iCity 本地加密与隐私保护：你的日记只有你能看
iCity 的产品定位
iCity 从一开始就把 隐私保护 作为核心卖点——App Store 的介绍里有这样一段话：在这里，记录生活、交流见解，无需在意别人眼光，不必迎合他人趣味。
从实际产品设计来看，这句话不是空话——三级日记权限、加密存储、封存日记、本地锁定等多个功能，都围绕"让用户放心写"这个目标。
App Store 隐私标签
Apple 的隐私标签要求开发者声明数据收集行为。iCity 的声明：
未与你关联的数据
| 数据类型 | 用途 |
|---|---|
| 使用数据 | 产品交互（统计页面访问、功能使用频率，用于改进产品） |
| 位置 | 粗略位置（用于日记自动标记和问答匹配） |
| 诊断 | 崩溃数据（用于修复 Bug） |
重要声明：iCity 收集的数据 不与你的 iCity ID / 真实身份关联——无法被用来识别"这是张三的使用数据"。
不会收集的数据
App Store 标签里明确 iCity 不会收集：
- 姓名、邮箱、手机号等真实身份信息（邮箱/手机号仅用于账户验证）
- 日记正文内容
- 图片内容
- 浏览历史
- 精准 GPS 坐标（除非你主动开启精确位置标记）
本地加密
iCity 在设备本地存储日记数据时，采用加密保护：
- 日记正文、图片、语音等内容以加密格式写入本地文件
- 其他 App 无法直接读取 iCity 的本地文件（需要先通过 iOS 沙盒权限）
- 手机越狱 / Root 后，加密保护可能失效
但要注意：iCity 没有做生物识别锁定（指纹 / Face ID）——这意味着只要手机解锁了，任何人都能打开 iCity 看你的日记。如果你特别在意这个：
- 可以用 iOS 自带的「屏幕使用时间 → App 限额」给 iCity 加一个密码保护
- 或者用 iOS 的「隐藏 App」功能把 iCity 图标藏起来（但这比较极端）
日记内容的隐私层级
| 内容 | 谁能看到 | 备注 |
|---|---|---|
| 仅自己可见的日记 | 只有你自己 | 云端也加密存储，iCity 官方声称看不到内容 |
| 好友可见的日记 | 双向好友 | 单向关注的人看不到 |
| 公开日记 | 全世界 | 世界频道任何人可见 |
| 问答资料卡 | 取决于每道题的独立设置 | 可以逐题设公开/好友/私密 |
| 心情标记 | 仅自己（即使日记公开） | 世界频道里公开日记的心情标记不会显示给别人 |
哪些场景可能暴露隐私
世界频道的公开日记
公开日记在世界频道可见、可以被任何人点赞评论、也可以被问答匹配算法用来推荐给陌生人。写公开日记前想清楚：
- 有没有提到真实姓名、电话、地址等敏感信息？
- 如果被同事 / 家人看到，会不会尴尬？
- 可以考虑公开日记里只用昵称或模糊表述
导出日记
如果用 Pro 的"导出 PDF"或"打印本"功能，导出包里包含 所有权限等级的日记——包括仅自己可见的。如果你把导出的文件分享给别人，要注意里面可能有私密内容。
截图
任何 App 内的日记内容都可以被 iOS / Android 的系统截图功能截取——iCity 无法阻止。如果特别敏感的内容不想被截图，只能 写了之后立刻封存，避免被日常操作中不小心截到。
第三方键盘
如果用第三方输入法（比如搜狗、百度、Gboard），你在 iCity 里打了什么字，理论上第三方键盘的开发者可以记录。这是所有 App 的共同风险，不是 iCity 独有。
隐私政策链接
- iCity 官方隐私政策：icity.ly 的隐私条款页面（实际托管在 clover.ly/privacy）
- App Store 隐私标签页：iCity 的 App Store 详情页 → 隐私部分
小结
iCity 在隐私保护上做得 诚意足够但仍有缺口：
- ✅ 云端加密、本地加密、三级权限、不收集日记内容
- ⚠️ 没有生物识别锁定、依赖 App Store 隐私标签的自我声明（未被第三方审计）
- ❌ 无法阻止系统截图、无法阻止第三方键盘记录
对于大多数用户来说这些已经够用了——毕竟你写的日记大概率不会被黑客盯上。但如果你的日记里真的有非常敏感的内容（比如商业机密、法律证据、不可告人的秘密），还是建议本地写完后封存或删除，不要依赖任何 App 的云存储。