diff --git a/docs/project-memory/shared-memory/decision-log.md b/docs/project-memory/shared-memory/decision-log.md
index c08b3b18a..7f74d7876 100644
--- a/docs/project-memory/shared-memory/decision-log.md
+++ b/docs/project-memory/shared-memory/decision-log.md
@@ -87,7 +87,7 @@
 - 2026-06-18 HostBridge method 白名单跨壳门禁：`packages/shared/src/contracts/hostBridge.ts` 的 `HOST_BRIDGE_METHODS` 是唯一协议来源；Expo 壳 HostBridge 分发不得处理共享契约外 method，Tauri 壳 Rust `HOST_BRIDGE_METHODS` 必须与共享契约逐项一致。新增宿主 method 必须先更新共享契约，再落两端壳实现或明确 unsupported。
 - 2026-06-18 HostBridge capability / handler 关系门禁：两端壳声明 request method capability 时必须有对应 HostBridge handler；壳 handler 处理的 method 必须已被该壳声明，登录 / 支付等 SDK-backed method 只能保留明确 `unsupported_method` 路径。事件类 capability 不要求 request handler。
 - 2026-06-18 桌面壳 CSP 分层：Tauri release `csp` 不得包含 `http://127.0.0.1:*`、`ws://127.0.0.1:*` 或其它本机调试源，本机 Vite、HMR WebSocket 和开发 frame 只允许出现在 `devCsp`。桌面壳配置检查会同时拒绝 release CSP 混入本机调试源、dev CSP 缺失本机开发源，以及 release / dev CSP 加入 `unsafe-eval`、`tauri:` 或 `file:`。
-- 2026-06-18 壳生产代码禁用临时替身：微信 / Expo / Tauri 三端壳的生产源码和配置不得出现 mock / fake / placeholder / stub / TODO / FIXME 以及对应中文脚手架词；测试文件仍可使用 mock。两端原生壳配置检查会扫描生产入口、配置和壳实现，根级 `npm run check:native-shells` 会统一扫描 `miniprogram`、`apps/mobile-shell` 与 `apps/desktop-shell` 生产源码，防止把临时替身、占位文案或伪实现带进可分发壳。
+- 2026-06-18 壳生产代码禁用临时替身：微信 / Expo / Tauri 三端壳的生产源码和配置不得出现 mock / fake / placeholder / stub / TODO / FIXME 以及对应中文脚手架词；测试文件仍可使用 mock。两端原生壳配置检查会扫描生产入口、配置和壳实现，根级 `npm run check:native-shells` 会统一扫描 `miniprogram`、`apps/mobile-shell`、`apps/desktop-shell`、H5 HostBridge transport 和共享 HostBridge 契约生产源码，防止把临时替身、占位文案或伪实现带进可分发壳或真实调用链。
 - 2026-06-18 原生壳本地生成物边界：Expo `.expo/`、Expo export smoke 临时目录、Tauri `target/`、Tauri schema `gen/` 和 Tauri 自动生成权限目录都必须保持 gitignored，不作为生产源码敏感词扫描输入；手写 capability / 权限配置仍在扫描范围内。
 - 2026-06-18 移动壳启动页与 adaptive icon：Expo 移动壳启动页和 Android adaptive icon 复用现有真实品牌图标 `apps/mobile-shell/assets/icon.png`，背景色固定为 H5 壳根背景 `#fffdf9`。该 PNG 是 1024x1024 RGBA 透明前景品牌资产，不新增占位图；配置检查会校验图标尺寸、透明像素、splash 和 adaptive icon 指向，避免后续换成非品牌或占位素材。
 - 2026-06-18 桌面壳 bundle 图标集：Tauri 桌面壳从现有真实品牌 PNG `apps/desktop-shell/src-tauri/icons/icon.png` 派生 `32x32.png`、`128x128.png`、`128x128@2x.png`、`icon.ico` 和 `icon.icns`，并在 `bundle.icon` 中同时声明这些平台图标。检查脚本会校验 PNG 尺寸、ICO 多尺寸头部、ICNS 容器长度和 bundle 图标列表，避免后续退回单图标或替换为非品牌 / 占位素材。
diff --git a/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md b/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
index 29bdb7a66..985112b92 100644
--- a/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
+++ b/docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md
@@ -428,7 +428,7 @@ GameBridge 禁止：
 
 2026-06-18 追加：登录 / 支付能力伪声明进入门禁。`auth.requestLogin` 和 `payment.request` 保留在共享 HostBridge 契约中供未来真实接入，但 Expo 与 Tauri 壳在没有真实 SDK、渠道流程和后端契约前不得声明这些 capability，也不得把它们写入 `hostCapabilities`；请求到达壳层时必须返回明确 `unsupported_method`，让 H5 fallback 承接。两端壳测试会直接覆盖这两个 method，避免后续半接入时返回伪成功。
 
-2026-06-18 追加：微信 / Expo / Tauri 三端壳的生产源码和配置禁止出现 mock / fake / placeholder / stub / TODO / FIXME 以及对应中文脚手架词；测试文件仍可使用 `vi.mock` 或等价测试替身。`apps/mobile-shell/scripts/check-config.mjs` 与 `apps/desktop-shell/scripts/check-config.mjs` 会扫描各自生产入口、配置和壳实现；根级 `npm run check:native-shells` 会统一扫描 `miniprogram`、`apps/mobile-shell` 与 `apps/desktop-shell` 的生产源码，防止把临时替身或占位文案带进可分发壳。
+2026-06-18 追加：微信 / Expo / Tauri 三端壳的生产源码和配置禁止出现 mock / fake / placeholder / stub / TODO / FIXME 以及对应中文脚手架词；测试文件仍可使用 `vi.mock` 或等价测试替身。`apps/mobile-shell/scripts/check-config.mjs` 与 `apps/desktop-shell/scripts/check-config.mjs` 会扫描各自生产入口、配置和壳实现；根级 `npm run check:native-shells` 会统一扫描 `miniprogram`、`apps/mobile-shell`、`apps/desktop-shell`、H5 HostBridge transport 和共享 HostBridge 契约生产源码，防止把临时替身或占位文案带进可分发壳或真实调用链。
 
 2026-06-18 追加：微信壳行为测试进入原生壳统一验收。`npm run check:native-shells` 会运行 `miniprogram/host-bridge/`、`miniprogram/shell/`、`pages/web-view` 样式和 `scripts/miniprogram-web-view-auth.test.ts` 测试，覆盖微信 WebView 入口、登录触发、分享目标、支付结果、订阅消息结果和九宫切图桥接行为；三端桥接层文件结构检查只锁定职责边界，真实行为回归必须由同一门禁中的微信壳测试证明。
 
diff --git a/scripts/check-native-shells.mjs b/scripts/check-native-shells.mjs
index 1a550b89f..bfd82bbc4 100644
--- a/scripts/check-native-shells.mjs
+++ b/scripts/check-native-shells.mjs
@@ -8,10 +8,12 @@ const npmCommand = process.platform === 'win32' ? 'npm.cmd' : 'npm';
 const nativeShellPlanPath =
   'docs/【前端架构】ExpoReactNative与Tauri宿主壳方案-2026-06-17.md';
 
-const productionShellRoots = [
+const productionShellScanRoots = [
   'apps/mobile-shell',
   'apps/desktop-shell',
   'miniprogram',
+  'packages/shared/src/contracts/hostBridge.ts',
+  'src/services/host-bridge',
 ];
 const expectedWechatHostBridgeFiles = [
   'dispatch.js',
@@ -238,7 +240,7 @@ function collectProductionShellFiles(entryPath) {
 }
 
 function assertNoProductionShellDevScaffoldTerms() {
-  const files = productionShellRoots.flatMap(collectProductionShellFiles);
+  const files = productionShellScanRoots.flatMap(collectProductionShellFiles);
 
   for (const file of files) {
     const source = fs.readFileSync(file, 'utf8');