MeowPanel: 字体库 tar.gz 导入/导出 + 文件管理自然排序修复 + multipart 二进制边界修复

- 字体库导入/导出（用户 2026-08-31 定案）：放弃 zip，与 .mpk 同构走 busybox 'gzip -dc | tar' 管道
  （设备必带 tar/gzip，零新增依赖）。导入 POST /api/fonts/import（multipart file=<.tar.gz>，上限32MB，
  ?force=1 覆盖）：tar -t 成员预校验（sanitize_member 拒绝对/../shell 危险字符，恰为三件套平铺）→
  解压到临时目录 → opendir/lstat 锁（拒软链/目录/设备/多出条目/解压后超大）→ font.json 解析 family/weight
  （safe_dir_segment 消毒）→ 覆盖冲突 409 → sha256_png/idx 仅 WARN → rename 到 MeowOS/fonts/<family>/<weight>/。
  导出 GET /api/fonts/export?family=&weight=：tar -cf - | gzip -c 打包 <family>-<weight>.font.tar.gz 流式下载。
  列表 GET /api/fonts：扫描三件套齐。前端设置页加「字体库」卡（导入 zip/tar.gz + 409 confirm 后 force=1 重试 + 导出按钮）。
- 文件管理排序修复：/api/files 排序改为目录优先 + 名称自然排序（数字感知 track2<track10，中文按无符号
  字节序），替换原 strcasecmp 词法排序（用户报「很离谱」）。
- multipart 二进制边界修复（latent bug）：strstr 遇数据内 NUL 提前停止 → memmem 语义 mem_find 字节安全查找，
  修复字体 tar.gz/.mpk/二进制上传可能误吞后段的问题。
- 文档同步：docs/MEOWOS_SPEC_REF.md §5.2/§5.7.6、patch_v2/meowpanel/README.md 改 tar.gz 定案；
  FONT_SYSTEM.md 无 zip 表述无需改。meow_font_import_zip/export_zip 语义注为 tar.gz（_tgz 可更名）。
- 宿主编译 0 warning（-Werror 亦过）；宿主端到端：导入→导出→逐字节比对、损坏/缺件/坏json/穿越/软链/非gzip全拒、
  自然排序样本全过；真机已部署（meowpanel md5 51ffc183，服务 running）并 curl 验证 font 端点 + 排序。

docs/MEOWOS_SPEC_REF.md

@@ -178,7 +178,7 @@
   - **默认字库目录**：默认字体统一放 **`<卡根>/MeowOS/fonts/default/regular/`**（`font.png`+`font.idx`，可选 `font.json`），不再用 `MeowAPPs/fonts/font.png`；设备旧 `MeowAPPs/fonts/` 及旧 `MeowOS/fonts/<family>/`（无 weight 级）**保留**（勿删，避免破坏老约定/已有文件），仅新引用一律指向 `MeowOS/fonts/default/regular`。
   - **`font.file` 变更即 unload+reload 生效**（设置页回调）；拔卡 → 回退固件内置。
   - **preset 动态化（两级扫描）**：启动/进设置页扫描一次 `MeowOS/fonts/<family>/<weight>/`，重建「字体文件」下拉（默认字体 + ≤16 套卡内 <family>/<weight>；上限防爆）。扫描仅此二时机，勿放热路径。**存量卡片迁移**：旧版扫 `MeowOS/fonts/<family>/`（图片直接在该层）；迁移到 `<family>/regular/` 后，旧 `<family>/` 下不再有三件套 → 新扫默认按两级找，故若未重做成 `<family>/<weight>/` 则扫不到（需先用 mv 迁成 `<family>/<weight>/` 再重扫）。
-  - **MeowPanel 预留**：`meow_font_import_zip()`/`meow_font_export_zip()` 为 TODO 声明（不实现），供 MeowPanel 后续接入（`.zip` 导入校验→解压到 `MeowOS/fonts/<family>/<weight>/`、导出打包）。
+  - **MeowPanel 预留 → 已落地（2026-08-31 用户定案：**改为 `.tar.gz`、放弃 zip**，与 .mpk 同构走 busybox `gzip -dc | tar` 管道，设备必带 tar/gzip）**：面板以 `POST /api/fonts/import` + `GET /api/fonts/export` 接入（见 §5.7.6 与 `patch_v2/meowpanel/README.md` §5.11）。`meow_font_import_zip()`/`meow_font_export_zip()` 原 TODO 声明**不再按 zip 实现**，语义为 tar.gz（函数名可保留或改 `_tgz`）。导入校验→解压到 `MeowOS/fonts/<family>/<weight>/`、导出打包。
   - **多字体（M2.5x，`display.multi_font`）**：按字符类别（CJK/CJK_SYM/NUM/LATIN/LATIN_SYM/OTHER）逐字符路由，每类可各选一套字库（`font.class_*`，默认空=跟随全局 `font.file`）；同 family 去重、同时装载不同字体 ≤4 套（超出 WARN「过多不同字体会增内存」并截断）；开关关 = 单字体（现状）。详见 §5.7.7「多字体」。
   - **字体档位 / 大字库（M2.5x，本次实现）**：抽象出**字库大小档位**，让系统/应用/设置页都知道选的是多大字库 `[源:用户 2026-08-30]`。**定案见 `devdocs/plan/FONT_SYSTEM.md`**（字体系统定案：三级目录 `<family>/<weight>/<tier>/`、`font.json` 增 `tier`/`languages`/`label`、`charset` 改指编码、按语言选字体；本小节以下为旧口径）。
     - 档位枚举：`MEOW_FONT_TIER_COMMON`（**默认 / ≈4k** 码位）/ `MEOW_FONT_TIER_GBK`（**大 / ≈20k+**）/ `MEOW_FONT_TIER_FULL`（**全 / 可选**，码位/体积最大）。
@@ -313,12 +313,19 @@
   int lh = meow_ui_text_height_h(20, hBody);
   ```
   - 说明：句柄状态为 app 进程内**全局**；同一屏需混排时，推荐每段绘制前显式 `meow_ui_use_font`，或全部走 `*_h` 显式传 handle，避免依赖上次绘制遗留的句柄状态。
-- **5.7.6 MeowPanel 上传 / 导出（.zip，预留）** `[源:meow_font.h]`
-  - 复用已声明的 `meow_font_import_zip(zip_path)` / `meow_font_export_zip(family,out_zip)`（§5.2 已列为 TODO，未实现）。
-  - **系统字库导入**：`.zip` 内含 `font.png+font.idx+font.json` 三件套；校验三件套就绪 + `font.json` 可解析；sha256 沿用 `font.json` 约定（建议与运行时同口径 = **WARN**，仅缺件/不可解析硬失败）；`family`/`weight` 取自 `font.json.family`/`font.json.weight`（缺省 `regular`）或 zip 名；解压到 `MeowOS/fonts/<family>/<weight>/`；**覆盖冲突需先确认**；导入后应触发 launcher 重扫（刷新 §5.7.1 列表）。
-  - **应用字库导入**：目标 `MeowAPPs/<pkg>/fonts/<handle>/`，与 `app.json "fonts"` 声明对齐，校验同上。
-  - **导出**：系统库把 `MeowOS/fonts/<family>/<weight>/` 三件套打包；应用库把 `MeowAPPs/<pkg>/fonts/<handle>/` 打包。
-  - 约定：`.zip` 布局与校验沿用 `font.json` schema（§5.2）；导入/导出后的一致性（列表刷新、应用声明同步）归 MeowPanel + launcher 协作，本小节仅列接口语义。
+- **5.7.6 MeowPanel 上传 / 导出（.tar.gz，2026-08-31 用户定案：放弃 zip，与 .mpk 同构）** `[源:meow_font.h][源:patch_v2/meowpanel/README.md §5.11]`
+  - **已由 MeowPanel 后端落地**：`POST /api/fonts/import`（multipart `file`=<.tar.gz>）+ `GET /api/fonts/export?family=&weight=` +
+    `GET /api/fonts`（列表）。**不用 zip**——设备 busybox `gzip`/`tar` 必带，后端走 `gzip -dc | tar` 管道（与 nyai .mpk 同款），
+    零新增依赖、不引入 zlib/miniz/自研 zip。原 `meow_font_import_zip(zip_path)` / `meow_font_export_zip(family,out_zip)` TODO
+    声明**不再按 zip 实现**，语义即 tar.gz（函名可保留或改 `_tgz`，注明即可）。
+  - **系统字库导入**：`.tar.gz` 内含 `font.png+font.idx+font.json` 三件套；校验三件套就绪 + `font.json` 可解析；
+    sha256 沿用 `font.json` 约定（= **WARN**，仅缺件/不可解析硬失败）；`family`/`weight` 取自 `font.json.family`/
+    `font.json.weight`（缺省 `regular`）；解压到 `MeowOS/fonts/<family>/<weight>/`；**覆盖冲突需先确认**（409 → 前端 confirm 后
+    `force=1` 重试）；导入后进设备「设置→字体」页自动重扫（扫描时机=启动/进设置页，面板**不**主动触发重扫）。
+  - **应用字库导入**：目标 `MeowAPPs/<pkg>/fonts/<handle>/`，与 `app.json "fonts"` 声明对齐，校验同上（待面板后续扩展）。
+  - **导出**：系统库把 `MeowOS/fonts/<family>/<weight>/` 三件套打包为 `<family>-<weight>.font.tar.gz`；应用库同理（待扩展）。
+  - 约定：`.tar.gz` 布局与校验沿用 `font.json` schema（§5.2）；导入/导出后的一致性（列表刷新、应用声明同步）归 MeowPanel +
+    launcher 协作。**安全**：tar 解出条目逐个校验（拒绝对路径/`..`/软链/多出条目/子目录包裹），沿用 nyai 的 sanitize 思路。
 - **5.7.7 多字体（按字符类别逐字符路由，`display.multi_font`，M2.5x 新增）** `[源:meow_font.h][源:MEOWOS_SPEC_REF §5.2/§5.5]`
   - **背景**：一款字体难兼顾中文（大图集、字形全）与拉丁/数字（干净、省内存）。多字体让**不同字符类别各用一套字库**，按 codepoint 逐字符路由取字形。
   - **设置键**（launcher 读，SDK 经 env 读同一映射）：