收口原生壳能力来源

新增共享 HostBridge capability profile，区分 Expo 移动通用、iOS 额外和 Tauri 桌面能力

移动壳能力清单改为引用共享 profile，入口 URL 类型支持 readonly 能力数组

两端配置检查和原生壳总门禁改为反查共享 profile，桌面 Rust 清单保持运行时镜像

补充 HostBridge profile 单测和 H5 readonly 能力合并类型兼容

同步 Expo/Tauri 壳方案、HostBridge 协议文档和项目决策记录

docs/project-memory/shared-memory/decision-log.md

@@ -2438,6 +2438,13 @@
 - 影响范围：`apps/mobile-shell/scripts/check-config.mjs`、`apps/desktop-shell/scripts/check-config.mjs`、Expo / Tauri HostBridge 方案文档。
 - 验证方式：`npm run check:native-shells`、`npm run mobile-shell:typecheck`、`npm run desktop-shell:typecheck`、`npm run typecheck`、`npm run check:encoding`、`git diff --check`。
 
+## 2026-06-19 原生壳 capability profile 来源收口
+
+- 背景：Expo 移动壳、Tauri 桌面壳和方案文档都需要维护真实 capability 子集；如果移动端源码、桌面 Rust 镜像和文档各自手写完整清单，后续新增能力时容易出现入口 URL、`host.getRuntime` 回包、文档和门禁漂移。
+- 决策：`packages/shared/src/contracts/hostBridge.ts` 中的 `HOST_BRIDGE_EXPO_MOBILE_BASE_CAPABILITIES`、`HOST_BRIDGE_EXPO_MOBILE_IOS_CAPABILITIES` 和 `HOST_BRIDGE_TAURI_DESKTOP_CAPABILITIES` 是原生壳 capability profile 来源。Expo 移动壳只通过 `apps/mobile-shell/src/host-bridge/capabilities.ts` 引用共享 profile 并选择平台差异；Tauri 桌面壳 `capabilities.rs` 仍保留 Rust 运行时镜像，但 `apps/desktop-shell/scripts/check-config.mjs` 和 `npm run check:native-shells` 必须反查共享桌面 profile。新增 native capability 必须先进入共享白名单和对应平台 profile，再补真实壳实现、H5 fallback、测试和文档。
+- 影响范围：`packages/shared/src/contracts/hostBridge.ts`、`apps/mobile-shell/src/host-bridge/capabilities.ts`、`apps/mobile-shell/scripts/check-config.mjs`、`apps/desktop-shell/scripts/check-config.mjs`、`scripts/check-native-shells.mjs`、Expo / Tauri HostBridge 方案文档。
+- 验证方式：`npm run check:native-shells`、`npm run mobile-shell:typecheck`、`npm run desktop-shell:typecheck`、`npm run test -- packages/shared/src/contracts/hostBridge.test.ts`、`npm run check:encoding`、`git diff --check`。
+
 ## 2026-06-18 原生壳本地生成物边界
 
 - 背景：`npm run check:native-shells` 会生成 Expo `.expo/` 日志、Expo export smoke 临时目录、Tauri schema、Tauri 自动生成权限和 Rust `target/` 产物。这些文件是本机工具输出，不是生产源码；如果进入生产壳敏感词扫描或被误提交，会让门禁受工具版本、构建日志或自动生成格式影响。