先把年卡权益写成机器可执行规则
年卡章程应明确适用景区、开放日期、每日或年度次数、需预约时段、特殊活动、儿童与陪同、暂停开放、退卡和转让限制。系统把每条规则版本化并记录生效时间，历史核销仍按购买时或公告约定的版本解释。
跨城市项目还要区分发行方、运营方、景区与技术服务方。谁能新增景区、谁承担优惠、游客向谁退款、临时闭园如何补偿都要先约定。页面上的“通用”不能替代景区清单和例外规则。
实名身份与凭证分层设计
会员、年卡账户和入园凭证是三个对象。身份证、二维码、实体卡或人脸可作为核验媒介，但中心系统应使用内部稳定主键关联，避免更换手机号或补卡后产生重复账户。未成年人、境外证件和团体用户需要明确替代流程。
采用人脸时须说明必要性、处理规则与保护措施，并提供其他合理方式。人脸识别办法自 2025 年 6 月施行，采购不能把刷脸作为所有游客唯一入口。人脸模板、证件号和照片的保存期限、访问岗位与删除机制应单独验收。
中心权益账本记录每次变化
账本记录发卡、激活、预约、核销、撤销、冻结、补卡和退款，每条事件包含年卡、景区、通道、设备、操作人、时间、规则版本与幂等键。景区本地系统不直接改剩余次数，而是提交事件，由中心返回确定结果。
重复扫码、闸机超时和消息重发必须返回同一结果。撤销核销只允许授权岗位并保留原因；不能删除原记录。这样客服能解释游客为什么不能入园，运营方也能按景区和规则重放权益变化。
离线核销采用受限额度而非无限放行
网络中断时，可将当天有效年卡的最小必要名单或签名凭证下发到指定设备，并限制景区、日期、次数和有效时长。设备保存本地核销序号，恢复网络后按顺序补传，中心发现跨景区重复使用时进入冲突队列。
离线方案要考虑名单过期、设备丢失、时间不准和多人共享。加密存储、设备认证、远程停用与人工凭证共同使用。应急放行由现场负责人审批，记录游客、理由与后续补核，不把断网变成无审计通道。
结算不能只按闸机次数分钱
年卡收入分配可能按固定比例、有效核销、预约、景区等级或保底加浮动执行。系统必须保存合同版本、计算周期、剔除规则和调整单，并把汇总追溯到权益事件。北京联合年卡等公开项目说明跨区域年卡可以覆盖多地景区，但具体结算规则应以各项目合同为准。
无效刷卡、撤销、员工测试、重复补传和争议订单如何处理要写清。月结前景区确认明细，差异通过调整单解决，不直接覆盖原始数据。财务付款、发票与税务处理由各主体按合同执行。
景区接入需要统一认证和监控
接口至少覆盖验卡、预约、核销、撤销、状态查询、名单同步和对账。请求包含景区、设备、凭证、时间戳与签名，返回明确原因码。每个景区设置独立密钥、速率限制和环境，测试凭据不能用于生产。
运营中心监控成功率、延迟、离线设备、重复核销、名单同步和异常调整。告警要能找到景区值班人与技术方；增加新城市或更换闸机时重新做协议、时钟、网络和全流程测试。
用跨城脚本完成终验
选取不同证件与卡型，在两个以上城市测试正常预约、连续入园、次数限制、闭园、补卡、退款、断网核销、恢复补传和冲突处理。再核对游客端记录、景区明细、运营汇总与结算结果是否一致。
终验保存规则版本、设备清单、接口日志、脱敏事件、差异报告和应急演练。单个景区刷码成功只能证明局部接入，不能证明跨城权益与结算闭环。后续新增景区继续执行相同准入门槛。
游客服务和争议处理
游客端应能查询年卡状态、适用景区、剩余次数、核销记录、预约和规则版本，挂失、换证与申诉有明确入口。景区临时闭园或退出年卡时，运营方主动通知受影响用户并按章程处理延期、替代或退款。
客服查询一次争议时，应看到发行、预约、在线和离线核销、撤销与补传的事件链，而不是只看到当前剩余次数。涉及不同城市时设置统一工单号和升级路径，避免游客在发行方与景区之间重复举证。
异常核销纠正要区分设备重复、工作人员误操作、游客转借和规则配置错误。先保全日志和凭证，再按合同与公开章程处理；单个争议不能通过直接改余额消失，否则后续结算与审计会失去依据。
常见问题 FAQ
年卡必须使用人脸吗？
不必须。可采用身份证、动态二维码或实体卡等方式；使用人脸时还应提供其他合理替代方式并履行敏感信息保护义务。
两个景区同时离线怎样避免重复入园？
通过短时、限景区的离线授权降低风险，恢复后中心冲突复核；无法完全消除时应在合同中明确风险和处理规则。
核销一次后能否人工撤销？
可以设置受控撤销，但需审批、原因和完整日志，原核销事件不能删除。
跨城市结算按什么口径？
由合同确定，可按核销、固定比例或组合规则；系统应版本化并能从结算汇总追溯到事件。
参考来源与事实边界
- 1. 北京市人民政府：2026年北京市公园游览年票发售公告
- 2. 中央网信办：《中华人民共和国个人信息保护法》
- 3. 中央网信办、公安部：《人脸识别技术应用安全管理办法》
- 4. 中国政府网：《网络数据安全管理条例》
- 5. 趣买票景区票务系统页