安全模型

只读

• 核心只接收不可变字节，不访问文件系统；
• 平台层读取稳定快照，读取前后完整 SHA-256 一致才生成报告；
• 不写回、不修复、不改名、不删除存档；导出只写到用户指定的新目录。

路径

• 输入输出只支持本地卷，拒绝 UNC 与设备路径；
• 输出目录必须不存在，且与输入文件或其所在目录不重叠（按规范路径比较）；
• 符号链接与重解析点不跟随；
• 目录发现只查 Known Folder 与 %USERPROFILE% 下的受限位置，不做全盘扫描。

输出提交

• 先写 <名称>.tmp，全部成功后再逐一改名提交；
• 失败或取消清理临时文件与本次创建的目录，不留下“完整报告”假象；
• CSV 对危险前缀（=、+、-、@、制表、回车及前导空白绕过）加 ' 转义。

网络与界面

• 应用不加载任何外部页面、不发起网络请求；
• 攻略链接只经后端校验 http/https 后交给系统浏览器；
• WebView 导航只允许应用自身来源（CSP + 导航门禁）；
• 命令按两个 capability 收窄（default / detail）；未列入的命令被 ACL 拒绝。

分享脱敏

--share / 默认分享模式去掉输入目录，并把字符串中的路径样片段替换为文件名。脱敏是防御层， 不把脱敏等同于全部内容可公开；发布与分享前仍应做人工检查。

资源上限

压缩与解压各 64 MiB；批量最多 128 个文件、64 对比较；元数据单文件 4 MiB、单字符串 4096 B、 数组/对象 8192 项、嵌套 64 层。超限返回稳定错误码，不做静默截断。

文档站

文档站是纯静态站点，使用本地搜索，不加载第三方统计、字体或 CDN 脚本。Netlify 的构建日志与 访问日志属于托管平台能力，不进入应用。