docs: 提醒个人微信账号、云端凭证池及假开源风险

README.md

@@ -4,10 +4,57 @@
 
 使用已登录的微信会话，通过当前 Windows 原生列表与会话协议采集。公众号监测、列表采集和正文下载分别控制，文章与任务进度保存在本机。
 
+> [!WARNING]
+> **所有需要使用个人微信号的客户端，都可能存在封号风险，MPider 也不例外。** 无论是扫码登录、读取已登录会话，还是通过其他方式使用个人微信号，本地运行、开源、低频请求或使用账号池，都不代表账号安全，也无法保证不被封号。使用前请充分评估风险，避免使用承载重要联系人、工作或支付用途的账号。
+>
+> **警惕将个人微信有效凭证上传云端的“账号池”。** 第三方掌握有效凭证后，可能在凭证权限与有效期内，以你的账号身份从云端发起请求；这些请求可能并非由你本人操作，却让你的账号承担限制、封禁及隐私泄露风险。**本项目反对隐瞒凭证上传、未经同意或超出授权使用个人账号的行为。**
+>
+> **未开源的客户端，请谨慎使用；宣称开源，也要警惕“假开源”。** 如果只公开界面或外围代码，却不公开核心采集逻辑，仍以“开源客户端”让用户相信采集行为可被核查，就属于这里所说的“假开源”。尤其需要核查凭证如何获取、保存、使用，以及是否上传云端。**有公开仓库，不等于核心逻辑已公开，更不等于下载的安装包与源码一致或使用安全。**
+
 [下载客户端](https://github.com/areyoubugcoder/mpider/releases/latest) · [全部版本](https://github.com/areyoubugcoder/mpider/releases) · [使用说明](docs/windows-standalone.md) · [常见问题](docs/faq.md) · [反馈问题](https://github.com/areyoubugcoder/mpider/issues/new/choose) · [演示视频（进群聊）](https://xhslink.cn/o/4uEpUqA9P13)
 
 > **v1.0.0 · Windows x64 正式开源版**。当前仅验证微信 **4.1.15.56 x64** 的模块与函数指纹；微信升级后需要重新适配。macOS、Linux 不支持本次原生采集。
 
+## 什么是账号池？有什么风险？
+
+这里提醒的**“账号池”**，指客户端收集用户个人微信号的有效凭证，将其上传并集中保存在第三方云端，再由云端调用这些凭证，以相应用户的账号身份发起采集请求。**关键在于：个人有效凭证离开了用户本机，第三方获得了使用这些凭证发起请求的能力。**
+
+这类凭证不一定是微信密码，也可能是会话密钥、令牌等身份凭证；具体可用于哪些请求，取决于凭证本身的权限与有效期。用户在客户端发起一次操作，不代表其凭证在云端只会用于这一次操作。
+
+```mermaid
+flowchart TD
+    subgraph L[用户本机]
+        U[用户登录个人微信号] --> C[第三方客户端获取有效凭证]
+    end
+    C -->|上传个人有效凭证| P
+    subgraph S[第三方云端]
+        P[账号池：集中保存多个用户的有效凭证]
+        T[云端采集任务] --> D[选取并调用用户凭证]
+        P --> D
+    end
+    D -->|以相应用户的账号身份发起请求| W[微信服务]
+    W -.->|可能触发限制或封禁| R[风险由凭证所属的个人微信号承担]
+    P -.-> E[凭证可能被泄露、转用或超出授权使用]
+```
+
+- **请求由云端发起，账号风险由用户承担**：用户未必知道凭证被用于哪些任务、调用多少次；异常请求仍可能导致个人微信号被限制或封禁，账号池不提供防封保证。
+- **凭证上传后，使用范围难以核实**：用户难以独立确认云端是否复制、共享凭证，是否用于其他人的任务，以及是否在用户停止使用后继续调用。关闭本地客户端，不等于云端凭证已被删除或失效。
+- **集中保存放大泄露风险**：云端一旦泄露或凭证被滥用，可能同时影响多个用户，并暴露凭证权限范围内可访问的数据。
+
+**MPider 使用本机已登录的个人微信会话，不将个人微信凭证上传到云端账号池，但本地使用同样存在封号风险。默认请求间隔与预算只是本地控制措施，不是平台认可的安全额度，也不是防封承诺。**
+
+## 闭源与“假开源”客户端，为什么要谨慎？
+
+客户端运行在自己的电脑上，不代表个人凭证一定留在本机。**对于未开源的客户端，用户难以通过源码核查核心采集行为，请谨慎使用，不要仅凭“本地运行”或“安全防封”等宣传交出个人微信凭证。**
+
+即便项目宣称开源，也应检查是否公开了以下内容：
+
+- **核心采集逻辑**：实际发起请求、调用微信协议的实现是否公开，还是只有界面，关键功能仍依赖不公开的程序或云端服务。
+- **凭证处理逻辑**：凭证如何获取、保存、使用和失效，是否上传到第三方服务器、进入账号池，是否存在未说明的外部调用。
+- **客户端与源码的对应关系**：是否有对应版本的完整源码、依赖和构建说明，能否据此构建客户端并核查发布包的来源。
+
+**只公开外围代码，却将未公开核心采集逻辑的客户端宣传为可完整核查的开源软件，属于本项目提醒用户警惕的“假开源”。完整开源有助于审查，但仍不是没有凭证泄露风险或封号风险的保证。**
+
 ## 软件截图
 
 以下截图来自本版本前端，使用虚构公众号与演示文章展示操作，不代表真实账号或实际采集结果。