清理废弃模块并完善测试基础设施

docs/QtDesktopPet_测试清单与验收标准.md

@@ -2,6 +2,8 @@
 
 本文档用于全功能统一手测验收。Codex 不调用 CMake 或构建命令；需要编译验证时由用户手动构建并反馈结果。
 
+每次实际执行结果保存到 `docs/test-records/`，不得直接用某次结果覆盖本验收标准。内部自动化入口见 `internal/qa/README.md`。
+
 ## 验收记录格式
 
 每个用例建议记录：
@@ -24,7 +26,7 @@ Qt 版本：
 - 日志不包含完整 API Key、Authorization、完整用户消息正文、完整错误响应正文或完整搜索词。
 - 设置页保存后立即生效，重启后配置仍能读取。
 - 所有损坏 JSON 配置都应备份为 `.broken.yyyyMMdd-HHmmss.json` 后回退默认或忽略损坏数据。
-- 所有涉及本地文件写入的操作必须由用户选择路径，并在执行前显示计划和二次确认。
+- 角色导入/导出、音效导入和历史导出只能使用用户明确选择的路径；覆盖或删除用户数据时必须确认。
 - 不运行 CMake 的自动验证；构建和运行由用户手动完成。
 
 ## 基础窗口与托盘
@@ -37,6 +39,8 @@ Qt 版本：
 | 隐藏托盘 | 托盘菜单隐藏/显示 | 隐藏后动画暂停，显示后恢复 | TODO |
 | 单实例 | 已运行时再次启动 exe | 只有一个进程，已有实例被唤醒 | TODO |
 | 设置页居中 | 多屏或重复打开设置页 | 设置页出现在当前屏幕可用区域内并置前 | TODO |
+| 应用设置持久化 | 修改缩放、性能模式、隐藏暂停、懒加载和缓存设置后重启 | 设置立即生效，重启后保持，动画和窗口尺寸无异常 | TODO |
+| 开机自启动 | 在应用页依次开启、重启检查、再关闭 | 开启时写入当前用户 Run 项且路径正确；关闭时移除；默认关闭 | TODO |
 
 ## 角色管理
 
@@ -59,7 +63,7 @@ Qt 版本：
 | 连接测试 | 点击测试连接 | 成功显示成功；错误配置显示明确错误 | TODO |
 | 普通聊天 | 发送短消息 | `think` 后进入 `talk`，气泡显示回复 | TODO |
 | 流式回复 | 启用流式并发送消息 | 首段前保持 `think`，输出中保持 `talk` | TODO |
-| AI 忙 | 回复中再次发送聊天/天气/搜索 | 不启动第二个请求，显示忙提示 | TODO |
+| AI 忙 | 回复中再次发送聊天/天气/联网请求 | 不启动第二个请求，显示忙提示 | TODO |
 | 取消 AI | 右键取消 AI 请求 | 请求取消，状态恢复，气泡提示取消 | TODO |
 | 历史保存 | 开启本地保存后聊天 | 重启后历史可读取 | TODO |
 | 历史搜索 | 在设置页按关键词搜索 | 只显示匹配记录 | TODO |
@@ -67,6 +71,7 @@ Qt 版本：
 | 导出 Markdown | 导出筛选结果为 `.md` | 文件包含角色、时间、Provider/模型和正文，不含 API Key | TODO |
 | 导出 JSON | 导出筛选结果为 `.json` | JSON 可解析，包含 messages 数组，不含 API Key | TODO |
 | 清空历史 | 点击清空聊天记录并确认 | 内存和本地历史清空，面板刷新 | TODO |
+| 关闭历史保存 | 关闭本地保存后聊天并重启 | 本轮消息只在内存存在，重启后不写入本地历史 | TODO |
 
 ## 定时提醒
 
@@ -90,6 +95,8 @@ Qt 版本：
 | 历史清理 | 构造 21 天前 triggered/canceled 后清理 | 删除 20 天前历史，保留最近 20 天和 pending | TODO |
 | 音效导入 | 导入合法 PCM wav | 可选择、试听、删除 | TODO |
 | 内置音效保护 | 选择内置音效点击删除 | 删除按钮禁用或提示不可删除 | TODO |
+| 睡眠与时间变化 | 睡眠跨过提醒时间；再分别模拟系统时间向前和向后变化 | 唤醒或向前跳变后补扫一次；向后跳变不提前触发 | TODO |
+| 提醒保存失败 | 在隔离测试数据上模拟提醒文件不可写并等待到期 | 保持 pending，不播放、不通知、不显示气泡，后续仍可重试 | TODO |
 
 ## 天气查询
 
@@ -106,73 +113,20 @@ Qt 版本：
 | 默认城市测试 | 设置页点击测试默认城市 | 显示匹配城市/行政区/国家，不自动保存 | TODO |
 | 未知城市 | 输入无法解析城市 | 明确错误，不崩溃 | TODO |
 | 不支持项 | 查询空气质量/预警/穿衣指数 | 明确提示 v1 暂不支持 | TODO |
+| 天气网络失败 | 断网或阻断天气请求后查询 | 明确提示网络/超时错误，UI 不阻塞，恢复网络后可再次查询 | TODO |
 
-## 本地文件操作
-
-当前源码仍保留安全受限的本地文件操作 v1。后续将由本地工作区 Agent 替代；替代完成前，以下用例仍作为回归项保留。
+## 已移除本地能力回归
 
 | 用例 | 步骤 | 预期结果 | 结论 |
 | --- | --- | --- | --- |
-| 读取文本 | 输入读取文本文件请求并选择 txt/md/log | 显示内容预览，最多读取前 64KB | TODO |
-| 非文本拒绝 | 选择 exe/png 等非文本 | 提示只允许常见文本文件 | TODO |
-| 列目录 | 输入列出文件夹请求并选择临时目录 | 显示前 200 项，区分目录/文件 | TODO |
-| 复制文件 | 选择源文件和目标目录 | 显示计划，确认后复制；目标存在则拒绝覆盖 | TODO |
-| 创建备份 | 选择文件备份 | 显示计划，确认后生成 `.backup.yyyyMMdd-HHmmss` 文件 | TODO |
-| 重命名 | 选择文件并输入新文件名 | 显示计划，确认后重命名；目标存在拒绝 | TODO |
-| 危险词拒绝 | 输入删除/覆盖/移动/执行脚本/运行命令 | 明确拒绝，不弹路径选择，不做文件操作 | TODO |
-| 系统目录拒绝 | 尝试选择 Windows/Program Files 下路径 | 提示不允许访问系统目录 | TODO |
-| 符号链接拒绝 | 选择符号链接或链接目录内路径 | 提示不允许操作符号链接路径 | TODO |
-| zip 延期 | 输入打包/压缩请求 | 提示 zip 打包暂不启用 | TODO |
+| 文件操作已移除 | 输入 `读取文件`、`创建 test.txt`、`复制文件` | 不弹文件选择框，不读取或修改本地文件；按普通 AI 对话处理 | TODO |
+| 应用启动已移除 | 输入 `打开 Codex`、`启动酷狗音乐` | 不弹 exe 选择框或确认框，不启动任何程序；按普通 AI 对话处理 | TODO |
+| 工作区 Agent 已移除 | 输入 `打开工作区`、`分析这个项目`、`含 class 的文件` | 不扫描目录、不弹 Agent 窗口、不访问本地项目；按普通 AI 对话处理 | TODO |
+| 菜单入口清理 | 检查桌宠右键菜单和托盘菜单 | 不再出现 `Agent 工作区` 入口 | TODO |
+| 设置页清理 | 打开设置页 | 不再出现 `应用启动` 和 `Agent` 页面；应用页仍有 `开机自启动` | TODO |
+| 快捷键清理 | 按 `Alt+A` | 不再呼出 Agent 窗口，不影响其他快捷键或输入 | TODO |
+| 旧配置兼容 | 用户目录保留旧 `launcher_config.json`，`app_config.json` 保留 `agent` 对象后启动 | 程序不崩溃，不读取旧能力配置；保存应用配置后不再写入 `agent` | TODO |
 
-## 本地工作区 Agent
-
-v1a.1/v1b/v1b.5 已接入工作区只读分析、打开定位和独立 Agent 窗口；创建、修改、移动、删除到回收站仍属后续阶段。正式施工计划见 `docs/agent/DesktopPet_本地工作区Agent_施工计划.md`。
-
-| 用例 | 步骤 | 预期结果 | 结论 |
-| --- | --- | --- | --- |
-| 选择工作区 | 选择普通项目目录 | 显示当前工作区并扫描索引 | TODO |
-| 系统目录拒绝 | 选择 `C:/Windows` 或 `Program Files` | 拒绝作为工作区 | TODO |
-| 扫描跳过目录 | 工作区含 `.git/build/node_modules/release_packages` | 扫描跳过这些目录，结果数量受限制 | TODO |
-| 搜索文件名 | 输入 `搜索 README` | 返回最多 30 个相对路径结果 | TODO |
-| 独立 Agent 窗口 | 输入 `搜索 README` | 独立窗口展示上一轮结果，可选中结果；左侧结果/文本命中/上下文、中间对话、右侧详情分区清晰 | TODO |
-| 窗口非客户区 | 打开独立 Agent 窗口 | 没有白色系统标题栏，标题区与整体深色 UI 协调，顶部可拖动移动窗口 | TODO |
-| 搜索文本 | 输入 `搜索包含 class 的文件` | 返回路径、行号和片段，跳过二进制和敏感文件 | TODO |
-| 紧凑文本搜索 | 输入 `含class的文件`、`包含 class 的文件`、`找一下含 class 的文件` | 走 Workspace 文本搜索，不弹旧文本文件选择框，关键词提取为 `class` | TODO |
-| 文本命中窗口 | 输入 `搜索包含 class 的文件` | 独立窗口展示文本命中和关联文件列表，选中文本命中时右侧详情同步 | TODO |
-| 读取文本文件 | 输入 `读取 main.cpp` | 读取工作区内文本文件，超大文件截断 | TODO |
-| 窗口读取 | 搜索后在独立窗口选中结果并点击 `读取` | 读取选中文本文件，目录项读取按钮禁用 | TODO |
-| 敏感文件拒绝 | 读取 `.env`、`*.pem`、`credentials.json` | 默认拒绝或强确认，不展示敏感内容 | TODO |
-| 项目结构摘要 | 输入 `分析这个项目` | 显示本地结构摘要；AI 可用且空闲时补简短分析 | TODO |
-| 文件总结 | 读取文件后输入 `总结这个文件` | 显示本地内容，AI 可用且空闲时补简短总结 | TODO |
-| 文件分析同义词 | 读取 `main.cpp` 后输入 `分析这个文件`、`解释这个文件`、`看看这个文件` | 走 Workspace 最近读取文件分析，不弹旧文本文件选择框 | TODO |
-| 文件名分析 | 输入 `分析 main.cpp`、`解释 README`、`main.cpp 是干嘛的` | 走 Workspace 文件读取和 AI 分析流程，不落入普通 AI 对话 | TODO |
-| 总结无上下文 | 未读取工作区文件时输入 `总结这个文件` | 提示先读取一个工作区文件或输入具体文件名，不弹旧文件选择框 | TODO |
-| 读取文件泛请求 | 输入 `读取文件` | 仍走旧 fileops 文本文件选择流程 | TODO |
-| 上下文引用 | 先搜索 README，再输入 `读取第一个` | 正确引用上一轮结果；上下文过期则要求重新选择 | TODO |
-| 打开文件 | 先搜索 README，再输入 `打开第一个` | 弹出确认框，确认后用系统默认程序打开；取消不打开 | TODO |
-| 窗口打开 | 搜索后在独立窗口选中结果并点击 `打开` | 文件弹确认后打开；目录直接打开 | TODO |
-| 打开目录 | 输入 `打开 docs` 或 `打开这个项目里的 docs` | 打开工作区内目录 | TODO |
-| 显示位置 | 输入 `显示 main.cpp 所在位置` 或 `打开所在文件夹` | 打开工作区内文件所在目录 | TODO |
-| 窗口显示位置 | 搜索后在独立窗口选中结果并点击 `位置` | 打开选中项所在目录 | TODO |
-| 右键入口 | 右键桌宠选择 `Agent 工作区` | 独立 Agent 窗口打开；未选择工作区时显示空状态，不强制选择目录 | TODO |
-| 托盘入口 | 托盘菜单选择 `Agent 工作区` | 独立 Agent 窗口打开；桌宠隐藏时也可直接打开窗口 | TODO |
-| 默认快捷键 | 按 `Alt+A` | 呼出独立 Agent 窗口 | TODO |
-| Agent 设置 | 设置页 `Agent` 页关闭快捷键或修改快捷键后保存 | 快捷键立即按新配置生效，非法/冲突快捷键有明确提示 | TODO |
-| 自动显示设置 | 关闭 `工作区命令完成后自动显示 Agent 窗口` 后输入 `搜索 README` | 搜索正常完成，但独立窗口不自动弹出；手动入口仍可打开 | TODO |
-| 打开敏感/危险文件拒绝 | 尝试打开 `.exe/.ps1/.lnk/.env/*.pem/credentials.json` | 明确拒绝，不调用系统打开 | TODO |
-| 打开路径越界拒绝 | 尝试打开工作区外、系统目录、符号链接路径 | 明确拒绝 | TODO |
-| 创建误分发修复 | 输入 `创建 test.txt` | 提示当前不支持创建/写入，不弹读取文本文件选择框 | TODO |
-| 写入误分发修复 | 输入 `新建文件`、`写入 README`、`修改 main.cpp`、`修复 main.cpp`、`优化 main.cpp` | 明确拒绝当前阶段写操作，不弹读取文本文件选择框 | TODO |
-| 危险能力拒绝 | 请求运行脚本、执行命令、自动安装依赖、自动 git commit | 明确拒绝，不调用系统命令 | TODO |
-
-后续阶段验收项：
-
-| 用例 | 步骤 | 预期结果 | 结论 |
-| --- | --- | --- | --- |
-| 创建文件 | 创建 `test.txt` | 展示计划，确认后创建；目标存在拒绝 | TODO |
-| 修改文件 | 修改普通文本文件 | 展示计划，确认后写入；写入前生成备份 | TODO |
-| 移动/重命名 | 移动或重命名单文件 | 展示计划，确认后执行；工作区外和覆盖目标拒绝 | TODO |
-| 删除到回收站 | 删除普通文件 | 强确认后移动到回收站；永久删除和批量删除拒绝 | TODO |
 
 ## 联网模式
 
@@ -189,23 +143,34 @@ v1a.1/v1b/v1b.5 已接入工作区只读分析、打开定位和独立 Agent 窗
 | 设置页状态 | 切换 OpenAI/Gemini/DeepSeek/Custom | “联网模式”页即时显示可用/不可用/无法确认状态 | TODO |
 | 设置页测试 | 点击“测试联网模式” | 支持 Provider 发起测试，不支持 Provider 直接显示原因 | TODO |
 | 旧失败回归 | 打开联网后询问 `美国的首都在哪里` | 不再返回搜狗/360 帮助、登录、反馈页 | TODO |
-| 意图优先级 | `明天早上提醒我看天气` / `把天气截图保存到桌面` | 仍优先走提醒或文件操作，不受联网开关影响 | TODO |
+| 意图优先级 | `明天早上提醒我看天气` / `把天气截图保存到桌面` | 前者走提醒；后者可走天气或普通对话，但绝不触发本地文件保存 | TODO |
+| 联网开关双向记忆 | 启用记忆后分别执行关到开、开到关，不发送消息直接关闭并重开输入框 | 两个方向都保存最后状态；关闭记忆后使用默认开关值 | TODO |
+| 联网网络失败 | 支持 Provider 下模拟断网、超时或服务端错误 | 明确提示失败，状态恢复，可重新发起请求，不泄露完整错误正文 | TODO |
 
-## 应用启动
+## 配置兼容与隐私
+
+所有损坏测试都必须先备份用户数据，优先使用隔离测试账户或临时配置副本。
 
 | 用例 | 步骤 | 预期结果 | 结论 |
 | --- | --- | --- | --- |
-| 设置页登记 | 添加一个 `.exe`，填写名称和别名后保存 | 重启后登记项仍存在 | TODO |
-| 已登记启动 | 输入 `打开 <别名>` | 弹出确认框，确认后启动对应 exe | TODO |
-| 未知应用手选 | 输入 `打开酷狗音乐` 且未登记 | 弹出 exe 选择器，选择 `.exe` 后弹确认框 | TODO |
-| 记住手选应用 | 手选 exe 时勾选记住 | 后续同名请求直接命中登记应用并仍需确认 | TODO |
-| 用户取消选择 | 未知应用弹出选择器后取消 | 不启动任何程序，无配置写入 | TODO |
-| 用户取消确认 | 选择或命中应用后取消确认 | 不启动任何程序 | TODO |
-| 拒绝脚本 | 尝试选择 `.bat/.cmd/.ps1/.vbs/.js/.msi` | 被拒绝，不启动 | TODO |
-| 不执行命令 | 输入“运行 powershell 命令” | 不执行聊天文本命令；按安全规则拒绝或走普通聊天 | TODO |
-| 文件操作优先 | 输入 `打开文件夹` | 走文件操作或文件操作拒绝路径，不走应用启动 | TODO |
-| 设置页测试启动 | 选中登记应用点测试启动 | 先二次确认，确认后启动 | TODO |
-| 设置页开机自启动 | 应用设置页勾选/取消“开机自启动”并保存 | 当前用户 Run 注册表项写入/移除，重开设置页状态与实际注册表一致 | TODO |
+| App 配置损坏 | 写入非法 `app_config.json` 后启动 | 原文件备份为带时间戳的 broken 文件，程序使用默认配置启动 | TODO |
+| AI 配置损坏 | 写入非法 `ai_config.json` 后启动 | 备份损坏文件，AI 回退未配置状态，不泄露旧 Key | TODO |
+| 天气配置损坏 | 写入非法 `weather_config.json` 后启动 | 备份损坏文件，天气使用默认配置 | TODO |
+| 联网配置损坏 | 写入非法 `web_config.json` 后启动 | 备份损坏文件，联网开关使用默认配置 | TODO |
+| 提醒数据损坏 | 写入非法 `reminders.json` 后启动 | 备份损坏文件，不崩溃、不触发错误数据 | TODO |
+| 历史数据损坏 | 写入非法 `conversation_history.json` 后打开历史 | 备份损坏文件并忽略，历史面板可继续使用 | TODO |
+| 日志隐私 | 覆盖正常请求、错误 Key、错误 Base URL、天气和联网失败 | 日志不含 API Key、Authorization、完整消息或完整错误响应 | TODO |
+
+## 自动化验证
+
+内部 QA 与发布构建隔离。用户配置好 Qt 测试构建后执行核心逻辑测试；不需要编译的静态检查可直接执行：
+
+```powershell
+powershell -NoProfile -ExecutionPolicy Bypass -File internal/qa/scripts/Invoke-StaticChecks.ps1
+```
+
+当前自动化覆盖意图分发、提醒解析和类型、天气解析和模板、联网能力检测、聊天历史兼容，以及源码登记、废弃模块残留、默认资源和 GitHub 导出隔离。真实窗口、托盘通知、音效、网络 Provider、安装卸载仍按手测执行。
+
 
 ## 发布与性能
 
@@ -244,8 +209,6 @@ UI 状态：
 | 提醒 | `CommandDispatcher -> ReminderCommandHandler -> ReminderManager` | 创建/查询/取消一次性和 daily/weekly/monthly；到点先保存 JSON，再播放音效和展示/通知 | 保存失败回滚内存，不播放、不通知、不气泡；隐藏和 AI 忙只发系统通知；拖动中进入可见队列；20 天前历史可清理 | 系统通知是否真正弹出受 Windows/托盘后端影响，Qt 只能确认发起状态 | v2 行为保持，复杂重复规则、跨平台通知、自定义稍后间隔延期 |
 | 角色 | 设置页角色页和 `CharacterPackageRepository` | 导入先验证再复制；切换保存后立即生效；用户角色可删除；任意角色可导出；可打开用户角色目录 | 内置角色不可删除/覆盖；导出目标存在需二次确认；损坏角色包不复制 | 目标目录权限失败、用户取消、角色包资源缺失 | 当前角色管理补全完成，角色市场/分享延期 |
 | 历史 | 设置页聊天页和 `ConversationManager/ConversationStore` | 新消息写入 `timestamp/provider/model`；旧 role/content 历史兼容读取；支持关键词、Provider、模型筛选；Markdown/JSON 导出 | 本地历史关闭时只显示内存记录；损坏历史备份后忽略；导出路径不可写时提示错误 | 超大历史由保存上限和筛选 UI 控制；导出文件由用户选择路径 | 历史管理补全完成，不导出 API Key，不记录完整聊天日志 |
-| 文件操作 | `CommandDispatcher -> PetWindow::handleFileOperationChatMessage() -> FileOperationManager` | 用户通过系统对话框选择路径；读取文本、列目录、复制、备份、重命名；写操作先展示计划并二次确认 | 删除/覆盖/移动/脚本/命令/截图保存/zip 直接拒绝；系统目录、符号链接、目标冲突、非法文件名均拒绝 | 文件选择对话框是安全边界；系统目录根据常见路径和环境变量识别 | v1 安全能力完成，zip 打包延期，不引入重依赖 |
-| 本地工作区 Agent | `CommandDispatcher -> PetWindow::handleWorkspaceChatMessage() -> WorkspaceController -> WorkspaceAgent/WorkspaceTool -> WorkspaceAgentWindow` | v1b.5 用户选择工作区后，扫描索引、搜索文件/文本、读取文本文件、生成本地摘要，AI 可用时补简短分析，并支持打开普通文件、打开文件夹、显示所在位置、独立 Agent 窗口、菜单入口和全局快捷键 | 工作区外路径、系统目录、符号链接、危险后缀、敏感文件、命令执行均拒绝；打开文件前确认；AI 忙时不阻塞本地结果 | 路径归一化、符号链接逃逸、敏感文件判断、意图误判、全局快捷键冲突是核心风险；写操作仍未进入当前阶段 | v1a.1/v1b/v1b.5 独立窗口化已落地；低风险写操作计划留到后续 |
+| 本地能力收缩 | `CommandDispatcher -> Reminder / Weather / Chat` | 本地文件、应用启动和工作区 Agent 文本不再进入系统工具链，且旧配置只被忽略 | AI 仍可能解释如何手动操作，但不得声称已访问文件、启动程序或执行命令 | 重点防止残留入口、旧配置读取和意图枚举引用 | 三个本地高权限模块已从当前产品中移除 |
 | 联网模式 | `ChatInputDialog -> PetWindow::submitWebChatMessage() -> WebChatManager` | 输入框联网开关开启后，支持 OpenAI 官方 Web Search 和 Gemini Google Search grounding；记住开关状态时用户切换会立即保存 | AI 未配置、Provider 不支持、超时、网络失败、无来源均明确提示；Web 忙时不启动第二个请求 | 不再维护旧搜索源聚合或 SearXNG 旧配置 | 联网模式完成，结构化搜索 API/自建后端延期 |
-| 应用启动 | `CommandDispatcher -> PetWindow::handleLaunchAppChatMessage() -> AppLaunchManager` | 用户输入打开/启动应用后，按登记别名、开始菜单、App Paths、手选 exe 顺序解析，启动前二次确认 | 配置关闭、未找到应用、用户取消、非 exe/lnk、脚本/安装包、路径不存在均不启动；手选记住失败只提示，不影响已确认启动 | 启动成功由系统返回值判断，目标应用自身异常不由桌宠控制；开始菜单和注册表发现仅 Windows 优先 | v1 完成，不支持脚本、命令行参数、管理员权限、跨平台发现 |
-| 发布/性能 | `tools/package_release.ps1` 和 `docs/performance_stability_check.md` | 发布脚本复制 exe、Qt runtime、角色/图标/音效资源、README、LICENSE；性能文档覆盖静置、AI、提醒、天气、联网模式、文件操作 | `windeployqt`、Inno Setup、安装/卸载验证需用户手动执行并记录 | 未经手动构建和实机安装不能确认二进制运行 | 验收入口已补齐，本轮不运行 CMake 或构建命令 |
+| 发布/性能 | `tools/package_release.ps1` 和 `docs/performance_stability_check.md` | 发布脚本复制 exe、Qt runtime、角色/图标/音效资源、README、LICENSE；性能文档覆盖静置、AI、提醒、天气和联网模式 | `windeployqt`、Inno Setup、安装/卸载验证需用户手动执行并记录 | 未经手动构建和实机安装不能确认二进制运行 | 验收入口已补齐，本轮不运行 CMake 或构建命令 |