ZDR 实践：梳理 AI 请求的数据生命周期
区分训练用途、内容保留和运行元数据，逐层核验请求经过的系统。
Foxmu · 更新日期: 2026-10-19
先明确哪些数据不能留存
ZDR，即零数据保留，需要有明确的适用范围。“不用于训练”并不自动说明提示词、响应、文件或会话状态会保留多久。评估应先区分请求内容与必要的运行元数据，再为每一类数据定义目的、存储位置、访问者、保留期限和删除方式。
例如，请求编号可用于排障，但完整提示词需要单独说明保存理由。不能因为业务需要计量，就默认保存全部请求体；也不能因为界面不显示历史，就认为服务端、缓存和诊断系统都没有副本。
沿完整调用路径检查副本
检查范围应包括浏览器历史、业务数据库、网关、上游推理、错误采集、缓存及第三方工具。特别关注超时、分享会话、上传文件和开启诊断时，哪些系统会新增数据副本，谁能够读取。
使用不含真实客户信息的合成标记进行测试，分别检查正常结束与异常路径。数据流图应标明已验证的节点，以及仍需供应商或应用负责人确认的部分。实际保存行为无法观察时，应记录证据缺口，不能把推测写成保证。
按账户、端点和功能核验资格
文末 OpenAI 与 Anthropic 官方说明核验于 2026-10-19。其数据政策需结合实际账户、端点和功能阅读；有状态功能与外部工具还需单独检查。上游提供的政策不能直接代表 Foxmu 及业务应用的端到端承诺。
建议维护一张资格表，记录批准的账户、模型、端点、功能和政策依据。新增文件处理、会话保存或远程 MCP 时重新审查。请求能够成功返回，只说明功能可调用，并不证明它符合所要求的数据保留条件。
验证到期和删除是否真的生效
为在线存储、队列任务、检索索引、缓存和备份分别定义删除语义、执行负责人及完成时限。若某类副本无法立即物理删除，应说明其真实生命周期，不应把一个“删除”按钮当作充分证据。
测试删除后的内容能否通过新会话、分享链接或旧索引重新找回。日志应排除密钥、请求正文等敏感内容，同时保留足够的非内容信息用于定位失败。删除测试和日志检查要覆盖成功、超时、重试及任务取消。
把要求写进发布证据
只有功能条件和数据政策都匹配，路由才应进入该应用的可用集合。验证主路由失败后，敏感请求不会自动落到未经批准的目的地，并为供应商政策变化、功能变更和配置调整安排复核。
验收记录包括范围、检查过的配置、合成测试、尚未解决的例外和负责人。可以结合 Foxmu ZDR 指南明确平台核验边界，再通过 MCP 实践检查第三方工具的数据去向。