不用账号、不上云的目标记录：你换来了什么，又交出了什么
一个没有登录、也不发任何网络请求的 App，能给你什么、又确实拿走了什么，以及怎么自己动手验证一句隐私承诺，而不是只看商店里那张卡片。
几乎所有目标类、习惯类、日记类 App，都会在给你看任何东西之前先要你注册一个账号。这个开场太标准了，标准到大多数人直接点过去，不会去想它究竟是为了什么——而对于一个会记下「你想改掉自己哪些地方」的工具来说，这个问题值得问一下。
还有另一种做法，这篇要讲的是它的真实代价。Northstar 就是这么做的：没有登录界面，App 也不发任何网络请求。这既是一个真实的优势，也是一个真实的限制，两头都该说清楚。
账号通常是拿来干什么的
账号有它正当的工程理由：多设备同步、丢了手机之后恢复、以及网页端访问。它也有一些理由是关于生意而不是关于你的——一个能把行为挂上去的稳定身份、一个能挂在这个身份上的订阅、一个可以用来做召回的邮箱地址，以及一份能让公司估值更高的资产。
重点在于：一个目标记录工具，并不需要账号才能工作。目标、阶段、步骤和每天的记录，都是很小的结构化数据，本身既不涉及多人也不必然涉及多设备。账号是一个产品决策，不是技术必需——你至少该知道自己买的是哪一种。
你换来了什么
不可能被泄露的数据，因为它压根没被收集过
就是这一条，而且它比任何「我们会小心保管」的承诺都强。一台从没收到过你目标的服务器，泄不了它、被调取时交不出它、员工翻不到它，公司被收购时也没法把它一起交出去。「静态加密」是好实践；而「根本没有这份数据」，是另一个量级的保证。
而这确实是值得琢磨一下的一类数据。一份目标记录会写着你为什么事羞耻、你在试图修好自己的哪一部分、你的自律是在什么时候垮的、垮了多久。它离日记更近，离待办清单更远。
没有行为画像
如果没有统计 SDK，就没有东西记录你打开过哪几屏、在哪里犹豫了多久，或者你是在半夜几点编辑一个关于少喝酒的目标。Northstar 里没有统计 SDK、没有崩溃上报、没有广告 SDK，也没有归因框架；App 不发任何网络请求，所以这类汇报根本没有可以送去的地方。
在哪儿都能用，而且是立刻
在飞机上、在地下室、在穿隧道的列车里，以及装好之后开着飞行模式的第一次启动。没有转圈的加载，没有「无法连接服务器」，也没有一个横在你和 App 之间、要你现编一个密码的首启流程。
没有账号生命周期要伺候
没有密码要存，没有验证邮件，没有会在某个周二过期的登录态，没有隔三个月回来时的找回密码，也没有营销邮件。删除是一个本地操作，而不是一份你提交上去、然后只能选择相信的申请：在 Northstar 里，它是「我的」那一屏上、两次确认之后的一个动作，清空所有表和所有本地偏好。删完之后没有什么云端副本需要你再去追。
没有权限弹窗
一个不联网、也不发通知的 App，本来就没什么可申请的。Northstar 不申请任何权限——没有定位，没有通知，没有通讯录，也没有那个追踪授权弹窗。反过来说，如果一个 App 张口要一个它明显用不上的权限，那不管它的隐私政策怎么写，这件事本身就值得留意。
你交出了什么
这一节是纯本地类 App 通常会略过的，所以这里写全。
没有同步
你的目标只在一台设备上。没有 iPad 端的同一份数据，没有网页端，也没有「手机上记、电脑上看」的用法。如果你确实跨设备工作，这是实打实的损失，而且再多的隐私也补不上一个你够不着的工具。
没有服务端备份
没有一份放在服务器上的副本可供恢复。真正兜住你的是操作系统自己的设备备份——一份加密的 iCloud 或电脑备份是包含 App 数据的，所以恢复过的手机能把记录带回来。这是一张有意义的安全网，但它得是你已经打开了的，值得去确认一下，而不是默认它开着。
手机丢了，可能就是数据没了
在没有设备备份的情况下，手机丢失或损毁会把记录一起带走。这是这笔交易里最锋利的那道口子，也是对前面那一整节最诚实的配重。
没有分享、没有监督搭子、没有排行榜
社交监督对一部分人非常有效。一个没有服务器的 App 提供不了它。如果真正能把你赶出门的，是和朋友共享的一串打卡记录，那纯本地的工具就是选错了——该挑那个对你管用的。
换手机时没有备份就接不上
迁到新手机是一次「备份—恢复」操作，而不是一次登录。它是能用的，但那是一个你得动手执行的步骤，而不是输个密码就自动发生的事。
怎么自己验证一句隐私承诺
这个品类里每个 App 都说自己尊重隐私。这句话很廉价；下面这些验证办法不需要你会看源码。
- 装好之后，在第一次启动之前先开飞行模式。一个真的不需要服务器的 App 会完整可用；一个在那儿转圈、或者过不去登录页的 App，已经告诉了你它需要什么。
- 看它张口要什么。一个离线工具要追踪授权、要通讯录、要定位，那就是在要它声称的功能并不需要的东西。
- 看账号是不是强制的。「可选登录，用来同步」和「不注册就什么都看不见」，是完全不同的两种姿态。
- 读 App Store 的隐私卡片，尤其是「与你关联的数据」和「用于追踪你的数据」这两栏。只要「追踪」下面有条目，就说明装了广告或归因 SDK，不管宣传文案怎么写。
- 看删除是怎么做的。如果删数据意味着给客服发邮件然后等，那数据在服务器上；如果是 App 里一个按下去立刻生效的按钮，那它是本地的。
- 在 iOS 上，正常用一周之后去「设置」里看这个 App 的蜂窝数据用量。一个不发网络请求的 App，这一项基本上是空的。
有一点必须说清楚
「纯本地」指的是 App 什么都不往外发。它不等于「拿到你解锁的手机的人也看不到」。真正守住这些数据的是设备层面的保护——锁屏密码、Face ID，以及由此带来的磁盘加密——干这件事的是操作系统，不是这个 App。Northstar 这个版本里没有单独的应用级锁；如果你的威胁模型是「手机会被别人拿去、而且是解锁状态」，那真正起作用的控制项是手机自己的锁屏密码。
你该选哪一种
如果你就用一台设备做这件事、如果这些内容属于你不太愿意放在别人服务器上的那类、并且你已经打开了设备备份——那就选纯本地。做目标记录的人里，符合这三条的占相当大一部分，对他们来说这笔交易几乎不用付什么代价。
如果你确实跨设备工作、想要网页端，或者「有人一起盯着」才是让你真正动起来的东西——那就选带账号的同步型 App。这些都是真实的需求，本地工具满足不了。真正的错误不在于选择同步，而在于：一个你只会在一台手机上打开的 App，你却顺手接受了一个账号、一份行为画像和一套数据留存政策——仅仅因为那是默认流程。
常见问题
没有账号的话，我的数据存在哪儿？
存在你手机上、App 内部的一个数据库文件里，另外还有几项本地偏好。什么都不会被传出去，因为这个 App 根本不发网络请求。
手机丢了，数据会怎么样？
如果你有加密的设备备份——iCloud 或者电脑备份——恢复手机就能把记录带回来。没有设备备份的话，数据就没了。这是「没有服务端副本」直接对应的代价。
能把目标同步到 iPad 吗？
不能。所有东西都在这一台设备上，没有同步，也没有服务端备份。如果跨设备对你很重要，纯本地的 App 就不合适——早点知道这一点更好。
我怎么确认一个 App 真的不联网？
第一次启动前先开飞行模式，然后正常用一遍——真离线的 App 会完整可用。再用一周之后去「设置」里看它的蜂窝数据用量，同时读一下 App Store 隐私卡片里有没有「用于追踪你的数据」。
拿一个真的目标试一遍
Northstar 把目标切成阶段、阶段切成你自己写的步骤，然后每天只给你一件事做。所有统计都从你自己的记录里算出来，没得算的时候就给空状态，不会编一个数字填上。所有东西都留在设备上——无账号、无同步、无统计埋点、无推送。免费，没有内购。