Merge remote-tracking branch 'origin/master' into fix/test-concurrent-problem

# Conflicts:
#	docs/project-memory/shared-memory/pitfalls.md

docs/project-memory/shared-memory/decision-log.md

@@ -59,6 +59,18 @@
 > 维护：阶段过程、分支合并和当轮测试数字由 Git 追溯；实现依据以当前代码和最新专题文档为准。
 > 格式：参见[决策记录格式](../README.md#决策记录格式)，按需填写。
 
+## 2026-10-01 邀请好友入口回到“我的”页，客户端账号菜单接入邀请码与玩家社区
+
+- 背景：主站“我的”页签的常用功能宫格只剩四项，`邀请好友` 入口在平台个人页恢复时漏了；同一份邀请码在 AGC 客户端里没有任何入口，玩家社区二维码也只存在主站弹层里。
+- 决策（主站）：宫格按文档口径恢复五项——泥点充值、邀请好友、兑换码、玩家社区、反馈与建议，`grid-cols-5` 与 `.platform-profile-shortcut-grid` 的五列规则保持一致；邀请好友复用邀请弹层的 `invite` 面板，弹层展示邀请码与完整邀请链接，并拆成“复制邀请码 / 复制邀请链接”两个动作。邀请链接仍由后端 `inviteLinkPath` 加宿主 origin 补全，不在共享组件里拼参数。
+- 决策（跨端复用，重要）：邀请弹层下沉到 `packages/shared/src/components/PlatformProfileReferralModal/`（含 `model.ts`、`index.css`、`index.test.tsx` 与 `assets/` 微信群 / QQ 群二维码），与 `PlatformProfileRechargeModal`、`PlatformProfileWalletLedgerModal` 同口径，由主站 `PlatformEntryActiveFlowShell` 和 AGC 客户端 `AccountReferralDialogs` 共用一份实现。共享组件只吃 props（邀请中心事实、补全后的邀请链接、两个复制回显、宿主剪贴板粘贴能力），自己不发请求、不写剪贴板；宿主能力（网页 HostBridge / 客户端 Tauri clipboard-manager）留在各自宿主。客户端弹层标题由宿主覆盖为“邀请码 / 玩家社区”，与账号菜单入口文案保持一致；主站沿用“邀请好友 / 填邀请码 / 玩家社区”。原地删除 `src/components/platform-entry/PlatformProfileReferralModal.tsx` 与客户端专用弹层实现（含 `launcher-referral-*` 样式）。
+- 决策（客户端取数）：AGC 侧栏账号菜单在“使用指南”之后新增“邀请码”和“玩家社区”两项。Tauri 侧新增 `read_profile_referral_invite_center`，用当前登录 origin 把 `inviteLinkPath` 补全成完整链接后交给渲染层；客户端只展示邀请码 / 邀请链接和复制动作，不本地另存邀请码、不发放奖励。命令名同时登记进 `scripts/check-config.mjs` 的 native-only 白名单（该门禁要求 `generate_handler!` 里的命令必须被前端调用或显式白名单）。客户端邀请中心按登录账号隔离（`useAccountReferral` 按 `currentUserId` 重置并作废在飞响应）。
+- 决策（奖励说明收进右上角帮助按钮）：邀请面板正文不再常驻那段黄色说明，改由标题右侧的帮助按钮（`?`，仅 `invite` 面板）承载悬浮说明；鼠标 `pointerenter` 展开、离开收起，触屏 / 键盘用点击切换（按 `pointerType` 区分，两套触发互不干扰），文案随 `role="note"` 可被无障碍读取。面板正文因此只保留邀请码、邀请链接和成功邀请三段内容。
+- 决策（每日上限文案改为数据驱动）：说明文案不再写死“每日最多获得十次”（旧文案只在网页弹层里硬编码，客户端完全没有这句）。共享弹层用后端字段推导：每日上限 = `todayInviterRewardCount + todayInviterRewardRemaining`（当前 10），说明为“邀请一位好友注册，好友每次都能获得 N 泥点 / 好友完成注册后你也可以获得 N 泥点；每天最多 L 次，今日还剩 R 次”，两端自动一致。后端事实：`PROFILE_REFERRAL_REWARD_POINTS = 30`、`PROFILE_REFERRAL_DAILY_INVITER_REWARD_LIMIT = 10` 在 `module-runtime` 域内强制；被邀请人每次都拿满 30，上限只压邀请人一侧，超限后邀请关系仍成立。
+- 已知口径问题（未改，待产品确认）：邀请上限的“当日”用的是 `runtime_profile_day_start_micros`（UTC 00:00 边界，即北京时间 08:00 重置），而每日任务 / 每日免费泥点用的是 `runtime_profile_beijing_day_key`（北京时间 00:00）。同一个仓库里两套“每日”口径并存，跨零点前后的奖励计数会与用户直觉不一致。
+- 影响范围：`packages/shared/src/components/PlatformProfileReferralModal/**`、`src/components/platform-entry/PlatformActiveProfileView.tsx`、`PlatformEntryActiveFlowShell.tsx`、`usePlatformProfileCenterController.ts`、`vite.config.ts`（移除已删除文件的 Tailwind `@source`）、`apps/ai-game-creator-shell/src/view/layout.tsx`、`src/features/app-shell/AccountReferral.tsx`、`useAccountReferral.ts`、`WorkspaceLauncher.tsx`、`src/styles.css`、`src-tauri/src/account_api.rs`、`scripts/check-config.mjs`、`src/services/accountHost.ts`、`media/social-media-group/*`（移动到共享组件 `assets/`）、`docs/【项目基线】当前产品与工程约束-2026-05-15.md`。
+- 验证方式：`npx vitest run packages/shared/src/components/PlatformProfileReferralModal/index.test.tsx src/components/platform-entry apps/ai-game-creator-shell/tests/appSurface.test.ts apps/ai-game-creator-shell/tests/accountHost.test.ts`、`npm run typecheck`（主站，既有 6 处历史报错不变）、`apps/ai-game-creator-shell` 内 `npm run typecheck`（含 check-config 门禁）、`cargo check --tests` 与 `cargo test --bin … account_api::tests`、`cargo fmt --check`、ESLint / Prettier 改动文件、`npm run check:encoding`、`git diff --check`；并在真实 dev 栈上用浏览器与 CDP 附着客户端 WebView2 复截两端弹层，确认同一份实现渲染一致。
+
 ## 2026-09-29 外壳状态栏退役：`status` 一行改由浮层承载
 
 - 背景：首页输入框下方、项目组页面头部那一行由 `WorkspaceLauncher` 的 `status` 承接，写入的内容很杂——进行中进度（`正在创建工作区`、`正在选择项目`）、“已取消 / 已创建项目 / 已打开项目目录”这类回显、失败结论（`创建未完成，请重试`、工作区看门狗文案、Provider 报错）以及项目组页面的 `正在检查项目状态`。这一行常驻占页面，用户明确要求整行改成浮层提示，而不是只把「已取消」挑出来。

docs/project-memory/shared-memory/pitfalls.md

@@ -2,6 +2,12 @@
 
 这里只记录对当前开发仍有用的症状、根因、排查方法和风险边界。同一事实保留一个当前口径；退役对象的专属过程与单轮测试结果由 Git 历史追溯。遇到旧路径或版本时，以现行代码和专题文档为准。
 
+## 2026-10-01 Rust 分片编译失败只剩汇总错误
+
+- **原因**：`--message-format=json` 把编译诊断写到 stdout；只读取 `compiler-artifact` 的运行器会丢弃 `compiler-message`，CI 只能看到「due to 1 previous error」。
+- **处理**：使用 `json-render-diagnostics` 保留 JSON artifact，同时让 Cargo 将诊断渲染到 stderr；运行器继承 stderr。既有分片 fixture 同时覆盖编译失败详情、测试 panic 和成功摘要，见开发运维文档的 Rust lane 口径。
+- **排查边界**：函数签名变更与另一分支新增测试可能在无文本冲突的合并后产生参数不匹配；合并后必须检查测试目标，不能只验证普通二进制。
+
 ## 2026-10-01 线上 Nginx 手工维护漂移：`/profile` 刷新 404、发行包请求体仍限 64m
 
 - **现象**：登录后刷新 `https://www.genarrative.world/profile` 直接 404，返回 Nginx 默认 404 页（162 字节）；应用内点击进入正常。`curl` 复现：`/`、`/project`、`/creation`、`/components`、`/design-system`、`/games*`、`/editor/canvas` 全部 200 且正文与 `/` 同一份 SPA 外壳，只有 `/profile`（含 `/PROFILE`、`/profile/`）404。
@@ -9,6 +15,14 @@
 - **处理**：线上只收敛 SPA allowlist（12 条，含 `/profile`）并补 `error_page 404 /404.html`；host-only 块收进 `deploy/nginx/snippets/genarrative-host-extras.conf`，由主模板 include、由 `Genarrative-Server-Provision` 安装。退役路由不进白名单，也不需要显式 404 配置，落 `location /` 即得品牌 404（非 HTML 客户端保持纯 404）。
 - **判据/取证**：改前 `grep -c profile /etc/nginx/conf.d/genarrative.conf` 为 0；改后 `curl -s -o /dev/null -w '%{http_code}' https://www.genarrative.world/profile` 为 200（正文 sha 与 `/` 一致），`sudo nginx -T | grep -c 'editor/canvas|profile|project'` 为 1，`match3d` 计数为 0。
 - **长期口径**：任何 SPA/路由白名单改动都要同时核对**生效配置**（`sudo nginx -T`）与仓库模板；线上主站 vhost 只由模板 + `genarrative-host-extras.conf` 生成，不再手工追加路由。snippet 内的 location 不在 Pingora 路由矩阵覆盖范围，Pingora 接公网 443 前要单独确认这些 host-only 路径。
+
+## 2026-10-01 AGC 账户总量门槛会阻断单项查询与导入
+
+- 账户素材库接口当前返回全量快照；客户端不能以全库条数代替单次查询、返回或导入的资源边界。原先在解析阶段拒绝超过 500 项，会让 `limit=1` 和指定 ID 导入一起失效，且检查发生在下载和 JSON 解析之后，不能保护这两步开销。
+- 账户查询允许偏移超过 500，仍按单页最多 100 项返回安全元数据。修改时同步 MCP schema/校验、Direct 工具桥、Runtime 执行层及 `agent_native_tools.rs` 下发的 strict 原生函数 schema；仅直接调用 observation 会绕过模型侧参数约束，无法证明后续页可达，必须验证实际生成的函数参数 schema。共享分页函数的项目文件调用方仍保留自己的范围，画布资源数量边界独立维护。
+- 实际平台会话导入还需避免在身份租约内再次调用会话读取/校验：租约持有非重入互斥锁，提交 helper 重复校验会等待自身释放。下载后校验并取得租约，持有至本地提交完成即可；不能用无平台会话的提交夹具替代完整导入链路验证。
+- 后端有界分页与按 ID 读取由 #574 跟进，不作为 #549 客户端恢复可用的前置条件。当前合同与验证入口见 [AGC 实施计划](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md) 的“账户 / 项目画布 / 本地素材导入”。
+
 ## 2026-09-30 构建期 staging 撞上不装 npm 依赖的 Linux 门禁：AGC 壳 Rust lane 全红
 
 - **现象**：`Project CI` 的 AGC 壳 Rust 三条 lane（`npm run check:native-shells:agc-rust-shard-*`）在 `fb130d184` 之后全部失败，日志只有 `error: failed to run custom build command for genarrative-ai-game-creator-shell` 与 `thread 'main' panicked at build.rs:65:28: Claude Agent SDK 缺失；请先执行 npm ci`（run 3083 / job 17521 实测，1 分钟即失败）。
@@ -6191,6 +6205,14 @@ Cocos Creator 根目录由 `package.json.creator.version` 与普通 `assets/`
 - **验证**：真机尺寸下用 `document.elementFromPoint(按钮中心)` 断言命中的是按钮自身而不是底部菜单（`overlay.parentElement === document.body`）；顶栏断点矩阵（320–768）断言单行且无横向溢出。
 - **关联**：`src/components/common/SquareImageCropModal.tsx`、`src/components/platform-entry/PlatformProfileModalShell.tsx`、`src/components/platform-entry/PlatformEntryActiveFlowShell.tsx`、`src/index.css`。
 
+## 2026-10-01 cc/Anthropic 必须走平台网关，客户端不得直连 Router
+
+- **现象**：目录里把 `claude-opus-5-5` 标成 `agentMode=cc` 后，选它发消息必然失败：先是 Claude CLI 自己打印 `Not logged in · Please run <path>`，后来卡满 `requestTimeoutMs=180000`。
+- **根因**：`claude_code_cli.rs` 用配置里残留的 `llm.baseUrl`（`https://router.genarrative.world/v1`）当 `ANTHROPIC_BASE_URL`，再把平台会话 token 塞成 `ANTHROPIC_AUTH_TOKEN`。平台凭据边界是「客户端只出示平台 access token，账号的 Router key 由 api-server 解析、绝不下发」（见 `api-server/src/llm/mod.rs`）。实测 `POST https://router.genarrative.world/v1/messages` 用平台 token 返回 `401 Invalid token (new_api_error)`。
+- **现行口径**：baseUrl 不带路由与版本段，统一由协议自己拼 `v1/<op>`（服务端 `router_protocol_url` 会先把历史凭据末尾的 `/v1` 归一化掉）。平台侧 Anthropic 是独立路由 `/api/llm/anthropic/{*path}`，客户端 `ANTHROPIC_BASE_URL` 设成 `{apiBaseUrl}/api/llm/anthropic`；OpenAI 侧是 `/api/llm/v1/responses` 与 `/api/llm/v1/chat/completions`，旧的无 `v1` 路径保留为已发布客户端的兼容别名。
+- **注意**：Claude Agent SDK 固定请求 `{ANTHROPIC_BASE_URL}/v1/messages?beta=true`（外加一次 `HEAD /api/hello` 探测），网关不要自己再补 `v1`，用通配段承接客户端协议路径。
+- **后台协议选项**：`AgcAgentMode` 增加 `anthropic`（显式 Anthropic 协议），`cc` 保留为同一执行器的历史别名；新增目录项应直接写 `anthropic`。
+
 ## 2026-10-01 AGC 壳 Rust 单测片内 `--test-threads=1` 不等于没有并发：宿主后台回合会跨用例发通知
 
 - **现象**：`agent::thread_manager::tests::active_turn_changes_publish_one_notification_per_real_change` 在 CI 偶发红，`进度内容变化必须通知一次` 拿到 6 而非 5（也见过入队断言就多 1）；本地要跑 3–5 次才复现。这条用例靠一个进程级计数器数「运行中的项目」通知。