最小必要
只处理功能确实需要的信息，不因为“以后可能有用”无限扩大范围。
PRIVACY · 隐私保护
少收集、讲清楚、让用户知道什么时候发生什么
示例源码没有数据库，也不会假装自己已经实现完整账号系统。隐私页重点说明产品应遵循的最小必要原则、内容中的人物保护、移动端权限和前端本地状态边界。
海角 · VIDEO COMMUNITYCORE PRINCIPLES
四个基础原则 · 从设计阶段就减少不必要数据
隐私不是上线后补一份长文本。功能是否真的需要某项信息、用户何时会看到提示、拒绝后能否继续使用，都应该在产品设计时先决定。
按需告知
在权限或信息真正被使用前说明目的，而不是把所有情况埋在一份难读文本里。
安全默认
弹窗、权限与公开状态默认保持保守，用户主动操作后才扩大可见或访问范围。
可撤回
真实产品应提供合理的设置与反馈路径，让用户能够改变选择并了解后续影响。
CONTENT PRIVACY
内容里的隐私 · 镜头本身也可能包含个人信息
视频可能意外拍到门牌、票据、聊天屏幕、儿童、家庭空间或其他敏感线索。保护隐私不只看账号字段，也要检查画面、声音和字幕是否暴露不必要的信息。
画面
发布前检查背景、屏幕、证件、地址和其他可识别线索，必要时剪除或遮挡。
声音
环境对话可能包含姓名、电话或私人事项，收音清晰不代表所有内容都适合公开。
字幕
自动或手动字幕应复核敏感信息，避免把原本听不清的私人内容变得更容易搜索和传播。
位置
旅行和户外内容可以描述区域，但不应在没有必要时暴露私人住所或精确实时位置。
人物
主要拍摄对象和旁观者承担的隐私风险不同，敏感场景需要更高标准的同意和判断。
评论
社区用户也不能通过回复补充他人私人信息，讨论应保持在公开内容与观点本身。
FRONTEND STATE
前端状态 · 搜索弹窗不会记住“打开”
搜索弹窗的开关只存在于当前页面运行状态，关闭后恢复 hidden，不把开启状态写入 Cookie、Session 或 localStorage。刷新和进入带 q 参数的结果页都不会自动遮挡内容。
搜索关键词
示例站仅在当前请求中用于站内数组匹配，输出经过 HTML 转义；源码没有数据库，因此不会声称长期保存搜索历史。
收藏按钮
当前收藏只是前端界面状态演示，页面不会冒充已经把内容同步到真实账号或云端服务。
APP PERMISSIONS
权限应该在需要的那一刻出现
相机、麦克风、相册、通知和位置都可能与视频社区有关，但“可能有关”不是一次性索取的理由。真实应用应在用户主动进入拍摄、直播或选择素材等场景时解释用途，并允许非核心功能合理降级。
查看安装与权限说明 →
PRODUCTION CHECKLIST
真实产品上线后，还需要定义哪些数据规则
无数据库示例不应虚构已经存在的服务端数据制度。正式接入账号、云收藏、消息或统计系统后，产品需要补充收集范围、保留周期、访问权限、删除流程与安全响应。
收集范围
逐项说明账号、设备、内容和互动数据为什么被处理，以及哪些功能可以不依赖它们。
保留周期
不同数据不应无限期保存；应根据安全、产品与合规需要定义可解释的保留时间。
访问权限
后台角色只获得工作所需权限，敏感操作需要记录并定期检查异常访问。
用户控制
提供查看、更正、删除或其他适用控制入口，并解释执行后对功能的影响。
第三方服务
接入统计、存储或推送前应审查数据流向与合同责任，不能把外部脚本当成“自动合规”。
安全事件
建立发现、限制影响、调查、通知和修复流程，并通过产品改进减少相同问题重复出现。
PRIVACY + SAFETY
查看内容安全 隐私与内容安全互相连接
隐私问题经常先以内容形式出现：偷拍视频、屏幕信息、私人聊天或实时位置都可能通过视频扩散。因此隐私页和安全页相互链接，而不是把问题完全拆成两个孤立制度。
发布前预防
创作者可以在上传前删除不必要信息，减少后续传播和处置成本。
社区中限制扩散
评论和话题不能把被删除或未公开的私人信息再次补充回来。
反馈后处理
真实运营需要在必要时限制内容可见，并给合理争议提供复核与申诉路径。
隐私保护常见问题
这个示例站会保存我的搜索历史吗？
源码没有数据库，搜索只在当前请求中匹配站内数组。全局搜索弹窗也不会把开启状态写入 Cookie、Session 或 localStorage。
为什么收藏按钮不承诺账号同步？
因为示例没有真实账户和后端收藏服务。界面可以演示交互，但隐私说明不能把未实现的本地状态包装成真实云端能力。
视频里拍到陌生人就一定不能发布吗？
需要结合场景、人物是否为主要对象、敏感程度、合理预期和公开必要性判断。敏感情境应采用更保守的拍摄、剪辑与授权标准。
APP 能否一次性请求相机、麦克风和位置？
不应只因为这些权限未来可能有用就一次性请求。真实应用应按具体功能触发，并解释用途与拒绝后的影响。
接入第三方统计脚本后就算完成隐私设计吗？
不是。第三方服务会增加新的数据流，需要单独审查处理目的、范围、保留与安全责任；统计能力不能替代完整隐私设计。