Repository navigation
Data Safety and Privacy
Delta Viewer 的源数据工作流只通过操作系统已经挂载或映射为目录的文件系统路径访问数据，包括本地目录、SD 卡和网络映射盘。所有数据用户必须通过固定证书连接局域网用户中心登录：
- 不支持在应用内配置或连接 SSH、HTTP、云存储或 NAS 协议数据源；操作系统已挂载的 Windows 映射盘、SMB/NFS 目录可作为源目录。扫描、检查、回放和导出保持只读，保存标注要求目录可写。
- 用户中心处理账号、任务分配计划、独立质量复核及标注绩效审计；登录成功后 token 只保存在客户端 Rust 进程内。
- 审计仅上传事件 ID、操作类型、task ID、trajectory code、revision 和开始/结束/操作时间，账号由 token 推导。
- 1.0.21 经用户授权新增独立审核事件：允许条目名称、路径 SHA-256 标识、标签名称、片段修改前后文本、帧位置、操作耗时、原因与修订。明细单字段最多 2000 字符；不上传完整源路径、图像、采集状态、密码或 token。此规则覆盖旧版复核内容不上报的约束。
- 驾驶舱中的 episode 完成量、耗时和趋势来自审计白名单；片段数和覆盖帧数只从管理员本机选择的标注 JSON 汇总。JSON、CSV 和打印 HTML 运营报表同样排除源路径、图像、状态、片段内容、原始数据、报告和 hash。
- JPEG、
states.jsonl、骨架和原机标bailian_annotation.json只读；不自动复制 episode。人工标注只更新根级description.json。正式版1.0.2新增经用户批准的校对写入例外：所有保留片段合格后首次创建bailian_annotation_reviewed.json，后续编辑原子更新并记录最新人工判定；此前仅保存本机草稿。复核锁/partial 和结果不参与采集指纹，不上传用户中心；原文件或并发修改冲突时拒绝覆盖。导出只写用户选择的导出目录。1.0.22 按用户明确授权增加管理员已通过数据集中导出：先扫描根级 QC 和人工裁剪，再显式选择目标目录复制完整 session，源目录只读；回读校验、变化检测和原子发布失败时不产生正式输出。 - 独立 formal/development stress 仍保留完整导入、目标端大小和 BLAKE3 回读，用于验证导入器和大容量数据链路；这不是正常用户流程。
- 正式输出使用 partial 加同文件系统原子发布，不覆盖已有结果。
- 登录后更新模块仅连接官方 GitHub latest Release API、固定仓库精确 tag 资产及官方 HTTPS 资产重定向域名。不发送用户中心 token、账号、源路径、标注、报告或遥测；检查失败不影响审核。
自动复制大容量 session 会额外占用接近源数据大小的磁盘空间，重复选择记录时尤其浪费。正常流程因此改为直接从已挂载源目录检查、回放和导出，不创建等量副本。扫描、检查、回放和导出不修改源；保存标注需要写入很小的 description.json。使用期间必须保持 SD 卡连接，拔卡、卸载或读卡器中断会使当前操作失败；源介质的随机读取速度也会直接影响回放和导出速度。
本机标注批量导出遵循同一原则。app-local 标注目录保存任务、描述、轨迹码、统一管理处理人或离线本机 provenance、源路径和指纹；源 episode 另保存 description.json。批量操作不会提前复制或缓存 JPEG/状态数据，而是在开始每条导出时重新读取并核对原始源。因此它不会额外占用一份源数据大小的 app-local-data 空间，但源卷必须在线且采集内容不能变化。
旧版本可能已在 app-local-data/imports 留下导入副本。应用不会自动删除这些历史数据，避免误删用户仍需保留的文件；确认不再需要后，用户可以在应用完全退出时按操作系统的数据位置手工归档或清理。
GitHub Release 的构建过程需要网络下载编译依赖、reviewed FFmpeg 和 WebView2。macOS 构建机只在本地生成不含身份的 ad-hoc seal。自动更新包另由发布流程使用专用 Ed25519/Minisign 私钥签名，应用以仓库中可审查的内嵌公钥验证；该签名不代表安装器具有可信发布者身份。私钥只保存在发布者受控位置和 GitHub Actions secrets，不进入仓库或 artifact。
应用更新入口固定为 Lr-2002/Delta-Viewer 官方正式 Release，拒绝草稿、预发布、降级、其他仓库与非 HTTPS 下载。元数据有界读取，当前平台包必须同时符合精确文件名、1–64 MiB、SHA-256 和内嵌公钥 Minisign 签名；缓存安装前重新验证。用户主动下载和选择安装时间，未完成任务或保存失败时不安装。
镜像机是唯一访问官方 GitHub Release 的运行时组件。它每 5 分钟同步一次，先验证三个 target、文件名、大小、SHA-256 和更新签名，再把完整版本从服务自有 partial 原子切换为当前版本；失败继续提供上一完整版本。镜像对客户端只开放 GET/HEAD，支持受控的单段文件 Range，不记录账号或业务数据，只保留当前版和上一版两个 release 集合，避免缓存无限增长。
Windows 和 macOS 不能直接读取普通 ext4 SD 卡。macOS 使用第三方驱动时必须按Paragon extFS 只读教程关闭 Spotlight indexing 并确认卷为只读；第三方驱动的安装、激活和网络行为不属于 Delta Viewer。Ubuntu 可用 Linux 内核原生只读挂载 ext4；原生 deb 可访问当前用户有权限的挂载目录。exFAT 可以改善跨平台挂载，但格式化会清空现有数据，而且 exFAT 不带日志。切换前必须完成备份、hash 校验、长时写入、接近满盘、断电和重新插拔测试。
导出目标卷应使用 NTFS、APFS、exFAT 或其他支持大文件的本机文件系统。FAT32 有 4 GB 单文件限制，不作为受支持的导出目标。
Windows 的账号、自定义任务、轨迹占号、标注、后台报告和操作错误历史位于当前用户的 Tauri app-local-data；macOS 位于 ~/Library/Application Support/com.dohc.viewer/；Ubuntu 原生 deb 通常位于 ~/.local/share/com.dohc.viewer/。正常界面不会在这里新增 episode 数据副本。旧版本可能仍留有 imports 目录；卸载应用不会默认删除这些本地数据，删除前应先确认内容并完成必要归档。