@agentunion/fastaun-browser 0.5.2 → 0.5.3

package/CHANGELOG.md

@@ -6,6 +6,42 @@
 
 ---
 
+## 0.5.3 — 2026-07-07
+
+### 新功能
+
+#### group.index 索引化群设置
+- 新增浏览器 `group.index` JSONL 工具：支持 canonical entries、body hash、etag、ECDSA P-256 签名/验签，以及将 settings 更新合并为带 `group.index` 的原子写入。
+- `GroupFacade` 新增 `checkGroupIndex` / `getGroupIndex` / `updateGroupIndex`，写入时携带 `expected_index_etag` 做 CAS，并在冲突后重拉索引重试。
+- 浏览器 IndexedDB TokenStore 新增 `group_index_cache`，按 local AID + group AID 持久化 index JSONL、remote meta、本地 etag、settings cache 和 entry etags。
+- 入口导出 `GROUP_INDEX_KEY`、`GROUP_INDEX_SCHEMA`、`GroupIndexMetaCache`、`buildSignedGroupIndex`、`verifyGroupIndex`、`prepareGroupSettingsWithIndex` 等 group.index API。
+
+### 修复
+
+#### 撤回去重与有序投递
+- `message.recalled` 改为专用处理路径，支持 P2P 撤回 tombstone 的有序投递、自动 ack、gap fill 和按原消息标识去重，避免 push / pull 对同一次撤回重复回调。
+- 群撤回去重键改为规范化 group id + 原消息 id/seq，忽略 `recalled_at`，并补齐顶层 recall 字段归一化。
+- 群消息 pull / legacy fallback 识别 `group.message_recalled` tombstone，避免把撤回通知作为普通群消息投递。
+- P2P 与群 push 按 namespace 串行化处理，降低异步解密和投递导致的乱序风险。
+- V2 P2P / Group pull 页内消息按 `seq` 排序后处理，避免服务端返回无序时影响本地 seq 推进。
+
+### 改进
+
+- `RPCTransport` 的 `_meta` observer 支持异步回调；RPC 成功响应会等待 observer 完成，事件/通知路径统一走安全的 meta observer 分发。
+- `getAnnouncement` / `getRules` / `getJoinRequirements` 优先使用 group.index settings cache；`updateAnnouncement` / `updateRules` / `updateJoinRequirements` 改走 `updateGroupIndex`，保持索引与设置同步。
+- cross-sdk JS agent 支持 `sdk.update_group_index` 调用，便于跨 SDK 测试索引化群设置。
+- SDK 包版本、运行时 `VERSION` 和 conformance 期望版本更新为 `0.5.3`。
+
+### 测试
+
+- 新增 group.index 单元测试，覆盖 hash/etag、签名/验签、settings merge、RPC meta stale/fresh、async meta observer 和 IndexedDB 持久化恢复。
+- 新增 GroupFacade group.index 单元测试，覆盖 CAS 写入、冲突重试、远端索引验签、tamper 拒绝、settings cache 和便利方法索引化写入。
+- 新增浏览器 E2E：验证签名 `group.index` 写入、裸 settings 写入拒绝、CAS 冲突重试和最终 settings 一致性。
+- 扩展撤回投递测试，覆盖 P2P/group recall 顶层字段归一化、push/pull tombstone 去重和有序投递。
+- 更新 group settings 与签名审计 E2E，使公告/群规等索引化 settings 通过 `updateGroupIndex` 写入。
+
+---
+
 ## 0.5.2 — 2026-07-05
 
 ### 新功能

package/_packed_docs/CHANGELOG.md

@@ -6,6 +6,42 @@
 
 ---
 
+## 0.5.3 — 2026-07-07
+
+### 新功能
+
+#### group.index 索引化群设置
+- 新增浏览器 `group.index` JSONL 工具：支持 canonical entries、body hash、etag、ECDSA P-256 签名/验签，以及将 settings 更新合并为带 `group.index` 的原子写入。
+- `GroupFacade` 新增 `checkGroupIndex` / `getGroupIndex` / `updateGroupIndex`，写入时携带 `expected_index_etag` 做 CAS，并在冲突后重拉索引重试。
+- 浏览器 IndexedDB TokenStore 新增 `group_index_cache`，按 local AID + group AID 持久化 index JSONL、remote meta、本地 etag、settings cache 和 entry etags。
+- 入口导出 `GROUP_INDEX_KEY`、`GROUP_INDEX_SCHEMA`、`GroupIndexMetaCache`、`buildSignedGroupIndex`、`verifyGroupIndex`、`prepareGroupSettingsWithIndex` 等 group.index API。
+
+### 修复
+
+#### 撤回去重与有序投递
+- `message.recalled` 改为专用处理路径，支持 P2P 撤回 tombstone 的有序投递、自动 ack、gap fill 和按原消息标识去重，避免 push / pull 对同一次撤回重复回调。
+- 群撤回去重键改为规范化 group id + 原消息 id/seq，忽略 `recalled_at`，并补齐顶层 recall 字段归一化。
+- 群消息 pull / legacy fallback 识别 `group.message_recalled` tombstone，避免把撤回通知作为普通群消息投递。
+- P2P 与群 push 按 namespace 串行化处理，降低异步解密和投递导致的乱序风险。
+- V2 P2P / Group pull 页内消息按 `seq` 排序后处理，避免服务端返回无序时影响本地 seq 推进。
+
+### 改进
+
+- `RPCTransport` 的 `_meta` observer 支持异步回调；RPC 成功响应会等待 observer 完成，事件/通知路径统一走安全的 meta observer 分发。
+- `getAnnouncement` / `getRules` / `getJoinRequirements` 优先使用 group.index settings cache；`updateAnnouncement` / `updateRules` / `updateJoinRequirements` 改走 `updateGroupIndex`，保持索引与设置同步。
+- cross-sdk JS agent 支持 `sdk.update_group_index` 调用，便于跨 SDK 测试索引化群设置。
+- SDK 包版本、运行时 `VERSION` 和 conformance 期望版本更新为 `0.5.3`。
+
+### 测试
+
+- 新增 group.index 单元测试，覆盖 hash/etag、签名/验签、settings merge、RPC meta stale/fresh、async meta observer 和 IndexedDB 持久化恢复。
+- 新增 GroupFacade group.index 单元测试，覆盖 CAS 写入、冲突重试、远端索引验签、tamper 拒绝、settings cache 和便利方法索引化写入。
+- 新增浏览器 E2E：验证签名 `group.index` 写入、裸 settings 写入拒绝、CAS 冲突重试和最终 settings 一致性。
+- 扩展撤回投递测试，覆盖 P2P/group recall 顶层字段归一化、push/pull tombstone 去重和有序投递。
+- 更新 group settings 与签名审计 E2E，使公告/群规等索引化 settings 通过 `updateGroupIndex` 写入。
+
+---
+
 ## 0.5.2 — 2026-07-05
 
 ### 新功能

package/_packed_docs/INDEX.md

@@ -21,7 +21,8 @@
 | [消息收件箱统一迁移方案](design/消息收件箱统一迁移方案.md) | P2P `message_inbox` 与群消息 `group_inbox` 的统一读模型、后台回填和旧表清理方案 |
 | [AUN 反向代理服务方案与 TDD 实施计划](design/AUN反向代理服务方案与TDD实施计划.md) | AUN Service Proxy、service_proxy 服务模块、SDK service-proxy-client、URL 路由、隧道协议、Web 边界和分阶段 TDD 落地计划 |
 | [远程 agent.md 缓存与 ETag 透传方案](agent.md/远程agent.md缓存与etag透传方案.md) | 远程 agent.md per-AID 本地文件/IndexedDB 缓存、Gateway `_meta.agent_md_etags` 角色、消息信封 ETag 和注入节流方案 |
-| [SDK 文档索引](sdk/INDEX.md) | SDK 使用手册、RPC 手册、E2EE、Storage VFS、Group FS 和 Collab 的子索引 |
+| [群索引版本提示与附件引用方案](design/群索引版本提示与附件引用方案.md) | `group.index` 签名索引、`_meta.group_indexes` 版本提示、CAS 更新、服务端缓存注入和附件稳定引用 |
+| [SDK 文档索引](sdk/INDEX.md) | SDK 使用手册、RPC 手册、E2EE、Storage VFS、Group FS 和 Collab 的子索引 |
 | [SDK 查阅指南](sdk/AUN_DOCS_GUIDE.md) | SDK 文档按行区间渐进式查阅方法 |
 | [AUN CLI 手册](cli/CLI手册.md) | Python CLI 源码位置、安装运行入口、全局选项、profile 配置和主要命令集 |
 | [AUN CLI 设计文档](cli/AUN-CLI设计文档.md) | `python/src/aun_cli` 当前实现架构、命令注册面、配置解析、SDK 桥接和实现边界 |
@@ -76,6 +77,7 @@
 - `client.notify()` 在线轻量通知、AID/群路由、跨域 federation 和不离线存储边界 → [Notify 通知方案](sdk/Notify通知方案.md)
 - 协议细节、子协议和消息格式 → [协议文档目录](protocol/)
 - agent.md 远程缓存、`remote_etag` / `local_etag`、`requester` / `peer` / `group` 角色、消息信封与 Gateway `_meta` ETag 透传 → [远程 agent.md 缓存与 ETag 透传方案](agent.md/远程agent.md缓存与etag透传方案.md)
+- `group.index` owner/admin SDK 生成签名索引、`_meta.group_indexes` 观察、`expected_index_etag` CAS、服务端正/负缓存与注入频率控制 → [群索引版本提示与附件引用方案](design/群索引版本提示与附件引用方案.md)、[SDK 文档索引](sdk/INDEX.md)
 
 ### Service Proxy 与服务暴露
 
@@ -103,9 +105,9 @@
 
 ## Layer 3：重点文档摘要
 
-### aun测试运行指南
-
-记录当前 AUN 服务与 SDK 在 Docker 单域、双域环境中的实际测试入口。包含 Python、TypeScript、Go、JavaScript 四语言测试矩阵，Python / TypeScript / Go / JavaScript 跨语言容器 E2E 的 83 用例矩阵，覆盖 P2P 明文/E2EE、群聊 pairwise 明文/E2EE、三/四成员同群矩阵、storage ticket/ACL、group.fs 与 group.fs POSIX、collab 与 collab ACL、连续消息、ack、预期失败和混合明文/E2EE 场景，另包含固定身份目录、bench-pairs16 性能身份池、uvloop bench 环境变量、Gateway 客户端 mock 网络延迟、`--perf-trace` 开关、容器名、典型命令、浏览器 E2E、双域 federation 测试、Service Proxy 单域/双域 E2E 入口、message/group WAL 回归检查和数据保护规则。
+### aun测试运行指南
+
+记录当前 AUN 服务与 SDK 在 Docker 单域、双域环境中的实际测试入口。包含 Python、TypeScript、Go、JavaScript 四语言测试矩阵和跨语言容器 E2E，覆盖 group.index 签名/CAS/meta 观察、P2P 明文/E2EE、群聊 pairwise 明文/E2EE、三/四成员同群矩阵、storage ticket/ACL、group.fs 与 group.fs POSIX、collab 与 collab ACL、连续消息、ack、预期失败和混合明文/E2EE 场景，另包含固定身份目录、bench-pairs16 性能身份池、uvloop bench 环境变量、Gateway 客户端 mock 网络延迟、`--perf-trace` 开关、容器名、典型命令、浏览器 E2E、双域 federation 测试、Service Proxy 单域/双域 E2E 入口、message/group WAL 回归检查和数据保护规则。
 
 ### AUN SDK 重构修改清单
 
@@ -147,13 +149,17 @@
 
 定义 AUN Service Proxy / AUN 服务代理的整体方案：服务侧新增 `service_proxy` 模块，`service-proxy-server` 负责公网 HTTP/HTTPS 入口、WSS 隧道、在线连接索引和协议桥接；SDK 侧 `service-proxy-client` 负责 provider 侧 embedded registry、本地 endpoint 调用和服务摘要上报。方案明确去掉 ACP GlobalRegistry/RSA 同步，URL 以 `https://proxy.{issuer}/{user_name}/{svc_name}/...` 为 canonical，`https://{user_name}.{issuer}/proxy/{svc_name}/...` 由 NameService 跳转；Web 服务推荐 host-root 模式，目录式 path-prefix 只做受限转发。文档还按 Phase 0 到 Phase 11 给出 TDD 实施步骤，记录 Phase 10 已新增宿主机进程内 7 类 HTTP/SSE/WS/NameService/Web/ACL/双域边界 E2E，以及单域和双域 Docker E2E 脚本入口；真实 Docker 执行仍需先满足模块启用、镜像包含新模块和 `/ws/client` AUN 身份 resolver 前置条件。
 
-### 远程 agent.md 缓存与 ETag 透传方案
-
+### 远程 agent.md 缓存与 ETag 透传方案
+
 定义每个远程 AID 在 SDK 内存和本地持久化记录中维护一条 agent.md 状态：Python / TypeScript / Go 使用 `{aun_path}/AIDs/{aid}/agent.md` 与 `agentmd.json`，浏览器 JavaScript 使用 IndexedDB logical key。方案规定 Gateway 在 RPC response / event push 的 `_meta.agent_md_etags` 中按 `requester`、`peer`、`group` 注入元数据，保留旧别名兼容，并通过 300 秒正缓存、60 秒负缓存和默认 60 秒发送节流控制热路径开销；Message Service V2 P2P 信封携带 `agent_md.sender`。四端 SDK 自动观察 `_meta` 和信封 `agent_md.sender/group`，写入 `remote_etag` / `last_modified`，并遵守按需下载、无条件 GET、304 兼容、竞态和跨 SDK 一致性规则。
-
-### SDK 文档索引
-
-`docs/sdk/INDEX.md` 是 SDK 手册的三层子索引，覆盖快速开始、WebSocket 协议、核心概念、连接认证、E2EE V2、API 手册、错误处理、最佳实践、payload、Service Proxy、Storage VFS、Group FS、Collab GC/reflog/reset 和各类 RPC 手册。
+
+### 群索引版本提示与附件引用方案
+
+定义 `group.index` 的 owner/admin SDK 生成、canonical JSONL、签名、`etag` / `body_hash`、`expected_index_etag` CAS、`_meta.group_indexes` 版本提示、Gateway/Message 转发边界、服务端正/负缓存、singleflight、写后失效/刷新、注入频率控制，以及 DB 保存核心设置、group.fs 保存大附件、附件稳定引用和 SDK `check/get/updateGroupIndex` 语义。
+
+### SDK 文档索引
+
+`docs/sdk/INDEX.md` 是 SDK 手册的三层子索引，覆盖快速开始、WebSocket 协议、核心概念、连接认证、E2EE V2、API 手册、错误处理、最佳实践、payload、Service Proxy、Storage VFS、Group FS、Group Index、Collab GC/reflog/reset 和各类 RPC 手册。
 
 ### Service Proxy RPC 手册
 

package/_packed_docs/KITE_DOCS_GUIDE.md

@@ -47,6 +47,7 @@ AUN SDK Core 文档在 `docs/` 下。根级索引为 `docs/INDEX.md`，SDK API
 | 服务端消息通信诊断总体方案 | `docs/design/AUN服务端消息通信诊断面板方案.md` L3-47 |
 | 服务端消息通信 P0 诊断面板 | `docs/design/服务端消息通信诊断面板P0方案.md` L3-73 |
 | P2P / Group 消息 inbox 统一迁移与旧表清理 | `docs/design/消息收件箱统一迁移方案.md` |
+| group.index 签名索引、`_meta.group_indexes`、CAS 更新和服务端缓存注入 | `docs/design/群索引版本提示与附件引用方案.md` L1-348、`docs/INDEX.md` L24、L80、L156 |
 | AUN Service Proxy 总体架构、参考项目与边界 | `docs/design/AUN反向代理服务方案与TDD实施计划.md` L3-127 |
 | AUN Service Proxy URL、注册、隧道协议和 Web 边界 | `docs/design/AUN反向代理服务方案与TDD实施计划.md` L129-384 |
 | AUN Service Proxy 服务列表注册、双注册和 wakeup 路由 | `docs/sdk/09-proxy-rpc-manual.md` L1-226、`docs/protocol/06-服务协议.md` L43-204 |
@@ -58,7 +59,7 @@ AUN SDK Core 文档在 `docs/` 下。根级索引为 `docs/INDEX.md`，SDK API
 | test-control HTTP API | `docs/design/跨语言容器E2E测试方案.md` L160-305 |
 | 客户端容器要求和 Compose 建议 | `docs/design/跨语言容器E2E测试方案.md` L307-411 |
 | test-runner 标准用例流程 | `docs/design/跨语言容器E2E测试方案.md` L413-440 |
-| Python / TypeScript / Go / JavaScript 跨 SDK 测试矩阵 | `docs/aun测试运行指南.md` L202-228 |
+| Python / TypeScript / Go / JavaScript 跨 SDK 测试矩阵与 group.index 覆盖 | `docs/aun测试运行指南.md` L202-229、L321-346 |
 | 跨语言日志、trace、身份隔离、CLI 定位 | `docs/design/跨语言容器E2E测试方案.md` L514-576 |
 | 失败分类与落地阶段 | `docs/design/跨语言容器E2E测试方案.md` L579-625 |
 | 与现有测试环境的关系和验收标准 | `docs/design/跨语言容器E2E测试方案.md` L627-665 |
@@ -66,7 +67,8 @@ AUN SDK Core 文档在 `docs/` 下。根级索引为 `docs/INDEX.md`，SDK API
 | agent.md ETag 透传时序图 | `docs/agent.md/远程agent.md缓存与etag透传方案.md` L129-239 |
 | agent.md 服务端与 SDK 实现流程 | `docs/agent.md/远程agent.md缓存与etag透传方案.md` L241-319 |
 | agent.md 本地持久化、竞态和测试点 | `docs/agent.md/远程agent.md缓存与etag透传方案.md` L321-370 |
-| SDK API、RPC、E2EE、Storage VFS、Group FS、Collab GC/reflog/reset 使用细节 | `docs/sdk/AUN_DOCS_GUIDE.md` |
+| SDK API、RPC、E2EE、Storage VFS、Group FS、Collab GC/reflog/reset 使用细节 | `docs/sdk/AUN_DOCS_GUIDE.md` |
+| SDK group.index facade、`check/get/updateGroupIndex` 和 CAS 冲突处理 | `docs/sdk/06-API手册.md` L340-370、`docs/sdk/09-group-rpc-manual.md` L1015-1095、`docs/sdk/07-错误处理.md` |
 | AUN Python CLI 源码位置、安装入口、全局选项、profile 配置和主要命令集 | `docs/cli/CLI手册.md` L3-325 |
 | AUN Python CLI 当前实现架构、命令注册、SDK 桥接和实现边界 | `docs/cli/AUN-CLI设计文档.md` L3-265 |
 | AUN Storage 架构、SDK VFS、direct backend 数据面、类 Linux 权限和 mount/symlink | `docs/aun-fs/AUN Storage架构设计.md` L16-47、L74-120、L183-228、L289-315 |

package/_packed_docs/protocol/10-Group-/345/255/220/345/215/217/350/256/256.md

@@ -26,50 +26,50 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 ### Group 对象
 
-| 字段 | 类型 | 说明 |
-|------|------|------|
-| `group_aid` | string | 群组主标识，目标态格式为 `{base}.{issuer-domain}` |
-| `group_id` | string | 兼容字段；新群通常等于 `group_aid`，旧群可能保留历史值 |
-| `name` | string | 群组名称 |
-| `owner_aid` | string | 群主 AID |
-| `creator_aid` | string | 创建者 AID |
-| `visibility` | string | `"public"` / `"private"` |
-| `status` | string | `"active"` / `"suspended"` / `"dissolved"` |
+| 字段 | 类型 | 说明 |
+|------|------|------|
+| `group_aid` | string | 群组主标识，目标态格式为 `{base}.{issuer-domain}` |
+| `group_id` | string | 兼容字段；新群通常等于 `group_aid`，旧群可能保留历史值 |
+| `name` | string | 群组名称 |
+| `owner_aid` | string | 群主 AID |
+| `creator_aid` | string | 创建者 AID |
+| `visibility` | string | `"public"` / `"private"` |
+| `status` | string | `"active"` / `"suspended"` / `"dissolved"` |
 | `description` | string | 群组描述 |
 | `metadata` | object | 自定义元数据 |
-| `dispatch_mode` | string | 群分发模式：`"broadcast"`（默认）/ `"mention"`，详见 [10.2.x 群分发模式](#1023-群分发模式dispatch_mode) |
+| `dispatch_mode` | string | 群分发模式：`"broadcast"`（默认）/ `"mention"`，详见 [10.2.3 群分发模式](#1023-群分发模式dispatch_mode) |
 | `member_count` | integer | 成员数量 |
 | `message_seq` | integer | 最新消息序号 |
 | `event_seq` | integer | 最新事件序号 |
-| `created_at` | integer | 创建时间（Unix 毫秒） |
-
-### Group AID / Group ID 兼容规范
-
-当前实现的群组主标识是 `group_aid`，格式为 `{base}.{issuer-domain}`，例如 `10042.agentid.pub`、`team01.agentid.pub`、`g-abc123.agentid.pub`。`group_id` 字段名和参数名继续保留，用于兼容旧 SDK / 旧数据库行；新建群以 `group_aid` 为准，新群的 `group_id` 通常也写入同一个 `group_aid` 值。前缀 `g-` 为 Group 保留前缀（legacy base 格式），普通 AID 的本地名称不得以 `g-` 开头，避免与群标识混淆。
+| `created_at` | integer | 创建时间（Unix 毫秒） |
+
+### Group AID / Group ID 兼容规范
+
+当前实现的群组主标识是 `group_aid`，格式为 `{base}.{issuer-domain}`，例如 `10042.agentid.pub`、`team01.agentid.pub`、`g-abc123.agentid.pub`。`group_id` 字段名和参数名继续保留，用于兼容旧 SDK / 旧数据库行；新建群以 `group_aid` 为准，新群的 `group_id` 通常也写入同一个 `group_aid` 值。前缀 `g-` 为 Group 保留前缀（legacy base 格式），普通 AID 的本地名称不得以 `g-` 开头，避免与群标识混淆。
 
 **支持的 base 格式**（不含域名部分）：
 - **Legacy 格式**: `g-[a-z0-9]{4,32}` — 以 `g-` 开头，后接 4 到 32 位小写字母或数字
 - **新格式**: `[a-z0-9]{5,}` — 5 位或更多小写字母或数字，无上限
 - **Group name 格式**: `[a-z0-9][a-z0-9_-]{3,63}` — 4 到 64 个字符，可包含下划线和短横线
 
-服务端必须接受以下输入形式，并在 API 边界统一为目标态 `group_aid`：
-
-| 输入形式 | 用途 | 规范化结果 |
-|----------|------|----------------|
-| `{base}` | 本地域内简写（base 为上述任一格式） | 若本域 issuer 为 `issuer-domain`，规范化为 `{base}.issuer-domain` |
-| `{base}@issuer-domain` | 旧跨域兼容形式 | 规范化为 `{base}.issuer-domain` |
-| `{base}.issuer-domain` | 目标态形式 | 保持为 `{base}.issuer-domain` |
-| `group.issuer-domain/{base}` | 旧 URL 风格兼容形式 | 规范化为 `{base}.issuer-domain` |
-
-规范化规则：
-
-- `group_aid` 比较、成员归属、权限校验、E2EE AAD / 签名输入应使用目标态 `{base}.{issuer-domain}`。
-- 输入必须先 trim 并转换为小写；`group.{issuer}/{base}`、`{base}@issuer` 等形式仅作为兼容输入，进入主流程前必须转换为目标态 `group_aid`。
-- 本域内客户端可以提交 `{base}` 简写；服务端按本域 `AUN_ISSUER_DOMAIN` 解析为 `{base}.{issuer-domain}`。没有本域 issuer 配置时，简写保持为 `{base}`。
-- 跨域消息、邀请传播、日志和协议响应应优先使用 `group_aid`，避免远端误把短 ID 当成本域群。
-- `group.create` 可以指定 `group_aid`；`group_id` 仍作为兼容别名。指定时必须满足上述格式且未被占用，被占用时返回错误。未指定时由服务端自动分配数字 base。
-- 自动生成的群标识使用单调群号 base（例如 `10042`）并按本域 issuer 生成 `{group_no}.{issuer-domain}`；服务端通过唯一约束或等效机制保证 `group_aid` 唯一，发现碰撞时重新生成。
-- 在 `https://group.{issuer-domain}/...` 这类已携带 issuer 的公开 HTTP 主机下，当前生成的群链接 path 使用单段 `group_aid`，例如 `https://group.agentid.pub/10042.agentid.pub/invite/ic-xxx`。历史 `{base}` 简写链接可继续由服务端兼容解析。
+服务端必须接受以下输入形式，并在 API 边界统一为目标态 `group_aid`：
+
+| 输入形式 | 用途 | 规范化结果 |
+|----------|------|----------------|
+| `{base}` | 本地域内简写（base 为上述任一格式） | 若本域 issuer 为 `issuer-domain`，规范化为 `{base}.issuer-domain` |
+| `{base}@issuer-domain` | 旧跨域兼容形式 | 规范化为 `{base}.issuer-domain` |
+| `{base}.issuer-domain` | 目标态形式 | 保持为 `{base}.issuer-domain` |
+| `group.issuer-domain/{base}` | 旧 URL 风格兼容形式 | 规范化为 `{base}.issuer-domain` |
+
+规范化规则：
+
+- `group_aid` 比较、成员归属、权限校验、E2EE AAD / 签名输入应使用目标态 `{base}.{issuer-domain}`。
+- 输入必须先 trim 并转换为小写；`group.{issuer}/{base}`、`{base}@issuer` 等形式仅作为兼容输入，进入主流程前必须转换为目标态 `group_aid`。
+- 本域内客户端可以提交 `{base}` 简写；服务端按本域 `AUN_ISSUER_DOMAIN` 解析为 `{base}.{issuer-domain}`。没有本域 issuer 配置时，简写保持为 `{base}`。
+- 跨域消息、邀请传播、日志和协议响应应优先使用 `group_aid`，避免远端误把短 ID 当成本域群。
+- `group.create` 可以指定 `group_aid`；`group_id` 仍作为兼容别名。指定时必须满足上述格式且未被占用，被占用时返回错误。未指定时由服务端自动分配数字 base。
+- 自动生成的群标识使用单调群号 base（例如 `10042`）并按本域 issuer 生成 `{group_no}.{issuer-domain}`；服务端通过唯一约束或等效机制保证 `group_aid` 唯一，发现碰撞时重新生成。
+- 在 `https://group.{issuer-domain}/...` 这类已携带 issuer 的公开 HTTP 主机下，当前生成的群链接 path 使用单段 `group_aid`，例如 `https://group.agentid.pub/10042.agentid.pub/invite/ic-xxx`。历史 `{base}` 简写链接可继续由服务端兼容解析。
 
 ### 10.2.3 群分发模式（dispatch_mode）
 
@@ -102,20 +102,20 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 ### Member 对象
 
-| 字段 | 类型 | 说明 |
-|------|------|------|
-| `aid` | string | 成员 AID |
-| `group_id` | string | 群组标识兼容字段，值语义为 `group_aid` |
-| `role` | string | `"owner"` / `"admin"` / `"member"` |
-| `joined_at` | integer | 加入时间（Unix 毫秒） |
-| `last_ack_seq` | integer | 最后已读消息序号 |
+| 字段 | 类型 | 说明 |
+|------|------|------|
+| `aid` | string | 成员 AID |
+| `group_id` | string | 群组标识兼容字段，值语义为 `group_aid` |
+| `role` | string | `"owner"` / `"admin"` / `"member"` |
+| `joined_at` | integer | 加入时间（Unix 毫秒） |
+| `last_ack_seq` | integer | 最后已读消息序号 |
 
 ### Message 对象
 
-| 字段 | 类型 | 说明 |
-|------|------|------|
-| `group_id` | string | 群组标识兼容字段，值语义为 `group_aid` |
-| `seq` | integer | 消息序号（群内单调递增） |
+| 字段 | 类型 | 说明 |
+|------|------|------|
+| `group_id` | string | 群组标识兼容字段，值语义为 `group_aid` |
+| `seq` | integer | 消息序号（群内单调递增） |
 | `message_id` | string | 消息 UUID |
 | `sender_aid` | string | 发送者 AID |
 | `message_type` | string | 信封/封装类型，如 `e2ee.group_encrypted`；业务负载类型在 `payload.type` 中 |
@@ -151,11 +151,11 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 **参数**：
 
-| 参数 | 类型 | 必填 | 说明 |
-|------|------|:----:|------|
-| `name` | string | ✅ | 群组名称 |
-| `group_aid` | string | ❌ | 自定义群主标识，目标态为 `{base}.{issuer-domain}`；不提供则服务端自动生成 |
-| `group_id` | string | ❌ | 兼容别名，值语义同 `group_aid`；支持 legacy base `g-[a-z0-9]{4,32}`、新 base `[a-z0-9]{5,64}` 或 group name `[a-z0-9][a-z0-9_-]{3,63}` |
+| 参数 | 类型 | 必填 | 说明 |
+|------|------|:----:|------|
+| `name` | string | ✅ | 群组名称 |
+| `group_aid` | string | ❌ | 自定义群主标识，目标态为 `{base}.{issuer-domain}`；不提供则服务端自动生成 |
+| `group_id` | string | ❌ | 兼容别名，值语义同 `group_aid`；支持 legacy base `g-[a-z0-9]{4,32}`、新 base `[a-z0-9]{5,64}` 或 group name `[a-z0-9][a-z0-9_-]{3,63}` |
 | `visibility` | string | ❌ | `"public"` / `"private"`，默认由服务配置决定 |
 | `description` | string | ❌ | 群组描述 |
 | `metadata` | object | ❌ | 自定义元数据 |
@@ -168,10 +168,10 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 ```json
 {
-    "group": {
-        "group_id": "g-abc123.agentid.pub",
-        "group_aid": "g-abc123.agentid.pub",
-        "name": "测试群",
+    "group": {
+        "group_id": "g-abc123.agentid.pub",
+        "group_aid": "g-abc123.agentid.pub",
+        "name": "测试群",
         "owner_aid": "alice.agentid.pub",
         "creator_aid": "alice.agentid.pub",
         "visibility": "private",
@@ -179,7 +179,7 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
         "member_count": 1,
         "message_seq": 0,
         "event_seq": 0,
-        "created_at": 1234567890000
+        "created_at": 1234567890000
     },
     "aid": "alice.agentid.pub"
 }
@@ -193,7 +193,7 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 | 参数 | 类型 | 必填 | 说明 |
 |------|------|:----:|------|
-| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
+| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
 | `required` | string[] | ❌ | 可选值：`member` / `state` / `e2ee` / `avatar` |
 
 **响应**：平铺对象。默认字段包含 `found`、`group_id`、`group_aid`、`name`、`visibility`、`status`、`description`、`member_count`、`created_at`。
@@ -261,7 +261,7 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 | 参数 | 类型 | 必填 | 说明 |
 |------|------|:----:|------|
-| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
+| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
 | `aid` | string | ✅ | 要添加的 AID |
 | `role` | string | ❌ | `"member"` / `"admin"`，默认 `"member"` |
 | `member_type` | string | ❌ | `"human"` / `"ai"`，默认 `"human"` |
@@ -308,7 +308,7 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 | 参数 | 类型 | 必填 | 默认值 | 说明 |
 |------|------|:----:|--------|------|
-| `group_id` | string | ✅ | — | 群组标识兼容字段，值语义为 `group_aid` |
+| `group_id` | string | ✅ | — | 群组标识兼容字段，值语义为 `group_aid` |
 | `page` | integer | ❌ | 1 | 页码 |
 | `size` | integer | ❌ | 50 | 每页条数 |
 | `role` | string | ❌ | — | 按角色过滤 |
@@ -351,14 +351,14 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 | 参数 | 类型 | 必填 | 说明 |
 |------|------|:----:|------|
-| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
+| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
 | `type` | string | ❌ | 信封/封装类型，普通业务消息无需填写；SDK 加密群消息时自动使用 `e2ee.group_encrypted` |
 | `payload` | object | ✅ | 消息内容 |
 | `attachments` | array | ❌ | 存储引用列表 |
 
 ##### Payload 参考约定
 
-`group.send.params.payload` 的统一业务负载格式见 [消息Payload参考约定](../sdk/消息Payload参考约定.md)。完整群消息请求仍在 `payload` 同级传入 `group_id`（兼容参数名，值使用目标态 `group_aid`）；业务类型放在 `payload.type`，不要与 `group.send.params.type` 信封/封装类型混用。
+`group.send.params.payload` 的统一业务负载格式见 [消息Payload参考约定](../sdk/消息Payload参考约定.md)。完整群消息请求仍在 `payload` 同级传入 `group_id`（兼容参数名，值使用目标态 `group_aid`）；业务类型放在 `payload.type`，不要与 `group.send.params.type` 信封/封装类型混用。
 
 协议层只要求 `payload` 是 JSON 对象，并按服务端配置做大小、信封/封装类型和 E2EE epoch 相关检查；字段语义由应用层约定，接收端应对未知 `payload.type`、未知 `kind` 和缺失展示字段做降级处理。
 
@@ -399,9 +399,9 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 | 参数 | 类型 | 必填 | 默认值 | 说明 |
 |------|------|:----:|--------|------|
-| `group_id` | string | ✅ | — | 群组标识兼容字段，值语义为 `group_aid` |
+| `group_id` | string | ✅ | — | 群组标识兼容字段，值语义为 `group_aid` |
 | `after_message_seq` | integer | ❌ | 0 | 拉取该 seq 之后的消息 |
-| `limit` | integer | ❌ | 50 | 最大条数（最大 50；`pull_max_limit` 配置只能进一步收紧） |
+| `limit` | integer | ❌ | 50 | 最大条数（最大 50；`pull_max_limit` 配置只能进一步收紧） |
 | `device_id` | string | ❌ | — | 设备 ID（多设备模式） |
 
 **响应**：
@@ -412,7 +412,7 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
     "messages": [ ... ],
     "latest_message_seq": 42,
     "has_more": false,
-    "limit": 50
+    "limit": 50
 }
 ```
 
@@ -446,7 +446,7 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 | 参数 | 类型 | 必填 | 默认值 | 说明 |
 |------|------|:----:|--------|------|
-| `group_id` | string | ✅ | — | 群组标识兼容字段，值语义为 `group_aid` |
+| `group_id` | string | ✅ | — | 群组标识兼容字段，值语义为 `group_aid` |
 | `status` | string | ❌ | `"pending"` | `"pending"` / `"approved"` / `"rejected"` |
 | `page` | integer | ❌ | 1 | 页码 |
 | `size` | integer | ❌ | 50 | 每页条数 |
@@ -461,7 +461,7 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 | 参数 | 类型 | 必填 | 说明 |
 |------|------|:----:|------|
-| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
+| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
 | `aid` | string | ✅ | 申请人 AID |
 | `approve` | boolean | ❌ | 批准（true）或拒绝（false），默认 true |
 | `reason` | string | ❌ | 拒绝原因 |
@@ -484,7 +484,7 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 | 参数 | 类型 | 必填 | 说明 |
 |------|------|:----:|------|
-| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
+| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
 | `code` | string | ❌ | 自定义邀请码，不提供则自动生成 |
 | `max_uses` | integer | ❌ | 最大使用次数，默认 1，必须 > 0 |
 | `expires_in_seconds` | integer | ❌ | 有效期（秒），默认由配置决定（7 天） |
@@ -567,7 +567,130 @@ Group 服务是 AUN 协议的应用层扩展，提供多人群组通信能力。
 
 ---
 
-## 10.13 事件
+## 10.13 群设置与 `group.index`
+
+`group.set_settings` / `group.get_settings` 是群公告、群规则、入群要求、分发模式等群级设置的统一 RPC。`group.index` 是保留设置 key，用于保存 owner/admin SDK 生成并签名的群索引 JSONL。
+
+### Indexed Settings
+
+以下设置属于 indexed settings，修改时必须同包提交新的签名 `group.index`：
+
+| key | 说明 |
+|-----|------|
+| `rules.content` | 群规则正文 |
+| `rules.attachments` | 群规则附件稳定引用 |
+| `announcement.content` | 群公告正文 |
+| `announcement.attachments` | 群公告附件稳定引用 |
+| `join.mode` | 入群模式 |
+| `join.question` | 入群问题 |
+| `join.auto_approve_patterns` | 自动批准规则 |
+| `join.max_pending` | 最大待审批数量 |
+
+`dispatch_mode`、`name`、`description`、`visibility` 等设置不属于 indexed settings，可继续通过普通 `group.set_settings` 写入，不要求 `group.index`。
+
+### `group.index` 正文
+
+`group.index` 的值是对象，当前至少包含 `body` 字段。`body` 是 canonical JSONL：
+
+```jsonl
+{"type":"index_meta","group_aid":"g-abc123.agentid.pub","etag":"\"sha256:...\"","last_modified":1780000000000,"schema":"aun.group.index.v1","body_hash":"sha256:...","signed_by":"alice.agentid.pub","sig_alg":"ECDSA-P256-SHA256","signature":"base64..."}
+{"key":"rules.content","source":"db","etag":"\"sha256:...\"","last_modified":1780000000000}
+```
+
+规则：
+
+- 第一行必须是 `type=index_meta`。
+- `schema` 当前为 `aun.group.index.v1`。
+- `etag` 是正文条目的 canonical JSONL bytes 的 SHA-256，格式为 `"sha256:<hex>"`（meta 行与 entries 行的 etag 字段均采用此格式）。
+- `body_hash` 是同一正文条目 bytes 的 SHA-256，格式为 `sha256:<hex>`（不带引号）。
+- `signed_by` 必须等于本次 RPC actor AID。
+- `signature` 覆盖去掉 `signature` 字段后的 `index_meta` 和正文条目的 canonical JSONL bytes。
+- canonical JSONL 使用 AUN V2 canonical JSON 规则：对象 key 按 Unicode code point 排序，非 ASCII 直出，数字不用科学计数法，整数值 float 输出为整数 token，NaN/Infinity 和超过安全整数范围的数字必须拒绝。
+- 当前 P-256 身份使用 `sig_alg=ECDSA-P256-SHA256`；服务端校验实现已支持 Ed25519（`sig_alg=Ed25519`）和 RSA（`sig_alg=RSA-PKCS1v15-SHA256`）签名算法，**但当前版本四个语言 SDK 的 `verifyGroupIndex` / `buildSignedGroupIndex` 仅支持 ECDSA-P256-SHA256**。使用 Ed25519 或 RSA 算法签名的 `group.index` 无法被 SDK 侧验证，建议统一使用 P-256 身份。
+
+Group 服务不根据 DB 状态生成 `group.index` 正文，只校验、CAS 保存和返回 owner/admin SDK 提交的签名正文。
+
+### `group.set_settings`
+
+需要 admin 及以上权限。
+
+| 参数 | 类型 | 必填 | 说明 |
+|------|------|:----:|------|
+| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
+| `settings` | object | ✅ | 要写入的设置键值 |
+| `expected_index_etag` | string | 写 `group.index` 时必填 | CAS 期望旧 etag；空字符串表示只允许创建首个 `group.index` |
+
+写入约束：
+
+- 只更新非 indexed settings 时，不需要 `group.index` 和 `expected_index_etag`。
+- 更新任意 indexed setting 时，`settings` 必须同时包含 `group.index`。
+- 写入 `group.index` 时必须传 `expected_index_etag`。
+- 服务端在同一事务内比较当前 `group.index` etag、写 indexed settings、写 `group.index`；同请求内混入的普通 settings 和可事务化群元数据也一起提交或回滚。
+- CAS 失败返回错误，错误消息包含 `group.index etag conflict`；SDK 应重新 `getGroupIndex`，合并本地修改并重新签名后再提交。
+
+响应示例：
+
+```json
+{
+  "group_id": "g-abc123.agentid.pub",
+  "group_aid": "g-abc123.agentid.pub",
+  "updated_keys": ["announcement.content", "group.index"],
+  "_meta": {
+    "group_indexes": {
+      "g-abc123.agentid.pub": {
+        "etag": "\"sha256:...\"",
+        "last_modified": 1780000000000,
+        "schema": "aun.group.index.v1"
+      }
+    }
+  }
+}
+```
+
+### `group.get_settings`
+
+成员可读。`keys=["group.index"]` 用于从服务端摘取当前签名 `group.index`。
+
+| 参数 | 类型 | 必填 | 说明 |
+|------|------|:----:|------|
+| `group_id` | string | ✅ | 群组标识兼容字段，值语义为 `group_aid` |
+| `keys` | string[] | ❌ | 只读取指定 key；读取 `group.index` 时服务端强制返回对应 `_meta.group_indexes` |
+
+响应示例：
+
+```json
+{
+  "group_id": "g-abc123.agentid.pub",
+  "group_aid": "g-abc123.agentid.pub",
+  "settings": [
+    {"key": "group.index", "value": {"body": "..."}, "updated_by": "alice.agentid.pub", "updated_at": 1780000000000}
+  ],
+  "_meta": {
+    "group_indexes": {
+      "g-abc123.agentid.pub": {
+        "etag": "\"sha256:...\"",
+        "last_modified": 1780000000000,
+        "schema": "aun.group.index.v1"
+      }
+    }
+  }
+}
+```
+
+### `_meta.group_indexes`
+
+`_meta.group_indexes` 是版本提示，不是 index 正文：
+
+- key 是 canonical `group_aid`。
+- value 当前包含 `etag`、`last_modified`、`schema`。
+- Group 服务负责注入；Gateway/Message 最多透传或合并 `_meta`，不得计算、生成或改写 group index。
+- 普通 settings 读取会按 actor/device/slot + group + etag 做注入频率控制；显式读取 `group.index` 和写入成功时强制注入。
+- SDK 观察到新 `etag` 只记录远端版本提示；etag 不一致只表示本地与远端不同步，不表示远端一定应覆盖本地。
+- 是否调用 `getGroupIndex` pull 远端，或调用 `updateGroupIndex` push 本地修改，由应用层决定。
+
+---
+
+## 10.14 事件
 
 Group 服务通过 `event/group.*` 事件推送变更通知给相关 AID。
 
@@ -616,12 +739,12 @@ Group 服务通过 `event/group.*` 事件推送变更通知给相关 AID。
 | `invite_code_used` | 邀请码使用 |
 | `invite_code_revoked` | 邀请码撤销 |
 | `member_banned` | 成员被封禁 |
-| `member_unbanned` | 成员解除封禁 |
-| `suspended` | 群组暂停 |
-| `resumed` | 群组恢复 |
-| `dissolved` | 群组解散 |
-
-### `event/group.message_created`
+| `member_unbanned` | 成员解除封禁 |
+| `suspended` | 群组暂停 |
+| `resumed` | 群组恢复 |
+| `dissolved` | 群组解散 |
+
+### `event/group.message_created`
 
 群内新消息时推送给所有在线成员。支持两种模式：
 
@@ -661,7 +784,7 @@ Group 服务通过 `event/group.*` 事件推送变更通知给相关 AID。
 
 ---
 
-## 10.12 错误码
+## 10.15 错误码
 
 | 错误码 | 说明 | 客户端处理 |
 |--------|------|-----------|
@@ -669,7 +792,7 @@ Group 服务通过 `event/group.*` 事件推送变更通知给相关 AID。
 | -32602 | Invalid params（如缺少 group_id） | 检查参数 |
 | -32004 | Permission denied（权限不足） | 提示用户，不重试 |
 | -32001 | Authentication failed | 重新认证 |
-| -33001 | Group not found | 检查规范化后的 `group_aid`（`group_id` 为兼容参数名） |
+| -33001 | Group not found | 检查规范化后的 `group_aid`（`group_id` 为兼容参数名） |
 | -33002 | Group state invalid（群状态不允许该操作） | 检查群状态 |
 | -33003 | Group suspended | 等待恢复或联系管理员 |
 | -33004 | Group member limit reached | 不重试 |
@@ -679,11 +802,15 @@ Group 服务通过 `event/group.*` 事件推送变更通知给相关 AID。
 | -33008 | Invite code invalid or expired | 获取新邀请码 |
 | -33009 | Join rejected | 不重试 |
 
+`group.index etag conflict` 表示 `expected_index_etag` 与服务端当前 `group.index` etag 不一致。客户端应先重新读取 `group.index`，在最新 index 上合并本地修改并重新签名后再提交。
+
 ---
 
-## 10.13 设计约束与实现说明
+## 10.16 设计约束与实现说明
 
 - **Group Service 是独立 AID 持有者**：所有 `group.*` 方法都通过 Group Service 的 AID 暴露，不内嵌于 Gateway。
+- **group.index 由 SDK 生成**：Group 服务只校验、CAS 保存和注入 meta，不根据 DB 状态拼装 `group.index`。
+- **Gateway/Message 不承载 group.index 业务语义**：只能转发或合并 `_meta`，不能生成或改写 `_meta.group_indexes`。
 - **消息 seq 单调递增**：per-group 粒度，确保顺序一致性，`ack_seq` 仅增不减。
 - **事件 seq 独立计数**：`event_seq` 与 `message_seq` 独立；消息增量拉取使用 `group.pull`，事件增量拉取使用 `group.pull_events`。
 - **duty 模式**：`duty_mode` 非 `"none"` 且 `duty_human_message_policy = "dispatch"` 时，消息先推送给当班成员处理，回复后再广播；`group.pull` 始终可拉取全量消息。

package/_packed_docs/protocol/README.md

@@ -38,10 +38,11 @@ AUN 是 ACP 协议的 2.0 版本，采用 WebSocket + JSON-RPC 2.0 定义 Agent
 | 文档 | 内容 |
 |------|------|
 | [06-服务协议.md](06-服务协议.md) | 业务层方法：message.* / meta.* / search.* / task.* / 跨域消息路由 / E2EE 摘要 / `pki.{issuer}` 与 `ct.{issuer}` 公开端点 |
-| [07-错误码与状态机.md](07-错误码与状态机.md) | 错误码分层汇总、各模式状态机、可重试/不可重试分类 |
+| [07-错误码与状态机.md](07-错误码与状态机.md) | 错误码分层汇总、各模式状态机、可重试/不可重试分类 |
 | [08-AUN-E2EE.md](08-AUN-E2EE.md) | Legacy P2P E2EE 信封说明；当前默认主路径见 SDK V2 多设备 wrap 文档 |
 | [08-AUN-E2EE-Group.md](08-AUN-E2EE-Group.md) | 群组 E2EE V2：消息级密钥、逐设备密钥包裹、成员状态签名验证 |
-| [16-系统目录保护方案.md](16-系统目录保护方案.md) | `memberdata` 与 `group_data` 的系统目录保护、`group_data` 目录树隐藏与读下载/写保护边界、Group FS 授权路径和配额归属 |
+| [10-Group-子协议.md](10-Group-子协议.md) | `group.*` 群组管理、群消息、`group.index` 签名索引、`_meta.group_indexes` 和 CAS 更新 |
+| [16-系统目录保护方案.md](16-系统目录保护方案.md) | `memberdata` 与 `group_data` 的系统目录保护、`group_data` 目录树隐藏与读下载/写保护边界、Group FS 授权路径和配额归属 |
 
 ### 附录
 

package/_packed_docs/protocol/aun-docs-guide.md

@@ -41,8 +41,9 @@ AUN 协议采用**主协议 + 子协议**架构：
 | Gateway 模式接入 | 03-Gateway-连接模式.md |
 | Peer 直连认证 | 04-Peer-子协议.md |
 | Relay 中继 | 05-Relay-子协议.md |
-| 消息收发、搜索、任务 | 06-服务协议.md |
-| 错误码和状态机 | 07-错误码与状态机.md |
+| 消息收发、搜索、任务 | 06-服务协议.md |
+| 群组、group.index 签名索引和 CAS | 10-Group-子协议.md |
+| 错误码和状态机 | 07-错误码与状态机.md |
 | E2EE 加密 | ../sdk/E2EE_V2消息通信时序图.md / 08-AUN-E2EE-Group.md；旧信封查 08-AUN-E2EE.md |
 | 安全威胁和防护 | 09-安全考虑.md |
 | 客户端接入代码示例 | 附录J-客户端接入示例.md |