收紧原生壳验收文档门禁

统一宿主壳协议和开发流程中的临时替身扫描口径

将决策记录的壳验收描述对齐到 H5 HostBridge 真实调用链

扩展原生壳总门禁覆盖方案文档、协议文档、开发流程和决策记录

docs/project-memory/shared-memory/decision-log.md

@@ -28,7 +28,7 @@
 - 2026-06-18 能力声明收紧：`packages/shared/src/contracts/hostBridge.ts` 提供 HostBridge method / capability 白名单，H5 的 `getHostRuntime()` 会解析并过滤 `hostCapabilities`；`openHostShare`、`writeHostClipboardText`、`requestHostHapticsImpact`、`setHostAppTitle`、`exportHostTextFile` 等 native 能力只在宿主声明对应 capability 后调用。发布分享弹窗只有声明 `share.open` 时才显示“系统分享”，避免旧壳或裁剪壳露出不可用入口。
 - 2026-06-18 宿主 runtime 回读：主 App 启动时会通过真实 `host.getRuntime` 回读 Expo / Tauri runtime 并缓存过滤后的能力清单，能力来源为 URL `hostCapabilities` 与宿主真实回包的并集；裁剪壳或旧入口 URL 缺少 `hostCapabilities` 时也能启用真实声明能力，但仍不会仅凭 `native_app` 或 transport 存在推断能力可用。
 - 2026-06-18 壳能力防漂移：`npm run mobile-shell:typecheck` 与 `npm run desktop-shell:typecheck` 会校验 Expo / Tauri 壳声明的 capability 均来自共享 HostBridge 白名单，并校验壳 runtime 回包、H5 URL `hostCapabilities` 和实现分支保持一致；微信小程序 `WECHAT_HOST_CAPABILITIES` 也由 `miniprogram/host-bridge/protocol.test.js` 反查同一共享白名单。新增能力必须先更新契约和真实壳实现，再通过这些检查。
-- 2026-06-18 原生壳统一验收门禁：根级 `npm run check:native-shells` 统一执行 H5 HostBridge 关键测试、Expo 壳 typecheck / test / config smoke / Metro export smoke、Tauri 壳 typecheck / cargo test、桌面 release `--no-bundle` 构建烟测，以及可分发壳与 H5 HostBridge 真实调用链的临时替身词扫描；根级 `npm run check` 会在 lint、主站测试、构建和内容检查后继续执行该门禁，避免 HostBridge、三端壳、Expo managed config、移动端 production bundle、桌面 release 入口和壳生产源码禁替身验收散落成容易漏跑的单项命令。
+- 2026-06-18 原生壳统一验收门禁：根级 `npm run check:native-shells` 统一执行 H5 HostBridge 关键测试、Expo 壳 typecheck / test / config smoke / Metro export smoke、Tauri 壳 typecheck / cargo test、桌面 release `--no-bundle` 构建烟测，以及可分发壳与 H5 HostBridge 真实调用链的临时替身词扫描；根级 `npm run check` 会在 lint、主站测试、构建和内容检查后继续执行该门禁，避免 HostBridge、三端壳、Expo managed config、移动端 production bundle、桌面 release 入口和 H5 HostBridge 真实调用链禁替身验收散落成容易漏跑的单项命令。
 - 2026-06-18 微信壳桥接层纳入统一验收：`npm run check:native-shells` 还会运行 `miniprogram/host-bridge/`、`miniprogram/shell/`、`pages/web-view` 样式和 `scripts/miniprogram-web-view-auth.test.ts` 的微信壳测试，覆盖 WebView 入口、登录触发、分享目标、支付结果、订阅消息结果和九宫切图行为；三端桥接层文件结构检查只证明目录边界，行为回归必须由同一门禁中的微信壳测试证明。
 - 2026-06-18 登录 / 支付能力禁伪声明：`auth.requestLogin` 和 `payment.request` 保留在共享 HostBridge 契约中供未来真实接入，但 Expo / Tauri 壳在真实 SDK、渠道流程和后端契约落地前不得声明这些 capability，也不得把它们写入入口 URL `hostCapabilities`；两端检查脚本会拒绝伪声明，请求实际到达壳层时必须返回明确 `unsupported_method` 并让 H5 fallback，两端壳测试直接覆盖这两个 method。
 - 2026-06-18 移动壳触觉反馈边界：`haptics.impact` 只接受 `light`、`medium`、`heavy` 三档 impact style，缺省为 `light`；未知值必须返回 `invalid_request`，不得静默降级成真实设备触觉反馈。桌面壳不声明该 capability，H5 继续按 HostBridge fallback 处理。

docs/project-memory/shared-memory/development-workflow.md

@@ -216,7 +216,7 @@ npm run build
 npm run check:native-shells
 ```
 
-该命令会覆盖 H5 HostBridge 关键测试、微信 / Expo / Tauri 三端桥接层文件结构门禁、Expo 壳 typecheck / test / config smoke / Metro export smoke、Tauri 壳 typecheck / cargo test、桌面壳 release `--no-bundle` 构建烟测和三端生产壳临时替身词扫描，确认 Expo managed config、移动端 iOS / Android production bundle、打包 H5 资产、Tauri release 入口和三端壳生产源码没有漂移。
+该命令会覆盖 H5 HostBridge 关键测试、微信 / Expo / Tauri 三端桥接层文件结构门禁、Expo 壳 typecheck / test / config smoke / Metro export smoke、Tauri 壳 typecheck / cargo test、桌面壳 release `--no-bundle` 构建烟测，以及可分发壳与 H5 HostBridge 真实调用链的临时替身词扫描，确认 Expo managed config、移动端 iOS / Android production bundle、打包 H5 资产、Tauri release 入口和 H5 HostBridge 真实调用链没有漂移。
 该命令同时会运行微信小程序 `miniprogram/host-bridge/`、`miniprogram/shell/`、`pages/web-view` 样式和 `scripts/miniprogram-web-view-auth.test.ts` 的壳层测试，保证微信桥接层拆分后的支付、订阅消息、九宫切图、分享目标和 WebView 登录 / 分享入口行为与 Expo、Tauri 壳一起验收。
 
 内容检查：

docs/【前端架构】宿主壳能力统一协议-2026-06-17.md

@@ -72,7 +72,7 @@ AI H5 sandbox
 2. `authService` 保留原导出，但内部委托 HostBridge，避免一次性改动 AuthGate。
 3. 分享弹窗、分享目标同步、九宫切图、微信小程序支付和订阅授权改用 HostBridge 通用接口；旧微信命名服务只作为兼容导出。
 4. 后续新增 `native_app` adapter 时只补桥接实现和测试，业务层不新增平台分叉；主 App 启动会触发一次 `host.getRuntime` 回读并订阅能力变化，避免裁剪壳或旧入口 URL 缺少 `hostCapabilities` 时长期隐藏真实可用能力。
-5. 每次新增或调整 native capability 后，必须运行 `npm run check:native-shells`，统一覆盖 H5 HostBridge 关键测试、三端桥接层文件结构门禁、Expo 壳 typecheck / test / config smoke / Metro export smoke、Tauri 壳 typecheck / cargo test 和桌面 release `--no-bundle` 构建烟测；排查单端问题时再单独运行 `npm run mobile-shell:typecheck`、`npm run mobile-shell:test`、`npm run mobile-shell:config`、`npm run mobile-shell:export`、`npm run desktop-shell:typecheck`、`npm run desktop-shell:test` 或 `npm run desktop-shell:build -- --no-bundle`。
+5. 每次新增或调整 native capability 后，必须运行 `npm run check:native-shells`，统一覆盖 H5 HostBridge 关键测试、三端桥接层文件结构门禁、Expo 壳 typecheck / test / config smoke / Metro export smoke、Tauri 壳 typecheck / cargo test、桌面 release `--no-bundle` 构建烟测，以及可分发壳与 H5 HostBridge 真实调用链的临时替身词扫描；排查单端问题时再单独运行 `npm run mobile-shell:typecheck`、`npm run mobile-shell:test`、`npm run mobile-shell:config`、`npm run mobile-shell:export`、`npm run desktop-shell:typecheck`、`npm run desktop-shell:test` 或 `npm run desktop-shell:build -- --no-bundle`。
 
 ## 验收
 
@@ -81,7 +81,7 @@ AI H5 sandbox
 - 小程序支付仍跳转 `/pages/wechat-pay/index` 并保留支付结果 hash 回灌确认。
 - 小程序订阅授权仍跳转 `/pages/subscribe-message/index`，且返回不阻断生成主链路。
 - 普通浏览器分享、H5 支付和 Native 二维码支付不受影响。
-- 原生壳统一验收入口 `npm run check:native-shells` 通过，能力白名单、壳 runtime 回包、URL `hostCapabilities`、H5 fallback、三端桥接层结构、两端壳实现、Expo managed config、移动端 production bundle、桌面 release 构建入口和三端生产壳临时替身词扫描没有漂移。
+- 原生壳统一验收入口 `npm run check:native-shells` 通过，能力白名单、壳 runtime 回包、URL `hostCapabilities`、H5 fallback、三端桥接层结构、两端壳实现、Expo managed config、移动端 production bundle、桌面 release 构建入口，以及可分发壳与 H5 HostBridge 真实调用链的临时替身词扫描没有漂移。
 
 ## 后续
 

scripts/check-native-shells.mjs

@@ -7,6 +7,11 @@ import path from 'node:path';
 const npmCommand = process.platform === 'win32' ? 'npm.cmd' : 'npm';
 const nativeShellPlanPath =
   'docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md';
+const hostBridgeProtocolDocPath =
+  'docs/【前端架构】宿主壳能力统一协议-2026-06-17.md';
+const developmentWorkflowDocPath =
+  'docs/project-memory/shared-memory/development-workflow.md';
+const decisionLogDocPath = 'docs/project-memory/shared-memory/decision-log.md';
 
 const productionShellScanRoots = [
   'apps/mobile-shell',
@@ -347,8 +352,30 @@ function extractDocumentMethodTable(source) {
   );
 }
 
+function assertNativeShellScaffoldScanWording(source, label) {
+  if (
+    source.includes('三端生产壳临时替身词扫描') ||
+    source.includes('三端壳生产源码') ||
+    source.includes('壳生产源码禁替身') ||
+    !source.includes('H5 HostBridge 真实调用链的临时替身词扫描')
+  ) {
+    throw new Error(
+      `${label} must document production scaffold scanning for the H5 HostBridge call chain`,
+    );
+  }
+}
+
 function assertNativeShellCapabilityPlan() {
   const planSource = fs.readFileSync(nativeShellPlanPath, 'utf8');
+  const hostBridgeProtocolDocSource = fs.readFileSync(
+    hostBridgeProtocolDocPath,
+    'utf8',
+  );
+  const developmentWorkflowDocSource = fs.readFileSync(
+    developmentWorkflowDocPath,
+    'utf8',
+  );
+  const decisionLogDocSource = fs.readFileSync(decisionLogDocPath, 'utf8');
   if (
     planSource.includes('permissions` 必须只包含 `core:default`') ||
     planSource.includes('permissions=["core:default","allow-host-bridge-request"]')
@@ -357,14 +384,19 @@ function assertNativeShellCapabilityPlan() {
       'native shell plan must not document core:default as a desktop capability permission',
     );
   }
-  if (
-    planSource.includes('三端生产壳临时替身词扫描') ||
-    !planSource.includes('H5 HostBridge 真实调用链的临时替身词扫描')
-  ) {
-    throw new Error(
-      'native shell plan must document production scaffold scanning for the H5 HostBridge call chain',
-    );
-  }
+  assertNativeShellScaffoldScanWording(planSource, 'native shell plan');
+  assertNativeShellScaffoldScanWording(
+    hostBridgeProtocolDocSource,
+    'HostBridge protocol document',
+  );
+  assertNativeShellScaffoldScanWording(
+    developmentWorkflowDocSource,
+    'development workflow document',
+  );
+  assertNativeShellScaffoldScanWording(
+    decisionLogDocSource,
+    'decision log document',
+  );
 
   const mobileCapabilitySource = fs.readFileSync(
     'apps/mobile-shell/src/host-bridge/capabilities.ts',