把自己的开销记进一个 App，安全吗
一本账是一份关于你去过哪、做过什么的详细记录。不同类型的记账 App 各自握着什么、在交出数据之前该问哪些问题，以及这一个的坦白答案。
一本家庭账，比人们在记它的时候意识到的要暴露得多。读上一年的记录，你可以还原出这个人住在哪、在哪上班、什么时候出差、常去哪家药店、吃什么、喝不喝酒、赌不赌、什么时候生过病、一段关系什么时候开始又什么时候结束。一份支付历史就是一份带着价格标签的行踪历史。
这并不意味着你不该用。它意味着「这安全吗」这个问题值得一个真实的答案，而不是一个让人安心的形容词；而且不同类型的 App，答案差别非常大。
三类 App，各自握着什么
连账户的
这类会接到你的账户上，通常经过一个聚合服务，自动导入流水。它是最省事的一类，也是风险最集中的一类，因为那个连接是一种长期存在的授权，而不是一次性的动作。
关于它们要弄明白的是：中间通常有一个你并没有挑选、名字也未必显眼的第三方。取决于国家和接入方式，这个访问可能来自一套有监管、范围有明确定义的开放接口，也可能来自「某个服务替你保管着能读取你账户的凭证」。两种都存在。有监管的那种定义清楚得多，而你值得知道自己同意的是哪一种。另外也值得问：如果那家聚合服务被收购了，已经导入的数据会怎么样；以及这个 App 的商业模式除了你付的订阅费之外还有没有别的。
手动记录、云端同步的
交易由你自己录入；App 把它们存在自己的服务器上，好让它们到得了你的其他设备和家里的其他人。这一类完全不接触银行，所以你账户的任何东西都不会交出去，最坏情况被限制在「你自己选择打进去的那些条目」范围内。
取舍是真实的，但要窄得多：数据在别人的服务器上，而你依赖的是那台服务器被称职地运维、以及运营方对「谁能读到它」这件事说得直白。Fambook 属于这一类，装作不是没有意义。
纯本地的
一切都留在设备上。这是隐私上最强的一种立场，代价也很具体：不能和伴侣共享，不能在第二台设备上用，而且手机丢了又没有备份的话，账本就没了。对一个人自己记账来说，这常常就是对的答案。而对一个需要两个人看同一本账的家庭来说，它根本不是一个选项——共享按定义就需要某处有一台服务器。
交出数据之前值得问的问题
- 我的数据在哪，用一句话说清。一个在自己官网上都没法直白回答这个问题的 App，本身就说明了一些事。
- 我能把什么导出来，什么格式，要不要花钱？「能导出」是一项服务和一个陷阱之间的分界线。如果导出你自己的记录需要订阅，那是一个关于把柄的设计决定，不是一个关于成本的决定。
- 我能不能自己在 App 里注销账号并删掉数据？「发邮件给客服申请删除」是一道摩擦机制，而且它是你在注册之前而不是之后就能评估的。
- 它连不连我的银行，如果连，是通过什么连的？有监管、范围明确、可撤销的开放接口，和替你保管凭证去抓取页面，不是一回事。
- App Store 的隐私标签写了什么，和它的宣传对得上吗？标签是开发者自己申报的，不是被逐项核验的，但标签和首页之间的不一致本身就很说明问题。
- 它有没有广告或者数据分析生意？一个既不订阅也不放广告的 App，钱是从某个地方来的，想知道是从哪来的很合理。
- 它关门的时候会怎样？小 App 是会关的。数据能导出来的 App，是你能在它关门之后活下来的 App。
共享账本额外带来的那个问题
共享是让一本家庭账值得记下去的那个功能，而它引入了一种和服务器毫无关系的风险：账本里的其他人看得到你记了什么。
这话听起来是废话，却经常被忘掉，通常是在「买礼物」这个具体情形上。而在一些并不假设性的处境里，它要紧得多——正在离开一段控制型关系的人、和父母共用一本账的成年子女、正在分开的过程中。如果你处在其中之一，请把共享账本默认当成「可见的」，并且把那些必须留在外面的东西留在外面。
还值得看一下一个 App 怎么处理加入和退出。在 Fambook 里，加入一个家庭需要一个由某人生成、并且会过期的邀请码，双方都要动手；而且——这是最让人意外的一点——你已有的记录不会被并进共享账本。你加入之前记的账仍然挂在你名下。退出一个家庭，也不会把你的历史带走。这个行为是刻意的：把某个人几百条私人记录悄悄倒进一本共享账里，那不叫功能。
Fambook 是怎么处理的，直说
既然这一页的主旨就是「含糊本身才是问题」，那就给一份直白的说明。
- 每一笔账先写进你自己手机上的数据库，然后上传到我们的服务器，服务器跑在 Supabase 上。正是这次上传，让共享和换手机之后取回账本成为可能。
- 谁能读到某一行数据，是数据库自己拦的，而不是靠 App 讲规矩：一行数据能被创建它的那个账号读到，也能被它所属的那个家庭读到。跨账号的操作都发生在服务器上，你手机里的 App 根本没有被赋予往别人家庭里写数据的能力。
- 没有银行连接，也没有绑卡。你账户的任何东西都不会交出去，因为它从来没有被要过。
- AI 功能是唯一会把东西发给我们之外的公司的通道，而且只在你按下按钮的时候才跑。一张小票照片、一段粘贴进来的账单文本、或者你说的那句话转出来的文字，会被转发给模型服务商，让它把金额和分类读出来。照片不会被保存——App 的数据库里根本没有存图片的列。语音是 iOS 在你手机上转成文字的，音频不会上传。你一次都不按那几个按钮，就什么都不会发给模型服务商。
- 定位如果你允许，只用来给你当下正在写的这一笔建议一个地点名。在你点一下之前它只是个建议，最终存下来的是一个名字，挂在那一笔上。
- 导出成 CSV 是免费的，而且会一直免费。导入也是。一个走不掉的 App 是个陷阱，而把导出放到订阅后面正是造陷阱的方法之一。
- 注销账号连同数据，在 App 里一步完成。
- 没有广告，也没有靠卖数据挣钱的生意。订阅就是商业模式，它买到的是省打字的功能，而不是访问你自己记录的权限。
我们没法诚实地宣称的是「数据永远不离开你的手机」。它会离开——正是这件事让一本共享的家庭账本成为可能。任何把一个会同步的 App 说得像数据从没出过手机的宣传，要么是自己搞糊涂了，要么是指望你糊涂。
不管你选哪个 App，都值得做的几件事
- 每隔几个月导出一份副本，放在你自己控制的地方。这一个动作同时防住了 App 关门、账号出问题，以及你自己的误操作。
- 用一个独立的密码，并且把这个账号上能开的第二重验证打开。
- 在你需要做决定之前，就先想清楚什么该进共享账本。
- 留意这个 App 什么时候向你要什么权限。一个在你还没记过任何东西的首次启动时就要定位的 App，是在要一样它还没有挣到用途的东西。
- 如果你在欧盟、英国或者类似法域，你在法律上有权拿到一份可携带格式的自己的数据——GDPR 第 20 条等等。任何让行使这项权利变得困难的 App，光凭这一点就值得离开。
现实的结论不是记账 App 不安全。而是「安全」并不是一个 App 具备的属性，它是一组关于存储、访问、导出和商业模式的具体答案。这些答案对你可能用的每一个 App 都存在；差别只在于，它们有没有被写在你读得到的地方。
常见问题
把记账 App 连到银行安全吗？
这非常取决于连接是怎么建立的。一条有监管、范围明确、你能撤销的开放接口连接，处境比「凭证被第三方保管」好得多。请问清楚你同意的是哪一种，以及中间那家聚合服务是谁。Fambook 完全没有银行连接。
Fambook 把我的数据存在哪？
先在你的手机上，然后在我们的服务器上，服务器跑在 Supabase 上。一行数据能被创建它的账号和它所属的家庭读到，这是数据库强制的，不是靠 App 自觉。两台手机之间的共享，正是这台服务器存在的理由。
不注册账号能用吗？
不能。这本账是共享的，必须到得了第二台手机，所以需要账号。如果你想要一个真正纯本地的记账工具，就去用一个明确这么说的，并接受共享和换机取回数据都不可用。
我的小票照片会被上传并保存吗？
如果你按了那个按钮，照片会被发出去读金额和分类，而它不会被保存——App 的数据库里没有图片列。如果你从来不用这个功能，就不会有任何照片被发到任何地方。
我的伴侣能看到什么？
记进共享家庭里的全部内容。你加入之前记的账不会被并进去，仍然是你自己的。请把共享账本默认当成可见的，把任何必须保持私密的东西留在共享范围之外。
怎么把数据导出来，或者删掉？
随时可以在 App 里把整本账导成 CSV，免费。注销账号并删除数据是 App 里的一步操作。想留底就先导出，因为删除之后我们这边也没法帮你恢复。
拿一个月试一遍
Fambook 给一家人一本共享的账：谁都能几秒钟记一笔，每笔都写着是谁花的，一个月的账加总在一处，而不是两处。没信号照记，有网再同步。记账、分类、预算、统计、CSV 导入导出、云同步，以及两人共享，全都免费——订阅买到的只是「少打点字」。