Tengu 设计白皮书
文档版本：0.2 · 内容基准：0.0.1-alpha（Reforge）
Tengu 希望把加密资产相关的工作重新放回桌面：由用户保管密钥，选择数据连接，组织分析与操作流程，并理解工具如何运行。
本文描述产品理念与架构方向。除下载页明确记录的发布信息外，模块、接口和路线图均应视为设计规划；示意名称不等同于已交付的稳定 API。
一、为什么从本地出发
网络服务降低了使用门槛，也让数据、界面和工作流程容易依赖单一平台。Tengu 选择本地优先，希望给用户提供更直接的配置、备份和扩展能力。
本地优先包含三个目标：
- 数据可管理：重要配置和恢复资料由用户保管，备份与迁移有明确路径。
- 行为可理解：区分查询、构造、签名、广播和确认，呈现操作依据与结果。
- 连接可选择：把节点和数据接口与业务逻辑分开，逐步降低对单一服务的依赖。
这并不意味着不需要网络。余额查询、行情、交易广播与链上确认仍依赖节点或数据提供方；用户可选择自建或可信的第三方服务。
二、产品定位
Tengu 的目标是一套可扩展的加密桌面工作环境，以 C++ / Qt 为界面与应用基础，逐步容纳钱包、观察列表、链上事件、脚本和分析工具。
| 方向 | 设计目标 | 边界 |
|---|---|---|
| 钱包 | 本地管理账户与签名资料 | 链种、导入格式和恢复能力需逐版验证 |
| 数据 | 组织余额、交易与事件 | 受节点可用性、限流和确认状态影响 |
| 扩展 | 组合脚本、模块和自定义流程 | 权限隔离与稳定 API 需单独实现 |
| 分析 | 汇集行情、资讯与辅助工具 | 数据质量不等于结果正确，更不保证收益 |
| 分发 | 探索可验证的模块与更新 | P2P 分发和市场属于后续研究方向 |
与浏览器钱包、节点客户端或在线终端相比，Tengu 关注的是桌面工作流程与可扩展性。不同产品各有侧重，本地运行本身不能证明安全、性能或去中心化程度更高。
三、总体架构
设计上，将展示、任务编排、密钥操作和网络访问分层组织：
桌面界面与工作区
│
配置 / 窗口 / 主题 / 资源管理
│
钱包与签名 ── 数据与事件 ── 脚本与扩展
│ │
本地存储 节点与外部服务适配
下列名称说明模块职责，不承诺当前版本已经具备全部实现：
| 模块方向 | 职责 |
|---|---|
| 全局上下文 | 组织模块依赖和应用生命周期 |
| 配置管理 | 持久化设置，明确变更与迁移行为 |
| 窗口与主题 | 管理桌面布局、交互和视觉资源 |
| 钱包与安全 | 组织账户、恢复资料和签名边界 |
| 数据适配 | 处理请求、订阅、缓存、限流与重连 |
| 插件管理 | 管理加载、启动、停止与资源释放 |
存储格式和数据位置以实际版本为准。文件、数据库与系统凭据可以承担不同职责，不把“完全无数据库”作为产品承诺。
四、钱包与签名
钱包设计应把公开账户信息与敏感恢复资料分开管理。助记词、额外口令、派生路径和账户索引共同决定恢复结果，不能把“导入成功”直接视为“恢复正确”。
流程需要明确区分：
- 构造：确定网络、收款目标、参数与手续费。
- 签名：在本地使用相应密钥授权交易内容。
- 广播：通过可用节点把已签名交易提交至网络。
- 确认：查询交易状态，处理失败、过期与不确定结果。
密钥操作可在本地进行，但交易构造可能需要近期区块、nonce 或其他链上信息。离线签名需要准备相应参数，广播与确认仍需要网络。
安全设计应围绕密钥访问范围、加密存储、日志脱敏、备份与恢复验证逐步完善。加密算法或“本地运行”不能替代实现审查，也不能保证设备不被恶意程序访问。
五、脚本与插件
规划中的 Lua、JavaScript 和原生扩展用于组合数据、界面和任务流程。稳定扩展接口应说明版本兼容、参数、错误、取消行为及资源释放方式。
生命周期可以按“加载 → 初始化 → 启动 → 停止 → 卸载”组织。实现重点包括：
- 明确文件、网络、账户与签名操作的权限范围。
- 避免脚本默认获得完整密钥访问能力。
- 支持停止任务、释放订阅与查看脱敏日志。
- 对包来源、依赖和完整性建立可验证的说明。
- 将自动执行与需要用户确认的操作区分开。
.tengu 模块包、热重载、插件市场与沙箱是规划内容，不应当作所有版本已经支持的功能。未实现隔离的扩展，应按本地代码执行的风险级别评估。
六、界面与工作流程
界面应帮助用户完成连续任务，而不是仅堆叠功能入口：
- 在操作前呈现网络、账户和关键参数。
- 在操作中区分等待、签名、提交与确认状态。
- 在失败时保留可理解的错误和复现信息。
- 为窗口布局、字体与快捷操作提供一致体验。
- 让取消、恢复和退出具有可预期的行为。
跨平台、浮动工作区与高级图表逐步演进。Windows Alpha 的界面截图只能说明早期设计，不能证明其他平台或所有模块已经交付。
七、数据、AI 与网络分发
行情、资讯、宏观数据与 AI 辅助是后续方向。数据模块应说明来源、时间、更新频率与缺失状态，避免把缓存、估算值或模型输出误认为实时事实。
本地模型需要匹配设备资源；云端模型会向提供方发送请求内容。二者应有清晰的配置和数据边界。模型输出可用于辅助整理信息，不能自动视为正确的交易指令。
BitTorrent、DHT、WebRTC、签名模块包与 P2P 更新属于研究方向。它们可能减少分发对单一服务的依赖，但不会消除链节点、发现机制或网络连接需求。
八、开源与额外商业许可
开源版本采用 AGPLv3。符合该许可的商业使用仍然允许；分发、修改版本的网络交互等场景，需要履行对应义务。
额外商业许可用于协议约定的闭源分发、集成、再授权与支持权益。本站统一采用以下等级口径，具体范围见中英文商业条款：
| 等级 | 费用口径 | 额外权利方向 |
|---|---|---|
| Tier 1 | AGPLv3 免费使用 | 按开源许可使用、研究和修改 |
| Tier 2 | 1 SOL 或被认可的有效 NFT | 商业协议约定的使用、修改与分发 |
| Tier 3 | 5 SOL 或等值 TENGU | 额外再授权与产品集成权利 |
| Tier 4 | 50 SOL 或等值 TENGU | 协议约定的优先支持与高级权益 |
Tier 2 对 Tier 3 的升级差额为 4 SOL，对 Tier 4 为 49 SOL。NFT 验证、授权密钥发放、转让与终止仍需遵守商业协议。
授权设计不等同于发行已经开放。奖励、空投、市场与高级模块需另行公告，没有固定数量、时间或收益保证。详见授权概览、NFT 说明。
九、演进路线
当前基准为 0.0.1-alpha。后续工作按能力逐步验证，不在本文承诺发布日期：
| 阶段 | 方向 | 验证重点 |
|---|---|---|
| 基础体验 | 安装、工作区、配置与恢复 | 可复现构建、数据位置、升级兼容 |
| 钱包与数据 | 链适配、签名与事件 | 正确性、确认状态、失败处理 |
| 可扩展工作流 | 脚本、插件与任务编排 | 权限、兼容、取消和资源释放 |
| 分析工具 | 行情、资讯与 AI 辅助 | 数据质量、时间标记和隐私边界 |
| 可验证分发 | 模块包、更新与 P2P 研究 | 来源、完整性与回退机制 |
新能力只有在对应版本发布并可验证后，才进入正式使用说明。旧白皮书中的版本编号不再作为“已完成”状态的依据。
十、参与与反馈
从一个可复现的问题、一段准确的说明或一个可验证的小模块开始。贡献指南说明内容位置与提交检查；项目与联系提供反馈入口。
Tengu 的长期方向是让用户更清楚地掌握自己的设备、数据和工作流程。这个目标需要通过具体实现、可靠恢复与持续验证一步步完成。