用戶端加密、無可信伺服器的多裝置檔案庫

它承諾什麼

歷史、垃圾桶和衝突是同一條鏈

每個檔案有穩定的身分，路徑只是屬性。每台裝置附加自己的簽章日誌，其他裝置驗證成員權限、雜湊鏈和因果相依後合併。刪除是一個 tombstone 版本，移動是改變路徑的版本，衝突是多個沒有因果先後的 head。

目錄和掛載只呈現目前版本，不產生衝突副本檔案。版本只能由明確清除或隨索引同步的保留原則退役（預設 365 天），先進入 30 天待退役狀態，期間任何裝置都可以撤銷。

裝置、存放點、金鑰

把不常用的檔案移出 Mac 硬碟

一台常開的機器設為完整裝置，Mac 設為部分裝置並掛載。Mac 上只保留釘選目錄和最近讀取的內容，其餘在 Finder 裡照常列出，開啟時才從完整裝置或存放點取回，超出預算後自動釋放已確認存在於別處的內容。未同步的本機寫入和開啟中的檔案不會被釋放。

已在 macOS 27 與 FUSE-T 上實測：掛載點帶有 .metadata_never_index，排除 Time Machine，Finder 瀏覽全部目錄後快取位元組不變，離線讀取立即回報錯誤而不是卡住。

現在能發布嗎

尚未完成

• WebDAV 存放點；OneDrive / Dropbox / Google Drive 私有 API 與行動端。
• 子樹授權：依目錄給不同成員不同權限。金鑰衍生已預留，授權尚未實作。
• 配對與復原證明仍是 32 MiB 的單一物件，尚未實作 multipart。
• 所有既有裝置都遺失後，單一復原裝置不能管理裝置清單。這是為了防止舊復原金鑰偽造輪換而刻意保留的限制。
• 百萬檔案、100 GB 單一檔案、1 TB 總量的長期規模驗收；真實公網 NAT 與中繼；真實雲端帳號。
• 沒有發布流程，沒有外部安全稽核。程式碼採用 MIT 授權。

命令列

密碼從 CIPHERFS_PASSWORD 或互動輸入讀取；S3 憑證從環境變數讀取，不寫入共享索引。

cipherfs init --path ~/vault
cipherfs put --vault ~/vault --source ./notes.txt --target docs/notes.txt
cipherfs store add directory --vault ~/vault --dir ~/Library/CloudStorage/Dropbox/cfs
cipherfs sync directory --vault ~/vault --store-dir ~/Library/CloudStorage/Dropbox/cfs

cipherfs role set partial --vault ~/vault --read-cache-bytes 2147483648
cipherfs pin add --vault ~/vault --path docs
cipherfs mount --vault ~/vault --mount-point ~/CipherFS --background

cipherfs devices list --vault ~/vault
cipherfs safe-to-remove --vault ~/vault
cipherfs history --vault ~/vault --path docs/notes.txt
cipherfs export --vault ~/vault --target ~/plain-copy --history

Rust 應用程式使用 SyncedVault：put、put_from_reader、get、get_to_writer、get_range、delete、list。寫入成功代表本機已持久化，背景負責同步、重連和重試。記憶體用量與物件大小無關。

演算法