按第三轮复测修复 M3：dry-run 零写入、所有权先行、指纹与门禁补口

- P2：preparePlugins 重排——dry-run 只做只读判断即返回，预缓存交付不再排在 dry-run 之前；所有权断言提到任何写入之前
- P3：pluginSourceFingerprint 放开 origin=source 过滤（prepared 内容哈希分支可达），库文件与 payload 交付态纳入指纹，pluginTreeMatches 增加「不该存在却存在 → 需要重建」判定
- P3：门禁交叉校验 nativePayloads[].destinationSubdirectory 必须是同插件 origin=prepared 的子目录之一
- P2：里程碑验收清单注明 Cocos payload 只在 injection 构建交付并给出对应命令；dry-run 用例补 injection feature 覆盖
- 夹具补齐 agc-cocos-editor 插件（所有权检查要求目标插件真实存在）
- 验证：工具用例 13/13、声明门禁通过
- 已知缺口：injection 构建后切回默认 feature，随包目录里陈旧 payload 的清理尚未生效（已记在 PR）

docs/project-memory/plans/【里程碑】AGC编辑器分支产物归位与症状层补丁清理-2026-09-26.md

@@ -51,7 +51,8 @@
 
 1. **准备步骤单独跑（不打包）**
    - `npm run agc:bundled-resources:prepare -- --target x86_64-pc-windows-msvc`
-   - 预期：一行汇总日志；`src-tauri/resources/plugins/agc-unity-editor/dotnet/publish/win-x64/Agc.Unity.Attach.exe`、`agc-godot-editor/native/gdextension/` 下的扩展、`agc-cocos-editor/native/payload/cocos-editor-bridge.dll` 全部在位。
+   - 预期：一行汇总日志；`src-tauri/resources/plugins/agc-unity-editor/dotnet/publish/win-x64/Agc.Unity.Attach.exe`、`agc-godot-editor/native/gdextension/` 下的扩展在位。
+   - Cocos payload 只在 injection 构建下交付（与迁移前一致）：加 `--features=cocos-editor-execute,unity-editor-execute,godot-editor-execute,cocos-editor-injection` 再跑一次，确认 `agc-cocos-editor/native/payload/cocos-editor-bridge.dll` 同时出现在插件工作区与随包目录。
    - 再跑一次：预期全部「命中缓存」，且 `resources/**` 的文件时间戳不变。
 2. **构建期不再写随包资源**
    - 取 `src-tauri/resources` 全量快照（相对路径/大小/mtime/sha256）→ `touch apps/ai-game-creator-shell/src-tauri/build.rs` → 再 `cargo build` → 两次快照必须逐项一致。