Tuku reader: 真实解码峰值模型 + 3MB 硬阈值 + 解码取消 + 3 槽（M22 止损版）

真机（R3 Pro II 480×720 / MemTotal 56872kB）：空闲 RSS 6044kB → 翻页 11400kB →
峰值 15600kB（MemFree 仅 1404kB）→ SIGKILL。M20 审计坐实根因是「单页解码瞬时峰值」，
且旧模型把 stb 当缩解库，对 JPEG 低估 3.5–8 倍（实测 baseline 2000×3000 +10.1MB、
渐进 +23.5MB、1200×1600 PNG +12.9MB）。本次按实测重定预算：

- 真实峰值模型 decode_peak_bytes()：JPEG 分量面（+渐进 short 系数面）、PNG 源缓冲 +
  RGBA 转换副本、BMP 直写目标，再叠精修/落框两段一次性重采样；上限常态 3MB
  （MR_DECODE_PEAK_CAP），只有 MemFree 真富余时才放宽到 min(12MB, MemFree-4MB)。
- 超预算时的降级：JPEG 逐步加粗 stbi 缩解档位（meow_img_load_file_step），
  PNG/BMP 无解码期缩放 → 占位；结果精确重采样回显示框（meow_img_resample），
  命中页仍是单次 blit（M17 热路径纪律不破）。
- 占位可重试（g_page_skip 与永久失败 g_page_fail 分离）：焦点页冷却 1.5s 自动重试、
  中间区点按立即重试、离开再回来即重试；坏图仍是永久占位。
- 解码前内存门控：MemAvailable < 6MB 不解码（读不到就放行，不猜）。
- 解码请求取消：worker 出队后、mr_book_open 前二次判 gen/窗口；拖动/fling 期间只解落点页，
  预取邻居仅当 MemAvailable ≥ 12MB。
- 先释放再解码：queue_page 按落地字节 slots_reserve() 先淘汰不可见旧图；可见页不淘汰。
- 槽位 4→3、常驻上限 9MB→3MB、结果队列 4→2。
- 可观测性：`reader decode page=N src=WxH peak=XkB memfree=YkB memavail=ZkB ok|skip=… step=S ms=M`
  与进出阅读器 rss/hwm/memfree/memavail。

page_source: 头部探测新增 codec/progressive/channels/planes（mr_probe_info），
只带最小 SOF 的合成头仍能取尺寸（旧契约不退化）。

宿主证据：新增 test_reader_membudget（--wrap malloc 计真实峰值）：
PNG 600×960 model 4001kB vs 实测 3943kB；JPEG 1000×1500 step2 model 3749/实测 3711；
连翻 100 页 peak_transient 0kB（先释放再解码让缓冲复用）、驻留 ≤3MB、解码 100 次（取消生效）、
3MB 阈值下 1.5MP JPEG 可解、4MP JPEG 需 MemFree 放行（否则占位）、渐进式模型更高于 baseline。

run_tests.sh 全绿（含 zip 106 / cbz 325）、run_webtoon_tests.sh 全绿、SDK 与 tuku 交叉构建零警告。

tuku/test/run_tests.sh

@@ -13,6 +13,9 @@
 #     交付环境只有库+头时自动 SKIP。
 #   - test_open_book_host（可选）：书库点击「封面图 + 含图子目录」的父目录 → 阅读器打开的
 #     完整 UI 链路回归（合成夹具，不读真实相册）；同样需要 SDK 源码树。
+#   - test_reader_membudget（可选，M22）：--wrap malloc 计真实解码峰值 → 单页 ≤3MB 硬阈值、
+#     连翻 100 页峰值不增长、内存门控/预算跳过可重试、常驻 ≤3MB、取消机制有界。JPEG 夹具由
+#     test/make_mem_samples.py 生成（无 Pillow 时该项 SKIP）。
 #   reader.c 的方向持久化只 include 配置/日志两个模块头；宿主测试用 test/settings_reader_stub.c
 #   顶替 meow_config_* 与 meow_log（所以下面各条都带 -I"$SDK" 与该存根）。
 #   logic/library.c 的探测缓存用 pthread 互斥锁 → 相关编译带 -pthread。
@@ -143,6 +146,25 @@ if [ -f "$SDK/meow_ui_view.c" ] && [ -f "$SDK/meow_ui_config.c" ]; then
         "$SDK"/meow_ui_nav.c "$SDK"/stb_image.c "$SDK"/test_host_stub.c \
         -pthread -lm -lz -o "$OUT"/test_reader_many_pages
     "$OUT"/test_reader_many_pages
+
+    # 解码内存预算（M22）：--wrap malloc 计真实峰值 → 单页 ≤3MB、连翻 100 页峰值不增长、
+    # 内存门控/预算跳过可重试、常驻 ≤3MB。真机 SIGKILL 事故的回归防线。
+    gcc -Wall -Wextra -O1 -DMEOW_UI_HOST_TEST -DMR_READER_HOST_TEST -I. -I"$SDK" -I"$SDK/include" \
+        test/test_reader_membudget.c ui/reader/reader.c \
+        logic/library.c logic/reader.c logic/reader/page_source.c \
+        logic/reader/archive_source.c logic/reader/page_cache.c logic/zip/zip.c \
+        logic/reader/nav.c \
+        "$SDK"/meow_ui_gfx.c "$SDK"/meow_ui_sys.c "$SDK"/meow_ui_theme.c \
+        "$SDK"/meow_ui_vol.c "$SDK"/meow_ui_log.c "$SDK"/meow_ui_widget.c \
+        "$SDK"/meow_ui_input.c "$SDK"/meow_ui_activity.c "$SDK"/meow_ui_dialog.c \
+        "$SDK"/meow_ui_ime.c "$SDK"/meow_ui_str.c "$SDK"/meow_pinyin.c \
+        "$SDK"/meow_ui_draw.c "$SDK"/meow_ui_view.c "$SDK"/meow_ui_box.c \
+        "$SDK"/meow_ui_anim.c "$SDK"/meow_ui_scroll.c "$SDK"/meow_ui_img.c \
+        "$SDK"/meow_ui_media.c "$SDK"/meow_notify_ipc.c "$SDK"/meow_ui_config.c \
+        "$SDK"/meow_ui_nav.c "$SDK"/stb_image.c "$SDK"/test_host_stub.c \
+        -pthread -lm -lz -o "$OUT"/test_reader_membudget \
+        -Wl,--wrap=malloc -Wl,--wrap=calloc -Wl,--wrap=realloc -Wl,--wrap=free
+    "$OUT"/test_reader_membudget
 else
     echo "SKIP test_settings_lock_host/test_browse_ui_host: SDK 源码树不可用（只发布 meow_ui.a 的环境）"
 fi