AskaEth/Unlucky-Launcher
1
0 Fork 0
Code Issues Pull Requests Actions 1 Packages Projects Releases Wiki Activity
530 Commits 3 Branches 5 Tags
fb0b1a531199306151c0138c5cc70d8d0060d755
Commit Graph
229 Commits
Author SHA1 Message Date
AskaEth fb0b1a5311 merge(dev): 解 M196 与 dev（M179/M193）在 settings/mod.rs 的冲突 
`origin/main` 是 D41 的孤儿快照（单提交、与开发史无共同祖先），M179/M193 这些提交在
`origin/dev` 上；按「跟上主线」的意图合的是 `origin/dev`。用 merge 不用 rebase：复审 clean 的
tip `e5a4b9b` 原样保留，本提交只负责解冲突。

唯一冲突：`settings/mod.rs` 里 `form` 的文档注释（M179 与 M195 重写过同一段）。两边都留：
- **M179/M193**：`type Body` 带 `Lang`、四条按下标分发（General / Update / Assistant / Java）、
  M193 的 download / logs 接线及其文档更新——只有一处措辞随之调整：「四组在下面各有 `else if`」
  → 「在 [`section_columns`] 里各有 `else if`」，因为 M195 把那层循环抽成了独立函数；
- **M195**：循环之后不再 push 那张「没有逐实例覆盖」的空态卡、`overrides_empty` 不存在、
  `section_columns` 与其行为断言（`frame.rs` 两条用例）。
合并后的注释同时说明两件事：`GROUP.body` 从形参拿生效语言（M179）+ 尾部不许再挂东西、
逐实例覆盖的真控件在实例详情页（M195）。

为守住 400 行硬线（冲突态 424 → 399），只压自己的重复叙述：M196 段压到 4 行、
`section_columns` 的文档改为指向 `form`（它原来重复了一遍分发点，且在 M179 之后已不准确）、
模块文档里一段被 M179 实现取代的历史「r3 订正」压成一句可执行的结论。

代码零语义改动（证据见汇报）：`section_columns` 的循环体与 `origin/dev` 归一化后逐字节相同（46 行），
`GROUPS` / `GROUP_LABELS` 三方一致；相对 `origin/dev` 的差异只剩本 mission 的 4 个文件。
 2026-11-09 05:18:29 +08:00
AskaEth 59011b2d56 fix(m195): 复审 r3 —— 失败不再被说成「取消太晚」，并给三档补推导用例 
P2-1（界面撒谎）：`cancel_view` 的 `_ if cancel_requested => TooLate` 把 `Failed` 也吞进去了。
「点取消的同时摘要不符」这类失败（取消置位之后、下一个检查点之前的非容忍失败）会得到
`status=Failed cancel=TooLate rolled_back=true`，于是同一屏上红卡说「已回滚 —— 目标目录零残留」，
下面还有一句「取消来得太晚：这次导入已经跑完，实例会保留，同名文件可能已被覆盖」——后半句是假的，
而且与红卡直接对立。改成**只有** `Success | Partial + cancel_requested` 才判 `TooLate`；
`Failed` 一律 `NotRequested`（失败卡自己用 `failure_stage` 分「没写过 / 回滚干净 / 回滚没做完」，
真相已经说全）。
另外 app-iced 的 `cancel_note` 加一道双保险：只有 `status` 是 `Success/Partial` 时才出那句话，
推导万一回归也不会贴到红卡上。

P2-2（推导零覆盖）：此前只有「给定这一档、文案怎么画」的用例，把 `RollbackIncomplete` 的推导
删掉也全绿。现在 `convert/cancel.rs` 带三条推导用例：`Cancelled + !rolled_back ⇒ 回滚没做完`
（含对照 `rolled_back ⇒ 已回滚`）、`Failed + 取消 ⇒ NotRequested`（含对照 `Success/Partial ⇒ TooLate`）、
没点过取消 ⇒ `NotRequested`。

变异实测：
- P2-1：把 `Failed` 也判 `TooLate` ⇒ `a_failed_run_is_never_dressed_up_as_a_late_cancel` 红
  （`left: TooLate / right: NotRequested`，"失败的导入没有「跑完」这一说"）。
- P2-2：删掉「回滚没做完」的推导（`Cancelled` 一律按已回滚）⇒ `an_incomplete_rollback_is_its_own_bucket` 红
  （`left: RolledBack / right: RollbackIncomplete`）。

验证：`cargo test -p unlucky-core -p unlucky-presenter -p unlucky-app-iced` = 2188 passed / 0 failed；
`-p unlucky-i18n` = 31 / 0；clippy 四 crate = 0 warning / 0 error。
 2026-11-09 05:06:56 +08:00
AskaEth b1524635ba fix(m195): 复审 r2 —— 取消的真实结局必须到达界面（三档 + 终态穿透代次） 
复审 r2 P2-1：界面无条件断言「已停手并回滚：没有留下半包，也没有覆盖已有文件」，而两条路径下
这句话是假的——①取消来得太晚（落在最后一个检查点之后）时管线已经跑完，用户的同名文件被覆盖、
实例已登记；②回滚本身没做完（`rolled_back=false`）。core 一直是诚实的，是 presenter 把报告丢了：
`cancel.load()` 早退 + `cancel_pack` bump 代次后 `handle` 按代次丢弃。

按"接通真相"做（不是改软话）：

- **终态一定发出**：`import::run` 去掉 `cancel` 的无条件早退，收尾抽成 `finish`（清自建空目录 +
  无条件 `send(PackEvent::Report)`）；取消标记在管线返回后**再读一次**，作为"太晚"的唯一证据。
- **终态穿透代次**：`HostPackState::terminal_epochs` 记下 `cancel_pack` 作废的那个代次，
  `handle` 对它**只放行一条 `PackEvent::Report`**（进度事件照旧按代次丢，`fresh_cancel` 起新
  一轮时清空）。这是路径 A 的成因与修法。
- **DTO 三档**（tower 批准扩 scope）：`ImportStatusView` 加 `Cancelled`；新增
  `ImportCancelView { NotRequested, RolledBack, RollbackIncomplete, TooLate }` 挂在
  `ImportReportView::cancel` 上——已回滚 / 回滚没做完 / 取消太晚，三档各自可判。
  `PackEvent::Report` 到达时清掉 `ImportState.cancelled`（它现在只是"取消后还没有结果"的占位）。
- **界面按结局分支**：标题 `PackStatusCancelled`（已取消 — 已回滚）/ `PackCancelIncomplete`
  （已取消 — 回滚没做完）/ 取消太晚时保留真实状态标题并另起一句 `PackCancelTooLate`
  （实例会保留、同名文件可能已被覆盖）；占位的 `PackCancelled` 改成"正在停手，真实结果随后给出"。
  图标：`Close`（描边，页面对填充字形有守门）/ 回滚不完整用 `Warn`，一档都不用 `Role::Error`。

守门与变异：
- 新增路径 A 用例 `a_late_cancel_still_delivers_the_real_outcome_to_the_ui`：真管线把取消置在
  **最后一条 Commit 进度**上（之后没有检查点）⇒ core 报 `Success`/未回滚、用户的 `mods/a.jar`
  确实被覆盖；再 `cancel_pack`（代次 +1 并记终态）→ `finish` → `handle`，断言界面收到
  `status == Success` + `rolled_back == false` + `cancel == TooLate`，且同代次的进度事件仍被丢。
- 变异①：`handle` 恢复"代次不符一律丢" ⇒ 该用例红（"取消太晚时，真实结果必须到达界面"）。
- 变异②：`finish` 恢复"取消就早退" ⇒ 该用例红（另带 P2-2 那条也红）。
- app-iced 新增 `model/tests/cancel.rs`：三档标题互不相同 + 「太晚」必须有那句补充说明 +
  已回滚不许显示成「部分成功」。

验证（CARGO_TARGET_DIR=C:/Temp/ull-target/wt-194）：
`cargo test -p unlucky-core -p unlucky-presenter -p unlucky-app-iced` = 2185 passed / 0 failed；
`-p unlucky-i18n` = 31 / 0；clippy 四 crate = 0 warning / 0 error。
 2026-11-09 05:06:55 +08:00
AskaEth db5b08b9ab fix(m195): 复审 r1 三项 —— 解压检查点真守卫、presenter 接线测试、取消文案改回真话 
P2-1（解压循环检查点没有真守卫）：那条用例原来的断言（status/target/files/bytes/无残留暂存）
在删掉 `extract_overrides` 的检查点后**依然成立**——提交前检查点⑤会替它停一次，于是几 GB 的包
会一直解到结束而测试全绿。改成数 `ImportStage::Extract` 事件：有检查点 = 1 条、删掉 = 3 条
（两面实测）。模块文档同时如实登记"还没有真守卫"的检查点：②③④⑤、全新导入 commit 的取消
分支、phase.rs 远端下载逐条、complete.rs 补全循环的 break。

P2-2（presenter 的真令牌接线零测试）：新增 `pack/tests/cancel.rs`，直接调 `import::run` 并把
传入的 `Arc<AtomicBool>` **预先置 true**，判据只能是盘上事实（目标目录不存在 + profiles.json
零实例）——"没收到 Report"那种判据两条路都成立，`run` 早退条件里的 `cancel.load()` 会把
"没接线"完全遮住。

P2-3（用户可见文案说反了话）：`PackCancelled` 中英双语从「导入会在后台继续跑完 / Import keeps
running in the background…已经写下的文件会留下」改为「导入已取消 —— 后台已停手并回滚：没有留下
半包，也没有覆盖已有文件」；golden 金表同步；`model/tests.rs` 那条把旧文案钉死的用例改成钉新
语义（必须说清停手+回滚，且**禁止**出现 background）；`model.rs` 的 `cancelled` 字段文档与
`dispatch.rs` 的取消注释同族修正。

验证：`cargo test -p unlucky-core -p unlucky-presenter` 1480 passed / 0 failed；
i18n 31 / 0；app-iced packui 28 / 0；三 crate clippy 零 warning。
 2026-11-09 05:06:53 +08:00
AskaEth 26e7b7333e fix(content): 不兼容档在失败路径上取项目名 + 重试轮不再贴错根的标题 (M191 r2) 
复审 r2 两条 p2，都修了，并按复审给的口径验过红。

**P2-1（续）：不兼容档不再只有裸 id**
`FailureKind::Incompatible` 的项目**确实存在**（站点只是没有匹配目标版本/加载器的条目），
所以失败路径上值得现取一次名字——`plan::names_for_incompatible` 按失败项去重、一项一次 GET
（`Modrinth::project`），`fetch_title` 把任何失败都折成 `None`：
**拿名字失败不许影响安装结果**，取不到 / 拿到空标题就退回 id。只有这一档发请求；
「取不到」档 404 那部分项目根本不存在，再发一次只会再吃 404。

**P2-2（新）：重试轮把根的标题贴到了前置头上**
根因是判「这条是不是根项目自己失败」用了 `plan.request.roots.first()`，而重试那一轮的 plan
来自 `retry_request()`，它的 `roots` 就是上一轮的失败名单——第一个是前置。
现在判据改成 **id 比对**（`Root{id,title}`，id 由 `remember` 一起记下来）：
`label_of` 只在这条失败的 id 真的等于原始根 id 时才用根的标题。复审给的那个形状
（roots=["P7dR8mSH","1eAoo2KR"] + root_title="Sodium"）现在画 `P7dR8mSH`，不再是
`Sodium (P7dR8mSH)`。

**守门（每条都真跑红过，且在拆完模块的最终代码上复跑）**
- 去掉不兼容档的名字来源 ⇒ `an_incompatible_item_shows_the_project_name_once_it_is_known` 红
  （`left: "P7dR8mSH"` / `right: "Entity Culling (P7dR8mSH)"`）。
- `label_of` 换回 `roots.first()` ⇒ `the_retry_round_does_not_paste_the_root_title_onto_a_dependency` 红
  （`left: ["Sodium (P7dR8mSH)","1eAoo2KR"]`，正是复审实测的那一行）。
- 取名字不降级（`expect`）⇒ `a_failed_name_lookup_falls_back_to_the_id_without_breaking_anything` 红。

**行数**：`plan.rs` 加完这套到 414 行、`install.rs` 到 403 行，都越过 400 硬线 ⇒
把「名字从哪来」整块（`Root`/`Names`/`names_for_incompatible`/`label_of`/`fetch_title`）
纯搬移到 `plan/labels.rs`（111 行）：`plan.rs` 336、`install.rs` 388。
 2026-11-09 05:06:06 +08:00
AskaEth 961ff453a0 fix(content): 重试面板画可读名，不再只有站点 id (M191 r1 P2-1) 
复审 P2-1：面板原来只画 `P7dR8mSH` 这种项目键，用户拿到的是一串哈希。
可读名其实都在手边，只是没进 DTO——现在补上，按复审给的**最小修法**做，没扩散：

- `InstallFailureView` 加 `label: String`（**语言中立**：站点标题或文件名），
  配 `line()` 统一决定「名字 (id)」还是「只有 id」（名字为空时不编造）。
  `detail`（core 中文散文）**依旧不进界面**——那会踩 i18n R2。
- `plan::label_of` 三个来源，零额外请求：
  根项目 → 请求里的 `title`；计划里有节点（下载失败）→ `node.file.filename`；
  都没有（解析 404 / 不兼容的前置）→ 空，界面退回只画 id（复审认这条兜底）。
- 计划被记住时连显示名一起记（`plan::remember` 多一个 `title`），于是重试那一轮
  面板头与失败名单沿用的是同一个名字（顺手收掉复审 N5 的「重试时面板头显示 id」）。
- N2：删掉新加的 `ContentInstallDismiss`，复用既有的 `DownloadDismiss`（同一句话不立两条 key）。
- 行数/clippy：`collect` 的参数捆成 `Placement{dir,title}`（9 个参数超限）；
  `plan.rs` 加完 `label_of` 到 429 行，把「记住的计划」表纯搬移到 `plan/remembered.rs`（363 + 82）。

守门（真跑红再还原）：
- 把 `label_of` 置空 ⇒ `the_retry_list_shows_a_readable_name_not_just_the_project_id` 红
  （三行全变成 `["AANobbMI","P7dR8mSH","1eAoo2KR"]`）；
- 审阅指出的另一半判据也补上了：`Done` + 残留名单 ⇒ 必须不画；现在**只去掉**
  `stage != Failed` 那一半就红（之前只去掉它仍是全绿，报告的表述不准，已改）。
 2026-11-09 05:06:05 +08:00
AskaEth 5a52f38f35 feat(content): 安装失败的两档分组与「只重试这些」(M191) 
M186 把「可只重试失败项」算到了 core/presenter（DependencyPlan::retry_request()），
但 DTO 没字段、界面没按钮，用户拿不到。这一轮补最后一公里：

- DTO：ContentFailureKind 加 Incompatible 一档（不再借 Unsupported，与「缺密钥」分开）；
  InstallProgressView 加 retry: Vec<InstallFailureView>（project + 档位 + core 原话），
  档位是专门的 InstallFailureKind（Incompatible / Unreachable，穷尽映射 core 的 FailureKind）；
  ContentInstallRequest 加 retry: bool（重试路径唯一读的字段是 instance）。
- presenter：plan.rs 把上一轮失败的计划按 host+实例记住（与 addon/pack.rs 同一手法，
  host/mod.rs 不在 scope）；retry_request()/retry_plan() 就是「只重试这些」——
  调 core 的 retry_request()、只请求失败的那几个项目，present 重新扫目录。
  install.rs 的重试入口没有记录时回一条失败，不退化成整单重装；成功则 forget + 清名单。
- 界面：内容库页插入按档分组的失败面板（两段文案、各自条目）+「只重试这 N 个」实心按钮；
  判据只有一条且在模型里（stage==Failed && 名单非空），全成功时连同按钮一起不渲染。
- i18n：新增 6 条中英文案（不兼容 / 取不到 / 只重试这 N 个 / 标题 / 提示 / 关闭），金表同步。

守门（每条都做过变异验证，见报告）：
① 把 retry_request() 换成根项目请求 ⇒ retrying_asks_for_the_failed_projects_only 红（roots 变 ["sodium"]）；
② 两档合并 ⇒ the_retry_list_keeps_the_two_tiers_apart / the_two_tiers_are_two_groups_with_two_labels 红；
③ 恒渲染 ⇒ a_fully_successful_install_has_no_retry_surface_at_all 红。

数据包（datapack）本轮仍未做：ContentKind 没有这一项，界面上也没有半成品入口。
 2026-11-09 05:06:04 +08:00
AskaEth 93bd704786 fix(m192): r1 复审 P1-1——动效起跑搬进 update 侧 + 帧基准兜底 + 按运行时顺序的守卫 
复审的机制三步全部复核成立（iced_winit-0.14.1 `src/lib.rs:1222` 调 update、`1338` 在
`update()` 内部求值订阅表、`1233` 之后才 `build_user_interfaces` 调 view）。第一版把
「标识变了 → play」写在 `pages::render`（= view）里，于是：同一拍的订阅表看不见轨道 ⇒
`frames()` 要等下一条消息才打开；而那一帧的 dt 是整段空闲时长 ⇒ 轨道被当场判到期删掉。
用户看到的是「一帧 12/8px 偏移 + 闪跳」，比硬切更差；截图通道因为 `has_screenshot()` 恒真，
结构上不可能发现它。

修法（三件都做）
- **起跑搬进 update**：新增 `app/update/motion_sync.rs::App::sync_motion`，在 `App::update`
  收尾（`route_message` 之后、`subscription()` 之前）按**路由**算内容标识并 `motion::observe`。
  `pages::render` 只留 `motion::sample()`（纯采样）。
  顺带：`screen == None`（账户页 / AI 独立页）只记标识不起跑，于是「从它们回到某一屏」也跑换页。
- **帧基准兜底**：`observe` 起跑成功时把 `LAST_FRAME` 重置到「现在」；`Pump::advance` 再加一道
  `MAX_STEP_MS`（4 帧 = 64 ms）单次步进上限——掉帧/挂起时宁可把动画放慢，也不许一帧抹掉。
- **没有窗口就不起跑**：`window.is_none()` 且不是截图通道时 `sync_motion` 直接返回（也**不记**
  标识）⇒「首屏入场」等窗口到了才算第一眼，启动期那棵空树吃不掉它（原先被 1 Hz 心跳 /
  既有 `an_idle_app_...` 用例照出来的就是这个边界）。
- `on_heartbeat` 也推进动效时间轴：窗口被遮挡/最小化/合成器不送绘制时，帧一个都不来，而
  「有轨道」会让 1 Hz 推进整段停摆 ⇒ 轨道靠心跳按单次上限收尾（最坏 5 拍内自然退订）。

守卫（新增 5 条，全部按运行时顺序写）
- `a_state_change_opens_the_frame_subscription_in_the_same_tick`：**先** `assert!(!needs_frames)`
  →**一条真消息**（`Message::Page(Navigate(..))`）→ `assert!(needs_frames)`，并断言
  `watch_until` 仍是 `None`（排除「观察窗顺手开帧」这条假绿）。r1 那条顺序是反的，已删。
- `opening_a_detail_also_opens_the_frames_in_the_same_tick`、`pages_that_render_elsewhere_do_not_start_a_track`、
  `without_a_window_nothing_animates`、`a_stale_baseline_cannot_kill_the_track_in_one_sample`。

r1 两条 P2
- P2-1：`pump::FRAME_MS` 与 `mod.rs` 契约表补写「16 ms 只卡采样/布局推进，**整窗重绘跟随渲染器**
  （软件渲染 ≈970 帧/秒、一次 300 ms 换页 ≈290 次整窗重绘 ≈0.30 核·秒；GPU 档 AutoVsync 40~60）」。
- P2-2：删掉 `app/subscription/tests.rs`，测试并回 `app/subscription.rs` 的 `mod tests` ⇒ 本轮
  动过的文件全部落在声明 scope 内（新文件只有 `app/update/motion_sync.rs`，在 `app/update/**` 下）。

真机证据（GPU 档，`ULL_TICK_TRACE=1`，空闲 14 s 后由心跳触发一次**真实**导航，
`DevDocs/artifacts/m192/idle-click-evidence-gpu-final.log`）：
  idle: frames=96 clock=idle-1hz motion=14（连续 7 拍不动）
  fire: clock=frames motion=16 → 17（同一拍订阅表就开了）
  end : frames=102 clock=idle-1hz motion=20（自己退订）
说明：本机会话没有前台窗口（`GetForegroundWindow()==0`），合成点击（`mouse_event` 与
`PostMessage(WM_LBUTTONDOWN)`）递不进 iced 的输入层，故用「心跳第 N 秒真导航」这条同构路径；
样本次数由**绘制送达**决定（该次动效只收到 ~5 次绘制 ⇒ +6 次采样），正常可见窗口下 60 Hz 呈现
对应 ~19 次。

变异证明 7/7 红（`DevDocs/artifacts/m192/mutate.sh`，含新增 M6「删掉 sync_motion」与
M7「去掉单次步进上限」），还原后自检全绿。

编译：cargo test -p unlucky-app-iced → 0（797 passed / 2 ignored，集成 6 passed）；
clippy --all-targets -D warnings → 0；fmt --check → 0；build → 0。
出图基线复验：三张 rest 基线与九张序列帧的 sha256 与 r1 **逐字节相同**（常驻的那层 container 零内距）。
 2026-11-09 04:52:40 +08:00
AskaEth a1876a08c0 feat(m192): 动效帧泵——design motion 令牌接进 iced 的有界帧订阅 + 首批 3 条入场动效 
令牌早就在 `crates/design/src/motion/` 里齐着（16 档时长 / 可采样缓动 / 弹簧二维表 /
MotionScale 降级），但适配层从没消费过，所以一切状态变化都是硬切。本次补的正是那条中间层：

新增 `components/motion/`（时间轴，不是控件家族）
- `pump.rs`：`Slot`（boot/screen/detail 三个互斥触发点）× `Spec`（时长档 × 缓动档，
  **唯一一张表**，页面拿不到「给我 250ms」这种口子，D31）→ 进度采样；时间轴按 16ms 结算
  （≈60 次/秒），到期轨道**当场删除**。
- `mod.rs`：进程内单时间轴（thread-local；iced 在事件循环线程上串行调 update/view，
  与 `App::update(&mut self)` 同一条纪律，测试也因此天然隔离）+ `enter`/`shifted` 两个页面入口。
- **默认 NONE**：只有产品 `on_boot` 按档位打开；`pages_demo` 这类截图 harness 从不打开。

接线（都接在既有那条链上，不另开循环）
- `App::needs_frames` 多一条「有轨道」分支 → 与截图 / Busy / toast / watch_until 共享**同一个布尔**，
  `window::frames()` 在源码里仍只有一处（守卫：双订阅就红）。
- `on_frame` 每帧推进时间轴；`on_heartbeat` 不变（有帧时不推进）。
- 定档策略集中在 `update/boot_env.rs::motion_scale`：截图档 NONE（D30 出图可复现）、
  CPU 渲染档 HALF、GPU 档 STANDARD，`ULL_MOTION` 可强制。

首批 3 条动效（`pages::render` 一个漏斗，静息恒为 (0,0) ⇒ 既有截图基线一张都不用重出）
- 首屏进入 16px / 换页 12px（纵向） / 列表↔详情 8px（横向）；
  时长 400/300/350ms 全部取自 `DurationToken`，曲线 `Easing::Standard`
  （`EmphasizedDecelerate` 把 75% 位移压在 51ms 内走完，12px 的整页平移会像跳一格）。

守卫与取证
- 11 条帧泵算术守卫 + 4 条接线守卫（含「NONE 档帧采样次数必须为 0」与「帧订阅源码只出现一处」）；
- 5 条变异证明全部复现（删退订 / 删 NONE 短路 / 删 needs_frames 分支 / 删 16ms 闸门 /
  加第二条帧订阅 ⇒ 对应用例红）；
- 多帧序列图 12 张在 `DevDocs/artifacts/m192/`（t=0 / 半程 / 末 + 静息基线，
  `--diff --diff-scan` 实测换页 12px/6px、详情 8px）；
- 空闲实证：`ULL_TICK_TRACE=1` 跑真窗口，帧订阅窗口一过 `clock=idle-1hz` 且 `frames=` 冻结。
 2026-11-09 03:56:19 +08:00
AskaEth 918d826645 fix(m190): r1 复审——0x01 修成 \1 + YAML 门禁、被调方声明 secret、拆两个超限测试文件、验签换 ed25519-dalek 
四条 P1 + 四条 P2 一并处置（不变的是判据，变的是「谁在承重」）。

P1-1 `.github/workflows/release-build.yml` 的 sed 替换串是裸 0x01（本意 `\1`）：GitHub 解析该文件会
失败 ⇒ 整个 run 起不来；即便容忍，版本号也会被求值成单字节，PE 判据报「与 Cargo.toml 不同源？」把
排障引向错方向。修成字面 `\1`，并新增 `packaging/check_workflows_yaml.py`（真 YAML 解析器 parse
全部 workflow + 裸 C0 控制字符字节判据；带 --self-test 注入 0x01/坏结构断言必红），接进
`release-guard.yml` 两步。文本扫描型守卫看不见这类字节，这道门禁专门挡它。

P1-2 `release-publish.yml` 没在 `on.workflow_call.secrets` 里声明 `ULL_MANIFEST_SIGNING_KEY`，调用方
却传了：可复用工作流只拿得到自己声明过的 secret ⇒ 用户配好钥也会在签名步红，而错误文案反过来指控
Secret 没配。补声明（required: false，fail-closed 由步内 ::error:: + exit 1 承担，同
ULL_MSA_CLIENT_ID 的模式）。

P1-3 两个测试支撑文件越过 400 行守卫：签名夹具拆到 `tests/support_sign.rs`（support.rs 458→392），
CLI e2e 的签名部分拆到 `support/update_e2e_sign.rs`（update_e2e.rs 406→348）。纯搬家。

P2-2 「唯一收口点」改成结构事实：从 `UpdateSource` 删掉 `fetch_manifest` 默认实现，调用方只能拿
`verified_manifest(&source, channel)`（源只交原文，想绕过验签就得自己重写解析与渠道判据）。
P2-3 文档写的第 ④ 条命令补进流水线：`sign_manifest.py --verify-pinned` 用 trust.rs 里钉住的公钥
回验刚落盘的 .sig（不碰私钥），发布侧因此验证的是「客户端的判据」而不是「签名脚本的自我声明」。
P2-4 随自写实现一起删除（`Fe` 的错误 PartialEq 不再存在）。
P2-5 app-iced/build.rs 注释里那个 windows_subsystem 属性本分支不存在（M196 才有），改为说明
「本文件只写版本资源，子系统由 rustc 属性决定，check_pe_version.py 会把 subsystem 打出来」。
P2-6 坏清单不再带 error.path 是有意降级（来源 id 在 message 里），保持。

裁定项：自写 Ed25519 换成 `ed25519-dalek::verify_strict`（信任锚不许自写密码学；此刻信任表还是空表，
零兼容负担）。删除 `update/ed25519/{field,group,mod}.rs`（含只服务它们的单测），新 `update/ed25519.rs`
只剩一个薄封装；拒绝类用例（可锻 S+L / 小阶公钥 / 非规范 R / 空签名 / 未知 key）**一条没删**，
改成钉 dalek 的 strict 语义——实测 dalek 对全部五类的结论与旧实现一致（非规范 R 的拒绝理由不同：
dalek 走「小阶点」而非「编码非规范」，用例注释里写明）。签名侧留在 `packaging/ed25519_ref.py`
（纯 Python、零 pip 依赖），`--self-test` 用 RFC 8032 同一组向量钉两边。
 2026-11-09 02:14:32 +08:00
AskaEth b7d9b99e12 feat(m190): 产物署名（PE VERSIONINFO）+ 清单 Ed25519 多签名与更新前验签 
两件事：让「这是谁发的」在产物与清单上都留下可验证的痕迹。

① PE 版本资源（两个 bin）：`packaging/pe_version.rs` 是唯一口径（CompanyName
   「Unlucky Launcher Project」/ ProductName、FileDescription「Unlucky Launcher」/
   LegalCopyright「© 2026 … · Apache-2.0」/ 四段式版本号与 Cargo.toml 同源），被
   `crates/{cli,app-iced}/build.rs` 各 include 一次；非 windows 目标整段不执行。
   判据是读产物字节的 `packaging/check_pe_version.py`（CI 的 Windows 槽位）。

② 清单签名：`manifest.json` 旁边多一份 `manifest.json.sig`（分离签名，签的是清单**原始
   字节**），信封是 `{format, signatures:[{alg,key_id,sig,manifest_sha256}]}` —— 多签名数组，
   任意一条命中钉住的钥即放行（换钥窗口）。信任锚是 `crates/core/src/update/trust.rs`
   里的编译期公钥表（正式表为空 = fail-closed，测试钥只在 cfg(test)/update-test-source 里）。
   管线顺序改成「先验签、再解析」：`UpdateSource` 只交原文 + `.sig`，`verified_manifest`
   是唯一收口点，`Job::apply` 因此在取包**之前**就拒。新增五类错误分类
   （signature_missing / malformed / unknown_key / keyring_empty / invalid ），全部不可重试，
   CLI 的 hint 单独说人话。

③ Ed25519 验签自带实现（`update/ed25519/*`，零新依赖）：scope 不含 core 的 Cargo.toml，
   用 RFC 8032 §7.1 向量 + 可锻/小阶/非规范编码的拒绝用例钉住；签名侧是
   `packaging/sign_manifest.py`（纯 Python 参考实现，零 pip 依赖，`--self-test` 同向量）。

④ 守门：`release-publish.yml` 加签名步（`set +x`，只回显公钥；没 Secret / 钥没钉 / 签不上
   一律红 ⇒ 不出 Release）；`release-build.yml` 加 PE 资源读回；`release-guard.yml` 跑两个
   脚本的 `--self-test`。密钥纪律与轮换（旧钥签新钥）写在 `packaging/docs/signing.md`。

Cargo.lock：新增 winresource（build-dependency）与 toml 系；toml_datetime 1.1.2→1.1.3 是
toml 1.2.1 的硬要求（`cargo update --precise 1.1.2` 已实测被拒）。
 2026-11-09 01:59:05 +08:00
AskaEth 44a0c87a11 style: cargo fmt --all（合并期整合修复）
Guards / 依赖许可与来源（cargo-deny） (push) Canceled after 0s
Details
Guards / 文件行数 ≤400 守门 (push) Canceled after 0s
Details
Guards / unsafe 落点守门（集合必须恰好一个文件） (push) Canceled after 0s
Details
Guards / design 零第三方依赖守门 (push) Canceled after 0s
Details
Guards / presenter 零 UI 守门 (push) Canceled after 0s
Details
Guards / core 零 UI 守门 (push) Canceled after 0s
Details
Dev Guards / 架构与合规守门（同 main 口径） (push) Canceled after 0s
Details
Dev Guards / fmt (rustfmt --check) (push) Canceled after 0s
Details
Dev Guards / clippy (ubuntu) (push) Canceled after 0s
Details 
M187/M188 并入后全仓 fmt --check 为红（CI 的 fmt job 会红）。
本次仅 cargo fmt --all 的换行/缩进变化，无语义改动；
cargo fmt --check 与 cargo check 均已复验为绿。
 2026-11-09 01:43:31 +08:00
worker-logplace 8c5bebf3e3 fix(m188): r1 复审 P2-1——后端启动失败的具名原因进 launcher.log 
复审结论 p2-1/1 item + fix-then-merge：主线成立，但「启动器自己因 GPU / 渲染后端起不来」的
事故原因仍只进 stderr —— 双击启动没有 stderr，那条路径上等于没有日志。

- renderer/mod.rs::report_failure 的两行（`[gpu] <backend> 初始化失败（具名）` /
  `[gpu] 失败详情（具名）`）改走 diag!；
- renderer/log_bridge.rs 转出的 wgpu 日志（含 `…Selected: AdapterInfo…`，GPU 真生效的唯一证据
  行）改走 diag!；
- renderer/preflight.rs 的 `[gpu-preflight]`（ULL_PREFLIGHT=1）改走 diag!；
- probe.rs::apply_with_preflight 的三行 `[probe]` 改走 diag!。
- app/diag.rs 模块文档 + docs/logs-location.md §3 的判据改准：
  「逐帧度量不接；显式取证开关与一次性事故行可接」，并修掉 `[corner]` 两处自相矛盾
  （唯一打印点在 app/update/appearance.rs，走 diag! ⇒ 进日志；corner.rs 只 format_line）。
- 新守门 renderer::tests::a_backend_startup_failure_lands_in_the_launcher_log：
  断言那两行真的落进 launcher.log；变异（改回纯 eprintln）→ 红。
- README 两语的 launcher.log 行补上「渲染后端起不来的具名原因」。
 2026-11-09 01:05:40 +08:00
worker-logplace 5fd5cd47dc feat(m188): launcher.log 早落盘 + 会话日志搬到 logs/game（旧家只读兼容） 
用户投诉原话：「我们的启动日志放在哪？…他找半天没找到崩溃日志」「只有一个安装日志」。

启动器运行日志（.ULL/logs/launcher.log）
- presenter 构造 HostEnv 时就登记日志目录：启动早期缓冲的 200 行（[probe]/[font]/[theme]）
  当场刷盘，不再是「只有开过一局游戏才有日志」。
- app/** 里所有 eprintln! 诊断改走 app::diag::diag!（stderr + 文件双写，行首 [tag] 即 scope），
  含 boot/boot::fallback/state/update 各线。
- boot 那一拍补一行后端事实（request/effective/fallback）。
- 滚动上限（1 MiB → launcher.1.log，只留一份）写进 README 与 docs/logs-location.md。

会话日志搬家：data/agent/sessions → logs
- LauncherLayout: sessions_root()/game_logs() 新增，agent_sessions() 降级为只读兼容。
- host/logs 与 cli/commands/sessions 两个根合并（同 id 新根优先），event_path 回落旧家。
- 不搬不删；日志目录写一份 session-log-location.json 记录（moved=0, policy=read-only-compat）。

入口与文案
- 设置页「通用」新增「日志文件夹」行：路径 + 打开目录 + 复制路径（i18n 中英）。
- 日志页页头的「打开目录」不再是占位：走 M187 的 open_dir，失败文本带路径并送进剪贴板。
- README.md / README.zh-CN.md 新增「日志在哪」章节（含 crash-reports 只在游戏走到那一步才有），
  docs/logs-location.md 给出上限、双写判据、迁移策略与没验的部分。

守门（每条都有变异证明，见报告）
- 旧家会话仍列得出/打不开 ⇒ 只读新根变红；新会话写 logs/game ⇒ 只读旧根、写回旧家都变红。
- launcher.log 滚动 ⇒ 干掉 rename 变红。
- 打开日志文件夹指向真实目录 ⇒ 换成 cache/ 或去掉 create_dir_all 都变红。
- 日志根随三模式变化 ⇒ 把 HostEnv::logs_dir 写死成便携落点变红。
 2026-11-09 00:43:45 +08:00
AskaEth 2b6dcbed40 fix(m187): r2 复审 p2——截断过的文件也必须脱敏（截断 改到文本流里做） 
r2 复审挖到的隐私旁路：上一版在**字节**上切两刀，切在多字节字符中间时
String::from_utf8 失败 ⇒ 整份 entry 走「原样字节」分支，家目录 / 用户名 / 令牌原文
按字节进包，而清单什么也不说。命中的正是最容易超过 4 MiB 的 latest.log 与会话 JSONL；
中文 Windows 用户名（C:\Users\张三）让家目录串本身就是 CJK，切点落在附近必然命中。

修法（比复审给的三条更严一点：先脱敏再截断，避免切点留下半截 secret）：
解码（lossy，任何字节都能进脱敏器）→ 脱敏整份 → 按**字符/行边界**截断 → 插截断标记。
新增 crash_bundle/clip.rs（切点逻辑 + 4 条用例），write_bundle 里只剩一条通路，
「二进制原样」这条分支彻底删除。

守卫：truncated_entries_are_still_redacted —— 造一个 '中' 正好跨在 HEAD_BYTES 上的
4 MiB+ 文件，内含注册过的会话 id 与家目录；断言 ①包里找不到原文 ②<home> 在
③尾部 exit 事件仍在。变异（改回字节级截断 + 仅解码成功才脱敏）⇒ 红在「仍带着家目录原文」。

顺带：
- P3-1 启动日志写两遍（WindowHandle(None) 分支重复调 record_boot_log）→ 删掉重复调用。
- P3-2 清单里的截断字节数改成**实际保留量**（原来报的是常量 HEAD_BYTES）。
- P3-4 truncated>0 时界面那句话补用例（拆出 dialog/tests/export.rs，两个文件都 < 400 行）。
- P3-6 BundleSpec::manifest() 自己也过脱敏，去掉「谁调谁泄漏」的口子。
- P3-5 卡片宽度取官方上限 560 的语义在代码里写清（不改行为，登记为台账）。
 2026-11-08 23:57:49 +08:00
AskaEth 3cd371b537 fix(m187): r1 复审——深色遮罩提亮、点遮罩关闭、包内条目名、截断保尾、启动日志接线 
P1（阻断）：遮罩从 Role::OnSurface@32% 换成组件层的不透明预合成
（feedback::dialog::scrim，黑@0.32 叠画布）。深色档此前是「近白@32%」把整窗提亮，
实测 (9,21,28)→(129,138,145)；现在 (6,14,19)（= 组件文档预测值），且两后端逐字节相同。
顺带按纪律改用 Component::Dialog + DialogGeometry（半径 28 / 宽 560 / 内距 24），
两后端弹窗图差异从 66% 降到 2.65%（浅）/ 2.76%（深），余量全是文字抗锯齿。

P2-1：卡片那层的命中区改回卡片本身（opaque 只包卡片）。此前 mouse_area 包的是整窗居中
容器 ⇒ 点卡片外先被 Swallow 捕获，遮罩永远收不到，「点遮罩关闭」只在注释里成立。
守卫：断言卡片层的 size_hint 任一维都不是 Fill。

P2-2：条目名与清单**同源**（BundleSpec::entry_names），会话 JSONL 钉成 session/session.jsonl。
此前条目名用原始文件名（会话 id 原样进包）而 manifest 过了 redactor ⇒ 清单指向的条目不存在。
（上一轮报告把这条写反了，本轮以 unzip -l 实输出为准。）

P2-3：截断改「头 + 尾」（MAX_ENTRY_BYTES 一半一半，中间插 <truncated N bytes>），
并在弹窗补一句「有 N 个文件太大，已截断」。此前只留头部 ⇒ 长会话 JSONL 的 exit 事件丢失。

P2-4：app 启动那一拍（主题/语言/路由/窗口/实例数/msa 行）真的写进 launcher_log；
目录仍由 presenter 在首次启动时登记，所以这些行先进 core 缓冲、登记时一次刷出。

P3-1/P3-2：关闭与 Esc 立即重画（否则空闲 1Hz 下弹窗再留 1 秒）；导出成败按 write_bundle
真实结果判（不再看 launcher_logs 有没有值）。

用例：新增 5 条（深色遮罩方向、卡片层命中区、条目名与清单一致、截断保尾、启动日志落点），
每条都给了变异证明（只改实现侧，均已还原）。
 2026-11-08 23:21:26 +08:00
AskaEth 414f6ff886 feat(m187): 启动失败弹窗 + 诊断包导出，并接通 DialogQueue 
用户实测「MC 启动失败找不到崩溃日志」的直接修法：失败时弹一个框，把退出码、
一句人话原因、证据形态、四条真实路径与三个按钮摆在同一个地方。

- app-iced：最小一层模态（遮罩 + 卡片 + 主/次按钮 + Esc/点遮罩关闭），
  消费 presenter 的 DialogQueue（此前全仓零引用，所有弹窗都画不出来）；
  队列管弹窗，CrashCard 管这次失败的事实，按 DialogId 绑定。
- 弹窗区分两种失败：游戏自己写了 crash-reports（贴 Description + 栈片段）/
  游戏没来得及写（明说「这次没有生成崩溃报告」并贴出捕获的最后 30 行）/
  什么都没抓到（给最可能原因分类）。绝不对第二种说「找不到日志」。
- 导出诊断包：core 侧新 crash_bundle 写 zip（清单 + 启动器日志 + 会话 JSONL +
  crash-reports/* + hs_err + latest.log + 版本 JSON），落盘即脱敏（家目录 / token /
  会话 id），单文件 4 MiB、总量 48 MiB 上限并在清单记截断。
- 启动器自身日志落盘（core::launch::launcher_log → <.ULL>/logs/launcher.log，
  登记目录前先缓冲），补上「双击启动时诊断行直接蒸发」的缺口。
- i18n：25 条中英文案进 catalog/logs.rs + 金表。
- 取证：ULL_DIALOG_FIXTURE=crash-report|no-logs|export 在临时目录造真文件出图，
  wgpu 与 tiny-skia 各一套，见 DevDocs/artifacts/m187/。

未复现 M190 的「owned 文字在 wgpu 下丢字」：同一串中文两条文字路径、两种后端逐字相同
（ab-wgpu.png / ab-tinyskia.png），因此本轮未改任何渲染路径。
 2026-11-08 22:42:00 +08:00
AskaEth 1d240ff1f2 fix(i18n): 复审 r1 —— 两句近义软件渲染说明合一，生效层级码翻成译文（M180） 
P2-1（一屏两句重复）：
- 留面板那一句（就在被禁用的滑块旁边，正好回答「为什么拖不动」），措辞同时点名面板与玻璃
- 删 `SettingsAppearanceSoftwareRendererNote`（catalog 一条 + 金表一行，两边同时删）
- 删 `bg_image.rs` 的 `backend_note` 渲染块与 `State::backend_note()`；state.rs 391 → 382 行

P2-2（配色：preset 的机器码）：
- `palette::level_key(code)` 把 `preset`/`wallpaper`/其余 映射到已有的三条档位 key，不新增平行词表
- `bg_image.rs` 用 `tr(PaletteLevel, {level})` 传译文，中文界面显示「配色：内置色卡」
- 补 `every_level_code_maps_to_its_own_sentence`：三个码值一一对应 + 三条译文互不相同

顺手（复审 L-1/L-2/L-4，全在本 scope 内）：
- `appearance_texts` 加「渲染后不许残留 `{`」断言（参数名写错当场红）
- `section/mod.rs` 文档：取词口 t/tr、填充措辞、清掉孤立 `//!`、把「没有一句英文」改成
  写明两处例外（`{reason}` 原文串、专名）
 2026-11-08 21:42:12 +08:00
AskaEth c4c3c15285 feat(i18n): 外观页 40 条文案进词表（M180 I18NAPPEAR） 
- 卡片内 22 处硬编码英文（整窗/面板透明度、背景图开关+路径、填充、暗化、配色来源）全部改走 Key
- 运行时诊断改成 key + 参数：`background::Note`（读盘/解码/过大/小图平铺）、`state::backend_note`、
  `palette::note` 全部返回 Key；`state.rs` 只留 key、不放文案表（390 → 391 行）
- 上限/下限常量走占位符 `{floor}` / `{max}` / `{limit}` / `{requested}`；`{:.2}` 在 Rust 侧格式化好
  再套模板（`Catalog::render` 只认 `{name}`）
- 新增 40 条 key（中英各一条），按装配链锚点插在 `SettingsAppearanceCornerSuspended` 之后，
  金表 `golden/tail.rs` 同位置插入 40 行（`rows() == len() == Key::ALL.len()`）
- 守卫三条：中文渲染全非 ASCII、卡片 key 全覆盖（改回写死英文即红）、外观 key 逐条真翻过
- probe 加第二条取证路（`record_rendered`），`take()` 签名不动（M179 的守卫在 scope 外）
 2026-11-08 21:42:11 +08:00
AskaEth c198a3c995 Merge branch 'main' into feat/m182-maccorners-follow-compositor-rounde 
冲突只有一个 hunk：`crates/app-iced/src/platform/mod.rs` 的模块声明表。
- 我方（M182）：`pub mod host;` / `pub mod linux;` / `pub mod macos;` + `pub use host::HostOs;`
  + `plan_corner_for` 重导出；
- 主线（M168 `449ded2`）：`pub mod data;`（字体缓存数据根派生）。

两边都要，全部保留并按字母序排：`data, host, linux, locale, macos, win32`。
另把模块分册表补一行 `data`（M168 的产品在表里原本缺位），首段「四件事」随之改成「五件事」。
`pub use win32::corner::{…}` 取我方超集（main 的四个名字 + `plan_corner_for`），逐个名字比对无丢失。

非冲突文件零改动：我方 11 个文件（host.rs / linux/ / macos/ / win32/ / boot/diagnostics.rs /
design/shape.rs）合并后与 tip 28762ec 逐字相同；`decorations: false` 仍在
`app/boot/diagnostics.rs:43`（裁决 B 未被越过）。
 2026-11-08 21:13:20 +08:00
AskaEth ca92014b81 fix(m179): 复审 r2 —— 订正「Body 带 Lang 之后」残留的六处文档漂移 
P2-1：`settings/mod.rs:273`（`AI_GROUP`）还写着「`Group.body` 的签名里没有 `Lang`」，
而同一次提交在同一个文件把槽位改成了 `fn(&Ui, States, Lang)` 并在上方 `GENERAL_GROUP`
按新事实重写 —— 一个文件里两段互相矛盾的说明。本条按新事实重写（行数不变，仍是 389 行）。

一并订正 finding 里剩下的外域漂移（tower 已扩 scope）：
- `settings/ai_about.rs:8`（同一句假话的表格行，finding 没列到）与 `:14-16`
- `settings/general.rs:7-11`（槽位现在带 `Lang`，装不下的只剩**档位** `LangChoice`）
- `settings/general.rs:287`、`settings/update.rs:5`、`pages/mod.rs:271`、
  `settings/language_appearance.rs:20` 的 `pages/appearance/section.rs` 路径

措辞与复审建议的一处偏离（已在提交与报告里说明）：复审建议写「槽位给不了『测试连接』的
结论」，与实现不符——该结论在 `States.groups.ai_about` 里，槽位拿得到；AI 组仍按下标分发
的真实原因是**尚未迁移**（槽位要 `Option<Element>`，`ai::view::body` 返回 `Element`）。

零代码改动：本提交所有变更行都是以 `//!` / `///` 开头的文档行
（`git diff -U0 | grep '^[+-]' | grep -vE '^[+-]+\s*//[/!]'` 为空）。
按 tower 要求**不动** `crates/i18n/src/catalog/settings/appearance.rs:8`（M180 正在改）。

验证：cargo fmt --all --check → 0；cargo check -p unlucky-app-iced --all-targets → 0；
cargo clippy -p unlucky-app-iced --all-targets -D warnings → 0；
cargo test -p unlucky-app-iced --lib appearance → 0（37 passed）。
 2026-11-08 21:01:25 +08:00
AskaEth b457f0acc8 feat(m179): 外观分组接真语言并拆成五段文件（只接管子，不补文案） 
M172 审计：`pages/appearance/**` 中文界面下真正本地化 0/27，两个根因各断一刀。

① 拆文件（纯搬移）：`section.rs` 395 行 → `section/` 五个文件，行数守卫只剩 5 行余量，
   不拆就加不了任何东西。
   - `section/mod.rs`（壳：section() + card() + 五个行控件 + 取词口 t）
   - `section/window.rs`（① 整窗 α + ② 圆角，含 notice/说明段）
   - `section/panel.rs`（③ 面板 α）、`section/bg_image.rs`（④⑤⑥⑦⑧）、
     `section/colour_source.rs`（⑨）
   取证：每段与原文件做「去空白/去尾逗号」diff，4/4 相同；只有五处机械改写
   （`rows = rows.push(…)`→`rows.push(…)`、`t(Key::X)`→`t(Key::X, lang)`、
   `super::notice`→`super::super::notice`、一处 `.into()`、rustfmt 换行）。

② 语言接到渲染层：`settings::Body` 从 `fn(&Ui, States)` 变成 `fn(&Ui, States, Lang)`，
   `form` 传 `language.effective`，`settings/appearance.rs` 收 `lang` 转给
   `pages::appearance::section(ui, state, lang)`，`section::t(key, lang)` 取词。
   选「接进唯一那个槽位」而不是再给 `form` 加一条按下标分发的 `else if`：`settings/mod.rs`
   贴着 400 行硬顶（M195 还要在此落地），这条路净增 0 行且不可能与分发表漂开。
   验收点：`pages/appearance/**` 里已经搜不到 `Lang::En`。

③ 能变红的守卫：`the_appearance_group_speaks_chinese_when_the_interface_does`
   —— 走 `settings::view` 真分发渲染一帧，断言取词记录里含汉字、英文那帧不含汉字且同一 key
   中英译文不同。取证口是 `appearance::probe`（`#[cfg(test)]` thread_local）：iced 0.14
   没有可遍历控件树的公开接口（`Widget::children()` 返回状态 Tree；`operate` 要 Renderer），
   所以取证点退到「字进树之前」的唯一取词口。变异证明：把 `t()` 改回 `Lang::En.catalog()`
   ⇒ 该用例红（失败信息逐条列出四条英文）；还原 ⇒ 绿。

只接语言管子，不补文案：本组其余英文仍是字面量（行号见 M179 报告）。真实窗口截图、
macOS/Linux 字体差异未验。
 2026-11-08 20:42:28 +08:00
AskaEth a40b3a5940 fix(msa): 浏览器登录按钮在生产路径真的置位 browser_first（复审 r1 收口） 
复审 r1 的 P1-1：「用浏览器登录」这颗按钮在生产二进制里是哑的——`start_browser_login` 用的是
共享的 `MicrosoftAuth::from_env()`（`browser_first=false`），于是 `browser_then_device_login`
里整段预检 / 回退 / 说明编排不执行，按钮静默退化成设备码，任务③（authcode 可选加速路）
实际未交付。

- P1-1：入口改成 `msa_auth(env, MsaEntry::{DeviceCode,Browser})`，浏览器入口走
  `.with_browser_first(true)`。守卫钉两段：①调用点（按 `LoginJob` 分桶记下生产入口实际请求的
  模式，避开同进程并发用例串台）②模式真的落到 `MicrosoftAuth::browser_first`。变异实测：
  把浏览器入口改回 `DeviceCode` ⇒ 该用例红。核心侧另有报文级证据：浏览器优先路必然对
  `/authorize` 发一次预检（`unregistered_redirect_falls_back_to_the_device_code` 断言 GET 计数 == 1）。
- P2-1：`listeners_opened` 改成**绑定现场**计数——`CallbackServer::bind_counting` 在
  `TcpListener::bind` 前 +1，`login_counting` 把 per-login 的 `AtomicUsize` 传下去；
  删掉「进了授权码分支就记 1」的代理指标。复做变异（预检之前偷绑一个监听口）⇒ 3 条
  msalogin 用例红，包括两条 `listeners_opened == 0`。两处 stale 文档（引用不存在的
  `callback::bind_attempts()`）改成引用 `listeners_opened` / `bind_counting`。
- P2-2：预检加整体 deadline（10s，`PREFLIGHT_TIMEOUT`），超时归 `PreflightUnavailable` 并
  回退设备码；新增「接了连接却不出响应」的假服务器单测（200ms deadline 内必须收场）。
  （下载引擎的 HTTP 客户端只设了 connect_timeout，这条兜住「header 之后停住」。）
- P2-3：client_id 守卫加严到三种拼法（`concat!` / 跨行两段 / `format!` 逐段拼），做法是
  「先收字符串字面量再拼」+「连续纯 hex 字面量累计 ≥32 且 ≥2 段」，并跳过注释（否则本模块
  文档里的示例会自指假红）；每条一个自检向量，且不误杀 `session.rs` 的 profile UUID。
- P2-4：页面级断言补中文（`Lang::ZhCn` 走 `Page::build`），并把回退说明的文案出口收敛成
  视图自己的 `login::browser_note_text`（视图与取样共用，不再测试另写一份映射）。
- P2-5：主按钮文案改成「使用 Microsoft 账户登录」/「Sign in with your Microsoft account」，
  下面补一行「浏览器打不开就用这个：它会给一串用户码，在任何设备上输入即可。」。

门禁：`cargo fmt --check`、`cargo clippy --workspace --all-targets -- -D warnings`、
`cargo test --workspace --all-targets`（51 个 test 目标全绿）通过；`client_id.rs` 的判据拆到
`client_id/tests.rs` 守 400 行红线。截图三张（入口 / 设备码 / 回退）已重出。
 2026-11-08 20:23:44 +08:00
AskaEth f82bd395f8 fix(msa): 微软登录默认走设备码，浏览器流降级为可选加速路 
官方产物上点「微软登录」必失败：GUI 只接了授权码流（随机端口回环回调），而 Azure 应用
注册当初是为 device-code 建的，重定向 URI 一项都没登记，于是授权端点当场回
`invalid_request: ... 'redirect_uri' is not valid`，浏览器里只剩一张 AAD 原始错误页，
启动器干等 5 分钟超时。设备码流本身是好的（CLI `accounts add msa` 一直能用）。

- core：新增 `preflight`（回环重定向 URI 注册预检）与 `login`（浏览器优先 + 自动回退设备码）。
  预检拿「即将使用的 redirect_uri」（端口不参与匹配，微软官方文档 *Localhost exceptions*
  原文已引进模块文档）先问一次授权端点；没登记 / 问不出来就地跳过，**一个监听口都不开**。
  预检通过才真绑端口走授权码；授权码失败（超时/被拒/绑不上）自动回退设备码并带上结构化
  原因码；用户取消（`Canceled`）原样上抛，不偷偷换流。设备码是默认，零监听口。
- presenter：`start_login` = 设备码（默认）；`start_browser_login` = 浏览器优先 + 回退，
  回退原因码写进 `DeviceLoginView.browser_note`（原文只进日志）。
- i18n：三条回退文案（含「怎么修：把 http://localhost/auth 加进重定向 URI，端口不参与匹配」）。
- app-iced：登录面板主按钮改成设备码、浏览器降级为次按钮；重登也走设备码；设备码面板与失败
  面板都能画回退说明。倒计时文案改由视图模型持有（借用渲染），顺带修掉中文倒计时整行不显示。
- 守卫（都能变红）：①授权端点回 invalid_request 时确实回退设备码且原因是结构化码；
  ②未登记回环 / 默认设备码路 `listeners_opened == 0`；③回环登记了仍能走授权码（不焊死加速路）；
  ④用户取消不被偷偷换流；⑤client id 仍只能构建期注入（扫 `auth/microsoft/` 源码无 UUID 字面量）。
 2026-11-08 20:23:42 +08:00
AskaEth e5a4b9bbd1 fix(settings): 改口逐实例覆盖的事实陈述，并把第三条守卫换成行为断言 
复审 r1 的两条 P2：

P2-1（`settings/mod.rs` 的 `form` 文档）：原先写「『逐实例覆盖』既没有数据源也没有
消息落点」——这是错的。逐条核过：真控件在实例详情页的「启动参数」区（M157
`pages/instances/launch_args.rs`，由 `pages/instances/detail.rs` 渲染），落盘走
`app/update/instances.rs` 的 `AppCommand::set_launch_args` → presenter
`host/launch_args.rs` 的 `resolved`/`apply`（写回 `config/instances/<id>.json`），
回落与落位在 core 的 `game/launch_overrides.rs` / `launch/overrides.rs`。真正无人产出
的只有 UI 变体 `Action::AddOverride`。改口后的事实：它是**放错了地方**，不是没接。

P2-2（守卫）：删掉按名字扫源码的两条（`empty_state`/`overrides` 子串、`instance` 子串）——
前者的假警报会挡住「某组确实需要自己的空态」，后者抓的根本不是它声明的不变量（真正让实例
选择进不来的是 `settings::view` 的签名），且日后一句正当英文注释就能把它弄红。换成：
- 判据 ①（保留）守**收尾**：`form()` 里 `stack = stack.push(` 恰好一处、且以
  `frame::scroll(ui, stack)` 收尾（整段重写让计数变 0 也红）；
- 判据 ②（新增，行为断言）守**生产**：把每组一列的循环抽成 `section_columns()`，
  测试真调它数返回值——窄窗 == `GROUPS.len()`，单选各组 == 1，换任何名字都躲不掉。
文档里的「抓不住」段也不再指向静态图（静态图只能证明「现在没有」）。

`form` 的拼装形状没变（循环 + `frame::scroll` 收尾），分组表、分发顺序、正文内容一字未动。
 2026-11-08 19:54:38 +08:00
AskaEth df331f6a60 feat(m175): Java 设置页接真运行时（扫描 / 手动路径 / 默认 JDK / 内存 / JVM 参数） 
用户实测四条抱怨逐条对应：
- 「没有自动检测本机 Java」：首屏自动扫一次盘（托管根 + JAVA_HOME + PATH + 标准安装位置 +
  注册表），之后由「立即扫描」手动触发；扫描在后台线程里跑，带 done/total 进度与取消
- 「显示 Temurin 21.0.4 不知道是不是硬编码」：演示行与绊线测试一起删掉，列表来自真读盘
- 「没一个能改」：默认内存（MB，512~65536，范围与 schema 同源）与 JVM 参数可真改、真落盘、读回
- 「不能手动指定 Java 路径 / 不能改默认版本」：手动添加走严格校验（真跑 java -version），
  设为默认写 java.selected_path 并给出「为什么选它」（当前实例的版本门槛 + 每行满足与否）

core：java::manual（严格探测 + 厂商识别 + 名单持久化）、java::staged（候选收集 + 带进度与
取消的扫描）、java::proc（带超时且可打断的子进程执行：卡住的 java -version 会被 kill）。
i18n：catalog/settings/java.rs 55 条中英 + 金表按装配顺序插入。

复审 r1（p2-5items）全修：
- P2-1 「设为默认」不再清脏：只写 java.selected_path，内存/JVM 草稿一个字节都不动
- P2-2 错误文案全部走 i18n（三档「写不进去」/「路径太长」/「名单写不进去」各自一个 key），
  不再把 Rust 枚举名当人话
- P2-3 手动名单落盘有正面断言（加一条 → 从盘上新读一份 → 在）
- P2-4 版本号显示到小版本（17.0.13 / 17.0.9 可区分），解析不出来时给原始版本串
- P2-5 每候选 8 秒超时并 kill、取消打断正在跑的探测、扫描槽挂在 State 上、线程活着期间
  不许起第二个（界面显示「正在取消…」）

复审 r2（p2-2items）全修：
- P2-1 空态不再指向不存在的「Java 页」，改成真实存在的 `ull java install 21` 命令行入口
- P2-2 `auto_scan_due` 增加 `!report.cancelled`：取消过一次之后本进程不再自动扫，
  配置文件再变（存内存 / 改主题）也不会把取消无声撤销；手动「立即扫描」不受影响
- 顺带：proc 的 kill+wait 补「子进程真死了」的回归守卫（标记文件从未出现）、
  core 的 Schema 错误改成页面自己的 key（不再把中文 Display 直出给英文界面）、
  默认态 chip 用新的 `Chip::badge`（不再挂一条永远收不到的消息）
 2026-11-08 19:52:04 +08:00
AskaEth 7fdebba961 fix(settings): 设置页尾部不再渲染不属于本页的空态卡 
用户 2026-11-08 在 M174 的助手页与 M175 的 Java 页截图里看到同一张卡（四格图标 +
「没有逐实例覆盖」+ 说明被窗口下沿截断）：两张图 1180×1100、卡片位置完全一致、
独立居中在内容下方。

根因是 `pages/settings/mod.rs` 的 `form()` 在分组循环之后**无条件** push 了
`pages/settings/frame.rs` 的 `overrides_empty()`（M84 骨架期的占位，M99 纯搬移时原样
留下，固定 320dp 高）：于是六个分组下面都长出同一张卡，与实例选中态无关。

修法：删掉该空态位及其唯一的三个 i18n key（`SettingsOverrides*`，金表同步删三行）。
设置页永远有内容（总有一组被选中），12b §15 的空态件是给实例/下载/日志页的；
「逐实例覆盖」全仓既无数据源也无消息落点，所以不挪给任何一组，直接不渲染。

守门（`settings/frame.rs` 的 `no_stray_empty_state` 三条，变异实测会红）：
尾部不许再出现额外 push、`form()` 不认任何空态件名、设置页不读实例选择。
 2026-11-08 19:13:37 +08:00
AskaEth 30b61e2684 fix(m174): 恢复被截断的 ai/outcome.rs —— dev 不编译
Guards / 依赖许可与来源（cargo-deny） (push) Canceled after 0s
Details
Guards / 文件行数 ≤400 守门 (push) Canceled after 0s
Details
Guards / unsafe 落点守门（集合必须恰好一个文件） (push) Canceled after 0s
Details
Guards / design 零第三方依赖守门 (push) Canceled after 0s
Details
Guards / presenter 零 UI 守门 (push) Canceled after 0s
Details
Guards / core 零 UI 守门 (push) Canceled after 0s
Details
Dev Guards / 架构与合规守门（同 main 口径） (push) Canceled after 0s
Details
Dev Guards / fmt (rustfmt --check) (push) Canceled after 0s
Details
Dev Guards / clippy (ubuntu) (push) Canceled after 0s
Details 
fd4a5f8（截图种子按档给各自自洽的 detail）把 outcome.rs 从 197 行截成 1 行，
而 ai/mod.rs 仍然 `pub mod outcome;` + `pub use outcome::ProbeResult;`，
dev 上 unlucky-app-iced 直接编不过。第三轮复审判 clean 时漏了这一点（它没真编译）。

先恢复 93d02ab 的完整实现让树能编（cargo check -p unlucky-app-iced --all-targets
退出码 0 已验）。fd4a5f8 想做的「种子按档给自洽 detail」没有生效，作为 follow-up 重做
——出图自洽是次要，树不许红是底线。
 2026-11-08 17:46:47 +08:00
AskaEth fd4a5f87d9 fix(m174): 截图种子的每档详情各写一句（证据自相矛盾） 
r3 出图时实测：`ULL_AI_STATE=failed-model` 那一张的分类是「端点通了，但没有这个模型」，
而详情行写着 `status 401 Unauthorized / Incorrect API key`——种子把 Auth 的详情复用给了
ModelNotFound/Failed。证据自相矛盾比没有证据更糟。

改：`ProbeResult::screenshot_seed` 按档给各自自洽的 detail（401 invalid_api_key / 404
model_not_found / Http client error / 8 s / 503）。种子仍然只伪造「结论是哪一档」，字段形状
照旧由 `from_outcome` 决定（r1 修的那条不动）。
 2026-11-08 17:16:51 +08:00
AskaEth 6f78e0cf7e fix(m174): 复审 r2 —— 写入口收敛成一个（语言入口同缺陷）+ 只读文件上保存不再谎报成功 
P2-1（同一类缺陷的第三个入口）：`persist_ui_language` 与 `persist` 共用同一份长生命
store、`save()` 同样整份落盘，但语言入口没先 `reload()` ⇒ 保存 AI 配置后 1 秒内切界面语言，
`ai.*` 连密钥一起被 1 秒前的旧快照盖掉，而且函数返回 true。

修法选「收敛成唯一写入口」而不是「再补一次 reload()」：
- 新文件 `presenter/src/settings_bridge/write.rs` 提供 `SettingsBridge::write_with(|store| Edit)`
  ——现读 → 改 → 落盘 → 刷 mtime，`Edit::{Changed,Unchanged,Rejected}` 表达闭包的结果，
  `WriteOutcome::{NoStorage,Unchanged,Saved,Skipped(reason),Failed}` 表达写的结果（只有 `Saved`
  算成功）。两个入口都改成传闭包，**入口自己再也拿不到「不重读的 save」**——下一个写入口不会
  再靠「记得」。r1 就是「补一次 reload」的做法，隔一个文件又漏了一次。

第二条（用户可见谎话）：`ai::store::save` 注释写着「落盘后再读一遍才算数」，实际返回的是内存
doc；`SettingStore::save` 还有 `Skipped(ReadOnly/Unreadable/NotDirty)` 一档（`Ok`，不是 `Err`），
旧代码 `.is_ok()` 会把它当成功 ⇒ 在「配置文件被更新版本启动器写过」的机器上什么都没写，界面报
「已保存」，重启回旧值。现在按 `SaveOutcome` 分支（只有 `Saved` 算成功，`Skipped` 给具名原因），
并且真的 `SettingStore::load` 一次从磁盘回读。

回归用例（都做了变异验证）：
- `settings_bridge_lang::tests::persisting_the_language_keeps_keys_another_writer_just_saved`
  （去掉 `write_with` 的 `reload()` ⇒ 红，输出即「语言写回把刚保存的密钥盖掉了」+ 被覆盖的文件）
- `settings_bridge_lang::tests::persisting_the_language_reports_false_when_the_file_is_read_only`
  （`persist_ui_language` 恒返回 true ⇒ 红）
- `ai::store::tests::read_only_config_is_reported_as_a_failure`（`save()` 恒返回 Ok ⇒ 红）
- `ai::store::tests::skip_reasons_are_named`
 2026-11-08 17:03:13 +08:00
AskaEth 93d02ab12b fix(m174): 复审 r1 五项 —— 失败带 target、密钥消息掩码、请求体断言、桥写前重读、结构化分类 
P2-1（假绿截图）：「测试连接」失败类也带上被请求的 target。`ProbeOutcome` 的五个失败变体
改成 `{ target, detail }`，`ProbeResult::from_outcome` 不再把端点/模型填成空串；view 另加一条
「目标为空就整行不画」的保险。**截图种子改走 `from_outcome`**（新增
`ProbeResult::screenshot_seed`）：种子只伪造「结论是哪一档」，字段形状由产品路径决定——上一版
手填字段，于是「失败态目标为空」只在产品上出现、截图永远看不见。

P2-2（明文进日志）：`Message::EditKey` 的载荷从 `String` 换成 `ai::Secret`（`Debug` 掩码）。
用例 `the_key_message_never_prints_the_key` 同时钉住裸消息与整条 `pages::Message` 漏斗。

P2-3（模型没被证上线）：假服务器按 `Content-Length` 读请求正文，新用例
`the_request_carries_the_configured_model` 断言正文里 `"model":"gpt-test"`。变异实测暴露出
一处真相：`ChatRequest.model` 被 `RigProvider::build_request` 静默忽略，线上模型来自
`ProviderConfig.model`（已另开 finding，并写进 probe 的注释）。

P2-4（数据丢失）：`SettingsBridge::persist` 写前 `store.reload()`。`SettingStore::save` 是整份
文档落盘，不重读就会拿 ≤1 秒前的旧快照盖掉刚写的 `ai.*`。两条回归用例：
`presenter::settings_bridge::persist_keeps_keys_another_writer_just_saved` 与 app-iced 侧的
`ai::store::appearance_write_back_keeps_the_ai_keys`（保存 AI → 改主题 → 值还在）。

P2-5（子串匹配）：删掉 `classify()`。分类改由 `brain::rig::map_error` 从 rig 0.45 的结构化
报告（`ErrorReport` 的 `kind` / `http_status` / `code`）翻译成新的 `ProviderFailure`
（`brain/provider/failure.rs`），`ProviderError` 因此带上 `kind`。`closed_port_is_unreachable`
不再依赖错误文本：连接被拒恒为 `ErrorKind::Http` ⇒ unreachable。防退化用例
`factory_error_carries_the_structured_classification` 断言「纯文本 401 不许被猜成 auth」。

顺带（400 行硬线）：`provider.rs` / `rig.rs` 的用例各自拆到 `provider/tests.rs` /
`rig/tests.rs`（纯搬移）。
 2026-11-08 16:20:34 +08:00
AskaEth 9cb605f316 feat(m174): 助手（AI）提供商配置真接线 + 「测试连接」 
设置页新增第 6 组「助手」：提供商四态 / 端点 base_url / 模型名 / API 密钥（默认掩码，
点「显示」才明文）+ 保存 + 测试连接，四类失败（鉴权 / 模型不存在 / 不可达 / 超时）各自
一句文案 + 目标与耗时。

取舍三条：

1. 读写走 `core::setting` 的 schema API（`SettingStore::load` 现读 → `set` → `save`），
   不经 `AppCommand::SetSetting`——那条指令是可序列化 DTO，`ai.api_key` 走它等于让明文进
   事件流/日志。与 `SettingsBridge::persist` 写外观是同一条做法。
2. 「测试连接」不另写一套 HTTP：`unlucky_cli::commands::agent::probe` 现读设置文件、
   交给 `RigProvider`（真 provider）发一次最小补全，带 8 秒时限；分类只看错误文本
   （rig 只给 Display），四类各有一条真 TCP 假服务器用例钉住。
3. `ProviderKind` 补 `from_setting` / `setting_value`：serde 的 `rename_all = snake_case`
   产出 `open_ai_compatible`，与 schema 的 `openai_compatible` 不是同一个词——这正是
   M174 之前「agent 侧一次都没读过设置」的根因。

守卫（都做变异验证，见 mission 报告）：密钥不出 `Debug`/`detail`/DTO；未配置时工厂构造
计数为 0；改完 base_url 后探测打到新地址；空/非法值被 schema 拦下且文件不动。

i18n：49 条中英各一（金表按 `Key::ALL` 位置插入）；presenter 的 ai_group 补上 schema 允许
的 `disabled` 选项与一行「已配置 N 字符」的只读状态（仍然不显示值）。
 2026-11-08 15:57:25 +08:00
AskaEth 28762ec268 fix(m182): 判据断言一律显式传 HostOs，ubuntu 门禁在容器里前后对照为绿（复审 P1-1 / P2-1） 
复审 P1-1 实测：`corner/tests.rs` 里三条用例走宿主绑定的 `plan_corner()` 却断言 Windows
的结果——本机（Windows）绿，合进 main 后 `ubuntu-latest` 的 test job 会当场红。已修：

- 三条改为 `on_windows(...)` → `plan_corner_for(policy, HostOs::Windows, …)`：
  `the_win11_boundary_is_inclusive`、`the_log_line_carries_every_field`、
  `the_log_line_shape_is_pinned_with_the_measured_readings`；
  去重那条（`the_same_policy_is_dispatched_only_once`）也一并显式传 Windows。
- 宿主绑定的 `plan_corner()` 现在只剩**产品路径**（`app/update/appearance.rs:51`）与
  **一条**用例 `the_production_entry_forwards_to_the_pure_judgement`——后者两边都用同一个
  `HostOs::current()`，所以任何宿主都成立，它证明的是「入口确实转发」，不是某个平台的结果。
- m116 探针（`cfg(windows)` + `#[ignore]`）也改成显式 `HostOs::Windows`：那是真窗口实验，
  不该让「这台机器是 Windows」成为隐式前提。产物那一行逐字不变。

复审 P2-1：`unknown-os` 此前没有任何断言。新增表测试
`every_exclusion_code_is_a_stable_non_empty_string`，把七个原因码逐个钉住（含 `unknown-os`），
并断言非空、无空白、两两不重复、总数 7。另在 `the_log_line_carries_every_field` 里补
`host=windows` + `os=unknown` + `excluded_reason=unknown-os` 同现。

证据（`packaging/linux-check-docker.sh`，容器内 ubuntu 真实复跑，非推理）：
- 修前（把 tests.rs 回退到 0451b3f）：`test -p unlucky-app-iced --lib` → **3 failed**
  （正好是复审点名的三条），exit=1；
- 修后同一命令：**685 passed / 0 failed**，exit=0；
- 最终树跑完整两条 CI 门禁：`cargo clippy --workspace --all-targets -- -D warnings` exit=0、
  `cargo test --workspace --all-targets --no-fail-fast` exit=0（53 个测试二进制，合计
  passed=2672 / failed=0）。
本机（Windows）同树：clippy exit=0、`test -p unlucky-app-iced --lib` 686 passed、fmt exit=0。

`decorations` 取值未动（分支 vs 基点仅新增注释行）；非 Windows 的 `os=` 仍为 `n/a`，
Windows 上「真的读不到版本」仍叫 `os=unknown`，但同一行有 `host=windows` +
`excluded_reason=unknown-os` 自解释。
 2026-11-08 15:18:23 +08:00
AskaEth 037c68d0e6 fix(m173): 设置页滚动条并排在内容右侧（右侧恒留 10dp 槽） 
根因（读 iced 0.14 源码，不是猜）：`scrollable` 的竖直滚动条是浮层——
`iced_widget-0.14.2/src/scrollable.rs:1970-1980` 把轨道定位在
`bounds.right - (width.max(scroller_width) + 2*margin)`，而同文件 `:437` 给内容的横向
约束是整个视口宽（`Scrollbar::spacing` 默认 None ⇒ 右内边距恒 0）。本仓 6 轨 + 2×2 内缩
= 10dp，于是这 10dp 整条压在表单列内容上（1180 与 880 宽窗口都一样）。

改法：`components::scroll::vertical()` 在内容右侧恒留一条 `轨宽 + 2×margin` 的槽，轨道画在
槽里；`pages/settings/frame.rs::scroll` 改成一行转发。不采用 iced 的 `Scrollbar::spacing`，
因为它只在滑块可见时才预留（`scrollable.rs:478-500`），长/短页面切换内容会横跳 10dp。

数值（1180×760、100% DPI、tiny-skia、实测像素）：
- 卡片右缘 799 → 789（内容可用宽 424 → 414 = 424 − 10）；
- 滑块仍是 792..797（没有移动），与内容之间隔 2px 页面底色（= SCROLLBAR_MARGIN）；
- 长页面（外观组）与短页面（Java 组，无滑块）左边界 376、宽 414 **逐项相同**；
- 150% 缩放下 621px = 414×1.5、滑块 9px = 6×1.5、槽 15px = 10×1.5，同比例不重叠。

守卫（两条都是数值，不看图）：`components/scroll.rs` 与 `pages/settings/tests/scroll_fit.rs`
用 `Renderer = ()` 真跑 iced 的 `layout()`，断言「内容宽 == 容器宽 − 槽宽」且长/短两态一致；
把 `beside` 的 padding 改回 `Padding::ZERO`，4 条断言立刻红（424 vs 414）。
 2026-11-08 15:11:54 +08:00
AskaEth 0451b3f972 fix(m182): 非 Windows 圆角判据回答「由谁负责」，并给 macOS 直角三条源码级证据 
用户第三轮 Mac 验收看到四角直角 + `source=square os=unknown`。原来非 Windows 一律
落到 `UnknownOs`，把「Windows 版本读不出来」与「这台根本不是 Windows」糊成同一格。

- `platform/host.rs`：新增 `HostOs`——平台族是一个**值**而不是散落的 `cfg`。
  这样三行真值表能在本机（只有 Windows）一次验完，`cfg` 只留在真要 FFI 的地方。
- `plan_corner` 拆成 `plan_corner_for(policy, host, os, backend)` + 保持原签名的薄包装
  （`app/update/appearance.rs` 在 scope 外，调用点一字未改）。
- `CornerSource` 加第三档 `Compositor`（跟随合成器，我们既不下发也不自绘）；
  `CornerExclusion` 加 `borderless`（macOS）、`client-side`（Linux）、`unsupported`。
- 日志加 `host=`，非 Windows 的 `os=` 由 `unknown` 改 `n/a`（那栏是 Windows 版本，
  在 macOS/Linux 上不是「没读到」而是「跟本机无关」）。
- `platform/macos/mod.rs`：macOS 为什么是直角的**三环证据**（我们的 `decorations: false`
  → winit `Borderless`（无 `Titled`）→ 窗口服务器只裁 titled 窗；winit macOS 后端
  `cornerRadius` 命中 0），以及「迁移原生标题栏」的未实现配方与阻塞点（iced 0.14 未转发
  winit 的 `titlebar_buttons_hidden`，缩放键按不掉）。
- `platform/linux/mod.rs`：xdg-shell 无圆角概念、wl_surface 区域只能是矩形、XShape 只能
  切硬边 ⇒ CSD 窗没人替我们裁，D46 排除自绘 ⇒ 直角。没把 DWM 判据搬过去（单测钉着
  「非 Windows 不许出现 dwm」）。
- `design/shape.rs`：删掉「macOS 走 `layer.cornerRadius`」这句过期描述（D46 不许自绘裁切）。
- `dwm.rs` 的内联测试挪到 `dwm/tests.rs`（原文件 398 行，加第三档映射会顶破 400 行红线）。

验证：cargo fmt --check / clippy -D warnings / `cargo test -p unlucky-app-iced --lib`
684 passed；三次定向变异各自变红（macOS 行改回 Square/UnknownOs → 4 红；非 Windows
`os=` 改回 unknown → 1 红；Linux 原因码复制成 borderless → 4 红）。
Windows 侧无语义改动；`cargo test --lib m116 -- --ignored --nocapture` 复跑读回仍是
`pref=2 readback=? read_hr=0x80070057`（写入被接受、回读不可用），**不作为「圆角已生效」的证据**。
 2026-11-08 14:50:15 +08:00
AskaEth 460da9330d fix(m168): 复审 r3 四项 —— 说准 panic 档、给两条修复补守卫、时限算术补洞 
复审 r3（p2-4items / fix-then-merge）四项 + 顺手五条：

1. **P2-1 `catch_unwind` 在发布档是死代码，三处文档说了不成立的话**：
   `Cargo.toml` 的 `[profile.release]` 是 `panic = "abort"`（只有 `fast` 是 `unwind`），发布走
   `--release`。分两半写清楚：①**闸前移仍安全**——release 档 panic 是进程退出，不存在永久停在
   `Downloading`；`dev`/`test`/`fast` 档 `catch_unwind` 真会写 `Failed`；②但「下载失败不崩」在
   panic 这一支上对发布版**是反的**：注册/`load_font` panic ⇒ 启动器整体 abort，不是降级。
   `install.rs::plan_with_offline` 的文档（新增两档对照表）、`worker.rs` 模块文档与 `run` 注释全部
   按这个说法重写，不再用 `catch_unwind` 给「不崩」背书。

2. **P2-2 「启动不发起下载」这条修复没有守卫**：拆出纯函数
   `fonts::resolve_with_faces(setting, faces)`（`resolve_with` 只是 `system_faces()` 的包装），
   新增 `fonts::tests::resolving_fonts_never_starts_a_download`：给一张只有拉丁族的脸表
   （一定判 `NeedsDownload`），断言调用后 `install::status()` **不是** `Downloading`。
   变异（实跑）：把 `install::after_probe(cjk_report.strategy)` 加回 `resolve_with_faces` ⇒
   `求值字体**不许**发起下载（状态从 Unknown 变成了 Downloading { bytes: 17772300 }）`，红。

3. **P2-3 时限算术有洞 + `is_last` 没守卫**：改 `ATTEMPT_DEADLINE=60 s` / `TOTAL_DEADLINE=420 s`
   （原来 120/360 时，第一个候选吃掉 120 s 后最后一个只剩 240 s ⇒ 门槛 72.3 KiB/s，r1 实测
   67 KiB/s 需要 259 s，仍然必失败）。文档按新数值重算成一张表：第一个候选瞬间失败 ⇒ 420 s ⇒
   42.3 KiB/s；爬满 60 s 被切 ⇒ 360 s ⇒ 49.4 KiB/s，两者都低于实测最慢的 67 KiB/s。
   守卫：把同解的旧用例换成 **单候选 + attempt 300 ms / total 5 s**——有 `is_last` 时跑到总时限
   （≈5 s），没有时 300 ms 就切，两种实现可分辨。变异（实跑）：删掉 `is_last` ⇒
   `the_last_candidate_gets_the_whole_remaining_budget` 红在
   `最后一个候选该拿整个剩余预算（≈5 s）…452.6035ms`。

4. **P2-4(b)(c)**：①`install::tests` 里三处判据用例改用 `plan_with_offline(..., false)`，把进程级
   `OFFLINE` 从判据里摘出去（否则同进程里 `headless(screenshot_options())` 会把它置 true 且从不
   还原 ⇒ 结果依赖执行顺序）；②`fonts.rs` 注释改成真实机制——出图 harness 不经
   `App::with_presenter`、压根没有 `set_offline`，它零流量靠的是「`resolve_with` 不触发」。

顺手：①`sha256_mismatch…` 的 doc 改成「两层校验互备，本用例抓的是两层同时拆」（原来说
「拆任意一层就红」是假的）；②`font.rs` 文档「把 90 s 压成 300 ms」→ 60 s/420 s；③`install.rs` 与
`catalog/font_install.rs` 的「≈17 MB」→ 16.9；④`worker::start` 的裸 `thread::spawn` 换成
`Builder::spawn`，起不来就落 `Failed`（发布档 panic = abort，不能让它 panic）；线程体抽成 `run()`。

验证（`CARGO_TARGET_DIR=C:/Temp/ull-target/wt-168`，取退出码、不截断）：
- `cargo test -p unlucky-app-iced --lib` → **688 passed / 0 failed / 2 ignored / exit 0**
- `cargo test -p unlucky-core --all-targets` → **16 个 target / 1189 passed / 0 failed / exit 0**
- `cargo test -p unlucky-i18n` → 31 passed / 0 failed / exit 0
- `cargo clippy -p unlucky-i18n -p unlucky-core -p unlucky-app-iced --all-targets -- -D warnings` → exit 0
- `cargo fmt --all -- --check` 干净；全仓无文件 >400；本轮改动文件最大 378（`app-iced/src/fonts.rs`）
 2026-11-08 14:38:25 +08:00
AskaEth b9009c0e61 fix(m168): 复审 r2 三项 —— 夹具不再空转、启动不再替英文用户下载、时限不再判慢线下不完 
复审 r2（p2-3 / fix-then-merge）三项：

1. **P2-1 爬行服务端是空转的**（`font/tests/support.rs`，从 `tests.rs` 拆出守 400 行）：
   `seen.windows(4).any(|w| w == b"\n\n")` 拿 4 字节窗口比 2 字节切片 ⇒ `PartialEq` 先比长度 ⇒
   恒 false ⇒ 请求头永远读不完、一个字节不发，用例证明的其实只是「连接挂着被掐断」。上一版
   这里是 Python 生成时把 `\r\n` 落成了真实换行字节。现在两处都是转义写法
   （`b"\r\n\r\n"` + 完整 CRLF 响应头），并且**把「夹具真的在说话」变成断言**：
   `serve_trickle()` 返回 `TrickleProof { header, dripped }`，用例断言「真的发过头」「真的挤过
   字节」——否则夹具再坏一次也会绿。拆成两条用例：`a_trickling_candidate_is_cut_by_the_attempt_deadline`
   （[爬行, 正常]，300 ms 切断第一个后第二个成功，0.38 s）与
   `the_total_deadline_cuts_a_single_crawling_candidate`（单候选 + 400 ms 总预算）。
   变异证明：把服务端改成「一个字节都不发」⇒ 两条用例红在「爬行服务端必须真的发出响应头」。

2. **P2-2 启动替英文用户下 17 MiB（真行为 bug）**：
   - `fonts::resolve_with` **不再触发下载**（启动那一拍只报告判据）。唯一的触发点收在
     `fonts::cjk_for`（`ui/lang.rs::log_cjk`），那一拍的 `setting` 与 `LangChoice` 同源
     （ULL_LANG > 配置 > 系统 locale）= 「界面实际用哪种语言」。
   - `plan` 把 `is_downloading()` / `Ready` 的闸提到**所有策略之前**：上一版只在 `NeedsDownload`
     分支里，"下载中 + Unprobeable" 会把状态改回「无法探测」而线程还在飞，下完又翻回「已就绪」。
     当时那条理由（「否则界面停在正在下载」）只对僵死成立 ⇒ worker 现在用 `catch_unwind`
     兜底「任何 panic 都写终态」，闸才敢前移。
   - 出图通道：新增 `install::set_offline(true)`（`App::with_presenter` 在
     `options.screenshot.is_some()` 时调），`plan_with_offline` 在 offline 下永不 `Start`。
     于是 `pages/harness/app.rs` 与 `--screenshot` 都不会在 zh-locale 无字体机器上真下 17 MiB。
   - 被钉住的旧判据（`Unprobeable + Downloading ⇒ Apply`）改成 `Skip` 并写明旧行为为什么是错的；
     新增 `every_strategy_skips_while_a_download_is_in_flight`（四策略打表）与
     `the_screenshot_channel_never_starts_a_download`。

3. **P2-3 90 s 单次上限把「慢但能下完」变永久失败**：改 `ATTEMPT_DEADLINE=120 s` /
   `TOTAL_DEADLINE=360 s`，并且**最后一个候选拿整个剩余总预算**（前 n-1 个仍 `min(单次, 剩余)`）。
   算账写在常量文档里：17 772 300 B / 360 s ≈ 49 KB/s，比 r1 实测最慢那条 IPv6（67~77 KB/s）
   还低一档 ⇒ 慢而能下完的线路仍有一次成功机会；健康线路（1.1~16.6 s）在第一/第二个候选就结束。
   代价（最坏 6 分钟）也是刻意取舍，写在同一处。

顺手：`i18n::CjkFont::source` 的「尚未钉死」改成指向 `Source::Pinned`；`clock.rs` 与
`general_section.rs` 注释里的 17.0 MB → 16.9 MB。

验证（`CARGO_TARGET_DIR=C:/Temp/ull-target/wt-168`，全量重编；取退出码，不截断）：
- `cargo test -p unlucky-core --all-targets` → **16 个 target / 1189 passed / 0 failed / exit 0**
  （lib 625 + setting 115 + 其余 14 个）
- `cargo test -p unlucky-i18n` → 31 passed / 0 failed / exit 0
- `cargo test -p unlucky-app-iced`（含 `no_hardcoded_tokens` integration）→ **693 passed / 0 failed / exit 0**
- `cargo clippy -p unlucky-i18n -p unlucky-core -p unlucky-app-iced --all-targets -- -D warnings` → exit 0
- `cargo fmt --all -- --check` 干净；全仓受检文件 ≤400（本分支最大 361）
 2026-11-08 14:38:25 +08:00
AskaEth 875b792206 fix(m168): 复审 r1 五项 —— 修红的 integration target、独立失败域、整体时限 
复审 r1（p1-1/fix-then-merge）五项全改：

1. **p1-1 CI 会红的 4 条 integration test**（`crates/core/tests/setting/`，我上一轮只跑了 `--lib`，
   scope 漏掉了覆盖 schema 版本号的目录式 target）：
   - `java_install_keys` / `isolation_keys` / `appearance_keys`：版本断言 1.6.0 → 1.7.0（M168 的
     `ui.font_cdn`），并写明「每加一批键推一次 minor 是纪律」。
   - `update_keys::a_read_only_launcher_config_never_retires_the_legacy_file`：夹具从**写死
     1.7.0** 改成 `launcher_version().minor + 1` 经 `SchemaRef::url()` 生成。写死数字的版本一推
     这条守卫就变成「同版本」⇒ 文件可写 ⇒ 迁移真的执行 ⇒ 旧文件被退役，而断言还绿着（用户数据
     守卫静默失效）。相对推导不会过期。
2. **p2-1 备用镜像不备用**：`cdn` 与 `fastly` 同属 Fastly（都 CNAME 到 jsdelivr.map.fastly.net），
   换掉。现在首选 `gcore.jsdelivr.net`（Cloudflare，独立失败域），二选 `cdn.jsdelivr.net`
   （Fastly）。注释里放了实测表（本机 + 复审机两份数据、字节数、sha256、IPv6 慢路径），
   并写清排序依据（Fastly 侧 IPv6 实测 67 KB/s ⇒ 丢掉 4 分钟；Cloudflare 侧两次都完整下完）。
3. **p2-2 整体时限**：`core::download::font` 新增 `ATTEMPT_DEADLINE = 90 s` /
   `TOTAL_DEADLINE = 180 s`，落在本模块自己的候选循环里（不动引擎全体语义）：每次尝试
   `min(单次上限, 剩余总预算)`，超时归 `Network` 档。新增守卫
   `a_trickling_connection_is_cut_by_the_deadline`（回环服务端每 100 ms 挤 1 字节、预算 300 ms）。
   顺带修掉一个真 bug：`tokio::time::timeout` 在运行时外构造会 panic（5 条既有用例当场抓到），
   现在整段包进 `block_on(async { … })`。UI 文案改成「网络不通或太慢（超时）」，不校验失败混。
4. **p2-3 说 `Source::PendingPin` 的两处**：`fonts/cjk.rs` 的模块文档已改；`ui/lang.rs::log_cjk`
   那句「D28 的下载通道还是 PendingPin」（在下载已发起之后打印，等于当面否定本功能）改成
   「已按 D28 发起下载，见 [font] cjk-download … 与设置页那一行」。全仓再扫，只剩注释里的历史说明。
5. **p2-4 假守卫**：判据抽成纯函数 `install::plan(strategy, current) -> Step`（`Skip` / `Apply` /
   `Start`），`after_probe` 只执行。旧的空转用例换成打真判据的打表用例；变异证明：删掉
   `Skip` 那一臂 ⇒ `a_started_or_finished_install_is_not_restarted` 红（已实跑）。

次要项也一并处理：`from_cache` 改成**本次是否真的命中缓存**（`CdnFetcher::was_cached()`，
`has_cached()` 降级为诊断字段 `cache_present=`）；`FontSpec` 的 URL 口径收紧为「非回环必须
https」（`is_acceptable_url` + 守卫）；`ui.font_cdn` 写进状态行 hint；文档里的 17.0 MB → 16.9 MB。
`download/font.rs` 拆出 `font/spec.rs` 守 400 行。

验证（这台机器上单个 800 MB 测试 exe 链接要 10 分钟，链接期间文件被 Defender 扫描，故耗时很长）：
- `cargo test -p unlucky-core --all-targets` → **1188 passed / 0 failed**（16 个 target，含
  `setting` 那个 115 条、上一轮红 4 条的 integration target）
- `cargo test -p unlucky-i18n` → 31 passed / 0 failed
- `cargo test -p unlucky-app-iced --lib` → 685 passed / 0 failed
- `cargo clippy -p unlucky-i18n -p unlucky-core -p unlucky-app-iced --all-targets -- -D warnings` → 干净
- `cargo fmt --all -- --check` → 干净；全仓受检文件行数最大 388（<400）
 2026-11-08 14:38:23 +08:00
AskaEth 449ded2cb7 feat(m168): 中文字体 CDN 下载真接线（D28 后半） 
M167 调研的结论是「中文字体 CDN 下载至今未实装」：`i18n::font` 只有 `Fetcher` trait 与
假实现，`needs-download` 分支什么也不做。这条把它接成一条真链路。

判据 → 下载 → 注册（一条链，四个 crate 各管一段）：

* `unlucky_i18n::font`（零依赖）：`Source::Pinned { urls, sha256, bytes }` 把「下什么」
  钉死——google/fonts 的 `NotoSansSC[wght].ttf` 钉到 commit `2894aab…`（不是 `@main`），
  17 772 300 B / sha256 `a3041811…`。可变字体一份覆盖 wght 100–900，省掉三份静态子集的 25 MiB。
  `FetchError` 补第三档 `Disk`（网络 / 校验 / 磁盘，UI 按类别选词）。
* `unlucky_core::download::font`（新）：缓存命中 → 共享引擎 `download_bytes` → 复验（sha256 +
  sfnt 魔数 + 32 MiB 上限）→ 原子落盘。**复验在写盘之前**，所以「哈希不符」时盘上什么都没有；
  缓存按 `<sha256 前 16 位>` 命名，pin 一换自动换名。
* `unlucky_app_iced::fonts::{cdn,install}`（新）：`CdnFetcher` 把 pin 接进 core（`ui.font_cdn`
  可覆盖 URL，哈希不换）；`install` 是状态机 + 后台线程，只有 `NeedsDownload` 才起线程
  （英文 / 系统已有 / 探测不出一律零网络）。注册走 `iced_graphics::text::FontSystem::load_font`，
  族名从字体库读回来核对。失败只降级（继续用系统字体），不阻塞、不崩。
* 接入两条路径：`fonts::resolve_with`（启动）与 `fonts::cjk_for`（设置页切语言）都调
  `install::after_probe`；设置页 General 组多一行状态（下载中 / 完成 / 失败 / 无需下载 + 三类失败
  原因），文案进 catalog 金表（链尾追加，既有顺序不动）；`App::advance` 每秒比对状态快照后重建
  视图模型，所以那一行会自己刷新。

配置：新增 `ui.font_cdn`（`keys/font.rs`，schema 1.7.0），空 = 内置 jsDelivr 镜像（含备用边缘）。

守卫（三条都能变红，变异证明见报告）：core 侧 8 条（缓存不联网 / 哈希不符拒落盘 / HTML 不当字体
/ 坏缓存自愈 / 上限 / pin 校验），app 侧 6 条（三种闲置策略零调用、失败不注册、类别不串、幂等、
截图钉子、单行日志），页面侧 1 条（四态 × 两语言无缺译、不写假百分比）。

测试：`cargo test -p unlucky-i18n --lib` 31 绿；`-p unlucky-core --lib` 622 绿；
`-p unlucky-app-iced --lib` 684 绿；`cargo fmt --check` 干净。截图三张见报告。
 2026-11-08 14:38:23 +08:00
worker-updatee2e 28bf104041 fix(m169): 复审 r1 五条 p2 —— 守门开一个极窄 allowlist 并把 E2E 真接进 CI 
r1 复审（reviewer-updatee2e-r1，p2-5items，均不挡合并）逐条落地：

P2-3（本轮主产出）守门把「E2E 进 CI」这条路堵死了：`scan_enabling_text` 对 workflow 里任何该
feature 字面量判红，于是 `cargo test --release … --features update-test-source --test
update_e2e_test` 这种**合法调用**也红，自己登记的 follow-up 无法实现。现在：
- `ALLOWED_STEP = {workflow: .github/workflows/ci.yml, name: update-e2e,
  must_contain: --test update_e2e_test}`；按 `- name:` 把 workflow 切成步骤块再判，文件名 / 步骤名
  / 命令行**三者任一不符即红**（job 名不参与判据：改 job 名不该解锁新能力）。
- `ci.yml` **新增一个独立 job** `update-e2e`（windows-latest、timeout 45m、release 档；现有 job
  一行未动，纯追加 27 行）。只在 Windows：夹具的「真形状」是裸 `.exe` + `portable-exe`，Linux/macOS
  的真实产物是 `.tar.gz` + `portable-zip`（会被 `ensure_self_replaceable` 直接拒），在 ubuntu 上跑绿
  是假绿。不降 debug：`debug_assertions`/优化/panic 行为都不同。
- self-test 覆盖 allowlist 六向量（允许 / 换文件 / 换步骤名 / 缺 `--test` / 发布工作流 / ci 内另一步）。

P2-2 守门 8 条绕过：注释剥离改**引号感知**（`echo "#"; cargo …` 不再吃掉真命令）；扫描面扩到
`.github/actions/**`、`packaging/**` 递归子目录、`Makefile|justfile|Taskfile` 第二构建入口；
`--all-features` 之外补 `cargo hack --feature-powerset|--each-feature|--all`。大小写/下划线变体按
复审结论写进「抓不住」表（cargo feature 名敏感，写错编不过，不算漏检）。

P2-1 GUI 人工验收命令根本跑不起来：`-p unlucky-launcher-iced` 是 bin 名，改成 package 名
`-p unlucky-app-iced`（app-iced / presenter 两处，并写明 `-p` 只认 package）。

P2-5 夹具缺「不给 --dest 就 panic」的结构性保险：`Fixture::run` 加两条断言——`apply` 必带
`--dest`、`--dest` 不许等于本进程 exe 的 canonical 路径。抓得住「以后有人手写 fx.run(&["apply"])」，
抓不住「绕开 Fixture 直接调 unlucky_cli::run」。

P2-4 夹具「真形状」只在 Windows 成立：写进 `tests/support/update_e2e.rs` 文件头（说明 Linux 上跑绿
是假绿、CI 因此只在 Windows），**不改断言**。另按复审 ⑤ 补一行：失败路径三例抓不住回滚/备份
（摘要失败发生在 install_staged 之前），回滚靠正路备份断言 + install_cases。

跨卷替换 bug 按 tower 指令**未动**（另开 mission）。

验证：守门正式扫描 + self-test 绿（14 红 / 3 绿）；真仓注入 6 组（基线绿、步骤改名红、缺 --test 红、
搬进 release-build 红、改 --all-features 红、还原绿）；E2E debug 6 绿、**release 6 绿**；
`cargo clippy -p unlucky-cli --all-targets --features update-test-source -- -D warnings` 干净；
`cargo fmt --all -- --check` 干净；全仓 400 行扫描无超限（守门脚本 379 行、ci.yml 317 行）。

⚠ 未验：CI 里 E2E 真的跑起来这件事本机验不了——只证明 workflow 写对 + 守门放行，首次真实运行要等
推送后看 Actions。
 2026-11-08 11:12:11 +08:00
worker-updatee2e 24826c1a7c feat(m169): 更新通道端到端验收 —— 本地源改成编译期 feature，补一条可一键跑的 E2E + CI 守门 
§6 欠账：更新链路的 GUI 端从来没验过，而 M167 发现它根本没法在本机验——`ULL_UPDATE_DIR` 只在
`debug_assertions` 下生效，发布产物却是 release；`apply` 又会替换本进程 exe，于是没人敢跑。

判据换档（tower 定案 B）：`cfg!(debug_assertions)` → 编译期 cargo feature `update-test-source`
（core 定义，cli/presenter/app-iced 链式转发，**默认关**）。带 feature 的构建里还要两档环境变量
（`ULL_UPDATE_DIR` + `ULL_UPDATE_TEST_SOURCE=1`），只给路径什么都不会发生。官方发布二进制里那段
分支根本编不进来——README「release builds do not contain that path at all」这句因此继续为真。

- core: `job::default_source` 的本地源分支整段 `#[cfg(feature = "update-test-source")]`；判据抽成
  纯函数 `test_source_root_from` 并逐条单测（半开一律关、空路径、承认值只认 `1`）；
  `the_test_channel_is_a_compile_time_opt_in` 在**两种构建下各断各的**（带 feature ⇒ 换源；
  不带 ⇒ 环境变量设满也走 GitHub）。
- cli: `update check/apply` 的 `--json` 增加 `test_source` 字段（判据派生自实际用了哪个源，不是回读
  环境变量），人读输出多一行点名；`help.rs` 的 `ULL_UPDATE_DIR` 说明按新判据重写。
- 验收：`crates/cli/tests/update_e2e_test.rs` + `update_e2e_tamper_test.rs` + 共用夹具
  `tests/support/update_e2e.rs`。临时数据根 + 本地源 + 真形状清单（与 `manifest.golden.json` 同
  字段）+ 真 PE 产物（现场构建的 ull.exe 前 1 MiB，理由写在 `PAYLOAD_LIMIT`）。断言覆盖：发现
  新版本（source=file:… / test_source=true / size / notes）、下载 → 双检 → 就位（dest 字节、旧字节
  进备份、暂存无残留）、重复 apply 的幂等终态、篡改 sha256（清单撒谎 / 包体被换）与截断都必须
  拒绝且不动现有安装、修复后能重装。**永远带 `--dest`**：不带会真的改名换掉测试二进制。
- 守门：`packaging/check_test_source_off.py`（stdlib-only）扫 `.github/workflows/**`、
  `packaging/*.py|*.sh` 与各 `Cargo.toml` 的 `default`，任何一处打开 feature（或 `--all-features`）
  就红；`--self-test` 注入 5 条真实回归证明每条都会红。CI 挂在 release-guard.yml 两步。

验证（本机）：core update 单测 80 绿 / 带 feature 6 绿；E2E debug 6 绿；
`cargo test --release --features update-test-source` 6 绿（tower 要求 release 档验收）；
`cargo test -p unlucky-cli -p unlucky-presenter` 全绿；守门 self-test + 正式扫描绿（真注入后红）。

已知没验：真 GitHub Release 下载、GUI 点击与重启替换（人工）；跨卷替换（另开 finding）。
 2026-11-08 11:12:10 +08:00
AskaEth 1d2e84ed61 fix(m163): push tag 默认建稳定版（发布标记语义 + 0.2.3 bump） 
发布标记：`release.yml` 的 dispatch `prerelease` 默认值 true → false；`release-publish.yml`
的 create 路径不再塞 `--prerelease`（空串 = push tag ⇒ 稳定版），edit 路径行为不变（空串不碰
标记）。三种触发各创建什么改由 `packaging/release_marker.py` 一张表定义，流水线
`--emit-bash` 出来两个数组直接用，自己不再写 case——v0.2.2 至今 `releases/latest` 404 的根因
就是「push 默认 prerelease」这层叠上「dispatch 默认 true」。

守门：新增 `packaging/check_release_semantics.py`（CI 在 `.github/workflows/release-guard.yml`，
guards.yml 已 398 行不能再挂 job）：①标记表逐条对（push tag 的 create 不含 --prerelease）；
②把 `--emit-bash` 真灌进 bash 读回两个数组；③publish 的可执行内容里没有 --prerelease 字面量、
必须调用 emit-bash、两个数组各喂 create/edit；④release.yml 的 dispatch 默认值 == false（读
YAML 结构）。`--self-mutation` 注入三项真实回归（默认值改回 true / 塞回字面量 / 表里 push
改成预发布），断言每项都红、基线绿。

版本：0.2.2 → 0.2.3（workspace `[workspace.package]` + 五处 path 依赖 pin + Cargo.lock）。

文档：README 中英两版版本行改 0.2.3，并把本阶段能力补进现有章节（Modrinth 匿名在线内容源、
自更新与稳定通道、整合包导入逐文件决策、实例级启动参数），删掉「没有自动更新通道」「导入只有
两份全局策略」两条过期说法；`release-notes.md` 写 0.2.3 的真实更新摘要（保留 {{VERSION}} /
{{SUMS}}）；`packaging/README.md` 与 `docs/build-and-ci.md` 里「push 默认仍 prerelease」的旧口径
全部改掉。
 2026-11-07 18:56:01 +08:00
AskaEth c319f9dbfd fix(m162-rebase): M161 合入后三处越线文件回到 400 行内 
rebase 到 0241f79（M161）之后，两侧各加了几行，这三个文件同时越过 400 行硬线
（guards.yml::file-size 会红）。处理原则：**不删语义、只搬位置**。

- `app-iced/src/pages/content/parts.rs` 410 → **240**：把状态层（loading / empty / failed /
  offline / centered / status_body）搬到新文件 `pages/content/parts/status.rs`（200 行）。
  状态层本来就是「一屏只有一个」的独立东西，拆开后 parts.rs 只剩筛选条、列表、图标与排序文案。
- `presenter/src/dto/events.rs` 402 → **399**：`CoreEvent::ContentDetail` 的文档由 4 行压成 1 行
  （字段说明一个不少，`project` 是请求时选中的 id 这句保留）。
- `presenter/src/state.rs` 404 → **400**：把 `ContentFailed` / `ContentDetail` 两个事件的落地
  搬进 `state/content.rs`（`apply_content_failure` / `apply_content_detail`），state.rs 只剩
  一行投递——与既有的 `apply_content` 同一个形状。

`state/content.rs` 58 → 64（两个新方法），仍在 400 内。语义零改动：只是投递点换文件。
 2026-11-07 17:37:13 +08:00
AskaEth b394316df4 fix(m162-r1): 叶子成因穿出引擎 + 安装路径切 core 在线源 + 详情迟到结果闸门 
P1-1（p1-1items 的根因）：
- download/error.rs：`DownloadError` 增 `leaf: Option<DownloadErrorKind>` 与
  `effective_kind()`；`leaf_of()` 汇总规则只此一处：全 404 ⇒ NotFound、有
  Network/Timeout ⇒ Network、全 5xx ⇒ ServerError、混合按「网络错 > 5xx > 404」
  取最可诊断的那个（**不从 suppressed 文本猜状态码**）。
- download/bytes.rs：候选源循环收集逐源 kind，收尾时把叶子挂到 AllSourcesFailed 上。
- online/transport.rs：`From<DownloadError>` 改用 `effective_kind()`，于是
  NotFound/Server/Integrity 在生产路径可达（项目被删/id 拼错/限速不再画成「未联网」）。
- import/fetch.rs：新增 `FetchErrorKind::Offline`（真正的「没联网」）并与 Network 分开；
  `From<DownloadError>`/`From<OnlineError>` 都按叶子/大类映射。
- import/complete.rs：补全只在 `Offline` 时早停；404（真实 mrpack 大多托管在 CF CDN，
  Modrinth 必然 404）与 5xx 只影响那一条，不再掐掉整轮；注记「因未联网提前停止」因此
  只会在真断网时出现。

P2-1：presenter 安装路径不再自己拼 Modrinth URL / 自己解析 JSON——改用
`core::addon::online::Modrinth::versions` + `primary_file()` + `VersionFile::sha1/sha512`；
`HostTask::InstallDone.result` 改成 `Result<String, ContentFailure>`，
`InstallProgressView` 增 `failure_kind`（离线 ≠ 查无此项）。

P2-2：`app/update/content.rs` 把被详情方法抢走的「装入闸门」注释还回
`content_install_request`，详情方法只留自己那一行。

P2-3：`ContentState::apply_detail/fail_detail` 带上 project（事件与 HostTask 都携带请求时的
项目 id），迟到结果一律丢弃；`request_detail` 记下在飞项目，`detail_pending` 不再被迟到
结果清掉。

顺手项：`usable_hash` 让形状非法的那一档摘要被**丢弃**（sha512 仍校验，不再整条跳过；
两档都不可用才拒绝）；`digest_file` 的 IO 失败先删落盘文件再返回。i18n 的
ContentOfflineBody 改成不暗示「有缓存」的措辞（golden 同步）。

用例：download/error.rs 叶子四档 + effective_kind；online/tests/classify.rs 5 条
（AllSourcesFailed+leaf 404 ⇒ NotFound、无叶子 ⇒ NotConnected 保守、叶子一一映射、
单源自身 kind、导入侧 404≠Offline）；import_online 增「404 不停」「真离线才停」
（共 7 条）；download 增「sha1 形状非法仍用 sha512 校验成功」；presenter 增详情迟到闸门。
 2026-11-07 17:28:36 +08:00
AskaEth 81278f55af feat(m162): Modrinth 在线内容源（匿名）+ 远端条目按 sha512 补全 + 离线态 
core：新增 addon::online —— 按 Modrinth v2 真实形状建模（search facets / project /
project versions / version_file by hash），网络出口只有 Transport 一个 trait，生产实现
EngineTransport 走既有 DownloadEngine::download_bytes（零新依赖）；错误分大类，网络类
失败映射成 NotConnected（= 未联网），不再用空列表冒充「没有结果」。

core：online::download::download_verified —— sha1 交给引擎流式校验、sha512 落盘后复核
（download::HashAlgo 没有 Sha512，改它超出 scope，已登记 finding），不符/失败删文件重试，
最多 3 次尝试且不留半截文件。

core：远端条目补全 —— PackFetcher::modrinth_file_by_sha512（默认 Unsupported = 补不出），
import 管线与新增的 scan_pack_online 都会在「有 path 但缺 hashes.sha1」时按 sha512 反查；
补出的 sha1 走 M160 同一套 judge 与合并判定，补不出仍进 unknown_remote 计数（口径未改）。
DownloadEngineFetcher 改用 download_verified，FetchRequest 增 sha512。

presenter：Modrinth 检索/详情改由 core 的 online 客户端提供（不再自己拼 URL、不再读错
date_modified）；ContentFailure{kind} 取代裸字符串，无网 = Offline；新增
ContentDetailRequest/ContentDetail + LoadContentDetail 命令与 CoreEvent::ContentDetail 通道；
预检改走 scan_pack_online；内容库安装也走 download_verified（sha1+sha512）。

app-iced：Status::Offline 独立一态（未联网 ≠ 空列表 ≠ 普通失败），详情面板消费新 DTO
显示可用版本；选中项目即拉详情。i18n 新增 6 个键并同步金表。

测试：online 模块 24 个离线用例（录制 JSON + 假字节：搜索/详情/版本/按摘要反查/校验失败
即删/重试/离线分类/补全），import 侧 6 个（离线计数不变、补全后判冲突、补错摘要 ⇒ Failed），
presenter/app-iced 各补失败分类与详情状态机用例。
 2026-11-07 17:28:36 +08:00
AskaEth 79b796fd58 fix(m161-r1): 崩溃/静默失败不再冒充「启动进程失败」；补三处假绿的守卫 
复审 P1-1（用户可见假文案）：`LaunchEnd` 在 `failure == None`（跑起来之后崩的）时
临时造了 `Stage::Spawn + format!("exit {:?}")`，于是磁贴写「启动失败 · 启动游戏进程」、
详情页漏出 `exit Some(1)`、静默失败丢掉「exit 0 却没起来」，而同一时刻 Toast 说「崩溃」。
- 新增 `LaunchFailureCause{Stage|Crashed|SilentFailure}`（dto/launch_failure.rs），
  `LaunchFailureCause::of(outcome, failure, exit_code)` 是唯一组装点；`InstanceRuntime::Failed{cause}`。
  `LaunchFailureStage` 保持「只装装配阶段」（文档那句「崩溃是结局不是阶段」现在成立）。
- 界面：`InstancesFailed`（框架）+ `InstancesCrashed` + `InstancesSilentFailed`；
  删掉 `InstancesFailedStage`。退出码按数字出词，不再有 Debug 文本。
- 用例：presenter 断言**枚举变体**（三种形状逐条）、app 断言**具体句子**
  （「不许出现 Some(」「进程起来了不许说启动游戏进程」「静默失败要点出没起来」）。
  mock 夹具与 launch_state_tests 的期望值同步；launch-error 三张图重拍。

复审 P2-1（`convert::failure_stage` 零覆盖）：新增 `convert/stage_tests.rs` 5 条（三档 +
「既没回滚也没宣称干净」+ 非致命无阶段 + `failed_report_with` ⇒ NotStarted）。
变异实测：改成恒 `RolledBack` ⇒ 3 条红。

复审 P2-2（矮窗口用例的算式三个数全错、`body_height` 零测试）：用例改成直接调
`frame::body_height`，chrome 从 `Ui::metrics` + `WidthClass::gutter` 现取，并把门槛与真实
chrome 绑死（chrome+MIN ⇒ Split、-1px ⇒ ScrollWhole）；新增 `frame` 自己的 `body_height` 用例。
变异实测：`2.0 * gutter` → `gutter` ⇒ 2 条红。

复审 P2-3（源指纹闸门 / `Refused` 零覆盖）：新增两条 core 用例——闸门（原地留着 prefs.json
+ 预先写好的同源收据 ⇒ Nothing 且收据未被重写，反证：源变了允许重放）、`Refused`
（`$schema` 1.7.0 ⇒ ReadOnly ⇒ 不动旧文件、不写收据、理由含「不可写」）。
变异实测：删闸门 ⇒ 1 条红；`can_save` 守卫改 `if false` ⇒ 1 条红。

顺手收：
- CLI `pack import` 那句「已整包回滚」也按三档出词（`RollbackStage` + `rollback_line`），
  加 2 条单测。CLI 不依赖 presenter，判定暂与 presenter 各一份 → 已 file finding 建议下沉 core。
- 设置页 `status_text()` 抽出 applying 档，用例断言「正在安装…」且非错误色。

金表：新 key 加在 `golden.rs`（81 行），未动 `golden/tail.rs`（211 行），避免与 M162 的拆分冲突。
 2026-11-07 17:01:13 +08:00
AskaEth 6804b0ad1d docs(m161): 内容库筛选条「会自动换行」的注释改成如实描述（只改注释，不动行为） 2026-11-07 15:05:31 +08:00
AskaEth 03741ecd2d fix(m161): 收更新键/按钮/矮窗口/启动错误/导入结果五笔债 
① update.auto_check / update.channel 登记进 core setting schema（1.6.0）
   - 新增 setting/keys/update.rs（两键 + UPDATE_CHANNELS，只允许 stable）；
     SettingSchema 加 with_all 供域键表批量登记。
   - 新增 setting/update_prefs.rs：cache/update/prefs.json → launcher.json 的一次性迁移。
     四条硬约束：源指纹闸门（幂等）、不丢 false、新值胜出、旧文件改名 .migrated 后不再被读；
     主配置不可写时不动旧文件。收据 config/update-prefs-migration.json。
   - presenter Runtime 建会话时迁一次并把结局留在 migration()；prefs 字段换成
     auto_check + 每次派发从主配置读 channel（不再硬编码 Channel::Stable）。
     保留旧字段 auto_check 的真实来源（原有测试 cases 会断言）。
   - CLI config get/set/dump 先跑同一次迁移（幂等），输出里给 migration 段与收据路径。

② presenter/dto/events.rs 的「本次会话不再弹提示条」注释改成真实语义
   （记的是版本号：同版本压住、更高版本照弹、手动检查清掉）。

③ 检查/下载进行中按钮禁用：pages/update/busy.rs 的 busy/can_check/can_apply；
   设置页两颗按钮改画禁用（不是消失），app 层 on_update_action 再挡一道
   （忙碌时 CheckNow/Apply 不派发）；新增两条用例（含「忙完恢回可点」）。

④ 内容库低高度：content_layout::MIN_BODY_HEIGHT=460 + BodyMode（按固定件+三整行算出来，
   用例守着算式）；frame::body_height 从 Ui::metrics 算正文可用高，pages::Model 带 window_height。
   ≥460 列表自己滚；<460 主列整列一个滚动条、列表按自然高度铺开。

⑤ 启动错误文案本地化：presenter 删掉 launch_summary / 「启动失败：」前缀 / 五条中文阶段前缀，
   改发 LaunchFailureView{stage,detail}；LaunchFinished 改带 exit_code/uptime_ms/failure，
   Toast 由 app 层按 i18n key 现求（与 install_cancelled 同构）。InstancesFailed 拆成
   InstancesFailedStage（列表单行）+ LaunchStageFailed（详情/Toast 全文）。

⑥ 导入结果块：ImportReportView 加 failure_stage（NotStarted/RolledBack/RollbackIncomplete，
   由 core 的 rollback 机器位推出）；标题、图标、底色三处分档，预检失败不再说「已回滚」。

顺带：六处注释/文档漂移（update.rs 的分工表与偏好落点、pack 的「已整包回滚」、
build_request 的 Errors、settings/update 的按钮禁用说明等），
以及为守 400 行把 update/cli-config/core-keys/presenter-dto/presenter-launch/i18n-golden
里贴线或越线的文件按模块拆开（纯搬移，行为不变）。
 2026-11-07 15:02:13 +08:00
worker-modpackpick d568cc6f37 fix(m160-r1): 预检失败不再静默空转 + 写侧条目数闸 + 判据归一 + 冲突页对齐 
复审 reviewer-modpackpick-r1（p2-1items / fix-then-merge）的返工。

P2-1 预检失败被吞掉（错误呈现回归）
- host::import::spawn_scan 在 `scan.error.is_some()` 时**再发一条 PackEvent::Report**
  （`convert::failed_report_of` 把 core 的 ImportError 含 hint 逐字段搬过去），于是页面回到
  既有的「致命 —— 已回滚」结果块，不再落回入口态。
- convert 里把失败报告的组装收成一处（`failed_report` / `failed_report_of` → `failed_report_with`）。
- 证据：`a_failed_scan_still_reaches_the_screen_as_a_report` 断言**事件序列**
  `["scan-with-error", "report-failed"]` + 报告里 code/message 与预检同源（MultiMC
  `formatVersion: 2`，detect 认得、read 才失败）；`a_clean_scan_does_not_emit_a_report` 是对照。
  变异验证：删掉那条 Report 发送 ⇒ 该用例红。

P3-1 写侧补条目数闸
- `WriteLimits` 增加 `entries`（生产口径 = `PACK_MAX_ENTRIES`）；`preflight` 在**读盘之前**
  按「清单 1 条 + 覆盖文件 N 条」判 `count > limit`。
- 证据：`the_write_side_refuses_a_pack_over_the_unified_entry_count`（20001 条声明只放 1 个
  真文件 ⇒ 报 `pack_limits` 而不是 `pack_io`，即闸在读盘前）、
  `the_entry_count_gate_is_the_same_number_as_the_read_side`（两侧同一个数）。
  变异验证：注释掉 `guard_entries` 调用 ⇒ 前一条红。

P3-2 「内容相同」判据归一
- 删掉 `scan::judge` 里与 `merge::decide` 重复的 `disk.sha1 == pack_sha1` 早退，只留
  `decide().reason?`；两处文档互相指路（`merge.rs` 注明这是唯一判据）。
- 变异验证：把 `decide` 的相同分支改成"冲突" ⇒ **8 条**红（含 4 条 scan 用例与 merge 单测）。

P3-3/P3-4 口径与注释
- `TogglePick` 注释改成与代码一致（保留项留在表里，靠 `decisions()` 过滤）。
- `unknown_remote` 的计数与文案统一：判不了的两种来路（补全前没路径 / 有路径但缺 sha1）都算，
  注记载明两者；新增 `a_remote_entry_with_a_path_but_no_sha1_is_counted_as_unjudgeable`。

视觉（tower 看图给的三条）
- 冲突行两种取值都改成**同几何的 pill**（保留=描边、覆盖=tonal），各自右对齐进同宽度的槽 ⇒
  右边缘同一条线；路径列吃 `Fill` 把槽推到行右缘。
- 列表与动作行之间加 8dp 呼吸；分页行的 Previous/Next 用 `Space::Fill` 顶到右端，
  与内容列对齐（不再是右侧一大片留白）。
- 重新出图：C:/Temp/m160-shots/pick-light.png / pick-dark.png。

顺手
- `format/write.rs` 的单测拆到 `format/write/tests.rs`（纯搬移，守 400 行），并把里面两个
  自己拼 `%TEMP%` 路径的用例改用 `TempRoot`（断言红了也不留垃圾）。
- `import_decisions.rs` 的夹具拆到 `tests/decisions_support.rs`（纯搬移，守 400 行）。

证据：fmt 干净、clippy -D warnings 干净、`cargo test --workspace --all-targets -j 4`
= 2512 passed / 0 failed / **4 ignored**（51 个 test binary）；跑前/跑后 `%TEMP%` 的
`ull-pack-*` 计数 1922→1922、`ull-pack-*-zip64-*` 0→0、`ull-import-*` 1360→1360（增量 0），
df 106G→106G 余量不变。
 2026-11-07 13:52:44 +08:00
worker-modpackpick 4defc41e8d feat(m160): 整合包逐文件覆盖/保留决策 + 导入前冲突清单 + 限额口径统一 
主任务（逐文件覆盖/保留）
- core: 新增 import/scan.rs —— 只读预检产出「冲突清单」（目标已存在且 SHA-1 不同才进），
  逐条给路径/来源/两侧体积与哈希；用户删过的、内容相同的、被叠层遮蔽的一律不打扰。
- core: 新增 import/decision.rs —— ConflictDecisions（整批档 + 逐项表，逐项优先），
  缺省档恒为 KeepUser；ImportRequest.conflict_policy 改由它承载，CLI 调用点不变。
- core: phase.rs 的 settle 按 path 取决策；非冲突路径不受决策影响。
- presenter: ImportScanView / ImportConflictView / ConflictDecisionsView（全部保留 /
  全部覆盖 / 逐项{default,items}）+ PackCommand::Scan / PackEvent::Scan；host 新增只读
  spawn_scan，且新实例路径不再提前建目录（target_of 只算路径，prepare_target 才建）。
- app-iced: 导入前冲突清单页（分页 40 条/页、三入口、计数摘要、确认/取消、两行式行布局）；
  预检干净时直接往下导，不打扰用户。出图见 C:/Temp/m160-shots/{pick-light,pick-dark}.png。
- i18n: 新增 18 条 en/zh 文案 + 更新「两者都留」那条口径说明。

限额口径统一
- pack/archive/limits.rs 成为唯一来源：PACK_MAX_ENTRIES/UNCOMPRESSED_BYTES/ENTRY_BYTES
  （20k / 512 MiB / 64 MiB）；读侧 PackLimits::default 与写侧 WriteLimits::production 同源。
- 写侧不再直接用 zip::ZIP64_BYTES_THR；新增单条目闸，于是「能导出的包一定能导入」。
  不等式在 pack/tests/limits.rs 里用 const 断言钉死。

测试临时物泄漏（塔台追加项）
- addon/temp.rs：TempRoot —— Drop 即删（panic 展开同样删），Deref/AsRef 到落点路径，
  under()/at() 支持"子树落点、删父根"。形状照 core::update::tests::support::TempDir。
- addon::pack 与 addon::tests 两族全部改用 TempRoot（含 fixtures::Fixture 持守卫、
  multimc/fabric_instance 等返回守卫）；4 GiB 稀疏文件的语义一字未改，只改"谁负责删"。
- 自证：pack/tests/mod.rs 三条用例（drop 删 / panic 也删 / 子树删父根）。

测试
- import_decisions.rs（11 例）：预检清单、不打扰、逐项决策后的最终文件集、基线记包内哈希。
- roundtrip_three.rs（2 例）：叠层 + 冲突夹具 import→export→import 三轮文件集逐字节一致，
  以及「选保留就按设计分叉」的反向证据。
- pack/tests/limits.rs（5 例）：单条/总量边界、读侧用同一批常量、写出即可读回。

证据：cargo fmt --check 干净；cargo clippy --workspace --all-targets -D warnings 干净；
cargo test --workspace --all-targets -j 4 → 2507 passed / 0 failed（51 个 test binary）。
 2026-11-07 13:52:43 +08:00