test(ncm): M9 分类/登录门宿主单测（83 断言）+ 传输层归一 4 例 + REPORT §41

- bench/session_gate_sim.c（新）：真实 core + ncm_http_request 桩，覆盖
  A 错误分类矩阵（-4/-5/-6/-17/裸 mbedtls vs -13/其它）、B HTTP 状态矩阵
  （401/403 vs 5xx/429 vs 3xx/4xx）、C 登录门 + 启动决策（无网→离线、无会话→扫码）、
  D 真实 ncm_api 状态/业务码映射（含 -460→SVC、301/302→AUTH）、
  E 真实 ncm_login_status_check/refresh 映射、F 会话密钥稳定性（换 MAC 仍可解、
  旧 MAC 密文可解且自动迁移）。83 PASS / 0 FAIL，0 真实请求。
- bench/http_truncate_sim.c：追加 4 例传输层归一（握手 fatal alert→NET、握手超时→TIMEOUT、
  读 fatal alert→NET、CA 失败→TLS），原 8 例截断守卫零回归（12 PASS）。
- build_ncm_sims.sh：window/search/plpage/apicache/cookie_refresh 链入 ncm_session.o
  （appstate/api/login 新依赖），新增 session_gate_sim 构建与运行。
- test_ncm_core.c：采用 M8 分支的 $TMPDIR 适配（Termux /tmp 不可写；合并时以 M8 为准）。
- 相关 sim 头注释同步链接命令（ncm_apicache.o/ncm_session.o）。
- REPORT §41：判定点调用链与行号、根因证据、实现、验证矩阵与诚实出入
  （mipsel/真机未跑；app.c 宿主不可编译的既有原因；403/-460 取舍）。

验证：test_ncm_core_host 139 PASS/0 FAIL；session_gate_sim 83 PASS；
http_truncate_sim 12 PASS；window/search/apicache/cookie_refresh sim 通过；
核心 12 TU + 应用 13 TU（-Wall -Wextra）0 warning。

patch_v2/ncm_app/REPORT.md

@@ -3480,3 +3480,110 @@ MP3 ≤128k→标准，>128k→极高 HQ。列表显示**实际档**（如 hires
 - **live 网络测试跳过**：Termux 环境 HTTPS 到 music.163.com 返回 rc=-5（网络/证书被拒），2 项 SKIP；加密/缓存/API 解析等离线项全部 PASS。
 - **产物不入库**：`ncm` 二进制、`meow_ui.a`、vendor、`out/` 均只在本机产出；仓库中原本被跟踪的旧 `ncm`/`test_ncm_core_host` 已恢复为 HEAD 版本，避免把本机构建产物带进提交。
 - 卡上保留两份备份（`ncm.bak` 与 `ncm.bak.<旧md5>`），需要回滚可 `cp` 任一覆盖。
+
+## 41. M9：断网保持登录态 + 离线模式（账号态不被网络故障否决）（2026-11-05）
+
+> 用户原话：「网易云有个问题，只要设备一断网 它就会自动退出到扫码登录界面，而不会保持当前账号状态
+> 切换到离线模式。这样导致昨天刚做的那个缓存列表形同虚设。估计是没有判断网络状态 把网络访问不可达
+> 当成了登录状态过期」。
+>
+> 目标：网络不可达/超时/DNS/连接失败/服务端 5xx → **保持账号态**、进入离线模式（界面可见提示、
+> 缓存列表可打开可播放、不弹扫码），网络恢复后回在线；只有服务端**明确**未登录/鉴权失败
+> （HTTP 401、业务码 301/302）才沿用原退出登录逻辑。排除：不做离线下载/搜索等在线功能。
+> 红线：0warning；宿主可验证错误分类单测必过；不碰真机；不 push。
+>
+> 编号说明：§40 为 M8 交叉编译/热更（本分支已 rebase 到含 §40 的 main），本节顺延 §41。
+
+### 41.1 判定点盘点：谁会把用户踢回扫码
+
+| # | 位置 | 触发 | 后果 |
+|---|------|------|------|
+| ① | `app/app.c:176-180` `app_on_tick` | `account_cookie_need_relogin()`（仅由 `account_cookie_maybe_refresh` 置位） | `appstate_logout()`（删 `session.enc`、清 uid/vip）+ `meow_view_page_replace(ACT_LOGIN)` |
+| ② | `app/logic/appstate.c:231-256` `appstate_ensure_uid` | `ncm_login_status_check` 返回 `NCM_ERR_AUTH` | `ncm_ctx_clear_cookie` + `logged_in=0`（首页转「未登录/会话过期」） |
+| ③ | `app/app.c:245-252` 启动根页 + `app/logic/appstate.c:100` | `g_st.logged_in = (cookie[0] != 0)`；cookie 只在 `ncm_ctx_load_cookie` 解密成功时非空 | cookie 解密失败 → 直接进 `ACT_LOGIN`（扫码页） |
+| ④ | `app/ui/settings.c` | 用户点「退出登录」 | 主动登出（保留原逻辑） |
+
+调用链（①）：`home_worker`(`app/ui/home.c`) → `account_cookie_maybe_refresh`(`app/logic/account.c:181`)
+→ `ncm_login_refresh`(`core/ncm_login.c:190`) → 返回码 → `s_cookie_need_relogin=1`(`account.c:210-215`)
+→ `app_on_tick`(`app.c:176`) → `appstate_logout()` + 扫码页。
+调用链（②）：`appstate_load_playlists`(`appstate.c:227`) → `appstate_ensure_uid`(`appstate.c:231`)
+→ `ncm_login_status_check`(`core/ncm_login.c:142`) → 返回码 → 清 cookie(`appstate.c:246-250`)。
+
+### 41.2 根因：哪些失败被误判成「登录失效」
+
+代码级证据（均为本批修改前的行为）：
+
+1. **任何业务码非 200 都当会话失效**：`core/ncm_login.c:227`（改前）`if (code != 200) return NCM_ERR_AUTH;`
+   —— `-460`（风控/请求被拒，换网/恢复网络时常见）也被判 AUTH。`core/ncm_api.c:104`（改前）
+   把 `-460/2000/201` 一律映射 `NCM_ERR_AUTH`。→ 网络环境变化触发的风控被当成「会话过期」。
+2. **HTTP 状态被完全忽略**：`api_post`（`core/ncm_api.c:123`）与 `ncm_login_status_check`
+   （`core/ncm_login.c:162`）只看 body 里的业务码。HTTP 401/403 与 5xx/网关 HTML 都落进
+   「JSON 解析失败 / 缺字段」；反过来 5xx 与网络故障无法区分，离线判定拿不到可靠输入。
+3. **mbedtls 裸负码穿透**：`http_run` 的握手/写入失败分支 `goto done` 直接把 mbedtls 的负码
+   （如 `-0x7280`）返回给上层（`core/ncm_http.c` 改前 `done:` 段）；上层按 `NCM_ERR_*` 比较，
+   落进「未知错误」，既判不了离线也判不了鉴权。
+4. **启动无网的持久化缺陷（与错误分类无关，但症状一致）**：会话 cookie 的加密密钥是
+   `sha256(首选网卡 MAC + 盐)`（`core/ncm_store.c:102-135 read_mac` 遍历 `/sys/class/net` 取首个
+   非 lo 网卡 + `151-171` 派生）。网卡集合/readdir 顺序随网络状态变化（断网时 Wi-Fi 网卡可能
+   从 `/sys/class/net` 消失，或选到另一块网卡）→ 派生密钥变化 → `session.enc` 解密失败
+   （`ncm_store.c:260-268` → `ncm_ctx_load_cookie` → `appstate.c:100`）→ cookie 为空 →
+   `logged_in=0` → **启动即进扫码页**。这正是「一断网就退到扫码」在启动侧的机制。
+
+结论：设计上缺少「失败分类」这一层——传输层/服务端暂不可用、鉴权失败、数据解析失败共用
+「负错误码」这一个通道，登录门（`app.c` / `appstate_ensure_uid`）只能按 AUTH 一个值判断，
+于是任何上游映射偏差都会变成「退出登录」。
+
+### 41.3 实现
+
+| 文件 | 改动 |
+|---|---|
+| `core/ncm_session.h/.c`（新） | 纯逻辑分类层：`ncm_err_classify`（NETWORK/AUTH/OTHER；`-4/-5/-6/-17` 与历史 mbedtls 裸负码→NETWORK，仅 `-13`→AUTH）、`ncm_http_status_class/err`（401/403→AUTH；408/425/429/5xx→SVC；其它非 2xx→HTTP）、`ncm_gate_decide`（一次请求→在线/离线/退登录/保持）、`ncm_session_boot_decide`（有本地会话就先信它，无网→离线，绝不因连不上进扫码）。 |
+| `core/ncm_common.h` | 新增 `NCM_ERR_SVC = -17`（服务端 5xx/429/-460：暂不可用，可重试，**不是**登录失效）。 |
+| `core/ncm_http.c` | 新增 `http_ret_norm`：超时→`NCM_ERR_TIMEOUT`、证书→`NCM_ERR_TLS`、其它 mbedtls 负码→`NCM_ERR_NET`，在 `done:` 统一归一（532 行）。 |
+| `core/ncm_api.c` | `api_status_gate`：非 2xx 先按状态定性（401/403→AUTH、5xx/429→SVC、其它→HTTP），不再把 5xx HTML 丢给 JSON 解析；业务码映射加 302→AUTH、`-460`→SVC（113-141 行）。 |
+| `core/ncm_login.c` | `ncm_login_status_check` / `ncm_login_refresh` 先过 HTTP 状态门，再按业务码：301/302→AUTH、`-460`→SVC、其它→HTTP（163-249 行）。`-460` 不再触发退扫码。 |
+| `core/ncm_store.c/.h` | 会话密钥改为设备私有 `<data_dir>/.mkey` 派生（`key_from_mkey`/`session_key`，175-193 行）；旧 MAC 派生密文仍可解（`cookie_decrypt_sel`，270 行）且 `load_session` 命中旧密钥时自动重写迁移（306-317 行）。 |
+| `core/ncm_apicache.c/.h` | 新增命中计数 `ncm_apicache_hits()`：离线时读到 120s 旧缓存仍是 `NCM_OK`，不能据此判「已回在线」。 |
+| `app/ncm_app_internal.h` | `ncm_app_state_t` 增 `offline`；新增 `appstate_session_gate/is_offline/offline_set`。 |
+| `app/logic/appstate.c` | 新增离线状态机（177-197 行）；`appstate_ensure_uid` 仅 AUTH 清 cookie，网络类只切离线（231-256 行）；init/logout 清零离线态。 |
+| `app/app.c` | 启动根页改由 `ncm_session_boot_decide` 决定并打日志（245-252 行）；`need_relogin` 路径保持（仅 AUTH 会置位）。 |
+| `app/ui/home.c` | worker 结果经 `appstate_session_gate`（缓存命中不算回在线，271-272 行）；个人卡右侧「离线模式」红标 + 页脚提示 + 空态「离线模式/可播放已缓存」；离线时每 30s 静默重试一次（强制绕过接口缓存，301-312 行）。 |
+| `app/ui/playlist.c` | 首屏结果同步会话/离线态（锁外，333 行）；空态「离线模式」。 |
+| `app/ui/search.c` / `app/ui/player.c` / `app/ui/cache.c` | 离线提示文案：搜索需网络、播放页「离线模式：网络不可用，可播放已缓存」、缓存页页脚「· 离线模式（可播放）」。 |
+| `build_core.sh` / `build_ncm.sh` | 核心源列表加 `core/ncm_session.c`。 |
+| `build_ncm_sims.sh` | window/search/plpage/apicache/cookie_refresh 链入 `ncm_session.o`；新增 `session_gate_sim` 构建/运行。 |
+| `bench/session_gate_sim.c`（新） | 分类矩阵 + HTTP 状态矩阵 + 登录门/启动门矩阵 + 真实 `ncm_api`/`ncm_login` 状态/业务码映射 + 会话密钥稳定性/旧密文迁移（83 断言）。 |
+| `bench/http_truncate_sim.c` | 追加 4 个传输层归一用例（握手 fatal alert→NET、握手超时→TIMEOUT、读 fatal alert→NET、CA 失败→TLS）。 |
+
+行为不变量（本次确立）：**只有 `NCM_ERR_AUTH`（HTTP 401/403、业务码 301/302/profile 为空）会清
+`session.enc` 并回扫码；其余一切失败最多进入离线模式，绝不动账号态。**
+
+### 41.4 验证（宿主，0 真实 NCM 请求）
+
+| 项 | 结果 |
+|---|---|
+| `bench/session_gate_sim`（新，真实 core + `ncm_http_request` 桩） | **83 PASS / 0 FAIL**：A 分类矩阵 11 例（-5/-4/-6/-17/裸 mbedtls/…）、B HTTP 状态 14 例、C 登录门 10 + 启动门 6 例、D `ncm_api` 15 例（401/403、5xx/429、业务 301/302、-460、非 JSON、传输码）、E `login_status` 8 + `login_refresh` 8 例、F 会话密钥 9 例（换 MAC 仍可解、旧密文可解并自动迁移） |
+| `bench/http_truncate_sim` | **12 PASS**（原 8 截断用例零回归 + 新 4 个传输层归一用例） |
+| `test/test_ncm_core_host`（全量核心库） | **139 PASS / 0 FAIL**（`TMPDIR` 指向可写目录；含 crypto/store/cache/tag/api/降级链全量） |
+| `bench/window_sim` / `bench/search_sim` | PASS（window 需可写 TMPDIR：本机 `/tmp` 不可写时盘缓存用例环境性失败，换 `$TMPDIR` 后 6000/6000 落盘通过） |
+| `bench/apicache_sim` / `bench/cookie_refresh_sim` | PASS（apicache 同样仅盘缓存文件路径受 `/tmp` 影响，换可写目录后通过） |
+| 宿主告警 | 核心 13 个 TU（含新 `ncm_session.c`）+ 应用 13 个 TU（login/home/playlist/player/search/cache/appstate/account/settings/queue/minibar/chrome/colors）`-Wall -Wextra` **0 warning** |
+| mipsel / 真机 | **未跑**（本机无 zig 交叉链，M8 适配层未并入；设备当前离线，真机验证后置） |
+
+### 41.5 诚实出入 / 遗留
+
+- **5xx 归类为「离线/可重试」**（`NCM_ERR_SVC`），UI 统一显示「离线模式」——网络其实可能是通的，
+  只是服务端暂不可用；文案取「可播放已缓存」这一用户可执行动作，未再细分。
+- **HTTP 403 仍按 AUTH**（标准语义：服务端理解请求但拒绝）。若真机遇到 CDN/WAF 的 403，可能造成
+  一次误登出；NCM 的风控通常以业务码 `-460` 表达（已改为 SVC）。如真机复现可再收窄为「仅 401」。
+- **离线时接口缓存命中不算「回在线」**：`ncm_apicache_hits()` 只解决 UI/重试节奏误判；离线恢复
+  探测（home 每 30s）强制 `ncm_api_cache_refresh_path` 绕过缓存，确保成功即真在线。
+- **离线播放未缓存曲目**仍走原 `song_url` 重试（15s 超时 ×3），未改播放重试策略（不属本任务）；
+  已缓存曲目离线可播（`song_local_file` 先查缓存）。
+- **`app/app.c` 未能宿主编译**：其 SIGSEGV 定位处理器用 MIPS `ucontext.gregs[]`，aarch64 宿主
+  无法编译（既有问题，`build_ncm_host.sh` 本身也排除 app.c）。本批对该文件的改动仅十余行
+  （`ncm_gate_t` + 日志 + 三元切页），交叉构建时需复核 0 warning。
+- **会话密钥迁移**：旧 `session.enc`（MAC 派生）在当前 MAC 未变时可解并自动重写为新密钥；
+  若升级时 MAC 已变化（例如换网卡后首次启动），旧会话仍会解不开 —— 这是旧方案的固有缺陷，
+  无法事后补救；迁移后再不会因网络状态变化丢会话。
+- **未部署/未 push**：设备离线，真机联调后置；本节所有验证均在宿主完成。