AskaEth/Unlucky-Launcher
1
0 Fork 0
Code Issues Pull Requests Actions 5 Packages Projects Releases Wiki Activity
480 Commits 3 Branches 5 Tags
30b61e2684c20d8f020d4642a252507386b8ccc7
Commit Graph
200 Commits
Author SHA1 Message Date
AskaEth 30b61e2684 fix(m174): 恢复被截断的 ai/outcome.rs —— dev 不编译
Guards / 依赖许可与来源（cargo-deny） (push) Canceled after 0s
Details
Guards / 文件行数 ≤400 守门 (push) Canceled after 0s
Details
Guards / unsafe 落点守门（集合必须恰好一个文件） (push) Canceled after 0s
Details
Guards / design 零第三方依赖守门 (push) Canceled after 0s
Details
Guards / presenter 零 UI 守门 (push) Canceled after 0s
Details
Guards / core 零 UI 守门 (push) Canceled after 0s
Details
Dev Guards / 架构与合规守门（同 main 口径） (push) Canceled after 0s
Details
Dev Guards / fmt (rustfmt --check) (push) Canceled after 0s
Details
Dev Guards / clippy (ubuntu) (push) Canceled after 0s
Details 
fd4a5f8（截图种子按档给各自自洽的 detail）把 outcome.rs 从 197 行截成 1 行，
而 ai/mod.rs 仍然 `pub mod outcome;` + `pub use outcome::ProbeResult;`，
dev 上 unlucky-app-iced 直接编不过。第三轮复审判 clean 时漏了这一点（它没真编译）。

先恢复 93d02ab 的完整实现让树能编（cargo check -p unlucky-app-iced --all-targets
退出码 0 已验）。fd4a5f8 想做的「种子按档给自洽 detail」没有生效，作为 follow-up 重做
——出图自洽是次要，树不许红是底线。
 2026-11-08 17:46:47 +08:00
AskaEth fd4a5f87d9 fix(m174): 截图种子的每档详情各写一句（证据自相矛盾） 
r3 出图时实测：`ULL_AI_STATE=failed-model` 那一张的分类是「端点通了，但没有这个模型」，
而详情行写着 `status 401 Unauthorized / Incorrect API key`——种子把 Auth 的详情复用给了
ModelNotFound/Failed。证据自相矛盾比没有证据更糟。

改：`ProbeResult::screenshot_seed` 按档给各自自洽的 detail（401 invalid_api_key / 404
model_not_found / Http client error / 8 s / 503）。种子仍然只伪造「结论是哪一档」，字段形状
照旧由 `from_outcome` 决定（r1 修的那条不动）。
 2026-11-08 17:16:51 +08:00
AskaEth 6f78e0cf7e fix(m174): 复审 r2 —— 写入口收敛成一个（语言入口同缺陷）+ 只读文件上保存不再谎报成功 
P2-1（同一类缺陷的第三个入口）：`persist_ui_language` 与 `persist` 共用同一份长生命
store、`save()` 同样整份落盘，但语言入口没先 `reload()` ⇒ 保存 AI 配置后 1 秒内切界面语言，
`ai.*` 连密钥一起被 1 秒前的旧快照盖掉，而且函数返回 true。

修法选「收敛成唯一写入口」而不是「再补一次 reload()」：
- 新文件 `presenter/src/settings_bridge/write.rs` 提供 `SettingsBridge::write_with(|store| Edit)`
  ——现读 → 改 → 落盘 → 刷 mtime，`Edit::{Changed,Unchanged,Rejected}` 表达闭包的结果，
  `WriteOutcome::{NoStorage,Unchanged,Saved,Skipped(reason),Failed}` 表达写的结果（只有 `Saved`
  算成功）。两个入口都改成传闭包，**入口自己再也拿不到「不重读的 save」**——下一个写入口不会
  再靠「记得」。r1 就是「补一次 reload」的做法，隔一个文件又漏了一次。

第二条（用户可见谎话）：`ai::store::save` 注释写着「落盘后再读一遍才算数」，实际返回的是内存
doc；`SettingStore::save` 还有 `Skipped(ReadOnly/Unreadable/NotDirty)` 一档（`Ok`，不是 `Err`），
旧代码 `.is_ok()` 会把它当成功 ⇒ 在「配置文件被更新版本启动器写过」的机器上什么都没写，界面报
「已保存」，重启回旧值。现在按 `SaveOutcome` 分支（只有 `Saved` 算成功，`Skipped` 给具名原因），
并且真的 `SettingStore::load` 一次从磁盘回读。

回归用例（都做了变异验证）：
- `settings_bridge_lang::tests::persisting_the_language_keeps_keys_another_writer_just_saved`
  （去掉 `write_with` 的 `reload()` ⇒ 红，输出即「语言写回把刚保存的密钥盖掉了」+ 被覆盖的文件）
- `settings_bridge_lang::tests::persisting_the_language_reports_false_when_the_file_is_read_only`
  （`persist_ui_language` 恒返回 true ⇒ 红）
- `ai::store::tests::read_only_config_is_reported_as_a_failure`（`save()` 恒返回 Ok ⇒ 红）
- `ai::store::tests::skip_reasons_are_named`
 2026-11-08 17:03:13 +08:00
AskaEth 93d02ab12b fix(m174): 复审 r1 五项 —— 失败带 target、密钥消息掩码、请求体断言、桥写前重读、结构化分类 
P2-1（假绿截图）：「测试连接」失败类也带上被请求的 target。`ProbeOutcome` 的五个失败变体
改成 `{ target, detail }`，`ProbeResult::from_outcome` 不再把端点/模型填成空串；view 另加一条
「目标为空就整行不画」的保险。**截图种子改走 `from_outcome`**（新增
`ProbeResult::screenshot_seed`）：种子只伪造「结论是哪一档」，字段形状由产品路径决定——上一版
手填字段，于是「失败态目标为空」只在产品上出现、截图永远看不见。

P2-2（明文进日志）：`Message::EditKey` 的载荷从 `String` 换成 `ai::Secret`（`Debug` 掩码）。
用例 `the_key_message_never_prints_the_key` 同时钉住裸消息与整条 `pages::Message` 漏斗。

P2-3（模型没被证上线）：假服务器按 `Content-Length` 读请求正文，新用例
`the_request_carries_the_configured_model` 断言正文里 `"model":"gpt-test"`。变异实测暴露出
一处真相：`ChatRequest.model` 被 `RigProvider::build_request` 静默忽略，线上模型来自
`ProviderConfig.model`（已另开 finding，并写进 probe 的注释）。

P2-4（数据丢失）：`SettingsBridge::persist` 写前 `store.reload()`。`SettingStore::save` 是整份
文档落盘，不重读就会拿 ≤1 秒前的旧快照盖掉刚写的 `ai.*`。两条回归用例：
`presenter::settings_bridge::persist_keeps_keys_another_writer_just_saved` 与 app-iced 侧的
`ai::store::appearance_write_back_keeps_the_ai_keys`（保存 AI → 改主题 → 值还在）。

P2-5（子串匹配）：删掉 `classify()`。分类改由 `brain::rig::map_error` 从 rig 0.45 的结构化
报告（`ErrorReport` 的 `kind` / `http_status` / `code`）翻译成新的 `ProviderFailure`
（`brain/provider/failure.rs`），`ProviderError` 因此带上 `kind`。`closed_port_is_unreachable`
不再依赖错误文本：连接被拒恒为 `ErrorKind::Http` ⇒ unreachable。防退化用例
`factory_error_carries_the_structured_classification` 断言「纯文本 401 不许被猜成 auth」。

顺带（400 行硬线）：`provider.rs` / `rig.rs` 的用例各自拆到 `provider/tests.rs` /
`rig/tests.rs`（纯搬移）。
 2026-11-08 16:20:34 +08:00
AskaEth 9cb605f316 feat(m174): 助手（AI）提供商配置真接线 + 「测试连接」 
设置页新增第 6 组「助手」：提供商四态 / 端点 base_url / 模型名 / API 密钥（默认掩码，
点「显示」才明文）+ 保存 + 测试连接，四类失败（鉴权 / 模型不存在 / 不可达 / 超时）各自
一句文案 + 目标与耗时。

取舍三条：

1. 读写走 `core::setting` 的 schema API（`SettingStore::load` 现读 → `set` → `save`），
   不经 `AppCommand::SetSetting`——那条指令是可序列化 DTO，`ai.api_key` 走它等于让明文进
   事件流/日志。与 `SettingsBridge::persist` 写外观是同一条做法。
2. 「测试连接」不另写一套 HTTP：`unlucky_cli::commands::agent::probe` 现读设置文件、
   交给 `RigProvider`（真 provider）发一次最小补全，带 8 秒时限；分类只看错误文本
   （rig 只给 Display），四类各有一条真 TCP 假服务器用例钉住。
3. `ProviderKind` 补 `from_setting` / `setting_value`：serde 的 `rename_all = snake_case`
   产出 `open_ai_compatible`，与 schema 的 `openai_compatible` 不是同一个词——这正是
   M174 之前「agent 侧一次都没读过设置」的根因。

守卫（都做变异验证，见 mission 报告）：密钥不出 `Debug`/`detail`/DTO；未配置时工厂构造
计数为 0；改完 base_url 后探测打到新地址；空/非法值被 schema 拦下且文件不动。

i18n：49 条中英各一（金表按 `Key::ALL` 位置插入）；presenter 的 ai_group 补上 schema 允许
的 `disabled` 选项与一行「已配置 N 字符」的只读状态（仍然不显示值）。
 2026-11-08 15:57:25 +08:00
AskaEth 037c68d0e6 fix(m173): 设置页滚动条并排在内容右侧（右侧恒留 10dp 槽） 
根因（读 iced 0.14 源码，不是猜）：`scrollable` 的竖直滚动条是浮层——
`iced_widget-0.14.2/src/scrollable.rs:1970-1980` 把轨道定位在
`bounds.right - (width.max(scroller_width) + 2*margin)`，而同文件 `:437` 给内容的横向
约束是整个视口宽（`Scrollbar::spacing` 默认 None ⇒ 右内边距恒 0）。本仓 6 轨 + 2×2 内缩
= 10dp，于是这 10dp 整条压在表单列内容上（1180 与 880 宽窗口都一样）。

改法：`components::scroll::vertical()` 在内容右侧恒留一条 `轨宽 + 2×margin` 的槽，轨道画在
槽里；`pages/settings/frame.rs::scroll` 改成一行转发。不采用 iced 的 `Scrollbar::spacing`，
因为它只在滑块可见时才预留（`scrollable.rs:478-500`），长/短页面切换内容会横跳 10dp。

数值（1180×760、100% DPI、tiny-skia、实测像素）：
- 卡片右缘 799 → 789（内容可用宽 424 → 414 = 424 − 10）；
- 滑块仍是 792..797（没有移动），与内容之间隔 2px 页面底色（= SCROLLBAR_MARGIN）；
- 长页面（外观组）与短页面（Java 组，无滑块）左边界 376、宽 414 **逐项相同**；
- 150% 缩放下 621px = 414×1.5、滑块 9px = 6×1.5、槽 15px = 10×1.5，同比例不重叠。

守卫（两条都是数值，不看图）：`components/scroll.rs` 与 `pages/settings/tests/scroll_fit.rs`
用 `Renderer = ()` 真跑 iced 的 `layout()`，断言「内容宽 == 容器宽 − 槽宽」且长/短两态一致；
把 `beside` 的 padding 改回 `Padding::ZERO`，4 条断言立刻红（424 vs 414）。
 2026-11-08 15:11:54 +08:00
AskaEth 460da9330d fix(m168): 复审 r3 四项 —— 说准 panic 档、给两条修复补守卫、时限算术补洞 
复审 r3（p2-4items / fix-then-merge）四项 + 顺手五条：

1. **P2-1 `catch_unwind` 在发布档是死代码，三处文档说了不成立的话**：
   `Cargo.toml` 的 `[profile.release]` 是 `panic = "abort"`（只有 `fast` 是 `unwind`），发布走
   `--release`。分两半写清楚：①**闸前移仍安全**——release 档 panic 是进程退出，不存在永久停在
   `Downloading`；`dev`/`test`/`fast` 档 `catch_unwind` 真会写 `Failed`；②但「下载失败不崩」在
   panic 这一支上对发布版**是反的**：注册/`load_font` panic ⇒ 启动器整体 abort，不是降级。
   `install.rs::plan_with_offline` 的文档（新增两档对照表）、`worker.rs` 模块文档与 `run` 注释全部
   按这个说法重写，不再用 `catch_unwind` 给「不崩」背书。

2. **P2-2 「启动不发起下载」这条修复没有守卫**：拆出纯函数
   `fonts::resolve_with_faces(setting, faces)`（`resolve_with` 只是 `system_faces()` 的包装），
   新增 `fonts::tests::resolving_fonts_never_starts_a_download`：给一张只有拉丁族的脸表
   （一定判 `NeedsDownload`），断言调用后 `install::status()` **不是** `Downloading`。
   变异（实跑）：把 `install::after_probe(cjk_report.strategy)` 加回 `resolve_with_faces` ⇒
   `求值字体**不许**发起下载（状态从 Unknown 变成了 Downloading { bytes: 17772300 }）`，红。

3. **P2-3 时限算术有洞 + `is_last` 没守卫**：改 `ATTEMPT_DEADLINE=60 s` / `TOTAL_DEADLINE=420 s`
   （原来 120/360 时，第一个候选吃掉 120 s 后最后一个只剩 240 s ⇒ 门槛 72.3 KiB/s，r1 实测
   67 KiB/s 需要 259 s，仍然必失败）。文档按新数值重算成一张表：第一个候选瞬间失败 ⇒ 420 s ⇒
   42.3 KiB/s；爬满 60 s 被切 ⇒ 360 s ⇒ 49.4 KiB/s，两者都低于实测最慢的 67 KiB/s。
   守卫：把同解的旧用例换成 **单候选 + attempt 300 ms / total 5 s**——有 `is_last` 时跑到总时限
   （≈5 s），没有时 300 ms 就切，两种实现可分辨。变异（实跑）：删掉 `is_last` ⇒
   `the_last_candidate_gets_the_whole_remaining_budget` 红在
   `最后一个候选该拿整个剩余预算（≈5 s）…452.6035ms`。

4. **P2-4(b)(c)**：①`install::tests` 里三处判据用例改用 `plan_with_offline(..., false)`，把进程级
   `OFFLINE` 从判据里摘出去（否则同进程里 `headless(screenshot_options())` 会把它置 true 且从不
   还原 ⇒ 结果依赖执行顺序）；②`fonts.rs` 注释改成真实机制——出图 harness 不经
   `App::with_presenter`、压根没有 `set_offline`，它零流量靠的是「`resolve_with` 不触发」。

顺手：①`sha256_mismatch…` 的 doc 改成「两层校验互备，本用例抓的是两层同时拆」（原来说
「拆任意一层就红」是假的）；②`font.rs` 文档「把 90 s 压成 300 ms」→ 60 s/420 s；③`install.rs` 与
`catalog/font_install.rs` 的「≈17 MB」→ 16.9；④`worker::start` 的裸 `thread::spawn` 换成
`Builder::spawn`，起不来就落 `Failed`（发布档 panic = abort，不能让它 panic）；线程体抽成 `run()`。

验证（`CARGO_TARGET_DIR=C:/Temp/ull-target/wt-168`，取退出码、不截断）：
- `cargo test -p unlucky-app-iced --lib` → **688 passed / 0 failed / 2 ignored / exit 0**
- `cargo test -p unlucky-core --all-targets` → **16 个 target / 1189 passed / 0 failed / exit 0**
- `cargo test -p unlucky-i18n` → 31 passed / 0 failed / exit 0
- `cargo clippy -p unlucky-i18n -p unlucky-core -p unlucky-app-iced --all-targets -- -D warnings` → exit 0
- `cargo fmt --all -- --check` 干净；全仓无文件 >400；本轮改动文件最大 378（`app-iced/src/fonts.rs`）
 2026-11-08 14:38:25 +08:00
AskaEth b9009c0e61 fix(m168): 复审 r2 三项 —— 夹具不再空转、启动不再替英文用户下载、时限不再判慢线下不完 
复审 r2（p2-3 / fix-then-merge）三项：

1. **P2-1 爬行服务端是空转的**（`font/tests/support.rs`，从 `tests.rs` 拆出守 400 行）：
   `seen.windows(4).any(|w| w == b"\n\n")` 拿 4 字节窗口比 2 字节切片 ⇒ `PartialEq` 先比长度 ⇒
   恒 false ⇒ 请求头永远读不完、一个字节不发，用例证明的其实只是「连接挂着被掐断」。上一版
   这里是 Python 生成时把 `\r\n` 落成了真实换行字节。现在两处都是转义写法
   （`b"\r\n\r\n"` + 完整 CRLF 响应头），并且**把「夹具真的在说话」变成断言**：
   `serve_trickle()` 返回 `TrickleProof { header, dripped }`，用例断言「真的发过头」「真的挤过
   字节」——否则夹具再坏一次也会绿。拆成两条用例：`a_trickling_candidate_is_cut_by_the_attempt_deadline`
   （[爬行, 正常]，300 ms 切断第一个后第二个成功，0.38 s）与
   `the_total_deadline_cuts_a_single_crawling_candidate`（单候选 + 400 ms 总预算）。
   变异证明：把服务端改成「一个字节都不发」⇒ 两条用例红在「爬行服务端必须真的发出响应头」。

2. **P2-2 启动替英文用户下 17 MiB（真行为 bug）**：
   - `fonts::resolve_with` **不再触发下载**（启动那一拍只报告判据）。唯一的触发点收在
     `fonts::cjk_for`（`ui/lang.rs::log_cjk`），那一拍的 `setting` 与 `LangChoice` 同源
     （ULL_LANG > 配置 > 系统 locale）= 「界面实际用哪种语言」。
   - `plan` 把 `is_downloading()` / `Ready` 的闸提到**所有策略之前**：上一版只在 `NeedsDownload`
     分支里，"下载中 + Unprobeable" 会把状态改回「无法探测」而线程还在飞，下完又翻回「已就绪」。
     当时那条理由（「否则界面停在正在下载」）只对僵死成立 ⇒ worker 现在用 `catch_unwind`
     兜底「任何 panic 都写终态」，闸才敢前移。
   - 出图通道：新增 `install::set_offline(true)`（`App::with_presenter` 在
     `options.screenshot.is_some()` 时调），`plan_with_offline` 在 offline 下永不 `Start`。
     于是 `pages/harness/app.rs` 与 `--screenshot` 都不会在 zh-locale 无字体机器上真下 17 MiB。
   - 被钉住的旧判据（`Unprobeable + Downloading ⇒ Apply`）改成 `Skip` 并写明旧行为为什么是错的；
     新增 `every_strategy_skips_while_a_download_is_in_flight`（四策略打表）与
     `the_screenshot_channel_never_starts_a_download`。

3. **P2-3 90 s 单次上限把「慢但能下完」变永久失败**：改 `ATTEMPT_DEADLINE=120 s` /
   `TOTAL_DEADLINE=360 s`，并且**最后一个候选拿整个剩余总预算**（前 n-1 个仍 `min(单次, 剩余)`）。
   算账写在常量文档里：17 772 300 B / 360 s ≈ 49 KB/s，比 r1 实测最慢那条 IPv6（67~77 KB/s）
   还低一档 ⇒ 慢而能下完的线路仍有一次成功机会；健康线路（1.1~16.6 s）在第一/第二个候选就结束。
   代价（最坏 6 分钟）也是刻意取舍，写在同一处。

顺手：`i18n::CjkFont::source` 的「尚未钉死」改成指向 `Source::Pinned`；`clock.rs` 与
`general_section.rs` 注释里的 17.0 MB → 16.9 MB。

验证（`CARGO_TARGET_DIR=C:/Temp/ull-target/wt-168`，全量重编；取退出码，不截断）：
- `cargo test -p unlucky-core --all-targets` → **16 个 target / 1189 passed / 0 failed / exit 0**
  （lib 625 + setting 115 + 其余 14 个）
- `cargo test -p unlucky-i18n` → 31 passed / 0 failed / exit 0
- `cargo test -p unlucky-app-iced`（含 `no_hardcoded_tokens` integration）→ **693 passed / 0 failed / exit 0**
- `cargo clippy -p unlucky-i18n -p unlucky-core -p unlucky-app-iced --all-targets -- -D warnings` → exit 0
- `cargo fmt --all -- --check` 干净；全仓受检文件 ≤400（本分支最大 361）
 2026-11-08 14:38:25 +08:00
AskaEth 875b792206 fix(m168): 复审 r1 五项 —— 修红的 integration target、独立失败域、整体时限 
复审 r1（p1-1/fix-then-merge）五项全改：

1. **p1-1 CI 会红的 4 条 integration test**（`crates/core/tests/setting/`，我上一轮只跑了 `--lib`，
   scope 漏掉了覆盖 schema 版本号的目录式 target）：
   - `java_install_keys` / `isolation_keys` / `appearance_keys`：版本断言 1.6.0 → 1.7.0（M168 的
     `ui.font_cdn`），并写明「每加一批键推一次 minor 是纪律」。
   - `update_keys::a_read_only_launcher_config_never_retires_the_legacy_file`：夹具从**写死
     1.7.0** 改成 `launcher_version().minor + 1` 经 `SchemaRef::url()` 生成。写死数字的版本一推
     这条守卫就变成「同版本」⇒ 文件可写 ⇒ 迁移真的执行 ⇒ 旧文件被退役，而断言还绿着（用户数据
     守卫静默失效）。相对推导不会过期。
2. **p2-1 备用镜像不备用**：`cdn` 与 `fastly` 同属 Fastly（都 CNAME 到 jsdelivr.map.fastly.net），
   换掉。现在首选 `gcore.jsdelivr.net`（Cloudflare，独立失败域），二选 `cdn.jsdelivr.net`
   （Fastly）。注释里放了实测表（本机 + 复审机两份数据、字节数、sha256、IPv6 慢路径），
   并写清排序依据（Fastly 侧 IPv6 实测 67 KB/s ⇒ 丢掉 4 分钟；Cloudflare 侧两次都完整下完）。
3. **p2-2 整体时限**：`core::download::font` 新增 `ATTEMPT_DEADLINE = 90 s` /
   `TOTAL_DEADLINE = 180 s`，落在本模块自己的候选循环里（不动引擎全体语义）：每次尝试
   `min(单次上限, 剩余总预算)`，超时归 `Network` 档。新增守卫
   `a_trickling_connection_is_cut_by_the_deadline`（回环服务端每 100 ms 挤 1 字节、预算 300 ms）。
   顺带修掉一个真 bug：`tokio::time::timeout` 在运行时外构造会 panic（5 条既有用例当场抓到），
   现在整段包进 `block_on(async { … })`。UI 文案改成「网络不通或太慢（超时）」，不校验失败混。
4. **p2-3 说 `Source::PendingPin` 的两处**：`fonts/cjk.rs` 的模块文档已改；`ui/lang.rs::log_cjk`
   那句「D28 的下载通道还是 PendingPin」（在下载已发起之后打印，等于当面否定本功能）改成
   「已按 D28 发起下载，见 [font] cjk-download … 与设置页那一行」。全仓再扫，只剩注释里的历史说明。
5. **p2-4 假守卫**：判据抽成纯函数 `install::plan(strategy, current) -> Step`（`Skip` / `Apply` /
   `Start`），`after_probe` 只执行。旧的空转用例换成打真判据的打表用例；变异证明：删掉
   `Skip` 那一臂 ⇒ `a_started_or_finished_install_is_not_restarted` 红（已实跑）。

次要项也一并处理：`from_cache` 改成**本次是否真的命中缓存**（`CdnFetcher::was_cached()`，
`has_cached()` 降级为诊断字段 `cache_present=`）；`FontSpec` 的 URL 口径收紧为「非回环必须
https」（`is_acceptable_url` + 守卫）；`ui.font_cdn` 写进状态行 hint；文档里的 17.0 MB → 16.9 MB。
`download/font.rs` 拆出 `font/spec.rs` 守 400 行。

验证（这台机器上单个 800 MB 测试 exe 链接要 10 分钟，链接期间文件被 Defender 扫描，故耗时很长）：
- `cargo test -p unlucky-core --all-targets` → **1188 passed / 0 failed**（16 个 target，含
  `setting` 那个 115 条、上一轮红 4 条的 integration target）
- `cargo test -p unlucky-i18n` → 31 passed / 0 failed
- `cargo test -p unlucky-app-iced --lib` → 685 passed / 0 failed
- `cargo clippy -p unlucky-i18n -p unlucky-core -p unlucky-app-iced --all-targets -- -D warnings` → 干净
- `cargo fmt --all -- --check` → 干净；全仓受检文件行数最大 388（<400）
 2026-11-08 14:38:23 +08:00
AskaEth 449ded2cb7 feat(m168): 中文字体 CDN 下载真接线（D28 后半） 
M167 调研的结论是「中文字体 CDN 下载至今未实装」：`i18n::font` 只有 `Fetcher` trait 与
假实现，`needs-download` 分支什么也不做。这条把它接成一条真链路。

判据 → 下载 → 注册（一条链，四个 crate 各管一段）：

* `unlucky_i18n::font`（零依赖）：`Source::Pinned { urls, sha256, bytes }` 把「下什么」
  钉死——google/fonts 的 `NotoSansSC[wght].ttf` 钉到 commit `2894aab…`（不是 `@main`），
  17 772 300 B / sha256 `a3041811…`。可变字体一份覆盖 wght 100–900，省掉三份静态子集的 25 MiB。
  `FetchError` 补第三档 `Disk`（网络 / 校验 / 磁盘，UI 按类别选词）。
* `unlucky_core::download::font`（新）：缓存命中 → 共享引擎 `download_bytes` → 复验（sha256 +
  sfnt 魔数 + 32 MiB 上限）→ 原子落盘。**复验在写盘之前**，所以「哈希不符」时盘上什么都没有；
  缓存按 `<sha256 前 16 位>` 命名，pin 一换自动换名。
* `unlucky_app_iced::fonts::{cdn,install}`（新）：`CdnFetcher` 把 pin 接进 core（`ui.font_cdn`
  可覆盖 URL，哈希不换）；`install` 是状态机 + 后台线程，只有 `NeedsDownload` 才起线程
  （英文 / 系统已有 / 探测不出一律零网络）。注册走 `iced_graphics::text::FontSystem::load_font`，
  族名从字体库读回来核对。失败只降级（继续用系统字体），不阻塞、不崩。
* 接入两条路径：`fonts::resolve_with`（启动）与 `fonts::cjk_for`（设置页切语言）都调
  `install::after_probe`；设置页 General 组多一行状态（下载中 / 完成 / 失败 / 无需下载 + 三类失败
  原因），文案进 catalog 金表（链尾追加，既有顺序不动）；`App::advance` 每秒比对状态快照后重建
  视图模型，所以那一行会自己刷新。

配置：新增 `ui.font_cdn`（`keys/font.rs`，schema 1.7.0），空 = 内置 jsDelivr 镜像（含备用边缘）。

守卫（三条都能变红，变异证明见报告）：core 侧 8 条（缓存不联网 / 哈希不符拒落盘 / HTML 不当字体
/ 坏缓存自愈 / 上限 / pin 校验），app 侧 6 条（三种闲置策略零调用、失败不注册、类别不串、幂等、
截图钉子、单行日志），页面侧 1 条（四态 × 两语言无缺译、不写假百分比）。

测试：`cargo test -p unlucky-i18n --lib` 31 绿；`-p unlucky-core --lib` 622 绿；
`-p unlucky-app-iced --lib` 684 绿；`cargo fmt --check` 干净。截图三张见报告。
 2026-11-08 14:38:23 +08:00
worker-updatee2e 28bf104041 fix(m169): 复审 r1 五条 p2 —— 守门开一个极窄 allowlist 并把 E2E 真接进 CI 
r1 复审（reviewer-updatee2e-r1，p2-5items，均不挡合并）逐条落地：

P2-3（本轮主产出）守门把「E2E 进 CI」这条路堵死了：`scan_enabling_text` 对 workflow 里任何该
feature 字面量判红，于是 `cargo test --release … --features update-test-source --test
update_e2e_test` 这种**合法调用**也红，自己登记的 follow-up 无法实现。现在：
- `ALLOWED_STEP = {workflow: .github/workflows/ci.yml, name: update-e2e,
  must_contain: --test update_e2e_test}`；按 `- name:` 把 workflow 切成步骤块再判，文件名 / 步骤名
  / 命令行**三者任一不符即红**（job 名不参与判据：改 job 名不该解锁新能力）。
- `ci.yml` **新增一个独立 job** `update-e2e`（windows-latest、timeout 45m、release 档；现有 job
  一行未动，纯追加 27 行）。只在 Windows：夹具的「真形状」是裸 `.exe` + `portable-exe`，Linux/macOS
  的真实产物是 `.tar.gz` + `portable-zip`（会被 `ensure_self_replaceable` 直接拒），在 ubuntu 上跑绿
  是假绿。不降 debug：`debug_assertions`/优化/panic 行为都不同。
- self-test 覆盖 allowlist 六向量（允许 / 换文件 / 换步骤名 / 缺 `--test` / 发布工作流 / ci 内另一步）。

P2-2 守门 8 条绕过：注释剥离改**引号感知**（`echo "#"; cargo …` 不再吃掉真命令）；扫描面扩到
`.github/actions/**`、`packaging/**` 递归子目录、`Makefile|justfile|Taskfile` 第二构建入口；
`--all-features` 之外补 `cargo hack --feature-powerset|--each-feature|--all`。大小写/下划线变体按
复审结论写进「抓不住」表（cargo feature 名敏感，写错编不过，不算漏检）。

P2-1 GUI 人工验收命令根本跑不起来：`-p unlucky-launcher-iced` 是 bin 名，改成 package 名
`-p unlucky-app-iced`（app-iced / presenter 两处，并写明 `-p` 只认 package）。

P2-5 夹具缺「不给 --dest 就 panic」的结构性保险：`Fixture::run` 加两条断言——`apply` 必带
`--dest`、`--dest` 不许等于本进程 exe 的 canonical 路径。抓得住「以后有人手写 fx.run(&["apply"])」，
抓不住「绕开 Fixture 直接调 unlucky_cli::run」。

P2-4 夹具「真形状」只在 Windows 成立：写进 `tests/support/update_e2e.rs` 文件头（说明 Linux 上跑绿
是假绿、CI 因此只在 Windows），**不改断言**。另按复审 ⑤ 补一行：失败路径三例抓不住回滚/备份
（摘要失败发生在 install_staged 之前），回滚靠正路备份断言 + install_cases。

跨卷替换 bug 按 tower 指令**未动**（另开 mission）。

验证：守门正式扫描 + self-test 绿（14 红 / 3 绿）；真仓注入 6 组（基线绿、步骤改名红、缺 --test 红、
搬进 release-build 红、改 --all-features 红、还原绿）；E2E debug 6 绿、**release 6 绿**；
`cargo clippy -p unlucky-cli --all-targets --features update-test-source -- -D warnings` 干净；
`cargo fmt --all -- --check` 干净；全仓 400 行扫描无超限（守门脚本 379 行、ci.yml 317 行）。

⚠ 未验：CI 里 E2E 真的跑起来这件事本机验不了——只证明 workflow 写对 + 守门放行，首次真实运行要等
推送后看 Actions。
 2026-11-08 11:12:11 +08:00
worker-updatee2e 24826c1a7c feat(m169): 更新通道端到端验收 —— 本地源改成编译期 feature，补一条可一键跑的 E2E + CI 守门 
§6 欠账：更新链路的 GUI 端从来没验过，而 M167 发现它根本没法在本机验——`ULL_UPDATE_DIR` 只在
`debug_assertions` 下生效，发布产物却是 release；`apply` 又会替换本进程 exe，于是没人敢跑。

判据换档（tower 定案 B）：`cfg!(debug_assertions)` → 编译期 cargo feature `update-test-source`
（core 定义，cli/presenter/app-iced 链式转发，**默认关**）。带 feature 的构建里还要两档环境变量
（`ULL_UPDATE_DIR` + `ULL_UPDATE_TEST_SOURCE=1`），只给路径什么都不会发生。官方发布二进制里那段
分支根本编不进来——README「release builds do not contain that path at all」这句因此继续为真。

- core: `job::default_source` 的本地源分支整段 `#[cfg(feature = "update-test-source")]`；判据抽成
  纯函数 `test_source_root_from` 并逐条单测（半开一律关、空路径、承认值只认 `1`）；
  `the_test_channel_is_a_compile_time_opt_in` 在**两种构建下各断各的**（带 feature ⇒ 换源；
  不带 ⇒ 环境变量设满也走 GitHub）。
- cli: `update check/apply` 的 `--json` 增加 `test_source` 字段（判据派生自实际用了哪个源，不是回读
  环境变量），人读输出多一行点名；`help.rs` 的 `ULL_UPDATE_DIR` 说明按新判据重写。
- 验收：`crates/cli/tests/update_e2e_test.rs` + `update_e2e_tamper_test.rs` + 共用夹具
  `tests/support/update_e2e.rs`。临时数据根 + 本地源 + 真形状清单（与 `manifest.golden.json` 同
  字段）+ 真 PE 产物（现场构建的 ull.exe 前 1 MiB，理由写在 `PAYLOAD_LIMIT`）。断言覆盖：发现
  新版本（source=file:… / test_source=true / size / notes）、下载 → 双检 → 就位（dest 字节、旧字节
  进备份、暂存无残留）、重复 apply 的幂等终态、篡改 sha256（清单撒谎 / 包体被换）与截断都必须
  拒绝且不动现有安装、修复后能重装。**永远带 `--dest`**：不带会真的改名换掉测试二进制。
- 守门：`packaging/check_test_source_off.py`（stdlib-only）扫 `.github/workflows/**`、
  `packaging/*.py|*.sh` 与各 `Cargo.toml` 的 `default`，任何一处打开 feature（或 `--all-features`）
  就红；`--self-test` 注入 5 条真实回归证明每条都会红。CI 挂在 release-guard.yml 两步。

验证（本机）：core update 单测 80 绿 / 带 feature 6 绿；E2E debug 6 绿；
`cargo test --release --features update-test-source` 6 绿（tower 要求 release 档验收）；
`cargo test -p unlucky-cli -p unlucky-presenter` 全绿；守门 self-test + 正式扫描绿（真注入后红）。

已知没验：真 GitHub Release 下载、GUI 点击与重启替换（人工）；跨卷替换（另开 finding）。
 2026-11-08 11:12:10 +08:00
AskaEth 1d2e84ed61 fix(m163): push tag 默认建稳定版（发布标记语义 + 0.2.3 bump） 
发布标记：`release.yml` 的 dispatch `prerelease` 默认值 true → false；`release-publish.yml`
的 create 路径不再塞 `--prerelease`（空串 = push tag ⇒ 稳定版），edit 路径行为不变（空串不碰
标记）。三种触发各创建什么改由 `packaging/release_marker.py` 一张表定义，流水线
`--emit-bash` 出来两个数组直接用，自己不再写 case——v0.2.2 至今 `releases/latest` 404 的根因
就是「push 默认 prerelease」这层叠上「dispatch 默认 true」。

守门：新增 `packaging/check_release_semantics.py`（CI 在 `.github/workflows/release-guard.yml`，
guards.yml 已 398 行不能再挂 job）：①标记表逐条对（push tag 的 create 不含 --prerelease）；
②把 `--emit-bash` 真灌进 bash 读回两个数组；③publish 的可执行内容里没有 --prerelease 字面量、
必须调用 emit-bash、两个数组各喂 create/edit；④release.yml 的 dispatch 默认值 == false（读
YAML 结构）。`--self-mutation` 注入三项真实回归（默认值改回 true / 塞回字面量 / 表里 push
改成预发布），断言每项都红、基线绿。

版本：0.2.2 → 0.2.3（workspace `[workspace.package]` + 五处 path 依赖 pin + Cargo.lock）。

文档：README 中英两版版本行改 0.2.3，并把本阶段能力补进现有章节（Modrinth 匿名在线内容源、
自更新与稳定通道、整合包导入逐文件决策、实例级启动参数），删掉「没有自动更新通道」「导入只有
两份全局策略」两条过期说法；`release-notes.md` 写 0.2.3 的真实更新摘要（保留 {{VERSION}} /
{{SUMS}}）；`packaging/README.md` 与 `docs/build-and-ci.md` 里「push 默认仍 prerelease」的旧口径
全部改掉。
 2026-11-07 18:56:01 +08:00
AskaEth c319f9dbfd fix(m162-rebase): M161 合入后三处越线文件回到 400 行内 
rebase 到 0241f79（M161）之后，两侧各加了几行，这三个文件同时越过 400 行硬线
（guards.yml::file-size 会红）。处理原则：**不删语义、只搬位置**。

- `app-iced/src/pages/content/parts.rs` 410 → **240**：把状态层（loading / empty / failed /
  offline / centered / status_body）搬到新文件 `pages/content/parts/status.rs`（200 行）。
  状态层本来就是「一屏只有一个」的独立东西，拆开后 parts.rs 只剩筛选条、列表、图标与排序文案。
- `presenter/src/dto/events.rs` 402 → **399**：`CoreEvent::ContentDetail` 的文档由 4 行压成 1 行
  （字段说明一个不少，`project` 是请求时选中的 id 这句保留）。
- `presenter/src/state.rs` 404 → **400**：把 `ContentFailed` / `ContentDetail` 两个事件的落地
  搬进 `state/content.rs`（`apply_content_failure` / `apply_content_detail`），state.rs 只剩
  一行投递——与既有的 `apply_content` 同一个形状。

`state/content.rs` 58 → 64（两个新方法），仍在 400 内。语义零改动：只是投递点换文件。
 2026-11-07 17:37:13 +08:00
AskaEth b394316df4 fix(m162-r1): 叶子成因穿出引擎 + 安装路径切 core 在线源 + 详情迟到结果闸门 
P1-1（p1-1items 的根因）：
- download/error.rs：`DownloadError` 增 `leaf: Option<DownloadErrorKind>` 与
  `effective_kind()`；`leaf_of()` 汇总规则只此一处：全 404 ⇒ NotFound、有
  Network/Timeout ⇒ Network、全 5xx ⇒ ServerError、混合按「网络错 > 5xx > 404」
  取最可诊断的那个（**不从 suppressed 文本猜状态码**）。
- download/bytes.rs：候选源循环收集逐源 kind，收尾时把叶子挂到 AllSourcesFailed 上。
- online/transport.rs：`From<DownloadError>` 改用 `effective_kind()`，于是
  NotFound/Server/Integrity 在生产路径可达（项目被删/id 拼错/限速不再画成「未联网」）。
- import/fetch.rs：新增 `FetchErrorKind::Offline`（真正的「没联网」）并与 Network 分开；
  `From<DownloadError>`/`From<OnlineError>` 都按叶子/大类映射。
- import/complete.rs：补全只在 `Offline` 时早停；404（真实 mrpack 大多托管在 CF CDN，
  Modrinth 必然 404）与 5xx 只影响那一条，不再掐掉整轮；注记「因未联网提前停止」因此
  只会在真断网时出现。

P2-1：presenter 安装路径不再自己拼 Modrinth URL / 自己解析 JSON——改用
`core::addon::online::Modrinth::versions` + `primary_file()` + `VersionFile::sha1/sha512`；
`HostTask::InstallDone.result` 改成 `Result<String, ContentFailure>`，
`InstallProgressView` 增 `failure_kind`（离线 ≠ 查无此项）。

P2-2：`app/update/content.rs` 把被详情方法抢走的「装入闸门」注释还回
`content_install_request`，详情方法只留自己那一行。

P2-3：`ContentState::apply_detail/fail_detail` 带上 project（事件与 HostTask 都携带请求时的
项目 id），迟到结果一律丢弃；`request_detail` 记下在飞项目，`detail_pending` 不再被迟到
结果清掉。

顺手项：`usable_hash` 让形状非法的那一档摘要被**丢弃**（sha512 仍校验，不再整条跳过；
两档都不可用才拒绝）；`digest_file` 的 IO 失败先删落盘文件再返回。i18n 的
ContentOfflineBody 改成不暗示「有缓存」的措辞（golden 同步）。

用例：download/error.rs 叶子四档 + effective_kind；online/tests/classify.rs 5 条
（AllSourcesFailed+leaf 404 ⇒ NotFound、无叶子 ⇒ NotConnected 保守、叶子一一映射、
单源自身 kind、导入侧 404≠Offline）；import_online 增「404 不停」「真离线才停」
（共 7 条）；download 增「sha1 形状非法仍用 sha512 校验成功」；presenter 增详情迟到闸门。
 2026-11-07 17:28:36 +08:00
AskaEth 81278f55af feat(m162): Modrinth 在线内容源（匿名）+ 远端条目按 sha512 补全 + 离线态 
core：新增 addon::online —— 按 Modrinth v2 真实形状建模（search facets / project /
project versions / version_file by hash），网络出口只有 Transport 一个 trait，生产实现
EngineTransport 走既有 DownloadEngine::download_bytes（零新依赖）；错误分大类，网络类
失败映射成 NotConnected（= 未联网），不再用空列表冒充「没有结果」。

core：online::download::download_verified —— sha1 交给引擎流式校验、sha512 落盘后复核
（download::HashAlgo 没有 Sha512，改它超出 scope，已登记 finding），不符/失败删文件重试，
最多 3 次尝试且不留半截文件。

core：远端条目补全 —— PackFetcher::modrinth_file_by_sha512（默认 Unsupported = 补不出），
import 管线与新增的 scan_pack_online 都会在「有 path 但缺 hashes.sha1」时按 sha512 反查；
补出的 sha1 走 M160 同一套 judge 与合并判定，补不出仍进 unknown_remote 计数（口径未改）。
DownloadEngineFetcher 改用 download_verified，FetchRequest 增 sha512。

presenter：Modrinth 检索/详情改由 core 的 online 客户端提供（不再自己拼 URL、不再读错
date_modified）；ContentFailure{kind} 取代裸字符串，无网 = Offline；新增
ContentDetailRequest/ContentDetail + LoadContentDetail 命令与 CoreEvent::ContentDetail 通道；
预检改走 scan_pack_online；内容库安装也走 download_verified（sha1+sha512）。

app-iced：Status::Offline 独立一态（未联网 ≠ 空列表 ≠ 普通失败），详情面板消费新 DTO
显示可用版本；选中项目即拉详情。i18n 新增 6 个键并同步金表。

测试：online 模块 24 个离线用例（录制 JSON + 假字节：搜索/详情/版本/按摘要反查/校验失败
即删/重试/离线分类/补全），import 侧 6 个（离线计数不变、补全后判冲突、补错摘要 ⇒ Failed），
presenter/app-iced 各补失败分类与详情状态机用例。
 2026-11-07 17:28:36 +08:00
AskaEth 79b796fd58 fix(m161-r1): 崩溃/静默失败不再冒充「启动进程失败」；补三处假绿的守卫 
复审 P1-1（用户可见假文案）：`LaunchEnd` 在 `failure == None`（跑起来之后崩的）时
临时造了 `Stage::Spawn + format!("exit {:?}")`，于是磁贴写「启动失败 · 启动游戏进程」、
详情页漏出 `exit Some(1)`、静默失败丢掉「exit 0 却没起来」，而同一时刻 Toast 说「崩溃」。
- 新增 `LaunchFailureCause{Stage|Crashed|SilentFailure}`（dto/launch_failure.rs），
  `LaunchFailureCause::of(outcome, failure, exit_code)` 是唯一组装点；`InstanceRuntime::Failed{cause}`。
  `LaunchFailureStage` 保持「只装装配阶段」（文档那句「崩溃是结局不是阶段」现在成立）。
- 界面：`InstancesFailed`（框架）+ `InstancesCrashed` + `InstancesSilentFailed`；
  删掉 `InstancesFailedStage`。退出码按数字出词，不再有 Debug 文本。
- 用例：presenter 断言**枚举变体**（三种形状逐条）、app 断言**具体句子**
  （「不许出现 Some(」「进程起来了不许说启动游戏进程」「静默失败要点出没起来」）。
  mock 夹具与 launch_state_tests 的期望值同步；launch-error 三张图重拍。

复审 P2-1（`convert::failure_stage` 零覆盖）：新增 `convert/stage_tests.rs` 5 条（三档 +
「既没回滚也没宣称干净」+ 非致命无阶段 + `failed_report_with` ⇒ NotStarted）。
变异实测：改成恒 `RolledBack` ⇒ 3 条红。

复审 P2-2（矮窗口用例的算式三个数全错、`body_height` 零测试）：用例改成直接调
`frame::body_height`，chrome 从 `Ui::metrics` + `WidthClass::gutter` 现取，并把门槛与真实
chrome 绑死（chrome+MIN ⇒ Split、-1px ⇒ ScrollWhole）；新增 `frame` 自己的 `body_height` 用例。
变异实测：`2.0 * gutter` → `gutter` ⇒ 2 条红。

复审 P2-3（源指纹闸门 / `Refused` 零覆盖）：新增两条 core 用例——闸门（原地留着 prefs.json
+ 预先写好的同源收据 ⇒ Nothing 且收据未被重写，反证：源变了允许重放）、`Refused`
（`$schema` 1.7.0 ⇒ ReadOnly ⇒ 不动旧文件、不写收据、理由含「不可写」）。
变异实测：删闸门 ⇒ 1 条红；`can_save` 守卫改 `if false` ⇒ 1 条红。

顺手收：
- CLI `pack import` 那句「已整包回滚」也按三档出词（`RollbackStage` + `rollback_line`），
  加 2 条单测。CLI 不依赖 presenter，判定暂与 presenter 各一份 → 已 file finding 建议下沉 core。
- 设置页 `status_text()` 抽出 applying 档，用例断言「正在安装…」且非错误色。

金表：新 key 加在 `golden.rs`（81 行），未动 `golden/tail.rs`（211 行），避免与 M162 的拆分冲突。
 2026-11-07 17:01:13 +08:00
AskaEth 6804b0ad1d docs(m161): 内容库筛选条「会自动换行」的注释改成如实描述（只改注释，不动行为） 2026-11-07 15:05:31 +08:00
AskaEth 03741ecd2d fix(m161): 收更新键/按钮/矮窗口/启动错误/导入结果五笔债 
① update.auto_check / update.channel 登记进 core setting schema（1.6.0）
   - 新增 setting/keys/update.rs（两键 + UPDATE_CHANNELS，只允许 stable）；
     SettingSchema 加 with_all 供域键表批量登记。
   - 新增 setting/update_prefs.rs：cache/update/prefs.json → launcher.json 的一次性迁移。
     四条硬约束：源指纹闸门（幂等）、不丢 false、新值胜出、旧文件改名 .migrated 后不再被读；
     主配置不可写时不动旧文件。收据 config/update-prefs-migration.json。
   - presenter Runtime 建会话时迁一次并把结局留在 migration()；prefs 字段换成
     auto_check + 每次派发从主配置读 channel（不再硬编码 Channel::Stable）。
     保留旧字段 auto_check 的真实来源（原有测试 cases 会断言）。
   - CLI config get/set/dump 先跑同一次迁移（幂等），输出里给 migration 段与收据路径。

② presenter/dto/events.rs 的「本次会话不再弹提示条」注释改成真实语义
   （记的是版本号：同版本压住、更高版本照弹、手动检查清掉）。

③ 检查/下载进行中按钮禁用：pages/update/busy.rs 的 busy/can_check/can_apply；
   设置页两颗按钮改画禁用（不是消失），app 层 on_update_action 再挡一道
   （忙碌时 CheckNow/Apply 不派发）；新增两条用例（含「忙完恢回可点」）。

④ 内容库低高度：content_layout::MIN_BODY_HEIGHT=460 + BodyMode（按固定件+三整行算出来，
   用例守着算式）；frame::body_height 从 Ui::metrics 算正文可用高，pages::Model 带 window_height。
   ≥460 列表自己滚；<460 主列整列一个滚动条、列表按自然高度铺开。

⑤ 启动错误文案本地化：presenter 删掉 launch_summary / 「启动失败：」前缀 / 五条中文阶段前缀，
   改发 LaunchFailureView{stage,detail}；LaunchFinished 改带 exit_code/uptime_ms/failure，
   Toast 由 app 层按 i18n key 现求（与 install_cancelled 同构）。InstancesFailed 拆成
   InstancesFailedStage（列表单行）+ LaunchStageFailed（详情/Toast 全文）。

⑥ 导入结果块：ImportReportView 加 failure_stage（NotStarted/RolledBack/RollbackIncomplete，
   由 core 的 rollback 机器位推出）；标题、图标、底色三处分档，预检失败不再说「已回滚」。

顺带：六处注释/文档漂移（update.rs 的分工表与偏好落点、pack 的「已整包回滚」、
build_request 的 Errors、settings/update 的按钮禁用说明等），
以及为守 400 行把 update/cli-config/core-keys/presenter-dto/presenter-launch/i18n-golden
里贴线或越线的文件按模块拆开（纯搬移，行为不变）。
 2026-11-07 15:02:13 +08:00
worker-modpackpick d568cc6f37 fix(m160-r1): 预检失败不再静默空转 + 写侧条目数闸 + 判据归一 + 冲突页对齐 
复审 reviewer-modpackpick-r1（p2-1items / fix-then-merge）的返工。

P2-1 预检失败被吞掉（错误呈现回归）
- host::import::spawn_scan 在 `scan.error.is_some()` 时**再发一条 PackEvent::Report**
  （`convert::failed_report_of` 把 core 的 ImportError 含 hint 逐字段搬过去），于是页面回到
  既有的「致命 —— 已回滚」结果块，不再落回入口态。
- convert 里把失败报告的组装收成一处（`failed_report` / `failed_report_of` → `failed_report_with`）。
- 证据：`a_failed_scan_still_reaches_the_screen_as_a_report` 断言**事件序列**
  `["scan-with-error", "report-failed"]` + 报告里 code/message 与预检同源（MultiMC
  `formatVersion: 2`，detect 认得、read 才失败）；`a_clean_scan_does_not_emit_a_report` 是对照。
  变异验证：删掉那条 Report 发送 ⇒ 该用例红。

P3-1 写侧补条目数闸
- `WriteLimits` 增加 `entries`（生产口径 = `PACK_MAX_ENTRIES`）；`preflight` 在**读盘之前**
  按「清单 1 条 + 覆盖文件 N 条」判 `count > limit`。
- 证据：`the_write_side_refuses_a_pack_over_the_unified_entry_count`（20001 条声明只放 1 个
  真文件 ⇒ 报 `pack_limits` 而不是 `pack_io`，即闸在读盘前）、
  `the_entry_count_gate_is_the_same_number_as_the_read_side`（两侧同一个数）。
  变异验证：注释掉 `guard_entries` 调用 ⇒ 前一条红。

P3-2 「内容相同」判据归一
- 删掉 `scan::judge` 里与 `merge::decide` 重复的 `disk.sha1 == pack_sha1` 早退，只留
  `decide().reason?`；两处文档互相指路（`merge.rs` 注明这是唯一判据）。
- 变异验证：把 `decide` 的相同分支改成"冲突" ⇒ **8 条**红（含 4 条 scan 用例与 merge 单测）。

P3-3/P3-4 口径与注释
- `TogglePick` 注释改成与代码一致（保留项留在表里，靠 `decisions()` 过滤）。
- `unknown_remote` 的计数与文案统一：判不了的两种来路（补全前没路径 / 有路径但缺 sha1）都算，
  注记载明两者；新增 `a_remote_entry_with_a_path_but_no_sha1_is_counted_as_unjudgeable`。

视觉（tower 看图给的三条）
- 冲突行两种取值都改成**同几何的 pill**（保留=描边、覆盖=tonal），各自右对齐进同宽度的槽 ⇒
  右边缘同一条线；路径列吃 `Fill` 把槽推到行右缘。
- 列表与动作行之间加 8dp 呼吸；分页行的 Previous/Next 用 `Space::Fill` 顶到右端，
  与内容列对齐（不再是右侧一大片留白）。
- 重新出图：C:/Temp/m160-shots/pick-light.png / pick-dark.png。

顺手
- `format/write.rs` 的单测拆到 `format/write/tests.rs`（纯搬移，守 400 行），并把里面两个
  自己拼 `%TEMP%` 路径的用例改用 `TempRoot`（断言红了也不留垃圾）。
- `import_decisions.rs` 的夹具拆到 `tests/decisions_support.rs`（纯搬移，守 400 行）。

证据：fmt 干净、clippy -D warnings 干净、`cargo test --workspace --all-targets -j 4`
= 2512 passed / 0 failed / **4 ignored**（51 个 test binary）；跑前/跑后 `%TEMP%` 的
`ull-pack-*` 计数 1922→1922、`ull-pack-*-zip64-*` 0→0、`ull-import-*` 1360→1360（增量 0），
df 106G→106G 余量不变。
 2026-11-07 13:52:44 +08:00
worker-modpackpick 4defc41e8d feat(m160): 整合包逐文件覆盖/保留决策 + 导入前冲突清单 + 限额口径统一 
主任务（逐文件覆盖/保留）
- core: 新增 import/scan.rs —— 只读预检产出「冲突清单」（目标已存在且 SHA-1 不同才进），
  逐条给路径/来源/两侧体积与哈希；用户删过的、内容相同的、被叠层遮蔽的一律不打扰。
- core: 新增 import/decision.rs —— ConflictDecisions（整批档 + 逐项表，逐项优先），
  缺省档恒为 KeepUser；ImportRequest.conflict_policy 改由它承载，CLI 调用点不变。
- core: phase.rs 的 settle 按 path 取决策；非冲突路径不受决策影响。
- presenter: ImportScanView / ImportConflictView / ConflictDecisionsView（全部保留 /
  全部覆盖 / 逐项{default,items}）+ PackCommand::Scan / PackEvent::Scan；host 新增只读
  spawn_scan，且新实例路径不再提前建目录（target_of 只算路径，prepare_target 才建）。
- app-iced: 导入前冲突清单页（分页 40 条/页、三入口、计数摘要、确认/取消、两行式行布局）；
  预检干净时直接往下导，不打扰用户。出图见 C:/Temp/m160-shots/{pick-light,pick-dark}.png。
- i18n: 新增 18 条 en/zh 文案 + 更新「两者都留」那条口径说明。

限额口径统一
- pack/archive/limits.rs 成为唯一来源：PACK_MAX_ENTRIES/UNCOMPRESSED_BYTES/ENTRY_BYTES
  （20k / 512 MiB / 64 MiB）；读侧 PackLimits::default 与写侧 WriteLimits::production 同源。
- 写侧不再直接用 zip::ZIP64_BYTES_THR；新增单条目闸，于是「能导出的包一定能导入」。
  不等式在 pack/tests/limits.rs 里用 const 断言钉死。

测试临时物泄漏（塔台追加项）
- addon/temp.rs：TempRoot —— Drop 即删（panic 展开同样删），Deref/AsRef 到落点路径，
  under()/at() 支持"子树落点、删父根"。形状照 core::update::tests::support::TempDir。
- addon::pack 与 addon::tests 两族全部改用 TempRoot（含 fixtures::Fixture 持守卫、
  multimc/fabric_instance 等返回守卫）；4 GiB 稀疏文件的语义一字未改，只改"谁负责删"。
- 自证：pack/tests/mod.rs 三条用例（drop 删 / panic 也删 / 子树删父根）。

测试
- import_decisions.rs（11 例）：预检清单、不打扰、逐项决策后的最终文件集、基线记包内哈希。
- roundtrip_three.rs（2 例）：叠层 + 冲突夹具 import→export→import 三轮文件集逐字节一致，
  以及「选保留就按设计分叉」的反向证据。
- pack/tests/limits.rs（5 例）：单条/总量边界、读侧用同一批常量、写出即可读回。

证据：cargo fmt --check 干净；cargo clippy --workspace --all-targets -D warnings 干净；
cargo test --workspace --all-targets -j 4 → 2507 passed / 0 failed（51 个 test binary）。
 2026-11-07 13:52:43 +08:00
AskaEth 04ac90911e fix(m159): r1 复审返工 —— parse.rs 拆出子模块 + 五条 P3 真问题 
按独立复审 `reviewer-updategui-r1` 的 p1-1 / fix-then-merge 返工。

P1-1（挡门）
- `crates/cli/src/cli/parse.rs` 406 → **382** 行：`fn parse_update` 搬到
  `crates/cli/src/cli/parse/update.rs`（与 `parse/{accounts,agent,instances}.rs` 同形状）。
  全仓 `crates/**/*.rs` 最大仍是 400（`design/tests/card_neutral.rs` 等三处，未越线）。
  上一轮报告里「所有改动文件都在 400 行内」那句是错的，已在 r2 报告里更正。

P3-6 `Job::apply` 不查包形态
- 新增 `self_replaceable(format)`（只有 `PortableExe` 允许）+ `ensure_self_replaceable`，
  **挡在取包之前**；错误分类 `InvalidManifest`（发布侧挂错，换源/重试无用）。
  比复审建议的 `needs_installer()` 更严：`portable-zip`/`appimage` 同样不能原地当 exe。
- 用例：`crates/core/src/update/tests/job_cases.rs`（msi/zip 被拒 + 目标零改动 + 暂存目录
  没被建 + 便携 exe 整环成功 + Nothing 不碰目标 + 闸门的源码锚点）。

P3-7 `ULL_UPDATE_DIR` 生产可用
- `default_source` 改走 `local_dir_override()`：`if !cfg!(debug_assertions) { return None }`，
  发布构建里整段被常量折叠掉（这条路径在 release 二进制里不存在）。判据与三档取舍写在
  `job.rs` 的文档表里（为什么不用 CLI 参数、为什么不用运行期开关）。

P3-1「忽略这个版本」语义
- `UpdateView.dismissed: bool` → `skipped: Option<String>`（记**版本号**）：忽略 0.2.3 之后
  同一次运行里冒出 0.2.4 **照常提示**；手动检查清空（`begin_check(manual)`），静默检查不清。
  文案保持「忽略这个版本」。presenter / app 侧视图模型 / 两处用例同步。

P3-3 CLI `--json` 失败信封缺结构化分类
- `CliError` 加 `detail`（`Option<Box<Value>>`，装箱避免 `result_large_err`）+ `with_detail`，
  `to_json` 输出 `error.detail`；`commands/update.rs` 的 failure 填
  `{"kind": core 分类 id, "retryable": 可重试位}`。
- 上一轮报告里引的 `{"kind":"digest_mismatch"}` 形状确实不存在（那是 CLI 的 user/internal），
  r2 报告换成了实机 dump。

P3-4 update 命令没有解析测试
- `crates/cli/tests/parse_test.rs`：`update_subcommands`（check / apply / `--dest` 两种写法）
  + `update_usage_errors`（无子命令 / 未知子命令 / 多余位置参数 / 缺少取值 / 未知选项）；
  `help_text_covers_every_command` 的 topic 列表补 `"update"`。

P3-5 `install.rs` 模块文档与实测矛盾
- 改成「可以改名、不能覆盖/删除」，写明 M159 在 Windows 真机验过运行中的 exe 自替换，
  并提醒别再照旧文档去设计「退出自身 → 另一个进程搬运」的双进程方案。

顺手（复审 P3-2/P3-8 里低成本的两条）
- 设置页补「下载中」态（`SettingsUpdateApplying` 不再是死 key，下载期间不画「下载并安装」）；
  渠道显示改读 `update.channel`（`stable` 走 key，其它原样）；删掉从未使用的
  `UpdateBannerRestartLater`（catalog + 金表同步，29 条 key 全部有引用）。
- `adopt` 只让**检查**刷新 `checked_at`（应用回报不再冒充「上次检查」）；
  `UpdateView::default()` 的 `current_version` 取本进程版本号（mock 下不再空白）。

门禁（`CARGO_TARGET_DIR=C:/Temp/ull-target/wt-159`）：fmt 绿、clippy -D warnings 绿、
`cargo test --workspace --all-targets --no-fail-fast -j 4` **exit 0**（51 个测试二进制全 ok，
`core::addon::pack` 未被 skip）。该族用例复现了复审记的泄漏：一次全量在 `/tmp` 留 72 个
`ull-pack-*`（`/tmp` 149M → 8853M），跑完已 `rm -rf` 清回 150M。
 2026-11-07 13:03:18 +08:00
AskaEth 1c8f6aa1b3 feat(m159): 自更新 GUI 客户端接线 + CLI update check/apply 同一内核 
D50 的「检查 → 提示 → 可拒绝 → 下载校验 → 下一次启动生效」整环接线，GUI 与
CLI 共用 core 的一条内核（`update::Job`），并顺带修掉 M157 最后一轮复审的三处 P3。

内核（core::update）
- 新增 job.rs：`Job { source, target, staging, dest }` + `check` / `apply`（复查 →
  取包 → 长度/SHA256 双检 → 原子替换），`default_source`（GitHub，`ULL_UPDATE_DIR`
  可切本地目录夹具）、`process_dest`、`staging_dir`。
- `mod.rs` 导出 job 一族；`source.rs` 为 `Box<dyn UpdateSource>` 补 trait 转发
  （壳层要运行期选源，`UpdateChecker` 是泛型的）。

presenter（宿主通道）
- `dto/update.rs`：`UpdateView` / `UpdateOutcome`（Idle/Checking/UpToDate/Available/
  MissingArtifact/Failed 六态，**失败与最新不折叠**）/ `UpdateBanner` 优先级判据。
- `host/update.rs`：Factory（生产 GitHub / 单测本地目录）+ core 结论 → DTO 的唯一映射
  + 更新域偏好（`cache/update/prefs.json`）。
- `host/update_state.rs`：Runtime（会话状态机：begin_check/adopt/begin_apply/dismiss/
  set_auto_check）+ `CoreHost` 派发与后台线程。
- `AppCommand::{CheckUpdate, ApplyUpdate, DismissUpdate, SetUpdateAutoCheck}`、
  `CoreEvent::Update`、`AppState.update`；`refresh_all` 按开关派发静默检查。

app-iced
- 设置页新增第 5 组「更新」（当前版本 / 渠道 / 自动检查开关 / 立即检查 / 上次检查与
  结果 / 下载并安装 / 就位后立即重启），走 `settings::view` 的 `update` 形参 + 按下标
  分发（与 M106 语言行同一取舍）。
- 顶部提示条（每页可见）：有新版本（版本号 + 体积 + 说明摘要，可安装/可忽略）、下载中、
  已就位（立即重启）；静默检查失败**不**弹条（原因进设置页）。
- `pages::Message::Update(UpdateAction)` → `app/update/update_action.rs`；「立即重启」
  拉同参数的新进程后退出（截图通道不重启）。

CLI
- `ull update check` / `ull update apply [--dest <path>]`：复用同一 `Job`；四种结论分开
  报（`--json` 的 `status`），失败退出码 1（`update_check_failed` / `update_apply_failed`）。

i18n
- 新增 `catalog/update.rs`（30 条，链尾追加）+ 金表对应 30 行。

M157 复审 P3 三件
- `app/update/instances.rs` 模块文档改成「清脏的唯一时机是回程快照等于表单」。
- `pages/instances/demo.rs` 的 `demo_form` 注释改成现状（两个参数框早已是单行输入）。
- `pages/instances/launch_args.rs`：门限不满足时只灰 `opengl`/`vulkan`，`default` 仍可点
  （它是「不下发」的安全档）；判据抽成 `backend_chip_enabled` 并补 3 条用例。浅色 + 灰化
  两张图：`C:/Temp/m159-shots/instances-launch-args-{light,gated}.png`。

顺带：harness 支持 `ULL_SETTINGS_GROUP=<下标>`（拍第 5 组的验收图需要它）。

验证：cargo fmt --check 绿；cargo clippy --workspace --all-targets -D warnings 绿；
cargo test --workspace --all-targets 51 个测试二进制全绿（唯一例外：core::addon::pack
一族要造 4 GiB 稀疏文件，本机磁盘 99% 满 ⇒ StorageFull，与本次改动无关）；CLI 用本地
目录夹具跑通「发现 9.9.9 → 下载 → 校验 → 替换运行中的 exe → 备份留旧文件」，并验证
摘要不符时拒绝应用、目标文件零改动、暂存目录零残留。
 2026-11-07 12:09:42 +08:00
AskaEth ee67965b9b fix(m157): r4 修复未收集的周快照用例 + 两处 clippy 红，并补整环回归（复审 p1-2） 
P1-1 crates/core/src/launch/overrides/tests.rs：modded_weekly_snapshot_needs_the_root_version_for_the_gate 原先写在 backend_allowed_combines_capability_and_threshold 函数体内（unnameable_test_items，永不执行）。移到模块层；移动后首次真正执行暴露出用例自身的 EmptyJavaPath（AdapterOptions 默认 java 为空），补 JavaSelection 后绿。--list 现在 10 条 launch::overrides::tests::（含该名字）。

P1-2 clippy -D warnings 两处：cli/commands/instance_launch.rs needless_borrows_for_generic_args（去 &）；presenter/mock_data.rs items_after_test_module（mock_launch 移到 mod tests 之前）。

P3-a 新增整环回归 app/tests/instances_save_loop.rs：真 Message → dispatch → 后端回错误 Toast → pump → refresh_view → sync_launch_form，断言 4g 草稿与脏标记都还在。
P3-b LaunchForm::matches 内存改按数值比（解析失败退文本），补 memory_is_compared_by_value_not_by_text（04096 / +4096 / 清空三档）。
P3-c 门槛文案不再在 catalog 硬编码 26.2：InstancesLaunchBackendGated 改用 {min} 占位符，页面从 LaunchFacts::min_version（← core GRAPHICS_BACKEND_MIN_VERSION）代入；金表同步；灰化态截图重拍。
 2026-11-07 11:06:18 +08:00
AskaEth 211e07b470 fix(launch): M157 r3 周快照门限按继承根版本 + 保存失败保留草稿（复审 P2-1/P2-2） 
P2-1 周快照 + 加载器的 --graphicsBackend 静默丢失：presenter host::launch::build_request 与 cli snapshot::prepare 给 SnapshotInput.game_version 传 None，装配按带加载器后缀的 version_id（26w14a-fabric-0.16.5）判门限，GameVersion::is_weekly_snapshot 的 6 字符形态认不出来。两个调用点改为传继承链的 MC 根版本（25 行注释说明「门槛与拼装必须同一口径」）。回归：core launch::overrides 的周快照实际装配用例（正/负两档）、presenter host::launch::tests、cli snapshot::tests 各一条根版本断言。

P2-2 保存失败丢草稿：app/update/instances.rs 的 Save 分支派发前就把 launch_form.dirty 清掉，失败事件后 pump 用旧快照重建视图并覆盖表单。改为派发不清脏；LaunchForm::sync 只在「回程快照已等于表单」（= 落盘确认）时清脏并重播种，否则保留草稿。回归：failed_save_keeps_the_draft / confirmed_save_clears_dirty_and_reseeds / save_dispatch_keeps_the_dirty_flag。

顺带：launch::overrides 测试拆到 overrides/tests.rs（守 400 行）。
 2026-11-07 10:36:37 +08:00
AskaEth c76a1437e6 fix(app-iced): M157 r2 详情列加滚动区 + 启动参数卡对齐信息卡（D30 复审） 
- 详情列（含卡片与动作行）套 scrollable：1180×1000 下被裁的内容可达、滚动条与左列同一套几何；右侧 X2 内缩，卡片描边不再被滚动条压住
- 启动参数卡改用 frame::card（card_padding 21 + OutlinedCard 描边），标题 LabelMedium 不加粗——与相邻信息卡同款
- 段间距 X3→X2，卡片不再比内容长
- 演示夹具补 Game arguments（--fullscreen）
- presenter host 单测临时目录加序号（同一进程并行用例互删导致 flake）
 2026-11-07 10:36:35 +08:00
AskaEth e2021645d7 feat(launch): M157 实例级启动参数（五项回落 + graphicsBackend 三态） 
core: 新增 game/launch_overrides（LaunchOverrides 五项 All-Option + 三级回落 + 文本补丁校验）与 launch/overrides（拼装落位：全局 java.extra_args 进 user.jvm、实例 jvmArgs 进 override_jvm、gameArgs 进 user.game、memory 进 -Xmx、backend 进 --graphicsBackend 并复用既有版本门槛告警）；实例 schema 登记 launch.* 五键。

presenter: dto/LaunchArgsView+LaunchArgsPatch，主机侧读/写与门槛判定（backend_allowed），AppCommand::SetInstanceLaunchArgs。

cli: 新命令 instances launch-args（读/写/--clear），launch 装配链消费回落值。

app-iced: 实例详情页「启动参数」区（JVM/游戏参数、内存、Java、三态后端 chips + 灰化提示 + 保存/恢复），表单状态归 App、i18n 中英文案同步。
 2026-11-07 10:36:35 +08:00
AskaEth 161aec52f4 fix(app-iced): 新增的 unlucky-core 依赖版本对齐 0.2.2（合并后语义冲突） 
termux-glibc 分支写这条依赖时 workspace 版本还是 0.2.1；M154 之后其余内部依赖
都已被抬到 0.2.2。caret 约束下 0.2.1 仍能解析到 0.2.2，所以不会构建失败，
但版本对齐是 M154 的既定契约，留一条 0.2.1 会让下一个读到该文件的人以为有例外。
 2026-11-07 09:33:23 +08:00
AskaEth 173a18b842 feat(termux): glibc 构建自动启用自编 Mesa 26 turnip ICD（GPU 打通） 
- app/boot/termux_gpu：glibc 构建 + Termux 且随附 ICD 存在时，在探测前设
  VK_ICD_FILENAMES/VK_DRIVER_FILES；用户显式设置不覆盖
- 文档：Mesa 26.2.6 + KGSL 的完整构建/安装/验证步骤（含 shebang、
  --wrap-mode=nofallback、C++/链接参数三处坑）
- 实测：wgpu 选中 Adreno 840（turnip Mesa 26.2.6），截图首帧 61 ms
- README.termux：GPU 标 ✅，MC 标 🟡（glibc JRE+AWT 已验证，GLX 待 GL 构建）
 2026-11-07 09:33:21 +08:00
AskaEth c434dbe335 feat(termux): 横屏自适应窗口、安装后清理 apt 工作区、补分支 README 
- app/boot/termux_window：Termux 上默认窗口按 X 屏幕等比自适应
  （横屏铺满、竖屏不溢出，最大 2×；日志 source=termux-screen），
  ULL_WINDOW_SIZE 覆盖与 1180×760 验收基准不变；5 条单测
- termux::install 成功后清理 $PREFIX/tmp/ull-java-termux（一次安装约 100 MB）
- 构建文档补 clippy/rustfmt 组件、cargo-clippy 目标被带成 android 的坑、
  门禁命令、横屏行为与 openjdk-17 实测
- 新增 README.termux.md（分支定位/已验证矩阵/快速开始/边界/路线图），
  两份主 README 的 Termux 条目链过去
 2026-11-07 09:33:21 +08:00
AskaEth 4582a025db fix(fonts): Termux 上注册 Android 系统 CJK 字体，消除中文方框 
glibc 构建跑在 Termux 里时 target_os 仍是 linux，fontdb 只扫 Linux 常规
字体目录，/system/fonts 不在其中，中文实例名与界面文案全渲染成方框。
在字体求值入口按运行时识别 Termux，把 NotoSansCJK 等候选注册进
cosmic-text 的字体库（OnceLock 只加载一次，找不到就静默放过）。
app-iced 直接依赖 unlucky-core 复用平台识别，不再本地复制环境判断。
 2026-11-07 09:33:18 +08:00
AskaEth 06fe12d811 chore(release): M154 版本升到 0.2.2（第一个稳定通道版本，D51） 
- 根 Cargo.toml `[workspace.package] version` 0.2.1 → 0.2.2；`crates/{agent,app-iced,cli,palette-extract,
  presenter}` 里 9 处 intra-workspace path 依赖的 version 约束一并对齐（M137 既定做法）。`crates/app` 是
  workspace `exclude` 的 Slint 退役树，manifest 不参与解析，原样保留。
- Cargo.lock 由 cargo 再生成：只有 8 个 `unlucky-*` 成员条目从 0.2.1 变 0.2.2，第三方依赖（含版本号恰好
  也是 0.2.1 的 hexf-parse / windows-link / windows-threading / xkeysym / yazi）一字未动。这一步不是可选：
  CI 与发布流水线全走 `--locked`（ci.yml:236,274 / release-build.yml:135,142 / make_artifacts.py:50），
  lock 不跟就是「tag 一打就红」。
- packaging 文档里的**示例 tag** 跟到 v0.2.2：docs/artifacts-and-version.md 两处（命名规则示例 + 「tag 说
  X、产物里写 Y」的事故示例）、docs/build-and-ci.md 三处（`--version v…`、两次 `gh workflow run --ref v…`）、
  docs/profiles-and-measurements.md 的「同一槽位现在叫 `unlucky-launcher_0.2.2_windows_x64.exe`」、
  make_manifest.py 四处（Usage 示例 / `normalize_version` docstring / `--version` 的 argparse help）。
- **历史注记一律不动**：docs/runtime-deps.md 的「v0.2.1 首次真跑即红在工具链体检」（M140 事故记录）、
  `.github/workflows/release.yml:71` 同一事故的另一处记录、`crates/core` 更新模块测试里的样本版本串
  （`checker_cases.rs` / `version_cases.rs`，是解析器测试夹具，不是发布事实）、`microsoft.rs:224` 的
  `21.0.13.0.2.1` 负例。
- README.md / README.zh-CN.md、packaging/release-notes.md 核实后**无需改动**：三份文件里没有任何写死的
  版本号——下载表是 `<version>` / `<版本>` 占位符（M153 刚统一的口径，含非发布档位标「暂未发布」的行，
  原样保留未回退），release-notes 正文是 `{{VERSION}}` / `{{SUMS}}` 模板占位符。

验证：`cargo check -p unlucky-cli --all-targets --locked` 过（编译日志里 unlucky-core/agent/cli 均报 v0.2.2）、
`cargo test -p unlucky-cli --lib --locked` 42 passed 0 failed、`cargo metadata --locked --offline` 过（全
workspace manifest + lock 一致）、`python3 packaging/make_manifest.py --self-test` ok、
`ull --version` 实跑输出 `ull 0.2.2（unlucky-cli）`。
 2026-11-07 08:13:29 +08:00
AskaEth 8bfabafe8a fix(app-iced): M147 修掉 Linux 侧 clippy 的 14 条错与写死平台的 α 断言 
两条红的成因都是「Windows-only 的东西没有平台门」：Linux + `--all-targets` + `-D warnings`
三件事凑齐时，Windows 专有的 DWM/穿透代码在 Linux 上变成未用导入 + 死代码。

clippy（14 条错，docker 内 exit 101 → 0）：
- dwm.rs `set_preference` 的 `#[cfg(not(windows))]` 分支以 `return` 结尾 ⇒ needless_return；
  那个块本来就是该 cfg 下函数体的尾巴，去掉 `return`。
- dwm.rs 三常量 + 四读函数在非 Windows 上没有使用者（唯一调用方 `probe::run_one` 的
  Windows 版被门着，`transparency.rs` 只 re-export 三项）⇒ dead_code。用**模块级**
  `#![cfg_attr(not(target_os = "windows"), allow(dead_code))]`：
  · 逐项 `cfg(target_os = "windows")` 会把它们从 Linux 构建里删掉，本文件那几条与平台
    无关的单测（属性号照 Win32 头文件、无效句柄不许表现成成功）就连编译都过不了；
  · 逐项 `cfg_attr` 要多 7 行，本文件 394 行 → 会顶破 guards.yml 的 400 行红线（现 398 行）。
  代价写明在文件头：非 Windows 上本模块的 dead_code 不再报。
- exstyle.rs `use super::raw_ex_style`：唯一使用者 `click_through` 自己按平台门着 ⇒ 补 cfg。
- probe.rs 的 `use super::dwm::{…}`：`CornerOutcome` 与平台无关（`ProbeRow` 字段 + 非 Windows
  的 `empty_row`），其余九个符号只服务于 Windows 的 `run_one` ⇒ 拆成两条 use。
- window_alpha.rs `use …RawWindowHandle`：只有 `RawWindowHandle::Win32` 那条臂用它 ⇒ 补 cfg。

test（docker 内 622 passed / 1 failed → 623 passed / 0 failed）：
`opaque_or_refused_alpha_never_touches_the_window_style` 里「无效句柄 ⇒ Failed」是按 Windows
语义写死的；非 Windows 走 `transparency::set_layered` 的空实现，如实返回 `Unsupported`。
按平台拆成两条断言（Windows 断 `Failed`，其它断 `Unsupported`），两边都不许表现成
`Applied`/`Opaque`。顺带说明：`dispatch` 的 `layered=false` 那半条断言与平台无关，保留在
两条之外照跑。

验证（本机 Windows + Docker Debian 12，命令与 ci.yml 逐字一致）：
- docker `cargo clippy --workspace --all-targets -- -D warnings` → exit 0
- docker `cargo test -p unlucky-app-iced --lib` → 623 passed / 0 failed
- Windows `cargo check -p unlucky-app-iced --all-targets` → 无 error/warning
- Windows `cargo test -p unlucky-app-iced --lib` → 624 passed / 0 failed / 2 ignored
 2026-11-06 20:06:56 +08:00
AskaEth 54b81cbb7f chore(release): M137 版本升到 0.2.1，发布只发两个 Windows 槽位 
版本：`[workspace.package] version` 0.2.0 → 0.2.1，并把全部 intra-workspace path
依赖的 version 约束一并对齐（`"0.2"` → `"0.2.1"`，M121 的教训）。Cargo.lock 里只有
8 个 unlucky-* 成员条目变化。`crates/app` 是 workspace `exclude` 的 Slint 退役树（manifest
连解析都过不了），不参与解析，故原样保留。

release.yml：新增 `PUBLISH_SLOTS` 白名单（唯一开关）＝ `windows-x64 windows-arm64`。
六槽位一律构建取证，release job 先按白名单裁掉 Linux/macOS 四档产物再重算 SHA256SUMS，
所以 tag 触发的 Release 只有 4 个资产 + SHA256SUMS.txt。release job 改成
`always() && !cancelled()`：未验证槽位构建失败不连坐 Windows 发布，真正的门禁是白名单
齐全性检查。将来某槽位真机验过后把它加进那一行即打开。

顺手修掉一处从未生效的门禁：齐全性检查的 glob 用的是连字符形态
（`dist/$prefix-*-$slot*`），对 D49 之后的下划线资产名永远匹配不上，改成
`dist/${prefix}_*_${stem}*`。资产命名规则 / SHA256SUMS / 合规文本并列资产 /
`--version` 与 tag 交叉校验一律未动。

packaging/release-notes.md：清掉 v0.1.0 / Slint 时代的说明，Downloads 与 Support matrix
只描述本版实际发布的 Windows 两个槽位（其余标「built by CI, not published」）。
packaging/README.md §1/§3/§9 同步 gate（矩阵加「本版发布」列、§3 写清白名单与打开办法）。
起手顺带把示例 tag 从 v0.2.0 更到 v0.2.1，并把「winit / femtovg」更正为「winit / wgpu」。
 2026-11-05 21:30:13 +08:00
AskaEth af39efd23b fix(presenter,app-iced,i18n): M132 缺 MSA client id 上屏成「未配置 + 怎么补」 
缺 client id 原来整条链路只给 `LoginFailure::Other`：界面画「Sign-in failed /
完整原因在启动器日志里 / Code: other」，用户得翻日志才知道要设 `ULL_MSA_CLIENT_ID`。

落点定在**账户页登录面板**，不是启动流程：这个失败只发生在 `microsoft_auth()`（两条
登录流的入口）；没配 id 的发布版建不出微软账户，`identity::resolve` 那条启动路径用户
撞不到（只有「有 id 的构建里登录过、之后 id 被摘掉」才可达）。

- presenter：新增 `LoginFailure::MsaNotConfigured`（`msa_not_configured`）。`microsoft_auth`
  改为回 `AuthResult`，`AuthError::Unsupported`（`from_env` 唯一的产出点，零网络）单独成码，
  其余失败照旧走 `classify`。诊断原文仍只进日志。
- i18n：账户域新增 `AccountLoginNotConfigured`（标题）/ `AccountFailureMsaNotConfigured`
  （正文：设 `ULL_MSA_CLIENT_ID=<id>` 或构建时注入，改完重启），golden 同步。
- app-iced：`failure_title_key` 给这一类专属标题；正文按码查表；这一类**不给「重试」**
  （进程内的环境变量改不了，重试必然是同一个错）。
- 测试：`a_missing_client_id_tells_the_user_what_to_configure` 断言 UI 模型里出现「未配置」
  + 变量名 + `<id>` 占位 + `msa_not_configured`，且没有那句「去翻日志」；反向锚
  `a_network_failure_does_not_look_like_a_missing_config` 与
  `only_a_missing_client_id_becomes_the_config_gap_code` 钉住别的失败不许跟着变。

为什么这一类可以上屏：上屏的是 catalog 固定文案（无凭据、无 token、无内部细节），
`DevicePanel::Failed` 里没有 `message`/`detail` 字段，原文在类型上就画不出来；
理由是它的原因本身就是用户的下一步。M117/M119 的「诊断不上屏」约定不动。
 2026-11-05 20:08:52 +08:00
AskaEth 02c7910ad5 ci(app-iced): M127 把下载页四条像素守门接进 CI（仅 Windows），缺图在 CI 里从 SKIP 改成失败 
- 新增 tests/options_shot/feed.rs：四条断言共用一条「喂图」策略
  · CI（CI 已设置）且 Windows 上缺 ULL_DL_*_SHOT ⇒ 失败并提示「守门未喂图」
  · 非 Windows 上喂了图 ⇒ CI 里也失败（断言按 Segoe UI 标定的行高/墨迹宽度）
  · 本机缺图仍可跳过，但每次都留一句提示
- ci.yml 的 test 作业（Windows 槽）：pages_demo 现出 ready700/chips700/compact736/wide1180
  四张图 → 写进 $GITHUB_ENV → cargo test -p unlucky-app-iced --lib options_shot
  出图与断言两步都带 if: runner.os == 'Windows'；失败时上传四张图便于复盘
- 顺带订正五处文档数字：main 7 整行 / r1 4 整行 / r2 7 整行，并写清第 8 条墨迹是 hint
  （rows.rs ×3、options_shot/ready.rs、tests/view.rs），不动任何断言期望值
 2026-11-05 17:17:43 +08:00
AskaEth 0f26ed3753 fix(app-iced): M125 r2 —— chips 档「还没选版本」不再对半切；宽度表换成实测值 
r1 复审 p2-1：`TailShare::of` 只判档位，于是 chips 档「刚进页面」（面板只有一行
提示）也被五五分——700×760 下列表 8 个版本只显示 4 个、下半块 ≈160px 空画布，
而修前（main）这一态是 7 整行。修法：判据加**面板形态**，`Hint` 在任何档位都钉死，
`Chips` + `Options`/`Install` 才共享。实测回到 7 整行（与 main 同一水位）。

守门：新增 `options_shot/ready.rs`（`ULL_DL_READY_SHOT`，不设 `ULL_DL_DEMO` 出的
700×760 图）：列表区至少读出 6 个版本号。它在 r1 的图上**红**（4 个，原生输出见
mission 报告），在修后图上绿（7 个）。三条旧守门照旧（chips / compact / wide），
chips 与 compact 换修前图仍红。

r1 复审 p2-2：宽度表的实测值改正（同一张 736 图逐项量）：
`1.21` 26（余 6）、`1.20` 28（余 4）、`24w` **29**（余 3）、`All versions` 墨迹画到
x=247（裁切边 248，只差 1px）⇒ 桶标签余量是 **3~6px** 而不是 6；「短标签『全部』= 32
零余量」这条论证的对比强度随之写准（比桶标签的 3~6px 更薄）。
`rails/major.rs` 的表格、`options_shot/compact.rs` 的测试文档一并改成实测值；
「墨迹右边界」那条反例也从 216..244 改成实测 216..247。

r1 复审 p3-1：第二级「全部版本」的图标从网格（与第一级同字形同药丸、像素级同形）
换成文档/清单字形 `IconKind::Logs`，理由与「图标集里没有版本/历史字形」写进
`major_shape` 文档。

r1 复审 p3-2：chips 档最多三层滚动（列表 / 面板 / loader 菜单）作为**已知风险**
登记在 `install.rs` 文档里，并写明为什么「把实例名移出滚动区」本轮不做（要拆
`options::section`，动三个文件，而且改完仍无法验证滚轮冒泡——没有通道）。
 2026-11-05 16:43:35 +08:00
AskaEth 9c623a6fd3 style(app-iced): M125 拆文件时留下的孤儿文档片段（clippy 的 empty_line_after_doc_comments） 2026-11-05 16:03:10 +08:00
AskaEth 70dea995b7 refactor(app-iced): M125 主版本栏与选项区像素守门各拆一层（守 400 行红线） 
两处拆分，只为过 `gate::every_source_file_stays_under_the_line_limit`：

- `download/rails.rs` 435 行 → `rails.rs` 311 + `rails/major.rs` 157：主版本桶那一栏
  （`major_rail` / `major_entries` / `major_shape` / `MajorEntry` / `MajorShape`）搬进子模块，
  `rail_title` 留在父模块（两条栏共用）。`Key::VersionMajorTitle` 的落点跟着搬，
  `tests/i18n.rs` 的死 key 扫描表补上 `rails/major.rs`（漏扫会把活 key 判成死 key）。
- `tests/options_shot.rs` 475 行 → 345 + `options_shot/chips.rs` 75 + `options_shot/compact.rs` 67。

顺带修 `options_shot::bands()` 的一处既有缺口：它按三栏算列表列左缘（112+0+24+0+24 = 160），
chips 档没有侧栏时这个左缘是错的，右缘跟着冲出画面 22px——M125 的 chips 守门正好踩到
「扫描越界读到下一行像素」，`first_rule_y` 因此恒返回 None。现在 chips 档直接取页左缘
（112），三栏三档的数值一个不变（M123 那些 140/140、缝 24 的断言照旧）。

守门实跑（本机，tiny-skia）：
- 解 ignore 的 `chips::a_chips_tier_shot_…` 在修后图绿、**修前图红**（实测 18px ≠ 44）；
- `compact::a_compact_tier_shot_…` 修后图绿、修前图红（实测 44px 文字行 ≠ 40px 图标按钮）；
- chips 那条换深色图同样绿（断言不依赖主题色）。
 2026-11-05 16:01:03 +08:00
AskaEth 822f98022d fix(app-iced): M125 chips 档列表不被选项区压成缝；Compact 档主版本首项不再裁字 
两条缺陷都是 M123 取证时在真图上拍出来的，塔台另行核过图：

缺陷 1（medium）：chips 档（窗口 < 736，可用宽 < 600）里选项区按内容高
≈316px 钉在列表下面，列表只剩 18px（0.4 行，行高 44）——版本号读不出来、
换不了版本。修法：`rows::TailShare` 两档，chips 档改成「列表与面板各吃一半、
面板自己可滚」（列表拿到 ≈182px = 4 整行，面板顶端那个实心「安装」与五个
loader chip 仍在屏内）；三栏三档照旧钉死（760 高下列表还有 3 整行、面板
整块在屏内，两样都对）。判据按档位而不是按高度：页面模型里只有 window_width，
窗口高度没接进页面（边界写进 TailShare 文档与报告）。

缺陷 2（medium）：Compact 档主版本栏宽 64，`ListItem` 两侧内边距各 16 ⇒ 文本格
32，首项「All versions」要 ≈84 ⇒ 图上只剩「All v」；中文「全部版本」= 4 全角字
= 64，32 里只剩「全部」且正好顶到裁切边。修法：图标条档的「全部版本」不画文字，
改画与本页第一级那个「全部」同一个网格图标（40×40 Tonal 药丸 + 全称 tooltip）；
桶标签（1.21/24w，实测墨迹 26）放得下，照旧画原文。`rails.rs` 那条「64 宽里
1.21 仍完整」的注释改成实测宽度表，并写清它对首项不成立。

顺带：列表与尾部面板之间补上分隔线（三态一致），`rows::content` 与两个装配点
按档位传 `TailShare`。

守门：
- `tests/options_shot.rs` 解掉 M123 那条 `#[ignore]`（期望值一个字没改，只加
  「列表区 ≥ 3 整行」与「面板仍在屏内、没被底边切」两条）；
- 新增 `a_compact_tier_shot_draws_an_icon_for_the_first_major_entry`：缺陷 2 的
  像素守门（首项是 40×40 居中药丸，不是 64×44 通栏文字行）。复审建议的
  「墨迹右边界 ≤ 栏右内边界」在坏图上也是绿的（修前墨迹 216..244，边界 248），
  所以改钉形状，理由写在测试文档里；
- `tests/rails.rs`：中文与英文都走 Icon 分支、以及 32px 文本格的宽度账
  （「全部版本」= 64 > 32 是精确值，「全部」= 32 零余量所以不选短标签）；
- `tests/view.rs`：档位 → TailShare 的决策面 + 两个装配点都按档位传。

未改产品文案、未改窗口最小宽、未动 M123 的任何断言期望值。
 2026-11-05 15:48:57 +08:00
AskaEth 4a41263357 test(app-iced): M123 安装选项区 × 三栏同屏的宽度与行裁剪守门 
安装选项区（`download/options`）与三栏（`download/rails`）各自都有断言，
但它们**同屏**这件事从来没验过：选项区一高列表就矮，窗口一窄两条栏一收列表
就窄，这两种挤压都不会让任何既有断言变红。

- `tests/options_screen.rs`：七档宽度（1180/1024/900/880/812/736/700）× 三种
  选项态（原版 / Fabric / NeoForge 不兼容）。三栏数字按 `layout/rails.rs` 的
  数值表逐格钉死；列表列在每一档都 ≥ 424（行内四样仍在一行）；两条栏与选项
  面板在同一份模型里、树能一次构建。
- `tests/options_shot.rs`：真 PNG 上的像素断言（需 `ULL_DL_OPTIONS_SHOT`）。
  两栏同屏且像素宽度 = 裁决值 140/140、栏间 24 的缝真空着、第一行版本行整行
  44px、选项区最后一行墨迹离底边还有余量。另有一条 `#[ignore]` 的 Chips 档
  回归：700×760 下列表被压成 18px（现状红，缺陷已单列报告与 finding）。

出图（38 张）在 `DevDocs/artifacts/m123/`（git 忽略，不入库）；旧的
`DevDocs/artifacts/m109/`（内容库页早于 M108 改名，导航轨写的是 `Download`）
已按任务 ② 删除，内容库 12 态在 m123 里按当前 tip 重出。

不动产品行为：本提交只有测试与模块声明。
 2026-11-05 15:46:26 +08:00
AskaEth bf6b0c4126 build(release): workspace 版本 0.1.0 → 0.2.0，README 的 tag 事实改成 v0.2.0 口径 
- Cargo.toml [workspace.package] version = 0.2.0；Cargo.lock 由 cargo 重新解出一致
  （只有 8 个 unlucky-* 成员条目变动，第三方版本一字未动）
- 各 crate 的 `unlucky-*` path 依赖 `version = "0.1"` 同步提到 "0.2"，否则工作区
  根本解析不出来（cargo metadata 会报 `failed to select a version for
  unlucky-core = "^0.1"`）；crates/app 虽被 exclude、cargo 不读，也一并跟上避免将来
  重新纳入时立刻解析失败
- core::launch::LauncherConfig 兜底的 launcher_version 改成 env!("CARGO_PKG_VERSION")，
  不再是把版本写死一份（CLI / presenter 本来就这么写）
- README.md / README.zh-CN.md：删掉「v0.1.0 是目前唯一的 tag / the only tagged release」
  这类随 v0.2.0 发布即变假的陈述，改写成「v0.1.0 是最后一个 Slint 版 tag，v0.2.0 是
  重写后的第一个 tag」；所有讲 v0.1.0 资产 / Slint Royalty-Free 义务的历史记录原样保留
- packaging/README.md：命名与校验示例跟当前 tag 走（v0.2.0）；§7 实测记录里的 0.1.0
  输出加一句「属实测记录、不回填」，并把过期的「四个 workspace member」改成「任何一个」
 2026-11-05 14:08:37 +08:00
AskaEth d0a8f68607 docs(m120): 页面模块的守门说明改成白名单口径 2026-11-05 13:36:45 +08:00
AskaEth f86be2bd38 fix(app-iced): M120 r1 —— 徽标判据改回「类型是原版」；旧串黑名单翻成白名单 
r1 复审 p2-1（真回归，我引入的）：`loader_badge` 把「非原版 + 空版本号」也送进了
`Key::LoaderVanilla`。而 `host::game::loader_from_id("1.20.1-forge")` 这类 id 取不到版本段
（它按 `forge-` 找，id 却是 `-forge` 结尾），`LoaderInfo::badge()` 对它们给的正是品牌名
`Forge` / `NeoForge` / `OptiFine` —— 于是这三个显示成「原版 / Vanilla」。

判据改成「**加载器类型本身是原版** ⇒ 过词表，其余交给 `badge()`」：
- 修的是判据，不是加分支：函数注释本来就写着「只有原版这一支要过词表」，代码与注释相矛盾。
- 新回归测试 `the_loader_badge_keeps_the_brand_when_the_version_is_missing`：
  `1.20.1-forge` / `1.20.1-neoforge` / `1.20.1-OptiFine` 三条 id 各断言列表副文案与 LOADER
  卡的值都是品牌名（中英两套语言各跑一遍，品牌名两套语言相同）。
  变异实测：把判据改回旧写法 ⇒ 立刻红（`left: "1.20.4 · Vanilla" / right: "1.20.4 · Forge"`，
  与复审给的实证逐字相同）。

r1 复审 p2-2（不阻塞，按塔台要求顺手做）：源码反扫从**黑名单 29 条旧串**翻成**白名单**。
- 先数过：五个页面源码里一共 13 个字面量，其中带 ASCII 单词的只有 6 条，全是专有名词 /
  技术标识 / 占位符名 / 族名前缀（`{date} {time} UTC` / `isolated` / `shared` / `pid` /
  `reason` / `Instances`），逐条写了理由。
- 判据反过来之后，往页面里**新写**一句英文也会红（复审抓到的哑点）——变异实测：
  写进 `"Ready"` ⇒ 红；写回 `"ALL INSTANCES"` ⇒ 红。
- 反向锚保留：扫描器必须真扫到 ≥6 条、`Texts::of(` / `Header::new(texts.title())` /
  `Key::Instances` / `Key::InstancesStage` 必须在用（防止断言空转）。
 2026-11-05 13:36:45 +08:00
AskaEth 1a4e1fee12 feat(app-iced): M120 实例页与启动阶段标签跟着界面语言走 
来源：M106 r1 复审点名——中文机器上首屏（实例页）仍是英中混排（页头 / New instance /
Import / ALL INSTANCES / VERSION / Present on disk / Running · pid / Launch failed）。
用户的原话是「我系统语言是中文 为什么打开软件是英文」。

改了什么
- i18n：catalog/instances.rs 从 6 条死 key 补到 34 条（页头 / 列表列头 / 详情动作 /
  窄窗说明 / 元信息标签与值 / 隔离档位 / 运行状态 / 四个启动阶段）。族在装配链第 2 位，
  新 key 追加在本族末尾，golden 对应位置插入（不是文件末尾追加）。
- 页面：新增 pages/instances/text.rs（Texts）——页面唯一的取词入口，实例页里不再有
  任何可见英文字面量；detail / demo 也改从它取。
- 阶段标签：view/instances.rs 的 Running / Launch failed / 四阶段全部走目录；
  **数字与分隔符不随语言变形**（运行中 · pid 1234 与 Running · pid 1234 只换前半句）。
- 顺手修掉两处「语言反向泄漏」：原版徽标此前直接画 presenter 的中文「原版」（英文界面
  会漏中文），现在走 LoaderVanilla；隔离档位 isolated/shared 也从 core 的稳定 id 换成人话。
- 删掉 InstancesLastPlayed：M117 加的整句 key，从未接线，形状与「标签 + 值」的元信息卡
  不符，由 InstancesMetaLastPlayed + InstancesNeverPlayed 取代。

守门（pages/instances/tests/i18n.rs + app/view/tests.rs）
- 中文态无 ASCII 英文单词（品牌 Java / 技术标识 pid 白名单）；
- 每一条 Instances* 的两套译文必须不同（切语言时真的变）；
- Running 的数字与 · pid 分隔符在两套语言里逐字保留；
- 页面源码里 29 条旧英文基线不许回来；每条 key 都必须被页面引用（死 key）。

出图：DevDocs/artifacts/m120/01~12（有实例 / 空态 / 运行中 × 浅深 × 中英）。
 2026-11-05 13:36:44 +08:00
AskaEth 2f491c31f9 refactor(app-iced): M120 把实例页的展示转换从 view.rs 拆出去（纯搬移） 
view.rs 是「快照 → 视图模型」的唯一入口，实例页那一段（列表副文案 / 运行状态 /
元信息卡 / 时间戳）占了它近一半。M120 要在这批文案上接 i18n，先按功能拆成
view/instances.rs（account_page / logs / rail 是同一个先例），本次一字未改行为。

唯一的非搬移改动：view/tests.rs 显式 import InstanceRuntime / LaunchStage
（它们原来是从 view.rs 的 use 里顺带借到的，拆分后不再可见）。
 2026-11-05 13:36:43 +08:00
AskaEth 0e48ea15b8 fix(app-iced): M119 r2 —— 四处「模拟」文案全由 simulated 驱动；确认条不再替用户 arm 键盘 
复审 r2 的两条 p2 都是「上一轮各差一步」：字段/焦点都真的做了，但**另有三处没接上**、
**键盘闸是代码自己打开的**。

## P2-1：四处文案只认一个开关

r1 只有标题胶囊由 `simulated` 驱动；副标题 / 输入框占位符 / 空态正文是**无条件取词**，
而它们的译文里写着「模拟 / 没接真实模型」——接上真 transport 之后这三句会**反向**留着
（`simulated == false` 时界面还在声明「没接真实模型」）。而且没有一条测试钉得住那个声明。

现在：

- 新增 `pages/agent::Disclaimer { simulated, subtitle, placeholder, empty_body }`，
  `Disclaimer::of(catalog, simulated)` 一次算好；`Conversation.simulated: bool` 换成
  `Conversation.note: Disclaimer`，header / composer / transcript 三处各自从它取词——
  **视图里没有第二种取词路径**；
- i18n 配成对：模拟态用既有的 `AgentSubtitle` / `AgentPlaceholder` / `AgentEmptyBody`，
  真实态新增 `AgentSubtitleReal` / `AgentPlaceholderReal` / `AgentEmptyBodyReal`（中性话）。
  （没有把三句改成中性话：那句告知本身有价值，接真模型后它才该消失。）
- 证据：`crates/app-iced/src/pages/agent/tests/disclaimer.rs`
  —— `all_four_disclaimers_appear_when_the_backend_is_simulated`（四处都提模拟）、
  `no_disclaimer_survives_when_a_real_backend_is_wired`（四处都不提，且不许用空串糊）、
  `the_two_states_use_different_keys`（两态不能共用同一个 key）。

**golden.rs 的 400 行边界**：+3 条会破线。按「按功能拆、不压注释」处理——把这张表的
**说明文档**（35 行）原样搬到 `catalog.rs` 里 `mod golden;` 的文档上（一个字的说明都没删），
`golden.rs` 只留表数据 + 3 行指针。现在 `golden.rs` 374 行、`catalog.rs` 328 行。

## P2-2：键盘闸不许由代码替用户打开

r1 在 `sync_confirm_focus`（`on_agent` 的无条件尾巴，`Events` 又由心跳驱动）里顺手
`keyboard_mode = true`——于是**只要冒出待确认，全局键盘闸就开了**；用户发完那句话接着打下一句，
第一个空格就成了「批准写操作」。复审用临时用例复现过（`rail.confirm` 变 `None`）。

现在：

- `sync_confirm_focus` **只挪焦点**到「允许」，不再碰 `keyboard_mode`（字段文档里写清了为什么）；
- 键盘用户的表态是 `Tab`：`AgentUi::step_focus` 加了一条 **arming 规则**——待确认、焦点已在
  确认条上、但键盘闸还关着时，这一次 `Tab` **只点亮焦点环、不移动焦点**（否则第一次 Tab 会把
  「允许」挪到「拒绝」，用户按 Enter 就是反着裁决）；之后再 Tab 才逐格走；
- 反向回归：`a_stray_space_or_enter_never_approves_a_pending_write`（打字 → 空格 / 回车都不得裁决，
  审计也不许留）；`a_blocking_confirm_can_be_decided_with_the_keyboard_alone` 改成
  「确认到达时未 armed → Tab 点亮 → Enter 允许；第二轮 Tab·Tab 到拒绝 → Space」。

## 出图

`DevDocs/artifacts/m119/` 18 张全部重出（新增取证夹具 `ULL_AGENT_FIXTURE=armed`：
跑一轮真提交后再按一次 Tab，专供「焦点环可见」那张图）：

- `08-agent-simulated-{light,dark}`：`simulated = true` 下四处「模拟」同时可见；
- `09-agent-confirm-focus-{light,dark}`：**按过 Tab 之后**的确认条（焦点环在「允许」上）；
- `05-agent-confirm-{light,dark}`：确认条刚出现、**还没 arm**（无焦点环）——与 09 成对，
  正好把 r2 的行为差异拍下来。

## 门禁（真实退出码，最终树）

| 命令 | 退出码 |
|---|---|
| `cargo fmt --all --check` | 0 |
| `cargo clippy -p unlucky-app-iced -p unlucky-presenter -p unlucky-agent -p unlucky-i18n --all-targets -- -D warnings` | 0（0 warning）|
| `cargo test -p unlucky-app-iced --lib` | 0（605 passed / 0 failed / 2 ignored）|
| `cargo test --workspace --exclude unlucky-app` | 0（58 套 2281 passed / 0 failed / 11 ignored）|

全树受检文件无 >400（`golden.rs` 374、`catalog.rs` 328、`pages/agent/mod.rs` 371）。
 2026-11-05 10:43:22 +08:00
AskaEth a22baebe70 fix(app-iced): M119 r1 —— 常驻「模拟」标识 + 确认条的键盘通路 
复审 r1 的两条 p2，都是「说成真的、其实是假的」与「能走进死路」这个级别的问题。

## P2-1：界面必须自己说清「这是模拟」

原判：生产默认后端是**脚本化 rig**（`ULL_AGENT_SCRIPT` 的 6 种剧情），而「后端未接 / 模型还没
接上」两句诚实文案被我改成了中性话，理由写着「由端点标签说」——**那条端点标签在壳里根本不存在**。
于是默认配置下用户敲一句话得到一段像是模型编的回答。判据：没读过代码的用户，打开右栏、敲一句话，
必须能自己看出来这不是真模型（不接受 tooltip、不接受藏在设置里）。

修法（①恢复诚实文案 + ②常驻可见标记，并用）：

| 位置 | 文案 / 形态 | 谁给的 |
|---|---|---|
| 标题右侧**常驻胶囊**（`SurfaceVariant` tonal）| `Key::AgentSimulated`（Simulated / 模拟）| `AgentHost::is_simulated()` → `Session.simulated` → 视图 |
| 标题下副标题 | 「模拟助手 · 还没接真实模型」 | `Key::AgentSubtitle`（原本是「未接」被改成中性的「会话」，现在写回来且更明确）|
| 空会话正文 | 「…当前是模拟助手，没有接真实模型。」 | `Key::AgentEmptyBody` |
| 输入框占位符 | 「给模拟助手发消息…」 | `Key::AgentPlaceholder` |

**标记不是硬编码在视图里**：`AgentHost.simulated` 是事实字段（今天 transport 只有 rig ⇒ 恒 true）。
接真 `AgentTransport` 那天把它传 `false`，四个位置的「模拟」措辞会一起消失——这是为什么用字段而不是
写死一句话。

## P2-2：确认条必须有键盘通路

原判：Allow/Deny 只有鼠标路径 ⇒ 键盘用户在写操作确认处**永久卡死**（`busy` 锁发送、
`Stop` 走主后端、清不掉 presenter 的 pending confirm）。

- 焦点环多两格：`Focus::ConfirmAllow` / `Focus::ConfirmDeny`，**只在有待确认时**存在
  （鼠标用户不会 Tab 到不存在的按钮）；
- 待确认出现 ⇒ `sync_confirm_focus()` 把焦点直接落到「允许」并**打开键盘巡航**（阻塞态主动亮环），
  消失 ⇒ 焦点收回输入框、巡航关闭；
- `Enter` 与 `Space` 都映射到 `Activate`（`Space` 不抢输入框：`keyboard_mode` 那道闸在
  鼠标点进输入框时是关的）；
- 焦点环不是 10% 状态层——在**实心主色**按钮上那层几乎看不见（出图实测过一版就是没有）。
  改成 2dp `Primary` 描边 + 3px 留白，两个按钮恒定加这层 padding，所以焦点变化不移动布局。

测试（`crates/app-iced/src/app/update/agent/tests.rs`）：
`a_blocking_confirm_can_be_decided_with_the_keyboard_alone` —— 全程只有键盘消息：
确认到达后断言 `focus == ConfirmAllow && keyboard_mode`，发一条 `KeyPressed(Enter)` 完成允许；
第二轮 `Tab`（走到 Deny）+ `KeyPressed(Space)` 完成拒绝；两轮各记一条审计、焦点都收回 Composer。
另有 `the_default_backend_reports_itself_as_simulated` 钉住 P2-1 的事实来源。

## 视图入参顺带收成结构体

`docked`/`page` 本来是 6 个形参（`ui, agent, rail, failure, catalog, width`），这一轮还要加
`simulated` ⇒ 7 个。按塔台登记的可维护性口径改成 `Session { agent, rail, failure, simulated }`：
两个宿主各 3 个形参，以后再加展示事实只改 `Session`。

## 出图（18 张，浅深各一）

`DevDocs/artifacts/m119/`：新增 `08-agent-simulated-*`（空会话 + 四处「模拟」措辞）与
`09-agent-confirm-focus-*`（确认条 + 焦点环落在「允许」）；其余 7 组全部重出（文案与焦点环都变了）。

## 门禁（真实退出码）

| 命令 | 退出码 |
|---|---|
| `cargo fmt --all --check` | 0 |
| `cargo clippy -p unlucky-app-iced -p unlucky-presenter -p unlucky-agent -p unlucky-i18n --all-targets -- -D warnings` | 0（0 warning）|
| `cargo test -p unlucky-app-iced --lib` | 0（601 passed / 0 failed / 2 ignored）|
| `cargo test --workspace --exclude unlucky-app` | 0（58 套 2277 passed / 0 failed / 11 ignored）|

`golden.rs` 400 行（+1 条 `AgentSimulated` 正好顶线）；全树受检文件无 >400。
 2026-11-05 09:17:50 +08:00
AskaEth b5e96c61ac fix(app-iced): M119 出图抓到的两处：右栏文案没跟 lang 走、确认条文字被压成竖缝 
两张验收图（`DevDocs/artifacts/m119/`）暴露的问题，都是测试抓不住、只有图能看出来的那类：

1. **同屏两语**：`pages/agent/mod.rs` 里还留着 M104 的 `const LANG: Lang = Lang::En`，所以右栏的
   标题/按钮恒英文，而 M119 新加的失败横幅走 `App::lang()`（这台机器是 zh-CN）⇒ 一屏里
   「Assistant / Collapse」和「连不上助手后端」并排。现在删掉那个常量，`docked`/`page` 收一个
   `Catalog` 形参，由 `App::lang().catalog()` 给——与设置页/账户页同一条口径（M106 的真值源）。

2. **确认条没有字**：`chip + 文字 + 两个按钮` 挤在同一条 `Row` 里，而右栗只有 280~360：320 宽下
   文字列被压成一条竖缝，标题整段看不见（图 05 第一版就是这个样子）。改成文字行与动作**分行**，
   动作右对齐——窄栏里才是可读的 M3 告警形态。

顺带：`Script::WriteOp` 补一句增量，免得那条助手气泡是空壳（出图更接近真后端）。

`cargo test -p unlucky-app-iced --lib`：599 passed / 0 failed；14 张图重出后逐张看过。
 2026-11-05 08:11:14 +08:00
AskaEth d4fd675935 feat(app-iced): M119 把 presenter 的 agent 四契约与账户窄入口接进 iced 壳 
M103 把 AI 会话的投影（`AgentRail` + `submit/mark_read/confirm`）做完了，M114 把账户三轨做完，
但 iced 壳一直没接：M103 复审确认 `Presenter::` 零非测试消费者，M104 的右栏会话数据来自内置样本。
这一个提交就是那一步——**右栏与账户页吃 presenter 的真实状态**。

## 接线层（新增 `crates/app-iced/src/presenter/`）

| 文件 | 是什么 |
|---|---|
| `agent.rs` | `AgentHost`：presenter 句柄（四契约）+ 事件队列 + **具名**失败（`AgentFailure`：`unreachable` / `not_implemented`）|
| `transport.rs` | `AgentTransport` 的 iced 侧实现（脚本化 rig + 五种剧情 + 两种失败注入）|
| `rig.rs`（仅测试） | 账户轨的 `Backend`：`AppCommand` → host 形状的 `CoreEvent` |
| `mod.rs` | 逻辑路径说明 + **线程/通道边界** |

物理目录 `src/presenter/`，逻辑名字 `crate::app::state::presenter`——由 `app/state.rs` 用
`#[path]` 挂载（与 `shell::agent` 挂 `pages/agent/` 同一个先例：scope 不含 `lib.rs`）。

## 事件回流

`transport` 只**入队**、UI 只**出队**：`advance`→`pump` 里同拍抽干，抽出来的这批经
**既有 `Message::Agent(..)` 通道**（新变体 `Events(Vec<AppEvent>)`）回到 `on_agent`，再由
`Presenter::apply` 落地。同一条漏斗，所以用户点击与后端事件不会各改一次状态。

## 会话内容只留一份

`AgentUi` 里的 `transcript/busy/unread` **删掉**，右栏与独立页直接读 `agent_rail()`
（`pages/agent::spec` 零拷贝借）。M104 的样本会话（`demo::transcript()`）一并删除：出厂就是
空会话，取证夹具要内容就**跑一轮真提交**（`ULL_AGENT_FIXTURE=turn`），消息只能由 presenter 产生。

## 视图

- 气泡按 `ChatMessage.role` 画（User/Assistant/Tool/System），没有任何壳自己的会话类型；
- 新增两条横幅（`conversation/banners.rs`）：**失败态**（catalog 标题 + 已脱敏正文）与
  **写操作确认**（摘要 + Allow/Deny → `agent_confirm`）；
- 拖动缝与折叠条按 400 行硬线拆到 `mod.rs` 之外（`strip.rs`、`conversation/{transcript,banners}.rs`）。

## 未读口径

presenter 判「栏可见吗」用的是它自己的 router + `prefs.ai_collapsed`，而这两件的真源在 `App`。
`refresh_view` 用 presenter 的两个**窄入口**（`navigate` / `prefs_mut().ai_collapsed`）单点写回，
带幂等闸（相同就不重复写，避免 `navigate(Route::Agent)` 顺手 mark_read 吃掉用户攒的未读）。

## 账户页

账户列表与登录事件仍走 `AppCommand`/`CoreEvent`（M114 的形状没动），本轮把**登录指令与
列表消费**纳入同一套树测试：添加离线档案 → 列表出现 → 切换 → 删除；设备码「进行中可见 + 可取消」；
失败态（名字不合法 / 凭据失效）都给具名错误。

## 树测试（9 条，`cargo test -p unlucky-app-iced --lib` 全绿：599 passed / 0 failed）

- `app/update/agent/tests.rs`：提交 → 事件回流 → 右栏出现该轮 + `busy` 翻转 + 标记已读归零；
  确认条可裁决且记审计；三种失败各给具名横幅；草稿逐字同步。
- `app/update/account/tests.rs`：增/切/删端到端；设备码进行中与取消；两种失败态；
  M114 的三条回归闸（原内联测试搬出来）。
- `pages/agent/tests.rs`：视图契约（`spec` 原样借 rail）、a11y 标签、焦点环、两种宿主全态构图。

顺带：`app/tests.rs` 里三条 `agent.unread` 断言跟着 rail 走（出厂 0 未读），`view/account_page.rs`
的 `docked` 调用点补上 rail 与失败横幅。
 2026-11-05 08:02:58 +08:00