按交叉评审对齐文档与代码口径，并挡住 reference 下的密钥文件

表名、配额种子和字段名以产品方案与架构为准；文档仓库补 .gitignore，避免 git add -A 把 API Key 推进远端。

Co-authored-by: Cursor <cursoragent@cursor.com>

docs/合规与安全方案.md

@@ -1,6 +1,6 @@
 # 「美搭」合规与安全方案
 
-> 版本：**v1.2**　｜　更新日期：2026-08-13　｜　状态：待法务/合规复核
+> 版本：**v1.3**　｜　更新日期：2026-08-14　｜　状态：待法务/合规复核
 >
 > **为什么这份文档单独存在**：本产品同时踩在三条监管线上——处理**人脸信息**（敏感个人信息）、提供**生成式 AI 服务**、产出**AI 生成合成内容**。这三条线各自有独立的法定义务，把它们混在技术文档里会被当成技术细节忽略，所以单独成文。
 >
@@ -363,6 +363,7 @@ AI 生成内容仅供参考，不构成专业建议
 - [ ] 注销流程 7 日内彻底删除，且有执行记录
 - [ ] 越权访问测试全部拦截
 - [ ] 日志中无敏感信息（人工抽查 + 自动扫描）
+- [ ] **生产环境确认无 `dev-token` 路由**（`DEV_AUTH_ENABLED` 与 `is_local` 双开关均须为关；发布包探测 `/api/v1/auth/dev-token` 应 404）
 - [ ] 越界问题（医疗/命理/他人评价）拒答测试通过 —— **命理模块已决定不做（`TD-31`），但对话侧仍须拒答**
 - [ ] 贬损性表述检测生效（用负面样本集验证）
 - [ ] 备案编号公示位在发布包中可见且内容正确
@@ -424,6 +425,7 @@ AI 生成内容仅供参考，不构成专业建议
 
 | 日期 | 版本 | 变更 |
 | --- | --- | --- |
+| 2026-08-14 | v1.3 | §5.3 补「生产环境确认无 `dev-token` 路由」 |
 | 2026-08-13 | v1.2 | **文档一致性评审修订**。**本文的「人脸原图保留期 ≤ 2 小时」被确认为全局唯一事实源** —— 产品方案 §7.1.4 与美学报告 §9.1 原写「≤ 24h 仅用于任务重试」，已按本文更正（2 小时已足够覆盖重试窗口：最长任务 320s、重试上限 3 次；24h 只是白担合规风险，保留期越长越可能被认定为"存储了人脸信息"从而触发 10 万人备案义务）。§5.3 检查清单补入 `FR-ACC-15`「清空我的照片」（涉及人脸数据删除，此前无 FR 也未纳入清单）；防刷项补入配额硬限制与短信通道防刷（`FR-ACC-14`）；措辞「退点」→「退还配额」 |
 | 2026-08-13 | v1.1 | **主线二状态更新为「备案已完成」**。新增 §2.2.0「备案完成后的四项持续义务」（编号公示、备案范围与实际调用一致、变更备案 30 工作日、材料维护），并标出唯一开放风险 —— 备案覆盖的模型清单是否含 DeepSeek + GLM 两家，若只含一家则双路由属超范围。§2.2.3 时间线改为已完成说明，指出关键路径已转移到素材与规则库生产。§2.2.4 公示要求从"待办材料"升为"必须落地的开发任务"，补充三条实现要求（入口硬编码、编号可下发、文案与网关路由同源）。§5.1 检查清单标记已完成项，移除华为企业开发者认证（V1 不需要）；§5.3 移除支付类合规项 |
 | 2026-08-13 | v1.0 | 首次输出。确立三条主线：① 人脸原图不落盘以规避 10 万人备案阈值；② 大模型登记 + 算法备案须在 Phase 0 启动（周期 2~4 个月）；③ AI 生成内容显式 + 隐式双重标识，经统一合规出口收口 |