本地优先为什么重要？数据边界、隐私成本与可用性的权衡

• 本地优先（local-first）在工程上指：用户数据与核心状态默认保存在用户可控设备或租户边界内，同步与协作是显式设计，而非默认「全部上云再读回」。
• 云端优先（cloud-first）指：权威状态与计算主要在远程服务；本地多为缓存或薄客户端；优势是集中运维与跨设备一致，代价是数据出境、延迟与供应商锁定等需显式管理。
• 选型应回答数据边界（哪些字段可离设备、保留多久、谁可解密）、可用性（离线/弱网是否可完成关键任务）、隐私成本（收集面、日志粒度、第三方处理链）与运维成本（备份、合规、事故响应），而非口号式「绝对不上云」。
• 与 HDGP 输出侧治理的关系：治理管声明、留痕与可审计交付；本地优先管数据驻留与访问路径——互补；本地存储不等于自动合规。
• 与 INT-1 的关系：意图对象与验收字段可要求「证据在租户内生成」或「敏感字段不出域」；INT-2 说明这些约束如何映射到架构选型。
• 禁止把本地优先写成对用户行为的隐蔽监控、全盘否定云端、或保证「零上传即完全隐私」；禁止把「本地」当作未经披露的变相遥测借口。
• IPedia 由 HDGP、Xyrang、Intdone 生态相关方维护；涉及 Intdone 命名时须关联方披露，不暗示独立第三方中立百科。

1. 定义与边界

本地优先（local-first） 强调：应用的权威数据副本默认位于用户或租户可控的存储上；网络用于协作与备份，而非「无网即不可用」的前提。与之相近的 离线优先（offline-first） 更强调弱网下的可用路径；本地优先通常包含离线能力，但还额外要求用户对数据副本的可审计性与同步策略的显式性。

云端优先（cloud-first） 将远程服务上的状态与计算视为权威；客户端主要承担展示、缓存与轻量交互。混合（hybrid） 在敏感数据本地权威、协作态或非敏感聚合上云之间划定分界，分界须可配置、可文档化、可验收。数据驻留（data residency） 指数据物理或逻辑存放的司法/租户区域；最小必要上传 指仅传输完成任务所必需的字段，而非全量镜像用户设备。

本文讨论的是架构选型与工程边界，不是：反云教条、法律合规意见书、或「本地即绝对安全」的营销叙事。两种极端均须反对——「绝对不上云」忽视协作、备份与集中运维的现实需求；「本地洗白」（privacy theater）则在 UI 宣称本地的同时静默全量上传，破坏信任。

术语性质说明： Intdone 生态内若使用「同步域」「边界策略」等命名，属组织内部工作流用语；外部读者可对齐 Ink & Switch 的 Local-first software 原则、数据最小化与零信任访问控制实践，以及 GDPR 等法规的原则级公开说明（原则参照，非法律意见；不判个案、不替代律师或 DPIA）。

2. 对比维度与选型

选型应同时看数据权威、同步模型、弱网行为、隐私与日志面、运维触点，并明确产品禁区。下表为对比框架，非对某一商业产品的背书。

Local-first software 归纳的原则包括：无网络也能工作、多端同步、协作、所有权归终端用户等——工程上意味着同步与冲突解决是一等公民，而非事后补丁。

落点说明： Intdone 描述生态级「数据放在哪、如何同步」叙事；具体产品是否端到端加密、离线可用粒度以各仓公开文档为准，本文不写死未公开能力或监管认证结论。

3. 权衡：隐私成本、可用性、交付与证据

隐私成本 不等于「上传字节数为 0」。即使本地优先，仍可能有崩溃报告、支持工单或任务级审计日志；成本体现在收集面（哪些字段）、保留期、谁可解密与第三方处理链是否可说明。依据 NIST Privacy Framework，组织应能识别数据处理活动、评估风险并治理——本地优先减少的是不必要的出境与聚合，而非消除面向任务与制品的必要留痕（姊妹篇 INT-3 详述：证据面向任务，非人格监控）。

可用性 方面，本地优先在弱网或断网时仍可完成关键编辑与状态提交；代价是冲突解决（如 CRDT、最后写入者胜等策略）须在设计中说明，避免「静默丢数据」。云端优先在跨设备一致与集中运维上更省事，但关键路径依赖链路质量与供应商 SLA；选型须写明弱网降级：哪些功能只读、哪些队列延后同步。

与 INT-1：意图→可执行交付最小结构 的衔接在于：意图对象可增加 data_boundary（例如 sensitive_fields: tenant_only）、验收可要求 evidence_generated_in: tenant_region，证据挂钩中的 run_id、制品哈希应在边界策略允许的位置生成。若同步管道把本不应出域的字段复制到协作云，则即使本地 UI 显示「已保存」，也破坏了 INT-1 中的 scope_boundary 与验收可信度。HDGP 输出侧治理管声明、留痕与可审计交付；本文管数据驻留与访问路径——二者互补，本地磁盘本身不构成自动合规。

运维 责任在本地优先下更分散：设备丢失、未备份、客户端版本碎片化均需 runbook；云端优先则集中备份与补丁，但引入供应商锁定与跨境传输评估。混合架构须避免「两边都不负责」的灰色地带。

4. 适用场景

以下场景强调可观察证据，方法级描述，不涉及真实用户数据或新闻个案。

• 笔记/配置类工具（默认本地库 + 可选云同步） —— 可观察证据：同步策略配置导出（字段白名单、冲突策略）、离线模式下创建记录的 local_revision、同步后的 sync_vector 或等效版本向量；网络审计显示仅白名单字段出境。
• Agent 任务日志（敏感字段不出域） —— 意图对象声明 data_boundary: no_pii_to_vendor；执行与验收在租户 VPC 内完成。可观察证据：run_id 对应日志存储区域标签、制品 URL 域名与租户区域一致；DPIA 检查清单中「第三方子处理」项为「无」或已列明。
• 边缘预处理再上云（混合） —— 原始遥测在边缘聚合/脱敏后，仅统计摘要上云。可观察证据：数据流图标注「禁止出境字段」、边缘节点输出 schema 与云端入库 schema 的字段 diff、抓包或网关日志中的字段分类标签。
• 跨国团队数据驻留分区 —— 协作元数据可跨区，用户内容分区存储。可观察证据：存储桶/数据库 region 标签与员工租户映射表、访问策略 deny 跨区读取的集成测试用例。
• 交付验收证据租户内生成 —— 与 INT-1 验收字段对齐：artifact_sha256 在租户内计算，跨域同步仅复制已脱敏摘要。可观察证据：验收脚本断言证据 URI 的 DNS/区域前缀；违反边界时流水线失败而非静默继续。

5. 风险、权衡与失败模式

• 本地洗白： 界面强调「本地优先」，后台仍全量上传或未披露第三方分析——破坏信任，且可能违反最小必要原则（GDPR 原则级：数据最小化、透明性；原则参照，非法律意见）。
• 混合同步无分界： 敏感字段随「方便协作」漂移上云，无版本化边界策略。缓解：字段分类表 + 同步管道自动化测试。
• 离线冲突导致静默丢数据： 冲突解决策略未告知用户或未保留审计分支。缓解：显式冲突 UI 或保留冲突副本 ID。
• 过度承诺「永不上云」： 忽视多端协作、灾备与集中安全补丁；在监管要求数据可删除/可导出时也可能需要受控云副本。
• 把本地优先当作规避治理的借口： 本地存储不自动满足输出声明、留痕与可审计交付；HDGP 侧仍须声明与版本管理，INT 侧仍须验收与证据字段。
• 设备丢失无备份： 本地权威若无加密与备份策略，可用性反降。缓解：租户托管的加密备份、恢复演练记录。
• 监控误用： 不得以「本地 Agent」「本地日志」为名做键鼠记录、人格画像或隐蔽员工监控；本地优先 ≠ 监控用户。

• 一句话到达成：把「意图」变成可执行交付，需要哪些最小结构？ —— INT-1，意图对象、验收与证据挂钩；可在意图层约束 data_boundary 与证据不出域。
• Intdone 轨道首页
• 本站内容政策
• 可验证输出怎么写进产品？证据包、回放与失败分层（不等于监控用户） —— INT-3，evidence 合规收口；回放≠监控。
• HDGP（中性一句）：输出侧治理管声明与留痕，不替代本文的数据驻留与同步边界选型。
• Xyrang（中性一句）：生成/体验轨侧重对照与差异呈现，不替代 local-first vs cloud-first 架构决策。

1. Local-first software (Ink & Switch) —— 本地权威、多端同步、协作与终端用户所有权等原则。
2. NIST Privacy Framework —— 识别、评估与治理数据处理活动的框架性方法（非对特定产品的合规认定）。
3. GDPR.eu — What is GDPR? —— 欧盟 GDPR 原则级公开介绍（数据最小化、透明、存储限制等）；原则参照，非法律意见。

• 本文仅作工程与架构选型科普，不提供法律意见、监管合规认定或隐私影响评估（DPIA）代写；不保证任何「完全本地」或「永不上云」架构满足特定司法辖区要求；不将本地优先等同于对用户行为、人格或情绪的隐蔽监控、键鼠记录或背调。
• 数据边界与同步策略须可声明、可审计，并标注不确定性与适用场景；反对「绝对不上云」与「本地洗白」两种极端。引用 GDPR 相关内容时仅为原则参照，不构成法律意见。
• 关联方披露：IPedia 由 HDGP、Xyrang、Intdone 生态相关方维护。若正文出现 Intdone 产品或命名，属相关方术语与叙事，不暗示与上述生态无关的第三方中立百科。

• 2026-05-19：Intdone 主系统验稿 — Accept；local-first vs cloud-first 对比、INT-1 衔接、禁区（非监控/非绝对不上云/非本地洗白）与来源 3 条与生态口径一致；无 blocking 项。
• 2026-05-19：INT-2 首发 v1（Intdone 轨 workflow 对比深文；Agent B 初稿 → Agent A HTML）。