M9：桌面壳与收口——镜匣最小壳、器谱登记、发布证据落位、重写计划功成身退

- 镜匣 desktop/（Tauri v2 最小壳）：WebView 承载琉璃镜（frontend/out 或 devUrl）；能力桥最小命令（通知）；乾坤通道 HMAC 短期凭证构造（与 sandbox/src/auth.rs 验签同算法，密钥仅经 SANDBOX_AUTH_SECRET 环境注入——二进制零平台密钥，静态审计钉死）；hard_stop/resume 本地硬急停原子断路（全部通道命令过 ensure_not_halted，本地最高优先级不经云端）；tantivy 依赖与 capabilities/ 目录预留；updater 插件位预留；cargo check 通过
- 器谱域 domains/tianzai（迁移 010）：devices/device_grants——一次配对（密钥指纹登记）、逐项授契（可授面显式枚举，未知能力键拒）、撤回立即生效、设备撤销连带全部授契失效且不可再授；/devices 器谱 API 组
- 发布收口：release-evidence.md 落位重写期 RW-* 证据包（M0–M9 十里程碑验收自动化套件与结果物）；能力矩阵 M9 行收官；rewrite-plan.md 按计划删除（M0–M9 全部完成，能力矩阵与证据台账接棒），全库引用清理
- 验收（test_m9_jingxia 四用例）：器谱未授契 403 留痕/撤回即效/设备撤销连带；镜匣零平台密钥（rg 审计源码与配置为空）；硬急停语义钉死（通道命令全检查+resume 唯一恢复+HMAC 无密钥不出凭证）
- 五套件终检全绿：后端 349、前端 203、BFF 4、神识 5 包、镜匣 cargo check（2 个预存环境失败历次 HEAD 复验与本周期无关）；Compose nginx profile 配置校验通过

docs/operations/capability-matrix.md

@@ -1,7 +1,7 @@
 # 魂镜能力矩阵
 
 > 状态：rewrite/1.0 重写期基线
-> 作用：记录"当前已经验证到哪里"，不重复产品目标或契约取值。没有证据链接的能力不得标为完成。重写的范围与节奏见[重写执行计划](rewrite-plan.md)。
+> 作用：记录"当前已经验证到哪里"，不重复产品目标或契约取值。没有证据链接的能力不得标为完成。重写的范围与节奏见重写执行计划（已收口删除，证据见本文与发布证据台账）。
 
 ## 1. 状态值
 
@@ -37,6 +37,7 @@
 | 缘契/道体/河图 | M6 | 已验证 | M6 收口（2026-08-27，本地开发档）：缘契提议—问心—铭契—撤回全链（多维无单一好感度、撤回即生效、事件史不可变）；铸魂确认流（锚点确认前不变 + 魂籍版本链）与分灵谱系；河图境界（persistent_worlds + 实体关系 + 境界正史视图 + 世谱挂接）；归真三界分流（境界/幻境实录 scope 隔离，真界本相零污染）；引文→记忆正影后继提示；前端缘契面板与世界页。验收六测试全绿；旧人格/驱动/演化/世界模块与页面全量退役 |
 | 形仪域 | M7 | 已验证 | M7 收口（2026-08-27，本地开发档）：真形锚点（特征/许可/可变范围）；主仪化仪候选定相治理（candidate 不进呈现位、主仪唯一）；声音三来源与克隆授权（用途/传播必填、可撤回立即生效）；ASR 经元炁透传（多模态关闭 503 不降级）；前端形仪工坊三区。验收三测试全绿；旧 avatar 全量退役。图像真实生成与 TTS 合成随神识 image/tts 槽位启用接入（候选定相与授权治理框架已就位） |
 | 天工阁/叩心/辰正 | M8 | 已验证 | M8 收口（2026-08-28，本地开发档）：受托任务（分解/并行/级联验收，后台 Run 不占前台席位）；叩心候选四约束（总开关/静默本地时区/频率/预算，无关系副作用）；辰正时态感知接入镜树投影。验收五测试全绿；旧太一/洛书/感知/大周天模块与表全量退役，admin 治理面收敛为司命+百工 |
+| 镜匣桌面壳与器谱 | M9 | 已验证 | M9 收口（2026-08-28，本地开发档）：Tauri v2 最小壳（WebView 承载琉璃镜；能力桥通知命令；乾坤通道 HMAC 凭证构造与 sandbox 同算法——密钥仅经 SANDBOX_AUTH_SECRET 环境注入，二进制零平台密钥经静态审计钉死；hard_stop/resume 本地硬急停断全部通道）；器谱 devices/device_grants（逐项授契/撤回立即生效/设备撤销连带失效，迁移 010）；tantivy 依赖预留。验收四测试全绿 + cargo check 通过。正式打包（签名/updater 插件/安装器）与生产档联调属上线前事项 |
 | 天目 / 元炁 | M4/M7 | 局部实现 | 元炁 ASR 已接形仪域（M7）；chat 经神识 endpoint（M4）；天目待接通感 |
 | 镜树前端 / 记忆治理 / 百工页 | M2+ | 局部实现 | 镜树页与灵胚页已上线（M2c，2026-08-21）：路径阅读流/候答切换/采用归真/局部树图/SSE 芽体/导入卡；type-check + vitest 210 passed；记忆治理页随 M3、百工页随 M5 |
 | 导入（角色卡 V2/V3 → 灵胚） | M2 | 局部实现 | M2b 已验证（2026-08-21）：POST /characters/import-card 产出可审阅灵胚（identity_baseline.import_card 暂存 character_book），启镜时物化世谱书+条目（dict/list 双形态兼容）；导出方向保持人物→ST V3 快照 |