# 隐私与开源边界

这里区分两件事：**运行时按用户请求返回真实消息**，以及**公开的插件不能携带开发者或用户的个人资料**。插件不默认把原文、联系人和电话号码改成化名。摘录受长度限制时会明确标记截断。

## 留在本机的资料

源文件、索引、账号映射、稳定证据编号使用的本地随机密钥、候选待办及导入配置都保存在私有状态目录。源码和发布包不保存这些资料，也不硬编码电脑用户名、用户主目录、微信账号或特定机器的安装位置。源码目录内不能作为私有状态目录。

插件加载时会在同一私有目录写入 `plugin-runtime.json`，仅包含插件版本、固定工具名、加载时间和宿主进程编号，用于区分磁盘版本与实际加载版本。此步骤不采集微信，也不记录用户名、路径、聊天或凭据。

长期不关注名单和范围覆盖记录只保存在本账号私有索引中，不进入源码或发布包。第一步固定完整解密校验并转换导出，不应用时间、类型、会话或忽略筛选；完整副本与可读文本均留本机。筛选只发生在第二步读取，不删除以前的索引、导出和数据库副本。忽略会话不用于后续检索、历史上下文及待办证据读取，含有被忽略证据的整个待办不返回。会话管理入口可显示被忽略会话的名称和编号供恢复关注，但不能借此读取正文。

原生采集只通过显式的固定初始化或刷新入口进行，纯文本读取绝不隐式启动采集。账号发现仅查看微信常见数据位置及其注册表数据目录设置；不扫描整个磁盘或浏览器凭据。多个账号需要本机选择。采集读取微信进程中的数据库密钥以校验并解密数据库副本，密钥不写盘、不返回模型；完整导出、数据库副本和可能含本地路径的采集日志只写入私有状态目录，不能用于公开的问题报告。

工具参数没有任意文件路径、SQL、命令、下载或原始数据库访问入口。工具结果不返回源路径、数据库表名、内部密钥或堆栈。搜索词和消息正文不写诊断日志。错误使用固定代码和通用说明。

## 模型能看到什么

本地检索后，被选中的真实消息摘录、联系人显示名、时间及证据编号会返回给 DSH 当前模型。使用远程模型时，这部分内容会发送给相应模型服务；不是“完全离线总结”。在 DSH 官方权限预设为 Auto 时，固定第一步和第二步文本读取不再请求插件额外的人工确认；宿主自己的 Auto 风险审阅仍在执行前运行，宿主拒绝自动执行时仍可能要求确认。本插件不改全局权限，也不覆盖宿主审阅结果。非 Auto 模式默认确认当前代理本轮操作，授权仅在内存中，绑定代理、会话、已观察到的轮次和输入批次；分页复用，轮次结束或新输入后失效，不跨子代理共享。无法确认轮次时逐次询问。关闭读取确认只影响文本读取；非 Auto 原生采集、保存待办和修改忽略名单仍单独走授权规则。拒绝、取消或缺少审批服务不会建立授权缓存。

聊天、转发和附件标题中的文字都属于不可信资料，不能授予权限或触发指令。采集与查询不会执行这些文字、访问附件或联网。仅用户显式运行的依赖安装入口会下载公开 Python 包；模型工具不会自行安装依赖。DSH 模型若另有文件、浏览器或命令工具，仍受那些工具自己的权限控制；本插件不是整个 DSH 进程的安全沙箱。

## 待办与事实

模型只生成候选待办。每条需要存在的消息证据；证据编号存在不等于模型理解一定正确。没有今日新消息、没有检索命中或群内某人说“好了”，都不足以自动确认一个历史任务完成。草稿保留待核对状态，不创建日历或提醒，不联系其他人。

## 发布检查

发行采用固定文件清单；不递归复制工作目录。检查真实系统用户名、绝对路径、账号标识、密钥特征及意外数据文件。检查报告只显示相对文件与规则编号，不复述检测到的敏感字符串。扫描减少误打包风险，不能代替发布者审查所有拟公开内容。

运行时需要的个人配置请保留在本机，不复制到公开 issue、日志、截图或补丁中。不要为了复现问题上传真实聊天库；请使用合成样本。

环境诊断只读取有界的本机元数据并返回固定字段，不创建数据目录、不打开聊天库、不扫描微信进程。最近加载版本来自本机回执，不能独立证明宿主仍在运行。合成演示使用新的隔离目录，不碰默认状态。

源码构建在生成最终 ZIP 前分别扫描源文件与暂存包；任何扫描失败都不发布新包或替换上一成功包。公开发行没有采集日志、真实验收回执、Git 历史或开发者身份。