一、 核心设计哲学：为什么 AI 编程必须「本地优先、计划先行」
在企业级与主权级软件工程中，传统云端 AI 编程助手普遍存在两大结构性风险：一是将核心源代码、向量索引与对话上下文上传至不受控的第三方云端；二是智能体在未经充分变更影响评估的情况下直接篡改工作区文件。DREAMVFIA Code（Web Alpha）（专题入口：/code/）为此确立了 Local-First（本地优先）× Plan-First（计划先行） 的双核工作台架构。
二、 OperatorPlan 事务模型：先审计划、Dry-Run 预演、再写盘
在 DREAMVFIA Code 中，任何涉及多文件修改或 API 契约变更的工程任务，均被禁止直接执行静默写盘，必须遵循四阶段 OperatorPlan 确定性事务流：
- 意图解析与范围扫描（Scope Scan）：工作台扫描本地代码树（严格限定于受控工作区范围），识别受影响模块与依赖边界。
- 生成结构化 OperatorPlan：显式列出当前激活的模型提供方（Provider）、拟修改文件清单、变更差异预览（Diff Preview）与验证命令矩阵（
pnpm typecheck、pnpm test、pnpm api:test）。 - 人工审批与 Dry-Run 沙箱预演：开发者审阅并批准计划后，系统先行执行 Dry-Run 校验，确认零语法冲突与零越权路径访问。
- 原子化执行与追加式审计日志（Append-Only Audit Log）：每一笔写操作均记录不可篡改的本地审计事件流，支持随时精确回滚。
三、 本地状态边界（~/.dreamvfia/code-web-alpha/）与 OS Keychain 密钥隔离
DREAMVFIA Code 采用 Web 前端与本地回环服务（Loopback API）分离的轻量化架构，并严格划定数据主权边界：
- 100% 本地数据驻留：源代码、向量索引库、会话历史、长期记忆与审计日志全部保存在用户受控的
DREAMVFIA_CODE_HOME（默认~/.dreamvfia/code-web-alpha/）目录下，绝不向任何非用户受控端点上传。 - OS Keychain 硬件级凭据隔离：所有外部大模型 API 密钥强制托管于操作系统原生密钥链（Windows Credential Manager / macOS Keychain），严禁以明文写入 JSON 配置文件、日志、测试用例或 HTTP 响应体。
四、 显式离线 Stub 默认态与只读状态球（The Orb）安全契约
系统默认启动于显式离线 Stub 模式，在不配置外部模型时绝不发出任何外部网络请求；当切换至在线 Provider 时，当前模型状态在计划上下文中透明可见，且严禁静默降级回退。界面核心的全息状态球（The Orb）严格限定为纯只读遥测表面（Status Surface），仅反馈系统负载、计划阶段与审计状态，自身永不具备写工作区权限。
探索 DREAMVFIA UNION DRV-10.0 主权技术矩阵
本文档属于 DREAMVFIA 官方刊物（DRV-10.0 权威技术白皮书系列），遵循只读公开事实披露与零幻觉工程准则。