公开承诺
隐私与数据说明
这一页写给每一位使用班级空间的同学，也写给以后的班委。
我们保存什么
- 账号信息：用户名、密码哈希、角色、状态、注册时间。密码无法被还原。
- 通知已读记录：哪个账号读过哪条通知，用于显示未读数量。
- 匿名反馈与树洞：线程内容、回复和回访码的摘要，不保存账号、IP、User-Agent。
- 问题交流：问题、回复、作者账号与时间。问答是实名模块，和匿名反馈完全分开。
- 资源库：上传者账号、资料名称、说明、原始文件名、大小、审核记录与下载次数。文件保存在服务器私有目录。
- 登录失败限速：用户名的摘要与失败次数，不保存明文用户名和 IP。
刻意不保存什么
- 反馈和树洞的提交人身份，数据库里没有可以关联的字段。
- 匿名模块、问答与资源下载的访问日志。部署配置会关闭
/feedback、/tree、/qa、/resources的 Nginx 访问日志，并关闭 Gunicorn access log。 - 反馈和树洞的 IP 地址、设备信息、地理位置。
回访码意味着什么
反馈和树洞提交后会生成一串一次性显示的回访码，服务端只保存它的摘要。它有两个直接后果：
- 丢了回访码，就再也找不回这条反馈或这封信，班委也无法帮你找回。
- 没有站内通知，也没有邮件提醒。想看回复，只能自己带着回访码回来。
回访码可以删除自己发起的线程。删除会立即从主数据库移除，备份中的副本最多保留 30 天后滚出。
树洞的可见范围与信任边界
在系统里，树洞收件箱只对 counselor 角色开放：班长、团支书、超级管理员访问都会返回 403，页面也不会出现任何树洞统计。雪绒花角色只能通过服务器命令设置，管理员不能在自己的后台里把自己改成雪绒花。
需要诚实说明：如果班长同时是服务器和数据库的管理员，“看不到树洞”是应用层和制度层的承诺，不是密码学意义上的绝对隔离。真正的隔离需要雪绒花持有独立账号、匿名路由不写日志、班长不接触数据库备份。班级规模下，我们采用的做法是：把这条写成公开约定，并且只有雪绒花书面同意、班主任在场时，才查看数据库。
匿名反馈的代价
反馈不关联账号，因此班委无法主动找到写信人，也无法在紧急情况下确认对方是谁。反馈适合提出意见、说明问题；如果你正处在危险中，请直接联系身边的人、学校心理中心或紧急电话，不要只依赖反馈或树洞。
资源库的边界
资源文件存放在服务器的 instance/uploads 目录，不在公开静态路径下，必须登录后通过本站下载。上传后会先进入待审核状态，班委通过后才对全班可见。
- 资源库保留上传者用户名，它不是匿名模块。
- 班委退回事由只有“未通过”一种，退回时服务器会删除文件。
- 服务器不做病毒扫描。请只下载你信任的来源，遇到可疑文件不要打开。
- 请只上传你有权分享的资料，不要上传教材扫描件、付费课程或他人隐私。
危机情况
数据保留与删除
- 通知、账号和线程会一直保留，直到被删除或站点停止使用。
- 作者可以凭回访码删除自己的反馈或树洞线程；提问者可以删除自己的问题。
- 上传者可以删除自己上传的资料；班委可以删除任意资料，文件会同时从服务器移除。
- 管理员可以删除通知；不能查看匿名线程的身份，因为不存在。
- 资料未通过审核时，文件会立即删除，只保留一条状态记录供上传者查看。
- 数据库每日备份，备份保留 30 天；删除操作会在备份周期结束后彻底消失。
你可以做什么
- 不要在反馈或树洞里写下姓名、学号、手机号等能定位到自己的信息。
- 不要把回访码发给别人，它等同于这段对话的钥匙。
- 发现内容被泄露或权限异常，请直接联系班长或雪绒花。
这份说明会随功能变化更新。最近更新：10月29日 周四。