fix(m197): 复审 r1 的 P1 + 三条 P2（描述对齐行为 / 内部编号下屏 / kind 守卫 / gh-proxy 可覆盖）

P1（阻断）`java.auto_install` 的描述与行为不一致——那句会进 AI 工具的 JSON Schema
`description`，等于让助手对用户说一件实现刻意不做的事：
- `crates/core/src/setting/keys.rs`：改成「缺 Java 时在 Java 页标出推荐版本并可一键安装；
  不会自动下载」，去掉 `（D13 基准 JDK17）`。
- `SettingsJavaAutoInstallHint` 中英两侧各补一句显式否定（「不会自己开始下载 —— 点「安装」
  才会下」/ "Nothing is downloaded on its own — you press Install."），标签从「自动准备」改成
  「缺 JDK 时推荐一档」；金表同步。
- 新增守卫 `the_auto_install_description_says_it_never_downloads_by_itself`（描述必须含
  「不会自动下载」、不含旧说法与内部编号）。

P2-1 内部决策编号印在界面上：`SettingsJavaDownloadBaseline` 的 `Baseline (D13)` /
`基准版本（D13）` → `Recommended baseline` / `推荐基准版本`（金表同步）。另加两条目录级守卫
（`no_user_visible_string_mentions_an_internal_decision_id` /
`no_user_visible_string_carries_markdown_backticks`）；后者顺带清掉 M168 遗留的
`FontCjkStatusHint` 里的 `ui.font_cdn` 反引号——全仓最后一条。

P2-2 `ProgressEvent::SourceFailed.kind` 没有守卫：`engine_mock_test`
- `reports_progress_events_and_errors_when_all_sources_fail` 的解构补 `kind`，断言
  `ServerError`；
- 新增 `a_404_is_classified_as_not_found_and_never_cools_the_source_down`（404 → `NotFound`，
  与「源坏了」分开）。

P2-3 交付任务书那句「（默认值可改）」：新增 `download.gh_proxy`（空 = 跟随内置默认 /
`off` = 关 / 其它 = 覆盖前缀），`engine_with` 是它的真消费者（改 `RegionProfile`，因为
`gh_proxy_candidates` 读的就是档案里的前缀）；Java 页不画 UI（归 M193）。**内置默认值没动**。
schema minor 1.7.0 → 1.8.0（新键必须推 minor），三处硬编码 minor 的用例同步。

另：真下载用例改成 panic 也清理（复审顺带项 7④）；`downloads/refusal.rs` 的「四档」改「五档」。

crates/core/src/setting/keys.rs

@@ -55,6 +55,8 @@ pub mod update;
 /// `1.6.0` 登记 M161 的「自更新」两键（见 [`update`]）：纯增量但带一步数据迁移
 /// （此前住在 `cache/update/prefs.json`，迁移见 [`super::update_prefs`]）。
 /// `1.7.0` 登记 M168 的中文字体下载地址覆盖键（`ui.font_cdn`，见 [`font`]）：纯增量、无迁移。
+/// `1.8.0` 登记 M197 的 gh-proxy 前缀覆盖键（`download.gh_proxy`）：同样纯增量——出厂值是空串，
+/// 语义正是「老文件没有这个键」时的行为（跟随内置镜像表的默认前缀）。
 ///
 /// **旧读新（方向相反，措辞必须精确）**：1.4.0 的客户端读 1.5.0 的文件时，
 /// [`super::schema::SchemaCompat::check_url`] 走 `found.minor > expected.minor` →
@@ -64,7 +66,7 @@ pub mod update;
 /// 原因：回退到旧版本会出现「设置改不动」，而原因只在 `$schema` 那一行里，不看版本号无从排查。
 #[must_use]
 pub fn launcher_version() -> SchemaVersion {
-    SchemaVersion::new(1, 7, 0)
+    SchemaVersion::new(1, 8, 0)
 }
 
 /// `config/launcher.json` 的 schema。
@@ -144,6 +146,16 @@ pub fn launcher_schema() -> SettingSchema {
             AiPolicy::sensitive(),
             "manual 代理地址（如 http://127.0.0.1:7890）",
         ))
+        // M197：gh-proxy 前缀的用户覆盖。语义在 `core::download::region`：
+        // 空串 = 跟随内置默认（镜像表里的 gh-proxy.com，且只有镜像优先/国内判定才启用）；
+        // `off` = 明确关掉；其余非空值 = 用这个前缀覆盖。
+        .with(SettingSpec::text(
+            "download.gh_proxy",
+            "",
+            256,
+            AiPolicy::sensitive(),
+            "GitHub 下载的加速前缀（gh-proxy）。留空 = 跟随内置默认（镜像表里的 gh-proxy.com，仅镜像优先/国内判定时启用）；填 off 关闭；填一个 URL 前缀则覆盖它",
+        ))
         .with(SettingSpec::path(
             "java.selected_path",
             AiPolicy::sensitive(),
@@ -153,7 +165,10 @@ pub fn launcher_schema() -> SettingSchema {
             "java.auto_install",
             true,
             AiPolicy::audited(),
-            "缺 Java 时自动下载（D13 基准 JDK17）",
+            // M197：这句会进 AI 工具的 JSON Schema `description`（`catalog.rs` 直接塞 `spec.doc`），
+            // 所以必须写**实现真做的事**：缺 Java 时在 Java 页标出推荐版本并可一键安装，
+            // 不会自己开始下载（是否下载由用户点「安装」决定）。
+            "缺 Java 时在 Java 页标出推荐版本并可一键安装；不会自动下载",
         ))
         // D23：托管 JDK 的落点三模式。语义在 `game::java::location`：
         // 未设置（空串）→ 按 `core.data_mode` 派生（Portable 数据根 / Standard 系统目录）；