540 Commits

Author	SHA1	Message	Date
suzmii	c76ecd07ab	修正合并带入的 rustfmt 漂移与换行符，恢复 Repository checks ... - cargo fmt 三个由 feat/agc-resource-replace 带入且从未跑过 CI 的 Rust 文件：version_resource_replacement.rs、manifest/version_binding_rewrite_tests.rs、tests/version_resource_replacement.rs - 四个文件统一为 LF，修掉 rustfmt 报的 Incorrect newline style：shared-contracts/game_creation_app.rs、view/project-development/index.tsx、decision-log.md、技术方案文档 - 本地按 CI 链复跑：encoding / npm-workspaces / spacetime-schema / production-ops / preview-deployer / maintenance-page / rustfmt / eslint / typecheck 全部 exit 0 - check:git-hooks 仍红，但红在已知 Windows EBUSY 抖动（rmdir 临时 repo 被占用），Linux CI 不受影响	2026-09-12 14:36:23 +08:00
suzmii	e4ee6c2be8	合并 feat/agc-resource-replace：把「替换素材」接进资源工作台 ... - 解冲突 project/manifest.rs：保留版本写入公共体 write_manifest_locked_with_version_guard（版本只追加 + 绑定改写放行），并把 schema 校验并入该公共体，两侧语义都不丢 - 解冲突 shared-contracts：取当前分支的读显示口径 game_creation_app_asset_effective_category（含与 TS 交叉钉住的 EFFECTIVE_CATEGORY_CONTRACT 矩阵），同步改写 version_resource_replacement 对旧函数名的调用 - 解冲突 index.tsx：两处均为纯 import 追加，两侧都保留 - 解冲突 decision-log 与技术方案文档：两侧条目都是追加，全部保留 - 随之进入本分支：版本绑定改写窄放行通道、直接替换命令与其兼容性判据、资源卡工具条「替换素材」入口	2026-09-12 14:19:03 +08:00
suzmii	5b62d1e4ef	修复资源登记把任意图片写成 ui 类型 ... 停用本地导入图片的 ui 默认 kind：agent_local_project_file_type 的图片扩展名分支改写 canonical image（派生 unclassified，落「待归类」），并注明不许把 ui 当图片默认值及其不可恢复原因——读时自愈只在落盘 category 为 unclassified 时触发，kind 本身写错时自愈只会把错值放大成 ui-interaction 账户素材导入改用平台真实类型：新增 imported_platform_asset_kind，账户素材库记录自带的 assetKind 不再被常量 ui 顶掉，缺失才退回中性 image 平台素材导入改用响应里的 assetKind：网页项目画布与平台素材导入同样走 imported_platform_asset_kind，不再写死 ui 上传素材按内容证据推导 kind：upload_local_asset_at 不再把来源词 uploaded 当类型，改由 uploaded_asset_kind 按 mediaType 与扩展名推导 audio/video/image/document/code，判不出才用中性 asset；同一命令也收 .wav 与 .md，因此不能一刀切成 image 补 4 处回归与反查用例：本地导入与上传断言落盘 kind 与 category 且不得出现 ui、ui-interaction、uploaded；两处平台导入的 kind 解析加纯函数单测与调用点反查门禁；变异把错值改回来必须变红（M1/M2/M3 实测 4 个用例全红，还原后 diff 与基线逐字节一致） 覆盖边界：账户素材库与平台素材导入是异步 HTTP 路径，仓库内没有可复用的端到端夹具，这两条覆盖是纯函数单测加调用点反查门禁，不是端到端断言；本地导入与上传是读落盘 manifest 的行为级断言 后续事项：ImportedAsset.asset_kind 仍返回平台原始值（缺失为 none），与已落盘 kind 可能不一致，本次未改动	2026-09-12 02:30:31 +08:00
suzmii	9fea60b850	append 锁：预算与项目写锁对齐、超时报可诊断的持锁方、争用做有界退避重试 ... - project/agent_db.rs：等待预算从 10ms×100≈1s 改为 5ms×2000≈10s，与项目写锁完整窗口同口径；新增 lock_short（5ms×200≈1s）供只读路径使用 - project/agent_db.rs：超时文案在锁路径后追加持锁方线索（读锁文件里的诊断元数据，读不到就明说不可读），现场不再只拿到一句"检查运行时配置" - project/agent_db.rs：取锁成功后把 label/pid/processStartedAt/acquiredAt 写进锁文件；仅作诊断，不参与判活、回收或抢占，同一进程重复取同一把锁不重写 - project/agent_db.rs：抽出 PROJECT_APPEND_LOCK_TIMEOUT_MARKER 常量，控制流不再各自复制中文 - project/conversation.rs：整份读对话记录的两处只读入口改用短窗口，避免把面板读路径一起拖住 - agent/direct_project_history.rs：争用类失败做一次有界退避重试（250ms）；格式类失败不重试 - agent/direct_runtime.rs：锁争用给可操作提示（另一个客户端进程正在读写该项目历史或项目锁，请稍后重试，确认没有其它客户端再重启），retryable 保持 true，但现在确实会自动重试 - 用例：预算口径、锁文件诊断元数据、持锁方线索、被独占持有时超时且不留残留、争用重试成功、超出预算失败关闭、格式类不重试 - 变异验证：预算常量改回 1s → 预算用例红（left 10ms / right 5ms）；去掉重试 → 重试用例红（append after retry 直接报跨进程锁超时）；验证后已还原	2026-09-12 01:09:37 +08:00
suzmii	77871bfa56	把可能弹 UAC 的 ACL 提权修复移出 append 锁的持锁窗口 ... - project/agent_db.rs：Windows 取锁成功路径不再在"已持有零共享句柄"时做带提权的 ACL 修复；持锁期间只做不提权的严格校验，校验不过就先释放句柄、再提权修复，并返回"这轮没取到锁"由外层重试循环按修复后的 DACL 重新打开 - project/agent_db.rs：新增 release_project_append_os_lock_then_repair_acl，参数按值接收锁句柄且函数体第一件事是 drop，使"边持锁边等 UAC"在签名层面无法被表达 - 原因：提权修复走 powershell Start-Process -Verb RunAs -Wait 同步等用户点 UAC，在持锁期间等它等于把用户犹豫的时间记进别人的持锁窗口；只有 Windows 存在这条路径 - 判据（结构级）：提权修复只在此一处被调用，且调用点必须交出句柄所有权；测试环境不弹真 UAC（config.rs 测试分支本地收紧），故不写假 UAC 用例 - 真机判据：DACL 有缺陷的机器上，持锁方进入修复期间不再持锁，等待方从"超时"变为可成功 - 不变项：首次创建锁文件的本地 harden 仍留在持锁期间（本进程新建对象不因继承 DACL 自动提权）	2026-09-12 00:12:52 +08:00
suzmii	1affb5eec3	锁内只保留 append：DirectProject 历史的幂等回扫移出持锁窗口 ... - direct_project_history.rs：幂等回扫与序列化移到取锁之前，取锁后常态只做一次追加，不再在锁内读完并逐行解析整份历史 - direct_project_history.rs：回扫到取锁之间若历史文件变了（len/mtime 与回扫时不一致）才回到锁内重扫一次；同一 id 不写第二行的语义不放宽，只是常态不再为它读整份文件 - direct_project_history.rs：新增 direct_project_history_duplicate_at 三态判定（Absent/Identical/Conflict）与回扫状态快照，对外行为与原实现一致（幂等 no-op、id 冲突失败关闭） - direct_project_history.rs：新增回扫探针（两个时点回调）与三条用例：回扫在 append 锁外、锁外回扫后并发追加仍不重复写、id 冲突仍失败关闭 - project/agent_db.rs：新增测试专用探针 project_append_os_lock_is_held_for_test，用与生产同一套打开方式判断追加写目标的锁此刻是否被持有 - 变异验证：把回扫塞回锁内后 idempotency_reverse_scan_runs_outside_the_append_lock 变红（exit 101），报出「幂等回扫必须发生在 append 锁外」，验证后已还原	2026-09-12 00:07:04 +08:00
suzmii	3db6afa052	对齐 Codex app-server 读写单行上限：写侧守卫 + DirectProject 历史注入前置校验，并把注入超限改判为不可重试 ... - 隔离探针实测（codex-cli 0.147.0，AGC 捆绑版本）：experimentalRawEvents 线程收到 thread/inject_items 后会逐条原样回显 rawResponseItem/completed —— 注入一个 5 MiB 的 item，stdout 就回一条 5 243 245 字节的单行；而读侧上限原为 4 MiB，于是「我们注入得进去」却「我们读不回来」，报错方向指向 app-server，实际是我方读行判死 - codex_app_server.rs 的 GAME_CREATOR_CODEX_APP_SERVER_LINE_MAX_BYTES 由 4 MiB 提到 32 MiB，注明它同时充当 stdout 读侧上限与 stdin 写侧守卫；取值依据写进注释（单张图 base64 上限 10 MiB、单次图片总量 16 MiB 折 base64 约 21.3 MiB，再加 JSON 信封），再大就失去内存/DoS 边界的意义 - 新增写侧守卫 game_creator_codex_app_server_message_oversize_error：write_message 超限即失败关闭并给出字节数，绝不写出自己读不回来的行（两侧共用同一常量即这条不变量） - 新增 DirectProject 历史注入前置校验 direct_project_history_injection_oversize_error：单条 item（扣掉 rawResponseItem/completed 回显信封余量）与整份载荷都必须落在上限内；超限指名 itemId/type/字节数并失败关闭，且不截断、不摘要、不改写历史（技术方案末节口径） - 新增专属前缀 DIRECT_PROJECT_HISTORY_INJECTION_OVERSIZE_PREFIX，供 direct_runtime 判可重试性与给专属提示 - direct_runtime.rs：direct_codex_failure_is_retryable 把注入超限改为不可重试（同一份历史每次读结论相同，且本轮用户消息已先追加进同一文件、载荷只会更大）；direct_codex_failure_recovery_hint 与 direct_codex_failure_public_summary 各补一条专属文案，用户不再看到笼统的「Codex 未完成本轮代码修改，请检查运行时配置后重试（可直接重试）」 - 新增 2 条用例：写侧守卫与读侧共用同一上限的边界（等于上限必须放行、上限+1 必须拒绝）、注入侧整份载荷与单条 item 双超限必须拒绝 - 变异验证：把写侧守卫改成 >=、把单条上限放成 usize::MAX，两条用例各在自己那一处变红；还原后逐字节哈希一致并复跑绿灯 - 门禁：npm run check:rustfmt exit 0；npm run typecheck exit 0；cargo test 定向 2 passed（2257 filtered out）	2026-09-11 22:24:30 +08:00
suzmii	5fff7a134c	④ 资源分类写入补一条 agent.db 审计记录 ... - update_manifest_asset_classification_at 在 manifest 写成功后追加 recordType=asset.classification.update 的审计，复用既有 append_agent_db_record 惯例（照 assets.rs 的 asset.register / asset.update：manifest 写成功后追加） - 字段：assetId（沿用 assets.rs 的 assetId）、expectedProjectRevision（本次写入实际校验的 CAS 基准 revision，沿用分类输入契约里的同名参数）、previousCategory / previousTags（变更前值）、category / tags（变更后值） - 不记 localPath / kind / mediaType / source：本记录针对的是已有 assetId 的分类变更，这些字段并未改变，且能从 manifest 或既有 asset.register 记录追到，多记一份会在改名后产生互相矛盾的审计 - 不用 projectRevision 这个名字：既有 agent.runtime.action_receipt 里 projectRevision 的语义是「动作完成后的 revision」，本条审计追加在 revision 推进之前，沿用同名会指代不一致；审计是持久化数据，故在新记录类型里另起不冲突的名字，不动既有记录格式约定 - 位置放在推进 revision 之前是刻意的：分类已经真实落盘，审计不能因为紧随其后的 revision 推进失败而缺失，否则「改过但查不到」正是这条缺陷；推进失败仍然照旧报错 - 审计追加失败按既有惯例映射为可见错误「资源分类已写入，但审计记录失败：{error}」，不静默吞掉 - project/manifest/classification_tests.rs 补 3 条断言：成功写入恰好一条且前后值正确（含第二次写入的 previous 必须取第一次的落盘值）、四类被拒写入不产生任何审计、审计写失败时错误可见且不留假审计（同时确认分类本身已落盘、不回滚）	2026-09-11 21:18:55 +08:00
suzmii	4161888219	③ 资源画布布局的读/写命令补项目权限门 ... - read_local_project_resource_canvas_layout 补 enforce_project_auto_permission_policy(root, "asset.list")，与紧邻的 read_local_project_resource_graph 完全同口径 - update_local_project_resource_canvas_layout 补 enforce_project_permission_policy(root, "asset.register")，与本文件 update_local_project_resource_classification / delete_local_project_asset / rename_local_project_asset 同口径 - 权限位依据：读路径是同一块资源画布的渲染读路径，邻居用 asset.list；写路径是「改动项目内资源相关持久化数据」，manifest 侧的分类写入本身就用 acquire_project_write_lock(root, "asset.register")，故沿用同一权限位，不新造权限名 - 读用 auto、写用普通门是刻意的：asset.list 是 Auto，auto 口径默认放行，只有策略显式 deny/confirm 才拒绝（读路径没有可插入的确认交互，要求确认等同拒绝）；asset.register 默认是 Confirm，若写路径也用 auto 会直接打死默认路径 - tests/project.rs 补断言：默认策略下读与写都放行；deny asset.list 读失败、confirm asset.list 也读失败（钉住 auto 口径这一选择）；deny asset.register 时读仍放行、写被拒且被拒的写不留任何落盘副作用（断言 sidecar revision 未变）；恢复默认策略后写入照旧成功	2026-09-11 21:18:41 +08:00
suzmii	6cc73b07ac	② GameCreationAppManifest 加 deny_unknown_fields：未知顶层字段失败关闭 ... - shared-contracts 的 GameCreationAppManifest 加 #[serde(deny_unknown_fields)]，并写明取向与取舍 - 选「失败关闭」而不是「保留未知字段 round-trip」的理由：AGC 读写 manifest 是「整结构体反序列化 + 整结构体重新序列化覆盖落盘」，放行未知顶层字段就等于让「读一次 + 任意一次写」静默抹掉未来版本新增的字段；而 flatten catch-all 只能覆盖加了它的那一层，tasks / assets / versions / preview / commandRuns 内部的未来新增字段照样被抹掉，且写侧的 skip_serializing_if 会同时把已知字段归一化，落盘结果是「新字段原样 + 旧字段被规范化」的混合体，比直接报错更难排查 - 与既有取向同口径：本批新增的资源布局 sidecar 对未知 schema 就是失败关闭，UpdateLocalProjectResourceClassificationInput 也已 deny_unknown_fields - 影响面已核实：server-rs 内 game_creation_app 模块只被自身引用，不进 /api/external/v1、不进 SpacetimeDB；全仓 GameCreationAppManifest 的反序列化点只有 src-tauri 的 read_manifest 一处；仓库自带 smoke 脚本写的 manifest 只有 schemaVersion/projectId/name/assets 四个已知键 - 断言：shared-contracts 补契约级用例（未知顶层字段反序列化失败且报出字段名、已知字段含可选字段照旧往返）；project/manifest/import_tests.rs 补消费侧用例（纯读报错、读+写入口 mutate_manifest_at 也报错、两次失败后磁盘文件逐字节未变即未知字段没被抹掉）	2026-09-11 21:18:29 +08:00
suzmii	5eaf9faefd	① manifest 的 schemaVersion 补读/写失败关闭门 ... - 新增 validate_manifest_schema_version：只接受 GAME_CREATION_APP_MANIFEST_SCHEMA_VERSION，未知版本报「manifest schemaVersion 不受支持：{实际值}（当前支持 {当前值}）」 - read_manifest 在解析后立即校验 schemaVersion，与既有的 godotProjectRoot / versions 校验同级；读到未知版本直接拒绝打开，不再被当成已知版本继续使用 - write_manifest_locked 落盘前同样校验，保证本客户端永远不会把未知 schemaVersion 写进项目（该函数是 write_manifest 与 mutate_manifest_at 共用的唯一落盘入口） - 前向兼容取舍：刻意不做「接受未来版本 + 读时就地升级」——当前并不存在 v2 定义，凭空写一个升级只能把未知数据改写成当前版本的形状，正是本次要修掉的「静默接受」；代价是未来发 v2 时旧客户端明确报错要求升级，而不是把项目按旧结构写回 - project/manifest/import_tests.rs 补 3 条断言：当前版本必须被接受且全字段回读相等（正向断言，挡住「无条件拒绝」这种改法）、未知版本读失败且磁盘文件逐字节未变、未知版本写失败且不落盘	2026-09-11 21:18:15 +08:00
suzmii	15660a98b2	修 CI：补跑 AGC src-tauri 的 rustfmt，修正本批遗留的 8 处格式偏差 ... - 只做格式重排（应合成长行/应拆多行），无语义改动 - 命中 agent/direct_project_history.rs、agent/direct_runtime.rs、main.rs、project/conversation.rs、project/conversation/tests.rs - 分别来自 bfb928295 / 2b44b6259 / 458a65cb5 / f0d5687ab 四笔提交的新增行 - 成因：pre-commit 的 lint-staged 只覆盖 *.{js,mjs,cjs,ts,tsx}，Rust 格式本地无守卫	2026-09-11 21:09:09 +08:00
suzmii	b6a2eae38d	资源替换改成直接替换：只改该版本绑定，不建新版本 ... - 口径变更：资源替换从「版本级替换（改绑定 + 追加下一迭代版本）」改成「直接替换（只改 manifest 里该版本的绑定，不建新版本）」，原因是用户 2026-09-11 的裁决「替换这块先做成直接替换」（同日 DDL） - 按「四不写」删除版本级路径：不再创建 replace-{revision} 版本、不再写 parentVersionId / createdReason=resource-replacement、不再有「替换前后身份可推」的父子版本对；相关注释与常量一并删除，不留兼容分支 - 改绑定改走 manifest.rs 的窄放行通道 mutate_manifest_allowing_version_binding_rewrites（上一提交新增），放行集合固定为 [sourceVersionId]：不增删版本、不重排、只改这一个版本的 resourceBindings - 绑定改写语义不变（恒等绑定口径）：源素材从该版本的绑定集合里消失 + 保证替换素材在集合里；替换素材是版本创建后才登记时按源素材原位置插回，早已登记时只摘除（避免「资源槽位重复」） - 准入校验按用户裁决调整：categoryEqual 与 subtypeEqual 仍是硬门禁（拒绝并说明哪一项不等），sizeSpecEqual 降级为提示不再拒绝 —— 它的完整判据今天不存在（manifest 无 width/height/durationMs，实际只等于媒体格式相等），硬拦会误拒 png↔webp 这类直接替换里最常见的需求；提示文案为「格式与源素材不同」，同时出现在候选与写入结果里 - 写入成功后推进一次项目 revision（改绑定属于 versions 变化，跨面快照门禁要求 revision 前进），并追加一条 asset.version_binding.replace 审计（复用既有 append_agent_db_record，字段 versionId / sourceResourceId / replacementResourceId / projectRevision）；审计写失败报错但不回滚，与 asset.register 同口径 - 返回结构去掉 parentVersionId：改为 { versionId, committedProjectRevision, replacement: { versionId, sourceResourceId, replacementResourceId, compatibility, warning } } - 定向用例按新形态重写并补齐 8 条：只改绑定不产生新版本且除绑定外逐字段不变、替换素材早已绑定时只摘除、分类/类型硬门禁拒绝且零副作用、跨格式只提示仍放行、已知帧尺寸与时长事实只提示、读时自愈口径、四条拒绝路径、CAS、候选读取顺序与原因、审计记录留痕 - 已知代价（写进模块文档）：直接替换没有可回溯的替换历史，替换前身份只剩这条审计与 manifest 的 .previous 副本 - 验证：定向 8 passed / 0 failed；cargo check --locked --all-targets exit 0	2026-09-11 19:55:45 +08:00
suzmii	17e8e477a4	新增版本绑定改写的窄放行通道与定向用例 ... - 新增第二条、也是更窄的版本放行通道 mutate_manifest_allowing_version_binding_rewrites：只放行"显式列出的版本改写自己的 resourceBindings"，供「直接替换」写入使用 - 新增独立校验函数 validate_version_records_allow_binding_rewrites：不增不删（候选与磁盘版本数量必须相等）、不重排（版本 ID 序列逐项相同）、只有放行 ID 允许 resourceBindings 不同、其余字段（versionId / parentVersionId / projectRevision / createdReason / createdAt / editPrompt）逐字段相等、未放行版本整条相等、放行集合取自写入前 manifest - 两组放行集合必须互斥：同一版本 ID 既被放行删除又被放行改写绑定 → 报「版本绑定改写放行与版本删除放行必须互斥」失败关闭 - 既有 validate_version_records_are_append_only 与既有 mutate_manifest_at_allowing_version_removals 的语义一行未改：本通道是另一条独立的窄校验路径，默认写入路径仍然只有「只追加 + 显式放行删除」 - 把写盘公共体抽成 write_manifest_locked_with_version_guard（校验器由调用方注入），write_manifest_locked 变成一行委托：装盘 / 回读 / 原子替换只有一份实现，存储行为与改造前逐行等价；唯一被参数化的就是版本校验那一步 - 新增 7 条定向用例：放行版本只改自己的绑定成功且其余版本整条相等、未放行版本改绑定被拒且字节不变、增删版本被拒、重排被拒（直接打校验器 + 真实通道两条）、放行版本改 createdAt / editPrompt / parentVersionId / versionId 四种其它字段都被拒、两组放行集合重叠被拒、默认路径与删除放行通道仍然拒绝绑定改写（证明只追加保证没被打穿） - 回归确认：既有 manifest_versions_are_append_only_at_the_storage_boundary 与 asset_delete 7 条继续全绿	2026-09-11 19:42:54 +08:00
suzmii	f476eb89e5	同路径重登记：kind 变化时重派生 category，同 kind 时保留落盘分类 ... - `register_local_asset_entry`（`assets.rs`）命中同 `localPath` 的既有资产时，旧实现只覆盖 `kind` / `media_type` / `source`，**从不重算 `category`**：`kind` 变了而 `category` 停在旧值，且陈旧的非 `unclassified` 值会被读侧无条件信任（自愈只在落盘值是 `unclassified` 时才触发），该资产就永远停在错误栏目 - 修法：只在 `existing.kind != kind` 时重派生 `category`；`kind` 未变时刻意不动 `category`——落盘分类是权威值，同 kind 重登记不得抹掉它 - `register_local_asset_records_existing_asset_with_canvas_source` 补上 `category` 断言：首次登记 `kind:"character"` 落 `character`，重登记改成 `kind:"ui"` 后必须变 `ui-interaction`（旧用例只断言 `kind` 与 `source.kind`，正好走更新分支却漏掉 `category`，所以这条错位一直没被抓住） - 新增用例 `register_local_asset_keeps_explicit_category_when_kind_is_unchanged`：显式设成 `audio` 后同 kind 重登记，`category` 与 `tags` 必须原样保留，把「不能无条件重派生」这条不变量钉死 - 新增用例 `register_local_asset_derives_category_from_real_write_side_kinds`：用与现役写入侧逐字一致的字面量（`"UI"` / `"font"`）走真实 `register_local_asset_at`，断言落到 `ui-interaction` / `document`；它属于同一套 `register_local_asset_*` 写 API 的派生行为，因此与上面的更新分支断言放在同一个提交	2026-09-11 18:48:03 +08:00
suzmii	3082c3e854	kind 别名表大小写不敏感并收口 font：堵住 8 条 UI 资产永远落「待归类」 ... - `canonical_game_creation_app_asset_kind`（Rust）与 `canonicalGameCreationAppAssetKind`（TS）改为对 trim 后的小写值查别名表与 canonical 目录，修正「UI 设计资产的现役写入侧写的是大写 `"UI"`」这条真机事实 - 别名表补 `font → document`：字体上传（`ttf / otf / woff / woff2`）登记的 manifest `kind` 就是 `font` - 为什么必须在别名表收口、读时自愈救不回来：`"UI"` 与 `"font"` 的派生结果本身就是 `unclassified`，自愈规则「派生值不是 unclassified 才触发」永不成立；真机 8 条 `kind:"UI"` + `mediaType:"application/json"` + `localPath:"ui/UI 设计 N.json"` 与写入路径逐字段吻合 - 改写 Rust 断言 `game_creation_app_asset_category_for_kind("UI") == Unclassified` → `UiInteraction`，并补 `canonical_...("UI") == "ui-design"` 与 `font == Document`：旧断言把这条 bug 钉成了「期望行为」，新形态才是唯一真源——写入侧真实写出的 kind 必须能落进明确栏目，否则真机资产永远归不了类 - 改写 TS 断言 `gameCreationAppAssetCategoryForKind('UI') == 'unclassified'` → `'ui-interaction'`，理由同上 - `game_creation_app.rs` 里「现役写入侧仍会写出这些非 canonical 值，必须在这里收口」的注释此前只收口了小写 `ui`，与大写写入侧矛盾，现按注释本意收口 - 新增写侧→分类的端到端契约用例：`resource_bridge.rs` 的 `bridge_is_idempotent_and_installs_source_image` 走真实生产函数 → 真实 `register_local_asset_at(..., "UI", ...)` → 断言落盘 `category` 为 `ui-interaction` - 新增 `assetKindCanonicalMapping.test.ts` 的「写侧 kind 字面量 → 分类」用例组：直接解析 UI 编辑器写侧源码第 3 个实参，写点换个新字面量就会红，防下次再漏	2026-09-11 18:46:58 +08:00
suzmii	458a65cb5e	资源分类读显示口径下沉到 Rust：Agent 投影与 UI 同构 ... - 新增 `game_creation_app_asset_effective_category`：读显示口径的唯一实现——落盘 `category` 权威，仅在落盘值为 `unclassified` 且该资产 `kind` 能派生出明确的非 `unclassified` 分类时采用派生值，其余信任落盘值 - `GameCreationAppAssetManifestEntry` 的反序列化刻意不做自愈：反序列化结果就是落盘原值，「编辑标签」面板要靠它原样回写；自愈只属于读显示口径 - Agent 资源投影 `bridge_registered_resource` 不再直接透传 `asset.category`，改走有效分类，修掉真机 122 条资产里 55 条「UI 显示 UI 交互、Agent 读到待归类」的跨端口径分歧 - 新增 Rust 决策矩阵 `EFFECTIVE_CATEGORY_CONTRACT` 与用例 `asset_effective_category_follows_the_shared_contract_matrix`，矩阵是「落盘值 / kind 派生 / 读时自愈」三个口径的唯一真源 - 新增跨语言契约：`assetKindCanonicalMapping.test.ts` 解析 Rust 源码里的决策矩阵与 canonical kind→栏目表，逐条喂给 TS `gameCreationAppAssetCategory` 对照，任一侧改口径都会红 - `direct_tool_bridge` 新增 Agent 侧回归用例：`kind:"ui" + category:"unclassified"` 必须投影成 `ui-interaction` - 既有用例 `..._projects_manifest_classification_verbatim` 更名为 `..._keeps_explicit_manifest_classification`：逐字透传只在落盘值不是 `unclassified` 时成立，旧名字会与新的有效分类语义矛盾	2026-09-11 18:43:39 +08:00
suzmii	2b44b62599	DirectProject 历史格式类失败给出专门提示并按不可重试处理 ... - direct_runtime.rs：新增 direct_project_history_shape_failure 白名单（历史记录类型无效 / 缺少 payload / 解析历史失败） - direct_codex_failure_recovery_hint 增加专门 hint，指向真实现象与动作：该类旧格式已被读侧兼容，仍失败说明记录不在白名单内，请检查项目诊断后修复该历史文件 - direct_codex_failure_is_retryable 对该类失败返回 false，前端不再显示「可直接重试」（同一份历史每次读得到同一结论） - 打开/读取类 IO 失败不在白名单内，仍按可重试处理 - 补断言：hint 文案、IO 失败边界、诊断 message 里的 retryable=false 与 sidecar 的 "retryable": false	2026-09-11 18:36:19 +08:00
suzmii	5ac26b99c9	显式 Codex 返回不再往项目主对话投影旧格式行 ... - direct_tools_mcp.rs：删除 conversation.record_codex_response 末尾往 project.jsonl 追加 legacy 行的投影，它写的是 {schemaVersion:game-creator-conversation.v1,...} 旧行，会毒化共用该文件的 DirectProject 历史 - 顺带删掉只为那条投影存在的 key/message_id 计算与描述它的注释，不留墓碑 - 该工具的事实来源仍是自己的只读 journal .agent/conversations/codex-responses.jsonl，返回内容与 conversation.list/read 行为不变 - 补断言：record_codex_response 只写 codex-responses.jsonl，project.jsonl 保持为空	2026-09-11 18:36:16 +08:00
suzmii	f0d5687ab7	共享的 project.jsonl 让两条对话链互读对方的行，混合历史不再双向失败关闭 ... - project/conversation.rs：read_persisted_local_conversation_records_unlocked 跳过 type=response_item 且带 payload 的行（DirectProject 写给同一份「项目主对话」的行），其余解析失败仍按「解析对话记录失败」失败关闭 - 新增 is_direct_project_history_row 做行信封白名单，只认对方那一种明确枚举的形状，不放宽成「什么都跳过」 - 不把 response_item 行二次投影成 LocalConversationMessageRecord：DirectProject 侧已经拥有那份 Responses item → 聊天内容的投影，再造一份平行投影会与它漂移 - 不加「文件已属于 DirectProject 就拒绝追加旧行」的硬报错：runtime_driver/task_start.rs 在 ensure_..._accepted_public_status_at 返回 Err 时会中止后台任务（「后台任务启动确认落盘失败，任务未执行」），runtime_protocol/steering.rs:572/604/1300 也用 ? 上抛，加硬报错会把旧行噪声换成任务起不来；毒化本身已由读侧白名单堵住 - 补断言：混合文件里通用链只读自己的 legacy 行且坏行仍失败关闭、混合文件从两条链都能读（DirectProject 把两种行都读出来）、纯旧格式文件的写入行为不变	2026-09-11 18:36:07 +08:00
suzmii	bfb928295e	DirectProject 读侧白名单兼容格式切换前的旧行，存量项目不再全部读不动 ... - direct_project_history.rs：两处行信封判定收敛到 direct_project_history_item_from_parsed_line，response_item 与白名单化的 legacy 行走同一条判定路径 - 新增 direct_project_legacy_row：只认 schemaVersion=game-creator-conversation.v1、无 type、role 落在该写入器自己的角色集合（user/assistant/tool）内、content 为非空字符串的行，其余形状继续按损坏失败关闭 - user/assistant 旧行投影成与 direct_project_local_message_item 同形状的 message item：role 与 content 逐字节保留、不 trim、不改写、未知字段忽略，有 messageId 才带 id - tool 旧行已识别但不进 Codex 上下文：它不是 Responses item，无法还原成真正的工具 item，混入会造出假的工具消息；聊天投影本来也只展示 user/assistant - 抽出 direct_project_message_item 供本地补写与 legacy 投影共用，保证两种来源的 item 形状一致 - 补断言：旧行投影（role/content 逐字节、无 messageId 时无 id）、旧行与新行交替的混合文件按行顺序读取、tool 行被识别且不进上下文、非白名单异常行（role=system/developer、content 非字符串或为空、缺 role、缺 payload、坏 JSON）仍失败关闭、通用对话写入器产出的旧行形状落在白名单内 - 变异验证：去掉 legacy 兼容分支→投影/混合文件/通用写入器形状 3 个用例变红；把白名单放宽成「任意行都接受」→失败关闭用例变红	2026-09-11 18:35:26 +08:00
suzmii	fc4a2c12f4	新增 AGC 版本级资源替换的后端命令与三项兼容性判据 ... - shared-contracts 新增 game_creation_app_asset_category_with_read_time_healing：把 PRD §5.3「分类取值优先级」的读时自愈口径落到 Rust（落盘 unclassified 且 kind 能明确分类时采用派生值），与 packages/shared 的 gameCreationAppAssetCategory 逐分支一致，并补定向用例锁定该窗口 - 新增 project/version_resource_replacement.rs：三项兼容性判据（categoryEqual 用读时自愈口径、subtypeEqual 用 canonical kind、sizeSpecEqual 用规范化媒体格式 + 已知帧尺寸与时长事实） - sizeSpecEqual 在代码注释里明确标注降级：manifest 资产表今天没有 width/height/durationMs 字段，且现役写入侧几乎全部写 imageSequenceFrames=None，所以该项实际退化为「媒体格式相等」；要支持跨图片格式替换必须先给 manifest asset 加尺寸字段（跨端契约变更） - 新增 replace_local_project_version_resource_at：持项目写锁并按 expectedProjectId + expectedProjectRevision 做 CAS，一次写入里追加 createdReason=resource-replacement 的子版本（parentVersionId 指向源版本），子版本绑定 = 源版本绑定去掉源素材并保证替换素材在集合里；全程不调用 mutate_manifest_at_allowing_version_removals，既有版本记录一个字节不改 - 替换前后资源身份按 PRD §5.4 版本字段表口径用推导记录（父−子 = {源素材}、子−父 = {替换素材}），并注明「替换素材在源版本创建时就已登记」时子−父为空集的已知限制 - 新增 read_local_project_version_replacement_candidates_at：只读返回候选与后端权威兼容性结论，候选渲染但禁用并给出原因，不在前端重算判据 - commands.rs 新增两个命令包装（读用 asset.list、写用 asset.register），main.rs 注册进 generate_handler - 新增 8 条定向用例：只追加与父子/修订关系、两条绑定路径（1:1 交换与替换素材已绑定）、三项兼容性逐项拒绝且零副作用、CAS、四条拒绝路径、候选读取顺序与原因、读时自愈口径锁定 - 中间状态声明：本提交落地时前端调用方尚未提交，npm run ai-game-creator-shell:typecheck 会因 check-config.mjs 要求「每个 Tauri 命令都有 App invoke 调用方」而失败；这是刻意保留的中间状态，不得把这两个命令加进 native-only 白名单换绿	2026-09-11 17:37:01 +08:00
suzmii	cd1aceb3d9	按 rustfmt 折行退出收尾用例：纯格式，无逻辑变更 ... - tests/project.rs：gui_exit_stops_the_preview_and_clears_the_stale_record 里 init_existing_html_project_at 那行超过 rustfmt 行宽（中文按双宽计），按 `cargo fmt --all --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml` 的结果折成两行。 - 用 cargo fmt（不是裸 rustfmt）：裸 rustfmt 会把文件当模块根、跟随 mod 递归格式化整个模块树，本次已有人因此误改 50 个文件。 - 范围核对：`git diff --stat` 只有 apps/ai-game-creator-shell/src-tauri/src/tests/project.rs（1 file changed, 2 insertions(+), 1 deletion(-)），crate 里其余文件本来就是 rustfmt 干净的，未被牵连。 - 门禁：`cargo fmt --all --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -- --check` 与 `... --manifest-path server-rs/Cargo.toml -- --check` 均 exit 0；`cargo check --locked --all-targets` exit 0；AGC 子集 1198 passed / 4 skipped / 0 failed；四条预览定向用例仍各 1 passed。	2026-09-11 12:47:22 +08:00
suzmii	531392e506	退出路径统一收尾本地预览，陈旧预览记录不再留给下次进入 ... - preview.rs：新增 stop_local_game_preview_on_exit——退出时若 registry 里确有 running 预览，就用 stop_local_game_preview_for_root 把它真正停掉并写 stopped（顺带落 preview.log 与 trace 收尾）。预览服务器是进程内线程，进程一退 URL 就永久失效；不在这里收尾，.agent/manifest.json 会一直写着 running。 - main.rs：handle_game_creator_gui_run_event 的 RunEvent::Exit 分支先做预览收尾，再做既有的 Agent server / runner 关闭；失败按 `preview.gui_exit.stop_failed` 记日志，不阻断退出。 - 语义变更（用户已确认接受）：关窗不再保留预览——退出即停止预览并把记录写成 stopped，下次进项目一律落到资源管理。与"进入项目时按 registry 活体核对"配套：退出路径覆盖正常关闭，强杀 / 断电那类不走退出路径的情况由进入时的核对自愈。不引入 stale DTO 字段（判定仍要活体探测，且会把状态扩到跨端契约与全部消费方）。 - tests/project.rs：新增 gui_exit_stops_the_preview_and_clears_the_stale_record——退出收尾后 registry 归零且 manifest 记录为 stopped。 - tests/sessionPreview.test.ts：补两条 Rust 侧结构性守卫（本仓既有做法：直接解析源码）。① RunEvent::Exit 分支必须出现 preview::stop_local_game_preview_on_exit——这条接线没有别的行为测试覆盖（注册全局 registry 的用例会互相打架）；② 同项目重启预览的替换分支里，收尾必须排在"旧预览是否属于另一个项目"的判定之后。变异验证：把 main.rs 的退出收尾摘掉 → 守卫①立即红灯（已实测）。 - decision-log.md：新增 2026-09-11 决策条目，逐条写下背景（偶发进运行界面的成因链：进程内预览线程 + 随机临时端口 + 退出零清理 + 进门不核对 + 同项目重启覆盖刚写的 running）、A/B/C 三项决策、关窗不再保留预览这条语义变更及"为什么两者都做而不加 stale 字段"、不做什么与验证方式。同文件被 prettier 补了几处标题前空行（格式规范化，无内容变化）。 - 验证：cargo check --locked --all-targets exit 0；Rust 定向用例 restarting_preview_for_the_same_project / replacing_preview_for_another_project / stopping_without_a_live_preview / gui_exit_stops_the_preview 各 1 passed；AGC 子集 1198 passed / 4 skipped / 0 failed；共享组件 1385 passed；typecheck exit 0；编码 4378 文件；git diff --check 干净。	2026-09-11 12:36:08 +08:00
suzmii	66bb240115	进项目时按内存 registry 核对预览活体，陈旧记录不再冒充可运行预览 ... - 新增 features/app-shell/sessionPreview.ts 的 resolveSessionPreviewOnProjectOpen：进入项目时问一次 get_local_game_preview_status（内存 registry 是活体的唯一真相），确实 running 才把它作为本次会话的预览；记录写着 running 而 registry 没有活体时判为陈旧，复用现役 stop_local_game_preview 把落盘记录对齐成 stopped，并同时把会话 manifest 按真相投影成 stopped（否则运行入口会继续拿着打不开的 URL 渲染运行画面）。 - useHomeProjectCreation.ts：enterProjectDevelopment 改为 async，先做这次核对再进工作台，并按核对结果决定会话预览与 manifest 投影；三个调用点（新建项目、创建项目、打开项目）都改为 await。 - preview.rs：同一个项目重启预览时，旧 registry 身份的收尾不再覆盖刚落盘的 running——只有当旧预览属于**另一个项目**时才替它收尾。此前同项目重启会把刚写进去的 running 覆盖成 stopped，下次进项目便丢掉"预览在跑"这条事实（记录反方向失真）。 - preview.rs：stop_local_game_preview_for_root 在没有活体可停、但落盘记录仍是 running 时也把记录收尾成 stopped（stop 的语义变成"真的停干净，包括记录"），因此陈旧记录既可由进入项目触发对齐，也可由用户显式停止对齐。 - tests/project.rs：新增三条 Rust 定向用例——同项目重启后记录仍为 running 且端口是新预览的；换项目启动时旧项目记录写 stopped、新项目写 running；registry 无活体而记录写着 running 时 stop 会把记录对齐成 stopped。 - tests/sessionPreview.test.ts（新增）：五条用例覆盖活体优先、陈旧记录对齐并投影、registry 不可读按没有在跑处理、记录本来不是 running 时不发多余停止命令、无 invoke 时零请求。变异验证：把活体核对去掉（直接信落盘记录）→「registry 里没有活体时不给会话预览」与「registry 不可读」两条立即红灯（已实测）。 - project-development.suite.ts：把「打开项目不查预览状态」那条断言改为「恰好核对一次预览活体」，并保留邻近的 start_local_game_preview 必须为 0 的断言——被新行为取代的是"从不核验"，"开项目不偷偷启动预览"这条原意一字未改。 - PRD §4.1：状态机按当前实现改写（进入项目一律落到 resource-overview；run 的自动进入只认内存 registry 的活体确认；落盘 preview 是记录而非活体，陈旧记录不触发切换也不参与渲染），并把退出收尾一并写进该节说明。	2026-09-11 12:27:31 +08:00
suzmii	1801d2b227	清 AGC src-tauri 既有 rustfmt 欠账：5 个文件纯格式化，无逻辑变更 ... - `check:rustfmt` 跑 server-rs 与 AGC src-tauri 两条命令，CI 在 server-rs 那条就退出，AGC 侧欠账从未被跑到；本提交只做格式化，不改任何语义 - `src/agent.rs`：`mod` 声明与 `pub(crate) use` 按 rustfmt 排序口径调整 `direct_codex_references` 的位置（声明顺序无语义影响） - `src/assets.rs`：`infer_canvas_export_asset_kind` 的 `else if` 条件行重排；两处 `assert!` 参数按 use_small_heuristics 折叠；两个返回 `Result<..>` 的函数签名断行 - `src/project/asset_export.rs`：`resolve_export_source_file` 签名折成单行，`File::open`/`File::create` 两行重排，用例里 `SaveLocalProjectAssetFileInput` 实参折叠 - `src/tests/asset_rename.rs`：两处用例断行/折叠 - `src/tests/asset_delete.rs`：一处 `assert!` 实参折叠及连带重排 - 已用 `cargo fmt -p genarrative-ai-game-creator-shell -- --check <这 5 个文件>` 与整 crate `cargo fmt --all -- --check` 双重验证通过	2026-09-11 12:25:49 +08:00
suzmii	775b3792cd	修 rustfmt：resource_editor 新增用例按仓库格式折行 ... - `editor_api_rejection_reason_from_body` 用例里 3 处 `serde_json::json!(...).to_string().as_str()` 实参按 rustfmt 口径断行 - `editor_api_rejection_reason_from_body("<html>502</html>")` 断言折行 - 连带收掉 `remote-terminal-failed` 的 match 分支：该 arm 因上一提交改宽而超行宽，按 rustfmt 折成块 - `resource_editor.rs` 现在通过 `cargo fmt --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml -- --check`	2026-09-11 12:21:04 +08:00
suzmii	95c5418c0f	合并 master（#318 写锁等待与可诊断）入 V3 分支 ... - 三个文档冲突按两边都保留解决：decision-log.md、pitfalls.md、实施计划技术方案；两边追加的是不同主题（资源画布/预览/聊天区 vs 写锁），语义无冲突 - Rust 侧 direct_runtime.rs、direct_tool_bridge.rs、project_gates.rs、project.rs 自动合并成功，无手工介入 - 冲突处仅移除 Git 标记行，未删改任何一方内容（每个文件恰好减少 3 行）	2026-09-11 11:33:12 +08:00
suzmii	5e29b1bb57	预览链去掉无消费者的摘要计算，并为预览读取加进程内 manifest 缓存 ... - 资源卡预览不再计算 SHA-256：`AgentRuntimeInspectionImage.sha256` 改为 `Option<String>`，读取函数新增 `include_sha256` 开关，门禁、分块读取、漂移与重开身份复核、签名与尺寸校验仍只有一份实现，只在末尾按调用方决定是否算摘要。预览路径传 `false`（它的 `LocalProjectImagePreview` 从来不消费摘要），Agent `image.inspect` 路径继续传 `true`。 - 取摘要改为 `sha256_digest() -> Result`，缺摘要失败关闭；`project_gates.rs` 提前算成 `image_sha256` 再进判定闭包，避免退化成「空摘要 == 记录里的空摘要」而静默通过视觉检查复核；`runtime_tools/media.rs` 改用仓库既有的 `match { Err => return failed observation }` 风格，不引入新的 panic 面。 - 新增 `read_manifest_cached_for_preview`，只接到 `read_local_project_image_preview_at`、`read_local_project_text_preview_at`、`read_local_project_media_preview_at` 三个预览命令，消掉一次画布装载中「每张卡片各读并解析一遍同一份 manifest」的重复开销。`read_manifest` 本体、`read_manifest_for_project` 和写入路径的安装后回读一字未动。 - 缓存命中判据每次重新获取当前文件身份：路径复核 + 非符号链接或 reparse point + 普通文件 + 长度 + mtime + 文件身份（Windows `(volume serial, file index)`，Unix `(dev, ino)`）；失败一律不入缓存，错误语义与 `read_manifest` 完全一致。为此放开 `metadata_is_windows_reparse_point` 为 `pub(crate)` 并新增跨平台 `open_file_identity_key`。 - 写入侧硬做失效：`write_manifest_with_lock_hook` 成功写入后调用 `forget_preview_manifest`。只靠长度 + mtime + 身份堵不住同长度原地改写，显式失效后正确性不再依赖时间戳粒度，读取侧身份复核保留为兜底。 - 收益如实记录：真机项目实测 52 次 manifest 读加解析约 10 ms 量级，并省下约 3.15 MiB 重复磁盘读取。这是消除重复工作的正确改动，但不是性能救命项；用户感知的加载耗时大头仍在资源卡图片解码。 - 决策记录补「AGC 资源卡预览维持 data URL 加纯内存 LRU，不引入 Tauri asset 协议」：正式否决该候选路径，写明原始合同原文（不向 WebView 暴露任意本机文件协议或绝对路径）、打通所需配置（`assetProtocol` 加 `protocol-asset` feature 加 scope 只能 `**/*`）、会绕过的全部门禁（`file.read` 权限、项目边界、登记复核、敏感路径、父目录链接、硬链接、读取漂移与重开身份、按魔术字类型校验、尺寸上限、取消语义与全局 3 permit），以及收益与代价不成比例；同时否决磁盘缩略图缓存。 - `pitfalls.md` 补同题排障口径，含判据陷阱：把「每次启动重读」当成本瓶颈是错的，真机 52 张 PNG 分层实测 Rust 加 JS 合计仅约 0.3 s。	2026-09-11 00:57:33 +08:00
suzmii	30acd9552c	写入侧产出 canonical kind，读取侧读时重派生自愈存量分类 ... - 写入侧：infer_canvas_export_asset_kind 直接返回 canonical kind（animation → character-animation、ui → ui-design、asset → image），不再让别名表替写入侧兜底 - 写入侧补防御性归一，并新增 canvas_export_asset_kind_is_always_canonical 逐分支钉死返回值为 canonical、且不再写回 ui / animation / asset - 读取侧：gameCreationAppAssetCategory 加收窄覆盖规则——落盘 category 为 unclassified 且 kind 能派生出明确非 unclassified 分类时采用派生值 - 该规则不写迁移脚本、永久自愈：真机 57 条 ui 资产待归类从 58 降到 1，UI 交互从 2 升到 59，仅剩 code 类 game-entry 在待归类（分类表设计口径） - 收窄条件把覆盖窗口压到最小：落盘值本身是明确分类时仍信任落盘值（保留用户在分类与标签面板手动设置的权威性） - kind 派生结果本身即 unclassified 的 image / video / code / publication-material 不受影响，补断言钉住 - resourceCardPreviewRealManifest 由「记录缺陷」改为「守住修复」：断言归位后的 58 → 1 分布与 57 条 ui 全部落 UI 交互 - PRD 与 pitfalls 补记分类取值优先级、读时自愈规则、唯一盲区（手动把可明确分类的资产设为待归类会被覆盖）及写入侧 canonical 化	2026-09-10 23:15:04 +08:00
suzmii	ff42fff61c	按评审意见把写锁等待挪出 runtime worker 并收紧 wait_exhausted 记账 ... - agc_write_file 写路径改经 bridge_write_file_in_blocking_pool 走 tokio::task::spawn_blocking：有界等待是同步轮询（最多约 10 秒），直接在 async handler 里跑会占住 tokio worker，争用窗口内同一轮并行写多个文件时会波及共享同一 runtime 的只读端点与 UI 命令 - 新增用例用默认 current_thread runtime 加心跳任务锁住该性质；把 handler 临时改回同步直调时该用例按预期失败，确认有区分度 - project.write_lock.wait_exhausted 与终态改判一起改为只在真的等过（max_attempts > 1）时发生：hydrate 的单次试探不再写 waitedMs 近似 0 的“耗尽”日志 - 技术方案、decision-log、pitfalls 同步这两条，并补“同步有界等待不能直接跑在 async handler 里”的排障经验	2026-09-10 21:38:48 +08:00
suzmii	b87120445c	Merge remote-tracking branch 'origin/master' into feat/agc-canvas-resource-workbench-v3	2026-09-10 21:24:05 +08:00
suzmii	71e9ad3133	修复锁失败终态判据漏传平台导致 CI 把权限改判成争用 ... - project_write_lock_permission_is_ambiguous 改为按平台加原始错误码判定（Windows 的 ACCESS_DENIED(5)）；只看 ErrorKind 在 Linux 上会得出相反结论：errno 5 在 Windows 是 ACCESS_DENIED、在 Linux 是 EIO - ProjectWriteLockFailure::Retryable 携带 platform，终态改判与争用文案都用同一次分类的平台，不再依赖宿主 errno 语义 - 终态投影用例显式用 Windows 平台构造失败并补 Unix 反例，两个平台上结论一致；CI 首次推送正是在此失败（2358 passed / 1 failed，left contention / right permission_denied） - pitfalls 补充“判据的每一环都要带平台”的排障经验	2026-09-10 20:46:10 +08:00
suzmii	06f738dc99	将项目写锁从 project/filesystem.rs 纯搬移到 project/write_lock.rs ... - 新建 project/write_lock.rs：取锁、等待分类、持锁方诊断、残留回收与 4 条锁用例整体搬移，逻辑不变 - project/filesystem.rs 只保留项目文件 IO（1533 → 680 行），锁相关常量、结构、进程判据与用例全部移出 - project.rs 注册 mod write_lock 并 pub(crate) use write_lock::*，crate::project:: 与 crate:: 既有路径不变 - windows_metadata_is_reparse_point 提为 pub(crate)，供 write_lock 复用同一条 reparse point 判据 - agent_db.rs 与 checkpoint.rs 的 PROJECT_FILE_FLAG_OPEN_REPARSE_POINT 导入路径改为 super::write_lock - 同步修正技术方案、Fast GDD 技术方案、decision-log、pitfalls 中指向锁实现的文件路径，并把“拆锁”从后续事项改为已完成	2026-09-10 20:12:28 +08:00
suzmii	8c639e5d13	修复项目写锁重试判据用一次元数据观察误判瞬时争用 ... - 项目写锁分类改为只按错误码判定重试性，不再用 path.exists() 决定“要不要等”：真机 6 万次建锁/删锁竞争实测 396-538 例命中“ACCESS_DENIED(5) + 目标不可见”，旧判据会让等待层立刻失败关闭，把毫秒级竞争换成更误导的 ACL 文案 - 新增 ProjectWriteLockFailure（Retryable / Terminal）与 acquire_project_write_lock_failure，有界等待改按类型分流，acquire_project_write_lock 退化为它的文案包装 - Windows 的 ACCESS_DENIED(5) 终态改判移到等待预算耗尽之后：只有真的等过预算且目标此刻仍不存在时才投影成权限拒绝，单次试探保持争用语义 - 锁分类判据改为平台参数传入（project_write_lock_open_failure_for），Linux CI 可覆盖 Windows 分支；替换原先只在 Windows 本地执行的分类用例 - 零等待入口在错误码不可区分时补一句“可能是删除挂起、删除拆链窗口或权限 / ACL 拒绝”，争用前缀逐字不变，调用方既有重试语义不受影响 - PROJECT_WRITE_LOCK_CONTENTION_PREFIX 收口 provider_recovery.rs、planning_session_v2.rs、direct_runtime.rs 三处手写文案 - project.write_lock.wait_exhausted 日志补 projection= 分类，attempts 记为实际尝试次数 - 同步更新技术方案、decision-log、pitfalls，并修正 ownerIsSelf 只比 PID 的表述	2026-09-10 20:07:28 +08:00
suzmii	59cab3d9fd	Merge remote-tracking branch 'origin/master' into fix/issue-318-write-lock-classification	2026-09-10 19:58:05 +08:00
suzmii	6f09bf3a00	AGC 资源画布分区轴改为 6 类资产分类加独立项目版本栏目（阶段一：契约与读时映射） ... - 契约层新增 PROJECT_RESOURCE_CANVAS_SECTIONS：6 类资产分类加末尾独立的项目版本栏目，并补齐分区类型 - 契约层新增旧四 / 五栏目取值白名单、Persisted 联合类型与两个类型守卫 - Rust 契约 ProjectResourceCanvasSection 增补 7 个现行 variant 并保留 Code / Art 旧值，新增同名分区常量 - Rust 契约不升 game-creator-resource-layout.v1 版本、不给未知 section 加兜底，损坏 payload 继续失败关闭 - 新增 resourceCanvasSectionMapping.ts：旧栏目到现行分区的映射表、回落栏目与读时归一化 - 读时归一化只改写 section，x / y / manuallyPlaced 原样保留，无法归并时沿用既有丢弃行为 - resourceProjectionModel 把扩展名分类器更名为 projectedResourceKind 并收敛为准入与显示类型 - resourceProjectionModel 新增 projectResourceCanvasCategory：项目版本独立成栏、Agent 回执归文档、其余按资产分类 - Rust resource_layout 测试夹具改用现行分区值，并新增既有旧 section sidecar 仍可读取的用例 - 新增 resourceCanvasSectionMapping 测试：旧值乘目标栏目矩阵覆盖坐标保留、section 改写、changed 判定与回落列不变量 - projectResourceProjectionModel 测试新增 7 栏分区投影、项目版本独立成栏与只登记游戏代码项目落在待归类 - 同步 PRD、GameAgent 资源自由画板技术方案、AGC 实施计划与共享记忆决策记录的分区口径	2026-09-10 19:57:34 +08:00
suzmii	c20e28bed0	修正 AGC 快速编辑 4xx 失败原因取值：优先 details.message 并附 provider 与素材类型上下文 ... - `editor_api_rejection_reason` 取值顺序改为 `error.details.message` → `details.message` → `error.message` → `error` 文本 → 顶层 `message` - 平台把所有 4xx 兜底成「请求参数不合法」，真实原因写在 `details.message`，原实现只读 `error.message` 导致用户永远看不到原因 - `details` 有值时附带 `provider`，并透出 `assetKind` / `mediaType`，非 BAD_REQUEST 的稳定错误码照旧透出 - 抽出同步函数 `editor_api_rejection_reason_from_body` 并补定向用例，钉住取值顺序、截断与兜底行为	2026-09-10 19:01:09 +08:00
suzmii	8c74e5f97c	修正 AGC 图片快速编辑的 400 判据测试：补 art-spritesheet / ui 正向用例并钉住请求级链路 ... - 服务端白名单用例改为按静态图集合断言，新增 `art-spritesheet` / `ui` / `ui-prototype` / `game-art` / `game-background` / `art-spritesheet-slice` 正向用例 - 保留 `future-kind` / `video` / `audio` / `image-sequence` / `character-animation` / `document` / `code` 负向用例，并补 mediaType AND 门用例 - 新增请求级回归用例 `game_creator_client_quick_edit_accepts_local_manifest_static_image_kinds`，按 AGC 客户端真实请求体（source 已改写为 ai-game-creator-client）覆盖放行与拒绝两侧 - 新增 `game_creator_client_source_is_recognized_as_game_creator_resource_editor`，把 source 别名与队列 consumer 判定钉在同口径 - 修正 icon 相关旧断言：`icon` 已是共享契约静态图类型，改断言 non-static 媒体仍被拒	2026-09-10 19:01:04 +08:00
lhk229	89447ed432	按评审意见强化回退模板读取通道回归测试 ... - tests/configuration.rs 回退模板测试改用与模板无关的 runtime dir，分类断言覆盖按路径归属而非 runtime dir 为 None 的恒真分支，并补充 runtime dir 内路径的 managed 正向断言 - tests/mod.rs 移除不再使用的 clear_test_runtime_config_dir 辅助	2026-09-10 09:46:48 +00:00
lhk229	3ebfcc0c2f	修正新增配置读取回归测试的 Rust 格式 ... - tests/configuration.rs 按 cargo fmt 调整两个 assert! 宏换行	2026-09-10 09:03:19 +00:00
lhk229	9b5d1fe107	修复仓库回退配置模板被读取通道私有化 ACL 锁定 ... - config.rs 新增 game_creator_config_path_is_runtime_managed 判定，read_game_creator_config_file 按路径归属分流：AppData 托管目录内的真实凭据维持私有加固读取，仓库旁边的回退模板与 local 覆盖改用 open_project_snapshot_regular_file 非变异快照通道 - 根因：开发 CLI 无 AppHandle 时回退读取 worktree 内 git 跟踪模板，私有读通道在 Windows 上无条件收紧 DACL 为仅当前进程用户，导致其他账号与 cargo include_str! 全部 Access Denied - tests/mod.rs 新增 clear_test_runtime_config_dir 辅助 - tests/configuration.rs 新增两个回归测试锁定快照 / 私有两条读取通道的分流 - pitfalls.md 记录该排障经验与读取通道副作用白名单教训	2026-09-10 08:57:31 +00:00
suzmii	4ecab19429	修正 CI 权限用例在 root 容器下的前提并补平台无关的分类判据 ... - project_write_lock_does_not_project_permission_denial_as_contention 不再用 expect_err 断言“只读目录必须挡住取锁”：CI 容器以 root 运行，0o500 不生效，取锁会正常成功；此时跳过端到端前提 - 新增平台无关用例 project_write_lock_classifies_by_whether_the_target_exists：目标存在才是争用、目标不存在却创建失败是权限拒绝、NotFound 归其它 - 让权限分类判据在不依赖 ACL 环境的条件下也有回归护栏，避免只靠会被 root 绕过的端到端用例	2026-09-10 16:52:30 +08:00
suzmii	746b96e71d	资源编辑 400 同时透出平台错误码 ... - editor_api_rejection_reason 额外读取响应体 error.code，过滤掉等价于通用文案的 BAD_REQUEST 后拼成「原因｜错误码 CODE」 - 背景：http_error.rs 把所有 4xx 兜底为同一条「请求参数不合法」，只透 message 会丢掉唯一可用于定位的信息	2026-09-10 16:45:29 +08:00
suzmii	56c6e0fecc	修复工具条折行与资源编辑 400 的错误盲区 ... - resourceCanvasChrome.css：移除我自行添加的 max-width 与 flex-wrap: wrap，按网页端美术画布原始规则改回单行不换行（容器 nowrap + 溢出横向兜底），按钮统一 2.25rem 方块与 0.45rem 圆角，文字键 padding 改回 0 0.62rem，分隔线改回 1.125rem，消除动作变多时折叠成多层与按钮高矮不齐 - resource_editor.rs：新增 editor_api_rejection_reason，在 HTTP 400 分支把服务端响应体的可读原因（兼容 error.message / error 字符串 / details.message / 顶层 message，截断 200 字符）拼进用户可见错误，替换原先只有状态码的笼统提示	2026-09-10 16:33:13 +08:00
suzmii	81c2389132	修复 AGC Direct 写通道项目锁零等待与持锁方不可诊断 ... - Direct 写路径（agc_write_file）改用统一的有界等待，与 file.write / file.patch / file.delete 同语义，同一轮并行写多个文件按同一把锁串行，不再在 24-42ms 内把重叠判成"项目正在被其他写操作占用" - create_new 失败拆成争用 / 权限拒绝 / 其它三类：锁文件不存在却仍创建失败不再投影成争用；sharing violation(32) 与 lock violation(33) 恒定归争用 - 争用错误与等待日志带上持锁方身份（commandId / pid / createdAt / ownerIsSelf），锁文件处于删除挂起或未写完时显式表达成"身份不可读" - ProjectWriteLockSnapshot 补 commandId 与 describe_holder()，沿用既有快照 + 字节 CAS 回收机制，不新增第二套回收判据 - 有界等待预算耗尽记 project.write_lock.wait_exhausted（含等待毫秒数），权限拒绝记 project.write_lock.permission_denied，争用不在零等待入口里逐次记账 - 新增同进程重叠写等待、同轮并行写、活外部进程持锁带身份、权限拒绝分类、ACL 拒绝不投影成争用五条回归用例 - 同步 decision-log、pitfalls 与技术方案文档	2026-09-10 16:30:22 +08:00
suzmii	f2f8a9af72	合并 WP4 资源面板与撤销重做：保留 C7 版本入口与资源面板接线 ... - project.rs 冲突：同时保留 mod asset_export（WS-B 下载命令）与 mod asset_rename（WS-D 重命名命令），丢弃已在 WS-A 退役的 asset_usage - index.tsx 冲突：同时保留 GameRunVersionPicker（C7 版本入口）与资源面板/历史模型导入（WP4）	2026-09-10 15:57:42 +08:00
suzmii	422a71d321	资源画布新增独立资源面板：预览/上传/下载/多选（WP4） ... 新增 features/resource-canvas/resourceCanvasAssetTransferModel：面板网格模型、选中集合解析、默认导出文件名、上传白名单（纯函数） 新增 features/resource-canvas/ResourceCanvasPanelView：独立浮层面板承载预览网格/上传/下载/全选/清空，选中状态直接读写画布同一份 selectedResourceIds，不造第二套选择 下载改为显式保存链路：前端 @tauri-apps/plugin-dialog save() 取目标路径，再调新命令 save_local_project_asset_file 复制素材文件，避免依赖不可靠的 <a download> Rust 新增 project/asset_export.rs 与命令 save_local_project_asset_file：校验项目根与相对路径、源必须是真实普通文件（拒绝符号链接与目录）、目标路径非空且父目录存在、分块流式复制不进整文件内存，返回目标路径与字节数 Rust 单测覆盖成功复制（内容一致 + byteLen + 源不变）、缺失源拒绝、目录源拒绝、空目标与父目录缺失拒绝、目标为目录拒绝 上传复用现役 upload_local_asset（落 assets/uploads 并登记 manifest 条目）后回读 manifest 刷新，只接受图片/音频/视频 capabilities/main.json 增加 dialog:allow-save；资源画布 chrome 样式补资源面板一套；index.tsx 只做导入/一处按钮/一处渲染/状态透传	2026-09-10 15:56:10 +08:00
suzmii	30e93c6c43	合并 WS-D 阶段一：新增本地项目素材重命名命令 ... - 解决 main.rs / project.rs / tests/mod.rs 的相邻插入冲突：main.rs 保留 read_local_project_asset_references 与 rename_local_project_asset 两条注册，project.rs 与 tests/mod.rs 只保留 mod asset_rename（asset_usage 已由 WS-A 整体删除） - 解决 decision-log.md 末尾追加冲突：保留双方条目（WS-A/口径收敛、删除新口径、C3 交互、Agent 投影 + WS-D 素材重命名）	2026-09-10 14:46:15 +08:00
suzmii	26f1a7b19c	Merge branch 'feat/agc-v3-c4-mentions' into feat/agc-canvas-resource-workbench-v3	2026-09-10 14:43:58 +08:00