feat(old-items): complete reuse workflow and refine miniapp home

docs/06_SECURITY_PRIVACY.md

@@ -290,3 +290,17 @@
 - 管理端导入和预览先经 DOMPurify 清洗，API 保存前再次使用独立白名单清洗；禁止脚本、事件属性、iframe、非 HTTPS 链接和非 HTTPS 图片。
 - 只有管理员与超级管理员默认获得财务公开查看、编辑和发布权限；公众只能访问已发布文档。
 - 已发布文档禁止原地覆盖编辑，归档后不可公开；发布和归档写入不可变历史与审计。
+
+## 旧物善用隐私与文件安全（2026-08-15）
+
+- 联系人、手机号、上门取件地址、物品描述、驳回原因和内部轨迹备注加密保存；手机号查询索引使用独立域 HMAC。
+- 捐赠图片存入私有对象前缀，上传前校验 MIME、扩展名、大小，确认时校验对象元数据；不返回永久公开 URL。
+- 本人捐赠与图片下载执行资源归属校验；管理端详情和图片 URL 获取要求独立权限并写审计。列表只显示脱敏手机号，不记录地址或描述到日志/审计 metadata。
+- 公益编号含随机片段，所有外部资源使用随机 UUID，不暴露数据库自增 ID。
+- 物资台账的内部备注继续加密；关联受助对象只返回随机公开 ID，不在导出、打印或小程序溯源中返回姓名、手机号、地址或服务描述。
+- Excel 只在管理端浏览器解析和生成，API 不执行宏、不保存原工作簿；公式单元格拒绝导入。固定模板最多 500 行，服务端再次执行白名单、类型和状态校验，整批事务失败回滚。
+- 台账导出使用独立权限并写审计，最多 5000 条且默认最小化；小程序不公开内部仓位和操作人，仅公开出库/落地地区。
+- 电子证书收件人称呼、撤销原因和积分人工校正原因加密保存；管理端证书列表统一显示“爱心用户”，本人登录后才可查看自己的证书正文。
+- 证书公开标识和证书编号均不可预测，且不提供无需登录的证书核验接口；本人证书详情执行资源归属校验，防止 IDOR/BOLA。
+- 证书模板是服务端校验并转义展示的纯文本，仅允许批准占位符，不执行 HTML；每张证书保存不可变快照，避免模板修改篡改历史凭证。
+- 规则激活、自动签发、补发、撤销、积分获得和人工校正均审计；积分账户使用行锁/revision，流水只追加，余额不得为负。