账户、网页登录与桌面授权

Weave 使用 Apple 账户识别用户。账户用于会员、设备管理和你主动启用的云能力，不会因为登录就上传整个本地知识库。

为什么桌面端会打开浏览器

桌面端使用系统浏览器完成身份验证，这是刻意采用的安全边界：网页不需要把 Apple 凭据交给桌面 WebView，用户也可以在熟悉的浏览器中确认域名和当前账户。

流程如下：

1. 桌面端创建带有随机状态和 PKCE 校验的短期登录会话。
2. 系统浏览器打开 Weave 授权页。
3. 已有网页登录会话时，只需确认允许当前设备登录；否则先使用 Apple 登录。
4. 浏览器签发一次性授权结果并返回 Weave。
5. 桌面端用 PKCE verifier 换取自己的访问凭据。

一次性授权结果不能重复兑换。状态不匹配、会话过期或回调地址不属于 Weave 时，授权会失败。

网页登录如何保存

网页访问令牌和刷新令牌保存在 Secure、HttpOnly、SameSite Cookie 中，页面脚本不能读取它们。修改资料、设备或账号状态的请求还必须带有匹配的 CSRF 令牌，并来自允许的 Weave 站点来源。

会话到期时，网页会轮换刷新令牌。同一页面并发加载个人资料、会员、设备和存储信息时只执行一次刷新，避免重复轮换使会话失效。

个人中心可以管理什么

• 查看和修改昵称；
• 查看当前会员来源与有效期；
• 查看已登录设备及最后活动时间；
• 远程移除其他设备；
• 查看云端文件占用和学习资产摘要；
• 保存语言、主题和通知等账户偏好；
• 申请或撤销账号注销。

当前设备不能从设备列表中被远程移除，请使用“退出登录”。退出网页只撤销当前浏览器的刷新凭据，不会退出其他设备。

账号注销

提交注销申请后进入 7 天冷静期。冷静期内可以在个人中心撤销；冷静期结束后的实际删除遵循服务端审核和数据保留规则。在完成前，退出登录和撤销注销仍应保持可用。

数据边界

• 账户资料、设备记录、会员和用户主动上传的云端文件由 API 管理。
• 本地知识库原文、全文索引和本地语义索引仍由桌面端管理。
• 设备列表显示的是登录设备，不代表这些设备上传了本地知识库。
• 不要把登录回调、一次性授权结果或任何 Cookie 复制给他人。