7.5 市场评价：隐私与社区规则

在 Teloa 官方市场中，评分评论功能支持给技能、模型等资源打 1–5 星、写评价，资源作者可以认领并回复。本页说明开发中版本的实际行为。

适用范围

评分评论已通过本地夹具验收，尚未完成生产服务开通与正式发行。本文不是已经上线的声明；邮箱、GitHub 登录与人机校验的真实可用性仍须在部署前核验。

运营方向与联系

市场社区按新加坡部署与运营方向准备。正式运营主体的注册名称尚未提供，需在上线前补齐主体、联系信息并完成合规核对。本页不声明已注册公司，也不保证数据仅存放于新加坡。

一般问题、资源认领和安全问题默认在 teloa-ai/marketplace 提交 Issue。可能造成重大影响的安全问题，建议私下发至 [email protected]，不要在公开 Issue 中贴凭据或个人数据。详见安全报告说明。邮箱投递能力须在上线前核验。

市场账号与登录

• 市场账号用于公开评价、作者认领和回复，与 Teloa 应用里的本机账号分开，不与使用统计的随机安装编号关联。邮箱与 GitHub 登录会建立彼此独立的账号，不会自动合并。
• 邮箱登录使用 6 位验证码，10 分钟有效。市场服务处理收件地址以发码，但数据库只保存带服务端密钥的邮箱摘要，不保存邮箱原文。验证码只保存摘要；昵称由本人填写。
• GitHub 登录只读取公开资料，保存数字编号、用户名与昵称；访问令牌使用后丢弃，不存入市场数据库。
• 登录渠道由服务实际配置决定。邮箱渠道未配置、额度耗尽或发送失败时会提示不可用或稍后重试；只有已配置的 GitHub 渠道才提供替代入口。重新登录时请使用原渠道，避免进入另一个账号。
• 网页使用登录 Cookie，应用连接使用独立令牌；退出网页登录不会同时撤销已连接的应用。

公开与不公开

公开	不向公众公开
昵称、星级、评价正文、评价对应的资源版本、评价编号与发表／修改时间；认领作者的 GitHub 用户名（或人工认领账号的昵称）；作者或 Teloa 官方的回复	邮箱摘要、账号编号、GitHub 数字编号、举报人与举报理由、登录与应用连接令牌

管理员可处理待审内容、举报与账号；这不代表上述私有信息会展示给其他用户。请勿在昵称、评价或回复中写入密码、密钥、私人联系方式或他人个人资料。公开内容可被他人复制，删除无法收回他人已保存的副本。

在网页和应用里评价

• 网页资源详情页可查看、发表、修改或删除自己的评价，以及举报他人的评价；账号页可查看自己的评价、回复、举报和认领记录。
• 应用市场「官方目录」中的「评价」展示评价。要发表，先选择「连接市场账号」，在浏览器登录，核对应用显示的设备码后允许连接。只批准本人发起的连接，不要批准他人发来的代码。
• 应用令牌保存在本机加密凭据存储。可在应用里断开，或在市场账号页撤销连接。连接失效后需重新登录或连接，未发表内容不会自动发送。
• 发表需要本人确认：网页／应用的确认步骤，或本人普通会话里的确认卡。AI 同事、任务和协作群不能代为发表。会话中浏览或搜索评价无需发表确认；其他用户的文字只供参考。
• 开发中版本的正式 npm CLI 与容器发行入口默认启用在线市场；设 TELOA_MARKET_REMOTE=off 可关闭。源码宿主缺省仍关闭，CI、浏览器验收与开发环境始终排除。评价随在线市场启用，不是独立的账号或隐私开关。

草稿与恢复

网页评价和回复草稿按市场账号隔离，写入当前浏览器标签页的会话存储；同账号改昵称仍可恢复，换账号不显示旧账号草稿。草稿不会同步到服务端，也不包含在账号数据导出中。正常关闭标签页后通常会清除；浏览器会话恢复可能保留它们，共用设备请清理站点数据。

草稿可暂时超过发表的正文或链接限制，修改符合规则后才能提交。单份序列化草稿最多 64 KiB；超出容量或浏览器拒绝存储时会即时提示，此时文字仍留在当前页面，但刷新或离开可能丢失，请先自行复制保存。删除服务端账号不等同于清理浏览器站点数据。

社区规则与审核

• 每个账号对每个资源最多一条评价，可修改或删除。资源必须存在于经过签名校验的官方目录，评分不代表已经安装或核实效果。
• 评价和回复正文最多 2000 个字符、最多 2 个链接；评价可以只打星。请求另有 UTF-8 编码 8 KiB 上限。不要发布广告、辱骂、无关内容或冒用 Teloa／官方身份的昵称。
• 默认先审后发，新评价、修改后的普通评价与作者回复须审核后公开；已隐藏的评价修改后仍隐藏。管理员的 Teloa 官方回复直接公开。未公开评价不计入公众评分。
• 注册未满 24 小时的账号，每 24 小时最多新建 3 条评价；其他账号最多 20 条。登录、人机校验与限流可能另行限制频繁请求。
• 登录后可举报他人的公开评价。同一评价收到至少 3 个注册已满 24 小时账号的举报，会自动隐藏待审；管理员恢复并豁免自动隐藏后不再按该规则隐藏。管理员可审核、隐藏、恢复、删除评价与回复，或封禁账号。
• GitHub 个人仓库作者可自助认领，须同时核对目录来源、仓库所有者类型与 GitHub 数字身份。组织仓库的公开成员身份不构成所有权证明，组织仓库及其他不能自助认领的资源需提交 Issue 人工核对。认领者不能评价自己认领的资源。
• 未满 18 岁请勿发表评价。评分只是参考，不提供购买、安装或安全保证。

删除与导出

在市场账号页可下载 JSON，包含账号资料和本人的评价、回复、举报、认领、应用连接记录；不导出原始邮箱、登录令牌、服务端密钥、浏览器草稿或管理员审计记录。

删除账号会一次删除服务端账号、会话与应用连接、设备授权、本人评价与回复、他人对本人评价的回复和相关举报、认领，以及该邮箱摘要的登录验证码记录。独立的全站发码计数与管理员审计仍按下述期限清理。边缘缓存可能短暂显示旧内容：评价列表最长约 60 秒、评分汇总约 300 秒。

处理方、存储与保留

• 服务使用 Cloudflare Worker 与 D1，部署方向为亚太区域；D1 的 apac 是位置提示，不是新加坡单一地域保证。生产资源尚待配置。
• Resend 发送验证码时会收到收件地址与验证码正文；市场数据库不保存邮箱原文。Resend 自身的日志、保留及处理条款须在上线前核对，不能把市场的存储限制理解为邮件服务商不保留任何数据。
• Cloudflare 接收网络请求并提供限流与 Turnstile 人机校验，校验请求包含来源 IP。市场业务数据库不存 IP，不记录国家、城市或自动采集的设备信息；应用连接会保存标签、创建时间和最近使用时间。基础设施提供方的网络处理与日志须另行核对。
• 验证码与发码计数约 2 天后进入清理范围；登录跳转状态和设备码 10 分钟过期；网页会话 30 天、应用连接 180 天过期。过期即不可用，数据行由每日清理任务删除，不承诺在到期瞬间物理删除。
• 管理员操作审计保留 365 天后清理，其中含操作人编号、动作、目标编号与时间；删号不提前删除审计。评价及相关内容保留至本人或管理员删除。

上线与兼容边界

网站与 Worker 必须配套发布，先更新 Worker，再发布网页，最后发行默认启用在线市场的应用。新版网页以带账号身份的 /v1/me/export 作为私有记录的一致来源；teloa.market-account-export/v1 的 reviews[] 新增现有评价的 id，不新增数据库字段或端点。旧导出中缺少评价 id 时，新网页会提示记录不可用并禁用相关编辑，不回退到无法绑定账号身份的读取接口。自行解析导出文件的工具需允许新增字段。

上线前仍须完成运营主体与合规核对、生产 Cloudflare 配置、邮件域验证与实际投递、GitHub OAuth 回调、真实 Turnstile 站点密钥及安全邮箱收件核验。本地桩测试不能替代这些核验。