01
公告 API 可导向命令执行
PCLPoC 指控公告 API 的 actions.setup 可写入启动前命令相关设置；报告称用户启动游戏时，该设置会进入本地命令执行路径。
基于公开报告
PCL存在后门问题
PCL2 的公告 API 存在可导向命令执行的功能；远程内容与更新机制可突破应有的信任边界。我们要求针对这些指控给出可复核的技术回应。本页仅指控官方发布的正式版与快照版，不针对任何第三方修改版本。
后门问题
公开回应
独立核验
公开回应
独立核验
/ PCLPoC 的后门问题指控
远程配置被指控能够在本机执行任意命令。
02
更新来源边界
报告重点质疑更新包的来源、完整性校验与签名验证链路：自动更新应能让用户确认“下载的是什么、由谁发布、为何可信”。
03
可审计性缺口
仓库将发布二进制与公开源码的差异列为审计难题。对用户而言，关键网络与执行逻辑应有可复现、可对照的公开说明。
/ 回应“同一个 CDN”说法
同一个 CDN，
不是同一种权限。
把公告和更新放在同一 CDN，并不能回答公告 API 是否被授予了过大的能力。安全边界取决于客户端把每一类远程内容当成什么、允许它触发什么。
“更新包能执行代码”不能反驳“公告 API 能否导向命令执行”。
前者说明更新链路必须有签名、哈希校验和用户授权；后者质疑的是：本应承担展示或配置职责的远程公告，是否也能影响启动前命令等本地执行路径。两条链路的风险与应有控制不同，不能相互抵消。
/ 对后门问题的公开要求
相关方应当立即说明
- 远程内容可触发的完整行为范围
- 更新包的签名、完整性校验与来源控制
- 发布二进制与公开源码的审计差异
- 用户如何拒绝、撤销或验证关键动作
“如果远程内容能影响执行路径，用户就有权要求完整、可验证的解释。”
本页明确转述 PCLPoC 的后门问题指控，并保留原始仓库链接以便读者独立查验。
/ 样本征集
提交历史样本，
补足可复核证据。
请发送历史正式版或快照版样本，以便我们比对版本、哈希与行为差异。邮件中请注明版本号、来源、文件哈希与获取时间（如可提供）。
我们将在合适之时公开样本下载站点供大家研究使用。
仅接收以下样本
- 历史正式版或快照版的原版文件
- 仅用于审计的脱壳版文件（附上未脱壳版本的原版哈希）
- 包含版本与哈希说明的材料
请勿提交：程序逻辑已被修改、重编译、注入补丁或由第三方二次改造的版本。
提交样本至 pclmom@proton.me范围声明：本页所转述的指控仅针对官方发布的历史正式版与快照版；不针对第三方修改、魔改、重打包、注入或自行编译的版本。第三方版本不能作为本页指控的依据。