115 Commits

Author	SHA1	Message	Date
k88936	46dfa2cffb	修复资源枚举迁移后的测试类型错误 ... 将字体、角色和资源图 fixture 改为 AssetKind 枚举。 将资源 kind 回传到字符串字段时显式使用 to_string。	2026-09-15 20:45:55 +08:00
k88936	b4fd8d9b8b	收紧 AGC manifest 资源 kind 字段 ... 将 manifest 条目 kind 改为 Rust 枚举并把未知值收口为 Unknown 修正字体上传与图集切片的正式资源 kind 保持 source.kind 与 generationKind 等其他字符串字段不变	2026-09-15 17:37:28 +08:00
kdletters	4e553bb15d	收窄项目写锁同进程复用判据为同线程重入 ... - 修复 write_lock.rs：advisory 复用判据从「本进程持锁」收窄为「同一线程重入或自主流水线」，新增按锁路径登记真实持锁线程的 PROJECT_WRITE_LOCK_THREAD_OWNERS，登记在 create_new 成功处、在 guard Drop 里按路径注销（guard 会被移到别的线程再 Drop） - 恢复本进程其它线程写通道的串行化：一致快照读、project.diff / action_history、command.output_read、steer 序号分配、项目 revision 侧车、pending sidecar 复核与恢复安装重新等待并保持终态占用 - 调整 tests/project_tools.rs 的 agent_runtime_file_write_lock_failure_redacts_project_path：改为在另一条线程持锁，保持「别的写者持锁时 file.write 失败关闭且脱敏」的断言语义 - 调整 ui_editor/persistence.rs 的 recovery_install_respects_the_project_write_lock：同样改为在另一条线程持锁，保持占用失败断言 - 同步技术方案「2026-09-14 项目客户端占用锁收敛」段落，以及里程碑和实施计划的目标、验收标准、修改顺序、验证命令与未决事项 - 在 decision-log 记录复用判据收窄为同线程重入，并在 pitfalls 记录「同进程复用判据不能只看 pid」的现场、原因、处理与易错点 - 回答 AGC 生命周期文档「同 PID advisory guard 是否放过并行写」的未决项：确认会放过并行写，已收窄 Co-authored-by: DotCraft <273930855+dotcraft-ai@users.noreply.github.com>	2026-09-14 15:41:17 +08:00
kdletters	0f829cd252	完成 DirectProject Phaser 迁移闭环 (#353) ... ## 变更 单 HTML → Phaser 4 + Vite 的迁移链路现在有明确且可执行的工程合同：Phaser/npm 目标固定走 DirectProject，旧 JSON Generator 继续只处理单文件 HTML。 - 新增受控 `project.bootstrap`，仅允许项目内 `game` 目录执行无参数 `npm install`，校验 package/lock、路径、npm 管理器并记录依赖指纹。 - `project.verify` 支持相对 `cwd`，构建前诊断缺失依赖，`cwd=game` 的 build 必须产出 `game/dist/index.html`。 - npm bootstrap 使用受控网络沙箱；通用 `command.exec npm install` 仍被拒绝。 - 同步 Runtime 工具广告、执行分发、审计、权限策略、DirectProject/Generator 提示、前端权限面板、TypeScript/Rust 契约和项目文档。 - Phaser 迁移提示覆盖 Scene、输入、敌人/守卫、波次、胜负、重开和桌面/移动双视口验收。 ## 验证 - `npm run ai-game-creator-shell:typecheck` - `cargo check --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml` - `cargo fmt --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -- --check` - `cargo test --locked -p shared-contracts --manifest-path server-rs/Cargo.toml game_creation_app` - 定向 `project.verify` Rust 测试 - `npm run check:encoding` - `npm run check:doc-index` - `git diff --check` - 真实 DirectProject：`npm install`、`npm run build` 成功，`game/dist/index.html` 存在。 - 浏览器试玩：桌面视口画布非空；移动视口触摸开火、键盘换道和重开逻辑均已观察确认。 真实项目没有纳入仓库提交；PR 只包含客户端合同、Runtime 能力和验证门禁。 Reviewed-on: #353	2026-09-14 13:57:24 +08:00
kdletters	818cfdba50	收敛项目客户端占用锁语义 (#344) ... 本 PR 收敛项目锁的同进程重入语义，避免客户端内部调用等待自身持有的 `.agent/project.lock`。 变更： - 同进程嵌套项目锁返回 advisory guard，不删除真实持有者锁。 - 跨进程占用、残留回收和权限分类保持不变。 - 增加回归测试与锁收敛里程碑/实施计划文档。 验证： - 定向 Rust 锁测试通过。 - Runner owner 定向测试通过。 - cargo fmt --check 通过。 - npm run check:encoding 通过。 - git diff --check 通过。 后续里程碑：Runner 的 `.agent/runtime/execution-owner.lock` 迁移到统一项目占用锁仍需单独完成跨进程生命周期验证。 Reviewed-on: #344	2026-09-14 13:56:23 +08:00
suzmii	7ae71441ba	合并 master：接入 AGC 内置插件宿主与 Cocos 编辑器能力（#338） ... 合并 origin/master 4a46f89c9 到 chore/agc-acceptance-build（HEAD 55fab1776），本次合并共涉及 117 个文件（113 个自动合并 + 4 个冲突）。 - 自动合并 113 个文件：插件宿主与插件工作区（plugin_host.rs / builtin_plugins.rs / editor_adapter(_s).rs / plugins/agc-cocos-editor / cocos-editor-bridge crate / editor-adapter-api）、构建与打包脚本、locked Cargo.lock 及 master 侧锁与资源链路改动；不逐条列出。 - 冲突 1 apps/ai-game-creator-shell/src/App.tsx:271-278：两侧各自新增一个 import（本分支 ./services/tauriEventSubscription、master ./services/pluginHost），两个 import 都保留，并按 simple-import-sort 口径排在 ./services/platformSession 之后、tauriEventSubscription 之前；四个符号都仍被使用。 - 冲突 2 docs/project-memory/shared-memory/decision-log.md:8338-8469：两侧在同一位置追加记录，逐字保留两侧记录且各自原有顺序不变（先本分支的 2026-09-11 资源卡预览 data URL / loopback HTTP 两条，后 master 的 2026-09-09～2026-09-12 通用插件宿主、Cocos 桥接与内置插件开关条目），不改写、不合并措辞。 - 冲突 3 docs/project-memory/shared-memory/pitfalls.md:79-112：同上，保留本分支的「2026-09-05 资源画本转场与视口分离」与 master 的「2026-09-11 首页自动工作区必须使用 AGC 管理目录」「2026-09-12 Cocos 项目识别不等于编辑器桥就绪」「2026-09-11 Cocos 项目必须走独立导入分支」，内容逐字保留、两侧原顺序不变。 - 冲突 4 apps/ai-game-creator-shell/src-tauri/src/agent/direct_project_history.rs:400-435：判据是「两侧不互斥」，解法为 both（语义超集）。 - 冲突 4 保留本分支的有界退避重试循环（DIRECT_PROJECT_HISTORY_CONTENTION_RETRY_BACKOFF_MS + is_direct_project_history_contention_failure + 测试注入点）与单次尝试函数 append_direct_project_history_item_once（含锁外幂等回扫与锁内状态复核）。 - 冲突 4 保留 master 的有界等待取项目写锁：把该函数内原来的零等待 crate::project::acquire_project_write_lock(root, "conversation.write") 换成 acquire_game_creator_agent_runtime_project_write_lock_with_wait(root, "conversation.write")，并原样保留 master 的注释（agc_write_file 占锁 5.5 秒期间，零等待取锁会让流式历史落盘直接失败）。 - 冲突 4 判断依据：master 只替换了同一处的取锁语义（零等待 → 约 10 秒有界等待，并有 append_waits_for_a_same_process_project_writer 用例锁定），不改变函数签名、调用方与错误类型；HEAD 的重试循环因此仍然可达，与有界等待叠加后语义更强——写文件占锁由有界等待吃掉，等待窗口耗尽后的残余争用再由一次 250ms 短退避重试兜底。未删除任何一侧行为，也未放弃任何一侧语义。 - 冲突 4 位置取舍：有界等待取锁仍放在锁外回扫与序列化之后（本分支结构），保住「幂等回扫与序列化留在锁外、不让他人等整份历史读完」的性能语义；master 的注释与调用参数逐字保留。 - 验证：npm run typecheck、npm --prefix apps/ai-game-creator-shell run typecheck、cargo check --locked --all-targets（exit 0，0 error）、npm run check:rustfmt、npm run check:encoding、git diff --check 全部通过；冲突标记扫描为空。 - 定向 Rust 测试（--test-threads=1）：direct_project_history 19 passed / 0 failed（含本分支 contention_failure_is_retried_with_bounded_backoff、contention_failure_beyond_the_backoff_budget_fails_closed、shape_failure_is_not_retried 与 master 的 append_waits_for_a_same_process_project_writer）；conversation 36 passed / 0 failed；write_lock 21 passed / 0 failed。两侧用例同时绿，证明有界等待取锁与有界退避重试叠加后语义自洽。 - 未跑全量测试（按仓库约定本地只跑定向，全量交给 CI）；本次不 push。	2026-09-13 15:33:48 +08:00
kdletters	4a46f89c9b	接入 AGC 内置插件宿主并补齐 Cocos 编辑器能力 (#338) ... 客户端新增随包提供的插件宿主和 Cocos Creator 集成：识别并导入 Cocos 项目，通过内置桥接操作已打开的编辑器，无需安装项目 MCP 扩展。DirectProject 现在公开 36 个独立 cocos_* 工具，保留通用 JavaScript 执行入口。 - 通用插件 SDK、命令/能力/面板注册、编辑器适配器和跨进程内置插件开关。 - Cocos 场景、节点、组件、Prefab、UI、Layout/Widget、资源、保存、撤销、日志与预览调试；目录和实现由 JS/native 共用。 - 编辑事务回读、失败回滚、后续手动修改保护及不确定结果禁止重放；预览截图通过 MCP image 返回。 - DirectProject 跳过无关专业 Agent 历史，将项目打开和历史读取中的同步 I/O 移出窗口线程，消除 Cocos 执行与项目文件锁的错误耦合。 验证： - 合并 master 后：类型/配置检查、编码检查、Rust 格式检查和提交钩子通过。 - 合并 master 后：Cocos 项目打开、插件面板和开发启动定向测试 10 通过、2 跳过；DirectProject MCP 测试 17 通过、1 项真实 Creator opt-in 忽略；插件宿主测试 9/9。 - 插件行为测试 17/17；native 测试 20/20，4 项 opt-in 测试默认忽略。 - 真实 Creator 3.8.8 的 36/36 操作 smoke，以及客户端 MCP tools/list、tools/call、UI/撤销和预览截图，在功能实现阶段已验证通过；本次 master 合并后未重复真实 GUI smoke。 验证边界：发行安装包和远端 CI 尚未验收。 Reviewed-on: #338 Co-authored-by: kdletters <kdletters@qq.com> Co-committed-by: kdletters <kdletters@qq.com>	2026-09-13 14:48:55 +08:00
suzmii	64b0d2f766	收敛外部错误体、注入提示词与锁诊断的不设界行为 ... 收敛外部错误体、注入提示词与锁诊断的不设界行为（PR #316 review） - resource_editor.rs:2476 [bug · medium] 已被修复：`error_details` 改为 `error.details` 优先、顶层 `details` 兜底，与 docstring 声明的取值顺序一致；新增「两种形状同时出现」用例钉住优先级。 - resource_editor.rs:2468 [performance · low] 已被修复：4xx 错误体改走 `bytes_stream` 有界读取（64KiB 上限，超限即放弃取原因），不再用 `response.text()` 无上限缓冲外部正文。 - resource_editor.rs:2514-2525 [maintainability · low] 已被修复：provider / assetKind / mediaType / code 四个追加字段各自按 80 字符截断（`MAX_EDITOR_ERROR_DETAIL_CHARS`），最终文案长度不再随外部正文增长；新增超长字段整串比对用例。 - direct_codex_references.rs:175-182 [performance · medium] 已被修复：`resourceIds` 超过 32 条直接按模块失败关闭口径拒绝，并在同一 id 的重复项上做去重，注入提示词的「关联素材 ID」行长度与 manifest 扫描次数都有界；新增去重 + 超限用例。 - direct_runtime.rs:1795-1797 [maintainability · low] 已被修复：`direct_project_history_contention_failure` 收窄为只认追加锁超时标记（项目写锁争用已在更早的专用分支判掉，是死代码），恢复提示文案相应去掉「或项目锁」；新增用例钉住两条判据互不重叠、各自命中正确提示。 - conversation.rs:984-989 [maintainability · medium] 已被修复：`DIRECT_PROJECT_HISTORY_RECORD_TYPE` 提升为 `pub(crate)`，读取侧 `is_direct_project_history_row` 引用同一常量，`project.jsonl` 的信封契约改为编译期共享。 - agent_db.rs:3570-3574 [other · medium] 已被修复：`lock_with_attempts` 的进程内锁改为有界 `try_lock` 轮询（窗口与调用方一致，2000/200 次 × 5ms），同进程读路径不再被写者的 10s 跨进程等待拖住；顺序仍是「进程内锁 → 跨进程锁」，无 ABBA；新增用例验证短窗口 <5s 失败且释放后立即可重取。 - agent_db.rs:3668-3669 [maintainability · low] 已被修复：新增与锁同级的旁路诊断文件（普通共享写入），诊断优先读它、读不到再退回锁文件，Windows 上 zero-share 独占锁文件时也能报出持锁方；新增「取锁写出旁路文件」「锁文件不可读时退到旁路」两条用例。仅存 pid/用途/时间戳，不参与判活、回收或抢占。 - agent_db.rs:3827-3828 [maintainability · low] 已被修复：仅当修复错误真的符合提权口径（`windows_acl_error_may_need_elevation`）时才追加「自动提权修复未完成」，否则原样透传底层错误，不再重复报同一个错误并谎称尝试过提权。 - main.rs:29-31 [maintainability · low] 判定为不适用/不改：实测删掉那四个 import 会产生 18 处 E0425（`direct_tool_bridge` / `canvas_generation` / `assets` / `manifest` / `resource_editor` / `resource_dependency_graph` / `recovery_tests` 等经 `use super::*` 从 crate 根复用它们），而保留它们并不产生 `unused_imports` 警告（cargo check --all-targets 无一条指向这几行）；已按原样恢复 main.rs，工作树中该文件无改动。	2026-09-12 20:20:39 +08:00
suzmii	daef9f6cc9	修复素材删除幂等、重命名 CAS 与 manifest 预览缓存一致性 ... 修复素材删除幂等、重命名 CAS 与 manifest 预览缓存一致性（PR #316 review） - assets.rs:2048-2049 [bug · medium] 已被修复：删除登记在「身份 + revision 两项 CAS 都已通过」后遇到素材已不在 manifest 时按 no-op 成功收敛并照常推进 revision，不再报「项目资源不存在」；新增 `asset_delete_retry_converges_when_only_the_revision_advance_failed` 复现「manifest 已提交、revision 未推进」并验证重试收敛（原「不存在的素材必须报错」断言相应改为幂等语义，前端只消费 assetId/committedProjectRevision）。 - assets.rs:2035-2042 [performance · low] 已被修复：引用集合只算一次并用 `HashSet<String>` 做成员判定，`retain` 不再是 O(V²)；版本守卫闭包按约定在写入前另行求值、拿不到该可变借用，故两次扫描保留并已在注释里说明。 - commands.rs:1032 [maintainability · medium] 已被修复：`RenameLocalProjectAssetInput` 补 `expectedProjectId` / `expectedProjectRevision`，`rename_local_project_asset_at` 与删除/分类更新同口径做两段身份复核 + revision CAS，失败时磁盘、manifest、revision 全不动；新增 CAS 用例（陈旧 revision / 跨项目身份 / 空身份）。注意：前端 `confirmResourceRename` 必须同时补传这两个字段（TS 侧由前端 owner 落地）。 - asset_rename.rs:84 [bug · low] 已被修复：新增 `asset_frame_directory_matches`，目录段在 Windows/macOS 按大小写不敏感比较（Linux 保持敏感），与文件名比较同口径；新增 `Assets/hero.png` 帧对齐用例。 - asset_rename.rs:249-250 [bug · medium] 已被修复：revision 推进失败改为报 `reconciliation-required: 素材已改名…且 manifest 已落盘，但项目 revision 未能推进`，明确这是「已提交但对账未完成」而非普通失败；同时新增的 CAS 使后续命令必须按新 revision 重试，重试会命中同名 no-op 分支收敛。 - tests/asset_rename.rs:257-263 [maintainability · medium] 已被修复：删除 `RenameLocalProjectAssetFaultStage` 枚举与生产签名上的 `fault` 参数，故障注入改用 `#[cfg(test)]` 的 `.agent/runtime/test-fail-next-asset-rename-manifest-write` 标记文件（与 agent_db 既有约定一致），生产 API 面不再能被推上「只回滚、不写 manifest」的路径。 - manifest.rs:1386 [bug · medium] 已被修复：预览缓存失效点下沉到唯一的装盘公共体 `write_manifest_locked_with_version_guard`（install 成功后立即失效，含安装后回读不一致的失败路径），`mutate_manifest_at_allowing_version_removals` 与绑定改写通道一并覆盖；`write_manifest_with_lock_hook` 里的重复调用已移除。 - manifest.rs:1480-1482 [bug · medium] 已被修复：填充侧改为「先取身份快照 → 读取 → 复核快照一致才入缓存」，不再可能出现「旧内容 + 新文件身份」的缓存条目。 - manifest.rs:1135 [security · low] 已被修复：新增 `normalize_manifest_asset_tags`，在共享归一化之后按数量（16）与单标签长度（32 字符）失败关闭；超长标签不截断，避免与共享标签库静默分叉。 - manifest.rs:1180-1181 [bug · medium] 已被修复：审计改为幂等——前后分类与标签完全相同时不追加记录，重试不会再写出 `previousCategory == category` 的假变更审计（保留「manifest 落盘后、推进 revision 前追加」这一既有位置约定）。 - manifest.rs:1140 [maintainability · low] 已被修复：分类写入的项目写锁标签由 `asset.register` 改为 `asset.classification.update`，争用诊断不再误报成素材登记。 - 测试：新增 preview_cache_tests（命中/TOCTOU 不入缓存/身份漂移丢弃/主写入通道显式失效）、分类重复写入不留假审计、标签上下界拒绝；7 条变异验证全部 CAUGHT。	2026-09-12 20:20:12 +08:00
suzmii	3a9e45c805	修复素材导出缺少敏感文件拒绝与自我覆盖保护 ... 修复素材导出缺少敏感文件拒绝与自我覆盖保护（PR #316 review） - asset_export.rs:27-30 [security · high] 已被修复：`resolve_export_source_file` 现在与通用读取路径同一口径，normalize 后先 `reject_agent_runtime_private_control_path` 再 `reject_sensitive_project_file_read`，`.env` / 本地凭据配置与 `.agent/runtime|checkpoints|workbench` 控制面都不能被复制到项目外。 - asset_export.rs:31-33 [security · medium] 已被修复：源路径改用 `resolve_local_project_path` 逐段复核符号链接与 Windows reparse point，`assets` 本身是链接/junction 时不再把项目外文件当成素材导出。 - asset_export.rs:76-78 [bug · high] 已被修复：新增 `reject_export_destination_matching_source`，在创建写句柄之前按「路径等价（大小写不敏感平台忽略大小写）」+「文件身份（含硬链接，退化身份不参与判定）」拒绝保存目标与源素材同一份文件；否则 `File::create` 先截断源文件、复制读到 0 字节还会报成功。 - asset_export.rs:93-95 [other · low] 已被修复：复制改为同目录临时文件 + `sync_all` + `rename` 原子替换，失败时清理临时文件；不再先截断既有目标、也不再留下半截文件。 - 文档：命令 docstring 不再声称「只导出 manifest 已登记素材」——DirectProject 导入的附件同样要能另存，而它们不是 manifest 资产，所以这里明确写成与通用读取同一套路径门禁。 - 测试：新增 5 条用例覆盖敏感/控制面源拒绝、中间目录符号链接逃逸、目标即源文件、硬链接目标、原子替换不留临时文件；7 条变异验证全部 CAUGHT。	2026-09-12 20:19:57 +08:00
suzmii	c76ecd07ab	修正合并带入的 rustfmt 漂移与换行符，恢复 Repository checks ... - cargo fmt 三个由 feat/agc-resource-replace 带入且从未跑过 CI 的 Rust 文件：version_resource_replacement.rs、manifest/version_binding_rewrite_tests.rs、tests/version_resource_replacement.rs - 四个文件统一为 LF，修掉 rustfmt 报的 Incorrect newline style：shared-contracts/game_creation_app.rs、view/project-development/index.tsx、decision-log.md、技术方案文档 - 本地按 CI 链复跑：encoding / npm-workspaces / spacetime-schema / production-ops / preview-deployer / maintenance-page / rustfmt / eslint / typecheck 全部 exit 0 - check:git-hooks 仍红，但红在已知 Windows EBUSY 抖动（rmdir 临时 repo 被占用），Linux CI 不受影响	2026-09-12 14:36:23 +08:00
suzmii	e4ee6c2be8	合并 feat/agc-resource-replace：把「替换素材」接进资源工作台 ... - 解冲突 project/manifest.rs：保留版本写入公共体 write_manifest_locked_with_version_guard（版本只追加 + 绑定改写放行），并把 schema 校验并入该公共体，两侧语义都不丢 - 解冲突 shared-contracts：取当前分支的读显示口径 game_creation_app_asset_effective_category（含与 TS 交叉钉住的 EFFECTIVE_CATEGORY_CONTRACT 矩阵），同步改写 version_resource_replacement 对旧函数名的调用 - 解冲突 index.tsx：两处均为纯 import 追加，两侧都保留 - 解冲突 decision-log 与技术方案文档：两侧条目都是追加，全部保留 - 随之进入本分支：版本绑定改写窄放行通道、直接替换命令与其兼容性判据、资源卡工具条「替换素材」入口	2026-09-12 14:19:03 +08:00
suzmii	9fea60b850	append 锁：预算与项目写锁对齐、超时报可诊断的持锁方、争用做有界退避重试 ... - project/agent_db.rs：等待预算从 10ms×100≈1s 改为 5ms×2000≈10s，与项目写锁完整窗口同口径；新增 lock_short（5ms×200≈1s）供只读路径使用 - project/agent_db.rs：超时文案在锁路径后追加持锁方线索（读锁文件里的诊断元数据，读不到就明说不可读），现场不再只拿到一句"检查运行时配置" - project/agent_db.rs：取锁成功后把 label/pid/processStartedAt/acquiredAt 写进锁文件；仅作诊断，不参与判活、回收或抢占，同一进程重复取同一把锁不重写 - project/agent_db.rs：抽出 PROJECT_APPEND_LOCK_TIMEOUT_MARKER 常量，控制流不再各自复制中文 - project/conversation.rs：整份读对话记录的两处只读入口改用短窗口，避免把面板读路径一起拖住 - agent/direct_project_history.rs：争用类失败做一次有界退避重试（250ms）；格式类失败不重试 - agent/direct_runtime.rs：锁争用给可操作提示（另一个客户端进程正在读写该项目历史或项目锁，请稍后重试，确认没有其它客户端再重启），retryable 保持 true，但现在确实会自动重试 - 用例：预算口径、锁文件诊断元数据、持锁方线索、被独占持有时超时且不留残留、争用重试成功、超出预算失败关闭、格式类不重试 - 变异验证：预算常量改回 1s → 预算用例红（left 10ms / right 5ms）；去掉重试 → 重试用例红（append after retry 直接报跨进程锁超时）；验证后已还原	2026-09-12 01:09:37 +08:00
suzmii	77871bfa56	把可能弹 UAC 的 ACL 提权修复移出 append 锁的持锁窗口 ... - project/agent_db.rs：Windows 取锁成功路径不再在"已持有零共享句柄"时做带提权的 ACL 修复；持锁期间只做不提权的严格校验，校验不过就先释放句柄、再提权修复，并返回"这轮没取到锁"由外层重试循环按修复后的 DACL 重新打开 - project/agent_db.rs：新增 release_project_append_os_lock_then_repair_acl，参数按值接收锁句柄且函数体第一件事是 drop，使"边持锁边等 UAC"在签名层面无法被表达 - 原因：提权修复走 powershell Start-Process -Verb RunAs -Wait 同步等用户点 UAC，在持锁期间等它等于把用户犹豫的时间记进别人的持锁窗口；只有 Windows 存在这条路径 - 判据（结构级）：提权修复只在此一处被调用，且调用点必须交出句柄所有权；测试环境不弹真 UAC（config.rs 测试分支本地收紧），故不写假 UAC 用例 - 真机判据：DACL 有缺陷的机器上，持锁方进入修复期间不再持锁，等待方从"超时"变为可成功 - 不变项：首次创建锁文件的本地 harden 仍留在持锁期间（本进程新建对象不因继承 DACL 自动提权）	2026-09-12 00:12:52 +08:00
suzmii	1affb5eec3	锁内只保留 append：DirectProject 历史的幂等回扫移出持锁窗口 ... - direct_project_history.rs：幂等回扫与序列化移到取锁之前，取锁后常态只做一次追加，不再在锁内读完并逐行解析整份历史 - direct_project_history.rs：回扫到取锁之间若历史文件变了（len/mtime 与回扫时不一致）才回到锁内重扫一次；同一 id 不写第二行的语义不放宽，只是常态不再为它读整份文件 - direct_project_history.rs：新增 direct_project_history_duplicate_at 三态判定（Absent/Identical/Conflict）与回扫状态快照，对外行为与原实现一致（幂等 no-op、id 冲突失败关闭） - direct_project_history.rs：新增回扫探针（两个时点回调）与三条用例：回扫在 append 锁外、锁外回扫后并发追加仍不重复写、id 冲突仍失败关闭 - project/agent_db.rs：新增测试专用探针 project_append_os_lock_is_held_for_test，用与生产同一套打开方式判断追加写目标的锁此刻是否被持有 - 变异验证：把回扫塞回锁内后 idempotency_reverse_scan_runs_outside_the_append_lock 变红（exit 101），报出「幂等回扫必须发生在 append 锁外」，验证后已还原	2026-09-12 00:07:04 +08:00
suzmii	5fff7a134c	④ 资源分类写入补一条 agent.db 审计记录 ... - update_manifest_asset_classification_at 在 manifest 写成功后追加 recordType=asset.classification.update 的审计，复用既有 append_agent_db_record 惯例（照 assets.rs 的 asset.register / asset.update：manifest 写成功后追加） - 字段：assetId（沿用 assets.rs 的 assetId）、expectedProjectRevision（本次写入实际校验的 CAS 基准 revision，沿用分类输入契约里的同名参数）、previousCategory / previousTags（变更前值）、category / tags（变更后值） - 不记 localPath / kind / mediaType / source：本记录针对的是已有 assetId 的分类变更，这些字段并未改变，且能从 manifest 或既有 asset.register 记录追到，多记一份会在改名后产生互相矛盾的审计 - 不用 projectRevision 这个名字：既有 agent.runtime.action_receipt 里 projectRevision 的语义是「动作完成后的 revision」，本条审计追加在 revision 推进之前，沿用同名会指代不一致；审计是持久化数据，故在新记录类型里另起不冲突的名字，不动既有记录格式约定 - 位置放在推进 revision 之前是刻意的：分类已经真实落盘，审计不能因为紧随其后的 revision 推进失败而缺失，否则「改过但查不到」正是这条缺陷；推进失败仍然照旧报错 - 审计追加失败按既有惯例映射为可见错误「资源分类已写入，但审计记录失败：{error}」，不静默吞掉 - project/manifest/classification_tests.rs 补 3 条断言：成功写入恰好一条且前后值正确（含第二次写入的 previous 必须取第一次的落盘值）、四类被拒写入不产生任何审计、审计写失败时错误可见且不留假审计（同时确认分类本身已落盘、不回滚）	2026-09-11 21:18:55 +08:00
suzmii	6cc73b07ac	② GameCreationAppManifest 加 deny_unknown_fields：未知顶层字段失败关闭 ... - shared-contracts 的 GameCreationAppManifest 加 #[serde(deny_unknown_fields)]，并写明取向与取舍 - 选「失败关闭」而不是「保留未知字段 round-trip」的理由：AGC 读写 manifest 是「整结构体反序列化 + 整结构体重新序列化覆盖落盘」，放行未知顶层字段就等于让「读一次 + 任意一次写」静默抹掉未来版本新增的字段；而 flatten catch-all 只能覆盖加了它的那一层，tasks / assets / versions / preview / commandRuns 内部的未来新增字段照样被抹掉，且写侧的 skip_serializing_if 会同时把已知字段归一化，落盘结果是「新字段原样 + 旧字段被规范化」的混合体，比直接报错更难排查 - 与既有取向同口径：本批新增的资源布局 sidecar 对未知 schema 就是失败关闭，UpdateLocalProjectResourceClassificationInput 也已 deny_unknown_fields - 影响面已核实：server-rs 内 game_creation_app 模块只被自身引用，不进 /api/external/v1、不进 SpacetimeDB；全仓 GameCreationAppManifest 的反序列化点只有 src-tauri 的 read_manifest 一处；仓库自带 smoke 脚本写的 manifest 只有 schemaVersion/projectId/name/assets 四个已知键 - 断言：shared-contracts 补契约级用例（未知顶层字段反序列化失败且报出字段名、已知字段含可选字段照旧往返）；project/manifest/import_tests.rs 补消费侧用例（纯读报错、读+写入口 mutate_manifest_at 也报错、两次失败后磁盘文件逐字节未变即未知字段没被抹掉）	2026-09-11 21:18:29 +08:00
suzmii	5eaf9faefd	① manifest 的 schemaVersion 补读/写失败关闭门 ... - 新增 validate_manifest_schema_version：只接受 GAME_CREATION_APP_MANIFEST_SCHEMA_VERSION，未知版本报「manifest schemaVersion 不受支持：{实际值}（当前支持 {当前值}）」 - read_manifest 在解析后立即校验 schemaVersion，与既有的 godotProjectRoot / versions 校验同级；读到未知版本直接拒绝打开，不再被当成已知版本继续使用 - write_manifest_locked 落盘前同样校验，保证本客户端永远不会把未知 schemaVersion 写进项目（该函数是 write_manifest 与 mutate_manifest_at 共用的唯一落盘入口） - 前向兼容取舍：刻意不做「接受未来版本 + 读时就地升级」——当前并不存在 v2 定义，凭空写一个升级只能把未知数据改写成当前版本的形状，正是本次要修掉的「静默接受」；代价是未来发 v2 时旧客户端明确报错要求升级，而不是把项目按旧结构写回 - project/manifest/import_tests.rs 补 3 条断言：当前版本必须被接受且全字段回读相等（正向断言，挡住「无条件拒绝」这种改法）、未知版本读失败且磁盘文件逐字节未变、未知版本写失败且不落盘	2026-09-11 21:18:15 +08:00
suzmii	15660a98b2	修 CI：补跑 AGC src-tauri 的 rustfmt，修正本批遗留的 8 处格式偏差 ... - 只做格式重排（应合成长行/应拆多行），无语义改动 - 命中 agent/direct_project_history.rs、agent/direct_runtime.rs、main.rs、project/conversation.rs、project/conversation/tests.rs - 分别来自 bfb928295 / 2b44b6259 / 458a65cb5 / f0d5687ab 四笔提交的新增行 - 成因：pre-commit 的 lint-staged 只覆盖 *.{js,mjs,cjs,ts,tsx}，Rust 格式本地无守卫	2026-09-11 21:09:09 +08:00
suzmii	b6a2eae38d	资源替换改成直接替换：只改该版本绑定，不建新版本 ... - 口径变更：资源替换从「版本级替换（改绑定 + 追加下一迭代版本）」改成「直接替换（只改 manifest 里该版本的绑定，不建新版本）」，原因是用户 2026-09-11 的裁决「替换这块先做成直接替换」（同日 DDL） - 按「四不写」删除版本级路径：不再创建 replace-{revision} 版本、不再写 parentVersionId / createdReason=resource-replacement、不再有「替换前后身份可推」的父子版本对；相关注释与常量一并删除，不留兼容分支 - 改绑定改走 manifest.rs 的窄放行通道 mutate_manifest_allowing_version_binding_rewrites（上一提交新增），放行集合固定为 [sourceVersionId]：不增删版本、不重排、只改这一个版本的 resourceBindings - 绑定改写语义不变（恒等绑定口径）：源素材从该版本的绑定集合里消失 + 保证替换素材在集合里；替换素材是版本创建后才登记时按源素材原位置插回，早已登记时只摘除（避免「资源槽位重复」） - 准入校验按用户裁决调整：categoryEqual 与 subtypeEqual 仍是硬门禁（拒绝并说明哪一项不等），sizeSpecEqual 降级为提示不再拒绝 —— 它的完整判据今天不存在（manifest 无 width/height/durationMs，实际只等于媒体格式相等），硬拦会误拒 png↔webp 这类直接替换里最常见的需求；提示文案为「格式与源素材不同」，同时出现在候选与写入结果里 - 写入成功后推进一次项目 revision（改绑定属于 versions 变化，跨面快照门禁要求 revision 前进），并追加一条 asset.version_binding.replace 审计（复用既有 append_agent_db_record，字段 versionId / sourceResourceId / replacementResourceId / projectRevision）；审计写失败报错但不回滚，与 asset.register 同口径 - 返回结构去掉 parentVersionId：改为 { versionId, committedProjectRevision, replacement: { versionId, sourceResourceId, replacementResourceId, compatibility, warning } } - 定向用例按新形态重写并补齐 8 条：只改绑定不产生新版本且除绑定外逐字段不变、替换素材早已绑定时只摘除、分类/类型硬门禁拒绝且零副作用、跨格式只提示仍放行、已知帧尺寸与时长事实只提示、读时自愈口径、四条拒绝路径、CAS、候选读取顺序与原因、审计记录留痕 - 已知代价（写进模块文档）：直接替换没有可回溯的替换历史，替换前身份只剩这条审计与 manifest 的 .previous 副本 - 验证：定向 8 passed / 0 failed；cargo check --locked --all-targets exit 0	2026-09-11 19:55:45 +08:00
suzmii	17e8e477a4	新增版本绑定改写的窄放行通道与定向用例 ... - 新增第二条、也是更窄的版本放行通道 mutate_manifest_allowing_version_binding_rewrites：只放行"显式列出的版本改写自己的 resourceBindings"，供「直接替换」写入使用 - 新增独立校验函数 validate_version_records_allow_binding_rewrites：不增不删（候选与磁盘版本数量必须相等）、不重排（版本 ID 序列逐项相同）、只有放行 ID 允许 resourceBindings 不同、其余字段（versionId / parentVersionId / projectRevision / createdReason / createdAt / editPrompt）逐字段相等、未放行版本整条相等、放行集合取自写入前 manifest - 两组放行集合必须互斥：同一版本 ID 既被放行删除又被放行改写绑定 → 报「版本绑定改写放行与版本删除放行必须互斥」失败关闭 - 既有 validate_version_records_are_append_only 与既有 mutate_manifest_at_allowing_version_removals 的语义一行未改：本通道是另一条独立的窄校验路径，默认写入路径仍然只有「只追加 + 显式放行删除」 - 把写盘公共体抽成 write_manifest_locked_with_version_guard（校验器由调用方注入），write_manifest_locked 变成一行委托：装盘 / 回读 / 原子替换只有一份实现，存储行为与改造前逐行等价；唯一被参数化的就是版本校验那一步 - 新增 7 条定向用例：放行版本只改自己的绑定成功且其余版本整条相等、未放行版本改绑定被拒且字节不变、增删版本被拒、重排被拒（直接打校验器 + 真实通道两条）、放行版本改 createdAt / editPrompt / parentVersionId / versionId 四种其它字段都被拒、两组放行集合重叠被拒、默认路径与删除放行通道仍然拒绝绑定改写（证明只追加保证没被打穿） - 回归确认：既有 manifest_versions_are_append_only_at_the_storage_boundary 与 asset_delete 7 条继续全绿	2026-09-11 19:42:54 +08:00
suzmii	f0d5687ab7	共享的 project.jsonl 让两条对话链互读对方的行，混合历史不再双向失败关闭 ... - project/conversation.rs：read_persisted_local_conversation_records_unlocked 跳过 type=response_item 且带 payload 的行（DirectProject 写给同一份「项目主对话」的行），其余解析失败仍按「解析对话记录失败」失败关闭 - 新增 is_direct_project_history_row 做行信封白名单，只认对方那一种明确枚举的形状，不放宽成「什么都跳过」 - 不把 response_item 行二次投影成 LocalConversationMessageRecord：DirectProject 侧已经拥有那份 Responses item → 聊天内容的投影，再造一份平行投影会与它漂移 - 不加「文件已属于 DirectProject 就拒绝追加旧行」的硬报错：runtime_driver/task_start.rs 在 ensure_..._accepted_public_status_at 返回 Err 时会中止后台任务（「后台任务启动确认落盘失败，任务未执行」），runtime_protocol/steering.rs:572/604/1300 也用 ? 上抛，加硬报错会把旧行噪声换成任务起不来；毒化本身已由读侧白名单堵住 - 补断言：混合文件里通用链只读自己的 legacy 行且坏行仍失败关闭、混合文件从两条链都能读（DirectProject 把两种行都读出来）、纯旧格式文件的写入行为不变	2026-09-11 18:36:07 +08:00
suzmii	fc4a2c12f4	新增 AGC 版本级资源替换的后端命令与三项兼容性判据 ... - shared-contracts 新增 game_creation_app_asset_category_with_read_time_healing：把 PRD §5.3「分类取值优先级」的读时自愈口径落到 Rust（落盘 unclassified 且 kind 能明确分类时采用派生值），与 packages/shared 的 gameCreationAppAssetCategory 逐分支一致，并补定向用例锁定该窗口 - 新增 project/version_resource_replacement.rs：三项兼容性判据（categoryEqual 用读时自愈口径、subtypeEqual 用 canonical kind、sizeSpecEqual 用规范化媒体格式 + 已知帧尺寸与时长事实） - sizeSpecEqual 在代码注释里明确标注降级：manifest 资产表今天没有 width/height/durationMs 字段，且现役写入侧几乎全部写 imageSequenceFrames=None，所以该项实际退化为「媒体格式相等」；要支持跨图片格式替换必须先给 manifest asset 加尺寸字段（跨端契约变更） - 新增 replace_local_project_version_resource_at：持项目写锁并按 expectedProjectId + expectedProjectRevision 做 CAS，一次写入里追加 createdReason=resource-replacement 的子版本（parentVersionId 指向源版本），子版本绑定 = 源版本绑定去掉源素材并保证替换素材在集合里；全程不调用 mutate_manifest_at_allowing_version_removals，既有版本记录一个字节不改 - 替换前后资源身份按 PRD §5.4 版本字段表口径用推导记录（父−子 = {源素材}、子−父 = {替换素材}），并注明「替换素材在源版本创建时就已登记」时子−父为空集的已知限制 - 新增 read_local_project_version_replacement_candidates_at：只读返回候选与后端权威兼容性结论，候选渲染但禁用并给出原因，不在前端重算判据 - commands.rs 新增两个命令包装（读用 asset.list、写用 asset.register），main.rs 注册进 generate_handler - 新增 8 条定向用例：只追加与父子/修订关系、两条绑定路径（1:1 交换与替换素材已绑定）、三项兼容性逐项拒绝且零副作用、CAS、四条拒绝路径、候选读取顺序与原因、读时自愈口径锁定 - 中间状态声明：本提交落地时前端调用方尚未提交，npm run ai-game-creator-shell:typecheck 会因 check-config.mjs 要求「每个 Tauri 命令都有 App invoke 调用方」而失败；这是刻意保留的中间状态，不得把这两个命令加进 native-only 白名单换绿	2026-09-11 17:37:01 +08:00
suzmii	1801d2b227	清 AGC src-tauri 既有 rustfmt 欠账：5 个文件纯格式化，无逻辑变更 ... - `check:rustfmt` 跑 server-rs 与 AGC src-tauri 两条命令，CI 在 server-rs 那条就退出，AGC 侧欠账从未被跑到；本提交只做格式化，不改任何语义 - `src/agent.rs`：`mod` 声明与 `pub(crate) use` 按 rustfmt 排序口径调整 `direct_codex_references` 的位置（声明顺序无语义影响） - `src/assets.rs`：`infer_canvas_export_asset_kind` 的 `else if` 条件行重排；两处 `assert!` 参数按 use_small_heuristics 折叠；两个返回 `Result<..>` 的函数签名断行 - `src/project/asset_export.rs`：`resolve_export_source_file` 签名折成单行，`File::open`/`File::create` 两行重排，用例里 `SaveLocalProjectAssetFileInput` 实参折叠 - `src/tests/asset_rename.rs`：两处用例断行/折叠 - `src/tests/asset_delete.rs`：一处 `assert!` 实参折叠及连带重排 - 已用 `cargo fmt -p genarrative-ai-game-creator-shell -- --check <这 5 个文件>` 与整 crate `cargo fmt --all -- --check` 双重验证通过	2026-09-11 12:25:49 +08:00
suzmii	775b3792cd	修 rustfmt：resource_editor 新增用例按仓库格式折行 ... - `editor_api_rejection_reason_from_body` 用例里 3 处 `serde_json::json!(...).to_string().as_str()` 实参按 rustfmt 口径断行 - `editor_api_rejection_reason_from_body("<html>502</html>")` 断言折行 - 连带收掉 `remote-terminal-failed` 的 match 分支：该 arm 因上一提交改宽而超行宽，按 rustfmt 折成块 - `resource_editor.rs` 现在通过 `cargo fmt --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -- --check`	2026-09-11 12:21:04 +08:00
suzmii	95c5418c0f	合并 master（#318 写锁等待与可诊断）入 V3 分支 ... - 三个文档冲突按两边都保留解决：decision-log.md、pitfalls.md、实施计划技术方案；两边追加的是不同主题（资源画布/预览/聊天区 vs 写锁），语义无冲突 - Rust 侧 direct_runtime.rs、direct_tool_bridge.rs、project_gates.rs、project.rs 自动合并成功，无手工介入 - 冲突处仅移除 Git 标记行，未删改任何一方内容（每个文件恰好减少 3 行）	2026-09-11 11:33:12 +08:00
suzmii	5e29b1bb57	预览链去掉无消费者的摘要计算，并为预览读取加进程内 manifest 缓存 ... - 资源卡预览不再计算 SHA-256：`AgentRuntimeInspectionImage.sha256` 改为 `Option<String>`，读取函数新增 `include_sha256` 开关，门禁、分块读取、漂移与重开身份复核、签名与尺寸校验仍只有一份实现，只在末尾按调用方决定是否算摘要。预览路径传 `false`（它的 `LocalProjectImagePreview` 从来不消费摘要），Agent `image.inspect` 路径继续传 `true`。 - 取摘要改为 `sha256_digest() -> Result`，缺摘要失败关闭；`project_gates.rs` 提前算成 `image_sha256` 再进判定闭包，避免退化成「空摘要 == 记录里的空摘要」而静默通过视觉检查复核；`runtime_tools/media.rs` 改用仓库既有的 `match { Err => return failed observation }` 风格，不引入新的 panic 面。 - 新增 `read_manifest_cached_for_preview`，只接到 `read_local_project_image_preview_at`、`read_local_project_text_preview_at`、`read_local_project_media_preview_at` 三个预览命令，消掉一次画布装载中「每张卡片各读并解析一遍同一份 manifest」的重复开销。`read_manifest` 本体、`read_manifest_for_project` 和写入路径的安装后回读一字未动。 - 缓存命中判据每次重新获取当前文件身份：路径复核 + 非符号链接或 reparse point + 普通文件 + 长度 + mtime + 文件身份（Windows `(volume serial, file index)`，Unix `(dev, ino)`）；失败一律不入缓存，错误语义与 `read_manifest` 完全一致。为此放开 `metadata_is_windows_reparse_point` 为 `pub(crate)` 并新增跨平台 `open_file_identity_key`。 - 写入侧硬做失效：`write_manifest_with_lock_hook` 成功写入后调用 `forget_preview_manifest`。只靠长度 + mtime + 身份堵不住同长度原地改写，显式失效后正确性不再依赖时间戳粒度，读取侧身份复核保留为兜底。 - 收益如实记录：真机项目实测 52 次 manifest 读加解析约 10 ms 量级，并省下约 3.15 MiB 重复磁盘读取。这是消除重复工作的正确改动，但不是性能救命项；用户感知的加载耗时大头仍在资源卡图片解码。 - 决策记录补「AGC 资源卡预览维持 data URL 加纯内存 LRU，不引入 Tauri asset 协议」：正式否决该候选路径，写明原始合同原文（不向 WebView 暴露任意本机文件协议或绝对路径）、打通所需配置（`assetProtocol` 加 `protocol-asset` feature 加 scope 只能 `**/*`）、会绕过的全部门禁（`file.read` 权限、项目边界、登记复核、敏感路径、父目录链接、硬链接、读取漂移与重开身份、按魔术字类型校验、尺寸上限、取消语义与全局 3 permit），以及收益与代价不成比例；同时否决磁盘缩略图缓存。 - `pitfalls.md` 补同题排障口径，含判据陷阱：把「每次启动重读」当成本瓶颈是错的，真机 52 张 PNG 分层实测 Rust 加 JS 合计仅约 0.3 s。	2026-09-11 00:57:33 +08:00
suzmii	71e9ad3133	修复锁失败终态判据漏传平台导致 CI 把权限改判成争用 ... - project_write_lock_permission_is_ambiguous 改为按平台加原始错误码判定（Windows 的 ACCESS_DENIED(5)）；只看 ErrorKind 在 Linux 上会得出相反结论：errno 5 在 Windows 是 ACCESS_DENIED、在 Linux 是 EIO - ProjectWriteLockFailure::Retryable 携带 platform，终态改判与争用文案都用同一次分类的平台，不再依赖宿主 errno 语义 - 终态投影用例显式用 Windows 平台构造失败并补 Unix 反例，两个平台上结论一致；CI 首次推送正是在此失败（2358 passed / 1 failed，left contention / right permission_denied） - pitfalls 补充“判据的每一环都要带平台”的排障经验	2026-09-10 20:46:10 +08:00
suzmii	06f738dc99	将项目写锁从 project/filesystem.rs 纯搬移到 project/write_lock.rs ... - 新建 project/write_lock.rs：取锁、等待分类、持锁方诊断、残留回收与 4 条锁用例整体搬移，逻辑不变 - project/filesystem.rs 只保留项目文件 IO（1533 → 680 行），锁相关常量、结构、进程判据与用例全部移出 - project.rs 注册 mod write_lock 并 pub(crate) use write_lock::*，crate::project:: 与 crate:: 既有路径不变 - windows_metadata_is_reparse_point 提为 pub(crate)，供 write_lock 复用同一条 reparse point 判据 - agent_db.rs 与 checkpoint.rs 的 PROJECT_FILE_FLAG_OPEN_REPARSE_POINT 导入路径改为 super::write_lock - 同步修正技术方案、Fast GDD 技术方案、decision-log、pitfalls 中指向锁实现的文件路径，并把“拆锁”从后续事项改为已完成	2026-09-10 20:12:28 +08:00
suzmii	8c639e5d13	修复项目写锁重试判据用一次元数据观察误判瞬时争用 ... - 项目写锁分类改为只按错误码判定重试性，不再用 path.exists() 决定“要不要等”：真机 6 万次建锁/删锁竞争实测 396-538 例命中“ACCESS_DENIED(5) + 目标不可见”，旧判据会让等待层立刻失败关闭，把毫秒级竞争换成更误导的 ACL 文案 - 新增 ProjectWriteLockFailure（Retryable / Terminal）与 acquire_project_write_lock_failure，有界等待改按类型分流，acquire_project_write_lock 退化为它的文案包装 - Windows 的 ACCESS_DENIED(5) 终态改判移到等待预算耗尽之后：只有真的等过预算且目标此刻仍不存在时才投影成权限拒绝，单次试探保持争用语义 - 锁分类判据改为平台参数传入（project_write_lock_open_failure_for），Linux CI 可覆盖 Windows 分支；替换原先只在 Windows 本地执行的分类用例 - 零等待入口在错误码不可区分时补一句“可能是删除挂起、删除拆链窗口或权限 / ACL 拒绝”，争用前缀逐字不变，调用方既有重试语义不受影响 - PROJECT_WRITE_LOCK_CONTENTION_PREFIX 收口 provider_recovery.rs、planning_session_v2.rs、direct_runtime.rs 三处手写文案 - project.write_lock.wait_exhausted 日志补 projection= 分类，attempts 记为实际尝试次数 - 同步更新技术方案、decision-log、pitfalls，并修正 ownerIsSelf 只比 PID 的表述	2026-09-10 20:07:28 +08:00
suzmii	6f09bf3a00	AGC 资源画布分区轴改为 6 类资产分类加独立项目版本栏目（阶段一：契约与读时映射） ... - 契约层新增 PROJECT_RESOURCE_CANVAS_SECTIONS：6 类资产分类加末尾独立的项目版本栏目，并补齐分区类型 - 契约层新增旧四 / 五栏目取值白名单、Persisted 联合类型与两个类型守卫 - Rust 契约 ProjectResourceCanvasSection 增补 7 个现行 variant 并保留 Code / Art 旧值，新增同名分区常量 - Rust 契约不升 game-creator-resource-layout.v1 版本、不给未知 section 加兜底，损坏 payload 继续失败关闭 - 新增 resourceCanvasSectionMapping.ts：旧栏目到现行分区的映射表、回落栏目与读时归一化 - 读时归一化只改写 section，x / y / manuallyPlaced 原样保留，无法归并时沿用既有丢弃行为 - resourceProjectionModel 把扩展名分类器更名为 projectedResourceKind 并收敛为准入与显示类型 - resourceProjectionModel 新增 projectResourceCanvasCategory：项目版本独立成栏、Agent 回执归文档、其余按资产分类 - Rust resource_layout 测试夹具改用现行分区值，并新增既有旧 section sidecar 仍可读取的用例 - 新增 resourceCanvasSectionMapping 测试：旧值乘目标栏目矩阵覆盖坐标保留、section 改写、changed 判定与回落列不变量 - projectResourceProjectionModel 测试新增 7 栏分区投影、项目版本独立成栏与只登记游戏代码项目落在待归类 - 同步 PRD、GameAgent 资源自由画板技术方案、AGC 实施计划与共享记忆决策记录的分区口径	2026-09-10 19:57:34 +08:00
suzmii	c20e28bed0	修正 AGC 快速编辑 4xx 失败原因取值：优先 details.message 并附 provider 与素材类型上下文 ... - `editor_api_rejection_reason` 取值顺序改为 `error.details.message` → `details.message` → `error.message` → `error` 文本 → 顶层 `message` - 平台把所有 4xx 兜底成「请求参数不合法」，真实原因写在 `details.message`，原实现只读 `error.message` 导致用户永远看不到原因 - `details` 有值时附带 `provider`，并透出 `assetKind` / `mediaType`，非 BAD_REQUEST 的稳定错误码照旧透出 - 抽出同步函数 `editor_api_rejection_reason_from_body` 并补定向用例，钉住取值顺序、截断与兜底行为	2026-09-10 19:01:09 +08:00
suzmii	8c74e5f97c	修正 AGC 图片快速编辑的 400 判据测试：补 art-spritesheet / ui 正向用例并钉住请求级链路 ... - 服务端白名单用例改为按静态图集合断言，新增 `art-spritesheet` / `ui` / `ui-prototype` / `game-art` / `game-background` / `art-spritesheet-slice` 正向用例 - 保留 `future-kind` / `video` / `audio` / `image-sequence` / `character-animation` / `document` / `code` 负向用例，并补 mediaType AND 门用例 - 新增请求级回归用例 `game_creator_client_quick_edit_accepts_local_manifest_static_image_kinds`，按 AGC 客户端真实请求体（source 已改写为 ai-game-creator-client）覆盖放行与拒绝两侧 - 新增 `game_creator_client_source_is_recognized_as_game_creator_resource_editor`，把 source 别名与队列 consumer 判定钉在同口径 - 修正 icon 相关旧断言：`icon` 已是共享契约静态图类型，改断言 non-static 媒体仍被拒	2026-09-10 19:01:04 +08:00
suzmii	4ecab19429	修正 CI 权限用例在 root 容器下的前提并补平台无关的分类判据 ... - project_write_lock_does_not_project_permission_denial_as_contention 不再用 expect_err 断言“只读目录必须挡住取锁”：CI 容器以 root 运行，0o500 不生效，取锁会正常成功；此时跳过端到端前提 - 新增平台无关用例 project_write_lock_classifies_by_whether_the_target_exists：目标存在才是争用、目标不存在却创建失败是权限拒绝、NotFound 归其它 - 让权限分类判据在不依赖 ACL 环境的条件下也有回归护栏，避免只靠会被 root 绕过的端到端用例	2026-09-10 16:52:30 +08:00
suzmii	746b96e71d	资源编辑 400 同时透出平台错误码 ... - editor_api_rejection_reason 额外读取响应体 error.code，过滤掉等价于通用文案的 BAD_REQUEST 后拼成「原因｜错误码 CODE」 - 背景：http_error.rs 把所有 4xx 兜底为同一条「请求参数不合法」，只透 message 会丢掉唯一可用于定位的信息	2026-09-10 16:45:29 +08:00
suzmii	56c6e0fecc	修复工具条折行与资源编辑 400 的错误盲区 ... - resourceCanvasChrome.css：移除我自行添加的 max-width 与 flex-wrap: wrap，按网页端美术画布原始规则改回单行不换行（容器 nowrap + 溢出横向兜底），按钮统一 2.25rem 方块与 0.45rem 圆角，文字键 padding 改回 0 0.62rem，分隔线改回 1.125rem，消除动作变多时折叠成多层与按钮高矮不齐 - resource_editor.rs：新增 editor_api_rejection_reason，在 HTTP 400 分支把服务端响应体的可读原因（兼容 error.message / error 字符串 / details.message / 顶层 message，截断 200 字符）拼进用户可见错误，替换原先只有状态码的笼统提示	2026-09-10 16:33:13 +08:00
suzmii	81c2389132	修复 AGC Direct 写通道项目锁零等待与持锁方不可诊断 ... - Direct 写路径（agc_write_file）改用统一的有界等待，与 file.write / file.patch / file.delete 同语义，同一轮并行写多个文件按同一把锁串行，不再在 24-42ms 内把重叠判成"项目正在被其他写操作占用" - create_new 失败拆成争用 / 权限拒绝 / 其它三类：锁文件不存在却仍创建失败不再投影成争用；sharing violation(32) 与 lock violation(33) 恒定归争用 - 争用错误与等待日志带上持锁方身份（commandId / pid / createdAt / ownerIsSelf），锁文件处于删除挂起或未写完时显式表达成"身份不可读" - ProjectWriteLockSnapshot 补 commandId 与 describe_holder()，沿用既有快照 + 字节 CAS 回收机制，不新增第二套回收判据 - 有界等待预算耗尽记 project.write_lock.wait_exhausted（含等待毫秒数），权限拒绝记 project.write_lock.permission_denied，争用不在零等待入口里逐次记账 - 新增同进程重叠写等待、同轮并行写、活外部进程持锁带身份、权限拒绝分类、ACL 拒绝不投影成争用五条回归用例 - 同步 decision-log、pitfalls 与技术方案文档	2026-09-10 16:30:22 +08:00
suzmii	f2f8a9af72	合并 WP4 资源面板与撤销重做：保留 C7 版本入口与资源面板接线 ... - project.rs 冲突：同时保留 mod asset_export（WS-B 下载命令）与 mod asset_rename（WS-D 重命名命令），丢弃已在 WS-A 退役的 asset_usage - index.tsx 冲突：同时保留 GameRunVersionPicker（C7 版本入口）与资源面板/历史模型导入（WP4）	2026-09-10 15:57:42 +08:00
suzmii	422a71d321	资源画布新增独立资源面板：预览/上传/下载/多选（WP4） ... 新增 features/resource-canvas/resourceCanvasAssetTransferModel：面板网格模型、选中集合解析、默认导出文件名、上传白名单（纯函数） 新增 features/resource-canvas/ResourceCanvasPanelView：独立浮层面板承载预览网格/上传/下载/全选/清空，选中状态直接读写画布同一份 selectedResourceIds，不造第二套选择 下载改为显式保存链路：前端 @tauri-apps/plugin-dialog save() 取目标路径，再调新命令 save_local_project_asset_file 复制素材文件，避免依赖不可靠的 <a download> Rust 新增 project/asset_export.rs 与命令 save_local_project_asset_file：校验项目根与相对路径、源必须是真实普通文件（拒绝符号链接与目录）、目标路径非空且父目录存在、分块流式复制不进整文件内存，返回目标路径与字节数 Rust 单测覆盖成功复制（内容一致 + byteLen + 源不变）、缺失源拒绝、目录源拒绝、空目标与父目录缺失拒绝、目标为目录拒绝 上传复用现役 upload_local_asset（落 assets/uploads 并登记 manifest 条目）后回读 manifest 刷新，只接受图片/音频/视频 capabilities/main.json 增加 dialog:allow-save；资源画布 chrome 样式补资源面板一套；index.tsx 只做导入/一处按钮/一处渲染/状态透传	2026-09-10 15:56:10 +08:00
suzmii	30e93c6c43	合并 WS-D 阶段一：新增本地项目素材重命名命令 ... - 解决 main.rs / project.rs / tests/mod.rs 的相邻插入冲突：main.rs 保留 read_local_project_asset_references 与 rename_local_project_asset 两条注册，project.rs 与 tests/mod.rs 只保留 mod asset_rename（asset_usage 已由 WS-A 整体删除） - 解决 decision-log.md 末尾追加冲突：保留双方条目（WS-A/口径收敛、删除新口径、C3 交互、Agent 投影 + WS-D 素材重命名）	2026-09-10 14:46:15 +08:00
suzmii	b2477c8ca9	新增本地项目素材重命名命令（Rust 侧） ... - 新增 Tauri 命令 rename_local_project_asset（输入 projectPath / assetId / newFileName），并在 main.rs 的 generate_handler! 中注册 - 新增 project/asset_rename.rs：重命名语义为“磁盘文件改名 + manifest localPath 更新”，资产 id / kind / mediaType / source / category / tags 全部不变，imageSequenceFrames 里指向该文件的本地帧一并对齐 - 校验判据：新名非空、不含路径分隔符（同时保证不跨目录）、不含 ..、通过可移植路径组件校验、扩展名与原文件一致、同目录不得已存在同名文件、assetId 与磁盘文件必须存在 - 事务与回滚：持既有项目写锁，manifest 写入走既有 write_manifest 边界（版本数组校验 + 安装后回读一致性）；写失败把文件改回原名，回滚也失败时两个错误都报出并标记 reconciliation-required；同名重命名按空操作处理 - 新增 tests/asset_rename.rs 9 条用例：成功改名与身份不变、同名空操作、空名 / 分隔符 / .. / 跨目录 / 扩展名不一致 / 目标同名冲突 / 资产与文件缺失拒绝、manifest 写失败回滚、同目录帧对齐 - decision-log 记录素材重命名语义、命令边界，以及“前端调用方落地前 ai-game-creator-shell:typecheck 必然失败”的已知中间状态	2026-09-10 14:42:11 +08:00
suzmii	824934df41	收敛 AGC 资源口径：撤掉运行期使用侧车并改为确认式删除 ... - 整体删除运行期资源使用侧车模块 project/asset_usage.rs 与 tests/asset_usage.rs（含 16 条测试），并清理 project.rs、tests/mod.rs 里的 mod / use - game_iteration_resource_bindings 收敛为纯恒等映射 slotId=asset:{assetId}、resourceId=assetId，不再读取侧车、不再做槽位优先 - assets.rs 删除 GAME_ITERATION_IDENTITY_BINDING_PREFIX、asset_is_bound_to_runtime_slot 与 remove_asset_usage_references，删除不再判定运行槽位、不再清理侧车引用 - manifest 写入层把“版本数组只允许追加”校验改为显式接收放行删除的版本 ID：新增 mutate_manifest_at_allowing_version_removals，其余写入路径继续传空放行集合 - delete_manifest_asset_at 改为三分支语义：无任何版本引用直接删登记、被引用且未确认时只删登记并原样保留悬空绑定、被引用且确认时素材与相关版本在同一次 manifest 写入里一起删除 - DeleteLocalProjectAssetInput 增加 deleteReferencedVersions 入参，commands.rs 与 main.rs 同步 - 新增只读命令 read_local_project_asset_references，列出引用了该素材的版本标识、revision 与创建时间 - 新增 tests/asset_delete.rs，覆盖恒等绑定、无引用删除、未确认保留悬空绑定、确认连带删除、引用投影、只允许追加校验仍拒绝其它路径与 CAS	2026-09-10 14:22:18 +08:00
suzmii	16748821e3	Merge branch 'feat/agc-version-switch' into feat/agc-canvas-resource-workbench-v3	2026-09-10 10:42:20 +08:00
suzmii	69741e5e13	新增素材删除能力与运行槽位绑定判定 ... - project/asset_usage.rs 增加 write_local_project_asset_usage_at：就地改写引用与诊断，保持身份与 revision 不变 - assets.rs 新增 delete_manifest_asset_at：素材不可变，只摘掉 manifest 登记、保留磁盘文件，并清理使用清单里指向它的悬空引用 - 删除判定只承认真实运行槽位绑定：恒等绑定是版本创建时的兼容兜底，若把它也算作被引用，任何在版本创建前登记过的素材都将永远删不掉 - CAS 口径与资源分类更新一致：持项目写锁后校验 expectedProjectId 与当前 revision，失败时 manifest 与 revision 均不变；成功后 revision 推进一格 - 新增 delete_local_project_asset 命令并注册；内联测试换成带 CAS 的公开入口 - 补 4 条删除测试：恒等绑定不阻止删除、真实槽位绑定拒绝删除并报出版本与槽位、删除清理悬空引用、陈旧 revision 与跨项目身份被拒且状态不变	2026-09-10 10:42:02 +08:00
suzmii	c1ffb2386b	资源功能分类与自定义标签：筛选口径收敛为 category 并接入写入 UI ... - 删除 resourceReferences.ts 中 mediaType 优先的 7 桶筛选口径与 resourceReferenceFilterKind，改由 resourceReferenceCategory / resourceReferenceMatchesCategoryFilter 以 manifest 资产 category 为唯一权威筛选口径 - RESOURCE_REFERENCE_FILTERS 改为 6 类 + 全部（全部 / UI 交互 / 角色与对象 / 场景与环境 / 音频 / 文档 / 待归类），并新增 resourceReferenceCategoryLabel 让中文名只定义一处 - ResourceReference 新增 category / tags，由 resourceReferenceFromAsset 经 gameCreationAppAssetCategory / gameCreationAppAssetTags 从 manifest 资产投影；资源画布 ProjectResource 同步新增 assetCategory / assetTags 投影与 projectResourceAssetCategory 待归类兜底 - 新增 Tauri 命令 update_local_project_resource_classification 与 UpdateLocalProjectResourceClassificationInput/Result，实现落在 project/manifest.rs 的 update_manifest_asset_classification_at，复用既有 mutate_manifest_at manifest 写锁与原子写入 - 命令持项目写锁后按 expectedProjectId / expectedProjectRevision 做 CAS，冲突分别返回 project-identity-conflict 与 project-revision-conflict；category 非 6 个合法值即报错且不回退到 kind 派生；tags 走 normalize_game_creation_app_asset_tags；只改目标条目的 category / tags 并在成功后推进一次项目 revision - 新增 Rust 定向测试 project/manifest/classification_tests.rs：更新成功、非法分类被拒、tags 归一化、未引用资产更新不影响其它字段、revision/CAS 与既有写入一致、输入拒绝未知字段 - 前端新增 ResourceClassificationPanel（ThemedModal + PlatformSegmentedTabs + PlatformTextField），资源详情面板以「分类与标签」按钮打开独立面板，保存后重读 manifest 并经 onManifestChange 反映到筛选与投影 - @ 面板与资源画布共用 packages/shared 的 PlatformSegmentedTabs 渲染同一组功能分类标签；画布筛选状态与画布视口一样按「按依赖 / 按类型」分别保存，复用既有 sortMode 状态形状 - 更新 resourceReferenceInput.test.tsx 与 projectResourceProjectionModel.test.ts 覆盖新口径，新增 resourceClassificationPanel.test.tsx 覆盖写入命令的输入归一化与失败不回退 - 同步技术方案与 decision-log：记录按 mediaType 分类到按 category 分类的语义变化（图片 / 视频桶消失，image / video / code / publication-material 归待归类）与新写入命令契约	2026-09-10 10:25:22 +08:00
suzmii	d526439508	版本资源绑定升级为真实运行槽位 ... - 新增 game_iteration_resource_bindings：优先使用使用清单里的 slotId 到 resourceId 绑定，再为未被槽位覆盖的资源补 asset:{id} 恒等绑定 - 恒等绑定保留是有意的：历史版本与既有校验语义不受影响，同一资源被多个槽位使用时只取首个槽位，不产生冲突语义 - ensure_initial_game_iteration_version_at 与 append_agent_game_iteration_version_at 共用该构造函数 - 补测试：无使用清单时保持恒等绑定；登记运行槽位后槽位绑定优先且未覆盖资源仍有兜底	2026-09-10 10:13:46 +08:00
suzmii	a571c6e225	新增运行期资源使用归属层（C1 素材使用清单） ... - 新增 project/asset_usage.rs：运行槽位到资源身份的稀疏归属清单，落在 .agent/workbench/asset-usage/usage.json - 只保留 manifest 没有的事实（slotId/loadSite/attribution）；已登记资源只存身份引用，不复制 path/sha256/kind/mediaType，避免第二份资源清单 - 引用了不存在的资源 ID、未登记素材、文件缺失、槽位重复注册一律只产出 warning 诊断，不阻断运行 - revision 只允许前进；同 revision 重放幂等；projectId 不匹配按未登记处理 - 写入沿用 resource-layouts 同款 flock 独占锁 + 原子替换 - 补 11 条定向测试：稀疏引用、未登记/未知资源 ID、缺文件、重复槽位、无槽位引用、幂等、revision 回退拒绝、projectId 隔离、落盘不含 manifest 字段	2026-09-10 10:05:28 +08:00
suzmii	3f5d3b43af	合并最新 master 到 AGC V3 资源画布分支 ... - 合入 origin/master 6 个提交（#313 项目写锁残留回收与启动诊断、#315 AGC Ctrl+C 残留后端修复） - 冲突解决：decision-log.md 保留 V3 两条 2026-09-09 决策与 master 的写锁回收条目 - 冲突解决：pitfalls.md 保留 V3 转场经验条目与 master 的 Ctrl+C 后端残留条目	2026-09-09 21:46:09 +08:00
suzmii	a23728e6c2	合并 C10：删除 asset-canvas 精修草稿链路 ... - 合入 feat/agc-asset-canvas-removal 5 个提交（前端解耦 / Rust 删除 / 测试 / 文档 / 合同文档退役） - 冲突解决：asset_canvas.rs、asset_canvas/generation.rs、asset_canvas_tests.rs 按 C10 删除（C2 在其中新增的 category/tags 构造点随之消失） - 冲突解决：decision-log.md 保留 C2 与 C10 两条 2026-09-09 决策条目 - 该合并吸收 C2 对被删文件的字段改动，无需单独处理	2026-09-09 21:19:52 +08:00
suzmii	f84d0ea4d0	AGC 资源功能分类与自定义标签数据层 ... - manifest 资源条目末尾新增 category（单值 6 类，默认 unclassified）与 tags（字符串数组，默认空数组），两字段始终序列化 - shared-contracts 新增 GameCreationAppAssetCategory 枚举、GAME_CREATION_APP_ASSET_CATEGORIES 与穷举 16 个 canonical kind 的默认映射表 GAME_CREATION_APP_ASSET_CATEGORY_BY_KIND - 历史 manifest 缺少字段时按 kind 派生分类、tags 取空数组；显式合法分类原样保留，未知分类字符串按前向兼容退回 kind 派生 - packages/shared 同步 TS 契约：分类常量与类型、映射表、gameCreationAppAssetCategory / gameCreationAppAssetTags 取值 helper 与 tags 归一化 helper - 收编壳内 17 处 Rust 构造点：新建条目写 kind 派生默认值，更新既有条目保留已有 category / tags - 补契约测试：字段 round-trip、默认值、legacy 兼容、未知分类前向兼容、16 项映射穷举、tags 归一化 - 同步 docs/technical 技术方案与 docs/project-memory decision-log	2026-09-09 21:10:01 +08:00