meow_netmgrd 期4：SDK 自愿通道 + wifi forget + RSSI signal_poll + AAAA 过滤 + iptables 评估

NETMGR_DESIGN.md §7/§13 期4 落地（只动 patch_v2/meow_netmgrd/ + patch_v2/sdk/ 追加式）：
1. SDK 自愿通道（§6.3/§4）：meow_ui.h 新增 meow_net_policy_check(host)（0=放行 1=block；
   netmgrd 不在/超时→0 乐观放行）+ meow_net_report(rx,tx)（自愿上报，§4 字节级记账自报通道）。
   meow_ipc.h 追加 0xEE MSG_NET_SDK（op=CHECK/REPORT）/ 0xEF RESULT。netmgrd 侧：CHECK 以
   app_id→实体 app:<pkg> 评估 policy_net_blocked||dns_query_domain_denied；REPORT 记入 per-实体
   g_ent_bytes（status JSON 新增 entity_bytes）。SDK 实现 meow_net_ipc.c（一次 connect+send+read，
   降级不崩）；meow_ui.a 重编。
2. wifi forget <id>：wpa_cli remove_network+save_config（MeowOS；HibyOS 只读门控），CLI+IPC 接通
   （286 launcher 录入 UI 缺口）。
3. RSSI：wifi_status 在 status 无 signal= 时回退 wpa_cli signal_poll（真机 rssi=-38，修面板 rssi=null 缺口）。
4. DNS AAAA 过滤：global dns.filter_aaaa=0|1（默认 0 透传；纯 IPv4 设备可置 1 让 AAAA 查询回空答案回落 A）。
5. 静态 iptables 评估（devdocs/plan/NETMGR_IPTABLES_EVAL.md，本机不入库）：iptables-legacy 1.8.9 交叉
   编译成功（~578KB，含 owner/cgroup/REDIRECT 等全部 extension），但内核实测 matches 仅
   quota/icmp/udp/tcp、targets 仅 NFQUEUE/NFLOG/ERROR、无 nat 表、全部进程 UID 0 → **per-app 管控
   与 REDIRECT 透明代理判不可行**（与 NETWORK_HW_FACTS 一致）；正路为 per-app UID 框架改造（单独立项）。

验证：宿主 test_netmgrd.sh 70/70 + qemu 70/70；test_netmgrd_p2/p3/p5 宿主全过 + 交叉 0 warning；
netmgrd_authtest 全过；sdk meow_net_ipc 交叉 0 warning。真机（固件 netmgrd 共存，独立 socket+DNS off）：
wifi status rssi=-38（signal_poll）、wifi forget 0（DISABLED 安全移除，id1 CURRENT 保留、wifi 未断）、
SDK policy check（CHECK_GOOD=0/CHECK_BLOCK=1/REPORT ok）、policy show 正常；resolv.conf 未触碰、
固件 meow_netmgrd(pid) running 未动；测试产物全清。

新 md5：meow_netmgrd 20243ea1a800b29badefebb395603aaf；meow_ui.a be24214e24faadba63577f3a98c2c9d1
（主会话更 fw_content.conf / 热更设备 / 记录新 meow_ui.a）。

patch_v2/meow_launcherd/meow_ipc.h

@@ -633,4 +633,34 @@ typedef struct m_net_policy_result {
     char     text[MEOW_IPC_MAX - 8];
 } m_net_policy_result_t;
 
+/* ---- 期 4：SDK 网络自愿通道（NETMGR_DESIGN §6.3/§4；0xEE/0xEF）----
+ * 一、meow_net_policy_check(host)：框架 App 联网前自查 host 是否被 netmgrd 策略放行——
+ *    服务端以调用方 app_id（msg.app_id）→ 实体 app:<pkg>，评估 policy_net_blocked(entity)
+ *    || dns_query_domain_denied(entity, host)，放行=allow 1 / 拒绝=block 0；netmgrd 不在 → SDK 侧放行。
+ * 二、meow_net_report(rx,tx)：App 自愿上报本进程收发字节数（内核无 per-socket/per-uid 计数，
+ *    §4 诚实声明的「字节级记账走 SDK 自报」）；netmgrd 记入 per-实体统计（status JSON entity_bytes）。
+ * 读级/上报任意调用者（自愿自报，无副作用；block 判定由服务端策略引擎权威执行）。
+ * （0x00EE 曾留作「事件推送 订阅制」，期 4 起改作 SDK 通道；事件推送期 2 从未实装。） */
+enum {                           /* 与主 enum 分列，追加式不改既有行 */
+    MSG_NET_SDK          = 0x00EE,   /* ↑ op=0 策略检查 / op=1 字节上报 */
+    MSG_NET_SDK_RESULT   = 0x00EF    /* ↓ code + (CHECK)allow + 状态文本 */
+};
+enum { NET_SDK_CHECK = 0, NET_SDK_REPORT = 1 };
+
+typedef struct m_net_sdk {
+    uint32_t op;                 /* NET_SDK_CHECK / NET_SDK_REPORT */
+    char     app_id[MEOW_APP_ID_MAX];   /* 调用方 application（SDK 用 env MEOW_LOG_APP；CLI/测试可任意） */
+    char     host[64];           /* CHECK：待查域名 */
+    uint32_t rx;                 /* REPORT：本进程累计 RX 字节 */
+    uint32_t tx;                 /* REPORT：本进程累计 TX 字节 */
+} m_net_sdk_t;                   /* 4+32+64+4+4 = 108 B */
+
+typedef struct m_net_sdk_result {
+    uint32_t code;               /* MEOW_OK / MEOW_ERR_* */
+    int32_t  allow;              /* CHECK：1=allow 0=block（block 由服务端策略引擎判定） */
+    uint16_t text_len;
+    uint16_t pad;
+    char     text[MEOW_IPC_MAX - 12];
+} m_net_sdk_result_t;
+
 #endif /* MEOW_IPC_H */