AskaEth
11a4fcd730
P1-1（内存安全）：mj_huff_build 构造 9 位快表前校验规范码空间 （code + bits[l] > (1<<l) → 表非法），填表时再夹一道 <512 边界；mj_dht 失败 即返回 0 → 后端拒绝 → 回退 stb。此前过订阅 DHT（如「长度 2 的码 100 个」）会把 fast[512] 下标推到 12799，28~220 字节的畸形 JPEG 就栈溢出（ASan 实测 stack-buffer-overflow，非 ASan 直接 SIGSEGV/SIGBUS）。 回归：码长 1..4 × 符号数 3..255 共 1012 组畸形 DHT 全部后端拒绝、无崩溃； 「有效 JPEG + 注入坏 DHT」走拒绝 + 回退（不花屏）。 P1-2（能力）：三处扫描循环的区间重同步统一到 mj_boundary，**只在 total == rst （编码器区间长度）时重同步**。原实现一见「over && marker∈D0..D7」就重同步，但熵码 位缓冲有最多 9 位前瞻，over 会在区间真正结束前 1~2 个 MCU 置位——提前重同步会丢掉 bitbuf 里本区间剩余块的有效比特，随即失步（渐进式 DC 扫描每块仅 ~1 bit，前瞻能跨过 整个 MCU）。这正是 Pillow restart_marker_blocks=1/2/3/4/5/8/16/64/200 的渐进式 100% 回退 stb（25.8MiB）的根因。另修 mj_restart 裸扫把 FF 00（数据字节 0xFF 的填充） 里的 00 误当 marker。 回归：9 个渐进式 + restart 夹具全部 BACKEND=1、峰值 1.86MiB（与无 restart 相同）、 与同编码无 restart 文件逐字节一致（mad=0.000）；baseline + restart 仍逐字节一致。 附带（评审 P2 两项，改动极小且已验证）： - PNG 8bit gray/RGB 的 tRNS 透明接通（8bit 采样值在 tRNS 低字节），与 stb 逐点 alpha 一致； - 拒绝 16bit 量化表（只属 12bit 精度；收下会让 F*qt 在 mj_accim 里 int32 溢出，UB）。 - meow_img_load_file_step 的 JPEG 走真缩解后端（PNG/BMP 暂留 stb：阅读器预算模型仍是 M22「整幅物化」口径，待 M27 同步后放开）。 验证：ASan 构建全 PASS；test_meow_img_stream 111 项全 PASS；test_meow_img_budget / test_meow_img_color 全 PASS；tuku run_tests.sh rc=0（zip 106 / cbz 296，含 membudget）、 run_webtoon_tests.sh rc=0；build_sdk.sh 零警告，MIPS32 rel2 目标码。 峰值不变（修复不增加分配）：2000x3000 baseline/progressive 1.86MiB、PNG 1.33MiB。 体积：meow_jpeg.o 17,284B + meow_png_stream.o 8,456B = 25.1KB。
tuku（os.meow.picbrowser）打包与签名
图库 App（系统包名 os.meow.picbrowser）。构建与打包：
./build_tuku.sh # 交叉编译 picbrowser（MIPS32r2 静态）
./pack_tuku.sh # 打包 → os.meow.picbrowser.mpk（根布局；未签名）
浏览交互（文件管理器模型，M18）
- 列表 = 当前目录一层的子目录 + 受支持图片（png/jpg/jpeg/bmp）+ 档案册（.cbz/.zip）；
目录优先，组内自然序（大小写不敏感，同键按原始字节兜底，
A.jpg/a.jpg不抖动）。 - 点目录 = 进入（空目录也进）；点图片 = 从该图开始读（按文件名交给阅读器，
由阅读器的全量目录册定位起始页——列表被
MR_LIB_SCAN_MAX截断时也不会点错图）； 点档案册 = 打开档案册（第 1 页/续读）。 - 单目录超过 2000 项时列表只显示前 2000 项并给出「已截断」提示行；图片仍可进入阅读器翻到。
- 缩略图功能已关闭：行内只有类型图标 + 文件名 + 类型·大小；首帧只做单层
opendir/readdir + lstat，滚动/点击路径不解码、不访问文件、不重排字符串。 - 浏览根锁定 TF 卡根（
/usr/data/mnt/sd_0）：根目录不显示返回箭头，左缘返回 = 退出 App； 不允许上溯到 SD 卡的上级目录。 - 根目录不可访问（未插卡/挂载失败）→ 友好空态「未检测到 SD 卡」；点顶栏刷新或重进页面即重扫， 不弹错、不崩溃。
一键签名出包
MEOW_SIGN_KEY=/path/to/signing.key ./pack_tuku.sh
- 工具查找顺序：
$MEOW_SIGN→PATH里的meow_sign→$HOME/Proj/MeowOS-For-R3P2/patch_v2/meow_sign/meow_sign。 - 私钥：
$MEOW_SIGN_KEY。未设置时脚本警告并仍产出未签名包（退出码 0）；但os.meow.*系统包无签名会被设备拒装。 - 有工具 + 密钥时执行
meow_sign sign <mpk> <key>；若存在<key>.pub再执行meow_sign verify <mpk> <key>.pub。 - 私钥不入库、不随包分发；本仓不包含任何密钥材料。
mpk 布局
.mpk = tar.gz，条目直接在根层：
os.meow.picbrowser.mpk
├── app.json
├── picbrowser
└── <signature footer> # 仅签名包有（Ed25519，尾部追加）
即 tar -C build/os.meow.picbrowser -czf os.meow.picbrowser.mpk app.json picbrowser——
不带 os.meow.picbrowser/ 目录前缀，也不带 ./ 前缀。脚本在签名前用 tar -tzf 断言这一点。
签名是往 tar.gz 尾部追加 footer，签名后的 mpk 不要再跑 tar -t / gzip 之类的命令：
gzip 会报 trailing garbage ignored，属预期现象，不是包损坏。要检查布局请在签名前做。
安装
把 .mpk 放到设备 TF 卡，执行 nyai install os.meow.picbrowser.mpk；
os.meow.* 包必须验签通过（footer.package == 文件名茎 == app.json.package）。