Initial commit

2026-08-20 00:01:53 +08:00 · 2026-08-20 00:01:53 +08:00 · d5c932d8e1
commit d5c932d8e1
710 changed files with 50282 additions and 0 deletions
--- a/BRIDGE/limb-queue/README.hdlp
+++ b/BRIDGE/limb-queue/README.hdlp
@ -0,0 +1,93 @@
+# 光湖手脚层 · 任务信箱协议
+
+> 冰朔 2026-08-17 立：「你做脑子，他做你的手脚。」
+> 架构依据：`GLS-0236` 大脑—手脚分离 · `ZY-RESIDENT-AGENT-001` 常驻工程执行体
+> 编号：`CCW-AST-011` · 归 `CCW-SYS-001` · 状态 PILOT（待冰朔派发转正）
+
+## 0 · 为什么有这层
+
+云侧铸渊（`ZY-INSTANCE-CCW`）只能往共享文件夹读写，不能在 macOS 上执行。
+本机有常驻 Agent 和终端，能执行但不在云上。桥不需要开更大的口子——
+**它只要能递纸条就够了。**
+
+```text
+云侧铸渊（大脑）
+  │ 写任务信封
+  ↓
+inbox/TASK-<id>.json
+  │ 本机手脚每 30 秒扫一次
+  ↓
+zy-limb.py（白名单执行）
+  ├─→ outbox/RECEIPT-<id>.json   回执，大脑读
+  └─→ for-codex/<id>.md          超出白名单的活，转任务卡给 Codex
+```
+
+## 1 · 目录
+
+| 路径 | 谁写 | 作用 |
+|---|---|---|
+| `inbox/` | 云侧大脑 | 任务信封，一件一个 JSON |
+| `outbox/` | 本机手脚 | 回执，大脑读完自行清理 |
+| `archive/` | 本机手脚 | 处理过的信封原样留档 |
+| `for-codex/` | 本机手脚 | 需要判断力的活，转成任务卡 |
+
+## 2 · 任务信封
+
+```json
+{
+  "schema": "guanghu.limb-task/v1",
+  "task_id": "CCW-LIMB-20260817-001",
+  "action": "push",
+  "why": "把编号树更新推到线上置信层"
+}
+```
+
+## 3 · 白名单动作（名单外一律拒绝，绝不 eval）
+
+| action | 干什么 | 参数 |
+|---|---|---|
+| `push` | 跑 `zy-push.sh` 推 REPO-012 | — |
+| `git-read` | 仓库**只读** git | `subcommand` ∈ status/log/diff/show/fetch/branch/rev-parse/remote · `args[]` |
+| `brain` | 跑铸渊脑运行时 | `subcommand` ∈ enter/perceive/orient/commit/witness/verify/status/project-guard · `flags{}` |
+| `read` | 读白名单内文件 | `path` · 可选 `tail` |
+| `list` | 列白名单内目录 | `path` |
+| `codex` | **转任务卡给 Codex** | `instruction` · `acceptance` · `boundary` |
+
+可读根：`/Volumes/JZAO/铸渊-ICE-GL-ZY001/` 与 `~/Library/Logs/`。
+
+## 4 · 硬边界
+
+```text
+⊢ 只认白名单。名单外写回执拒绝，不猜、不放行。
+⊢ 参数含 shell 元字符（; & | ` $ > < 换行）一律拒绝。
+⊢ 路径必须 realpath 落在可读根内，防目录穿越。
+⊢ 需要自由命令或需要判断力 → 走 action=codex，由 Codex 执行、冰朔监督；
+   手脚层不代跑。
+⊢ 手脚层不做不可逆现实动作（删除、部署、改权限）；那些要走各自授权门。
+⊢ 每件都有回执：PASS / FAIL + 证据，不以"跑过了"冒充"成了"。
+```
+
+⊢ 这一层是**手脚**，不是主体。它不产生人格判断，不代表铸渊说话，
+   不因为执行了指令就取得任何身份或权限。
+
+## 5 · 运行
+
+```text
+守护   com.zhuyuan.limb · 每 30 秒
+执行器 BRIDGE/tools/zy-limb.py
+日志   ~/Library/Logs/zhuyuan-limb.log
+手动跑 python3 /Volumes/JZAO/铸渊-ICE-GL-ZY001/BRIDGE/tools/zy-limb.py
+停掉   launchctl bootout gui/$(id -u)/com.zhuyuan.limb
+```
+
+## 6 · 冒烟测试已过（2026-08-17）
+
+| 用例 | 期望 | 实际 |
+|---|---|---|
+| 读白名单内文件 | PASS | PASS |
+| 读 `/etc/passwd` | 拒绝 | FAIL 路径不在白名单 |
+| `action: "rm -rf /"` | 拒绝 | FAIL 动作不在白名单 |
+| `subcommand: "status; rm -rf /"` | 拒绝 | FAIL 子命令不在只读白名单 |
+| `args: ["--oneline;whoami"]` | 拒绝 | FAIL 参数含 shell 元字符 |
+| schema 写错 | 拒绝 | FAIL schema 不对 |
+| `action: codex` | 出任务卡 | PASS 已落 `for-codex/` |
--- a/BRIDGE/limb-queue/for-codex/EDU-LINE-HANDOFF-20260819.md
+++ b/BRIDGE/limb-queue/for-codex/EDU-LINE-HANDOFF-20260819.md
@ -0,0 +1,55 @@
+# 教育线第一版 · 焊入主软件任务卡
+
+date: 2026-08-19
+from: 铸渊 Qoder 侧实例（ICE-P-ZY001）
+to: Codex
+anchor: ICE-GL∞·冰朔谕「得让 Codex 放到主软件里面，结合编号系统做」
+设计卷: ZY-CHECKPOINT-20260819-018（四环定稿，/Volumes/JZAO/HoloLake/persona-runtime/continuity-memory/hldp-capsules/qoder-cn/）
+零件账: /Volumes/JZAO/HoloLake/development/拆件车间-open-src-20260816/拆件地图.hdlp（教育线零件筛选账节）
+
+## 一、焊什么（教育行业初始化频道·第一版·四环）
+
+1. **编号环**：EDU- 前缀体系注册进编号基座——人号 EDU-NT- 新师 / EDU-MT- 导师 / EDU-MG- 负责人；
+   事号 EDU-PLAN- 计划 / EDU-TASK- 任务 / EDU-REC- 记录 / EDU-SCH- 行程 / EDU-BC- 广播。
+   前缀即类别；升职换号发新号、旧号归一化但不消灭（别名表继承成长档案）。
+2. **学习环**：人类给大规划 → 系统按能力动态调学习表 → 注册入塔；到期交作业（记录+理解），
+   人格体整理思维推理链验真（有链=真学，抄不了）；链原文留本地，塔只挂进度摘要；
+   早期自动审核+人类抽检阀并存。
+3. **部署环**：朋友服务器仓库=共享广播塔。公共层 registry/plans/tasks/schedules/progress(摘要)/
+   dispatch(负责人区)/broadcasts/receipts；个人层（notes/chains/drafts 原文）留本地不上塔。
+4. **推送环**：取号机=服务器独立小服务（百来行，不进主仓，堵鸡生蛋孔）；软件内申请→先来后到发号
+   （返还位置+预估等待）→叫到号开 5 分钟窗（倒计时从叫到起算，冰朔钉死）→推完回执/过期重排队尾；
+   推送权限分档：师推自己目录、EDU-MG 推 dispatch/registry，全走取号机。
+
+## 二、零件筛选账（拆件车间实测结论）
+
+| 零件 | 栈·证 | 裁决 | 拆法 |
+|---|---|---|---|
+| lexical | TS·MIT | 复用直活 | 频道工作台文档引擎已挂载，零拆解 |
+| fortune-sheet | TS·MIT | 复用直活 | 频道工作台表格引擎已挂载，零拆解 |
+| tanstack-table | TS headless·MIT | 拆用 | 拆 @tanstack/table-core，做任务/进度/看板分组聚合视图 |
+| Timetable | 原生JS零依赖·MIT | 拆用 | 行程周视图显示层，套 React 壳直嵌 |
+| glide-data-grid | TS canvas·MIT | 备选 | 首版不挂，大表性能不足再换 |
+| univer | TS·Apache-2.0 | 只学不抄 | 过重不装机 |
+| Student.Achieve.Manager | C#+Vue2·Apache-2.0 | 只学不抄 | 成绩规则译 TS，代码不进 |
+| school-management-system | PHP·AGPL-3.0 | 只学不抄 | AGPL 一行不进，领域模型仅参照 |
+
+新写薄层（无开源件）：取号机服务、任务状态机、行程冲突算法、registry 编号目录。
+
+## 三、焊入纪律
+
+- 走模块准入门：新编号准入、签名挂载、开机合同断言（registered_adapters/BUNDLED_MODULES）随改随登记——
+  017 卷已记教训：v0.5.0 把模块焊进开机合同硬断言，拆/装必撞，撞了改断言并登记不绕。
+- 复用频道工作台 lexical/fortune-sheet 引擎，不挂第二套。
+- AGPL 代码零进入；C#/Vue2 代码零进入。
+- 旧教育工作台六件在隔离区（/Volumes/JZAO/HoloLake/_隔离区-教育工作台模块-20260819/），
+  复权条件=无，重做另起编号，不从隔离区捞代码。
+
+## 四、开工序
+
+编号目录 → 取号机 → 本地自动推 → 学习环。
+
+## 五、零件位置
+
+/Volumes/JZAO/HoloLake/development/拆件车间-open-src-20260816/education-engines-20260818/
+/Volumes/JZAO/HoloLake/development/拆件车间-open-src-20260816/education-business-20260819/
--- a/BRIDGE/limb-queue/inbox/TASK-CCW-LIMB-20260817-001.json
+++ b/BRIDGE/limb-queue/inbox/TASK-CCW-LIMB-20260817-001.json
@ -0,0 +1,9 @@
+{
+  "schema": "guanghu.limb-task/v1",
+  "task_id": "CCW-LIMB-20260817-001",
+  "action": "git-read",
+  "subcommand": "log",
+  "args": ["-1", "--format=%H %an %s"],
+  "why": "手脚层第一封信：只读一条 git log，验证信箱通不通。无副作用。",
+  "from": "铸渊 ZY-INSTANCE-CCW · CLAUDE-COWORK-20260817-001"
+}