599 Commits

Author	SHA1	Message	Date
suzmii	daef9f6cc9	修复素材删除幂等、重命名 CAS 与 manifest 预览缓存一致性 ... 修复素材删除幂等、重命名 CAS 与 manifest 预览缓存一致性（PR #316 review） - assets.rs:2048-2049 [bug · medium] 已被修复：删除登记在「身份 + revision 两项 CAS 都已通过」后遇到素材已不在 manifest 时按 no-op 成功收敛并照常推进 revision，不再报「项目资源不存在」；新增 `asset_delete_retry_converges_when_only_the_revision_advance_failed` 复现「manifest 已提交、revision 未推进」并验证重试收敛（原「不存在的素材必须报错」断言相应改为幂等语义，前端只消费 assetId/committedProjectRevision）。 - assets.rs:2035-2042 [performance · low] 已被修复：引用集合只算一次并用 `HashSet<String>` 做成员判定，`retain` 不再是 O(V²)；版本守卫闭包按约定在写入前另行求值、拿不到该可变借用，故两次扫描保留并已在注释里说明。 - commands.rs:1032 [maintainability · medium] 已被修复：`RenameLocalProjectAssetInput` 补 `expectedProjectId` / `expectedProjectRevision`，`rename_local_project_asset_at` 与删除/分类更新同口径做两段身份复核 + revision CAS，失败时磁盘、manifest、revision 全不动；新增 CAS 用例（陈旧 revision / 跨项目身份 / 空身份）。注意：前端 `confirmResourceRename` 必须同时补传这两个字段（TS 侧由前端 owner 落地）。 - asset_rename.rs:84 [bug · low] 已被修复：新增 `asset_frame_directory_matches`，目录段在 Windows/macOS 按大小写不敏感比较（Linux 保持敏感），与文件名比较同口径；新增 `Assets/hero.png` 帧对齐用例。 - asset_rename.rs:249-250 [bug · medium] 已被修复：revision 推进失败改为报 `reconciliation-required: 素材已改名…且 manifest 已落盘，但项目 revision 未能推进`，明确这是「已提交但对账未完成」而非普通失败；同时新增的 CAS 使后续命令必须按新 revision 重试，重试会命中同名 no-op 分支收敛。 - tests/asset_rename.rs:257-263 [maintainability · medium] 已被修复：删除 `RenameLocalProjectAssetFaultStage` 枚举与生产签名上的 `fault` 参数，故障注入改用 `#[cfg(test)]` 的 `.agent/runtime/test-fail-next-asset-rename-manifest-write` 标记文件（与 agent_db 既有约定一致），生产 API 面不再能被推上「只回滚、不写 manifest」的路径。 - manifest.rs:1386 [bug · medium] 已被修复：预览缓存失效点下沉到唯一的装盘公共体 `write_manifest_locked_with_version_guard`（install 成功后立即失效，含安装后回读不一致的失败路径），`mutate_manifest_at_allowing_version_removals` 与绑定改写通道一并覆盖；`write_manifest_with_lock_hook` 里的重复调用已移除。 - manifest.rs:1480-1482 [bug · medium] 已被修复：填充侧改为「先取身份快照 → 读取 → 复核快照一致才入缓存」，不再可能出现「旧内容 + 新文件身份」的缓存条目。 - manifest.rs:1135 [security · low] 已被修复：新增 `normalize_manifest_asset_tags`，在共享归一化之后按数量（16）与单标签长度（32 字符）失败关闭；超长标签不截断，避免与共享标签库静默分叉。 - manifest.rs:1180-1181 [bug · medium] 已被修复：审计改为幂等——前后分类与标签完全相同时不追加记录，重试不会再写出 `previousCategory == category` 的假变更审计（保留「manifest 落盘后、推进 revision 前追加」这一既有位置约定）。 - manifest.rs:1140 [maintainability · low] 已被修复：分类写入的项目写锁标签由 `asset.register` 改为 `asset.classification.update`，争用诊断不再误报成素材登记。 - 测试：新增 preview_cache_tests（命中/TOCTOU 不入缓存/身份漂移丢弃/主写入通道显式失效）、分类重复写入不留假审计、标签上下界拒绝；7 条变异验证全部 CAUGHT。	2026-09-12 20:20:12 +08:00
suzmii	3a9e45c805	修复素材导出缺少敏感文件拒绝与自我覆盖保护 ... 修复素材导出缺少敏感文件拒绝与自我覆盖保护（PR #316 review） - asset_export.rs:27-30 [security · high] 已被修复：`resolve_export_source_file` 现在与通用读取路径同一口径，normalize 后先 `reject_agent_runtime_private_control_path` 再 `reject_sensitive_project_file_read`，`.env` / 本地凭据配置与 `.agent/runtime|checkpoints|workbench` 控制面都不能被复制到项目外。 - asset_export.rs:31-33 [security · medium] 已被修复：源路径改用 `resolve_local_project_path` 逐段复核符号链接与 Windows reparse point，`assets` 本身是链接/junction 时不再把项目外文件当成素材导出。 - asset_export.rs:76-78 [bug · high] 已被修复：新增 `reject_export_destination_matching_source`，在创建写句柄之前按「路径等价（大小写不敏感平台忽略大小写）」+「文件身份（含硬链接，退化身份不参与判定）」拒绝保存目标与源素材同一份文件；否则 `File::create` 先截断源文件、复制读到 0 字节还会报成功。 - asset_export.rs:93-95 [other · low] 已被修复：复制改为同目录临时文件 + `sync_all` + `rename` 原子替换，失败时清理临时文件；不再先截断既有目标、也不再留下半截文件。 - 文档：命令 docstring 不再声称「只导出 manifest 已登记素材」——DirectProject 导入的附件同样要能另存，而它们不是 manifest 资产，所以这里明确写成与通用读取同一套路径门禁。 - 测试：新增 5 条用例覆盖敏感/控制面源拒绝、中间目录符号链接逃逸、目标即源文件、硬链接目标、原子替换不留临时文件；7 条变异验证全部 CAUGHT。	2026-09-12 20:19:57 +08:00
suzmii	87fbf92c58	合并 origin/master 到资源工作台 V3 分支：解 4 处冲突并保留两侧行为 ... - WorkspaceLauncher.tsx：保留本分支清单快照 CAS 拒收提示（manifestMergeNotice 提示条、data-manifest-merge-* 观察点、recoverRejectedManifestSnapshot「重新读取清单」）与 activeVersionId/onActiveVersionChange 版本口径，并入 master 的策划/游戏运行态切换（onMakeGame + switchToGameRuntime、suppressInitialGameTurn 抑制首轮、supervisor key 带 agentRuntimeMode、onSwitchToGameRuntime），planningStartMode 统一取 master 的派生值（上下文 startMode 为 planning 且未切到 game 运行时） - ProjectSupervisorView.tsx：props 同时保留本分支 versions/activeVersionId 与 master 的 designView/onDesignApprove/onDesignClarify/onDesignRetry，DesignAgentSurface 审批链路与本分支资源引用输入区并存；directCodex 输入区保留本分支 @ 引用按钮 + 模型选择 + 发送按钮控制条，发送按钮禁用条件并入 master 的 designView 审批待定口径，模型选择沿用 master 的「对话中可切换」口径 - styles.css：本分支追加的资源画布/输入区样式块与 master 追加的 .design-agent-reasoning 样式块都保留，并补上本分支最后一条规则的收尾大括号 - view/project-development/index.tsx：保留本分支的 image-editor 引用（ImageCanvasProjectAssetPickerDialog、ImageCanvasQuickEditPanelView、ImageCanvasSelectedLayerToolbarView、useImageCanvasFloatingOptionDismiss），去掉 master 对已退役 features/asset-canvas 的 import（本分支已由 resource-canvas 取代），保留 master 的 DesignWorkspacePanel 与 planningStartMode 策划工作台分支 - tests/workspaceLauncherManifestMerge.test.tsx：补 master 新引入的 get_design_agent_runtime_mode mock（返回 null，与 master 各套件同口径），拒收提示断言不变 - tests/appSurface/design-agent.suite.ts：审批待定禁用输入的断言改用本分支 Lexical 输入区的禁用口径（容器 data-disabled + editor.setEditable(false)），断言意图不变 - 验证：npm run typecheck 通过；apps/ai-game-creator-shell typecheck 通过；apps/ai-game-creator-shell/tests 96 个测试文件 1380 通过 4 跳过 0 失败；全仓 vitest 297 通过 2 失败（scripts 下两例为 Windows 权限语义导致的既有失败，相关文件与实现均未参与本次合并）；npm run check:encoding 与 git diff --check 通过	2026-09-12 17:31:51 +08:00
lhk229	2e87a1403a	自动隔离损坏的策划会话并修复 CI ... 会话读取损坏时自动备份并允许项目继续打开 登记会话重置命令并补齐 Native shell 配置检查	2026-09-12 07:48:07 +00:00
lhk229	f505d2792f	允许损坏策划会话降级打开项目 ... 会话读取失败时保留工作台与产物访问能力 新增策划会话备份重置命令，不删除工作区产物	2026-09-12 07:33:49 +00:00
lhk229	832f1e8b59	修复策划项目重开运行态恢复 ... 持久化策划项目 design 运行模式并在重开时恢复 design/game 工作台。 补充旧策划会话兼容判断、前端夹具和恢复回归测试。	2026-09-12 06:41:49 +00:00
suzmii	c76ecd07ab	修正合并带入的 rustfmt 漂移与换行符，恢复 Repository checks ... - cargo fmt 三个由 feat/agc-resource-replace 带入且从未跑过 CI 的 Rust 文件：version_resource_replacement.rs、manifest/version_binding_rewrite_tests.rs、tests/version_resource_replacement.rs - 四个文件统一为 LF，修掉 rustfmt 报的 Incorrect newline style：shared-contracts/game_creation_app.rs、view/project-development/index.tsx、decision-log.md、技术方案文档 - 本地按 CI 链复跑：encoding / npm-workspaces / spacetime-schema / production-ops / preview-deployer / maintenance-page / rustfmt / eslint / typecheck 全部 exit 0 - check:git-hooks 仍红，但红在已知 Windows EBUSY 抖动（rmdir 临时 repo 被占用），Linux CI 不受影响	2026-09-12 14:36:23 +08:00
suzmii	e4ee6c2be8	合并 feat/agc-resource-replace：把「替换素材」接进资源工作台 ... - 解冲突 project/manifest.rs：保留版本写入公共体 write_manifest_locked_with_version_guard（版本只追加 + 绑定改写放行），并把 schema 校验并入该公共体，两侧语义都不丢 - 解冲突 shared-contracts：取当前分支的读显示口径 game_creation_app_asset_effective_category（含与 TS 交叉钉住的 EFFECTIVE_CATEGORY_CONTRACT 矩阵），同步改写 version_resource_replacement 对旧函数名的调用 - 解冲突 index.tsx：两处均为纯 import 追加，两侧都保留 - 解冲突 decision-log 与技术方案文档：两侧条目都是追加，全部保留 - 随之进入本分支：版本绑定改写窄放行通道、直接替换命令与其兼容性判据、资源卡工具条「替换素材」入口	2026-09-12 14:19:03 +08:00
lhk229	a4373d7494	修正策划资源文档引用路径 ... 将阶段 Skill 和系统模块中的旧附件名称统一为资源逻辑路径。 修正模板、范例、系统总纲及模块配套文件引用。	2026-09-12 05:28:26 +00:00
lhk229	34616e1631	修复 CI 调试工作区测试 ... 格式化 design runtime 调试命令 为 debug fixture 测试显式开启并清理 debug 环境变量	2026-09-12 05:21:21 +00:00
lhk229	226cfbc8a1	Merge branch 'master' into design_agent_refactor	2026-09-12 13:10:41 +08:00
lhk229	8853e3b48e	完善策划调试入口与顾问态切换 ... 统一策划 Debug 日志、快速推进按钮和快速推进命令的开关。 将做成游戏入口放到顾问阶段条末尾并接入正常运行时切换。 登记策划产物资产并补充工作区调试入口测试与技术文档。	2026-09-12 05:06:48 +00:00
suzmii	38cd688d71	Merge remote-tracking branch 'origin/master' into fix/agc-all-resources-zoom	2026-09-12 12:25:36 +08:00
k88936	cc9b95ddef	优化调试配置：提升SHA-256计算性能，避免调试构建阻塞	2026-09-12 10:54:51 +08:00
suzmii	5b62d1e4ef	修复资源登记把任意图片写成 ui 类型 ... 停用本地导入图片的 ui 默认 kind：agent_local_project_file_type 的图片扩展名分支改写 canonical image（派生 unclassified，落「待归类」），并注明不许把 ui 当图片默认值及其不可恢复原因——读时自愈只在落盘 category 为 unclassified 时触发，kind 本身写错时自愈只会把错值放大成 ui-interaction 账户素材导入改用平台真实类型：新增 imported_platform_asset_kind，账户素材库记录自带的 assetKind 不再被常量 ui 顶掉，缺失才退回中性 image 平台素材导入改用响应里的 assetKind：网页项目画布与平台素材导入同样走 imported_platform_asset_kind，不再写死 ui 上传素材按内容证据推导 kind：upload_local_asset_at 不再把来源词 uploaded 当类型，改由 uploaded_asset_kind 按 mediaType 与扩展名推导 audio/video/image/document/code，判不出才用中性 asset；同一命令也收 .wav 与 .md，因此不能一刀切成 image 补 4 处回归与反查用例：本地导入与上传断言落盘 kind 与 category 且不得出现 ui、ui-interaction、uploaded；两处平台导入的 kind 解析加纯函数单测与调用点反查门禁；变异把错值改回来必须变红（M1/M2/M3 实测 4 个用例全红，还原后 diff 与基线逐字节一致） 覆盖边界：账户素材库与平台素材导入是异步 HTTP 路径，仓库内没有可复用的端到端夹具，这两条覆盖是纯函数单测加调用点反查门禁，不是端到端断言；本地导入与上传是读落盘 manifest 的行为级断言 后续事项：ImportedAsset.asset_kind 仍返回平台原始值（缺失为 none），与已落盘 kind 可能不一致，本次未改动	2026-09-12 02:30:31 +08:00
suzmii	9fea60b850	append 锁：预算与项目写锁对齐、超时报可诊断的持锁方、争用做有界退避重试 ... - project/agent_db.rs：等待预算从 10ms×100≈1s 改为 5ms×2000≈10s，与项目写锁完整窗口同口径；新增 lock_short（5ms×200≈1s）供只读路径使用 - project/agent_db.rs：超时文案在锁路径后追加持锁方线索（读锁文件里的诊断元数据，读不到就明说不可读），现场不再只拿到一句"检查运行时配置" - project/agent_db.rs：取锁成功后把 label/pid/processStartedAt/acquiredAt 写进锁文件；仅作诊断，不参与判活、回收或抢占，同一进程重复取同一把锁不重写 - project/agent_db.rs：抽出 PROJECT_APPEND_LOCK_TIMEOUT_MARKER 常量，控制流不再各自复制中文 - project/conversation.rs：整份读对话记录的两处只读入口改用短窗口，避免把面板读路径一起拖住 - agent/direct_project_history.rs：争用类失败做一次有界退避重试（250ms）；格式类失败不重试 - agent/direct_runtime.rs：锁争用给可操作提示（另一个客户端进程正在读写该项目历史或项目锁，请稍后重试，确认没有其它客户端再重启），retryable 保持 true，但现在确实会自动重试 - 用例：预算口径、锁文件诊断元数据、持锁方线索、被独占持有时超时且不留残留、争用重试成功、超出预算失败关闭、格式类不重试 - 变异验证：预算常量改回 1s → 预算用例红（left 10ms / right 5ms）；去掉重试 → 重试用例红（append after retry 直接报跨进程锁超时）；验证后已还原	2026-09-12 01:09:37 +08:00
suzmii	77871bfa56	把可能弹 UAC 的 ACL 提权修复移出 append 锁的持锁窗口 ... - project/agent_db.rs：Windows 取锁成功路径不再在"已持有零共享句柄"时做带提权的 ACL 修复；持锁期间只做不提权的严格校验，校验不过就先释放句柄、再提权修复，并返回"这轮没取到锁"由外层重试循环按修复后的 DACL 重新打开 - project/agent_db.rs：新增 release_project_append_os_lock_then_repair_acl，参数按值接收锁句柄且函数体第一件事是 drop，使"边持锁边等 UAC"在签名层面无法被表达 - 原因：提权修复走 powershell Start-Process -Verb RunAs -Wait 同步等用户点 UAC，在持锁期间等它等于把用户犹豫的时间记进别人的持锁窗口；只有 Windows 存在这条路径 - 判据（结构级）：提权修复只在此一处被调用，且调用点必须交出句柄所有权；测试环境不弹真 UAC（config.rs 测试分支本地收紧），故不写假 UAC 用例 - 真机判据：DACL 有缺陷的机器上，持锁方进入修复期间不再持锁，等待方从"超时"变为可成功 - 不变项：首次创建锁文件的本地 harden 仍留在持锁期间（本进程新建对象不因继承 DACL 自动提权）	2026-09-12 00:12:52 +08:00
suzmii	1affb5eec3	锁内只保留 append：DirectProject 历史的幂等回扫移出持锁窗口 ... - direct_project_history.rs：幂等回扫与序列化移到取锁之前，取锁后常态只做一次追加，不再在锁内读完并逐行解析整份历史 - direct_project_history.rs：回扫到取锁之间若历史文件变了（len/mtime 与回扫时不一致）才回到锁内重扫一次；同一 id 不写第二行的语义不放宽，只是常态不再为它读整份文件 - direct_project_history.rs：新增 direct_project_history_duplicate_at 三态判定（Absent/Identical/Conflict）与回扫状态快照，对外行为与原实现一致（幂等 no-op、id 冲突失败关闭） - direct_project_history.rs：新增回扫探针（两个时点回调）与三条用例：回扫在 append 锁外、锁外回扫后并发追加仍不重复写、id 冲突仍失败关闭 - project/agent_db.rs：新增测试专用探针 project_append_os_lock_is_held_for_test，用与生产同一套打开方式判断追加写目标的锁此刻是否被持有 - 变异验证：把回扫塞回锁内后 idempotency_reverse_scan_runs_outside_the_append_lock 变红（exit 101），报出「幂等回扫必须发生在 append 锁外」，验证后已还原	2026-09-12 00:07:04 +08:00
suzmii	3db6afa052	对齐 Codex app-server 读写单行上限：写侧守卫 + DirectProject 历史注入前置校验，并把注入超限改判为不可重试 ... - 隔离探针实测（codex-cli 0.147.0，AGC 捆绑版本）：experimentalRawEvents 线程收到 thread/inject_items 后会逐条原样回显 rawResponseItem/completed —— 注入一个 5 MiB 的 item，stdout 就回一条 5 243 245 字节的单行；而读侧上限原为 4 MiB，于是「我们注入得进去」却「我们读不回来」，报错方向指向 app-server，实际是我方读行判死 - codex_app_server.rs 的 GAME_CREATOR_CODEX_APP_SERVER_LINE_MAX_BYTES 由 4 MiB 提到 32 MiB，注明它同时充当 stdout 读侧上限与 stdin 写侧守卫；取值依据写进注释（单张图 base64 上限 10 MiB、单次图片总量 16 MiB 折 base64 约 21.3 MiB，再加 JSON 信封），再大就失去内存/DoS 边界的意义 - 新增写侧守卫 game_creator_codex_app_server_message_oversize_error：write_message 超限即失败关闭并给出字节数，绝不写出自己读不回来的行（两侧共用同一常量即这条不变量） - 新增 DirectProject 历史注入前置校验 direct_project_history_injection_oversize_error：单条 item（扣掉 rawResponseItem/completed 回显信封余量）与整份载荷都必须落在上限内；超限指名 itemId/type/字节数并失败关闭，且不截断、不摘要、不改写历史（技术方案末节口径） - 新增专属前缀 DIRECT_PROJECT_HISTORY_INJECTION_OVERSIZE_PREFIX，供 direct_runtime 判可重试性与给专属提示 - direct_runtime.rs：direct_codex_failure_is_retryable 把注入超限改为不可重试（同一份历史每次读结论相同，且本轮用户消息已先追加进同一文件、载荷只会更大）；direct_codex_failure_recovery_hint 与 direct_codex_failure_public_summary 各补一条专属文案，用户不再看到笼统的「Codex 未完成本轮代码修改，请检查运行时配置后重试（可直接重试）」 - 新增 2 条用例：写侧守卫与读侧共用同一上限的边界（等于上限必须放行、上限+1 必须拒绝）、注入侧整份载荷与单条 item 双超限必须拒绝 - 变异验证：把写侧守卫改成 >=、把单条上限放成 usize::MAX，两条用例各在自己那一处变红；还原后逐字节哈希一致并复跑绿灯 - 门禁：npm run check:rustfmt exit 0；npm run typecheck exit 0；cargo test 定向 2 passed（2257 filtered out）	2026-09-11 22:24:30 +08:00
suzmii	5fff7a134c	④ 资源分类写入补一条 agent.db 审计记录 ... - update_manifest_asset_classification_at 在 manifest 写成功后追加 recordType=asset.classification.update 的审计，复用既有 append_agent_db_record 惯例（照 assets.rs 的 asset.register / asset.update：manifest 写成功后追加） - 字段：assetId（沿用 assets.rs 的 assetId）、expectedProjectRevision（本次写入实际校验的 CAS 基准 revision，沿用分类输入契约里的同名参数）、previousCategory / previousTags（变更前值）、category / tags（变更后值） - 不记 localPath / kind / mediaType / source：本记录针对的是已有 assetId 的分类变更，这些字段并未改变，且能从 manifest 或既有 asset.register 记录追到，多记一份会在改名后产生互相矛盾的审计 - 不用 projectRevision 这个名字：既有 agent.runtime.action_receipt 里 projectRevision 的语义是「动作完成后的 revision」，本条审计追加在 revision 推进之前，沿用同名会指代不一致；审计是持久化数据，故在新记录类型里另起不冲突的名字，不动既有记录格式约定 - 位置放在推进 revision 之前是刻意的：分类已经真实落盘，审计不能因为紧随其后的 revision 推进失败而缺失，否则「改过但查不到」正是这条缺陷；推进失败仍然照旧报错 - 审计追加失败按既有惯例映射为可见错误「资源分类已写入，但审计记录失败：{error}」，不静默吞掉 - project/manifest/classification_tests.rs 补 3 条断言：成功写入恰好一条且前后值正确（含第二次写入的 previous 必须取第一次的落盘值）、四类被拒写入不产生任何审计、审计写失败时错误可见且不留假审计（同时确认分类本身已落盘、不回滚）	2026-09-11 21:18:55 +08:00
suzmii	4161888219	③ 资源画布布局的读/写命令补项目权限门 ... - read_local_project_resource_canvas_layout 补 enforce_project_auto_permission_policy(root, "asset.list")，与紧邻的 read_local_project_resource_graph 完全同口径 - update_local_project_resource_canvas_layout 补 enforce_project_permission_policy(root, "asset.register")，与本文件 update_local_project_resource_classification / delete_local_project_asset / rename_local_project_asset 同口径 - 权限位依据：读路径是同一块资源画布的渲染读路径，邻居用 asset.list；写路径是「改动项目内资源相关持久化数据」，manifest 侧的分类写入本身就用 acquire_project_write_lock(root, "asset.register")，故沿用同一权限位，不新造权限名 - 读用 auto、写用普通门是刻意的：asset.list 是 Auto，auto 口径默认放行，只有策略显式 deny/confirm 才拒绝（读路径没有可插入的确认交互，要求确认等同拒绝）；asset.register 默认是 Confirm，若写路径也用 auto 会直接打死默认路径 - tests/project.rs 补断言：默认策略下读与写都放行；deny asset.list 读失败、confirm asset.list 也读失败（钉住 auto 口径这一选择）；deny asset.register 时读仍放行、写被拒且被拒的写不留任何落盘副作用（断言 sidecar revision 未变）；恢复默认策略后写入照旧成功	2026-09-11 21:18:41 +08:00
suzmii	6cc73b07ac	② GameCreationAppManifest 加 deny_unknown_fields：未知顶层字段失败关闭 ... - shared-contracts 的 GameCreationAppManifest 加 #[serde(deny_unknown_fields)]，并写明取向与取舍 - 选「失败关闭」而不是「保留未知字段 round-trip」的理由：AGC 读写 manifest 是「整结构体反序列化 + 整结构体重新序列化覆盖落盘」，放行未知顶层字段就等于让「读一次 + 任意一次写」静默抹掉未来版本新增的字段；而 flatten catch-all 只能覆盖加了它的那一层，tasks / assets / versions / preview / commandRuns 内部的未来新增字段照样被抹掉，且写侧的 skip_serializing_if 会同时把已知字段归一化，落盘结果是「新字段原样 + 旧字段被规范化」的混合体，比直接报错更难排查 - 与既有取向同口径：本批新增的资源布局 sidecar 对未知 schema 就是失败关闭，UpdateLocalProjectResourceClassificationInput 也已 deny_unknown_fields - 影响面已核实：server-rs 内 game_creation_app 模块只被自身引用，不进 /api/external/v1、不进 SpacetimeDB；全仓 GameCreationAppManifest 的反序列化点只有 src-tauri 的 read_manifest 一处；仓库自带 smoke 脚本写的 manifest 只有 schemaVersion/projectId/name/assets 四个已知键 - 断言：shared-contracts 补契约级用例（未知顶层字段反序列化失败且报出字段名、已知字段含可选字段照旧往返）；project/manifest/import_tests.rs 补消费侧用例（纯读报错、读+写入口 mutate_manifest_at 也报错、两次失败后磁盘文件逐字节未变即未知字段没被抹掉）	2026-09-11 21:18:29 +08:00
suzmii	5eaf9faefd	① manifest 的 schemaVersion 补读/写失败关闭门 ... - 新增 validate_manifest_schema_version：只接受 GAME_CREATION_APP_MANIFEST_SCHEMA_VERSION，未知版本报「manifest schemaVersion 不受支持：{实际值}（当前支持 {当前值}）」 - read_manifest 在解析后立即校验 schemaVersion，与既有的 godotProjectRoot / versions 校验同级；读到未知版本直接拒绝打开，不再被当成已知版本继续使用 - write_manifest_locked 落盘前同样校验，保证本客户端永远不会把未知 schemaVersion 写进项目（该函数是 write_manifest 与 mutate_manifest_at 共用的唯一落盘入口） - 前向兼容取舍：刻意不做「接受未来版本 + 读时就地升级」——当前并不存在 v2 定义，凭空写一个升级只能把未知数据改写成当前版本的形状，正是本次要修掉的「静默接受」；代价是未来发 v2 时旧客户端明确报错要求升级，而不是把项目按旧结构写回 - project/manifest/import_tests.rs 补 3 条断言：当前版本必须被接受且全字段回读相等（正向断言，挡住「无条件拒绝」这种改法）、未知版本读失败且磁盘文件逐字节未变、未知版本写失败且不落盘	2026-09-11 21:18:15 +08:00
lhk229	d77d0ca9eb	修复顾问态切换游戏后的策划分流 ... 统一 runtime mode 下的 planningStartMode 游戏运行态拒绝策划 Agent 续轮与阶段审批 补充游戏态运行时守卫测试	2026-09-11 13:11:03 +00:00
suzmii	15660a98b2	修 CI：补跑 AGC src-tauri 的 rustfmt，修正本批遗留的 8 处格式偏差 ... - 只做格式重排（应合成长行/应拆多行），无语义改动 - 命中 agent/direct_project_history.rs、agent/direct_runtime.rs、main.rs、project/conversation.rs、project/conversation/tests.rs - 分别来自 bfb928295 / 2b44b6259 / 458a65cb5 / f0d5687ab 四笔提交的新增行 - 成因：pre-commit 的 lint-staged 只覆盖 *.{js,mjs,cjs,ts,tsx}，Rust 格式本地无守卫	2026-09-11 21:09:09 +08:00
lhk229	5646824daf	补充策划Agent思考展示预留 ... 增加策划 Agent reasoningText 事件字段与默认折叠展示入口 补充正文、思考过程和工具状态的字体层级样式 记录当前 Provider 尚未输出 reasoning 的现状与后续边界	2026-09-11 13:02:55 +00:00
lhk229	8012008d83	替换文档占位符	2026-09-11 12:22:46 +00:00
lhk229	3047434b33	接入策划顾问态做成游戏运行时切换 ... 新增项目 Agent 运行时模式持久化与恢复判断 在顾问态增加做成游戏按钮并切换同项目 DirectProject 切换时不自动发起首轮 Provider 请求	2026-09-11 12:01:38 +00:00
suzmii	b6a2eae38d	资源替换改成直接替换：只改该版本绑定，不建新版本 ... - 口径变更：资源替换从「版本级替换（改绑定 + 追加下一迭代版本）」改成「直接替换（只改 manifest 里该版本的绑定，不建新版本）」，原因是用户 2026-09-11 的裁决「替换这块先做成直接替换」（同日 DDL） - 按「四不写」删除版本级路径：不再创建 replace-{revision} 版本、不再写 parentVersionId / createdReason=resource-replacement、不再有「替换前后身份可推」的父子版本对；相关注释与常量一并删除，不留兼容分支 - 改绑定改走 manifest.rs 的窄放行通道 mutate_manifest_allowing_version_binding_rewrites（上一提交新增），放行集合固定为 [sourceVersionId]：不增删版本、不重排、只改这一个版本的 resourceBindings - 绑定改写语义不变（恒等绑定口径）：源素材从该版本的绑定集合里消失 + 保证替换素材在集合里；替换素材是版本创建后才登记时按源素材原位置插回，早已登记时只摘除（避免「资源槽位重复」） - 准入校验按用户裁决调整：categoryEqual 与 subtypeEqual 仍是硬门禁（拒绝并说明哪一项不等），sizeSpecEqual 降级为提示不再拒绝 —— 它的完整判据今天不存在（manifest 无 width/height/durationMs，实际只等于媒体格式相等），硬拦会误拒 png↔webp 这类直接替换里最常见的需求；提示文案为「格式与源素材不同」，同时出现在候选与写入结果里 - 写入成功后推进一次项目 revision（改绑定属于 versions 变化，跨面快照门禁要求 revision 前进），并追加一条 asset.version_binding.replace 审计（复用既有 append_agent_db_record，字段 versionId / sourceResourceId / replacementResourceId / projectRevision）；审计写失败报错但不回滚，与 asset.register 同口径 - 返回结构去掉 parentVersionId：改为 { versionId, committedProjectRevision, replacement: { versionId, sourceResourceId, replacementResourceId, compatibility, warning } } - 定向用例按新形态重写并补齐 8 条：只改绑定不产生新版本且除绑定外逐字段不变、替换素材早已绑定时只摘除、分类/类型硬门禁拒绝且零副作用、跨格式只提示仍放行、已知帧尺寸与时长事实只提示、读时自愈口径、四条拒绝路径、CAS、候选读取顺序与原因、审计记录留痕 - 已知代价（写进模块文档）：直接替换没有可回溯的替换历史，替换前身份只剩这条审计与 manifest 的 .previous 副本 - 验证：定向 8 passed / 0 failed；cargo check --locked --all-targets exit 0	2026-09-11 19:55:45 +08:00
suzmii	17e8e477a4	新增版本绑定改写的窄放行通道与定向用例 ... - 新增第二条、也是更窄的版本放行通道 mutate_manifest_allowing_version_binding_rewrites：只放行"显式列出的版本改写自己的 resourceBindings"，供「直接替换」写入使用 - 新增独立校验函数 validate_version_records_allow_binding_rewrites：不增不删（候选与磁盘版本数量必须相等）、不重排（版本 ID 序列逐项相同）、只有放行 ID 允许 resourceBindings 不同、其余字段（versionId / parentVersionId / projectRevision / createdReason / createdAt / editPrompt）逐字段相等、未放行版本整条相等、放行集合取自写入前 manifest - 两组放行集合必须互斥：同一版本 ID 既被放行删除又被放行改写绑定 → 报「版本绑定改写放行与版本删除放行必须互斥」失败关闭 - 既有 validate_version_records_are_append_only 与既有 mutate_manifest_at_allowing_version_removals 的语义一行未改：本通道是另一条独立的窄校验路径，默认写入路径仍然只有「只追加 + 显式放行删除」 - 把写盘公共体抽成 write_manifest_locked_with_version_guard（校验器由调用方注入），write_manifest_locked 变成一行委托：装盘 / 回读 / 原子替换只有一份实现，存储行为与改造前逐行等价；唯一被参数化的就是版本校验那一步 - 新增 7 条定向用例：放行版本只改自己的绑定成功且其余版本整条相等、未放行版本改绑定被拒且字节不变、增删版本被拒、重排被拒（直接打校验器 + 真实通道两条）、放行版本改 createdAt / editPrompt / parentVersionId / versionId 四种其它字段都被拒、两组放行集合重叠被拒、默认路径与删除放行通道仍然拒绝绑定改写（证明只追加保证没被打穿） - 回归确认：既有 manifest_versions_are_append_only_at_the_storage_boundary 与 asset_delete 7 条继续全绿	2026-09-11 19:42:54 +08:00
lhk229	f8f1cdd1f4	清理未使用的策划会话入口 ... 删除硬编码 quality 模型的 ensure_design_session 保留现有 selected_model_id 创建链路	2026-09-11 11:28:47 +00:00
lhk229	fd5a4c3136	调整策划调试日志默认开关 ... npm run agc 开发启动时默认开启 design debug 其他启动方式默认不创建 .debug 目录	2026-09-11 11:21:07 +00:00
lhk229	63f5a1d49e	精简项目写锁历史型注释 ... 移除 Issue 编号和旧实现叙述 保留写锁等待与排障契约说明	2026-09-11 11:10:57 +00:00
lhk229	811abdd375	修复策划 Agent 四个审查问题 ... 修复 Retry 流式回合身份与阶段审批 transient 清理 拒绝无效 write_file 内容并补齐顾问阶段导轨	2026-09-11 10:57:49 +00:00
suzmii	f476eb89e5	同路径重登记：kind 变化时重派生 category，同 kind 时保留落盘分类 ... - `register_local_asset_entry`（`assets.rs`）命中同 `localPath` 的既有资产时，旧实现只覆盖 `kind` / `media_type` / `source`，**从不重算 `category`**：`kind` 变了而 `category` 停在旧值，且陈旧的非 `unclassified` 值会被读侧无条件信任（自愈只在落盘值是 `unclassified` 时才触发），该资产就永远停在错误栏目 - 修法：只在 `existing.kind != kind` 时重派生 `category`；`kind` 未变时刻意不动 `category`——落盘分类是权威值，同 kind 重登记不得抹掉它 - `register_local_asset_records_existing_asset_with_canvas_source` 补上 `category` 断言：首次登记 `kind:"character"` 落 `character`，重登记改成 `kind:"ui"` 后必须变 `ui-interaction`（旧用例只断言 `kind` 与 `source.kind`，正好走更新分支却漏掉 `category`，所以这条错位一直没被抓住） - 新增用例 `register_local_asset_keeps_explicit_category_when_kind_is_unchanged`：显式设成 `audio` 后同 kind 重登记，`category` 与 `tags` 必须原样保留，把「不能无条件重派生」这条不变量钉死 - 新增用例 `register_local_asset_derives_category_from_real_write_side_kinds`：用与现役写入侧逐字一致的字面量（`"UI"` / `"font"`）走真实 `register_local_asset_at`，断言落到 `ui-interaction` / `document`；它属于同一套 `register_local_asset_*` 写 API 的派生行为，因此与上面的更新分支断言放在同一个提交	2026-09-11 18:48:03 +08:00
suzmii	3082c3e854	kind 别名表大小写不敏感并收口 font：堵住 8 条 UI 资产永远落「待归类」 ... - `canonical_game_creation_app_asset_kind`（Rust）与 `canonicalGameCreationAppAssetKind`（TS）改为对 trim 后的小写值查别名表与 canonical 目录，修正「UI 设计资产的现役写入侧写的是大写 `"UI"`」这条真机事实 - 别名表补 `font → document`：字体上传（`ttf / otf / woff / woff2`）登记的 manifest `kind` 就是 `font` - 为什么必须在别名表收口、读时自愈救不回来：`"UI"` 与 `"font"` 的派生结果本身就是 `unclassified`，自愈规则「派生值不是 unclassified 才触发」永不成立；真机 8 条 `kind:"UI"` + `mediaType:"application/json"` + `localPath:"ui/UI 设计 N.json"` 与写入路径逐字段吻合 - 改写 Rust 断言 `game_creation_app_asset_category_for_kind("UI") == Unclassified` → `UiInteraction`，并补 `canonical_...("UI") == "ui-design"` 与 `font == Document`：旧断言把这条 bug 钉成了「期望行为」，新形态才是唯一真源——写入侧真实写出的 kind 必须能落进明确栏目，否则真机资产永远归不了类 - 改写 TS 断言 `gameCreationAppAssetCategoryForKind('UI') == 'unclassified'` → `'ui-interaction'`，理由同上 - `game_creation_app.rs` 里「现役写入侧仍会写出这些非 canonical 值，必须在这里收口」的注释此前只收口了小写 `ui`，与大写写入侧矛盾，现按注释本意收口 - 新增写侧→分类的端到端契约用例：`resource_bridge.rs` 的 `bridge_is_idempotent_and_installs_source_image` 走真实生产函数 → 真实 `register_local_asset_at(..., "UI", ...)` → 断言落盘 `category` 为 `ui-interaction` - 新增 `assetKindCanonicalMapping.test.ts` 的「写侧 kind 字面量 → 分类」用例组：直接解析 UI 编辑器写侧源码第 3 个实参，写点换个新字面量就会红，防下次再漏	2026-09-11 18:46:58 +08:00
suzmii	458a65cb5e	资源分类读显示口径下沉到 Rust：Agent 投影与 UI 同构 ... - 新增 `game_creation_app_asset_effective_category`：读显示口径的唯一实现——落盘 `category` 权威，仅在落盘值为 `unclassified` 且该资产 `kind` 能派生出明确的非 `unclassified` 分类时采用派生值，其余信任落盘值 - `GameCreationAppAssetManifestEntry` 的反序列化刻意不做自愈：反序列化结果就是落盘原值，「编辑标签」面板要靠它原样回写；自愈只属于读显示口径 - Agent 资源投影 `bridge_registered_resource` 不再直接透传 `asset.category`，改走有效分类，修掉真机 122 条资产里 55 条「UI 显示 UI 交互、Agent 读到待归类」的跨端口径分歧 - 新增 Rust 决策矩阵 `EFFECTIVE_CATEGORY_CONTRACT` 与用例 `asset_effective_category_follows_the_shared_contract_matrix`，矩阵是「落盘值 / kind 派生 / 读时自愈」三个口径的唯一真源 - 新增跨语言契约：`assetKindCanonicalMapping.test.ts` 解析 Rust 源码里的决策矩阵与 canonical kind→栏目表，逐条喂给 TS `gameCreationAppAssetCategory` 对照，任一侧改口径都会红 - `direct_tool_bridge` 新增 Agent 侧回归用例：`kind:"ui" + category:"unclassified"` 必须投影成 `ui-interaction` - 既有用例 `..._projects_manifest_classification_verbatim` 更名为 `..._keeps_explicit_manifest_classification`：逐字透传只在落盘值不是 `unclassified` 时成立，旧名字会与新的有效分类语义矛盾	2026-09-11 18:43:39 +08:00
suzmii	2b44b62599	DirectProject 历史格式类失败给出专门提示并按不可重试处理 ... - direct_runtime.rs：新增 direct_project_history_shape_failure 白名单（历史记录类型无效 / 缺少 payload / 解析历史失败） - direct_codex_failure_recovery_hint 增加专门 hint，指向真实现象与动作：该类旧格式已被读侧兼容，仍失败说明记录不在白名单内，请检查项目诊断后修复该历史文件 - direct_codex_failure_is_retryable 对该类失败返回 false，前端不再显示「可直接重试」（同一份历史每次读得到同一结论） - 打开/读取类 IO 失败不在白名单内，仍按可重试处理 - 补断言：hint 文案、IO 失败边界、诊断 message 里的 retryable=false 与 sidecar 的 "retryable": false	2026-09-11 18:36:19 +08:00
suzmii	5ac26b99c9	显式 Codex 返回不再往项目主对话投影旧格式行 ... - direct_tools_mcp.rs：删除 conversation.record_codex_response 末尾往 project.jsonl 追加 legacy 行的投影，它写的是 {schemaVersion:game-creator-conversation.v1,...} 旧行，会毒化共用该文件的 DirectProject 历史 - 顺带删掉只为那条投影存在的 key/message_id 计算与描述它的注释，不留墓碑 - 该工具的事实来源仍是自己的只读 journal .agent/conversations/codex-responses.jsonl，返回内容与 conversation.list/read 行为不变 - 补断言：record_codex_response 只写 codex-responses.jsonl，project.jsonl 保持为空	2026-09-11 18:36:16 +08:00
suzmii	f0d5687ab7	共享的 project.jsonl 让两条对话链互读对方的行，混合历史不再双向失败关闭 ... - project/conversation.rs：read_persisted_local_conversation_records_unlocked 跳过 type=response_item 且带 payload 的行（DirectProject 写给同一份「项目主对话」的行），其余解析失败仍按「解析对话记录失败」失败关闭 - 新增 is_direct_project_history_row 做行信封白名单，只认对方那一种明确枚举的形状，不放宽成「什么都跳过」 - 不把 response_item 行二次投影成 LocalConversationMessageRecord：DirectProject 侧已经拥有那份 Responses item → 聊天内容的投影，再造一份平行投影会与它漂移 - 不加「文件已属于 DirectProject 就拒绝追加旧行」的硬报错：runtime_driver/task_start.rs 在 ensure_..._accepted_public_status_at 返回 Err 时会中止后台任务（「后台任务启动确认落盘失败，任务未执行」），runtime_protocol/steering.rs:572/604/1300 也用 ? 上抛，加硬报错会把旧行噪声换成任务起不来；毒化本身已由读侧白名单堵住 - 补断言：混合文件里通用链只读自己的 legacy 行且坏行仍失败关闭、混合文件从两条链都能读（DirectProject 把两种行都读出来）、纯旧格式文件的写入行为不变	2026-09-11 18:36:07 +08:00
suzmii	bfb928295e	DirectProject 读侧白名单兼容格式切换前的旧行，存量项目不再全部读不动 ... - direct_project_history.rs：两处行信封判定收敛到 direct_project_history_item_from_parsed_line，response_item 与白名单化的 legacy 行走同一条判定路径 - 新增 direct_project_legacy_row：只认 schemaVersion=game-creator-conversation.v1、无 type、role 落在该写入器自己的角色集合（user/assistant/tool）内、content 为非空字符串的行，其余形状继续按损坏失败关闭 - user/assistant 旧行投影成与 direct_project_local_message_item 同形状的 message item：role 与 content 逐字节保留、不 trim、不改写、未知字段忽略，有 messageId 才带 id - tool 旧行已识别但不进 Codex 上下文：它不是 Responses item，无法还原成真正的工具 item，混入会造出假的工具消息；聊天投影本来也只展示 user/assistant - 抽出 direct_project_message_item 供本地补写与 legacy 投影共用，保证两种来源的 item 形状一致 - 补断言：旧行投影（role/content 逐字节、无 messageId 时无 id）、旧行与新行交替的混合文件按行顺序读取、tool 行被识别且不进上下文、非白名单异常行（role=system/developer、content 非字符串或为空、缺 role、缺 payload、坏 JSON）仍失败关闭、通用对话写入器产出的旧行形状落在白名单内 - 变异验证：去掉 legacy 兼容分支→投影/混合文件/通用写入器形状 3 个用例变红；把白名单放宽成「任意行都接受」→失败关闭用例变红	2026-09-11 18:35:26 +08:00
lhk229	712f28e207	策划工作区改名为design_artifacts ... 更新策划文件工具和阶段产物检查路径 同步测试夹具与生产迁移方案文档	2026-09-11 10:16:15 +00:00
suzmii	fc4a2c12f4	新增 AGC 版本级资源替换的后端命令与三项兼容性判据 ... - shared-contracts 新增 game_creation_app_asset_category_with_read_time_healing：把 PRD §5.3「分类取值优先级」的读时自愈口径落到 Rust（落盘 unclassified 且 kind 能明确分类时采用派生值），与 packages/shared 的 gameCreationAppAssetCategory 逐分支一致，并补定向用例锁定该窗口 - 新增 project/version_resource_replacement.rs：三项兼容性判据（categoryEqual 用读时自愈口径、subtypeEqual 用 canonical kind、sizeSpecEqual 用规范化媒体格式 + 已知帧尺寸与时长事实） - sizeSpecEqual 在代码注释里明确标注降级：manifest 资产表今天没有 width/height/durationMs 字段，且现役写入侧几乎全部写 imageSequenceFrames=None，所以该项实际退化为「媒体格式相等」；要支持跨图片格式替换必须先给 manifest asset 加尺寸字段（跨端契约变更） - 新增 replace_local_project_version_resource_at：持项目写锁并按 expectedProjectId + expectedProjectRevision 做 CAS，一次写入里追加 createdReason=resource-replacement 的子版本（parentVersionId 指向源版本），子版本绑定 = 源版本绑定去掉源素材并保证替换素材在集合里；全程不调用 mutate_manifest_at_allowing_version_removals，既有版本记录一个字节不改 - 替换前后资源身份按 PRD §5.4 版本字段表口径用推导记录（父−子 = {源素材}、子−父 = {替换素材}），并注明「替换素材在源版本创建时就已登记」时子−父为空集的已知限制 - 新增 read_local_project_version_replacement_candidates_at：只读返回候选与后端权威兼容性结论，候选渲染但禁用并给出原因，不在前端重算判据 - commands.rs 新增两个命令包装（读用 asset.list、写用 asset.register），main.rs 注册进 generate_handler - 新增 8 条定向用例：只追加与父子/修订关系、两条绑定路径（1:1 交换与替换素材已绑定）、三项兼容性逐项拒绝且零副作用、CAS、四条拒绝路径、候选读取顺序与原因、读时自愈口径锁定 - 中间状态声明：本提交落地时前端调用方尚未提交，npm run ai-game-creator-shell:typecheck 会因 check-config.mjs 要求「每个 Tauri 命令都有 App invoke 调用方」而失败；这是刻意保留的中间状态，不得把这两个命令加进 native-only 白名单换绿	2026-09-11 17:37:01 +08:00
lhk229	d6a72c895c	修复策划项目命名相关 CI 检查 ... 同步首页项目创建测试中的 planning 参数断言 格式化项目 Rust 测试文件以通过 rustfmt	2026-09-11 09:11:27 +00:00
lhk229	e6e2a5fda6	调整策划项目命名 ... 策划入口使用带随机短码的策划项目名称 保留游戏与素材入口的现有命名链路 补充自动建项测试与技术方案说明	2026-09-11 07:35:41 +00:00
lhk229	123c699db9	修复策划澄清卡自由文本回答 ... 将自由文本与选项回答分开提交 补充澄清卡回归测试和迁移方案说明	2026-09-11 06:44:47 +00:00
lhk229	f2f786d69b	修复策划 Agent 模型选择链路 ... 保存策划会话的模型目录 ID并交由 api-server 解析 移除官方直连路径的固定模型并补齐 AGC 客户端标记	2026-09-11 05:51:35 +00:00
suzmii	cd1aceb3d9	按 rustfmt 折行退出收尾用例：纯格式，无逻辑变更 ... - tests/project.rs：gui_exit_stops_the_preview_and_clears_the_stale_record 里 init_existing_html_project_at 那行超过 rustfmt 行宽（中文按双宽计），按 `cargo fmt --all --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml` 的结果折成两行。 - 用 cargo fmt（不是裸 rustfmt）：裸 rustfmt 会把文件当模块根、跟随 mod 递归格式化整个模块树，本次已有人因此误改 50 个文件。 - 范围核对：`git diff --stat` 只有 apps/ai-game-creator-shell/src-tauri/src/tests/project.rs（1 file changed, 2 insertions(+), 1 deletion(-)），crate 里其余文件本来就是 rustfmt 干净的，未被牵连。 - 门禁：`cargo fmt --all --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -- --check` 与 `... --manifest-path server-rs/Cargo.toml -- --check` 均 exit 0；`cargo check --locked --all-targets` exit 0；AGC 子集 1198 passed / 4 skipped / 0 failed；四条预览定向用例仍各 1 passed。	2026-09-11 12:47:22 +08:00
suzmii	531392e506	退出路径统一收尾本地预览，陈旧预览记录不再留给下次进入 ... - preview.rs：新增 stop_local_game_preview_on_exit——退出时若 registry 里确有 running 预览，就用 stop_local_game_preview_for_root 把它真正停掉并写 stopped（顺带落 preview.log 与 trace 收尾）。预览服务器是进程内线程，进程一退 URL 就永久失效；不在这里收尾，.agent/manifest.json 会一直写着 running。 - main.rs：handle_game_creator_gui_run_event 的 RunEvent::Exit 分支先做预览收尾，再做既有的 Agent server / runner 关闭；失败按 `preview.gui_exit.stop_failed` 记日志，不阻断退出。 - 语义变更（用户已确认接受）：关窗不再保留预览——退出即停止预览并把记录写成 stopped，下次进项目一律落到资源管理。与"进入项目时按 registry 活体核对"配套：退出路径覆盖正常关闭，强杀 / 断电那类不走退出路径的情况由进入时的核对自愈。不引入 stale DTO 字段（判定仍要活体探测，且会把状态扩到跨端契约与全部消费方）。 - tests/project.rs：新增 gui_exit_stops_the_preview_and_clears_the_stale_record——退出收尾后 registry 归零且 manifest 记录为 stopped。 - tests/sessionPreview.test.ts：补两条 Rust 侧结构性守卫（本仓既有做法：直接解析源码）。① RunEvent::Exit 分支必须出现 preview::stop_local_game_preview_on_exit——这条接线没有别的行为测试覆盖（注册全局 registry 的用例会互相打架）；② 同项目重启预览的替换分支里，收尾必须排在"旧预览是否属于另一个项目"的判定之后。变异验证：把 main.rs 的退出收尾摘掉 → 守卫①立即红灯（已实测）。 - decision-log.md：新增 2026-09-11 决策条目，逐条写下背景（偶发进运行界面的成因链：进程内预览线程 + 随机临时端口 + 退出零清理 + 进门不核对 + 同项目重启覆盖刚写的 running）、A/B/C 三项决策、关窗不再保留预览这条语义变更及"为什么两者都做而不加 stale 字段"、不做什么与验证方式。同文件被 prettier 补了几处标题前空行（格式规范化，无内容变化）。 - 验证：cargo check --locked --all-targets exit 0；Rust 定向用例 restarting_preview_for_the_same_project / replacing_preview_for_another_project / stopping_without_a_live_preview / gui_exit_stops_the_preview 各 1 passed；AGC 子集 1198 passed / 4 skipped / 0 failed；共享组件 1385 passed；typecheck exit 0；编码 4378 文件；git diff --check 干净。	2026-09-11 12:36:08 +08:00
suzmii	66bb240115	进项目时按内存 registry 核对预览活体，陈旧记录不再冒充可运行预览 ... - 新增 features/app-shell/sessionPreview.ts 的 resolveSessionPreviewOnProjectOpen：进入项目时问一次 get_local_game_preview_status（内存 registry 是活体的唯一真相），确实 running 才把它作为本次会话的预览；记录写着 running 而 registry 没有活体时判为陈旧，复用现役 stop_local_game_preview 把落盘记录对齐成 stopped，并同时把会话 manifest 按真相投影成 stopped（否则运行入口会继续拿着打不开的 URL 渲染运行画面）。 - useHomeProjectCreation.ts：enterProjectDevelopment 改为 async，先做这次核对再进工作台，并按核对结果决定会话预览与 manifest 投影；三个调用点（新建项目、创建项目、打开项目）都改为 await。 - preview.rs：同一个项目重启预览时，旧 registry 身份的收尾不再覆盖刚落盘的 running——只有当旧预览属于**另一个项目**时才替它收尾。此前同项目重启会把刚写进去的 running 覆盖成 stopped，下次进项目便丢掉"预览在跑"这条事实（记录反方向失真）。 - preview.rs：stop_local_game_preview_for_root 在没有活体可停、但落盘记录仍是 running 时也把记录收尾成 stopped（stop 的语义变成"真的停干净，包括记录"），因此陈旧记录既可由进入项目触发对齐，也可由用户显式停止对齐。 - tests/project.rs：新增三条 Rust 定向用例——同项目重启后记录仍为 running 且端口是新预览的；换项目启动时旧项目记录写 stopped、新项目写 running；registry 无活体而记录写着 running 时 stop 会把记录对齐成 stopped。 - tests/sessionPreview.test.ts（新增）：五条用例覆盖活体优先、陈旧记录对齐并投影、registry 不可读按没有在跑处理、记录本来不是 running 时不发多余停止命令、无 invoke 时零请求。变异验证：把活体核对去掉（直接信落盘记录）→「registry 里没有活体时不给会话预览」与「registry 不可读」两条立即红灯（已实测）。 - project-development.suite.ts：把「打开项目不查预览状态」那条断言改为「恰好核对一次预览活体」，并保留邻近的 start_local_game_preview 必须为 0 的断言——被新行为取代的是"从不核验"，"开项目不偷偷启动预览"这条原意一字未改。 - PRD §4.1：状态机按当前实现改写（进入项目一律落到 resource-overview；run 的自动进入只认内存 registry 的活体确认；落盘 preview 是记录而非活体，陈旧记录不触发切换也不参与渲染），并把退出收尾一并写进该节说明。	2026-09-11 12:27:31 +08:00