移除AGC正式渠道产品名后缀

- release 渠道复用正式产品名陶泥儿，安装包与更新归档不再包含 Release 文本。 - 保留 release identifier 与 release-win/release-mac 更新分区，更新渠道身份回归测试。 - 同步客户端发布、运维与项目记忆文档。
2026-09-30 11:49:11 +08:00
parent 7b04830a02
commit b7862288d0
11 changed files with 49 additions and 32 deletions
@@ -228,7 +228,7 @@ test('channel install identity isolates co-installed builds and keeps the defaul
    identifier: AGC_APP_IDENTIFIER,
  });
  assert.deepEqual(resolveChannelInstallIdentity('release'), {
-    productName: '陶泥儿 Release',
+    productName: AGC_PRODUCT_NAME,
    identifier: `${AGC_APP_IDENTIFIER}.release`,
  });
  assert.deepEqual(resolveChannelInstallIdentity('beta-2'), {
@@ -236,13 +236,24 @@ test('channel install identity isolates co-installed builds and keeps the defaul
    identifier: `${AGC_APP_IDENTIFIER}.beta-2`,
  });

-  // 同一台设备上不同渠道的安装目录、卸载项与数据目录必须互不相同。
-  for (const channel of ['release', 'beta-2', 'a'.repeat(32)]) {
+  // release 与其它非默认渠道通过独立 identifier 隔离运行身份与数据目录；
+  // 自定义渠道另外保留可区分的产品名。
+  for (const channel of ['beta-2', 'a'.repeat(32)]) {
    const identity = resolveChannelInstallIdentity(channel);
    assert.notEqual(identity.productName, AGC_PRODUCT_NAME);
    assert.notEqual(identity.identifier, AGC_APP_IDENTIFIER);
    assert.ok(identity.identifier.startsWith(`${AGC_APP_IDENTIFIER}.`));
  }
+  assert.equal(
+    resolveChannelInstallIdentity('release').identifier,
+    `${AGC_APP_IDENTIFIER}.release`,
+  );
+  for (const channel of ['release', 'beta-2', 'a'.repeat(32)]) {
+    assert.notEqual(
+      resolveChannelInstallIdentity(channel).identifier,
+      AGC_APP_IDENTIFIER,
+    );
+  }

  for (const channel of ['dev-win', 'Release', 'win', 'beta-']) {
    assert.throws(
@@ -255,7 +266,7 @@ test('channel install identity isolates co-installed builds and keeps the defaul
 test('channel install identity is baked into the same build-time config as the endpoint', () => {
  withEnv({ AGC_UPDATE_OSS_BASE_URL: undefined }, () => {
    const config = createChannelConfig('release', windowsTarget);
-    assert.equal(config.productName, '陶泥儿 Release');
+    assert.equal(config.productName, AGC_PRODUCT_NAME);
    assert.equal(config.identifier, `${AGC_APP_IDENTIFIER}.release`);
    assert.match(
      config.plugins.updater.endpoints[0],
@@ -420,7 +431,7 @@ test('channel config keeps the client window contract across the Tauri config me
  const [clientWindow] = merged.app.windows;
  assert.deepEqual(clientWindow, {
    ...base.app.windows[0],
-    title: '陶泥儿 Release',
+    title: AGC_PRODUCT_NAME,
  });
  // 原生标题栏、尺寸与默认窗口标签都是回归点：任何一项回落都会让自绘标题栏失效，
  // 并让按 label 绑定的 capability（剪贴板 / 原生对话框 / opener / updater 权限）不再命中。
@@ -499,10 +510,7 @@ test('packaged renderer receives the same channel as the updater manifest', () =
    },
  });
  assert.equal(spawnOptions?.env?.VITE_AGC_PLATFORM_CHANNEL, 'release');
-  assert.equal(
-    spawnOptions?.env?.VITE_AGC_PRODUCT_NAME,
-    `${AGC_PRODUCT_NAME} Release`,
-  );
+  assert.equal(spawnOptions?.env?.VITE_AGC_PRODUCT_NAME, AGC_PRODUCT_NAME);
 });

 test('macOS manifests advertise exactly the architectures actually built', () => {
@@ -46,7 +46,7 @@ export function resolveReleaseChannel(env = process.env) {
  return validateReleaseChannel(env.AGC_UPDATE_CHANNEL?.trim() ?? 'dev');
 }

-/** 安装身份里的展示后缀：`dev` → `开发版`，`release` → `Release`，`beta-2` → `Beta-2`。 */
+/** 安装身份里的展示后缀：`dev` → `开发版`，`beta-2` → `Beta-2`；release 复用正式产品名。 */
 export function channelDisplaySuffix(channel) {
  if (channel === AGC_DEFAULT_CHANNEL) return '开发版';
  return validateReleaseChannel(channel)
@@ -57,7 +57,8 @@ export function channelDisplaySuffix(channel) {

 /**
 * 渠道对应的安装身份。默认渠道保持既有 identifier 以兼容已安装客户端，
- * 但展示名明确标记为开发版；其它渠道派生独立 identifier，保证同一台设备上并存。
+ * 但展示名明确标记为开发版；release 复用正式产品名，其它渠道带展示后缀；
+ * 所有非默认渠道都派生独立 identifier，保证同一台设备上并存。
 */
 export function resolveChannelInstallIdentity(channel = AGC_DEFAULT_CHANNEL) {
  validateReleaseChannel(channel);
@@ -65,7 +66,9 @@ export function resolveChannelInstallIdentity(channel = AGC_DEFAULT_CHANNEL) {
    productName:
      channel === AGC_DEFAULT_CHANNEL
        ? `${AGC_PRODUCT_NAME}开发版`
-        : `${AGC_PRODUCT_NAME} ${channelDisplaySuffix(channel)}`,
+        : channel === 'release'
+          ? AGC_PRODUCT_NAME
+          : `${AGC_PRODUCT_NAME} ${channelDisplaySuffix(channel)}`,
    identifier:
      channel === AGC_DEFAULT_CHANNEL
        ? AGC_APP_IDENTIFIER
@@ -2012,9 +2012,9 @@ fn show_startup_error_dialog(log_path: Option<&Path>) {
    }
 }

-/// 客户端产品名跟随构建期渠道身份：默认渠道是「陶泥儿」，其它渠道带渠道后缀
-/// （例如「陶泥儿 Release」）。同机并存的渠道客户端因此在窗口标题、任务栏与
-/// Alt-Tab 里可区分；默认渠道结果不变。
+/// 客户端产品名跟随构建期渠道身份：dev 渠道是「陶泥儿开发版」，release 渠道复用
+/// 正式产品名「陶泥儿」，自定义渠道带渠道后缀。非默认渠道通过 identifier 隔离
+/// 本地数据与运行身份；默认渠道结果不变。
 pub(crate) fn game_creator_product_name(app: &tauri::AppHandle) -> String {
    app.package_info().name.clone()
 }
@@ -37,7 +37,7 @@
 - `node --test build-release.test.mjs release-oss.test.mjs prepare-macos-codex.test.mjs cargo-features.test.mjs`：64/64 通过（新增渠道身份、身份注入与渠道 DMG 首装选择三条用例）。
 - `node apps/ai-game-creator-shell/scripts/check-config.mjs`、`npm --prefix apps/ai-game-creator-shell run typecheck`：通过。
 - `cargo test --locked --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml --bin genarrative-ai-game-creator-shell -- config::private_path_elevation_policy_tests`：12/12 通过。
- `AGC_UPDATE_CHANNEL=release npm --prefix apps/ai-game-creator-shell run build -- --no-bundle --debug`：Tauri 接受派生的 `productName` / `identifier` 并完成构建；产物字符串实测 `陶泥儿 Release` × 1、`agc/release-win/latest.json` × 1、`world.genarrative.ai-game-creator.release` × 1、`agc/dev-win/latest.json` × 0。
+- `AGC_UPDATE_CHANNEL=release npm --prefix apps/ai-game-creator-shell run build -- --no-bundle --debug`：Tauri 接受 `productName=陶泥儿` / `identifier=world.genarrative.ai-game-creator.release` 并完成构建；产物字符串实测 `陶泥儿` × 1、`agc/release-win/latest.json` × 1、`world.genarrative.ai-game-creator.release` × 1、`agc/dev-win/latest.json` × 0。
 - `cargo fmt --check`（AGC 壳）、`npm run check:encoding`、`npm run check:doc-index`、`git diff --check`：通过。
 - 未执行：真实渠道打包（需要签名私钥与发号/上传授权）、双渠道真机安装与并存、macOS 节点实跑。

@@ -31,7 +31,7 @@
 ## 验收标准

 - [x] 默认渠道的 `productName` / `identifier` 与基线配置逐字一致，既有安装与升级链不断（`check-config.mjs` + 渠道身份用例）。
- [x] `release` 与自定义渠道派生独立 `productName` 与 `identifier`，与 `dev` 可在同一台设备并存（源码级；真机安装见下方未完成项）。
+- [x] `release` 复用正式 `productName`、自定义渠道派生带后缀的 `productName`，所有非默认渠道派生独立 `identifier`；与 `dev` 可在同一台设备并存（源码级；真机安装见下方未完成项）。
 - [x] 渠道产物（NSIS `.exe`、`.app.tar.gz`、DMG）与首装包选择跟随渠道身份且唯一匹配（发布脚本用例）。
 - [x] 非默认渠道的客户端数据目录、WebView2 目录与窗口标题跟随渠道身份（构建产物字符串实测 + 运行期标题取产品名）。
 - [x] AGC 自有 AppData 目录的 ACL managed 范围覆盖全部渠道身份，且不扩大到相似前缀目录（Rust 定向 12/12）。
@@ -1,5 +1,11 @@
 # 决策记录

+## 2026-09-30 release 渠道移除产品名与包名后缀
+
+- 决策：`release` 渠道的正式产品名统一为 `陶泥儿`，Windows NSIS、macOS DMG / updater 归档等由 Tauri `productName` 派生的包名不再包含 `Release` 文本；`identifier=world.genarrative.ai-game-creator.release` 与 `release-win` 更新分区保持不变。
+- 边界：`dev` 继续显示 `陶泥儿开发版`；自定义渠道继续使用 `陶泥儿 <渠道显示名>`，因此清单 URL 仍需保留对合法百分号编码空格的兼容。
+- 验证：`node --test apps/ai-game-creator-shell/scripts/build-release.test.mjs`、`node apps/ai-game-creator-shell/scripts/check-config.mjs`、`npm run check:encoding`、`git diff --check`。
+
 > 用途：只记录当前仍有效、会影响后续开发的长期技术、产品与协作结论；同一事实只保留一处当前口径。
 > 维护：阶段过程、分支合并和当轮测试数字由 Git 追溯；实现依据以当前代码和最新专题文档为准。
 > 格式：参见[决策记录格式](../README.md#决策记录格式)，按需填写。
@@ -147,12 +147,12 @@
 - **处理**：契约期望同步包含现有 OSS HTTPS 项，保留完整白名单精确比较；不得删除业务所需权限或改成任意 URL 放行。更新下载与素材直传是不同调用链，变更能力配置时同步检查调用方和契约。
 - **验证**：运行 `npm run check:native-shells:contract` 与 `apps/ai-game-creator-shell/tests/assetDirectUpload.test.ts`；缓存完整性以实际 artifact 和导出日志为准，不能仅看上传 step 是否成功。

-## release 安装包文件名中的编码空格不能按控制字符拒绝
+## 旧版 release 安装包文件名中的编码空格不能按控制字符拒绝

 - **现象**：release 环境点击“下载客户端”只显示无法获取最新版本，`GET /api/client-downloads` 返回 `502 UPSTREAM_ERROR`；dev 环境正常。
- **原因**：release 渠道产品名为“陶泥儿 Release”，NSIS 首装包名因此包含空格，OSS `latest.json` 中的 URL 使用 `%20`。`validate_download_url` 的百分号解码校验把 `0x20` 当成控制字符拒绝，Windows 清单被判非法；release macOS 清单当时又未发布，聚合后两端都无下载项并返回 502。
- **处理（现行口径）**：清单 URL 校验允许百分号编码的空格，继续拒绝其它控制字符、`/`、`\`、DEL、非法编码和跨目录文件名；不得通过改写真实产物名绕过校验。
- **验证**：`platform-oss` 用 `陶泥儿%20Release_0.1.110_x64-setup.exe` 做清单解析回归；线上修复后接口应返回 release Windows 下载项，macOS 未发布时进入 `unavailablePlatforms`。
+- **原因（历史）**：旧版 release 渠道产品名带英文渠道后缀，NSIS 首装包名因此包含空格，OSS `latest.json` 中的 URL 使用 `%20`。`validate_download_url` 的百分号解码校验把 `0x20` 当成控制字符拒绝，Windows 清单被判非法；release macOS 清单当时又未发布，聚合后两端都无下载项并返回 502。
+- **处理（现行口径）**：release 渠道现复用正式产品名 `陶泥儿`，不再生成带 `Release` 文本的包名；清单 URL 校验仍允许合法的百分号编码空格，以兼容自定义渠道产品名，同时继续拒绝其它控制字符、`/`、`\`、DEL、非法编码和跨目录文件名。
+- **验证**：`platform-oss` 继续覆盖带编码空格的自定义渠道文件名，并用 `陶泥儿_0.1.110_x64-setup.exe` 做 release 清单解析回归；线上接口应返回 release Windows 下载项，macOS 未发布时进入 `unavailablePlatforms`。
 - **关联**：`server-rs/crates/platform-oss/src/client_downloads.rs`、`apps/ai-game-creator-shell/scripts/build-release.mjs`、`docs/technical/【技术方案】AGC客户端更新检查与下载-2026-08-31.md`。

 ## 客户端图标素材描述不能先包装再截断
@@ -166,7 +166,7 @@

 - **现象**：在一台已经装了某个渠道 AGC 客户端的设备上安装另一个渠道的安装包，装完后旧客户端直接消失（安装目录被覆盖、卸载项被接管），更新端点、平台服务器与本地登录态一起换成新渠道的；两个渠道的客户端无法共存。
 - **原因**：渠道此前只烘焙了 `plugins.updater.endpoints` 与 `VITE_AGC_PLATFORM_CHANNEL`（`apps/ai-game-creator-shell/scripts/build-release.mjs` 的 `createChannelConfig`），`productName` / `identifier` 用的是渠道无关的基线值。Tauri 的 Windows 安装目录与卸载项由 `productName` 决定，WebView2 数据目录与客户端数据目录由 `identifier` 决定，于是所有渠道落到 `%LOCALAPPDATA%\陶泥儿`、`HKCU\...\Uninstall\陶泥儿` 与 `%APPDATA%\world.genarrative.ai-game-creator`。
- **处理（现行口径）**：渠道进入安装身份，默认渠道保持基线身份不变，其它渠道派生 `<产品名> <渠道显示名>` 与 `<基线>.<渠道>`；身份与端点在同一次构建期 `--config` 注入。见决策记录 2026-09-21 条目。
+- **处理（现行口径）**：渠道进入安装身份，`dev` 保持既有开发版身份，`release` 复用正式产品名但保持独立 identifier，自定义渠道派生 `<产品名> <渠道显示名>` 与 `<基线>.<渠道>`；身份与端点在同一次构建期 `--config` 注入。见决策记录 2026-09-21 与 2026-09-30 条目。
 - **核对方式**：装完任渠道的包后看 `HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\<产品名>` 的 `InstallLocation`、`%APPDATA%\<identifier>` 与主程序窗口标题是否按渠道分开；同名安装目录或同名数据目录说明身份没有生效。
 - **易错点**：只改安装包文件名或快捷方式名而不改 `identifier`，两个渠道仍会抢同一份 Agent Runner / 项目锁与登录态；反过来把渠道后缀加在默认渠道上，既有安装的升级链会断（客户端认不出旧安装）。相似前缀目录（如 `world.genarrative.ai-game-creator-backup`）不得进入提权 ACL 的 managed 范围。
 - **关联**：`apps/ai-game-creator-shell/scripts/channel-identity.mjs`、`build-release.mjs`、`build-macos-ci.mjs`、`src-tauri/src/config.rs`。
@@ -58,7 +58,7 @@ SpacetimeDB crate、SDK、CLI / standalone 与生成 bindings 按 `2.8.3` 对齐
 - DirectProject 对话先在完整历史中按回合/原始 item 身份关联，再分页渲染；每个回合只有一个呈现入口。有流按 item `seq` 交替文本和工具，无流采用历史正文；禁止位置猜配或同时展示累计回复与 item 正文。流写入单调归并，收尾等待落盘任务，不按磁盘“最后一段”猜最终回复位置。详见 AGC 实施计划的“DirectProject 回合展示唯一归属”。
 - 回合生命周期只由活动 client 回合快照和 Direct 事件恢复；Provider 的历史终态通知不能创建活动 client 回合。消息发送时间保存在历史信封，原始 item 不混入宿主字段；完成后的中间文本和工具默认收进“执行过程”，最终回复及失败提示保持可见。

- AGC 安装产品名基线为“陶泥儿”，由 Tauri `productName` 控制安装项、快捷方式与 EXE 产品描述；默认渠道 `dev` 保持基线产品名与 identifier `world.genarrative.ai-game-creator` 不变，其它渠道派生 `陶泥儿 <渠道显示名>` 与 `<基线>.<渠道>`，让不同渠道的包体在同一台设备上并存而不互相顶掉（详见《AGC客户端更新检查与下载》的渠道与安装身份合同）。Windows 内置 Codex 安装到顶层 `coding-agent/win-x64/`，打包资源映射与运行时查找路径必须一致。内部可执行文件名保持稳定。
+- AGC 安装产品名由渠道身份决定：`dev` 显示“陶泥儿开发版”，`release` 复用正式产品名“陶泥儿”，自定义渠道显示“陶泥儿 <渠道显示名>”；Tauri `productName` 控制安装项、快捷方式与 EXE 产品描述，identifier 继续按 `<基线>.<渠道>` 派生，保证渠道数据与运行身份隔离（详见《AGC客户端更新检查与下载》的渠道与安装身份合同）。Windows 内置 Codex 安装到顶层 `coding-agent/win-x64/`，打包资源映射与运行时查找路径必须一致。内部可执行文件名保持稳定。

 - 新 Web 游戏为 `game/` 下的 npm + Vite + Phaser 4.2.1 工程，使用包导入且允许其它依赖；npm 预览与导出只读取 dist，运行素材需纳入构建。单 HTML → Phaser 迁移固定走 DirectProject：文件落盘后先用受控 `project.bootstrap` 在 `game` 执行无参数 `npm install`，再用支持相对 cwd 的 `project.verify` 构建并确认 `game/dist/index.html`，已有单 HTML/Godot 不通过 JSON Generator 伪装成 npm 工程。

@@ -20,13 +20,13 @@

 ### 渠道与安装身份合同

- 渠道同时决定**更新端点**与**安装身份**，两者都由构建期写入产物。默认渠道 `dev` 保持基线身份 `productName = 陶泥儿`、`identifier = world.genarrative.ai-game-creator`；其它渠道（`release` 与自定义渠道）派生 `productName = 陶泥儿 <渠道显示名>`（`release` → `陶泥儿 Release`、`beta-2` → `陶泥儿 Beta-2`）与 `identifier = world.genarrative.ai-game-creator.<渠道>`。渠道显示名按连字符分段首字母大写，不改动渠道本身。
+- 渠道同时决定**更新端点**与**安装身份**，两者都由构建期写入产物。默认渠道 `dev` 保持基线身份 `productName = 陶泥儿开发版`、`identifier = world.genarrative.ai-game-creator`；`release` 渠道使用正式产品名 `陶泥儿` 并派生 `identifier = world.genarrative.ai-game-creator.release`；其它自定义渠道派生 `productName = 陶泥儿 <渠道显示名>`（如 `beta-2` → `陶泥儿 Beta-2`）与 `identifier = world.genarrative.ai-game-creator.<渠道>`。渠道显示名按连字符分段首字母大写，不改动渠道本身。
 - 默认渠道身份**不可变更**：既有安装目录、卸载项、快捷方式与已发布客户端的升级链都建立在基线身份上。渠道身份由 `apps/ai-game-creator-shell/scripts/channel-identity.mjs` 单点定义，构建入口、macOS 发布入口与配置门禁共同消费；基线 `tauri.conf.json` 必须逐字等于默认渠道身份。
 - 安装身份决定的持久与可见事实：Windows 安装目录 `%LOCALAPPDATA%\<产品名>`、卸载项与 `HKCU\Software\genarrative\<产品名>`、WebView2 数据目录 `%LOCALAPPDATA%\<identifier>`、客户端数据目录 `%APPDATA%\<identifier>`；macOS `.app` 名、bundle id、DMG 卷名与菜单栏应用名。
 - 同机并存：不同渠道的包体可以在同一台设备上同时安装并同时运行，互不覆盖、互不顶掉；同一渠道的新版本仍是原地升级，因为更新端点与安装身份同属一个渠道。
 - 数据不跨渠道共享：本地项目、工程快照、模板、登录态、诊断日志与 Runner/项目锁按渠道身份分目录。切渠道等于换一个客户端，不迁移、不合并本地数据；渠道内的 origin 隔离规则不变。
- 主窗口与工作区/启动器窗口标题取构建期产品名，让同机并存的渠道客户端在任务栏与 Alt-Tab 中可区分；默认渠道标题仍是「陶泥儿」。
- 首装包与更新包的对象名包含产品名（如 `陶泥儿 Release_0.1.96_x64-setup.exe`、`陶泥儿 Release_0.1.96_aarch64.dmg`）。清单 `downloads` 地址由发布脚本按本次真实产物派生，禁止写死产品名；首装包选择按 `<版本>_<架构>.dmg` 唯一匹配，不依赖产品名字面量。
+- 主窗口与工作区/启动器窗口标题取构建期产品名，让同机并存的渠道客户端在任务栏与 Alt-Tab 中可区分；`dev` 标题为「陶泥儿开发版」，`release` 标题为「陶泥儿」。
+- 首装包与更新包的对象名包含产品名（release 如 `陶泥儿_0.1.96_x64-setup.exe`、`陶泥儿_0.1.96_aarch64.dmg`；自定义渠道仍带渠道显示名）。清单 `downloads` 地址由发布脚本按本次真实产物派生，禁止写死产品名；首装包选择按 `<版本>_<架构>.dmg` 唯一匹配，不依赖产品名字面量。
 - 产品名中的空格在清单 URL 中必须使用标准百分号编码（如 `%20`）；网站服务端允许这种合法文件名编码，但仍拒绝控制字符、路径分隔符、DEL 和非法百分号编码，不得通过改写真实产物名绕过校验。
 - Windows 提权 ACL 修复助手按目录名识别安装身份：`<基线>` 与 `<基线>.<渠道>` 都在 AGC 自有的 managed 范围内；相似前缀（例如 `world.genarrative.ai-game-creator-backup`）不在范围内，落回 user-selected 范围或直接拒绝。

@@ -184,13 +184,13 @@

 | 条款 | 验收方式 | 结果 |
 | --- | --- | --- |
-| 渠道身份派生与默认渠道不变 | `node --test apps/ai-game-creator-shell/scripts/build-release.test.mjs` | 通过；`dev` 逐字等于基线 `陶泥儿` / `world.genarrative.ai-game-creator`，`release` / `beta-2` 派生独立产品名与 identifier，非法渠道失败关闭 |
+| 渠道身份派生与默认渠道不变 | `node --test apps/ai-game-creator-shell/scripts/build-release.test.mjs` | 通过；`dev` 逐字等于基线 `陶泥儿开发版` / `world.genarrative.ai-game-creator`，`release` 使用 `陶泥儿` 并保持独立 identifier，`beta-2` 派生带后缀的产品名与独立 identifier，非法渠道失败关闭 |
 | 身份与端点同批注入 | 同上的渠道 `--config` 用例 | 通过；`productName` / `identifier` 与 `/<channel>-win|mac/latest.json` 来自同一次解析 |
-| 渠道产物首装包选择 | 同上的渠道 DMG 夹具用例 | 通过；`陶泥儿 Release_<版本>_aarch64.dmg` 仍按 `<版本>_<架构>.dmg` 唯一匹配 |
+| 渠道产物首装包选择 | 同上的渠道 DMG 夹具用例 | 通过；`陶泥儿_<版本>_aarch64.dmg` 仍按 `<版本>_<架构>.dmg` 唯一匹配 |
 | 基线配置等于默认渠道身份 | `node apps/ai-game-creator-shell/scripts/check-config.mjs` | 通过；基线漂移与非默认渠道身份不隔离都会失败关闭 |
 | 全量发布脚本回归 | `node --test build-release.test.mjs release-oss.test.mjs prepare-macos-codex.test.mjs cargo-features.test.mjs` | 通过（64/64，含 macOS 入口按渠道解析产品名的守卫） |
 | AGC 自有 AppData 提权 ACL 范围 | `cargo test --locked --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml --bin genarrative-ai-game-creator-shell -- config::private_path_elevation_policy_tests` | 通过（12/12；含基线、`<基线>.release`、`<基线>.beta-2` 与相似前缀 `-backup` 的反向断言） |
-| 渠道身份进入真实构建产物 | `AGC_UPDATE_CHANNEL=release npm --prefix apps/ai-game-creator-shell run build -- --no-bundle --debug` | 通过；Tauri 接受派生的 `productName` / `identifier` 并完成构建；产物字符串实测 `陶泥儿 Release` × 1、`agc/release-win/latest.json` × 1、`world.genarrative.ai-game-creator.release` × 1、`agc/dev-win/latest.json` × 0 |
+| 渠道身份进入真实构建产物 | `AGC_UPDATE_CHANNEL=release npm --prefix apps/ai-game-creator-shell run build -- --no-bundle --debug` | 通过；Tauri 接受 `productName=陶泥儿` / `identifier=world.genarrative.ai-game-creator.release` 并完成构建；产物字符串实测 `陶泥儿` × 1、`agc/release-win/latest.json` × 1、`world.genarrative.ai-game-creator.release` × 1、`agc/dev-win/latest.json` × 0 |

 未验证项（不得按已通过处理）：

@@ -692,7 +692,7 @@ Supervisor 认领该回执后，由父 run 自己为每个原 delivery 逐一创
 - 模式合同：客户端 AppData 配置新增全局 `agentMode`，只接受 `codex_cli / provider`。缺省和新安装默认使用 `codex_cli`，原有 HTTP LLM Provider 路径完整保留并可显式切回 `provider`；切换只影响下一次节点请求，不新增 Runner、任务图、会话库、配置库或业务事实源。
 - 调度边界：正式 DAG、manifest、Agent task/session/run 身份、队列、锁、委派、all-join、完成门、Provider lifecycle、持久 retry/handoff 与 `needs-reconciliation` 继续由现有 AGC Runtime 掌控。每个被调度节点在 `codex_cli` 模式下直接启动一次非交互 `codex exec` 充当该节点的推理 Agent；Codex 返回当前 Runtime 广告函数的结构化调用，Runtime 仍是唯一 ToolHost，不允许 CLI 自己写项目、执行命令、调用 MCP 或形成第二套 revision / verification 真相。
 - 安装包侧车：Windows x64 release 固定随 Tauri resource 打包 `@openai/codex@0.155.1` 的原生 `codex.exe`；Rust build script 从 AGC 子包锁定依赖 stage 到 resource，并写入版本与 SHA-256 清单。固定版本只在 `build_support/codex_bundle.rs` 声明一次，构建脚本、宿主补丁执行器身份、逐次审批协议允许列表和模型目录捕获共同引用它，避免多处字面量漂移。Windows 侧车映射只写入 `tauri.windows.conf.json`，通用 `tauri.conf.json` 不得让 Linux / macOS 构建依赖未生成的 Windows 二进制。运行时只在文件摘要和 `codex-cli` 版本同时匹配清单时优先选内置侧车；缺失、损坏或版本漂移时跳过它，按既有 npm 安装、PATH 顺序回退。安装包同时携带 Apache-2.0 第三方声明；API Key、`auth.json`、Cookie、Token、用户 `CODEX_HOME`、用户配置和项目数据绝不打包。
- Windows x64 release 安装包只生成 NSIS，不生成 MSI：`tauri.windows.conf.json` 的 `bundle.targets` 固定为 `["nsis"]`，通用配置继续保留其它平台的默认打包目标。安装后的产品名、开始菜单 / 桌面快捷方式和 EXE 产品描述由 `tauri.conf.json` 的 `productName` 生成：基线是 `陶泥儿`，发布构建按渠道由 `--config` 覆盖为 `陶泥儿 <渠道显示名>`，identifier 同批派生 `<基线>.<渠道>`（默认渠道保持基线值），因此不同渠道的包体可在同一台设备并存；内部可执行文件名保持稳定。内置 Codex 资源安装到顶层 `coding-agent/win-x64/`，运行时从同一路径查找 `bin/codex.exe` 与 `manifest.json`；仓库 staging 仍使用 `resources/codex/win-x64/`，包内子目录、组件名、版本和完整性校验保持原合同。
+- Windows x64 release 安装包只生成 NSIS，不生成 MSI：`tauri.windows.conf.json` 的 `bundle.targets` 固定为 `["nsis"]`，通用配置继续保留其它平台的默认打包目标。安装后的产品名、开始菜单 / 桌面快捷方式和 EXE 产品描述由 `tauri.conf.json` 的 `productName` 生成：`dev` 基线是 `陶泥儿开发版`，`release` 复用正式产品名 `陶泥儿`，自定义渠道才带 `陶泥儿 <渠道显示名>`；identifier 同批派生 `<基线>.<渠道>`（默认渠道保持基线值），因此不同渠道的包体可在同一台设备并存；内部可执行文件名保持稳定。内置 Codex 资源安装到顶层 `coding-agent/win-x64/`，运行时从同一路径查找 `bin/codex.exe` 与 `manifest.json`；仓库 staging 仍使用 `resources/codex/win-x64/`，包内子目录、组件名、版本和完整性校验保持原合同。
 - Windows 渠道 AppData 目录归属判断及其调用分支统一保留 Windows 条件编译；通用项目路径策略测试仍可在 Linux 运行，实际 ACL 修复保持原平台门禁与授权范围。
 - macOS 安装包必须携带锁定版本的原生 Codex、`codex-code-mode-host`、`rg`、上游 zsh、`codex-package.json` 和第三方声明，保留上游相对布局；构建时按 Cargo 目标选择 npm 原生依赖，缺文件、版本或目标不匹配立即失败，不借用开发机 PATH 里的 Codex。资源只在 `tauri.macos.conf.json` 映射到 `Contents/Resources/coding-agent/mac-native/darwin-arm64/` 与 `darwin-x64/`。构建与运行共享平台文件白名单，运行时由当前 `.app/Contents/MacOS` 定位相邻 `Resources`，完整性与版本验证通过后优先使用内置组件；失败沿既有外部安装回退，不能运行未校验的内置文件。macOS 当前只构建 arm64 单架构，但资源映射仍并列携带两套锁定原生 Codex 依赖（运行切片按 Cargo 目标只选择对应目录），恢复 Intel 时无需改动资源布局；随包 Node 只有宿主架构那一份，所以不得构建 universal 包。不读取全局 Codex。
 - 内置插件的清单、运行入口与面板同时在 Windows/macOS 随包分发，继续由既有 PluginHost 的应用资源目录扫描入口发现；不携带开发依赖、缓存、测试或私有配置。插件文件随包不等于原生适配器跨平台：Cocos 进程桥接仍受现有 Windows 实现和 feature 门禁约束，macOS 原生桥接另行设计与验收，不复制 Windows DLL 冒充支持。系统 Node、用户 Cocos Creator、账号登录、网络和生成工程的 npm 工具链仍是现有外部前提，不在此次 Codex 侧车补齐中隐式变更。
@@ -147,7 +147,7 @@ dev 调度器发现 revision 变化时，把同一个完整 commit 通过 `COMMI

 手工发布入口 `Genarrative-Manual-Build-And-Deploy` 的 `DEPLOY_TARGET` 与 AGC 更新渠道是两个独立维度。手工入口必须把 `release` 映射为 `AGC_UPDATE_CHANNEL=release`、把 `development` 映射为 `dev`，并把该参数同时透传给 `Genarrative-Agc-Windows-Build` 与 `Genarrative-Agc-MacOS-Build`；只传 `AGC_RELEASE_VERSION` 时下游会落回各自默认 `dev`。统一号 `0.1.95` 的 release 包应分别位于 `agc/release-win/0.1.95/` 与 `agc/release-mac/0.1.95/`，渠道清单为对应目录下的 `latest.json`，不存在 `agc/release/` 这一层。补发本轮已烧号的版本时，直接以相同 `AGC_RELEASE_VERSION` 重跑两条 AGC Job，不重新发号。

-渠道参数同时决定安装身份：默认渠道 `dev` 产出 `productName=陶泥儿` + `identifier=world.genarrative.ai-game-creator`（既有安装与升级链），其它渠道产出 `陶泥儿 <渠道显示名>` + `<基线>.<渠道>`，因此同一台设备可以同时装 `dev` 与 `release` 两个客户端，互不覆盖、数据不共享（渠道与安装身份合同见《AGC客户端更新检查与下载》）。发布后核对发布对象名（如 `agc/release-win/<版本>/陶泥儿 Release_<版本>_x64-setup.exe`）与装机后的卸载项、`%APPDATA%\<identifier>` 是否按渠道分开。
+渠道参数同时决定安装身份：默认渠道 `dev` 产出 `productName=陶泥儿开发版` + `identifier=world.genarrative.ai-game-creator`（既有安装与升级链），`release` 渠道产出正式产品名 `陶泥儿` + `world.genarrative.ai-game-creator.release`，其它自定义渠道产出 `陶泥儿 <渠道显示名>` + `<基线>.<渠道>`，因此同一台设备可以同时装 `dev` 与 `release` 两个客户端，互不覆盖、数据不共享（渠道与安装身份合同见《AGC客户端更新检查与下载》）。发布后核对发布对象名（如 `agc/release-win/<版本>/陶泥儿_<版本>_x64-setup.exe`）与装机后的卸载项、`%APPDATA%\<identifier>` 是否按渠道分开。

 `Genarrative-Agc-Windows-Build` 的 `Tauri NSIS toolchain` 阶段必须在 Rust 编译前预置 NSIS 工具链并失败关闭：tauri-bundler 打包时现场从 GitHub 下载 `nsis-3.11.zip` 与 `nsis_tauri_utils.dll` 且不重试，构建机每次检出都会重下，响应一旦被截断就只能抛 `io: unexpected end of file`，让发布在编译数分钟后才失败。该阶段先跑 `node apps/ai-game-creator-shell/scripts/ensure-nsis-toolset.mjs`（固定 SHA1 校验、4 次重试、解压到 `target/.tauri/NSIS`），再执行 `makensis.exe -VERSION` 验证可执行性；Checkout 的 `git clean -fdx` 必须带 `-e apps/ai-game-creator-shell/src-tauri/target/.tauri`，只保留这份工具缓存、其余 `target/` 内容照常清空，否则工作区内缓存会被每个构建删掉，退回到「每次从 GitHub 重下」（实测裸 `git clean -fdx` 会输出 `Would remove apps/ai-game-creator-shell/src-tauri/target/`）；原始归档缓存在工作区外的 `%ProgramData%\genarrative\tauri-nsis-cache`（可用 `AGC_TAURI_NSIS_CACHE_DIR` 覆盖），因此同一节点只有冷缓存才需要联网，离线补缓存时把这两个文件放进缓存目录即可；构建机确实无法访问 GitHub 时使用 bundler 自带的 `TAURI_BUNDLER_TOOLS_GITHUB_MIRROR_TEMPLATE` / `TAURI_BUNDLER_TOOLS_GITHUB_MIRROR` 指向可达镜像。升级 `@tauri-apps/cli` 时必须同步核对 `nsis-toolset.mjs` 里的归档地址、SHA1 与必需文件清单（与 tauri-bundler 的 `NSIS_REQUIRED_FILES` 逐条对齐），否则预置会被 bundler 判为不完整。

@@ -834,7 +834,7 @@ Mac 单架构（arm64）构建脚本位于 `jenkins/Jenkinsfile.ai-game-creator-

 Job 名为 `Genarrative-Agc-MacOS-Build`，SCM 直接读取仓库内上述 Jenkinsfile，参数为 `SOURCE_BRANCH`、`COMMIT_HASH`、`AGC_UPDATE_CHANNEL`、`AGC_RELEASE_VERSION`、`AGC_RELEASE_DRY_RUN`、`AGC_UPDATE_RELEASE_NOTES`、`OSSUTIL_BIN`、`CARGO_BUILD_JOBS`、`NOTIFICATION_EMAILS`。渠道参数是基础名（不含系统，默认 `dev`），脚本不接受 `dev-mac` 这类系统后缀，写入分区固定推导为 `<channel>-mac`：这与 Windows Job 的 `<channel>-win` 对称，也延续已发布客户端的端点。

-该 Job 的职责是构建并发布 `<channel>-mac` 分区更新：执行 `npm ci` 后使用锁文件校验并补齐两种 macOS Codex 原生依赖，再调用 `scripts/build-macos-ci.mjs`（AGC 应用目录下）生成 arm64 单架构 app、arm64 隔离 smoke、arm64 DMG（`<产品名>_<版本>_aarch64.dmg`）与分区清单 `latest.json`，用产物内烘焙的公钥复核更新包签名（`verify-updater-signature.mjs`），最后按 `AGC_RELEASE_DRY_RUN` 决定是否上传 OSS。产物名（`*.app`、updater 归档、DMG、卷名）一律从渠道安装身份派生的产品名推导（默认渠道即基线 `productName`，`release` 等渠道带渠道后缀），校验脚本从包内 `Info.plist` 读取可执行名，改产品名或换渠道都不会让入口静默找错对象；隔离 smoke 用 `ditto --clone` 复制副本（实测整轮 6.8 秒，此前整包复制约 1 分钟），并在构建前删除本次将写出的 DMG/更新包/签名，保证归档产物一定来自本次构建。归档限 `artifacts/` 下的 DMG、SHA-256、`latest.json`、更新包签名、更新摘要、非敏感构建清单和源码 commit；不归档用户 HOME、Jenkins secret、原始工作目录或全量日志。
+该 Job 的职责是构建并发布 `<channel>-mac` 分区更新：执行 `npm ci` 后使用锁文件校验并补齐两种 macOS Codex 原生依赖，再调用 `scripts/build-macos-ci.mjs`（AGC 应用目录下）生成 arm64 单架构 app、arm64 隔离 smoke、arm64 DMG（`<产品名>_<版本>_aarch64.dmg`）与分区清单 `latest.json`，用产物内烘焙的公钥复核更新包签名（`verify-updater-signature.mjs`），最后按 `AGC_RELEASE_DRY_RUN` 决定是否上传 OSS。产物名（`*.app`、updater 归档、DMG、卷名）一律从渠道安装身份派生的产品名推导（`dev` 为开发版，`release` 复用正式产品名，自定义渠道带渠道后缀），校验脚本从包内 `Info.plist` 读取可执行名，改产品名或换渠道都不会让入口静默找错对象；隔离 smoke 用 `ditto --clone` 复制副本（实测整轮 6.8 秒，此前整包复制约 1 分钟），并在构建前删除本次将写出的 DMG/更新包/签名，保证归档产物一定来自本次构建。归档限 `artifacts/` 下的 DMG、SHA-256、`latest.json`、更新包签名、更新摘要、非敏感构建清单和源码 commit；不归档用户 HOME、Jenkins secret、原始工作目录或全量日志。

 发布凭据全部走 Jenkins 全局凭据，并在 `withCredentials` 内注入当前进程：`AgcUpdaterSigningKey`（与 `AgcUpdaterSigningKeyPassword`）映射为 `TAURI_SIGNING_PRIVATE_KEY` / `TAURI_SIGNING_PRIVATE_KEY_PASSWORD`，`AliyunAccessKeyId` / `AliyunaccessKeySecret` 映射为 `AGC_OSS_ACCESS_KEY_ID` / `AGC_OSS_ACCESS_KEY_SECRET`；私钥与凭据不写入 workspace、日志或归档产物。上传顺序为更新包、签名、首装包，三者全部成功后才覆盖 `agc/<channel>-mac/latest.json` 指针；`AGC_RELEASE_DRY_RUN` 与 Windows 渠道对称：默认关闭即真发布，勾选后才退化为演练（只打印将上传的对象、不写任何 OSS 对象）。本 Job 是正式发布入口，调度器在发号后与 Windows 一起触发它，并额外传 `SKIP_IF_SUPERSEDED=true`——Mac 节点是日常办公机，离线期间排队的旧构建在节点回来后若已被源码分支推进，直接跳过而不发布过期版本。Mac 节点需要 `ossutil`（实测 1.7.19 原生 arm64 可用，装在 `~/.local/bin`，已在 Job 的 PATH 内），可用 `OSSUTIL_BIN` 指定命令名或绝对路径。首次发布建议显式指定 `AGC_RELEASE_VERSION`，避免按渠道高水位递增时出现版本链回退。