安全
更新于 2026-10-08
初稿：只写已落地并核实过的措施，标【TODO】的项正在核实。
本页说明 OneAI 怎样保护账号和学校数据。这里只写已经在系统里实现的做法；还在核实的内容标为待补，不作承诺。
概览
- 数据位置：【TODO：数据存放地区待核实，核实前不写】
- 访问控制：账号按身份授权；不同学校的班级、批改和学情数据互相隔离。
- AI 与人工审核：AI 从试卷里识别出的题，要老师审核后才进入题库。
- 备份与恢复：【TODO：数据库备份方式待核实，核实前不写】
基础设施
【TODO：数据存放位置待核实（依据 docs/deploy.k8s.md）。】
【TODO：全站 HTTPS 是本页上线的前置条件；就绪并核实后再写传输加密。】
【TODO：数据库备份待核实（依据 docs/database.backup.md）。】
账号安全
- 密码不以明文保存。系统只保存加了随机盐的 scrypt 哈希。
- 登录会话可以吊销。退出登录后，这台设备上的会话随即失效。
- 找回密码成功后，这个账号之前的全部会话都会失效。
学校数据隔离与权限
- 班级、批改和学情数据按学校隔离。查询时除了核对对象归属，还会加上学校条件，不返回其他学校的数据。
- 后台任务处理数据时，同样检查数据和它所属的对象在同一所学校。
- 学校被停用后，本校账号无法登录。
- 访问按身份授权。学生、教师、学校管理员和平台管理员能做的事各不相同。学校管理员只管理本校；学校管理员和平台管理员的权限互不继承。
运营访问
- 平台管理员通过运营后台做的每项变更，都和审计记录在同一个事务里提交。变更失败时，既不留下改动，也不留下审计记录。
- 管理员资格被撤销后，下一次请求就不再有权限。
- 审计只记录动作、对象和摘要，不记录邀请码明文、令牌和完整的请求内容。
AI 处理
- AI 从试卷里识别出的题，要老师对照原图审核、发布后才进入正式题库。
【TODO：模型服务的供应商与数据是否出境，待律师确认后再写。】
删除与保留
- 删除对用户不可恢复，系统没有回收站。以后可能还要用的内容，请用归档；归档可以恢复。
- 删除后，后台仍保留删除标记、正文、子记录和审计记录，不做物理清除。
【TODO：删除后数据的保留期限与彻底清除方式待定，与隐私政策一致后再写。】
事件响应
【TODO：安全事件的处理流程、通知方式与时限待定。】
负责任披露
【TODO：安全问题报告邮箱。】
【TODO：首次回复时限。】