1. 数据面
HUD 从本机 app-server 读取额度和重置信息，数据先归一化为最小快照。界面不需要提示词正文、仓库文件或浏览器会话。无法确认数据来源时显示不可用，不猜测百分比。
2. 权限面
Windows 跟随定位只使用必要的窗口信息。首发客户端仅支持 Windows 11 x64 + 官方 Codex 桌面版；无法确认宿主身份或数据来源时，定位与读取均失败关闭。
3. 供应链与安装包
- 发布前记录构建版本、源提交、平台与文件哈希。
- 当前首发安装包的 Authenticode 状态为 NotSigned，这是为避免把付费代码签名证书成本转嫁给首发用户而采用的透明早期发行方案。Windows 可能显示“未知发布者”或“Windows 已保护你的电脑”。
- 安装包只通过本站登录后的专属短期链接交付，并在下载回执中显示完整 SHA-256。只有来源为本站且摘要一致时，才可选择“更多信息 → 仍要运行”；不要运行转传、网盘或第三方重打包版本。
- 0.5.4 只在首次授权成功后写入当前 Windows 用户的启动项；用户关闭“随 Windows 启动”后会保存明确偏好，不会再次自动开启。
- 每次下载都需重新购买并扣款。更新时客户端校验新旧安装包身份文件，但只替换 EXE 程序本体，保留旧安装的 package_id、设备授权和用户设置；替换前暂存新文件，启动失败则回滚。
- 下载凭证短期有效，package_id 与订单永久关联，避免仅依赖文件名识别。
4. 设备绑定
授权服务以设备公钥判断激活，并保留可审计的人工恢复流程。“永久权益”仅指当前已购版本所属大版本在同一已批准设备公钥上的长期使用权益，不承诺包含未来另行收费的大版本；客户端联网时自动续签授权票，单张授权票最长支持离线 30 天，超期必须联网续签。任何不同设备密钥都不能自助迁移；只能申请人工审查，审查不保证迁移。我们不承诺软件“不可逆向”或文件“不可复制”；防护目标是提高篡改成本、发现异常和拒绝未授权激活。
5. 漏洞反馈
如发现授权绕过、隐私泄露或安装包完整性问题，请通过副脑科技主站公开渠道提交复现条件。不要在反馈中附带账号密码、令牌或私人项目文件。