docs: document SMS verification behavior

docs/notification-reply.md

@@ -21,7 +21,7 @@ GotMsg 可以从 Bark / ntfy 通知打开一次性回复网页，把回复送回
 3. 网页会显示应用名、通知标题和正文；输入内容并提交。
 4. 原手机拉取任务并执行回复，网页等待最终结果；GotMsg“日志”页也会记录结果。
 
-回复入口只作为通知的点击地址或动作地址，不会在通知正文中重复显示。接收端不需要 iOS 快捷指令，也不需要创建或订阅 `_reply` topic；现有 ntfy server、topic 和 token 无需改变。
+回复入口只作为通知的点击地址或动作地址，不会在通知正文中重复显示。短信 App 中识别出的验证码通知不会创建回复会话，也不会附加回复入口。接收端不需要 iOS 快捷指令，也不需要创建或订阅 `_reply` topic；现有 ntfy server、topic 和 token 无需改变。
 
 ## 三种执行方式
 
@@ -65,7 +65,7 @@ GotMsg 首页应显示“Shizuku 已就绪”。若显示未授权，点击授
 - 回复链接从通知转发起 10 分钟内有效，并且只能成功提交一次。
 - 原通知不能被划掉或被新通知替换；进程未重启时 GotMsg 会短暂缓存通知入口，降低通知更新导致的失败概率。
 - 原 Android 手机必须联网，GotMsg 进程和通知监听服务需要正常工作。
-- 付款、订单、验证码、营销和系统通知通常没有聊天输入框，即使生成回复入口也可能不支持回复。
+- 短信 App 中识别出的验证码通知不生成回复入口；付款、订单、营销和系统通知通常也没有可回复的聊天输入框。
 - 兼容回复要求通知点击后真正进入对应聊天页；联系人页、登录页、广告页等不会被当作聊天页。
 - 某些 App 或定制系统不会向无障碍服务暴露聊天控件；界面更新后也可能需要重新适配。
 
@@ -86,7 +86,7 @@ GotMsg 首页应显示“Shizuku 已就绪”。若显示未授权，点击授
 
 ## 安全说明
 
-- 每条通知使用独立的 256 位随机回复令牌。令牌位于 URL fragment 中，不会随首次页面请求进入服务器访问日志。
+- 每个已创建的回复会话使用独立的 256 位随机回复令牌。令牌位于 URL fragment 中，不会随首次页面请求进入服务器访问日志。
 - GotMsg 安装时生成独立设备 ID 和密钥；原手机与中继 API 之间的注册、拉取和确认请求均需设备鉴权。
 - 中继只持久化设备密钥和回复令牌的 SHA-256 哈希。提交后的回复正文会短暂保存，处理完成后最多保留约 24 小时，用于状态查询和故障排查。
 - 拿到有效回复链接的人可在有效期内提交一次回复，因此不要转发或公开该链接。