旧系统打印与硬件外设升级，先隔离设备协议，再迁移业务主责

先按交互性质选择改造边界

适用边界：先区分办公外设、业务采集与安全控制

本文适用于打印、扫描、读卡、称重等信息系统外设升级，不替代工业控制、医疗器械、支付终端或人身安全相关设备的认证与专业评估。外设能连接，不代表业务上可以安全替换。

先写清升级动因：旧操作系统或浏览器无法继续支持、驱动停止维护、设备只能在单机运行、现场故障无人定位，还是业务准备从桌面端迁到 Web、小程序或 APP。目标不同，适配层的位置也不同。若现有设备稳定且仍受厂商支持，仅隔离接口和补齐监测可能比立即更换全部硬件风险更低。

打印通常由操作系统、队列、驱动或打印应用再与设备交互；USB 外设则受终端硬件、系统能力和授权模型影响。Android 官方资料明确说明 USB host 或 accessory 能力最终依赖设备硬件，不能因为系统版本支持接口就假定所有手机、平板都能连接同一外设。小程序和浏览器还受各自运行容器限制，应以目标终端、目标版本和真实设备验证，不把桌面浏览器试验外推到所有客户端。

• 列明本次覆盖的业务动作、终端、场所、设备与人员安全边界。
• 区分信息输入输出、支付或身份设备、机械控制和应急联锁。
• 无法由通用软件安全承接的设备保留厂商方案，并明确集成责任。

按业务工位建立设备、驱动、协议和耗材清单

同型号设备也可能因为固件、纸张、接口板、驱动和操作系统不同而行为不一致。资产表若只写“标签打印机 20 台”，无法支持升级、备件和回滚。

从收银、入库、拣货、发货、质检、生产和财务等真实工位出发，记录业务动作、设备资产号、厂商型号、固件、连接方式、终端与系统版本、驱动或 SDK 版本、端口和权限、纸张或标签规格、模板、字符集、条码制式、切刀或钱箱等附加动作，以及备用设备和负责人。网络打印机还要记录队列、地址分配和访问边界，但不在普通文档中保存管理口令。

用代码、安装包、注册表或服务配置、现场脚本、打印服务器、设备管理台账和操作员演示交叉核对。旧系统可能直接写串口、调用浏览器插件、生成厂商指令文件，也可能先进入系统打印队列。CUPS 的官方概览将队列、作业、格式转换和后端发送分为不同环节，说明“应用已提交”与“设备已完成”不是同一个状态；其他平台也应按其实际链路逐段确认。低频月结、退货补打、备用工位和离线门店不能因当天没有流量被遗漏。

• 每个工位能追溯到业务动作、终端、驱动、设备、耗材和备用路径。
• 保存脱敏输入、生成文件、设备指令或回执的代表性样本。
• 标记已验证、待验证、停止维护和无人负责的组件，不把猜测写成兼容结论。

把业务命令与设备字节分开，建立可版本化的能力契约

业务系统应该表达打印什么、采集什么和结果如何使用，而不是到处拼接端口名、厂商命令、纸张偏移或 USB 标识。适配层负责把稳定业务契约转换为目标设备能够理解的形式。

打印命令至少包含稳定 jobId、业务对象及版本、模板版本、份数、目标设备能力、操作者或发起服务、创建时间和数据敏感级别。模板声明纸张、方向、字体、条码和必要的切刀等能力，设备注册表再说明某台设备能否满足；不支持时明确拒绝或转入人工选择，不能静默缩放后继续。Microsoft 的 Print Support App 资料区分 PrintTicket、设备能力、页面描述语言与厂商特性，也说明定制功能需要设备方理解后正确呈现；这可作为“能力与业务分离”的参考，不意味着所有项目都必须采用该 Windows 技术。

扫码、称重和读卡输入至少记录 eventId、设备身份、工位、采集时间、原始格式版本、解析结果和质量状态。原始字节只在必要、受控且符合数据政策时短期保留。适配层输出候选业务数据，服务端仍要检查用户、租户、业务状态和重复事件；设备序列号不能替代账号权限，成功解析也不能证明卡片、条码或重量属于当前订单。契约发生不兼容变化时新增版本，并用旧终端与新服务、新终端与兼容入口双向测试。

• 业务命令不包含散落的端口名、驱动路径和厂商私有调用。
• 模板、设备能力、协议解析与业务授权分别版本化并可追溯。
• 不支持的能力明确失败，不以静默降级产生看似成功的错误实物。

选择适配层位置：系统队列、本地代理或现场网关各有边界

适配层应放在能够稳定访问设备、接受更新并被监测的位置。没有一种方案天然适合所有门店、工厂和移动终端，关键是缩小业务系统对驱动与操作系统的直接依赖。

普通打印可优先评估操作系统队列或网络 IPP 能力；OpenPrinting 文档说明 CUPS 调度器管理打印机、作业、状态和通知，Printer Application 则可把特定驱动能力包装为 IPP 打印机。Windows 场景应核对目标版本、厂商支持和打印平台路线。对于必须访问串口、USB 或专用 SDK 的旧设备，可部署签名、可更新的本地代理或现场网关：它只接受受信服务发出的版本化命令，按设备白名单执行，并返回作业状态，不承担价格、权限或库存等业务决策。

浏览器页面、小程序和 APP 通过后端创建业务命令，再由授权工位领取；不要让公网脚本任意枚举或控制本地设备。代理需要明确安装范围、升级渠道、服务账号、证书轮换、网络出口、日志脱敏、自动启动和离线策略。多工位共享网关时，为设备与门店、租户、队列建立固定绑定，防止一张标签被路由到另一门店。若厂商 SDK 只能在特定系统运行，可先将其封装在隔离适配进程中，而不是在同一次改造里强行换掉设备。

• 按目标终端与真实驱动选择系统队列、本地代理或现场网关。
• 适配层只做能力转换和作业执行，业务授权与规则仍在服务端。
• 安装、升级、证书、设备绑定、离线和监测都有明确运维责任。

用持久作业状态处理断网、重启和重复执行

打印、开钱箱、写卡等动作可能无法撤销。网络超时或进程崩溃后，调用方常常只知道“结果未知”，自动重试可能制造重复实物或重复动作。

服务端先持久化 jobId、业务快照或不可变引用、目标能力、状态和尝试记录，再允许适配层领取。状态至少区分待领取、已领取、已提交队列、设备确认或完成证据、结果未知、明确失败、取消和人工关闭；具体阶段必须匹配设备能提供的反馈。很多打印链路只能证明已写入队列或已发送，无法证明纸张内容正确，此时状态名称必须如实表达，不能统一写成“打印成功”。

适配层用 jobId 去重，同一命令重复到达时返回已有状态，不重新执行。设备断电或代理在提交后崩溃时，将作业标为结果未知，由操作员查看队列、实物或设备回执后决定继续、补打或关闭。补打创建带原因、原 jobId 和操作者的新作业，必要时在样张显示“补打”及序号，避免后台悄悄重发。扫码等输入事件也用 eventId 去重，但不能因为内容相同就合并两次合法扫描；去重依据应是设备事件身份和业务窗口，而不是简单比较字符串。

• jobId 在服务端、适配层和现场记录之间保持稳定且可查询。
• 状态名称只表达实际证据，队列接收不冒充实物正确完成。
• 结果未知必须人工或设备证据收敛，补打、取消和重试都有责任与审计。

实施步骤：先回放样本，再按工位转移唯一执行主责

外设升级需要真实硬件参与。只在开发电脑生成 PDF、模拟串口或展示一个新页面，不能证明门店与生产现场可以切换。

第一步冻结设备矩阵和关键业务样本，采集旧路径的输入、输出、样张、设备状态和异常处理；第二步实现稳定契约与适配层，在隔离设备上回放脱敏样本；第三步让新路径只生成预览、指令摘要和状态比较，不向生产设备执行；第四步选择设备型号和操作员明确的低风险工位，在一个维护窗口把该工位设为新路径唯一主责；第五步按型号、终端版本和场所扩大，并覆盖交接班、离线和备用设备；第六步停止旧插件或 SDK 的新调用，观察完整业务周期后撤销权限和安装包。

同一工位不能让新旧路径都自动打印，再依靠人工丢弃重复纸张。切换点记录最后一个旧 jobId、第一个新 jobId、队列中作业、现场未领取实物和代理版本。回滚只把尚未执行的新命令重新路由旧路径；已经提交设备或结果未知的作业先逐项确认，不能在旧系统再次批量执行。若新版小程序或 APP 仍与旧终端并存，业务服务保持契约兼容，由工位路由决定执行主责，终端不得直接选择任意设备地址。

• 影子阶段不驱动生产设备，只比较模板、指令、路由与预期状态。
• 每个灰度工位同一时刻只有一个执行主责，并记录清晰切换水位。
• 回滚分别处理未领取、已提交、结果未知和已完成作业，不做无条件重放。

现场验收：设备矩阵、物理结果和故障恢复缺一不可

验收应覆盖实际设备、耗材、操作员与网络条件，并核对最终标签、小票、读数或卡片结果。接口返回 200、队列没有积压或模拟器通过，都不能替代物理结果。

建立“业务样本 × 终端版本 × 操作系统 × 设备型号与固件 × 连接方式 × 耗材”的最小代表矩阵。打印逐项核对纸张尺寸、边距、分页、字体替代、中文和特殊字符、条码可扫描性、二维码内容、份数、切刀、套打位置和补打标识；采集设备核对快速连续输入、半包或粘包、断连重连、异常值、设备被拔出、权限拒绝和多个同类设备同时存在。结果关联 jobId 或 eventId、样本版本、设备和检查人，不记录不必要的个人信息。

故障演练覆盖服务端超时、本地断网、代理重启、终端休眠、设备断电、缺纸、卡纸、队列暂停、驱动崩溃、端口变化、证书过期、重复领取和切换中回滚。恢复后核对哪些作业自动继续、哪些明确失败、哪些保持结果未知以及谁负责处理。现场人员还要能识别设备离线、选择备用设备、查看安全的错误提示和发起受控补打。只有矩阵通过、差异可解释、旧路径可恢复、安装与监测能长期维护时，才扩大或退役旧组件。

• 代表设备、终端、系统、连接方式和耗材组合均有现场结果。
• 物理输出与采集值按 jobId 或 eventId 核对，异常样本可追溯。
• 断网、断电、缺纸、重启、重复、备用设备和回滚均完成演练。

风险提示：本地代理、设备输入和模板都属于安全边界

外设改造常为了方便开放高权限端口、共享目录或本地 HTTP 服务，结果把现场终端变成绕过服务端授权的入口。设备与驱动也可能返回异常长度、编码和状态，必须按不可信输入处理。

本地代理使用最小权限服务账号，只监听必要接口并校验调用来源、设备绑定、命令签名或短期凭据；管理接口不暴露公网，不允许任意文件路径、任意命令或任意目标地址。安装包、驱动和 SDK 核对来源、签名、版本与支持期限，更新先经过设备矩阵验证。模板与作业数据按敏感级别传输和留存，日志只保存排障所需标识与状态，不输出卡号、证件、令牌或完整客户资料。

扫码枪、串口和 USB 返回的长度、字符集、校验位、数值范围与频率都要限制，解析失败时丢弃当前帧并给出可恢复提示，不能让残帧进入订单。支付、门禁、医疗、计量与工业控制设备通常还有行业认证、密钥托管或法定检定要求，应由相应厂商和责任人确认。项目若无法取得协议、测试设备或合法驱动，应明确只能先做外围隔离和运行保障，不能承诺通过逆向方式完成全部替换。

• 本地服务最小权限、受信调用、固定设备绑定，管理面不暴露公网。
• 驱动、SDK、模板、作业数据与日志都有来源、版本和敏感信息边界。
• 高风险设备由厂商、业务与合规负责人共同确认，不由通用改造方案代替。

需求讨论中的问题

关联服务与实施资料

下面的页面可继续核对相关技术边界、业务接入方式与项目交付条件。

• 无文档旧项目接手指南：先补齐终端、安装包、驱动、账号、脚本和现场负责人的资产证据。
• 旧系统运行时与依赖升级指南：协调操作系统、运行时、第三方组件和旧插件的支持边界。
• 旧系统定时任务迁移清单：处理离线补传、打印队列清理、设备状态同步和单一任务主责。
• API 重试风暴与幂等指南：继续处理设备作业超时、结果未知、稳定幂等键和受控重试。
• AI Agent 智能体开发：让智能体通过授权工具创建可审计设备作业，而不是直接控制本地外设。
• 小程序与 APP 一体化开发：统一多端业务命令、门店工位路由、状态查询与人工确认。
• 软件项目启动资料包：整理终端、硬件、接口、业务样本、现场条件与验收清单。