架构重构（渐进推进）

局部职责拆分已开始；下述 EventSink、契约生成和 infrastructure 端口仍是待实施方案。不要把已完成的局部改造当成全仓迁移，也不要顺带引入平行架构。

已落地：本地文件业务下沉至无 Tauri 依赖的 services/files.rs；AppError 部分接入；前端 IPC 拒绝错误统一映射；settings 功能模型、Hook 和控件提取；设置串行保存与失败回退；系统主题同步修复。实现位置与限制见架构说明。

当前真实分层是 commands → services → domain DTO。目录里虽有 application/、infrastructure/，但：

infrastructure/ 只有 file_log，services 并不走它。
application/state.rs 是服务集合，不是端口组合根。
domain/error.rs 已有稳定 IPC 错误码 codes 和部分接入的 AppError；尚未覆盖所有业务错误。
SSH / 存储 / 桌面服务直接 use tauri::AppHandle；known_hosts 还用 bind_app_handle 全局 static。
前后端契约靠手写 src/desktop.d.ts + shared/types/，没有 specta / ts-rs。

产品数据流保持不变：UI → Zustand → src/platform/* → Tauri command → Rust 服务。重构不得把 SSH、文件系统或加密拉回 React，也不得改成插件宿主。

为什么单独做

EventSink 要改所有 app.emit 调用点，和功能修复冲突时极难回滚。
specta 会动 command 签名和前端 invoke 形状，必须一次对齐 CI，不能「先生成一半」。
把 storage / SSH / 凭据收进 infrastructure trait，等于重写生命周期，和转发 retain、桌面 worker 取消语义绑在一起。

一次只开一条轨道，合入后再开下一条。每条轨道自己的 PR，跑 npm run test:patrol 和 npm run acceptance:full。

目标：services 不再拿 AppHandle，也不再 bind_app_handle。

pub trait EventSink: Send + Sync {
    fn emit_json(&self, channel: &str, payload: serde_json::Value);
    fn emit_empty(&self, channel: &str);
}

TauriEventSink(AppHandle) 只放在 application / command 边界。
SshService、known_hosts、RDP/VNC engine、license 等改为持有 Arc<dyn EventSink>。
删除 known_hosts 的 APP_HANDLE / PENDING / ONCE_TRUSTED 全局 static，收进 AppState。
单测用内存 EventSink 断言事件，不启 Tauri。

完成标准：rg "use tauri::AppHandle" src-tauri/src/services 为空（command 层可以留）。行为与现网事件名、payload 完全一致。

目标：消灭「Rust DTO / desktop.d.ts / shared/types」三处手工对齐。

完成标准：改一个 command 字段，忘跑生成则 CI 红。不要在这一轨改 EventSink 或换存储引擎。

目标：I/O 可替换，services 只编排。

建议端口（按需，不要一次全铺）：

infrastructure/mod.rs 里现在的「SQLite / keychain / PTY 适配器」是过期注释，做 C 轨时改成与真实 trait 一致，没做的删掉，避免再写成已存在。

IPC 错误继续扩展 domain/error.rs 的 AppError / codes，保留既有信封和运行态抛错契约，不另建重复错误类型。