完善AI游戏创作App本地工作区与Agent协作

补齐工作区启动器、非空目录确认和主窗口切换入口

改为运行时配置文件并支持全局与单Agent LLM Provider

接入平台 External API 生成和同步美术资产

补齐本地对话记录、Agent私有记忆和项目黑板

完善Agent状态、历史Run、快照、文件和资产快捷入口

同步AI游戏创作App实施计划和共享决策记录

docs/project-memory/shared-memory/decision-log.md

@@ -16,10 +16,22 @@
 
 ---
 
+## 2026-07-01 AI 游戏创作 App v1 使用本地 JSONL 对话和派生 Agent 状态
+
+- 背景：AI 游戏创作 App 已有 Godcoder 式本地工程护栏、项目黑板、角色私有记忆、manifest 和 run trace；新增结构化对话记录、agent 状态列表和单 agent 对话入口时，需要避免引入平行状态源或提前承诺后台 runner 能力。
+- 决策：v1 结构化对话记录统一使用本地 `.agent/conversations/` append-only JSONL。普通聊天写 `.agent/conversations/project.jsonl`；从 agent 状态列表进入单个 agent 后，用户消息、agent 回复、工具建议和错误只写对应 `.agent/conversations/agents/<agentId>.jsonl`。Agent 状态列表从 `.agent/manifest.json` 的任务 / 角色清单和 `.agent/run.latest.json` / `.agent/runs/<runId>.json` 的 step、taskGraph、passPlans、lifecycleStatus 派生，并把 `taskGraph.tasks` 的任务状态与 active / carry-over / ready 编排标记显示在主窗口和单 agent 对话入口中；单 agent 最近证据里的安全相对输入 / 输出路径只填入 `/read <path>` 草稿，仍由用户发送并走既有 `file.read` / `agent.trace_read` 权限流。不新增独立状态数据库。项目黑板和角色私有记忆继续只保存稳定摘要，不承载原始对话流水。
+- 补充：App 启动先进入独立启动器窗口；用户选择工作区后，Tauri 关闭启动器并打开主窗口，主窗口读取该工作区的主 conversation、manifest 和 run trace。启动器“新建项目”先调用 `init_local_game_project` 初始化成功，默认项目名取目标文件夹名，再写最近项目并打开主窗口；遇到非空目录时先弹确认，取消或初始化失败则不打开主窗口、不写最近项目。最近工作区只保存在本机 WebView storage，可单项移除或清空，不进入项目文件或共享记忆；已初始化项目优先显示 manifest 项目名并保留路径副信息，`.agent/run.latest.json` 可读时显示最近 run 状态。最近项目路径缺失、不是目录、缺少可读 `.agent/manifest.json` 或检查失败时禁用打开，刷新只重新执行只读检查；“显示”只用系统文件管理器打开已确认存在的本地目录，未初始化但存在的目录也可显示，避免把历史路径误当新项目重建。
+- 补充：主窗口“显示目录”复用同一只读目录打开能力，只打开当前本地项目目录，不初始化项目、不写项目文件、不切换工作区；主窗口头部只读显示 manifest 项目名、项目路径和最近 `.agent/run.latest.json` 的 run 状态摘要，并通过“刷新状态”重新读取同一 trace，不新增状态数据库。最近项目资产入口只读展示 localPath、kind、mediaType 和 source.kind，点击仍走原 `file.read` 权限流。
+- 补充：启动器和主窗口共用同一个运行时配置弹窗，配置只读写 Tauri 应用配置目录中的 `game-creator.config.json`，不写入项目文件或对话历史。
+- 补充：启动器“打开”只进入已初始化且 `.agent/manifest.json` 可读的 AI 游戏项目；路径不存在、不是文件夹或只是普通文件夹时不打开主窗口、不创建目录，用户需要创建或初始化时走“新建项目”。
+- 影响范围：`apps/ai-game-creator-shell` 的主窗口 agent 状态列表、单 agent 对话入口、本地项目文件结构、共享契约和 AI 游戏创作 App 实施计划。
+- 验证方式：文档更新先运行 `npm run check:encoding` 和 `git diff --check`；后续工程落地时补充壳 typecheck、Tauri Rust 测试和对话 JSONL / 状态派生的定向测试。
+- 关联文档：`docs/technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md`。
+
 ## 2026-06-30 AI 游戏创作 App 使用客户端配置文件
 
 - 背景：`apps/ai-game-creator-shell` 是客户端 App，不应通过 `.env` 或进程环境变量承载 LLM / 画板同步配置；旧口径会让本地 secrets、CLI wrapper 和桌面 App 启动逻辑混在一起。
-- 决策：仓库内 `apps/ai-game-creator-shell/game-creator.config.json` 只作为默认模板；发布 App 启动时在 Tauri 应用配置目录写入默认 `game-creator.config.json`，真实密钥和本机覆盖项都保存在该运行时配置文件中。主窗口提供“配置”面板读写该运行时 JSON；开发 CLI 无 AppHandle 时才回退读取仓库旁边的模板和 gitignored 本机覆盖文件。`llm.apiKey/baseUrl/model/protocol/stream/requestTimeoutMs/maxRetries/retryBackoffMs` 驱动真实 LLM 路径，`editorApi.baseUrl/apiKey` 驱动画板项目同步；`/llm-status` 只展示 baseUrl、model、protocol 和 API Key 是否存在，不显示密钥。
+- 决策：仓库内 `apps/ai-game-creator-shell/game-creator.config.json` 只作为默认模板；发布 App 启动时在 Tauri 应用配置目录写入默认 `game-creator.config.json`，真实密钥和本机覆盖项都保存在该运行时配置文件中。主窗口提供“配置”面板读写该运行时 JSON；开发 CLI 无 AppHandle 时才回退读取仓库旁边的模板和 gitignored 本机覆盖文件。`llm.apiKey/baseUrl/model/apiKind/stream/requestTimeoutMs/maxRetries/retryBackoffMs` 驱动全局 LLM 路径，`agentLlm.<agentId>` 可为 Planner、Generator 和角色 agent 单独覆盖 API Key、base URL、模型、API 类型和流式请求，空项继承全局配置；`editorApi.baseUrl/apiKey` 驱动画板项目同步；`/llm-status` 只展示全局和各 agent resolved 后的 baseUrl、model、apiKind、stream 和 API Key 是否存在，不显示密钥。生成游戏或平台美术遇到 LLM / editorApi 缺配置错误时，主窗口自动打开运行时配置弹窗，但错误消息仍只显示缺失项，不回显密钥值。
 - 影响范围：AI 游戏创作 App 的 Tauri Rust 配置加载、主窗口配置面板、CLI wrapper、agent-run smoke、`check-config` 门禁、`.gitignore` 和实施计划文档。
 - 验证方式：运行 `npm run ai-game-creator-shell:typecheck`、`cargo test --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml`、`npm run check:encoding` 和 `git diff --check`。
 - 关联文档：`docs/technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md`。
@@ -3841,7 +3853,7 @@
 - 2026-06-25 调整：正式用户 App 不承载游戏预览画面，release CSP 不允许 `frame-src http://127.0.0.1:*`；只有开发窗口 / dev CSP 可以嵌入本地预览 iframe。`/preview`、`/run` 和生成完成后的用户侧路径只启动 `127.0.0.1` HTTP preview 并通过 `open_local_game_preview` 交给系统外部浏览器。
 - 2026-06-25 调整：`project.create` 成功后的 durable 权限证据必须在聊天 `/project` 和开发窗口初始化两条入口统一写入 `.agent/logs/command.log`，避免同一能力因为入口不同导致 `/audit` 或开发排障证据不一致。
 - 2026-06-25 调整：`.agent/run.latest.json` 和 `.agent/runs/<runId>.json` 必须记录 loop 的 `maxPasses` 与 `stopReason`，开发窗口直接展示该状态，避免只从 summary 文案推断 loop 是否跑满、通过、返工、写入产物或进入预览。本地 HTTP 预览的 `/` 映射到 `game/index.html`，路径解析必须 canonicalize 项目根目录和目标文件，只允许访问项目内 `game/` 与 `assets/`，拒绝 `memory/`、`.agent/`、`exports/`、`..`、反斜杠和符号链接越界；常见图片、音频、视频和 Web 资源必须返回对应 MIME。这样上传和画板回流资产能被生成游戏引用，但记忆、trace 和导出包不会被预览服务暴露。
-- 2026-06-26 调整：AI 游戏创作 App 借鉴 Harbour 的控制平面思想，但不搬 Harbour 后台。最近 run 在 `.agent/run.latest.json` 增加可选 `lifecycleStatus`，并通过 `/agent-status`、`/agent-kill`、`/agent-retry`、`/agent-resume [说明]` 控制本地生命周期，写入 `.agent/activity.jsonl`、`.agent/output.jsonl` 和 `.agent/context.bundle.json`。v1 的 kill/retry/resume 只更新本地状态和上下文包，不伪装成能中断已发出的上游 LLM 请求；后续引入独立 runner 后再把 `pending` 接入 claim。
+- 2026-06-26 调整，2026-07-03 更新：AI 游戏创作 App 借鉴 Harbour 的控制平面思想，但不搬 Harbour 后台。最近 run 在 `.agent/run.latest.json` 增加可选 `lifecycleStatus`，并通过 `/agent-status`、`/agent-kill`、`/agent-retry`、`/agent-resume [说明]` 控制本地生命周期，写入 `.agent/activity.jsonl`、`.agent/output.jsonl` 和 `.agent/context.bundle.json`；聊天里的状态 / 控制结果可填入 `/read .agent/output.jsonl` 草稿继续查看 run 输出，但不直接读取文件或绕过 `file.read` 策略。v1 的 kill/retry/resume 只更新本地状态和上下文包，不伪装成能中断已发出的上游 LLM 请求；后续引入独立 runner 后再把 `pending` 接入 claim。
 - 2026-06-25 调整：本地 HTTP 预览静态 `HEAD` 必须返回与 `GET` 相同的真实 `Content-Length`，但不返回 body；浏览器、图片、音频和视频探测不能拿到 `Content-Length: 0` 的假响应。
 - 2026-06-25 调整：普通用户通过聊天输入 `/run` 触发待确认 `game.run_local`，确认后只能复用白名单 `game.static_smoke` 自检当前 `game/index.html`，通过后启动 `127.0.0.1` 本地 HTTP 预览。独立执行 `game.static_smoke` 时如果已有 `.agent/run.latest.json`，必须追加 `Playtest / game.static_smoke` trace step，避免“运行了代码但编排 trace 不可见”。
 - 2026-06-25 调整：普通用户通过聊天输入 `/trace` 触发只读 `agent.trace_read`，读取 `.agent/run.latest.json` 并在聊天里摘要 loop 轮次、stopReason、nextStep、active / carry-over 任务、repairRoutes、agent 建议命令和最近 step。trace 面板仍只在开发窗口展示，普通用户窗口不新增面板。
@@ -3852,11 +3864,12 @@
 - 2026-06-24 调整：同一本地项目多次 `game.generate_draft` 必须追加 `memory/session.md` 与 `memory/project.md`，不得覆盖历史对话和创作目标记录。
 - 2026-07-01 调整：AI 游戏创作 App 在 `memory/session.md` 与 `memory/project.md` 之外新增项目级黑板 `memory/blackboard.md`，只记录重要跨 agent 决策、依赖和风险摘要；每个角色 agent 拥有私有记忆 `memory/agents/<group>/<role>.md`。角色 brief 必须读取自己的私有记忆和项目黑板；`game.generate_draft` 通过 Evaluator 与 `game.static_smoke` 后，追加项目黑板摘要和各角色成功产出摘要，不得覆盖既有记忆。失败 run 仍只保留 trace 和 pass 快照，不写最终记忆摘要。
 - 2026-07-01 调整：AI 游戏创作 App 借鉴 Godcoder 的本地工程护栏，但只收敛到五项本地机制：`ArtifactWriter` 写入前 checkpoint、写入后 diff、用户确认 restore；进入 LLM 前过滤密钥和本机配置痕迹；`.agent/agent.db` 继续作为轻量 JSONL 项目索引，`/index` 额外刷新 `.agent/project.index.json`；同一项目写入通过 `.agent/project.lock` 串行化；`.agent/policy.json` 记录项目级命令拒绝 / 确认策略。v1 不引入通用 IDE 插件、云工作区、SQLite 或任意 shell 代理。
+- 2026-07-03 调整：主窗口最近 checkpoint 列表必须直接展示 checkpoint id、文件数、大小和创建时间，并只提供填充对比与确认回滚的轻量操作；回滚仍走 `project.restore` 确认卡，不在列表按钮中直接写项目文件。
 - 2026-06-24 调整：普通用户通过聊天输入 `/help` 发现可用内置命令；命令发现必须留在聊天消息里，不得因此暴露开发面板。
 - 2026-06-24 调整：聊天区待确认命令的日志语义必须区分 `permission.pending`、`permission.confirm` 和 `permission.cancel`；待确认卡片必须展示本地写入目标路径，避免用户在不知道落盘位置时确认。
 - 2026-06-24 调整：普通用户通过聊天输入 `/status` 读取 `.agent/manifest.json` 的项目状态摘要，只在聊天消息里展示项目目录、任务状态、资产数量、预览状态和最近命令；不得为了状态查看暴露任务、文件或日志面板。
 - 2026-06-24 调整：普通用户通过聊天输入 `/files` 触发只读 `file.list`，只在聊天消息里展示本地项目文件摘要；不得把文件读写面板暴露到普通用户窗口。
-- 2026-06-24 调整：普通用户通过聊天输入 `/assets` 触发只读 `asset.list`，只在聊天消息里展示本地项目资产路径、类型和来源；不得把资产面板暴露到普通用户窗口。
+- 2026-06-24 调整，2026-07-03 更新：普通用户通过聊天输入 `/assets` 触发只读 `asset.list`，只在聊天消息里展示本地项目资产路径、类型和来源；资产列表消息可以填入首个资产的 `/read` 草稿，方便从聊天继续查看资产文本元数据，但仍不直接读取文件或绕过聊天命令；不得把资产面板暴露到普通用户窗口。
 - 2026-06-24 调整：普通用户通过聊天输入 `/read 本地相对路径` 触发只读 `file.read`，只在聊天消息里展示项目内文本文件并截断长文本；不得开放聊天里的文件写入或删除能力。
 - 2026-06-24 调整：普通用户通过聊天输入 `/tasks` 触发只读 `task.list`，只在聊天消息里展示专业组、角色、任务状态和产物交接；不得把任务面板暴露到普通用户窗口。
 - 2026-06-24 调整：普通用户只能通过聊天触发内置命令；当前 `/smoke` 映射到白名单 `command.run_limited game.static_smoke` 并走待确认卡片，不允许扩展成任意 shell 或自由命令解析。