PRODUCT / 安全与隐私
四个问题，正面回答
密钥、备份、断网、审计导出——这四个问题决定了私有化能不能过安全审查。 我们不写「已采取多项安全措施」，只写具体怎么做、谁负责。
Q01
密钥怎么存？
只放本地环境变量或系统密钥库，不进仓、不进交付包、不写进页面。交付前会跑一遍扫描（grep 常见密钥前缀），命中即阻断发布。
谁会看到：只有客户自己。我们不接触、不代管、不索取。
Q02
备份谁负责？
客户负责。因为数据在客户自己的 git 仓库里，备份 = 推一个远端或拷一份目录。我们提供脚本与说明，不提供云端备份服务。
我们的建议：每周一次自动推送到私有远端，保留 8 周；每月做一次恢复演练（把仓库克隆到临时目录跑 render）。
Q03
断网会怎样？
看板、任务、窗口、审批、日报、账本全部可用——它们本来就是本地静态页 + 本地数据。唯一受影响的是「主动侦察」拉取外部 RSS。
内网环境可以配一个内网 RSS 代理，或直接关掉侦察模块，其余功能不受影响。
Q04
审计导出是什么？
把任务状态变更、失败原因、审批决定导出为 CSV / JSON：谁、什么时候、改了什么、为什么。企业版才有此功能。
用途：内部复盘、外部尽调、合规检查。导出文件不含密钥与账号。
REFUSE // 我们会拒绝什么
三条，没有例外
- 拒绝把客户数据放到我们的服务器：私有化产品的全部意义在这里。云版另说，但云版是另一条产品线。
- 拒绝远程登录客户机器「帮你看一下」：要排障就发日志，不进你的机器。
- 拒绝共享密钥与账号：包括让我们「临时用一下」。密钥一旦共享，责任就说不清了。
AUDIT // 可核验
怎么证明我们说的
- 要求看交付包里的 扫描脚本（grep 常见密钥前缀）
- 要求跑一次 clean.py --dry-run，看它清什么
- 要求导出一次审计 CSV，看字段够不够