浏览器传文件可以很安全，也可以只是在一个漂亮页面里把文件交给陌生设备。地址栏有小锁，只能说明你和网站服务器之间的 HTTPS 正常；“P2P”也只描述连接方式，不自动保证接收方身份、日志最小化或下载内容无害。
安全并不需要用户读完协议规范。多数风险都能从界面和一次小规模试用中看出来。下面的十二项按连接前、传输中和结束后排列，既适合普通用户自查，也可以作为产品评审清单。
连接前：先确认你要找的人
- 首次连接有明确同意。附近扫描到设备不等于已授权，接收方应看到请求并核对名称。
- 连接码短期有效。六位码适合输入，却不适合长期充当密码；应快速过期、限制尝试次数并只用一次。
- 设备有长期身份。可信设备重连时验证密钥，而不是只相信可修改的昵称或当前 IP。
- 可以撤销信任。丢失手机、使用公用电脑后，应能删除设备关系并阻止自动恢复。
同一局域网发现只是一种“找到候选人”的方式。咖啡店里的两台电脑可能共享公网出口，却不该因此自动互信。产品把发现、请求和授权分成三步，才不会为了省一次点击牺牲边界。
传输中：加密之外还要看路径和完整性
- 当前路径可见。页面区分直连与 TURN 中继，不用“在线”两个字掩盖实际路线。
- 中继凭据受控。TURN 使用短期授权、配额和并发限制，避免公共账号被滥用。
- 控制操作能抢先送达。取消、拒绝和停止重连不会排在海量文件块后面。
- 进度以远端确认为准。写入本地缓冲不等于接收成功，结束后还应进行摘要校验。
WebRTC 会加密链路，TURN 中继通常无法打开正文，但中继仍能观察网络地址、时长和流量规模。服务运营方应限制这类元数据的留存。对高度敏感的文件，可在发送前再用双方掌握密码的加密压缩包封装，形成独立于传输服务的第二层保护。
接收后：完整不代表无害
- 有完整性结果。页面明确显示 SHA-256 等摘要校验通过，而不只是“已收到全部分块”。
- 危险类型不自动打开。可执行文件、脚本、宏文档应保存后由用户决定，不在页面里直接运行。
- 未完成数据能清理。失败或取消的分块不会无限留在浏览器存储，用户也能手动删除。
- 日志没有正文。错误上报与行为统计不包含文件名、聊天内容、剪贴板文本、连接码、私钥或完整 IP。
剪贴板与屏幕共享要单独授权
设备已经连接，不代表对方可以读取系统剪贴板或观看屏幕。浏览器通常要求剪贴板操作发生在用户动作之后，屏幕共享每次都由用户选择窗口、标签页或屏幕。产品不应设计“连接成功就自动开始”来绕过这种心智边界。
共享期间需要持续可见的状态和一键停止。观看方刷新或离开后，发送方应及时知道会话结束；连接恢复也不能自动重新授予捕获。剪贴板历史中可能有验证码、令牌和密码，最好只发送用户明确选择的单条内容，并提供本地清除。
安全的埋点长什么样
产品确实需要知道连接成功率、直连与中继比例、速度区间和错误阶段，否则无法改善体验。但字段应在发送前就做白名单：事件名、功能、结果、粗粒度耗时、字节区间、浏览器大版本即可。高基数字段会带来隐私和分析噪音，通常也没有决策价值。
浏览器报错收集要去掉查询参数、URL 片段、用户输入和堆栈中的令牌；服务端设置保留期和访问权限。安全日志用于发现攻击，行为分析用于理解功能，它们目的不同，不应无边界混在一张表里。
两分钟快速检查
第一次使用时，先用不敏感的小文件连接。观察是否有接收确认、能否看到连接路径、取消是否立刻同步、结束后是否显示校验。刷新一侧，看看可信连接怎样恢复、旧任务是否乱跳。最后在设置或设备列表中确认可以解除信任。
uCopy 把首次授权、可信设备恢复、传输路径、任务状态和功能权限分开处理。在 连接页面核对设备，进入工作区后再选择文件、剪贴板或屏幕共享。安全不是一个小锁图标，而是这些细节在每个边界都说到做到。