Cubicle Crew 办公室

least_privilege：服务端仅监听 127.0.0.1 并校验 Host/Origin，但安装版默认开机自启、可选手机视图会开放局域网端口，权限面偏宽，故仅 1。user_confirmation：权限提示的 Allow/Deny 需用户显式开启且 45 秒超时回退终端，更新下载安装需点击，得 2。data_flow_transparency：docs/security.md 逐项列出读取字段、写入文件与网络请求，透明度高，得 3。sensitive_data_handling：明确只取截断 60 字符的字段、不读提示与输出，但气泡仍显示命令与路径，需手动开启隐藏，得 2。dependency_security：仅 ws 与 electron 依赖，无锁文件证据、无审计或签名，得 1。external_effects：天气与更新检查默认关闭，但安装版默认开机自启属外部副作用，得 2。rollback：settings.json 修改前备份、save.json 原子写并留 .bak，但无版本回滚说明，得 2。source_attribution：MIT 与作者署名清晰，但发布者身份未经验证、无签名构建，得 1。

self_consistency：README 与 security.md 对端口、读取路径、权限钩子的描述基本一致，得 2。dependency_availability：engines 声明 Node>=18，但无 lockfile 证据、Electron 44 等版本未固定，得 1。failure_messages：仅提及端口回退与 npm run debug，缺少系统性错误处理说明，得 1。

audience_and_scenarios：面向多会话 Claude Code/Codex/Gemini/OpenCode 用户，场景清晰，得 2。capability_boundaries：明确只读本地日志、手机视图只读、非 Claude 会话无权限提示，边界清楚，得 2。trigger_precision：状态映射依赖 8 秒静默启发式与未公开的 JSONL 格式，触发精度有限，得 1。environment_fit：支持 Windows/macOS/Linux/WSL 与浏览器，但 Linux 缺跳转终端与登录自启，得 2。

information_architecture：README 结构完整、分节清晰并链接 docs，得 3。install_notes：npx、源码、各平台安装与未签名提示齐全，得 3。naming_stability：包名与 bin 稳定，但内部路径 pixel-office 与产品名不一致，得 2。examples_and_faq：有 demo URL、curl 示例与对比说明，但无正式 FAQ，得 2。known_limitations：README 有专门章节列出限制，得 2。license：MIT 全文与 package.json 一致，得 3。versioning_changelog：有语义化版本号但无 CHANGELOG，得 1。maintenance_responsibility：个人副业项目、发布者未验证、无治理说明，得 1。

output_usability：可视化状态、统计导出、截图分享实用，但依赖画布与本地环境，得 2。marginal_value：解决多会话可观测性痛点，但属锦上添花型工具，得 2。cost_benefit：单依赖、离线运行、零配置，成本低，但 Electron 体积与游戏化元素对部分用户冗余，得 2。

claim_traceability：README 声明多可对应 security.md 与 package.json，得 2。cross_source_corroboration：README、security.md、package.json、workflow 相互印证端口、依赖与构建，得 2。fact_inference_separation：部分性能与行为描述（如令牌经济、启发式链接）缺少代码佐证，属推断，得 1。