THAMO 首期 PRD v1.2 · 聚焦反诈

日期：2026-11-02。版本：v1.2（保留原文件路径以兼容已有链接）。状态：阶段1已完成本地后端验收；阶段2已完成本地模拟器验收，阶段3本地短信/模型/举报闭环完成，阶段4–6待实施，未提交Play。阶段结果见实施交付报告。

本次修订与文档顺序

合并短信/URL/截图举报、高危线索库、白名单和自动分析，不再散落成可选小功能。先建设客户/三类数据/线索底座；公开URL种子和官方身份基线提前阶段1，应用恶意情报在阶段5补齐。举报复用OTP账户：可先编辑本地草稿，登录后提交，不新增匿名令牌与账户合并系统。

主PRD决定首期范围；举报与线索库规格细化相关字段和状态；实施文档决定执行阶段；需求与验收矩阵逐项验证。来源许可/质量事实由公开来源核验支持。原型不等于实现，阶段1已交付本地后台，阶段2执行记录见阶段2交付报告，阶段3见阶段3交付报告。

1. 明确取舍

产品：孟加拉 Android 用户的默认短信、默认电话与应用安全扫描工具。价值主张：可疑短信及时提醒，陌生来电多一层判断，危险应用给出证据。Bangla / English / Banglish。无浏览器、无广告、无贷款。

保留四个入口：保护、短信、电话、我的；应用扫描放在保护页。首期后台只有一个用户/设备工作台，包含短信、应用、通话、保护状态和举报，不拆成八个独立运营系统。

不能省：真实收发/接听功能、角色撤销处理、数据同意、同步确认、错误可恢复、删除、基础权限审查和真实机测试。不能用减少这些工作换取虚假的两三天上线承诺。

2. 用户与价值

面向使用孟加拉移动钱包、普通银行短信和双卡电话的人，覆盖不同年龄与阅读能力。优先识别假KYC、假退款、中奖、索PIN/OTP、招聘/签证预付款与仿冒钱包应用。页面正文短句，风险原因最多三项，主要操作最多两个。

不把营销短信等同诈骗；不因应用侧载、需要辅助权限或号码未知直接判为恶意。结果：高风险 / 需要核实 / 暂未见明显风险 / 检查未完成。

年龄：不擅自改为成人专属。Play 目标年龄按实际设计填写；包含儿童时，需完成相应 Families、监护与数据处理设计及模型供应商适用性核验。没有完成这些，不把同一套成人数据采集流程宣称为全年龄已就绪。

3. 页面与主要交互

保护：大号开启度 + 短信/电话/应用三个状态 + 待处理风险 + 扫描应用。若满分仍有恶意App，照常显示风险。主按钮只指向下一项未完成设置。

短信：完整会话列表；可疑会话有文字和标识，进入消息显示原因、核实建议、举报与误报恢复。未知链接先做已支持范围检查，再由外部浏览器打开；没有网页持续防护。

电话：最近通话、拨号、来电界面、通话中界面、回拨、双卡、未接通知、黑名单；不录音。来电风险使用本地缓存与限时查询，超时放行，不能阻断紧急呼叫。

我的：账户、云端数据、语言、帮助、退出、删除账户；本地电话和短信不因会话失效而中断。联系人如读取仅供本地电话体验，首期不上传通讯录。

4. 注册和一次引导

推荐旅程：语言 → 手机号OTP → 全面保护说明 → 开启所选项目 → 系统确认 → 首次扫描/同步 → 首页。可先体验本地短信电话，不因拒绝云端上传而失去已有本地基本能力。

云端说明必须点明短信正文、号码、应用清单和通话记录上传用于反诈检测、保存安全记录与检测质量改进；模型处理单独说明；不把同意藏在隐私链接。用户可调整各类云同步。已完成系统步骤自动跳过，角色与权限由OS确认，原型中的弹层只为示意。

OTP：+880规范化、随机短期码、重发间隔、错误次数、限流、会话恢复/刷新、退出和注销。验证码验证不依赖先成为默认短信。不使用固定生产验证码或审核后门。

5. 100分开启度

每项采用完成/未完成；未完成的原因明确展开，不增加几十个对用户无意义的小分。覆盖范围内没有短信/通话时，用成功的零记录扫描确认，不制造事件。

100分是配置与同步完成度，不是安全认证，不是征信分。未上传可保持本地保护但该项不算云端全面开启；界面解释差别，不恐吓用户。发现风险不扣开启度。

App本地立即反映撤权；服务端用最后角色声明、功能状态与实际同步ACK计算确认状态。24小时无状态更新标为待核验，显示上次确认的分数，不继续宣称当前100分。系统角色上报不是服务端独立OS证明；不能用该分数做安全身份凭证。

6. 三类数据与存储

短信：来源ID、方向、正文、地址、发生时间、风险与检测版本；排除OTP/PIN/密码类；不传MMS附件。

应用：包名、版本、证书、来源、扫描时间、风险、变化；不默认上传全部APK，不访问其他用户/工作空间。

通话：来源ID、号码、方向、开始时间、时长、类型、可获得线路信息；不是录音，不是联系人数据库。

首次默认近180天短信和通话，可选择范围；应用当前快照。后续批次上传，每批有幂等ID、ACK和游标；断网续传，角色失效、退出或撤销同意时暂停相应上传，抛弃尚未发送的对应任务。新同意不自动复用旧任务。单向上传，不做首期复杂云恢复。

业务字段使用普通MySQL可查询列，首期不新增字段级加密；HTTPS和数据库访问隔离必须保留；云盘/备份优先透明加密，不影响SQL。密码、OTP和令牌不能明文保存；日志不复制原文和秘密。已有密文不因设计稿自动解密迁移。

原始记录保留180天，事件/审计365天，备份14天（产品建议，不是政策规定）。注销在线清理目标72小时，备份到期淘汰并防恢复复活。原文探查限授权分析角色，查看/导出审计；不建设任意SQL网页控制台。不用于贷款、营销、数据销售或未披露未来用途。

7. 技术与后台最小化

复用现有账号、供应商适配、HTTPS、MySQL与Gemini；移除浏览模块，保持独立回退标签。电话优先验证Fossify Phone的许可证、固定提交、Manifest与实际构建；没有验证前不写成已集成。应用扫描与情报许可需实测采购验证，不把某厂商宣传当可商用权利。

首期Android 10+，target API36。Android Kotlin，系统Provider作短信/通话事实源，Room存队列/风险缓存，WorkManager调度。Python单体API + MySQL + 一个受限后台任务进程。不加Kafka、ES、向量库或微服务。

后台主页面为用户/设备列表：分数、每项状态、最后确认、三类ACK数量与错误。进入设备后4页签：短信、应用、通话、授权/同步。另一个举报审核页。普通分析先做按用户、时间、风险的预设查询，复杂研究使用独立只读账号，不建画像平台。

8. Gemini与误报

本地规则和确定情报先判断；Gemini分析含糊的Bangla/Banglish诈骗话术并解释证据。不要把所有原始库批量喂给模型。私密字段和认证秘密先排除。模型输出结构化且包含未完成状态，不执行短信中的指令；超时不影响接听/收发。

App结论主要来自身份/签名/来源/情报，来电主要来自号码信誉；不能凭LLM永久封号、删除短信或卸载App。举报先自动校验与证据分层，不直接污染全局情报。首期提供误报恢复，使用模板/时间隔离的评测集，按语言评估精确率、召回、误报；目标和实测分开。

9. Play与权限最小集合

真正ROLE_SMS + READ_SMS/RECEIVE_SMS/SEND_SMS及实际MMS所需权限；短信写入依赖角色。真正ROLE_DIALER + CALL_PHONE/READ_CALL_LOG；WRITE_CALL_LOG仅用于实际记录管理需要。InCallService与筛查服务使用系统绑定声明；ROLE_CALL_SCREENING独立申请。QUERY_ALL_PACKAGES只用于真实全量扫描并申报；通知/全屏来电依实际功能申报。联系人、电话状态、蓝牙按实际平台需要最小化，不为涨分额外索取。无录音、无障碍、全盘存储、AD_ID。

角色失去即停止对应访问。QAP不是普通用户弹窗。Data Safety要包含实际三类上传、账户和诊断，描述实际Gemini处理方。商店文字、运行行为、突出说明、权限表、视频与删除入口一致。正式AAB、API36、正式签名与GPL对应源码；不承诺一定获批。账户类型决定是否另有12人14天封闭测试要求。

官方依据（2026-11-02核验）：

• https://support.google.com/googleplay/android-developer/answer/10208820?hl=en

• https://support.google.com/googleplay/android-developer/answer/10158779?hl=en

• https://support.google.com/googleplay/android-developer/answer/10144311?hl=en

• https://developer.android.com/reference/android/telecom/InCallService

• https://support.google.com/googleplay/android-developer/answer/11926878?hl=en

• https://support.google.com/googleplay/android-developer/answer/14151465?hl=en

• https://support.google.com/googleplay/android-developer/answer/9893335?hl=en

10. 分阶段实施与放行条件

实施以THAMO首期分阶段实施文档为唯一阶段入口，替代此前按天数估算的排期。阶段1–3已完成交付报告限定的本地开发验收；下表是阶段范围，实际完成以交付报告为准。

Codex复用成熟底座、已有服务和设计，按阶段内实现→运行→修复→复验→交付推进；不设固定人力天数。关键依赖失败时说明具体差距并修订范围，不把部分能力冒充完成。模拟器、真实SIM、商业OTP和Play各保留独立证据边界。

关键验收：短信/电话基础无阻断；角色撤销即停止；数据ACK与去重可复现；空库不假满分；后台可查询并审计；高分仍显示真实风险；模型失败不妨碍基础功能；锁屏、蓝牙、双卡、紧急呼叫路径有适当证据。

指标只保留：角色开启率、100分转化、三类同步成功/延迟、短信误报/召回、App扫描覆盖/误报、来电误拦/基础故障、举报有效率、D7/D30、单位检测成本与Play事件。

11. 品牌与设计交付

方向：警戒橙红 + 墨蓝 + 暖纸白；橙红表达“暂停核实”，墨蓝表达秩序与可信。不是全屏危险红，不用通用绿色。八角停牌轮廓中的负形T为Logo，匹配THAMO（停一下）的语义。高风险另外使用深红加文字，已开启用蓝色，不用颜色单独传达状态。

交互原型：design/thamo-v1.1/index.html。所有数据、OTP、授权、同步和电话均为清楚标记的本地演示，不连接真实账户/短信/拨号服务，不代表已实现。Logo为可编辑SVG，另导出PNG与关键页面预览。Bangla文案为设计草稿，正式上线前由母语用户校对。

12. 短信/链接/截图举报与高危库（增补）

纳入首期：保护页和短信详情提交短信/URL/单张截图，预览后确认上传、回执与状态查询；通过系统图片选择器，不申请全相册或录屏权限。原图交给Gemini视觉分析前明确说明，不能宣称所有截图已自动脱敏；图片私有保存并纳入删除和Data Safety。

后台设置候选与有效高危指标库、来源证据、个人信任/官方身份基线/规则例外；先用公开且有适用许可的信息冷启动，规则+情报+Gemini自动分级。AI不能直接全局封禁或改白名单，投诉数量不能直接当真。未知、冲突、过期可回退，官方名字与个人放行也不能屏蔽索密内容。无需配置人工逐条审核岗位。

详见 线索库与白名单设计 和 公开来源核验。新增数据、线索状态及许可明确的URL候选种子在阶段1；举报入口/图像理解、URL源更新与版本发布在阶段3；应用签名/恶意情报在阶段5；误报、冲突、刷量与完整链路在阶段6验收。

13. 首期处理规则与完成定义

举报必须登录后上传；未登录可以写草稿并引导OTP，不丢用户输入，不采集全相册。举报同意独立于三类自动云同步，不因关闭历史短信同步就禁止用户主动提交一条线索。举报数量和AI结论不增加100分。

后台任务采用MySQL任务状态＋一个工作进程。提交回执表示已收到，不表示已完成识别；处理状态、风险结论、情报发布状态相互独立。重复请求幂等，重试有上限，删除后晚到结果不能复活数据。具体状态/接口见专项规格。

白名单是个人信任、官方身份基线和特定规则例外，不是关闭所有检测。初期没有可靠全量孟加拉诈骗号码库，不承诺识别所有号码。AI可生成候选和解释，只有满足固定证据规则的指标才可进入有效库；生效不等于所有渠道自动封禁，实际动作仍取决于匹配规则和用户设置。

首期不建设匿名举报账户、客服工单、公开举报墙、训练平台、动态网页抓取、整站沙箱、自动APK下载、家庭账户、实时双向云恢复或安全数据营销系统。以下材料不可混同：设计完成、后台合成测试、设备采集、模型真实调用、运营商送达、Play获批。

需求与完成证据按R01–R14和AC01–AC24追踪，详见验收矩阵。没有执行的案例保持待执行，不因已有原型而标通过。