# 服务边界

> 状态：重写目标态（rewrite/1.0 基线）
> 文化名与工程对象登记见[契约词典 §2](../contracts/contract-glossary.md)；本文只定义职责边界与协作规则。

## 1. 边界原则

1. 人物状态只由灵台业务规则解释和改变。
2. 神识通模型协议，不拥有数字人物；博闻通外部检索，不解释观察结果。
3. 百工在灵台统一注册能力，乾坤只负责隔离执行与资源约束。
4. 琉璃镜与镜匣只经公开契约经照壁调用服务，不成为安全或数据旁路。
5. 跨服务只传稳定标识、版本化 Schema 和可追踪上下文；不得共享内部数据库表作为接口。
6. 能力可按部署档位关闭，服务职责与禁域不因档位消失。

## 2. 琉璃镜（前端，Next.js）

**拥有**：全部 Web 体验、镜树当前路径阅读与局部树图、候答切换/采用/归真交互、治理与确认界面、运行轨迹展示、Live2D 与浏览器通感呈现、设计体系（Lucide 图标、无表情符号、Awwwards 级视觉标准）。

**不拥有**：平台密钥、权威人物状态、风险最终裁决、不可信执行、绕过照壁的后端直连。

前端服务端状态使用 TanStack Query，请求经 openapi-fetch 以灵台 OpenAPI 生成的类型发出；组件状态 Zustand。页面信息架构遵循主 PRD §12：镜庭、人物、镜树、天工阁、神识阁、设置。

## 3. 照壁（BFF，Fastify）

**拥有**：鉴权透传（JWT Cookie 与刷新）、SSE/WebSocket 双向代理（禁缓冲、断线续传透传）、响应裁剪与字段白名单、openapi-fetch 类型桥接、跨灵台接口的轻量聚合、请求日志（pino）。

**不拥有**：业务规则、人物状态、模型协议、权限裁决、任何权威数据存储。照壁可以做响应裁剪，但不得替灵台决定"用户能否看到"——鉴权语义一律来自灵台。

**约束**：照壁是无状态服务，水平扩展不依赖会话粘滞；SSE 代理必须设置 `X-Accel-Buffering: no` 并透传 `Last-Event-ID`。

## 4. 灵台（后端核心，Python FastAPI）

**拥有**：六域业务（镜生/缘契/三界/形仪/灵台域/天宰）、插件化认知运行时与九枢装配、镜树与归真、三级记忆管线、缘契版本、司命裁决与行动账、百工能力目录、MCP Client（stdio/SSE）、工具注册表、事件溯源（一炁）、魂籍导出。

**不拥有**：Provider 方言与 Endpoint 连接池（神识职责）、不可信代码执行环境（乾坤职责）、Web 展现状态（琉璃镜职责）。

灵台向神识发送最小必要的版本化模型请求，向乾坤发送已裁决且范围明确的执行请求；返回结果先作为观察净化标证。运行时结构见[灵台运行时](lingtai-runtime.md)。

**基础设施复用边界**：现有 auth/RBAC/审计/事件存储/幂等/SSE 网关代码保留改造接入新领域层；旧领域模块（personality/drive/evolution/wuxing/time_sense/knocking/big_cycle 等）按重写执行计划（已收口删除）退役删除。

## 5. 神识（模型网关，Go）

**拥有**：Provider/Endpoint 目录、模型能力槽位、入站协议转换（内部 IR → 各厂商方言）、路由与故障切换、流式转发、BYOK 密钥保管、配额与成本计量、用量日志。

**不拥有**：人物 ID 的身份解释、道体、记忆、关系、缘契、长期状态和工具授权决策。神识可以按隐私与能力约束选择端点，但不得把模型差异写成人格变化。

设计详见[神识模型网关](shenshi-gateway.md)。元炁作为 `type=local` 的 Endpoint 接入神识，不与灵台直接对话。

## 6. 博闻（MCP 搜索，Go）

**拥有**：多搜索引擎接入、密钥池轮询（EWMA 权重）、两级缓存、熔断、stdio/SSE/HTTP 三种 MCP 传输。

**不拥有**：模型路由、人物状态、工具授权裁决。博闻产出的一切搜索结果经灵台百工调用获得，先作为有来源的观察，不自动成为事实。

其余 MCP 服务同理：由灵台百工登记与调用，不存在独立"网关服务"层（旧玄关退役）。

## 7. 乾坤（沙箱，Rust）

**拥有**：不可信执行隔离、进程组与资源上限、执行取消、HMAC 短期凭证验签、执行审计证据。

**不拥有**：人物目标、长期状态、模型路由、关系语义、权限扩张。乾坤只执行已授权任务，不做风险判定（由司命负责）。

现实动作须同时通过云端司命裁决与设备本地安全控制；本地硬急停优先级最高。

## 8. 天目 / 元炁（辅助服务，Python）

**天目**：本地 OCR（RapidOCR / PaddleOCR-VL），为通感与文档导入提供文字提取；输出是观察，不是事实。
**元炁**：本地推理（llama-cpp / BGE-M3 / Rerank / 多模态），仅作为神识的本地 Endpoint 与灵台的 embedding 服务接入；不独立做路由决策。

## 9. 镜匣（桌面壳，Tauri）

**拥有**：桌面 WebView 承载琉璃镜、本地能力桥（文件对话框、通知、托盘）、与乾坤本地执行的通道、tantivy 本地检索（预留）、自动更新。

**不拥有**：平台密钥、独立的人物状态副本。设备失联只允许安全自治与输入暂存，不产生可独立成长的人物副本。详见[BFF 与桌面壳](bff-and-desktop.md)。

## 10. 禁止的耦合

- 琉璃镜/镜匣直接持有 Provider 密钥、直连神识或调用高风险工具。
- 照壁内嵌业务规则或权威状态，成为第二个"小后端"。
- 神识直接读写人物记忆、人格或关系表。
- 乾坤根据 Prompt 自行扩大权限或目标。
- 灵台把 Provider SDK 细节扩散到领域模块（模型出口只经神识客户端边界）。
- 服务共享可写数据库账户，以共享表替代 API/事件契约。
- 为轻量部署把神识、乾坤职责重新实现进灵台。
- 任何服务绕过一炁事件日志改变人物相关状态（"模型可见即可重建"铁律的反向适用：状态变更必须留痕）。

## 11. 跨服务契约

- 灵台 ↔ 神识：REST + SSE，版本化模型请求 Schema、用量回传、错误码段见[契约词典](../contracts/contract-glossary.md)；请求携带 `run_id`/`trace_id`，神识响应回传 `X-Request-Id` 用于关联。
- 灵台 ↔ 乾坤：HMAC 签名执行请求，超时与取消语义以乾坤 API 为准。
- 灵台 ↔ 博闻：MCP 协议（HTTP 传输优先）。
- 照壁 ↔ 灵台：HTTP/SSE 透传，契约即灵台 OpenAPI。
- 客户端 ↔ 照壁：HTTPS + JWT Cookie；SSE 事件契约见[API 契约](../contracts/api-contracts.md)。