安全与数据说明

1. 安全访问

• HTTP：仅用于产品介绍、快速开始、帮助、状态、会员方案和政策等公开内容。
• HTTPS：用于登录注册、CDK、API 密钥、业务任务、文件上传、浏览器通知和服务器浏览器。
• 局域网证书：首次使用新设备时，按照管理员提供的步骤核对地址、证书和公开的 SHA-256；不要直接跳过证书错误。
• 地址变化：局域网 IP、临时外网地址或域名变化后，旧书签和邀请链接可能失效，应重新取得当前入口。

2. 账户、会员与会话

• 密码以安全摘要保存，页面和管理员不应显示原密码。
• 登录验证器密钥使用独立服务器主密钥加密保存；扫码绑定只有在回填动态码验证成功后才启用。
• 启用验证器后，登录与自助恢复密码都需要短时动态码；恢复成功会撤销原有登录会话，已使用的动态码不会再次接受。
• 登录历史、来源 IP、设备信息和关键操作记录用于账户安全、异常排查与审计。
• 用户发现异常登录后，应修改密码并撤销其他登录会话；管理员账户不应共享给普通用户。
• 邀请码只绑定邀请关系，不直接授予会员。会员等级决定功能范围，授权周期决定有效期。
• 邮箱验证和是否允许修改邮箱由管理员配置；邮件服务未配置时，系统不能虚构验证码已经发送。

3. 任务、日志与文件

• 查询条件、任务参数、运行状态、日志、输入文件和结果按提交账户关联。
• 管理员仅应在必要的运维、安全、授权和审计范围内访问任务信息。
• 结果保留期限取决于服务器清理策略；没有明确期限时，不承诺永久保留或提交后立即删除。
• PDF 写操作生成新文件。数字签名、加密、结构异常或超过限制的输入可能被安全预检拦截。
• 不要上传没有处理权限的个人信息、商业秘密、投标资料或受第三方限制的文件。

4. 第三方页面和服务器会话

商务通查、开标大厅和其他来源页面可能依赖第三方账户、验证码、Cookie、CA、广告跳转或页面结构。第三方名称和标识归相应权利人所有。

• 只有在运营方确认账号授权和第三方条款允许的范围内，才应启用相应自动化。
• 共享登录态与隔离浏览器窗口用于受控任务，不应向会员公开下载服务器凭据。
• 系统不绕过验证码，也不保证登录状态永久有效；会话过期或页面变化时可能需要人工重新登录。
• 第三方页面出现登录或访问问题时，请以对应模块提示和任务日志排查。

5. AI 解析、AI 编标与报价模拟

• AI 解析和 AI 编标只在用户主动启用或提交任务后处理相应资料。
• 个人 API 配置应仅在 HTTPS 下保存；页面不会展示密钥、模型认证或内部错误细节。
• AI 服务未启用、配置无效或无法访问时，应明确显示不可用，而不是假装任务成功。
• AI 生成内容、报价模拟、点位优化与概率结果都必须人工审查，不构成专业意见或中标保证。

6. 报告安全问题

发现异常登录、越权访问、文件误展示或其他安全问题时，请立即停止相关操作，修改密码并通过登录后的“帮助与反馈”联系管理员。

建议提供发生时间、所在模块、可复现步骤、页面提示和不含敏感信息的截图。不要提交密码、验证码、Cookie、完整 CDK、API Key 或无权处理的业务资料。