功能定位：为什么需要“单聊消息自动销毁”
在 Letstalk IM 里，单聊消息自动销毁（官方菜单称“阅后即焚”）是 LT-Secure 2.4 协议的前向保密延伸：消息在对方读取后，按倒计时在两端同时物理擦除，服务器仅存加密占位符。它解决的是“设备一旦丢失或被取证，历史明文不被拖库”的合规痛点，而非“阻止对方截屏”——后者由 6.4 新增的截屏检测+水印叠加负责，两者互补但不可混用。
经验性观察：2025Q4 Kudelski 审计报告提到，约 37% 的企业客户开启单聊销毁后，将本地备份周期从 30 天缩短到 7 天，直接减少 GDPR 第 32 条下的“不必要数据留存”罚款风险。可见该功能的核心价值在“缩短数据生命周期”，而非“隐藏聊天”。
进一步看，销毁计时一旦启动，消息实体在 SQLite 层被DELETE ... AND VACUUM级联清理，对应附件同步走LTFileManager::shred()覆写三次，确保即便拿到物理镜像也极难恢复。这也是它与“普通撤回”最大区别：撤回仅逻辑隐藏，销毁是物理抹除。
版本与权限前提
最低要求：Letstalk v6.2.0（2025-08）以上；v6.4.1 起支持“销毁前可编辑一次”的例外策略。若对方客户端低于 v6.2，系统会灰显选项并提示“无法保证远端销毁”，此时仍强制设置，对方只能收到“此消息将在读取后销毁”的占位符，但本地留存不受控——这是已知兼容缺口。
权限侧：单聊销毁属于“会话级策略”，只要双方互发消息即可各自发起，无需频道管理员身份；但企业租户可在控制台统一锁定区间（最短 30 秒、最长 7 天），个人用户无法逾越。经验性观察：若企业把区间锁在 5 分钟以内，员工投诉率上升 18%，主要因为“来不及导出文件”；若锁在 24 小时以上，则失去快速销毁意义，因此多数组织选择 1 小时作为折中。
三步设置：Android / iOS / 桌面端最短路径
Android（以 v6.4.1 为例）
- 打开目标单聊 → 点击顶部用户名 → 进入“隐私与销毁”。
- 在“阅后即焚”区块，向右拨动开关，选择 3 秒到 7 天之间的任意值；企业账号若被锁定，只能看到管理员允许的区间。
- 点击“应用于历史消息”可勾选是否追溯 24 小时内的已读消息（默认关闭）。确认后返回，系统会在聊天底部出现灰色提示条：“销毁计时已启用，时长：X”。
示例：若选择 30 秒并勾选“应用于历史消息”，则对方重新进入聊天时，所有已读文本会在 30 秒后同步消失，图片与文件亦同。注意：追溯仅对“已读”有效，未读消息不受计时影响。
iOS（iPhone 16, iOS 18）
- 单聊内点右上角“⋯” → “会话设置” → “隐私”。
- 后续步骤与 Android 一致；区别是 iOS 18 的“定时摘要”后台策略可能导致销毁通知延迟约 5–15 秒，属系统级限制，非 Letstalk 可控。
补充：若开启“专注模式”，销毁通知可能被归入“稍后推送”，对方实际已读时间以客户端收到readReceipt为准，而非系统弹窗时间。
桌面端（Windows / macOS）
- 右侧边栏点击“ⓘ”图标 → “Privacy & Disappearing”。
- 时间粒度与移动端同步，但桌面端额外提供“分屏白板内容是否同步销毁”的复选框；若关闭，则白板文件仍保留在加密云盘，直到外链过期。
经验性观察：桌面端用户更倾向关闭“白板同步销毁”，因为会议后常需回看草图；但此举会让白板缩略图在服务器留存 30 天，需与合规团队提前确认。
回退与临时关闭
任何一方均可随时把时长滑到“关闭”，即时生效；已处于倒计时中的消息不会暂停，但新消息不再附加销毁策略。若需紧急暂停全部计时，可在同一菜单点“暂停销毁 30 分钟”，用于临时投屏演示；30 分钟后自动恢复原策略，此按钮每 24 小时只能使用一次。
注意：暂停期间所有新消息仍带“待销毁”标记，只是计时器被冻结，投屏结束建议手动关闭销毁而非依赖自动恢复，以免遗忘。
例外与取舍：哪些场景不该用？
1. 需要审计留痕的金融群组
MiFID II 要求交易建议需保存 5 年。若对客户经理使用单聊销毁，即使客户已读，亦无法满足监管留档。解决方法是：在企业控制台把该单聊加入“白名单会话”，强制销毁=关闭，且不允许用户自行开启。
2. 大型线上教育课后答疑
讲师常于课后把单聊记录导出成 PDF 发学员复习。若提前开启销毁，导出功能会提示“部分消息已销毁，无法生成完整文件”。经验性观察：在 1000+ 人的付费课程里，约 12% 的退款请求与“找不到复习资料”相关。建议：课程结束 24 小时后再开启销毁，既给学员缓冲，也降低数据泄露面。
3. 与外部 Bot 的指令交互
第三方归档机器人（示例：通用 webhook 转发器）依赖消息事件 payload 做备份。若开启销毁，机器人会在“已读”瞬间收到DELETE_MESSAGE事件，导致备份断档。缓解方案：在 Bot 权限里勾选“忽略销毁策略”，但需确认该 Bot 已通过 Letstalk 2025 年度审计，否则有额外合规风险。
性能与观测：如何验证销毁已生效？
Letstalk 不提供“销毁回执”界面，但可通过本地数据库哈希比对做可复现验证：
- Android：开启开发者模式 → 使用
adb shell进入/data/data/im.letstalk/databases/，记录messages.db的 SHA-256；让对方读消息，10 秒后重新计算，若哈希变化且条目数减 1，则销毁成功。 - iOS：由于沙箱限制，需借助 macOS Console 实时日志过滤
LTDBPurge关键字，出现msgId=xxx, purged=1即表示本地擦除完成。 - 桌面端：Settings → Advanced → “导出调试日志”，检索
DELETE_LOCAL_OK字段即可。
提示：以上操作仅验证本地端，无法证明对方已销毁；若需双方同步证据，应改用“限时撤回”+服务器审计日志，而非依赖阅后即焚。
常见故障排查表
| 现象 | 可能原因 | 验证步骤 | 处置 |
|---|---|---|---|
| 销毁开关灰显 | 对方版本低于 v6.2 | 长按消息 → 消息信息，查看协议版本号 | 提示对方升级；企业可推送 MDM 强制更新 |
| 计时未启动 | ��方使用桌面端“暂停销毁” | 在会话顶部查看橙色“⏸”图标 | 等待 30 分钟自动恢复，或协商手动关闭 |
| 销毁后仍占空间 | 数据库未立即 VACUUM | 观察messages.db-wal大小是否下降 |
重启客户端触发 VACUUM；或手动在设置 → 存储 →“立即压缩” |
与 AI 即时摘要的冲突处理
6.4.1 新增的“AI 即时摘要”默认在本地边缘计算，但若开启单聊销毁，摘要生成器会在消息销毁后丢失原文，导致后续无法“回溯摘要”。官方逻辑是：摘要先于销毁，即系统在读后 3 秒先生成 30 秒要点，再进入销毁倒计时。若你担心“AI 残留”造成二次存储，可在“设置 → 隐私 → AI 功能”里关闭摘要，销毁流程不受影响。
最佳实践决策清单
- 合规先行：先确认行业数据留存法规，再决定是否开启；若不确定，优先用“限时撤回”替代。
- 双方确认：开启前在聊天内发送
/disclaimer（示例文本：本对话含销毁策略，已读 10 秒后自动删除，如需留档请提前导出）。 - 渐进式时长：首次使用选 1 小时，观察 3 天无业务影响后再缩至 10 分钟；避免一次性跳到 3 秒导致资料断档。
- 导出窗口：重要文件先转存至加密云盘并设置独立外链密码，再开启销毁，实现“双通道”备份。
- 定期复核：企业租户每季度跑一次审计脚本，检查白名单会话是否被员工擅自关闭销毁策略。
未来版本展望
官方路线图显示，v6.5（预计 2026-05）将引入“分段销毁”：文本、图片、文件可分别设置不同时长，并支持“读后二次确认”——对方需点击“已读并同意销毁”按钮才启动计时。该功能已出现在 TestFlight 6.5.0 (21054) 中，经验性观察对采访、律师-客户场景更友好，但也可能带来新的 UX 摩擦。
收尾结论
Letstalk 的单聊消息自动销毁不是简单的“定时删除”，而是端到端加密、本地物理擦除与服务器零明文三者叠加的合规工具。正确姿势是：先确认法规留档要求，再按平台最短路径设置，必要时与 AI 摘要、外链云盘做策略分层；定期用哈希或日志验证销毁有效性，遇到灰显、空间未释放等问题按表排查。只要遵循“合规先行、双方知情、例外白名单”三条主线，就能在隐私与审计之间取得可复现的平衡。
常见问题
对方离线时，销毁计时是否会暂停？
不会。计时以“对方客户端产生已读回执”为起点，若对方一直离线，消息始终处于“未读”状态，倒计时不会启动；一旦上线并读取，即按设定时长销毁。
销毁后还能通过取证工具恢复吗？
本地采用 SQLite VACUUM + 文件覆写三次，普通取证软件难以恢复；但若设备已 root 或被冷启动镜像，理论上仍存在碎片残留风险，敏感场景请搭配全盘加密。
企业控制台能否强制开启销毁？
目前仅支持“锁定区间”与“强制关闭”，尚未提供“强制开启”选项；若需全员默认销毁，可通过 MDM 推送预设配置文件，把默认时长设为 1 小时，用户仍可手动关闭。