用途与实际影响
这项功能怎样使用
为什么需要它
手机上看不见一份旧文件，可能是本人删除，也可能只是改名、移到另一个目录，或上次由AI清空。如果不先分清，再做本次清理，就可能误删电脑原件，或者把本人已经删除的照片反复恢复回来。新增文件又必须先有两盘可靠副本，才能精确清理手机。
举个实际例子
“我在手机删了几张旧照片，也拍了新照片。下次接上时把删掉的旧件同步退出电脑，新文件存好后尽快告诉我能不能拔线。”AI会先对照上次真正完成的手机回写，核对删留，再给新增文件补齐两盘副本。拿不准的旧件先保留；它会分别说明删除了什么、新存了什么、手机是否已清空，以及哪些还没回写。
最后我会得到什么
拿到两组结果：旧受管图片/视频的同步删除、移动保留与未决项；新增共享文件的两盘保全、精确清空和可拔状态。电脑再离线整理并展示本批保留结果，准备好后第二次连接回写。电脑原件和本地手机包退出，不等于G/H镜像或云端已经删除。
成功时
旧文件删留依据清楚，确认本人删除的受管图片/视频退出电脑原件和本地手机包；新文件两盘核对与手机精确清空都完成后告知可拔。后续整理、回写和备份另报结果。
发现问题时
改名、移动、AI上次清空、未完成回写或前态不明时，不按缺失直接删电脑原件。独立的新文件保全可以继续；尚未核清移动去向时，先保住判断依据，不继续AI清空制造假删除。
入口不可用时
手机或来源目录不可读、设备身份不符、缺上次完整回写或任一副本不能核对时，说明受影响分支并保留原件和成功副本；整根离线不是本人删掉整库。
从哪里开始
连接手机后，说明要保全新共享文件并核对已在手机删掉的旧照片。
需要准备什么
- 这次要处理的手机和共享文件范围
- 本人想同步退出的旧件或对不确定旧件的选择
从开始到拿到结果
- 1
先看上次究竟写回了什么
连接准确的手机，在本次AI清空之前核对上次完整且真实验过的回写记录；只有能对应电脑原件的受管图片/视频才进入旧文件删留判断。
- 2
分清本人删除和文件换了位置
原位置没有文件时继续核对同内容是否移名、移动或在另一共享目录；回收站内容按本人已删处理。AI清空、访问失败和未完成回写不算本人删除，未知先保留。
- 3
让确认删掉的旧件退出电脑
核对内容、大小和当前定位后，退出对应电脑原件、索引和本地手机恢复包；不动同名但内容已变化的文件，也不从旧备份补回来。G/H镜像待原任务同步，真正云端删除单独处理。
- 4
新增文件先有两盘可靠字节
复用媒体库或材料库已经核对的相同内容，只补缺少的副本；新照片、视频、文档、压缩包和范围内其他共享文件都先保全，再分别交相应项目。
- 5
清空已保全的精确文件，再告知可拔
两盘逐项核对通过后，只清这次已确认的手机文件，不递归删目录。隔离与删除收稳后及时告知可拔；提前断线就保留清空待办，不把备份成功说成清空完成。
- 6
电脑整理完，再连接回写
离线完成分类、保留结果和恢复差异，主动报告未决项；准备好后再次连接，按手机当时真实差异回写。三阶段与各层副本各自验收。
技术实现与依据
这里保留实现、关键条件、精确入口、历史记录和验证结果。
现行流程要求 E/G 两份异卷副本逐项回读；本轮没有连接手机，指定真机清理测试保持跳过关键规则与设计选择
新三阶段采用两次连接：去重保全/E-G核验/精确清空后可拔，电脑离线整理并展示本批最终保留页，准备就绪后再按手机现场差异回写。
capture在AI清空前读取最后完整回写事实，已证用户从手机删除的受管图片视频同步退出电脑原件与本地手机包；移动/profile变化、回收站、AI既有清空和不可读分别判断。未知不删，不用数量门阻止整分类删除；G/H由原备份任务跟随，实际云真删另行结算。
固定设备 model=2410DPN6CC，serial SHA-256=0a1ebafeb85915caf5f0181167f15ed264f6d9776215c183df0d9fb9dcb34a0b；共享 profile 固定为 0 / 999。
由另一来源 Owner 负责的共享根、恢复包 Images/Videos、Android/应用私有/系统边界和 .nomedia 不进入保全分母；其他 regular files 包括非媒体与技术 cache 先保全。
每次 capture 分配 fresh、不可复用 run-id；manifest（清单） 与 frozen delete plan 互相绑定哈希。
最多尝试 3 个稳定 generation（代际）；远端事实漂移或 stale artifact 要求 fresh capture。
双盘回读完成及时通知数据安全，精确清空后可拔；离线整理和差异准备结束后再连接回写，不能把第三阶段漏作整体完成。
旧手机保全回执 h_cold_backup=not_used_current_h_health_warning；E/G 双保全不冒充 H 冷备或三副本。
删除只允许精确文件，不递归目录；单一全局锁和 no-clobber 文件写入阻止并发/覆盖旧代。
phone-prepare 只消费 manifest（清单） 中图片/视频 kind=media；文档不进视觉批次，手机录音自动归位/索引当前仍未证明。
本模块用到的名词
- Preservation denominator（保全分母）
- 本次真正由手机共享来源负责、尚未由其他来源承担的新文件集合。
- Dual preservation（双重保全）
- 同一文件在 E/G 两个异卷上都完成 bytes 与 SHA-256 回读。
- Clear state（清空状态）
- 手机端精确文件是否已隔离/删除的独立结果；与双盘保全分开。
- Quarantine recovery（隔离恢复）
- 同一 plan-hash 的隔离文件存在且 bytes/hash（内容指纹） 匹配时，重跑删除会完成清理并记录 RECOVERED_QUARANTINE_DELETED；不匹配且源缺失时先尽力移回源再失败，残留 quarantine 永远不能 PASS。
专业定义
手机连接只做不可替代的全共享文件捕获和精确清理；媒体、文档、ZIP、未知扩展名与技术缓存都先防丢保全，视觉判断、语义分流、索引和恢复计划不占用这根线。
解决什么
解决长时间占用手机、单盘副本假安全、备份与清空混淆、系统边界误收和递归删除风险。
当前怎样实现
- Device 要求唯一在线设备、model=2410DPN6CC、serial SHA-256=0a1ebafeb85915caf5f0181167f15ed264f6d9776215c183df0d9fb9dcb34a0b 与 profile 0/999 均匹配。
- REMOTE_FACT_SCRIPT 用 NUL framing 返回 path/status/size/mtime/hash，并按 64 项与 24 KiB 命令上限分批，避免路径字符破坏解析。
- capture对纳入分母的regular files最多取得3代稳定远端事实，先按SHA-256合并出现位置并查询媒体/材料库已核验原件；已有内容复用并补E/G缺口，每个真正新增哈希只pull一次。每个来源仍保留自己的路径、时间和精确清空责任，manifest（清单）/delete plan继续绑定本次run。
- protect-to-g 写 G 异卷；verify-backup 把 manifest（清单）、delete plan、设备身份、E/G bytes/SHA 全部绑定到 receipt（执行回执）。
- delete 要求同一当前设备、有效 backup receipt（执行回执）、精确 run-id 与 --execute，再核对路径/大小/哈希后逐文件删除；不删除目录。
- 全局 lock、防覆盖 write_json_once 与 fresh run root 共同避免并发和旧 artifact 被静默复用。
- capture在本次AI清空前，以同一设备最后完整回写记录为前态核对受管图片/视频；按内容SHA-256、大小和现行locator（原件定位记录）确认本人删除，更新E原件、索引/种子、phone-recovery选择及G实际手机包。
- 移动/profile变化、回收站、AI既有清空、未完成写回、不可读和内容漂移分别分类；未知不删，整个可读分类被本人删除时不另设数量门。移动观察未完成时先补齐，再允许会影响判断的AI清空。
- phone-reconcile-deletions --run-id默认只核对，--execute才消费当次手机选择。G/H canonical镜像交既有备份任务收口，未回读保持待同步；本条只更新云候选/待退，不执行真实云删除。
执行流程
- 1
确认精确设备、共享边界及最后完整手机回写前态。
- 2
capture在任何本次AI清空前核对旧受管图片/视频的删留、移动、回收站及未知。
- 3
确认本人删除时核对现行内容身份，退出E原件、索引/种子与G实际手机包；记录G/H镜像待同步和云待退。
- 4
未知旧件保留；独立新增文件按内容跨媒体/材料库去重，取得稳定远端事实并补E/G副本。
- 5
绑定本次run-id、manifest（清单）、delete plan及两盘bytes/SHA-256回执。
- 6
精确删除已保全手机文件，收稳隔离状态后报告数据安全、清空及可拔。
- 7
电脑离线整理并展示最终保留页和恢复差异；准备好后再次连接进行实际回写。
- 8
分别交回旧件删留、新增保全、清空、电脑准备、手机回写与备份/云后续状态。
边界
- 不处理联系人、短信、聊天、账号、应用私有和系统数据。
- 非媒体共享文件只做防丢保全/清理，之后交材料 Owner，不接入媒体 catalog（目录）。
- 技术 cache 先保全再精确清理，但不进 cloud/phone recovery；只有 .nomedia 作为可再生对象直接排除。
- phone-prepare 只消费图片/视频；手机录音自动增量归位仍是 Unknown（未验证）。
- 不递归删目录。
- 不恢复出厂设置。
- 不让分类与索引占用手机连接。
失败与恢复
- 缺上次完整回写或无法证明旧件对应关系
- 不依据手机缺失删除电脑原件，记录未决范围；独立的新文件保全继续。
- 旧文件只是移动、改名或由AI清空
- 按已核实来源保留或记录移动，不能冒充本人删除；移动观察未完成时先补齐，避免后续清空制造假象。
- E 或 G 任一回读失败
- 不宣布可以拔线；保留成功副本并只重试失败对象。
- 删除前远端文件变化
- 停止该对象删除，保留本地副本和新远端事实。
- 删除在隔离后中断
- 重跑同一 run：隔离字节与 plan hash（内容指纹） 匹配时完成删除并记 RECOVERED_QUARANTINE_DELETED；隔离不匹配且源缺失时先尽力移回源再失败。最终扫描仍有任何 quarantine 就不能 PASS。
- 用户拔线前未开始删除
- 正常结束保全，明确手机清空待下次连接。
真实入口
phone_file_preserve_clear.py手机捕获、双盘回读和精确清理
test_phone_file_preserve_clear.py来源边界、批量快照、回读与删除保护回归
AGENTS.md可以拔线节点与手机占用边界
README.md（已发布22a6109，第144行）手机删除同步电脑及已有命令范围
USER_REQUIREMENTS.md §3.6（已发布22a6109）上次完整回写、移动/AI清空区分、未知不删、电脑原件与各层副本结果
如何验证
- 2026-09-05旧回执有55项总测试、2项真机跳过；不是本轮测试或新手机流程的完整验收。
- 回归覆盖恢复包根、Android/系统边界和 .nomedia 排除。
- 真实设备墙钟仍需下一次连接复验。
与其他模块的关系
本模块先接住手机对旧受管图片/视频的删留，再把新共享文件安全带到电脑；分类和恢复差异由后续离线模块完成。G/H镜像与真实云删除分别交给原有入口，不从本次手机结果推定全部副本已消失。