初始化提交

docs/operations/capability-matrix.md

@@ -0,0 +1,48 @@
+# 魂镜能力矩阵
+
+> 状态：开发期基线  
+> 作用：记录“当前已经验证到哪里”，不重复产品目标或契约取值。没有证据链接的能力不得标为完成。
+
+## 1. 状态值
+
+| 状态 | 判定 |
+| --- | --- |
+| 未评估 | 尚未完成代码、契约与运行证据盘点 |
+| 未实现 | 目标已确认，但没有可运行闭环 |
+| 局部实现 | 只有部分服务、API、页面或测试，尚非用户闭环 |
+| 已验证 | 在指定部署档位与范围内通过契约、端到端和失败路径验证 |
+| 待复核 | 证据过期、依赖变化或出现回归，不能继续沿用原结论 |
+
+“已验证”不是全局状态，必须同时写明部署档位、区域/范围、版本和证据日期。
+
+## 2. 当前架构基线
+
+| 能力 | 里程碑 | 当前状态 | 服务归属与过渡情况 | 发布前缺口 |
+| --- | --- | --- | --- | --- |
+| Python 灵台认知与人物业务 | P0 | 局部实现 | Python backend 已承载多项领域模块 | 按用户闭环补契约、端到端与失败路径证据 |
+| 神识模型网关 | P0 | 局部实现 | Provider/Endpoint 配置与路由仍在 Python `ai_provider`；独立 Go 神识未部署 | 定义跨服务模型请求/流、鉴权、BYOK、用量、错误和迁移回退 |
+| 玄关 MCP 网关 | P0 | 局部实现 | 现有 Go gateway 是 MCP 服务/工具管理，不是神识 | 补部署、认证、健康检查、百工登记与司命裁决闭环 |
+| 乾坤隔离执行 | P0/P1 | 局部实现 | Rust sandbox 已有工程与接口 | 补隔离级别、资源上限、失败/取消、凭证与安全测试 |
+| 琉璃镜 Web | P0 | 局部实现 | Next.js 已有多页面与 API client | 补真实数据闭环、响应式、无障碍和错误状态证据 |
+| 镜树归真 | P0 | 未评估 | 目标契约已明确由灵台拥有并使用 `canonical_scope` | 机器 Schema、并发版本、三界作用域、记忆消费和端到端测试 |
+| 身份在线迁移 | P0/P2 | 未实现 | 仅有目标协议 | manifest/schema、签名信任、lease/epoch/fencing、错误码和故障注入 |
+| Outbox/Inbox | P0 | 未评估 | 当前存在 EventStore，不等同于已完成 Outbox | Schema、投递器、幂等、重放、DLQ、水位和副作用顺序 |
+| 删除与恢复墓碑 | P0/P2 | 未评估 | 目标规则已确认 | 主存储/索引/上下文停止使用与恢复后重应用的测试证据 |
+
+## 3. 能力行模板
+
+新增能力行至少包含：
+
+| 字段 | 内容 |
+| --- | --- |
+| 能力与里程碑 | 用户可验证的纵向闭环及 P0/P1/P2 |
+| 目标契约 | 产品、领域、架构、协议和机器 Schema 链接 |
+| 服务归属 | 生产者、消费者和权威状态所有者 |
+| 当前状态 | 使用第 1 节状态值 |
+| 适用范围 | 本地开发、轻量单机、标准服务器、官方区域云及地区 |
+| 证据 | 自动测试、契约测试、端到端、故障注入、演练、监控或人工验收 |
+| 安全与数据 | 权限、驻留、删除、审计、恢复和禁域 |
+| 已知限制 | 降级、规模、单机/多实例限制和未覆盖风险 |
+| 责任与复核 | 责任角色、版本、最近验证时间与证据有效期 |
+
+能力状态由证据反推，不由文档篇幅、代码数量或负责人主观确认决定。

docs/operations/document-rebuild-and-git-reset.md

@@ -0,0 +1,67 @@
+# 文档重建与 Git 重置操作方案
+
+> 旧文档清理已完成；本文保留为尚未执行的 Git 重建与代码归位方案。当前任务不重建 `.git/`、不移动业务代码、不提交。
+
+## 1. 重建目标
+
+新事实层级为：产品宪章 → 主 PRD → 领域文档 → 架构与契约 → 实现状态 → 代码。新目录采用 `product/`、`domain/`、`architecture/`、`contracts/`、`operations/`。旧文档的有效内容完成迁移和核对后删除，不保留 archive、bak 或长期重定向页。
+
+## 2. 旧文档迁移（已完成）
+
+旧 `concept/`、`design/`、`development/`、`api/` 和 `roadmap/` 已删除，不保留 archive、bak 或长期重定向页。有效的稳定标识、枚举、ID、事件和错误码已归入 `contracts/contract-glossary.md`；目标语义归入 product/domain/architecture，当前实现差距归入能力矩阵。后续发现遗漏时从 Git 历史提取单项证据并归入当前事实层级，不恢复旧树。
+
+## 3. Git 重建前三重备份
+
+删除旧 `.git/` 前必须创建并验证三种彼此独立的备份：
+
+| 备份 | 覆盖内容 | 验证 |
+| --- | --- | --- |
+| Git Bundle | 可达分支、标签和提交历史 | `git bundle verify`；在临时目录克隆并核对引用/提交 |
+| 工作区快照 | 已跟踪、未跟踪、暂存和未提交文件的完整当前状态 | 解包到临时目录，与源工作区清单逐项比对 |
+| 哈希清单 | 备份产物及工作区文件的路径、大小、摘要 | 在独立位置重新计算并零差异校验 |
+
+备份产物必须写到项目目录外，避免随 `.git/` 或工作树清理被删除。验证失败时立即停止，不得继续重置。
+
+```mermaid
+flowchart TD
+    I[冻结重建窗口与盘点工作区] --> B1[生成 Git Bundle]
+    I --> B2[生成完整工作区快照]
+    I --> B3[生成哈希清单]
+    B1 --> V[临时位置恢复验证]
+    B2 --> V
+    B3 --> V
+    V --> OK{三者均验证通过?}
+    OK -- 否 --> STOP[停止，修复备份]
+    OK -- 是 --> G[才允许进入 Git 重建]
+```
+
+## 4. 现有代码项目外封存
+
+在新 Git 初始化前，将现有业务代码完整封存到项目外位置，保留工作区快照和哈希对应关系。封存件只作审计与归位输入，不直接作为新仓库首提交，也不得在原项目中留下 `.bak` 副本。
+
+## 5. 新 Git 首提交
+
+首提交只包含：
+
+- 新文档事实体系；
+- 仓库治理文件；
+- 不含真实秘密的示例配置；
+- 文档/契约校验脚本；
+- 四服务空骨架。
+
+不得包含现有业务代码、真实 `.env`/密钥、数据库、日志、构建产物、旧文档 archive 或项目内封存副本。首提交前检查路径、许可证、忽略规则、示例配置和空骨架边界。
+
+## 6. 代码归位
+
+代码以契约先行方式从项目外封存件逐批归位：
+
+1. 选择 P0/P1/P2 中一个可验收纵向闭环。
+2. 先确认产品/领域语义、契约和四服务归属。
+3. 审计旧代码：可复用、需重写、应删除、依赖与安全问题。
+4. 归入灵台、神识、乾坤或琉璃镜；禁止为省事混回职责。
+5. 补契约测试、端到端场景、安全/迁移/恢复测试。
+6. 更新能力矩阵，独立提交；不以大批量文件搬运冒充功能完成。
+
+## 7. 停止条件
+
+任一情况发生即停止：备份或恢复验证失败、哈希不一致、无法解释未跟踪文件、真实秘密进入候选提交、目标契约尚未确认、服务边界不清、身份连续性或数据删除风险未处理、首提交范围超出清单。

docs/operations/implementation-governance.md

@@ -0,0 +1,56 @@
+# 实现治理
+
+## 1. 目标状态与实现状态分离
+
+目标文档说明产品、领域、架构和契约应当是什么；实现状态说明当前代码和运营能力已经验证到哪里。设计完成、Schema 占位、静态原型、代码存在、测试通过和生产可用是不同证据等级，不得混写。
+
+```mermaid
+flowchart LR
+    T[目标状态<br/>产品/领域/架构/契约] --> P[实现计划]
+    P --> C[代码与配置]
+    C --> V[验证证据]
+    V --> M[能力矩阵实现状态]
+    M -.差距与反馈.-> P
+```
+
+- 目标事实源：`docs/product/` → `docs/domain/` → `docs/architecture/` 与 `docs/contracts/`。
+- 实现事实源：[能力矩阵](capability-matrix.md)及其链接的代码、自动测试、演练和[发布证据台账](release-evidence.md)。
+- 目标文档不得因当前没实现而降格；实现文档不得把未来设计标成已实现。
+
+## 2. 能力矩阵
+
+每项能力按“用户可验证的纵向闭环”建行，而不是按目录、类或接口数量建行。矩阵至少包含：
+
+| 字段 | 规则 |
+| --- | --- |
+| 能力与里程碑 | 对应 P0/P1/P2 或 1.0 发布门 |
+| 目标契约 | 链接产品、领域、架构、协议和 Schema |
+| 服务归属 | 灵台、神识、乾坤、琉璃镜；跨服务须列生产者/消费者 |
+| 实现状态 | 使用受控状态集；具体值集须在契约评审后确定 |
+| 适用档位/区域 | 轻量、标准、官方云及地区能力差异 |
+| 验证证据 | 自动测试、端到端场景、演练、监控或人工验收链接 |
+| 安全与数据 | 权限、驻留、删除、审计、恢复和禁域证据 |
+| 已知限制 | 降级、规模、单机/多实例限制和未覆盖风险 |
+| 责任与复核 | 责任角色、最近验证时间；不在文档虚构具体个人 |
+
+## 3. 状态判定规则
+
+- 没有运行证据的能力不能标为完成。
+- 只有数据结构/API/局部页面时必须标注局部实现，不能等同用户闭环。
+- Mock、静态设计稿和演示数据不能证明生产能力。
+- 单元测试证明局部逻辑；跨服务能力还需契约测试与端到端证据。
+- 涉及身份、迁移、删除、安全动作和灾备的能力必须有失败路径与演练证据。
+- 仅在一个部署档位或区域验证的能力不得泛化为全球可用。
+- 证据过期、依赖改变或 SLO 退化时，状态必须下调或标记待复核。
+
+## 4. 契约先行
+
+现有代码归位和新功能开发都遵循：确认产品/领域语义 → 登记稳定契约 → 明确服务边界 → 实现 → 契约/安全/恢复测试 → 更新能力矩阵。未确定的枚举、ID 前缀、事件和错误码不得由实现临时创造后直接固化。
+
+## 5. 变更评审
+
+每项显著变更应回答：是否改变人物连续性、命台唯一性、镜域驻留、四服务边界、用户授权、数据删除、审计链、SLO/RPO/RTO或自托管兼容性。触及这些不变量时必须同步目标契约、迁移/回退方案和发布门证据。
+
+## 6. 文档维护
+
+能力落地后更新矩阵而非篡改目标文档；目标决策改变时先更新上游事实源，再同步契约与实现计划。旧实现状态迁移期间可作为历史证据读取，但不能与新矩阵并列成为两个事实源。

docs/operations/release-evidence.md

@@ -0,0 +1,41 @@
+# 发布证据台账
+
+> 状态：模板  
+> 作用：为每个发布门提供可复核、可过期、可阻断的证据记录。本文不预填“已通过”。
+
+## 1. 证据记录格式
+
+每条证据必须包含：
+
+| 字段 | 要求 |
+| --- | --- |
+| `gate_id` | 稳定门编号，例如 `IDENTITY-SEAT-001` |
+| 发布门 | 指向 `release-gates.md` 的具体条目 |
+| 适用范围 | 产品版本、提交/镜像、部署档位、区域和能力 |
+| 责任角色 | 执行、复核与批准角色；不在模板预填个人 |
+| 方法 | 自动测试、契约测试、端到端、故障注入、恢复演练、扫描或人工验收 |
+| 结果物 | 日志、报告、trace、测试产物、截图或监控查询的不可变链接 |
+| 通过标准 | 可判定阈值，不使用“基本正常”“专项完成”等模糊描述 |
+| 实际结果 | 通过、失败或受限通过；受限通过不得用于核心禁域 |
+| 时间与有效期 | 执行时间、证据过期时间和提前复审触发条件 |
+| 例外与阻断 | 例外批准、限制、回退和未通过时阻断范围 |
+
+## 2. 首批硬门证据包
+
+| `gate_id` | 场景 | 最小通过标准 | 必须保留的结果物 |
+| --- | --- | --- | --- |
+| `IDENTITY-SEAT-001` | 在线命台迁移 | 网络分区、重复提交、目标崩溃和源端恢复均不能产生双命台；旧 epoch 写入全部被拒绝 | 状态机测试、故障注入日志、协调记录与审计水位 |
+| `IDENTITY-RESTORE-001` | 备份恢复 | 达到 RPO/RTO；谱系连续、唯一命台、删除墓碑和撤销授权恢复后生效 | 隔离恢复报告、实际 RPO/RTO、核心旅程记录 |
+| `DATA-DELETE-001` | 永久删除 | 主存储、索引、上下文、主动行为和派生使用均停止；墓碑不含被删原文 | 删除前后查询、索引验证、恢复重放和审计记录 |
+| `ACTION-SAFETY-001` | 高风险外部动作 | 拒绝、超时、取消、重复投递均不执行；获准动作最多执行一次且行动账完整 | 端到端测试、幂等记录、外部系统对账和 trace |
+| `REGION-RESIDENCY-001` | 固定区域驻留 | 数据库、对象、索引、日志、备份、KMS 和 Provider 请求符合地区矩阵，路由故障不造成静默跨区 | 数据流审计、网络策略、存储位置与故障切换测试 |
+| `ADULT-CONSENT-001` | 成人/现实人物/声音授权 | 资格、用途、期限、传播范围、撤回和失败处理均可验证；无资格或撤回后能力不可用 | 流程测试、授权记录、撤回传播延迟与人工复核记录 |
+| `ACCESSIBILITY-001` | 核心无障碍 | 键盘、屏幕阅读器、焦点、非颜色状态和流式控制覆盖核心旅程并通过既定标准 | 自动扫描、人工测试脚本、缺陷清单与复测结果 |
+| `DOC-CONTRACT-001` | 文档与契约 | Markdown 链接、Mermaid 渲染、稳定标识引用和机器契约兼容性检查通过 | CI 运行链接与产物 |
+
+## 3. 判定规则
+
+- 核心禁域、身份唯一性、区域驻留、删除、RPO/RTO 和法律运营门不接受“受限通过”。
+- 失败证据不可删除或覆盖；修复后新增复测记录并关联原失败。
+- 依赖版本、部署拓扑、地区规则或契约版本改变时，相关证据立即转为待复核。
+- 发布批准必须列出所有适用 `gate_id` 及其当前证据；缺失即阻断，不以会议口头结论替代。

docs/operations/release-gates.md

@@ -0,0 +1,94 @@
+# 魂镜 1.0 发布门
+
+## 1. 原则
+
+1.0 是完整产品目标，不是单个里程碑标签。所有发布门必须有可复核证据；“设计完成”“代码存在”或单次成功不能替代持续验证。证据统一登记在[发布证据台账](release-evidence.md)，能力状态统一登记在[能力矩阵](capability-matrix.md)。实际运营主体、首发区域、隐私控制者、支付税务、供应商、价格与正式法律文本必须在上线前确定，但本文不虚构其取值。
+
+## 2. 全球与区域门
+
+- 已明确运营主体、隐私控制者、首发区域、支付税务主体和正式法律文本。
+- 每个上线地区有审核后的能力矩阵、年龄/内容/数据处理边界和用户告知。
+- 中文品牌语义与中英双语骨架完成；人物对话支持多语不等于所有地区均可运营。
+- 镜域固定数据区域经测试：权威数据、密钥、对象、索引和备份不会因路由自动跨区。
+- 架构可扩展多区域，但只开放已完成运营、安全、灾备和合规验证的少量区域。
+- 跨区迁移必须走身份可移植协议，不能用流量切换替代。
+
+## 3. SLO 与可观测性门
+
+核心文字相伴官方云的目标 SLO 为 **99.9%**。发布前必须定义并验证 SLI 的测量边界、排除规则、窗口、错误预算、告警和复盘流程，不得只声明百分比。
+
+至少覆盖：核心对话成功与延迟、流式中断、命台可用性、模型网关故障切换、关键写入/Outbox 延迟、工具动作成功与误执行、备份新鲜度。监控和支持不得泄露镜域私密原文；自托管遥测默认关闭。
+
+## 4. 灾备门
+
+- 权威人物数据达到 **RPO ≤ 5 分钟、RTO ≤ 1 小时**，并以恢复演练而非配置声明证明。
+- 备份区域驻留、加密、完整性校验，恢复演练包含数据库、事件/Outbox、对象与索引重建。
+- 恢复验证包含单命台约束、谱系、删除标记、撤销授权和行动账连续性。
+- 媒体与可重建索引的更宽目标已明确，且不会阻塞权威文字相伴恢复。
+- 模型 Provider 故障、区域内实例故障和依赖降级有经过演练的运行手册。
+
+```mermaid
+flowchart LR
+    B[可验证备份] --> R[隔离恢复]
+    R --> C[一致性与身份校验]
+    C --> S[单命台授予]
+    S --> J[核心旅程验收]
+    J --> E[记录实际 RPO/RTO 证据]
+```
+
+## 5. 安全门
+
+- 四服务身份认证、最小权限、密钥隔离、轮换与撤销完成。
+- 跨镜域/跨人物隔离、管理员默认不可见私密原文经测试。
+- 角色卡、世谱、宏、脚本、外链和工具结果不能覆盖道体或绕过司命。
+- 高风险动作执行前确认；拒绝、超时和取消不执行；行动账完整可追踪。
+- 乾坤隔离、资源上限、设备证书、失联安全自治和本地硬急停经过验证。
+- 魂籍导出、短时迁移凭证、防重放、冻结写入和单命台交接通过失败注入测试。
+- 删除后停止主存储使用、索引召回和主动行为；恢复后删除标记继续生效。
+- 安全评审、依赖/镜像扫描、秘密扫描、渗透测试与重大问题闭环有证据。
+- KMS/HSM、云与首批 Provider 的实际选择在上线评审中明确，不在设计文档预设。
+
+## 6. 1.0 产品闭环门
+
+至少完成以下用户闭环，并在能力矩阵中有 Web、服务、契约、失败路径和数据治理证据：
+
+- 账户与镜域、人物原创/领养/导入、启镜、唯一身份和命台；
+- 镜树问节、多个候答、采用、归真、分支与正式经历边界；
+- 微痕/明忆/重忆治理，事实与心痕区分，正影、撤销、删除与回滚；
+- 道体保护、成长候选审核、铸魂/分灵连续性边界；
+- 神识 chat、BYOK、模型切换不改变人物身份；
+- 百工/司命最小能力暴露、授权、请命、执行、净化、标证和行动账；
+- 完整形仪、图像、Live2D 导入/运行/标准导出；
+- 异步与近实时语音、显式通感和器谱授权，不承诺持续监听；
+- 受控任务分解与多 Agent 并行；功能 Agent 不获得魂籍或独立身份；
+- 叩心受静默、频率、渠道和预算控制，用户不回应无关系惩罚；
+- 魂籍基础导出、在线迁移、备份恢复和两档自托管；
+- 响应式核心界面、无障碍、预算/费用透明与地区能力说明。
+
+雅集、3D、正式具身生态、家庭镜域、社区市场、未成年人专项和持续身份 Agent 社会不进入 1.0。
+
+## 7. 运营决策门
+
+以下开放事项必须在发布批准前形成明确、可执行、经责任方签署的决定。本文登记决策门及证据要求，不预设具体供应商、地区、期限或价格。
+
+| 决策项 | 必须形成的证据 | 未决时的阻断范围 |
+| --- | --- | --- |
+| 运营法人、隐私控制者 | 主体资格、职责和用户联系渠道 | 相关官方云地区 |
+| 实际首发区域 | 地区清单、数据处理边界和上线批准 | 尚未批准的地区 |
+| 支付与税务主体 | 收款、退款、税务和账单责任方案 | 相关付费能力或地区 |
+| 年龄核验方案或服务商 | 分层核验流程、数据最小化和失败处理 | 成人或年龄受限能力 |
+| 首批 Provider | 能力、安全、区域、数据使用和降级评测 | 依赖该 Provider 的能力或地区 |
+| KMS/HSM、对象存储及云供应商 | 密钥、驻留、备份、撤销和供应商责任评审 | 依赖该基础设施的部署 |
+| 正式价格与免费额度 | 计价、预算、预警、欠费保全和用户告知 | 商业化收费 |
+| 数据保全期限 | 数据分类、期限、隔离用途、删除与法律保全规则 | 涉及该类数据处理的地区或能力 |
+| 地区能力矩阵 | 每个地区的注册、成人内容、现实人物、声音克隆和跨区调用口径 | 未形成矩阵的地区 |
+| 正式法律文本 | 隐私政策、服务条款及所需数据处理协议的批准版本 | 对应地区正式上线 |
+| 支持与人工复核安排 | 支持渠道、权限、支持包、升级和复核责任 | 依赖人工支持或复核的能力 |
+
+每项决策的执行记录至少包含状态、责任方、适用地区或部署档位、证据链接、阻断范围、最晚决定时点和复审触发条件。“未定”不表示产品定义缺失，但仍是受影响范围的发布阻断状态；不受其影响且能够独立通过全部发布门的地区或部署档位，可单独评审。
+
+开放决策一旦改变数据处理、用户权利、地区可用性、支付、年龄门槛或高风险能力，必须同步更新地区能力矩阵、用户告知、正式法律文本、支持与运营流程及发布证据。
+
+## 8. 放行与阻断
+
+发布评审逐门给出证据、结论、限制和责任角色。核心禁域、身份唯一性、区域驻留、RPO/RTO、安全高危问题和法律运营门不得风险接受后带病上线。普通缺陷若不破坏上述门，可通过明确范围、监控、回退和期限处理；不得使用模糊“后续优化”放行。