eu、在其下生成了一份 SOC 2 报告，然后
之后把工作区切换到 us。旧的 eu 报告会怎样？OrcaRouter 会
扣留它。一份签名合规报告在生成时被区域戳记，且它只在你
工作区的当前声明区域仍匹配那个戳记时才提供服务。跨区域读取被
拒绝——制品永远不会在一个它不再能满足的驻留主张下交出。
本页讲解那一条规则：读取限制。关于声明和更改区域本身，参见
数据驻留；关于制品内部
有什么，参见 签名报告。
1. 为什么存在数据驻留报告限制
一份签名报告携带一个驻留主张。当你在eu 下生成它时，报告的
披露声明该证据制品被戳记到欧盟并按区域分区存储。如果网关随后
在你把工作区移到 us 之后仍提供那同一个制品，被提供的副本就会
做出一个它不再持有的驻留主张。
该限制关乎证据制品，而非你的推理流量。声明一个区域会戳记
并按地域分区网关产生的合规报告。它是一个诚实披露 + 制品地域性
控制——它不地理钉定上游模型提供商在哪个区域处理你的
提示词。上游提供商（子处理者）在它们自己的区域处理请求数据，
而报告恰好披露这一点。
2. 匹配规则
规则是下载时的一次单一比较，介于报告上戳记的区域和你工作区 的当前声明区域之间。戳记区域匹配当前区域 → 提供服务
戳记区域匹配当前区域 → 提供服务
制品正常返回，以它生成时所用的任何格式（PDF、JSON 或 CSV）。
戳记区域不同于当前区域 → 扣留
戳记区域不同于当前区域 → 扣留
下载被拒绝。制品永远不会在一个它无法满足的驻留下提供。你在
当前区域下重新生成报告，以获得一个新的、正确戳记的制品。
报告无戳记区域 → 始终提供服务
报告无戳记区域 → 始终提供服务
在工作区没有声明驻留地时生成的报告不携带任何驻留主张，
所以没有什么可不匹配——它在任何区域下都提供服务。声明一个
区域只戳记声明之后生成的报告。
us、eu、uk、ap、cn 和 global
（外加未设置 / 无限制状态）。
3. 一个具体演练
一个在季度中途切换区域的工作区：4. 谁能更改什么
阅读驻留地设置和浏览报告对每个工作区 member 开放。那些移动 区域——并因此决定什么被扣留——的动作仅限 Admin 且受服务端 门控。| 动作 | 路由 | 角色 |
|---|---|---|
| 读取声明的区域 | GET /api/compliance/residency | Member |
| 更改声明的区域 | PUT /api/compliance/residency | Admin |
| 下载报告（做区域检查） | GET /api/compliance/reports/:id/download | Admin |
/api/compliance/* 路由运行。
不涉及任何中继（sk-orca-…）密钥——驻留地是一个合规执行面设置，
而非 /v1/* 请求携带的东西。
5. 这如何与审计员共享链接交互
一个只读的 审计员共享链接 提供它被铸造给的那同一个区域戳记制品。链接不绕过底层报告上的 驻留戳记——它是一个已经携带其区域主张的制品的令牌化视图。在你 确定了工作区声明的区域之后再铸造共享链接，这样审计员就不会拿到 一个指向你之后必须重新生成的报告的链接。6. 这一切的归属
跨区域限制是让一份区域戳记报告值得信赖的读取侧保证。围绕它的 各部分：数据驻留
声明并更改你的报告被戳记和存储所在的区域。
签名报告
生成 Ed25519 签名、区域戳记的证据包本身。
导出证据
审计员共享链接和 CSV / JSON / PDF 格式。
套餐门控
哪些合规动作免费 vs. 付费，以及谁能运行它们。