同步官方 main：v3.0.8 → v3.4.2（39 个官方提交 + 8 个自研部署/测试/CI 提交）

.dockerignore

@@ -4,6 +4,7 @@
 .git
 .github
 Acankao
+plugin
 assets
 prototype
 logs

.gitattributes

@@ -0,0 +1,7 @@
+# 钩子脚本必须以 LF 检出。
+#
+# Windows 上 core.autocrlf=true 会把文本文件检出成 CRLF，而 CRLF 的
+# `#!/bin/sh` 会让 Git Bash 报 "bad interpreter"，钩子直接失效（还不会
+# 报错提示，只是静默不跑）。只约束 .githooks/ 下的文件，仓库其余部分
+# 维持现状，不做全仓库行尾规范化。
+.githooks/** text eol=lf

.githooks/pre-commit

@@ -0,0 +1,89 @@
+#!/bin/sh
+#
+# pre-commit：本次提交若动了前端源码，就自动重建入库产物并一起提交。
+#
+# ── 为什么需要它 ──────────────────────────────────────────────
+# 本仓库把前端构建产物**入库**（ui/islands/ui.js、ui/islands/ui.css、
+# ui/i18n/**、ui/m/**、ui/sw.js），Tauri 打包（tauri.conf.json 的
+# frontendDist 指向 ui/）与 Docker 镜像（Dockerfile COPY ui/）都直接取
+# 这些字节 —— 仓库里那几份就是用户拿到的界面，没有任何构建兜底。
+#
+# 于是「改了源码忘了重建」会一路进分支，而 review 看不出 1 MB 压缩产物
+# 里少了什么。CI 的 frontend-artifacts 闸能在推送后拦住，但那时代码已经
+# 进了远端；这道钩子把拦截提前到本地提交前 —— 忘了也交不上去。
+#
+# ── 行为 ──────────────────────────────────────────────────────
+# 检测暂存区里是否含前端源码改动，有则重建对应产物并 git add：
+#   ui-islands / ui-kit → desktop-tauri/ui/islands/{ui.js,ui.css}
+#   mobile              → desktop-tauri/ui/m/** 与 desktop-tauri/ui/sw.js
+#   i18n                → desktop-tauri/ui/i18n/**
+# 任何一步构建失败都会中止提交（产物没更新，提交出去就与源码不同源）。
+#
+# ── 逃生门 ────────────────────────────────────────────────────
+# 刻意想分开提交（例如先提源码再提产物）时：
+#   git commit --no-verify
+# 关掉钩子（本机生效）：
+#   git config --unset core.hooksPath
+
+set -e
+
+# 暂存区名单落到临时文件：管道里的 while 跑在子 shell 里，变量传不出来
+staged="$(mktemp)"
+trap 'rm -f "$staged"' EXIT
+git diff --cached --name-only --diff-filter=ACMR > "$staged"
+
+need_islands=0
+need_mobile=0
+need_i18n=0
+
+while IFS= read -r f; do
+  [ -n "$f" ] || continue
+  case "$f" in
+    # ui-kit 以源码方式被两端引用：岛走 vite alias，手机端引它的样式
+    desktop-tauri/ui-kit/* | desktop-tauri/ui-islands/*)
+      need_islands=1
+      need_mobile=1
+      ;;
+    desktop-tauri/i18n/*)
+      need_i18n=1
+      ;;
+    # 手机端原生工程不参与 Web 产物，改了不用重建
+    desktop-tauri/mobile/android/* | desktop-tauri/mobile/ios/* | desktop-tauri/mobile/android-www/*)
+      ;;
+    desktop-tauri/mobile/*)
+      need_mobile=1
+      ;;
+  esac
+done < "$staged"
+
+if [ "$need_islands" = 0 ] && [ "$need_mobile" = 0 ] && [ "$need_i18n" = 0 ]; then
+  exit 0
+fi
+
+if ! command -v npm > /dev/null 2>&1; then
+  echo "pre-commit: 检测到前端源码改动，但找不到 npm，无法重建产物。" >&2
+  echo "  装好 Node 后重试，或用 git commit --no-verify 跳过（不推荐）。" >&2
+  exit 1
+fi
+
+echo "pre-commit: 检测到前端源码改动，重建入库产物……"
+
+if [ "$need_islands" = 1 ]; then
+  npm --prefix desktop-tauri/ui-islands run build
+fi
+if [ "$need_mobile" = 1 ]; then
+  npm --prefix desktop-tauri/mobile run build
+fi
+if [ "$need_i18n" = 1 ]; then
+  npm --prefix desktop-tauri/i18n run build
+fi
+
+# 只 add 产物所在目录：ui/ 根下的 app.js、css/ 等是手写文件，不归钩子管
+[ "$need_islands" = 1 ] && git add desktop-tauri/ui/islands
+[ "$need_mobile" = 1 ] && git add desktop-tauri/ui/m desktop-tauri/ui/sw.js
+[ "$need_i18n" = 1 ] && git add desktop-tauri/ui/i18n
+
+# 产物更新后可能在暂存区留下差异（也可能没有 —— 那说明本来就同源），
+# 两种情况都放行；真正的把关交给构建是否成功
+echo "pre-commit: 产物已重建并加入本次提交"
+exit 0

.github/FUNDING.yml

@@ -7,4 +7,4 @@
 # 注意：链接固定指向默认分支（main），文档合并到 main 之后按钮才可用。
 # 将来接入其它平台（爱发电 / Buy Me a Coffee / GitHub Sponsors 等）时，
 # 在这里追加对应的键（如 buy_me_a_coffee）或往 custom 数组里再加链接即可（最多 4 条）。
-custom: ["https://github.com/aimod-cc/agent2api/blob/main/docs/SPONSOR.md"]
+custom: ["https://github.com/aimod-cc/Agent2API/blob/main/docs/SPONSOR.md"]

.github/secret_scanning.yml

@@ -0,0 +1,21 @@
+# secret scanning / push protection 路径排除清单（GitHub 官方机制：
+# 「Excluding folders and files from secret scanning」，键为 paths-ignore）。
+#
+# 下列文件含有**第三方官方客户端自带**的公开凭证 —— 不是本仓库的机密，
+# 也不能改写（改了对应提供商的登录链路就断了），因此按整文件排除，
+# 避免历史告警反复出现、push protection 拦截触碰这些值的推送：
+#
+# 1. providers/antigravity/endpoints.rs —— Google 官方 Antigravity 客户端
+#    随安装包分发的公开 OAuth client_id / client_secret（全网开源实现原样
+#    公开；本仓文件头注释也写明「公开客户端凭证，不是用户机密」）。
+#    用于 Antigravity 提供商的 Google 账号网页登录（oauth.rs）。
+# 2. providers/orcaterm/login.rs —— 腾讯 OrcaTerm 官方自己的微信开放平台
+#    AppID（其登录页 302 跳转 URL 里明文可见的公开标识符；微信的机密是
+#    AppSecret，本仓没有）。该值在文件里仅出现在注释中。
+#
+# 注意：此配置按仓库默认分支（main）读取，改动合入 main 后才生效；
+# 命中的已有告警会被自动关闭（理由：ignored by configuration）。
+# 不要往本文件写入任何密钥明文 —— 本文件自身不在排除清单里，写了反而会触发告警。
+paths-ignore:
+  - "desktop-tauri/src-tauri/server/src/server/core/providers/antigravity/endpoints.rs"
+  - "desktop-tauri/src-tauri/server/src/server/core/providers/orcaterm/login.rs"