feat(ci): M62 —— Linux runtime-smoke（xvfb 真渲染一帧）+ 像素非空白门禁

「编得过」不等于「跑得起来」：CI 里 Linux/macOS 此前只 build + test，从未创建过真实图形窗口。
本 commit 补第一份 Linux 真实图形环境运行证据，并把它做成不可伪造的门禁。

- ci.yml 新增 runtime-smoke（ubuntu-latest）：装 xvfb + 软渲染/字体依赖，用 xvfb-run 起 GUI 进程，
  走既有 `--software-renderer --screenshot` 通道渲出一帧 PNG，再断言 ①退出码 0 ②PNG 宽高 > 0
  ③非空白（唯一色数 / 亮度σ / 强边缘占比三项过阈值），并把截图作为 artifact `runtime-smoke-screenshot` 上传。
  既有 fmt/clippy/test/build 四个 job 与触发器语义零改动（纯追加）。
- ci.yml 新增 runtime-smoke-macos 探针：只在 workflow_dispatch 触发且 continue-on-error。官方 macOS
  runner 处于 LaunchDaemon 上下文、无 WindowServer 会话，大概率建不了窗口；本机无 macOS 且 worker 禁
  push，这条路径尚无实测证据，故不拿它卡 PR 门禁（首跑结论决定升常驻或按 D26 归入 iced 重写）。
- packaging/check_screenshot.py：零第三方依赖的 PNG 解码（zlib + 反过滤 0~4）与三项指标判定，
  `--selftest` 打印阈值依据（人为纯色帧 1/0.0/0.0 必红，真实帧 342/19.45/0.00761 全过线）。
- packaging/linux-smoke-docker.sh：在 Docker 里复刻同一 job（TUNA apt/rustup 源），便于无 Linux 桌面的本地复跑。
- packaging/README.md §11：覆盖平台、阈值依据数值、本地复跑、已知跳过项、迁 iced 后需重新验证。

本机实测（Debian 12 容器 + xvfb + 软渲染）：退出码 0，PNG 1180x760，唯一色 342 / σ 19.45 / 强边缘 0.00761。
CI（Ubuntu 24.04 runner）首跑仍未验证——本 job 证明「能出图」，不证明视觉正确。

packaging/README.md

@@ -342,11 +342,57 @@ experimental / not part of this release matrix）——改一边必须同步另
    可执行文件头架构识别（真 x64 exe + 合成 PE/ELF/Mach-O 头）、以及把真 exe 的 PE 机器码改成 ARM64
    当 stub 走完命名/校验/归档全流程 —— 不假装能在 x64 上执行 arm64 二进制。
 
-## 11. 文件清单
+## 11. CI 运行时冒烟（Linux 真渲染一帧）
+
+「编得过」≠「跑得起来」。`ci.yml` 的 `runtime-smoke` job 在 `ubuntu-latest` 上补第一份**真实图形环境**
+运行证据：装 `xvfb`（虚拟 X 服务器）+ 软渲染依赖 + 字体，用 `xvfb-run` 把 GUI 进程拉起来，走既有的
+进程内截图通道（`--software-renderer --screenshot <png> --data-dir <tmp>`）渲出一帧 PNG，再对**像素本身**断言。
+
+三道断言（`packaging/check_screenshot.py` 退出码 0 才算过；artifact 名 `runtime-smoke-screenshot`）：
+① 进程退出码 0（截图通道失败会以非 0 退出，不会留下半张图）② PNG 存在、可解析、宽高 > 0
+③ **非空白**：唯一色数 / 亮度标准差 / 强边缘占比三项同时过阈值。
+
+为什么不能只看退出码：窗口起来了却什么都没画（字体库缺失、软渲染降级失败）同样是「退出码 0 + 一张合法 PNG」。
+阈值不凭空定，两组对照实测（`python packaging/check_screenshot.py --selftest` 可复现后三行）：
+
+| 样本 | 唯一色数 | 亮度σ | 强边缘占比 | 判定 |
+|------|---------|-------|-----------|------|
+| 本机 Docker 真截图（xvfb + 软渲染，1180x760，空数据目录） | 342 | 19.45 | 0.00761 | pass |
+| Windows 历史截图（M45/M52，同一界面深浅两套，1180x760） | 529~699 | 20.29~27.46 | 0.0186~0.0433 | pass |
+| 人为纯白 / 纯黑（空白帧） | 1 | 0.0 | 0.0 | fail |
+| 最弱内容（1 像素黑边框 + 一条中线） | 2 | 19.09 | 0.00169 | fail（卡唯一色数） |
+| **阈值** | ≥64 | ≥3.0 | ≥0.001 | — |
+
+阈值刻意落在「最弱内容也过不去、真实图有 5~7 倍余量」的位置：换主题/换字体不会误报，空白帧一定红。
+第三项用**强边缘占比**（水平相邻像素亮度差 ≥8 的比例）而不是平均亮度差：空数据目录的主界面 57% 是同一片
+底色，平均差被稀释到 0.4，强边缘只数真正的边界，跨主题稳定（同一界面深浅两套差 2 倍，仍都过线）。
+
+**覆盖哪个平台**：只有 Linux x64（X11 + Xvfb + 软渲染）。
+- **macOS**：`runtime-smoke-macos` 只在 `workflow_dispatch` 触发且 `continue-on-error: true`。官方 macOS
+  runner 处于 LaunchDaemon 上下文、无登录 WindowServer 会话，winit 大概率建不了窗口；本机没有 macOS
+  且 worker 禁 push，这条路径**尚无实测证据**，故不拿它卡 PR 门禁。首跑定去留：绿 → 删 `if` 与
+  `continue-on-error` 升常驻；红 → 错误原文进 progress，按 D26 归入 iced 重写再规划。
+- **Windows**：不新增 job——`--software-renderer --screenshot` 已在本机验收里多次人眼验证（M45/M52）。
+
+**本地复跑**：`bash packaging/linux-smoke-docker.sh . /tmp/ull-smoke`——用 Docker（`rust:1-bookworm` +
+TUNA 源装依赖）复刻同一套步骤，截图落在 `/tmp/ull-smoke/runtime-smoke.png`。诚实边界：本机容器是
+Debian 12（glibc 2.36）、官方 runner 是 Ubuntu 24.04（glibc 2.39），图形栈来源不同，容器绿只证明
+「这条通道能跑」，官方 runner 首跑仍要单独看。
+
+**已知跳过项**（D26 收窄，本条只做「框架无关的最小运行时冒烟」）：Wayland（`weston --headless`）、
+`--screenshot-page` 子页覆盖、gsettings 主题探测回退都不在本 job 内，随 iced 重写另行规划。
+
+**迁移风险**：本 job 绑死 Slint 的截图通道（`Window::take_snapshot`）。**UI 迁 iced 后必须重新验证**——
+iced 没有等价快照 API，届时要提供「离屏渲染出一帧 PNG」的等价通道，否则本 job 会静默退化成「能起进程」
+而不是「能出图」（它本来也只证明「能出图」，不证明视觉正确）。
+
+## 12. 文件清单
 
 | 文件 | 作用 | 行数上限 |
 |------|------|---------|
 | `packaging/README.md` | 本文：矩阵/依赖/版本/合规契约 | ≤400 |
 | `packaging/make_artifacts.py` | 打包与校验（本地 + CI 共用） | ≤400 |
 | `packaging/release-notes.md` | GitHub Release 说明模板（`{{VERSION}}` / `{{SUMS}}` 占位） | ≤400 |
+| `packaging/check_screenshot.py` | 截图非空白判定（CI 门禁 + 本地手动跑，零第三方依赖） | ≤400 |
+| `packaging/linux-smoke-docker.sh` | 本地复跑 `runtime-smoke`（Docker + xvfb） | ≤400 |
 | `.github/workflows/release.yml` | tag 触发 → 矩阵构建 → Release | ≤400 |