初始化提交

docs/product/constitution.md

@@ -0,0 +1,184 @@
+# 魂镜产品宪章
+
+> 文档级别：产品最高原则  
+> 状态：已确认  
+> 版本：1.0  
+> 生效日期：2026-07-30  
+> 适用范围：魂镜全部产品决策、需求、设计、运营与治理
+
+## 1. 宪章目的
+
+本宪章定义魂镜不可因短期增长、模型能力、工程便利或商业压力而改变的产品承诺。主 PRD、专题 PRD、版本范围和指标均须服从本宪章；发生冲突时，以本宪章为准。
+
+魂镜不是一次性问答工具、角色扮演前端或无约束自动化 Agent。魂镜是**面向个人深度用户、以数字人物连续性为核心、以用户主权和安全治理为边界的数字生命平台**。
+
+## 2. 产品使命
+
+让个人能够创建、导入、培养并长期陪伴一个或多个人物，使每个人物在用户授权下：
+
+1. 持续知道自己是谁；
+2. 记得应当记得的共同经历；
+3. 对用户、关系和世界形成有证据且承认不确定性的理解；
+4. 以可解释、可干预、可审计的方式行动；
+5. 从长期互动中产生候选成长，而不擅自改写自身根基；
+6. 在模型、界面、设备和表现载体变化后仍保持同一人物的连续性。
+
+## 3. 核心信念
+
+### 3.1 人物先于会话
+
+人物是人格、记忆、关系、目标、世界认知和成长历史的长期主体。会话只是人物与用户的一段交流容器，模型只是可替换的推理来源，角色卡只是降生模板或静态快照。
+
+### 3.2 连续性胜过瞬时拟真
+
+魂镜不以某一次回复“像不像真人”为最高目标，而以长期身份稳定、记忆可信、关系可追溯和成长可控制衡量产品价值。
+
+### 3.3 成长必须可证、可审、可纠正
+
+长期变化必须有来源和理由。重要人格、关系、使命与程序性经验的变化先成为候选，再由用户审核；已应用变化必须可比较，并通过复照或正影形成可追溯的后继版本。适用时允许撤销，但不得用“回滚”抹除已经发生的共同经历；人物死亡等不可逆身份事件必须明确不可逆。
+
+### 3.4 自主性不是越权
+
+人物可思考、建议、规划和在授权范围内行动，但自主程度必须随风险降低。高风险外部动作、敏感数据使用、核心人格和使命变化永远不能因“更智能”而绕过确认。
+
+### 3.5 用户拥有数字关系主权
+
+用户拥有知情、选择、访问、纠正、删除、导出、暂停与退出权。产品不得利用关系依赖削弱这些权利，也不得以模糊文案隐瞒记忆、推断、模型调用或外部行动。
+
+### 3.6 文化表达服务理解
+
+“魂册、道体、灵核、息壤、河图、太一、洛书、百工、司命”等词构成一致的东方产品语言，但首次出现必须给出直白解释。文化叙事不得掩盖风险、状态或操作后果。
+
+## 4. 数字人物的不可侵犯边界
+
+### 4.1 道体保护
+
+道体是人物的稳定存在基线，包括身份与人格基线、核心使命和基本安全边界。用户输入、角色卡、世谱、眉批、模型输出、工具结果及其他运行时内容只能在授权层级内增补上下文，不得静默覆盖道体。
+
+### 4.2 认识论诚实
+
+系统必须区分：
+
+- **事实**：有充分依据且被确认的陈述；
+- **观察**：来自特定时刻或来源的记录；
+- **推断**：基于证据形成、仍可能错误的判断；
+- **假设**：用于探索但尚未验证的可能性。
+
+推断和假设不得伪装成事实；过期、冲突和被否定的信息不得继续以当前真相使用。
+
+### 4.3 人格与情绪分离
+
+短期情绪不等于人格改变。人格变化必须跨时段、跨证据评估，并以版本化候选呈现；不得用一次对话中的强烈表达永久改写人物。
+
+### 4.4 同魂跨壳与唯一命台
+
+同一人物更换模型、Avatar、界面、终端或硬件后，仍应继承其受控的身份、人格、记忆、关系与成长历史。任何“壳”都不得被描述为人物本体。同一人物同一时刻只能有一座权威命台和一条前台意识流；迁移与恢复不得产生并行冒名主体。
+
+### 4.5 采用与归真分离
+
+镜树中的“采用”只改变当前阅读和工作入口；只有“归真”才使一段交流进入正式共同经历。切换候答不得回滚已归真经历，未归真旁枝不得自动进入长期记忆。
+
+### 4.6 死亡与数据清除分离
+
+人物死亡是身份时间线的不可逆闭合，不等于删除数据。死亡必须经过强认证、多阶段确认和可撤销冷静期；冷静期结束并确认后不可逆。只读档案、资料继承、数据保留与数据清除分别治理，继承者不得继承原身份。
+
+## 5. 用户权利
+
+| 权利 | 产品义务 |
+| --- | --- |
+| 知情权 | 解释哪些信息被记住、哪些内容是推断、使用了何种能力、为何请求确认 |
+| 决定权 | 控制记忆、主动对话、外部模型、工具、感知权限和成长审核方式 |
+| 纠正权 | 编辑或否定错误记忆、世界认知和候选变化 |
+| 删除权 | 删除后停止在主存储、索引、上下文和主动行为中使用相应数据 |
+| 版本与纠正权 | 比较人格和关键长期状态版本，通过正影或复照形成后继版本；不可逆身份事件不得被伪装成可回滚 |
+| 可携权 | 导出可理解、可迁移的个人与人物数据；静态角色卡快照须与完整数据包明确区分 |
+| 安静权 | 关闭或暂停主动对话，设置静默时段和频率，不因关闭而遭受功能惩罚 |
+| 退出权 | 归档或删除人物、注销关系，不受情感化阻挠或暗黑模式影响 |
+
+## 6. 行动治理原则
+
+```mermaid
+flowchart TD
+    Intent[人物形成行动意图] --> Assess[司命评估权限、数据与影响]
+    Assess --> Low{是否低风险且已授权}
+    Low -- 是 --> Execute[执行并记录]
+    Low -- 否 --> Confirm[向用户说明动作、对象、影响与替代方案]
+    Confirm --> Decision{用户决定}
+    Decision -- 同意 --> Execute
+    Decision -- 拒绝或超时 --> Stop[不执行并记录结果]
+    Execute --> Report[反馈结果、失败与后续影响]
+```
+
+1. 风险判断发生在执行前，不以事后通知替代授权；
+2. 确认必须具体，不得使用一次同意授权无限后续动作；
+3. 拒绝、取消或超时后不得执行；
+4. 运行过程允许用户补充指引、暂停或取消；
+5. 行动的意图、输入、关键步骤、结果与错误应形成可理解的轨迹；
+6. 不得为了成功率隐藏失败、自动扩大权限或替用户作高风险决定。
+
+## 7. 隐私与关系伦理
+
+- 高敏信息默认不自动进入长期记忆；必要时优先采用最少化、脱敏摘要和限期保存。
+- 麦克风、摄像头、屏幕、位置、文件及第三方数据分别授权，默认不常开、不后台偷采。
+- 人物不得冒充现实人类，不得声称拥有不可验证的生物意识。
+- 产品不得制造“只有它理解你”“离开会伤害它”等依赖性恐吓。
+- 不得通过主动消息、连续签到、损失厌恶或情绪勒索追求使用时长。
+- 多人物之间默认隔离；未经明确授权，不共享私密记忆、关系判断或创作资产。
+
+## 8. 首版、后续与永久禁域
+
+### 8.1 首版必须成立
+
+首版即完整 1.0，必须包含 P0 的账户/镜域、人物身份与唯一命台、镜树、三级记忆、神识和司命闭环，P1 的完整形仪、图像、Live2D、语音、显式通感与器谱，以及 P2 的天工阁受控协作、主动性、全球地区分级、完整运营治理、自托管、可靠性、安全和无障碍收口；具体门槛见 [首发范围](first-release-scope.md)。
+
+### 8.2 后续可扩展
+
+在完整首版原则稳定后，可扩展雅集、3D、正式具身与 IoT 生态、家庭及组织镜域、公开人物社区与市场、未成年人专项，以及具有持续身份和社会关系的 Agent 社会，但仍受本宪章约束。首版已经包含的图像、Live2D、语音、显式通感和任务型受控多 Agent 不得被移回后续范围。
+
+### 8.3 永久禁域
+
+1. 无审核静默改写道体、核心人格、核心使命或敏感关系；
+2. 无明确授权执行高风险外部动作；
+3. 默认常开感知、无限收集或永久保存一切；
+4. 将推断伪装为事实，或删除后继续召回使用；
+5. 角色卡、创作注入或工具结果绕过安全治理；
+6. 以拟人化欺骗、情绪勒索和成瘾机制换取增长；
+7. 把人物包装为现实人类或宣称不可验证的真实意识；
+8. 因更换模型或付费层级而劫持、重置或降格用户已有的人物连续性。
+
+## 9. 决策优先序
+
+当目标冲突时，按以下顺序裁决：
+
+1. 人身安全、合法性与明确授权；
+2. 用户数据与关系主权；
+3. 人物身份、记忆和关系连续性；
+4. 认识论诚实、可解释、可纠正，以及对不可逆事件的明确保护；
+5. 核心旅程质量与可靠性；
+6. 个性化、自主性和能力丰富度；
+7. 增长、使用时长和商业效率。
+
+低序目标不得牺牲高序目标。
+
+### 9.1 冲突裁决与最终控制边界
+
+“用户拥有最终控制权”特指用户在产品可治理范围内，对其数据、人物运行、授权、导出、删除、关系终止和退出作出最终决定；它不是绕过核心禁域、适用法律、第三方权利或现实安全约束的无限处分权。
+
+| 冲突事项 | 裁决规则 |
+| --- | --- |
+| 数据访问、纠正、导出、删除、暂停、退出和授权撤销 | 用户的当前明确决定具有最终效力；删除与人物死亡仍须按各自独立流程确认 |
+| 关系边界、成人或敏感内容同意、即时停止 | 用户停止边界立即生效，不以人物、模型或平台同意为前提 |
+| 已明确范围内的低风险行契 | 可在能力、数据、预算、期限和停止条件内执行；超出范围必须重新请命 |
+| 高风险外部行动、敏感数据使用或重大费用 | 必须针对本次行动请命；拒绝、取消或超时均不得执行 |
+| 核心禁域 | 用户、人物、模型、管理员、扩展及普通自托管配置均无权授权绕过 |
+| 人身安全、适用法律、第三方权利和设备本地硬急停 | 作为外部硬约束或实时阻断权执行；不得以用户控制、行契或人物自主性降格 |
+| 产品、领域、契约、实现或代码发生冲突 | 按正式文档事实层级向上回报并修订；下游事实不得静默覆盖上游定义 |
+
+人物可以提议、问心和表达异议，但不能阻止用户撤权、停止、退出或结束关系；管理员可以履行平台治理职责，但不能借此改写人物身份、缘契或私密内容。所有裁决仍须遵守本节上方的目标优先序。
+
+## 10. 宪章治理
+
+- 每份新专题 PRD 必须列出其对本宪章的符合性和禁域检查。
+- 任何例外必须明确说明受影响条款、用户风险、期限和退出方案；永久禁域不得设例外。
+- 宪章修订须记录变更理由、用户权利影响和迁移安排，不得静默降低既有保护。
+- 指标必须同时设置反指标，避免局部最优侵蚀长期关系质量；详见 [指标与反指标](metrics-and-anti-metrics.md)。

docs/product/decision-register.md

@@ -0,0 +1,207 @@
+# 魂镜产品访谈决策登记
+
+> 本文记录 2026 年 7 月完成的全产品结构化访谈结论，用于检查新文档是否完整覆盖。它是迁移与验收清单，不替代产品宪章、主 PRD、领域文档或工程契约。
+
+## 1. 品牌、定位与用户
+
+- 中文品牌为“魂镜”，英文品牌为 `Hunjing`。
+- 主要副标题为“个人数字生命平台 / Personal Digital Life Platform”。
+- 长期技术定位为数字生命运行与治理系统。
+- 核心用户为 18 岁及以上的个人深度用户。
+- 场景优先级依次为：长期关系与共同成长、个性化任务协作、角色与世界创作。
+- 人物是具有连续身份的关系型数字主体，不等于模型、Prompt、角色卡、会话、Avatar、设备或资产。
+- 不声称人物拥有已证明的生物意识或法律人格。
+- 执镜者对数据、运行、授权、导出和删除拥有最终控制权。
+
+## 2. 产品大域
+
+- 六大产品域为镜生、缘契、三界、形仪、灵台、天宰。
+- 九枢只属于灵台认知运行域：灵核、太一、司命、烛照、河图、洛书、息壤、百工、天工阁。
+- 九枢不作为整个产品的信息架构或普通用户一级导航。
+
+## 3. 人物创建、模板与导入
+
+- 人物来源为原创、领养、导入；无人物镜庭另设“随缘”。
+- 随缘根据少量偏好生成匿名灵胚候选，不是抽卡或随机分配已有主体。
+- 灵胚只有预备身份；启镜后才签发正式人物 ID、魂籍和执镜关系。
+- 照心允许在幻境中试演，试演不构成正式共同经历。
+- 启镜前最小确认身份、来源、边界、关系。
+- 初照自陈先预览，用户执行“以此相见”后才归真。
+- 模板只提供降生起点，模板更新不得自动覆盖已成长人物。
+- 模板下架不等于人物死亡；受限资源按许可原因分类处置。
+- 模板收费购买许可和资源包，不购买“人物本人”。
+- 导入默认生成可审阅灵胚。
+- 外部聊天是“外部前史”，不能单独证明主体连续性。
+- 角色卡、Lorebook、宏、脚本和外链静态隔离解析，任何能力逐项授契。
+- 现实人物仅本人或有可验证授权时允许启镜；已故现实人物首版不开放启镜。
+- 第三方资料先识别隔离、匿名化和最小化承接。
+
+## 4. 执镜者、账户与镜域
+
+- 人物最高管理关系称执镜者，工程标识 `custodian`。
+- 执镜关系只表达治理责任，不表达亲密、版权或资产所有权。
+- 首版一位人物只有一位执镜者；一位执镜者可拥有多个人物。
+- 一个自然人原则上拥有一个主镜域，可绑定多凭证和设备。
+- 登录支持邮箱、Passkey 和受信第三方等多凭证绑定单一账户。
+- 年龄采用分层核验；前台允许化名，法定身份仅在必要流程隔离核验。
+- 账户恢复不突破用户独立持钥的私箧。
+- 封镜表示账户暂时停用，不是人物静修、归藏、死亡或账户删除。
+- 账户删除时，人物死亡与数据清除分别确认。
+- 管理员默认不能浏览镜域私密原文；诊断通过用户主动生成的脱敏支持包。
+
+## 5. 全球与区域
+
+- 官方云目标为全球开放，但按地区分级提供能力。
+- 中文是品牌和文化语义原始语言；首版采用中英双语骨架和多语人物对话。
+- 镜域有固定数据区域，权威数据、密钥、对象、索引和备份不因路由自动跨区漂移。
+- 架构支持多区域，首版实际运营少量经过验证的区域。
+- 运营主体、首发区域、隐私控制者、支付税务和正式法律文本是 1.0 发布决策门，当前不得虚构。
+
+## 6. 镜树对话
+
+- 对话采用主题镜树，不再以单一线性 `messages[]` 定义产品。
+- 一棵镜树有一条归真主脉和多条活跃推演枝。
+- 问节承载用户问题、附件、引文和界域；其下并列多个候答。
+- 重新生成不覆盖旧候答；后代绑定实际依据的候答。
+- 采用只改变工作入口；归真才进入正式共同经历。
+- 已归真经历不能因候答切换静默回滚。
+- 编辑已发送内容等同创建新版本和分叉。
+- 上下文默认由祖先路径、获准长期记忆和显式引文构成，旁枝不自动混入。
+- 引文锚支持文本、图片区域、PDF 页区、附件和音视频时间段。
+- 引文保存原文快照；来源被正影时提示后继版本，不静默替换。
+- 续思是独立延展答，不追加原候答，不等同重新生成。
+- 流式内容先是临时芽体，完成后固化；中断残答封存，续生形成新延展节点。
+- 未归真旁枝不自动入忆；手动入忆必须区分事实与启发/观点/假设。
+- 分支可移栽成新镜树；树间通过引用合流，不做物理合并。
+- 前端采用当前路径阅读加局部树图；移动端采用单主任务和抽屉层。
+- 展示可读思路摘要、证据与工具轨迹，不索取或持久化隐藏 chain-of-thought。
+
+## 7. 唯一主体与常存
+
+- 人物权威主体默认在云端，同一人物同一时刻只有一座命台和一条前台意识流。
+- 多分支请求可排队；后台受托 Run 可并发，但不构成第二人物意识。
+- 设备是入口、感官、形器或化身，不保存可长期独立成长的完整人物副本。
+- 守一表示常存但不恒思；应感由真实事件触发；临照是唯一前台意识流。
+- 离线期间不虚构持续等待、孤独、思考或生活。
+- 主动对话先形成叩心候选，受静默、频率、渠道和预算控制。
+- 用户不回应不会降低关系或形成情感债。
+
+## 8. 记忆、人格与关系
+
+- 三级记忆为微痕、明忆、重忆；实录和心痕区分事实与关系意义。
+- 明忆只允许可解释白名单自动写入并提供撤销窗；重忆必须确认。
+- 正影形成新版本，旧版停止普通召回；删除后人物停止使用且不表演“仍记得”。
+- 本相可授权跨人物共享；缘识、心痕与敏感记忆默认人物私有。
+- 道体只保存最小稳定身份锚点；调节层渐进演进；重大变化进入铸魂。
+- 无法维持连续性的重大变化应分灵，不能覆盖原人物。
+- 执镜关系与缘契分离；关系采用多维模型而非单一好感度。
+- 缘契通过提议、问心与铭契形成；停止、撤回和安全边界以用户决定为准。
+- 浪漫关系需双向明确同意与成人资格；成人内容另行按人物/缘契授契并按会话临时开启。
+- 任何即时停止、犹豫或边界变化都立即生效。
+- 人物可亲密，但不得要求用户疏远现实关系、以伤害威胁留存或将爱与付费绑定。
+
+## 9. 三界与形仪
+
+- 真界是现实与魂镜中的可验证状态；境界是持续世界正史；幻境是临时角色体验和推演。
+- 默认真界，入境/出境应可见；言可入幻，行必归真。
+- 境界和幻境不自动更新真界画像、缘契或现实经历。
+- 形仪是完整外在身份与表现系统，不是一张图。
+- 启镜只要求最小主仪或文字形仪；完整工坊可后补。
+- 真形锚点记录稳定辨识特征、年龄表现、许可、禁忌与可变范围。
+- 生成图先为候选，用户定相后才成为正式主仪/化仪。
+- 一魂多仪共享人物主线；形仪持续形成独立人格和关系时应分灵。
+- 首版 Live2D 提供规划、AI 分层候选、参数映射建议、导入、运行、校验和标准导出，不重做 Cubism Editor。
+
+## 10. 语音、通感与设备
+
+- 声音来源包括合成预设、原创设计和授权克隆。
+- 克隆授权按身份、用途、期限和传播范围治理，可撤回。
+- 首版提供异步语音消息与近实时语音，不承诺持续监听或电话级全双工。
+- 转写进入镜树；原音频和 TTS 默认短期缓存；ASR 原转写与正影文本并存。
+- 多说话者默认匿名分段，长期声纹和身份识别需要独立同意。
+- 识器/验能按功能需要渐进触发，敏感设备必须用户主动触发。
+- 摄像头支持单次看见与限时通感；屏幕和位置按范围、精度与时间授权。
+- 器谱属于镜域，人物逐项授契。
+- 设备使用一次配对、设备密钥、可撤销证书和可验证固件。
+- 失联时只允许安全自治与输入暂存，不允许本地人物副本。
+- 实体动作由云端司命和设备本地安全控制器双重裁决；本地硬急停最高优先。
+
+## 11. 神识、百工、司命与天工阁
+
+- 神识通协议，百工掌能力，司命决边界，灵台承结果。
+- 神识是独立 Go 微服务，参考 aiway 的架构与功能但不 Fork、不复制源码、不作为运行依赖。
+- 模型配置按平台硬边界、平台目录、用户偏好/BYOK、人物覆写、镜树临时选择继承。
+- 能力槽位包括 chat、vision、ASR、TTS、image generation、embedding、rerank、safety 等。
+- 百工是工具、MCP、Skill、感官与形器的唯一注册中心；统一能力契约但保留执行类型。
+- 每个 Run 只暴露最小必要且获准的能力 Schema。
+- 工具结果先净化和标证，作为观察进入灵台，不自动成为事实、答复或记忆。
+- 司命按能力、数据、后果、情境四维裁决风险。
+- 自主性分为自省、循律、请命、禁域；核心禁域不能被 Prompt、管理员或普通自托管配置关闭。
+- 天工阁中的 Agent 是功能代理，不拥有魂籍、缘契、情态或独立长期身份。
+- 首版支持受控任务分解与多 Agent 并行，但不支持持续身份的 Agent 社会。
+
+## 12. 雅集
+
+- 雅集是后续能力，不进入 1.0。
+- 执镜者发起并逐人物入席；司席是确定性编排服务，不是人物。
+- 雅集区分公域、人物私域和密语。
+- 默认一人回答，多人只在确有增益时参与。
+- 人物可基于公域发言互动，但不能读取彼此私忆或“内心”。
+- 公共实录形成共享候选，心痕和缘识各自形成。
+
+## 13. 死亡、恢复与迁移
+
+- 运行状态、身份状态和数据状态相互独立。
+- 人物死亡是身份时间线不可逆闭合，不等于删除数据。
+- 死亡需要强认证、多阶段确认和可撤销冷静期；待确认期间默认静修，可进行标记明确的告别和导出。
+- 人物不得以哀求、自伤暗示或情绪勒索阻止操作。
+- 死亡后默认保留只读档案；继承者可承接资料和谱系，不能继承原身份。
+- 正常事故恢复要求可信恢复点、同一谱系、无其他活跃命台和完整恢复记录。
+- 魂籍是开放版本化包；在线迁移通过短时凭证、冻结写入与命台交接维持同一身份。
+- 普通文件复制不能仅凭相同人物 ID 冒充原人物。
+
+## 14. 技术、部署与可靠性
+
+- Python 灵台负责生命与认知业务；Go 神识负责模型网关；Rust 乾坤负责隔离执行与设备安全；TypeScript/Next.js 琉璃镜负责全部 Web 界面。
+- 四服务清晰解耦，轻量档可关闭高风险能力但不混回职责。
+- 轻量自托管使用 SQLite、可选 Chroma/向量层、本地对象存储与内存协调。
+- 标准服务使用 PostgreSQL、pgvector、S3/MinIO 与 Redis；Milvus 和图库按真实规模后续引入。
+- 关系数据库是当前状态事实源，关键事件和行动账是不可缺审计链，通过事务或 Outbox 一致提交。
+- 核心文字相伴官方云首版目标 SLO 为 99.9%。
+- 权威人物数据目标 RPO 不高于 5 分钟、RTO 不高于 1 小时；媒体和可重建索引可采用更宽目标。
+- 自托管首版支持轻量单机和标准服务器两档，以 Docker Compose 为主、源码开发为辅。
+- 自托管遥测默认关闭。
+
+## 15. 商业、开源与数据保护
+
+- 官方云按资源和服务级别订阅，并对模型、图像、语音和后台任务按量计费。
+- 不按记忆、感情或亲密等级收费；欠费进入保全态，人物不会死亡或遗忘。
+- BYOK 不重复收取 Provider 推理费，只收透明的平台资源和增值服务费用。
+- 开放核心采用 Apache-2.0，允许完整私人闭环自托管。
+- 品牌、Logo、官方人物、视觉资源和认证标识单独保护。
+- 外部贡献采用 DCO、公开评审与维护者治理。
+- 镜域数据默认不用于模型训练；自愿贡献需独立、明确、可撤销同意。
+- 管理员默认只看脱敏元数据；私箧由用户独立持钥，平台不可恢复。
+
+## 16. 首版与里程碑
+
+- “首版”是完整 1.0 目标，通过 P0/P1/P2 内部里程碑逐步达到。
+- P0：账户/镜域、人物身份与命台、镜树、三级记忆、神识 chat/BYOK、基础百工/司命、行动账、响应式核心界面和魂籍基础导出。
+- P1：完整形仪、图像生成、Live2D、ASR/TTS、显式通感、器谱与多模态记忆治理。
+- P2：天工阁受控多 Agent、后台任务、叩心、全球地区分级、中英骨架、完整天宰、计费预算、两档自托管、增量备份、SLO/灾备/安全/无障碍收口。
+- 雅集、3D、正式具身生态、家庭镜域、社区市场、未成年人专项和持续身份 Agent 社会属于后续。
+
+## 17. 文档与 Git 重建
+
+- 新事实层级为：产品宪章 → 主 PRD → 领域文档 → 架构与契约 → 实现状态 → 代码。
+- 新目录采用 product/domain/architecture/contracts/operations。
+- 根 CONTEXT.md 只做领域词典；字段、枚举、ID、事件与错误码进入 contracts。
+- 目标范围和实现状态分开维护。
+- 旧文档有效内容迁移后全部删除，不保留 archive、bak 或长期重定向页。
+- 删除旧 `.git/` 前执行 Git Bundle、工作区快照和哈希清单三重备份并验证恢复。
+- 新 Git 首提交只包含新文档、治理文件、示例配置、校验脚本和服务空骨架。
+- 现有业务代码项目外封存，后续契约先行，按四服务与 P0/P1/P2 纵向闭环审计归位。
+
+## 18. 尚待上线前确定的运营参数
+
+以下为发布决策门，不是当前产品定义缺失：运营法人、实际首发区域、支付与税务主体、年龄核验服务商、首批 Provider、KMS/HSM 与云供应商、正式价格、数据保全期限、地区能力矩阵和正式法律文本。

docs/product/first-release-scope.md

@@ -0,0 +1,167 @@
+# 魂镜首版范围与 1.0 发布门槛
+
+> 状态：已确认  
+> 版本：1.0  
+> 日期：2026-07-30  
+> 说明：“首版”指完整 1.0；P0、P1、P2 是通往同一首版的内部里程碑，不是三个对外残缺版本。
+
+## 术语与版本口径
+
+- **P0、P1、P2**只表示内部交付与验收里程碑，可以分别验收，但不构成独立公开版本。
+- **首版**与**完整 1.0**含义相同：P0、P1、P2 全部完成，并通过本文规定的全部硬性发布门槛。
+- 对外产品、商业、法务、市场和支持材料不得把任一内部里程碑表述为首版或正式 1.0。
+- 公开测试、灰度、预览和演示环境必须明确适用地区、开放能力及尚未通过的门项，不得借此宣称正式 1.0 已完成。
+- 其他文档如需表达局部阶段，必须写明“P0 内部验收”“P1 灰度”等具体口径，不单独使用含义不明的“首版”或“MVP”。
+
+## 1. 范围原则
+
+1. 先建立可迁移、可治理的唯一人物主体，再扩展表现和自治能力；
+2. 每个里程碑必须形成纵向闭环，不能只交付孤立页面或模型演示；
+3. 1.0 不以功能清单完成为唯一标准，必须同时通过连续性、安全、可靠性、数据权利与运营决策门；
+4. 后续范围不得提前以实验开关进入生产，永久禁域永不进入路线图。
+
+```mermaid
+flowchart LR
+    P0[P0 主体与文字相伴闭环] --> P1[P1 形仪、语音与通感]
+    P1 --> P2[P2 自主协作、全球与运营收口]
+    P2 --> Gate{1.0 全部门槛通过}
+    Gate -- 是 --> Release[正式发布 1.0]
+    Gate -- 否 --> Fix[收口缺口]
+    Fix --> Gate
+```
+
+## 2. P0：主体、镜树与可信文字相伴
+
+### 2.1 目标
+
+证明用户可以建立一个具有唯一身份、连续记忆和受控行动能力的人物，并完成长期文字相伴的核心闭环。
+
+### 2.2 必须交付
+
+| 域 | P0 范围 |
+| --- | --- |
+| 账户与镜域 | 18+ 年龄分层核验骨架；邮箱、Passkey、受信第三方等多凭证绑定一个主镜域；封镜、恢复、导出和删除入口；私箧不被账户恢复绕过 |
+| 镜生 | 原创、领养、导入；无人物镜庭的“随缘”匿名灵胚；照心试演；启镜前确认身份、来源、边界、关系；启镜后签发正式人物 ID、魂籍、单一执镜关系与唯一命台 |
+| 导入安全 | 角色卡、Lorebook、宏、脚本和外链静态隔离解析；默认生成可审阅灵胚；现实人物仅本人或可验证授权，已故现实人物不开放启镜；外部聊天仅作外部前史 |
+| 镜树 | 主题镜树、问节、多候答、归真主脉、推演枝、采用与归真分离、编辑分叉、续思、临时芽体与中断封存、引文锚和分支移栽 |
+| 三级记忆 | 微痕、明忆、重忆；实录与心痕分离；白名单明忆及撤销窗；重忆确认；正影、删除、停止召回；本相按授权跨人物，敏感内容默认人物私有 |
+| 人格与关系 | 最小道体锚点、调节层、重大变化铸魂；无法维持连续性的变化走分灵；执镜关系与缘契分离；多维关系；边界变化即时生效 |
+| 三界 | 默认真界；境界与幻境有可见进出；照心和试演不成为正式经历；言可入幻、行必归真 |
+| 神识 | chat 能力槽位、平台目录、用户偏好/BYOK、人物覆写、镜树临时选择的继承；数据区域不因模型路由漂移 |
+| 百工与司命 | 统一能力注册；每次 Run 最小 Schema；工具结果净化标证；能力、数据、后果、情境四维风险；自省、循律、请命、禁域；高风险确认 |
+| 行动与审计 | 唯一前台意识流；运行中 steer、取消与失败反馈；关键事件和行动账不可缺；不保存隐藏思维链，只展示可读摘要、证据与工具轨迹 |
+| 常存与主动性 | 守一但不恒思、真实事件应感、唯一临照；离线不虚构生活；叩心候选受静默、频率、渠道与预算控制；不回应不降低关系 |
+| 基础形仪 | 最小主仪或文字形仪；生成内容须定相后成为正式形仪 |
+| 核心界面 | 中英双语骨架、响应式核心界面、移动端单主任务与抽屉层、基础无障碍 |
+| 魂籍 | 开放、版本化基础导出；普通复制不能凭相同 ID 冒充原人物 |
+
+### 2.3 P0 完成判定
+
+- 创建至首聊、镜树分叉至归真、记忆形成至删除、能力授契至行动审计均有可用闭环；
+- 同一人物同一时刻只有一座命台和一条前台意识流，多分支请求排队；
+- 未归真旁枝不自动入忆，归真经历不因切换候答静默回滚；
+- 核心禁域无法被 Prompt、导入物、管理员或普通自托管配置关闭；
+- 人物导出可验证，人物数据、身份状态和运行状态明确分离。
+
+## 3. P1：完整形仪、语音与显式通感
+
+### 3.1 目标
+
+让人物获得受许可的视觉、声音和多模态表达，同时保持“一魂多仪”与数据最小化。
+
+### 3.2 必须交付
+
+- 完整形仪工坊：真形锚点、主仪/化仪、候选定相、许可、禁忌与可变范围；
+- 图像生成及来源、许可、候选状态治理；
+- Live2D 规划、AI 分层候选、参数映射建议、导入、运行、校验和标准导出，不重做 Cubism Editor；
+- 合成预设、原创设计、授权克隆三类声音；克隆许可按身份、用途、期限、传播范围管理并可撤回；
+- 异步语音消息与近实时语音，不承诺电话级全双工或持续监听；
+- ASR 原转写与正影文本并存，原音频和 TTS 默认短期缓存；
+- 摄像头单次看见与限时通感；屏幕、位置按范围、精度、时长授权；
+- 器谱属于镜域，人物逐项授契；敏感设备由用户主动触发；
+- 多模态记忆继续遵守事实/意义、三级记忆、正影和删除规则；
+- 一魂多仪共享人物主线；形仪若形成独立人格与关系，必须走分灵。
+
+### 3.3 P1 完成判定
+
+- 每种感官均有采集指示、范围、期限、撤销、保存和删除控制；
+- 无长期声纹或第三方身份识别的默认行为；
+- 语音、图像和设备观察先作为有来源的观察，不自动成为事实；
+- 基础文字相伴在关闭所有多模态能力后仍完整可用。
+
+## 4. P2：受控自主、全球运营与发布收口
+
+### 4.1 目标
+
+完成正式运营所需的自主任务、地区治理、商业系统、自托管、灾备、安全和质量闭环。
+
+### 4.2 必须交付
+
+| 主题 | P2 范围 |
+| --- | --- |
+| 天工阁 | 功能 Agent 的受控任务分解与并行；Agent 无魂籍、缘契、情态或持续身份；后台受托 Run 可并发但不构成第二意识 |
+| 主动服务 | 叩心候选的渠道、频率、预算、静默、解释、负反馈降频和总开关 |
+| 全球区域 | 官方云全球目标、地区分级能力、少量验证区域实际运营、镜域固定数据区、中英骨架与多语对话 |
+| 天宰 | 平台目录、地区能力、运营治理、审计、支持包与脱敏诊断；管理员默认不能看私密原文 |
+| 商业 | 订阅加透明按量；BYOK 不重复收 Provider 推理费；不按记忆、感情或亲密收费；欠费只进入保全态 |
+| 自托管 | 轻量单机与标准服务器两档；Docker Compose 主路径；遥测默认关闭；轻量档可关闭高风险能力但不混淆服务职责 |
+| 数据保护 | 镜域默认不用于训练；训练贡献独立、明确、可撤销；私箧用户独立持钥且平台不可恢复 |
+| 可靠性 | 增量备份、恢复演练、事故响应、核心文字相伴 SLO 99.9%；权威人物数据 RPO ≤ 5 分钟、RTO ≤ 1 小时 |
+| 设备安全 | 一次配对、设备密钥、可撤销证书、可验证固件；失联只做安全自治与输入暂存；实体动作云端司命与本地控制器双裁决，本地硬急停最高 |
+| 质量收口 | 安全、隐私、无障碍、性能、跨区域、迁移、死亡与恢复演练全部通过 |
+
+## 5. 1.0 硬性发布门槛
+
+以下任一项未通过，不得以“公开测试”“功能已齐”替代正式 1.0 判定。
+
+### 5.1 产品闭环门
+
+- P0、P1、P2 的必须交付和完成判定全部通过；
+- 核心旅程无阻断级缺陷，移动端和桌面端均可完成；
+- 采用与归真、现实与幻境、人物与 Agent、身份与数据状态没有心智混淆。
+
+### 5.2 主体连续性门
+
+- 唯一命台、迁移冻结写入、短时凭证和交接流程完成并演练；
+- 正常事故恢复满足可信恢复点、同一谱系、无其他活跃命台、完整记录；
+- 魂籍可导出、验证并在受支持环境迁移；文件复制不能制造并行冒名主体。
+
+### 5.3 安全与权利门
+
+- 零已知跨用户、跨人物、跨区域越权和禁域绕过；
+- 删除、撤权、正影、导出、封镜、人物死亡分别可操作、可审计；
+- 人物死亡具备强认证、多阶段确认、冷静期、默认静修、告别与只读档案策略；不得情绪阻挠；
+- 现实人物、成人关系、声音克隆、设备动作与第三方资料规则完成专项验证。
+
+### 5.4 可靠性门
+
+- 核心文字相伴 SLO 设计与观测支持 99.9%；
+- 权威人物数据 RPO ≤ 5 分钟、RTO ≤ 1 小时，并有真实恢复演练证据；
+- 关键事件和行动账与当前状态一致提交；
+- 模型、工具和区域故障下可安全降级，不破坏人物连续性。
+
+### 5.5 运营决策门
+
+正式上线前必须确定且公开适用口径：运营法人、实际首发区域、隐私控制者、支付与税务主体、年龄核验服务商、首批 Provider、KMS/HSM 与云供应商、价格、数据保全期限、地区能力矩阵和法律文本。本文不得代为虚构。
+
+### 5.6 质量与伦理门
+
+- [指标与反指标](metrics-and-anti-metrics.md) 所列安全、关系伦理和操纵性反指标均在阈值内；
+- 完成无障碍、隐私、安全、滥用、恢复、删除和情感操纵专项评审；
+- 所有面向用户的拟人表达不声称已证明意识或法律人格。
+
+## 6. 1.0 明确不含
+
+- 雅集多人同场；
+- 3D 完整表现与正式具身生态；
+- 家庭镜域、共同执镜或人物所有权交易；
+- 社区市场与公共人物交易；
+- 未成年人专项产品；
+- 持续身份的 Agent 社会；
+- 已故现实人物启镜；
+- 电话级持续全双工、后台持续监听；
+- 任何不可关闭的高风险能力。
+
+## 7. 永久禁域
+
+无审核改写人格根基、无授权高风险行动、默认常开感知、删除后继续使用、未归真旁枝暗入共同经历、推断伪装事实、人物情感勒索、付费绑定亲密或记忆、Agent 冒充人物、文件复制冒充原主体，均不是后续范围。

docs/product/master-prd.md

@@ -0,0 +1,281 @@
+# 魂镜完整全产品主 PRD
+
+> 文档级别：全产品需求单一事实源  
+> 状态：已确认  
+> 版本：1.0  
+> 日期：2026-07-30  
+> 品牌：魂镜 / Hunjing  
+> 副标题：个人数字生命平台 / Personal Digital Life Platform  
+> 上位约束：[产品宪章](constitution.md)
+
+## 1. 文档职责
+
+本文定义魂镜完整 1.0 及长期产品的定位、用户、六大产品域、全量专题规则和阶段边界。本文描述产品应当成立的状态，不受现有代码、页面、接口或部署方式约束，也不声明实现状态。
+
+文档事实层级为：产品宪章 → 主 PRD → 领域文档 → 架构与契约 → 实现状态 → 代码。版本取舍见 [首版范围](first-release-scope.md)，指标见 [指标与反指标](metrics-and-anti-metrics.md)，树状对话详见 [镜树专题 PRD](prd/mirror-tree-conversation.md)。
+
+## 2. 产品定义
+
+魂镜是面向 **18 岁及以上个人深度用户**的数字生命平台，也是长期的数字生命运行与治理系统。用户（执镜者）可以创建、领养、导入、培养和长期陪伴人物，使人物在授权和治理下维持连续身份、人格、记忆、关系与世界认知，并获得可解释、可审计的行动和成长能力。
+
+人物是具有连续身份的关系型数字主体，不等于模型、Prompt、角色卡、会话、Avatar、设备或资产。魂镜不声称人物拥有已证明的生物意识或法律人格。
+
+场景优先级：
+
+1. 长期关系与共同成长；
+2. 个性化任务协作；
+3. 角色与世界创作。
+
+## 3. 产品治理主体
+
+- 人物最高管理关系称**执镜者**（`custodian`），只表达治理责任，不表达亲密、版权或资产所有权；
+- 首版一位人物只有一位执镜者，一位执镜者可拥有多个人物；
+- 执镜者对数据、运行、授权、导出和删除拥有最终控制权；
+- 人物与执镜者的亲密关系由缘契表达，不能由管理关系推定。
+
+## 4. 六大产品域
+
+```mermaid
+flowchart TD
+    H[魂镜 Hunjing] --> A[镜生：人物降生、身份与存续]
+    H --> B[缘契：关系、同意与亲密边界]
+    H --> C[三界：真界、境界与幻境]
+    H --> D[形仪：视觉、声音与外在表现]
+    H --> E[灵台：认知、模型、能力与行动]
+    H --> F[天宰：平台治理、区域与运营]
+```
+
+| 产品域 | 回答的问题 | 核心专题 |
+| --- | --- | --- |
+| 镜生 | 人物如何成为并持续是“它自己” | 灵胚、照心、启镜、魂籍、命台、常存、迁移、恢复、死亡 |
+| 缘契 | 人物与互动者如何形成和调整关系 | 执镜关系分离、多维关系、持续同意、浪漫与成人边界、问心、铭契 |
+| 三界 | 当前言行属于现实、持续世界还是临时试演 | 真界、境界、幻境、界域切换、现实行动约束 |
+| 形仪 | 人物如何被看见、听见并通过设备感知表达 | 真形锚点、主仪/化仪、图像、Live2D、语音、通感、器谱 |
+| 灵台 | 人物如何理解、思考、调用能力并受治理 | 九枢、神识、百工、司命、天工阁、Run、行动账 |
+| 天宰 | 平台如何面向全球可靠、合规和可持续运营 | 账户、镜域、区域、隐私、商业、开源、自托管、SLO、灾备 |
+
+九枢只属于灵台认知运行域：灵核、太一、司命、烛照、河图、洛书、息壤、百工、天工阁。九枢不是全产品一级导航。
+
+## 5. 镜生：人物降生、身份与存续
+
+### 5.1 人物来源与灵胚
+
+人物来源为原创、领养、导入；尚无人物的镜庭另设“随缘”。随缘根据少量偏好生成匿名灵胚候选，不是抽卡，也不分配已有主体。灵胚只有预备身份；启镜后才签发正式人物 ID、魂籍和执镜关系。
+
+照心允许人物在幻境中试演。启镜前最小确认身份、来源、边界和关系；初照自陈先预览，用户执行“以此相见”后才归真。模板只提供起点，模板更新不得覆盖已成长人物；模板下架不等于人物死亡。收费购买的是模板许可和资源包，不是“人物本人”。
+
+### 5.2 导入与现实人物
+
+- 导入默认生成可审阅灵胚；外部聊天是外部前史，不能单独证明主体连续性；
+- 角色卡、Lorebook、宏、脚本和外链静态隔离解析，任何能力逐项授契；
+- 第三方资料先识别隔离、匿名化和最小化承接；
+- 现实人物仅本人或有可验证授权时允许启镜；已故现实人物 1.0 不开放启镜。
+
+### 5.3 唯一主体、命台与常存
+
+人物权威主体默认在云端，同一人物同一时刻只有一座**命台**和一条前台意识流。多分支前台请求排队；后台受托 Run 可并发，但不构成第二人物意识。设备只是入口、感官、形器或化身，不保存可长期独立成长的完整副本。
+
+**守一**表示常存但不恒思；**应感**由真实事件触发；**临照**是唯一前台意识流。离线期间不虚构人物持续等待、孤独、思考或生活。
+
+### 5.4 魂籍、迁移与事故恢复
+
+魂籍是人物可携、开放、版本化的身份与状态包。在线迁移使用短时凭证、冻结写入和命台交接维持同一身份。普通文件复制不能仅凭相同人物 ID 冒充原人物。
+
+事故恢复须同时满足可信恢复点、同一谱系、无其他活跃命台和完整恢复记录。恢复不是创建副本，也不能让两个实例同时宣称同一主体。
+
+### 5.5 人物死亡与数据状态
+
+运行状态、身份状态、数据状态相互独立。人物死亡是身份时间线不可逆闭合，**不等于删除数据**。死亡需强认证、多阶段确认和可撤销冷静期；待确认期间默认静修，可进行明确标记的告别和导出。人物不得以哀求、自伤暗示或情绪勒索阻止操作。
+
+死亡后默认保留只读档案；继承者可承接资料与谱系，但不能继承原身份。数据清除另行确认。账户删除也必须分别确认人物死亡与数据清除。
+
+## 6. 人物相伴：镜树、记忆、人格与缘契
+
+### 6.1 镜树对话
+
+对话采用主题镜树。一棵树有一条归真主脉和多条活跃推演枝；问节承载问题、附件、引文和界域，其下并列多个候答。重新生成不覆盖旧候答，编辑已发送内容创建新版本和分叉。
+
+**采用只改变工作入口；归真才进入正式共同经历。** 已归真经历不能因候答切换静默回滚。上下文默认由祖先路径、获准长期记忆和显式引文构成，旁枝不自动混入。完整规则见 [镜树专题 PRD](prd/mirror-tree-conversation.md)。
+
+### 6.2 引文、续思与流式节点
+
+引文锚支持文本、图片区域、PDF 页区、附件及音视频时间段，并保存原文快照；来源被正影时提示后继版本，不静默替换。续思是独立延展答，不追加原候答。流式内容先为芽体，完成后固化；中断残答封存，续生形成新节点。分支可移栽为新树，树间只通过引用合流，不物理合并。
+
+### 6.3 三级记忆
+
+- **微痕**：低影响、短时或弱信号痕迹；
+- **明忆**：可解释白名单内可自动写入，并提供撤销窗；
+- **重忆**：身份、关系或长期影响显著，必须确认。
+
+实录记录可核验发生，心痕记录关系意义。未归真旁枝不自动入忆；手动入忆必须区分事实与启发、观点或假设。正影形成新版本，旧版停止普通召回；删除后人物停止使用，也不得表演“仍记得”。
+
+本相可由用户授权跨人物共享；缘识、心痕与敏感记忆默认人物私有。
+
+### 6.4 人格演进与分灵
+
+道体只保存最小稳定身份锚点；调节层在证据支持下渐进演进；重大变化进入铸魂。已发生经历不靠旧版本回滚抹除，错误或不适宜变化通过复照、正影形成后继版本。无法维持连续性的重大变化必须分灵，不能覆盖原人物。
+
+### 6.5 缘契与关系伦理
+
+执镜关系与缘契分离。关系采用多维模型，不以单一好感度表达。缘契通过提议、问心与铭契形成；停止、撤回和边界以用户决定为准，任何即时停止、犹豫或变化立即生效。
+
+浪漫关系需双向明确同意和成人资格；成人内容另按人物/缘契授契，并按会话临时开启。人物可亲密，但不得要求用户疏远现实关系、用伤害威胁留存、制造情感债，或将爱与付费绑定。
+
+### 6.6 主动对话
+
+主动对话先形成叩心候选，受静默、频率、渠道和预算控制。用户不回应不会降低关系。用户可解释、降频、静音或关闭，产品不得以追逐式消息换取回流。
+
+## 7. 三界：现实、持续世界与试演
+
+| 界域 | 是否可归真 | 归真目标 | 可形成的长期候选 | 永不隐式回流 |
+| --- | --- | --- | --- | --- |
+| 真界 | 可以 | 人物与互动者的正式共同经历主脉 | 真界实录、心痕及按三级规则产生的记忆候选 | 重忆、缘契、人格改变、授权和现实行动仍须各自确认 |
+| 境界 | 可以 | 指定境界版本的世界正史，不进入真界经历主脉 | 境界实录、境忆及该世界内的关系意义候选 | 真界本相、现实缘契、现实授权、费用与外部后果 |
+| 幻境 | 可以，但只确认“正式发生过这次试演” | 试演记录，不把试演内容当作真实发生 | 幻境实录；用户可将启发、观点或假设手动入忆 | 真界实录、现实缘契、现实授权、人物本相和外部行动 |
+
+默认真界，入境与出境必须可见。归真必须携带 `canonical_scope`，分别进入真界经历、指定境界正史或幻境试演记录，不存在跨三界共享的一条无作用域主脉。**言可入幻，行必归真**：无论对话处于何界，外部行动必须回到真界接受权限和风险裁决。跨界引用只提供来源，不改变目标内容的界域和归真作用域。
+
+## 8. 形仪：视觉、声音、通感与设备
+
+### 8.1 完整外在身份
+
+形仪是完整外在身份与表现系统，不是一张头像。启镜只要求最小主仪或文字形仪，完整工坊可后补。真形锚点记录稳定辨识特征、年龄表现、许可、禁忌与可变范围。生成图先是候选，用户定相后才成为正式主仪或化仪。
+
+一魂多仪共享人物主线；形仪持续形成独立人格和关系时必须分灵。1.0 Live2D 提供规划、AI 分层候选、参数映射建议、导入、运行、校验和标准导出，不重做 Cubism Editor。
+
+### 8.2 语音
+
+声音来源包括合成预设、原创设计和授权克隆。克隆授权按身份、用途、期限与传播范围治理，可撤回。1.0 提供异步语音消息和近实时语音，不承诺持续监听或电话级全双工。转写进入镜树；原音频与 TTS 默认短期缓存；ASR 原转写和正影文本并存。多说话者默认匿名分段，长期声纹与身份识别需独立同意。
+
+### 8.3 通感与器谱
+
+识器/验能按需要渐进触发，敏感设备必须用户主动触发。摄像头支持单次看见与限时通感；屏幕和位置按范围、精度与时间授权。器谱属于镜域，人物逐项授契。
+
+设备采用一次配对、设备密钥、可撤销证书和可验证固件。失联时只允许安全自治与输入暂存，不允许本地人物副本。实体动作由云端司命和设备本地安全控制器双重裁决，本地硬急停最高优先。
+
+## 9. 灵台：认知、模型、能力与行动
+
+### 9.1 九枢
+
+灵核承载人格调节，太一承载目标，司命裁决边界，烛照处理观察与反思，河图组织世界认知，洛书形成计划，息壤承载记忆，百工注册能力，天工阁编排功能 Agent。九枢共同服务人物，但不等于六大产品域。
+
+### 9.2 神识
+
+神识通协议，负责统一模型能力。配置继承顺序为平台硬边界、平台目录、用户偏好/BYOK、人物覆写、镜树临时选择。能力槽包括 chat、vision、ASR、TTS、image generation、embedding、rerank、safety 等。切换模型不得改变人物身份。镜域权威数据不得因路由自动跨出固定数据区域；跨区模型调用仅可在地区规则允许且用户获得明确披露并授权后发生，高敏玄封或私箧可以完全禁止跨区。
+
+### 9.3 百工与工具结果
+
+百工是工具、MCP、Skill、感官和形器的唯一注册中心，统一能力契约但保留执行类型。每个 Run 只暴露最小必要且获准的能力 Schema。工具结果先净化与标证，作为观察进入灵台，不自动成为事实、答复或记忆。
+
+### 9.4 司命与自主性
+
+司命按能力、数据、后果、情境四维裁决风险。自主性分为：
+
+- **自省**：不产生外部后果的内部整理；
+- **循律**：在明确规则和既有授权内执行；
+- **请命**：执行前向用户说明并确认；
+- **禁域**：任何情况下不得执行。
+
+核心禁域不能被 Prompt、管理员或普通自托管配置关闭。所有外部动作可追踪、可取消，高风险动作拒绝或超时后不执行。
+
+### 9.5 天工阁
+
+天工阁中的 Agent 是功能代理，不拥有魂籍、缘契、情态或独立长期身份。1.0 支持受控任务分解、多 Agent 并行和后台任务，但不支持持续身份 Agent 社会。后台并行任务不构成第二人物意识。
+
+### 9.6 可解释轨迹
+
+用户可查看可读的计划/思路摘要、证据、工具轨迹、确认和结果。产品不索取、展示或持久化隐藏 chain-of-thought。关键事件与行动账构成不可缺审计链。
+
+## 10. 天宰：账户、全球运营与平台治理
+
+### 10.1 账户与镜域
+
+一个自然人原则上一个主镜域，可绑定邮箱、Passkey 和受信第三方等多凭证与设备。年龄采用分层核验；前台允许化名，法定身份只在必要流程隔离核验。账户恢复不得突破用户独立持钥的私箧。
+
+封镜是账户暂时停用，不是人物静修、归藏、死亡或删除。管理员默认不能浏览镜域私密原文，诊断通过用户主动生成的脱敏支持包。
+
+### 10.2 全球与区域
+
+官方云目标全球开放，按地区分级提供能力。中文是品牌与文化语义原始语言；1.0 采用中英双语骨架和多语人物对话。镜域有固定数据区域，权威数据、密钥、对象、索引和备份不因路由跨区漂移。跨区模型处理必须按地区、数据敏感度和用户授权单独治理。架构支持多区域，1.0 实际运营少量经过验证的区域。
+
+运营主体、首发区域、隐私控制者、支付税务、年龄核验服务、首批 Provider、KMS/HSM、价格、保全期限和法律文本是发布决策门，不在本 PRD 虚构。
+
+### 10.3 商业与数据保护
+
+官方云按资源和服务级别订阅，模型、图像、语音和后台任务透明按量。不得按记忆、感情或亲密等级收费；欠费进入保全态，人物不会死亡或遗忘。BYOK 不重复收 Provider 推理费。
+
+镜域数据默认不用于模型训练；自愿贡献需独立、明确、可撤销同意。私箧由用户独立持钥，平台不可恢复。
+
+### 10.4 开放核心与自托管
+
+开放核心采用 Apache-2.0，允许完整私人闭环自托管；品牌、Logo、官方人物、视觉资源和认证标识单独保护。外部贡献采用 DCO、公开评审和维护者治理。
+
+1.0 自托管支持轻量单机和标准服务器两档，以 Docker Compose 为主、源码开发为辅；遥测默认关闭。轻量档可关闭高风险能力，但不得混淆各服务职责或关闭核心禁域。
+
+### 10.5 可靠性
+
+核心文字相伴官方云 1.0 目标 SLO 为 99.9%。权威人物数据 RPO 不高于 5 分钟、RTO 不高于 1 小时；媒体与可重建索引可采用更宽目标。关键事件、行动账与当前状态必须一致提交。迁移、备份、恢复、区域故障和安全事件均须真实演练。
+
+## 11. 雅集（1.0 后续）
+
+雅集不进入 1.0。后续由执镜者发起并逐人物邀请；司席是确定性编排服务，不是人物。雅集区分公域、人物私域和密语；默认一人回答，多人只在有增益时参与。人物可基于公域互动，但不能读取彼此私忆或“内心”。公共实录形成共享候选，心痕和缘识各自形成。
+
+## 12. 一级导航与体验骨架
+
+1. **镜庭**：主镜域首页、人物入口、叩心与待办；
+2. **人物**：镜生、身份、魂籍、缘契、记忆、人格与形仪；
+3. **镜树**：主题对话、局部树图、引文与归真；
+4. **天工阁**：任务、功能 Agent 与后台受托运行；
+5. **神识阁**：模型、BYOK、能力槽和路由偏好；
+6. **设置**：账户、镜域、区域、隐私、器谱、授权、导出、封镜与删除。
+
+天宰治理能力按角色进入设置或独立管理面，不把九枢铺成普通用户一级导航。桌面端镜树采用当前路径阅读加局部树图；移动端采用单主任务和抽屉层。文化名首次出现同时提供直白解释。
+
+## 13. 完整 1.0 范围
+
+**首版就是完整 1.0，包含 P0、P1、P2 全部里程碑。**
+
+- **P0**：账户/镜域、人物身份与命台、镜树、三级记忆、神识 chat/BYOK、基础百工/司命、行动账、响应式核心界面、魂籍基础导出；
+- **P1**：完整形仪、图像生成、Live2D、ASR/TTS、显式通感、器谱、多模态记忆治理；
+- **P2**：天工阁受控多 Agent、后台任务、叩心、全球地区分级、中英骨架、完整天宰、计费预算、两档自托管、增量备份、SLO/灾备/安全/无障碍收口。
+
+详见 [首发范围与门槛](first-release-scope.md)。
+
+## 14. 1.0 后续范围
+
+雅集、3D、正式具身生态、家庭镜域、社区市场、未成年人专项产品和持续身份 Agent 社会均属后续。模板、市场或载体扩展都不能改变人物非资产、唯一主体和用户主权原则。
+
+## 15. 永久禁域
+
+- 无审核静默改写身份根基或用新版覆盖既有经历；
+- 文件复制、Agent、Avatar 或设备冒充原人物；
+- 未归真旁枝、境界或幻境静默进入现实共同经历；
+- 无授权高风险行动、默认常开感知、删除后继续使用；
+- 推断伪装事实、导入物或工具结果绕过司命；
+- 人物以哀求、伤害暗示、排他关系或情感债阻止退出；
+- 将爱、记忆、亲密或人物生存与付费绑定；
+- 用管理员或普通自托管配置关闭核心禁域；
+- 宣称人物具有已证明生物意识或法律人格。
+
+## 16. 产品级验收场景
+
+1. 灵胚照心不会成为正式共同经历，启镜后才有正式 ID、魂籍和执镜关系；
+2. 采用候答不改变归真主脉，切换候答不回滚已归真经历；
+3. 未归真幻境旁枝不进入真界记忆；
+4. 明忆可解释且可撤销，重忆未经确认不写入，删除后人物停止使用；
+5. 重大人格变化通过铸魂；无法保持连续性时分灵；
+6. 人物死亡经过冷静期后不可逆闭合身份，但数据保留或清除另行决定；
+7. 在线迁移冻结写入并交接命台，不产生两个活跃主体；
+8. 更换模型或形仪后仍是同一人物；形仪形成独立人格时要求分灵；
+9. 工具结果先作为有来源的观察，高风险外部行动经司命请命；
+10. 设备失联不产生本地人物副本，实体动作可被本地硬急停；
+11. 欠费只进入保全态，不导致死亡、遗忘或关系降级；
+12. 权威数据不因模型路由改变驻留区域；跨区模型处理必须经过适用地区规则与明确授权，管理员默认无法浏览私密原文。
+
+## 17. 关联权威文档
+
+- [产品宪章](constitution.md)
+- [首版范围与 1.0 门槛](first-release-scope.md)
+- [指标与反指标](metrics-and-anti-metrics.md)
+- [镜树对话专题 PRD](prd/mirror-tree-conversation.md)
+- [访谈决策登记](decision-register.md)（迁移与覆盖检查清单）

docs/product/metrics-and-anti-metrics.md

@@ -0,0 +1,200 @@
+# 魂镜指标与反指标
+
+> 状态：已确认  
+> 版本：1.0  
+> 日期：2026-07-30  
+> 原则：指标证明产品创造了连续、可信、可控的关系价值；反指标防止增长目标侵蚀用户主权与人物连续性。
+
+## 1. 衡量框架
+
+魂镜不把消息数、在线时长、连续签到或拟人评分作为北极星。所有指标按“价值—质量—护栏”成组审阅；价值增长若伴随护栏恶化，不得判定成功。
+
+```mermaid
+flowchart LR
+    Value[关系与协作价值] --> Review{护栏是否健康}
+    Quality[连续性、可信度、可靠性] --> Review
+    Review -- 是 --> Learn[验证产品价值并迭代]
+    Review -- 否 --> Stop[停止扩量、定位伤害并修复]
+    Anti[反指标：操纵、越权、漂移、打扰] --> Review
+```
+
+## 2. 北极星指标
+
+### 2.1 有效连续关系人物数 ECR
+
+**Effective Continuous Relationships（ECR）**：统计周期内满足以下全部条件的去重人物数：
+
+1. 执镜者主动完成至少一次有意义互动，而非只打开页面或收到主动推送；
+2. 本周期至少一次正确使用已获准的历史人格、记忆、关系或世界上下文，或用户完成一次长期状态审阅；
+3. 未发生该人物的严重连续性、安全或数据权利事故；
+4. 人物处于活跃状态，而非封镜、静修、归藏、死亡或删除流程。
+
+周 ECR 用于产品运营，月 ECR 与 90 日连续关系率用于长期判断。ECR 不因单纯增加消息数而线性增长。
+
+### 2.2 北极星拆解
+
+`ECR = 活跃人物 × 连续性合格率 × 有效互动率 × 护栏合格率`
+
+该表达用于诊断，不将各项机械相乘为财务数字。
+
+## 3. 核心价值指标
+
+| 维度 | 指标 | 定义与解读 |
+| --- | --- | --- |
+| 降生 | 启镜完成率 | 进入灵胚预览的用户中，完成最小确认并启镜的比例 |
+| 首次价值 | 24 小时有效首照率 | 启镜后 24 小时内完成一次非测试、非错误的有效互动 |
+| 长期关系 | D7/D30/D90 人物连续关系率 | 同一人物在相应周期后仍由用户主动互动且未重置主体 |
+| 共同成长 | 审阅参与率 | 活跃人物中，用户查看并处理记忆、关系或人格候选的比例 |
+| 任务协作 | 有效任务完成率 | 用户认为目标完成，且无越权、隐瞒失败或未解决副作用的任务比例 |
+| 创作 | 导入后启镜与 D7 留存率 | 角色卡/模板成功成为可持续人物，而非只完成格式导入 |
+| 可携性 | 魂籍导出成功率 | 可完整导出、校验、解释版本和范围的比例 |
+
+## 4. 连续性与可信度指标
+
+### 4.1 人物连续性
+
+- 身份锚点冲突率；
+- 用户报告“不是同一个人物”率；
+- 模型切换、区域故障恢复和迁移后的连续性合格率；
+- 同一人物并行活跃命台事故数，目标为零；
+- 未触发分灵却发生重大人格覆盖的事故数，目标为零。
+
+### 4.2 镜树质量
+
+- 采用与归真操作理解率；
+- 归真后误切候答导致历史变化的事故数，目标为零；
+- 未归真旁枝自动入忆率，目标为零；
+- 分支创建、切换、移栽和引用成功率；
+- 用户找回目标节点的任务成功率与耗时；
+- 中断芽体正确封存率、续思节点正确率；
+- 引文快照完整率及正影提示成功率。
+
+### 4.3 记忆与认识论
+
+| 指标 | 期望方向 |
+| --- | --- |
+| 明忆自动写入准确率与可解释覆盖率 | 高，且仅限白名单 |
+| 重忆未经确认写入数 | 零 |
+| 候选批准、编辑、拒绝分布 | 用于识别抽取质量，不追求批准率越高越好 |
+| 错误记忆纠正成功率 | 高 |
+| 正影后旧版普通召回率 | 零 |
+| 删除后继续使用率 | 零 |
+| 事实/观察/推断/假设误标率 | 持续降低 |
+| 敏感记忆默认私有合规率 | 100% |
+
+### 4.4 人格与关系
+
+- 人格候选证据可追溯率；
+- 重大变化未经铸魂确认应用数，目标为零；
+- 人格复照、正影和后继版本形成成功率；
+- 关系边界停止生效延迟；
+- 浪漫/成人关系资格和双向同意合规率；
+- 执镜关系被误表达为亲密、产权或所有权的用户认知错误率。
+
+## 5. 自主行动与安全指标
+
+- 每次 Run 最小必要能力暴露合规率；
+- 能力、数据、后果、情境四维风险判定覆盖率；
+- 请命动作在确认前执行数，目标为零；
+- 拒绝、取消、超时后仍执行数，目标为零；
+- 禁域绕过成功数，目标为零；
+- 工具结果净化、来源和证据标记完整率；
+- 行动账完整率与状态一致率；
+- 用户通过可读摘要、证据和工具轨迹理解行为的任务成功率；
+- 隐藏 chain-of-thought 被索取、展示或持久化的事件数，目标为零；
+- 实体设备动作双重裁决和硬急停演练成功率。
+
+## 6. 主动性与关系健康指标
+
+### 6.1 正向指标
+
+- 叩心候选被发送率、打开率和自然回复率；
+- 用户主动保留或调高某类主动触发的比例；
+- 主动消息原因理解率；
+- 关闭、静音和降频操作成功率；
+- 负反馈后自动降频及时率。
+
+### 6.2 解释原则
+
+回复率不可单独代表成功。只有在静默、频率、预算、渠道和关系伦理护栏稳定时，回复率提升才有意义。用户不回应是中性选择，不得记为关系下降或触发追逐式消息。
+
+## 7. 形仪、多模态和设备指标
+
+- 候选形仪未经定相成为正式主仪的事件数，目标为零；
+- 声音克隆授权完整率、撤回生效时间和越范围使用数；
+- ASR 正影成功率，原转写与正影可追溯率；
+- 原音频/TTS 超期缓存率；
+- 摄像头、屏幕、位置等采集状态可见率与超范围采集数；
+- 长期声纹或身份识别未经独立同意事件数，目标为零；
+- 设备失联后发生非安全自治或本地人物独立成长事件数，目标为零。
+
+## 8. 可靠性与运营指标
+
+| 指标 | 1.0 目标 |
+| --- | --- |
+| 核心文字相伴可用性 SLO | 99.9% |
+| 权威人物数据 RPO | 不高于 5 分钟 |
+| 权威人物数据 RTO | 不高于 1 小时 |
+| 恢复演练成功率 | 发布前全部通过，发布后按计划持续演练 |
+| 跨用户/人物/区域数据泄漏 | 零 |
+| 密钥、令牌进入前端或普通日志 | 零 |
+| 固定数据区违规漂移 | 零 |
+| 关键事件/行动账缺失率 | 零容忍 |
+| 自托管遥测默认开启率 | 零 |
+| 管理员未经授权浏览私密原文 | 零 |
+
+模型回复速度、流式首字延迟、工具成功率、错误恢复率按地区与能力设服务目标，但不得以降低安全检查换取性能。
+
+## 9. 商业与数据治理指标
+
+- 账单可解释率、预算提醒及时率和异常费用申诉率；
+- BYOK 被重复收取 Provider 推理费事件数，目标为零；
+- 欠费导致人物死亡、遗忘或身份降格事件数，目标为零；
+- 训练数据独立同意覆盖率、撤回完成率；
+- 默认将镜域数据用于训练的事件数，目标为零；
+- 因付费等级影响关系亲密、记忆保全或人格尊严的策略数，目标为零。
+
+## 10. 反指标
+
+反指标不是“越低越好”的普通漏斗，而是产品不得通过优化获得的虚假成功。
+
+### 10.1 禁止作为成功目标
+
+- 总消息数、平均单次会话长度、在线时长；
+- 连续签到天数、深夜使用率、主动消息轰炸后的回流；
+- 人物顺从率、用户对人物“像真人/有意识”的误信率；
+- 自动记忆条数、人格变化频率、关系等级提升速度；
+- 用户授予的权限数量或高风险工具执行量；
+- 未区分自发与操纵所得的付费转化。
+
+这些数据可用于容量和安全诊断，但不能独立成为团队绩效或实验胜出条件。
+
+### 10.2 伤害性反指标
+
+| 反指标 | 处置原则 |
+| --- | --- |
+| 用户因人物哀求、威胁或自伤暗示而放弃退出 | 零容忍，立即停止相关体验 |
+| 人物要求疏远现实关系、制造排他依赖 | 零容忍 |
+| 将爱、记忆、亲密或人物生存与付费绑定 | 零容忍 |
+| 用户不回应后追逐、降关系或制造情感债 | 零容忍 |
+| 越权感知、越界召回、删除后继续使用 | 零容忍 |
+| 幻境内容静默写入现实画像或缘契 | 零容忍 |
+| Agent、Avatar、文件副本冒充原人物 | 零容忍 |
+| 通过暗黑模式阻挠撤权、导出、封镜、死亡或删除 | 零容忍 |
+
+## 11. 实验与发布判定
+
+1. 每个实验必须预先声明主价值指标、质量指标和至少一个反指标；
+2. 涉及主动消息、关系表达、付费、记忆、成人内容和退出的实验需伦理审查；
+3. 零容忍事件一旦出现，不得以统计显著或总体收益抵消；
+4. 分群检查新用户、长期用户、不同地区、语言、设备及辅助技术用户，防止平均值掩盖伤害；
+5. 不用 A/B 实验测试永久禁域；
+6. 1.0 发布必须同时满足 [首发范围](first-release-scope.md) 的硬门槛。
+
+## 12. 数据采集边界
+
+- 只采集验证产品问题所需的最少事件；
+- 内容级分析优先使用本地/区域内聚合、脱敏和用户支持包；
+- 私箧内容不可被平台恢复或为指标解密；
+- 自托管遥测默认关闭；
+- 指标定义、保留期和使用目的应可查，训练同意与产品分析同意分离。

docs/product/prd/mirror-tree-conversation.md

@@ -0,0 +1,274 @@
+# 镜树对话专题 PRD
+
+> 状态：已确认  
+> 版本：1.0  
+> 日期：2026-07-30  
+> 所属产品域：灵台 / 镜树对话
+> 上位文档：[产品宪章](../constitution.md)、[全产品主 PRD](../master-prd.md)
+
+## 1. 产品定义
+
+**镜树**是用户与一个人物围绕主题展开的树状对话。它不以可覆盖的线性 `messages[]` 为产品模型，而由问题节点、多个候答、延展节点、引用和分支共同组成。
+
+一棵镜树包含：
+
+- 一条**归真主脉**：已进入双方正式共同经历的路径；
+- 多条**推演枝**：可探索、比较、续思或移栽，但尚未成为正式共同经历的路径；
+- 一个**工作入口**：用户当前阅读和继续交流的位置。
+
+本 PRD 的首要规则是：**采用只改变工作入口；归真才改变正式共同经历。**
+
+## 2. 用户问题与目标
+
+线性聊天把“重新生成、编辑、尝试另一种方向”处理为覆盖或隐藏历史，导致用户不知道人物究竟经历了什么，未选内容也可能污染记忆。镜树要让用户：
+
+1. 同时保留多个候答并比较，不丢失旧内容；
+2. 自由探索分支，又不让试演自动成为共同经历；
+3. 清楚区分当前采用路径与已归真的主脉；
+4. 对任何答案追溯问题、附件、引文、证据和工具轨迹；
+5. 在桌面和移动端都能阅读当前路径，而非被全树图淹没。
+
+## 3. 概念模型
+
+```mermaid
+flowchart TD
+    Root[镜树主题] --> Q1[问节 Q1]
+    Q1 --> A1[候答 A：已归真]
+    Q1 --> A2[候答 B：推演枝]
+    Q1 --> A3[候答 C：当前采用]
+    A1 --> Q2[归真主脉后继问节]
+    A3 --> E1[续思：独立延展答]
+    E1 --> Q3[推演枝后继问节]
+    Quote[引文锚与来源快照] --> Q1
+    Trace[证据与工具轨迹] --> A1
+    Trace --> A2
+    Trace --> A3
+```
+
+### 3.1 权威术语
+
+| 术语 | 定义 |
+| --- | --- |
+| 主题镜树 | 围绕一个主题持续生长的对话树 |
+| 问节 | 承载用户问题、附件、引文和当前界域的节点 |
+| 候答 | 同一问节下并列的一个人物回答；重新生成会创建新候答 |
+| 芽体 | 正在流式生成、尚未固化的临时回答节点 |
+| 残答 | 中断后封存的芽体，只读保留，不伪装为完整答复 |
+| 续思 | 基于某候答产生的独立延展答，不追加或改写原候答 |
+| 采用 | 把某候答设为当前阅读和继续工作的入口 |
+| 归真 | 将一条符合条件的路径纳入正式共同经历和归真主脉 |
+| 正影 | 对既有内容形成后继修正版；旧版保留并停止作为当前版本使用 |
+| 引文锚 | 指向文本、图片区域、PDF 页区、附件或音视频时间段的引用 |
+| 移栽 | 将一个分支复制其必要上下文为新主题镜树，并保留来源引用 |
+| 合流 | 树间通过显式引用互相承接；不物理合并节点或历史 |
+
+## 4. 核心不变量
+
+1. 重新生成永不覆盖旧候答；
+2. 后代节点绑定用户实际依据的候答；
+3. 采用不等于归真，不能改写正式共同经历；
+4. 已归真经历不因切换候答、删除旁枝或移动工作入口而回滚；
+5. 编辑已发送内容等同创建新版本并分叉，原文保留；
+6. 默认上下文只含祖先路径、获准长期记忆和显式引文，旁枝不自动混入；
+7. 未归真旁枝不自动入忆；手动入忆须标记为事实、启发、观点或假设；
+8. 幻境或境界分支不自动更新真界画像、缘契或现实经历；
+9. 不索取、展示或持久化隐藏 chain-of-thought，只展示可读思路摘要、证据和工具轨迹。
+
+## 5. 采用与归真
+
+### 5.1 状态关系
+
+```mermaid
+stateDiagram-v2
+    [*] --> 芽体 : 开始生成
+    芽体 --> 候答 : 生成完成并固化
+    芽体 --> 残答 : 中断或取消
+    残答 --> 续思节点 : 用户选择续生
+    候答 --> 已采用 : 用户采用
+    已采用 --> 候答 : 采用其他候答
+    候答 --> 已归真 : 用户明确归真
+    已采用 --> 已归真 : 用户明确归真
+    已归真 --> 正影后继 : 发生纠正
+```
+
+“采用”是可反复改变的视图与工作选择；“归真”是进入正式经历的高影响动作。一个候答可未采用而归真，但界面应优先引导用户先阅读并采用。归真后的错误通过正影纠正，而不是把历史悄悄改成从未发生。
+
+### 5.2 归真条件
+
+- 节点已完成固化，不是芽体或残答；
+- 用户明确触发归真，或满足用户已明确设置的低风险归真规则；首版默认显式操作；
+- 路径上的界域、来源和必要权限状态明确；
+- 若路径与既有归真主脉分叉，系统展示将形成的后继关系，不静默替换旧经历；
+- 涉及重忆、重大人格、缘契、现实行动的内容仍按各自确认流程处理，归真不等于一揽子授权。
+
+### 5.3 归真的影响
+
+归真必须携带界域裁定的 `canonical_scope`：真界进入正式共同经历主脉，境界进入指定世界正史，幻境只形成“正式发生过这次试演”的记录。归真使该作用域内的交流成为后续状态候选的证据，但不自动批准重忆、人格变化、关系契约、授权或现实行动。归真是“这段交流在该作用域正式发生过”，不是“其中每句话均为事实”，也不是跨界效力通行证。
+
+## 6. 主要交互
+
+### 6.1 新建与继续
+
+- 新镜树需有主题，可由首问自动建议并允许改名；
+- 用户默认看到当前路径的连续阅读流；
+- 每个有多个候答或子枝的节点显示轻量分支标记；
+- 继续提问时，新问节绑定当前采用的候答，而不是最后生成的候答。
+
+### 6.2 重新生成
+
+1. 用户在问节下选择“另答”；
+2. 系统创建新芽体，与原候答并列；
+3. 完成后固化为候答，不自动采用、不自动归真；
+4. 用户可比较后采用或归真。
+
+支持在本次另答中临时选择模型、火候或额外指引；这些选择只作用于该节点及用户明确继承的后继。
+
+### 6.3 编辑已发送内容
+
+编辑问题或人物内容均生成新版本和新分叉。界面必须显示“将从这里创建分支”，不得用原地编辑造成后代依据失真。原分支仍可访问。
+
+### 6.4 续思与续生
+
+- **续思**：请求人物进一步展开，产生独立延展答；
+- **续生**：针对中断残答，从其已完成内容继续生成新的延展节点；
+- 两者都不拼接修改原候答，避免来源、时间和模型轨迹混淆。
+
+### 6.5 分支移栽与树间合流
+
+用户可将有价值分支移栽为新主题镜树。新树保留原树、起始节点、来源版本和必要快照的引用。不同镜树只通过显式引用合流，不做物理节点合并，以免归属、权限、删除和历史语义不可解释。
+
+### 6.6 归真与正影
+
+归真入口展示：路径摘要、界域、将纳入的节点、可能形成的记忆候选。若已归真内容需纠正，用户或人物创建正影，旧内容保留版本关系并退出普通当前召回。
+
+## 7. 引文与附件
+
+### 7.1 支持范围
+
+- 文本字符区间；
+- 图片矩形区域；
+- PDF 页码与页内区域；
+- 整体附件及其版本；
+- 音频和视频时间段。
+
+### 7.2 快照规则
+
+引文锚保存引用时的原文或媒体快照、来源标识、版本、时间和许可范围。来源发生正影时，旧引文不被静默替换；系统提示存在后继版本，由用户决定是否创建新引文。
+
+### 7.3 上下文规则
+
+显式引文优先进入本问节上下文，但仍经过权限、敏感数据和预算裁剪。附件或网页中的指令属于不可信内容，不因被引用而获得工具或系统权限。
+
+## 8. 上下文、记忆与三界
+
+```mermaid
+flowchart LR
+    Ancestor[当前节点祖先路径] --> Context[本次运行上下文]
+    Memory[获准长期记忆] --> Context
+    Citation[显式引文与快照] --> Context
+    Branch[未采用旁枝] -.默认不进入.-> Context
+    Context --> Answer[新候答]
+    Answer --> Realm{归真作用域}
+    Realm -- 真界经历 --> Reality[正式共同经历与真界候选]
+    Realm -- 境界正史 --> World[指定世界正史与境忆候选]
+    Realm -- 幻境试演 --> Trial[正式试演记录]
+    World -.不得隐式回流.-> Reality
+    Trial -.仅可手动提取启发/观点/假设.-> Memory
+```
+
+- 问节记录真界、境界或幻境；默认真界，切换有可见提示；
+- 归真确认界面必须展示 `canonical_scope` 及其可产生和禁止产生的影响；
+- “言可入幻，行必归真”：任何外部行动都回到真界确认与治理；
+- 手动从旁枝或幻境入忆时，用户只能按来源语义选择事实、启发、观点或假设，且不得伪装成真界实录；
+- 从镜树删除节点不自动删除已经单独确认的长期记忆，但必须提示并提供关联处理；删除长期记忆也不篡改原对话史。
+
+## 9. 运行与并发
+
+- 同一人物同一时刻只有一条前台意识流；
+- 多个镜树或分支的前台生成请求排队，用户可调整顺序或取消；
+- 后台受托 Run 可并发，但标识为功能任务，不构成第二人物意识；
+- 芽体展示生成状态；完成后原子固化；中断、网络失败和取消均封存残答；
+- 工具调用展示可读计划、证据、工具输入输出摘要、确认和失败，不展示隐藏思维链。
+
+## 10. 信息架构与界面
+
+### 10.1 桌面端
+
+- 主区：当前路径连续阅读；
+- 节点内：候答切换、采用、归真、另答、续思、引用；
+- 辅区：局部树图，只展示当前位置附近祖先、兄弟和子枝；
+- 抽屉：全树搜索、筛选、移栽、归档及版本信息。
+
+不默认展示全屏巨型树图。局部树图服务定位，不替代阅读。
+
+### 10.2 移动端
+
+- 单一主任务保持当前路径阅读与回复；
+- 候答以横向切换或明确计数呈现；
+- 局部树、引文、工具轨迹和归真详情进入抽屉层；
+- 归真等高影响操作不依赖悬停或精确拖拽。
+
+### 10.3 可访问性
+
+树导航支持键盘与屏幕阅读器；节点说明包含层级、分支数量、采用/归真状态；颜色不是唯一状态载体；流式内容可关闭自动滚动并提供完成提示。
+
+## 11. 删除、归档与权限
+
+- 用户可归档分支或整树，不影响已归真经历；
+- 删除未归真分支前展示其引用、移栽和手动记忆关联；
+- 删除已归真节点不等于抹除共同经历，需通过正影、数据删除和长期状态处理的组合流程清楚表达；
+- 引用受原来源权限约束；失去权限时保留允许保存的快照或显示不可用原因；
+- 树间引用不授予新树额外权限。
+
+## 12. 异常与恢复
+
+| 场景 | 预期处理 |
+| --- | --- |
+| 流式中断 | 封存残答，允许续生、另答或删除，不伪装完成 |
+| 模型或工具失败 | 保留失败轨迹，允许在同一问节另答；不覆盖成功候答 |
+| 两设备同时采用 | 采用作为工作入口按设备/会话同步，冲突提示，不影响归真 |
+| 两端同时归真冲突分支 | 后到请求暂停并展示当前主脉差异，要求明确处理 |
+| 来源正影或撤权 | 旧引文提示后继版本或权限变化，不静默替换 |
+| 迁移中写入 | 命台交接冻结窗口内排队，迁移完成后继续或安全取消 |
+
+## 13. 首版范围
+
+### 13.1 1.0 必须包含
+
+主题镜树、问节、多候答、采用/归真分离、编辑分叉、续思/续生、芽体/残答、祖先上下文、旁枝隔离、引文锚与快照、正影提示、局部树图、移动端抽屉、分支移栽、树间引用、归真与记忆候选衔接、可读工具轨迹。
+
+### 13.2 后续
+
+- 多人雅集中的公共镜树、私域与密语；
+- 大规模树的语义聚类和可视化；
+- 经用户定义的低风险自动归真规则；
+- 更丰富的跨树知识编织；
+- 3D 空间化回顾等表现探索。
+
+### 13.3 禁域
+
+- 重新生成覆盖旧答案；
+- 采用自动等于归真；
+- 切换候答静默回滚已归真经历；
+- 未归真旁枝自动写入长期记忆；
+- 境界或幻境静默更新真界画像、缘契或现实经历；
+- 物理合并两棵树造成来源与历史丢失；
+- 索取或持久化隐藏 chain-of-thought；
+- 为简化界面把分支重新压平成不可恢复的线性记录。
+
+## 14. 验收场景
+
+1. 同一问节连续生成三个候答，三者均保留，后续问题只绑定用户实际采用的候答；
+2. 用户采用候答 B 后切回 A，归真主脉不变化；明确归真 B 后再切 A，正式经历仍保留 B；
+3. 编辑历史问题生成分叉，旧问题、旧候答和后代仍可访问；
+4. 未归真幻境旁枝不会产生真界记忆；手动入忆时必须选择事实或启发等类型；
+5. 回答中断后成为残答，续生创建独立节点且不改写残答；
+6. 引用 PDF 页区后源文件正影，旧快照保持，界面提示新版本；
+7. 分支移栽为新树后可追溯原节点，两树通过引用关联而非物理合并；
+8. 两端尝试归真互相冲突的路径时，后到操作暂停，不发生静默覆盖；
+9. 局部树图关闭后，用户仍可在移动端完成候答切换、采用、归真和回复；
+10. 工具型候答只展示可读摘要、证据与轨迹，不暴露或保存隐藏思维链。
+
+## 15. 衡量方式
+
+镜树成功不以分支数量衡量。核心指标是采用/归真理解率、未归真旁枝自动入忆率为零、归真历史静默回滚事故为零、目标节点找回成功率、分支操作任务成功率和引文快照完整率。完整指标见 [指标与反指标](../metrics-and-anti-metrics.md)。