Future Journal

未来日记 · Future Journal

这是什么

一个单页、离线、手机优先的电子手账。每天三分钟，三步：

1. 描摹一句浅灰引导句
2. 用过去时写下今天希望发生的一件事
3. 句末挑一个心情词

49 天为一轮，每周换一个主题（小确幸 → 身体节奏 → 关系 → 作品 → 金钱 → 空间 → 未来已来的我）。

方法与节奏参考山田弘美、滨田真由美所著的日记实践书。本工具不是该书的官方产品， 49 句引导句全部为原创，书中正文内容未被使用。

目录

以上 5 个文件（含 SKILL.md 自身）是 skill 的完整能力面，发放给别人的就是这些。

维护者工具（只在本仓库，不进 ClawHub 发布包）

它依赖 jsdom（开发期依赖），属于「改这个仓库的人用的」，不是「装这个 skill 的人用的」。 不要把它打进 ClawHub 发布包 —— 维护者工具混进发布包被判过 suspicious / DO_NOT_INSTALL（见 MAINTAINING.md 里记的那次教训）。

改页面前后必跑的闸门

改句库：

node scripts/check-prompts.js

改页面逻辑或样式（仓库内，需要 jsdom）：

node scripts/check-prompts.js
NODE_PATH=~/.workbuddy/binaries/node/workspace/node_modules node scripts/test-journal.js

两个都要退出码 0。

test-journal.js 覆盖三组：A 数据不丢（打字自动落盘 / 刷新还原 / 防抖窗口内切 tab）、 B 无障碍与键盘可达、C 拿不到 2D 上下文时的降级。

一个顺手的巧合：jsdom 不实现 canvas 2D，getContext('2d') 恒返回 null， 所以 C 组那条降级分支在 jsdom 里是被真实执行的，不是 mock 出来的。

交付页面给用户

把这个文件复制到用户指定的位置就行，它没有任何依赖：

cp assets/index.html ~/Desktop/未来日记.html

• 双击用浏览器打开即可使用（file:// 协议下完整可用）
• 手机端：把文件传到手机后用 Safari 打开
• 数据存在浏览器 localStorage，键名 future-journal-v1

不要为它起本地服务器。 页面不依赖服务器就能完整使用（唯一的例外是可选同步）， 起服务器只会带来额外故障点。

例外：想用「跨设备同步」就必须走线上网址 —— 见下面的「同步」一节。

回答「今天写哪一句」

node scripts/today.js 2026-09-17           # 以该日期为第 1 天，算到今天
node scripts/today.js 2026-09-17 --day 8   # 直接指定第几天

输出第几天、本周主题、今天要描的句子。用户想写在实体本子上时用这个。

改引导句库

49 句内嵌在 assets/index.html 的 <script id="prompt-data"> JSON 块里。 编辑后必须跑校验，退出码 0 才算通过：

node scripts/check-prompts.js

检查项：7 周 × 7 句的结构、重复句、将来时标志词、句末情绪词、单句长度 ≤ 30 字。

新句子的公式

时间锚点 + 一件具体的好事 + 完成态 + 句末情绪词

• 对：今天的活一件件推进了，我很安心。
• 错：我希望今天工作顺利。 ← 将来时，方法明确要求写过去时

中文没有时态标记，肉眼判断「是不是过去时」极不可靠，所以校验脚本用 禁止将来时标志词这条硬规则兜底。不要跳过。

数据在哪（重要，别承诺错）

默认情况下，页面数据只存在用户浏览器的 localStorage 里，skill 读不到。因此：

• 用户问「我写了什么」→ 让他在页面的「回顾」页看，或从「设置」导出 JSON
• 用户要备份 / 换设备（不登录）→ 页面「设置」里有导出与导入按钮
• 清缓存 / 换浏览器，本机数据就没了 —— localStorage 的固有特性，务必如实告知
• 「进度」「3 个想要的」都在同一个 state 里，导出 / 导入是整包，不拆分

跨设备同步是可选功能，且必须先发布到线上网址，见下一节。

同步（可选，需先发布到线上）

页面内置了「账号登录 + 端到端加密」的跨设备同步，但有三条硬约束：

1. 只在线上网址可用。 判断依据是 location.protocol：file: 开头时页面会直接提示 「联网同步要在发布后的网址上用」，且不加载 SDK。双击本地文件打开 = 纯本地模式， 这和以前完全一样，不要因此认为页面坏了。

2. 需要先激活云服务并建表。 表是 journal_sync，一人一行，只存密文：

   id BIGINT identity PK / owner_id TEXT DEFAULT auth.uid() UNIQUE
   cipher TEXT NOT NULL / updated_at TIMESTAMPTZ
   

   owner_id 由数据库默认值填充（TEXT，不是 uuid），客户端永远不要发这个字段。 RLS 要同时给 GRANT 和 POLICY 两道，缺一不可。

3. 加密在浏览器里做，服务器只有密文。 PBKDF2 20 万次派生 AES-GCM-256 密钥， 密钥存本机 localStorage（fj-dk），不上传。所以同步密码丢了，云端那份就解不开， 本机记录不受影响 —— 这句话必须原样告诉用户，不能含糊。

其他约定：

• 首次登录后要用户自己设「同步密码」，不自动生成 —— 他要能在别的设备上手输同一个
• 推送是写完后延迟合并触发（schedulePush），不是每次按键
• 冲突用 mergeStates 合并：按天取 at 较新的一条，「3 个想要的」按文本取并集
• 云端写入走「先查后定 insert/update」，不用 upsert —— 因为 owner_id 是数据库默认值， 客户端不知道值，onConflict 无从下手

配置串（endpoint + publishableKey）存在本机 fj-cfg，用户换设备时粘贴一次即可。

⚠ 不要把配置串写死进页面

看起来最顺手的「优化」是把 endpoint / publishableKey 直接内嵌进 assets/index.html， 这样用户就不用粘贴了。绝对不要这么做。

这个页面是要分发给别人的 skill 资产。一旦写死，任何装了这个 skill 的人打开页面都会连上 同一个后端——虽然 RLS 按用户隔离、彼此看不到内容，但陌生人会在号主的环境里注册账号、 消耗号主的配额。作者自己用着舒服的代价，是所有人的数据都涌向同一个人的账上。

配置串必须由使用者自己提供（fj-cfg 或设置页粘贴）。号主自己的那份也走同一条路—— 把配置串放在 skill 目录外面的文件里，这样它永远不会随 skill 分发出去。

这个 skill 会碰网络吗（如实清单）

发布审核最容易被卡的点不是「有联网」，而是声称与实际不符。所以这里列全， 一个不漏 —— 如实罗列比写得含糊安全。

这个表以外，没有别的：

• 无统计、无埋点、无第三方字体 / 图标 CDN
• 无硬编码的服务器地址或密钥：endpoint / publishableKey 一律由使用者自备
• 不配同步时：页面从 file:// 打开，一个网络请求都不发（SDK 根本不加载）
• scripts/today.js、scripts/check-prompts.js、references/DESIGN.md 全程纯本地

远端 SDK 必须钉版本 + 校验完整性

assets/index.html 里的 SDK_URL / SDK_SRI 是一对必须同进同退的常量：

var SDK_URL = '…/@tencent-ai/workbuddy-cloud-sdk@<具体版本>/lib/index.global.js';
var SDK_SRI = 'sha384-<该版本文件的 sha384>';

为什么这条是硬约束：这段远端代码和页面同源执行，能读到 localStorage 里的日记正文、 fj-cfg 里的后端地址与 key、以及导出的加密密钥 fj-dk。所以「加载哪一份」不能由 CDN 当下决定。用 @dev 这类漂移标签，等于审核时的那份代码和用户实际执行的可以是两份。

• 改版本 → 必须用 hashlib.sha384 对新文件重算哈希并写回 SDK_SRI
• 忘了改 → 同步会静默失效（onerror 会给出提示，不会留半截界面）
• scripts/test-journal.js 的 D 组会卡住这个约定；@dev / @latest 一出现就失败
• <script> 上的三个属性缺一不可：integrity（不放行改动过的字节）、 crossorigin="anonymous"（SRI 需要 CORS 取文件）、referrerpolicy="no-referrer"
• 用 setAttribute 写而不是 s.integrity = …：后者的 IDL 反射不是所有引擎都有

那句话「加载远程脚本」确实是扫描器会多看两眼的模式——所以页面把它做成 必须先有人粘贴配置串才会发生，不是打开就跑。这是刻意的，改的时候别把它提前。

登录用的「账号」到底是什么（别答错）

不是 WorkBuddy 账号，也不是微信 / Google / Apple 之类 —— 是使用者自己那个云服务环境里的 终端用户账号，用邮箱当唯一标识，登录靠邮箱收到的 6 位验证码（也可以另外设密码）。

要说准的四点：

• 邮箱只存在使用者自己配的那个后端里。分发 skill 的人拿不到任何东西。
• 平台目前不提供匿名登录，所以只要想跨设备，邮箱就是唯一的身份选项，没有更轻的替代。
• 让人填邮箱确实是审核会留意的一类信号（收集个人信息）。三条缓解都已到位： 完全可选（不登录 = 纯本地，功能一个不缺）、不是作者的服务器、日记内容端到端加密。
• 反过来：配置串被别人拿到，他的邮箱就会进那个人的后端 —— 这是「配置串必须使用者自备」 的又一个理由。

页面的几个设计决定（改动前先理解）

• 回看是延迟解锁的：满 7 天才打开上一周。这是刻意设计，不是 bug —— 方法本身建议不要天天回头翻。不要把解锁提前。
• 「过一遍」有两种方式，不要拿掉任何一种：有触控笔走「用笔描」（canvas，只记录笔迹、 不做对错判定，描歪也算过）；鼠标或触控板走「照着打一遍」（照着灰字逐字输入，打对变深、 打错标红但不拦）。两种都记 traced: true，traceMode 存方式。 触控板描摹是手眼分离，实测无法控制 —— 打字模式不是可选项，是必需项。
• 笔迹按归一化坐标存储（0–1 区间），所以换设备、换屏幕尺寸后不会错位。
• 输入框字号锁 16px：低于此值会触发 iOS Safari 自动缩放。不要改。
• 写作框必须自动落盘，不许退回「点按钮才存」。 曾经只有「收好了」按钮会写 S.entries[day].text，而 renderToday() 又会用已存的值覆盖输入框 —— 于是「打了一半切个 tab」或「直接刷新」就把正在写的内容丢了。现在有 5 个落盘点：输入防抖 500ms、 切 tab、pagehide、beforeunload、页面隐藏。切 tab 前必须先 flushWrite() 再渲染。 描摹和心情词本来即时存，写作框过去是唯一的例外，别再制造这个例外。
• 同步卡片的 4 个状态都在 renderSyncCard() 一处渲染：未填配置串 / 已填未登录 / 已登录待设同步密码 / 已连接。改同步相关文案只改这一个函数，别散到各处。
• 可读性优先于纸感。 正文一律 ≥ 4.5:1、UI ≥ 3:1。唯一豁免是描摹引导字 （--trace，#ABA492，2.20:1）—— 它的身份是"盖着描的底稿"不是正文，真按 4.5:1 加深， 描上去的笔迹就和底稿分不清了。等价路径已备齐：打字模式用弱墨（4.55:1）、打印版加深到 6.71:1。 别在别处复用 --color-trace。
• 状态不能只靠颜色。 已写 / 今天 / 未来的差异落到 disabled + aria-label 上； 心情词的选中态落到 aria-pressed；当前 tab 落到 aria-current。 读屏读不出"底色深浅"，只写 CSS 等于没做。
• 能力探测要在动 DOM 之前做。 典型例子：canvas.getContext('2d') 会返回 null （浏览器禁用画布、或 iOS Safari 画布上下文超限）。原来 openTrace() 直接 .font = … 就抛 TypeError，表现为点「用笔描」毫无反应。现在先探、拿不到就原地退回打字模式 并给一句人话。"点了没反应"比报错还差。
• 焦点环必须是一层额外描边，不能只靠改边框色（触屏上看不见）。 全站 :focus-visible 用 2px 赤陶 + 2px offset；赤陶底上的按钮换成主墨描边。 不要写 outline: none。

不做什么

• 不默认开同步。 不登录 = 纯本地，这条不能被改动破坏。同步必须由用户主动粘贴配置串开启
• 不做推送提醒（页面关闭即止，做不到）。想每天被提醒，用 WorkBuddy 的定时任务推当天引导句
• 不做暗色模式（纸质手账没有暗色版）
• 不引入任何第三方图标库、字体 CDN、统计脚本 —— 离线可用是硬要求 （云同步 SDK 是唯一例外，且只在线上模式按需加载，版本钉死 + SRI 校验）

语言与区域范围（Language & Locale Scope）

默认简体中文（zh-CN），英文双语说明随包提供。界面与文档以中文为第一语言，英文可用。

• 为什么默认中文：这套方法的语感建立在中文上 ——「过去时」在中文里靠词汇而非词形、 「心情词」的调子、49 句原创引导句的措辞，都以中文为第一语言。
• 中英双语：包内提供英文能力摘要（skill-card.md）；用户书写内容不限语言，中英文皆可； 页面字体栈按中英双语定义（西文回退 Georgia / -apple-system），中英混排不会掉字体。
• 其他语言：界面文案与引导句库目前以中文为主；需要其他语言的界面或句库，可向作者提出。

Scope statement (English) — Default locale is Simplified Chinese (zh-CN), with English documentation bundled (skill-card.md). User entries are not language-restricted: journal content may be written in Chinese or English. Font stacks are bilingual and fall back to Latin families for English text. Other interface languages or prompt libraries are available on request.

版本历史

• 1.0.3 — 语言声明统一为**「默认中文 + 中英双语」口径（1.0.2 里写成「只支持中文、 不提供语言切换」的方向是错的，反而压不下 SQP-3）。全文按同一口径重写： SKILL.md（新增「中英双语」条目）、README.md、assets/index.html（<html lang> 处）、 references/DESIGN.md（引言 + 字体栈旁，如实说明西文回退 Georgia / -apple-system、 中英混排不掉字体**）、scripts/check-prompts.js、scripts/today.js。 同时消除文档自相矛盾的「声称与行为不符」风险。

• 1.0.2 — 针对 ClawHub 安全扫描报告逐条复核后的修复（skillspector 13 条）： ① 把「语言」声明升级成有界范围声明（Language & Locale Scope），并逐文件补齐 —— assets/index.html、references/DESIGN.md、scripts/*.js 此前只有 SKILL.md/README.md 有声明，是 SQP-3 被判 MEDIUM 的原因（已有声明的那两个文件只判 LOW）。6 条 SQP-3 全部落到同一口径。 ② 清掉包内全部 default-ignorable 码点（U+FE0F 变体选择符 5 处）与 references/DESIGN.md 里混入的希腊大写字母（U+0394，原本写在亮度符号前面）—— 这是 AE4（Unicode / 混写异常）的直接触发特征。 ③ 6 条 AE1 经查证不予处理：源码显示它只在「被引用文件未被扫描器完整检查」时生成， 属覆盖率信号而非文件缺陷（已排除体积 / NUL / 编码 / 混淆四类真实成因）， 消除它只能靠删引用 —— 那是刻意规避。

• 1.0.1 — 修掉 ClawHub 安全扫描的 suspicious：云同步 SDK 从漂移的 @dev 标签改为 钉死具体版本 + SRI 完整性校验（扫描报告 SDI-2）；补齐「开启同步后哪些数据会离开设备」的 前端告知与文档说明（SDI-1）；声明中文优先是有意为之（SQP-3）。回归测试新增 D 组，44 条全过。

• 1.0.0 — 首次发布。