文档 · 09

数据与安全

InkCraft 默认以本地工作区为中心。小说文件、会话记录和工作流产物保存在你的电脑上；是否有内容离开电脑，取决于你选择的模型连接方式。

三种模型方式的数据流

“当前请求需要的上下文”可能包含你主动提问的内容、相关章节、设定或工作流选取的项目片段。InkCraft 不会因为你打开了一个工作区，就自动把整个项目上传到云端。

哪些内容保存在本地

• 工作区中的大纲、正文、设定集、审查报告和其他项目文件。
• 对话历史、工作流状态、中间产物、trace 与审计记录。
• 本地模型配置，以及 BYOK 的 API Key。
• 桌面端登录令牌和其他敏感凭据。

项目文件保持普通 Markdown 或文本格式。你可以用其他编辑器查看、复制和备份，也可以随时停止使用 InkCraft，而不影响原始文件。

使用官方模型时

官方模型需要登录。桌面端只会为完成当前请求选择必要的上下文，并将请求发送到 InkCraft 云端网关，由官方模型完成推理。

• 用量账本记录输入、缓存输入、输出和结算 tokens，用于显示额度与对账。
• 诊断记录只保留排查问题所需的请求状态和错误类型，不记录 API Key 或授权头。
• 小说正文不会被用于训练 InkCraft 自有模型。
• 使用 Auto 不会产生付费模型费用。

官方模型请求由 InkCraft 云端网关统一处理。对隐私有更高要求时，建议使用本地模型；希望自行选择 Provider 时，可以使用 BYOK。

凭据如何保存

• BYOK 的 API Key 保存在本地系统凭据存储中，不写入项目文件。
• 桌面端登录令牌保存在 Windows 凭据管理器中。
• 官网登录态使用 HttpOnly、SameSite Cookie，不把访问令牌写入浏览器 localStorage。
• Provider 密钥、数据库凭据和服务端 secrets 不进入桌面安装包。

你可以做什么

1. 在发送前检查当前模型是本地、BYOK 还是官方模型。
2. 通过审批模式控制文件写入和高风险工具调用。
3. 在工作流面板暂停、补充信息或停止工作流。
4. 退出账号并改用 BYOK 或本地模型；本地工作区不会因此被删除。
5. 通过诊断页面查看用量和失败原因。

安全边界

InkCraft 的本地优先不等于所有使用方式都完全离线。只要选择远程模型，完成请求所需的内容就必须发送给对应 Provider；应用会尽量减少上下文范围，但无法在不发送输入的情况下完成远程推理。

法律文本与数据权利说明见隐私政策，模型选择见模型文档，写入控制见审批与权限。