Merge remote-tracking branch 'origin/master' into fix/res-edit-error-handling

apps/ai-game-creator-shell/src-tauri/src/process_identity.rs

@@ -4,6 +4,7 @@
 //! 浏览器试玩清理、命令执行与项目写入校验等现役路径共用，因此保留为独立模块。
 
 use super::*;
+use std::io;
 
 pub(crate) fn external_agent_runner_process_start_identity(
     pid: u32,

docs/project-memory/shared-memory/pitfalls.md

@@ -6257,3 +6257,15 @@ Cocos Creator 根目录由 `package.json.creator.version` 与普通 `assets/`
 - **处理**：夹具补 `None` 协议参数与 `selected_model_protocol: None`，不改任何断言口径。
 - **验证**：`cargo test --features=… --bin … tests::configuration::` 45 passed。
 - **关联**：`apps/ai-game-creator-shell/src-tauri/src/tests/configuration.rs`、`apps/ai-game-creator-shell/src-tauri/src/commands.rs`、`apps/ai-game-creator-shell/src-tauri/src/main.rs`。
+
+## 2026-10-02 AGC 的 cc 路由被本机 `ANTHROPIC_*` 环境顶掉，官方模型全发到用户个人中转
+
+- **现象**：用户终端里给 Claude Code 配了自己的中转（`ANTHROPIC_BASE_URL` + `ANTHROPIC_AUTH_TOKEN`）。AGC 选 `claude-opus-5-5` 发消息时好时坏：偶尔两分半回一句话，多数回合一路静默到 `requestTimeoutMs`（180s）超时，日志只有 `claude-sidecar-start` 加 `claude_sidecar_idle idleSeconds=30/60/…`。同一时间平台网关、模型目录、账号 Router 分组怎么改都没反应。
+- **根因**：`claude_code_cli.rs` 先把 AGC 进程继承来的 `ANTHROPIC_BASE_URL` / `ANTHROPIC_AUTH_TOKEN` 原样复制给 sidecar，再让它们优先于平台会话（`claude_base_url` 里 `std::env::var("ANTHROPIC_BASE_URL")` 排在 `.or_else` 最前，凭据有 `if … is_none()` 守卫因此永远不覆盖）。实测：直接跑 sidecar 探针，`claude.exe`（PID 43256）的两条 443 连接落在 `198.18.2.60` = 用户个人的 `yunyi.rdzhvip.com`，完全没碰 `dev.genarrative.world` / Router；同一个 token 对 `POST https://yunyi.rdzhvip.com/claude/v1/messages` 45 秒不返回（Bearer 与 `x-api-key` 都一样）。用户 `~/.claude/settings.json` 里的 env 反而无关——sidecar 用 `settingSources: []` 关掉了设置文件来源，事故来源是**进程环境**。
+- **现行口径**：cc 的路由与凭据只由 AGC 决定，本机 `ANTHROPIC_*` **完全不参与**（`claude_code_route` 的入参里没有进程环境）。官方模型 + 平台会话 → `{apiBaseUrl}/api/llm/anthropic` + `Bearer <平台 access token>`；`customEnabled` 或配了 `llm.apiKey` → AGC 配置的 baseUrl（自定义端点用 `x-api-key`，其余保持 Bearer）；没登录也没配 key 就报「cc 模式需要先登录陶泥儿账号」，不再退回本机环境。`ANTHROPIC_API_KEY` / `ANTHROPIC_AUTH_TOKEN` 也不再进 `copy_env` 白名单，只由解析出的路由下发。个人中转要走 AGC 的 `customEnabled` + baseUrl + apiKey，不做隐式继承。
+- **同时（配置隔离）**：sidecar 子进程把 `HOME`、`USERPROFILE`、`CLAUDE_CONFIG_DIR` 全部指向项目内隔离目录（`.agent/runtime/claude-code/home`）。只改 `HOME` 不够——Windows 上 Node 的 `os.homedir()` 只看 `USERPROFILE`，Claude Code 会照样读用户自己的 `~/.claude.json`（个人 `mcpServers`、插件市场、凭据）并把 `projects/`、`sessions/` 写回真实 profile。实测隔离前 CLI 先花 ~90 秒在个人配置上、真实 `~/.claude/sessions` 每次回合都被写；隔离后 `time_to_request_ms=41`，且只写隔离目录。
+- **同时（超时语义）**：`requestTimeoutMs`（默认 180000）在 cc 执行器里只作**静默预算**：sidecar 每有一条事件就重置，连续静默超过预算才按 `sidecar-turn-timeout` 收口；另有 `CLAUDE_CODE_TURN_MAX_DURATION`（45 分钟）兜底事件流假活，正常情况更早到的是 DirectProject 的 `maxTurnSeconds`。原来「整回合 180 秒墙钟」会把「网关慢但仍在下发事件」的正常回合掐死——实测 19:46 那轮 sidecar 一直在出事件，第 180 秒被墙钟杀掉。
+- **排查手段**：sidecar 每次启动都写一行 `agent.direct_codex.claude_route source=<Platform|Custom|Config> host=<…> auth=<key|session|none>`（只写主机名，不含路径与凭据）。这一行是判断"回合到底发到哪个网关"的唯一低成本证据。
+- **注意**：日志脱敏标记包含 `credential`、`x-api-key`、`bearer `、`token=`、`api_key`，命中即整行替换成 `<sensitive diagnostic details redacted>`。诊断行只能写 `source=`/`host=`/`auth=` 这类自查过的字段（第一版写成 `credential=bearer`，整行被吃掉过一次）。
+- **验证**：`cargo test --features=cocos-editor-execute,unity-editor-execute,godot-editor-execute --bin genarrative-ai-game-creator-shell claude_code_cli::tests::` 11 passed，覆盖平台优先、自定义端点保留配置、未登录时不回落本机环境且报「先登录」、baseUrl `/v1` 归一化、主机名诊断、sidecar 环境隔离（`USERPROFILE`/`CLAUDE_CONFIG_DIR` 指向隔离目录且不带本机 `ANTHROPIC_*`）；另用本地假 Anthropic 端点跑通真 sidecar：`REQ HEAD /api/hello` → `REQ POST /v1/messages?beta=true auth=bearer` → `result=PROBE_OK`。
+- **关联**：`apps/ai-game-creator-shell/src-tauri/src/agent/claude_code_cli.rs`、`apps/ai-game-creator-shell/agent-sidecar/src/index.mjs`、[`【技术方案】AGC后台模型别名与对话选择-2026-09-05.md`](../../technical/【技术方案】AGC后台模型别名与对话选择-2026-09-05.md)。