为什么画中画应用需要「屏幕录制」权限？你的画面去了哪

第一次在 PipNow 里把窗口变成小窗时，macOS 会弹出一条警告：

“PipNow”想要录制屏幕的内容。

很多人在这一步犹豫了。这份警惕是对的——「屏幕录制」确实是 macOS 里权限等级最高的一项，一个恶意应用拿到它，理论上可以偷看你屏幕上的一切。所以这篇文章不打算让你「无脑点允许」，而是把三件事讲清楚：系统为什么要这个权限、画面数据实际去了哪、以及你如何亲手验证我们说的话。

一、权限模型：一个「看」，一个「动」

把任意窗口变成画中画，需要两件事发生：

第一，看到这个窗口的画面。 窗口的内容归应用自己所有，别的应用默认无权读取。macOS 的规矩是：想跨应用读取画面，必须经过用户批准的「屏幕录制」权限。PipNow 通过 Apple 官方的窗口捕获框架（ScreenCaptureKit）按帧获取目标窗口的画面——这是系统给的正路，系统自己屏幕共享用的也是同一套机制。

第二，在小窗里操作原窗口。 悬停预览、单击钉住后直接点按钮、输入文字——这些「隔空操作」依赖 macOS 的「辅助功能」权限，它允许 PipNow 代替你向原窗口传递点击和按键。

少了第一个，小窗是黑的；少了第二个，小窗只能看不能动。这就是为什么 PipNow 首次使用时会请求这两项权限，而隐私政策里对两者都有明确说明。

二、画面数据流：从窗口到小窗，全程在内存里

一帧画面的完整旅程是这样的：

1. 系统从目标窗口捕获画面帧（ScreenCaptureKit 直接把帧递给 PipNow 进程）；
2. PipNow 在内存里把帧缩放、渲染成小窗尺寸；
3. 渲染结果直接画到你的小窗上。

注意这条链路里没有的环节：没有写盘（不生成任何录屏文件或截图）、没有网络请求（画面不经过任何服务器）、没有留存（帧用完即弃，内存里不留副本）。

换句话说，「录制」这个词有点吓人——它实际上是「实时镜像」：画面像镜子一样即时映到小窗，镜子后面不藏录像带。

三、我们的具体承诺

这些承诺都写进了隐私政策，不是临时起意：

• 无账号系统：App 里没有登录这回事，自然没有与你绑定的数据；
• 无遥测、无分析：不统计你用了几次、用了多久——我们自己也看不到；
• 无第三方 SDK：没有广告或追踪组件夹带；
• 画面与设置全在本地：卸载 App，一切随之消失。

这套设计的另一个好处：我们想收集也没基础设施。服务器都不存在，数据无处可去。

四、别信我们，验证我们

这是这篇最重要的部分。信任不应该建立在口号上，而应该建立在可验证的事实上：

1. 断网测试：关掉 Wi-Fi，完整地用一遍画中画——一切功能照常。一个需要上传画面才能工作的应用做不到这一点；
2. 抓包观察：用 Little Snitch 或 lsof 检查 PipNow 进程的网络连接——你会看到它在正常使用中没有任何对外连接；
3. 权限随时可撤：系统设置 → 隐私与安全性 → 屏幕录制，取消勾选即可收回权限，App 变成无米之炊；
4. 卸载即清除：把 App 拖进废纸篓，本地数据与权限关联一并结束。

第四条还有个系统级的兜底：macOS 会在屏幕录制权限被 App 使用时，在菜单栏显示橙色指示器——系统在替你盯着我们。

五、几个常见问题

会悄悄录屏保存吗？ 不会。没有写盘逻辑，也没有存储需求——保存画面对这个功能毫无意义。

画面会传到服务器帮我「处理」吗？ 不会。缩放和渲染在你 Mac 的内存里完成，服务器端连接收画面的代码都不存在。

我只需要「看」不需要「操作」，能不给辅助功能权限吗？ 可以只授权屏幕录制，小窗和悬停预览正常工作；但单击钉住预览、在预览里点击输入这些功能会不可用。

别的应用会不会因此偷看我的屏幕？ 屏幕录制权限是按应用逐一授予和撤销的，授予 PipNow 不影响其他应用；每个拿到该权限的应用在菜单栏都有独立指示器。

---

权限是这类工具绕不开的第一道门槛，值得用一整篇说透。如果这篇让你放心了，欢迎读读PipNow 为什么被做出来，或者直接看使用小技巧上手。