收紧移动图片选择器参数门禁

锁定图片导入和拍摄 picker 只允许 images 媒体类型

要求 picker 禁用编辑和 EXIF 并返回 base64 原始图片数据

同步移动图片导入与拍摄边界记录

apps/mobile-shell/scripts/check-config.mjs

@@ -1526,6 +1526,28 @@ for (const snippet of [
     throw new Error(`mobile shell HostBridge missing ${snippet}`);
   }
 }
+
+for (const [functionName, pickerCall] of [
+  ['importImageFile', 'ImagePicker.launchImageLibraryAsync({'],
+  ['captureImageFile', 'ImagePicker.launchCameraAsync({'],
+]) {
+  const functionBody = extractFunctionBody(hostBridgeSource, functionName);
+  for (const requiredPickerOption of [
+    pickerCall,
+    'allowsEditing: false',
+    'base64: true',
+    'exif: false',
+    "mediaTypes: ['images']",
+    'quality: 1',
+  ]) {
+    if (!functionBody.includes(requiredPickerOption)) {
+      throw new Error(
+        `mobile shell ${functionName} picker options missing ${requiredPickerOption}`,
+      );
+    }
+  }
+}
+
 if (
   !hostBridgeSource.includes(
     'const externalUrlPayload = normalizeHostBridgeExternalUrlPayload(',

docs/project-memory/shared-memory/decision-log.md

@@ -50,8 +50,8 @@
 - 2026-06-18 移动壳 H5 返回栈事件：Expo 壳开始用固定 WebView 注入脚本追踪当前 H5 文档内的 `pushState` / `replaceState` / `popstate` 路由栈，并通过内部 `genarrative.mobile.historyState` 消息回传给壳层；壳层把该状态与 `react-native-webview` 原生 `canGoBack` 合成为 HostBridge `navigation.canGoBack` 事件。Android 返回键优先回退 H5 当前文档路由栈，H5 不可回退时才走 WebView 原生 `goBack()`；该内部消息不是 HostBridge request method，不开放通用 H5 -> 原生事件通道，外域 / 危险页面消息仍在进入 HostBridge 前丢弃。
 - 2026-06-18 外部生成队列轮询接入宿主网络状态：H5 新增 `useHostNetworkOnline()`，宿主未声明网络能力时按在线处理以保持浏览器和旧壳行为；宿主明确 `isConnected=false` 或 `isInternetReachable=false` 时，平台外部生成队列概览暂停 HTTP 轮询，恢复在线后重新刷新。该能力只减少离线请求，不改变外部生成队列、作品架、弹窗或后端任务状态事实。
 - 2026-06-18 桌面图片导入：新增 `file.importImage` 与 `file.imageDropped` HostBridge capability，Tauri 壳通过系统文件选择框和主窗口拖拽事件读取用户选择 / 拖入的真实图片，只允许 `image/png`、`image/jpeg`、`image/webp` 且单次不超过 10 MiB；H5 统一使用 `importHostImageFile()` / `subscribeHostImageDrop()`，宿主只回传文件名、MIME、base64 内容、字节数和可选坐标，不暴露本地绝对路径，也不开放通用文件系统。
-- 2026-06-18 移动图片导入：Expo 壳开始声明并实现 `file.importImage`，通过 `expo-image-picker` 请求相册权限并打开系统相册选择器，只允许 `image/png`、`image/jpeg`、`image/webp` 且单次不超过 10 MiB；成功只回传清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI，用户取消返回 `cancelled` 并由 H5 facade 归为 `false`。
-- 2026-06-18 移动图片拍摄导入：Expo 壳新增 `file.captureImage` HostBridge capability，通过 `expo-image-picker` 请求相机权限并打开系统相机拍摄图片，沿用 `file.importImage` 的 MIME、体积、base64 和文件名清洗规则，成功回传 `action=captured`，不暴露设备本地 URI；该拍摄能力不使用麦克风权限，移动壳麦克风权限只服务同源 H5 实时玩法。Tauri 壳不声明该能力，不伪造桌面拍摄。
+- 2026-06-18 移动图片导入：Expo 壳开始声明并实现 `file.importImage`，通过 `expo-image-picker` 请求相册权限并打开系统相册选择器，只允许 `image/png`、`image/jpeg`、`image/webp` 且单次不超过 10 MiB；picker 调用必须固定为单选、禁用编辑、禁用 EXIF、请求 base64 且 `mediaTypes` 只允许 `images`，不得扩大到视频或任意媒体。成功只回传清洗后的文件名、MIME、base64 内容和字节数，不暴露设备本地 URI，用户取消返回 `cancelled` 并由 H5 facade 归为 `false`。
+- 2026-06-18 移动图片拍摄导入：Expo 壳新增 `file.captureImage` HostBridge capability，通过 `expo-image-picker` 请求相机权限并打开系统相机拍摄图片，沿用 `file.importImage` 的 MIME、体积、base64 和文件名清洗规则；相机 picker 必须禁用编辑、禁用 EXIF、请求 base64 且 `mediaTypes` 只允许 `images`，成功回传 `action=captured`，不暴露设备本地 URI；该拍摄能力不使用麦克风权限，移动壳麦克风权限只服务同源 H5 实时玩法。Tauri 壳不声明该能力，不伪造桌面拍摄。
 - 2026-06-19 移动二维码扫描：Expo 壳新增 `scanner.scanQrCode` HostBridge capability，通过 `expo-camera` 请求相机权限并打开真实扫码 overlay，成功只返回共享契约清洗后的二维码文本和 `qr_code` 格式，空值、控制字符和超长文本按 `normalizeHostBridgeQrCodeValue` 处理；用户关闭扫码返回 `cancelled`，H5 个人中心扫码入口不再连带弹出浏览器摄像头权限。Tauri 桌面壳只把 `scanner.scanQrCode` 保留在 method 白名单中返回 `unsupported_method`，不声明 capability、不伪造桌面扫码；宿主缺能力或非法结果时 H5 继续走原浏览器扫码 fallback。
 - 2026-06-18 H5 图片上传接入宿主导入：`CreativeImageInputPanel` 在 `native_app` 且声明 `file.importImage` / `file.captureImage` 时，主图上传和描述参考图上传可分别调用 `importHostImageFile()` / `captureHostImageFile()`，并把宿主返回的 base64 图片转换为现有 `File` 回调；浏览器、小程序和未声明能力的裁剪壳继续走原生 `<input type="file">` 路径，不新增玩法侧上传分叉。
 - 2026-06-18 移动壳安全区：Expo 壳根布局使用 `react-native-safe-area-context` 的 `SafeAreaProvider` 与四边 `SafeAreaView` 保护 WebView，避免 H5 主站内容贴进 iOS 刘海、底部 Home Indicator、Android 状态栏或横屏边缘；该能力属于宿主壳布局保护，不新增 H5 占位 UI，不改变玩法 runtime 或 HostBridge capability。