web
Python FastAPI、SQLite、原生 HTML/CSS/JavaScript。Linux 上运行 API 和 worker；部署地址由配置决定，不绑定开发者的服务器。
平台管理员、各店店主、获得商品权限的管理者与人类或 AI 处理者，以及持卡顾客。一个实例可以服务多个独立店铺。顾客无需注册。
顾客用卡密提交需求、查看处理状态、领取交付内容。商家按商品管理卡密和任务。支付、销售订单与实际售价由外部商城负责；Extore 不收款，规格价格只是参考价。
商品、卡密、任务、附件、配置与授权按店铺隔离。人和 AI 使用相同的权限规则。浏览器、CLI、Python SDK 和原生 WebMCP 是同一业务的入口，不是各自独立的权限体系。
平台管理员使用 Passkey；首次密码只用于平台初始化。店主使用已验证邮箱与密码，可启用 TOTP 或 Passkey。平台恢复命令不重置店主账号。完整规则见多店与账号。
卡密绑定发行时的商品、规格和适用配置。已有卡密不继承以后新增的权限或修改额度。普通兑换、文本卡和可选任务流程共存；旧数据通过启动迁移继续使用，不在业务处理中猜测数据库是否缺表。
任务保存输入、输出与处理步骤快照。支持附件、人工处理、受审核的固定处理器和外部处理服务。处理失败或外部结果不明确时，需要核实，不自动宣称交付成功。修改交付使用卡密冻结的修改额度，不能重新计算为销售库存。
处理器代码来自固定提交的官方子模块，不接受代码上传、任意仓库、命令或镜像配置。离线处理器需要 bubblewrap 和 libseccomp 隔离，并受资源限制；隔离不可用时拒绝运行，不退回普通进程。隔离不替代源码审核。复杂或联网任务由经过授权的外部执行器处理。见运行指南和工作流开发。
管理链接和设备授权有明确的商品范围、权限与有效期。向下委派只能缩小权限。授权撤销影响后续处理；秘密不进入公开提示词或普通查询。见协议。
卡密原文只在发行时返回。领取和销毁遵循商品规则及各版本的权限。销毁清除应用内对应内容，不能撤回外部副本，也不承诺擦除备份。
名称为 Extore · 兑所。采用几何 E 标记、撕纸边缘与分段虚线。主题和语言默认跟随系统；动态效果遵循减少动态设置。视觉与交互规范只在 DESIGN.md 维护，不在此重复尺寸、颜色和动画时长。
- 兑换、重试和修改交付各有边界，不把重试当作新销售。
- 成功必须有可信结果；测试通过不等于真实部署、邮件送达或付款成功。
- 每次操作都检查实际店铺、商品和权限，不信任页面隐藏或客户端声明。
- 旧数据升级保留业务记录；数据库结构错误必须暴露，不能静默跳过安全检查。