同步与存储

Noust 优先保障数据主权。您的笔记属于您自己，并且由您决定它们的去向。

导出与导入

以标准格式带走您的数据。

• 导出：生成一个统一二进制 .noust 数据包，其中包含所有笔记、域、设置和环境变量。该格式经过高度优化，采用 Gzip 压缩 JSON 元数据，并直接嵌入二进制资源（如图片），消除了 Base64 开销。我们建议在导出过程中设置自定义密码进行加密（AES-256-GCM），以确保最高安全性。
• 导入：直接从 .noust 数据包，或从传统的 .npad 与 .json 文件恢复您的工作区。
• 注意：导入操作将覆盖您当前活跃的会话。

自动本地同步 (File System Access API)

除了手动导出外，Noust 还支持利用浏览器原生的 File System Access API 将工作区自动镜像保存至本地磁盘。

• 统一二进制 .noust 格式：在无需自定义密码进行同步或导出时，Noust 会将工作区保存为未加密的统一二进制包（扩展名为 .noust，魔数 NOUS，采用 Gzip 压缩结构化元数据，并直接嵌入二进制资源）。每个关联的文件夹中严格只保留一个 .noust 文件。任何脚本、外部备份工具或本地 AI 智能体均可直接读取解析。
• 后台自动导出：IndexedDB 仍是保证界面秒级响应的主数据库。当您编辑或创建笔记时，Noust 会在您停止输入 5 秒后（防抖机制）自动调度向关联文件夹的轻量级写入，确保电脑上的文件始终保持最新。
• 媒体与嵌入资源：笔记中的粘贴图片和媒体附件会完整保留在 .noust 文件中。
• 浏览器兼容性：
  • Google Chrome 与 Microsoft Edge：在安全上下文（localhost 或 https://）下默认原生支持。
  • Brave 浏览器：支持该功能，但由于其默认的隐私保护策略，需要手动在 brave://flags/#file-system-access-api 中启用该选项。
  • Firefox 与 Safari：目前暂不支持该 API。在这些浏览器中，传统的手动导出功能仍可正常使用。
• 如何关联本地文件夹：从侧边栏打开工作区列表，点击任意工作区卡片上的导出图标，然后在*自动本地同步 (Chromium)区域点击*“关联文件夹”**。关联后，您还可以通过 Model Context Protocol (MCP) 连接外部 AI 助手。

存储架构

Noust 采用分层的高性能方式来进行本地持久化存储，以确保最大的可靠性和数据主权。

1. 主引擎 (IndexedDB)：我们的核心本地数据库。工作区存储在相互隔离的分区中 (workspace_{id})，支持大型数据集与二进制大对象 (blobs)，同时支持本地加密 (静态加密 - At-Rest)。
2. 原生后台持续自动保存 (Auto-Save)：数据持久化在后台全自动且实时运行。笔记、画布布局、Nexus 文档以及设置的所有更改都会异步写入 IndexedDB，不会阻塞主 UI 线程。
3. 备用存储 (LocalStorage)：仅在浏览器阻止访问 IndexedDB 时作为容灾备用。注意：由于存储容量限制，备用模式下不支持本地静态加密。
4. 个人自动化隔离存储 (Noust_Automations_Personal)：定时自动化任务与计划提示词的配置及执行记录保存在独立的 IndexedDB 分区中。它们严格绑定至您的本地设备与浏览器会话：绝不同步至云端（即便在与其他协作者共享的工作区中），也绝不包含在 .noust 导出数据包中，全面保障您的个人日常计划与隐私。

多工作区分区与跨标签页同步 (Event Storage)

• 工作区隔离：每个工作区维护其独立的存储分区。切换或删除工作区时，会干净地加载或清理其关联的画布节点、位置快照以及云端工作区元数据，绝不影响其他工作区。
• 跨标签页同步开关：您可以在 设置 > 行为 中自定义同步行为：
  • 已启用（默认）：在一个标签页中所做的修改与切换工作区操作，会通过 Event Storage / BroadcastChannel 实时同步到所有打开的标签页。
  • 已禁用：将每个浏览器标签页转换为独立的会话实例，允许您在不同标签页中同时打开并处理不同的工作区而互不干扰，同时后台自动保存依然会确保所有工作区数据安全写入本地。

云同步

我们的云同步建立在零知识 (Zero-Knowledge) 架构之上。我们提供存储空间，但无法访问工作区的明文内容。

工作原理

1. 二进制打包：您的工作区数据和资源被打包进一个 .noust 二进制信封（魔数 NOUS）中，以最小化数据占用并消除 Base64 带来的额外开销。
2. 本地加密：数据在您的浏览器中直接使用 AES-256-GCM 进行加密。
3. 加密 Blob：工作区内容会作为加密的“blob”发送。同步所需的运行元数据会单独发送。
4. 密钥留存：您的密码和可选的 salt 盐值绝不会以明文形式离开设备。对于共享工作区，它们只会在为获授权协作者密封的 E2EE Envelope 中传输和存储。
5. 解除同步：协作者或所有者可以随时解除共享工作区的同步。这将断开云端链接，同时在您的本地工作区中保留一份完整的私有可编辑副本。

云端工作区操作

• Sync （原为 "Save"）：将本地工作区的更改发送并同步到云端。如果是首次创建新工作区，此操作显示为 Send（或 Sync）。
• Load：从云端列表中打开并加载工作区到当前活跃会话。如果您配置并授权了本地保险库（Vault），Noust 会在加载时自动尝试使用 Vault 密码解密云端工作区。如果密码匹配，则会立即解密；若不匹配，Noust 将平滑显示密码输入界面，无需弹出任何错误提示。
• Sync （原为 "Auto-Sync"）：切换当前活跃工作区的后台自动同步状态。

更新检测与视觉指示器

Noust 会持续验证您的工作区在多台设备间的新鲜度。检测既可以通过手动方式（点击工作区列表中的 Refresh 或打开云同步面板）触发，也会自动运行（例如：重新连接网络、系统从休眠中恢复或长时间静止后重返使用）。

当在云端检测到更新版本的工作区时，Noust 会在 3 个不同的 UI 位置向您发出提醒：

1. 全局顶部图标：主应用工具栏中的 Sync 图标将显示更新通知标记。
2. 工作区列表标记：我的云端工作区 或 与我共享 中的工作区项旁会出现一个空心指示点。
3. 云表单提示：活跃的云端工作区管理面板内将出现一个 "Updates Available" 操作按钮。

智能 3-Way 行级合并与冲突保护

当从其他设备拉取更新时，Noust 会对笔记、域、目标和拓扑元数据执行自动化的 3-Way 行级合并 (3-Way Line Merge)：

• 冲突预防：为防止意外覆盖在其他设备上做出的更改，只要检测到远端更新或未解决的冲突，Noust 会阻止手动的 Sync 操作。您必须先拉取并解决最新的远端更改，才能推送本地更新。
• 细粒度冲突解决：如果修改在同一行发生碰撞，Noust 会打开一个交互式冲突解决弹窗，允许您逐行选择要保留的版本（本地 vs 云端）。

Auto-Update（付费订阅套餐）

付费订阅套餐用户可使用 Auto-Update 功能，该功能无需打断工作流即可自动完成后台同步：

• 自动化拉取与合并：当检测到远端更新且不存在结构性冲突时，Noust 会在后台自动下载并合并远端版本。
• 安全与密码验证：只要开启了 Sync，且您的本地会话已使用与传入云端工作区相同的安全密码解密，Auto-Update 即可无缝运行。
• 打字静止安全机制：为了防止在您编写内容时发生打字碰撞或光标跳动，Auto-Update 会在应用后台合并前等待一段短暂的编辑器打字静止期。
• 冲突阻断安全降级：如果在自动更新过程中发生无法解决的结构性合并冲突，Noust 会安全地暂停自动合并以保护您的数据，在工作区上标记更新提示，并引导您手动解决冲突。

视觉提示

全局标题栏中会出现云图标，表示当前活动工作区已同步到云端。

• 当云图标被填充时，表示当前工作区已激活自动更新 (Auto-Update)。
• Auto-Sync 视觉反馈：当本地更改同步发送到云端时，图标会轻微脉动并在完成时发出柔和闪光。
• Auto-Update 视觉反馈：当在后台拉取远端更新时，图标内会显示向下箭头 (↓) 及柔和霓虹光晕。

云端版本历史与保留

付费订阅方案包含自动云端版本历史功能，提供时间旅行恢复能力，防止误编辑或意外覆盖：

• 基于时间的保留机制：不再设置任意的备份数量上限，而是根据您的订阅方案提供按时间跨度保留的历史版本：
  • Pro：30 天版本历史保留。
  • Advanced：365 天（1 年）版本历史保留。
  • Business：每位组织成员享有 365 天（1 年）版本历史保留。
• 不占用存储配额：云端版本历史完全不消耗您的云存储配额（例如 5 GB 或 15 GB 额度）。存储配额仅根据您当前处于活跃状态的云工作区计算，使您能够在保留期内完整留存版本历史，而无需担心空间不足。
• 零知识版本加密：每个版本在上传前均在浏览器本地使用工作区的 AES-256-GCM 密钥加密。服务器无法检视或解密版本内容。
• 按时间点恢复：在 Menu Shell 的“历史记录”（History）选项卡中按精确时间戳查看历史版本，一键即可将工作区回滚至指定版本。

解密要求

要从其他设备恢复您的数据，您必须提供：

• 您的加密密码。
• 您的自定义 salt 盐值（如果已使用）。

加载时的保险库（Vault）集成

如果您已配置本地保险库且当前处于解锁状态，Noust 会在加载时自动尝试使用您当前的保险库密码解密接收到的云端工作区。如果保险库密码与工作区密钥匹配，则立即解密，无需重复确认。若密码不一致，Noust 会平滑切换至密码解密界面，以便您手动输入特定工作区的密码，绝不会弹出任何错误弹窗。

重要提示

Noust 绝不会以明文形式存储您的密码或 salt 盐值，也无法为您恢复或重置它们。请保留安全副本。对于共享工作区，E2EE Envelope 可能使已获授权的协作者继续访问，但它们并不是服务器端的恢复机制。

协作与共享工作区

Noust 允许您与其它用户共享特定的云端工作区。

• 选择性共享：仅共享您选择的工作区。
• 发现保护（基于用户名）：共享功能被限制为仅能使用精确的用户名进行，防止第三方在 Noust 上枚举您的存在。
• 协作者角色：每个协作者可以分配以下两种角色之一：
  • 读者 (Reader)：可以在只读模式下同步和读取共享工作区。
  • 编辑者 (Editor)：可以同步工作区并提交本地更改以供所有者审查。
• 管理角色和撤销访问：作为工作区所有者，您可以随时更改协作者的角色（读者/编辑者）或完全撤销访问权限。

协作者更新与所有者审查

当 编辑者 协作者提交更改时，工作区所有者会在“协作者”面板中收到待处理的更新通知。

• 待处理更新面板：所有者可以查看有多少更新待处理、谁提交的、大小以及时间戳。
• 临时审查：点击 审查 会将协作者的更改加载到工作区中进行视觉检查。所有者在做出决定之前可以直接在编辑器中查看合并后的结果。
• 接受或放弃：审查后，所有者可以：
  • 全部接受：应用并保存合并后的更改到云端工作区。
  • 全部放弃：立即将工作区恢复到原始状态，不应用任何更改，不会丢失任何本地数据。
• 不审查直接删除：所有者还可以直接在面板中删除待处理的更新，而无需打开它。

冲突处理

如果所有者和协作者编辑了相同的笔记或行，Noust 会自动尝试 3-way line merge。当冲突无法自动解决时，会在文本中显示冲突标记，以便所有者在接受或放弃之前做出明智的决定。

端到端加密共享 (Zero-Knowledge Sharing)

共享工作区保持与个人工作区相同的 Zero-Knowledge 保证。工作区密码通过加密的 E2EE Envelope 交付给协作者——该信封使用协作者的个人 E2EE 公钥密封。

• 协作者授权与密码要求：在授权协作者时，系统会提示工作区所有者提供该工作区的准确加密密码（及 salt）。浏览器会将这些凭据使用接收者的公钥加密到 E2EE Envelope 中。
• 信封交付：服务器永远无法访问工作区密码、私钥或明文内容。
• 更新协作者密钥 (Update Keys)：如果所有者更改了先前已共享的云工作区的加密密码或 salt，现有协作者将失去访问权限，因为他们的信封是使用旧凭据加密的。所有者可以随时使用 Update Collaborator Keys 按钮（协作者卡片中的钥匙图标或同步面板中的“Update collaborator keys on sync”复选框）重新加密信封，从而一次性为所有协作者恢复访问权限。
• 保管库解锁要求：协作者必须解锁其 E2EE 保管库（位于 个人资料 > 安全 中）才能解密信封并访问共享工作区。

密码学透明度

• Zero-Knowledge 的适用范围：服务器无法访问工作区内容和加密凭据的明文，也不会存储密码验证哈希。但服务器仍会处理同步与共享所需的运行元数据，例如文档标识符、标题、大小、时间戳以及协作者关系。共享时，凭据只会在 E2EE Envelope 中传输和存储，并由获授权的接收者在其设备上解密。
• 由所有者控制的客户端审核：编辑者提交更改后，更新会存储在加密暂存区（通过 AES-GCM 加密的 .nous 格式）。应用程序仅授权工作区所有者获取并审核待处理更新。更新使用工作区密码加密，而不是使用所有者专属的独立密钥。如果无法解密，所有者可以拒绝并丢弃该更新。

安全审计（高级版计划 - Advanced Tier）

高级版用户可以访问透明且注重隐私的审计日志。

• 访问日志：跟踪您自己的关键事件（登录、数据推送/Push、删除）。
• 隐私保护：日志仅记录设备系列/操作系统和操作类型，绝不会在面向用户的界面中暴露您的公网 IP 地址。
• 核验：使用这些日志来监控您的设备是否存在未经授权的访问。

账号管理与删除

Noust 为您的数据提供了一个安全的内容生命周期终结过程。

• 立即且不可逆的清除：当您申请删除账号时，访问权限将立即终止，所有关联的云端工作区、备份、历史版本和共享文档都将从我们的服务器中彻底永久删除。
• 确认机制：为防止误操作，删除账号需要刻意的确认步骤。
• 数据主权：您的身份和云端数据将被彻底清除，但极少量的加密技术日志可能会根据法律合规要求（LGPD/GDPR）保留一段时间后彻底销毁。您的本地离线笔记仍安全地存储在您的本地设备上。