Seal

点对点、端到端加密聊天。
无收件箱。无账户需要恢复。没有人在监听——包括我们。

消息通过 libp2p 在节点之间直接传输，并在离开你的设备之前使用 Signal 风格的 Olm/Megolm 协议（通过 vodozemac）加密。唯一涉及的服务器是一个小型目录，帮助节点找到彼此的当前地址。它永远看不到消息内容，而且可以用一条命令清除。

有关实际防护的内容以及方式，请参阅 docs/THREAT_MODEL.md 和 docs/SECURITY.md。

截图
功能特性
工作原理
项目结构
1. 前置要求
2. 构建
3. 以开发模式运行
4. 测试
5. 后端（目录服务器）设置
6. 使用应用

截图

首次运行 —— 只需选择一个名称；无需其他设置。

Seal 的首次运行界面：加密模型说明旁边是显示名称表单，并带有一个登录时启动开关

会话 —— 群组栏、联系人列表和端到端加密聊天面板。

设置 —— 麦克风灵敏度、按键通话、登录时启动、网络可达性。

功能特性

始终端到端加密 —— 每条消息在离开你的设备之前，都会使用 Olm（1:1）或 Megolm（群组）进行密封，采用 vodozemac 的双棘轮（Double-Ratchet）式方案：每条消息都有自己独立的密钥。
永远没有收件箱 —— 消息通过点对点直接连接（libp2p：QUIC/TCP + Noise，支持中继和 NAT 打洞）传输。如果接收方离线，消息会在本地等待并重试——绝不会排队存储在任何其他人的基础设施上。
目录，而非数据库 —— 唯一涉及的服务器（crates/directory-server）仅将用户 ID 映射到当前网络地址，除此之外不做任何事情。它在结构上无法读取消息内容：其 Cargo.toml 甚至不依赖任何知道如何读取消息内容的 crate。
一台设备，多个账户 —— 完全独立的身份（密钥、联系人、消息），无需重启即可切换。
支持真实成员变更的群组 —— 每个群组都有文本和语音频道；移除某人会轮换群组密钥，使其无法读取此后发送的任何内容。
内置语音 —— 通过系统级快捷键进行按键通话（适用于任何应用，而不仅仅是 Seal），可调节麦克风灵敏度，并可选变声器。
无元数据的附件 —— 图片在发送前会剥离 EXIF 数据（GPS 位置、相机/设备信息），默认开启。
真正的紧急按钮 —— 设置 → 数据与隐私可立即且不可逆地删除本设备上的所有密钥、联系人和消息，而不会对你联系过的任何人产生任何影响。
如果需要，登录时启动 —— 默认开启，在设置中一键切换。
一套代码库，三个平台 —— 通过 Tauri 在 macOS、Windows 和 Linux 上提供原生窗口。

工作原理

这个应用中有两种身份，它们被刻意分开：

你的聊天身份 是 vodozemac 在你首次打开应用时在本地生成的 Ed25519/Curve25519 密钥对（identity::Identity）。你的公开“用户 ID”就是该密钥的指纹（wire_proto::user_id_from_ed25519）。任何服务器都无法签发或吊销它，因为它的创建过程不涉及任何服务器。
你的网络身份 是一个单独的 libp2p 密钥对（PeerId），仅用于传输层。它可以在重启之间变化，而完全不影响你的聊天身份；两者仅通过你自行签名的在线状态记录绑定在一起。

找到某人并真正与他们交谈是两个不同的步骤：``` ┌────────────────────────┐ │ directory server │ │ (axum + one SQLite │ │ file: users, │ │ presence, group │ │ rosters. Never │ │ message content.) │ └─────────┬───────────────┘ 1. "where is bob │ 2. "here's my current right now?" │ address" (signed, │ expires in minutes) ┌─────────┴───────────────┐ ▼ ▼ ┌───────┐ 3. direct libp2p ┌───────┐ │ alice │◄──── connection ────►│ bob │ └───────┘ (Noise + Olm/ └───────┘ Megolm encrypted)

1. Alice 通过 Bob 的用户 ID 在目录中查找他。这会返回他的
   公钥以及他最后通告的网络地址。这就是目录所持有的全部内容：
   公钥、显示名称、组成员列表，
   以及短期有效的地址通告
   （`crates/directory-server`）。
2. Alice 直接通过 libp2p（QUIC 或 TCP+Noise，带中继 +
   NAT 打洞，用于 NAT 后的对等方；参见 `crates/net`）呼叫 Bob。目录从
   此刻起完全不再参与。
3. 实际消息会使用 **Olm**（用于 1:1 聊天）或
   **Megolm**（用于群组，`crates/crypto-session`），这是一种 Double-Ratchet 风格
   方案，每条消息在放到该 libp2p 连接之前
   都有自己的密钥。没有服务器端收件箱：如果 Bob 离线，
   消息会在本地等待并重试，而不是存储在任何其他人的
   基础设施上。

以上所有内容均由 `crates/core` 的 `AppService` 编排，它
是 Tauri 应用的 Rust 后端（`apps/desktop/src-tauri`）实际调用的对象；
UI 从不直接与网络通信。

## 项目布局```
crates/
  wire-proto        shared signed-request types for the directory API
  identity          vodozemac identity, OS-keychain key management
  storage           local encrypted store (contacts, messages, groups)
  net               libp2p transport + directory HTTP client
  crypto-session    Olm (1:1) / Megolm (group) session management
  core              orchestrates the above into `AppService` / `ChatNode`
  directory-server  the one server component (axum + SQLite)
apps/desktop         the Tauri + React app
scripts/             build + backend-deployment scripts (§2, §5)

1. 前置要求

你在每个平台上都需要 Rust 和 Node.js，此外还需要 Tauri 用于构建原生窗口的、特定于平台的工具链。storage 和 directory-server 还会从源码捆绑编译 SQLite，这需要一个普通的 C 编译器（本项目中任何地方都不需要 OpenSSL 或其他原生加密库）。

所有平台通用：

Rust（稳定版渠道；通过 rustup 安装，不要用操作系统的包管理器）
Node.js 20+ 和 npm

macOS

```sh xcode-select --install ``` 就这样。Xcode 命令行工具既提供了 C 编译器，也提供了 Tauri 的 macOS 后端（基于 WKWebView）所需的框架。

Linux

安装一个 C 编译器、pkg-config 以及 Tauri 的 Linux 后端所链接的 WebKitGTK/AppIndicator 开发包。

Debian/Ubuntu:```sh sudo apt update sudo apt install libwebkit2gtk-4.1-dev build-essential curl wget file
libxdo-dev libssl-dev libayatana-appindicator3-dev librsvg2-dev pkg-config

Fedora:```sh
sudo dnf install webkit2gtk4.1-devel openssl-devel curl wget file \
  libappindicator-gtk3-devel librsvg2-devel pkgconf-pkg-config
sudo dnf group install "C Development Tools and Libraries"

架构:```sh sudo pacman -S --needed webkit2gtk-4.1 base-devel curl wget file openssl
appmenu-gtk-module libappindicator-gtk3 librsvg pkgconf

(软件包名称会随 Tauri 版本变化：如果构建时因缺少
`.pc` 文件而失败，请查阅
[当前 Tauri Linux 先决条件](https://v2.tauri.app/start/prerequisites/)
以获取适用于你的发行版的信息。)

</details>

<details>
<summary><strong>Windows</strong></summary>

1. 安装 **Microsoft C++ Build Tools**（Visual Studio Installer →
   “Desktop development with C++” 工作负载），Tauri 的原生
   Shell 和编译捆绑的 SQLite 都需要它。
2. 安装 **MSVC** Rust 工具链：`rustup default stable-msvc`。
3. **WebView2**：已存在于 Windows 11 和大多数最新的 Windows 10
   安装中；如果没有，Tauri 构建时会提示你安装
   Evergreen 运行时。

</details>

---

## 2. 构建

从仓库根目录：```sh
# Rust workspace (backend crates + the directory server)
cargo build --workspace --release

# Frontend + the actual desktop app bundle (installer/.app/.exe)
cd apps/desktop
npm install
npm run tauri build

npm run tauri build 会在仓库根目录下的中生成一个平台原生的安装程序（这是一个 Cargo 工作区，因此所有 crate，包括 Tauri 应用，共享同一个顶层目录）。未配置交叉编译（例如从 macOS 构建 Windows 安装程序）：请在各个目标平台上构建，或者如果你想要由 CI 构建的发布版本，请使用 Tauri 的 GitHub Actions 工作流。

Sandboxing: this process needs almost nothing

ProtectSystem=strict ProtectHome=true PrivateTmp=true NoNewPrivileges=true ReadWritePaths=/var/lib/seal-directory

[Install] WantedBy=multi-user.target

Notes:

- `DIRECTORY_PUBLIC_ADDR` 此处特意绑定到 **loopback**；请在前面放置反向代理以处理 TLS（见下文），而不是直接将 axum 暴露到互联网。
- 首先创建 `seal-directory` 系统用户/组和
  `/var/lib/seal-directory`（`useradd --system --no-create-home
  seal-directory && install -d -o seal-directory -g seal-directory
  /var/lib/seal-directory`），并将构建好的 `directory-server` 二进制文件
  （来自 `target/release/`）复制到 `/usr/local/bin/`。
- 将管理员令牌放在仅 root 可读的 `EnvironmentFile` 中，而不是直接
  放在 unit 文件中（unit 文件通常对所有人可读）。

</details>

### 通过反向代理使用 TLS

<details>
<summary>显示 Caddy / nginx 配置</summary>

[Caddy](https://caddyserver.com) 以最少的配置即可获得自动 HTTPS：```
# /etc/caddy/Caddyfile
directory.example.com {
    reverse_proxy 127.0.0.1:8080
}

caddy run（或 systemctl enable --now caddy）会自行处理证书的签发/续期。如果你更愿意使用 nginx，可以在 nginx 上终止 TLS，然后配置 proxy_pass http://127.0.0.1:8080;，因为从代理的角度来看，该应用只需要纯 HTTP。

防火墙方面：只有公共端口需要能从外部访问（上述示例中的 8080，通过代理以 443 为前端）。管理端口绝不应从外部访问；当您需要远程执行清理时，可通过 SSH 端口转发（ssh -L 8090:127.0.0.1:8090 your-server）访问它。

此操作会删除 SQLite 文件并重新创建一个空 schema：不执行任何 `DELETE` 语句，也不会留下部分状态。无需提前通知任何人即可安全运行：其中的每条记录都是各客户端本地已持有的数据缓存（即它们自己的注册信息、在线状态，以及它们所属任何群组的成员名单），因此客户端只需在下次操作后的片刻内重新填充它。这个数据库刻意不设置备份策略；至于为何保留备份会破坏其全部意义，请参阅 [`docs/SECURITY.md`](https://github.com/emn4tor/seal/blob/HEAD/docs/SECURITY.md) 中的说明。 --- ## 6. 使用应用 1. **首次启动，第一个问题**：要使用哪个目录服务器（§3）。默认值就是你正在运行的构建版本内置的内容（本地测试服务器，除非构建者配置了官方服务器）；选择 “Custom server”即可指向由你或你信任的人托管的服务器。 2. **选择一个显示名称。** 这会在你的设备上生成一个密钥对（无需记忆任何内容，丢失后也无法恢复：这是有意为之），并引导你阅读应用内关于加密实际工作原理的简短说明。可随时从 Settings 中重新查看该说明。之后的每次启动都会直接回到应用，不再提示；此流程每个账户只会出现一次。可通过本设备的 Settings → Accounts（完全独立的身份），并在不重启的情况下切换账户。 3. **添加联系人**：点击“Direct messages”旁边的 **+**，输入对方的 ID（可在*对方*的 Settings → My Identity 中找到）。设计上没有可供浏览的目录；你联系对方的方式与分享电话号码相同。 4. **给他们发消息**：从列表中选择对方的名字并输入内容。发给某人的第一条消息会自动建立加密会话。 5. **创建群组**：点击图标栏上的 **+**，为其命名，然后用同样的方式按 ID 邀请成员。移除某人会轮换群组密钥，使其无法读取之后发送的任何内容。 6. **删除所有内容**：Settings → Data & Privacy。此操作即时生效、仅限本地且不可逆转：它会销毁*此设备*上的密钥、联系人和历史记录，并且不会对你联系过的任何人产生任何影响。

脚本	产物
`scripts/build-mac-dmg.sh`	macOS `.dmg` 安装程序
`scripts/build-mac-app.sh`	原始 macOS `.app` 应用包，无安装程序
`scripts/build-linux.sh`	Linux `.AppImage` + `.deb`
`scripts/build-windows.ps1`	Windows `.msi` + `.exe` (NSIS)

Seal

最受欢迎

或者使用脚本

内置你自己的“Seal”网络

选择服务器（首次运行）

针对真实构建进行测试（非开发模式）```sh

5. 后端（目录服务器）设置

最快路径：设置脚本```sh

快速本地运行```sh

作为真实服务（systemd）运行

Sandboxing: this process needs almost nothing

清理它```sh

Seal

最受欢迎

Seal

Contents

截图

功能特性

工作原理

1. 前置要求

或者使用脚本

内置你自己的“Seal”网络

选择服务器（首次运行）

针对真实构建进行测试（非开发模式）```sh

5. 后端（目录服务器）设置

最快路径：设置脚本```sh

快速本地运行```sh

作为真实服务（systemd）运行

Sandboxing: this process needs almost nothing

清理它```sh