻，而不是「cron 剛好跑到的時候」。exact-at-T
可還原的刪除封存、還原、附保留期限的徹底清除，讓按錯有得救，真正的刪除是刻意為之。archive → purge
過期 flag 提醒90 天沒動過的 flag 會被加上標記並可篩選 - 只是提醒，絕不會自動封存。90 days
團隊與存取
從第一個席次起就是企業級存取控制。
以角色為基礎的存取控制Owner、Admin、Developer、Viewer - 角色對照表在產品內公開，誰都不能授予高於自己的角色。4 roles
依專案設定的允許清單Viewer 和開發者只看得到被授權的專案；沒被授權的專案，和不存在的專案分不出來。404, not 403
SSO 與 SCIM接上你自己的身分提供者：SSO 登入、自動佈建與解除佈建，以及 IdP 群組對應到角色。saml · okta
MFATOTP 第二因素，可依組織強制啟用。totp
稽核紀錄每一次狀態變更：誰、做了什麼、什麼時候、從哪裡、變更前和變更後 - 附產品內的檢視器、篩選與 CSV 匯出。append-only
自動化
一份機器憑證，和一組給代理程式用的工具 — 兩者都只繼承同樣的權限，不會多出新的。
管理 API 權杖權杖帶著建立它的成員的角色，而且只在一個組織裡 — 所以它永遠做不到那個人做不到的事。完整權限或唯讀，只顯示一次，可撤銷，成員資格沒了它也就失效。以你的身分行事
給 AI 代理程式用的 MCP 伺服器把 flag 交給編碼代理程式。讀取隨時可用；修改需要一個明確的選項，切換正式環境還需要一次點名環境的確認。開發者的代理程式是提出建議，而不是直接寫入 — 核准仍然是人的事。--allow-writes
計費
按裝置計量，而不是按應用程式 - 價格頁會說明為什麼這樣對你比較便宜。
按裝置的席次一個席次就是一台每月活躍裝置，在你整個應用程式家族範圍內去除重複。模擬器會收到 flag 但從不計費，伺服器端評估也不會增加席次。monthly-active
用量透明只有 owner 看得到的用量頁面：本期裝置數、一年的紀錄，以及每天的請求活動。12 months