窗口点了一次重新出票，游客手里那张旧二维码照样刷进了园，这就是状态边界没定死。六种状态不是六个名字，是六个只允许往固定方向走的格子：谁能把票推过去、能不能推回来、推错了记在哪一栏，开线之前就要写清。事后补规则，永远补不全。

一、六个格子各留一个入口。待支付、待出票、待核销、已核销、已退、已作废。支付回调成功才进待出票，出票写库成功才进待核销，通道识别并放行成功才进已核销，退款审核通过才进已退，作废只能由人工带权限触发。判据是这六个入口之外的状态变化一律算异常，异常当天立案、当天回查日志，不许留到月底对账时再解释。入口多了，状态就不可信。

二、哪两格绝对不能回头。已核销不许改回待核销，闸门抬过一次就是人已经进园；已作废不许恢复，作废单一旦能复活，等于给二次入园留了一个合法入口。这两条不许只在界面上藏按钮，旅行社的直连接口照样能把状态推回来，必须在接口层一并封掉。确实要改的，只留带班权限，逐次填写一句原因，系统新建一条处理记录，原始记录不许覆盖掉。

三、一单五张只刷了两张怎么算。最小的状态单位是单张票，不是订单。订单页上那个状态，是下属各张票汇总出来的展示值，写清楚已核销两张、可退三张。窗口发起退款时只允许勾选未核销的那三张，已经刷过的两张连退款入口都不该出现。判据很硬：任何一笔退款金额都要能对上具体某几张票的流水号，对不上的那笔不让提交，宁可让游客在窗口多等一分钟。

四、过期和作废必须分开挂。过了有效期没用的票，不要让夜间任务自动刷成作废，单独挂到过期一栏等游客上门申请退改或延期。混进作废有三个坏处：报表会少算一笔可能的售后支出，客服看不出今天还有多少张能救回来，作废率也会被无端推高。夜间任务只做标记并记一次时间，不动状态，改状态要有人在界面上确认。

五、每次跳变记五样东西。操作人、岗位、动作发生时间、原状态、新状态，记在易买票后台订单详情下方的动作记录区，一行一个动作，不按班次合并。判据很简单：随便挑一格状态，能倒查到一个具体人名就算合格；倒查不到人名的跳变，一律按系统故障立案，当天处理，不等下一次版本更新。财务调账、客服补偿、现场放行这三类动作要各有独立入口，共用手改入口，最后谁都说不清是谁动的。

先做的不是画状态图，是把已核销回退和已作废恢复这两个动作在接口层关掉。这两格一旦能回头，后面所有规则都得靠人守，人一累就漏。第二步收权限：作废与强改只留带班，原因写成一句话存下来，当日汇总给值班经理过一遍。第三步再统一部分核销的口径。顺序反过来，改半年，窗口照样能把手里的旧票刷进园。