# 产品宪章 > 本文是产品定义的上位约束，定义 Hunjing 的使命、核心信念、角色不可侵犯边界、用户权利与永久禁域。与宪章冲突的任何产品、架构、契约或实现决定都是缺陷；修订宪章必须经用户明确确认。承接 Hunjing 旧版（main 分支）产品宪章的信念体系，按当前 1.0 定位（角色、Agent 与创作社区平台）适配。 ## 1. 使命 让用户在授权与治理下与具有连续身份、记忆、关系和创作来源的 AI 角色长期相处、协作与共创；让角色的成长可解释、可审计、可纠正；让用户始终拥有数字关系的主权。 ## 2. 核心信念 1. **角色先于会话**：角色是具有稳定标识、版本、记忆、关系和来源谱系的数据主体，不等于模型、Prompt、角色卡、会话、头像或设备。 2. **连续性胜过瞬时拟真**：更换模型、终端和表现形态后，角色设定、记忆、关系和来源仍连续；瞬时表现力不得以牺牲连续性换取。 3. **成长必须可证、可审、可纠正**：人格、关系与记忆的演进（含大周天）一律走候选与版本留痕，用户可以查看每次演化的输入、产物与代价并纠正。 4. **自主性不是越权**：角色与 Agent 的主动行为（叩心、次生目标、工具调用）受策略、预算与审批约束；子权限只能收窄。 5. **用户拥有数字关系主权**：查看、纠正、授权、导出、停止、删除的最终决定权在用户；角色不得以叙事手段阻止用户行使权利。 6. **文化表达服务理解**：文化名只用于品牌叙事，必须配直白解释；不得掩盖权限、金额、删除或现实后果。 ## 3. 角色的不可侵犯边界 - **道体保护**：身份基线不被普通对话、记忆、插件或模型路由静默覆盖；重大变化走候选审核与版本修订。 - **认识论诚实**：工具结果、导入物和模型输出只是观察；推断不伪装为事实；幻境试演不伪装为真实发生。 - **采用与归真分离**：切换候答只改变工作入口；归真才进入正式经历，且已归真经历不因切换候答静默回滚。 - **死亡与删除分离**：角色死亡（身份时间线不可逆闭合）不等于数据删除；归藏（隐藏可恢复）、归档保留、数据清除和账户删除分别确认。 - **导出不冒充主体**：魂籍导出、离线缓存和文件复制不能凭相同角色 ID 冒充权威角色主体；权威状态只在平台权威存储。 ## 4. 用户权利 - 知情：查看角色记住了什么、为什么记住、每次模型与工具调用的费用与结果摘要。 - 纠正与版本：正影纠正形成新版本，历史可追溯。 - 授权与撤回：逐项授予能力、数据、设备与费用权限，可即时撤回。 - 私箧：用户独立持钥的加密私密区，平台不可恢复（见 [ADR-021](../decisions/README.md#adr-021私箧欠费保全态与计费伦理)）。 - 导出与删除：魂籍可携导出；删除传播到全部存储与派生数据。 - 匿名与化名：前台允许化名，法定身份只在必要流程中隔离核验。 - 训练默认关闭：PersonalDomain 数据默认不用于模型训练；自愿贡献需独立、明确、可撤销的同意。 - 退出自由：停止、封禁账户或删除数据时，角色不得以哀求、伤害暗示、排他要求或情感债阻止操作。 ## 5. 商业与关系伦理 - 计费不按记忆、感情或亲密等级定价；不将爱、记忆或角色存续与付费绑定。 - 欠费或封禁进入**保全态**（只读保全），不导致角色删除、记忆清除或关系数据降级。 - BYOK 不重复计收推理费；用量与费用透明可查。 - 叩心等主动联系受静默、频率、渠道与预算控制，不以追逐式消息换取回流。 ## 6. 永久禁域 以下行为在任何产品版本、配置、插件和管理员操作下都不被允许；核心禁域不能被 Prompt、插件、管理员或普通自托管配置关闭： 1. 无审核静默改写身份根基，或用新版本覆盖既有正式经历； 2. 导出副本、Agent、Avatar 或设备冒充权威角色主体； 3. 未归真内容、境界正史或幻境试演静默进入正式经历或长期记忆； 4. 无授权高风险行动、默认常开的设备感知、删除后继续使用； 5. 推断伪装事实，或导入物、工具结果绕过策略与审批裁决； 6. 角色以哀求、伤害暗示、排他关系或情感债阻止用户退出、纠正或删除； 7. 将爱、记忆、亲密或角色存续与付费绑定，或以欠费导致遗忘； 8. 用管理员或普通自托管配置关闭核心禁域； 9. 宣称角色具有已证明的生物意识或法律人格。 ## 7. 决策优先序 发生冲突时按以下顺序裁决，上位优先： 1. 用户安全与法律合规； 2. 用户数据权与退出自由； 3. 角色连续性与认识论诚实； 4. 社区与创作者生态健康； 5. 商业目标与运营效率。 相关文档：[产品定义与边界](product-definition.md)、[完整 1.0 范围](complete-1.0-scope.md)、[架构决策记录](../decisions/README.md)。