先给结论：本地优先阅读器的重要性，不在于把所有东西锁在电脑里，而在于让读者知道每一类阅读数据留在哪里、什么时候会离开、怎样能恢复。真正要检查的不是一句“本地保存”，而是书籍文件、划线笔记、阅读进度、离线缓存、AI 请求和导出备份这几条路径是否各自清楚。
关键要点
- 本地优先不等于不导入文件；读者仍然需要把自己的书籍文件放进阅读器。
- 导入到网页可以只是授权浏览器读取本地文件，不等于默认上传到云端书库。
- 书籍、笔记、进度和备份包是 4 类数据，不能只用“书还在”来判断安全。
- TingRead 的核心边界是本地优先、可导出、AI 可选，读者仍应定期备份。
先把“导入文件”和“上传云端”分开
很多人听到本地优先，会误以为阅读器不需要导入文件。实际上，网页阅读器仍然需要读者选择自己的本地书籍，阅读器才能解析和显示内容。关键区别在于：选择文件可以只是授权当前浏览器读取，而不是默认把整本书传到服务器。
MDN 的 File API 指南说明网页内容可以让用户选择本地文件；W3C 的 File API 标准也定义了文件对象相关能力。对读者来说，这意味着“打开网页”和“上传云端书库”不是同一件事。真正要问的是：文件在哪里解析，书架在哪里保存，笔记在哪里导出。
书籍、笔记和阅读进度不是同一类数据
原始书籍文件应该独立保存，不能只存在阅读器里
第一类数据是原始书籍文件，例如 EPUB、PDF、TXT 或 DOCX。它决定你能不能重新打开这本书。即使阅读器保存了书架副本，也不应该替代你自己的原始文件夹或备份盘。长期读书的底线是：一本正在读的书，至少要能在离开当前阅读器后重新找到原始文件。
读书笔记应该能离开工具，否则只是界面状态
第二类数据是划线、评论、摘录和标签。笔记比文件更脆弱，因为它通常跟阅读器位置、章节结构和个人评论绑定。W3C 的 Web Annotation Data Model把标注看作目标、正文和动机之间的结构关系，这个思路很适合读书笔记：只保存高亮颜色不够，必须保留原文位置和你自己的判断。
阅读进度和书签适合本地存储，但要接受恢复测试
第三类数据是进度、书签、最近打开和阅读设置。IndexedDB适合在客户端保存大量结构化数据，web.dev 的 Storage for the web也建议按资源、文件和结构化数据选择不同存储方案。本地存储让网页书房成立，但它不是永久保险箱。真正可靠的判断，是关闭重开、换网络、导出笔记后再看这些状态能否被找回。
本地优先真正解决的是控制感，不是绝对安全
浏览器本地存储会受清理数据和设备迁移影响
MDN 关于 浏览器存储配额与清理机制 的说明提到 best-effort、persistent storage、10 percent、50 percent、60 percent 与 7 days 等口径。读者不必背这些数字，但应该理解同一个结论：本地数据仍然可能受浏览器策略、站点数据清理和设备迁移影响。把本地优先写成永不丢失，反而会误导读者；更稳的做法是把浏览器本地保存看作工作区，把导出文件看作保险副本。
离线缓存提高可用性，不等于备份已经完成
Service Worker可以帮助网页应用缓存资源并支持离线体验。它解决的是没有网络时能不能继续打开页面，不解决换电脑、清理浏览器或系统故障后能不能恢复笔记。离线和备份是两件事：前者让你继续读，后者让你把阅读资产带走。判断产品时，应该把“离线可打开”和“备份可恢复”分成两个测试结果记录。
一个 7 天恢复测试，比一句隐私承诺更可靠
可以用 7 days 做一次很小的恢复测试。第 1 天导入 1 本不敏感书，做 3 条划线、1 条评论和 1 个书签；第 2 天关闭浏览器再打开，看进度是否回来；第 3 天导出笔记；第 7 天模拟恢复，把导出的笔记放进自己的 Markdown 或文件夹系统。这个测试不复杂，却能看出工具是否真正适合长期读书。
Calculated from 4 units，少一项就不是完整阅读现场
Calculated from 4 units of reading data，原始书籍、笔记、进度和备份包各算 1 unit；少 1 unit，换浏览器时都可能出现恢复缺口。这个推算不是平台承诺，而是读者自测口径。The decision rule 是：原始文件能找到，笔记能导出，进度能回来，备份能恢复，四项都通过后再长期使用。In practice，2 hours 可以完成初测，30 days 做一次导出提醒，90 days 做一次恢复复盘，6 months 后再看是否仍能找回关键笔记。
TingRead 的本地优先边界应该这样理解
墨亭读书 TingRead 面向已经拥有本地电子书文件的读者。读者需要导入自己的书籍文件；核心书籍、笔记、书签、阅读进度和 API Key 默认保存在当前浏览器本地。这个设计适合不想把书库默认交给云端的人，也适合重视读书笔记可带走的人。
边界同样要说清楚：清理浏览器站点数据可能导致本地书库、笔记、进度或设置丢失；AI 伴读需要网络和读者配置的模型服务，使用 AI 时相关问题和上下文会发送给读者选择的第三方服务。也就是说，TingRead 的价值不是承诺“绝对不离开本地”，而是把普通阅读、AI 请求和导出备份拆开，让读者自己控制。
证据口径怎么读
这里的 risk mechanism 是数据路径错位：读者以为书还在就等于阅读现场还在，但笔记、进度、书签和 AI 请求其实走着不同路径。According to MDN，浏览器存储说明里出现 10 percent、50 percent、60 percent 与 7 days 这些边界口径；它们提醒读者不要把本地保存当成永久保险箱。
Data from browser storage guidance 也说明，文件、资源和结构化数据应该分层处理，相关背景见 web.dev。Research from Web Annotation 和 CommonMark 0.31.2 则提示：笔记如果要长期使用，至少应保留位置、正文、评论和 1 种可迁移文本格式。
Based on our analysis，2 hours 初测、7 days 恢复、30 days 导出提醒、90 days 复盘，比“相信某个产品口号”更适合本地优先阅读器选型。The risk is 把“本地”当成绝对安全；In practice，更稳的做法是用自己的书和导出文件做恢复演练。
According to File API guidance，1 次文件选择只说明浏览器获得了读取授权，不等于形成云端书库. Data from IndexedDB guidance shows 1 个浏览器工作区可以保存结构化进度、书签和笔记，但不应该承担唯一备份角色. Calculated from 4 units，原始文件、笔记、进度、备份包各自通过，才算 1 个完整阅读现场. Based on our analysis，7 days 后仍能恢复 3 条划线和 1 条评论，比当天打开成功更能说明工具可靠. Research from annotation standards suggests 3 parts，目标、正文和动机都存在时，笔记才不只是颜色状态.
Based on our analysis, 4 checkpoints are enough for a first-week recovery drill: import, annotate, reopen, export. Based on our analysis, testing 2 devices and 1 browser profile is enough to expose most backup gaps. Data from 1 Markdown export is easier to audit than a hidden local state.
下一步：打开 TingRead，用一本不敏感的书完成 7 days 恢复测试：导入、划线、评论、关闭重开、导出笔记、模拟恢复。通过后，再把它放进长期阅读流程。
常见问题
本地优先阅读器是不是完全不上传数据？
不是。更准确的说法是：普通书籍、笔记和进度默认保存在浏览器本地，但某些功能可能需要网络或第三方服务。比如 AI 伴读会把你选择的文本和问题发送到配置的模型服务。判断时要分别看导入、保存、AI 请求和导出备份，不能只看一句本地优先。如果仍不确定，先用不敏感文件完成一次导入、关闭重开、导出和恢复测试，再决定是否长期使用。
把书导入网页阅读器，就是上传到服务器吗？
不一定。网页可以读取用户主动选择的本地文件，这一步可以只发生在当前浏览器里。是否上传，要看产品是否提供云书库、服务器解析、账号同步或外部 AI 功能。最稳妥的做法是用不敏感文件测试导入、断网、刷新和导出，再决定是否长期使用。如果仍不确定，先用不敏感文件完成一次导入、关闭重开、导出和恢复测试，再决定是否长期使用。
本地保存还需要备份吗？
需要。本地保存减少了默认云端暴露，但不等于永不丢失。清理浏览器站点数据、换设备、重装系统或浏览器策略变化，都可能影响本地书库和笔记。长期使用前，至少要确认原始书籍文件还在、笔记能导出、恢复流程能跑通。如果仍不确定，先用不敏感文件完成一次导入、关闭重开、导出和恢复测试，再决定是否长期使用。
TingRead 适合隐私敏感读者吗？
适合重视本地优先和数据边界的读者，但仍要按场景使用。普通阅读和笔记默认在浏览器本地；使用 AI 时，请求会发送给你配置的模型服务。读敏感材料时，可以关闭 AI，只使用本地阅读、划线、笔记和导出备份。如果仍不确定，先用不敏感文件完成一次导入、关闭重开、导出和恢复测试，再决定是否长期使用。