fix(m196): GUI 产物 PE Subsystem → WINDOWS_GUI(2)，并用 AttachConsole 保住 CLI 输出

群友 2026-11-08 实测发布构建「运行时会带一个控制台窗口在底下」。根因：产物 PE 头
Subsystem 仍是 CUI(3)。同一个修复 2026-11-01 做过一次（37d3039），但只改了已被
workspace exclude 的 Slint 树（crates/app），从未到达 iced 产物。

- crates/app-iced/src/main.rs：加 #![cfg_attr(windows, windows_subsystem = "windows")]，
  并写清为什么放 bin 层而不是 build.rs（PE 子系统是每个 bin 目标的属性）。
- crates/app-iced/src/platform/win32/console.rs（新）：AttachConsole(ATTACH_PARENT_PROCESS)
  的落点 + 判据 should_attach（纯函数，可断言）。GUI 子系统进程不继承父控制台，实测
  从 cmd 启动时三个 std 句柄全是 0；附着后 GetStdHandle 立刻给出控制台句柄（0x0→0x208），
  所以不改 std 句柄、不碰用户的重定向（ATTACH_PARENT_PROCESS 只会附到已存在的控制台，
  永不新建窗口）。
- packaging/check_pe_subsystem.py（新）：读产物 PE 头 Subsystem 字段（GUI 必须 2、
  CLI ull 必须 3），非 2 即红；--self-test 注入 5 条合成 PE 回归。
- 接进 release-build.yml（发布侧两槽位）与 ci.yml build job（PR 阶段）。
- guards.yml：unsafe 落点期望集合变成两处（console.rs + transparency.rs），集合相等判据其余不变；
  平台层所有「全仓唯一 unsafe 落点」措辞同步改正。

.github/workflows/ci.yml

@@ -207,6 +207,18 @@ jobs:
       # 同上：`--workspace` 不含 `unlucky-app`（M118）。被摘掉的正是 release 档
       # （lto=fat + codegen-units=1）最贵的那棵 slint + usvg 树。
       - run: cargo build --workspace --release
+      # M196：PR 阶段就拦住「产物退回 CUI(3)」。判据是产物 PE 头的 `Subsystem` 字段，不是源码文本——
+      # 这个 bug 的原始形态正是「源码写了、打在另一棵树上」，任何只看 `grep windows_subsystem` 的守卫
+      # 都抓不住它。发布侧同一份脚本再跑一次（`release-build.yml`），两处判据同一个真源。
+      - name: PE 子系统门禁（GUI 产物必须 WINDOWS_GUI/2，CLI 产物必须 CONSOLE/3）
+        if: runner.os == 'Windows'
+        shell: bash
+        run: |
+          set -euo pipefail
+          PY=$(command -v python3 || command -v python)
+          "$PY" packaging/check_pe_subsystem.py \
+            --gui target/release/unlucky-launcher-iced.exe \
+            --cli target/release/ull.exe
 
   # 运行时冒烟（M62）：Linux 上**真渲染一帧**，补上「能编译 ≠ 能跑」的空白。
   # 上面四个 job 都只证明代码编得过、测得过，从不创建真实图形窗口；本 job 在 Xvfb 虚拟显示里