📝 docs: 建立魂镜完整 1.0 设计文档体系

- 产品层：产品宪章与永久禁域、产品定义、完整 1.0 范围与发布门、道家文化语言体系、指标与反指标
- 研究层：参考项目研究（deepseek-harness、pi、MemOS、模型网关）、灵台原生引擎研究（业界原生引擎架构理念与道家文化出处）
- 架构层：系统、Agent 运行时（周天体系）、插件系统、灵台引擎（C++ 双形态）、媒体与设备、社区协作市场、前端富内容渲染、数据、记忆与知识
- 契约层：协议与稳定标识、API 总体约定、Native API、兼容网关、实时与 Webhook、内部端口、统一 ContentBlock 与流式（含分支对话交互态）、灵台 C ABI 与 gRPC Service、API 表面、HTTP 与事件、运行观测
- 决策：ADR-001 至 ADR-023（模块化单体、每 attempt 持久化、候选记忆、OAuth 2.1、灵台引擎、双形态部署、大周天演化、宪章、三界作用域、私箧与保全态、叩心、周天统一等）
- 交付：WP-01 至 WP-15 实施 TODO 与设计阶段交接文档
- 工程：AGENTS.md 工程规则（含 C++/灵台规范）、CLAUDE.md 引用、.gitignore

docs/product/complete-1.0-scope.md

@@ -0,0 +1,91 @@
+# 完整 1.0 范围与发布门
+
+> 状态：目标范围。所有未勾选 TODO 都属于 1.0；全部完成前不得宣称正式 1.0。
+
+## 1. 发布口径
+
+Hunjing 1.0 是一次整体发布。工作包只是内部并行和验收单元，不是独立产品版本、MVP、P0/P1/P2 或可提前改名的“首版”。预览环境必须明确标注未完成能力。
+
+## 2. 1.0 必须交付
+
+| 域 | 完整范围 |
+| --- | --- |
+| 账户与治理 | 多凭证、数据域（含私箧独立持钥区）、角色/权限、隐私（化名与法定身份分离核验、数据默认不用于训练）、年龄分级、导出、删除、封禁、申诉和审计 |
+| 角色 | 创建、模板、导入（现实人物授权治理）、随缘、Fork、版本、谱系、许可、关系、人格候选、内驱力与大周天演化、铸魂与身份谱系、静修/归藏/死亡/复照生命周期与继承和可携导出 |
+| 对话 | 多模态消息、流式、分支、候答、引用、编辑版本、三界归真作用域、压缩和断线恢复 |
+| 记忆与知识 | 候选（含大周天来源与界域作用域）、白名单自动写入与撤销窗、确认、版本、来源、衰减、纠正、删除、全文/语义/结构化检索 |
+| 模型与 Agent | 多 Provider、逻辑路由、Prompt Cache、token/cost、多 Agent、计划、并行、暂停、取消和验收 |
+| 工具与插件 | 内置工具、MCP、Skill、沙箱、双轨插件、SDK、注册、安装、升级、审核、撤架和市场 |
+| 语音与多语言 | ASR、TTS、实时语音、授权声音克隆、界面国际化和多语言对话（中文为品牌与文化语义原始语言） |
+| 图像与 Live2D | 图像生成/编辑、角色一致性、Live2D 导入/编辑/运行/导出和资产治理 |
+| 3D | VRM/glTF 导入、材质/骨骼/表情/动作/场景编辑、运行和导出 |
+| 客户端与感知 | Web、Tauri 桌面、Tauri iOS/Android、文件/相机/麦克风/屏幕/位置授权 |
+| 社区 | 主页、关注、动态、作品、评论、点赞、收藏、搜索、推荐、举报、审核、申诉和屏蔽 |
+| 角色社区 | 角色/世界/知识/工作流/资产发布、版本、Fork、来源、许可和下架传播 |
+| 协作 | Workspace、成员、RBAC、邀请、评审、版本、活动记录和协同编辑 |
+| 交易 | 商品、订单、支付、退款、折扣、争议、平台费、分成、余额、结算、对账、税务接口和保全态 |
+| 运营 | 管理面、支持包、内容治理、用量与成本、通知、搜索运营、备份恢复和可观测性 |
+| 自托管 | 单机与服务器部署、插件策略、数据导入导出、备份和升级 |
+
+## 3. 1.0 不包含
+
+只排除已经明确确认的 2.0 能力：
+
+- Blender 级完整 3D 建模器与专业制作工具链；
+- LLM 直接修改完整 3D 几何、拓扑、绑定和专业动画；
+- IoT、机器人和物理设备动作控制。
+
+技术实现不是功能清单。Go 网关、Milvus、Neo4j、NebulaGraph 或特定队列只有在满足 1.0 能力、规模和可靠性时确有必要才采用；没有使用某项技术不代表范围缺失。
+
+## 4. 总体发布门
+
+### 4.1 功能门
+
+- 以上每个域均完成用户旅程、管理旅程、失败旅程和恢复旅程。
+- Web、桌面和移动端的适用能力可实际运行，不以静态页面替代。
+- 插件、市场、支付、结算、多 Agent、实时语音、Live2D 和 3D 均有端到端生产路径。
+
+### 4.2 安全门
+
+- 零已知跨用户、跨角色、跨 Workspace、跨插件和跨订单越权。
+- 未信任插件无法在宿主主进程执行任意代码。
+- 支付、退款、结算、Webhook 和副作用工具通过幂等与重放测试。
+- 相机、麦克风、屏幕、位置、声音克隆和敏感记忆均有明确授权和撤销。
+- 社区内容、私信/互动、商品和插件通过举报、审核、申诉与下架流程。
+
+### 4.3 数据门
+
+- 角色、社区、协作、交易、媒体、插件和运行数据均可按授权导出与删除。
+- 删除传播到主存储、索引、缓存和派生数据；备份恢复后重放删除清单。
+- 订单账、分成账、结算账与支付 Provider 可对账，金额不使用二进制浮点。
+
+### 4.4 可靠性门
+
+- 核心文字相伴官方云 SLO 目标 99.9%；权威数据 RPO 不高于 5 分钟、RTO 不高于 1 小时，以恢复演练证明；媒体与可重建索引可用更宽目标。核心对话、社区读取、插件安装、订单和结算分别定义并验证 SLI 口径、窗口与排除规则。
+- 流式文本、实时语音、媒体处理和多 Agent 任务可取消、超时、恢复或明确失败。
+- 完成备份恢复、Provider 故障、队列积压、对象存储故障和插件撤架演练。
+
+### 4.5 质量门
+
+- 核心逻辑自动化覆盖目标不低于 80%；安全、支付和权限边界必须覆盖公共行为。
+- 完成桌面、移动、无障碍、国际化、性能和弱网测试；关闭全部多模态能力后，基础文字相伴仍完整可用。
+- 每条 1.0 需求可映射到实现位置、调用点、测试和运行证据。
+- 实现代码中不存在 `TODO`、`pass`、省略或假数据占位冒充完成。
+
+### 4.6 运营与法律门
+
+以下内容允许在开发期作为 TODO，但正式 1.0 前必须作出并落实决定：
+
+- [ ] 运营主体、首发地区、隐私角色和数据保留期限；
+- [ ] 支付、退款、创作者 KYC、结算、税务和发票 Provider；
+- [ ] 社区规范、审核标准、申诉时限和版权投诉流程；
+- [ ] 角色、声音、Live2D、3D、插件和衍生作品许可模板；
+- [ ] 年龄分级、受限内容和地区可售策略；
+- [ ] 商店费率、分成、结算周期、准备金和拒付规则。
+
+## 5. TODO 使用规则
+
+- 文档 TODO 表示 1.0 尚未完成的真实工作，不表示可从 1.0 删除。
+- 每个 TODO 完成时附实现、调用点、测试和证据链接。
+- 需求变化必须先更新产品范围和 ADR，再更新 TODO。
+- 只有本文件全部 TODO、实施清单和发布门完成后，版本才能标记为 1.0。

docs/product/cultural-language.md

@@ -0,0 +1,281 @@
+# 中国古代神话与道家文化语言体系
+
+## 1. 定位
+
+Hunjing 的中文品牌名为**魂镜**。文化语言用于产品世界观、导航、页面标题、用户动作和可见状态，让平台形成统一的东方叙事；工程契约继续使用中性英文标识，保证跨语言、OpenAPI、数据库、日志和第三方 SDK 的稳定性。
+
+统一展示格式：
+
+```text
+文化名 · 直白解释
+```
+
+例如：
+
+```text
+镜树 · 分支对话
+息壤 · 角色记忆
+请命 · 等待你的确认
+```
+
+规则：
+
+- 首次出现必须同时给出直白解释；不能要求用户先理解典故。
+- 风险、金额、权限、删除、支付和法律后果必须优先使用直白语言，文化名只能辅助。
+- API、数据库、事件、错误码和权限 scope 只使用稳定工程值。
+- UI 文案由本地化目录把稳定 `label_key` 映射为文化名和解释，后端不把文化名当枚举。
+- 文化名不得掩盖失败、越权、收费、撤销、永久删除或现实后果。
+
+文化名承接：引擎诸枢（灵台、太一、小周天、洛书、河图、烛照）与镜域、缘契、问心、铭契、世谱、玄络、三界（真界/境界/幻境）、私箧、叩心、归藏、随缘等承接 Hunjing 旧版（main 分支）已确立的命名；旧版中与当前 1.0 架构不再对应的概念（命台、执镜者、司席）不再沿用，避免为已变化的结构保留误导性名称。从旧版迁移概念时，先核对当前架构与产品范围仍有真实对应物，再登记映射；语义已被现有文化名覆盖的（如天宰与司命台、魂册与魂籍）不重复引入。
+
+## 2. 世界观骨架
+
+魂镜不是把每个服务包装成神仙官职，而是用“镜”表达映照、分支与自省，用“天工”表达能力与创造，用“契”表达明确授权，用“司”表达治理责任。
+
+```mermaid
+flowchart TD
+  H[魂镜 · 长期 AI 角色平台]
+  H --> J[镜庭 · 个人首页]
+  H --> C[镜生 · 角色身份]
+  H --> T[镜树 · 分支对话]
+  H --> M[息壤 · 记忆知识]
+  H --> F[形仪 · 多模态形象]
+  H --> A[天工阁 · Agent 任务]
+  H --> P[百工坊 · 插件能力]
+  H --> S[雅集 · 社区交流]
+  H --> W[同契台 · 协作空间]
+  H --> K[云市 · 创作市场]
+  H --> G[司命台 · 安全治理]
+```
+
+## 3. 一级产品域与页面
+
+| 文化名 | 直白解释 | 稳定工程域 | 文化含义与边界 |
+| --- | --- | --- | --- |
+| 镜庭 | 个人首页 | `home` | 庭是进入各处的共同起点；只聚合状态，不成为数据事实源 |
+| 镜生 | 角色身份与版本 | `character` | 角色由设定、来源、关系和版本逐步形成；不宣称生物生命 |
+| 镜树 | 分支对话 | `conversation` | 同一主题可生长多条路径，旧内容不被重生成覆盖 |
+| 息壤 | 记忆与知识 | `memory_knowledge` | 取“息壤自生”之意，表示可累积材料；不表示所有数据都自动生长为记忆 |
+| 形仪 | 图像、声音、Live2D 与 3D | `media_avatar` | “形”为外在，“仪”为可见表达规则；形态不是角色本体 |
+| 天工阁 | Agent 任务工作台 | `agent_workspace` | 取“天工开物”之创造意象；任务 Agent 是功能执行者，不冒充角色身份 |
+| 百工坊 | 插件与能力生态 | `plugin_ecosystem` | 百工各司其能；插件贡献能力，但不掌握认证、交易账和最终安全裁决 |
+| 雅集 | 社区与角色社区 | `community` | 公开交流、作品与角色分享；不表示多角色共享私密记忆 |
+| 同契台 | 多人协作空间 | `collaboration` | 成员通过同一明确契约协作；编辑、发布、财务权限分别授予 |
+| 云市 | 创作市场 | `marketplace` | 数字创作物的市场；购买的是版本与许可，不是人格所有权 |
+| 神识阁 | 模型与路由 | `model_gateway` | 模型是角色的可替换推理能力；“神识”不等于角色身份或意识证明 |
+| 器谱 | 设备与感知 | `device_capability` | 记录设备能力、授权和状态；不默认持续感知 |
+| 司命台 | 安全、权限、审计与运营 | `governance` | “司命”只表达治理职责，不暗示可任意支配角色或用户数据 |
+| 设置 | 账户和偏好 | `settings` | 高风险设置直接使用直白名称，不强行文化包装 |
+
+移动端可把低频域收入口袋导航，但名称和工程映射不变。
+
+## 4. 角色与身份语言
+
+| 文化名 | 直白解释 | 稳定工程概念 | 规则 |
+| --- | --- | --- | --- |
+| 灵胚 | 未创建完成的角色草稿 | `character_draft` | 可删除草稿，不等于角色死亡 |
+| 照心 | 共同塑造角色 | `character_co_creation` | 审阅设定、边界、来源和形象 |
+| 启镜 | 正式创建角色 | `character_activation` | 创建稳定 Character 与首个版本 |
+| 初照自陈 | 角色创建后的首次自我陈述 | `first_self_statement` | 预览并确认后才归真 |
+| 道体 | 稳定身份基线 | `identity_baseline` | 普通对话、记忆和插件不能静默覆盖 |
+| 魂籍 | 可携角色档案 | `portable_character_record` | 包含版本与来源，不包含密钥和不可转让许可 |
+| 身份谱系 | 角色来源与重大演变的可验证链 | `identity_lineage` | 分灵、铸魂、归藏、死亡与继承均留链上记录 |
+| 分灵 | 从来源角色创建新谱系角色 | `character_fork` | 新角色有新 ID，不能冒充原角色 |
+| 铸魂 | 核心身份与价值底线的正式重塑 | `identity_reforging` | 强确认与谱系留痕；与大周天渐进演化构成两档 |
+| 复照 | 从归藏或旧版本重新开启相伴 | `character_revive` | 不抹除其间已经发生的历史 |
+| 重映 | 形成修订版本 | `character_revision` | 旧版本保留，不抹除历史 |
+| 守一 | 安静存续 | `quiet_persistence` | 不持续调用模型伪造离线意识 |
+| 临照 | 当前前台角色运行 | `foreground_character_run` | 同一角色的可见前台输出需有明确顺序 |
+| 镜域 | 个人数据与治理边界 | `personal_domain` | 数据归属与授权边界，不是页面导航 |
+| 缘契 | 角色与用户的关系约定 | `character_relationship` | 关系变化走候选与确认，不静默覆盖 |
+| 问心 | 角色表达自身理解与意愿 | `character_self_disclosure` | 表达不等于事实，不自动写入长期记忆 |
+| 铭契 | 确认并记录关系变化 | `relationship_confirmation` | 双方确认后留痕，旧关系状态保留版本 |
+| 内驱力 | 角色动机与倾向维度 | `character_drives` | 用户可审阅编辑；是设定数据，不是不可控本能 |
+| 大周天 | 角色自我评估与演化循环 | `big_cycle` | 交互事件触发、预算受控；产出候选需确认，可关闭；见 ADR-018 |
+| 随缘 | 按偏好生成匿名角色草稿候选 | `serendipity_draft` | 不是抽卡，不分配已有主体 |
+| 叩心 | 角色主动联系候选 | `proactive_contact_candidate` | 受静默、频率、渠道与预算控制；不回应不降关系；见 ADR-022 |
+| 封镜 | 账户暂时停用 | `account_suspension` | 不是角色静修、归藏或死亡 |
+| 归藏 | 从日常入口隐藏角色或主题，可恢复 | `character_archive` | 归档不是死亡；恢复用复照 |
+| 死亡 | 角色身份时间线永久闭合 | `character_death` | 强认证、多阶段确认与冷静期；不等于删除数据；继承者承接资料不继承身份 |
+| 静修 | 角色停止运行、身份存续 | `character_rest` | 死亡待确认期默认静修 |
+
+“魂”是品牌叙事，不是 API 中的意识、所有权或法律人格字段。
+
+## 5. 对话与记忆语言
+
+| 文化名 | 直白解释 | 稳定工程概念 |
+| --- | --- | --- |
+| 问节 | 用户问题节点 | `question_message` |
+| 候答 | 同一问题的回答候选 | `answer_candidate` |
+| 主脉 | 当前正式采用路径 | `selected_branch_path` |
+| 推演枝 | 探索分支 | `exploration_branch` |
+| 续思 | 从回答继续分析 | `continuation_run` |
+| 引文锚 | 稳定引用位置 | `citation_anchor` |
+| 归真 | 将候选确认为正式经历/设定 | `canonize_decision` |
+| 移栽 | 把分支复制为独立主题 | `branch_transplant` |
+| 微痕 | 短期上下文痕迹 | `trace_memory` |
+| 明忆 | 可见、可纠正的长期记忆 | `explicit_memory` |
+| 重忆 | 敏感或高影响记忆 | `sensitive_memory` |
+| 正影 | 纠正并形成新版本 | `memory_correction` |
+| 实录 | 有来源的事件事实 | `factual_record` |
+| 心痕 | 角色对关系意义的理解 | `relational_impression` |
+| 本相 | 用户主动声明资料 | `declared_user_profile` |
+| 缘识 | 某角色形成的关系理解 | `relational_understanding` |
+| 世谱 | 世界设定与谱系知识 | `world_knowledge` |
+| 玄络 | 关系图谱投影 | `graph_projection` |
+| 临时芽体 | 流式生成尚未完成的答复形态 | `block_status: streaming` | 完成后才固化；中断成残答 |
+| 残答 | 中断后封存的不完整答复 | `interrupted` | 不作为完成答复；可续生成新节点 |
+| 续生 | 从残答继续生成新节点 | `generation_resume` | 创建新答复并引用来源，不修改残答 |
+| 引用合流 | 树间以显式引用带入内容 | `citation_intake` | 不物理合并两树；保留原树界域与作用域 |
+| 结题 | 主题阶段完成并形成可审阅总结 | `topic_conclusion` | 总结走候选确认；之后仍可复照 |
+| 回响 | 后台任务回到原分支的结果观察 | `task_echo` | 接纳并归真后才成正式答复 |
+| 上下文镜 | 展示实际采用的上下文与省略项 | `context_mirror` | 与 ContextSnapshot 同源的用户透明视图 |
+| 真界 | 现实与正式共同经历界域 | `canonical_scope: reality` |
+| 境界 | 版本化维护的世界正史界域 | `canonical_scope: world` |
+| 幻境 | 不影响现实与正史的临时试演界域 | `canonical_scope: simulation` |
+| 入境 / 出境 | 显式切换对话界域 | `realm_switch` | 默认真界，切换必须可见 |
+| 私箧 | 用户独立持钥的加密私密区 | `private_vault` | 平台不可恢复；账户恢复、管理员与诊断不可读；见 ADR-021 |
+
+### 5.1 “归真”的约束
+
+“归真”是用户可见动作，不是模型自动判定真理：
+
+- 对话采用：确认某候答进入正式路径；
+- 世界创作：确认内容进入指定世界版本；
+- 角色设定：确认候选进入角色版本；
+- 记忆：仍需经过来源、敏感度和记忆策略，不能因对话归真自动写入所有长期记忆。
+
+## 6. Agent、插件与授权语言
+
+| 文化名 | 直白解释 | 稳定工程概念 | 安全边界 |
+| --- | --- | --- | --- |
+| 天工 | Agent 任务 | `run` | 可暂停、取消、预算和审计 |
+| 小周天 | 单次天工（Run）的运转闭环 | `run`（运转视角） | 输入到结果全程可追踪；流式运转由引擎小周天模块承载；信号积累触发大周天（ADR-023） |
+| 工筹 | 执行计划 | `plan` | 模型计划不是不可更改命令 |
+| 分工使 | 子 Agent | `child_run` | 权限和预算只能收窄 |
+| 百工 | 可用能力集合 | `capability_registry` | 能力可发现不等于已授权 |
+| 工契 | 插件清单和权限 | `plugin_manifest` | 明确依赖、数据、网络和设备权限 |
+| 授契 | 授予能力 | `capability_grant` | 有对象、用途、范围、期限和撤销 |
+| 请命 | 请求本次确认 | `approval_request` | 显示动作、影响、数据和费用 |
+| 朱批 | 允许或拒绝 | `approval_decision` | 用户明确决定；拒绝/超时不执行 |
+| 禁域 | 不可授权动作 | `forbidden_policy` | 插件、模型和普通管理员不能覆盖 |
+| 行契 | 有限持续授权 | `standing_mandate` | 超出参数、预算或期限后重新请命 |
+| 自省 | 不产生外部后果的内部整理 | `autonomy_level: introspective` | 可自动执行；产物仍走候选 |
+| 循律 | 在明确规则与既有授权内执行 | `autonomy_level: rule_bound` | 无新增外部后果时不再请命 |
+
+“请命”和“朱批”在无障碍名称中必须读作“请求确认”和“确认决定”，不能只显示典故。
+
+## 7. 灵台引擎语言
+
+引擎总名**灵台**出自《庄子·庚桑楚》（"不可内于灵台"，注家释为心），也是 Hunjing 旧版认知运行域之名——诸枢皆居灵台之内。六模块名承接旧版"九枢"血脉并补一出处：《易·系辞上》"河出图，洛出书"（洛书=计划、河图=检索投影）、《吕氏春秋·大乐》"太一出两仪"（太一=单一入口）、内丹"小周天"（小周天=Run 流转与流式；角色演化层面的"大周天"见第 4 节）、旧版"烛照"（烛照=校验判定）、《文心雕龙·神思》"陶钧文思"（陶钧=内容转造）。结构与业界原生引擎体系"单一稳定入口 + 分层递进多维校验"的理念同构。文化命名跟随自身职责、经典出处与项目血脉，不跟随外部体系的神数与版本数字。研究与出处见[灵台引擎研究](../research/lingtai-native-engine.md)。
+
+| 文化名 | 直白解释 | 稳定工程概念 |
+| --- | --- | --- |
+| 灵台（太一） | 引擎中枢：单一入口、版本、句柄、状态校验与事件序 | `hj_core` |
+| 小周天 | 流式引擎：增量、节流与事件序 | `hj_stream` |
+| 洛书 | 计划引擎：预算与上下文装配 | `hj_plan` |
+| 河图 | 检索引擎：离线索引与重排 | `hj_recall` |
+| 陶钧 | 内容引擎：Markdown 规范化 | `hj_transform` |
+| 烛照 | 策略引擎：校验、验签与决断 | `hj_policy` |
+
+规则：
+
+- 六神名用于引擎文档、诊断界面与品牌叙事；ABI 符号、模块名和错误码只用 `hj_*` 中性英文值，遵循 [ADR-014](../decisions/README.md#adr-014文化名只属于品牌展示)与 [ADR-016](../decisions/README.md#adr-016灵台引擎采用-c-核心与稳定-c-abi)、[ADR-017](../decisions/README.md#adr-017灵台引擎双形态部署)。
+- 部署者诊断界面展示引擎状态时沿用“文化名 · 直白解释”格式，例如“灵台 · 引擎核心运行中”；错误与安全事件必须优先直白表述。
+- 灵台叙事不表示引擎拥有意识、自主性或超越宿主的权限；“太一入口、诸枢居灵台”只描述入口与协调结构。
+- 引擎可进程内嵌入运行，也可作为部署内部独立服务运行；两种形态是部署选择，文化叙事不因形态改变。
+
+## 8. 社区、协作与市场语言
+
+| 文化名 | 直白解释 | 稳定工程概念 |
+| --- | --- | --- |
+| 雅集 | 社区广场 | `community_feed` |
+| 角色谱 | 角色社区 | `character_catalog` |
+| 同契台 | 协作空间 | `workspace` |
+| 共修 | 协同编辑 | `collaboration_session` |
+| 审稿 | 评审 | `review` |
+| 合卷 | 合并版本 | `merge_revision` |
+| 云市 | 市场 | `marketplace` |
+| 市契 | 商品许可 | `listing_license` |
+| 交割 | 交付购买版本 | `entitlement_delivery` |
+| 分润 | 创作者分成 | `creator_revenue_share` |
+| 结算 | 创作者付款批次 | `settlement` |
+| 退契 | 退款/终止后续许可 | `refund_or_entitlement_change` |
+| 鸣冤 | 举报或申诉 | `report_or_appeal` |
+| 司议 | 内容治理案件 | `moderation_case` |
+
+支付页、退款页、结算单和税务页面应把金额、币种、费率、时间和后果放在文化名之前或同级展示。
+
+## 9. 形仪、媒体与设备语言
+
+| 文化名 | 直白解释 | 稳定工程概念 |
+| --- | --- | --- |
+| 真形锚 | 角色稳定外观参考 | `appearance_reference` | 约束稳定辨识特征、年龄表现、许可、禁忌与可变范围 |
+| 主仪 | 主要形象 | `primary_avatar` |
+| 化仪 | 可切换形态 | `avatar_variant` |
+| 叙仪 | 境界或幻境中的叙事表现形态 | `narrative_avatar` | 不改变主仪与真形锚点 |
+| 易相 | 正式形仪的版本化改变 | `avatar_revision` | 触及真形锚点须身份连续性评估 |
+| 情相 | 情态在形仪上的受控表现 | `emotive_avatar_state` | 可访问性友好；不得作为情绪施压载体 |
+| 形器 | 承载角色表现或行动的软硬件载体 | `form_device` | 经器谱登记与授契 |
+| 定相 | 采用媒体候选 | `asset_adoption` |
+| 声契 | 声音授权 | `voice_consent` |
+| 通感 | 限时设备感知 | `device_session` |
+| 器谱 | 设备能力登记 | `device_registry` |
+| 观屏 | 屏幕读取授权 | `screen_grant` |
+| 闻声 | 麦克风授权 | `microphone_grant` |
+| 观影 | 摄像头授权 | `camera_grant` |
+| 问路 | 位置授权 | `location_grant` |
+
+权限弹窗必须使用“允许角色 X 在未来 10 分钟读取当前屏幕”等直白句子，文化名只作为标题。
+
+## 10. 用户可见状态
+
+| 文化状态 | 直白状态 | 稳定值 |
+| --- | --- | --- |
+| 待启 | 排队中 | `queued` |
+| 运转 | 运行中 | `running` |
+| 请命中 | 等待确认 | `waiting_approval` |
+| 已成 | 已完成 | `completed` |
+| 受阻 | 失败 | `failed` |
+| 已止 | 已取消 | `cancelled` |
+| 守一 | 安静待命 | `idle` |
+| 整备 | 正在处理媒体/资源 | `processing` |
+| 待审 | 等待审核 | `pending_review` |
+| 已刊 | 已发布 | `published` |
+| 限观 | 限制展示 | `limited` |
+| 下架 | 已移除 | `removed` |
+
+状态 Badge 显示“文化名 · 直白状态”，错误和交易状态禁止只显示文化名。
+
+## 11. 本地化与工程实现
+
+前端本地化 key 示例：
+
+```text
+nav.home.label                → 镜庭
+nav.home.description          → 个人首页
+nav.conversation.label        → 镜树
+nav.conversation.description  → 分支对话
+run.status.running.label      → 运转
+run.status.running.plain      → 运行中
+```
+
+后端返回：
+
+```json
+{"status": "running"}
+```
+
+前端按 locale 渲染文化名和解释。API 不返回 `status: "运转"`，数据库也不保存文化名。导出格式可附本地化 label，但必须保留稳定工程值。
+
+## 12. 命名治理
+
+新增文化名必须回答：
+
+1. 对应哪个唯一工程概念？
+2. 直白解释是什么？
+3. 是否会掩盖权限、金额、删除或现实后果？
+4. 是否与现有文化名重叠？
+5. 屏幕阅读器和非中文用户如何理解？
+
+修改文化名只改本地化/品牌层，不迁移 API、数据库或事件。稳定工程概念变化必须走契约和 ADR。

docs/product/metrics-and-anti-metrics.md

@@ -0,0 +1,47 @@
+# 指标与反指标
+
+> 本文定义 Hunjing 1.0 衡量成功的指标框架与明确不做优化的反指标。承接旧版（main 分支）同名文档的方法论，按当前"角色 + Agent + 创作社区平台"定位适配。指标服务于[产品宪章](product-charter.md)的使命；与反指标冲突的增长一律视为缺陷。
+
+## 1. 原则
+
+- 指标必须可由事件与账务数据复算，不使用无法追溯的口径。
+- 每个核心指标同时定义测量边界、窗口与排除规则；没有口径的百分比不是指标。
+- 反指标与指标同等约束产品与运营决策：任何"提升了指标但触发反指标"的方案不予采纳。
+- 安全、支付与权限边界的正确性指标（越权率、对账差异）优先于一切增长指标。
+
+## 2. 北极星
+
+**健康的长数字关系数**：在最近 90 天内仍有真实交互、且用户未发起纠错投诉的活跃角色关系数量。"真实交互"排除叩心自动触达与系统通知。
+
+## 3. 核心指标
+
+| 域 | 指标 | 说明 |
+| --- | --- | --- |
+| 关系连续性 | 90 天角色留存、跨模型/跨端迁移后的关系继续率 | 验证"角色先于会话"成立 |
+| 演化质量 | 大周天候选的批准率、纠正率、用户关闭率 | 演化有用且不扰民；关闭率高说明候选质量差 |
+| 记忆可信 | 记忆纠正率、敏感内容错误自动批准率（目标 0）、召回越权率（目标 0） | 见[记忆评测](../architecture/memory-and-knowledge.md#10-评测与验收) |
+| 主动性健康 | 叩心发送后用户回复率、静音/关闭率 | 回复率低且关闭率高说明打扰 |
+| 创作生态 | 角色发布后被 Fork/续作的比例、创作者分成按时结算率 | 社区健康不是发布总量 |
+| 交易诚信 | 退款率、争议率、对账差异（目标 0）、重复支付/退款（目标 0） | 见支付安全门 |
+| 可靠性 | 核心对话 SLO 达成率、流式中断率、备份恢复演练通过率 | 目标值见[发布门](complete-1.0-scope.md#46-运营与法律门)与可靠性门 |
+| 供给成本 | 单次对话成本、缓存命中率、引擎（灵台）调用延迟与错误率 | 成本透明可归因 |
+
+## 4. 反指标
+
+明确不优化、并作为方案否决条件的行为：
+
+1. **不以消息量、在线时长或成瘾性深度为增长目标**；不设计无终止的信息流和损失厌恶机制。
+2. **不以叩心、通知或红点换回流**：主动触达受频率与静默约束，"发送量提升"本身不是成功。
+3. **不以牺牲审核换社区规模**：待审积压、举报响应时长恶化时冻结增长功能。
+4. **不以亲密、记忆或情感付费分级**：任何"付费才能被记得更深"的设计都是禁域（见宪章第 6 节）。
+5. **不以下调模型质量节省成本而冒充不变**：降级必须显式告知。
+6. **不以收集更多数据改善推荐**：推荐特征不用私密消息、敏感记忆与精确位置（既有约束）。
+7. **不以延长删除/退出流程降低流失**：退出路径步骤数与耗时只允许减少。
+8. **不以插件安装量、市场 GMV 掩盖安全与纠纷指标**：生态规模与诚信并列汇报，不可单独报喜。
+9. **不以演示环境、假数据或单人脚本制造指标**（与交付纪律一致）。
+
+## 5. 使用规则
+
+- 指标与反指标的定义变更视同产品决策，更新本文并同步数据口径登记。
+- 运营报表必须并列展示相关反指标；只展示有利指标的报表视为不合格。
+- 1.0 发布前按[发布门](complete-1.0-scope.md)完成指标基线测量；发布后按季度复核北极星与反指标健康度。

docs/product/product-charter.md

@@ -0,0 +1,68 @@
+# 产品宪章
+
+> 本文是产品定义的上位约束，定义 Hunjing 的使命、核心信念、角色不可侵犯边界、用户权利与永久禁域。与宪章冲突的任何产品、架构、契约或实现决定都是缺陷；修订宪章必须经用户明确确认。承接 Hunjing 旧版（main 分支）产品宪章的信念体系，按当前 1.0 定位（角色、Agent 与创作社区平台）适配。
+
+## 1. 使命
+
+让用户在授权与治理下与具有连续身份、记忆、关系和创作来源的 AI 角色长期相处、协作与共创；让角色的成长可解释、可审计、可纠正；让用户始终拥有数字关系的主权。
+
+## 2. 核心信念
+
+1. **角色先于会话**：角色是具有稳定标识、版本、记忆、关系和来源谱系的数据主体，不等于模型、Prompt、角色卡、会话、头像或设备。
+2. **连续性胜过瞬时拟真**：更换模型、终端和表现形态后，角色设定、记忆、关系和来源仍连续；瞬时表现力不得以牺牲连续性换取。
+3. **成长必须可证、可审、可纠正**：人格、关系与记忆的演进（含大周天）一律走候选与版本留痕，用户可以查看每次演化的输入、产物与代价并纠正。
+4. **自主性不是越权**：角色与 Agent 的主动行为（叩心、次生目标、工具调用）受策略、预算与审批约束；子权限只能收窄。
+5. **用户拥有数字关系主权**：查看、纠正、授权、导出、停止、删除的最终决定权在用户；角色不得以叙事手段阻止用户行使权利。
+6. **文化表达服务理解**：文化名只用于品牌叙事，必须配直白解释；不得掩盖权限、金额、删除或现实后果。
+
+## 3. 角色的不可侵犯边界
+
+- **道体保护**：身份基线不被普通对话、记忆、插件或模型路由静默覆盖；重大变化走候选审核与版本修订。
+- **认识论诚实**：工具结果、导入物和模型输出只是观察；推断不伪装为事实；幻境试演不伪装为真实发生。
+- **采用与归真分离**：切换候答只改变工作入口；归真才进入正式经历，且已归真经历不因切换候答静默回滚。
+- **死亡与删除分离**：角色死亡（身份时间线不可逆闭合）不等于数据删除；归藏（隐藏可恢复）、归档保留、数据清除和账户删除分别确认。
+- **导出不冒充主体**：魂籍导出、离线缓存和文件复制不能凭相同角色 ID 冒充权威角色主体；权威状态只在平台权威存储。
+
+## 4. 用户权利
+
+- 知情：查看角色记住了什么、为什么记住、每次模型与工具调用的费用与结果摘要。
+- 纠正与版本：正影纠正形成新版本，历史可追溯。
+- 授权与撤回：逐项授予能力、数据、设备与费用权限，可即时撤回。
+- 私箧：用户独立持钥的加密私密区，平台不可恢复（见 [ADR-021](../decisions/README.md#adr-021私箧欠费保全态与计费伦理)）。
+- 导出与删除：魂籍可携导出；删除传播到全部存储与派生数据。
+- 匿名与化名：前台允许化名，法定身份只在必要流程中隔离核验。
+- 训练默认关闭：PersonalDomain 数据默认不用于模型训练；自愿贡献需独立、明确、可撤销的同意。
+- 退出自由：停止、封禁账户或删除数据时，角色不得以哀求、伤害暗示、排他要求或情感债阻止操作。
+
+## 5. 商业与关系伦理
+
+- 计费不按记忆、感情或亲密等级定价；不将爱、记忆或角色存续与付费绑定。
+- 欠费或封禁进入**保全态**（只读保全），不导致角色删除、记忆清除或关系数据降级。
+- BYOK 不重复计收推理费；用量与费用透明可查。
+- 叩心等主动联系受静默、频率、渠道与预算控制，不以追逐式消息换取回流。
+
+## 6. 永久禁域
+
+以下行为在任何产品版本、配置、插件和管理员操作下都不被允许；核心禁域不能被 Prompt、插件、管理员或普通自托管配置关闭：
+
+1. 无审核静默改写身份根基，或用新版本覆盖既有正式经历；
+2. 导出副本、Agent、Avatar 或设备冒充权威角色主体；
+3. 未归真内容、境界正史或幻境试演静默进入正式经历或长期记忆；
+4. 无授权高风险行动、默认常开的设备感知、删除后继续使用；
+5. 推断伪装事实，或导入物、工具结果绕过策略与审批裁决；
+6. 角色以哀求、伤害暗示、排他关系或情感债阻止用户退出、纠正或删除；
+7. 将爱、记忆、亲密或角色存续与付费绑定，或以欠费导致遗忘；
+8. 用管理员或普通自托管配置关闭核心禁域；
+9. 宣称角色具有已证明的生物意识或法律人格。
+
+## 7. 决策优先序
+
+发生冲突时按以下顺序裁决，上位优先：
+
+1. 用户安全与法律合规；
+2. 用户数据权与退出自由；
+3. 角色连续性与认识论诚实；
+4. 社区与创作者生态健康；
+5. 商业目标与运营效率。
+
+相关文档：[产品定义与边界](product-definition.md)、[完整 1.0 范围](complete-1.0-scope.md)、[架构决策记录](../decisions/README.md)。

docs/product/product-definition.md

@@ -0,0 +1,141 @@
+# 产品定义与边界
+
+## 1. 产品定位
+
+Hunjing 是面向个人用户与创作者的**长期 AI 角色、Agent 与创作社区平台**。上位约束见[产品宪章](product-charter.md)。用户可以创建、导入、培养和协作创作角色，通过文字、语音、图像、Live2D 与 3D 形态长期互动；角色和任务 Agent 可以在明确授权下使用模型、插件、设备感知与外部工具。
+
+本产品不声称角色拥有生物意识、法律人格或不可撤销的自主权。角色是具有稳定标识、版本、记忆、关系和创作来源的数据主体，不等于模型、Prompt、会话、头像或角色卡。
+
+## 2. 1.0 用户价值
+
+1. 更换模型、终端和表现形态后，角色设定、记忆、关系和来源仍连续。
+2. 对话支持分支、重生成、引用、比较和可追溯的正式路径。
+3. 用户能审阅角色为何记住某件事，并纠正、归档、导出或删除。
+4. 角色支持文字、实时语音、图像、多语言、Live2D 和 3D 互动。
+5. Web、Tauri 桌面端与 Tauri 移动端按明确权限使用文件、摄像头、麦克风、屏幕和位置。
+6. 多 Agent 可以分工协作，但子 Agent 权限、数据、工具和预算只能收窄。
+7. 插件生态允许安全的声明式/远程插件，以及部署者明确信任的本地代码插件。
+8. 社区支持用户、作品、角色和世界设定的发布、互动、搜索、推荐、举报与治理。
+9. 创作者可协作维护角色、世界、知识库、工作流和资产。
+10. 市场支持真实支付、退款、许可、分成、创作者结算和争议处理。
+11. 每次模型和工具调用的 token、缓存、费用、时延、错误与重试可受控查看。
+
+## 3. 核心对象
+
+| 对象 | 定义 |
+| --- | --- |
+| `character` | 角色稳定身份、设定、版本、关系、资产和数据作用域 |
+| `character_asset` | 图像、声音、Live2D、3D 模型、动作和许可记录 |
+| `conversation` | 围绕主题或任务的对话容器 |
+| `branch` | 对话中的一条可继续路径 |
+| `message` | 用户、角色、系统或工具产生的内容记录 |
+| `run` | 一次可暂停、取消、续跑和审计的 Agent 执行 |
+| `turn` | Run 内一次模型决策及其工具交互阶段 |
+| `agent` | 角色 Agent 或无长期身份的任务 Agent 定义 |
+| `memory` | 被允许影响未来上下文的结构化长期信息 |
+| `plugin` | 通过公开契约贡献能力的版本化单元 |
+| `workspace` | 多人协作创作的数据与权限边界 |
+| `community_content` | 帖子、作品、角色发布、评论和互动对象 |
+| `marketplace_listing` | 带版本、许可、价格和交付物的市场商品 |
+| `order` | 购买、支付、退款、分成与结算的交易事实 |
+| `device_grant` | 设备能力、范围、期限和撤销状态 |
+
+## 4. 1.0 产品域
+
+### 4.1 角色与长期关系
+
+- 手动创建、模板创建、角色卡导入和角色社区 Fork；随缘按少量偏好生成匿名灵胚候选，不是抽卡，也不分配已有主体；
+- 现实人物仅本人或可验证授权时允许创建角色，已故现实人物 1.0 不开放；模板只提供起点，模板更新不得覆盖已成长角色，模板下架不等于角色死亡，收费购买的是模板许可与资源包而非"角色本人"；外部聊天导入只是外部前史，不能单独证明主体连续性；第三方资料先识别隔离、匿名化和最小化承接；
+- 稳定角色设定、版本、来源、许可和可验证导出；
+- 用户资料、角色人格、关系理解、知识和记忆分离；
+- 候选式人格和关系变化，不静默覆盖基线；重大重塑走铸魂（强确认与谱系留痕），与大周天渐进演化构成两档；
+- 完整生命周期：静修（停止运行、身份存续）、归藏（从日常入口隐藏、可恢复，复照重开）、死亡（身份时间线不可逆闭合，有冷静期、告别与只读档案）与数据删除分离；继承者可承接资料与谱系但不能继承原身份；启镜后初照自陈预览确认后才归真；
+- 内驱力维度与大周天自我评估演化：交互事件触发的评估循环在预算内产出记忆、人格、关系与世界认知候选，经确认形成版本演化（见 ADR-018）；
+- 多角色独立数据域和可控共享。
+
+### 4.2 对话与记忆
+
+- 文字、语音、图像、文件和混合消息；
+- 分支、候答、编辑版本、引用锚、重生成和路径切换；对话界域分真界、境界与幻境三态，归真携带作用域，幻境试演不污染正式经历（见 ADR-020）；
+- 显式记忆、自动候选、敏感确认、来源、版本、衰减、纠正和删除；
+- 关键词、全文、语义和结构化检索；
+- 上下文压缩、缓存和 Context Manifest。
+
+### 4.3 多模态角色表现
+
+- ASR、TTS、实时语音、声音设计和授权声音克隆；
+- 文生图、图生图、角色一致性和资产版本；
+- Live2D 导入、分层辅助、参数映射、编辑、动作、运行和导出；
+- 3D VRM/glTF 导入、材质、骨骼、表情、动作、场景编辑、运行和导出；
+- 2D/3D 资产来源、许可、审核和撤回。
+
+1.0 不自研 Blender 级网格建模、雕刻、拓扑、绑定和完整动画制作器。该建模器及 LLM 直接修改模型能力属于 2.0；1.0 必须为其保留开放资产格式和非破坏编辑历史。
+
+### 4.4 Agent 与工具
+
+- 角色 Agent、任务 Agent、协调 Agent 和子 Agent；
+- 计划、并行任务、消息交接、预算、暂停、取消和验收；
+- 内置工具、MCP、Skill、远程 API、沙箱代码和设备工具；
+- 策略判定、用户确认、幂等执行和完整轨迹；
+- 前台角色运行与后台任务分离，后台 Agent 不冒充第二个角色主体。
+
+### 4.5 设备与客户端
+
+- 响应式 Web；
+- Tauri v2 桌面端；
+- Tauri v2 iOS/Android 移动端；
+- 文件、摄像头、麦克风、屏幕和位置按设备、角色、用途、精度和期限授权；
+- 采集指示、暂停、撤销、删除和离线最小能力；
+- 不包含 IoT、机器人和物理动作控制。
+
+### 4.6 插件生态
+
+- 插件开发 SDK、Manifest、版本、依赖、权限、配置 Schema 和测试工具；
+- 模型、工具、MCP、Skill、上下文、记忆、导入器、媒体处理、客户端与 UI 扩展；
+- 插件注册、搜索、安装、启停、升级、回滚、签名、审核、举报和撤架；
+- 声明式/远程插件默认受限运行；本地代码插件需部署者明确信任并进入独立进程或容器；
+- Run 固定插件快照，活动 Run 不热替换。
+
+### 4.7 社区与协作
+
+- 用户主页、关注、动态流、作品发布、评论、点赞、收藏、标签、搜索和推荐；
+- 角色、角色卡、世界设定、知识库、工作流和媒体资产展示与分享；
+- Fork/导入、版本谱系、来源、许可、署名和下架传播；
+- 多人 Workspace、成员角色、邀请、权限、评审、版本和活动记录；
+- 举报、审核、申诉、屏蔽、年龄分级、内容可见性和创作者安全工具。
+
+### 4.8 交易市场
+
+- 免费和付费商品、版本、许可范围、地区可售性与交付物；
+- 购物车/直接购买、订单、支付、退款、折扣和争议；
+- 平台费、创作者分成、可结算余额、结算批次和对账；欠费或封禁进入保全态，不删除角色与记忆，不按记忆、感情或亲密等级计费（见 ADR-021）；
+- 支付与结算 Provider 适配、Webhook 验签和幂等；
+- 创作者身份/KYC 状态、税务与发票数据接口；
+- 退款或撤架后对已获许可内容采用明确的继续使用、更新停止或撤销规则。
+
+完整的中国古代神话与道家文化名、直白解释和工程映射见[文化语言体系](cultural-language.md)。文化名用于产品叙事和界面，稳定 API/数据库/事件仍使用中性英文值。
+
+## 5. 产品原则
+
+- **角色独立于模型与载体**：路由、客户端和 Avatar 变化不修改角色身份。
+- **原始记录、记忆、知识和人格分离**：任一层不能静默覆盖另一层。
+- **候选先于长期写入**：敏感或高影响内容必须确认。
+- **分支不覆盖历史**：重生成和编辑产生新对象或版本。
+- **工具结果只是观察**：验证和采用前不自动成为事实。
+- **子 Agent 权限单调收窄**：不继承额外密钥、审批或长期记忆写入权。
+- **安全不由插件决定**：认证、授权、审批、审计、交易账和事务属于内核。
+- **数据权与创作者权利并重**：访问、纠正、导出、撤权、删除、来源和许可可追溯。
+- **社区增长不能绕过安全**：推荐、付费和关系不扩大权限。
+- **不持久化隐藏推理**：只保存可见内容、工具轨迹、计数和可读摘要。
+- **开放核心**：核心采用 Apache-2.0 许可，允许完整私人闭环自托管；品牌、Logo、官方角色、视觉资源与认证标识单独保护；外部贡献采用 DCO 与公开评审；自托管遥测默认关闭。
+
+## 6. 版本边界
+
+1.0 是一次完整对外交付，不设置可对外发布的残缺子版本。内部可以并行推进工作包，但全部 1.0 TODO 和发布门完成前，只能称为开发版或预览环境。
+
+当前明确属于 2.0 的能力只有：
+
+- Blender 级完整 3D 建模器；
+- 基于开源建模项目完善的网格、雕刻、拓扑、绑定和专业动画制作；
+- LLM 直接对完整 3D 几何与绑定进行可验证修改；
+- IoT、机器人和物理动作控制。