打开一封邮件，本可以像展开一页纸：字句在前，余白在侧。多数订阅信另有一套习惯。它们是一张小网页——远程头图、追踪像素、跳转链接，版式要等发件人服务器的资源加载完，才「像样」。你一旦选择不加载，字句往往跟着碎掉：灰块、破表、按钮悬空。
安全阅读要处理的，不只是隐私分叉，更是读得完、读得稳、读得好看。默认拦截远程图，不等于把信变成废墟；把字句重新放回可读的纸面，才是「唯愿字句，独自呼吸」。
打开时，网络在替谁说话
风险常常不在字句，而在网络。一张远程图就足以汇报打开；追踪像素只是尺寸无聊的 <img>。下面的演示不连接真实追踪服务器，只模拟「加载 / 拦截」时请求日志会怎样。
周五值得看的三条产品笔记
感谢阅读。下面的完整版式依赖发件人 CDN 上的远程图……还有一颗只为确认「你是否打开」而存在的不可见像素。
精选故事缩略图（远程）。它能加载，1×1 追踪图也能。
Orvia 默认拦截远程图片。在你明确加载前，它不会向远程图片主机发起请求。
Orvia 默认拦截远程图片：在你明确允许前，不会向远程 http(s) 图片主机发起请求。接下来更难的一步，是让拦截后的纸面仍然可读。
为了「仍可读」，我们试过的路
在安全阅读定型前，常见方案都只推开问题的一边，对优雅阅读都不完整。
永远加载远程图。 活动版式最完整，打开追踪也最完整。好看的第一天，往往换来被计量的每一天。
只拦截，仍渲染原始 HTML。 隐私成立，版式崩坏。用户骂客户端，不骂发件人的表格。字句还在 DOM 里，却读不下去。
剥成纯文本。 最安全，也最寡淡。标题、列表、引用层次消失，长信变成字墙——安全，却谈不上阅读。
图片一律经我们代理。 能藏 IP，却把信任集中到云端，延迟上升，也治不好「字印在图上」的设计。优雅阅读不该以交出正文为代价。
我们要的默认更接近：隐私留在本机；结构与层次留下；远程加载必须是显式选择；不为了「好看」假装追踪是阅读的入场券。
打开时在本机走完的几层
安全阅读会在打开邮件时于本机依次完成清洗、占位、重排；需要时，再由你决定是否加载远程图。
默认不加载远程图；拦截后可进入安全阅读的重排视图，也可查看清洗后的原始 HTML。信任发件人时，再显式加载远程资源。
三种纸面：活动稿、拦截稿、阅读稿
同一封模拟通讯，三种呈现。第三方主机不会被请求；「远程」是为了让你感到版式与字句如何消长。
来自产品组
周五值得看的三条产品笔记
没有头图也能读懂的短导语。发件人把一半意义放进了美术；安全阅读保住文字。
精选故事缩略图来自发件人 CDN。版式与字体仍跟活动模板走。
在 Orvia 里，被拦截的远程图会计数，让你知道缺了什么。加载须由你点头，打开邮件本身不必附带这一步。
本周还有：简短更新说明、两条快捷键提示，以及添加工作邮箱时的设置指南链接。
在网页继续你收到此信是因为订阅了通讯。退订 · 偏好设置 · 在浏览器中查看
为了优雅阅读，技术上做了什么
拦截只是门槛。要让字句「独自呼吸」，需要在清洗之后继续为阅读服务。
先安全，再谈版式
入站 HTML 在本机经清洗器（SwiftSoup）处理：去掉 script / iframe 等活动面与 on* 事件；重审链接并收紧协议；把远程图的 src / srcset 清空，原址写入 data-orvia-remote。内嵌 cid: 图在传输阶段已转为 data URI，签名与真附件仍可显示。随后注入严格 CSP（如 default-src 'none'、img-src data: blob:、referrer no-referrer）。DOM 清理与 CSP 是腰带与皮带：先保证打开不等于任由页面在暗处联网。
重排：把「网页残骸」收回成可读的文章
仅拦截时，营销 HTML 仍按表格与绝对定位呼吸，灰块会毁掉节奏。安全阅读把剩余内容收成标题、正文、列表等块，用客户端自己的阅读排版重画：
- 尺度与行长：正文落在舒适的行宽内，避免活动信常见的超宽或碎栏。
- 字距与行高：字号与行距按通读来定，避开邮件模板里忽大忽小的促销层级。
- 留白：充足的页边距，让段落像纸面一样「喘得上气」——与标题「独自呼吸」同一意图。
- 去掉喧宾：顶栏彩条、标签堆、破图占位、8pt 免责等阅读噪音，在阅读模式中收起或弱化，把注意还给字句。
- 结构诚实：保留标题与列表等语义，一并收成可读文章；引用、代码与正文共用一套度量与节奏。
- 本机完成：清洗与重排不把正文上传到「云端美化服务」，读信不必为排版交出内容。
安全原始 HTML 与安全阅读是两种选择：有人只要隐私不要重排；有人要文章式纸面。二者共享同一套远程拦截底座。
占位与恢复
远程地址写在 data-orvia-remote 上。「加载远程」直接恢复原址，无需再向邮箱服务器取一遍原文。交互更快，也保留发件人指向的精确资源。显式加载时才放宽图片 CSP；在那之前，打开不会被记成图片打开像素。
对「字在图里」诚实
若意义全印在远程美术上，拦截后纸面必然不完整。我们宁可露出缺口，也不经基础设施自动代理每一张图来假装「又完整又隐私」。优雅阅读包含诚实：能读的字句尽力读好；读不到的图，由你决定是否打开。
怎样算有效：隐私与可读一起验
- 网络：拦截时，远程图主机对该次打开应为 0 请求。
- 可感知：占位可计数，界面能清楚写出缺了几张远程图。
- 可恢复：加载远程先还原 URL，再放宽 CSP。
- 失败关闭：解析失败不「尽力」渲染攻击者原始 HTML。
- 可读：拿真实订阅信看——没有头图，重点是否仍抓得住；层次是否还在；是否比碎表格更愿意读完。
- 可控：可设默认加载远程图，或拦截时是否进入安全阅读——保真与安静，由你选。
收束
安全阅读要守住两件事：打开不必等于同意被计量；打开之后，字句仍有一张像样的纸。清洗、CSP、占位与重排，让默认更接近读信，少一点向远方打卡的网页感。