企业官网建设流程全解析

PR Lens 是一款把每个 Pull Request 自动画成动画架构图与数据流走查的代码审查工具。它绕不开一个更本质的问题——"我的代码到底去了哪里？"这篇文章用大白话拆解 PR Lens 的三套安全与隐私设计：自带 Key（BYOK）、零遥测（zero telemetry）和令牌轮换（token rotation），并附上关键源码位置，帮你在把代码交给任何 AI 工具之前，先看清它如何保护你的密钥和数据。

先回答最核心的问题：你的代码经过谁的手

这是所有隐私焦虑的源头。PR Lens 的回答非常干脆：你的 diff（代码差异）只发往你自己指定的模型服务商，中间没有任何 PR Lens 的服务器参与。

官方隐私文档 PRIVACY.md 开宗明义：

这个仓库里的包跑在你自己的机器或 CI 上，什么都不会上报给我们。analyze会把 diff 用你自己的 Key 发给你指定的模型服务商，而那个请求是直连服务商的。

换句话说，PR Lens 在这条链路里只是个"快递员"，而不是"收件人"。你用的是谁的 API，数据就只进谁的门。

自带 Key：你的模型密钥如何永不出门

"自带 Key"（Bring Your Own Key）是 PR Lens 最核心的信任基石。它的设计哲学藏在代码注释里：

密钥从环境变量读取，永远不接受命令行参数——因为一个命令行参数会落到 shell 历史记录里，也会落进 CI 的日志里。

这条规则在 providers/index.ts 的resolveProvider里被强制执行：密钥只从GEMINI_API_KEY、OPENAI_API_KEY这类环境变量里取，取不到就抛出MISSING_API_KEY错误，而不是偷偷用某个默认值。命令本身在 analyze.ts 的帮助文本里也写得很直白："密钥永远不会离开你的机器：它从环境变量读取，diff 直接发给你指定的服务商。"

这套机制意味着：你可以把--base-url指向本地跑的一个模型，数据就根本不出内网。想换服务商，不用改代码，换个端点就行。

零遥测：仓库里找不到任何上报代码

"零遥测"不是口号，是可以逐行验证的事实。我在这个仓库里全文搜索telemetry、analytics、tracking、beacon等关键词，结果全是误报：

• 唯一叫telemetry的，是某个渲染测试夹具里的一个示例节点标签；
• 唯一的tracking，是 SVG 排版里的"字间距"参数。

真正的上报、埋点、数据收集代码，一个都没有。配合 PRIVACY.md 那句"跑在你机器或 CI 上，什么都不会上报给我们"，结论就闭环了：本地 CLI、GitHub Action、GitLab 组件、Bitbucket Pipe，这些"在你环境里跑"的部分，天生就没有往外发数据的通道。

令牌轮换：编辑链接泄漏后如何一键换锁

PR Lens 有一个"可交互画布"（canvas），它的编辑链接里带着一个"写入令牌"（write token）——谁持有它，谁就能覆盖你的画布。所以这个令牌的安全至关重要，PR Lens 给它配了一套"换锁"机制。

令牌本身就是高熵随机数。在 registry.ts 里，它由 16 字节随机数生成：

mintWriteToken()→randomBytes(16).toString("base64url")

轮换命令是"先存后用"。在 commands/canvas.ts 的rotate流程中，新令牌先被写进本地文件，再发出请求——源码注释解释得很清楚："先发请求后存的话，一旦回答丢失就什么都没了"。也就是说，哪怕中途断网，下次命令会接力把这次轮换"补完"，而不是把令牌弄丢。

这个操作还是幂等的（可安全重复）。write.ts 里的settleRotation处理了"同一对令牌重复请求"的场景：一旦新令牌已登记，服务端会回答"已轮换"，本地则把新令牌从pending（待定）状态转正为writeToken。

这套设计的实战意义：一旦某条编辑链接不小心泄漏（比如贴进了公开聊天记录），跑一次pr-lens canvas rotate，旧的链接立刻失效，只有你手里那份新令牌还能写入。

密钥文件的本地防护：权限、原子写与 git 隔离

密钥再重要，也得落在磁盘上。PR Lens 对本地密钥文件做了三层防护：

1. 最小权限。auth.ts 的注释写明：凭据文件是0600（仅属主可读写），所在目录是0700，且"每个来源一个文件"，让两台机器可以同时登录不同后端而互不串味。
2. 原子写入。io.ts 的writeSecretJsonFile先写到一个带 PID 的临时文件，再一次性rename覆盖——"被中断的写入，留下的要么是旧副本，要么什么都没有"，绝不会留一半新密钥在盘上。失败时还会主动清掉临时文件，"绝不让密钥以临时文件名躺在原地"。
3. 强制 git 隔离。这是最容易被忽视的一环。registry.ts 的assertRegistryPrivate会在写入前用 git 本身去核实：如果存放写入令牌的canvas.json被 git 追踪了，或者没被.gitignore忽略，命令会直接报CANVAS_REGISTRY_EXPOSED并拒绝执行——因为"提交进仓库的令牌，等于发给了所有能看到这个仓库的人"。

官方承诺：隐私政策与安全漏洞响应

本地部分"零上报"之外，托管部分（prlens.dev 和画布服务）则由站点上的隐私政策与条款约束，数据存放在欧盟，且"除了画页面之外不做任何处理"。关于画布数据到底存在哪、哪些公司在经手，packages/cli 也给了短答案："画布只对你分享过的人可见，永不被列出或索引，存放在欧盟直到你删除它。"

而如果你发现的是安全漏洞，SECURITY.md 给出了明确通道：通过邮件私发并标注 "PR Lens security"，不要开公开的 issue——因为"issue 是先被所有人读到、才被官方读到"。官方承诺会回复每一份报告，并在修复后告知。

一张表看懂 PR Lens 的隐私设计

一句话总结：PR Lens 把自己在数据处理链路上的角色压到了最小——密钥从你的环境变量出发、直连你指定的服务商；本地不收集任何遥测；而唯一有"危险"的写入令牌，则用轮换机制随时可以换锁。看懂了这三件事，你基本可以放心回答那个问题："我的代码，去了我自己指定的地方，没有别处。"

• Moonlight V+ 隐私与遥测机制全解析：从隐私通知到源码实现

  Moonlight V+ 隐私与遥测机制全解析：从隐私通知到源码实现 本文以 Moonlight V+ 英文隐私通知 https://link.gitcode.

  移动开发音视频

• DramaClaw CE 遥测机制全解析：默认零上报的隐私设计，与可选的 PydanticAI / OpenTelemetry 可观测追踪

  DramaClaw CE 遥测机制全解析：默认零上报的隐私设计，与可选的 PydanticAI / OpenTelemetry 可观测追踪 本文以 DramaC

• 如何在任意 Linux 发行版免安装跑起 LocalSend：AppImage 完整指南

  如何在任意 Linux 发行版免安装跑起 LocalSend：AppImage 完整指南 你有没有遇到过这种情况：同一台机器上软件跑得好好的，换台新机器就要重新

  即时通讯网络/通信