这是独立于聚合统计结果的显式原件交付功能。原始数据仍默认留在企业连接器侧；只有提供方主动选择并上传 ZIP，平台才保管这份交付副本。上传包加密保存于 PostgreSQL，不读取企业目录，不生成公开静态下载地址。
授权流程
- 提供方选择双方已经数字签署并生效的合约，上传包，填写独立的原件许可、用途、期限和领取会话上限。统计合约本身不自动授予原件下载。
- 系统固定 ZIP 的 SHA256、逐文件清单、产品版本和数据集版本上下文。ZIP 是独立交付版本；关联数据集不证明其字节自动派生于该数据集。
- 另一名提供方审核员审核，上传人不能自己批准。
- 使用方具有合约签署权限的人员明确接受当前交付摘要对应的许可和用途。此步是登录会话确认并留存审计，不冒充另一个离线数字签名文件。
- 使用人员申请短期领取凭据，凭据绑定本人、交付包和有效期限。凭据只放请求头，不允许 URL 参数。
- 下载后校验 SHA256，再提交接收确认。审计分别记录授权传输开始与接收方声明摘要核验成功；服务端开始传输不等于客户已经完整收到。
当前边界
- 单 ZIP 最大 32 MiB；最多128个普通文件；展开总量不超过64 MiB。文件类型限 CSV、JSON、XLSX、TXT、MD、PNG、JPEG、GIF、WAV、MP4、PDF；拒绝路径穿越、链接、目录、重复路径、嵌套压缩包和可执行扩展名。
- 企业累计包容量256 MiB；该版本尚未实现归档释放容量。大规模视频训练集需另外实现对象存储/分块及对应容量验收，不适用此小包模式。
- 领取上限按“短期领取会话”计数，每次申请凭据占一次，不按HTTP分段计数。凭据最长15分钟，且不能超过交付有效期；有效期内可断点或失败重试，确认接收后失效。失败会话不自动退还配额。
- 同包最多3个未确认且未过期的会话；单进程最多4个并发传输操作，上传串行。多副本容量需独立部署测试。
- 每次领取、分段请求和重试均重新校验会话身份、企业/空间/资源范围、合约签名及状态、期限、独立审核、接收方接受和撤销状态。已经开始的响应不会被撤销从客户端删除；后续请求会拒绝。
- SHA256证明文件一致性，不证明版权、真实性或内容无恶意；本版本不提供病毒扫描或版权认证。
- 公开只读演示账号仅查看包元数据与可见回执，不能上传、审核、接受条款、申请凭据或下载原件。已持有凭据也不绕过只读。
- 到期/撤销禁止后续领取，不能远程删除第三方已有副本。
API
| 路径 | 方法 | 服务端权限 / 语义 |
|---|---|---|
/api/delivery-packages | GET | contracts.read 或 assets.read，加企业/空间/资源过滤 |
| 同上 | POST | assets.write；提供方；含 archiveBase64、contractId、name、license、purpose、expiresAt、maxDownloads |
/:id/decision | POST | products.review；独立提供方审核员；approve、reason |
/:id/accept | POST | contracts.sign；使用方；digest、licenseAccepted:true |
/:id/grants | POST | jobs.export；使用方；返回仅一次响应中的明文 token |
/:id/download | GET | jobs.export；本人会话 + X-Delivery-Grant，支持 Range，private/no-store |
/:id/confirm | POST | jobs.export；使用方；grantId、sha256 |
/:id/revoke | POST | products.review；提供方；reason |
/:id/receipts | GET | 可见合约范围内的回执，无凭据明文/哈希 |
包上传 JSON 请求体上限46 MiB，仅此路径提高；反向代理需对应配置。数据库迁移62创建 delivery_packages、delivery_grants；备份必须与原配套平台密钥一起恢复，加密副本不能使用替换密钥解密。