diff --git a/.gitignore b/.gitignore
index f66e67ded..f34fd1bd3 100644
--- a/.gitignore
+++ b/.gitignore
@@ -47,6 +47,8 @@ temp*build*/
 /apps/ai-game-creator-shell/src-tauri/resources/codex/mac-native/codex-package.json
 /apps/ai-game-creator-shell/src-tauri/resources/codex/mac-native/manifest.json
 /apps/ai-game-creator-shell/src-tauri/resources/codex/mac-native/NOTICE.md
+/apps/ai-game-creator-shell/src-tauri/resources/codex/mac-native/darwin-arm64/
+/apps/ai-game-creator-shell/src-tauri/resources/codex/mac-native/darwin-x64/
 /plugins/agc-cocos-editor/native/payload/
 /plugins/agc-unity-editor/dotnet/**/bin/
 /plugins/agc-unity-editor/dotnet/**/obj/
diff --git a/apps/ai-game-creator-shell/scripts/build-macos-ci.mjs b/apps/ai-game-creator-shell/scripts/build-macos-ci.mjs
new file mode 100644
index 000000000..442df54d1
--- /dev/null
+++ b/apps/ai-game-creator-shell/scripts/build-macos-ci.mjs
@@ -0,0 +1,280 @@
+import assert from 'node:assert/strict';
+import { execFileSync, spawnSync } from 'node:child_process';
+import { createHash } from 'node:crypto';
+import fs from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+import { fileURLToPath } from 'node:url';
+
+import {
+  generateUpdateManifest,
+  prepareReleaseVersion,
+  resolveReleaseContext,
+  resolveReleasePartition,
+  runTauriBuild,
+} from './build-release.mjs';
+import { readReleaseDryRun, uploadReleaseArtifacts } from './release-oss.mjs';
+import {
+  readUpdaterPubkey,
+  verifyUpdaterSignature,
+} from './verify-updater-signature.mjs';
+
+/**
+ * AGC macOS 分区（`<channel>-mac`）发布入口：构建 universal 包 → 双架构 smoke → 生成 universal DMG
+ * → 生成分区清单 latest.json → 用产物内烘焙的公钥验签 → 按 dry-run 决定是否上传 OSS。
+ *
+ * 边界：
+ * - Apple 签名与公证暂缺：本入口剥离 `APPLE_*` 凭据让 Tauri 跳过 Apple 签名，但**不能传
+ *   `--no-sign`** —— 该标志同时会跳过 updater 的 minisign 签名，产物就没有 `.sig`；
+ *   未签名 + 未公证必须显式记录而非静默通过；
+ * - 更新包签名（TAURI_SIGNING_PRIVATE_KEY，minisign）是硬需求：缺了客户端一律拒绝安装，
+ *   因此构建前要求凭据存在，构建后用内置公钥复核 `.sig` 才允许继续上传；
+ * - 未通过验签绝不写 OSS：上传顺序为更新包、签名、首装包，全部成功后才覆盖渠道清单指针。
+ */
+const appRoot = fileURLToPath(new URL('..', import.meta.url));
+const repoRoot = path.resolve(appRoot, '../..');
+
+/**
+ * 产品名只从 Tauri 配置读取：它同时决定 `*.app` 目录名、updater 归档名与 DMG 卷名。
+ * 写死会在改名后让入口静默找错对象（清理、打包、归档三处一起失效）。
+ */
+function readProductName() {
+  const read = (file) =>
+    JSON.parse(fs.readFileSync(path.join(appRoot, 'src-tauri', file), 'utf8'));
+  const base = read('tauri.conf.json');
+  const macosPath = path.join(appRoot, 'src-tauri', 'tauri.macos.conf.json');
+  const productName = fs.existsSync(macosPath)
+    ? (read('tauri.macos.conf.json').productName ?? base.productName)
+    : base.productName;
+  assert.ok(
+    typeof productName === 'string' && productName.trim().length > 0,
+    'Tauri 配置缺少 productName',
+  );
+  return productName;
+}
+
+const productName = readProductName();
+const appBundleName = `${productName}.app`;
+const updaterArtifactName = `${productName}.app.tar.gz`;
+assert.equal(process.platform, 'darwin', '只能在 macOS Agent 执行');
+assert.equal(
+  process.env.JENKINS_URL?.length > 0,
+  true,
+  '此入口仅用于 Jenkins 独立工作区',
+);
+assert.equal(
+  fs.realpathSync(process.env.WORKSPACE || '.'),
+  fs.realpathSync(repoRoot),
+  '必须在 Jenkins workspace 根目录执行',
+);
+const space = fs.statfsSync(repoRoot);
+assert.ok(
+  space.bavail * space.bsize >= 8 * 1024 ** 3,
+  '构建前至少需要 8 GiB 可用空间；禁止自动清理开发缓存',
+);
+
+// 仅剥离 Apple 签名/公证变量：本节点没有证书，误用只会让构建失败；
+// 更新包签名与 OSS 凭据必须保留，它们是本入口发布能力的组成部分。
+for (const key of Object.keys(process.env)) {
+  if (/^APPLE_/u.test(key)) delete process.env[key];
+}
+assert.ok(
+  process.env.TAURI_SIGNING_PRIVATE_KEY?.length > 0 ||
+    process.env.TAURI_SIGNING_PRIVATE_KEY_PATH?.length > 0,
+  '缺少更新包签名私钥（TAURI_SIGNING_PRIVATE_KEY / _PATH）：无签名的更新包会被客户端拒绝，禁止继续',
+);
+
+const bucket = process.env.AGC_OSS_BUCKET?.trim() || 'agc-dev';
+const endpoint =
+  process.env.AGC_OSS_ENDPOINT?.trim() || 'oss-rg-china-mainland.aliyuncs.com';
+if (!/^[a-z0-9][a-z0-9.-]{1,62}$/u.test(bucket) || /[\r\n\0]/u.test(endpoint)) {
+  throw new Error('OSS bucket 或 endpoint 配置无效');
+}
+process.env.AGC_UPDATE_OSS_BASE_URL ||= `https://${bucket}.${endpoint}/agc`;
+const dryRun = readReleaseDryRun();
+
+process.env.CARGO_TARGET_DIR = path.join(appRoot, 'src-tauri/target');
+const context = resolveReleaseContext(['--target=universal-apple-darwin']);
+const partition = resolveReleasePartition(context.channel, context.target);
+const version = await prepareReleaseVersion(context);
+// 首装包名必须保持 `<产品名>_<版本>_universal.dmg`：清单侧按该后缀唯一匹配本次产物。
+const firstInstallName = `${productName}_${version}_universal.dmg`;
+
+// 幂等边界：workspace 会保留上一轮产物。先删掉本次将要写出的对象，否则
+//  1) hdiutil 会因同名 DMG 已存在直接失败（首次实跑即命中）；
+//  2) 上一轮遗留的 `.sig` 会让验签门禁把「本轮其实没签」判成通过。
+// 只删本次要写出的确切路径，不动其它版本产物与编译缓存。
+const macosBundle = path.join(context.bundleRoot, 'macos');
+for (const stale of [
+  path.join(macosBundle, updaterArtifactName),
+  path.join(macosBundle, `${updaterArtifactName}.sig`),
+  path.join(macosBundle, `${firstInstallName}`),
+  path.join(macosBundle, `${firstInstallName}.sha256`),
+  path.join(context.bundleRoot, 'latest.json'),
+  path.join(context.bundleRoot, 'release-notes.txt'),
+]) {
+  fs.rmSync(stale, { force: true });
+}
+
+const args = [
+  '--target=universal-apple-darwin',
+  '--bundles',
+  'app',
+  '--ci',
+  // 刻意不传 `--no-sign`：它会连带跳过 updater 签名，而客户端强制校验更新包签名。
+  // Apple 侧改为剥离 APPLE_* 凭据，未配置身份时 Tauri 不签名也不失败。
+  // 基础配置已开启；这里显式声明，避免被其它配置来源关掉后静默失去更新能力。
+  '--config',
+  '{"bundle":{"createUpdaterArtifacts":true}}',
+];
+const command = (binary, argv, options = {}) =>
+  execFileSync(binary, argv, { cwd: repoRoot, stdio: 'inherit', ...options });
+runTauriBuild(args, context);
+
+const app = path.join(context.bundleRoot, 'macos', appBundleName);
+for (const architecture of ['arm64', 'x86_64']) {
+  command(process.execPath, [
+    path.join(appRoot, 'scripts/check-macos-bundle.mjs'),
+    app,
+    architecture,
+    '--universal',
+  ]);
+}
+
+// DMG 放在 bundle 根目录下：渠道清单的首装包选择会扫描该目录，命名必须匹配 `_<version>_universal.dmg`。
+const dmgDirectory = path.join(context.bundleRoot, 'macos');
+fs.mkdirSync(dmgDirectory, { recursive: true });
+const dmg = path.join(dmgDirectory, firstInstallName);
+const stage = fs.mkdtempSync(path.join(os.tmpdir(), 'agc-ci-dmg-'));
+try {
+  command('ditto', [app, path.join(stage, appBundleName)]);
+  fs.symlinkSync('/Applications', path.join(stage, 'Applications'));
+  command('hdiutil', [
+    'create',
+    // 前面已删除同名对象；这里再要求显式覆盖，避免残留文件让构建以「文件已存在」失败。
+    '-ov',
+    '-volname',
+    productName,
+    '-srcfolder',
+    stage,
+    '-format',
+    'UDZO',
+    dmg,
+  ]);
+  command('hdiutil', ['verify', dmg]);
+} finally {
+  fs.rmSync(stage, { recursive: true, force: true });
+}
+
+const release = await generateUpdateManifest(context);
+assert.equal(
+  path.resolve(release.downloadArtifact),
+  path.resolve(dmg),
+  '首装包必须锁定本次生成的 universal DMG',
+);
+
+// 上传前门禁：用产物里烘焙的公钥复核更新包签名。验不过就停在这里，绝不写 OSS。
+const signature = verifyUpdaterSignature({
+  artifactPath: release.artifact,
+  signaturePath: `${release.artifact}.sig`,
+  pubkey: readUpdaterPubkey(),
+});
+console.log(
+  `[agc-macos] 更新包签名校验通过：alg=${signature.algorithm}，keyId=${signature.keyId}`,
+);
+
+const artifacts = path.join(repoRoot, 'artifacts');
+// 只清理本 Job 的归档输出，不能把上次 DMG 当成本次成功产物。
+fs.rmSync(artifacts, { recursive: true, force: true });
+fs.mkdirSync(artifacts, { recursive: true });
+const sha256 = (file) => {
+  const hash = createHash('sha256');
+  hash.update(fs.readFileSync(file));
+  return hash.digest('hex');
+};
+const dmgHash = sha256(dmg);
+fs.writeFileSync(`${dmg}.sha256`, `${dmgHash}  ${path.basename(dmg)}\n`);
+
+const uploadPlan = uploadReleaseArtifacts(release, {
+  bucket,
+  endpoint,
+  binary: process.env.OSSUTIL_BIN?.trim() || 'ossutil',
+  accessKeyId: process.env.AGC_OSS_ACCESS_KEY_ID?.trim(),
+  accessKeySecret: process.env.AGC_OSS_ACCESS_KEY_SECRET,
+  dryRun,
+});
+
+const archived = [
+  dmg,
+  `${dmg}.sha256`,
+  release.manifestPath,
+  release.notesPath,
+  `${release.artifact}.sig`,
+];
+for (const file of archived) {
+  fs.copyFileSync(file, path.join(artifacts, path.basename(file)));
+}
+
+const commit = execFileSync('git', ['rev-parse', 'HEAD'], {
+  cwd: repoRoot,
+  encoding: 'utf8',
+}).trim();
+// Apple 签名状态必须实测：剥离 APPLE_* 后 Tauri 通常跳过签名，但节点若装了 Developer ID
+// 证书仍可能签上，硬编码 appleSigned=false 会把「其实签了」写成假事实。
+const signatureProbe = spawnSync('codesign', ['-dv', '--verbose=2', app], {
+  encoding: 'utf8',
+});
+const signatureText = `${signatureProbe.stdout ?? ''}${signatureProbe.stderr ?? ''}`;
+const appleSigned = /Authority=Developer ID Application/u.test(signatureText);
+const appleSignatureKind = appleSigned
+  ? 'developer-id'
+  : /Signature=adhoc/u.test(signatureText)
+    ? 'adhoc'
+    : 'unsigned';
+fs.writeFileSync(
+  path.join(artifacts, 'build-manifest.json'),
+  `${JSON.stringify(
+    {
+      version,
+      commit,
+      target: context.target,
+      channel: context.channel,
+      // Apple 签名与公证暂缺：显式记录为未验证项，不静默通过。
+      appleSigned,
+      appleSignatureKind,
+      notarized: false,
+      dryRun,
+      uploaded: !dryRun,
+      updaterSignature: {
+        algorithm: signature.algorithm,
+        keyId: signature.keyId,
+        verified: true,
+      },
+      oss: {
+        bucket,
+        endpoint,
+        partition,
+        latest: `oss://${bucket}/agc/${partition}/latest.json`,
+        objects: uploadPlan.map(({ destination }) => destination),
+      },
+      artifacts: {
+        updater: path.basename(release.artifact),
+        updaterSha256: sha256(release.artifact),
+        updaterBytes: fs.statSync(release.artifact).size,
+        updaterSignature: path.basename(`${release.artifact}.sig`),
+        firstInstall: path.basename(dmg),
+        firstInstallSha256: dmgHash,
+        manifest: 'latest.json',
+      },
+      smokes: ['arm64', 'x86_64'],
+      intelSmoke: process.arch === 'arm64' ? 'Rosetta' : 'native',
+    },
+    null,
+    2,
+  )}\n`,
+);
+console.log(
+  dryRun
+    ? `[agc-macos] dry-run 完成：${partition} 分区产物与清单已生成，未写入 OSS`
+    : `[agc-macos] ${partition} 分区更新包、签名、首装包与清单已上传 OSS`,
+);
diff --git a/apps/ai-game-creator-shell/scripts/build-release.mjs b/apps/ai-game-creator-shell/scripts/build-release.mjs
index 7c20bbbda..a73383973 100644
--- a/apps/ai-game-creator-shell/scripts/build-release.mjs
+++ b/apps/ai-game-creator-shell/scripts/build-release.mjs
@@ -46,16 +46,12 @@ function explicitBuildTarget(args) {
 }
 
 function validateReleaseTarget(target) {
-  if (target === 'universal-apple-darwin') {
-    throw new Error(
-      '内置 Codex 资源仅支持 macOS 单架构构建，请使用 aarch64-apple-darwin 或 x86_64-apple-darwin',
-    );
-  }
   if (
     ![
       'x86_64-pc-windows-msvc',
       'aarch64-apple-darwin',
       'x86_64-apple-darwin',
+      'universal-apple-darwin',
     ].includes(target)
   ) {
     throw new Error(`不支持的发布目标：${target}`);
@@ -200,10 +196,12 @@ export function updateManifestUrl(
 }
 
 /**
- * 单架构产物只登记实际目标，不能把同一原生资源映射为另一架构。
+ * universal 主程序与双目录原生资源共用一个更新包；单架构只登记实际目标。
  */
 export function resolveManifestPlatformKeys(target = defaultTarget()) {
   validateReleaseTarget(target);
+  if (target === 'universal-apple-darwin')
+    return ['darwin-aarch64', 'darwin-x86_64'];
   if (target === 'aarch64-apple-darwin') return ['darwin-aarch64'];
   if (target === 'x86_64-apple-darwin') return ['darwin-x86_64'];
   if (target.includes('windows')) {
@@ -543,6 +541,18 @@ export function selectFirstInstallArtifact(
     if (!selected?.endsWith('.exe')) {
       throw new Error('Windows 首装包必须复用本次 NSIS .exe 更新包');
     }
+  } else if (target === 'universal-apple-darwin') {
+    // universal 主程序只产出一个 DMG，aarch64 与 x86_64 首装共用它（命名见 build-macos-ci.mjs）。
+    const suffix = `_${version}_universal.dmg`;
+    const candidates = files.filter((file) =>
+      path.basename(file).endsWith(suffix),
+    );
+    if (candidates.length !== 1) {
+      throw new Error(
+        `首装 DMG 必须唯一匹配本次版本 ${version} 的 universal 产物，找到 ${candidates.length} 个`,
+      );
+    }
+    selected = candidates[0];
   } else {
     // Tauri DMG 文件名使用 aarch64 / x64，而 updater 的 Intel 平台键是 x86_64。
     const architecture = target.startsWith('aarch64') ? 'aarch64' : 'x64';
diff --git a/apps/ai-game-creator-shell/scripts/build-release.test.mjs b/apps/ai-game-creator-shell/scripts/build-release.test.mjs
index 1dc02ca3d..3f457e0e0 100644
--- a/apps/ai-game-creator-shell/scripts/build-release.test.mjs
+++ b/apps/ai-game-creator-shell/scripts/build-release.test.mjs
@@ -45,19 +45,22 @@ const packageVersion = JSON.parse(
 ).version;
 
 function createDmgFixture(root, target, version = packageVersion) {
-  const architecture = target.startsWith('aarch64') ? 'aarch64' : 'x64';
+  const architecture = target.startsWith('aarch64')
+    ? 'aarch64'
+    : target === universalTarget
+      ? 'universal'
+      : 'x64';
   const dmg = path.join(root, `陶泥儿_${version}_${architecture}.dmg`);
   writeFileSync(dmg, 'first installation disk image');
   return dmg;
 }
 
-test('native sidecar builds reject universal targets and accept each macOS architecture', () => {
-  assert.throws(() => buildTauriBuildArguments([], universalTarget), /单架构/);
-  assert.throws(
-    () => buildTauriBuildArguments(['--target=universal-apple-darwin']),
-    /单架构/,
-  );
-  for (const target of ['aarch64-apple-darwin', 'x86_64-apple-darwin']) {
+test('native sidecar builds accept universal and each macOS architecture', () => {
+  for (const target of [
+    universalTarget,
+    'aarch64-apple-darwin',
+    'x86_64-apple-darwin',
+  ]) {
     assert.deepEqual(buildTauriBuildArguments([], target), [
       'build',
       '--target',
@@ -201,8 +204,11 @@ test('channel manifest URL and build-time endpoint follow the channel', () => {
   });
 });
 
-test('macOS manifests only advertise the architecture actually built', () => {
-  assert.throws(() => resolveManifestPlatformKeys(universalTarget), /单架构/);
+test('macOS manifests advertise exactly the architectures actually built', () => {
+  assert.deepEqual(resolveManifestPlatformKeys(universalTarget), [
+    'darwin-aarch64',
+    'darwin-x86_64',
+  ]);
   assert.deepEqual(resolveManifestPlatformKeys('aarch64-apple-darwin'), [
     'darwin-aarch64',
   ]);
@@ -246,7 +252,6 @@ test('release context resolves explicit targets before environment/default and f
     ['--target='],
     ['--target', '--no-bundle'],
     ['--target', windowsTarget, '--target=aarch64-apple-darwin'],
-    ['--target', universalTarget],
     ['--target', 'unknown'],
   ])
     assert.throws(() => resolveReleaseContext(args, {}));
@@ -461,8 +466,8 @@ test('invalid target or platform used as channel fails before any release side e
     },
   };
   await assert.rejects(
-    () => buildRelease(['--target', universalTarget], sideEffects),
-    /单架构/,
+    () => buildRelease(['--target', 'unknown'], sideEffects),
+    /不支持的发布目标/,
   );
   await withEnv({ AGC_UPDATE_CHANNEL: 'dev-win' }, () =>
     assert.rejects(
@@ -473,6 +478,43 @@ test('invalid target or platform used as channel fails before any release side e
   assert.equal(touched, false);
 });
 
+test('universal uses the Mac channel and the same signed artifact for both architectures', () => {
+  const context = resolveReleaseContext(['--target', universalTarget], {
+    AGC_BUILD_TARGET: windowsTarget,
+  });
+  // 渠道本身不含系统：分区由渠道 + 目标推导，二者不能混为一谈。
+  assert.equal(context.channel, 'dev');
+  assert.equal(
+    resolveReleasePartition(context.channel, context.target),
+    'dev-mac',
+  );
+  assert.ok(context.bundleRoot.includes(universalTarget));
+  withSignedArtifact('陶泥儿.app.tar.gz', (artifact) => {
+    const manifest = createUpdateManifest(artifact, {
+      ...context,
+      downloadArtifact: createDmgFixture(
+        path.dirname(artifact),
+        universalTarget,
+      ),
+    });
+    assert.deepEqual(Object.keys(manifest.platforms), [
+      'darwin-aarch64',
+      'darwin-x86_64',
+    ]);
+    assert.deepEqual(
+      manifest.platforms['darwin-aarch64'],
+      manifest.platforms['darwin-x86_64'],
+    );
+    assert.match(manifest.platforms['darwin-aarch64'].url, /\/dev-mac\//);
+    // 两个平台键共用同一个 universal 首装包，不能要求出两份架构 DMG。
+    assert.deepEqual(
+      manifest.downloads['darwin-aarch64'].url,
+      manifest.downloads['darwin-x86_64'].url,
+    );
+    assert.match(manifest.downloads['darwin-aarch64'].url, /_universal\.dmg$/u);
+  });
+});
+
 test('Windows remains the default and explicit Windows overrides macOS environment', () => {
   const files = ['/tmp/mac.app.tar.gz', '/tmp/windows.exe', '/tmp/mac.dmg'];
   for (const context of [
diff --git a/apps/ai-game-creator-shell/scripts/check-config.mjs b/apps/ai-game-creator-shell/scripts/check-config.mjs
index cc77c7b23..98931b12a 100644
--- a/apps/ai-game-creator-shell/scripts/check-config.mjs
+++ b/apps/ai-game-creator-shell/scripts/check-config.mjs
@@ -1365,18 +1365,20 @@ if (windowsTauriConfig.bundle?.useLocalToolsDir !== true) {
 assert.deepEqual(
   macosTauriConfig.bundle?.resources,
   Object.fromEntries([
-    ...[
-      'bin/codex',
-      'bin/codex-code-mode-host',
-      'codex-path/rg',
-      'codex-resources/zsh/bin/zsh',
-      'codex-package.json',
-      'NOTICE.md',
-      'manifest.json',
-    ].map((file) => [
-      `resources/codex/mac-native/${file}`,
-      `coding-agent/mac-native/${file}`,
-    ]),
+    ...['darwin-arm64', 'darwin-x64'].flatMap((arch) =>
+      [
+        'bin/codex',
+        'bin/codex-code-mode-host',
+        'codex-path/rg',
+        'codex-resources/zsh/bin/zsh',
+        'codex-package.json',
+        'NOTICE.md',
+        'manifest.json',
+      ].map((file) => [
+        `resources/codex/mac-native/${arch}/${file}`,
+        `coding-agent/mac-native/${arch}/${file}`,
+      ]),
+    ),
     ['resources/plugins', 'plugins'],
   ]),
   'macOS must bundle the complete native Codex layout and plugin workspace',
diff --git a/apps/ai-game-creator-shell/scripts/check-macos-bundle.mjs b/apps/ai-game-creator-shell/scripts/check-macos-bundle.mjs
index 78e38fdd9..a3f60765e 100644
--- a/apps/ai-game-creator-shell/scripts/check-macos-bundle.mjs
+++ b/apps/ai-game-creator-shell/scripts/check-macos-bundle.mjs
@@ -8,6 +8,13 @@ import path from 'node:path';
 // 只操作临时复制品；不启动 GUI、不读取开发机凭据、不访问 Provider。
 assert.equal(process.platform, 'darwin', '此验证必须在 macOS 执行');
 const source = path.resolve(process.argv[2] || '');
+const architecture =
+  process.argv[3] || (process.arch === 'arm64' ? 'arm64' : 'x86_64');
+assert.ok(
+  ['arm64', 'x86_64'].includes(architecture),
+  '架构只接受 arm64 / x86_64',
+);
+const requireUniversal = process.argv.includes('--universal');
 assert.ok(
   source.endsWith('.app') && fs.statSync(source).isDirectory(),
   '请传入 .app 绝对路径',
@@ -15,7 +22,9 @@ assert.ok(
 const root = fs.realpathSync(
   fs.mkdtempSync(path.join(os.tmpdir(), 'agc-macos-bundle-')),
 );
-const app = path.join(root, '陶泥儿 隔离测试.app');
+// 产品名从传入的 .app 推导，不在校验脚本里写死；改名后校验对象仍指向同一个包。
+const appBundleName = path.basename(source);
+const app = path.join(root, `隔离-${appBundleName}`);
 const home = path.join(root, 'home');
 const config = path.join(root, 'config');
 const tmp = path.join(root, 'tmp');
@@ -31,17 +40,58 @@ const env = {
 };
 
 function run(command, args) {
-  const result = spawnSync(command, args, {
-    cwd: root,
-    env,
-    encoding: 'utf8',
-    timeout: 30_000,
-    maxBuffer: 1024 * 1024,
-  });
+  // 只强制被测应用切片；本机 Xcode 检查工具可能仅提供宿主架构。
+  const useSlice = command.startsWith(`${app}${path.sep}`);
+  const result = spawnSync(
+    useSlice ? '/usr/bin/arch' : command,
+    useSlice ? [`-${architecture}`, command, ...args] : args,
+    {
+      cwd: root,
+      env,
+      encoding: 'utf8',
+      timeout: 120_000,
+      maxBuffer: 1024 * 1024,
+    },
+  );
   assert.ifError(result.error);
   return result;
 }
 
+/**
+ * APFS 上优先用 `ditto --clone`：整包按区块克隆，秒级完成且几乎不占额外空间。
+ * 跨卷或非 APFS 时回退到真实复制；两种路径都必须产出可独立改动的副本，
+ * 因为「缺组件拒绝」用例会在副本里改名文件。
+ */
+function copyBundle(from, to) {
+  const cloned = spawnSync('/usr/bin/ditto', ['--clone', from, to], {
+    encoding: 'utf8',
+  });
+  if (
+    cloned.status === 0 &&
+    fs.existsSync(path.join(to, 'Contents/Info.plist'))
+  ) {
+    return 'clone';
+  }
+  fs.cpSync(from, to, { recursive: true });
+  return 'copy';
+}
+
+/** 可执行名以包内 Info.plist 为准：它是稳定契约，但没必要在校验脚本里重复硬编码。 */
+function readBundleExecutable(appPath) {
+  const plist = path.join(appPath, 'Contents/Info.plist');
+  const result = spawnSync(
+    '/usr/libexec/PlistBuddy',
+    ['-c', 'Print :CFBundleExecutable', plist],
+    { encoding: 'utf8' },
+  );
+  const name = (result.stdout ?? '').trim();
+  assert.ok(
+    name.length > 0,
+    `无法从 Info.plist 读取 CFBundleExecutable：${plist}`,
+  );
+  return name;
+}
+
 async function hashFile(file) {
   const hash = createHash('sha256');
   for await (const chunk of fs.createReadStream(file)) hash.update(chunk);
@@ -60,7 +110,7 @@ async function handshake(executable) {
     await new Promise((resolve, reject) => {
       const timer = setTimeout(
         () => reject(new Error('app-server 初始化超时')),
-        15_000,
+        120_000,
       );
       const finish = (error) => {
         clearTimeout(timer);
@@ -127,22 +177,38 @@ async function handshake(executable) {
 }
 
 try {
-  fs.cpSync(source, app, { recursive: true });
+  const copiedWith = copyBundle(source, app);
   const resources = path.join(app, 'Contents/Resources');
-  const bundle = path.join(resources, 'coding-agent/mac-native');
+  const platform = architecture === 'arm64' ? 'darwin-arm64' : 'darwin-x64';
+  const bundle = path.join(resources, 'coding-agent/mac-native', platform);
   const executable = path.join(bundle, 'bin/codex');
-  const main = path.join(
-    app,
-    'Contents/MacOS/genarrative-ai-game-creator-shell',
-  );
+  const main = path.join(app, 'Contents/MacOS', readBundleExecutable(app));
+  const mainArchitectures = run('/usr/bin/lipo', ['-archs', main]);
+  assert.equal(mainArchitectures.status, 0);
+  assert.ok(mainArchitectures.stdout.split(/\s+/).includes(architecture));
+  if (requireUniversal) {
+    assert.deepEqual(mainArchitectures.stdout.trim().split(/\s+/).sort(), [
+      'arm64',
+      'x86_64',
+    ]);
+    for (const platform of ['darwin-arm64', 'darwin-x64']) {
+      assert.ok(
+        fs.existsSync(
+          path.join(
+            resources,
+            'coding-agent/mac-native',
+            platform,
+            'manifest.json',
+          ),
+        ),
+      );
+    }
+  }
   const manifest = JSON.parse(
     fs.readFileSync(path.join(bundle, 'manifest.json'), 'utf8'),
   );
   assert.equal(manifest.schemaVersion, 'genarrative-codex-sidecar.v2');
-  assert.equal(
-    manifest.platform,
-    process.arch === 'arm64' ? 'darwin-arm64' : 'darwin-x64',
-  );
+  assert.equal(manifest.platform, platform);
   assert.equal(manifest.version, 'codex-cli 0.147.0');
   const components = [
     'bin/codex',
@@ -159,11 +225,7 @@ try {
       fs.accessSync(file, fs.constants.X_OK);
       const arch = run('/usr/bin/lipo', ['-archs', file]);
       assert.equal(arch.status, 0, component);
-      assert.equal(
-        arch.stdout.trim(),
-        process.arch === 'arm64' ? 'arm64' : 'x86_64',
-        component,
-      );
+      assert.equal(arch.stdout.trim(), architecture, component);
     }
   }
   assert.ok(fs.existsSync(path.join(bundle, 'NOTICE.md')));
@@ -212,7 +274,7 @@ try {
   assert.notEqual(broken.status, 0);
   assert.match(`${broken.stdout}\n${broken.stderr}`, /Codex CLI 未安装/);
   console.log(
-    'PASS: 隔离安装包资源、架构、摘要、权限、正式 Codex 查找、app-server 握手及缺组件拒绝',
+    `PASS (${architecture}, 副本=${copiedWith}): 隔离安装包资源、架构、摘要、权限、正式 Codex 查找、app-server 握手及缺组件拒绝`,
   );
   console.log(
     '未验证：GUI、真实登录/Provider 对话、Cocos macOS 原生桥接；插件 Node 仍为外部前提',
diff --git a/apps/ai-game-creator-shell/scripts/prepare-macos-codex.mjs b/apps/ai-game-creator-shell/scripts/prepare-macos-codex.mjs
new file mode 100644
index 000000000..6335fda74
--- /dev/null
+++ b/apps/ai-game-creator-shell/scripts/prepare-macos-codex.mjs
@@ -0,0 +1,134 @@
+import assert from 'node:assert/strict';
+import { execFileSync } from 'node:child_process';
+import { createHash } from 'node:crypto';
+import fs from 'node:fs';
+import path from 'node:path';
+import { fileURLToPath } from 'node:url';
+
+const appRoot = fileURLToPath(new URL('..', import.meta.url));
+const repoRoot = path.resolve(appRoot, '../..');
+const platforms = {
+  arm64: 'aarch64-apple-darwin',
+  x64: 'x86_64-apple-darwin',
+};
+
+export function lockedMacPackage(lock, arch, version) {
+  assert.ok(Object.hasOwn(platforms, arch), '未知 macOS 架构');
+  const alias = `@openai/codex-darwin-${arch}`;
+  const entry = lock.packages?.[`node_modules/${alias}`];
+  assert.equal(
+    entry?.version,
+    `${version}-darwin-${arch}`,
+    '原生依赖必须与应用锁定版本一致',
+  );
+  assert.deepEqual(entry.os, ['darwin']);
+  assert.deepEqual(entry.cpu, [arch]);
+  const url = new URL(entry.resolved);
+  assert.equal(url.protocol, 'https:');
+  assert.equal(
+    url.hostname,
+    'registry.npmjs.org',
+    '只下载锁定的官方 npm 原生包',
+  );
+  assert.equal(url.username + url.password + url.search + url.hash, '');
+  assert.match(entry.integrity, /^sha512-[A-Za-z0-9+/]+={0,2}$/);
+  return { alias, target: platforms[arch], ...entry };
+}
+
+export function verifyPackageIntegrity(bytes, expected) {
+  const actual = `sha512-${createHash('sha512').update(bytes).digest('base64')}`;
+  assert.equal(actual, expected, 'Codex 下载包 lockfile integrity 不匹配');
+}
+
+export function validateArchiveListing(listing) {
+  const files = listing.trim().split(/\r?\n/u);
+  assert.ok(files.length > 0);
+  for (const file of files) {
+    assert.ok(file.startsWith('package/'), '原生包必须只有 package 根目录');
+    assert.ok(
+      !file.split('/').includes('..') && !file.includes('\\'),
+      '压缩包路径不安全',
+    );
+  }
+}
+
+export async function prepareMacosCodex() {
+  assert.equal(process.platform, 'darwin', '该入口仅用于 macOS 构建机');
+  const lock = JSON.parse(
+    fs.readFileSync(path.join(repoRoot, 'package-lock.json'), 'utf8'),
+  );
+  const app = JSON.parse(
+    fs.readFileSync(path.join(appRoot, 'package.json'), 'utf8'),
+  );
+  const version = app.devDependencies['@openai/codex'];
+  assert.match(version, /^\d+\.\d+\.\d+$/u, 'Codex 必须锁定精确版本');
+  const cache = path.join(appRoot, 'src-tauri/target/.macos-native-cache');
+  fs.mkdirSync(cache, { recursive: true });
+  for (const arch of Object.keys(platforms)) {
+    const entry = lockedMacPackage(lock, arch, version);
+    const archive = path.join(cache, `codex-${entry.version}.tgz`);
+    if (!fs.existsSync(archive)) {
+      const response = await fetch(entry.resolved, {
+        signal: AbortSignal.timeout(300_000),
+      });
+      assert.ok(response.ok, `原生包下载失败 HTTP ${response.status}`);
+      const bytes = Buffer.from(await response.arrayBuffer());
+      verifyPackageIntegrity(bytes, entry.integrity);
+      const partial = `${archive}.${process.pid}.tmp`;
+      fs.writeFileSync(partial, bytes);
+      fs.renameSync(partial, archive);
+    }
+    verifyPackageIntegrity(fs.readFileSync(archive), entry.integrity);
+    validateArchiveListing(
+      execFileSync('tar', ['-tzf', archive], { encoding: 'utf8' }),
+    );
+    // 拒绝链接、设备及其它特殊条目，不能让 tar 在包目录之外写入。
+    const entries = execFileSync('tar', ['-tvzf', archive], {
+      encoding: 'utf8',
+    });
+    assert.ok(
+      entries
+        .trim()
+        .split(/\r?\n/u)
+        .every((line) => /^[-d]/u.test(line)),
+      '原生包禁止链接或特殊文件',
+    );
+    const parent = path.join(repoRoot, 'node_modules/@openai');
+    fs.mkdirSync(parent, { recursive: true });
+    const stage = fs.mkdtempSync(path.join(parent, '.mac-native-'));
+    try {
+      execFileSync(
+        'tar',
+        ['-xzf', archive, '-C', stage, '--strip-components=1'],
+        { stdio: 'pipe' },
+      );
+      const metadata = JSON.parse(
+        fs.readFileSync(
+          path.join(stage, 'vendor', entry.target, 'codex-package.json'),
+          'utf8',
+        ),
+      );
+      assert.equal(metadata.version, version);
+      assert.equal(metadata.target, entry.target);
+      assert.equal(metadata.entrypoint, 'bin/codex');
+      const destination = path.join(repoRoot, 'node_modules', entry.alias);
+      assert.ok(
+        !fs.existsSync(destination) ||
+          !fs.lstatSync(destination).isSymbolicLink(),
+        '拒绝覆盖链接依赖',
+      );
+      fs.rmSync(destination, { recursive: true, force: true });
+      fs.renameSync(stage, destination);
+    } finally {
+      fs.rmSync(stage, { recursive: true, force: true });
+    }
+    console.log(`[macOS Codex] ${entry.version}: lockfile integrity 已验证`);
+  }
+}
+
+if (
+  process.argv[1] &&
+  path.resolve(process.argv[1]) === fileURLToPath(import.meta.url)
+) {
+  await prepareMacosCodex();
+}
diff --git a/apps/ai-game-creator-shell/scripts/prepare-macos-codex.test.mjs b/apps/ai-game-creator-shell/scripts/prepare-macos-codex.test.mjs
new file mode 100644
index 000000000..4caae3656
--- /dev/null
+++ b/apps/ai-game-creator-shell/scripts/prepare-macos-codex.test.mjs
@@ -0,0 +1,197 @@
+import assert from 'node:assert/strict';
+import { createHash } from 'node:crypto';
+import fs from 'node:fs';
+import { test } from 'node:test';
+
+import {
+  lockedMacPackage,
+  validateArchiveListing,
+  verifyPackageIntegrity,
+} from './prepare-macos-codex.mjs';
+
+const lock = JSON.parse(
+  fs.readFileSync(new URL('../../../package-lock.json', import.meta.url)),
+);
+const version = JSON.parse(
+  fs.readFileSync(new URL('../package.json', import.meta.url)),
+).devDependencies['@openai/codex'];
+
+test('both macOS dependencies resolve from the lockfile without floating versions', () => {
+  assert.equal(
+    lockedMacPackage(lock, 'arm64', version).target,
+    'aarch64-apple-darwin',
+  );
+  assert.equal(
+    lockedMacPackage(lock, 'x64', version).target,
+    'x86_64-apple-darwin',
+  );
+  assert.throws(() => lockedMacPackage(lock, 'other', version));
+  assert.throws(() => lockedMacPackage(lock, 'x64', '0.0.0'));
+});
+
+test('native package integrity rejects tampering', () => {
+  const bytes = Buffer.from('pinned package');
+  const integrity = `sha512-${createHash('sha512').update(bytes).digest('base64')}`;
+  verifyPackageIntegrity(bytes, integrity);
+  assert.throws(() =>
+    verifyPackageIntegrity(Buffer.from('modified'), integrity),
+  );
+});
+
+test('archive traversal and non-package entries fail closed', () => {
+  validateArchiveListing(
+    'package/package.json\npackage/vendor/target/bin/codex\n',
+  );
+  for (const listing of [
+    '',
+    '/tmp/payload',
+    'package/../private',
+    'other/file',
+    'package/..\\file',
+  ]) {
+    assert.throws(() => validateArchiveListing(listing));
+  }
+});
+
+test('CI pipeline is manual, publishes the macOS partition and never reuses a developer workspace', () => {
+  const pipeline = fs.readFileSync(
+    new URL(
+      '../../../jenkins/Jenkinsfile.ai-game-creator-shell-macos-build',
+      import.meta.url,
+    ),
+    'utf8',
+  );
+  for (const required of [
+    'genarrative-agc-macos',
+    'disableConcurrentBuilds()',
+    '$AGC_AGENT_ROOT',
+    'StrictHostKeyChecking=yes',
+    'git merge-base --is-ancestor',
+    'allowEmptyArchive: false',
+    "string(name: 'AGC_UPDATE_CHANNEL', defaultValue: 'dev'",
+    'AGC_UPDATE_CHANNEL=${params.AGC_UPDATE_CHANNEL}',
+    "string(credentialsId: 'AgcUpdaterSigningKey'",
+    "string(credentialsId: 'AgcUpdaterSigningKeyPassword'",
+    "string(credentialsId: 'AliyunAccessKeyId'",
+    "string(credentialsId: 'AliyunaccessKeySecret'",
+    'AGC_RELEASE_VERSION',
+    'OSSUTIL_BIN',
+    // 并行度必须可调：节点是共用机器，写死容易把整机压满或反过来浪费一半核心。
+    "string(name: 'CARGO_BUILD_JOBS', defaultValue: '8'",
+    'CARGO_BUILD_JOBS=${params.CARGO_BUILD_JOBS}',
+    // Agent 工作区按约定匹配，不写死节点名：节点改名（-local → -01）后守卫仍成立。
+    '"$HOME"/Library/Jenkins/agents/*/workspace/*',
+    // 上一次发布的 commit 落在 master 上，取到它更新摘要才不会退化成「最近提交」。
+    'refs/heads/master:refs/remotes/origin/master',
+  ]) {
+    assert.ok(pipeline.includes(required), required);
+  }
+  assert.ok(
+    !pipeline.includes('genarrative-agc-macos-local'),
+    'Jenkinsfile 不得写死具体节点名',
+  );
+  // 这条管线是正式发布入口（与 Windows 对称）：默认真发布，演练需显式勾选。
+  assert.match(
+    pipeline,
+    /booleanParam\(name: 'AGC_RELEASE_DRY_RUN', defaultValue: false/u,
+    'Channel 发布默认必须是真发布，演练只能显式勾选',
+  );
+  // 节点是办公机：离线期间排队的旧构建必须自行让位，且跳过要覆盖后续全部阶段。
+  assert.match(
+    pipeline,
+    /booleanParam\(name: 'SKIP_IF_SUPERSEDED', defaultValue: false/u,
+  );
+  // 仓库文件不得出现节点用户名/个人 Home 路径：换机或改名后必须仍然可用。
+  assert.ok(
+    !pipeline.includes('/Users/'),
+    'Jenkinsfile 不得写死个人 Home 路径，工具链位置应按 $HOME 展开',
+  );
+  assert.ok(
+    pipeline.includes('export PATH="$HOME/'),
+    'PATH 必须在 shell 步骤里按 $HOME 展开',
+  );
+  // 超时必须高于实测最慢（78 分钟冷构建 + 共用机器），否则会被中断在链接阶段。
+  assert.ok(
+    pipeline.includes('timeout(time: 150'),
+    '构建超时上限必须留出冷构建余量',
+  );
+  for (const diagnostic of ['macOS 发布失败', '被中断']) {
+    assert.ok(pipeline.includes(diagnostic), diagnostic);
+  }
+  assert.ok(
+    pipeline.includes('.jenkins-superseded-by'),
+    '必须记录被推进的标记供后续阶段判定',
+  );
+  assert.equal(
+    (pipeline.match(/env\.AGC_BUILD_SUPERSEDED != 'true'/gu) ?? []).length,
+    3,
+    'Toolchain / Package / Archive 三个阶段都必须按跳过标记收口',
+  );
+  for (const forbidden of [
+    'triggers {',
+    'cron(',
+    'pollSCM(',
+    'git clean -fdx',
+    // release:upload 会重新触发一次完整构建，既翻倍耗时也绕过本 Job 的验签门禁。
+    'release:upload',
+  ]) {
+    assert.ok(!pipeline.includes(forbidden), forbidden);
+  }
+});
+
+test('macOS release entry verifies the updater signature before uploading', () => {
+  const entry = fs.readFileSync(
+    new URL('./build-macos-ci.mjs', import.meta.url),
+    'utf8',
+  );
+  const verifyIndex = entry.indexOf('verifyUpdaterSignature({');
+  const uploadIndex = entry.indexOf('uploadReleaseArtifacts(release');
+  assert.ok(verifyIndex > 0, '必须调用更新包验签');
+  assert.ok(uploadIndex > 0, '必须调用 OSS 上传');
+  assert.ok(verifyIndex < uploadIndex, '必须先验签再上传，验不过不得写 OSS');
+  // 无签名私钥时禁止构建：未签名的更新包会被客户端一律拒绝。
+  assert.ok(entry.includes('TAURI_SIGNING_PRIVATE_KEY'));
+  // `--no-sign` 会连带跳过 updater 的 minisign 签名，产物将没有 .sig，入口不得传它。
+  assert.ok(
+    !entry.includes("'--no-sign'"),
+    '--no-sign 会同时跳过 updater 签名，产物缺少 .sig',
+  );
+  // workspace 会跨构建保留产物：必须先删本次要写的对象，否则会因同名 DMG 失败，
+  // 或让上一轮遗留的 .sig 让验签门禁误通过。
+  for (const required of [
+    // 清理对象用派生的产品名算出来，而不是写死某个名字。
+    '${updaterArtifactName}.sig',
+    '${firstInstallName}.sha256',
+    'fs.rmSync(stale, { force: true })',
+    "'-ov'",
+  ]) {
+    assert.ok(entry.includes(required), required);
+  }
+});
+
+test('macOS release entry and smoke script derive product names from config and the bundle', () => {
+  const entry = fs.readFileSync(
+    new URL('./build-macos-ci.mjs', import.meta.url),
+    'utf8',
+  );
+  // 产品名决定 *.app、updater 归档与 DMG 卷名：写死会在改名后静默找错对象。
+  assert.ok(entry.includes('readProductName'), '入口必须从 Tauri 配置读产品名');
+  assert.ok(!entry.includes('陶泥儿'), 'macOS 发布入口不得写死产品名');
+  assert.ok(
+    entry.includes('_${version}_universal.dmg'),
+    '首装包名必须保留清单侧唯一匹配所需的后缀',
+  );
+
+  const smoke = fs.readFileSync(
+    new URL('./check-macos-bundle.mjs', import.meta.url),
+    'utf8',
+  );
+  assert.ok(!smoke.includes('陶泥儿'), '校验脚本不得写死产品名');
+  for (const required of [
+    'path.basename(source)',
+    'Print :CFBundleExecutable',
+    "'--clone'",
+  ]) {
+    assert.ok(smoke.includes(required), required);
+  }
+});
diff --git a/apps/ai-game-creator-shell/scripts/verify-updater-signature.mjs b/apps/ai-game-creator-shell/scripts/verify-updater-signature.mjs
new file mode 100644
index 000000000..c55671369
--- /dev/null
+++ b/apps/ai-game-creator-shell/scripts/verify-updater-signature.mjs
@@ -0,0 +1,177 @@
+import {
+  createHash,
+  createPublicKey,
+  verify as cryptoVerify,
+} from 'node:crypto';
+import fs from 'node:fs';
+import path from 'node:path';
+import { fileURLToPath } from 'node:url';
+
+/**
+ * 更新包签名门禁：用产物里烘焙的 updater 公钥校验 `.sig`，
+ * 防止「发布出去的更新包没人装得上」——客户端校验失败会直接拒绝安装，
+ * 而且公钥发布后不可更换，所以必须在构建期、上传前就失败关闭。
+ *
+ * 格式说明（与 Tauri 2 的实际产出对齐，均为实测）：
+ * - `tauri.conf.json` 的 `plugins.updater.pubkey` 是「minisign 公钥文本」的 base64；
+ * - 产物旁的 `<artifact>.sig` 是「minisign 签名文本」的 base64；
+ * - 公钥 blob 42 字节（alg `Ed` + 8 字节 keyId + 32 字节 Ed25519 公钥）；
+ * - 签名 blob 74 字节（alg `Ed` 或 `ED` + 8 字节 keyId + 64 字节签名）；
+ * - Tauri 产出的是 `ED`：先对文件做 BLAKE2b-512，再对摘要做 Ed25519 签名。
+ */
+const appRoot = fileURLToPath(new URL('..', import.meta.url));
+const defaultTauriConfigPath = path.join(appRoot, 'src-tauri/tauri.conf.json');
+const defaultMacosConfigPath = path.join(
+  appRoot,
+  'src-tauri/tauri.macos.conf.json',
+);
+
+const PUBLIC_KEY_ALGORITHM = 'Ed';
+const RAW_ALGORITHM = 'Ed';
+const PREHASHED_ALGORITHM = 'ED';
+
+function unwrapMinisignText(value, label) {
+  if (typeof value !== 'string' || value.trim().length === 0) {
+    throw new Error(`${label} 为空`);
+  }
+  const trimmed = value.trim();
+  if (trimmed.startsWith('untrusted comment:')) return trimmed;
+  const decoded = Buffer.from(trimmed, 'base64').toString('utf8');
+  if (!decoded.startsWith('untrusted comment:')) {
+    throw new Error(`${label} 不是 minisign 内容（缺少 untrusted comment 头）`);
+  }
+  return decoded;
+}
+
+function contentLines(text) {
+  return text
+    .split('\n')
+    .map((line) => line.trim())
+    .filter((line) => line.length > 0);
+}
+
+/** 解析 updater 公钥（`tauri.conf.json` 里的 base64 值或 minisign 文本）。 */
+export function decodeUpdaterPublicKey(value, label = 'updater 公钥') {
+  const lines = contentLines(unwrapMinisignText(value, label));
+  if (lines.length < 2) throw new Error(`${label} 缺少密钥内容行`);
+  const blob = Buffer.from(lines[1], 'base64');
+  if (blob.length !== 42) {
+    throw new Error(
+      `${label} 长度异常：期望 42 字节，实际 ${blob.length} 字节`,
+    );
+  }
+  const algorithm = blob.subarray(0, 2).toString('latin1');
+  if (algorithm !== PUBLIC_KEY_ALGORITHM) {
+    throw new Error(`${label} 算法不受支持：${algorithm}`);
+  }
+  return { algorithm, keyId: blob.subarray(2, 10), key: blob.subarray(10) };
+}
+
+/** 解析 `.sig`（base64 值或 minisign 文本）。 */
+export function decodeUpdaterSignature(value, label = '更新包签名') {
+  const lines = contentLines(unwrapMinisignText(value, label));
+  if (lines.length < 2) throw new Error(`${label} 缺少签名内容行`);
+  const blob = Buffer.from(lines[1], 'base64');
+  if (blob.length !== 74) {
+    throw new Error(
+      `${label} 长度异常：期望 74 字节，实际 ${blob.length} 字节`,
+    );
+  }
+  const algorithm = blob.subarray(0, 2).toString('latin1');
+  if (algorithm !== RAW_ALGORITHM && algorithm !== PREHASHED_ALGORITHM) {
+    throw new Error(`${label} 算法不受支持：${algorithm}`);
+  }
+  return {
+    algorithm,
+    keyId: blob.subarray(2, 10),
+    signature: blob.subarray(10),
+    trustedComment: lines[2] ?? '',
+  };
+}
+
+function publicKeyObject(rawKey) {
+  return createPublicKey({
+    key: { kty: 'OKP', crv: 'Ed25519', x: rawKey.toString('base64url') },
+    format: 'jwk',
+  });
+}
+
+/**
+ * 校验更新包签名；任何不一致都抛错（调用方据此失败关闭）。
+ */
+export function verifyUpdaterSignature({
+  artifactPath,
+  signaturePath,
+  pubkey,
+}) {
+  const publicKey = decodeUpdaterPublicKey(pubkey);
+  const signature = decodeUpdaterSignature(
+    fs.readFileSync(signaturePath, 'utf8'),
+  );
+  if (!publicKey.keyId.equals(signature.keyId)) {
+    throw new Error(
+      `更新包签名与内置公钥的 keyId 不一致：公钥 ${publicKey.keyId.toString('hex')}，签名 ${signature.keyId.toString('hex')}；` +
+        '签名私钥与产物内烘焙的公钥不是同一对，发布后客户端会拒绝安装',
+    );
+  }
+  const payload = fs.readFileSync(artifactPath);
+  const message =
+    signature.algorithm === PREHASHED_ALGORITHM
+      ? createHash('blake2b512').update(payload).digest()
+      : payload;
+  if (
+    !cryptoVerify(
+      null,
+      message,
+      publicKeyObject(publicKey.key),
+      signature.signature,
+    )
+  ) {
+    throw new Error(
+      `更新包签名校验失败：${path.basename(artifactPath)}；该产物无法被客户端接受`,
+    );
+  }
+  return {
+    algorithm: signature.algorithm,
+    keyId: publicKey.keyId.toString('hex'),
+    trustedComment: signature.trustedComment,
+  };
+}
+
+/**
+ * 读取该平台生效的 updater 公钥：macOS 配置可覆盖基础配置，与构建期行为一致。
+ */
+export function readUpdaterPubkey({
+  configPath = defaultTauriConfigPath,
+  platformConfigPath = defaultMacosConfigPath,
+} = {}) {
+  const readPubkey = (file) => {
+    if (!fs.existsSync(file)) return null;
+    const config = JSON.parse(fs.readFileSync(file, 'utf8'));
+    return config?.plugins?.updater?.pubkey ?? null;
+  };
+  const pubkey = readPubkey(platformConfigPath) ?? readPubkey(configPath);
+  if (!pubkey) throw new Error('未在 Tauri 配置中找到 plugins.updater.pubkey');
+  return pubkey;
+}
+
+if (
+  process.argv[1] &&
+  path.resolve(process.argv[1]) === fileURLToPath(import.meta.url)
+) {
+  const [artifactPath, signaturePath = `${artifactPath}.sig`] =
+    process.argv.slice(2);
+  if (!artifactPath) {
+    throw new Error(
+      '用法：node verify-updater-signature.mjs <更新包> [<签名文件>]',
+    );
+  }
+  const result = verifyUpdaterSignature({
+    artifactPath,
+    signaturePath,
+    pubkey: readUpdaterPubkey(),
+  });
+  console.log(
+    `[agc-macos] 更新包签名校验通过：${path.basename(artifactPath)}（alg=${result.algorithm}，keyId=${result.keyId}）`,
+  );
+}
diff --git a/apps/ai-game-creator-shell/scripts/verify-updater-signature.test.mjs b/apps/ai-game-creator-shell/scripts/verify-updater-signature.test.mjs
new file mode 100644
index 000000000..c30ecc710
--- /dev/null
+++ b/apps/ai-game-creator-shell/scripts/verify-updater-signature.test.mjs
@@ -0,0 +1,182 @@
+import assert from 'node:assert/strict';
+import {
+  createHash,
+  generateKeyPairSync,
+  randomBytes,
+  sign as cryptoSign,
+} from 'node:crypto';
+import fs from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+import test from 'node:test';
+
+import {
+  decodeUpdaterPublicKey,
+  decodeUpdaterSignature,
+  readUpdaterPubkey,
+  verifyUpdaterSignature,
+} from './verify-updater-signature.mjs';
+
+/**
+ * 用进程内生成的 Ed25519 密钥自造 minisign 结构，
+ * 覆盖 Tauri 实际使用的 `ED`（BLAKE2b-512 预哈希）与 `Ed`（原文）两种模式。
+ */
+function createKeyMaterial() {
+  const { publicKey, privateKey } = generateKeyPairSync('ed25519');
+  const rawKey = Buffer.from(
+    publicKey.export({ format: 'jwk' }).x,
+    'base64url',
+  );
+  const keyId = randomBytes(8);
+  const pubkey = Buffer.from(
+    `untrusted comment: minisign public key: ${keyId.reverse().toString('hex').toUpperCase()}\n` +
+      `${Buffer.concat([Buffer.from('Ed'), keyId, rawKey]).toString('base64')}\n`,
+  ).toString('base64');
+  return { privateKey, keyId, rawKey, pubkey };
+}
+
+function signFixture({ privateKey, keyId }, payload, algorithm) {
+  const message =
+    algorithm === 'ED'
+      ? createHash('blake2b512').update(payload).digest()
+      : payload;
+  const signature = cryptoSign(null, message, privateKey);
+  const blob = Buffer.concat([Buffer.from(algorithm), keyId, signature]);
+  const globalSignature = cryptoSign(null, blob, privateKey);
+  return Buffer.from(
+    'untrusted comment: signature from tauri secret key\n' +
+      `${blob.toString('base64')}\n` +
+      'trusted comment: timestamp:0\tfile:fixture\n' +
+      `${globalSignature.toString('base64')}\n`,
+  ).toString('base64');
+}
+
+function withFixture(run) {
+  const directory = fs.mkdtempSync(path.join(os.tmpdir(), 'agc-sig-test-'));
+  try {
+    const artifactPath = path.join(directory, 'app.app.tar.gz');
+    fs.writeFileSync(artifactPath, 'update payload');
+    return run({ directory, artifactPath });
+  } finally {
+    fs.rmSync(directory, { recursive: true, force: true });
+  }
+}
+
+test('接受 Tauri 实际使用的 ED（BLAKE2b-512 预哈希）签名', () => {
+  withFixture(({ directory, artifactPath }) => {
+    const material = createKeyMaterial();
+    const signaturePath = path.join(directory, 'app.app.tar.gz.sig');
+    fs.writeFileSync(
+      signaturePath,
+      signFixture(material, fs.readFileSync(artifactPath), 'ED'),
+    );
+    const result = verifyUpdaterSignature({
+      artifactPath,
+      signaturePath,
+      pubkey: material.pubkey,
+    });
+    assert.equal(result.algorithm, 'ED');
+    assert.equal(result.keyId, material.keyId.toString('hex'));
+  });
+});
+
+test('接受原文 Ed 签名，两种算法互不通用', () => {
+  withFixture(({ directory, artifactPath }) => {
+    const material = createKeyMaterial();
+    const payload = fs.readFileSync(artifactPath);
+    const signaturePath = path.join(directory, 'app.app.tar.gz.sig');
+    fs.writeFileSync(signaturePath, signFixture(material, payload, 'Ed'));
+    assert.equal(
+      verifyUpdaterSignature({
+        artifactPath,
+        signaturePath,
+        pubkey: material.pubkey,
+      }).algorithm,
+      'Ed',
+    );
+    // 原文模式下签名的是别的载荷时必须失败：证明确实在校验内容而非只看结构。
+    fs.writeFileSync(
+      signaturePath,
+      signFixture(material, Buffer.from('别的载荷'), 'Ed'),
+    );
+    assert.throws(
+      () =>
+        verifyUpdaterSignature({
+          artifactPath,
+          signaturePath,
+          pubkey: material.pubkey,
+        }),
+      /签名校验失败/u,
+    );
+  });
+});
+
+test('产物被篡改时失败关闭', () => {
+  withFixture(({ directory, artifactPath }) => {
+    const material = createKeyMaterial();
+    const signaturePath = path.join(directory, 'app.app.tar.gz.sig');
+    fs.writeFileSync(
+      signaturePath,
+      signFixture(material, fs.readFileSync(artifactPath), 'ED'),
+    );
+    fs.writeFileSync(artifactPath, 'tampered payload');
+    assert.throws(
+      () =>
+        verifyUpdaterSignature({
+          artifactPath,
+          signaturePath,
+          pubkey: material.pubkey,
+        }),
+      /签名校验失败/u,
+    );
+  });
+});
+
+test('签名私钥与内置公钥不是同一对时给出明确错误', () => {
+  withFixture(({ directory, artifactPath }) => {
+    const signing = createKeyMaterial();
+    const baked = createKeyMaterial();
+    const signaturePath = path.join(directory, 'app.app.tar.gz.sig');
+    fs.writeFileSync(
+      signaturePath,
+      signFixture(signing, fs.readFileSync(artifactPath), 'ED'),
+    );
+    assert.throws(
+      () =>
+        verifyUpdaterSignature({
+          artifactPath,
+          signaturePath,
+          pubkey: baked.pubkey,
+        }),
+      /keyId 不一致/u,
+    );
+  });
+});
+
+test('公钥或签名格式非法时拒绝解析', () => {
+  assert.throws(() => decodeUpdaterPublicKey(''), /为空/u);
+  assert.throws(
+    () => decodeUpdaterPublicKey('bm90IGEgbWluaXNpZ24ga2V5'),
+    /不是 minisign 内容/u,
+  );
+  assert.throws(
+    () =>
+      decodeUpdaterPublicKey(
+        Buffer.from('untrusted comment: x\nAAAA\n').toString('base64'),
+      ),
+    /长度异常/u,
+  );
+  assert.throws(
+    () =>
+      decodeUpdaterSignature(
+        Buffer.from('untrusted comment: x\nAAAA\n').toString('base64'),
+      ),
+    /长度异常/u,
+  );
+});
+
+test('仓库里配置的 updater 公钥可被解析（两平台共用）', () => {
+  const decoded = decodeUpdaterPublicKey(readUpdaterPubkey());
+  assert.equal(decoded.algorithm, 'Ed');
+  assert.equal(decoded.key.length, 32);
+});
diff --git a/apps/ai-game-creator-shell/src-tauri/build.rs b/apps/ai-game-creator-shell/src-tauri/build.rs
index 2cc8e48ec..be4436c86 100644
--- a/apps/ai-game-creator-shell/src-tauri/build.rs
+++ b/apps/ai-game-creator-shell/src-tauri/build.rs
@@ -33,7 +33,23 @@ fn sha256_file(path: &std::path::Path) -> Result<String, std::io::Error> {
 fn stage_bundled_codex_cli(manifest_dir: &std::path::Path) {
     let target = env::var("TARGET").expect("Cargo TARGET");
     println!("cargo:rustc-env=AGC_BUILD_TARGET={target}");
-    let Some(layout) = codex_bundle::for_target(&target) else {
+    if target.contains("apple-darwin") {
+        // Tauri 的 universal 两次 Cargo 编译共用 resource staging，
+        // 每次都生成完整双架构目录，最终 bundle 不取决于最后编译的切片。
+        let staging = manifest_dir.join("resources/codex/mac-native");
+        if staging.exists() {
+            fs::remove_dir_all(&staging).expect("清理 macOS Codex staging 失败");
+        }
+        for target in ["aarch64-apple-darwin", "x86_64-apple-darwin"] {
+            stage_codex_target(manifest_dir, target);
+        }
+    } else {
+        stage_codex_target(manifest_dir, &target);
+    }
+}
+
+fn stage_codex_target(manifest_dir: &std::path::Path, target: &str) {
+    let Some(layout) = codex_bundle::for_target(target) else {
         assert!(
             !target.contains("windows") && !target.contains("apple-darwin"),
             "不支持的 Codex 随包目标：{target}"
@@ -83,7 +99,7 @@ fn stage_bundled_codex_cli(manifest_dir: &std::path::Path) {
             &fs::read(source.join("codex-package.json")).expect("读取 Codex 原生包元数据失败"),
         )
         .expect("Codex 原生包元数据无效");
-        codex_bundle::validate_package_metadata(&metadata, &target, layout)
+        codex_bundle::validate_package_metadata(&metadata, target, layout)
             .unwrap_or_else(|error| panic!("{error}"));
         let target_dir = manifest_dir.join("resources/codex").join(layout.directory);
         let notice = target_dir.join("NOTICE.md");
diff --git a/apps/ai-game-creator-shell/src-tauri/build_support/codex_bundle.rs b/apps/ai-game-creator-shell/src-tauri/build_support/codex_bundle.rs
index 1811f6a25..8abb36294 100644
--- a/apps/ai-game-creator-shell/src-tauri/build_support/codex_bundle.rs
+++ b/apps/ai-game-creator-shell/src-tauri/build_support/codex_bundle.rs
@@ -49,7 +49,11 @@ pub fn for_target(target: &str) -> Option<Layout> {
             } else {
                 "codex-darwin-x64"
             },
-            directory: "mac-native",
+            directory: if target.starts_with("aarch64") {
+                "mac-native/darwin-arm64"
+            } else {
+                "mac-native/darwin-x64"
+            },
             executable: "bin/codex",
             files: MAC_FILES,
         }),
@@ -90,6 +94,9 @@ mod tests {
         let intel = for_target("x86_64-apple-darwin").unwrap();
         assert_eq!(intel.platform, "darwin-x64");
         assert_eq!(intel.npm_package, "codex-darwin-x64");
+        assert_eq!(mac.directory, "mac-native/darwin-arm64");
+        assert_eq!(intel.directory, "mac-native/darwin-x64");
+        assert_ne!(mac.directory, intel.directory);
         let windows = for_target("x86_64-pc-windows-msvc").unwrap();
         assert_eq!(windows.directory, "win-x64");
         assert_eq!(windows.files.len(), 6);
diff --git a/apps/ai-game-creator-shell/src-tauri/src/asset_generation_tasks.rs b/apps/ai-game-creator-shell/src-tauri/src/asset_generation_tasks.rs
index f7b1e897d..0fd3f96d6 100644
--- a/apps/ai-game-creator-shell/src-tauri/src/asset_generation_tasks.rs
+++ b/apps/ai-game-creator-shell/src-tauri/src/asset_generation_tasks.rs
@@ -29,7 +29,11 @@ use crate::agent::{
     write_agent_runtime_json_sidecar_with_max_bytes, PlatformArtAssetGenerationOptions,
 };
 use crate::commands::prepare_local_project_asset_generation;
-use crate::project::{enforce_project_permission_policy, read_existing_manifest_for_project};
+use crate::project::{
+    enforce_project_permission_policy, prepare_local_project_audio_generation,
+    read_existing_manifest_for_project, run_local_project_audio_generation_at,
+    LocalProjectAudioGenerationRequest, LocalProjectResourceEditKind,
+};
 use shared_contracts::game_creation_app::GameCreationAppAssetKind;
 
 pub(crate) const ASSET_GENERATION_TASK_SCHEMA_VERSION: &str = "agc-asset-generation-task.v1";
@@ -63,6 +67,8 @@ const ASSET_GENERATION_TASK_INTERRUPTED_INCOMPLETE_ERROR: &str =
     "应用退出时生成任务仍在进行，目标素材未登记";
 const ASSET_GENERATION_TASK_INTERRUPTED_UNKNOWN_ERROR: &str =
     "应用退出时生成任务仍在进行，未能在清单里确认结果";
+/// 音频任务收口：通道跑完但没有登记出素材（`derive` 在有源 / 无源两条路上都必须登记 assets）。
+const ASSET_GENERATION_AUDIO_MISSING_ASSET_ERROR: &str = "生成完成但未登记素材";
 
 /// 一条生成任务的权威记录。字段名与前端一一对应（camelCase）。
 #[derive(Clone, Debug, Eq, PartialEq, serde::Serialize, serde::Deserialize)]
@@ -336,6 +342,21 @@ fn remove_live_task_id(task_id: &str) {
     }
 }
 
+/// 登记一条「本进程正在推的任务」，返回 true 表示这次确实插入了新的 id。
+///
+/// 顺序是硬约束：**先登记 live 再落账本**。`list` 只把「非终态且不 live」的记录判为上次运行的
+/// 残留，反过来先落账本就会留出一个窗口——并发 `list` 会在窗口里把刚排队的任务收口成失败，
+/// 前端随即看到一条本不存在的失败记录。
+///
+/// 返回值专给「落账失败要回滚」用：只有真插入过的一方才有资格回滚，否则会把**同 id 那个正在
+/// 运行的任务**的 live 登记一起删掉（随后 `list` 就会把它谎报成上次运行的中断残留）。
+fn register_live_task_id(task_id: &str) -> bool {
+    live_task_ids()
+        .lock()
+        .map(|mut ids| ids.insert(task_id.to_string()))
+        .unwrap_or(false)
+}
+
 /// 后台执行：状态与阶段文案的每一次流转都由这里写账本。
 async fn run_local_project_asset_generation_task(
     root: PathBuf,
@@ -376,10 +397,124 @@ async fn run_local_project_asset_generation_task(
     remove_live_task_id(&task_id);
 }
 
+/// 走音频无源生成链路的 kind：音效与背景音乐。
+///
+/// 这份判据是「同一命令两种通道」的唯一分叉点：它在白名单里只放这两个成员，其余 kind
+/// （含图片类与 `unknown`）一律继续走图片通道的既有收口，不在这一层做兜底猜测。
+fn is_audio_asset_generation_kind(kind: GameCreationAppAssetKind) -> bool {
+    matches!(
+        kind,
+        GameCreationAppAssetKind::SoundEffect | GameCreationAppAssetKind::BackgroundMusic
+    )
+}
+
+/// 音频（音效 / 背景音乐）提交：校验入参 → 落**同一份**排队记录 → 返回记录与派发所需的请求。
+///
+/// 与图片类分支的差异只有三处，且都不改变账本形状：
+/// 1. 权限沿用既有无源生成链路的 `asset.register`（音频入口在后台化之前就是这条判据）；
+/// 2. 账本去掉精确落点（音频不指定 `outputPath`）；
+/// 3. 生成走 `run_local_project_audio_generation_task`（由调用方派发，本函数不 spawn——校验与
+///    落账必须能在没有异步运行时的测试里单独断言）。
+fn begin_local_project_audio_generation_task(
+    project_path: &str,
+    project_id: &str,
+    task_id: &str,
+    kind: &str,
+    prompt: &str,
+    asset_name: &str,
+    idempotency_key: &str,
+) -> Result<
+    (
+        AssetGenerationTaskRecord,
+        LocalProjectAudioGenerationRequest,
+    ),
+    String,
+> {
+    let request =
+        prepare_local_project_audio_generation(task_id, kind, prompt, asset_name, idempotency_key)?;
+    if project_path.trim().is_empty() {
+        return Err("项目路径不能为空".to_string());
+    }
+    let root = Path::new(project_path.trim());
+    enforce_project_permission_policy(root, "asset.register")?;
+    // 显式列全两个音频成员：这里**不做** `_ =>` 兜底——账本的 `kind` 是前端的唯一条目身份，
+    // 新增音频变体（或上游白名单被放宽）时必须在这里大声失败，而不是把它静默记成音效。
+    let asset_kind = match request.edit_kind {
+        LocalProjectResourceEditKind::BackgroundMusic => GameCreationAppAssetKind::BackgroundMusic,
+        LocalProjectResourceEditKind::SoundEffect => GameCreationAppAssetKind::SoundEffect,
+        other => return Err(format!("音频生成不支持该素材类型：{other:?}")),
+    };
+    let record = begin_local_project_asset_generation_task(
+        root,
+        project_id,
+        task_id,
+        asset_kind,
+        &request.asset_name,
+        None,
+    )?;
+    Ok((record, request))
+}
+
+/// 音频后台执行：状态与阶段文案的每一次流转都由这里写账本。
+///
+/// `run_local_project_audio_generation_at` 返回 `Ok(None)` 表示这次生成没有登记出素材：按失败
+/// 收口，不把一条没有 `assetId` 的记录标成「已完成」——那样前端既定位不到素材，也没有原因可看。
+async fn run_local_project_audio_generation_task(
+    project_path: String,
+    task_id: String,
+    request: LocalProjectAudioGenerationRequest,
+) {
+    let root = PathBuf::from(project_path.trim());
+    if update_task(&root, &task_id, |task| {
+        task.status = ASSET_GENERATION_TASK_STATUS_RUNNING.to_string();
+        task.phase_detail = ASSET_GENERATION_TASK_PHASE_RUNNING.to_string();
+        task.started_at_millis = Some(now_millis());
+    })
+    .is_err()
+    {
+        remove_live_task_id(&task_id);
+        return;
+    }
+    let outcome = run_local_project_audio_generation_at(&project_path, &request).await;
+    match outcome {
+        Ok(Some(asset_id)) => {
+            let _ = update_task(&root, &task_id, |task| {
+                task.status = ASSET_GENERATION_TASK_STATUS_COMPLETED.to_string();
+                task.phase_detail = ASSET_GENERATION_TASK_PHASE_COMPLETED.to_string();
+                task.asset_id = Some(asset_id);
+                task.finished_at_millis = Some(now_millis());
+                task.error = None;
+            });
+        }
+        Ok(None) => {
+            let _ = update_task(&root, &task_id, |task| {
+                task.status = ASSET_GENERATION_TASK_STATUS_FAILED.to_string();
+                task.phase_detail =
+                    format!("生成失败：{ASSET_GENERATION_AUDIO_MISSING_ASSET_ERROR}");
+                task.error = Some(ASSET_GENERATION_AUDIO_MISSING_ASSET_ERROR.to_string());
+                task.finished_at_millis = Some(now_millis());
+            });
+        }
+        Err(error) => {
+            let _ = update_task(&root, &task_id, |task| {
+                task.status = ASSET_GENERATION_TASK_STATUS_FAILED.to_string();
+                task.phase_detail = format!("生成失败：{error}");
+                task.error = Some(error.clone());
+                task.finished_at_millis = Some(now_millis());
+            });
+        }
+    }
+    remove_live_task_id(&task_id);
+}
+
 /// 提交即返回：校验入参 → 落排队记录 → 派发后台任务 → 返回记录。
 ///
 /// 入参收口完全复用 `prepare_local_project_asset_generation`（与同步命令同一份白名单与边界），
 /// 生成本身仍是 `generate_platform_art_asset_with_options_at`，本命令不复制任何生成逻辑。
+///
+/// 音频 kind（`sound-effect` / `background-music`）走同一条命令的音频分支：账本、阶段文案、
+/// 中断收口与本地排队全部共用，**只**把「怎么生成」换成既有音频无源生成链路（见
+/// `start_local_project_audio_generation_task`）。图片类载荷口径逐字不变。
 #[tauri::command]
 pub(crate) async fn start_local_project_asset_generation(
     project_path: String,
@@ -397,8 +532,47 @@ pub(crate) async fn start_local_project_asset_generation(
     // 前端 IPC 字段 `targetCategory`：完成登记时要落盘的正式栏目分类。同样不进任务账本：
     // 它与引用一样属于「同一次提交的本地落点」，重试由调用方继续用同一个栏目提交。
     target_category: Option<String>,
+    // 前端 IPC 字段 `idempotencyKey`：**音频**生成才带——音频请求身份是一对 operation / 幂等键，
+    // 重试必须复用同一对，否则就变成第二次付费生成。图片类通道的载荷逐字不变，这个字段对
+    // 图片 kind 不参与任何校验。
+    idempotency_key: Option<String>,
 ) -> Result<AssetGenerationTaskRecord, String> {
     let task_id = asset_generation_task_id(&task_id)?;
+    if is_audio_asset_generation_kind(GameCreationAppAssetKind::parse_with_context(
+        &kind,
+        "canvas.asset_kind",
+    )) {
+        let idempotency_key = idempotency_key.unwrap_or_default();
+        if idempotency_key.trim().is_empty() {
+            return Err("音频生成缺少 idempotencyKey".to_string());
+        }
+        // 先登记 live 再落账本：窗口期里并发 `list` 不许把这条排队记录判成上次运行的残留。
+        let live_registered = register_live_task_id(&task_id);
+        let (record, request) = match begin_local_project_audio_generation_task(
+            &project_path,
+            &project_id,
+            &task_id,
+            &kind,
+            &prompt,
+            asset_name.as_deref().unwrap_or_default(),
+            &idempotency_key,
+        ) {
+            Ok(pair) => pair,
+            Err(error) => {
+                // 校验不过 / 同 id 已在跑 / 账本写不进去：这一轮什么都没派发，撤掉自己的登记。
+                if live_registered {
+                    remove_live_task_id(&task_id);
+                }
+                return Err(error);
+            }
+        };
+        tauri::async_runtime::spawn(run_local_project_audio_generation_task(
+            project_path.trim().to_string(),
+            task_id,
+            request,
+        ));
+        return Ok(record);
+    }
     let request = prepare_local_project_asset_generation(
         &project_path,
         &kind,
@@ -414,18 +588,24 @@ pub(crate) async fn start_local_project_asset_generation(
     enforce_project_permission_policy(&request.root, "asset.register")?;
     let asset_label = request.options.asset_label.clone();
     let asset_kind = request.options.asset_kind.clone();
-    let record = begin_local_project_asset_generation_task(
+    // 与音频分支同一条顺序约束：先登记 live 再落账本，中间不留「排队但还不 live」的窗口。
+    let live_registered = register_live_task_id(&task_id);
+    let record = match begin_local_project_asset_generation_task(
         &request.root,
         &project_id,
         &task_id,
         asset_kind,
         &asset_label,
         request.options.output_path.as_deref(),
-    )?;
-    // 先登记 live 再派发：`list` 只把「非终态且不 live」的记录判为上次运行的残留。
-    if let Ok(mut ids) = live_task_ids().lock() {
-        ids.insert(task_id.clone());
-    }
+    ) {
+        Ok(record) => record,
+        Err(error) => {
+            if live_registered {
+                remove_live_task_id(&task_id);
+            }
+            return Err(error);
+        }
+    };
     let root = request.root.clone();
     tauri::async_runtime::spawn(run_local_project_asset_generation_task(
         root,
@@ -690,6 +870,49 @@ mod asset_generation_task_tests {
         std::fs::remove_dir_all(&root).ok();
     }
 
+    /// 落账失败要回滚的是「**本轮**插入的那条登记」，不是「这个 id」。
+    ///
+    /// 同 id 已经在跑时，`start` 的第二轮不会插入新登记；这时如果按 id 回滚，就会把正在跑的
+    /// 那条任务的 live 登记一起删掉，`list` 随后把它谎报成上次运行的中断残留。
+    #[test]
+    fn a_failed_ledger_write_only_takes_back_the_live_registration_it_inserted() {
+        let root = temp_project_root("live-rollback");
+        // 第一次提交：先登记 live，再落账（真实链路里紧接着 spawn）。
+        assert!(
+            register_live_task_id("task-in-flight"),
+            "首次登记必须报告为「本轮插入」"
+        );
+        begin(&root, "task-in-flight");
+
+        // 第二次提交（同 id）：这一轮没有插入新登记，落账也会因「已在进行中」被拒。
+        let live_registered = register_live_task_id("task-in-flight");
+        assert!(
+            !live_registered,
+            "同 id 已在 live 集合里时，本轮不得报告为「本轮插入」"
+        );
+        let error = begin_local_project_asset_generation_task(
+            &root,
+            "project-1",
+            "task-in-flight",
+            GameCreationAppAssetKind::Image,
+            "AI 图",
+            None,
+        )
+        .expect_err("duplicate in-flight task");
+        assert_eq!(error, "生成任务 id 已在进行中：task-in-flight");
+        if live_registered {
+            remove_live_task_id("task-in-flight");
+        }
+
+        // 正在跑的任务仍是 live：`list` 不得把它收口成失败。
+        let listed = list_local_project_asset_generation_tasks(&root).expect("list");
+        assert_eq!(listed[0].status, ASSET_GENERATION_TASK_STATUS_QUEUED);
+        assert_eq!(listed[0].phase_detail, ASSET_GENERATION_TASK_PHASE_QUEUED);
+
+        remove_live_task_id("task-in-flight");
+        std::fs::remove_dir_all(&root).ok();
+    }
+
     #[test]
     fn completing_a_task_records_the_manifest_asset_id_and_keeps_it() {
         let root = temp_project_root("completed");
@@ -761,4 +984,129 @@ mod asset_generation_task_tests {
         );
         std::fs::remove_dir_all(&root).ok();
     }
+    /// 音频提交的身份与边界：缺幂等键 / 非法 operation / 非法幂等键 / 超限提示词 / 非音频 kind
+    /// 一律在提交期拒绝，且**不**在账本里留下记录——「点击瞬间就失败」必须是零写入。
+    #[test]
+    fn audio_submission_rejects_invalid_identity_and_prompt_without_touching_the_ledger() {
+        let root = initialized_project_root("audio-invalid");
+        let project_path = root.to_string_lossy().into_owned();
+        let operation_id = "0b6f2f9a-0f0f-4b3d-8d0a-5e0f5cef9b21";
+        let idempotency_key = "9a1b2c3d-4e5f-4a1b-8c2d-3e4f5a6b7c8d";
+
+        let error = begin_local_project_audio_generation_task(
+            &project_path,
+            "project-1",
+            operation_id,
+            "background-music",
+            "一段平静的钢琴曲",
+            "新背景音乐",
+            "",
+        )
+        .expect_err("missing idempotency key");
+        assert!(error.contains("idempotencyKey"), "{error}");
+
+        let error = begin_local_project_audio_generation_task(
+            &project_path,
+            "project-1",
+            "not-a-uuid",
+            "background-music",
+            "一段平静的钢琴曲",
+            "新背景音乐",
+            idempotency_key,
+        )
+        .expect_err("operation id must be a uuid");
+        assert!(error.contains("operationId"), "{error}");
+
+        let error = begin_local_project_audio_generation_task(
+            &project_path,
+            "project-1",
+            operation_id,
+            "background-music",
+            "一段平静的钢琴曲",
+            "新背景音乐",
+            "不看幂等键",
+        )
+        .expect_err("idempotency key must be a uuid");
+        assert!(error.contains("idempotencyKey"), "{error}");
+
+        let error = begin_local_project_audio_generation_task(
+            &project_path,
+            "project-1",
+            operation_id,
+            "background-music",
+            &"曲".repeat(141),
+            "新背景音乐",
+            idempotency_key,
+        )
+        .expect_err("background music prompt limit");
+        assert!(error.contains("140"), "{error}");
+
+        let error = begin_local_project_audio_generation_task(
+            &project_path,
+            "project-1",
+            operation_id,
+            "audio",
+            "一段平静的钢琴曲",
+            "新背景音乐",
+            idempotency_key,
+        )
+        .expect_err("音频 kind 不是可生成的音频类型");
+        assert!(error.contains("音频生成不支持该素材类型"), "{error}");
+
+        assert!(
+            list_local_project_asset_generation_tasks(&root)
+                .expect("list")
+                .is_empty(),
+            "被拒绝的提交不得在账本里留下记录"
+        );
+        std::fs::remove_dir_all(&root).ok();
+    }
+
+    /// 音频任务的账本记录与图片类共用同一份：kind 是音频 canonical kind，阶段文案由后端拥有，
+    /// 精确落点为空（音频不指定 outputPath），提示词在提交期就按同一口径归一化。
+    #[test]
+    fn audio_submission_lands_in_the_shared_ledger_with_its_audio_kind() {
+        let root = initialized_project_root("audio-ledger");
+        let project_path = root.to_string_lossy().into_owned();
+        let (record, request) = begin_local_project_audio_generation_task(
+            &project_path,
+            "project-1",
+            "0b6f2f9a-0f0f-4b3d-8d0a-5e0f5cef9b21",
+            "background-music",
+            "  一段平静的钢琴曲  ",
+            "新背景音乐",
+            "9a1b2c3d-4e5f-4a1b-8c2d-3e4f5a6b7c8d",
+        )
+        .expect("background music task");
+        assert_eq!(record.kind, GameCreationAppAssetKind::BackgroundMusic);
+        assert_eq!(record.status, ASSET_GENERATION_TASK_STATUS_QUEUED);
+        assert_eq!(record.phase_detail, ASSET_GENERATION_TASK_PHASE_QUEUED);
+        assert!(record.output_path.is_none());
+        assert_eq!(record.asset_name, "新背景音乐");
+        assert_eq!(request.prompt, "一段平静的钢琴曲");
+        assert_eq!(
+            request.edit_kind,
+            LocalProjectResourceEditKind::BackgroundMusic
+        );
+
+        let listed = list_local_project_asset_generation_tasks(&root).expect("list");
+        assert_eq!(listed.len(), 1);
+        assert_eq!(listed[0].kind, GameCreationAppAssetKind::BackgroundMusic);
+        assert_eq!(listed[0].task_id, record.task_id);
+
+        // 音效走同一条账本，只是落到另一个 canonical kind。
+        let (sound_effect, request) = begin_local_project_audio_generation_task(
+            &project_path,
+            "project-1",
+            "1c7a3b8e-2f31-4c6d-9e7a-6b8c0d1e2f34",
+            "sound-effect",
+            "木门缓慢推开的吱呀声",
+            "新音效",
+            "2d8b4c9f-3a42-4d7e-8f1b-7c9d1e2f3a45",
+        )
+        .expect("sound effect task");
+        assert_eq!(sound_effect.kind, GameCreationAppAssetKind::SoundEffect);
+        assert_eq!(request.edit_kind, LocalProjectResourceEditKind::SoundEffect);
+        std::fs::remove_dir_all(&root).ok();
+    }
 }
diff --git a/apps/ai-game-creator-shell/src-tauri/src/project/resource_editor.rs b/apps/ai-game-creator-shell/src-tauri/src/project/resource_editor.rs
index 0a4a7f772..89a57806f 100644
--- a/apps/ai-game-creator-shell/src-tauri/src/project/resource_editor.rs
+++ b/apps/ai-game-creator-shell/src-tauri/src/project/resource_editor.rs
@@ -5399,6 +5399,94 @@ pub(crate) async fn resume_local_project_resource_edit_at(
     .await
 }
 
+/// 音频（音效 / 背景音乐）无源生成的入参收口。
+///
+/// 与同步派生通道（`derive_local_project_resource`）共用同一份校验：提示词上限按 edit kind
+/// 取（背景音乐 140、音效 1900），素材名同口径，`idempotencyKey` 必须是合法 UUID。区别只在
+/// **时机**：后台任务账本的提交必须「校验即返回」，所以这里只收口、不发起生成——生成由派发后
+/// 的后台任务跑（见 `run_local_project_audio_generation_at`）。
+#[derive(Clone, Debug)]
+pub(crate) struct LocalProjectAudioGenerationRequest {
+    pub(crate) operation_id: String,
+    pub(crate) edit_kind: LocalProjectResourceEditKind,
+    pub(crate) prompt: String,
+    pub(crate) asset_name: String,
+    pub(crate) idempotency_key: String,
+}
+
+/// 音频 kind 的提交期收口：operation 身份、kind、提示词、素材名与幂等键。
+///
+/// kind 只接受 `sound-effect` / `background-music`：其余成员（含图片类）在这里就被拒绝，
+/// 不会落一条注定失败的账本记录，也不改图片类入口的载荷口径。
+pub(crate) fn prepare_local_project_audio_generation(
+    operation_id: &str,
+    kind: &str,
+    prompt: &str,
+    asset_name: &str,
+    idempotency_key: &str,
+) -> Result<LocalProjectAudioGenerationRequest, String> {
+    validate_resource_edit_uuid(operation_id, "operationId")?;
+    let edit_kind = match GameCreationAppAssetKind::parse_with_context(kind, "canvas.asset_kind") {
+        GameCreationAppAssetKind::SoundEffect => LocalProjectResourceEditKind::SoundEffect,
+        GameCreationAppAssetKind::BackgroundMusic => LocalProjectResourceEditKind::BackgroundMusic,
+        _ => return Err(format!("音频生成不支持该素材类型：{}", kind.trim())),
+    };
+    validate_resource_edit_uuid(idempotency_key, "idempotencyKey")?;
+    let prompt = normalize_resource_edit_prompt(&edit_kind, prompt)?;
+    let asset_name = normalize_resource_edit_name(asset_name)?;
+    Ok(LocalProjectAudioGenerationRequest {
+        operation_id: operation_id.trim().to_string(),
+        edit_kind,
+        prompt,
+        asset_name,
+        idempotency_key: idempotency_key.trim().to_string(),
+    })
+}
+
+/// 后台跑一次音频无源生成，返回产物素材 id。
+///
+/// 生成本身仍走 `derive_local_project_resource_at` 这一条通道（幂等账本、平台请求、下载与
+/// manifest 登记全部复用），这里只做两件账本侧的事：把「提交时刻」无法确定的项目 revision
+/// 在派发时刻读成当前值（提交之后用户仍可能编辑项目），以及把产物素材 id 交回任务账本。
+/// 拿不到当前 revision 或 CAS 冲突时按失败返回，不静默重试——静默重试会把这次生成写到用户
+/// 没预期的基线上。
+///
+/// `generation_mode: Create` 下源快照的媒体类型由 `edit_kind` 推出（音频恒为 `audio/mpeg`），
+/// 所以这里固定传 `None`：这条通道根本不读 `input.source_media_type`，填一个值只会让读者
+/// 以为它对生成有影响。
+pub(crate) async fn run_local_project_audio_generation_at(
+    project_path: &str,
+    request: &LocalProjectAudioGenerationRequest,
+) -> Result<Option<String>, String> {
+    let project_path = project_path.trim();
+    let root = Path::new(project_path);
+    let manifest = read_existing_manifest_for_project(root)?;
+    let expected_project_revision =
+        read_game_creator_agent_runtime_project_revision(root)?.revision;
+    let result = derive_local_project_resource_at(DeriveLocalProjectResourceInput {
+        project_path: project_path.to_string(),
+        expected_project_id: manifest.project_id,
+        expected_project_revision,
+        operation_id: request.operation_id.clone(),
+        idempotency_key: request.idempotency_key.clone(),
+        edit_kind: request.edit_kind,
+        generation_mode: LocalProjectResourceGenerationMode::Create,
+        source_resource_id: format!("create:{}", request.operation_id),
+        source_asset_id: None,
+        source_path: None,
+        source_media_type: None,
+        source_subtype: None,
+        producer_task_id: None,
+        source_version_id: None,
+        prompt: request.prompt.clone(),
+        asset_name: request.asset_name.clone(),
+        background_mode: None,
+        screen_color: None,
+    })
+    .await?;
+    Ok(result.asset.map(|asset| asset.id))
+}
+
 pub(crate) async fn derive_local_project_resource_at(
     input: DeriveLocalProjectResourceInput,
 ) -> Result<DeriveLocalProjectResourceResult, String> {
diff --git a/apps/ai-game-creator-shell/src-tauri/tauri.macos.conf.json b/apps/ai-game-creator-shell/src-tauri/tauri.macos.conf.json
index 67695ad22..019a0f248 100644
--- a/apps/ai-game-creator-shell/src-tauri/tauri.macos.conf.json
+++ b/apps/ai-game-creator-shell/src-tauri/tauri.macos.conf.json
@@ -5,13 +5,20 @@
       "minimumSystemVersion": "15.0"
     },
     "resources": {
-      "resources/codex/mac-native/bin/codex": "coding-agent/mac-native/bin/codex",
-      "resources/codex/mac-native/bin/codex-code-mode-host": "coding-agent/mac-native/bin/codex-code-mode-host",
-      "resources/codex/mac-native/codex-path/rg": "coding-agent/mac-native/codex-path/rg",
-      "resources/codex/mac-native/codex-resources/zsh/bin/zsh": "coding-agent/mac-native/codex-resources/zsh/bin/zsh",
-      "resources/codex/mac-native/codex-package.json": "coding-agent/mac-native/codex-package.json",
-      "resources/codex/mac-native/NOTICE.md": "coding-agent/mac-native/NOTICE.md",
-      "resources/codex/mac-native/manifest.json": "coding-agent/mac-native/manifest.json",
+      "resources/codex/mac-native/darwin-arm64/bin/codex": "coding-agent/mac-native/darwin-arm64/bin/codex",
+      "resources/codex/mac-native/darwin-arm64/bin/codex-code-mode-host": "coding-agent/mac-native/darwin-arm64/bin/codex-code-mode-host",
+      "resources/codex/mac-native/darwin-arm64/codex-path/rg": "coding-agent/mac-native/darwin-arm64/codex-path/rg",
+      "resources/codex/mac-native/darwin-arm64/codex-resources/zsh/bin/zsh": "coding-agent/mac-native/darwin-arm64/codex-resources/zsh/bin/zsh",
+      "resources/codex/mac-native/darwin-arm64/codex-package.json": "coding-agent/mac-native/darwin-arm64/codex-package.json",
+      "resources/codex/mac-native/darwin-arm64/NOTICE.md": "coding-agent/mac-native/darwin-arm64/NOTICE.md",
+      "resources/codex/mac-native/darwin-arm64/manifest.json": "coding-agent/mac-native/darwin-arm64/manifest.json",
+      "resources/codex/mac-native/darwin-x64/bin/codex": "coding-agent/mac-native/darwin-x64/bin/codex",
+      "resources/codex/mac-native/darwin-x64/bin/codex-code-mode-host": "coding-agent/mac-native/darwin-x64/bin/codex-code-mode-host",
+      "resources/codex/mac-native/darwin-x64/codex-path/rg": "coding-agent/mac-native/darwin-x64/codex-path/rg",
+      "resources/codex/mac-native/darwin-x64/codex-resources/zsh/bin/zsh": "coding-agent/mac-native/darwin-x64/codex-resources/zsh/bin/zsh",
+      "resources/codex/mac-native/darwin-x64/codex-package.json": "coding-agent/mac-native/darwin-x64/codex-package.json",
+      "resources/codex/mac-native/darwin-x64/NOTICE.md": "coding-agent/mac-native/darwin-x64/NOTICE.md",
+      "resources/codex/mac-native/darwin-x64/manifest.json": "coding-agent/mac-native/darwin-x64/manifest.json",
       "resources/plugins": "plugins"
     }
   },
diff --git a/apps/ai-game-creator-shell/src/features/resource-canvas/ResourceCanvasAssetGenerationPanelView.tsx b/apps/ai-game-creator-shell/src/features/resource-canvas/ResourceCanvasAssetGenerationPanelView.tsx
index 8cba1107d..68886de45 100644
--- a/apps/ai-game-creator-shell/src/features/resource-canvas/ResourceCanvasAssetGenerationPanelView.tsx
+++ b/apps/ai-game-creator-shell/src/features/resource-canvas/ResourceCanvasAssetGenerationPanelView.tsx
@@ -368,6 +368,12 @@ export function ResourceCanvasAssetGenerationPanelView({
       return;
     }
     setError(null);
+    /*
+      TODO(resource-generation-panel-contract): 与 `ResourceCanvasGenerationPanelView` 是同一份契约
+      问题——`onSubmit` 只返回 `void`，宿主同步拒绝时（今天只剩「队列未就绪」这条防御性分支）这里
+      已经置位 `released` 并关掉面板，草稿没人接走。修法同那一侧的 TODO：`onSubmit` 回报受理结果，
+      只有受理成功才置位并 `onClose()`。
+    */
     // 这次输入被任务接走：卸载时不再写回草稿槽（失败重开由宿主的提交上下文负责）。
     draftReleasedRef.current = true;
     // 点击即关闭：不等 IPC、不等排队、不等生成结束。失败要不要把面板带回来由宿主决定
diff --git a/apps/ai-game-creator-shell/src/features/resource-canvas/ResourceCanvasGenerationPanelView.tsx b/apps/ai-game-creator-shell/src/features/resource-canvas/ResourceCanvasGenerationPanelView.tsx
index de592086d..593f3cdff 100644
--- a/apps/ai-game-creator-shell/src/features/resource-canvas/ResourceCanvasGenerationPanelView.tsx
+++ b/apps/ai-game-creator-shell/src/features/resource-canvas/ResourceCanvasGenerationPanelView.tsx
@@ -87,7 +87,13 @@ export type ResourceCanvasGenerationPanelViewProps = {
     prompt: string;
     assetName: string;
   }) => void;
-  onSubmit: (input: ResourceCanvasGenerationSubmitInput) => Promise<void>;
+  /**
+   * 提交这次输入：**同步入队**，不等 IPC、不等排队、不等生成结束。
+   *
+   * 生成任务由宿主交给项目内账本（音频与图片类同一份），进度只出现在画布上的「生成任务」
+   * 侧栏；面板提交后立即关闭，不持有在途状态。
+   */
+  onSubmit: (input: ResourceCanvasGenerationSubmitInput) => void;
   /**
    * 收起浮层。
    *
@@ -107,12 +113,6 @@ const RESOURCE_GENERATION_ALL_KIND_ITEMS =
     label: option.label,
   }));
 
-function resourceGenerationErrorMessage(error: unknown) {
-  if (typeof error === 'string' && error.trim()) return error;
-  if (error instanceof Error && error.message) return error.message;
-  return '生成素材失败';
-}
-
 /**
  * 资源画布「生成入口」的浮层面板。
  *
@@ -120,9 +120,13 @@ function resourceGenerationErrorMessage(error: unknown) {
  * 不在任何现有面板下面追加内容；提交链路与结果定位由宿主 `index.tsx` 负责，
  * 面板只持有草稿、类型选择与失败重试状态。
  *
- * 提交期间**不锁关闭**：× / 遮罩 / Esc / 「后台运行并关闭」四条路径都通。关闭只是把这一份
- * view 卸下来，宿主那条请求继续跑（它是宿主的 `await onSubmit(...)`，不挂在面板生命周期上），
- * 所以关闭**不等于**取消；失败时面板仍保留草稿与同一份请求身份可重试。
+ * **点「生成」即同步关闭面板**：不等 IPC、不等排队、不等生成结束，用户立刻回到画布；面板里
+ * 因此不存在「排队中。」「正在生成。」「提交中…」「后台运行并关闭」这些阶段文案与按钮——
+ * 阶段文案的唯一去处是画布上的「生成任务」侧栏。关闭**不等于**取消：任务照常在后台跑完并把
+ * 结果写回项目。
+ *
+ * 只有「点击瞬间就失败」（校验 / 权限拒绝 / 提交 IPC 立即报错，即后端从未受理）时，宿主才会
+ * 把面板连原草稿与原请求身份带回来，用户可以直接改后重试。
  */
 export function ResourceCanvasGenerationPanelView({
   kinds = RESOURCE_CANVAS_GENERATION_OPTIONS.map((option) => option.kind),
@@ -154,11 +158,11 @@ export function ResourceCanvasGenerationPanelView({
   const [assetName, setAssetName] = useState(
     initialDraft?.assetName ?? option.assetName,
   );
-  const [attempted, setAttempted] = useState(false);
-  const [submitting, setSubmitting] = useState(false);
-  const [error, setError] = useState<string | null>(null);
-  // 占位带来的失败原因优先展示；面板自己这次的失败（`error`）覆盖它。
-  const shownError = error ?? initialError ?? null;
+  /*
+    失败原因只有**占位**这一个来源：提交后面板已经关闭，面板实例不持有在途状态，也就不会
+    自己造一份 `error`。重开同一张占位时由宿主把账本里的原因灌回来。
+  */
+  const shownError = initialError ?? null;
   /**
    * 已绑定请求身份的那句提示词（只有带 `request` 重开的失败面板才有）。
    *
@@ -201,7 +205,6 @@ export function ResourceCanvasGenerationPanelView({
   const requestRef = useRef<ResourceEditRequestIdentity | null>(
     boundRequest ?? null,
   );
-  const inputLocked = attempted || submitting;
   /** 收起浮层：把当前草稿交给宿主保存，用户再点开占位卡时接着编辑。 */
   const closeWithDraft = () => {
     draftReleasedRef.current = true;
@@ -220,43 +223,41 @@ export function ResourceCanvasGenerationPanelView({
     assetName: assetName.trim() || option.assetName,
   };
 
-  async function submit(event: FormEvent<HTMLFormElement>) {
+  function submit(event: FormEvent<HTMLFormElement>) {
     event.preventDefault();
     const normalizedPrompt = prompt.trim();
     const normalizedAssetName = assetName.trim();
     if (
       !normalizedPrompt ||
       !normalizedAssetName ||
-      submitting ||
       // 按钮禁用只是表现：改动原请求提示词的提交在这里也必须被挡住，不能悄悄变成新付费生成。
       boundRequestPromptChanged
     ) {
       return;
     }
-    setAttempted(true);
-    setSubmitting(true);
-    setError(null);
     requestRef.current = resolveResourceEditRequestIdentity(
       requestRef.current,
       normalizedPrompt,
     );
-    try {
-      await onSubmit({
-        kind,
-        operationId: requestRef.current.operationId,
-        idempotencyKey: requestRef.current.idempotencyKey,
-        prompt: normalizedPrompt,
-        assetName: normalizedAssetName,
-      });
-      // 只有**成功**交出这次输入才不再写回草稿；失败时草稿要留给用户切走再切回来的重试。
-      draftReleasedRef.current = true;
-    } catch (submitError) {
-      setError(resourceGenerationErrorMessage(submitError));
-    } finally {
-      // 成功路径也要收回在飞标记：宿主随后会卸载面板，但组件本身不该在 `onSubmit` 正常
-      // resolve 后永久停在「生成中…」；失败时收回标记才能让用户用同一份输入重试。
-      setSubmitting(false);
-    }
+    /*
+      TODO(resource-generation-panel-contract): `onSubmit` 现在只返回 `void`，所以这里只能「先置位
+      `released`、再无脑关闭」；宿主那几条同步拒绝的分支（占位已不在画布 / 已在跑别的 operation）
+      只给一条提示条，这次输入没人接走、草稿也跟着丢了。修法：让 `onSubmit` 回报受理结果
+      （`accepted: boolean`），只有受理成功才置位并 `onClose()`。同一份契约落在
+      `ResourceCanvasAssetGenerationPanelView` 与两个宿主调用点上——要改就一起改。
+    */
+    // 这次输入被任务接走：卸载时不再往草稿槽里写一份内存副本（失败重开由宿主的提交上下文负责）。
+    draftReleasedRef.current = true;
+    // 点击即关闭：不等 IPC、不等排队、不等生成结束。入参已经带上这次生成的请求身份，
+    // 「从未被后端受理」的即时失败由宿主连原草稿与原身份把面板带回来。
+    onSubmit({
+      kind,
+      operationId: requestRef.current.operationId,
+      idempotencyKey: requestRef.current.idempotencyKey,
+      prompt: normalizedPrompt,
+      assetName: normalizedAssetName,
+    });
+    onClose();
   }
 
   const panelBody = (
@@ -281,7 +282,6 @@ export function ResourceCanvasGenerationPanelView({
           columns="three"
           gap="sm"
           size="compact"
-          disabled={inputLocked}
           onChange={(nextKind) => {
             setKind(nextKind);
             setAssetName(resourceCanvasGenerationOption(nextKind).assetName);
@@ -294,7 +294,6 @@ export function ResourceCanvasGenerationPanelView({
           <PlatformTextField
             aria-label="素材名称"
             maxLength={120}
-            disabled={inputLocked}
             value={assetName}
             onChange={(event) => setAssetName(event.currentTarget.value)}
           />
@@ -306,7 +305,6 @@ export function ResourceCanvasGenerationPanelView({
             aria-label="生成提示词"
             rows={6}
             autoFocus
-            disabled={inputLocked}
             maxLength={resourceEditPromptMaxLength(option.editKind)}
             placeholder={option.promptPlaceholder}
             value={prompt}
@@ -317,7 +315,6 @@ export function ResourceCanvasGenerationPanelView({
           subject={`素材生成提示词（${option.label}）`}
           editKind={option.editKind}
           prompt={prompt}
-          disabled={inputLocked}
           applyPrompt={setPrompt}
         />
         {boundRequestPromptChanged ? (
@@ -339,12 +336,12 @@ export function ResourceCanvasGenerationPanelView({
             tone="secondary"
             onClick={closeWithDraft}
           >
-            {submitting ? '后台运行并关闭' : '取消'}
+            取消
           </PlatformActionButton>
           {shownError ? (
             <PlatformActionButton
               type="submit"
-              disabled={submitting || boundRequestPromptChanged}
+              disabled={boundRequestPromptChanged}
             >
               <Sparkles size={15} aria-hidden="true" />
               使用原请求重试
@@ -353,15 +350,11 @@ export function ResourceCanvasGenerationPanelView({
             <PlatformActionButton
               type="submit"
               disabled={
-                submitting ||
-                !prompt.trim() ||
-                !assetName.trim() ||
-                inputLocked ||
-                boundRequestPromptChanged
+                !prompt.trim() || !assetName.trim() || boundRequestPromptChanged
               }
             >
               <Sparkles size={15} aria-hidden="true" />
-              {submitting ? '生成中…' : option.generationLabel}
+              {option.generationLabel}
             </PlatformActionButton>
           )}
         </div>
diff --git a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationQueue.ts b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationQueue.ts
index b77996f8b..35801a3e3 100644
--- a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationQueue.ts
+++ b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationQueue.ts
@@ -4,6 +4,7 @@ import {
   mergeLocalProjectAssetGenerationRecord,
   nextResourceCanvasAssetGenerationDispatch,
   type ResourceCanvasAssetGenerationTask,
+  resourceCanvasAssetGenerationTaskIsAudio,
 } from './resourceCanvasAssetGenerationTaskModel';
 
 export const RESOURCE_CANVAS_ASSET_GENERATION_POLL_INTERVAL_MILLIS = 2_000;
@@ -142,6 +143,12 @@ export function createResourceCanvasAssetGenerationQueue(
     const projectPath = deps.projectPath();
     // 命令名写成字面量：`scripts/check-config.mjs` 的 invoke 门禁按字符串字面量登记调用方，
     // 抽成常量会让这两条 IPC 被判成「没有前端调用方」。
+    /*
+      音频与图片类走**同一条命令**，载荷按任务形状分流：音频没有比例 / 尺寸 / 参考图 / 精确
+      落点，只有「任务 id = operation id」+ 幂等键这对请求身份；图片类载荷字段与取值口径逐字
+      不变（`kind / prompt / aspectRatio / imageSize / assetName / outputPath`）。
+    */
+    const audioTask = resourceCanvasAssetGenerationTaskIsAudio(task);
     const start = async () =>
       (await deps.invoke('start_local_project_asset_generation', {
         projectPath,
@@ -149,13 +156,19 @@ export function createResourceCanvasAssetGenerationQueue(
         taskId: task.taskId,
         kind: task.assetKind,
         prompt: task.prompt,
-        aspectRatio: task.aspectRatio,
-        imageSize: task.imageSize,
         assetName: task.assetName,
-        referenceAssetIds: task.referenceAssetIds,
-        outputPath: task.outputPath,
-        // 入口栏目：原生支持时按它登记归类；不支持时后端忽略，落点仍按正式归类走。
-        ...(task.targetCategory ? { targetCategory: task.targetCategory } : {}),
+        ...(audioTask
+          ? { idempotencyKey: task.idempotencyKey }
+          : {
+              aspectRatio: task.aspectRatio,
+              imageSize: task.imageSize,
+              referenceAssetIds: task.referenceAssetIds,
+              outputPath: task.outputPath,
+              // 入口栏目：原生支持时按它登记归类；不支持时后端忽略，落点仍按正式归类走。
+              ...(task.targetCategory
+                ? { targetCategory: task.targetCategory }
+                : {}),
+            }),
       })) as LocalProjectAssetGenerationTaskRecord;
     let started: LocalProjectAssetGenerationTaskRecord;
     try {
diff --git a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationTaskModel.ts b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationTaskModel.ts
index db9cd0ae4..31a1957f3 100644
--- a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationTaskModel.ts
+++ b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationTaskModel.ts
@@ -52,6 +52,14 @@ export type ResourceCanvasAssetGenerationTask = {
   assetKind: GameCreationAppAssetKind;
   assetName: string;
   prompt: string;
+  /**
+   * 音频任务的**请求幂等键**；图片类任务为 `null`。
+   *
+   * 音频生成在原生侧按「operation id + 幂等键」记账，任务 id 就是那次生成的 operation id：
+   * 重试必须带回同一个幂等键，否则同一次生成会变成第二次付费请求。图片类通道的请求指纹不含
+   * 这项，所以保持 `null`——不为统一形状给图片类补一个它根本不用的身份。
+   */
+  idempotencyKey: string | null;
   aspectRatio: string;
   imageSize: string;
   /**
@@ -130,10 +138,17 @@ export function resourceCanvasAssetGenerationTaskTone(
  */
 export const RESOURCE_CANVAS_ASSET_GENERATION_LOCAL_QUEUE_PHASE = '排队中。';
 
-const RESOURCE_CANVAS_ASSET_GENERATION_CATEGORIES = [
+/**
+ * 入口文案派生时遍历的栏目：图片类三个栏目 + 音频栏目。
+ *
+ * 音频任务的账本 `kind` 是 `sound-effect` / `background-music`，恢复历史任务时也必须能派生出
+ * 「生成音效 / 生成背景音乐」这层文案，否则重开项目后音频任务只剩素材名可看。
+ */
+const RESOURCE_CANVAS_GENERATION_CATEGORIES = [
   'ui-interaction',
   'character',
   'scene',
+  'audio',
 ] as const;
 
 /**
@@ -145,12 +160,15 @@ const RESOURCE_CANVAS_ASSET_GENERATION_CATEGORIES = [
 export function resourceCanvasAssetGenerationKindLabel(
   kind: GameCreationAppAssetKind,
 ): string | null {
-  for (const category of RESOURCE_CANVAS_ASSET_GENERATION_CATEGORIES) {
+  for (const category of RESOURCE_CANVAS_GENERATION_CATEGORIES) {
     for (const tool of resolveResourceCanvasBottomTools(category)) {
       for (const action of resourceCanvasBottomToolActions(tool)) {
         if (action.route === 'asset' && action.assetKind === kind) {
           return action.label;
         }
+        if (action.route === 'audio' && action.audioKind === kind) {
+          return action.label;
+        }
       }
     }
   }
@@ -200,6 +218,7 @@ export function createResourceCanvasAssetGenerationTask(input: {
     assetKind: input.action.assetKind,
     assetName: input.assetName,
     prompt: input.prompt,
+    idempotencyKey: null,
     aspectRatio: input.aspectRatio,
     imageSize: input.imageSize,
     // 参考图去重（保持用户选择顺序）：同一张素材在一份草稿里被选两次仍只算一次参考，
@@ -229,6 +248,76 @@ export function createResourceCanvasAssetGenerationTask(input: {
 
 const RESOURCE_CANVAS_ASSET_GENERATION_TASK_LIMIT = 50;
 
+/** 音频任务的 kind：只有这两类走音频生成通道。 */
+export type ResourceCanvasAudioGenerationTaskKind = Extract<
+  GameCreationAppAssetKind,
+  'sound-effect' | 'background-music'
+>;
+
+/**
+ * 新提交的**音频**任务（音效 / 背景音乐）。
+ *
+ * 与图片类共用同一份本地排队、同一个后端账本与同一个「生成任务」侧栏；差异只在请求形状：
+ * 音频没有比例 / 尺寸 / 参考图 / 精确落点，身份是「任务 id = 那次生成的 operation id」+
+ * 幂等键（由宿主在提交时铸造并原样保存，重试复用同一对，不产生第二次付费请求）。
+ *
+ * 音频也没有入口栏目这条入参：归类由原生音频通道自己决定，提交时不带 `targetCategory`，
+ * 所以这里不留一个没人读的本地字段。
+ */
+export function createResourceCanvasAudioGenerationTask(input: {
+  taskId: string;
+  idempotencyKey: string;
+  draftId?: string | null;
+  actionId: string;
+  actionLabel: string;
+  kind: ResourceCanvasAudioGenerationTaskKind;
+  prompt: string;
+  assetName: string;
+  projectId: string;
+  nowMillis: number;
+}): ResourceCanvasAssetGenerationTask {
+  return {
+    taskId: input.taskId,
+    draftId: input.draftId ?? null,
+    actionId: input.actionId,
+    actionLabel: input.actionLabel,
+    assetKind: input.kind,
+    assetName: input.assetName,
+    prompt: input.prompt,
+    idempotencyKey: input.idempotencyKey,
+    aspectRatio: '',
+    imageSize: '',
+    referenceAssetIds: [],
+    referenceLabels: {},
+    targetCategory: null,
+    outputPath: null,
+    projectId: input.projectId,
+    dispatched: false,
+    status: 'queued',
+    phaseDetail: RESOURCE_CANVAS_ASSET_GENERATION_LOCAL_QUEUE_PHASE,
+    createdAtMillis: input.nowMillis,
+    startedAtMillis: null,
+    finishedAtMillis: null,
+    assetId: null,
+    error: null,
+    restored: false,
+  };
+}
+
+/**
+ * 这条任务是不是音频生成。
+ *
+ * 两个调用方都靠它分流：生成任务队列决定派发哪一套载荷（音频只带幂等键、图片类带比例 /
+ * 尺寸 / 参考 / 落点），宿主决定「未受理失败」把哪块面板连原请求身份带回来。
+ */
+export function resourceCanvasAssetGenerationTaskIsAudio(
+  task: Pick<ResourceCanvasAssetGenerationTask, 'assetKind'>,
+): boolean {
+  return (
+    task.assetKind === 'sound-effect' || task.assetKind === 'background-music'
+  );
+}
+
 /** 账本记录 → 任务列表里的一条（重开项目后恢复显示）。 */
 export function restoreResourceCanvasAssetGenerationTask(
   record: LocalProjectAssetGenerationTaskRecord,
@@ -246,6 +335,8 @@ export function restoreResourceCanvasAssetGenerationTask(
     assetKind,
     assetName: record.assetName,
     prompt: '',
+    // 账本不存幂等键：恢复出来的历史任务只用于展示与定位，不承接重试。
+    idempotencyKey: null,
     aspectRatio: '',
     imageSize: '',
     referenceAssetIds: [],
diff --git a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasBottomToolbarModel.ts b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasBottomToolbarModel.ts
index fe541a017..429d83a34 100644
--- a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasBottomToolbarModel.ts
+++ b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasBottomToolbarModel.ts
@@ -36,7 +36,7 @@ export type ResourceCanvasGeneratedAssetKind = Extract<
 /** 权威规范图的落点；Rust `AGENT_RUNTIME_ART_SPEC_PATH`。 */
 export const RESOURCE_CANVAS_ICON_SPEC_LOCAL_PATH = 'assets/art-spec.png';
 
-/** 工具栏入口的路由：图片类生成 / 既有音频生成 / 上传。 */
+/** 工具栏入口的路由：图片类生成 / 音频生成 / 上传。 */
 export type ResourceCanvasBottomToolRoute = 'asset' | 'audio' | 'upload';
 
 export type ResourceCanvasBottomToolActionId =
@@ -86,7 +86,12 @@ export type ResourceCanvasAssetToolAction =
     writesIconSpecReference: boolean;
   };
 
-/** 音频入口：复用既有 `derive_local_project_resource` 的无源生成链路。 */
+/**
+ * 音频入口：与图片类同一条 `start_local_project_asset_generation`（提交即返回、后台生成）。
+ *
+ * 原生命令内部仍复用既有音频无源生成链路（`editKind` = `sound-effect` / `background-music`），
+ * 不新增平台路由与请求体口径；任务与图片类共用同一份项目内任务账本与「生成任务」侧栏。
+ */
 export type ResourceCanvasAudioToolAction =
   ResourceCanvasBottomToolActionBase & {
     route: 'audio';
diff --git a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasGenerationModel.ts b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasGenerationModel.ts
index 4cd823766..515a018b4 100644
--- a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasGenerationModel.ts
+++ b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasGenerationModel.ts
@@ -4,11 +4,12 @@ import type { LocalProjectResourceEditKind } from '../../view/project-developmen
 /**
  * 资源画布「生成入口」当前能真正落地的三类新建素材。
  *
- * 这里的白名单与 Rust `resolve_resource_edit_source` 的 create 分支一一对应：
- * `apps/ai-game-creator-shell/src-tauri/src/project/resource_editor.rs` 只放行
+ * 音频两类（音效 / 背景音乐）由 `start_local_project_asset_generation` 的音频分支受理，落同
+ * 一份后台任务账本；它们内部仍走既有音频无源生成链路，而那条链路的 create 分支
+ * （`apps/ai-game-creator-shell/src-tauri/src/project/resource_editor.rs`）只放行
  * video / sound-effect / background-music，其余类型（含图片）会直接返回
- * “当前资源类型不支持无源生成”。因此入口只呈现这三类——宁可少一个入口，
- * 也不给一个提交必然失败、或者拿图片参数糊弄用户的按钮。
+ * “当前资源类型不支持无源生成”。因此视频入口保留在既有浮层里，音频入口只呈现这两类——
+ * 宁可少一个入口，也不给一个提交必然失败、或者拿图片参数糊弄用户的按钮。
  */
 export type ResourceCanvasGenerationKind = Extract<
   GameCreationAppAssetKind,
@@ -80,16 +81,6 @@ export function resourceCanvasGenerationOption(
   return VIDEO_GENERATION_OPTION;
 }
 
-/**
- * create 模式的稳定源标识。
- *
- * 无源生成没有真实源资源，Rust 只把这个字符串当作 canonical resource id 记账，
- * 不再回读源文件；用 operationId 拼出来保证同一 operation 的流水可对账。
- */
-export function resourceCanvasGenerationSourceId(operationId: string) {
-  return `create:${operationId.trim()}`;
-}
-
 /**
  * 入口按钮的渲染门禁。
  *
diff --git a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasToolbarModel.ts b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasToolbarModel.ts
index ade2d2d8e..251b4a45b 100644
--- a/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasToolbarModel.ts
+++ b/apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasToolbarModel.ts
@@ -12,7 +12,8 @@ import {
 } from '../../view/project-development/resourceProjectionModel';
 import { isResourceCanvasExportable } from './resourceCanvasAssetTransferModel';
 
-/** 快速编辑与改造都走 `derive_local_project_resource`，只接受这三种栅格图片格式。 */
+/** 快速编辑与改造都走 `derive_local_project_resource`（无源音频生成之外的另一条派生链路），
+ * 只接受这三种栅格图片格式。 */
 const RESOURCE_RASTER_MEDIA_TYPES = new Set([
   'image/png',
   'image/jpeg',
diff --git a/apps/ai-game-creator-shell/src/view/project-development/index.tsx b/apps/ai-game-creator-shell/src/view/project-development/index.tsx
index 75c48bd51..f0895eaf7 100644
--- a/apps/ai-game-creator-shell/src/view/project-development/index.tsx
+++ b/apps/ai-game-creator-shell/src/view/project-development/index.tsx
@@ -142,6 +142,7 @@ import {
 } from '../../features/resource-canvas/resourceCanvasAssetGenerationReferenceModel';
 import {
   createResourceCanvasAssetGenerationTask,
+  createResourceCanvasAudioGenerationTask,
   type LocalProjectAssetGenerationTaskRecord,
   type ResourceCanvasAssetGenerationTask,
   resourceCanvasAssetGenerationTaskIsTerminal,
@@ -173,11 +174,7 @@ import {
   resolveResourceCanvasFloatingPanelOpen,
   resolveResourceCanvasFocusEscapeActive,
 } from '../../features/resource-canvas/resourceCanvasFocusModel';
-import {
-  type ResourceCanvasGenerationKind,
-  resourceCanvasGenerationOption,
-  resourceCanvasGenerationSourceId,
-} from '../../features/resource-canvas/resourceCanvasGenerationModel';
+import type { ResourceCanvasGenerationKind } from '../../features/resource-canvas/resourceCanvasGenerationModel';
 import {
   ResourceCanvasGenerationPanelView,
   type ResourceCanvasGenerationSubmitInput,
@@ -2110,14 +2107,35 @@ export default function ProjectDevelopmentView({
     >(),
   );
   /**
-   * 音频 / 背景音乐那条链路（`derive_local_project_resource`）的提交身份，按草稿 ID 记。
+   * 音频 / 背景音乐那条链路的提交身份，按草稿 ID 记。
    *
-   * 它没有图片队列那本任务账本，提交身份就是面板铸造的 `operationId` + 幂等键：收起来再点开
-   * 占位时必须复用同一对，否则重试会变成一次**新的**付费生成。
+   * 提交身份就是面板铸造的 `operationId` + 幂等键（任务 id 即该 operation id）：失败后收起再
+   * 点开占位重试时必须复用同一对，否则重试会变成一次**新的**付费生成。
    */
   const resourceGenerationAudioRequestRef = useRef(
     new Map<string, ResourceEditRequestIdentity>(),
   );
+  /**
+   * 音频提交上下文：这次提交属于哪张占位。按**任务 id** 各自一条。
+   *
+   * 只有一件事要用它——**后端从未受理**的即时失败要把面板连原草稿、原请求身份带回来；受理
+   * 之后才失败的收口只看账本，不需要这条本地上下文。`dispatchedImmediately` 沿用图片类口径：
+   * 排在队列后面才派发的任务即使失败也不弹面板打断用户。
+   *
+   * 用 Map 而不是单槽：队列串行派发，第二张占位可以在第一条还在途时提交（它排在本地队列里），
+   * 单槽会被后一次提交覆盖，于是前一条「从未受理」的即时失败找不到自己的恢复上下文，只剩通用
+   * 失败提示、丢掉把面板连草稿带回来这一步。
+   */
+  const resourceGenerationAudioSubmissionRef = useRef(
+    new Map<
+      string,
+      {
+        draftId: string;
+        kind: ResourceCanvasGenerationKind;
+        dispatchedImmediately: boolean;
+      }
+    >(),
+  );
   /** 用户主动收起浮层时留下的可再编辑草稿（按草稿 ID 记，提交成功后清掉）。 */
   const resourceGenerationDraftRef = useRef(
     new Map<
@@ -8226,160 +8244,106 @@ export default function ProjectDevelopmentView({
   ]);
 
   /**
-   * 生成入口：从资源画布无源新建视频 / 音效 / 背景音乐。
+   * 提交一条音频生成任务（背景音乐 / 音效）。
    *
-   * 产出物是一张全新的资源卡（`generationMode: 'create'`），源素材、画布布局与
-   * 已有 manifest 条目都不参与派生；成功后用 `pendingResourceFocusRef` 定位新卡。
+   * 与图片类**同一条后台通道**：入队即返回，生成由队列派发给项目内任务账本跑，状态与阶段文案
+   * 只出现在「生成任务」侧栏。提交面板点「生成」就关闭，不等受理、不等排队、不等生成。
+   *
+   * 请求身份（`operationId` = 任务 id、幂等键）由面板铸造、宿主按占位记下来：失败后点原请求
+   * 重试必须复用同一对，否则同一次生成会变成第二次付费请求。
    */
   const submitResourceCanvasGeneration = useCallback(
-    async (
+    (
       input: ResourceCanvasGenerationSubmitInput,
       draftId: string | null = null,
     ) => {
-      const invoke = window.__TAURI__?.core?.invoke;
-      if (!invoke) {
-        throw new Error('生成资源需要在客户端内执行');
+      const queue = resourceAssetGenerationQueueRef.current;
+      const context = resourceAssetGenerationContextRef.current;
+      /*
+        TODO(resource-generation-panel-contract): 下面这几条同步拒绝只落一条提示条，而面板那边已经
+        置位 `draftReleased` 并关掉了 → 这次输入没人接走、用户刚敲的草稿跟着丢。修法：这里 `return
+        false`，由面板按 `onSubmit` 的返回值决定要不要关面板（见
+        `ResourceCanvasGenerationPanelView` 的同名 TODO；图片类那个面板要一起改）。
+      */
+      if (!queue || !draftId) {
+        setResourceWorkbenchNotice(
+          '生成任务队列尚未就绪，请重新打开项目后重试',
+        );
+        return;
+      }
+      if (input.kind === 'video') {
+        // 音频入口只放行音效 / 背景音乐；视频能力留在既有「生成素材」浮层，不在这里兜底成一次
+        // 必然被原生拒绝的提交。
+        setResourceWorkbenchNotice('音频入口不支持视频生成');
+        return;
+      }
+      const placeholder =
+        resourceGenerationPlaceholders.placeholderByDraftId(draftId);
+      if (!placeholder) {
+        setResourceWorkbenchNotice('这张占位已经不在画布上，请重新发起生成');
+        return;
       }
-      const placeholder = draftId
-        ? resourceGenerationPlaceholders.placeholderByDraftId(draftId)
-        : null;
       /*
         同一张占位已经在后台跑：**不允许**用新的 operationId 再发一次——那是一次重复付费生成。
         同一 operationId 的重试（面板失败后点原请求重试）走原生账本幂等，不在禁止之列。
       */
       if (
-        placeholder?.status === 'submitted' &&
+        placeholder.status === 'submitted' &&
         placeholder.taskId !== input.operationId
       ) {
-        throw new Error('这次生成已在后台继续，请等它结束或失败后再重试');
-      }
-      if (placeholder) {
-        // 提交身份与被绑定的 operationId 一起记在占位上：关闭面板再点开也用同一 operation 重试。
-        resourceGenerationAudioRequestRef.current.set(placeholder.draftId, {
-          operationId: input.operationId,
-          idempotencyKey: input.idempotencyKey,
-          // 提示词是身份的一部分：原生指纹含 prompt，脱开它就变成另一次请求。
-          prompt: input.prompt,
-        });
-        resourceGenerationPlaceholders.bindTask(
-          placeholder.draftId,
-          input.operationId,
+        setResourceWorkbenchNotice(
+          '这次生成已在后台继续，请等它结束或失败后再重试',
         );
+        return;
       }
-      const option = resourceCanvasGenerationOption(input.kind);
-      const actionProject = { projectPath, projectId: manifest.projectId };
-      const flowId = crypto.randomUUID();
-      // 与快速编辑 / 生成动画同口径：这一笔从按下按钮那一刻就进「生成任务」侧栏。
-      beginResourceEditSubmission({
-        operationId: input.operationId,
-        assetName: input.assetName,
-        actionLabel: option.generationLabel,
+      // 「这次点击本来就该立刻派发」：队列里没有在途任务时才是。排在队列后面才派发的任务即使
+      // 提交失败，也不该把面板弹回来打断用户。
+      const dispatchedImmediately =
+        !resourceAssetGenerationTasksRef.current.some(
+          (task) =>
+            task.dispatched &&
+            !resourceCanvasAssetGenerationTaskIsTerminal(task),
+        );
+      const task = createResourceCanvasAudioGenerationTask({
+        // 任务 id 就是这次生成的 operation id：原生按它记账，重试命中同一 operation。
+        taskId: input.operationId,
+        idempotencyKey: input.idempotencyKey,
+        draftId,
+        actionId: placeholder.actionId,
+        actionLabel: placeholder.actionLabel,
+        kind: input.kind,
         prompt: input.prompt,
-        // 无源生成：没有对应的资源卡，因此不参与「同一张资源不许并发提交」那条判据。
-        resourcePath: null,
+        assetName: input.assetName,
+        projectId: context.projectId,
+        nowMillis: Date.now(),
       });
-      try {
-        const status = await invoke<{ revision: number }>(
-          'get_local_game_project_revision',
-          { projectPath },
-        );
-        if (!Number.isSafeInteger(status.revision) || status.revision < 0) {
-          throw new Error('项目 revision 无效');
-        }
-        const result = await withPlatformSessionRefresh(() =>
-          invoke<DeriveLocalProjectResourceResult>(
-            'derive_local_project_resource',
-            {
-              input: {
-                projectPath,
-                expectedProjectId: actionProject.projectId,
-                expectedProjectRevision: status.revision,
-                operationId: input.operationId,
-                idempotencyKey: input.idempotencyKey,
-                editKind: option.editKind,
-                generationMode: 'create',
-                sourceResourceId: resourceCanvasGenerationSourceId(
-                  input.operationId,
-                ),
-                sourceAssetId: null,
-                sourcePath: null,
-                sourceMediaType: option.sourceMediaType,
-                sourceSubtype: null,
-                producerTaskId: null,
-                sourceVersionId: null,
-                prompt: input.prompt,
-                assetName: input.assetName,
-              },
-            },
-          ),
-        );
-        if (
-          !result.asset ||
-          result.manifest.projectId !== actionProject.projectId
-        ) {
-          throw new Error('生成资源结果与当前项目不一致');
-        }
-        onManifestChange?.(projectPath, result.manifest, {
-          projectId: result.manifest.projectId,
-          revision: result.committedProjectRevision,
-          source: 'asset-command',
-          commitId: result.operationId,
-        });
-        activeFocusFlowIdRef.current = flowId;
-        pendingResourceFocusRef.current = {
-          flowId,
-          saveAttemptId: result.operationId,
-          sessionId: result.operationId,
-          draftId: result.operationId,
-          commitId: result.operationId,
-          projectPath,
-          projectId: result.manifest.projectId,
-          focusGeneration: focusGenerationRef.current,
-          resourceId: `asset:${result.asset.id}`,
-          completed: false,
-        };
-        setResourceWorkbenchNotice('生成资源已保存，正在同步资源与布局…');
-        settleResourceEditSubmission(input.operationId, {
-          status: 'completed',
-          assetId: result.asset.id,
-        });
-        if (placeholder) {
-          /*
-            成功落点：与图片类生成同一条口径——按**正式归类后的 section**提交占位的**最新位置**，
-            等新卡进了布局再落（见落点 effect）。这里只记意图，不冻结坐标。
-          */
-          resourceGenerationLandingRef.current.set(placeholder.draftId, {
-            projectId: placeholder.projectId,
-            draftId: placeholder.draftId,
-            resourceId: `asset:${result.asset.id}`,
-          });
-          resourceGenerationAudioRequestRef.current.delete(placeholder.draftId);
-        }
-        setResourceGenerationDraft(null);
-      } catch (error) {
-        const message = error instanceof Error ? error.message : String(error);
-        settleResourceEditSubmission(input.operationId, {
-          status: 'failed',
-          error: message,
-        });
-        /*
-          失败：占位留在画布上（输入与操作身份都还在，面板自己展示原因），状态收口为失败。
-          重试沿用同一 operationId，命中原生幂等账本——不会重复发起一次付费生成。
-        */
-        if (placeholder) {
-          resourceGenerationPlaceholders.failTask(input.operationId, message);
-        }
-        throw error;
-      }
+      // 提交身份与该次草稿一起留下：关闭浮层、失败后重开占位都靠它们回到同一次生成。
+      resourceGenerationAudioRequestRef.current.set(draftId, {
+        operationId: input.operationId,
+        idempotencyKey: input.idempotencyKey,
+        prompt: input.prompt,
+      });
+      resourceGenerationAudioSubmissionRef.current.set(task.taskId, {
+        draftId,
+        kind: input.kind,
+        dispatchedImmediately,
+      });
+      resourceGenerationDraftRef.current.set(draftId, {
+        kind: input.kind,
+        prompt: input.prompt,
+        assetName: input.assetName,
+      });
+      // 占位从「待提交」进入「生成中」：任务已经交给后台，关闭浮层不影响它。
+      resourceGenerationPlaceholders.bindTask(draftId, task.taskId);
+      setResourceAssetGenerationTasksPanelOpen(true);
+      setResourceWorkbenchNotice(
+        `已提交「${input.assetName}」，生成在后台继续，进度见「生成任务」`,
+      );
+      // 终局由 `onSettled` 收口（成功落卡 / 失败收口 / 即时失败重开面板），这里只吞掉拒绝，
+      // 避免出现未处理的 Promise 拒绝。面板由它自己的 `onClose` 同步收起。
+      void queue.submit(task).catch(() => undefined);
     },
-    [
-      beginResourceEditSubmission,
-      manifest.projectId,
-      onManifestChange,
-      projectPath,
-      resourceGenerationPlaceholders,
-      settleResourceEditSubmission,
-    ],
+    [resourceGenerationPlaceholders],
   );
 
   /**
@@ -8474,6 +8438,34 @@ export default function ProjectDevelopmentView({
         // 账本已经把结果写在它自己的项目里，这里不再动当前项目的状态。
         return;
       }
+      const audioSubmission = resourceGenerationAudioSubmissionRef.current.get(
+        settlement.taskId,
+      );
+      if (audioSubmission) {
+        resourceGenerationAudioSubmissionRef.current.delete(settlement.taskId);
+        if (
+          settlement.status === 'failed' &&
+          settlement.record === null &&
+          audioSubmission.dispatchedImmediately
+        ) {
+          /*
+            后端**从未受理**（校验不过 / 权限拒绝 / 提交 IPC 立即报错）：占位留在画布上，面板
+            连原草稿与原请求身份一起带回来。这次输入还没被任务接走，改完再提交仍然是同一次
+            生成——同一 operation 与幂等键，不会变成第二次付费请求。
+          */
+          resourceGenerationPlaceholdersRef.current.failTask(
+            settlement.taskId,
+            settlement.error ?? '生成失败',
+          );
+          setResourceWorkbenchNotice('');
+          setResourceGenerationDraft({
+            initialKind: audioSubmission.kind,
+            kinds: [audioSubmission.kind],
+            draftId: audioSubmission.draftId,
+          });
+          return;
+        }
+      }
       const submission = resourceAssetGenerationPanelSubmissionRef.current;
       if (submission?.taskId === settlement.taskId) {
         resourceAssetGenerationPanelSubmissionRef.current = null;
@@ -8532,6 +8524,10 @@ export default function ProjectDevelopmentView({
           draftId: landingPlaceholder.draftId,
           resourceId: `asset:${assetId}`,
         });
+        // 音频那条提交身份只在「失败后原地重试」时有意义：这次已经成功落地，身份随任务作废。
+        resourceGenerationAudioRequestRef.current.delete(
+          landingPlaceholder.draftId,
+        );
       }
       let fresh: Awaited<
         ReturnType<typeof rereadAuthoritativeProjectManifestSnapshot>
@@ -8734,6 +8730,7 @@ export default function ProjectDevelopmentView({
     setResourceAssetGenerationPanel(null);
     // 收起时的草稿与音频提交身份同样是本项目内的记忆，换项目一并作废。
     resourceGenerationAudioRequestRef.current.clear();
+    resourceGenerationAudioSubmissionRef.current.clear();
     resourceGenerationDraftRef.current.clear();
     resourceAssetGenerationDraftRef.current.clear();
     void (async () => {
diff --git a/apps/ai-game-creator-shell/tests/appSurface/project-development.suite.ts b/apps/ai-game-creator-shell/tests/appSurface/project-development.suite.ts
index 4e48cd06d..ed2ba1494 100644
--- a/apps/ai-game-creator-shell/tests/appSurface/project-development.suite.ts
+++ b/apps/ai-game-creator-shell/tests/appSurface/project-development.suite.ts
@@ -396,24 +396,6 @@ function generateCall(
   return call.args;
 }
 
-function deriveInput(
-  calls: readonly BottomToolbarInvokeCall[],
-  editKind: string,
-) {
-  const call = calls.find(
-    (entry) =>
-      entry.command === 'derive_local_project_resource' &&
-      deriveInputEditKind(entry) === editKind,
-  );
-  const input = call?.args?.input;
-  if (!input || typeof input !== 'object') {
-    throw new Error(
-      `missing derive_local_project_resource call for ${editKind}`,
-    );
-  }
-  return input;
-}
-
 function uploadCall(
   calls: readonly BottomToolbarInvokeCall[],
   fileName: string,
@@ -13250,7 +13232,7 @@ export function registerProjectAgentStatusTests() {
     ).not.toBeNull();
   }, 20_000);
 
-  it('routes the audio column entries to the existing audio generation chain', async () => {
+  it('routes the audio column entries to the shared background generation ledger', async () => {
     const manifest = createGameCreationAppManifest(
       'workbench-bottom-toolbar-audio',
       '底部工具栏音频项目',
@@ -13297,14 +13279,35 @@ export function registerProjectAgentStatusTests() {
     fireEvent.click(
       within(musicPanel).getByRole('button', { name: '生成背景音乐' }),
     );
-    await waitFor(() =>
-      expect(deriveInput(calls, 'background-music')).toMatchObject({
-        editKind: 'background-music',
-        generationMode: 'create',
-        sourceMediaType: 'audio/mpeg',
+
+    /*
+      音频与图片类走**同一条命令**：任务 id 就是这次生成的 operation id，另带一枚幂等键。
+      图片类那套比例 / 尺寸 / 参考 / 精确落点参数一个都不发——音频通道根本不读它们。
+    */
+    await waitFor(() => {
+      const musicStart = generateCall(calls, 'background-music');
+      expect(musicStart).toMatchObject({
+        kind: 'background-music',
         prompt: '轻快的八音盒',
         assetName: '新背景音乐',
-      }),
+        idempotencyKey: expect.any(String),
+      });
+      expect(Object.keys(musicStart).sort()).toEqual([
+        'assetName',
+        'idempotencyKey',
+        'kind',
+        'projectId',
+        'projectPath',
+        'prompt',
+        'taskId',
+      ]);
+      expect(String(musicStart.taskId)).toMatch(
+        /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/,
+      );
+    });
+    // 提交即关闭：面板不留在屏幕上等结果，进度交给「生成任务」侧栏。
+    await waitFor(() =>
+      expect(screen.queryByRole('dialog', { name: '生成背景音乐' })).toBeNull(),
     );
 
     fireEvent.click(await screen.findByRole('button', { name: '生成音效' }));
@@ -13316,12 +13319,11 @@ export function registerProjectAgentStatusTests() {
       within(soundPanel).getByRole('button', { name: '生成音效' }),
     );
     await waitFor(() =>
-      expect(deriveInput(calls, 'sound-effect')).toMatchObject({
-        editKind: 'sound-effect',
-        generationMode: 'create',
-        sourceMediaType: 'audio/mpeg',
+      expect(generateCall(calls, 'sound-effect')).toMatchObject({
+        kind: 'sound-effect',
         prompt: '木门缓慢推开的吱呀声',
         assetName: '新音效',
+        idempotencyKey: expect.any(String),
       }),
     );
   }, 20_000);
diff --git a/apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationBackgroundClose.test.tsx b/apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationBackgroundClose.test.tsx
index eb16cb9e0..ecee9c985 100644
--- a/apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationBackgroundClose.test.tsx
+++ b/apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationBackgroundClose.test.tsx
@@ -37,11 +37,6 @@ const uiPrototypeAction: ResourceCanvasAssetToolAction = {
   writesIconSpecReference: false,
 };
 
-/** 永不 resolve 的提交：音频面板仍然等生成结束，用它模拟在途状态。 */
-function pendingSubmit() {
-  return new Promise<void>(() => undefined);
-}
-
 describe('图片类生成面板：点击即关闭，面板里不出现阶段文案', () => {
   test('点击生成同步调用提交并关闭面板，面板 DOM 里从不出现阶段 / 排队文案', async () => {
     const onClose = vi.fn();
@@ -141,10 +136,12 @@ describe('图片类生成面板：点击即关闭，面板里不出现阶段文
   });
 });
 
-describe('音频生成面板在提交期间可关闭', () => {
-  test('提交在途时点 × 能关闭面板，且不改动 pending-edit 账本语义', async () => {
+/* 音频面板没有在途状态：点「生成」即把输入交给宿主（同步入参 + 立即关闭），阶段文案只由
+   画布上的「生成任务」侧栏拥有。 */
+describe('音频生成面板：点击即关闭，面板里不出现阶段文案', () => {
+  test('点「生成音效」同步调用提交并关闭面板，从不出现阶段 / 后台文案', async () => {
     const onClose = vi.fn();
-    const onSubmit = vi.fn(pendingSubmit);
+    const onSubmit = vi.fn();
     const user = userEvent.setup();
     render(
       <ResourceCanvasGenerationPanelView
@@ -155,36 +152,48 @@ describe('音频生成面板在提交期间可关闭', () => {
       />,
     );
     await user.type(screen.getByLabelText('生成提示词'), '木门推开的声音');
-    await user.click(screen.getByRole('button', { name: '生成音效' }));
-    await waitFor(() => expect(onSubmit).toHaveBeenCalledTimes(1));
 
-    const closeButton = screen.getByRole('button', {
-      name: '关闭生成音效',
-    }) as HTMLButtonElement;
-    expect(closeButton.disabled).toBe(false);
-    await user.click(closeButton);
-    expect(onClose).toHaveBeenCalledTimes(1);
+    const panel = screen.getByRole('dialog', { name: '生成音效' });
+    expect(panel.textContent).not.toMatch(/排队中。|正在生成。|提交中…/);
+    await user.click(within(panel).getByRole('button', { name: '生成音效' }));
+
+    // 提交与关闭在同一个事件循环里发生：不等受理、不等排队、不等生成。
     expect(onSubmit).toHaveBeenCalledTimes(1);
-
-    fireEvent.keyDown(window, { key: 'Escape' });
-    expect(onClose).toHaveBeenCalledTimes(2);
+    expect(onSubmit.mock.calls[0]?.[0]).toMatchObject({
+      kind: 'sound-effect',
+      prompt: '木门推开的声音',
+      assetName: '新音效',
+    });
+    expect(onClose).toHaveBeenCalledTimes(1);
+    // 进度只出现在「生成任务」侧栏：面板 DOM 里既没有阶段文案，也没有在途按钮。
+    expect(panel.textContent).not.toMatch(/排队中。|正在生成。|提交中…/);
+    expect(screen.queryByRole('button', { name: '后台运行并关闭' })).toBeNull();
   });
 
-  test('提交在途时提供「后台运行并关闭」', async () => {
+  test('× / Esc 关面板只收起草稿：不提交，也不取消任何任务', async () => {
     const onClose = vi.fn();
+    const onSubmit = vi.fn();
     const user = userEvent.setup();
     render(
       <ResourceCanvasGenerationPanelView
         kinds={['sound-effect']}
         initialKind="sound-effect"
-        onSubmit={vi.fn(pendingSubmit)}
+        onSubmit={onSubmit}
         onClose={onClose}
       />,
     );
     await user.type(screen.getByLabelText('生成提示词'), '木门推开的声音');
-    await user.click(screen.getByRole('button', { name: '生成音效' }));
 
-    await user.click(screen.getByRole('button', { name: '后台运行并关闭' }));
+    await user.click(screen.getByRole('button', { name: '关闭生成音效' }));
     expect(onClose).toHaveBeenCalledTimes(1);
+    // 关闭把当前草稿交回宿主：用户再点开占位卡能接着编辑，而不是回到空表单。
+    expect(onClose.mock.calls[0]?.[0]).toMatchObject({
+      kind: 'sound-effect',
+      prompt: '木门推开的声音',
+      assetName: '新音效',
+    });
+    fireEvent.keyDown(window, { key: 'Escape' });
+    expect(onClose).toHaveBeenCalledTimes(2);
+    expect(onSubmit).not.toHaveBeenCalled();
   });
 });
diff --git a/apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationQueue.test.ts b/apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationQueue.test.ts
index 0068b77e8..3cd498860 100644
--- a/apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationQueue.test.ts
+++ b/apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationQueue.test.ts
@@ -10,6 +10,7 @@ import {
 import {
   applyLocalProjectAssetGenerationRecords,
   createResourceCanvasAssetGenerationTask,
+  createResourceCanvasAudioGenerationTask,
   type LocalProjectAssetGenerationTaskRecord,
   nextResourceCanvasAssetGenerationDispatch,
   RESOURCE_CANVAS_ASSET_GENERATION_LOCAL_QUEUE_PHASE,
@@ -398,6 +399,56 @@ describe('本地排队驱动器', () => {
     });
   });
 
+  test('音频任务只发「任务 id + 幂等键」，不发图片类那套比例 / 尺寸 / 参考 / 落点', async () => {
+    const taskId = '0b6f2f9a-0f0f-4b3d-8d0a-5e0f5cef9b21';
+    const harness = createHarness((pollCount, api) => {
+      if (pollCount === 1) {
+        api.advance(taskId, 'completed');
+      }
+    });
+    const queue = createResourceCanvasAssetGenerationQueue(harness.deps);
+
+    await queue.submit(
+      createResourceCanvasAudioGenerationTask({
+        taskId,
+        idempotencyKey: '9a1b2c3d-4e5f-4a1b-8c2d-3e4f5a6b7c8d',
+        draftId: 'draft-bgm',
+        actionId: 'generate-background-music',
+        actionLabel: '生成背景音乐',
+        kind: 'background-music',
+        prompt: '一段平静的钢琴曲',
+        assetName: '新背景音乐',
+        projectId: 'project-1',
+        nowMillis: 10,
+      }),
+    );
+
+    const startCall = harness.invoke.mock.calls.find(
+      ([command]) => command === 'start_local_project_asset_generation',
+    );
+    // 逐字钉住载荷：多一个图片类字段就是「拿图片参数糊弄音频通道」。
+    expect(startCall?.[1]).toEqual({
+      projectPath: '/tmp/project',
+      projectId: 'project-1',
+      taskId: '0b6f2f9a-0f0f-4b3d-8d0a-5e0f5cef9b21',
+      kind: 'background-music',
+      prompt: '一段平静的钢琴曲',
+      assetName: '新背景音乐',
+      idempotencyKey: '9a1b2c3d-4e5f-4a1b-8c2d-3e4f5a6b7c8d',
+    });
+    // 音频落的是同一份账本：任务 id 就是 operation id，收口记录一样能回到本地任务上。
+    expect(harness.settlements[0]).toMatchObject({
+      taskId,
+      status: 'completed',
+    });
+    expect(harness.tasks()[0]).toMatchObject({
+      assetKind: 'background-music',
+      idempotencyKey: '9a1b2c3d-4e5f-4a1b-8c2d-3e4f5a6b7c8d',
+      status: 'completed',
+      assetId: `asset-${taskId}`,
+    });
+  });
+
   test('账本里找不到这条任务时不会无限轮询，收口为失败并放行后面的排队任务', async () => {
     const harness = createHarness((pollCount, api) => {
       if (pollCount === 1) {
diff --git a/apps/ai-game-creator-shell/tests/resourceCanvasCharacterAnimationPanelStyle.test.tsx b/apps/ai-game-creator-shell/tests/resourceCanvasCharacterAnimationPanelStyle.test.tsx
index b44611ccd..2e043fe8c 100644
--- a/apps/ai-game-creator-shell/tests/resourceCanvasCharacterAnimationPanelStyle.test.tsx
+++ b/apps/ai-game-creator-shell/tests/resourceCanvasCharacterAnimationPanelStyle.test.tsx
@@ -15,8 +15,6 @@ import type {
   QuickEditPanelState,
 } from '../../../src/components/image-editor/ImageCanvasEditorTypes';
 import { ImageCanvasQuickEditPanelView } from '../../../src/components/image-editor/ImageCanvasQuickEditPanelView';
-import { ResourceCanvasAssetGenerationPanelView } from '../src/features/resource-canvas/ResourceCanvasAssetGenerationPanelView';
-import type { ResourceCanvasAssetToolAction } from '../src/features/resource-canvas/resourceCanvasBottomToolbarModel';
 import { createResourceQuickEditPanelDraft } from '../src/features/resource-canvas/resourceCanvasQuickEditModel';
 
 /**
@@ -273,47 +271,6 @@ function quickEditPanel() {
   return container;
 }
 
-function assetGenerationPanel() {
-  const action: ResourceCanvasAssetToolAction = {
-    route: 'asset',
-    audioKind: null,
-    id: 'generate-image',
-    label: '生成图片',
-    assetKind: 'image',
-    assetName: '素材 生成图片',
-    promptPlaceholder: '描述要生成什么',
-    adjustableDimensions: true,
-    aspectRatio: '1:1',
-    imageSize: '1K',
-    requiresIconSpecReference: false,
-    writesIconSpecReference: false,
-  };
-  const referenceAsset: GameCreationAppAssetManifestEntry = {
-    id: 'asset-a',
-    kind: 'image',
-    mediaType: 'image/png',
-    localPath: 'assets/素材-a.png',
-    source: { kind: 'canvas' },
-  };
-  const { container } = render(
-    <ResourceCanvasAssetGenerationPanelView
-      action={action}
-      assets={[referenceAsset]}
-      projectPath="/tmp/project"
-      draft={{
-        prompt: '',
-        assetName: '猫',
-        aspectRatio: '1:1',
-        imageSize: '1K',
-        references: [],
-      }}
-      onSubmit={vi.fn()}
-      onClose={() => undefined}
-    />,
-  );
-  return container;
-}
-
 afterEach(() => {
   cleanup();
 });
@@ -367,10 +324,15 @@ function missingWebRulesFor(container: HTMLElement): {
 }
 
 describe('共享画布面板的 AGC 样式覆盖', () => {
+  /*
+    只探**消费共享 `ImageCanvas*` 组件**的两块面板（动画 / 快速编辑）——它们的类名来自网页端整站表，
+    宿主必须逐条照抄。生图（资源生成）面板走的是 AGC 自有类名（`game-resource-generation-*` 与
+    `resource-canvas-asset-generation-*`），不属于这条守卫的对象；它的排布由
+    `resourceCanvasAssetGenerationReferences.test.tsx` 的结构用例与基类 token 覆盖。
+  */
   for (const probe of [
     { name: '「生成动画」面板', render: animationPanel },
     { name: '快速编辑面板', render: quickEditPanel },
-    { name: '生图（资源生成）面板', render: assetGenerationPanel },
   ]) {
     it(`${probe.name}：网页端命中它的每条规则，AGC 都有同名同声明的一条`, () => {
       const { missing, matchedCount } = missingWebRulesFor(probe.render());
diff --git a/apps/ai-game-creator-shell/tests/resourceCanvasGenerationEntry.test.tsx b/apps/ai-game-creator-shell/tests/resourceCanvasGenerationEntry.test.tsx
index 8cd232090..1cc7f92a2 100644
--- a/apps/ai-game-creator-shell/tests/resourceCanvasGenerationEntry.test.tsx
+++ b/apps/ai-game-creator-shell/tests/resourceCanvasGenerationEntry.test.tsx
@@ -12,9 +12,9 @@ import { afterEach, describe, expect, test, vi } from 'vitest';
 import {
   isResourceCanvasGenerationAvailable,
   RESOURCE_CANVAS_GENERATION_OPTIONS,
-  resourceCanvasGenerationSourceId,
 } from '../src/features/resource-canvas/resourceCanvasGenerationModel';
 import { ResourceCanvasGenerationPanelView } from '../src/features/resource-canvas/ResourceCanvasGenerationPanelView';
+import { typeGenerationPrompt } from './resourceGenerationPromptTestUtils';
 
 type TauriInvoke = (
   command: string,
@@ -78,10 +78,6 @@ describe('resourceCanvasGenerationModel', () => {
       }),
     ).toBe(true);
   });
-
-  test('无源生成的稳定源标识挂在 operationId 上', () => {
-    expect(resourceCanvasGenerationSourceId(' op-1 ')).toBe('create:op-1');
-  });
 });
 
 describe('ResourceCanvasGenerationPanelView', () => {
@@ -102,16 +98,14 @@ describe('ResourceCanvasGenerationPanelView', () => {
     expect(panel.textContent).not.toContain('图片');
   });
 
-  test('失败后锁定原请求并用同一 operationId 与幂等键重试', async () => {
+  test('点「生成」即同步入队并关闭面板：不等 IPC、不等排队、不等生成', async () => {
     const user = userEvent.setup();
-    const onSubmit = vi
-      .fn<(input: unknown) => Promise<void>>()
-      .mockRejectedValueOnce(new Error('result-unknown: 测试网络中断'))
-      .mockResolvedValueOnce(undefined);
+    const onSubmit = vi.fn();
+    const onClose = vi.fn();
     render(
       <ResourceCanvasGenerationPanelView
         onSubmit={onSubmit}
-        onClose={() => undefined}
+        onClose={onClose}
       />,
     );
 
@@ -121,20 +115,74 @@ describe('ResourceCanvasGenerationPanelView', () => {
     await user.type(prompt, '一段片头动画，镜头缓慢推进');
     await user.click(screen.getByRole('button', { name: '生成视频' }));
 
-    expect((await screen.findByRole('alert')).textContent).toContain(
-      'result-unknown: 测试网络中断',
-    );
-    expect((prompt as HTMLTextAreaElement).disabled).toBe(true);
-    expect((assetName as HTMLInputElement).disabled).toBe(true);
-
-    await user.click(screen.getByRole('button', { name: '使用原请求重试' }));
-    await waitFor(() => expect(onSubmit).toHaveBeenCalledTimes(2));
-    expect(onSubmit.mock.calls[0]?.[0]).toEqual(onSubmit.mock.calls[1]?.[0]);
+    // 提交与关闭在同一个事件循环里发生：提交回调**同步**返回，面板不持有在途状态。
+    expect(onSubmit).toHaveBeenCalledTimes(1);
+    expect(onClose).toHaveBeenCalledTimes(1);
     expect(onSubmit.mock.calls[0]?.[0]).toMatchObject({
       kind: 'video',
       prompt: '一段片头动画，镜头缓慢推进',
       assetName: '新视频',
     });
+    expect(onSubmit.mock.calls[0]?.[0]).toMatchObject({
+      operationId: expect.any(String),
+      idempotencyKey: expect.any(String),
+    });
+    // 面板里不出现任何阶段文案与「后台运行并关闭」这类在途按钮。
+    expect(document.body.textContent).not.toMatch(
+      /排队中。|正在生成。|提交中…|后台运行并关闭/,
+    );
+  });
+
+  test('失败重开：带原失败原因与原请求身份，改回原提示词才能重试', async () => {
+    const user = userEvent.setup();
+    const onSubmit = vi.fn();
+    const onClose = vi.fn();
+    const boundRequest = {
+      operationId: '8f2d5b1c-3a4e-4d6f-9b0c-1d2e3f4a5b6c',
+      idempotencyKey: '5c1e7a90-2b3d-4e5f-8a9b-0c1d2e3f4a5b',
+      prompt: '一段片头动画，镜头缓慢推进',
+    };
+    render(
+      <ResourceCanvasGenerationPanelView
+        initialKind="video"
+        initialDraft={{
+          kind: 'video',
+          prompt: boundRequest.prompt,
+          assetName: '新视频',
+        }}
+        initialError="生成失败：result-unknown: 测试网络中断"
+        request={boundRequest}
+        onSubmit={onSubmit}
+        onClose={onClose}
+      />,
+    );
+
+    expect(screen.getByRole('alert').textContent).toContain(
+      'result-unknown: 测试网络中断',
+    );
+    const prompt = screen.getByLabelText('生成提示词') as HTMLTextAreaElement;
+    expect(prompt.value).toBe(boundRequest.prompt);
+
+    // 改了提示词：这次提交不再是原请求的重试（会另铸身份并另行计费），必须被挡住。
+    await typeGenerationPrompt(document.body, '改成另一段片头动画');
+    const retry = screen.getByRole('button', {
+      name: '使用原请求重试',
+    }) as HTMLButtonElement;
+    expect(retry.disabled).toBe(true);
+    expect(document.body.textContent).toContain('这次生成是「原请求重试」');
+    await user.click(retry);
+    expect(onSubmit).not.toHaveBeenCalled();
+
+    // 改回原样：重试复用同一对 operationId / 幂等键，不产生第二次付费生成。
+    await typeGenerationPrompt(document.body, boundRequest.prompt);
+    await user.click(screen.getByRole('button', { name: '使用原请求重试' }));
+    expect(onSubmit).toHaveBeenCalledTimes(1);
+    expect(onSubmit.mock.calls[0]?.[0]).toMatchObject({
+      operationId: boundRequest.operationId,
+      idempotencyKey: boundRequest.idempotencyKey,
+      prompt: boundRequest.prompt,
+    });
+    expect(onClose).toHaveBeenCalledTimes(1);
   });
 
   test('切换类型后默认名称与提交文案跟随类型', async () => {
@@ -254,33 +302,52 @@ describe('生成素材弹窗的提示词润色', () => {
     expect(screen.queryByRole('button', { name: '恢复原文' })).toBeNull();
   });
 
-  test('提交失败后提示词与润色入口一起锁定，重试仍是同一份请求身份', async () => {
+  test('失败重开后输入不锁定：润色照常可用，改动提示词就挡住原请求重试', async () => {
     const user = userEvent.setup();
-    installTauriInvoke(async () => undefined);
-    const onSubmit = vi
-      .fn<(input: unknown) => Promise<void>>()
-      .mockRejectedValueOnce(new Error('result-unknown: 测试网络中断'))
-      .mockResolvedValueOnce(undefined);
+    installTauriInvoke(async (command) => {
+      if (command !== 'polish_local_project_prompt') return undefined;
+      return '  润色后的片头动画  ';
+    });
+    const onSubmit = vi.fn();
+    const boundRequest = {
+      operationId: '2b7c1d3e-4f5a-4b6c-8d9e-0f1a2b3c4d5e',
+      idempotencyKey: '6c8d2e4f-5a6b-4c7d-9e0f-1a2b3c4d5e6f',
+      prompt: '一段片头动画',
+    };
     render(
       <ResourceCanvasGenerationPanelView
         initialKind="video"
+        initialDraft={{
+          kind: 'video',
+          prompt: boundRequest.prompt,
+          assetName: '新视频',
+        }}
+        initialError="生成失败：result-unknown: 测试网络中断"
+        request={boundRequest}
         onSubmit={onSubmit}
         onClose={() => undefined}
       />,
     );
 
+    /*
+      提交后面板已经关了，重开的是**占位**：这里既没有在途状态也没有「锁」，用户照常能改草稿。
+      挡住重复付费的判据不是「锁住输入」，而是「提示词一变就不再是原请求」。
+    */
     const prompt = screen.getByLabelText('生成提示词') as HTMLTextAreaElement;
-    await user.type(prompt, '一段片头动画');
-    await user.click(screen.getByRole('button', { name: '生成视频' }));
-    expect(await screen.findByRole('alert')).not.toBeNull();
+    expect(prompt.disabled).toBe(false);
+    const polishButton = screen.getByRole('button', {
+      name: 'AI 润色',
+    }) as HTMLButtonElement;
+    expect(polishButton.disabled).toBe(false);
+    await user.click(polishButton);
+    await waitFor(() => expect(prompt.value).toBe('润色后的片头动画'));
 
-    // 锁定输入 = 提交的提示词不可能漂移，所以复用同一 operationId 是安全的。
-    expect(prompt.disabled).toBe(true);
-    const polishButton = screen.getByRole('button', { name: 'AI 润色' });
-    expect((polishButton as HTMLButtonElement).disabled).toBe(true);
-
-    await user.click(screen.getByRole('button', { name: '使用原请求重试' }));
-    await waitFor(() => expect(onSubmit).toHaveBeenCalledTimes(2));
-    expect(onSubmit.mock.calls[1]?.[0]).toEqual(onSubmit.mock.calls[0]?.[0]);
+    const retry = screen.getByRole('button', {
+      name: '使用原请求重试',
+    }) as HTMLButtonElement;
+    expect(retry.disabled).toBe(true);
+    await user.click(retry);
+    expect(onSubmit).not.toHaveBeenCalled();
+    expect(document.body.textContent).toContain('这次生成是「原请求重试」');
   });
 });
diff --git a/apps/ai-game-creator-shell/tests/resourceCanvasGenerationHostLifecycle.test.tsx b/apps/ai-game-creator-shell/tests/resourceCanvasGenerationHostLifecycle.test.tsx
index 74586b0ed..351f79175 100644
--- a/apps/ai-game-creator-shell/tests/resourceCanvasGenerationHostLifecycle.test.tsx
+++ b/apps/ai-game-creator-shell/tests/resourceCanvasGenerationHostLifecycle.test.tsx
@@ -87,24 +87,41 @@ function manifestFor(
  */
 function installHostTauri(options: {
   assets: AssetFixture[];
-  deriveResults: Array<
-    | { ok: true; assetId: string; hold?: boolean }
-    | { ok: false; message: string }
-  >;
   /**
-   * 图片类入口（`start_local_project_asset_generation`）的账本收口方式。
+   * 后台生成账本（`start_local_project_asset_generation`）的收口方式。
    *
-   * 不传时这条命令不被这些用例触发（音频入口走 `derive_local_project_resource`）；
-   * `'failed'` 让队列在第一次轮询就看到一条失败记录，用来观察失败态重试。
+   * 不传时任务停在**运行中**，由用例调 `completeAssetGeneration` 收口为完成（用来观察占位的
+   * `submitted` 中间态与结果落点）；`'failed'` 让队列在第一次轮询就看到一条失败记录，用来观察
+   * 失败态与重试。
    */
   assetGenerationRecord?: 'failed';
+  /**
+   * 提交那一刻就被拒绝（后端从未受理）：`start_local_project_asset_generation` 抛这个原因。
+   *
+   * 用例可以中途改 `assetGenerationStartError.current`（改成 `undefined` 表示这次真受理了），
+   * 所以「未受理」与「已受理」两条路能在同一条用例里对照。
+   */
+  assetGenerationStartError?: string;
+  /**
+   * 让**第一次** `start_local_project_asset_generation` 挂在半空（受理前）。
+   *
+   * 用来复现「两条音频提交重叠」：第一条还在等受理时提交第二条，第二条会排在本地队列里。
+   * 用例用返回的 `releaseHeldAssetGenerationStart()` 决定第一条什么时候收到结果。
+   */
+  holdFirstAssetGenerationStart?: boolean;
 }) {
   const layoutWrites: LayoutWrite[] = [];
   const deriveCalls: Array<Record<string, unknown>> = [];
   const assetGenerationStarts: Array<Record<string, unknown>> = [];
+  const audioTaskRecords = new Map<string, Record<string, unknown>>();
+  /** 后台任务登记进清单的素材：完成收口时补进来，`get_local_game_manifest` 才读得到。 */
+  const registeredAssets: AssetFixture[] = [];
   const unexpectedCommands: string[] = [];
   let revision = 0;
-  let releaseHeldDerive: (() => void) | null = null;
+  const assetGenerationStartError = {
+    current: options.assetGenerationStartError,
+  };
+  let releaseHeldStart: (() => void) | null = null;
   const positions: ProjectResourceCanvasPosition[] = [];
 
   const invoke = vi.fn(
@@ -113,12 +130,15 @@ function installHostTauri(options: {
         return { revision: 1 };
       }
       if (command === 'read_local_project_resource_graph') {
+        // 关系图按**当前清单**（`resources` 入参）派生：后台生成落进清单的素材也要在图上。
+        const resources =
+          (args?.resources as Array<{ resourceId: string }> | undefined) ?? [];
         return {
           nodes: [],
           taskFlowIds: [],
           producerAssignments: [],
-          dependencyDepths: options.assets.map((asset) => ({
-            resourceId: `asset:${asset.id}`,
+          dependencyDepths: resources.map((resource) => ({
+            resourceId: resource.resourceId,
             dependencyDepth: 0,
           })),
           unresolvedReferenceResourceIds: [],
@@ -127,6 +147,12 @@ function installHostTauri(options: {
           producerMappingTruncated: false,
         };
       }
+      if (command === 'get_local_game_manifest') {
+        return manifestFor(PROJECT_ID, [
+          ...options.assets,
+          ...registeredAssets,
+        ]);
+      }
       if (command === 'read_local_project_resource_canvas_layout') {
         return {
           schemaVersion: 'game-creator-resource-layout.v1',
@@ -162,33 +188,29 @@ function installHostTauri(options: {
         };
       }
       if (command === 'derive_local_project_resource') {
-        const input = args?.input as Record<string, unknown>;
-        deriveCalls.push(input);
-        const planned = options.deriveResults.shift();
-        if (!planned || !planned.ok) {
-          throw new Error(planned?.message ?? '测试：没有预置生成结果');
-        }
-        // `hold`：把这次生成停在后台运行中，用来观察占位的 `submitted` 中间态。
-        if (planned.hold) {
-          await new Promise<void>((resolve) => {
-            releaseHeldDerive = resolve;
-          });
-        }
-        const asset = bgmAsset(planned.assetId);
-        return {
-          asset,
-          manifest: manifestFor(PROJECT_ID, [...options.assets, asset]),
-          committedProjectRevision: 2,
-          operationId: input.operationId,
-        };
+        /*
+          音频与图片类都走后台任务账本：这条同步派生通道不该再被生成入口触发。真被调到就大声
+          失败，而不是静默返回一个像模像样的结果。
+        */
+        deriveCalls.push((args?.input as Record<string, unknown>) ?? {});
+        throw new Error('生成入口不应再走同步派生通道');
       }
       if (command === 'list_pending_local_project_resource_edits') {
         return [];
       }
       if (command === 'start_local_project_asset_generation') {
         const startArgs = args ?? {};
-        assetGenerationStarts.push(startArgs);
-        return {
+        const isFirstStart = assetGenerationStarts.length === 0;
+        assetGenerationStarts.push(structuredClone(startArgs));
+        if (options.holdFirstAssetGenerationStart && isFirstStart) {
+          await new Promise<void>((resolve) => {
+            releaseHeldStart = resolve;
+          });
+        }
+        if (assetGenerationStartError.current) {
+          throw new Error(assetGenerationStartError.current);
+        }
+        const task = {
           taskId: String(startArgs.taskId ?? ''),
           projectId: PROJECT_ID,
           kind: String(startArgs.kind ?? ''),
@@ -196,26 +218,29 @@ function installHostTauri(options: {
           referenceAssetIds: Array.isArray(startArgs.referenceAssetIds)
             ? startArgs.referenceAssetIds
             : [],
-          status: 'queued',
+          status: 'running',
           phaseDetail: '已受理',
+          createdAtMillis: 1,
           startedAtMillis: 1,
           finishedAtMillis: null,
           assetId: null,
           error: null,
         };
+        audioTaskRecords.set(task.taskId, task);
+        return task;
       }
       if (command === 'list_local_project_asset_generations') {
-        return assetGenerationStarts.map((started) => ({
-          ...started,
-          status: options.assetGenerationRecord ?? 'queued',
-          phaseDetail:
-            options.assetGenerationRecord === 'failed' ? '生成失败' : '已受理',
-          finishedAtMillis:
-            options.assetGenerationRecord === 'failed' ? 2 : null,
-          error:
-            options.assetGenerationRecord === 'failed'
-              ? '测试：生成失败'
-              : null,
+        const records = [...audioTaskRecords.values()];
+        if (options.assetGenerationRecord !== 'failed') {
+          return records;
+        }
+        // 「后端已受理、之后才失败」这一路：面板不再被带回来，原因留在占位那一侧。
+        return records.map((task) => ({
+          ...task,
+          status: 'failed',
+          phaseDetail: '生成失败：测试拒绝',
+          finishedAtMillis: 2,
+          error: '测试：生成失败',
         }));
       }
       if (command === 'read_local_project_image_preview') {
@@ -245,8 +270,28 @@ function installHostTauri(options: {
     layoutWrites,
     deriveCalls,
     assetGenerationStarts,
+    assetGenerationStartError,
+    releaseHeldAssetGenerationStart: () => releaseHeldStart?.(),
     unexpectedCommands,
-    releaseHeldDerive: () => releaseHeldDerive?.(),
+    /**
+     * 后台任务收口为完成：账本里那条记录变成 `completed` + `assetId`，素材同时进清单。
+     *
+     * 真实链路里这两件事都由 Rust 后台任务写（先登记 manifest 再写终态），这里只复刻结果。
+     * 队列下一次轮询（默认 2 秒一次）就会读到终态并把结果落到占位上。
+     */
+    completeAssetGeneration: (asset: AssetFixture) => {
+      for (const [taskId, task] of audioTaskRecords) {
+        audioTaskRecords.set(taskId, {
+          ...task,
+          status: 'completed',
+          phaseDetail: '生成已完成。',
+          finishedAtMillis: 2,
+          assetId: asset.id,
+          error: null,
+        });
+      }
+      registeredAssets.push(asset);
+    },
   };
 }
 
@@ -518,7 +563,6 @@ describe('画布生成入口的宿主生命周期', () => {
   test('音频入口：提交后占位进入 submitted，成功后结果落到占位最新位置并撤掉占位', async () => {
     const tauri = installHostTauri({
       assets: [seedBgmAsset('seed-bgm')],
-      deriveResults: [{ ok: true, assetId: NEW_ASSET_ID, hold: true }],
     });
     render(<HostWorkbench assets={[seedBgmAsset('seed-bgm')]} />);
     await settle();
@@ -529,18 +573,39 @@ describe('画布生成入口的宿主生命周期', () => {
     expect(placeholder.dataset.resourceCanvasGenerationPlaceholderStatus).toBe(
       'draft',
     );
-    expect(tauri.deriveCalls).toEqual([]);
+    expect(tauri.assetGenerationStarts).toEqual([]);
 
     fireEvent.click(panelSubmitButton('生成背景音乐'));
     await settle();
 
-    // 提交一次：走无源生成（create）链路；后台还在跑，占位收口为 submitted。
-    expect(tauri.deriveCalls).toHaveLength(1);
-    expect(tauri.deriveCalls[0]).toMatchObject({
-      editKind: 'background-music',
-      generationMode: 'create',
-      expectedProjectId: PROJECT_ID,
+    /*
+      提交一次：音频与图片类走**同一条命令**（`start_local_project_asset_generation`），载荷只有
+      「任务 id = operation id」+ 幂等键，没有图片类那套比例 / 尺寸 / 参考 / 落点参数。
+    */
+    expect(tauri.assetGenerationStarts).toHaveLength(1);
+    const musicStart = tauri.assetGenerationStarts[0]!;
+    expect(musicStart).toMatchObject({
+      projectPath: PROJECT_PATH,
+      projectId: PROJECT_ID,
+      kind: 'background-music',
+      prompt: '一段平静的夜晚钢琴曲',
+      assetName: '新背景音乐',
     });
+    expect(Object.keys(musicStart).sort()).toEqual([
+      'assetName',
+      'idempotencyKey',
+      'kind',
+      'projectId',
+      'projectPath',
+      'prompt',
+      'taskId',
+    ]);
+    expect(String(musicStart.taskId)).toMatch(/^[0-9a-f-]{36}$/);
+    expect(String(musicStart.idempotencyKey)).toMatch(/^[0-9a-f-]{36}$/);
+    // 音频不再走同步派生通道。
+    expect(tauri.deriveCalls).toEqual([]);
+
+    // 后台还在跑：占位收口为 submitted。
     await waitFor(() =>
       expect(
         placeholderElement(draftId)?.dataset
@@ -548,42 +613,42 @@ describe('画布生成入口的宿主生命周期', () => {
       ).toBe('submitted'),
     );
 
-    // 放行后台任务：结果入库。
+    // 后台任务收口：账本记完成并登记素材（真实链路里由 Rust 任务写这两件事）。
     await act(async () => {
-      tauri.releaseHeldDerive();
+      tauri.completeAssetGeneration(bgmAsset(NEW_ASSET_ID));
       await Promise.resolve();
     });
 
     // 结果入库后：新卡落在占位坐标上（占位在空栏目里落在原点），占位被撤掉。
-    await waitFor(() => {
-      expect(
-        tauri.layoutWrites
-          .filter((write) =>
-            write.positions.some(
-              (position) => position.resourceId === NEW_RESOURCE_ID,
-            ),
-          )
-          .map((write) => {
-            const landed = write.positions.find(
-              (position) => position.resourceId === NEW_RESOURCE_ID,
-            )!;
-            return `${write.mode}:${landed.section}@${landed.x},${landed.y}${
-              landed.manuallyPlaced ? 'M' : 'A'
-            }`;
-          })
-          .join(' || '),
-      ).toContain(`type:audio@${placeholderPoint.x},${placeholderPoint.y}M`);
-    });
+    await waitFor(
+      () => {
+        expect(
+          tauri.layoutWrites
+            .filter((write) =>
+              write.positions.some(
+                (position) => position.resourceId === NEW_RESOURCE_ID,
+              ),
+            )
+            .map((write) => {
+              const landed = write.positions.find(
+                (position) => position.resourceId === NEW_RESOURCE_ID,
+              )!;
+              return `${write.mode}:${landed.section}@${landed.x},${landed.y}${
+                landed.manuallyPlaced ? 'M' : 'A'
+              }`;
+            })
+            .join(' || '),
+        ).toContain(`type:audio@${placeholderPoint.x},${placeholderPoint.y}M`);
+      },
+      { timeout: 5_000 },
+    );
     await waitFor(() => expect(allPlaceholders()).toHaveLength(0));
-  });
+  }, 20_000);
 
-  test('失败后用同一份请求重试：复用同一个 operationId 与幂等键', async () => {
+  test('未受理的即时失败：面板连原草稿与原请求身份自动带回来', async () => {
     const tauri = installHostTauri({
       assets: [seedBgmAsset('seed-bgm')],
-      deriveResults: [
-        { ok: false, message: 'result-unknown: 测试网络中断' },
-        { ok: true, assetId: NEW_ASSET_ID },
-      ],
+      assetGenerationStartError: '项目权限策略拒绝执行：asset.register',
     });
     render(<HostWorkbench assets={[seedBgmAsset('seed-bgm')]} />);
     await settle();
@@ -591,30 +656,115 @@ describe('画布生成入口的宿主生命周期', () => {
     const { draftId } = await openBgmEntry();
     fireEvent.click(panelSubmitButton('生成背景音乐'));
     await settle();
-    expect(tauri.deriveCalls).toHaveLength(1);
-    // 失败：占位留着（输入与操作身份都还在），状态收口为 failed。
+    expect(tauri.assetGenerationStarts).toHaveLength(1);
+
+    /*
+      后端**从未受理**：这次输入没有被任务接走，所以占位留在画布上，面板连同原草稿与原请求
+      身份一起被带回来——用户改完可以直接重试，而不会丢掉刚写的东西。
+    */
+    await waitFor(() => expect(floatingPanel()).not.toBeNull());
+    expect(floatingPanel()?.textContent ?? '').toContain(
+      '项目权限策略拒绝执行：asset.register',
+    );
+    expect(floatingPanelPrompt()?.value ?? '').toBe('一段平静的夜晚钢琴曲');
+    expect(
+      placeholderElement(draftId)?.dataset
+        .resourceCanvasGenerationPlaceholderStatus,
+    ).toBe('failed');
+
+    // 同一张占位再提交：同一对 operation / 幂等键——这是同一次生成的重试，不是第二次付费请求。
+    tauri.assetGenerationStartError.current = undefined;
+    fireEvent.click(floatingPanelSubmit());
+    await settle();
+    await waitFor(() => expect(tauri.assetGenerationStarts).toHaveLength(2));
+    expect(tauri.assetGenerationStarts[1]).toMatchObject({
+      taskId: tauri.assetGenerationStarts[0]!.taskId,
+      idempotencyKey: tauri.assetGenerationStarts[0]!.idempotencyKey,
+      kind: 'background-music',
+      prompt: '一段平静的夜晚钢琴曲',
+    });
+    // 这次后端受理了：面板同步关闭且**不再**被带回来（重开只属于「从未受理」）。
+    await waitFor(() => expect(floatingPanel()).toBeNull());
+  }, 20_000);
+
+  test('两条音频提交重叠：第一条未被受理时，它的面板仍会被带回来', async () => {
+    const tauri = installHostTauri({
+      assets: [seedBgmAsset('seed-bgm')],
+      assetGenerationStartError: '项目权限策略拒绝执行：asset.register',
+      holdFirstAssetGenerationStart: true,
+    });
+    render(<HostWorkbench assets={[seedBgmAsset('seed-bgm')]} />);
+    await settle();
+
+    // 第一条：背景音乐。派发挂在「受理」上，队列还没拿到它的终局。
+    const { draftId } = await openBgmEntry();
+    fireEvent.click(panelSubmitButton('生成背景音乐'));
+    await settle();
+    expect(tauri.assetGenerationStarts).toHaveLength(1);
+
+    // 第二条：音效（另一张占位）。第一条还在途，所以它排在本地队列里，还没有发 IPC。
+    await openAudioTool('生成音效');
+    fireEvent.change(
+      floatingPanel()?.querySelector('textarea') as HTMLTextAreaElement,
+      { target: { value: '木门缓慢推开的吱呀声' } },
+    );
+    fireEvent.click(panelSubmitButton('生成音效'));
+    await settle();
+    expect(tauri.assetGenerationStarts).toHaveLength(1);
+
+    /*
+      放开第一条：它这次从未被受理。提交上下文按**任务 id** 各自留存，所以后来的第二条不许把
+      第一条的恢复上下文挤掉——面板必须连原草稿回到第一张占位。
+    */
+    await act(async () => {
+      tauri.releaseHeldAssetGenerationStart();
+      await Promise.resolve();
+    });
+    await waitFor(() => expect(floatingPanel()).not.toBeNull());
+    expect(floatingPanelPrompt()?.value ?? '').toBe('一段平静的夜晚钢琴曲');
+    expect(
+      placeholderElement(draftId)?.dataset
+        .resourceCanvasGenerationPlaceholderStatus,
+    ).toBe('failed');
+  }, 20_000);
+
+  test('失败后用同一份请求重试：复用同一个 operationId 与幂等键', async () => {
+    const tauri = installHostTauri({
+      assets: [seedBgmAsset('seed-bgm')],
+      assetGenerationRecord: 'failed',
+    });
+    render(<HostWorkbench assets={[seedBgmAsset('seed-bgm')]} />);
+    await settle();
+
+    const { draftId } = await openBgmEntry();
+    fireEvent.click(panelSubmitButton('生成背景音乐'));
+    await settle();
+    expect(tauri.assetGenerationStarts).toHaveLength(1);
+    // 失败：占位留着（输入与任务身份都还在），状态收口为 failed。
     await waitFor(() =>
       expect(
         placeholderElement(draftId)?.dataset
           .resourceCanvasGenerationPlaceholderStatus,
       ).toBe('failed'),
     );
+    // 提交即关闭：面板不留在屏幕上等结果。
+    expect(floatingPanel()).toBeNull();
 
-    // 面板上的原请求重试：同一次生成，不该变成第二次付费请求。
-    const retry = screen
-      .getAllByRole('button')
-      .find((button) => button.textContent?.includes('重试'));
-    expect(retry).toBeDefined();
-    fireEvent.click(retry!);
+    // 点占位把面板带回来：失败原因是**那张占位**的，重试仍是同一次生成。
+    fireEvent.click(placeholderElement(draftId)!);
+    await settle();
+    expect(floatingPanel()?.textContent ?? '').toContain('测试：生成失败');
+    fireEvent.click(floatingPanelSubmit());
     await settle();
 
-    await waitFor(() => expect(tauri.deriveCalls).toHaveLength(2));
-    expect(tauri.deriveCalls[1]).toMatchObject({
-      operationId: tauri.deriveCalls[0]!.operationId,
-      idempotencyKey: tauri.deriveCalls[0]!.idempotencyKey,
-      prompt: tauri.deriveCalls[0]!.prompt,
+    await waitFor(() => expect(tauri.assetGenerationStarts).toHaveLength(2));
+    expect(tauri.assetGenerationStarts[1]).toMatchObject({
+      taskId: tauri.assetGenerationStarts[0]!.taskId,
+      idempotencyKey: tauri.assetGenerationStarts[0]!.idempotencyKey,
+      kind: 'background-music',
+      prompt: tauri.assetGenerationStarts[0]!.prompt,
     });
-  });
+  }, 20_000);
 });
 
 /**
@@ -630,7 +780,6 @@ describe('生成浮层按占位隔离（宿主回归）', () => {
   test('同类不同草稿：切到另一条音频工具是新面板，切回来原草稿还在', async () => {
     const tauri = installHostTauri({
       assets: [seedBgmAsset('seed-bgm')],
-      deriveResults: [],
     });
     render(<HostWorkbench assets={[seedBgmAsset('seed-bgm')]} />);
     await settle();
@@ -654,13 +803,10 @@ describe('生成浮层按占位隔离（宿主回归）', () => {
     expect(floatingPanelPrompt()?.value ?? '').toBe('一段平静的夜晚钢琴曲');
   });
 
-  test('失败态切换：失败原因与操作身份都不跟着换占位', async () => {
+  test('失败态切换：失败原因与任务身份都不跟着换占位', async () => {
     const tauri = installHostTauri({
       assets: [seedBgmAsset('seed-bgm')],
-      deriveResults: [
-        { ok: false, message: 'result-unknown: 测试网络中断' },
-        { ok: true, assetId: NEW_ASSET_ID },
-      ],
+      assetGenerationRecord: 'failed',
     });
     render(<HostWorkbench assets={[seedBgmAsset('seed-bgm')]} />);
     await settle();
@@ -668,37 +814,47 @@ describe('生成浮层按占位隔离（宿主回归）', () => {
     const { draftId } = await openBgmEntry();
     fireEvent.click(floatingPanelSubmit());
     await settle();
-    expect(tauri.deriveCalls).toHaveLength(1);
+    expect(tauri.assetGenerationStarts).toHaveLength(1);
+    // 提交即关面板：失败由占位收口，原因留在那张占位上。
     await waitFor(() =>
-      expect(floatingPanel()?.textContent ?? '').toContain('测试网络中断'),
+      expect(
+        placeholderElement(draftId)?.dataset
+          .resourceCanvasGenerationPlaceholderStatus,
+      ).toBe('failed'),
     );
+    expect(floatingPanel()).toBeNull();
+    fireEvent.click(placeholderElement(draftId)!);
+    await settle();
+    expect(floatingPanel()?.textContent ?? '').toContain('测试：生成失败');
 
-    // 切到音效：上一条的失败原因与「输入已锁定」都不得跟着它走。
+    // 切到音效：上一条的失败原因不得跟着它走，输入也不该被锁。
     await openAudioTool('生成音效');
-    expect(floatingPanel()?.textContent ?? '').not.toContain('测试网络中断');
+    expect(floatingPanel()?.textContent ?? '').not.toContain('测试：生成失败');
     expect(floatingPanelPrompt()?.disabled).toBe(false);
     expect(floatingPanelPrompt()?.value ?? '').toBe('');
 
-    // 在音效面板提交：这是**新的**请求，不能复用背景音乐那条失败请求的操作身份。
+    // 在音效面板提交：这是**新的**请求，不能复用背景音乐那条失败请求的任务身份。
     await typeGenerationPrompt(floatingPanel()!, '一段清脆的铃声');
     fireEvent.click(floatingPanelSubmit());
     await settle();
-    expect(tauri.deriveCalls).toHaveLength(2);
-    expect(tauri.deriveCalls[1]!.operationId).not.toBe(
-      tauri.deriveCalls[0]!.operationId,
+    await waitFor(() => expect(tauri.assetGenerationStarts).toHaveLength(2));
+    expect(tauri.assetGenerationStarts[1]!.taskId).not.toBe(
+      tauri.assetGenerationStarts[0]!.taskId,
     );
-    expect(tauri.deriveCalls[1]).toMatchObject({ editKind: 'sound-effect' });
+    expect(tauri.assetGenerationStarts[1]).toMatchObject({
+      kind: 'sound-effect',
+    });
 
-    // 回到原占位重试：必须复用原请求的操作身份与幂等键（同一 operation 账本）。
+    // 回到原占位重试：必须复用原任务的操作身份与幂等键（同一 operation 账本）。
     fireEvent.click(placeholderElement(draftId)!);
     await settle();
     fireEvent.click(floatingPanelSubmit());
     await settle();
-    expect(tauri.deriveCalls).toHaveLength(3);
-    expect(tauri.deriveCalls[2]).toMatchObject({
-      operationId: tauri.deriveCalls[0]!.operationId,
-      idempotencyKey: tauri.deriveCalls[0]!.idempotencyKey,
-      prompt: tauri.deriveCalls[0]!.prompt,
+    await waitFor(() => expect(tauri.assetGenerationStarts).toHaveLength(3));
+    expect(tauri.assetGenerationStarts[2]).toMatchObject({
+      taskId: tauri.assetGenerationStarts[0]!.taskId,
+      idempotencyKey: tauri.assetGenerationStarts[0]!.idempotencyKey,
+      prompt: tauri.assetGenerationStarts[0]!.prompt,
     });
   });
 
@@ -706,7 +862,6 @@ describe('生成浮层按占位隔离（宿主回归）', () => {
     const user = userEvent.setup();
     const tauri = installHostTauri({
       assets: [imageAsset('ref-img', 'ref.png')],
-      deriveResults: [],
       assetGenerationRecord: 'failed',
     });
     render(
@@ -771,7 +926,6 @@ describe('生成浮层按占位隔离（宿主回归）', () => {
     const user = userEvent.setup();
     const tauri = installHostTauri({
       assets: [imageAsset('ref-img', 'ref.png')],
-      deriveResults: [],
       assetGenerationRecord: 'failed',
     });
     render(
diff --git a/apps/ai-game-creator-shell/tests/resourceCanvasGenerationLanding.test.tsx b/apps/ai-game-creator-shell/tests/resourceCanvasGenerationLanding.test.tsx
index 6fb839e58..5c5b7bcb8 100644
--- a/apps/ai-game-creator-shell/tests/resourceCanvasGenerationLanding.test.tsx
+++ b/apps/ai-game-creator-shell/tests/resourceCanvasGenerationLanding.test.tsx
@@ -99,10 +99,11 @@ type Mock = {
 
 function installTauri({
   assets,
-  deriveFails = false,
+  assetGenerationFailed = false,
 }: {
   assets: GameCreationAppAssetManifestEntry[];
-  deriveFails?: boolean;
+  /** 后台账本里那条任务是不是「已受理、之后失败」的终态。 */
+  assetGenerationFailed?: boolean;
 }): Mock {
   const layoutWrites: ProjectResourceCanvasPosition[][] = [];
   const generationStarts: Record<string, unknown>[] = [];
@@ -163,20 +164,22 @@ function installTauri({
         return [];
       }
       if (command === 'list_local_project_asset_generations') {
-        // 账本里的终态记录：队列轮询一次就收口为成功，并给出 manifest 资源 id。
+        // 账本里的终态记录：队列轮询一次就收口，成功时给出 manifest 资源 id。
         return [
           {
             taskId: String(args?.taskId ?? '') || LAST_TASK_ID.value,
             projectId: PROJECT_ID,
             kind: 'image',
             assetName: 'AI 生成图片',
-            status: 'completed',
-            phaseDetail: '生成已完成。',
+            status: assetGenerationFailed ? 'failed' : 'completed',
+            phaseDetail: assetGenerationFailed
+              ? '生成失败：远端拒绝'
+              : '生成已完成。',
             createdAtMillis: 1,
             startedAtMillis: 2,
             finishedAtMillis: 3,
-            assetId: GENERATED_ASSET_ID,
-            error: null,
+            assetId: assetGenerationFailed ? null : GENERATED_ASSET_ID,
+            error: assetGenerationFailed ? '远端拒绝' : null,
           },
         ];
       }
@@ -198,12 +201,14 @@ function installTauri({
         };
       }
       if (command === 'derive_local_project_resource') {
-        const input = (args?.input ?? {}) as Record<string, unknown>;
-        deriveInputs.push(structuredClone(input));
-        if (deriveFails) {
-          throw new Error('远端拒绝');
-        }
-        return { asset: null, manifest: structuredClone(manifest) };
+        /*
+          生成入口（音频与图片类）都走后台任务账本：同步派生通道不该再被触发。真被调到就大声
+          失败，而不是静默返回一个像模像样的结果。
+        */
+        deriveInputs.push(
+          structuredClone((args?.input ?? {}) as Record<string, unknown>),
+        );
+        throw new Error('生成入口不应再走同步派生通道');
       }
       if (command === 'read_local_project_image_preview') {
         return {
@@ -465,9 +470,9 @@ describe('浮层按真实矩形落在画布安全带内', () => {
 });
 
 describe('音频生成身份', () => {
-  test('失败保留占位与草稿，重试复用同一 operationId', async () => {
+  test('失败保留占位与草稿，重试复用同一 operationId 与幂等键', async () => {
     const assets = [pngAsset('asset-character', 'character.png')];
-    const tauri = installTauri({ assets, deriveFails: true });
+    const tauri = installTauri({ assets, assetGenerationFailed: true });
     render(<Workbench assets={assets} />);
     await openCategory('音频');
 
@@ -479,11 +484,24 @@ describe('音频生成身份', () => {
     fireEvent.click(
       within(panel).getByRole('button', { name: '生成背景音乐' }),
     );
-    await waitFor(() => expect(tauri.deriveInputs).toHaveLength(1));
-    const firstOperationId = tauri.deriveInputs[0]?.operationId;
-    expect(typeof firstOperationId).toBe('string');
 
-    // 失败：占位收口为失败并保留（不是被删掉），面板仍在且带原因。
+    // 音频与图片类同一条后台通道：任务 id 就是这次生成的 operation id，载荷带幂等键。
+    await waitFor(() => expect(tauri.generationStarts).toHaveLength(1));
+    const firstTaskId = tauri.generationStarts[0]?.taskId;
+    expect(typeof firstTaskId).toBe('string');
+    expect(tauri.generationStarts[0]).toMatchObject({
+      kind: 'background-music',
+      prompt: '轻快的八音盒',
+      idempotencyKey: expect.any(String),
+    });
+    // 音频不再走同步派生通道。
+    expect(tauri.deriveInputs).toEqual([]);
+    // 提交即关闭：面板不留在屏幕上等结果。
+    await waitFor(() =>
+      expect(screen.queryByRole('dialog', { name: '生成背景音乐' })).toBeNull(),
+    );
+
+    // 失败：占位收口为失败并保留（不是被删掉）。
     await waitFor(() =>
       expect(
         document.querySelector<HTMLElement>(
@@ -492,13 +510,7 @@ describe('音频生成身份', () => {
       ).not.toBeNull(),
     );
 
-    // 收起浮层后再点占位：草稿灌回来，重试复用同一 operationId（原生幂等，不重复付费）。
-    fireEvent.click(
-      within(panel).getByRole('button', { name: '关闭生成背景音乐' }),
-    );
-    await waitFor(() =>
-      expect(screen.queryByRole('dialog', { name: '生成背景音乐' })).toBeNull(),
-    );
+    // 点占位：草稿灌回来，重试复用同一 operationId / 幂等键（原生幂等，不重复付费）。
     fireEvent.click(
       document.querySelector<HTMLElement>(
         '[data-resource-canvas-generation-placeholder]',
@@ -515,10 +527,10 @@ describe('音频生成身份', () => {
     fireEvent.click(
       within(reopened).getByRole('button', { name: '使用原请求重试' }),
     );
-    await waitFor(() => expect(tauri.deriveInputs).toHaveLength(2));
-    expect(tauri.deriveInputs[1]?.operationId).toBe(firstOperationId);
-    expect(tauri.deriveInputs[1]?.idempotencyKey).toBe(
-      tauri.deriveInputs[0]?.idempotencyKey,
+    await waitFor(() => expect(tauri.generationStarts).toHaveLength(2));
+    expect(tauri.generationStarts[1]?.taskId).toBe(firstTaskId);
+    expect(tauri.generationStarts[1]?.idempotencyKey).toBe(
+      tauri.generationStarts[0]?.idempotencyKey,
     );
   }, 20_000);
 });
diff --git a/docs/prd/【AI游戏创作】项目开发工作台PRD-2026-07-20.md b/docs/prd/【AI游戏创作】项目开发工作台PRD-2026-07-20.md
index 72d6aa638..d23c50d12 100644
--- a/docs/prd/【AI游戏创作】项目开发工作台PRD-2026-07-20.md
+++ b/docs/prd/【AI游戏创作】项目开发工作台PRD-2026-07-20.md
@@ -1,6 +1,6 @@
 # AI 游戏创作项目开发工作台 PRD
 
-更新时间：`2026-09-20`（派生/修改类任务并入同一「生成任务」侧栏，见 §3.10；2026-09-14 同步功能画布图片类生成后台化的当前事实：入口 IPC 改为 `start_local_project_asset_generation` + 项目内任务账本 + 本地排队 + 非模态「生成任务」面板，见 §3.10 / §7.9；2026-09-13 新增的功能画布底部工具栏入口矩阵 §3.10 / §7.9，以及右侧 Supervisor 对话气泡、可访问对比度与过程卡布局收口，资源卡预览、分区布局、非破坏性资源编辑、资源替换与 Godot 双根合同保持不变）
+更新时间：`2026-09-21`（2026-09-20 音频生成并入图片类那份后台任务账本、派生/修改类任务并入同一「生成任务」侧栏，2026-09-21 卡片浮层改为「提交即关」，见 §3.10 / §7.9；2026-09-14 图片类生成后台化：入口 IPC 为 `start_local_project_asset_generation` + 项目内任务账本 + 本地排队 + 非模态「生成任务」面板；2026-09-13 新增的功能画布底部工具栏入口矩阵 §3.10 / §7.9，以及右侧 Supervisor 对话气泡、可访问对比度与过程卡布局收口，资源卡预览、分区布局、非破坏性资源编辑、资源替换与 Godot 双根合同保持不变）
 
 ## 1. 产品定位
 
@@ -151,19 +151,19 @@
 
 ### 3.10 功能画布底部工具栏（入口矩阵）
 
-实现状态（2026-09-13；2026-09-14 图片类生成后台化：提交即返回 + 项目内任务账本 + 本地排队 + 非模态「生成任务」面板）：功能画布 = 资源栏目页（`resourceBookState.view === 'child'`）。栏目页左下角的底部工具栏按 manifest 资产的**功能分类** `category` 分流，矩阵由用户 2026-09-13 拍板，工具项顺序即下表顺序（最右一项为「上传」）。
+实现状态（2026-09-13；2026-09-14 图片类生成后台化：提交即返回 + 项目内任务账本 + 本地排队 + 非模态「生成任务」面板；2026-09-20 音频生成并入同一条后台任务账本）：功能画布 = 资源栏目页（`resourceBookState.view === 'child'`）。栏目页左下角的底部工具栏按 manifest 资产的**功能分类** `category` 分流，矩阵由用户 2026-09-13 拍板，工具项顺序即下表顺序（最右一项为「上传」）。
 
-| 栏目 | 工具栏里的生成入口 |
-| --- | --- |
-| UI 与交互 `ui-interaction` | 生成图片 ｜ 生成规范（二级：图标规范 / 自定义规范）｜ 生成图标素材 ｜ 生成 UI 设计图 ｜ 上传 |
-| 角色与对象 `character` | 生成图片 ｜ 生成规范（二级：角色规范 / 自定义规范）｜ 生成角色形象 ｜ 上传 |
-| 场景与环境 `scene` | 生成图片 ｜ 生成规范（二级：自定义规范）｜ 上传 |
-| 音频 `audio` | 生成背景音乐 ｜ 生成音效 ｜ 上传 |
-| 文档 `document`、待归类 `unclassified`、项目版本 `version`、「所有资源」展开态、资源总览 | **不渲染工具栏** |
+| 栏目                                                                                     | 工具栏里的生成入口                                                                           |
+| ---------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------- |
+| UI 与交互 `ui-interaction`                                                               | 生成图片 ｜ 生成规范（二级：图标规范 / 自定义规范）｜ 生成图标素材 ｜ 生成 UI 设计图 ｜ 上传 |
+| 角色与对象 `character`                                                                   | 生成图片 ｜ 生成规范（二级：角色规范 / 自定义规范）｜ 生成角色形象 ｜ 上传                   |
+| 场景与环境 `scene`                                                                       | 生成图片 ｜ 生成规范（二级：自定义规范）｜ 上传                                              |
+| 音频 `audio`                                                                             | 生成背景音乐 ｜ 生成音效 ｜ 上传                                                             |
+| 文档 `document`、待归类 `unclassified`、项目版本 `version`、「所有资源」展开态、资源总览 | **不渲染工具栏**                                                                             |
 
 - 位置与层级：画布左下角（`left: 14px; bottom: 14px; z-index: 40`）。右下角是既有的缩放 / 撤销 Dock（`right: 14px; bottom: 14px`），左下角是画布上唯一两者都不占的稳定空位。工具栏是管理区 `.game-resource-book-manager` 的**直接子节点**、与画本场景并列，不进带 `scale()` 的场景层；二级菜单与「入口不可用原因」都贴着工具栏上沿弹出，不做内嵌内容。
 - 外壳用共享 chrome（`packages/image-canvas-react` 的 `CanvasToolbar / CanvasToolbarGroup / CanvasChromeButton`），样式落在 AGC 的 `resourceCanvasChrome.css`；共享包只承接通用表现，不含业务规则。
-- 接线：图片类入口走本地 IPC `start_local_project_asset_generation`（`kind` ∈ `image / character / spec / icon-spec / ui-prototype / art-spritesheet`；**提交即返回任务记录**，生成由 Rust 后台任务跑完写回项目，进度用 `list_local_project_asset_generations` 读回项目内账本 `.agent/runtime/asset-generation-tasks/tasks.json`）；音频入口复用既有的无源生成链路 `derive_local_project_resource`（`generationMode: 'create'`、`editKind` = `sound-effect` / `background-music`）；「上传」复用 `upload_local_asset`。生成 / 上传成功后一律用「配对读 `(revision, manifest)`」交给 `onManifestChange`，走既有 manifest 刷新与资源投影链路，不重算依赖图、不另写布局。
+- 接线：图片类入口走本地 IPC `start_local_project_asset_generation`（`kind` ∈ `image / character / spec / icon-spec / ui-prototype / art-spritesheet`；**提交即返回任务记录**，生成由 Rust 后台任务跑完写回项目，进度用 `list_local_project_asset_generations` 读回项目内账本 `.agent/runtime/asset-generation-tasks/tasks.json`）；音频入口也走 `start_local_project_asset_generation`（同一份项目内任务账本；`kind` = `sound-effect` / `background-music`，并额外携带该次生成的请求身份 `idempotencyKey`，任务 id 即该次生成的 operation id；生成仍复用既有音频无源生成链路，`generationMode: 'create'`、`editKind` = `sound-effect` / `background-music`，不新增平台路由与请求体口径）；「上传」复用 `upload_local_asset`。生成 / 上传成功后一律用「配对读 `(revision, manifest)`」交给 `onManifestChange`，走既有 manifest 刷新与资源投影链路，不重算依赖图、不另写布局。
 - 本地排队与进度可见：AGC 本地 durable 输出槽已按**精确动作指纹**分槽（不同 prompt / 素材名各自独立成槽，具备并行能力），但本批前端仍按「同一时刻只派发一条」排队——真并行派发需要并发收口设计（配对读 + manifest CAS + 聚焦意图互不覆盖），留待下一批；所以第一条未终态时第二条提交停在**前端本地队列**里（不调用提交 IPC，显示本地排队的「排队中。」），前一条终态后自动补发；任务状态与阶段文案（后端 `phaseDetail`）由任务账本提供，前端不拼阶段、不做百分比。进度面是**画布上常驻的可折叠任务侧栏**（形态对齐网页端美术画布的任务侧栏）：展开是两个分栏「排队/生成中」与「已完成」（各带条数，「已完成」封顶 20 条 + 列表滚动 + 高度有界），关闭入口只保留头部那一枚 ×（底部重复的关闭按钮与其分割线已删除）、折叠即整块让出画布且不留贴边把手，开合只走工具条上常驻的「生成任务 · N」按钮（两个页签下都在）；每项显示状态徽标 / 阶段文案 / 已耗时 / 素材名，可「定位到素材」。侧栏非模态（不铺全屏遮罩、不做焦点陷阱、不参与模态遮挡判据），位置在画布左侧标题栏之下、**覆盖式**（不 reflow 挤窄画布视口），提交受理后自动展开。定位动作**每次点击都终局化**：能定位就定位并选中；素材在别的栏目先切栏目；不在投影里给「素材已不在项目里 / 已登记但尚未同步」的结论；3 秒内有界兜底，不允许提示条永久停在「正在定位生成的素材…」。
 - 面板形态：独立浮层（`ThemedModal`），**不在当前面板下面追加内容**；面板内不写功能说明或规则解释文案。**点「生成」即同步关闭面板**（不等 IPC、不等排队、不等生成），面板里**不出现**「排队中。」「正在生成。」「提交中…」这类阶段文案——阶段文案的唯一去处是任务侧栏与工具栏提示条。**只有「点击瞬间就失败」**（校验不过、权限拒绝、start IPC 立即报错）才自动重开面板并带回草稿与原因；**受理之后才失败**只在侧栏把该任务收口为失败 + 原因，不重开面板。关闭 ≠ 取消请求（请求挂在任务与账本上，不挂在面板生命周期上）。
 - 参数口径：比例 / 尺寸选项来自网页端美术画布的纯模型（`src/components/image-editor/ImageCanvasGenerationModel.ts`），并按本地 IPC 白名单收窄（本地通道明确拒绝 `4:3`）；默认档 `1:1 · 1K`，生成 UI 设计图沿用网页端 UI 设计面板的默认 `16:9 · 1K`。本地 IPC 没有 `model` 入参，因此面板**不渲染模型选择器**（渲染一个改不了请求的控件就是假控件）。
@@ -366,7 +366,7 @@ type UpdateProjectResourceCanvasLayoutResult =
   1. **查找素材**：关键词，就是画布搜索本身，与筛选条件共用同一份状态，只有一个入口读写它，不得各存一份；判据沿用搜索既有的名称、路径、媒体类型、任务名四字段与大小写不敏感口径。
   2. **所在区域**：取值为「全部区域」加上现行分区栏目（`PROJECT_RESOURCE_CANVAS_SECTIONS` 的 6 类资产分类与末尾独立的「项目版本」栏），显示名沿用 `@` 面板资源筛选那份唯一中文口径，不另建译名表。
   3. **自定义标签**：从 manifest `assets[].tags` 派生的标签库，多选且为 AND 语义（已选标签必须全部命中，空选择不过滤），复用共享判据 `assetTagsMatchSelection`。
-  不提供「状态」字段：manifest 资产与资源投影都没有状态事实源，候选的任务状态与附件导入状态在资源投影里已被上游过滤，任何取值都恒为同一结果，因此不渲染该字段，也不保留占位下拉。
+     不提供「状态」字段：manifest 资产与资源投影都没有状态事实源，候选的任务状态与附件导入状态在资源投影里已被上游过滤，任何取值都恒为同一结果，因此不渲染该字段，也不保留占位下拉。
 - 「所在区域」**既是筛选维度也是画布当前栏目**，两者必须是同一份状态：区域取值由画布栏目状态派生，切换区域走与栏目切换完全相同的那一条路径，因此用户用滚轮、总览卡片或下一页切换栏目时区域显示随之变化，不需要双向同步逻辑，也不会出现两处状态互相漂移。
 - 区域取值与其它维度叠加时，筛选只作用于当前区域内的资源；「全部区域」作用于全部资源。两种语义共用同一份过滤实现，不为「只筛当前区域」另写一套裁集合逻辑。
 - 筛选浮层是画布唯一的搜索与筛选入口：Dock 上的放大镜按钮与 `Ctrl/Cmd+F` 叫出的是同一个浮层，不存在第二个浮层，因此也不存在「两个浮层互斥」这一说。
@@ -667,9 +667,10 @@ type ProjectAgentMudPointAttribution = {
 3. 每个图片类入口一次提交**一条** `start_local_project_asset_generation`，载荷字段逐字为 `{ projectPath, projectId, taskId, kind, prompt, aspectRatio, imageSize, assetName, outputPath }`——**原同步命令的生成载荷字段名与取值口径逐字不变**（`kind / prompt / aspectRatio / imageSize / assetName / outputPath` 全部原样搬过来），只多了任务身份 `projectId` 与前端每次提交新铸的本地 `taskId`；`kind` 映射：生成图片 `image`、生成角色形象 `character`、图标规范 `icon-spec`、角色规范 / 自定义规范 `spec`、生成图标素材 `art-spritesheet`、生成 UI 设计图 `ui-prototype`。命令**提交即返回**一条任务记录，生成在 Rust 后台任务里跑，状态与阶段由 `list_local_project_asset_generations` 从项目内账本读回。
 4. 比例 / 尺寸选项**不含**本地通道拒绝的 `4:3`；比例与尺寸的切换都进入载荷；固定档规范入口只读展示当前规格（如 `1:1·1K`），不渲染可点比例控件。
 5. 缺权威规范图时「生成图标素材 / 生成 UI 设计图」保持可点击、给出含 `assets/art-spec.png` 的原因说明，且**不发出任何生成请求**；「图标规范」此时把 `outputPath` 指向 `assets/art-spec.png`；项目已有权威规范图时 `outputPath` 为 `null`（两种状态各一条用例）。
-6. 生成 / 上传成功后走既有刷新路径：`get_local_game_project_revision` + `get_local_game_manifest` 的配对读发生在**该任务收口之后**（提交命令不再等待生成，配对读由任务终态驱动，顺序仍在写入之后），结果交给 `onManifestChange`；音频入口提交的是 `derive_local_project_resource`（`editKind` = `sound-effect` / `background-music`、`generationMode: 'create'`、`sourceMediaType: 'audio/mpeg'`）。
+6. 生成 / 上传成功后走既有刷新路径：`get_local_game_project_revision` + `get_local_game_manifest` 的配对读发生在**该任务收口之后**（提交命令不再等待生成，配对读由任务终态驱动，顺序仍在写入之后），结果交给 `onManifestChange`；音频入口提交同一条命令的音频载荷（`kind` = `sound-effect` / `background-music`、`idempotencyKey` = 该次生成的幂等键、任务 id 即该次生成的 operation id）；原生命令内部仍复用既有音频无源生成链路（`editKind` = `sound-effect` / `background-music`、`generationMode: 'create'`、源快照媒体类型由 `editKind` 推为 `audio/mpeg`），不新增平台路由、请求体或计费口径。
 7. 既有「生成素材」浮层入口只呈现视频：面板不再渲染音效 / 背景音乐类型选择器（单类型入口没有类型选择器），音频入口只出现在音频栏目工具栏。
-8. 生成期间可退出与本地排队（2026-09-14）：提交后点 × / 遮罩 / Esc /「后台运行并关闭」任一都能关面板，画布立即恢复可交互，关闭不取消请求；面板关闭后任务仍在「生成任务」面板（非模态浮层，无 `aria-modal`）里显示后端 `phaseDetail`；第一条未终态时提交第二条 → 第二条显示「排队中。」且生成提交 IPC 次数仍为 1，第一条终态后自动补发（次数为 2）；两条各自完成后各走一次「配对读 + 落卡」，manifest revision 单调、不被后到者覆盖。
+8. 提交即关闭与本地排队（2026-09-14 图片类后台化，2026-09-20 音频并入同一条通道）：点「生成」就把这次输入交给后台任务账本并**同步关闭**面板（不等 IPC、不等排队、不等生成），画布立即恢复可交互，关闭不等于取消；面板里因此不出现「排队中。」「正在生成。」「提交中…」与「后台运行并关闭」这类阶段文案与在途按钮，未提交时点 × / 遮罩 / Esc 收起面板只是收起草稿、不发请求；面板关闭后任务仍在「生成任务」面板（非模态浮层，无 `aria-modal`）里显示后端 `phaseDetail`；第一条未终态时提交第二条 → 第二条显示「排队中。」且生成提交 IPC 次数仍为 1，第一条终态后自动补发（次数为 2）；两条各自完成后各走一次「配对读 + 落卡」，manifest revision 单调、不被后到者覆盖。
+9. 音频生成进入后台任务账本（2026-09-20）：音频栏目的「生成背景音乐 / 生成音效」提交后**立即**返回一条任务记录并同步关闭面板（不等 IPC、不等排队、不等生成）；任务与图片类任务在同一条本地队列里按「同一时刻只派发一条」排队，面板关闭后仍在「生成任务」侧栏显示后端 `phaseDetail`；成功走既有的「配对读 `(revision, manifest)` + 落占位最新位置」；只有「点击瞬间就失败」（未受理）才自动重开面板并带回原草稿与原请求身份，受理之后才失败只在侧栏收口为失败。同一份失败原请求的重试复用同一 operation 与幂等键，不产生第二次付费生成；重开项目后音频任务从账本恢复显示，上次运行中断的任务按中断口径收口。
 
 ## 8. 非目标
 
diff --git a/docs/project-memory/plans/【实施计划】AGC音频生成进入后台任务账本-2026-09-20.md b/docs/project-memory/plans/【实施计划】AGC音频生成进入后台任务账本-2026-09-20.md
new file mode 100644
index 000000000..6dd0957ea
--- /dev/null
+++ b/docs/project-memory/plans/【实施计划】AGC音频生成进入后台任务账本-2026-09-20.md
@@ -0,0 +1,51 @@
+# 【实施计划】AGC 音频生成进入后台任务账本
+
+| 字段 | 值 |
+| --- | --- |
+| Milestone | `docs/project-memory/plans/【里程碑】AGC音频生成进入后台任务账本-2026-09-20.md` |
+| Status | implemented-awaiting-runtime-acceptance |
+| Owner | 主 Agent（自审；本运行没有独立评审人） |
+
+## 修改边界
+
+- 允许修改：
+  - 主规范：`docs/prd/【AI游戏创作】项目开发工作台PRD-2026-07-20.md`（§3.10 / §7.9）、`docs/technical/【AGC】栏目画布底部工具栏入口矩阵-2026-09-13.md`。
+  - AGC 原生：`apps/ai-game-creator-shell/src-tauri/src/asset_generation_tasks.rs`、`commands.rs`、`project.rs`、`project/resource_editor.rs`（仅新增收口入口，不改既有派生语义）。
+  - AGC 前端：`apps/ai-game-creator-shell/src/features/resource-canvas/resourceCanvasAssetGenerationTaskModel.ts`、`resourceCanvasAssetGenerationQueue.ts`、`view/project-development/index.tsx`。
+  - 定向测试：`apps/ai-game-creator-shell/tests/resourceCanvasGenerationHostLifecycle.test.tsx`、`resourceCanvasAssetGenerationQueue.test.ts`、`appSurface/project-development.suite.ts`（仅音频相关断言）。
+- 明确不修改：`/api/editor/audios/*/generations` 与 `/api/external/v1` 路由、请求体、OpenAPI、共享 DTO、SpacetimeDB schema、权限命令词汇、`derive_local_project_resource` 的同步语义与其既有无源生成入参校验。
+
+## 实现顺序
+
+1. 主规范：把音频入口的接线口径从「同步无源生成」改写为「与图片类同一条后台任务账本」，并补上音频提交载荷、失败重开与幂等条款（PRD §3.10 / §7.9，AGC 工具栏入口矩阵文档）。
+2. 原生：在资源编辑模块新增音频入参收口与「后台跑一次音频派生」的入口（复用既有派生实现，不复制生成逻辑）；在 `asset_generation_tasks` 里按 `kind` 分流，音频任务复用同一份账本、同一套阶段文案与中断收口；`start_local_project_asset_generation` 增加可选幂等键入参，音频 kind 走新分支且不改图片类载荷口径。
+3. 原生测试：音频任务入参收口（kind / 提示词上限 / 幂等键 / 未知 kind 拒绝）、账本记录 kind 为音频、图像载荷口径不回归。
+4. 前端模型与队列：任务模型支持音频任务（kind、请求身份、无比例 / 尺寸 / 参考字段），音频 kind 的入口文案从工具栏模型派生；队列按 kind 分流派发同一命令的音频载荷，其余排队与轮询语义不变。
+5. 前端宿主：音频提交改为「入队即返回」，占位绑定任务 id、自动展开侧栏、给出提示条；收口复用既有「配对读 + 落卡」链路，未受理失败按原请求身份重开音频面板。
+6. 前端测试：宿主生命周期（提交即关闭、侧栏可见、落卡、未受理失败重开并复用身份）、队列音频分支（载荷与轮询、第二条本地排队不发 IPC）、appSurface 音频载荷。
+7. 验证与证据矩阵：跑定向测试、类型检查、编码 / 文档索引 / `git diff --check`，按里程碑逐条填写证据。
+
+## 验证命令
+
+1. `npx vitest run apps/ai-game-creator-shell/tests/resourceCanvasGenerationHostLifecycle.test.tsx apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationQueue.test.ts apps/ai-game-creator-shell/tests/resourceCanvasAssetGenerationTasksPanel.test.tsx`
+2. `npx vitest run apps/ai-game-creator-shell/tests/appSurface.test.ts`
+3. `cargo test -p genarrative-ai-game-creator-shell asset_generation_task`
+4. `npm run agc:typecheck`（或 `npm run typecheck --workspace @genarrative/ai-game-creator-shell`）
+5. `npm run check:encoding && npm run check:doc-index && git diff --check`
+
+## 执行结果
+
+1. 主规范：PRD（§3.10 / §7.9 / §7.9 第 8~9 条）与 AGC 工具栏入口矩阵文档改为「音频与图片类同一条后台任务账本」，同步 `【测试用例】AGC资源工作台V3端到端验收` 的 S11a 判据。
+2. 原生：`prepare_local_project_audio_generation`（提交期收口）+ `run_local_project_audio_generation_at`（派发时刻读 revision，复用派生实现），`start_local_project_asset_generation` 新增可选 `idempotencyKey` 并在音频 kind 分支落同一份账本、由 `run_local_project_audio_generation_task` 写 running → completed / failed；图片类分支逐字未改。
+3. 前端：任务模型新增音频任务与 `idempotencyKey`（恢复出来的历史任务不带它，也不承接重试）；队列按 kind 分流派发载荷；面板提交改为同步返回并立即关闭；宿主改为同步入队 + 失败重开。
+4. 测试：面板（点击即关闭、无阶段文案与在途按钮）、队列（音频载荷逐字）、宿主生命周期（提交关闭 / 侧栏 / 落卡 / 未受理重开 / 受理后不重开 / 重试身份复用 / 失败态按占位隔离）、appSurface 音频载荷。
+5. 验证命令与结果：9 个定向 vitest 文件 73 项通过；`appSurface.test.ts` 552 项通过（17 项跳过）；`cargo test asset_generation_task` 14 项通过；`npm run agc:typecheck`、`npm run check:encoding`、`npm run check:doc-index`、`git diff --check` 通过。
+6. 与预期不一致处：音频任务不再携带 `targetCategory`（原生音频通道不消费它，前端也没有读它的地方）；`restored` 任务无幂等键，只用于展示与定位，不承接重试。
+7. 已知与本任务无关的既有失败：`clientAuthStorage` / `clientApi` / `clientHttp` / `chatPromptPolish` / `projectCreationDirectory` 五个文件在本机 Node v26 + vitest 0.34 的 jsdom 下 `localStorage` 为 undefined（在干净工作区同样失败）；`cargo test resource_edit` 整组过滤下有 5 项既有并行干扰失败（单跑通过）。
+
+## 风险与回滚点
+
+- 音频任务与图片类任务共用队列：若音频任务未终态会挡住后续派发（本地排队是既有语义，接受）。回滚点是前端提交分支与原生 `kind` 分流，各自可独立回退。
+- 音频自带的 operation 幂等账本与任务账本是两层身份：任务 id 取 operation id，重试复用同一对 operation / 幂等键；不得为「省事」在重试时换新的请求身份（那是一次新的付费生成）。
+- 账本 `kind` 为音频时，`restore` 的入口文案若查不到工具栏模型会退化成素材名：入口文案必须由工具栏模型派生，避免恢复后文案漂移。
+- 后台跑生成会让「项目 revision CAS」窗口从提交前移到派发时刻：冲突时按失败收口（不静默重试），避免把生成写到非预期基线。
diff --git a/docs/project-memory/plans/【实施计划】Mac本机构建节点接入-2026-09-18.md b/docs/project-memory/plans/【实施计划】Mac本机构建节点接入-2026-09-18.md
new file mode 100644
index 000000000..769673d6b
--- /dev/null
+++ b/docs/project-memory/plans/【实施计划】Mac本机构建节点接入-2026-09-18.md
@@ -0,0 +1,14 @@
+# Mac 本机构建节点接入实施计划
+
+- Version: 1
+- Status: preparing-network-required
+- Date: 2026-09-18
+- Parent Spec: `【里程碑】Mac本机构建节点接入-2026-09-18.md`
+
+1. 本地准备 universal 依赖预备、CI 打包脚本和 Jenkinsfile，运行离线单测、配置门禁及编码检查。
+2. 恢复内网后只读核对 Jenkins 版本、既有节点/Job、Git 凭据标识与插件；已存在对象优先核对，不重复创建。
+3. 从同一控制器取得 agent.jar，以当前已有 Java 21 运行专用 inbound Agent；secret 保存在用户私有目录，LaunchAgent 参数只引用 secret 文件，不保存控制器 API Token。
+4. 建立单 executor、EXCLUSIVE 的专用 Mac 节点与手动 archive-only Job。源码必须是可追溯 Git 提交，未推送改动需另行确认源码交付方式，不能默认推送。
+5. 初次构建核对独立工作目录、空间、目标与依赖；在 Jenkins 实际 SUCCESS 后确认 DMG、SHA-256 和两架构 smoke 证据。
+
+失败边界：网络不可达不启动重试服务；节点/Job 修改前保留原配置；不更改其它节点、Job 或调度。禁止把 CLI 日志、认证文件和私有路径提交 Git。未获得真实 SUCCESS 前保留活动计划。
diff --git a/docs/project-memory/plans/【实施计划】Mac通用安装包-2026-09-18.md b/docs/project-memory/plans/【实施计划】Mac通用安装包-2026-09-18.md
new file mode 100644
index 000000000..9babc8f89
--- /dev/null
+++ b/docs/project-memory/plans/【实施计划】Mac通用安装包-2026-09-18.md
@@ -0,0 +1,16 @@
+# Mac 通用安装包实施计划
+
+- Version: 1
+- Status: awaiting-user-acceptance
+- Date: 2026-09-18
+- Parent Spec: `【里程碑】Mac通用安装包与构建管线-2026-09-18.md`
+
+1. 等待当前 Intel 编译结束，避免共用 staging 并发写。
+2. macOS build.rs 按白名单分别 stage 两套原生资源；共享 Layout 使用架构子目录，运行时原有 hash/版本校验不变。
+3. Tauri macOS 映射双目录，发布入口接受 universal 并生成两个清单键；更新配置门禁与定向测试。
+4. 安装包 smoke 支持显式选择主程序切片，验证 universal 主程序与该切片对应原生依赖。
+5. 用 Tauri universal 构建 app，分别做 arm64/Rosetta smoke，hdiutil 生成新 universal DMG，校验并交付。
+
+不发布、不使用私钥；依赖仅从锁定 npm tarball 下载并对照 lockfile integrity。磁盘不足停止，不擅自删除其它 target/cache。保留单架构 DMG。Jenkins 配置作为后续门禁，不混入本地包构建。
+
+本地构建与双架构隔离验证完成，证据见对应里程碑。更新 master 时先停止旧构建，保护并恢复改动后重建；未进行 Jenkins 写操作，待确认 Mac Agent 再制定管线实施计划。
diff --git a/docs/project-memory/plans/【里程碑】AGC macOS渠道更新落地-2026-09-17.md b/docs/project-memory/plans/【里程碑】AGC macOS渠道更新落地-2026-09-17.md
index b9b84ef2e..fd0a4fc32 100644
--- a/docs/project-memory/plans/【里程碑】AGC macOS渠道更新落地-2026-09-17.md	
+++ b/docs/project-memory/plans/【里程碑】AGC macOS渠道更新落地-2026-09-17.md	
@@ -3,7 +3,7 @@
 | 字段        | 值                                                                 |
 | ----------- | ------------------------------------------------------------------ |
 | Version     | 1.0                                                                |
-| Status      | deferred                                                           |
+| Status      | in-progress                                                           |
 | Date        | 2026-09-17                                                         |
 | Parent Spec | `docs/technical/【技术方案】AGC客户端更新检查与下载-2026-08-31.md` |
 
@@ -30,7 +30,9 @@
 - macOS 签名证书与公证凭据可用；若不满足，本里程碑只能交付构建与清单能力，并明确标注未验证项。
 - macOS 通用包所需的双架构工具链（两个 darwin 目标）在构建机上可用。
 
-本里程碑暂缓执行：macOS 构建机与签名 / 公证凭据尚未就绪，改由后续独立变更承接；暂缓期间 dev-mac 渠道不发布。
+构建与发布能力已落地：专用 macOS Jenkins 节点（label `genarrative-agc-macos`）+ `Jenkinsfile.ai-game-creator-shell-macos-build` + `scripts/build-macos-ci.mjs` 负责 universal 构建、双架构隔离 smoke、universal DMG、渠道清单 `latest.json`、更新包验签门禁与 OSS 上传（`AGC_RELEASE_DRY_RUN` 默认开启）。
+
+仍未就绪：Apple 代码签名与公证凭据（产物保持未签名 + 未公证，构建清单显式记录 `appleSigned=false` / `notarized=false`，首装需手动放行 Gatekeeper）；「安装 → 重启接管新版本」的实机更新闭环、Intel 真机 smoke（当前 x86_64 侧为 Rosetta）尚未验收。
 
 ## 验收标准
 
diff --git a/docs/project-memory/plans/【里程碑】AGC音频生成进入后台任务账本-2026-09-20.md b/docs/project-memory/plans/【里程碑】AGC音频生成进入后台任务账本-2026-09-20.md
new file mode 100644
index 000000000..e9324c283
--- /dev/null
+++ b/docs/project-memory/plans/【里程碑】AGC音频生成进入后台任务账本-2026-09-20.md
@@ -0,0 +1,51 @@
+# 【里程碑】AGC 音频生成进入后台任务账本
+
+| 字段 | 值 |
+| --- | --- |
+| Version | 1.0 |
+| Status | implemented-awaiting-runtime-acceptance |
+| Date | 2026-09-20 |
+| Parent Spec | `docs/prd/【AI游戏创作】项目开发工作台PRD-2026-07-20.md`（§3.10 / §7.9）、`docs/technical/【AGC】栏目画布底部工具栏入口矩阵-2026-09-13.md` |
+
+## 目标
+
+AGC 功能画布音频栏目的「生成背景音乐 / 生成音效」与图片类生成走**同一条后台生成任务账本**：提交即返回任务记录、生成在客户端后台跑、状态与阶段文案由账本提供，任务出现在画布「生成任务」侧栏里，重开项目后仍能看到并按中断口径收口。
+
+## 范围
+
+- 音频无源生成（`create`）的提交、排队、状态读回、成功落卡、失败收口与重试幂等。
+- 音频任务与图片类任务共用同一份项目内任务账本、同一个前端本地排队与同一个「生成任务」侧栏。
+- 音频任务的阶段文案、状态与耗时来源与图片类一致（后端账本拥有阶段文案）。
+
+## 不在范围内
+
+- 平台侧（api-server / external v1 / OpenAPI）路由、请求体、计费、队列与 worker 语义：本轮不改，音频仍提交既有 `/api/editor/audios/*/generations` 通道。
+- 音频波形级编辑、多轨、时长 / 循环等音频参数入口：仍按现状不做。
+- 视频入口、上传入口、图片类生成的参数与前置判据：行为不变。
+- 真并行派发（并发收口设计）：本轮仍保留「同一时刻只派发一条」的本地排队。
+
+## 依赖与前置条件
+
+- 现有图片类后台任务的账本、轮询、落点与聚焦链路可复用；音频生成通道（资源编辑派生）已具备 operation 幂等账本。
+- 音频提交需要携带请求身份（operation 与幂等键），否则重试会变成一次新的付费生成。
+
+## 验收标准与证据
+
+| 验收标准 | 结论 | 证据 |
+| --- | --- | --- |
+| 音频栏目的「生成背景音乐 / 生成音效」提交后**立即**返回一条任务记录；面板同步关闭，不等 IPC、不等排队、不等生成结束 | 自动化通过 | `resourceCanvasAssetGenerationBackgroundClose.test.tsx`（点「生成音效」同步提交 + 关闭，面板 DOM 里没有阶段文案与「后台运行并关闭」）、`resourceCanvasGenerationEntry.test.tsx`、`resourceCanvasGenerationHostLifecycle.test.tsx`（音频载荷逐字为 `projectPath / projectId / taskId / kind / prompt / assetName / idempotencyKey`） |
+| 提交受理后任务出现在「生成任务」侧栏，状态与阶段文案来自后端账本，前端不拼阶段、不做百分比 | 自动化通过 | `resourceCanvasAssetGenerationQueue.test.ts`（音频收口复用同一份账本记录）、`resourceCanvasAssetGenerationTasksPanel.test.tsx`、`resourceCanvasGenerationHostLifecycle.test.tsx`（提交后自动展开侧栏） |
+| 音频任务与图片类任务在同一条本地队列里按「同一时刻只派发一条」排队；第二条在本地排队期间不发提交 IPC | 自动化通过 | `resourceCanvasAssetGenerationQueue.test.ts`（音频载荷逐字断言 + 既有本地排队用例） |
+| 成功：走既有的「配对读 `(revision, manifest)`」交给 `onManifestChange`，结果落到该占位的最新位置并定位新卡 | 自动化通过 | `resourceCanvasGenerationHostLifecycle.test.tsx`（账本收口为 completed 后新卡落在占位坐标、占位被撤掉） |
+| 失败：只有「点击瞬间就失败」（未受理）才自动重开面板并带回原草稿与原请求身份；受理之后才失败只在侧栏收口为失败并给出原因，不重开面板 | 自动化通过 | `resourceCanvasGenerationHostLifecycle.test.tsx`「未受理的即时失败」（重开 + 草稿还原；同一用例里受理后不再重开）与「失败后用同一份请求重试」 |
+| 幂等：同一份失败原请求的重试复用同一 operation 与幂等键，不产生第二次付费生成 | 自动化通过 | `resourceCanvasGenerationHostLifecycle.test.tsx`（重试的 `taskId` = operation id 与 `idempotencyKey` 与首次逐字相同）、`resourceCanvasGenerationLanding.test.tsx` |
+| 重开项目：音频任务从账本恢复显示；上次运行中断的任务按中断口径收口，不假装还在跑 | 自动化通过（恢复路径） | 音频 kind 的入口文案由工具栏模型派生（`resourceCanvasAssetGenerationTaskModel` + `resourceCanvasAssetGenerationQueue.test.ts`）；中断收口沿用既有账本口径 |
+| 音频提交失败（校验 / 权限 / 通道拒绝）时 manifest、revision 与任务账本都不出现半途写入 | 自动化通过 | Rust `asset_generation_tasks` 的 `audio_submission_rejects_invalid_identity_and_prompt_without_touching_the_ledger`（提交期拒绝零写入）、`audio_submission_lands_in_the_shared_ledger_with_its_audio_kind` |
+
+运行时验收（未做）：没有跑真实付费音频生成，也没有在真实客户端里做手感验收；全链以模拟原生接口的宿主用例覆盖。
+
+## 证据要求
+
+- 自动化：AGC 前端定向 vitest（音频入口宿主生命周期、生成任务队列与侧栏、appSurface 载荷）+ Rust 定向 `cargo test`（账本与音频任务入参收口）+ 类型检查 + 编码 / 文档索引 / `git diff --check`。
+- 运行时：无真实付费生成；以模拟原生接口的宿主用例覆盖提交 → 排队 → 收口 → 落卡全链。
+- 边界：未受理失败的即时重开与身份复用、账本读不到 / 记录缺失的收口、跨项目切换不串任务。
diff --git a/docs/project-memory/plans/【里程碑】Mac本机构建节点接入-2026-09-18.md b/docs/project-memory/plans/【里程碑】Mac本机构建节点接入-2026-09-18.md
new file mode 100644
index 000000000..912ebad75
--- /dev/null
+++ b/docs/project-memory/plans/【里程碑】Mac本机构建节点接入-2026-09-18.md
@@ -0,0 +1,50 @@
+# Mac 本机构建节点接入
+
+- Version: 1
+- Status: accepted-with-open-items
+- Date: 2026-09-18
+- Parent Spec: `docs/【开发运维】本地开发验证与生产运维-2026-05-15.md`
+
+## 交付与边界
+
+用户已确认使用当前 Mac，允许配置本机后台 Agent、创建 Jenkins 节点与构建 Job，并触发一次验证构建。复用已有 universal 产物合同与 Windows 管线的仓库访问凭据，仅手动构建和归档，无 OSS 上传、更新签名、Apple 签名/公证或定时调度。远程 Git 推送不在本次确认内。
+
+节点仅运行明确匹配 `genarrative-agc-macos` 的可信构建，单 executor；Job 禁止并发。Agent 根、workspace、原生 staging 与 target 均独立于开发 checkout，禁止在开发目录执行 npm ci、git clean/reset 或 Cargo 构建。登录用户 Agent 不等于安全沙箱，Jenkins 管理员与获准运行此 Job 的人必须受信任。登出、休眠或脱离内网将影响节点可用性。
+
+## 验收
+
+1. 从 Jenkins 当前控制器下载匹配的 agent.jar，Java 21 兼容检查通过，凭据留在仓库外、权限受限，不输出 secret。
+2. 节点实际 online，专用标签、EXCLUSIVE、单 executor；本地 LaunchAgent 可重启、可卸载。
+3. SCM 构建固定源码 commit，依赖从 lockfile 安装，两种原生 Codex 包 integrity 校验通过。
+4. universal Release、两架构 smoke、DMG verify 通过；归档只有安装包、摘要和非敏感来源信息。
+5. 真实 Jenkins build 为 SUCCESS 且归档存在。不以 XML 创建或本地单测冒充远端运行成功。
+
+## 初始检查与风险
+
+2026-09-18 当前机器具备 Java 21、两种 Rust Apple target 与 Rosetta；剩余磁盘约 11 GiB，独立 checkout 构建前须检查空间，不清理用户缓存。控制器地址连续连接超时，属于网络阶段，尚未使用认证凭据或创建后台服务。必须先恢复内网可达性；不修改本机网络路由或代理规避此限制。
+
+## 编码前评审
+
+只扩展现有 Jenkinsfile/应用打包脚本，不新增发布系统。用专用工作区且保持不发布，是当前明确授权内的最小闭环。代码未推送前不可把远端 master 当作已具备 universal 双资源实现；首跑源码来源必须明确记录，不能暗用开发工作树。
+
+## 当前证据与阻塞
+
+Jenkinsfile、锁定双架构依赖预备脚本与 archive-only CI 打包入口已在本地准备。定向 Node 测试 37 项通过，类型/配置、编码、文档索引、定向 ESLint 与 diff 检查通过；未执行完整 Jenkins 构建或在线 Groovy 校验。
+
+控制器直连多次超时，经当前代理请求返回 502；Java 21 已存在，无需安装新 JDK。尚未注册节点、创建 Job、保存 Agent secret、安装 LaunchAgent 或触发远端构建。需先恢复内网连接，再按本规范验收真实节点及构建状态；不把本地代码准备描述为已经接入成功。
+
+## 验收结果（2026-09-20）
+
+| 验收项 | 结果 |
+| --- | --- |
+| 控制器匹配的 agent.jar + 已有 Java 21 | 通过（未安装新 JDK） |
+| 节点实际 online、专用标签、EXCLUSIVE 单 executor | 通过（`genarrative-agc-macos-01`） |
+| LaunchAgent 可重启/卸载、凭据在仓库外且权限受限 | 通过 |
+| 固定 commit、锁文件装依赖、两种 macOS 原生包 integrity | 通过 |
+| universal Release + 双架构 smoke + DMG verify | 通过（arm64 原生、x86_64 走 Rosetta） |
+| 归档仅含安装包/摘要/非敏感来源信息 | 通过 |
+| 真实 Jenkins build SUCCESS 且归档存在 | 通过（build #3，43 分钟） |
+
+同期修复：Mac 入口误传 `--no-sign` 导致更新包无签名；复用 workspace 的残留产物导致 DMG 重建失败、旧签名可能让验签误通过；并行度由写死 4 改为 Job 参数（默认 6）。
+
+仍未验收：Apple 代码签名与公证（当前 `adhoc`，首装需 Gatekeeper 手动放行）、macOS 安装后重启接管新版本的实机闭环、Intel 真机 smoke、真实（非 dry-run）发布与渠道清单上线。
diff --git a/docs/project-memory/plans/【里程碑】Mac通用安装包与构建管线-2026-09-18.md b/docs/project-memory/plans/【里程碑】Mac通用安装包与构建管线-2026-09-18.md
new file mode 100644
index 000000000..5319d072a
--- /dev/null
+++ b/docs/project-memory/plans/【里程碑】Mac通用安装包与构建管线-2026-09-18.md
@@ -0,0 +1,36 @@
+# Mac 通用安装包与构建管线
+
+- Version: 1
+- Status: awaiting-user-acceptance
+- Date: 2026-09-18
+- Parent Spec: `docs/technical/【技术方案】AGC客户端更新检查与下载-2026-08-31.md`
+
+## 当前交付门禁
+
+当前仅交付 AGC 0.1.67 universal 本地 DMG，版本、Codex 0.147.0 与 macOS 15.0 下限不变。不生成私钥、不签名公证、不发布、不推送。
+
+主程序含 arm64/x86_64 两个切片；macOS 资源分 `darwin-arm64` 与 `darwin-x64`，两套原生依赖保持上游相对路径和独立清单。运行切片只读取对应目录。构建必须校验两套锁定包身份、目标、版本与完整性；Windows 路径和资源不变。不合并原生 Codex 二进制，不改写其上游元数据。
+
+## 验收
+
+- 发布上下文接受 universal，dev-mac 的两个平台键同 URL/签名。
+- 主程序 lipo 两切片，资源检查两套原生架构、摘要和可执行位。
+- Apple Silicon 与 Rosetta 各做隔离 HOME/PATH 的真实 app-server 握手、正式程序查找与缺组件拒绝；Rosetta 不代替 Intel 真机。
+- 生成独立 universal DMG，不覆盖已有单架构 DMG；镜像校验、类型/配置/定向测试与编码检查通过。
+
+## 后续管线边界
+
+用户要求安装包完成后接入 Jenkins。先只读检查节点与现有 Job；创建/修改 Job、凭据或触发构建前额外确认。只有当前安装包门禁完成后再形成管线实现计划；不把凭据保存进源码、日志、计划或打包资源。
+
+## 编码前评审
+
+采用分架构资源而非 lipo Codex，避免破坏原生包元数据及 code-mode host、zsh 的资源寻址。macOS 共用配置明确列举两套文件，必须失败关闭，单架构诊断包也携带完整资源。现有 single-arch 选择逻辑改为同架构子目录，不涉及持久化数据迁移。
+
+## 验收证据
+
+- 同步至 master `9a21690fe`，本地 universal 修改无冲突恢复；未推送。
+- Tauri universal Release 构建通过，主程序 lipo 显示 arm64/x86_64，Info.plist 版本 0.1.67、最低 macOS 15.0。
+- `check-macos-bundle.mjs <app> arm64 --universal` 与 `x86_64 --universal` 均通过：每架构资源摘要、原生身份、执行权限、正式 Codex 选择、隔离 app-server 握手、缺 code-mode host 时拒绝。x86_64 在 Rosetta 执行，尚非 Intel 真机。
+- 发布/feature/上传定向 Node 测试 33 项通过，共享 Codex 布局模块在隔离 Cargo harness 的 2 项测试通过；类型/配置、定向 ESLint、编码/文档和 diff 检查通过。
+- universal `.app` 约 672 MiB，DMG 约 290 MiB；hdiutil 完整性校验通过。未做 GUI、账号/Provider、Intel 真机或签名公证验收。
+- Jenkins 只读检查确认现有节点为 Linux 与 Windows，尚无 macOS Agent；创建管线前需用户指定并授权接入 Mac 节点。本地凭据不进入源码或验证产物。
diff --git a/docs/project-memory/shared-memory/decision-log.md b/docs/project-memory/shared-memory/decision-log.md
index acd604732..ca766c26a 100644
--- a/docs/project-memory/shared-memory/decision-log.md
+++ b/docs/project-memory/shared-memory/decision-log.md
@@ -35,7 +35,6 @@ Godot 编辑器操控复用既有 AGC 插件宿主、EditorAdapter、Runner 和
 - 决策（无写副作用）：只在生成本轮 prompt 时展开该上下文；历史 item 回读走 `direct_codex_user_item_to_response_item` 的纯投影，不得触发 UI 代码导出或任何项目写入。
 - 验证：`agent::direct_codex_user_item` 定向 16 条通过，覆盖成功注入、生成失败保留引用摘要、非 UI 文档不触发与历史回读不产生 `ui/generated-*.js`。
 
-
 ## 2026-09-19 AGC Direct 删除每回合四项媒体资源请求上限
 
 - 背景：2026-08-24 引入的单回合四项上限以「整个 agent run（一条用户消息到回合结束）」为窗口，计数只增不减、请求完成不释放额度；autonomous 游戏构建要求 agent 不停下跑完整局，额度耗尽后的报错实际是终态，与技能的三次重试纪律冲突，现场表现为长时间无效重试。2026-09-18 先将不计费的抠图豁免，但付费 create/derive 仍受同一窗口问题影响。
@@ -80,6 +79,7 @@ Godot 编辑器操控复用既有 AGC 插件宿主、EditorAdapter、Runner 和
 - 背景：AGC 已通过本地项目 ID 建立并持久化本地项目到主站远端画布项目的绑定，但 `agc_remove_background` 提交请求仍把本地 `manifest.project_id` 放入 `projectId`；`assetFolderId` 已使用远端素材目录 ID。主站因此按项目不存在或不属于当前账号返回 404，主站抠图和 BgFilter 本身均正常。
 - 决策：抠图请求及工具回执统一使用 `prepare_external_canvas_generation_context` 返回的远端 `context.project_id`；本地 manifest 项目 ID 只用于绑定键和本地状态，不得作为主站业务请求的 `projectId`。
 - 验证：客户端定向 Rust 测试、格式、编码和 diff 检查通过；未修改主站路由或 BgFilter。
+
 ## 2026-09-17 图集切分模式改为显式声明
 
 ## 2026-09-17 DirectProject 首屏历史锚点只认订阅回执的 lastCompletedItemId
@@ -101,6 +101,7 @@ Godot 编辑器操控复用既有 AGC 插件宿主、EditorAdapter、Runner 和
 - 标准美术包：客户端显式声明 `sliceMode=connected-components` + `sliceCount=4`，本地按用途位置写四张 canonical 切片前再次校验数量正好为四，数量不符时失败关闭，禁止截断或补位。
 - 测试环境：在提权 shell 的 Windows 主机上，`%TEMP%` 下新建目录的默认所有者是 `BUILTIN\Administrators` 而不是当前 TokenUser，AGC 的所有者校验会拒绝测试自己创建的项目根；测试构建对该情形（仅限 `%TEMP%` 内、且失败原因为所有者不匹配）先按“本调用创建的对象”初始化所有者后重试，临时目录之外的越权所有者继续失败关闭。
 - 权威合同：[画板图标素材生成入口设计](../../【编辑器】画板图标素材生成入口设计-2026-06-15.md)。
+
 ## 2026-09-17 `agc_tools` 媒体资源提示词上限收敛为单一口径，并按 kind 暴露给模型
 
 - 背景：有人反馈「客户端没法由 agent 调用图片快速编辑功能以及背景音乐生成功能」。核查后工具本身都在（`agc_edit_image` / `agc_create_or_derive_resource`），图片快速编辑在 2026-09-14 的真实项目日志里也有成功记录；但存在三类真实缺陷：① `agc_create_or_derive_resource` 的 `prompt` 在 schema 里只声明 4000，真实上限却是按 kind 分的（背景音乐 140、音效 1900、视频/角色动画 4000、图片 32000），MCP 层还额外写死了一条 140 判断，模型从 schema 与 skill 都看不出 140/1900，写一句正常长度的背景音乐描述就当场被拒；② 客户端 UI 用同一口径但会截断并提示，agent 侧却只有硬拒，形成「UI 能做、agent 调不动」的观感；③ `sourceLocalAssetId` 不是已登记资源时只报「不属于当前项目已登记资源」，模型会原地重试而不会先登记。
@@ -219,6 +220,7 @@ Godot 编辑器操控复用既有 AGC 插件宿主、EditorAdapter、Runner 和
 - 决策：图片类生成接线改为 `start_local_project_asset_generation` + `list_local_project_asset_generations` 后，同步命令 `generate_local_project_asset` **已无生产调用方**，只剩 `src-tauri/src/tests/project.rs` 的三条集成用例与 `commands.rs` 的自身单测在调它；因此登记进 `scripts/check-config.mjs` 的 native-only 白名单（该门禁有「App invoke 与白名单互斥」断言，谁重新给它接调用方就必须同时删掉这条白名单项）。
 - 待办：它是**注册中的可调用 IPC**，一旦被将来代码调用就是一条绕过任务账本、单次阻塞最长 35 分钟的并行生成路径。下一批次应删除它，或改为转调 `start_local_project_asset_generation`（连带迁移那三条集成用例）。
 - 关联文档：[栏目画布底部工具栏入口矩阵](../../technical/【AGC】栏目画布底部工具栏入口矩阵-2026-09-13.md)。
+
 ## 2026-09-14 AGC 壳 Rust 套件按「一片一 job」拆分，客户端 Rust 关键路径压到 7 分钟以内
 
 - 背景：`AI game creator shell Rust tests` 是客户端 CI 的关键路径（run 2097 实测 15 分 27 秒）。拆开来看：前置 5 分 30 秒（checkout 10s + `npm ci` 2m45s + Cargo fetch 2m35s）、编译 1m39s、**AGC 壳 bin target 的 2466 条单测串行 507s**、`agent-run` smoke 51s。这 2466 条全在 `apps/ai-game-creator-shell/src-tauri` 的 bin target 里，一条 `cargo test … -- --test-threads=1` 跑完。
@@ -231,6 +233,7 @@ Godot 编辑器操控复用既有 AGC 插件宿主、EditorAdapter、Runner 和
 - 影响范围：`.gitea/workflows/project-ci.yml`（十一个 job）、`scripts/check-native-shells.mjs`（分组由五个到十个：新增 `agc-rust-crates`、`agc-rust-shard-1..4`、`agc-rust-smoke`，移除 `agc-rust` 与随后的 `agc-rust-shell`）、根 `package.json`、`scripts/project-ci-workflow.test.ts`（新增纯 cargo job 免 `npm ci`、分片运行器覆盖校验、crate 级 job 预热顺序断言）、开发运维文档与共享记忆。本仓库不把 Project CI 的 context 配成 `master` 分支保护的合并必需检查（2026-09-14 复核），合并前由人工确认结果，因此 job 拆分/改名不需要同步分支保护设置。
 - 验证方式：`npx vitest run scripts/project-ci-workflow.test.ts`；分片运行器本地以 `agent-runtime-core`（7 条 → 2/2/2/1）与 `platform-llm`（146 条 → 49/49/48）验证分片、`--exact` 与片 TMPDIR 隔离，负例 `--shard-index=5` 立即失败；`node scripts/check-native-shells.mjs --groups=contract` 回归。预期每个分片 job 收敛到 5 分钟以内（前置约 1 分 30 秒 + 编译约 1 分 39 秒 + 约 617 条用例）。
 - 关联文档：[开发运维](../../【开发运维】本地开发验证与生产运维-2026-05-15.md)、[踩坑记录](pitfalls.md)。
+
 ## 2026-09-14 AGC 资源画布改为「手动整理」：新素材不再自动重排，整张重排只由「整理画布」发起
 
 - 背景：生成一张新素材会让整张资源画布重排。两个 layout hook 都把 `rederiveAutomaticPositions` 打开（type 侧无条件 `true`，dependency 侧长期等于 `resourceGraphReady`），而该开关的语义是「每次资源协调签名变化就丢掉全部 `manuallyPlaced=false` 坐标、按当前资源与拓扑整体重算」；新增一张素材必然改签名，于是既有自动卡全部跟着挪位，用户刚记住的位置就没了。画布上也没有任何显式整理入口（`复位资源视图` 只复位视口）。
@@ -8918,7 +8921,6 @@ CI 上 `background_agent_runtime_recovers_stale_running_before_pending_task` 在
 - 影响范围：新增 `apps/ai-game-creator-shell/src-tauri/src/asset_generation_tasks.rs`（+ `main.rs` 注册）、`src/features/resource-canvas/{resourceCanvasAssetGenerationTaskModel.ts,resourceCanvasAssetGenerationQueue.ts,ResourceCanvasAssetGenerationTasksPanelView.tsx}`；改动 `ResourceCanvasAssetGenerationPanelView.tsx` / `ResourceCanvasGenerationPanelView.tsx` / `src/view/project-development/index.tsx`；测试改动 `tests/{resourceCanvasAssetGenerationBackgroundClose.test.tsx,resourceCanvasAssetGenerationQueue.test.ts,resourceCanvasAssetGenerationTasksPanel.test.tsx}`（新增）与 `tests/appSurface/project-development.suite.ts`（把「每个入口一次 `generate_local_project_asset`」改成 `start_local_project_asset_generation` + `list_...` 轮询桩，载荷断言逐字不变）。**未动**：external v1 / OpenAPI、`packages/`、SpacetimeDB、音频入口的 pending-edit 账本语义、生成参数与 IPC 载荷字段名。
 - 关联文档：`docs/technical/【AGC】栏目画布底部工具栏入口矩阵-2026-09-13.md`（§4 / §4a / §8）、`docs/technical/【测试用例】AGC资源工作台V3端到端验收-2026-09-11.md`（S11a / §7.3）。
 
-
 ## 2026-09-15 非 Suno 的 VectorEngine 能力切换到 Tiantoken
 
 - 决策：新增本地私密环境变量 `TIANTOKEN_BASE_URL` / `TIANTOKEN_API_KEY`（图片 timeout 可独立配置），承载原 VectorEngine 的文本和图片；`VECTOR_ENGINE_BASE_URL` / `VECTOR_ENGINE_API_KEY` 仅保留给 Suno 背景音乐与 Suno 音效。编辑器 SFX V2 继续走 ElevenLabs。
@@ -8943,6 +8945,7 @@ CI 上 `background_agent_runtime_recovers_stale_running_before_pending_task` 在
 - 决策：平台会话拆成身份（`userId + api origin + identity generation`）与凭据（当前 access token）。identity generation 只在登录、切号、登出或新的 GUI authority epoch 推进；同账号续期只更新凭据并推进只用于拒绝迟到写入的 revision。冻结会话校验、MCP 会话身份与 Runner attach 统一按身份判定，换号 / 退出仍然失败关闭。刷新失败只在服务端明确 401/403 且一次收敛重试后仍失败时清会话；`/api/auth/refresh` 的轮换失败不再下发清空 refresh cookie 的响应。
 - 关联规范：`docs/technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md` 的“2026-09-16 平台会话身份与凭据分离”；开发期计划见 `docs/project-memory/plans/【里程碑】平台会话身份与凭据分离-2026-09-16.md` 与对应实施计划。
 - 验证：AGC `platform_session::tests`、`runner::tests`、`assets::tests` 定向通过；AGC `appSurface` 前端套件 468 项通过；网站 `src/services/apiClient.test.ts` 33 项通过；`cargo test -p api-server refresh_session` 通过。项目夹具类 Rust 用例受本机临时目录属主为 `BUILTIN\Administrators` 的环境限制，未计入本次证据。
+
 ## 2026-09-15 Direct 回合跨页面继续运行与活动项目面板
 
 - 决策：采用后台继续运行语义。Direct 回合由进程内项目身份锁持有，页面离开不取消；重进项目通过活动回合只读快照与 Thread Manager bootstrap/consume 恢复忙碌态和进度。左上角面板复用同一快照列出正在运行的 Direct 项目并支持进入。
@@ -9034,6 +9037,17 @@ CI 上 `background_agent_runtime_recovers_stale_running_before_pending_task` 在
 - 发号收口到 Jenkins Job `Genarrative-Agc-Global-Version-Issue`（`disableConcurrentBuilds()`；集群无 `lockable-resources`，以写后回读不一致即失败关闭兜底并发）。
 - 原渠道高水位逻辑降级为断言：请求号低于本渠道清单版本即失败关闭；`AGC_RELEASE_DRY_RUN` 只预览不烧号。
 
+## 2026-09-20 AGC 音频生成并入图片类那份后台任务账本
+
+- 背景：音频栏目的「生成背景音乐 / 生成音效」原先走同步派生通道（`derive_local_project_resource`），提交后前端一直等到生成结束（最长 35 分钟），所以它不出现在画布「生成任务」侧栏里，也没有本地排队；图片类早已改成「提交即返回 + 项目内任务账本」。
+- 决策：音频改走**同一条命令** `start_local_project_asset_generation`（新增可选入参 `idempotencyKey`，音频 kind 必带）；原生在 `kind` 上分叉一次（`is_audio_asset_generation_kind` 只放行 `sound-effect` / `background-music`），音频分支落**同一份**项目内账本 `.agent/runtime/asset-generation-tasks/tasks.json`，生成由 `run_local_project_audio_generation_task` 在后台跑并写 running → completed / failed。图片类载荷与分支逐字未改。
+- 决策：音频的**任务 id 就是这次生成的 operation id**，请求身份 = 面板铸造的 `operationId` + 幂等键。重试（含失败后点占位重开）必须复用同一对，否则会同一次生成变成第二次付费请求。账本不存幂等键，所以重开项目恢复出来的音频任务只用于展示与定位，不承接重试。
+- 决策（UI 口径）：音频面板与图片类一致——点「生成」**同步关闭**，面板里不存在「排队中。」「正在生成。」「提交中…」与「后台运行并关闭」这类阶段文案与在途按钮，阶段文案的唯一来源是后端账本、唯一去处是「生成任务」侧栏。只有「点击瞬间就失败」（校验 / 权限 / 提交 IPC 立即报错，即后端从未受理）才由宿主把面板连原草稿与原请求身份带回来；受理之后才失败只在侧栏收口为失败。
+- 决策（时机）：项目 revision 的 CAS 由「提交前读」改为「派发时刻读」（`run_local_project_audio_generation_at`）；冲突按失败收口，不静默重试，避免把生成写到用户没预期的基线上。
+- 不变口径：平台侧 `/api/editor/audios/*/generations` 路由、请求体、计费与 `/api/external/v1`、OpenAPI、共享 DTO、SpacetimeDB schema 一律未动；音频仍复用既有资源编辑派生实现，不复制生成逻辑。
+- 关联规范：`docs/prd/【AI游戏创作】项目开发工作台PRD-2026-07-20.md`（§3.10 / §7.9）、`docs/technical/【AGC】栏目画布底部工具栏入口矩阵-2026-09-13.md`、`docs/project-memory/plans/【里程碑】AGC音频生成进入后台任务账本-2026-09-20.md`。
+- 验证：9 个定向 vitest 文件 73 项、`appSurface.test.ts` 552 项（17 跳过）、`cargo test asset_generation_task` 14 项、`npm run agc:typecheck`、`npm run check:encoding`、`npm run check:doc-index`、`git diff --check` 全部通过；未跑真实付费生成。
+
 ## 2026-09-20 派生/修改类任务并入「生成任务」侧栏（AGC-039 / AGC-040）
 
 - 背景：客户端验收现场，快速编辑提交后画布右上角「生成任务」全程是「还没有生成任务」，同一条草稿又还挂在「管理未完成编辑」里，用户据此判断「点了没生成」；随后同一次修改被重复提交，同一张源图派生了两份一模一样的「-编辑版」。
@@ -9041,8 +9055,8 @@ CI 上 `background_agent_runtime_recovers_stale_running_before_pending_task` 在
 - 决策（草稿口径）：提交进行中的那一笔不再列进「管理未完成编辑」；失败回落自动把它还回未完成列表，提示词与 `@` 引用不丢。
 - 决策（重复提交）：同一张素材存在在途提交时，重新打开面板再提交会被拦下（可见原因），不重铸 operation 身份。**未做**「同提示词成功后再提交」的去重——那是用户显式重复的付费动作，本批只消除误触来源。
 - 理由：用户对「生成」的心智是「交出去就得能看见它在跑」，而不是必须区分两条账本；而防重复必须在**身份重铸之前**拦，等到原生账本判重时已经派生过一次。
-- 验证：新增模型用例 9 条、快速编辑两组宿主用例（提交当帧进侧栏并收口 / 在途重复提交被拦），两处新判据做过变异验证；定向 7 个文件 97 条全绿；`tests/appSurface.test.ts` 与改动前基线逐条一致（16 失败均为本分支既有）。
-- 待办：远程 CI 与真实客户端验收未跑；`resourceCanvasGenerationTasksSidebarDismiss` 等样式结构用例在本分支既有失败，与本批无关，另行跟踪。
+- 验证：新增模型用例 9 条、快速编辑两组宿主用例（提交当帧进侧栏并收口 / 在途重复提交被拦），两处新判据做过变异验证；定向 7 个文件 97 条全绿。
+- 口径更正（2026-09-21）：当时记的「`appSurface` 16 条既有失败」是**从 `apps/ai-game-creator-shell` 目录跑**造成的 cwd 假红（`resolve(process.cwd(), 'apps/…')` 路径翻倍 → ENOENT），不是用例本身红。规范跑法是仓库根 `npm test`；现已用 `tests/repoPath.ts`（按 `import.meta.url` 反推仓库根）修掉 19 个文件的同类写法，从仓库根跑 `appSurface` 为 0 失败。远程 CI 与真实客户端验收仍未跑。
 
 ## 2026-09-21 卡片浮层改为「提交即关」：快速编辑 / 生成动画只负责交任务
 
diff --git a/docs/project-memory/shared-memory/development-workflow.md b/docs/project-memory/shared-memory/development-workflow.md
index b7084db6c..65d4e4c47 100644
--- a/docs/project-memory/shared-memory/development-workflow.md
+++ b/docs/project-memory/shared-memory/development-workflow.md
@@ -90,7 +90,7 @@ SpacetimeDB 任务统一先读取 `.codex/skills/genarrative-spacetimedb/SKILL.m
 
 ## Jenkins 定时版本调度
 
-定时与版本比较只保留在 `Genarrative-Scheduled-Revision-Trigger` 一处：每小时用 `git ls-remote` 解析 `SOURCE_BRANCH` 远端 HEAD，与上一次触发过的 revision 比较，变化时才把同一个 `COMMIT_HASH` 同时传给 `Genarrative-Full-Build-And-Deploy` 与 `Genarrative-Agc-Windows-Build`，保证两条管线构建同一个版本。`Genarrative-Full-Build-And-Deploy` 与 `Genarrative-Agc-Windows-Build` 不得自带 `triggers` / `cron`，也不得在管线内再做一套版本去重；`npm run check:production-ops` 会拦住这两类回退。调度状态与生效步骤见 `docs/【开发运维】本地开发验证与生产运维-2026-05-15.md`。
+定时与版本比较只保留在 `Genarrative-Scheduled-Revision-Trigger` 一处：每小时用 `git ls-remote` 解析 `SOURCE_BRANCH` 远端 HEAD，与上一次触发过的 revision 比较，变化时才把同一个 `COMMIT_HASH` 传给 `Genarrative-Full-Build-And-Deploy`，并先经 `Genarrative-Agc-Global-Version-Issue` 发号、再把同一个总版本号透传给 `Genarrative-Agc-Windows-Build` 与 `Genarrative-Agc-MacOS-Build`，保证两个客户端的平台分区发布同一个版本。这三个下游 Job 都不得自带 `triggers` / `cron`，也不得在管线内再做一套版本去重；`npm run check:production-ops` 会拦住这两类回退。macOS 节点是日常办公机，调度触发它时置 `SKIP_IF_SUPERSEDED=true`：节点离线期间排队的旧构建在恢复后会自行让位，不发布过期版本。调度状态与生效步骤见 `docs/【开发运维】本地开发验证与生产运维-2026-05-15.md`。
 
 ## Gitea CI 依赖闭合
 
diff --git a/docs/project-memory/shared-memory/pitfalls.md b/docs/project-memory/shared-memory/pitfalls.md
index c9b655161..3e14be3b9 100644
--- a/docs/project-memory/shared-memory/pitfalls.md
+++ b/docs/project-memory/shared-memory/pitfalls.md
@@ -1,5 +1,17 @@
 # 踩坑与排障记录
 
+## Tauri `--no-sign` 会连带跳过 updater 签名
+
+AGC macOS 发布入口一度传入 `--no-sign`（目的是绕过没有 Apple 证书的代码签名），结果 Tauri 打印 `Warn Updater signing is skipped due to --no-sign flag.`，产物只有 `*​.app.tar.gz` 而没有 `.sig`，发布入口按设计在「缺少更新包签名」处失败关闭（2026-09-20 首次 Jenkins 实跑命中）。正确做法是不传 `--no-sign`，改为剥离 `APPLE_*` 凭据让 Tauri 跳过 Apple 签名——minisign 更新包签名与 Apple 代码签名这两个开关在 Tauri 里并不独立。Apple 签名状态要按 `codesign -dv` 实测记录，不能硬编码。
+
+## 复用 workspace 的构建必须显式清理本次要写的产物
+
+Jenkins workspace 跨构建保留：上一轮失败留下的同名 `陶泥儿_<version>_universal.dmg` 会让 `hdiutil create` 以「文件已经存在」失败，而上一轮遗留的 `*​.app.tar.gz.sig` 更危险——本轮即使没签出签名，验签门禁也会读到旧签名而误判通过。构建入口必须在构建前删除本次将写出的确切路径（更新包、签名、同版本 DMG 及其校验文件、`latest.json`、`release-notes.txt`），`hdiutil create` 同时用 `-ov`，让「归档里的产物来自本次构建」成为结构性事实而非假设。
+
+## AGC macOS 单次构建耗时集中在主 crate 重复编译
+
+AGC 主 crate（`genarrative_ai_game_creator_shell`）单架构 codegen 约 15–20 分钟，而每次 Tauri 构建都会重新生成前端 `dist`，`build.rs` 对 `dist` 目录的 `rerun-if-changed` 因此每次都判定变化，导致两个架构各重编一次主 crate。实测：`CARGO_BUILD_JOBS=4` 时首次 Jenkins 构建 78 分钟，提到 6 后为 41–43 分钟且成功；依赖 crate 走 sccache 与 target 缓存，首轮 0 命中属预期。剩余优化空间在「不必要地重建 dist」这一层，需单独设计（例如按内容摘要决定是否重跑前端构建），不要在发布入口里用假缓存换取速度。
+
 ## Godot C++ 扩展构建与对象生命周期
 
 - 原生引导通过官方 `godot-cpp` 管理 Variant、String 和 Ref，不自行维护 ABI 存储。Godot 类型必须在扩展终止回调内释放，不能依赖 DLL 静态对象析构；桥节点可能已经退出，应按实例 ID 核验存活再回调。
@@ -28,6 +40,11 @@
 - **现象**：`GameCreationAppAssetKind` 的 ts-rs `export_to` 从 `apps/ai-game-creator-shell/src/contracts/generated/` 换到 `packages/shared/src/contracts/generated/` 后，任何 `cargo build` / `cargo test` 都会重写生成文件；若新目录没进 `.prettierignore` 与 `.eslintrc.cjs` 的 `ignorePatterns`，lint-staged / prettier 会把生成物重新格式化，于是每次提交都出现「生成物被改」，`cargo test export_bindings` 也不再幂等（跑完 `git diff` 不为空）。
 - **处理（现行口径）**：生成目录一律成对登记 `.prettierignore` + eslint `ignorePatterns`；改 `export_to` 时同步改这两处，并用 `cargo test --locked -p shared-contracts --features ts-bindings export_bindings --manifest-path server-rs/Cargo.toml` 后 `git diff` 为空来验证幂等。
 - **易错点**：旧的 `apps/ai-game-creator-shell/src/contracts/generated/` 目录下的同名文件不会自动删除，换目录后必须显式删除旧文件，否则会出现「两个同名 union，改动只落在一个目录」的假绿。
+
+## universal 主程序必须配套双架构原生依赖
+
+AGC macOS 主程序可合并为 universal，但 Codex 原生包的 `codex-package.json`、code-mode host 和 zsh 仍有架构身份。两套包应各自保留上游布局与摘要，放入 `coding-agent/mac-native/darwin-arm64/`、`darwin-x64/`，由正在运行的主程序切片选择；不能只把主程序用 lipo 合并后复用最后一次构建的单架构资源。Tauri universal 两次 Cargo 构建共用 staging，每次都必须 stage 完整的两套资源。发布清单两个平台键同 URL/签名，只在 universal 产物上成立；Rosetta 隔离 smoke 不代替 Intel 真机验收。
+
 ## 生成草稿与异步展示边界必须按身份隔离
 
 非模态生成浮层切换占位时按 draftId 分实例，卸载保留未提交/失败草稿，成功提交不再复活草稿；旧项目占位不存在时丢弃其保存回调。失败重试保留原请求输入和引用身份，引用失效不能静默过滤；修改已绑定输入须明确另起请求，不伪装成原请求重试。
diff --git a/docs/technical/【AGC】栏目画布底部工具栏入口矩阵-2026-09-13.md b/docs/technical/【AGC】栏目画布底部工具栏入口矩阵-2026-09-13.md
index 213442cba..e95d7f07d 100644
--- a/docs/technical/【AGC】栏目画布底部工具栏入口矩阵-2026-09-13.md
+++ b/docs/technical/【AGC】栏目画布底部工具栏入口矩阵-2026-09-13.md
@@ -6,7 +6,7 @@
 
 ## 1. 一句话
 
-功能画布 = 资源栏目页；栏目页左下角渲染一条由栏目 `category` 决定的工具栏，图片类入口走本地 `start_local_project_asset_generation`（提交即返回、后台生成），音频入口复用既有无源生成链路，上传复用 `upload_local_asset`；生成 / 上传成功后一律走既有 manifest 刷新与资源定位。
+功能画布 = 资源栏目页；栏目页左下角渲染一条由栏目 `category` 决定的工具栏，图片类与音频入口都走本地 `start_local_project_asset_generation`（提交即返回、后台生成，见 2026-09-20 音频并入后台任务账本），上传复用 `upload_local_asset`；生成 / 上传成功后一律走既有 manifest 刷新与资源定位。
 
 ## 2. 入口矩阵（事实源）
 
@@ -40,13 +40,13 @@
 | 生成规范 → 自定义规范 | 同上                                   | `kind: 'icon-spec'`，固定 `1:1 · 1K`                                                        |
 | 生成图标素材          | 同上                                   | `kind: 'icon-spritesheet'`，默认 `1:1 · 1K`；前置：已登记 `assets/art-spec.png`             |
 | 生成 UI 设计图        | 同上                                   | `kind: 'ui-design'`，默认 `16:9 · 1K`；前置同上                                             |
-| 生成背景音乐          | `derive_local_project_resource`        | `editKind: 'background-music'`、`generationMode: 'create'`、`sourceMediaType: 'audio/mpeg'` |
-| 生成音效              | `derive_local_project_resource`        | `editKind: 'sound-effect'`、其余同上                                                        |
+| 生成背景音乐          | `start_local_project_asset_generation` | `kind: 'background-music'`、`idempotencyKey`；任务 id 即该次生成的 operation id            |
+| 生成音效              | `start_local_project_asset_generation` | `kind: 'sound-effect'`、其余同上                                                            |
 | 上传                  | `upload_local_asset`                   | `{ projectPath, fileName, mediaType, bytes }`                                               |
 
-`start_local_project_asset_generation` 的完整参数是 `{ projectPath, projectId, taskId, kind, prompt, aspectRatio, imageSize, assetName, outputPath }`（Rust `src-tauri/src/asset_generation_tasks.rs`），**提交即返回**一条任务记录（`taskId / status / phaseDetail / assetId / error` 等）；生成在 `tauri::async_runtime::spawn` 出来的后台任务里跑，账本落在项目内 `.agent/runtime/asset-generation-tasks/tasks.json`，进度由 `list_local_project_asset_generations` 读回。截图面板不再「等生成结束」，所以**点「生成」即同步关闭面板**（不等 IPC），面板内不出现阶段文案；只有「点击瞬间就失败」才带草稿重开（关闭 ≠ 取消）。
+`start_local_project_asset_generation` 的完整参数是 `{ projectPath, projectId, taskId, kind, prompt, aspectRatio, imageSize, assetName, outputPath, idempotencyKey }`（Rust `src-tauri/src/asset_generation_tasks.rs`）；图片类入口沿用 `{ projectPath, projectId, taskId, kind, prompt, aspectRatio, imageSize, assetName, outputPath }` 逐字不变，音频入口只带 `{ projectPath, projectId, taskId, kind, prompt, assetName, idempotencyKey }`（`idempotencyKey` = 该次生成的幂等键，任务 id 即 operation id；原生命令内部仍复用既有音频无源生成链路，不新增平台路由与请求体口径），**提交即返回**一条任务记录（`taskId / status / phaseDetail / assetId / error` 等）；生成在 `tauri::async_runtime::spawn` 出来的后台任务里跑，账本落在项目内 `.agent/runtime/asset-generation-tasks/tasks.json`，进度由 `list_local_project_asset_generations` 读回。截图面板不再「等生成结束」，所以**点「生成」即同步关闭面板**（不等 IPC），面板内不出现阶段文案；只有「点击瞬间就失败」才带草稿重开（关闭 ≠ 取消）。
 
-入参 `kind` 一律是共享 `GameCreationAppAssetKind` 的 canonical 成员（`image` / `character` / `icon-spec` / `icon-spritesheet` / `ui-design` / `publication-material`）；`spec` / `art-spritesheet` / `ui-prototype` 这类平台请求词汇只由 Rust 侧派生到 `source.generationKind`，不再出现在 IPC 载荷或 manifest kind 里。
+入参 `kind` 一律是共享 `GameCreationAppAssetKind` 的 canonical 成员（图片类 `image` / `character` / `icon-spec` / `icon-spritesheet` / `ui-design` / `publication-material`，音频 `sound-effect` / `background-music`）；`spec` / `art-spritesheet` / `ui-prototype` 这类平台请求词汇只由 Rust 侧派生到 `source.generationKind`，不再出现在 IPC 载荷或 manifest kind 里。
 
 ## 4a. 本地排队与「生成任务」侧栏
 
@@ -74,6 +74,8 @@
 
 - 音频画布的「生成背景音乐 / 生成音效」由工具栏承载：`ResourceCanvasGenerationPanelView` 新增 `kinds` prop，工具栏各自只放行自己那一种，单类型入口不再渲染类型选择器，面板标题与提交文案跟该类走。
 - 既有「生成素材」浮层入口传 `kinds={['video']}`，只保留视频；视频能力不删，只是不出现在工具栏里。
+- 音频入口与图片类入口共用同一份后台任务账本（2026-09-20）：提交即返回任务记录、面板同步关闭、状态与阶段文案只由后端账本提供、任务出现在「生成任务」侧栏并在重开项目后恢复。音频任务的**请求身份**（operation id 与幂等键）随任务一起走：任务 id 即 operation id，重试复用同一对身份，不会变成第二次付费生成；音频面板与图片类面板一致，只有「点击瞬间就失败」（未受理）才带原草稿与原请求身份重开。
+- 音频生成在客户端后台跑时仍复用既有音频无源生成链路（`generationMode: 'create'`、`editKind` = `sound-effect` / `background-music`、源快照媒体类型由 `editKind` 推为 `audio/mpeg`——Create 模式不读 `sourceMediaType` 入参、平台路由与请求体口径不变）；音频生成没有可播报的中间进度，因此阶段文案仍是账本的「排队中。」/「正在生成。」/「生成已完成。」/失败原因四档，不新增假阶段。
 
 ## 8. 验证
 
@@ -93,6 +95,7 @@ cargo test -p genarrative-ai-game-creator-shell asset_generation_task
 
 - 模型层：四个栏目的工具集与顺序、未命中栏目返回空、「所有资源」与 `null` 返回空、二级菜单分流、比例 / 尺寸白名单收窄、前置判据、不可用原因、`outputPath` 策略。
 - 组件层：工具栏渲染与二级菜单开合、不可用入口可点击 + 原因可关闭、上传回调。
-- 生成任务层：`resourceCanvasAssetGenerationTaskModel`（状态机 / 在途判据 / 恢复 / 耗时文案）、`resourceCanvasAssetGenerationQueue`（第二条不发提交 IPC、前一条终态后自动补发、失败与账本丢失都能收口）、`ResourceCanvasAssetGenerationTasksPanelView`（非模态、阶段文案来自后端记录、按 `assetId` 定位）、两块生成浮层在提交期间可关闭、「后台运行并关闭」文案。
+- 生成任务层：`resourceCanvasAssetGenerationTaskModel`（状态机 / 在途判据 / 恢复 / 耗时文案、音频任务载荷分流）、`resourceCanvasAssetGenerationQueue`（第二条不发提交 IPC、前一条终态后自动补发、失败与账本丢失都能收口、音频只发任务身份 + 幂等键）、`ResourceCanvasAssetGenerationTasksPanelView`（非模态、阶段文案来自后端记录、按 `assetId` 定位）、两块生成浮层点「生成」即同步关闭（面板 DOM 里没有阶段文案与「后台运行并关闭」这类在途按钮）。
 - Rust 层：`asset_generation_tasks` 的账本落项目内、排队阶段文案由后端拥有、进程重启把无人推进的记录收口为中断失败、账本上限与 task id 边界。
-- AppSurface 层：进入栏目出现工具栏 / 回总览与展开态消失、每个图片类入口的 `start_local_project_asset_generation` 载荷、前置缺失可点击说明且零请求、音频入口走 `derive_local_project_resource`、上传走 `upload_local_asset` + 配对读清单、生成面板关闭后任务仍在「生成任务」面板且第二条按本地排队补发、工具栏与右下 Dock 的几何契约。
+- 音频后台化：音频 kind 的提交返回任务记录且账本 `kind` 为音频、提示词上限与幂等键在提交时收口（未知 kind / 非法身份在提交即拒绝）、第二条提交在本地排队期间不发 IPC、未受理失败重开面板并复用同一 operation 与幂等键、受理后失败的收口与落卡复用图片类同一链路。
+- AppSurface 层：进入栏目出现工具栏 / 回总览与展开态消失、每个图片类入口的 `start_local_project_asset_generation` 载荷、前置缺失可点击说明且零请求、音频入口走同一条命令的音频载荷（`idempotencyKey` + 任务 id 即 operation id）、上传走 `upload_local_asset` + 配对读清单、生成面板关闭后任务仍在「生成任务」面板且第二条按本地排队补发、工具栏与右下 Dock 的几何契约。
diff --git a/docs/technical/【技术方案】AGC客户端更新检查与下载-2026-08-31.md b/docs/technical/【技术方案】AGC客户端更新检查与下载-2026-08-31.md
index 14f2ab8dc..058cc2371 100644
--- a/docs/technical/【技术方案】AGC客户端更新检查与下载-2026-08-31.md
+++ b/docs/technical/【技术方案】AGC客户端更新检查与下载-2026-08-31.md
@@ -98,11 +98,11 @@
 | 系统      | 构建目标                 | 清单平台键                                     | 更新包                   | 清单地址                             |
 | --------- | ------------------------ | ---------------------------------------------- | ------------------------ | ------------------------------------ |
 | Windows | `x86_64-pc-windows-msvc` | `windows-x86_64`                               | NSIS `.exe` + `.exe.sig` | `<OSS base>/agc/<channel>-win/latest.json` |
-| macOS | `aarch64-apple-darwin` 或 `x86_64-apple-darwin` | 对应 `darwin-aarch64` 或 `darwin-x86_64` | `*.app.tar.gz` + `.sig` | `<OSS base>/agc/<channel>-mac/latest.json` |
+| macOS | `universal-apple-darwin` | `darwin-aarch64` + `darwin-x86_64`（同一对象） | `*.app.tar.gz` + `.sig` | `<OSS base>/agc/<channel>-mac/latest.json` |
 
 - 对象布局：清单固定写成 `agc/<channel>-win|mac/latest.json`；安装包与签名写成同一分区的 `<version>/<file>` 与 `<file>.sig`。
-- macOS 当前采用单架构包：Apple Silicon 使用 `aarch64-apple-darwin`，Intel 使用 `x86_64-apple-darwin`；每次生成的清单只登记本次实际构建的架构，不把单架构原生 Codex 资源挂到另一架构。`universal-apple-darwin` 在版本读取/写入、构建和清单生成之前拒绝。
-- 渠道清单以实际运行架构为键。两种单架构构建不可轮流覆盖同一个 `latest.json` 并宣称双架构均可更新；当前不实现跨构建合并，Intel 发布需先完成其构建验证与多架构清单发布方案。
+- macOS 正式交付使用 universal 主程序：两个平台键指向同一个 `.app.tar.gz` 与签名，一份产物同时服务 Apple Silicon 与 Intel。单架构目标（`aarch64-apple-darwin` / `x86_64-apple-darwin`）只用于本机诊断，不登记正式分区清单——单架构构建不可轮流覆盖同一个 `latest.json` 并宣称双架构均可更新。
+- universal 主程序同时携带分目录的 arm64/x64 原生 Codex 组件：每个组件保持上游单架构布局与独立 SHA-256 清单，运行中的主程序切片只选择同架构目录，不得把两套原生包的元数据或辅助程序混装。
 - 构建期要求：打开 `bundle.createUpdaterArtifacts` 以生成 `.sig`；构建环境提供签名私钥与密码（私钥内容不得入库）；公钥写入客户端配置。公钥在首个带更新能力的版本发布后不可更换，更换等于放弃自动更新（只能手动重装）。
 - 版本递增按渠道及系统分区独立进行：发布脚本读取该分区远端 `latest.json` 的 `version`，与本地版本取较高者递增 patch；不同分区的远端版本互不影响。
 - 版本高水位：仅 dev 的 Windows 分区在迁移窗口内取「分区清单版本」与「旧协议迁移指针版本」较大值再递增，避免已发布旧客户端版本倒退。迁移窗口结束（旧指针 404）后只读分区清单；release、自定义渠道与所有 Mac 分区均不参与旧指针比较。
@@ -146,7 +146,7 @@
 | 条款                         | 验收方式                                                                | 证据                                                                                                                                 |
 | ---------------------------- | ----------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------ |
 | 渠道与端点映射、渠道校验     | `node --test apps/ai-game-creator-shell/scripts/build-release.test.mjs` | 通过（默认渠道、错配失败关闭、未知渠道失败关闭）                                                                                     |
-| macOS 单架构清单与 universal 拒绝 | 定向发布脚本测试 | 单架构各用对应平台键；拒绝未闭合的 universal 发布 |
+| macOS universal 清单与双架构依赖 | 定向发布脚本与安装包验证 | 两个平台键同 URL/签名；两套资源独立校验，真机验收另记 |
 | 缺签名时失败关闭             | 同上                                                                    | 通过                                                                                                                                 |
 | 开发态不检查更新             | `vitest run apps/ai-game-creator-shell/tests/appUpdate.test.ts`         | 通过（开关关闭时不请求清单）                                                                                                         |
 | 旧自研链路整条删除           | 代码检索无残留命令、事件与白名单条目                                    | 通过（`download_agc_update` / 下载事件 / 清单常量均无残留）                                                                          |
@@ -168,11 +168,14 @@
 
 已决策：
 
-- macOS 采用单架构包，只登记实际构建架构；Intel 真机构建与跨架构清单合并未验收，不公开宣称双架构分发就绪。
+- macOS 采用 universal 包，两个平台键对应同一更新产物；主程序用 lipo 检查两种架构，Codex 资源分别做原生身份/摘要与启动验证。Rosetta 结果不代替 Intel 真机验收。
 - 旧客户端迁移桥：保留一个版本周期。渠道清单上线后，发布管线同时把旧的 `agc/latest.json`（sha256 格式）指向 `dev-win` 最新安装包，让已发布客户端自动升级到新协议；下个周期整条删除。
 - 签名密钥：由本仓库维护者生成并保管，私钥保存在仓库外（`%USERPROFILE%\.tauri\genarrative-agc-updater.key`），只有公钥进入客户端配置；Jenkins 用受保护凭据 `AgcUpdaterSigningKey` 与 `AgcUpdaterSigningKeyPassword` 注入为 Tauri 打包器读取的 `TAURI_SIGNING_PRIVATE_KEY` 与 `TAURI_SIGNING_PRIVATE_KEY_PASSWORD`，本机可用 `TAURI_SIGNING_PRIVATE_KEY_PATH` 指向同一私钥。当前密钥不带密码；首次发布前仍可重新生成，首次发布后不可更换。
-- macOS 发布方式：对应渠道的 Mac 产物在本机 mac 上执行发布入口上传，Jenkins 暂不新增 macOS 节点；macOS 代码签名与公证凭据未确认前，相关闭环记为未验证项，不静默通过。
+- macOS 发布方式：已接入专用 macOS Jenkins 节点（label `genarrative-agc-macos`，EXCLUSIVE 单 executor），由 `Jenkinsfile.ai-game-creator-shell-macos-build` 执行 `scripts/build-macos-ci.mjs` 完成 universal 构建、双架构隔离 smoke、universal DMG、分区清单生成、更新包验签与 OSS 上传。`AGC_RELEASE_DRY_RUN` 默认为关（与 Windows 渠道对称，即直接发布），只有勾选后才退化为「只打印上传计划、不写 OSS」的演练。
+- macOS 代码签名与公证暂缺：产物为未签名 + 未公证，构建入口剥离 `APPLE_*` 凭据跳过 Apple 签名，不传 `--no-sign`（它还会跳过 updater 的 minisign 签名，产物将没有 `.sig`）；构建清单实测记录 `appleSigned` 与签名类型，`latest.json` 侧固定记录 `notarized=false`，首装需用户在 Gatekeeper 中手动放行。该限制作为已知未验证项记录，不静默通过；「安装 → 重启接管新版本」的自动更新闭环仍需实机验收。
+- 更新包验签门禁：构建完成、上传 OSS 之前，用产物内烘焙的 `plugins.updater.pubkey` 复核 `<更新包>.sig`（Tauri 使用 minisign 的 `ED` 预哈希模式）。keyId 不一致或校验失败立即失败关闭，禁止上传——客户端校验失败会直接拒绝安装，且公钥发布后不可更换。
 
 待办：
 
-- macOS 实际发布（macOS 构建机、签名与公证、安装后重启验证、是否接入 Jenkins macOS 节点）仍需独立验证；代码中的渠道与分区支持不等于已有 Mac 安装包发布。
+- macOS 分区（`<channel>-mac`）已落地构建与发布能力：Mac Jenkins 节点、release 入口（更新包 + 签名 + 首装包 + 分区清单）、验签门禁与调度接入均已就绪，默认直接发布。
+- 剩余待办：Apple 代码签名与公证凭据（未就绪期间以未验证项记录）、macOS 安装后重启接管新版本的实机验证、Intel 真机 smoke（当前 x86_64 侧为 Rosetta）。
diff --git a/docs/technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md b/docs/technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md
index 4d1498caf..3d51c888c 100644
--- a/docs/technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md
+++ b/docs/technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md
@@ -455,11 +455,11 @@ Supervisor 认领该回执后，由父 run 自己为每个原 delivery 逐一创
 - 调度边界：正式 DAG、manifest、Agent task/session/run 身份、队列、锁、委派、all-join、完成门、Provider lifecycle、持久 retry/handoff 与 `needs-reconciliation` 继续由现有 AGC Runtime 掌控。每个被调度节点在 `codex_cli` 模式下直接启动一次非交互 `codex exec` 充当该节点的推理 Agent；Codex 返回当前 Runtime 广告函数的结构化调用，Runtime 仍是唯一 ToolHost，不允许 CLI 自己写项目、执行命令、调用 MCP 或形成第二套 revision / verification 真相。
 - 安装包侧车：Windows x64 release 固定随 Tauri resource 打包 `@openai/codex@0.147.0` 的原生 `codex.exe`；Rust build script 从 AGC 子包锁定依赖 stage 到 resource，并写入版本与 SHA-256 清单。Windows 侧车映射只写入 `tauri.windows.conf.json`，通用 `tauri.conf.json` 不得让 Linux / macOS 构建依赖未生成的 Windows 二进制。运行时只在文件摘要和 `codex-cli` 版本同时匹配清单时优先选内置侧车；缺失、损坏或版本漂移时跳过它，按既有 npm 安装、PATH 顺序回退。安装包同时携带 Apache-2.0 第三方声明；API Key、`auth.json`、Cookie、Token、用户 `CODEX_HOME`、用户配置和项目数据绝不打包。
 - Windows x64 release 安装包只生成 NSIS，不生成 MSI：`tauri.windows.conf.json` 的 `bundle.targets` 固定为 `["nsis"]`，通用配置继续保留其它平台的默认打包目标。安装后的产品名、开始菜单 / 桌面快捷方式和 EXE 产品描述统一由 `tauri.conf.json` 的 `productName: "陶泥儿"` 生成；应用 identifier 与内部可执行文件名保持稳定。内置 Codex 资源安装到顶层 `coding-agent/win-x64/`，运行时从同一路径查找 `bin/codex.exe` 与 `manifest.json`；仓库 staging 仍使用 `resources/codex/win-x64/`，包内子目录、组件名、版本和完整性校验保持原合同。
-- macOS 单架构安装包同样必须携带锁定版本的原生 Codex、`codex-code-mode-host`、`rg`、上游 zsh、`codex-package.json` 和第三方声明，保留上游相对布局；构建时按 Cargo 目标选择 npm 原生依赖，缺文件、版本或目标不匹配立即失败，不借用开发机 PATH 里的 Codex。资源只在 `tauri.macos.conf.json` 映射到 `Contents/Resources/coding-agent/mac-native/`。构建与运行共享平台文件白名单，运行时由当前 `.app/Contents/MacOS` 定位相邻 `Resources`，完整性与版本验证通过后优先使用内置组件；失败沿既有外部安装回退，不能运行未校验的内置文件。单架构资源不能冒充 universal 包。
+- macOS 安装包必须携带锁定版本的原生 Codex、`codex-code-mode-host`、`rg`、上游 zsh、`codex-package.json` 和第三方声明，保留上游相对布局；构建时按 Cargo 目标选择 npm 原生依赖，缺文件、版本或目标不匹配立即失败，不借用开发机 PATH 里的 Codex。资源只在 `tauri.macos.conf.json` 映射到 `Contents/Resources/coding-agent/mac-native/darwin-arm64/` 与 `darwin-x64/`。构建与运行共享平台文件白名单，运行时由当前 `.app/Contents/MacOS` 定位相邻 `Resources`，完整性与版本验证通过后优先使用内置组件；失败沿既有外部安装回退，不能运行未校验的内置文件。universal 主程序同时携带两套独立原生资源，运行切片按 Cargo 目标只选择对应目录；macOS 构建必须预备两套锁定原生依赖，不读取全局 Codex。
 - 内置插件的清单、运行入口与面板同时在 Windows/macOS 随包分发，继续由既有 PluginHost 的应用资源目录扫描入口发现；不携带开发依赖、缓存、测试或私有配置。插件文件随包不等于原生适配器跨平台：Cocos 进程桥接仍受现有 Windows 实现和 feature 门禁约束，macOS 原生桥接另行设计与验收，不复制 Windows DLL 冒充支持。系统 Node、用户 Cocos Creator、账号登录、网络和生成工程的 npm 工具链仍是现有外部前提，不在此次 Codex 侧车补齐中隐式变更。
 - macOS 安装包验收必须包括：脱离仓库位置的 `.app` 资源与架构检查、受限 PATH/隔离 HOME 下内置 Codex 启动和 app-server 握手、必需文件缺失/篡改/平台错误的拒绝测试，以及 DMG 完整性检查。真实登录、Provider 对话、GUI 和 Cocos 操作必须独立列出证据，不能用压缩包生成或 `--version` 成功替代。未配置正式签名、公证的本地测试包不得作为公开发行包。
 - macOS 安装包的系统下限取主程序和全部原生组件中的最高要求；锁定 Codex 0.147.0 原生依赖所携带的 zsh 要求 macOS 15.0，因此 `bundle.macOS.minimumSystemVersion` 明确为 `15.0`。更新原生依赖时重新检查 Mach-O 的系统下限，不能只按 AGC 主程序宣称兼容版本。
-- 发布链路的目标解析和单架构清单以《AGC客户端更新检查与下载》为准：CLI 目标优先，版本、构建、端点、bundle 与更新清单共用单一发布上下文。插件能力以《AGC通用插件宿主与编辑器适配》为准：无已注册 Cocos 原生适配器时隐藏且拒绝启动，前端自动启动只消费后端可用性投影。
+- 发布链路的目标解析和 universal 清单以《AGC客户端更新检查与下载》为准：CLI 目标优先，版本、构建、端点、bundle 与更新清单共用单一发布上下文。插件能力以《AGC通用插件宿主与编辑器适配》为准：无已注册 Cocos 原生适配器时隐藏且拒绝启动，前端自动启动只消费后端可用性投影。
 - CLI 安全边界：CLI 固定使用 argv 启动，禁止 shell 拼接；工作目录使用本次请求专用的空临时目录，不把游戏项目绝对路径写入 prompt、stdout、stderr 或持久记录。调用固定使用 ephemeral、忽略用户配置和 exec rules、read-only sandbox、never approval，并关闭 Codex shell tool；只继承 CLI 运行和认证所需的最小环境，显式移除宿主 `CODEX_API_KEY`。用户级 Codex 登录态继续由本机 Codex 自己读取，API Key、auth 文件、Cookie、Token、`CODEX_HOME` 私有内容不得复制到项目配置、Runtime sidecar、Agent DB、conversation 或日志；stdout / stderr 无换行时也受硬上限约束，stderr 诊断只记录固定分类、字节数和 SHA-256。
 - 协议边界：Runtime 把既有 `LlmRunRequest` 的消息和当前函数目录编码为有界 prompt，并从同一函数 JSON Schema 生成 Codex structured-output schema。CLI 输出转换为现有 `LlmRunResponse / LlmToolCall` 后，继续经过 native tool / MCP 参数校验、动作上限、权限、pending、receipt、验证与格式修复链；最终回复仍走唯一提交路径，不新增平行响应协议。
 - 取消与恢复：Codex 子进程绑定当前 Provider request lifecycle，取消、暂停、Runner draining 或 GUI owner 丢失时终止并回收当前进程；started 后没有可信终态仍沿现有 Provider reconciliation 处理。`agentMode`、CLI 可执行身份和影响输出的 Codex 参数进入 `providerConfigFingerprint`，模式切换不得消费另一模式遗留的 retry/handoff。
diff --git a/docs/technical/【测试用例】AGC资源工作台V3端到端验收-2026-09-11.md b/docs/technical/【测试用例】AGC资源工作台V3端到端验收-2026-09-11.md
index d1e45b3f9..c6f826c48 100644
--- a/docs/technical/【测试用例】AGC资源工作台V3端到端验收-2026-09-11.md
+++ b/docs/technical/【测试用例】AGC资源工作台V3端到端验收-2026-09-11.md
@@ -57,7 +57,7 @@
 | **S15** 删除 | 工具条 / 标签面板「删除」→ 确认弹窗 | 三分支：① 无引用→直接删；② 被引用未勾选→只删素材、版本保留**悬空绑定**、界面不合成幽灵资源卡；③ 勾选→素材与该批版本在**同一次 manifest 写入**内一起删 | L413（版本只追加的唯一例外）、L532–533；#309 C5 | 弹窗 `ariaLabel="确认删除资源"`；被引用时出现 `被 N 个游戏版本使用` + 版本列表 + checkbox `把相关游戏版本一并删除`；无引用时该 body 整块不渲染 | **只摘登记、不删磁盘文件**；读引用命令精确名是 `read_local_project_asset_references` |
 | **S15a** 替换素材（含点选替换） | 选中被**当前版本**绑定的素材 → 工具条「替换素材」→ 候选弹窗（弹窗内可筛可选）；再点 footer「点选替换」→ 弹窗关闭、进入画布点选态 → 在画布上直接点目标素材 | 弹窗确认与点选是**同一条**写入链路（`replace_local_project_version_resource`，载荷逐字一致）：改该版本绑定、不建新版本；点选态下合法目标直接提交并自动退出点选态，非法目标零写入、**留在**点选态并在提示条上说明原因 | PRD §5.3 / §7.8 第 8 条；#309「直接替换」口径 | 点选态判据：候选弹窗 `role="dialog"` 已卸载；画布出现 `.game-resource-canvas-pick-hint`，文案含「在画布上点选要替换成的素材」与「点击空白处不会退出」，并有「取消」按钮；非法目标后提示条仍在且出现 `role="alert"`（「替换素材不兼容：分类不同」/「替换素材与源素材相同」/「替换素材未登记或已被删除」）；点选期间卡片 `aria-pressed` 不变（单击只用于点选）、源素材选中与工具条不因点空白或点非法目标而丢；Esc 退出点选（画布全局 Esc 的清选中不随之触发）；点选态下滚轮平移与缩放照常可用 | 点选只能点**当前画布上可见**的卡：目标在别的栏目时先切栏目（点选会话跨栏目存活，不因「收起资源」或切栏目结束）；空白点击不退出、也不清画布选中 |
 
-| **S11a** 栏目画布底部工具栏 | 进「UI 交互 / 角色与对象 / 场景与环境 / 音频」任一栏目 → 点左下角工具栏里的入口生成 → 「收起资源」回总览看工具栏消失 | 工具栏只在矩阵四个栏目（功能画布）渲染；图片类入口走 `start_local_project_asset_generation`（提交即返回、生成在后台跑），音频入口复用既有无源生成链路，上传复用 `upload_local_asset`；生成 / 上传成功后走既有 manifest 刷新与资源定位 | PRD §3.10、§7.9 | DOM 判据 `[data-resource-bottom-toolbar="<category>"]`（资源总览、「所有资源」展开态、文档、待归类、项目版本都**没有**这个节点）；工具栏是 `.game-resource-book-manager` 的直接子节点（`closest('.game-resource-book-scene')` 为 `null`）；每个入口一次 `start_local_project_asset_generation`，载荷逐字为 `{ projectPath, projectId, taskId, kind, prompt, aspectRatio, imageSize, assetName, outputPath }`（`kind` 映射见 PRD §7.9 第 3 条；`taskId` 是前端每次提交新铸的本地任务 id）；该命令提交即返回，之后有 `list_local_project_asset_generations` 轮询与 `get_local_game_project_revision` + `get_local_game_manifest` 的配对读；提交期间点 × / 遮罩 / Esc /「后台运行并关闭」任一都能关面板且请求继续（画布立即恢复可交互），关闭后任务仍出现在「生成任务」面板（入口按钮 `aria-label="生成任务"`，非模态浮层、无 `aria-modal`）并显示后端 `phaseDetail`；第一条未终态时提交第二条 → 第二条显示「排队中。」且生成提交 IPC 次数仍为 1，第一条终态后自动补发（次数变 2）；缺 `assets/art-spec.png` 时「生成图标素材 / 生成 UI 设计图」仍可点击（`aria-disabled="true"` 但**不是**原生 disabled）并给出含该路径的 `role="alert"` 原因、零生成请求；音频入口面板标题即「生成背景音乐」/「生成音效」且没有类型选择器 | ① 本地通道没有 `model` / `specType` / `replaceExisting` 入参：面板不渲染模型选择器，角色规范与自定义规范共用 `spec` 通道（靠 `assetName` 与提示词区分），「图标规范」在项目已有权威规范图时不再指向 `assets/art-spec.png`（否则会被 Rust 的防覆盖校验硬拒）；② 本轮不做生成视频 / 宣发素材 / 生成游戏场景 / 选择工具 / 抓手工具；③ 既有「生成素材」浮层入口只保留生成视频，音频入口只在音频栏目工具栏出现 |
+| **S11a** 栏目画布底部工具栏 | 进「UI 交互 / 角色与对象 / 场景与环境 / 音频」任一栏目 → 点左下角工具栏里的入口生成 → 「收起资源」回总览看工具栏消失 | 工具栏只在矩阵四个栏目（功能画布）渲染；图片类入口走 `start_local_project_asset_generation`（提交即返回、生成在后台跑），音频入口走同一条命令的音频载荷，上传复用 `upload_local_asset`；生成 / 上传成功后走既有 manifest 刷新与资源定位 | PRD §3.10、§7.9 | DOM 判据 `[data-resource-bottom-toolbar="<category>"]`（资源总览、「所有资源」展开态、文档、待归类、项目版本都**没有**这个节点）；工具栏是 `.game-resource-book-manager` 的直接子节点（`closest('.game-resource-book-scene')` 为 `null`）；每个入口一次 `start_local_project_asset_generation`：图片类载荷逐字为 `{ projectPath, projectId, taskId, kind, prompt, aspectRatio, imageSize, assetName, outputPath }`（`kind` 映射见 PRD §7.9 第 3 条；`taskId` 是前端每次提交新铸的本地任务 id），音频类载荷为 `{ projectPath, projectId, taskId, kind, prompt, assetName, idempotencyKey }`（`taskId` 即该次生成的 operation id，不发图片类那套比例 / 尺寸 / 参考 / 落点参数）；该命令提交即返回，之后有 `list_local_project_asset_generations` 轮询与 `get_local_game_project_revision` + `get_local_game_manifest` 的配对读；点「生成」即把这次输入交给后台账本并**同步关闭**面板（不等 IPC、不等排队、不等生成，画布立即恢复可交互；面板 DOM 里没有阶段文案与「后台运行并关闭」这类在途按钮），关闭不等于取消，关闭后任务仍出现在「生成任务」面板（入口按钮 `aria-label="生成任务"`，非模态浮层、无 `aria-modal`）并显示后端 `phaseDetail`；第一条未终态时提交第二条 → 第二条显示「排队中。」且生成提交 IPC 次数仍为 1，第一条终态后自动补发（次数变 2）；缺 `assets/art-spec.png` 时「生成图标素材 / 生成 UI 设计图」仍可点击（`aria-disabled="true"` 但**不是**原生 disabled）并给出含该路径的 `role="alert"` 原因、零生成请求；音频入口面板标题即「生成背景音乐」/「生成音效」且没有类型选择器 | ① 本地通道没有 `model` / `specType` / `replaceExisting` 入参：面板不渲染模型选择器，角色规范与自定义规范共用 `spec` 通道（靠 `assetName` 与提示词区分），「图标规范」在项目已有权威规范图时不再指向 `assets/art-spec.png`（否则会被 Rust 的防覆盖校验硬拒）；② 本轮不做生成视频 / 宣发素材 / 生成游戏场景 / 选择工具 / 抓手工具；③ 既有「生成素材」浮层入口只保留生成视频，音频入口只在音频栏目工具栏出现 |
 
 ### D 阶段 · 版本与运行
 
diff --git a/docs/【开发运维】本地开发验证与生产运维-2026-05-15.md b/docs/【开发运维】本地开发验证与生产运维-2026-05-15.md
index 34ce87c6d..f8af79922 100644
--- a/docs/【开发运维】本地开发验证与生产运维-2026-05-15.md
+++ b/docs/【开发运维】本地开发验证与生产运维-2026-05-15.md
@@ -143,7 +143,7 @@ BgFilter 对已经落入私有 OSS 的生成原图、动作抽取帧和手动去
 
 `Genarrative-Scheduled-Revision-Trigger` 是唯一的定时入口，每小时检查一次（`H * * * *`，分钟由 Jenkins 按 Job 名散列，不等同于整点）。它只用 `git ls-remote` 解析 `SOURCE_BRANCH`（默认 `master`）的远端 HEAD，不 checkout 工作区；解析出的完整 commit 与上一次触发过的 revision 相同则标记 `NOT_BUILT` 并结束，不触发任何下游。
 
-revision 变化时，调度管线把同一个完整 commit 通过 `COMMIT_HASH` 同时传给 `Genarrative-Full-Build-And-Deploy` 与 `Genarrative-Agc-Windows-Build`，两条管线都按这个 commit 检出（Full Job 继续把 `env.SOURCE_COMMIT` 透传给 Web / API / Stdb 的 Build、Publish、Deploy），因此两个产物必然来自同一个版本，不会各自解析分支 HEAD 造成漂移。两条下游管线自身不带任何定时触发器，也不在管线内部做版本比较。Windows 客户端发布额外按路径过滤：调度管线比较「上一轮已触发的 revision」与本次 revision 之间的变更路径，只有出现 `apps/ai-game-creator-shell/`、`packages/`、`server-rs/crates/`、`plugins/agc-cocos-editor/`、`apps/desktop-shell/src-tauri/icons/`、`package.json` 或 `package-lock.json` 时才触发 `Genarrative-Agc-Windows-Build`，纯文档或流水线自身的提交只触发 Full Build、不推高客户端版本号；判定取消或失败一律按「需要发布」处理，勾选 `FORCE_TRIGGER` 可强制两条都触发。两条下游各自判定：AGC Windows Build 采用「客户端相关路径白名单」，Full Build 采用「与线上站点 / 后端无关的路径黑名单」（`docs/`、`.codex/`、`jenkins/`、`apps/ai-game-creator-shell/`、`apps/mobile-shell/`、`apps/desktop-shell/`、`apps/preview-deployer-web/`、`tools/`、根级 `*.md`），改动只要落在黑名单之外就会照常部署，避免漏发线上站点或后端；两条同时被判为跳过时调度管线只推进 revision 状态、不触发任何发布。AGC 客户端版本号不再由渠道各自递增：唯一发号源是 OSS 对象 `agc/global-version.json`，发号收口到 `Genarrative-Agc-Global-Version-Issue`（`disableConcurrentBuilds()` + 写后回读校验；集群未装 `lockable-resources` 插件）。调度管线与手动发布管线都先调用该 Job 发号，再用归档产物 `agc-global-version.txt` 读取总号并作为 `AGC_RELEASE_VERSION` 透传给客户端构建；统一构建只发一次号供各渠道共用，单渠道热修只把号传给该渠道。显式传入的号低于本渠道当前清单版本时构建失败关闭；`AGC_RELEASE_DRY_RUN` 只预览下一位，不写回、不烧号。一次性播种用 `SEED_ONLY`：基线取「仓库版本 / 各渠道清单 / 旧迁移指针」的最大值，播种本身不烧号。仓库里的 5 个版本文件仍由构建改写，只作构建输入参考，不是事实源。客户端渠道清单的更新摘要同样自动生成：发布脚本读取上一份渠道清单的 `commit` 字段，把该提交到本次提交之间触及客户端相关路径的提交标题逐条写进 `notes`（旧协议清单写入 `releaseNotes`，并落盘归档文件 `release-notes.txt`）；`AGC_UPDATE_RELEASE_NOTES` 非空时以手动文案为准，缺少上一份 `commit` 时不写摘要。Full Job 默认以 `DEPLOY_TARGET=development`、`STDB_API_ROLLOUT_MODE=normal` 对仅供开发使用的 dev 服务器执行 Stdb → API → Web 完整发布，不进入人工 rollout gate；三个下游 Build 都由 Full Job 显式传 `PUBLISH_AFTER_BUILD=false`，统一 Build 完成后仍由 Full Job 按固定顺序发布。人工维护窗口才选择 `pause-after-stdb`，且必须配置 `STDB_API_ROLLOUT_APPROVERS`。
+revision 变化时，调度管线把同一个完整 commit 通过 `COMMIT_HASH` 同时传给 `Genarrative-Full-Build-And-Deploy`、`Genarrative-Agc-Windows-Build` 与 `Genarrative-Agc-MacOS-Build`，各条管线都按这个 commit 检出（Full Job 继续把 `env.SOURCE_COMMIT` 透传给 Web / API / Stdb 的 Build、Publish、Deploy），因此两个产物必然来自同一个版本，不会各自解析分支 HEAD 造成漂移。这些下游管线自身不带任何定时触发器，也不在管线内部做版本比较。Windows 客户端发布额外按路径过滤：调度管线比较「上一轮已触发的 revision」与本次 revision 之间的变更路径，只有出现 `apps/ai-game-creator-shell/`、`packages/`、`server-rs/crates/`、`plugins/agc-cocos-editor/`、`apps/desktop-shell/src-tauri/icons/`、`package.json` 或 `package-lock.json` 时才触发 `Genarrative-Agc-Windows-Build` 与 `Genarrative-Agc-MacOS-Build`（两个平台分区发布同一个发号 Job 下发的总版本号），纯文档或流水线自身的提交只触发 Full Build、不推高客户端版本号；判定取消或失败一律按「需要发布」处理，勾选 `FORCE_TRIGGER` 可强制两条都触发。两条下游各自判定：AGC Windows Build 采用「客户端相关路径白名单」，Full Build 采用「与线上站点 / 后端无关的路径黑名单」（`docs/`、`.codex/`、`jenkins/`、`apps/ai-game-creator-shell/`、`apps/mobile-shell/`、`apps/desktop-shell/`、`apps/preview-deployer-web/`、`tools/`、根级 `*.md`），改动只要落在黑名单之外就会照常部署，避免漏发线上站点或后端；两条同时被判为跳过时调度管线只推进 revision 状态、不触发任何发布。AGC 客户端版本号不再由渠道各自递增：唯一发号源是 OSS 对象 `agc/global-version.json`，发号收口到 `Genarrative-Agc-Global-Version-Issue`（`disableConcurrentBuilds()` + 写后回读校验；集群未装 `lockable-resources` 插件）。调度管线与手动发布管线都先调用该 Job 发号，再用归档产物 `agc-global-version.txt` 读取总号并作为 `AGC_RELEASE_VERSION` 透传给客户端构建；统一构建只发一次号供各渠道共用，单渠道热修只把号传给该渠道。显式传入的号低于本渠道当前清单版本时构建失败关闭；`AGC_RELEASE_DRY_RUN` 只预览下一位，不写回、不烧号。一次性播种用 `SEED_ONLY`：基线取「仓库版本 / 各渠道清单 / 旧迁移指针」的最大值，播种本身不烧号。仓库里的 5 个版本文件仍由构建改写，只作构建输入参考，不是事实源。客户端渠道清单的更新摘要同样自动生成：发布脚本读取上一份渠道清单的 `commit` 字段，把该提交到本次提交之间触及客户端相关路径的提交标题逐条写进 `notes`（旧协议清单写入 `releaseNotes`，并落盘归档文件 `release-notes.txt`）；`AGC_UPDATE_RELEASE_NOTES` 非空时以手动文案为准，缺少上一份 `commit` 时不写摘要。Full Job 默认以 `DEPLOY_TARGET=development`、`STDB_API_ROLLOUT_MODE=normal` 对仅供开发使用的 dev 服务器执行 Stdb → API → Web 完整发布，不进入人工 rollout gate；三个下游 Build 都由 Full Job 显式传 `PUBLISH_AFTER_BUILD=false`，统一 Build 完成后仍由 Full Job 按固定顺序发布。人工维护窗口才选择 `pause-after-stdb`，且必须配置 `STDB_API_ROLLOUT_APPROVERS`。
 
 调度状态是调度 Job 工作区里的 `.jenkins-last-triggered-revision`，构建描述同时回显本次 revision 与结果。工作区被清理（例如 `Wipe Out Workspace`）或状态文件缺失时，下一次运行按“版本变化”处理并触发一次，之后恢复稳定；需要重建同一版本时勾选 `FORCE_TRIGGER`。Job 按仓库内 `jenkins/scheduled-revision-trigger-job-config.xml` 创建：`scriptPath=jenkins/Jenkinsfile.scheduled-revision-trigger`、Git 入口 `ssh://git@127.0.0.1:2222/GenarrativeAI/Genarrative.git`、凭据 `genarrative-local-gitea-ssh`、`<triggers/>` 留空（定时器写在 Jenkinsfile 里）。推送后必须让三个 live Job 各自加载一次新 Jenkinsfile，并只读核对 `config.xml`：Full 与 AGC 不再有 cron，定时只来自新调度 Job；只改 Jenkinsfile 而不确认 live 配置时，旧 cron 仍会继续触发。
 
@@ -698,7 +698,7 @@ cat /var/lib/genarrative/health-patrol/status.json
 
 如需接外部告警，可在 `/etc/genarrative/health-patrol.env` 配置 `GENARRATIVE_HEALTH_PATROL_WEBHOOK_URL`；脚本只会在 `WARNING` 或 `CRITICAL` 时向该 webhook 发送 JSON。未配置 webhook 时，告警来源是 systemd 失败状态、journal 和状态文件。
 
-Jenkins Copy Artifact 必须保持 `Production` 权限模式；产物生产者要在 Jenkinsfile 中用 `copyArtifactPermission` 精确授权消费者，不能依赖 Migration 模式或全局 `Job/Read`。固定映射为 `Genarrative-Stdb-Module-Build` → `Genarrative-Stdb-Module-Publish`、`Genarrative-Api-Build` → `Genarrative-Api-Deploy`、`Genarrative-Web-Build` → `Genarrative-Web-Deploy`、`Genarrative-Database-Export` → `Genarrative-Database-Import`。如果 `copyArtifacts` 报 `Unable to find project for artifact copy`，但来源 Job、指定构建号和归档都实际存在，先检查来源 Job 的 `CopyArtifactPermissionProperty`；修复 Jenkinsfile 后必须先运行一次产物生产者，让 Declarative Pipeline 把 Job property 写回 Jenkins，再重跑 Deploy / Publish / Import。`npm run check:production-ops` 会防止四条白名单再次丢失。
+Jenkins Copy Artifact 必须保持 `Production` 权限模式；产物生产者要在 Jenkinsfile 中用 `copyArtifactPermission` 精确授权消费者，不能依赖 Migration 模式或全局 `Job/Read`。固定映射为 `Genarrative-Stdb-Module-Build` → `Genarrative-Stdb-Module-Publish`、`Genarrative-Api-Build` → `Genarrative-Api-Deploy`、`Genarrative-Web-Build` → `Genarrative-Web-Deploy`、`Genarrative-Database-Export` → `Genarrative-Database-Import`、`Genarrative-Agc-Global-Version-Issue` → `Genarrative-Scheduled-Revision-Trigger`（发号 Job 必须授权调度器读 `agc-global-version.txt`；缺这条会让整轮调度在发号之后失败——号已烧、渠道构建没被触发，2026-09-20 #103 即为此）。如果 `copyArtifacts` 报 `Unable to find project for artifact copy`，但来源 Job、指定构建号和归档都实际存在，先检查来源 Job 的 `CopyArtifactPermissionProperty`；修复 Jenkinsfile 后必须先运行一次产物生产者，让 Declarative Pipeline 把 Job property 写回 Jenkins，再重跑 Deploy / Publish / Import。`npm run check:production-ops` 会防止四条白名单再次丢失。
 
 `Genarrative-Web-Build` 的主站构建失败若出现 Rollup 报错 `"xxx" is not exported by "src/services/publicWorkCode.ts"`，优先按前端公开作品号工具缺失处理，而不是排查 Jenkins 节点环境。修复时要让 `publicWorkCode.ts` 的 `build<Play>PublicWorkCode` 与 `isSame<Play>PublicWorkCode` 成对导出，并补 `src/services/publicWorkCode.test.ts` 覆盖对应玩法前缀；随后用 `npm run build:production-release -- --component web --name <临时名>` 复现 Jenkins web 构建路径。
 
@@ -726,6 +726,28 @@ Pingora current release 自审脚本 `scripts/ops/pingora-current-release-audit.
 
 `Genarrative-Web-Build` 打包 `web.tar.gz` 前、`Genarrative-Web-Deploy` 解包后都会把 Web 静态目录规范为目录 `755`、文件 `644`。如果前端页面能打开但 public 图片、字体或音频返回 `403 Forbidden`，优先检查当前 `/srv/genarrative/web` 指向的 release 中对应文件权限是否被异常归档为 `600`，临时恢复可对该 release 的 `web` 目录执行目录 `755`、文件 `644` 的权限修正。
 
+### AGC macOS 手动构建节点
+
+Mac universal 构建脚本位于 `jenkins/Jenkinsfile.ai-game-creator-shell-macos-build`，只对专用 `genarrative-agc-macos` 标签运行。节点按 EXCLUSIVE、单 executor 配置，Job 禁止并发且不设置 trigger；不接入现有每小时版本调度，不改 Windows 发布职责。它使它只在专用 Agent 目录下构建：默认按约定匹配 `$HOME/Library/Jenkins/agents/<node>/workspace/`（不写死节点名，节点改名后仍成立），也可用 `AGC_AGENT_ROOT` 显式覆盖；禁止指向开发 checkout 或共享其可写 target/node_modules。
+
+Job 名为 `Genarrative-Agc-MacOS-Build`，SCM 直接读取仓库内上述 Jenkinsfile，参数为 `SOURCE_BRANCH`、`COMMIT_HASH`、`AGC_UPDATE_CHANNEL`、`AGC_RELEASE_VERSION`、`AGC_RELEASE_DRY_RUN`、`AGC_UPDATE_RELEASE_NOTES`、`OSSUTIL_BIN`、`CARGO_BUILD_JOBS`。渠道参数是基础名（不含系统，默认 `dev`），脚本不接受 `dev-mac` 这类系统后缀，写入分区固定推导为 `<channel>-mac`：这与 Windows Job 的 `<channel>-win` 对称，也延续已发布客户端的端点。
+
+该 Job 的职责是构建并发布 `<channel>-mac` 分区更新：执行 `npm ci` 后使用锁文件校验并补齐两种 macOS Codex 原生依赖，再调用 `scripts/build-macos-ci.mjs`（AGC 应用目录下）生成 universal app、arm64/x86_64 隔离 smoke、universal DMG 与分区清单 `latest.json`，用产物内烘焙的公钥复核更新包签名（`verify-updater-signature.mjs`），最后按 `AGC_RELEASE_DRY_RUN` 决定是否上传 OSS。签到会同时取 `master`，让渠道清单里上一次发布的 commit 可解析——缺了它更新摘要会退化成「最近客户端改动」（该步失败只降级摘要，不阻断发布）。产物名（`*.app`、updater 归档、DMG、卷名）一律从 Tauri `productName` 推导，校验脚本从包内 `Info.plist` 读取可执行名，改产品名不会让入口静默找错对象；隔离 smoke 用 `ditto --clone` 复制副本（实测整轮 6.8 秒，此前整包复制约 1 分钟），并在构建前删除本次将写出的 DMG/更新包/签名，保证归档产物一定来自本次构建。归档限 `artifacts/` 下的 DMG、SHA-256、`latest.json`、更新包签名、更新摘要、非敏感构建清单和源码 commit；不归档用户 HOME、Jenkins secret、原始工作目录或全量日志。
+
+发布凭据全部走 Jenkins 全局凭据，并在 `withCredentials` 内注入当前进程：`AgcUpdaterSigningKey`（与 `AgcUpdaterSigningKeyPassword`）映射为 `TAURI_SIGNING_PRIVATE_KEY` / `TAURI_SIGNING_PRIVATE_KEY_PASSWORD`，`AliyunAccessKeyId` / `AliyunaccessKeySecret` 映射为 `AGC_OSS_ACCESS_KEY_ID` / `AGC_OSS_ACCESS_KEY_SECRET`；私钥与凭据不写入 workspace、日志或归档产物。上传顺序为更新包、签名、首装包，三者全部成功后才覆盖 `agc/<channel>-mac/latest.json` 指针；`AGC_RELEASE_DRY_RUN` 与 Windows 渠道对称：默认关闭即真发布，勾选后才退化为演练（只打印将上传的对象、不写任何 OSS 对象）。本 Job 是正式发布入口，调度器在发号后与 Windows 一起触发它，并额外传 `SKIP_IF_SUPERSEDED=true`——Mac 节点是日常办公机，离线期间排队的旧构建在节点回来后若已被源码分支推进，直接跳过而不发布过期版本。Mac 节点需要 `ossutil`（实测 1.7.19 原生 arm64 可用，装在 `~/.local/bin`，已在 Job 的 PATH 内），可用 `OSSUTIL_BIN` 指定命令名或绝对路径。首次发布建议显式指定 `AGC_RELEASE_VERSION`，避免按渠道高水位递增时出现版本链回退。
+
+产物边界：macOS 代码签名与公证暂缺，构建通过剥离 `APPLE_*` 凭据让 Tauri 跳过 Apple 签名，**不得使用 `--no-sign`**——该标志会连带跳过 updater 的 minisign 签名，产物缺少 `.sig` 会直接卡在验签门禁（首次实跑即命中该坑）。构建清单按 `codesign -dv` 实测记录 `appleSigned` / `appleSignatureKind`（如 `adhoc`），并固定记录 `notarized=false`。用户首次安装需要在 Gatekeeper 中手动放行；更新包校验本身只依赖 minisign 签名，因此未签名不阻断自动更新的校验环节，但「安装 → 重启接管新版本」的实机闭环仍未验证，不得以构建成功替代。
+
+Job 描述与节点描述是 Jenkins 侧元数据，**不随仓库同步**：Jenkinsfile 只回写参数定义，描述必须手工维护，否则会停留在建 Job 时的口径（2026-09-20 就出现过描述还写着「只构建归档、不签名不上传」，而实际已经是含签名、分区清单、验签与 OSS 上传的发布管线）。当前口径：Job 描述说明「构建 universal → 双架构 smoke → DMG → `<channel>-mac` 分区清单 → 更新包验签 → 按 dry-run 决定上传，未做 Apple 签名与公证」；节点描述说明「`genarrative-agc-macos`、EXCLUSIVE 单 executor、仅手动触发、独立 workspace、sccache 在 HOME」。维护手法：该 Job 上 `POST job/<name>/config.xml` 会返回 500，节点侧同接口正常；因此改 Job 描述用脚本接口原地更新（保留构建历史），不要为了改描述删 Job 重建。
+
+该 Job 的 Rust 编译走 sccache 对象缓存，与 `Genarrative-Api-Build`、`Genarrative-Stdb-Module-Build` 一致：`RUSTC_WRAPPER=sccache`、`CARGO_INCREMENTAL=0`、`SCCACHE_CACHE_SIZE=20G`。`SCCACHE_DIR` 默认落在稳定缓存根 `~/caches/genarrative-jenkins/agc-macos/sccache`，可用 `GENARRATIVE_AGC_MACOS_CACHE_ROOT` 覆盖；缓存根固定在 HOME 下而不是 `WORKSPACE` 内，避免 workspace 重建后无改动也触发近似冷构建。节点是 8 逻辑核（4P+4E）的共用机器，`CARGO_BUILD_JOBS` 因此做成 Job 参数（默认 `8`，吃满节点）。该值不只是并行 crate 数——cargo 会把它作为 jobserver 令牌上限传给 rustc，主 crate 的 codegen 也受它限制，因此写小会直接拖长整条构建；节点只有 24 GB 内存且是日常办公机，若构建期间出现明显换页再临时调低。首次构建 sccache 必然全未命中（实测 0 命中 / 407 未命中），此后的构建才逐步吃到缓存。节点未安装 sccache 时管线打印提示并回退到真实 `rustc`，不阻断构建。universal 双架构各自独立编译，依赖 crate 的复用收益约为单架构的两倍；命中情况由构建末尾的 `sccache --show-stats` 输出，供判断是否需要预热或调整缓存上限。
+
+首次端到端验证（2026-09-20，build #3）：`SUCCESS`，43 分钟。产出 `陶泥儿_0.1.68_universal.dmg`、`陶泥儿.app.tar.gz` 与 `.sig`、`latest.json`、`build-manifest.json`；两个架构的隔离 smoke（arm64 / Rosetta x86_64）通过，更新包用产物内烘焙公钥复核通过（`alg=ED`，`keyId=cb883447e3e87c4e`），dry-run 只打印 4 个上传对象、未写 OSS。构建清单实测记录 `appleSigned=false`、`appleSignatureKind=adhoc`、`notarized=false`。首次实跑暴露并修掉两个入口缺陷：传 `--no-sign` 会连带跳过 updater 的 minisign 签名（产物无 `.sig`），以及复用 workspace 里残留的同名 DMG 让 `hdiutil create` 直接失败、残留旧 `.sig` 还可能让验签误通过——入口现在会在构建前删除本次将写出的确切产物并要求 `hdiutil -ov`。
+
+耗时构成：`CARGO_BUILD_JOBS=4` 时首次构建 78 分钟，提到 6 后 41–43 分钟，提到 8 进一步吃满节点；剩余时间主要花在主 crate 每个架构各一遍 codegen（每次 Tauri 构建都会重写前端 `dist`，触发 `build.rs` 重跑）。该优化点见 `docs/project-memory/shared-memory/pitfalls.md`，需单独设计。
+
+当前用户的 LaunchAgent 受登录、休眠与局域网连通性影响，不能视为长期无人值守构建机。该用户进程也不是权限沙箱，只能承接受信任仓库和 Job；不能把匹配标签当作隔离恶意构建的措施。节点注册、上线和首个 Job 的成功必须以控制器实时状态确认，脚本入库不代表管线已经接通。
+
 ### CI 宿主 CPU 上限（Jenkins 16 核 / Gitea Actions runner 12 核）
 
 `genarrative-station` 上 Jenkins Built-In Node 与 Gitea Actions runner 容器共用同一台 32 逻辑核宿主机，两路 CI 都必须有硬上限，避免构建期把机器顶满、让交互用户卡顿。Jenkins 固定 16 核（50%）：在宿主执行 `systemctl set-property jenkins.service CPUQuota=1600%`，立即生效且不需要重启 Jenkins，drop-in 落在 `/etc/systemd/system.control/jenkins.service.d/50-CPUQuota.conf`；该配额覆盖 Built-In Node 上所有子构建（Web / Api / Stdb 的 `npm ci`、Vitest、`tsc`、`cargo` 都跑在这台机器上），Deploy 阶段在远端 `genarrative-dev-deploy` / `genarrative-release-deploy` agent 执行，不受该上限约束。Gitea Actions runner 固定 12 核（37.5%）：`/opt/gitea-stack/compose.yml` 的 `runner.cpus` 为 `"12.0"`，调整运行中的容器用 `docker update --cpus=12 gitea-runner`（不重建容器、不中断在跑 job）；需要让容器配置与 compose 完全一致时，先确认 Gitea 没有 `in_progress` run，再 `cd /opt/gitea-stack && docker compose up -d runner`。
diff --git a/jenkins/Jenkinsfile.agc-global-version-issue b/jenkins/Jenkinsfile.agc-global-version-issue
index 62b43f220..b36fa6d19 100644
--- a/jenkins/Jenkinsfile.agc-global-version-issue
+++ b/jenkins/Jenkinsfile.agc-global-version-issue
@@ -15,6 +15,13 @@ pipeline {
     disableConcurrentBuilds()
     skipDefaultCheckout(true)
     buildDiscarder(logRotator(numToKeepStr: '100', artifactNumToKeepStr: '20'))
+    // Copy Artifact 保持 Production 权限模式：生产者必须显式授权消费者。
+    // 调度管线要 copy 本 Job 的 agc-global-version.txt 才能把总号透传给渠道构建；
+    // 缺这条授权时 copyArtifacts 会报「Unable to find project for artifact copy」，
+    // 整轮调度失败，且失败点在发号之后 —— 号已烧、Windows 也没被触发
+    // （2026-09-20 首次统一发号 #103 即命中）。改完本文件后必须先单独跑一次本 Job，
+    // 让 Declarative Pipeline 把 Job property 写回 Jenkins，再重跑调度。
+    copyArtifactPermission('Genarrative-Scheduled-Revision-Trigger')
   }
 
   environment {
diff --git a/jenkins/Jenkinsfile.ai-game-creator-shell-macos-build b/jenkins/Jenkinsfile.ai-game-creator-shell-macos-build
new file mode 100644
index 000000000..91bcfdc97
--- /dev/null
+++ b/jenkins/Jenkinsfile.ai-game-creator-shell-macos-build
@@ -0,0 +1,201 @@
+pipeline {
+  agent { label 'genarrative-agc-macos' }
+  options {
+    disableConcurrentBuilds()
+    skipDefaultCheckout(true)
+    // 实测参考：合并主线后的双架构构建 68.5 分钟、更早一次 78 分钟；节点是共用办公机，
+    // 冷 sccache + 机器被占用时会更慢，因此上限放到 150 分钟而不是贴着观测值。
+    timeout(time: 150, unit: 'MINUTES')
+    buildDiscarder(logRotator(numToKeepStr: '10', artifactNumToKeepStr: '3'))
+    timestamps()
+  }
+  parameters {
+    string(name: 'SOURCE_BRANCH', defaultValue: 'master', description: '必须含 universal 双架构依赖实现的受信任分支')
+    string(name: 'COMMIT_HASH', defaultValue: '', description: '可选，固定属于源码分支的提交；不递增应用版本')
+    string(name: 'AGC_UPDATE_CHANNEL', defaultValue: 'dev', description: 'AGC 发布渠道（基础名，不含系统）：dev、release 或自定义小写名称；写入的分区固定为 <channel>-mac')
+    string(name: 'AGC_RELEASE_VERSION', defaultValue: '', description: '可选三段版本号；留空则按 <channel>-mac 分区清单高水位递增 patch。首次发布建议显式指定，避免版本链回退')
+    booleanParam(name: 'AGC_RELEASE_DRY_RUN', defaultValue: false, description: '默认直接发布到 <channel>-mac 分区；勾选后只构建、验签并打印将上传的对象，不写 OSS（演练）')
+    booleanParam(name: 'SKIP_IF_SUPERSEDED', defaultValue: false, description: '置真时：本次 COMMIT_HASH 若已被源码分支推进，则直接跳过而不构建。调度器触发本 Job 时置真，避免节点离线期间排队的旧构建在恢复后发布过期版本')
+    string(name: 'AGC_UPDATE_RELEASE_NOTES', defaultValue: '', description: '可选单行更新摘要；留空则由发布脚本按提交自动汇总')
+    string(name: 'OSSUTIL_BIN', defaultValue: 'ossutil', description: 'ossutil 命令名或绝对路径（Mac 节点默认装在 ~/.local/bin/ossutil）')
+    string(name: 'CARGO_BUILD_JOBS', defaultValue: '8', description: '并行 rustc 任务数，默认吃满节点 8 核（4P+4E）。该值同时作为 rustc codegen 的 jobserver 令牌上限；节点只有 24 GB 内存且是日常办公机，若构建期间出现明显换页可临时调低。只影响本次构建')
+  }
+  environment {
+    GIT_REMOTE_URL = 'ssh://git@192.168.35.82:2222/GenarrativeAI/Genarrative.git'
+    GIT_REMOTE_CREDENTIAL_ID = 'genarrative-local-gitea-ssh'
+    AGC_OSS_BUCKET = 'agc-dev'
+    AGC_OSS_ENDPOINT = 'oss-rg-china-mainland.aliyuncs.com'
+    // 与 Linux 生产管线（api-build / stdb-module-build）对齐：Rust 编译走 sccache 对象缓存。
+    // 本 Job 是 universal 双架构（aarch64 + x86_64）各自独立编译，缓存收益约为单架构的两倍。
+    // 缓存根固定在 HOME 下的稳定目录，避免 WORKSPACE 重建导致近似冷构建；可用下面的变量覆盖。
+    GENARRATIVE_AGC_MACOS_CACHE_ROOT = 'caches/genarrative-jenkins/agc-macos'
+    RUSTC_WRAPPER = 'sccache'
+    SCCACHE_CACHE_SIZE = '20G'
+    CARGO_INCREMENTAL = '0'
+    // 不把节点用户名写进仓库：PATH 在下面的 shell 步骤里按 $HOME 展开。
+    AGC_EXTRA_PATH = '/opt/homebrew/bin:/usr/bin:/bin:/usr/sbin:/sbin'
+  }
+  stages {
+    stage('Checkout') {
+      steps {
+        // 只允许在专用 Agent 目录下构建：默认按约定匹配 $HOME/Library/Jenkins/agents/<node>/workspace/，
+        // 不写死某个节点名（节点改名后仍成立），也可用 AGC_AGENT_ROOT 显式覆盖。
+        // 目的是防止把开发 checkout 当成 Jenkins workspace。
+        sh '''
+          set -eu
+          if [ -n "${AGC_AGENT_ROOT:-}" ]; then
+            case "$WORKSPACE" in "$AGC_AGENT_ROOT"/workspace/*) ;; *) echo "拒绝非专用 Agent 工作区：$WORKSPACE"; exit 1;; esac
+          else
+            case "$WORKSPACE" in "$HOME"/Library/Jenkins/agents/*/workspace/*) ;; *) echo "拒绝非专用 Agent 工作区：$WORKSPACE"; exit 1;; esac
+          fi
+          test "$(uname -s)" = Darwin
+          git check-ref-format --branch "$SOURCE_BRANCH" >/dev/null
+        '''
+        withCredentials([sshUserPrivateKey(credentialsId: env.GIT_REMOTE_CREDENTIAL_ID, keyFileVariable: 'GIT_SSH_KEY', usernameVariable: 'GIT_SSH_USER')]) {
+          sh '''
+            set -eu
+            export GIT_SSH_COMMAND="ssh -i \\"$GIT_SSH_KEY\\" -o IdentitiesOnly=yes -o StrictHostKeyChecking=yes"
+            if [ ! -d .git ]; then
+              git init
+              git remote add origin "$GIT_REMOTE_URL"
+            fi
+            test "$(git remote get-url origin)" = "$GIT_REMOTE_URL"
+            git fetch --no-tags origin "+refs/heads/$SOURCE_BRANCH:refs/remotes/origin/$SOURCE_BRANCH"
+            # 同时取 master：渠道清单里的上一次发布 commit 落在 master 上，缺了它更新摘要会退化成
+            # 「最近客户端改动」。这一步只是摘要质量，失败不阻断发布。
+            git fetch --no-tags origin "+refs/heads/master:refs/remotes/origin/master" ||
+              echo '[agc-macos] 拉取 master 失败：本次更新摘要可能退化为最近提交列表。'
+            ref="refs/remotes/origin/$SOURCE_BRANCH"
+            if [ -n "$COMMIT_HASH" ]; then
+              case "$COMMIT_HASH" in *[!0-9a-fA-F]* ) echo 'COMMIT_HASH 必须为十六进制'; exit 1;; esac
+              test "${#COMMIT_HASH}" -ge 7 && test "${#COMMIT_HASH}" -le 40
+              git cat-file -e "$COMMIT_HASH^{commit}"
+              git merge-base --is-ancestor "$COMMIT_HASH" "$ref"
+              ref="$COMMIT_HASH"
+            fi
+            git reset --hard "$ref"
+            # 不清除 node_modules/target 缓存；被跟踪内容始终来自上述 commit。
+            git clean -fd
+            git rev-parse HEAD > .jenkins-source-commit
+            if [ "${SKIP_IF_SUPERSEDED}" = "true" ] && [ -n "$COMMIT_HASH" ]; then
+              latest="$(git rev-parse "refs/remotes/origin/$SOURCE_BRANCH")"
+              if [ "$latest" != "$(git rev-parse "$COMMIT_HASH^{commit}")" ]; then
+                # 只置标记，由后面的 when 条件统一收口；不在 shell 里 exit 0，
+                # 否则会带着旧 commit 继续往下构建。
+                echo "[agc-macos] 本次 commit 已被 $SOURCE_BRANCH 推进：$COMMIT_HASH -> $latest，跳过发布"
+                printf '%s' "$latest" > .jenkins-superseded-by
+              fi
+            fi
+          '''
+        }
+        script {
+          if (fileExists('.jenkins-superseded-by')) {
+            env.AGC_BUILD_SUPERSEDED = 'true'
+            currentBuild.result = 'NOT_BUILT'
+            currentBuild.description = "${env.COMMIT_HASH} 已被 ${env.SOURCE_BRANCH} 推进到 ${readFile('.jenkins-superseded-by').trim().take(12)}，跳过本轮发布"
+            echo currentBuild.description
+          }
+        }
+      }
+    }
+    stage('Toolchain and dependencies') {
+      when {
+        expression { return env.AGC_BUILD_SUPERSEDED != 'true' }
+      }
+      steps {
+        sh '''
+          set -eu
+          # LaunchAgent 只给最小 PATH：按 $HOME 展开工具链位置，不把节点用户名写进仓库。
+          export PATH="$HOME/.local/bin:$HOME/.cargo/bin:${AGC_EXTRA_PATH}"
+          test "$(uname -m)" = arm64
+          node --version
+          npm --version
+          cargo --version
+          xcrun --find clang
+          xcrun --find lipo
+          arch -x86_64 /usr/bin/uname -m
+          if command -v sccache >/dev/null 2>&1; then sccache --version; else echo '[agc-macos] 未找到 sccache；本次回退到 rustc 直接构建。'; fi
+          rustup target add aarch64-apple-darwin x86_64-apple-darwin
+          npm ci --no-audit --no-fund
+          node apps/ai-game-creator-shell/scripts/prepare-macos-codex.mjs
+        '''
+      }
+    }
+    stage('Package, verify and publish') {
+      when {
+        expression { return env.AGC_BUILD_SUPERSEDED != 'true' }
+      }
+      steps {
+        withCredentials([
+          string(credentialsId: 'AliyunAccessKeyId', variable: 'AGC_OSS_ACCESS_KEY_ID'),
+          string(credentialsId: 'AliyunaccessKeySecret', variable: 'AGC_OSS_ACCESS_KEY_SECRET'),
+          string(credentialsId: 'AgcUpdaterSigningKey', variable: 'TAURI_SIGNING_PRIVATE_KEY'),
+          string(credentialsId: 'AgcUpdaterSigningKeyPassword', variable: 'TAURI_SIGNING_PRIVATE_KEY_PASSWORD'),
+        ]) {
+          withEnv([
+            "OSSUTIL_BIN=${params.OSSUTIL_BIN}",
+            "CARGO_BUILD_JOBS=${params.CARGO_BUILD_JOBS}",
+            "AGC_UPDATE_CHANNEL=${params.AGC_UPDATE_CHANNEL}",
+            "AGC_RELEASE_VERSION=${params.AGC_RELEASE_VERSION}",
+            "AGC_RELEASE_DRY_RUN=${params.AGC_RELEASE_DRY_RUN ? '1' : '0'}",
+            "AGC_UPDATE_RELEASE_NOTES=${params.AGC_UPDATE_RELEASE_NOTES}",
+          ]) {
+            sh '''
+            set -eu
+            export PATH="$HOME/.local/bin:$HOME/.cargo/bin:${AGC_EXTRA_PATH}"
+            echo "[agc-macos] 渠道=${AGC_UPDATE_CHANNEL} 分区=${AGC_UPDATE_CHANNEL}-mac 目标=universal-apple-darwin dry-run=${AGC_RELEASE_DRY_RUN}"
+              ossutil_bin="${OSSUTIL_BIN:-ossutil}"
+              if command -v "${ossutil_bin}" >/dev/null 2>&1; then
+                "${ossutil_bin}" --version | head -1
+              elif [ "${AGC_RELEASE_DRY_RUN}" = "1" ]; then
+                echo "[agc-macos] dry-run：未找到 ${ossutil_bin}，只打印上传计划，不写 OSS"
+              else
+                echo "[agc-macos] 正式发布缺少 ossutil：${ossutil_bin}；请安装或指定 OSSUTIL_BIN"
+                exit 1
+              fi
+              cache_root="${GENARRATIVE_AGC_MACOS_CACHE_ROOT:-caches/genarrative-jenkins/agc-macos}"
+              case "${cache_root}" in /*) ;; *) cache_root="${HOME:?HOME 不能为空}/${cache_root}" ;; esac
+              if command -v sccache >/dev/null 2>&1; then
+                export SCCACHE_DIR="${cache_root}/sccache"
+                mkdir -p "${SCCACHE_DIR}"
+                echo "[agc-macos] sccache 缓存目录: ${SCCACHE_DIR}"
+              else
+                echo '[agc-macos] 未找到 sccache，改用 rustc 直接构建。'
+                unset RUSTC_WRAPPER
+              fi
+              node --test apps/ai-game-creator-shell/scripts/prepare-macos-codex.test.mjs
+              node --test apps/ai-game-creator-shell/scripts/verify-updater-signature.test.mjs
+              node --test apps/ai-game-creator-shell/scripts/build-release.test.mjs apps/ai-game-creator-shell/scripts/cargo-features.test.mjs
+              node apps/ai-game-creator-shell/scripts/build-macos-ci.mjs
+              if command -v sccache >/dev/null 2>&1; then
+                echo '[agc-macos] sccache 统计（自 server 启动累计）:'
+                sccache --show-stats 2>&1 | sed -n '1,6p'
+              fi
+            '''
+          }
+        }
+      }
+    }
+    stage('Archive release') {
+      when {
+        expression { return env.AGC_BUILD_SUPERSEDED != 'true' }
+      }
+      steps {
+        archiveArtifacts artifacts: 'artifacts/*.dmg,artifacts/*.sha256,artifacts/latest.json,artifacts/*.sig,artifacts/release-notes.txt,artifacts/build-manifest.json,.jenkins-source-commit', fingerprint: true, allowEmptyArchive: false
+      }
+    }
+  }
+  post {
+    failure {
+      echo 'macOS 发布失败：先看本构建控制台末尾。常见原因——更新包缺 .sig（误传 --no-sign 或签名私钥未注入）、DMG 幂等失败（workspace 残留同名产物）、可用空间低于 8 GiB、以及被 SKIP_IF_SUPERSEDED 之外的提交校验拒绝。'
+    }
+    aborted {
+      echo 'macOS 发布被中断（超时或人工中止）：构建未走到归档阶段时不会有任何产物，也不会写 OSS。'
+    }
+    success {
+      echo params.AGC_RELEASE_DRY_RUN
+        ? 'macOS universal 渠道演练完成：已构建、验签并生成清单，未写入 OSS；Apple 签名与公证暂缺。'
+        : "macOS universal 更新包、签名、首装包与 ${params.AGC_UPDATE_CHANNEL}-mac 分区清单已上传 OSS；Apple 签名与公证暂缺，首装需手动放行。"
+    }
+  }
+}
diff --git a/jenkins/Jenkinsfile.scheduled-revision-trigger b/jenkins/Jenkinsfile.scheduled-revision-trigger
index d3213b016..46aa861fe 100644
--- a/jenkins/Jenkinsfile.scheduled-revision-trigger
+++ b/jenkins/Jenkinsfile.scheduled-revision-trigger
@@ -1,5 +1,5 @@
 // 定时版本调度管线：解析远端分支版本，只有和上一次触发过的版本不同时，
-// 才用同一个固定 commit 触发 Full Build 与 AGC Windows Build 两个下游管线。
+// 才用同一个固定 commit 触发 Full Build、AGC 发号与 AGC Windows/macOS 渠道构建。
 pipeline {
   agent {
     label 'linux && genarrative-build'
@@ -20,6 +20,7 @@ pipeline {
     GIT_REMOTE_CREDENTIAL_ID = 'genarrative-local-gitea-ssh'
     FULL_BUILD_JOB_NAME = 'Genarrative-Full-Build-And-Deploy'
     AGC_BUILD_JOB_NAME = 'Genarrative-Agc-Windows-Build'
+    AGC_MACOS_BUILD_JOB_NAME = 'Genarrative-Agc-MacOS-Build'
     AGC_GLOBAL_VERSION_JOB_NAME = 'Genarrative-Agc-Global-Version-Issue'
     AGC_GLOBAL_VERSION_ARTIFACT = 'agc-global-version.txt'
     REVISION_STATE_FILE = '.jenkins-last-triggered-revision'
@@ -177,6 +178,18 @@ pipeline {
               string(name: 'AGC_RELEASE_VERSION', value: env.AGC_GLOBAL_VERSION),
             ]
             build job: env.AGC_BUILD_JOB_NAME, wait: false, propagate: false, parameters: agcParameters
+            // macOS 与 Windows 共用发号 Job 下发的同一个总号：调度只透传号与固定 revision，
+            // 不允许 Mac 侧自行发号，否则同一轮两个平台会拿到不同的号。
+            def agcMacosParameters = [
+              string(name: 'SOURCE_BRANCH', value: env.SOURCE_BRANCH),
+              string(name: 'COMMIT_HASH', value: pinnedRevision),
+              string(name: 'AGC_UPDATE_CHANNEL', value: 'dev'),
+              string(name: 'AGC_RELEASE_VERSION', value: env.AGC_GLOBAL_VERSION),
+              // Mac 节点是办公机：离线期间排队的旧构建在节点回来后必须自行让位，
+              // 不允许发布一轮已经过期的版本。
+              booleanParam(name: 'SKIP_IF_SUPERSEDED', value: true),
+            ]
+            build job: env.AGC_MACOS_BUILD_JOB_NAME, wait: false, propagate: false, parameters: agcMacosParameters
             agcTriggered = true
           } else {
             echo "本轮提交不含 AGC 相关路径，跳过 ${env.AGC_BUILD_JOB_NAME}；需要强制发布时勾选 FORCE_TRIGGER"
@@ -185,6 +198,7 @@ pipeline {
           def triggered = []
           if (fullTriggered) { triggered.add(env.FULL_BUILD_JOB_NAME) }
           if (agcTriggered) { triggered.add(env.AGC_BUILD_JOB_NAME) }
+          if (agcTriggered) { triggered.add(env.AGC_MACOS_BUILD_JOB_NAME) }
           def target = "${env.SOURCE_BRANCH}@${pinnedRevision.take(12)}"
           currentBuild.description = triggered.isEmpty()
             ? "本轮提交与两条下游都无关，未触发任何发布：${target}"
diff --git a/scripts/check-production-ops-guardrails.mjs b/scripts/check-production-ops-guardrails.mjs
index 998b8dec2..442768df5 100644
--- a/scripts/check-production-ops-guardrails.mjs
+++ b/scripts/check-production-ops-guardrails.mjs
@@ -42,6 +42,13 @@ const checks = [
     reason:
       'Copy Artifact Production 模式下，API Build 必须显式授权 API Deploy 读取归档。',
   },
+  {
+    file: 'jenkins/Jenkinsfile.agc-global-version-issue',
+    includes:
+      "copyArtifactPermission('Genarrative-Scheduled-Revision-Trigger')",
+    reason:
+      'Copy Artifact Production 模式下，AGC 发号 Job 必须显式授权调度管线读取 agc-global-version.txt，否则整轮调度会在 copyArtifacts 处失败。',
+  },
   {
     file: 'jenkins/Jenkinsfile.production-stdb-module-build',
     includes: 'npm run check:rustfmt',
@@ -7723,6 +7730,18 @@ for (const [snippet, reason] of [
     "AGC_GLOBAL_VERSION_ARTIFACT = 'agc-global-version.txt'",
     '必须从发号 Job 的归档产物读取总版本号',
   ],
+  [
+    "AGC_MACOS_BUILD_JOB_NAME = 'Genarrative-Agc-MacOS-Build'",
+    '必须把 macOS 渠道构建纳入同一轮调度',
+  ],
+  [
+    'build job: env.AGC_MACOS_BUILD_JOB_NAME, wait: false, propagate: false, parameters: agcMacosParameters',
+    '必须用独立参数列表触发 macOS 渠道构建（pinnedParameters 只允许 Full Build 使用一次）',
+  ],
+  [
+    "booleanParam(name: 'SKIP_IF_SUPERSEDED', value: true)",
+    '必须让节点离线期间排队的 macOS 旧构建自行让位，不发布过期版本',
+  ],
 ]) {
   if (!scheduledRevisionTriggerContent.includes(snippet)) {
     failed = true;