# moonrelay 宪法(const)—— 恶意中继总纲纪律

版本:v1.0(2026-10-28 立卷;定谳源 = vox1000 T4.2 侦察(moonlink relay
评审)+ 立项评审 2026-10-28)
表述纪律:本卷只允许「必须 / 禁止」句式;论证与考据归茗篇,本卷只立律。

---

## 1. 恶意中继律

1. **必须**:"assume a malicious relay"——中继面**只见密文**:包级
   加密 per-recipient,密钥不落中继;算法层单一真源 = @mooncry
   (AES-GCM/HKDF),本仓**禁止**自带密码学实现。
2. **必须**:资源边界 = **限速 + 每端缓冲深度**;速率/缓冲/并发参数
   全可配,**禁止**硬编码资源上限(缺省值可调,词汇表即数据)。
3. **必须**:准入有门——准入槽 trait 沉没;缺省形态(全拒起手/
   单 key/token)T1 定谳,**禁止**缺省无门开放。
4. **必须**:优雅重启——停新收留 + 疏散广播(迁端点)+ 存量排空窗;
   **禁止**一断了之。

## 2. 线自研律

1. **必须**:relay 消息集/帧面全自研;**禁止**与 RustDesk relay /
   iroh DERP 任何线级兼容(思想借,线自研)。
2. **必须**:帧头带 version 位;协商不上 = 断连报错,**禁止**猜版本;
   改 wire = 升 version,**旧字节含义永不变**。
3. **禁止**:核心词汇表出现消费方词汇(SeamNet / Connection / Path
   等)——桥接面住消费方 adapter,本件不反向知晓。

## 3. 纯核律

1. **必须**:泵决策面(限速器 / 配对窗 / 降级判定 / 疏散编排)=
   纯函数 + `now : Int64` 注入,可 sim 回放;IO 面(收发)async 薄壳。
2. **必须**:库面与部署面分包(executable 包不可被 import——坑账
   同款);服务端 = 独立部署件,依赖面 = async + mooncry,零 vox1000。

## 4. 工程守卫律

1. **必须**:每阶段绿门 = `moon test` + `moon info` + `moon fmt`,核
   `.mbti` diff;帧面/加密面已知答案向量罐先行。
2. **必须**:代码小修入 `ctx.md` 即时账本,设计定谳入 `.mingspace/`
   茗篇;三震报停律全程有效(根 AGENTS.md 同款)。

---

## 附:目录对位(T0 立骨架即落)

```
moonrelay/
  core/           ← 帧面 + 加密面 + 泵纯核(律 2/1/3)
  server/         ← IO 面 + 装配(lib/cmd 分立,候 T4)
  examples/       ← 对打 demo(候 T4 后)
```

定谳索引:`.mingspace/moonrelay_ming.md`(立项篇);开工序 = `todo.md`;
小修账 = `ctx.md`。