AGC 七项交付效率优化并升级捆绑 Codex 到 0.155.1 (#439)

## 背景

净月潭案例（2026-09-19 21:53 → 09-20 01:26，3 小时 33 分）的问题不是模型慢，而是环境未就绪、验收靠模型自述、预算只约束单个工具入口、工具调用被 SDK 全局串行闸门卡住。本 PR 落地确认后的七项交付效率合同，并把捆绑 Codex 升到当前 npm latest。

## 结果

- 新建 Web 游戏在正式生成前由宿主自动预检：捆绑 Node/npm、真实 Vite 构建、受限浏览器桌面/移动截图；失败不启动生成或付费素材。
- 首个副作用前冻结交付合同，宿主保存权威证据与预算；证据齐全后先封口、排空并取得执行器完整退出证明，再产出交付报告，模型回复不再当作验收。
- 原生 shell、内置浏览器与托管命令、第三方 MCP 共用同一执行许可和累计执行时间；`validation.maxRuns` 改为执行/返修批次语义，另设 `maxTurnSeconds` 墙钟上限。
- 所有工具可并发：移除 SDK 全局串行的 `apply_patch`/`update_plan` 注册，改由宿主 `agc_apply_patch`（官方 parser + 当前回合写许可 + 受控进程树 + 短项目事务）和 `agc_update_plan` 提供等价能力；真实请求目录里已无串行注册，长 MCP 与补丁/计划实测在同一响应内重叠。
- 付费提交与本地写入绑定原回合原租约：容量与同动作锁等待可取消，封口、取消或预算耗尽后零新增提交；已越过提交边界的请求保留 operation ID 走 GET 对账，不自动重放。
- 新增请求与工具分段计时、有界并行批读和首轮上下文预取，未知耗时不补零。
- 捆绑 Codex 0.147.0 → 0.155.1：固定版本收敛到 `build_support/codex_bundle.rs` 单一声明，vendor 解析源码按 `rust-v0.155.1` 逐字节重取并更新 UPSTREAM 证据，适配 0.155 统一 exec（`exec_command`/`write_stdin`）；macOS 侧车最小系统版本仍为 15.0。

## 验证

- 生产 CLI → 捆绑 Codex 0.155.1 → 本地 Responses/MCP 夹具 9/9：补丁、完成收尾、批次、只读/可写 MCP 并发、原生命令并发、原生资源并发、统一 exec 会话、期限终止（真实重叠 775 / 764 / 999 ms）。
- 真实模型目录 2/2；vendor 上游库 111 项；宿主定向与回归 106 项；真实 Windows 进程与取消 21 项；Node 侧门禁 52 项。
- 发行载荷：artifact-only 重建 NSIS，解包验证侧车清单 `codex-cli 0.155.1`、6 个组件哈希、打包后 `bin/codex.exe --version`、Node 运行时 2130 文件与双端 PNG、`--environment-check` ready。
- `check-config`、TypeScript、编码（4991 文件）、文档索引、`git diff --check`、`cargo fmt --check` 全部通过。

## 未覆盖

- 真实陶泥儿登录态 Provider 生成尚未执行（本机 `--llm-status` 返回 `authentication-required`）。
- macOS 侧车只在本机做静态 Mach-O 与清单解析，未在 macOS 上跑 `check-macos-bundle.mjs`。
- 全仓库聚合套件在本机仍因负载敏感的后台 mock-provider 用例而红，与本次改动无关：改动前的旧二进制同样失败，换单线程后相关用例 3/3 通过。

---------

Co-authored-by: kdletters <61648117+kdletters@users.noreply.github.com>
Reviewed-on: http://192.168.35.82/git/GenarrativeAI/Genarrative/pulls/439

docs/project-memory/shared-memory/decision-log.md

@@ -15,6 +15,19 @@ Godot 编辑器操控复用既有 AGC 插件宿主、EditorAdapter、Runner 和
 > 用途：记录已经确认、会影响后续开发的长期技术/产品/协作决策。短期讨论不要写在这里。
 > 当前口径（2026-09-18）：历史条目的旧路径、旧版本和已退役对象只用于追溯，不构成现行实现依据。策划 Agent V1/V2 的 Runtime、专用命令、审批卡、展示适配和旧测试已删除；当前策划入口统一使用 Design Agent。如与当前代码或 `docs/README.md` 冲突，以当前代码和最新专题文档为准。
 
+## 2026-09-20 DirectProject 工具并行与交付收敛
+
+- 所有工具具备有界并行调度能力，MCP 每入口在途上限 8；独立图片在客户端进程内最多 2 个。只保留同资源冲突、编辑器实例、canonical 美术包和短提交事务的必要串行边界。同一付费动作必须在容量排队前取得原 durable 槽锁，不重写幂等算法。
+- Web 工程由客户端提供经完整性校验的 Node/npm 和浏览器健康预检，保留隔离 HOME；缺失或损坏不能静默退回项目或系统中的另一份 Node。
+- Direct 回合的合同、证据和预算以宿主私有账本为准，项目侧记录只作展示。GUI/CLI 共用入口；首次副作用前冻结非空验收合同，可信新 Web 工程由宿主补充构建和双端验证底线。普通无副作用聊天不强制构建。
+- 视觉、固定玩法和托管命令分层；`validation.maxRuns` 按执行/返修批次管理，正常开发命令共享批次；累计执行时间与整轮墙钟分别受 `maxExecutionSeconds` / `maxTurnSeconds` 约束，显式配置与 Provider 重试独立。源码、构建输出、环境输入与证据文件摘要分别复核，项目可编辑记录不能抬高预算或伪造成功。
+- 原生工具使用已验证的捆绑版本逐次审批能力，第三方 MCP 显式逐调用询问；所有 Direct 入口接受宿主同一状态，未知远端结果不得以本地进程退出代替。独立客户端 HTTP MCP 使用明确的 ExternalClient 来源，保留其既有边界，不借用另一 Direct 回合的预算。
+- 交付必须先封口、排空和取得执行器退出证明，再核对当前文件并提交完成；Windows 用自有 Job 约束进程树，托管命令在恢复主线程前绑定。完整退出证明不足时保持未完成，不把模型最终回复当作验收。非阻塞扩项进入新的用户回合。
+- 模型配置、实际请求标识和流分段耗时写入现有审计账本；统计采用并发区间并集，有界后台写入，详细条目截断后仍聚合。上游内部排队和推理耗时不可见时保持未知。
+- Direct 工具集中 SDK 原生 `apply_patch` / `update_plan` 是全局串行单例，按回合为每个 Direct 连接导出一份只把 `apply_patch_tool_type` 置空的完整模型目录即可移除该注册；其余 metadata、匹配与 fallback 不变，不得伪造 `readOnlyHint` 或改造 SDK。等价能力由宿主 MCP 的 `agc_apply_patch`（官方 parser、当前回合 Write 许可、受控进程树、短项目事务）与 `agc_update_plan`（宿主计划状态，不作为验收证据）提供；缺少合法回包通道的原生问答工具一并关闭。
+- 捆绑 Codex 固定版本只在 `build_support/codex_bundle.rs` 声明一次（当前 0.155.1），构建期侧车清单、宿主补丁执行器身份、逐次审批协议允许列表和模型目录捕获共同引用；升级原生依赖时同步重取同一 tag 的 vendor 解析源码与 UPSTREAM 证据，并复跑真实目录、补丁往返与并发夹具。0.155 起原生执行入口改为统一 exec（`exec_command` + `write_stdin`，旧 `shell_command` 不再注册），宿主许可与预算照常覆盖。
+- 付费许可按原回合原租约绑定并传递到实际提交点：容量与同动作锁等待可取消，每次新增 POST 前与封口共用短锁复核，封口/终止/耗尽后零新增提交；已越过提交边界的请求不丢弃，保留 operation ID 与不确定状态走 GET 对账。本地写入同理，等待项目锁后必须复核原许可，未结算或失败的写入围栏未恢复前不得封口。
+- 权威合同：[AI 游戏创作智能体 App 实施计划](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md)。
 ## 2026-09-20 最近项目检查保持项目级隔离
 
 - 背景：最近项目刷新会重新检查所有路径。若其中一个目录损坏、超时或不可读，清空整张状态表会让已确认正常的项目暂时全部显示“检查中”，用户只能移除坏项目后看到列表恢复。
@@ -205,7 +218,7 @@ Godot 编辑器操控复用既有 AGC 插件宿主、EditorAdapter、Runner 和
 - 决策（槽身份 = 精确动作身份）：`run_id = slot-<sha256(动作身份材料)>`，材料为 `prompt / output_path / aspect_ratio / image_size / asset_kind / asset_label / replace_existing / require_slices`（`canvas_generation.rs`）。不同 prompt 或素材名 → 不同槽 → 不同进程锁键与不同 `.lock` 文件 → 可同时在途。**不用随机 uuid**：随机身份会让「同一精确动作重放」落到新路径，必须再造一层 action→ledger 索引才能保幂等；用动作指纹让「槽身份 ≡ 精确动作身份」，路径查找即幂等查找。
 - 决策（幂等不变）：同一精确动作 → 同一路径 → 命中已有 prepared/accepted 账本并复用原 `idempotencyKey` / `operationId`，不二次 POST；相同动作并发仍被拒的既有语义保持。
 - 决策（旧槽账本最小懒迁移）：旧槽账本形状可读、不 panic、不 fail-closed；在 durable guard 之后、任何远端 POST 之前，**仅当**旧槽账本的 `agentId / runId / actionFingerprint` 与本次精确动作一致时，把它迁移到新路径（保留 `idempotencyKey` / `operationId` / 状态）并删除旧文件；属于其他动作的旧账本一律不动。旧「固定槽」（`run_id == agent_id`）账本的 fail-closed 拒绝保持原样。
-- 已知边界：`slice_count` **不进**身份（保留升级前粒度，也是旧账本迁移可行的前提）→ 仅切片数不同的两条图集请求仍共槽、第二条失败关闭；当前所有 standalone 槽的生产调用方都把 `slice_count` 传成 `None`（唯一能传 sliceCount 的是 agent 工具通道，它不走 standalone 槽），该边界当前不可达，但**缺负向用例**。
+- 当前身份边界：精确动作指纹包含 `slice_count`，Agent 图片工具同样使用 standalone 动作槽；不同精确动作可并行，同一动作在容量排队前持有原跨进程槽锁。不得再依据早期“Agent 不走 standalone 槽”的说明拆除幂等或重复提交。
 - 前端口径：本批**仍保留单条在途的前端排队**（提交节流），真并行派发需要并发收口设计（配对读 + manifest CAS + 聚焦意图互不覆盖），留待下一批。
 - 影响范围：`apps/ai-game-creator-shell/src-tauri/src/agent/generation/canvas_generation.rs`、`.../external_generation_state.rs`。**未改** `/api/external/v1` 契约 / OpenAPI / DTO，未改 `recovery_scan.rs`（身份白名单与孤儿清理语义不变），账本 schema 仍是 v3、字段集不变，只改 `runId` 取值来源。
 - 验证方式：新增 `standalone_generation_binds_each_exact_request_to_its_own_stable_slot`、`distinct_standalone_actions_hold_independent_durable_output_slots`、`concurrent_distinct_standalone_generations_both_succeed_with_one_post_each`（端到端：两条 `outputPath=None` 的不同动作要求两条 POST 同时到达，各自 poll → read-url → 下载 → 落盘）、`legacy_output_slot_ledger_is_adopted_by_the_same_exact_action_only`。变异验证（已实测）：把 `run_id` 退回旧公式 → 4/4 红（含「durable 输出槽身份必须等于该精确动作的身份」与并发用例的「任何远端 POST 前拒绝并发请求」）；把懒迁移短路 → 旧账本用例红。定向 `agent::generation::` + `recovery_scan` 95 passed、`direct_runtime media` 195 passed。

docs/project-memory/shared-memory/team-conventions.md

@@ -16,6 +16,11 @@
 
 ## 开发中
 
+- DirectProject 工具可并行调度，依赖由调用方等待，同资源事务与付费动作幂等不能放松。Web 创作先用客户端环境预检，分层验证共用持久的 `validation.maxRuns`，不改写 Provider 的 `llm.maxRetries`；成功证据按输入指纹复用，达标后交付。模型请求计时只保存安全元数据与可观测边界，未知不补零，写盘不能阻塞响应流。详见 AGC 主专题的“DirectProject 交付效率与可观测性”。
+
+- DirectProject 源码修改走 `agc_apply_patch`、进度走 `agc_update_plan`：SDK 原生的 `apply_patch` / `update_plan` 注册会被按回合移除（全局串行单例），不要恢复它们或用伪造工具注解换取并发。补丁只在当前项目内、受当前回合 Write 许可和受控进程约束，失败可能已部分写入，未知结果不自动重放；计划完成不构成验收证据。
+
+- 捆绑 Codex 版本只在 `build_support/codex_bundle.rs` 固定一次，不要在测试或脚本里另写字面量；升级 SDK 后必须重跑模型目录真实用例、宿主补丁往返、并发夹具与发行载荷 smoke。原生命令工具名随 SDK 版本变化（0.155 起为 `exec_command` / `write_stdin`），脚本与夹具应按真实目录取用，不要按旧名字硬编码。
 - AGC 主模型追溯保存在项目 `.agent/model-usage.jsonl`，请求目录标识与响应确认的型号分别记录；旧项目当前配置补录必须标注来源，不冒充历史事实。仅保存有界模型与回合身份字段，不保存配置、凭据或对话正文，不增加 UI 展示。详见 AGC 实施计划“项目主模型使用记录”。
 
 - Agent 提示词正文与工具说明放在所属组件的 `prompts/`；AGC 通过现有 Prompt Bundle 编译加载，服务端独立 crate 编译包含自己的提示词文件。代码负责变量填充、结构化 schema 与执行校验。

docs/technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md

@@ -1,5 +1,129 @@
 # AI 游戏创作智能体 App 实施计划
 
+## 2026-09-20 DirectProject 七项效率闭环（补齐合同）
+
+本节补齐并覆盖下节中仅靠 Skill 要求预检、收尾、批读和原生命令预算的部分。完整目标仍为：自动预检、宿主验收与收尾、分层验证、统一执行/返修预算、稳定测试基线、请求耗时与批量读取、所有工具并行。已有代码及测试不等于全部目标已完成；按下表逐项验收。
+
+| 要求 | 必须成立的行为 | 完成证据 |
+| --- | --- | --- |
+| 自动预检 | 新建 Web 游戏由实际用户入口和宿主自动执行，不依赖模型主动调用；失败不得启动正式生成或付费素材 | 首页/后端正反用例、真实构建与双端截图 |
+| 验收与收尾 | 必需范围和验收项在宿主持久化；证据绑定当前输入；全部必需项通过后关闭本轮新的修改/执行/付费扩项并产生交付报告 | 真实工具链状态转移、重启/并发/新增扩项拒绝用例 |
+| 分层验证 | 视觉、定点玩法、项目测试和必要完整闭环按已登记标准执行；不混淆证明范围 | 双端正例与单端失败反例 |
+| 统一预算 | 内置验证、托管脚本和原生命令执行受同一宿主预算约束；不以命令文本猜测“是不是试玩”，不把每条普通开发命令单独计为一次返修 | 捆绑 app-server 的执行前控制、拒绝无副作用、跨入口/重启/耗尽/超时用例 |
+| 稳定基线 | 可复用的固定种子跑酷基线，真实短按/长按跳跃、单次收力、滑铲释放及公平越障窗口 | 物理单测、双端真实输入、原案例缺陷参数反例 |
+| 速度可归因 | 已实现请求分段计时继续有效；新增实际并行批读与宿主首轮上下文预取 | 有界读取/并发屏障/安全边界/减少独立读取往返证据 |
+| 工具并行 | 现有全部工具并行、在途上限、同资源事务和付费防重继续有效 | 混合调用、图片双 POST 同时到达、同参防重回归 |
+
+### 自动预检与可信脚手架
+
+- 首页只有结构化的“做游戏 + 直接构建”入口执行预检；先于自动命名和项目生成。策划、文档、素材与已有项目普通对话不按文字关键词触发。后端再按 creationType 与实际工程类型核验，Godot/Unity/Unreal/Cocos 不强制 Web 工具链。
+- 全局预检使用独立临时目录和已校验 Node/npm，执行自带的最小构建脚本、生成 dist，再用正式受限浏览器完成 desktop/mobile 页面与 PNG 检查。此步骤无网络、无平台生成，不运行用户脚本，不修改已有项目。
+- 对客户端刚创建且内容仍匹配可信模板的 Web 脚手架，在正式生成前由宿主执行受控依赖准备和真实 Vite 构建。依赖安装禁用生命周期脚本；不自动安装或覆盖导入/用户修改过的工程。
+- 准备凭证的 `ready` 只证明初次环境准备成功，不代表当前游戏已验收，后续正常修改不得因此重新安装。`preparing` 中断恢复必须证明原拥有者已结束且其执行子树已回收；身份或归属未知时保留阻断，不重复执行。
+- 输出明确区分“Node/npm 构建能力通过”与“本项目 Vite 构建通过”；任何一步失败保留可行动错误，不降级为预检成功。
+- 安装载荷提供相同的安全预检 CLI，验证无系统 Node 的独立运行、缺包/篡改失败关闭。NSIS 解包载荷 smoke 与真实安装器注册流程分开报告，不覆盖当前用户的既有安装。
+
+### 跑酷固定基线
+
+- 新增固定场景 runner-v1。客户端使用固定种子 20260920，通过 URL 初始化参数提供；游戏从初始化状态读取并投影实际种子。模拟随机数与装饰随机数分离，模拟采用固定步长。
+- 在现有只读玩法状态接口中扩展 runner 状态：实际模拟 tick、课程指纹、角色位置/速度/落地、滑铲、碰撞尺寸、跳跃/收力计数、真实按住状态和最近障碍几何。字段缺失或类型不符即不支持该验收，不补造成功。
+- desktop 使用真实键盘/鼠标，mobile 使用真实触摸；检查短按和长按、松手单次收力、落地、滑铲释放与同种子重开。不得调用游戏内部动作方法、改状态、替换 Math.random 或直接设置胜利。
+- 公平窗口以观测到的可越障空中区间减去碰撞区横穿时间计算，基线至少 180ms；窄窗口参数作为负例并报告实际观测值。固定场景只证明短时动作与几何，不冒充原案例数值的精确复现或完整长关卡通关。
+- 配套可复用、可单测的物理/种子模块；不把所有新游戏都强制改成跑酷，不替换用户选定引擎。
+
+### 有界并行读取
+
+- 新增批量项目上下文读取：最多 8 个去重文件，最多 4 个同时读取；单文件实际读取最多 1MiB，单项正文最多 32KiB，整个序列化回包最多 256KiB。
+- 复用项目路径、权限、敏感内容和私有控制面边界，拒绝越界/链接/非普通文件；先有界读取，再按 UTF-8 行裁切。返回行号、实际内容摘要、截断和下一页位置。
+- 单项失败不丢弃其余成功项；返回安全项目身份、回合身份和读取前后 revision。检测到文件或回合变化必须标 stale，不能把它宣传为原子快照。
+- 宿主在正式 Direct 首轮批量预取受支持的基础源码/包信息，作为明确的数据上下文交给模型；不把文件内容提权成系统指令。大型或不支持文件明确留给后续批读，不循环逐文件请求模型。
+
+### 宿主控制与后续验收边界
+
+- 统一预算按执行/验证批次与实际运行输入管理，允许正常构建和相关测试在一个批次内执行；原生读取和结构化文件编辑不按每条命令消耗返修次数。任意代码执行必须具备当前回合的有效执行许可及累计执行时长边界。
+- 原生命令入口必须以捆绑版本的真实协议证明可在执行前拒绝；不得用执行后的日志通知或文本分类器冒充执行门。能力检测失败不得静默退回无控制模式。
+- 原生执行控制的精确协议与许可持久化，在对应里程碑评审后落地；不得提前宣布这一项已完成。
+- 不修改 Provider 的 maxRetries；不减少引擎或任意代码执行的合法能力，不引入平行 Agent 框架，不改公开 API/数据库，不提交私密运行记录。
+
+### 宿主验收与执行许可合同
+
+- 正式 GUI 和 CLI 的共同 Direct 回合入口建立宿主控制状态，绑定 canonical 项目路径、稳定 clientTurnId 和原始用户输入摘要；宿主私有目录保存权威账本并独占该回合，项目 `.agent` 仅允许保存展示副本。配置或项目侧文件被改写、工具切换、Provider 重试和进程重启不得刷新同一回合的预算。
+- 普通聊天与读取不要求交付合同。首次修改、代码执行或付费扩项之前，模型通过结构化工具登记本轮必需范围与验收项；合同非空、有界且只冻结一次。模型只能声明要求，不能提交“通过”作为证据。后续扩项留到新的用户回合。
+- 明确新 Web 创建由宿主可信脚手架凭证及尚未交付的宿主记录判定，CLI 同样据此判定，不从提示文本猜测；这种回合即使模型没有调用工具或没有登记合同，也不得按普通聊天宣布交付。已有项目只有未激活合同且从未产生副作用时才允许直接聊天结束。
+- 验收项为明确类型的产物、构建/测试命令、双端视觉或指定固定场景的双端玩法。可信新 Web 游戏由宿主补充构建、双端视觉和玩法底线，不能由模型声明“已有项目”降低。已有项目按冻结的变更范围选择层级；平台美术只在用户目标要求时成为必需项。
+- 同一份双端玩法证据可同时满足视觉项，避免重复浏览器运行。构建证据分别绑定源码输入摘要与输出摘要，正常生成 dist 不算源码漂移；浏览器证据绑定构建后的实际运行输入。只有宿主验证完成产生的结构化结果和证据文件摘要能满足合同，项目内自行写出的验证 JSON 无效。
+- 产物项的初始摘要由宿主冻结，模型不能提供或在重放时重算。仅登记已经存在的文件不能立即交付：产物必须实际变化/新出现，或有当前指纹的宿主可信验证证据；原生修改和工具修改遵守相同判据。
+- `validation.maxRuns` 保留已配置值，语义为执行/返修批次上限；首次执行开启第一批。开发期正常成功命令和源码编辑共享本批，不逐条消耗次数。开始验证后绑定输入，执行失败或验证期间输入漂移使本批进入排空状态，关闭新的执行入口，等已受理操作结束后才开启下一返修批次。读取与结构化编辑不单独消耗次数。
+- `validation.maxExecutionSeconds` 默认 900，必须为正整数，是整个 clientTurnId 的累计执行时间上限，换批次不清零。并行操作分别计时累加，内置工具不与 app-server 的外层 MCP 事件重复计费。时间耗尽立即拒绝新执行、写入和付费扩项，保留最近证据与未完成项；Provider 的重试次数保持独立。
+- `validation.maxTurnSeconds` 默认 1800，必须为正整数，是同一宿主回合从开始起的墙钟上限，重启不重置，用于约束模型空转和超出单个工具事件边界的后台会话。墙钟上限与累计执行时间分别记录，任一耗尽都收束自有执行器；不能把模型等待时间报告成工具执行时间。
+- 捆绑 app-server 的原生命令使用已验证的逐次审批能力；宿主只返回单次接受/拒绝，不允许会话授权或 exec policy 修订。第三方 MCP 必须显式启用逐调用询问，不能依赖不可信 readOnlyHint。询问缺少调用 ID 时，按服务器与回合中的并发组保守管理，不能解析展示文案猜测归属。
+- 原生、内置与第三方所有入口都经过同一宿主状态；独立工具继续并行，只有身份、批次切换、收尾与必要资源冲突形成短临界区。能力检测失败不得退回无控制执行。
+- 上述回合控制适用于 DirectProject。独立客户端 HTTP MCP 显式使用 ExternalClient 来源，保持其原有权限、幂等和浏览器能力，不借用当前项目另一条 Direct 回合的预算或可信证据；新交付合同与托管验证命令工具要求 Direct 会话。服务端 external_mcp 不变。
+- 必需证据齐备后，宿主先进入封口状态，拒绝新副作用，再确认在途归零、收束模型执行器并取得进程退出证明，最后重新核对源码、产物和证据摘要；核验成功原子进入 completed 并产出宿主报告。不能先写 completed 再尝试停止后台进程。宿主主动结束模型回合属于交付终态，不触发普通错误反馈或重试。未达标不得用模型最终回复替代验收。
+- Windows app-server 在任何模型工具执行前绑定不可脱离的自有 Job，超时/取消/断连时验证整个 Job 已退出。其它平台继续保留受控进程组；未取得完整子树退出证据时按不确定状态报告，不宣称全部后台执行已停止。已受理的远端付费任务保留原不确定围栏，断连不构成自动重放授权。
+- 付费许可始终绑定原回合和原租约，不能在容量或同动作锁排队结束后借用新回合。排队可取消，每次新 POST 前与封口共用宿主状态短锁，核对原许可、期限与阶段并持久化提交边界；封口、终止或耗尽后不得新增提交。已经越过提交边界的请求不丢弃，其 operation ID 和不确定状态继续持久化并允许原 GET 对账，多阶段生成的下一次 POST 仍须重新核验。ExternalClient 与手工资源操作保持既有语义。
+- 本地写事务未结算或失败仍需核对时不得封口。与失败写入重叠的旧写入/旧验证不能清除该围栏；只有失败之后新准入的成功修复或可信验证可以恢复验收。普通文件写入与账户/本地资产导入显式携带原写入许可，取得项目锁后再与宿主状态锁共同核验期限并提交短本地事务；等待锁或下载期间终止的请求不得继续落盘，网络等待不持宿主状态锁。
+
+
+## 2026-09-20 DirectProject 交付效率与可观测性
+
+本节是 DirectProject 新建 Web 游戏和已有游戏修改的交付合同，覆盖下文要求所有修改重复完整试玩、模型自报 attempt 作为预算、工具桥串行生成的旧表述。目标是提前发现环境问题、复用稳定验证能力、在本轮目标达标后结束，并用真实记录区分执行与等待。非目标：降低素材来源或玩法验收要求、修改 Provider 重试配置、改变原生 shell 的权限模式、自动修改系统环境或无授权付费再生。
+
+### 环境与工作流
+
+- 客户端交付配套 Node/npm；发布包从本机已安装且与目标平台/架构一致的工具链制作受校验资源，保留许可并校验内容摘要。安装态不依赖系统 PATH 的 Node；开发态可使用已验证的宿主运行时。不得从项目或相对 PATH 加载伪造运行时。
+- 新建 Web 游戏在生图和大量实现前执行客户端环境预检，检查 Node/npm 的实际版本、浏览器启动和 CDP 可用性。报告只包含安全状态、版本、耗时和错误码。缺失或异常必须尽早返回阻塞，不能指示模型改宿主环境、全盘搜索或自行下载一套运行时。编辑器工程不强制 Web 工具链。
+- 预检不安装依赖、不修改项目 revision、不请求平台生成；构建仍执行项目自己的 npm 脚本。Codex 隔离 HOME 与平台凭据边界保持不变，客户端把已验证的运行时加入执行 PATH，不能把宿主凭据目录交给模型。
+- 第一轮先明确本次必需玩法、素材和验收项。同批独立读取尽量合并，必需图片一次规划；已有且可用的资产复用。已有目标全部通过后给出交付结果，非阻塞的新点子列为后续工作，不在收尾时主动开启新的生产链。
+
+### 分层验证与预算
+
+- 复用客户端浏览器与现有固定玩法场景。视觉检查采集双端画面/布局/资源/诊断；玩法检查分别在 desktop/mobile 执行明确的固定场景和真实输入，按视口保存结果。旧报告缺少移动端玩法结果时保持未知，不补通过。报告必须声明检查层级；视觉通过不能宣称玩法通过，固定场景通过也不能宣称覆盖未执行的完整关卡。
+- 输入或碰撞改变先做定点玩法检查；纯图像/颜色变化做视觉检查；首次交付和影响闭环的修改做所需玩法验证。新增失败或相关代码变化才重跑对应层，不因改说明文字重复完整验证。
+- 内置试玩和客户端托管的外部 Node/npm 验证共用当前 clientTurnId 的持久化预算。客户端分配递增执行序号，模型提供的旧 attempt 仅作兼容输入，不能减少计数或重置预算；同一轮错误反馈、工具切换和进程重启均不能刷新已消费次数。
+- 新增本地 validation.maxRuns（默认 3，正整数）独立于 llm.maxRetries；显式配置原样使用，不按角色或运行模式改写。超限直接返回已用/上限和最近证据，停止新的验证。预检与正常构建不计作重复试玩。
+- 同一层级、场景/验证命令和项目输入指纹已有成功证据时复用，不再次运行；真实源码或素材变更使缓存失效，失败不缓存为成功。所有验证回执标明是否复用、项目指纹、实际序号和预算剩余。
+- 外部验证只通过客户端提供的 Node/npm 入口运行，在同一预算内保存退出码和有界输出；生产 Skill 明确禁止转到原生 shell 自建并重复执行另一套试玩来规避预算。任意原生 shell 的语义不能由字符串猜测可靠识别，本合同不声称已通过权限沙箱硬阻断所有绕行。
+- 鉴权、权限、余额、项目身份、传输丢失、取消及付费结果不确定继续遵守原终止/对账边界；确定性参数错误先修参数，不原样重复付费请求。
+
+### 分段耗时
+
+- 在既有 Direct 回合审计记录中追加计时，关联 clientTurnId、独立 attempt 和 request 身份。记录 configured/requested model、reasoning effort 与封闭的路由分类；上游返回的 model 单独标明，不能把配置值冒充实际模型。
+- 区分连接准备、客户端回合锁等待、turn/start 应答、HTTP 发出到响应头、首 body chunk、首 SSE event、首内容 delta、流终态、工具与上下文压缩。不可见的上游排队/推理保持未知，缺字段不得补零。
+- 并发时按区间并集计算占用，同时保留分维度统计，不能把重叠时间累加为整轮墙钟。条目记录达到上限后统计仍继续；流 EOF、错误、取消和 Drop 均正确收尾。
+- 只保留时间、计数、模型安全标识和状态，不保留凭据、端点 URL、请求/响应正文或推理内容；统计失败不能覆盖本来的业务结果。旧历史不回填推测值。
+
+### 工具并发
+
+- 所有工具调用均允许并行受理，不能按工具类型或由 STDIO 逐行 await 将独立工作整体串行化。完整 JSON 行通过单一写端输出并按请求 ID 回包；真正有依赖的调用由调用方等待前置结果。
+- DirectProject 的 Responses 代理明确发送 `parallel_tool_calls=true`，保持选定模型、推理参数与其它请求字段不变；不依赖捆绑 SDK 对未知模型的串行回退。MCP 服务使用真实支持的 `supports_parallel_tool_calls` 选项，保留工具真实读写标记及执行前许可。上游拒绝并行能力时如实返回，不自动改成串行或切换模型重发。
+- MCP 调度的在途容量为 8 并具有背压；只为同一资源的冲突操作、项目短事务、编辑器单实例或同一付费动作保留必要串行边界。不同文件/不同资源/不同独立工具可同时推进，不保留覆盖所有资源远端等待的粗粒度锁。
+- 客户端独立图片在途上限为 2，这是客户端自己的资源上限，不代表探测到了服务端配额。不得通过放松同一动作槽幂等锁、账户身份栅栏或付费不确定性围栏换并发。
+- 不同动作允许同时远端执行，manifest 只在提交阶段短持项目锁并重读合并；同一精确动作在排队和执行期间均不得重复 POST。容量释放、进程/通道关闭、同参排队和失败恢复有专门回归覆盖。
+- 不改公开 External v1、计费、SpacetimeDB schema 或平台 worker 配置。
+
+### SDK 串行工具的等价接入
+
+- DirectProject 对外保留完整补丁和计划能力，由宿主 MCP 提供 `agc_apply_patch` 与 `agc_update_plan`。精确关闭 SDK 的旧计划工具注册；缺少合法回包通道的原生问答工具不再声明可用，需要用户信息时使用现有聊天。
+- 通过同一可信捆绑 Codex 和身份/路由隔离的 HOME 取得完整模型目录，只置空 `apply_patch_tool_type` 以移除 SDK 全局串行补丁处理器。不得修改模型名称或其它 metadata，不为未知模型伪造显式条目；匹配和 fallback 仍由 SDK 执行。
+- 代理模式的 bundled 目录和 OAuth 的实际远端/有效缓存来源分别核验，不能把模型目录导出 exit0 当作远端成功。每个 Direct 用户回合创建新模型目录快照和进程；旧执行器完全收束后才进入下一回合，不在活动执行中重启或重放。该行为是按回合冻结 metadata，不是实例内动态 overlay。
+- OAuth 在目录捕获与模型进程内产生的轮换结果仅在宿主私有 runtime 中延续，按原始认证来源指纹、路由、项目及稳定账户/用户身份绑定后复制到下一回合的新私有 HOME；不回写用户原始认证文件，不缓存 API Key。来源、路由或身份改变时不继承，迟到的旧实例不得覆盖新回合结果；轮换结果未确认时禁止重用旧 token。
+- 实例退役与验收完成使用不同判据：Windows 仍要求完整 Job 退出；Unix 已确认主进程退出且所控进程组为空时可退役并允许下一显式用户回合，但 group-only 证明不能使原会话从 Interrupted 升为 Completed，不能自动重放旧操作。主进程、所属组或退出状态仍未知时继续阻断新实例。
+- 补丁完整复用固定版本官方语法解析与执行语义。宿主枚举每个源和目标（包括所有 Move 和重复操作），检查项目边界、受保护路径和链接，在本地短写事务中复核后执行；取消、预算、退出证明和未知结果仍走统一宿主控制。失败可能已有部分修改，不能声称全批回滚或自动原样重放。
+- 模型计划进度保存到同一回合的宿主状态，仅作展示，不等于验收通过；计划更新和长资源调用可以同时推进。真正共享资源的修改仍保持必要顺序。
+
+### 验收
+
+| 条款 | 必需证据 |
+| --- | --- |
+| 环境可用 | 运行时分发/完整性定向测试，真实 Node/npm 与浏览器 CDP smoke，缺失与损坏失败关闭 |
+| 验证收敛 | 同轮跨入口与重启预算测试，超限停止，成功复用与源码/素材变更失效，层级不混淆 |
+| 交付收尾 | 内置 Skill/提示词与工具合同一致，定向回归，无旁路无限试玩指引 |
+| 可观测 | 本地 mock SSE 分片/错误/Drop/跨轮测试、区间并集测试、模型身份与敏感数据边界 |
+| 工具并发 | 不同工具可在首个响应前开始且乱序按 ID 回包；两个不同图片同时到达 mock 平台，同参只提交一次，容量和 manifest 合并测试 |
+| 整体 | 范围匹配 Rust/脚本测试、类型检查、Skill 包校验、文档索引、编码与 diff 检查；真实 Provider/安装包未运行时单独列明 |
+
+
 ## 项目主模型使用记录
 
 - 项目在 `.agent/model-usage.jsonl` 保存主模型记录，供复制或压缩完整项目后查询，不新增界面展示。每条只保存版本、记录时间、来源、请求模型标识、可确认的模型名称，以及可用的客户端回合和线程身份；不保存提示词、响应正文、连接地址或凭据。
@@ -453,12 +577,12 @@ Supervisor 认领该回执后，由父 run 自己为每个原 delivery 逐一创
 
 - 模式合同：客户端 AppData 配置新增全局 `agentMode`，只接受 `codex_cli / provider`。缺省和新安装默认使用 `codex_cli`，原有 HTTP LLM Provider 路径完整保留并可显式切回 `provider`；切换只影响下一次节点请求，不新增 Runner、任务图、会话库、配置库或业务事实源。
 - 调度边界：正式 DAG、manifest、Agent task/session/run 身份、队列、锁、委派、all-join、完成门、Provider lifecycle、持久 retry/handoff 与 `needs-reconciliation` 继续由现有 AGC Runtime 掌控。每个被调度节点在 `codex_cli` 模式下直接启动一次非交互 `codex exec` 充当该节点的推理 Agent；Codex 返回当前 Runtime 广告函数的结构化调用，Runtime 仍是唯一 ToolHost，不允许 CLI 自己写项目、执行命令、调用 MCP 或形成第二套 revision / verification 真相。
-- 安装包侧车：Windows x64 release 固定随 Tauri resource 打包 `@openai/codex@0.147.0` 的原生 `codex.exe`；Rust build script 从 AGC 子包锁定依赖 stage 到 resource，并写入版本与 SHA-256 清单。Windows 侧车映射只写入 `tauri.windows.conf.json`，通用 `tauri.conf.json` 不得让 Linux / macOS 构建依赖未生成的 Windows 二进制。运行时只在文件摘要和 `codex-cli` 版本同时匹配清单时优先选内置侧车；缺失、损坏或版本漂移时跳过它，按既有 npm 安装、PATH 顺序回退。安装包同时携带 Apache-2.0 第三方声明；API Key、`auth.json`、Cookie、Token、用户 `CODEX_HOME`、用户配置和项目数据绝不打包。
+- 安装包侧车：Windows x64 release 固定随 Tauri resource 打包 `@openai/codex@0.155.1` 的原生 `codex.exe`；Rust build script 从 AGC 子包锁定依赖 stage 到 resource，并写入版本与 SHA-256 清单。固定版本只在 `build_support/codex_bundle.rs` 声明一次，构建脚本、宿主补丁执行器身份、逐次审批协议允许列表和模型目录捕获共同引用它，避免多处字面量漂移。Windows 侧车映射只写入 `tauri.windows.conf.json`，通用 `tauri.conf.json` 不得让 Linux / macOS 构建依赖未生成的 Windows 二进制。运行时只在文件摘要和 `codex-cli` 版本同时匹配清单时优先选内置侧车；缺失、损坏或版本漂移时跳过它，按既有 npm 安装、PATH 顺序回退。安装包同时携带 Apache-2.0 第三方声明；API Key、`auth.json`、Cookie、Token、用户 `CODEX_HOME`、用户配置和项目数据绝不打包。
 - Windows x64 release 安装包只生成 NSIS，不生成 MSI：`tauri.windows.conf.json` 的 `bundle.targets` 固定为 `["nsis"]`，通用配置继续保留其它平台的默认打包目标。安装后的产品名、开始菜单 / 桌面快捷方式和 EXE 产品描述统一由 `tauri.conf.json` 的 `productName: "陶泥儿"` 生成；应用 identifier 与内部可执行文件名保持稳定。内置 Codex 资源安装到顶层 `coding-agent/win-x64/`，运行时从同一路径查找 `bin/codex.exe` 与 `manifest.json`；仓库 staging 仍使用 `resources/codex/win-x64/`，包内子目录、组件名、版本和完整性校验保持原合同。
 - macOS 安装包必须携带锁定版本的原生 Codex、`codex-code-mode-host`、`rg`、上游 zsh、`codex-package.json` 和第三方声明，保留上游相对布局；构建时按 Cargo 目标选择 npm 原生依赖，缺文件、版本或目标不匹配立即失败，不借用开发机 PATH 里的 Codex。资源只在 `tauri.macos.conf.json` 映射到 `Contents/Resources/coding-agent/mac-native/darwin-arm64/` 与 `darwin-x64/`。构建与运行共享平台文件白名单，运行时由当前 `.app/Contents/MacOS` 定位相邻 `Resources`，完整性与版本验证通过后优先使用内置组件；失败沿既有外部安装回退，不能运行未校验的内置文件。universal 主程序同时携带两套独立原生资源，运行切片按 Cargo 目标只选择对应目录；macOS 构建必须预备两套锁定原生依赖，不读取全局 Codex。
 - 内置插件的清单、运行入口与面板同时在 Windows/macOS 随包分发，继续由既有 PluginHost 的应用资源目录扫描入口发现；不携带开发依赖、缓存、测试或私有配置。插件文件随包不等于原生适配器跨平台：Cocos 进程桥接仍受现有 Windows 实现和 feature 门禁约束，macOS 原生桥接另行设计与验收，不复制 Windows DLL 冒充支持。系统 Node、用户 Cocos Creator、账号登录、网络和生成工程的 npm 工具链仍是现有外部前提，不在此次 Codex 侧车补齐中隐式变更。
 - macOS 安装包验收必须包括：脱离仓库位置的 `.app` 资源与架构检查、受限 PATH/隔离 HOME 下内置 Codex 启动和 app-server 握手、必需文件缺失/篡改/平台错误的拒绝测试，以及 DMG 完整性检查。真实登录、Provider 对话、GUI 和 Cocos 操作必须独立列出证据，不能用压缩包生成或 `--version` 成功替代。未配置正式签名、公证的本地测试包不得作为公开发行包。
-- macOS 安装包的系统下限取主程序和全部原生组件中的最高要求；锁定 Codex 0.147.0 原生依赖所携带的 zsh 要求 macOS 15.0，因此 `bundle.macOS.minimumSystemVersion` 明确为 `15.0`。更新原生依赖时重新检查 Mach-O 的系统下限，不能只按 AGC 主程序宣称兼容版本。
+- macOS 安装包的系统下限取主程序和全部原生组件中的最高要求；锁定 Codex 0.155.1 原生依赖中 `codex-resources/zsh/bin/zsh` 的 `LC_BUILD_VERSION` 下限为 macOS 15.0（`bin/codex`、`codex-code-mode-host`、`codex-path/rg` 分别为 11.0 / 10.12），因此 `bundle.macOS.minimumSystemVersion` 明确为 `15.0`。更新原生依赖时重新检查 Mach-O 的系统下限，不能只按 AGC 主程序宣称兼容版本。0.155.1 的 macOS 原生包新增 `codex-resources/voice/`（语音宿主与 GStreamer 动态库）；AGC 不启用语音能力，侧车清单只 stage 上述组件，不打包该目录，未来如启用语音需重新评估依赖与许可。
 - 发布链路的目标解析和 universal 清单以《AGC客户端更新检查与下载》为准：CLI 目标优先，版本、构建、端点、bundle 与更新清单共用单一发布上下文。插件能力以《AGC通用插件宿主与编辑器适配》为准：无已注册 Cocos 原生适配器时隐藏且拒绝启动，前端自动启动只消费后端可用性投影。
 - CLI 安全边界：CLI 固定使用 argv 启动，禁止 shell 拼接；工作目录使用本次请求专用的空临时目录，不把游戏项目绝对路径写入 prompt、stdout、stderr 或持久记录。调用固定使用 ephemeral、忽略用户配置和 exec rules、read-only sandbox、never approval，并关闭 Codex shell tool；只继承 CLI 运行和认证所需的最小环境，显式移除宿主 `CODEX_API_KEY`。用户级 Codex 登录态继续由本机 Codex 自己读取，API Key、auth 文件、Cookie、Token、`CODEX_HOME` 私有内容不得复制到项目配置、Runtime sidecar、Agent DB、conversation 或日志；stdout / stderr 无换行时也受硬上限约束，stderr 诊断只记录固定分类、字节数和 SHA-256。
 - 协议边界：Runtime 把既有 `LlmRunRequest` 的消息和当前函数目录编码为有界 prompt，并从同一函数 JSON Schema 生成 Codex structured-output schema。CLI 输出转换为现有 `LlmRunResponse / LlmToolCall` 后，继续经过 native tool / MCP 参数校验、动作上限、权限、pending、receipt、验证与格式修复链；最终回复仍走唯一提交路径，不新增平行响应协议。