721 Commits

This Branch

This Branch

All Branches

Author	SHA1	Message	Date
AskaEth	f7cfc8ded6	feat(app-iced): 单行输入框透出 on_submit，回车接上存档改名与强调色提交 ... 债务台账 P18（M250 + M247 的共同缺口）：iced 0.14 的 text_input 有 on_submit、 没有 on_unfocus（builder 逐条核过：on_input/on_input_maybe/on_submit/on_submit_maybe/ on_paste/on_paste_maybe，on_unfocus 零命中），而本仓的 text_field 只透出 on_input ⇒ 行内重命名只能点按钮、强调色拿不到「用户确认」这一下。 - field.rs：Field 变 `Field<'a, M>`（M 只被新加的 on_submit 用到，调用点的类型由 text_field 的 on_input 一并推出，一行都不用改），回车消息唯一从 submit_message() 取，`on_submit_maybe(None)` 是默认档 ⇒ 既有调用点逐位不变；禁用态与 on_input 同一 条规矩被摘掉。 - 存档改名：回车与「改名」按钮共用 commit_rename() 一个消息产地，空名/原名不变/ 非法字符那几道校验因此对回车同样成立。 - 强调色：回车发 Change::AccentCommit（不是又一次 Accent(原文)）⇒ 立即 commit()， 把「打了一半就放着」的 #12 亮成红框 + 错行；逐键不报短错的规矩不变，落盘仍取 上一次合法值。 - 判据：submit_is_opt_in（未接就是 None）、text_field_forwards_the_submit_callback、 submit_is_wired_only_at_the_two_call_sites（白名单扫源码）、 enter_takes_the_same_message_as_the_rename_button、the_rename_field_wires_enter、 the_accent_field_wires_enter_to_commit、enter_commits_a_half_typed_value_and_ persists_only_legal_ones。真键盘回车量不到（Element 无内省、造不出 iced::Renderer 的测试替身），报告里单列。	2026-11-11 19:55:21 +08:00
AskaEth	026b9f6e94	Merge branch 'feat/m253-gpucigate-wire-gpu-shot-gate-into-c'	2026-11-11 18:43:34 +08:00
AskaEth	8722c5a0ab	fix(ci)+test(packaging): 关掉「门禁关死而自检全绿」三条路：outputs 绑定、判据步真跑、自检步指向 ... r2 复审：r1 那 11 条 + M3 已闭合（复审自己重放 12/12 红），但它新造的 40 条变异仍有 11 条漏网， 其中三条是「1 行改绿」：把 `probe.outputs.available` 改指向 `reason`/字面量（门永久关、每次绿）； 判据步的退出码在标记表之外被吞（`|| echo 先忽略` / `; :` / `| cat` / `if !` / `true # 原行`， 复审真 bash 实测 exit 0）；自检步被指向另一个脚本（自检根本不跑）。 三条 P1： - 新判据 9：`probe.outputs.{available,log,png}` 必须逐个等于 `${{ steps.detect.outputs.<同名> }}`； - 新判据 5：把 `id: judge` 的 `run` 原文真跑两次 —— 正例必须 exit 0、CPU 档日志必须 exit≠0， 且 `bash -e` 与**裸 bash** 各跑一遍（`; :` 只在后者现形，实测 `bash -e`=1 / 裸 bash=0）。 这一条一次封掉整类「吞码」，不依赖标记表； - 判据 2：`id: wiring` 的 `run` 必须含 `gpu_shot_ci_selftest.py`，且 `vectors`/`wiring` 必须是**单条命令** （不许换行/管道/`;`/`&`/反引号/`#`/`$(`）⇒ `|| echo 先忽略` 无从下手。 两条 P2： - 新判据 10：`on:` 必须同时有 `push`（含 `main`）/`pull_request`/`workflow_call`； - 「载体依赖」这条边界补进四处（自检 docstring / gpu-evidence.md §8 / README / workflow 头注释）： 整个 workflow 被删掉就没有东西会跑自检，`guards.yml` 399/400 行塞不进去。 止步线（写进 docstring 与 §8）：封闭清单 10 类 / 33 条变异向量；明确不覆盖「改判据脚本」「删掉整个 workflow」「求值器与 GitHub 语义差」「判据 4 的合法调用替换」；本文档不宣称「不可能被改成总是绿」； **自 2026-11-11 起停止加固，扩项须由人类新开 mission**。 新增 `packaging/tests/gpu_shot_ci_expr.py`（`if:` 小求值器，判据脚本仍守 ≤400 行：377/215/64）。	2026-11-11 18:31:30 +08:00
AskaEth	2e9702790d	fix(ci)+test(packaging): 接线自检不再给假安全证书：19 条变异重放全红，dev 线接上 ... r1 复审 P1-1：上一版自检对外宣称「不可能被改成总是绿」，实测 19 条变异漏 11 条 （最要命的是把 `available` 写成恒 false —— 门禁永久关闭而每次运行都绿）。根因是三条 判据只是字符串存在性检查、自测步与自检步被整条豁免、`is True` 挡不住 `'true'`。 `packaging/tests/gpu_shot_ci_selftest.py` 重写为 6 条判据： ① 五步按 `id:` 必须在场且无条件（`vectors`/`exitcodes`/`wiring`/`detect`/`judge`， `exitcodes` 还得真断言 `expect 0/1/2`）； ② 解析 `if:` 表达式后**求值**判「判定挂门」（`available` 取 `'true'`/`'false'`/`''` 必须真/假/假，认不出一律红）—— `|| always()` 这类文本层面的门现在真红了； ③ 两种调用形态都必须在场且产物来自 `needs.probe.outputs.*`； ④ 跳过路径**实跑 7 种输入**（新增 `packaging/tests/gpu_shot_ci_probe.py`）， 断言 `$GITHUB_OUTPUT` 的 `available`、summary 文案、`::warning::` 与三条红线的 exit≠0； ⑤ `continue-on-error` 按 YAML 布尔语义判（`'true'` / `${{ true }}` 也算开启）； ⑥ 扫所有 `python`+`packaging/` 的 `run`（自测步、自检步都在内），`|| true` / `; true` / `|| exit 0` / 裸 `exit 0` 全算吞。 变异向量搬到 `packaging/tests/gpu_shot_ci_vectors.json`：21 条，按解析后的结构注入。 P2-1：`gpu-evidence.yml` 加 `workflow_call:`，`dev-guards.yml` 里 `uses:` 同一份 —— 直推 dev 时 selftest 那一半现在会跑（evidence 在 dev 上照样显式跳过）。 P2-2：跳过摘要与 `gpu-evidence.md §8` 改成唯一可行的补救路径（把产物提交进被 dispatch 的 ref，`git add -f`），并写明「就地拷文件在 CI 上做不到」。 措辞：三处「不可能被改成总是绿」改成能复跑的覆盖面 + 边界。	2026-11-11 18:08:31 +08:00
AskaEth	075769c6d2	feat(ci)+test(packaging): GPU 证据接进 CI：自测无条件跑，无 GPU 显式跳过（跳过≠通过） ... 新增 `.github/workflows/gpu-evidence.yml`：`selftest` 无条件跑 `--self-test` 与三个退出码 （0 过 / 1 判据不过 / 2 用法错，用真 CLI 走一遍）；`probe` 只探测可用产物与硬件适配器； `evidence` 的 job 级 `if:` 要求 `needs.probe.outputs.available == 'true'`，所以没产物时它在 Actions 里是灰色 skipped（不是一个绿色 ✓），原因写进 job summary 并打 `::warning::`。 新开文件而不是并进 `guards.yml`：那份已 399/400 行，`release-build.yml` 正好 400。 新增 `packaging/tests/gpu_shot_ci_selftest.py`：把接线口径变成机器判据（自测步不许有 `if:`、 真判据必须挂门、跳过必须 summary+`跳过`+`::warning::`+`$GITHUB_OUTPUT`、禁 `continue-on-error`、 判据命令不许 `|| true`），并带 5 条变异向量证明每种「改绿」写法都会当场红。 `packaging/docs/gpu-evidence.md` §8 记账（含「CI 上从没真跑过」）与 `packaging/README.md` 索引更新。	2026-11-11 17:53:53 +08:00
AskaEth	9234c1eeae	Merge branch 'feat/m251-saveshots-save-screenshot-thumbnail'	2026-11-11 17:29:30 +08:00
AskaEth	779a2ae254	feat(app-iced)+test(presenter): 句柄按 (目录,mtime,大小) 复用；缓存可清空；端到端出图 ... 复审 r1 的三条： 1. 端到端图：DevDocs/artifacts/m251/saves-real-decode-light.png —— 真 host （ULL_SCREENSHOT_REAL_HOST=1 + --data-dir 一个临时数据根）→ 后台列 screenshots/ → palette_extract::thumbnail 真解码 → DTO → Handle::from_rgba → 上屏。三格是三张真 PNG 的真像素，副文案的 2.3 KB / 2.2 KB / 24.1 KB 也是真扫描值。造根脚本与复现命令进 artifacts/m251/{README.md,make-real-root.py}，并写明「哪张是排版、哪张是端到端」。 2. 每帧重建 Handle 的成本：改成**缓存**（不是实测）。model.rs 新增 process-level memo，键 = (截图目录, 文件, mtime, 字节数)（与 presenter 的缓存键同源，目录单列一格）， 上限 120 条（≈12MB）。判据：the_same_screenshot_reuses_one_handle 断言两次 from_state 拿到**同一个 Handle id**；变异（换回 Handle::from_rgba）即红。 a_changed_screenshot_gets_a_new_handle 钉住「文件变了必须换句柄」。 3. 进程级 memo 的副作用：两层各加 #[cfg(test)] clear_cache()/clear_handles()，用例从 已知状态起跑；两条上限从 240 收到 120（≈12MB/层，算术写进常量文档）。 顺带：句柄键改用 push 拼（format! 模板串会被页面字面量守门当成英文文案抓走）； preview 的页面模型用例拆到 tests/saves/preview.rs（saves.rs 破 400）。	2026-11-11 17:09:17 +08:00
AskaEth	dd9962e610	test(presenter)+fix(i18n): 淘汰策略与共享缓存解耦；注释里的 ASCII 引号 ... - prune() 抽成独立函数：全局缓存被所有用例共享，谁往里面灌 240+ 条都会顺手清掉 别的用例刚缓存的键（实测：并行跑时 the_second_identical_refresh_... 假红）。淘汰 策略改在本地 Cache 上测，两条判据各自确定； - clippy -D warnings：from_ref 代替 &[x.clone()]； - model.rs 注释里的 "原因 + OS 原文" 用 ASCII 引号 → 页面字面量白名单守门报红，改 中文引号；core/events 的三处文档失真登记为 TowerFinding（scope 外）； - 出处文案口径：TooLarge 的 detail 只留数字（presenter 不产人读文案）。	2026-11-11 16:52:47 +08:00
AskaEth	0b6b8f0a62	fix(app-iced): 缩略图墙一行两格 + 副文案只留元数据（出图实测） ... - 3 格装不下：详情列宽 = FrameMetrics::column ≤ 424（1180 窗宽），卡片内宽约 370， 3×160+2×12=504 会把第 3 格挤成一条竖条（实测图上『未生成预览』竖着排）。改成 2 格 = 332px，与同列元信息卡的两列栅格同宽； - 原因只进占位框（短句），副文案仍画『大小 · 时间』：160px 里塞「原因 + OS 原文」会摊成 三行，把墙变得比图还吵；原文留在 ScreenshotThumbFailure::detail 供排障； - 出图：DevDocs/artifacts/m251/saves-light.png / saves-dark.png（1180×1400， --software-renderer --screenshot，ULL_SAVES_FIXTURE=1）。	2026-11-11 16:40:41 +08:00
AskaEth	843f6d08f9	feat(saves): 截图缩略图墙（M251 · D54 全套：解码/缓存/上限/可见失败） ... 按 D54 落地，解码在 palette-extract、缓存在 presenter、像素随快照走、壳层只画。 palette-extract（上一提交）→ presenter： - dto/saves/preview.rs：ScreenshotPreview{NotGenerated,Ready,Failed} + ThumbnailView （带 is_consistent：长度 ≠ w×h×4 的像素不许进渲染器）+ ScreenshotThumbKind； ScreenshotView 新增 preview 字段（像素不落盘，随 IPC 面走）； - host/saves/thumbs.rs：attach() 在后台线程（spawn_list 同一条线程）按 mtime 倒序解前 60 张、单张 >8 MiB 先查大小不进解码器、失败也逐条带原因；进程级 memo 键 = (路径, mtime, 大小)，覆盖/替换都会重解；超过 240 条只留本拍碰到的键； - presenter 新增依赖 unlucky-palette-extract（塔已批，方向 presenter → palette-extract）。 app-iced： - saves.rs 拆成 model / rows / wall（原文件 385 行，加完墙必破 400）：model 里建一次 iced Handle（渲染回调零解码、零重复上传），wall 3 列排格子，没像素的格子给 160×90 占位框 + 逐条原因；text.rs 拆出 text/saves.rs 承载存档/截图一族文案； - i18n 加 4 条「这一格为什么没有图」（未生成/太大/读不出/解不出）+ 金表同步； - 出图夹具（saves_shot）合成两种场景的像素，并摆出四种格子（真图×2/未生成/超限失败）。 用例：presenter 9 条（含缓存命中不重解、mtime 变了必重解、第 61 张不解、 >8MiB 不进解码器、缓存有界）+ app-iced 3 条（三种格子的副文案、坏像素降级）。	2026-11-11 16:33:56 +08:00
AskaEth	798bfb279b	feat(palette-extract): 加 thumbnail(path, max_edge) 出限尺寸缩略图（M251 · D54） ... D54 第 1 条：解码与缩放留在 palette-extract（截图是 PNG，现有 png/jpeg/bmp 解码 feature 已覆盖，零新依赖、零新 crate、零新 feature）。 - 把 finish() 拆成 decode_with_limits()（读 + 嗅探 + 卡解压炸弹）与 fit()（等比缩、 不放大），取色与缩略图共用同一段解码，只是目标边长不同； - 新增 thumbnail(path, max_edge) -> Result<Rgba8, ExtractError>，失败给结构化错误 （Io / Decode），不 panic、不返回灰图；max_edge=0 按 1 处理； - THUMBNAIL_MAX_EDGE = 160（D54 第 5 条）。 用例 5 条：真 PNG 等比缩到给定长边、小图不放大、坏 PNG 给 Decode、缺文件给 Io、 0 边按 1 处理。	2026-11-11 16:15:37 +08:00
AskaEth	5487f661d9	Merge branch 'feat/m250-accentwire-apply-custom-accent-colo'	2026-11-11 16:10:09 +08:00
AskaEth	c14622f828	test(app-iced): 钉住错行里不可见字符的 U+XXXX 形态（M250 r1 小事 2）	2026-11-11 15:54:59 +08:00
AskaEth	14282f3325	fix(app-iced): 复审 r1 的四条 p2 + 三条小事（M250） ... - p2-1 删死状态：`Accent::scheme` 字段 / `scheme()` 取值口 / `set_flavor` 重派生全仓零读者， 且注释谎称「Ui 的唯一入口」。色值 `color` 与深浅无关，`Ui` 由 `rebuild_ui` 重算， 所以整条删掉，`new/set/reset` 也不再收 `flavor` - p2-2 规则只定义一次：新增 `theme::tokens(flavor, accent, scheme, families) -> (Ui, Colors)`, `App::rebuild_ui` 与出图 harness 都调它（harness 传 scheme=None，如实说明不覆盖 D38 分支）； README 改成「同一条规则、不是同一个调用点」 - p2-3 逐键不闪红：`Accent` 区分「显示中的错」与 `pending`。只有**不可能再变合法**（非 hex / 超 6 位） 才立刻亮；位数不足先挂 pending，等 `commit()`（点到别的外观控件）或配置读回才亮 - p2-4 订正 `app/state.rs:151` 那句反话（强调色现在是 UI 写入字段） - 小事：hint 文案改「中性表面与错误色不随强调色变」；`Digit{ch}` 里的不可见字符显示成 U+XXXX； 8 颗色块补 tooltip（hex 原文，Overlay 底） 判据：新用例 `accent_errors_only_appear_when_they_are_actionable` 覆盖「输入中不亮 / 提交后亮 / 配置读回立刻亮」三态；gallery 出图逐字节与重构前相同（规则搬迁没改像素）。	2026-11-11 15:46:10 +08:00
AskaEth	c609827c49	chore(app-iced): 撤回越界的注释改动（app/state.rs 不在 M250 scope）	2026-11-11 15:12:15 +08:00
AskaEth	e345b55c09	fix(app-iced): 预设色板改成两行排版，注释与用例去掉色值字面量（M250） ... - 预设色板原来挤在一行，出图实测被折成「7 + 1」（最后一颗掉到下一行）——改成 「标签 + 出厂」一行、8 颗色块一行；这是有意排版，不是被挤出来的 - src/** 的色值字面量门禁把注释与测试一起扫（那条门禁是对的）：文档里的 `#RRGGBB` 实例改成不带 `#` 的描述，超长串用例改用 `TEAL.to_hex()` 拼出来	2026-11-11 15:10:03 +08:00
AskaEth	e6b2200360	feat(app-iced): 强调色接线落地（M250 ACCENTWIRE） ... appearance.accent_color 此前是死线：配置键、presenter 往返、预设色板都在，但造 tokens 的 唯一入口恒走 DesignTokens::brand(board)，用户填了色界面不变。 - theme.rs：Ui::with_accent + accent_scheme（唯一调用 DesignTokens::with_accent 的地方） - app/state/theme.rs：rebuild_ui 三选一（显式强调色 > D38 取色方案 > 出厂板），diag 一行说清是谁生效 - pages/appearance：新增 accent 状态（原文/解析结果/方案/结构化错误）+ 设置页输入行与预设色块； 非法值保持上一次合法值并给出 Short/Long/Digit 三档原因，不静默回退出厂色 - presenter::prefs：AccentChoice::parse 成为唯一解析点，set_accent_checked 交回结构化原因 - app/appearance.rs：persist_appearance 带上 accent_color（此前写不进去），只写上一次合法值 - pages/harness/app.rs：gallery 也能吃 ULL_APPEARANCE_ACCENT，供出图矩阵 - core keys.rs：订正「空 = 出厂 #0078D4；accent 令牌全域生效」这句半真半假的说明 - i18n：强调色 7 条文案（链尾新域，金表只追加） 判据：同一组件（进度条 Primary）在空配置与 #006A5C 下色值不同（App 级 + 令牌级两条）； 非法值拿到结构化错误、生效色不回退、不写盘、tokens 仍可构造。	2026-11-11 14:56:26 +08:00
AskaEth	4cdb46d2e0	Merge branch 'feat/m249-pixelpass-align-elevated-outlined-a'	2026-11-11 14:32:48 +08:00
AskaEth	31cb109445	fix(app-iced): 探针补回宽度判据，并订正覆盖面与 12.4 的口径（M248 r1 P2-1/P2-2） ... P2-1：`TRACK_MIN_RUN = 200` 把「轨道被宿主裁短」这类几何回归从红变成绿——复审把 after 图里 0% 那条轨道右半截涂回画布色（连续段 160px）之后，那一行直接不成带，check_linear 靠另一条带 照样绿。现在拆成两条判据：成带阈值降到 **100**（实测：确定态行 318~320、不定态行 306~308、 文字行 22，两头都留得住），宽度**单独**判 ≥300（`TRACK_MIN_WIDTH`），不再藏在圆角检查的 find 里。反例复跑：两套主题都红「实测最宽段 160px @ 行 163」。 新增 `feedback/tests/bands.rs`（合成图，不依赖真实截图）两条用例，把两个阈值的取值区间钉住： 窄轨道必须仍成带且过不了宽度判据、22px 的文字段永远不成带。变异自证：调用点换回 `bands(.., 200)` → 两条用例都红（`left: [(12,15)] / right: [(5,8),(12,15)]`）； `TRACK_MIN_WIDTH=150` → 窄轨道用例红。 P2-2：订正两处写反的账——实测 `轨道带 2 条（高 [4, 5]）`，**两条带都在**厚度/宽度判据里 （5 行那条含 1 行抗锯齿，near 容 ±1），不是「只剩一条」；12.4 只量主色两段的左右端点， **不量**轨道厚度。根因（按单条 320 轨道心算 ~88px vs bands_by_run 按整行取 306px）已写进 `TRACK_MIN_RUN` 的文档。 顺带：12.1 的判据从 probe.rs 搬进 `probe/track.rs`——加完这几行 probe.rs 正好 401 行， 撞 400 红线；顺着 circular / panels 的先例一族几何一个文件。	2026-11-11 14:32:27 +08:00
AskaEth	8f5dac2ed6	fix(app-iced): 三处 Pixel 偏离按角色语义收敛（M248） ... P2：Elevated 的容器改由高程令牌推导（Elevation::Level1.surface_role），解析值仍是 SurfaceContainerLow，图上逐像素不变；「比 Surface 高一档」从此只有 elevation.rs 一处定义， 组件里不再手抄角色名。 P3：Outlined 的 1dp 描边 OutlineVariant → Outline。design/color/mod.rs 的对比度纪律里 Outline 才是「非文字元素（目标 3:1）」，OutlineVariant 是纯装饰分隔线；图标按钮那一式本来 就是 Outline，文字按钮此前与它不一致（全站两套描边）。实测 Outline/Surface：Ink 5.08、 Silver 4.24（OutlineVariant 1.97 / 1.62）。 P4：进度轨道（线性 + 环形）SecondaryContainer → SurfaceContainerHighest——轨道是「还剩多少」 的背景尺，强调色只属于指示条。与 A1（LinearProgressIndicatorTokens.TrackColor）的差异在 progress.rs 模块文档与 geometry.rs 的 12.2 行登记，gallery 图注同步改成角色名。 判据：新增 buttons/tests/roles.rs 与进度轨道用例，断言的是「取到的角色」与 Ink / Silver / Scheme::from_seed 三套方案下解析出的颜色，不钉任何 hex；三处各做一次变异自证（改回旧值即红）。 另修 feedback probe 的定位判据：轨道换成中性容器面后，「画布→轨道」的混色轴穿过中性文字， 按「计数」会把图注行数成轨道，改按「连续段」判（bands_by_run）；顺带修掉 indeterminate_row 把标题行当主色带的既有问题（用改前的图 + 改前的探针复现过，与本次换色无关）。	2026-11-11 14:32:26 +08:00
AskaEth	81710ba38c	Merge branch 'feat/saves-write-operations-rename-delete-bac'	2026-11-11 14:32:12 +08:00
AskaEth	32384b952e	chore(presenter,app-iced): 复审 r2 三项（文档对齐 / 拆 dialog.rs / 收窄关闭路径） ... 1. 文档自相矛盾（复审 r2 第 1 项）：`SavesState::apply` 的文档还写着「无论成败都清『在飞』与 『确认中』」——改完之后这是假的，而且与模块文档「安全判据第 3 条」互相打脸。现在逐支写清： `Ok` 清 draft/pending、`confirm` 只在被确认的世界已不在快照里时清并登记 `closed_confirm`； `Err` 只清 pending。生命周期表里的 `dismissed` 改成真字段名 `closed_confirm`（消费点是 `app/state/refresh.rs::settle_saves_confirm`）。 2. 拆 `app/update/dialog.rs`（复审裁决）：397 行里 262 行是内联 `mod tests`，而它装的是 主按钮 / Esc / 次按钮三条不可逆分支。照仓内先例（`app/dialog.rs` + `app/dialog/tests.rs`） 把测试体搬到 `app/update/dialog/tests.rs`，**纯搬移**：`dialog.rs` 397 → 138， `dialog/tests.rs` 262；从 `6c87e2a` 的 `dialog.rs` 里抽出 `mod tests` 去一层缩进后与 新文件**逐行比对 0 处差异**（262 = 262）。 3. 收窄关闭路径（复审 r2 加固）：`SavesState::close_confirm(current)` 只在 `current` 等于登记的 那个框时才清；`clear_confirm()` 保持无条件（换实例/复位用）。`escape()` 与 `Secondary|Dismiss` 改成传当前框 id。新用例 `closing_another_dialog_leaves_our_target_alone`（别人关框不清我们的 目标；自己关框才清）。	2026-11-11 14:25:26 +08:00
AskaEth	6c87e2ad8a	fix(presenter,app-iced): 删除确认绑定到对话框身份 + 快照不再吃掉目标（M247 r2 复审） ... 复审 r1 P1-1（安全）：`SavesState::confirm` 的「关闭即清」在 Esc 这条路径上没有落实， 而主按钮分支无条件先取目标 —— 「删存档 → Esc → 崩溃卡片 → 导出诊断包」会静默删掉那个世界。 两层修，各自有独立用例钉住： 1. **认框不认人**：`confirm` 改成 `Option<(DialogId, String)>`，`take_confirm(current)` 只在 id 相等时交付；`DialogMessage::Primary` 传 `dialogs.current().id`。即使别的路径漏清， 也核销不了别人那个框。用例 `a_leaked_target_cannot_be_redeemed_by_another_dialog` （去掉 id 校验即红：实测「漏清的目标被别的框兑现了：世界被静默删除」）。 2. **关闭路径补全**：`update/dialog.rs::escape()` 补 `clear_confirm()`（次按钮/遮罩早就清了， Esc 漏了）。用例 `escaping_the_delete_dialog_disarms_it_for_the_next_one` 复现整条事故链， 断言没有下发 `DeleteWorld`、框走自己的路关掉（去掉这行即红）。 P2-1：`changed()` 不再无条件清 `confirm`（一拍无关快照会让主按钮变成静默空操作）—— 只在「被确认的世界已经从快照里消失」时清，并登记 `closed_confirm` 让 app 层**收起那个框** （`refresh_view → settle_saves_confirm`），避免留一个点了没反应的按钮。`failed()` 同理不动 confirm。 用例：`an_unrelated_snapshot_keeps_the_confirmation_redeemable`、`a_vanished_world_closes_its_confirmation`、 `an_unrelated_snapshot_no_longer_drops_the_confirmation`、`the_confirmation_is_dropped_and_reported_when_the_world_vanishes`。 P2-2：`catalog/instances.rs` 那段「这一版只读 / InstancesSavesReadOnly」的陈旧说明改成现状 （写操作已接上，边界由 core 的 `write::boundary` 守）。 拆分（400 行）：`presenter/src/state/saves.rs` 的交互态方法 → `state/saves/interaction.rs`、 判据 → `state/saves/tests.rs`；`app/update/dialog.rs` 的接线用例内联在该文件（5 条）。	2026-11-11 13:51:07 +08:00
AskaEth	8c67e4eca6	fix(presenter,app-iced): 「游戏在跑」挡在落 core 之前（M247 r2） ... 塔裁决：三个写操作在实例启动/运行时必须拒，判据不能只靠界面灰按钮 —— Windows 上是 os error 32 兜底，**Linux 上删一个正在跑的世界会成功**，那是在 用户玩到一半时把存档删掉。 - host/dispatch.rs：`AppCommand::Saves` 与 `AppCommand::Mods` 同款，先查 `CoreHost::in_flight(&id)` 再把 `running` 传下去 - host/saves.rs::dispatch 增 `running`：为真时三个写操作**不 spawn、不碰盘**， 直接回一条 `SavesFailureKind::GameRunning` 的结构化失败；读路径与「打开文件夹」不受影响 - dto：新增 `GameRunning` 类别（不折进 WriteFailed —— 那不是"写失败"，是"我们主动没写"） - i18n：「游戏正在运行（先退出再操作）」中英成对 + 金表同步 - 用例：在飞时三条写命令盘上指纹不变/世界还在/备份落点没建，且回 GameRunning； 反向用例钉住闸门没有把写操作一并关死；UI 侧断言三种动词的主句都不出现「写盘失败」且不画重试 - 拆分（400 行）：host/saves.rs → host/saves/write.rs；两处测试各拆出 write 子模块 - SavesState 模块文档补「生命周期」表：draft / pending / confirm 谁写谁清、何时必须清， 并把 confirm「取走即清」（连点两下不删两个）写成安全不变量 - 出图：ULL_SAVES_FIXTURE=running 一张（失败那句话的样子）	2026-11-11 13:29:56 +08:00
AskaEth	c921b9c185	feat(core,presenter,app-iced): 存档三个写操作（重命名 / 删除 / 备份）+ 行操作区（M247 SAVESOPS） ... core::game::saves 新增 write 模块，三个入口的第一句都是 boundary::guard： - rename_world：saves/<old> → saves/<new>，撞名/同名/非法名字各自具名拒绝 - delete_world：递归删（不跟随符号链接、层级上限 64），先过边界校验 - backup_world：流式 zip（限额预检 → 临时文件 → 原子改名）， <世界名>-YYYYMMDD-HHMMSS.zip，撞名顺延，绝不覆盖上一份 guard 三道判据（每次写前重做，不信任调用方）：名字必须是单段裸名字； saves/ 必须是运行目录的真实直属子目录；世界目录必须是 saves/ 下的真目录 （解析后比父级，不比字符串前缀）。落点目录要求绝对路径（相对路径会落到进程 CWD， 实测过一次）。 presenter：SavesCommand 增 RenameWorld/DeleteWorld/BackupWorld，host 三个后台入口 写成功后重新列一遍目录并把「回执」挂在快照上（SavesOped：改名两端 / 被删的名字 / 备份落点+字节数+跳过的链接数）。SavesFailureView 增 file 与 op，写失败八类一一对应。 SavesState 增 draft / pending / confirm 三样交互态（草稿是行内输入缓冲， pending 与 ModsState::pending 同一条先例，confirm 是删除确认框在等谁）。 app-iced：世界行右侧重命名/备份/删除；行内输入框改名（现成模态队列没有「输入变了」 这一条消息，用输入模态等于重写一套）；删除走现成 modal 的 Confirm，主按钮落点接在 app/update/dialog.rs。回执行画在卡片里（备份落点看不见就是静默失败）。 i18n：新增 25 条中英成对 key + 金表同步；删掉 M235 的「这一版只读」那条（写操作接上 之后它是假的）。出图夹具 ULL_SAVES_FIXTURE=rename|confirm|backed-up 三种形态。	2026-11-11 13:29:56 +08:00
AskaEth	3e852331f4	Merge branch 'feat/m250-gpushotgate-gpu-screenshot-evidence'	2026-11-11 13:24:47 +08:00
worker-gpushot	cb061d1da2	docs(packaging): 判据 1/2 的新口径同步到 docstring 与证据账（M249 r1） ... 9aefb6a 改了行为没改说明：docstring 还写着判据 1 是「截图那一行 renderer=wgpu」 （现在是「全部 [shot] 行都是 wgpu」）、判据 2 只写「X 不在禁令里」（现在取不到也算 失败）。doc §3.1 也从「两个变异」改成三条。	2026-11-11 13:14:57 +08:00
worker-gpushot	9aefb6a5b0	fix(packaging): 堵两处判定假绿 + 证据账读数可复跑（M249 r1 P2-1/2/3） ... P2-1 判据 2：`Selected: AdapterInfo {` 与字段不在同一行时（pretty-print Debug 漂移） `device_type` 取不到、旧写法默认 `"?"` 而 `"?" ∉ {Cpu,Other}` ⇒ 判绿。改成取不到即判红。 P2-2 判据 1：`"wgpu" in renderers` 是「曾经出现过」，把 CPU 那次的 stderr >> 追加进来 再配 CPU 那张图会判绿。改成 `set(renderers) == {"wgpu"}`（全部 [shot] 行都声称 wgpu）。 P2-3 doc §2：A6 `--expect-refuse` 那行的「3/3」需要传 PNG 路径才成立，按表复跑是 2/2； 命令列补上 PNG，并单列「不传 PNG = 2/2」一行。 行数：判据脚本 383 → 311（自测脚手架搬到 tests/gpu_shot_selftest.py，124 行；向量 16 → 19 条，红 16 / 绿 3，新增「多行 Debug」「空体」「混入异种 renderer」三条靶子）。	2026-11-11 13:13:36 +08:00
worker-gpushot	d7a9ae15a5	fix(packaging): 负例判据 8 的失败详情补全（M249 自查） ... 原来只在「有 renderer= 行」时给详情；只有 `[shot] WxH` 行、没有 renderer 行的 日志会打出一条没有原因的 `[fail] 8.`——正是本脚本承诺不做的事。改成把两样 多余的出图痕迹都列出来（`存在出图行：renderer=…、[shot] 1180x760`）。 向量与真实样本复跑结论不变（16 条向量红 13 / 绿 3，A1/A2/A4 0、A3/A5/A6 1）。	2026-11-11 13:03:13 +08:00
worker-gpushot	1f7dfd7bdd	feat(packaging): GPU 截图证据判定 check_gpu_shot.py（M249 GPUSHOTGATE） ... 把 M246「这张图真是 GPU 档出来的」的人读判据固定成可复跑的门禁： 入参 = 一份 stderr 日志 + 一张 PNG（可选 --expect-refuse），逐条点名失败 的判据（不只印 FAILED），退出码 0/1/2。 判据：① `[shot] … renderer=wgpu`（不是 `[probe] renderer =`，那只是意图） ② `Selected: AdapterInfo` 的 device_type ∉ {Cpu, Other}（与 probe.rs:165-167 同口径）③ PNG 能解码且非空 ④ PNG 宽高 = 日志 [shot] 的宽高 ⑤ `[backend] final=wgpu result=started` ⑥ 复用 check_screenshot.py 的非空白判据。 PNG 解码直接 import 同目录 check_screenshot，不复制第二份解码器。 --expect-refuse 是 A6 负例口径：via=refuse + 无出图行 + 目标 PNG 不存在。 --self-test 跑 tests/gpu_shot_vectors.json 的 16 条向量（红 13 / 绿 3）， 每条给出期望的失败判据清单，变异（允许 Cpu / 删掉 renderer=wgpu 判据） 会让清单对不上而报红。 docs/gpu-evidence.md 记录能证什么（字形栅格与边缘 AA、面板 α 与玻璃、 两后端一致性）与不能证什么（首帧与帧率、整窗 α 与圆角观感 —— 走 DWM， 任何截图都拍不到），并写明历史 --diff 基线已永久不可复核。 本脚本尚未接进 CI（另一条 mission），本 mission 不改 Rust、不改 workflow。	2026-11-11 13:01:44 +08:00
AskaEth	ff1a1677f5	Merge branch 'feat/surface-unknown-launch-placeholders-inst'	2026-11-11 11:40:08 +08:00
AskaEth	c97ec293c3	test(core): 「哪些键真的交给日志」补自动化证据（M244 r2 P2-1） ... 复审 P2-1：旧用例只断言 `collect_fresh`（纯函数）与 `unknown_keys()`（表级清单）， 没人断言 `report` **真的**只把「新键」交给 sink；把 `for key in fresh` 改成 `for key in unknown`（每次渲染重复写日志）当时 6 条用例全绿，而「同键只报一次」正是判据 ③。 - `report_with(&self, unknown, sink: impl FnMut(&str))`：`report` 变成 `report_with(unknown, emit)`，`emit` 仍是 `cfg(test)` 空实现（不碰进程级单例，flake 不回潮）； - 新用例 `report_emits_only_fresh_keys`：假 sink 收集，断言一次渲染内重复只交一次、 跨渲染只有新键才交、顺序与 `collect_fresh` 一致； - 顺手收掉自己列的边角：`unknown_log_line` 先把键名里的 `\r`/`\n` 换成空格 （`launcher.log` 是行导向的，恶意清单塞换行能把一个键变成两行假日志）， 新用例 `log_lines_never_break_into_two_lines`。 变异自证（各自 exit 101，均已还原、文件 sha256 复原）： - `for key in &fresh` → `for key in unknown` ⇒ `report_emits_only_fresh_keys` 红， `left: ["a", "a"] right: ["a"]`； - 删掉 `key.replace(['\r','\n'], " ")` 那一行 ⇒ `log_lines_never_break_into_two_lines` 红， `left: 2 right: 1`。 门禁：fmt / check -p unlucky-core --all-targets / test -p unlucky-core -p unlucky-cli （1678 passed / 0 failed）/ clippy --workspace --all-targets -- -D warnings 全绿。	2026-11-11 11:32:27 +08:00
AskaEth	60607ae7b3	feat(core): 未登记占位符不再静默（M244 PLACEHOLDERWARN） ... `PlaceholderMap::render` 一直把未登记的 `${key}` 原样写回 argv，运行期零校验零告警： 第三方 version JSON 里一个拼错的占位符会原样进 `cmd_built.argv` / `--dry-run`， 用户只看到一个 `${xxx}` 和零解释（M239 REDACTAUDIT §5.2 的机制风险）。 - `render_tracked` 返回 `RenderOutcome { text, unknown_keys }`，未登记键去重保序； `unknown_keys()` 交表级全量清单，供后续接 `AssemblyWarning` / `--dry-run`。 - `render` 在此之上把每个**新**见到的键写一行 `launcher.log`（进程级去重，一个键一次启动 只报一次）；未登记键仍原样保留，argv 逐字节不变（第三方清单兼容性优先）。 - 大小写/首尾空白变体按**不同的键**处理（替换本来就是精确匹配），日志行对近似已登记键的 附「疑似 ${known} 的笔误」提示。 - 测试构建里 `emit` 是空实现：`launcher_log` 是进程级单例，lib 用例并行跑时会把它自己的 `buffer_is_bounded_before_the_dir_is_known` 顶红（实测 205 行）；行文本与「哪些键该记」 分别由 `unknown_log_line` / `collect_fresh` 的用例覆盖，落盘用一次性探针手工验过。 变异自证：把 `note_unknown` 改成空实现 ⇒ 5 条新用例红（exit 101），还原后绿。 门禁：fmt / check -p unlucky-core --all-targets / test -p unlucky-core -p unlucky-cli / clippy --workspace --all-targets -- -D warnings 全绿。	2026-11-11 11:12:23 +08:00
AskaEth	0b40e1dfe2	test(core,presenter): 夹具口径跟随 M240 收窄（长类名不再被抹） ... M240 让词形长路径不再被当成不透明串，而 M241 的两份夹具仍断言「必须被抹成 <redacted:opaque>」——两条各自的 pre-rebase 门禁都绿，合并 tip 上才互相矛盾， 维护主线短暂变红。 - core：raw_evidence_hits_... 改成断言「脱敏文本也保留类名、两边都能命中」， 并改名 ..._and_m240_keeps_it_visible_after_scrubbing；保留一条守卫：若将来 又把词形长路径抹掉，这条会红并提示改用 raw 窗口的用例说明其必要性。 - presenter：展示面与盘上的断言从「不许出现类名」翻成「应保留类名、且不许 出现凭据」——类名不是凭据，留着才看得懂崩溃原因。	2026-11-11 10:48:16 +08:00
AskaEth	8a65562595	Merge branch 'feat/mask-bearer-tokens-followed-by-trailing'	2026-11-11 10:48:07 +08:00
AskaEth	cc90c64b84	fix(core): 行尾句读不再让真 token 整串落盘（M243 BEARERDOT） ... `Bearer <JWT>.`（行尾一个英文句点）整串原样落盘：句点自己属于 dotted 字符集， 扫描器把它算进 run 后 `split('.')` 多切出一个空段，「每段 ≥8」当场不成立。 M240 实测 old == new == 原文，影响 core 的全部落盘/展示面。 修法不是抬阈值：`shape::split_trailing_punct` 在判定前把末尾句读（`.` `,` `;` `)`） 切出去，`push_dotted` 再把句读原位写回——占位符只吃 token 本体，句子标点一个不丢。 只有 `.` 会进入字符集，其余三个本来就在外面，列全是为了「句读不参与判定」只有一处出处。 `has_dotted_token` 的闸门同步改成看同一份切分结果，否则闸门关着就静默不抹。 判据：`tests/bearerdot.rs` 三组——四种形状（`Bearer <JWT>.` / `… <JWT>. then` / `<JWT>,` / `(<JWT>)`）必须抹且标点保留；句点结尾的普通文本（`Service.Unavailable.today.`） 必须逐字原样；两个入口在带句读的输入上必须一致。语料 68 文件 / 243 行仍 0 行被改， JWT/sha256/base64 正例仍被抹。变异自证：把 trim 改回旧行为 → 主判据红（EXIT=101）。 外层两个既有红（diagnose::session / presenter m241 夹具）是 M240 收窄后的口径冲突， stash 回 main HEAD 可复现，已各 file 一条 finding，不在本轮修。	2026-11-11 10:48:04 +08:00
AskaEth	ea108c5fc4	Merge branch 'feat/sync-cli-and-agent-diagnosis-with-stored'	2026-11-11 10:47:33 +08:00
AskaEth	1a06163407	feat(cli): M242 —— ull diag 与 AI diagnose_crash 改读会话里落盘的结论 ... 两个入口原来都是「读回会话事件 → 在**已脱敏**文本上重跑规则」。脱敏一旦有损 （`≥64` 不透明串、带点票据串 → 占位符），重跑出来的不是「少一点细节」，而是 **换一条结论**：`fabric.loader_0_12`（critical）降级成 `integrity.no_class_def_found` （warning，把「Fabric Loader 版本不配套」说成「库没下全」）。M241 起写会话时已经在 原始行上算过结论并落成 `diagnosis` 事件（且过 `scrub_json`），所以两个入口改成 **优先读落盘那份**，只有没有该事件的老会话才回落到重跑。规则 pattern 一个字符没动。 - `commands/sessions/diagnosis.rs`（新）：结论来源选择（stored / rerun）、人类输出渲染； `ull diag` 的 payload 增加 `conclusion_source`，人类输出多一行「结论来源」。 - `commands/sessions.rs`：`diag` 瘦成取结论 + 拼 payload（240 行级 → 拆文件守 ≤400 行）。 - `commands/agent/ports/diagnose.rs`：`diagnose_crash` 同改；`read_game_log` 与 `CrashDiagnosis.evidence` 仍是脱敏文本（隐私选择不变），只换结论来源。 - 用例（真 `SessionWriter` 写盘 → 真 CLI `crate::run` / 真工具注册 + handler）： `sessions/m242_tests.rs`、`agent/ports/diagnose/tests.rs`；含老会话回落用例。 变异自证：关掉落盘分支 ⇒ 两条用例红（`rerun`/`integrity.no_class_def_found`），已还原。	2026-11-11 10:34:18 +08:00
AskaEth	d5a6f5dc50	Merge branch 'feat/narrow-log-redaction-overreach-on-brands'	2026-11-11 10:15:51 +08:00
AskaEth	a07482f828	docs(core): M240 r2 复审 —— 两处注释口径（= 边界代价写清、DNS 形归属改正） ... 纯注释，判据/阈值/测试断言/扫描器零改动。 ① `is_dotted_token_char` 的 doc 原写「JWT 自己的 `=` 只可能是末尾填充，拆出去不损伤 覆盖面」——作为无条件说法不成立。改成有范围的措辞，并把这条例外并入模块文档 「旧行为抹、新行为留」第 1 条（不新开章节）：`-DaccessToken=abcdefgh.ijklmnop.qrstuvwx` （整段 40 字符、三段各 ≥8，旧规则抹）现在 `=` 切段后值只剩 26 < 40 → 原样留下。 旧/新两侧都实测过（`git show 74be510` + rustc 探针 / 当前代码探针）。 ② `cdn_and_mirror_urls_survive` 里 `resources.download.minecraft.example-cdn` 的注释 原写「全靠必须含大写这条必要条件挡住」——不成立：它是 DNS 形状，由 `is_url_authority` → `is_dns_host` 豁免（删掉大写判据该测试仍绿）。改成正确归属，与 `lowercase_dotted_names_are_spared` / `the_uppercase_requirement_is_load_bearing` 的 doc 口径对齐（DNS 形靠主机名豁免、非 DNS 形靠必须含大写）。	2026-11-11 10:15:49 +08:00
AskaEth	66929786c0	docs(core): M240 复审 P2-1/P2-2/P2-3 —— 口径收窄、大写判据钉住、找回丢掉的负例 ... P2-1：「抹除能力没有下降」是绝对承诺，已改成准确口径——收窄的就是三类形状 （`=` 边界、填充不计段长、全小写点分串），每条都在 shape 模块文档里写明，并用 `known_narrowings_old_masked_new_keeps` 把「旧行为抹、新行为留」钉住。三条的旧行为 是用 M240 之前的真实代码（`git show 74be510:…` + rustc 探针）实测的，不是推断。 P2-2：「必须含大写」原先没有任何测试钉住（复审实测：删掉它 13 条仍全绿）。 查明原因：DNS 形状的全小写点分串早就被"首段是主机名"那条豁免救下，大写判据 只对**非 DNS 形状**的全小写点分串承担区分作用（标签带 `_`、标签超 63 字符、 `/` 前只有一段主机名）。选择保留（复审的 (b)），并补 `the_uppercase_requirement_is_load_bearing`（`sophisticated_backpacks.upgrades.reference` 等两条）——删掉判据 → 该测试与 `lowercase_dotted_names_are_spared` 红、其余 15 条绿。 同时改正事实错误：不是"第三段必为大写"，而是头的 base64url **第三个字符**恒为 `ey` + `I/J/K/L`（`7B 22 xx` 的第三组 6 位 = `b1` 低 4 位 ++ `b2` 高 2 位 → 索引 8..11）。 P2-3：找回重构时丢掉的老负例 `dotted_token_rule_does_not_eat_normal_text` （4 条用例 + 直接断言 `!has_dotted_token(...)`，含 `eyJhbGciOiJIUzI1NiJ9.short.abc`）； 语料测试的 doc 注明它**只守一个方向**，不得当"正例仍被抹"的背书。 判据与阈值一个字没动（40 / 3×8 / 64），扫描器代码零改动，纯文档 + 测试。	2026-11-11 10:15:49 +08:00
AskaEth	43f77d8865	fix(core): 收窄日志脱敏的三类误杀（品牌串 / CDN 主机名 / 长路径） ... M239 实测两条形状规则会误杀三类正常文本，被抹掉的正是用户要复制的面 （`--dry-run` 的 argv、`cmd_built.argv`、诊断规则引擎的输入）。修法不是抬阈值 （40 / 3×8 / 64 一个字没动），而是给每条规则加**必要条件**： - `-D<key>=<品牌>` 被当三段式 token：`=` 是赋值边界、退出 dotted 字符集 （JWT 的 `=` 只可能是末尾填充），键里的点号不再把值拖进段数统计。 - CDN/镜像 URL 变成 `https:<redacted:token>`：加"必须含大写"与"首段不是 DNS 主机名"两条必要条件（JWT 头是 JSON，base64url(`{"`) = `eyJ` 必含大写； base64url 不含 `/`）。扫描器先切主机名，路径那半继续判——JWT 放进 URL 路径里照样抹。 - ≥64 无点号长串吞掉整条路径：路径形状（被 `/` 切开且每段是词形名字）整条 保留，但**段本身**≥64 的照抹（`/…/objects/<64 位 hex>` 只抹那一段）。 真凭据的抹除能力不变：登记过明文值的替换路径没碰；正例（本仓 JWT / MSA JWT / `-DaccessToken=` 粘着 / URL 路径里的 JWT / 标准 base64 三段式 / sha256 hex / base64 ≥64 / `A`×64）全部仍被抹。回归语料（M239 的 68 文件 / 243 行）修前被改 1 行 → 修后 0 行。判据与扫描器拆成 redact.rs + redact/{shape,tests}.rs。	2026-11-11 10:15:48 +08:00
AskaEth	775bb75b92	Merge branch 'feat/feed-rule-engine-raw-text-while-keeping'	2026-11-11 09:41:54 +08:00
AskaEth	edd6402fd5	fix(core): 规则结论改在脱敏前算，会话路上 fabric.loader_0_12 能命中（M241） ... 会话 JSONL 是写前脱敏的，而脱敏的「≥64 无点号不透明串」是有损的： fabric.loader_0_12 唯一的证据行（Sponge mixin 类路径 66 字符）被抹成 <redacted:opaque>，规则在会话路上永不命中。 修法不动脱敏策略、也不往盘上多写一份原文： 1. SessionWriter 在内存里留一个 2000 行的原始尾窗（不落盘）； 2. 收尾时把这些**原始**事实交给新的 diagnose::session::conclude 跑规则， 产出契约形状的 diagnosis payload —— 它落盘前仍过 Redactor::scrub_json； 3. 日志页优先读这条落盘结论，老会话才回落到「在脱敏文本上重跑规则」。 为什么不是「原文与脱敏文本并存」：会话 JSONL 里存原文会踩 core/tests/launch/pipeline_cases.rs 早已钉死的「事件流不得含凭据明文」。 顺带把 EventKind 纯搬移到 launch/session/event_kind.rs 守 400 行上限。	2026-11-11 09:19:42 +08:00
AskaEth	74be510114	Merge branch 'feat/fix-narrow-window-chips-squeeze-and-menu'	2026-11-11 08:41:04 +08:00
AskaEth	df0944894f	fix(app-iced): 面板预算按内容推导 + 版本菜单不画 L2 阴影（M238） ... 两条都在「视口不终止内容」这一族里，修法各一半： ① 三栏档面板预算从死的 `PANEL_BUDGET = 300` 改成 `panel_budget(menu_items)` （内边距 24 + 首屏 76 + 间距 8 + 钉死区 88 + 菜单高 + 列表↔面板 21）。 旧常数不含列表↔面板那 21、也不随版本菜单行数变，于是 760/900 档面板实得 286/294px，滚动视口被挤到 54/62px——六枚 loader chip 只露出 10px（736 与 1180 同样严重，纵向预算与窗宽无关）。修后 760 档视口 98px（chips 31px 整枚在屏）、 900 档 106px；列表按整行让出：760 档 4→3 整行、900 档 7→6 整行；只有一条 加载器版本时菜单只占 64px，列表仍是 4 整行。 ② 版本菜单改用 `Menu::flat()`：不是「把阴影裁掉」，而是**不在滚动容器里画阴影**。 `iced_tiny_skia` 0.14 画 quad 阴影走 `draw_pixmap(.., mask: None)` （engine.rs:136-143），绕过裁切掩码；`iced_wgpu` 那边是整层 scissor （quad.rs:96-101）⇒ 同一棵树两个后端画出来不一样。修前菜单底下 54px 一条被压暗 （浅色 249→231，−7.2%，含 8px 缝与实例名框内上半部），修后逐像素等于画布色。 菜单的 L2 令牌不动，真实浮层照旧带阴影。 判据（两条，抓得住的/抓不住的都写进文档注释）： - 结构：`rows/tail.rs` 断言三栏档 760/900 的滚动视口 ≥ 首屏 76px（对生产常量做算术）； - 像素：`options_shot/compact.rs` 断言 chip 描边上下两行都在、且实例名框上方那条缝 与框内都是纯画布色。 变异自证：预算退回 300 ⇒ 结构断言红（"滚动视口只有 54px < 首屏 76px"）；阴影无视 `flat()` ⇒ 像素断言红（"y=660 x=304 是 [231,231,232] 而不是画布色"）。 没验：滚动中/底部三态拍不出来（harness 无 `scroll_to` 派发通道，已另开 finding）。	2026-11-11 08:28:06 +08:00
AskaEth	dbc5274965	Merge branch 'feat/wire-disabled-control-base-into-product'	2026-11-11 07:56:14 +08:00
AskaEth	ba441351dd	fix(app-iced): 复审 r2 三条收口（M237） ... - P1-1 判据会让 CI 一亮红：`java_shot.rs` 原来写「没喂图时 `assert!(CI 未设置)`」， 而 `.github/workflows/ci.yml` 的 test 作业在 ubuntu + windows 上都跑 `cargo test --workspace --all-targets`，出图步骤只给 `options_shot` 备了 `ULL_DL_*_SHOT` （本判据的图不在出图清单里）⇒ `CI=true` 实测 exit 101，一合即红。改成：没喂图**一律响亮跳过** （`not_fed()` + CI 时多一句「本仓 CI 不出这张图，跳过是预期」），模块文档写清「要让它守门需要 跨 scope 加出图步骤 + 注入 `ULL_M237_JAVA_SHOT`，以及那时该怎么改回硬失败」。 自证：`CI=true` 不喂图 → exit 0（改前 101）；无 CI 不喂图 → exit 0；喂图（浅/深）→ 真跑，exit 0。 - P2-1 同类错漏一处：实例列表卡画的是 `MaterialLayer::Card`（`instances.rs:263`）， 但 `list_row` 的 `ListItem` 没传底 ⇒ 行 hover/按下按 `Base::CANVAS` 合成。 改成 `item.base(frame::BASE)`（同一层，不另立常量），并加进接线守卫。 像素证据（`--force-state=hover`，1180×760 列表卡矩形 `(112,160)-(448,735)` 内 before/after 差）： 浅色 57923 px `(232,232,233)→(226,226,227)`，深色 57923 px `(32,38,31)→(35,40,35)` —— 即 hover 8% 从画布底换到卡底。 - 守卫自身升硬：`base_wiring.rs` 的计数原来按整段文本数，**把接线注释掉仍算数**（r2 实测绿）。 改成先剔掉整行 `//` 注释再数；变异自证：注释掉 `item.base(frame::BASE)` ⇒ 红 （`instances.rs: .base(..) 出现 0 次，期望 1 次`，退出码 101），还原后绿。 - 门禁（CARGO_TARGET_DIR=C:/Temp/ull-target/wt-237）：fmt 0 / check --all-targets 0 / clippy --workspace --all-targets -D warnings 0 / test -p unlucky-app-iced --lib 907 通过 0 失败 / test --workspace 3344 通过 0 失败。	2026-11-11 07:56:11 +08:00
AskaEth	3dcd5fd117	feat(app-iced): 页面层把卡片底接进禁用/交互控件（M237） ... M234 把 `interaction::Base` 与组件侧的 `.base(..)` 接好了，但页面层仍是默认的画布底： 卡片（`Role::SurfaceContainerLow`）里的禁用按钮 / chip / 开关把 10% / 12% / 38% 叠在画布色上。 M223 记的「卡片里禁用控件 CR 1.05、形丢失」因此只在 gallery 里修好，产品页没修。 - 导出容器底：`pages::frame::BASE = Base::of(MaterialLayer::Card.surface_role())` —— 取的是 `card()` **真正画出来的那一层**（不是「反正是 surface」）；`logs::panel::BASE` 是同一个常量的别名（两张卡画的是同一个材质层）。 - 接线（改前一律 `Base::CANVAS`，改后 `frame::BASE`）：设置·Java（扫描 / 取消 / 设为默认 chip / 三个输入框 / 添加 / 保存 / 预置项 chip / 下载徽标）；设置·通用（语言三档、主题三档、日志行 两个手写按钮 → 状态层叠 `BASE.role()`）；实例详情（MODS 开关、SAVES 的重试与打开文件夹、 启动参数区的两个输入框 + 后端 chip + 保存 / 恢复）；日志页（诊断卡页脚 `Copy summary`）。 详情头的启动 / 停止 / 动作行**不在卡里**，保持画布底并加注释。 - 判据：`pages/frame/tests.rs` 逐值断言「`BASE` == 卡片画出来的颜色」+ 源码结构盯 `card()` 不许改画别的材质层；`pages/settings/tests/java_shot.rs` 是**页面级像素判据**（读 1180×760 真截图、逐位匹配：卡区里「叠卡底」3136 px vs「叠画布」21 px，深色 3128 / 1）； `pages/tests/base_wiring.rs` 数接线点，守像素够不到的页面（实例详情 MODS / SAVES）。 - 变异自证：撤掉「立即扫描」的 `.base(BASE)` ⇒ 像素判据红（73 px vs 3083 px，退出码 101）； 撤掉诊断卡页脚的 `.base(..)` ⇒ 接线判据红（0 vs 1，退出码 101）。均已还原。 - 门禁：fmt / check -p unlucky-app-iced --all-targets / test --workspace（3344 通过，0 失败）/ clippy --workspace --all-targets -D warnings / 文件 ≤400（最大 389），全部本地过。 - 已知未尽：面板 α<1 的半透明卡（`Base` 只装一个 `Role`）、GPU 档、实例详情与日志页在 1180×760 出图里没有可量测的禁用控件（夹具缺 running，已报 finding）；app_bar / adopt pick / 设置页分组列仍未导出 `BASE`；设置·下载 / 更新 / 助手、账户页、内容库、下载页仍未接线。	2026-11-11 07:56:11 +08:00
AskaEth	cf8a951e29	Merge branch 'feat/fix-accounts-aba-false-red-and-probe-wal'	2026-11-11 06:53:54 +08:00