孩子是故事的主角，不是行为画像

谁应该操作这些功能

普通绘本可以由家庭共同创作；涉及真实儿童资料时，应由家长、法定监护人或得到明确授权的成年人负责输入、确认、分享和删除。 Moonwish 当前不是面向儿童的开放式 AI 聊天工具，也不应替代家长对事实和内容的判断。

五条数据路径要分开理解

1. 匿名故事创作：名字或昵称、想法和选项发送到服务器及配置的 AI 服务生成绘本；不要求登录。
2. 成长记录：日期、家长备注、现场照片和生成后的绘本可保存在当前浏览器；现场照片不随成长草稿发送给故事生成接口。
3. 家庭角色：需要登录。真实照片只有在明确确认本人或监护人授权后才上传到家庭私有空间。
4. 家庭声音：需要单独录音、授权和上传；当前流程把样本交给阿里云百炼创建私有声音标识。
5. 私有云档案：需要登录后逐项选择导入或保存，本机副本与云端副本保持分离。

“本机保存”描述的是家庭档案副本保存在哪里，并不表示 AI 生成过程完全离线。故事文字和必要场景信息仍会联网处理。

儿童和家庭照片

成长现场照片

成长记录支持添加现场照片。当前前端会压缩并转为 WebP Data URL，和记录一起保存在浏览器； 它们用于家庭回看，不会被加入故事生成请求。只有家长在账户页明确选择导入并勾选授权确认后， 才会把所选照片上传到家庭私有云端。

家庭角色照片

角色照片是单独的登录流程。用户必须确认自己是照片中的本人或其监护人、已经获得明确授权， 才能保存至私有空间。若随后主动把该角色用于绘本，相关照片或生成的卡通参考可能交给配置的图片服务处理。

真实声音与家庭旁白

家庭声音复刻与普通浏览器朗读是两条不同流程。复刻流程要求录制 10–60 秒声音， 明确确认这是本人声音或已取得声音本人／监护人的授权，然后把样本保存到私有空间并发送给阿里云百炼创建 voice_id。

• 登录不会启动录音或上传声音。
• 家庭声音只在用户主动选择相应家庭角色旁白时使用。
• 删除会清理 Moonwish 管理的样本和绑定记录，并尝试清理外部声音资源；外部清理可能异步完成。
• 普通绘本预览仍可使用浏览器 SpeechSynthesis，不需要创建真实声音副本。

私有云不是默认目的地

当前设备和私有云是两个明确的数据源。登录后发现本机资料时，导入界面默认不勾选任何项目； 家长可以只选择希望跨设备查看的绘本或成长记录。导入完成后，本机副本仍会保留， 一侧删除不会被描述为另一侧也已删除。

公开分享需要再次判断

私有云和公开分享不是一回事。只有家长主动创建分享链接，绘本快照才会进入公开分享存储； 分享页虽然禁止搜索引擎收录，但任何拿到链接的人都能打开和转发。

• 分享内容包括标题、孩子名字或昵称、绘本文字和页面图片。
• 当前链接没有自动过期，也不要求查看者登录。
• 匿名分享依赖创建浏览器保存的删除凭据；清理浏览器可能丢失凭据，但不会自动撤销链接。
• 撤销链接不能删除别人已经保存、截图或再次发布的副本。

分享前请改用昵称，逐页检查文字和图片，并删除学校、住址、行程、健康情况等不必要信息。

Moonwish 明确不应做什么

• 不根据故事、成长记录或照片给孩子建立心理、能力、性格或风险评分。
• 不把登录、阅读、创作或订阅视为照片和真实声音的处理同意。
• 不在家长未选择的情况下，把本机成长记录静默合并到云端。
• 不让 AI 自动判定真实家庭事实；家长输入和确认应当优先。
• 不把隐私控制、导出和删除作为付费权益。

当前访问分析默认关闭，并只在明确允许后记录公开内容页；家庭、成长、创作、账户、登录和分享页面不会记录或发送访问事件。 从公开页站内跳转时，已加载的 Vercel 脚本文件可能暂时保留，但自动追踪和事件过滤仍会阻止敏感页记录；Microsoft Clarity 会话回放也已暂停。 仍需继续评估的是免费额度所使用的部分设备／浏览器散列信号。

家长使用前检查清单

1. 优先使用孩子昵称，只写完成故事需要的事实。
2. 确认照片和声音中的每个人都已授权，尤其是其他儿童。
3. 成长记录保存在本机时，定期检查浏览器空间，并从成长书架下载 ZIP 作为自己的备份。
4. 启用私有云前，确认当前部署已经完成迁移、权限，并了解其跨设备验收状态。
5. 把分享链接视为可转发的公开链接，发布前逐页检查。
6. 不再需要时，分别检查本机、私有云、公开分享和家庭声音资源是否都已处理。