隐私应该写进系统契约

界面偏好不是隐私保证

很多产品把隐私展示成一组开关：谁能看到某个字段、是否启用建议、是否发送通知。这些控制很重要，但界面只是系统的一个调用方。后台任务、导出、日志、缓存、支持工具、分析系统与未来的新端点，都可能移动同一份数据。

如果隐私只存在于显示逻辑中，每条新路径都必须完美记住原始意图。这是一种脆弱承诺。可靠的隐私模型会把意图变成契约，并在 API、策略、持久化、序列化和交付边界上默认关闭。

这并不是抽象地宣称系统“很隐私”，而是让具体声明可执行、可测试：这个值只服务于这个用途；这个受众只能接收这个投影；这个操作需要这份同意；这个载荷不能包含私人内容。

同意有明确上下文。一个人可能同意某种用途、受众、提供商或关系模式，却不同意另一个；任务排队后也可能撤回同意；另一个账号可能被拉黑；资源在开始交付前可能已不再符合资格。

对于有后果的操作，系统应该在最终写入或外部交接时重新评估当前策略，不能信任过期的客户端标记、队列消息或缓存决定。撤回后应默认关闭。如果外部调用已经开始，系统也必须诚实说明它不能声称能够追溯取消。

这比保存 consent: true 更严格，需要按用途绑定的回执、版本化状态和明确转换，但也让产品可以准确回答：什么在什么时候为哪个后果获得了授权。

一个资料字段并不是不可分割的单值。成员提供的事实、系统能否把它用于匹配、其他成员可以看到什么，是三个可以独立变化的问题。

在数据模型中分开这些问题，可以减少意外披露。敏感或仅供 AI 使用的值保持加密；可检索投影刻意缩小；成员可见内容使用只包含已确认低敏感字段的不可变快照；序列化器默认关闭，拒绝输出内部事实。

代价是更多模式与迁移复杂度，收益则是未来的新端点不必从分散在应用代码里的惯例重新拼装隐私策略。

队列可以把缓慢或不可靠的工作解耦，也创造了新的数据持久化、重试、查看与日志位置。方便的任务载荷往往会不断膨胀，最终包含整份用户资料或消息正文。

更安全的设计让数据库拥有私人状态，队列只携带不透明的意图标识。Worker 重新读取当前状态、再次检查账号与资源策略，并为已批准用途构建最小提供商载荷。通知使用封闭事件键与安全参数，而不是把私人内容提前渲染进去。

这可能增加一次数据库读取，却换来撤回能力、最新策略判断、更小的泄露影响和更清晰的审计范围。

运营日志经常是隐私承诺悄悄失效的地方。只过滤顶层 password，无法保护嵌套在提供商响应里的凭据、被复制进错误对象的私人消息，或多层结构中的提示词。

脱敏应该是一个共享边界，对经过复核的敏感键族递归生效。测试需要使用金丝雀值和嵌套结构。日志应保留诊断控制流所需的信息，但不保留凭据、私人内容、精确位置或身份证明文件。

好的脱敏应当刻意变得无聊：工程师不需要在每个功能里重新记忆哪个日志器安全，安全行为本身就是默认契约。

AI 辅助产品增加了另一条权力边界。模型可以帮助起草条件、总结回答或提出偏好，但不应静默确认身份、年龄、成员资格、关系模式、发布或同意。提案在本人明确确认前，始终是可编辑且短期存在的内容。

使用外部提供商也需要单独同意和最小化。含有身份、文件、精确个人信息或高风险关系信息的输入，有时应整段删除，而不是做部分遮罩。当提供商不可用或同意被撤回时，人工流程仍应保持可用。

代价是降低自动化程度，收益是可选助手不会变成未经审查的身份或权力来源。

Women AI Network 是一个通过多语言社区产品探索这些契约的作品集快照。公开仓库包含架构决策、策略与持久化边界、本地验证、合成夹具和一份已批准的设计概念。设计概念不会被描述成真实社区的运行截图，仓库也不声称拥有真实成员或当前生产运营。

这个区别本身就是隐私工程的一部分：作品集应当证明系统，而不是借助虚构用户、私人数据或暗示线上服务来获得可信度。

实用检验很简单：如果团队无法指出同意在哪里被重新检查、最小载荷在哪里生成、私人字段在哪里被排除出序列化、日志在哪里脱敏，那么隐私仍然只是意图。当这些边界明确且经过测试，隐私才真正成为产品的可执行契约。