字节不出本机，指令经过云端

本机留什么，云端记什么

这条线划得很清楚：能还原业务内容的字节留在本机，云端只记「关于数据的数据」。

登记信息只说明「这是谁的哪台机器」，对话元数据只说明「谁在什么时候用了多久」，两者都不含业务内容。云端记下的元数据有明确用途：调度、审计与计量。管理员靠它知道哪台机器在线、哪位数字员工忙了多久、哪一次失败了；做好这三件事，不需要对话正文。

只出站，不开端口

机器只向云端发起出站连接，不监听任何入站端口，防火墙不用改。连接由机器发起，云端只应答。

• 领任务：机器主动去取派给它的活，而不是等外面把活推进来；
• 回结果：做完的结果由机器送回，经云端交到提问的人手里；
• 报心跳：机器定时告诉云端「我在线」，节点列表里的状态由此而来。

这对安全的意义很直接：外面没有一扇可以敲的门。机器上没有对外开放的服务，就少了一整类被扫描、被直连的入口；新接入一台机器，也不用为它在防火墙上开口子。机器离线时，派给它的任务排队等待，恢复联网后由它自己重连、领走。

经过云端，不等于留在云端

任务要经过云端才能到机器：你在企业微信或工作台里交代的事，云端核对身份与权限后派下去，结果再经云端送回。经过不等于留下：这类内容只过境、不落库，每次查看都留痕，台账里只记元数据。

过境也不是默认允许的，而是一份登记在册的清单，比如工作台里的对话消息、排障时查看的运行日志、预览一个分享出来的文件。每一条都写清过境什么、为什么必须过境、谁能看见、留什么痕。

检验一个新功能有没有越界，只问一句：如果云端的数据库被完整导出，能从中还原出什么业务内容？答案必须是「什么都还原不出来」。这条线换来三件事：

• 可验证：不必相信「我们不会看你的数据」，而是确认云端根本没有存放它的位置；
• 可清算：吊销凭证即切断访问，不存在散落各处的历史副本；
• 可扩展：数据留在本机，云端不随数据量一起膨胀。

不是承诺不看，而是没有地方放。