Merge origin/main and preserve nonblocking project entry

2026-09-07 12:53:55 +08:00
commit 918f8f80dc
@@ -11,9 +11,10 @@ Makelore 是 Electron 桌面客户端。Renderer 负责项目操作与状态展
 | Renderer | 项目配置、一键提交状态 | 不接触账号 Token、ZIP、幂等键或本地绝对路径 |
 | Host API | 校验本地项目请求并投影安全响应 | 发布 mutation 还必须通过 Renderer capability；Host token/base 不能单独触发发布 |
 | Project Configuration | 目录选择式创建、Agent/Skill/知识与项目资源配置 | 新建流程不暴露类型、模板或身份选择：Renderer 写入内部默认 `interactive_ai_app`，Main 生成 UUID，并只创建 `.makelore/project.json` 与 `knowledge/`；既有 `custom` 与历史类型继续兼容 |
-| Project Scaffold Skill | 显式生成固定版本的交互式 AI 应用起步文件，并提供发布准备度指导 | 官方 `makelore.project-scaffold` bundled Marketplace Plugin；完整预检、不覆盖、受控回滚，不安装依赖、不联网、不构建、不上传、不提审 |
+| Project Scaffold Skill | 显式生成固定版本的交互式 AI 应用起步文件，并提供发布准备度指导 | 官方 `makelore.project-scaffold` bundled Marketplace Plugin；账号已获取且项目启用后自动提供给每个父 Agent，不需要伙伴分配，child 为空；它不是创建或聊天前置条件。完整预检、不覆盖、受控回滚，不安装依赖、不联网、不构建、不上传、不提审。 |
 | Project Release Builder | Main-owned 安全快照、本地 npm/Vite 构建、双归档与 artifact contract | 固定 npm 11.6.2；Vite 由项目 lockfile 锁定；产物与预检使用同一内存字节 |
 | Works Session & Remembered Password | Main-owned 登录、刷新、注销、七天真实活动滑动续期与可选密码回填 | 登录、刷新、注销统一经过 Works Square；轮换凭据由 Main 安全持有和持久化。记住密码使用独立的 packaged-only OS 加密记录，不进入 Renderer 持久状态或 Works Square；客户端不携带 OAuth client secret |
+| Token Points V2 | Main-owned `/api/works/billing/points` 安全投影 → Renderer 账号菜单 | 会员管理者可查看套餐、本周与总余额及刷新时间；非管理者只获得 `shared_available` 粗粒度状态，套餐、周期和精确点数统一投影为 `null` |
 | Module Access Policy | Main-owned `/api/auth/me` projection → Renderer auth state → module chooser/router | Renderer 只接收 Code/Canvas/Robot 三个布尔值；缺失对象或字段默认开启，服务端 `design` 映射客户端 `painting`，额外旧字段被忽略 |
 | Submission Binding | 保存云端已接受的精确 app/version/review/hash 绑定 | schema v2 只记录成功提交；旧中间态迁移为 `legacy_retired`，不恢复后台任务 |
 | Play URL Projection | 校验服务端公共播放地址 | 只接受同源 HTTPS 和精确 `/apps/{app_id}/`；优先 `play_url`，`runtime_url` 仅一版本回退 |
@@ -24,7 +25,8 @@ Makelore 是 Electron 桌面客户端。Renderer 负责项目操作与状态展
 | Pi Conversation Runtime | 一个长驻 Pi `0.84.2` Agent Server 承载每条 active/warm Conversation 的隔离逻辑 Runtime/Session/JSONL channel | 严格 LF JSONL RPC、generation recovery、Snapshot hydration；正式包从 staged `pi-runtime` manifest/root 定位并校验 Pi 包入口；top-level 逻辑 turn 并发 4、warm idle LRU 8；Server 退出统一使旧 channel 失效并按需单实例重启 |
 | Pi Provider & Managed Resources | Provider catalog、thread-local secret projection、model/resource revision、Prompt/Skill/extension materialization、selected-model tools | 父凭据只进入选中逻辑线程的内存 credential store，child 凭据只进入该短命进程；Works `model_capabilities` 由 Main 严格归一化并作为安全 Provider metadata 持久化。Web Search 仅在精确 capability 存在时随冻结的 selected model/provider/credential 进入 parent tool catalog，并走普通模型计费；不回退 `agent_browser` 或独立 Hosted Provider。服务端 reasoning levels 优先于本地 profile，缺字段则清理 override 并回退；不扫描项目或用户的 `.pi/.agents/.codex`，不把 secret 或原始响应放进 argv、catalog 或 Renderer |
 | Pi Extension, Subagents & Lifecycle | 必需的生成式 Makelore extension、Main 显式选定的已安装 extensions、UI interaction、ephemeral child、write lease 与 background run lease | Makelore bridge 固定为首个 extension，其余选定 extension 全部经 Pi 的 explicit additional paths 加载且 ambient discovery 关闭；child 并发 4、单次最多 8、禁止递归；active/uncertain run 不因页面隐藏或 confirmation timeout 被停止，replacement/stop 必须可解释并清理所有 ownership |
-| Official Bundled Plugins | Acquired code-owned bundled Game Resource / Project Scaffold package → project enablement and Agent assignment → effective parent snapshot | 两者都不经过设备下载、更新、Beta 或 artifact 签名。Game Resource 进入固定 Works Square hosted route；Project Scaffold 仅提供 Skill，其 `.mjs` 来自签名客户端固定资源。Marketplace 下载包仍只接受 P0 文本/图片资源。child 不继承 Plugin。 |
+| Shared Agent Browser | Project-scoped sandboxed `WebContentsView`、Renderer 右侧面板与 Main-owned CDP bridge | 用户和 Agent 操作同一页面；Renderer 必须先提供可见 bounds，Agent `open` 最多等待 5 秒取得可见 viewport。Console/Network 诊断按 owner 引用计数；关闭面板、切换项目/模块、隐藏窗口或后台休眠会清理 view、debugger 与轮询。 |
+| Code-owned Official Project Plugins | Existing Account acquisition or system-included delivery → project enablement → effective parent snapshot | Data Service、Game Resource 与 Project Scaffold 都不要求 Agent assignment，项目启用后自动进入每个父 Agent；child 不继承 Plugin。三者不经过设备下载、更新、Beta 或 artifact 签名；Game Resource 的一次确认由 Main 提交一次、内部轮询并把全部终态输出自动写入冻结的原项目，恢复本地交付不得重新生成或计费；Project Scaffold 的 `.mjs` 仍只来自签名客户端固定资源。需要分配的 Marketplace 下载包保持原规则。 |
 | Device Packages | Conversation install tools → Main-owned inspect/preview/confirm/commit → immutable local generation → parent Skill/Pi-extension resources | 支持 npm、Git、绝对本地 Plugin 目录与 loose `SKILL.md`；没有可见安装入口、Account Library、Release、Admission 或 Marketplace Package Store。可执行 extension 与非空 Skill `scripts/` 拥有桌面用户权限，必须披露并独立确认；生命周期脚本禁用。每个 generation 包含所有显式安装且当前启用的 Skill/extension；新/idle parent 自动刷新，active parent 在 turn settled 后刷新，child 始终为空。 |
 | Unified Plugin Workspace | Project Configuration 的 `插件` ResourceCard → `/project-config/plugins` same-page wide sheet | 复用统一 Plugin controller 与生命周期；Project Configuration 保持挂载，Code 侧栏不再提供独立入口；`/plugins` 和旧 Plugin URL 仅做保留查询条件的兼容重定向 |
 | AI Design Workspace & Living Form | 一个 Workspace 的当前 Direction、Current Specification、持久 Agent Session、conversation timeline、Tasks 与 Assets | 中央区域承载对话和唯一 active 制作方案，320–340 px 右侧 Works rail 承载 Workspace 导航；紧凑布局使用同一右侧 Sheet。Renderer 只持有草稿和已接受投影 |
@@ -81,7 +83,7 @@ Makelore 是 Electron 桌面客户端。Renderer 负责项目操作与状态展
 - `ProjectType` 仍由项目配置持有且 UI/Host API 不提供类型变更。普通新建流程只要求目录并写入内部默认 `interactive_ai_app`；不向用户暴露类型、模板或项目 ID 选择。既有 `custom` 项目继续打开，历史 `mini_game` / `mini_program` 在读取边界归一为 `interactive_ai_app` 且不因读取被改写，缺少类型的旧配置归一为 `custom`。
 - Main 为新项目自动生成 UUID，并为仅缺 `projectId` 的有效旧配置串行补齐；原始 ID、绑定/独立副本选择和 `initialized` gate 不属于普通界面。缺失或无效的其他 metadata 仍进入 Project Configuration。
 - 项目创建只拥有 `.makelore/project.json` 和 `knowledge/`。交互式 AI 应用起步树由用户可选地明确调用 Scaffold Skill 生成；Skill 不是创建或进入聊天的前置条件，其发布准备度结论不执行也不替代 Main build/preflight/package/upload 或 Works Square 校验与审核。
- `makelore.project-scaffold` 是代码所有的 bundled `skill_only` Marketplace Plugin。其官方 `.mjs` 只从固定客户端资源根加载；下载 artifact 的扩展名/资产校验没有放宽，仍拒绝 `.mjs`。
+- `makelore.data-service`、`makelore.game-resource` 与 `makelore.project-scaffold` 共用代码所有的项目级激活谓词；满足既有交付/获取条件并由项目启用后，其完整资源进入每个 parent Agent，不读取伙伴分配。Project Scaffold 是 bundled `skill_only` Marketplace Plugin，其官方 `.mjs` 只从固定客户端资源根加载；下载 artifact 的扩展名/资产校验没有放宽，仍拒绝 `.mjs`。
 - 本地 `projectType` 只选择显式脚手架和内部构建路径，不是可信授权声明；Main 仍需安全打包，服务端仍需独立校验清单和包体。
 - 云端确认上传成功后，本机 submission binding 失败只能产生固定、无路径的 `binding_warning`，不能把请求改判为失败；Renderer 仍继续轮询服务端校验与 Release 固化状态。
 - 公共播放投影只有在上游 `playable === true`、版本名非空且 URL 通过同源 HTTPS、无 userinfo/loopback、长度、精确路径和无 query/fragment 校验时才可播放；不可信数据 fail closed。