数据全本地，只有模型推理会出门
一句话：这是一款本地优先的应用。学习数据全部留在你的电脑上，只有模型推理请求会离开电脑。
| 东西 | 在哪 |
|---|---|
| 题库、作答、错题本、掌握度、学情 | 本机 henryedu.db |
| API Key | macOS Keychain（密文落在 credentials.enc） |
| 题目原图、交互演示页 | 本机数据目录，按保留期清理 |
| 模型推理（识别 / 讲解 / 批改 / 演示生成） | 发给你自己配置的模型厂商 |
| 遥测 / 使用统计 / 崩溃上报 | 没有 |
数据全本地
应用不需要注册账号，也没有云端档案。默认数据目录是 ~/Library/Application Support/HenryEdu/，
里面是主库 henryedu.db、Key 密文 credentials.enc、手动备份 backups/
与演示页 artifacts/。这些内容不会同步到任何服务器。
备份是手动的：Cmd+B 或菜单「文件 → 立即备份」，保留最近 14 份。
如果你自己把备份目录拷到网盘，那属于你的选择 —— 那一刻起它就不再只在本机了。
只有模型推理走云端
需要识别或讲解时，应用会把当前任务需要的那部分内容直接发送给你在设置里配置的厂商 （DeepSeek / Kimi / MiniMax）：可能是题目照片、题干文字、孩子的作答，以及必要的上下文。 发多少由当前任务决定，不做无关收集。
请求从你的电脑直接发往厂商，不经过 HenryEdu 的中转服务器。厂商怎么处理这些请求， 取决于你与厂商之间的服务条款，建议按需了解对应厂商的隐私政策。
API Key 存在 macOS Keychain 里
API Key 保存在 macOS Keychain 中，落盘的是密文 credentials.enc。
明文永远不进入渲染进程，主进程与界面之间走白名单 IPC；密钥也不会随备份上传到任何地方。
没有遥测
没有埋点、没有使用统计、没有崩溃上报、没有广告 SDK，也不使用第三方分析服务。
唯一自动发出的网络请求是更新检查：启动后延迟一次 GET updates/latest.json，
只带 User-Agent（版本号）和 Accept，不带设备标识、不带 cookie。它可以在设置里关掉，
更新源也可以改成你自己的镜像。测试、自检、截图模式下不会发起这个请求。
断网时的行为
断网时无法识别与讲解，但可以查看历史数据与错题本。界面会明确提示离线， 不会用规则模板假装成模型回答 —— 它宁愿告诉你现在用不了，也不给你一段看起来像模像样的假讲解。
心理安全的本地规则
心理风险分级在输入侧先用本地规则跑一遍，不等模型生成。L3（明确自伤意图）会硬熔断、 禁止自由生成，改用模板话术 + 危机资源，并 100% 进家长侧复核队列。这部分判定不依赖联网。
交互演示页是隔离的
模型生成的演示页跑在独立分区里：关 Node、开沙箱与 contextIsolation，网络只放行一个 CDN 白名单， 导航与弹窗全拦死。它访问不到你的本地文件与数据。
需要你知道的边界
- 内置的危机资源号码是 12356 / 12355 / 110 / 120，上线前请自行核实，建议每季度复核。
- 模型 ID、单价这类信息会随厂商变化，请以厂商官网为准；应用里能一键拉取模型列表、手动改单价。
- 本项目未用真实 API Key 验证过所有厂商字段，首次配置后建议用「保存并测试」确认链路通。