你的数据在这台机器上怎么存放

我们存什么

全部存在同一台服务器上的一个 SQLite 文件里，不同步给任何第三方。

· 匿名身份：一个随机用户 ID，以及把「来源地址 + 浏览器标识 + 一次性随机数」一起 SHA-256 后得到的摘要。 随机数让这条摘要没法反推回你的 IP 或设备，我们也不保存这两项的明文。

· 会话：只存会话令牌的摘要与有效期，令牌本身只在你的 Cookie 里。

· 上传的邀请码：原码 + 用于查重的 HMAC 摘要。没有原码就没法发给人，这是本工具唯一必须存的敏感数据。

· 领取记录：谁在什么时间领走了哪个码、当时的活动配置版本；没有姓名。

· 举报：原因（枚举值）+ 你填写的说明（最多 500 字）+ 处理结果。

· 频控计数：按用户 ID 和 IP 摘要统计单位时间请求数，只用来限流，不做永久封禁，也不用来认人。

· 后台审计：运营改了什么字段的前后值。口令和完整邀请码按规则不写进审计。

· 截图：如果你用「截图识别」，那张图先写进本站的临时目录排队，后台识别完立即删除。 库里不留图片本身，也不接任何第三方识别接口——识别程序跑在我们自己的服务器上。

谁能看到完整邀请码

只有四处，其余任何地方（公共码池、后台码池列表、举报、审计、日志）都是脱敏形式。

1. 领取成功后你自己的结果页；

2. 「我的 · 我领取的」；

3. 「我的 · 我上传的」；

4. 你自己刚识别出来的候选数字，保留 30 分钟，到期即清空。候选是原码，所以只回给上传者本人， 别人即使拿到那个任务号也查不到内容；识别足够确定、已经自动入池的任务不留候选，那条码只按第 3 条规则保存。

公共列表里即使是你自己上传的码，也只标出「本人上传」并显示脱敏码，页面源码、接口响应与浏览器历史里都拿不到原码。

我们不做什么

没做的功能，也不会顺手收集与之相关的权限。

· 不申请相机或录屏权限：截图识别用的是系统自带的图片选择器，只有你亲手选中并上传的那一张会到我们服务器。

· 不长期保存图片：截图只在临时目录里等到后台排上队，识别完立即删除；进程被杀或一直没排上队的残留， 最长保留 24 小时后由清理任务连图片带任务一起删掉，不会有人翻你的截图。

· 不加载任何第三方脚本、统计、广告或字体；页面的脚本只能从本站加载（响应头 CSP script-src 'self'）。

· 不会自己跳转拼多多：只有你在领取结果页点「前往拼多多」时，浏览器才被导向拼多多的搜索页， 那条链接里只带这一个邀请码数字，不带你的账号、会话或其他数据；不点就只是复制到剪贴板，后面的步骤你自己完成。

· 不申请通知、位置权限；只有你点「复制」时写一次剪贴板，不读取剪贴板内容。

· 不做人脸识别、不接微信登录（小程序端本期未上线）。

Cookie

只有本站自己的 Cookie，没有第三方 Cookie。

· hp_session：登录态。HttpOnly + SameSite=Lax，服务端只存它的摘要，默认 30 天过期。

· hp_csrf：给页面读取、随请求头回填，用来挡跨站请求。

· hp_admin / hp_admin_csrf：管理后台专用，和用户端互不相干。

清掉站点数据后，这个匿名身份在你的设备上就找不回来了——服务端记录不会因此立刻消失，但没人再能把它和你对上。

服务器日志

日志只用于排障与安全分析，不对外提供，也不进任何统计平台。

· 每个请求一行访问日志：来源地址、请求路径、状态码和一个 request_id。 配了 HP_TRUSTED_PROXIES 时，来源地址是从转发头还原出的真实客户端； 没配就只认直连地址，挂了反向代理时记到的会是代理自己。

· 报错日志带同一个 request_id，方便你反馈时对上号。

· 请求体和响应体都不写日志，所以日志里不会出现邀请码原码、口令或幂等键。

· 日志落到哪个文件、保留多久由运营方决定，不在本页承诺范围内——想知道就去该站点的说明里查。

保留多久

默认口径：活动结束满 90 天后清掉原码。这个天数由运营方配置，本站实现里叫 HP_RETENTION_DAYS。

· 活动进行中：原码必须存着，不然发不出去。

· 活动结束满保留期后，定时任务 python3 -m app retain 会把该活动期的原码就地替换成脱敏形态， 删除过期会话与频控计数，并删掉「超过保留期」或「响应快照里还带着这次抹掉的原码」的幂等记录—— 领取回执的快照写入时间可能比活动结束还晚，所以按内容一起清，不让原码躲过清理。

· 之后你在「我的」里看到的历史码只剩 741•••869，复制出去也没法再助力——码本来也过期了。

· 领取记录、举报和审计继续保留（只含 ID、状态、时间和不含原码的变更摘要），用于处理纠纷。

· 数据库备份按份数滚动（默认留 7 份），远早于原码清理时限；把备份留上更久就得同步改这段说明。

你能做的

匿名身份没有可验证的联系方式，所以能给你的操作就这三样，说清楚比含糊承诺好。

· 撤回：上传但还没被领走的码，可在「我的 · 我上传的」撤回，撤回后不再分配给任何人。

· 举报：领到无效码可举报，运营核实后把该码下架。

· 清除站点数据：随时可做，做完你的历史记录在本设备上是打不开的。

本站不提供「按人即时删除」：我们无法证明某个匿名身份属于你，也就没法只删你的部分。 需要立即下架某个码，把完整码发给运营做下架；彻底清掉原码靠上面的保留任务，它会按活动结束时间自动执行。