路线图与验收标准

路线图将实现与运行验收分开。实际部署地址、机器权限和验证结果记录在部署记录中；以下清单不是对任意机器已完成部署的承诺。

v0.1：单设备公开状态

Goal	验收标准
原生 Mac 采集	无 Node/Python/jq 运行依赖；电池、负载、前台应用、GUI 应用列表、Music 状态分别支持降级
隐私过滤	敏感前台应用显示 System；列表过滤；不上传窗口标题、路径、进程参数或硬件标识
安全接收	缺少/错误 Bearer 被拒绝；非法 JSON、字段和超限请求被拒绝
过期状态	服务端设置可配置 KV TTL（eco 180 秒／realtime 60 秒）；读接口独立检查服务端时间；过期返回 offline
原生调度	用户级 LaunchAgent 可安装、更新、查看和卸载；后台运行不需要第三方进程管理器
公开接口	/api/now 可跨域读取；/api/badge.svg 可嵌入 README；/api/health 可用于服务探测
可复现部署	Wrangler 配置、锁文件、测试和部署文档完整；密钥不入 Git
实机验收	现场确认上传、读取、后台周期运行及暂停后的离线；Music 权限单独确认

滑动窗口验收

Goal	验收标准
高频观察、低频写入	原生通知与 Music 2 秒兜底、硬件 30 秒；应用／Music 已观测变化立即入内存，硬件按阈值合并；一次 300 秒上传有界窗口，一包一次 KV 写
有界恢复	900 秒基线与事件窗口、2048 事件／128 缺口／512 KiB；睡眠、重启、时钟及溢出明确处理；不无限补传
顺序播放与展示	首页每 60 秒读窗口、正常延时 420 秒；原回放保持顺序，首页普通变化按 2 秒合并，隐私／断档立即清除；旧窗口不回退
本机写入节奏	普通检查点 10 秒合并、无变化覆盖心跳 30 秒，安全边界立即保存；明确意外崩溃的未保存事件风险
隐私和期限	入队前过滤；配置变更清队列、换会话；本机 600 权限缓存，云端 window_end 加 600 秒绝对过期
兼容升级	新 Worker 兼容 v1；新安装默认 buffered，旧安装显式迁移；分类接口标识 delayed 切片

实际验证必须覆盖原生后台采集、两个真实上传周期和网页回放，不能只用合成单元测试认定现场完成。

后续候选

• 自选的私有读接口和独立只读凭据，保持公开模式简单。
• 应用名称允许名单，帮助部署者进一步缩小公开范围。
• 自动化权限的原生可签名辅助程序：仅在原生脚本授权体验无法满足需求时评估，并说明新增安装成本。
• Durable Objects 等存储适配器：评估强一致与更新频率，重新核算成本，保留 KV 的轻量方案。
• 多设备隔离和令牌轮换窗口；引入协议变更前先定义设备身份的隐私边界。
• macOS 更多版本和 Intel/Apple Silicon 的兼容性验证。

版本与兼容性

采用 MAJOR.MINOR.PATCH 发布版本。补丁版本修复实现；次版本增加可选字段或功能；删除字段、改变现有含义或鉴权方式需要显式迁移说明。schema_version 标识数据协议，不等于应用版本。v0.x 期间协议仍可能调整，消费端应忽略未知字段，并对 null 与 offline 做降级处理。

不计划增加远程 shell、屏幕截图、键盘记录、浏览历史或长期保留的活动历史；当前 buffered 仅保留有界短期窗口。