architecture: converge HoloLake stage-one desktop mainline

product-source/hololake-native-desktop/README.md

@@ -1,13 +1,14 @@
 # HoloLake Native Desktop
 
-状态：`MINIMAL_TAURI_SCAFFOLD · FAIL_CLOSED_UPDATE_TRUST_ROOT · GH_AIOS_STAGE_ONE_CONTRACT_REGISTERED`
+状态：`唯一原生主线候选 · 已有底层能力 · 第一阶段可见主体尚未实现`
 
-这是 HoloLake 唯一未来桌面产品主线的干净源码根。它将采用 Tauri v2、Rust 和
-React/TypeScript，但不会从现有 Tauri 或 Electron 目录整树复制。
+这是 HoloLake 唯一未来桌面产品主线的干净源码根，采用 Tauri v2、Rust 和
+React/TypeScript。桌面上的 `world.guanghu.hololake` 安装包是本源码线的本地候选验收壳，
+不是第三条产品线，也还不是第一阶段正式产品。
 
-当前已经建立可编译的最小 Tauri 工程、默认关闭联网的发布信任根，以及兼容 Tauri 静态更新
-清单的 HoloLake 发布广播合同。选择并验收新的视觉/交互方向之前，不创建会意外继承任一旧
-应用布局的产品 UI；当前窗口只显示基础状态，不代表产品界面方向。
+当前已经建立可编译原生壳、选定的 GHS-014 个人频道首页、本机 broker/session、动态能力
+路由、GH-PNCC 只读投影，以及失败关闭的签名更新和回滚管道。这些能力保留，但都属于湖下
+基础设施；当前首页只是视觉与连接状态验收面，不代表第一阶段产品主体已经实现。
 
 ## 供体边界
 
@@ -18,6 +19,10 @@ React/TypeScript，但不会从现有 Tauri 或 Electron 目录整树复制。
 禁止向供体继续增加新产品功能。迁入单位只能是：能力合同、来源/许可证、威胁面、实现、
 测试和人类可见验收。
 
+旧 Electron 0.8.0 仍含真实知识树、页面、搜索、历史和本地 Git 知识数据。在完成物理数据
+清单、可恢复备份、逐文件回读、可逆迁移演练和新主线验收前，不得删除、替换或把它误报为
+已经迁移完成。
+
 ## 更新边界
 
 - 生产客户端只允许 HoloLake 所有的 HTTPS 发布端点；
@@ -35,7 +40,7 @@ React/TypeScript，但不会从现有 Tauri 或 Electron 目录整树复制。
 
 机器合同：`contracts/stage-one-platform.json`。
 
-该文件目前只登记模块和边界，不表示运行时或产品 UI 已实现。
+该文件目前只登记模块和边界，不表示第一阶段运行时或可见产品主体已经实现。
 
 ## 本机开发桥
 
@@ -51,10 +56,15 @@ MCP 只保留为外部工具适配入口；它断开或编程 AI 重启时，活
 当前唯一写车道内补齐、测试并登记该连接器；经声明权限和人类批准后安装到 HoloLake，迁移为
 可认证、可恢复的本机直连。MCP 随后只保留为发现、恢复与兼容入口。
 
-## 下一门
+## 当前收束与下一门
 
-1. 确认正式 bundle identifier、HoloLake 更新域名和密钥托管责任；
-2. 完成双供体功能/数据/许可证/安全审计；
-3. 选择新的人类界面视觉方向；
-4. 实现主体—任务—事件—回执最小内核合同；
-5. 在选定视觉方向后实现知识树、页面、搜索和安全持久化纵向切片。
+唯一主线、候选壳、供体和数据保护边界见
+`routing/hololake-stage-one-desktop-convergence.json`。当前开发顺序固定为：
+
+1. 实现个人频道身份—任务—事件—回执最小内核；
+2. 迁入知识树、页面、搜索和本地持久化纵向切片；
+3. 实现人类审批中心与 Git 证据回读；
+4. 投影小湖灯跨会话连续性；
+5. 最后完成签名安装、更新、回滚和可逆数据迁移。
+
+连接、动态路由、发布广播和更新服务器继续作为受门控基础设施维护，不得抢占上述产品顺序。