14 Commits

Author	SHA1	Message	Date
suzmii	10d1fcbc5f	fix(游戏共创): 工程源包校验器对抗性补强（P0-a/b/c + 执行级交叉证据） ... 对抗性复核（`local://verify-m2b.md`）确认三个真实缺口，本次按 P0 → P1-b 补齐；两端规则逐条对齐，parity 门禁仍绿。 - **P0-a 凭据/依赖识别**：任意层级目录新增 `.aws` / `.ssh` / `.kube` / `.docker` / `.gnupg` / `.terraform` / `.secrets`（服务端新增独立变体 `CredentialDirectoryNotAllowed`）；文件名前缀新增 `credentials` / `id_ecdsa` / `id_dsa` / `terraform.tfstate` / `service-account`；后缀新增 `.jks` / `.keystore` / `.ppk` / `.p8` / `.kdbx` / `.der`；全名新增 `.htpasswd` / `.pgpass`。另外对**小体积文本条目**（≤256 KiB、扩展名在白名单或无扩展名）做内容特征扫描：PEM 私钥块、`AKIA`+16 位、`ghp_`/`github_pat_`/`xox*-`（服务端新增 `SecretContentDetected`）；更宽的前缀启发（如 `sk-`）**故意不做**并在注释里写明理由（误报会直接阻断作者发布） - **P0-b 规模检查不再被声明值骗**：两侧校验器改为**读取层封顶**——`by_index(index)?.take(declared_size + 1)` + 预分配收紧到单文件硬上限 + 多读 1 字节即判溢出、短读同样失败；压缩比分母从整包字节改为**该条目自身的压缩字节**；**同一修法同步到发行包校验器**（`package.rs` 原有同款洞），常量注释改成与实现一致（明确它不是整包炸弹防线） - **P0-c 嵌套包识别**：扩展名并集 `.zip/.tar/.gz/.tgz/.7z/.rar/.jar/.whl/.nupkg` + **magic bytes 嗅探**（zip/7z/rar/gzip/tar-ustar），改名成 `.dat` 也拦。**一处有证据的偏离**：`by_index_raw` 拿到的是**压缩流**（zip 2.4.2 文档与实测一致），按它嗅探会漏拦，因此改为对**已按声明大小封顶读出的解压内容**判 magic；客户端命中即报错并点名路径与格式 - **P1-b 执行级交叉证据（走 dev-dependency 路，未退化到 fixture）**：客户端 crate 加 `[dev-dependencies] module-game-distribution`，新测试用真实打包器产出字节喂给服务端 `validate_project_bundle_zip` 断言接受（并逐项比对摘要/字节数/条目顺序），再手造含 `.env` 与 `node_modules` 的包断言服务端独立拒绝 - 客户端同时补上**路径形状检查**（`BUNDLE_FORBIDDEN_PATH_CHARS` / `_SUFFIX_CHARS` / `_SEGMENTS` + `bundle_entry_path_shape_error`），修掉「macOS/Linux 上 `src/a?.ts`、`x.` 客户端能打、服务端必 422」的不一致；客户端压缩比预检也改按条目压缩字节 - 测试：`cargo test -p module-game-distribution` **73 passed**（+4）；AGC `cargo test -- project_bundle` **24 passed**（含交叉证据那条）；**发行包回归**：`cargo test -p api-server game_distribution` **60 passed / 0 failed**（`package.rs` 改动无行为回归，新增「声明说谎 → ReadFailed」用例） - 门禁：`cargo check --all-targets` 0；两端 `cargo fmt --check` 0；policy parity 0（服务端 51 条全被客户端覆盖）；DTO parity 0；schema 0；encoding 0；`git diff --check` 0	2026-10-05 17:30:50 +08:00
suzmii	8ce4649081	feat(游戏共创): M2b 工程源包专属 zip 校验器（块 B） ... - 新增 `server-rs/crates/module-game-distribution/src/project_bundle.rs`：`validate_project_bundle_zip(bytes) -> Result<ProjectBundleManifest, ProjectBundleError>` · 复用 `crate::package::normalize_archive_path`（不复制路径安全逻辑），路径不安全统一归 `InvalidPath` · 拒绝清单：空包 / 非 zip / 条目数 > 10 000 / 符号链接 / 加密条目 / 嵌套 `.zip` / 完全重复与大小写折叠重复路径 / `node_modules`（任意层级）/ `.git`、`.svn`（任意层级）/ `.agent`（任意层级：避免把上一个作品的改编来源记录带给下一个人）/ 根级 `dist`、`build`、`library`、`temp`、`local`（子目录同名允许，与模板包规则一致）/ 根级 `.idea`、`.vscode` / 凭据与隐私：`.env`、`.env*`、`*.pem`、`*.key`、`*.p12`、`*.pfx`、`.npmrc`、`.netrc`、`.git-credentials`、`id_rsa*`、`id_ed25519*`、`*.map` / 单文件 > 64 MiB / 累计 > 500 MiB / 单文件 > 包体 × 100 · 规模上限与发行包**逐项相等**（200 MiB / 500 MiB / 64 MiB / 10 000 / 100）：两者共用同一条上传链路，反代与 Pingora 的放行量就是按 200 MiB 校准的，放宽就得同步放开多处部署配置；单测用 `assert_eq!` 钉住这条等价关系 · 不要求根 `index.html`（源码包没有入口约定），非空即可 - `lib.rs` 只追加 `mod project_bundle;` 与 `pub use project_bundle::{...}`（+6 行）；`package.rs` **零改动**，发行包行为与测试不受影响 - 测试 16 条：合法源码包通过（故意不含 `index.html`）、上述每条拒绝规则各一条、「子目录里的 `dist/` 允许」反例、常量与发行包逐项相等、manifest 的 sha256/字节数与输入一致 - 门禁：`cargo test -p module-game-distribution` 69 passed（含本校验器 16 条）；wasm build 0；`cargo fmt --all -- --check` 0	2026-10-05 17:30:48 +08:00
suzmii	775dea02ea	修正 M3 族谱口径注释并抽出图装配纯函数（第二批） ... - 修正 spacetime-module 里 get_game_distribution_lineage_and_return 的文档注释：锚点不存在/已软删除/未公开一律 found=false（api-server 映射 404），并写明理由——用空标题占位或空树代替 404 等于确认该 gameId 的存在、代际与血缘位置 - 修正 shared-contracts 里节点 status 的注释：当前只有已公开作品会成为节点（未公开节点被过滤、未公开锚点直接 404），线上取值实际恒为 published；保留该字段是为将来允许非公开节点进入树时不必再改契约 - 新增纯函数 assemble_lineage_tree_entries：家族归属校验（只保留 root_game_id 命中的血缘行）、根行以 0 代入集合、游戏行缺失的行安全跳过、重复行去重（根行优先）；module 侧只负责取行与按根查索引 - 新增纯函数 resolve_lineage_author_name：账号昵称优先（trim 后非空）→ 退回发布时冻结的作者名 → 两者都空白则 None（不占位） - 新增纯函数 lineage_entry_from_game_facts：族谱装配与衍生列表共用同一份字段映射 - module 删除 game_distribution_lineage_entry，衍生列表 tx 改用共用构造函数并复用同一份行事实折叠 - 新增 6 条单测：整族装配、旁支排除、缺行跳过、无根行回退、重复行去重、作者名归一三态 - 本批未改前端；package.json 与 lineage e2e 脚本属第三个 session，未触碰	2026-10-05 17:30:46 +08:00
suzmii	c6758e5e20	style(游戏共创): 按 rustfmt 修正本分支新增代码的格式（无语义变化） ... 判定依据（先判定再动手）：仓库根 `rustfmt.toml`（edition 2024 / max_width 100 / use_small_heuristics=Default）与本地 rustfmt 1.9.0-stable 一致；`cargo fmt --all --manifest-path server-rs/Cargo.toml -- --check` 的红项（24 处 hunk / 7 个文件）**全部落在本分支新增的代码上**，且 master 版本的同名文件在同样配置下是干净的（`git show 6c9566058:...errors.rs` 单文件 --check 通过），另三个 workspace（tauri / unity / godot）也 CLEAN。因此是本分支引入的格式漂移，不是环境差异——仓库 `npm run check:rustfmt`（在 `npm run lint` 里）会因此失败，故修正。 - api-server/src/modules/game_distribution.rs：两处 import 列表按宽度重排；`derived_games_payload` / `lineage_tree_payload` / `set_game_distribution_fork_authorization` 调用与 `fork_source_target` 的 `Err(...)`、取件相关测试的换行与尾逗号 - spacetime-module/src/game_distribution.rs：3 处 `return Err(...)` 与 `let Some(game) = ctx.db...` 的换行 - spacetime-client：`active.rs` 的 import 列表、`mapper/game_distribution.rs` 的 `collect()` 链、`game_distribution.rs` 的 procedure 回调换行 - module-game-distribution：`domain.rs` 的错误码字面量元组、`errors.rs` `Display` 分支的换行 验证：`cargo fmt --all --manifest-path server-rs/Cargo.toml -- --check` 退出 0；逐文件比对「删除全部空白后」的字符流，差异仅为 rustfmt 展开/折叠时增删的**尾逗号**（每文件长度差 ≤4 字符），无语义变化；格式化后 `cargo check --all-targets` 与 `cargo test -p api-server game_distribution`（52 passed）仍通过。	2026-10-05 17:30:45 +08:00
suzmii	1ce3adb8d0	修复 M3 复核问题（第一批）：族谱页双重空态、节点上限常量未钉住、窄屏网格溢出 ... - 族谱页空态收敛为一条：nodes 为空时只给整体空态（这部作品还没有可展示的族谱节点），有节点但无衍生时才给衍生空态，两者互斥不再同时渲染 - 新增两条组件用例覆盖该组合：空树只出现一条空态且无 .game-lineage-tree；只有母版时渲染母版节点 + 衍生空态且不出现整体空态 - 纯函数测试改用 GAME_DISTRIBUTION_LINEAGE_NODE_LIMIT 常量，并新增 node_limit_constant_is_pinned_and_governs_truncation：同时钉住常量值 200（合同值）与满量/超量时的 truncated 行为，改常量或改截断实现都必须过门 - LineageTreeNode 文档写明作者名空值语义：空串/纯空白归一为 None 与 M1 的 fork_lineage_visible_identity 三态刻意保留属有意为之，两端展示层按 falsy 判断、行为等价 - 族谱节点网格列下限改为 min(13rem, 100%)：桌面列宽不变，极窄视口不再横向溢出 - 未动涉及 M2a session 的 spacetime-module / shared-contracts 注释与 lineage_entries 图装配测试，留待第二批	2026-10-05 17:30:45 +08:00
suzmii	39669763fe	实现游戏共创 M3：创作族谱树与衍生列表 ... - 新增 module-game-distribution/src/lineage.rs：锚点可读性、可见性过滤、稳定排序、上限截断的纯函数，附 15 个单测（复用 M1 的软删除判定，不重写第二套规则） - 新增公开只读 procedure get_game_distribution_lineage / list_game_distribution_derived_games；锚点必须公开可读（未公开/已软删除/不存在一律按不存在处理），树内只出现未软删除且已公开的节点，不补 null 占位节点 - api-server 新增 GET /games/{id}/lineage 与 /games/{id}/derived（匿名可读、no-store），响应走结构化 DTO，节点键集合由测试钉死，杜绝下发对象键/素材键 - 作者自有游戏聚合追加 forkCount（与公开详情 forkCount 同口径），供「被改编 N」入口使用 - shared-contracts 与 TS 契约新增 LineageNode / LineageResponse / DerivedResponse 三型并登记 DTO 一致性检查 - 前端新增 /games/lineage 族谱页，登记 stage 类型、路由表、页面标题与壳层渲染分支；详情页共创卡新增「查看创作族谱」入口（仅已公开作品） - 我的作品页新增「被改编 N」行内展开，列出直接子代的标题/作者/代际/状态，含空态与失败重试（仅已公开作品） - 补前端组件/路由/标题/客户端用例与 api-server 路由、负载映射用例；同步里程碑验收标准与技术方案 §3.4 的锚点可读性口径	2026-10-05 17:30:45 +08:00
suzmii	036989d1cc	test(游戏共创): 软删除×Fork 三条规则提取为纯函数并补单测 ... - domain.rs：新增三个不依赖 SpacetimeDB / ReducerContext 的纯函数 · `can_serve_as_fork_source(is_deleted, is_published)`：来源可用性 = 未软删除 且 已公开 · `counts_as_public_derivative(is_deleted, is_published)`：衍生计数纳入，同条件但动机不同（避免虚报热度、避免泄露「这里曾有个作品」），单独成函数以免两条规则将来互相牵连 · `fork_lineage_visible_identity(parent_available, parent_title, parent_author_name)`：父可用才透传；父不可用必须返回 (None, None)，不做任何「拿不到标题就回退用行数据」的降级 - lib.rs：在既有 `pub use domain::{...}` 列表中导出上述三个函数（一行） - spacetime-module：三处调用点改为调用纯函数，行为完全不变——来源守卫合并为一个 `if`（仍统一映射 FORK_SOURCE_NOT_AVAILABLE）、衍生计数 filter 传入两个布尔、血缘快照的父身份与根标题共用同一函数；`visibility` 判定仍由 module 侧折叠成布尔 - domain.rs 测试：新增 `fork_soft_delete_tests` 5 条——来源可用性四组合（含「已删但 visibility 仍是 published」必须 false）、计数纳入四组合、父可用透传、父不可用即使传入非空标题/作者名也必须 (None, None)、作者名三态（None→None / 空串→空串 / 只含空白原样透传） - 技术方案 §5.1：把「权限与边界」行的说明改为已由纯函数单测覆盖的三条规则（真实栈用例仍标注待补）；「软删除语义收敛 ③溯源摘要」行补上 `fork_lineage_visible_identity` 单测证据	2026-10-05 17:30:45 +08:00
suzmii	1e7ec6dbe7	实现游戏共创 M1：作品级共创授权与改编血缘 ... - game_distribution_game 表尾追加 fork_authorization（默认 forbidden，只升不降，旧行自动取默认） - 新增 game_distribution_lineage 表，记录父作品、来源版本、根作品与代际，并按 parent/root/owner 建索引 - migration.rs 登记新表并注明血缘随迁移导出 - 新增 set_game_distribution_fork_authorization_and_return procedure 与幂等收据、期望值 CAS - 创建作品时校验改编声明：来源存在、已公开、授权开放、来源版本等于当前公开版本；复用既有身份时拒绝携带血缘 - 公开与后台响应增量：forkAuthorization、forkCount、lineage、generation、forkedFromGameId、derivedCount - 公开快照的作者名与头像改为读时联 user_account，不再落到「创作者」兜底文案 - api-server 新增 PUT /api/game-distribution/games/{game_id}/fork-authorization（Bearer、幂等键、期望值校验） - 错误映射新增 FORK_ 前缀分支并置于通用子串分支之前，避免被误判成 409 或 404 - module-game-distribution 增加授权阶梯、代际计算与错误码，并补单测覆盖阶梯与错误码前缀 - 网页端详情页新增共创信息卡，我的作品页新增授权提升入口，补服务层调用与定向测试 - 重新生成 SpacetimeDB 绑定，登记 DTO 一致性脚本的共创类型	2026-10-05 17:30:44 +08:00
suzmii	3aa3e33ceb	实现统一项目发行版本 ... 以 projectVersion 作为 AGC 唯一用户版本，支持同版本重复提交和版本回退。 保留 publicationRevision 并发校验与旧客户端自动递增兼容。	2026-10-03 16:41:04 +08:00
lhk229	b60aea4e71	实现网站游戏评分与评价 (#561) ... 公开游戏详情页新增评分与评价：登录用户可提交并修改自己对每款游戏的唯一一条 1–10 分评价，评论可空且最多 4000 个 Unicode 码点；游客可分页浏览评价并查看平均分与评分人数。 - 新增私有评价表及共享 DTO/API，事务内校验游戏公开可见性、保证唯一性，并计算分页与全量评分统计；下架或封禁后关闭读写，重新公开及更新版本保留评价。 - 详情页支持编辑预填、取消、提交期间冻结输入、失败保留草稿，以及保存、翻页和账号/游戏切换时的旧响应隔离；复用现有认证与公共组件。 - 同步主规范、里程碑、实施计划、生成绑定、表目录和验收脚本。不扩展 AGC、外部 API、评论审核或评分缓存。 验证： - 本轮审查复跑前端定向测试 40 项、评价领域测试 2 项，均通过。 - 网站 typecheck、Rust/TypeScript DTO 对齐、SpacetimeDB schema、文档索引、编码与 diff 检查通过。 - 实施文档另记录本地隔离数据库/API 49 项及桌面/移动视口浏览器 smoke 通过；本轮审查未重跑这些运行时验收，也未运行完整测试套件。 发布说明：新增 SpacetimeDB 表，部署时需同步 module 与 API。尚未部署 dev/production，待用户验收。 Reviewed-on: https://git.genarrative.world/git/GenarrativeAI/Genarrative/pulls/561 Co-authored-by: Linghong <ink29535@proton.me> Co-committed-by: Linghong <ink29535@proton.me>	2026-10-01 19:19:58 +08:00
kdletters	e6c3729adb	AGC 发布前检查平台包体上限，并把上限单一来源 ... - shared-contracts 新增 GAME_DISTRIBUTION_MAX_PACKAGE_BYTES（200 MiB），服务端 module-game-distribution 保留同值常量并在注释里指明；api-server 新增 publish_package_limit_matches_the_shared_contract 守卫测试把两处锁一致 - AGC project/export 新增 ensure_within_platform_package_limit：读包阶段预检，超限返回「发行包 X MiB 超过平台上限 200 MiB；请精简资源后重新导出再发布」，不再让 200–512 MiB 的包白读盘/暂存后吃服务端 413 - 用例：project::export::npm_export_tests::publish_precheck_rejects_packages_over_the_platform_limit（边界=上限放行、超限文案、本地导出上限确实更宽） - 里程碑 C1 与 pitfalls 记录「本地导出上限 ≠ 平台发布上限」这一口径	2026-09-29 00:36:28 +08:00
kdletters	39a7343079	补齐游戏分发阶段 A 的三条领域用例并勾选失败关闭条目 ... - module-game-distribution 新增 rejects_symlink_entries：用 ZipWriter::add_symlink 造真实 S_IFLNK 条目（unix_permissions 会掩掉类型位），去掉 is_symlink 守卫时该用例变红 - 新增 failed_validation_keeps_the_previous_publication_and_confirmed_package：第二版校验失败后已公开游戏快照与上一版已确认包身份逐字段不变，变异成顺带更新游戏记录时变红 - 新增 a_version_accepts_only_one_confirmed_package：不同摘要/字节数确认被拒为 PackageMismatch，重复确认同一份内容返回同一身份，去掉守卫时变红 - 里程碑勾选第 3 条并写明「额度超限」按包/文件/展开量/条目数/压缩比上限口径验收（该链路无按用户配额）、第 4 条只剩并发不混写待补	2026-09-28 17:48:06 +08:00
kdletters	c2c5e1ced5	发行包上限提升到 200 MiB 并支持 AGC 分片续传上传 ... - 发行包上限 100→200 MiB、展开总量 250→500 MiB，整包路由请求体上限继续从包上限派生；发行静态资源进程内缓存预算提到 256 MiB - 反代放行量同步放宽到 210 MiB：Nginx 三份模板的 client_max_body_size、Pingora 网关默认值与 env 样例、路由对照矩阵 - platform-oss 新增内部对象追加写 append_internal_object(_with_retry)，以 OSS 返回的 next-append-position 作为权威已收字节 - api-server 新增 upload-state / chunk / complete / reset 四条分片路由，抽出共享收口 confirm_validated_package；偏移不符返回 409 与权威偏移，校验失败删除半包并落 upload_failed - AGC 新增原生上传器 game_package_upload.rs（内容寻址暂存、分片续传、受控重试、进度事件）与 prepare / upload 两条命令，退役整包回传命令 - 渲染进程改为 prepare → 创建游戏 → 创建版本 → 原生分片上传 → 送审，LocalProjectExportPackagePayload 整包类型退役 - 同时修正 live 用例无法指向本地栈的两处基础设施问题：平台基址按传入 URL 选择，桥接层把 jsdom realm 的 Headers / Blob / FormData 降级成 Node 原生值 - 测试：platform-oss 74、api-server game_distribution 23、AGC 原生 4、发布相关前端 20；live 用例补真实栈「中断 → 续传 → 确认」断言（分片偏移序列 [0, 8388608]） - 文档：玩法创作主规范的上传合同、运维与 Pingora 文档、决策记录、发行里程碑口径，以及新增的续传里程碑与实施计划	2026-09-23 19:06:02 +08:00
kdletters	328ac31844	恢复游戏分发完整实现（特性分支） ... - 主站：游戏广场、详情、在线游玩、网页发布与作者中心，以及共享契约与客户端服务 - 后端：module-game-distribution 领域层、SpacetimeDB 表/迁移/绑定、spacetime-client facade、api-server 路由与发行网关 - 后台：游戏审核页（待审列表、通过/拒绝、安全下架） - AGC：发布面板、本地导出包读取命令与发布服务，含默认跳过的真实链路测试 - 运维：发行来源 nginx 模板与门禁、game-distribution:publish 灰度发布开关、OSS PutObject 受控重试 - 文档：主规范、里程碑与实施计划、决策日志与踩坑记录	2026-09-20 20:49:42 +08:00