趣打卡的安全设计遵循一条朴素的原则：能不收集的数据就不收集，能不持有的信息就不持有。因为「持有为 0，泄露即为 0」——任何我们从未拿到手的数据，都不可能因为我们而泄露。
基于这一原则，我们把安全从「事后加固」前移到了「事前收敛」：参与者免注册即可扫码参加，平台默认不收集姓名、手机号等敏感信息。剩下的少量业务数据，再用下文的多层机制加以保护。
· 参与者侧：匿名参与者标识（系统生成的随机串，不含真实身份）+ 点位 + 时间 + 打卡方式；使用「定位打卡」的点位还会记录打卡那一刻的位置坐标与计算出的距离（仅在点击打卡时采集一次，不做后台定位与轨迹）
· 参与者侧（可选）：主办方开启问卷时，年龄段与性别（每项均有「不愿回答」）
· 主办方侧：机构名称、邮箱、密码哈希、手机号（选填）、订单与开票信息
· 运营数据：兑奖核销记录、匿名统计汇总
· 参与者的姓名、手机号、身份证号、地址等身份信息
· 参与者的支付信息（银行卡号、支付账户等）
· 微信 / QQ 账号、通讯录、相册、人脸
· 其他与集章打卡活动无关的个人信息
说明：主办方注册时填写的机构名称与手机号（手机号为选填）属于必要的账号信息，不在此列。
正式环境强制启用 HTTPS：由反向代理终结 TLS 并转发，浏览器与服务器之间的数据全程加密，防止中间人窃听与篡改。
该要求写入了部署检查清单；上线前会逐项核对。本地开发与演示环境可能未启用 HTTPS，此时浏览器会限制 GPS 定位等能力（这是浏览器的安全策略）。
服务端采用 Node.js 内置 SQLite（WAL 模式），零第三方运行时依赖（不使用 Redis、消息队列等中间件）——依赖越少，可被攻击的面越小。数据库文件位于服务器本地磁盘，不对外暴露；静态资源与数据文件在服务端做了访问白名单，非网页文件一律不可下载。可平滑迁移至 PostgreSQL。
后台与接口实行最小权限访问，按角色授权；核销、发布等敏感操作均记录操作者与时间，可追溯、可复核。
口令、答题答案、GPS 距离、二维码签名全部在服务端计算与校验，前端拿不到答案或校验逻辑，无法通过修改本地数据绕过。
数据库唯一索引（活动, 点位, 参与者, 时间窗），同一参与者在同一时间窗内重复提交，不会产生第二条记录。
令牌桶算法，按「接口类别 + 参与者/IP」双维度限流，抵御刷量与恶意高频请求。
奖品发放使用 UPDATE … WHERE stock > 0 判断影响行数，扣减失败即发放失败，从根上杜绝奖品超发。
兑换码 pending→used 状态迁移，重复核销返回原核销人与时间，避免一码多用；支持撤销并全程留痕。
平台对「谁在何时核销了哪个码」「谁创建、发布了活动」等关键操作记录审计日志，可追溯、可复核。
如实说明其边界：核销操作需持有该活动的核销口令（发布时自动生成、可随时重置），但操作人姓名由奖品台工作人员自行填写，属于自述标识而非强身份认证。因此审计日志能回答「哪场活动、哪个码、什么时候」，但「具体是哪位同事」需要主办方通过现场管理来保证。
| 压测场景 | 实测结果 |
|---|---|
| 1000 人并发打卡 | P95 延迟 22ms，零错误 |
| 3000 人并发 | 零错误 |
| 5000 人并发 | 达到单机上限，出现延迟尖刺，需升级架构 |
| 1000 人抢 500 份奖品 | 精确发出 500 份，零超发 |
| 800 人同一秒抢同一点位 | 零重复记录 |
数据每日自动备份，备份保留 14 天，可在故障或误操作时快速恢复。
主办方可在后台自助导出：参与者打卡明细、打卡趋势、点位排行，均为 CSV 格式，随时下载，无需联系我们。此外可随时删除自己活动下的数据。活动结束后，系统还会按保留期自动清理参与者数据。
活动结束后，参与者打卡数据保留 30 天后自动删除；活动配置数据可按需延长保留。
当发现可疑访问、异常流量或疑似数据泄露时，我们按以下流程处理：
1. 第一时间隔离受影响的服务与数据，阻止异常继续扩大；
2. 【X 小时内】完成初步研判并定位影响范围；
3. 【X 小时内】通知可能受影响的客户，说明情况与应对建议；
4. 修复漏洞、封堵风险，并将处置过程完整记录备查；
5. 事后复盘，输出事件报告与改进措施。
响应时限由公司与客户在合同或 SLA 中约定，具体以合同为准。
趣打卡作为数据处理方，需遵守《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律法规。正式对外提供服务前，请由法务对本文档及《用户协议》《隐私政策》进行复核，确保与实际数据实践一致。文中以【】标注的内容均需法务确认或填写。
完整版包含更详细的架构说明、接口清单与合规对照表，可联系商务邮箱获取。我们会安排技术负责人配合贵司完成供应商安全审查。
商务邮箱：hello@fundaka.com
本文档为通用模板，正式对外提供前建议由法务与技术负责人复核。