AskaEth/MeowOS-For-R3P2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
483 Commits 1 Branch 0 Tags
08b3e64c8a1731f99670052c085af6249c2b3164
Commit Graph
100 Commits
This Branch
This Branch
All Branches
Author SHA1 Message Date
AskaEth 08b3e64c8a Merge branch 'feat/m69-reboot-must-not-rewrite-persistent-b' 2026-11-12 10:18:12 +08:00
AskaEth 84c7446aa6 fix(boot): M69 普通重启/OTA 重启不再改写持久启动默认，切 Hiby 走一次性指示 
用户定案（2026-11-12）：/data/meow_boot_default 是「设置里的默认系统」，
只有显式设默认才许写；普通重启与 OTA 重启都不碰它，重启后选单按配置默认
（含 5s 倒计时）。「切换到 HibyOS」是这一次去 Hiby，用一次性指示
/data/meow_boot_once（bootmenu 开机读一次即删），不改持久默认。

meow_svc_power.c
- 新增 boot_default_intent()/apply_boot_default_intent()：唯一写入点，
  CLI 与 IPC 共用一张意图表（SET_DEFAULT_* -> 持久；BACK_HIBY -> 一次性；
  REBOOT/UPGRADE/SHUTDOWN -> 两个都不写）。
- POWER_REBOOT 与 CLI `reboot` 删掉 write_boot_default(0)（病根）。
- POWER_BACK_HIBY 与 CLI `reboot --hiby` 改走同一条一次性指示路径。
- 写失败照常重启，只把消息说清楚（不静默假装成功）。

meow_bootmenu.c
- 新增 consume_boot_once()：严格解析 0/1、读到即 unlink；删不掉时退一步
  清空内容并记日志，本次照用，绝不让开机失败。
- load_config() 优先级写明并落地：一次性指示 > 持久默认 > meow.conf > 编译默认。
- DEF_BOOT_DEFAULT 1 -> 0（MeowOS）：与设置页 boot.default 默认值一致，
  避免「没设过默认/刷完固件首次开机」被丢进 Hiby。

测试（宿主，路径重定向到临时目录，不碰 /data）
- svc_power_bootdefault_test.c：意图表 + 落盘副作用 + 反向控制（改前会写）。
- test_bm_bootdefault.c：一次性指示优先/读一次即删/删后回落/非法内容/删不掉仍可开机。

未提交二进制、未改 scripts/build/fw_content.conf（钉值仍对应现有二进制，
下一轮重编再把 md5 回写）。
 2026-11-12 10:18:09 +08:00
AskaEth a5fce76747 Merge branch 'feat/m68-deploy-patched-meowpanel-to-sd' 2026-11-12 10:14:12 +08:00
AskaEth 98de0ab37b build(panel): M68 重编 meowpanel 并热更 SD 卡（M64 安全修复落地） 
- 按 patch_v2/meowpanel/build_meowpanel.sh 交叉编译（mipsel 静态，-Os -Wall -Wextra 0 warning）
- 新件 341076 B / md5 21cb6368b001ab7be64b4067e9d475df（旧件 314940 B / ddcddc7b85b755eafdae1f5b3eed29b8）
- 相对旧件：116(KEY_POWER) 从 keycode_to_device 移除并进 403 红线、press_ms clamp 1000、
  按键串行队列（mp_keyq）、装包/导出/卸载改 execv 去掉 popen shell 拼接
- 卡上已备份旧件为 meowpanel.bak.20261112-095730，svcd 重启后面板 running、登录 ok:true
 2026-11-12 10:02:14 +08:00
AskaEth 6bc7e50531 Merge branch 'feat/m66-rebuild-batch-0-8-52-security-and-p1' 2026-11-12 09:21:27 +08:00
AskaEth 9faaf14c86 build(fw): M66 重编 netmgrd/launcherd/audiod + 钉值回写（0.8.52） 
main 9be4470 已含 M64（三条 root 命令注入修复：netmgrd execv 改造、
launcherd netmgr_ipc.c）与 M65（launcherd popen 超时/256KB 上限、
audiod static 缓冲、netmgrd bt_scan 有界收割 + 扫描单位修正），
而仓内钉值仍是 M56（0.8.51）时期的产物 → 二进制落后于源码。

重编（zig 0.17.0 / zig-mipsel-cc，同一批次口径）：
  meow_netmgrd    222228 B 02577210… → 221620 B d791d004…
  meow_launcherd  902044 B 75629078… → 904972 B 5c576262…
  meow_audiod      71076 B 4a6ab894… →  72212 B 9b813a64…
  meow_audio       88888 B 3909c8d2… →  88888 B 3909c8d2…（逐字节相同，不重编）
  meow_watchdog   100116 B 25f76950… → 100116 B 25f76950…（逐字节相同，不重编）

fw_content.conf 只改 md5 变动的 4 行（launcherd / audiod / netmgrd 两行同源）；
desc 列一字未动。M61 指出的 meow_power「policy 期3桩」desc 在 M56 已改写为
「policy show / set profile 与 calibrate start / stop / list（…已实装，非桩）」，本轮核对无需再改。

未动 4 个旧工具链产物（meow_mdns / meow_svc_power / meow_verify / am）md5 保持原值。
门禁：verify_fingerprints PASS=33 FAIL=0；test_time32_abi --builds 11/11 PASS
（含 watchdog）；反绕过：netmgrd/meow_audio 去 meow_time32 后 16B-layout=FAIL，
watchdog/launcherd 去 time32 直接链接失败（meow_time32_sleep_us / meow_ui_time_ms 未定义）。
 2026-11-12 09:12:06 +08:00
AskaEth 9be447087d Merge branch 'feat/m65-p1-popen-timeout-and-bt-scan-unit-fi' 2026-11-12 09:09:31 +08:00
AskaEth 1ccb3c7a93 fix(daemon): M65 P1 三条 + P2-1 — popen 超时/共享缓冲、bt scan 有界收割与毫秒节流 
来自 M59 内存与资源安全审计（这 3 条 P1 很可能就是 2026-11-11 18:44 设备用户态崩塌的
成因：当时 sshd 连 fork 都做不到、ICMP 仍应答）。执行顺序按审计要求 P1-3 → P2-1 → P1-1 → P1-2。

P1-1 launcherd net.c:popen_read_tmo —— 对持续输出的子进程永不超时 + 堆无限增长
- 新增 meow_launcherd/popen_tmo.h：读循环的 deadline 移到**循环顶部**，输出加 256KB 硬
  上限（超限返回 OVERFLOW，调用方 kill 子进程并按失败返回 NULL，绝不静默截断），缓冲交给
  调用方或由本函数持有（无 static）。
- net.c 收尸改为 popen_tmo_reap_bounded（300ms + SIGKILL + 300ms）：旧实现 SIGKILL 之后是
  无条件 waitpid(…,0)，子进程卡 D 态照样钉死 UI 线程。调用面（malloc 返回值 + free）不变，
  14 个调用点零改动。

P1-2 audiod popen_read_tmo 的 static char buf[4096] 被 4 个线程共用
- 改成调用方传缓冲（`char *popen_read_tmo(tmo, cmd, out, cap)`），函数内无共享状态、不加锁
  —— M55 刚把音量写路径做成无锁，音频线程上不能拿锁。7 个调用点各用自己的栈缓冲。
- 顺带修掉旧循环的 `remain` 不递减问题：旧写法每次 poll 都能重等满 tmo，最坏总时长
  ≈ 4095 次 × 1500ms；现在总时长就是一个 tmo。

P1-3 netmgrd bt_scan_on/off 走无超时 system()（单线程主循环 + 55 个残留 bluetoothctl 的形态）
- scan off：直接 run_cmd_ex（BT_SCAN_OFF_TMO_MS=600），超时如实回
  MEOW_ERR_NODEV 并计入既有 bt_circuit_note。
- scan on：fork 一个 setsid 的 scan worker（在飞上限 1），worker 内部用 run_cmd_ex 跑同一条
  pipeline（超时 + 输出上限）；父进程只记账，bt_scan_reap() 在主循环每拍收割，过 deadline
  杀**整个进程组**（pipeline 的 bluetoothctl 是孙进程，只杀 sh 会留孤儿）。
- 超时计入既有熔断（连 3 次 → 30s 内不再 fork）；熔断中 scan on 不再起进程。
- 不在主循环里同步跑整条 pipeline：它要 ~5s（sleep 1 + dwell 4），同步跑等于每 7s 把 DNS
  代理停 5s，是另一种挂死。

P2-1 扫描节流失效 7000 秒（mono_now() 返回秒，却与 7000 毫秒比较）
- 节流改用 64 位毫秒时钟（bt_scan_now_ms / 函数指针钩子供宿主单测注入可控时钟），抽成纯
  函数 bt_scan_throttle(now_ms)；实际节流从 ~1.94 小时恢复到 7s。

测试（每条都有反向控制）
- 新增 meow_launcherd/test_popen_tmo.c（已接入 build_launcher.sh test）：
  持续输出且永不退出的生产者 → 新循环 300ms 到点返回，旧循环 1500ms 内不返回；
  `yes`+64KB 上限 → 立刻 OVERFLOW；同一份 300KB 有界输入 → 旧循环照单全收 307200 字节、
  新循环在上限处报 OVERFLOW；两线程交错读 → 旧 static 缓冲 A 读到 B 的内容，调用方缓冲各
  读各的；收尸 313ms 有界且无残留子进程。
- meow_netmgrd/test_bt_ctl.c 增补：7s / 6.999s / 7.1s 边界（含走真实入口 bt_scan_on 的可控
  时钟用例，秒/毫秒单位回归会在这里翻车）；wedge 桩（scan 一律 exec sleep 60）下
  scan off 611ms 有界返回且 ECHILD、scan on 的 worker 1200ms 窗口到期被整组收割、孙进程
  全收（ECHILD）、超时进熔断并最终熔断拒绝 fork。

验证：netmgrd 宿主回归 79 PASS / 0 FAIL；test_bt_ctl ALL PASS；launcherd
`build_launcher.sh test` ALL TESTS PASS（含新增用例）；meow_netmgrd mipsel 交叉编译通过；
audiod host 构建通过，test_audiod_host 的失败集合与改动前**逐条相同**（41 条，T8 SEGV 是
测试自身 strstr(q8,"rms=")+4 的既有缺陷，见 M59 审计 §5）。
仅源码：无二进制、未改 scripts/build/fw_content.conf。
 2026-11-12 09:02:07 +08:00
AskaEth 1936cf7b91 Merge branch 'feat/m64-security-p1-root-injection-fixes' 2026-11-12 08:50:22 +08:00
AskaEth 008e177307 fix(panel): M64 r1 P2-1 连续/批量按键被异步注入合并 — 改单 worker 串行队列 
/api/key 改异步后每个请求起一个 detached 线程，N 次 press 全部落在同一段里；launcher 用
EVIOCGKEY 10ms 状态采样读键，重叠 press 只产生 1 个 DOWN 边沿 → 滑动调音量 5 步变 1 步、
batch 顺序语义失效。

- 新增 src/mp_keyq.{c,h}：常驻 worker + FIFO 队列。请求线程只 open + 入队后立即返回
  （8080 仍不被阻塞）；worker 按提交顺序逐个「按下→等待→抬起」，两次按键之间留
  MP_KEYQ_GAP_MS(20ms)=2× 采样周期，保证每次按下都被采样到。
- 批次 = 一个作业：批次内顺序、批次间顺序都保证；payload 上限 MP_KEYQ_JOB_MAX=32。
- 有界等待：队列总时长预算 2000ms（含执行中作业），超预算/队列满立即回 503 BUSY，
  无界等待（单核即挂死）被排除。
- mp_key.c：inject_key_seq() 统一 open+clamp+入队（-1 设备 / -2 队列忙），
  api_key_single / api_key_batch 都走它；设备打不开仍同步报 500（原语义不变）。
- 测试 test_mp_keyq.c（宿主，不碰 /dev/input、不发 /api/key）反向控制：修复前的并发注入
  5 连击被 10ms 采样器数成 1 次按下；修复后同一 5 连击数成 5 次且顺序一致；批次 3 个同键
  tap + 紧随一个单键 = 4 次按下不丢步；超预算立即被拒、释放后可继续提交。

安全三条（P1-1/P1-2/P1-3）本轮一行未动。
 2026-11-12 08:50:10 +08:00
AskaEth 7b32d775c0 fix(security): M64 P1 三条 root 命令注入 — 外部串改 execv 传 argv、电源键下线、press_ms clamp 
P1-1 Wi-Fi SSID/PSK 注入（netmgrd + launcherd 回退两处同步）：
- 不再拼 `set_network %d ssid '"%s"'` 交给 sh -c；新增 wpa_exec()/nm_direct_wpa_exec()
  以 fork+execv 传 argv（含 resolve_bin 解析绝对路径，替代 `PATH=...` 前缀）。
- 共用 nm_wifi_args.h：nm_wifi_ssid_ok/n_wifi_psk_ok/nm_wpa_quote/nm_wpa_set_argv，
  两份实现同一套规则（只修一处等于没修）。
- 约束层：SSID 1..32B、禁控制字符；PSK ≤63 或 64 hex、禁控制字符；`"`/`\` 按
  wpa_supplicant 语法转义。shell 元字符不再需要拒绝——execv 下没有 shell 解析。

P1-2 MeowPanel App 安装/导出/卸载注入：
- install/export/remove 改 run_argv()（fork+execv，PATH 只在子进程 setenv）。
- 包名统一 mp_pkg_ok()（仅 [a-z0-9._-]，拒 `..`，与 nyai.c valid_pkg 同规则）→ 修 P2-7。
- `{path}` 追加 mp_path_unsafe()（与 mp_fonts/nyai 同一拒绝集）作第二道。

P1-3 /api/key/* 电源键：
- keycode_to_device 删除 KEY_POWER；116 进红线（403），前端遥控板电源/长按电源按钮移除。
- press_ms 全局 clamp 0..1000（单键与批量），`long` 缺省取上限。
- 按下→等待→抬起改独立线程（inject_key_async），不再阻塞单线程 8080 服务。

测试（宿主，反向控制）：test_nm_wifi_args.c / test_mp_argsafe.c —— 同一套审计恶意串
（`a' ; id ; '`、`x';id;'`、`/tmp/a';id>/tmp/pwn;'.mpk`、`MeowAPPs/..`）在修复前实现下
注入成功（stdout 含 uid=）／放行，在修复后实现下不执行／拒绝。另含「两处实现同步」检查。

未刷机、未连设备、未发 /api/key 请求；只改源码，未提交二进制。
 2026-11-12 08:50:10 +08:00
AskaEth 952a126477 Merge branch 'feat/m63-readme-doc-corrections-from-m61-audi' 2026-11-12 08:50:06 +08:00
AskaEth 4d39c037be docs(build): M63 修正 README 的 -o 归档语义/宿主路径/版本示例/入库清单 2026-11-12 08:50:04 +08:00
AskaEth f7921ba799 Merge branch 'feat/m56-post-merge-rebuild-batch-0-8-51-pack' 2026-11-12 08:49:57 +08:00
AskaEth dd8929e2df Merge branch 'feat/m55-bluetooth-output-volume-scaling' 2026-11-12 08:07:50 +08:00
AskaEth 2c0ec2ba15 test(audiod): r1 P2-1/P2-2 — 补 rapid-toggle 回归用例 + BT 音量语义文档（实现零改动） 
评审 r1 的 `p2-2items`，两项都是「缺用例 / 缺一句文档」，不改任何已交付行为。

P2-1（连续拖滑块/ramp 中途反向缺回归）：
- test_vol_gain 新增 G4b：块长 100（< 512 斜坡）× 60 次 100↔10 反向，实测 59 次落在
  斜坡中段；断言增益全程 ∈ [q15(10)=4, 32768] 且从不放大、块内逐样本只朝目标单调走、
  相邻样本跳变 ≤64 LSB（硬跳变 ~16380）、停手后 cur=4/left=0/bump_left=0。
- test_audiod_host 新增 T20（daemon 侧等价集成用例）：经 IPC 连发 60 次 vol，
  每次只喂 100 帧（400B），断言 60 次全 ACK、underrun/dropped=0、
  落盘 PCM 无硬跳变（max_delta 1020 = 正弦自身斜率）、尾部 RMS 1.49 比头部
  6376.58 低 72dB（10% 真的生效）。

P2-2（文档）：vol_gain.h 顶部新增「App/SDK 侧契约」段：BT 下 set_volume 同样生效
（走软件增益 + 持久化），AVRCP 钉 127 只为耳机功放满量程而非「音量交给耳机」，
pct 只在 [0,100] 有意义（<=0 真静音、>100 按满量程截断），16bit 写路径的
量化下限说明；vol_gain_dac_att_reg 注释补 pct>100 行为。build_audiod.sh
头部补 M55 说明（必须一起编 vol_gain.c、旧 SDK 说法已过期）。

验证：test_audiod_host 134/134 PASS、test_vol_gain 36/36 PASS、test_bt_dev PASS；
mipsel 交叉编译 0 warning，产物 md5 6cef4c54a1cb8e0c55f4ad5b6c4a323e（与 r1 完全一致，
证明二进制未变）。
 2026-11-12 08:07:37 +08:00
AskaEth e37c622597 feat(audiod): BT 输出音量软件增益（曲线与 DAC 同源）+ vol_apply BT 分支真生效 
真机现象：音量设 10 仍然满响度——vol_apply() 的 BT 分支 logmsg + return，
g_vol_pct 不更新、AVRCP 被 bt_vol_full() 钉在 127、写路径无任何软件缩放，
于是 BT 永远在耳机自己的满音量。

- 新增 vol_gain.{c,h}（纯整数，无 libm/软浮点）：增益表由 dac_vol_set 的同一个
  衰减寄存器函数 vol_gain_dac_att_reg() 推出（0.5dB/步、平方锥度），
  Q31 迭代乘法开机算一次；vol=100 逐字节不变，vol=0 全 0（memset 快路）。
- dev_write（BT 路径）逐样本乘 + 32 位中间量 + 饱和；增益恒 <=1 故不可能削波。
- 改音量走 512 样本线性斜坡（Bresenham 余额分摊，末步不补差），防爆音。
- vol_apply() BT 分支改为更新 g_vol_pct + 持久化；DAC numid=1/2/11 仍不写
  （M50 T11 隔离断言不变）。
- dac_vol_set() 改用 vol_gain_dac_att_reg()，DAC/BT 两条路锥度不可能漂移。
- 测试：test_vol_gain（曲线/缩放/斜坡纯函数断言）+ T11 改为断言
  「BT 音量不写 DAC 寄存器」+ 新增 T18（wav 捕获音量阶梯 RMS/峰值）
  / T19（活改音量不爆音、不丢帧）。
 2026-11-12 08:07:37 +08:00
AskaEth 4040b41649 Merge branch 'feat/m52-device-resource-guard-and-log-spam-e' 2026-11-12 08:03:09 +08:00
AskaEth 0d6c56100f fix(m52): r1 评审 P2-1 class 缺失 WARN 去刷屏 + 两个 nit（snprintf clamp / 恒真断言） 
P2-1（必修）：`multi_font: class %s font %s missing, fallback global` 与上一轮修掉的
enabled 行同在 meow_font_reload_multifont() 里、被 main_menu.c:1385 每 2s 调一次；
命中「某个 font.class_* 非空但文件缺失/不可读」时最多 6 行/2s（3 行/s），比 enabled
行凶 6 倍，会让「空转 60s 日志不增长」在 class 缺失形态下失效。
改法：循环内只记「本轮缺失类别位图」，循环外经新纯函数 mf_missing_warn_mask() 做跃迁
判定（缺失集合不变 → 静默；新类别缺失 → 1 条；恢复后再缺失 → 再 1 条）。回退行为不变
（缺失类别照旧回退全局），日志文本/参数不变。另加 _Static_assert 钉住类别数 ≤32（位图宽度）。

nit：wd_log() 的 snprintf 返回值显式 clamp（原「buf≤511+前缀≤23<544」是隐式不变量）；
test_wd_fw 的 "scan finds self" 原断言带 `|| np > 0` 恒真、等于没测 → 改为真查表断言
getpid() 在 wd_rg_pid[] 中且 comm 非空、并与 /proc/self/stat 的 pid/ppid 交叉核对。

验证：test_wd_fw 128 pass/0 fail（原 124，+4 来自强化后的自扫断言）；
test_mf_logsig 21 pass/0 fail（原 13，+8 为 P2-1 验收：单类缺失 60s@2s 只 1 条、
缺失集合变化再 1 条、恢复后再缺失再 1 条）；launcher 宿主测试 ALL PASS；
三处交叉编译 0 warning（watchdog 100,116 B/25f76950、launcherd 902,044 B/75629078、
audiod 68,732 B/ebb9a7ac 未变=bind hunk 未动）。
 2026-11-12 08:02:22 +08:00
AskaEth 166b32d0e5 feat(watchdog): M52 资源压力可观测 + multi_font 日志去刷屏 + audiod bind 失败即退 
- watchdog（新 wd_resguard.h + meow_watchdog.c）：每 10s 采 /proc/meminfo
  （MemFree/MemAvailable）、进程总数、单父进程子进程数前 5 名；过阈值时向
  MeowOS/logs 打 RESGUARD 告警，带等级/命中规则/进程名+PID 名单。零 fork、零堆分配、
  不发任何信号（只报警）。阈值依据 = 真机实测 56872kB / 空闲 100 进程 / maxch=11，
  推导写在 wd_resguard.h 文件头；日志只在等级跃迁或同态每 5 分钟复述。
- launcherd：multi_font 那行「每 2s 无条件打一条」改为只在配置签名跃迁时打
  （新 mf_logsig.h 纯函数 + test_mf_logsig 宿主单测，接进 build_launcher.sh test）。
  真机 6603 行日志里该行占 5297 行（80%）。
- audiod：io bind 失败不再只记一行就 return（旧行为让主线程 watchdog 空转 720s、
  客户端全 ECONNREFUSED），改为明确报错 + g_stop 干净退出；仅动 io_thread 一个 hunk。
 2026-11-12 08:02:22 +08:00
AskaEth f3d7b386b2 Merge branch 'feat/m54-hcitool-acl-inbound-connection-parsi' 2026-11-11 21:50:57 +08:00
AskaEth 1e2604953d docs(bt): M54 r1 评审 P2 — 入站 hcitool con 样本内联 od -c 原始捕获（仅注释） 
评审指出 S_CON_INBOUND 注释声称「od -c 逐字节校对」，但仓库与设备上都找不到
那份捕获件，traceability 不可审计。把 2026-11-11 20:53（0.8.50 / 10.58.215.50 /
耳机自主回连现场）`hcitool con 2>&1 | od -c` 的原样输出内联进注释块，并写清
逐字节读法、80 字节/末偏移 0000120 的自校验、以及复核命令（printf | od -c）。
同时如实注明该次采集未单独落盘（devdocs/evidence/ 只有 m50 那一份），出站样本
仍指 devdocs/evidence/m50_bt_result_20261111.log:7-8 的 cat -A 证据。

仅注释变化：meow_netmgrd.c 一字未动，测试断言未动（宿主单测 206 ok / 0 FAIL，
连跑 3 次 ALL PASS）。
 2026-11-11 21:50:28 +08:00
AskaEth 6e2774ff5c fix(bt): M54 入站 ACL（> ACL）解析 — 耳机自主回连后 connected=0 而声音正常 
bt_acl_parse 原先只认行内 "< ACL "，而 hcitool con 对**远端发起**的连接打的是
"> ACL "。耳机自动回连（最常见的连接方式）时于是：bt connected 空、bt status
connected=0、bt connect 报「未生效（hcitool con 无该 ACL）」，而 audiod 用
strstr("ACL") 认得出、声音正常从耳机出 —— 用户看到的就是「看不出到底连没连」。

改法：白名单取代裸子串匹配 —— 行首（可带空白）→ '<' 或 '>' → ' ' → "ACL" → ' '
→ 17 字符 BD_ADDR（且必须在此断词：再跟 hex/':' 不算）。因此 SCO 行、表头、
截断行都不收。MAC 统一大写（与 audiod bt_dev_acl_macs / bluetoothctl 一致）。
单一解析器：bt_acl_macs / bt_acl_has_tri（写后真态复查）/ bt_connected_text /
bt_status.connected_n 全部经 bt_acl_parse，无第二套。

单测用真机原始字节（od -c 校对）：
  入站 0.8.50 设备 10.58.215.50 2026-11-11 20:53 "\t> ACL 33:DE:2E:21:AD:30
  handle 11 state 1 lm MASTER AUTH ENCRYPT \n"
  出站 devdocs/evidence/m50_bt_result_20261111.log:8 "\t< ACL ... handle 0
  state 5 lm MASTER \n"
覆盖 >/</>SCO/<SCO/表头/空/NULL/无方向符/截断（行中与行尾）/伪 MAC/大小写/CRLF/
max 裁剪，另加端到端：入站时 connected、status connected=1、connect 不报未生效、
SCO-only 不计连接、disconnect 假成功对入站 ACL 也报「仍有该 ACL」。
用旧解析器跑同一套测试 18 条 FAIL（证明用例不是自证）。

真机验证：同一时刻 0.8.50 旧二进制 bt status connected=0，而按新源码交叉编译
（mipsel 静态）的探针在设备上对**实时 > ACL** 链路报 connected=1 且
bt_connected_text 列出 "Device 33:DE:2E:21:AD:30 MOONDROP Pudding"。
 2026-11-11 21:50:28 +08:00
AskaEth 26cab3a0ed Merge branch 'feat/m53-devkit-timeout-utility' 2026-11-11 21:41:20 +08:00
AskaEth c93814a78b fix(m53): r1 评审 P2 — 小数后缀时长、文档数字、信号失败告警 
P2-1 时长解析：后缀乘数只作用在整数部分，nsec 没跟着乘。
  0.05m 被算成 50ms（应 3s）、1.5m 算成 60.5s（应 90s）、0.5h 算成 0.5s。
  修法：sec 与 nsec 都乘 mult（各自带溢出检查，mult==1 行为不变）。
  --help 与头注释的示例改为逐个标出等价值（2.5s=2.5s、1.5m=90s、0.5h=1800s），
  不再留文档写着、实际算错的例子。
  新增 T11：宿主上编译 parser 单测（27 例，含 0.01m/0.05m/1.5m/0.5h）真跑，
  并单独点名评审抓到的三条，防止回归。

P2-2 文档数字：§2 产物表 47 708 → 49 676，合计 2 189 472 → 2 191 440；
  全表按 MANIFEST 重核（其余七项未漂移），§11.1 补上新的体积/md5/sha256。

P2-3 信号失败不静默：新增 kill_child()（kill(-pgid) 失败时 ESRCH 视为组已消失，
  退化为 kill(pid)，EPERM 等明确告警）、verify_process_group()（发信号前用
  getpgid 核对建组是否生效）、父进程 setpgid 的异常 errno 告警；连兜底 kill
  都失败时退出码 125 而不是谎报 124。新增 -DTIMEOUT_TEST_SETPGID_FAIL 故障注入
  与 T12（a-d）验证告警路径可达且兜底真的杀掉子进程。

真机复验（md5 aded39e0，49 676 B）：124/137/0/孙进程清零/保证挂住的命令 3.01s
被 124 结束/0.01m=0.61s、0.05m=3.01s、2.5s=2.51s/无参 125；收工 bt=0 sleep=0，
Music 199164544。回归 44 通过 0 失败。
 2026-11-11 21:23:52 +08:00
AskaEth 24f1d8a682 docs(m53): timeout 上卡后的 5 行复跑自检（已真机验证） 2026-11-11 21:23:52 +08:00
AskaEth 80c0bd4eb4 feat(m53): 自写 timeout(1) 并接入 devkit 本地源码构建路径 
设备没有 timeout，busybox 1.31 也无该 applet；2026-11-11 18:44 一条挂在
硬件上的 bluetoothctl 累积 55 个残留进程耗尽进程表，dropbear 无法 fork，
整机在线却不可登录。本单给设备一个可用的 timeout。

- scripts/build/devkit-src/timeout.c（新，Apache-2.0，489 行）
  独立实现，未拷贝 busybox/GPL 代码；fork+setpgid(0,0) 后 kill(-pgid)，
  孙进程一并终止；waitpid 回收直接子进程不留僵尸；-s/-k 两阶段终止；
  退出码 124/137/128+N/125/126/127 对齐 coreutils 语义。
  计时不用 timerfd（musl 的 timerfd_settime 在 4.4 上静默失效，实测
  timeout 2 sleep 30 等满 30s 才返回），改用 setitimer(ITIMER_REAL)+SIGALRM，
  与 SIGCHLD 一起进 signalfd，由一次 ppoll 等待，零轮询、不读时钟。
- build_devkit.sh：新增 build_local（B 路径，不碰上游 procps/lsof/ncurses
  流程）；TOOLS/TOOL_NAMES/MANIFEST/licenses/stamp/--with-sources 接入；
  产物同时标注 Apache-2.0 并随附许可证原文。
- test_build_devkit.sh：T9（产物静态/架构/零 NEEDED/MANIFEST/license）、
  T10（源码纪律：独立实现、不调 clock_gettime、不用 timerfd、进程组模型）。
- DEVKIT.md/README.md：产物表、PATH 实测（ssh 非登录 shell 无 opt/bin，
  且设备无 bash → 用 sh -lc 或绝对路径）、禁裸跑纪律与 18:44 事故时间线、
  timerfd 静默失效的第二类 time64 坑、2026-11-11 真机验收原始输出。
 2026-11-11 21:23:52 +08:00
AskaEth a41b61198e Merge branch 'feat/m51-final-binary-rebuild-batch-and-firmw' 2026-11-11 21:20:24 +08:00
AskaEth 0d1b2d4c19 fix(fw): M51 r2 — 重编脚本开箱可用、自证门禁不再假绿、归因与 desc 纠正 
r2 评审 p2-6items 六条全部处理；**产物字节未变**（5 件 md5 与 31d4c22 完全一致）。

P2-1/P2-4 归因纠正（31d4c22 提交说明里那两行是错的，以本条为准）：
  - bootmenu 的 +1728 **不是**工具链代差，是 M23 源码（m2.29→m2.30）。证据：旧件
    `readelf -p .comment` 已是 clang 22.1.8（与新件同代）；旧件版本串 `0.1.0-m2.29-takeover`，
    而钉值 commit 884d4c4 的源码已是 m2.30；用 6364498（m2.29 树）+ 今天的工具链重编得
    157108/0507739d，与旧钉值件逐字节相同。
  - launcherd 的 −512 也不是编译器：新旧 .comment 集合一致（那道 21.1.8 来自 meow_ui.a 里的
    meow_font.o），真实原因是 SDK 静态库从 86800633 换成 cc0ed49b——用 58cdb73 源码 +
    86800633 的 .a 重编得 894940/cea0a735，与旧钉值件逐字节相同。
  - 因此**只有 meow_audiod 真有工具链代差**（旧 clang/LLD 21.1.8 → 新 22.1.8）。

P2-2 主 checkout 定位：`git rev-parse --git-common-dir` 给的是主仓库 .git 的**绝对**路径，
  父目录才是主 checkout；旧版把绝对路径当相对路径拼到 $ROOT 下，`cd` 失败被 `set -e`
  直接终止 → 干净 worktree 里静默 exit 1。现为 `cd "$_gcd/.."` + 全部 `|| true`，
  找不到 meow_ui.a 时**先**打印诊断（缺什么、试过哪些路径、怎么覆盖）再退出。

P2-3 .tools 兜底层级：旧版把 $COMPAT_HOME/Project/R3ProII 指向 ROOT，脚本里的
  `$HOME/Project/R3ProII/.tools` 就落到 `<checkout>/.tools`（干净 worktree 不存在 → 127）。
  现在造一个真目录，只放 `.tools -> ~/.tools` 与 `patch_v2 -> $ROOT/patch_v2`；
  零手工准备即可开箱重编。README 措辞同步改准。

P2-5 门禁假绿：test_time32_abi.sh 的退出码现计入 FAIL，脚本缺失也记 FAIL。
  失败桩自证：`PASS=33 FAIL=1`、exit 1（原为 PASS=33 FAIL=0 / exit 0）。

P2-6 desc：meow_audio 的 `volume` → 真实子命令 `status / tone / route / vol / output / monitor`
  （并避开 `|`，否则破坏清单 4 字段格式）；bootmenu 的读取键改为 display.brightness
  （display.brightness_min 只是下限 clamp）；netmgrd 去掉「以太网连接」的夸大说法。
 2026-11-11 21:02:09 +08:00
AskaEth 31d4c22806 fix(fw): M51 刷机前批次 — 5 组二进制从最新 main 重编 + 钉值回写 + 语义指纹自证 
本轮终结「二进制与源码两条轨道各走各的」：M23/M43/M47/M49/M50 只交源码，产物统一由本单
从 main 5a06a8c 一次重编。重编后 md5 全变（旧钉值来自另一代工具链/另一份源码），语义由
scripts/build/verify_fingerprints.sh 逐条自证。

- meow_bootmenu     157108 → 158836  8bce6558  （源码与 884d4c4 一致，变化全部来自工具链代差）
- meow_netmgrd      212740 → 222068  e62e7512  （M49 蓝牙控制面 + WiFi 连接修复，+9328 全为源码）
- meow_audiod       153484 →  68604  9f58b219  （musl 静态 → glibc-2.22 动态，链 libasound.so.2；M50）
- meow_audio         88888 →  88888  3909c8d2  （与钉值逐字节一致，重编即复现）
- meow_launcherd    894940 → 901020  e21450ff  （M47 蓝牙/WiFi 三态开关 +6592）

fw_content.conf：上述 6 行（netmgrd 双路径）md5 回写；desc 改为中性描述（文件是什么/什么形态），
不再写未进产物的功能版本号（M48 查出 bootmenu/netmgrd/audiod 三处 desc 撑谎）。
30/30 行 md5 与磁盘一致、全部 4 字段。

新增 scripts/build/rebuild_binaries.sh：干净 checkout / worktree 里的重编驱动（兼容 HOME +
.tools/meow_ui.a 兜底，不改各组件 build_*.sh 的本机硬编码路径）。
新增 scripts/build/verify_fingerprints.sh：字符串/动态段/4263 反汇编判据逐条断言。
 2026-11-11 20:29:21 +08:00
AskaEth 5a06a8cc1a Merge branch 'feat/m50-audiod-bluetooth-output-end-to-end' 2026-11-11 20:14:50 +08:00
AskaEth d36a3a02a6 fix(audiod): build_audiod.sh 评审 P2 两条 — CC 单一命令词 + ZIG guard 下沉；顺手两处可见性 
评审 r2（p2-2items/merge，reviewed 234b4d1）两条：

① P2-1 `CC="zig cc --target=mipsel-linux-musleabi"` 是死代码：多词整串存进变量，`"$CC"`
   按一个命令名展开 → `command not found`（评审实测 exit 127）。**M51 在 git worktree 里跑
   必踩**（`$ROOT/.tools/zig-mipsel-cc` 基本不存在 → 走 PATH 回退 → meow_audio 编不出来，
   而 meow_audio 正是 M43 带 time32 的那个 CLI）。
   - `CC` 只存**单个命令词**，多词 target flags 另放 `CC_EXTRA`（未加引号展开，故意分词）；
   - PATH 回退改为 `CC="$(command -v zig)"` + `CC_EXTRA="cc --target=mipsel-linux-musleabi"`；
   - cli 分支加 `[ -n "$CC" ] || { 明确提示 CC=/ZIG= 或把 zig 放进 PATH; exit 1; }`——
     缺编译器时是**清晰错误**，不再是 command not found。

② P2-2 `[ -n "$ZIG" ] || exit 1` 放得太早：`$ZIG` 只有 audiod 目标用，却在 host/cli 分支之前，
   没有 zig 的机器上 `build_audiod.sh host`（只需宿主 cc）会被无谓打断。guard 下沉到 audiod
   段（MAIN 之后、LIBBT 之前），提示语也改成「audiod 目标需要它」。

顺带（评审附带观察）：
③ host 目标不再用「先编一次 2>/dev/null、失败再编一次」兜底——那会把成功路径的 warning 吞掉。
   改成先跑一个 trivial 链接探针决定 `AS_LINK`（`-l:libasound.so.2` 或 `-lasound`），真正的编译
   全程保留 stderr。
④ `libasound.so.2.0.0 not found` 现在**列出试过的全部路径** + 覆盖语法（M51 在陌生环境里的
   唯一路标）。同时把 MAIN 的推导改成「git 不可用就留空」，避免产生 `/`、`$HOME` 这类伪候选。

自证（本 worktree 真跑）：
- `ROOT=/nonexistent ./build_audiod.sh cli` → 正常出件 88888B/md5 3909c8d2…（评审的复现命令）
- PATH 里没有 zig → cli：`!! mipsel CC 未找到：设置 CC=…`（不再 command not found）；
  audiod：`!! zig not found（audiod 目标需要它）…`
- PATH 里没有 zig → **host 目标照常 4 个产物 + test_bt_dev 71/71 + test_audiod_host 109/0**
- 正常环境两目标产物**一字未变**：meow_audiod 68604B/md5 9f58b219…、meow_audio 88888B/md5 3909c8d2…
- `test_time32_abi.sh --builds` ALL PASS，`build meow_audio src=yes macro=yes`
 2026-11-11 20:05:49 +08:00
AskaEth 234b4d13b9 fix(audiod): build_audiod.sh 解 rebase 冲突后补主 checkout 回退（worktree 里也能找到固件树） 
rebase 到 main（ca042aa，M43 已合入）时 build_audiod.sh 冲突，解决原则：M43 的 cli 目标
time32 接入与 M50 的路径环境变量化**两者都保留**，守护目标仍不链 time32：
  cli    : "$CC" $INC ... -static -DMEOW_TIME32_LIBC_OVERRIDES meow_audio.c ../sdk/meow_time32.c
  audiod : "$ZIG" cc --target=mipsel-linux-gnueabihf.2.22 ... meow_audiod.c bt_dev.c -lpthread -L"$LIBBT" -lasound
（M43 的守护例外注释按 main 的新措辞保留；LIBBT/ASOUND_SRC 环境变量覆盖与 host 链接兜底保留。）

解冲突时发现一个实际问题：`devdocs/fw-baseline/...` 与 `fw_apps/build/...` 这两条 ASOUND_SRC
候选**都没有入库**，在 git worktree 里运行时 REPO=worktree 根，两条都不存在 → 守护目标
直接 exit 1（本仓库正是按 worktree 并行开发的）。补一条回退：用
`git rev-parse --git-common-dir` 的父目录找到**主 checkout**（worktree 下即主仓根），
把主 checkout 里的 devdocs/ 与 fw_apps/ 也列为候选；普通 checkout 下 MAIN==REPO，行为不变。

自证（解完冲突、真实跑本脚本）：meow_audiod 68604B/md5 9f58b219…（glibc-dynamic，
NEEDED=libasound.so.2/libc.so.6/libpthread.so.0，interpreter /lib/ld.so.1）；
meow_audio 88888B/md5 3909c8d2…（static，含 S24/S32，4263=3/4403=0/16B-layout=OK）；
test_time32_abi.sh --builds ALL PASS（build meow_audio src=yes macro=yes）。
 2026-11-11 19:38:32 +08:00
AskaEth 6e67c74fe6 fix(audiod): M50 r3 评审 P2 三条 — fd 卫生 / 端点路径按 MAC 精确匹配 / 多 ACL 逐个试开 
评审 r1（p2-3items/merge，reviewed 26c6077）三条：

① P2-1 dev_close() 在「BT 写路径判死 → 回落」这条路上会 close(0) 误关 stdin：
   播放线程处理 g_bt_fail_req 时**提前把 g_bt_dev 清 0**，下拍 dev_close() 就落到
   close(g_dev_fd) 分支，而 BT 打开成功时 dev_open() 返回 0（g_dev_fd==0）。
   - 去掉那行提前清零（让 dev_close 走 BT 分支自己清），并同时置 g_dev_fd = -1 做第二道保险；
   - 把关闭决策抽成纯函数 bt_dev_close_kind(bt_dev, fd)（0=NONE/1=BT/2=FD）：**fd 0/1/2
     一律不当设备 fd 关**，宿主单测 D10 覆盖（含 bt_dev=0+fd=0 这条回归用例）；
   - 补不变式「设备 fd 恒 >2」：dev_open 的 DAC/WAV open 过 fd_high()（0..2 时 F_DUPFD 升位，
     dup 失败则关掉并报打开失败——绝不留 stdio 区间里没人认领的设备 fd）；
   - dev_close 注释改成诚实版：不再声称「已消除」，写明「BT 分支内自行清理；调用方不得
     提前清 g_bt_dev」。

② P2-2 g_bt_pcm 只写一次 → 换耳机 A→B 后 volume/info 打在 A 的端点上：
   - bt_refresh_endpoint() 每次先清空再探测，并用新 bt_dev_pick_endpoint() **按 g_bt_mac
     精确挑端点**（找不到就留空，宁可跳过 volume/info 也不串台）；
   - bt_vol_full() 删除「拿 list-pcms 第一条端点凑数」的兜底（同样会串台）；
   - 单测 D9：两条端点里按 MAC 分别取 A/B、未知 MAC 返回 -1。

③ P2-3 bt_dev_acl_mac() 只取第一条 ACL，多设备（手机/手柄并存，M49 正在测 BT 控制面）
   会挑错设备 → 耳机连着却回落 DAC：
   - 改名/重写为 bt_dev_acl_macs()：收集**全部** ACL MAC（去重、上限由调用方给）；
   - bt_find_mac() → bt_collect_candidates()：①list-pcms 里已有端点的设备优先（真 A2DP）
     ②其后全部 ACL 设备；候选按可信度排序、去重；
   - bt_try_open() 改为对候选**轮流试开**，3 次尝试、300ms 间隔（1 候选=A,A,A 与 r2 语义
     相同；2 候选=A,B,A；3 候选=A,B,C），仍受退避门控；**删除裸 "bluealsa" 兜底**
     （那会落到「最近连接」的错设备，review §P2-3 明确指出）；
   - 单测 D8c/D8d：两条 ACL 全取到且保序、三条含重复时去重并受上限裁剪。

顺带清死代码（评审「其余观察 2」）：删除 bt_dev_count_src()、bt_dev_endpoint_path()
（生产路径已无调用者，前者早已只剩单测）。

宿主：test_bt_dev 71/71（新增 D8c/D8d/D9/D10 共 10 条），test_audiod_host 109/0，
交叉编译 0 warning（68604B，md5 9f58b2197ed91d24951918d41a78cf29，NEEDED 三条、
interpreter /lib/ld.so.1、GLIBC≤2.17），test_time32_abi.sh --builds 里
`build meow_audio src=yes macro=yes` 保持。真机项（耳机）未动：本轮不连蓝牙、不扫设备。
 2026-11-11 19:37:03 +08:00
AskaEth 6e7c0d00c0 fix(audiod): M50 r2 蓝牙打开时序 — MAC 改从 hcitool con 取（list-pcms 易失）+ 短重试 + 行内匹配修正 
真机（2026-11-11 18:2x/18:3x，MOONDROP Pudding 33:DE:2E:21:AD:30）暴露两个时序/解析问题：

① **list-pcms 易失，不能当 MAC 主来源**：bluealsa 的 a2dpsrc PCM 对象只在 A2DP profile
   配置好后的秒级窗口内存在（无人开 PCM 时 1~3s 就消失）。r1 用它取 MAC → 探针一错过窗口
   就 btdev=- / bt=fail 回落。改为 **主来源 `hcitool con` 的 ACL 行**（内核 ACL 是连接权威，
   开销一个 popen），拿到 MAC 直接 snd_pcm_open("bluealsa:DEV=<mac>,...") 让 bluealsa
   在 open 时自己创建 PCM；list-pcms 降级为兜底来源。
② **ACL 刚建立时 profile 可能还没配置好** → open 会瞬时 ENODEV。改 3 次 × 300ms 短重试
   （上限 600ms，不占播放线程太久）；失败后才记为 fail#n 进退避（仍只在开流/重配边界）。
③ **端点路径要 D-Bus 全串**（`bluealsa-cli volume|info` 要它，不是 MAC）：新增
   bt_dev_endpoint_path()；PCM 撑住后再 list-pcms 取路径（此时稳定）→ bt_refresh_endpoint()。
④ **命令换行 bug**：旧 vol_full 的 token 扫描不认 '\n'，真机把端点路径连换行一起塞进
   `bluealsa-cli volume <path>\n 127`，第二行成了独立命令 → 音量设置实际没下发。改为
   bt_dev_endpoint_path() 严格按空白/\r/\n 截断。
⑤ **行内匹配 bug**：is_src_line() 对整串 strstr 会借到下一行的 a2dpsrc —— hfphf/source
   行被误判成 A2DP 源端点（count_src 少算/endpoint_path 取错行）。改 line_is_src() 只在
   本行内判定。
⑥ STATE 增 `btacodec=`：读回 `bluealsa-cli info` 的 Selected codec。真机 MOONDROP Pudding
   只有 SBC/AAC，settings 请求 LDAC 时 bluealsa 接受参数但实际选 AAC —— 面板必须看到
   实际值（btcodec= 仍是请求值，btacodec= 是实际值）。
⑦ AVRCP 满量程 127（bluealsa-cli volume 取值范围 [0,127]，旧值 100 只到 79%）。

宿主：test_bt_dev 66/66（新增 hcitool con 真机原文 / 端点路径 / info 原文解析用例），
test_audiod_host 109/0，交叉编译 0 warning（67944B，md5 0ec3b9a6…）。
真机：r1 二进制 18:26 那次已实测 BT 出声（bt=ok / played=55296 / bluealsa Running:true /
Delay 17.2ms / Volume 127），18:33 起耳机自动关机，r2 的 hcitool-con 主路径未能在真机复验
（耳机不可达），详见报告。
 2026-11-11 19:37:03 +08:00
AskaEth 33bef36d16 fix(audiod): M50 蓝牙输出端到端 — 内联 DEV/CODEC 打开 + 失败必回落 DAC + MAC 解析修正 
① ALSA 正确用法（核心）：不再写 /usr/data/alsa.conf（HiBy 播放器数据文件、语法非法、
   libasound 从不加载，改它对解析零影响）。改为 snd_pcm_open("bluealsa:DEV=<mac>,
   PROFILE=a2dp,CODEC=<token>")，参数名严格取 /etc/alsa/conf.d/20-bluealsa.conf 的
   pcm.bluealsa @args[DEV PROFILE CODEC VOL SOFTVOL DELAY SRV]（实测未知参数会被
   alsa-lib 拒绝）；删掉 bt_apply_device_conf/bt_apply_codec_conf 两条改写分支。
② 硬 bug：bt_dev_detect_mac() 旧逻辑取端点 token「最后一个 '/' 之后」——真机
   bluealsa-cli list-pcms 输出是 D-Bus 路径 /org/bluealsa/hci0/dev_33_DE_2E_21_AD_30/
   a2dpsrc/source，旧代码会把 "source" 当 MAC（旧单测喂的是人造输入所以一直是绿的）。
   改按 dev_XX_XX_XX_XX_XX_XX 段解析，兼容老式 a2dpsrc/<MAC>。
③ codec：settings bt.codec 经 bt_dev_codec_token() 归一成 bluealsa canonical 名
   （v4.1.1 a2dp-codecs.c 别名表，strcasecmp）；auto/未知 → unchanged（不干预协商）。
④ 失败必回落（硬验收）：新增 BT_ST_IDLE/OK/FAIL 状态机 —— 无端点/未连接/set_params
   失败/写路径致命错（ENODEV 等）都回落 DAC 继续出声，绝不整机静音；回落前同步武装
   numid=9（hbc3000 未烧+enable 开 PCM 会楔死整机）；STATE 增 bt=/btdev=/btcodec=
   三键供面板显示「输出=蓝牙(失败)」，volctl 回落时报 dac。
⑤ 防重试风暴：只在开流/重配边界重试，指数退避 2s→60s（bt_dev_should_try），写循环内
   绝不重试；用户显式切目标才清退避。
⑥ 音量：BT 真走 A2DP 时仍不下发 DAC 反转（回归确认），回落 DAC 时按 DAC 音量控；
   AVRCP 一键置最大从 100 改 127（bluealsa-cli volume 满量程 [0,127]，旧值只到 79%）。
⑦ build_audiod.sh：ROOT/REPO 自动推导，ZIG/CC/LIBBT/ASOUND_SRC 可环境变量覆盖（旧
   hiby_os_crack 路径在多数 checkout 里不存在），宿主链接 -l:libasound.so.2 失败退
   -lasound；保留 M43 的 meow_audio time32 cli 目标。

宿主：test_bt_dev 51/51（真机 D-Bus 路径格式/别名表/退避），test_audiod_host 109/0，
0 warning。真机：新二进制 glibc-dynamic 上机正常，DAC 出声回归通过，无端点回落 DAC
出声（played/rms 实证），/usr/data/alsa.conf 全流程零写入；耳机出声一项待耳机上电。

不提交二进制、不改 fw_content.conf 钉值（按塔交付形态政策，由 M51 统一重编）。
 2026-11-11 19:37:03 +08:00
AskaEth ca042aa79c Merge branch 'feat/m49-netmgrd-bt-control-plane-rebuild-and' 2026-11-11 19:34:41 +08:00
AskaEth 00e7271395 Merge branch 'feat/m43-time32-rollout-to-system-components' 2026-11-11 18:51:24 +08:00
AskaEth 1ad2346d34 fix(m43): r2 评审 P2 — 构建级主判据 + 数据依赖语义 + bootmenu 注释 
- test_time32_abi.sh 增加构建级主判据：解析各组件的 build_*.sh，按 -o <产物>
  定位实际编译行（自动拼接续行），断言同时出现 meow_time32.c 与
  -DMEOW_TIME32_LIBC_OVERRIDES。缺任一即 FAIL（100% 抓「漏加」）。
- 二进制 16B 断言从「空间窗口」改为「数据依赖」：0/4/8 写回必须来自
  被调函数填的 ts32 缓冲（lw off() → sw 0x0，lw off+4() → sw 0x8，
  含 sra 符号扩展），修掉无关结构体写回造成的 false positive。
  已知健康件 launcherd（非内联转换）仍 PASS；复现的评审反例 bad6b 现 FAIL。
- bootmenu 注释把 initramfs 误述改为 squashfs /usr/bin（M23 未碰该文件）。
 2026-11-11 18:51:16 +08:00
AskaEth 7a32b0690e fix(m43): r1 评审 P2 — 语义断言入仓 + audiod 表述对齐产物 
- test_time32_abi.sh 增加 16 字节 time64 布局断言：4263 后必须写 tv_sec 0x0/0x4
  （含 sra 符号扩展）+ tv_nsec 0x8；支持「内联」与「调用后转换」两种编译形态。
  自证：amsd 出货件 FAIL、修复后 amsd PASS、不加修复重编 sysui FAIL。
- build_audiod.sh / fw_content.conf:41 的 audiod 例外说明改为：「出货件是旧工具链
  静态 musl，4403→ENOSYS→4263+宽度转换本身健康；glibc-2.22 目标同样无 ABI 错位」，
  不再单称 glibc-dynamic。
 2026-11-11 18:51:16 +08:00
AskaEth 884d4c4891 fix(fw): M43 系统组件接入 o32 time32（9 组件 + meow_audio CLI） 
- 构建脚本链 ../sdk/meow_time32.c + -DMEOW_TIME32_LIBC_OVERRIDES：
  sysui/svcd/bootmenu/amsd/netmgrd/crash/svc_perf/powermgr/meowpanel，
  以及 musl-static 的 meow_audio CLI（monitor 取时/轮询）
- meow_audiod 守护例外：glibc-2.22 time_t 32 位，无 musl time64 ABI 错位，不链
- 重编 10 个产物：反汇编 4263=3 / 4403=0，__clock_gettime 按 16 字节布局写回
- test_time32_abi.sh 收紧为 addiu 系统调用号匹配，避免 .text+0x1133x 偏移误报
- fw_content.conf 同步全部新 md5（清单逐行校验通过）
 2026-11-11 18:51:16 +08:00
AskaEth 96c15a06ec Merge branch 'feat/m24-bootmenu-hibyos-brightness-floor' 2026-11-11 18:42:54 +08:00
AskaEth a9281c2d64 fix(bootmenu): M23 评审 r2 — 电源键锁存取代「3s 抑制」，缺键视同不可信 
P2-2（r2）：删除「电源键按下后 3s 内不补」的定时抑制 —— 它到期就会把用户刚熄的屏点亮
（窗内可重复），且该行为被单测固定。改为**锁存**：扫描窗内一看到电源键按下边沿就置
scan_pwr_seen=1，本次窗口内此后一律不补（why="power-key-latched"），窗口结束才清零。
理由：Bug 4 保护的是「无人值守时媒体扫描导致黑屏几分钟」；用户已按键介入，需要亮屏时
自己再按一次即可。锁存同时覆盖「播放器只写 brightness=0 不改 bl_power」与「HibyOS 自动
超时熄屏」两种残余。

bl_power 门保留但降级为纯保险，注释改成诚实表述：据 patch_v2/meow_launcherd/backlight.c:90-95
实测，本机播放器熄屏（brightness 0 + FBIOBLANK 4）后 bl_power **仍为 0**，该门在播放器熄屏
场景不生效；真正的门是电源键锁存。（上一轮注释里的「播放器灭屏会置 bl_power>0」是反向推断，
已删。）

顺手关掉评审指出的竞态：亮度保底判定块从主循环前半（keypoll 之前）移到电源键边沿更新之后，
电源按下与播放器写 0 落在同一 poll 间隙时不会再出现一轮「没看到电源键就补亮」。

非阻塞 1（采纳）：settings 文件存在但缺 display.brightness 键 → 返回 -1（视同不可信），
不再走 launcher 设置表的 101→100；否则扫描窗待机补 100 比老 bug 的 60 更亮。

单测（52 → 56 条）：
- 删「power key expired -> floors」（把 bug 固定成期望的那条），换「latch 在窗口内永不过期」
  「下一轮窗口（锁存清零）恢复正常补」「latched 时面板暗也不写、why=power-key-latched」；
- 「missing key -> 100」改「missing key -> -1 (untrusted)」，并补 e2e「缺键 → saved=10 不是 100」；
- 两条名字去 degraded：`floor: saved 80 (from settings) floors at 80`、
  `hotkey: blank -> saved 60 (settings value)`（降级路径已封顶 10，80/60 只可能来自 settings）。

只交源码：不含二进制、不改 fw_content.conf、不动 build_bootmenu.sh。
 2026-11-11 18:42:41 +08:00
AskaEth 8cd6e21cad fix(bootmenu): M23 评审 r1 — 修 P2-1 降级路径 + P2-2 Bug4 防护退化 
P2-1（降级路径把老 bug 请回来）：settings 不可读时不再原样采信面板瞬时值。
  bm_bri_pick_saved 的 panel 分支改为 min(面板, BM_BRI_SAFE_LOW)，src 改名 panel-capped；
  BM_BRI_SAFE_LOW 20 → 10，与 meow_watchdog 的 WD_BRI_SAFE_LOW 对齐（同一系统同一个安全下限）。
  这样 settings 不可读 + 面板 60（播放器启动画面值）时 saved 是 10，扫描窗/确认框不会再写 60。
  注释改掉「与 wd_bri_decide 同构」的断言：方向相同，但 bootmenu 没有运行期亮度快照，
  降级走安全下限而不是 M20 的「快照 → cur>0 不写」链。
  单测：把原先钉死 bug 的 "fallback keeps panel 60" 改成 "caps panel 60 -> SAFE_LOW 10"，
  并补「比 SAFE_LOW 更暗的真实值保留」「SAFE_LOW 与 M20 对齐」两个断言。

P2-2（busy 门可能让 Bug 4 防护变成空操作）：删除 /proc D 态门，触发条件回到 pre-M23 的
  「窗口内 + 面板暗（bri<=0）+ 面板未下电（bl_power<=0）」。
  避免「熄屏瞬间爆亮」改由两条可观测信号承担：bl_power>0（播放器 FBIOBLANK）与
  「电源键按下后 3s 内不补」（supervisor 已在 10ms 轮询 evdev，记录按下边沿）。
  单测补 Bug4 防退化回归用例（窗口剩余 89999ms、面板暗、未下电 → 必须补）。

评审非阻塞三条：
- 日志节流：同一原因 ≥2s 一条、原因跃迁也 ≥1s（防 visible↔scan-floor 每 400ms 交替刷屏，
  90s 窗口最坏 ~90 行）；日志字段 busy= 换成 pwr_ago=。
- 单测复跑配方补 TMPDIR；tmp_root() 增加自愈（TMPDIR → 可写 /tmp → $HOME/tmp/m23test）。
- 验收配方（3 次亮/灭屏 + 进一次开机菜单 + 期望日志行）写进报文。

只交源码：不含二进制、不改 fw_content.conf、不动 build_bootmenu.sh。
 2026-11-11 18:42:41 +08:00
AskaEth bc7bafa5dc fix(bootmenu): M23 亮度单一权威源（只交源码，二进制由 M43 统一重编） 
真机 0.8.46 两个症状：
1) 开机菜单亮度 = 第一屏的 60（用户设置 1）——根因是 M6.25 的选单亮度写回只改了源码、
   二进制没重编（strings 无 display.brightness_min），本次只交源码，重编交给 M43 批次。
2) HibyOS 亮/灭屏瞬间爆亮——supervisor 把启动瞬间面板读数（播放器写的 60）当保底，
   且 >60 一律钉 60；扫描窗保底只要读到亮度<=0 就在 400ms 内写回该值，用户主动熄屏
   也会被强行点亮。

改动（全部失败也沿用现状行为）：
- saved_brightness 权威源改为 settings.conf 的 display.brightness（与 watchdog/launcher
  同源同 clamp）；面板读数只在 settings 不可读时兜底；两者都不可知才写 BM_BRI_SAFE_LOW。
- 旧的 `>60 → 60` 硬钉改为 clamp 进 [display.brightness_min, max_brightness]（bm_bri_clamp），
  不再用常量顶替用户值；为什么不会重新引入 M2.9 开机闪屏写在 bm_bri_pick_saved 注释里。
- 扫描窗保底加「播放器忙（proc 态 D）+ 面板未下电（bl_power<=0）」两门，窗口结束彻底放手。
- 热键熄屏恢复：面板真实正值优先（HibyOS 内改过亮度），否则用 settings 值，夹进 [min,max]。
- 决策抽纯函数 bm_bri_pick_saved / bm_bri_clamp / bm_bri_floor_decide / bm_bri_hotkey_saved。
- 亮度判定/写回补 bm_log 落卡（stderr 原行全部保留），只在状态跃迁时打，不在高频路径刷日志。
- test_bm_fw.c：宿主单测（settings=1/saved=60/now=0/blank 矩阵 + clamp 矩阵 + 真文件 e2e）。
- -Wall -Wextra 清理：3 处 unsigned/int 比较、未用参数、未用变量、sys/poll.h→poll.h。

不含二进制、不改 fw_content.conf 钉值（保持 4441822d）。
 2026-11-11 18:42:41 +08:00
AskaEth 63644985a6 Merge branch 'feat/m47-settings-bt-and-wifi-true-toggle-sta' 2026-11-11 18:20:27 +08:00
AskaEth f49585dd62 fix(launcher): M47 r1 评审 P2 四项 — 未知态不写盘/不顶替 + deadline 从点击起算 + 开关弹窗后置清理 
评审 r1 status=p2-4items / merge=fix-then-merge（reviewed e4eda3a）。逐条：

P2-1 未知态被写成 settings=0，把失真推到别的入口
- bt_page.c / wifi_page.c：`meow_settings_set_bool(..., disp == 1)` 加 `disp >= 0` 门。
  disp == -1（daemon 与直连都读不到）时**保留用户原意图不动**。该键被 notif_center /
  settings_page 当显示态读、被 app_launcher 用来决定自动拉起 WiFi，写 0 会把「不知道」
  污染成「确定已关」。
- test_bt_page.c 5d 期望同步改：未知 → settings 保持原意图 1（不再期望「回滚为 0」）。

P2-2 收尾后「探测未知」仍显示成确定态，第三态丢失
- mtog_calc：显示态**只认 probe**，probe < 0 直接返回 -1；last_real 不再顶替确定态
  （`(void)last_real`，仅由调用方用于弹窗文案）。超时/下发失败且探测未知 → 顶栏保留
  「关+?」、行内保留「状态未知」，与文件头契约一致。
- 弹窗文案按结论区分：「无法确认当前状态（上次已知：开启/关闭/未知）」vs
  「切换未生效：当前仍为开启/关闭」——不再出现「当前仍为开启」自相矛盾（该文案只在
  probe 已知且 != 意图时出现）。日志加 elapsed。

P2-3 deadline 起点错，注释上限是假的
- bt_page/wifi_page：`deadline` 从**点击时刻**起算（含下发耗时）。
- 注释改成如实上限：快路径 1~2s / ≈16 次探测；慢路径（on-off 读超时 1.5s + hciconfig
  0.3~2s，之后一次探测 status 1.5s + 直连 1.8s ≈3.3s）总阻塞最坏 ≈7s、预算内只够 1 次
  探测，此时只能确认「探测超时」而非「设备无响应」——文案已按此区分。异步化留给后续单。

P2-4 开关路径弹窗后缺 after_modal / 按键基线复位
- subpage.c：顶开关命中分支补上与行命中分支相同的后置清理（排空触摸 + 40ms 二次排空、
  触摸基线/cooldown、key_router_rebase、kd_*/kp_poll 基线、m_prev_*、after_modal=1）。
  s_dd_modal 是全屏压暗层，否则关闭后状态栏(0..27)残留压暗到下一次时钟重绘，电源/播放键
  也可能带进弹窗里的陈旧边沿。

顺带（评审观察，未改全局超时策略）
- netmgr_ipc.c：拆出 `nm_cmd_t(..., int *read_timeout)`；`nm_bt_power_state()` 走它，
  **读超时 = 状态未知且不把可达性缓存打成 down**（netmgrd 单线程忙时 `bt status` 自己
  跑 hciconfig 可能超 1.5s；旧行为会标 down 1s，令紧随的 bt_rows 闪出「服务未运行（直连
  模式）」并把后续探测切到 1.8s 直连）。WiFi/DNS 等其它调用保持旧语义（传 NULL）。

验证
- `bash patch_v2/meow_launcherd/build_launcher.sh test` → exit 0，**65 PASS / 0 FAIL / 0 warning**
  （矩阵 13 组，新增「下发失败·探测未知 → 未知不顶替」）。
- 交叉编译 0 warning；产物（临时副本，不入库）901020 B / md5 e21450ff6621a67fd854165413c58be1。
- `test_time32_abi.sh` → 4263=3 / 4403=0 ALL PASS；`pkg_install` 与 7 条切换中/未知态文案
  均在 strings 中（旧的两条「无法确认蓝牙/WiFi 状态」已合并为「无法确认当前状态（上次已知：%s）」）。
- 真机 --sysdump（只读，临时文件已删）：exit 0，bt_on=1/wifi_on=1 与设备现状一致；
  Music du 前后 199164544；未替换 /usr/bin/meow_launcherd、未重启 launcherd。
- 交付形态不变：本 commit 只动 5 个源码文件；二进制与 scripts/build/fw_content.conf 对 main 零 diff。
 2026-11-11 17:59:13 +08:00
AskaEth e4eda3a06f Merge branch 'main' into feat/m47-settings-bt-and-wifi-true-toggle-sta 2026-11-11 17:23:55 +08:00
AskaEth 514cc0e5d0 chore(m47): 只交源码 — 撤回本单的 launcherd 二进制与 fw 钉值 
M42（pkg_install.c）已并入 main，本分支 base 的编译列表不含它，本单产出的
二进制/钉值是旧 base 的（1c88661a…）。为避免「每个单各改一次二进制和钉值」继续
制造 M48 审计查出的分叉，tower 立了 M51 统一重编批次：所有产物的最终重编、钉值
回写、语义指纹自证与 .upt 打包都在那一个受控批次里做一次。

本 commit 把两个文件恢复到 base 原值（不做任何手写钉值）：
- patch_v2/meow_launcherd/meow_launcherd → 605e13a9…（base 版）
- scripts/build/fw_content.conf 的 launcherd 行 → base 原值

源码改动（bt_page/wifi_page/netmgr_ipc/net/subpage/两个测试/build_launcher.sh 的
ZIGCC/MIPS_SYSROOT 环境变量化）全部保留。合并 main 后编译列表需同时含 pkg_install.c。
 2026-11-11 17:23:42 +08:00
AskaEth b20e3c43e9 fix(launcher): M47 设置页蓝牙/WiFi 开关只认真实态 — 三态查询 + 待确认收敛 + 未知态呈现 
用户原话：「开关都存在显示问题 我都不能判断它是不是真的开启还是关闭（包括 WiFi 页也是）」。
根因不是「没读到硬件态」，而是「读到/没读到都被拿去当用户意图的装饰」：
- bt_page.c:103 开关初值来自 settings 布尔；:112-114 下发后立刻 g_sys.bt_on = on（显示意图）；
  :129 c->bt_on = nm_bt_powered() 赋值后全文无人引用（M45 也独立发现）。
- wifi_page.c:40 读不到 settings 时默认 1（显示已开）。
- netmgrd 的 bt/wifi 查询本身把「问不到」塌缩成 0（nm_bt_powered/nm_wifi_connected）。

本单只解「状态可信」，不碰扫描/配对/音频（另有 M45/M46 单）。

1) 真实态三态（-1 未知 / 0 关 / 1 开）
- net.c 新增 net_bt_power_probe()（hciconfig hci0 UP/DOWN；无输出=未知）与
  net_wifi_power_probe()（rfkill wlan soft/hard 汇总，回退 wlan0 IFF_UP；读不到=未知）。
- netmgr_ipc.c 新增 nm_bt_power_state()（daemon bt status 的 available/powered 权威，不可达
  回退直连探测）与 nm_wifi_power_state()（netmgrd 的 wifi status 只有 wpa_state、不报射频态，
  故取本地 rfkill——daemon 的 wifi on/off 改的就是同一份内核状态）。
- 两个子页的 top_sw/rows 只读这两个函数；settings 布尔降级为「意图持久化」，不再决定外观。
- 「读不到默认 1」删除：未知就是未知。

2) 点击 → 待确认 → 真实态定稿
- 纯函数 meow_toggle_{display,pending,rollback,error}（bt_page.c，无 I/O/UI）：
  只有 probe 确认才算收敛；probe 未知继续等，绝不因 last_real 恰好等于意图就宣布成功。
- 页面：落盘意图 → 下发 → 250ms 轮询（BT 上限 4s、WiFi 上限 5s；hciconfig 0.3~2s、
  wifi_up.sh 起 supplicant/DHCP 更慢，故不用 20ms 级忙轮询）→ 真实态定稿；失败/超时把
  settings 回滚到已确认真实态 + s_dd_modal 可见报错，不静默、不乐观。
- subpage.c：切换前先画「正在开启/关闭…（等待设备确认）」条（待确认态与稳定态可区分）；
  切换后回读 top_sw 定稿（取消原「点了就翻面」），live tick 也回读，外部改动驻留期间可见。

3) 第三态呈现（未知 ≠ 已关）
- SDK meow_switch 只有两态：未知时开关停「关」并在左侧画灰色「?」；行内另有
  「蓝牙状态未知 / WiFi 开关状态未知」文字说明。选「?」是因为它不占用开关控件本身、
  且「关+?」不会被读成「已关」。

4) 顺带修 net.c 三条开关失真（塔追加的 M45 盘点，同一病根）
- s_net_toggle_bt() 补 rfkill soft（与 netmgrd 的 bt on/off 同一语义；开：先 unblock 再 up；
  关：先 down 再 block）。此前只发 hciconfig → 「BT 页关过再从头开」会被 rfkill 拦下。
- s_net_sync_from_sys() WiFi 判据从 wlan_connected()（已关联）改为射频态；BT 用三态，
  读不到不写（旧写法把「网卡 up 未关联」写成 0，把未知写成已关）。
- rfkill 同类多节点（本机 2 wlan + 2 bluetooth）按「任一 block 即 block」读、全部写入。

测试（`bash patch_v2/meow_launcherd/build_launcher.sh test`，新增 test 入口）
- test_bt_page.c：P4 三态与未知占位、P5 收敛四例（达成/下发失败/超时/未知）、P6 收敛矩阵
  12 组（真实开/关 × 下发成功/失败/超时 × probe 未知），全 PASS（64 条断言）。
- test_netmgr_ipc.c：新增 nm_bt_power_state 解析（powered=1/0、available=0、缺字段→-1）、
  nm_wifi_power_state 透传、不可达回退=未知、wifi_rows 未知态占位；并修掉两处既有测试缺陷
  （行内 UI 桩缺失导致本文件此前根本链不过；直连连接桩统一返回 "0\n" 导致等满 10s 必失败）。
- 交叉编译 0 warning（-Wall -Wextra，逐文件单独编 + 整链）；launcherd 899388 B
  md5 1c88661a9410ac1a4139304362281cdd，同 commit 同步 scripts/build/fw_content.conf 钉值。

真机（10.58.215.50，仅只读自检，未替换 /usr/bin/meow_launcherd、未刷机）
- 二进制放 /usr/data/mnt/sd_0/MeowOS/tmp/ 跑 --sysdump：exit 0，输出 wifi_on=1 / bt_seen=1
  bt_on=0，与设备现状一致（rfkill 全 0 + wlan0 up + hci0 DOWN + netmgrd powered=0）。
- 卡上 du -s /usr/data/mnt/sd_0/Music 前后恒 199164544；临时文件已删；settings 未改。
- launcherd 在 squashfs 里 → 本改动需刷机生效。

已知不在本单：输出目标只写 settings（audiod 仅启动读一次）→ M45 finding / M46；
netmgrd 侧四处失真（未知当关、up 与 unblock 顺序、rfkill 只写首节点、wifi status 无射频字段）
已报 finding；设置主页/通知中心的开关显示仍是 settings（另立单）。
 2026-11-11 17:16:28 +08:00
AskaEth 3f22158fc2 Merge branch 'feat/m42-launcherd-pkg-install-to-nyai' 2026-11-11 17:08:54 +08:00
AskaEth 58cdb73bf8 fix(launcherd): M42 包安装入口改委托 nyai — 删内联解包/验签/部署，复用 M35 安全链 
- app_launcher.c 删掉 meow_pkg_install 旧内联实现（文件名推包名、硬要 .mpk 后缀、
  rm -rf 目标目录直解、失败不回滚 .bak_、不拒 ./..、系统包大小写敏感比较）；
  导出保留签名逻辑不动（验签仍只 shell-out meow_verify）。
- 新增 pkg_install.c：fork+exec /usr/bin/nyai install <路径>（argv 直传不经 shell；
  MEOW_NYAI_BIN 覆写，缺省不走 PATH）。包身份/暂存/清理/防降级/大小写全由 nyai 闭环。
- stdout/stderr 分两条管道收：nyai 进度是缓冲 stdout，错误是即时 stderr，合流会把
  真错误顶掉（真机首测即踩到）；错误文案只取 stderr 尾行。
- start/poll 两段式（+busy 查询）供 UI 主循环按帧驱动不假死；同步封装 20ms 切片轮询，
  180s 超时 SIGTERM→SIGKILL，不用时钟 ABI（M40 time32 教训）。
- main_menu --pkg-install 失败打 stderr 可读文案、退出码统一 0/1。
- test_pkg_install.c：44 断言（路径预检含任意文件名可装/目录/不可读/控制字符/超长、
  错误文案矩阵、argv 直传、start 立即返回、并发拒装、超时、nyai 缺失）。
- 重链 meow_launcherd 894940B/cea0a735（链 meow_ui.a 86800633，0 warning）；
  fw_content.conf 同步钉值。
 2026-11-11 16:37:00 +08:00
AskaEth ebd64d07e1 Merge branch 'feat/m41-reader-scroll-broken-in-folder-mode' 2026-11-11 13:23:24 +08:00
AskaEth bd6fc8da3c fix(reader): M41 r1 评审 P2 — 拖动重绘节流 + 终帧补齐 + 三条边界测试 
P2-1（用户可感知）：shelf_on_touch_move 每收到一条 TOUCH_MOVE 就同步全量重绘。
输入线程「坐标一变就一条 MOVE」且不合并（队列 128 条），folder ≤200 行走圆角卡
≈40ms/帧 → 主循环追不上手指、抬手后还会继续滑、极端情况丢 release。修法：
- 滚动位置仍每条 move 立即生效（纯算术，便宜）；上屏节流：首帧立即画，之后每
  max(16ms, 上一帧实测耗时) 一次（自适应窗口，圆角卡 40ms 帧自动降到 ~40ms 周期，
  不再把队列拖垮）。
- 手势收尾（shelf_on_tap / shelf_on_swipe）无条件补终帧再清手势态；下一次按下也会
  先把上一次遗留的未上屏帧补上（HOME/长按等没有 TAP/SWIPE 收尾的手势）。
- 位置没变（已到顶/底）连帧都不画。

P2-2（测试盲区）：
- 新增三条边界：顶栏起手不拖、副题区起手不拖、横向手势判向取消后不再滚动。
- 吞 TAP 边界带：20/40/60px（>8px 且 <65px，SDK 报 TAP）抬在目录行上不得进目录；
  6px 抖动（≤8px）仍算点击能进目录。
- 断言从「像素变了」升级为「像素**恰好**位移 N px」（内容区快照逐行比对，避开视口
  边缘裁剪带）：swipe 120 → 恰好 120；拖动 60 → 恰好 60；并新增 6 步×10px 多步拖动
  断言终帧恰好 60（专测节流不丢最后一段）。
- 修掉把 20px 写成「< SHELF_DRAG_TAP_PX」的错误注释。

顺手：
- shelf_draw_notice 用 th->bg 而不是只在 shelf_redraw 赋值的 g_bg。
- build_reader.sh 用 trap 保证测试失败时也清 $TMPDIR/m41_scroll_sd。

验证：shelf_scroll_smoke 38/38、shelf_group_smoke 99/99、shelf_index_smoke 170/170。
红绿对照：dist=dy（旧 swipe 语义）→ 9 条 FAIL；拿掉「抬手补终帧」→ 恰好 1 条 FAIL
（6 步拖动终帧那条），证明节流与终帧都有测试盯着。
reader 1719220B md5 890175ec…；mpk 818162B md5 ffbb7097…（0.1.8/code9，未签名）。
 2026-11-11 13:15:54 +08:00
AskaEth 2de47154bf fix(reader): M41 书架补滚动输入通路 — 列表/宫格、format/folder 全都能滑 
书架（shelf.c）从 M6.40 首版起就**没有**滚动输入通路，不是 M32/M33 的回归：
  1) app_on_touch_down/move 只路由给阅读页 → 书架没有跟手拖动；
  2) shelf_on_swipe 用 dy 去 scroll_by，而 SDK 固定按 on_swipe(dir, dist, 0)
     分发（总位移在第 2 参 dx，dy 恒 0）→ 恒 scroll_by(0)，死代码。
两条都在 shelf.c 自己身上，list/grid × format/folder 共用同一段，所以四种组合
全都「滑不动」（files/ncm 能滑是因为它们各自实现了 touch_down/move → scroll_by）。

修复：
- app.c：touch down/move 也路由给书架（阅读页优先级不变）。
- shelf.c：
  * 新增 shelf_on_touch_down/move 跟手拖动：按下点在内容区才起手；纵向主导（≥4px）
    才锁滚动，横向主导直接取消（不抢左缘返回）；逐帧 scroll_by(-dy) 只重画内容区。
  * shelf_on_swipe 改按 dist（=dx，兼容 dy 分支）+ 方向定符号；本次手势已跟手滚过
    就不再叠加（防一划滚两倍）。
  * 拖动后的抬手吞掉 TAP（<65px 的拖动 SDK 报 TAP）→ 滑动时不会误开书/误进目录。
  * 控件重建（进/退目录、布局/分组切换、刷新）清滚动手势态，避免旧标记吃掉下一次滑动。
  * 提示条抽成 shelf_draw_notice()，滚动局部重画时照常重贴。
- 新增宿主回归 test/shelf_scroll_smoke.c（真实 shelf.c + 真实 SDK 绘制 + back_buf
  像素断言，27 条）：format/folder × list/grid 都能滑；3 本书的目录滑不动；
  拖动后不误进目录、干净点击仍能进目录；folder 进出目录仍正常。把 dist=dx 改回
  dist=dy 后同一测试 6 条 FAIL（红绿对照证明它抓的就是这个 bug）。
- build_reader.sh 接入该测试；READER_SD_ROOT 加 #ifndef 以便宿主把扫描根指到临时目录。
- app.json 版本 0.1.7/code8 → 0.1.8/code9（同一版本号不发两个构建）。

宿主验证：shelf_scroll_smoke 27/27、shelf_group_smoke 99/99、shelf_index_smoke
170/170、其余 core/seg/chapter/loaders 全绿；reader 1718468B md5 259cb6ed5a60…
（meow_ui.a 用本仓 SDK 源码重编：79 成员全 MIPS32r2 o32）。真机验证待刷机
0.8.49 完成后部署（设备验证需用户手滑，面板无任意滑动注入端点）。
 2026-11-11 13:01:12 +08:00
AskaEth a364932145 Merge branch 'feat/m40-power-key-time64-and-lock-screen-fix' 2026-11-11 12:35:35 +08:00
AskaEth 340c41afb7 fix(m40): 评审 r1 — rebase 解冲突 + 宿主构建/可复验断言（无运行逻辑改动） 
- rebase 到 main(b1acc90，含 M39 r1)：fw_content.conf 冲突取 launcherd 605e13a9、
  watchdog 37c57e0f；nyai 保持 main 的 ef7940ec（M39 6c6da79 已修，本单不再改该行）
- build_ncm_host.sh：SDK_SRC 补 meow_time32（否则链接 U meow_time32_monotonic_ms）；
  顺带补 meow_jpeg/meow_png_stream/meow_img_color，脚本端到端可构建
- build_sdk.sh / build_launcher.sh 加 -Wall -Wextra 并重编：0 warning，产物 md5 不变
  （meow_ui.a=86800633、meow_launcherd=605e13a9）
- 新增 sdk/test_time32_abi.sh：反汇编断言 4263≥1、4403=0（覆盖宿主 fallback 测不到的真机路径）
- 注释修正 sdk/meow_ui_repaint.c → .h
- P1-1（launcherd 只能刷固件；watchdog 可热更但需退出重进 App）为交付说明修正，无代码改动
 2026-11-10 22:54:11 +08:00
AskaEth 63b278e13e fix(watchdog+launcher+sdk): M40 电源键 time64 ABI + 锁屏/叠加残留链 
- sdk/meow_time32: 抽出可独立链接的 o32 time32 取时/睡眠设施（不依赖 meow_ui.a，
  watchdog 等独立静态组件可直接链；可选 -DMEOW_TIME32_LIBC_OVERRIDES 接管 libc 入口）
- watchdog: now_ms/usleep 改走 time32（修复 held 变天文数字→每次单击都弹菜单）；
  阈值读 power.longpress_menu_ms/forceoff_ms（缺省 3000/8000），删除
  PWR_TOGGLE_MS==PWR_MENU_MS；新增 wd_power.h 纯判定 + 宿主行为矩阵测试
- launcher: App 前台电源菜单补齐 §10.5（notif 全抑制 + 帧恢复 + SIGCONT 排空 +
  标记翻回前台）；show_power_menu 恢复进入前背景帧（关闭后不再停留菜单画面）；
  重绘挪到首轮按键采样之后；activity 标记排空窗 + 会话入口清理 + manual_off 去闩锁
- lock_screen: 电源改按下边沿 + 进场 300ms 才熄屏；电源熄屏退出也恢复底层帧；
  launcher 在 SIGCONT 前写 /tmp/meow_app_repaint，SDK present 消费并 dirty_full
- power_menu: 菜单内强关接 power.forceoff_ms（按 longpress 抵扣），日志不再谎称 8s
- 重编 meow_ui.a 并重链 meow_launcherd/ncm/files/hello/reader（picbrowser 无源码）
- fw_content.conf: 同步 launcherd/watchdog 新 md5；顺带修正 M35 遗留的 nyai 失效钉值

Host: test_wd_fw 66/66、test_overlay_gate 40/40、test_meow_time64/time/repaint PASS。
真机未验证（设备关机）；未刷机、未写设备。
 2026-11-10 22:51:00 +08:00
AskaEth b1acc9096b Merge branch 'feat/m39-click-input-gate-removal' 2026-11-10 22:27:23 +08:00
AskaEth 6c6da79ad9 fix(launcher+fw): M39 r1 评审 P2 — 固件清单钉值同步 + APPS.md 守卫文档改到 150ms 
- scripts/build/fw_content.conf：launcherd 钉值 bb2d5f12→e342d24f（本分支重链产物 891,164B），
  desc 补 M39 输入门与「链 meow_ui.a 8525aa6b」；同文件顺带修一处 pre-existing 打包阻塞：
  nyai 仍钉 M2.97 的 a7d24553，而仓库内二进制自 M35(cf5703b 评审 r1) 起已是 ef7940ec →
  从 main 打包固件会在该行 exit 1（与本单无关，但同一文件同一类错）。
- APPS.md §4.7：冷却 2500ms → MENU_TOUCH_GUARD_MS(150ms)；写清「drain 才是防重放机制、
  时长只是面板重配尾巴守卫」；副作用段改为真实敞口（drain 之后硬件新产生的幽灵 1.2s 与
  150ms 都盖不住，只能靠真机日志收口），并指向 test_meow_ui_home_gesture T4。
- 校验：复刻 build_fw_apps.sh 第 4 步逐条 md5 强校验（真实 conf、临时 DST）→ 30 条全过、
  无 exit 1，装入的 launcherd = e342d24f、nyai = ef7940ec。
 2026-11-10 22:16:59 +08:00
AskaEth 837cd47e7c fix(sdk+launcher): M39 点击输入门 — 固定时长吞窗改为「启动排空 + 短系统手势防穿透」 
根因（M36 已查实）：不是布局竞态，而是固定时长的输入封闭窗口且窗口起点在首帧之后。
- SDK meow_ui_run：M2.22(C) 500ms 内丢弃 TAP/SWIPE/HOME/NOTIF_PULL/TOUCH_DOWN/MOVE/LONG_PRESS，
  窗口在 App 画完首帧后才 arm → 用户看到界面后第一下必被吞。
  改为入口 meow_input_drain() 排空一次（清环形队列 + 复位触摸状态机），
  TAP/TOUCH_DOWN/TOUCH_MOVE/LONG_PRESS 立即生效；仅系统手势（左缘 SWIPE、底部上滑 HOME、
  顶部下拉 NOTIF_PULL、SWIPE_PROGRESS）保留 STARTUP_GESTURE_GUARD_MS=150 防穿透。
- launcher：menu_after_app_exit 1200ms→150ms；子页返回 800ms→150ms；菜单/子页打开
  300ms→150ms（统一 MENU_TOUCH_GUARD_MS）。menu_drain_touch() 同时复位 t_down/原点/坐标：
  只清队列会把「按下已被 drain、抬手稍后才到」误判成一次 tap（幽灵重放的另一半）。
  历史理由已核对：旧窗口是为 Bug2/4（App 运行期事件堆积在 launcher 自身 touch_fd 里被重放）
  加的，真正的机制就是排空本进程 fd —— evdev 每 fd 各收一份，App/子页运行期全量事件都在
  这个 fd 里，drain 后无历史事件可重放；窗口只兜面板重配尾巴。
- 单测：test_meow_ui_home_gesture 新增 T4（11 断言：立即点击生效/立即上滑被守卫挡+守卫后生效/
  立即左缘 SWIPE 同理/TOUCH_DOWN+MOVE 立即下发/LONG_PRESS 立即下发/run 入口 drain 丢弃预置残留；
  旧 SDK 下 8 条红、新 SDK 30 pass/0 fail）；test_meow_ui_dispatch 新增 M5（drain 清队列+复位在途
  手势+新点击不受影响，ALL PASS）；swipe 35/0、view_event ALL PASS（回归）。
- 重编重链（铁律）：meow_ui.a 8525aa6b（meow_ui_input.o 8248a6c6，旧 e54903ca）→
  meow_launcherd e342d24f(891164) / files 17edac0f(383072) / hello 65c1c575(499380) /
  ncm 1c2f5ff7(1225676) / reader a463645f(1716212，gitignore 不入库)。
  picbrowser 仓库内 0 个 tracked 文件（源码不存在）→ 无法重链，见 finding。
- 真机：未验证（纪律禁止覆盖设备已装组件；uinput 注入是 M36 设备失联诱因）。
 2026-11-10 21:58:13 +08:00
AskaEth 46278fd051 Merge branch 'feat/m35-nyai-manifest-authority-and-sd-stagi' 2026-11-10 21:42:40 +08:00
AskaEth cf5703b32b fix(nyai): M35 评审 r1 — 闭合 exFAT 大小写绕过（P1）+ 修 fmt_utc 1/2 月 + 成员名/炸弹纵深 
P1（信任边界）：is_system_pkg() 原用 strncmp，而落盘目录在 exFAT（名字比较
不区分大小写）。包内 app.json 写 "OS.MEOW.READER" 时 valid_pkg 放行、
is_system_pkg 返回 0 → 当第三方无签放行 → dst 解析到已装的
MeowAPPs/os.meow.reader → 备份后部署假包并删掉真系统 App（无需私钥）。
三层封堵：
  1) is_system_pkg 改 strncasecmp（前缀判定不再受大小写影响）；
  2) valid_pkg 收紧为只收 [a-z0-9._-]，并拒绝前导/尾随 '.'（现网包名全小写，
     无兼容代价；tail-dot 同时挡 exFAT/Windows 名字映射怪癖）；
  3) 部署前 readdir 检查 MeowAPPs 里是否有与 pkg 仅大小写不同的已装目录
     （有则拒装并报两个名字）；部署后再用 readdir 复核 on-disk 名字与清单包名
     逐字节相等，不等则回滚，杜绝「身份不明的 App 目录」。

P2-1：fmt_utc() 的 March-based 月份换算写成 +9（应为 -9），1/2 月会打成
20251901/20251931 且年份不 +1。修正为 int 运算；新增 test_fmt_utc.c
（直接 include nyai.c 测 static 函数）覆盖 epoch/负数、1/1、2/1、2/28、闰年
2/29（2024 与 2000）、3/1、12/31 23:59:59、2038-01-01、int32 上界、2100 非闰。

纵深防御（评审残留风险，一并做）：
- tar 成员名净化不再依赖外部 tar：mpk_check_members 解析 tar -tv 的名字，
  拒绝绝对路径 / 含 '..' 组件 / 首字符 '-' / 原始控制字符；解包后 stg_tree_ok
  再用 readdir 的真实名字复核控制字符（tar 列名会把控制字符转义成可见文本，
  原检查会漏）。
- 解压炸弹：累加 tar -tv 的体积，超过 512MB 上限拒装，并加 statvfs
  「剩余空间 ≥ 体积 + 16MB」门禁（解包先于验签，恶意包可在验签前写满卡）。
- 顺手改掉 appmeta.package 注释里「== 文件名茎」的旧语义。

回归：test_nyai.sh 49 → 70 条断言全过（新增：fmt_utc 13 例、大写包名绕过顶替
已装系统包被拒且原 App 未变、尾点包名、与已装目录仅大小写不同、绝对路径/
../ / 首字符 '-' 成员名、控制字符成员名、700MB 解压炸弹），
`-Wall -Wextra` 零告警，二进制可重复构建。

交付：nyai 153,844 B / md5 ef7940ecf5ece993d718ac1d9019cc82（旧 4524ce6b…）。
真机 10.58.215.50 仍不可登录（22 端口 TCP 可连、15-50s 无 banner），本轮
**未做真机复核**，仅宿主验证。
 2026-11-10 21:42:37 +08:00
AskaEth 829d4475e8 feat(nyai): M35 包身份以已签名 app.json 清单为准 + 暂存迁到 SD 并必清理 
包名/版本/依赖不再从 .mpk 文件名推导（用户定案：不对安装包文件名强依赖，
一切信息从清单取），改为解包后读 app.json.package 作唯一权威：
  - 落地目录 MeowAPPs/<pkg>、meow_verify --package <pkg>、防降级基准全用清单包名；
  - 新增 footer.package == app.json.package 一致性检查，不一致拒装并同时报两个名字；
  - valid_pkg 拒绝 "." / ".."（此前 MeowAPPs/.. 可越出安装目录并被 rm_rf）；
  - index 的 Package 字段同样取自清单（缺 package 的包跳过并告警）；
  - scan/export 同步；--help 与错误文案去掉「需要 <pkg>.mpk」。

暂存：MeowAPPs/.stg_<pid>_<pkg>（/usr/data NAND，仅剩 4MB）
  → <MeowROOT>/MeowOS/tmp/pkgs/<pkg>-<UTC时间戳>-<pid>-<n>/（真机即 SD 卡）：
  - mkdir 原子占位 + 失败重试 + pid/序号保证唯一，时间戳只给人看；
  - SD 未挂载/不可写直接拒装（不回退 /usr/data：目标本就在 SD，且跨 fs rename 会 EXDEV）；
  - 解包前后各一道防护：tar -tv 只允许普通文件/目录（拒符号链接/硬链接/设备/FIFO），
    解包后复核暂存树（非普通文件、nlink>1 一律拒）；
  - 中央化 cleanup + SIGINT/SIGTERM/SIGHUP handler（先收子进程组再清）+ atexit 兜底，
    成功/验签失败/清单非法/降级/解压失败/被中断全部删除暂存目录。

真机 time() 受 zig 0.17 mipsel time64 ABI 缺陷影响返回垃圾（实测 3381223399391169494、
localtime_r=NULL），故时间戳直取内核 o32 time32（syscall 4263）并自行换算 UTC，
不依赖 libc time()/localtime_r()。

upgrade 复用 install 同一实现（清单包名必须等于目标包名、目标必须已装）。

新增 host 回归 patch_v2/meowpkg/test_nyai.sh（49 断言：改名包/真实 0.1.7 反例/
footer≠清单/os.meow 无签名/第三方无签名/恶意包名/解压失败/SIGTERM/索引路径/upgrade）。

真机验证（固件 0.8.48，二进制只放 MeowOS/tmp，未覆盖 /usr/bin/nyai）：
os.meow.reader-0.1.4.bak.mpk 现在「签名校验通过 (package=os.meow.reader)」后才被
降级门禁拒绝（旧版此处是包名不符）；weird-name.bin 装成 dev.m35.probe；SIGTERM
中断后暂存目录为空；Music=199164544、/usr/bin/nyai md5 a7d24553… 均未变。
 2026-11-10 21:42:37 +08:00
AskaEth 8f748b137d Merge branch 'feat/m34-font-u-00b7-middle-dot-glyph-missing' 2026-11-10 21:41:39 +08:00
AskaEth 365c8f756b fix(font): 字库生成器补 U+00B7 中点 — 修复 · 渲染豆腐块（M34） 
GB2312 A1A4 经 Python gb2312 codec 解成 U+30FB（MiSans 无该字形 → 空条目），
U+00B7 从未进入字符集；meow_font.c 对「码位不存在」画空心方块，故 format 副题
「Books/ · 595 本」、书行「TXT · 10.3MB」与 M31「· 读」徽标在真机全是豆腐。

build_charset 显式 add(0x00B7)，common/gbk 档生效（full 档本已含）。
重生成 default 字库（28/20px，common）：glyph 4110→4194——+U+00B7 1 个，
另 +83 平假名来自 8/30 tier 重构后 common 字符集扩展（设备字体早于该重构）。
既有 4110 字形两档像素逐字节一致；渲染代码 meow_font.c 未改。
 2026-11-10 20:34:54 +08:00
AskaEth e21cbc7865 Merge branch 'feat/m33-reader-folder-drilldown-navigation' 2026-11-10 19:52:07 +08:00
AskaEth 2881ce908a feat(reader): M33 目录模式逐级下钻 — 子目录/书分层显示（416 本不再平铺） 
- folder 模式从「按第一级目录分段」改为当前目录视图：子目录在前（带子树书数），
  直接书在后；进入/返回只过滤已扫平的 g_books，不 readdir、不重扫（M32 索引不动）。
- 纯函数 shelf_build_rows_at(books,n,folder,cwd,...) + nav 工具（enter/up/breadcrumb/
  count）全部宿主可测；format 模式行序列/副题逐字不变，path 仍是完整路径（进度键不变）。
- 交互：点目录进入；顶栏返回箭头/左缘返回手势回上一级，根层再返回退出 App；顶栏标题=
  当前目录名（按像素宽截断），副题行=面包屑全路径+当前层书数；list/grid 均支持导航。
- 状态：folder↔format、list↔grid 切换保留 cwd；刷新重扫后 cwd 失效则收缩到有书的祖先。
- 边界：空目录不显示（导航只读 g_books，不额外 readdir）；深层目录逐级进入；真实名为
  「未分类」的目录按普通目录处理，不与根层书合并。
- 测试：shelf_group_smoke 63→99 断言；M27 的按第一级分组断言改写为「逐级进入后可见该书」
  （同等强度），新增进入/返回/面包屑/计数/空目录/纯内存/rowcap/UTF-8 截断断言。
- 交付 0.1.7/code8（M32 已占用任务书里的 0.1.6/code7）；真机 0.1.4 未被覆盖。
 2026-11-10 19:26:44 +08:00
AskaEth 190041cd67 Merge branch 'feat/m32-reader-shelf-persistent-index' 2026-11-10 19:03:43 +08:00
AskaEth 58f2d9bff4 perf(reader): M32 r2 书架索引改 level-1 校验 — 真机冷缓存首开 3.47s→0.13–0.16s（r1 全目录校验被真机证伪） 
r1 用宿主 1.1µs/stat + M28 的**热** stat 150µs 外推「434 次≈65ms」，真机 drop_caches 后
实测是 3.15s（7.26ms/次），与 readdir 的 3.0s 同量级：全目录校验的索引命中冷启动仍要
3.06s，只比全扫快 0.2s。「3.0s→0.15s」在冷启动不成立。按任务 1 自己定的判据
（stat 接近 1s 就退回 level-1）改为只校验 Books 根 + 每个一级目录。

真机冷缓存实测（exFAT /usr/data/mnt/sd_0，434 目录/646 文件/595 本；sync + drop_caches；
探针走 /proc/uptime，UI 走 meow_ui_time_ms）：
- 索引命中首开：**127 / 138 / 157ms**（复测 147ms），热 dentry 107–120ms；
- 全量扫描首开：**3428 / 3477ms**（复测 3711ms），热 dentry 不变（readdir 不吃 page cache）；
- 探针冷分项：索引载入 20–30ms；载入+rdprog×595 70–120ms；4 个目录 stat 0–30ms；
- 从阅读页返回书架 29–31ms（M29 语义未变）。
→ 冷启动 22–26 倍提升，方案值得做；索引实测 **63,579B**（v2；r1 全目录 97,490B）。

实现（格式 v2，magic MEOWIDX2 / version 2）：
- writer 回调过滤 rel 含 '/' 的目录：只落 root + 一级目录的 mtime；书/大小/格式记录仍全量；
  level-2+ 不落盘、载入不 stat。载入仍然 0 次 opendir/readdir（strace：0 getdents64，
  真实库 4 次 stat；宿主模拟库 11 次）。
- 校验记录里出现 level-2+ rel 视为坏档；sum(books_here) 改为「≤ nbooks」合理性上界。
- fail-open/原子写/CRC/安全加固/ts 不缓存全部保留（r1 已过评审的部分未动）。

失效矩阵（报文逐条写清）：
自动（根 mtime）：Books 根下直接增/删/改名书；一级目录新增/删除/改名。
自动（一级目录 mtime）：一级目录里直接增/删/改名书、新建子目录。
必须刷新：level-2 及更深处的任何变化（只改深层目录 mtime）。刷新=删索引+全扫。
真机 exFAT mtime 实测 **1 秒**（tm_nsec=0；同秒连续增删 mtime 不变）。我复测 10 轮
「目录刚改过就扫描、同秒再改」→ 9/10 仍命中（陈旧），与评审 29/30 一致；sleep 跨秒后
全部正常失效。头注释已把「10ms」改为「1 秒」，并写明「不在同一秒刻度的变更靠索引失效，
同秒二次变更需刷新」。

bench 修复（P3-3）：MEOW_BENCH_IDX=only —— **不预先 load/scan**，直接进书架量生产首开；
miss —— 先删索引再进书架。两者配合 drop_caches 即冷启动口径。旧行为（先 bench_index/
bench_scan 焐热）保留为默认模式。新增 test/shelf_index_probe_mipsel（write/scan/load/
loadts/statpaths/mtime/size）用于真机分项与 mtime 粒度验证，不进发行包。

测试：shelf_index_smoke 170 pass（新增：level-3/level-2 内变更「索引仍命中且先看到旧
列表 → 刷新后可见」、新建 level-2 目录自动失效、一级目录直接删书自动失效、v2 ndirs=
根+一级数）；ASan+UBSan 干净；build_reader.sh 0 warning，core 6846 / seg 19 / chapter 71 /
shelf_group 63 / index 170 / font 14 / loaders PASS。真机 6 场景逐项验证：一级直接增/
新建子目录/一级改名/根下删书/一级直接删书 = 自动失效；level-3 深处新增 = 仍命中（需刷新）。

交付：app.json 0.1.5/code6 → **0.1.6/code7**；reader md5 5c848c99… 1,711,988B；
mpk md5 10d676f5… 814,574B；未签名不 push。设备验证后已清理 /tmp 与 m32probe，
真实 MeowData 的 shelf.idx 已删（app 自己的章节 .idx 未动），Books 434/646 不变，
已装 0.1.4 md5 4036b889… 未变。
 2026-11-10 18:49:48 +08:00
AskaEth e0dfab95c3 perf(reader): M32 书架索引落盘 — 冷启动只 stat 434 个目录 mtime，跳过 readdir（3.0s→~0.15s） 
M29 只解决了「回书架不重扫」；首次进书架仍要全量扫 434 目录（真机 3.0–3.4s，
其中 opendir+readdir 占 96%）。本单把扫描结果 + 每个扫描目录的 mtime 存到
MeowData/os.meow.reader/index/shelf.idx，冷启动逐目录 stat 比对 mtime，命中即
完全跳过 readdir；任何异常一律 fail-open 全量重扫。

先量再选（任务 1）：宿主 434 目录/595 本/51 rar 虚拟库（贴真机量级）
- 434 次目录 stat = 0.48ms/pass（1.1µs/次，不含 readdir）；
- 读 72KB 索引 = 0.009ms；全量扫描 3.54ms；索引命中 1.29ms（ts_fn=NULL）。
真机按 M28 实测 1079 次 stat=160–170ms（≈150µs/次）外推：434 次 ≈ 65ms，
远低于「可能不可行」的 1s 阈值 → 选「校验全部扫描目录 mtime」（非只 level-1）。
strace 断言：indexonly 载入 0 次 getdents64、恰好 434 次 stat（真的没 readdir）。
生产路径 ≈ 65ms(stat) + <20ms(索引读) + 40–50ms(rdprog×595) + <20ms(build_rows)
≈ 0.13–0.15s（对比 3.0s）。

索引格式 v1（手工小端序列化，不依赖结构体布局）：
header(magic/version/header_size/root_len) + root + dir 记录×(rel,mtime_s,
mtime_ns,books_here) + book 记录×(rel,size,fmt) + trailer(ndirs,nbooks,flags,
depth_skipped,crc32,magic)。truncated/depth_skipped 存在 flags/字段里，载入时
如实重建提示条；**不存阅读进度 ts**，载入后每本由 rdprog_load 现读再排序。

失效语义（存每个扫描过的目录，不只 level-1）：
- level-2 新增 / level-3 深处新增 / 删书 → 该目录 mtime 变 → 重扫；
- 一级目录改名 → 父目录 mtime 变 + 旧目录 stat ENOENT → 重扫；
- 超深（>6 层）未扫描子树不在索引内，其内部变化不自动失效（本来就不显示），
  点「刷新」更新 depth_skipped 计数；mtime 精度受限（exFAT 10ms/FAT32 2s）的
  同刻度变更也可能漏判，点「刷新」必可纠正。
M29 语义不变：首次进书架=索引或全扫；回书架=不扫；刷新=删索引+全扫（之后原子
写回新索引）。

安全/健壮（宁可慢不可错）：
- 写：shelf.idx.tmp 全量写完（尽力 fsync）后 rename；中途被杀只剩 tmp，正式索引
  要么旧要么完整新；rename 覆盖失败先删旧再改名；fflush/写错即放弃，绝不影响书架。
- 读：O_NOFOLLOW|O_NONBLOCK + S_ISREG（FIFO/符号链接直接拒绝不阻塞）；CRC32 覆盖
  全部记录；rel 做绝对路径/“..”/内嵌 NUL/长度校验；版本/根路径/计数/逐目录 mtime
  任一不符即重扫；载入崩溃路径全部 goto 清理，不改书架可用性。
- writer_open 失败（卡满/写保护/无 MeowData）→ 扫描不采集目录、照常出书；
  commit 失败（含只读目录 rename 失败）不留正式索引。

测试：test/shelf_index_smoke 154 pass（含四种变更场景失效、截断/字节翻转/垃圾/
缺失/FIFO/符号链接/版本不符/根路径不符、ts 现读、truncated/depth_skipped 重建、
只读目录写失败、空 Books、root 缺失、.tmp 残渣），ASan+UBSan 干净；
test/shelf_index_bench 模拟 434 目录/595 本/51 rar：scan/load 均 595 本、
truncated=0/depth_skipped=0、索引 72,156B。build_reader.sh 全绿 0 warning
（core 6846 / seg 19 / chapter 71 / shelf_group 63 / index 154 / font 14 /
loaders PASS）。shelf_bench_ondev 增加 index_load/scan_save 计时与
MEOW_BENCH_IDX=miss（真机首开命中 vs 未命中对比，待有卡复核）。

交付：app.json 0.1.4/code5 → 0.1.5/code6；reader md5 df4cadcf
1,711,924B；mpk md5 fec7b1bb 814,535B；未签名不推卡。
 2026-11-10 18:14:52 +08:00
AskaEth 3f09f7c137 Merge branch 'feat/m31-reader-font-memo-and-read-badge' 2026-11-10 13:48:49 +08:00
AskaEth dc9bfdbdaf perf(reader): M31 字体路径记忆化（开书字体查找 35 目录 walk → 1 次 stat）+ 「· 读」徽标即时刷新 
字体：find_font_rec/resolve_font 从 reader.c 抽到 app/font_resolve.c 并加进程内记忆化。
只缓存成功路径；命中后仍做一次 access() 校验（字库被删即重扫）；没找到不缓存，
用户之后拷入的字库下次开书即可找到。顶栏「刷新」额外调 font_cache_invalidate()，
给「新拷入字库、旧字库仍在」一条显式失效路径。宿主实测：35 目录树 walk 0.026~0.54ms
（=300+ 次系统调用）vs 命中 0.001ms（1 次 access）；开书路径每次省一次完整 walk。

徽标：副题格式化抽成 shelf_fmt_sub()（扫描与「刚读完置顶」共用一份实现），
promote_just_read() 改 ts 后立即重算这本的 sub/sub_folder，「· 读」不再等下次全量刷新。

回归：test_reader_core 6846、shelf_group_smoke 63（+8）、font_resolve_smoke 14 全绿；
build_reader.sh 0 warning；扫描缓存/进度语义未改。app.json 0.1.3/code4 → 0.1.4/code5。
 2026-11-10 13:39:32 +08:00
AskaEth 0b30cdbafb Merge branch 'feat/m30-reader-drop-unused-next-page-slot' 2026-11-10 13:30:44 +08:00
AskaEth a9638fa59c perf(reader): M30 删掉无人消费的下一页预取槽（refill 渲染减半、常驻 −0.69MB）+ 回书架置顶刚读完的书 2026-11-10 13:22:35 +08:00
AskaEth dc559aa1ac Merge branch 'feat/m29-reader-shelf-scan-cache-and-row-draw' 2026-11-10 13:11:58 +08:00
AskaEth bece9848e7 perf(reader): M29 书架扫描缓存 + 行数多时关圆角容器（回书架 3.4s→0.03s，滚动 52ms→19ms） 
真机（0.8.48 / reader 0.1.1 基线，同机同字库 ztest 实测）：
- 从阅读页返回书架：3435ms（3259–3531）→ 33ms（24–54）。根因是 shelf_on_enter 无条件
  scan_books()：exFAT 全量扫描 434 目录 = 3.1s。改为进程内缓存（首次进入才扫，顶栏
  「刷新」强制重扫）；truncated/depth_skipped 提示语义不变（首次扫描时算好并保留）。
  行为变化：新进 Books/ 的书、刚读完那本书的「最近阅读置顶」需点一次「刷新」才更新。
- 书架滑动每步（62px，含 widget_draw + flush）：51.9–56.2ms → 19.3–19.9ms。
  行数 > 200 时 meow_listview_set_container(0)（扁平行），≤200 行仍用 MD3 圆角卡；
  圆角卡走 meow_gfx_fill_round 逐像素 rr_inside（464×54 一张 3.8–6.4ms ×11 行）。
- 首次进书架仍需扫一次（3497ms，含 3157ms 扫描）；595 本全可见、format/folder 分组不变。

另加 test/shelf_bench_ondev.c（真机耗时基准，不进 mpk）与 build_reader.sh 的编译步骤；
app.json 0.1.1/2 → 0.1.2/3。未做（按塔砍范围）：字体路径记忆化、首屏只渲染当前页、
自绘行、mtime 失效检测。
 2026-11-10 12:54:17 +08:00
AskaEth 288c133efc Merge branch 'feat/m27-reader-shelf-folder-grouping' 2026-11-09 22:52:43 +08:00
AskaEth e0a82a3d47 fix(reader): M27 r3 评审整改 — cap 边界截断/默认副题不变/提示两行且 6s 消失/版本号 
对应评审 P2-1、P3-7、P3-1、P3-2、P3-10、P3-9：
- P2-1：scan_dir 在目录边界遇 cap 时探测子树（count_books_under）再置 truncated；
  同目录内超限逻辑不变。新增两条断言：cap 卡边界 → truncated=1；恰好装满且后续为空目录 → 不误报
- P3-7：shelf_book 拆 sub（默认副题，与 base 逐字一致）/sub_folder（folder 模式前置子路径）；
  list 按模式选，宫格始终用 base；断言 format 副题逐字等于 base
- P3-1：超量+超深合并提示拆两行绘制（610 起，不再被 480px 右缘切掉）
- P3-2：提示 6s 到期自动消失（app.c 书架前台时调 shelf_on_tick）
- P3-10：app.json version 0.1.1 / version_code 2
- P3-9：shelf_scan_bench.c 头部注明 /proc/uptime 10ms 分辨率、只适合真机
 2026-11-09 22:45:01 +08:00
AskaEth 63ead3ec1e fix(reader): M27 r2 — 扫描深度提到 6 + 按 Books 第一级目录分组 
真机真实布局暴露两处问题（评审 P1）：
- Books/400+本高质量完本合集/<分类>/<作品>/<书名>.txt 在 depth 3-4，旧 depth≤2 让 413 本 3.8GB 不可见
  → SHELF_SCAN_MAX_DEPTH=2→6；report 新增 depth_skipped，超深书籍文件计数并在 g_notice 可见提示
  （有 N 个文件因目录层数超过 6 层未显示），不再静默
- 按完整相对路径分组会把 413 本书炸成 410 个每条 1 书的段头
  → 分组键改为 Books/ 第一级目录（shelf_book.top）；完整相对路径仍在 group[]，
    第一级之后的子路径（分类/作品）放进副题 sub（如 01、玄幻/01、斗破 · TXT · 2.1MB）
  → 真机书库只剩 3 组：400+本高质量完本合集 / kh / 轻小说
- 单测 50 断言：depth3/4 收录、depth7 计入 depth_skipped、四种真实路径的组名、
  a/b 与 a/c 同组 a、副题含子路径、format 回归、根组未分类、path/进度不变
 2026-11-09 22:29:46 +08:00
AskaEth 409fd1edf7 feat(reader): M27 书架按目录分组（ui.shelf_group=folder|format，默认 format 不变） 
- 新增 shelf_model.c/.h：扫描/行序列从 shelf.c 拆出（纯 C，宿主可测）；shelf_book 加 group[96]（相对 Books/ 的目录路径，根下空串），path 语义/内容完全不变（进度键仍为 rdprog_hash(path)）
- folder 模式：目录段头（根下=未分类），未分类置顶、其余按目录名排序；组内沿用最近阅读优先/其次书名；空目录不产生段头
- format 模式逐行保持旧行为；新增 reader.conf ui.shelf_group，缺键默认 format
- 上限 256→2048（SHELF_MAX_ROWS=2N=4096，段头≤书数），超限置可读提示，不再静默截断
- 顶栏加「目录/格式」切换，设置页加「书架分组」；UTF-8 安全截断长中文目录名
- 单测 test/shelf_group_smoke.c（38 断言）+ 计时 test/shelf_scan_bench.c
- build_reader.sh：链 meow_ui.a 解析冒烟 stbi_*；无 qemu 时跳过执行而非失败
 2026-11-09 21:55:33 +08:00
AskaEth db672cbe8f Merge branch 'feat/m26-sdk-image-stack-into-main-repo' 2026-11-06 21:35:50 +08:00
AskaEth 281f4153ee fix(sdk): M26 r1 P1 — ILP32 尺寸算术溢出（畸形 BMP 经公开入口 SIGSEGV）+ 加 S17 回归 
评审在 ARM32（ILP32，与 mipsel 同数据模型）实测：54 字节 BMP 头声明 w=2^27、bpp=32
时 w*bpp 回绕成 0 → rowsize=0 → malloc(0) → 采样索引 row+sx*4 越界读 → SIGSEGV，
经 meow_img_load_file_dim 端到端可触发；同一文件在 LP64 宿主返回 NULL（不溢出），
合并前走 stb 也是 NULL。即这是相对旧路径的鲁棒性回归。

修复（只加闸，正常路径数值不变）：

- meow_png_stream.c（P1 本体）
  · 新增 ILP32 守卫 MZP_MAX_DIM=1<<20 与 mzp_bytes_ok()（unsigned long long 验算，
    超过 SIZE_MAX 即拒）
  · BMP：声明尺寸先升 int/long long 校验（w/h 单边 ≤1<<20；h=INT_MIN 用
    -(long long)hi 取绝对值，不再有 -h 溢出）；rowsize 用 64 位算并验；
    行偏移 off / 采样下标 sx 改 long long，sx 夹在 [0,w-1]；按行 fseek 前加
    off > LONG_MAX 拒绝；目标 RGBA 字节数 64 位验后再 malloc
  · PNG：IHDR 尺寸原已 ≤65535，补上 tw*th*4 的 64 位校验（32768²×4 = 2^32 会回绕），
    emit_row 的 sy/sx 与输出行偏移改 64 位并夹紧
- meow_jpeg.c（顺手审计同类 32 位算术，评审要求「不要只修点名那处」）
  · mj_layout 返回 unsigned long long（单平面/三平面之和都可能越 2^32），
    越界返回 MJ_LAYOUT_BAD → mj_sof 各处重新布局后都检查
  · target_bytes 与分量 plane malloc 改 64 位验算；目标图字节超 MJ_PEAK_CAP 直接拒
  · mj_output：输出缓冲 64 位验；y*vh / x*vw 采样改 long long 并夹紧
  · meow_img_target_dims / mj_pick_n 的 (long)h*maxdim、8*maxdim 改 long long

- test_meow_img_stream.c：新增 S17（10 组畸形 BMP 声明尺寸 + 2 个合法正例 +
  PNG 回绕点），断言「后端拒绝 + 公开入口不崩（越界尺寸另断言 NULL 且不分配）」；
  文件头补 ILP32 交叉编译命令（宿主 LP64 看不到 32 位回绕，测试注释里明写这一点）

验证：同一测试在 zig arm-linux-musleabi（sizeof(long)=4）下 S1-S17 全绿（206 checks，
exit 0）；把后端换回 r1 提交的旧实现，同一 ARM32 二进制 exit 139（说明 S17 真能抓）；
宿主 LP64 S1-S17 全绿、B1-B9 全绿；静态库 --verify 仍 78 成员 / 全 MIPS32r2。

同步提醒：这些行与公开仓 ~/Proj/MeowOS-SDK/sdk/{meow_png_stream.c,meow_jpeg.c} 逐字节
同源，同一补丁必须由控制塔同步过去，否则立刻产生双边漂移。
 2026-11-06 21:27:03 +08:00
AskaEth ee5796747d feat(sdk): M26 公开仓真缩解图像栈并入主仓 — JPEG DCT/PNG 逐行/BMP 跳行后端 + RGB565 页图 
主仓 SDK 的图片层原本是 220 行 stb 直通（整幅解码后重采样）。公开仓 MeowOS-SDK
的同一子系统已被真实 App（tuku 阅读器）驱动并做过峰值实测与像素比对，故以公开仓
为权威方向并入主仓 meow_ui.a，两个方向的新功能都保留（逐文件 diff 确认公开仓是
严格超集：无一处「双方互有增减」）。

- 新增 meow_jpeg.c / meow_jpeg.h：DCT 域缩解 1/8、1/4、1/2（N=1/2/4 点 IDCT），
  渐进式只解到首个精细化扫描；不支持项（CMYK/YCCK、算术编码、过订阅 DHT、16bit
  量化表）返回 0 由调用方回退 stb
- 新增 meow_png_stream.c：libz 逐行 inflate + 反滤波，按步长丢行丢列直写目标尺寸；
  BMP 按目标行 seek + 行内跳列（8/16/24/32bpp）
- meow_ui_img.c + include/meow_ui_image.h：新增 meow_img_pick_scale /
  load_file_step / load_file_step_ex / resample 四个公开入口；_dim 与 _mem_dim
  先进后端，失败/不支持才回退 stb（对外语义不变）
- include/meow_ui_draw.h + meow_ui_gfx.c：M32 RGB565 页图 5 函数
  （meow_gfx_rgb565 / rgba_to_rgb565 / blit_rgb565 / _scaled）。gfx 保留主仓的
  `#include "../meow_launcherd/meow_font.h"` 与 <time.h>（公开仓自 vendored
  meow_font.h 且无 <time.h>，机械覆盖会丢这两行）
- meow_jpeg.h 保持内部：不进 meow_ui.h 伞头，include/ 下无任何头暴露 meow_jpeg_*
- build_sdk.sh：OBJS 插入 meow_jpeg / meow_png_stream（32→34）；成员数
  76→78（+meow_font.o +43 freetype），--verify 全为 ELF32 MIPS32 rel2/o32
- 测试：新增 test_meow_img_stream.c（S1-S16），test_meow_img_budget.c 同步公开仓
  版（B9 断言收紧为 p_new <= p_old）；22 个既有宿主测试的编译注释行补
  meow_jpeg.c / meow_png_stream.c / -lz（meow_ui_img.c 现引用后端符号，不加即
  undefined reference）

宿主实测：S1-S16 全绿（S7 与 stb 网格像素一致：JPEG mad 4.35-13.69、PNG/BMP
mad 0.00；S9 回退矩阵 CMYK/1bpp BMP/Adam7 均拒绝且 stb 仍成功），B1-B9 全绿
（B9 PNG 峰值 25.65→0.61 MiB、BMP 14.65→0.59 MiB）。回归 test_meow_ui_widgets /
scroll / ime_fix / test_umbrella 全过。zlib 在应用链接期解析：meow_ui.a 只留
inflate* 未定义符号，四个 App 构建脚本原本就带 $SYSROOT/lib/libz.a，静态
linkcheck（meow_ui.a + libz.a -lpthread）通过。

注：主仓 patch_v2/reader_app 仍自带 vendored stb、不用 meow_img_*，本单不改变
阅读器的内存占用；RGB565 页图接入 reader_app 是另一个任务。
 2026-11-06 20:44:22 +08:00
AskaEth 479d93a3bf Merge branch 'feat/m24-devkit-static-mipsel-debug-tools' 2026-11-06 20:03:08 +08:00
AskaEth adaed09f94 fix(devkit): M24 r2 评审 — 交付完整性闸门 + 补 sysctl + time64 文档更正 
P2-1（与 P1 同类）：licenses/ 与 README 缺失仍会假成功。
- 新增 meta_complete()/verify_meta()：MANIFEST + README + 五份许可证副本
  （procps COPYING/COPYING.LIB、ncurses、lsof、musl-COPYRIGHT）缺一即不完整
- 纳入 skip 条件与 --verify-only；产物未变但 meta 缺失时就地 write_meta 补全（不重编），
  构建树不在则退回全量重建
- 回归测试新增 T6（删 licenses 后 --with-sources 必须恢复）、T7（--verify-only 必须拒绝）、
  T8（删 README 后恢复）；共 20 项全过

P2-2：README.txt/MANIFEST.txt 的卡上路径全错（写成 ../src、scripts/build/…）。
- 全部改为卡内相对路径：src/、licenses/、MANIFEST.txt、src/DEVKIT.md、src/build_devkit.sh
- README 增加「目录内容」段并注明 src/ 是生成目录、勿手放文件

P2-3：valgrind 的排除理由（“无 MIPS32 后端”）是错的 —— 官方支持 MIPS32/Linux。
- 改为「未尝试」：交叉构建需 autotools + 目标 vDSO 细节、产物 10MB+，56MB 单核不实用

P2-4：busybox 1.31 实测有 pgrep/kill/killall，没有 pkill、没有 sysctl。
- 表格改准确；pgrep 保留（增量有限不交付）；pkill 写明「busybox 无此 applet，
  killall 只能部分替代，本轮未做」
- 新增交付 sysctl（procps 4.0.4，148184 B，静态）：MANIFEST/verify-only/真机
  （sysctl -a 428 键、kernel.hostname/panic 读取、-n）均已验证

P2-5：free -s <小数> 也受 time64 影响（usleep 亚秒被抹平），文档说反了。
- DEVKIT §9 增加一行（free -s 0.5 实测 0s、free -s 1 实测 1s）；README 同步；
  “收益只有 vmstat -t 一列”改为包含 free -s

P3：
1. §9 机制改准：内核只写 8 字节 → tv_sec 高 32 位是内核写入的 nsec、offset 8 的
   tv_nsec 才是未初始化；nanosleep 是把 tv_sec 高半字当 nsec 读（0）
2. 删掉脚本里 top 的旧错误归因（时长溢出/59.4 GiB），与 DEVKIT 对齐
3. 测试耗时改为「热缓存约 15s，冷启动 1–2 分钟」（实测 28s 含多次构建/修复路径）
4. --verify-only 依赖清单写全（file/readelf/sha256sum/awk/sed/grep/wc/cut/basename）
5. licenses/ 增加 musl-COPYRIGHT（zig env → libc/musl/COPYRIGHT，取不到即失败），§6 补一行
6. htop 说明改准：亚秒刷新走 ncurses halfdelay()（select + 32 位 timeval），大概率不受
   time64 影响；受影响的是时钟显示与部分采样（仍注明未做运行时验证）
7. README/脚本注明 src/ 是生成目录
8. LGPL 摘要改为「源码(§6a) 或 共享库(§6b) 或 书面要约(§6c)」
9. ltrace/sysstat 从「不可行」改为「未做（成本高）」，与 perf 的硬阻塞区分

验证：test_build_devkit.sh 20/20；--verify-only 通过（7 个二进制 + MANIFEST + 5 份许可证）；
独立工作区离线重建 64s/0 下载，七个 sha256 与前一次逐字节一致；设备实测 sysctl 与其余六项正常。
 2026-11-06 19:53:45 +08:00
AskaEth 0531603779 fix(devkit): M24 r1 评审 — P1 --with-sources 静默漏源码 + time64 归因更正 
P1（阻断）：stamp 命中时 main 提前 return，--with-sources 在 return 之后，
于是「先构建再 --with-sources」会打印成功、退出码 0、却不产出 src/。

- 把源码整理抽成 stage_sources()，stamp 命中路径先兑现 WITH_SOURCES 再返回；
  整理后按钉住的 sha256 复核（sha 漂移/缺文件都重铺），任何失败即非零退出
- 新增 test_build_devkit.sh（12 项，秒级）：stamp 命中下的 --with-sources、
  src 缺文件/被改坏的自愈、--verify-only 的 MANIFEST 篡改检测
- skip 条件额外要求 MANIFEST 与 bin 逐条 sha 一致；--clean 同时清 out/src；
  全新构建未带 --with-sources 时删除上次残留 src/（避免源码与二进制错配）

P2-a：top 排除理由改写。根因是 zig 0.17 musl 的 time64 ABI 错配（mips o32 是
ILP32 + 内核 4.4 无 time64 syscall，16B timespec 直传 32 位 syscall），不是
procps 的 bug；top 的 Mem 一栏是「百分比/总容量」不是 used GiB。新增 DEVKIT.md
§9 记录证据（vmstat -t 空列、usleep(0.5s)×10 实测 0s、sleep(1) 正常、ps lstart
正常），并说明 M16 的 patch_v2/sdk/meow_ui_time.c 可复用（本轮实测该 .o 独立
编译、仅 5 个 libc 未定义符号）但本轮不接入的取舍——需要单独 mission 做链接期
接管 + 全量回归，不是 -D 能修的。

P2-b：--with-sources 现在同时放 build_devkit.sh + DEVKIT.md（GPLv2 §3 的
"scripts used to control compilation"）；补 LGPL-2.1 §6 静态链接 libproc2 的
义务说明；MANIFEST/README.txt 写明 src/ 与 licenses/。

P2-c：lsof 内嵌 Termux musl 的 resolv.conf 路径记为工具链副作用（实测
lsof -i 约 3s 超时、-nP 瞬时；端口名/本机名不受影响），不换工具链。

P3：软链路径写实（/bin/ps、/usr/bin/{free,lsof,top}）；MANIFEST 用 zig version
而非 clang 版本；chmod 措辞改成检查挂载参数；--verify-only 增加 MANIFEST 逐条
sha256/体积比对且不再依赖 date；stamp 纳入 zig 完整版本；许可证复制失败即报错。

验证：test_build_devkit.sh 12/12 通过；--verify-only 通过（含 MANIFEST 对账）；
独立工作区离线重建 85s/0 下载，六个二进制 sha256 与上一版逐字节一致；设备侧
二进制未变（sha 与 r1 真机验证过的一致）。
 2026-11-06 19:29:27 +08:00
AskaEth b52e6a08bc feat(devkit): M24 静态 MIPS32r2 调试工具集 — vmstat/slabtop/free/ps/pmap/lsof 
TF 卡 MeowOS/opt/devkit 用的交叉编译流水线：zig 0.17 musl 静态链接，
产物 fw_apps/devkit/{bin,MANIFEST.txt,licenses,README.txt}（gitignore 内）。

- build_devkit.sh：源码固定 版本+sha256+URL（ncurses 6.5 / procps-ng 4.0.4 /
  lsof 4.99.4），缓存命中零联网；冷启动 3 次下载约 80s，重跑 0 次联网约 65s，
  stamp 命中 1s 跳过；--force/--clean/--offline/--with-sources/--verify-only
- 自编静态 ncursesw 只为 slabtop（procps 的 slabtop 硬依赖 ncurses）；
  terminfo 目录钉到设备 /usr/share/terminfo，交互式 slabtop 可用
- 逐项自检 file/readelf（static、ELF32、mips32r2、0 NEEDED），任一不过即失败
- 不交付 top（真机输出不可信）、htop（卡上已有 3.5.3 且我们的更大）
- DEVKIT.md：许可证留痕（procps=GPL-2+ 需提供源码、ncurses=MIT、lsof=Purdue）、
  可行性实测、上卡 PATH 与 busybox 同名关系、真机验证输出
 2026-11-06 19:05:15 +08:00
AskaEth 2a2e6988ae Merge branch 'feat/m23-network-time-sync' 2026-11-06 13:43:24 +08:00
AskaEth 1f692ae2a7 fix(ntp): M22 r1 评审 P2×3 — 孤儿 ntpd 收尸 / 日志失败不吞 hwclock / 锁自证 
r1 评审 verdict=p2-3items，三条均已按评审给的修法修掉，且都补了可证伪的回归断言。

P2-1 SIGTERM 后遗留孤儿 ntpd，之后每次静默 skip 且 rc=0
- attempt() 把子进程记进全局 NTPD_CHILD 并落盘 <锁目录>/ntpd.pid；
  新增 cleanup()（EXIT trap）先收尸子进程再释放锁；新增 on_signal()
  （INT/TERM/HUP）清理后 exit 143——旧代码的 TERM trap 只清锁、不 exit，
  被杀后还会继续跑完看门狗。
- 取代原来的 "pidof ntpd 就 skip"：新增 reap_or_skip_ntpd()，用
  /proc/<pid>/cmdline 是否含本锁目录来区分「我们自己遗留的孤儿」（收尸）
  与「别人的常驻 ntpd」（让路）。崩溃后留下的 ntpd.pid 也据此校验，
  pid 被复用时不会误判成外部 daemon（不会永久 skip）。
- S45 stop 不再按陈旧 pid 文件盲杀：只从 <锁目录>/<pid> 取持有者，
  再核对 /proc/<pid>/cmdline 含 meow_ntpsync 才 kill。

P2-2 日志重定向失败导致 hwclock 根本不执行
- persist_rtc 改 ">/dev/null 2>>$LOG_FILE"：hwclock 的 rc 与日志写入解耦。
- 新增 prepare_log()：启动时在子 shell 里试写日志，不可写就整体退化 /dev/null。
  必须用子 shell——`:` 是 POSIX 特殊内建，它的重定向失败会让 dash 直接
  退出整个脚本（本单自测先踩到了，rc=2）。

P2-3 锁 mkdir→写 pid 有窗口，并发抑制非原子
- 锁的持有者改由 <锁目录>/<pid> 子目录自证（mkdir 原子），不再写 pid 文件；
  读到空锁时给 3s 宽限而不是立刻判死。
- 清失效锁改用 mv 到 <锁目录>.stale.$$（rename 原子），并发清锁时只有
  一个能成功，避免「抢锁失败方删掉胜方的锁」。
- 退出只删自己的锁：没有自己的 <pid> 子目录就不动锁目录。

验证
- 新增回归断言 11-16（run_tests.sh）：SIGTERM 收尸/锁释放、遗留孤儿收尸、
  日志不可写仍写 RTC、锁被占用不抢、死锁可接管、pid 复用不阻断。
- 可证伪性：新套件跑旧代码（c9f0cba 的 meow_ntpsync）→ 6 条 FAIL
  （孤儿 alive、日志不可写 rc=1 且 hwclock 未执行、抢锁并发调 ntpd×3）。
  再跑「仅回退 STALE_NTPD 硬化」的变体 → pid 复用那条 FAIL
  （rc=0 但 RTC 未写，正是评审指出的静默失效）。
- dash 与 busybox ash 各 41/41 PASS，rc=0；dash -n / busybox sh -n 均 0 错。
- 时间断言放宽为负载容忍（宿主是多 agent 共享机，实测 sleep 5 能跑成 85s），
  假 ntpd 改为挂 3600s，保证上界仍能证明是看门狗掐断而非自然退出。

fw_content.conf: meow_ntpsync md5 ad324e3f→f3c3abe4，
S45meow_ntpsync md5 25454a3f→115e7592（50meow_ntpsync 未改，md5 不变）。
 2026-11-06 13:34:45 +08:00
AskaEth c9f0cbaab6 feat(ntp): M22 网络校时 — 复用固件自带 ntpd + hwclock 回写 RTC 
真机实测（0.8.47，2026-11-06）定位到的根因不是「没有 NTP 客户端」：
固件自带 ntp-4.2.8p14（/usr/sbin/ntpd）和 /etc/ntp.conf（4 个 pool.ntp.org），
但没有任何 init 脚本/进程启动它 —— 有客户端、没启动。

实测证据：
- RTC 存在且可读（/dev/rtc0，10003000.rtc），内核开机 hctosys=1，
  冷启动不回到 1970 → 掉电保持；RTC 存 UTC（since_epoch == date +%s）。
- 但 RTC 会走慢且无人纠正：实测系统时间比 NTP 慢 49 s；把系统时间人为
  拨错 4 h 后观察 65 s 无人纠正，RTC 也不跟随系统时间。
- UDP/123 出网正常（ntpd -q 一次成功 time set +48.877s）；DNS/HTTP 正常。
- udhcpc 的 default.script 不处理 option 42，实测热点也不下发。
- ntpd -q 不会回写 RTC（步进后 sys-rtc 仍差 49 s）→ 必须 hwclock -w -u。
- ntpd 没有超时参数，无服务器时永久存活 → 必须自带看门狗。
- -p 形式的 server 首个 poll 要 ~64 s；配置里加 iburst 后 8 s 内返回。

实现（新增，不改任何基线文件）：
- /usr/bin/meow_ntpsync：一次性校时器。复用 ntpd -q -g + 运行时生成的
  iburst 配置；内置 IP 兜底（阿里/腾讯/Cloudflare）→ DNS 名兜底；
  单次 15 s 看门狗、默认路由轮询、1 h 短路、进程锁、失败静默。
  成功严格校时后 hwclock -w -u 回写 RTC（RTC 存 UTC，必须 -u）。
- /etc/init.d/S45meow_ntpsync：开机只 setsid 后台拉起并立即返回
  （关键路径 +0 秒；后台最长约 150 s 自行退出），失败不阻断 init。
- /usr/share/udhcpc/default.script.d/50meow_ntpsync：只在 bound/renew
  触发（设备上唯一可靠的「网络就绪」事件），后台拉起后立即 exit 0；
  有 $ntpsrv（option 42）就优先用。基线 default.script 本就有 HOOK_DIR
  循环，目录原本为空。
- tests/run_tests.sh：宿主沙箱单测（假 ntpd/hwclock/网络探测）。

验证：dash 与 busybox sh 各 sh -n 通过；单测两套 shell 各 23/23 通过；
真机（/tmp 下运行，未装系统目录）首跑 8 s rc=0、ntpd slew 成功、
RTC 由 1793940395 写成 1793940452（49 s 偏差被纠正）、hwclock -u -r 吻合；
二次运行 0 s 短路；-b -t 3 无网络 5 s 退出 rc=1；
DHCP 灌入不可达服务器 192.0.2.x 仍靠 IP 兜底在 ~10 s 内成功。
 2026-11-06 12:49:13 +08:00
AskaEth 2cfac55b4e Merge branch 'feat/m22-boot-logo-and-brightness-init-script' 2026-11-05 22:04:56 +08:00
AskaEth f9c2ea42a4 fix(boot): M21 r1 评审 P1 — bl_cap 把 cur=0 当「无有效值」照写 20（+P2 两处） 
P1 根因（评审给的真机驱动证据链，已按其最小修法改）：
  /module_driver/pwm_backlight.sh 是 `insmod pwm_backlight.ko ... default_brightness=0
  max_brightness=101`，模块 init 把 props.brightness 置 0 再 update_status（PWM 0 分支）→ 上电即灭屏；
  该模块由 S11module_driver_default 加载，rcS 自然序排在 S11jpeg_display_shell 之后。于是：
    - 函数入口那次 bl_cap：背光节点还不存在，写必然失败（no-op）；
    - fb0 出现后画图前那次 bl_cap：读到 cur=0，旧条件 `cur <= cap` 命中「只降不升」跳过分支，
      20 从未写入 → 画图时刻亮度 0。
  物理后果两头都是缺陷：面板仍亮则 logo 依旧亮（原问题没修）；面板灭则 S11~S21 无可见 logo，
  settings.conf 缺失时直到 launcherd 才亮屏（相对 stock「0.1s 后写 60」是回归）。

修改：
  - bl_cap 判定改为「仅 1 <= cur <= cap 才视为已有有效值跳过；0 / 空 / 非数字一律照写」。
    S22 抢写 1 的竞态保护不变（1 落在 1..20 → 仍跳过，不会被顶回 20）。
  - 删掉函数入口那次 bl_cap（节点未建，必然 no-op，且是重定向报错的来源）；只保留 fb0 就绪后、
    画 logo 前那一次 —— 同一驱动脚本里 pwm_backlight.ko 先于 soc_fb.ko 加载，fb0 出现即节点就绪。
  - 写入成功时打一行 `backlight: -> 20 (was N)` 便于刷机后复核；`2>/dev/null` 移到 `>` 之前，
    节点未就绪时连重定向报错一起吞掉（P2-1）。
  - S22：失败路径日志由「保持 S11 低亮度」改为「不改背光（当前 brightness=N）」（P2-2）；写入失败
    日志同样附当前读数；写入处的 2>/dev/null 次序一并改正。
  - 头部注释按时序真相重写（驱动默认 0 = 灭屏，不是「上电很亮」）。

实测（沙箱重写 sysfs 路径 + stub cmd_jpeg_display/nanddump/sleep，dash 与 busybox 各一遍）：
  cur=0 → 画图时刻 20、结束 20（修复前 0/0）；cur=1 → 1/1；cur=60、cur=101 → 20/20；
  竞态（fb0 就绪前外部写 1）→ 画图时刻 1、结束 1（未被顶回）；节点不可写时 stderr 0 行、仍画图、rc=0。
  S22 19 用例全 rc=0（仅 usage rc=1，rcS 不可达）、sleep 调用 0、行为与改文案前一致。

S11 与 S22 内容均变 → fw_content.conf 两条 md5 同步更新为
  3ad33301fb9f0884102a47e17a1985ed / 1a0aa33d6f806f3f1648168cc1d8b953
（未改动 meow_watchdog 那条：main tip dfde95b 仍是 553840cd，与本单无关，已在报告中提示。）
 2026-11-05 22:04:16 +08:00
AskaEth 0ab23161b6 fix(boot): M21 开机 logo 亮度 — S11 画前压到 <=20 + 新增 S22brightness 按用户设置恢复 
冷启动 logo 很亮：stock S11 是画完 logo 之后才写死 60，画图那一刻用的是面板上电默认高亮；
而 S11 早于 S21mount_ubifs，那时 /usr/data 未挂载、读不到 settings.conf，只能写死一个值。

- S11jpeg_display_shell：以基线(249220f2)为底，把背光压制挪到画 logo 之前（jpeg_display
  函数体内、先于 cmd_jpeg_display），值 20（只降不升：S22 已写更暗则不覆盖）；删除画完后
  写死 60 的那行；/dev/fb0 等待、mtd5 主题判定、后台 jpeg_display & 语义不变；
  主题判定 `==` 改 `=`（POSIX test，语义不变，便于宿主验证）。
- S22brightness（新）：S21mount_ubifs 之后运行，读 /usr/data/meow/settings.conf 的
  display.brightness，按 display.brightness_min 与 sysfs max_brightness clamp 后写入；
  读不到/解析失败不改背光（保持 S11 低值）、无 sleep/重试、任何运行期失败 exit 0；幂等。
- scripts/build/fw_content.conf：登记两条（S11 覆盖基线同名文件、S22 新增），md5 实算，
  说明列写清 S11 < S21mount_ubifs < S22 的顺序依赖。
- scripts/build/README.md：补「覆盖基线已有文件」语义（无条件 cp -f，不校验基线 md5、
  也不跳过已存在文件；唯一基线校验仍是 hiby_player）。

固件需整包刷机才生效，未刷机、未写设备。
 2026-11-05 22:04:16 +08:00
AskaEth 316d9d42c7 build(fw): 同步 watchdog 的 md5 到 M19 重编后的二进制 
M19 把 meow_watchdog 重编为 ad8c1f2b（首次把 M6.23 的亮屏亮度修复真正编入），但
fw_content.conf 第 32 条仍 pin 旧值 553840cd，build_fw_apps.sh 的强校验会在该条中止。
本提交只改这一行 md5 与该条说明。

注：scripts/build/ 被 .gitignore:68 忽略，而这些文件本就已跟踪，故需 git add -f。
 2026-11-05 21:54:23 +08:00
AskaEth dfde95b020 Merge branch 'feat/m20-watchdog-brightness-boot-fallback' 2026-11-05 21:41:25 +08:00
AskaEth f2551a28a2 fix(watchdog): M20 亮屏亮度不再回退固定 60（settings 读失败重试 + 未知快照语义拆分）— 重编出货二进制 
真机 0.8.46（2026-11-05 21:09 日志）复现「开机/亮屏背光跳到固定值」：
  76646 [watchdog] power: panel ON (blank 0 + brightness 60)
而 /usr/data/meow/settings.conf 是 display.brightness = 1。根因链：
- 出货 /usr/bin/meow_watchdog（md5 553840cd…，与仓库内二进制逐字节相同）是
  2026-09-01 6a4d330 编出的旧版：不含 M6.23 的 settings 读取（strings 无
  display.brightness_min，日志仍是旧格式 "brightness %d"）—— M6.23 只改了源码、
  没重编。旧版 wd_panel_on 无条件 write_brightness(wd_saved_bri>0?wd_saved_bri:60)，
  wd_saved_bri 初值 60 且该 session 未熄屏过 → 亮屏写 60，覆盖 launcher 刚设的 1。
- 源码侧同样有 60 兜底：wd_settings_brightness() fopen 失败即 -1 → 回退快照 60。

改动（patch_v2/meow_watchdog/）：
- wd_settings_brightness()：fopen 失败重试 3×10ms。覆盖 settings.conf「写 tmp+rename」
  原子替换、开机早期 /usr/data 未就绪的瞬时窗口；只在失败时发生（成功路径 0 开销），
  最坏 20ms，远小于亮屏轮询粒度 REFRESH_MS=100ms。
- 新增 wd_bri_decide() 纯函数：settings（clamp 后）→ 本次运行期真实快照 → 不写
  （面板已亮，untouched）→ 安全低亮 10（面板黑且无任何值来源）。任何路径都不再写 60。
- wd_saved_bri 初值 60 → WD_BRI_UNKNOWN(0)；wd_panel_off 只在读到正亮度时更新快照，
  读失败/被 launcher 抢先写 0 时保留上一次真实值（不再是 (br>0)?br:60）。
- panel ON/OFF 日志带 src=settings|snapshot|untouched|safe-low 与 user/saved/cur，
  真机一眼看出用的是哪一支。
- 背光路径加 MEOW_BACKLIGHT env 测试钩子（与 MEOW_SETTINGS_FILE 同款，真机无 env）。
- test_wd_fw.c 新增 21 条用例（决策 7 + settings 解析/重试 6 + panel OFF/ON 端到端 8）；
  端到端用例真的读写背光文件，复现「settings=1 → 亮屏写 1」而不是 60。
- 重编 meow_watchdog：mipsel 静态 MIPS32r2 ELF，md5 ad8c1f2b…，0 warning。

验证：./build_watchdog.sh host → 38 pass / 0 fail；交叉编译（-Os -Wall -Wextra -static）
0 warning，产物静态 MIPS32r2。
生效条件：meow_watchdog 在 squashfs /usr/bin，必须刷固件（或等价的重打包流程）才生效。
后续（不在本单 scope）：scripts/build/fw_content.conf 第 32 行仍 pin 旧 md5 553840cd…，
不更新会让 build_fw_apps.sh 的强校验失败。
 2026-11-05 21:32:27 +08:00
AskaEth bcb11e012f fix(reader): stb_image 实现改由 meow_ui.a 提供，修 M6.45 收编后的重复定义 
SDK 在 M6.45 收编 stb_image.c.o 进 meow_ui.a 后，reader 的 engine/rdimg.c 仍带
-DSTB_IMAGE_IMPLEMENTATION，链接期 stbi_* 与归档内 stb_image.o 重复定义，reader
无法重链。改为只编封装、实现取自归档；rdimg.c 用到的 stbi_info_from_memory /
stbi_load_from_memory 在归档中均已导出。
 2026-11-05 21:12:42 +08:00
AskaEth 62b3603ade merge(sdk): 回补 M19 滚动池槽泄漏修复（wrap 上下文归还 + 44 断言回归） 2026-11-05 21:00:22 +08:00
AskaEth 72c6e9889d fix(sdk): 从公开仓回补 M19 滚动池修复（free 归还 wrap 槽）+ 宿主回归 
meow_scroll_wrap 从 MEOW_SCROLL_POOL(=8) 个 wrap 上下文槽占一个，meow_scroll_free
只归还会话槽、从不归还 wrap 槽也不清 ctx.w → 进程内最多成功 wrap 8 次，之后恒 NULL。
主仓此前仍是有缺陷版本；本提交把公开 SDK 仓 c85877b 的修复按内容移植到主仓（唯一权威
源），meow_ui_scroll.c 结果与公开仓 sdk/meow_ui_scroll.c 逐字节一致，diff 仅 wrap 相关
hunk（之前两文件差异也只有这些 hunk，故无其它改动被覆盖）。

- meow_scroll 结构记 wrap_slot（create 置 -1），wrap 时写槽下标；free 按该下标清
  g_wrap_ctx[].w/lv 并归还 g_wrap_used，随后置 -1（二次 free 不触碰任何槽）。
  直接 create 的实例 wrap_slot=-1，free 不误清别人的槽。池满语义不变：8 个同时活跃时
  第 9 个 wrap 仍返回 NULL；free(NULL) 安全。
- test_meow_ui_scroll 断言 17 → 44：64 次 wrap/free（修复前 8/64、修复后 64/64）、
  free 后再 wrap、8 满 + 第 9 个 NULL + 释放其一即复用、交错 free 不串槽、直接 create
  不误清槽、list→listview→list 槽复用不残留 kind、free(NULL)/二次 free。
  头注释补 meow_ui_nav.c：原配方缺该 TU，链接期 meow_ui_nav_request_exit 未定义。

验证：LAUNCHER_DIR=主检出/patch_v2/meow_launcherd build_sdk_host.sh --verify
exit=0、0 warning/error、成员清单 76 项一致且全 MIPS32r2；宿主测试 44 pass / 0 fail；
同测试对修复前 meow_ui_scroll.c 为 13 pass / 19 fail（首条即 ok=8 first_fail=8）。
meow_ui.a 中 meow_ui_scroll.o 已变化，链 meow_ui.a 的 App 需重链。
 2026-11-05 20:59:36 +08:00