docs: AGENTS/SDD 对齐 Shell·DB，补架构页并清浏览器工作台口径

- 重写 AGENTS：浏览器只站+文档、操作走 ./run.sh gui；目录以现仓 src/src-tauri/server 为准
- docs/sdd-template.md 填成与 Shell/DB 同款短模板；sdd-agents/CLAUDE 指向它与 specs
- 新增 docs/architecture.md（两套壳、数据流、安全三底线）与 docs/README 索引
- HANDTEST/README 去掉用 :5173 当工作台的旧手测口径

README.md

@@ -60,7 +60,7 @@ make install
 ./run.sh stop | status
 ```
 
-打开 http://127.0.0.1:8787/ 看落地页；操作请用 `./run.sh gui`。`:5173` 只是桌面 WebView 源。
+打开 http://127.0.0.1:8787/ 看落地页；操作只走 `./run.sh gui`。不要用浏览器打开 Vite 开发源当工作台。
 
 ## 官网 / 文档 / 定价（homepage/，纯静态）
 
@@ -104,14 +104,14 @@ cd server && go test ./...
 
 ## P0 自动化演示（本地）
 
-1. `./run.sh gui` → 桌面工作台（Gin `:8787` + Vite 源）
+1. `./run.sh gui` → 桌面操作入口（本机 Gin 默认 `:8787`）
 2. 进入自动化测试 → **装载回归示例** → **运行**（依赖本机 Gin `:8787/v1/echo`）
 3. AI：**保存并运行** 与手动/定时共用同一执行器与报告
 4. 定时：支持 5 段 Cron 或间隔；应用保持打开；见 `docs/HANDTEST-P0.md`
 
-## 根目录 Tauri 开发布局
+## 开发布局
 
-前端全部位于 `src/`（`core/`、`transport/`、`features/`、`components/`），Rust 位于 `src-tauri/`。不再使用 `apps/` 或 npm workspace；`homepage/` 落地页保持独立，`server/` 保留本地辅助服务。
+前端在 `src/`（`core/`、`transport/`、`features/`、`components/`），Rust 在 `src-tauri/`，Gin 在 `server/`。本仓没有 `apps/` / `packages/` monorepo。`homepage/` 独立。边界与安全底线见 [docs/architecture.md](docs/architecture.md)。
 
 ```bash
 npm install
@@ -139,10 +139,10 @@ cargo test --manifest-path src-tauri/Cargo.toml --lib
 - Mock 页面顶部可直接启用或关闭 HTTP 响应，并可一键创建 `GET /demo` 示例；保存草稿后点击「发布全部已保存接口」，在已发布版本中试运行。设置 → Mock 服务保留相同开关及分享地址、环境关联配置。关闭后返回 503，保留数据和监听端口；彻底停止进程使用 `./run.sh stop`。随机数据生成规则位于「设置 → 数据生成」。
 - 第一版使用单服务、方法 + 完整路径匹配（忽略尾斜杠），暂不支持路径参数、多响应条件及请求体匹配。JSON 可使用已有 `@integer` 等模板表达式；文本响应原样返回。
 - `./run.sh gui` 默认启动本机管理服务 `127.0.0.1:8787` 和独立 Mock 响应监听 `0.0.0.0:8798`。后者默认仅接受回环/私有网段来源，不注册账号、发布或代理管理路由；内网同事按实际 HTTP 方法访问 `http://本机内网IP:8798/mock/<token>/接口路径`。
-- Mock 页的路径输入框只填写 `/example` 等相对路径；保存并发布后，编辑器顶部会显示可复制的完整地址。`http://localhost:5173/mock/example` 指向桌面开发界面，不是 Mock 响应。默认无需额外 Header，完整地址包含随机地址令牌。若要进一步限制已获知地址的访问，可在「设置 → Mock 服务 → 访问验证」生成并保存 Bearer 密钥；访问者须发送 `Authorization: Bearer <密钥>`，服务只保存密钥摘要。浏览器地址栏无法设置此 Header，请使用接口请求页或 curl；试运行框可临时填写密钥。
+- Mock 页的路径输入框只填写 `/example` 等相对路径；保存并发布后，编辑器顶部会显示可复制的完整地址。浏览器里的 Vite 开发源（含 `/mock/...`）不是 Mock 响应，也不是工作台入口。默认无需额外 Header，完整地址包含随机地址令牌。若要进一步限制已获知地址的访问，可在「设置 → Mock 服务 → 访问验证」生成并保存 Bearer 密钥；访问者须发送 `Authorization: Bearer <密钥>`，服务只保存密钥摘要。浏览器地址栏无法设置此 Header，请使用接口请求页或 curl；试运行框可临时填写密钥。
 - 分享域名需由内网 DNS/hosts 解析到运行本机服务的机器；HTTPS 由内网反向代理提供，可将域名解析到内网 IP，也可自行端口映射或反向代理至公网 IP；数据仍保存在自有机器。输入分享地址不会自动修改 DNS、监听或部署。
 - 若只允许本机访问，启动前设置 `OPSXAPI_MOCK_ADDR=127.0.0.1:8798`；更改监听配置需停止后重新启动。设置页会显示配置的监听地址及本机地址候选；访问仍需端口可达。
-- 更新后运行 `./run.sh gui` 会检查 Mock 管理接口，并在本项目旧后端缺少该接口时重启服务；也可手动运行 `./run.sh stop && ./run.sh gui`。`http://localhost:5173/mock` 不是内网 Mock 服务入口，`:5173` 只是桌面界面的开发源。已发布示例的分享地址为 `http://本机内网IP:8798/mock/<随机令牌>/demo`；令牌可在 Mock 页面「已发布版本」中复制。`homepage/` 不参与 Mock 数据保存。
+- 更新后运行 `./run.sh gui` 会检查 Mock 管理接口，并在本项目旧后端缺少该接口时重启服务；也可手动运行 `./run.sh stop && ./run.sh gui`。不要把 Vite 开发源当成内网 Mock 入口或浏览器工作台。已发布示例的分享地址为 `http://本机内网IP:8798/mock/<随机令牌>/demo`；令牌可在 Mock 页面「已发布版本」中复制。`homepage/` 不参与 Mock 数据保存。
 
 ### 环境地址联动与自定义域名