生产环境需要的控制
- 本地预览在浏览器中读取所选文件，不会把它上传到公共应用。
- Worker 会创建范围明确的任务记录，并提供签名或账户权限保护的下载。AI OCR 输入上限为 10 MB，转换结果会在配置的保留期限后过期。
- D1 保存身份、权益、任务元数据和可审计的支付引用；原始文档访问始终需要授权。
- 限流、Webhook 验证、幂等积分发放和管理员审计操作属于完整 SaaS 层。
安全和数据处理
明确文档的边界
PDF 可能包含私密研究、内部流程和客户数据。DocKernel 把存储、保留、访问和删除视为产品行为，而不是脚注。