这个仓库当前已经收口成“下一条 AI 线程不需要重新摸索结构和部署方式”的状态。真实实现是一套基于 Next.js App Router 的移动控制台，加一个本地 device-agent，持久化仍然是 data/boss-state.json，部署链路是 systemd + Caddy + launchd。

先读哪里

按这个顺序看，交接成本最低：

docs/architecture/ai_handoff_index_cn.md
docs/architecture/repo_map_cn.md
docs/architecture/current_runtime_and_deploy_status_cn.md
docs/architecture/api_and_service_inventory_cn.md
docs/architecture/enterprise_ai_ops_architecture_cn.md
docs/architecture/rbac_skill_regression_matrix_cn.md
docs/architecture/boss_server_connection_and_deploy_cn.md
prompts/codex_fullstack_build_and_deploy_prompt_cn.md

当前有效目录

src/app：当前 Web 页面和 API 路由
src/components：共享 UI 和交互组件
src/lib：文件型状态模型和聚合投影视图
src/lib/execution：当前已落地的执行底座抽象层，包含 ExecutionBackend / PromptAssembler / PermissionPolicy / RemoteRuntimeAdapter / OrchestrationBackend 默认实现
local-agent：本地设备端心跳 + thread-context 上报服务
deployment：Caddy、systemd、launchd 配置
scripts：本地启动、安装、远端部署脚本
design：Pencil 原稿和导出图
android：原生 Android 客户端工程和 APK 构建目录
docs/architecture：当前权威中文文档
prompts：交给其他 Codex 线程的提示词

当前仅作参考或占位的目录

docs/source-material：历史材料，不是运行时真相
deploy：空占位目录，不参与当前部署
src/boss_control：空占位目录，不参与当前运行
src/boss_device_agent：空占位目录，不参与当前运行

当前运行状态（2026-04-03）

本地：

npm run lint 已通过
npm run build 已通过
GET http://127.0.0.1:3000/api/health 正常
GET http://127.0.0.1:3000/api/v1/conversations 正常
GET http://127.0.0.1:3000/api/v1/projects/master-agent 正常，主 Agent 项目页已能显示最近 APP 日志
GET http://127.0.0.1:3000/api/v1/accounts 正常，已返回主 GPT / 备用 GPT / API 容灾账号摘要
POST http://127.0.0.1:3000/api/v1/accounts/master-codex-primary/validate 正常，已验证会明确提示“主 GPT 不在手机里直接登录”，并校验绑定设备在线状态
POST http://127.0.0.1:3102/api/v1/accounts/onboard/master-node 正常，已验证会保存 Master Codex Node 绑定信息并返回显式登录指引
POST http://127.0.0.1:3102/api/v1/accounts/onboard/openai-api 正常，已验证会对 API Key 做真实 OpenAI 探针校验；无效 Key 会返回真实错误
GET http://127.0.0.1:3000/api/v1/devices/mac-studio/skills 正常，已返回本机同步 Skill 列表
POST http://127.0.0.1:3000/api/auth/login 正常，会写入 boss_session Cookie
GET http://127.0.0.1:3000/api/auth/session 正常
POST http://127.0.0.1:3000/api/auth/restore 正常，已验证可用原生 restore token 恢复登录态
POST http://127.0.0.1:3000/api/v1/projects/master-agent/messages 正常，已验证可通过 Mac Studio local-agent -> 本机 Master Codex Node -> 回写项目账本 返回真实主 Agent 回复
POST http://127.0.0.1:3000/api/v1/projects/[projectId]/messages 正常，普通单线程会话当前会返回 conversation_reply 任务，并等待绑定设备上的真实 Codex 线程回写
POST http://127.0.0.1:3000/api/v1/integrations/telegram/webhook 正常，已支持 Telegram Bot 私聊消息直连 Boss 主 Agent；快速回复会立即回 Telegram，异步任务完成后也会自动回推
GET/POST http://127.0.0.1:3000/api/v1/integrations/telegram 正常，已支持最高管理员读取和保存 Telegram 接入配置，返回默认脱敏视图；保存 webhook 模式时会自动调用 Telegram setWebhook，切回 polling/关闭时会自动调用 deleteWebhook；Web /me/telegram 与原生 Android 我的 > Telegram 接入 都已接入这条配置链路，并支持把群 / Topic 路由到指定 Boss 项目
POST http://127.0.0.1:3000/api/auth/logout 正常，退出后访问受保护 /api/v1/* 会返回 401
GET/POST http://127.0.0.1:3000/api/v1/auth/sessions 正常，已支持查看当前账号登录会话、最高管理员查看全部活跃会话，以及撤销单个登录端；返回内容不会暴露 sessionToken / restoreToken
当前多用户 / RBAC 第一阶段已经落地：BossState 新增 accountDeviceGrants / accountProjectGrants / accountSkillGrants / skillCatalog / permissionAuditLogs，所有会话、设备、项目详情、消息读写、设备 Skill 和 /api/state 都会按当前登录账号过滤；最高管理员仍保持全局可见
GET/POST http://127.0.0.1:3000/api/v1/admin/access 正常，仅最高管理员可用；当前支持创建/更新子账号、公司启用/停用、账号/设备归属、批量导入预览、批量导入、重置子账号密码、离职回收、授予设备/项目/Skill 权限、套用权限模板和撤销授权，返回账号时不会暴露 passwordHash
GET http://127.0.0.1:3000/api/v1/admin/overview、POST http://127.0.0.1:3000/api/v1/admin/risks/scan 和 POST http://127.0.0.1:3000/api/v1/admin/notifications/dispatch 正常，仅最高管理员可用；风险扫描会把超时 SLA 幂等写入 adminNotifications，派发结果和处置动作写入 adminRiskTimeline
GET/POST http://127.0.0.1:3000/api/v1/admin/skills/requests 正常，仅最高管理员可用；当前支持对指定设备创建 install / update / uninstall / rollback / version_lock 请求，local-agent 会通过设备 token 认领、执行本机 Skill 文件操作或 Git 操作，并把完成状态和最新 Skill 清单回写
当前 Web /me/access 和原生 Android 我的 > 用户与权限 已接入授权管理：最高管理员可在前台创建子账号、授予设备/项目/Skill 权限、套用 只读观察员 / 项目开发者 / 设备操作者 模板、查看同名 Skill 跨设备聚合和撤销授权；admin/member 不显示该入口
当前主 Agent 执行上下文已接入授权快照：主 Agent 生成提示词和任务时只带当前账号可见的设备、项目、线程状态文档、进展事件和 Skill，并在 MasterAgentTask 上记录 authorizedDeviceIds / authorizedProjectIds / authorizedSkillIds / requiredPermissions
多用户 / RBAC / Skill / 主 Agent 权限和多设备控制的集中状态、回归矩阵与缺口清单见 docs/architecture/rbac_skill_regression_matrix_cn.md
GET http://127.0.0.1:3000/api/v1/user/ota/package 正常，当前会返回最新 APK 包
当前这台开发机的 launchd 常驻 local-agent 已恢复：GET http://127.0.0.1:4317/health 现在可在数十毫秒内返回，且在手动 heartbeat 执行期间仍能正常回包
当前 Boss 已新增 src/lib/execution/ 执行底座抽象层；当前生产主链仍然沿用 local-agent -> codex exec resume，只是执行责任已开始通过 ExecutionBackend / PromptAssembler / PermissionPolicy / RemoteRuntimeAdapter / OrchestrationBackend 默认实现收束
当前 claw-code 已以最小 ClawBackendAdapter 形式接入执行底座，但默认关闭；只有在显式配置 BOSS_CLAW_* 且可用性探测通过时，master-agent 当前对话里才会出现并允许选择 claw-runtime
当前已新增最小 Telegram Gateway：Boss 服务器可直接作为 Telegram Bot webhook 入口，把 Telegram 私聊或受控群聊文本桥接进 master-agent 或指定 Boss 项目，并在 master-agent task complete 后自动把结果回推给 Telegram 用户；Android 原生端已提供 TelegramIntegrationActivity，可查看 Bot 状态、配置 webhook、白名单、群聊触发策略和群 / Topic 路由
如果历史上已经保存过 backendOverride=claw-runtime，但当前 Claw Runtime 不可用，运行时会自动回退到默认后端，并在前台显示明确原因
当前 oh-my-codex 已以最小 OmxTeamBackendAdapter 形式接入执行底座，但默认关闭；当前已经接到 Web 群聊详情页 / 原生群资料页的编排后端选择卡，可在 Boss Native 与 OMX Team 间切换，OMX 不可用时会自动回退到默认后端并明确提示原因
当前仓库已自带一个本地 OMX smoke runtime：scripts/omx-team-smoke.mjs。在还没有真实 oh-my-codex 可执行文件时，可以先用它验证 OmxTeamBackendAdapter -> selector -> dispatch_execution -> 回写群聊账本 这条链
当前仓库已自带一个本地 smoke runtime：scripts/claw-runtime-smoke.mjs。在还没有真实 claw-code 可执行文件时，可以先用它验证 ClawBackendAdapter -> backendOverride -> 异步回流 整条链
当前已新增“Boss 统一电脑控制中枢”第一批能力：主 Agent 已能把聊天输入区分为 discussion / development / browser / desktop 四类意图，并能把 browser_control / desktop_control 作为正式任务排入 MasterAgentTask 队列；本机 local-agent 已补上 browser-control-task-runner / computer-use-task-runner 外部 runtime 桥，可通过 browserControl* / computerUse* 配置接入真实 Browser Automation 与 Computer Use 执行器，未启用时会 fail closed，不再假装执行成功
当前电脑控制中枢的生产范围先明确收敛为 macOS：意图路由会给 browser/desktop 控制任务写入 controlPlatform=macos，其中浏览器控制仍走 openai-computer-use，桌面 GUI 控制默认走 codex-computer-use，Codex Computer Use 不可用时再回退 cua-driver-computer-use；Windows 控制入口暂不参与当前运行链路，后续再单独做平台分支
当前 browser/desktop 控制结果已经会作为 control_summary 正式写回会话账本，并保留目标 URL / 应用名；Android 原生端会以单独控制结果卡片展示，便于把“执行什么”和“执行结果”与普通聊天正文区分开
当前 scripts/browser-control-smoke.mjs 已经能对目标 URL 做一次真实最小探测：抓取页面标题并写回聊天结果；桌面 GUI 控制默认先走 scripts/codex-computer-use-runtime.mjs，由 Codex App Server 发起 Codex Computer Use 执行；失败后自动回退 scripts/cua-driver-computer-use-runtime.mjs，通过外部 cua-driver 执行 launch_app -> get_window_state -> 可选 type_text/press_key -> get_window_state 闭环；scripts/computer-use-smoke.mjs 仍保留为旧兜底和回归资产
受控 Mac 需要先安装并授权 cua-driver；Boss runtime 会优先搜索 PATH，再搜索 ~/.local/bin/cua-driver、/usr/local/bin/cua-driver、/opt/homebrew/bin/cua-driver 和 /Applications/CuaDriver.app/Contents/MacOS/cua-driver；如果仍找不到，会明确返回 CUA_DRIVER_COMMAND_NOT_FOUND，不会伪装成执行成功
当前默认本机配置已把 browserAutomation / computerUse 两项能力直接上报为在线起步态，所以 Boss App 里这台 Mac 会显示“可做浏览器控制 / 桌面控制”；如果某条链路要临时收起，只需要改 local-agent/config.cloud.json
当前 local-agent 已新增 Codex App Server runner：boss-agent 默认打开 codexAppServerEnabled，通过 codex app-server stdio 接入 conversation_reply / dispatch_execution，也可灰度切到 ws://127.0.0.1:<port> 或 unix://PATH 本机长驻 App Server；WebSocket/Unix WebSocket handshake 支持 Authorization: Bearer <token>，优先用 codexAppServerAuthTokenFile 保存本地 token。失败时只在 turn 未启动前回退 codex exec resume，避免重复执行同一轮对话。设备 heartbeat 会单独上报 codexAppServer capability，并按 codexAppServerDiscoveryTtlMs 缓存 model/list / skills/list / plugin/list / app/list / modelProvider/capabilities/read 的能力摘要，供 APP/后台模型选择和治理页读取。2026-05-31 起，runner 会吸收 App Server 的 plan / diff / item / subagent 事件并归一到 Boss execution_progress 进度卡，执行中通过 POST /api/v1/master-agent/tasks/[taskId]/progress 实时刷新；后续已补 approvals / warnings / fileChanges / threadStatus / realtime / modelRoute / tokenUsage / mcpServers / remoteControl / threadGoal / threadSettings / compaction / accountStatus / modelVerification / threadCollaboration / toolActivities / reasoningSummary / windowsSandbox 等结构化摘要。Android 原生进度卡可显示线程状态、实时状态、线程配置、线程协作、工具活动、思考摘要、账号状态、运行状态、Windows 沙箱状态、安全提醒、审批状态和文件变更摘要，且不展示完整命令、diff、系统提示词、密钥、SDP、音频原始数据、raw realtime item、remote installationId、本地绝对路径或 Windows sandbox sourcePath。本机 codex-cli 0.136.0-alpha.2 协议快照已生成在 docs/protocol-snapshots/codex-app-server/0.136.0-alpha.2/，新增确认 skills/extraRoots/set。配置 codexAppServerSkillExtraRoots / BOSS_CODEX_APP_SERVER_SKILL_EXTRA_ROOTS 后，runner 会先下发共享 Skill 根，再拉取 skills/list；metadata 只保留根目录数量、basename 和下发状态。当前 Inter-Thread Broker：任务携带源/目标 Codex 线程时可通过 thread/read -> thread/inject_items -> turn/start 完成受控线程协作；服务端新增 POST /api/v1/projects/[projectId]/thread-collaboration 作为 APP/后台可调用入口；任务携带 targetCodexTurnId 时 runner 会改用 turn/steer 干预活跃 turn；新版官方 ThreadItem.collabToolCall 会额外提取目标数量和 agent 状态集合，但仍不保存源/目标线程 ID、prompt 或 agent 私有消息。
当前 App Server heartbeat discovery 已扩展到 experimentalFeature/list / collaborationMode/list / permissionProfile/list / mcpServerStatus/list，设备详情页会展示“治理：实验特性 / 协作模式 / MCP / 权限”摘要；MCP 只保留服务名、工具数量、资源数量和认证状态，permission profile 只保留 id/description，不保存本地路径、resource URI、文件规则、token 或工具参数。
当前 App Server heartbeat discovery 已继续扩展到 account/read / account/rateLimits/read / config/read / configRequirements/read / externalAgentConfig/detect，设备详情页会展示账号、套餐、额度、App 配置、托管要求和外部 Agent 迁移候选摘要；该链路只保存计数、开关和状态，不保存邮箱、API key、完整 config、本地路径、迁移描述或外部 Agent 原始内容。
当前 App Server heartbeat discovery 已新增 thread/list / thread/loaded/list 线程可见性摘要，设备详情页会展示线程总数、已加载线程、活跃线程和最新更新时间；metadata 只保留非归档线程的 id / name / sourceKind / status / updatedAt / loaded 轻量目录，不保存 cwd、本地路径、turn 内容、用户正文或内部 prompt。
当前 App Server heartbeat discovery 已新增 thread/turns/list turn 运行态摘要，设备详情页会展示总轮次、运行中轮次、完成轮次和最新 turn 更新时间；请求固定使用 itemsView=summary，metadata 只保留每个线程的 turn 计数、最近状态、更新时间和最终 agentMessage 安全摘要，不保存用户输入、reasoning 原文、命令输出、原始 items、内部 prompt 或系统提示词。
当前 App Server heartbeat discovery 会把非归档可见线程的最终 agentMessage 合并进 projectCandidates.recentAssistantMessages；服务端据此把 Codex Desktop 自己产生的新回复反向同步到 Boss APP 会话列表、preview、lastMessageAt 和未读数。已有本地扫描候选优先保留 folder/thread 映射，App Server 只补充最新回复摘要。
当前 App Server heartbeat discovery 已新增线程操作能力摘要，设备详情页会展示“线程操作”；该摘要只来自 runner 安全 catalog 和协议快照证明，不会在 heartbeat 中调用 thread/archive / thread/compact/start / thread/shellCommand / turn/interrupt 等写操作。
当前 App Server heartbeat discovery 已支持 skills/extraRoots/set 共享 Skill 根目录下发摘要，设备详情页会展示“共享 Skill 根”；metadata 不保存根目录绝对路径、Skill 文件路径、token 或配置原文。
当前 App Server heartbeat discovery 已支持 hooks/list 钩子治理摘要，设备详情页会展示“Hook”；metadata 只保留 hook 数、启用数、受管 / 可信 / 修改 / 未信任计数、warning / error 计数和事件 / handler 类型，不保存 hook key、command、sourcePath、statusMessage、hash、error message 或本地路径。
当前 App Server heartbeat discovery 已新增插件治理能力摘要，设备详情页会展示“插件治理”；该摘要只来自 runner 安全 catalog 和协议快照证明，不会在 heartbeat 中调用 plugin/install / plugin/uninstall / plugin/share/* 等写操作。
当前 App Server heartbeat discovery 已新增账号与配置治理能力摘要，设备详情页会展示“账号治理 / 配置治理”；该摘要只来自 runner 安全 catalog 和协议快照证明，不会在 heartbeat 中调用 account/login/* / account/logout / config/* / skills/config/write 等写操作。
当前 App Server heartbeat discovery 已新增文件系统与命令会话治理能力摘要，设备详情页会展示“文件治理 / 命令会话”；该摘要只来自 runner 安全 catalog 和协议快照证明，不会在 heartbeat 中调用 fs/*、command/exec/write、command/exec/terminate 等读写或命令控制 API。
当前 App Server heartbeat discovery 已新增外部 Agent 迁移、Marketplace 和实验特性治理能力摘要，设备详情页会展示“迁移治理 / 市场治理 / 实验特性治理”；该摘要只来自 runner 安全 catalog 和协议快照证明，不会在 heartbeat 中调用 externalAgentConfig/import、marketplace/* 或 experimentalFeature/enablement/set 等写操作。
当前 App Server heartbeat discovery 已新增审查、Windows 沙箱和文件搜索事件能力摘要，设备详情页会展示“审查治理 / Windows 沙箱 / 文件搜索事件”；该摘要只来自 runner 安全 catalog 和协议快照证明，不会在 heartbeat 中调用 review/start、windowsSandbox/setupStart 等动作。
当前 App Server heartbeat discovery 已新增 MCP、用户交互和 Guardian 治理能力摘要，设备详情页会展示“MCP 治理 / 用户交互 / Guardian 治理”；该摘要只来自 runner 安全 catalog 和协议快照证明，不会在 heartbeat 中调用 mcpServer/tool/call、item/tool/requestUserInput 或 thread/approveGuardianDeniedAction 等动作。
当前 App Server heartbeat discovery 已新增运行事件、扩展事件和线程生命周期事件能力摘要，设备详情页会展示“运行事件 / 扩展事件 / 线程生命周期”；该摘要只来自 runner 安全 catalog 和协议快照证明，不会在 heartbeat 中主动触发进程、插件、Skill 或线程生命周期动作。
当前 App Server heartbeat discovery 已新增流式增量事件能力摘要，设备详情页会展示“流式增量”；该摘要只来自 runner 安全 catalog 和协议快照证明，用于识别 agent delta、plan delta、reasoning delta、MCP progress、command output 和 file output 这类实时事件，不保存或展示原始增量内容。
GET http://127.0.0.1:4317/api/v1/skills 正常，已返回本机扫描到的 Codex Skill
POST http://127.0.0.1:4317/api/v1/heartbeat 正常，且会顺带触发 thread-context 上报
local-agent 当前每 5 秒轮询一次本机 Skill lifecycle 请求；默认打开 skillLifecycleEnabled=true。远程 install 或带 sourceUrl 的更新必须命中 skillLifecycleAllowedSources 或 skillLifecycleTrustedSources，为空时只允许既有本地 Skill 的 update / rollback / uninstall / version_lock；请求携带 checksum / expectedChecksum 时会校验 manifest.json 或 SKILL.md 的 sha256，失败会清理半安装目录或尽量恢复备份。卸载 / 更新 / 回滚前会在 skillsDir/.boss-skill-backups 保留备份，卸载仍限制在 skillsDir 目录内，版本锁写入 .boss-skill-locks.json
launchd 已加载：~/Library/LaunchAgents/com.hyzq.boss.local-agent.plist

服务器：

服务器地址：106.53.170.158
代码路径：/opt/boss
boss-web.service 正常
caddy.service 正常
postfix.service 正常
dovecot.service 正常
GET http://127.0.0.1:3000/api/health 正常
GET http://127.0.0.1:3000/api/v1/conversations 正常

域名和 HTTPS：

服务器本机 dig +short boss.hyzq.net 返回 106.53.170.158
服务器本机 curl --resolve boss.hyzq.net:443:127.0.0.1 https://boss.hyzq.net -I 返回 307 并跳转到 /auth/login
当前本机网络 dig +short boss.hyzq.net 仍返回 198.18.1.188
当前本机网络 curl -I http://boss.hyzq.net 返回 308
当前本机网络 curl -I https://boss.hyzq.net 返回 HTTP/2 307 并跳转到 /auth/login
当前本机网络 curl https://boss.hyzq.net/api/health 返回 {"ok":true,...}
当前本机网络 curl https://boss.hyzq.net/api/v1/conversations 已返回真实聚合数据
当前本机网络 nc -vz boss.hyzq.net 25 587 993 全部成功

当前结论更新为：

当前网络下 boss.hyzq.net 的 HTTP/HTTPS 已可达
Caddy/TLS 和外部 443 路径都已经能实际返回页面跳转
公网域名下的 Web API 也已经能实际返回健康探针和业务数据
服务器上的 Postfix + Dovecot 已部署完成，公网 25 / 587 / 993 当前也已经可达
但当前网络下 dig 仍显示 198.18.1.188，说明这里可能存在代理层、分裂 DNS 或中间入口，不要再把这个解析值自动当成错误配置

Android APK：

已生成 Android debug APK：android/app/build/outputs/apk/debug/app-debug.apk
已生成 Android signed release APK：android/app/build/outputs/apk/release/app-release.apk
npm run apk:release 还会额外产出带版本号的文件：android/app/build/outputs/apk/release/boss-android-v{versionName}-release.apk
当前最新 release 构建版本：2.5.11（versionCode=24）
当前 APK 已切到原生 Android 客户端：MainActivity + BossApiClient + 原生 XML 布局
真机开发约束：用户已明确切换到当前连接的 OPPO PHZ110（ADB serial U84XJRIB7D65ZH45）；除非用户再次要求切换设备，后续 Android 开发、ADB 安装、交互回归与问题复现统一使用这台 OPPO，不再回退到原 PLB110
OPPO 权限回归建议命令：adb -s U84XJRIB7D65ZH45 devices -l、./gradlew :app:assembleDebug、adb -s U84XJRIB7D65ZH45 install -r android/app/build/outputs/apk/debug/app-debug.apk、adb -s U84XJRIB7D65ZH45 shell am start -W -n com.hyzq.boss/.MainActivity -e initial_tab me，再从 我的 > 用户与权限 确认最高管理员可进入权限页。
Android 真机无线调试如果要尽量稳定，优先使用“同一局域网 + 初次 USB 启用后执行 adb tcpip 5555 + adb connect <phone-ip>:5555”这条链路；它通常比只依赖系统“无线调试配对码”更稳
Android 系统层面对“无线调试”没有真正的永久不掉线开关；重启手机、切 Wi‑Fi、切热点、ADB server 重启、USB 调试被重新切换后，都可能导致无线调试自动失效
真机调试时建议固定同一 SSID、避免代理/VPN 改路、开发者选项里开启“保持唤醒”，并在需要长时间稳定调试时优先保留 USB 兜底；如果必须完全避免自动断开，不要只依赖无线调试
当前原生活动页已经覆盖：会话首页、项目详情、项目目标、版本记录、会话信息、群资料、发起群聊、消息转发、线程详情、设备详情、添加设备、账号与安全、设置、AI 账号、主 Agent 提示词 / 记忆、技能、运维中心、关于
当前原生一级体验已回退到微信式交互：会话 / 设备 / 我的 固定底部 tab，会话首页是简单聊天列表，主 Agent / 审计对话 以普通置顶会话样式排在最前；项目详情页是聊天优先，只保留 项目目标 / 版本记录 两个轻入口
当前会话首页右上角已切回 + 入口：直接从首页发起独立群聊；设备页右上角 +添加 仅最高管理员可见，子账号只保留刷新。
当前会话首页已升级成“项目聚合 + 线程下钻”的结构：如果某个 Codex 文件夹只导入了 1 个线程，会话列表直接显示这个线程；如果同一文件夹导入了多个线程，会话首页只显示该文件夹归档项，点进去再看这个项目下的全部线程
当前会话首页的数据源已分成两层：/api/v1/conversations 继续保留平铺线程视图给群聊创建、转发等内部能力使用；首页和原生根页改走 /api/v1/conversations/home，文件夹归档详情走 /api/v1/conversation-folders/[folderKey]
当前会话搜索仍然保留线程可达性：如果命中单线程项目，会直接进入该线程；如果命中多线程项目里的某条线程，结果会显示 项目 / 线程，点击后先进入项目文件夹页并定位到对应线程，不会把首页重新打平成线程列表
当前首页的 置顶 / 已读 / 时间 / 预览 / 上下文环 都已经按项目会话聚合：单线程项目直接作用在线程，多线程项目则作用在文件夹归档项，文件夹时间和预览取内部最新线程，上下文环取内部最需要关注的线程
当前会话信息页已经支持按微信最新逻辑改线程名；群聊会作为独立新会话创建，默认自动命名，创建后可在群资料页改名
原生顶部安全区当前已补齐状态栏 inset 处理，并把首页 / 会话信息 / 群资料 / 发起群聊 / 转发目标等页面的顶部操作区域收回到可点击安全区内
当前消息转发已经切到微信式链路：长按消息可直接 转发 / 多选 / 复制 / 删除，多选后底部只保留 转发，统一进入原生会话选择页
当前单条消息转发会在目标会话里显示为普通转发消息；多条消息会合并成一张“聊天记录”卡片，不再走旧的备注转发页
当前群聊调度主链已补上第一轮业务闭环：群聊文字消息会先进入主 Agent 生成推荐下发方案，用户确认后创建真正的线程执行单，执行完成后会把线程原始结果回写到群聊，再追加一条主 Agent 汇总
当前 approval_required 群聊已补齐两条审批动作：可以确认主 Agent 推荐，也可以明确拒绝；拒绝后会把群审批状态写成 rejected，并在群里追加系统提示，不会继续下发到线程
当前原生聊天页已把待审批推荐前移到主消息流：ProjectDetailActivity 会直接显示 确认下发 / 拒绝，刷新后也能恢复最近一条待确认推荐
当前 approval_required 群聊在已有待确认推荐时，会拒绝继续生成新的推荐，并提示用户先确认或拒绝当前推荐，避免审批消息叠加
当前三条聊天主链都已接入真实等待链路：主 Agent 单聊 / 普通线程单聊 / 群聊确认下发 当前都会返回任务信息，原生 Android 会保持等待直到收到真实回写或明确超时提示
当前 我的 > AI 账号 已补 登录 OpenAI 平台账号、接入阿里百炼备用账号 与 绑定 Master Codex Node 三条显式入口；OpenAI API 登录成功后会立即设为当前主控，阿里百炼账号会作为备用链路保存
当前 登录 OpenAI 平台账号 已升级成浏览器辅助登录流：会先进入原生引导页，再自动打开 OpenAI Platform 登录页；用户登录后可直接跳到 API Keys 页面，回 APP 粘贴 key 完成接入
当前 AI 账号 页顶部会显式展示“当前主控身份”，并提供 校验主控 / 测试主 Agent 对话 两个动作，切换主控后可直接验证聊天通路
当前阿里百炼备用链已完成一次真实线上闭环验证：手动切到 aliyun-qwen-backup 后，POST /api/v1/projects/master-agent/messages 会返回 queued，并已实际回流 阿里备用链正常。 到 master-agent 会话
当前 我的 > AI 账号 已把阿里百炼备用模型切成预设选择：Web 和原生 Android 都支持直接切换 qwen3.5-plus / qwen3.5-flash，只有在预设不适用时才需要填自定义模型
当前 我的 > 主 Agent 提示词 / 记忆 页面已补：管理员全局主提示词只读展示、用户主提示词、当前对话附加提示词，以及用户通用记忆 / 跨项目项目记忆的新增、编辑、删除接口；当前对话设置按登录账号隔离，管理员全局主提示词不可覆盖
当前 Web 端 master-agent 会话页右上角也已补齐微信式三点菜单，支持直接进入 提示词 / 模型 / 推理强度 / 记忆 / 刷新
当前 approval_required 群聊在 Web 端已统一用单一状态快照驱动：如果有新的待确认推荐，会自动折叠旧的拒绝态；如果上次推荐已拒绝，会明确展示“重新生成新的推荐”的恢复入口
当前 OpenAiOnboardingActivity 在登录成功后会直接给出 测试主 Agent 对话 入口，可一键跳到 master-agent 聊天页
当前主控若还是 Master Codex Node，但节点离线或执行立即失败，主 Agent 会优先尝试已配置的 OpenAI API / 阿里百炼 Qwen 备用账号，避免聊天直接掉成失败日志
当前原生 Android 的聊天发送已改成更短的客户端等待窗口；master-agent 单聊依赖服务端快速入队和消息流里的“思考中 / 超时 / 重试等待”状态，不再要求客户端长时间同步阻塞
当前群资料页已经支持“修复群成员”：如果历史脏群里混入了 master-agent 或失效线程引用，前台会明确提示并允许重新选择真实线程成员，修复后会正式写回群成员账本
当前原生聊天页也会直接提示“修复群成员”：当群里存在失效线程或不可下发成员时，ProjectDetailActivity 会在消息流上方直接给出 去修复 入口，并跳到群资料页完成修复
当前 Web 群聊页也已补上待确认推荐的刷新恢复：群聊详情会在服务端读取最近一条 pending_user_confirmation 的 dispatch plan，并在刷新或重新进入页面后继续显示“等待你确认主 Agent 推荐”
当前设备导入主链已补上真实审核闭环：设备 heartbeat 可上报真实项目候选，服务端会生成 import draft；用户提交勾选后会先排队 device_import_resolution 主 Agent 任务，前台进入“主 Agent 审核中”并自动刷新，任务完成后才写回正式导入建议，再把选中的线程真正落成聊天窗口
当前新设备导入前台已经接通：Web 添加设备 成功后会直接进入“导入项目”步骤；设备页详情里也可再次打开导入草稿。原生 Android 端同样已补 DeviceImportDraftActivity，可完成 勾选 -> 预览决议 -> 应用导入
当前设备导入前台文案与状态卡已收口：会明确显示 等待候选线程 / 等待勾选 / 建议已生成 / 已导入，并在导入后回显真正落到会话首页的线程名
当前已导入设备也支持自动同步项目理解：绑定设备 heartbeat 发现活跃线程有新活动、或线程本身刚回写新结果时，都会自动排隐藏的主 Agent 理解任务，把项目目标、当前进度和技术架构回写到项目理解和项目记忆
当前主 Agent 对活跃线程的同步已经升级成“线程状态文档 + 最近进展事件 + 关键时刻深拉”：heartbeat / thread reply 平时优先追加轻量进展事件，只有在线程首次理解、状态变薄、长时间未全量刷新或主 Agent 真正接手时，才重新触发全量理解
当前 Web 和 Android 都已经提供线程状态只读入口：Web 可直接打开 /conversations/[projectId]/thread-status，Android 可在单线程 会话信息 中进入 ThreadStatusActivity，查看当前目标、阶段、进度、架构、阻塞、建议下一步，以及最近 5 条进展事件
当前 dispatch_execution 完成回写已补幂等：同一个执行单重复完成，不会再向群聊重复追加线程原始回复和主 Agent 汇总
当前当 heartbeat 同时携带旧 projects 和新 projectCandidates 时，服务端会优先走 import draft，不再绕过勾选/应用阶段直接把旧项目目录导入为聊天窗口
当前设备导入 review 已补 owner/admin 鉴权，并改成真正的异步审核链：review 只负责排队 device_import_resolution 任务并返回 queued 状态，等 local-agent 完成回写后才把决议写回草稿和会话账本
当前原生 APP 会话页的“刷新失败”已按当前 tab 的主数据源独立判错：会话 只看会话请求本身，设备 只看设备请求，我的 只在 settings + ota 同时失败时才提示刷新失败
当前 设备 和 我的 根页已收口为简单列表；运维与修复 / AI 账号 / 技能 保留在一级 我的，审计对话 作为置顶会话保留在会话首页
当前原生 我的 根页已开始按登录角色过滤入口：member 只显示个人安全、设置、已授权 Skill 和关于；admin / highest_admin 才显示运维、AI 账号、附件存储和 Telegram 管理入口；用户与权限 仅 highest_admin 可见
原生客户端当前直接调用 https://boss.hyzq.net 的 Boss API，不再打开 WebView
2.0.1 已修复华为真机上因 Theme.SplashScreen 与 AppCompatActivity 不兼容导致的启动闪退
2.1.0 已在本机连接的华为真机上完成签名包覆盖安装与启动复核，原生三栏入口和子活动页声明已全部接通
2.1.1 已补上原生 OTA 下载链路：关于页会直接请求受保护的 /api/v1/user/ota/package，下载完成后可拉起系统安装器
2.2.0 已把原生 UI 从控制台风格回退到微信式简单列表和聊天优先视图，并复核了设备页 / 我的页 / 深层高级入口
2.2.1 已继续补齐原生交互细节：聊天页发送后会先出现本地“发送中”气泡，关于页会展示 OTA 下载进度 / 重试 / 安装授权提示，根 tab 会记住用户上次停留位置并改成“再按一次返回进入后台”
2.3.0 已把会话模型切到“线程 = 聊天窗口”，补上文件夹名副信息、后台活跃数量动态图标、微信式会话信息页、线程改名、独立群聊创建、群资料页，以及 主 Agent / 审计对话 普通置顶会话化
2.4.0 已把消息转发切到微信式原生链路：聊天页支持长按消息操作、多选合并转发、统一目标会话选择页；单条消息转发显示为普通转发消息，多条消息转发显示为“聊天记录”卡片
2.5.0 已补齐聊天附件主链：原生聊天框左侧 + 会打开底部抽屉，支持图片 / 视频 / 文件发送；默认走服务器文件存储，我的 > 附件与存储 可切到阿里 OSS 私有桶；附件消息已支持下载 / 打开、手动分析、自动分析状态，以及带 task token 的主 Agent 附件分析链接
2.5.1 继续收口微信式原生 UI：聊天页普通态顶部已隐藏刷新按钮，只保留右上角“信息”；发起群聊页顶部说明和选择区已压成更轻的会话式密度，候选线程继续复用微信式会话卡片
2.5.2 继续补齐深层原生页：项目目标 / 版本迭代记录 / 会话信息 / 群资料 已进一步向设计图收口；附件消息卡片的分析状态和动作文案也压成了更轻的微信式层级
2.5.4 已把 我的 根页收口成微信式资料区 + 白底菜单列表，并同步把 设置 / 账号与安全 / AI 账号 / 技能 / 运维与修复 的顶部说明从重 soft panel 降成轻量列表说明
2.5.11 已补齐第一批遗漏功能：聊天长按“删除”接通服务端账本删除与实时刷新；原生 我的 > 附件与存储 可直接切换服务器文件存储 / 阿里 OSS；后台通知覆盖所有会话里的主 Agent 回复；browser/desktop runtime 未配置时改为明确失败而不是占位成功
2.5.5 已补上群资料页的“修复群成员”主链：历史脏群会明确提示失效成员，并允许重新选择真实线程成员写回群资料；approval_required 群聊也已补齐“确认 / 拒绝”两条审批动作

本地启动

开发态：

cd /Users/kris/code/boss
npm install
npm run dev

构建态：

cd /Users/kris/code/boss
npm run build
npm start

说明：

npm run build 前会自动清理 .next，避免旧目录残留导致 ENOTEMPTY

默认入口：

登录页：http://127.0.0.1:3000/auth/login
会话页：http://127.0.0.1:3000/conversations
设备页：http://127.0.0.1:3000/devices
平台总后台入口：http://127.0.0.1:3000/enterprise-admin，生产域名 https://admin.boss.hyzq.net/ 根路径直接承载新独立 PC 后台；/admin 仅保留为跳转到根域的兼容入口

设备端本地服务

手动启动：

cd /Users/kris/code/boss
./scripts/start-local-agent.sh ./local-agent/config.example.json

安装常驻 launchd：

cd /Users/kris/code/boss
./scripts/install-local-launchagent.sh

如需把常驻 agent 指回本地开发控制面：

cd /Users/kris/code/boss
./scripts/install-local-launchagent.sh /Users/kris/code/boss/local-agent/config.example.json

构建 macOS 桌面状态应用 boss-agent.app：

cd /Users/kris/code/boss
npm run mac:agent
open dist/boss-agent.app

说明：

boss-agent.app 是本机 local-agent 的 macOS WebView 外壳，默认打开 http://127.0.0.1:4317/boss-agent
未绑定账号时会显示可扫码的 Boss APP 绑定二维码；已绑定后显示账号、API、服务器、授权、本机权限获取和本机 Skill 部署情况
boss-agent 已支持 Mac 端 OTA：打包脚本会发布 public/downloads/boss-agent-mac-latest.zip 与 boss-agent-mac-latest.json；本机 agent 通过 /api/v1/boss-agent/ota/check 检查更新，通过 /api/v1/boss-agent/ota/apply 下载、校验并拉起安装器。安装器会保留所有 config*.json，并优先沿用当前 LaunchAgent active config 或自定义设备配置，避免多台 Mac 覆盖安装时误切回默认设备身份。
正式分发可设置 BOSS_AGENT_CODESIGN_IDENTITY='Developer ID Application: ...' 与 BOSS_AGENT_NOTARIZE=1，再用 BOSS_AGENT_NOTARY_PROFILE 或 Apple ID/team/password 环境变量走 notarytool + stapler 公证；未设置时仍保留本地开发签名 / ad-hoc 回退。
本机权限按 Codex Computer Use 的最小权限模型收敛为 辅助功能 + 屏幕录制 两项；权限页会打开对应 macOS 隐私设置入口，授权完成后由系统持久保存，后续控制过程只静默校验并使用，不在任务执行中临时申请更多权限。
本机状态 JSON 可通过 GET http://127.0.0.1:4317/api/v1/boss-agent/status 查看，不会返回设备 token 明文

device-agent 当前职责：

上报设备状态、账号、5h/7d 额度和项目列表
向云端 /api/device-heartbeat 发心跳
向云端 /api/v1/workers/{workerId}/thread-context 发线程预算更新
递归扫描本机 ~/.codex/skills，并同步到云端 /api/v1/devices/[deviceId]/skills
轮询云端 /api/v1/master-agent/tasks/claim，并用当前电脑已登录的 codex 账号执行主 Agent 任务
将主 Agent 执行结果回写到云端 /api/v1/master-agent/tasks/[taskId]/complete
对普通单线程会话，认领到的 conversation_reply 任务会直接恢复到目标 Codex 线程，并把线程原始回复回写到对应聊天窗口
对已绑定 codexThreadRef 的普通单线程会话，local-agent 会在执行 codex exec resume 前先把 Boss App 里的用户消息镜像进目标 Codex Desktop 线程 rollout，避免 APP 和桌面版同线程历史割裂；定位 rollout 时优先用 state_5.sqlite，不可用时回退扫描 ~/.codex/sessions，并尽量刷新线程活跃时间。镜像成功后会优先调用本机常驻 Codex Desktop Bridge endpoint，再打开 codex://threads/{threadId} 并发送一次安全刷新提示，让桌面版切到目标线程后重新读取记录；endpoint 不可用时回退原命令式刷新。刷新桥默认对短暂失败重试 2 次、间隔 120ms，并保留 deep link 与尝试次数，便于追踪桌面同步是否真正触发。bridge 同时提供 GET /api/v1/codex-desktop/events SSE 和 recent 缓冲，后续 Codex Desktop 插件可直接订阅安全元数据事件；scripts/codex-desktop-event-consumer.mjs 可作为本机订阅 smoke
scripts/codex-desktop-integration-probe.mjs 可探测本机 Codex Desktop 能力，bridge 也提供 GET /api/v1/codex-desktop/capabilities；探测只读 Info.plist 和 app 资源，明确不修改 Codex.app 签名包体
对群聊线程分发任务，认领到的 dispatch_execution 任务会把原始线程结果和主 Agent 汇总一起回写到群聊消息账本
local-agent 对 conversation_reply 当前会优先使用 codex exec resume <targetCodexThreadRef>，只有缺失真实线程引用时才退回 --ephemeral
local-agent 对 dispatch_execution 当前会按 orchestrationBackendId 分流：默认继续走 codex exec resume；当任务显式选择 omx-team 且本机 omxEnabled + omxCommand/omxArgs 可用时，会改走 OMX Team Runtime JSON 协议执行
local-agent 当前的任务完成回写已通过 RemoteRuntimeAdapter 标准化，conversation_reply / dispatch_execution 的完成结果都会先归一到统一远程执行结果结构，再进入主 Agent 完成路由
RemoteRuntimeAdapter 当前还会拦截固定模式的线程内部环境提示（如“当前会话环境只读 / cwd 我可以在命令里指向 …”），并改写成系统失败提示，不再把这类脏文本直接回写到单聊或群聊
当前设备模型已支持同一台 Mac / Windows 同时接入 Codex GUI + CLI 双能力；设备详情页会同时展示两种能力状态，并允许切换默认执行模式
当前同项目 GUI / CLI 并行写入风险已接入项目/文件夹级冲突控制：默认阻断，用户可仅对当前异常项目/文件夹选择 禁止 / 允许本次 / 永久放行
local-agent 当前会先启动本地 4317 健康监听，再异步执行首次 heartbeat 和 task poll，避免控制面短暂阻塞时本地健康检查一起挂死
Codex 项目/线程扫描当前已搬到 worker 线程执行，避免 .codex/logs_1.sqlite 和 state_5.sqlite 的同步扫描阻塞主线程 HTTP 响应
如果某个历史群聊里已经没有真实线程成员，当前不会再表现成“发了没反应”，而是会在群里追加一条 system_notice，提示用户先重新整理群成员
设备导入审核当前已经升级成 local-agent -> codex exec -> complete 的真实任务链；Web 和 Android 前台都会在 pending_resolution 阶段显示“主 Agent 审核中”并自动刷新，审核失败时保留当前勾选以便重新生成
提供本地 /boss-agent、/api/v1/boss-agent/status、/api/v1/boss-agent/ota/check、/api/v1/boss-agent/ota/apply、/health、/api/v1/device、/api/v1/skills、/api/v1/heartbeat

当前常驻默认值：

launchd 默认加载 local-agent/config.cloud.json，控制面指向 https://boss.hyzq.net
local-agent/config.example.json 保留给本地 127.0.0.1:3000 回环开发

部署入口

服务器连接与部署：docs/architecture/boss_server_connection_and_deploy_cn.md
服务器调试 skill：$HOME/.codex/skills/boss-server-debug/SKILL.md
远端部署脚本：scripts/deploy-server.sh
远端邮件部署脚本：scripts/install-server-mail.sh
远端初始化脚本：scripts/bootstrap-server.sh
APK 发布脚本：scripts/publish-apk-to-public.sh
systemd 配置：deployment/systemd/boss-web.service
Caddy 配置：deployment/Caddyfile
平台总后台域名解析：admin.boss.hyzq.net 当前已解析到 106.53.170.158，Caddy 独立站点会把根路径内部 rewrite 到 /admin-web/index.html，浏览器地址栏保持 https://admin.boss.hyzq.net/
服务器 Caddy 还有 gptpluscontrol-boss-caddy-reconcile.timer 周期性重写：如果改域名入口，必须同步更新 /home/ubuntu/build/gptpluscontrol/deploy/server/caddy.boss_hyzq_net.gptpluscontrol.conf，否则会再次生成重复站点块
邮件配置：deployment/mail/
Android 原生入口：android/app/src/main/java/com/hyzq/boss/MainActivity.java
Android API 客户端：android/app/src/main/java/com/hyzq/boss/BossApiClient.java
Android 原生会话页：android/app/src/main/java/com/hyzq/boss/ProjectDetailActivity.java
Android 原生设备页：android/app/src/main/java/com/hyzq/boss/DeviceDetailActivity.java
Android 原生我的页：android/app/src/main/java/com/hyzq/boss/AiAccountsActivity.java、android/app/src/main/java/com/hyzq/boss/OpsCenterActivity.java、android/app/src/main/java/com/hyzq/boss/SettingsActivity.java
Android 微信式 surface contract：android/app/src/main/java/com/hyzq/boss/WechatSurfaceMapper.java
Android 聊天页布局：android/app/src/main/res/layout/activity_project_chat.xml
服务器环境示例：.env.server.example

当前 scripts/deploy-server.sh：

优先从 macOS Keychain 读取 ubuntu@106.53.170.158 的密码
如果 Keychain 不可用，再回退读取 BOSS_SERVER_PASS
当前已明确排除 data/ 目录，部署不会再覆盖服务器上的 boss-state.json
部署脚本当前会先在本机执行 npm run build，再把本机已经验证通过的 .next 构建产物同步到服务器
同步前会先在服务器上删除旧 .next 并修正 /opt/boss 所有权，避免 rsync 被历史 root 产物卡住
服务器当前不再现编 Next standalone，而是直接重启使用本机同步过去的构建产物，避免服务器端 tracing / 权限差异导致部署失败
远端重启服务后会自动执行一次 curl -fsS http://127.0.0.1:3000/api/health

APK 构建：

cd /Users/kris/code/boss
npm run apk:debug

cd /Users/kris/code/boss
npm run apk:release

cd /Users/kris/code/boss
npm run aab:release

说明：

npm run apk:debug 现在会在 Gradle 构建完成后自动执行 scripts/publish-apk-to-public.sh
npm run apk:release 会先准备本机 release keystore，再构建 signed release APK，并发布到 public/downloads
最新 APK 会同步到 public/downloads/boss-android-latest.apk
同时也会额外保留一份带版本号的 APK：public/downloads/boss-android-v{versionName}-{flavor}.apk
npm run aab:release 会先准备本机 release keystore，再构建 signed release AAB，并发布到 public/downloads
最新 AAB 会同步到 public/downloads/boss-android-latest.aab
同时也会额外保留一份带版本号的 AAB：public/downloads/boss-android-v{versionName}-{flavor}.aab
AAB 归档元数据会写入 public/downloads/boss-android-latest-aab.json
OTA 下载入口固定走受保护的 GET /api/v1/user/ota/package
release 签名文件当前放在本机：
- android/keystores/boss-release.keystore
- android/signing/release-signing.properties
- 以上文件已加入 .gitignore，不会进仓库

关键实现说明

当前持久化是真正生效的文件存储：data/boss-state.json
Web 生产启动和服务器 systemd 都显式设置了 BOSS_STATE_FILE，避免 Next standalone 误把状态写进 .next/standalone/data/
Web 生产启动、服务器 systemd 和部署构建当前都显式设置了 BOSS_RUNTIME_ROOT，避免 process.cwd() 在 standalone / 服务器构建阶段误把整个仓库根目录带进 tracing
next.config.ts 已显式排除 deployment / docs / design / local-agent / prompts / scripts / android 等非运行时目录，避免服务器端 standalone tracing 卷入运维资产导致构建失败
文件写入已经改成串行事务队列 + 原子写入 + data/boss-state.json.bak 备份恢复，heartbeat 和 APP 日志并发写不会再互相覆盖
文件状态写入层已默认开启自动历史快照，按 BOSS_STATE_AUTO_BACKUP_INTERVAL_MS 节流生成 data/backups/state-snapshot-*.json，并按 BOSS_STATE_AUTO_BACKUP_KEEP 控制保留数量；最高管理员后台“备份与回退”页可创建手动快照、查看自动快照和恢复到指定快照
当前文件存储里已经包含：
- projects / messages / goals / versions
- authAccounts / otaUpdates / otaUpdateLogs
- threadContextSnapshots / threadHandoffPackages / threadContextAlerts
- deviceEnrollments
- deviceSkills / appLogs
- opsFaults / opsRepairTickets / opsRepairVerifications
- auditRequests / auditResults / capabilities
根布局会挂载 AppLogBridge，前端路由切换、运行时异常、发送消息、OTA 操作都会通过 /api/v1/app-logs 实时同步到服务器
Web 端根布局当前仍保留 NativeAppBridge，用于浏览器态与历史桥接兼容；当前正式 APK 已改为原生 Activity + 原生 API 客户端，不再依赖 WebView
APP 日志桥已经改成会话感知：只会按当前登录账号解析绑定设备，不再在未登录页默认按全局管理员设备写日志
APP 外壳已经从“桌面预览卡片”切回真机态：移动端不再渲染假的 9:41 / 5G 状态栏，底部 会话 / 设备 / 我的 导航固定在视口底部，背景改为全屏 cover，不再出现圆角矩形外壳
原生 Android 当前也和这套产品口径对齐：根页采用微信式简单列表，项目聊天页改成消息流优先，设备 / 我的 页不再展示控制台式统计卡片
原生聊天页当前会即时渲染本地发送中消息，并且只有在用户接近底部或本次发送是主动触发时才自动滚到底
登录成功后的进入首页链路已做稳态处理：会先确认 /api/auth/session 可读，再执行 replace(/conversations)，并附带一次原生级兜底跳转，避免真机 WebView 偶发停留在“正在进入会话首页”
/api/v1/events 已作为 SSE 出口使用，会话页、设备页、技能页和项目详情页会按事件自动刷新，不再只靠手动刷新
我的页新增 技能 入口，/me/skills 会按设备分组展示 Skill，并支持一键复制调用语句
我的页新增 主 Agent 提示词 / 记忆 入口，/me/master-agent 会展示管理员全局主提示词、用户主提示词、当前对话附加提示词、组合预览，以及当前用户的通用记忆和跨项目项目记忆
我的页新增 AI 账号 入口，/me/ai-accounts 会展示主 GPT / 备用 GPT / API 容灾，并明确主链路优先走已登录 ChatGPT Plus / Codex 的 Master Codex Node
AI 账号 页面当前已补上显式 登录指引：手机端不会直接弹出 ChatGPT OAuth；主 GPT 的登录动作必须在绑定电脑上的 Codex / ChatGPT Plus 会话里完成，再回手机端点“测试连接 / 校验连接”
AI 账号 页面当前已升级成双入口：首页会显式展示 登录 OpenAI 平台账号 和 绑定电脑上的 Codex 节点
登录 OpenAI 平台账号 当前通过填写 OpenAI API Key 完成；校验成功后会立即创建/更新 openai_api 主账号，并设为当前主控
绑定电脑上的 Codex 节点 当前会创建/更新 master_codex_node 主账号，并可直接设为当前主控；同时会返回“登录发生在绑定设备上”的明确中文指引
当前公网服务器对 api.openai.com 仍存在出网阻塞；OpenAI API Key 登录入口已经实现，但在服务器恢复出网前，公网校验会返回明确的中文网络错误，建议先切回 Master Codex Node
POST /api/v1/accounts/[accountId]/validate 当前不再只看 nodeId；对 master_codex_node 会同时校验绑定设备是否在线，并在设备离线时返回明确的降级说明
API 容灾当前不走服务器预置 Key，而是由用户在 APP 的 我的 > AI 账号 中自行配置 OpenAI API 账号
设备页当前只展示已接入生产链路的设备，历史演示脏数据已经从正式设备视图、运维视图和审计视图中剔除
本机 local-agent 现在会直接从 ~/.codex/state_5.sqlite / logs_1.sqlite / session_index.jsonl / .codex-global-state.json 动态发现真实 Codex 线程，并在 heartbeat 里上报 projectCandidates
线程发现当前会优先保留每个 Codex 文件夹下的“主工作线程”；如果同一文件夹里同时存在 worker / explorer 这类子线程，会优先过滤掉这些子线程，避免会话首页被子代理线程冲成异常多条
如果某条历史线程在 Codex 本地状态库里是 read-only，local-agent 当前会在候选发现和 codex exec resume 前都直接拒绝这类线程，避免把只读线程误当成可开发线程继续复用
如果某个项目下已经存在历史 worker / explorer 子线程，即使数据库权限后来被改成可写，也不能默认把它们当成主开发线程复用；这类线程往往还带着“只读勘察 / 不改文件”的历史上下文，恢复开发时应优先回到该项目的主交接线程，或先显式补发“解除只读勘察限制”的新用户指令
对已经绑定的生产设备，服务端现在会在 heartbeat 时自动选中建议导入项、生成导入决议并直接应用；因此会话页会自动出现这台设备当前真实运行的 Codex 线程窗口
对已经绑定的生产设备，服务端现在会在 heartbeat 时自动选中建议导入项、生成导入决议并直接应用；如果某个项目下存在多个线程，会话首页会先显示项目归档项，而不是把所有线程平铺在首页
对已经绑定的生产设备，如果某些自动导入线程已经不再出现在最新 projectCandidates[] 中，服务端会在下一次 heartbeat 自动清理这些过时会话，避免旧线程长期滞留首页
认证现在已经有最小会话链路：登录后会写入 boss_session Cookie，默认保持 30 天，会话 / 设备 / 我的 / 线程 页面以及主要 /api/v1/* 接口都要求有效会话；临时免验证登录默认关闭，仅在显式设置 BOSS_AUTH_AUTO_LOGIN=1/true/yes 时启用
新增 GET /api/auth/session、POST /api/auth/logout 与 POST /api/auth/restore
当前同一账号已经支持多个登录端并存；Web 与原生 Android 的 我的 > 账号与安全 可查看和撤销登录会话，最高管理员可以管理所有活跃会话
原生 Android 客户端当前会把 boss_session / restore token / account 存到 SharedPreferences，用于重启后恢复会话
验证码新增防刷与防重放：60 秒冷却、15 分钟窗口限流，登录连续失败 5 次后会锁定 10 分钟
POST /api/auth/send-code 现在会先按用途校验账号状态：登录 / 忘记密码要求账号已存在，注册要求账号尚未注册
当前登录页默认走账号密码或验证码校验，不再把开发兜底作为生产默认能力
POST /api/auth/send-code 当前仍支持 fixed 模式，但验证码登录也必须先申请验证码并消费账本里的有效记录；不能只靠固定码直接登录
新注册和重置密码现在使用 scrypt 哈希；历史 sha256 密码会在下一次密码登录时自动迁移
原生 Android 当前把 ProjectForwardActivity / ThreadDetailActivity / OpsCenterActivity 等复杂能力下沉到二级或更深层入口，不再把线程预算 / 转发 / 运维说明堆在主聊天页和一级我的页
原生 OTA 当前除了整包下载和系统安装器拉起，还会在关于页保留本地下载状态；离开关于页再回来时，仍能看到进行中 / 失败 / 待授权 / 可安装状态
Android 本地 Gradle 验证当前必须串行执行，避免并发 testDebugUnitTest / compileDebugJavaWithJavac / assembleDebug 相互踩坏中间产物
当前默认最高管理员账号：krisolo
当前默认测试密码由线上初始化配置管理，文档不再明文记录
当前本机 Codex 节点 mac-studio 已绑定到 krisolo
主 Agent 对话当前真实执行链路是：Boss Web -> 写入用户消息 -> 返回 queued/running -> master-agent task queue -> local-agent / OpenAI API -> complete task -> project ledger
master-agent 单聊当前已改成“快速入队 + 异步回流”：发送后会立即返回任务包和 masterReplyState，前台先显示“主 Agent 思考中”，真实回复稍后自动回写到账本
原生 Android 当前会把 master-agent 的等待态保留在消息流里：发送后常驻显示“主 Agent 思考中”，超时后改成“主 Agent 回复超时 + 重试等待”，收到新回复后会自动清掉，不再只靠 toast 提示
master-agent 单聊当前已支持当前对话级别的 模型 / 推理强度 覆盖，服务端会优先把该会话的 agentControls 用到实际 OpenAI 回复和 Master Codex Node 执行 prompt 中
原生 Android 当前在 master-agent 聊天页右上角提供微信式 ... 菜单，菜单项包含 模型 / 推理强度 / 会话信息 / 刷新
服务器已经部署 Postfix + Dovecot，邮箱别名 verify@boss.hyzq.net / no-reply@boss.hyzq.net 当前会投递到本机 bossmail 邮箱
应用内 POST /api/auth/send-code 已经支持 email 模式，并可通过 /opt/boss/.env.server 切换；本轮已临时切到 email 模式验证成功，随后恢复默认 fixed
应用内 GET /api/v1/user/ota / POST /api/v1/user/ota / GET /api/v1/user/ota/package 现在已经支持 OTA 状态、检查更新、执行升级和 APK 包下载
GET /api/v1/app-logs 现在已支持登录态下按 deviceId / projectId / level / category / source / cursor 查询日志分页
设备写接口 POST /api/v1/app-logs、POST /api/v1/devices/[deviceId]/skills、POST /api/v1/workers/[workerId]/thread-context 现在都要求有效设备 token 或匹配登录会话
当前认证已具备最小会话 Cookie、restore token 轮换、浏览器 CSRF 基础防护、子账号 MFA 开关、基础跨端会话治理和后台高危操作审计；后续仍可继续补企业 SSO / IdP
当前状态存储默认继续使用 data/boss-state.json；已新增 BOSS_STATE_STORE=postgres 适配层，生产切换 PostgreSQL 时必须配置 BOSS_DATABASE_URL，并先使用 scripts/boss-state-store-maintenance.mjs 做备份、dry-run 迁移和回滚演练
聊天附件当前已支持真实上传、消息落账本、受保护下载和原生打开；默认存储后端为服务器文件存储
当前用户已可在 我的 > 附件与存储 切到阿里 OSS 私有桶，下载链会按附件快照生成签名地址，避免用户后续修改配置后旧附件失效
图片 / PDF / 文本默认自动进入主 Agent 附件分析；视频 / Office / 大文件默认手动触发
当前采用“极轻云 + 本地设备端”的路线，云端只承载 Web、轻 API 和状态文件
服务器侧主 Agent 对话能否返回真实大模型回复，依赖被绑定设备的 local-agent 在线并能执行 codex exec；服务器本身不直接持有主 GPT 会话
原生 Android 当前不再依赖长时间同步等待 master-agent 完整回复；消息发送后会立即进入“主 Agent 思考中”状态，并通过后台轮询刷新真实回复

Languages

Kotlin 39.6%

TypeScript 36.3%

JavaScript 10.9%

Shell 8.4%

CSS 2.1%

Other 2.7%

README.md Unescape Escape

Boss 控制台 MVP