第2章 核心概念与术语：ViewModel边界、状态所有权、隔离域、公共状态总线、副作用容器

本章明确定义构成跨模块状态隔离体系的五个核心概念，并围绕它们建立统一的术语框架。每个概念既是架构决策的原子单元，也是后续章节中分层策略、数据流设计和风险控制的讨论基础。理解这五个概念及其关系，是掌握整套隔离方法的前提。

2.1 边界定义：ViewModel边界

ViewModel边界是跨模块状态隔离的第一道防线。它不是一个物理接口或抽象类，而是一组约定 + 校验 + 强制规则的组合，用于限定一个ViewModel可以访问哪些状态、可以被哪些外部模块订阅、以及状态变更的传播范围。

• 物理表现：在代码层面表现为模块级的 internal / package-private 可见性 + 运行时边界检查。
• 核心规则：任何状态离开所属隔离域前，必须显式声明到公共状态总线；任何外部读请求必须经过总线代理。
• 违反后果：导致状态突变溯源丢失、跨模块耦合、难以测试和回滚。

2.2 分层策略：隔离域与状态所有权

隔离域是状态存在的容器，状态所有权是容器内每个状态片段的归属标签。两者共同构成分层策略的基础。

分层原则：隔离域可以包含多个ViewModel，但每个状态片段必须明确归属于唯一的ViewModel。所有权不可模糊，不可共享。

2.3 组件职责：五概念职责矩阵

2.4 数据流 / 控制流 / 信任链路

五个概念之间的交互遵循严格的信任链路：

1. 数据流：状态 只允许 从「状态所有权」→「ViewModel边界」→「公共状态总线」→ 其他隔离域。不允许直接跨域推送。
2. 控制流：动作指令从「外部」→「公共状态总线」→「目标隔离域边界」→「状态所有权」→ 执行。边界守卫在入口处校验权限。
3. 信任链路：每个隔离域只信任自己的ViewModel边界和公共状态总线；不信任其他隔离域的任何直接调用。

// 伪代码：跨域状态读取的信任链路示意
// 不允许： ModuleA.viewModel.state -> 直接 -> ModuleB
// 允许：   ModuleA  -> 总线.read("user/name")  ->  边界校验  ->  所有权返回

2.5 选型权衡

2.6 风险点

• 边界穿透：开发者为图方便直接调用其他模块ViewModel内部方法，导致边界名存实亡。
• 所有权漂移：同一状态被多个ViewModel修改，失去单一可信源。
• 总线过载：所有跨域通信都走总线，导致事件爆炸、调试困难。
• 副作用逃逸：副作用直接在ViewModel中执行，绕过容器管理，造成测试困难和内存泄漏。
• 隔离域泄露：隔离域内部状态通过回调或监听器泄漏到域外。

2.7 落地步骤

1. 盘点现状：梳理当前模块间所有直接的状态读写依赖，标记越界点。
2. 划定隔离域：按业务模块或功能簇划分隔离域，明确每个域的边界。
3. 声明状态所有权：为每个状态片段指定唯一的所属ViewModel。
4. 引入公共状态总线：建立跨域状态发布/订阅机制，替换直接依赖。
5. 建立副作用容器：将网络、DB、定时器等统一收容到容器中。
6. 添加边界守卫：在隔离域入口处增加运行时校验或编译期可见性限制。

2.8 验收标准

本章定义的五个核心概念将贯穿整个课程。第3章将在此基础上，展开分层状态架构的具体设计模式。