数据边界
隐私和审核
Demu学校只保存完成本业务所需的资料，不复制 Demu账号密码或内部账号资料。
账号和学校资料
登录使用 Demu账号标准 OIDC。Demu学校只保存 `demu_user_id`、必要显示资料和自己的可撤销会话；学校、年级和可选班级资料只写入 Demu学校数据库。
文件处理
支持 JPG、PNG、WebP 和 PDF。服务器核验真实类型、大小、图片尺寸和 PDF 页数；图片重新编码以移除 EXIF 定位及设备信息。文件使用随机存储键，未通过权限判断不能查看或下载。
人工审核
第一阶段全部由人工审核。管理员看到用于审核和审计的必要内容，普通用户只看到“匿名同学”，不会看到上传者邮箱、内部账号 ID、真实姓名或审核员信息。
未来自动审核
接口已经预留，但当前没有启用 AI 自动放行，也不会在服务器运行本地模型。未来能力必须使用经授权的外部 API，并在低置信度时转交人工。