收口移动壳系统深链声明

移动壳源配置门禁锁定唯一 iOS associated domain

Expo public config 烟测锁定唯一 Android App Link 过滤器

宿主壳方案文档补充深链接管范围约束

共享决策日志记录移动壳系统深链声明边界

docs/project-memory/shared-memory/decision-log.md

@@ -2431,6 +2431,13 @@
 - 影响范围：移动壳配置检查、根依赖边界和 Expo / Tauri HostBridge 方案文档。
 - 验证方式：`npm run check:native-shells`、`npm run typecheck`、`npm run check:encoding`、`git diff --check`。
 
+## 2026-06-18 移动壳系统深链声明收口
+
+- 背景：移动壳已经通过运行时归一限制 deep link 只能进入同源 H5 路径，但 iOS associated domains 和 Android intent filter 也属于安装包级接管范围；如果后续只做“包含主站”校验，安装包可能额外接管外域、明文协议或更宽路径。
+- 决策：Expo 源配置和 Expo CLI public config 都必须把 iOS `associatedDomains` 固定为唯一 `applinks:app.genarrative.world`；Android `intentFilters` 固定为唯一 `VIEW` / `autoVerify=true` 的 App Link 过滤器，category 只能是 `BROWSABLE` 和 `DEFAULT`，data 只能包含 `scheme=https` 与 `host=app.genarrative.world`，不得声明额外 domain、protocol、pathPattern 或其它接管范围。运行时 deep link 继续只映射同源路径并附加 HostBridge 上下文。
+- 影响范围：`apps/mobile-shell/app.json`、`apps/mobile-shell/scripts/check-config.mjs`、`apps/mobile-shell/scripts/check-expo-config.mjs`、Expo / Tauri HostBridge 方案文档。
+- 验证方式：`npm run check:native-shells`、`npm run typecheck`、`npm run check:encoding`、`git diff --check`。
+
 ## 2026-06-18 原生 HostBridge 入站消息来源收口
 
 - 背景：H5 主站会同时承载原生壳 HostBridge 和后续 AI H5 sandbox / GameBridge；如果 H5 侧只按 JSON envelope 识别 HostBridge response / event，sandbox iframe 可以构造同形 `postMessage` 干扰待处理宿主请求或伪造宿主事件。