fix: integrate updater downgrade guard

.project-docs/40-domain/business-rules.md

@@ -24,8 +24,14 @@
 - 运营端可按用户关闭 Code、Canvas、Learning 或 Robot 客户端入口，默认全开。Makelore 通过 Main-owned `/api/auth/me` 只消费四布尔安全投影；缺失 `module_access` 或字段按开启处理，服务端 `design` 对应现有客户端 `painting`。
 - 关闭的模块卡片必须置灰且无法点击；其根路由、深层路由和别名路由必须在 `MainLayout` 或模块初始化前阻断。Code provider 只能在 auth policy hydration 完成且 Code 已开启时初始化；`/settings` 是全局设置，不得随 Code 关闭而失去访问。
 - 模块置灰/路由阻断不是 API 授权边界。每个 Works/模块服务端 API 仍必须独立执行身份与权限检查；`/api/auth/me` 返回终止性 `401` 时必须清理 Main 和 Renderer 会话，不得以默认全开继续。
-- AI 编程伙伴 `model` 只决定新 OpenCode Session 的默认模型；现有 Session 的 active model 由 OpenCode 持有。页面模型选择器与 `/models` / `/model` 必须调用同一个 native Session 切换动作，普通 prompt、项目命令和上下文压缩不得重发伙伴默认模型覆盖用户选择，也不得把该操作写成 provider 配置变更或 runtime restart。
-- owned fresh runtime generation 中，新创建且本 generation 从未见过的唯一 Agent id 可在 live registry 暴露后立即使用，并且不得阻断已有未修改伙伴。同 id 内容编辑、删除后同 id 重建、live id 缺失以及 attached/unknown generation 必须保持 pending，直到权威 reload 或 generation rollover。
+- Makelore Code 的唯一 production runtime 是精确 pin 的 Pi `0.84.2`。不得恢复 OpenCode fallback、RPC/SDK 双轨、兼容执行路径或 Renderer runtime 直连；产品公共合同必须保持 project/Agent/Conversation/Snapshot/Patch 中立，Pi wire 只属于 Main。
+- project、Agent、Conversation 使用 schema v2。Agent id、名称、原始 prompt、Skills 与 archive 状态必须稳定保存；旧 v1 在写入前做时间戳备份，旧 OpenCode 会话迁为本地空 Conversation 且不继续运行。只处理 exact generated legacy Agent 文件，modified/unknown 文件先进入备份，其他 `.opencode` 内容不得被迁移顺带删除。
+- 每条 active/warm Conversation 绑定一个 persistent Pi worker/session。首次本地 Conversation 创建和 Composer 编辑不得等待 worker；未解析 Conversation 第一次选模必须先验证模型、持久化 resolved metadata，再 prepare。已解析且同账号的模型变化复用 target `set_model`，跨账号变化等 active run settled 后只重建目标 worker。
+- prompt、steer、follow-up、compact 等 mutation 必须先获得目标 Conversation 的 `202` acceptance/dedupe 结果。confirmation timeout 只表示 uncertain，不得自动重发，也不得释放 run permit、process ownership 或 Main background lease；迟到 success/failure/exit/abort 必须单调、exactly-once 收敛，并且 sibling Conversation 继续独立工作。
+- Renderer 只消费 Snapshot-first 与 `patch-batch` SSE。每条 Conversation 的 generation/seq 独立；stale generation 丢弃，gap/reconnect 只恢复目标 Snapshot 并应用严格连续的缓冲 tail，不重放 mutation，也不改变乐观消息的 UI identity。
+- top-level worker 并发上限 4、warm idle LRU 上限 4、child 并发上限 4，parent/child 共用 FIFO process budget 8。单次 subagent dispatch 最多 8 个 child 且禁止递归；coding child 与 parent 共用同项目 write lease，父 abort/crash/generation 失效必须清理所有 child、permit 与 process lease。
+- Provider Account、credential、custom header 和 proxy token 只可投影到选中 worker env，不能进入 argv、catalog、Renderer 或未选中 worker。确定性的 Works user-context 缺失必须使缓存 gateway credential 过期、fail fast 且不重放 mutation，并向产品投影固定的 `CODING_PROVIDER_AUTH_REQUIRED`；不能把它解释为 Pi worker 崩溃。
+- Provider/resource revision 在 idle worker 下一 prompt 前应用；running worker 使用当前 run snapshot，settled 后重建。同账号 refresh single-flight 且最多一次 auth refresh/reopen。真实 Provider 认证、endpoint/proxy/rate-limit、协议差异、真实并发和跨 worker 凭据隔离由用户明确豁免并接受风险，`realTurnVerified=false`，不得写成 Pass。
 - 客户端更新检查由 Electron Main 持有。缺少当前平台正式稳定 manifest 必须保持错误并提示稍后重试或从官网下载，不得宣称“已是最新版”；设置页只显示一条中文用户提示，原始堆栈、URL、路径和错误码只保留在 Main 日志。
 - 一个 AI 绘画 Workspace 可以包含多条独立 Conversation；新建 Conversation 不得创建新 Workspace。
 - Conversation 持有消息、Brief、Quote 和 `turnRevision`；生成任务和资产属于 Workspace，切换 Conversation 后必须继续可见。
@@ -47,7 +53,7 @@
 - README 使用安全 Markdown/GFM 并禁用原始 HTML。运营发布时必须解析 Markdown，只保留无凭据、默认端口、无 fragment 且当前 DNS 全部指向公网地址的 HTTPS 图片 URL；不得下载、识别格式、转码或镜像 README 图片。客户端仅允许 Markdown 图片节点直连这些 URL，支持范围和可用性由 Electron 与远程 origin 决定；封面和历史发布媒体继续走受控媒体路径。
 - Main 打开原生保存对话框，将项目 ZIP 下载流写入临时文件，只允许无 userinfo、最多五跳且保持 Works origin 的重定向，重定向请求不携带 Bearer；客户端下载不校验 `Content-Length`、`archiveBytes`、实际流字节数或大小上限，只在 SHA-256 与 ZIP 签名匹配后原子重命名。Works Square 可保留独立的运营上传/存储限制。Renderer 不得获得 Works Token、对象存储地址、任意下载 URL、临时路径或最终本地路径。
 - 新客户端不读取、迁移或展示历史下载课程，但也不自动删除用户现有课程数据。任何清理功能必须另行设计为用户明确控制的可恢复维护动作。
-- `game-engine` 不再是内置 OpenCode Skill。`planning-with-files` 在复杂任务中把 `task_plan.md`、`findings.md`、`progress.md` 写到当前项目根目录；不得写入 Skill 安装目录或用户目录。
+- `game-engine` 不再是内置 Coding Skill。`planning-with-files` 在复杂任务中把 `task_plan.md`、`findings.md`、`progress.md` 写到当前项目根目录；不得写入 Skill 安装目录或用户目录。
 - Robot V1 在现有 Binding 体验内扫描符合条件的开放 `Xiaozhi-*` 配网热点，并只连接用户明确选择的短效候选；该便利信号不得宣称为可信设备发现、自动下发家庭 Wi-Fi、自动认领或自动确认在线。
 - Guided Hotspot Binding capability 由 Electron Main 持有且默认开启。精确 `NIANCODE_AI_HARDWARE_GUIDED_HOTSPOT_BINDING=0` 关闭引导；关闭或 capability 读取失败时保留现有六位码 Binding，Renderer 可以读取但不能覆盖它。
 - Robot hotspot scan/connect 必须由 Electron Main 持有并在读取 Works 凭据前本地完成。Renderer 只能提交最近扫描生成的短效不透明 candidate ID，不能提交任意 SSID、BSSID、接口、profile 或命令。
@@ -73,7 +79,8 @@
 - Prompt Museum 客户端契约和页面完成不等于 Works Square 内容后台、审核数据或 CDN 已部署；上线前需以真实登录账号验证列表、详情、署名链接、分页、图片和 Prompt 回填。
 - Learning 客户端集成不等于 Works Square 运营后台、对象存储或项目 API 已部署；上线前需先部署服务端合同，再以真实账号验证发布/下架、分页、远程 HTTPS README 图片（含 SVG 与失败隔离）、保存取消、缺失或错误 `Content-Length` 的 ZIP、摘要/签名错误以及 Windows/签名 macOS 安装包。
 - 四模块入口策略上线前需确认 Works `module_access` migration/API 已部署，安装包包含对应客户端，并用真实账号逐一关闭四个模块验证卡片、根/深层/别名路由和独立 API 授权。
+- Makelore Code 当前只有 Windows x64 最终安装包和 WSL2/WSLg Linux 证据。macOS x64/arm64 与 native non-WSL Linux desktop/compositor 尚未验收；在补齐前不得宣称 cross-platform release-ready。真实 Provider 风险虽经用户明确豁免，但仍不得从 loopback/provider-shaped smoke 推断为真实 Provider Pass。
 
 ## Last Reviewed
 
-2026-08-20
+2026-08-26