Merge remote-tracking branch 'origin/master' into fix/test-concurrent-problem

# Conflicts: # docs/project-memory/shared-memory/pitfalls.md
2026-10-02 01:35:26 +08:00
parent 6cfc69abf5 ded9f13f02
commit 716ea9d410
52 changed files with 2310 additions and 589 deletions
@@ -59,6 +59,18 @@
 > 维护：阶段过程、分支合并和当轮测试数字由 Git 追溯；实现依据以当前代码和最新专题文档为准。
 > 格式：参见[决策记录格式](../README.md#决策记录格式)，按需填写。

+## 2026-10-01 邀请好友入口回到“我的”页，客户端账号菜单接入邀请码与玩家社区
+
+- 背景：主站“我的”页签的常用功能宫格只剩四项，`邀请好友` 入口在平台个人页恢复时漏了；同一份邀请码在 AGC 客户端里没有任何入口，玩家社区二维码也只存在主站弹层里。
+- 决策（主站）：宫格按文档口径恢复五项——泥点充值、邀请好友、兑换码、玩家社区、反馈与建议，`grid-cols-5` 与 `.platform-profile-shortcut-grid` 的五列规则保持一致；邀请好友复用邀请弹层的 `invite` 面板，弹层展示邀请码与完整邀请链接，并拆成“复制邀请码 / 复制邀请链接”两个动作。邀请链接仍由后端 `inviteLinkPath` 加宿主 origin 补全，不在共享组件里拼参数。
+- 决策（跨端复用，重要）：邀请弹层下沉到 `packages/shared/src/components/PlatformProfileReferralModal/`（含 `model.ts`、`index.css`、`index.test.tsx` 与 `assets/` 微信群 / QQ 群二维码），与 `PlatformProfileRechargeModal`、`PlatformProfileWalletLedgerModal` 同口径，由主站 `PlatformEntryActiveFlowShell` 和 AGC 客户端 `AccountReferralDialogs` 共用一份实现。共享组件只吃 props（邀请中心事实、补全后的邀请链接、两个复制回显、宿主剪贴板粘贴能力），自己不发请求、不写剪贴板；宿主能力（网页 HostBridge / 客户端 Tauri clipboard-manager）留在各自宿主。客户端弹层标题由宿主覆盖为“邀请码 / 玩家社区”，与账号菜单入口文案保持一致；主站沿用“邀请好友 / 填邀请码 / 玩家社区”。原地删除 `src/components/platform-entry/PlatformProfileReferralModal.tsx` 与客户端专用弹层实现（含 `launcher-referral-*` 样式）。
+- 决策（客户端取数）：AGC 侧栏账号菜单在“使用指南”之后新增“邀请码”和“玩家社区”两项。Tauri 侧新增 `read_profile_referral_invite_center`，用当前登录 origin 把 `inviteLinkPath` 补全成完整链接后交给渲染层；客户端只展示邀请码 / 邀请链接和复制动作，不本地另存邀请码、不发放奖励。命令名同时登记进 `scripts/check-config.mjs` 的 native-only 白名单（该门禁要求 `generate_handler!` 里的命令必须被前端调用或显式白名单）。客户端邀请中心按登录账号隔离（`useAccountReferral` 按 `currentUserId` 重置并作废在飞响应）。
+- 决策（奖励说明收进右上角帮助按钮）：邀请面板正文不再常驻那段黄色说明，改由标题右侧的帮助按钮（`?`，仅 `invite` 面板）承载悬浮说明；鼠标 `pointerenter` 展开、离开收起，触屏 / 键盘用点击切换（按 `pointerType` 区分，两套触发互不干扰），文案随 `role="note"` 可被无障碍读取。面板正文因此只保留邀请码、邀请链接和成功邀请三段内容。
+- 决策（每日上限文案改为数据驱动）：说明文案不再写死“每日最多获得十次”（旧文案只在网页弹层里硬编码，客户端完全没有这句）。共享弹层用后端字段推导：每日上限 = `todayInviterRewardCount + todayInviterRewardRemaining`（当前 10），说明为“邀请一位好友注册，好友每次都能获得 N 泥点 / 好友完成注册后你也可以获得 N 泥点；每天最多 L 次，今日还剩 R 次”，两端自动一致。后端事实：`PROFILE_REFERRAL_REWARD_POINTS = 30`、`PROFILE_REFERRAL_DAILY_INVITER_REWARD_LIMIT = 10` 在 `module-runtime` 域内强制；被邀请人每次都拿满 30，上限只压邀请人一侧，超限后邀请关系仍成立。
+- 已知口径问题（未改，待产品确认）：邀请上限的“当日”用的是 `runtime_profile_day_start_micros`（UTC 00:00 边界，即北京时间 08:00 重置），而每日任务 / 每日免费泥点用的是 `runtime_profile_beijing_day_key`（北京时间 00:00）。同一个仓库里两套“每日”口径并存，跨零点前后的奖励计数会与用户直觉不一致。
+- 影响范围：`packages/shared/src/components/PlatformProfileReferralModal/**`、`src/components/platform-entry/PlatformActiveProfileView.tsx`、`PlatformEntryActiveFlowShell.tsx`、`usePlatformProfileCenterController.ts`、`vite.config.ts`（移除已删除文件的 Tailwind `@source`）、`apps/ai-game-creator-shell/src/view/layout.tsx`、`src/features/app-shell/AccountReferral.tsx`、`useAccountReferral.ts`、`WorkspaceLauncher.tsx`、`src/styles.css`、`src-tauri/src/account_api.rs`、`scripts/check-config.mjs`、`src/services/accountHost.ts`、`media/social-media-group/*`（移动到共享组件 `assets/`）、`docs/【项目基线】当前产品与工程约束-2026-05-15.md`。
+- 验证方式：`npx vitest run packages/shared/src/components/PlatformProfileReferralModal/index.test.tsx src/components/platform-entry apps/ai-game-creator-shell/tests/appSurface.test.ts apps/ai-game-creator-shell/tests/accountHost.test.ts`、`npm run typecheck`（主站，既有 6 处历史报错不变）、`apps/ai-game-creator-shell` 内 `npm run typecheck`（含 check-config 门禁）、`cargo check --tests` 与 `cargo test --bin … account_api::tests`、`cargo fmt --check`、ESLint / Prettier 改动文件、`npm run check:encoding`、`git diff --check`；并在真实 dev 栈上用浏览器与 CDP 附着客户端 WebView2 复截两端弹层，确认同一份实现渲染一致。
+
 ## 2026-09-29 外壳状态栏退役：`status` 一行改由浮层承载

 - 背景：首页输入框下方、项目组页面头部那一行由 `WorkspaceLauncher` 的 `status` 承接，写入的内容很杂——进行中进度（`正在创建工作区`、`正在选择项目`）、“已取消 / 已创建项目 / 已打开项目目录”这类回显、失败结论（`创建未完成，请重试`、工作区看门狗文案、Provider 报错）以及项目组页面的 `正在检查项目状态`。这一行常驻占页面，用户明确要求整行改成浮层提示，而不是只把「已取消」挑出来。
@@ -2,6 +2,12 @@

 这里只记录对当前开发仍有用的症状、根因、排查方法和风险边界。同一事实保留一个当前口径；退役对象的专属过程与单轮测试结果由 Git 历史追溯。遇到旧路径或版本时，以现行代码和专题文档为准。

+## 2026-10-01 Rust 分片编译失败只剩汇总错误
+
+- **原因**：`--message-format=json` 把编译诊断写到 stdout；只读取 `compiler-artifact` 的运行器会丢弃 `compiler-message`，CI 只能看到「due to 1 previous error」。
+- **处理**：使用 `json-render-diagnostics` 保留 JSON artifact，同时让 Cargo 将诊断渲染到 stderr；运行器继承 stderr。既有分片 fixture 同时覆盖编译失败详情、测试 panic 和成功摘要，见开发运维文档的 Rust lane 口径。
+- **排查边界**：函数签名变更与另一分支新增测试可能在无文本冲突的合并后产生参数不匹配；合并后必须检查测试目标，不能只验证普通二进制。
+
 ## 2026-10-01 线上 Nginx 手工维护漂移：`/profile` 刷新 404、发行包请求体仍限 64m

 - **现象**：登录后刷新 `https://www.genarrative.world/profile` 直接 404，返回 Nginx 默认 404 页（162 字节）；应用内点击进入正常。`curl` 复现：`/`、`/project`、`/creation`、`/components`、`/design-system`、`/games*`、`/editor/canvas` 全部 200 且正文与 `/` 同一份 SPA 外壳，只有 `/profile`（含 `/PROFILE`、`/profile/`）404。
@@ -9,6 +15,14 @@
 - **处理**：线上只收敛 SPA allowlist（12 条，含 `/profile`）并补 `error_page 404 /404.html`；host-only 块收进 `deploy/nginx/snippets/genarrative-host-extras.conf`，由主模板 include、由 `Genarrative-Server-Provision` 安装。退役路由不进白名单，也不需要显式 404 配置，落 `location /` 即得品牌 404（非 HTML 客户端保持纯 404）。
 - **判据/取证**：改前 `grep -c profile /etc/nginx/conf.d/genarrative.conf` 为 0；改后 `curl -s -o /dev/null -w '%{http_code}' https://www.genarrative.world/profile` 为 200（正文 sha 与 `/` 一致），`sudo nginx -T | grep -c 'editor/canvas|profile|project'` 为 1，`match3d` 计数为 0。
 - **长期口径**：任何 SPA/路由白名单改动都要同时核对**生效配置**（`sudo nginx -T`）与仓库模板；线上主站 vhost 只由模板 + `genarrative-host-extras.conf` 生成，不再手工追加路由。snippet 内的 location 不在 Pingora 路由矩阵覆盖范围，Pingora 接公网 443 前要单独确认这些 host-only 路径。
+
+## 2026-10-01 AGC 账户总量门槛会阻断单项查询与导入
+
+- 账户素材库接口当前返回全量快照；客户端不能以全库条数代替单次查询、返回或导入的资源边界。原先在解析阶段拒绝超过 500 项，会让 `limit=1` 和指定 ID 导入一起失效，且检查发生在下载和 JSON 解析之后，不能保护这两步开销。
+- 账户查询允许偏移超过 500，仍按单页最多 100 项返回安全元数据。修改时同步 MCP schema/校验、Direct 工具桥、Runtime 执行层及 `agent_native_tools.rs` 下发的 strict 原生函数 schema；仅直接调用 observation 会绕过模型侧参数约束，无法证明后续页可达，必须验证实际生成的函数参数 schema。共享分页函数的项目文件调用方仍保留自己的范围，画布资源数量边界独立维护。
+- 实际平台会话导入还需避免在身份租约内再次调用会话读取/校验：租约持有非重入互斥锁，提交 helper 重复校验会等待自身释放。下载后校验并取得租约，持有至本地提交完成即可；不能用无平台会话的提交夹具替代完整导入链路验证。
+- 后端有界分页与按 ID 读取由 #574 跟进，不作为 #549 客户端恢复可用的前置条件。当前合同与验证入口见 [AGC 实施计划](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md) 的“账户 / 项目画布 / 本地素材导入”。
+
 ## 2026-09-30 构建期 staging 撞上不装 npm 依赖的 Linux 门禁：AGC 壳 Rust lane 全红

 - **现象**：`Project CI` 的 AGC 壳 Rust 三条 lane（`npm run check:native-shells:agc-rust-shard-*`）在 `fb130d184` 之后全部失败，日志只有 `error: failed to run custom build command for genarrative-ai-game-creator-shell` 与 `thread 'main' panicked at build.rs:65:28: Claude Agent SDK 缺失；请先执行 npm ci`（run 3083 / job 17521 实测，1 分钟即失败）。
@@ -6191,6 +6205,14 @@ Cocos Creator 根目录由 `package.json.creator.version` 与普通 `assets/`
 - **验证**：真机尺寸下用 `document.elementFromPoint(按钮中心)` 断言命中的是按钮自身而不是底部菜单（`overlay.parentElement === document.body`）；顶栏断点矩阵（320–768）断言单行且无横向溢出。
 - **关联**：`src/components/common/SquareImageCropModal.tsx`、`src/components/platform-entry/PlatformProfileModalShell.tsx`、`src/components/platform-entry/PlatformEntryActiveFlowShell.tsx`、`src/index.css`。

+## 2026-10-01 cc/Anthropic 必须走平台网关，客户端不得直连 Router
+
+- **现象**：目录里把 `claude-opus-5-5` 标成 `agentMode=cc` 后，选它发消息必然失败：先是 Claude CLI 自己打印 `Not logged in · Please run <path>`，后来卡满 `requestTimeoutMs=180000`。
+- **根因**：`claude_code_cli.rs` 用配置里残留的 `llm.baseUrl`（`https://router.genarrative.world/v1`）当 `ANTHROPIC_BASE_URL`，再把平台会话 token 塞成 `ANTHROPIC_AUTH_TOKEN`。平台凭据边界是「客户端只出示平台 access token，账号的 Router key 由 api-server 解析、绝不下发」（见 `api-server/src/llm/mod.rs`）。实测 `POST https://router.genarrative.world/v1/messages` 用平台 token 返回 `401 Invalid token (new_api_error)`。
+- **现行口径**：baseUrl 不带路由与版本段，统一由协议自己拼 `v1/<op>`（服务端 `router_protocol_url` 会先把历史凭据末尾的 `/v1` 归一化掉）。平台侧 Anthropic 是独立路由 `/api/llm/anthropic/{*path}`，客户端 `ANTHROPIC_BASE_URL` 设成 `{apiBaseUrl}/api/llm/anthropic`；OpenAI 侧是 `/api/llm/v1/responses` 与 `/api/llm/v1/chat/completions`，旧的无 `v1` 路径保留为已发布客户端的兼容别名。
+- **注意**：Claude Agent SDK 固定请求 `{ANTHROPIC_BASE_URL}/v1/messages?beta=true`（外加一次 `HEAD /api/hello` 探测），网关不要自己再补 `v1`，用通配段承接客户端协议路径。
+- **后台协议选项**：`AgcAgentMode` 增加 `anthropic`（显式 Anthropic 协议），`cc` 保留为同一执行器的历史别名；新增目录项应直接写 `anthropic`。
+
 ## 2026-10-01 AGC 壳 Rust 单测片内 `--test-threads=1` 不等于没有并发：宿主后台回合会跨用例发通知

 - **现象**：`agent::thread_manager::tests::active_turn_changes_publish_one_notification_per_real_change` 在 CI 偶发红，`进度内容变化必须通知一次` 拿到 6 而非 5（也见过入队断言就多 1）；本地要跑 3–5 次才复现。这条用例靠一个进程级计数器数「运行中的项目」通知。
@@ -55,7 +55,8 @@

 ## 模型绑定 Agent 执行模式

- 后台 AGC 模型目录每项新增 `agentMode`，只接受 `codex` 与 `cc`；缺少该字段的历史目录按 `codex` 解释，后台新增模型默认 `codex`。
+- 后台 AGC 模型目录每项新增 `agentMode`，接受 `codex`、`cc` 与 `anthropic`；缺少该字段的历史目录按 `codex` 解释，后台新增模型默认 `codex`。`anthropic` 是 2026-10-01 新增的显式 Anthropic Messages 协议值，`cc` 保留为同一 Claude 执行器的历史别名（两者都映射到 `claude_code_cli`），新目录项应直接写 `anthropic`。
+- 2026-10-01 补充：`cc`/`anthropic` 一律经平台 LLM 网关的独立 Anthropic 路由 `POST /api/llm/anthropic/{*path}`，客户端 `ANTHROPIC_BASE_URL` 为 `{apiBaseUrl}/api/llm/anthropic`，不得再用配置里的 `llm.baseUrl`（那是 Router 地址，平台不会把账号 Router key 下发给客户端）。Claude Agent SDK 自己拼 `{base}/v1/messages` 并带 `authorization: bearer` 与 `anthropic-version`，网关据此转发上游 `{routerBase}/v1/messages`。
 - `codex` 仍表示现有 AGC Codex app-server 执行链路；`cc` 表示 AGC 客户端启动随包的 Claude Agent SDK sidecar，模型的 `modelId` 原样作为 Claude Agent SDK 的模型标识，不把 Claude 协议伪装成 OpenAI Responses。sidecar 随 AGC 安装包携带 SDK 及匹配平台的 Claude Code runtime，用户不需要预先安装 `claude` 命令。
 - `/api/llm/models` 的启用模型摘要返回 `agentMode`，后台完整目录、管理 DTO 和客户端目录保持同一绑定快照。客户端在选择模型时同时持久化模型 ID 与执行模式；默认模型变化、模型被停用或目录刷新回退时一并更新执行模式。
 - 客户端设置保存不得把后台模型绑定覆盖回 Codex。旧客户端配置缺少执行模式时继续按 Codex 运行；旧后台响应缺少 `agentMode` 时客户端按 Codex 兼容。
@@ -505,6 +505,11 @@ npm 游戏的可预览产物固定为对应 package 目录下的 `dist/index.htm

 ## 2026-08-25 账户 / 项目画布 / 本地素材导入

+- 账户素材库总量不作为客户端查询、预览或按 ID 导入的拒绝条件。账户查询继续先读取后端快照，再按静态图片、文件夹与关键词筛选并分页；`offset` 接受可表示的非负整数，超过结果总数返回空页，`limit` 保持 1–100（默认 100），结果保留 `total / offset / limit / nextOffset`。Direct MCP 的关键词匹配素材名或文件夹名，Runtime 保留现有素材名匹配语义。
+- Runtime 下发给模型的 `asset.library.list` strict 原生函数 schema 必须与执行层分页边界一致；验收须校验 `build_agent_runtime_native_function_tools` 生成的完整函数参数，确认 `offset=501/600` 可用、负数和非整数偏移及 `limit>100` 被拒绝，同时保留可选字段的 `null` 语义。直接调用 observation 函数不能替代模型可见 schema 的验证；定向用例为 `account_asset_native_function_schema_accepts_later_pages`。
+- 账户查询只把当前页安全元数据作为工具文本返回，不把全库作为附件交给 Agent。指定 ID 导入仍先读取账号快照再选取目标；单批数量、下载体积、账号/项目归属、会话、媒体类型和原子登记校验保持有效。绑定画布资源数量与项目文件发现的既有边界不随账户总量限制解除而放宽。无需后端 API、DTO、数据库或持久化迁移；全库传输与解析开销由后续 #574 的服务端分页及按 ID 读取处理，不阻塞 #549 的客户端修复。
+- 平台账号导入在下载后重新校验会话并取得身份租约，租约覆盖本地写入、manifest 登记与 revision 推进；提交过程不得再次读取同一登录态互斥锁，避免在身份保护内自锁。身份变更仍须在取得租约时拒绝，取消写入许可仍不得写入。
+- 验收覆盖 500/501 项账户快照、按文件夹/关键词查询、偏移超过 500 的后续页、越界空页和大库指定 ID 导入，并复核无效 ID/不支持媒体拒绝、安全投影、取消写入和账号切换。使用 `agent_asset_import_tests`、`account_asset`、`semantic_resource_tools_reject_unreviewed_or_inconsistent_arguments`、`cancelled_import_write_permit`、`platform_session::tests` 定向 Rust 用例及提示词合同测试；模拟平台证据与真实账号验证分别记录。
 - 素材读取区分三类来源：`asset.list` / `agc_list_registered_assets` 是当前项目本地 manifest，`agc_list_project_files` / `file.list` 只发现项目目录中实际存在但可能未登记的文件，`asset.library.list` 是当前登录账号素材库，项目画布资源读取是当前网页项目/画布的完整图片清单；账户素材库不能替代项目画布清单。
 - Agent 只接收稳定素材 ID、类型、尺寸和项目相对路径等安全投影。客户端负责重新校验账号/项目归属、换签下载、媒体校验，以及 manifest/画布原子登记；不得向 Agent 暴露绝对路径、签名 URL、objectKey、token 或 Cookie。
 - `canvas.asset_import` 支持账户/画布资源 ID 和项目内本地相对路径。项目文件发现结果以 `assetImportable` 明确区分当前可登记的已识别图片、字体、音频、视频、文档、代码与**引擎资源**（Cocos Creator 的模型、动画、场景/预制体、材质/特效、图集与压缩纹理容器）与其它文件；Agent 只能提交前者。引擎资源在资源画布上是**只读预览**：模型出缩略图、序列化资源出结构摘要、客户端解不了的容器出类型卡，不承接编辑与派生；`.meta`、`library/`、`temp/` 等引擎生成物仍然只可发现、不可登记。导入拒绝路径穿越、`.agent`、符号链接/reparse point 及敏感配置文件；外部宿主文件须由 UI 原生文件选择器授权后导入，不开放任意绝对路径。
@@ -78,6 +78,7 @@ npm run check:server-rs-ddd
 - 认证与账号：`/api/auth/*`、`/api/profile/me`，包括短信、密码、微信、refresh session、多端会话和登出。
 - 个人中心：`/api/profile/*`，包括钱包流水、任务、领奖、充值、反馈、邀请和兑换等账号侧能力。
 - 平台基础能力：`/api/llm/*`、`/api/speech/volcengine/*`，只保留通用 LLM 和语音代理。
+- 2026-10-01 路由约定：LLM 网关 baseUrl 不带路由与版本段，路径由协议自己拼。OpenAI 侧是 `POST /api/llm/v1/responses` 与 `POST /api/llm/v1/chat/completions`；Anthropic 是独立路由 `POST /api/llm/anthropic/{*path}`（Claude Agent SDK 固定请求 `{ANTHROPIC_BASE_URL}/v1/messages`，网关不自己补 `v1`）。旧的无 `v1` 路径 `/api/llm/responses`、`/api/llm/chat/completions` 保留为已发布客户端的兼容别名。三条路径共用同一凭据边界：客户端只出示平台 access token，账号 Router key 由 api-server 解析且不下发，模型名由目录解析后替换。
 - 资产基础能力：`/api/assets/direct-upload-tickets`、`/api/assets/sts-upload-credentials`、`/api/assets/objects/*`、`/api/assets/read-url`、`/api/assets/read-bytes`，负责直传、确认、绑定和读取。两个读取入口共用同一授权函数，并通过受 runtime service identity 限制的 procedure 在同一事务快照内按配置 bucket 与精确 key 权威查询 `asset_object`、计算现役编辑器精选素材派生授权；不得把任意连接的订阅 cache miss 或命中解释为当前授权真相。一旦存在 metadata，即使 key 命中 legacy 前缀，也必须按 `PublicRead`、当前登录 owner，或同 owner 且已通过、已展示、返还完成的 `editor_showcase_asset` 顶层媒体 / 冻结角色动作帧精确授权读取；动作帧只按快照中的 `assetObjectId` / `objectKey` 逐对象授权，不从 `imageSrc` 或 `generated-*` 前缀推导宽泛权限；动作快照损坏、隐藏、拒绝或不再满足返还条件时不形成帧授权。只有同 bucket / key 的权威查询确认未登记时，才允许显式 `legacyPublicPath` 命中 `platform_oss::LEGACY_PUBLIC_PREFIXES` curated 白名单后匿名兼容。已登记资产继续保持 `private`，公开精选只获得与正式展示快照生命周期一致的精确派生读授权，不得批量改为 `PublicRead` 或放开 `generated-*` 前缀。任意未登记 `objectKey`、跨 owner 和未获授权的匿名私有读取统一返回不存在，`read-bytes` 不得成为绕过 `read-url` 授权的同源代理；精选派生授权、`PublicRead` 和 legacy 兼容读取签发的 URL 统一限制为最长 600 秒，owner / admin 读取保持原有有效期口径。
 - 外部 OpenAPI：`/api/external/v1/openapi.json`、`/api/external/v1/assets/direct-upload-tickets`、`/api/external/v1/assets/objects/confirm`、`/api/external/v1/assets/read-url`、`/api/external/v1/editor/*`，使用 Bearer API Key 鉴权；API Key 管理仍在登录态 `/api/profile/api-keys`，不进入外部 OpenAPI JSON。主站和 External 的 asset object confirm 都必须从已认证主体派生 owner，不能信任请求体 owner；同 bucket / key 已登记后不得改变 owner。
 - 编辑器与素材生成：`/api/editor/projects*`、`/api/editor/assets*`、`/api/editor/showcase/*`、`/api/editor/*/generations`、`/api/editor/images/*`、`/api/editor/icon-spritesheets/*`、`/api/editor/ui-designs/*`，以及编辑器 Agent 会话路由。通用任务与素材支撑另保留 `/api/ai/tasks*`、`/api/assets/history`、`/api/assets/character-visual/*`、`/api/assets/character-animation/*`、`/api/assets/character-workflow-cache*` 和 `/api/assets/hyper3d/*`。
@@ -359,6 +359,8 @@ npm run check

 ### Gitea Actions PR 门禁

+AGC 分片运行器编译测试二进制时使用 `--message-format=json-render-diagnostics`：stdout 的 JSON artifact 用于定位可执行文件，编译错误与 warning 由 Cargo 渲染到继承的 stderr，CI 必须保留错误编号、源码位置与具体原因。回归验证运行 `node --test apps/ai-game-creator-shell/scripts/run-rust-shell-test-shards.test.mjs`。函数签名变更合并后，还要编译 `cfg(test)` 调用方；普通 `cargo check` 不能替代测试目标检查。
+
 Linux process-session 的 owner SIGKILL 用例必须在启动 owner 后立即建立测试清理 guard：正常退出或断言 panic 时终止、回收 owner，并在有界时间内清理其独立临时项目目录中的残留进程。原有「owner 退出后子进程自行消失」断言在兜底清理之前执行，不能由 guard 代替生产生命周期验证。清理覆盖 panic 路径及临时项目间隔离，且不得因清理失败再次 panic。

 仓库级 Gitea Actions 工作流固定为 `.gitea/workflows/project-ci.yml`，在向 `master` 推送、创建或更新 PR，以及手工触发时运行。工作流拆成九个必须通过的 job。job 声明顺序就是 runner 领取顺序，因此把两条 AGC 壳 Rust lane 排在最前：并发槽位不足时它们必须最先开始，AGC 侧的关键路径才由自己而不是由排队决定。
@@ -98,7 +98,7 @@ server-rs + Axum + SpacetimeDB
 7. 主站入口已锁定移动端页面级缩放；单个游戏页面不要再重复实现整页缩放锁定。
 8. 图像输入通用 UI 统一走 `src/components/common/CreativeImageInputPanel.tsx`。外层页面持有业务状态，组件只承担上传卡、预览、参考图缩略图、AI 重绘开关、错误展示和提交按钮。
 9. 现役项目、素材等列表的筛选必须打开独立 dialog / drawer / modal；筛选结果为空时显示空状态，不把筛选内容展开在当前列表下方。
-10. 移动端“我的”页顶部品牌行承载扫码和设置入口，正文按参考图顺序组织为头像 / 昵称 / 陶泥号、三张统计卡、五项常用功能宫格、通用设置入口和法律信息；`media/profile/` 中的陶泥素材作为该页图形资产。常用功能宫格固定承载泥点充值、邀请好友、兑换码、玩家社区、反馈与建议；当前只展示四项常驻入口时必须按四列铺满整行，不保留五列网格导致左对齐空位。页面不再提供会员购买 / 升级横幅、每日任务卡片或任务中心入口，也不提供独立存档按钮入口，不在底部保留旧的填邀请码次级入口；主题设置、账号与安全只作为通用设置弹窗下一级入口，不在“我的”页外层单独占行。填邀请码只由邀请链接 query 或其它明确引导打开独立弹窗，不作为“我的”页常驻按钮。
+10. 移动端“我的”页顶部品牌行承载扫码和设置入口，正文按参考图顺序组织为头像 / 昵称 / 陶泥号、三张统计卡、五项常用功能宫格、通用设置入口和法律信息；`media/profile/` 中的陶泥素材作为该页图形资产。常用功能宫格固定承载泥点充值、邀请好友、兑换码、玩家社区、反馈与建议五项，按五列铺满整行；入口收缩到四项时按四列铺满整行，不保留五列网格导致左对齐空位。邀请弹层（主站「我的」页签与 AGC 客户端账号菜单共用 `packages/shared` 的 `PlatformProfileReferralModal`）展示邀请码和完整邀请链接，提供“复制邀请码 / 复制邀请链接”两个动作；奖励说明必须从后端 `rewardPoints` 与 `todayInviterRewardCount + todayInviterRewardRemaining` 推导（当前为 30 泥点、每日 10 次、今日剩余 N 次），不在前端写死次数或金额。同一份邀请数据在网页和客户端显示一致，客户端只允许覆盖弹层标题以匹配各自入口文案。页面不再提供会员购买 / 升级横幅、每日任务卡片或任务中心入口，也不提供独立存档按钮入口，不在底部保留旧的填邀请码次级入口；主题设置、账号与安全只作为通用设置弹窗下一级入口，不在“我的”页外层单独占行。填邀请码只由邀请链接 query 或其它明确引导打开独立弹窗，不作为“我的”页常驻按钮。
 11. 每日免费泥点由后端独立余额桶承载，基础额度固定为 `20`，按北京时间每日 `00:00` 重置。跨业务日退款时，原消费中的每日免费泥点部分叠加到退款当日每日免费桶，当日余额允许超过 `20`；到下一业务日仍统一失效并重置为 `20`。主站不得把已隐藏的每日任务入口或 `daily_task_reward` 文案继续当作每日免费泥点入口。
 12. “我的”页泥点余额、累计游玩、已玩游戏三张统计卡只展示各自标签和值，三个统计 icon 使用小尺寸普通 UI 档位，内容不换行，不在统计区底部展示“更新于”时间；移动端昵称、常用功能和法律信息也应保持 `10px` 到 `14px` 的普通 UI 字号区间，避免展示级字号挤压内容。
 13. 移动端“我的”页需要兼容窄屏：头像 / 昵称 / 陶泥号、三张统计卡、五项常用功能和法律信息都必须能在底部固定 TabBar 上方完整滚动露出，不得与底部 dock、刘海 safe-area 或相邻 UI 元素遮挡重叠。