（源码）把主体事实与能力准入接成一条线：

企业主体核验通过了，是不是就能直接开卡？不一定。我见过太多团队把这四件事揉成一个“approved”，结果后面全乱套了。

外部核验、平台事实、准入决策、渠道开户，必须拆开。受评主体域只管存事实，能力准入域拿指定时刻的快照做判断。这样才知道谁批的、按哪版规则批的，以及旧结论为什么还在。

系统里就分四层：Fact 是可信事实，Policy 是带版本的规则，Evaluation 是不可变的决策快照，Action/Case 是下一步任务。主体表上只放一个 risk_status 绝对不行——今天的更新会把昨天的原因覆盖掉。

实操里有几条硬规矩。缺材料给的是 review，不是 deny，因为这是可补救问题。补完材料发起新评估，旧记录原样保留，这叫追加历史。命中硬拒绝就直接 deny，别再制造无意义的补件任务。网络重试时，相同编号直接返回原结果，换主体或能力就报冲突。

守住这三条边界，个人核验、交易风控才能接进同一套骨架，不会退化成满地 if/else。