四服务边界

1. 边界原则

人物状态只由灵台业务规则解释和改变。
神识通模型协议，不拥有数字人物。
百工在灵台统一注册能力，乾坤只负责隔离执行与设备安全。
琉璃镜只经公开契约调用服务，不成为安全或数据旁路。
跨服务只传稳定标识、版本化 Schema 和可追踪上下文；不得共享内部数据库表作为接口。

2. 灵台（Python）

**拥有：**人物身份与命台业务、镜树与归真、人格/记忆/关系/世界认知、九枢认知运行、能力授权与司命裁决、百工能力目录、行动账业务语义。

**不拥有：**Provider 方言与 Endpoint 连接池、不可信代码执行环境、Web 展现状态。

灵台向神识发送最小必要的模型请求，向乾坤发送已裁决且范围明确的执行请求；返回结果先作为观察净化和标证，不自动成为事实、答复或记忆。

3. 神识（Go，目标服务）

当前独立 Go 神识尚未落地；Python ai_provider 暂时承担下述职责。现有 Go 玄关只负责 MCP 服务与工具管理，不能与神识混同。

**拥有：**Provider/Endpoint 目录、模型能力槽位、协议转换、路由、流式、故障切换、BYOK 接入、配额和成本计量。

**不拥有：**人物 ID 的身份解释、道体、记忆、关系、缘契、长期状态和工具授权决策。

神识可以按隐私与能力约束选择端点，但不得把模型差异写成人格变化。其架构与功能可参考 aiway，但不 Fork、不复制源码、不把 aiway 作为运行依赖。

4. 玄关（Go，当前辅助服务）

**拥有：**MCP 服务登记、工具发现、管理接口和调用入口治理。

**不拥有：**模型 Provider 路由、人物状态、工具授权裁决或不可信执行。玄关注册出的工具仍须进入灵台百工目录并接受司命裁决；玄关不能因当前独立部署而被视为第五个产品领域。

5. 乾坤（Rust）

**拥有：**不可信执行隔离、资源约束、执行取消、设备可信状态、本地安全控制器和硬急停。

**不拥有：**人物目标、长期状态、模型路由、关系语义或许可扩张。

现实动作须同时通过云端司命裁决与设备本地安全控制；本地硬急停优先级最高。设备失联只允许安全自治和输入暂存，不允许产生可独立成长的完整人物副本。

6. 琉璃镜（Next.js）

**拥有：**全部 Web 体验、镜树阅读与局部树图、候答采用/归真交互、授权与确认界面、运行轨迹和治理呈现。

**不拥有：**密钥、权威人物状态、风险最终裁决、不可信执行以及绕开后端的 Provider/数据库直连。

7. 交互边界

sequenceDiagram
    participant UI as 琉璃镜
    participant LT as 灵台
    participant SS as 神识
    participant QK as 乾坤

    UI->>LT: 用户意图、镜树上下文、授权范围
    LT->>LT: 司命裁决与最小能力选择
    alt 模型推理
        LT->>SS: 版本化模型请求 + trace
        SS-->>LT: 标准化流与用量
    else 外部行动
        LT->>QK: 已授权执行请求 + 限制 + trace
        QK-->>LT: 执行观察、状态与审计证据
    end
    LT->>LT: 净化、标证、形成候答/状态事务与 Outbox
    LT-->>UI: 可解释结果、证据、确认或错误

8. 禁止的耦合

琉璃镜直接持有 Provider 密钥或调用高风险工具。
神识直接读写人物记忆、人格或关系表。
乾坤根据 Prompt 自行扩大权限或目标。
灵台把 Provider SDK 细节扩散到领域模块。
服务共享可写数据库账户，以共享表替代 API/事件契约。
为轻量部署把神识、乾坤职责重新实现进灵台；能力可关闭，边界不能消失。

3.8 KiB Raw Blame History Unescape Escape