Desktop desktop-v1.3.7

release: desktop v1.3.7 — 一个 dev server + 客户回顾工作台 (#78)

## 面向用户

**客户回顾工作台**(莫秀文)—— 从本机微信归档里抽取"承诺"(如"我周五前把方案发你"),标出有聊天依据的待办,可确认/修订。需要
wxvault 插件。
**桌面水族箱陪伴交互**(莫秀文)。
**文件搜索收紧**:agent 的文件搜索不再默认搜 `~/Documents` 等目录,必须传明确路径。这是行为变更 ——
如果你习惯让它"帮我找预算表",现在需要说清楚在哪找。

## 安全与稳定(本次发布前评审所修)

`45a5211`(60 文件/8238 行)此前从未经过第二双眼睛。发布前做了三方独立评审(daemon 核心 / API 权限层 /
桌面前端),共修复 19 条:

- **admin operator token 曾进入 webview 的 JS 堆** —— 此前它被刻意关在 Rust 宿主里。新增
`customer_review_api` 宿主命令把它关回去,并删掉 CLI 的 `--operator` 口子。(降成 trusted
的方案经查危险:普通聊天会话就是 trusted 级。)
- **daemon 启动被 wxvault MCP 握手拖住**,无超时、部分路径抛错会让 daemon 直接退出 ——
最坏两分钟微信侧失联。
- **`api.js` 把整个桌面所有 POST 变成失败即重发**(含超时)—— 会导致同一封笔友信投递两次、记忆综合跑两遍。
- 客户回顾自身:静默截断成最旧 2000 条却报成功、一句话两个承诺丢一个、分析中重启永久卡死、未结承诺超 40
条炸掉整次分析、wxvault 快照被钉死在启动那一刻。
- 前端:wxvault 没装被说成"稍后再试"(永远不会好)、改到一半的草稿被其它操作冲掉、重新分析失败时毫无反应。

## 开发者

`dev-server.ts` 与 `test-shim.ts` 合并为一个 dev server,四个显式入口:`dev`(Tauri
应用)/ `dev:web`(浏览器 + 真 CLI + 真 daemon)/ `dev:mock`(Playwright)/
`dev:unsafe`。浏览器模式默认只转发已知只读的 CLI 命令(`dev-guard`),`/__invoke` 拒绝跨站。

## 验证

CI 三平台绿;全量 3993 通过;`bunx tsc --noEmit` 干净;`cargo check`
通过;customer-review e2e 8/8;desktop Playwright 与合并前逐条一致。

🤖 Generated with [Claude Code](https://claude.com/claude-code)

---------

Co-authored-by: 莫秀文 <moxiuwen@moxiuwendeMacBook-Pro.local>
Co-authored-by: Claude Opus 4.8 <noreply@anthropic.com>