「我们看不到你的照片」是一个可以核对的说法
每个隐私应用都会说类似的话。多数时候，这是「我们会小心处理你的数据」的营销缩写，和「我们在结构上无法访问」不是一回事。这是两种说法，其中只有一种真的能核对。
核对分成两部分：Privately 还没参与时，iPhone 上已经发生的事，以及 Privately 在那之上加了什么。
任何应用碰到之前，照片已经加密
从 iPhone 8 起，设备上的每个文件，包括每张照片，都由一块叫 Secure Enclave 的芯片保护。它是独立于主 CPU 的处理器，单独处理加密密钥。照片写入存储时，会得到自己的加密密钥。这把密钥再被另一把密钥包裹，那把密钥绑着你的密码，以及出厂时烧进 Secure Enclave、读不出来也抽不走的硬件标识。手里拿着手机的人做不到，Apple 也做不到。
锁上手机，解密这些数据所需的密钥对系统的其余部分就不可用。Face ID、Touch ID 或密码会让它们重新可用。所以，除了很特殊的硬件攻击，一台被偷走且仍锁着的 iPhone 不是一叠可以阅读的照片文件。在有人证明自己是你之前，它是加密后的噪声。
这些都不是 Privately 独有的。这是 Apple 给这个平台上每个应用的基线，而且已经在保护你现在的相机胶卷，不管照片有没有被隐藏。
对建在这之上的应用，「我们看不到你的照片」实际是什么意思
有了这条基线，应用打破承诺的方式只有一种：把照片移到 Secure Enclave 的保护到不了的地方。服务器、云存储、分析管道、支持工单。路径上有网络的，都算。
Privately 不做的，就是这一件。应用里没有任何上传步骤，没有用来把锁定照片同步到后端的登录账户，也没有一台可能被传票调取、被入侵，或者只是配置错误就把你的照片放上去的服务器。如果图库从不离开这台设备，「我们看过」在物理上就不可能发生，无论我们想不想看。
这件事也不必只听我们说。这个网站上的 EXIF 清除器和照片打码工具用同样的方式运行，而且你大约十秒就能自己验证。打开浏览器的开发者工具，看网络面板，放进一张照片，去掉元数据。什么都不会发出去。同一套结构，只是比原生应用更容易把调试器对准。
锁定相册补上了系统默认不给你的东西
如果整台设备已经加密，应用还要加什么？分离。普通的数据保护把图库里的一切同等加密，问题也正在这里。孩子的生日照片，和你不想被人随手翻到的那一张，在同一次解锁后面。Face ID 通过一次，全部都看得见。
锁定相册是第二座、独立的保险库。移进去的照片会从库、相机胶卷和 iCloud 照片同步里消失，解开手机也不会打开它们。它们需要自己的 Face ID、Touch ID 或 PIN。这是「和其他所有东西一起加密」与「加密了，而且不和其他所有东西待在同一个房间」的差别。这段差距的长版本写在和 iPhone 自带隐藏相册的比较里。隐藏相册用的是本文说的同一套数据保护，但没有分离这一步。
这不包括什么
把界限说清楚：上面说的是结构，也就是数据物理上在哪里，技术上谁能够到。它没有谈论针对作为系统厂商的 Apple 的法律程序，没有谈论越狱或已被入侵的设备，也没有谈论相册开着的时候站在你背后的人。加密解决的是「能不能通过网络够到」。它从来不是为了解决「密码是不是也写在便签上」。
如果想看一张照片在被锁起来之前就能暴露什么，我们写过每张照片默认携带的元数据：GPS 坐标、设备型号、时间戳。Secure Enclave 对它们没有意见，因为那不是它保护的东西。
Privately 可以免费下载。锁定相册和其他 Pro 功能是直接的订阅：没有免费试用，保险库里面也没有额外推销。