摧毁用户对日记应用信任的最快方式不是笨拙的界面或缓慢的加载时间。而是当用户将解锁的手机交给朋友看照片，而一条高度私人的日记条目突然闪现在屏幕上时，用户感到的那种突如其来的、令人心跳停止的恐慌。
当我们着手构建 ViviDiary 时，我们的核心定位很简单：“用心情、表情符号和模式记录你的一天。”我们希望创造一个感觉像 Dailybean 一样轻量，但又能提供 Bearable 那样的模式发现功能的空间。我们不懈地优化速度，将核心签到时间（心情、能量和表情符号）控制在 30 秒以内，且无需任何书写。
但在产品设计中，速度和安全性往往是相互冲突的。如果你让一个应用太容易打开，它就容易受到攻击。如果你像银行应用一样锁定它，用户会因为摩擦力而放弃他们的日常记录习惯。
以下是我们如何应对这种权衡的内幕，为什么我们优先考虑隐私优先、去标识化的云端方法，以及我们如何设计出真正有效的私人日记锁屏隐藏应用用户体验。
!一位用户拿着显示 ViviDiary FaceID 锁屏界面的智能手机
我们需要构建一个在需要时才显现的隐形安全层。（替代文字：用于私人日记的锁屏隐藏应用用户体验）
“递交手机”的焦虑
在我们早期的内测中，我们注意到了一种奇怪的行为模式。我们大约 22% 的最活跃用户在记录心情后会立即强制关闭应用，而不是让它在后台运行。
当我们进行用户访谈以找出原因时，答案是一致的：焦虑。
用户对 iOS 应用切换器感到恐惧。如果 ViviDiary 被留在后台，任何滑动查看他们打开的应用的人都可以阅读他们最新的备忘录，或者看到他们记录了一个“糟糕”的心情，并用“家庭”和“焦虑”表情符号进行了标记。
日记数据是高度私人的。当用户查看 私人日记应用 时，他们主要担心的通常不是国家支持的黑客；而是他们的室友、伴侣或同事。他们需要一道边界。
我们意识到，如果 ViviDiary 要成为一个真正的安全空间，我们不能仅仅依赖操作系统级别的设备锁定。我们需要应用级别的安全性，且不能损害我们 30 秒内的记录目标。
整合私人日记的锁屏隐藏应用用户体验
为了解决这个问题，我们必须设计一种无缝的生物识别切换。我们研究了银行应用如何处理安全性，但它们的方法对于心情追踪器来说太沉重了。
我们考虑过的方法
- PIN 码键盘（已拒绝）： 我们最初原型设计了一个标准的 4 位 PIN 码键盘，每次打开应用时都会出现。这是一场灾难。用户测试显示每日签到率下降了 40%。输入 PIN 码在 30 秒的流程中增加了 3-5 秒，这破坏了轻量感。
- 深层菜单切换（已拒绝）： 我们考虑将应用锁定作为一个用户必须手动激活的隐藏设置。然而，隐私不应该是一个你需要去寻找的付费功能。
- 生物识别模糊（已选择）： 我们选择了一种原生的锁屏隐藏应用用户体验，利用 Face ID (iOS) 和生物识别提示 (Android)，并结合即时 UI 模糊状态。
我们是如何构建它的
我们为应用的生命周期状态实现了一个监听器。当 ViviDiary 从 `active` 状态移动到 `inactive` 或 `background` 状态的绝对毫秒级瞬间，我们会在应用的根视图上覆盖一个高斯模糊。
如果你向上滑动查看打开的应用，ViviDiary 是完全无法辨认的。它看起来就像一个柔和的、多彩的渐变。
当你点回应用时，它会立即调用原生生物识别验证。由于现代 Face ID 和指纹扫描仪在几分之一秒内即可完成验证，用户几乎感觉不到锁的存在。他们点击应用，看一眼手机，就进去了。摩擦力几乎为零，但安全性是绝对的。
我们还必须重新思考我们针对小组件的 iOS 用户体验设计。我们设计的主屏幕小组件仅显示聚合的、非敏感的数据（例如代表一周的简单颜色渐变），而不是特定的文本或敏感的表情符号，确保一眼扫过主屏幕不会泄露你的隐私。
我们所拥护的：隐私优先的去标识化
在讨论隐私时，我们必须解决那个显而易见的问题。许多竞争应用做出了宏大的承诺，但我们专注于严格的数据最小化，并确保你的日记文本是完全去标识化的。
我们明确拒绝了这种架构。
为什么？因为虽然仅限离线存储在营销手册中听起来很棒，但在现实中却是一场噩梦。我见过太多来自其他应用用户的令人心碎的支持工单，他们把手机掉进湖里，或者手机被盗，结果因为忘记手动配置 iCloud 备份而丢失了三年的日常反思。
Day One 为档案信任设定了行业标准，我们相信用户理应获得同样的安心。因此，ViviDiary 的数据层使用 Supabase 进行云端存储。
我们的隐私来自于 数据最小化和去标识化，而不是将数据困在你口袋里那块脆弱的玻璃上。
当我们设计我们的 隐私优先云架构 时，我们制定了一条严格的规则：任何日记文本在进行任何外部或 AI 处理之前都会被去标识化。我们将你的身份与你的数据分离开来。
这意味着你既能获得无缝跨设备同步的可靠性和云备份的安全性，又不会牺牲机密性。我们选择 去标识化云处理 是因为它允许我们在提供强大、可靠服务的同时，通过严格的数据最小化来保护你的隐私，确保你的文本在任何外部 AI 分析之前被剥离了个人标识符。
!在白板上绘制的技术图表，显示云存储前的数据去标识化
我们选择了通过 Supabase 进行云存储并进行严格的去标识化，专注于隐私优先的数据最小化。（替代文字：云架构数据去标识化过程）
为什么我们的 AI 是严格可选的
因为我们处理敏感的心情和生活追踪数据，用户经常问我们：AI 日记安全吗？
我们的回答是，AI 永远不应该是私人日记的核心机制；它应该始终只是一个可选工具。
ViviDiary 是一个模块化应用。当新用户下载该应用时，唯一需要的输入是 5 级的心情（极好、好、一般、低、糟糕）。其他一切——备忘录、语音输入、专注模块（日常和待办事项）以及 22 个手动表情符号类别——默认都是关闭的。
我们不强迫你书写，当然也不会强迫你与 AI 对话。
我们的 AI 严格来说是一个可选的助手，用于你想要更深入思考的日子。如果你选择使用它，你的文本在处理前会被去标识化。AI 不会在没有你明确审核的情况下保存或确认任何内容。它不提供治疗、诊断或处方。它只是作为一个倾听者。
这直接关系到我们的隐私理念。通过最小化我们收集的数据（数据最小化），并将核心体验集中在 3 秒的心情和表情符号记录上，我们极大地减少了用户的隐私足迹。
用户测试：通知抑制的影响
隐藏应用用户体验拼图的最后一块是通知。
最初，我们有一个标准的通知系统。如果你在我们的专注模块中设置了一个待办事项（这是完全可选的，且免费版限制为每天 5 个），应用会提醒你。
但我们意识到锁屏通知是一个巨大的隐私漏洞。如果你有一个待办事项写着“和治疗师谈谈职业倦怠”，你肯定不希望当你的手机放在会议室桌子上时，它在锁屏上闪烁。
此外，我们强烈反对压力式的连胜机制。我们从不使用恐慌通知、连胜冻结机制、中断连胜的内疚感或红绿灯进度 UI。ViviDiary 中的日常任务是你想要注意并保持的事情——一个温和的个人最佳记录——而不是一个因错过一天而惩罚你的配额。
- 无内疚提示： 我们取消了所有“你错过了今天”的通知。
- 通用掩码： 对于选择接收提醒的用户，锁屏通知是刻意模糊的。它只会显示“ViviDiary：该进行日常签到了”，而不是显示特定的用户数据或错过的日常任务。
我们学到了什么
当我们推出生物识别模糊和抑制通知系统时，结果让我们感到惊讶。
我们预计由于 Face ID 增加的（尽管很小）摩擦力，参与度会略有下降。相反，我们看到了 14% 的 D30 留存率增长（第 30 天留存率）。
当我们对用户进行回访时，他们解释说，因为他们不再担心将应用留在后台或有敏感通知弹出，他们感到在一天中使用 ViviDiary 更加自在。该应用已经成为一个安全、舒适的边界。
我们还看到用户利用免费版无限心情和表情符号记录功能的频率显著增加，仅仅是因为他们知道应用切换器不会出卖他们。（关于我们模式的简要说明：所有输入模块、无限记录、3 个月的档案以及最多 3 个日常任务 / 5 个待办事项都是完全免费的。对于想要更深入历史模式的用户，高级版价格为 $2.99/月 或 $11.99/年）。
接下来是什么
隐私不是你构建一次并勾选清单的功能；它是一种持续的姿态。
目前，我们正在完善生物识别锁如何与苹果新的 iOS 18 原生隐藏文件夹进行交互。我们希望确保如果用户使用苹果的操作系统级应用隐藏功能，ViviDiary 的内部状态管理能够尊重这一点，而不会导致双重验证循环。
我们也在继续完善数据进入 Supabase 之前的去标识化算法，确保随着我们可选的 AI 助手变得更聪明，我们的数据最小化变得更严格。
归根结底，日记的价值在于它的诚实。而用户只有在感到完全、毫无顾虑的安全时才能做到诚实。通过优先考虑隐藏应用用户体验和透明的云架构，而不是营销术语，我们正在构建一个真正值得你信任的追踪器。
