# 镜匣 · 魂镜最小桌面壳（hunjing 桌面端）

> 文化命名「镜匣」（契约词典 §2）：桌面 WebView 壳——承载琉璃镜、本地能力桥、乾坤通道与本地硬急停。

## M9 最小形态

- **WebView**：`tauri.conf.json` 指向 `../frontend/out`（构建产物）或开发服务器 `http://localhost:3000`；
- **能力桥**：`send_notification` 等最小命令；器谱逐项授契（灵台 `/devices` 器谱裁决），未授契能力被拒；
- **乾坤通道**：`qiankun_grant` 构造 HMAC 短期凭证（与 `sandbox/src/auth.rs` 验签同算法）；密钥读自 `SANDBOX_AUTH_SECRET` 环境变量——**二进制零平台密钥**；
- **硬急停**：`hard_stop` / `resume`——本地原子开关，触发即断全部通道（不经云端，优先级最高）；
- **tantivy 本地检索**：依赖已声明，`capabilities/` 目录预留，M9 不做实现。

## 验收（M9 发布门）

1. **零平台密钥**：`rg -i 'sk-|api[_-]?key\s*=' src/ tauri.conf.json capabilities/` 为空（密钥只经环境注入）；
2. **未授契能力被拒**：乾坤凭证构造必须配密钥；器谱能力断言走灵台司命链（403 留痕）；
3. **硬急停可用**：`hard_stop` 后 `qiankun_grant`/`send_notification` 全部拒绝，`resume` 显式恢复。

## 本地运行

```bash
# 前端构建产物（或使用 devUrl 指向开发服务器）
cd ../frontend && pnpm build
# 运行镜匣（乾坤通道需本地沙箱密钥；不配置时通道关闭，其余照常）
cd ../desktop && cargo run
```