完成客户端素材创作无限画布阶段三闭环

新增客户端共享画布宿主适配与独立创作界面
实现草稿并发保存、恢复副本和本地媒体安全校验
实现项目写锁内的可恢复素材提交与清单登记
补齐非破坏精修、幂等并发和故障恢复测试
同步阶段三技术方案与团队共享记忆

docs/technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md

@@ -928,3 +928,13 @@ game-project/
 - 共享样式固定为 `packages/image-canvas-react/src/styles.css`，全部以 `.genarrative-image-canvas` 作用域开头；网站可以继续用 `src/index.css` 提供站点皮肤，Tauri 只导入共享样式和自身 `styles.css`。两套 Vite 都把共享源码显式 alias 到仓库 `packages/`，Tauri dev server 保留 `fs.allow=[repoRoot]`，并通过 `resolve.dedupe=['react','react-dom']` 保证单 React 实例。
 - portal 默认进入当前 Provider 指定的 root，未指定时才回退 `document.body`；事件监听、`ResizeObserver`、animation frame 和小地图查询均按组件实例清理或限定在当前 viewport。文档中只有一个小地图的旧调用形态允许唯一元素回退，页面存在多个小地图时不做全局猜测。
 - 阶段二定向证据为共享 core/React 7 项与现役 `src/components/image-editor` 74 个文件、892 项测试通过；主站与 AI 游戏创作壳 typecheck 通过。构建、编码和 diff 门禁以本次任务最终验证记录为准。
+
+## 2026-08-05 客户端素材创作无限画布阶段三 Tauri 独立闭环
+
+- 阶段三在 `apps/ai-game-creator-shell/src/features/asset-canvas/` 增加独立 `AssetCanvasSurface` 与薄 Tauri Host Adapter，直接消费阶段二的 core/React/ports。页面实现 `canvas.creating / editing / saving / recovering / failed`，支持 PNG/JPEG/WebP 本地导入、选择、多选、移动、缩放、删除、60 步撤销重做、viewport 平移缩放、小地图、复位和浏览器合成导出；generation port 明确返回 mock unsupported，不发送真实 AI 请求。
+- 草稿正式保存到 `.agent/workbench/asset-canvas/`，由 Tauri Rust 使用持久 OS 文件锁和 `expectedDraftRevision` CAS 串行化；主草稿、固定 recovery JSON 与实际 recovery 字节的裸 SHA-256 一起安装。主文件损坏时只有 schema、项目/草稿身份、摘要及全部媒体签名、摘要、尺寸和普通文件身份都可信才恢复，否则进入 `reconciliation-required`。单文件限制 `64 MiB`，单草稿媒体总量限制 `512 MiB`。
+- 正式提交先把合成结果安全写入受控 staging，再进入既有项目 mutation 写锁。锁内重读并校验 manifest、项目身份、项目 revision、草稿 revision 和提交指纹，写 prepared journal/ledger 与 before/after 快照，安全安装唯一最终图片，原子更新 manifest 和 project revision，回读图片/manifest/revision 后提交 ledger 与草稿；释放锁后才发布 `game-creator-local-asset-committed`。同 `commitId/idempotencyKey` 同请求返回原权威结果，同键不同请求失败关闭，同 expected revision 竞争最多一个成功。
+- 崩溃恢复只按 journal、ledger、before/after 摘要和最终文件三态推进：图片与 manifest/revision 都在 before 时，只清理摘要和尺寸可证明属于本事务的新文件；最终路径不存在可直接回滚；最终路径存在但身份不匹配必须保留文件并进入对账。manifest 已安装而 revision 未安装时前向补 revision；manifest/revision 都是 after 时补齐 ledger、草稿和事件。业务事实完成后 emit 失败不回滚，后续恢复继续按固定 eventId 发布。
+- refine 只允许从当前 manifest 唯一登记的 PNG/JPEG/WebP 普通文件建立草稿，并复核签名、完整解码、大小、符号链接和硬链接。正式保存保留源 asset 与源文件，为缺失 resourceId 的源补 `local-asset:<sourceAssetId>`，新建 `canvas-<commitId>` 并以 `referenceResourceIds` 引用源资源。
+- 页面以 project/draft/session epoch 丢弃项目切换、会话切换和卸载后的旧 Promise/事件，并以 eventId 去重 command 返回与至少一次事件。相同 scope 字段的父级重渲染不会重复打开草稿，选择变化也进入草稿 CAS；正式保存直接消费 CAS 返回的新 draft revision，不等待 React state 提交时序。
+- 本阶段只提供独立 Surface/fixture 与 Tauri commands，不接 `project-development` 资源总览按钮、不做保存后的资源总览自动选中，也不接真实 External Editor API。定向证据为阶段三 Surface `8/8`、共享 core/React `7/7`、既有 AppSurface `351/351`、Rust 素材画布 `11/11` 与客户端 typecheck 通过；AppSurface 保留仓库既有 React `act(...)` 警告，不影响测试结果。