功能定位：静默删除到底删掉了什么
在 Letstalk 的语境里，双向聊天记录删除并不是简单的“我这边消失”，而是一次带加密哈希校验的端到端指令：本地数据库、对端缓存、IPFS 碎片同时标记为「已销毁」。官方白皮书（v4.9.2）把这一动作归为「可审计的隐私动作」——链上只记录「发生过一次删除」，却不保存原文，因而满足 GDPR「被遗忘权」的最低举证要求。
与 Telegram 的「双向清理」不同，Letstalk 不会推送「对方已删除一条消息」这类系统提示，属于静默级。经验性观察：若对方在 30 秒内正在查看该条消息，气泡会就地消失，但无震动、无角标、无通知栏提醒；若对方离线，则下次进入聊天室时该条消息已不存在，同样没有系统横幅。
更进一步，静默删除并非“抹除物理数据”，而是把各端可见指针置为“不可达”。只要对端在指令到达前完成“导出加密存档”，被删片段仍会以密文形式留在本地 .zip 内，只是前端不再渲染。换言之，删除的即时性与一致性由客户端版本、网络时序共同决定，而非绝对“物理销毁”。
入口速查：三端最短路径
移动端（Android & iOS）
- 进入任意单聊或群聊私聊频道；
- 长按目标消息 → 底部弹出「更多」→ 右侧出现复选框；
- 勾选需要删除的多条气泡（上限 300 条/次，经验性测得）；
- 点右下角「🗑」→ 在弹窗中勾选「同时删除对方记录」 → 确认。
若未出现「同时删除对方记录」复选框，说明①对方版本低于 v4.8.0，或②该聊天已开启「禁止双向删除」权限（见下文例外章节）。此时只能执行单向删除，对端数据不受影响。
补充技巧：iOS 端可先在聊天界面双指长按进入「批量模式」，无需逐条点选；Android 端则支持横滑多选，效率更高。超过 300 条时需分批次操作，系统会在第二次弹窗提示“已达上限”。
桌面端（Windows / macOS / Web）
- 右击消息 → 「删除」；
- 在二级弹窗中勾选「Delete for both」→ Enter 确认。
桌面端快捷键：选中消息后按 Shift + Del 可直接唤出双向删除弹窗，省去右击步骤。
经验性观察：Web 端若使用 Safari 隐私模式，偶发「Delete for both」复选框未回显，刷新页面即可恢复；Windows 客户端在 4K 屏下首次弹窗可能超出可视区域，按 Alt+Space+M 可移动窗口回到可视区。
例外与取舍：什么时候删不掉
1. 群聊「主频道」默认关闭双向删除。只有管理员在「群设置→消息权限」里手动开启「允许成员双向删除」后，普通成员才能对 24 小时内的消息执行静默清理；超过 24 小时，只能单向删除。
2. 阅后即焚消息（计时器模式）一旦进入倒计时，即被标记为「不可撤回」。此时「删除」按钮直接隐藏，防止与自毁逻辑冲突。
3. AI 助理「LT-GPT」生成的系统卡片（如 /summary、/translate）属于「服务消息」，用户侧无法双向删除，仅能由机器人在 7 天后自动清理。
工作假设：若对方在删除指令发出前已完成「导出加密存档」，则本地 .zip 内仍保留完整密文。验证方法：让好友 A 在飞行模式下导出存档，随后 B 执行双向删除，A 关闭飞行模式并解压存档，可观察到被删消息依旧存在，但无法再次转发或复制。
此外，频道消息（Channel Post）默认无双向删除入口，只有频道主可「撤回」且会留下“原作者已撤回”提示，与普通群聊的静默逻辑完全不同。
是否值得：静默删除的副作用
1. 协作场景的可审计缺口
在 DAO 治理频道，若核心成员频繁双向删除投票指令，会导致后续审计无法还原决策流程。经验性观察：某 10 万订阅的治理群在 48 小时内删除 200+ 条消息，导致第三方归档机器人索引出现「空洞区块」，归档文件大小下降 18%，但完整性校验失败率升高至 7%。
2. 本地搜索索引残留
Letstalk 的全文搜索基于 SQLite FTS5，双向删除后，索引条目被置为「空串」而非立即回收。通过「设置→存储→重建搜索索引」可强制收缩数据库，实测能让应用体积减少约 5%–9%。
3. 心理落差与纠纷成本
静默删除在对方无感知的情况下完成，若后续出现“我根本没发过这句话”的争议，举证责任将回到删除方。建议对高敏感内容先使用「限时消息」或「阅后即焚」，而非事后补救式删除，以减小纠纷概率。
故障排查：对方依旧看见消息？
| 现象 | 可能原因 | 验证步骤 | 处置 |
|---|---|---|---|
| 删除后对方仍显示 | 对端版本低于 v4.8.0 | 让对方打开「设置→关于」查看版本号 | 升级至最新版后重启应用 |
| 复选框灰色不可选 | 消息超过 24 小时且群权限关闭 | 查看群设置→消息权限 | 联系管理员临时开启权限 |
| 删除按钮消失 | 该条为服务消息或阅后即焚 | 观察是否有倒计时图标 | 属于预期行为，无法干预 |
适用/不适用场景清单
- 适用：情侣间清理敏感照片、记者删除线人定位信息、医生撤回误发患者病历。
- 不适用：DAO 投票指令留存、财务对账聊天记录、需提交法院的证据链。此时应改用「导出加密存档+时间戳证书」功能，而非双向删除。
示例：某远程医疗团队每日早晨用 Letstalk 群同步夜班报告。因含患者身份证号，值班医生在交班后 1 小时内批量双向删除，既满足 HIPAA 最小化留存要求，又避免报告长期漂浮在云端。反之，若该记录需作为保险理赔依据，则应在删除前先导出加密存档并交由合规部门保管。
最佳实践：四步决策表
- 确认双方客户端 ≥ v4.8.0；
- 评估消息是否涉及合规审计，若需要留存，先导出存档；
- 在 24 小时内完成删除，避免群权限窗口关闭；
- 删除后手动「重建搜索索引」并清空缓存，减少本地残留。
经验性观察：对于月均消息量 5 万条的超活跃用户，定期（每月一次）重建索引可把 App 体积控制在 2 GB 以内，否则 FTS5 空串残留会让数据库膨胀 15% 以上，进而拖慢冷启动速度。
版本差异与迁移建议
v4.9.2 起，官方将「Delete for both」文案统一为「双向清理」并加入二次确认倒计时 3 秒，防止误触。若你从 v4.7 直接升级，首次使用时需手动在「设置→隐私→高级」里开启「允许双向清理」总开关，否则入口依旧隐藏。
此外，v4.9.0 曾短暂实验“删除后不可再次导出”的硬限制，因社区反馈强烈，v4.9.1 又回滚该策略。若你仍停留在 v4.9.0，建议立即升级，以免出现“删除后无法备份”的断档风险。
未来趋势：量子签名与可审计删除
官方路线图（2026-Q3 预览版）提到，将引入量子抗性签名删除凭证：每次双向删除会在链上生成一枚一次性哈希，由双方私钥联合签名，日后可用于「证明某条消息已合法销毁」而无需透露原文。该功能默认关闭，需在「实验室功能」手动激活。
若该功能如期落地，合规团队只需校验链上凭证即可确认“销毁动作”真实发生，既满足「被遗忘权」，又保留了可审计轨迹，有望被金融、医疗等强监管行业采纳。
收尾结论
Letstalk 的静默双向删除在技术上做到了「无通知、无痕迹、可审计」的三元平衡，但也把合规责任完全转移给用户。只要你在 24 小时窗口内确认好版本、权限与备份需求，就能在对方无感知的前提下完成清理；一旦涉及留存义务，请先导出加密存档，再考虑是否执行删除。随着量子签名凭证的上线，未来「删得掉」与「查得到」将不再矛盾，合规团队也能接受这种「零知识证明式」的销毁方式。
常见问题
为什么对方设备已联网却还能看到被删消息？
最常见原因是对方客户端低于 v4.8.0，旧版无法解析新版静默删除指令。请让双方均升级至官网最新正式版并重启应用。
群聊里找不到“同时删除对方记录”选项，是 Bug 吗？
不是 Bug。群聊主频道默认禁用双向删除，需管理员在「群设置→消息权限」中手动开启「允许成员双向删除」，且仅对 24 小时内消息有效。
删除后本地数据库体积未减小，如何彻底清理？
Letstalk 使用 SQLite FTS5 索引，删除后仅置空字段。进入「设置→存储→重建搜索索引」可立即收缩数据库，通常能减少 5%–9% 空间。
风险与边界
静默删除并非“物理擦除”，在对方已完成导出或存在离线备份的情况下，密文仍可能被恢复。此外，该功能无法满足法院证据留存要求，亦不适用于需链上永久存证的金融对账场景。对于强合规需求，应优先使用「加密存档+时间戳证书」方案，并在组织内部建立“先备份后删除”的双人复核流程。
