修复Tauri无限画布恢复与交互缺陷

完善资源编辑终态分类、单飞锁与资产和版本可恢复事务。
统一服务身份迁移与旧操作显式确认，保留非破坏性编辑。
修复草稿revision乱序、共享选择与零位移历史污染。
新增独立恢复面板、分类型失败交互和并发焦点隔离。
补充定向回归、权威文档与临时闭环计划。

docs/project-memory/shared-memory/decision-log.md

@@ -1,11 +1,21 @@
 # 决策记录
 
+## 2026-08-11 Tauri 无限画布以可证明事务和分类恢复收口
+
+- 终态与队列：资源编辑账本正式区分可继续阶段、`reconciliation-required`、`remote-failed` 和 `archived`。远端明确失败只保存稳定分类与终态时间，不得再 POST、轮询或重新扣费；只有该终态能由用户显式归档并移出活动恢复队列，归档保留账本且不伪装 `committed`。结果未知和需对账项继续失败关闭。
+- 本地提交：派生 asset 提交新增 `game-creator-resource-edit-asset-transaction.v1` durable journal，冻结 operation/project/source、最终路径/摘要、manifest before/after 和 project revision before/after，以 `prepared -> media-installed -> manifest-written -> revision-written -> committed` 推进。只有文件、manifest、revision 与 journal 全部回读相等才提交 ledger；manifest after/revision before 只前向补 revision，无法证明的组合进入对账，不做猜测回滚。durable committed 后遗留 staging 只有在 staging 与正式媒体摘要一致、manifest 按 asset ID 或路径唯一命中且精确等于 journal asset 时才尽力清理；删除 I/O 失败不改变 committed，身份或媒体漂移则保留 staging，并把 journal 与 ledger 转入对账。
+- 版本提交：派生子版本 journal 冻结 project revision before/after 摘要和目标 after 记录。manifest 已有目标子版本但 journal 缺失时失败关闭；旧 journal 缺少 revision 身份时，只有当前 revision 仍为 base 才允许补齐身份，revision 已推进且无法证明由同一事务写入时必须进入 `reconciliation-required`；缺少上述 journal 证明时，不得仅以子版本存在或 revision 数值已到达推断 committed。
+- 服务身份：新生成账本统一写 `service-origin-v1`，绑定规范化 External base URL 的服务指纹，Developer API Key 只负责授权而不拥有 operation；确认面板只展示去除路径与凭据的服务 origin。升级前 Key-bound 指纹可被当前 Key 精确验证时自动迁移；对素材画布生成账本，无法验证时在任何网络动作前显示脱敏服务 origin 并要求用户确认带有期限且绑定账本快照的挑战值，确认后已受理任务只恢复原 GET，prepared 任务只精确重放冻结 POST。全类型资源编辑复用同一身份分类，旧指纹无法验证时保留原 operation 进入对账，不自动接管或重放。
+- 前端一致性：generation progress、保存队列、生成/提交回包和延迟草稿读取共用单调 revision 门禁；当前 scope 低 revision 不得回退已落地草稿，同 revision 只接受完整相等的幂等回包。Tauri 指针与键盘 Shift 选择共用 `resolveLayerPointerSelection`；移动、缩放和平移只在首次真实变化时 capture history，零位移不生成 undo、documentVersion 或保存。
+- 交互恢复：工作台用独立 modal 展示全部后端权威 operation，允许选择任意可恢复项；`remote-failed` 只提供归档，`reconciliation-required` 只读展示。读取失败显式重试，操作后重读后端，项目切换后丢弃迟到结果。`canvas.failed` 统一携带 `generation / draft-save / asset-commit / recovery / cancellation` 五类 operation，只有生成失败显示“返回修改/重新确认”。
+- 产品语义：当前仍禁用“新增资源”，只对现有资源做非破坏性派生编辑；新结果追加为新文件、asset 或子版本，源资源、源文件和原版本保留不变。
+
 ## 2026-08-10 Tauri 客户端远端资源编辑固定使用 External v1
 
 - 产品边界：主站网页画布继续使用登录态 `/api/editor/*`、`/api/assets/*` 与 `/api/runtime/external-generation/jobs/*`；AI 游戏创作 Tauri 客户端没有网页画布宿主，图片、图片引用、视频、音效和背景音乐等远端媒体编辑固定使用 `/api/external/v1/*`。两条入口继续复用相同请求 DTO、owner 归属、统一生成队列和正式资产结果，不新建平行生成服务。
 - 凭据边界：客户端沿用发布 AppData 私有运行时配置中的 `editorApi.baseUrl/apiKey`，不实现登录后自动签发 Developer API Key，不把站内 Access Token 传给 Tauri 生成命令，也不把 API Key 打包进仓库、传入 WebView、写入项目、账本、日志或普通错误。Key 缺失投影安全配置错误，`401/403` 投影 External 凭据无效或权限不足，不再描述为站内登录失效。
 - 路由边界：图片编辑、视频、音效和 BGM 分别使用 `/api/external/v1/editor/images/edits`、`/api/external/v1/editor/videos/generations`、`/api/external/v1/editor/audios/sound-effects/generations` 与 `/api/external/v1/editor/audios/background-music/generations`；上传、确认、轮询和换签固定使用 External v1 对应端点。SVG、UTF-8 文档、代码、Agent 回执与项目版本仍是本地派生，不制造无意义的远端请求。
-- 可靠性边界：External POST 固定携带原稳定 `Idempotency-Key` 并只接受 `202 + operationId`；`prepared` 只重放原正文和原键，`accepted/running` 只查询 `/api/external/v1/generations/{operationId}`。账本绑定不含明文 Key 的 External 配置身份指纹；升级前已保存的站内 endpoint 只保留为待对账状态，禁止拿 External Key 自动重放。本地参考媒体继续严格执行 ticket → OSS form → confirm，结果只消费稳定 `objectKey/resource/asset`，旧资源保留且派生资源追加。
+- 可靠性边界：External POST 固定携带原稳定 `Idempotency-Key` 并只接受 `202 + operationId`；`prepared` 只重放原正文和原键，`accepted/running` 只查询 `/api/external/v1/generations/{operationId}`。账本使用 `service-origin-v1` 绑定规范化 External base URL 的服务指纹，不绑定或保存明文 Key；升级前 Key-bound 素材画布生成账本无法用当前 Key 验证时，必须由用户显式确认面板中展示的当前 origin 才能恢复冻结请求；全类型资源编辑的旧指纹无法验证时保留原 operation 对账。升级前已保存的站内 endpoint 只保留为待对账状态，禁止拿 External Key 自动重放。本地参考媒体继续严格执行 ticket → OSS form → confirm，结果只消费稳定 `objectKey/resource/asset`，旧资源保留且派生资源追加。
 - 关联：`apps/ai-game-creator-shell/src/features/asset-canvas/tauriImageCanvasHostAdapter.ts`、`apps/ai-game-creator-shell/src/view/project-development/resourceEditModel.ts`、`apps/ai-game-creator-shell/src/view/project-development/index.tsx`、`apps/ai-game-creator-shell/src-tauri/src/project/asset_canvas/generation.rs`、`apps/ai-game-creator-shell/src-tauri/src/project/resource_editor.rs`。
 
 ## 2026-08-10 客户端参考媒体直传复用已授权私有前缀
@@ -22,15 +32,15 @@
 - 非破坏性边界：图片、SVG、视频、音频、文档和代码生成新的本地文件与 manifest asset；Agent 原回执保持不变，派生文档引用回执身份；版本只追加继承资源绑定的子版本。任何路径都不得覆盖、删除或重排源记录。
 - 能力分流：SVG/文本/代码走结构化 LLM 内容派生与格式复核；视频使用源视频稳定引用；音效/BGM 因现役接口无源音频字段，固定定义为基于源语义的派生重制，不能宣称波形级编辑；项目版本追加子版本。
 - 信任边界：前端能力提示不是授权事实，Tauri 在提交前按 manifest、已完成任务或上传登记重新核验来源并复核项目 revision / 源内容摘要。远端生成继续使用稳定幂等身份、`202` 轮询与稳定 object/resource/asset 身份，签名 URL 不落 manifest。
-- 队列与结果边界：登录态媒体派生统一使用 `game-creator-resource-editor` 专用消费身份；图片 refine、视频、音效和 BGM 复用同一逻辑请求的稳定 `Idempotency-Key`，路由不得丢弃。完成结果只返回裁剪后的稳定 object/resource/asset 引用与必要媒体元数据，不暴露 provider、worker、队列内部字段或临时签名 URL。
+- 队列与结果边界：Tauri 媒体派生统一经 External v1 进入现役生成队列；图片 refine、视频、音效和 BGM 复用同一逻辑请求的稳定 `Idempotency-Key`，路由不得丢弃。完成结果只返回裁剪后的稳定 object/resource/asset 引用与必要媒体元数据，不暴露 provider、worker、队列内部字段或临时签名 URL。
 - 验证边界：资源投影回归必须把已完成任务在 `artifacts` 中明确登记的音频归入音乐音效资源，同时继续排除未登记音频和未知二进制；画布工具栏数量断言必须与全部现役工具清单同步；文本预览回归必须覆盖 HTML 与现役代码扩展名；委派回执测试应在显式进入等待态前完成同 action 幂等断言，避免后台 parent-wake 与断言竞争。
 - 关联：`docs/technical/【技术方案】客户端素材创作无限画布阶段一合同-2026-08-05.md`、`apps/ai-game-creator-shell/src/view/project-development/resourceEditModel.ts`、`apps/ai-game-creator-shell/src-tauri/src/project/resource_editor.rs`。
 
-## 2026-08-10 客户端素材画布临时收敛为现有图片非破坏性编辑
+## 2026-08-10 客户端素材画布收敛为现有图片非破坏性编辑
 
-- 产品决策：资源总览“新增资源”暂时禁用，普通用户只从唯一图片资源进入“编辑资源”。底层 create 草稿和兼容测试继续保留，不删除既有合同，后续恢复入口时不需要重建数据层。
-- 编辑语义：refine 自动绑定源图片并调用现有 `/api/editor/images/edits`；结果创建独立 asset 和文件，源 asset/文件保持不变，新资源以 `referenceResourceIds` 登记源资源血缘。
-- 可靠性决策：公开生成状态每次落盘推进草稿 revision，并同步私有账本、进度事件、staging 和 commit；已受理或结果未知的 operation 遇到鉴权失效进入可恢复对账态，刷新登录后继续原 operation，不创建替代任务。
+- 产品决策：资源总览“新增资源”禁用，普通用户只从现有图片资源进入“编辑资源”。
+- 编辑语义：refine 自动绑定源图片，Tauri 通过现役 `/api/external/v1/editor/images/edits` 派生新结果；结果创建独立 asset 和文件，源 asset/文件保持不变，新资源以 `referenceResourceIds` 登记源资源血缘。
+- 可靠性决策：公开生成状态每次落盘推进草稿 revision，并同步私有账本、进度事件、staging 和 commit；已受理或结果未知的 operation 遇到鉴权失效时保留原 operation。Developer API Key 轮换不创建替代任务；升级前 Key-bound 指纹无法直接验证时通过显式服务 origin 确认后继续原 operation。
 - 交互决策：dirty 返回必须通过独立确认面板选择保留或放弃，默认保留并先 flush；图层选择和缩放同时提供指针与键盘路径，禁止嵌套交互元素。
 - 关联：`docs/technical/【技术方案】客户端素材创作无限画布阶段一合同-2026-08-05.md`、`apps/ai-game-creator-shell/src/view/project-development/index.tsx`、`apps/ai-game-creator-shell/src/features/asset-canvas/AssetCanvasSurface.tsx`、`apps/ai-game-creator-shell/src-tauri/src/project/asset_canvas/generation.rs`。
 
@@ -6952,7 +6962,7 @@
 ## 2026-08-10 客户端全类型资源编辑恢复身份与交互门禁
 
 - 资源编辑 operation 以私有账本中的原 endpoint、请求字节、幂等键和 `operationId` 为唯一恢复身份；账本同时冻结源 asset、媒体类型、资源 kind、生产任务和源版本快照。旧账本只从当前 manifest、已完成任务产物、版本数组及受控扩展名兼容恢复，不能信任 UI 路径或前端重新构造的来源。
-- Developer API Key 允许轮换，配置身份只绑定 External 服务地址。升级前包含 Key 的 Agent 生成指纹只在当前 Key 可验证原服务时迁移为仅服务地址指纹，迁移后 Key 轮换继续沿用原 operation；无法区分旧 Key 轮换与服务漂移时失败关闭。operation 已建立后遇到 401/403/404、超时或临时网关错误都保留原 operation；恢复命令仅接收项目与 operation 身份，不接收 Key 或新请求正文。
+- Developer API Key 允许轮换，当前 `service-origin-v1` 配置身份绑定规范化 External base URL 的服务指纹，确认 UI 只展示服务 origin。升级前包含 Key 的生成指纹在当前 Key 可精确验证原服务时自动迁移；无法验证时保留原 operation 进入对账，不自动接管或重放。素材画布生成恢复另提供受挑战值保护的显式 origin 确认。operation 已建立后遇到 401/403/404、超时或临时网关错误都保留原 operation；恢复命令仅接收项目与 operation 身份，不接收 Key 或新请求正文。
 - pending 扫描上限覆盖目录全部实际条目。媒体提交前重新校验源摘要；视频后续派生使用 committed ledger 的稳定 `objectKey`，不把 `assetObjectId` 当远端输入；版本 journal 重放返回原子版本，禁止重复追加。
 - 画布生成中冻结 wheel、指针、缩放和方向键状态改变并聚焦“停止等待”；普通 wheel 二维平移，Shift 纵向滚轮横移，Ctrl/Command wheel 缩放。Shift 指针序列只执行一次选择切换，草稿保存失败后退出仍必须提供保留/放弃确认。
 - 关联：`apps/ai-game-creator-shell/src-tauri/src/project/resource_editor.rs`、`apps/ai-game-creator-shell/src/features/asset-canvas/AssetCanvasSurface.tsx`、`packages/image-canvas-core/src/interaction.ts`。

docs/project-memory/shared-memory/pitfalls.md

@@ -4639,9 +4639,18 @@
 - 处理：任何要断言模拟 HTTP Provider 请求的配置都必须显式写 `agentMode=provider`。测试 helper 可以统一补齐，但直接写隔离 AppData 的 fixture 仍须在自身 JSON 中声明，不能依赖仓库 `.env`、用户 AppData 或历史迁移。
 - 验证：先单跑失败用例确认请求命中 mock server，再执行完整 `npm run check:native-shells`；日志中不得出现该用例启动 Codex CLI/app-server，所有 Provider/MCP 请求数量和顺序按 fixture 闭合。
 
-## 资源编辑恢复不能依赖当前 UI 快照或旧 API Key 指纹（2026-08-10）
+## Tauri 生成与资源编辑恢复不能依赖 UI 快照、旧 Key 指纹或队列首项（2026-08-11）
 
-- 现象：应用重启后，任务视频或项目版本的编辑 operation 无法恢复；轮换 Developer API Key 后已有 operation 被误判为配置变化；目录中放入大量无关文件还能绕过 pending 扫描上限。派生视频再次编辑时若把 `assetObjectId` 当远端引用，生成会失败或指向错误身份。
-- 原因：早期账本只保存显示层资源 ID，恢复时又依赖当前页面资源对象；配置指纹混入 Key；扫描计数只在识别出 pending JSON 后递增；本地登记 ID 与 External generation 接受的稳定 `objectKey` 没有分层。
-- 处理：新账本冻结完整源快照，旧账本从权威 manifest、完成任务和版本记录有界恢复；服务身份只哈希规范 endpoint。扫描在读取每个目录条目时先计数，任何文件都消耗预算。提交前复验源摘要，远端请求只使用账本已确认的稳定 `objectKey`，恢复始终复用原 operation 和请求字节。
-- 验证：覆盖任务视频/版本旧账本恢复、所有目录条目上限、Key 轮换、401/403/404 保留 operation、源摘要漂移拒绝、committed 视频二次派生以及版本 journal exactly-once。
+- 现象：应用重启后，任务视频或项目版本的编辑 operation 无法恢复；轮换 Developer API Key 后已有 operation 被误判为配置变化；目录中放入大量无关文件还能绕过 pending 扫描上限。一条远端已明确失败的老 operation 会持续占据队列首项，挡住后续已受理或已下载任务；manifest 已写而 project revision 未写时，又可能被误标为 committed。durable committed 后遗留 staging 可能因一次删除失败而被误报为提交失败，也可能在正式媒体或 manifest 身份已经漂移时被直接删除；manifest 已有派生子版本而 journal 缺失，或旧 journal 没有 revision 身份时，也可能被猜成已经提交。派生视频再次编辑时若把 `assetObjectId` 当远端引用，生成会失败或指向错误身份。
+- 原因：早期账本只保存显示层资源 ID，恢复时又依赖当前页面资源对象；配置指纹混入 Key；扫描计数只在识别出 pending JSON 后递增；本地登记 ID 与 External generation 接受的稳定 `objectKey` 没有分层。恢复 UI 只选排序后第一项，而账本又没有远端终态失败/归档阶段；资产提交没有一份同时证明文件、manifest 和 revision 的 durable journal，提交后的清理也没有区分可证明的 staging 与需要保留的对账证据；旧 version journal 只保存 base/target 数值，不能证明完整 project revision before/after 身份。
+- 处理：新账本冻结完整源快照，旧账本从权威 manifest、完成任务和版本记录有界恢复；服务身份用 `service-origin-v1` 哈希规范化 External base URL，确认 UI 只展示去除路径与凭据的服务 origin。对素材画布生成账本，当前 Key 不能验证旧 Key-bound 指纹时，确认前保持零网络动作，由用户显式确认当前服务后才继续原 GET 或精确重放冻结 POST；对全类型资源编辑，同类旧指纹保留原 operation 进入对账，不自动接管或重放。扫描在读取每个目录条目时先计数，任何文件都消耗预算。提交前复验源摘要，远端请求只使用账本已确认的稳定 `objectKey`，恢复始终复用原 operation 和请求字节。
+- 队列与事务：独立恢复面板必须展示后端权威队列的所有 operation，读取失败不能伪装为空。`remote-failed` 不再重放，只能显式标为 `archived` 并保留账本；`reconciliation-required` 不能归档。派生 asset 使用 `prepared -> media-installed -> manifest-written -> revision-written -> committed` journal，只对可证明状态前向恢复；文件/摘要、manifest before/after 或 revision before/after 不匹配时进入人工对账。committed 后只有 staging 与正式媒体摘要一致、manifest 按 ID 或路径唯一精确匹配 journal asset 时才尽力清理；删除 I/O 失败保持 durable committed，身份或媒体漂移保留 staging 并进入对账。version journal 同样冻结 project revision before/after 身份；manifest 已有子版本但 journal 缺失，或旧 journal 面对已推进 revision 无法补证时都失败关闭。
+- 验证：覆盖任务视频/版本旧账本恢复、所有目录条目上限、Key 轮换与旧 Key 无法验证时的显式确认、401/403/404 保留 operation、远端明确失败只归档且零新网络/扣费、三条乱序恢复队列、项目切换迟到结果、asset transaction 各崩溃阶段、committed 后 staging 清理成功/删除 I/O 失败/媒体或 manifest 漂移保留、源摘要漂移拒绝、committed 视频二次派生，以及 manifest 子版本缺 journal、旧 version journal 无法证明 revision 推进与 version journal exactly-once。
+
+## 无限画布延迟草稿与零位移不能制造新状态（2026-08-11）
+
+- 现象：r5 的 `loadDraft` 比 r6 更晚回包时会把草稿回退；pointerdown 后没有任何移动，pointerup 仍增加一条空 undo 并触发 CAS 保存；Tauri 自行维护 Shift toggle 后，Shift 单击唯一选中图层会意外清空选择。同一 `canvas.failed` 视图还可能把草稿保存或提交故障显示成生成重试。
+- 原因：延迟回包只与发起时 revision 比较，没有在落地时复核当前最高 revision；指针按下就 capture history，而不是等首次真实几何变化；宿主复制了共享 selection 规则；失败状态没有携带发生故障的 operation 类别。
+- 处理：generation progress、保存队列、生成/提交回包和延迟 `loadDraft` 统一用当前 scope、触发最低 revision 与回包当下草稿的单调门禁；同 revision 只允许完整相等回包。Tauri 指针和键盘选择复用 `resolveLayerPointerSelection`。pointerdown 只冻结快照，首次真实 move/resize/pan 才 capture 一次；零位移、未变选择和锁定图层不增加 undo、documentVersion 或草稿保存。
+- 失败边界：`canvas.failed` 必须携带 `generation / draft-save / asset-commit / recovery / cancellation`，只有 `generation` 失败显示“返回修改/重新确认”。保存/CAS 只重试或重载，提交/恢复只安全恢复或对账，取消故障只保留草稿继续编辑；初始恢复失败也不得进入生成重试。
+- 验证：用 deferred Promise 覆盖 r5/r6 逆序、保存与 progress 交错和 scope 切换；同时覆盖 Shift 单选自身、多选拖动、指针完整序列、零位移、首次有效移动只一条 history，以及五类失败的可访问名称与按钮集。