feat: add ShareServer console prototype

ShareServer previously existed only as design documents. The repository now includes a standalone Hono service and a responsive React management-console prototype covering administrator and member workflows, with local build, test, and container entry points.

The sharing design now includes organization-scoped digital agents and explicit local partitioned-memory selection for @ calls. Memory documentation consistently uses partitioned memory and treats time or internal events only as optional recall triggers.

This remains an interactive prototype: fixture actions do not persist, and production authentication, PostgreSQL isolation, device connections, routing, relay, and federation still require implementation.

Release note: 新增可独立运行的 ShareServer 管理控制台交互原型，并完善组织数字人与分区记忆共享设计；当前原型数据和操作不会写入生产系统。

docs/architecture/automation-platform-architecture.md

@@ -37,11 +37,11 @@ GoodBuddy 当前已经具备若干长期助手能力，但它们仍是彼此分
 
 ## 2. 核心产品判断
 
-### 2.1 智能心跳保持独立，未来分区记忆另行设计
+### 2.1 智能心跳保持独立，分区记忆协同另行设计
 
 当前智能心跳继续承担周期回顾、报告和建议，并支持 Global 或指定 Project 范围。它不是
-Task、通用调度器或后台 Agent，也不进入统一 `AutomationPlan.kind`。未来分区记忆的
-数据、状态、唤起和页面需要独立设计，不能从当前方向直接推导。
+Task、通用调度器或后台 Agent，也不进入统一 `AutomationPlan.kind`。按分区回顾、候选生成
+以及时间/内部事件唤起需要独立设计，不能从当前心跳行为直接推导，也不创建平行记忆类型。
 
 - Scheduled Task 解决“何时在一个 Task 中执行新的 Job”。
 - Goal Task 解决“围绕结果在同一 Task 中持续规划和推进”。
@@ -507,7 +507,7 @@ experiment_runs
 现有 `schedules`、`schedule_runs`、`heartbeat_configs`、`heartbeat_runs`、
 `heartbeat_entries`、`tasks` 和 `runs` 不应一次性重写。Schedule 可渐进建立稳定 Task 与
 Conversation 关联，旧 child-task 字段可兼容映射到 Job/Subjob；心跳数据保持独立，不得
-静默转成 `AutomationPlan` 或顶层 Task。未来分区记忆完成设计前，不新增迁移目标。
+静默转成 `AutomationPlan` 或顶层 Task。分区记忆协同和唤起条件完成设计前，不新增迁移目标。
 
 ## 16. 分阶段实施
 
@@ -518,7 +518,7 @@ Conversation 关联，旧 child-task 字段可兼容映射到 Job/Subjob；心
 - 明确 Task N:1 Conversation 关系、左侧行首展开按钮与 Task 子项图标，以及 Task Center
   索引边界，不复制内容。
 - 为现有 Scheduled Task 和专家执行建立按 Task 聚合的活动视图。
-- 明确当前心跳保持独立，未来分区记忆尚待设计。
+- 明确当前心跳保持独立，分区记忆协同与唤起条件尚待设计。
 - 补充触发来源、运行版本、预算和读写范围展示。
 
 ### 阶段 1：调度与运行基础
@@ -569,7 +569,7 @@ Conversation 关联，旧 child-task 字段可兼容映射到 Job/Subjob；心
 
 ## 18. 总体验收标准
 
-- [ ] 智能心跳保持独立，不作为 Task 类型；未来分区记忆尚未设计。
+- [ ] 智能心跳保持独立，不作为 Task 类型；分区记忆协同与唤起条件尚未设计。
 - [ ] Task Center 只索引 Task；每个 Task 只关联一条 Conversation，一条 Conversation 可以
   关联多个 Task。
 - [ ] 当前 UI 只展示到 Task，不提供 Job/Subjob/Run 树或独立导航。

docs/features/continuous-learning/prd.md

@@ -11,8 +11,8 @@
 
 ## 1. 背景
 
-智能心跳可以生成摘要、后续任务和记忆候选，但这还不是完整学习。其长期“未来分区记忆”
-方向尚未设计，也不承担持续学习、模式挖掘或自动改进：
+智能心跳可以生成摘要、后续任务和记忆候选，但这还不是完整学习。它与分区记忆的协同尚未
+实施，也不承担持续学习、模式挖掘或自动改进：
 
 - 候选是否改善未来行为没有评估。
 - 一条反思是否会被检索和使用并不确定。

docs/features/knowledge-base/local-embedding-technical-design.md

@@ -162,7 +162,7 @@ GoodBuddy 当前已经具备：
   引用和脱敏诊断。
 - Agent Runtime 的选择或切换不改变当前向量连接；向量连接的选择或切换也不改变当前
   Agent Runtime。
-- 未来记忆、笔记或其他本地语义检索若要复用向量连接，必须经过独立产品设计、权限与
+- 分区记忆、笔记或其他本地语义检索若要复用向量连接，必须经过独立产品设计、权限与
   数据路径评审后显式接入，不能因存在全局向量连接而自动获得使用权。
 
 ---

docs/features/memory/prd.md

@@ -5,8 +5,8 @@
 | 项目 | 内容 |
 | --- | --- |
 | 状态 | 设计中 |
-| 版本 | 0.3 |
-| 日期 | 2026-08-19 |
+| 版本 | 0.4 |
+| 日期 | 2026-09-05 |
 | 依赖 | [自动化平台总体设计](../../architecture/automation-platform-architecture.md)、[智能心跳 PRD](../smart-heartbeat/prd.md)、[Task 与 Job 统一领域模型](../task-and-job/task-and-job-model.md) |
 
 ## 1. 背景
@@ -16,13 +16,13 @@ GoodBuddy 当前记忆已经支持：
 - `global`、`project`、`conversation` 三种作用域。
 - `preference`、`fact`、`summary`、`procedure` 四种类型。
 - `proposed`、`confirmed`、`rejected` 三种状态。
-- 智能心跳提出 Global 或 Project 记忆候选，由用户确认；其长期“未来分区记忆”方向尚未设计。
+- 智能心跳提出 Global 或 Project 记忆候选，由用户确认；后续按本 PRD 的分区记忆模型增强。
 
 但当前能力仍不足以支撑自动化和并行实验：
 
 1. 交互请求会把已加载列表中的最多 20 条已确认记忆直接拼入提示，缺少查询相关度和明确的
    会话级过滤契约。
-2. 数据库有会话作用域，但旧版心跳候选与未来唤起需求混在同一产品概念中。
+2. 数据库有会话作用域，但旧版心跳候选与分区记忆的唤起需求混在同一产品概念中。
 3. 缺少 Automation、Experiment 和 Run 分区。
 4. 来源字段存在于表结构，但普通创建和心跳候选尚未完整保存来源关系。
 5. 缺少事实的有效时间、冲突、替代、访问记录和衰减。
@@ -64,10 +64,11 @@ SQLite 显式字段、FTS、来源关系和可选本地 Embedding 足以支持
 - 同一实体跨大量会话的别名消歧。
 - 可解释的关系证据链。
 
-### 2.5 未来分区记忆尚待设计
+### 2.5 分区记忆与唤起
 
-已确认智能心跳的长期方向是“未来分区记忆”，但当前尚未定义其数据结构、唤起条件、状态、
-生命周期、与长期记忆的关系或迁移方式。本 PRD 不新增 `FutureMemory` 类型、表或检索规则。
+正式产品概念统一为“分区记忆”。时间和内部事件可以作为分区记忆条目的可选唤起条件，但
+不能改变条目所属分区、绕过分区读取边界，也不建立平行的记忆类型或表。唤起字段、状态、
+生命周期、页面和旧数据迁移必须在实施前补充设计。
 
 ## 3. 目标
 
@@ -430,8 +431,8 @@ Project 记忆与 Global 偏好冲突时：
 
 每条记忆展示内容、类型、范围、来源、状态、时间、置信度、重要性和冲突。
 
-智能心跳的完整配置仍在“智能心跳”菜单中管理；未来分区记忆完成独立设计前，不加入记忆
-中心信息架构。
+智能心跳的完整配置仍在“智能心跳”菜单中管理。分区记忆的唤起条件完成字段、状态和生命周期
+设计后，可以在记忆中心增加“待唤起”视图；不得创建平行的记忆分区或内容页。
 
 ## 16. 数据模型建议
 
@@ -474,13 +475,13 @@ Project 记忆与 Global 偏好冲突时：
 6. 增加冲突、时态、替代和归档。
 7. 增加实验冻结快照与 Run 隔离。
 8. 增加可选本地 Embedding 和混合排序。
-9. 未来分区记忆和时间知识图谱都必须在明确需求与独立设计后再实施。
+9. 增加分区记忆的时间/内部事件唤起；时间知识图谱仍须在明确需求与独立设计后再实施。
 
 ## 19. 验收标准
 
 - [ ] 普通会话只读取 Global、当前 Project 和当前 Conversation 的允许记忆。
 - [ ] 智能心跳配置只能属于 Global 或 Main 已验证的一个、多个 Project。
-- [ ] 未来分区记忆完成独立设计前，不新增相关表、状态或检索行为。
+- [ ] 唤起条件始终依附于一个已验证的记忆分区，不建立平行的记忆表或范围。
 - [ ] Task 执行只读取内部 Run 快照绑定的分区。
 - [ ] 实验 Run 不能读取其他 Run 的消息或记忆。
 - [ ] 每条非手动记忆都有可追溯来源。

docs/features/share-server/README.md

@@ -14,10 +14,13 @@ ShareServer 不属于 Electron Main，不负责桌面端局域网发现，也不
 | [功能逻辑](./logic-design.md) | 组织隔离、设备、发布、策略、任务和联邦状态规则 |
 | [管理界面设计](./ui-design.md) | ShareServer Web 控制台的信息架构与交互 |
 | [技术设计](./technical-design.md) | 服务模块、API、数据、部署、运维和验证 |
+| [实施进度](./progress.md) | 已验证实现、剩余生产工作与验证证据 |
 | [共享网络总体设计](../../architecture/share-network-architecture.md) | 跨端身份、能力、授权、任务、更新和协议权威 |
 
 当前没有单独的 User Stories：管理员、能力发布者、审计员和普通成员场景已进入 PRD 与逻辑
-设计。服务尚未实施，因此不创建 `progress.md`。
+设计。仓库已建立可运行的全控制台交互原型；它用于确认信息架构与交互，不代表生产服务已经
+实现。当前边界和运行方法见[实施进度](./progress.md)与
+[`shareserver/README.md`](../../../shareserver/README.md)。
 
 ## 角色
 

docs/features/share-server/logic-design.md

@@ -5,8 +5,8 @@
 | 项目 | 内容 |
 | --- | --- |
 | 状态 | 设计中 |
-| 版本 | 0.1 |
-| 日期 | 2026-09-03 |
+| 版本 | 0.2 |
+| 日期 | 2026-09-05 |
 | 关联 PRD | [ShareServer PRD](./prd.md) |
 | 共享规则 | [共享网络总体设计](../../architecture/share-network-architecture.md) |
 
@@ -53,6 +53,14 @@ ShareServer 只路由调用方冻结的 provider，不在离线、繁忙或失
 初始化只在实例尚无系统管理员时可用。首个系统管理员创建成功后，后续请求即使持有旧的
 一次性引导材料也不能再次进入初始化流程。
 
+### INV-10 数字人发布不等于记忆公开
+
+发布数字人只建立一个有界 Agent Publication。它默认不取得所有者任何本地记忆；所有者可以
+在发布时勾选 Agent、Global、指定 Project 和指定 Automation 分区，不能开放 Conversation
+和 Run 分区。ShareServer 和调用者只能看到允许分区种类与“本次调用会使用本地记忆”的政策
+事实，不能读取原始条目、分区内容、来源正文或检索结果。新增可读分区按权限扩大重新审批，
+移除分区可以立即收紧。
+
 ## 2. 主要状态
 
 ### 2.1 成员
@@ -120,7 +128,7 @@ active <-> paused
 
 1. 验证请求身份、会话 audience 和 organization。
 2. 验证用户、设备、provider、Publication 和 FederationTrust 当前状态。
-3. 校验能力版本、动作、输入 schema、数据类别、大小和委托链。
+3. 校验能力或数字人版本、动作、输入 schema、数据类别、大小和委托链。
 4. 收集调用方组织、提供方组织、Publication 和 Grant 规则。
 5. 按拒绝优先合并，计算 `deny/require_approval/allow`。
 6. 校验次数、并发、预算和有效期。
@@ -137,6 +145,7 @@ active <-> paused
 | 成员与组 | 紧急管理 | 是 | 否 | 否 | 只读 | 自己 |
 | 注册设备 | 只读/撤销 | 是 | 自己 | 否 | 只读 | 自己 |
 | 发布能力/包 | 否 | 是 | 授权范围 | 否 | 只读 | 否 |
+| 发布自己的数字人 | 否 | 是 | 授权范围 | 否 | 只读 | 自己 |
 | 编辑策略 | 否 | 是 | 否 | 否 | 只读 | 否 |
 | 处理审批 | 否 | 可配置 | 否 | 授权范围 | 只读 | 自己的申请 |
 | 联邦关系 | 实例级许可 | 是 | 否 | 可共同审批 | 只读 | 否 |
@@ -201,9 +210,10 @@ active <-> paused
 | `FR-10` | 组织隔离、删除撤销与保留规则 |
 | `FR-11` | 组织角色边界及各对象状态；展示行为由 UI 设计定义 |
 | `FR-12` | 短期权威恢复规则和逻辑完整性；部署结构由技术设计定义 |
+| `FR-13` | 注册、Publication、目录与授权不变量，provider 冻结及 `INV-10` |
 
 ## 10. 逻辑完整性
 
-本设计覆盖实例、组织、成员、设备、发布、授权、审批、任务、更新、联邦、撤销和恢复。实现
-前仍需确定首个 OIDC 提供者矩阵、默认审计保留期、部署规模目标和中继带宽上限；这些部署
+本设计覆盖实例、组织、成员、设备、能力与数字人发布、授权、审批、任务、更新、联邦、撤销
+和恢复。实现前仍需确定首个 OIDC 提供者矩阵、默认审计保留期、部署规模目标和中继带宽上限；这些部署
 参数应可配置，不改变拒绝优先、双边联邦和 provider 冻结规则。

docs/features/share-server/prd.md

@@ -5,8 +5,8 @@
 | 项目 | 内容 |
 | --- | --- |
 | 状态 | 设计中 |
-| 版本 | 0.1 |
-| 日期 | 2026-09-03 |
+| 版本 | 0.2 |
+| 日期 | 2026-09-05 |
 | 适用产品 | 独立部署的 ShareServer 与 Web 管理控制台 |
 | 关联架构 | [共享网络总体设计](../../architecture/share-network-architecture.md) |
 | 关联文档 | [功能逻辑](./logic-design.md)、[管理界面](./ui-design.md)、[技术设计](./technical-design.md) |
@@ -25,6 +25,7 @@
 4. 设备离线、用户撤销或策略变化能准确影响新任务，不破坏历史证据。
 5. 两个组织可经双边确认建立有限范围的联邦协作。
 6. ShareServer 可以只运行控制面，也可按部署策略提供数据中继和包存储。
+7. 成员可以显式开放自己的数字人，获准的组织成员可通过 `@数字人` 发起有界协作任务。
 
 ## 3. 产品范围
 
@@ -37,6 +38,7 @@
 - 设备出站控制通道、任务路由、取消和可选中继。
 - 签名能力包仓库、发布通道、更新策略和撤销。
 - ShareServer 间双边联邦。
+- 组织数字人目录、数字人 Publication、授权发现和 `@数字人` 调用。
 - 审计、用量、保留和导出。
 - Web 管理控制台和成员自助页面。
 
@@ -46,6 +48,8 @@
 - 发现未注册的局域网设备。
 - 保存或分发用户 API Key、Cookie 和桌面登录状态。
 - 默认查看任务正文、附件和模型输出。
+- 上传、同步或浏览数字人所有者的本地个人、项目、会话和原始 Agent 记忆。
+- 因为成员加入组织而自动开放其数字人、记忆、Runtime、工作区或工具。
 - 未经提供者发布自动盘点设备能力。
 - 自动信任同域邮箱、同一网络或其他 ShareServer。
 - 公共开放市场、计费结算或匿名能力调用。
@@ -79,6 +83,8 @@
 - 目录按调用者身份、设备状态、组织和策略过滤后返回。
 - 支持同一能力多个版本和多个 provider，不掩盖来源。
 - provider 离线时保留目录事实但显示不可用，不派发新任务。
+- 数字人作为由具体设备或服务节点提供的复合 Agent 能力进入目录，持续显示所有者、提供者、
+  运行位置和可调用状态，不伪装成 ShareServer 自身能力。
 
 ### FR-5 授权策略
 
@@ -89,7 +95,7 @@
 
 ### FR-6 审批
 
-- 调用、能力发布、权限扩大更新和联邦关系可以要求审批。
+- 调用、能力发布、数字人上线或范围扩大、权限扩大更新和联邦关系可以要求审批。
 - 审批项显示申请人、对象、影响范围、数据类别、期限和策略依据。
 - 批准结果有明确范围和有效期，不提供无边界“永久允许”。
 - 申请内容变化后旧审批失效。
@@ -125,9 +131,10 @@
 
 ### FR-11 管理控制台
 
-- 提供概览、组织与成员、设备、能力目录、权限策略、审批、发布与更新、网关联邦、任务与
-  中继、审计、系统设置。
+- 提供概览、组织与成员、设备、能力目录、数字人、权限策略、审批、发布与更新、网关联邦、
+  任务与中继、审计、系统设置。
 - 普通成员只看到自己的设备、授权和待办；管理员栏目按权限隐藏并在 API 再次校验。
+- 普通成员可以管理自己发布的数字人，并发现和 `@` 当前组织内获准调用的数字人。
 - 所有高影响操作说明对象、范围和后果。
 
 ### FR-12 可部署性
@@ -137,6 +144,38 @@
 - 提供健康、就绪、指标、结构化日志、备份和恢复说明。
 - 服务升级不能要求同时升级所有在线桌面端；按协议版本协商兼容集合。
 
+### FR-13 数字人发布与组织内 `@` 调用
+
+- “数字人”是运行在成员设备或组织服务节点上的可调用 Agent Publication。一个成员可以按
+  不同用途发布零个或多个数字人，每个数字人独立配置 handle、能力、提供者和记忆来源；
+  加入组织、注册设备或创建本地 Agent 都不会自动发布。
+- 发布时必须明确数字人的组织内唯一 `@handle`、显示名、说明、版本、提供者、支持的输入/
+  输出类型、可用时间、并发、有效期、目标用户或用户组，以及
+  `discover/inspect/invoke` 动作。`@数字人` 是 `invoke` 的界面入口，不绕过 Grant 或审批。
+- 数字人目录持续显示所有者、来源组织、执行设备或服务节点、Runtime 类型、版本、在线状态、
+  数据策略和最近可用性；重名显示名不能掩盖唯一 handle 和实际提供者。
+- 获准成员在组织会话或任务输入中通过显式选择器插入 `@数字人`。发送前必须显示实际接收者、
+  执行位置、将发送的数据类别、附件、路由、中继可读性、有效授权和可能的下游委托。
+- 一次 `@数字人` 创建绑定所选数字人 Publication、版本和 provider 的远程 Task。数字人离线
+  或拒绝时不得改发给同名数字人或其他 provider；网络中断后的终态遵守 `FR-7`。
+- 数字人默认无权读取所有者的其他本地记忆。发布时，所有者可以勾选该数字人的 Agent 分区、
+  Global 分区、指定 Project 分区和指定 Automation 分区；首期不能开放短期的 Conversation
+  和 Run 分区。一次调用只在 Publication 冻结的允许分区中读取当前有效、已确认且敏感度
+  允许的记忆。
+- 记忆检索和上下文组装始终在 Provider 本地完成。ShareServer 只保存 Publication 的分区
+  种类、经过验证的本地关联 ID 摘要和是否使用专属记忆等策略元数据；原始记忆、分区内容、
+  来源正文和检索结果不上传 ShareServer，也不向调用者展示。
+- 数字人输出可能受到其 Agent 记忆影响，因此发布页和调用确认必须显示“使用数字人专属记忆”
+  这一事实及允许的数据敏感度。Restricted 记忆不得用于远端调用；暂停或撤销数字人后停止
+  新调用，但保留历史任务和有界审计。
+- Provider 在执行边界重新验证 Publication、Grant、输入 schema、数据类别、大小、期限和
+  本地 Agent 记忆权限。ShareServer 的允许决定不能扩大数字人所在设备的本地权限。
+- 所有者可以暂停、恢复、更新或撤销自己的数字人。handle 或能力、数据、工具、委托发生
+  变化，或新增可读记忆分区时，旧批准失效并重新进入审批；移除可读分区可以立即收紧而不
+  等待新批准，普通文案修改不得改变既有权限。
+- 审计默认只记录调用方、数字人、Publication、provider、数据类别、路由、授权、状态、耗时
+  和大小，不保存消息正文、附件内容、模型输出或记忆内容。
+
 ## 5. 产品验收
 
 - 新实例可完成初始化、登录、创建组织、邀请成员和注册真实桌面设备。
@@ -146,4 +185,11 @@
 - 任务中继关闭时控制面仍可运行；中继开启时可取消并形成准确终态。
 - 权限扩大的包更新不能自动部署。
 - 两个独立 ShareServer 能建立、使用、暂停和撤销双边联邦。
+- 成员可以显式发布一个数字人，获准的同组织成员能从选择器插入 `@handle` 并完成一次有界
+  调用；未获准成员不能通过目录、搜索、补全或直接 API 枚举和调用该数字人。
+- 暂停或撤销数字人后不能创建新调用，已完成任务与有界审计仍可追溯到原 Publication 和
+  provider。
+- 数字人调用可以使用所有者在发布时勾选的 Agent、Global、指定 Project 或指定 Automation
+  分区，但不能开放 Conversation 和 Run；ShareServer 和调用者不能读取原始记忆、未选择的
+  本地分区或记忆来源正文。
 - 备份恢复后组织、策略、发布和审计身份保持一致，短期连接和令牌不恢复。

docs/features/share-server/progress.md

@@ -0,0 +1,58 @@
+# ShareServer 实施进度
+
+## 当前状态
+
+ShareServer 已进入可运行交互原型阶段。当前实现用于验证完整控制台信息架构、视觉方向与操作
+流程，不提供生产身份、组织隔离、设备连接、授权、任务路由或数据持久化。
+
+## 已验证实现
+
+### 2026-09-05：全控制台交互原型
+
+- `shareserver/` 是独立 Node.js/TypeScript 项目，不依赖 Electron Main 或
+  `src/shared`。
+- Hono 同源提供健康、就绪、原型快照和无持久化操作确认 API。
+- 管理控制台覆盖概览、组织与成员、设备、能力目录、权限策略、审批、发布与更新、网关联邦、
+  任务与中继、审计和系统设置。
+- 成员自助覆盖自己的设备、授权和申请；角色切换后导航和 URL 范围同步变化。
+- 控制台支持深浅主题、组织范围、全局搜索、列表搜索、状态筛选、详情、表单、确认、成功/
+  失败反馈、响应式侧栏和键盘对话框。
+- 构建后的 Web 由 Hono 同源托管；`Dockerfile` 使用多阶段构建和非 root 运行用户。
+- readiness 明确返回 `interactive-prototype` 与 `productionReady=false`，避免把 fixture
+  误认为生产服务。
+
+验证证据：
+
+```text
+cd shareserver
+npm test        # 2 files, 5 tests passed
+npm run lint    # passed
+npm run build   # typecheck + Vite Web + server TypeScript passed
+```
+
+浏览器实际验收：
+
+- 生产构建在 `http://127.0.0.1:8787` 启动并成功加载 API 快照。
+- 宽屏管理员概览、审批详情、批准确认和原型 API 提交流程通过。
+- `390 × 844` 成员自助页面、筛选区和列表布局通过。
+- 深色与浅色审批页的 WCAG 2 A/AA 自动检查均为 0 个确定违规；半透明侧栏被检查器列为
+  需人工判断项，已通过实际截图复核文字可读性。
+- 仓库级 `npm test` 通过 325 个测试文件、3501 个测试，另有 8 个文件和 55 个测试按既有
+  条件跳过；仓库级 `npm run typecheck` 与 `npm run lint` 通过。
+
+## 剩余生产工作
+
+按技术设计从以下纵向切片开始，不能把原型 fixture 逐步演变为权威状态：
+
+1. FR-1 一次性初始化、本地管理员身份、Web session 和 CSRF。
+2. PostgreSQL migration、实例/组织/成员表、强制 organization repository 作用域和事务审计。
+3. 真实组织与成员管理 API，再将对应原型页面切换到权威数据。
+4. 设备挑战注册、凭据和出站 WebSocket 连接。
+5. Publication、目录、拒绝优先策略、审批和任务路由。
+6. Package、可选中继、联邦、保留、导出、备份恢复和真实 Desktop 端到端验证。
+
+当前尚未满足 PRD 的产品验收，也未进行真实 Desktop/ShareServer 集成测试。
+
+2026-09-05 PRD `FR-13` 新增组织数字人发布和 `@数字人` 调用。当前交互原型尚无“数字人”
+目录、发布管理、提及选择器或 Agent 记忆边界展示，因此这些能力仍属于剩余生产与原型工作，
+不能由现有通用能力目录或原型操作确认替代。

docs/features/share-server/technical-design.md

@@ -5,8 +5,8 @@
 | 项目 | 内容 |
 | --- | --- |
 | 状态 | 设计中 |
-| 版本 | 0.1 |
-| 日期 | 2026-09-03 |
+| 版本 | 0.2 |
+| 日期 | 2026-09-05 |
 | 关联 PRD | [ShareServer PRD](./prd.md) |
 | 功能逻辑 | [功能逻辑设计](./logic-design.md) |
 | 共享协议 | [共享网络总体设计](../../architecture/share-network-architecture.md) |
@@ -38,8 +38,11 @@ shareserver/
   tests/
 ```
 
-当前只提交设计文档，不创建无法运行的目录占位。服务端和 Desktop 共同依赖未来的
-`packages/share-protocol`，ShareServer 不导入 Electron 的 `src/shared`。
+仓库已创建可独立运行的 `shareserver/` 全控制台交互原型。原型使用 Hono 提供健康、就绪、
+界面快照和无持久化操作确认 API，并同源托管 React/Vite Web 控制台；它不依赖 Electron 的
+`src/shared`。当前尚未建立生产数据库、认证、设备连接和共享协议，因此也不提前创建空的
+`packages/share-protocol`。进入真实 Desktop 协议实现时，服务端和 Desktop 共同依赖
+`packages/share-protocol`，ShareServer 仍不得导入 Electron 的 `src/shared`。
 
 ## 2. 技术选型约束
 
@@ -57,7 +60,7 @@ shareserver/
 | `auth` | 本地身份、OIDC、Web session、服务和设备凭据 |
 | `organizations` | 组织、成员、组、角色和范围解析 |
 | `devices` | 注册挑战、设备记录、出站连接和在线状态 |
-| `capabilities` | manifest、provider、Publication 和目录投影 |
+| `capabilities` | manifest、数字人 profile、provider、Publication 和目录投影 |
 | `policies` | Grant、强制策略和确定性授权计算 |
 | `approvals` | 内容绑定申请、决定、过期和通知 |
 | `tasks` | task/attempt、provider 路由、状态和取消 |
@@ -104,6 +107,7 @@ device_credentials
 device_connections
 capabilities
 capability_versions
+agent_profiles
 providers
 publications
 grants
@@ -130,6 +134,13 @@ revocations
 - 密钥保存为单向摘要或经外部主密钥加密的密文；数据库不保存明文 token。
 - 在线连接和短期 nonce 主要在内存；表中只保存恢复所需元数据，不把 socket 当持久对象。
 - task event 只存控制状态和有界统计；正文流不进入普通关系表。
+- `agent_profiles` 只保存组织内唯一 handle、显示元数据和其能力版本引用。数字人复用
+  Publication、Grant、Approval 和 Task，不创建第二套授权或路由模型；本地 Agent 记忆条目、
+  分区目录和来源正文不进入 ShareServer 数据库。
+- 数字人 Publication revision 保存有界 `memory_source_policy`，只允许 `agent`、`global`、
+  `project` 和 `automation` 种类及 Provider 验证后的本地关联 ID 摘要。Provider 执行时按该
+  revision 在本地重新解析分区并检索；服务端不接收记忆文本、来源正文、Embedding 或检索
+  结果。新增来源是权限扩大，移除来源是单向收紧。
 
 ## 6. 事务与一致性
 
@@ -240,3 +251,19 @@ PostgreSQL
 - 生产 TLS、OIDC 和对象存储组合的端到端验证。
 
 设计完成不代表服务已实现；只有独立部署和真实 Desktop 端到端路径通过后才能更新实施状态。
+
+## 15. 当前原型实现
+
+2026-09-05 建立的交互原型固定以下技术基线：
+
+- API：Hono + `@hono/node-server`，保留 `/api/v1/public/*` 与
+  `/api/v1/web/*` audience 路径。
+- Web：React、Vite、TypeScript、Tailwind CSS 和 Radix primitives，按 shadcn/ui 组件模式
+  维护本地可修改组件。
+- 路由与范围：管理员和成员自助使用不同可见导航；当前组织持续显示。
+- 部署：生产构建由同源 Hono 服务托管，并提供非 root 多阶段 Docker 镜像。
+
+`/api/v1/public/ready` 返回 `mode=interactive-prototype` 和
+`productionReady=false`。原型 fixture、角色切换和操作确认只用于评审信息架构，不得被
+Desktop 或部署脚本当作真实身份、策略、任务或审计 API。下一实施阶段必须从 FR-1
+初始化、本地身份、PostgreSQL 组织作用域和事务审计开始，不在 fixture 上叠加生产状态。

docs/features/share-server/ui-design.md

@@ -5,8 +5,8 @@
 | 项目 | 内容 |
 | --- | --- |
 | 状态 | 设计中 |
-| 版本 | 0.1 |
-| 日期 | 2026-09-03 |
+| 版本 | 0.2 |
+| 日期 | 2026-09-05 |
 | 关联 PRD | [ShareServer PRD](./prd.md) |
 | 功能逻辑 | [功能逻辑设计](./logic-design.md) |
 
@@ -33,6 +33,7 @@ ShareServer 是独立 Web 产品，不直接复用 Electron 页面壳层实现
 组织与成员
 设备
 能力目录
+数字人
 权限策略
 审批
 发布与更新
@@ -90,6 +91,34 @@ GPU-Worker-02    AI Team     Linux       离线      8        2 小时前
 详情包含 manifest、provider、Publication、允许输入、数据政策、调用趋势和最近错误。管理员
 看到的是组织元数据，不通过目录读取能力内部数据。
 
+### 6.1 数字人
+
+数字人使用独立栏目呈现，不混入普通工具能力表。目录按 `@handle`、显示名、所有者、专业
+说明、提供者、Runtime、版本、在线状态和可用范围筛选；只有当前成员可发现的数字人进入
+搜索和提及补全。
+
+数字人详情显示：
+
+- 所有者、来源组织、执行设备或服务节点。
+- Publication 版本、支持的输入/输出、可用时间、并发和有效期。
+- 数据去向、路由、中继可读性、是否允许委托。
+- 是否使用本地记忆、允许的分区种类，以及允许处理的数据敏感度；不显示记忆条目、具体分区
+  名称、来源正文和检索结果。
+- 当前成员的 `discover/inspect/invoke` 权限、命中策略和审批要求。
+
+成员可以在“我的数字人”中创建多个用途不同的发布草稿，选择一个本地 Agent、设置唯一
+`@handle` 和开放范围、提交审批、暂停、恢复、更新或撤销。加入组织不会生成默认数字人，
+创建本地 Agent 也不会自动发布。
+
+发布表单的“可用记忆”默认全部关闭，并允许勾选数字人的 Agent、Global、指定 Project 和
+指定 Automation 分区。Conversation 和 Run 不作为可选项。表单持续说明记忆只在提供者本地
+检索，调用者和 ShareServer 看不到内容；新增分区在保存前明确标为权限扩大，移除分区明确
+标为立即收紧。
+
+组织会话和任务输入区使用带搜索的显式选择器插入 `@数字人`，不能只靠自由文本猜测 handle。
+选择后持续显示目标数字人；发送前确认实际接收者、执行位置、发送数据和授权。离线、无权或
+需要审批的项保持可读并说明原因，但不能形成已发送调用。
+
 ## 7. 权限策略
 
 策略页分“强制策略”和“Grant”。创建和编辑使用结构化表单：主体、能力、动作、输入、提供者、
@@ -157,3 +186,15 @@ GPU-Worker-02    AI Team     Linux       离线      8        2 小时前
 - 窄屏将表格转为字段列表，保持组织、来源、状态和风险信息，不把管理动作挤成不可辨图标。
 - 所有时间显示实例时区并可查看 ISO 时间；联邦事件同时显示对端时间时标明时区。
 - 状态不只依赖颜色。危险操作在确认后保持原页面上下文和可恢复错误。
+
+## 15. 交互原型视觉基线
+
+2026-09-05 的首个可运行原型采用深海科技控制台方向，并同时提供浅色主题。视觉实现遵循
+shadcn/ui 的本地组件模式和 Radix 可访问 primitives，布局参考成熟后台的侧栏、顶栏、数据
+表格和详情对话框，但不复制第三方示例业务页面。
+
+原型已覆盖数字人需求加入前的一级栏目、管理员与成员自助视图切换、组织范围、搜索筛选、
+页签、详情、创建表单、危险确认和 390px 窄屏导航。动态发光、网格和网络脉冲只用于运行状态
+与品牌氛围；业务表格仍保持克制，状态继续同时使用图标与文字。原型操作会调用无持久化确认
+API，并持续标明不会写入生产数据，不能据此宣称真实审批、撤销、策略或任务操作已实现。
+`FR-13` 新增的数字人目录、“我的数字人”和 `@` 选择器尚未进入当前原型。

docs/features/smart-heartbeat/prd.md

@@ -4,9 +4,9 @@
 
 | 项目 | 内容 |
 | --- | --- |
-| 状态 | 入口与范围已实现；未来分区记忆待独立设计 |
-| 版本 | 0.5 |
-| 日期 | 2026-08-19 |
+| 状态 | 入口与范围已实现；分区记忆协同待设计 |
+| 版本 | 0.6 |
+| 日期 | 2026-09-05 |
 | 适用产品 | GoodBuddy 桌面端 |
 | 文档角色 | 智能心跳当前能力、权威入口、范围和长期边界 |
 | 相关设计 | [统一界面设计系统](../../../UI-DESIGN.md) |
@@ -14,8 +14,8 @@
 | 相关界面 | [通用助手工作栏与执行空间 PRD](../assistant-workbar/prd.md) |
 | Task 模型 | [Task 与 Job 统一领域模型](../task-and-job/task-and-job-model.md) |
 
-> 本文区分近期实施与长期方向。未完成设计的“未来分区记忆”不得转写为数据结构、状态机、
-> 页面、迁移或验收条件。
+> 本文区分近期实施与长期方向。分区记忆由[分区记忆 PRD](../memory/prd.md)定义；智能心跳
+> 不能另行创建平行的记忆类型、表或页面。
 
 ## 1. 已确认的产品边界
 
@@ -26,23 +26,23 @@
 - 智能心跳不并入通用自动化中心，也不作为任务中心条目。
 - 现有心跳报告、记忆建议、行动建议和审计历史在本轮继续保留。
 
-### 1.2 长期方向：未来分区记忆
+### 1.2 长期方向：分区记忆协同
 
 已确认的方向只有：
 
-> 智能心跳未来应成为按范围隔离的未来记忆。
+> 智能心跳后续应按分区回顾本地信息，提出对应分区的记忆候选和可选唤起建议。
 
 以下内容尚未设计：
 
-- “未来记忆”的数据结构与存储方式。
-- 与当前长期记忆、心跳报告和建议的关系。
-- 唤起条件、状态和生命周期。
+- 新增 Automation、Run 和 Agent 等分区后的逐分区回顾规则。
+- 与当前记忆候选、心跳报告和建议的关系。
+- 时间与内部事件唤起条件的字段、状态和生命周期。
 - 到期后的页面和交互。
 - 是否以及如何创建 Task。
 - 旧版心跳数据如何迁移。
 
-本轮不得实现 `FutureMemory`、新增未来记忆数据库表，或制作“未来记忆 / 即将唤起 /
-已唤起”等页面。后续需要独立 PRD 和用户确认。
+本轮不得扩展分区记忆类型或表。后续唤起能力必须作为分区记忆条目的可选条件，并继续遵守
+该条目的分区读取边界。
 
 ## 2. 本轮实施范围
 
@@ -56,7 +56,7 @@
 
 ### 2.2 非目标
 
-- 不设计或实现未来分区记忆。
+- 不扩展分区记忆模型或实现唤起条件。
 - 不修改 Task、Job 或 Task Center 模型。
 - 不新增独立 Automation Center。
 - 不移除定时任务现有入口。
@@ -181,7 +181,7 @@
 
 ## 6. 数据与安全要求
 
-目标合同只扩展现有心跳范围，不引入 Future Memory：
+目标合同只扩展现有心跳范围，不扩展分区记忆合同：
 
 ```ts
 type HeartbeatScope =
@@ -217,11 +217,11 @@ type HeartbeatScope =
 - 如需要，设置中心仅保留“打开智能心跳”导航。
 - 验证应用内仍只有一个完整配置入口。
 
-### 后续：独立设计
+### 后续：分区记忆协同设计
 
-- 未来分区记忆。
-- 与长期记忆的关系。
-- 唤起模型与生命周期。
+- 按 Global、Project、Automation、Run 和 Agent 分区独立回顾并提出候选。
+- 与已确认记忆、候选、心跳报告和建议的关系。
+- 时间与内部事件唤起条件及生命周期。
 - 与 Task 的关系。
 
 这些内容需要新的 PRD 和明确确认，不属于本轮实现。
@@ -242,5 +242,5 @@ type HeartbeatScope =
 - [x] 设置中心不再包含单条心跳 CRUD。
 - [x] 任务中心本身以及定时任务现有行为没有被删除。
 - [x] 智能心跳仍保持只读、禁用工具和有界输入输出。
-- [x] 没有新增 Future Memory 表、状态机或未确认页面。
+- [x] 没有新增平行的记忆类型、表或页面。
 - [x] 加载失败、空状态、字段错误和危险操作满足统一设计与无障碍要求。

docs/roadmap/long-term-assistant-roadmap.md

@@ -169,8 +169,8 @@ GoodBuddy 应能够：
 - 当前智能心跳继续提供周期回顾、报告、记忆建议、行动建议和运行历史。
 - “智能心跳”菜单入口负责完整配置，并支持 Global 或指定一个、多个 Project。
 - 任务中心和设置中心不复制智能心跳 CRUD。
-- 智能心跳长期方向是“未来分区记忆”，但数据结构、唤起模型、生命周期、页面以及与任务和
-  长期记忆的关系尚未设计，不能提前实现。
+- 智能心跳长期按分区回顾信息并提出记忆候选或唤起建议，但协同规则、唤起条件、生命周期、
+  页面以及与任务的关系尚未设计，不能提前实现平行的记忆类型或页面。
 
 ### 4.6 成果和预览
 
@@ -355,7 +355,7 @@ GoodBuddy 应能够：
 - 用户删除后不再检索到。
 - 每条记忆显示来源与作用域。
 - 智能心跳配置明确属于 Global 或指定 Project，当前报告和建议继续沿用已有生命周期。
-- 未来分区记忆完成独立设计前，不新增相关数据、页面或任务转换。
+- 分区记忆协同和唤起条件完成设计前，不新增相关数据、页面或任务转换。
 
 ### 8.5 安全