fix(security): M64 P1 三条 root 命令注入 — 外部串改 execv 传 argv、电源键下线、press_ms clamp

P1-1 Wi-Fi SSID/PSK 注入（netmgrd + launcherd 回退两处同步）：
- 不再拼 `set_network %d ssid '"%s"'` 交给 sh -c；新增 wpa_exec()/nm_direct_wpa_exec()
  以 fork+execv 传 argv（含 resolve_bin 解析绝对路径，替代 `PATH=...` 前缀）。
- 共用 nm_wifi_args.h：nm_wifi_ssid_ok/n_wifi_psk_ok/nm_wpa_quote/nm_wpa_set_argv，
  两份实现同一套规则（只修一处等于没修）。
- 约束层：SSID 1..32B、禁控制字符；PSK ≤63 或 64 hex、禁控制字符；`"`/`\` 按
  wpa_supplicant 语法转义。shell 元字符不再需要拒绝——execv 下没有 shell 解析。

P1-2 MeowPanel App 安装/导出/卸载注入：
- install/export/remove 改 run_argv()（fork+execv，PATH 只在子进程 setenv）。
- 包名统一 mp_pkg_ok()（仅 [a-z0-9._-]，拒 `..`，与 nyai.c valid_pkg 同规则）→ 修 P2-7。
- `{path}` 追加 mp_path_unsafe()（与 mp_fonts/nyai 同一拒绝集）作第二道。

P1-3 /api/key/* 电源键：
- keycode_to_device 删除 KEY_POWER；116 进红线（403），前端遥控板电源/长按电源按钮移除。
- press_ms 全局 clamp 0..1000（单键与批量），`long` 缺省取上限。
- 按下→等待→抬起改独立线程（inject_key_async），不再阻塞单线程 8080 服务。

测试（宿主，反向控制）：test_nm_wifi_args.c / test_mp_argsafe.c —— 同一套审计恶意串
（`a' ; id ; '`、`x';id;'`、`/tmp/a';id>/tmp/pwn;'.mpk`、`MeowAPPs/..`）在修复前实现下
注入成功（stdout 含 uid=）／放行，在修复后实现下不执行／拒绝。另含「两处实现同步」检查。

未刷机、未连设备、未发 /api/key 请求；只改源码，未提交二进制。

patch_v2/meowpanel/src/mp_apps.c

@@ -1,5 +1,6 @@
 /* mp_apps.c — 应用域：MeowAPPs 扫描 + nyai 安装/导出/移除。 */
 #include "mp.h"
+#include "mp_argsafe.h"   /* M64 P1-2：包名/路径判定（与 nyai.c:125/137 同规则） */
 
 
 int apps_scan_dir(const char *appdir, const char *name, sbuf_t *out, int want_detail)
@@ -115,7 +116,8 @@ int api_apps_list(int sock)
 int api_apps_info(int sock, const char *pkg)
 {
     if (!tf_present()) return send_err(sock, 503, "NO_CARD", "未识别到 TF 卡");
-    if (strchr(pkg, '/') || strchr(pkg, ':')) return send_err(sock, 400, "BAD_REQUEST", "包名非法");
+    /* M64 P1-2 / P2-7：旧判定只拒 `/` 与 `:`，`..` 与 `x';id;'` 都能过。 */
+    if (!mp_pkg_ok(pkg)) return send_err(sock, 400, "BAD_REQUEST", "包名非法");
     char appdir[1024];
     snprintf(appdir, sizeof appdir, "%s/%s", MEOWAPPS_DIR, pkg);
     struct stat st;
@@ -164,10 +166,12 @@ int api_apps_install(int sock, const req_t *r)
         snprintf(mpkpath, sizeof mpkpath, "%s", tmp);
     }
     if (access(mpkpath, R_OK) < 0) return send_err(sock, 404, "NOT_FOUND", ".mpk 文件不存在");
-    char cmd[1400];
-    snprintf(cmd, sizeof cmd, "PATH=/bin:/sbin:/usr/bin:/usr/sbin '%s' install '%s' 2>&1", nyai_bin(), mpkpath);
+    /* M64 P1-2：`{path}` 是外部可控串（旧实现直接塞进 popen 的 shell 行）。execv 传入后
+     * 元字符已无语义；这里仍按 nyai/mp_fonts 同一拒绝集挡住，防调用被改回 run_cmd。 */
+    if (mp_path_unsafe(mpkpath)) return send_err(sock, 400, "BAD_REQUEST", "路径含非法字符");
     char out[4096];
-    int code = run_cmd(cmd, out, sizeof out);
+    const char *argv[] = { nyai_bin(), "install", mpkpath, NULL };
+    int code = run_argv(out, sizeof out, argv);
     if (code != 0) return send_err(sock, 422, "UNSUPPORTED", out[0] ? out : "nyai install 失败");
     /* 包名 = 文件名茎；版本从 app.json 读 */
     char stem[256];
@@ -205,17 +209,16 @@ int api_apps_install(int sock, const req_t *r)
 int api_apps_export(int sock, const char *pkg)
 {
     if (!tf_present()) return send_err(sock, 503, "NO_CARD", "未识别到 TF 卡");
-    if (strchr(pkg, '/') || strchr(pkg, ':')) return send_err(sock, 400, "BAD_REQUEST", "包名非法");
+    if (!mp_pkg_ok(pkg)) return send_err(sock, 400, "BAD_REQUEST", "包名非法");
     char tmp[1100];
     char card_tmp[1200];
     snprintf(card_tmp, sizeof card_tmp, "%s/tmp", TF_CARD_DIR);
     mkdir(card_tmp, 0777);
     snprintf(tmp, sizeof tmp, "%s/tmp/%s.mpk", TF_CARD_DIR, pkg);
     unlink(tmp);
-    char cmd[1400];
-    snprintf(cmd, sizeof cmd, "PATH=/bin:/sbin:/usr/bin:/usr/sbin '%s' export '%s' '%s' 2>&1", nyai_bin(), pkg, tmp);
     char out[1024];
-    int code = run_cmd(cmd, out, sizeof out);
+    const char *argv[] = { nyai_bin(), "export", pkg, tmp, NULL };
+    int code = run_argv(out, sizeof out, argv);
     if (code != 0 || access(tmp, R_OK) < 0) return send_err(sock, 500, "INTERNAL", out[0] ? out : "nyai export 失败");
     char dn[256];
     snprintf(dn, sizeof dn, "%s.mpk", pkg);
@@ -225,14 +228,19 @@ int api_apps_export(int sock, const char *pkg)
 int api_apps_remove(int sock, const char *pkg, const req_t *r)
 {
     if (!tf_present()) return send_err(sock, 503, "NO_CARD", "未识别到 TF 卡");
-    if (strchr(pkg, '/') || strchr(pkg, ':')) return send_err(sock, 400, "BAD_REQUEST", "包名非法");
+    if (!mp_pkg_ok(pkg)) return send_err(sock, 400, "BAD_REQUEST", "包名非法");
     char purgebuf[8] = "0";
     if (r->query[0]) qparam(r->query, "purge", purgebuf, sizeof purgebuf);
     int use_purge = atoi(purgebuf);
-    char cmd[1400];
-    snprintf(cmd, sizeof cmd, "PATH=/bin:/sbin:/usr/bin:/usr/sbin '%s' remove '%s'%s 2>&1", nyai_bin(), pkg, use_purge ? " --purge" : "");
     char out[1024];
-    int code = run_cmd(cmd, out, sizeof out);
+    const char *argv[6];
+    int n = 0;
+    argv[n++] = nyai_bin();
+    argv[n++] = "remove";
+    argv[n++] = pkg;
+    if (use_purge) argv[n++] = "--purge";
+    argv[n] = NULL;
+    int code = run_argv(out, sizeof out, argv);
     if (code != 0) return send_err(sock, 500, "INTERNAL", out[0] ? out : "nyai remove 失败");
     sbuf_t s = {0};
     sA(&s, "{\"removed\":true,\"purged\":%s}", use_purge ? "true" : "false");