默认离线，
数据留在本机
不需要注册账号，也没有云端依赖。抽取、证明、历史与名单都在本机完成； 软件不会在后台联网——只有可选的信标熵、可关闭的时间戳，以及你主动提交的崩溃反馈会离开这台机器。
无需账户
离线可用
外部服务可选
凭据本地加密
联网能力
整个软件只有下面这几处会访问网络。除此之外，抽取、证明、历史、名单、导出与备份全部离线完成。
| 能力 | 发送内容 | 默认 | 说明 |
|---|---|---|---|
| 信标熵 | 向公开信标请求最新脉冲 | 关闭 | NIST / drand / random.org 可逐一选择；random.org 没有可验证时间线 |
| RFC 3161 时间戳 | 证明的规范摘要 | 开启（可关） | 固定权威；只发摘要；关闭时会说明对信标周期锚定的影响 |
| 崩溃反馈 | 诊断包，由你主动提交 | 仅主动 | 在反馈抽屉里点击发送才会离开本机，不会后台自动上传 |
| 手动下载发行包 | 普通 HTTP 请求 | 仅主动 | 软件不内置自动更新，只在你打开 Releases 时由浏览器访问 |
账户、云端同步、远程控制与在线背书在这份构建中被固定关闭：没有可用的登录路径，
也没有把证明提交给托管服务的入口。证明与重放始终只在你自己的机器上完成。
本地数据
数据默认留在软件目录下的 data/ 中。桌面便携包不会把数据写到用户目录；安装版只有在包目录不可写时才回落到用户数据目录。
data/ ├── config/ 设置、设备标识、安全与语音凭据 ├── list/ 点名名单与奖品池 ├── history/ 每轮抽取记录 ├── proofs/ 证明、链头与信标锚点 ├── backup/ 手动与自动备份 ├── audio/ 音乐曲库与语音缓存 ├── images/ 结果展示图片 └── logs/ 运行日志（可按需导出诊断包）
- data/config 会在支持的系统上隐藏，但隐藏失败不会阻止程序读写
- 手机与平板使用应用私有目录，不对外暴露；Android 只通过文档提供器暴露 data/，安全子目录始终不可见
- 完整备份包含名单、历史、证明、图片与音频；配置备份只含设置
- 所有备份都是可以在本机直接打开、迁移与长期保存的普通文件
凭据与加密
- 密码、TOTP 种子、U 盘绑定与锁定状态保存在单独的文件里，从不写入普通设置
- 凭据用密码派生的密钥加密（Argon2id + AES-256-GCM），因此可以在受支持的平台之间迁移
- 安全开关本身也是一个加密文件，使用设备本地的随机密钥；文件被删除或无法解密时按「最高保护」处理，不会退回「未开启」
- 密码强度提示只是参考，不会成为保存门槛；TOTP 免密验证可用，但界面会明确说明它依赖一份可读的种子副本
- 安全目录会收紧为仅当前用户可读；导出与手机文档提供器都不会包含它
- 设置文件可以记录完整性指纹，被改动时要求验证，或从最近的备份自动恢复，且只恢复设置文件本身
第三方清单
| 第三方 | 用途 | 你能选择吗 |
|---|---|---|
| 沃通（WoTrus） | RFC 3161 时间戳，只接收证明摘要 | 可以关闭 |
| NIST / drand | 信标熵来源，只请求公开脉冲 | 默认关闭，可逐源选择 |
| random.org | 备选熵源；没有可验证时间线，界面会提示可复核性受损 | 默认关闭，可逐源选择 |
| GitHub | 发行包与项目文档 | 仅在你主动打开时访问 |
诊断与反馈
- 崩溃报告默认只写在本机，不会自动上传
- 反馈抽屉会先生成一份标准诊断包，里面是日志与崩溃记录的摘要；发送前你可以先查看内容
- 只有点击「发送」才会提交；关闭抽屉或取消会丢弃草稿与诊断包
- 诊断包里不包含名单、证明内容、密码、TOTP 种子或语音凭据
- 你也可以把诊断包导出成文件，自己决定通过什么渠道提供
不覆盖范围
以下内容不属于本页的承诺范围，需要由使用者自行判断：
- 你主动导出的文件（备份、历史、诊断包）离开软件之后就按普通文件处理
- 你选择的外部信标与时间戳服务的可用性与运营方行为
- 操作系统、输入法、播放器与你安装的其他软件的行为
这份清单对应当前版本的实现。代码与行为不一致时，以代码和发行说明为准，并欢迎提交问题。