PaperPhonePlus
从可靠聊天到朋友圈、公开时间线与百人会议，一套完整的自托管通讯网络。
Ed25519 签名LiveKit SFU原生多端
Source update先验证身份，
先验证身份，
再建立信任。
以下安全能力来自两款项目的最新共享源码，原生安装包与镜像发布状态请查看各客户端仓库。升级需协调服务端与所有平台客户端，旧客户端无法识别新签名信封。
线下密码与双向验证
文本外观密码是验证对方的凭证，只在线下交流，不要发到网上。双方验证完成并确认挑战回执后显示绿色 ✅；安全号码仍需通过可信线下渠道核对。
成员变化，密钥轮换
分发群密钥前先私聊验证成员。加入、退出、移除或身份重置推进群密钥代次；离群者不能领取新密钥，但无法远程删除其已保存的旧密钥或明文。
明确加密边界
签名验证消息来源，正文加密保护内容；账号关系、群成员、时间和路由等元数据仍由服务端处理。附件文件本身不因消息签名而获得端到端加密。
Two editions相同的通讯底座，
相同的通讯底座，
不同的取舍。
Plus 面向丰富的日常与团队场景，Lite 面向对网络匿名与最小攻击面有明确要求的用户。两者都开放源代码、支持自托管，并采用端到端加密。
功能完整01
Plus
你需要音视频会议、朋友圈、公开内容、完整推送和应用商店分发时，选择 PaperPhonePlus。
- 最多 100 人会议
- 朋友圈与时间线
- iOS / Android / 桌面
- 服务器本地文件存储
极简隐私02
Lite
你希望服务器完全不暴露公网 IP、客户端强制走 Tor，并愿意舍弃音视频与社交模块时，选择 PaperPhoneLite。
- Tor v3 onion service
- 无公开域名或端口
- 仅保留通讯核心
- 内嵌 Tor 原生客户端
PaperPhonePlus
一个完整的私人通讯生态。
Plus 以 React 19 + TypeScript 构建客户端，以 Rust / Axum 承载服务端。当前源码为私聊加入 Ed25519 签名和双向身份验证，新群消息强制签名与 Sender Key 加密；身份私钥留在本地，服务器仍处理必要元数据并保存上传附件。
可靠消息发件箱重试、消息 ID 幂等、服务端序号增量同步与断线补齐。
百人会议LiveKit SFU 支持 1:1 与最多 100 人群组音视频、主席静音和讲课模式。
丰富社交朋友圈、可见性控制，以及图片/视频驱动的双列公开时间线。
原生消息推送FCM、ntfy 与 APNS 覆盖 Android 和 iOS；当前源码另支持可选 Bark 提醒。
原生多端客户端iOS、Android、Windows 与 macOS 复用一致的客户端体验。
大型群组最多 2000 人；新群消息强制签名与 Sender Key 加密，成员变化时轮换密钥。
Plus in depth为真实使用场景
为真实使用场景
补齐每个环节。
Plus 不只负责把消息送达，也照顾跨网络恢复、离线使用、账号安全、内容治理以及从小型私聊扩展到大型群组的完整过程。
消息签名与身份验证
私聊采用 X25519、XSalsa20-Poly1305 与 Ed25519 签名。线下约定文本外观密码，完成双向验证后显示可信标记；身份密钥变化即撤销信任。
真正可用的离线模式
按账户缓存联系人、群组、社交内容与每会话最多 2000 条消息。离线追赶按服务端序号分页，先保存密文再推进游标，并按历史密钥重试解密。
500MB 文件与丰富消息
支持丰富消息与最多 20 条文件消息批量下载。单文件最大 500MB；头像及社交媒体永久保存，聊天附件默认保留 14 天。附件文件本身不因消息签名而获得端到端加密。
会话、2FA 与自动删除
30 分钟 Access Token、90 天设备 Refresh Token、TOTP 两步验证，以及 1 天至 1 月的消息定时删除。
语音消息与实时变声
语音消息、1:1 和群组通话提供 0.8x、1.0x、1.2x 三档本地音频处理。
管理、举报与拉黑
内嵌多语言管理面板处理举报、删除内容和封禁用户；客户端支持拉黑与朋友圈双向隐私控制。
PaperPhoneLite
不暴露服务器，也不悄悄回到明网。
Lite 的生产部署通过 Tor v3 onion service 直接转发至 Rust 服务端，不需要公开域名、Nginx 或应用端口，MySQL 与 Redis 也不暴露。生产客户端必须内嵌 Tor，等待 bootstrap 完成后才能登录，并禁止 .onion 连接失败时回退明网。
消息加密与签名当前签名路径使用 X25519、XSalsa20-Poly1305 与 Ed25519，不宣称 ML-KEM 后量子密钥协商。
本地聊天锁可为本设备聊天增加额外正文加密、手动锁定与离开前台自动锁定；密码只在线下交流，不上传或自动同步。
8 种文本外观正文先用额外密码加密并转换为选定外观，再进入端到端加密；双方须设置相同密码，外观样式可不同。
精简但不简陋保留私聊、2000 人群聊、语音变声、丰富消息、好友标签、二维码、2FA 与拉黑。
可靠同步按账号持久化同步游标，分页追赶到完成；保留待解密密文并按历史密钥重试，已丢失的密钥无法恢复。
本地持久卷单文件最大 500MB；头像永久保存，聊天附件按服务端配置定期清理，旧文件自动迁移。
Side by side
一眼做出选择。
Lite 不是 Plus 的低配版，而是面向不同威胁模型的独立产品。它用功能收缩换取网络身份隐藏与更小的部署表面。
| 能力 | PaperPhonePlus | PaperPhoneLite |
|---|---|---|
| 核心定位 | 完整通讯生态：聊天、社交、会议与内容发布 | 轻量匿名通讯：只保留关键聊天能力 |
| 网络入口 | 公网 HTTPS / WebSocket，可配代理 | Tor v3 onion service；生产环境禁止回退明网 |
| 消息加密 | X25519 + XSalsa20-Poly1305 + Ed25519；群聊签名与 Sender Key | X25519 + XSalsa20-Poly1305 + Ed25519；群聊签名与 Sender Key |
| 群组规模 | 最多 2000 人；新群消息强制签名与加密 | 最多 2000 人；新群消息强制签名与加密 |
| 音视频通话 | 支持，LiveKit SFU，最多 100 人会议 | 已彻底移除 |
| 社交内容 | 朋友圈 + 公开时间线 | 已移除朋友圈与时间线 |
| 文件存储 | 服务端本地持久卷，最大 500MB；聊天附件默认保留 14 天 | 仅服务端持久卷，最大 500MB；头像永久保存，聊天附件定期清理 |
| 后台推送 | Android 使用 FCM / ntfy；iOS 使用 APNS；当前源码支持可选 Bark | Android 使用 ntfy；iOS 可配置 Bark；默认允许 api.day.app，自建 Bark 主机需服务端放行；应用自身不注册 APNS token |
| 客户端 | iOS、Android、Windows、macOS；共享 Web UI 不独立部署 | 内嵌 Tor 的原生客户端；普通 PWA 不作为生产客户端 |
| 自托管 | Docker Compose 部署后端；原生客户端连接；需配置 LiveKit | Docker Compose + Tor；无需公开域名、Nginx 或应用端口 |
Architecture现代技术栈，
现代技术栈，
两种部署边界。
两款项目共享 React / TypeScript 客户端与 Rust / Axum 服务端的技术方向，但围绕文件、媒体、推送和网络入口采取不同组合。
为完整体验扩展
适合需要公网服务、多端推送、音视频与服务端本地文件存储的个人、社区或组织。
React 19 + TypeScript Vite · Zustand · 原生壳共享 UI
Rust + Axum 0.8 JWT · Argon2 · WebSocket
MySQL 8 + Redis 7 持久化 · 在线路由
LiveKit + 本地持久卷 音视频 · 文件存储
为隐藏边界收敛
适合愿意使用专用客户端，并把隐藏服务地址作为唯一网络入口的私密部署。
内嵌 Tor 原生壳 等待 bootstrap · 不回退
Tor v3 onion service 直连 Rust 后端
Rust + Axum 消息 · 文件 · 推送
MySQL + Redis + Volume 均不公开端口
Archify · Source map
从源码看清架构。
两张交互图展示客户端、消息服务、数据库、文件与外部依赖。点击组件查看固定版本源码；图中文字为中文，原生壳内部实现不展开。
Generated with Archify · Source & generation notes
通讯可以丰富，也可以克制。
两个项目均以 AGPL-3.0 开源。Plus 提供 Android、iOS、Windows 与 macOS 原生客户端，不独立部署 Web 聊天前端。Lite Android APK 通过客户端仓库 GitHub Releases 分发，不上架 Google Play；iOS 计划通过 App Store 发布。下载与发布状态请查看各平台仓库。
PaperPhonePlus 官方服务器地址：https://619.chat
PaperPhoneLite 官方服务器地址：http://piwlgftybcoeyoda3r7mjuzhk2kyszkiqw75m4afi57zszjujce3n6id.onion