sundynix/sundynix-agentix
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
390 Commits 5 Branches 0 Tags
main
Commit Graph

98 Commits

Author SHA1 Message Date
Blizzard 348f1e0249 feat(jarvis): 能动的手(写文件/执行命令,三道闸) + 定时任务调度 
此前 JARVIS 只能看不能动(本地工具纯只读)、也不会调度,补齐这两块。

【能动的手】local_write_file / local_exec,在用户自选工作目录内动手:
- 独立开关:只开只读访问不给这能力,须单独勾「允许写文件/执行命令」
- 原生确认框逐次审批:展示命令原文,默认按钮=拒绝,60s 无人应答按拒绝
  (防无人值守被静默批准);可选「本次会话都允许」,关开关即失效
- 硬黑名单:删库/提权/管道下载执行/写系统路径/装开机项/摸凭据等,
  用户点同意也不执行,连审批框都不弹。20 条危险命令 + 10 条正常命令单测
- 命令 cwd 锁沙箱根、60s 超时、输出 16KB 截断;非零退出不算失败(编译/测试
  错误对模型是有用信息)

【定时任务】sundynix_schedule + leader 锁 ticker(30s 扫) + 三个平台工具:
- 存自然语言指令而非编排图,到点走语音同一条关卡(preflightCore/launchCore)
  执行,跑完经语音事件主动播报结果
- 先推进 NextRunAt 再提交:提交失败也不会下轮重复捞起反复烧钱
- 停机期间错过的不补跑(补一堆历史提醒是骚扰),直接顺推到下一个未来时刻

【顺带修一个必崩的 bug】dispatcher 工具超时硬编码 3 秒,而审批要等人点
(60s)+执行(60s)——local_exec 100% 超时。改成工具在 list_tools 自报
timeout_sec(不在 dispatcher 硬编码工具名),超时链外松内紧:
dispatcher 160s > 网关 150s > runner 转发 140s > 桌面端 60+60s。

live 验证:①「写个 hello.sh 打印日期然后跑一下」→ 写+执行两步,文件真落磁盘
②「建个定时任务 35 秒后跑 wc -l」→ 到点自动触发 → 自主调 local_exec → 出结果

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
 2026-07-25 13:57:49 +08:00
Blizzard 52988af196 feat(voice): 按住空格键语音输入(PTT)，松开发送 
按住空格键开始聆听，松开发送 end 指令提交任务。不销毁麦克风上下文，
下次重按直接复用，避免 getUserMedia/AudioContext 重建延迟。
支持输入框/文本区内不抢空格、窗口失焦自动取消。

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>
 2026-07-24 21:03:27 +08:00
Blizzard aba88193d8 feat(voice): 提升桌面端语音交互与本地任务执行支持 2026-07-24 16:40:25 +08:00
Blizzard b8095688ba fix(voice): TTS 只播前几字就断——tts_end 别打断，等排队音频放完 
火山合成远快于真实语速：一句话的 PCM 秒级全推到客户端，被 nextStart
预约到未来时刻顺序播。此前 tts_end 直接 resetPlayback() stop 掉所有还
没播的 source，于是只听到前三四个字就断。

改：tts_end 走 drainThenReady()——不打断，按 nextStart 算剩余时长等排队
音频自然放完，末段结束再回 ready；speaking 态维持到真播完（HUD 频谱靠它）。
resetPlayback 只留给 barge-in/close，并清 drainTimer 防迟到定时器改状态。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-23 09:01:02 +08:00
Blizzard 4153046e0e feat(desktop): 全屏 JARVIS HUD 补齐概念版完整度——开机自检 + 遥测 + 解码文字 
对齐概念版 artifact 的完整效果:
- 开机自检序列(INITIALIZING→AUDIO/UPLINK/VOICE MODEL OK→ONLINE),进场淡出,reduced-motion 跳过
- 右上遥测读数(SIGNAL/LATENCY/GAIN/SESSION),SIGNAL/LATENCY/GAIN 由真实电平实时驱动+抖动
- 回答走解码式打字机(逐字定稿、前沿字符跳乱码 glyph scramble),接真实 reply 流
- 修 ESC 按钮与遥测重叠:ESC 常显于右上角,遥测下移到其下,不再压住 SIGNAL

真机(浏览器预览)验证:遥测四行齐全无遮挡,STANDBY 呼吸,品牌位星期五。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 15:03:42 +08:00
Blizzard a4b9897eaf fix(voice): 麦克风打不开时给准确提示——多约束尝试 + 无设备预检 
- 无麦克风设备(如 Mac Studio/Mini 无内置麦)时,getUserMedia 会以 OverconstrainedError
  "Invalid constraint" 误导报错;先 enumerateDevices 预检 audioinput,没有就直说"没检测到麦克风"
- getUserMedia 依次试 {audio:true}/{audio:{}}/带回声消除,全败则暴露真实错误名;
  NotAllowedError 单独提示去系统设置授权

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 14:56:08 +08:00
Blizzard fe5c4215f7 fix(voice): 麦克风约束兜底——WKWebView 不认高级约束("Invalid constraint")退 {audio:true} 
原生壳(Wails WKWebView)的 getUserMedia 不认 channelCount/echoCancellation 等高级约束,
抛 "Invalid constraint"。先试高级约束(浏览器更好),失败退回最简 {audio:true}(最兼容)。
配合上一提交的 .app 打包+NSMicrophoneUsageDescription,原生壳麦克风打通。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 14:47:19 +08:00
Blizzard 92341be32c fix(desktop): 麦克风优雅降级 + Info.plist 加 NSMicrophoneUsageDescription 
- voice.ts: startMic 前探测 navigator.mediaDevices?.getUserMedia——WKWebView(原生壳)非安全
  上下文里它可能未暴露,直接调会抛 "undefined is not an object" 崩掉;改为给可读提示
- build/darwin/Info.plist + Info.dev.plist: 加 NSMicrophoneUsageDescription,否则 macOS
  不会授权麦克风(package 后的 .app 才能弹权限)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 14:44:27 +08:00
Blizzard ef2b815bd7 fix(desktop): 补 build:dev 脚本，修复 wails3 dev 启动 
wails3 dev 的 DEV 构建走 `npm run build:dev`，而 package.json 只有 build（此前只用过
task build/package，dev 从没跑通）。补 build:dev=vite build --mode development。

注:原生 dev/build 还有个 go.work 坑——desktop 不在工作区，直接 go build 需 GOWORK=off；
且 wails3 generate bindings -clean 会误删已提交 bindings(因模块不在 go.work 解析不到 services)。
可靠的本地跑原生窗口:cd sundynix-desktop && (cd frontend && npm run build) &&
  GOWORK=off CGO_ENABLED=1 go build -tags production -buildvcs=false -o /tmp/jarvis_desktop . && /tmp/jarvis_desktop

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 14:39:44 +08:00
Blizzard 2a743a33f6 feat(desktop): 全屏「JARVIS 模式」HUD——钢铁侠风,接真实语音音频 
弧反应堆核心 + 同心旋转环 + 随真实声音反应的环形频谱 + 状态编排 + HUD 边框/扫描线/网格。
可视化数据全来自真实语音会话(不是模拟)。

- voice.ts: micCtx/playCtx 各挂 AnalyserNode + level()——说话读下行TTS、其余读麦克风,
  实时电平 0..1(HUD 每帧读,复用缓冲)
- JarvisHud.tsx: Canvas 2D HUD,按 VoiceState 编排(待命呼吸/聆听炸开/思考散粒子+雷达/说话频谱),
  单一青色强调+思考态琥珀;显示助手名(星期五)+ 我说的 + 打字机回答;尊重 prefers-reduced-motion
- VoiceDock: 加"全屏 JARVIS 模式"按钮(建客户端+拉名字);Esc 退出

真机验证:全屏 HUD 正常渲染,STANDBY 呼吸,品牌位显示自定义名"星期五"。晚上点中心说话即随真声反应。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 14:28:39 +08:00
Blizzard 24351014e0 feat(desktop): JARVIS 设置面板——名字/人设/自带豆包配置(用户级) 
- lib/api.ts: getMyJarvis/saveMyJarvis + JarvisConfig 类型
- shell/JarvisSettings.tsx: 弹窗——名字 + 语气人设 + 折叠「高级:我的豆包配置」
  (api_key/asr/tts resource-id/音色;掩码不回传=沿用已存;填齐才覆盖系统)
- VoiceDock: 麦克风上方加设置齿轮,打开面板

真机验证:面板正确加载后端配置(名字=星期五、人设),高级区四项占位清晰,存档下次说话生效。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 14:12:03 +08:00
Blizzard 99ce07c1b0 feat(voice): 每用户 JARVIS——自定义名字/人设 + 自带豆包配置回落 + 语音不串主记忆 
把 JARVIS 做成每用户独立:名字(你叫JARVIS别人叫星期五)、人设(与主偏好记忆分开)、
可自带豆包配置(齐全则用用户的,否则回落系统)。

- store/user_jarvis.go: sundynix_user_jarvis(user_id唯一;name/persona/火山creds,APIKey密文)
  + Get/Save(upsert) + AutoMigrate 注册
- voice_config.go resolveJarvis(uid): 火山配置用户优先系统兜底 + 取名字/人设
- voice_task.go: voiceSystemPrompt(name,persona)——简短是硬基线,名字/语气由用户定;
  buildVoiceGraph 带 name+persona;voice.go 会话升级时按用户解析
- dispatcher compose_compiler: 语音任务(useVoice)不拉主偏好记忆,改用用户 persona(保留短期历史)
- jarvis.go + 路由: GET/PUT /api/v1/me/jarvis(用户级,api_key 脱敏/留空沿用)

真机验证:设 name=星期五+干净人设→语音答"我是星期五…"(自称新名、无糙话、4.4s),
has_own_voice=false 用系统豆包。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 14:06:32 +08:00
Blizzard b6927247da feat(voice): 下行打字机文本流 + 首块快出，即时反馈 
- protocol.go: 新增 ServerReply("reply") 消息——Agent 回答增量文本
- voice_tts.go: token 一到即转发客户端(打字机),同时攒句喂 TTS(音频随后)
- sentence_buffer.go: 本轮首句用低阈值(5 rune)抢首字延迟,之后回常规 12
- 桌面端 voice.ts onReply + VoiceDock 对话气泡(我说的 + JARVIS 打字机回答,思考态光标)

管线已最优:文字在 LLM 首 token 即刻上屏、音频紧随。剩余时延=大模型 TTFT(deepseek-v4-pro
4-7s 且波动大,疑似推理模型),这是模型的账、非管线——真要"马上响应"需换快模型。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 11:25:20 +08:00
Blizzard 9458bf21f3 feat(voice): 桌面端 JARVIS 语音坞——麦克风上行 + TTS 播放队列(Phase 1 收口) 
右下角悬浮麦克风：点按说话→转写→提交任务→跳运行页→朗读回答，接入既有运行·观测流。

- lib/voice.ts: VoiceClient——一条 WS 承载上行 PCM16k/下行转写/下行 TTS PCM24k；
  ScriptProcessorNode 采麦(48k→16k 降采样+Float32→Int16)；AudioBufferSourceNode
  排队调度做无缝连续朗读；start/end/barge_in/bye 控制；ready/transcript/task/speaking/tts_end
- shell/VoiceDock.tsx: 悬浮麦克风 UI(聆听/思考/朗读态 + 转写气泡 + 打断)，懒建客户端(用户手势启 AudioContext)
- App.tsx: onVoiceTask 把语音 task 挂回 attachRun(后端已提交,前端只 attach)；挂载 VoiceDock

真识别/合成需部署联调(真连火山+admin录入语音配置)；本地过 tsc/build/68 测试。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-22 09:29:47 +08:00
Blizzard ebbeed90e9 feat(auth): 登录账户级失败锁定 + 密码强度 8-72 位(B4) 
补上 A5 只做了 IP 限流、没做账户锁定的缺口(审计 B4)。

- 账户级失败锁定：连续登录失败达 5 次即临时锁定 15min(Redis 计数+TTL)，锁定期直接拒绝
  不再校验密码，成功登录即清零。与 A5 的 IP 限流互补：IP 限流挡'一个 IP 猛打'，账户锁定
  挡'分布式慢速猜一个号'。权衡：per-account 可被人为锁死受害者(lockout DoS)，故窗口设短
  自动解锁+叠加 IP 限流；Redis 降级则不锁定(尽力而为，IP 限流仍在)。
- 密码强度：注册从'至少 6 位'提到 8-72 位。上限 72 字节——bcrypt 超 72 字节静默截断，
  不拦会让超长密码实际只用前 72 字节。桌面端注册提示同步改 8-72 位。

存量用户不受影响(只校验注册/改密时的新密码)。build+vet+test 绿；desktop tsc 绿。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-21 15:56:29 +08:00
Blizzard ac38d5e663 fix(prod): 后端生产级 A 类硬伤全清（7 项：授权/崩溃点/全表扫/限流/鉴权/限额） 
部署前生产级审计（可靠性/数据层/安全三路）后，清掉 7 处代码级硬伤：

A1 后台定时器 goroutine 无 panic recover → 单个 DB panic 崩整个 gateway。加 safeGo/
   safeCall，包住订阅/掉单补偿/微信推送/探针 goroutine，单轮 tick 再兜一层。
A2 提示词控制面(建/激活/停用，热广播全服务)只 RequireAuth → 任意登录用户改全局提示词。
   三写端点+列表挂 RequireAdmin。
A3 HITL 审批端点无角色门 → viewer 可放行烧钱执行。加 RequireTenantRole(member)。
A4 审计/护栏列表 limit 无校验，limit=-1 让 gorm 取消 LIMIT 全表扫。加 clampLimit/
   clampOffset，AdminTasks/AdminSpaces 补上界。
A5 限流 Redis 一挂就完全放行(fail-open)。加进程内固定窗口兜底(fail-safe) + 登录/注册
   按 IP 专用严限流(10/min)。
A6 公开 by-id 端点(stream/exec/report导出/kb导入流)无鉴权无租户过滤。加
   AuthFromHeaderOrQuery(从 ?token= 取 JWT) + task/report 按 owner 归属校验；桌面端
   5 处 EventSource/下载 URL 经 tokenQuery 附 JWT。
A7 文件上传无大小上限(整文件进内存 OOM 面) → 50MB 闸(KB_MAX_UPLOAD_BYTES)+ LimitReader；
   http.Server 加 ReadHeaderTimeout/ReadTimeout/MaxHeaderBytes(不设 WriteTimeout 保 SSE)。

带单测：clampLimit/safeCall/procLimiter/AuthFromHeaderOrQuery/TaskOwner。
build+vet+全量 test 绿；desktop tsc 绿。B(迁移工具/实时探针/出网韧性/登录锁定/leader选举)
与 C(TLS/PG HA/K8s/备份自动化/可观测)分期后做，参照 production_readiness.md。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-21 15:04:47 +08:00
Blizzard bd829cfecb feat(invite): 租户成员二维码邀请（可复用团队码，扫码关注即入组） 
owner/admin 在桌面端生成一张微信带参二维码发给团队，成员用微信扫码关注
即自动加入租户，并收到「✅ 已加入团队【X】」被动回复。与登录二维码同一微信机制，
scene 加 inv_ 前缀分流；扫码入组走被动回复，不需要 access_token、不碰 IP 白名单。

- store: TenantInvite(可复用码=有效期+人数上限+可撤销三道闸)；RedeemInvite 幂等入组、
  同一人重复扫不重复消耗名额、复活已移除者；带单测钉死过期/撤销/满员/幂等。
- handler: 建码/列表/撤销端点(RequireTenantRole admin)；WxMPEvent inv_ 分支。
- 顺手修潜在生产 bug：微信用户此前都建成空邮箱，User.Email 整列唯一索引下第二个微信
  用户就撞唯一约束建号失败(登录"全通"只因当前仅一个微信用户)。改为按 openid 合成占位
  邮箱 wx-<openid>@wx.local，绕开冲突且不动索引。邀请功能会批量建微信用户，非修不可。
- desktop: 顶栏「邀请成员」入口(租户 admin/owner 可见) + 二维码弹窗(生成/大图展示/撤销)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-21 11:47:21 +08:00
Blizzard a34d7045f1 feat(desktop): 用量页显示订阅状态与到期倒计时（购买仍归 Web 面） 
桌面端只读展示：套餐、发放节奏、已发放次数、到期倒计时（≤7 天转橙、≤3 天转红），
「去续订」跳系统浏览器到 Web 面账单页。

刻意**不在桌面端做购买流程**。购买入口已在 Web 面，再复制一套扫码弹窗就违背了
「一个功能一个入口、一份数据一个查法」——也正是我在积分包/订阅之间特意合并弹窗
所避免的那种重复：真要两套，之前修过的轮询问题就得修两遍。

但"还剩几天到期"必须放在桌面端：这是用户实际干活的地方，而订阅到期即失效、
没有任何扣款或续费通知，看不见就等于没有。

真环境验证：桌面端用量页显示真实订阅（已发放 3 次）、余额 2,981.34 与账本一致。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-20 16:47:05 +08:00
Blizzard a1c35852ef chore: 删死代码 —— OpenReport/ReadLocalFile/isDesktop/openReport + admin Soon (P2) 
完成度审计确认全链零生产调用:
- app.go OpenReport(仅被死包装引用)、ReadLocalFile(仅测试引用);
  desktop.ts openReport 包装、isDesktop 导出(实际用 isMacDesktop)——全删。
  绑定重新生成(OpenReport/ReadLocalFile 归零,PrintReportPage/SaveReportAs/
  Notify 保留)。删对应的 app_test TestReadLocalFile。
- admin Soon.tsx(规划中占位组件)已成未引用死组件——routes.tsx 9 条路由全
  ready:true,import 未用。删组件+import。

openInSystem/filepath/os 仍被 PrintReportPage/download 使用,不孤立。
desktop go test + tsc + 68 vitest、admin tsc + 41 vitest 全绿。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-18 11:56:51 +08:00
Blizzard b4012dbbba fix(desktop): 报告 PDF 导出在壳内改走原生桥 —— WKWebView 拦死 window.open 
实机验证抓到的:桌面壳内点 PDF 报「打印窗口被拦截」——Wails v3 的 WKWebView
把 window.open 拦成 null,前端弹打印窗那条路在壳内根本走不通(浏览器预览没事)。

- app.go 加 PrintReportPage(filename, html):打印视图 HTML 落临时文件(文件名
  过滤路径字符),openInSystem 交系统默认浏览器打开,页面 onload 自动唤起打印框,
  用户直接「存储为 PDF」。CJK 零字体依赖的原有优势不变。
- desktop.ts printReportHtml 改 async:inWails 走原生桥,浏览器维持 window.open;
  RunsView 调用点随之 async + 错误透 toast。
- 绑定重新生成(注意要 `wails3 generate bindings -ts`,裸跑默认吐 JS 且要
  GOWORK=off,否则 go.work 干扰找不到 Service)。

验证:go test/tsc/68 例 vitest 全绿;壳内被拦是用户实机复现的。
⚠️ 原生桥新路径(临时文件→浏览器→打印框)用户尚未实机点验,重新打的包已就位,
下次跑报告顺手验。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-17 09:40:15 +08:00
Blizzard d14a10479e fix(desktop): 补回报告页剥离时漏搬的 PDF 导出与完成系统通知 
759483b 把报告页剥成纯启动器时，Word/Markdown 导出搬去了运行页，但漏了两个：
printReportHtml(前端打印出 PDF，CJK 零字体依赖)和 notify(完成弹系统通知)
外部调用点归零，成了被孤立的活功能。

- 运行页报告正文面板补 PDF 按钮：previewRef 抓已渲染 DOM 送打印视图，
  与剥离前同一条路径。
- 完成通知挪进 attachRun 的 token 流 done 回调并加 label 参数：原先只有
  报告会通知，但「跑几分钟、人早切走了」对编排任务一样成立，且 attachRun
  是所有运行的唯一汇合点，放这儿不会再漂移。恢复的待审任务也带主题。

验证：tsc 干净、68 个 vitest 全过、两函数调用点恢复非零。
⚠️ 未实机点验(需登录态)：PDF 按钮实际点击出打印视图、通知实际弹出，
下次起服务后补验。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-16 16:28:28 +08:00
Blizzard 027ccc0ccc chore(desktop): 版本号三处对齐 0.1.1，追平已存在的 v0.1.1 tag 
git tag 已打到 v0.1.1，但 APP_VERSION/package.json/build/config.yml 全停在
0.1.0 —— 按更新提示的比对逻辑这会错乱。三处统一 0.1.1，并跑
wails3 task common:update:build-assets 重新生成原生元数据(Info.plist 等，
CFBundleShortVersionString 已核实落到 0.1.1，包名/标识符未被冲回模板值)。
生成器顺手拉的 build/ios/ 脚手架已删，不做 iOS。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-16 16:28:03 +08:00
Blizzard 759483bf92 refactor(desktop,gateway): 用户端去重 —— 一个功能一个入口，一份数据一个查法 
用户反馈「UI 太乱」。数出来的：report/kb/memory 各 4 个入口、studio 5 个；
运行历史两套渲染。乱的机制是同一件事写了两遍，改一处另一处必然掉队。

**一份数据一个查法**
- 工作台「最近任务」和运行页「运行历史」是同一批数据，却各查各的：
  前者走 store.RecentTasks()，后者走 RecentRuns()。于是我给运行历史加的
  topic 字段工作台完全没跟上，还在 mono 显示 report_<hex>；而且 RecentTasks
  没有租户过滤，口径也不一致。现在统一走 RecentRuns，RecentTasks 删掉
  (它只有那一个调用点)。前端 recent_runs 也改用 RunSummary 同一个类型。

**一个功能一个入口**
- 工作台删掉「入库知识/生成报告/管理记忆」按钮排 —— 跳的目标和上面四张
  能力卡片完全重合，同一页给两个入口。
- 「最近任务」现在点击直达运行页对应那条(App 加 goto(view, taskId) →
  RunsView focusTaskId)，而不是只把页面切过去让用户自己再找一遍。

**报告归 RUN，只做启动器**
- 报告是「执行」不是「构建」，从 BUILD 组移到 RUN。
- 报告页砍掉「执行轨迹」「报告正文」两个面板 —— 和运行页完全重复，而且
  那套是组件本地 state，切页面就没。现在它只有主题输入框。
- 报告改走 App 的全局运行态(新增 onRunReport，与 onRun 同构、复用 attachRun)：
  提交 → 跳「运行 · 观测」→ 实时看轨迹/正文/导出。App 里 onRun 早就写着
  「发起即跳运行页，观测统一收敛在此页」——这条方针一直在，只有报告没遵守。

**顺带清死代码**
- 市场(规划中)从导航下架，ViewKey 里的 "market" 和 Boxes 图标一并删。
- PLACEHOLDERS 整块死代码：它列的 home/kb/report/runs 全都早已真实实现，
  market 是唯一还可能用到的、下架后那个 Placeholder 分支永远走不到
  (tsc 报 "Spread types" 就是因为 PLACEHOLDERS[view] 已成 never)。
  连同 views/Placeholder.tsx 一起删。

live 验证(真账号，桌面端实机)：报告页输入主题 → 提交 → 自动跳运行页 →
顶部「当前运行 · live」→ 轨迹实时跑 → 报告正文流式出 + 导出按钮在位 →
report_7a0110a10b534f90 落库带 topic「归口测试」，POST /api/v1/reports → 202。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-16 14:08:16 +08:00
Blizzard fd99ba6226 feat(desktop,gateway): 报告归口运行页 —— 能找回、能复盘、能导出 
承接上一个提交(报告终于落库进运行历史)，把「所有执行归口运行页」做完整：
只能看不能存，不算归口。

- 运行页的输出面板：报告类运行显示「报告正文」并在右上角出 Word/Markdown
  导出。报告页那两个导出按钮依赖它自己一切页面就没的本地状态，所以从历史
  里找回来的报告，只能在运行页导。
- 运行历史列表显示报告主题。此前只有 report_<hex>，谁也认不出是哪份报告。
  主题从 graph->>'topic' 取(报告的 graph 就是占位 DSL {"topic":"…"}，普通
  任务 DSL 没有顶层 topic → 空串，不会误伤)。
- isReportRun() 按 task_id 的 report_ 前缀判定 —— 这是既有契约，导出接口
  /reports/:id/export 本来就按同一个 id 寻址。+4 单测(含"不能只看是否包含
  report"的误判防线)。
- reportFilename 从 ReportView 提到 lib：运行页也要用，不能私藏在一个 view 里。

live 验证(真账号，桌面端实机)：运行历史首条显示「Redis 缓存穿透的三种解法」
→ 点开复盘 8 节点 + 全文 → 点 Word → **原生另存为对话框弹出**(文件名预填
主题)→ 保存 → 落盘 5KB，file 认 Microsoft Word 2007+，解 zip 得
word/document.xml，正文 2446 字。

**顺带把 wails3 迁移最后一个盲区验掉了**：v3 把 runtime.SaveFileDialog 重写成
application.Get().Dialog.SaveFile().SetFilename().AddFilter()
.PromptForSingleSelection()，此前从没被点过一次，记忆里只敢写"理应工作"。
现在实测通了。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-16 13:20:57 +08:00
Blizzard bf3b0048fd fix(desktop): 原生下载失败会在用户选定路径上留半截文件 
桌面端 Go 侧此前零测试。补 5 个（download/ReadLocalFile/Ping），
逮到一个真 bug：io.Copy 中途断开时，用户选定的路径上会留下一个半截的
.docx —— 带着用户自己起的名字躺在那儿，虽然前端会弹错误，但以后双击打不开，
而用户会以为是导出功能坏了。现在失败一律 os.Remove 不留残file。

同批修的两处（同一段代码，都没测试盖到）：
- Close 的错误被 defer 吞掉。写文件时 io.Copy 成功不代表数据落盘，
  flush 失败只在 Close 上报——吞掉就是静默截断，且 download 返回 nil(成功)。
- http.Get 用默认 client，没有超时。上游卡住的话「另存为」会永远转，
  用户只能强杀 app。改用带 3 分钟超时的 client。

顺带核实过一个可疑点、结论是不用改：download 走裸 http.Get 不带鉴权头，
但报告导出路由 `/reports/:id/export` 是故意公开的（router.go 注释：
"EventSource/下载无法带 Bearer"），所以能通。

对话框本身(application.Get().Dialog)要真窗口，自动化盖不到，仍需手点。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-16 12:06:21 +08:00
Blizzard d52af12f3d fix(desktop): 打包元数据还是 wails3 脚手架模板值，app 根本起不来 
现象：wails3 package 出来的 .app 双击报「可执行文件不存在」，macOS 直接拒绝启动。

根因是我迁移 v3 时埋的：build/darwin/Info.plist 里 CFBundleExecutable 写着
"wails3ref"、bundle ID 是 "com.example.wails3ref"，全是脚手架模板默认值，
而实际二进制叫 sundynix_desktop —— 对不上，macOS 认为 bundle 坏了。

我当时在 build/config.yml 里填了正确的产品信息(com.sundynix.agentix /
sundynix-agentix)，但漏了那个文件顶部写明的一步：改了 info 要跑
`wails3 task common:update:build-assets` 重新生成资产。补跑之后不只 macOS，
Linux 的 desktop/nfpm、Windows 的 info.json/nsis/manifest 里的
"My Product"/"My Company"/"wails3ref" 也一并换成了真实产品信息 ——
这些留到打包分发才发现就麻烦了。

Assets.car/icons.icns 一并提交：体积变化大(1.63→2.03MB / 52→45KB)不是噪声，
是真被重新生成了；但逐像素比对确认图案没变(平均差 0.6/255)，无回归。

顺带删掉重生成又造出来的 build/ios —— 项目是 desktop-only。这次它只有
plist/storyboard/pbxproj、没有 .go 文件，不会像当初那样让 go build ./... 挂掉，
但也没必要留。已验 go build ./... 通过。

已知待办(非本次引入)：app 图标至今是 Wails 默认的 "W" logo，从没做过自定义。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-16 11:42:21 +08:00
Blizzard bfbca08d72 feat(desktop): 办公室换 AI 房间背景，手绘 SVG 场景全部退役 
第三版房间才可用。前两版地板都只占画面 13%，而场景需要 ~60% 的地面
才摆得下工位——但那不怪模型，是我提示词自相矛盾：同时要求"正面平视"和
"下方 60% 是地板"，几何上不可能同时成立（平视时地板向地平线收缩）。
改成"俯视 30 度、娃娃屋视角"后一次就对（实测地板 53% / 墙 47%）。
参考项目的 office.png 本来就是俯视娃娃屋 + 正面角色，它早验证过这个组合。

不拉伸图去迁就场景，而是改场景去迁就图：VB 720×510 → 940×512，正好是
房间图的比例(1.835)。拉伸 30% 的话墙上挂钟会变成椭圆，一眼假。
所有坐标按图里量出的百分比换算：FLOOR_Y=242(地平线 47.3%)、
DOOR_X=279(门中心 29.7%，角色从画上那扇真门里走出来)。

量着修的两个碰撞：
- 白板压住门和窗。实测墙上被门 214~343、钟 443~515、窗 612~791、
  绿植 863~932 占着，最大空白段仅 214 宽，放不下 340 的白板。选择盖掉
  挂钟(静态装饰、零信息量)，白板落在门与窗之间的 347~613。
- 协调者的桌子撞上正下方工位的气泡。可行区间只有 (242, 276)：
  低于 242 会飘到墙上，高于 276 撞气泡。取 268。

字号 ×1.3 补偿：viewBox 从 720 加宽到 940 后，同样单位在真实面板
(~520px)里会缩小 28%，不补的话白板正文只有 7px。验收也是在 520px
下做的，不是在预览页那个宽容的尺寸下。

顺带清掉 4 个死常量(WALL/FLOOR/DESK_TOP/DESK_FRONT)——房间换贴图后没人用了。

资源合计 148 KB(7 立绘 + 1 房间，全 WebP)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-16 11:17:41 +08:00
Blizzard 8b19c572f4 feat(desktop): 办公室换 AI 立绘素材(告别手绘 SVG 小人) 
用户三次反馈手绘 SVG 不好看 —— 是对的，我不是插画师，程序化矢量画不出
商用品质。技术栈换来换去(3D/Lottie/Spine)都绕不开这点：卡的是美术。

素材：用户用 Nano Banana 生成，链式参考锁风格(先出主管定基准，其余 5 个
+ 桌子 + 房间都拿它当参考图)。版权归用户账号，干净。

为什么最终没上 Spine(用户原本要求照搬 ai-office-react 的实现)：
- Spine 运行时不是 MIT。原文要求"每个用户须自购 Spine Editor 授权"，
  对要卖的产品等于不可行；走另一条要我们买 $69/$330 按座授权。
- 那套 chibi-stickers 素材是 Spine 官方示例(皮肤名里有 spineboy 和
  Spine 团队成员名)，只授权用于评估学习。参考项目 README 自己写着
  "注意素材版权问题！"。
有了立绘就不需要骨骼动画：走位/时序/状态全是现成的 CSS 关键帧，
Chibi 那个口直接换贴图，零 Pixi 零 Spine 零授权。

抠像(scratchpad/art/key.py)：只抠「与画面边缘连通」的绿。
绿衬衫角色实测 (41,184,60) vs 绿幕 (9,240,2) —— 两者都"绿压过红蓝"，
按颜色阈值必然把衣服抠出洞(实测躯干 81.3% 被误杀)；连通域一刀切干净，
对绿植/绿屏同样安全。含软边 + 去绿边，7 张残留绿毛均为 0 像素。

体积：PNG 540KB → WebP 117KB(-78%，平涂+透明是 WebP 强项)。

桌子按「桌面」锚点而非底边：底边贴地时桌宽 200 会让显示器顶到 y=-136
糊住人脸。按桌面对齐后桌子下半截自然超出脚线 —— 这是对的，桌子比人更
靠近镜头本就该更低。铭牌/副标题都压在挡板内(实测 local -27~+23)，
掉出去会骑在下边线上被切半截。状态辉光改画在贴图之下、用径向渐变，
硬边色斑糊在显示器背壳上物理讲不通也像贴纸。

手绘版保留为 sprite 缺省时的回落，未删。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-16 10:34:05 +08:00
Blizzard c2811e79a3 fix(desktop,dispatcher): 从编排执行的多 agent 图看不到「团队」tab 
现象：编排里并排三个 agent(研究/撰写/审查)跑完，运行页没有团队 tab。

两处卡住，不是一处：
1) isMultiAgent 只认 coordinator: 节点。用户自己在图里并排多个 agent 也是
   团队，却被整个漏掉。改成：有协调者，或 ≥2 个 agent: 节点。
2) 就算放宽 1，deriveTeam 仍按 kind==="agent" 挑工位——而两条产生 agent 的
   路径 kind 并不一致：协调者派发的专家是 kind=agent，图里的 agent 节点是
   kind=model。改成按节点名前缀(agent:/tool:)判，这本来就是后端一直遵守的
   约定；顺带天然把 retriever:/map:/render: 这些同为 kind=tool 的节点挡在
   工位之外(之前它们会混进来当工位)。

连带修一个更要命的：runAgent 把轨迹标签写死成"模型流式推理"、runReactAgent
写死成"ReAct 智能体（自主调工具）"，用户在编排里给节点起的名字(研究 Agent /
撰写 Agent / 审查 Agent)整个丢了。后果不止办公室：执行轨迹里三行同名，根本
分不出谁是谁；团队视图只能退回节点 ID，工位显示成 r/w/rev。
改成一律 labelOf(n, 兜底) 由调用方传入，+2 单测钉住。

另：没有协调者时不再凭空画一个"协调者"小人(白板改挂「任务产出」)，也不演
递简报那一程(没人可递)，✓ 气泡改为收工即冒。

注意：已存的历史轨迹是落库的，仍是旧标签；只有新跑的任务才有节点名。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-15 17:41:21 +08:00
Blizzard 02608bb6a4 feat(desktop): 办公室加走位编排(进场 / 敲键盘 / 递简报) 
专家被派发 → 从门口走进来 → 在工位敲键盘 → 干完起身走到协调者桌前
递简报(手里真拿一页) → 回工位。协调者的白板仍是思考/综合流。

为什么做这个：重看参考项目(ai-office-react)，它的 Spine 动画只有 idle
和 walking 两个——"好玩"来自角色在房间里走动，不是画质。上一版把人钉死
在工位上只让手动，这才是不好玩的根因。

实现：全 CSS 关键帧，无 rAF / 无定时器 / 无状态机。
- 直播(streaming)：工位随事件到达而挂载，延迟一律 0，动画即真实进度。
- 复盘：按事件时间戳算出各自的出场/交付时刻，整段压进 PLAY_MS 当一出戏放；
  敲击次数由"工作时长 ÷ 敲击周期"换算，所以快的人敲几下、慢的人敲一路。
- 收工时刻强制不早于"进门 + 敲一下"，否则压缩比大时人还没进门就来递简报。
- 角色层与桌子层分开画，人才能走到别人桌前而不被自己那张桌子焊死。
- 补了腿：原来是"永远被桌子挡住的半身像"，一走出工位就成了悬空上半身。
- reduced-motion 直接就位不演。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-15 17:41:21 +08:00
Blizzard 225fee5519 feat(desktop): 团队视图加「卡通办公室」皮肤(手绘 SVG 贴纸风) 
多智能体协调演成办公室：协调者在白板前统筹(白板即思考/综合流)，
专家在工位敲键盘，完成打✓、失败挂!、派发走虚线。

风格对齐 ai-office-react(粗描边+平涂+大头身)，但用手写 SVG 而非
PixiJS+Spine：零外部素材、无 Spine 运行时授权问题、几 KB 进包。
先试过 three.js 真 3D，低模程序化角色出来是玩具味，已弃并卸干净依赖。

数据与「卡片看板」同源(deriveTeam)，换皮不换数据，后端零改动。
动效=状态编码(敲键盘/思考流/辉光)，守 prefers-reduced-motion。

顺带修一个真 bug：并发时间轴复盘卡在 running 的旧任务时，未收口工位
会一路量到 Date.now()，跨度爆表(实测 32103562.4s)。抽 teamNow()：
直播用此刻、复盘用最后一个事件时间戳；两个皮肤共用，+3 单测。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-15 17:41:21 +08:00
Blizzard 0152e7837a feat(desktop): 多智能体「团队」视图(运行·观测新增，轨迹仍默认) 
把多智能体协调画成「协调者居中 + 专家工位环绕」，让最难读的一段——并行派发与综合
——变得一眼可读。执行轨迹保持默认视图；「团队」tab 只在多智能体运行时出现，
普通任务不塞多余 tab。

- lib/run.ts 加 isMultiAgent()(据 coordinator: 节点判定) + deriveTeam()：
  从现有执行事件流派生协调者/工位模型。与 deriveNodes 的区别是保留 start/end 时间戳，
  才能画并发时间轴；并解析专家收尾 detail("简报 X → Y")还原简报与产出。
- components/TeamView.tsx：径向布局(工位按角度均分环绕，>6 个降级为网格)、
  协调者实时思考流(接 token 流 + 闪烁光标)、并发时间轴(重叠一眼可见)。
  动效只标活跃态(派发链路流动/工位脉冲)——是状态编码不是装饰，带 prefers-reduced-motion 守卫。
  专家(kind=agent)与工具(kind=tool)图标区分。
- 零后端改动：数据全部来自现有 exec 事件(coordinator:/agent:/tool:)。

补 9 个单测覆盖派生逻辑(简报解析/失败态/时间窗/lead 不混入工位)。
实机经回放路径验证渲染(径向布局/简报/并发条/tab 条件出现)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-15 17:41:21 +08:00
Blizzard 11bf7d2756 fix(desktop): wails3 绑定 .js→.ts + 实机验证通过 
wails3 build 重新生成绑定为 TypeScript(比 standalone generate 的 .js 更规范,
tsconfig allowJs 保留以兼容两种)。整体迁移实机验证:
- wails3 build 全过(前端 build → 绑定生成 → go build -tags production 原生编译 → 打包)
- 原生二进制 bin/sundynix_desktop 启动,窗口开、进程稳、日志无 error/panic
- app 前端加载后自动登录(持久态)并打通后端:gateway 收到 /spaces/current、
  /me/spaces、/me/tenants、/stats/overview、/runs、/health 一整串鉴权请求全 200
- runtime 版本号不一致(npm alpha.97 vs CLI alpha2.117)未导致问题

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-14 10:55:21 +08:00
Blizzard 1f487c3163 feat(desktop): 迁移 Wails v2 → v3(架构/目录/绑定重写)[WIP] 
从 wails/v2 v2.12.0 迁到 v3 v3.0.0-alpha2.117,采用 v3 工程规范:

Go 侧:
- main.go:wails.Run(options.App) → application.New(Options{Services,Assets,Mac})
  + app.Window.NewWithOptions(WebviewWindowOptions) + app.Run();窗口选项照搬
  (1440×900/min 1100×700/#0b0d12/Mac TitleBarHiddenInset)
- app.go:App 结构体绑定 → v3 Service(application.NewService);去 startup/ctx 注入;
  SaveFileDialog 改 v3 链式 API(application.Get().Dialog.SaveFile().SetFilename().
  AddFilter().PromptForSingleSelection());5 个原生方法保留
- go.mod wails/v2→v3、go 1.25

构建:
- wails.json → Taskfile.yml + build/(config.yml 填产品信息 + 各平台配置)
- 删移动端脚手架(ios/android),桌面端只留 darwin/windows/linux
- .gitignore 改为只忽略 build/bin(build/ 构建系统需提交)

前端:
- vite.config 接 @wailsio/runtime/plugins/vite 插件 + WAILS_VITE_PORT
- package.json 加 @wailsio/runtime;wails3 generate bindings → frontend/bindings/
- desktop.ts:window.go.main.App → import { App } from bindings;桌面态检测改
  window._wails.environment(原生注入);isMacDesktop 用 System.IsMac()
- version.ts:runtime.BrowserOpenURL → @wailsio/runtime Browser.OpenURL;测试同步更新
- tsconfig 加 allowJs(消费 JSDoc 绑定)

验证进度:Go 编译过 + tsc 干净 + 48 前端测试绿 + 前端 vite build 通过。
**未完成:整体 wails3 build/dev 原生窗口实跑 + 原生能力(另存为/打开/外链)联调**——下次续。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-13 18:00:45 +08:00
Blizzard 8f1aefe13e refactor(desktop): 去黑话 + 收基建灯(商业化语言铺开) 
把首屏定的"去黑话+精致克制"语言铺到其余页面：
- 顶栏 5 盏基建灯(Gateway/DB/NATS/Milvus/Neo4j)→ 一枚「系统正常」状态点
  (客户不看数据库名；异常时 tooltip 提示项数,顺带缓解窄屏拥挤)
- 知识库:入库阶段标签去实现名(写入向量库/Milvus/Bleve/Neo4j → 建立语义索引/
  全文索引/构建知识关系);检索台「混合召回+rerank」→「在库中搜索」,命中分数
  0.83→83%,"RAG 未配置"→"该库可能为空";图谱去「Neo4j·力导向」
- 运行:流式中→生成中;"token 在此流式呈现"→"回复逐字呈现";忠实→可信度/引用
- 编排节点「检索(RAG)」→「知识检索」,描述去"混合检索"

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-13 16:57:24 +08:00
Blizzard 2eb38d3eaf feat(desktop): 首屏工作台商业化重做(定调) 
把"工程师内部控制台"改成"给客户用的产品门面"(精致深色专业版方向):
- 问候式头部(下午好，X · 工作区上下文)+ 主 CTA「新建编排」抬到显眼位
- 指标去黑话:评测均分/忠实 → 「回答质量 89%」;Token → 「今日用量」
- 能力卡改结果语言(不再暴露 Eino/向量·全文·图谱/Word 等架构黑话)
- 删「服务·网关/总线/PG/Redis/Milvus/Neo4j」健康灯带(客户不看数据库名)
- 空态改引导(还没运行记录 → 从新建编排开始 CTA)
- 图标去彩虹化,单色 + hover 才亮 brand,右上箭头暗示可点

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-13 16:51:41 +08:00
Blizzard 1efe29aed3 refactor(desktop): 清理死 UI / 假功能(P0 完善) 
让桌面端只暴露"真的能用"的东西,提升完成度观感、避免误导:
- 删顶栏假"版本选择器"(通用版/法律版/医疗版)——死 defaultValue、无 onChange
- 删「管理」导航项 + 其占位页/命令——内容是 admin 控制台的事(租户/计费/护栏/模型),
  违背 desktop/admin 产品边界,留着只是让用户点了扑空
- 「市场·Packs」标记 ready:false(规划中徽标 + 标题标注),不再伪装成已就绪功能;
  移除其命令面板项(命令面板只列真实可达目的地)
- Agent 节点模型选项去掉假的"占位 Pool/ollama:qwen/vllm:custom",改由已登记模型
  运行时填充(无模型时显示"（无，先创建）"而非可误选的假项);默认 model 置空

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-13 16:24:56 +08:00
Blizzard 8f766a75a7 feat(space): 桌面端空间成员管理界面 —— 补齐"临时组队协作"前端闭环 
此前能建项目空间/切换/启用全员空间，但邀请队友进空间只有后端 API、无界面，
协作故事前端断了一半。本次补上成员管理 UI，让 Space 协作端到端可用。

- api.ts: spaceMembers/addSpaceMember/setSpaceMemberRole/removeSpaceMember + SpaceMemberInfo
- SpaceMembers 弹窗: 列成员(名/邮箱/角色 badge); 空间 admin/owner 可邀请(邮箱+角色)/
  下拉改角色/移除, owner 受保护(无下拉/移除); 非管理员只读提示。复用 Dialog/Button/Select
- 顶栏加"管理成员"入口(UserCog): 活跃空间为 project/tenant 时显示; App 管弹窗开关，
  传 spaceId/spaceName/canManage(空间角色 admin/owner)/selfUserId

实机验证(Wails 桌面 + 全栈后端): demospace(owner)在项目空间邀请 teammate → 成员列表
即时出现(切换器 1人→2人) → 下拉改 teammate 成员→管理员(服务端确认 owner/admin) →
owner 自身受保护无改删入口。tsc + 48 前端测试通过。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-13 14:29:28 +08:00
Blizzard 9dab25a5f0 feat(space): 全员空间(tenant-kind) —— 整租户共享的"开关"，自动纳入全部成员 
补齐 Space 三类型的最后一种：tenant-kind「全员空间」= 用户最初想要的"共享工作区开关"。
与 project 空间的本质区别：自动纳入全租户成员（含之后新加入的），而非手动逐个邀请。

后端:
- EnableTenantSpace(幂等):建 kind=tenant 空间 + 把全部 active 租户成员按租户角色纳入
  (owner→owner…billing_admin→viewer)；tenantSpaceID 查询；spaceRoleFromTenant 角色映射
- AddMemberByEmail 加租户成员时 autoJoinTenantSpace：若已启用全员空间则自动补纳新成员
- SpaceCreate handler：kind=tenant 路由到 EnableTenantSpace，且须租户 admin/owner(inline 403)

桌面端:
- 空间切换器加"启用全员空间"入口(Globe 图标)：仅租户 admin/owner 且尚未启用时显示，
  带二次确认；启用后该按钮自动隐藏(hasTenantSpace)，全员空间进切换器

验证(gateway+docker):member 启用 403 / owner 启用纳入全部现有成员(owner·member·viewer
按租户角色映射) / 新加租户成员自动纳入 / 幂等(再启用返回同一个不重复建) / viewer 在全员空间
入库 403(只读) / owner 建库 200；浏览器实机:启用后全员空间进切换器 + 启用按钮消失

至此 Space 三类型(个人/项目/全员)全部落地。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-13 13:55:29 +08:00
Blizzard a8c0bb42a7 feat(space): 共享工作区增量3b —— KB 知识库按 Space 共享(存储 re-key) 
把 3a 的 Space 作用域推到 KB 层：KB/Doc/DocLink owner→space_id，作用域键
owner/name→space_id/name，同空间成员共享知识库(检索/入库/文库/双链/图谱)。

后端:
- store: KB/Doc/DocLink 加 space_id，唯一索引 (owner,*)→(space_id,*)，owner 降级创建人；
  查询全改 space 作用域；SaveDoc/ListVault/GetDocByID/DeleteDocByID/ReplaceDocLinks/
  ResolveInboundLinks/ListLinks 改 space；tenantIDForSpace 补异步入库租户
- MigrateKBSpaces 启动迁移(space_id 回填 + 唯一索引换新，同 Agent 顺序坑规避)
- scopedKB owner/name→space_id/name；IngestJob 契约加 SpaceID；enqueueIngest/runIngest
  穿 space；MinIO 对象键改 space/kb/doc(避免跨空间同名撞键，老键不透明不迁)
- KB 写路由(create/ingest/ingest_file/note/delete)挂 RequireSpaceRole(member)：viewer 只读
- 存储层重灌迁移端点 POST /admin/migrate-kb-storage(异步)：为存量文档入队新 space
  作用域的重灌作业(复用 JetStream 入库 worker 池)，先删旧键；避免同步重嵌撑爆 HTTP 超时

桌面端:
- KbView 收 spaceId(变则重拉库)+spaceReadOnly(viewer 禁建库/入库/文件/笔记)；VaultPanel 同

验证(gateway+mcp-go+Milvus/Neo4j/embedding 全栈):
- PG 迁移: 20/21 KB + 50/54 doc 回填 space_id(4 未迁=pre-多租户 owner='wt' 空租户遗留，
  正确跳过)，唯一索引 idx_kb_sn/idx_doc_skn 换新、旧索引删除
- KB 共享: member 见共享库 / viewer 建库·入库 403 / 切回个人空间隔离(看不到)
- 全向量链路: RagA 入库(真 dashscope embedding)→ RagB(空间member)检索命中 RagA 内容
- 存储重灌: 端点异步入队 49 作业(worker 池背压处理)，重灌后老文档在新 space 键可检索

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-13 13:00:34 +08:00
Blizzard addaa1b34f feat(space): 共享工作区增量3a —— Agent 编排按 Space 共享(纯 PG 打样) 
引入 Space 中间容器(租户>Space>成员),资源作用域从 owner 改为 space_id，
让"个人私有/项目临时组队/整租户共享"出自同一模型(设计见 SPACE_DESIGN.md)。
先在纯 PG 的 Agent 上打样，零存储风险，验证协作+RBAC+切换 UX。

后端:
- 新表 Space{tenant_id,name,kind,creator,archived} + SpaceMember{space_id,user_id,role}
  (如 Tenant 般不 isTenantScoped)；User.ActiveSpaceID；Agent 作用域 owner→space_id，
  owner 降级为创建人(供 UI 显示 / 删他人鉴权)
- store/space.go:个人空间幂等/活跃空间解析/切换/列表/建/成员CRUD/归档
- 迁移顺序坑:结构体只放非唯一 index，MigrateAgentSpaces 回填 space_id 后再建唯一
  索引 idx_agent_sn + DROP 旧 idx_agent_on(否则存量空 space_id 撞车)；启动序4步幂等
- 中间件 SpaceContext(注入 space_id) + RequireSpaceRole(照 RequireTenantRole)
- handler/space.go 空间端点 + 路由；agent.go 改空间作用域(删/覆盖他人需 admin)
- 计费零改动(Space 与 ResolveBillingTenantID 正交)

桌面端:
- api.ts space 接口；顶栏 SpaceSwitcher(含新建项目空间)；StudioView 随空间切换
  重拉编排 + viewer 禁保存；Agent 列表显示创建人 + 按 mine 控删除

验证:中间件6门控单测 + DB迁移(13个人空间/9 Agent全re-key/索引换新) + 后端HTTP全
场景(member见他人编排/删他人403、viewer存403、非成员切空间400+隔离、owner删他人200)
+ 浏览器实机(切换器3空间/Studio空间编排随切换隔离刷新/创建人显示/console无错)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-13 10:51:33 +08:00
Blizzard bf5be08e96 feat(rbac): 租户角色门控落地(极简版) —— viewer/billing_admin 只读不可提交任务 
角色此前能分配但不生效(viewer 也能烧租户积分)。本次让角色真正挡动作:

- store.RoleRank 角色层级:owner(4)>admin(3)>member(2)>viewer/billing_admin(1),
  未知/非成员=0;billing_admin 定位为「财务只读」不跑任务
- 可复用中间件 RequireTenantRole(db, minRole),抽 MemberRoleResolver 小接口便于单测
- POST /tasks 挂 ≥member 门控:唯一会烧租户积分的入口(KB 入库不计租户),挡住即够
- 桌面端 StudioView 收 readOnly:viewer 时「运行」禁用+只读提示(UX 兜底,真闸在后端)
- 测试:RoleRank 纯逻辑 + 中间件 7 门控 case(owner/admin/member 放行,
  viewer/billing_admin/非成员 403,未登录 401)

实机验证(gateway+docker):viewer 提交 403 → 升 member 202 → 降回 viewer 403 →
owner 自租户 202(solo 用户不受影响),三态可逆、角色驱动、中间件先于 handler。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-13 09:49:24 +08:00
Blizzard 248267984c feat(desktop): 顶栏租户切换器（多租户）—— 切换活跃租户即换工作区+计费 
用户属多个租户时，顶栏显示租户下拉（Building2 图标）：切换即调 POST /me/tenant
换活跃租户，随后刷新余额芯片（显示新计费租户的可花余额）。仅 >1 租户时出现。
api 加 myTenants/switchTenant。

live 验证(preview)：demoB(属公司A+公司B) 切换器显两租户；从公司A(共享,余额15.84)
切到公司B(个人,余额6.38)→ 后端 active 持久化、芯片随之更新为 6.4(橙,偏低)。tsc+48 测试全过。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-08 11:02:36 +08:00
Blizzard a878e2dc89 feat(desktop): 「用量」视图 —— 我的积分余额/消耗趋势/最近消耗（P3 续） 
给终端用户一个自己的计量观测面（守边界：只读自己租户）：
- 新增 UsageView（左导航 MANAGE 组「用量」，Coins 图标）：余额 hero 卡
  （硬拦截+余额≤0→红/偏低→橙）、区间 KPI（积分/Token/成本/运行数）、
  积分消耗按天趋势条形图（近7/近30天可切）、最近消耗明细表（任务/模型/token/积分/成本）。
  读 /api/v1/me/usage。
- 顶栏积分余额芯片改为可点，进「用量」页（onOpenUsage → setView）。

live 验证(preview)：视图显示 公司A 余额 15.92 + KPI + 趋势bar(落在实际消耗日) +
最近消耗 3 行真实数据；tsc + 48 测试全过。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-08 09:31:12 +08:00
Blizzard 511ae199a4 feat(desktop): 顶栏积分余额芯片 + 提交遇余额不足透出友好文案（P3 租户感知） 
让计费对终端用户可见（守 desktop/admin 边界：只读自己租户，不碰 admin 配置）：
- TopBar 加积分余额芯片（Coins 图标）：常态显余额；硬拦截开+余额≤0 → 红「余额不足」；
  偏低 → 橙。tooltip 显租户名 + 是否拦截。api.tenantCurrent() 读 /tenants/current。
- App 登录后拉租户上下文，每 20s 轮询 + 运行结束即刷新（余额跟手）。
- submitTask 遇 402 解析后端 error 文案透出（如「租户积分余额不足，请充值后再试」），
  在运行面板报错处显示，用户知道为何被拦。

live 验证(preview)：芯片显示 公司A 余额 15.9 ✓；enforce 开+余额0 时 /tenants/current
标 enforce+余额0（芯片转「余额不足」）、提交 402 带友好文案 ✓；tsc + 48 测试全过。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-07-08 09:18:30 +08:00
Blizzard cb6eec5614 feat(desktop): T0.2 多智能体进 Studio —— coordinator 节点 + 专家卡片 + 派发可观测 
把已通的多智能体后端(MULTI_AGENT.md)接上 UI，用户可在画布拖出协调者图。

- nodeCatalog: 新增 `coordinator`「多智能体协调」节点(indigo) + 新字段类型
  `agentList` + Specialist 接口({name,use,system,tools})，与后端 parseSpecialists 对齐。
- Inspector: AgentListField —— 可增删的子智能体卡片(名/用途/系统提示词/工具逗号分隔)。
- dsl 校验: agentList 需 ≥1 个有名字的专家、名字不重复。
- RunsView: 「工具调用」面板纳入专家派发(kind=agent)，改名「工具/专家」，专家项
  用 Users 图标 + indigo「专家」徽标区分(此前只筛 kind=tool，漏掉多智能体派发)。
- 导出: agents 数组经 exportDsl 原样透传进 DSL → 后端 parseSpecialists 直接消费。

tsc + vitest(19) 绿；UI 同款结构 DSL 后端可跑(协调链路 live 已验)。
DEPTH_ROADMAP T0.2 ✅，T0 激活 2/2 完成。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 17:14:14 +08:00
Blizzard 158fe094ab fix(hitl): 审批复盘轨迹补全 —— 中断不关 exec 流，resume 事件续录 
现象:已完成的审批任务，复盘轨迹停在「已中断等待审批」、审批节点永远转圈，看着
像卡住（实际任务已 done、有输出）。

根因:任务中断时 Handle 的 defer tr.done() 给 exec 流发了 CompleteExec → 网关 exec
录制器关闭。resume 是另一次独立调用，其 exec 事件（审批通过/拒绝、续跑节点）发到
同一主题时录制器已关 → 没录进去。（token 流中断时特意没关，所以输出录到了；exec
流却被关了，不对称。）

- exec.go: execTracer 加 suspended 标志，done() 挂起时不关流。
- orchestrator.go: 中断分支置 tr.suspended=true（与 token 流一致）。
- ExecTrace.tsx: 前端兜底——运行已完成(phase done)时把悬挂的 waiting/running 节点
  收敛为 done，修旧任务（已 done、轨迹缺 resume 事件）的转圈假象。

live 验证:审批任务批准后复盘轨迹完整呈现 approval await→end「批准：放行」→
agent start→推理→end，审批节点不再转圈。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 16:57:11 +08:00
Blizzard fcefecd10d fix(desktop): 轮询命中终态时同步 phase —— 运行按钮不再永卡「运行中」 
attachRun 的状态轮询此前只更新 lifecycle、不动 phase。token 流没收到 done 的场景
（如恢复的在途任务、或任务被外部置终态）→ phase 永卡 streaming → Studio 运行按钮
永远禁用「运行中…」，看似不能跑新编排。

修复：轮询命中终态(done/failed/timeout/rejected)时把 phase 也置 done/error，
释放运行按钮。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 16:48:50 +08:00
Blizzard e8dc2e02c3 fix(desktop): 审批条提交后不再永卡「提交中」+ 按 taskId 重挂载 
复现：登录恢复待审任务时若捞到一个无法续跑的任务（如早期 KV 冒号 bug 留下的无
resume 记录的孤儿），点批准 → 决定发出但消费者找不到记录 → 任务永远 waiting →
审批条 busy 状态成功后从不复位 → 永卡「提交中…」spinner，看似整个应用卡死。

- decide 成功后置 submitted 并在 finally 复位 busy（此前只在 catch 复位）。
- submitted 时显示「决定已发出，等待续跑…（若长时间无响应，该任务可能已失效）」
  而非停在 spinner —— 诚实反映状态，不误导成 hang。
- Bar 加 key={taskId}：换审批任务时重挂载，避免上一个的 submitted 残留。

（孤儿任务本身已在 PG 标记 failed 清理；冒号 bug 早已修复，不再产生新孤儿。）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 16:40:07 +08:00
Blizzard 49d19d9b59 fix(desktop): 刷新/重开后恢复在途待审任务 —— HITL 审批条可跨会话重现 
HITL 持久化中断后审批可跨重启、等数小时，但前端 ApprovalBar 只绑定内存里的
live run：用户一刷新页面/重开 app，run 清空 → 审批条消失 → 那个 waiting 任务
再也点不到批准（历史页只读回放、无审批入口）。这是 durable 模型下的真实 UX 洞。

- App: 抽出 attachRun（状态轮询 + exec 流 + token 流），新发起与恢复共用。
- 登录后探测 waiting 任务并 attachRun 挂回 → 全局审批条重现、可批准/拒绝，
  续跑 token 经重订阅的流回显（网关从 Redis 回放 exec 补回审批摘要）。
- 坑：StrictMode（dev）双调用 effect，原 cancelled 守卫会把首次 async 的恢复误吞
  （restoredRef 已保证只跑一次，App 是根组件不卸载）→ 去掉 cancelled。

真实 UI 验证（preview 驱动 :5173）：提交 HITL 任务→waiting→刷新页面→审批条
自动重现→点批准→从 checkpoint 续跑→done，真实出稿 + 评测 1.00。tsc + vitest 绿。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-29 14:50:47 +08:00