Merge branch 'master' into codex/game-rating-review

docs/project-memory/shared-memory/development-workflow.md

@@ -55,6 +55,8 @@
 
 Windows 下的移动壳 smoke 通过 Node 启动从当前 workspace 包解析出的 Expo/EAS CLI，不直接 `spawnSync('npm.cmd')`；保留原配置与导出断言。具体入口和警告清理边界见本地开发运维文档。
 
+AGC 的纯桌面/生产接入按模块排除测试编译，共享实现与受测入口保持可测试；拆分后同时检查普通目标和测试目标，并保留原有行为断言。命令注册与退出接线的源码检查跟随真实模块位置更新，不能因移动文件而漏检；不通过全局允许死代码或虚假调用消除告警。具体边界见开发运维文档“编译告警的保留边界与待优化项”。
+
 提示词外置变更运行 `runtime_prompt_bundle_build` 与 `prompt_source_boundaries` 两个 Rust 集成测试，验证编译期文本、目录登记和源码边界；现有 `agc-rust-shard-1` 本地/CI 入口先执行这组检查，再运行分片单测。
 
 提示词测试验证实际请求中的片段来源、动态参数和工具结构；措辞不作为逐字契约。已有行为测试覆盖的限制不再另设整段文案检查。Direct 回合测试复用生产的消息转换和文件投影函数，不维护仅供测试调用的回合编排副本。

docs/【开发运维】本地开发验证与生产运维-2026-05-15.md

@@ -316,6 +316,17 @@ npm run check
 
 ### 编译告警的保留边界与待优化项
 
+- 设计会话的水合、重置和调试快进通过共享核心验证损坏会话隔离、不确定批次恢复和事件失败后的落盘状态；仅 Tauri 包装限定生产编译，资源与模型客户端仍在原校验阶段之后按需加载。旧 UI 绑定、合并及语义建议命令已随现役 UI 工作流替换而删除；分离恢复测试验证已完成的绑定和图片不被重新生成，不代表首次生成全链路已覆盖。音频派发测试验证使用派发时的 revision、保留提交身份，并在远程上下文失败时保持 Prepared 账本及项目内容不变。
+- AGC 纯生产接入按模块限定 `cfg(not(test))`：桌面启动、Tauri 命令注册和没有测试消费者的命令接入集中到对应生产模块；共享业务实现、被测试直接调用的入口和现有断言仍参与测试编译。拆分不改变命令名、注册集合、权限校验或启动/退出顺序，也不新增 `allow(dead_code)`、虚假引用或仅为消警的测试。每批同时检查 AGC 普通目标和测试目标，源码结构检查跟随真实接线位置更新；不能用测试目标通过代替生产目标检查，也不以清零告警为由排除已有测试覆盖。
+- 插件/客户端扩展、模板库和预览的桌面命令与所属模块的共享实现分离：插件进程及权限逻辑、扩展仓库、模板访问授权/归档校验/建项、预览注册表与生命周期继续由原测试验证。模板命令和普通建项命令共用的 AppData 根目录选择接入随生产模块编译，用户所选目录的安全校验仍保留在共享实现中。
+- 编辑器适配器注册、随包资源定位和平台会话 fixture 加载属于桌面/Runner 启动接入，按生产模块编译；fixture 的发行版拒绝、路径边界、文件大小及凭据校验不得随拆分改变。配置 setup、Windows 提权 helper 的票据消费和 Runner bootId 初始化随其生产调用方限定范围，配置迁移、ACL 安全规则、平台身份/凭据轮换、编辑器执行回执及进程归属的已有测试继续编译。
+- 项目快照的周期调度、窗口事件、退出等待和桌面命令与共享同步核心分离；Analytics 的服务初始化、窗口/退出事件、上传定时启动和启动时补投同样属于生产接入。窗口登记状态机、快照索引与同步事务、埋点状态机、上传轮次和补投资格处理继续参与测试，不能用移除这些测试的方式消除告警。
+- Runner 服务监听循环、连接读写接入、心跳和 GUI owner 监控按生产边界编译；共享 RPC 分发、endpoint 校验、请求幂等、项目 owner 和生命周期测试继续参与测试。只读配置入口有 Unix 专属测试，必须保留 `any(not(test), unix)` 的使用范围，不能直接归入仅生产模块。
+- MCP 的 STDIO 启动和 Tauri 命令包装限定生产编译；loopback 启停、服务注册表、析构与工具桥启动属于 Claude Direct 的共享依赖，必须参与测试编译。认证链路调用的 `validate_platform_session_input`、线程队列使用的 `DirectGameCreatorTurnUpdateEmitter::new` 同样保留在测试编译中；Direct/设计工具及 UI 编辑器的纯命令包装随桌面入口编译。Thread Manager 的订阅/消费同时服务 Unix 集成测试与跨平台取消回合回归，不限定为生产或 Unix。项目资源的生产命令 DTO 与读取接入按实际消费者限定范围；分类更新测试从正式 camelCase 请求解码后验证同一身份与 revision 的写入，音频提交测试核对派发 operationId 与账本任务一致、幂等键不被替换。业务编排、网络鉴权和持久化安全逻辑不能仅因没有直接测试而整段排除。
+- Direct 取消入口必须验证错轮请求不取消、不释放、不发送终态；执行器退出后的残留守卫释放须返回原 clientTurnId，并发布对应 canonical userItemId 的 aborted 终态。旧守卫析构不能清掉随后启动的新回合。此类安全行为通过真实入口回归保留在测试构建，不以条件编译排除取消链。
+- 预览测试使用系统临时目录，不依赖 Windows 未必提供的 `HOME`。Cocos 插件 RPC 往返测试在注册完成后，通过只读状态查询确认插件已接收启动时的项目上下文，再执行原有隐式项目路径断言；Unity 跨项目测试先等待项目事件订阅，再切换项目。不能把注册完成等同于项目订阅快照已到达，也不能重试写操作掩盖初始化竞态。
+- AGC 测试编译使用 `cargo check --locked --offline --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -p genarrative-ai-game-creator-shell --tests` 定向核对。GUI 主入口在测试构建中被排除，不能把测试目标的 `dead_code` 一律认定为废弃生产代码；仅生产入口使用的导入限定 `not(test)`，平台测试导入与对应 Unix/Linux 测试保持相同条件，失去调用方的测试 helper 和多余重导出直接删除。DirectHome 命令配置测试明确断言禁用 `shell_tool` 与 `unified_exec`；Windows 路径校验的测试分支不触发宿主提权修复，修复范围参数仅由生产分支消费。
+- 测试 helper 的条件要覆盖真实使用范围：Unity delivery 观测 helper 限于 Windows x86_64 的 `unity-editor-execute` 测试，Agent DB 链接安全断言与 app-server 工作区启动包装限于 Unix 测试，模板假数据的环境变量读取限于 `template-library-fixtures` feature。底层生产实现与共享测试逻辑继续保留。仅检查完成阻塞协议固定中文措辞、且失去测试标记的遗留函数直接删除；现役自由执行请求使用短任务协议，不向其测试搬入标准模式的完成阻塞提示词要求，标准模式的生产协议保持不变。
 - AGC 默认 Windows dev 构建在 2026-09-23 清理后的 `cargo check --locked --offline --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -p genarrative-ai-game-creator-shell` 复核通过，剩余 3 条 AuthBridge 相关 Rust warning 和 5 条 ts-rs 提示。这是当次配置的检查结果，不代表后续提交、正式 editor features、其它平台、test targets、release 链接或安装包均无告警；后续按改动范围定向验证。
 - AuthBridge 的 3 条 warning 暂缓处理，支持或退役 OAuth 的决策仍未确定。完整证据、保留边界和关闭条件以 [AGC 主方案“OAuth 认证路线的契约冲突与待决边界”](./technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md#oauth-认证路线的契约冲突与待决边界)为准。
 - ts-rs 12.0.1 的 5 条提示来自四个枚举（`DirectCodexUserItem`、`DirectCodexUserContentPart`、`DirectThreadItem`、`DirectThreadEvent`）的 `serde(deny_unknown_fields)` 和图片组件的 `serde(deserialize_with = "deserialize_fill_amount")`。已静态核对 TypeScript 类型形状及基础类型正确、Serde 运行时校验仍有效；暂保留提示，不引入依赖补丁、不改业务校验或全局屏蔽，待上游正式版本支持后再评估。