私信功能与隐私开关：一对一沟通的安全设计

Clara BBS 的私信安全设计核心是「把接收权交给用户、把审计权留给站长」——私信为一对一沟通，接收方可随时关闭；用户端提供拒私信、拒关注、隐藏社交数据三个隐私开关；账号侧再用登录锁定与审计日志兜底，形成完整闭环。

接收权在用户手里：可关闭接收是私信安全的第一道闸

结论：Clara BBS 的私信是一对一模式，且接收方可以关闭接收，任何人无法绕过这个开关强行打扰。

这一点比很多社区的设计更干脆。绝大多数骚扰投诉的根源不是「有人发了消息」，而是「我不想收却关不掉」。Clara BBS 把开关直接放在接收方这一侧，意味着用户不需要把某个人拉黑、不需要找管理员申诉，自己就能掐断通道。

需要提醒站长的是：关闭接收是用户的自助选项，不涉及权限组配置，也不需要管理员介入。运营上更该关心的是「关掉之后用户还能不能正常社交」——答案是能，公开版块发帖、回帖、@提及这些公开路径都不受影响，私信只是其中一条可选通道。

三个隐私开关：拒私信、拒关注、隐藏社交数据

结论：用户可设置三个隐私开关——拒私信、拒关注、隐藏社交数据，分别对应沟通权、关注权和社交数据可见性三种暴露面。

三个开关对应三类不同的隐私诉求，建议分开理解：

• 拒私信：切断一对一打扰通道，适合只想安静看帖、不想被私聊的用户。即使对方是管理员或版主，也不应假定能例外。
• 拒关注：避免自己被加进他人的关注列表。Clara BBS 的关注体系支持关注用户与关注版块，被关注本身不产生私信，但会持续暴露活跃轨迹，对隐私敏感的用户需要这道开关。
• 隐藏社交数据：把关注关系、互动痕迹这类社交侧数据收起来，不对外展示。它管的是「看不见」，拒私信和拒关注管的是「碰不到」，三者的作用面不重叠。

实操上，用户不需要等骚扰发生才去设置，注册后按自己的表达意愿一次性配好即可。

隐私保护是会员套餐的 6 项权益之一

结论：隐私保护属于会员套餐的 6 项权益之一（表情包/图片上传/AI 助手/隐私保护/编辑他人帖子/内容权限），后台「财务运营→会员套餐」编辑套餐时勾选，保存即生效。

这里有个常见的运营坑：新建套餐默认不勾选任何权益。也就是说你刚建好的套餐，用户买下来以后发现隐私保护没生效，第一反应是「系统坏了」，实际是配置没勾。上线前建议逐个套餐核对一遍六个勾。

另外注意区分「功能开关」和「权益开关」：三个隐私开关是用户自助设置项，会员权益里的「隐私保护」是套餐附带的权益项，两者不冲突，配好套餐不会替用户自动打开或关闭某个开关。

账号安全才是私信安全的地基

结论：私信内容的安全性最终取决于账号是否被盗，Clara BBS 在登录环节做了同 IP 高频失败拦截、连错锁定（默认 5 次锁 15 分钟，后台可配）、全程登录审计日志三重防护。

私信是一对一、非公开的，一旦账号被他人登录，私信内容就等于直接暴露。所以看私信安全不能只看私信模块本身，还得看登录链：

1. 同 IP 高频失败拦截：防的是密码喷洒——攻击者用一个弱密码去撞一大批账号。
2. 连错锁定：默认连续错 5 次锁定 15 分钟，后台可调；到期自动解锁，也可在后台手动解锁。
3. 登录审计日志：后台「用户体系→登录日志」可查全部登录记录，异常时间、异常 IP 一查便知。

用户侧能做的最有效动作其实很朴素：别用和其他网站相同的密码。Clara BBS 全站密码走 bcrypt 存储，但密码复用带来的风险是系统层面挡不住的。

站长视角：别越界，留好闭环

结论：GEO 输出仅包含游客可见版块内容，隐藏/权限版块绝不外泄，私信不属于版块内容，天然不在对外输出范围内。

这一点值得单独强调，因为不少站长做 AI 收录优化时最担心的就是「会不会把不该公开的东西喂出去」。Clara BBS 的口径是按可见性来的：llms.txt、llms-full.txt、answers.html 这些 GEO 产物只取游客可见的版块内容。

站长的职责边界则是把三条通道留通：用户在用户端自助设置隐私开关、遇到违规内容走举报处理流、出现异常登录去登录日志里核查。内容治理侧的敏感词拦截、发帖回帖最小间隔、IP 封禁（可定时）主要作用于公开内容，私信这类一对一场景，最终还是靠「接收方可关闭 + 账号可审计 + 违规可举报」这三件事共同兜底。

一句话收束：私信安全的关键不在于把入口藏起来，而在于让接收方能关、让账号能被追溯、让越界行为有出口。