ADR-0002：引擎与 Provider 的部署形态

背景

平台要调用 APS、ERP、EMS 这些业务系统。Provider（能力适配器）跑在平台进程里，还是跑成独立服务，决定了三件事：实现复杂度、故障隔离程度、以及凭据怎么交给 Provider。

约束：「凭据不进模型上下文、不落日志」是硬要求；首版只有内部团队接入，没有第三方；工厂内网部署。

选项	做法	代价	不选的理由
A 进程内 Provider	Core 按 execution 注入短期凭据，Provider 与平台同进程	实现简单、无网络鉴权、调试直接	选定
B 跨进程 Provider 服务	独立服务，双向认证 + 一次性凭据	隔离好、可独立发版	首版就把鉴权、序列化、部署复杂度前置

选 A：首版 Provider 运行在平台信任域内，Core 按 execution 注入短期凭据，Provider 不落库、不缓存。

代价用三条约束兜住：Provider 不得阻塞事件循环；重活走异步任务；每类调用带超时。跨进程模式留给第三方接入或 Provider 需要独立发版时启用。

对代码：providers/ 与 server/core/execution 同进程运行；server/provider-sdk/http.ts 先写好，供将来切跨进程时复用，不改 Provider 实现
对任务：A2 的假 Provider、A5 的首个真实 Provider 都按进程内实现；B5 的契约化接口做成 HTTP，正是为了将来能平滑切成跨进程
对文档：设计文档《架构设计》第 6 节「Provider 契约」
不这么做的后果：首版做跨进程，团队要先把鉴权体系、序列化协议、服务发现做出来，才写第一个能力

跨进程模式的启动条件：第三方团队接入，或某个 Provider 需要独立发版。到 A8 或更晚再评估，不预先设计。