明文 key 不持久化
明文 key 不进入报告、榜单、Blob 或日志。启用持久 worker 时，key 只以 AES-256-GCM 密文短期写入任务行，并在任务终态立即清除。
安全与隐私
RelayRank 如何处理检测数据
RelayRank 是公开检测和榜单工具。提交检测前，请确认你有权使用对应中转站和 API key，并理解报告链接会公开展示检测目标、模型、评分和证据。
公开输出会脱敏
报告和错误信息会经过脱敏处理，公开接口不会返回提交的完整 key 或 Authorization 头。
报告链接默认公开
检测报告、报告 JSON 和分享图片可通过 jobId 访问，报告会包含中转站域名、模型、协议和检测证据。
公开报告默认永久保留
报告、榜单摘要和公开 Blob 快照默认永久保留，直到提交者使用删除令牌撤回，或管理员因申诉、泄密、滥用和数据治理需要下架。
公开范围
报告页适合分享检测结论，但不应被当作私密存储。报告会展示中转站域名、 目标模型、检测模式、各项检测结果、性能数据和脱敏后的错误说明。
运营下架审计只记录 jobId、脱敏原因和操作方标识，不记录 API key 或完整上游响应，默认保留 30 天。
不会公开或持久化
- 完整 API key、Authorization 头或其他提交密钥。
- 检测请求中的原始凭证字段。
- 包含密钥的上游错误原文。
生产部署检查
- 生产环境使用 RELAY_RANK_STORAGE=postgres，并配置 DATABASE_URL。
- 配置凭据加密密钥并运行独立 worker；只有明确接受任务不可恢复风险时才设置 RELAY_RANK_DURABLE_WORKER_ENABLED=0。
- 公开流量使用共享 Redis 限流；自托管代理只有在覆盖客户端转发头时才启用 RELAY_RANK_TRUST_PROXY_HEADERS。
- 连接 Vercel Blob Store 后，报告 JSON 会通过 OIDC 凭据同步写入 Blob 作为快照。
- 定期检查 retention_sweep_completed 日志，并运行 npm run data:cleanup 清理过期租约、心跳和运维日志。
- 部署前运行 npm run ci:check，部署后运行 npm run deployment:verify -- <url>。