DR-lin-eng · Jun 6, 2026 · Jun 6, 2026 · Jun 6, 2026 · Jun 6, 2026 · Jun 6, 2026
diff --git a/.github/workflows/release.yml b/.github/workflows/release.yml
@@ -169,6 +169,22 @@ jobs:
             echo "artifact_path=${artifact_path}"
           } >> "$GITHUB_OUTPUT"
 
+      - name: Sign Windows artifact
+        if: matrix.goos == 'windows' && secrets.IMAGE_STUDIO_WINDOWS_CERT_BASE64 != '' && secrets.IMAGE_STUDIO_WINDOWS_CERT_PASSWORD != ''
+        shell: pwsh
+        env:
+          IMAGE_STUDIO_WINDOWS_CERT_BASE64: ${{ secrets.IMAGE_STUDIO_WINDOWS_CERT_BASE64 }}
+          IMAGE_STUDIO_WINDOWS_CERT_PASSWORD: ${{ secrets.IMAGE_STUDIO_WINDOWS_CERT_PASSWORD }}
+          IMAGE_STUDIO_WINDOWS_TIMESTAMP_URL: ${{ vars.IMAGE_STUDIO_WINDOWS_TIMESTAMP_URL }}
+        run: |
+          ./scripts/sign-windows-binary.ps1 -Path "${{ steps.package.outputs.artifact_path }}"
+
+      - name: Warn on unsigned Windows artifacts
+        if: matrix.goos == 'windows' && (secrets.IMAGE_STUDIO_WINDOWS_CERT_BASE64 == '' || secrets.IMAGE_STUDIO_WINDOWS_CERT_PASSWORD == '')
+        shell: bash
+        run: |
+          echo "::warning::Windows artifact is unsigned. Windows 11 Smart App Control / SmartScreen may block it."
+
       - name: Upload build artifact
         uses: actions/upload-artifact@v4
         with:
@@ -345,6 +361,22 @@ jobs:
             echo "artifact_path=${artifact_path}"
           } >> "$GITHUB_OUTPUT"
 
+      - name: Sign Gio Windows artifact
+        if: matrix.goos == 'windows' && secrets.IMAGE_STUDIO_WINDOWS_CERT_BASE64 != '' && secrets.IMAGE_STUDIO_WINDOWS_CERT_PASSWORD != ''
+        shell: pwsh
+        env:
+          IMAGE_STUDIO_WINDOWS_CERT_BASE64: ${{ secrets.IMAGE_STUDIO_WINDOWS_CERT_BASE64 }}
+          IMAGE_STUDIO_WINDOWS_CERT_PASSWORD: ${{ secrets.IMAGE_STUDIO_WINDOWS_CERT_PASSWORD }}
+          IMAGE_STUDIO_WINDOWS_TIMESTAMP_URL: ${{ vars.IMAGE_STUDIO_WINDOWS_TIMESTAMP_URL }}
+        run: |
+          ./scripts/sign-windows-binary.ps1 -Path "${{ steps.package.outputs.artifact_path }}"
+
+      - name: Warn on unsigned Gio Windows artifacts
+        if: matrix.goos == 'windows' && (secrets.IMAGE_STUDIO_WINDOWS_CERT_BASE64 == '' || secrets.IMAGE_STUDIO_WINDOWS_CERT_PASSWORD == '')
+        shell: bash
+        run: |
+          echo "::warning::Windows artifact is unsigned. Windows 11 Smart App Control / SmartScreen may block it."
+
       - name: Upload Gio artifact
         uses: actions/upload-artifact@v4
         with:

diff --git a/README.md b/README.md
@@ -22,6 +22,7 @@ Image Studio 面向 OpenAI 兼容图像上游，重点解决长时间图像推
 1. 安装应用
    - 稳定版本:到 [RoseKhlifa/Image-Studio Releases](https://github.com/RoseKhlifa/Image-Studio/releases) 下载。
    - 抢先体验当前分支的最新改动:到 [DR-lin-eng/Image-Studio Actions · release.yml](https://github.com/DR-lin-eng/Image-Studio/actions/workflows/release.yml) 下载最近一次成功构建的 artifact。
+     Windows 上这类 CI `exe` 如果没有签名，可能会被 Win11 Smart App Control / SmartScreen 拦截，因此只建议用于内部测试。
    - 各平台安装包区别、命名规则和选择建议见 [docs/packages.md](./docs/packages.md)。
 2. 首次启动后打开「上游配置」，填写 API 形态、BASE_URL、API Key、文本模型 ID、图像模型 ID。
 3. 根据上游能力选择 API 形态

diff --git a/docs/build.md b/docs/build.md
@@ -217,6 +217,28 @@ node scripts/live-verify.mjs
 - 单独构建一个 Android release APK。
 - tag 为 `v*` 时将所有产物附加到 GitHub Release。
 
+### Windows 签名
+
+Windows 11 的 Smart App Control / SmartScreen 会重点拦截无法验证发布者的 `exe`。仓库里的 release workflow 现在约定：
+
+- 如果配置了 Windows 签名证书，workflow 会自动对 Windows `exe` 做 Authenticode 签名并校验。
+- 如果没有配置签名证书，workflow 仍然继续产出 Windows artifact，但会在日志里明确警告这些 `exe` 可能被 Win11 拦截。
+
+需要配置的 GitHub Actions secrets：
+
+| 变量 | 用途 |
+|---|---|
+| `IMAGE_STUDIO_WINDOWS_CERT_BASE64` | Base64 编码后的 `.pfx` 证书内容。 |
+| `IMAGE_STUDIO_WINDOWS_CERT_PASSWORD` | `.pfx` 密码。 |
+
+可选 GitHub Actions variable：
+
+| 变量 | 用途 |
+|---|---|
+| `IMAGE_STUDIO_WINDOWS_TIMESTAMP_URL` | RFC 3161 时间戳地址；默认 `http://timestamp.acs.microsoft.com`。 |
+
+签名步骤由 `scripts/sign-windows-binary.ps1` 执行，内部会调用 `signtool sign`、`signtool verify /pa /all` 和 `Get-AuthenticodeSignature` 做校验。
+
 平台内核验证 workflow：
 
 - `.github/workflows/verify-platform-kernel.yml`

diff --git a/docs/features.md b/docs/features.md
@@ -7,6 +7,7 @@
 - 文生图与图生图，支持多张参考图。
 - 输入图源:文件对话框、拖拽窗口、剪贴板粘贴、历史复用、双击历史项设为源图。
 - 参数:Auto 与固定尺寸、Auto / high / medium / low 质量、PNG / JPEG / WebP 输出格式、seed、negative prompt、风格 chip。
+- 尺寸语义:比例与分辨率是同一个 `size` 的拆分视图；当比例切到 `Auto` 时，底层尺寸会整体交给上游决定。细节见 [size-auto.md](./size-auto.md)。
 - 参数预设:可在提示词上方的独立预设分区里展开查看、直接切换，并通过保存/新建/管理弹窗维护常用尺寸、质量、输出格式、风格与批量张数组合。
 - 比例管理:内置常用宽高比，也支持通过「自定义比例」弹窗添加多个用户自定义宽高比并持久化保存；新增比例会立即出现在参数按钮区，并按当前 1K / 2K / 4K 档位自动换算尺寸。
 - 双 API 形态:

diff --git a/docs/packages.md b/docs/packages.md
@@ -14,6 +14,8 @@
 
 这类构建通常会更快包含当前开发分支上的改动，但稳定性和回归覆盖不如正式 release，建议只在测试环境使用。
 
+Windows 用户需要额外注意：Actions 里的 CI artifact 如果没有经过 Authenticode 签名，在 Windows 11 上很容易被 Smart App Control 或 SmartScreen 直接拦截，提示“无法确认其编写人”或“可能不安全的应用”。这类包不应作为对外分发的正式安装包。
+
 ## 安装包命名规则
 
 当前 release workflow 会产出带版本号前缀的安装包，格式大致如下：
@@ -44,6 +46,7 @@
 
 - Wails 桌面版依赖 WebView2 Runtime；Windows 10+ 通常已预装。
 - ARM64 设备优先下载 `windows-arm64`，避免 x64 仿真带来的额外开销。
+- 对外分发请优先使用带有效 Authenticode 签名的正式 release；未签名的 CI `exe` 在 Windows 11 上可能被智能应用控制直接阻止运行。
 
 ### macOS
 

diff --git a/docs/privacy-policy.md b/docs/privacy-policy.md
@@ -0,0 +1,179 @@
+# 隐私政策
+
+最后更新：2026-06-06
+
+本隐私政策适用于本仓库当前提供的 Image Studio 客户端，包括桌面版（Windows、macOS、Linux）与 Android 壳层版本。若你使用仓库中的浏览器预览/调试环境，部分本地存储行为会与正式客户端不同，本文也会一并说明。
+
+## 1. 基本原则
+
+- Image Studio 不提供开发者自营的内置生图服务。
+- 你输入的提示词、参考图、蒙版、模型参数等数据，默认只会保存在你的设备本地，或发送到你自己配置的上游 `BASE_URL`。
+- 当前仓库代码中未集成广告 SDK、统计埋点 SDK、崩溃上报 SDK，也不会自动把你的提示词、图片或 API Key 上传到开发者控制的独立采集服务器。
+
+## 2. 我们会处理哪些数据
+
+Image Studio 在本地可能处理以下数据：
+
+- 上游配置与偏好设置：例如 `BASE_URL`、API 形态、文本/图像模型 ID、请求策略、并发限制、代理模式与代理地址、主题、字号、输出格式、预设、自定义比例、输出目录、受信任输出目录、是否保留日志、忽略的版本号、完成提示音配置等。
+- API Key：
+  - 桌面版默认使用系统安全存储，不写入普通 JSON 配置。
+  - Android 版保存在应用私有 `SharedPreferences` 中。
+  - 浏览器预览环境没有系统密钥库时，会退回浏览器本地存储，仅适合调试。
+- 生成与历史数据：例如提示词、优化后提示词、模式、尺寸、质量、风格、种子、负面提示词、源图片路径、生成结果路径、原始响应日志路径、历史时间戳等。
+- 本地图片副本：为了支持拖拽导入、剪贴板粘贴、历史预览、旋转/翻转/裁剪、时间线回看等功能，应用可能在本地保存导入图片、副本、缩略图、预览图或历史全图数据。
+- 可选用户标识：如果你主动填写“用户标识”，该值会随请求发往你配置的上游，用于上游侧的安全审计或滥用防护。Responses API 下映射为 `safety_identifier`，Images API 下映射为 `user`。
+
+## 3. 本地存储位置
+
+### 桌面版
+
+- Windows：
+  - 默认输出目录通常为 `Documents\\Image Studio`
+  - 生成图片位于 `images/`
+  - 原始响应日志位于 `log/`
+  - 缩略图/预览图位于 `thumbs/`、`previews/`
+  - 兼容状态文件位于 `compat/state.json`
+  - 导入图片与本地编辑派生文件位于 `imports/`
+  - WebView2 本地数据位于 `webview/`
+- macOS：
+  - 默认输出目录通常为 `~/Pictures/Image Studio`
+  - 应用状态、导入文件等通常位于 `~/Library/Application Support/image-studio/`
+- Linux：
+  - 默认输出目录通常为 `~/Pictures/Image Studio`
+  - 应用状态、导入文件等通常位于 `~/.config/image-studio/`
+
+### Android 版
+
+- 默认输出目录通常为应用私有目录 `Android/data/<应用包名>/files/Pictures/ImageStudio`
+- 导入图片副本通常位于应用私有目录下的 `files/imports`
+- API Key 与输出目录等配置保存在应用私有 `SharedPreferences`
+- 在 Android 10 及以上版本，如果你执行“保存图片”操作，图片可能写入系统相册 `Pictures/ImageStudio`
+
+### 浏览器预览/调试环境
+
+- 历史与图片缓存可能保存在浏览器 `IndexedDB`（数据库名为 `image-studio`）
+- 设置项可能保存在浏览器 `localStorage`（键名前缀通常为 `gptcodex.`）
+- 在无原生宿主能力时，浏览器预览环境可能用 `localStorage` 暂存 API Key；这不是正式客户端的安全存储方案
+
+## 4. 何时会发生网络请求
+
+### 4.1 发送到你配置的上游
+
+当你执行以下操作时，应用会把相关数据发送到你配置的 `BASE_URL`：
+
+- 测试连接
+- 文生图
+- 图生图
+- Prompt 优化
+
+可能发送的数据包括：
+
+- API Key（作为 `Authorization: Bearer ...` 请求头）
+- 提示词、参考图、蒙版
+- 模型 ID、尺寸、质量、输出格式、风格、种子、负面提示词等生成参数
+- 你主动填写的用户标识
+
+这些请求是直接发往你配置的上游，或按你的代理设置经代理转发。上游服务与代理服务如何处理这些数据，不受 Image Studio 控制，你应自行评估其隐私与合规政策。
+
+### 4.2 桌面版更新检查
+
+桌面版当前版本支持检查新版本。检查更新时，会向 GitHub 请求：
+
+- `https://api.github.com/repos/RoseKhlifa/Image-Studio/releases/latest`
+
+这会使 GitHub 获取你的网络请求元数据，例如 IP 地址、请求时间、User-Agent 或其他标准 HTTP 信息。
+
+### 4.3 外部链接
+
+当你主动打开发布页、Issues 或其他外部链接时，系统浏览器会访问对应站点；相关站点会按其自身政策处理访问数据。
+
+## 5. 不会自动上传什么
+
+在当前仓库实现中，应用不会自动执行以下行为：
+
+- 不会把你的 API Key 上传给开发者自建统计平台
+- 不会把你的提示词或生成图片自动同步到开发者服务器
+- 不会集成第三方广告网络
+- 不会内置崩溃上报或行为埋点 SDK
+
+但请注意：
+
+- 你主动配置的上游服务本身可能记录请求日志
+- 你主动导出历史、保存图片、复制到外部目录后，相关文件将离开应用私有范围
+
+## 6. 日志、原始响应与排错数据
+
+桌面版会在生成期间把上游原始响应写入输出目录下的 `log/` 子目录，以便你排查问题，例如：
+
+- Responses API 的 SSE 文本响应
+- Images API 的 JSON 响应
+
+关于日志保留：
+
+- 如果你开启“保留日志”，这些文件会继续保留在本地
+- 如果你关闭“保留日志”，桌面端会在应用关闭时清理受管理的日志目录
+- 即使关闭“保留日志”，在应用运行期间，当前请求的临时原始响应文件仍可能短暂存在，直到应用退出并执行清理
+
+## 7. Android 权限与系统备份
+
+Android 版当前声明的主要权限包括：
+
+- `INTERNET`：用于访问你配置的上游服务
+- `READ_EXTERNAL_STORAGE`（仅 Android 12 及以下生效）：用于读取你选择的本地图片
+
+另外，Android 清单当前启用了系统备份能力：
+
+- `android:allowBackup="true"`
+- 当前备份规则排除了数据库，但没有排除全部应用私有文件与 `SharedPreferences`
+
+这意味着在你的 Android 系统允许云备份或设备迁移时，以下数据可能随系统机制参与备份/迁移：
+
+- 本地配置
+- Android 端保存的 API Key
+- 应用私有目录中的导入文件或其他本地文件
+
+是否实际发生备份，还取决于你的 Android 系统版本、账户设置、加密能力与设备迁移流程。
+
+## 8. 数据安全
+
+- 桌面版 API Key 默认写入系统密钥库（如 Keychain、Credential Manager、Secret Service）
+- 桌面版兼容状态文件与多数受管理文件使用仅当前用户可读写的权限创建
+- Android 私有目录与 `SharedPreferences` 受 Android 应用沙箱保护
+
+但你仍需理解以下风险：
+
+- 你选择的上游或代理可能位于第三方服务器
+- 你主动保存到公共目录、系统相册或导出到其他位置的文件，可能被其他应用、系统服务或具有相应权限的用户访问
+- 浏览器预览环境的安全性低于正式桌面客户端
+
+## 9. 你的控制权
+
+你可以通过以下方式控制本地数据：
+
+- 在应用设置中修改或清空 API Key
+- 在应用中清空历史记录
+- 关闭“保留日志”
+- 修改输出目录
+- 手动删除输出目录中的图片、日志、缩略图与导出的历史文件
+- 手动删除应用状态目录中的 `compat/state.json`、`imports/`、浏览器存储或 WebView 数据
+- 在 Android 中使用“清除存储”或卸载应用删除应用私有数据
+- 单独删除你已经保存到系统相册、公共目录或外部位置的图片与 JSON 文件
+
+## 10. 历史导入与导出
+
+当你主动使用历史导出功能时：
+
+- 桌面版会通过系统保存对话框写出 JSON 文件
+- Android 版会把导出的 JSON 写到当前输出目录
+
+当你主动导入历史文件时，文件内容会被读入本地并合并到本地历史中。导入/导出均属于用户主动操作，不会自动执行。
+
+## 11. 适用范围变更
+
+如果后续版本引入新的联网能力、账户系统、同步服务、统计服务或新的第三方 SDK，本文件应随代码行为一起更新。
+
+## 12. 联系方式
+
+如果你对本项目的隐私行为有疑问，建议通过项目 Issues 反馈：
+
+- [RoseKhlifa/Image-Studio Issues](https://github.com/RoseKhlifa/Image-Studio/issues)
diff --git a/docs/size-auto.md b/docs/size-auto.md
@@ -0,0 +1,80 @@
+# 比例 Auto 与分辨率的关系
+
+这份文档专门解释一个常见疑问:为什么把「比例」切到 `Auto` 以后，分辨率也不能再像独立开关一样单独锁定。
+
+## 先说结论
+
+- Image Studio 底层保存和发送的是一个统一的 `size` 字段，不是分别发送“比例”和“分辨率”两个独立参数。
+- 选择具体比例和具体分辨率时，应用会先把两者组合成一个明确的像素尺寸，例如 `1536x1024`、`2048x1152`、`2160x3840`。
+- 当你显式选择 `Auto` 时，底层 `size` 会直接变成 `"auto"`，意思是“把最终尺寸交给上游决定”。
+- 一旦 `size` 已经是 `"auto"`，应用本地就不再持有一个可继续锁定的明确像素尺寸，所以“分辨率”也不会再保留成一个独立的固定值。
+
+## 为什么看起来像“比例自动后，分辨率失控了”
+
+界面上有“比例”和“分辨率”两个选择区，但它们只是同一个 `size` 的两种拆分视图，不是两条彼此独立的请求字段。
+
+可以把它理解成这样:
+
+- `1:1 + 1K` -> `1024x1024`
+- `3:2 + 1K` -> `1536x1024`
+- `16:9 + 2K` -> `2048x1152`
+- `9:16 + 4K` -> `2160x3840`
+- `Auto` -> `"auto"`
+
+也就是说，`Auto` 不是“只自动比例，但仍然固定分辨率”，而是“整个尺寸都交给上游”。
+
+这也是为什么当前实现里，只要 `size === "auto"`:
+
+- 当前激活比例会显示为 `Auto`
+- 当前激活分辨率也会显示为 `Auto`
+
+不是界面忘了记住你之前的分辨率，而是底层已经没有一个同时满足“仍是 Auto”又“还固定 2K / 4K”的单一 `size` 值可发给上游。
+
+## 两种 API 形态都是同一个语义
+
+无论当前走的是:
+
+- Responses API
+- Images API
+
+最终发给上游的尺寸都是单个 `size` 值。
+
+所以这里不是某个平台面板的特殊行为，也不是桌面端和 Android 端语义不一致，而是整个应用共享的尺寸模型就是这样设计的。
+
+## 如果想重新拿回分辨率控制，应该怎么做
+
+只要你点一个明确的比例，或点一个明确的分辨率，应用就会把状态从 `auto` 提升回一个具体像素尺寸。
+
+当前规则是:
+
+- 从 `Auto` 状态点击具体比例:
+  - 如果分辨率这边还是 `Auto`，应用会先用 `1K` 作为默认档位再生成具体尺寸。
+  - 例如点击 `9:16`，会得到 `864x1536`。
+- 从 `Auto` 状态点击具体分辨率:
+  - 如果比例这边还是 `Auto`，应用会先用 `1:1` 作为默认比例再生成具体尺寸。
+  - 例如点击 `2K`，会得到 `2048x2048`。
+- 只有当你再次明确点击 `Auto`，才会重新回到“由上游决定尺寸”的状态。
+
+## 哪些情况是正常语义，哪些情况才算 bug
+
+正常语义:
+
+- 你主动选择 `Auto` 后，分辨率不再作为独立锁定值保留。
+- 不同模型能提供的比例和分辨率组合不同。
+- 某些链路只提供基础尺寸，不提供 `2K` / `4K` / 自定义比例。
+
+这类情况通常是模型能力或链路能力限制，不是交互故障。
+
+真正算 bug 的情况是:
+
+- 你当前在 `Auto`
+- 你已经点击了一个明确比例或明确分辨率
+- 结果状态仍然卡在 `Auto`，没有退出
+
+这个“点了具体项却仍卡在 Auto”的互锁问题已经在 2026-05-30 修过；当前桌面端和 Android 端都应该在点击明确项后正常退出 `Auto`。
+
+## 使用建议
+
+- 想让上游自己决定最终宽高，就用 `Auto`，同时接受“本地不再锁定具体分辨率”。
+- 想稳定控制输出像素尺寸，就不要停留在 `Auto`，而是至少选择一个明确比例或明确分辨率。
+- 如果你需要 `2K`、`4K`、自定义比例这类能力，先确认当前模型和请求策略本身支持这些选项。
diff --git a/docs/usage.md b/docs/usage.md
@@ -80,6 +80,7 @@
 2. 输入 prompt。
 3. 选择比例、质量、输出格式、风格。
    - 内置比例不够时，可以打开「自定义比例」弹窗，新增并保存常用宽高比。
+   - 如果想理解“为什么比例切到 Auto 后，分辨率也不能再单独锁定”，见 [size-auto.md](./size-auto.md)。
 4. 根据需要设置 seed 或 negative prompt。
 5. 点击「生成」，或使用 `Cmd+Enter` / `Ctrl+Enter`。
 

diff --git a/image-studio/frontend/src/app/App.tsx b/image-studio/frontend/src/app/App.tsx
@@ -8,6 +8,7 @@ import { DropImportOverlay } from "./components/DropImportOverlay";
 import { PlatformWorkspace } from "./components/PlatformWorkspace";
 import { HistoryTimelineModal } from "../components/history/HistoryTimelineModal";
 import { CustomAspectRatioGate } from "./gates/CustomAspectRatioGate";
+import { CustomSizeGate } from "./gates/CustomSizeGate";
 import { ResultDetailGate } from "./gates/ResultDetailGate";
 import { SavePromptGate } from "./gates/SavePromptGate";
 import { SettingsPanelGate } from "./gates/SettingsPanelGate";
@@ -48,6 +49,7 @@ export default function App() {
       {dragHover ? <DropImportOverlay /> : null}
       <FooterBar />
       <CustomAspectRatioGate />
+      <CustomSizeGate />
       <UpstreamConfigGate />
       <SettingsPanelGate open={settingsOpen} onClose={closeSettings} />
       <HistoryTimelineModal />