fix(cli): 启动用的 Java 钉死 D4 校验过的那个 + M214 复审 nit1/nit2/nit3

- override_path 五来源统一钉住 D4 选中的运行时：以前只有 managed 钉路径，
  JAVA_HOME/PATH/system 三种会被 snapshot::prepare 的 selection() 按环境再挑一遍，
  D4 判过的 Java 根本不是真启动的那个。现在 `plan_java` 只做「选中 → 钉路径」，
  人读行写出「版本（来源 · 具体可执行文件）」，--json 的 java 块并排给出
  binary（校验过的）/ launch_binary（装配落地的）/ source，两者不一致时当场告警。
  实例设置/全局设置里的 javaPath 也并入「谁指定了 Java」，不会被自动挑的结果顶掉。
- nit3：D4 的 Java 不符拦截挪到 identity::resolve 之前（微软轨解析身份会联网刷新
  令牌、还会回写凭据），拦下的启动不再先触发一次刷新；不符提示补上「挑中的是哪个
  java」，文案只加不减。
- nit1：error.rs / launcher.rs 的人读串里残留的 ** 标记去掉，并补两条回归断言。
- nit2：java_launch.rs 里「只提示不阻断」等旧注释对齐 D4 现状。
- launch.rs（399 行零余量）：D20 的隔离档位派生与切换检测整体搬到新文件
  launch_isolation.rs，纯挪函数体（逐行 diff 只多 6 处 pub(super)），
  用 #[path] 挂载以免改 commands/mod.rs。

用例：钉路径纯函数单测 3 条 + 端到端 2 条（JAVA_HOME 置空证明非 managed 来源也钉住；
数据根放两个账户证明 D4 拦在身份解析之前）+ 人读串无 ** 的 2 条回归。
两条变异（①退回只钉 Managed ②退回身份解析之后）各自让新用例变红，已实测。

crates/cli/tests/java_test.rs

@@ -138,6 +138,11 @@ fn launch_dry_run_reports_the_java_requirement_of_the_version() {
         ["instance", "managed", "JAVA_HOME", "PATH", "none"].contains(&source),
         "意外的来源：{source}"
     );
+    // M220：`binary` 是 D4 校验过的那个，`launch_binary` 是装配落地的那个——两者都得给出来。
+    assert!(
+        java["launch_binary"].as_str().is_some(),
+        "`--json` 的 java 块要写明实际装配的 java 路径：{json}"
+    );
 }
 
 #[test]
@@ -195,3 +200,95 @@ fn legacy_version_requires_java_8_and_flags_a_newer_runtime() {
         );
     }
 }
+
+/// 写一份「清单自己声明要 Java `required`」的版本 JSON（其余字段与 `support::write_version` 同）。
+///
+/// 本机任何一个 Java 都不满足 `required = 99` ⇒ D4 必然要拦（`java_too_old`），
+/// 与「这台机器装了哪几个 JDK」无关、也不需要联网：用例的观察点是**拦截发生在哪一步**。
+fn write_version_requiring_java(root: &std::path::Path, required: u32) {
+    let dir = root.join(".minecraft").join("versions").join(VERSION);
+    std::fs::create_dir_all(&dir).expect("创建版本目录");
+    let version = serde_json::json!({
+        "id": VERSION,
+        "type": "release",
+        "mainClass": "net.minecraft.client.main.Main",
+        "assets": "5",
+        "assetIndex": { "id": "5" },
+        "javaVersion": { "majorVersion": required },
+        "arguments": {
+            "game": ["--username", "${auth_player_name}", "--version", "${version_name}"],
+            "jvm": ["-Djava.library.path=${natives_directory}", "-cp", "${classpath}"]
+        },
+        "libraries": [],
+        "downloads": { "client": { "size": 4, "url": "http://example.invalid/client.jar" } }
+    });
+    std::fs::write(
+        dir.join(format!("{VERSION}.json")),
+        serde_json::to_vec_pretty(&version).expect("序列化版本 JSON"),
+    )
+    .expect("写版本 JSON");
+    std::fs::write(dir.join(format!("{VERSION}.jar")), b"junk").expect("写 client jar");
+}
+
+/// M220 nit3：D4 的「Java 不符」拦截必须排在身份解析**之前**。
+///
+/// 身份解析有副作用（微软轨会联网刷新令牌、刷新成功还会回写凭据），一个注定要被拦下的
+/// 启动不该先跑那一遍。观察点：数据根里放两个离线账户 ⇒ 解析身份必然报 `account_ambiguous`，
+/// 而这次启动注定被 D4 拦下 ⇒ 报出来的必须是 `java_mismatch`。
+/// 老实现（拦在身份之后）在这里会先撞上 `account_ambiguous`，用例必红。
+///
+/// 对照组：`--dry-run` 本来就只提示不拦（D4 只管真启动），所以同一条版本在 dry-run 下
+/// 会走到身份解析那一步——这一对断言把「拦截在哪一步」钉死。
+#[test]
+fn the_java_mismatch_block_runs_before_identity_resolution() {
+    let dir = TempDir::new("java-block-order");
+    write_version_requiring_java(dir.path(), 99);
+    for name in ["alpha", "beta"] {
+        let (code, _, stderr) =
+            run_cli(&["accounts", "add", "offline", name, "--data-dir", &dir.arg()]);
+        assert_eq!(code, 0, "建离线账户失败：{stderr}");
+    }
+
+    // 前置：这条版本的要求确实没人满足（否则「注定被拦」这个前提不成立，直接判红）。
+    let (code, stdout, stderr) = run_cli(&[
+        "--json",
+        "--data-dir",
+        &dir.arg(),
+        "launch",
+        VERSION,
+        "--dry-run",
+        "--account",
+        "alpha",
+    ]);
+    assert_eq!(code, 0, "stderr: {stderr}");
+    let envelope = parse_json(&stdout);
+    assert_eq!(
+        envelope["data"]["java"]["mismatch"]["code"], "java_too_old",
+        "前置：本机探测到的 Java 必须都不满足 Java 99：{envelope}"
+    );
+
+    // 真启动（不指定账户）：两个账户 ⇒ 解析身份会报 account_ambiguous，但 D4 拦得更早。
+    let (code, stdout, _stderr) = run_cli(&["--json", "--data-dir", &dir.arg(), "launch", VERSION]);
+    assert_eq!(code, 1);
+    let envelope = parse_json(&stdout);
+    assert_eq!(
+        envelope["error"]["code"], "java_mismatch",
+        "D4 拦截必须排在身份解析之前（否则注定被拦的启动也先刷了一遍令牌）：{envelope}"
+    );
+
+    // 对照：dry-run 不拦（D4 只管真启动）⇒ 它会走到身份解析，报的是账户歧义。
+    let (code, stdout, _stderr) = run_cli(&[
+        "--json",
+        "--data-dir",
+        &dir.arg(),
+        "launch",
+        VERSION,
+        "--dry-run",
+    ]);
+    assert_eq!(code, 1);
+    let envelope = parse_json(&stdout);
+    assert_eq!(
+        envelope["error"]["code"], "account_ambiguous",
+        "dry-run 不该被 D4 拦住（它只提示），应当走到身份解析：{envelope}"
+    );
+}