安全不是一句口号，
而是看得见的边界。

权限，只在必要时开放

摄像头、麦克风、位置和通知等权限，决定网站可以请求哪些设备或浏览器能力。授权前先确认当前网站身份，并思考该功能是否真的需要这项权限。

• 不需要的权限保持拒绝状态。
• 定期检查已授权网站并撤销不再需要的权限。
• 浏览器权限提示不等于网站已经通过安全审计。

Cookie 与本地存储，不是同一种东西

Cookie 常用于会话、偏好或统计等场景，具体行为取决于网站设置；localStorage 则由网页脚本在当前站点存取，通常不会像请求头中的 Cookie 一样自动随每次 HTTP 请求发送。

检查地址栏里的真实域名

HTTPS 可以保护浏览器与目标服务器之间传输数据的连接，但不能证明网站内容真实可信，也不能保证网站不会滥用用户提交的信息。

下载前，先核对文件身份

文件名和图标都可以伪装。尽量从可信发布渠道获取文件，并核对平台、版本、架构、文件大小及发布方提供的校验信息。

1. 确认下载地址来自可信来源。
2. 核对文件扩展名、版本和适用系统。
3. 如提供 SHA-256，使用本地工具计算并比对。
4. 对来源不明或校验不一致的文件停止安装。

识别伪装成通知的风险

警惕制造紧迫感的弹窗、拼写相近的域名、要求立即输入验证码的页面，以及诱导安装未知软件的链接。不要因为页面使用品牌标识就默认它可信。

91蜜桃工作台的数据说明

效率工作台的收藏、便签和任务由当前浏览器的 localStorage 保存。此实现不将这些内容提交到本站 PHP 服务端，也不提供账号体系或跨设备同步。

本地数据可能因用户清理站点数据、浏览器隐私策略或设备变化而丢失。两个站长指定的外部脚本由站长自行提供；部署前应检查其实际代码与网络请求，并据此更新网站隐私说明。