为什么 PictureBook 默认私密

一本绘本可能包含孩子的名字、外貌、兴趣和家庭想法。这些内容值得一个比公开画廊 更谨慎的默认设置。

草稿只属于一个家庭

孩子档案字段会在存储前加密。只有经过身份验证的家长接口会在家庭边界内恢复信息， 匿名路由不会收到加密内容或兼容字段。

生成媒体默认不公开

插画和旁白通过同源媒体代理访问。家长工作区可以预览进行中的内容，但阅读器与分享页面 只允许加载一本已完成绘本中经过审核的媒体。

分享是一项能力，不是公开发布

家长必须先确认监护人身份，才能创建分享链接。链接使用随机能力令牌，不提供账号控制， 并会在同意被撤回后立即失效。

删除时先停止所有访问

删除绘本会立刻撤销阅读器和分享链接，然后安排精确前缀的存储清理。即使清理失败， 管理员也只能看到安全的恢复信息，绘本访问不会被恢复。

隐私不是最后加上的标签，而是从一开始就决定路由、存储、审核、分享和删除契约的原则。