图库: 修 M27 评审 P1 门控旁路 + 三个 P2（r1）

P1-1：判定为 backend 的页不再无条件放行 + 后端中途失败不再静默回退 stb。
- meow_img_load_file_step_ex 增加 allow_stb_fallback 参数：0 = 只试后端，
  失败返回 NULL（坏图占位），绝不回落 stb。阅读器按 dec.path 传入。
- 旧行为实测：截断 12MP JPEG 18,403kB、3000×3000 24bpp 头-only BMP 36,056kB、
  非法位深 PNG 16,409kB（stb 都"成功"出图）。修复后：
  截断 JPEG 275kB→NULL、头-only BMP 908kB→NULL、非法位深 PNG 门控占位（0 分配）。

P2-1：PNG 支持矩阵补 png_depth_ok 同式（color 2/4/6 仅 8/16；color 3 无 16；
color 0 允许 1/2/4/8/16），不再出现「矩阵说支持、后端拒绝」。
P2-2：后端命中页也保留两道安全阀：MemAvailable<6MB 占位、估算 >12MB 硬上限占位。
P2-3：B8 指标改为「窗口稳定后只 reset 一次」，量整个 30 翻窗口内相对稳态基线的
最大存活增量（淘汰不再掩盖峰值），并打印稳态/驻留/增量。
P2-4：page_source.h 的估算精度口径限定为「后端命中/典型页」。

回归：
- B7c 新增截断 12MP JPEG / 24bpp 头-only BMP / 非法位深 PNG，断言 backend-only
  NULL 且峰值 ≤3MB、或 stb 门控占位；B7 典型页与 B7b 回退矩阵保持全绿。
- test_reader_many_pages 恢复 24bpp 头-only 夹具（1bpp 保留）：24bpp 判 failed、
  1bpp 判 skipped；断言 failed=2 / skipped=1。
- run_tests.sh / run_webtoon_tests.sh EXIT=0；sdk/test_meow_img_stream ALL PASS；
  交叉构建（SDK + tuku）零警告。

sdk/include/meow_ui_image.h

@@ -62,10 +62,15 @@ int meow_img_pick_scale(int longside, int maxdim);
  * 断言与实测见 tuku/test/test_reader_membudget.c 的 B7。 */
 meow_img *meow_img_load_file_step(const char *path, int maxdim, int step);
 
-/* 追加（M27）：与 meow_img_load_file_step 完全相同，额外回报**实际**解码路径：
- * used_backend = 1（M23 后端直出目标尺寸）/ 0（回退 stb）。阅读器用它把「门控预判」
- * 与「真实路径」对上日志；宿主测试据此断言后端命中。NULL 时等价 _step。 */
-meow_img *meow_img_load_file_step_ex(const char *path, int maxdim, int step, int *used_backend);
+/* 追加（M27）：与 meow_img_load_file_step 相同，额外控制回退并回报**实际**路径：
+ *   allow_stb_fallback = 1：后端不支持/失败时回退 stb（与 _step 完全一致）；
+ *   allow_stb_fallback = 0：只尝试后端，失败返回 NULL——**绝不**回落 stb。阅读器的门控
+ *     按「后端峰值」放行时必须用 0，否则头部判定通过、解码中途失败的文件会静默走 stb，
+ *     实测可放出 18–36MB（截断 12MP JPEG / 头-only BMP / 非法位深 PNG）。失败页由调用方
+ *     按坏图占位。
+ * used_backend = 1（M23 后端直出目标尺寸）/ 0（未走成后端）。NULL 时等价 _step（允许回退）。 */
+meow_img *meow_img_load_file_step_ex(const char *path, int maxdim, int step,
+                                     int allow_stb_fallback, int *used_backend);
 
 /* 追加（M22）精确重采样到 w×h（最近邻，缩小/放大都支持）。阅读器用它把「缩解档位」的
  * 结果一次性落到显示框，使命中页仍是单次原生 blit（不做每帧重采样）。同尺寸返回 NULL

sdk/meow_ui_img.c

@@ -101,18 +101,26 @@ meow_img *meow_img_load_file_dim(const char *path, int maxdim)
 /* 追加（M22）：档位由调用方指定。与 meow_img_load_file_dim 同语义（结果长边 ≤ maxdim，
  * 超了再精修一次），只是档位不再由 maxdim 反推 —— 内存预算紧时可选更粗的档位。
  * M27：真缩解后端优先（step 折算成目标长边 ceil(长边/step)，后端按该长边选 DCT 阶，
- * 峰值只与输出尺寸相关）；后端不支持时回退 stbi_load_scaled(step)，语义与 M22 一致。 */
-meow_img *meow_img_load_file_step_ex(const char *path, int maxdim, int step, int *used_backend)
+ * 峰值只与输出尺寸相关）；后端不支持时回退 stbi_load_scaled(step)，语义与 M22 一致。
+ *
+ * M27 r1（P1-1）：allow_stb_fallback=0 时只尝试后端，**绝不回退 stb**——阅读器的门控按
+ * 「后端峰值」放行时必须走这里，否则「头部说支持、解码中途失败」会静默落到 stb，
+ * 实测可放出 18–36MB（截断 12MP JPEG / 头-only BMP / 非法位深 PNG），即 M22 的 SIGKILL 场景。
+ * 后端失败返回 NULL（调用方按坏图占位）。 */
+meow_img *meow_img_load_file_step_ex(const char *path, int maxdim, int step,
+                                     int allow_stb_fallback, int *used_backend)
 {
     if (used_backend) *used_backend = 0;
     if (!path) return NULL;
-    if (step <= 1 && maxdim <= 0) return meow_img_load_file(path);
+    if (step <= 1 && maxdim <= 0)
+        return allow_stb_fallback ? meow_img_load_file(path) : NULL;
     if (step <= 0) step = 1;
     if (step > 8) step = 8;
     int w = 0, h = 0, c = 0;
     if (!stbi_info(path, &w, &h, &c)) return NULL;
     int longside = w > h ? w : h;
-    if (step == 1 && maxdim <= 0) return meow_img_load_file(path);
+    if (step == 1 && maxdim <= 0)
+        return allow_stb_fallback ? meow_img_load_file(path) : NULL;
     /* 追加（M23/M27）：真缩解后端优先（JPEG/PNG/BMP 全部格式）。step 是「输出别比这个档位
      * 更细」的提示：折算成目标长边 ceil(长边/step) 传给后端（后端按该长边自动选 DCT 阶），
      * 与下面 stbi_load_scaled(step) 的语义一致，峰值只与输出尺寸相关；maxdim<=0 时不精修，
@@ -130,6 +138,7 @@ meow_img *meow_img_load_file_step_ex(const char *path, int maxdim, int step, int
             return img_finish_dim(bp, bw, bh, maxdim > 0 ? maxdim : longside);
         }
     }
+    if (!allow_stb_fallback) return NULL;   /* P1-1：门控按后端放行的页，失败即坏图 */
     unsigned char *p = stbi_load_scaled(path, &w, &h, &c, 4, step);
     /* maxdim<=0：不精修（保留档位输出的原始尺寸）。 */
     return img_finish_dim(p, w, h, maxdim > 0 ? maxdim : longside);
@@ -137,7 +146,8 @@ meow_img *meow_img_load_file_step_ex(const char *path, int maxdim, int step, int
 
 meow_img *meow_img_load_file_step(const char *path, int maxdim, int step)
 {
-    return meow_img_load_file_step_ex(path, maxdim, step, NULL);
+    /* 通用入口保持 M22 语义：后端失败允许回退 stb。 */
+    return meow_img_load_file_step_ex(path, maxdim, step, 1, NULL);
 }
 
 /* 追加（M22）：精确重采样到目标尺寸（最近邻，双向）。阅读器把缩解档位的结果一次性