699 Commits

This Branch

This Branch

All Branches

Author	SHA1	Message	Date
AskaEth	6c87e2ad8a	fix(presenter,app-iced): 删除确认绑定到对话框身份 + 快照不再吃掉目标（M247 r2 复审） ... 复审 r1 P1-1（安全）：`SavesState::confirm` 的「关闭即清」在 Esc 这条路径上没有落实， 而主按钮分支无条件先取目标 —— 「删存档 → Esc → 崩溃卡片 → 导出诊断包」会静默删掉那个世界。 两层修，各自有独立用例钉住： 1. **认框不认人**：`confirm` 改成 `Option<(DialogId, String)>`，`take_confirm(current)` 只在 id 相等时交付；`DialogMessage::Primary` 传 `dialogs.current().id`。即使别的路径漏清， 也核销不了别人那个框。用例 `a_leaked_target_cannot_be_redeemed_by_another_dialog` （去掉 id 校验即红：实测「漏清的目标被别的框兑现了：世界被静默删除」）。 2. **关闭路径补全**：`update/dialog.rs::escape()` 补 `clear_confirm()`（次按钮/遮罩早就清了， Esc 漏了）。用例 `escaping_the_delete_dialog_disarms_it_for_the_next_one` 复现整条事故链， 断言没有下发 `DeleteWorld`、框走自己的路关掉（去掉这行即红）。 P2-1：`changed()` 不再无条件清 `confirm`（一拍无关快照会让主按钮变成静默空操作）—— 只在「被确认的世界已经从快照里消失」时清，并登记 `closed_confirm` 让 app 层**收起那个框** （`refresh_view → settle_saves_confirm`），避免留一个点了没反应的按钮。`failed()` 同理不动 confirm。 用例：`an_unrelated_snapshot_keeps_the_confirmation_redeemable`、`a_vanished_world_closes_its_confirmation`、 `an_unrelated_snapshot_no_longer_drops_the_confirmation`、`the_confirmation_is_dropped_and_reported_when_the_world_vanishes`。 P2-2：`catalog/instances.rs` 那段「这一版只读 / InstancesSavesReadOnly」的陈旧说明改成现状 （写操作已接上，边界由 core 的 `write::boundary` 守）。 拆分（400 行）：`presenter/src/state/saves.rs` 的交互态方法 → `state/saves/interaction.rs`、 判据 → `state/saves/tests.rs`；`app/update/dialog.rs` 的接线用例内联在该文件（5 条）。	2026-11-11 13:51:07 +08:00
AskaEth	8c67e4eca6	fix(presenter,app-iced): 「游戏在跑」挡在落 core 之前（M247 r2） ... 塔裁决：三个写操作在实例启动/运行时必须拒，判据不能只靠界面灰按钮 —— Windows 上是 os error 32 兜底，**Linux 上删一个正在跑的世界会成功**，那是在 用户玩到一半时把存档删掉。 - host/dispatch.rs：`AppCommand::Saves` 与 `AppCommand::Mods` 同款，先查 `CoreHost::in_flight(&id)` 再把 `running` 传下去 - host/saves.rs::dispatch 增 `running`：为真时三个写操作**不 spawn、不碰盘**， 直接回一条 `SavesFailureKind::GameRunning` 的结构化失败；读路径与「打开文件夹」不受影响 - dto：新增 `GameRunning` 类别（不折进 WriteFailed —— 那不是"写失败"，是"我们主动没写"） - i18n：「游戏正在运行（先退出再操作）」中英成对 + 金表同步 - 用例：在飞时三条写命令盘上指纹不变/世界还在/备份落点没建，且回 GameRunning； 反向用例钉住闸门没有把写操作一并关死；UI 侧断言三种动词的主句都不出现「写盘失败」且不画重试 - 拆分（400 行）：host/saves.rs → host/saves/write.rs；两处测试各拆出 write 子模块 - SavesState 模块文档补「生命周期」表：draft / pending / confirm 谁写谁清、何时必须清， 并把 confirm「取走即清」（连点两下不删两个）写成安全不变量 - 出图：ULL_SAVES_FIXTURE=running 一张（失败那句话的样子）	2026-11-11 13:29:56 +08:00
AskaEth	c921b9c185	feat(core,presenter,app-iced): 存档三个写操作（重命名 / 删除 / 备份）+ 行操作区（M247 SAVESOPS） ... core::game::saves 新增 write 模块，三个入口的第一句都是 boundary::guard： - rename_world：saves/<old> → saves/<new>，撞名/同名/非法名字各自具名拒绝 - delete_world：递归删（不跟随符号链接、层级上限 64），先过边界校验 - backup_world：流式 zip（限额预检 → 临时文件 → 原子改名）， <世界名>-YYYYMMDD-HHMMSS.zip，撞名顺延，绝不覆盖上一份 guard 三道判据（每次写前重做，不信任调用方）：名字必须是单段裸名字； saves/ 必须是运行目录的真实直属子目录；世界目录必须是 saves/ 下的真目录 （解析后比父级，不比字符串前缀）。落点目录要求绝对路径（相对路径会落到进程 CWD， 实测过一次）。 presenter：SavesCommand 增 RenameWorld/DeleteWorld/BackupWorld，host 三个后台入口 写成功后重新列一遍目录并把「回执」挂在快照上（SavesOped：改名两端 / 被删的名字 / 备份落点+字节数+跳过的链接数）。SavesFailureView 增 file 与 op，写失败八类一一对应。 SavesState 增 draft / pending / confirm 三样交互态（草稿是行内输入缓冲， pending 与 ModsState::pending 同一条先例，confirm 是删除确认框在等谁）。 app-iced：世界行右侧重命名/备份/删除；行内输入框改名（现成模态队列没有「输入变了」 这一条消息，用输入模态等于重写一套）；删除走现成 modal 的 Confirm，主按钮落点接在 app/update/dialog.rs。回执行画在卡片里（备份落点看不见就是静默失败）。 i18n：新增 25 条中英成对 key + 金表同步；删掉 M235 的「这一版只读」那条（写操作接上 之后它是假的）。出图夹具 ULL_SAVES_FIXTURE=rename|confirm|backed-up 三种形态。	2026-11-11 13:29:56 +08:00
AskaEth	3e852331f4	Merge branch 'feat/m250-gpushotgate-gpu-screenshot-evidence'	2026-11-11 13:24:47 +08:00
worker-gpushot	cb061d1da2	docs(packaging): 判据 1/2 的新口径同步到 docstring 与证据账（M249 r1） ... 9aefb6a 改了行为没改说明：docstring 还写着判据 1 是「截图那一行 renderer=wgpu」 （现在是「全部 [shot] 行都是 wgpu」）、判据 2 只写「X 不在禁令里」（现在取不到也算 失败）。doc §3.1 也从「两个变异」改成三条。	2026-11-11 13:14:57 +08:00
worker-gpushot	9aefb6a5b0	fix(packaging): 堵两处判定假绿 + 证据账读数可复跑（M249 r1 P2-1/2/3） ... P2-1 判据 2：`Selected: AdapterInfo {` 与字段不在同一行时（pretty-print Debug 漂移） `device_type` 取不到、旧写法默认 `"?"` 而 `"?" ∉ {Cpu,Other}` ⇒ 判绿。改成取不到即判红。 P2-2 判据 1：`"wgpu" in renderers` 是「曾经出现过」，把 CPU 那次的 stderr >> 追加进来 再配 CPU 那张图会判绿。改成 `set(renderers) == {"wgpu"}`（全部 [shot] 行都声称 wgpu）。 P2-3 doc §2：A6 `--expect-refuse` 那行的「3/3」需要传 PNG 路径才成立，按表复跑是 2/2； 命令列补上 PNG，并单列「不传 PNG = 2/2」一行。 行数：判据脚本 383 → 311（自测脚手架搬到 tests/gpu_shot_selftest.py，124 行；向量 16 → 19 条，红 16 / 绿 3，新增「多行 Debug」「空体」「混入异种 renderer」三条靶子）。	2026-11-11 13:13:36 +08:00
worker-gpushot	d7a9ae15a5	fix(packaging): 负例判据 8 的失败详情补全（M249 自查） ... 原来只在「有 renderer= 行」时给详情；只有 `[shot] WxH` 行、没有 renderer 行的 日志会打出一条没有原因的 `[fail] 8.`——正是本脚本承诺不做的事。改成把两样 多余的出图痕迹都列出来（`存在出图行：renderer=…、[shot] 1180x760`）。 向量与真实样本复跑结论不变（16 条向量红 13 / 绿 3，A1/A2/A4 0、A3/A5/A6 1）。	2026-11-11 13:03:13 +08:00
worker-gpushot	1f7dfd7bdd	feat(packaging): GPU 截图证据判定 check_gpu_shot.py（M249 GPUSHOTGATE） ... 把 M246「这张图真是 GPU 档出来的」的人读判据固定成可复跑的门禁： 入参 = 一份 stderr 日志 + 一张 PNG（可选 --expect-refuse），逐条点名失败 的判据（不只印 FAILED），退出码 0/1/2。 判据：① `[shot] … renderer=wgpu`（不是 `[probe] renderer =`，那只是意图） ② `Selected: AdapterInfo` 的 device_type ∉ {Cpu, Other}（与 probe.rs:165-167 同口径）③ PNG 能解码且非空 ④ PNG 宽高 = 日志 [shot] 的宽高 ⑤ `[backend] final=wgpu result=started` ⑥ 复用 check_screenshot.py 的非空白判据。 PNG 解码直接 import 同目录 check_screenshot，不复制第二份解码器。 --expect-refuse 是 A6 负例口径：via=refuse + 无出图行 + 目标 PNG 不存在。 --self-test 跑 tests/gpu_shot_vectors.json 的 16 条向量（红 13 / 绿 3）， 每条给出期望的失败判据清单，变异（允许 Cpu / 删掉 renderer=wgpu 判据） 会让清单对不上而报红。 docs/gpu-evidence.md 记录能证什么（字形栅格与边缘 AA、面板 α 与玻璃、 两后端一致性）与不能证什么（首帧与帧率、整窗 α 与圆角观感 —— 走 DWM， 任何截图都拍不到），并写明历史 --diff 基线已永久不可复核。 本脚本尚未接进 CI（另一条 mission），本 mission 不改 Rust、不改 workflow。	2026-11-11 13:01:44 +08:00
AskaEth	ff1a1677f5	Merge branch 'feat/surface-unknown-launch-placeholders-inst'	2026-11-11 11:40:08 +08:00
AskaEth	c97ec293c3	test(core): 「哪些键真的交给日志」补自动化证据（M244 r2 P2-1） ... 复审 P2-1：旧用例只断言 `collect_fresh`（纯函数）与 `unknown_keys()`（表级清单）， 没人断言 `report` **真的**只把「新键」交给 sink；把 `for key in fresh` 改成 `for key in unknown`（每次渲染重复写日志）当时 6 条用例全绿，而「同键只报一次」正是判据 ③。 - `report_with(&self, unknown, sink: impl FnMut(&str))`：`report` 变成 `report_with(unknown, emit)`，`emit` 仍是 `cfg(test)` 空实现（不碰进程级单例，flake 不回潮）； - 新用例 `report_emits_only_fresh_keys`：假 sink 收集，断言一次渲染内重复只交一次、 跨渲染只有新键才交、顺序与 `collect_fresh` 一致； - 顺手收掉自己列的边角：`unknown_log_line` 先把键名里的 `\r`/`\n` 换成空格 （`launcher.log` 是行导向的，恶意清单塞换行能把一个键变成两行假日志）， 新用例 `log_lines_never_break_into_two_lines`。 变异自证（各自 exit 101，均已还原、文件 sha256 复原）： - `for key in &fresh` → `for key in unknown` ⇒ `report_emits_only_fresh_keys` 红， `left: ["a", "a"] right: ["a"]`； - 删掉 `key.replace(['\r','\n'], " ")` 那一行 ⇒ `log_lines_never_break_into_two_lines` 红， `left: 2 right: 1`。 门禁：fmt / check -p unlucky-core --all-targets / test -p unlucky-core -p unlucky-cli （1678 passed / 0 failed）/ clippy --workspace --all-targets -- -D warnings 全绿。	2026-11-11 11:32:27 +08:00
AskaEth	60607ae7b3	feat(core): 未登记占位符不再静默（M244 PLACEHOLDERWARN） ... `PlaceholderMap::render` 一直把未登记的 `${key}` 原样写回 argv，运行期零校验零告警： 第三方 version JSON 里一个拼错的占位符会原样进 `cmd_built.argv` / `--dry-run`， 用户只看到一个 `${xxx}` 和零解释（M239 REDACTAUDIT §5.2 的机制风险）。 - `render_tracked` 返回 `RenderOutcome { text, unknown_keys }`，未登记键去重保序； `unknown_keys()` 交表级全量清单，供后续接 `AssemblyWarning` / `--dry-run`。 - `render` 在此之上把每个**新**见到的键写一行 `launcher.log`（进程级去重，一个键一次启动 只报一次）；未登记键仍原样保留，argv 逐字节不变（第三方清单兼容性优先）。 - 大小写/首尾空白变体按**不同的键**处理（替换本来就是精确匹配），日志行对近似已登记键的 附「疑似 ${known} 的笔误」提示。 - 测试构建里 `emit` 是空实现：`launcher_log` 是进程级单例，lib 用例并行跑时会把它自己的 `buffer_is_bounded_before_the_dir_is_known` 顶红（实测 205 行）；行文本与「哪些键该记」 分别由 `unknown_log_line` / `collect_fresh` 的用例覆盖，落盘用一次性探针手工验过。 变异自证：把 `note_unknown` 改成空实现 ⇒ 5 条新用例红（exit 101），还原后绿。 门禁：fmt / check -p unlucky-core --all-targets / test -p unlucky-core -p unlucky-cli / clippy --workspace --all-targets -- -D warnings 全绿。	2026-11-11 11:12:23 +08:00
AskaEth	0b40e1dfe2	test(core,presenter): 夹具口径跟随 M240 收窄（长类名不再被抹） ... M240 让词形长路径不再被当成不透明串，而 M241 的两份夹具仍断言「必须被抹成 <redacted:opaque>」——两条各自的 pre-rebase 门禁都绿，合并 tip 上才互相矛盾， 维护主线短暂变红。 - core：raw_evidence_hits_... 改成断言「脱敏文本也保留类名、两边都能命中」， 并改名 ..._and_m240_keeps_it_visible_after_scrubbing；保留一条守卫：若将来 又把词形长路径抹掉，这条会红并提示改用 raw 窗口的用例说明其必要性。 - presenter：展示面与盘上的断言从「不许出现类名」翻成「应保留类名、且不许 出现凭据」——类名不是凭据，留着才看得懂崩溃原因。	2026-11-11 10:48:16 +08:00
AskaEth	8a65562595	Merge branch 'feat/mask-bearer-tokens-followed-by-trailing'	2026-11-11 10:48:07 +08:00
AskaEth	cc90c64b84	fix(core): 行尾句读不再让真 token 整串落盘（M243 BEARERDOT） ... `Bearer <JWT>.`（行尾一个英文句点）整串原样落盘：句点自己属于 dotted 字符集， 扫描器把它算进 run 后 `split('.')` 多切出一个空段，「每段 ≥8」当场不成立。 M240 实测 old == new == 原文，影响 core 的全部落盘/展示面。 修法不是抬阈值：`shape::split_trailing_punct` 在判定前把末尾句读（`.` `,` `;` `)`） 切出去，`push_dotted` 再把句读原位写回——占位符只吃 token 本体，句子标点一个不丢。 只有 `.` 会进入字符集，其余三个本来就在外面，列全是为了「句读不参与判定」只有一处出处。 `has_dotted_token` 的闸门同步改成看同一份切分结果，否则闸门关着就静默不抹。 判据：`tests/bearerdot.rs` 三组——四种形状（`Bearer <JWT>.` / `… <JWT>. then` / `<JWT>,` / `(<JWT>)`）必须抹且标点保留；句点结尾的普通文本（`Service.Unavailable.today.`） 必须逐字原样；两个入口在带句读的输入上必须一致。语料 68 文件 / 243 行仍 0 行被改， JWT/sha256/base64 正例仍被抹。变异自证：把 trim 改回旧行为 → 主判据红（EXIT=101）。 外层两个既有红（diagnose::session / presenter m241 夹具）是 M240 收窄后的口径冲突， stash 回 main HEAD 可复现，已各 file 一条 finding，不在本轮修。	2026-11-11 10:48:04 +08:00
AskaEth	ea108c5fc4	Merge branch 'feat/sync-cli-and-agent-diagnosis-with-stored'	2026-11-11 10:47:33 +08:00
AskaEth	1a06163407	feat(cli): M242 —— ull diag 与 AI diagnose_crash 改读会话里落盘的结论 ... 两个入口原来都是「读回会话事件 → 在**已脱敏**文本上重跑规则」。脱敏一旦有损 （`≥64` 不透明串、带点票据串 → 占位符），重跑出来的不是「少一点细节」，而是 **换一条结论**：`fabric.loader_0_12`（critical）降级成 `integrity.no_class_def_found` （warning，把「Fabric Loader 版本不配套」说成「库没下全」）。M241 起写会话时已经在 原始行上算过结论并落成 `diagnosis` 事件（且过 `scrub_json`），所以两个入口改成 **优先读落盘那份**，只有没有该事件的老会话才回落到重跑。规则 pattern 一个字符没动。 - `commands/sessions/diagnosis.rs`（新）：结论来源选择（stored / rerun）、人类输出渲染； `ull diag` 的 payload 增加 `conclusion_source`，人类输出多一行「结论来源」。 - `commands/sessions.rs`：`diag` 瘦成取结论 + 拼 payload（240 行级 → 拆文件守 ≤400 行）。 - `commands/agent/ports/diagnose.rs`：`diagnose_crash` 同改；`read_game_log` 与 `CrashDiagnosis.evidence` 仍是脱敏文本（隐私选择不变），只换结论来源。 - 用例（真 `SessionWriter` 写盘 → 真 CLI `crate::run` / 真工具注册 + handler）： `sessions/m242_tests.rs`、`agent/ports/diagnose/tests.rs`；含老会话回落用例。 变异自证：关掉落盘分支 ⇒ 两条用例红（`rerun`/`integrity.no_class_def_found`），已还原。	2026-11-11 10:34:18 +08:00
AskaEth	d5a6f5dc50	Merge branch 'feat/narrow-log-redaction-overreach-on-brands'	2026-11-11 10:15:51 +08:00
AskaEth	a07482f828	docs(core): M240 r2 复审 —— 两处注释口径（= 边界代价写清、DNS 形归属改正） ... 纯注释，判据/阈值/测试断言/扫描器零改动。 ① `is_dotted_token_char` 的 doc 原写「JWT 自己的 `=` 只可能是末尾填充，拆出去不损伤 覆盖面」——作为无条件说法不成立。改成有范围的措辞，并把这条例外并入模块文档 「旧行为抹、新行为留」第 1 条（不新开章节）：`-DaccessToken=abcdefgh.ijklmnop.qrstuvwx` （整段 40 字符、三段各 ≥8，旧规则抹）现在 `=` 切段后值只剩 26 < 40 → 原样留下。 旧/新两侧都实测过（`git show 74be510` + rustc 探针 / 当前代码探针）。 ② `cdn_and_mirror_urls_survive` 里 `resources.download.minecraft.example-cdn` 的注释 原写「全靠必须含大写这条必要条件挡住」——不成立：它是 DNS 形状，由 `is_url_authority` → `is_dns_host` 豁免（删掉大写判据该测试仍绿）。改成正确归属，与 `lowercase_dotted_names_are_spared` / `the_uppercase_requirement_is_load_bearing` 的 doc 口径对齐（DNS 形靠主机名豁免、非 DNS 形靠必须含大写）。	2026-11-11 10:15:49 +08:00
AskaEth	66929786c0	docs(core): M240 复审 P2-1/P2-2/P2-3 —— 口径收窄、大写判据钉住、找回丢掉的负例 ... P2-1：「抹除能力没有下降」是绝对承诺，已改成准确口径——收窄的就是三类形状 （`=` 边界、填充不计段长、全小写点分串），每条都在 shape 模块文档里写明，并用 `known_narrowings_old_masked_new_keeps` 把「旧行为抹、新行为留」钉住。三条的旧行为 是用 M240 之前的真实代码（`git show 74be510:…` + rustc 探针）实测的，不是推断。 P2-2：「必须含大写」原先没有任何测试钉住（复审实测：删掉它 13 条仍全绿）。 查明原因：DNS 形状的全小写点分串早就被"首段是主机名"那条豁免救下，大写判据 只对**非 DNS 形状**的全小写点分串承担区分作用（标签带 `_`、标签超 63 字符、 `/` 前只有一段主机名）。选择保留（复审的 (b)），并补 `the_uppercase_requirement_is_load_bearing`（`sophisticated_backpacks.upgrades.reference` 等两条）——删掉判据 → 该测试与 `lowercase_dotted_names_are_spared` 红、其余 15 条绿。 同时改正事实错误：不是"第三段必为大写"，而是头的 base64url **第三个字符**恒为 `ey` + `I/J/K/L`（`7B 22 xx` 的第三组 6 位 = `b1` 低 4 位 ++ `b2` 高 2 位 → 索引 8..11）。 P2-3：找回重构时丢掉的老负例 `dotted_token_rule_does_not_eat_normal_text` （4 条用例 + 直接断言 `!has_dotted_token(...)`，含 `eyJhbGciOiJIUzI1NiJ9.short.abc`）； 语料测试的 doc 注明它**只守一个方向**，不得当"正例仍被抹"的背书。 判据与阈值一个字没动（40 / 3×8 / 64），扫描器代码零改动，纯文档 + 测试。	2026-11-11 10:15:49 +08:00
AskaEth	43f77d8865	fix(core): 收窄日志脱敏的三类误杀（品牌串 / CDN 主机名 / 长路径） ... M239 实测两条形状规则会误杀三类正常文本，被抹掉的正是用户要复制的面 （`--dry-run` 的 argv、`cmd_built.argv`、诊断规则引擎的输入）。修法不是抬阈值 （40 / 3×8 / 64 一个字没动），而是给每条规则加**必要条件**： - `-D<key>=<品牌>` 被当三段式 token：`=` 是赋值边界、退出 dotted 字符集 （JWT 的 `=` 只可能是末尾填充），键里的点号不再把值拖进段数统计。 - CDN/镜像 URL 变成 `https:<redacted:token>`：加"必须含大写"与"首段不是 DNS 主机名"两条必要条件（JWT 头是 JSON，base64url(`{"`) = `eyJ` 必含大写； base64url 不含 `/`）。扫描器先切主机名，路径那半继续判——JWT 放进 URL 路径里照样抹。 - ≥64 无点号长串吞掉整条路径：路径形状（被 `/` 切开且每段是词形名字）整条 保留，但**段本身**≥64 的照抹（`/…/objects/<64 位 hex>` 只抹那一段）。 真凭据的抹除能力不变：登记过明文值的替换路径没碰；正例（本仓 JWT / MSA JWT / `-DaccessToken=` 粘着 / URL 路径里的 JWT / 标准 base64 三段式 / sha256 hex / base64 ≥64 / `A`×64）全部仍被抹。回归语料（M239 的 68 文件 / 243 行）修前被改 1 行 → 修后 0 行。判据与扫描器拆成 redact.rs + redact/{shape,tests}.rs。	2026-11-11 10:15:48 +08:00
AskaEth	775bb75b92	Merge branch 'feat/feed-rule-engine-raw-text-while-keeping'	2026-11-11 09:41:54 +08:00
AskaEth	edd6402fd5	fix(core): 规则结论改在脱敏前算，会话路上 fabric.loader_0_12 能命中（M241） ... 会话 JSONL 是写前脱敏的，而脱敏的「≥64 无点号不透明串」是有损的： fabric.loader_0_12 唯一的证据行（Sponge mixin 类路径 66 字符）被抹成 <redacted:opaque>，规则在会话路上永不命中。 修法不动脱敏策略、也不往盘上多写一份原文： 1. SessionWriter 在内存里留一个 2000 行的原始尾窗（不落盘）； 2. 收尾时把这些**原始**事实交给新的 diagnose::session::conclude 跑规则， 产出契约形状的 diagnosis payload —— 它落盘前仍过 Redactor::scrub_json； 3. 日志页优先读这条落盘结论，老会话才回落到「在脱敏文本上重跑规则」。 为什么不是「原文与脱敏文本并存」：会话 JSONL 里存原文会踩 core/tests/launch/pipeline_cases.rs 早已钉死的「事件流不得含凭据明文」。 顺带把 EventKind 纯搬移到 launch/session/event_kind.rs 守 400 行上限。	2026-11-11 09:19:42 +08:00
AskaEth	74be510114	Merge branch 'feat/fix-narrow-window-chips-squeeze-and-menu'	2026-11-11 08:41:04 +08:00
AskaEth	df0944894f	fix(app-iced): 面板预算按内容推导 + 版本菜单不画 L2 阴影（M238） ... 两条都在「视口不终止内容」这一族里，修法各一半： ① 三栏档面板预算从死的 `PANEL_BUDGET = 300` 改成 `panel_budget(menu_items)` （内边距 24 + 首屏 76 + 间距 8 + 钉死区 88 + 菜单高 + 列表↔面板 21）。 旧常数不含列表↔面板那 21、也不随版本菜单行数变，于是 760/900 档面板实得 286/294px，滚动视口被挤到 54/62px——六枚 loader chip 只露出 10px（736 与 1180 同样严重，纵向预算与窗宽无关）。修后 760 档视口 98px（chips 31px 整枚在屏）、 900 档 106px；列表按整行让出：760 档 4→3 整行、900 档 7→6 整行；只有一条 加载器版本时菜单只占 64px，列表仍是 4 整行。 ② 版本菜单改用 `Menu::flat()`：不是「把阴影裁掉」，而是**不在滚动容器里画阴影**。 `iced_tiny_skia` 0.14 画 quad 阴影走 `draw_pixmap(.., mask: None)` （engine.rs:136-143），绕过裁切掩码；`iced_wgpu` 那边是整层 scissor （quad.rs:96-101）⇒ 同一棵树两个后端画出来不一样。修前菜单底下 54px 一条被压暗 （浅色 249→231，−7.2%，含 8px 缝与实例名框内上半部），修后逐像素等于画布色。 菜单的 L2 令牌不动，真实浮层照旧带阴影。 判据（两条，抓得住的/抓不住的都写进文档注释）： - 结构：`rows/tail.rs` 断言三栏档 760/900 的滚动视口 ≥ 首屏 76px（对生产常量做算术）； - 像素：`options_shot/compact.rs` 断言 chip 描边上下两行都在、且实例名框上方那条缝 与框内都是纯画布色。 变异自证：预算退回 300 ⇒ 结构断言红（"滚动视口只有 54px < 首屏 76px"）；阴影无视 `flat()` ⇒ 像素断言红（"y=660 x=304 是 [231,231,232] 而不是画布色"）。 没验：滚动中/底部三态拍不出来（harness 无 `scroll_to` 派发通道，已另开 finding）。	2026-11-11 08:28:06 +08:00
AskaEth	dbc5274965	Merge branch 'feat/wire-disabled-control-base-into-product'	2026-11-11 07:56:14 +08:00
AskaEth	ba441351dd	fix(app-iced): 复审 r2 三条收口（M237） ... - P1-1 判据会让 CI 一亮红：`java_shot.rs` 原来写「没喂图时 `assert!(CI 未设置)`」， 而 `.github/workflows/ci.yml` 的 test 作业在 ubuntu + windows 上都跑 `cargo test --workspace --all-targets`，出图步骤只给 `options_shot` 备了 `ULL_DL_*_SHOT` （本判据的图不在出图清单里）⇒ `CI=true` 实测 exit 101，一合即红。改成：没喂图**一律响亮跳过** （`not_fed()` + CI 时多一句「本仓 CI 不出这张图，跳过是预期」），模块文档写清「要让它守门需要 跨 scope 加出图步骤 + 注入 `ULL_M237_JAVA_SHOT`，以及那时该怎么改回硬失败」。 自证：`CI=true` 不喂图 → exit 0（改前 101）；无 CI 不喂图 → exit 0；喂图（浅/深）→ 真跑，exit 0。 - P2-1 同类错漏一处：实例列表卡画的是 `MaterialLayer::Card`（`instances.rs:263`）， 但 `list_row` 的 `ListItem` 没传底 ⇒ 行 hover/按下按 `Base::CANVAS` 合成。 改成 `item.base(frame::BASE)`（同一层，不另立常量），并加进接线守卫。 像素证据（`--force-state=hover`，1180×760 列表卡矩形 `(112,160)-(448,735)` 内 before/after 差）： 浅色 57923 px `(232,232,233)→(226,226,227)`，深色 57923 px `(32,38,31)→(35,40,35)` —— 即 hover 8% 从画布底换到卡底。 - 守卫自身升硬：`base_wiring.rs` 的计数原来按整段文本数，**把接线注释掉仍算数**（r2 实测绿）。 改成先剔掉整行 `//` 注释再数；变异自证：注释掉 `item.base(frame::BASE)` ⇒ 红 （`instances.rs: .base(..) 出现 0 次，期望 1 次`，退出码 101），还原后绿。 - 门禁（CARGO_TARGET_DIR=C:/Temp/ull-target/wt-237）：fmt 0 / check --all-targets 0 / clippy --workspace --all-targets -D warnings 0 / test -p unlucky-app-iced --lib 907 通过 0 失败 / test --workspace 3344 通过 0 失败。	2026-11-11 07:56:11 +08:00
AskaEth	3dcd5fd117	feat(app-iced): 页面层把卡片底接进禁用/交互控件（M237） ... M234 把 `interaction::Base` 与组件侧的 `.base(..)` 接好了，但页面层仍是默认的画布底： 卡片（`Role::SurfaceContainerLow`）里的禁用按钮 / chip / 开关把 10% / 12% / 38% 叠在画布色上。 M223 记的「卡片里禁用控件 CR 1.05、形丢失」因此只在 gallery 里修好，产品页没修。 - 导出容器底：`pages::frame::BASE = Base::of(MaterialLayer::Card.surface_role())` —— 取的是 `card()` **真正画出来的那一层**（不是「反正是 surface」）；`logs::panel::BASE` 是同一个常量的别名（两张卡画的是同一个材质层）。 - 接线（改前一律 `Base::CANVAS`，改后 `frame::BASE`）：设置·Java（扫描 / 取消 / 设为默认 chip / 三个输入框 / 添加 / 保存 / 预置项 chip / 下载徽标）；设置·通用（语言三档、主题三档、日志行 两个手写按钮 → 状态层叠 `BASE.role()`）；实例详情（MODS 开关、SAVES 的重试与打开文件夹、 启动参数区的两个输入框 + 后端 chip + 保存 / 恢复）；日志页（诊断卡页脚 `Copy summary`）。 详情头的启动 / 停止 / 动作行**不在卡里**，保持画布底并加注释。 - 判据：`pages/frame/tests.rs` 逐值断言「`BASE` == 卡片画出来的颜色」+ 源码结构盯 `card()` 不许改画别的材质层；`pages/settings/tests/java_shot.rs` 是**页面级像素判据**（读 1180×760 真截图、逐位匹配：卡区里「叠卡底」3136 px vs「叠画布」21 px，深色 3128 / 1）； `pages/tests/base_wiring.rs` 数接线点，守像素够不到的页面（实例详情 MODS / SAVES）。 - 变异自证：撤掉「立即扫描」的 `.base(BASE)` ⇒ 像素判据红（73 px vs 3083 px，退出码 101）； 撤掉诊断卡页脚的 `.base(..)` ⇒ 接线判据红（0 vs 1，退出码 101）。均已还原。 - 门禁：fmt / check -p unlucky-app-iced --all-targets / test --workspace（3344 通过，0 失败）/ clippy --workspace --all-targets -D warnings / 文件 ≤400（最大 389），全部本地过。 - 已知未尽：面板 α<1 的半透明卡（`Base` 只装一个 `Role`）、GPU 档、实例详情与日志页在 1180×760 出图里没有可量测的禁用控件（夹具缺 running，已报 finding）；app_bar / adopt pick / 设置页分组列仍未导出 `BASE`；设置·下载 / 更新 / 助手、账户页、内容库、下载页仍未接线。	2026-11-11 07:56:11 +08:00
AskaEth	cf8a951e29	Merge branch 'feat/fix-accounts-aba-false-red-and-probe-wal'	2026-11-11 06:53:54 +08:00
AskaEth	4952ee2706	fix(accounts,probe): 测试缝换稳定身份（ABA）+ 超时墙钟对齐真实预算（M236） ... 两条 M230 台账判定「真开着」的测试债： 1. accounts 测试缝的 key 是 Arc::as_ptr(&job.cancelled)。job 一 drop，控制块 立刻可能分给下一个 LoginJob，于是新 job 读到旧 job 的记录（ABA），并行跑的 「设备码入口不许置位 browser_first」因此偶发假红。改成 LoginJob 自带的 稳定身份 JobId（cfg(test) 字段，进程内单调递增、永不复用）；ENTRIES 从 Vec<(usize,bool)> 改成带 Weak 的 Entry：record 时 retain 收走已 drop 的 job， 同一 job 覆写成「最后一次」（消掉 mode_for 取第一条的歧义）。 反向证据：身份退回堆地址 ⇒ the_test_seam_does_not_reuse_a_heap_address_as_identity 红（mode_for(&younger) 读到 Some(true)）。 2. probe 的 silent_server_times_out 断 `elapsed < 3s`，跟真实预算（400ms）无关。 改成 预算 + SLACK（400ms + 1s）：抓「预算没生效」（那要等假服务器睡满 5s）， 放开毫秒级精度；并新增两条判据——detail 里的时限就是本次预算（证明走的是 预算分支）、假服务器真的收到 1 次请求（不是没连上就早退）。 反向证据：摘掉 tokio::time::timeout ⇒ 5.08s / unreachable 红；把计时值硬编码 3s ⇒ 3.006s > 1.4s 红。	2026-11-11 06:53:52 +08:00
AskaEth	30d4163816	refactor(accounts): 登录两条流拆到 accounts/login.rs（纯搬移，M236 前置） ... accounts.rs 正好 400 行零余量，本轮要给测试缝换稳定身份，改前必须先拆。 搬移口径：start_login / start_browser_login / msa_auth / fail / finish / store_session 的每一行（含签名与 doc）与搬移前逐行相同（130 行非空行 diff 为空，只有空行分隔差异）；公开路径由 `pub use login::{...}` 保住 （host::accounts::start_login / start_browser_login 不变）。 列表/增删/LoginJob/MsaEntry/测试缝留在父文件：那是测试要用的私有件， 搬走它们就得放宽可见性，纯搬移口径会随之破掉。	2026-11-11 06:53:51 +08:00
AskaEth	32951df3d6	Merge branch 'feat/fix-disabled-control-compositing-base-at'	2026-11-11 06:34:31 +08:00
AskaEth	9bb3c33b8c	fix(app-iced): 复审 r1 四条 P2 收口（M234） ... - P2-1 判据恒绿：`gallery/probe/bases.rs` 的「反向检查」把字段档计数（`:172` 遮蔽后的 `hits`）拿去比按钮档 stray ⇒ 恒绿。改成 `button_hits` / `field_hits` 两个计数，各比各的 stray，失败信息的数值与单位对齐量测对象。变异自证：卡列里留一颗忘了 `.base(..)` 的按钮 ⇒ 该断言单独红（2137 px vs 3178 px，退出码 101）。 - P2-2 FAB 的底错了：禁用态背景仍是满档 `PrimaryContainer`（`Disabled.layer() == None`）， 38% 内容却合在画布上。改成 `Base::of(PrimaryContainer)` + `on_container = false` （那一层 10% 在 FAB 身上不存在），两处调用收进一个 `content_color()`；新增值判据 `disabled_fab_ink_composites_over_its_own_container`（修前 #8CA0AA / 修后 #548FBC 量级）。 - P2-3 漏改：`selection::paint::state_layer()`（hover/focus/pressed）与 `list_item` 的 状态层叠底仍写死 `Role::Surface`，改成跟 `base`；同类两处（`assemble::transparent_state_color` 的 Outlined/Text hover、drawer 项药丸）一并跟上。 - P2-4 文档失真：`feedback/{action,mod}.rs` 删掉「本地 α 合成 / 规则只认两档」的旧描述 与失效链接；`list_item` 的旧签名；三处 `probe/base.rs` → `probe/bases.rs`； 新增 `surfaces::elevated::tests::the_card_base_constant_is_the_role_the_card_paints` 真断言（原来只在文档里声称那条测试守 `BASE`），并把这句描述改准。 - nit：`disabledbase.rs` 字符串里塌成一行的续行空格、probe 汇总行把列左缘横坐标说成 「像素计数」的措辞。 门禁（CARGO_TARGET_DIR=C:/Temp/ull-target/wt-234）：fmt / check --all-targets / test -p unlucky-app-iced（896 + 6 通过，0 失败）/ clippy --workspace --all-targets -D warnings / 文件 ≤400 全绿；probe 浅色与深色都过。	2026-11-11 06:34:24 +08:00
AskaEth	35dbefb08d	feat(app-iced): 禁用态合成底改成容器给的 Base（M234） ... `interaction::disabled` 的四个入口一直收一个「底」，但 8 个调用点全传死 `Role::Surface`：卡片（SurfaceContainer）/ 面板（SurfaceContainerLow）里的禁用控件 把 10%（按钮族）/ 12%（面状控件族）叠在画布色上 —— M223「CR 1.05、形丢失」的根因。 - 新增 `interaction::Base`（画布 / 容器底的一等参数，`From<Role>` 兼容历史调用点）； 四个入口改成 `(ui, base, …)`，内部不再出现任何写死的 `Role::Surface`。 - 容器导出自己的 `BASE`：`surfaces::elevated::BASE`（卡）、`inputs::menu::PANEL_BASE` （菜单面板，项的 38% 与状态层都改叠它）、`navigation::drawer::BASE`。 - 控件收 `.base(..)`：Button / icon_on / Field / SearchBar / Slider / Checkbox / Radio / Switch / Chip / ListItem / Tabs；Fab 与 icon() 是画布默认值。 - `feedback/action.rs` 的本地 α 合成删掉，改走 `disabled_content_over_role` 并给真实容器底 （Snackbar `InverseSurface` / Dialog `SurfaceContainerHigh`）。 - 判据：`interaction::disabled::tests`（卡片/面板/画布三档逐值）、 `buttons::tests::base`（Button::base → StyleSpec → style_closure 接线）、 `gallery` 新增 `disabledbase` 段 + `gallery::probe::bases` 精确像素断言 （±10 容差区分不了 1/255 的差，所以自己数逐位相等的像素）。 - 变异自证：assemble 的调用点改回画布底后，上面两条都红（见 artifacts/m234/README.md）。 已知未尽：`crates/app-iced/src/pages/**` 不在 scope 内，页面侧「把控件放进卡片/面板」的 调用点尚未接 `.base(..)`（行为与本 mission 之前一致）；`pages/…/java/tests/marker.rs` 有一行被迫更新（入口多了一个实参，语义不变 = 画布底）。	2026-11-11 06:34:23 +08:00
AskaEth	a9d1cb4c44	Merge branch 'feat/instance-saves-read-only-list-mvp-storem'	2026-11-11 06:00:29 +08:00
AskaEth	f217d83680	feat(saves): 实例存档 / 截图的只读列表与打开文件夹（M235 STOREMVP） ... 用户诉求是 PCL 差距四项里的「存档截图 / 导入」，M230 审计确认三层全缺。塔裁决 U3 把这一版钉成「只读列表 + 打开文件夹」，不做缩略图墙（缩略图要引图片解码依赖，而 AGENTS §2 只允许 palette-extract 引 image 类依赖；截图/导入产物形态也没定型）。 core - `game::saves`（新）：只读列 `<run_dir>/saves`（世界目录）与 `<run_dir>/screenshots` （图片文件）。只调 symlink_metadata / read_dir / metadata，不建目录、不写文件、不读 文件内容（`icon.png` 只判存在）。目录不存在 ⇒ 空列表不是错误；存在但不可用（符号 链接 / 不是目录 / 读不了）⇒ 具名错误。条目级异常逐条登记原因，不静默丢。 - `platform::opener`（新）：`open_dir` 是**目录**打开器的唯一收敛点（explorer / open / xdg-open），内部复用 `child::quiet`，cfg 分支只此一处。塔明确要求按 AGENTS §6 放 platform 而不是业务模块，并要一条可执行判据防退化 （`the_launcher_literals_live_here_only` 扫 `crates/core/src`：除本文件外不许出现 `"explorer"` / `"xdg-open"` 字面量）。 presenter - `dto::saves`：SavesCommand（List / OpenFolder）、SavesListView、SavesFailureView （结构 + OS 原文，不拼中文）、`SavesListView` 的计数助手。 - `host::saves`：走 `job::spawn`，UI 只收快照；运行目录仍是 `isolation::derive_game_dir` 的同一个答案（与启动 / mod 列表同源，**不写盘**）。 「打开文件夹」打开哪个目录由 host 定：`saves/` → `screenshots/` → 运行目录。 失败分三类（InstanceUnavailable / DirUnusable / OpenFailed），可重试。 - `state::saves`：快照整体替换、迟到结果丢弃、失败保留绑定（重试才有意义）。 - 接线：CoreEvent::Saves / AppCommand::Saves / HostTask::Saves。 app-iced - `pages::instances::saves`：详情页 SAVES 卡片（MODS 之后、启动参数之前；**不套第二层 滚动条**，整列那一条是唯一入口）。世界行带 UTC 时间与「有图标」，截图行带大小与时间； 第一行固定画「这一版只读」（U3 边界让用户看得见）。读盘失败画一条红字 + 「重试」； 打开文件夹失败**不画**重试（那个动作的重试就是再点一次按钮）。 - 接线：Message::{ReloadSaves, OpenSavesFolder}、`sync_saves`（与 `sync_mods` 同一判据）、 Model::saves、`saves_shot` 出图夹具（ULL_SAVES_FIXTURE=1）。 i18n - `InstancesSaves*` 20 条中英成对，catalog 与金表在**同一条锚点**后追加、逐字节一致。 证据 - core 只读判据：`game::saves::tests` 在真盘建世界/截图，调用前后各拍一次 （相对路径, 是否目录, 字节数, mtime）指纹并逐条比对；另有用例钉「目录缺失不建目录」。 - presenter：`host::saves::tests` 真盘端到端（custom 档位派生运行目录 → 快照）。 - GUI：`--software-renderer` 1180×760 浅/深各一张 + 1180×1280 两张「整块卡片可见」 （1180×760 下 SAVES 卡片位于折叠线附近，只能看到卡头；第二对用 ULL_WINDOW_SIZE 把窗口拉高，口径与 M98 的矩阵一致），落 `DevDocs/artifacts/M235/`。 没做的（U3 边界内，见 handoff）：缩略图墙、导入、删除/重命名、`level.dat` 的 LevelName 解析（世界名暂时就是目录名）。	2026-11-11 06:00:27 +08:00
AskaEth	3789cb7e61	Merge branch 'feat/fix-launch-dry-run-disk-side-effect-dryr'	2026-11-11 05:27:43 +08:00
AskaEth	c917bfa18f	fix(core,cli): M231 复审三条 P2 —— 恢复误删用例 / 收窄 --dry-run 文案 / 判定链去重 ... P2-1：`natives_cases.rs` 里 `missing_native_jar_becomes_missing_component` 是上一轮 批量截断时**误伤**掉的（我把「tree_snapshot 之后的所有内容」整段砍掉，连带这条与 dry-run 无关的用例），不是有意删。现已从 main 原样贴回，`MissingNativeJar` / natives 组件缺失这条用户可见失败路径恢复覆盖。 P2-2：help 的「也不写盘」是过度承诺 —— `commands/launch.rs` 的 `launcher_log::set_dir` /`record_start`/`record` 都在 `if args.dry_run` 之前，dry-run 仍会 append `<数据根>/logs/launcher.log`（连父目录 create_dir_all）。文案收窄成「不碰版本树 （不解压 natives、不建 natives 目录）；启动器自身的运行日志照记」。core 的 `DryRun` 文档同步加了「本层承诺 / 调用方日志另算」的边界。 P2-3：`extract` 与 `preview` 的「无 jar / 戳记命中 / 重解」判定链合成 `inspect()` 一份， 返回 `DirStatus`（NoJars / Ready(files) / Stale）+ 源 jar 指纹；两个入口只在这里分叉。 另：`tree_snapshot_notices_a_transient_directory` 在全量并行跑时偶发红（本轮门禁抓到 1 次， 单跑 3 次全绿）——「建了立刻删」对父目录 mtime 的影响会被 NTFS 合并。换成确定性自检 `tree_snapshot_sees_new_nodes_and_mtime_changes`（新节点 + 同内容重写的 mtime 变化）， 并把这条能力边界写进 `tree_snapshot` 的「抓不住」。	2026-11-11 05:18:56 +08:00
AskaEth	1fa30c4885	fix(core): launch --dry-run 不再落盘（natives 只预览，零建目录/零写文件） ... `ull launch --dry-run` 在「环境准备」段走的是真解压：即使只打印命令行，也会在 `versions/<id>/natives/` 下建目录、解 dll、写戳记，把别人的版本树改脏（父目录 mtime 也变）。失败路径（缺 jar 报 missing_components）照样留下这些副作用。 - natives 新增 `preview()`：与 `extract()` 共用条目筛选与戳记口径，但零落盘 （无 create_dir_all / clear_natives / write_stamp），只清点「将写下几个原生库」； jar 打不开照样报错，预览不藏坏包。 - `NativesReport` 增 `planned` / `dir_exists`：预览报告自报家门，人读行与 JSON 说清「未落盘」「目录尚不存在」。 - `Launcher::dry_run` 改走 `preview_environment`，`spawn` 仍走 `prepare_environment`。 - 报告类型拆到 `natives/report.rs`（mod.rs 曾破 400 行红线）。 - 回归测试（natives_dry_run_cases.rs）：有 jar / 无 jar / 空 jar / 已解压过四条 零落盘判据，用「节点类型 + 纳秒 mtime」快照逐字比较版本树，并带一条判据自检 （瞬时建删目录必须被快照看见，防假绿）。 - help：`--dry-run` 的承诺补成「不写盘、不解压 natives、不建目录」。 证据（外部版本树 versions/1.16.5 + 真 natives jar）： 修复前 dry-run 后 versions/1.16.5 mtime 1794342830.6861426 → 1794342832.4544542， 新增 natives/ + lwjgl.dll + OpenAL.dll + .ull-natives.json；修复后同一场景快照逐字 不变（mtime 1794343730.6618167），JSON natives.planned=true / dir_exists=false。	2026-11-11 05:18:54 +08:00
AskaEth	774a547aa0	Merge branch 'feat/clean-stale-comments-and-cli-loader-text'	2026-11-11 04:52:10 +08:00
AskaEth	38d1f3c20f	docs: DOCFIX-2 收口三处旧口径注释（M232） ... - cli/cli/model.rs:147 `InstallArgs::loader` 文档补 `liteloader`（第六个可装取值）， 并点明 `optifine` 是「认得出但装不了」→ `loader_unsupported`； - commands/instances/tests.rs:103 删掉「只在认得出但装不了的那两家会红」的旧口径， 改成真实理由（第三方前缀形状、没有 `<mc>-<kind>-<ver>` 段）；:231 同句副本改成 「optifine 装不了 / liteloader 自 M222 起能装」； - addon/loader/liteloader.rs:44 `DEFAULT_REPO` 文档由「BMCLAPI 有 bmclapi-liteloader 改写规则」改为「直连官方」：该规则自 M225 起 mirrors.json 里是 enabled=false （镜像侧实测 404），并按 M225 finding 的方向补上「库走 CENTRAL_REPO」。 纯文档，零行为变化。	2026-11-11 04:38:53 +08:00
AskaEth	654e12c100	Merge branch 'feat/m229-ink-cat-skin-rollout-app-iced-inksk'	2026-11-11 01:49:19 +08:00
AskaEth	36bac74822	docs(app-iced): probe 模块文档的复现命令补 SECTION（M229 复审 r3 P2-1） ... r5 报告说「模块文档复现命令已补 `ULL_GALLERY_SECTION`」，但 diff 只碰了 `shot_path()` 与 测试体——模块文档 9-15 行一个字没改，照抄那条命令仍 exit 101（panic 报只支持 buttons/divider）。 这轮补齐： - 模块文档复现命令改成两组（`ULL_GALLERY_SECTION=buttons` / `=divider`），产物路径用 `${CARGO_TARGET_DIR:-target}`（本仓一树一 target，旧命令的 `./target/debug` 在 worktree 里根本 没有 exe），并写明 `all` 不支持及其理由； - `shot_path()` 的文档改真：它只读 `ULL_GALLERY_SHOT`，「这张图属于哪一段」由测试体开头那条 assert 管（assert 早已搬走，且现在也认 divider）——原文还写着「此处不满足就失败」； - 收掉 assert 文案里的九连空格接缝； - 矩阵带过滤的注释从「`all` 默认会画全段」改成「buttons 段没有后续段，过滤是防御性的」。 自证：按文档两组命令实跑，四条命令全部 exit 0；`grep -n ULL_GALLERY_SECTION probe.rs` 命中 8/15/17/21/23（模块文档）与 144/150/357（实现）。	2026-11-11 01:49:16 +08:00
AskaEth	f5a2610e4d	docs(app-iced): 值字级注释改真 + probe 只认 buttons/divider + 截图主题钉死回归测试（M229 复审 r2） ... 1) P1-2 的注释值与量测对齐（四处）：`elevated.rs` 的 `PAD`/`Texts::title`/`texts()` 与 `pages/instances/detail.rs` 还写着「值 14/400」，而实现是 12/400；`PAD` 文档更把 12px 的 118px 量测挂在「14px 下」。全部改成真值，并把 14px=138px 与 12px=118px 两个量测并列写清。 2) probe 门禁只解决一半：`SECTION=buttons` 绿、`SECTION=all` 仍红（sizes 段的实心块撞「按钮 40 高」判据），断言文案却写「all 或 buttons」。现在： - 只支持 `buttons`（按钮矩阵，实心块判据**只量矩阵区**，后续段不再参与）与 `divider` （分隔线两条判据，独立出口）； - `all` / 其它 / 未给 → 明确失败并给理由（整页比 1180×760 高，分隔线段与按钮矩阵不可能同屏； 整页图的 chip/卡片会被当按钮量）； - 模块文档的复现命令补上 `ULL_GALLERY_SECTION`（以前照着跑会 panic）； - `gallery/mod.rs` 的「五段」→ 七段；`gallery/buttons.rs` 的「8 行 + icon·standard」→ 9 行 + 四式。 3) 截图通道的主题档钉死此前没有回归测试（复审 r2 P2-a）。新增 `the_screenshot_channel_pins_the_theme_mode_instead_of_reading_the_file`：两份不同的机器配置 + 同一组截图参数 ⇒ 同一个档位且等于参数；反证非截图通道下两份配置确实分出两档。 变异自证：把分支改回 `bridge.load().1` → 该测试红（left: Dark, right: Light）。 门禁：fmt --check 0 / check -p unlucky-app-iced --all-targets 0 / test -p unlucky-app-iced 0 （887 passed + 6 integration）/ clippy -p unlucky-app-iced --all-targets -D warnings 0 / 400 行扫描干净。 probe 亲跑：buttons 浅+深两张 sheet OK，divider 一张 OK，`all` 按预期被拒。	2026-11-11 01:49:16 +08:00
AskaEth	8958b7f67d	fix(app-iced): IconButton Outlined 真的画环 + ELEVATED CARD 值串单行（M229 复审 P1） ... P1-1：`icon()` 把 `StyleSpec.stroke` 写死 `0.0`，`IconVariant::Outlined` 的描边角色只到 `roles()` 为止、没画出来 —— Outlined 与 Plain 逐像素相同。改成「有描边角色就是 1px」， 并把「角色 → 填充/内容/描边」抽成 `icon_style_spec()`（`icon()` 直接吃它），单测因此能断言 **接线**而不只是断言 `icon_stroke()` 这个纯函数（第一版正是这样漏掉调用点的）。 回归门两条：纯函数/接线（`buttons/tests/icon.rs`，变异回 0.0 时红）+ 渲染层 （`gallery/probe/rows.rs`：图标按钮左缘 4px 带里 Outlined 有环墨、Plain 必须 0 px； 变异后重出图再跑会红）。环在软渲染里是 Outline 叠画布的抗锯齿混色（实测 110/124/110， 本体 123/138/123），所以判据是「这一带有墨/没墨」而不是颜色匹配。 P1-2：ELEVATED CARD 内距 24 + 值 16px 让「2026-10-29 19:22 UTC」折行，同排卡底不齐； 旧测试还断言 20/14（不变量 118+2×padding ≤ 160 变成 166 > 160，假绿）。 按塔裁决「收内距/字号、不破卡片宽度契约」：`PAD` 24 → 20（= card_padding）、值字级 → BodySmall 12。 量测：时戳 14px 墨水宽 138px（160 外框内宽 120 放不下）、12px 为 118px（放得下，余 2px）。 测试改成四条绑一起（字级 12 / 内距 20 / 160−2×PAD ≥ 118 / 2 列实际宽度也 ≥ 118）， 并反证「14px 确实放不下」防登记被当噪音删掉；变异回 14px 时红。 P2（顺带）： - 截图通道的主题档由 `--screenshot-theme` 钉死（此前读机器 launcher.json，设置页主题行会漂） - `gallery::probe` 只认 gallery sheet（必须给 `ULL_GALLERY_SECTION`，否则整页图的 chip 会被当按钮量）、 行表 8 → 9 行（四式图标按钮）、分隔线判据只在渲染了 divider 段时执行、逐行阈值 40 → 30 并加 「满档色像素必须少于 38% 像素」的反向判据、probe 拆出 `probe/rows.rs` 守 400 行 - FAB extended 的重复分支合成一处，右内距提取 `EXTENDED_PAD_END`；iced 0.14 无 `Length::Min`， 「最小宽随标签增长」退化为固定宽已登记 - 五处注释谎言改真（theme/tests、general/theme、elevated、launch_args、app/tests/theme） `buttons/tests.rs` 加用例后 402 行 ⇒ 图标按钮那组拆到 `buttons/tests/icon.rs`。	2026-11-11 01:49:15 +08:00
AskaEth	6ed26626db	docs(app-iced): 登记禁用滑块激活轨 38% 为 Pixel 级偏离 #9（M229 复审 r3） ... 复审核对出 artifacts README 的归因错误：`page-settings-g1-dark.png` 里禁用滑块轨是 `on-surface@38% over surface`（轨带 6030 px），不是面状控件族的 12%；上一版引用的 7 px 12% 小簇在 Image path 字段标签附近，与滑轨无关。 按塔裁决**不改实现**：规格卡只定义了面状控件族（chip 描边 / switch 轨 / 字段底 / 滑轨未激活段）的 12%，而禁用**激活轨**沿用 M3 `SliderTokens.DisabledActiveTrack` 的 38% —— 两者是两个族。 登记写在本文件参考值表下方（`DevDocs/` 被 gitignore，README 里的同一段无法入库，故以代码为准）。	2026-11-11 01:49:15 +08:00
AskaEth	4ce24d6fbd	fix(app-iced): 禁用态与遮罩改从品牌板合成（M229 复审 F1）+ 选择类图注回填（F2） ... F1（核心）：三处 `Scheme::baseline(ui.flavor())` 自己重算了一份方案，绕开 `Ui` 里注入的品牌板， 于是 Ink 板上的禁用控件与对话框遮罩仍按 tone 派生的天蓝中性合成（复审量到滑块轨道 #58646C、 填充框 #222E36、遮罩 #060E13，全是蓝系）。修法：`Ui::scheme()` 公开已注入的那份， `interaction/disabled.rs`（两族合成 + 内容色）、`feedback/dialog.rs`（scrim）、 `feedback/action.rs`（禁用动作文字）改为从它取。 修完 Ink 下实测：禁用容器（12%）#292F28、按钮容器（10%）#252B24、遮罩 #0A0E0A（绿系中性， R = B）；Silver 档遮罩 #A9A9AA。旧三个蓝系值在 7 张深色图里出现次数均为 0。 回归门：`disabled_colors_follow_the_brand_board_not_the_tone_baseline`（按板合成 + 与 baseline 不等 + 深色档 G ≥ B）、`scrim_is_scrimalpha_precomposited_onto_the_canvas` 增加「不许退回 baseline」。 F2：`selection/{matrix,mod,checkbox,radio,geometry}.rs` 里「20×20 / rx2 / 外圈 20」回填成实际渲染的 「18×18 / rx4 / 外圈 18」（勾形比例不变 ⇒ 10.8dp），并按塔裁决把搜索药丸容器从 `SurfaceContainerHigh` 抬到 **`SurfaceContainerHighest`**（贴规格卡，与 filled 字段同底）； `search.rs` / `probe/search.rs` / gallery `inputs` 图注同步。展开的搜索面板与菜单是浮层， 仍留 High 档（已在文档里写明不是漏改）。 `interaction/disabled.rs` 加测试后 405 行 ⇒ 单测纯搬移到 `interaction/disabled/tests.rs`。	2026-11-11 01:49:14 +08:00
AskaEth	f9877a89d8	fix(app-iced): 下载页页头「内容库」选中态反转（M229 复审 F3） ... `pages/content.rs::section_switcher` 把 `on_content` 写死成 `true`，而下载页也调它， 于是版本管理页的页头把「内容库」画成选中、「版本管理」画成未选中。 改成由调用方给位置：下载页传 false、内容库页自己传 true；并加一条源码层面的调用点断言 （iced 的 Element 不可内省，判据只有一行，写错必红）。 不是 M229 引入的缺陷（M109 就有），按复审要求单独提交，不与收官换肤混在一起。	2026-11-11 01:49:14 +08:00
AskaEth	db541c820e	feat(app-iced): Ink Cat / Silver Cat 换肤 —— 双色板默认 + 规格卡组件几何（M229） ... 产品出厂外观从 tone 派生的 `Scheme::baseline` 切到品牌色板：深色 = Ink（淡绿）、 浅色 = Silver（钢蓝），D38 取色链（背景图 / 壁纸）仍然优先，取色失败回落到色板。 主题三档接进设置页「通用 → 主题」：Ink / Silver / 跟随系统（落盘仍是 `appearance.theme_mode` 的 dark / light / auto，不新增配置键）。 组件几何按规格卡对齐（M228 的 `inkcat` 登记项逐条落地）： - 卡片圆角 12 → 16；实例元信息卡改用新的 ELEVATED CARD（无描边、SurfaceContainer 底、内距 24、上标注 11/600） - Snackbar 48/4 → 52/16（双行 72） - Checkbox 20/rx2 → 18/rx4；Radio 20 → 18 Ø（内点仍 10） - 按钮加 XS~XL 五档（产品仍只用 S=40），内距改走 ControlSize::pad_x - 新增 FAB 四态（40/56/80/160×56）与图标按钮第四式 outlined - 语言与主题两行 chips 统一成规格卡 chip（32 高 / rx8） `theme.rs` 原本正好 400 行，先把单测纯搬移到 `theme/tests.rs` 再加色板字段； `app/tests.rs`、`settings/general.rs` 同样按纯搬移拆分守 400 行硬线。 验证：cargo fmt --all --check、cargo check -p unlucky-app-iced --all-targets、 cargo test --workspace（除 clippy 前的一轮 flake，见报告）、cargo clippy --workspace --all-targets -- -D warnings、全仓 400 行扫描。视觉矩阵 42 张在 DevDocs/artifacts/m229/（gitignored，不进提交）。	2026-11-11 01:49:13 +08:00
AskaEth	a06b7ff4ec	Merge branch 'feat/m227-narrow-window-layout-budget-narrowf'	2026-11-10 23:07:23 +08:00
AskaEth	4f5a76f238	docs(download): r2 复审返工——改名后的旧注释三处、视口高度口径如实分档、fade 单测改成对生产值断言（M227） ... P2-1（三处改名后旧注释 + 一处口径，纯文档/注释，无像素变化，未重出图）： - `install.rs` 段标题「两个 Shared 分支」→「两支「面板先保预算」的分支（Shared / Narrow）」， 两条子项分别标注 `(Shared)` / `(Narrow)`（改名后只剩一个 Shared，另一支已是 Narrow）。 - `options/view.rs` 的 `Shared` 条目删掉「（chips 档还可能有错误行）」——chips 档被 arm 1 接走 给 `Narrow`，`Shared` 走不到错误行；`Narrow` 条目本来就写对。 - `tests/options_shot/chips.rs` 断言③ 的注释：实测这条断言在窗口 518–610 里命中的是 y=550、宽 94px 的**实心「安装」药丸**，版本菜单容器上沿在 636–639（窗口外）——删掉 「菜单容器的满宽底边」这个错误替代项，并把实测值写进注释。 - 滚动区高度口径：八审原文恢复为「1180×760 ≈96–104px」（署名真实性），另起一句写 M227 在 tip 上的复量：1180×760 = 101px、1180×900 = 109px、窄档 = 120px，并注明 r2 量的 116px 与 109px 只差「钉死区从哪一行算起」。`DevDocs/artifacts/m227/README.md` 同句一并改。 P2-2（fade 单测空转，r2 实测变异 STEPS=6 仍绿）： - 步数与 α 曲线提成 `pub(super) const VIEWPORT_FADE_STEPS` + `pub(super) fn step_alpha(i)`， `viewport_fade` 用它们；单测改成对**生产值**断言四条：步数 = 高度像素数（1px/条）、 α 严格递增且除末条外 <1、相邻增量非递减（曲线要凸）、末条 = 1.0。 变异验证（自己跑，红过再还原）： - `VIEWPORT_FADE_STEPS` 12 → 6：`panicked … 步数必须等于高度像素数：12px 要 1px 一条， 现在 6 条 ⇒ 2px/条`，MUTATION_EXIT=101；还原 12 后 GREEN_EXIT=0。 - `t.powf(1.6)` → `t.powf(1.0)`：`panicked … 第 2 条比前一条浓得更少…曲线要凸（t^1.6）`， MUTATION2_EXIT=101；还原后绿。 门禁（真实退出码，CARGO_TARGET_DIR=C:/Temp/ull-target/wt-227，-j 4）： fmt 0 / check -p unlucky-app-iced --all-targets 0 / test --workspace 0（67 个 ok， app-iced lib 875 passed，四条像素守门 + fade 单测全绿）/ clippy --workspace --all-targets -D warnings 0 / .rs 扫描 >400 行 0 个、<2 字节 0 个。	2026-11-10 23:07:20 +08:00