# 安全说明

## 报告问题

请通过 GitHub 的私密安全报告（Security → Report a vulnerability）提交，不要在公开 Issue 里粘贴：

- 任何真实 API Key、DPAPI 密文、`realtime.json` / `cloud.json` 内容；
- 你的成长档案、聊天记录、语音转写或截图；
- 可复现的隐私或权限绕过细节（先私下报告，修复后再公开）。

## 密钥如何处理

- 实时语音与文字云聊的 Key 分别保存在独立配置里，使用当前 Windows 用户的 DPAPI 加密；界面不回填旧 Key，日志不写 Key。
- 地址改变必须重新输入 Key，旧 Key 和环境 Key 不会自动转发到新目标。
- 文字云聊的进程环境 Key 默认只隐式用于 DeepSeek 标准 HTTPS 端口；localhost、自定义端口或其他供应商必须通过 `DSH_DAFEIYU_CLOUD_KEY_ENDPOINT` 显式绑定。绑定可以是规范化前的 `/v1` 地址；显式绑定优先于默认供应商。
- 本机语音不保存录音；云端实时语音需要每次会话的单独音频上传确认。

## 文字上下文与撤销

- 连续文字历史和本地记忆摘要分别授权，默认关闭，改变接口/模型或关窗口撤销。
- 记忆衍生回复带来源标记；撤销记忆后不借历史间接发送，主动搭话气泡不作为自动历史。清除记忆会清空旧对话行、草稿与检索反馈并使在途回包失效。
- 这些限制防止后续发送，不能撤回此前已经交给服务商的内容。
- smoke 清除继承的插件环境变量并显式覆盖数据/模型路径，使用合成档案；不会拿用户环境 Key 或真实聊天作为测试输入。

## 电脑操作边界

本项目只实现固定白名单（记事本、计算器、音量），且每次执行都需要在原生窗口点击确认按钮；语音、模型回复、网页内容都不能代替点击。它不是通用远程控制，也不申请管理员权限。

## 支持范围

仅测试 Windows 10/11 + `dsh-dafeiyu@0.1.23`。其他版本请先适配再安装。