hunjing/docs/product/product-definition.md

产品定义与边界

1. 产品定位

Hunjing 是面向个人用户与创作者的长期 AI 角色、Agent 与创作社区平台。上位约束见产品宪章。用户可以创建、导入、培养和协作创作角色，通过文字、语音、图像、Live2D 与 3D 形态长期互动；角色和任务 Agent 可以在明确授权下使用模型、插件、设备感知与外部工具。

本产品不声称角色拥有生物意识、法律人格或不可撤销的自主权。角色是具有稳定标识、版本、记忆、关系和创作来源的数据主体，不等于模型、Prompt、会话、头像或角色卡。

2. 1.0 用户价值

1. 更换模型、终端和表现形态后，角色设定、记忆、关系和来源仍连续。
2. 对话支持分支、重生成、引用、比较和可追溯的正式路径。
3. 用户能审阅角色为何记住某件事，并纠正、归档、导出或删除。
4. 角色支持文字、实时语音、图像、多语言、Live2D 和 3D 互动。
5. Web、Tauri 桌面端与 Tauri 移动端按明确权限使用文件、摄像头、麦克风、屏幕和位置。
6. 多 Agent 可以分工协作，但子 Agent 权限、数据、工具和预算只能收窄。
7. 插件生态允许安全的声明式/远程插件，以及部署者明确信任的本地代码插件。
8. 社区支持用户、作品、角色和世界设定的发布、互动、搜索、推荐、举报与治理。
9. 创作者可协作维护角色、世界、知识库、工作流和资产。
10. 市场支持真实支付、退款、许可、分成、创作者结算和争议处理。
11. 每次模型和工具调用的 token、缓存、费用、时延、错误与重试可受控查看。

3. 核心对象

对象	定义
character	角色稳定身份、设定、版本、关系、资产和数据作用域
character_asset	图像、声音、Live2D、3D 模型、动作和许可记录
conversation	围绕主题或任务的对话容器
branch	对话中的一条可继续路径
message	用户、角色、系统或工具产生的内容记录
run	一次可暂停、取消、续跑和审计的 Agent 执行
turn	Run 内一次模型决策及其工具交互阶段
agent	角色 Agent 或无长期身份的任务 Agent 定义
memory	被允许影响未来上下文的结构化长期信息
plugin	通过公开契约贡献能力的版本化单元
workspace	多人协作创作的数据与权限边界
community_content	帖子、作品、角色发布、评论和互动对象
marketplace_listing	带版本、许可、价格和交付物的市场商品
order	购买、支付、退款、分成与结算的交易事实
device_grant	设备能力、范围、期限和撤销状态

4. 1.0 产品域

4.1 角色与长期关系

• 手动创建、模板创建、角色卡导入和角色社区 Fork；随缘按少量偏好生成匿名灵胚候选，不是抽卡，也不分配已有主体；
• 现实人物仅本人或可验证授权时允许创建角色，已故现实人物 1.0 不开放；模板只提供起点，模板更新不得覆盖已成长角色，模板下架不等于角色死亡，收费购买的是模板许可与资源包而非"角色本人"；外部聊天导入只是外部前史，不能单独证明主体连续性；第三方资料先识别隔离、匿名化和最小化承接；
• 稳定角色设定、版本、来源、许可和可验证导出；
• 用户资料、角色人格、关系理解、知识和记忆分离；
• 候选式人格和关系变化，不静默覆盖基线；重大重塑走铸魂（强确认与谱系留痕），与大周天渐进演化构成两档；
• 完整生命周期：静修（停止运行、身份存续）、归藏（从日常入口隐藏、可恢复，复照重开）、死亡（身份时间线不可逆闭合，有冷静期、告别与只读档案）与数据删除分离；继承者可承接资料与谱系但不能继承原身份；启镜后初照自陈预览确认后才归真；
• 内驱力维度与大周天自我评估演化：交互事件触发的评估循环在预算内产出记忆、人格、关系与世界认知候选，经确认形成版本演化（见 ADR-018）；
• 多角色独立数据域和可控共享。

4.2 对话与记忆

• 文字、语音、图像、文件和混合消息；
• 分支、候答、编辑版本、引用锚、重生成和路径切换；对话界域分真界、境界与幻境三态，归真携带作用域，幻境试演不污染正式经历（见 ADR-020）；
• 显式记忆、自动候选、敏感确认、来源、版本、衰减、纠正和删除；
• 关键词、全文、语义和结构化检索；
• 上下文压缩、缓存和 Context Manifest。

4.3 多模态角色表现

• ASR、TTS、实时语音、声音设计和授权声音克隆；
• 文生图、图生图、角色一致性和资产版本；
• Live2D 导入、分层辅助、参数映射、编辑、动作、运行和导出；
• 3D VRM/glTF 导入、材质、骨骼、表情、动作、场景编辑、运行和导出；
• 2D/3D 资产来源、许可、审核和撤回。

1.0 不自研 Blender 级网格建模、雕刻、拓扑、绑定和完整动画制作器。该建模器及 LLM 直接修改模型能力属于 2.0；1.0 必须为其保留开放资产格式和非破坏编辑历史。

4.4 Agent 与工具

• 角色 Agent、任务 Agent、协调 Agent 和子 Agent；
• 计划、并行任务、消息交接、预算、暂停、取消和验收；
• 内置工具、MCP、Skill、远程 API、沙箱代码和设备工具；
• 策略判定、用户确认、幂等执行和完整轨迹；
• 前台角色运行与后台任务分离，后台 Agent 不冒充第二个角色主体。

4.5 设备与客户端

• 响应式 Web；
• Tauri v2 桌面端；
• Tauri v2 iOS/Android 移动端；
• 文件、摄像头、麦克风、屏幕和位置按设备、角色、用途、精度和期限授权；
• 采集指示、暂停、撤销、删除和离线最小能力；
• 不包含 IoT、机器人和物理动作控制。

4.6 插件生态

• 插件开发 SDK、Manifest、版本、依赖、权限、配置 Schema 和测试工具；
• 模型、工具、MCP、Skill、上下文、记忆、导入器、媒体处理、客户端与 UI 扩展；
• 插件注册、搜索、安装、启停、升级、回滚、签名、审核、举报和撤架；
• 声明式/远程插件默认受限运行；本地代码插件需部署者明确信任并进入独立进程或容器；
• Run 固定插件快照，活动 Run 不热替换。

4.7 社区与协作

• 用户主页、关注、动态流、作品发布、评论、点赞、收藏、标签、搜索和推荐；
• 角色、角色卡、世界设定、知识库、工作流和媒体资产展示与分享；
• Fork/导入、版本谱系、来源、许可、署名和下架传播；
• 多人 Workspace、成员角色、邀请、权限、评审、版本和活动记录；
• 举报、审核、申诉、屏蔽、年龄分级、内容可见性和创作者安全工具。

4.8 交易市场

• 免费和付费商品、版本、许可范围、地区可售性与交付物；
• 购物车/直接购买、订单、支付、退款、折扣和争议；
• 平台费、创作者分成、可结算余额、结算批次和对账；欠费或封禁进入保全态，不删除角色与记忆，不按记忆、感情或亲密等级计费（见 ADR-021）；
• 支付与结算 Provider 适配、Webhook 验签和幂等；
• 创作者身份/KYC 状态、税务与发票数据接口；
• 退款或撤架后对已获许可内容采用明确的继续使用、更新停止或撤销规则。

完整的中国古代神话与道家文化名、直白解释和工程映射见文化语言体系。文化名用于产品叙事和界面，稳定 API/数据库/事件仍使用中性英文值。

5. 产品原则

• 角色独立于模型与载体：路由、客户端和 Avatar 变化不修改角色身份。
• 原始记录、记忆、知识和人格分离：任一层不能静默覆盖另一层。
• 候选先于长期写入：敏感或高影响内容必须确认。
• 分支不覆盖历史：重生成和编辑产生新对象或版本。
• 工具结果只是观察：验证和采用前不自动成为事实。
• 子 Agent 权限单调收窄：不继承额外密钥、审批或长期记忆写入权。
• 安全不由插件决定：认证、授权、审批、审计、交易账和事务属于内核。
• 数据权与创作者权利并重：访问、纠正、导出、撤权、删除、来源和许可可追溯。
• 社区增长不能绕过安全：推荐、付费和关系不扩大权限。
• 不持久化隐藏推理：只保存可见内容、工具轨迹、计数和可读摘要。
• 开放核心：核心采用 Apache-2.0 许可，允许完整私人闭环自托管；品牌、Logo、官方角色、视觉资源与认证标识单独保护；外部贡献采用 DCO 与公开评审；自托管遥测默认关闭。

6. 版本边界

1.0 是一次完整对外交付，不设置可对外发布的残缺子版本。内部可以并行推进工作包，但全部 1.0 TODO 和发布门完成前，只能称为开发版或预览环境。

当前明确属于 2.0 的能力只有：

• Blender 级完整 3D 建模器；
• 基于开源建模项目完善的网格、雕刻、拓扑、绑定和专业动画制作；
• LLM 直接对完整 3D 几何与绑定进行可验证修改；
• IoT、机器人和物理动作控制。