空投快传传输安全机制说明
公开声明 vs 实际做法
空投快传帮助文档里没有一份完整的"安全白皮书"或"加密机制详解"。关于安全，能找到的公开信息主要是：
- 隐私政策页面（docs.retiehe.com/privacy.html）说明了数据收集范围
- 帮助文档 FAQ 里提到可以设置密码、下载次数、有效期等安全选项
- App Store 隐私标签（App Privacy）列出了收集的数据类型
帮助文档也明确说：
空投快传没有开放源代码和 API。
所以接下来的内容是基于公开信息和用户实际使用观察的整理，不是官方技术规格。
传输链路的基本安全判断
HTTPS 加密
空投快传网页版肯定是用 HTTPS 的——否则浏览器会标红警告，帮助文档里也不会推荐用。这意味着：
- 浏览器 ↔ 服务器之间的通信是 TLS 加密的
- 传输过程中网络运营商或中间人无法"嗅探"到文件内容
- 这是 Web 服务的基础安全标准，空投快传不会没有
直链的短期有效期
帮助文档提到直链（很长的那个下载 URL）的有效期最短只有 30 秒。这本身就是一个安全设计——即使链接被截获或泄露，可用时间也非常短，大幅降低了风险。
密码的服务端验证
下载密码的验证是在服务端完成的——客户端把密码发给服务器，服务器校验后才返回真实下载地址。这意味着：
- 密码本身不会出现在任何链接或 URL 里
- 服务器存的应该是密码的加密哈希（不是明文）
- 但无法确认具体用了什么哈希算法
桌面客户端 P2P 的安全
桌面客户端的同 Wi-Fi P2P 直传不走服务器，直接点对点。关于它的加密：
- 帮助文档没有专门说明 P2P 传输是否加密
- 理论上在同一局域网内，即使不加密风险也比互联网低很多
- 如果非常在意，不要用 P2P，走服务器中转
不确认的事情
以下问题帮助文档没有回答，无法给出确定答案：
| 问题 | 状态 |
|---|---|
| 文件在服务器上是明文存储还是加密存储？ | ❓ 不公开 |
| 用了什么加密算法？ | ❓ 不公开 |
| 服务器在哪里？ | ⚠️ 只知道有多地节点（华北、华东、香港等），具体位置不公开 |
| 服务器是否有访问日志？ | ⚠️ 隐私政策提到收集设备 ID、User ID 等标识数据 |
| 官方会不会主动读取用户上传的文件？ | ❓ 隐私政策没有明确声明"不读取文件内容" |
如果你非常在意隐私
空投快传的安全机制对于日常临时文件分享来说已经够用了。但如果你要传非常敏感的文件，可以考虑额外加固：
方式一：本地先加密再上传
在你的电脑上把文件打包成加密压缩包（7-Zip 的 AES-256 加密、RAR 的加密），然后再用空投快传上传。这样即使空投快传服务器被攻破，对方拿到的也是加密压缩包。
方式二：传完立即删除
等接收方确认下载完成后，立刻在"我的文件"里删除。文件在服务器上停留的时间越短，风险越低。
方式三：配合其他通道
用空投快传传文件，但密码、取件码通过完全不同的渠道告知（比如文件发空投快传，密码打电话说）。这样即使空投快传和通信渠道有一个被监控，对方也拿不全。
方式四：用其他工具对比
如果你的隐私要求极高，可以对比以下工具：
- LocalSend：开源、P2P、无服务器、完全本地传输（仅限同 Wi-Fi）
- AirDrop：苹果原生、P2P、完全本地（仅限苹果生态 + 近距离）
- Syncthing：开源 P2P 文件同步（适合需要持续同步的场景）
这些工具的共同点是不经过任何第三方服务器，但使用场景和空投快传不同——空投快传胜在跨距离、跨生态、浏览器即用。
关于开放源代码的说明
帮助文档明确说明空投快传没有开放源代码。这意味着：
- 无法独立审计它的安全实现
- 只能相信开发者（福州市热铁盒软件有限公司）是诚信的
- 如果你对闭源有顾虑，可能需要选择开源替代方案
合理的预期
任何文件传输工具都不是 100% 安全的——空投快传当然也不是。但考虑到它的设计定位（临时中转站）、默认 24 小时自动删除、可加密码保护、不做长期存储这些特性，它的风险画像其实比网盘、云盘等"长期存储服务"要低很多。
它适合日常工作文件、旅行照片、视频素材这类"需要在设备间中转但不想永久存在云上"的场景。如果要传绝密文件，任何互联网服务都不应该是你的第一选择。