AskaEth/Unlucky-Launcher
1
0 Fork 0
Code Issues Pull Requests Actions 7 Packages Projects Releases Wiki Activity
712 Commits 3 Branches 6 Tags
843f6d08f9ad10c1c45ca2876494ddb6abb98997
Commit Graph
84 Commits
Author SHA1 Message Date
AskaEth 843f6d08f9 feat(saves): 截图缩略图墙（M251 · D54 全套：解码/缓存/上限/可见失败） 
按 D54 落地，解码在 palette-extract、缓存在 presenter、像素随快照走、壳层只画。

palette-extract（上一提交）→ presenter：
- dto/saves/preview.rs：ScreenshotPreview{NotGenerated,Ready,Failed} + ThumbnailView
  （带 is_consistent：长度 ≠ w×h×4 的像素不许进渲染器）+ ScreenshotThumbKind；
  ScreenshotView 新增 preview 字段（像素不落盘，随 IPC 面走）；
- host/saves/thumbs.rs：attach() 在后台线程（spawn_list 同一条线程）按 mtime 倒序解前
  60 张、单张 >8 MiB 先查大小不进解码器、失败也逐条带原因；进程级 memo 键 =
  (路径, mtime, 大小)，覆盖/替换都会重解；超过 240 条只留本拍碰到的键；
- presenter 新增依赖 unlucky-palette-extract（塔已批，方向 presenter → palette-extract）。

app-iced：
- saves.rs 拆成 model / rows / wall（原文件 385 行，加完墙必破 400）：model 里建一次
  iced Handle（渲染回调零解码、零重复上传），wall 3 列排格子，没像素的格子给
  160×90 占位框 + 逐条原因；text.rs 拆出 text/saves.rs 承载存档/截图一族文案；
- i18n 加 4 条「这一格为什么没有图」（未生成/太大/读不出/解不出）+ 金表同步；
- 出图夹具（saves_shot）合成两种场景的像素，并摆出四种格子（真图×2/未生成/超限失败）。

用例：presenter 9 条（含缓存命中不重解、mtime 变了必重解、第 61 张不解、
>8MiB 不进解码器、缓存有界）+ app-iced 3 条（三种格子的副文案、坏像素降级）。
 2026-11-11 16:33:56 +08:00
AskaEth 8c67e4eca6 fix(presenter,app-iced): 「游戏在跑」挡在落 core 之前（M247 r2） 
塔裁决：三个写操作在实例启动/运行时必须拒，判据不能只靠界面灰按钮 ——
Windows 上是 os error 32 兜底，**Linux 上删一个正在跑的世界会成功**，那是在
用户玩到一半时把存档删掉。

- host/dispatch.rs：`AppCommand::Saves` 与 `AppCommand::Mods` 同款，先查
  `CoreHost::in_flight(&id)` 再把 `running` 传下去
- host/saves.rs::dispatch 增 `running`：为真时三个写操作**不 spawn、不碰盘**，
  直接回一条 `SavesFailureKind::GameRunning` 的结构化失败；读路径与「打开文件夹」不受影响
- dto：新增 `GameRunning` 类别（不折进 WriteFailed —— 那不是"写失败"，是"我们主动没写"）
- i18n：「游戏正在运行（先退出再操作）」中英成对 + 金表同步
- 用例：在飞时三条写命令盘上指纹不变/世界还在/备份落点没建，且回 GameRunning；
  反向用例钉住闸门没有把写操作一并关死；UI 侧断言三种动词的主句都不出现「写盘失败」且不画重试
- 拆分（400 行）：host/saves.rs → host/saves/write.rs；两处测试各拆出 write 子模块
- SavesState 模块文档补「生命周期」表：draft / pending / confirm 谁写谁清、何时必须清，
  并把 confirm「取走即清」（连点两下不删两个）写成安全不变量
- 出图：ULL_SAVES_FIXTURE=running 一张（失败那句话的样子）
 2026-11-11 13:29:56 +08:00
AskaEth c921b9c185 feat(core,presenter,app-iced): 存档三个写操作（重命名 / 删除 / 备份）+ 行操作区（M247 SAVESOPS） 
core::game::saves 新增 write 模块，三个入口的第一句都是 boundary::guard：

- rename_world：saves/<old> → saves/<new>，撞名/同名/非法名字各自具名拒绝
- delete_world：递归删（不跟随符号链接、层级上限 64），先过边界校验
- backup_world：流式 zip（限额预检 → 临时文件 → 原子改名），
  <世界名>-YYYYMMDD-HHMMSS.zip，撞名顺延，绝不覆盖上一份

guard 三道判据（每次写前重做，不信任调用方）：名字必须是单段裸名字；
saves/ 必须是运行目录的真实直属子目录；世界目录必须是 saves/ 下的真目录
（解析后比父级，不比字符串前缀）。落点目录要求绝对路径（相对路径会落到进程 CWD，
实测过一次）。

presenter：SavesCommand 增 RenameWorld/DeleteWorld/BackupWorld，host 三个后台入口
写成功后重新列一遍目录并把「回执」挂在快照上（SavesOped：改名两端 / 被删的名字 /
备份落点+字节数+跳过的链接数）。SavesFailureView 增 file 与 op，写失败八类一一对应。
SavesState 增 draft / pending / confirm 三样交互态（草稿是行内输入缓冲，
pending 与 ModsState::pending 同一条先例，confirm 是删除确认框在等谁）。

app-iced：世界行右侧重命名/备份/删除；行内输入框改名（现成模态队列没有「输入变了」
这一条消息，用输入模态等于重写一套）；删除走现成 modal 的 Confirm，主按钮落点接在
app/update/dialog.rs。回执行画在卡片里（备份落点看不见就是静默失败）。

i18n：新增 25 条中英成对 key + 金表同步；删掉 M235 的「这一版只读」那条（写操作接上
之后它是假的）。出图夹具 ULL_SAVES_FIXTURE=rename|confirm|backed-up 三种形态。
 2026-11-11 13:29:56 +08:00
AskaEth 0b40e1dfe2 test(core,presenter): 夹具口径跟随 M240 收窄（长类名不再被抹）
Guards / 依赖许可与来源（cargo-deny） (push) Canceled after 0s
Details
Guards / 文件行数 ≤400 守门 (push) Canceled after 0s
Details
Guards / unsafe 落点守门（集合必须恰好等于期望） (push) Canceled after 0s
Details
Guards / design 零第三方依赖守门 (push) Canceled after 0s
Details
Guards / presenter 零 UI 守门 (push) Canceled after 0s
Details
Guards / core 零 UI 守门 (push) Canceled after 0s
Details
Dev Guards / 架构与合规守门（同 main 口径） (push) Canceled after 0s
Details
Dev Guards / fmt (rustfmt --check) (push) Canceled after 0s
Details
Dev Guards / clippy (ubuntu) (push) Canceled after 0s
Details 
M240 让词形长路径不再被当成不透明串，而 M241 的两份夹具仍断言「必须被抹成
<redacted:opaque>」——两条各自的 pre-rebase 门禁都绿，合并 tip 上才互相矛盾，
维护主线短暂变红。

- core：raw_evidence_hits_... 改成断言「脱敏文本也保留类名、两边都能命中」，
  并改名 ..._and_m240_keeps_it_visible_after_scrubbing；保留一条守卫：若将来
  又把词形长路径抹掉，这条会红并提示改用 raw 窗口的用例说明其必要性。
- presenter：展示面与盘上的断言从「不许出现类名」翻成「应保留类名、且不许
  出现凭据」——类名不是凭据，留着才看得懂崩溃原因。
 2026-11-11 10:48:16 +08:00
AskaEth edd6402fd5 fix(core): 规则结论改在脱敏前算，会话路上 fabric.loader_0_12 能命中（M241） 
会话 JSONL 是写前脱敏的，而脱敏的「≥64 无点号不透明串」是有损的：
fabric.loader_0_12 唯一的证据行（Sponge mixin 类路径 66 字符）被抹成
<redacted:opaque>，规则在会话路上永不命中。

修法不动脱敏策略、也不往盘上多写一份原文：
1. SessionWriter 在内存里留一个 2000 行的原始尾窗（不落盘）；
2. 收尾时把这些**原始**事实交给新的 diagnose::session::conclude 跑规则，
   产出契约形状的 diagnosis payload —— 它落盘前仍过 Redactor::scrub_json；
3. 日志页优先读这条落盘结论，老会话才回落到「在脱敏文本上重跑规则」。

为什么不是「原文与脱敏文本并存」：会话 JSONL 里存原文会踩
core/tests/launch/pipeline_cases.rs 早已钉死的「事件流不得含凭据明文」。

顺带把 EventKind 纯搬移到 launch/session/event_kind.rs 守 400 行上限。
 2026-11-11 09:19:42 +08:00
AskaEth 4952ee2706 fix(accounts,probe): 测试缝换稳定身份（ABA）+ 超时墙钟对齐真实预算（M236） 
两条 M230 台账判定「真开着」的测试债：

1. accounts 测试缝的 key 是 Arc::as_ptr(&job.cancelled)。job 一 drop，控制块
   立刻可能分给下一个 LoginJob，于是新 job 读到旧 job 的记录（ABA），并行跑的
   「设备码入口不许置位 browser_first」因此偶发假红。改成 LoginJob 自带的
   稳定身份 JobId（cfg(test) 字段，进程内单调递增、永不复用）；ENTRIES 从
   Vec<(usize,bool)> 改成带 Weak 的 Entry：record 时 retain 收走已 drop 的 job，
   同一 job 覆写成「最后一次」（消掉 mode_for 取第一条的歧义）。
   反向证据：身份退回堆地址 ⇒ the_test_seam_does_not_reuse_a_heap_address_as_identity
   红（mode_for(&younger) 读到 Some(true)）。

2. probe 的 silent_server_times_out 断 `elapsed < 3s`，跟真实预算（400ms）无关。
   改成 预算 + SLACK（400ms + 1s）：抓「预算没生效」（那要等假服务器睡满 5s），
   放开毫秒级精度；并新增两条判据——detail 里的时限就是本次预算（证明走的是
   预算分支）、假服务器真的收到 1 次请求（不是没连上就早退）。
   反向证据：摘掉 tokio::time::timeout ⇒ 5.08s / unreachable 红；把计时值硬编码
   3s ⇒ 3.006s > 1.4s 红。
 2026-11-11 06:53:52 +08:00
AskaEth 30d4163816 refactor(accounts): 登录两条流拆到 accounts/login.rs（纯搬移，M236 前置） 
accounts.rs 正好 400 行零余量，本轮要给测试缝换稳定身份，改前必须先拆。
搬移口径：start_login / start_browser_login / msa_auth / fail / finish /
store_session 的每一行（含签名与 doc）与搬移前逐行相同（130 行非空行
diff 为空，只有空行分隔差异）；公开路径由 `pub use login::{...}` 保住
（host::accounts::start_login / start_browser_login 不变）。
列表/增删/LoginJob/MsaEntry/测试缝留在父文件：那是测试要用的私有件，
搬走它们就得放宽可见性，纯搬移口径会随之破掉。
 2026-11-11 06:53:51 +08:00
AskaEth f217d83680 feat(saves): 实例存档 / 截图的只读列表与打开文件夹（M235 STOREMVP） 
用户诉求是 PCL 差距四项里的「存档截图 / 导入」，M230 审计确认三层全缺。塔裁决 U3
把这一版钉成「只读列表 + 打开文件夹」，不做缩略图墙（缩略图要引图片解码依赖，而
AGENTS §2 只允许 palette-extract 引 image 类依赖；截图/导入产物形态也没定型）。

core
- `game::saves`（新）：只读列 `<run_dir>/saves`（世界目录）与 `<run_dir>/screenshots`
  （图片文件）。只调 symlink_metadata / read_dir / metadata，不建目录、不写文件、不读
  文件内容（`icon.png` 只判存在）。目录不存在 ⇒ 空列表不是错误；存在但不可用（符号
  链接 / 不是目录 / 读不了）⇒ 具名错误。条目级异常逐条登记原因，不静默丢。
- `platform::opener`（新）：`open_dir` 是**目录**打开器的唯一收敛点（explorer / open /
  xdg-open），内部复用 `child::quiet`，cfg 分支只此一处。塔明确要求按 AGENTS §6 放
  platform 而不是业务模块，并要一条可执行判据防退化
  （`the_launcher_literals_live_here_only` 扫 `crates/core/src`：除本文件外不许出现
  `"explorer"` / `"xdg-open"` 字面量）。

presenter
- `dto::saves`：SavesCommand（List / OpenFolder）、SavesListView、SavesFailureView
  （结构 + OS 原文，不拼中文）、`SavesListView` 的计数助手。
- `host::saves`：走 `job::spawn`，UI 只收快照；运行目录仍是
  `isolation::derive_game_dir` 的同一个答案（与启动 / mod 列表同源，**不写盘**）。
  「打开文件夹」打开哪个目录由 host 定：`saves/` → `screenshots/` → 运行目录。
  失败分三类（InstanceUnavailable / DirUnusable / OpenFailed），可重试。
- `state::saves`：快照整体替换、迟到结果丢弃、失败保留绑定（重试才有意义）。
- 接线：CoreEvent::Saves / AppCommand::Saves / HostTask::Saves。

app-iced
- `pages::instances::saves`：详情页 SAVES 卡片（MODS 之后、启动参数之前；**不套第二层
  滚动条**，整列那一条是唯一入口）。世界行带 UTC 时间与「有图标」，截图行带大小与时间；
  第一行固定画「这一版只读」（U3 边界让用户看得见）。读盘失败画一条红字 + 「重试」；
  打开文件夹失败**不画**重试（那个动作的重试就是再点一次按钮）。
- 接线：Message::{ReloadSaves, OpenSavesFolder}、`sync_saves`（与 `sync_mods` 同一判据）、
  Model::saves、`saves_shot` 出图夹具（ULL_SAVES_FIXTURE=1）。

i18n
- `InstancesSaves*` 20 条中英成对，catalog 与金表在**同一条锚点**后追加、逐字节一致。

证据
- core 只读判据：`game::saves::tests` 在真盘建世界/截图，调用前后各拍一次
  （相对路径, 是否目录, 字节数, mtime）指纹并逐条比对；另有用例钉「目录缺失不建目录」。
- presenter：`host::saves::tests` 真盘端到端（custom 档位派生运行目录 → 快照）。
- GUI：`--software-renderer` 1180×760 浅/深各一张 + 1180×1280 两张「整块卡片可见」
  （1180×760 下 SAVES 卡片位于折叠线附近，只能看到卡头；第二对用 ULL_WINDOW_SIZE
  把窗口拉高，口径与 M98 的矩阵一致），落 `DevDocs/artifacts/M235/`。

没做的（U3 边界内，见 handoff）：缩略图墙、导入、删除/重命名、`level.dat` 的
LevelName 解析（世界名暂时就是目录名）。
 2026-11-11 06:00:27 +08:00
tower-worker a0f61d8bb5 feat(mods): 本地 Mod 列表与启停（M224 MODTOGGLE） 
三层一次做完：core 读写目录 → presenter DTO/host → 实例详情页 MODS 区。
r1 复审后 rebase 到 main 71144df（M223 已合入），并修掉四条文档疵。

core（crates/core/src/addon/mods/）
- suffix：`.disabled` / `.old` 的**唯一判据**（四态枚举 + 展示名 + 双向改名目标名），
  收敛原先两份同构实现——`export/scan.rs::is_disabled_path` 与 `import/plan/paths.rs::suffix_variant`
  改为委派/再导出，签名与行为不变。
- list：单根语义（入口是 derive_game_dir 派生出的运行目录）列 `<run>/mods/`，不按扩展名过滤，
  符号链接/目录/怪名字逐条登记原因；`mods/` 本身是符号链接时拒（不跟随）。
- toggle：启停 = 在 `mods/` 里改名。五条守卫（裸文件名 / 目录可用 / 普通文件 / 不覆盖 / 不做
  copy+delete 兜底）+ 幂等；`.disabled` 只插在 `.old` 之前。

presenter
- dto/mods：ModsCommand / ModListView / ModFailureView（不拼文案，只给结构 + OS 原文）。
- host/mods：后台线程列目录与启停，运行目录走与启动同一份 D20 派生、不写任何设置；
  游戏在跑时 host 侧直接挡。
- state/mods：快照整体替换、迟到结果丢弃、在飞标记；`AppState::mods`。

app-iced（实例详情页）
- MODS 区（`pages/instances/mods.rs`）：名字 + 大小 + `.old` 徽标 + Switch；运行中/在飞只读。
- 进入详情页即后台列一次（不走 3 s 观察窗，避免打红 M192 的「空闲不烧帧」守卫）。
- MODS 卡排在启动参数**之前**（详情列是滚动区，排在后面 1180×1000 下永远看不见）。
- i18n：19 条中英文案（`catalog/instances.rs` + 金表）。

rebase 冲突解法（三个文件，全是"两侧同段新增"，都保留）：
- `i18n/catalog/instances.rs` + `i18n/catalog/golden.rs`：M223 的 Adopt* 段在前、M224 的
  InstancesMods* 段在后（= `Key::ALL` 顺序 = 金表顺序）。
- `presenter/src/state.rs`：`adopt` 与 `mods` 字段/初始化/apply_core 分支都留；`tiles()` 归
  `state/tiles.rs`（本分支搬的），`apply_agent`/`agent_rail_visible` 归 `state/agent.rs`
  （M223 搬的）——两处搬移不重叠，state.rs 里都不再出现。

r1 四条文档疵：
1. `pages/instances/mods.rs` 模块文档：挂载位置写反（"启动参数卡之后"→实际之前），并补上为什么；
2. `state/mods.rs`：引用不存在的 `CoreEvent::ModsChanged/ModsFailed` → 改成 `CoreEvent::Mods`
   + 文字说明 Ok 落快照 / Err 落具名失败；
3. `app/state/mods_shot.rs`：文档说"目录串取真实派生结果"但代码留空 → 改成"故意留空"；
4. `app/state/refresh.rs::note_mods_failure`：文档说"连点两次看见两次红字"与去重机制不符 →
   改成按 `(实例, 文件, 大类)` 三元组去重（防刷屏），换文件/换实例/换大类仍会再弹。

顺带（r1 已确认的 main 红）：`pages/download/options/view.rs:88-89` 两条
`clippy::doc_lazy_continuation` 只缩进修掉，文字未动。
 2026-11-10 21:09:37 +08:00
AskaEth 5a59cb33b2 feat(presenter): adopt 的指令/事件/任务接线 + install 那句假话变真话（M223） 
- AppCommand::Adopt(Box<AdoptCommand>)、CoreEvent::Adopt(Box<AdoptEvent>)、
  HostTask::Adopt { event, epoch }：三条穷尽枚举各加一条变体（代次独立于安装与 pack）；
- dispatch.rs 一条分支、handle.rs 一条分支、state.rs 的 adopt 字段与一条 apply 分支；
- host/install.rs 的「还没有接入安装管线…请先在实例页导入已有版本」改成指向真入口：
  那里以前是一句假话（实例页根本没有导入动作），现在向导落地了，它才成立。
 2026-11-10 19:37:41 +08:00
AskaEth 26e4fbb91d feat(presenter): 导入已有版本的 DTO 与三条后台线程（M223） 
core 的能力（M221）接进 presenter 的 IPC 面：

- dto/adopt.rs：AdoptCommand / AdoptEvent / 六种视图 / AdoptState + AdoptStage。
  全部 Serialize+Deserialize，**不 import 任何 core 类型**（契约 §5.4）；
- host/adopt.rs：spawn_scan（adopt::scan）/ spawn_adopt（plan 或 adopt），结果经
  HostTask::Adopt 回流；core 的候选/计划/结果/失败逐字段搬进 DTO，problems[] 一条不少；
- CoreHost 加 adopt_epoch（每条命令 +1、关面板也 +1），连点与迟到的回程不会点亮面板；
- 登记成功后补一次 refresh_instances（新实例这一拍就出现在列表里）。

运行目录只从 plan()/adopt() 的返回值取（缺省档可能带 -2 后缀，只有 core 知道用了哪个）；
target_notes() 的原文随 AdoptPlanView::notes 上屏，界面不另写一份后果话术。
 2026-11-10 19:37:23 +08:00
AskaEth 04a123deab fix(app-iced,presenter): 修 clippy -D warnings 抓到的三处（文档注释位置、manual_range_contains、单元素 for） 
1. view.rs：我删掉手写 `LOADERS` 常量后，那段文档注释落到了 `VERSION_ROWS` 头上并留了空行
   （clippy::empty_line_after_doc_comments）。说明本身是给「chip 顺序为什么委派」用的，
   改成普通 `//` 注释，不冒充某个条目的文档。
2. model.rs：LiteLoader 的版本区间判定改成 `((1, 5, 2)..=(1, 12, 2)).contains(&version)`
   （clippy::manual_range_contains），语义一字未变。
3. install_tests.rs：只剩 OptiFine 一家后，单元素 `for` 改成直调（clippy::single_element_loop）。
 2026-11-10 19:34:12 +08:00
AskaEth 944b1610c8 feat(core): LiteLoader 安装路线（官方版本表 + 从零合成 launchwrapper 清单） 
按 M218 SURVEY-p1 §4.1 的清单接上 LiteLoader 的安装路线，不动 OptiFine。

- core: 新增 addon::loader::liteloader（官方 versions.json 解析 + 合成清单）与
  addon::loader::parent（父版本链读盘定位原版版本）；LoaderKind 加 LiteLoader；
  LoaderRelease 加 parent_version_id、LoaderPlanInput::vanilla_installed → parent_installed；
  LoaderInstallPlan::build 改返回 Result（父版本缺失具名报错）；LoaderSource::resolve_on
  支持指定父版本（仅 LiteLoader，其它组合具名 unsupported）。
- 继承边界（本 mission 第一步核实）：arguments.game 父在前子在后追加，minecraftArguments
  子覆盖父，启动顺序 legacy(24) → arguments.game(25)。所以 tweakClass 只写 arguments.game，
  绝不写 minecraftArguments（会顶掉 Forge 1.12.2 的 FMLTweaker）。
- maven/fabric 的 `_ =>` 通配改成穷尽分支：非 maven 族不再静默回落 Forge 的仓库；
  maven::{metadata_url,installer_url} 改返回 Option<String>。
- presenter: supported() 收 LiteLoader、wizard_choices 六选、dto::instances 按关注点拆成
  instances/{loader,runtime,create,tests}.rs（原文件 395 行，动手前先拆）。
- cli: --loader 区分「认不出」(loader_unknown) 与「认得但装不了」(loader_unsupported)；
  <version> 位写加载器版本 id 时按父版本处理（只有 liteloader 接受）；help 只改 install 段。
- app-iced: 下载页加载器 chip 加 LiteLoader（1.5.2~1.12.2，两头按官方没有构建拒），
  chip 清单改为委派 Loader::ALL。
- 测试: 真实响应的裁剪夹具（dl.liteloader.com 与 repo.mumfrey.com 的 maven-metadata）
  驱动「解析→计划→落盘→继承→启动参数顺序」全链；Forge 父链有回归（FMLTweaker 必须还在
  且排在 LiteLoader 之前）；父版本缺失/组合不支持/取消/坏表各自具名错误。
 2026-11-10 19:34:09 +08:00
AskaEth aa61565fe7 fix(coexist): r2 返工——帮助写真实例路径 + 加载器安装也说出「原版清单被替换」+ --json 给出绑定成败（M216） 
r2 复审两条 P2 必修 + 一条「能一行接上就接」的 P3。

P2-1（`ull help pack` 的落点少一层 `.ULL/data`）
- 「数据根」在这份帮助自己的定义里是「含 `.ULL/` 与 `.minecraft/` 的父目录」（`--data-dir` 那行），
  所以真路径是 `<数据根>/.ULL/data/instances/<实例目录名>`。r1 写成 `<数据根>/instances/<实例名>`，
  照读会去一个不存在的位置找包内容。
- help.rs 与 model.rs 的字段文档改成真路径，并点明目录名是归一化后的结果（`Better-MC`）。
- 用例改成 `help_describes_the_new_default_target_with_the_real_path`：先断言真路径整串在、
  再断言 `<数据根>/instances/` **不在**（这一条就是抓「少写 .ULL/data」那种错法）。

P2-2（装加载器时原版那一步的「替换了清单」没人说）
- `loader.rs`：`plan.vanilla_install_needed` 那条路以前只拿 `vanilla_report` 判 `is_complete()`
  就丢掉；现在把它留在 `vanilla_report` 里传给 `report_loader::build`。
- `report_loader.rs`：`build` / `human_lines` 各多一个 `vanilla: Option<&InstallReport>`；
  新增 `vanilla_lines`（人读：`告警（原版）: …` + `原版版本清单已替换（旧的那份备份在 …）`）与
  `vanilla_json`（`--json` 的 `vanilla` 段：warnings / version_json / manifest{kind,backup}）。
- 用例 `a_replaced_vanilla_manifest_is_said_out_loud_in_the_loader_output`：用真
  `LoaderInstallPlan`（最小 Fabric，零网络）调 `human_lines`，断言告警与备份路径都在；
  未先装原版时不多说话；`vanilla_json` 的 `kind`/`backup` 结构正确、`None` 时没有该段。

P3（复审「能一行接上就接」）：`--json` 给出导入绑定的**结构化成败**
- core `pack_dir::bind_created_instance` 返回 `Option<Result<String, String>>`（None=不需要绑 /
  Ok=已绑 / Err=绑失败），一句话就能分出成败，不必猜文案。
- CLI：`outcome` 多写一个 `"instance_bound": true|false`（人读行照旧给原因）；
  GUI：`import.rs` 按 Ok/Err 分别记 `instance_bound` / `instance_binding_failed` 注记。
- 端到端用例里补断言 `data.instance_bound == true`。
 2026-11-09 20:43:46 +08:00
AskaEth 4e1323212b fix(coexist): 复审 r1 返工——帮助文案跟上新落点 + 「替换了清单」进人读通道 + 导入建实例绑到内容目录（M216 P2/P3/§5） 
P2-1 ② 改了缺省落点，CLI 自己的文档还在写旧行为
- `cli/help.rs`「目标目录缺省 = 数据根的共享游戏目录（.minecraft/）」→ 新实例目录
  `<数据根>/instances/<实例名>`（并登记实例）；
- `cli/model.rs` 的 `PackImportArgs::target` 字段文档同步。
- 用例 `help_describes_the_new_default_target`（断言帮助含新落点、不含旧落点）。

P2-2 ③ 的「显式说明」进不了任何人读通道
- CLI：`human_lines` 原只遍历 `plan.warnings`，而运行期告警（含「已替换版本清单 …旧的那份
  备份在 …」）在 `report.warnings` 里 ⇒ `ull install` 人读输出从没说过这句话。现在有 report 就
  报 report.warnings（它开头就是 plan 告警的副本），`manifest=Replaced` 再单独打一行备份路径。
- GUI：`install.rs` 新增 `Job::journal_report`（把 `report.warnings` 与 `manifest` 的备份路径写进
  安装日志），`install/routes.rs` 两处 `ensure_complete` 之前各加一行调用（tower 批的两行）。
  此前 `report.manifest` 全仓零消费者。
- 用例 `a_replaced_manifest_is_said_out_loud_in_the_human_output`（走真 `InstallPlan` 排版）。

P3-1 缺省目录被占的 hint 删掉不成立的 `--overwrite` 那半句（它绕过不了这条预检）。
P3-2 GUI 落点改成委托 core 的 `pack_dir::instance_dir`（此前 presenter 自己拼 `data()/instances/…`）；
`convert::dir_name` 缩成 `#[cfg(test)]` 的委托入口（生产侧已无调用点，留着继续钉归一化判据）。
P3-3 补 `the_default_target_is_a_new_instance_dir_and_the_instance_is_bound_to_it`：不带 `--target`
跑通整条 CLI，断言落点、内容、登记、以及实例设置里的 `isolation`/`gameDir`。

§5 导入建出来的实例原先「导入成功但内容永远不会被启动用到」
- 新增 `pack_dir::bind_instance_dir`（`InstanceConfig.isolation = Custom` + `game_dir = 导入目录`）
  与 `pack_dir::bind_created_instance`（判据+文案，CLI 与 GUI 同一份）；
- CLI 在缺省建实例后、GUI 在 `import.rs::run` 里各调一次；只在「我们新建了实例目录且档案是新建」
  时绑（显式 `--target` / `--no-register` / 复用已有档案都不动）；
- 运行目录 = 导入目录（saves/mods/logs/config），**versions/libraries/assets 仍按 D20 恒共享**；
- 未改 `derive_game_dir`。
- 用例：正向 `binding_an_imported_instance_points_it_at_the_import_dir`、反向
  `a_freshly_registered_instance_still_inherits_the_global_mode`。
 2026-11-09 19:46:41 +08:00
AskaEth 96f15c79fb fix(coexist): 多启动器共存——存储模式写回同源 + 整合包缺省落点对齐 GUI + 版本清单不再静默覆盖（M216） 
三条 M215 判定的共存债，一次修完：

① 存储模式切不回来（high）
- 写侧：`host::settings::set` 老实现一律写 `env.store()`（= 解析后数据根那份），而启动解析
  只读 `<exe>/.ULL/config/launcher.json` ⇒ Standard 下把模式改成 portable 写进了 `%APPDATA%`，
  下次启动看不见，切不回来。
- 现在 `core.*` 四个数据根键一律落便携那份（判据收在 `settings_bridge::setting_path` 一处，
  与 CLI `Ctx::setting_path_for` 同一契约），其余键照旧。
- 读侧：`settings_bridge` 删掉自己那份 `request_from_portable`/`DATA_ROOT_KEYS` 拷贝，改用
  `host::env` 的那份（presenter 侧两份逐字拷贝合成一处，不新增真相源）。
- 设置页 `core.data_custom_root` 的显示值也读便携那份，否则改完输入看起来凭空消失。

② `ull pack import` 缺省落点与 GUI 不一致（high）
- CLI 老缺省 = `ctx.game().root()`（共享 `.minecraft` 根）；GUI 导入页落在
  `<data>/instances/<实例目录名>` 并登记。
- 新增 `core::game::install::pack_dir`（`pack_stem` / `instance_dir_name` / `slug` /
  `instance_dir` / `import_target`）：命名与落点只有一份实现；CLI 调它，presenter 的
  `convert::{dir_name,pack_stem,slug}` 改成一行委托 core（对外签名不变）。
- CLI 缺省现在与 GUI 同源，并复用 GUI 那条「非空目录不复用」预检。

③ 装同版本静默覆盖 `versions/<id>/<id>.json`（medium）
- `write_version_json` 三档：不存在 → `Fresh`；逐字节相同 → `Identical`（一个字节都不写，
  重装同版本照旧正常）；不同 → 先 copy 到 `<dest>.ullbak-<pid>` 再原子写 → `Replaced{backup}`。
- `InstallReport` 新增结构化字段 `manifest: Option<ManifestWrite>`，并把「已替换版本清单 +
  备份路径」推进 `report.warnings`（进 `--json` 的 `result.warnings`）。

用例（全部零网络，走真的 `execute`）：三档各一条，各写抓得住/抓不住。
三个变异各跑一次（只改实现侧）都红：写回落点改回旧的、缺省改回 `.minecraft` 根、去掉备份只覆盖。
 2026-11-09 18:42:41 +08:00
AskaEth 4b30bf07f0 fix(launch): 会话事件流路径只留一个真相源 + crash_found 只认真实证据 + ull launch 也写 launcher.log 
M211（来自 M208 实机 e2e 的 D2/D3/D5）：

- D2「game/ 双写」：log_path 的契约原来有两种说法（字段文档写「相对 game/」，写入侧一直
  写「相对会话根」的 game/<sid>.jsonl），于是两处读取点各自又多 join 一层 game/，
  ull logs / ull diag / GUI 日志页对每个真实会话都报「找不到事件流」。现在解析只走 core 的
  session_index::event_file（CLI 与 presenter 共用），写入侧只走
  session_index::log_path_for。方向选的是「读取侧不再 join」：存量索引里的 log_path 从第一版
  起就是 game/<id>.jsonl，改读取侧能把用户盘上已有的旧会话一起救回来（零迁移、零改写）。
- D2 夹具：cli/tests/support 与 presenter/host/logs_tests 的索引夹具改成生产形状
  （game/<id>.jsonl）。夹具此前自己说了第三种形状，所以这个 bug 在测试里永远看不见——
  修夹具比修路径更重要。
- D3「crash_found 恒为 true」：logs/latest.log 每局都写，不再被当现场文件（只在已经找到
  权威现场时作为补充证据）。崩溃结论改由 crash_scan::has_crash_evidence 判定（权威现场文件
  / 非 0 退出 + 错误行），索引旗标由 SessionWriter::mark_crash 写入；crash_found 事件恢复
  成纯事实记录。
- D5「ull launch 从不写 launcher.log」：现在与 GUI 共用
  launcher_log::record_start / record_end（字段名与顺序只在一个地方定义），写的是同一份
  <data>/logs/launcher.log。

测试：core 新增 session_path_tests（写入形状 = 读取解析结果 = 真落点的往返）、crash_scan 的
干净退出用例、launcher_log 的行格式锁；CLI 新增 a_launch_attempt_writes_the_launcher_log。
 2026-11-09 14:12:23 +08:00
AskaEth 391ebf88b7 fix(ci): 修两处 clippy -D warnings 红（needless_lifetimes / drain_collect）
Guards / 依赖许可与来源（cargo-deny） (push) Canceled after 0s
Details
Guards / 文件行数 ≤400 守门 (push) Canceled after 0s
Details
Guards / unsafe 落点守门（集合必须恰好等于期望） (push) Canceled after 0s
Details
Guards / design 零第三方依赖守门 (push) Canceled after 0s
Details
Guards / presenter 零 UI 守门 (push) Canceled after 0s
Details
Guards / core 零 UI 守门 (push) Canceled after 0s
Details
Dev Guards / 架构与合规守门（同 main 口径） (push) Canceled after 0s
Details
Dev Guards / fmt (rustfmt --check) (push) Canceled after 0s
Details
Dev Guards / clippy (ubuntu) (push) Canceled after 0s
Details 
两处都来自 M201（5dda9ac），非本轮 mission 引入。tower 合并门此前只跑
fmt+check+test，从未跑 clippy，所以 dev 上 CI 的 clippy job 一直是红的没人发现。

- presenter/host/settings/download_tests.rs: chosen 的显式生命周期可省略
- app-iced/.../download_tests.rs: drain(..).collect() -> mem::take

语义等价，纯 lint。门禁已补上 clippy（见 00-恢复指引 §6）。
 2026-11-09 13:56:09 +08:00
AskaEth e3ae71ac37 M207: UA 收成一份带联系方式 + 两处字符串副本（gh_proxy 键、用例注释） 
1) UA 只有一份定义：core 的 `download::http::USER_AGENT`
   （`Unlucky-Launcher/<CARGO_PKG_VERSION> (+仓库 URL)`，不用邮箱）。
   - 引擎侧：`EngineConfig::default().user_agent` 直接取它（config.rs 等量替换，仍是 400 行）
   - 带 header 侧：presenter 不再持有 UA 字面量，`get_with_headers` 发 `engine.config().user_agent`
   M205 复审核实过的缺口：Modrinth 收到的是引擎那份 `UnluckyLauncher/<ver>`（无连字符、无联系方式），
   带联系方式的那份只发给 CurseForge 搜索 —— Modrinth 的 UA 政策在真正会被限流的路径上没被满足。

   断言：core 一条钉形状（版本 == CARGO_PKG_VERSION、联系方式段 == 仓库 URL、不含 `@`）；
   presenter 一条在回环上抓**发出去的字节**（两条路径的 UA 逐字节相同且 == EngineConfig::default()）。

2) `app-iced/.../java/downloads/engine.rs`：`"download.gh_proxy"` 字面量改成 `KEY_GH_PROXY`。

3) `presenter/src/host/addon/http.rs` 的用例注释改成事实（Modrinth 走 core 的 EngineTransport，
   `get` 的无 header 分支生产零调用者），模块说明表格同步。

4) `docs/download-settings.md`：§6.1 / §6.1.1 / §7 按 M201（iced 真控件 + 快照通路）之后的现状重写。
 2026-11-09 13:13:20 +08:00
AskaEth 92ab3d4ddf fix(m204): Java 组写盘成功后请 host 重发设置快照 
`pages/settings/java/store.rs` 的 `save()` / `set_selected()` / `prefs_store::save()`
是页面自己的一次同步原子落盘（`SettingStore::set` 多个键 + 一次 `save()`），
不经过 `AppCommand::SetSetting` 的写盘分支；而 `CoreEvent::SettingsChanged`
全仓只有 `dispatch.rs` 的 `SetSetting` 分支与 `host/mod.rs::refresh_all` 两处发出。
于是三键写成功之后，`AppState::settings_groups` 里 java 组那几行会停在旧值，
直到下一次任何别的写入顺手带一份新快照回来。

修法用一条**动作键**（`dto::JAVA_REFRESH_ACTION` = `java.action.refresh`，
与 `download.action.detect_region` 同一族：不写盘、见到就返回 Ok）：
写盘成功后派发它，`SetSetting` 分支照常重发快照。

不用 `RefreshAll`：那个除重发快照之外还会 `versions::spawn_list` 与
`start_update_check`——每点一次「保存内存」打两个网络请求（实测：一次真 host 出图
就在数据根里落了 `cache/meta/version_manifest_v2.json`），代价与动作不相称。

另外给 D30 §2.1 补一行自证身份的日志：`--screenshot` 且身份变化时打
`[shot] settings route=… group=… theme=…`（`view` 每帧都跑，所以只在变化时落一行），
免得再出现「拿外观页当下载组证据」那种图与结论对不上的事故。

守卫（`tests/java_refresh.rs`，4 条）：
- 真 `CoreHost` + 临时数据根跑完整链：写盘 ⇒ 快照里 `java.extra_args` 真的变了；
- 被拒的保存不许请求刷新；
- 成功之后确实派发了那条动作键（键名写错就红）；
- 「立即扫描」在 App 层真的接线（此前没有任何用例驱动 `Message::Scan`）。
 2026-11-09 12:09:01 +08:00
tower-worker 67a03f9402 M205 r1: 修 config.rs 的假话与「最坏 9」的措辞，UA 说明改成事实 
- download/config.rs: KEY_GH_PROXY 的「本文件没有断言把它与 schema 登记绑起来」是 M205 自己造出来的假话，改成指向 proxy.rs 的新用例（纯文字替换，400 行不变）
- addon/online/download.rs: 断言消息与边界段改说「出厂档 3x3 = 9；retry_limit 调到 N 时是 3xN（上限 10 => 30）」，别再让人把出厂值读成事实上限
- presenter/host/addon/http.rs: 「Modrinth 的请求走 get_via_engine」是错的（实际走 core::addon::online::EngineTransport -> download_bytes，带的是引擎 UA；get_via_engine 今天只有单测在用），改成事实
 2026-11-09 11:20:27 +08:00
tower-worker d4aa3b23f4 M205: gh-proxy 键绑定断言、外层重试预算判据、UA 版本号来源、下载设置文档更正 
- setting/keys/proxy: 新增断言把 KEY_GH_PROXY 常量与 schema 登记绑起来（键名 / Text{max_len:256} / 默认空串）
- addon/online/download: RETRY_ATTEMPTS 与引擎每源次数是两件事（层级相乘、管的失败类型不同），写清判据并用两条编译期断言钉住 3 与 3x3=9 的边界
- presenter/host/addon/http: UA 版本号改为从 CARGO_PKG_VERSION 拼出，补断言钉住版本 == CARGO_PKG_VERSION 且联系方式段不丢
- docs/download-settings: §3.1 四条 CLI 命令都吃设置（update 是自更新路径），§6 补 M11-M13 三条 CLI 变异，§1/§7 里 gh_proxy 已合入的事实
 2026-11-09 11:12:59 +08:00
AskaEth 5dda9ac31d M201 r2: 修视觉 r1 的两条 P2 + 代码复审的坏值提示 p2 
视觉 r1（fix-then-merge）:
- P2-1 分隔线贴字：downloaded 组的行间距从 0 改成 `Space::X3`（12dp）。实测
  说明末行→分隔线 1–3px → **12–13px**、分隔线→下一标题 4–5px → **12–17px**
  （同族页 9–18px；同一把尺子量演示回退卡 16–19px）。不动 `frame::divider` /
  `demo_card`；`spacing` 只作用于子节点之间，卡片首行顶距与末行底距仍是 20。
- P2-2 孤字「效」：`with_note` 把「原值 X 已按出厂 N 生效」从说明段落里挪到
  **独立一行**（`\n` 分隔，渲染器按行断）。浅/深/窄三张复验：无 <20px 窄行。
  两种措辞（出厂 8 / 已按 1）一字未改，presenter 侧新增 `ends_with("\n原值 …")`
  断言把「独占一行」钉住。

代码复审 p2（非整数坏值被静默丢掉）:
- `raw_int`（`Value::as_i64`）→ `raw_text`：文件里显式写过的原值转**上屏文本**
  （字符串取原文不带 serde 引号、数字/布尔 `to_string`、`null` 当没写）。
  于是 `"auto"` / `8.5` / `true` / `-4` 都能进那句提示，不再「画着 8 却说不出
  用户写的 auto 被忽略」。
- 新用例 `every_bad_value_shape_says_what_the_raw_value_was`：负整数 / 字符串 /
  浮点 / 布尔 / null 五种形态。

验证：fmt --all --check / check -p unlucky-app-iced --all-targets /
test -p unlucky-app-iced(845+6) / test -p unlucky-presenter(316) /
test -p unlucky-i18n(36)，全部 EXIT=0。
 2026-11-09 10:51:16 +08:00
AskaEth ab573838f3 M201: 接通 iced 设置页的数据通路（下载组：真值 + 真控件 + 写回闭环） 
M193 的用户投诉「设置页里改了不生效」的结构性根因是 iced 侧没有设置数据通路：
`CoreEvent::SettingsChanged` 在 `crates/app-iced/src` 零命中、`pages::Model` 没有设置快照、
`download::State` 是空 struct。presenter 那套设置组早就是真值来源（`host::settings::groups`
由 `refresh_all` 与 `dispatch` 的 `SetSetting` 分支发成 `SettingsChanged`），只是没有接到 iced。

这条线现在通了：

    host::settings::groups → SettingsChanged → AppState::settings_groups
      → pages::Model.settings → settings::States.settings → 下载组控件
      → AppCommand::SetSetting → 写盘 + 重新发 SettingsChanged（闭环）

主要改动
- presenter `host/settings/download.rs`：并发/重试两行改成画**引擎生效值**（`DownloadTuning`），
  文件原值与生效值不一致时写明「原值 X 已按出厂 N 生效」（P3-5，两个数都现读）；
  gh-proxy 行补「当前生效：跟随内置默认/已关闭/覆盖为 X」。
- app-iced `pages/settings/download.rs`：`GROUP.body = Some(body)`，按 `SettingControl`
  画 choice（filter chip）/ text（输入框 + 应用）/ action（按钮）/ toggle / readonly；写回走
  `app/update/settings/download.rs` → `AppCommand::SetSetting`（不做乐观回显）。
- `pages::Model.settings` + `settings::States.settings`：快照进页面的唯一通道。
- i18n：新增 `SettingsDownloadsApply`（金表锚点追加，`split_keeps_every_translation` 绿）。
- 取证：`ULL_SCREENSHOT_REAL_HOST=1` 让 `--screenshot` 接真 host（截图通道默认强制 mock，
  而 mock 不发 `SettingsChanged`，真值屏拍不出来）。

测试（新增 11 条）
- presenter `download_tests.rs`：P3-5 的越界回落 / 0→1 / 无差异不出提示 + P3-3 的
  gh-proxy 文件→三态端到端链。
- app-iced `app/update/settings/download_tests.rs`：假后端闭环 ×4 + **真 `CoreHost` 端到端**
  （点 16 ⇒ 磁盘上 `launcher.json` 真的有 16）。
- `pages/settings/tests/download_section.rs`：`body.is_none()` 绊线翻成 `is_some()` +
  控件形状 / 空快照不编值。
 2026-11-09 10:51:16 +08:00
AskaEth 3b5f95375d docs(presenter): 「抓不住」那段别再点名 signature_cases.rs 管 manifest_sha256（复审 P2） 
信封字段与钥表确实在 core/src/update/tests/signature_cases.rs；但 manifest_sha256 那条冗余校验
（signature.rs:161-171，要求「钥已钉住 + 方程验过 + 声明 sha 不同」）全仓没有任何用例覆盖，
现有篡改用例都先死在方程上。原文把这一项也推给那个文件，等于把责任推给了不存在的守卫。

改成如实写「全仓无用例，已立 finding」。只动 doc，用例逻辑与断言未改（394 → 395 行）。
 2026-11-09 09:49:41 +08:00
AskaEth ba96a4fc94 docs(presenter): 更正 ATTEMPTS 注释里「拿不到宿主设置」的假话（复审 P1） 
原文把「没读设置」写成了物理限制。事实：get_with_headers 手里就有 env，第一句 engine(env)
已经走过 apply_tuning（host/settings/download.rs → core/download/shared.rs），用户当前值就在
engine.config().max_attempts_per_source。这条路径之所以恒为出厂默认，只是因为它没读那个字段。

只改注释，行为不变（仍是编译期 const）。同时把不对称写清：另一条无 header 的路径走引擎，
本来就跟随 download.retry_limit（源冷却中时引擎给 1 次，那是恢复探测）。
 2026-11-09 09:49:36 +08:00
AskaEth 133f14ba0b test(presenter): 坏清单用例按错误分类区分「JSON 坏」与「签名被拒」 
台账 §10 第 7 条 / M199 复审 P3-2：原来只断言「结果是 Failed」，而它喂的每一份清单都签对了
——验签一旦 fail-open 或签名错误被误分类，这条用例照样绿。

现在两组各钉自己的分类：
- 内容坏（5 个变体，签名都对）：kind 必须是 invalid_manifest / invalid_version；
- 字节好、只有签名对不上（放行就会报「有更新 0.9.0」）：kind 必须是 signature_invalid 且不可重试。

变异证明（只改实现侧，跑完已还原）：
- A core::update::signature::verify_manifest fail-open → ② 分支红，实际 Available(0.9.0)；
- B core::update::manifest::from_json 把解析失败误分类成 SignatureInvalid → ① 分支红，
  「not json：坏内容分类是 signature_invalid」。
两个变异各只打红对应分支，说明两类坏输入确实各走各的分类。

文件仍在 400 行红线内（394 行）。
 2026-11-09 09:32:58 +08:00
AskaEth 9163054d46 refactor(presenter): 带 header 的请求重试次数改引 core 的单一来源 
台账 §10 第 4 条：http.rs 的 const ATTEMPTS: u32 = 3 是「数字 3 的第二处副本」。
改成引用 unlucky_core::download::config::DEFAULT_MAX_ATTEMPTS_PER_SOURCE（download.retry_limit
的 schema 默认值同源），core 侧一个字未改。

这条带 header 的路径（只有 CurseForge 用）拿不到宿主设置，所以只吃出厂默认——这一点写进了
doc 注释，免得下一个人以为它会跟随用户的 download.retry_limit。
 2026-11-09 09:32:51 +08:00
AskaEth 19cc5c7950 fix(m190): presenter 更新链路用例补上清单签名（6 条既有测试回绿）+ 测试公钥守门 
背景：M190 把「验签」做成了强制且唯一收口（`source::verified_manifest`，先验签再解析），而
`crates/presenter` 的更新链路用例只写 `manifest.json`、不写 `.sig` —— 它们写在验签之前，所以在
dev 上红成 6 条 `signature_missing`。真发布本来就必须带 `.sig`，所以修的是**夹具**，不是判据：
没有放宽任何断言、没有在测试里关掉验签、没有把 `available=true` 改成「接受 Failed」。

夹具（`crates/presenter/src/host/update_tests.rs`）：
* `write_manifest()` 把清单**连签名**成对落盘（`dist/stable.json` + `dist/stable.json.sig`），
  `dir_source()` 改走它；三处直接写清单的用例（坏清单 / 空清单 / 缺本平台产物）也改走它。
* 签名用 `TEST_SIGNING_SEED` + `key_id = test-only-key`，信封形状与 core 的
  `tests/support_sign.rs` **同源**（文件头写明「改一处要改两处」；presenter 不依赖 core 的
  `#[cfg(test)]` 资产，也没把测试资产导出成生产 API）。

为了让这把**公开**测试公钥在 presenter 的测试构建里被认得：
* core 新增 feature `update-test-key`（**只**把 `trust::TEST_ONLY` 并进信任表，不开任何数据源开关）；
* 只有 `crates/presenter` 的 `[dev-dependencies]` 打开它（库/发布构建拿不到）；锁里只多
  `ed25519-dalek` 这一行（presenter 的 dev-dep，包已在锁里，无新包、无版本变动）；
* 新守门 `packaging/check_test_key_off.py`（238 行，带 6 条变异自检）接进 `release-guard.yml`：
  core 的 `Cargo.toml` 只许自己的声明、presenter 只许 `[dev-dependencies]` 段内，其余（workflow /
  packaging 脚本 / 根 Cargo.toml / cargo 配置）出现即红 —— 这把钥进发布构建就等于「谁都能签出官方更新」。
* 没有用 `debug_assertions`/`cfg(test)` 旁路：那会让「测试构建的信任表和发布构建不同」变成一句注释，
  而不是一条门禁。
 2026-11-09 07:56:32 +08:00
worker-dlmsettings 94f56f9d9c fix(m193): 复审 r1 三条 P2——版本史还原、retry_limit 0 有诚实语义、装配点措辞更正 
- P2-2：keys.rs 的 schema 版本史按原文逐字还原（1.4.0/1.5.0 的键名、1.2.0 的迁移口径、
  旧读新的完整结论），不再用版本文档换行数；腾行改从我自己新加的注释里出。
- P2-1：download.retry_limit 范围恢复 0~10，并把 0 的语义定成「只试一次」（attempts = max(1, 0)）：
  老配置合法、零迁移、ull config get 读到的 0 与引擎真做的事一致（不再回落出厂 3）。
  schema 描述与 presenter/iced 两处 UI 都写清「0 与 1 都 = 只试一次，不代表不下载」。
- P2-3：shared.rs 的「唯一一处装配」更正为「presenter 侧唯一一处」（CLI 还有三处自建），
  docs 加「哪些路径吃这套设置」表，并立 finding（CLI install/java/pack 不读设置、并发 64→8）。
- P3-3：mirrors.rs 的 gh_proxies 注释改成「无生产读者，仅解析留档」。
- P3-4（presenter 侧）：并发/重试描述的出厂值与上限改用常量 format!，不再是第二处字面量。
- 出图重拍（含 0/1 = 只试一次）。
 2026-11-09 05:24:12 +08:00
worker-dlmsettings e8544b19a7 feat(m193): 下载并发/重试/gh-proxy 真接进引擎（schema 与引擎同源常量） 
- download.concurrency / download.retry_limit 以前引擎侧零消费者（恒用
  EngineConfig::default() 的 64，而 schema 说 8）。现在默认值与硬上限收成
  download/config.rs 的常量，schema、EngineConfig::default()、Semaphore 容量
  三处同源；宿主把三个键翻译成 DownloadTuning 后经 shared::set_tuning（按数据根）
  灌进装配点，改了设置下一次取引擎就生效。
- download.gh_proxy 三态（留空=跟随内置默认 / off=关 / 前缀=覆盖）下沉到
  shared::build，所有走共享引擎的下载路径（内容库/版本清单/字体/安装）一致。
- 删掉 MirrorTable::set_gh_proxy 与 default_gh_proxy 两个改了没用的入口。
- 下载设置页把三条假演示值换成说语义的中文行（含三态说明与 1~64 硬上限）。
- 守卫：探针读 Semaphore 真实许可数（不是读配置），每条配变异证明。
- docs/download-settings.md 记下取证表（另四个键仍零消费，已立 finding）。
 2026-11-09 05:24:11 +08:00
AskaEth 59011b2d56 fix(m195): 复审 r3 —— 失败不再被说成「取消太晚」，并给三档补推导用例 
P2-1（界面撒谎）：`cancel_view` 的 `_ if cancel_requested => TooLate` 把 `Failed` 也吞进去了。
「点取消的同时摘要不符」这类失败（取消置位之后、下一个检查点之前的非容忍失败）会得到
`status=Failed cancel=TooLate rolled_back=true`，于是同一屏上红卡说「已回滚 —— 目标目录零残留」，
下面还有一句「取消来得太晚：这次导入已经跑完，实例会保留，同名文件可能已被覆盖」——后半句是假的，
而且与红卡直接对立。改成**只有** `Success | Partial + cancel_requested` 才判 `TooLate`；
`Failed` 一律 `NotRequested`（失败卡自己用 `failure_stage` 分「没写过 / 回滚干净 / 回滚没做完」，
真相已经说全）。
另外 app-iced 的 `cancel_note` 加一道双保险：只有 `status` 是 `Success/Partial` 时才出那句话，
推导万一回归也不会贴到红卡上。

P2-2（推导零覆盖）：此前只有「给定这一档、文案怎么画」的用例，把 `RollbackIncomplete` 的推导
删掉也全绿。现在 `convert/cancel.rs` 带三条推导用例：`Cancelled + !rolled_back ⇒ 回滚没做完`
（含对照 `rolled_back ⇒ 已回滚`）、`Failed + 取消 ⇒ NotRequested`（含对照 `Success/Partial ⇒ TooLate`）、
没点过取消 ⇒ `NotRequested`。

变异实测：
- P2-1：把 `Failed` 也判 `TooLate` ⇒ `a_failed_run_is_never_dressed_up_as_a_late_cancel` 红
  （`left: TooLate / right: NotRequested`，"失败的导入没有「跑完」这一说"）。
- P2-2：删掉「回滚没做完」的推导（`Cancelled` 一律按已回滚）⇒ `an_incomplete_rollback_is_its_own_bucket` 红
  （`left: RolledBack / right: RollbackIncomplete`）。

验证：`cargo test -p unlucky-core -p unlucky-presenter -p unlucky-app-iced` = 2188 passed / 0 failed；
`-p unlucky-i18n` = 31 / 0；clippy 四 crate = 0 warning / 0 error。
 2026-11-09 05:06:56 +08:00
AskaEth b1524635ba fix(m195): 复审 r2 —— 取消的真实结局必须到达界面（三档 + 终态穿透代次） 
复审 r2 P2-1：界面无条件断言「已停手并回滚：没有留下半包，也没有覆盖已有文件」，而两条路径下
这句话是假的——①取消来得太晚（落在最后一个检查点之后）时管线已经跑完，用户的同名文件被覆盖、
实例已登记；②回滚本身没做完（`rolled_back=false`）。core 一直是诚实的，是 presenter 把报告丢了：
`cancel.load()` 早退 + `cancel_pack` bump 代次后 `handle` 按代次丢弃。

按"接通真相"做（不是改软话）：

- **终态一定发出**：`import::run` 去掉 `cancel` 的无条件早退，收尾抽成 `finish`（清自建空目录 +
  无条件 `send(PackEvent::Report)`）；取消标记在管线返回后**再读一次**，作为"太晚"的唯一证据。
- **终态穿透代次**：`HostPackState::terminal_epochs` 记下 `cancel_pack` 作废的那个代次，
  `handle` 对它**只放行一条 `PackEvent::Report`**（进度事件照旧按代次丢，`fresh_cancel` 起新
  一轮时清空）。这是路径 A 的成因与修法。
- **DTO 三档**（tower 批准扩 scope）：`ImportStatusView` 加 `Cancelled`；新增
  `ImportCancelView { NotRequested, RolledBack, RollbackIncomplete, TooLate }` 挂在
  `ImportReportView::cancel` 上——已回滚 / 回滚没做完 / 取消太晚，三档各自可判。
  `PackEvent::Report` 到达时清掉 `ImportState.cancelled`（它现在只是"取消后还没有结果"的占位）。
- **界面按结局分支**：标题 `PackStatusCancelled`（已取消 — 已回滚）/ `PackCancelIncomplete`
  （已取消 — 回滚没做完）/ 取消太晚时保留真实状态标题并另起一句 `PackCancelTooLate`
  （实例会保留、同名文件可能已被覆盖）；占位的 `PackCancelled` 改成"正在停手，真实结果随后给出"。
  图标：`Close`（描边，页面对填充字形有守门）/ 回滚不完整用 `Warn`，一档都不用 `Role::Error`。

守门与变异：
- 新增路径 A 用例 `a_late_cancel_still_delivers_the_real_outcome_to_the_ui`：真管线把取消置在
  **最后一条 Commit 进度**上（之后没有检查点）⇒ core 报 `Success`/未回滚、用户的 `mods/a.jar`
  确实被覆盖；再 `cancel_pack`（代次 +1 并记终态）→ `finish` → `handle`，断言界面收到
  `status == Success` + `rolled_back == false` + `cancel == TooLate`，且同代次的进度事件仍被丢。
- 变异①：`handle` 恢复"代次不符一律丢" ⇒ 该用例红（"取消太晚时，真实结果必须到达界面"）。
- 变异②：`finish` 恢复"取消就早退" ⇒ 该用例红（另带 P2-2 那条也红）。
- app-iced 新增 `model/tests/cancel.rs`：三档标题互不相同 + 「太晚」必须有那句补充说明 +
  已回滚不许显示成「部分成功」。

验证（CARGO_TARGET_DIR=C:/Temp/ull-target/wt-194）：
`cargo test -p unlucky-core -p unlucky-presenter -p unlucky-app-iced` = 2185 passed / 0 failed；
`-p unlucky-i18n` = 31 / 0；clippy 四 crate = 0 warning / 0 error。
 2026-11-09 05:06:55 +08:00
AskaEth db5b08b9ab fix(m195): 复审 r1 三项 —— 解压检查点真守卫、presenter 接线测试、取消文案改回真话 
P2-1（解压循环检查点没有真守卫）：那条用例原来的断言（status/target/files/bytes/无残留暂存）
在删掉 `extract_overrides` 的检查点后**依然成立**——提交前检查点⑤会替它停一次，于是几 GB 的包
会一直解到结束而测试全绿。改成数 `ImportStage::Extract` 事件：有检查点 = 1 条、删掉 = 3 条
（两面实测）。模块文档同时如实登记"还没有真守卫"的检查点：②③④⑤、全新导入 commit 的取消
分支、phase.rs 远端下载逐条、complete.rs 补全循环的 break。

P2-2（presenter 的真令牌接线零测试）：新增 `pack/tests/cancel.rs`，直接调 `import::run` 并把
传入的 `Arc<AtomicBool>` **预先置 true**，判据只能是盘上事实（目标目录不存在 + profiles.json
零实例）——"没收到 Report"那种判据两条路都成立，`run` 早退条件里的 `cancel.load()` 会把
"没接线"完全遮住。

P2-3（用户可见文案说反了话）：`PackCancelled` 中英双语从「导入会在后台继续跑完 / Import keeps
running in the background…已经写下的文件会留下」改为「导入已取消 —— 后台已停手并回滚：没有留下
半包，也没有覆盖已有文件」；golden 金表同步；`model/tests.rs` 那条把旧文案钉死的用例改成钉新
语义（必须说清停手+回滚，且**禁止**出现 background）；`model.rs` 的 `cancelled` 字段文档与
`dispatch.rs` 的取消注释同族修正。

验证：`cargo test -p unlucky-core -p unlucky-presenter` 1480 passed / 0 failed；
i18n 31 / 0；app-iced packui 28 / 0；三 crate clippy 零 warning。
 2026-11-09 05:06:53 +08:00
AskaEth 1441a240fe feat(m195): 导入管线取消令牌与原子回滚（取消不是失败） 
M190 复核 §3 A-2：导入管线没有取消令牌，「取消导入」只改界面状态，后台仍跑完并写盘
（半包 / 覆盖风险，丢数据档）。本轮把取消做成管线级：

- core 新增 `import/cancel.rs`：`ImportCancel` 令牌（可 `from_flag` 接管既有
  `Arc<AtomicBool>`）+ 内部 `Stopped::{Cancelled, Failed}` 两条停止路线；
- 结果类型单列 `ImportStatus::Cancelled`（`error` 恒为 None、退出码 130、文案 key 独立），
  与 `Failed` 是两条路——UI 不弹红、脚本不会把「改主意」记成「装坏了」；
- 七个检查点：入口 → 解析后 → 补全后 → 开暂存目录前 → 提交前 → 合并态逐文件 → 登记前；
  解压 / 远端下载各逐条检查；单条下载在飞不可中断（fetcher 无取消参数）已在文档里说准；
- 取消后不留半包 / 不覆盖已有实例：暂存目录整个删、合并态 journal 逆序回滚（备份改回原名）、
  落盘后取消连内容一起回滚；`files / conflicts / missing / bytes_written` 清零，不留假账；
- presenter：同一个取消标记现在真交给 core（`with_cancel`），取消后不再「后台跑完并登记」；
  CLI 增 `cancelled → 130` 一档与三档人读名。

守门三条各带变异证明（见 mission 报告）：删回滚 → 红、删登记前检查 → 红、把取消并进
`fail()` → 红。

没验：超大整合包的真实 IO 下取消响应延迟（最坏 = 当前一条文件读完/下完 + 一次回滚）、
单条下载在飞不可中断、macOS / Linux 未跑。
 2026-11-09 05:06:52 +08:00
AskaEth 476bf92f97 test(addon): 给「失败路径取名字」的生产接线与降级补守卫 (M191 r3) 
复审 r3 p2：那两处都只靠消费层用例撑着，生产接线上删掉/改坏也全绿。补两条能真红的守卫。

**接线层**：`install.rs` 里那次 `names_for_incompatible(..)` 原来不可驱动。现在下载器与
取名字器从 `Ports` 参数进来（生产 = 引擎 + `plan::fetch_title`，用例 = 假实现），
于是用例能驱动**生产那个 `collect`**：一份「一个文件下成功 + 一个不兼容前置 + 一条 404」的
计划跑完，断言不兼容那条拿到了名字、且**只**给不兼容档问过一次。
变异（把那一行短路成空名单）⇒ `the_failed_install_path_really_fetches_names_for_the_incompatible_items`
红：`left: "P7dR8mSH"` / `right: "Entity Culling (P7dR8mSH)"`。

**降级层**：把「一次查询 → 有名字/没名字」的折叠抽成 `title_from(query, id)`
（`fetch_title` 只剩「建客户端 + 调它」）。参数化之后三种「没名字」都能离线钉住：
查询失败 / 空标题 / 全空白 ⇒ `None`，不 panic。
变异 ①`ok` 换 `expect` ⇒ `a_failed_or_blank_lookup_yields_no_name` 红
（panic：`带断网`）；②去掉空串过滤 ⇒ 同一条红（空白档）。

**顺手**：`fetch_title` 真发一次 HTTP 的那一跳没进用例（本轮实测它确实取到了真数据
`P7dR8mSH → "Fabric API"`，但把网络调用放进 `cargo test` 会变脆，所以只把可坏的那一步——折叠——
参数化测掉，报告里如实写「HTTP 这一跳仍无用例」）。

**行数**：`install.rs` 加到 415、`tests/retry.rs` 到 436，都越过 400 硬线 ⇒ 两步纯搬移：
`collect` + `Ports` + `Placement` → `install/collect.rs`（117 行，`install.rs` 321）；
r3 用例 → `tests/retry/wire.rs`（115 行，父文件 332）。
 2026-11-09 05:06:06 +08:00
AskaEth 26e7b7333e fix(content): 不兼容档在失败路径上取项目名 + 重试轮不再贴错根的标题 (M191 r2) 
复审 r2 两条 p2，都修了，并按复审给的口径验过红。

**P2-1（续）：不兼容档不再只有裸 id**
`FailureKind::Incompatible` 的项目**确实存在**（站点只是没有匹配目标版本/加载器的条目），
所以失败路径上值得现取一次名字——`plan::names_for_incompatible` 按失败项去重、一项一次 GET
（`Modrinth::project`），`fetch_title` 把任何失败都折成 `None`：
**拿名字失败不许影响安装结果**，取不到 / 拿到空标题就退回 id。只有这一档发请求；
「取不到」档 404 那部分项目根本不存在，再发一次只会再吃 404。

**P2-2（新）：重试轮把根的标题贴到了前置头上**
根因是判「这条是不是根项目自己失败」用了 `plan.request.roots.first()`，而重试那一轮的 plan
来自 `retry_request()`，它的 `roots` 就是上一轮的失败名单——第一个是前置。
现在判据改成 **id 比对**（`Root{id,title}`，id 由 `remember` 一起记下来）：
`label_of` 只在这条失败的 id 真的等于原始根 id 时才用根的标题。复审给的那个形状
（roots=["P7dR8mSH","1eAoo2KR"] + root_title="Sodium"）现在画 `P7dR8mSH`，不再是
`Sodium (P7dR8mSH)`。

**守门（每条都真跑红过，且在拆完模块的最终代码上复跑）**
- 去掉不兼容档的名字来源 ⇒ `an_incompatible_item_shows_the_project_name_once_it_is_known` 红
  （`left: "P7dR8mSH"` / `right: "Entity Culling (P7dR8mSH)"`）。
- `label_of` 换回 `roots.first()` ⇒ `the_retry_round_does_not_paste_the_root_title_onto_a_dependency` 红
  （`left: ["Sodium (P7dR8mSH)","1eAoo2KR"]`，正是复审实测的那一行）。
- 取名字不降级（`expect`）⇒ `a_failed_name_lookup_falls_back_to_the_id_without_breaking_anything` 红。

**行数**：`plan.rs` 加完这套到 414 行、`install.rs` 到 403 行，都越过 400 硬线 ⇒
把「名字从哪来」整块（`Root`/`Names`/`names_for_incompatible`/`label_of`/`fetch_title`）
纯搬移到 `plan/labels.rs`（111 行）：`plan.rs` 336、`install.rs` 388。
 2026-11-09 05:06:06 +08:00
AskaEth 961ff453a0 fix(content): 重试面板画可读名，不再只有站点 id (M191 r1 P2-1) 
复审 P2-1：面板原来只画 `P7dR8mSH` 这种项目键，用户拿到的是一串哈希。
可读名其实都在手边，只是没进 DTO——现在补上，按复审给的**最小修法**做，没扩散：

- `InstallFailureView` 加 `label: String`（**语言中立**：站点标题或文件名），
  配 `line()` 统一决定「名字 (id)」还是「只有 id」（名字为空时不编造）。
  `detail`（core 中文散文）**依旧不进界面**——那会踩 i18n R2。
- `plan::label_of` 三个来源，零额外请求：
  根项目 → 请求里的 `title`；计划里有节点（下载失败）→ `node.file.filename`；
  都没有（解析 404 / 不兼容的前置）→ 空，界面退回只画 id（复审认这条兜底）。
- 计划被记住时连显示名一起记（`plan::remember` 多一个 `title`），于是重试那一轮
  面板头与失败名单沿用的是同一个名字（顺手收掉复审 N5 的「重试时面板头显示 id」）。
- N2：删掉新加的 `ContentInstallDismiss`，复用既有的 `DownloadDismiss`（同一句话不立两条 key）。
- 行数/clippy：`collect` 的参数捆成 `Placement{dir,title}`（9 个参数超限）；
  `plan.rs` 加完 `label_of` 到 429 行，把「记住的计划」表纯搬移到 `plan/remembered.rs`（363 + 82）。

守门（真跑红再还原）：
- 把 `label_of` 置空 ⇒ `the_retry_list_shows_a_readable_name_not_just_the_project_id` 红
  （三行全变成 `["AANobbMI","P7dR8mSH","1eAoo2KR"]`）；
- 审阅指出的另一半判据也补上了：`Done` + 残留名单 ⇒ 必须不画；现在**只去掉**
  `stage != Failed` 那一半就红（之前只去掉它仍是全绿，报告的表述不准，已改）。
 2026-11-09 05:06:05 +08:00
AskaEth 5a52f38f35 feat(content): 安装失败的两档分组与「只重试这些」(M191) 
M186 把「可只重试失败项」算到了 core/presenter（DependencyPlan::retry_request()），
但 DTO 没字段、界面没按钮，用户拿不到。这一轮补最后一公里：

- DTO：ContentFailureKind 加 Incompatible 一档（不再借 Unsupported，与「缺密钥」分开）；
  InstallProgressView 加 retry: Vec<InstallFailureView>（project + 档位 + core 原话），
  档位是专门的 InstallFailureKind（Incompatible / Unreachable，穷尽映射 core 的 FailureKind）；
  ContentInstallRequest 加 retry: bool（重试路径唯一读的字段是 instance）。
- presenter：plan.rs 把上一轮失败的计划按 host+实例记住（与 addon/pack.rs 同一手法，
  host/mod.rs 不在 scope）；retry_request()/retry_plan() 就是「只重试这些」——
  调 core 的 retry_request()、只请求失败的那几个项目，present 重新扫目录。
  install.rs 的重试入口没有记录时回一条失败，不退化成整单重装；成功则 forget + 清名单。
- 界面：内容库页插入按档分组的失败面板（两段文案、各自条目）+「只重试这 N 个」实心按钮；
  判据只有一条且在模型里（stage==Failed && 名单非空），全成功时连同按钮一起不渲染。
- i18n：新增 6 条中英文案（不兼容 / 取不到 / 只重试这 N 个 / 标题 / 提示 / 关闭），金表同步。

守门（每条都做过变异验证，见报告）：
① 把 retry_request() 换成根项目请求 ⇒ retrying_asks_for_the_failed_projects_only 红（roots 变 ["sodium"]）；
② 两档合并 ⇒ the_retry_list_keeps_the_two_tiers_apart / the_two_tiers_are_two_groups_with_two_labels 红；
③ 恒渲染 ⇒ a_fully_successful_install_has_no_retry_surface_at_all 红。

数据包（datapack）本轮仍未做：ContentKind 没有这一项，界面上也没有半成品入口。
 2026-11-09 05:06:04 +08:00
AskaEth 44a0c87a11 style: cargo fmt --all（合并期整合修复）
Guards / 依赖许可与来源（cargo-deny） (push) Canceled after 0s
Details
Guards / 文件行数 ≤400 守门 (push) Canceled after 0s
Details
Guards / unsafe 落点守门（集合必须恰好一个文件） (push) Canceled after 0s
Details
Guards / design 零第三方依赖守门 (push) Canceled after 0s
Details
Guards / presenter 零 UI 守门 (push) Canceled after 0s
Details
Guards / core 零 UI 守门 (push) Canceled after 0s
Details
Dev Guards / 架构与合规守门（同 main 口径） (push) Canceled after 0s
Details
Dev Guards / fmt (rustfmt --check) (push) Canceled after 0s
Details
Dev Guards / clippy (ubuntu) (push) Canceled after 0s
Details 
M187/M188 并入后全仓 fmt --check 为红（CI 的 fmt job 会红）。
本次仅 cargo fmt --all 的换行/缩进变化，无语义改动；
cargo fmt --check 与 cargo check 均已复验为绿。
 2026-11-09 01:43:31 +08:00
worker-logplace 5fd5cd47dc feat(m188): launcher.log 早落盘 + 会话日志搬到 logs/game（旧家只读兼容） 
用户投诉原话：「我们的启动日志放在哪？…他找半天没找到崩溃日志」「只有一个安装日志」。

启动器运行日志（.ULL/logs/launcher.log）
- presenter 构造 HostEnv 时就登记日志目录：启动早期缓冲的 200 行（[probe]/[font]/[theme]）
  当场刷盘，不再是「只有开过一局游戏才有日志」。
- app/** 里所有 eprintln! 诊断改走 app::diag::diag!（stderr + 文件双写，行首 [tag] 即 scope），
  含 boot/boot::fallback/state/update 各线。
- boot 那一拍补一行后端事实（request/effective/fallback）。
- 滚动上限（1 MiB → launcher.1.log，只留一份）写进 README 与 docs/logs-location.md。

会话日志搬家：data/agent/sessions → logs
- LauncherLayout: sessions_root()/game_logs() 新增，agent_sessions() 降级为只读兼容。
- host/logs 与 cli/commands/sessions 两个根合并（同 id 新根优先），event_path 回落旧家。
- 不搬不删；日志目录写一份 session-log-location.json 记录（moved=0, policy=read-only-compat）。

入口与文案
- 设置页「通用」新增「日志文件夹」行：路径 + 打开目录 + 复制路径（i18n 中英）。
- 日志页页头的「打开目录」不再是占位：走 M187 的 open_dir，失败文本带路径并送进剪贴板。
- README.md / README.zh-CN.md 新增「日志在哪」章节（含 crash-reports 只在游戏走到那一步才有），
  docs/logs-location.md 给出上限、双写判据、迁移策略与没验的部分。

守门（每条都有变异证明，见报告）
- 旧家会话仍列得出/打不开 ⇒ 只读新根变红；新会话写 logs/game ⇒ 只读旧根、写回旧家都变红。
- launcher.log 滚动 ⇒ 干掉 rename 变红。
- 打开日志文件夹指向真实目录 ⇒ 换成 cache/ 或去掉 create_dir_all 都变红。
- 日志根随三模式变化 ⇒ 把 HostEnv::logs_dir 写死成便携落点变红。
 2026-11-09 00:43:45 +08:00
AskaEth 414f6ff886 feat(m187): 启动失败弹窗 + 诊断包导出，并接通 DialogQueue 
用户实测「MC 启动失败找不到崩溃日志」的直接修法：失败时弹一个框，把退出码、
一句人话原因、证据形态、四条真实路径与三个按钮摆在同一个地方。

- app-iced：最小一层模态（遮罩 + 卡片 + 主/次按钮 + Esc/点遮罩关闭），
  消费 presenter 的 DialogQueue（此前全仓零引用，所有弹窗都画不出来）；
  队列管弹窗，CrashCard 管这次失败的事实，按 DialogId 绑定。
- 弹窗区分两种失败：游戏自己写了 crash-reports（贴 Description + 栈片段）/
  游戏没来得及写（明说「这次没有生成崩溃报告」并贴出捕获的最后 30 行）/
  什么都没抓到（给最可能原因分类）。绝不对第二种说「找不到日志」。
- 导出诊断包：core 侧新 crash_bundle 写 zip（清单 + 启动器日志 + 会话 JSONL +
  crash-reports/* + hs_err + latest.log + 版本 JSON），落盘即脱敏（家目录 / token /
  会话 id），单文件 4 MiB、总量 48 MiB 上限并在清单记截断。
- 启动器自身日志落盘（core::launch::launcher_log → <.ULL>/logs/launcher.log，
  登记目录前先缓冲），补上「双击启动时诊断行直接蒸发」的缺口。
- i18n：25 条中英文案进 catalog/logs.rs + 金表。
- 取证：ULL_DIALOG_FIXTURE=crash-report|no-logs|export 在临时目录造真文件出图，
  wgpu 与 tiny-skia 各一套，见 DevDocs/artifacts/m187/。

未复现 M190 的「owned 文字在 wgpu 下丢字」：同一串中文两条文字路径、两种后端逐字相同
（ab-wgpu.png / ab-tinyskia.png），因此本轮未改任何渲染路径。
 2026-11-08 22:42:00 +08:00
AskaEth ff2f229b80 fix(addon): 复审 r2 —— 下载阶段抽出可测边界并补守门 
- 阻塞项：下载循环从 `install::run` 抽到新文件 `addon/downloads.rs`
  （`download_failure()` + `download_stage()`），假下载器就能驱动它；三条用例分别钉
  ①失败→Unreachable+叶子成因、②第 2 个失败不中断且已装不回滚、③解析完就取消一份都不下。
  实测删掉 `record_failure` 那行会红（failures 0 vs 1），把 `cause` 丢掉也会红；
- nit① 补 core 用例：夹具里 `{"version_id":"vid-only","dependency_type":"required"}` ⇒
  `plan.unresolved_required == [UnresolvedRequired{parent:"MIXED001",…}]`，同版本的
  `project_id` required 仍被跟；删掉收集那段即红（left: [] vs 一条）；
- nit② 取消检查加回解析之后（`download_stage` 入口），并用例钉「解析后取消 ⇒ 不下任何文件」；
- nit③ `fail()` 文档写明去重按**请求键**而非规范 id 的边界（先 slug 后 project_id 仍会两条），
  不消掉但不再让人误以为全覆盖；
- `install.rs` 只留解析 + 收口（275 行），模块表登记 `downloads`。
 2026-11-08 20:23:57 +08:00
AskaEth aa33210bb6 fix(addon): 复审 r1 —— 失败去重、null 载荷、完成态进度、顺序守门、下载失败归并 
- P2-1 失败分支不再「直接 continue」：`fail()` 记一条失败（`record_failure` 按
  `requested_as` 去重）并把请求键写进 `alias`，后续同键走现成的 `fold_parents`
  折父边 ⇒ 同一项目只取一次版本、失败只一条、重试名单不重复；
- P2-2 `RawDependency.dependency_type` 改 `Option<String>`：`#[serde(default)]` 兜不住
  `null`，以前一份 `"dependency_type": null` 就让整份 `/version` 报 Malformed、整个项目装不上；
  现在 null/未知一律 `Unknown`（不递归）；
- P2-3 完成态用 `finish()` 把 `files_done` 对齐 `files_total`（曾写死 `1`，装 3 个停在 1/3）；
  解析前 `files_total` 归 0（未知态），不再假装「已知 1 个文件」；
- P2-4 新增 `tests/order.rs`：跨根的层内顺序 + 多根正序/逆序对照，删 `layer.sort_by` 会红；
  另加 `required_project_ids` 自己的排序去重契约用例（`tests/regressions.rs`）；
- P2-5 下载阶段失败记进同一套两档结构（`Unreachable` + 叶子成因）并继续下一个文件：
  已下好的不回滚、失败项进可重试名单、文案保留「已装入 N 个」的上下文；`retry_request`
  自动覆盖它们；
- nit① 在 `plan.rs` 写清「不兼容」为什么落在 DTO 的 `Unsupported`（不是笔误，是缺档）；
  nit② 新增 `DependencyPlan::unresolved_required`（只有版本 id 的必备前置不再静默忽略）；
  nit③ 补「同 mod 另一个版本在目录里仍要下载」的负向用例。
 2026-11-08 20:23:56 +08:00
AskaEth 011d525e8d feat(addon): Modrinth 前置依赖 BFS 解析与两档失败名单 
- model 纳入 `dependencies`（project_id / version_id / file_name + required /
  optional / incompatible / embedded / unknown 五值），只跟 required 递归；
- 新增 `online::dependency`（请求/计划/跳过的形状）与 `online::resolve`
  （BFS：规范项目 id 去重防环、每项目只解一次版本、同层按项目键字典序、
  默认深度 6 且截断写进计划、父子关系进 `required_by`）；
- 失败从类型上分两档：`Incompatible`（所选版本/加载器没有匹配项）与
  `Unreachable`（并保留叶子成因 NotFound/NotConnected/…），`retry_request()`
  只含失败项，解析永不返回 Err（失败是数据，不连坐）；
- 盘上第二道去重：`present_key` 归一化文件名（小写、砍路径、去 `.disabled`），
  命中即跳过下载，但依赖图仍然展开；
- presenter 装入路径改成「解析计划 → 逐个下载」，文案把两档分开写并列出
  「可只重试这 N 个」；`KNOWN_LOADERS` 补 iris/optifine（光影的加载器）；
- 离线夹具覆盖：嵌套两层、环、扇入、深度截断、两档失败、已存在跳过、光影加载器。
 2026-11-08 20:23:55 +08:00
AskaEth a40b3a5940 fix(msa): 浏览器登录按钮在生产路径真的置位 browser_first（复审 r1 收口） 
复审 r1 的 P1-1：「用浏览器登录」这颗按钮在生产二进制里是哑的——`start_browser_login` 用的是
共享的 `MicrosoftAuth::from_env()`（`browser_first=false`），于是 `browser_then_device_login`
里整段预检 / 回退 / 说明编排不执行，按钮静默退化成设备码，任务③（authcode 可选加速路）
实际未交付。

- P1-1：入口改成 `msa_auth(env, MsaEntry::{DeviceCode,Browser})`，浏览器入口走
  `.with_browser_first(true)`。守卫钉两段：①调用点（按 `LoginJob` 分桶记下生产入口实际请求的
  模式，避开同进程并发用例串台）②模式真的落到 `MicrosoftAuth::browser_first`。变异实测：
  把浏览器入口改回 `DeviceCode` ⇒ 该用例红。核心侧另有报文级证据：浏览器优先路必然对
  `/authorize` 发一次预检（`unregistered_redirect_falls_back_to_the_device_code` 断言 GET 计数 == 1）。
- P2-1：`listeners_opened` 改成**绑定现场**计数——`CallbackServer::bind_counting` 在
  `TcpListener::bind` 前 +1，`login_counting` 把 per-login 的 `AtomicUsize` 传下去；
  删掉「进了授权码分支就记 1」的代理指标。复做变异（预检之前偷绑一个监听口）⇒ 3 条
  msalogin 用例红，包括两条 `listeners_opened == 0`。两处 stale 文档（引用不存在的
  `callback::bind_attempts()`）改成引用 `listeners_opened` / `bind_counting`。
- P2-2：预检加整体 deadline（10s，`PREFLIGHT_TIMEOUT`），超时归 `PreflightUnavailable` 并
  回退设备码；新增「接了连接却不出响应」的假服务器单测（200ms deadline 内必须收场）。
  （下载引擎的 HTTP 客户端只设了 connect_timeout，这条兜住「header 之后停住」。）
- P2-3：client_id 守卫加严到三种拼法（`concat!` / 跨行两段 / `format!` 逐段拼），做法是
  「先收字符串字面量再拼」+「连续纯 hex 字面量累计 ≥32 且 ≥2 段」，并跳过注释（否则本模块
  文档里的示例会自指假红）；每条一个自检向量，且不误杀 `session.rs` 的 profile UUID。
- P2-4：页面级断言补中文（`Lang::ZhCn` 走 `Page::build`），并把回退说明的文案出口收敛成
  视图自己的 `login::browser_note_text`（视图与取样共用，不再测试另写一份映射）。
- P2-5：主按钮文案改成「使用 Microsoft 账户登录」/「Sign in with your Microsoft account」，
  下面补一行「浏览器打不开就用这个：它会给一串用户码，在任何设备上输入即可。」。

门禁：`cargo fmt --check`、`cargo clippy --workspace --all-targets -- -D warnings`、
`cargo test --workspace --all-targets`（51 个 test 目标全绿）通过；`client_id.rs` 的判据拆到
`client_id/tests.rs` 守 400 行红线。截图三张（入口 / 设备码 / 回退）已重出。
 2026-11-08 20:23:44 +08:00
AskaEth f82bd395f8 fix(msa): 微软登录默认走设备码，浏览器流降级为可选加速路 
官方产物上点「微软登录」必失败：GUI 只接了授权码流（随机端口回环回调），而 Azure 应用
注册当初是为 device-code 建的，重定向 URI 一项都没登记，于是授权端点当场回
`invalid_request: ... 'redirect_uri' is not valid`，浏览器里只剩一张 AAD 原始错误页，
启动器干等 5 分钟超时。设备码流本身是好的（CLI `accounts add msa` 一直能用）。

- core：新增 `preflight`（回环重定向 URI 注册预检）与 `login`（浏览器优先 + 自动回退设备码）。
  预检拿「即将使用的 redirect_uri」（端口不参与匹配，微软官方文档 *Localhost exceptions*
  原文已引进模块文档）先问一次授权端点；没登记 / 问不出来就地跳过，**一个监听口都不开**。
  预检通过才真绑端口走授权码；授权码失败（超时/被拒/绑不上）自动回退设备码并带上结构化
  原因码；用户取消（`Canceled`）原样上抛，不偷偷换流。设备码是默认，零监听口。
- presenter：`start_login` = 设备码（默认）；`start_browser_login` = 浏览器优先 + 回退，
  回退原因码写进 `DeviceLoginView.browser_note`（原文只进日志）。
- i18n：三条回退文案（含「怎么修：把 http://localhost/auth 加进重定向 URI，端口不参与匹配」）。
- app-iced：登录面板主按钮改成设备码、浏览器降级为次按钮；重登也走设备码；设备码面板与失败
  面板都能画回退说明。倒计时文案改由视图模型持有（借用渲染），顺带修掉中文倒计时整行不显示。
- 守卫（都能变红）：①授权端点回 invalid_request 时确实回退设备码且原因是结构化码；
  ②未登记回环 / 默认设备码路 `listeners_opened == 0`；③回环登记了仍能走授权码（不焊死加速路）；
  ④用户取消不被偷偷换流；⑤client id 仍只能构建期注入（扫 `auth/microsoft/` 源码无 UUID 字面量）。
 2026-11-08 20:23:42 +08:00
AskaEth 9cb605f316 feat(m174): 助手（AI）提供商配置真接线 + 「测试连接」 
设置页新增第 6 组「助手」：提供商四态 / 端点 base_url / 模型名 / API 密钥（默认掩码，
点「显示」才明文）+ 保存 + 测试连接，四类失败（鉴权 / 模型不存在 / 不可达 / 超时）各自
一句文案 + 目标与耗时。

取舍三条：

1. 读写走 `core::setting` 的 schema API（`SettingStore::load` 现读 → `set` → `save`），
   不经 `AppCommand::SetSetting`——那条指令是可序列化 DTO，`ai.api_key` 走它等于让明文进
   事件流/日志。与 `SettingsBridge::persist` 写外观是同一条做法。
2. 「测试连接」不另写一套 HTTP：`unlucky_cli::commands::agent::probe` 现读设置文件、
   交给 `RigProvider`（真 provider）发一次最小补全，带 8 秒时限；分类只看错误文本
   （rig 只给 Display），四类各有一条真 TCP 假服务器用例钉住。
3. `ProviderKind` 补 `from_setting` / `setting_value`：serde 的 `rename_all = snake_case`
   产出 `open_ai_compatible`，与 schema 的 `openai_compatible` 不是同一个词——这正是
   M174 之前「agent 侧一次都没读过设置」的根因。

守卫（都做变异验证，见 mission 报告）：密钥不出 `Debug`/`detail`/DTO；未配置时工厂构造
计数为 0；改完 base_url 后探测打到新地址；空/非法值被 schema 拦下且文件不动。

i18n：49 条中英各一（金表按 `Key::ALL` 位置插入）；presenter 的 ai_group 补上 schema 允许
的 `disabled` 选项与一行「已配置 N 字符」的只读状态（仍然不显示值）。
 2026-11-08 15:57:25 +08:00
worker-updatee2e 24826c1a7c feat(m169): 更新通道端到端验收 —— 本地源改成编译期 feature，补一条可一键跑的 E2E + CI 守门 
§6 欠账：更新链路的 GUI 端从来没验过，而 M167 发现它根本没法在本机验——`ULL_UPDATE_DIR` 只在
`debug_assertions` 下生效，发布产物却是 release；`apply` 又会替换本进程 exe，于是没人敢跑。

判据换档（tower 定案 B）：`cfg!(debug_assertions)` → 编译期 cargo feature `update-test-source`
（core 定义，cli/presenter/app-iced 链式转发，**默认关**）。带 feature 的构建里还要两档环境变量
（`ULL_UPDATE_DIR` + `ULL_UPDATE_TEST_SOURCE=1`），只给路径什么都不会发生。官方发布二进制里那段
分支根本编不进来——README「release builds do not contain that path at all」这句因此继续为真。

- core: `job::default_source` 的本地源分支整段 `#[cfg(feature = "update-test-source")]`；判据抽成
  纯函数 `test_source_root_from` 并逐条单测（半开一律关、空路径、承认值只认 `1`）；
  `the_test_channel_is_a_compile_time_opt_in` 在**两种构建下各断各的**（带 feature ⇒ 换源；
  不带 ⇒ 环境变量设满也走 GitHub）。
- cli: `update check/apply` 的 `--json` 增加 `test_source` 字段（判据派生自实际用了哪个源，不是回读
  环境变量），人读输出多一行点名；`help.rs` 的 `ULL_UPDATE_DIR` 说明按新判据重写。
- 验收：`crates/cli/tests/update_e2e_test.rs` + `update_e2e_tamper_test.rs` + 共用夹具
  `tests/support/update_e2e.rs`。临时数据根 + 本地源 + 真形状清单（与 `manifest.golden.json` 同
  字段）+ 真 PE 产物（现场构建的 ull.exe 前 1 MiB，理由写在 `PAYLOAD_LIMIT`）。断言覆盖：发现
  新版本（source=file:… / test_source=true / size / notes）、下载 → 双检 → 就位（dest 字节、旧字节
  进备份、暂存无残留）、重复 apply 的幂等终态、篡改 sha256（清单撒谎 / 包体被换）与截断都必须
  拒绝且不动现有安装、修复后能重装。**永远带 `--dest`**：不带会真的改名换掉测试二进制。
- 守门：`packaging/check_test_source_off.py`（stdlib-only）扫 `.github/workflows/**`、
  `packaging/*.py|*.sh` 与各 `Cargo.toml` 的 `default`，任何一处打开 feature（或 `--all-features`）
  就红；`--self-test` 注入 5 条真实回归证明每条都会红。CI 挂在 release-guard.yml 两步。

验证（本机）：core update 单测 80 绿 / 带 feature 6 绿；E2E debug 6 绿；
`cargo test --release --features update-test-source` 6 绿（tower 要求 release 档验收）；
`cargo test -p unlucky-cli -p unlucky-presenter` 全绿；守门 self-test + 正式扫描绿（真注入后红）。

已知没验：真 GitHub Release 下载、GUI 点击与重启替换（人工）；跨卷替换（另开 finding）。
 2026-11-08 11:12:10 +08:00
AskaEth afe169751f fix(m165): forget 之后让自更新也换引擎（复审 P2-1）+ 卡口计数与端到端守卫 
复审 P2-1（采「修法 1」，不是只改措辞）：`shared::forget` 只让登记处不再持有
那一份，换不掉自更新 `Factory` 里常驻的 Arc —— 于是「重新检测地区」对更新路径
不生效，直到重启。现在设置动作会把 Factory 一起重建。

- presenter/update_state: `Runtime::rebuild_factory` + `CoreHost::refresh_update_factory`；
  只换 factory，不动 view/inflight（在飞的 Job 派发时已克隆走装配，重建不打断它）
- presenter/dispatch: `SetSetting` 成功且键是「重新检测地区」时调 refresh
- presenter/engine: `DETECT_REGION_ACTION` 常量（设置页行 id / set 分派 / dispatch
  判断共用）；放这里而不是 settings.rs 是因为后者已到 400 行红线
- core/shared: 文档改准 —— forget 的范围是「登记处不再持有」，长命持有者必须自己重建；
  记账从 `engine_for` 移到 `DownloadEngine::new` 这个卡口（分两把锁，避免自锁），
  于是 `constructions` 连绕过登记处另造引擎的调用点也统得住

守卫（都做了变异实证）：
- update_tests::detect_region_rebuilds_the_update_factory_engine：走真实命令路径
  `AppCommand::SetSetting` → 断言 Factory 换了引擎且指向登记处当前实例；变异（删掉
  dispatch 里那句 refresh）→ 红在 Arc::ptr_eq
- update_tests::rebuilding_the_factory_does_not_touch_a_running_job：重建不清
  inflight、不改快照，在飞 Job 仍能跑完
- addon/http::tests::three_host_request_paths_share_one_engine：连走三条真实宿主路径
  （Modrinth 元数据 GET / CF 带 header GET / Java 页渲染）后 constructions == 1；
  变异（让 get_via_engine 自己造引擎）→ 红，left:2 right:1

顺带修：settings.rs 在上一提交被推到 403 行、engine.rs 401 行，两者都超
guards.yml 的 file-size 红线（>400 直接失败）。现在 settings.rs 400 / engine.rs 399，
全仓 `*.rs` 复跑「>400」扫描无输出。

验证：core lib 608 过、5 个 download 集成 target 42 过、presenter lib 270 过、
clippy --all-targets 干净、fmt 干净。真站点仍未打（见报告「没验的部分」）。
 2026-11-08 09:30:05 +08:00