Merge branch 'main' of https://git.nianxx.cn/wangxuming/makelore

README.md

@@ -5,7 +5,7 @@
 Makelore 是一个面向软件、视觉创作与智能机器人的 AI 桌面工作台。当前版本为 `2.0.0`，包含三个已开通产品模块。模块入口页采用统一的横向卡片视觉，工作区左上角入口点击后返回模块入口页：
 
 - `Makelore Code｜AI 编程`：管理本地项目、项目智能体、对话、文件上下文、代码变更和运行时。
-- `Makelore Canvas｜AI 绘画`：每个设计项目（Workspace）维护一份从创建起就存在的 Living Form。用户先在中央对话时间线中让 AI 帮助描绘想法，再直接编辑同一时间线内的制作方案；右侧全高作品栏负责新建、切换和管理 Workspace。参考图从本地上传后以 `@图片N` 绑定，具体用法只写在创作提示词中。
+- `Makelore Canvas｜AI 绘画`：每个设计项目（Workspace）维护一份从创建起就存在的 Living Form。左侧项目栏负责新建、切换和管理 Workspace，并在桌面设计模式下以 256px 宽度常驻展开；中央沿用 AI 编程的安静对话画布、自然消息流和底部悬浮输入器，AI 整理出的制作方案作为对话内的轻量可编辑稿持续更新；桌面端右侧同为 256px 的全高历史作品栏集中展示当前项目的制作记录与生成结果。紧凑窗口通过左侧抽屉访问项目列表，历史记录保留在时间线中。参考图从本地上传后以 `@图片N` 绑定，具体用法只写在创作提示词中。
 - `Makelore Robot｜AI 机器`：管理机器人智能体、设备激活绑定、智能体配置与设备分配；机器人工作台的智能体位于 Robot 全局侧栏，选中后在内容区先查看绑定设备、再查看基础设置，当前智能体通过 URL 参数保持可分享选择；绑定设备时默认先选择“引导配网”或“已有激活码”。在 Windows 与 macOS 的引导路径中，Makelore 可在弹窗内扫描并连接附近开放的 `Xiaozhi-*` 配网热点，失败时仍可通过系统 Wi-Fi 手动连接；后续继续复用机器人现有热点配网页面，不修改固件，也不由 Makelore 接收 Wi-Fi 密码。
 
 应用启动默认进入 AI 模块入口选择页。入口页可在未登录状态浏览；未登录用户点击已开通模块时进入客户端原生登录页，可使用账号密码或手机号短信验证码登录。密码登录可选“记住密码”：正式安装包仅由 Electron Main 使用系统受保护凭据存储加密保存和回填账号密码，不写入 Renderer 持久状态，未打包开发版或系统安全存储不可用时禁用该选项。登录请求由 Renderer 经 Host API 交给 Electron Main，再由 Main 调用 Works Square；成功后回到入口选择页。已登录时，Electron Main 会从 Works Square `/api/auth/me` 读取当前账号，只向 Renderer 投影用户名、账号/租户/部门标识、权限名列表与三个模块布尔开关，不透传上游资料或凭据。工作区门禁同时要求有效 Token 和完整用户身份；旧状态缺失身份时会先尝试从 Main 恢复，仍无法确认则清除残留会话并返回登录页。被管理员关闭的模块会在入口页置灰且无法点击，直接访问其工作区路径也会返回入口页。旧服务端未返回策略或缺少单项字段时默认开放；这个客户端门禁不替代服务端 API 授权。
@@ -27,15 +27,15 @@ Makelore 是一个面向软件、视觉创作与智能机器人的 AI 桌面工
 - 客户端更新：Electron Main 按平台与架构选择更新源并保留原始诊断；设置页只显示一条脱敏后的中文状态。正式源缺少对应安装包时保持错误并允许重试，不会误报为已是最新版。
 - 个人资料：姓名、年龄、性别与个人头像按账号同步到云端；首次登录进入模块选择页时会要求先完善姓名，首页欢迎语和主平台左下角账号区优先展示个人资料姓名；头像支持 PNG、JPEG、WebP，保存时自动居中裁剪并以圆形缩略图展示，未设置或加载失败时回退为姓名首字母。
 - 会话观察同步：本地编程会话在一轮问答完成并进入空闲后，后台通过个人资料 PUT 上传该会话截至当前的完整问答快照；只保留用户/助手自然语言文本，过滤代码、路径、日志、工具调用、附件与产物。同步只从本地上行，云端不回写、不恢复或删除本地会话；失败数据留在本地等待重试。
-- AI 绘画：一个 Workspace 固定对应一个设计方向、一条 Agent Session 和一份持久 Living Form。对话与当前制作方案位于同一中央时间线，不是两套状态：聊天提取、用户修改创作提示词和制作参数都提交到同一个服务端 reducer，并由方向版本、字段来源和决策状态形成权威投影。创作提示词是公开规格 `content.concept` 的可编辑投影；媒介、画幅、时长和数量始终以紧凑控件直接显示，不用折叠面板隐藏。
-- AI 绘画生成：服务端从当前规格编译专业图片或视频指令并返回不可变 Quote；客户端只展示创作提示词、参考图绑定、媒介、画幅、数量、格式、时长、警告和设计点，不展示或改写供应商 Prompt、模型、价格原子或存储地址。修改方案会先提交规格并重新核价，确认时只提交 Quote 身份；确认后的方案不再常驻，而是进入时间线中的可展开制作记录。参考图行只负责缩略图、`@图片N` 状态、替换和删除，保留什么、改变什么等语义统一由创作提示词表达。任务与资产始终属于 Workspace。
+- AI 绘画：一个 Workspace 固定对应一个设计方向、一条 Agent Session 和一份持久 Living Form。中央使用与 AI 编程一致的低干扰对话布局：助手回复不套独立卡片，底部输入器是唯一强调层级；当前制作方案以对话内轻量编辑稿呈现，而不是独立硬模块。聊天提取、用户修改创作提示词和制作参数都提交到同一个服务端 reducer，并由方向版本、字段来源和决策状态形成权威投影。创作提示词是公开规格 `content.concept` 的可编辑投影；媒介、画幅、时长和数量始终以紧凑控件直接显示，不用折叠面板隐藏。
+- AI 绘画生成：服务端从当前规格编译专业图片或视频指令并返回不可变 Quote；客户端只展示创作提示词、参考图绑定、媒介、画幅、数量、格式、时长、警告和设计点，不展示或改写供应商 Prompt、模型、价格原子或存储地址。修改方案会先提交规格并重新核价，确认时只提交 Quote 身份；确认后的方案不再常驻，而是进入可展开的历史作品记录，桌面端位于右侧全高栏，紧凑窗口保留在时间线中。参考图行只负责缩略图、`@图片N` 状态、替换和删除，保留什么、改变什么等语义统一由创作提示词表达。任务与资产始终属于 Workspace。
 - AI 绘画健壮性：Renderer 为每次命令生成稳定 operation id，网络结果未知时保留原命令供原样重试，不把未知写入当失败或创建第二次生成。Main 负责 Token 刷新、Agent Gateway REST 提交和有界 Run 查询，并将可恢复事件流投影为 Host API SSE；断线后按事件游标续接并重新读取权威 Workspace。Canvas 只使用 Works Square 云端 V2 契约，没有本地语义适配器或降级路径，上游不可用时明确报错。
-- AI 绘画右侧全高作品栏只展示 Workspace，不再在项目下创建独立设计会话。删除时必须完整输入项目名称；删除后项目、Living Form、任务、参考图和生成作品会从账户中隐藏且无法访问，不影响用户已另存到磁盘的副本。删除当前项目后自动打开最近更新的剩余项目，删除最后一个项目后进入空状态。
-- 项目插件设置：Code 侧栏不再单列“插件”；配置 Agent、Skill、模型与知识的项目配置页内提供“插件”卡片，并在同页宽抽屉中投影官方目录、账号 Library、本机 Device Packages 与当前项目状态。深链使用 `/project-config/plugins` 打开该项目页抽屉；旧 `/plugins`、Marketplace、My Plugins、Project Plugins URL 只做保留查询条件的确定性重定向。来源身份保持 `official:`、`local:`、`retained:` 分离；账号获取、官方设备交付和项目启用仍分别写入既有 authority，不会自动推进下一步。Data Service、Game Resource 与 Project Scaffold 三个代码所有的官方插件在项目启用后对项目内所有父 Agent 生效，不提供伙伴分配；确实采用 assignment scope 的其他 Marketplace 插件继续由伙伴分配控制。任一来源失败不会清空其他来源；本机 Skill/Pi 插件仍只能通过对话安装，页面只管理已安装包并明确其本机全局生效范围。
+- AI 绘画左侧项目栏只展示 Workspace，桌面设计模式下固定为 256px 且不提供收纳入口，不再在项目下创建独立设计会话；右侧全高历史作品栏同为 256px，展示当前 Workspace 的任务与生成资产。紧凑窗口则把项目列表放进左侧抽屉并在中央时间线保留历史记录。删除时必须完整输入项目名称；删除后项目、Living Form、任务、参考图和生成作品会从账户中隐藏且无法访问，不影响用户已另存到磁盘的副本。删除当前项目后自动打开最近更新的剩余项目，删除最后一个项目后进入空状态。
+- 项目资源设置：项目配置页顶部以一横排三张资源卡提供模型、知识与插件入口，不再提供独立的本地 Skill 入口。模型列表完整显示具体模型名称，以及服务端或已验证模型档案声明的可选思考强度；未知能力不做猜测。插件抽屉把插件与 Skill 统一为“可选 / 已安装”两个页签：可选页展示云端目录及仍待安装的账号能力，已安装页同时展示官方 Release、随应用提供的插件和用户自行安装的 loose `SKILL.md` / Pi 包。每项提供“查看详情”和当前真实生命周期对应的添加、安装、添加到项目、启用或状态按钮。详情只展示介绍、主要能力、使用方式和必要设置，不暴露版本、包、权限标识、运行方式或计费实现字段。深链仍使用 `/project-config/plugins`；旧 `/plugins`、Marketplace、My Plugins、Project Plugins URL 会确定性落入对应页签。来源身份保持 `official:`、`local:`、`retained:` 分离，账号获取、官方设备交付和项目启用仍分别写入既有 authority，不会自动推进下一步；本机 Skill/Pi 插件仍只能通过对话安装，页面只管理已安装包。
 - 官方插件运行架构：Renderer 只调用 Main-owned Marketplace facade；Main 负责账号、请求 deadline、签名/摘要校验、不可变 Release、current selection 与原子回滚。Pi parent worker 使用冻结的 effective snapshot，将每个有效 Skill 与已验证 Package Store root 成对传给 resource loader、Extension Host 和 CLI；普通 `skill_only` 下载包不依赖运行时 Policy，也不得执行分发包中的任意代码。Project Scaffold 的 `.mjs` 是代码所有的 bundled 例外，只能从签名客户端固定资源根通过应用自带 Node 执行，不能扩展为 Marketplace 下载 artifact 的脚本权限。正式激活仍等待官方 Ed25519 公钥（production key activation HOLD）；生产私钥只能来自部署 secret，测试使用注入的临时密钥。
 - 原生 Web Search 是冻结 selected model/provider/credential 的 parent-only 模型工具；只有 Works `model_capabilities` 明确声明支持时才出现，使用当前模型的正常计费链，不依赖 Marketplace 获取、Release、Admission、Hosted Provider 或 `agent_browser` 回退。
 - 本机 Device Packages 只由 Conversation 工具发起安装，支持 npm、Git、绝对本地 Plugin 目录和 loose `SKILL.md`。Main 在预览和独立确认后提交不可变本机 generation，禁用生命周期脚本；确认界面明确提示 Pi extension 以桌面当前用户权限执行。新建/空闲 parent 会同时加载所有显式安装且当前启用的 Skill，以及必需 Makelore 扩展之外的全部 Pi extension，active parent 在 turn settled 后切换，child 不继承这些资源，也不会扫描 ambient 项目或用户目录；Renderer 不提供安装源选择器。
-- 提示词博物馆已退出当前 Canvas 产品面：右侧作品栏不再提供“获取灵感”，历史 `/image-prompts` 地址统一返回 Canvas。Main-owned API、媒体校验和共享 DTO 暂作为不可见兼容/安全基础设施保留；服务端边界见 [`docs/prompt-museum-server-contract.md`](docs/prompt-museum-server-contract.md)。
+- 提示词博物馆已退出当前 Canvas 产品面：左侧项目栏不提供“获取灵感”，历史 `/image-prompts` 地址统一返回 Canvas。Main-owned API、媒体校验和共享 DTO 暂作为不可见兼容/安全基础设施保留；服务端边界见 [`docs/prompt-museum-server-contract.md`](docs/prompt-museum-server-contract.md)。
 - 视觉系统：单一浅色主题，品牌蓝 `#3A5578`、星火橙 `#F26A3D`、白色画布与低饱和蓝灰层级。
 - 字体系统：Renderer UI 内嵌 Inter Variable 与经过字符子集化的 Source Han Sans SC WOFF2，按字符范围统一中英文并保留系统中文字体 fallback；代码、路径和日志使用独立等宽字体。
 - 界面语言：仅保留中文；系统语言和历史设置中的其他语言会自动归一为中文。
@@ -87,7 +87,7 @@ Pi 正式包必须继续运行 `pnpm run verify:artifact:pi`、`pnpm run smoke:p
 | `src/` | React Renderer、页面、组件和状态管理 |
 | `electron/` | Electron Main、Preload、Host API、运行时与系统能力 |
 | `shared/` | Main 与 Renderer 共享的契约和项目配置 |
-| `resources/` | 品牌、图标、编码 Skill 和打包资源 |
+| `resources/` | 品牌、图标、代码所有的插件和打包资源 |
 | `scripts/` | 运行时准备、图标生成、打包与验证脚本 |
 | `tests/` | Vitest、Electron runtime 与 Playwright 测试 |
 
@@ -112,24 +112,21 @@ Pi 正式包必须继续运行 `pnpm run verify:artifact:pi`、`pnpm run smoke:p
 - 一键提交时，Makelore 会从待上传构建归档的同一组 Main-owned 内存字节启动临时回环站点，并在两个独立的临时 Chromium profile 中检查桌面和移动视口的主页面加载、运行错误、失败资源与白屏。临时页面不挂载到界面，不读取或写入用户浏览器的 Cookie、历史和登录态；检查结束后始终销毁并清理，也不要求用户预先打开开发预览。
 - 客户端复用 Electron 内置 Chromium，不安装 Playwright 或额外浏览器。预检只改善提交前反馈，可被非官方客户端绕过，也不会上传“已通过”凭据；平台仍把源码、构建归档和清单视为不可信输入，逐字节重算并在人工审核后发布。安装包携带固定 npm 运行时，项目依赖和 Vite 版本由 `package-lock.json` 锁定；依赖准备需要本地网络。
 
-### 项目内置编码技能
+### 插件与 Skill
 
-- 产品内置四个核心编码技能根：`agent-browser`（开发浏览器）、`frontend-slides`（项目演示）、`grilling`（方案质询）和 `planning-with-files`（项目规划），统一从 vendor-neutral 的 `resources/coding-skills/` 打包。`data-service`（开发数据）由固定的 `resources/coding-plugins/data-service/` 插件包持有，不在核心技能根中复制路径或定义。
-- Marketplace 官方插件 Skill 从已签名 Package Store Release 或受控内置定义动态物化，不进入核心技能根；parent worker 的冻结 effective snapshot 必须满足对应账号、设备、项目、Policy，以及该插件确实要求时的伙伴分配条件，child worker 不继承 hosted tool。所选模型的 Web Search 与 Conversation 安装的设备包使用各自独立的 Main-owned 合同，不属于这条 Marketplace 生命周期。
+- Makelore 不再打包独立的 `resources/coding-skills/` 或默认勾选本地 Skill。官方 Skill 作为 Marketplace 插件 Release 从云端目录下发，代码所有的特殊能力只存在于 `resources/coding-plugins/` 的插件包内；插件清单、已验证 Package Store Release 或明确安装的 Device Package 是 Skill 内容的唯一来源。
+- Marketplace 官方插件 Skill 从已签名 Package Store Release 或受控内置插件定义动态物化；parent worker 的冻结 effective snapshot 必须满足对应账号、设备、项目、Policy，以及该插件确实要求时的智能体分配条件，child worker 不继承 hosted tool。所选模型的 Web Search 与 Conversation 安装的设备包使用各自独立的 Main-owned 合同，不属于这条 Marketplace 生命周期。
 - `makelore.data-service`、`makelore.game-resource` 与 `makelore.project-scaffold` 是代码所有的官方项目级例外：满足各自既有账号获取或随应用提供条件并在项目启用后，其完整 Skill/tool 集合自动进入该项目的每个 parent Agent，不要求或展示伙伴分配；禁用项目插件后未来 worker 不再加载，既有 assignment 数据可原样保留但不参与生效判断。游戏资源生成只需一次计费与项目写入确认，Main 会在后台完成状态查询并把全部输出自动保存到发起操作时的原项目；本地交付续作不会重新生成或扣费。其他 Marketplace 插件继续按自身 assignment 规则计算有效资源。
 - `data-service` 只在用户显式请求后触发：先检查并说明最小集合，用户确认后配置一次、复制 SDK 资产，再用本地预览执行 put/read-back；它不用于已发布作品。
-- 创建项目智能体时，`agent-browser`、`grilling` 与 `planning-with-files` 默认启用；`frontend-slides` 作为专项能力可手动启用。用户可以在创建或编辑智能体时调整选择。最终选择写入项目智能体的 `skillIds`。
-- `grilling` 会在复杂实现前逐项确认高影响决策，用户确认前不执行变更。`planning-with-files` 只在复杂、可分阶段或需要跨会话恢复的任务中使用，并把 `task_plan.md`、`findings.md` 和 `progress.md` 直接保存到当前项目根目录，不写入 Skill 安装目录、用户目录或隐藏配置目录。
-- `frontend-slides` 只在用户准备项目展示、汇报或结题时自动调用，生成项目目录中的固定 16:9 HTML 演示和相对路径素材；它不生成 `.pptx`，不访问云部署服务。
+- 需要分配到特定智能体的插件能力仍将公开 Skill id 写入项目智能体的 `skillIds`；项目级插件和用户启用的本机 Skill 则按各自插件合同进入 parent worker。旧项目中已保存但不再由任何插件提供的 Skill id 会被保留为兼容数据，不会触发本地目录扫描或重新打包。
 
 ### 项目智能体与对话
 
-- 新项目默认没有智能体；用户在项目内创建智能体时必须填写名称、预设头像或本地头像、职责说明和精确的 Provider 账号与默认模型。该选择以 `{ accountId, modelId, thinkingLevel }` 保存，不依赖运行时私有 Provider id。本地头像会自动裁剪为 256×256，并优先压缩为 WebP 后随项目配置保存；系统指令与技能属于高级设置。
+- 新项目默认没有智能体；用户在项目内创建智能体时必须填写名称、预设头像或本地头像、职责说明和精确的 Provider 账号与默认模型。该选择以 `{ accountId, modelId, thinkingLevel }` 保存，不依赖运行时私有 Provider id。本地头像会自动裁剪为 256×256，并优先压缩为 WebP 后随项目配置保存；系统指令与需要按智能体分配的插件能力属于高级设置。
 - Makelore 为每个项目智能体附加平台管理的中文语言规则：自然语言默认使用简体中文，包括可见的思考过程、进度说明、工具调用说明和最终回复；代码、命令、路径、日志、错误原文与必要引用保留原始语言。用户或项目智能体系统指令明确要求其他语言时按该要求执行；模型仍不遵循时视为 Provider 模型行为。
 - 有效项目可以直接进入对话工作区；`initialized` 只作旧 schema 兼容，不参与导航。尚无可用智能体时，聊天页保留品牌引导并显示非阻塞的设置入口，不伪造智能体或 Conversation；用户可以稍后进入项目配置完成设置。
-- 项目配置页的新增与已有智能体编辑统一使用居中弹窗；编辑保存先更新当前页面草稿，点击底部“保存项目配置”后统一持久化。“可用模型”抽屉只展示已配置模型、提供方和文本/多模态能力，不提供项目级选择。智能体的默认模型只作为新对话的初始值；核心聊天页可为当前对话独立切换模型和思考强度，切换不会改写智能体默认值或其他对话。
+- 项目配置页的新增与已有智能体编辑统一使用居中弹窗；编辑保存先更新当前页面草稿，点击底部“保存项目配置”后统一持久化。“可用模型”抽屉只展示已配置模型的具体名称和可信的可选思考强度，不提供项目级选择；无法在配置阶段确认的强度明确提示进入对话后查看。智能体的默认模型只作为新对话的初始值；核心聊天页可为当前对话独立切换模型和思考强度，切换不会改写智能体默认值或其他对话。
 - 项目智能体只保存自身的精确默认模型；未完成模型选择的智能体保持待配置状态，不从项目级 `defaultModel` 或运行时私有配置回退。
-- “可用技能”入口使用模块图标；点击技能后先展示目录结构，再展示主文件 `SKILL.md` 原文，并支持返回技能列表。
 - 一个智能体可以拥有多条互相独立的 Pi Session；智能体和对话元数据分别由 `.makelore/project.json` 与 `.makelore/conversations.json` 保存，稳定的智能体与对话 id 保持本地历史连续。
 - 核心聊天页左侧把本地对话嵌套在展开的所属智能体下，并在该智能体子组中提供新建入口；首次选择没有对话的智能体时立即创建本地元数据，同时异步准备对应运行时。即使准备被阻塞或超时，输入框仍可编辑，草稿也不会丢失。
 - Conversation 历史按需从 Main-owned Snapshot 读取。Session hydration 沿完整 active branch 投影可见历史；公开 SSE 只交付 Snapshot 与按 Conversation、worker generation 分组的 `patch-batch`。Renderer 整批校验连续 seq 后在一次状态事务中顺序应用，缺口或畸形批次只恢复目标 Conversation，隐藏 Conversation 的流式更新不会提交选中时间线。Main 发出 `lifecycle:sleep` 时页面关闭旧事件流；视图挂载、项目上下文变化、窗口重新可见或获得焦点时，已选 Conversation 会静默重读权威 Snapshot，从而收敛后台已结束的任务，但绝不重放已接受或状态不确定的 mutation。时间线默认挂载最近 120 个节点，接近顶部时按 100 个节点自动追加更早内容并补偿新增高度，保持当前阅读锚点。