1264 Commits

Author	SHA1	Message	Date
suzmii	f0cad9dddc	合并 origin/master（52c83cc2a，248 个提交）到 feat/game-purchase ... - 同步 master 侧 248 个提交：会员与泥点计费（PR #588 / #603）、创作者主页与关注粉丝（PR #638）、运行页刷新真重载（PR #640）、AGC 模板 templateVersion 递增（PR #643）等；确认 master 未触碰发行网关与 `api-server/src/modules/game_distribution.rs`。 - 冲突 1（server-rs/crates/module-runtime/src/domain.rs:1157-1162）`RuntimeProfileWalletLedgerSourceType` 两侧各自在末尾追加变体：保留 master 的 `MembershipUpgradeGrant` 为索引 16（线上已落库口径），本分支 `GamePurchase` 顺延为索引 17，并保留其「每账号每游戏一次扣费」注释。 - 冲突 2（server-rs/crates/module-runtime/src/domain.rs:1184-1188）`as_str()` 同时保留 `membership_upgrade_grant` 与 `game_purchase` 两个分支。 - 冲突 3（server-rs/crates/spacetime-client/src/active/mapper/runtime_profile.rs:95-101）bindings→领域枚举映射同时保留 `MembershipUpgradeGrant` 与 `GamePurchase` 两支，按新索引顺序排列。 - 冲突 4（server-rs/crates/spacetime-client/src/module_bindings/runtime_profile_wallet_ledger_source_type_type.rs:43-47）生成枚举按模块源码顺序合并为 …`MembershipUpgradeGrant`、`GamePurchase`；随后 `npm run spacetime:generate` 复核该文件与生成结果逐字节一致。 - 冲突 5（server-rs/crates/api-server/src/admin.rs:4849-4853）sats 索引映射改为 `16 => membership_upgrade_grant` 与 `17 => game_purchase` 两条并存。 - 冲突 6（server-rs/crates/api-server/src/admin.rs:6368-6461）索引断言并入 master 的 `[16] => membership_upgrade_grant`，并把 master 的「17 尚未映射」占位断言替换为 `[17] => game_purchase`；本分支的后台消耗统计两个用例原样保留。 - 冲突 7（server-rs/crates/api-server/src/runtime_profile.rs:219-226）来源文案格式化同时保留 `MembershipUpgradeGrant` 与 `GamePurchase` 两支，注释随 `GamePurchase` 保留。 - 冲突 8（docs/project-memory/shared-memory/decision-log.md:3-24）两条决策记录并列保留：本分支 2026-10-05「播放会话前缀在三处入口清空 Cookie」在前，master 2026-10-03「每日免费发放额为 0 时前端隐藏该池」在后。 - 保住 master 侧：发行响应 ETag/304/gzip（`release_asset_response_with_cache` 五参形态与 `release_asset_etag` / `if_none_match_matches` / `accepts_gzip_encoding` / `gzip_release_asset` / `release_asset_not_modified_response`）、共享加载面 `PlatformGameLoadingSurface` 及其使用方、三池钱包与会员档位目录改造。 - 保住本分支侧：付费作品 404 守卫（`price_mud_points > 0` 且位于 `load_package` 之前）、购买与播放会话网关路由、nginx×3 / Pingora / Vite 的播放会话 Cookie 清空与 `nginx-route-parity.matrix.json` 登记、viewer 感知公开详情、后台审核价格、`PlatformGamePricingField` 共享定价组件与两端接入、AGC 项目版本只读 + 平台派发下一版本号、schema 与迁移白名单、钱包来源 `game_purchase`。 - 验证：`git merge-base --is-ancestor origin/master HEAD` 返回 0；`check:encoding`、`check:doc-index`、`check:spacetime-schema`、`check:server-rs-ddd`、`check:rustfmt`、`check:npm-workspaces`、`check:game-distribution-dto-parity`、`check:game-distribution-price-limit-parity`、`check:pingora-route-parity`、`check:nginx-spa-routes`、根/admin-web/AGC typecheck、`git diff --check` 全绿。 - 测试：`cargo test -p module-game-distribution` 30 passed，`cargo test -p api-server game_distribution` 61 passed，`cargo test -p spacetime-module game_distribution` 7 passed；定向 vitest 28 个文件 252 个用例全通过。 - `npm run spacetime:generate` 除 11 个 procedure 文件的纯空白格式差异外无任何语义改动（`git diff -w` 为空），已保留 master 的生成产物形态，提交内无 schema/绑定语义变化。	2026-10-06 13:12:32 +08:00
k88936	796cf9843c	Merge remote-tracking branch 'origin/master' into feat/pricing-plan ... # Conflicts: # docs/project-memory/shared-memory/decision-log.md	2026-10-06 10:14:15 +08:00
suzmii	dcef9b62a8	修复买断制付费评审问题：后台消耗统计、定价上限校验、付费入口自动化断言 ... - admin.rs：钱包流水来源映射补齐第 17 个变体（索引 16 → game_purchase），后台「消耗泥点」白名单新增 game_purchase，并抽出效果分类与单行累加函数 - profile.rs：消耗口径抽出 profile_wallet_ledger_source_counts_as_consumption，消费投影增量、历史花费重建、投影初始化三处一并纳入 GamePurchase - module-game-distribution/errors.rs：价格上限文案改为插值 MAX_GAME_PRICE_MUD_POINTS，并新增文案断言 - 新增 scripts/check-game-distribution-price-limit-parity.mjs 并挂进 npm run lint（随 Repository checks 在 CI 生效）：断言 TS / 服务端 Rust / AGC Rust 常量与网页侧别名四处同源 - api-server 发行网关抽出可注入 loader 的 serve_public_release_asset，付费 404 严格发生在读取包字节之前；播放会话准入抽出 resolve_paid_play_session_entitlement - 新增 api-server 单测：付费发行路径 404 且零次读包字节、免费放行且读到包字节、未购买 403 与作者 / 已购买 / 管理员放行 - spacetime-module：把「先判定后扣费」从源码扫描改为 resolve_game_purchase_pre_charge_plan 纯函数断言，删除 include_str 源码切片用例 - E2E 脚本：平台同源断言缺配置时记 SKIP 并在报告末尾汇总 SKIP 清单，E2E_REQUIRE_PLATFORM_ORIGIN=1 时缺配置直接 FAIL，汇总行改为输出 PASS/FAIL/WARN/SKIP 计数 - 修正注释里不存在的路由 POST /api/game-distribution/play-sessions（真实为 POST /api/game-distribution/games/{gameId}/play-session）与「管理员令牌 403」口径（403 需带 admin 角色的用户令牌）	2026-10-06 02:24:40 +08:00
suzmii	959ed4fd53	合并 origin/master（51cb05f41，22 个提交）到 feat/game-purchase ... - 逐块合并 server-rs/crates/api-server/src/modules/game_distribution.rs：以 master 的 ReleaseAssetResponseInput / 5 参 release_asset_response_with_cache / ETag / 304 / gzip 结构为准，并在其上保留本分支的付费 404 守卫（price_mud_points > 0 仍在 release_package_bytes 读包之前返回）；播放会话资源响应改用同一结构（etag None、cache_control no-store、沿用 accept-encoding 协商）。 - 合并 src/components/game-distribution/GamePlayPage.tsx：接入 master 的共享 PlatformGameLoadingSurface 与 PLATFORM_GAME_LOADING_TIMEOUT_MS，删除本地重复常量 GAME_PLAY_STARTUP_TIMEOUT_MS 与裸 div，买断制播放会话准备态改由共享加载面承载。 - 合并 src/components/game-distribution/GameDetailPage.tsx：同时保留 master 的 onOpenCreator 作者插槽与本分支的买断制购买弹窗、onOpenRecharge 充值入口。 - 合并 vite.config.ts：保留 master 的 /api/creators 代理，并保留 play-sessions 前缀清 Cookie 规则（顺序仍在通用 /api/game-distribution 之前）。 - 合并 deploy/nginx/README.md：保留 master 的 SPA allowlist 门禁口径（含 /creators、/creators/connections）与本分支的播放会话前缀章节；三份 nginx 模板的 ^~ play-sessions location 与清 Cookie 原样保留。 - 合并 apps/admin-web/src/pages/AdminGameDistributionReviewPage.test.tsx：保留 master 的加载面/超时用例与本分支的审核价格（冻结价优先、历史按 0）用例。 - 合并 src/components/game-distribution/GameDistributionPages.test.tsx：保留双方 mock，并新增「付费作品在会话签发期间显示共享加载面」用例。 - 合并 docs/【玩法创作】平台入口与玩法链路-2026-05-15.md（保留买断制合同并回填 master 的创作者主页与关注粉丝合同）、decision-log.md、pitfalls.md：追加双方条目，不改写任一侧正文。 - 保留 master 侧新增能力：release_asset_etag / if_none_match_matches / accepts_gzip_encoding / gzip_release_asset / release_asset_not_modified_response、SPA 加载面、创作者主页与关注粉丝（user_follow 表、creator 查询与 author_id 过滤）。	2026-10-06 00:28:36 +08:00
lhk229	51cb05f418	补充创作者主页与关注粉丝工程文档 (#638) ... 本 PR 补齐创作者主页与关注粉丝功能的产品合同和工程设计，供后续按里程碑实施；本次只修改文档。 桌面导航第四项进入自己的创作者主页，“我的”移到第五项。游戏详情可进入作者主页并关注/取消关注；自己或他人的关注、粉丝列表均公开可查看，点击用户头像或昵称可进入其主页。本人支持取消/重新关注、回关和移除粉丝，并明确两个关注方向独立。 工程设计包含关系表与 DTO、认证和事务边界、跨页状态同步、共享组件、深链及验收要求，拆分关系查询和页面交互两个里程碑。按用户要求，游戏列表沿用最多 48 项的现有限制，不增加游戏目录分页改造。 验证： - 已合入最新 origin/master（21c79f54a）；共享决策记录冲突保留双方新增内容。 - npm run check:encoding 通过。 - npm run check:doc-index 通过。 - git diff --check 与暂存差异检查通过。 - 相对 master 仅六份文档发生变化；没有业务代码或 schema 修改，未执行业务测试或部署。 Reviewed-on: #638 Co-authored-by: Linghong <ink29535@proton.me> Co-committed-by: Linghong <ink29535@proton.me>	2026-10-05 22:05:11 +08:00
k88936	e27ce5573f	修复(会员档位): 缺行目录改为逐档回填并在写入前校验覆盖 ... - ensure_default_profile_membership_plan 从「空表整表播种」改为按目录逐档补齐缺失行，已存在行不覆盖后台改价 - 新增 missing_runtime_profile_membership_plan_rows 纯函数并在 module-runtime 根导出，回填逻辑可单测 - validate_runtime_profile_membership_plan_row_against_catalog 增加「existing 必须覆盖除 candidate 外全部档位」校验，缺行直接拒绝写入 - 更新 init 注释：懒补齐而非懒播种，全部档位补齐后幂等无写 - 补缺行拒绝与回填幂等两条目录单测	2026-10-05 20:22:37 +08:00
suzmii	b1e40d8b68	修复买断制购买分支遗留的 Rust 格式偏差 ... - server-rs/crates/pingora-gateway/src/main.rs：播放会话代理测试中的 assert! 断言按 rustfmt 收成单行。 - server-rs/crates/spacetime-client/src/active.rs：游戏分发购买相关 use 导入列表按 rustfmt 重新断行。 - server-rs/crates/spacetime-client/src/active/mapper.rs：游戏分发记录类型与映射函数的 pub use 导入列表按 rustfmt 重新断行（两处）。 - server-rs/crates/spacetime-client/src/active/mapper/game_distribution.rs：购买结果映射的 result.purchase.map 链式调用按 rustfmt 换行。 - 仅格式变动，不改变行为；改动前 npm run check:rustfmt 在上一提交 8d8e74ca6 报这 4 个文件，改动后转绿（master 96859666f 上同为绿）。	2026-10-05 20:00:30 +08:00
k88936	a938a4ef9e	兼容(契约): 响应 DTO 新增字段一律可选默认 ... - ProfileMudPointBalanceResponse.monthly_points 缺省为 0 - ProfileMembershipResponse 的 cycleIndex / cycleCount / cycleKind 缺省 1 / 1 / yearly - ProfileMembershipPlanResponse 的 recommended / unlimitedConcurrency 缺省 false - ProfileRechargeCenterResponse.membershipPlans 缺省空数组 - 补「旧服务端缺字段仍可整包解析」契约测试，身份与状态字段仍保持必填 - 后端架构文档新增 shared-contracts DTO 变更规则，并同步团队约定	2026-10-05 19:37:48 +08:00
k88936	00bb2a7b15	修复(会员审计): 后台改档时间改用 SpacetimeDB 事务时间 ... - upsert_profile_membership_plan_record 不再信任入参 updated_at_micros - updated_at / created_at 统一取 ctx.timestamp，客户端时钟无法伪造审计时间	2026-10-05 19:24:57 +08:00
k88936	6374c7c445	重构(会员升级): 目录倒挂用独立 rejection 与配置错误码 ... - 新增 RuntimeProfileMembershipUpgradeRejection::CatalogPricingInverted - 报价遇到价格 / 每期泥点相等或倒挂时返回该变体，不再复用 InvalidQuoteInput - rejection.error_code() 把目录倒挂映射为 InvalidPlanConfig，人读文案保留原因 - profile.rs 三处统一用 membership_upgrade_rejection_error，并重导出该 rejection 类型 - api-server 补 400 + invalid_plan_config 映射断言	2026-10-05 19:23:00 +08:00
k88936	e90929057c	修复(会员补差): ceil_div 零分母不再静默返回 0 ... - 删除 denominator == 0 时的静默 0 元兜底，保留 debug_assert 并在 release 下除零 panic - 与函数注释「零分母属程序员错误，应立刻暴露」保持一致，避免潜在少收金额	2026-10-05 18:15:36 +08:00
suzmii	d7c4f82d7d	修复自查发现的门禁与体验问题：格式、超时态语义、压缩 CPU 边界 ... - 新增 Rust 测试补齐 cargo fmt；ESLint 按仓库约定收口：常量与解析函数拆到 platformGameLoadingSurfaceModel.ts，删除 GAME_PLAY_STARTUP_TIMEOUT_MS 常量别名（测试直接用共享常量） - 共享加载面新增 stalled：宿主判定等待不再推进时停掉进度动画并把 aria-busy 置回 false（去掉与 role=status 重复的 aria-live） - 后台试玩超时时传入 stalled，避免「一边转圈一边说超时」 - Accept-Encoding 权重参数名改为大小写不敏感（RFC 9110 §12.5.3），GZIP;Q=0 视为拒绝并补用例 - 发行资源压缩分级：≥2 MiB 改用 level 1（zlib 端实测约 1/3 耗时、压缩比差约 3%），小文件仍用 level 6 - 文档：主规范补压缩与条件请求契约（并写明 60 秒窗口与撤销窗口不放宽）、nginx README 修正 Pingora 压缩关闭时的口径、pitfalls 补 CPU 边界与措辞修正	2026-10-05 18:02:48 +08:00
suzmii	d1bfe4c08b	修复游戏买断制付费的作者豁免、价格口径与契约可空性 ... - H1：购买事务在扣费前判定 `game.owner_user_id == user_id` 并失败关闭，领域 `resolve_game_purchase_decision` 新增 `is_owner` 标记返回 `OwnerCannotPurchase`（文案「作者本人无需购买」）；api-server `map_purchase_error` 映射为 400 `GAME_PURCHASE_OWNER_EXEMPT`；购买路由按角色显式拒绝管理员令牌（403 `GAME_PURCHASE_ADMIN_NOT_ALLOWED`），管理员免购买不扣费。 - M1：`version_detail_payload` 的历史版本价格改为 `frozen_version_price_mud_points(version).unwrap_or(0)`，与待审列表及审核通过后生效的游戏行价格统一；同步把既有断言改为「历史版本缺 `priceMudPoints` 按免费（0）」。 - M2：`shared-contracts::GameDistributionVersionSummary.entry_url` 改为 `#[serde(default)] Option<String>`，与公开投影对未购买者下发的 `entryUrl: null` 一致。 - M3/L5：SpacetimeDB 购买事务改为复用 `module_game_distribution::resolve_game_purchase_decision`（新增 `game_distribution_visibility` 与 `resolve_game_distribution_purchase_decision` 包装），可购买性口径统一为「活动版本存在且 `status = published`」（复用 `public_game_distribution_version`），删除事务内联判定。 - 测试：内存领域作者自购拒绝；SpacetimeDB 购买判定五分支（免费 / 未公开 / 版本未公开 / 已拥有 / 作者自购）、事务源扫描（先判定后扣费、公开投影口径）、审核通过时历史版本价格生效为 0；api-server 管理员令牌 403、公开投影 `entryUrl: null` 可被 Rust DTO 解析、错误映射补作者豁免。 - `scripts/check-game-distribution-dto-parity.mjs` 增加可空性一致性比对（TS `| null` ⟺ Rust `Option`，允许 `?` 表示可省略），已用负例验证能拦住同类漂移。 - 同步更新 docs/【后端架构】server-rs与SpacetimeDB数据契约：登记作者豁免 / 管理员 403 / 可玩性口径 / 历史价格按 0；顺带修复 `module-game-distribution` 与 `spacetime-module` 既有未格式化行。	2026-10-05 18:00:03 +08:00
k88936	87a3794423	文档(会员契约): 后台改档请求并发上限不再硬编码 128 ... - AdminUpsertProfileMembershipPlanRequest.concurrentJobLimit 改为引用后端下发的 unlimitedConcurrencyThreshold - 同步重新生成 ts-rs 绑定	2026-10-05 17:56:02 +08:00
k88936	8e9d2389e0	文档(会员契约): 并发上限不再硬编码 128 哨兵 ... - ProfileMembershipPlanResponse.concurrentJobLimit 改为引用后端下发的 unlimitedConcurrencyThreshold - 同步重新生成 ts-rs 绑定，避免哨兵值变更时注释误导消费方	2026-10-05 17:54:38 +08:00
suzmii	d40df89e2c	修复付费游戏播放会话在边缘转发 Cookie 导致 403 不可玩 ... - nginx：三份模板在通用 /api location 之前新增 location ^~ /api/game-distribution/play-sessions/，代理头与通用 /api 一致并清空 Cookie - nginx：^~ 保证该前缀不被正则 location ~ ^/api(?:/|$) 抢先；只匹配带尾斜杠的前缀，创建会话端点继续走通用 /api 并保留 Cookie - pingora：新增 RouteDecision::PlaySessionGateway，走 api 上游并同样套用 api 限流分组、大小上限与维护闸 - pingora：抽出 route_clears_cookie，发行入口 ReleaseGateway 与播放会话入口在上游代理阶段统一清空 Cookie - pingora：classify_path 在通用 /api 分支之前命中播放会话前缀，并新增播放会话路由、Cookie 清除与保护等级用例 - 路由矩阵：新增 play_sessions_gateway 用例，声明清空 Cookie 与 protectionClass api - 门禁 check:nginx-spa-routes：新增播放会话前缀断言——三份模板存在 ^~ location、块内清空 Cookie、代理头齐全且排在通用 /api location 之前 - 门禁 check:pingora-route-parity：新增断言——平台内容网关用例必须清空 Cookie 且不得复用通用 /api location，Rust 播放会话分支必须排在通用 /api 之前并由 route_clears_cookie 清理 - 门禁 check:pingora-gateway-smoke：新增真实网关用例——播放会话前缀转发到 api 上游并清空 Cookie、创建会话端点保留 Cookie - dev：vite.config.ts 在 /api/game-distribution 规则之前新增同名前缀代理并清除 Cookie - 文档：同步 Pingora 试点文档、本地开发运维文档、deploy/nginx/README 与 shared-memory 决策/踩坑记录	2026-10-05 17:53:51 +08:00
k88936	759bcf98a8	文档(会员契约): 澄清 status 兜底只作用于 Rust 客户端 ... - ProfileMembershipResponse.status 注释改为“Rust 反序列化未知取值按 active 兜底，TS 侧不归一化” - 同步重新生成 ts-rs 绑定，避免 Web 消费方误以为前端也会 fail-open	2026-10-05 17:53:23 +08:00
suzmii	c732a3f851	实现游戏买断制泥点付费的 api-server HTTP 层、公开投影与播放鉴权 ... - server-rs/crates/api-server/src/runtime_profile.rs：钱包流水来源类型补 GamePurchase 分支并导入 game_purchase 常量，修复 non-exhaustive match 编译错误。 - server-rs/crates/api-server/src/modules/game_distribution.rs：创建版本接受并校验 priceMudPoints（复用 normalize_game_price_mud_points，越界 400），随版本冻结资料一起落库。 - server-rs/crates/api-server/src/modules/game_distribution.rs：新增 POST /api/game-distribution/games/{gameId}/purchase（require_bearer_auth + 必填 Idempotency-Key，请求体 { expectedPriceMudPoints }），经 facade 原子扣费并返回 GameDistributionPurchaseResponse。 - server-rs/crates/api-server/src/modules/game_distribution.rs：购买错误映射——余额不足 400 INSUFFICIENT_MUD_POINTS、价格已变化 409、免费游戏 400、游戏未公开或不存在 404、缺幂等键 400。 - server-rs/crates/api-server/src/modules/game_distribution.rs：新增 POST /api/game-distribution/games/{gameId}/play-session；免费作品直接回既有公开入口，付费作品接受管理员令牌（沿用现有 admin 鉴权，免购买）与用户令牌，校验已购买 / 作者本人，未登录 401、未购买 403，签发绑定 gameId + userId 的 2 小时会话。 - server-rs/crates/api-server/src/modules/game_distribution.rs：新增 GET /api/game-distribution/play-sessions/{token}[/{assetPath}] 网关，无登录中间件、凭令牌读取，能解析平台刷新会话 Cookie 时 403，令牌过期 / 不存在、游戏下架或封禁、缺少有效公开版本一律 404，复用发行包读取与 CSP/MIME/nosniff/CORP 并全程 no-store。 - server-rs/crates/api-server/src/modules/game_distribution.rs：公开发行网关 releases/{gameId} 在当前公开版本 price_mud_points > 0 时返回 404，付费作品只能走播放会话路径。 - server-rs/crates/api-server/src/modules/game_distribution.rs：game_payload 发出 priceMudPoints 与 purchased 默认值；public_game_payload 按查看者解析 purchased，并对未购买且非作者 / 非管理员的付费作品把 currentVersion.entryUrl 置 null；公开详情接口可选鉴权读取当前用户，坏令牌按匿名、购买态读取失败按未购买。 - server-rs/crates/api-server/src/modules/game_distribution.rs：private_version_payload 发出该版本冻结价（历史缺字段为 0）；作者 / 管理员版本详情的 game payload 按「冻结价优先、否则游戏行价」。 - server-rs/crates/api-server/src/state.rs：新增付费游戏播放会话的进程内存储与读写方法，读取时清理过期会话。 - server-rs/crates/api-server/src/admin.rs：抽出 resolve_admin_session，新增 try_authenticate_admin_from_headers 供同时接受管理员 / 用户令牌的端点复用，require_admin_auth 的校验与鉴权行为不变。 - server-rs/crates/spacetime-client/src/active.rs：补出 GameDistributionPurchaseRecordInput 的 re-export。 - docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md：登记购买、播放会话、公开详情入口隐藏与公开发行网关的 HTTP 契约。 - 补齐 api-server game_distribution 定向测试：价格校验 400、公开投影入口门禁（未购买 / 已购买 / 作者 / 管理员 / 免费）、冻结价回读、购买错误映射、购买路由鉴权与幂等键、播放会话网关 Cookie / 未知与过期令牌 / 路由挂载。	2026-10-05 17:32:40 +08:00
suzmii	3206f8f49b	修复在线游玩加载体验：加载期黑屏/空白与发行资源传输开销 ... - packages/shared 新增共享游戏加载面 PlatformGameLoadingSurface：封面/标题 + 动效进度 + 按时长推进的阶段文案（准备/资源/引擎）+ 慢加载提示，附用例 - 网页游玩页用共享加载面替换近黑壳上的一行小字，加载上限改为共享常量 PLATFORM_GAME_LOADING_TIMEOUT_MS - 后台审核试玩补加载面、20 秒超时与「重新创建试玩会话」入口，新会话重置加载态；补两条用例 - 发行网关（api-server）对文本类发行资源按 Accept-Encoding 下发 gzip，并下发强 ETag、命中 If-None-Match 返回 304；补 5 条 Rust 用例 - E2E 脚本 check-game-distribution-ops-rollback-e2e 补压缩/Vary/ETag/304/不接受 gzip 四条断言 - 同步 pitfalls、开发运维文档、nginx README 与两份里程碑记录	2026-10-05 17:14:32 +08:00
suzmii	80fd5a9fea	新增游戏买断制泥点付费领域规则、SpacetimeDB schema、钱包来源与 Rust DTO ... - server-rs/crates/module-game-distribution：新增价格校验 normalize_game_price_mud_points（0..=1000000，0 为免费）、购买资格 resolve_game_purchase_decision、GamePurchaseSnapshot 与 game_purchase_id（前缀 gdpurchase_）；GameSnapshot/GameVersionSnapshot 增加 price_mud_points，审核通过时随版本价格生效；新增购买服务方法与纯内存测试。 - server-rs/crates/spacetime-module/src/game_distribution.rs：GameDistributionGame 末尾追加 #[default(0u64)] price_mud_points；新增私有表 game_distribution_purchase（purchase_id 主键 + user_id/game_id btree 索引）；新增 purchase_game_distribution_game_and_return（同事务校验可见性/价格 CAS/未购买并原子扣费、幂等收据 action=purchase）与只读 get_game_distribution_purchase_and_return；approve 在同一事务内把冻结资料 priceMudPoints 生效到游戏行；公开游戏投影带出 priceMudPoints。 - server-rs/crates/spacetime-module/src/runtime/active/profile.rs：新增 consume_profile_wallet_points_for_game_purchase 复用通用钱包写入路径（来源类型 game_purchase、流水 ID game_purchase:{userId}:{gameId}、metadata_json 记 kind/gameId）；profile_wallet_balance 提升为 pub(crate)。 - server-rs/crates/spacetime-module/src/migration.rs：迁移表白名单登记 game_distribution_purchase。 - server-rs/crates/module-runtime/src/domain.rs：RuntimeProfileWalletLedgerSourceType 追加 GamePurchase 变体与 game_purchase 文案，未改 profile_wallet_ledger 表结构。 - server-rs/crates/shared-contracts：新增 PROFILE_WALLET_LEDGER_SOURCE_TYPE_GAME_PURCHASE；公开游戏摘要/详情增加 priceMudPoints 与 purchased；GameDistributionPrivateVersion 与 GameDistributionCreateVersionRequest 增加 priceMudPoints；新增 GameDistributionPurchaseRequest/GameDistributionPurchase/GameDistributionPurchaseResponse/GameDistributionPlaySessionResponse。 - server-rs/crates/spacetime-client：新增购买与回读 typed facade、GameDistributionPurchaseRecord 与 row mapper，GameDistributionGameRecord 带出 price_mud_points，钱包来源 mapper 支持 GamePurchase。 - docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md：登记 price_mud_points、game_distribution_purchase 与 game_purchase 流水来源。 - 重新生成 SpacetimeDB Rust 绑定（购买表/过程与价格字段）。	2026-10-05 17:02:56 +08:00
k88936	bc3e36ff33	重构(会员契约): 会员结构体改用 ts-rs 生成类型 ... - shared-contracts 为 10 个会员结构体补 ts_rs::TS / ts(export)，64 位整数字段补 ts(type = "number") 对齐前端 number - 新增 10 个生成绑定；packages/shared 与 admin-web 改为 re-export 生成类型，仅 kind / status 等前端收窄联合用 Omit 组合保留 - 同步设计文档 §2.5 与决策日志	2026-10-05 15:51:07 +08:00
k88936	0930e402be	修复(会员错误码): 修正 ProductIdUnparseable 拼写 ... - module-runtime 变体 ProductIdUnparsable 改名为 ProductIdUnparseable，wire 串 product_id_unparsable 同步改为 product_id_unparseable（本 PR 未上线，不留兼容） - 同步 spacetime-module 拒绝点、spacetime-client mapper 与 api-server 测试引用，并重新生成 SpacetimeDB 绑定 - 同步设计文档 §5.8 与决策日志	2026-10-05 15:32:19 +08:00
k88936	42c4cacf72	修复(会员契约): 响应 token 反序列化前向兼容 ... - shared-contracts 为会员响应 DTO 的 plan / status / cycle_kind / model_access 字段加 deserialize_with，未知取值 fail-open 兜底到已知最高档，避免 AGC Tauri shell 等旧 Rust 客户端因后端新增 token 整包解析失败 - 入参 DTO 保持严格拒绝，不改枚举自身 Deserialize，避免 Unknown 变体污染入参 - 补响应兼容与入参严格测试；同步设计文档 §2.5 与决策日志	2026-10-05 15:11:47 +08:00
k88936	c85da3a983	修复(AGC模型): 档位无可用模型改用独立错误码 ... - module-runtime 新增 MODEL_UNAVAILABLE / MODEL_UNAVAILABLE_FOR_TIER 常量，NoModelForTier.code() 由共用 MODEL_UNAVAILABLE 改为 MODEL_UNAVAILABLE_FOR_TIER（仍 503），与单个模型不可用的 422 区分 - 更新 resolve_error_codes_are_stable 与 api-server llm 单测；收窄 llm/model_access 模块注释 - 同步设计文档 §11.4 与决策日志	2026-10-05 15:11:06 +08:00
k88936	c3866b4267	修复(后台邀请码): 拒绝补机器可读错误码走 400 ... - module-runtime 新增 RuntimeProfileInviteCodeAdminErrorCode（invalid_field / in_use），两个后台邀请码 procedure 结果末尾追加 error_code - module 侧用 ProfileInviteCodeAdminProcedureError 在拒绝点赋码，字段校验统一 invalid_field、被他人占用归 in_use - spacetime-client mapper 有码走 ProcedureRejected，并把 api-server 映射注释收窄为「带 typed code 的四条链路」 - 重新生成 SpacetimeDB 绑定；补 client 与 api-server 单测；同步设计文档 §5.8 与决策日志	2026-10-05 14:22:39 +08:00
k88936	f1a6c1eaac	修复(公历换算): days_from_civil 全量改用 i64 运算 ... - i32 年份区间内 era * 146_097 会超过 i32::MAX，debug 下 panic、release 下静默回绕 - 年、月、日中间量提升到 i64，返回类型仍是 i64；补 i32::MIN/MAX 边界回归测试	2026-10-05 14:05:07 +08:00
k88936	4f3faa04b5	修复(后台兑换码): 管理拒绝补机器可读错误码走 400 ... - module-runtime 新增 RuntimeProfileRedeemCodeAdminErrorCode（not_found / invalid_field / allowed_users_required），后台兑换码增改与列表 procedure 结果末尾追加 error_code - module 侧用 ProfileRedeemCodeAdminProcedureError 在拒绝点赋码，字段校验统一 invalid_field、私有码缺用户 allowed_users_required - spacetime-client 后台 mapper 有码走 ProcedureRejected，api-server 由此返回 400 而不是 502 - 重新生成 SpacetimeDB 绑定；补 client 与 api-server 单测；同步设计文档 §5.8 与决策日志	2026-10-05 12:35:55 +08:00
k88936	cc0c07223c	重构(会员契约): 充值中心会员状态改用强类型 token ... - ProfileMembershipResponse.status 由裸 String 改为 ProfileMembershipStatusToken，与前端 ProfileMembershipStatus 对齐 - BFF 直接用 From<RuntimeProfileMembershipStatus> 转换，测试改用具名枚举	2026-10-05 12:22:28 +08:00
k88936	4bd080eff5	修复(LLM目录契约): 响应枚举未知取值前向兼容 ... - LlmModelsResponse 内 agentMode / protocol 遇到未知 token 回退 Codex / 由 agentMode 推导默认协议，不再让旧客户端整份反序列化失败 - 输入校验仍走严格 parse；补未知 token 用例	2026-10-05 12:19:15 +08:00
k88936	c7150b590c	修复(LLM目录契约): protocol 缺省改为按 agent_mode 推导 ... - LlmModelSummary/LlmUnavailableModel 反序列化缺失 protocol 时取 agent_mode 的默认协议，不再一律 openai_responses - 补 cc / anthropic 别名 / 显式 protocol 用例；同步生成绑定注释	2026-10-05 12:18:05 +08:00
k88936	7579213bea	清理(AGC模型): 删除无档位校验的遗留 resolver ... - 移除 AgcModelCatalog::resolve / resolve_requested，统一走带会员档位的 resolve_requested_for - validate 内联默认项检查，测试改用 resolve_requested_for	2026-10-05 12:15:58 +08:00
k88936	6d9125586a	文档(AGC模型): access 字段注释改为访问级别 ... - AdminAgcModel.access 与 AgcModel.access 的注释不再写成「会员档位」，避免与会员 plan 档位混淆	2026-10-05 12:01:43 +08:00
k88936	8bc48e9e61	修复(会员账期): 北京时间年份越界先收口再进历法换算 ... - beijing_local_micros 增加 ±292_278 年范围检查，避免 days_from_civil 内部 i32 乘法溢出 - 补充 10_000_000 年等溢出用例	2026-10-05 12:01:32 +08:00
k88936	0c9a16ba1a	修复(AGC模型): 未知权限档反序列化失败开放为 basic ... - AgcModelAccess 将 Basic 放到最后一个变体并加 #[serde(other)]，未知 access 不再让整份目录解析失败 - 补充未知 access 反序列化回退 Basic 的单测	2026-10-05 12:01:12 +08:00
k88936	a48b7f8de8	Merge remote-tracking branch 'origin/master' into feat/pricing-plan ... # Conflicts: # docs/project-memory/shared-memory/decision-log.md	2026-10-05 10:50:30 +08:00
k88936	14c147722a	fix(会员结算): cycle_index==0 迁移行按 max(1) 归一，避免误判状态已变化 ... - frozen_membership_cycle_matches 比较双方都按 max(1) 归一（评审第 20 条） - 存量 cycle_index 为 0 的会员行与投影的 Some(1) 快照现在判定一致，不再永久返回「会员状态已变化，请重新下单」 - 扩展 frozen_membership_cycle_identity_rejects_advanced_cycle 覆盖迁移行；已验证去掉 max(1) 时用例失败	2026-10-04 21:51:42 +08:00
k88936	284b656b59	fix(充值商品): 移除已退役的 bonus_points / duration_days 入参 ... - 后台 upsert 请求 DTO 与 SpacetimeDB procedure 入参移除 bonus_points、duration_days（评审第 19 条） - 充点商品固定「¥1 = 10 泥点、无首充赠送」，module 落库统一写 0，保留退役列兼容存量 schema - 删除 InvalidRechargeProductFields 校验与错误文案；api-server / spacetime-client 同步收敛 - admin-web 表单移除「首充赠送」输入与状态，列表改为只展示基础泥点 - scripts/admin-web-fake-api.mjs 假数据同步 bonusPoints: 0	2026-10-04 21:33:39 +08:00
k88936	dcaab089cc	refactor(后台契约): AdminAgcModel.access 改 ProfileMembershipModelAccessToken ... - shared-contracts 的 AdminAgcModel.access 由裸 String 改为 ProfileMembershipModelAccessToken，未知值在反序列化阶段被拒（评审第 18 条） - module-runtime 补 AgcModelAccess <-> ProfileMembershipModelAccessToken 双向 From - api-server 的 agc_models 去掉 AgcModelAccess::parse 兜底，改直接 From - admin-web 的 AdminAgcModelAccess 改为复用 @genarrative/shared 生成类型 - 扩展 catalog_dto 测试断言缺省 Basic 与未知 access 反序列化失败	2026-10-04 20:58:21 +08:00
k88936	6424ad7e75	fix(LLM 代理): Chat Completions 透传类型化错误，保留权限码 ... - resolve_llm_router_client 返回 Result<_, AppError> 而非 String（评审第 17 条） - load_owner_llm_catalog 的 503 + MODEL_ACCESS_UNAVAILABLE 不再被拍平成「模型目录暂不可用」 - resolve_requested_for 错误改走 agc_model_resolve_error，与 proxy_llm_responses / proxy_llm_messages 契约一致 - LlmConfig / LlmClient 构造失败按 500 返回；调用方直接 llm_error_response 透传	2026-10-04 19:56:16 +08:00
k88936	b97d559782	fix(会员账期): 极端锚点推进月份饱和而非 panic ... - advance_beijing_months_clamped 去掉 beijing_local_micros 后的 expect，改为安全年份区间 + unwrap_or 按方向饱和（评审第 16 条） - 目标年份超出 i64 微秒可表示范围（约 ±29 万年）时返回 i64::MAX / i64::MIN，避免历法乘法与 checked_* 溢出 panic - 新增 advance_saturates_instead_of_panicking_on_extreme_anchors 覆盖 i64::MAX / i64::MIN / u32::MAX	2026-10-04 19:47:38 +08:00
k88936	cf2a8820d9	fix(会员升级): 相等价差 / 点差也拒绝，堵住 0 元升级 ... - quote_runtime_profile_membership_upgrade 先把 target.price_cents / period_points 与 current 比较，<= 直接返回 InvalidQuoteInput（评审第 15 条） - 保留 rank 递增校验；旧实现用 checked_sub 只拦下溢，相等会算出 0 元升级 / 0 补点 - inverted_catalog_price_and_points_are_rejected 扩展相等分支，已验证去掉 <= 时该用例失败	2026-10-04 19:41:09 +08:00
k88936	54d1df9d21	refactor(契约): 会员 token 枚举走 ts-rs 生成，前端不再手写联合类型 ... - shared-contracts 给 ProfileMembershipPlanToken/CycleKindToken/StatusToken/ModelAccessToken/ChangeKindToken 补 ts_rs::TS + ts(export)，生成 5 个 .ts 到 packages/shared/src/contracts/generated/（评审第 14 条） - packages/shared/src/contracts/runtime.ts 的 ProfileMembershipPlan/Status/CycleKind/ModelAccess 改为生成类型的别名并 re-export - apps/admin-web/src/api/adminApiTypes.ts 删除本地手写联合类型，改为从 @genarrative/shared 导入 / re-export - npm run check:generated-bindings、admin-web:typecheck、npm run typecheck 通过	2026-10-04 19:35:28 +08:00
k88936	3a955889f0	refactor(后台契约): 会员详情 plan/status/cycle_kind 收口为 token 枚举 ... - shared-contracts 新增 ProfileMembershipStatusToken（normal/active） - AdminProfileMembershipPayload 的 plan/status/cycle_kind 由 String 改为 ProfileMembershipPlanToken/ProfileMembershipStatusToken/ProfileMembershipCycleKindToken，未知值在反序列化即被拒（评审第 13 条） - module-runtime 补 RuntimeProfileMembershipStatus -> ProfileMembershipStatusToken 的 From 映射 - api-server 的 map_membership 改为直接 .into()，去掉 as_str().to_string()	2026-10-04 19:14:31 +08:00
k88936	bd06e42690	refactor(error): profile 错误分类全面转 typed error，删除文案匹配 ... - module-runtime 新增 RuntimeProfileRewardCodeRedeemErrorCode（NotFound/Disabled/NotStarted/Expired/UsesExhausted/NotAllowedForUser/InvalidReward）与 RuntimeProfileProcedureRejectionCode（聚合会员 / 兑换码两类码） - RuntimeProfileRewardCodeRedeemProcedureResult 末尾追加 error_code，spacetime-module 用 ProfileRewardCodeRedeemProcedureError 在拒绝点显式赋码，入参与钱包错误保持无码 - SpacetimeClientError::ProcedureRejected.code 改为 RuntimeProfileProcedureRejectionCode，Display 输出 [code] message，不再吞掉机器可读原因（评审第 12 条） - api-server 的 map_runtime_profile_client_error 只读变体字段，AppError.code 取 code.as_str()，删除 is_runtime_profile_domain_error / is_runtime_profile_redeem_code_domain_error 两个中文文案匹配函数 - 重新生成 Rust bindings；同步技术设计 §5.8 与 decision-log	2026-10-04 18:40:54 +08:00
k88936	e91c319aa8	fix(LLM): 「该档无可用模型」补专用变体并统一为 503 ... - AgcModelResolveError 新增 NoModelForTier，与「某模型不可用」/「档位不够」区分；code() 仍复用 MODEL_UNAVAILABLE - 代理路径 resolve_requested_for(None, access) 不再折叠成 Unavailable，agc_model_resolve_error 把 NoModelForTier 映射到 503，与 /api/llm/models 列表端点一致（评审第 8 条） - public_model_catalog 直接复用 agc_model_resolve_error(NoModelForTier)，消除手写 503 + 字面量错误码 - 更新 model_access.rs 契约注释与 module-runtime / api-server 测试	2026-10-04 17:41:10 +08:00
k88936	9476290c4b	refactor(LLM): 列表无可用模型时复用 AgcModelResolveError 的错误码 ... - public_model_catalog 里硬编码的 MODEL_UNAVAILABLE 与 AgcModelResolveError::Unavailable.code() 重复 - 改为直接取枚举 code()，与 MODEL_ACCESS_UNAVAILABLE 的既有做法一致，避免两处字符串漂移	2026-10-04 16:01:13 +08:00
suzmii	2f6df57ce2	Merge remote-tracking branch 'origin/master' into feat/game-works-management ... # Conflicts: # docs/project-memory/shared-memory/decision-log.md # docs/【后端架构】server-rs与SpacetimeDB数据契约-2026-05-15.md # server-rs/crates/api-server/src/modules/game_distribution.rs # server-rs/crates/spacetime-client/src/active.rs # server-rs/crates/spacetime-module/src/game_distribution.rs # src/components/game-distribution/GameDistributionPages.test.tsx	2026-10-04 15:00:23 +08:00
k88936	c391352ff4	fix(会员): 并发上限按有效档位解析，过期会员回落 Normal ... - effective_profile_concurrent_job_limit 原先直接读 profile_membership.plan；该列到期后仍保留最近购买档位，过期 Max 会继续拿 128 不限并发哨兵 - 补 expires_at 有效性过滤，与 build_profile_membership_snapshot_from_row 的对外口径一致；缺会员行 / 已过期按 Normal	2026-10-04 13:29:32 +08:00
k88936	964948bed2	fix(会员): 模型权限读链路失败改报独立 503 错误码 ... - 新增 MODEL_ACCESS_UNAVAILABLE（503），与 403 档位不足 / 422 模型不可用区分，不再把付费账号静默降级成 Basic - resolve_owner_agc_model_access 返回 Result 并由 load_owner_llm_catalog 透传；缺会员行 / 缺目录行仍由 module 内失败关闭并返回成功 - 入口注释列出三类错误码语义；补错误码映射单测	2026-10-04 13:29:32 +08:00
k88936	b46c0be9ce	perf(会员): 模型目录与账号权限档并发读取 ... - load_owner_llm_catalog 原串行等待目录与权限档两次 SpacetimeDB 往返，热路径延迟叠加 - 改为 tokio::join! 并发发起；目录错误仍由 catalog? 返回，权限档失败关闭语义不变	2026-10-04 13:29:32 +08:00