import type { Metadata } from "next";
import Link from "next/link";
import { PublicShell, StatusPill } from "../components/Shells";

export const metadata: Metadata = {
  title: "信任与隐私边界",
  description: "NekoNest Cloud 能看到什么、不能承诺什么，以及 sealed 上线前需要哪些证据。",
};

export default function TrustPage() {
  return (
    <PublicShell>
      <section className="subpage-hero trust-hero">
        <div className="subpage-hero-inner">
          <span className="eyebrow">TRUST / 信任边界</span>
          <h1>安全不是一句“零知识”。</h1>
          <p>我们把数据路径、可见元数据、可变 PWA 风险和尚未完成的证明一起写出来。能力没有被实测，就不先拿来营销。</p>
        </div>
      </section>

      <section className="section boundary-section">
        <div className="boundary-grid">
          <article className="boundary-card local-card">
            <span className="boundary-icon">HOST</span>
            <h2>只应留在你的主机</h2>
            <ul className="plain-list">
              <li>项目文件与任意磁盘内容</li>
              <li>Agent CLI 凭据、模型账户和 API Key</li>
              <li>各 Agent 的原生会话库</li>
              <li>本地进程执行与原生 ownership</li>
            </ul>
          </article>
          <article className="boundary-card cloud-boundary-card">
            <span className="boundary-icon">CLOUD</span>
            <h2>控制面确实需要</h2>
            <ul className="plain-list">
              <li>账户、手机、主机与租户标识</li>
              <li>认证、路由、连接状态与时间戳</li>
              <li>主机槽位、公测权益与审计状态</li>
              <li>必要的速率、大小和安全事件元数据</li>
            </ul>
          </article>
          <article className="boundary-card evidence-card">
            <span className="boundary-icon">PROVE</span>
            <h2>目标是不需要正文</h2>
            <p>sealed 模式目标是让中继不需要提示词、回复、工具内容和附件明文，也不持有可用解密钥。</p>
            <StatusPill tone="danger">附件端到端实证未完成</StatusPill>
          </article>
        </div>
      </section>

      <section className="section mutable-pwa-section">
        <div className="mutable-pwa-grid">
          <div>
            <span className="eyebrow">THE MUTABLE PWA PROBLEM</span>
            <h2>浏览器里的加密代码，也来自 Cloud。</h2>
          </div>
          <div>
            <p>即使中继只保存密文，托管方仍能更新手机端 PWA。被入侵或恶意的新版脚本可能在加密前读取明文。当前响应头基线不能解决这个根本问题；在没有严格 CSP、构建来源、依赖锁定、可验证发布和服务工作者回滚之前，不能声称“运营方永远不可能看到数据”。</p>
            <div className="evidence-checks">
              <span>✓ 当前无远程第三方脚本</span>
              <span>□ nonce/hash 严格 CSP（当前仅基线）</span>
              <span>□ 构建哈希 / provenance</span>
              <span>□ 服务工作者安全回滚</span>
              <span>□ sealed 命令与附件测试报告</span>
            </div>
          </div>
        </div>
      </section>

      <section className="section claim-section">
        <div className="claim-grid">
          <div className="claim-do">
            <span>现在可以准确地说</span>
            <h3>主机主动出站，Cloud 不运行模型；项目、凭据与原生 store 留在主机。</h3>
          </div>
          <div className="claim-dont">
            <span>证据完成前不能说</span>
            <h3>绝对零知识、附件已 E2E、运营方永远看不到、安全隔离与可靠灾备已经完成。</h3>
          </div>
        </div>
      </section>

      <section className="trust-cta">
        <div><h2>把承诺绑定到证据。</h2><p>所有安全、经营、支付和隐私门禁都在同一个公开检查面展示。</p></div>
        <div className="trust-cta-actions"><Link className="button button-primary button-large" href="/privacy">查看公测数据说明 →</Link><Link className="button button-secondary button-large" href="/readiness">查看上线门禁</Link></div>
      </section>
    </PublicShell>
  );
}