Syzygy PRO 配对与同步：激活、信任建立与参数语义

Syzygy（朔望）这个词来自希腊语，指三个天体在引力系统中排成近乎直线的天文现象。这款产品做的事与此同构：让多台设备在剪贴板这件事上连成一线。PRO 权益改变的是配对这件事的边界。基础版可以注册登录、使用本机剪贴板历史，免费手机还能与一台 PRO 电脑建立配对；免费版电脑不参与配对，两台免费设备之间也建立不了关系。PRO 把电脑端的配对能力与更大的配对额度解锁，并解除基础版的部分限制，例如语音输入单次连续录音的 60 秒上限。这篇文章按实际操作顺序讲清三件事：激活码怎么变成设备上的 PRO 权益，配对在后台建立了什么信任，以及同步的每个参数（50 MB、5 MB、3 条、优先级）到底控制什么。排障一节收集了配对和同步最常见的几种失败形态。读完后你应该能回答两个问题：屏幕上的这次失败发生在哪一层；列表里这条内容为什么只有摘要而没有正文。

#激活：从一枚激活码到设备上的权益

激活的前半程在网页端完成，共五步：

1. 登录 Syzygy 账号；
2. 进入激活页面，输入拿到的激活码，点击兑换；
3. 在弹出的权益确认界面核对这份激活码包含的权益；
4. 点击确认并兑换；
5. 激活成功后进入席位页面，权益以席位形式出现在表格里。

后半程是席位分配。每一行席位的最右侧是操作列，点击分配按钮，在弹出的界面里选中要授予 PRO 权益的客户端，确认分配。一个账号下的席位与客户端是分离的：权益先落在席位上，分配动作决定哪个客户端拿到它。

设备要拿到权益还有最后一步：打开客户端，到账户页面点击刷新。这一步不能省，因为权益的权威状态保存在服务端，客户端需要显式刷新才会拿到最新的权益投影。PC 端的刷新按钮在 Settings 的 account 页，移动端在侧边栏顶部 account 页的右上角。刷新成功，客户端即获得 PRO 权益，配对能力随之解锁。配对关系建立后权益失效或角色变化，已建立的配对与同步会受限，但本地功能照常运行。

#配对：点下「发起配对」之后发生什么

操作路径本身很简单：

1. 打开软件，进入 Peers 配对界面；
2. 选择「配对新设备」，在候选列表中选中对方；
3. 进入对方信息展示列；
4. 点击「发起配对」，等对方确认。

对方确认之后，两台设备互写信任记录，配对完成。

配对会话有自己的状态机：等待、待确认、确认中，然后进入终态，每个状态只允许对应的动作。发起方生成一次性的配对码（默认 6 位，有效期 120 秒），接收方确认后双方交换安全材料，各自在本地写入信任记录并导入加密密钥。信任落地是三个动作：把对方写入信任表、补齐设备名（如果对方还没有名字）、导入配对令牌携带的加密密钥。信任记录持久保存在本地数据库里，应用重启、设备重新登录后依然在，不需要每次开机重新配对；要撤销时在设备列表中删除或屏蔽即可。配对令牌本身是一份结构化材料，携带对方设备标识、设备名、角色提示、可达地址、密钥标识与密钥本体，以及一张权益凭据，接收方逐项核验后落盘。

取消、拒绝与失败都有明确的处理路径：会话按当前阶段释放资源，给出可诊断的原因，失败不会被伪装成完成。重试生成新的会话，已终止的会话动作不可复用。

配对完成不等于同步开始。两台设备之间要真正触发同步，需要同时满足四个条件：设备角色组合符合允许的配对规则；云端配对授权验证通过；两台设备互相完成本地信任确认；网络实际连通。缺任何一个都不会出现「半配对」状态，也不会有强制同步。信任表里的记录只证明本地安全材料已落地，它替代不了云端那条有效的关系。

#三层状态，各管各的

「配对成功」这个词横跨三个所有者：服务端持有商业关系（授权、激活、释放），配对后端持有交互会话（等待到终态），本地节点持有加密信任（安全材料落盘、写入信任表、运行时就绪）。三条状态链独立推进，这不是一个跨服务的原子事务。会出现「本地已信任但服务端尚未最终确认」的中间态，此时按失败与重试机制处理，界面不会替你把关系提前「转正」。恢复机制同样不被假设为全覆盖：每个阶段的自动补偿各自单独验证，中间态的失败以重试收敛，而不是假设所有阶段都有自动回滚。

#谁可以和谁配对

服务端与两台设备之间还有一条时间线。发起授权时服务端创建一条「已授权」关系；本地配对流程完成后，服务端把关系定为「激活」并重新核查双侧额度。授权不等于激活，激活之前没有同步资格。解除配对则释放这条权威关系；所有关系动作都校验账号与设备的控制权，拿着一条关系标识操作别人的设备不会被接受。

角色规则由服务端的权威判定决定，客户端不凭本地的 PRO 标签自行授权。判定按设备角色矩阵执行：

「双侧额度」是关系数上限，不是流量上限：一台免费手机最多与一台 PRO 电脑维持配对，一台 PRO 电脑最多同时服务两台免费手机；PRO 设备之间的配对数量不受限。每一条拒绝都有明确的角色原因。新配对必须有可用的在线授权服务参与，缓存下来的权益投影不能作为离线授权；反过来，配对或同步被拒绝时本地功能照常运行，节点不会因此停止。

#配对建立的是加密信任

配对交换的不只是名字和地址。信任记录写入本地的同时，双方交换了一把加密密钥：此后剪贴板的正文内容用这把密钥做对称加密（XChaCha20-Poly1305）再进入存储与传输，密钥本身不出现在任何第三方手里。

两个设计细节值得一记。其一，加密用的 nonce 由明文的 blake3 摘要派生，同一份明文在同一个密钥下永远得到同一份密文，所以内容寻址的去重依然成立：同一张截图传给三台设备，落盘的仍是一份加密副本。代价是相等的明文可以被识别为相等，在个人两三台设备的场景里，这个权衡被明确接受。其二，每一份密文的头部都记录加密它的密钥标识，密钥轮换后旧密文仍能找到对应的钥匙解开；轮换协商本身走 X25519 临时信封加密，轮换过程也是密文。

信任的另一面是拒绝。未建立信任的设备只能收到最基础的打招呼消息，摘要增量、内容元数据、正文拉取这些请求一律不响应；发现协议只负责「看见谁」，同步能力以信任为强制闸门。对面复制了新内容时，摘要头部信息通过广播通道推送，而这条通道同样只对信任过的设备开放，陌生人收不到你剪贴板的任何动静。

传输层则是另一道独立的加密：设备间的连接是端到端加密的 QUIC。有人会问 QUIC 已经加密了，密钥层是否多余。两者的覆盖面不同：QUIC 保护的是传输中的数据，密钥层让内容在落盘之后仍然是密文，存储里的副本、为去重保留的那一份，磁盘上拿走的都是密文。中继服务器在网络层只负责转发加密后的流量与 NAT 穿透协调，它既看不到内容，也不保存应用状态。局域网直连与公网中继两条路径上，正文都只以密文形态出现。

#路径探测：直连、中继，以及诊断页在告诉你什么

两台设备之间可能同时存在多条路径：局域网直连、经 VPN 或公网的直连、经中继的回退。设备列表支持手动刷新发现，把当前可达的候选重新收一遍。发现层会列出候选地址，但「列表里有 Tailscale 地址」和「流量正走 Tailscale」是两回事；诊断页区分这两个世界，实际路由以认证连接的选定路径证据为准，候选地址只是拨号线索，设备的身份由端点标识承载。路径分类也是按证据给的：选定的直连、选定的中继、其他路径、无遥测数据各自标示，不把地址猜测升格为实际路径。

选路本身交给连接层处理：直连优先，直连打不通时回退中继。它没有「先试局域网 3 秒、再试公网 3 秒、最后试中继」的串行超时链条，回退策略在连接层内部完成。控制消息、正文传输与发现广播各自独立建连与复用，不共享同一个协议会话，一条链路的问题不会顺带拖垮其他链路。探测是有预算的：全局并发 8、每设备同时 2 个探测、每轮最多 8 个候选地址、每设备 8 秒预算，避免界面反复刷新时把探测请求无限放大；网络切换后旧探测的结果自动失效，不会覆盖新网络的路由状态。

诊断页的延迟数据来自控制信道的往返时间，在内存里保留 2 小时、至多 720 个采样点，重启清空。诊断结果的导出只包含诊断所需的数据，不包含密钥或剪贴板原始内容；遥测缺失时报告会如实标注，推测不会被显示成事实。它与 ICMP ping 是两种测量，与「一条剪贴板从复制到对面可粘贴」的端到端耗时更是两回事。IPv4 地址段推断 NAT 或 VPN 类型只是启发式，诊断导出不包含密钥与剪贴板内容。

#同步是两层：摘要先行，正文按策略

每一轮同步都遵循固定顺序：先同步内容摘要，再决定正文何时到。摘要先行是因为它小：一条记录包含内容类型、预览与创建时间，传输快，让你第一时间知道对面复制了什么。完整正文与文件体积大，不强制到达，按预设策略自动拉取或等你手动下载；这个「正文落地」的动作在代码里叫物化，指把远端的记录变成你设备上可粘贴、可打开的完整内容。一条内容因此有三个可区分的状态：摘要已知、正文待取、本地物化完成。列表显示「有这条」与本地「能粘贴全文」是两件事，界面如实区分，不把网络连通当成内容交付。

每台信任设备可以单独设置同步模式。实时模式是默认值，自动拉取完整内容的阈值默认 50 MB，可在 0–200 MB 之间调整；按需模式把默认阈值降到 5 MB，适合移动网络或磁盘紧张的设备。两种模式都在自动同步，差别只是阈值这一个数字；超过阈值的内容在列表里显示摘要，任何模式下都可以手动点下载。手动下载是一个触发动作，不算第三种模式。大文件与弱网环境下，下载进入后台队列排队传输，内容以加密块的形式从对端拉取，失败后自动重试，最终以设备本地是否真的存有完整文件为准，不以单次页面提示为准。

同一页配置里还有三个参数。离线补抓条数默认 3 条、可调 1–10 条，控制设备重连后追赶的规模。设备同步优先级默认为 1，数值越大优先级越高：多设备同时同步时优先处理高优先级设备的数据，列表展示也靠前；优先级相同的设备之间，按设备标识的固定顺序或内容接收时间排序。一个常见的设置是把办公电脑设为高优先级、个人手机设为低优先级，同步时优先对齐工作设备的数据。设备屏蔽开关默认关闭，打开后该设备被禁止一切同步与访问。

阈值的两个极端也值得说明：调到 0 意味着任何大小都不自动拉取正文，全部走手动下载；调到 200 MB 则接近「全部自动」。这些参数是接收端的意愿表达，不是同步权限本身。执行任何一轮同步的前提始终是：对方在信任表中且未被屏蔽、商业关系有效、运行时策略允许（低功耗、离线、计量网络各自有闸门）。去重、预算、优先级与重试由同步队列负责，每一项下载任务有自己的状态与生命周期，界面只表达你的意图；列表里的展示顺序由优先级与接收时间决定，它不等于网络请求的发起顺序，也不代表对方已经收到或落库。

#离线与追赶：为什么重连后只有几条

设备离线几天后重新上线，系统不会把离线期间的完整历史倾泻过来，只补抓每台信任设备最近 N 条摘要（默认 3 条）。这是刻意的设计：全量追赶在弱网和大历史下既慢又贵，会占用大量网络与存储资源；而摘要先行已经让你知道「错过了什么」，需要哪条再手动下载。补抓的也只是摘要，正文仍按对应模式的阈值规则走。点击「立即同步」的语义与此一致：抓取每台信任设备最近 N 条摘要，不是全量对齐。

两个全局快捷键把这件事放在手边：Cmd/Ctrl+Shift+K 触发快速同步，Cmd/Ctrl+Shift+S 拉取待下载的正文。两者都可以在快捷键设置里改键。

#出问题时从哪里看

多数配对与同步问题能沿着同一条线索定位：先看是哪一层在拦截，是角色矩阵、云端授权、本地信任，还是网络与阈值策略。下面是几种最常见的形态。

发起配对没有响应或被拒绝。 先分清被哪一层拒绝：对方设备角色不在允许的组合里（例如两台免费版电脑），服务端授权不可用（新配对需要在线授权服务），或网络不可达。可达探测只证明「能连上」，有连接不等于有配对权限。安全模式不匹配的两台设备也无法完成配对，错误信息会写明 local 与 remote 各自的模式。

列表里出现了条目，点开却没有正文。 这是双层同步的正常形态：摘要先到，正文超过该设备的自动阈值，处于待下载状态。手动点击下载即可；下载失败会自动重试，判断标准是本地是否存有完整内容。

配对显示成功，但两边不出现对方的内容。 回到四个前提逐项核对：角色组合是否允许、云端授权是否通过、两台设备是否都完成了本地信任、网络是否连通。四项里最常见的缺口是云端关系尚未激活，或其中一台设备仍把对方挡在信任表之外。

重连后没有同步离线期间的全部内容。 刻意行为。追赶只取每台设备最近 N 条摘要（默认 3，上限 10），更早的内容走手动下载或「立即同步」。

下载很慢或反复重试。 大文件与弱网下下载在后台队列排队，失败自动重试是传输层的正常行为。判断功能是否故障，看设备本地最终是否存有完整文件，而不是某一次的页面提示。

列表里忽然找不到对方设备了。 先检查是否开启了设备屏蔽：屏蔽会切断该设备的全部同步与访问。其次是网络：发现列表给出的是候选线索，实际连通要靠认证连接确认。节点本身停止时，主动探测与诊断也会一并暂停。

怀疑权益没有生效。 检查两个位置：席位页面确认权益席位已分配给这台客户端，账户页面点刷新等待成功。刷新完成后新配对走 PRO 角色；已经建立的配对在权益失效后可能受限，重新激活并刷新即可恢复。

两边都配对好了，列表却不一样。 同步只承诺摘要先行的顺序与各设备的阈值策略，不保证两台设备的列表时刻完全一致：高优先级设备的内容先到，超出阈值的内容留在待下载状态。短时间的差异属正常，等待或按一次快速同步即可收敛。

诊断页的数字怎么读。 延迟是控制信道的往返时间，不是剪贴板端到端交付耗时；路径类型来自实际认证连接的选定路径，不是候选地址列表的顺序。怀疑路径问题时，先看直连是否被本机防火墙或企业网络拦截，中继回退默认开启，重启应用后 RTT 历史清空属正常，重新探测即可。

读完参数再看软件，每一项设置背后都有一个明确的执行规则在等它。本文的参数与行为对应 1.2.0 开发周期，可用安装包与实际发布版本以下载页为准。安装与首次运行的权限配置见安装与首次运行指南，全部默认快捷键见快捷键速查表，P2P 同步的机制总览见配对与同步原理。1.2.0 的完整变更见更新说明；语音输入链路的工程细节见语音输入原理。