无日志政策：一张字段表胜过一句承诺

行业内对日志的定义至少有三套：一是访问记录（去过哪些站点），二是连接记录（何时连、连了多久、来自哪个地址），三是运行记录（进程报错、心跳、额度结算）。快喵的不留存范围覆盖前两类，第三类中仅保留与计费、并发相关的聚合数值。

三套定义的实际差异

• 访问记录 目标域名、URL、DNS 查询与正文。快喵全部不留存，也不存在可导出的替代形式。
• 连接记录 连接时间、持续时长、来源地址、出口映射。快喵仅在会话内存中维持必要映射，断开即释放。
• 运行记录 额度计数、在线设备数、节点健康度。快喵保留聚合数值，且不与访问行为关联。
• 审计记录 字段变更、阈值调整与偏差项。快喵留存并公开，属于对政策的自我约束而非用户行为记录。

把第三类全部去掉是不现实的：没有额度计数就无法结算，没有在线设备数就无法执行并发限制。因此判断一份政策是否可信，不看它声称不留什么，而看它对“必须留”的部分是否给出了用途、保留期与删除方式三件套。

快喵的留存字段共 4 类 11 个字段，全部可在账号设置页看到对应解释。留存原则是“账号维度、聚合形态、限期删除”：不与访问行为关联，不逐条留存明细，到期自动删除且不进入备份。

为什么密码用 Argon2id

密码摘要使用 Argon2id，参数为内存 64 MB、迭代 3 轮、并行度 4，单次校验耗时在测试机上约 62 毫秒。选择内存困难型函数的原因是：即便数据库被整体拖走，GPU 集群对内存困难型摘要的破解成本也远高于对 SHA-256 的暴力枚举成本。

流量计数为什么不算日志

字节计数是与访问行为解耦的：它只知道“这个账号在这个账期用了多少字节”，不知道用在了哪里。技术上它无法被还原为站点清单，因为它不携带目标地址，也不携带时间序列的细粒度分布——快喵按天汇总，而不是按会话记录。

• 汇总粒度 按天汇总一次，不保留会话级明细，单日内的分布无法还原。
• 不含目标 计数字段与目标地址解耦，二者不在同一条记录里，也不存在关联键。
• 不含时间戳序列 只记日期，不记开始与结束时刻，无法推断使用时段。
• 可查看 用户可在账号页看到与后台一致的数值，不存在用户看不到的隐藏计数。

不留存不是“没有记录”，而是“没有产生记录的位置”。快喵的做法是把这些字段从数据模型里删掉，而不是写完再删：节点侧不落业务日志，业务库表结构中没有目标地址列，因此也没有可以误写入的字段。

“没有字段”比“不留存”更强

一件事只有在数据模型里被删掉之后，才真正无法被误记录。快喵把目标地址从库表结构中移除，任何代码路径都无法写入一个不存在的列；这比在写入前加一层判断更可靠，因为判断可以被一次配置或一次紧急排障绕过。

• 结构约束 字段不存在时，误写入会直接报错，而不是悄悄成功。
• 审计友好 审计方只需核对库表结构与实际写入，不必信任代码里的判断分支。
• 版本稳定 字段移除后不会因为“临时需要”被重新加回，任何新增都要走评审。

一次断开涉及四个动作：释放 NAT 映射、销毁会话密钥、写入一条无内容的断开事件、更新聚合在线数。前两个动作在客户端与节点侧同时执行，实测从断开指令发出到映射彻底释放的中位耗时为 0.4 秒，最长不超过 90 秒的上限。

1. 指令下发用户点击断开或网络中断被检测到，客户端向节点发送释放请求，超时上限 5 秒。
2. 映射释放节点删除该会话的 NAT 表项，地址与端口不再被保留，随之可被其他会话复用。
3. 密钥清零客户端进程对密钥内存区执行清零并覆盖一次占位写入，随后释放内存页。
4. 事件写入写入一条仅含时间戳与结果码的断开事件，用于健康度统计，不包含目标与会话标识。
5. 聚合更新在线会话数减一，按分钟汇总后写入聚合指标，不保留单会话明细。

异常断开的兜底

真实场景里多数断开不是用户点击，而是网络消失或进程被杀。这两种情况下客户端无法发出释放请求，节点只能依赖心跳超时回收：连续 3 次心跳未收到（约 45 秒）即判定会话失效并删除映射。因此 90 秒是目前观察到的最坏情况上限。

• 进程被杀 无法发送释放请求，由心跳超时回收，最坏 90 秒。
• 网络消失 同上，且客户端恢复后会以新会话重新协商，不复用旧映射。
• 设备休眠 心跳暂停被视为断开，唤醒后重新建立会话。
• 节点重启 内存中的映射随进程消失，无需额外清理。

快喵承认两类例外：支付合规所需的订单信息，以及安全事件处置所需的攻击特征。两者都有明确的处理顺序与可查记录，且都不得扩展到访问行为。政策文本与实现之间的偏差会被列为审计偏差项，而不是被解释成“业务需要”。

处理顺序

1. 最小化先确认诉求能否用聚合数据满足，能用聚合就不用明细。
2. 限范围明细只在必要时间窗与必要字段内提供，超出部分拒绝。
3. 双人复核任何明细导出需两名成员复核并留记录，单人无法完成。
4. 留痕公示处理记录进入年度透明度统计，按类别计数公开，不含个案细节。

第四条是这套机制的关键：如果例外处理完全不可见，它就会在几年内膨胀成事实上的常规做法。按类别计数公开，既能证明例外被使用过，也能让外界看出使用频率是否异常。

快喵链路上的第三方共有四处：支付机构、邮件服务、CDN 与云主机。前两者会接触到账号标识，后两者只承载静态资源与节点流量，不接触账号数据。四处都不接收访问目标，也都不接收会话密钥。

另一个常被忽略的第三方是操作系统本身：系统更新、崩溃上报与输入法都可能独立联网。快喵对这些流量不做拦截也不做代理，因为越权接管会带来更大的风险；用户若需要，可以在分流规则里把这些进程显式指向隧道，客户端只提供能力，不替用户决定。

为什么云主机不算“看到你的流量”

节点运行在云主机上，云厂商在物理层可以看到进出网卡的字节流，但看到的是隧道密文与站点 TLS 密文两层封装后的结果，既无会话密钥也无站点私钥。这一点与“云厂商能看到你的浏览内容”有本质区别，但也不能说完全没有接触面——流量元数据（时间、字节量）在物理层客观存在。

• 可见 网卡层面的字节流、时间与字节量，属于任何网络服务都无法消除的元数据。
• 不可见 正文、目标域名、DNS 查询与会话密钥，均由两层加密覆盖。
• 减缓措施 节点分散在多个云厂商，单一日志源无法还原完整路径。
• 不作承诺 不宣称对物理层元数据完全免疫，只说明其不进入业务库。

核验的目标不是证明厂商在说谎，而是确认承诺与可观察行为之间没有明显偏差。四步中前三步不需要任何特殊工具，第四步需要一点耐心：等待账期结束后对照用量页面与邮件通知。

四步核验

核验时的三个注意

• 区分层级 物理层元数据与业务库记录是两件事，前者无法消除，后者才是政策对象。
• 区分时间 断开后的释放有上限，应在断开 2 分钟后再检查，而不是立刻下结论。
• 区分版本 政策文本会随版本更新，核验结论应标明对应的客户端与文档版本。
• 保留证据 核验记录建议包含观察位置、时间戳与结论，便于后续比对。

关键数值与来源

下表把本页出现的数值与其采集条件并列列出，便于逐项核对。同一指标在不同条件下可能变化，引用时建议连同条件与样本量一起引用，否则数字会失真。

术语表

留存字段

为了功能可用而必须保存的字段，必须给出用途、保留期与删除方式。

行为字段

描述用户访问行为的字段，本政策明确不写入，包括目标域名与正文。

聚合指标

按时间窗汇总的数值，无法还原到单个会话，用于健康度与额度统计。

NAT 映射

把源地址替换为节点地址的会话级表项，仅存于内存，断开即释放。

心跳超时

连续 3 次未收到心跳即判定会话失效，约 45 秒，是异常断开的判定依据。

字段评审

新增或变更留存字段前的强制评审，未通过不得上线。

受控连接复核

在隔离环境抓取业务库写入，核对是否与字段表一致的方法。

透明度统计

按类别计数公开的例外处理记录，不含个案细节。

删除时限速查

自查清单

1. 确认版本记录客户端版本与政策文本版本号，两者应能对应到同一发布批次。
2. 核对字段把表 1 与账号数据导出结果逐项比对，多出的字段即为偏差。
3. 核对不留存用抓包确认目标地址不以明文出现，用导出确认结果中无目标清单。
4. 核对删除注销一个测试账号，7 日后尝试登录，应提示账号不存在。