meow_netmgrd 期4：SDK 自愿通道 + wifi forget + RSSI signal_poll + AAAA 过滤 + iptables 评估

NETMGR_DESIGN.md §7/§13 期4 落地（只动 patch_v2/meow_netmgrd/ + patch_v2/sdk/ 追加式）：
1. SDK 自愿通道（§6.3/§4）：meow_ui.h 新增 meow_net_policy_check(host)（0=放行 1=block；
   netmgrd 不在/超时→0 乐观放行）+ meow_net_report(rx,tx)（自愿上报，§4 字节级记账自报通道）。
   meow_ipc.h 追加 0xEE MSG_NET_SDK（op=CHECK/REPORT）/ 0xEF RESULT。netmgrd 侧：CHECK 以
   app_id→实体 app:<pkg> 评估 policy_net_blocked||dns_query_domain_denied；REPORT 记入 per-实体
   g_ent_bytes（status JSON 新增 entity_bytes）。SDK 实现 meow_net_ipc.c（一次 connect+send+read，
   降级不崩）；meow_ui.a 重编。
2. wifi forget <id>：wpa_cli remove_network+save_config（MeowOS；HibyOS 只读门控），CLI+IPC 接通
   （286 launcher 录入 UI 缺口）。
3. RSSI：wifi_status 在 status 无 signal= 时回退 wpa_cli signal_poll（真机 rssi=-38，修面板 rssi=null 缺口）。
4. DNS AAAA 过滤：global dns.filter_aaaa=0|1（默认 0 透传；纯 IPv4 设备可置 1 让 AAAA 查询回空答案回落 A）。
5. 静态 iptables 评估（devdocs/plan/NETMGR_IPTABLES_EVAL.md，本机不入库）：iptables-legacy 1.8.9 交叉
   编译成功（~578KB，含 owner/cgroup/REDIRECT 等全部 extension），但内核实测 matches 仅
   quota/icmp/udp/tcp、targets 仅 NFQUEUE/NFLOG/ERROR、无 nat 表、全部进程 UID 0 → **per-app 管控
   与 REDIRECT 透明代理判不可行**（与 NETWORK_HW_FACTS 一致）；正路为 per-app UID 框架改造（单独立项）。

验证：宿主 test_netmgrd.sh 70/70 + qemu 70/70；test_netmgrd_p2/p3/p5 宿主全过 + 交叉 0 warning；
netmgrd_authtest 全过；sdk meow_net_ipc 交叉 0 warning。真机（固件 netmgrd 共存，独立 socket+DNS off）：
wifi status rssi=-38（signal_poll）、wifi forget 0（DISABLED 安全移除，id1 CURRENT 保留、wifi 未断）、
SDK policy check（CHECK_GOOD=0/CHECK_BLOCK=1/REPORT ok）、policy show 正常；resolv.conf 未触碰、
固件 meow_netmgrd(pid) running 未动；测试产物全清。

新 md5：meow_netmgrd 20243ea1a800b29badefebb395603aaf；meow_ui.a be24214e24faadba63577f3a98c2c9d1
（主会话更 fw_content.conf / 热更设备 / 记录新 meow_ui.a）。

patch_v2/sdk/include/meow_ui_net.h

@@ -0,0 +1,33 @@
+/*
+ * meow_ui_net.h — MeowOS SDK 网络自愿通道（NETMGR_DESIGN §6.3/§4；追加式 API，含入 meow_ui.h）。
+ *
+ * 定位：框架 App 联网前的**自愿自治**通道 + **自愿字节上报**，二者都不强制（防君子不防小人）。
+ *   - meow_net_policy_check(host)：联网前自查 host 是否被 netmgrd 管控策略放行。
+ *     返回 0=allow（可联网）；1=block（策略拒绝，App 应中止本次联网）。
+ *     netmgrd 不在 / 超时 → 0（乐观放行，绝不因监控不可用而误封业务）。
+ *   - meow_net_report(rx,tx)：App 自愿上报本进程累计收发字节。内核无 per-socket/per-uid
+ *     字节计数器（NETMGR_DESIGN §4 表），§4 的「字节级精确记账走 SDK 自报通道」由此落地；
+ *     netmgrd 记入 per-实体统计（status JSON `entity_bytes`）。best-effort，失败静默不影响业务。
+ * 用法：App 在发起 HTTP/TLS 前调 meow_net_policy_check(host)，若返回 1 则按产品语义处理（如提示被限）。
+ */
+#ifndef MEOW_UI_NET_H
+#define MEOW_UI_NET_H
+
+#include <stdint.h>
+
+#ifdef __cplusplus
+extern "C" {
+#endif
+
+/* 检查 host 是否被策略放行。0=allow；1=block；netmgrd 不在/超时 → 0（乐观放行）。
+ * host 为域名（如 "music.163.com"）；判定以当前 App（MEOW_LOG_APP）为实体，服务端策略引擎权威执行。 */
+int  meow_net_policy_check(const char *host);
+
+/* 上报本进程累计收发字节（best-effort，失败静默）。 */
+void meow_net_report(uint32_t rx, uint32_t tx);
+
+#ifdef __cplusplus
+}
+#endif
+
+#endif /* MEOW_UI_NET_H */