feat: gate the language world behind number verification

product-source/hololake-native-desktop/audit/ui-overlap-20260819/README.md

@@ -0,0 +1,49 @@
+# HoloLake 单场景、公共入口与编号星渊验收记录
+
+日期：2026-08-19
+
+## 结论
+
+- 旧、新首页重复拥有场景的根因已经关闭：五域湖面只保留一个可见场景所有者，频道、商城和天气使用互不复用的槽位。
+- 编号入口最终不是灯塔，也不是五域旁边的附属按钮。未验证首页只渲染湖面与大型未知星渊；产品名、光湖历、五域和频道凭证均不进入可访问树。
+- 点击星渊后，同一位置翻开为清晰的编号输入面；编号通过后星渊外翻消散，产品名与五湖分层升起，最后才出现频道凭证。
+- 主域、分域、零域是可进入的公共只读入口；第五域与零感域只公开职责和边界，不投影内部成员、仓库或私有内容。
+- 外部编程 AI 网关默认关闭，必须由已验证的人类在授权中心明确开启；MCP 只暴露登记过的只读发现、状态和能力清单。
+- 公共首页允许在未登录、尚未建立私人商城账本时启动。私人安装账本休眠，不再终止整个桌面应用。
+
+## 可视证据
+
+- `01-current-channel-overlap.png`：修复前的重复 UI。
+- `02-fixed-channel.png`：单一频道场景。
+- `03-external-ai-gateway.png`：默认关闭的真实外部 AI 网关。
+- `04-home-lighthouse.png`：被用户否决的胶囊形灯塔。
+- `05-public-main-domain.png`：主域公共入口。
+- `06-public-branch-domain.png`：分域双区商城公共入口。
+- `07-public-zero-domain.png`：零域协议运行投影。
+- `08-home-css-lighthouse.png`：再次被用户否决的机械灯塔方向，仅作纠错证据。
+- `09-home-star-abyss.jpeg`：最终未验证首页；只显示大型未知星渊。
+- `10-star-abyss-number-input.jpeg`：星渊翻开后的真实编号输入状态；底层入口不会重复残留。
+- `11-world-unfolded-after-number.jpeg`：真实编号通过后，平台标题、五湖和频道凭证才出现。
+
+## 视觉自审
+
+- 布局：验证前的大型星渊占据首页中部，与湖面地平线形成一个入口，不把它缩成图标。
+- 层级：验证前没有产品标题和五域竞争注意力；验证后才建立标题、光湖历、五湖和频道凭证层级。
+- 字体：沿用现有中文字体、字距和暖白标签，不引入新字体系统。
+- 色彩：星渊只使用湖面现有深蓝、冷紫雾光和少量内部星点，不新增机械实体色。
+- 控件：整个星渊仍是语义化 `button`；未验证时，隐藏世界不会泄露进辅助技术可访问树。
+
+## 运行证据
+
+- 前端生产构建通过。
+- JavaScript/合同测试全量通过。
+- Rust 测试全量通过。
+- macOS 桌面包通过 Developer ID 校验，标识为 `world.guanghu.hololake`。
+- 最终安装二进制 SHA-256：`17d20c67cca86dd3fc919726479446e8a05c65a99a98867a8438051e3490e9a1`。
+- 本地签名 App 已真实走通“星渊 → 编号验证 → 五湖升起 → 频道凭证”，并在验收后留在未验证星渊首页。
+
+## 已知发布边界
+
+- 本机 Developer ID 签名有效。
+- 本轮没有 Apple notarization 环境变量，因此未做在线公证。
+- Tauri updater 公钥已配置，但当前环境没有 `TAURI_SIGNING_PRIVATE_KEY`，所以没有生成可发布的签名增量更新包；这不影响本地 `.app` 运行。