meow_netmgrd 期3：管控层（三实体策略引擎+防自锁+SOCK_DESTROY 实测→仅 DNS 层）

NETMGR_DESIGN.md §6/§13 期3 落地（全在 patch_v2/meow_netmgrd/ + meow_ipc.h 追加）：
1. 策略引擎全量：/data/meow/netmgrd/net_policy.conf（/data=/usr/data）读改写单键+原子写
   （temp+rename，绝不 O_TRUNC 整文件重写——watchdog 毁设置教训）；per-实体(app:/svc:/proc:)
   net=allow|block + domain 白/黑（接通 DNS 层执行）+ global log_level；默认 allow。
2. 防自锁硬编码：dropbear/wpa_supplicant/udhcpc/meow_netmgrd/meow_svcd/meow_sysui/init 拒绝 block
   （CLI/IPC 拒 + 加载校验把手工改坏的文件里这些实体的 net=block 同样强制复位 allow——§14 红线）。
3. SOCK_DESTROY 真机实测（sockdestroy_probe.c，root @内核4.4）：**内核接受 SOCK_DESTROY 请求(rc=0)
   但未真正销毁 socket（cookie=0 与 dump-cookie 两法均 dead=0）→ 判定 no-op/不可用**。
   ⇒ 连接级执行降级为「仅 DNS 层生效」（net=block → dns_query_domain_denied 全量 deny，DNS 层落地），
   policy show 头 enfor=dns_only 明示。SDK 自愿通道/设置页迁移期外。
4. IPC 0x00EA MSG_NET_POLICY（op: show/set net/set domain/del）+ RESULT 0x00EB：读级任意、写级仅系统身份。
   CLI：policy show [entity] | set <entity> allow|block | domain <entity> +host|-host | del <entity>。
5. 两小修：①classify_exe 增认 MeowPanel 精确路径（修面板 dns flush 403；面板已有 PIN 门禁）
   ②连接未归因（inode=0/查不到）一律落 proc:unknown——修 apps 表出现「IP:port」原始端点行。
6. WiFi connect 持久化：MeowOS 模式 connect 后 wpa_cli save_config（HibyOS 只读由服务端门控）。

验证：宿主 test_netmgrd.sh 61/61 + qemu 61/61；test_netmgrd_p2/p3 宿主+qemu 全过；netmgrd_authtest 全过；
交叉 -Wall -Wextra 0 warning。真机只读实测（DNS-on 固件共存，用独立 socket+/tmp 临时 policy.json）：
policy set/domain/del 全链 + 防自锁拒绝 proc:dropbear(rc=1) + 空文件 del(size=0) + apps 无原始端点 +
resolv.conf 未触碰（测后核验固件两行形式）；Firmware meow_netmgrd(pid 8142) running 未动。

新 md5：meow_netmgrd 62369ebe29e7ef4b55067a0f14e240d0（主会话更 fw_content.conf/热更设备）。

patch_v2/meow_launcherd/meow_ipc.h

@@ -601,4 +601,36 @@ typedef struct m_net_dns_result {
     char     text[MEOW_IPC_MAX - 8];
 } m_net_dns_result_t;
 
+/* ---- 期 3：管控层（NETMGR_DESIGN §6；默认 allow，按实体手动 block + 域名白/黑）----
+ * 0x00EA MSG_NET_POLICY（同时承载 GET/SET，op 区分）。GET=读级任意；SET=写级仅系统身份
+ * （SO_PEERCRED → /usr/bin/meow_* / os.meow.* / MeowPanel）。防自锁实体（dropbear/wpa_supplicant/
+ * udhcpc/meow_netmgrd/meow_svcd/meow_sysui/init）拒绝置 block（服务端硬校验）。
+ * 策略持久化：`/data/meow/netmgrd/net_policy.conf`（/data=/usr/data 符号链接），读改写单键原子写。 */
+enum {                           /* 与主 enum 分列，追加式不改既有行 */
+    MSG_NET_POLICY        = 0x00EA,   /* ↑ op=0 查询 / op=1 写（set net / set domain / del） */
+    MSG_NET_POLICY_RESULT = 0x00EB    /* ↓ 策略文本/结果 */
+    /* 0x00EE 事件推送（预留，期2 订阅制）/ 0xEF 余量（均为预留） */
+};
+
+/* MSG_NET_POLICY 操作码 */
+enum {
+    NET_POLICY_SHOW = 0,     /* show [entity]：entity 空=全部 */
+    NET_POLICY_SET_NET = 1,  /* set <entity> allow|block */
+    NET_POLICY_SET_DOMAIN = 2, /* domain <entity> +host|-host */
+    NET_POLICY_DEL = 3       /* del <entity> */
+};
+
+typedef struct m_net_policy {
+    uint32_t op;             /* NET_POLICY_* */
+    char     entity[48];     /* app:<pkg> | svc:<svc> | proc:<comm> | global；空=适用 SHOW 的全量 */
+    char     arg[64];        /* SET_NET:allow|block；SET_DOMAIN:+host|-host；其余空 */
+} m_net_policy_t;            /* 120 B */
+
+typedef struct m_net_policy_result {
+    uint32_t code;           /* MEOW_OK / MEOW_ERR_PERM / MEOW_ERR_INVAL / (防自锁)MEOW_ERR_PERM */
+    uint16_t text_len;
+    uint16_t pad;
+    char     text[MEOW_IPC_MAX - 8];
+} m_net_policy_result_t;
+
 #endif /* MEOW_IPC_H */