合并 origin/master 到 feat/adapt-xhs-skill：发布表单吸收平台版本号与买断定价，并合入播放会话网关与导出 Skill 更新

- 发布表单 hook 保留本分支的 hook + 视图拆分，移植 master 的平台版本号回读（nextVersionNumber）、买断定价状态与提交校验，删除由工程内部版本派生的 projectVersion
- GameDistributionPublishFormView 接入只读「项目版本」与共享 PlatformGamePricingField，版本号未知时禁用提交
- DirectProjectComposer 同时保留本分支的草稿回填 / 回写 props 与 master 的 actionsPortalTarget 挂点
- 发布表单测试改用平台版本号 mock（nextVersionNumber: 1），补齐买断定价与缺省版本号禁用用例，并修正 Promise 类型标注
- decision-log.md 保留双方新增条目（小红书导出与 Skill 安装工具 + 播放会话前缀清 Cookie）

docs/project-memory/shared-memory/decision-log.md

@@ -65,6 +65,17 @@
 - 验证方式：`npm run agc:skill-pack:check`（version=2026-08-26.40）、`node --test scripts/check-skill-pack.test.mjs`（5 passed，含隐藏路径拒绝与收集器忽略隐藏文件）、`cargo test --bin genarrative-ai-game-creator-shell -- --test-threads=1 agent::skill_pack`（7 passed）、`agent::codex_app_server::tests`（72 passed）、`agent::direct_runtime::tests`（92 passed）、`cargo fmt --all --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -- --check` 通过；`npx eslint`（变更的仓库脚本）通过，且 `resources/agc-skills/**` 经 `isPathIgnored` 全部返回 true。
 - 边界：隐藏文件规则只约束随包审核与只读读取，不改变这些文件在仓库中的存在、权限或本地用途。
 
+## 2026-10-05 播放会话前缀在三处入口清空 Cookie，网关 403 纵深防御不变
+
+- 背景：付费游戏的可玩入口是创建播放会话后拿到的 `/api/game-distribution/play-sessions/<token>/`（sandbox iframe 的 `src`，包内相对资源沿同一前缀解析）。该前缀落在 `/api/*` 上，边缘通用 `/api` location 必须转发 Cookie（`/api/auth/*` 需要 refresh cookie），而 `api-server` 播放网关对带可解析平台 refresh Cookie 的请求返回 403，导致真实浏览器里 iframe 与每个包内资源都 403、付费游戏实际不可玩。
+- 决策（边缘）：三份 nginx 模板（`deploy/nginx/genarrative.conf`、`deploy/nginx/genarrative-dev-http.conf`、`deploy/container/nginx.conf`）在通用 `/api` location 之前内联 `location ^~ /api/game-distribution/play-sessions/`；代理头、`client_max_body_size 210m`、`limit_conn` / `limit_req`、超时与维护判断与通用 `/api` 保持一致，额外清空 Cookie。`^~` 必填（否则正则 location `~ ^/api(?:/|$)` 优先命中），且只匹配带尾斜杠的前缀。
+- 决策（dev）：`vite.config.ts` 在 `/api/game-distribution` 之前加同名前缀代理规则，`proxyReq.removeHeader('cookie')`。
+- 决策（网关）：`server-rs/crates/pingora-gateway` 新增 `RouteDecision::PlaySessionGateway`，与通用 `/api` 同口径（api 上游、api 限流分组、大小上限、维护闸），差别只在经新增的 `route_clears_cookie` 清空 Cookie（发行入口 `ReleaseGateway` 复用同一判定）。**不放宽** `api-server` 的 Cookie 拒绝。
+- 决策（边界）：前缀只认带尾斜杠的形式，创建会话的 `POST /api/game-distribution/play-sessions` 与 `POST /api/game-distribution/games/{gameId}/play-session` 继续走通用 `/api` 并保留 Cookie。
+- 门禁：矩阵新增 `play_sessions_gateway` 用例；`check:nginx-spa-routes` 新增「该前缀 location 存在、清空 Cookie、排在通用 `/api` 之前」断言，`check:pingora-route-parity` 新增「矩阵用例必须声明清 Cookie 且不得复用通用 `/api` location / Rust 播放会话分支必须排在通用 `/api` 之前」断言，`check:pingora-gateway-smoke` 新增真实网关下「该前缀清 Cookie、创建会话端点保留 Cookie」用例。
+- 影响面：`deploy/nginx/{genarrative.conf,genarrative-dev-http.conf,README.md}`、`deploy/container/nginx.conf`、`vite.config.ts`、`server-rs/crates/pingora-gateway/src/main.rs`、`deploy/pingora/nginx-route-parity.matrix.json`、`scripts/check-{nginx-spa-routes,pingora-route-parity,pingora-gateway-smoke}.mjs`、`docs/technical/【开发运维】Pingora独立网关试点-2026-06-11.md`、`docs/【开发运维】本地开发验证与生产运维-2026-05-15.md`。
+- 关联：`docs/project-memory/shared-memory/pitfalls.md`「付费游戏播放会话前缀落在 `/api/*`」条。
+
 ## 2026-10-03 每日免费发放额为 0 时前端隐藏该池
 
 - 背景：运营需要一个可逆的「不提供每日免费泥点」状态。不给它新增 `retired` 状态位或新字段，直接把后台配置 `daily_free_points_per_day` 配成 0，让「每日免费发放额」这个普通数值自己表达；前端据此隐藏每日免费相关入口。
@@ -74,7 +85,6 @@
 - 影响范围：`packages/shared/src/utils/mudPoints.ts`、`PlatformMudPointWalletEntry`、`PlatformProfileRechargeModal`（池概览 3 列变 2 列、扣点顺序提示与泥点确认页文案随可见性切换）、`apps/admin-web/src/pages/AdminProfileWalletConfigPage.tsx`（每日免费允许填 0）、`server-rs/crates/module-runtime/{commands,errors,lib}.rs`；`daily_free_grant` / `daily_free_reset` 账本文案保留，历史流水不改写。
 - 验证：`cargo check -p module-runtime`、`cargo test -p module-runtime profile_wallet_config_allows_zero_daily_free_points`、`cargo fmt --check`、根 `npm run typecheck`、`npm run admin-web:typecheck`、共享层与 admin 定向 vitest 22/22、`npm run check:encoding`、`git diff --check` 通过。
 
-
 ## 2026-10-05 创作者主页与关注粉丝的产品边界
 
 - 产品已确认：桌面第四项“创作者主页”默认进入当前账号主页，“我的”移到第五项；他人的关注/粉丝列表公开可查看，自己或他人的两类列表均可点击用户进入其创作者主页。
@@ -9843,19 +9853,19 @@ CI 上 `background_agent_runtime_recovers_stale_running_before_pending_task` 在
 
 ## 2026-10-04：Direct 普通操作与交付复核解耦
 
-- 普通工具准入只检查原回合活动状态、时间预算、并发和既有权限，不要求先登记交付合同；成功/失败/取消只结算本次操作，删除全局 Draining 与执行/返修批次计数。
+- 普通工具准入只检查原回合活动状态、并发和既有权限，不要求先登记交付合同；成功/失败/取消只结算本次操作，删除全局 Draining 与执行/返修批次计数。
 - 验证失败和源码漂移影响对应证据，不阻断无关工作。远端不确定结果沿资源自身 operation/幂等记录核对；本地执行器失控或持久状态损坏仍结束回合。
-- 保留累计执行时间、整轮墙钟、原生执行前审批、关闭时清理与原回合写入/付费提交检查。模型执行结束时先关闭准入，确认清理后才允许交付反馈继续；普通失败不进入关闭阶段。
+- 累计执行与整轮耗时仅用于观测，保留原生执行前审批、关闭时清理与原回合写入/付费提交检查。模型执行结束时先关闭准入，确认清理后才允许交付反馈继续；普通失败不进入关闭阶段。
 - `validation.maxRuns` 只保留交付回复复核用途；合同的创建与两类要求简化见下条决策，视觉/玩法判据保持原样。图片工具仍等待结果，Codex 调度不变。
-- v2 执行账本只对白名单 v1 字段迁移，保留预算与终态，不恢复旧活动权限；没有可信时间记录的更早项目侧账本不授予同回合新预算。
+- 执行账本现为 v4，已发布 v1/v2/v3 只在加载边界白名单迁移，保留用时、复核计数与终态，不恢复旧活动权限；更早项目侧账本不能证明宿主归属，不授予同回合执行权限。
 - 权威边界与验收入口：[AI 游戏创作智能体 App 实施计划](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md#direct-操作控制2026-10-04)。Windows Job 退出证明仍须由 Windows 环境验收。
 
 ## 2026-10-04：Direct 合同按用户意图登记、正常响应结束后复核
 
-- 合同自动检查只在模型正常结束响应后触发；删除操作结算与补丁成功触发的提前封口，状态查询保持只读评估。异常终止与预算耗尽仍独立处理，不以证据齐备覆盖失败事实。
+- 合同自动检查只在模型正常结束响应后触发；删除操作结算与补丁成功触发的提前封口，状态查询保持只读评估。异常终止与交付复核次数耗尽仍独立处理，不以证据齐备覆盖失败事实。
 - 提示 Agent 在用户要求制作、完成或交付游戏时登记合同，由 Agent 理解用户意图；首次输入也按同一用户意图条件登记，提示与技能不另设空项目或首次输入的免登记说明。无合同既不阻断普通操作，也不阻断正常结束。
 - 删除 artifact/command 合同要求及宿主自动补入项，保留普通文件、命令与构建能力。视觉/玩法的现有判据和证据真实性校验不改，仅在主动注册后应用原有新 Web 视觉/玩法补充；用户于 2026-10-05 确认这两类检查保持现状。
-- 旧未完成合同不得因过滤退役要求变成成功；保留旧预算、终态和操作身份，版本迁移与恢复有独立验收。
+- 旧未完成合同不得因过滤退役要求变成成功；保留用时、复核计数、终态和操作身份，版本迁移与恢复有独立验收。
 - 权威规则：[Direct 合同规则](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md#宿主验收与执行许可合同)。运行时已实现；验证边界保留在主规范，不以协议夹具代替真实模型或 Windows 专项证据。
 
 ## 2026-10-05：Direct 重构手动 GUI 检查与范围收敛
@@ -9868,8 +9878,8 @@ CI 上 `background_agent_runtime_recovers_stale_running_before_pending_task` 在
 
 - 回合收尾和合同完成使用平台可证明的受控归属退役：Windows 为自有 Job，Unix 为受控进程组。进程组成功退出不再被完整子树标志误判为中断，但不宣称逃逸后代已退出；缺失或失败的清理仍阻止完成。
 - Linux 排除僵尸时必须保守处理不完整扫描；数字 PID 的读取/解析不确定性不能成为组已空的证据，已确认消失的 PID 可以忽略。
-- 正常关闭连接的迟到通知不创建或覆盖成功回合的终态报告；无合同收尾新产生的预算报告优先返回，其他真实关闭错误保留。
-- 权威边界见[Direct 合同规则](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md#宿主验收与执行许可合同)。视觉/玩法判据和预算值不变。
+- 正常关闭连接的迟到通知不创建或覆盖成功回合的终态报告；无合同收尾优先返回既有终态报告，其他真实关闭错误保留；收尾不再因宿主时间产生预算报告。
+- 权威边界见[Direct 合同规则](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md#宿主验收与执行许可合同)。视觉/玩法判据不变；宿主时间上限已由 2026-10-06 决策移除。
 
 ## 2026-10-05：AGC 标题栏项目标签评审后续（空态、视图门控与文案）
 
@@ -9880,3 +9890,10 @@ CI 上 `background_agent_runtime_recovers_stale_running_before_pending_task` 在
 - 仍有意不做：后台项目在菜单里是目录名；判定 `aria-current` 的路径匹配仍是 `projectPathsMatchForInvalidation`；不改 Rust、快照命令字段、公共 API 与持久化。
 - 验证方式：`npx vitest run apps/ai-game-creator-shell/tests/directActiveTurns.test.tsx apps/ai-game-creator-shell/tests/WindowChrome.test.tsx apps/ai-game-creator-shell/tests/workspaceWindowSync.test.tsx` → 25 passed；对照旧实现分别临时禁用 `launcherView` 门控、去掉面板空态守卫，对应用例各自转红。真机运行时证据仍缺，见里程碑文末「仍未取得证据」。
 - 关联：issue #618、本文件上一条（2026-10-04 标题栏项目标签）、`docs/project-memory/plans/【里程碑】Direct回合跨页面生命周期与运行中项目可见性-2026-09-15.md`（2026-10-05 修订）。
+
+## 2026-10-06：Direct 移除宿主运行时间上限
+
+- 删除累计执行与整轮墙钟上限、对应配置和专属计时任务，旧预算规则不再作为现行约束。用时统计仍用于观测。
+- Codex 15/110 分钟事件静默与 120 分钟硬上限、Claude 独立超时保持不变；取消、回合归属、并发、交付复核次数与进程退出证明继续有效。
+- 正式执行账本为 v4，旧上限只在已发布数据的加载迁移边界识别；不保留旧运行时路径。App 管理配置安全写回，共享只读配置不改源文件；旧终态与报告不重开。
+- 权威行为与验证边界见 [AGC 主规范](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md#direct-宿主运行时间上限移除2026-10-06)。

docs/project-memory/shared-memory/pitfalls.md

@@ -2,6 +2,45 @@
 
 这里只记录对当前开发仍有用的症状、根因、排查方法和风险边界。同一事实保留一个当前口径；退役对象的专属过程与单轮测试结果由 Git 历史追溯。遇到旧路径或版本时，以现行代码和专题文档为准。
 
+## 2026-10-05 PR #607 复核修复：档位点对齐/对比度、状态文案也走浮层、键盘去重、卸载 flush
+
+- **档位圆点已删除（D1 的收口）**：这一轮把档位圆点**整体删除**（半透明备选方案未采用）。现在滑块只剩轨道 + 圆钮：轨道 6px 圆头、已选段 `--platform-accent` 由 `--strength-ratio` 驱动、**终点落在圆钮中心**（`calc(10px + ratio * (100% - 20px))`）、圆钮 20px 实心暖白（`--platform-panel-fill` + `--platform-subpanel-border` 1px 描边 + `color-mix` 柔影）；强度区横向内边距 `4px 6px 2px` → `4px 0 2px`（滑块铺满卡片内容宽度，填充段与圆钮两端与轨道两端贴齐）；相关 CSS（`space-between` 排布 / `z-index: 2` 抬层 / `.is-active{opacity:0}` / 点的 `color-mix` 底色 / 只为点对齐的 `padding: 0 7px`）与渲染标记一并删除。**判据**：`chatDialogFrameLayout.test.ts` 反向守卫（样式表里不再有 `.project-chat-composer-strength-stops` 规则、组件源码不再渲染该类名；滑块契约仍在：宽 100% / 高 26 / 圆钮 20×20、强度区左右内边距 0）+ `home.suite.ts` 首页菜单里查不到那组点。实测（447 视口，像素扫描）：轨道 90..324（宽 234 = 卡片内容宽），档位 0 时圆钮左缘 90.5（距轨道左端 0.5px）、档位 4 时圆钮右缘 322.3（距右端 1.8px，扫描行不在圆钮正中所以略窄），填充段终点落在**圆钮中心**（`calc(10px + ratio * (100% - 20px))`，被圆钮盖住），因此圆钮右侧不会露出橙色（终点曾写成 `20px + …` = 圆钮右缘，4× 设备像素下能看到一小截溢出）。**历史成因（只留一句，细节由 Git 追溯）**：圆点此前被 6px 轨道盖住、且与圆钮两端错位 ±12.2px，曾用「抬到轨道之上 + space-between 对齐 + 浅暖色」修过一轮，最终整体删除。
+- **状态文案（`role="status"`）也会顶高那一排（D2）**：`notice`（「模型列表已刷新」「正在刷新模型列表」「默认模型已停用」、推理档读取/保存失败）原先无条件渲染成控件里的 `role="status"`，`toast` 形态只接管了 `error`，于是 Direct 输入区仍会被一行状态文字顶成两行高。现行口径：浮层**收进组件内部**（`components/common/composerNotice.tsx` 的模块级单例 + toast 宿主），失败与状态分两条通道各自去重（同一条只弹一次、清空后可再弹），失败 `tone="error"`、状态 `tone="neutral"`；**任何宿主**的输入区子树里都不再有常驻 `role="alert"` / `role="status"` 行，宿主的 `errorPresentation` / `onUnavailable` / `onNotice` / `noticePresentation` 这套分支已删除。判据：`chat-composer.suite.ts`「routes model-list notices to the toast…」断言 Direct 输入区子树里 `[role='status']` 与 `[role='alert']` **都为 0**，且浮层在输入区之外。
+- **键盘长按每个事件都落盘（D5）**：range 的方向键在 Chromium 里每次重复都会补 `change`，旧行为 ~30 次/秒全量写盘（写链 + 持久化 + 回读）。现行口径：`selectEffort` 先比对「最近一次**落盘成功**的档位」（`persistedEffortRef`，挂载回读时就种上），相同则不写；连续调整只写**每个新档位**一次，钳位后的重复事件 0 次。实测（真实按键序列）：单击方向键 **1** 次落盘；长按 1.5s（34 个重复事件）**4** 次（`low/medium/high/max`，即每个新档位一次）；已在最高档继续长按 1.2s（28 个事件）**0** 次。
+- **拖动中途卸载会丢档位（D6）**：预览值只在 `change`/`keyup`/`pointerup`/`blur` 落盘，拖到一半被 Esc 关掉菜单或宿主卸载时不会提交。现行口径：卸载 cleanup 里 flush 一次（读 ref，不碰已卸载组件的 state）。实测：拖动到「中」未松手时落盘 0 次，`unmount()` 后恰好 **1** 次（`medium`）；单次拖动（按下 + 6 步横移 + 松手）全程 **1** 次（`high`），终值 = 松手位置。
+- **`forced-colors` 下焦点不可见（D4）**：高对比模式会丢弃 thumb 的 `box-shadow`，而焦点环正是画在 thumb 上的阴影。现行口径：加 `@media (forced-colors: active)` 回退 `outline: 2px solid Highlight; outline-offset: 2px`（系统色，不算新色值；只在 forced-colors 生效，亮色观感不变）。
+- **注释与实现必须同口径（D9）**：`.resource-reference-input` 的 `min-height: 0 / padding: 0` 原先写在文件末尾那条六类规则里靠**源码顺序**盖住前面的 `min-height: 56px / padding: 0 0 4px`，与「不依赖源码顺序」的注释矛盾。现行口径：几何（内边距 / 高度下界）写回 11520 行那条六类规则，末尾那条只留网格与行距，注释同步改成"不依赖源码先后"。
+- **深色主题下焦点环间隙不可靠（D3，仅记录不改代码）**：间隙色取 `--platform-input-fill`，深色主题该 token 只有 5% 不透明（`rgba(255,255,255,0.05)`），间隙会与焦点环颜色几乎一样。当前工作台根节点固定 `platform-theme--light`，走不到这条分支；将来真要启用深色主题，把间隙换成不透明 token 再验一次。
+
+## 2026-10-05 模型菜单的观感是组件自带的共享样式面（首页同步复用）
+
+- **现象**：工作台那颗 `ConversationModelSelect` 已经改成「强度区 + 模型列表」的卡片观感，但首页输入区右下角那颗（`className="home-input-model-select"`，同一个组件）还是**旧卡片**：161px 窄卡、10px 圆角、5px 内边距、32px 行高、旧灰投影。首页与工作台应当是同一套观感。
+- **成因**：#600 那轮把卡片 / 列表的新观感全挂在 `.game-workbench-chat .project-chat-surface.is-direct-codex .project-chat-composer.is-direct-codex …` 这条**宿主祖先链**上，于是只有工作台那一处命中；同一个组件换个宿主就退回基础规则。
+- **处理（现行口径）**：卡片 / 列表 / 行 / hover / 选中 pill / 细滚动条这套观感抬到**组件自带的共享样式面**——选择器只用组件类名（`.conversation-model-select .conversation-model-menu-shell`、`.conversation-model-select .conversation-model-menu`、`… .conversation-model-menu button…`），**不带任何宿主祖先链**；留在宿主作用域的只有工具栏几何（控制排的宽高与收缩、队列 chip、模型触发钮），**弹层锚点也是组件级**（`position: absolute; right: 0; bottom: calc(100% + 8px); z-index: 20`，见下方"后续"）。合并形态（有外壳）与独立形态（策划/画布直接渲染菜单）**同一套值**：卡 16px 圆角 / 12px 内边距 / 1px `--platform-line-soft` 描边 / `--platform-desktop-hover-shadow`；行 34px、圆角 9px、hover `--platform-nav-item-icon-fill`、选中 `--platform-warm-bg` + 600；独立形态的卡片自己就是滚动区（`max-height: 194 = 170 + 上下各 12`，与合并形态同高），外壳形态的列表 `max-height: 170`（5×34，不出现半行）。
+- **首页强度区（分两步收口）**：先只同步了卡片观感（当时首页那颗没有 effort 的 state / props，`view/home/index.tsx` 只传 `className` 与 `disabled`，直接加强度区等于新增一个首页从未暴露过的设置项）；随后按要求把强度区一并对齐，见下方"后续"。
+- **判据/取证**：`tests/appSurface/home.suite.ts`「首页模型菜单复用同一套共享样式面」——首页实例的 `.conversation-model-menu` 的祖先链里**没有** `.game-workbench-chat`，而只靠 `.conversation-model-select …` 就能解析出 16px 圆角 / 12px 内边距 / 34px 行，且菜单里确实有原生滑块（`input[type="range"]` 带 `aria-label="思维强度"`）；`tests/chatDialogFrameLayout.test.ts` 的外壳用例按新选择器集合更新（锚点与卡片观感都来自共享面，工作台作用域只剩工具栏几何）。真机实测（无头 Chromium，同一夹具同一裁剪框）：首页那颗 161×309 / 10px / 5px / 32px → **260×194 / 16px / 12px / 34px**（与工作台卡片逐项一致）；工作台那颗外壳 260×262.5、内层列表 234×170、行 34/9px **前后逐值不变**。
+- **边界**：策划面与画布也复用同一个组件 → 它们的菜单观感同样变成这张卡片（有意为之；窄面板下卡片最小宽度 260px，仍受 `calc(100vw - 24px)` 与各自锚点约束）。若某个宿主需要另一套尺寸，在**该宿主作用域**里覆盖，不要再把观感抄第二份。
+- **后续（同一批收口）**：强度区与外壳锚点也一并抬到共享面——`view/home/index.tsx` 给首页那颗传了**同一个** `ComposerReasoningEffortSelect`（`presentation="section"`，读写仍是组件自己的 `read_game_creator_app_config` / `select_game_creator_reasoning_effort`），首页因此与工作台逐项同形：外壳 260×262.5、强度区 234×60.5、列表 234×170、滑块 222×26（447 与 1200 两档实测一致；工作台回归后逐值不变）。抬升时必须删掉工作台作用域里两条**死重**规则（给旧独立「推理档」控件排版的 `display: inline-flex` 一族），否则它们会以更高特异性盖掉共享面的 `display: grid`，把强度区重新算宽 24px。
+- **滑块两点（最终收口）**：档位圆点先是改成派生浅暖色、直径收到 6px（= 轨道高度），随后**整体删除**（见上面 D1 条）。「进度条高度与滑块高度一致」保留两种解释对照：**变体 A 落地**（填充段 = 轨道高度 6px），**变体 B**（填充段做成 20px = 圆钮高度）只在夹具里渲染出图、未提交。
+
+## 2026-10-05 给 `shared-contracts` 请求 DTO 加字段：`#[serde(default)]` 救不了 Rust 结构体字面量，AGC 壳编译失败会伪装成 `npm run dev:all` 起不来
+
+- **现象**：`npm run dev:all` 的根栈五个服务与 AGC Vite 都就绪、终端也会打印启动汇总，但 AGC 窗口始终不出现；stdout 里夹着 `error[E0063]: missing field `price_mud_points`in initializer of`GameDistributionCreateVersionRequest``（`src\game_distribution_publish.rs:1356`）和 `error: could not compile `genarrative-ai-game-creator-shell` (bin ...) due to 1 previous error`。编译失败不会让 `tauri dev` 退出，dev:all 只会一直挂着（`waitForAgcFrontend` 的 660s 预算耗尽后才收束整棵树），容易被误判成端口占用或根栈没起来。
+- **根因**：变更在 `server-rs/crates/shared-contracts/src/game_distribution.rs` 给请求 DTO 末尾追加了 `#[serde(default)] pub price_mud_points: u64`。`serde(default)` 只影响**反序列化缺字段**，Rust **结构体字面量仍必须列全字段**。AGC 壳 `apps/ai-game-creator-shell/src-tauri` 是**独立 cargo workspace**（自带 `[workspace]`，只把 `shared-contracts` 当 path 依赖），`server-rs` 侧的 `cargo test -p ...` 六个 crate 全绿也覆盖不到它。
+- **处理（现行口径）**：改 `shared-contracts` 里**请求 DTO 字段**时，必须同一次编译 AGC 壳：先 `npm run agc:bundled-resources:prepare`（`build.rs` 只做只读校验，未准备资源会以「随包插件存在未声明文件」失败关闭），再 `cargo check --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml --features=cocos-editor-execute,unity-editor-execute,godot-editor-execute`（约 30s，feature 与 dev/release 对齐）；完整口径是 `npm run ai-game-creator-shell:check:rust`。定价字段的取值口径分两段：**历史口径**（2026-10-05 之前）AGC 发布面板没有买断制定价入口，构造版本请求时显式按免费提交 `price_mud_points: 0`，与升级前行为一致；**现行口径** AGC 发布面板已支持「免费 / 买断制」定价，请求按作者选择从载荷透传价格，`#[serde(default)]` 仅用于向后兼容不传该字段的旧客户端（按免费处理）。
+- **边界**：`cargo check` **不能省 feature 参数**——默认 feature 下 `build.rs` 会因为已 staging 的 godot/unity 插件 DLL「不在当前 feature 组合的声明清单里」而红，那是资源准备前置条件，不是本次代码的编译错误。门禁本身**已经存在**：CI `.gitea/workflows/project-ci.yml` 的 `AI game creator shell Rust lane 1/2`、`lane 2/2` 各顺序跑两片 `npm run check:native-shells:agc-rust-shard-N`（底层 `ai-game-creator-shell:check:rust:shell` → `cargo test --locked` 编出壳 bin），本地同序列是 `npm run check:native-shells`。漏拦的原因是本地验证只跑了 `server-rs` 侧 crate、没等 MR/CI 上的 AGC lane，不是缺门禁；因为 2466 条 bin 单测跑满很贵，**不要**把整条 lane 塞进常用本地命令，只在改动 shared-contracts 请求 DTO 时补上面的 `cargo check`。
+- **判据/取证**：E0063 原文（`logs/dev-all-feature.log`）；修复后 `tauri dev` watcher 重建输出 `Finished `dev` profile [unoptimized + debuginfo] target(s) in 38.16s` 并拉起 `target\debug\genarrative-ai-game-creator-shell.exe`；同一 feature 组合 `cargo check` 退出码 0；`.app/dev-stack.json` 记录的实际端口下 api-server `/healthz`、主站 `/`、admin-web `/admin/`、AGC marker `/__agc_dev_server.json` 均 200。
+- **关联**：`server-rs/crates/shared-contracts/src/game_distribution.rs`、`apps/ai-game-creator-shell/src-tauri/src/game_distribution_publish.rs`、`.gitea/workflows/project-ci.yml`、`scripts/check-native-shells.mjs`。
+
+## 2026-10-05 付费游戏播放会话前缀落在 `/api/*`：边缘转发 Cookie 会让 iframe 与包内每个资源都 403
+
+- **现象**：付费游戏在真实浏览器里打不开——播放会话 `src`（`/api/game-distribution/play-sessions/<token>/`）本身和包内每个相对资源（JS/CSS/图片/音频）全是 403，同一份包的免费游戏 `/games/<gameId>/` 正常。
+- **原因**：播放会话前缀落在 `/api/*` 上，而通用 `/api` location 必须转发 Cookie（`/api/auth/*` 依赖 refresh cookie）；`api-server` 播放网关对带**可解析平台 refresh Cookie** 的请求返回 403（与发行网关同族的纵深防御，本次不放宽），于是沙箱 iframe 的每个同前缀请求都带 Cookie、都被拒。dev 侧同样复现：`vite.config.ts` 原本只对 `/games/...` 清 Cookie，`/api/game-distribution` 规则会转发 Cookie。
+- **处理（现行口径）**：三份 nginx 模板（`deploy/nginx/genarrative.conf`、`deploy/nginx/genarrative-dev-http.conf`、`deploy/container/nginx.conf`）在通用 `/api` location **之前**加 `location ^~ /api/game-distribution/play-sessions/`——`^~` 不能省，否则正则 location `~ ^/api(?:/|$)` 优先命中、Cookie 又被转发；代理头 / `client_max_body_size 210m` / `limit_conn` / `limit_req` / 超时 / 维护判断都与通用 `/api` 一致，只多一条 `proxy_set_header Cookie ""`。`vite.config.ts` 在 `/api/game-distribution` 之前加同名前缀规则（`proxyReq.removeHeader('cookie')`）。Pingora 侧对应 `RouteDecision::PlaySessionGateway`：路径原样走 api 上游，同样套 api 限流分组、大小上限与维护闸，差别只在新增的 `route_clears_cookie` 清空 Cookie（发行入口 `ReleaseGateway` 复用同一判定）。
+- **边界**：前缀**只匹配带尾斜杠**的形式——创建会话的 `POST /api/game-distribution/play-sessions`（以及 `POST /api/game-distribution/games/{gameId}/play-session`）需要账号凭证，必须继续走通用 `/api` 并保留 Cookie。网关的 403 拒绝保持不变，只在边缘/dev 保证请求不带 Cookie。
+- **门禁**：`npm run check:nginx-spa-routes` 对三份模板断言该 `^~` location 存在、块内清空 Cookie、代理头齐全且排在通用 `/api` location 之前（变异验证：删掉块内 `proxy_set_header Cookie "";` 立刻报「播放会话前缀 location 缺少代理片段」）；`npm run check:pingora-route-parity` 断言矩阵 `play_sessions_gateway` 用例声明清 Cookie 片段、不复用通用 `/api` location，且 Rust `classify_path` 的播放会话分支排在通用 `/api` 之前（变异验证：把矩阵片段换成通用 location、或在 Rust 里交换两个分支，各自单独判红）；`npm run check:pingora-gateway-smoke` 用真实网关二进制断言该前缀清 Cookie、创建会话端点保留 Cookie。三条都串在 `npm run lint` 链里，有自动调用方。
+- **关联**：`server-rs/crates/pingora-gateway/src/main.rs`、`deploy/pingora/nginx-route-parity.matrix.json`、`deploy/nginx/README.md`、`vite.config.ts`；另见本文件「主站 SPA allowlist 有三处真相源」条的「别踩」（发行入口不转发 Cookie 的同族规则）。
+
 ## 2026-10-05 自定义作者插槽应保留昵称降级语义
 
 - 游戏公开投影里的「创作者」「未知作者」是角色占位词。作者昵称 hook 已将加载中和查询失败分别转成 null 与空串，宿主不能再用 `|| game.author.name` 把占位词补回。
@@ -44,7 +83,7 @@
 
 - **现象 / 风险**：改动 `preview.rs` 的注入逻辑（`inject_preview_fit_bridge` / `build_preview_response` / `PREVIEW_FIT_BRIDGE_TAG`）时，没有自动化门禁会告诉你「标签没注入」或「注入了两次」。两种失效都只在运行时才暴露：没注入等于整套运行画面点选静默失效（桥脚本的尺寸上报与点选都不执行，页面看起来完全正常）；注入两次会让桥的监听、尺寸上报与点选回调各注册一遍，页面同样看不出差别。
 - **现状**：`preview.rs` 的 `mod tests` 只有 4 个用例——`npm_preview_requires_build_and_prefers_bundled_assets`、`root_layout_serves_root_entry_and_keeps_legacy_paths_available`、`root_layout_does_not_expose_control_or_data_directories`、`legacy_layout_serves_root_ui_modules`；它们只断言预览路由的选取、状态行与页面自身文本，不涉及桥标签是否出现、出现几次，也不覆盖 `scan_preview_fit_bridge_html` 的「页面已带标签就不重复注入」分支（`inject_preview_fit_bridge` 里的 `if scan.has_bridge_script { return html.into_bytes(); }`）。
-- **结论（现行口径）**：这类「把常量原样返回 / 标签字符串存在」的转发型行为不固化成长用例（仓库口径：复制与源码文本断言不进测试）。改注入逻辑时按人工验证清单核对：① 响应 HTML 里 ``<script src="/__genarrative/local-preview-fit.js"></script>`` 出现在 `</body>` 前，且是经典脚本（不带 `type` / `nomodule`）；② 页面自身已带该标签时，响应里的标签数量不增加；③ `/__genarrative/local-preview-fit.js` 返回 200，且内容与 `resources/preview/local-preview-fit.js` 逐字节一致（`include_str!` 内嵌，可比 sha256）。
+- **结论（现行口径）**：这类「把常量原样返回 / 标签字符串存在」的转发型行为不固化成长用例（仓库口径：复制与源码文本断言不进测试）。改注入逻辑时按人工验证清单核对：① 响应 HTML 里 `<script src="/__genarrative/local-preview-fit.js"></script>` 出现在 `</body>` 前，且是经典脚本（不带 `type` / `nomodule`）；② 页面自身已带该标签时，响应里的标签数量不增加；③ `/__genarrative/local-preview-fit.js` 返回 200，且内容与 `resources/preview/local-preview-fit.js` 逐字节一致（`include_str!` 内嵌，可比 sha256）。
 - **关联**：`apps/ai-game-creator-shell/src-tauri/src/preview.rs`（`PREVIEW_FIT_BRIDGE_SCRIPT` / `PREVIEW_FIT_BRIDGE_TAG` / `inject_preview_fit_bridge`）、`apps/ai-game-creator-shell/src-tauri/resources/preview/local-preview-fit.js`。
 
 ## 2026-10-04 Phaser 4 `hitTestPointer` 的返回顺序不是叠放顺序
@@ -71,6 +110,27 @@
 - **判据/取证**：Rust `cargo test … asset_generation_task` 27 条（含 `naming_task_stays_in_flight_across_ledger_reads_until_terminal`、`naming_task_update_requires_the_project_rename_permission`、`naming_task_update_rejects_a_record_from_another_project`、`naming_task_terminal_state_rejects_a_different_status_but_allows_the_same_one`、`ledger_with_an_unsupported_schema_version_fails_closed`、`ledger_without_a_schema_version_is_accepted_as_v1`）与 `conditional_project_rename_tests` 7 条（含超长名失败关闭）；前端 `homeProjectNamingAsync.test.tsx`（入队→running→终态的推进序列）、`projectNamingGenerationTaskRow.test.tsx`（行渲染）、appSurface 的「syncs the workbench title and recent project list with the AI name after creation」「recovers the naming row when the terminal event lands before the subscription is ready」「re-reads the naming ledger when the generation tasks panel opens」（后两条已做「改前红」验证：退回「先读后订阅 / 面板打开不补读」两条即红）。
 - **关联**：`apps/ai-game-creator-shell/src-tauri/src/asset_generation_tasks.rs`、`apps/ai-game-creator-shell/src/features/app-shell/useHomeProjectCreation.ts`、`apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationTaskModel.ts`、`apps/ai-game-creator-shell/src/view/project-development/index.tsx`。
 
+## 2026-10-04 输入区不放常驻状态行：那一排控件容不下第二行文字
+
+- **现象**：AGC 工作台输入区里模型失败提示常驻一行红字，工具条上还浮着一个半透明的「模型 ⌄」压在 `@ + 默认 ⌄` 那一排上；口径是「完全没对齐」，改成 toast。
+- **成因**：`ConversationModelSelect` 的 `[role='alert']` 曾被从 `bottom: 36px` 浮层收回控件排内（`flex: 1 1 100%` 独占一行），整颗模型控件因此变成两行高；工具条是 `align-items: center` 的 flex 行、行高由最高项决定，于是触发钮被顶到行线上方、提示落到行线下方——**不是"某个元素绝对定位压过来"，是行内多了一行文字**。
+- **处理（现行口径）**：输入区**不留常驻状态行**，与输入区同一排的失败提示一律走浮层。`ConversationModelSelect` 新增 `errorPresentation: 'inline' | 'toast'`（默认 `inline`，首页 / 策划 / 画布原样不动），Direct 输入盒传 `'toast'`，由 `ComposerModelNoticeToast` 复用外壳同一枚 `PlatformRuntimeStatusToast`（bottom-center portal、6s 自动收起）；触发时机是失败消息**新出现**时一次（同条去重，清空后可再报），不做每次渲染都弹；不可用态照旧挡住发送，但不靠文字行表达。文案同步去掉误解性的「本地」前缀（`llmModelCatalog.ts` / `clientApi.ts` → 「模型服务不可用」）。
+- **判据/取证**：`tests/appSurface/chat-composer.suite.ts`——不可用时产出 toast，且输入区子树里既没有 `[role='alert']` 也没有旧文案；模型失败只报一次、清空后再出现才再报。
+- **关联**：`features/project-workspace/ConversationModelSelect.tsx`、`view/project-development/chat/components/DirectProjectComposer/{DirectProjectComposer.tsx,ComposerControls.tsx}`、`src/styles.css`。
+
+## 2026-10-04 输入盒的强度选择并入模型菜单，底行只留一颗控件
+
+- 目标口径：**减少底部空间占用** —— 底行只能有模型触发钮一颗控件。思维强度不再单独占位，而是作为**强度区嵌在模型菜单顶部**（标题「思维强度」+「当前：最高」+ 原生 `<input type="range" min=0 max=4 step=1>` + 5 个档位点），与模型列表共用同一张卡（`.conversation-model-menu-shell`，向上展开、贴触发钮右缘，里层 `.conversation-model-menu` 回到文档流只负责滚动）。
+- **滑块不能放进 `role="listbox"` 子树**：参数控件混进菜单角色会让读屏进菜单模式后读不到它，所以外壳是普通容器（强度区 + listbox 并列），只能靠 `strengthSection` 这个显式 prop 由宿主注入。
+- 档位枚举、默认值、持久化通道（读 `read_game_creator_app_config`、写 `select_game_creator_reasoning_effort`）与旧下拉**完全一致**；`ComposerReasoningEffortSelect` 的 `presentation` 默认 `'dropdown'`（策划输入盒继续用，零语义变化），Direct 用 `'section'`；`ConversationModelSelect` 不传 `strengthSection` 时渲染与改动前逐字一致（首页 / 策划 / 画布不受影响）。
+- 关掉旧的独立触发钮（底行元素 2 → 1）；浮层的开合、Esc 与点击外部关闭都由模型菜单既有行为负责，强度区不再自带浮层。
+- **取舍**：强度区随菜单挂载，打开时先显示「默认」再回读成落盘档位（一次 IPC 往返），测试里要 `waitFor`；换掉这一点需要把档位状态提到宿主，暂不做。
+- **判据/取证**：`tests/appSurface/chat-composer.suite.ts`（底行不再有第二颗控件、菜单里改档落同一条持久化通道、Esc/点外部关闭、滑块不在 listbox 内）+ `tests/chatDialogFrameLayout.test.ts`（外壳向上展开 / 强度区网格 / 底行高度不增）+ `tests/appSurface/design-agent.suite.ts`（策划菜单里没有滑块）。
+- **视觉口径**：卡片与滑块的观感照 Codex 参考图，颜色只取我们自己的暖色 token——卡片圆角 16px、内边距 12px、极淡描边（`--platform-line-soft`）+ 既有暖色投影 token `--platform-desktop-hover-shadow`、**不画横贯分隔线**（只靠留白）；强度区标题 `--platform-text-strong` 12/600、右侧当前档位 `--platform-text-soft` 11px；轨道 6px 圆头，已选段 `--platform-accent`、未选段 `--platform-subpanel-border`（进度由组件写进来的 `--strength-ratio` 驱动渐变 `calc(20px + var(--strength-ratio) * (100% - 20px))`），圆钮 20px **实心**（`--platform-panel-fill`，不用半透明 token，避免透出已选段变成"靶心"）+ `--platform-subpanel-border` 1px 描边 + 从 `--platform-accent` 派生的 `color-mix` 柔影；档位点 7px 绝对定位叠在轨道**之上**（`z-index: 2` > range 的 1）、当前档位那一点隐藏（见本文件顶部 2026-10-05 那条的对齐算式与实测）；模型列表行高 34px、行圆角 9px、hover `--platform-nav-item-icon-fill`、选中 `--platform-warm-bg` 轻量 pill + 右侧对勾；列表 `max-height: 170px`（=5×34，不出现半行），滚动条 6px 且平时透明、悬停卡片才显形。
+- **实测（无头 Chromium 夹具，447px / 900px）**：卡片 260×263（圆角 16 / 内边距 12）、强度区 234×61、滑块 222×26、档位点 7px 且中心与轨道中线重合（点 270 / 轨道 269）、列表行高 34、`max-height` 170（内容 315 → 滚动）、默认档进度 0%，按 `End` 到 100% 且文案变「当前：最高」；卡片右缘未溢出视口。
+
+- **关联**：`features/project-workspace/ConversationModelSelect.tsx`、`view/project-development/chat/components/DirectProjectComposer/{DirectProjectComposer.tsx,ComposerControls.tsx}`、`src/styles.css`。
+
 ## 2026-10-03 后台异步回填被「进项目」覆盖：AI 项目名只在兜底名仍成立时改
 
 - **现象**（Issue 599）：首页建项把 AI 命名改成「与建项并行、结果后台回填」后，偶尔工作台标题停在兜底名（`GameAgent 项目 <短 id>`），而磁盘 manifest 已经是 AI 名字。
@@ -79,6 +139,15 @@
 - **判据/取证**：`npx vitest run apps/ai-game-creator-shell/tests/homeProjectNamingAsync.test.tsx` 的「keeps the AI name when the naming result lands before the project is entered」（去掉等待即复现兜底名覆盖）；appSurface 的「syncs the workbench title and recent project list with the AI name after creation」。
 - **边界**：条件改名的判据必须由宿主校验（项目 ID + 当前名称仍是兜底名），前端只转述 `expectedProjectId` / `expectedName`；用户已手动改名时宿主返回 `renamed: false`，回填整体跳过、绝不覆盖用户输入。
 - **关联**：`apps/ai-game-creator-shell/src/features/app-shell/useHomeProjectCreation.ts`、`apps/ai-game-creator-shell/src-tauri/src/commands.rs`。
+
+## 2026-10-03 AGC 输入区控件叠在一起：输入区内的操作排与状态提示不能用绝对定位
+
+- **现象**：#600 截图里用户输入区域「元素堆叠」——空草稿时「AI 润色」按钮就压在输入内容区右下角（实测与编辑器相交 28×24px），模型控件的失败提示「本地模型服务不可用」直接画在第 3~4 行文字上（70×36px，长草稿时把整段文字盖住）；面板越窄越糟：280px 面板下推理档整颗压在「添加文件」上（28×28px），「插入素材引用」与推理档也相交（20×28px）。
+- **原因**：两条「靠绝对定位把控件挪出流」的旧写法叠在一起：① `.resource-reference-input-actions` 被写成 `position: absolute; right: 0; bottom: 0`，浮到编辑器右下角（同一份样式早前其实是网格第二行，见文件里 11893 行那条注释，被后写的绝对定位规则盖掉）；② `ConversationModelSelect` 的 `[role='alert'] / [role='status']` 是 `bottom: 36px` 的浮层，锚点就在输入盒正下方，提示必然落在文字上。另外 `.project-chat-composer-controls-right` 写死 `flex: 0 0 auto`，宽度不够时既不收缩也不换行，整组向右溢出输入盒（360px 面板下溢出 34px、280px 下 114px）。
+- **处理（现行口径）**：`.project-chat-composer.is-direct-codex` 是单列网格（`gap: 8px`）；**控件全部集中在唯一一行工具条**——左组 `@` / `+`，右组 模型 / 语音 / **「AI 润色 / 恢复原文」（紧贴发送左侧）** / 发送，六颗 `flex-wrap: nowrap` 平铺（润色钮由 `ResourceReferenceInput` 的 `actionsPortalTarget` portal 进右组发送钮之前的挂点，不再自成一行；它与发送钮同为圆角矩形按钮，相邻成组，DOM / Tab 顺序都是 模型 → 麦克风 → 润色 → 发送）；状态/提示层只在有内容时占行（空输入态第二行为 0 高、行间距为 0，状态自己带 6px 上间距）。窄宽度用 `min-width` 兜（控件排 252px / 外壳 278px）+ 横向溢出可见：**不换行、不堆叠、不重叠**，发送钮仍可点击（夹具 `elementFromPoint` 命中）。模型钮封顶 160px 且名字走省略号（收缩由它承担），左组是固定 28px 动作钮、`flex: 0 0 auto` 不参与收缩。**模型失败提示后来改成走浮层**（见本文件顶部 2026-10-04 / 2026-10-05 两条）：控件排里既不留常驻红字、也不留常驻状态文字——「控件排内独占一行」那次快照已退役，行高回到由模型触发钮决定。
+- **判据/取证**：`apps/ai-game-creator-shell/tests/chatDialogFrameLayout.test.ts` 用层叠求值钉住单行工具条（240 / 280 / 296 / 320 / 360 / 438 / 900 七个宽度下 `flex-wrap` 都是 `nowrap`、控件排 `min-width: 252px`、外壳 `min-width: 278px`）、输入盒最高高度算式（12 盒内上内边距 + 160 编辑器 + 0 输入区行距 + 0 状态行 + 0 输入区下内边距 + 8 输入盒与工具栏行距 + **30 工具栏行高（模型触发钮 30px 撑起来，发送/语音是 28px）** + 12 盒内下内边距 = **222**），以及组件源码里润色钮渲染在工具条挂点（`actionsPortalTarget={controlsActionsSlot}`、挂点在控件排之后）；`tests/appSurface/project-development.suite.ts` 钉住 composer 的 `gap: 8px`。真实渲染对照见 #600 PR：同一夹具在 495/438/360/296/280px 面板 × 空 / 长多行 / 队列+提示 四态下，改前 2~4 处相交（含文字被提示盖住），改后 0 处相交、0 处溢出。
+- **关联**：`apps/ai-game-creator-shell/src/styles.css`（文件末尾「输入区工具栏与状态提示」区块）、`docs/【功能说明】AGC聊天AI润色与发送前提醒-2026-09-10.md`。
+
 ## 2026-10-03 AGC 随包 plugins 的 feature 档位必须与消费方一致，且门禁会因 build.rs 未重跑而假通过
 
 - **现象**：Windows 本机 `npm run check:generated-bindings`（`npm run lint` 链内，`scripts/check-repository-ci.sh` 的 Repository checks 也走它）在 `build.rs:167:29` panic：`插件随包资源校验失败：随包插件存在未声明文件：.../src-tauri/resources/plugins/agc-godot-editor/native/gdextension/bin/win-x64/agc_godot_editor.dll（目标 x86_64-pc-windows-msvc 与当前 feature 组合不允许；请先执行随包资源准备步骤）`；树上换成 `agc-unity-editor/dotnet/publish/win-x64/Agc.Unity.Attach.exe` 时报同一类错。反向还有更隐蔽的形态：门禁 2 秒就 exit 0 说「通过」，但 tree 上其实带着编辑器产物。
@@ -6408,7 +6477,7 @@ Cocos Creator 根目录由 `package.json.creator.version` 与普通 `assets/`
 - **根因**：`claude_code_cli.rs` 先把 AGC 进程继承来的 `ANTHROPIC_BASE_URL` / `ANTHROPIC_AUTH_TOKEN` 原样复制给 sidecar，再让它们优先于平台会话（`claude_base_url` 里 `std::env::var("ANTHROPIC_BASE_URL")` 排在 `.or_else` 最前，凭据有 `if … is_none()` 守卫因此永远不覆盖）。实测：直接跑 sidecar 探针，`claude.exe`（PID 43256）的两条 443 连接落在 `198.18.2.60` = 用户个人的 `yunyi.rdzhvip.com`，完全没碰 `dev.genarrative.world` / Router；同一个 token 对 `POST https://yunyi.rdzhvip.com/claude/v1/messages` 45 秒不返回（Bearer 与 `x-api-key` 都一样）。用户 `~/.claude/settings.json` 里的 env 反而无关——sidecar 用 `settingSources: []` 关掉了设置文件来源，事故来源是**进程环境**。
 - **现行口径**：cc 的路由与凭据只由 AGC 决定，本机 `ANTHROPIC_*` **完全不参与**（`claude_code_route` 的入参里没有进程环境）。官方模型 + 平台会话 → `{apiBaseUrl}/api/llm/anthropic` + `Bearer <平台 access token>`；`customEnabled` 或配了 `llm.apiKey` → AGC 配置的 baseUrl（自定义端点用 `x-api-key`，其余保持 Bearer）；没登录也没配 key 就报「cc 模式需要先登录陶泥儿账号」，不再退回本机环境。`ANTHROPIC_API_KEY` / `ANTHROPIC_AUTH_TOKEN` 也不再进 `copy_env` 白名单，只由解析出的路由下发。个人中转要走 AGC 的 `customEnabled` + baseUrl + apiKey，不做隐式继承。
 - **同时（配置隔离）**：sidecar 子进程把 `HOME`、`USERPROFILE`、`CLAUDE_CONFIG_DIR` 全部指向项目内隔离目录（`.agent/runtime/claude-code/home`）。只改 `HOME` 不够——Windows 上 Node 的 `os.homedir()` 只看 `USERPROFILE`，Claude Code 会照样读用户自己的 `~/.claude.json`（个人 `mcpServers`、插件市场、凭据）并把 `projects/`、`sessions/` 写回真实 profile。实测隔离前 CLI 先花 ~90 秒在个人配置上、真实 `~/.claude/sessions` 每次回合都被写；隔离后 `time_to_request_ms=41`，且只写隔离目录。
-- **同时（超时语义）**：`requestTimeoutMs`（默认 180000）在 cc 执行器里只作**静默预算**：sidecar 每有一条事件就重置，连续静默超过预算才按 `sidecar-turn-timeout` 收口；另有 `CLAUDE_CODE_TURN_MAX_DURATION`（45 分钟）兜底事件流假活，正常情况更早到的是 DirectProject 的 `maxTurnSeconds`。原来「整回合 180 秒墙钟」会把「网关慢但仍在下发事件」的正常回合掐死——实测 19:46 那轮 sidecar 一直在出事件，第 180 秒被墙钟杀掉。
+- **同时（超时语义）**：`requestTimeoutMs`（默认 180000）在 cc 执行器里只作**静默预算**：sidecar 每有一条事件就重置，连续静默超过预算才按 `sidecar-turn-timeout` 收口；另有 `CLAUDE_CODE_TURN_MAX_DURATION`（45 分钟）兜底事件流假活；DirectProject 的宿主墙钟上限已移除，不再存在更早触发的 `maxTurnSeconds`。原来「整回合 180 秒墙钟」会把「网关慢但仍在下发事件」的正常回合掐死——实测 19:46 那轮 sidecar 一直在出事件，第 180 秒被墙钟杀掉。
 - **排查手段**：sidecar 每次启动都写一行 `agent.direct_codex.claude_route source=<Platform|Custom|Config> host=<…> auth=<key|session|none>`（只写主机名，不含路径与凭据）。这一行是判断"回合到底发到哪个网关"的唯一低成本证据。
 - **注意**：日志脱敏标记包含 `credential`、`x-api-key`、`bearer `、`token=`、`api_key`，命中即整行替换成 `<sensitive diagnostic details redacted>`。诊断行只能写 `source=`/`host=`/`auth=` 这类自查过的字段（第一版写成 `credential=bearer`，整行被吃掉过一次）。
 - **验证**：`cargo test --features=cocos-editor-execute,unity-editor-execute,godot-editor-execute --bin genarrative-ai-game-creator-shell claude_code_cli::tests::` 11 passed，覆盖平台优先、自定义端点保留配置、未登录时不回落本机环境且报「先登录」、baseUrl `/v1` 归一化、主机名诊断、sidecar 环境隔离（`USERPROFILE`/`CLAUDE_CONFIG_DIR` 指向隔离目录且不带本机 `ANTHROPIC_*`）；另用本地假 Anthropic 端点跑通真 sidecar：`REQ HEAD /api/hello` → `REQ POST /v1/messages?beta=true auth=bearer` → `result=PROBE_OK`。