49 lines
4.3 KiB
Markdown
49 lines
4.3 KiB
Markdown
# 免费公测与未来收费门禁
|
||
|
||
状态：本地原型允许施工；面向公众的生产公测保持阻止。本文是产品检查表，不替代正式的安全、运营或专业意见。
|
||
|
||
门禁不是展示用清单：普通账户的新配对创建和 daemon 认领都会在 D1 写入条件中重新检查全部必需 P0，缺行或证据不完整时 fail closed。管理员明确签发的有效闭测邀请可在小范围测试中继续使用；P0 回滚或邀请撤销不会自动断开既有主机。
|
||
|
||
## P0：未通过不得开放免费公测
|
||
|
||
| 门禁 | 当前 | 完成证据 |
|
||
|---|---|---|
|
||
| sealed 命令与附件端到端实证 | 阻止 | 在真实中继覆盖上传、重试、恢复和下载；流量、数据库、日志、追踪和备份均不出现应用明文或可用解密钥 |
|
||
| 到期操作边界 | 阻止 | Cloud 控制面已用矩阵与数据库回归证明：资格变化阻止新配对/未完成认领，保留主动撤销；仍需在真实 Relay 验证稳定端点重连、重放、会话 interrupt/cancel、授权快照过期和硬到期行为 |
|
||
| 租户隔离和生命周期 | 阻止 | 相似租户 ID 的域名、令牌、卷、备份、恢复、删除和失败重试全部 fail closed |
|
||
| 主机配对认领安全 | 阻止 | 本地 claim、一次性码摘要、限速、尝试预算、过期/重放拒绝、撤销及不落命令历史的 Windows/Linux 引导已实现；仍需真实 daemon/生产 D1 并发实证与异常告警后才能通过 |
|
||
| 国内个人用户身份 | 阻止 | 选择并实测公开登录、账户恢复、管理员身份和退出路径；当前 Sites / ChatGPT 身份只用于闭测施工 |
|
||
| 免费公测主体、域名与备案路径 | 阻止 | 免费测试以什么身份提供、部署/接入地、域名和所需备案路径已有可执行结论 |
|
||
| 隐私、保存和跨境 | 阻止 | 表级数据清单、处理目的、用户控制、已审计技术到期清理及每日自动调度已完成；仍需托管环境首轮实证、最终保存期、受托方、删除/备份擦除和境内/跨境事实核查 |
|
||
|
||
## P1：扩大公测前完成
|
||
|
||
- 备份/恢复演练，记录实际 RPO/RTO；
|
||
- 区域 Relay 池中每租户 Engine 的空闲/活跃 CPU、内存、SQLite、附件、Push、流量和支持工时测量；
|
||
- 公测容量、通知节奏和反滥用限制；
|
||
- 主机恢复、停用、身份丢失后重装、凭据轮换、安全复制式注册引导和 fail-closed 下载清单已实现；扩大公测前发布最低 v0.2.6 兼容包、配置实测 SHA-256、完成 Windows 发布者代码签名，并补真实安装升级、注册响应丢失和生产 D1 并发演练；
|
||
- Cloud 控制平面 JSON 导出、可撤回注销申请、不可撤回 Purge 状态机、Relay 卷/附件/备份逻辑删除和最小完成摘要已实现；仍需真实托管存储演练、保留例外、最终账户身份清除、物理生命周期证据和身份防重建；
|
||
- 公开服务状态页、手工故障公告/恢复说明、控制台提醒，以及站内用户反馈/管理员回复闭环已实现；安全事件分级、自动告警、外部通知和值守升级仍待完成；
|
||
- PWA 浏览器响应头基线与无远程第三方脚本已实现；仍需 nonce/hash 严格 CSP、构建来源与哈希、依赖锁定、服务工作者回滚和发布 provenance；
|
||
- 构建工具链审计：生产依赖审计归零，受信任源码构建不处理用户提供的非可信图片。
|
||
|
||
## PAID：未来决定收费后再处理
|
||
|
||
这些项目不阻塞当前免费测试，但没有完成前不得开放任何报价、订单或收款入口：
|
||
|
||
- 收费单位、周期、价格和成本模型重新决策；
|
||
- 订单到权益的幂等、乱序和对账；
|
||
- 真实支付商户、回调验签、退款和对账；
|
||
- 销售/开票主体、含税口径、发票和退款红冲；
|
||
- 付费服务条款、取消、退款、宽限、客服和消费者规则。
|
||
|
||
## 证据不足时禁止使用的宣传语
|
||
|
||
- “生产可用”“已正式上线”“已经合规”；
|
||
- “绝对零知识”“Cloud 永远不可能看到明文”；
|
||
- “附件已端到端加密”；
|
||
- “安全隔离”“可靠备份”“灾难恢复”而没有测试报告；
|
||
- “立即购买”“支付已支持”或任何确定价格；
|
||
- 确定的公测结束、收费、退款或上线日期；
|
||
- 把“手机不占主机槽位”写成无限连接承诺。
|