隐私说明

一、一句话版

不登录也能用全部天气功能；不投放广告、不接第三方统计与埋点；本站收集的东西只有三样—— 你主动填的账号信息、查天气必需的坐标、以及出故障时的崩溃诊断。这三样都不卖、不共享、不用于画像。

二、账号（只有你注册了才有）

• 只存用户名与口令的不可逆加盐哈希（scrypt，N=2¹⁷）。不存明文口令，也不要邮箱、不要手机号——所以本站没有「找回密码邮件」这种东西，忘掉口令只能靠你自己保存的恢复码。
• 恢复码与口令同规格存储（同样只存哈希），一个账号永久只能生成一次，用过即作废。
• 登录状态是一枚自己签发的 HttpOnly Cookie（30 天），服务端不保存会话表；「退出所有设备」通过抬升 tokenVersion 让所有旧 Cookie 立即失效。
• 注销账号是不可逆的：账号记录会被删除，且不会保留副本。

三、本机数据（不上传）

• 单位制、卡片显隐与顺序、配色、界面密度、最近查看的城市、每个城市最后一次看到的实况快照——全部存在你自己浏览器的 localStorage 里，不上传服务器。
• 清空浏览器数据即可清掉全部本机偏好；本站无法、也不会去读你其它站点的 localStorage。

四、登录后同步了什么

登录是可选的。登录后只有偏好设置（收藏城市、配色、单位制、卡片显隐与顺序、密度、默认城市策略）会随账号同步， 存在服务端存储里、仅你自己可见，并可用「本机覆盖云端」改写；你随时可以选「云端覆盖本机」或「本机覆盖云端」决定谁说了算。 注销账号时这些数据随账号一起删除。

五、定位与坐标

• 只有在你点「定位」、或把默认城市设为「跟随定位」时才请求浏览器定位权限；进站自动定位仅在你此前已授权时发生。
• 坐标只用于向和风天气查询天气，不落库、不与账号绑定。搜索与地图选点同理，查询完即丢。
• 发往本站接口的请求带有坐标，服务端的错误日志里不会记录坐标或城市名（见下一条：上报的 URL 只保留路径）。

六、故障诊断上报（V2.0.0 新增，自建，不接第三方）

页面出现脚本错误或接口整体不可用时，本站会向自己的 /api/report-error 上报一条诊断： 错误信息、出错文件与行号、页面路径（去掉查询串，所以不含坐标与城市）、浏览器 UA、站点版本与时间。

• 不含：Cookie、口令、表单内容、你输入的任何搜索词、坐标、IP 的持久画像。
• 有上限：同一类错误每次页面只报一条，每次页面最多 5 条；离线时报都不报。
• 用途只有一个：知道站点哪里坏了、坏在哪一版；不做统计画像、不对外提供。

七、安全记录（登录设备与审计）

登录成功后本站会登记一条设备记录（设备标识、浏览器与系统简称、IP、首次和最近时间）， 以及一条安全记录（登录、新设备登录、登录失败、改口令、生成与使用恢复码、退出所有设备、移除设备）。

• 记录只对你自己可见：必须持有有效登录会话才能读取，接口不接受任何跨账号查询。
• 服务端不记录你收到了什么预警、不记录你看了哪个城市。
• 你可以随时「退出所有设备」清空设备表，或在安全页一键清空安全记录。

八、第三方

• 数据来自和风天气；雷达帧来自RainViewer；底图瓦片来自高德地图。
• 站点自身已不依赖任何第三方脚本或字体：图表库（ECharts）与西文字体（Space Grotesk）自 V2.0.0 起随站点一起分发（同源加载），不会再向 CDN 或 Google Fonts 发起请求。
• 唯一会由你的浏览器直连第三方的请求是地图瓦片与雷达图层图片（高德地图、RainViewer）：它们会看到你的 IP，这是加载地图的固有代价；本站不向它们传递任何额外信息（不带账号、不带收藏、不带其它参数）。
• 本站不投放广告、不接第三方统计/埋点/热力图；故障诊断也是上报到本站自己的接口（见第六条），不经过任何第三方。

九、通知与提醒

预警、每日播报、紫外线等提醒都在你自己的浏览器里判定与弹出，本站不记录你收到了什么、也不向任何第三方推送。 页面关闭后这些站内提醒不会继续运行；若需要「关掉浏览器也能收到」，那要靠浏览器推送（Web Push），本站目前尚未接入。

十、你的权利

• 清除本机数据：清空浏览器站点数据即可。
• 删除账号：账号面板 →「注销账号」，不可逆，且不需要联系站长。
• 清除安全记录：账号 →「账号安全」→「安全记录」→「清空记录」。
• 疑问或异议：页脚的联系入口（若站长未开通，可通过部署该站点的仓库提出）。