每一项都写清楚它不做什么。
下面是首个公开版本计划交付的能力。每张卡片的正文写它做什么，末行写它不做什么——边界写在承诺旁边，不留给你从沉默里去猜。仍在开发或推迟到后续版本的部分不会出现在这里，也不会出现在客户端界面上。
一、本机工作台
客户端运行在你的 Windows 电脑上，通过本机的 MetaTrader 终端完成行情与交易链路。行情与账户信息来自这个终端，不经过我们的服务器。
-
账户连接与状态
在一个界面里完成 MT4 / MT5 的登录与连接。连接是否成功、失败原因是什么、是否掉线，都有明确显示，不用你去别处对照。
不做：服务器或密码不对时直接报错，不会因为回填过设置就替你重试、换服务器或换账号。
-
行情图表
查看已连接账户可用品种的行情与图表，不必另外打开一个终端窗口去看盘。
不做：不提供行情预测、评分或买卖建议；图表上的一切都不构成投资建议。
-
交易操作
下单、改单、撤单、平仓等核心操作集中在同一个界面，每一次操作都会给出结果反馈。
不做：不含策略执行、跟单、多账户批量操作或代客下单。重复点击、超时与重连不得造成重复订单，这是发布前的验收项。
-
离线时的行为是确定的
云端服务不可用时，本机的 MT 连接、下单与持仓管理照常工作，客户端只是少了云端那部分能力。
不做：不会因为云端不可用就替你平仓、撤单或关闭本机必要的交易管理链路，也不存在任何远程停用本机功能的开关。
二、登录服务器本地保存
重复输入经纪商的登录服务器是 MT4 用户最常见的摩擦。这一项是首发的硬性要求，全部在你本机完成，不上云。
-
多份配置档，最多 50 份
每次成功连接后，客户端把「平台 + 账号 + 这次真正连上的服务器 + 所用终端」存成一份本机配置档，并记住每个平台最近使用的是哪一份。
不做：只在连接成功之后才写，失败、超时或输错的服务器不会进列表；存满 50 份时不自动淘汰旧记录，因为被淘汰的那份里可能有你唯一一份密码。
-
启动只回填，不自动连接
下次启动时，客户端把最近一次使用的服务器与账号填进表单，连接这一步仍然由你按下。
不做：不自动登录，不在启动时建立任何 MT 会话，恢复设置本身不产生任何交易动作。
-
密码是单独的选择
是否保存密码，与是否保存服务器、账号是两件事。只保存服务器和账号完全可以。保存的密码由 Windows DPAPI 在本机加密，绑定当前 Windows 用户。
不做：密码不上传、不同步，也不会在界面上回填成明文；你在密码框里看到的是本页生成的定长掩码。
-
可以改、可以删、可以全清
每份配置档都能改备注、单独清除密码、单独删除；也可以在二次确认后清空全部记录，重新开始。
不做：不做云端同步，不枚举经纪商，也不读取 MetaTrader 的服务器列表文件。
-
按 Windows 用户隔离
配置档保存在当前 Windows 用户自己的目录下。同一台电脑上的不同 Windows 用户，各存各的，互相看不到。
不做：文件损坏或版本不认识时，客户端只提示一句并让你手工登录，不会覆盖坏文件，也不会拿半份数据去连接。
三、云端状态提示
客户端启动时会主动读取一份云端启动配置，把服务状态显示成界面里的一条提示。它是客户端去读的，不是服务器发过来的。
-
六种状态，措辞固定
云端维护中、需要升级、云端身份需要处理、云端离线，这四种会明确提示；另有「计划维护」与「有新版本」两种轻提示。维护说明与预计结束时间由运维填写。
不做：首个版本没有站内消息中心、收件箱或阅读回执，也没有任何由服务器主动发起、落到你电脑上的内容。
-
只说明，不拦截
四种「云端暂停」类提示都以同一句话收尾：本机 MT 连接、下单与持仓管理不受影响。提示条在页面里占一行，随手可关。
不做：不遮挡界面，不禁用任何按钮，不触发任何交易动作，也不能被用来远程关停你电脑上的软件。
-
版本提示分两档
当前版本低于云端要求的最低版本时，只停用云端能力并提示你升级；只是有更新版本时，提示你可以升级并给出下载入口。
不做：不自动下载，不自动安装，不在你没同意时替你重启客户端。
-
云端文案当作纯文本
维护说明来自网络，客户端一律按纯文本显示。文案里即使带着标签，也只会原样显示成字符。
不做：云端状态里不含安装标识、令牌或本机路径；这条提示本身不发起任何网络请求。
四、匿名活跃统计与数据边界
联网部分只做两件事：让每台安装有一个可撤销的身份，以及统计每天有多少安装是活跃的。交易相关数据一律不上传。
-
最小字段
云端只处理随机安装标识、客户端版本号、Windows 大版本、CPU 架构、发行渠道与测试标记，以及按北京时间自然日计的活跃事实。日常上报的请求里只有版本、系统、架构三个字段，连时间都不带——活动日期由服务端按北京时间自己算。
不做：安装标识随机生成，不由账户号、机器名或硬件序列号推导，也不与广告标识或设备指纹关联。
-
交易数据不上传
账号、密码、投资者密码、经纪商名称、登录服务器、余额、净值、保证金、持仓、挂单、成交、交易历史与策略参数，全部在默认禁止上传的清单里。
不做：也不上传 Windows 用户名、机器名、MAC 地址、磁盘序列号、精确位置、剪贴板或屏幕内容。
-
统计的是安装，不是人
一个安装在一个北京时间自然日内首次完成已认证的会话，或调用了需要安装身份的接口，就计为当天的一个活跃安装。开发与测试用的安装带测试标记，从正式报表里排除。
不做：重装、换电脑、换 Windows 用户都会形成新的安装标识，所以这个数字不冒充「用户人数」，我们对外也只说「活跃安装」。
-
诊断不上传
首个版本没有诊断上传通道：崩溃堆栈、性能数据与日志都不会离开你的电脑，服务端也没有接收它们的接口。将来若增加这项能力，它必须是设置里默认关闭、可随时关掉的独立开关，上传前先在本机移除账号、路径与令牌。
不做：不接入第三方广告、行为分析、会话录屏或键鼠跟踪组件；拒绝可选诊断不影响本机任何交易功能。
-
身份可以撤销，数据可以删除
你可以撤销这台安装的云端身份，并请求删除与它关联的在线明细。目标是 1 个工作日内确认收到，30 个自然日内完成或说明合理的延迟原因。
不做：撤销只停掉云端能力，不会远程关停你电脑上的软件，也不会删除你本机保存的配置档。
五、可核对的安装与更新
安装包的完整性要能被你自己核对，而不是只能相信一个链接。首个版本能给你的核对只有一项——下载页公布的 SHA-256；代码签名与客户端内更新都不在首个版本里，这一组把「有」和「没有」分开写清楚。
-
固定分发域名
安装包只从 download.tradingcopilot.cn 通过 HTTPS 分发，本站下载页是唯一的官方入口。
不做：不用网盘转发、临时链接或第三方镜像；公开渠道只发布安装器，不发布免安装版。
-
公布 SHA-256
每个版本在下载页公布版本号、发布日期、文件大小与 SHA-256，你可以在安装前自己算一遍逐位比对。
不做：哈希只能证明文件与下载页列出的字节一致，不能证明是谁做的——那一层信任来自你访问的这个 HTTPS 站点本身。首个版本没有第二项可核对。
-
首个版本不做代码签名
首个版本的安装包没有 Authenticode 代码签名。Windows SmartScreen 因此会显示「未知发布者」或「Windows 已保护你的电脑」；核对哈希一致后，选择「更多信息 → 仍要运行」。
不做：首个版本不提供任何基于签名的来源证明，可核对的只有哈希。代码签名列入后续发行版的计划；加上之后也不承诺 Windows 一定不出现提示。
-
首个版本没有客户端内更新
客户端不会自行下载或安装任何更新，也没有「一键更新」按钮。它读到云端的推荐版本后，只在界面上提示你有新版本可用，然后把你指回下载页。
不做：下载页是首个版本唯一的更新渠道。客户端不校验安装包的发布者，因为安装包没有签名；升级前能做的核对就是下载页公布的 SHA-256。
-
升级不会动你手上那份
升级由你自己下载安装包、核对 SHA-256、覆盖安装。装之前旧版本照常可用，哈希对不上就别装，你手上那份不受影响。
不做：覆盖安装不需要先卸载旧版本，本机保存的登录配置档也不会因为升级而丢失。
首个版本明确不包含
以下能力在首个版本中不存在。它们不会以隐藏入口、灰色按钮或「即将上线」的形式出现在客户端里。
- 不替你做交易决策：不含策略执行、跟单、代客下单或任何形式的自动下单，也不提供投资建议、盈利预测或信号服务。
- 不含 AI 行情分析与信号分发。它是已经列入的后续需求，但不在首个版本里，客户端与本站都不会暗示它已经存在。
- 没有站内消息中心、收件箱或阅读回执，也没有由服务器主动发起并落到你电脑上的内容；产品动态只发布在本站。
- 不含多账户批量操作、策略市场、社区或排行榜。
- 界面、使用文档与支持只提供简体中文，暂不提供其他语言版本。
- 不含订阅、支付、发票与退款功能；首个版本不收费，也不收集任何支付信息。
- 不提供 macOS、Linux 与手机版本，也不提供 32 位安装包。
也不宣称支持所有经纪商或所有品种。实际支持范围以发布时经过测试的平台、经纪商与品种组合为准，届时写进使用文档。未测试过的组合不代表一定不能用，但我们不会因此说「全都支持」。