1059 Commits

Author	SHA1	Message	Date
suzmii	77871bfa56	把可能弹 UAC 的 ACL 提权修复移出 append 锁的持锁窗口 ... - project/agent_db.rs：Windows 取锁成功路径不再在"已持有零共享句柄"时做带提权的 ACL 修复；持锁期间只做不提权的严格校验，校验不过就先释放句柄、再提权修复，并返回"这轮没取到锁"由外层重试循环按修复后的 DACL 重新打开 - project/agent_db.rs：新增 release_project_append_os_lock_then_repair_acl，参数按值接收锁句柄且函数体第一件事是 drop，使"边持锁边等 UAC"在签名层面无法被表达 - 原因：提权修复走 powershell Start-Process -Verb RunAs -Wait 同步等用户点 UAC，在持锁期间等它等于把用户犹豫的时间记进别人的持锁窗口；只有 Windows 存在这条路径 - 判据（结构级）：提权修复只在此一处被调用，且调用点必须交出句柄所有权；测试环境不弹真 UAC（config.rs 测试分支本地收紧），故不写假 UAC 用例 - 真机判据：DACL 有缺陷的机器上，持锁方进入修复期间不再持锁，等待方从"超时"变为可成功 - 不变项：首次创建锁文件的本地 harden 仍留在持锁期间（本进程新建对象不因继承 DACL 自动提权）	2026-09-12 00:12:52 +08:00
suzmii	1affb5eec3	锁内只保留 append：DirectProject 历史的幂等回扫移出持锁窗口 ... - direct_project_history.rs：幂等回扫与序列化移到取锁之前，取锁后常态只做一次追加，不再在锁内读完并逐行解析整份历史 - direct_project_history.rs：回扫到取锁之间若历史文件变了（len/mtime 与回扫时不一致）才回到锁内重扫一次；同一 id 不写第二行的语义不放宽，只是常态不再为它读整份文件 - direct_project_history.rs：新增 direct_project_history_duplicate_at 三态判定（Absent/Identical/Conflict）与回扫状态快照，对外行为与原实现一致（幂等 no-op、id 冲突失败关闭） - direct_project_history.rs：新增回扫探针（两个时点回调）与三条用例：回扫在 append 锁外、锁外回扫后并发追加仍不重复写、id 冲突仍失败关闭 - project/agent_db.rs：新增测试专用探针 project_append_os_lock_is_held_for_test，用与生产同一套打开方式判断追加写目标的锁此刻是否被持有 - 变异验证：把回扫塞回锁内后 idempotency_reverse_scan_runs_outside_the_append_lock 变红（exit 101），报出「幂等回扫必须发生在 append 锁外」，验证后已还原	2026-09-12 00:07:04 +08:00
suzmii	3db6afa052	对齐 Codex app-server 读写单行上限：写侧守卫 + DirectProject 历史注入前置校验，并把注入超限改判为不可重试 ... - 隔离探针实测（codex-cli 0.147.0，AGC 捆绑版本）：experimentalRawEvents 线程收到 thread/inject_items 后会逐条原样回显 rawResponseItem/completed —— 注入一个 5 MiB 的 item，stdout 就回一条 5 243 245 字节的单行；而读侧上限原为 4 MiB，于是「我们注入得进去」却「我们读不回来」，报错方向指向 app-server，实际是我方读行判死 - codex_app_server.rs 的 GAME_CREATOR_CODEX_APP_SERVER_LINE_MAX_BYTES 由 4 MiB 提到 32 MiB，注明它同时充当 stdout 读侧上限与 stdin 写侧守卫；取值依据写进注释（单张图 base64 上限 10 MiB、单次图片总量 16 MiB 折 base64 约 21.3 MiB，再加 JSON 信封），再大就失去内存/DoS 边界的意义 - 新增写侧守卫 game_creator_codex_app_server_message_oversize_error：write_message 超限即失败关闭并给出字节数，绝不写出自己读不回来的行（两侧共用同一常量即这条不变量） - 新增 DirectProject 历史注入前置校验 direct_project_history_injection_oversize_error：单条 item（扣掉 rawResponseItem/completed 回显信封余量）与整份载荷都必须落在上限内；超限指名 itemId/type/字节数并失败关闭，且不截断、不摘要、不改写历史（技术方案末节口径） - 新增专属前缀 DIRECT_PROJECT_HISTORY_INJECTION_OVERSIZE_PREFIX，供 direct_runtime 判可重试性与给专属提示 - direct_runtime.rs：direct_codex_failure_is_retryable 把注入超限改为不可重试（同一份历史每次读结论相同，且本轮用户消息已先追加进同一文件、载荷只会更大）；direct_codex_failure_recovery_hint 与 direct_codex_failure_public_summary 各补一条专属文案，用户不再看到笼统的「Codex 未完成本轮代码修改，请检查运行时配置后重试（可直接重试）」 - 新增 2 条用例：写侧守卫与读侧共用同一上限的边界（等于上限必须放行、上限+1 必须拒绝）、注入侧整份载荷与单条 item 双超限必须拒绝 - 变异验证：把写侧守卫改成 >=、把单条上限放成 usize::MAX，两条用例各在自己那一处变红；还原后逐字节哈希一致并复跑绿灯 - 门禁：npm run check:rustfmt exit 0；npm run typecheck exit 0；cargo test 定向 2 passed（2257 filtered out）	2026-09-11 22:24:30 +08:00
k88936	49e88bbd9f	统一分离提示备注长度限制 ... 复用模型层的重做备注字符上限 导出提示文本清理函数供投影复用	2026-09-11 21:55:15 +08:00
k88936	86c268eca3	分离恢复使用独立丢弃操作 ... 新增独立的恢复状态丢弃入口 完成与 finalize 的共享状态删除逻辑	2026-09-11 21:54:17 +08:00
suzmii	5fff7a134c	④ 资源分类写入补一条 agent.db 审计记录 ... - update_manifest_asset_classification_at 在 manifest 写成功后追加 recordType=asset.classification.update 的审计，复用既有 append_agent_db_record 惯例（照 assets.rs 的 asset.register / asset.update：manifest 写成功后追加） - 字段：assetId（沿用 assets.rs 的 assetId）、expectedProjectRevision（本次写入实际校验的 CAS 基准 revision，沿用分类输入契约里的同名参数）、previousCategory / previousTags（变更前值）、category / tags（变更后值） - 不记 localPath / kind / mediaType / source：本记录针对的是已有 assetId 的分类变更，这些字段并未改变，且能从 manifest 或既有 asset.register 记录追到，多记一份会在改名后产生互相矛盾的审计 - 不用 projectRevision 这个名字：既有 agent.runtime.action_receipt 里 projectRevision 的语义是「动作完成后的 revision」，本条审计追加在 revision 推进之前，沿用同名会指代不一致；审计是持久化数据，故在新记录类型里另起不冲突的名字，不动既有记录格式约定 - 位置放在推进 revision 之前是刻意的：分类已经真实落盘，审计不能因为紧随其后的 revision 推进失败而缺失，否则「改过但查不到」正是这条缺陷；推进失败仍然照旧报错 - 审计追加失败按既有惯例映射为可见错误「资源分类已写入，但审计记录失败：{error}」，不静默吞掉 - project/manifest/classification_tests.rs 补 3 条断言：成功写入恰好一条且前后值正确（含第二次写入的 previous 必须取第一次的落盘值）、四类被拒写入不产生任何审计、审计写失败时错误可见且不留假审计（同时确认分类本身已落盘、不回滚）	2026-09-11 21:18:55 +08:00
suzmii	4161888219	③ 资源画布布局的读/写命令补项目权限门 ... - read_local_project_resource_canvas_layout 补 enforce_project_auto_permission_policy(root, "asset.list")，与紧邻的 read_local_project_resource_graph 完全同口径 - update_local_project_resource_canvas_layout 补 enforce_project_permission_policy(root, "asset.register")，与本文件 update_local_project_resource_classification / delete_local_project_asset / rename_local_project_asset 同口径 - 权限位依据：读路径是同一块资源画布的渲染读路径，邻居用 asset.list；写路径是「改动项目内资源相关持久化数据」，manifest 侧的分类写入本身就用 acquire_project_write_lock(root, "asset.register")，故沿用同一权限位，不新造权限名 - 读用 auto、写用普通门是刻意的：asset.list 是 Auto，auto 口径默认放行，只有策略显式 deny/confirm 才拒绝（读路径没有可插入的确认交互，要求确认等同拒绝）；asset.register 默认是 Confirm，若写路径也用 auto 会直接打死默认路径 - tests/project.rs 补断言：默认策略下读与写都放行；deny asset.list 读失败、confirm asset.list 也读失败（钉住 auto 口径这一选择）；deny asset.register 时读仍放行、写被拒且被拒的写不留任何落盘副作用（断言 sidecar revision 未变）；恢复默认策略后写入照旧成功	2026-09-11 21:18:41 +08:00
suzmii	6cc73b07ac	② GameCreationAppManifest 加 deny_unknown_fields：未知顶层字段失败关闭 ... - shared-contracts 的 GameCreationAppManifest 加 #[serde(deny_unknown_fields)]，并写明取向与取舍 - 选「失败关闭」而不是「保留未知字段 round-trip」的理由：AGC 读写 manifest 是「整结构体反序列化 + 整结构体重新序列化覆盖落盘」，放行未知顶层字段就等于让「读一次 + 任意一次写」静默抹掉未来版本新增的字段；而 flatten catch-all 只能覆盖加了它的那一层，tasks / assets / versions / preview / commandRuns 内部的未来新增字段照样被抹掉，且写侧的 skip_serializing_if 会同时把已知字段归一化，落盘结果是「新字段原样 + 旧字段被规范化」的混合体，比直接报错更难排查 - 与既有取向同口径：本批新增的资源布局 sidecar 对未知 schema 就是失败关闭，UpdateLocalProjectResourceClassificationInput 也已 deny_unknown_fields - 影响面已核实：server-rs 内 game_creation_app 模块只被自身引用，不进 /api/external/v1、不进 SpacetimeDB；全仓 GameCreationAppManifest 的反序列化点只有 src-tauri 的 read_manifest 一处；仓库自带 smoke 脚本写的 manifest 只有 schemaVersion/projectId/name/assets 四个已知键 - 断言：shared-contracts 补契约级用例（未知顶层字段反序列化失败且报出字段名、已知字段含可选字段照旧往返）；project/manifest/import_tests.rs 补消费侧用例（纯读报错、读+写入口 mutate_manifest_at 也报错、两次失败后磁盘文件逐字节未变即未知字段没被抹掉）	2026-09-11 21:18:29 +08:00
suzmii	5eaf9faefd	① manifest 的 schemaVersion 补读/写失败关闭门 ... - 新增 validate_manifest_schema_version：只接受 GAME_CREATION_APP_MANIFEST_SCHEMA_VERSION，未知版本报「manifest schemaVersion 不受支持：{实际值}（当前支持 {当前值}）」 - read_manifest 在解析后立即校验 schemaVersion，与既有的 godotProjectRoot / versions 校验同级；读到未知版本直接拒绝打开，不再被当成已知版本继续使用 - write_manifest_locked 落盘前同样校验，保证本客户端永远不会把未知 schemaVersion 写进项目（该函数是 write_manifest 与 mutate_manifest_at 共用的唯一落盘入口） - 前向兼容取舍：刻意不做「接受未来版本 + 读时就地升级」——当前并不存在 v2 定义，凭空写一个升级只能把未知数据改写成当前版本的形状，正是本次要修掉的「静默接受」；代价是未来发 v2 时旧客户端明确报错要求升级，而不是把项目按旧结构写回 - project/manifest/import_tests.rs 补 3 条断言：当前版本必须被接受且全字段回读相等（正向断言，挡住「无条件拒绝」这种改法）、未知版本读失败且磁盘文件逐字节未变、未知版本写失败且不落盘	2026-09-11 21:18:15 +08:00
lhk229	d77d0ca9eb	修复顾问态切换游戏后的策划分流 ... 统一 runtime mode 下的 planningStartMode 游戏运行态拒绝策划 Agent 续轮与阶段审批 补充游戏态运行时守卫测试	2026-09-11 13:11:03 +00:00
suzmii	15660a98b2	修 CI：补跑 AGC src-tauri 的 rustfmt，修正本批遗留的 8 处格式偏差 ... - 只做格式重排（应合成长行/应拆多行），无语义改动 - 命中 agent/direct_project_history.rs、agent/direct_runtime.rs、main.rs、project/conversation.rs、project/conversation/tests.rs - 分别来自 bfb928295 / 2b44b6259 / 458a65cb5 / f0d5687ab 四笔提交的新增行 - 成因：pre-commit 的 lint-staged 只覆盖 *.{js,mjs,cjs,ts,tsx}，Rust 格式本地无守卫	2026-09-11 21:09:09 +08:00
lhk229	5646824daf	补充策划Agent思考展示预留 ... 增加策划 Agent reasoningText 事件字段与默认折叠展示入口 补充正文、思考过程和工具状态的字体层级样式 记录当前 Provider 尚未输出 reasoning 的现状与后续边界	2026-09-11 13:02:55 +00:00
lhk229	8012008d83	替换文档占位符	2026-09-11 12:22:46 +00:00
k88936	c86221e3da	添加 TODO 注释以提示恢复字符限制错误信息	2026-09-11 20:12:16 +08:00
k88936	e7af7cf4e4	校验处理图区域并明确 multipart 字节上传 ... 将处理图真实尺寸传入视觉绑定校验，提前拒绝零尺寸和越界区域。 保持非法区域直接失败，不转换为 NeedRework。 将 image 和 mask multipart 部分改为 Part::bytes。	2026-09-11 20:11:11 +08:00
k88936	e7cd008d7c	调整文本组件的识别规则 ... 简化多行文本节点逻辑，明确文字与图片组件的绑定要求。	2026-09-11 20:06:09 +08:00
lhk229	3047434b33	接入策划顾问态做成游戏运行时切换 ... 新增项目 Agent 运行时模式持久化与恢复判断 在顾问态增加做成游戏按钮并切换同项目 DirectProject 切换时不自动发起首轮 Provider 请求	2026-09-11 12:01:38 +00:00
suzmii	b6a2eae38d	资源替换改成直接替换：只改该版本绑定，不建新版本 ... - 口径变更：资源替换从「版本级替换（改绑定 + 追加下一迭代版本）」改成「直接替换（只改 manifest 里该版本的绑定，不建新版本）」，原因是用户 2026-09-11 的裁决「替换这块先做成直接替换」（同日 DDL） - 按「四不写」删除版本级路径：不再创建 replace-{revision} 版本、不再写 parentVersionId / createdReason=resource-replacement、不再有「替换前后身份可推」的父子版本对；相关注释与常量一并删除，不留兼容分支 - 改绑定改走 manifest.rs 的窄放行通道 mutate_manifest_allowing_version_binding_rewrites（上一提交新增），放行集合固定为 [sourceVersionId]：不增删版本、不重排、只改这一个版本的 resourceBindings - 绑定改写语义不变（恒等绑定口径）：源素材从该版本的绑定集合里消失 + 保证替换素材在集合里；替换素材是版本创建后才登记时按源素材原位置插回，早已登记时只摘除（避免「资源槽位重复」） - 准入校验按用户裁决调整：categoryEqual 与 subtypeEqual 仍是硬门禁（拒绝并说明哪一项不等），sizeSpecEqual 降级为提示不再拒绝 —— 它的完整判据今天不存在（manifest 无 width/height/durationMs，实际只等于媒体格式相等），硬拦会误拒 png↔webp 这类直接替换里最常见的需求；提示文案为「格式与源素材不同」，同时出现在候选与写入结果里 - 写入成功后推进一次项目 revision（改绑定属于 versions 变化，跨面快照门禁要求 revision 前进），并追加一条 asset.version_binding.replace 审计（复用既有 append_agent_db_record，字段 versionId / sourceResourceId / replacementResourceId / projectRevision）；审计写失败报错但不回滚，与 asset.register 同口径 - 返回结构去掉 parentVersionId：改为 { versionId, committedProjectRevision, replacement: { versionId, sourceResourceId, replacementResourceId, compatibility, warning } } - 定向用例按新形态重写并补齐 8 条：只改绑定不产生新版本且除绑定外逐字段不变、替换素材早已绑定时只摘除、分类/类型硬门禁拒绝且零副作用、跨格式只提示仍放行、已知帧尺寸与时长事实只提示、读时自愈口径、四条拒绝路径、CAS、候选读取顺序与原因、审计记录留痕 - 已知代价（写进模块文档）：直接替换没有可回溯的替换历史，替换前身份只剩这条审计与 manifest 的 .previous 副本 - 验证：定向 8 passed / 0 failed；cargo check --locked --all-targets exit 0	2026-09-11 19:55:45 +08:00
k88936	8c8b6cc75a	将自动切分状态写盘移出 Tokio worker ... 用 spawn_blocking 承载 JSON 序列化和文件写入，并在工作流中等待结果。	2026-09-11 19:44:01 +08:00
suzmii	17e8e477a4	新增版本绑定改写的窄放行通道与定向用例 ... - 新增第二条、也是更窄的版本放行通道 mutate_manifest_allowing_version_binding_rewrites：只放行"显式列出的版本改写自己的 resourceBindings"，供「直接替换」写入使用 - 新增独立校验函数 validate_version_records_allow_binding_rewrites：不增不删（候选与磁盘版本数量必须相等）、不重排（版本 ID 序列逐项相同）、只有放行 ID 允许 resourceBindings 不同、其余字段（versionId / parentVersionId / projectRevision / createdReason / createdAt / editPrompt）逐字段相等、未放行版本整条相等、放行集合取自写入前 manifest - 两组放行集合必须互斥：同一版本 ID 既被放行删除又被放行改写绑定 → 报「版本绑定改写放行与版本删除放行必须互斥」失败关闭 - 既有 validate_version_records_are_append_only 与既有 mutate_manifest_at_allowing_version_removals 的语义一行未改：本通道是另一条独立的窄校验路径，默认写入路径仍然只有「只追加 + 显式放行删除」 - 把写盘公共体抽成 write_manifest_locked_with_version_guard（校验器由调用方注入），write_manifest_locked 变成一行委托：装盘 / 回读 / 原子替换只有一份实现，存储行为与改造前逐行等价；唯一被参数化的就是版本校验那一步 - 新增 7 条定向用例：放行版本只改自己的绑定成功且其余版本整条相等、未放行版本改绑定被拒且字节不变、增删版本被拒、重排被拒（直接打校验器 + 真实通道两条）、放行版本改 createdAt / editPrompt / parentVersionId / versionId 四种其它字段都被拒、两组放行集合重叠被拒、默认路径与删除放行通道仍然拒绝绑定改写（证明只追加保证没被打穿） - 回归确认：既有 manifest_versions_are_append_only_at_the_storage_boundary 与 asset_delete 7 条继续全绿	2026-09-11 19:42:54 +08:00
k88936	4cf3642b53	说明视觉绑定解析错误的有限重试策略 ... 记录严格工具 schema 和响应损坏重试边界。	2026-09-11 19:41:48 +08:00
k88936	f933db169e	说明结构化重试的有限上下文边界 ... 记录现役调用方的小重试次数和保留完整反馈的设计依据。	2026-09-11 19:41:21 +08:00
lhk229	f8f1cdd1f4	清理未使用的策划会话入口 ... 删除硬编码 quality 模型的 ensure_design_session 保留现有 selected_model_id 创建链路	2026-09-11 11:28:47 +00:00
lhk229	fd5a4c3136	调整策划调试日志默认开关 ... npm run agc 开发启动时默认开启 design debug 其他启动方式默认不创建 .debug 目录	2026-09-11 11:21:07 +00:00
lhk229	63f5a1d49e	精简项目写锁历史型注释 ... 移除 Issue 编号和旧实现叙述 保留写锁等待与排障契约说明	2026-09-11 11:10:57 +00:00
k88936	e189aff485	更新设计基础提示词契约测试 ... 将测试断言同步到当前按需图片生成与动态产物合同。	2026-09-11 19:05:57 +08:00
k88936	248c094da9	清理合并命令测试中的无用导入 ... 移除组件类型未再使用的测试模块导入。	2026-09-11 19:05:03 +08:00
k88936	c3de2ce958	为自动切分命令增加项目写权限校验 ... 在启动分离工作流前复用 asset.register 权限门禁。	2026-09-11 19:00:19 +08:00
k88936	287d2f94da	限制自动切分恢复状态读取大小 ... 在解析 sidecar state 前检查文件大小，避免异常分配。	2026-09-11 18:59:51 +08:00
k88936	bf2ffd2bf9	拒绝保存无可见像素的切分区域 ... 透明裁切区域直接返回可恢复错误，避免登记空素材。	2026-09-11 18:58:13 +08:00
lhk229	811abdd375	修复策划 Agent 四个审查问题 ... 修复 Retry 流式回合身份与阶段审批 transient 清理 拒绝无效 write_file 内容并补齐顾问阶段导轨	2026-09-11 10:57:49 +00:00
k88936	3f55f043a1	拒绝切分产物路径中的非法节点标识 ... 在写入 cut 图片前限制节点 ID 字符并确认路径仍位于 sidecar 内。	2026-09-11 18:57:19 +08:00
k88936	b8691add3a	移除区域归一化日志路径中的恐慌 ... 直接记录归一化结果，避免诊断日志调用 expect。	2026-09-11 18:55:28 +08:00
k88936	bfe010a192	让视觉绑定调试预览写入失败可降级 ... 调试 PNG 写入失败时记录警告并继续绑定流程。	2026-09-11 18:55:06 +08:00
k88936	87a7294a04	细化组件绑定载荷形状校验 ... 在反序列化前拒绝空值和无效的节点组件外部枚举。	2026-09-11 18:54:21 +08:00
k88936	3774d7c1e1	移除修复重试流程中的隐式恐慌 ... 在循环意外结束时返回可恢复错误而不是触发 unreachable。	2026-09-11 18:53:34 +08:00
k88936	8d15125f12	限制切分提示词中的节点备注 ... 对用户备注清理控制字符和围栏符号并限制长度。	2026-09-11 18:52:59 +08:00
k88936	cf68b8212d	让提取提示词序列化错误可恢复 ... 将提取提示词生成改为返回带上下文的错误。	2026-09-11 18:52:10 +08:00
suzmii	f476eb89e5	同路径重登记：kind 变化时重派生 category，同 kind 时保留落盘分类 ... - `register_local_asset_entry`（`assets.rs`）命中同 `localPath` 的既有资产时，旧实现只覆盖 `kind` / `media_type` / `source`，**从不重算 `category`**：`kind` 变了而 `category` 停在旧值，且陈旧的非 `unclassified` 值会被读侧无条件信任（自愈只在落盘值是 `unclassified` 时才触发），该资产就永远停在错误栏目 - 修法：只在 `existing.kind != kind` 时重派生 `category`；`kind` 未变时刻意不动 `category`——落盘分类是权威值，同 kind 重登记不得抹掉它 - `register_local_asset_records_existing_asset_with_canvas_source` 补上 `category` 断言：首次登记 `kind:"character"` 落 `character`，重登记改成 `kind:"ui"` 后必须变 `ui-interaction`（旧用例只断言 `kind` 与 `source.kind`，正好走更新分支却漏掉 `category`，所以这条错位一直没被抓住） - 新增用例 `register_local_asset_keeps_explicit_category_when_kind_is_unchanged`：显式设成 `audio` 后同 kind 重登记，`category` 与 `tags` 必须原样保留，把「不能无条件重派生」这条不变量钉死 - 新增用例 `register_local_asset_derives_category_from_real_write_side_kinds`：用与现役写入侧逐字一致的字面量（`"UI"` / `"font"`）走真实 `register_local_asset_at`，断言落到 `ui-interaction` / `document`；它属于同一套 `register_local_asset_*` 写 API 的派生行为，因此与上面的更新分支断言放在同一个提交	2026-09-11 18:48:03 +08:00
suzmii	3082c3e854	kind 别名表大小写不敏感并收口 font：堵住 8 条 UI 资产永远落「待归类」 ... - `canonical_game_creation_app_asset_kind`（Rust）与 `canonicalGameCreationAppAssetKind`（TS）改为对 trim 后的小写值查别名表与 canonical 目录，修正「UI 设计资产的现役写入侧写的是大写 `"UI"`」这条真机事实 - 别名表补 `font → document`：字体上传（`ttf / otf / woff / woff2`）登记的 manifest `kind` 就是 `font` - 为什么必须在别名表收口、读时自愈救不回来：`"UI"` 与 `"font"` 的派生结果本身就是 `unclassified`，自愈规则「派生值不是 unclassified 才触发」永不成立；真机 8 条 `kind:"UI"` + `mediaType:"application/json"` + `localPath:"ui/UI 设计 N.json"` 与写入路径逐字段吻合 - 改写 Rust 断言 `game_creation_app_asset_category_for_kind("UI") == Unclassified` → `UiInteraction`，并补 `canonical_...("UI") == "ui-design"` 与 `font == Document`：旧断言把这条 bug 钉成了「期望行为」，新形态才是唯一真源——写入侧真实写出的 kind 必须能落进明确栏目，否则真机资产永远归不了类 - 改写 TS 断言 `gameCreationAppAssetCategoryForKind('UI') == 'unclassified'` → `'ui-interaction'`，理由同上 - `game_creation_app.rs` 里「现役写入侧仍会写出这些非 canonical 值，必须在这里收口」的注释此前只收口了小写 `ui`，与大写写入侧矛盾，现按注释本意收口 - 新增写侧→分类的端到端契约用例：`resource_bridge.rs` 的 `bridge_is_idempotent_and_installs_source_image` 走真实生产函数 → 真实 `register_local_asset_at(..., "UI", ...)` → 断言落盘 `category` 为 `ui-interaction` - 新增 `assetKindCanonicalMapping.test.ts` 的「写侧 kind 字面量 → 分类」用例组：直接解析 UI 编辑器写侧源码第 3 个实参，写点换个新字面量就会红，防下次再漏	2026-09-11 18:46:58 +08:00
suzmii	458a65cb5e	资源分类读显示口径下沉到 Rust：Agent 投影与 UI 同构 ... - 新增 `game_creation_app_asset_effective_category`：读显示口径的唯一实现——落盘 `category` 权威，仅在落盘值为 `unclassified` 且该资产 `kind` 能派生出明确的非 `unclassified` 分类时采用派生值，其余信任落盘值 - `GameCreationAppAssetManifestEntry` 的反序列化刻意不做自愈：反序列化结果就是落盘原值，「编辑标签」面板要靠它原样回写；自愈只属于读显示口径 - Agent 资源投影 `bridge_registered_resource` 不再直接透传 `asset.category`，改走有效分类，修掉真机 122 条资产里 55 条「UI 显示 UI 交互、Agent 读到待归类」的跨端口径分歧 - 新增 Rust 决策矩阵 `EFFECTIVE_CATEGORY_CONTRACT` 与用例 `asset_effective_category_follows_the_shared_contract_matrix`，矩阵是「落盘值 / kind 派生 / 读时自愈」三个口径的唯一真源 - 新增跨语言契约：`assetKindCanonicalMapping.test.ts` 解析 Rust 源码里的决策矩阵与 canonical kind→栏目表，逐条喂给 TS `gameCreationAppAssetCategory` 对照，任一侧改口径都会红 - `direct_tool_bridge` 新增 Agent 侧回归用例：`kind:"ui" + category:"unclassified"` 必须投影成 `ui-interaction` - 既有用例 `..._projects_manifest_classification_verbatim` 更名为 `..._keeps_explicit_manifest_classification`：逐字透传只在落盘值不是 `unclassified` 时成立，旧名字会与新的有效分类语义矛盾	2026-09-11 18:43:39 +08:00
suzmii	2b44b62599	DirectProject 历史格式类失败给出专门提示并按不可重试处理 ... - direct_runtime.rs：新增 direct_project_history_shape_failure 白名单（历史记录类型无效 / 缺少 payload / 解析历史失败） - direct_codex_failure_recovery_hint 增加专门 hint，指向真实现象与动作：该类旧格式已被读侧兼容，仍失败说明记录不在白名单内，请检查项目诊断后修复该历史文件 - direct_codex_failure_is_retryable 对该类失败返回 false，前端不再显示「可直接重试」（同一份历史每次读得到同一结论） - 打开/读取类 IO 失败不在白名单内，仍按可重试处理 - 补断言：hint 文案、IO 失败边界、诊断 message 里的 retryable=false 与 sidecar 的 "retryable": false	2026-09-11 18:36:19 +08:00
suzmii	5ac26b99c9	显式 Codex 返回不再往项目主对话投影旧格式行 ... - direct_tools_mcp.rs：删除 conversation.record_codex_response 末尾往 project.jsonl 追加 legacy 行的投影，它写的是 {schemaVersion:game-creator-conversation.v1,...} 旧行，会毒化共用该文件的 DirectProject 历史 - 顺带删掉只为那条投影存在的 key/message_id 计算与描述它的注释，不留墓碑 - 该工具的事实来源仍是自己的只读 journal .agent/conversations/codex-responses.jsonl，返回内容与 conversation.list/read 行为不变 - 补断言：record_codex_response 只写 codex-responses.jsonl，project.jsonl 保持为空	2026-09-11 18:36:16 +08:00
suzmii	f0d5687ab7	共享的 project.jsonl 让两条对话链互读对方的行，混合历史不再双向失败关闭 ... - project/conversation.rs：read_persisted_local_conversation_records_unlocked 跳过 type=response_item 且带 payload 的行（DirectProject 写给同一份「项目主对话」的行），其余解析失败仍按「解析对话记录失败」失败关闭 - 新增 is_direct_project_history_row 做行信封白名单，只认对方那一种明确枚举的形状，不放宽成「什么都跳过」 - 不把 response_item 行二次投影成 LocalConversationMessageRecord：DirectProject 侧已经拥有那份 Responses item → 聊天内容的投影，再造一份平行投影会与它漂移 - 不加「文件已属于 DirectProject 就拒绝追加旧行」的硬报错：runtime_driver/task_start.rs 在 ensure_..._accepted_public_status_at 返回 Err 时会中止后台任务（「后台任务启动确认落盘失败，任务未执行」），runtime_protocol/steering.rs:572/604/1300 也用 ? 上抛，加硬报错会把旧行噪声换成任务起不来；毒化本身已由读侧白名单堵住 - 补断言：混合文件里通用链只读自己的 legacy 行且坏行仍失败关闭、混合文件从两条链都能读（DirectProject 把两种行都读出来）、纯旧格式文件的写入行为不变	2026-09-11 18:36:07 +08:00
suzmii	bfb928295e	DirectProject 读侧白名单兼容格式切换前的旧行，存量项目不再全部读不动 ... - direct_project_history.rs：两处行信封判定收敛到 direct_project_history_item_from_parsed_line，response_item 与白名单化的 legacy 行走同一条判定路径 - 新增 direct_project_legacy_row：只认 schemaVersion=game-creator-conversation.v1、无 type、role 落在该写入器自己的角色集合（user/assistant/tool）内、content 为非空字符串的行，其余形状继续按损坏失败关闭 - user/assistant 旧行投影成与 direct_project_local_message_item 同形状的 message item：role 与 content 逐字节保留、不 trim、不改写、未知字段忽略，有 messageId 才带 id - tool 旧行已识别但不进 Codex 上下文：它不是 Responses item，无法还原成真正的工具 item，混入会造出假的工具消息；聊天投影本来也只展示 user/assistant - 抽出 direct_project_message_item 供本地补写与 legacy 投影共用，保证两种来源的 item 形状一致 - 补断言：旧行投影（role/content 逐字节、无 messageId 时无 id）、旧行与新行交替的混合文件按行顺序读取、tool 行被识别且不进上下文、非白名单异常行（role=system/developer、content 非字符串或为空、缺 role、缺 payload、坏 JSON）仍失败关闭、通用对话写入器产出的旧行形状落在白名单内 - 变异验证：去掉 legacy 兼容分支→投影/混合文件/通用写入器形状 3 个用例变红；把白名单放宽成「任意行都接受」→失败关闭用例变红	2026-09-11 18:35:26 +08:00
lhk229	712f28e207	策划工作区改名为design_artifacts ... 更新策划文件工具和阶段产物检查路径 同步测试夹具与生产迁移方案文档	2026-09-11 10:16:15 +00:00
suzmii	fc4a2c12f4	新增 AGC 版本级资源替换的后端命令与三项兼容性判据 ... - shared-contracts 新增 game_creation_app_asset_category_with_read_time_healing：把 PRD §5.3「分类取值优先级」的读时自愈口径落到 Rust（落盘 unclassified 且 kind 能明确分类时采用派生值），与 packages/shared 的 gameCreationAppAssetCategory 逐分支一致，并补定向用例锁定该窗口 - 新增 project/version_resource_replacement.rs：三项兼容性判据（categoryEqual 用读时自愈口径、subtypeEqual 用 canonical kind、sizeSpecEqual 用规范化媒体格式 + 已知帧尺寸与时长事实） - sizeSpecEqual 在代码注释里明确标注降级：manifest 资产表今天没有 width/height/durationMs 字段，且现役写入侧几乎全部写 imageSequenceFrames=None，所以该项实际退化为「媒体格式相等」；要支持跨图片格式替换必须先给 manifest asset 加尺寸字段（跨端契约变更） - 新增 replace_local_project_version_resource_at：持项目写锁并按 expectedProjectId + expectedProjectRevision 做 CAS，一次写入里追加 createdReason=resource-replacement 的子版本（parentVersionId 指向源版本），子版本绑定 = 源版本绑定去掉源素材并保证替换素材在集合里；全程不调用 mutate_manifest_at_allowing_version_removals，既有版本记录一个字节不改 - 替换前后资源身份按 PRD §5.4 版本字段表口径用推导记录（父−子 = {源素材}、子−父 = {替换素材}），并注明「替换素材在源版本创建时就已登记」时子−父为空集的已知限制 - 新增 read_local_project_version_replacement_candidates_at：只读返回候选与后端权威兼容性结论，候选渲染但禁用并给出原因，不在前端重算判据 - commands.rs 新增两个命令包装（读用 asset.list、写用 asset.register），main.rs 注册进 generate_handler - 新增 8 条定向用例：只追加与父子/修订关系、两条绑定路径（1:1 交换与替换素材已绑定）、三项兼容性逐项拒绝且零副作用、CAS、四条拒绝路径、候选读取顺序与原因、读时自愈口径锁定 - 中间状态声明：本提交落地时前端调用方尚未提交，npm run ai-game-creator-shell:typecheck 会因 check-config.mjs 要求「每个 Tauri 命令都有 App invoke 调用方」而失败；这是刻意保留的中间状态，不得把这两个命令加进 native-only 白名单换绿	2026-09-11 17:37:01 +08:00
k88936	8cd6e34af0	调整图片切分批次请求尺寸计算逻辑 ... 基于批次源矩形总面积动态计算 image-edit 请求尺寸，新增面积对齐和最小/最大值限制，扩展相关模块和测试以支持调整后的工作流。	2026-09-11 17:33:26 +08:00
lhk229	d6a72c895c	修复策划项目命名相关 CI 检查 ... 同步首页项目创建测试中的 planning 参数断言 格式化项目 Rust 测试文件以通过 rustfmt	2026-09-11 09:11:27 +00:00
lhk229	e6e2a5fda6	调整策划项目命名 ... 策划入口使用带随机短码的策划项目名称 保留游戏与素材入口的现有命名链路 补充自动建项测试与技术方案说明	2026-09-11 07:35:41 +00:00