feat: 添加加密凭据恢复与 Windows 会话撤销

docs/contracts/Host-v1契约.md

@@ -27,6 +27,10 @@
 
 凭据保险库解锁前取得独立 `.lock` 文件的 OS 排他锁，持有至手动锁定、错误后锁定或实例销毁。其他实例返回 CREDENTIALS_BUSY，不读取旧快照后继续覆盖写入；错误口令释放临时锁，进程退出由 OS 释放。Windows 禁止在持锁期间替换该锁文件。
 
+Windows 使用独立隐藏窗口注册 WTS 会话通知，锁屏、注销及本地/远程会话断开立即增加凭据撤销代际。新解析和新修改检查该代际，不等待解锁 KDF 的 Mutex；解锁过程中发生撤销则解锁失败。后台清理加密会话，系统解锁不会自动解锁凭据库。通知注册失败时凭据解锁返回 SESSION_MONITOR_UNAVAILABLE，但本地笔记继续可用。设置页每 500 ms 刷新真实锁定状态。
+
+`credentials_backup` 不接受路径参数，以原生保存窗口选择新的 `.onxcred` 文件，只导出加密快照且拒绝覆盖已有文件。`credentials_restore(password)` 通过原生文件选择和原生确认对话框恢复，要求当前保险库已锁定。先验证口令及每条凭据，再保留恢复前的加密文件并原子替换；失败不覆盖现有库，成功后仍保持锁定。口令对应备份创建时的口令，不能通过备份绕过口令遗失。两项命令均不返回秘密或文件内容。
+
 ## 写入及恢复
 
 OS 文件锁配合 Rust Mutex 维持单实例 Vault 写入。Web `serialized_vault_mutation` 使用同一 OS 文件锁；发现 `.ainote/host.sqlite3` 后拒绝 Web 写入，不自动降级。已有个人 Vault 不会被测试读取或迁移。

docs/development/OpenNexus生产化实施进度-2026-09-08.md

@@ -4,6 +4,12 @@
 
 **状态：实施中，未 done，未通过生产发布门禁。** 本文记录工程进度，不将单元测试或开发机运行替代[生产化计划](../architecture/第三阶段生产化工程规划与验收目标.md)中 A–E 的完整验收。
 
+## 持续实施增量
+
+- 已修复多实例凭据覆盖与桌面请求取消/超时，证据见[全量回归](OpenNexus验收修复与回归-2026-09-08.md)。
+- 新增加密凭据备份、原生确认恢复、恢复前留存和逐条完整性验证。Windows 新增 WTS 锁屏/注销/断开通知，原子撤销解析资格；解锁不会随系统返回而自动恢复。设置页同步锁定状态，提供备份和恢复入口。
+- 备份恢复、错误口令保护、锁屏后解析/写入拒绝、原生窗口通知测试通过；后者向专用测试窗口注入消息，不等于真实锁屏时延验收。前端两项交互测试、类型检查、Rust desktop 全目标 Clippy 通过。凭据旧库确认清除和迁移故障矩阵仍待补齐。
+
 ## 已实现的链路
 
 - Rust 管理 Core 进程组；使用 stdin 引导、随机 loopback 端口、HMAC 握手、独立代际与会话令牌。每个请求先认证，拒绝浏览器 Origin、重复鉴权头及旧代际。Host 关闭时关闭管道并清理进程组，重启具有退避和次数上限。