AI 把能力当工具调用，人把能力当 UI 使用 —— 同一份声明。
manifest（能力声明）+ backend（Executor 执行）+ frontend（desktop 渲染）。语言中立契约，Python 也能校验同一份 JSON Schema。
@tueo/plugin-sdk 是四层架构单一的能力真相源，被桌面 / 服务端 / 能力平台三侧依赖。同一输入逐字节一致（承重墙验收钉死）。
Ed25519 密码学签名推导官方 / 伙伴 / 社区三级信任；篡改 manifest（改权限 / 能力声明）即验签失败，安装时反篡改拒装。
入参读 inputs.json、结果写 result.json、大文件产物由沙箱统一上传对象存储。作者只需 serve({capabilityId: handler})，I/O 与错误归一由 SDK 兜底。
轻量场景宿主据 schema 渲染表单与预览，无需写 UI 代码；富 UI 走 sandboxed iframe 安全隔离。前端永不直接碰沙箱或凭据。
17 种版式 + 4 套设计语言，同一 DSL 出 HTML 预览与可编辑 .pptx——预览 = 导出一致，不出现「预览好看导出崩」。已有 PPT 可一键继承配色字体。/p>
药品随货同行单识别：AI 负责提取，规则引擎负责确定性校验（批准文号格式 / 日期关系 / 数量），绿黄红彩色复核预览——人工只在 <1% 才介入。
单页坏 → 占位页不毁整份；拿不到数据显示「—」不编造；图表只画真实数值。AI 出内容、系统不画像素，一次修好不空转。
Skillplugins（写插件）/ 能力平台（注册 + 治理）/ Executor（后端沙箱）/ desktop（前端渲染）各司其职，调用统一走一条路、三道隔离。
desktop → server 校验派发 → Executor 执行 → 回 desktop 渲染。
用 SDK 写 manifest，声明能力与权限。
manifest 注册进 Capabilities 成为可采购能力。
backend 在 Executor 沙箱内受控执行。
frontend 在 Cohort 桌面端为人渲染 UI。