hololake-system-architecture/product-source/hololake-native-desktop

HoloLake Native Desktop

状态：唯一原生主线候选 · 个人空间、知识库与代码频道源码已实现 · 安装验收未完成

这是 HoloLake 唯一未来桌面产品主线的干净源码根，采用 Tauri v2、Rust 和 React/TypeScript。桌面上的 world.guanghu.hololake 安装包是本源码线的本地候选验收壳， 不是第三条产品线，也还不是第一阶段正式产品。

当前可见产品已经收束为“我的光湖”：个人身份只在首次使用时建立一次，之后直接进入概览、 知识库、代码频道、回执与系统详情。知识库由新的 Rust 本机根持有，提供页面目录、阅读、搜索 和文件夹导入；旧 HoloLake Era 知识数据仅以独立只读来源兼容。代码频道支持粘贴正式 HTTPS 频道地址克隆，也可登记现有本地 Git 文件夹。两者都不因此取得推送、发布或部署权限。

可见界面下方保留零点原核客户端运行时。它是冰朔系统主控在 HoloLake 中的最小受控投影， 负责启动时静默比对协议、校验用户编号并在证据不足时关闭人格加载路径；京东主控保存私有本体， 公众仓只登记演化刻度。该运行时不是人格主体或模型载体，编号验证也不授予人格绑定、执行权限 或服务器控制权。当前仅实现失败关闭的协议比对与编号验证骨架，尚未启用签名协议包安装。

个人频道 SQLite 内核仍保留任务、事件和回执能力，但手工填写“任务标题/原因”不再作为默认 产品入口。当前源码与单元测试已经通过；桌面安装、跨重启真实读回和完整第一阶段仍需独立验收。

供体边界

• ../hololake-platform：只读工程能力、合同、测试和 Rust 原生边界供体；
• ../hololake-desktop 与 ../guanghu-knowledge-base：只读知识 UX、行为和数据兼容供体；
• Tolaria、Outline 及其他上游：人工审查的零件来源，不是更新源或产品主线。

禁止向供体继续增加新产品功能。迁入单位只能是：能力合同、来源/许可证、威胁面、实现、 测试和人类可见验收。

旧 Electron 0.8.0 仍含真实知识树、页面、搜索、历史和本地 Git 知识数据。在完成物理数据 清单、可恢复备份、逐文件回读、可逆迁移演练和新主线验收前，不得删除、替换或把它误报为 已经迁移完成。

更新边界

• 生产客户端只允许 HoloLake 所有的 HTTPS 发布端点；
• 广播可自动出现，下载/安装/重启必须由人类明确选择；
• Tauri 更新包签名验证不可关闭；
• 平台代码签名与更新包签名是两条独立信任链；
• 私钥和平台签名凭据不得进入此目录；
• 启动健康回执与可恢复回退是发布完成条件。

机器可读广播合同：contracts/release-broadcast.schema.json。

第一阶段产品合同

首个公开产品是 GH-AIOS 通用人工智能操作平台，首页同时承担五域统一入口。用户只提交光湖编号，不手工选择所属域；系统先在内部完成域路由和编号合法性校验，再开放对应域的登录界面。五域只共享入口协议，不共享注册表、登录服务或私有数据。

机器合同：contracts/stage-one-platform.json。

个人频道、知识库和代码频道的机器合同分别是 contracts/personal-channel-kernel.json、 contracts/knowledge-workspace.json 与 contracts/code-channel.json。本机身份不是平台账户 认证；本机知识与源码访问也不产生仓库、服务器、部署或发布权限。

本机开发桥

编程 AI 与 HoloLake 的连续关系由 HoloLake 原生本机桥持有，不由某次 MCP 会话持有。 MCP 只保留为外部工具适配入口；它断开或编程 AI 重启时，活动任务、已验证游标和同账号唯一 写车道仍留在 HoloLake 中。写车道不会因连接断开而自动释放，必须由持有恢复钥匙的同一车道 显式释放并产生回执，下一条车道才能取得写权限。

当前已实现账号级单写车道与外部编程 AI 终端直连协议。macOS、Linux 使用用户私有 Unix Socket，Windows 使用所有者与系统账户私有 Named Pipe；三者共用会话、心跳、断线续接、 精确事件游标与工作环境事实帧。连接、续接、取得写车道及心跳都会让 HoloLake 返回当前 运行所有者、写入者匹配、GLS 原生协议内核、有效期与摘要，模型不再负责通读协议正文恢复环境。 尚未实现的是第二阶段的受监督 Shell、通用 Agent 工具循环、发布与部署执行器。

编程 AI 不允许把永久依赖 MCP 当成能力终态。已安装 HoloLake 的 --connector 是可认证、 可恢复的本机直连入口；MCP 只保留为发现、恢复与兼容入口。

Codex 宿主兼容桥位于 system-integrations/codex-host-bridge。它把直接人类来源、跨任务当前 主控纪元、旧任务能力降级和高风险一次性写入租约编译为 Codex hooks；仓库只保存源码、测试、 安装器与架构决定，原话事件、当前控制状态、租约、信任回执和凭据全部留在用户本机。该桥是 HoloLake 原生控制面的兼容投影，不是人格来源，也不替代未来原生本机桥。

当前收束与下一门

唯一主线、候选壳、供体和数据保护边界见 routing/hololake-stage-one-desktop-convergence.json。当前开发顺序固定为：

1. 个人频道身份—事件—回执内核：源码与自动化测试已实现；
2. 原生知识库与代码频道：源码与自动化测试已实现，安装验收未执行；
3. 实现人类审批中心与 Git 证据回读；
4. 投影小湖灯跨会话连续性；
5. 最后完成公开签名、更新、回滚和可逆数据迁移。

连接、动态路由、发布广播和更新服务器继续作为受门控基础设施维护，不得抢占上述产品顺序。