功能定位：为什么已读后还能“反悔”
Letstalk IM 把“已读撤回”归入合规与数据留存模块，而非普通编辑。高密度协作场景里，成员常在读完瞬间发现数字、金额或截图有误；传统“仅自己删除”会留下对方副本，难满足审计要求的“双方记录对齐”。因此，官方在 v7.4 之后把“撤回并删除双方记录”与“本地焚毁”硬隔离：前者由服务器推送Delete-For-Both信号，后者仅清本地缓存。
经验性观察：在 200 人以上频道，误发含身份证的消息后 30 秒内触发，对方已读回执不会消失，消息体却被替换为“原消息已撤回”，符合 ISO-27041 可追溯原则。
版本差异与可用窗口
1. 免费版 vs 企业版
截至当前的最新版本，免费 workspace 在任意单聊与<200 人群组均可“双向删除”，但保留 2 分钟倒计时；企业版可在后台把窗口调至 5 分钟或完全关闭（仅允许本地焚毁）。路径如下：
- 桌面端：设置→合规→消息生命周期→双向删除时限
- 移动端：社区管理→权限→消息管理→允许撤回时长
提示：若把时限设为 0 分钟，等于彻底禁用双向删除；误发后只能走“申请管理员强制清除”流程，对方客户端会收到灰色系统提示“管理员已移除一条消息”。
2. 平台实现差异
| 平台 | 入口 | 失败回退 |
|---|---|---|
| Android | 长按消息→┇→撤回并删除双方记录 | 按钮灰色说明已超时或被禁用；可尝试本地焚毁（仅自己） |
| iOS | 左滑消息→更多→双向删除 | 离线时操作排队，重连后自动重试，失败回弹“未成功” |
| Windows/macOS | 右键消息→撤回→勾选“同时删除对方记录” | 若对方版本低于 v7.2，会降级为“已撤回但对方仍可见” |
标准操作路径（含分支）
- 在聊天界面找到目标消息，确认已读回执图标（✓✓）已变蓝。
- 长按/右键调出菜单，选“撤回并删除双方记录”。
警告：若弹出二次确认“该操作不可恢复且会在服务器留痕”，说明企业已开启合规审计日志；确认后审计后台生成delete_for_both事件，不可自我抹除。
- 客户端顶部出现“正在同步删除…”进度条，亚秒级完成（局域网约 300 ms，跨国约 1.2 s）。
- 成功后，双方消息体被替换为“原消息已撤回”，且无法通过引用回复或消息链接回溯。
- 若失败，系统托盘推送错误码：
- ERR_DEL_TIMEOUT：超出窗口，可本地逐条焚毁并提醒对方手动删除。
- ERR_VER_MISMATCH：对方版本旧，可让其升级至截至当前的最新版本后 24 h 内重试。
例外与取舍：什么时候不该用
① 引用链未清理：若后续消息已引用误发内容，双向删除后引用框留空，但文字摘要仍可见。工作假设：合规审计可能认定“断链不删摘”属于未尽完全抹除义务。缓解：先发“更正声明”再撤回，保持审计链完整。
② 机器人已备份：若频道内安装第三方归档机器人（如 Jira Bot），默认收到message事件即落库。双向删除信号不会回溯外部数据库；管理员需关闭机器人message读取或启用“同步删除回调”（若机器人支持）。
③ 已生成 AI 会议纪要：AI 助理 Letty 若已将消息纳入摘要，撤回后摘要不会自动更新。需手动在“会议回顾”点击重新生成，否则下游邮件仍含敏感片段。
与机器人/第三方的协同最小化原则
企业常把 Letstalk 与 Splunk 或 SIEM 对接。最佳实践是只向外推送message_hash而非原文；双向删除后，外部系统无需级联删除，仅保留delete_for_both事件即可过审。
示例：某券商在“内部红区频道”采用此方案，2026 年 3 月误发客户身份证号后 15 秒完成双向删除，Splunk 侧仅记录hash=sha256:abcd…与删除事件，合规部确认无敏感数据外泄。
故障排查速查表
| 现象 | 最可能原因 | 验证步骤 | 处置 |
|---|---|---|---|
| 按钮灰色 | 超时或权限被禁用 | 看顶部是否提示“已超过可撤回时间” | 联系管理员调整时限或走强制删除流程 |
| 提示“对方版本过低” | 对端 < v7.2 | 让对方查看设置→关于 | 催促升级，或改用本地焚毁+人工提醒 |
| 撤回成功但对方仍见 | 本地缓存未刷新 | 让对方重启客户端或下拉刷新 | 一般重启后消失，若仍在，需提交工单 |
适用/不适用场景清单
- 适用：金融报价、客户身份证、未公开财报、早期需求文档——误发后 2 分钟内可自救。
- 不适用：
- 消息已超过企业设定窗口（如 0 分钟）；
- 频道开启“只读归档”模式，仅管理员可撤回；
- 对方使用第三方开源客户端（未实现 Delete-For-Both 信号）。
最佳实践 5 条速记
- 发前先@自己做 3 秒预览，减少误发概率。
- 把企业版撤回窗口设在3 分钟，兼顾纠错与审计。
- 重要频道关闭机器人message读取权限，避免外部备份。
- 误发后先撤回再补发更正，保持上下文连贯。
- 每月抽查审计日志delete_for_both事件，确保无滥用。
FAQ：Letstalk 双向删除常见疑问
撤回后对方还能截图吗？
撤回瞬间对方若已开启“防截屏”模式，系统会黑屏遮挡；但旧版安卓仍可硬件截屏。建议搭配“阅后即焚”使用。
能一次性批量撤回吗？
目前官方仅支持单条撤回。经验性观察：连续选中多条时，入口自动隐藏，推测是为避免审计链混乱。
撤回记录会出现在合规导出里吗？
会。导出的 CSV 会有一条delete_for_both事件，含操作人、时间、消息 Hash，不会包含原文，满足 GDPR 最小化原则。
量子保险箱开启后撤回会变慢吗？
社区 B 测延迟增加约 8–12 ms，体感无差异。CPU 占用反而下降 4%，因为后量子算法把部分运算 offload 到 TPM。
收尾：下一步行动
如果你刚误发敏感消息，立即长按→撤回并删除双方记录，别等；若按钮已灰，先本地焚毁再补发更正声明，并提醒对方手动删除。企业管理员建议把窗口调至3 分钟，既给同事留纠错空间，也让审计日志足够稀疏。最后，每月用delete_for_both事件做一次回溯，确保没有“撤回+补发”循环滥用，才是真正的合规与效率平衡点。
