Vault 解密台

安全说明（请读一遍）

• 解密密钥（SECRET）始终只在后台环境变量里，前端页面、静态文件、任何可下载内容都不含它。
• 因为请求由浏览器发出，Admin Token 会进入你的浏览器内存。它不写 localStorage / Cookie，刷新或「锁定并退出」即清除；此刻打开开发者工具的人能看到它，这是「浏览器直连」必然要付的代价。
• 后台用 Token 换取解密会话：后台只在 /data 私有目录保存 Token 的 sha256 哈希，不保存明文。
• 浏览器能否读到 Worker 的响应，取决于该 Worker 是否返回 CORS 头并处理 OPTIONS 预检。读不到时页面会给出诊断，「改用后台校验」仍可凭 Token 进入工作区。
• 解密会话以 query 参数（?s=）随请求传递，因为前置代理会拒绝带自定义请求头的请求；它只存在当前标签页，12 小时过期，服务器重启即失效。
• 本站与页面均已设置 noindex，且不公开提供 decoder.js / 原始 vault-tool.html。