Merge remote-tracking branch 'origin/master' into fix/log-cmd-refuse-reason

docs/project-memory/shared-memory/decision-log.md

@@ -2120,6 +2120,7 @@ CI 上 `background_agent_runtime_recovers_stale_running_before_pending_task` 在
 - 决策：主站与图片画板统一复用公共泥点资产入口，收起态展示总额与充值，展开态只展示不限时泥点、每日免费泥点和使用详情；充值中心 BFF 继续统一下发总额、三桶余额、限时到期时间、每日免费基础重置额及下次重置时间，前端不得自行相减推算，但会员周期限时泥点仅用于存量兼容和后端结算，当前版本不在前台展示。钱包明细每次展开都重新读取充值中心 BFF，打开期间实时总额变化时继续补读；图片画板的生成扣费或退款完成后同时刷新总额与充值中心拆分。充值中心读请求必须使用 revision 门禁，支付创建、到账确认等权威响应写入时使旧读失效，避免旧响应覆盖新的每日免费 / 不限时明细。默认泥点商品收敛为 `60 / ¥6`、`180 + 90 / ¥18`、`300 + 150 / ¥30`、`680 + 340 / ¥68` 四档，`60` 档无赠送，后三档按现有 `user_id + product_id` 独立资格规则首次购买加赠 `50%`。当前版本关闭会员购买页签、会员商品和购买 / 升级入口。
 - 2026-07-17 追加：主站、图片画板与 AI 游戏创作独立 App 的泥点账单统一复用 `packages/shared/src/components/PlatformProfileWalletLedgerModal`。共享组件只依赖 `ProfileWalletLedgerResponse`，承接来源 label、金额正负号、UTC 日期、余额兜底和 loading / empty / error 展示；`/api/profile/wallet-ledger` 请求、鉴权、打开状态与重试生命周期继续由各宿主持有，不把账户事实或后端副作用下沉到共享 UI。
 - 2026-09-07 追加：资产扣费在既有钱包流水 metadata 中记录服务端确定的 `assetKind`，`GET /api/profile/wallet-ledger` 只把白名单类型映射为可选用户文案 `reason`，不暴露原始 metadata、资源 ID、任务 ID 或未知内部枚举。共享账单组件优先展示非空 `reason`；历史、未知和空 metadata 继续按 `sourceType` 回退为“资产操作消耗”，不得由客户端猜测业务类型。
+- 2026-10-01 追加：账单不计入实际变动为 0 的条目，规则落在 SpacetimeDB 侧而不是展示层。写入侧只在余额真的变化时落账：每日免费 / 会员周期换期按 `resolve_expiring_points_wallet_transition` 先算出“换期后余额 + 实际变动”，变动为 0（含到期额度等于发放额度、余额不足以扣回到期额度、额度与发放都为 0）时只更新余额状态、不写 `profile_wallet_ledger`；通用结算入口 `apply_profile_wallet_signed_delta` 在 0 变动时同样直接返回当前余额。读取侧 `list_profile_wallet_ledger_entries` 在按余额结算链排序之后、截断 50 条上限之前剔除 `amount_delta == 0` 的存量行，因此历史遗留的 0 流水也立即从账单消失，且不占用列表上限、不改变其余条目的先后与 `balance_after` 语义。此前 `update_profile_wallet_balance_for_expiring_points` 只判断“到期额度与发放额度都为 0”，判的是入参而不是实际余额变动，所以余额不变的换期流水仍会落账并显示成 0。
 - 影响范围：`profile_recharge_product_config` 默认商品、充值中心 read model、共享前后端契约、主站与图片画板泥点资产入口、充值弹窗、后台充值商品默认值。
 - 验证方式：充值与统一入口定向前端测试、`npm run typecheck`、充值商品定向 Rust 测试、`cargo check -p spacetime-module -p spacetime-client -p api-server --manifest-path server-rs/Cargo.toml`、`npm run check:encoding`、`git diff --check`。
 - 关联文档：`docs/【项目基线】当前产品与工程约束-2026-05-15.md`、`docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md`。

docs/project-memory/shared-memory/development-workflow.md

@@ -55,6 +55,8 @@
 
 Windows 下的移动壳 smoke 通过 Node 启动从当前 workspace 包解析出的 Expo/EAS CLI，不直接 `spawnSync('npm.cmd')`；保留原配置与导出断言。具体入口和警告清理边界见本地开发运维文档。
 
+AGC 的纯桌面/生产接入按模块排除测试编译，共享实现与受测入口保持可测试；拆分后同时检查普通目标和测试目标，并保留原有行为断言。命令注册与退出接线的源码检查跟随真实模块位置更新，不能因移动文件而漏检；不通过全局允许死代码或虚假调用消除告警。具体边界见开发运维文档“编译告警的保留边界与待优化项”。
+
 提示词外置变更运行 `runtime_prompt_bundle_build` 与 `prompt_source_boundaries` 两个 Rust 集成测试，验证编译期文本、目录登记和源码边界；现有 `agc-rust-shard-1` 本地/CI 入口先执行这组检查，再运行分片单测。
 
 提示词测试验证实际请求中的片段来源、动态参数和工具结构；措辞不作为逐字契约。已有行为测试覆盖的限制不再另设整段文案检查。Direct 回合测试复用生产的消息转换和文件投影函数，不维护仅供测试调用的回合编排副本。

docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md

@@ -812,8 +812,9 @@ Responses 的终态载荷既是工具调用的恢复源，也是正文的恢复
 ### `profile_wallet_ledger`
 
 - Rust 结构体：`ProfileWalletLedger`
-- 源码：`server-rs/crates/spacetime-module/src/runtime/profile.rs`
+- 源码：`server-rs/crates/spacetime-module/src/runtime/active/profile.rs`
 - 说明：账号钱包流水表。`created_at` 表示钱包事务实际结算时间，列表先按当前余额反向校验 `balance_after - amount_delta` 的结算链，再以该时间倒序兜底，避免支付回调或退款重放延迟时出现余额顺序倒置；支付平台确认时间继续保存在充值订单 `paid_at`。`metadata_json` 为可选 JSON 对象字符串，旧行缺失时读取层按 `{}` 归一；外部生成扣费 / 退款写入 `externalGenerationJobId`，使退款记录可以追溯到对应 `external_generation_job`。
+- 实际变动为 0 的条目不进账单：写入侧只在余额真的变化时落账，每日免费 / 会员周期换期先按 `previous_balance - expired_points + granted_points`（饱和运算）算出实际变动，变动为 0 时只更新余额状态、不写本表；通用结算入口 `apply_profile_wallet_signed_delta` 在 `amount_delta == 0` 时同样不落账。读取侧 `list_profile_wallet_ledger_entries` 在结算链排序之后、截断 50 条上限之前剔除 `amount_delta == 0` 的存量行，因此历史遗留的 0 变动流水不会出现在 `GET /api/profile/wallet-ledger`，也不占用列表上限。该规则只影响展示与落账，不改变幂等 ledger、余额结算、消费投影和退款语义。
 
 ### `profile_wallet_consumption_total`
 

docs/【开发运维】本地开发验证与生产运维-2026-05-15.md

@@ -316,6 +316,17 @@ npm run check
 
 ### 编译告警的保留边界与待优化项
 
+- 设计会话的水合、重置和调试快进通过共享核心验证损坏会话隔离、不确定批次恢复和事件失败后的落盘状态；仅 Tauri 包装限定生产编译，资源与模型客户端仍在原校验阶段之后按需加载。旧 UI 绑定、合并及语义建议命令已随现役 UI 工作流替换而删除；分离恢复测试验证已完成的绑定和图片不被重新生成，不代表首次生成全链路已覆盖。音频派发测试验证使用派发时的 revision、保留提交身份，并在远程上下文失败时保持 Prepared 账本及项目内容不变。
+- AGC 纯生产接入按模块限定 `cfg(not(test))`：桌面启动、Tauri 命令注册和没有测试消费者的命令接入集中到对应生产模块；共享业务实现、被测试直接调用的入口和现有断言仍参与测试编译。拆分不改变命令名、注册集合、权限校验或启动/退出顺序，也不新增 `allow(dead_code)`、虚假引用或仅为消警的测试。每批同时检查 AGC 普通目标和测试目标，源码结构检查跟随真实接线位置更新；不能用测试目标通过代替生产目标检查，也不以清零告警为由排除已有测试覆盖。
+- 插件/客户端扩展、模板库和预览的桌面命令与所属模块的共享实现分离：插件进程及权限逻辑、扩展仓库、模板访问授权/归档校验/建项、预览注册表与生命周期继续由原测试验证。模板命令和普通建项命令共用的 AppData 根目录选择接入随生产模块编译，用户所选目录的安全校验仍保留在共享实现中。
+- 编辑器适配器注册、随包资源定位和平台会话 fixture 加载属于桌面/Runner 启动接入，按生产模块编译；fixture 的发行版拒绝、路径边界、文件大小及凭据校验不得随拆分改变。配置 setup、Windows 提权 helper 的票据消费和 Runner bootId 初始化随其生产调用方限定范围，配置迁移、ACL 安全规则、平台身份/凭据轮换、编辑器执行回执及进程归属的已有测试继续编译。
+- 项目快照的周期调度、窗口事件、退出等待和桌面命令与共享同步核心分离；Analytics 的服务初始化、窗口/退出事件、上传定时启动和启动时补投同样属于生产接入。窗口登记状态机、快照索引与同步事务、埋点状态机、上传轮次和补投资格处理继续参与测试，不能用移除这些测试的方式消除告警。
+- Runner 服务监听循环、连接读写接入、心跳和 GUI owner 监控按生产边界编译；共享 RPC 分发、endpoint 校验、请求幂等、项目 owner 和生命周期测试继续参与测试。只读配置入口有 Unix 专属测试，必须保留 `any(not(test), unix)` 的使用范围，不能直接归入仅生产模块。
+- MCP 的 STDIO 启动和 Tauri 命令包装限定生产编译；loopback 启停、服务注册表、析构与工具桥启动属于 Claude Direct 的共享依赖，必须参与测试编译。认证链路调用的 `validate_platform_session_input`、线程队列使用的 `DirectGameCreatorTurnUpdateEmitter::new` 同样保留在测试编译中；Direct/设计工具及 UI 编辑器的纯命令包装随桌面入口编译。Thread Manager 的订阅/消费同时服务 Unix 集成测试与跨平台取消回合回归，不限定为生产或 Unix。项目资源的生产命令 DTO 与读取接入按实际消费者限定范围；分类更新测试从正式 camelCase 请求解码后验证同一身份与 revision 的写入，音频提交测试核对派发 operationId 与账本任务一致、幂等键不被替换。业务编排、网络鉴权和持久化安全逻辑不能仅因没有直接测试而整段排除。
+- Direct 取消入口必须验证错轮请求不取消、不释放、不发送终态；执行器退出后的残留守卫释放须返回原 clientTurnId，并发布对应 canonical userItemId 的 aborted 终态。旧守卫析构不能清掉随后启动的新回合。此类安全行为通过真实入口回归保留在测试构建，不以条件编译排除取消链。
+- 预览测试使用系统临时目录，不依赖 Windows 未必提供的 `HOME`。Cocos 插件 RPC 往返测试在注册完成后，通过只读状态查询确认插件已接收启动时的项目上下文，再执行原有隐式项目路径断言；Unity 跨项目测试先等待项目事件订阅，再切换项目。不能把注册完成等同于项目订阅快照已到达，也不能重试写操作掩盖初始化竞态。
+- AGC 测试编译使用 `cargo check --locked --offline --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -p genarrative-ai-game-creator-shell --tests` 定向核对。GUI 主入口在测试构建中被排除，不能把测试目标的 `dead_code` 一律认定为废弃生产代码；仅生产入口使用的导入限定 `not(test)`，平台测试导入与对应 Unix/Linux 测试保持相同条件，失去调用方的测试 helper 和多余重导出直接删除。DirectHome 命令配置测试明确断言禁用 `shell_tool` 与 `unified_exec`；Windows 路径校验的测试分支不触发宿主提权修复，修复范围参数仅由生产分支消费。
+- 测试 helper 的条件要覆盖真实使用范围：Unity delivery 观测 helper 限于 Windows x86_64 的 `unity-editor-execute` 测试，Agent DB 链接安全断言与 app-server 工作区启动包装限于 Unix 测试，模板假数据的环境变量读取限于 `template-library-fixtures` feature。底层生产实现与共享测试逻辑继续保留。仅检查完成阻塞协议固定中文措辞、且失去测试标记的遗留函数直接删除；现役自由执行请求使用短任务协议，不向其测试搬入标准模式的完成阻塞提示词要求，标准模式的生产协议保持不变。
 - AGC 默认 Windows dev 构建在 2026-09-23 清理后的 `cargo check --locked --offline --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -p genarrative-ai-game-creator-shell` 复核通过，剩余 3 条 AuthBridge 相关 Rust warning 和 5 条 ts-rs 提示。这是当次配置的检查结果，不代表后续提交、正式 editor features、其它平台、test targets、release 链接或安装包均无告警；后续按改动范围定向验证。
 - AuthBridge 的 3 条 warning 暂缓处理，支持或退役 OAuth 的决策仍未确定。完整证据、保留边界和关闭条件以 [AGC 主方案“OAuth 认证路线的契约冲突与待决边界”](./technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md#oauth-认证路线的契约冲突与待决边界)为准。
 - ts-rs 12.0.1 的 5 条提示来自四个枚举（`DirectCodexUserItem`、`DirectCodexUserContentPart`、`DirectThreadItem`、`DirectThreadEvent`）的 `serde(deny_unknown_fields)` 和图片组件的 `serde(deserialize_with = "deserialize_fill_amount")`。已静态核对 TypeScript 类型形状及基础类型正确、Serde 运行时校验仍有效；暂保留提示，不引入依赖补丁、不改业务校验或全局屏蔽，待上游正式版本支持后再评估。