chore: 保存工作副本——客户端授权新契约(双端点/验签/令牌/周检)与桌面会话可靠性改进

docs/architecture.md

@@ -82,7 +82,7 @@ XTerm 当前焦点分屏
   -> 当前 connectionId 的 ssh_exec
   -> stdout/stderr/exit_code + 本地 analyze_output
   -> 真实观察脱敏后交给 AI 判断下一步
-  -> 最多 8 步后收敛
+  -> 最多 12 步后收敛
 ```
 
 - Provider 配置和模型路由保存在 `ai-providers-v1`，不包含 API Key。
@@ -108,7 +108,7 @@ XTerm 当前焦点分屏
 - `ForwardStatus` 由 Rust `TunnelManager` 管理，只在当前进程有效，包含监听端口、开始时间、连接数和流量。
 - 每个运行实例有唯一 `forwardId` 和取消标志。用户点停止 / 删除正在运行的规则、关闭标签、连接面板手动断开，或进程退出时，Rust 才关闭真实 Listener。终端 SSH 断开、空闲挂起或重连不得拆掉未停止的规则。
 - 本地 / 动态转发：本机 TCP 监听长住，每条规则共用一条专用 SSH 会话（保活；会话挂了只重建传输，不拆本地端口）。远程转发：专用会话保活，断开后在进程内自动重听。
-- SSH 重连（同一 `user@host:port`）通过 `adopt_orphans` 把仍在监听的运行实例挂到新 connectionId。运行态仍不落盘。
+- SSH 重连（同一 `user@host:port`）通过 `adopt_orphans` 把仍在监听的运行实例挂到新 connectionId。运行态仍不落盘。原生 `ssh_disconnect` 必须带真实 reason（keepalive / idle suspend / 用户关闭）；空缺时用 `connection closed`，不要再写 `closed by user`。
 - 规则支持编辑和复制。复制只产生新的规则 ID，不复制运行态；运行中的规则必须先停止真实 Listener 才能编辑。
 - 应用重启后不得根据上次 UI 状态显示“运行中”，必须以 `ssh_forward_list` 返回的原生状态为准。运行态只存在当前进程内存。
 - 状态栏「转发」打开右侧抽屉：动态 SOCKS5 固定 `127.0.0.1:1080`（每台 SSH 主机一条），本地 / 远程规则可列表启停；右键状态栏项复制 `socks5://127.0.0.1:1080`。
@@ -118,7 +118,7 @@ XTerm 当前焦点分屏
 ## 远程桌面生命周期
 
 - RDP / VNC 仅在 Tauri 原生应用中可用；浏览器预览不得显示为可连接。
-- 会话运行态只存在原生内存；Canvas 帧与输入经 Tauri 事件传递；断开即取消 worker。
+- 会话运行态只存在原生内存；Canvas 帧与输入经 Tauri 事件传递；断开即取消 worker。标签还开着时意外断开会有限次自动重连（新会话）；不发送假指针对抗空闲 GPO。
 - RDP 可选剪贴板与共享盘（本机下载目录映射）；VNC 剪贴板按 UTF-8 发送。
 - 桌面会话不参与批量命令与终端广播。
 
@@ -160,7 +160,7 @@ SSH 传输本身受协议 MAC 保护；当前应用额外执行大小校验，
 - 不持久化终端命令历史或批量命令输出。
 - 不持久化 AI 提示词、回答或终端上下文；API Key 不得返回 WebView 或写入普通 settings。
 - 未实现能力不能在界面中显示为可用。
-- 自动更新必须具备签名公钥、HTTPS 更新源和回滚策略，否则保持关闭。当前未接入 updater，做法见 [发布指南](./release.md#签名公证和自动更新未完成)。
+- 自动更新必须具备签名公钥、HTTPS 更新源和回滚策略，否则保持关闭。当前未接入 updater，做法见 [发布指南](./release.md#签名公证和自动更新)。
 - 五层目录补全、specta、EventSink 是单独轨道，见 [架构重构](./architecture-refactor.md)；未开始前继续按本文件的 commands → services → platform 扩展。
 - 应用不能静默绕过 changed host key 或 known_hosts 不匹配。