From 4a16263729dadbce8649dd8ac6ca121c81849628 Mon Sep 17 00:00:00 2001
From: kdletters <kdletters@qq.com>
Date: Fri, 19 Jun 2026 10:13:26 +0800
Subject: [PATCH] =?UTF-8?q?=E6=8E=A5=E5=85=A5=E6=B1=AA=E6=B1=AA=E5=A3=B0?=
 =?UTF-8?q?=E6=B5=AA=E7=BB=93=E6=9E=9C=E9=A1=B5=E5=8E=9F=E7=94=9F=E5=9B=BE?=
 =?UTF-8?q?=E7=89=87=E5=AF=BC=E5=85=A5?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

汪汪声浪结果页三图槽位上传优先复用file.importImage宿主能力

补充原生导入取消和浏览器回退测试

将汪汪声浪结果页纳入原生壳H5调用链门禁

更新宿主壳协议、方案文档和共享记忆
---
 .../shared-memory/decision-log.md             |   7 +
 .../shared-memory/development-workflow.md     |   1 +
 ...��ExpoReactNative与Tauri宿主壳方案-2026-06-17.md |   4 +-
 ...�前端架构】宿主壳能力统一协议-2026-06-17.md |   2 +-
 scripts/check-native-shells.mjs               |   2 +
 .../BarkBattleResultView.test.tsx             | 165 +++++++++++++++++-
 .../BarkBattleResultView.tsx                  |  73 +++++++-
 7 files changed, 244 insertions(+), 10 deletions(-)

diff --git a/docs/project-memory/shared-memory/decision-log.md b/docs/project-memory/shared-memory/decision-log.md
index c70e5e0c1..be4f9373d 100644
--- a/docs/project-memory/shared-memory/decision-log.md
+++ b/docs/project-memory/shared-memory/decision-log.md
@@ -2557,6 +2557,13 @@
 - 影响范围：`src/components/creation-agent/CreationAgentWorkspace.tsx`、`src/services/host-bridge/hostBridge.ts`、宿主壳能力统一协议文档、Expo / Tauri HostBridge 方案文档。
 - 验证方式：`npm run test -- src/components/creation-agent/CreationAgentWorkspace.test.tsx`、`npm run check:native-shells`、`npm run check:encoding`、`git diff --check`。
 
+## 2026-06-19 汪汪声浪结果页三图槽位复用原生图片导入
+
+- 背景：汪汪声浪结果页的玩家形象、对手形象和 UI 背景槽位已经支持浏览器文件输入、单槽上传、单槽重生成、试玩和发布，但 Expo / Tauri 壳内点击上传仍只能触发 WebView 的浏览器文件输入，没有复用已落地的受控 `file.importImage` 系统选择器体验。
+- 决策：`BarkBattleResultView` 的三图槽位上传在 `native_app` 且宿主声明 `file.importImage` 时优先调用 `importHostImageFile()`，把宿主返回的 base64 图片副本转换成浏览器 `File` 后继续交给 `uploadBarkBattleAsset` 上传和当前槽位写回链路。用户取消原生选择时停留在壳流程内，不连带弹出浏览器文件输入；普通浏览器、小程序和未声明能力的裁剪壳继续使用原隐藏文件输入。
+- 影响范围：`src/components/bark-battle-creation/BarkBattleResultView.tsx`、`scripts/check-native-shells.mjs`、宿主壳能力统一协议文档、Expo / Tauri HostBridge 方案文档。
+- 验证方式：`npm run test -- src/components/bark-battle-creation/BarkBattleResultView.test.tsx`、`npm run typecheck`、`npm run check:native-shells`、`npm run check:encoding`、`git diff --check`。
+
 ## 2026-06-18 方洞结果页图片槽位接入原生壳图片导入
 
 - 背景：方洞结果页的封面、背景、形状和洞口图片槽位已经支持浏览器文件输入、历史图选择、AI 生成和自动保存，但 Expo / Tauri 壳内点击上传仍只能触发 WebView 的浏览器文件输入，没有复用已落地的受控 `file.importImage` 能力。
diff --git a/docs/project-memory/shared-memory/development-workflow.md b/docs/project-memory/shared-memory/development-workflow.md
index 753d30969..dea4e7429 100644
--- a/docs/project-memory/shared-memory/development-workflow.md
+++ b/docs/project-memory/shared-memory/development-workflow.md
@@ -219,6 +219,7 @@ npm run check:native-shells
 该命令会覆盖 H5 HostBridge 关键测试、微信 / Expo / Tauri 三端桥接层文件结构门禁、完整相对路径文档反查、H5 HostBridge 事件订阅双能力门控反查、移动端和桌面端单端源码清单门禁、Expo 壳 typecheck / test / config smoke / Metro export smoke、Tauri 壳 typecheck / cargo test、桌面壳 release `--no-bundle` 构建烟测，以及可分发壳与 H5 HostBridge 真实调用链的临时替身词扫描，确认 Expo managed config、移动端 iOS / Android production bundle、打包 H5 资产、Tauri release 入口和 H5 HostBridge 真实调用链没有漂移；扫描范围包含微信小程序壳生产 `.js`、共享 HostBridge 契约、H5 native transport，并自动覆盖已接入真实宿主能力 facade 的 H5 生产调用链文件。壳源码和配置继续严格禁止 mock / fake / placeholder / stub / TODO / FIXME / 占位 / 模拟 / 伪造；H5 业务调用链允许正常表单 `placeholder` 属性和业务占位图文案，但仍禁止 mock / fake / stub / TODO / FIXME / 模拟 / 伪造等替身痕迹。
 创作 Agent 原生壳文档导入优先走 `file.importDocument`，旧壳只声明 `file.importText` 时才回退文本导入；相关变更必须让根级和单端门禁覆盖共享 method、capability profile、文档 MIME / 5 MiB 上限、读取前 size 校验，以及 H5 base64 转 `File` 后继续走后端文档解析的链路。
 创作 Agent 参考图上传在原生壳声明 `file.importImage` 时必须优先走宿主图片导入，并把 H5 base64 转 `File` 后继续交给既有 `onReferenceImageChange` 校验链路；用户取消原生选择不应再连带弹出浏览器文件输入，普通浏览器、小程序和未声明能力的裁剪壳才使用原隐藏文件输入。
+汪汪声浪结果页玩家 / 对手 / UI 背景三图槽位上传在原生壳声明 `file.importImage` 时必须优先走宿主图片导入，并把 H5 base64 转 `File` 后继续交给 `uploadBarkBattleAsset` 与当前槽位写回链路；用户取消原生选择不应再连带弹出浏览器文件输入，普通浏览器、小程序和未声明能力的裁剪壳才使用原隐藏文件输入。
 该命令会反查微信小程序 `WECHAT_HOST_CAPABILITIES` 与共享 `HOST_BRIDGE_WECHAT_MINI_PROGRAM_CAPABILITIES` 一致；小程序生产代码继续保留 CommonJS 运行时镜像，不直接 import TypeScript shared 包。
 该命令同时会运行微信小程序 `miniprogram/host-bridge/`、`miniprogram/shell/`、`pages/web-view` 样式和 `scripts/miniprogram-web-view-auth.test.ts` 的壳层测试，保证微信桥接层拆分后的支付、订阅消息、九宫切图、分享目标和 WebView 登录 / 分享入口行为与 Expo、Tauri 壳一起验收。
 该命令还会反查微信小程序 `app.json.pages` 与 `host-bridge/protocol.js` 页面 URL、H5 小程序页面常量、H5 订阅授权页面常量、WebView 分享入口、分享目标消息类型、`WEB_VIEW_SOURCE_QUERY`、微信请求头运行时标记、H5 runtime parser、H5 路由保留字段和 H5 / API base URL 格式，避免页面路由、来源标记、宿主上下文 query 或域名配置在微信壳、H5 HostBridge 与运行时配置之间分叉。生产 / 开发 H5 与 API 域名都必须显式配置为纯 HTTPS domain，运行时开发域名回退生产域名只作为异常兜底。
diff --git a/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md b/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
index 23cbf1100..436e858b4 100644
--- a/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
+++ b/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
@@ -298,7 +298,7 @@ GameBridge 禁止：
 - iOS / Android 深链打开作品详情、创作页和邀请码。
 - 登录和支付先 fallback 到 H5；只把能力边界跑通。
 
-当前状态：已新增 `apps/mobile-shell/`，通过 Expo development build 运行，`react-native-webview` 加载 H5 URL 并附加 `native_app` 宿主 query。移动壳使用真实品牌图标资产，已接入 `genarrative://` scheme、iOS associated domain 和 Android app link filter，启动和运行时 deep link 只会映射到同源 H5 路径并继续附加 HostBridge 上下文，外域和危险协议回退到默认主站入口。首轮真实能力包括 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.captureImage`、`scanner.scanQrCode`、`file.importAudio`、`file.exportAudio`、`haptics.impact`、`notification.showLocal` 和 Android 返回键回退；其中 `appearance.getColorScheme` 只读系统配色偏好，不强改 H5 或系统主题；`app.lifecycle` 通过 React Native `AppState` 注入 `active` / `inactive` / `background` 统一状态，供 H5 游戏循环、音频和轮询做真实暂停 / 恢复判断，H5 的 `useHostLifecycleActive()` 会把该事件归一成运行态可播放状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都按该状态在宿主进后台时暂停、回到前台且原播放条件仍满足时恢复；`network.status` / `network.statusChanged` 通过 `expo-network` 查询并订阅真实系统网络状态，供 H5 游戏运行态和生成页识别离线 / 弱网回退；iOS 额外声明 `app.setBadgeCount`，通过 React Native `PushNotificationIOS` 设置应用图标角标，Android 不声明该能力。H5 会解析并过滤 `hostCapabilities`，也会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存能力，只对声明或回读到的能力展示入口或调用宿主能力；其中 `share.setTarget` / `share.open` 会解析统一分享目标里的 `title`、`message`、`url`、`work`、`path` 或 `targetPath` 并调用 React Native 系统分享面板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求；发布分享弹窗只有在宿主声明 `share.open` 时才提供“系统分享”动作，失败时保留复制链接回退路径；`navigation.openNativePage` 在 Expo 壳内只接受同源 H5 route 并切换 WebView URL，切换前会重新附加 `clientRuntime=native_app`、`hostShell=expo_mobile`、真实平台、版本和 capability 清单，确保宿主主动导航后的新页面仍按原生壳运行态启动；该能力不伪造尚未存在的登录、支付或其它原生页面，`navigation.canGoBack` 由 WebView 导航状态变化实时注入 H5，`app.reloadWebView` 只调用当前 `react-native-webview` 的 `reload()` 刷新内嵌 H5，不开放任意脚本执行或 URL 重写；WebView 自身拦截到外域导航时只会把 `http:`、`https:`、`mailto:`、`tel:` 且系统 `Linking.canOpenURL` 确认可打开的外链交给系统，危险协议或当前设备不可打开的外链直接阻断；`app.openExternalUrl` 也只允许同一协议白名单，并在 `Linking.canOpenURL` 确认可打开后才离开容器，否则返回 `host_error`；ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开 WebView 并交给系统浏览器；`clipboard.writeText` 由 H5 复制服务优先调用并写入系统剪贴板；`clipboard.readText` 通过 Expo Clipboard 读取纯文本剪贴板并按 100000 字符上限返回，不读取图片、HTML 或监听剪贴板变化；`file.exportText` 通过 Expo 文件系统写入缓存文本文件，再交给系统分享 / 保存面板，文件名必须清洗，单次文本不超过 5 MiB，成功只返回文件名和字节数；`file.importDocument` 通过 Expo DocumentPicker 打开系统文档选择器，只接受文本类文档和 DOCX，读取 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成 5 MiB 上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportImage` 通过 Expo 文件系统写入缓存图片，再交给系统分享 / 保存面板，H5 只传允许 MIME 的 base64 图片数据，单次不超过 5 MiB，分享卡下载会优先走该能力；`file.importImage` 通过 Expo ImagePicker 请求相册权限并打开系统相册选择器，只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把设备本地 URI 暴露给 H5，用户取消返回 `cancelled` 并由 H5 视作无选择；`file.captureImage` 通过 Expo ImagePicker 请求相机权限并打开系统相机拍摄图片，沿用同一 MIME、体积、base64 和文件名清洗规则，成功返回 `captured` 图片结果，不请求麦克风权限，也不把设备本地 URI 暴露给 H5；`scanner.scanQrCode` 通过 `expo-camera` 请求相机权限并打开 `CameraView` 扫描二维码，成功只返回清洗后的二维码文本和 `qr_code` 格式，空值、控制字符和超长文本按共享契约处理，用户关闭或权限拒绝返回明确错误并由 H5 保留现有扫码 fallback；通用创作图片输入面板 `CreativeImageInputPanel` 在原生壳声明 `file.importImage` / `file.captureImage` 时分别展示受控上传 / 拍摄图标动作，并把宿主返回结果转换为现有 `File` 上传回调，拼图、拼消消、敲木鱼等复用该面板的主图和描述参考图选择无需新增玩法分叉；反馈页上传凭证、个人资料头像上传和方洞结果页图片槽位上传在原生壳声明 `file.importImage` 时优先打开宿主系统图片选择器，并把宿主返回结果转回现有 H5 数据结构，其中反馈页继续复用原本的 4 张数量限制、单张 1 MiB、总 4 MiB 和 data URL 提交流程，头像继续复用现有图片类型、5 MiB 大小限制、方形裁剪和资料更新链路，方洞结果页继续写回现有封面 / 背景 / 形状 / 洞口槽位与自动保存链路；`file.importAudio` 通过 Expo DocumentPicker 打开系统音频选择器，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，读取音频或生成 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportAudio` 通过 Expo 文件系统写入缓存音频，再交给系统分享 / 保存面板，H5 只传当前页面已持有的允许 MIME 音频 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数；通用音频输入面板 `CreativeAudioInputPanel` 在原生壳声明导入能力时优先调用宿主导入，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用现有 `readFileAsAsset(file, 'uploaded')` 处理链路；`haptics.impact` 通过 Expo Haptics 承接运行时轻触反馈，H5 在宿主不支持时回退到浏览器 vibration；`notification.showLocal` 通过 `expo-notifications` 请求系统通知权限并调度即时本地通知，Android 只使用固定本地 channel，不启用后台远程通知、远程推送 token 或定时提醒。登录和支付尚未接入渠道 SDK / 原生页面时明确返回 unsupported，让 H5 fallback 承接。
+当前状态：已新增 `apps/mobile-shell/`，通过 Expo development build 运行，`react-native-webview` 加载 H5 URL 并附加 `native_app` 宿主 query。移动壳使用真实品牌图标资产，已接入 `genarrative://` scheme、iOS associated domain 和 Android app link filter，启动和运行时 deep link 只会映射到同源 H5 路径并继续附加 HostBridge 上下文，外域和危险协议回退到默认主站入口。首轮真实能力包括 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.captureImage`、`scanner.scanQrCode`、`file.importAudio`、`file.exportAudio`、`haptics.impact`、`notification.showLocal` 和 Android 返回键回退；其中 `appearance.getColorScheme` 只读系统配色偏好，不强改 H5 或系统主题；`app.lifecycle` 通过 React Native `AppState` 注入 `active` / `inactive` / `background` 统一状态，供 H5 游戏循环、音频和轮询做真实暂停 / 恢复判断，H5 的 `useHostLifecycleActive()` 会把该事件归一成运行态可播放状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都按该状态在宿主进后台时暂停、回到前台且原播放条件仍满足时恢复；`network.status` / `network.statusChanged` 通过 `expo-network` 查询并订阅真实系统网络状态，供 H5 游戏运行态和生成页识别离线 / 弱网回退；iOS 额外声明 `app.setBadgeCount`，通过 React Native `PushNotificationIOS` 设置应用图标角标，Android 不声明该能力。H5 会解析并过滤 `hostCapabilities`，也会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存能力，只对声明或回读到的能力展示入口或调用宿主能力；其中 `share.setTarget` / `share.open` 会解析统一分享目标里的 `title`、`message`、`url`、`work`、`path` 或 `targetPath` 并调用 React Native 系统分享面板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求；发布分享弹窗只有在宿主声明 `share.open` 时才提供“系统分享”动作，失败时保留复制链接回退路径；`navigation.openNativePage` 在 Expo 壳内只接受同源 H5 route 并切换 WebView URL，切换前会重新附加 `clientRuntime=native_app`、`hostShell=expo_mobile`、真实平台、版本和 capability 清单，确保宿主主动导航后的新页面仍按原生壳运行态启动；该能力不伪造尚未存在的登录、支付或其它原生页面，`navigation.canGoBack` 由 WebView 导航状态变化实时注入 H5，`app.reloadWebView` 只调用当前 `react-native-webview` 的 `reload()` 刷新内嵌 H5，不开放任意脚本执行或 URL 重写；WebView 自身拦截到外域导航时只会把 `http:`、`https:`、`mailto:`、`tel:` 且系统 `Linking.canOpenURL` 确认可打开的外链交给系统，危险协议或当前设备不可打开的外链直接阻断；`app.openExternalUrl` 也只允许同一协议白名单，并在 `Linking.canOpenURL` 确认可打开后才离开容器，否则返回 `host_error`；ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开 WebView 并交给系统浏览器；`clipboard.writeText` 由 H5 复制服务优先调用并写入系统剪贴板；`clipboard.readText` 通过 Expo Clipboard 读取纯文本剪贴板并按 100000 字符上限返回，不读取图片、HTML 或监听剪贴板变化；`file.exportText` 通过 Expo 文件系统写入缓存文本文件，再交给系统分享 / 保存面板，文件名必须清洗，单次文本不超过 5 MiB，成功只返回文件名和字节数；`file.importDocument` 通过 Expo DocumentPicker 打开系统文档选择器，只接受文本类文档和 DOCX，读取 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成 5 MiB 上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportImage` 通过 Expo 文件系统写入缓存图片，再交给系统分享 / 保存面板，H5 只传允许 MIME 的 base64 图片数据，单次不超过 5 MiB，分享卡下载会优先走该能力；`file.importImage` 通过 Expo ImagePicker 请求相册权限并打开系统相册选择器，只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把设备本地 URI 暴露给 H5，用户取消返回 `cancelled` 并由 H5 视作无选择；`file.captureImage` 通过 Expo ImagePicker 请求相机权限并打开系统相机拍摄图片，沿用同一 MIME、体积、base64 和文件名清洗规则，成功返回 `captured` 图片结果，不请求麦克风权限，也不把设备本地 URI 暴露给 H5；`scanner.scanQrCode` 通过 `expo-camera` 请求相机权限并打开 `CameraView` 扫描二维码，成功只返回清洗后的二维码文本和 `qr_code` 格式，空值、控制字符和超长文本按共享契约处理，用户关闭或权限拒绝返回明确错误并由 H5 保留现有扫码 fallback；通用创作图片输入面板 `CreativeImageInputPanel` 在原生壳声明 `file.importImage` / `file.captureImage` 时分别展示受控上传 / 拍摄图标动作，并把宿主返回结果转换为现有 `File` 上传回调，拼图、拼消消、敲木鱼等复用该面板的主图和描述参考图选择无需新增玩法分叉；反馈页上传凭证、个人资料头像上传、方洞结果页图片槽位上传和汪汪声浪结果页三图槽位上传在原生壳声明 `file.importImage` 时优先打开宿主系统图片选择器，并把宿主返回结果转回现有 H5 数据结构，其中反馈页继续复用原本的 4 张数量限制、单张 1 MiB、总 4 MiB 和 data URL 提交流程，头像继续复用现有图片类型、5 MiB 大小限制、方形裁剪和资料更新链路，方洞结果页继续写回现有封面 / 背景 / 形状 / 洞口槽位与自动保存链路，汪汪声浪结果页继续把图片交给 `uploadBarkBattleAsset` 上传和当前玩家 / 对手 / UI 背景槽位写回链路；`file.importAudio` 通过 Expo DocumentPicker 打开系统音频选择器，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，读取音频或生成 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportAudio` 通过 Expo 文件系统写入缓存音频，再交给系统分享 / 保存面板，H5 只传当前页面已持有的允许 MIME 音频 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数；通用音频输入面板 `CreativeAudioInputPanel` 在原生壳声明导入能力时优先调用宿主导入，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用现有 `readFileAsAsset(file, 'uploaded')` 处理链路；`haptics.impact` 通过 Expo Haptics 承接运行时轻触反馈，H5 在宿主不支持时回退到浏览器 vibration；`notification.showLocal` 通过 `expo-notifications` 请求系统通知权限并调度即时本地通知，Android 只使用固定本地 channel，不启用后台远程通知、远程推送 token 或定时提醒。登录和支付尚未接入渠道 SDK / 原生页面时明确返回 unsupported，让 H5 fallback 承接。
 
 2026-06-18 追加：移动壳当前通用真实能力完整清单为 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`network.status`、`network.statusChanged`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.captureImage`、`scanner.scanQrCode`、`file.importAudio`、`file.exportAudio`、`haptics.impact` 和 `notification.showLocal`。
 
@@ -379,7 +379,7 @@ GameBridge 禁止：
 - 实现 runtime、openExternalUrl、clipboard、share fallback、窗口标题同步。
 - 验证 macOS / Windows / Linux 至少一条本地 smoke。
 
-当前状态：已新增 `apps/desktop-shell/`，Tauri dev 直接加载本地主站 Vite，release 打包根 `dist` 主站资产。Rust 侧只把 `host_bridge_request` command 授给主窗口，`appearance.getColorScheme` 由 Rust 内部读取主窗口 `theme()` 并返回 `light` / `dark` / `unknown`，不设置或覆盖系统主题；`app.lifecycle` 由主窗口 focus / blur、窗口 resize 后的状态读取、托盘隐藏 / 恢复和页面加载重放注入统一状态，不开放 Tauri event 插件给前端。桌面壳只向 H5 派发共享契约里的 `active` / `inactive` / `background`，隐藏到托盘和系统最小化都归一为 `background`，`hidden`、`minimized`、`focused`、`blurred` 只写入 `nativeState` 便于排障；H5 通过 `useHostLifecycleActive()` 统一归一窗口焦点和后台状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都会在窗口失焦、隐藏或最小化时暂停、恢复焦点且原播放条件仍满足时恢复；`network.status` 由 Rust 从 `WEB_APP_ORIGIN` 解析主站 host / port 并做短超时 TCP 可达性查询，`network.statusChanged` 由主 WebView 的 `online` / `offline` 事件注入，不开放任意网络探测给 H5；`app.openExternalUrl` 由 Rust 内部通过 opener 插件执行且只允许 `http:`、`https:`、`mailto:`、`tel:` 外链协议，ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开主窗口并交给系统浏览器；`navigation.openNativePage` 只接受 `https://app.genarrative.world` 同源 H5 route 并在主窗口内受控跳转，跳转前与桌面 deep link 共用同一宿主上下文补写方法，重新附加 `clientRuntime=native_app`、`hostShell=tauri_desktop`、当前平台、版本和真实 capability 清单，确保新页面继续按桌面壳运行态启动；`navigation.canGoBack` 由桌面壳注入固定脚本追踪当前 H5 文档内的 `pushState` / `replaceState` / `popstate` 路由栈并通过 HostBridge event 回放，不读取或声明跨文档 native back-forward list，`app.reloadWebView` 只调用 Tauri 主 WebViewWindow 的 `reload()` 刷新当前 H5，不开放 JS guest API、任意命令或任意 URL 导航，`clipboard.writeText` 由 Rust 内部通过 clipboard-manager 插件写入系统剪贴板并由 H5 复制服务优先调用，`clipboard.readText` 由 Rust 内部通过同一插件读取纯文本剪贴板并按 100000 字符上限返回，不开放剪贴板插件 JS guest API、图片读取、HTML 读取或监听事件，`app.setTitle` 通过 Tauri 主窗口 API 同步窗口标题并拒绝空标题 / 控制字符，`app.setBadgeCount` 通过主窗口 `set_badge_count` 设置任务栏角标，数量只接受 `0` 到共享契约 `HOST_BRIDGE_BADGE_COUNT_MAX` 之间的整数且 `0` 表示清除；H5 主站会按当前平台阶段先更新 `document.title`，再通过 `app.setTitle` 把同一标题同步给 Tauri 窗口，Expo 移动壳不声明该能力时静默忽略；不把 opener、clipboard、dialog 或 notification 插件命令直接暴露给前端。当前真实能力为 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.setTarget`、`share.open`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`app.setTitle`、`app.setBadgeCount`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.importAudio`、`file.exportAudio`、`file.imageDropped` 和 `notification.showLocal`；H5 会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存这些能力，即使入口 URL 缺少 `hostCapabilities`，也只按宿主真实回包开启能力入口；其中 `host.events` 只表示桌面壳会通过 HostBridge message 派发生命周期、网络、H5 返回栈和拖拽图片等事件，不新增 request method，也不开放 Tauri event 插件；`share.open` 会把直接传入的分享 payload 或 `share.setTarget` 缓存的作品目标整理成非空分享文本并写入系统剪贴板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求，显式非法 payload 不得回退到之前缓存的 `share.setTarget` 目标，成功返回 `copied_to_clipboard`，发布分享弹窗在桌面壳中也通过该能力提供“系统分享”动作；`file.exportText` 通过系统保存对话框让用户选择本地路径，清洗文件名、限制单次文本导出不超过 5 MiB，写入成功后只返回文件名和字节数，不把本机绝对路径暴露给 H5，用户取消返回 `cancelled`；`file.importDocument` 通过系统选择框读取用户选择的文本类文档或 DOCX，单次不超过 5 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.exportImage` 同样通过系统保存对话框写入 H5 生成的图片字节，只接受 `image/png` / `image/jpeg` / `image/webp` base64 数据，单次不超过 5 MiB，分享卡下载会优先走该能力，用户取消返回 `cancelled`；`file.importImage` 通过系统选择框读取用户选择的图片，`file.imageDropped` 通过主窗口拖拽事件读取用户拖入的图片，二者都只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.importAudio` 通过系统选择框读取用户选择的音频，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.exportAudio` 通过系统保存对话框写入 H5 当前已持有的音频字节，只接受允许 MIME 的 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数，不让宿主代读任意本地文件；通用音频输入面板 `CreativeAudioInputPanel` 在桌面壳声明导入能力时优先打开系统音频选择框，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用 `readFileAsAsset(file, 'uploaded')` 处理链路；`notification.showLocal` 由 Rust 内部通过 `tauri-plugin-notification` 发送即时系统通知，只接受清洗后的标题和正文，发送前先检查系统通知权限，处于 prompt 状态时只在 Rust 侧请求一次权限，最终未授权时返回失败，不开放插件 JS guest API、远程推送、定时提醒或通知 token；通用创作图片输入面板 `CreativeImageInputPanel` 在桌面壳声明 `file.importImage` 时会优先打开系统图片选择框，在同时声明 `file.imageDropped` 时会按宿主拖入坐标把图片交给命中的主图槽位，并把结果转换为现有 `File` 上传回调；反馈页上传凭证、个人资料头像上传和方洞结果页图片槽位上传同样优先消费 `file.importImage`，但继续交给 H5 原有预览、裁剪、槽位编辑、大小限制和提交 / 保存链路。普通浏览器、小程序和未声明能力的壳继续保留原文件输入路径。原生系统分享面板、登录和支付未接入真实插件 / 渠道前不声明支持，不返回临时成功。
+当前状态：已新增 `apps/desktop-shell/`，Tauri dev 直接加载本地主站 Vite，release 打包根 `dist` 主站资产。Rust 侧只把 `host_bridge_request` command 授给主窗口，`appearance.getColorScheme` 由 Rust 内部读取主窗口 `theme()` 并返回 `light` / `dark` / `unknown`，不设置或覆盖系统主题；`app.lifecycle` 由主窗口 focus / blur、窗口 resize 后的状态读取、托盘隐藏 / 恢复和页面加载重放注入统一状态，不开放 Tauri event 插件给前端。桌面壳只向 H5 派发共享契约里的 `active` / `inactive` / `background`，隐藏到托盘和系统最小化都归一为 `background`，`hidden`、`minimized`、`focused`、`blurred` 只写入 `nativeState` 便于排障；H5 通过 `useHostLifecycleActive()` 统一归一窗口焦点和后台状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都会在窗口失焦、隐藏或最小化时暂停、恢复焦点且原播放条件仍满足时恢复；`network.status` 由 Rust 从 `WEB_APP_ORIGIN` 解析主站 host / port 并做短超时 TCP 可达性查询，`network.statusChanged` 由主 WebView 的 `online` / `offline` 事件注入，不开放任意网络探测给 H5；`app.openExternalUrl` 由 Rust 内部通过 opener 插件执行且只允许 `http:`、`https:`、`mailto:`、`tel:` 外链协议，ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开主窗口并交给系统浏览器；`navigation.openNativePage` 只接受 `https://app.genarrative.world` 同源 H5 route 并在主窗口内受控跳转，跳转前与桌面 deep link 共用同一宿主上下文补写方法，重新附加 `clientRuntime=native_app`、`hostShell=tauri_desktop`、当前平台、版本和真实 capability 清单，确保新页面继续按桌面壳运行态启动；`navigation.canGoBack` 由桌面壳注入固定脚本追踪当前 H5 文档内的 `pushState` / `replaceState` / `popstate` 路由栈并通过 HostBridge event 回放，不读取或声明跨文档 native back-forward list，`app.reloadWebView` 只调用 Tauri 主 WebViewWindow 的 `reload()` 刷新当前 H5，不开放 JS guest API、任意命令或任意 URL 导航，`clipboard.writeText` 由 Rust 内部通过 clipboard-manager 插件写入系统剪贴板并由 H5 复制服务优先调用，`clipboard.readText` 由 Rust 内部通过同一插件读取纯文本剪贴板并按 100000 字符上限返回，不开放剪贴板插件 JS guest API、图片读取、HTML 读取或监听事件，`app.setTitle` 通过 Tauri 主窗口 API 同步窗口标题并拒绝空标题 / 控制字符，`app.setBadgeCount` 通过主窗口 `set_badge_count` 设置任务栏角标，数量只接受 `0` 到共享契约 `HOST_BRIDGE_BADGE_COUNT_MAX` 之间的整数且 `0` 表示清除；H5 主站会按当前平台阶段先更新 `document.title`，再通过 `app.setTitle` 把同一标题同步给 Tauri 窗口，Expo 移动壳不声明该能力时静默忽略；不把 opener、clipboard、dialog 或 notification 插件命令直接暴露给前端。当前真实能力为 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.setTarget`、`share.open`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`app.setTitle`、`app.setBadgeCount`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.importAudio`、`file.exportAudio`、`file.imageDropped` 和 `notification.showLocal`；H5 会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存这些能力，即使入口 URL 缺少 `hostCapabilities`，也只按宿主真实回包开启能力入口；其中 `host.events` 只表示桌面壳会通过 HostBridge message 派发生命周期、网络、H5 返回栈和拖拽图片等事件，不新增 request method，也不开放 Tauri event 插件；`share.open` 会把直接传入的分享 payload 或 `share.setTarget` 缓存的作品目标整理成非空分享文本并写入系统剪贴板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求，显式非法 payload 不得回退到之前缓存的 `share.setTarget` 目标，成功返回 `copied_to_clipboard`，发布分享弹窗在桌面壳中也通过该能力提供“系统分享”动作；`file.exportText` 通过系统保存对话框让用户选择本地路径，清洗文件名、限制单次文本导出不超过 5 MiB，写入成功后只返回文件名和字节数，不把本机绝对路径暴露给 H5，用户取消返回 `cancelled`；`file.importDocument` 通过系统选择框读取用户选择的文本类文档或 DOCX，单次不超过 5 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.exportImage` 同样通过系统保存对话框写入 H5 生成的图片字节，只接受 `image/png` / `image/jpeg` / `image/webp` base64 数据，单次不超过 5 MiB，分享卡下载会优先走该能力，用户取消返回 `cancelled`；`file.importImage` 通过系统选择框读取用户选择的图片，`file.imageDropped` 通过主窗口拖拽事件读取用户拖入的图片，二者都只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.importAudio` 通过系统选择框读取用户选择的音频，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.exportAudio` 通过系统保存对话框写入 H5 当前已持有的音频字节，只接受允许 MIME 的 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数，不让宿主代读任意本地文件；通用音频输入面板 `CreativeAudioInputPanel` 在桌面壳声明导入能力时优先打开系统音频选择框，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用 `readFileAsAsset(file, 'uploaded')` 处理链路；`notification.showLocal` 由 Rust 内部通过 `tauri-plugin-notification` 发送即时系统通知，只接受清洗后的标题和正文，发送前先检查系统通知权限，处于 prompt 状态时只在 Rust 侧请求一次权限，最终未授权时返回失败，不开放插件 JS guest API、远程推送、定时提醒或通知 token；通用创作图片输入面板 `CreativeImageInputPanel` 在桌面壳声明 `file.importImage` 时会优先打开系统图片选择框，在同时声明 `file.imageDropped` 时会按宿主拖入坐标把图片交给命中的主图槽位，并把结果转换为现有 `File` 上传回调；反馈页上传凭证、个人资料头像上传、方洞结果页图片槽位上传和汪汪声浪结果页三图槽位上传同样优先消费 `file.importImage`，但继续交给 H5 原有预览、裁剪、槽位编辑、大小限制、上传和提交 / 保存链路。普通浏览器、小程序和未声明能力的壳继续保留原文件输入路径。原生系统分享面板、登录和支付未接入真实插件 / 渠道前不声明支持，不返回临时成功。
 
 2026-06-19 追加：桌面壳当前真实能力完整清单为 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`app.setTitle`、`app.setBadgeCount`、`network.status`、`network.statusChanged`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.importAudio`、`file.exportAudio`、`file.imageDropped` 和 `notification.showLocal`。`npm run check:native-shells` 会用共享桌面 capability profile 反查本段和 Rust 运行时镜像，避免实现、入口 URL 和方案文档再次漂移。
 
diff --git a/docs/【前端架构】宿主壳能力统一协议-2026-06-17.md b/docs/【前端架构】宿主壳能力统一协议-2026-06-17.md
index 07729f7d8..f4adb5155 100644
--- a/docs/【前端架构】宿主壳能力统一协议-2026-06-17.md
+++ b/docs/【前端架构】宿主壳能力统一协议-2026-06-17.md
@@ -71,7 +71,7 @@ Tauri 桌面壳启动时必须按 `label="main"` 解析 `tauri.conf.json` 主窗
 - `importHostTextFile()`：原生 App 宿主的受控文本导入入口。Expo 移动壳通过 Expo DocumentPicker 打开系统文档选择器，Tauri 桌面壳通过系统文件选择框读取用户选择的文本文件；两端都只接受 `text/plain`、`text/markdown`、`text/csv`、`application/json` 或对应扩展名，单次不超过 5 MiB，成功只返回清洗后的文件名、MIME、UTF-8 文本内容和字节数，不暴露设备本地 URI 或本机绝对路径，也不开放通用文件系统能力；宿主必须在读取文本内容前拿到可信 byte count 并完成上限校验，移动壳在 picker 缺少 `size` 时改用 Expo `File.size`，仍拿不到可信大小时直接拒绝导入；用户取消时由 H5 facade 归为 `false`。创作 Agent 工作台在 `native_app` 且声明该能力时优先调用宿主文本导入，并把结果转换成现有浏览器 `File` 后继续复用后端 `/api/runtime/creation-agent/document-inputs/parse` 解析链路；普通浏览器、小程序和未声明能力的裁剪壳继续使用原文件输入。
 - `importHostDocumentFile()`：原生 App 宿主的受控文档导入入口。Expo 移动壳通过 Expo DocumentPicker，Tauri 桌面壳通过系统文件选择框读取用户选择的文档副本；两端都只接受 `text/plain`、`text/markdown`、`text/csv`、`application/json`、`application/vnd.openxmlformats-officedocument.wordprocessingml.document` 或对应 `.txt` / `.md` / `.markdown` / `.csv` / `.json` / `.docx` 扩展名，单次不超过 5 MiB。成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI、本机绝对路径或通用文件系统能力；宿主必须在读取 base64 前拿到可信 byte count 并完成上限校验，移动壳在 picker 缺少 `size` 时改用 Expo `File.size`，仍拿不到可信大小时直接拒绝导入。创作 Agent 工作台在 `native_app` 且声明该能力时优先调用宿主文档导入，把返回 base64 转换成现有浏览器 `File` 后继续调用 `/api/runtime/creation-agent/document-inputs/parse`；旧壳只声明 `file.importText` 时才回退到文本导入，普通浏览器、小程序和未声明能力的裁剪壳继续使用原文件输入。该能力不在前端解析 DOCX，也不绕过后端文档解析、大小校验或错误口径。
 - `exportHostImageFile()`：原生 App 宿主的受控图片导出入口。H5 只传自己生成的图片 `base64Data`、清洗后的文件名和允许的 `image/png` / `image/jpeg` / `image/webp` MIME；Expo 移动壳写入缓存图片后交给系统分享 / 保存面板，Tauri 桌面壳打开系统保存对话框并写入图片字节。单次图片不超过 5 MiB，成功只返回文件名和字节数，不回传本机绝对路径。当前分享卡下载在 native app 中优先走 `file.exportImage`，宿主未声明时保留浏览器下载路径。
-- `importHostImageFile()` / `captureHostImageFile()` / `subscribeHostImageDrop()`：原生 App 宿主的受控图片导入入口。Expo 移动壳通过 Expo ImagePicker 请求相册权限并打开系统相册选择器，也可在声明 `file.captureImage` 时请求相机权限并打开系统相机拍摄图片；Tauri 壳通过系统文件选择框或主窗口拖拽事件读取用户选择 / 拖入的图片，不声明拍摄能力。图片能力都只接受 `image/png`、`image/jpeg`、`image/webp`，单次不超过 10 MiB，成功只返回文件名、MIME、base64 内容、字节数和可选拖入坐标，不暴露设备本地 URI 或本机绝对路径，也不开放通用文件系统能力；移动拍摄不请求麦克风权限。H5 的通用图片输入面板 `CreativeImageInputPanel` 在 `native_app` 且声明 `file.importImage` / `file.captureImage` 时分别调用宿主导入 / 拍摄，并把结果转换成现有 `File` 回调；创作 Agent 工作台的参考图上传、反馈页上传凭证、个人资料头像上传和方洞结果页图片槽位上传在 `native_app` 且声明 `file.importImage` 时同样优先调用宿主图片导入，其中创作 Agent 继续把宿主返回内容转换成现有浏览器 `File` 后交给 `onReferenceImageChange` 校验链路，反馈页继续复用原有数量、大小、data URL 和提交 payload 校验，头像继续复用 H5 侧图片类型、5 MiB 大小限制、方形裁剪与 `updateAuthProfile` 上传链路，方洞结果页继续把图片内容写回当前封面 / 背景 / 形状 / 洞口槽位并走现有自动保存和发布链路；在桌面壳同时声明 `file.imageDropped` 时，只有拖入坐标命中当前主图卡片且未被上层元素遮挡的面板会消费该事件。普通浏览器、小程序和未声明能力的裁剪壳继续使用浏览器文件输入。
+- `importHostImageFile()` / `captureHostImageFile()` / `subscribeHostImageDrop()`：原生 App 宿主的受控图片导入入口。Expo 移动壳通过 Expo ImagePicker 请求相册权限并打开系统相册选择器，也可在声明 `file.captureImage` 时请求相机权限并打开系统相机拍摄图片；Tauri 壳通过系统文件选择框或主窗口拖拽事件读取用户选择 / 拖入的图片，不声明拍摄能力。图片能力都只接受 `image/png`、`image/jpeg`、`image/webp`，单次不超过 10 MiB，成功只返回文件名、MIME、base64 内容、字节数和可选拖入坐标，不暴露设备本地 URI 或本机绝对路径，也不开放通用文件系统能力；移动拍摄不请求麦克风权限。H5 的通用图片输入面板 `CreativeImageInputPanel` 在 `native_app` 且声明 `file.importImage` / `file.captureImage` 时分别调用宿主导入 / 拍摄，并把结果转换成现有 `File` 回调；创作 Agent 工作台的参考图上传、反馈页上传凭证、个人资料头像上传、方洞结果页图片槽位上传和汪汪声浪结果页三图槽位上传在 `native_app` 且声明 `file.importImage` 时同样优先调用宿主图片导入，其中创作 Agent 继续把宿主返回内容转换成现有浏览器 `File` 后交给 `onReferenceImageChange` 校验链路，反馈页继续复用原有数量、大小、data URL 和提交 payload 校验，头像继续复用 H5 侧图片类型、5 MiB 大小限制、方形裁剪与 `updateAuthProfile` 上传链路，方洞结果页继续把图片内容写回当前封面 / 背景 / 形状 / 洞口槽位并走现有自动保存和发布链路，汪汪声浪结果页继续把图片转换成浏览器 `File` 后交给 `uploadBarkBattleAsset` 上传和槽位写回链路；在桌面壳同时声明 `file.imageDropped` 时，只有拖入坐标命中当前主图卡片且未被上层元素遮挡的面板会消费该事件。普通浏览器、小程序和未声明能力的裁剪壳继续使用浏览器文件输入。
 - `scanHostQrCode()`：原生 App 宿主的受控二维码扫描入口。Expo 移动壳声明 `scanner.scanQrCode`，通过 `expo-camera` 的真实相机权限和 `CameraView` 扫描 QR code，成功只返回清洗后的二维码文本与 `qr_code` 格式，单次值最多保留 4096 字符且拒绝空值和控制字符；用户关闭或系统取消返回 `cancelled`，H5 不会继续连带弹出浏览器摄像头权限。Tauri 桌面壳只把 `scanner.scanQrCode` 保留在 method 白名单中用于明确返回 `unsupported_method`，不声明 capability、不伪造桌面扫码。个人中心扫码入口在 `native_app` 且宿主声明该能力时优先调用原生扫码；宿主不支持、旧壳缺能力或扫码结果非法时继续打开现有浏览器摄像头扫码弹层，普通浏览器和小程序保持原有路径。
 
 HostBridge 事件名以 `packages/shared/src/contracts/hostBridge.ts` 的 `HOST_BRIDGE_EVENTS` 为唯一白名单，当前为 `app.lifecycle`、`network.statusChanged`、`navigation.canGoBack` 和 `file.imageDropped`；事件名必须同时进入 capability 白名单。Expo 壳事件注入使用共享 `HostBridgeEventName` 类型，Tauri 壳 `shell/events.rs` 镜像同一清单并拒绝未知事件，H5 `nativeAppHostBridge` 只分发共享白名单内事件。H5 事件订阅入口必须同时要求 `host.events` 和对应事件 capability，不能仅凭 `app.lifecycle`、`network.statusChanged`、`navigation.canGoBack` 或 `file.imageDropped` 单项能力就绑定事件监听；旧壳或裁剪壳缺任一能力时订阅应返回空取消函数。`npm run check:native-shells` 会反查共享事件清单、H5 订阅 facade 和 `canUseNativeHostEventCapability(...)`，防止后续事件订阅绕过双能力门控。
diff --git a/scripts/check-native-shells.mjs b/scripts/check-native-shells.mjs
index d04a50129..50413c7fc 100644
--- a/scripts/check-native-shells.mjs
+++ b/scripts/check-native-shells.mjs
@@ -66,6 +66,7 @@ const h5HostBridgeCallChainWrapperFiles = [
 const h5HostBridgeRequiredCallChainFiles = [
   'src/App.tsx',
   'src/components/auth/AuthGate.tsx',
+  'src/components/bark-battle-creation/BarkBattleResultView.tsx',
   'src/components/common/CreativeAudioInputPanel.tsx',
   'src/components/common/CreativeImageInputPanel.tsx',
   'src/components/common/PublishShareModal.tsx',
@@ -324,6 +325,7 @@ const h5HostBridgeTests = [
   'src/services/host-bridge/hostBridge.test.ts',
   'src/services/host-bridge/nativeAppHostBridge.test.ts',
   'src/App.test.tsx',
+  'src/components/bark-battle-creation/BarkBattleResultView.test.tsx',
   'src/components/common/CreativeAudioInputPanel.test.tsx',
   'src/components/common/PublishShareModal.test.tsx',
   'src/components/creation-agent/CreationAgentWorkspace.test.tsx',
diff --git a/src/components/bark-battle-creation/BarkBattleResultView.test.tsx b/src/components/bark-battle-creation/BarkBattleResultView.test.tsx
index a6c5787df..41039a294 100644
--- a/src/components/bark-battle-creation/BarkBattleResultView.test.tsx
+++ b/src/components/bark-battle-creation/BarkBattleResultView.test.tsx
@@ -2,12 +2,16 @@
 
 import { render, screen, waitFor, within } from '@testing-library/react';
 import userEvent from '@testing-library/user-event';
-import { describe, expect, it, vi } from 'vitest';
+import { beforeEach, describe, expect, it, vi } from 'vitest';
 
 import {
   regenerateBarkBattleImageAsset,
   uploadBarkBattleAsset,
 } from '../../services/bark-battle-creation';
+import {
+  canUseNativeHostCapability,
+  importHostImageFile,
+} from '../../services/host-bridge/hostBridge';
 import { BarkBattleResultView } from './BarkBattleResultView';
 
 vi.mock('../../services/bark-battle-creation', () => ({
@@ -15,6 +19,11 @@ vi.mock('../../services/bark-battle-creation', () => ({
   uploadBarkBattleAsset: vi.fn(),
 }));
 
+vi.mock('../../services/host-bridge/hostBridge', () => ({
+  canUseNativeHostCapability: vi.fn(),
+  importHostImageFile: vi.fn(),
+}));
+
 vi.mock('../ResolvedAssetImage', () => ({
   ResolvedAssetImage: ({
     src,
@@ -41,6 +50,13 @@ const draft = {
 };
 
 describe('BarkBattleResultView', () => {
+  beforeEach(() => {
+    vi.mocked(uploadBarkBattleAsset).mockReset();
+    vi.mocked(regenerateBarkBattleImageAsset).mockReset();
+    vi.mocked(canUseNativeHostCapability).mockReset();
+    vi.mocked(importHostImageFile).mockReset();
+  });
+
   it('exposes draft preview actions before publish', async () => {
     const user = userEvent.setup();
     const onStartTestRun = vi.fn();
@@ -168,6 +184,153 @@ describe('BarkBattleResultView', () => {
     );
   });
 
+  it('imports replacement image assets through native HostBridge', async () => {
+    const user = userEvent.setup();
+    const inputClickSpy = vi
+      .spyOn(HTMLInputElement.prototype, 'click')
+      .mockImplementation(() => undefined);
+    const onDraftChange = vi.fn();
+    vi.mocked(canUseNativeHostCapability).mockImplementation(
+      (capability) => capability === 'file.importImage',
+    );
+    vi.mocked(importHostImageFile).mockResolvedValue({
+      action: 'selected',
+      fileName: '玩家形象.png',
+      base64Data: 'aW1hZ2U=',
+      mimeType: 'image/png',
+      bytes: 5,
+    });
+    vi.mocked(uploadBarkBattleAsset).mockResolvedValue({
+      assetObjectId: 'asset-player-1',
+      assetKind: 'bark_battle_player_character_image',
+      objectKey: 'generated-bark-battle-assets/player.png',
+      assetSrc: '/generated-bark-battle-assets/player.png',
+    });
+
+    try {
+      render(
+        <BarkBattleResultView
+          draft={draft}
+          onBack={() => {}}
+          onDraftChange={onDraftChange}
+          onStartTestRun={() => {}}
+          onPublish={() => {}}
+        />,
+      );
+
+      const playerSlot = screen
+        .getByRole('heading', { name: '玩家形象' })
+        .closest('article');
+      expect(playerSlot).toBeTruthy();
+      await user.click(
+        within(playerSlot as HTMLElement).getByRole('button', {
+          name: '上传',
+        }),
+      );
+
+      await waitFor(() => {
+        expect(uploadBarkBattleAsset).toHaveBeenCalledWith(
+          expect.objectContaining({
+            slot: 'player-character',
+            draftId: 'bark-battle-draft-1',
+            file: expect.any(File),
+          }),
+        );
+      });
+
+      const uploadedFile = vi.mocked(uploadBarkBattleAsset).mock.calls[0]?.[0]
+        .file;
+      expect(importHostImageFile).toHaveBeenCalledTimes(1);
+      expect(uploadedFile?.name).toBe('玩家形象.png');
+      expect(uploadedFile?.type).toBe('image/png');
+      expect(uploadedFile?.size).toBe(5);
+      expect(inputClickSpy).not.toHaveBeenCalled();
+      expect(onDraftChange).toHaveBeenCalledWith(
+        expect.objectContaining({
+          playerCharacterImageSrc: '/generated-bark-battle-assets/player.png',
+        }),
+      );
+    } finally {
+      inputClickSpy.mockRestore();
+    }
+  });
+
+  it('keeps native image cancellation inside shell flow', async () => {
+    const user = userEvent.setup();
+    const inputClickSpy = vi
+      .spyOn(HTMLInputElement.prototype, 'click')
+      .mockImplementation(() => undefined);
+    vi.mocked(canUseNativeHostCapability).mockImplementation(
+      (capability) => capability === 'file.importImage',
+    );
+    vi.mocked(importHostImageFile).mockResolvedValue(false);
+
+    try {
+      render(
+        <BarkBattleResultView
+          draft={draft}
+          onBack={() => {}}
+          onDraftChange={() => {}}
+          onStartTestRun={() => {}}
+          onPublish={() => {}}
+        />,
+      );
+
+      const playerSlot = screen
+        .getByRole('heading', { name: '玩家形象' })
+        .closest('article');
+      expect(playerSlot).toBeTruthy();
+      await user.click(
+        within(playerSlot as HTMLElement).getByRole('button', {
+          name: '上传',
+        }),
+      );
+
+      await waitFor(() => {
+        expect(importHostImageFile).toHaveBeenCalledTimes(1);
+      });
+
+      expect(uploadBarkBattleAsset).not.toHaveBeenCalled();
+      expect(inputClickSpy).not.toHaveBeenCalled();
+    } finally {
+      inputClickSpy.mockRestore();
+    }
+  });
+
+  it('falls back to browser picker without native image capability', async () => {
+    const user = userEvent.setup();
+    const inputClickSpy = vi
+      .spyOn(HTMLInputElement.prototype, 'click')
+      .mockImplementation(() => undefined);
+
+    try {
+      render(
+        <BarkBattleResultView
+          draft={draft}
+          onBack={() => {}}
+          onDraftChange={() => {}}
+          onStartTestRun={() => {}}
+          onPublish={() => {}}
+        />,
+      );
+
+      const playerSlot = screen
+        .getByRole('heading', { name: '玩家形象' })
+        .closest('article');
+      expect(playerSlot).toBeTruthy();
+      await user.click(
+        within(playerSlot as HTMLElement).getByRole('button', {
+          name: '上传',
+        }),
+      );
+
+      expect(inputClickSpy).toHaveBeenCalledTimes(1);
+      expect(importHostImageFile).not.toHaveBeenCalled();
+    } finally {
+      inputClickSpy.mockRestore();
+    }
+  });
+
   it('does not render the raw object key or asset path in the slot summary', () => {
     render(
       <BarkBattleResultView
diff --git a/src/components/bark-battle-creation/BarkBattleResultView.tsx b/src/components/bark-battle-creation/BarkBattleResultView.tsx
index f89c72ea5..94698ea4c 100644
--- a/src/components/bark-battle-creation/BarkBattleResultView.tsx
+++ b/src/components/bark-battle-creation/BarkBattleResultView.tsx
@@ -24,6 +24,10 @@ import {
   regenerateBarkBattleImageAsset,
   uploadBarkBattleAsset,
 } from '../../services/bark-battle-creation';
+import {
+  canUseNativeHostCapability,
+  importHostImageFile,
+} from '../../services/host-bridge/hostBridge';
 import { PlatformActionButton } from '../common/PlatformActionButton';
 import { PlatformPillBadge } from '../common/PlatformPillBadge';
 import { PlatformStatusMessage } from '../common/PlatformStatusMessage';
@@ -103,6 +107,20 @@ function getSlotAssetSrc(
   return '';
 }
 
+function base64ImageToFile(
+  base64Data: string,
+  fileName: string,
+  mimeType: string,
+) {
+  const binary = atob(base64Data);
+  const bytes = new Uint8Array(binary.length);
+  for (let index = 0; index < binary.length; index += 1) {
+    bytes[index] = binary.charCodeAt(index);
+  }
+
+  return new File([bytes], fileName, { type: mimeType });
+}
+
 function ResultActionButton({
   children,
   disabled,
@@ -140,15 +158,14 @@ function BarkBattleAssetSlotControl({
   onError: (message: string | null) => void;
 }) {
   const fileInputRef = useRef<HTMLInputElement | null>(null);
+  const [isImportingImage, setIsImportingImage] = useState(false);
   const [isUploading, setIsUploading] = useState(false);
   const [isRegenerating, setIsRegenerating] = useState(false);
   const assetSrc = getSlotAssetSrc(draft, slot);
   const assetStatus = assetSrc ? '已替换' : '未替换';
 
-  const handleUpload = async (event: ChangeEvent<HTMLInputElement>) => {
-    const file = event.currentTarget.files?.[0] ?? null;
-    event.currentTarget.value = '';
-    if (!file) {
+  const uploadFile = async (file: File) => {
+    if (isUploading || isRegenerating) {
       return;
     }
 
@@ -169,6 +186,49 @@ function BarkBattleAssetSlotControl({
     }
   };
 
+  const handleUpload = async (event: ChangeEvent<HTMLInputElement>) => {
+    const file = event.currentTarget.files?.[0] ?? null;
+    event.currentTarget.value = '';
+    if (!file) {
+      return;
+    }
+
+    await uploadFile(file);
+  };
+
+  const openUploadPicker = () => {
+    if (disabled || isImportingImage || isUploading || isRegenerating) {
+      return;
+    }
+
+    if (canUseNativeHostCapability('file.importImage')) {
+      void (async () => {
+        setIsImportingImage(true);
+        try {
+          const importedImage = await importHostImageFile();
+          if (!importedImage) {
+            return;
+          }
+
+          await uploadFile(
+            base64ImageToFile(
+              importedImage.base64Data,
+              importedImage.fileName,
+              importedImage.mimeType,
+            ),
+          );
+        } finally {
+          setIsImportingImage(false);
+        }
+      })().catch((error) => {
+        onError(error instanceof Error ? error.message : '上传素材失败。');
+      });
+      return;
+    }
+
+    fileInputRef.current?.click();
+  };
+
   const handleRegenerate = async () => {
     setIsRegenerating(true);
     onError(null);
@@ -187,7 +247,7 @@ function BarkBattleAssetSlotControl({
     }
   };
 
-  const isSlotBusy = isUploading || isRegenerating;
+  const isSlotBusy = isImportingImage || isUploading || isRegenerating;
 
   return (
     <PlatformSubpanel
@@ -218,12 +278,13 @@ function BarkBattleAssetSlotControl({
           type="file"
           accept="image/png,image/jpeg,image/webp"
           className="hidden"
+          disabled={disabled || isSlotBusy}
           aria-label={`上传${SLOT_LABELS[slot]}文件`}
           onChange={handleUpload}
         />
         <PlatformActionButton
           disabled={disabled || isSlotBusy}
-          onClick={() => fileInputRef.current?.click()}
+          onClick={openUploadPicker}
           tone="secondary"
           size="xs"
           shape="pill"