核心用法
本技能提供隐私优先型分析工具（Privacy-First Analytics）的部署与集成规范，覆盖三大主流平台：
| 平台 | 特点 | 关键配置 |
|------|------|---------|
| **Umami** | 自托管、极简 | 毫秒级时间戳、`website_id` + API key 双认证 |
| **Plausible** | 轻量 SaaS | `site_id` 参数（非域名）、Bearer Token |
| **PostHog** | 功能丰富 | JSON 可序列化属性、批量 `/batch` 端点 |
关键实现模式
时间戳处理：Umami 要求毫秒级时间戳（Date.now() 或 int(time.time() * 1000)），易与秒级 Unix 时间戳混淆导致数据异常。
速率限制管理：Umami/Plausible 600请求/小时，PostHog 1000请求/分钟，需实现指数退避重试机制。
运行时安全：发送事件前验证全局对象（umami/plausible/posthog）存在性，避免脚本加载失败导致的报错。
显著优点
1. 隐私合规基础扎实：三大工具均设计为无 Cookie、无个人数据收集，大幅降低 GDPR/CCPA 合规成本
2. 自托管选项：Umami 支持完全自托管，数据主权可控
3. API 设计简洁：相比 Google Analytics 4 复杂的 Measurement Protocol，这些工具的 REST API 更直观
4. 开源生态：Umami、Plausible 开源可审计，信任度高于黑盒方案
潜在缺点与局限性
| 问题 | 说明 |
|------|------|
| **GDPR 误解风险** | "隐私优先"≠"无需同意"，欧盟访客仍需显式同意，即使无 Cookie |
| **Bot 检测薄弱** | 明确提示弱于 Google Analytics，数据质量需额外校验 |
| **PostHog 复杂度** | 功能丰富导致配置门槛高，属性序列化错误常见 |
| **数据留存限制** | Plausible 强制 30 天上限，长期趋势分析受限 |
| **生产污染不可逆** | 开发测试数据混入生产后无法分离，必须严格环境隔离 |
适合人群
- SaaS/内容站点开发者：需要快速部署合规分析，避开 GA 的 Cookie 同意横幅
- 隐私敏感型产品团队：医疗、金融、教育等强监管领域
- 技术栈偏好后端开发者：偏好 API 直连而非前端脚本注入
- 欧盟市场运营者：需精细化处理 consent 流程
常规风险
1. PII 泄露风险：自定义事件属性中误传邮箱、姓名等，直接违反隐私设计原则
2. 密钥管理事故：API key 硬编码导致仓库泄露，需强制环境变量隔离
3. 地理定位合规：未做 IP 归属地判断就向欧盟访客发送追踪请求
4. 批量处理误解：仅 PostHog 支持 /batch，Umami/Plausible 单请求模式易触发限流