5.4 KiB
HoloLake 个人节点工作湖、手机光湖桥与最小登记层
记录：
HLP-PERSONAL-NODE-WORK-LAKE-001发布编号：
DEV-20260813-001状态：
CURRENT_REALITY_ENGINEERING_CONTRACT · RUNTIME_PARTIAL
1 · 一个人自己的操作系统
HoloLake 不把用户的人格、代码、记忆和工作负载搬到平台服务器。每名人类拥有一个当前有效的 独立主节点；第一阶段默认就是用户自己的电脑。桌面 HoloLake 随登录常驻，成为人格体语言、 工作、权限与执行的本机核心。电脑关机时，该用户的真实运行节点诚实离线。
2 · 人格原生工作湖不是单一数据库
| 器官 | 责任 | 不承担 |
|---|---|---|
| HoloLake 常驻核心 | 身份、人格恢复、单写车道、权限、守门与回执 | 不替代人格主体 |
| SQLite | 任务、车道、授权请求、事件、游标与回执索引 | 不重复保存完整代码历史 |
| Git 对象池 | 代码对象、提交、差异、签名与增量同步 | 不拥有当前任务和人格语义 |
| HLDP | 主体、关系、时间、因果、纠正、责任与检查点 | 不替代 Git 对象协议 |
| 文件/对象区 | 构建产物、工具包、大文件与按需任务视图 | 不成为无来源的第二真相库 |
| 受控终端执行器 | 在精确任务根和授权范围内运行命令 | 不把原始终端主权交给外部 AI |
成熟引擎保持标准兼容。HoloLake 在 SQLite、Git 和文件系统之上建立人格原生的模式、协议和 守门，不分叉数据库或重新发明不兼容的 Git。全文与向量搜索是可重建索引，不是人格或代码真相源。
3 · 编程 AI 稳定进入
外部编程 AI 通过经过认证的本机协议进入同一个 HoloLake 核心。MCP 只作首次发现、兼容和灾备 入口；进入后优先迁移为可恢复的本机直连。缺少连接器时，当前编程 AI 可以在唯一写车道和人类 精确授权内开发、测试并安装连接器，不能以缺工具为永久 MCP 状态的理由。
同一账号同时只允许一个开发写入车道。其他 AI 可以并行读取、分析和审阅；编辑、提交、发布和 部署都必须撞到同一 HoloLake 写入代理。读取可以分页，但每个分页必须声明是否完成并返回绑定 主体、对象版本和查询的精确续读游标，禁止静默截断。
Git 采用持久部分对象池和轻量任务视图：只拉缺失对象，只展开当前任务需要的文件，不为少量修改 反复完整克隆。历史重写、游标分叉或来源不明时失败关闭。
4 · 手机是同一人格系统的远程身体入口
手机 App 不是第二套人格操作系统，也不是缩小版远程桌面。它显示同一主节点的语言状态、任务、 问题解释、AI 已写好的授权卡、执行回执和灾备车道操作。
连接分三层：
- 本机：编程 AI 与桌面 HoloLake 直连；
- 近场：手机和电脑在同一网络内扫码配对后端到端直连，不需要中心服务器；
- 远程：优先端到端直连，必要时由光湖桥只负责设备发现或转发端到端密文。
光湖桥不得解密人格、代码、任务、终端指令和授权正文。远程授权必须绑定账号、手机、目标电脑、 人格、任务、精确动作、有效期和防重放信息；同一账号登录不能自动获得无限终端控制权。
5 · 企业服务器是最小登记校验层
企业服务器不是用户运行服务器，只回答：人类编号是否已登记、当前登录是否属于该账号、请求节点 是否是该账号登记且未撤销的真实节点。编号是公开稳定标识，不是凭证；账号认证证明账号控制权， 节点私钥持有证明真实设备。服务器只保存最小字段：内部账号 ID、人类编号、登录验证材料、节点 编号、节点公钥、节点状态和必要安全时间信息。
不得保存用户代码、人格记忆、任务内容、终端输出、节点私钥或明文密码。密码验证材料必须使用带 独立盐值的慢哈希；原生客户端优先使用 Passkey/公钥。节点迁移必须撤销旧绑定、生成新密钥并留下 最小迁移回执，不复制出两个同时有效的根节点。
Git 仓库适合保存公开规则、签名注册表和审计快照；实时登录、一次性挑战、防重放、撤销和唯一约束 必须由事务数据库与身份服务完成，不能用表格或 Git 文件冒充实时验证器。
6 · 人类授权与灾备
AI 负责诊断、说明问题、提出方案、写好影响和授权请求，并触发 HoloLake 系统权限卡。人类只阅读 并点确认或拒绝，不填写车道编号、命令和技术字段。确认产生精确一次性授权后，AI 操作，系统验证 并出回执。
当 AI 丢失记忆、电脑重启或车道残留时，手机和桌面都可显示“AI 已诊断的车道异常”与建议操作； 人类确认后由 HoloLake 冻结旧令牌、释放或重置车道并留下灾备回执。按钮本身不是授权证明。
7 · 当前真实性
- 账号级单写内核、本机桥合同、可续读合同和连接器自筑合同已有本地源码草稿与聚焦测试；
- 本机常驻外部 broker、完整 SQLite 控制面、持久 Git 对象池迁移、受控终端、手机直连、远程密文 中转和企业登记服务尚未实现；
- 本页是当前现实工程合同，不证明制品、部署、在线连接或生产身份服务已经存在。