📝 docs: 建立魂镜完整 1.0 设计文档体系

- 产品层：产品宪章与永久禁域、产品定义、完整 1.0 范围与发布门、道家文化语言体系、指标与反指标
- 研究层：参考项目研究（deepseek-harness、pi、MemOS、模型网关）、灵台原生引擎研究（业界原生引擎架构理念与道家文化出处）
- 架构层：系统、Agent 运行时（周天体系）、插件系统、灵台引擎（C++ 双形态）、媒体与设备、社区协作市场、前端富内容渲染、数据、记忆与知识
- 契约层：协议与稳定标识、API 总体约定、Native API、兼容网关、实时与 Webhook、内部端口、统一 ContentBlock 与流式（含分支对话交互态）、灵台 C ABI 与 gRPC Service、API 表面、HTTP 与事件、运行观测
- 决策：ADR-001 至 ADR-023（模块化单体、每 attempt 持久化、候选记忆、OAuth 2.1、灵台引擎、双形态部署、大周天演化、宪章、三界作用域、私箧与保全态、叩心、周天统一等）
- 交付：WP-01 至 WP-15 实施 TODO 与设计阶段交接文档
- 工程：AGENTS.md 工程规则（含 C++/灵台规范）、CLAUDE.md 引用、.gitignore

docs/product/complete-1.0-scope.md

@@ -0,0 +1,91 @@
+# 完整 1.0 范围与发布门
+
+> 状态：目标范围。所有未勾选 TODO 都属于 1.0；全部完成前不得宣称正式 1.0。
+
+## 1. 发布口径
+
+Hunjing 1.0 是一次整体发布。工作包只是内部并行和验收单元，不是独立产品版本、MVP、P0/P1/P2 或可提前改名的“首版”。预览环境必须明确标注未完成能力。
+
+## 2. 1.0 必须交付
+
+| 域 | 完整范围 |
+| --- | --- |
+| 账户与治理 | 多凭证、数据域（含私箧独立持钥区）、角色/权限、隐私（化名与法定身份分离核验、数据默认不用于训练）、年龄分级、导出、删除、封禁、申诉和审计 |
+| 角色 | 创建、模板、导入（现实人物授权治理）、随缘、Fork、版本、谱系、许可、关系、人格候选、内驱力与大周天演化、铸魂与身份谱系、静修/归藏/死亡/复照生命周期与继承和可携导出 |
+| 对话 | 多模态消息、流式、分支、候答、引用、编辑版本、三界归真作用域、压缩和断线恢复 |
+| 记忆与知识 | 候选（含大周天来源与界域作用域）、白名单自动写入与撤销窗、确认、版本、来源、衰减、纠正、删除、全文/语义/结构化检索 |
+| 模型与 Agent | 多 Provider、逻辑路由、Prompt Cache、token/cost、多 Agent、计划、并行、暂停、取消和验收 |
+| 工具与插件 | 内置工具、MCP、Skill、沙箱、双轨插件、SDK、注册、安装、升级、审核、撤架和市场 |
+| 语音与多语言 | ASR、TTS、实时语音、授权声音克隆、界面国际化和多语言对话（中文为品牌与文化语义原始语言） |
+| 图像与 Live2D | 图像生成/编辑、角色一致性、Live2D 导入/编辑/运行/导出和资产治理 |
+| 3D | VRM/glTF 导入、材质/骨骼/表情/动作/场景编辑、运行和导出 |
+| 客户端与感知 | Web、Tauri 桌面、Tauri iOS/Android、文件/相机/麦克风/屏幕/位置授权 |
+| 社区 | 主页、关注、动态、作品、评论、点赞、收藏、搜索、推荐、举报、审核、申诉和屏蔽 |
+| 角色社区 | 角色/世界/知识/工作流/资产发布、版本、Fork、来源、许可和下架传播 |
+| 协作 | Workspace、成员、RBAC、邀请、评审、版本、活动记录和协同编辑 |
+| 交易 | 商品、订单、支付、退款、折扣、争议、平台费、分成、余额、结算、对账、税务接口和保全态 |
+| 运营 | 管理面、支持包、内容治理、用量与成本、通知、搜索运营、备份恢复和可观测性 |
+| 自托管 | 单机与服务器部署、插件策略、数据导入导出、备份和升级 |
+
+## 3. 1.0 不包含
+
+只排除已经明确确认的 2.0 能力：
+
+- Blender 级完整 3D 建模器与专业制作工具链；
+- LLM 直接修改完整 3D 几何、拓扑、绑定和专业动画；
+- IoT、机器人和物理设备动作控制。
+
+技术实现不是功能清单。Go 网关、Milvus、Neo4j、NebulaGraph 或特定队列只有在满足 1.0 能力、规模和可靠性时确有必要才采用；没有使用某项技术不代表范围缺失。
+
+## 4. 总体发布门
+
+### 4.1 功能门
+
+- 以上每个域均完成用户旅程、管理旅程、失败旅程和恢复旅程。
+- Web、桌面和移动端的适用能力可实际运行，不以静态页面替代。
+- 插件、市场、支付、结算、多 Agent、实时语音、Live2D 和 3D 均有端到端生产路径。
+
+### 4.2 安全门
+
+- 零已知跨用户、跨角色、跨 Workspace、跨插件和跨订单越权。
+- 未信任插件无法在宿主主进程执行任意代码。
+- 支付、退款、结算、Webhook 和副作用工具通过幂等与重放测试。
+- 相机、麦克风、屏幕、位置、声音克隆和敏感记忆均有明确授权和撤销。
+- 社区内容、私信/互动、商品和插件通过举报、审核、申诉与下架流程。
+
+### 4.3 数据门
+
+- 角色、社区、协作、交易、媒体、插件和运行数据均可按授权导出与删除。
+- 删除传播到主存储、索引、缓存和派生数据；备份恢复后重放删除清单。
+- 订单账、分成账、结算账与支付 Provider 可对账，金额不使用二进制浮点。
+
+### 4.4 可靠性门
+
+- 核心文字相伴官方云 SLO 目标 99.9%；权威数据 RPO 不高于 5 分钟、RTO 不高于 1 小时，以恢复演练证明；媒体与可重建索引可用更宽目标。核心对话、社区读取、插件安装、订单和结算分别定义并验证 SLI 口径、窗口与排除规则。
+- 流式文本、实时语音、媒体处理和多 Agent 任务可取消、超时、恢复或明确失败。
+- 完成备份恢复、Provider 故障、队列积压、对象存储故障和插件撤架演练。
+
+### 4.5 质量门
+
+- 核心逻辑自动化覆盖目标不低于 80%；安全、支付和权限边界必须覆盖公共行为。
+- 完成桌面、移动、无障碍、国际化、性能和弱网测试；关闭全部多模态能力后，基础文字相伴仍完整可用。
+- 每条 1.0 需求可映射到实现位置、调用点、测试和运行证据。
+- 实现代码中不存在 `TODO`、`pass`、省略或假数据占位冒充完成。
+
+### 4.6 运营与法律门
+
+以下内容允许在开发期作为 TODO，但正式 1.0 前必须作出并落实决定：
+
+- [ ] 运营主体、首发地区、隐私角色和数据保留期限；
+- [ ] 支付、退款、创作者 KYC、结算、税务和发票 Provider；
+- [ ] 社区规范、审核标准、申诉时限和版权投诉流程；
+- [ ] 角色、声音、Live2D、3D、插件和衍生作品许可模板；
+- [ ] 年龄分级、受限内容和地区可售策略；
+- [ ] 商店费率、分成、结算周期、准备金和拒付规则。
+
+## 5. TODO 使用规则
+
+- 文档 TODO 表示 1.0 尚未完成的真实工作，不表示可从 1.0 删除。
+- 每个 TODO 完成时附实现、调用点、测试和证据链接。
+- 需求变化必须先更新产品范围和 ADR，再更新 TODO。
+- 只有本文件全部 TODO、实施清单和发布门完成后，版本才能标记为 1.0。