落地游戏创作本地工程护栏

新增项目 checkpoint、diff、restore、本地索引、写锁和项目级权限策略。

接入聊天命令和共享命令契约，普通用户可确认恢复与策略写入。

补充上下文敏感信息过滤，避免密钥和本机配置进入 LLM prompt。

更新 AI 游戏创作 App 文档、共享记忆和相关测试。

docs/project-memory/shared-memory/decision-log.md

@@ -3850,6 +3850,8 @@
 - 2026-06-30 调整：`game.generate_draft` 在 `editorApi.apiKey` 已配置且美术组缺少 `canvas` 来源图片资产时，直接调用 External Editor API 的 `/api/external/v1/editor/images/generations` 生成首版美术素材，再通过 `/api/external/v1/assets/read-url` 换签下载到本地 `assets/canvas-generated/`，登记为 `canvas` 来源资产并追加 `canvas.asset_generate` 本地索引记录。API Key 不写入 manifest、agent.db、trace 或日志；生成失败不阻断本地原型生成，会在 trace 中记录失败并保留同步建议。
 - 2026-06-25 调整，2026-06-30 更新：美术组 `Asset` 和音乐组 `SFX` 角色在 loop 中读取 `.agent/manifest.json`；当本地项目还没有对应类型的 `canvas` 来源资产时，角色 step 会追加 `agent.tool.suggest.canvas.project_sync` toolCall：美术组需要 `image/*` 或 `application/vnd.genarrative.image-sequence`，音乐组需要 `audio/*`。美术组在未配置 `editorApi.apiKey` 或平台生图失败时仍只给出同步建议；音乐组不调用图片生成接口，只建议同步已有音频资源。
 - 2026-06-24 调整：同一本地项目多次 `game.generate_draft` 必须追加 `memory/session.md` 与 `memory/project.md`，不得覆盖历史对话和创作目标记录。
+- 2026-07-01 调整：AI 游戏创作 App 在 `memory/session.md` 与 `memory/project.md` 之外新增项目级黑板 `memory/blackboard.md`，只记录重要跨 agent 决策、依赖和风险摘要；每个角色 agent 拥有私有记忆 `memory/agents/<group>/<role>.md`。角色 brief 必须读取自己的私有记忆和项目黑板；`game.generate_draft` 通过 Evaluator 与 `game.static_smoke` 后，追加项目黑板摘要和各角色成功产出摘要，不得覆盖既有记忆。失败 run 仍只保留 trace 和 pass 快照，不写最终记忆摘要。
+- 2026-07-01 调整：AI 游戏创作 App 借鉴 Godcoder 的本地工程护栏，但只收敛到五项本地机制：`ArtifactWriter` 写入前 checkpoint、写入后 diff、用户确认 restore；进入 LLM 前过滤密钥和本机配置痕迹；`.agent/agent.db` 继续作为轻量 JSONL 项目索引，`/index` 额外刷新 `.agent/project.index.json`；同一项目写入通过 `.agent/project.lock` 串行化；`.agent/policy.json` 记录项目级命令拒绝 / 确认策略。v1 不引入通用 IDE 插件、云工作区、SQLite 或任意 shell 代理。
 - 2026-06-24 调整：普通用户通过聊天输入 `/help` 发现可用内置命令；命令发现必须留在聊天消息里，不得因此暴露开发面板。
 - 2026-06-24 调整：聊天区待确认命令的日志语义必须区分 `permission.pending`、`permission.confirm` 和 `permission.cancel`；待确认卡片必须展示本地写入目标路径，避免用户在不知道落盘位置时确认。
 - 2026-06-24 调整：普通用户通过聊天输入 `/status` 读取 `.agent/manifest.json` 的项目状态摘要，只在聊天消息里展示项目目录、任务状态、资产数量、预览状态和最近命令；不得为了状态查看暴露任务、文件或日志面板。