# 安全与隐私约束

医生工作台会处理患者身份、病历、处方和音视频等敏感信息。生产部署必须遵守以下基线：

- 客户端不包含腾讯云 `SDKSecretKey`、COS Secret 或后端数据库凭据。TRTC `UserSig` 由服务端按当前医生和单次通话短时签发。
- 不在 URL 查询参数、命令行或日志中传递 token、UserSig、患者身份证号和完整病历。项目日志过滤器会遮蔽常见凭据，但调用代码仍应避免记录完整请求/响应。
- 密码从不落盘；“记住账号”只保存账号。登录 token 优先写入 Windows Credential Manager / macOS Keychain。
- 生产 API 与浏览器视频页必须使用 HTTPS 并验证证书。`DOCTOR_VERIFY_SSL=false` 只允许在受控开发环境临时使用。
- 页面可见性与按钮权限来自 `/auth.admin/mySelf`，但客户端权限仅用于界面体验；服务端仍必须对每个接口执行身份、租户、数据范围和动作权限校验。
- 本地不缓存患者列表、病历、处方和通话票据。演示数据是完全虚构的静态数据。
- 通话录制、截图和报告上传属于单独的合规能力；启用前必须确认患者告知/同意、留存周期、访问审计和删除流程。
- 软件发布必须签名。Windows 建议 Authenticode；macOS 需要 Developer ID、Hardened Runtime、摄像头/麦克风用途说明与公证。

发现凭据泄露、越权、患者数据写入日志或视频房间被未授权加入时，应立即停用相关凭据、保留审计证据并按组织的安全响应流程处置。