diff --git a/apps/mobile-shell/scripts/check-config.mjs b/apps/mobile-shell/scripts/check-config.mjs
index 7030d36b5..4296b2467 100644
--- a/apps/mobile-shell/scripts/check-config.mjs
+++ b/apps/mobile-shell/scripts/check-config.mjs
@@ -14,6 +14,8 @@ const appearancePath = new URL('../src/host-bridge/appearance.ts', import.meta.u
 const appearanceSource = fs.readFileSync(appearancePath, 'utf8');
 const bridgePath = new URL('../src/host-bridge/bridge.ts', import.meta.url);
 const bridgeSource = fs.readFileSync(bridgePath, 'utf8');
+const bridgeTestPath = new URL('../src/host-bridge/bridge.test.ts', import.meta.url);
+const bridgeTestSource = fs.readFileSync(bridgeTestPath, 'utf8');
 const badgePath = new URL('../src/host-bridge/badge.ts', import.meta.url);
 const badgeSource = fs.readFileSync(badgePath, 'utf8');
 const clipboardPath = new URL('../src/host-bridge/clipboard.ts', import.meta.url);
@@ -817,6 +819,21 @@ if (
   throw new Error('mobile shell must not redeclare HostBridge capability profiles');
 }
 
+for (const snippet of [
+  'HOST_BRIDGE_METHODS',
+  'HOST_BRIDGE_EXPO_MOBILE_IOS_CAPABILITIES',
+  'const IOS_UNDECLARED_HOST_BRIDGE_METHODS = HOST_BRIDGE_METHODS.filter(',
+  '(method) => !HOST_BRIDGE_EXPO_MOBILE_IOS_CAPABILITIES.includes(method)',
+  'test.each(IOS_UNDECLARED_HOST_BRIDGE_METHODS)',
+  "expect(failedResponse.error.code).toBe('unsupported_method')",
+]) {
+  if (!bridgeTestSource.includes(snippet)) {
+    throw new Error(
+      `mobile shell bridge tests must derive unsupported method coverage from shared profiles: ${snippet}`,
+    );
+  }
+}
+
 const unknownSharedEvents = sharedEvents.filter(
   (eventName) => !sharedCapabilities.includes(eventName),
 );
diff --git a/apps/mobile-shell/src/host-bridge/bridge.test.ts b/apps/mobile-shell/src/host-bridge/bridge.test.ts
index 9493ba19f..8d724606f 100644
--- a/apps/mobile-shell/src/host-bridge/bridge.test.ts
+++ b/apps/mobile-shell/src/host-bridge/bridge.test.ts
@@ -16,6 +16,8 @@ import { afterEach, describe, expect, test, vi } from 'vitest';
 
 import {
   HOST_BRIDGE_BADGE_COUNT_MAX,
+  HOST_BRIDGE_EXPO_MOBILE_IOS_CAPABILITIES,
+  HOST_BRIDGE_METHODS,
   HOST_BRIDGE_MOBILE_LOCAL_NOTIFICATION_CHANNEL_ID,
   HOST_BRIDGE_PROTOCOL,
   HOST_BRIDGE_RESPONSE_CACHE_MAX,
@@ -60,6 +62,9 @@ const TEST_MOBILE_URL_OPTIONS: MobileShellUrlOptions = {
   hostVersion: '0.1.0',
   capabilities: ['host.getRuntime', 'share.open'],
 };
+const IOS_UNDECLARED_HOST_BRIDGE_METHODS = HOST_BRIDGE_METHODS.filter(
+  (method) => !HOST_BRIDGE_EXPO_MOBILE_IOS_CAPABILITIES.includes(method),
+);
 
 function encodeBytes(bytes: readonly number[]) {
   return Buffer.from(bytes).toString('base64');
@@ -501,8 +506,8 @@ describe('handleMobileHostBridgeMessage', () => {
     expect(failedResponse.error.code).toBe('unsupported_method');
   });
 
-  test.each(['auth.requestLogin', 'payment.request'] as const)(
-    '%s 未接入真实渠道前明确返回 unsupported',
+  test.each(IOS_UNDECLARED_HOST_BRIDGE_METHODS)(
+    '%s 未被移动壳声明时明确返回 unsupported',
     async (method) => {
       const response = await send(request(method));
 
diff --git a/docs/project-memory/shared-memory/decision-log.md b/docs/project-memory/shared-memory/decision-log.md
index c82b3ea85..34fe003bc 100644
--- a/docs/project-memory/shared-memory/decision-log.md
+++ b/docs/project-memory/shared-memory/decision-log.md
@@ -41,7 +41,8 @@
 - 2026-06-19 桌面壳文件桥接执行边界：Tauri `file.exportText` / `file.importText` / `file.importDocument` / `file.exportImage` / `file.importImage` / `file.importAudio` / `file.exportAudio` 的系统文件对话框过滤器、用户取消语义、路径转换、异步读写编排和 HostBridge 响应统一收口在 `apps/desktop-shell/src-tauri/src/host_bridge/files.rs`；`dispatch.rs` 只负责按 method 委托 `export_desktop_host_bridge_*_file(...)` / `import_desktop_host_bridge_*_file(...)`。桌面壳配置检查会拒绝分发层直接调用 `.dialog()`、`blocking_save_file` / `blocking_pick_file`、文件 payload helper 或落盘 helper，避免文件访问边界重新散落。
 - 2026-06-19 桌面壳外链打开 helper 共用：Tauri WebView 外域拦截和 HostBridge `app.openExternalUrl` 都必须复用 `open_normalized_desktop_external_url` 执行系统外链打开动作；HostBridge 分支仍先用 `normalize_external_url` 保留 payload 错误语义并把 opener 错误回传给 H5，WebView 拦截保持 best-effort 静默处理。桌面壳配置检查会拒绝 `dispatch.rs` 直接调用 `app.opener().open_url` 绕过该 helper，避免两条离壳路径漂移。
 - 2026-06-18 能力声明收紧：`packages/shared/src/contracts/hostBridge.ts` 提供 HostBridge method / capability 白名单，H5 的 `getHostRuntime()` 会解析并过滤 `hostCapabilities`；`openHostShare`、`writeHostClipboardText`、`requestHostHapticsImpact`、`setHostAppTitle`、`exportHostTextFile` 等 native 能力只在宿主声明对应 capability 后调用。发布分享弹窗只有声明 `share.open` 时才显示“系统分享”，避免旧壳或裁剪壳露出不可用入口。
-- 2026-06-20 H5 原生能力门控收口：除 `host.getRuntime` 为了支持旧入口 URL 缺少 capability 时回读真实 runtime 可保留特殊判断外，H5 facade 中所有 native_app request 能力都必须通过 `canUseNativeHostCapability(...)` 统一门控，不得在业务能力函数内直接读取 `runtime.hostCapabilities.includes(...)`，避免导航、登录、支付和其它能力各自复制门控规则。
+- 2026-06-20 H5 原生能力门控收口：除 `host.getRuntime` 为了支持旧入口 URL 缺少 capability 时回读真实 runtime 可保留特殊判断外，H5 facade 中所有 native_app request 能力都必须通过 `canUseNativeHostCapability(...)` 统一门控，不得在业务能力函数内直接读取 `runtime.hostCapabilities.includes(...)`，避免各能力复制门控规则；根级 `npm run check:native-shells` 会从共享 `HOST_BRIDGE_METHODS` 自动派生需门控的 request capability 清单，新增 method 时必须同步补齐 H5 facade 门控。
+- 2026-06-20 移动壳未声明 method 覆盖：Expo 移动壳对未进入 `HOST_BRIDGE_EXPO_MOBILE_IOS_CAPABILITIES` 的共享 request method 必须由测试从 `HOST_BRIDGE_METHODS` 自动派生覆盖，并在请求到达时返回明确 `unsupported_method`；平台差异能力如 Android 不声明的 `app.setBadgeCount` 保持独立 `unsupported_capability` 语义，不混入未声明 method 清单。
 - 2026-06-18 宿主 runtime 回读：主 App 启动时会通过真实 `host.getRuntime` 回读 Expo / Tauri runtime 并缓存过滤后的能力清单，能力来源为 URL `hostCapabilities` 与宿主真实回包的并集；裁剪壳或旧入口 URL 缺少 `hostCapabilities` 时也能启用真实声明能力，但仍不会仅凭 `native_app` 或 transport 存在推断能力可用。该回读请求的短超时由共享契约 `HOST_BRIDGE_RUNTIME_REFRESH_TIMEOUT_MS` 声明，H5 facade 不得本地重声明。
 - 2026-06-18 壳能力防漂移：`npm run mobile-shell:typecheck` 与 `npm run desktop-shell:typecheck` 会校验 Expo / Tauri 壳声明的 capability 均来自共享 HostBridge 白名单，并校验壳 runtime 回包、H5 URL `hostCapabilities` 和实现分支保持一致；微信小程序 `WECHAT_HOST_CAPABILITIES` 由 `miniprogram/host-bridge/protocol.test.js` 和根级 `npm run check:native-shells` 反查共享 `HOST_BRIDGE_WECHAT_MINI_PROGRAM_CAPABILITIES`。新增能力必须先更新契约和真实壳实现，再通过这些检查。
 - 2026-06-19 宿主上下文 query 契约收口：`packages/shared/src/contracts/hostBridge.ts` 是宿主上下文 query 字段和值的唯一 TypeScript 来源；`HOST_BRIDGE_RUNTIME_CONTEXT_QUERY_KEY` 覆盖 H5 runtime parser 字段，`HOST_BRIDGE_NATIVE_APP_QUERY_KEY` / `HOST_BRIDGE_NATIVE_APP_QUERY_KEYS` / `HOST_BRIDGE_NATIVE_APP_QUERY` 固定 Expo / Tauri 原生壳入口 query，`HOST_BRIDGE_WECHAT_MINI_PROGRAM_SOURCE_QUERY` 固定微信 WebView 来源标记，`HOST_BRIDGE_PRESERVED_RUNTIME_CONTEXT_QUERY_KEYS` 固定 H5 页面内导航需要保留的宿主字段。Expo 壳直接引用共享常量，Tauri Rust 和微信 CommonJS 镜像由 `npm run check:native-shells` / 单壳配置检查反查；微信请求头必须从 `WEB_VIEW_SOURCE_QUERY` 读取 `clientType` / `clientRuntime`，不得另起常量。
diff --git a/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md b/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
index d7e872b03..7e6d8521a 100644
--- a/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
+++ b/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
@@ -300,7 +300,7 @@ GameBridge 禁止：
 - iOS / Android 深链打开作品详情、创作页和邀请码。
 - 登录和支付先 fallback 到 H5；只把能力边界跑通。
 
-当前状态：已新增 `apps/mobile-shell/`，通过 Expo development build 运行，`react-native-webview` 加载 H5 URL 并附加 `native_app` 宿主 query。移动壳使用真实品牌图标资产，已接入 `genarrative://` scheme、iOS associated domain 和 Android app link filter，启动和运行时 deep link 只会映射到同源 H5 路径并继续附加 HostBridge 上下文，外域和危险协议回退到默认主站入口。首轮真实能力包括 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.captureImage`、`scanner.scanQrCode`、`file.importAudio`、`file.exportAudio`、`haptics.impact`、`notification.showLocal` 和 Android 返回键回退；其中 `appearance.getColorScheme` 只读系统配色偏好，不强改 H5 或系统主题；`app.lifecycle` 通过 React Native `AppState` 注入 `active` / `inactive` / `background` 统一状态，供 H5 游戏循环、音频和轮询做真实暂停 / 恢复判断，H5 的 `useHostLifecycleActive()` 会把该事件归一成运行态可播放状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都按该状态在宿主进后台时暂停、回到前台且原播放条件仍满足时恢复；`network.status` / `network.statusChanged` 通过 `expo-network` 查询并订阅真实系统网络状态，供 H5 游戏运行态和生成页识别离线 / 弱网回退；iOS 额外声明 `app.setBadgeCount`，通过 React Native `PushNotificationIOS` 设置应用图标角标，Android 不声明该能力。H5 会解析并过滤 `hostCapabilities`，也会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存能力，只对声明或回读到的能力展示入口或调用宿主能力；其中 `share.setTarget` / `share.open` 会解析统一分享目标里的 `title`、`message`、`url`、`work`、`path` 或 `targetPath` 并调用 React Native 系统分享面板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求；发布分享弹窗只有在宿主声明 `share.open` 时才提供“系统分享”动作，失败时保留复制链接回退路径；`navigation.openNativePage` 在 Expo 壳内只接受同源 H5 route 并切换 WebView URL，切换前会重新附加 `clientRuntime=native_app`、`hostShell=expo_mobile`、真实平台、版本和 capability 清单，确保宿主主动导航后的新页面仍按原生壳运行态启动；该能力不伪造尚未存在的登录、支付或其它原生页面，`navigation.canGoBack` 由 WebView 导航状态变化实时注入 H5，`app.reloadWebView` 只调用当前 `react-native-webview` 的 `reload()` 刷新内嵌 H5，不开放任意脚本执行或 URL 重写；WebView 自身拦截到外域导航时只会把 `http:`、`https:`、`mailto:`、`tel:` 且系统 `Linking.canOpenURL` 确认可打开的外链交给系统，危险协议或当前设备不可打开的外链直接阻断；`app.openExternalUrl` 也只允许同一协议白名单，并在 `Linking.canOpenURL` 确认可打开后才离开容器，否则返回 `host_error`；ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开 WebView 并交给系统浏览器；`clipboard.writeText` 由 H5 复制服务优先调用并写入系统剪贴板；`clipboard.readText` 通过 Expo Clipboard 读取纯文本剪贴板并按 100000 字符上限返回，不读取图片、HTML 或监听剪贴板变化；`file.exportText` 通过 Expo 文件系统写入缓存文本文件，再交给系统分享 / 保存面板，文件名必须清洗，单次文本不超过 5 MiB，成功只返回文件名和字节数；`file.importDocument` 通过 Expo DocumentPicker 打开系统文档选择器，只接受文本类文档和 DOCX，读取 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成 5 MiB 上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportImage` 通过 Expo 文件系统写入缓存图片，再交给系统分享 / 保存面板，H5 只传允许 MIME 的 base64 图片数据，单次不超过 5 MiB，分享卡下载会优先走该能力；`file.importImage` 通过 Expo ImagePicker 请求相册权限并打开系统相册选择器，只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把设备本地 URI 暴露给 H5，用户取消返回 `cancelled` 并由 H5 视作无选择；`file.captureImage` 通过 Expo ImagePicker 请求相机权限并打开系统相机拍摄图片，沿用同一 MIME、体积、base64 和文件名清洗规则，成功返回 `captured` 图片结果，不请求麦克风权限，也不把设备本地 URI 暴露给 H5；`scanner.scanQrCode` 通过 `expo-camera` 请求相机权限并打开 `CameraView` 扫描二维码，成功只返回清洗后的二维码文本和 `qr_code` 格式，空值、控制字符和超长文本按共享契约处理，用户关闭或权限拒绝返回明确错误并由 H5 保留现有扫码 fallback；通用创作图片输入面板 `CreativeImageInputPanel` 在原生壳声明 `file.importImage` / `file.captureImage` 时分别展示受控上传 / 拍摄图标动作，并把宿主返回结果转换为现有 `File` 上传回调，拼图、拼消消、敲木鱼等复用该面板的主图和描述参考图选择无需新增玩法分叉；反馈页上传凭证、个人资料头像上传、方洞结果页图片槽位上传和汪汪声浪结果页三图槽位上传在原生壳声明 `file.importImage` 时优先打开宿主系统图片选择器，并把宿主返回结果转回现有 H5 数据结构，其中反馈页继续复用原本的 4 张数量限制、单张 1 MiB、总 4 MiB 和 data URL 提交流程，头像继续复用现有图片类型、5 MiB 大小限制、方形裁剪和资料更新链路，方洞结果页继续写回现有封面 / 背景 / 形状 / 洞口槽位与自动保存链路，汪汪声浪结果页继续把图片交给 `uploadBarkBattleAsset` 上传和当前玩家 / 对手 / UI 背景槽位写回链路；`file.importAudio` 通过 Expo DocumentPicker 打开系统音频选择器，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，读取音频或生成 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportAudio` 通过 Expo 文件系统写入缓存音频，再交给系统分享 / 保存面板，H5 只传当前页面已持有的允许 MIME 音频 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数；通用音频输入面板 `CreativeAudioInputPanel` 在原生壳声明导入能力时优先调用宿主导入，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用现有 `readFileAsAsset(file, 'uploaded')` 处理链路；`haptics.impact` 通过 Expo Haptics 承接运行时轻触反馈，H5 在宿主不支持时回退到浏览器 vibration；`notification.showLocal` 通过 `expo-notifications` 请求系统通知权限并调度即时本地通知，Android 只使用固定本地 channel，不启用后台远程通知、远程推送 token 或定时提醒。登录和支付尚未接入渠道 SDK / 原生页面时明确返回 unsupported，让 H5 fallback 承接。
+当前状态：已新增 `apps/mobile-shell/`，通过 Expo development build 运行，`react-native-webview` 加载 H5 URL 并附加 `native_app` 宿主 query。移动壳使用真实品牌图标资产，已接入 `genarrative://` scheme、iOS associated domain 和 Android app link filter，启动和运行时 deep link 只会映射到同源 H5 路径并继续附加 HostBridge 上下文，外域和危险协议回退到默认主站入口。首轮真实能力包括 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.captureImage`、`scanner.scanQrCode`、`file.importAudio`、`file.exportAudio`、`haptics.impact`、`notification.showLocal` 和 Android 返回键回退；其中 `appearance.getColorScheme` 只读系统配色偏好，不强改 H5 或系统主题；`app.lifecycle` 通过 React Native `AppState` 注入 `active` / `inactive` / `background` 统一状态，供 H5 游戏循环、音频和轮询做真实暂停 / 恢复判断，H5 的 `useHostLifecycleActive()` 会把该事件归一成运行态可播放状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都按该状态在宿主进后台时暂停、回到前台且原播放条件仍满足时恢复；`network.status` / `network.statusChanged` 通过 `expo-network` 查询并订阅真实系统网络状态，供 H5 游戏运行态和生成页识别离线 / 弱网回退；iOS 额外声明 `app.setBadgeCount`，通过 React Native `PushNotificationIOS` 设置应用图标角标，Android 不声明该能力。H5 会解析并过滤 `hostCapabilities`，也会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存能力，只对声明或回读到的能力展示入口或调用宿主能力；其中 `share.setTarget` / `share.open` 会解析统一分享目标里的 `title`、`message`、`url`、`work`、`path` 或 `targetPath` 并调用 React Native 系统分享面板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求；发布分享弹窗只有在宿主声明 `share.open` 时才提供“系统分享”动作，失败时保留复制链接回退路径；`navigation.openNativePage` 在 Expo 壳内只接受同源 H5 route 并切换 WebView URL，切换前会重新附加 `clientRuntime=native_app`、`hostShell=expo_mobile`、真实平台、版本和 capability 清单，确保宿主主动导航后的新页面仍按原生壳运行态启动；该能力不伪造尚未存在的登录、支付或其它原生页面，`navigation.canGoBack` 由 WebView 导航状态变化实时注入 H5，`app.reloadWebView` 只调用当前 `react-native-webview` 的 `reload()` 刷新内嵌 H5，不开放任意脚本执行或 URL 重写；WebView 自身拦截到外域导航时只会把 `http:`、`https:`、`mailto:`、`tel:` 且系统 `Linking.canOpenURL` 确认可打开的外链交给系统，危险协议或当前设备不可打开的外链直接阻断；`app.openExternalUrl` 也只允许同一协议白名单，并在 `Linking.canOpenURL` 确认可打开后才离开容器，否则返回 `host_error`；ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开 WebView 并交给系统浏览器；`clipboard.writeText` 由 H5 复制服务优先调用并写入系统剪贴板；`clipboard.readText` 通过 Expo Clipboard 读取纯文本剪贴板并按 100000 字符上限返回，不读取图片、HTML 或监听剪贴板变化；`file.exportText` 通过 Expo 文件系统写入缓存文本文件，再交给系统分享 / 保存面板，文件名必须清洗，单次文本不超过 5 MiB，成功只返回文件名和字节数；`file.importDocument` 通过 Expo DocumentPicker 打开系统文档选择器，只接受文本类文档和 DOCX，读取 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成 5 MiB 上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportImage` 通过 Expo 文件系统写入缓存图片，再交给系统分享 / 保存面板，H5 只传允许 MIME 的 base64 图片数据，单次不超过 5 MiB，分享卡下载会优先走该能力；`file.importImage` 通过 Expo ImagePicker 请求相册权限并打开系统相册选择器，只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把设备本地 URI 暴露给 H5，用户取消返回 `cancelled` 并由 H5 视作无选择；`file.captureImage` 通过 Expo ImagePicker 请求相机权限并打开系统相机拍摄图片，沿用同一 MIME、体积、base64 和文件名清洗规则，成功返回 `captured` 图片结果，不请求麦克风权限，也不把设备本地 URI 暴露给 H5；`scanner.scanQrCode` 通过 `expo-camera` 请求相机权限并打开 `CameraView` 扫描二维码，成功只返回清洗后的二维码文本和 `qr_code` 格式，空值、控制字符和超长文本按共享契约处理，用户关闭或权限拒绝返回明确错误并由 H5 保留现有扫码 fallback；通用创作图片输入面板 `CreativeImageInputPanel` 在原生壳声明 `file.importImage` / `file.captureImage` 时分别展示受控上传 / 拍摄图标动作，并把宿主返回结果转换为现有 `File` 上传回调，拼图、拼消消、敲木鱼等复用该面板的主图和描述参考图选择无需新增玩法分叉；反馈页上传凭证、个人资料头像上传、方洞结果页图片槽位上传和汪汪声浪结果页三图槽位上传在原生壳声明 `file.importImage` 时优先打开宿主系统图片选择器，并把宿主返回结果转回现有 H5 数据结构，其中反馈页继续复用原本的 4 张数量限制、单张 1 MiB、总 4 MiB 和 data URL 提交流程，头像继续复用现有图片类型、5 MiB 大小限制、方形裁剪和资料更新链路，方洞结果页继续写回现有封面 / 背景 / 形状 / 洞口槽位与自动保存链路，汪汪声浪结果页继续把图片交给 `uploadBarkBattleAsset` 上传和当前玩家 / 对手 / UI 背景槽位写回链路；`file.importAudio` 通过 Expo DocumentPicker 打开系统音频选择器，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，读取音频或生成 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportAudio` 通过 Expo 文件系统写入缓存音频，再交给系统分享 / 保存面板，H5 只传当前页面已持有的允许 MIME 音频 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数；通用音频输入面板 `CreativeAudioInputPanel` 在原生壳声明导入能力时优先调用宿主导入，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用现有 `readFileAsAsset(file, 'uploaded')` 处理链路；`haptics.impact` 通过 Expo Haptics 承接运行时轻触反馈，H5 在宿主不支持时回退到浏览器 vibration；`notification.showLocal` 通过 `expo-notifications` 请求系统通知权限并调度即时本地通知，Android 只使用固定本地 channel，不启用后台远程通知、远程推送 token 或定时提醒。登录和支付尚未接入渠道 SDK / 原生页面时明确返回 unsupported，让 H5 fallback 承接。
 
 2026-06-18 追加：移动壳当前通用真实能力完整清单为 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`network.status`、`network.statusChanged`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.captureImage`、`scanner.scanQrCode`、`file.importAudio`、`file.exportAudio`、`haptics.impact` 和 `notification.showLocal`。
 
@@ -389,7 +389,7 @@ GameBridge 禁止：
 - 实现 runtime、openExternalUrl、clipboard、share fallback、窗口标题同步。
 - 验证 macOS / Windows / Linux 至少一条本地 smoke。
 
-当前状态：已新增 `apps/desktop-shell/`，Tauri dev 直接加载本地主站 Vite，release 打包根 `dist` 主站资产。Rust 侧只把 `host_bridge_request` command 授给主窗口，`appearance.getColorScheme` 由 Rust 内部读取主窗口 `theme()` 并返回 `light` / `dark` / `unknown`，不设置或覆盖系统主题；`app.lifecycle` 由主窗口 focus / blur、窗口 resize 后的状态读取、托盘隐藏 / 恢复和页面加载重放注入统一状态，不开放 Tauri event 插件给前端。桌面壳只向 H5 派发共享契约里的 `active` / `inactive` / `background`，隐藏到托盘和系统最小化都归一为 `background`，`hidden`、`minimized`、`focused`、`blurred` 只写入 `nativeState` 便于排障；H5 通过 `useHostLifecycleActive()` 统一归一窗口焦点和后台状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都会在窗口失焦、隐藏或最小化时暂停、恢复焦点且原播放条件仍满足时恢复；`network.status` 由 Rust 从 `WEB_APP_ORIGIN` 解析主站 host / port 并做短超时 TCP 可达性查询，`network.statusChanged` 由主 WebView 的 `online` / `offline` 事件注入，不开放任意网络探测给 H5；`app.openExternalUrl` 由 Rust 内部通过 opener 插件执行且只允许 `http:`、`https:`、`mailto:`、`tel:` 外链协议，ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开主窗口并交给系统浏览器；`navigation.openNativePage` 只接受 `https://app.genarrative.world` 同源 H5 route 并在主窗口内受控跳转，跳转前与桌面 deep link 共用同一宿主上下文补写方法，重新附加 `clientRuntime=native_app`、`hostShell=tauri_desktop`、当前平台、版本和真实 capability 清单，确保新页面继续按桌面壳运行态启动；`navigation.canGoBack` 由桌面壳注入固定脚本追踪当前 H5 文档内的 `pushState` / `replaceState` / `popstate` 路由栈并通过 HostBridge event 回放，不读取或声明跨文档 native back-forward list，`app.reloadWebView` 只调用 Tauri 主 WebViewWindow 的 `reload()` 刷新当前 H5，不开放 JS guest API、任意命令或任意 URL 导航，`clipboard.writeText` 由 Rust 内部通过 clipboard-manager 插件写入系统剪贴板并由 H5 复制服务优先调用，`clipboard.readText` 由 Rust 内部通过同一插件读取纯文本剪贴板并按 100000 字符上限返回，不开放剪贴板插件 JS guest API、图片读取、HTML 读取或监听事件，`app.setTitle` 通过 Tauri 主窗口 API 同步窗口标题并拒绝空标题 / 控制字符，`app.setBadgeCount` 通过主窗口 `set_badge_count` 设置任务栏角标，数量只接受 `0` 到共享契约 `HOST_BRIDGE_BADGE_COUNT_MAX` 之间的整数且 `0` 表示清除；H5 主站会按当前平台阶段先更新 `document.title`，再通过 `app.setTitle` 把同一标题同步给 Tauri 窗口，Expo 移动壳不声明该能力时静默忽略；不把 opener、clipboard、dialog 或 notification 插件命令直接暴露给前端。当前真实能力为 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.setTarget`、`share.open`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`app.setTitle`、`app.setBadgeCount`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.importAudio`、`file.exportAudio`、`file.imageDropped` 和 `notification.showLocal`；H5 会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存这些能力，即使入口 URL 缺少 `hostCapabilities`，也只按宿主真实回包开启能力入口；其中 `host.events` 只表示桌面壳会通过 HostBridge message 派发生命周期、网络、H5 返回栈和拖拽图片等事件，不新增 request method，也不开放 Tauri event 插件；`share.open` 会把直接传入的分享 payload 或 `share.setTarget` 缓存的作品目标整理成非空分享文本并写入系统剪贴板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求，显式非法 payload 不得回退到之前缓存的 `share.setTarget` 目标，成功返回 `copied_to_clipboard`，发布分享弹窗在桌面壳中也通过该能力提供“系统分享”动作；`file.exportText` 通过系统保存对话框让用户选择本地路径，清洗文件名、限制单次文本导出不超过 5 MiB，写入成功后只返回文件名和字节数，不把本机绝对路径暴露给 H5，用户取消返回 `cancelled`；`file.importDocument` 通过系统选择框读取用户选择的文本类文档或 DOCX，单次不超过 5 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.exportImage` 同样通过系统保存对话框写入 H5 生成的图片字节，只接受 `image/png` / `image/jpeg` / `image/webp` base64 数据，单次不超过 5 MiB，分享卡下载会优先走该能力，用户取消返回 `cancelled`；`file.importImage` 通过系统选择框读取用户选择的图片，`file.imageDropped` 通过主窗口拖拽事件读取用户拖入的图片，二者都只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.importAudio` 通过系统选择框读取用户选择的音频，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.exportAudio` 通过系统保存对话框写入 H5 当前已持有的音频字节，只接受允许 MIME 的 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数，不让宿主代读任意本地文件；通用音频输入面板 `CreativeAudioInputPanel` 在桌面壳声明导入能力时优先打开系统音频选择框，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用 `readFileAsAsset(file, 'uploaded')` 处理链路；`notification.showLocal` 由 Rust 内部通过 `tauri-plugin-notification` 发送即时系统通知，只接受清洗后的标题和正文，发送前先检查系统通知权限，处于 prompt 状态时只在 Rust 侧请求一次权限，最终未授权时返回失败，不开放插件 JS guest API、远程推送、定时提醒或通知 token；通用创作图片输入面板 `CreativeImageInputPanel` 在桌面壳声明 `file.importImage` 时会优先打开系统图片选择框，在同时声明 `file.imageDropped` 时会按宿主拖入坐标把图片交给命中的主图槽位，并把结果转换为现有 `File` 上传回调；反馈页上传凭证、个人资料头像上传、方洞结果页图片槽位上传和汪汪声浪结果页三图槽位上传同样优先消费 `file.importImage`，但继续交给 H5 原有预览、裁剪、槽位编辑、大小限制、上传和提交 / 保存链路。普通浏览器、小程序和未声明能力的壳继续保留原文件输入路径。原生系统分享面板、登录和支付未接入真实插件 / 渠道前不声明支持，不返回临时成功。
+当前状态：已新增 `apps/desktop-shell/`，Tauri dev 直接加载本地主站 Vite，release 打包根 `dist` 主站资产。Rust 侧只把 `host_bridge_request` command 授给主窗口，`appearance.getColorScheme` 由 Rust 内部读取主窗口 `theme()` 并返回 `light` / `dark` / `unknown`，不设置或覆盖系统主题；`app.lifecycle` 由主窗口 focus / blur、窗口 resize 后的状态读取、托盘隐藏 / 恢复和页面加载重放注入统一状态，不开放 Tauri event 插件给前端。桌面壳只向 H5 派发共享契约里的 `active` / `inactive` / `background`，隐藏到托盘和系统最小化都归一为 `background`，`hidden`、`minimized`、`focused`、`blurred` 只写入 `nativeState` 便于排障；H5 通过 `useHostLifecycleActive()` 统一归一窗口焦点和后台状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都会在窗口失焦、隐藏或最小化时暂停、恢复焦点且原播放条件仍满足时恢复；`network.status` 由 Rust 从 `WEB_APP_ORIGIN` 解析主站 host / port 并做短超时 TCP 可达性查询，`network.statusChanged` 由主 WebView 的 `online` / `offline` 事件注入，不开放任意网络探测给 H5；`app.openExternalUrl` 由 Rust 内部通过 opener 插件执行且只允许 `http:`、`https:`、`mailto:`、`tel:` 外链协议，ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开主窗口并交给系统浏览器；`navigation.openNativePage` 只接受 `https://app.genarrative.world` 同源 H5 route 并在主窗口内受控跳转，跳转前与桌面 deep link 共用同一宿主上下文补写方法，重新附加 `clientRuntime=native_app`、`hostShell=tauri_desktop`、当前平台、版本和真实 capability 清单，确保新页面继续按桌面壳运行态启动；`navigation.canGoBack` 由桌面壳注入固定脚本追踪当前 H5 文档内的 `pushState` / `replaceState` / `popstate` 路由栈并通过 HostBridge event 回放，不读取或声明跨文档 native back-forward list，`app.reloadWebView` 只调用 Tauri 主 WebViewWindow 的 `reload()` 刷新当前 H5，不开放 JS guest API、任意命令或任意 URL 导航，`clipboard.writeText` 由 Rust 内部通过 clipboard-manager 插件写入系统剪贴板并由 H5 复制服务优先调用，`clipboard.readText` 由 Rust 内部通过同一插件读取纯文本剪贴板并按 100000 字符上限返回，不开放剪贴板插件 JS guest API、图片读取、HTML 读取或监听事件，`app.setTitle` 通过 Tauri 主窗口 API 同步窗口标题并拒绝空标题 / 控制字符，`app.setBadgeCount` 通过主窗口 `set_badge_count` 设置任务栏角标，数量只接受 `0` 到共享契约 `HOST_BRIDGE_BADGE_COUNT_MAX` 之间的整数且 `0` 表示清除；H5 主站会按当前平台阶段先更新 `document.title`，再通过 `app.setTitle` 把同一标题同步给 Tauri 窗口，Expo 移动壳不声明该能力时静默忽略；不把 opener、clipboard、dialog 或 notification 插件命令直接暴露给前端。当前真实能力为 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.setTarget`、`share.open`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`app.setTitle`、`app.setBadgeCount`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.importAudio`、`file.exportAudio`、`file.imageDropped` 和 `notification.showLocal`；H5 会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存这些能力，即使入口 URL 缺少 `hostCapabilities`，也只按宿主真实回包开启能力入口；其中 `host.events` 只表示桌面壳会通过 HostBridge message 派发生命周期、网络、H5 返回栈和拖拽图片等事件，不新增 request method，也不开放 Tauri event 插件；`share.open` 会把直接传入的分享 payload 或 `share.setTarget` 缓存的作品目标整理成非空分享文本并写入系统剪贴板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求，显式非法 payload 不得回退到之前缓存的 `share.setTarget` 目标，成功返回 `copied_to_clipboard`，发布分享弹窗在桌面壳中也通过该能力提供“系统分享”动作；`file.exportText` 通过系统保存对话框让用户选择本地路径，清洗文件名、限制单次文本导出不超过 5 MiB，写入成功后只返回文件名和字节数，不把本机绝对路径暴露给 H5，用户取消返回 `cancelled`；`file.importDocument` 通过系统选择框读取用户选择的文本类文档或 DOCX，单次不超过 5 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.exportImage` 同样通过系统保存对话框写入 H5 生成的图片字节，只接受 `image/png` / `image/jpeg` / `image/webp` base64 数据，单次不超过 5 MiB，分享卡下载会优先走该能力，用户取消返回 `cancelled`；`file.importImage` 通过系统选择框读取用户选择的图片，`file.imageDropped` 通过主窗口拖拽事件读取用户拖入的图片，二者都只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.importAudio` 通过系统选择框读取用户选择的音频，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把本机绝对路径暴露给 H5，也不开放通用文件系统；`file.exportAudio` 通过系统保存对话框写入 H5 当前已持有的音频字节，只接受允许 MIME 的 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数，不让宿主代读任意本地文件；通用音频输入面板 `CreativeAudioInputPanel` 在桌面壳声明导入能力时优先打开系统音频选择框，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用 `readFileAsAsset(file, 'uploaded')` 处理链路；`notification.showLocal` 由 Rust 内部通过 `tauri-plugin-notification` 发送即时系统通知，只接受清洗后的标题和正文，发送前先检查系统通知权限，处于 prompt 状态时只在 Rust 侧请求一次权限，最终未授权时返回失败，不开放插件 JS guest API、远程推送、定时提醒或通知 token；通用创作图片输入面板 `CreativeImageInputPanel` 在桌面壳声明 `file.importImage` 时会优先打开系统图片选择框，在同时声明 `file.imageDropped` 时会按宿主拖入坐标把图片交给命中的主图槽位，并把结果转换为现有 `File` 上传回调；反馈页上传凭证、个人资料头像上传、方洞结果页图片槽位上传和汪汪声浪结果页三图槽位上传同样优先消费 `file.importImage`，但继续交给 H5 原有预览、裁剪、槽位编辑、大小限制、上传和提交 / 保存链路。普通浏览器、小程序和未声明能力的壳继续保留原文件输入路径。原生系统分享面板、登录和支付未接入真实插件 / 渠道前不声明支持，不返回临时成功。
 
 2026-06-19 追加：桌面壳当前真实能力完整清单为 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`app.setTitle`、`app.setBadgeCount`、`network.status`、`network.statusChanged`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.importAudio`、`file.exportAudio`、`file.imageDropped` 和 `notification.showLocal`。`npm run check:native-shells` 会用共享桌面 capability profile 反查本段和 Rust 运行时镜像，避免实现、入口 URL 和方案文档再次漂移。
 
@@ -473,7 +473,7 @@ GameBridge 禁止：
 
 2026-06-19 追加：HostBridge event 白名单进入跨壳门禁。`packages/shared/src/contracts/hostBridge.ts` 的 `HOST_BRIDGE_EVENTS` 是宿主注入事件名的唯一来源，当前只包含 `app.lifecycle`、`network.statusChanged`、`navigation.canGoBack` 和 `file.imageDropped`；事件名必须同时是 capability。Expo 壳事件注入函数使用 `HostBridgeEventName`，Tauri 壳 `shell/events.rs` 镜像同一清单并在脚本生成前拒绝未知事件，H5 `nativeAppHostBridge` 只分发 `isHostBridgeEventName()` 认可的事件。H5 `subscribeHostAppLifecycle()`、`subscribeHostNetworkStatusChange()`、`subscribeHostNavigationCanGoBack()` 和 `subscribeHostImageDrop()` 必须同时校验 `host.events` 与对应事件 capability，缺任一能力时不绑定事件监听；根级 `npm run check:native-shells` 会反查这四个订阅 facade 都通过 `canUseNativeHostEventCapability(...)` 进入同一双能力门控，并拒绝新增事件后漏补 H5 facade 覆盖。
 
-2026-06-18 追加：HostBridge capability 与 request handler 关系进入门禁。共享契约中属于 request method 的 capability，如果被 Expo 或 Tauri 壳声明，就必须在对应壳的 HostBridge 分发中显式处理；反过来，壳分发中处理的 method 必须已被该壳声明。共享 method 白名单中未进入桌面 capability profile 的 method 必须自动派生为桌面 unsupported 覆盖清单，当前包括 `auth.requestLogin`、`payment.request`、`file.captureImage`、`scanner.scanQrCode` 和 `haptics.impact`；请求实际到达桌面壳时只能返回明确 `unsupported_method`，不得伪造成功或半接入。H5 facade 除 `host.getRuntime` 真实回读外，所有 native_app request 能力都必须通过 `canUseNativeHostCapability(...)` 统一门控，不得在单个业务能力函数内直接读取 `runtime.hostCapabilities.includes(...)`。`host.events`、`app.lifecycle`、`network.statusChanged`、`file.imageDropped`、`navigation.canGoBack` 等事件类 capability 不要求 request handler。
+2026-06-18 追加：HostBridge capability 与 request handler 关系进入门禁。共享契约中属于 request method 的 capability，如果被 Expo 或 Tauri 壳声明，就必须在对应壳的 HostBridge 分发中显式处理；反过来，壳分发中处理的 method 必须已被该壳声明。共享 method 白名单中未进入桌面 capability profile 的 method 必须自动派生为桌面 unsupported 覆盖清单，当前包括 `auth.requestLogin`、`payment.request`、`file.captureImage`、`scanner.scanQrCode` 和 `haptics.impact`；请求实际到达桌面壳时只能返回明确 `unsupported_method`，不得伪造成功或半接入。H5 facade 除 `host.getRuntime` 真实回读外，所有 native_app request 能力都必须通过 `canUseNativeHostCapability(...)` 统一门控，不得在单个业务能力函数内直接读取 `runtime.hostCapabilities.includes(...)`；根级 `npm run check:native-shells` 从共享 `HOST_BRIDGE_METHODS` 自动派生该门控清单。`host.events`、`app.lifecycle`、`network.statusChanged`、`file.imageDropped`、`navigation.canGoBack` 等事件类 capability 不要求 request handler。
 
 2026-06-18 追加：桌面壳 release CSP 与 dev CSP 分离。Release `csp` 不再包含 `http://127.0.0.1:*` 或 `ws://127.0.0.1:*`，只允许打包资产、自身脚本、生产 HTTPS / WSS API、图片、媒体和 sandbox frame 所需来源；本地 Vite、HMR WebSocket 和开发 frame 只写入 Tauri `devCsp`。`apps/desktop-shell/scripts/check-config.mjs` 会拒绝 release CSP 混入本机调试源，也会校验 dev CSP 仍保留本机开发源。
 
diff --git a/docs/【前端架构】宿主壳能力统一协议-2026-06-17.md b/docs/【前端架构】宿主壳能力统一协议-2026-06-17.md
index 0a4a2d09b..32eb2f20c 100644
--- a/docs/【前端架构】宿主壳能力统一协议-2026-06-17.md
+++ b/docs/【前端架构】宿主壳能力统一协议-2026-06-17.md
@@ -92,7 +92,7 @@ Tauri 桌面壳的文件能力边界统一在 `apps/desktop-shell/src-tauri/src/
 2. `authService` 保留原导出，但内部委托 HostBridge，避免一次性改动 AuthGate。
 3. 分享弹窗、分享目标同步、九宫切图、微信小程序支付和订阅授权改用 HostBridge 通用接口；旧微信命名服务只作为兼容导出。
 4. 后续新增 `native_app` adapter 时只补桥接实现和测试，业务层不新增平台分叉；主 App 启动会触发一次 `host.getRuntime` 回读并订阅能力变化，避免裁剪壳或旧入口 URL 缺少 `hostCapabilities` 时长期隐藏真实可用能力。
-5. 每次新增或调整 native capability、HostBridge event 或宿主上下文 query 后，必须先更新 `packages/shared/src/contracts/hostBridge.ts` 中对应微信 / Expo / Tauri capability profile、事件白名单和 query 契约，再运行 `npm run check:native-shells`，统一覆盖 H5 HostBridge 关键测试、三端桥接层文件结构门禁、微信小程序页面路由与 H5 常量反查、Expo 壳 typecheck / test / config smoke / Metro export smoke、Tauri 壳 typecheck / cargo test、桌面 release `--no-bundle` 构建烟测，以及可分发壳与 H5 HostBridge 真实调用链的临时替身词扫描。桌面壳未声明的共享 request method 必须自动派生为 `unsupported_method` 覆盖清单，当前包括 `auth.requestLogin`、`payment.request`、`file.captureImage`、`scanner.scanQrCode` 和 `haptics.impact`，不得伪造成功；H5 facade 除 `host.getRuntime` 真实回读外，所有 native_app request 能力都必须通过 `canUseNativeHostCapability(...)` 统一门控；排查单端问题时再单独运行 `npm run mobile-shell:typecheck`、`npm run mobile-shell:test`、`npm run mobile-shell:config`、`npm run mobile-shell:export`、`npm run desktop-shell:typecheck`、`npm run desktop-shell:test` 或 `npm run desktop-shell:build -- --no-bundle`。
+5. 每次新增或调整 native capability、HostBridge event 或宿主上下文 query 后，必须先更新 `packages/shared/src/contracts/hostBridge.ts` 中对应微信 / Expo / Tauri capability profile、事件白名单和 query 契约，再运行 `npm run check:native-shells`，统一覆盖 H5 HostBridge 关键测试、三端桥接层文件结构门禁、微信小程序页面路由与 H5 常量反查、Expo 壳 typecheck / test / config smoke / Metro export smoke、Tauri 壳 typecheck / cargo test、桌面 release `--no-bundle` 构建烟测，以及可分发壳与 H5 HostBridge 真实调用链的临时替身词扫描。桌面壳未声明的共享 request method 必须自动派生为 `unsupported_method` 覆盖清单，当前包括 `auth.requestLogin`、`payment.request`、`file.captureImage`、`scanner.scanQrCode` 和 `haptics.impact`，不得伪造成功；Expo 移动壳未声明的共享 request method 必须由 `HOST_BRIDGE_METHODS - HOST_BRIDGE_EXPO_MOBILE_IOS_CAPABILITIES` 自动派生测试覆盖，确保未接 SDK / 渠道的 method 返回明确 `unsupported_method`；H5 facade 除 `host.getRuntime` 真实回读外，所有 native_app request 能力都必须通过 `canUseNativeHostCapability(...)` 统一门控，根级门禁会从共享 `HOST_BRIDGE_METHODS` 自动派生需检查清单；排查单端问题时再单独运行 `npm run mobile-shell:typecheck`、`npm run mobile-shell:test`、`npm run mobile-shell:config`、`npm run mobile-shell:export`、`npm run desktop-shell:typecheck`、`npm run desktop-shell:test` 或 `npm run desktop-shell:build -- --no-bundle`。
 
 ## 验收
 
diff --git a/scripts/check-native-shells.mjs b/scripts/check-native-shells.mjs
index c9d7af654..9aaaddb4c 100644
--- a/scripts/check-native-shells.mjs
+++ b/scripts/check-native-shells.mjs
@@ -987,10 +987,18 @@ function assertH5HostBridgeEventSubscriptionGates() {
 }
 
 function assertH5HostBridgePayloadBoundaries() {
+  const sharedContractSource = fs.readFileSync(
+    'packages/shared/src/contracts/hostBridge.ts',
+    'utf8',
+  );
   const h5HostBridgeSource = fs.readFileSync(
     'src/services/host-bridge/hostBridge.ts',
     'utf8',
   );
+  const nativeRequestCapabilities = extractTsStringArray(
+    sharedContractSource,
+    'HOST_BRIDGE_METHODS',
+  ).filter((method) => method !== 'host.getRuntime');
 
   for (const sharedBoundary of [
     'HOST_BRIDGE_RUNTIME_REFRESH_TIMEOUT_MS',
@@ -1149,11 +1157,7 @@ function assertH5HostBridgePayloadBoundaries() {
       'H5 HostBridge facade must normalize app.setTitle payloads with the shared title boundary',
     );
   }
-  for (const nativeCapability of [
-    'navigation.openNativePage',
-    'auth.requestLogin',
-    'payment.request',
-  ]) {
+  for (const nativeCapability of nativeRequestCapabilities) {
     if (
       h5HostBridgeSource.includes(
         `runtime.hostCapabilities.includes('${nativeCapability}')`,