TEACHER-ONLY RELEASE GATE

学生交作品，教师决定是否公开。

公开发布是一次真实责任，不是奖励。所有作品先经过内容、功能、隐私、文件和访问范围检查；未通过的作品仍然可以完整参加本地发布会。

ONE DAY09—15准时结束

15-MINUTE RELEASE QUEUE

四组也能在 14:35 前处理完

14:20 前，小组先自检，小队验证员逐项朗读发布清单，学生出示证据；最终勾选和发布决定仍由教师完成。

14:20Team 01教师审核、上传或记录本地展示
14:23Team 02上一组由另一组学生在另一台设备打开 URL
14:26Team 03只检查闸门，不在发布台临时改代码
14:29Team 04如失败，立即标记本地展示
14:32统一验收核对 3–4 个入口；14:35 强制结束发布

THE PIPELINE

从小组文件夹到公开 URL

01学生提交team-01 文件夹

→

02教师审核功能 · 内容 · 隐私

→

03隔离发布专用教学子域名

→

04另一设备验收URL · 手机 · 二维码

PUBLIC ≠ PRIVATE

`noindex` 不是密码

它只告诉搜索引擎不要主动收录。只给家庭观看时，应增加访问控制；公开访问时，页面里必须完全没有个人信息。

DEDICATED ORIGIN

使用独立教学子域名

不与个人后台、登录系统或敏感 Cookie 共用；关闭目录列表、评论、表单、统计和用户上传。

SHORT RETENTION

先写下线日期，再发布

默认展示7—30天。收到撤下请求时，先下线网页和二维码，再处理受控备份。

查看服务器技术护栏

允许的文件

`.html`、`.css`、`.js`、`.png`、`.jpg`、`.webp`、`.txt`。SVG 要么禁用，要么经过清理。

建议的内容安全策略

default-src 'self';
script-src 'self';
style-src 'self';
img-src 'self' data:;
connect-src 'none';
object-src 'none';
base-uri 'none';
form-action 'none';

这要求作品使用独立的 `style.css` 和 `script.js`，不使用行内脚本和 `onclick` 属性。