三栏法

一条思维记录写的是你那天在怕什么、有多相信它，比大多数笔记都私密。所以应用只按一条原则设计：程序只拿刚好够用的能力，限制放在它绕不过去的位置。

没有联网权限

应用申请的系统权限只有两个：USE_BIOMETRIC 和 USE_FINGERPRINT，都只为可选的应用锁服务；命令输出里的另外两行，是 androidx.core 自动加入的一个应用私有权限的声明和使用，签名级，不授予任何能力。里面没有 android.permission.INTERNET。这个限制由 Android 系统执行：没有这个权限，应用自己的代码打不开 socket，它链接的库打不开，以后新加的库也一样。可以在下面的 APK 上核对：

aapt dump permissions The-Three-Column-Method-v1.7.2.apk

数据只在应用自己的存储里

记录保存在应用私有目录下的 Room（SQLite）数据库里。没有账号，没有同步，没有统计 SDK，没有崩溃上报。数据离开应用只有两种方式，都由你主动发起：导出为 JSON 文件，或把单条记录经系统分享面板发出去。

早期版本有一个例外：数据库被包含在 Android 的备份规则里，只要系统自带的备份开着，你的 Google 账号里就会有一份副本。这条通道属于系统备份，不是应用自己的代码，但数据确实因此离开了设备。1.6.0 把它关掉了：android:allowBackup 设为 false，两份备份规则文件一并删除，系统不再为这个应用做备份。这一条同样可以在 APK 上核对：

aapt dump xmltree The-Three-Column-Method-v1.7.2.apk AndroidManifest.xml | grep allowBackup

输出里的 0x0 即 false。恢复数据现在只有一个途径：你自己导出的文件。

可选的应用锁

应用锁是可选的，用指纹、面容或设备密码解锁。锁定期间，应用在「最近任务」里的预览被隐藏，截屏也被禁止。这两条防的都是记录在屏幕上被人看到的情况：手机递到了别人手里，或者为别的事截图时把一条记录截了进去。

AgentGuard 把同一个思路用在大得多的程序上：先决定程序可以碰什么，再把限制放在它绕不过去的位置。具体的设计取舍写在《设计一个从不联网的笔记应用》里。