ZDR：零数据保留的边界
请求正文、用量元数据与会话历史有不同的生命周期。评估零数据保留，需要核对完整调用链路。
Foxmu · 更新日期: 2026-10-05
逐层梳理数据链路
企业请求可能包含员工问题、检索片段和模型回答。接入前应梳理业务系统、网关、上游供应商、会话存储和文件索引，明确哪些数据可以离开内部系统。
为每一层记录处理主体、数据类型、存储位置、访问权限、保留期限和删除方式。缓存、备份、错误报告、排障追踪也应进入同一份评审清单，避免正文从旁路进入长期存储。
区分留存、训练与历史
不参与模型训练、不保存请求正文和关闭聊天历史，描述的是不同控制。需要按照实际供应商、模型、接口以及组织或项目配置分别确认，不能用一个设置代替全部约定。
store=false 之类请求参数不能单独构成完整留存承诺。浏览器会话、上传文件与知识索引可能独立保存；关闭上游存储并不代表这些数据自动删除，也不代表网关全链路符合零数据保留要求。
让排障遵守同一边界
日常观测优先保留请求标识、模型、状态、耗时和 Token 用量等必要元数据。若事故排查需要采样正文，应在采集前确定审批、脱敏、访问人员和删除时间。
备用线路、重试、标题生成和工具调用也应遵循相同策略。合规线路不可用时，应返回明确失败，而不能静默切换到另一种数据处理方式。排障工单与追踪标签同样需要检查。
验证完整生命周期
使用合成内容检查成功、失败、超时与重试路径，核对日志、追踪、临时存储和导出文件，然后实际执行删除与备份到期清理。保留测试条件与证据，以便配置变化后复验。
有用的交付物是数据流图、留存矩阵与可重复的验证记录。官方说明用于核对上游条件，不能单独证明 Foxmu 或业务应用已具备端到端 ZDR 保障；应以具体链路的配置和约定为准。