可观测性不是把所有数据发出去，而是让关键事实可解释

Loopback、厂商 SaaS、临时直连与公网入口不能混称“网络模块”

它们的攻击面、数据接收者、credential 与撤销方式完全不同。审计时应为每条路径单独写数据流。

事件名很小，context 可能很大：隐私审计要看最终 payload

PostHog 初始化与事件包装应检查 opt-in/out、distinct id、属性白名单和错误对象序列化。不能因为事件名是 button_clicked 就假定没有敏感数据。

• 01默认最小：只收产品决策真正需要的字段。
• 02明确关闭：用户关闭后停止新事件并处理缓存。
• 03错误脱敏：路径、命令参数、prompt 与 token 不进入异常属性。
• 04文档一致：代码事件与隐私声明同步。

Webhook 一旦通过 tunnel 暴露，local-first 就不再等于 local-only

公开入口必须校验 secret、限制 payload、处理重放与速率，并把外部请求转换成受限内部命令。不能让请求体直接成为 shell 或 prompt。