docs(design-system): 栅格证据改走 PR 附件，DS-4 截图移出仓库

docs/design-evidence/2026-09-04/README.md

@@ -2,16 +2,35 @@
 
 - 分支：`ds/4-button-input-primitives`
 - 基点 SHA（开工时 `origin/main`）：`c4033acd07910b9b3c993772589dcda877188fb1`
+- 采集 commit（产生下表色值与全部截图的代码状态）：`0458af96d`（工作分支
+  `feat(design-system): DS-4 Button 与 Input 标准组件`，2026-09-04 18:44）。
+  该提交随分支 squash 合入 #3920（`ede0f7739`）。两个 SHA 之间决定按钮/输入颜色的
+  `themes/` 与 `components/ui/`（除 `input.tsx` 的调用方 style 合并次序外，采集后改的、
+  与色值无关）完全一致——检出任一者复核均可复现下表。基点 `c4033acd` 只是开工坐标，
+  **不含** DS-4 改动，不能用于复核。
 - 平台：Desktop
 - 实机沙箱：`CindyGlobal-dev2-ds-4-button-input-fcdc92`，`node scripts/desktop-whoami.mjs` 报 MATCH 本 worktree
-- 主题：CINDY Light 与 CINDY Dark（实机）+ 默认主题 token 对照图
+- 主题：CINDY Light 与 CINDY Dark（均为实机采集）
 
-## Level 2 实机逐格（`cells/`）
+> **截图不在本目录**。按治理合同 §6（2026-09-05 收口），栅格证据一律走 PR 附件、不入仓；
+> 本文件是可复核的**文本索引**。
+>
+> DS-4 的实机截图当时是在隔离沙箱里直接给设计师看的实时画面，批准记录见下方「有意可见差异」
+> 各条的日期。它们曾随 #3920 入仓，已由本 PR 从 tip 移除（历史不重写，见 §6）。
+> 12 张图的存放入口：PR #3931 证据评论（[issuecomment-5544942109](https://github.com/makecindy/cindy/pull/3931#issuecomment-5544942109)），
+> 评论内附逐图清单；附件本体因 GitHub 图片上传端点只支持网页会话（`gh` CLI 与 REST/GraphQL
+> API 均传不了图），需人工在 PR 评论框拖拽上传后把链接编辑进该评论——上传完成前，该评论
+> 是清单占位、尚未含图。原始字节始终可从 #3920（`ede0f7739`）的 Git 历史恢复。
+> 下表的 computed style 色值即证据本体，同环境重跑探针可复核。
+
+## Level 2 实机逐格
 
 对真实运行的 Desktop 用 CDP `CSS.forcePseudoState` 强制伪类后裁剪截图，`background-color`
 取自 `CSS.getComputedStyleForNode`。目标是 `设置 → 模型供应商 → OpenAI` 详情里的
 「断开」按钮，即 `ui/button` 的 `variant="secondary"`。
 
+下表的色号就是可复核的证据本体——同环境重跑探针应得到同样的值。
+
 | 主题 | rest | hover | pressed | disabled + hover |
 | --- | --- | --- | --- | --- |
 | CINDY Light | `#FDFDF8` | `235,235,230` | `214,214,210` | `#FDFDF8`（不变） |
@@ -26,18 +45,27 @@
 因此没有实机格；它由 Level 1 的 11 主题状态梯守卫覆盖。`cta` 的实机格需要 XD 资产模块
 处于可购买态，本次沙箱未构造出该状态。
 
-## 其余文件
+## 当时看过的图（不入仓，附件入口见证据评论）
 
-| 文件 | 内容 |
+12 张图的存放与逐图对照统一放在 PR #3931 的证据评论
+（[issuecomment-5544942109](https://github.com/makecindy/cindy/pull/3931#issuecomment-5544942109)），
+评论内附每张图的文件名清单；附件本体需人工拖拽上传（原因见上方引言），
+上传前该评论为清单占位。下表登记每张图的用途：
+
+| 图 | 内容 |
 | --- | --- |
-| `live-settings-providers.png` | 实机：设置 → 模型供应商 |
-| `live-add-provider-wizard.png` | 实机：添加供应商向导 |
-| `ds4-g5-secondary-compare.png` | G5 同值性对照：现状灰底 / 规范白底 secondary / 规范灰底 primary |
-| `ds4-button-input-state-matrix.png` | 默认主题 token 值对照图（画的，非实机） |
+| 实机 · 设置 → 模型供应商 | 搜索框为 `ui/input`；Anthropic「去授权」为 secondary |
+| 实机 · 添加供应商向导 | 授权 / 改用 API Key / 取消 三颗 secondary |
+| G5 同值性对照 | 现状灰底 / 规范白底 secondary / 规范灰底 primary，Light 与 Dark 并排 |
+| 逐格特写 × 8 | CINDY Light / Dark 各 rest / hover / pressed / disabled+hover；数值见上表 |
+
+另有一张「设置 → 通用」实机图，含账号邮箱与组织信息，**从未入仓也不外发**——本仓公开，
+个人数据不进 Git 历史。它当时的作用是展示退出登录 / 登录更多账号两颗 secondary，
+已由上表第一、二项覆盖同一变体。
 
-⚠ `ds4-button-input-state-matrix.png` 是 2026-09-04 上午按**修复前**的 token 值画的，
-其中的 hover / pressed 色号已不代表现行实现；现行值以上表实机测量为准。保留它是为了
-留下「初版为何看不出暗色缺陷」的痕迹。
+初版还画过一张默认主题 token 对照图（`ds4-button-input-state-matrix.png`，绘制的、
+非实机），其 hover / pressed 色号按**修复前**的绑定绘制，已不代表现行实现；为完整性
+一并放进证据评论，但**不作为色值证据**，现行值以上面的实机测量表为准。
 
 ## Level 1 静态守卫
 
@@ -55,8 +83,7 @@
    `--surface-elevated`。CINDY Light 下与卡片同色，读成空心描边。用户 2026-09-03 看默认
    主题对照后选统一成白底，2026-09-04 看实机后确认「可以，没问题」。
    （实机批准时还看了「设置 → 通用」的退出登录 / 登录更多账号两颗按钮；该截图含账号邮箱与
-   组织信息，**不入库**——本仓公开，个人数据不进 Git 历史。同一按钮变体的可入库证据见
-   `live-settings-providers.png` 与 `cells/`。）
+   组织信息，从未入仓也不外发。同一按钮变体的证据由供应商页与向导两张覆盖。）
 2. **G2 Cta hover**：私有原型 `hover:opacity-90` 换成换色。文字不再跟着变淡。
 3. **状态梯改为派生，hover 8% / pressed 10%**：用户 2026-09-04 批准。取代 09-03 原定的
    「从 `--surface-hover` 族现值取」——那样在 4 个暗色主题里状态不可区分。落地时比例尚未

docs/design-rules/design-governance.md

@@ -159,8 +159,26 @@ Primitive 与 Pattern 默认只绑定 semantic 角色。只有品牌表达、兼
   工具，不建第二套）；
 - 同时改动 Desktop 与 Mobile 的 PR：两个平台的 Light/Dark 均需采集，不得只交一侧；
 - 提交只覆盖未受影响平台的截图（如 Mobile-only 改动附 Desktop 截图）不算满足本条；
-- 记录 commit SHA、平台、主题、日期；材料外置到 `docs/design-evidence/YYYY-MM-DD/` 或 PR
-  artifact，台账与文档只保存稳定链接与最近结论；
+- 记录 commit SHA、平台、主题、日期；
+- **栅格证据（截图 / 录屏）一律走 PR 附件或 artifact，不入仓**（2026-09-05 收口，起因见下）。
+  `docs/design-evidence/YYYY-MM-DD/` 只放**纯文本索引**：commit SHA、平台、主题、日期、
+  逐格实测值（computed style 取到的色号即可复核）、有意差异清单、缺口登记、以及指向 PR
+  评论的链接。台账与文档同样只保存稳定链接与最近结论；
+  - **为什么改**：本条原文给了「入仓 `docs/design-evidence/` 或 PR artifact」两个选项，
+    DS-4（#3920）是第一张真正跑证据流程的 PR，选了入仓那条，实测代价 = 12 张 PNG / 944KB
+    永久进 Git 历史。栅格证据的效用是**一次性的**（供设计师 review 时看一眼），而 Git 历史
+    是永久的、每次 clone 都要下；后续 DS-5 / DS-6 / DS-9 三张同为「有意可见」，照此累积
+    将达数 MB 量级。真正需要长期留存的是**数值与结论**，它们是文本、放 `design-evidence`
+    的 README 与 `design-decision-log.md` 里即可；
+  - **既有入仓证据不追溯删除**（Git 历史重写代价大于收益）；本条只约束新增。DS-4（#3920）
+    的 12 张 PNG 在本条落地前已随合并进入 `main` 历史，本 PR 只把它们从 tip 移除、不重写
+    历史——`docs/design-previews/**/evidence/` 下另有 19 张同类历史资产，同样按「不追溯」
+    处理；要不要连带收口是独立议题；
+  - 图片放 PR 时的操作说明：GitHub 的图片附件上传端点依赖网页会话，`gh` CLI 与 REST API
+    都传不了图（GraphQL 亦无公开 mutation），需由人在 PR 评论框里拖拽上传。Agent 应把图
+    落到工作区（gitignore 覆盖的临时目录）并在报告里给出路径，由人完成上传；上传后若图片
+    出现在 PR 内某条评论里，把**该评论的链接**回写进 `design-evidence` 的文本索引，
+    即成为稳定入口（issue comment URL 长期有效，附件 URL 随 CDN 变动）；
 - 本合同与 `DESIGN.md §10` 双模式交付门槛的关系：实现双模式是硬性要求；实机目检按该门槛
   执行 best-effort 并如实申报，不得把「复用了 themed 样式」上报为「双模式已验证」。