merge: integrate remote main

.project-docs/40-domain/business-rules.md

@@ -99,10 +99,12 @@
 - AI Design 必须以自然对话帮助用户描述清楚需求：先提取和复述已明确内容，每次最多推进一个真正影响作品的问题。客户端 Current Specification 投影是辅助摘要和可选手动调整，不得把内部字段、缺项或普通 Decision Prompt 变成用户必须逐项填写的表单。
 - 每个 mutation 使用稳定 command 与 semantic operation identity。transport-unknown 只能重放原命令；business rejection、timeout 或用户再次点击不能自动生成新的业务意图。
 - Direction projection 是 Specification 真值。event cursor、assistant delta、Task progress 与 Asset event 只用于传输/资源收敛，不得推进或覆盖 canonical specification revision。
+- 用户提交 chat 后，客户端可以立即把同一个 pending operation 投影为临时用户气泡，并明确显示“发送中”或“正在确认”；只有服务端返回的 canonical turn 才进入 conversation timeline。确定失败时必须让原草稿重新可编辑，不得把临时投影持久化为第二条消息。
+- `design.assistant.delta` 只用于未完成回复的传输和结果收敛，不得进入 canonical conversation timeline。客户端可以把它临时显示为与同一 pending chat identity 绑定的单个未完成助手气泡；确定收敛后必须由 canonical turn 替换，unknown outcome 则保留原 identity 与已有片段。不得把片段伪装为完成回复、持久化为第二条消息、因其他 operation 更新而全局清除，或另加独立的整理进度栏。AI 当前整理出的设计理解仍由右侧 Current Specification 投影承载；连接重叠或事件重放按 connection generation 与 `chunkIndex` 去重收敛。
 - Main 只向 Renderer 投影已知错误码的固定中文提示，未知上游错误文本必须脱敏为通用提示；Works Token、stream ticket、provider internals 留在 Main/服务端。
 - AI 绘画 Workspace JSON 请求与 shared Works token refresh 必须覆盖取凭据、发请求和读取响应 body 的完整 30 秒 deadline；即使底层 transport 忽略 abort，调用方也必须确定性结束为 `504 DESIGN_WORKSPACE_REQUEST_TIMEOUT` 并释放共同等待者。Electron-to-Node 透明 fallback 仅允许 `GET`/`HEAD`/`OPTIONS`；mutation 不得因 transport failure 被隐式重放，任何重试必须由上层显式幂等合同授权。
-- `design.quote.request` 必须绑定 exact current Specification revision 并返回 immutable Quote；任何 production-meaning edit 都需要新 revision 与新 Quote。
-- `design.generation.confirm` 只提交 Quote identity。客户端不编辑 provider Prompt/model/route/storage，不计算 Token Points，也不把 Task recovery 当作再次确认授权。
+- `design.quote.request` 必须绑定 exact current Specification revision 并返回 immutable Quote；任何 production-meaning edit 都需要新 revision 与新 Quote。对话或 Current Specification 就绪态可以引导用户请求并查看 Quote，桌面端可定位到报价区、移动端可打开报价面板，但该动作不得创建 Task。
+- `design.generation.confirm` 只提交用户明确确认的 Quote identity。客户端不编辑 provider Prompt/model/route/storage，不计算 Token Points，也不把聊天就绪文案、Quote 展示、重复点击或 Task recovery 当作生成授权。
 - 图片/视频 source 必须是当前 Workspace 的 canonical Asset，并通过 typed binding 进入 Specification；medium/role 决定用途，不得从 quick-reply 文案、V1 Brief 或本地路径推断。
 - Task/Asset reconciliation 只能更新 Workspace resources；已经落库但事件迟到的 Task 可通过 refresh 恢复，不能覆盖 Living Form、local drafts 或 pending Design input。
 - 删除 Canvas 项目必须要求用户完整输入项目名并通过 Main-owned Workspace DELETE。成功后被删 Workspace 的会话、任务和资产不得继续留在 Renderer 可访问状态；服务端决定软删除、任务取消、预留积分释放和运行中任务结算。