fix(m168): 复审 r1 五项 —— 修红的 integration target、独立失败域、整体时限

复审 r1（p1-1/fix-then-merge）五项全改：

1. **p1-1 CI 会红的 4 条 integration test**（`crates/core/tests/setting/`，我上一轮只跑了 `--lib`，
   scope 漏掉了覆盖 schema 版本号的目录式 target）：
   - `java_install_keys` / `isolation_keys` / `appearance_keys`：版本断言 1.6.0 → 1.7.0（M168 的
     `ui.font_cdn`），并写明「每加一批键推一次 minor 是纪律」。
   - `update_keys::a_read_only_launcher_config_never_retires_the_legacy_file`：夹具从**写死
     1.7.0** 改成 `launcher_version().minor + 1` 经 `SchemaRef::url()` 生成。写死数字的版本一推
     这条守卫就变成「同版本」⇒ 文件可写 ⇒ 迁移真的执行 ⇒ 旧文件被退役，而断言还绿着（用户数据
     守卫静默失效）。相对推导不会过期。
2. **p2-1 备用镜像不备用**：`cdn` 与 `fastly` 同属 Fastly（都 CNAME 到 jsdelivr.map.fastly.net），
   换掉。现在首选 `gcore.jsdelivr.net`（Cloudflare，独立失败域），二选 `cdn.jsdelivr.net`
   （Fastly）。注释里放了实测表（本机 + 复审机两份数据、字节数、sha256、IPv6 慢路径），
   并写清排序依据（Fastly 侧 IPv6 实测 67 KB/s ⇒ 丢掉 4 分钟；Cloudflare 侧两次都完整下完）。
3. **p2-2 整体时限**：`core::download::font` 新增 `ATTEMPT_DEADLINE = 90 s` /
   `TOTAL_DEADLINE = 180 s`，落在本模块自己的候选循环里（不动引擎全体语义）：每次尝试
   `min(单次上限, 剩余总预算)`，超时归 `Network` 档。新增守卫
   `a_trickling_connection_is_cut_by_the_deadline`（回环服务端每 100 ms 挤 1 字节、预算 300 ms）。
   顺带修掉一个真 bug：`tokio::time::timeout` 在运行时外构造会 panic（5 条既有用例当场抓到），
   现在整段包进 `block_on(async { … })`。UI 文案改成「网络不通或太慢（超时）」，不校验失败混。
4. **p2-3 说 `Source::PendingPin` 的两处**：`fonts/cjk.rs` 的模块文档已改；`ui/lang.rs::log_cjk`
   那句「D28 的下载通道还是 PendingPin」（在下载已发起之后打印，等于当面否定本功能）改成
   「已按 D28 发起下载，见 [font] cjk-download … 与设置页那一行」。全仓再扫，只剩注释里的历史说明。
5. **p2-4 假守卫**：判据抽成纯函数 `install::plan(strategy, current) -> Step`（`Skip` / `Apply` /
   `Start`），`after_probe` 只执行。旧的空转用例换成打真判据的打表用例；变异证明：删掉
   `Skip` 那一臂 ⇒ `a_started_or_finished_install_is_not_restarted` 红（已实跑）。

次要项也一并处理：`from_cache` 改成**本次是否真的命中缓存**（`CdnFetcher::was_cached()`，
`has_cached()` 降级为诊断字段 `cache_present=`）；`FontSpec` 的 URL 口径收紧为「非回环必须
https」（`is_acceptable_url` + 守卫）；`ui.font_cdn` 写进状态行 hint；文档里的 17.0 MB → 16.9 MB。
`download/font.rs` 拆出 `font/spec.rs` 守 400 行。

验证（这台机器上单个 800 MB 测试 exe 链接要 10 分钟，链接期间文件被 Defender 扫描，故耗时很长）：
- `cargo test -p unlucky-core --all-targets` → **1188 passed / 0 failed**（16 个 target，含
  `setting` 那个 115 条、上一轮红 4 条的 integration target）
- `cargo test -p unlucky-i18n` → 31 passed / 0 failed
- `cargo test -p unlucky-app-iced --lib` → 685 passed / 0 failed
- `cargo clippy -p unlucky-i18n -p unlucky-core -p unlucky-app-iced --all-targets -- -D warnings` → 干净
- `cargo fmt --all -- --check` → 干净；全仓受检文件行数最大 388（<400）

crates/app-iced/src/fonts/install.rs

@@ -233,36 +233,59 @@ pub fn ensure_for(
     }
 }
 
-/// 判据结论 → 现在这一步的结局（生产入口）。
+/// 判据结论 + **当前状态** → 这一步该做什么（纯函数，不碰全局状态、不起线程）。
 ///
-/// 只有 `NeedsDownload` 且**当前不在下载/已就绪**时才真的发起下载：
+/// 这是幂等闸的**唯一判据**：`after_probe` 只是它的执行者。之所以拎成纯函数，是因为上一版
+/// 有一条「自称守卫、其实什么都没测」的用例（复审 r1 P2-4）：它在循环里断言一个从没被传进任何
+/// 函数的假下载器「没被调用」，恒绿。现在守卫直接打这张表——把 `Skip` 那一臂删掉，用例必红。
+#[derive(Debug, Clone, PartialEq, Eq)]
+pub enum Step {
+    /// 什么都不做（已经在下载 / 已就绪）。
+    Skip,
+    /// 只把状态改成这个（零网络）。
+    Apply(CjkInstall),
+    /// 真的发起一次下载。
+    Start(&'static font::CjkFont),
+}
+
+/// 判据表（判据本体就在这张表的 `match` 里，`after_probe` 不含任何判据）。
 ///
-/// * 英文环境 / 系统已有 → 只更新状态（零网络）；
-/// * 探测不出 → 只更新状态（零网络，**不**当成缺字体）；
-/// * 已经在下载 / 已就绪 → 什么都不做（幂等：切一次语言不会起第二条下载）；
-/// * 上次失败过 → **只有再次切语言才会重试**（用户显式动作），不会自己反复联网。
-pub fn after_probe(strategy: Strategy) -> CjkInstall {
-    let current = status();
+/// | 策略 | 当前状态 | 这一步 |
+/// |---|---|---|
+/// | `NotNeeded` / `System` / `Unprobeable` | 任意 | `Apply`（零网络） |
+/// | `NeedsDownload` | 下载中 / 已就绪 | **`Skip`**（幂等：切一次语言不起第二条线程） |
+/// | `NeedsDownload` | 未判定 / 失败过 / 其它 | `Start`（失败后的重试只能是用户再切一次语言） |
+#[must_use]
+pub fn plan(strategy: Strategy, current: &CjkInstall) -> Step {
     match strategy {
-        Strategy::NotNeeded => {
-            update(CjkInstall::NotNeeded);
-            CjkInstall::NotNeeded
+        Strategy::NotNeeded => Step::Apply(CjkInstall::NotNeeded),
+        Strategy::System { family } => Step::Apply(CjkInstall::System {
+            family: family.to_owned(),
+        }),
+        Strategy::Unprobeable => Step::Apply(CjkInstall::Unprobeable),
+        Strategy::NeedsDownload(font) => {
+            if current.is_downloading() || matches!(current, CjkInstall::Ready { .. }) {
+                Step::Skip
+            } else {
+                Step::Start(font)
+            }
         }
-        Strategy::System { family } => {
-            let state = CjkInstall::System {
-                family: family.to_owned(),
-            };
+    }
+}
+
+/// 判据结论 → 现在这一步的结局（生产入口；判据全在 [`plan`]，这里只执行）。
+///
+/// * 英文环境 / 系统已有 / 探测不出 → 只更新状态（零网络）；
+/// * 已经在下载 / 已就绪 → 什么都不做（幂等：切一次语言不会起第二条下载、不会重复注册 17 MiB）；
+/// * 上次失败过 → 只有再次切语言才会重试（用户显式动作），不会自己反复联网。
+pub fn after_probe(strategy: Strategy) -> CjkInstall {
+    match plan(strategy, &status()) {
+        Step::Skip => status(),
+        Step::Apply(state) => {
             update(state.clone());
             state
         }
-        Strategy::Unprobeable => {
-            update(CjkInstall::Unprobeable);
-            CjkInstall::Unprobeable
-        }
-        Strategy::NeedsDownload(font) => {
-            if current.is_downloading() || matches!(current, CjkInstall::Ready { .. }) {
-                return current;
-            }
+        Step::Start(font) => {
             worker::start(font);
             status()
         }