- 硬性边界:不许 systemctl/pkill/碰生产端口/加第三方依赖(Go 只准 x/net,npm 只准 SPEC 列出的 7 个) - 数据布局 /data/davbox/(accounts.json 明文+0600 / admin 用 bcrypt / secret.key 会话密钥) - WebDAV:/<账号>/ 前缀 chroot、401 必带 WWW-Authenticate、只读账号 403、路径逃逸显式拒绝 - admin/client API 全部端点与前端页面规格、视觉与文案硬要求 - 交付前自测 11 项 + 完成报告要求