宣言

人类是一场持续不断的接力。

我们不停地失败，不停地探索，不停地传承，不停地发现，不停地研究。每一代普通人——不只是名留青史的少数——的情感、工作、思考和研究，都可能在某个未知的未来，被某个未知的人读到，并因此前行一小步。

这个项目存在的理由就是：让记录这件事变得简单，让记录留存变得近乎永恒。

我们承诺什么

1. 开放格式优先。 文字是 Markdown，媒体是 JPEG/PNG/WebP/MP3/MP4/Opus。没有私有 blob。50 年后任何人都能用一个简单的工具读到。

2. URL 永远稳定。 /@your-handle/e/<entryId> 永不重用。你的 handle 一旦发布，即使账户消失也不会回收给别人。

3. 内容寻址的媒体。 所有媒体存储键 = media/sha256/<hash>。从 Cloudflare 迁到 Arweave 不需要重写任何一条记录。

4. 不可变的修订历史。 你每编辑一次条目，旧版本不会被覆盖——它们以独立的 entry_revisions 行存在，每条都有自己的 body_hash。

5. 导出是一等公民。 你随时可以在 /settings/export 下载完整副本——JSON + 媒体字节 + 整套修订史。文件中每个 bodyHash 都等于 sha256(bodyMd)，每个媒体文件名都等于其 sha256。任何人都能离线校验完整性。

6. AGPL-3.0 从第一行代码起。 任何在此基础上运营服务的公司，都必须同样开源——这是一个永远的公共财，不会被任何一家公司买断后关停。

7. 审计日志只追加。 可见性变更、身故声明、归档动作——都留下记录。

8. 以"传承"而非"朋友"为连接。 我们不复刻横向的社交图。你显式授权某人为你的"后代"，他便能读你所有非"私密"的内容；他再授权他自己的后代，这条链可以无限延伸。你不在了，链依然有效。"后代"不一定是血缘——可以是你的学生、你的思想继承者、任何你想把记录托付的人。

我们不承诺什么

我们不撒谎。

"私密"现在可以端到端加密。 你可以为"私密"条目开启端到端加密：内容在你的浏览器里加密后才上传，服务器只存密文，连运营者也读不到。但这必然只适用于"私密"条目——后代可见、公开、身后公开的内容必须服务器可读（否则后代和后人无法读到），所以那几类不加密。另外，口令一旦遗失，加密的条目将无法恢复。如果你写的是绝对不能被任何第三方看到的内容，最稳妥的选择仍然是：不要写在任何在线服务里——包括我们。

身故联系人是单点信任。 你指定的法定联系人理论上可以恶意发起身故声明。我们设计了 30 天冷却期 + 你登录即可取消作为防线，但这只在你还能登录时有效。未来版本会做 M-of-N 门限：需要多位联系人共同确认。

"永久归档"会写入 IPFS。 当运营者配置了 pin 服务（Pinata），点击它会把内容 pin 到公开的 IPFS 网络、拿到一个可验证的内容地址——即使这个运营者消失，记录也还在。公开条目以明文归档；后代可见与身后条目以密文归档（传承包），只有你传承链上的人能解读。若未配置 pin 服务，按钮则记一笔 pending 收据。将来接 Arweave/Filecoin 是同一接口后的直接替换。

项目可能死掉。 一个未来 50 年的项目当然可能死。但因为我们做了上面那些事——开放格式、AGPL、可导出、内容寻址——你的记录不会和项目一起死。任何接手的人，或者你自己，都能用任何标准工具读到。

给 2050 年读到这段文字的人

你大概是某个我们从未见过的人，循着某个我们从未设想的路径来到这里。

如果这个项目还活着，欢迎继续写下去。如果这个项目已经死了、你只是在某个数字档案库里捡到了我们的导出文件——请知道：这正是我们设计的初衷。文件本身就是一份完整的人生痕迹，不需要任何活着的服务来解释它。

我们不指望永生。我们只指望留下一束光，让你这一代的某个人，可能因此往前走一步。

谢谢你读到这里。

这份宣言会被认真地不断修订。如果你在审视某个具体的承诺是否还成立——去看代码（docs/ETERNITY-PRINCIPLES.md）和导出格式规范（docs/EXPORT-FORMAT.md）。代码和规范才是真正的承诺，文字只是它们的人话翻译。