# 数据边界

了解哪些公共 discovery 数据可以安全公开，以及账号所有的 memory 控制从哪里开始。

- Canonical: https://docs.xmemo.dev/zh/docs/security/data-boundary
- Locale: zh-CN
- Content-Locale: zh-CN
- Canonical-Content-Digest: 60c5103dbd684f1b24a8ce0f249dd7b024151c0e64b2dca3e5e70a994b0a9f29
- Edition-Digest: 26c628127cf53b130dd44bd380096394954ce7bb094f735ddafeb86bfe728594
- Source-Revision: sha256:1c0c4619560ac18c96a38e09f2ebf229e2a12cb0f09904d1034e02e129a4e441

## 公共 surface 与账号所有 surface

Discovery 数据有意保持公开且不包含 secret。所有接触已存储 memory 的操作都位于经过认证且限定 owner 范围的边界之后。

- 公开且只读：service discovery、MCP tool catalog、支持的客户端列表。
- 账号所有：memory content、agent attribution、删除与导出。
- 绝不公开：token、token hash 或任何 credential material。

## 检查公共 discovery 文档

无需 credential 也可以安全获取 discovery response，这正是它适用于客户端设置的原因。

```bash
curl https://xmemo.dev/.well-known/memory-os.json
```

## 检索响应不应被缓存

Search 和 recall 响应携带 no-store header，审计日志只记录是否存在 query 或 path，不记录其内容。

```http
Cache-Control: no-store, private
Pragma: no-cache
```

## Memory Console 控制

XMemo 不只是一个 MCP endpoint。Memory Console 是面向用户的管理入口，可查看、修正、删除和导出记忆，同时保留 agent 归因可见。

### 查看和搜索记忆

打开控制台查看已保存的记忆、检查路径和记忆类型，并确认某次召回是否应该返回特定条目。

### 编辑或修正条目

修正过时事实、移动到更清晰的路径，或替换旧备注，让后续助手召回用户认可的最新上下文。

### 删除和导出

使用账号流程删除不再需要的记忆，并找到账号范围记忆审查的导出路径。

### Agent 归因

查看是哪一个客户端或 runner 写入了记忆，包括客户端发送的非密钥 agent 与 instance 标签。

### 隐私与凭据控制

在扩大个人或团队试点前，保持 OAuth 授权、direct-token 使用、环境变量密钥交接和支持边界可见。