数据存在谁那里
先说边界。普通业务数据不上传到 77Fox 自有服务器——提示词、财务、待办这类内容保存在本机，开启同步后写入你自己的 Google Drive。77Fox 的服务器只保存账号、设备、功能权限、短时验证码事件和加密的邮箱连接配置。
每个 Google 账号使用独立的资料目录和独立的同步密钥，账号之间互不可见。
加密发生在上传之前
同步包在离开你的设备之前就已经用 AES-256-GCM 加密。数据密钥由你的 Google 账号授权管理，不交给 77Fox 账号服务。
结果是两件事：你不需要额外记一个同步密码；77Fox 也没有能力解开你上传的内容。
每次同步都是一次完整快照
每次同步生成一份完整、不可改写的快照，再整体切换到这一份，因此不存在写到一半的中间状态。断网、关机、突然退出，都不会留下半份数据。
数据按领域分开存放——提示词、财务、工作区、插件、AI 新闻、扩展各占一块。没有发生变化的领域直接复用上一次的结果，不重复上传，所以日常同步很轻。
每一块都带内容校验值，取回来时会先核对再使用。
出错时停下来，而不是覆盖
这是整套设计里最重要的一条行为约定。一旦校验发现数据可能已经损坏，同步会立即停下并转为只读，而不是继续把可能坏掉的内容写上云端。恢复过程是受控的，需要发布一份经过验证的恢复版本。
如果检测到云端数据属于另一个账号，应用会直接禁止覆盖并提示你退出重新登录。这类保护的目的很明确：宁可停下来问你，也不静默覆盖。
本地优先的合并
本地优先意味着你的设备上始终有一份完整可用的数据，离线时功能不受影响。
两台设备同时改同一份内容时，合并会把冲突保留成记录，而不是替你选一边静默覆盖。同步进行到哪一步是可见的，同时发起的请求会自动合并，避免重复上传和重复执行；出错的状态也可以恢复重试。
令牌与会话
桌面端、网页端和浏览器扩展各自使用适合其运行环境的安全存储边界，敏感令牌不写入普通持久化存储。
账号服务采用短期访问令牌、刷新令牌轮换、最小权限授予与服务器端文件权限隔离——授权范围只覆盖同步真正需要的部分。
删除与撤回
你可以在「设置 → 账户」永久删除云端账号。删除会立即撤销会话与设备，并清除验证码队列和加密的邮箱配置。
本机资料以及你 Google Drive 中的数据仍然由你控制，可以分别删除——删除 77Fox 账号不会自动删掉你 Drive 里的同步文件，那份数据的去留始终是你的决定。