meow_netmgrd 期3：管控层（三实体策略引擎+防自锁+SOCK_DESTROY 实测→仅 DNS 层）

NETMGR_DESIGN.md §6/§13 期3 落地（全在 patch_v2/meow_netmgrd/ + meow_ipc.h 追加）：
1. 策略引擎全量：/data/meow/netmgrd/net_policy.conf（/data=/usr/data）读改写单键+原子写
   （temp+rename，绝不 O_TRUNC 整文件重写——watchdog 毁设置教训）；per-实体(app:/svc:/proc:)
   net=allow|block + domain 白/黑（接通 DNS 层执行）+ global log_level；默认 allow。
2. 防自锁硬编码：dropbear/wpa_supplicant/udhcpc/meow_netmgrd/meow_svcd/meow_sysui/init 拒绝 block
   （CLI/IPC 拒 + 加载校验把手工改坏的文件里这些实体的 net=block 同样强制复位 allow——§14 红线）。
3. SOCK_DESTROY 真机实测（sockdestroy_probe.c，root @内核4.4）：**内核接受 SOCK_DESTROY 请求(rc=0)
   但未真正销毁 socket（cookie=0 与 dump-cookie 两法均 dead=0）→ 判定 no-op/不可用**。
   ⇒ 连接级执行降级为「仅 DNS 层生效」（net=block → dns_query_domain_denied 全量 deny，DNS 层落地），
   policy show 头 enfor=dns_only 明示。SDK 自愿通道/设置页迁移期外。
4. IPC 0x00EA MSG_NET_POLICY（op: show/set net/set domain/del）+ RESULT 0x00EB：读级任意、写级仅系统身份。
   CLI：policy show [entity] | set <entity> allow|block | domain <entity> +host|-host | del <entity>。
5. 两小修：①classify_exe 增认 MeowPanel 精确路径（修面板 dns flush 403；面板已有 PIN 门禁）
   ②连接未归因（inode=0/查不到）一律落 proc:unknown——修 apps 表出现「IP:port」原始端点行。
6. WiFi connect 持久化：MeowOS 模式 connect 后 wpa_cli save_config（HibyOS 只读由服务端门控）。

验证：宿主 test_netmgrd.sh 61/61 + qemu 61/61；test_netmgrd_p2/p3 宿主+qemu 全过；netmgrd_authtest 全过；
交叉 -Wall -Wextra 0 warning。真机只读实测（DNS-on 固件共存，用独立 socket+/tmp 临时 policy.json）：
policy set/domain/del 全链 + 防自锁拒绝 proc:dropbear(rc=1) + 空文件 del(size=0) + apps 无原始端点 +
resolv.conf 未触碰（测后核验固件两行形式）；Firmware meow_netmgrd(pid 8142) running 未动。

新 md5：meow_netmgrd 62369ebe29e7ef4b55067a0f14e240d0（主会话更 fw_content.conf/热更设备）。

patch_v2/meow_netmgrd/test_netmgrd.sh

@@ -43,6 +43,7 @@ cat > "$T/tcp" <<'EOF'
    0: 32C14E0A:5137 0905CD8C:01BB 01 00000000:00000000 00:00000000 00000000 1000 0 12345 1 0 0 10 0
    1: 32C14E0A:4F32 32C34E0A:01BB 01 00000000:00000000 00:00000000 00000000 1000 0 12346 1 0 0 10 0
    2: 32C14E0A:0A00 00000000:0000 07 00000000:00000000 00:00000000 00000000 1000 0 67890 1 0 0 10 0
+   3: 32C14E0A:4F33 32C34E0A:01BB 01 00000000:00000000 00:00000000 00000000 1000 0 0 1 0 0 10 0
 EOF
 cat > "$T/udp" <<'EOF'
   sl  local_address rem_address   st tx_queue rx_queue tr tm->when retrnsmt   uid  timeout inode
@@ -232,6 +233,25 @@ ck T13c "IFACE_ALL VALID" "$JOUT"
 ck T13d "IFACE_WLAN VALID" "$JOUT"
 echo "$JOUT" | grep -q "INVALID" && { FAIL=$((FAIL+1)); echo "FAIL T13e 存在无效 JSON"; } || { PASS=$((PASS+1)); echo "PASS T13e no INVALID"; }
 
+# ---- T15: apps 无原始端点（tcp 桩含 inode=0 未归因 → proc:unknown，绝不落成 IP:port entity）----
+OUT=$(env $ENVS $Q "$T/meow_net" conns 2>&1)
+ck T15a "10.78.195.50:443" "$OUT"          # inode=0 的连接仍在表中
+OUT=$(env $ENVS $Q "$T/meow_net" apps 2>&1)
+ck T15b "proc:unknown" "$OUT"
+echo "$OUT" | grep -qE '^[0-9][0-9.]*:' && { FAIL=$((FAIL+1)); echo "FAIL T15c apps 出现原始端点行"; } || { PASS=$((PASS+1)); echo "PASS T15c no raw endpoint row"; }
+
+# ---- T16: policy（读级 show 任意调用者；写级仅系统身份 → 宿主 CLI=CALL_OTHER 拒）----
+OUT=$(env $ENVS $Q "$T/meow_net" policy show 2>&1)
+ck T16a "app:dev.player.ncm" "$OUT"
+ck T16b "domain=" "$OUT"
+OUT=$(env $ENVS $Q "$T/meow_net" policy set app:dev.player.ncm allow 2>&1); RC=$?
+ck T16c "permission denied" "$OUT"
+[ $RC -eq 1 ] && { PASS=$((PASS+1)); echo "PASS T16d rc=1"; } || { FAIL=$((FAIL+1)); echo "FAIL T16d rc=$RC"; }
+OUT=$(env $ENVS $Q "$T/meow_net" policy domain app:dev.player.ncm +x 2>&1)
+ck T16e "permission denied" "$OUT"
+OUT=$(env $ENVS $Q "$T/meow_net" policy del app:dev.player.ncm 2>&1)
+ck T16f "permission denied" "$OUT"
+
 # ---- T14: DNS 代理 wire 实测（守护 B：高端口 + 桩上游 + 全局 deny；测 deny/forward/cache）----
 HOSTIP=$(hostname -I 2>/dev/null | awk '{print $1}')
 [ -n "$HOSTIP" ] || HOSTIP="127.0.0.1"