环境隔离：Sandbox、Staging、Live 三级隔离的设计哲学
为什么不能直接改生产环境
在开发传统软件时，一个常见事故是"直接在生产环境上改代码"——改出问题就线上炸，然后紧急修复、可能还要回滚。PolyAI 的对话 AI 配置虽然不是传统代码，但它和代码一样有风险：一个 Flow 改错了步骤、一个话题内容写错了、一个语音参数调坏了，都会直接影响客户体验。
PolyAI 的三级环境隔离就是为了彻底消除"直接改生产"的可能性——你永远只在 Branch 上工作，Branch 永远不在 Live 上。
三个环境的职责
| 环境 | 用途 | 谁在做什么 | 电话号码 |
|---|---|---|---|
| Sandbox | 所有构建和测试的起点 | 构建团队（产品、运营、开发）在这里创建 / 修改 / 测试配置 | 无（用浏览器内通话或 Webchat） |
| Staging | 预发布验收测试 | 业务方 / UAT 团队用真实电话测试最终效果 | 独立测试号码 |
| Live | 生产环境，客户真实对话流量 | 客户 | 生产号码 |
环境的物理独立性
三个环境不仅是逻辑隔离，底层数据也是完全独立的：
- Sandbox 里的 Flow、Topics、Voice 设置 → 完全独立
- Staging 和 Live 有各自独立的配置副本
- 每个环境绑定的电话号码也独立
这意味着：你在 Sandbox 里做任何改动（包括删除所有配置），都不会影响 Staging 和 Live——因为数据根本不是同一份。
Sandbox：一切的起点
Sandbox 是 100% 安全的 playground：
- 不连接任何真实电话号码
- 所有改动自动保存、随时可以丢弃
- 可以用浏览器内通话或 Webchat 测试，不需要外部工具
- 可以随便改、随便试，改坏了大不了新建一个 Branch 重来
所有新项目默认只有 Sandbox 环境。
Staging：可选的预发布环境
Staging 不是必须的——很多小团队跳过 Staging，直接从 Sandbox Publish 到 Live。但以下情况强烈建议用 Staging：
- 有业务方验收需求：产品经理 / 业务负责人想打个真实电话、用真实号码听听效果
- 改动量大或涉及核心逻辑：重构 Flow、换 CRM 集成、加新渠道
- 首次上线：第一次从 Sandbox 推到生产前，先在 Staging 走一遍完整流程
Staging 有自己独立的电话号码——你可以把这个号码给内部团队或外部顾问测试，测试完再切到生产号码。
环境切换
在 Agent Studio 的环境下拉框（顶部）可以随时在 Sandbox / Staging / Live 之间切换。切换时你会看到每个环境的配置独立展示——比如 Sandbox 里有 3 个 Flow，Staging 里有 4 个（因为之前推送过一个新 Flow），Live 里有 5 个（因为最后推送了一个）。
这个可视化对比让你一眼就能看出"哪个环境比哪个环境多了什么"，避免了"我不确定这个改动有没有推到 Staging"的混乱。
和 Branch 的关系
环境和 Branch 是两个维度的隔离：
- 环境隔离的是数据和运行（Sandbox 的配置 ≠ Live 的配置）
- Branch 隔离的是同一环境内的改动（在 Live 的 Main 上新建 Branch 改，不直接改 Main）
两层隔离叠加起来，安全性比只有一层高很多。