Wox 隐私与安全设置：本地数据的边界在哪里

它为什么需要这些权限

先说清需求来源，才能判断风险在哪里。Wox 的两项核心权限都不是「想要」，而是「必须有」：

• 全局热键。要在任何程序前台时都能呼出，就必须注册系统级热键。这意味着它能知道某个组合键被按下了。
• 文件索引。要在全盘范围内秒搜文件名，就必须读取文件系统信息（名称、路径、大小、时间）。

这两项听起来范围很大，但实际读取的内容比想象中窄：文件名与元数据，而不是文件内容。除非你主动使用内容检索类插件，否则它不会去读你文档里的字。

数据到底存在哪里

Wox 的数据全部在你本机，主要分布在两处：

这两处都是纯本地文件，不上传。但它们的敏感性常被低估：一个完整的文件名索引，几乎等于你电脑里有什么的目录清单。如果这台机器要与他人共用，或需要送修，这两处值得单独处理。

值得主动收紧的四个设置

设置一：缩小索引范围

这是最有效的一项。默认索引全盘，但你真的需要搜到系统目录和程序目录里的文件吗？把这些排除掉，既能加快索引，也减少了「敏感目录被索引」的范围。

建议排除：系统目录、程序安装目录、含隐私文件的目录（如证件扫描件、财务资料）、以及任何你不想被搜到的位置。

设置二：控制日志详细程度

日志会记录你的操作与报错信息。默认级别通常够用，不需要开详细模式长期运行——详细日志里可能包含你搜索过的关键词。

出问题时临时开启，排查完关掉，是更合理的做法。

设置三：谨慎授予管理员权限

以管理员身份运行能解决一些热键和文件访问问题，但也意味着程序获得更高权限。如果非必要，不要默认以管理员身份启动。

设置四：关闭不需要的插件

插件是权限的实际使用者。一个只做文本转换的插件不需要网络权限，如果它要求联网，就值得警惕。定期清理不用的插件，等于收窄了攻击面。

第三方插件的风险判断

插件本质是能在你机器上执行代码的程序，风险等级取决于来源和它要求的能力。判断标准可以很朴素：

1. 来源是否可追溯。官方渠道或知名社区仓库相对可靠；来源不明的压缩包风险高。
2. 能力与功能是否匹配。颜色转换插件要联网上传数据，就说不通；纯本地计算要管理员权限，也说不通。
3. 是否要求不必要的持久化。一个查天气的插件不需要开机自启。

在公司电脑上使用的注意事项

受管设备上的判断标准和个人电脑不同，重点不是「我想不想用」，而是「策略允不允许」：

• 确认公司是否允许安装开源第三方软件，部分环境有明确的软件白名单
• 启动器的「执行任意命令」能力可能被安全策略判定为高风险
• 索引全盘可能触及数据合规要求，尤其是涉及客户资料的岗位
• 日志中可能出现业务相关信息，需确认留存策略

实务建议：先问 IT，比装完被拦下来省事。如果确实需要，通常可以通过限定索引范围、关闭命令执行类插件来降低风险等级。

共用电脑与转让设备时怎么处理

如果你要和别人共用一台机器，或者准备把设备送修、转让，需要清理的不只是文档：

1. 清除 Everything 的索引数据库（它会暴露完整目录结构）
2. 清理 Wox 的配置与日志目录（含别名、历史路径、搜索关键词）
3. 检查插件是否保存了剪贴板历史之类的内容

其中剪贴板历史插件尤其要注意——它可能存了你复制过的密码、验证码、私密文本。转让设备前务必单独清理。

一个务实的隐私基线

不需要做到极端，按这几条设置，风险就已经很低：

• 索引范围排除系统目录、程序目录与私密目录
• 只装来源可追溯的插件，装完定期清理
• 不以管理员身份常驻运行
• 日志保持默认级别，不长期开详细模式
• 配置目录定期备份，同时知道它包含什么

做到这五条，启动器的便利性和隐私风险就能落在一个合理的位置上。

隐私配置的常见过度反应

了解风险之后，容易走向另一个极端：把所有功能都关掉，结果工具变得难用，最后干脆不用了。

几个不需要担心的点：

• 文件名被索引不等于内容泄露。索引里是名称和路径，不含文档正文。
• 全局热键监听不等于记录按键。它只是注册了一个组合键的响应，不会记录你输入的所有内容。
• 本地日志不等于上传。日志留在本机，默认不外发。

真正值得花精力的是两件事：缩小索引范围、管好第三方插件。其余的按默认配置即可，不必过度收紧。