diff --git a/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md b/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
index 620dc164e..03b90abb8 100644
--- a/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
+++ b/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
@@ -302,7 +302,7 @@ GameBridge 禁止：
 - iOS / Android 深链打开作品详情、创作页和邀请码。
 - 登录和支付先 fallback 到 H5；只把能力边界跑通。
 
-当前状态：已新增 `apps/mobile-shell/`，通过 Expo development build 运行，`react-native-webview` 加载 H5 URL 并附加 `native_app` 宿主 query。移动壳使用真实品牌图标资产，已接入 `genarrative://` scheme、iOS associated domain 和 Android app link filter，启动和运行时 deep link 只会映射到同源 H5 路径并继续附加 HostBridge 上下文，外域和危险协议回退到默认主站入口。首轮真实能力包括 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.captureImage`、`scanner.scanQrCode`、`file.importAudio`、`file.exportAudio`、`haptics.impact`、`notification.showLocal` 和 Android 返回键回退；其中 `appearance.getColorScheme` 只读系统配色偏好，不强改 H5 或系统主题；`app.lifecycle` 通过 React Native `AppState` 注入 `active` / `inactive` / `background` 统一状态，供 H5 游戏循环、音频和轮询做真实暂停 / 恢复判断，H5 的 `useHostLifecycleActive()` 会把该事件归一成运行态可播放状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都按该状态在宿主进后台时暂停、回到前台且原播放条件仍满足时恢复；`network.status` / `network.statusChanged` 通过 `expo-network` 查询并订阅真实系统网络状态，供 H5 游戏运行态和生成页识别离线 / 弱网回退；iOS 额外声明 `app.setBadgeCount`，通过 Expo Notifications 查询 / 请求 `allowBadge` 权限，并以 `setBadgeCountAsync(count)` 的返回值确认应用图标角标是否设置成功，Android 不声明该能力。H5 会解析并过滤 `hostCapabilities`，也会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存能力，只对声明或回读到的能力展示入口或调用宿主能力；其中 `share.setTarget` / `share.open` 会解析统一分享目标里的 `title`、`message`、`url`、`work`、`path` 或 `targetPath` 并调用 React Native 系统分享面板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求；发布分享弹窗只有在宿主声明 `share.open` 时才提供“系统分享”动作，失败时保留复制链接回退路径；`navigation.openNativePage` 在 Expo 壳内只接受同源 H5 route 并切换 WebView URL，切换前会重新附加 `clientRuntime=native_app`、`hostShell=expo_mobile`、真实平台、版本和 capability 清单，确保宿主主动导航后的新页面仍按原生壳运行态启动；该能力不伪装尚未存在的登录、支付或其它原生页面，`navigation.canGoBack` 由 WebView 导航状态变化实时注入 H5，`app.reloadWebView` 只调用当前 `react-native-webview` 的 `reload()` 刷新内嵌 H5，不开放任意脚本执行或 URL 重写；WebView 自身拦截到外域导航时只会把 `http:`、`https:`、`mailto:`、`tel:` 且系统 `Linking.canOpenURL` 确认可打开的外链交给系统，危险协议或当前设备不可打开的外链直接阻断；`app.openExternalUrl` 也只允许同一协议白名单，并在 `Linking.canOpenURL` 确认可打开后才离开容器，否则返回 `host_error`；ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开 WebView 并交给系统浏览器；`clipboard.writeText` 由 H5 复制服务优先调用并写入系统剪贴板；`clipboard.readText` 通过 Expo Clipboard 读取纯文本剪贴板并按 100000 字符上限返回，不读取图片、HTML 或监听剪贴板变化；`file.exportText` 通过 Expo 文件系统写入缓存文本文件，再交给系统分享 / 保存面板，文件名必须清洗，单次文本不超过 5 MiB，成功只返回文件名和字节数；`file.importDocument` 通过 Expo DocumentPicker 打开系统文档选择器，只接受文本类文档和 DOCX，读取 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成 5 MiB 上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportImage` 通过 Expo 文件系统写入缓存图片，再交给系统分享 / 保存面板，H5 只传允许 MIME 的 base64 图片数据，单次不超过 5 MiB，分享卡下载会优先走该能力；`file.importImage` 通过 Expo ImagePicker 请求相册权限并打开系统相册选择器，只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把设备本地 URI 暴露给 H5，用户取消返回 `cancelled` 并由 H5 视作无选择；`file.captureImage` 通过 Expo ImagePicker 请求相机权限并打开系统相机拍摄图片，沿用同一 MIME、体积、base64 和文件名清洗规则，成功返回 `captured` 图片结果，不请求麦克风权限，也不把设备本地 URI 暴露给 H5；`scanner.scanQrCode` 通过 `expo-camera` 请求相机权限并打开 `CameraView` 扫描二维码，成功只返回清洗后的二维码文本和 `qr_code` 格式，空值、控制字符和超长文本按共享契约处理，用户关闭或权限拒绝返回明确错误并由 H5 保留现有扫码 fallback；通用创作图片输入面板 `CreativeImageInputPanel` 在原生壳声明 `file.importImage` / `file.captureImage` 时分别展示受控上传 / 拍摄图标动作，并把宿主返回结果转换为现有 `File` 上传回调，拼图、拼消消、敲木鱼等复用该面板的主图和描述参考图选择无需新增玩法分叉；反馈页上传凭证、个人资料头像上传、方洞结果页图片槽位上传和汪汪声浪结果页三图槽位上传在原生壳声明 `file.importImage` 时优先打开宿主系统图片选择器，并把宿主返回结果转回现有 H5 数据结构，其中反馈页继续复用原本的 4 张数量限制、单张 1 MiB、总 4 MiB 和 data URL 提交流程，头像继续复用现有图片类型、5 MiB 大小限制、方形裁剪和资料更新链路，方洞结果页继续写回现有封面 / 背景 / 形状 / 洞口槽位与自动保存链路，汪汪声浪结果页继续把图片交给 `uploadBarkBattleAsset` 上传和当前玩家 / 对手 / UI 背景槽位写回链路；`file.importAudio` 通过 Expo DocumentPicker 打开系统音频选择器，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，读取音频或生成 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportAudio` 通过 Expo 文件系统写入缓存音频，再交给系统分享 / 保存面板，H5 只传当前页面已持有的允许 MIME 音频 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数；通用音频输入面板 `CreativeAudioInputPanel` 在原生壳声明导入能力时优先调用宿主导入，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用现有 `readFileAsAsset(file, 'uploaded')` 处理链路；`haptics.impact` 通过 Expo Haptics 承接运行时轻触反馈，H5 在宿主不支持时回退到浏览器 vibration；`notification.showLocal` 通过 `expo-notifications` 请求系统通知权限并调度即时本地通知，Android 只使用固定本地 channel，不启用后台远程通知、远程推送 token 或定时提醒。登录和支付尚未接入渠道 SDK / 原生页面时明确返回 unsupported，让 H5 fallback 承接。
+当前状态：已新增 `apps/mobile-shell/`，通过 Expo development build 运行，`react-native-webview` 加载 H5 URL 并附加 `native_app` 宿主 query。移动壳使用真实品牌图标资产，已接入 `genarrative://` scheme、iOS associated domain 和 Android app link filter，启动和运行时 deep link 只会映射到同源 H5 路径并继续附加 HostBridge 上下文，外域和危险协议回退到默认主站入口。首轮真实能力包括 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`network.status`、`network.statusChanged`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.captureImage`、`scanner.scanQrCode`、`file.importAudio`、`file.exportAudio`、`haptics.impact`、`notification.showLocal` 和 Android 返回键回退；其中 `appearance.getColorScheme` 只读系统配色偏好，不强改 H5 或系统主题；`app.lifecycle` 通过 React Native `AppState` 注入 `active` / `inactive` / `background` 统一状态，供 H5 游戏循环、音频和轮询做真实暂停 / 恢复判断，H5 的 `useHostLifecycleActive()` 会把该事件归一成运行态可播放状态，WebAudio 背景音乐和拼图、抓大鹅等固定玩法 `<audio>` 背景音乐都按该状态在宿主进后台时暂停、回到前台且原播放条件仍满足时恢复；`network.status` / `network.statusChanged` 通过 `expo-network` 查询并订阅真实系统网络状态，供 H5 游戏运行态和生成页识别离线 / 弱网回退；iOS 额外声明 `app.setBadgeCount`，通过 Expo Notifications 查询 / 请求 `allowBadge` 权限，并以 `setBadgeCountAsync(count)` 的返回值确认应用图标角标是否设置成功，Android 不声明该能力。H5 会解析并过滤 `hostCapabilities`，也会在主 App 启动时通过真实 `host.getRuntime` 回读并缓存能力，只对声明或回读到的能力展示入口或调用宿主能力；其中 `share.setTarget` / `share.open` 会解析统一分享目标里的 `title`、`message`、`url`、`work`、`path` 或 `targetPath` 并调用 React Native 系统分享面板，分享 URL 只能归一到 `https://app.genarrative.world` 公开主站同源 URL，外域、协议相对 URL 和危险协议会拒绝请求；发布分享弹窗在 Expo 移动壳声明 `share.open` 时提供“系统分享”动作，失败时保留复制链接回退路径；`navigation.openNativePage` 在 Expo 壳内只接受同源 H5 route 并切换 WebView URL，切换前会重新附加 `clientRuntime=native_app`、`hostShell=expo_mobile`、真实平台、版本和 capability 清单，确保宿主主动导航后的新页面仍按原生壳运行态启动；该能力不伪装尚未存在的登录、支付或其它原生页面，`navigation.canGoBack` 由 WebView 导航状态变化实时注入 H5，`app.reloadWebView` 只调用当前 `react-native-webview` 的 `reload()` 刷新内嵌 H5，不开放任意脚本执行或 URL 重写；WebView 自身拦截到外域导航时只会把 `http:`、`https:`、`mailto:`、`tel:` 且系统 `Linking.canOpenURL` 确认可打开的外链交给系统，危险协议或当前设备不可打开的外链直接阻断；`app.openExternalUrl` 也只允许同一协议白名单，并在 `Linking.canOpenURL` 确认可打开后才离开容器，否则返回 `host_error`；ICP备案号和资产调试原图等 H5 外链入口在 `native_app` 中优先通过该能力离开 WebView 并交给系统浏览器；`clipboard.writeText` 由 H5 复制服务优先调用并写入系统剪贴板；`clipboard.readText` 通过 Expo Clipboard 读取纯文本剪贴板并按 100000 字符上限返回，不读取图片、HTML 或监听剪贴板变化；`file.exportText` 通过 Expo 文件系统写入缓存文本文件，再交给系统分享 / 保存面板，文件名必须清洗，单次文本不超过 5 MiB，成功只返回文件名和字节数；`file.importDocument` 通过 Expo DocumentPicker 打开系统文档选择器，只接受文本类文档和 DOCX，读取 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成 5 MiB 上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportImage` 通过 Expo 文件系统写入缓存图片，再交给系统分享 / 保存面板，H5 只传允许 MIME 的 base64 图片数据，单次不超过 5 MiB，分享卡下载会优先走该能力；`file.importImage` 通过 Expo ImagePicker 请求相册权限并打开系统相册选择器，只接受 `image/png` / `image/jpeg` / `image/webp`、单次不超过 10 MiB，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不把设备本地 URI 暴露给 H5，用户取消返回 `cancelled` 并由 H5 视作无选择；`file.captureImage` 通过 Expo ImagePicker 请求相机权限并打开系统相机拍摄图片，沿用同一 MIME、体积、base64 和文件名清洗规则，成功返回 `captured` 图片结果，不请求麦克风权限，也不把设备本地 URI 暴露给 H5；`scanner.scanQrCode` 通过 `expo-camera` 请求相机权限并打开 `CameraView` 扫描二维码，成功只返回清洗后的二维码文本和 `qr_code` 格式，空值、控制字符和超长文本按共享契约处理，用户关闭或权限拒绝返回明确错误并由 H5 保留现有扫码 fallback；通用创作图片输入面板 `CreativeImageInputPanel` 在原生壳声明 `file.importImage` / `file.captureImage` 时分别展示受控上传 / 拍摄图标动作，并把宿主返回结果转换为现有 `File` 上传回调，拼图、拼消消、敲木鱼等复用该面板的主图和描述参考图选择无需新增玩法分叉；反馈页上传凭证、个人资料头像上传、方洞结果页图片槽位上传和汪汪声浪结果页三图槽位上传在原生壳声明 `file.importImage` 时优先打开宿主系统图片选择器，并把宿主返回结果转回现有 H5 数据结构，其中反馈页继续复用原本的 4 张数量限制、单张 1 MiB、总 4 MiB 和 data URL 提交流程，头像继续复用现有图片类型、5 MiB 大小限制、方形裁剪和资料更新链路，方洞结果页继续写回现有封面 / 背景 / 形状 / 洞口槽位与自动保存链路，汪汪声浪结果页继续把图片交给 `uploadBarkBattleAsset` 上传和当前玩家 / 对手 / UI 背景槽位写回链路；`file.importAudio` 通过 Expo DocumentPicker 打开系统音频选择器，只接受 `audio/mpeg`、`audio/mp4`、`audio/wav`、`audio/ogg`、`audio/webm` 或对应扩展名，单次不超过 20 MiB，读取音频或生成 base64 前必须先通过 picker `size` 或 Expo `File.size` 拿到可信 byte count 并完成上限校验，成功只返回清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI；`file.exportAudio` 通过 Expo 文件系统写入缓存音频，再交给系统分享 / 保存面板，H5 只传当前页面已持有的允许 MIME 音频 base64 数据，单次不超过 20 MiB，成功只返回文件名和字节数；通用音频输入面板 `CreativeAudioInputPanel` 在原生壳声明导入能力时优先调用宿主导入，在声明导出能力且当前资产为本地 `Blob` 时展示导出入口，并继续复用现有 `readFileAsAsset(file, 'uploaded')` 处理链路；`haptics.impact` 通过 Expo Haptics 承接运行时轻触反馈，H5 在宿主不支持时回退到浏览器 vibration；`notification.showLocal` 通过 `expo-notifications` 请求系统通知权限并调度即时本地通知，Android 只使用固定本地 channel，不启用后台远程通知、远程推送 token 或定时提醒。登录和支付尚未接入渠道 SDK / 原生页面时明确返回 unsupported，让 H5 fallback 承接。
 
 2026-06-18 追加：移动壳当前通用真实能力完整清单为 `host.getRuntime`、`appearance.getColorScheme`、`host.events`、`app.lifecycle`、`share.open`、`share.setTarget`、`navigation.openNativePage`、`navigation.canGoBack`、`app.reloadWebView`、`app.openExternalUrl`、`network.status`、`network.statusChanged`、`clipboard.writeText`、`clipboard.readText`、`file.exportText`、`file.importText`、`file.importDocument`、`file.exportImage`、`file.importImage`、`file.captureImage`、`scanner.scanQrCode`、`file.importAudio`、`file.exportAudio`、`haptics.impact` 和 `notification.showLocal`。
 
diff --git a/scripts/check-native-shells.mjs b/scripts/check-native-shells.mjs
index 745a54b8b..4fea83d36 100644
--- a/scripts/check-native-shells.mjs
+++ b/scripts/check-native-shells.mjs
@@ -1578,6 +1578,7 @@ function assertNativeShellCapabilityPlan() {
     '深链、系统分享、即时本地通知',
     '重复执行支付、登录、系统分享、文件导入导出',
     '发布分享弹窗只有声明 `share.open` 时才显示“系统分享”',
+    '发布分享弹窗只有在宿主声明 `share.open` 时才提供“系统分享”动作',
   ]) {
     if (
       planSource.includes(staleShareWording) ||
@@ -1592,6 +1593,7 @@ function assertNativeShellCapabilityPlan() {
   for (const requiredShareWording of [
     '深链、受控分享动作、即时本地通知',
     '重复 `id` 不得重复执行支付、登录、受控分享动作、文件导入导出',
+    '发布分享弹窗在 Expo 移动壳声明 `share.open` 时提供“系统分享”动作',
     '发布分享弹窗在 Tauri 桌面壳中展示“复制分享文案 / 已复制 / 复制失败”',
     '并按 `hostShell` 区分 Expo 系统分享面板和 Tauri 剪贴板复制表达',
   ]) {