什么在保护这份档案，什么还没有。

居民端与医生端是独立凭证、独立权限。

无医师资格访问医生端在会话层被拦截，而不只是在界面里隐藏入口。

医生只看得到自己名下的居民。

过滤器在构建查询时生效。没有范围的查询返回空结果，而不是返回全部。

账号层面的同意不会解锁敏感健康功能。

敏感同意版本号逐请求校验；不匹配时明确报错，而不是静默放行。

没有医生作出决定前，AI 建议不会推送给居民。

修改、确认、驳回全部记录；驳回同样会通知居民并说明原因。

审核动作与数据删除均写入审计日志。

事后可以还原一份档案上发生过什么。

写操作校验来源白名单。

支持反向代理场景下的主机比对回退，避免反向代理部署破坏校验。

密码哈希存储，绝不存明文。

会话为签名 JWT；签名密钥为运行时必需项，缺失时应用拒绝启动。

没有广告联盟、统计信标或外部字体。

图标为团队手绘 SVG，不从第三方图标 CDN 加载。