Electron 隐私与保留¶

历史背景： 本页面撰写于 Electron 与 Tauri 应用并存时期。文中提到的 Tauri 辅助模块、页面、测试及回归结果均描述该迁移阶段；此后 Tauri 外壳已被移除，共享代码现位于 electron/src/shared/。现有 Tauri 安装：请参阅 迁移指南。

设置 > 隐私 中提供了现有的隐形水印设置、分析同意和生成历史保留选项。

当后端报告 AudioSeal 可用时，水印控件会显示，并通过现有标记路径影响新的音频。任何音频生成器都不会绕过 mark_synthetic。分析同意使用现有的后端选择加入端点，在用户明确切换之前保持不变。同意后，渲染器会记录固定的屏幕标签和工作流操作标签（克隆、设计、配音、转录）；后端则记录生命周期/错误事件。隐私安全的手动页面浏览使用 app.voicestudio.sh 下的固定应用路径，从而在无需发送渲染器 URL 或动态路由片段的情况下启用聚合 Web Analytics。未捕获的渲染器错误也会到达 PostHog Error Tracking，但其消息已被替换，并移除了凭据、主目录路径、扩展帧、文本、音频、文件名和用户命名内容。原始异常自动捕获、DOM 自动捕获、自动页面浏览和会话录制保持禁用。不可用的功能不会显示失效开关，保存失败时保留已确认状态。

Electron 发布构建会将可公开的 POSTHOG_PROJECT_TOKEN 密钥作为 VITE_POSTHOG_KEY 传入，并将 POSTHOG_HOST 仓库变量作为 VITE_POSTHOG_HOST 传入。在 macOS、Windows 和 Linux 上，相同的美国目标地址会被内置到渲染器和托管后端中。请保持该令牌与 https://us.i.posthog.com 配对使用；仅凭项目 URL 或数字项目 ID 无法摄取事件。本地 Electron 构建可以通过 VITE_POSTHOG_KEY 和 VITE_POSTHOG_HOST 覆盖默认值。

翻译隐私分类与 Tauri 共享。当后端数据未知或不可用时，不会声称离线运行。现有的 libretranslate 标识符是后端本地 Argos 分支的别名，并不代表对外部 LibreTranslate 服务的假设。翻译链接会打开引擎设置。

保留期限支持 0（无限），校验不超过 100000 的整数限制，并说明清理会在生成后移除旧的未加星标的录音及其音频。设置更严格的限制需要内联确认。提高限制上限或禁用清理会直接保存。仅仅打开设置或编辑输入不会删除任何记录或文件。

electron/tests/privacy-settings-smoke.mjs 涵盖了同意、水印更改、写入失败、可用性、保留确认/取消、无限保留以及使用模拟端点重新加载等情况。共享分类后，Tauri 隐私回归测试通过。实时只读检查验证了水印、分析和保留模式，同时不会更改用户的隐私偏好，也不会删除数据。

AudioSeal 接收 16 kHz 音频用于嵌入和检测，包括 AudioSeal 0.2（其内部不再重新采样）。处理仍受块大小限制。只有水印残差会被重新采样并加回原始信号，从而保留其采样率、长度和高频内容。

当同意被撤回时，任何待处理的分析初始化都会失效，包括已在进行的同意查询或 SDK 导入。渲染器报告仅保留经过验证的堆栈帧；多行错误消息会被丢弃。

如果 AudioSeal 生成器加载失败，生成仍会继续，但不会带有隐形水印。后续加载尝试会等待十分钟，避免每次渲染都出现重复的网络超时；之后的渲染会自动重试。此冷却机制不会改变启动时默认的仅缓存策略；显式设置 OMNIVOICE_PRELOAD_WATERMARK=1 可让启动时下载未缓存的检查点。