feat(appearance): M91 —— 外观下层三键 + win32 整窗 α FFI + unsafe 落点门禁

core（D36/D37/D38 的键与范围）
- appearance.window_opacity（0.08..=1.0，默认 1.0，越界钳位且不报错；下限 D36 定案）
- appearance.titlebar_mode（auto|always|never，默认 auto；判定逻辑不在本 mission）
- appearance.palette_source（background-image|wallpaper|preset，与 design 的 Level::code() 同名）
- schema 1.3.0 → 1.4.0：纯增量、不加迁移步骤（新键出厂值 = 老文件缺键）
- appearance 拆成目录 mod/modes/tests（单文件 ≤400 行），非法枚举由 diagnostics() 给可读回落说明

presenter（只读语义，不破 M89 零 UI 门禁）
- AppearanceBase { window_opacity, titlebar_mode, palette_source } + from_document()
- 单测：缺键→出厂值、越界→钳位、非法枚举→回落且合法值照读

app-iced（D36 唯一 unsafe 落点）
- platform::effective_window_alpha(backend, requested) 纯函数：≤0/非有限 → None（拒绝整窗穿透），
  其余夹到 0.08..=1.0；CPU 档同样允许窗口级 α（D36 对 D27 的修订），4 组真值表测试
- platform/win32/transparency.rs：SetLayeredWindowAttributes(LWA_ALPHA) 的 FFI +
  alpha_byte 量化 + apply_window_alpha；非 Windows 同签名空实现返回 Unsupported

CI
- guards.yml 新增 unsafe-scope job：全仓 allow(unsafe_code) 文件集合必须恰好等于
  crates/app-iced/src/platform/win32/transparency.rs（集合相等，不是黑名单命中）

版本号绊线
- isolation_keys / java_install_keys：字面量 1.3.0 → 1.4.0（绊线保留字面量）
- store / document 的两个关系夹具改成相对 launcher_version() 构造（「更高 minor 只读」/
  「同 minor 更高 patch 保留 $schema」），下次 bump 不再假绿或假红

.github/workflows/guards.yml

@@ -6,6 +6,7 @@ name: Guards
 #   3. design-zero-dep —— crates/design 零第三方依赖（M61 / M87）：依赖表（含 dev/build）必须为空 + 依赖树只允许出现自身
 #   4. file-size       —— 全仓代码/文档单文件 ≤400 行（用户硬约束）
 #   5. licenses        —— cargo-deny：许可证白名单 + GPL 依赖拦截 + 供应链来源校验
+#   6. unsafe-scope    —— 全仓 `allow(unsafe_code)` 的文件集合必须恰好只有一个（D36 / M91）
 
 on:
   push:
@@ -149,6 +150,48 @@ jobs:
           fi
           echo "OK: unlucky-design 依赖树只有自身，零第三方依赖"
 
+  # D36 定案：整窗 α 是全仓**唯一**需要 `unsafe` 的能力（Win32 的
+  # `SetLayeredWindowAttributes` 没有安全替代），落点收在一个文件里。
+  # 判据必须是**集合相等**而不是「黑名单命中」：
+  #   - 新增第二个带 allow(unsafe_code) 的文件 → 红（黑名单写法在这里会假绿）；
+  #   - 落点文件把 allow 删掉 / 改名 / 搬走 → 红（否则门禁守着一条已经不存在的路径）；
+  #   - 落点文件里多开别的 unsafe 能力 → 门禁看不见（这是本守门的已知边界，
+  #     workspace 的 `unsafe_code = "deny"` 也只是按文件放行，逐行审计靠 code review）。
+  unsafe-scope:
+    name: unsafe 落点守门（集合必须恰好一个文件）
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: 全仓 allow(unsafe_code) 的文件集合 == 唯一落点
+        run: |
+          set -uo pipefail
+          EXPECTED='crates/app-iced/src/platform/win32/transparency.rs'
+          # 只认「行首就是属性」的写法，并允许与其他 lint 混写：
+          #   #[allow(unsafe_code)]            #![allow(unsafe_code)]
+          #   #[allow(dead_code, unsafe_code)] #[cfg_attr(windows, allow(unsafe_code))]
+          # 文档/注释里提到这个属性**不算**（crates/app/src/main.rs 的说明文字就提到过它，
+          # 用无锚定的 `grep -r allow(unsafe_code)` 会把它当越线）。
+          ATTR='^[[:space:]]*#!?\[(.*,)?[[:space:]]*allow\([^]]*unsafe_code[^]]*\)\]'
+          actual=$(git ls-files '*.rs' | while IFS= read -r f; do
+            if grep -qE "$ATTR" "$f"; then printf '%s\n' "$f"; fi
+          done | LC_ALL=C sort)
+          echo "期望（恰好这一个）：$EXPECTED"
+          echo "实际扫到的集合："
+          if [ -n "$actual" ]; then printf '%s\n' "$actual" | sed 's/^/  - /'; else echo "  （空）"; fi
+          if [ "$actual" != "$EXPECTED" ]; then
+            extra=$(printf '%s\n' "$actual" | grep -vxF "$EXPECTED" || true)
+            if [ -n "$extra" ]; then
+              echo "::error::多出来的 unsafe 落点（D36 只允许一个）："
+              printf '%s\n' "$extra" | sed 's/^/  - /'
+            fi
+            if ! printf '%s\n' "$actual" | grep -qxF "$EXPECTED"; then
+              echo "::error file=$EXPECTED::这个文件里没有 allow(unsafe_code) —— 落点被搬走/改名/删了 allow？守门路径已失效。"
+            fi
+            echo "::error::整窗 α 的 FFI 只允许住在 $EXPECTED（D36）。需要新的 unsafe 能力请先立 mission：改这条守门 + 更新 D36 的定案，不要顺手 allow。"
+            exit 1
+          fi
+          echo "OK: 全仓 allow(unsafe_code) 恰好只有 $EXPECTED"
+
   file-size:
     name: 文件行数 ≤400 守门
     runs-on: ubuntu-latest