# 隐私、安全与权限说明

**适用版本：0.32.152；更新日期：2026-10-07。**

公益小助手会接触站点 Cookie、API Key、服务器连接信息和模型请求。设计原则很简单：**能放手机本地的，不上传；必须联网的，只发到用户明确选择的服务。**

## 本机保存的数据

以下内容会保存在 APP 私有目录；站点凭据等敏感字段使用密钥保护，SSH 另有加密保险箱。不要把这理解为所有历史记录和媒体缓存都经过同一种加密：

- 站点 Cookie、CK 和登录会话；
- API Key、令牌和分组信息；
- Linux.do 激活令牌；
- SSH 服务器连接和加密保险箱；
- 模型设置、聊天历史和本地任务记录；
- WebDAV 配置。

Android 自动备份已关闭，避免这些内容直接进入系统云备份或设备迁移流程。

普通站点导出不包含 Cookie、API Key、Token、Authorization 或服务器私钥。WebDAV 备份会先用独立密码进行 AES-256-GCM 加密，再上传。

## 哪些内容会联网

- 激活、在线授权、续费和更新：应用更新 / 授权服务；
- Linux.do 授权、浏览和插件：LINUX.DO 及用户主动打开的目标页面；
- 站点同步、签到和登录检查：用户添加的站点；
- 模型拉取、测试、聊天和 AI 报告：用户选择的模型 API；
- 本地网关：默认仅手机本机，开启局域网后接受同一 Wi-Fi 客户端；
- SSH-AI：用户选择的 SSH 服务器及模型提供方；选择 APP 本地网关时先访问本机网关；
- 短剧：后台源配置服务、所选站源及其媒体/验证服务；
- DoH：所选解析服务和可选上游代理；
- 应用公告与公益榜：对应应用服务；
- DLNA 投屏：同一局域网的接收设备及所需媒体连接；
- WebDAV：用户填写的 WebDAV 地址；
- Edge 在线语音：用户选择的语音服务。

第三方服务的隐私政策、日志和可用性不由本 APP 控制，请只配置自己信任的服务。

## 本地网关和 SSH-AI

- 网关需要用户主动开启；
- 网关接口需要 Bearer Key；
- Key 使用本机安全存储，不写入普通日志；
- 默认优先使用回环地址；
- 局域网模式只绑定明确选择的局域网地址；
- SSH-AI 使用网关当前实际生效的地址和 Key，不把 Key 写入 SSH 数据库；
- SSH-AI 的“APP 本地网关”提供方固定访问本机回环，不接受把网关 Key 转发到其他地址的重定向；其他提供方按用户配置访问；
- 局域网 HTTP 不是加密隧道，不要在陌生 Wi-Fi 中开启局域网监听；
- AI 生成的服务器命令执行前必须由用户确认。

## AI 请求的数据边界

模型聊天会把输入内容发送到所选模型线路。AI 报告会尽量脱敏 Cookie、API Key、Token、Authorization 和 URL 查询参数，但任务状态、站点名称、脱敏错误和必要证据仍可能发送给所选模型。

不要把密码、私钥、支付信息放进站点名称、备注、错误文本或聊天内容。高度敏感场景不要使用在线 AI 分析。

## 权限用途

| 权限 / 能力 | 用途 |
|---|---|
| 网络、网络状态 | 激活、更新、站点同步、签到、模型调用、浏览和网关 |
| Wi-Fi 状态、多播 | 局域网设备发现与投屏 |
| 精确/大致位置 | 资源浏览器的网页定位请求，需获得定位授权 |
| 相机 | 用户主动扫描二维码 |
| 麦克风 | 模型聊天按住说话 |
| 通知 | 后台任务、朗读、候场和网关状态 |
| 前台服务 | 候场、媒体播放、朗读和持续任务 |
| 唤醒锁 | 用户主动开启的后台任务和媒体播放 |
| 振动 | 模型可用、任务和提醒 |
| 生物识别/指纹 | 用户开启的 SSH 保险箱解锁 |
| 旧版外部存储 | 集成模块的文件访问兼容；写权限限 API 28 及以下 |
| 开机完成 | 后台任务组件的系统事件接收，不表示能绕过后台限制 |
| 忽略电池优化请求 | 用户选择的后台任务电池策略设置 |
| 安装未知应用 | 调起 Android 系统安装确认，不会静默安装 |

当前 APP 声明了精确/大致位置权限，资源浏览器按网页请求处理定位授权；普通浏览无需因此授予位置。相机、麦克风和定位可以分别拒绝，相关功能会受限。最终安装包还声明了旧版外部存储读取权限及仅限 Android 9（API 28）及以下的写入权限，用于兼容集成模块的文件操作；实际授权以系统版本和操作提示为准。未声明联系人权限，也未声明“管理所有文件”权限。文件/目录选择入口仍由用户主动操作。

## HTTP 和后台限制

为兼容旧站点，APP 允许配置明文 HTTP。HTTP 可能被同一网络中的其他人读取或篡改，涉及 Cookie、密码和 API Key 时优先使用 HTTPS。

候场、朗读、网关和持续任务依赖 Android 前台服务、通知权限和厂商后台策略。系统在内存紧张、用户强制停止或厂商清理时仍可能终止 APP，不承诺绝对永久运行。

## 卸载、换机和反馈

卸载 APP 会删除其私有数据。换机或重装前，请先上传 WebDAV 加密备份并保存独立密码和注册码。

反馈时不要提交 Cookie、API Key、Token、注册码、密码、SSH 私钥、服务器日志、未脱敏请求头、数据库、备份文件或登录二维码。只需提供版本、Android 版本、手机型号、站点类型、复现步骤和脱敏错误。
## 短剧缓存与 DoH

短剧剧库、图片、预加载和下载视频会占用本地空间。剧库清理按站源操作，保留下载视频、追剧与观看记录；清理不是删除所有个人数据。已有源被隐藏或下架后，也可能留下可清理的本地目录数据。

短剧固定直连不表示绕过系统 VPN、过滤软件或关闭 TLS。DoH/ECH 设置也不会自动成为短剧的代理路线。DoH 解析服务可接触解析请求，可选上游代理可接触其承载的连接信息，应使用可信服务。

APP 内 TLS 转接不要求安装系统证书；验证服务保持端到端连接。站点验证不等于永久授权，APP 不承诺绕过站点访问控制。