#原生客户端

1. 客户端打开 WebSocket 到 ws://host:port 或 wss://host:port
2. 服务端发送 { type: "event", event: "connect.challenge", payload: { nonce } }
3. 客户端构造签名载荷：
   "v2|deviceId|clientId|clientMode|role|scopes|signedAtMs|token|nonce"
4. 客户端使用 Ed25519 私钥签名
5. 客户端发送 "connect" RPC，包含：
   {
     proto: { min: 3, max: 3 },
     client: { id, displayName, version, platform, mode },
     caps: ["canvas", "camera", "screen", "voiceWake", "location", ...],
     commands: [...支持的命令列表...],
     permissions: { camera, microphone, location, ... },
     role: "node",
     auth: { device: { deviceId, publicKey, signedAtMs, signature, token } }
   }
6. 服务端响应：
   {
     ok: true,
     server: { host },
     auth: { deviceToken },
     canvasHostUrl,
     snapshot: { sessionDefaults: { mainSessionKey } }
   }

Gateway → 客户端：
  { type: "event", event: "node.invoke.request",
    payload: { invokeId, command, params } }

客户端执行命令（如 camera.snap、location.get）

客户端 → Gateway：
  { type: "req", method: "node.invoke.result",
    params: { invokeId, result: {...} } }
  或
  { type: "req", method: "node.invoke.result",
    params: { invokeId, error: { code, message } } }

证书锁定：
  - 服务端 TLS 证书的 SHA256 指纹
  - 首次信任（用户需一次性确认指纹）
  - 按 Gateway 存储在设备认证存储中

本地回环例外：
  - localhost/127.0.0.1 连接不要求 TLS

Tailscale 域名：
  - .ts.net 域名强制 TLS
  - 支持广域 DNS-SD 发现

设备身份：
  - 首次启动时生成 Ed25519 密钥对
  - 私钥存储于：
    - iOS：Keychain
    - Android：EncryptedSharedPreferences（BouncyCastle）
    - macOS：Keychain
  - 连接握手时发送公钥
  - 服务端返回设备 token，存储用于后续连接

Gateway → Node：  "canvas.a2ui.push" { messages: [...] }
Node → WebView：  JavaScript 注入
WebView → Node：  window.openclawCanvasA2UIAction.postMessage(json)
Node → Gateway：  "node.invoke.result" { ... }

Canvas 生命周期：
  - canvas.present → 显示 WebView
  - canvas.navigate → 加载 URL
  - canvas.a2ui.push → 注入 A2UI 消息
  - canvas.snapshot → 截屏（base64）
  - canvas.hide → 隐藏 WebView