功能定位：为什么需要“一键导入”
Letstalk IM 的“一键导入”并非传统备份，而是一次零知识证明驱动的跨设备同步：手机端把本地加密索引打包，经端到端隧道推送给桌面端，后者用本地私钥即时解密并重建索引，服务器全程仅转发密文。对于需要把移动端历史快速迁移到办公电脑、又要满足 GDPR/PIPL 可审计删除的场景，7.4.2 版起该功能被官方归入“合规同步”模块，不再是可选插件。
经验性观察：在 10 万条级别的单人群聊中，导入耗时从过去“逐条拉取”的 20 分钟缩短到 3 分钟左右，CPU 占用峰值下降约一半；若开启“私密保险箱”二次加密，则仍需额外 30–60 秒解密保险箱索引。
前置检查：版本、网络与权限
1. 版本门槛
移动端需 ≥ 7.4.2（含 2026-03-28 热修），桌面端需 ≥ 7.4.2a（Mac M 系列白屏修复版）。低于该版本时，“一键导入”按钮呈灰色，Hover 提示“请升级至最新版本”。
2. 网络环境
两端必须同时在线，且处于同一加速边缘节点（Letstalk 称之“RTP 中继”）。经验性观察：若手机在 4G、电脑在办公宽带，跨运营商丢包率 >3 % 会触发“隧道重协商”，导入常卡在 85 %；切到同一 Wi-Fi 可在一分钟内完成。
3. 权限与存储
Android 需授予“附近设备”权限（局域网握手），iOS 需打开“本地网络”开关；Mac 端要在「系统设置-隐私与安全-文件与文件夹」中允许 Letstalk 访问“下载”目录，用于写入临时索引。
操作路径：三步完成导入
移动端：打包并生成一次性令牌
- 打开 Letstalk → 右下角「我」→「合规与数据」→「跨设备同步」→「生成桌面导入令牌」。
- 系统提示“将生成一次性令牌，有效期 10 分钟”，点击「确认」。
- 界面显示 8 位字母数字组合（例：7A9K-B2C0）与二维码，同时自动开启 10 分钟可见模式（幽灵模式暂时关闭，防止令牌被匿名转发）。
桌面端：扫码或手动输入令牌
- 桌面客户端登录同一 DID 身份后，点击左上角「+」→「导入手机聊天记录」。
- 优先推荐「扫码」；若电脑摄像头损坏可点「手动输入」填入 8 位令牌。
- 验证通过后，桌面端弹出“选择导入范围”面板，默认勾选「全部私聊+群聊（不含私密保险箱）」。若需含保险箱，请二次指纹/面容确认。
确认导入并等待索引重建
点击「开始导入」后，界面转成全屏进度条，分三阶段：① 拉取索引 ② 本地解密 ③ 建立搜索倒排。7.4.2 版引入“断点续传”，若中途断网，恢复网络后自动从断点继续，无需重新生成令牌。
例外与取舍：哪些记录不会过来
- 已焚毁消息：定时焚毁、阅后即焚、双向撤回超过 3 秒的消息，本地已物理擦除，无法恢复。
- 私密保险箱（Secure Vault）：默认不同步，需手动二次确认；若保险箱内文件 >500 MB，导入耗时可能翻倍。
- 「限时 3 秒」图片：在移动端已标记“阅后不留痕”，导入时仅保留占位符“[限时消息]”。
- AI 语义摘要缓存：摘要模型跑在端侧，缓存文件不随导入迁移，桌面端需首次重新计算，约 5–10 秒/万条。
工作假设：若企业管理员在后台开启「强制本地留存 7 年」，则焚毁消息仍会在本地沙盒留加密碎片，但导入时因缺密钥无法解析，表现为“空白气泡”。可复现验证：在合规电脑执行
find sandbox -name "*.db.wreck"可见碎片大小，但无法打开。
例外与取舍：哪些记录不会过来
性能与合规观测
1. 速度指标
在 2026 款 MacBook Air M3 + 千兆 Wi-Fi 环境，导入 8.7 万条记录（含 1.2 GB 多媒体）总耗时 2 分 40 秒；Windows 11 同配置下约慢 15 %，瓶颈在 NTFS 小文件写入。
2. 合规痕迹
导入完成后，桌面端生成「合规日志」import_yyyyMMdd_HHmmss.json，内含：① 导入起止时间 ② 消息条数 ③ 失败条数 ④ 保险箱文件哈希。企业版管理员可在后台「审计-数据迁移」中拉取该日志，用于 GDPR 第三十条“记录处理活动”备查。
故障排查：常见 4 种卡死场景
| 现象 | 根因/验证 | 处置 |
|---|---|---|
| 令牌输入后提示“节点不一致” | 手机与电脑被分配到不同 RTP 中继，多见于公司外网双出口 | 两端均切飞行模式再重连同一 Wi-Fi，或手动选择「设置-网络-强制节点-Auto(Asia)」 |
| 进度条 85 % 卡住，日志显示“OPRF 协商失败” | CPU 占用 100 % 触发超时，旧款 i5 无 AES-NI 加速 | 临时关闭“实时杀毒-文件监控”，或在「设置-高级-兼容模式」开启“低功耗导入” |
| Mac 端提示“无法写入 sandbox” | 7.4.2a 版后仍可能残留旧签名，系统误判无权限 | 退出 App，执行 sudo tccutil reset All im.letstalk.desktop 后重进 |
| 导入完成但搜索不到中文关键词 | 倒排索引未包含 CJK 分词，因移动端未开启「全文搜索」 | 手机端「设置-搜索-重建全文索引」后再次生成令牌，重新导入 |
适用/不适用场景清单
- 适用：合规部门需把员工手机聊天记录归档到加密工作站；DAO 运营者换电脑后需保留 20 万人群历史；记者将采访记录迁移到离线笔电，准备断网撰写。
- 不适用：手机已 root/越狱且未关闭 Xposed 插件，可能导致密钥泄露；导入后立即要把电脑借给他人，因搜索缓存仍存于本地磁盘，未执行“安全删除”前可被取证；消息总量 >100 万条且电脑为 256 GB 硬盘，导入后剩余空间 <10 %，触发 Letstalk 低空间保护机制，会拒绝后续接收新消息。
最佳实践 6 条
- 导入前用「设置-存储-清理缓存」把手机端临时图片清掉，可减少 15–30 % 流量。
- 企业版先确认后台未开「禁止跨设备迁移」策略，否则令牌生成按钮直接隐藏。
- 若群聊内含大量链上红包记录，导入后桌面端首次打开会重新校验链状态，建议夜间执行，避免白天 CPU 占满。
- 导入完成立即做一次「设置-合规-生成校验报告」，把 SHA-256 哈希截图发给审计员，可缩短年审沟通时间。
- 电脑为多人共用场景，导入后务必在「我-隐私-立即锁定」开启“退出即清缓存”，防止下一位用户通过搜索框看到历史。
- 如需二次迁移到第三台设备，必须重新生成令牌，旧令牌 10 分钟失效且不可复用，防止重放攻击。
FAQ：官方已确认的 5 个高频疑问
导入后删除手机记录，桌面端会同步消失吗？
不会。导入完成后两端互为独立副本，手机端再执行“删除”仅影响本地，不会通过云同步删除桌面端已写入的数据。
可以只导入某一个群吗？
7.4.2 版暂不支持单选群，官方回复“后续版本考虑提供会话级过滤器”。当前折中办法：手机端先把无关群“归档并隐藏”，再生成令牌，可减少约 20 % 数据量。
导入过程耗电快正常吗？
正常。手机端需持续做 AES-256 流加密与分片上传，经验性观察：iPhone 13 以上电量下降 8–10 %，安卓 8 核机型约 5 %；可插电进行。
电脑硬盘格式 exFAT 会影响吗？
不会。Letstalk 将索引拆成 16 MB 文件块，适配 exFAT/NTFS/APFS；但 exFAT 无日志，若突然断电可能导致末块损坏，需重新导入。
令牌被别人截获会怎样？
令牌仅 10 分钟有效，且与 DID 绑定，其他账号无法使用；同时隧道采用临时 OPRF 密钥，截获后亦无法离线解密。官方设计为“一次性、短时、定向”三重保护。
收尾与下一步
“一键导入”把 Letstalk 的零知识架构从“单设备”扩展到“多设备可审计”，在合规与隐私之间给出了可落地的折中方案。完成导入后，建议立即验证搜索索引、导出校验报告，并根据使用场景决定是否开启“退出即清缓存”。若你负责企业级部署，可把本文最佳实践 6 条做成检查表，配合月度审计脚本，确保每一次迁移都有迹可循、可删、可验。
下一步：如需把导入后的记录再做离线备份，可搭配「私密保险箱-导出加密压缩包」功能，设置 31 天自动销毁，既满足本地二次备份，又避免长期留存带来的泄露风险。
