本地优先是一条产品边界，而不是一个存储选项

“数据存储在本地”很有价值，但它并不是完整的产品承诺；本地优先的桌面产品还需要解释：谁拥有权威状态、哪些能力离线可用、如何恢复，以及信息会在什么时候被发送到其他地方

我会问的四个问题

真实数据源在哪里？

对于门店工资助手，桌面工作区拥有运营状态；界面不能依赖托管账户才能打开月份、检查员工输入或恢复备份；这使本地文件格式与验证边界成为产品架构的一部分

出错时会发生什么？

没有恢复能力的本地数据，只是本地的脆弱数据；手动备份、自动恢复点、导入验证和清晰的恢复行为，与主要保存路径同样重要；恢复应该是一套操作人员能理解的工作流，而不是隐藏的实现细节

哪些内容会离开设备？

Aura 把偏好设置与历史记录保留在设备上，但翻译文本会发送到用户选择的模型服务；如果不说明这条边界，就把整个体验称为“隐私”，会产生误导；更有用的承诺必须足够精确：Aura 没有自有托管后端，请求直接发送给模型服务，在系统支持时使用凭据存储，并可在自动翻译剪贴板内容前进行筛选

用户能理解这条边界吗？

架构本身还不够；产品文案需要区分本地历史与远程推理、自动恢复点与主动异地备份、本地 PIN 与加密；诚实的限制比宽泛的隐私标签更能建立信任

一个可实践的定义

对我正在构建的产品来说，本地优先意味着：核心工作流与权威工作状态位于用户设备上；网络能力是明确的；产品提供可以被理解的检查、备份与恢复路径

这个定义比宣言更窄，也因此可以被测试