Fix Issue 549 (#573)

账户素材超过 500 项时，AGC 曾在筛选和分页前直接拒绝整个素材库，导致查询、预览和指定 ID 导入不可用。本 PR 移除账户素材总量及账户分页 offset=500 的客户端限制，允许大库继续使用现有客户端筛选分页。 Closes #549 ## 实现范围 - 移除账户素材库原始条数超过 500 的拒绝，以及 MCP schema、桥接、Runtime 执行层和原生函数 strict schema 的账户分页 offset 上限。 - 保留单页最多 100 项、导入批次数量与下载体积、媒体类型、账号归属、权限及会话校验。项目文件查询的 offset 上限和绑定项目画布资源的数量上限保持原有契约。 - 账户素材 UI 列表、预览及指定 ID 导入同步恢复可用。 - 修复真实账户导入时，在持有身份租约期间重复读取会话互斥锁造成的自锁；写入前校验和覆盖写入过程的身份租约继续保留。 - 同步工具说明、技术方案与排障记录。服务端仍返回全库，传输和解析开销另由 #574 跟进，不作为本 PR 的验收前置条件。 ## 验收以下已完成项表示本地自动化与代码核查通过，不代表线上真实账号验收。 - [x] 覆盖 500/501 项素材库解析；503 张静态图片及 1 项不支持媒体的模拟素材库可正常工作。 - [x] MCP 查询支持 limit=1、folderId、query 和 offset>500；nextOffset、末页、越界空页及默认每页 100 项符合现有契约。 - [x] 直接调用 Runtime 执行层时 offset=501 可查询；MCP schema 与参数校验一致，仍拒绝负数、非整数 offset 和 limit>100。这项不覆盖 Runtime 下发给模型的原生函数 schema。 - [x] Runtime 原生函数 asset.library.list 的 strict schema 允许 offset>500；实际下发的完整函数参数已验证 offset=501/600/10000、null 可用，负数/非整数偏移及超界页长拒绝。补丁已提交并推送：41e2cc0b5。 - [x] 共用读取链路的 UI 素材列表和预览在大库场景可用。 - [x] 指定有效 assetId 完成实际下载、本地文件写入及 manifest/revision 更新；重复导入保持幂等。 - [x] 模拟素材库中的不存在 ID 和不支持媒体被拒绝，且不改变 manifest；返回 Agent 的当前页元数据不泄露媒体地址、对象键或凭据。 - [x] 会话退出、账号切换、凭据刷新、身份租约和取消写入相关定向测试通过。 - [x] 工具说明、技术方案和共享排障文档已同步；项目文件与画布资源原有独立边界已核对保留。 - [ ] 真实平台账号联调：超过 500 项素材时查询、预览和导入，以及实际删除、跨账号、无权限素材的拒绝行为。 ## 验证证据 - 账户素材、导入、参数校验、项目文件、取消写入与平台会话定向 Rust 测试：33 项通过。 - runtime_prompt_bundle_build：17 项通过；prompt_source_boundaries：6 项通过。合计 56 项通过。 - Rust 格式检查、npm run check:encoding、npm run check:doc-index、git diff --check 通过。 - 以上 Rust 测试在快进 master 前运行；快进至 44f415d05 后已核对本次代码及工具文本与已测试版本一致，并再次通过编码、文档索引、差异检查和提交时 Rust 格式检查。 - 未运行全量测试，未做真实线上账号或付费操作验证。初次修复提交：697f421e570606d0519f952a0a5689b5f639f902；原生函数 schema 审查补丁：41e2cc0b57b7f9f5faf06546c1f6108e88380ac3（已推送）。 - 审查补丁验证：24 项定向 Rust 测试通过，覆盖全部 agent_native_tools 测试、大库查询/导入和修正后的旧流式结果测试；格式、编码、文档索引、差异检查、提交及推送检查通过。本轮未重复全量测试，未做真实模型或线上账号调用。 Reviewed-on: #573
2026-10-01 20:55:28 +08:00
parent d74b2c003c
commit ded9f13f02
9 changed files with 334 additions and 36 deletions
@@ -15,6 +15,14 @@
 - **处理**：线上只收敛 SPA allowlist（12 条，含 `/profile`）并补 `error_page 404 /404.html`；host-only 块收进 `deploy/nginx/snippets/genarrative-host-extras.conf`，由主模板 include、由 `Genarrative-Server-Provision` 安装。退役路由不进白名单，也不需要显式 404 配置，落 `location /` 即得品牌 404（非 HTML 客户端保持纯 404）。
 - **判据/取证**：改前 `grep -c profile /etc/nginx/conf.d/genarrative.conf` 为 0；改后 `curl -s -o /dev/null -w '%{http_code}' https://www.genarrative.world/profile` 为 200（正文 sha 与 `/` 一致），`sudo nginx -T | grep -c 'editor/canvas|profile|project'` 为 1，`match3d` 计数为 0。
 - **长期口径**：任何 SPA/路由白名单改动都要同时核对**生效配置**（`sudo nginx -T`）与仓库模板；线上主站 vhost 只由模板 + `genarrative-host-extras.conf` 生成，不再手工追加路由。snippet 内的 location 不在 Pingora 路由矩阵覆盖范围，Pingora 接公网 443 前要单独确认这些 host-only 路径。
+
+## 2026-10-01 AGC 账户总量门槛会阻断单项查询与导入
+
+- 账户素材库接口当前返回全量快照；客户端不能以全库条数代替单次查询、返回或导入的资源边界。原先在解析阶段拒绝超过 500 项，会让 `limit=1` 和指定 ID 导入一起失效，且检查发生在下载和 JSON 解析之后，不能保护这两步开销。
+- 账户查询允许偏移超过 500，仍按单页最多 100 项返回安全元数据。修改时同步 MCP schema/校验、Direct 工具桥、Runtime 执行层及 `agent_native_tools.rs` 下发的 strict 原生函数 schema；仅直接调用 observation 会绕过模型侧参数约束，无法证明后续页可达，必须验证实际生成的函数参数 schema。共享分页函数的项目文件调用方仍保留自己的范围，画布资源数量边界独立维护。
+- 实际平台会话导入还需避免在身份租约内再次调用会话读取/校验：租约持有非重入互斥锁，提交 helper 重复校验会等待自身释放。下载后校验并取得租约，持有至本地提交完成即可；不能用无平台会话的提交夹具替代完整导入链路验证。
+- 后端有界分页与按 ID 读取由 #574 跟进，不作为 #549 客户端恢复可用的前置条件。当前合同与验证入口见 [AGC 实施计划](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md) 的“账户 / 项目画布 / 本地素材导入”。
+
 ## 2026-09-30 构建期 staging 撞上不装 npm 依赖的 Linux 门禁：AGC 壳 Rust lane 全红

 - **现象**：`Project CI` 的 AGC 壳 Rust 三条 lane（`npm run check:native-shells:agc-rust-shard-*`）在 `fb130d184` 之后全部失败，日志只有 `error: failed to run custom build command for genarrative-ai-game-creator-shell` 与 `thread 'main' panicked at build.rs:65:28: Claude Agent SDK 缺失；请先执行 npm ci`（run 3083 / job 17521 实测，1 分钟即失败）。
@@ -505,6 +505,11 @@ npm 游戏的可预览产物固定为对应 package 目录下的 `dist/index.htm

 ## 2026-08-25 账户 / 项目画布 / 本地素材导入

+- 账户素材库总量不作为客户端查询、预览或按 ID 导入的拒绝条件。账户查询继续先读取后端快照，再按静态图片、文件夹与关键词筛选并分页；`offset` 接受可表示的非负整数，超过结果总数返回空页，`limit` 保持 1–100（默认 100），结果保留 `total / offset / limit / nextOffset`。Direct MCP 的关键词匹配素材名或文件夹名，Runtime 保留现有素材名匹配语义。
+- Runtime 下发给模型的 `asset.library.list` strict 原生函数 schema 必须与执行层分页边界一致；验收须校验 `build_agent_runtime_native_function_tools` 生成的完整函数参数，确认 `offset=501/600` 可用、负数和非整数偏移及 `limit>100` 被拒绝，同时保留可选字段的 `null` 语义。直接调用 observation 函数不能替代模型可见 schema 的验证；定向用例为 `account_asset_native_function_schema_accepts_later_pages`。
+- 账户查询只把当前页安全元数据作为工具文本返回，不把全库作为附件交给 Agent。指定 ID 导入仍先读取账号快照再选取目标；单批数量、下载体积、账号/项目归属、会话、媒体类型和原子登记校验保持有效。绑定画布资源数量与项目文件发现的既有边界不随账户总量限制解除而放宽。无需后端 API、DTO、数据库或持久化迁移；全库传输与解析开销由后续 #574 的服务端分页及按 ID 读取处理，不阻塞 #549 的客户端修复。
+- 平台账号导入在下载后重新校验会话并取得身份租约，租约覆盖本地写入、manifest 登记与 revision 推进；提交过程不得再次读取同一登录态互斥锁，避免在身份保护内自锁。身份变更仍须在取得租约时拒绝，取消写入许可仍不得写入。
+- 验收覆盖 500/501 项账户快照、按文件夹/关键词查询、偏移超过 500 的后续页、越界空页和大库指定 ID 导入，并复核无效 ID/不支持媒体拒绝、安全投影、取消写入和账号切换。使用 `agent_asset_import_tests`、`account_asset`、`semantic_resource_tools_reject_unreviewed_or_inconsistent_arguments`、`cancelled_import_write_permit`、`platform_session::tests` 定向 Rust 用例及提示词合同测试；模拟平台证据与真实账号验证分别记录。
 - 素材读取区分三类来源：`asset.list` / `agc_list_registered_assets` 是当前项目本地 manifest，`agc_list_project_files` / `file.list` 只发现项目目录中实际存在但可能未登记的文件，`asset.library.list` 是当前登录账号素材库，项目画布资源读取是当前网页项目/画布的完整图片清单；账户素材库不能替代项目画布清单。
 - Agent 只接收稳定素材 ID、类型、尺寸和项目相对路径等安全投影。客户端负责重新校验账号/项目归属、换签下载、媒体校验，以及 manifest/画布原子登记；不得向 Agent 暴露绝对路径、签名 URL、objectKey、token 或 Cookie。
 - `canvas.asset_import` 支持账户/画布资源 ID 和项目内本地相对路径。项目文件发现结果以 `assetImportable` 明确区分当前可登记的已识别图片、字体、音频、视频、文档、代码与**引擎资源**（Cocos Creator 的模型、动画、场景/预制体、材质/特效、图集与压缩纹理容器）与其它文件；Agent 只能提交前者。引擎资源在资源画布上是**只读预览**：模型出缩略图、序列化资源出结构摘要、客户端解不了的容器出类型卡，不承接编辑与派生；`.meta`、`library/`、`temp/` 等引擎生成物仍然只可发现、不可登记。导入拒绝路径穿越、`.agent`、符号链接/reparse point 及敏感配置文件；外部宿主文件须由 UI 原生文件选择器授权后导入，不开放任意绝对路径。