外面简单，里面受控：联网礼品产品的架构分工

联网礼品有个奇怪的要求：体验要显得轻松、本地，而真正有意思的机器——语音、对话逻辑、验证——跑在别处。这个分界划对了，产品就能上市；划错了，一个季度就会从零售端撤回。

设备只拿它需要的东西

一条干净的原则：设备只拿到跑完礼品流程所需的数据和指令，多一样都不要。对话逻辑和答案验证放在服务端；盒子承载麦克风、喇叭、灯光和锁。服务验证完答案，下发的是开锁指令，而不是答案钥匙。硬件里从不存放秘密，硬件丢了也就不会泄露秘密。

本地韧性不是可选项

礼物在厨房、客厅、酒店 Wi-Fi 下被打开，有时干脆离线。产品需要一条不进入收礼人流程的隐蔽恢复通道：断网时用本地码完成开匣。收礼人永远遇不到它，客服会。这个逃生口早设计，远比第一批退货之后重新设计锁便宜。

配置、OTA 和诊断是 OEM 交付物

制造方负责一组买家很少问、但永远需要的东西：设备凭证的安全配置、对话服务演进所需的 OTA 更新通道、产测治具、服务端可读的诊断。对话会随时间变好的产品，固件一定会发多版——更新通道是功能，不是开销。

安全规则保持私有

确切的安全规则和对话行为是品牌的竞争面，以 NDA 方式交给制造伙伴而不是公开。这是正常分工：OEM 证明机制可靠，品牌保留让它属于自己的逻辑。

唯一重要的验收测试

对整个系统问一个问题：收礼人能不能在网络比演示糟糕的条件下完成仪式？能——优雅降级、设备与服务之间没有可见接缝——架构就完成了。不能——分界一定划错了某处，通常是错在假设网络一定在场。