For AI agents: fetch the complete documentation index at /llms.txt, the full documentation corpus at /llms-full.txt, the agent skill at /skill.md, or this page as Markdown at /zh/docs/web/account.md (or send Accept: text/markdown).
账户与安全
资料、会话、passkey、数据导出与删除。
初学者演练
先决条件：阅读下面的两个初学者指南，完成 Web 本地设置，并在编辑器的根目录中打开此 monorepo。网页设置属于apps/web/.env.local； Next.js不读取根.env。默认fake模式下的/dashboard是无数据库演示； /auth 需要迁移数据库。
简而言之：工作区是一个团队的单独用户、数据和设置。服务器是可信后端；让提供商密钥远离浏览器和电话代码。迁移是创建或更新表的版本化数据库更改。人工智能模型是回答的引擎；型号目录是服务器上可用型号 ID 和价格的列表。提供商是一种外部服务，例如人工智能、电子邮件或计费服务。权利是允许工作区使用某项功能的授权。 Webhook 是一个服务发送到另一个服务的 URL 的消息。
1. 在两个测试浏览器会话中登录 /auth，然后从一个会话中注销。
2. 从已注销的会话中请求受保护的页面；服务器应该需要登录。本指南涵盖会话行为，而不是跨设备会话撤销屏幕。
3、检查自己的数据导出，使用GET /api/account/export；它不得包含其他用户或工作空间的私人记录。
对于自定义代码，请从提供的 prompts/README.md 开始，然后复制最接近的提示：对于应用程序屏幕为 prompts/new-app-screen.md，对于公共页面为 prompts/new-landing-page.md。对于服务器、数据库或提供商工作，请为您的编码代理提供本指南的任务，并要求其读取 AGENTS.md、.ai/PROJECT_CONTEXT.md 和匹配的 .ai/ 镜像；检查此处指定的确切源文件；列出文件并在编辑前进行检查；保留工作区所有权和仅限服务器的机密；并向您展示差异。告诉它您想要的行为、输入和输出字段、允许的角色、预期的成功和错误以及测试帐户、提供程序或设备。使用样本值；永远不要粘贴真正的秘密。
管理活动会话
安全设置通过选定的身份验证引擎公开已提供的会话和凭据控制。撤销会话必须使服务器访问无效，而不仅仅是清除本地屏幕。在扩展之前查看 web-settings-security.ts、设置面板和身份验证运行时。
Export账户数据
已登录的 GET /api/account/export 路由提供 GDPR 数据导出，包括创作内容。将访问权限与请求身份相关联，并在添加用户拥有的记录时审核形状。切勿包含提供者令牌、签名机密或其他工作区的私有数据。
验证帐户转换
测试当前会话注销、撤销另一个会话、过期、重新身份验证和导出访问。在渲染下一个用户的工作区之前，清除上一个帐户的缓存演示文稿。
安装与配置
账户界面位于 /settings 之下 —— 通用、安全（密码、会话、passkey）、通知、外观与审计。每个分区读取服务端状态，并通过重新校验会话的服务端 action 写入。
数据导出（src/data-export.ts）汇总成员的工作区自有记录；账户删除走同一归属边界。两者存在是因为隐私义务是产品需求，而不是附加项。
/settings/general name, avatar, email
/settings/security password, sessions, passkeys
/settings/notifications per-category opt-outs
/settings/appearance theme, density, layout实现流程
在供应商支持的地方让安全变更保持重新认证 —— 密码修改、密钥轮换、删除。会话列表必须只展示调用者自己的会话，吊销必须真正使令牌失效。
只导出成员拥有的数据 —— 复用按工作区限定的仓储，而不是临时查询。删除顺序很重要：先吊销会话并清理依赖记录，再删除账户行。
验证与排障
验证被吊销的会话立即失去访问、导出包含该成员而非其他工作区的记录、删除不留孤儿归属行。passkey 流程只在 HTTPS 源上测试。