docs: record automatic game resource delivery

.project-docs/30-worklog/current-state.md

@@ -4,6 +4,24 @@ This file is the integrated default-branch snapshot. Feature tasks record progre
 
 ## Integrated Through
 
+- Automatic Game Resource delivery source
+  `6113a2453299141eab8420a56e93675712dd607b` from task
+  `20260906-game-resource-auto-delivery-7a4e2c91` is integrated onto local `main`
+  as product commit `4df4bc96245c01cd95e35ddf1b2b03d0e0d231c5` by task
+  `20260906-game-resource-auto-delivery-integration-8c4e1a72`. One confirmed
+  `game_resource_generate` call is now a Main-owned submit-and-deliver operation:
+  Main submits once, polls the accepted execution internally, downloads every terminal
+  output, and saves the files under the frozen original project at
+  `assets/generated/game-resource/<executionId>/`. Provider execution, billing, and
+  local delivery remain separate states. A durable user-data receipt resumes only the
+  local download/save phase after an interruption, so it cannot create a second
+  Provider submission or Token Point charge. The shared project write lease is held
+  only while terminal outputs are materialized, and the Agent-visible status/save tools
+  and second save confirmation are removed. Source verification passed 99 focused
+  tests, the 1,901-test full unit suite with 2 skips plus pressure, typecheck, lint with
+  0 errors/5 unchanged warnings, all Vite targets, 8 Electron tests, the unified Plugin
+  E2E journey, and Windows x64 runtime staging. No live paid Provider generation,
+  client installation, deployment, publication, or push is claimed.
 - Official project-wide Plugin activation source
   `718783f6837e29f56c9add633596249c03e5701f` from task
   `20260905-official-plugin-project-scope-6e4a9c21` is integrated onto local `main`
@@ -677,7 +695,7 @@ Canvas 侧栏提供“获取灵感”进入 Prompt Museum。列表、筛选、
 
 Makelore 在会话恢复、登录和刷新后由 Electron Main 请求 Works `/api/auth/me`，Renderer 只获得 Code、Canvas、Learning、Robot 四个布尔权限。缺失 `module_access` 或任一字段时默认开启；服务端 `design` 显式映射客户端 `painting`。被关闭的模块卡片置灰且不可点击，根路由、深层路由和别名路由均在 `MainLayout` 或模块初始化前阻断。Code provider 等待认证权限加载完成；权限查询返回终止性 `401` 时同时清理 Main 和 Renderer 会话。`/settings` 是全局设置，不受 Code 入口策略阻断。该机制只是客户端入口策略，不代替服务端 API 授权。
 
-插件在编程侧栏只有一个“插件”入口，`/plugins` 是唯一产品页面，并以统一列表投影 Marketplace、账号 Library、官方设备状态、本机 Device Packages、当前项目状态与 retained IDs；旧 `/plugin-marketplace`、`/my-plugins` 与 `/project-plugins` 路由只做确定性筛选重定向。获取、设备安装、项目启用、Agent Skill 分配、运行授权和计费仍是独立生命周期，不因界面统一而自动推进；原生 selected-model Web Search 不进入插件列表。
+插件在编程侧栏只有一个“插件”入口，`/plugins` 是唯一产品页面，并以统一列表投影 Marketplace、账号 Library、官方设备状态、本机 Device Packages、当前项目状态与 retained IDs；旧 `/plugin-marketplace`、`/my-plugins` 与 `/project-plugins` 路由只做确定性筛选重定向。获取、设备安装、项目启用、Agent Skill 分配、运行授权和计费仍是独立生命周期，不因界面统一而自动推进；原生 selected-model Web Search 不进入插件列表。Game Resource 在一次计费确认后由 Main 提交一次并内部轮询，终态全部输出自动写入调用时冻结的原项目；Agent 不再轮询状态、选择保存路径或进行第二次保存确认，交付恢复也不得重新生成或重复计费。
 
 AI 学习现在是已启用的运营精选项目目录，并继续受登录和 `module_access.learning` 控制。Renderer 通过 Main-owned Host API 获取分页项目卡片和 README 详情；Markdown 支持 GFM、禁用原始 HTML。服务端发布时只校验图片 URL 为无凭据、默认端口、无 fragment 且当前 DNS 结果全部为公网地址的 HTTPS URL，保留地址而不下载、识别格式、转码或镜像；客户端仅为 README 图片节点启用直连，因此 SVG 和 Electron 支持的其他格式可直接显示，单图失败不阻断详情。封面和历史发布媒体继续走受控路径。详情页的下载按钮打开系统保存对话框；Main 将 ZIP 流式写入临时文件，只允许最多五跳同 Works origin 重定向，不校验 `Content-Length`、`archiveBytes`、实际流字节数或客户端大小上限，校验 SHA-256 和 ZIP 签名后原子保存，Renderer 只接收 `saved` 或 `cancelled`。课程生成、进度、本地课程库、OpenMAIC player、Agent、ASR、课堂 runtime、Learning IPC 和 player artifact 打包已删除且没有兼容读取路径；历史课程数据保留但不再读取。服务端和客户端源码契约已完成，不代表生产部署或真实账号安装包联调已经完成。