76 lines
3.0 KiB
Markdown
76 lines
3.0 KiB
Markdown
# 数据与隐私边界
|
|
|
|
## 公开提交会存储什么
|
|
|
|
| 数据 | 用途 |
|
|
| --- | --- |
|
|
| 产品、类型、标题、描述 | 分流和处理反馈 |
|
|
| 可选联系邮箱 | 在需要时联系提交者 |
|
|
| 可选应用版本、系统、架构、语言 | 判断影响范围和辅助复现 |
|
|
| `clientRequestId` | 网络重试幂等 |
|
|
| installation ID 的 keyed digest | 安装实例限流和滥用控制 |
|
|
| 来源 IP 的 keyed digest | 滥用调查和限流关联 |
|
|
| 可选截图 | 复现界面或视觉问题 |
|
|
| 创建和更新时间 | 排序与处理记录 |
|
|
|
|
服务器不会保存原始 installation ID 或原始 IP。digest 使用
|
|
`APP_SECRET` 生成。管理员状态修改和内部备注也会存入数据库。
|
|
|
|
## 默认不收集什么
|
|
|
|
GoodBuddy 客户端接入必须保持以下默认边界，除非未来为具体字段另行设计并
|
|
向用户清楚展示：
|
|
|
|
- 对话、提示词或模型回复
|
|
- 应用日志和崩溃日志
|
|
- 文件内容、项目内容和本地路径
|
|
- API key、Cookie、Token、SSH 凭据或主机配置
|
|
- 模型、知识库或 Runtime 的详细配置
|
|
- 剪贴板内容
|
|
- 屏幕截图
|
|
|
|
截图只能由用户主动选择或粘贴后随该次反馈上传。提交界面必须在发送前让
|
|
用户看到截图已包含，并允许移除。
|
|
|
|
## 截图处理
|
|
|
|
- 只接受单帧 PNG、JPEG、WebP，并验证实际解码格式。
|
|
- 服务端实际解码图片，不依赖扩展名。
|
|
- 应用方向信息后统一重编码为 PNG。
|
|
- 不复制原图 EXIF/XMP 等元数据。
|
|
- 原始上传字节不会作为附件保留。
|
|
- 标准化后的图片位于私有数据 volume，不由静态服务器公开。
|
|
- 只有具有有效管理员会话的同源接口可以读取截图，响应使用
|
|
`Cache-Control: private, no-store`。
|
|
|
|
截图可能仍然包含屏幕中肉眼可见的个人信息、文件名、消息或其他敏感内容。
|
|
客户端必须提醒用户检查画面。
|
|
|
|
## 管理访问
|
|
|
|
- 没有公开注册入口。
|
|
- 管理员只能通过主机 CLI 创建或重置。
|
|
- 密码使用带随机 salt 的 scrypt hash 保存。
|
|
- 会话 token 仅放在 HttpOnly、SameSite=Strict Cookie 中，数据库只保存
|
|
keyed digest。
|
|
- 管理写操作需要 CSRF token。
|
|
- 内部备注和可选联系邮箱只在管理后台展示。
|
|
|
|
## 传输、日志与保留
|
|
|
|
- 生产流量通过 Caddy HTTPS 传输。
|
|
- 常规应用访问日志关闭，避免持久记录公开提交者的原始 IP。
|
|
- 应用错误日志不得包含反馈正文、邮箱、截图、认证 Cookie 或 secret。
|
|
- 当前版本不会自动删除反馈。部署方负责公布和执行实际保留期限，并保护
|
|
备份中的同类数据。
|
|
|
|
## 客户端展示要求
|
|
|
|
在 GoodBuddy 或其他产品发送前，界面至少应说明：
|
|
|
|
1. 标题、描述和所选反馈类型会发送到 MesaLogo 反馈服务。
|
|
2. 邮箱是可选项。
|
|
3. 应用版本、操作系统和架构会在界面列明后发送。
|
|
4. 截图默认不上传，只有明确添加后才发送。
|
|
5. 不会自动附加对话、日志、文件、项目路径、模型配置或凭据。
|