fix: 畸形 DHT 拒绝 + 渐进式 restart 重同步（M23 r1 P1-1/P1-2）

P1-1（内存安全）：mj_huff_build 构造 9 位快表前校验规范码空间
（code + bits[l] > (1<<l) → 表非法），填表时再夹一道 <512 边界；mj_dht 失败
即返回 0 → 后端拒绝 → 回退 stb。此前过订阅 DHT（如「长度 2 的码 100 个」）会把
fast[512] 下标推到 12799，28~220 字节的畸形 JPEG 就栈溢出（ASan 实测
stack-buffer-overflow，非 ASan 直接 SIGSEGV/SIGBUS）。
回归：码长 1..4 × 符号数 3..255 共 1012 组畸形 DHT 全部后端拒绝、无崩溃；
「有效 JPEG + 注入坏 DHT」走拒绝 + 回退（不花屏）。

P1-2（能力）：三处扫描循环的区间重同步统一到 mj_boundary，**只在 total == rst
（编码器区间长度）时重同步**。原实现一见「over && marker∈D0..D7」就重同步，但熵码
位缓冲有最多 9 位前瞻，over 会在区间真正结束前 1~2 个 MCU 置位——提前重同步会丢掉
bitbuf 里本区间剩余块的有效比特，随即失步（渐进式 DC 扫描每块仅 ~1 bit，前瞻能跨过
整个 MCU）。这正是 Pillow restart_marker_blocks=1/2/3/4/5/8/16/64/200 的渐进式
100% 回退 stb（25.8MiB）的根因。另修 mj_restart 裸扫把 FF 00（数据字节 0xFF 的填充）
里的 00 误当 marker。
回归：9 个渐进式 + restart 夹具全部 BACKEND=1、峰值 1.86MiB（与无 restart 相同）、
与同编码无 restart 文件逐字节一致（mad=0.000）；baseline + restart 仍逐字节一致。

附带（评审 P2 两项，改动极小且已验证）：
- PNG 8bit gray/RGB 的 tRNS 透明接通（8bit 采样值在 tRNS 低字节），与 stb 逐点 alpha 一致；
- 拒绝 16bit 量化表（只属 12bit 精度；收下会让 F*qt 在 mj_accim 里 int32 溢出，UB）。
- meow_img_load_file_step 的 JPEG 走真缩解后端（PNG/BMP 暂留 stb：阅读器预算模型仍是
  M22「整幅物化」口径，待 M27 同步后放开）。

验证：ASan 构建全 PASS；test_meow_img_stream 111 项全 PASS；test_meow_img_budget /
test_meow_img_color 全 PASS；tuku run_tests.sh rc=0（zip 106 / cbz 296，含 membudget）、
run_webtoon_tests.sh rc=0；build_sdk.sh 零警告，MIPS32 rel2 目标码。
峰值不变（修复不增加分配）：2000x3000 baseline/progressive 1.86MiB、PNG 1.33MiB。
体积：meow_jpeg.o 17,284B + meow_png_stream.o 8,456B = 25.1KB。

sdk/include/meow_ui_image.h

@@ -31,15 +31,20 @@ int meow_img_probe_file(const char *path, int *w, int *h, int *channels);
  *       「meow_img_load_file + meow_img_downscale(maxdim)」逐字节同口径（公式一致）。
  *
  * 实现（M23 起）：先进真缩解后端（内部 meow_jpeg.c / meow_png_stream.c），解码期只算目标分辨率：
- *    JPEG：DCT 域缩解（每 8×8 块只解出 N×N 像素，N 由 8·maxdim/长边 取「不欠采样」的最小值），
- *          渐进式只解到首个精细化扫描（首个 Ah>0）——低频带已完整，不再整幅驻留系数阵列；
+ *    JPEG：DCT 域缩解（每 8×8 块只解出 N×N 像素，N 由 8·maxdim/长边 取「不欠采样」的最小值；
+ *          N=1..7，N≥8 交回 stb），渐进式跳过精细化扫描、只解各频带首次扫描 —— 低频带已完整，
+ *          不整幅驻留系数阵列；
  *    PNG ：libz 逐行 inflate + 反滤波，按步长丢行丢列直写目标尺寸（gray/gray+A/RGB/RGBA/
- *          调色板/16bit，16bit 取高字节）；
+ *          调色板/1-16bit，16bit 取高字节，tRNS 透明含 8bit 灰/RGB）；
  *    BMP ：按目标行 seek 到源行 + 行内跳列（8bpp 调色板 / 16bpp RGB555 / 24bpp / 32bpp）。
  *    峰值只与输出尺寸相关，不随源图分辨率/压缩体积线性增长（2000×3000 页 ≤2.5MB 量级）。
- * 不支持的特性（CMYK/YCCK 4 分量 JPEG、算术编码、Adam7 交错 PNG、RLE/1-4bpp BMP、几乎等尺寸）
- * 自动回退 stb 旧路径（meow_img_load_file + 缩解/降采样），对外语义完全不变。
- * 小图（长边 ≤ maxdim）走旧路径，与原 API 完全一致；maxdim<=0 等价旧入口。失败返回 NULL。 */
+ * 不支持的特性（CMYK/YCCK 4 分量 JPEG、算术编码、过订阅 Huffman 表、16bit 量化表、Adam7
+ * 交错 PNG、RLE/1-4bpp BMP、几乎等尺寸）自动回退 stb 旧路径，对外语义完全不变。
+ * 小图（长边 ≤ maxdim）走旧路径，与原 API 完全一致；maxdim<=0 等价旧入口。失败返回 NULL。
+ *
+ * 尺寸口径说明（M23 评审 P2-2）：本入口按「原图 + meow_img_downscale」公式算目标尺寸；M12 旧
+ * 实现经 stb 的 ceil(w/s) 缩解再精修，源尺寸不是档位整数倍时可能与本入口差 1px（实测 1999×2999：
+ * 旧 320×480 vs 新 319×480）。阅读器按显示框缩放，无实际影响；PNG/BMP 无此差异。 */
 meow_img *meow_img_load_file_dim(const char *path, int maxdim);
 meow_img *meow_img_load_mem_dim(const void *buf, int len, int maxdim);
 
@@ -51,7 +56,9 @@ int meow_img_pick_scale(int longside, int maxdim);
 /* 追加（M22）显式档位解码：语义与 meow_img_load_file_dim 相同（结果长边 ≤ maxdim，
  * 超了就再精修一次），只是缩解档位由调用方决定。内存吃紧时可以选更粗的档位——输出更小、
  * 峰值更低，代价是细节变软。step <= 1 等价长边约束入口；step > 8 按 8 处理。
- * 非 JPEG 格式 stb 没有解码期缩放，step 被忽略（整幅解码）。 */
+ * M23 起：JPEG 先走真缩解后端（step 折算成目标长边 ceil(长边/step)，后端按该长边选 DCT 阶），
+ * 峰值只与输出尺寸相关；不支持的特性回退 stb（step 原样传入）。PNG/BMP 暂仍走 stb —— 阅读器的
+ * 单次解码预算模型（M22）还是「整幅物化」口径，待 M27 同步后放开（见 M23 r1 报告）。 */
 meow_img *meow_img_load_file_step(const char *path, int maxdim, int step);
 
 /* 追加（M22）精确重采样到 w×h（最近邻，缩小/放大都支持）。阅读器用它把「缩解档位」的