Standalone
单机全本地
个人或小组试点：工作台、知识库与本机模型服务跑在同一台机器，断网也能工作。
0默认数据上云
127.0.0.1Core 只听本机
离线Runtime bundle 交付
全程本机审计日志
01
三种部署形态，按边界选择
同一套工作台与命令资产，区别只在模型推理发生在哪里。
On-prem
企业内网
推理落在企业集群或自建网关，TokenHub 在域内计量与调度，统一给团队下发 Profile。
Hybrid
云 + 本地混部
日常研发走云端网关，敏感仓库一键切本地槽位。只换 Profile，不改工作流。
02
数据边界是默认策略，不是附加模块
私有化不是「部署在内网」四个字，而是每一层都不默认出域。
- API Key 只存 OS Keychain，不落明文配置文件
- Core HTTP 仅绑定 127.0.0.1，不暴露任何公网端口
- 项目知识库、代码索引与会话记录全部在本机用户目录
- 审计日志本地留存，写操作 diff 预览后批准，全程可追溯
- OS 沙箱（bwrap / sandbox-exec / 受限 PowerShell）默认启用
- 登录 ucenter 仅用于席位与权益，不默认同步任何代码
03
算力本地化与可视化管理
TokenHub 在私有化场景下变成域内的算力账本：调度、计量、配额都在你自己的网络里完成。
内网推理
对接企业自建模型网关或本地推理服务，请求与日志不出域，仍走同一套 Profile 体系。
域内计量
按成员、项目、模型统计 Token 消耗，配额与软限在域内生效，成本归属一目了然。
用量看板
控制台读取本地对账数据，按周期查看趋势；超额可软限，不必等月结邮件。
自有 Key 并存
已有官方 Key 或第三方网关的团队走直连 Adapter，与本地槽位并存，不强制迁移。