微应用可能需要文件、剪贴板、网络或设备能力来完成任务。权限提示的作用是让你在访问发生前做出知情选择，而不是要求你默认全部同意。
授权前问三个问题
- 为什么需要？ 请求是否与详情页描述的主要功能直接相关？
- 会接触什么？ 是否可能读取私人文件、屏幕内容、账号信息或通信内容？
- 能否缩小范围？ 是否可以只选择单个文件、一次操作或更短时间？
任何问题没有清楚答案时，先拒绝并停止运行。
常见权限
桌面角色与权限
桌面宠物、伙伴或其他常驻角色并不会因为显示在桌面上就自动获得文件、屏幕或系统信息。只会走动、回应点击和接受拖动的陪伴角色通常不需要这些权限。
角色增加具体功能后，Aelrox 会按功能分别提示。例如，显示电脑资源需要系统信息，观察应用占用需要应用与进程性能，响应屏幕内容需要屏幕权限，整理拖入文件需要对应的文件操作权限。请根据你要求它完成的事情逐项判断；“它是桌面角色”本身不是授权理由。
拒绝某项权限后，角色应保留不依赖该权限的基础外观、拖动和本地互动。系统监控、文件操作或屏幕反应等功能应各自显示不可用或失败状态，不应假装成功，也不应不断重复申请。
桌面角色可以保留本地键盘操作，同时在平时不抢走其他应用的焦点。它应只在你明确点击可操作区域后进入键盘模式，并给出清楚的视觉提示；按 Escape、点击其他窗口、开始拖动、隐藏或关闭角色时应立即退出。Enter、空格或文本输入只发送给当前获得焦点的角色控件，这不等于允许它在后台监听全局按键，也不需要“全局键盘”权限。
Aelrox 会在生成和发布前检查角色实际包含了它声称支持的功能。只显示功能名称、却没有真正实现对应行为的角色会被阻止保存或发布；如果安装后仍发现功能与描述不一致，请停止运行并举报。
桌面伴侣就是普通的 JavaScript 或 Python 微应用。它与其他微应用使用同一个统一运行时、包内资源、生命周期、签名、权限检查和校验规则。Aelrox 不会根据透明效果、文件名、动画资源或“桌宠”等称呼推断专用运行时。
创建者可以配置透明、无边框的桌面常驻窗口，并使用普通包内图片或可选的动画依赖。Aelrox 不提供内置角色渲染器、Renderer Pack、固定状态词表或强制 Sprite Player。依赖和资源不会授予权限；敏感操作仍需经过同一套能力与权限检查。
移动也是普通窗口能力。除非产品行为明确使用窗口移动能力，否则伴侣会保持静止。直接拖动、点击穿透区域和自主移动彼此独立，并应与公开说明一致。
透明角色的可点击区域只决定鼠标在什么位置能够与它互动，区域之外仍可穿透到桌面；它不会裁掉或隐藏角色的可见内容。在 Windows 上，视觉窗口裁切是创建者需要单独明确选择的行为，只应在公开设计确实要求限制可见范围时使用。
把文件拖到角色身上时，只有落在角色可交互区域内的当前这一次拖放会被转交给业务功能。角色动画本身不能读取文件路径或内容；检查、整理或移入回收站仍需要相应权限和用户可见的结果。拒绝权限后，角色的外观、点击和拖动应继续可用。
计时器、系统状态、设置、历史等功能都运行在同一个已声明的微应用运行时中，并可按需使用普通视图。锁屏、电脑睡眠或系统暂停期间回调可能停止；恢复后倒计时应按真实截止时间重新计算，而不是补跑错过的更新。权限仍按具体功能分别申请。
录制桌面角色
使用 Aelrox Recorder 录制显示器或桌面区域时，画面中可见的桌面角色也会出现在视频里。录制开始后，你仍可以点击角色、进入它的本地键盘模式或拖动它，这些动作和动画都会被录下。录制边框会让鼠标穿过，不会形成覆盖整个区域的交互遮罩。
如果不想让角色出现在视频中，请在录制前隐藏或关闭它。角色不需要屏幕录制权限才能作为画面的一部分被录到；只有发起录制的微应用需要请求该权限。Windows 或 macOS 仍可能显示自己的屏幕录制授权和状态提示。
文件与文件夹
可能读取或保存你选择的内容。只选择完成任务所需的文件，不要授权整个个人目录。上传或转换前先确认文件中没有密码、密钥或无关隐私信息。
拖放文件操作
部分桌面微应用可以处理你直接拖给它的文件、文件夹、快捷方式或应用，例如打开、定位、复制、移动、改名、创建副本、压缩、解压或移到系统回收站。Aelrox 只把本次拖放中的项目交给宿主处理，微应用不会因此看到项目的完整路径，也不会自动扫描桌面或其他文件夹。权限会按“查看拖入项目”“整理文件”和“移到回收站”分开显示；只允许与该微应用用途相符的能力。
这些操作不会静默覆盖同名文件。复制、移动、压缩或解压需要你选择目标位置；冲突时会保留两份或跳过。移到回收站不等于永久删除，成功后可到 Windows 回收站或 macOS 废纸篓恢复，但 Aelrox 不承诺一键撤销。重要文件请先备份，并在动画或提示显示“部分完成”时检查每个项目的结果。快捷方式或符号链接只作为被拖入的项目本身处理，不会沿链接处理其目标。
搜索中的微应用条目
Quick Shelf 等支持持久搜索条目的微应用，可以在关闭窗口后继续让你搜索已注册的项目。搜索只查找微应用保存并提供的条目，不会因此获得新的文件、网络或其他权限；打开网站、文件或文件夹仍需你主动选择结果，并接受原有权限检查。
在微应用中取消注册或删除条目后，它应从搜索结果中移除。以 / 开头的搜索只查找系统内容，不包含微应用条目。若条目已注册却搜不到，可记录微应用名称、版本和搜索词，通过反馈报告问题。
剪贴板
剪贴板可能包含刚复制的验证码、地址或私人文字。只在明确触发粘贴、复制等操作时允许，不要为与剪贴板无关的功能授权。
网络访问
网络能力可能把输入发送到外部服务。详情说明应明确是否需要联网以及用途。涉及私人数据时，确认接收方和必要性；不清楚时不要继续。
音频播放
“音频播放”权限只允许微应用或桌面角色播放它声明的声音，不包含麦克风录音，也不会授予文件、屏幕或网络访问。带语音反馈的桌面角色可以在你明确点击或双击后，由隔离的后台组件播放包内短音频；角色动画本身仍不能读取其他数据。
拒绝音频权限后，角色应继续显示并完成点击、拖动和嘴部等视觉动作，只是不发声。声音应与公开描述和当前操作直接相关；如果角色在未互动时频繁播放、循环播放、无法停止，或声音用途与详情页不符，请停止运行并举报。
屏幕、摄像头与麦克风
这些权限可能捕获周围环境或其他应用中的内容。开始前关闭无关窗口，并检查系统指示器；任务结束后停止录制或采集。
系统资源与硬件信息
“系统资源与硬件信息”权限可读取整机 CPU、内存、负载，以及电池、温度、磁盘、存储和网络计数等你所请求的设备状态。它不会因此获得其他应用的窗口内容、文件内容或操作记录；读取正在运行应用的名称和各应用占用需要另一项“应用与进程性能”权限。
为了减少耗电和风扇噪声，Aelrox 会让多个微应用复用同一批系统采样，并限制电池、温度、存储等较慢信息的读取频率。实时视图在隐藏或暂停后应停止刷新；恢复后可能先显示上一次结果，再完成一次新采样。短暂的缓存或部分不可用不等于资源占用为零。
仅在你确实需要系统看板、资源提示或硬件概览时允许。若微应用在隐藏后仍持续刷新、用高频变化制造紧迫感，或把一次温度/负载读数描述成确定的硬件故障，请停止运行并报告。
应用与进程性能
“应用与进程性能”权限可读取正在运行应用的名称，以及经过隐私过滤的 CPU、进程驻留内存、进程数量、线程、运行时长和可选的低频磁盘/网络活动。它不会向微应用提供可执行文件路径、命令、启动参数、用户名或进程标识符。
这里显示的内存是应用所属进程的驻留内存（Windows 中也称工作集），不是系统任务管理器中的“已用内存”。多个进程可能共享同一批内存页，因此应用汇总值和全部应用合计值都可能重复计算共享内存。应用只应把这些数据用于解释性能现象，不应据此声称硬件损坏或给出确定性的系统诊断。
仅在你主动分析卡顿、风扇噪声或应用资源占用时授权。实时观察结束后应停止订阅；如果某个微应用持续采样、权限用途与公开说明不符，或使用夸张结论制造焦虑，请停止运行并报告。
活动摘要与选定窗口
“活动摘要”只提供活跃、安静、空闲以及指针是否靠近微应用等粗略状态，不提供精确指针位置、按键内容、其他应用操作或屏幕图像。拒绝后，微应用应继续提供不依赖这些状态的基础体验。
“选定窗口观察”只在你主动选择窗口后提供窗口名称、位置、大小、可见和失效状态，不提供窗口像素或文档内容。目标关闭、权限被拒绝或系统不支持时，微应用应停止跟随并安全降级，不应自动改为观察其他窗口。
输入、窗口与设备能力
模拟输入、控制窗口或访问硬件会影响其他应用。只对用途明确、来源可信且当前任务需要的微应用授权，并在运行时保持观察。
识别风险信号
遇到以下情况应立即停止：
- 要求提供密码、验证码、恢复令牌或付款信息；
- 权限与公开用途明显无关；
- 诱导关闭系统安全功能或绕过警告；
- 声称必须转账、下载未知文件或在外部聊天中继续；
- 实际行为与详情页说明明显不同；
- 拒绝权限后不断施压、循环弹窗或阻止退出。
安全使用习惯
- 优先使用来源清楚、说明完整、版本近期更新的微应用；
- 先用不敏感的示例数据测试；
- 重要文件在操作前保留备份；
- 使用后关闭不再需要的微应用；
- 定期检查账号会话和系统授权；
- 不把“已审核”理解为永久无风险。
创建者的责任
如果你通过 AI Builder 发布微应用，应准确说明用途、联网行为和可能请求的权限；只请求完成核心任务所需的最小能力，并在行为变化时更新公开说明和版本。
报告问题
发现可疑行为时，先停止微应用并避免继续输入数据。记录名称、版本、发生时间、操作步骤和权限提示，然后通过反馈渠道举报。
截图和日志可能包含隐私。提交前遮挡密码、验证码、令牌、私人文件路径和内容。若账户或付款可能已受影响，请同时修改凭据并联系相应服务方。