品牌 App 安全 vs 市场标准 · 逐项核对 · 共 12 项核对
界面流程完成度 17%（2/12 项 UI 流程已实现）
核对项状态
HTTPS 全站加密⚠ 需真实 API 后端
demo 现状 vs 上线标准demo 为本地 http；上线用 Caddy 自动证书即可全站 HTTPS，与市场 app 一致。
真实登录鉴权⚠ 需真实 API 后端
demo 现状 vs 上线标准demo 为演示登录；上线需真实账号体系+安全会话/JWT，防冒用。
RBAC 强制权限⚠ 需真实 API 后端
demo 现状 vs 上线标准角色权限模型已建好；上线必须在每个 API 强制校验，不是只在前端隐藏按钮。
审计日志⚠ 需真实 API 后端
demo 现状 vs 上线标准审计表结构已有；上线需全模块操作落审计且记录不可删改。
备份与还原⚠ 需真实 API 后端
demo 现状 vs 上线标准备份脚本框架已有；上线需每日自动备份+定期还原演练记录。
限流防刷⚠ 需真实 API 后端
demo 现状 vs 上线标准demo 无限流；上线需网关/API 层限流，防暴力破解与刷单。
数据加密存储⚠ 需真实 API 后端
demo 现状 vs 上线标准敏感字段需 AES/KMS 级加密存储，与市场标准一致；demo 未启用。
会话管理⚠ 需真实 API 后端
demo 现状 vs 上线标准会话过期、强制下线、多端管理需真实实现；demo 仅界面展示。
密码哈希策略✅ UI 流程已实现
demo 现状 vs 上线标准bcrypt/argon2 哈希设计已定并在代码骨架中就绪，永不存明文。
防注入/XSS✅ UI 流程已实现
demo 现状 vs 上线标准全仓库参数化查询+输出转义已在代码层执行（含本页所有输出）。
安全更新机制⚠ 需真实 API 后端
demo 现状 vs 上线标准需建立依赖漏洞扫描+定期更新流程；demo 无，上线前补齐。
隐私合规（印尼 PDP）⚠ 需真实 API 后端
demo 现状 vs 上线标准隐私政策页面已起草；数据跨境与用户授权条款需法务确认后达标。
诚实结论：当前为 demo 级，仅 2/12 项已在代码层达标；HTTPS、强制 RBAC、审计、备份、限流、加密、会话管理上线前必须全部达标。
📌 诚实结论
当前 = 界面流程级完成；真实化 = 接通对应 API + 真实鉴权后达到生产级。前往 /connect/ 接通对应服务。
PENDING 凡执行类动作（铺货/群发/上线切换）一律 Human-Gate PENDING：禁用 + 黄色徽标，绝不自动执行。
前往接通中心 /connect/ →