한국어 · English · 日本語 · 简体中文 · 繁體中文 · Español · Français · Deutsch · Português (Brasil) · Русский · Italiano · Bahasa Indonesia · Tiếng Việt · Türkçe · हिन्दी

没有服务器，也不需要手机号：运行在 Tor 之上的端到端加密通讯工具

在设备上生成的密钥就是你的账号。IP 由 Tor 隐藏，带有频道、通话和屏幕共享的
Discord 式空间，由你和朋友、社群自己运转，没有运营方。

为什么选择 YANGPA · 截图 · 安全设计 · 无法保护的内容 · 开始使用 · 文档

为什么选择 YANGPA

• 无需注册。 不收集手机号，也不收集邮箱。账号只是你在自己设备上生成的密钥，没有掌握名单的运营方，也没有账号服务器。引导节点、中继、做种者都是任何人都能启动的普通节点。
• IP 藏在 Tor 之后。 应用里没有关闭内置 Arti（Tor）的设置（只有无界面节点可以用 --direct 启动）；无法使用 Tor 时，也不会转为直连，而是停止启动。例外情况全部列在下表中。
• 同时使用经典密码学和抗量子密码学。 签名为 Ed25519 + FN-DSA-512，密钥交换为 X-Wing（X25519 + ML-KEM-768），传输为 X25519MLKEM768。这一组合针对的是“先收集现在的流量、以后再破解”的攻击。
• 有不留痕迹的对话。 无痕频道的内容和密钥只存在于 RAM 中，代码里也通过存储路径和类型把它们隔离开。
• 你的数据范围由你决定。 存储什么、提供给别人什么、拉取什么，可按数据类型和频道逐一选择。
• 可以用脚本操作。 应用、CLI、本地 API、MCP 都是同一个核心守护进程（yangpad）的客户端。
• 不隐瞒局限。 做不到的事，文档里写了，应用界面里也写了。下方无痕频道截图中的“无法防范的事”就是一例。

截图

这些截图使用的是应用的开发用示例数据。点击图片可以放大查看。

无痕频道 内容和附件只存在于内存中，到期后即被删除。能保证什么、无法防范什么，都一起显示在界面上。	Tor 与网桥 应用里无法关闭 Tor。在被封锁的网络中，通过 Snowflake、obfs4 网桥接入。因 Tor 而关闭的功能也会如实告知。
安全码与信任开关 亲自比对用于防范中间人的安全码，只和允许看到你 IP 的人直接连接。	P2P 专用频道 需要快速传文件、通话的频道，只有看过警告并加入的设备之间才会直接连接。加入之前无法查看内容。
新设备批准 新设备只能通过正在使用的设备生成的一次性二维码加入，由核对过双方 6 位数字的人来允许。	匿名频道 发帖者以各频道独立的化名显示。这只是在应用界面上遮盖的功能（见下表）。
Tor 通话 不使用 WebRTC，只通过 Tor 传输声音。说话会延迟 0.5~1.5 秒左右，但不会暴露 IP。	屏幕共享 P2P 专用频道和互相信任的对方通过 WebRTC 连接。每一帧都进行端到端加密。
AI 需要人的批准 自动化令牌请求的破坏性操作，必须由人批准后才会执行。所有经过认证的调用都会留在审计记录中。	做种者设置 要分享的数据类型、带宽、并发传输数都由你决定。也可以按人、社群、频道限制速度。
论坛与浅色主题 有以帖子和标签整理内容的论坛频道，可以选择浅色或深色主题。	Android 与桌面端使用相同的界面代码，守护进程在应用内运行。

功能

文件库标签页和内容查看器等部分功能仅限赞助者使用（许可证）。

匿名性：对谁隐藏什么

“匿名”在不同层面含义不同。这里分别写明 YANGPA 做什么、不做什么。

Tor 不会对朋友隐藏你。朋友和成员在加密频道内知道你的身份。

安全设计

flowchart LR
  subgraph device["我的设备"]
    clients["应用 · CLI · MCP"] -->|"本地 API（令牌）"| daemon["核心守护进程 yangpad"]
    daemon --> db[("SQLCipher")]
    daemon --> ram[["无痕 RAM 存储"]]
  end
  daemon -->|"Tor（Arti）"| peers["朋友 · 社群设备 · 做种者"]
  daemon -.->|"直连（例外）"| direct["P2P 专用频道 · 信任的对方 · 我的设备"]

以下是专家最值得先看的三项设计决策。

• 使用自有密钥组，而非 MLS。 在 4.5 万台设备的社群中，MLS 的 Welcome 和移除 Commit 增大到 50~61MB，因此作了更换。它不是标准，也未经外部评审。设计见 docs/protocol.md，测量见 docs/performance.md。
• 没有逐条消息的前向保密。 密钥按上表的周期更换，不会随每条消息轮换。私信也是同样的结构。密钥泄露后，同一密钥周期内的消息可以被打开。
• Tor 线路目前仍是经典密码学。 Arti 0.47 没有抗量子的线路握手。其内部的 libp2p 连接和端到端内容由混合密钥交换保护，但如果收集守卫一侧的连接、以后再破解，可能会暴露你在何时连接了哪个 onion 地址。

应用与外界通信的位置

应用中没有使用统计、错误报告、自动检查更新的代码。应用与外界的通信仅限于以下几处。应用界面（WebView）的 CSP 将 connect-src 仅向应用内部开放。操作系统和 WebView 引擎（WebView2 等）自身的通信不受应用控制。

赞助确认只会在我点击按钮开启之后运行，之后每天重新确认一次。不会发送 YANGPA 身份。

无法保护的内容

完整清单和攻击者模型见 SECURITY.md。

• 已经到达对方设备的数据。 删除、存活时间、无痕只在诚实的客户端上才有效。无法阻止截屏、用相机拍摄、改造过的客户端。
• 元数据。 为了验证签名和同步，事件头部没有加密，因此接收事件的成员和做种者知道谁在何时写在了哪个频道。
• 我的设备被攻破的情况。 以同一操作系统用户运行的恶意程序可以操控守护进程。目前还没有用密码单独包裹数据库密钥的功能。
• Tor 自身的局限。 无法抵御能观察整个网络的观察者所做的时间关联分析。
• 无痕频道范围之外的路径。 休眠文件、崩溃转储、剪贴板历史记录，以及 Linux 上的屏幕捕获。
• 对直连对方隐藏 IP。 在 P2P 专用频道和信任的对方面前，我的 IP 是直接可见的。
• 发行文件的真伪。 没有代码签名，SHA256SUMS.txt 只能确认下载过程中是否损坏。如果真伪很重要，请从源码构建。
• 设备丢失。 失去全部设备后，无法恢复账号。

自行验证

以下这些不必相信，可以亲自确认。

发现漏洞时，请不要公开提 issue，而是私下告知。

开始使用

支持的平台

Windows x86_64，macOS（Apple 芯片、Intel 通用），Linux x86_64、ARM64。Android ARM64 请安装发布中的 APK（YANGPA_…_arm64.apk，docs/android.md）。

桌面应用

1. 从发布页下载适合你操作系统的安装包。

   操作系统	文件
   Windows	…_x64-setup.exe（推荐）或 …_x64_en-US.msi
   macOS	…_universal.dmg
   Linux x86_64	…_amd64.deb 或 …_amd64.AppImage
   Linux ARM64	…_arm64.deb 或 …_aarch64.AppImage（glibc 2.35 及以上）

2. 用同一发布中的 SHA256SUMS.txt 进行校验。

   sha256sum -c SHA256SUMS.txt --ignore-missing
   

   安装包没有签名，因此在 macOS 上要在“系统设置 → 隐私与安全性”中允许打开，在 Windows 上要在 SmartScreen 中选择“更多信息 → 仍要运行”。

3. 打开应用，点击全新开始创建身份。其他设备通过设置 › 设备中的连接新设备加入。

4. 生成联系人链接发给对方，或粘贴收到的链接来开始对话。

命令行（CLI）

发布页的 yangpa-cli-<版本>-<目标>.tar.gz（Windows 为 .zip）中包含 yangpad、yangpa、yangpa-mcp。 请把这三个文件放在同一目录（或 PATH）中。

yangpa daemon &                         # 启动守护进程（应用已启动则省略）。参数原样传给 yangpad
yangpa identity create --name 我         # 创建身份
yangpa status

yangpa friend link create --single-use --expires 24h    # 发给对方的联系人链接
yangpa friend add 'yangpa://friend/…'                    # 用收到的链接直接建立临时联系人和私信空间
yangpa friend propose 对方名称                           # 提议成为好友（对方也提议则成为好友）

yangpa space list                                        # 私信空间和社群名称
yangpa channel list --crew <名称>
yangpa message send --crew <名称> -c <频道> "你好"
yangpa watch                                             # 实时查看新消息和状态变化

无界面做种者（NAS、VPS）

这是持续提供社群记录的节点。详细设置、远程管理、通过 Tor 启动见 docs/headless.md。

# Docker（在仓库根目录）：数据只放在卷中，非 root 用户，固定端口 47810（TCP、UDP）
docker compose -f deploy/docker-compose.yml up -d --build
alias yangpa='docker exec -it yangpa-seeder yangpa'

# 或 systemd：deploy/systemd/yangpad.service（含隔离设置）

yangpa identity create --name "游戏小组做种者"
yangpa invite join 'yangpa://invite/…'
yangpa seed set --all-channels --types text,image,video,file,emoji,history_bundle --upload-limit 5MB/s --prefetch on
yangpa seed coverage --crew "游戏小组"
yangpa blob cache limit 200GB --min-free 10GB           # 收到的附件所用的磁盘上限（默认 2GB）

目前做不到的事

• 桌面应用目前还不发送摄像头视频（只有语音和屏幕共享）。
• Tor 通话的画面是应急用的低画质（宽度最大 1280px，每秒 2 帧）。正常的屏幕共享请在 P2P 专用通话频道或与互相信任的对方之间进行。
• 屏幕声音只在 Windows 的网状通话中发送。SFU、Tor 通话只发送画面。
• 通过 Tor 运行的应用设备不会承担 SFU 主机。
• Linux（WebKitGTK）上的语音和屏幕共享可能不稳定，也不支持将窗口排除在捕获之外。
• 真实 Tauri 窗口的自动测试只在 Linux 上运行。macOS、Windows 窗口以及签名、公证由人工确认（CONTRIBUTING.md）。

连接 AI 工具（MCP）

yangpa-mcp 是通过标准输入输出运行的 MCP 服务器。AI 工具可以把查看频道列表、读取和总结消息、管理频道和角色、邀请、做种者设置等事务作为工具来调用。

守护进程强制执行的安全规则：

• 踢出、封禁、解除封禁，处理举报（驳回除外），删除他人消息，更改权限、角色，创建邀请，删除频道等破坏性操作不会立即执行，而是进入人工确认队列。必须在应用中，或通过 yangpa confirm list → yangpa confirm approve <ID> 批准后才会执行。
• 无痕频道默认拒绝 AI 读取。必须由人按频道用 yangpa channel allow-api-read … on 允许才会开放。
• 成员写的消息会被包装成“数据，而非指令”再交给 AI（防范提示注入）。
• 所有经过认证的调用都会记录在审计日志（yangpa audit list）中，社群成员列表里会带上自动化标记。用完的令牌请用 yangpa token revoke <ID> 作废。

详细规则见用户指南第 10 章。

从源码构建

需要：

• Rust 1.91 及以上（发布版本用 1.99.1 构建），C 编译器，perl、make（从源码构建 SQLCipher 所需的 OpenSSL），cmake（用于在部分环境中备用构建 aws-lc）。Windows 需要 MSVC 构建工具和 Strawberry Perl。
• 桌面应用：Node.js 22，Linux 需要 libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev libxdo-dev。

# 核心：守护进程（yangpad）、CLI（yangpa）、MCP 服务器（yangpa-mcp）。桌面应用不是默认构建目标。
cargo build --release --locked
ls target/release/{yangpad,yangpa,yangpa-mcp}
cargo test --workspace

# 桌面应用（开发模式）。应用会在可执行文件旁（target/debug）查找 yangpad 并启动。
cargo build -p yangpa-daemon
cd apps/desktop
npm ci
npm run tauri dev

# 桌面应用测试：单元测试，以及真实启动上面构建的 yangpad 的 E2E（没有则跳过 E2E）。
YANGPA_E2E_REQUIRED=1 npm test -- --run

# 真实窗口测试（Linux）：需要 tauri-driver、WebKitWebDriver 和显示环境，没有则说明原因并跳过。
npm run test:window:build
xvfb-run -a npm run test:window

贡献方式见 CONTRIBUTING.md。

文档

以下文档只有韩文版。

许可证

以 GNU Affero General Public License v3 或其后续版本（LICENSE，SPDX AGPL-3.0-or-later）发布。如果让他人通过网络使用你修改过的版本（例如自行运行的 SFU 服务器），就必须向对方提供源码。third_party 和 vendor/ffmpeg 遵循各自的许可证（该文件夹中的文件）。

• 赞助功能（赞助确认、文件库标签页、内容查看器、赞助者标识）的代码 crates/yangpa-daemon/src/supporter/ 和 apps/desktop/src/supporter/ 不适用 AGPL，而遵循 YANGPA 赞助功能许可证。源码公开，自行构建并自己使用是允许的，但不能分发去除或绕过赞助确认的版本。
• AGPL 第 7 条附加条款（NOTICE.md）：修改版必须在应用的“关于”界面保留原始版权声明和源码地址，以及“基于 YANGPA 修改的版本”这一文字。允许与赞助模块捆绑分发。
• 商标（TRADEMARK.md）：修改版不得使用 YANGPA 名称和火焰图标。
• 贡献遵循贡献者同意书。