一键隐私模式
版本要求
一键隐私模式从 v0.0.2 开始提供；v0.0.1 不包含此功能。请从发布页获取对应平台的版本。
隐私模式控制标为受保护的媒体，不是无痕播放，也不是文件加密。
开始使用
- 在菜单 视图/设置 → 隐私设置… 中设置并确认 4 位数字 PIN。支持前导零，没有默认 PIN。
- 从菜单选择 当前媒体：设为受保护，或点击播放列表、历史条目旁的锁定图标。修改名单需要验证 PIN；解锁图标用于取消该条目的保护。
- 点击标题栏的锁定按钮，或菜单中的 一键隐私模式。设置过 PIN 后，开启无需 PIN，手动关闭需要 PIN。
- 在普通设置的快捷键列表中可为 One-click Privacy Mode 绑定按键；它没有默认快捷键，不占用现有绑定。
验证窗口不会显示受保护影片名。通过 PIN 后的设置窗口可以查看名单；关闭窗口、失去焦点、重新开启保护或进入下一周期后，授权和名单显示立即清除。
对正在播放的影片有什么影响
受保护影片一旦进入隐私模式，即使已经在加载、播放或暂停，也会被隐藏并幂等暂停，同时施加临时静音。多画面模式逐格处理，未保护的影片继续播放。
- 解除保护不会自动恢复播放，需要新的播放操作。
- 临时静音不会改写原来的音量/静音偏好。
- 恢复、逐帧、截图、历史/最近打开、播放列表、拖放、命令行和自动连播都要通过相同的准入检查。
- 自动连播遇到受保护条目会停止，不会偷偷跳过或解锁。
- 标题、历史/列表标签、字幕轨和时间/章节信息会脱敏，但原有历史、进度、字幕偏好和标记不会被删除或改写。
受限时段和手动开关
在已授权的隐私设置窗口里选择星期，输入 HH:mm 起止时间，点击“添加时段”，再“保存日程”。时间采用系统本地时区，支持跨午夜。起止相同无效，重叠或相接的时段会合并。
手动状态持续到下一段合并后受限周期的开始，不是在当前时段结束时失效。
假设每天 09:00–18:00 自动受限：
| 操作 | 结果 |
|---|---|
| 10:00 验证 PIN 后手动关闭 | 一直关闭到次日 09:00；当天 18:00 不撤销覆盖。 |
| 20:00 手动开启 | 次日 09:00 交回日程，仍保持保护；随后 18:00 才自动解除。 |
| 没有启用日程 | 手动状态保持到下一次手动操作。 |
手动状态和失效时间会跨重启保存。日程结束可以自动解除限制，但仍不会自动播放。修改日程时，现有手动覆盖会重新计算下一次开始点。
PIN、保存和异常
- PIN 仅以独立随机盐的 Argon2id 校验值保存，不保存明文，也不使用更新签名密钥。
- 连续 5 次错误后冷却 30 秒；错误次数和冷却会保存，重启不能直接清除。
- 取消验证、窗口失焦或新周期到来后，迟到的后台验证结果不能再解除保护。
- 隐私状态保存在应用配置目录的
privacy.toml，采用原子替换。 - 开启时即使保存失败，当前进程仍保持保护；涉及放行的变更只有保存成功才会应用。未能保存待写安全状态时，正常退出/重启更新会被取消并提示重试。
- 已存在但损坏或不受支持的配置会保持受限，不会静默恢复为无保护状态。请先备份并修复配置；没有免 PIN 的应用内重置入口。
明确边界
- 仅覆盖当前进程中的播放会话和相关窗口。独立进程启动时会读取配置，但不进行即时跨进程广播。
- 本地文件按规范化路径标记；文件移动、改名或更换播放 URL 后可能需要重新标记。URL 查询参数是身份的一部分。不提供文件夹继承或自动内容识别。
- 不加密原视频、历史文件或配置，不阻止其它播放器、文件管理器或有本机权限的人访问/修改它们，也不是系统级防截图。
- Windows、macOS、Linux 的原生表面分别验收；不能用纯单元测试代替所有平台的实际画面验证。