chore: 保存工作副本——客户端授权新契约(双端点/验签/令牌/周检)与桌面会话可靠性改进

AGENTS.md

@@ -30,6 +30,13 @@ React 不直接访问 SSH、文件系统或加密实现。数据流：UI → Zus
 4. 界面：Zustand 持有资源 ID 与 UI 状态；可见文案同步七语种。
 5. 测试：功能改动优先 `npm run test:patrol`，再补对应单测。
 
+## IPC 响应约定
+
+- 业务失败（SSH / SFTP / 转发 / 会话 CRUD / 本地文件）使用信封 `{ success, error, errorCode? }`。`errorCode` 是稳定点分路径（如 `native.taskJoin`），前端用 `translateIpcError` 映射 `errors:*`。
+- RDP / VNC 运行态（connect / input / clipboard）走 throw；在桌面视图 catch。
+- 禁止第三种失败形态。组件和 store 不直接 `invoke`，只经 `src/platform/`（`invokeNative` / `invokeEnvelope`）。
+- 同步对话框 command（`show_open_dialog` / `show_save_dialog`）必须在主线程调用，不得 `spawn_blocking`（macOS 保存框依赖主线程）。磁盘 I/O 走 `spawn_blocking`。
+
 ## 规则
 
 - 未由 Rust 后端实现的能力不能在界面中显示为可用。
@@ -41,6 +48,9 @@ React 不直接访问 SSH、文件系统或加密实现。数据流：UI → Zus
 - 端口转发规则可持久化，运行中状态不得持久化；界面的停止操作必须关闭真实原生 Listener。
 - 复制转发规则不得复制运行态；运行中的规则修改前必须先停止 Listener。
 - SSH 断开 / keepalive 失败 / 空闲挂起 / 同窗重连：未点「停止」的转发 Listener 应保留；按 `user@host:port` 指纹 orphan-adopt；同窗用进程内 `forwardIntent` 自动恢复；关标签不得自动再启。空闲挂起应先断开原生会话并 `retainForwards`，避免僵尸 TCP。
+- SSH 标签还开着时：协议心跳保链路（不写入 Shell，不对抗 TMOUT）；意外断开有限次自动重连（新 PTY）。远端空闲退出只提示重开该分屏。不要默认向 Shell 发送回车/空格。长任务用远端 tmux/screen。
+- 活跃 SFTP 标签同样有限次自动重连并恢复上次远程目录。
+- RDP/VNC 标签还开着时意外断开有限次自动重连；不发送假鼠标对抗空闲 GPO。断开即取消本地 worker，重连是新会话。
 - 动态转发（SOCKS5）默认仅本机 `127.0.0.1:1080`；流量经当前 SSH 服务器出口 IP 访问外网。每台 SSH 主机仅保留一条动态规则。状态栏「转发」打开抽屉管理，右键复制 `socks5://127.0.0.1:1080`。
 - 本地转发监听默认本机端口；远程转发监听默认远端 `127.0.0.1`。远程 `0.0.0.0` 需 sshd `GatewayPorts`，未开启时常静默只绑 loopback。
 - SFTP read/write 不得作为 upload/download 的别名，本地路径与远程路径不得使用位置含糊的调用。
@@ -56,10 +66,11 @@ React 不直接访问 SSH、文件系统或加密实现。数据流：UI → Zus
 npm run test:patrol
 npm run acceptance:quick
 npm run acceptance:full
-./scripts/build.sh       # 当前平台安装包（macOS → .app + .dmg）
+./scripts/build.sh       # 当前平台安装包（macOS → Tauri .app + .dmg）
+./scripts/macos-notarize.sh  # 新 DMG 的 Apple 公证 + staple
 ```
 
-平台安装包必须在目标系统实机验收。没有签名凭据时不得宣称完成签名、公证或自动更新发布。
+平台安装包必须在目标系统实机验收。没有签名凭据时不得宣称完成签名、公证或自动更新发布。macOS 有 Developer ID 时：仓库默认 `signingIdentity` 仍是 `"-"`；本机把身份写进 gitignore 的 `src-tauri/tauri.signing.conf.json`，`build.sh` 会自动带上，并走 `bundle.macOS.dmg` 的 Tauri 窗口布局。新打的 DMG 必须再跑 `macos-notarize.sh` 才能给别人直接打开。
 
 ## 评审边界