Merge branch 'feat/m160-modpackpick-per-file-overwrite-deci'

复审 reviewer-modpackpick-r1（p2-1items / fix-then-merge）的返工。

P2-1 预检失败被吞掉（错误呈现回归）
- host::import::spawn_scan 在 `scan.error.is_some()` 时**再发一条 PackEvent::Report**
  （`convert::failed_report_of` 把 core 的 ImportError 含 hint 逐字段搬过去），于是页面回到
  既有的「致命 —— 已回滚」结果块，不再落回入口态。
- convert 里把失败报告的组装收成一处（`failed_report` / `failed_report_of` → `failed_report_with`）。
- 证据：`a_failed_scan_still_reaches_the_screen_as_a_report` 断言**事件序列**
  `["scan-with-error", "report-failed"]` + 报告里 code/message 与预检同源（MultiMC
  `formatVersion: 2`，detect 认得、read 才失败）；`a_clean_scan_does_not_emit_a_report` 是对照。
  变异验证：删掉那条 Report 发送 ⇒ 该用例红。

P3-1 写侧补条目数闸
- `WriteLimits` 增加 `entries`（生产口径 = `PACK_MAX_ENTRIES`）；`preflight` 在**读盘之前**
  按「清单 1 条 + 覆盖文件 N 条」判 `count > limit`。
- 证据：`the_write_side_refuses_a_pack_over_the_unified_entry_count`（20001 条声明只放 1 个
  真文件 ⇒ 报 `pack_limits` 而不是 `pack_io`，即闸在读盘前）、
  `the_entry_count_gate_is_the_same_number_as_the_read_side`（两侧同一个数）。
  变异验证：注释掉 `guard_entries` 调用 ⇒ 前一条红。

P3-2 「内容相同」判据归一
- 删掉 `scan::judge` 里与 `merge::decide` 重复的 `disk.sha1 == pack_sha1` 早退，只留
  `decide().reason?`；两处文档互相指路（`merge.rs` 注明这是唯一判据）。
- 变异验证：把 `decide` 的相同分支改成"冲突" ⇒ **8 条**红（含 4 条 scan 用例与 merge 单测）。

P3-3/P3-4 口径与注释
- `TogglePick` 注释改成与代码一致（保留项留在表里，靠 `decisions()` 过滤）。
- `unknown_remote` 的计数与文案统一：判不了的两种来路（补全前没路径 / 有路径但缺 sha1）都算，
  注记载明两者；新增 `a_remote_entry_with_a_path_but_no_sha1_is_counted_as_unjudgeable`。

视觉（tower 看图给的三条）
- 冲突行两种取值都改成**同几何的 pill**（保留=描边、覆盖=tonal），各自右对齐进同宽度的槽 ⇒
  右边缘同一条线；路径列吃 `Fill` 把槽推到行右缘。
- 列表与动作行之间加 8dp 呼吸；分页行的 Previous/Next 用 `Space::Fill` 顶到右端，
  与内容列对齐（不再是右侧一大片留白）。
- 重新出图：C:/Temp/m160-shots/pick-light.png / pick-dark.png。

顺手
- `format/write.rs` 的单测拆到 `format/write/tests.rs`（纯搬移，守 400 行），并把里面两个
  自己拼 `%TEMP%` 路径的用例改用 `TempRoot`（断言红了也不留垃圾）。
- `import_decisions.rs` 的夹具拆到 `tests/decisions_support.rs`（纯搬移，守 400 行）。

证据：fmt 干净、clippy -D warnings 干净、`cargo test --workspace --all-targets -j 4`
= 2512 passed / 0 failed / **4 ignored**（51 个 test binary）；跑前/跑后 `%TEMP%` 的
`ull-pack-*` 计数 1922→1922、`ull-pack-*-zip64-*` 0→0、`ull-import-*` 1360→1360（增量 0），
df 106G→106G 余量不变。

.github/workflows/ci.yml

@@ -3,6 +3,12 @@ name: CI
 # 主干门禁：fmt / clippy / test / build 双平台矩阵。
 # 架构守门（core 零 UI、文件 ≤400 行、依赖许可）见 guards.yml。
 # 平台基线 Win10+（标准工具链产物），平台矩阵见 AGENTS.md §7。
+#
+# M118（D26）：根 Cargo.toml 已 `exclude = ["crates/app"]`（Slint 退役树，源码原样保留）。
+# 所以本文件里所有 `--workspace` 都**不再**覆盖 `unlucky-app`：CI 不再编 slint 1.18 + usvg 0.48
+# 那棵依赖树（本机单路冷编 ≈14 分钟；并行超配时表现为 `rustc` 退 1 且零诊断，
+# 见 DevDocs/00-踩坑记录-p2.md T7）。历史实现只作源码参考，**没有构建方式**（见 README：
+# 它的 manifest 整份是 workspace 继承写法，离开 workspace 后连解析都过不了）。
 
 on:
   push:
@@ -38,7 +44,7 @@ jobs:
     runs-on: ${{ matrix.os }}
     steps:
       - uses: actions/checkout@v4
-      - name: Linux 图形栈构建依赖（winit / femtovg 编译期需要）
+      - name: Linux 图形栈构建依赖（winit / wgpu 编译期需要）
         if: runner.os == 'Linux'
         run: |
           sudo apt-get update
@@ -49,6 +55,8 @@ jobs:
         with:
           components: clippy
       - uses: Swatinem/rust-cache@v2
+      # `--workspace` 现在是 8 个 crate，不含 `unlucky-app`（M118 的 workspace exclude），
+      # 所以这条命令不会拉起 slint / usvg / i-slint-*。
       - run: cargo clippy --workspace --all-targets -- -D warnings
 
   test:
@@ -69,7 +77,110 @@ jobs:
             libwayland-dev libxcb1-dev
       - uses: dtolnay/rust-toolchain@stable
       - uses: Swatinem/rust-cache@v2
-      - run: cargo test --workspace --all-targets
+      # ---- 下载页选项区的四条像素守门（M127）：先出图，再把路径喂给 `--lib` ----
+      # 之前这四条靠开发者本机手动设 `ULL_DL_*_SHOT`（不设就 SKIP），而本文件里 grep 这些
+      # 变量零命中 ⇒ **CI 里一次都没跑过**。空跑的守门长期等于没有，所以这两步是它们的第一处
+      # 常驻调用点。（另有一道保险：变量缺失且 `CI` 已设置时，守门自己会失败而不是跳过。
+      # 于是将来谁把下面出图那步重构掉，构建会红。）
+      #
+      # **为什么只在 Windows**：断言里有几条直接量墨迹（行高 44、版本号墨迹条数、图标药丸
+      # 40×40），这些数字按本仓字体栈（Segoe UI / Consolas）标定；Linux/macOS runner 上
+      # 这套字体不存在，回退字体的字高与行距一变就是假红。同一条限制也写在
+      # `crates/app-iced/src/pages/download/tests/options_shot/feed.rs` 的模块文档里
+      # （非 Windows 喂了图会当场失败），不靠「碰巧只配了一处」。
+      - name: 出四张像素守门用的图并写进 $GITHUB_ENV（仅 Windows）
+        if: runner.os == 'Windows'
+        shell: bash
+        run: |
+          set -euo pipefail
+          shots="$RUNNER_TEMP/dl-shots"
+          mkdir -p "$shots"
+          render() {  # $1=宽 $2=文件名
+            cargo run -q -p unlucky-app-iced --example pages_demo -- --screen=download \
+              --width="$1" --height=760 --screenshot="$shots/$2" \
+              --screenshot-theme=light --software-renderer
+          }
+          # ready700：**不设** ULL_DL_DEMO（缺省就是 ready，还没选版本）
+          render 700 ready700.png
+          export ULL_DL_DEMO=options-fabric  # 其余三张都是「选中版本 + 选项区展开」
+          render 700 chips700.png
+          render 736 compact736.png
+          render 1180 wide1180.png
+          for shot in ready700 chips700 compact736 wide1180; do
+            test -s "$shots/$shot.png" || { echo "::error::$shot.png 没出图"; exit 1; }
+          done
+          ls -l "$shots"
+          {
+            echo "ULL_DL_READY_SHOT=$shots/ready700.png"
+            echo "ULL_DL_CHIPS_SHOT=$shots/chips700.png"
+            echo "ULL_DL_COMPACT_SHOT=$shots/compact736.png"
+            echo "ULL_DL_OPTIONS_SHOT=$shots/wide1180.png"
+          } >> "$GITHUB_ENV"
+      # 单独跑一遍只为**取证**：日志里那行 `test result: ok. 4 passed` 是「守门真跑了」的
+      # 直接证据（紧接着的 `--workspace` 那步会再跑一遍，热的，代价可忽略）。
+      - name: 四条像素守门（已喂图，仅 Windows）
+        if: runner.os == 'Windows'
+        run: cargo test -p unlucky-app-iced --lib options_shot
+      # 断言红的时候要先看到那张图（否则「像素不对」只有一句话，没有现场）。
+      - name: 上传喂进守门的四张图（失败也传）
+        if: always() && runner.os == 'Windows'
+        uses: actions/upload-artifact@v4
+        with:
+          name: dl-shots
+          path: ${{ runner.temp }}/dl-shots/
+          if-no-files-found: warn
+      # 同 clippy：`--workspace` 不含 `unlucky-app`（M118），Slint 退役树不再被 `--all-targets` 拉起。
+      # 也因此**不要**再写 `--exclude unlucky-app`：它已不是成员，那面旗子只会打一条
+      # `excluded package(s) … not found in workspace` 的警告然后空转（实测 exit 0，不报错）。
+      #
+      # ---- 取证（M147）：下面是同一件事的两个平台版本，不是两条不同的测试 ----
+      # M144 的三条红里两条已在 docker 里定位到行，第三条 `test (windows)` 在 run 里只留下
+      # `Process completed with exit code 1`——而 cargo 自己的失败码是 **101**，所以那个 1 的
+      # 来源不明（包装层洗码 / 进程被杀，两说都未排除）。job log 要登录才能读（匿名 403），
+      # 但**注解匿名可读**（`GET /check-runs/<id>/annotations` → 200，M144 实证）。所以这三件
+      # 事各自对准一种「看不见」：
+      #   1) `--no-fail-fast`：cargo 默认在第一个失败的 target 就停（M144 实测 Linux 只跑了
+      #      7 个 test binary 就退出），后面还有没有第二条失败完全看不到；
+      #   2) 把 `error` / `failures:` / panicked 行升成 `::error::` 注解：拿不到 job log 时，
+      #      注解是匿名侧唯一能取到的失败正文；
+      #   3) 显式打印 cargo 的退出码：把「包装层把码洗成 1」「cargo 真失败（101）」「进程被杀
+      #      只给码、零诊断」三种情形分开——这正是 M144 没定的那一半。
+      - name: cargo test --workspace --all-targets（ubuntu，失败升注解）
+        if: runner.os == 'Linux'
+        run: |
+          log="$RUNNER_TEMP/cargo-test.log"
+          # 默认 shell 带 `-e` + `pipefail`：管道里 cargo 一失败就会在 tee 之后立刻退出，
+          # 下面三行永远跑不到。所以这段先关 `-e`，自己取 `PIPESTATUS[0]`（cargo 的码，
+          # 不是 tee 的码）。
+          set +e
+          cargo test --workspace --all-targets --no-fail-fast 2>&1 | tee "$log"
+          code=${PIPESTATUS[0]}
+          set -e
+          echo "cargo exit=$code"
+          if [ "$code" -ne 0 ]; then
+            # `%` 是 workflow command 的保留字符，要转成 `%25`，否则注解正文会被截断。
+            grep -E '^(error(\[E[0-9]+\])?:|failures:|test result: FAILED|thread .* panicked at| *--> )' "$log" \
+              | head -40 | sed 's/%/%25/g; s/^/::error::/' || true
+          fi
+          exit "$code"
+      - name: cargo test --workspace --all-targets（windows，失败升注解）
+        if: runner.os == 'Windows'
+        shell: pwsh
+        run: |
+          # pwsh 没有 PIPESTATUS（那是 bash 语法）：拿 `$LASTEXITCODE` —— Tee-Object 是 cmdlet，
+          # 不会把它改掉，所以它是 cargo 自己的码。
+          $log = Join-Path $env:RUNNER_TEMP 'cargo-test.log'
+          cargo test --workspace --all-targets --no-fail-fast 2>&1 | Tee-Object -FilePath $log
+          $code = $LASTEXITCODE
+          Write-Host "cargo exit=$code"
+          if ($code -ne 0) {
+            # 正则不锚 `error:` 那一支：pwsh 把原生 stderr 折成 ErrorRecord 后行首可能多一截前缀，
+            # 锚死会漏行；`%` 是 workflow command 的保留字符，转成 `%25`。
+            Select-String -Path $log -Pattern '(error(\[E\d+\])?:|^failures:|test result: FAILED|thread .* panicked at|^\s+--> )' |
+              Select-Object -First 40 |
+              ForEach-Object { Write-Host "::error::$($_.Line.Replace('%', '%25'))" }
+          }
+          exit $code
 
   build:
     name: build release (${{ matrix.os }})
@@ -89,14 +200,19 @@ jobs:
             libwayland-dev libxcb1-dev
       - uses: dtolnay/rust-toolchain@stable
       - uses: Swatinem/rust-cache@v2
+      # 同上：`--workspace` 不含 `unlucky-app`（M118）。被摘掉的正是 release 档
+      # （lto=fat + codegen-units=1）最贵的那棵 slint + usvg 树。
       - run: cargo build --workspace --release
 
   # 运行时冒烟（M62）：Linux 上**真渲染一帧**，补上「能编译 ≠ 能跑」的空白。
   # 上面四个 job 都只证明代码编得过、测得过，从不创建真实图形窗口；本 job 在 Xvfb 虚拟显示里
-  # 启动 GUI 进程，让 Slint 软件渲染器把当前场景渲进内存像素缓冲并编码成 PNG，再对**像素本身**
+  # 启动 GUI 进程，让软件渲染器把当前场景渲进内存像素缓冲并编码成 PNG，再对**像素本身**
   # 断言（不是只看退出码：窗口起来了但一帧空白同样是「退出码 0」）。
   # 诚实边界：证明「Linux 上真能跑出非空白的一帧」，**不**证明视觉正确——视觉靠人眼看 artifact。
-  # 本 job 绑死 Slint Window::take_snapshot；迁 iced 后必须提供等价的离屏截图通道，否则本 job 静默退化成「能起进程」。
+  # M118（D26）：这里原本绑死 Slint 的 `Window::take_snapshot`，打的是 Slint 版 bin
+  # `unlucky-launcher`；`crates/app` 退出 workspace 后那个 bin 不再存在，改用 iced 版
+  # `unlucky-launcher-iced` 自带的 `--screenshot` 通道（`crates/app-iced/src/shot/`）。
+  # 命令行参数刻意不动：iced 的 `cli.rs` 就是照 Slint 版的口径写的，`--data-dir` 也仍被接受（忽略）。
   runtime-smoke:
     name: runtime smoke (ubuntu x64, xvfb)
     runs-on: ubuntu-latest
@@ -116,13 +232,14 @@ jobs:
       - uses: Swatinem/rust-cache@v2
       # 用 debug 而不是 release：本 job 验的是「运行时渲染通路能通」，不是优化后二进制的行为；
       # release 的 lto="fat" + codegen-units=1 会把这一步拖到十几分钟却不带来额外证据。
-      - run: cargo build --bin unlucky-launcher --locked
+      # M118：bin 从 Slint 版 `unlucky-launcher` 换成 iced 版（见上方 job 注释）。
+      - run: cargo build --bin unlucky-launcher-iced --locked
       - name: 在 Xvfb 里跑一帧并截图（退出码非 0 即失败）
         run: |
           set -o pipefail  # 当前没有管道（死行），保留是为将来加管道时先有失败传播
           mkdir -p "$RUNNER_TEMP/smoke/data"
           xvfb-run -a --server-args="-screen 0 1280x1024x24" \
-            target/debug/unlucky-launcher --software-renderer \
+            target/debug/unlucky-launcher-iced --software-renderer \
             --screenshot "$RUNNER_TEMP/smoke/runtime-smoke.png" \
             --data-dir "$RUNNER_TEMP/smoke/data"
       - name: 断言 PNG 存在且非空白（尺寸 / 唯一色数 / 亮度σ / 强边缘占比）
@@ -137,10 +254,11 @@ jobs:
 
   # macOS 槽位探针（M62）：**默认不在 PR 上跑**，只有手动 dispatch 才触发。
   # 之所以是探针而不是常驻槽位：官方 macOS runner 处于 LaunchDaemon 上下文，没有登录的
-  # WindowServer 会话，Slint 的 winit backend 创建窗口大概率直接失败；而 worker 禁 push，
+  # WindowServer 会话，GUI 的 winit backend 创建窗口大概率直接失败；而 worker 禁 push，
   # 本机也没有 macOS，这条路径**尚无任何实测证据**——不拿未验证的 job 卡住主干门禁。
   # 首跑结论决定去留：绿 → 去掉 if/continue-on-error 升为常驻槽位；红 → 按 D26 归入 iced
   # 重写后再规划，并把错误原文贴进 progress 文档（不静默删 job、不吞失败原因）。
+  # M118：bin 与 Linux 那条一样，从 Slint 版换成 iced 版（`unlucky-launcher-iced`）。
   runtime-smoke-macos:
     name: runtime smoke (macos arm64, probe)
     if: github.event_name == 'workflow_dispatch'
@@ -153,12 +271,12 @@ jobs:
       - uses: actions/checkout@v4
       - uses: dtolnay/rust-toolchain@stable
       - uses: Swatinem/rust-cache@v2
-      - run: cargo build --bin unlucky-launcher --locked
+      - run: cargo build --bin unlucky-launcher-iced --locked
       - name: 尝试截图（macOS 没有 X 服务器，直接跑；失败即为结论）
         run: |
           set -o pipefail  # 当前没有管道（死行），保留是为将来加管道时先有失败传播
           mkdir -p "$RUNNER_TEMP/smoke/data"
-          target/debug/unlucky-launcher --software-renderer \
+          target/debug/unlucky-launcher-iced --software-renderer \
             --screenshot "$RUNNER_TEMP/smoke/runtime-smoke.png" \
             --data-dir "$RUNNER_TEMP/smoke/data"
       - name: 断言 PNG 存在且非空白

.github/workflows/dev-guards.yml

@@ -0,0 +1,125 @@
+name: Dev Guards
+
+# 日常线门禁（M133）。
+#
+# 为什么需要这个文件：本仓日常开发线是 `dev`，日常合并**不走 PR**（见 DevDocs/AGENTS.md §8 双仓纪律：
+# Gitea `dev` = 日常线）。而 ci.yml 与 guards.yml 只挂在 `push: branches: [main]` + `pull_request` 上
+# ⇒ fmt / clippy / 文件行数≤400 / 三条零依赖守门在**日常线上一次都没跑过**。第一个可见后果：
+# `packaging/README.md` 涨到 401 行、超全仓红线无人拦，直到文档普查才被发现（M131 才修回 398）。
+# 「门禁存在但日常线上永不运行」= 空跑的门禁，长期等于没有。
+#
+# 口径：**只补「快、且坏了会静默腐化」的那几道**，且不复制守门脚本：
+#   - `guards` 作业直接 `uses: ./.github/workflows/guards.yml` —— 六道守门（core-no-ui /
+#     presenter-no-ui / design-zero-dep / unsafe-scope / file-size / licenses）跑的是与 main 同一份脚本，
+#     dev 与 main 的判据永远同源。main / PR / dispatch 的触发与作业一个字没动。
+#   - `fmt` / `clippy` 在本文件里各写一份：ci.yml 的作业背后挂着 build / test / runtime-smoke 整条矩阵，
+#     整份复用等于把 dev 的成本翻倍；这两条命令与 ci.yml 逐字一致，方便对照与同步。
+#
+# 刻意**不上** dev 的（判断依据见 M133 报告，这里只记结论）：
+#   - 全量 `cargo test`：`clippy --all-targets` 已经把测试**代码**类型检查过一遍（「测试编译不过了」
+#     这类静默腐化会被它抓到），而「断言暂时红了」在施工中间态是常态、不是腐化；test 是 2 个 OS ×
+#     全量编译+运行，留给 main 与发布前的最终门更划算。
+#   - build release / runtime-smoke：它们是「能不能发」的门，dev 每次 push 跑一遍换不到新信息。
+#
+# 成本控制（dev push 很频繁，这是硬要求）：
+#   1. `concurrency` 取消**同一个 ref** 上的旧运行：连推三次只留最后一次，被取消的旧运行基本不计费。
+#   2. clippy 只在「这次推送碰过 Rust 侧文件」时跑：只改文档（*.md / LICENSE / NOTICE / .gitignore）
+#      的推送跳过编译。判据**保守**——非 push、base 不可解析（force-push / 首次推送）、diff 取不到、
+#      出现任何不在白名单里的路径，一律照跑：宁可多跑一次，不许假绿。
+#   刻意**不**用 `on.push.paths` 过滤整个工作流：file-size 正是要在「只改文档」的推送里跑的那道门
+#   （README 401 行就是这么漏的），整条过滤掉等于自废武功。
+
+on:
+  push:
+    branches: [dev]
+  workflow_dispatch:
+
+env:
+  CARGO_TERM_COLOR: always
+  RUST_BACKTRACE: 1
+
+concurrency:
+  group: dev-guards-${{ github.ref }}
+  cancel-in-progress: true
+
+jobs:
+  # 六道守门原样来自 guards.yml（那边加了 `workflow_call:` 触发，纯新增）。本文件不重写它们的脚本：
+  # unsafe-scope 的词法器一旦有第二份副本，就会出现「dev 绿、main 红」的双真相。
+  guards:
+    name: 架构与合规守门（同 main 口径）
+    uses: ./.github/workflows/guards.yml
+
+  fmt:
+    name: fmt (rustfmt --check)
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: dtolnay/rust-toolchain@stable
+        with:
+          components: rustfmt
+      - run: cargo fmt --all --check
+
+  # 只跑 ubuntu：clippy 的判据是类型层 lint，跨平台差异极少（Windows 专属行为由 main/PR 上的
+  # windows-latest 槽位与 test 里的像素守门兜）；两个 OS 都上会把 dev 的编译成本直接翻倍。
+  clippy:
+    name: clippy (ubuntu)
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          # 要 diff 出「这次推了哪些文件」就得有 base commit；浅 clone 会让下面的判据退化成
+          # 「一律照跑」（保守，但不再省成本），所以这里取全历史。
+          fetch-depth: 0
+      - name: 本次推送是否碰过 Rust 侧文件（只碰文档则跳过编译）
+        id: scope
+        env:
+          EVENT: ${{ github.event_name }}
+          BEFORE: ${{ github.event.before }}
+          SHA: ${{ github.sha }}
+        run: |
+          set -uo pipefail
+          run=yes
+          note="照跑：默认（未进入可判定的 push 分支）"
+          if [ "$EVENT" != "push" ]; then
+            note="照跑：非 push 事件（手动 dispatch）没有可信 diff"
+          elif [ -z "${BEFORE:-}" ] || [ "$BEFORE" = "0000000000000000000000000000000000000000" ]; then
+            note="照跑：base 为首次推送（before 全 0）"
+          elif ! git rev-parse --verify -q "${BEFORE}^{commit}" >/dev/null 2>&1; then
+            note="照跑：base commit 不可解析（force-push / 历史被改写）"
+          else
+            changed=$(git diff --name-only "$BEFORE" "$SHA" 2>/dev/null || true)
+            if [ -z "$changed" ]; then
+              note="照跑：diff 为空（可能是增量不可得）"
+            else
+              # 白名单判定：只有「全部改动都落在这些非 Rust 路径上」才跳过编译。
+              # 反向写法（黑名单 .rs）更省事，但漏一个路径就等于漏一次编译检查。
+              others=$(printf '%s\n' "$changed" \
+                | grep -vE '\.md$' \
+                | grep -vxE 'LICENSE|NOTICE|\.gitignore' || true)
+              if [ -z "$others" ]; then
+                run=no
+                note="跳过：本次只碰文档类路径 —— $(printf '%s ' $changed)"
+              else
+                note="照跑：本次改动了非文档路径 —— $(printf '%s ' $others)"
+              fi
+            fi
+          fi
+          echo "$note"
+          echo "run=$run" >> "$GITHUB_OUTPUT"
+      - name: Linux 图形栈构建依赖（winit / wgpu 编译期需要）
+        if: steps.scope.outputs.run == 'yes'
+        run: |
+          sudo apt-get update
+          sudo apt-get install -y --no-install-recommends \
+            libxkbcommon-dev libfontconfig1-dev libgl1-mesa-dev libegl1-mesa-dev \
+            libwayland-dev libxcb1-dev
+      - uses: dtolnay/rust-toolchain@stable
+        if: steps.scope.outputs.run == 'yes'
+        with:
+          components: clippy
+      - uses: Swatinem/rust-cache@v2
+        if: steps.scope.outputs.run == 'yes'
+      # 与 ci.yml 的 clippy 作业逐字一致（`--workspace` 不含已退役的 `unlucky-app`，见 M118）。
+      - name: cargo clippy --workspace --all-targets -D warnings
+        if: steps.scope.outputs.run == 'yes'
+        run: cargo clippy --workspace --all-targets -- -D warnings

.github/workflows/guards.yml

@@ -1,15 +1,38 @@
 name: Guards
 
+# ⚠ 本文件所有 `run:` 都在 `bash -e {0}` 下跑（GitHub 未指定 shell 时的默认值），脚本里的
+# `set -uo pipefail` **关不掉 -e**：裸管道 / 裸赋值 `x=$(… | grep …)` 零命中时会把整步静默杀死，
+# 一条 `::error::` 都不打（M142 在 release-build.yml 栽过，M156 在这里补账）。探测一律 `if ! x=$(…)` 或 `$(… || true)`。
+
 # 架构与合规守门（与 fmt/clippy 同级，不允许 continue-on-error）：
-#   1. core-no-ui  —— crates/core 零 UI 依赖（D3 铁律），依赖表 + cargo tree 双查
-#   2. file-size   —— 全仓代码/文档单文件 ≤400 行（用户硬约束）
-#   3. licenses    —— cargo-deny：许可证白名单 + GPL 依赖拦截 + 供应链来源校验
+#   1. core-no-ui      —— crates/core 零 UI 依赖（D3 铁律），依赖表 + cargo tree 双查
+#   2. presenter-no-ui —— crates/presenter 零 UI 依赖（D26 / M85）：Slint 版与 iced 版共用的宿主层
+#   3. design-zero-dep —— crates/design 零第三方依赖（M61 / M87）：依赖表（含 dev/build）必须为空 + 依赖树只允许出现自身
+#   4. file-size       —— 全仓代码/文档单文件 ≤400 行（用户硬约束）
+#   5. licenses        —— cargo-deny：许可证白名单 + GPL 依赖拦截 + 供应链来源校验
+#   6. unsafe-scope    —— 全仓 `allow(unsafe_code)` 的文件集合必须恰好只有一个（D36 / M91）
+#
+# M118（D26）：根 Cargo.toml 已 `exclude = ["crates/app"]`（Slint 退役树）。逐条核对过本文件，
+# **没有**任何一条守卫以 `--workspace` 为前提，所以排除不会让它们空转：
+#   ① core-no-ui / presenter-no-ui / design-zero-dep —— 「manifest 文本 + `cargo tree -p <crate>`」
+#      口径，被守的 crate 仍是 workspace 成员，依赖树与排除前逐行一致；
+#   ② file-size / unsafe-scope —— 走 `git ls-files` / `git grep`，与构建图无关，**仍然覆盖
+#      `crates/app/**`**（源码还在仓库里，就还得守它的行数与 unsafe 落点）；
+#   ③ licenses —— 唯一走 workspace 依赖图的守卫。排除后 Slint 那棵树不再进图（实测 `cargo deny
+#      list` 里 `slint*` / `i-slint-*` 为 0 个），这与「不再随任何产物发布」一致；代价是它的许可证
+#      不再被本门禁审 —— 真要重新纳入发布，得先把它加回 workspace，门禁随之恢复。
 
 on:
   push:
     branches: [main]
   pull_request:
   workflow_dispatch:
+  # M133：日常线 `dev` 复用**同一份**守门脚本（`.github/workflows/dev-guards.yml` 里
+  # `uses: ./.github/workflows/guards.yml`）。这是**纯新增的触发方式**：上面三条与下面全部作业
+  # 一字未动，main / PR / dispatch 的触发与判据与加这行之前逐字相同。
+  # 为什么复用而不是复制：判据只能有一份。两份 unsafe 词法器（110 行状态机）各自演进，迟早出现
+  # 「dev 绿、main 红」的双真相，那时 dev 门禁就变成了装饰品。
+  workflow_call:
 
 env:
   CARGO_TERM_COLOR: always
@@ -35,7 +58,11 @@ jobs:
         run: |
           set -uo pipefail
           forbidden='slint|egui|eframe|iced|winit|gtk|javafx|tauri|fltk|druid|relm'
-          tree=$(cargo tree -p unlucky-core --edges normal --prefix none)
+          # 与下方 presenter / design 的 `if ! tree=$(…)` 对称：cargo tree 自己失败（改名 / 解析失败）时裸赋值会被 -e 静默杀死，只剩 exit code 1 无注解。
+          if ! tree=$(cargo tree -p unlucky-core --edges normal --prefix none); then
+            echo "::error::cargo tree -p unlucky-core 执行失败 —— crate 是否仍叫 unlucky-core？"
+            exit 1
+          fi
           echo "$tree"
           if echo "$tree" | grep -vE '^unlucky-core v' | grep -qiE "$forbidden"; then
             echo "::error::core 的依赖树出现 UI 框架 —— 传递依赖也不允许"
@@ -43,6 +70,285 @@ jobs:
           fi
           echo "OK: unlucky-core 依赖树零 UI"
 
+  # presenter 是 Slint 版（crates/app）与 iced 版（crates/app-iced）共用的唯一业务层（D26）。
+  # 一旦 slint/iced/winit 被拉进来，分层就废了，而编译与单测仍会全绿 —— 所以必须由 CI 守。
+  # M118 之后 Slint 版已被 workspace `exclude`，但本条**照样守得住**：它查的是 presenter 自己的
+  # manifest 与 `cargo tree -p unlucky-presenter`，与「谁在消费 presenter」无关；依赖树里一旦出现
+  # slint/iced/winit 仍会当场红。名单里的 slint 继续留着，就是为了防「把 UI 依赖偷偷塞进宿主层」。
+  # 与 core-no-ui 同样是「依赖表 + cargo tree」双查，名单保持一致；脚本刻意复制而非抽公共脚本，
+  # 理由是 CI 守门脚本自身挂掉的排查成本远高于这几行重复。
+  presenter-no-ui:
+    name: presenter 零 UI 守门
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: dtolnay/rust-toolchain@stable
+      - name: 依赖表直查（crates/presenter/Cargo.toml 的依赖表不得出现 UI 框架）
+        run: |
+          set -uo pipefail
+          forbidden='slint|egui|eframe|iced|winit|gtk|javafx|tauri|fltk|druid|relm'
+          # 与 core-no-ui 的整文件 grep 不同：本 crate 的 description 合法地写着
+          # 「Slint 版与 iced 版共用」，整文件 grep 会把它当越线。所以先按表头切出依赖表
+          # （含 target.*.dependencies 与 dev/build 表），再去掉注释行，只查键名。
+          # 子表写法 `[dependencies.slint]` / `[target.'cfg(windows)'.dependencies.slint]`
+          # 是合法的等长写法，且表头本身带着包名，所以表头也要一并落进检查范围——
+          # 否则「子表 + optional + 非默认 feature」这种组合能同时骗过依赖表与 cargo tree。
+          awk '
+            /^[[:space:]]*\[/ {
+              in_deps = ($0 ~ /^[[:space:]]*\[(target\..*\.)?(dependencies|dev-dependencies|build-dependencies)(\.[^]]*)?\][[:space:]]*$/)
+              if (in_deps && $0 ~ /\.[^]]*\]/) printf "%d:%s\n", NR, $0
+              next
+            }
+            in_deps && !/^[[:space:]]*#/ && !/^[[:space:]]*$/ { printf "%d:%s\n", NR, $0 }
+          ' crates/presenter/Cargo.toml > /tmp/presenter-deps.txt
+          cat /tmp/presenter-deps.txt
+          if grep -iE "$forbidden" /tmp/presenter-deps.txt; then
+            echo "::error file=crates/presenter/Cargo.toml::presenter 不得依赖 UI 框架（D26）。窗口创建 / 渲染 / 图片解码属于 app 与 app-iced 侧；需要跨前端共用的类型请放进 presenter 的 dto。"
+            exit 1
+          fi
+          echo "OK: crates/presenter/Cargo.toml 依赖表无 UI 依赖"
+      - name: 依赖树泄漏检查（cargo tree -p unlucky-presenter，排除自身行）
+        run: |
+          set -uo pipefail
+          forbidden='slint|egui|eframe|iced|winit|gtk|javafx|tauri|fltk|druid|relm'
+          # 注意：cargo tree 命中 UI 框架时**退出码仍是 0**，所以只能抓输出再判断。
+          if ! tree=$(cargo tree -p unlucky-presenter --edges normal --prefix none); then
+            echo "::error::cargo tree -p unlucky-presenter 执行失败 —— crate 是否仍叫 unlucky-presenter？"
+            exit 1
+          fi
+          echo "$tree"
+          # 「零命中」本来就该是绿的正路，但裸赋值会把 grep 的 exit 1 交给 -e（见文件头）：
+          # M156 之前这里每次零命中都整步红且零注解 —— presenter-no-ui 自 M89 引入起从未绿过。
+          hits=$(printf '%s\n' "$tree" | grep -vE '^unlucky-presenter v' | grep -iE "$forbidden" || true)
+          if [ -n "$hits" ]; then
+            echo "::error::presenter 的依赖树出现 UI 框架（传递依赖也不允许），本次命中："
+            printf '%s\n' "$hits" | sed 's/^/  - /'
+            echo "::error::presenter 是 Slint 版与 iced 版共用的宿主层：把窗口 / 渲染 / 图片解码留在 app 侧，presenter 只持有与框架无关的 DTO、状态 reducer 与 host 装配。"
+            exit 1
+          fi
+          echo "OK: unlucky-presenter 依赖树零 UI"
+
+  # unlucky-design 是「纯数据 + 纯函数、零第三方依赖」的设计令牌层，这是 README 明写的卖点
+  # （连 serde 都不加），但目前只靠人肉守。零依赖的判据比 UI 名单更硬：依赖树只允许有自己一行。
+  # 注意 `cargo tree --edges normal` 看不到 dev/build 依赖，所以另设一步按表头切依赖表逐个查空。
+  design-zero-dep:
+    name: design 零第三方依赖守门
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: dtolnay/rust-toolchain@stable
+      - name: 依赖表必须为空（dependencies / dev / build 表一律不许有键，含子表写法）
+        run: |
+          set -uo pipefail
+          # design 承诺的是「零第三方依赖」，不分 normal / dev / build —— 而 cargo tree
+          # --edges normal 对 dev/build 是瞎的。所以先按表头切出全部依赖表（含
+          # `[dependencies.serde]` 这类子表写法，表头本身携带包名），再看是否为空。
+          awk '
+            /^[[:space:]]*\[/ {
+              in_deps = ($0 ~ /^[[:space:]]*\[(target\..*\.)?(dependencies|dev-dependencies|build-dependencies)(\.[^]]*)?\][[:space:]]*$/)
+              if (in_deps && $0 ~ /\.[^]]*\]/) printf "%d:%s\n", NR, $0
+              next
+            }
+            in_deps && !/^[[:space:]]*#/ && !/^[[:space:]]*$/ { printf "%d:%s\n", NR, $0 }
+          ' crates/design/Cargo.toml > /tmp/design-deps.txt
+          if [ -s /tmp/design-deps.txt ]; then
+            cat /tmp/design-deps.txt
+            echo "::error file=crates/design/Cargo.toml::unlucky-design 的依赖表必须为空（normal / dev / build 都算），本次命中："
+            sed 's/^/  - /' /tmp/design-deps.txt
+            echo "::error::design 是纯数据 + 纯函数的设计令牌，README 对外承诺零第三方依赖（连 serde 都不加）：色彩 / 排版 / 形状 / 高程 / 动效请不要引入任何 crate，测试与构建辅助依赖同样不许加。序列化与运行时能力放到消费方（app / app-iced / presenter）。"
+            exit 1
+          fi
+          echo "OK: crates/design/Cargo.toml 依赖表全空（含 dev / build）"
+      - name: 依赖树只允许出现自身（cargo tree -p unlucky-design --edges normal）
+        run: |
+          set -uo pipefail
+          if ! tree=$(cargo tree -p unlucky-design --edges normal --prefix none); then
+            echo "::error::cargo tree -p unlucky-design 执行失败 —— crate 是否仍叫 unlucky-design？"
+            exit 1
+          fi
+          echo "$tree"
+          # 空行不算，剩下的每一行都必须是自己：正常时整个输出只有一行
+          # `unlucky-design v0.1.0 (/path/to/crates/design)`。
+          lines=$(printf '%s\n' "$tree" | grep -cE '[^[:space:]]' || true)
+          others=$(printf '%s\n' "$tree" | grep -vE '^[[:space:]]*$' | grep -vE '^unlucky-design v' || true)
+          if [ -n "$others" ] || [ "$lines" -ne 1 ]; then
+            echo "::error file=crates/design/Cargo.toml::unlucky-design 必须零第三方依赖，本应只有自身一行，实际 $lines 行；越线的包："
+            printf '%s\n' "$others" | sed 's/^/  - /'
+            echo "::error::design 是纯数据 + 纯函数的设计令牌：色彩 / 排版 / 形状 / 高程 / 动效请不要引入 serde、rand、once_cell 等任何 crate。序列化与运行时能力放到消费方（app / app-iced / presenter）。"
+            exit 1
+          fi
+          echo "OK: unlucky-design 依赖树只有自身，零第三方依赖"
+
+  # D36 定案：整窗 α 是全仓**唯一**需要 `unsafe` 的能力（Win32 的
+  # `SetLayeredWindowAttributes` 没有安全替代），落点收在一个文件里。
+  # 判据必须是**集合相等**而不是「黑名单命中」：
+  #   - 新增第二个显式放行 unsafe 的文件 → 红（黑名单写法在这里会假绿）；
+  #   - 落点文件把放行删掉 / 改名 / 搬走 → 红（否则门禁守着一条已经不存在的路径）；
+  #   - 多行属性、同行合并属性、多行 `cfg_attr`、`expect(unsafe_code)` 都已覆盖
+  #     （r2 前的行级正则对前两种会假绿，当时只能靠 ci.yml 的 fmt job 兜底；r3 起由词法器直接抓）。
+  unsafe-scope:
+    name: unsafe 落点守门（集合必须恰好一个文件）
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: 全仓显式放行 unsafe 的文件集合 == 唯一落点
+        run: |
+          set -uo pipefail
+          EXPECTED='crates/app-iced/src/platform/win32/transparency.rs'
+          # 扫描口径（M91 r3）：一个小词法器，而不是正则。
+          #
+          # 为什么必须用词法器：r2 的写法是「按全文方括号净深度合并续行」，但 Rust 里
+          # `['[', '(']`、`"[2"`、`starts_with("[2")` 这类**不配对括号字面量**会让深度永久跑偏，
+          # 于是该文件后面的一切（包括一个真的 `#[allow(unsafe_code)]`）都再也不会被扫到——
+          # 实测本仓 601 个文件里有 10 个扫到 EOF 仍非 0，`gate.rs` 就是其中之一（r3 复审实证：
+          # 在它尾部加作用域 allow，r2 门禁 exit 0 假绿）。
+          # 现在的做法：逐字符状态机（普通 / 行注释 / 块注释（可嵌套）/ 字符串 / raw 字符串 /
+          # 字符字面量），只在「普通态」里认 `#` 或 `#!` 紧跟 `[` 的属性起点，然后只在这一个
+          # 属性内部累计到它的 `]` 配平——数组字面量跨行不再参与合并，也就不会带偏。
+          #
+          # 放行的两种拼法都算：`allow(...)` 与 `expect(...)`。`expect(unsafe_code)` 同样会
+          # 放行 unsafe 代码（rustc 实测：`#![expect(unsafe_code)]` + `pub unsafe fn f() {}` 在
+          # `-D unsafe_code` 下编译通过），所以它必须被同一条判据抓住，不能只认 allow。
+          #
+          # 仍然抓不住的（已知边界，别当全覆盖）：
+          #   - 落点文件**内部**多开别的 unsafe 能力（本门禁只看「有没有放行属性」，不看 unsafe 块个数）；
+          #   - **在别处定义、这里只调用**的宏展开出来的 allow：宏体里直接写出的属性在源码文本里，
+          #     会被扫到；但「宏定义在别的文件、调用点展开出 allow」时，本文件源码里没有那个属性；
+          #   - 注释（行注释/块注释）与字符串（普通/raw）里的属性文本**刻意不算**：它们不构成放行；
+          #     代价是「真把 allow 写进字符串」这种写法不会被当作落点（它也确实不放行任何代码）；
+          #   - manifest 侧 `[lints.rust] unsafe_code = "allow"`：本门禁只扫 `*.rs`，看不见 Cargo.toml；
+          #
+          # r4 回归用例（属性内的 raw string / 字符字面量曾经是盲区；现在两处共用 step()，
+          # 它们不再是边界，但下面五条必须一直保持红/绿正确 —— 改这段词法器前先跑它们）：
+          #   红  #[doc = r#"a "b"#]                                 后跟真 allow
+          #   红  #[cfg_attr(docsrs, doc = r##"a " b "##)]            后跟真 allow
+          #   红  #[cfg_attr(docsrs, my_macro(39 as char))] 一类含字符字面量/转义的属性后跟真 allow
+          #       具体形态：#![cfg_attr(docsrs, my_macro('\''))] 后跟真 allow
+          #   红  以上三者的 CRLF 版本
+          #   绿  #[doc = r#"x" allow(unsafe_code) is banned "y"#]（纯文档，不得误报）
+          scan() {
+            awk -v path="$1" '
+              # ---- 唯一的状态机：主循环与属性内**共用**同一个 step() ----
+              # 为什么必须复用：r2 是「属性外一套状态机、属性内另写一套」，两套各自演进，
+              # r3 的属性内就只剩「遇 " 跳到下一个 "」，于是 raw string / 字符字面量在属性内
+              # 完全不认识 —— `#[doc = r#"a "b"#]` 之后的一切对门禁失明（假绿），
+              # `#[doc = r#"x" allow(unsafe_code) "y"#]` 这种纯文档被误报（误红）。
+              # 现在两处只认这一个 step()，属性解析只多一层「[ ] 深度决定何时离开属性」。
+              #
+              # 状态：0 普通 / 1 行注释 / 2 块注释（可嵌套）/ 3 字符串 / 4 raw 字符串 / 5 字符字面量。
+              # 返回值 = 本次消费到的位置（`//`、`/*`、`r#"`、raw 收尾会一次吃掉多个字符）；
+              # g_plain=1 表示该位置处在「普通态代码」里（注释/字符串内容一律 0，
+              # 所以它们既不会被当成属性、也不会参与属性内的 [ ] 计数与文本匹配）。
+              function step(s, n, i,   c, nx, j, h, ok) {
+                c = substr(s, i, 1)
+                g_plain = 0
+                if (g_state == 1) { if (c == "\n") g_state = 0; return i }
+                if (g_state == 2) {
+                  if (c == "/" && substr(s, i + 1, 1) == "*") { g_depth++; return i + 1 }
+                  if (c == "*" && substr(s, i + 1, 1) == "/") { g_depth--; if (g_depth <= 0) g_state = 0; return i + 1 }
+                  return i
+                }
+                if (g_state == 3) {
+                  if (c == "\\") return i + 1
+                  if (c == "\"" || c == "\n") g_state = 0
+                  return i
+                }
+                if (g_state == 4) {
+                  if (c == "\"") {
+                    ok = 1
+                    for (j = 1; j <= g_hashes; j++) if (substr(s, i + j, 1) != "#") ok = 0
+                    if (ok) { g_state = 0; return i + g_hashes }
+                  }
+                  return i
+                }
+                if (g_state == 5) {
+                  if (c == "\\") return i + 1
+                  if (c == g_q || c == "\n") g_state = 0
+                  return i
+                }
+                if (c == "/" && substr(s, i + 1, 1) == "/") { g_state = 1; return i + 1 }
+                if (c == "/" && substr(s, i + 1, 1) == "*") { g_state = 2; g_depth = 1; return i + 1 }
+                if (c == "\"") { g_state = 3; return i }
+                if (c == g_q) {
+                  nx = substr(s, i + 1, 1)
+                  if (nx == "\\" || substr(s, i + 2, 1) == g_q) { g_state = 5; return i }
+                  g_plain = 1
+                  return i
+                }
+                if (c == "r" || c == "b") {
+                  j = i + 1
+                  if (c == "b") {
+                    if (substr(s, j, 1) == "\"") { g_state = 3; return j }
+                    if (substr(s, j, 1) == g_q) { g_state = 5; return j }
+                    if (substr(s, j, 1) != "r") { g_plain = 1; return i }
+                    j++
+                  }
+                  h = 0
+                  while (substr(s, j, 1) == "#") { h++; j++ }
+                  if (substr(s, j, 1) == "\"") { g_hashes = h; g_state = 4; return j }
+                  g_plain = 1
+                  return i
+                }
+                g_plain = 1
+                return i
+              }
+              function lex(   s, line, n, i, j, k, ch, adepth, attr) {
+                s = ""
+                while ((getline line < path) > 0) s = s line "\n"
+                close(path)
+                n = length(s)
+                g_state = 0; g_depth = 0; g_hashes = 0; g_found = 0
+                for (i = 1; i <= n; i++) {
+                  i = step(s, n, i)
+                  if (!g_plain || substr(s, i, 1) != "#") continue
+                  j = i + 1
+                  if (substr(s, j, 1) == "!") j++
+                  if (substr(s, j, 1) != "[") continue
+                  # 属性：**复用 step()**，只多一层「[ ] 深度决定何时离开属性」。
+                  # 属性里的字符串 / raw 字符串 / 字符字面量因此与属性外同一套识别。
+                  attr = ""; adepth = 0; k = j
+                  while (k <= n) {
+                    k = step(s, n, k)
+                    if (g_plain) {
+                      ch = substr(s, k, 1)
+                      if (ch == "[") adepth++
+                      else if (ch == "]") adepth--
+                      attr = attr ch
+                      if (adepth <= 0) break
+                    }
+                    k++
+                  }
+                  if (attr ~ /(allow|expect)\([^]]*unsafe_code/) g_found = 1
+                  i = k
+                }
+                return g_found
+              }
+              BEGIN { g_q = "\047"; g_found = 0; exit(lex() ? 0 : 1) }
+            '
+          }
+          # 只对「文本里出现过 unsafe_code」的文件跑词法器（标识符不可能被空白拆开，
+          # 所以这个预筛不会漏）。601 个文件 → 个位数个候选，整个 job 约 2 秒。
+          # `git grep` 零匹配 exit 1 + pipefail → 裸赋值同样会被 -e 静默杀死（见文件头）。
+          actual=$(git grep -l 'unsafe_code' -- '*.rs' 2>/dev/null | LC_ALL=C sort | while IFS= read -r f; do
+            if scan "$f"; then printf '%s\n' "$f"; fi
+          done | LC_ALL=C sort || true)
+          echo "期望（恰好这一个）：$EXPECTED"
+          echo "实际扫到的集合："
+          if [ -n "$actual" ]; then printf '%s\n' "$actual" | sed 's/^/  - /'; else echo "  （空）"; fi
+          if [ "$actual" != "$EXPECTED" ]; then
+            extra=$(printf '%s\n' "$actual" | grep -vxF "$EXPECTED" || true)
+            if [ -n "$extra" ]; then
+              echo "::error::多出来的 unsafe 落点（D36 只允许一个）："
+              printf '%s\n' "$extra" | sed 's/^/  - /'
+            fi
+            if ! printf '%s\n' "$actual" | grep -qxF "$EXPECTED"; then
+              echo "::error file=$EXPECTED::这个文件里没有显式放行 unsafe（allow / expect(unsafe_code)）—— 落点被搬走/改名/删了放行？守门路径已失效。"
+            fi
+            echo "::error::整窗 α 的 FFI 只允许住在 $EXPECTED（D36）。需要新的 unsafe 能力请先立 mission：改这条守门 + 更新 D36 的定案，不要顺手放行。"
+            exit 1
+          fi
+          echo "OK: 全仓显式放行 unsafe 的文件恰好只有 $EXPECTED"
+
   file-size:
     name: 文件行数 ≤400 守门
     runs-on: ubuntu-latest
@@ -57,6 +363,10 @@ jobs:
             case "$f" in
               LICENSE|*/LICENSE|LICENSE-*|*/LICENSE-*) continue ;;
               CHANGELOG*|*/CHANGELOG*) continue ;;
+              # README 是「对外介绍」，不是可拆分的模块：拆成多份反而更难读，用户令
+              # （2026-11-05）明确「不用 400 行红线压它，但要保证介绍不臃肿、逻辑完备」。
+              # 只豁免仓库根的 README*.md；docs/ 下的长文仍按模块拆分。
+              README.md|README.*.md) continue ;;
             esac
             n=$(wc -l < "$f")
             if [ "$n" -gt "$LIMIT" ]; then
@@ -80,4 +390,9 @@ jobs:
       - uses: EmbarkStudios/cargo-deny-action@v2
         with:
           # 只跑许可/禁用/来源三类，advisories 由后续安全轮次单独接管
+          # M118：cargo-deny 走 **workspace 依赖图**，`crates/app` 被 exclude 后 Slint 那棵树不再进图
+          # （实测 `cargo deny list` 里 `slint*` / `i-slint-*` 命中 0 个），所以本门禁不再审 Slint 的
+          # RF-2.0 许可 —— 与「它不再随任何产物发布」一致。这不是回退：`deny.toml` 里为 Slint 留的
+          # allow 条目**故意没删**（删它得先确认没有别的路径重新引入），当前等于一条死条目。
+          # 若将来把 `crates/app` 加回 workspace，本门禁的覆盖会自动恢复。
           command: check licenses bans sources

.github/workflows/release-build.yml

@@ -0,0 +1,247 @@
+name: Release / build（可复用）
+
+# Release 流水线的**构建侧**（M145 拆分：`release.yml` 与 `packaging/README.md` 都顶到 400 行红线，下一处改动必越线）。
+# 本文件 = 拆分前 `.github/workflows/release.yml` 的 `build` job **逐字搬家**，唯一的改动是四个矩阵键换成同名入参：
+#   `matrix.slot` → `inputs.slot`、`matrix.os` → `inputs.os`、`matrix.build_dir` → `inputs.build_dir`、
+#   `matrix.rustflags` → `inputs.rustflags`。其余 `name` / `if` / `env` / `run` / `uses` 与拆分前逐行相同。
+# 矩阵**仍由调用方** `release.yml` 的 `plan` job 生成并在外层展开（矩阵不能带 `if`，`strategy` 可读 `needs`），
+# 本文件只跑**单个槽位**，不持有槽位表 —— 改槽位只改 `release.yml` 里那一处。
+# `env` 必须在被调方重复声明：**被调工作流不继承调用方的 workflow 级 `env`**（CARGO_TERM_COLOR / RUST_BACKTRACE
+# 都是构建产物的实参：前者只影响日志着色，后者决定 panic 是否打回溯）。
+
+on:
+  workflow_call:
+    inputs:
+      slot:
+        description: "槽位键，同 plan matrix 的 slot（如 windows-x64 / linux-arm64）"
+        type: string
+        required: true
+      os:
+        description: "runner 标签，同 plan matrix 的 os（如 windows-latest / windows-11-arm）"
+        type: string
+        required: true
+      build_dir:
+        description: "产物根，同 plan matrix 的 build_dir（六槽位一律 target/release）"
+        type: string
+        required: true
+      rustflags:
+        description: "RUSTFLAGS，同 plan matrix 的 rustflags（两个 Windows 槽位为 -C target-feature=+crt-static，其余空）"
+        type: string
+        required: false
+        default: ""
+    # （M149）微软登录用的 Azure 公共客户端 id（公共客户端 id 随二进制一起分发，不按高密级处理，但**不进 git
+    # 文件**：真值放仓库 Secret，用户在仓库设置里录入）。`required: false` 是刻意的——调用方没传（本地、
+    # 没有 runner 的镜像站、以及 Secret 尚未录入时）求值为空串，`client_id.rs` 把空白当「没配」，
+    # 于是非官方构建不烘 id，官方构建才烘。**调用方必须显式传**（`secrets: inherit` 或按名传）；
+    # 没传时这里是空，不会报错。
+    secrets:
+      ULL_MSA_CLIENT_ID:
+        description: "Azure 公共客户端 id，烘进发布二进制（构建期 option_env!）；留空 = 不烘"
+        required: false
+
+env:
+  CARGO_TERM_COLOR: always
+  RUST_BACKTRACE: 1
+
+# 与拆分前 build job 拿到的凭据范围一致（可复用工作流的权限只取调用方与本文件的**交集**，故两边都声明 read）。
+permissions:
+  contents: read
+
+jobs:
+  build:
+    name: build (${{ inputs.slot }})
+    runs-on: ${{ inputs.os }}
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v4
+
+      - name: Linux 图形栈构建依赖（winit / wgpu 编译期需要）
+        if: runner.os == 'Linux'
+        shell: bash
+        run: |
+          sudo apt-get update
+          sudo apt-get install -y --no-install-recommends libxkbcommon-dev libfontconfig1-dev \
+            libgl1-mesa-dev libegl1-mesa-dev libwayland-dev libxcb1-dev
+
+      - uses: dtolnay/rust-toolchain@stable
+      - uses: Swatinem/rust-cache@v2
+
+      # （M141/M142）windows-arm64 跑在**原生** `windows-11-arm` 上，本步查这台机器上 ARM64 库齐不齐：`+crt-static`
+      # 要 MSVC 的 `lib/arm64/libcmt.lib`，链接要 SDK 的 `um/arm64/kernel32.lib`。诊断**只走注解**（job 日志下载要
+      # token 我们没有，check-run 注解不用；每条一行，多行会被拼成一行截断，每步 error 注解上限 10 条）。
+      # **M142 修本步的自毁 bug**：`shell: bash` 实为 `bash -eo pipefail`，脚本里的 `set -uo pipefail` **关不掉** -e——
+      # M141 死在 `vc_lib=$(find 不存在的根 | head -n1)`（pipefail 把 find 的非零带进赋值、errexit 当场退出），
+      # **一条注解都没打**，上一轮只剩 `Process completed with exit code 1.`。四条规矩：① 显式 `set +e`；② 每处探测
+      # 自带 `|| true`；③ 问题记进 ERRORS 而不当场退出；④ 快照先打完、再由显式 `exit` 定红绿。门禁不降级（缺了就
+      # 就地补装再判），但 **arm64 红不挡发布**（PUBLISH_SLOTS 已无它），本槽位只取证。
+      - name: Windows ARM64 工具链体检（红不挡发布，只取证）
+        if: inputs.slot == 'windows-arm64'
+        shell: bash
+        run: |
+          set +e; set -uo pipefail; ERRORS=()   # -e 由 runner 命令行注入，只能显式关
+          say() { printf '::%s::[arm64sdk] %s\n' "$1" "$2"; [ "$1" = error ] && ERRORS+=("$2"); return 0; }
+          vs=("C:/Program Files/Microsoft Visual Studio" "C:/Program Files (x86)/Microsoft Visual Studio")
+          # SDK 根要放宽：新版装 `(x86)`、也有装 `Program Files`；老安装器把 lib 留在 Microsoft SDKs；
+          # VS 自己还带一份「SDK in VS」（`<VS>/Windows Kits/10/Lib`），用 vswhere 定位后追加。
+          sdk=("C:/Program Files (x86)/Windows Kits/10/Lib" "C:/Program Files/Windows Kits/10/Lib"
+               "C:/Program Files (x86)/Microsoft SDKs/Windows/v10.0A/Lib")
+          inst="C:/Program Files (x86)/Microsoft Visual Studio/Installer"; vspath=""
+          [ -x "$inst/vswhere.exe" ] && vspath=$("$inst/vswhere.exe" -latest -products '*' -property installationPath 2>/dev/null | head -n1 || true)
+          [ -n "$vspath" ] && sdk+=("${vspath//\\//}/Windows Kits/10/Lib")
+          # 下面两个探测正是 M141 断气处（find 起点不存在 → 非 0 → `| head` 的 pipefail 带进赋值 → errexit），故处处
+          # `|| true`：探不到就是「没找到」，由结论下判断，不许由它决定进程生死。
+          scan() { vc_lib=$(find "${vs[@]}" -maxdepth 11 -type f -path '*/VC/Tools/MSVC/*/lib/arm64/libcmt.lib' 2>/dev/null | head -n1 || true)
+            sdk_lib=$(find "${sdk[@]}" -maxdepth 6 -type f -path '*/um/arm64/kernel32.lib' 2>/dev/null | head -n1 || true); }
+          build=$(ls "${sdk[@]}" 2>/dev/null | grep -oE '^10\.0\.[0-9]+' | cut -d. -f3 | sort -u | tail -n1 || true)
+          scan
+          # 快照固定 4 行，**无论齐不齐都先打完**：齐了用 notice（绿跑也留证据 = 探测本身没坏），缺了用 error。
+          sev=error; [ -n "$vc_lib" ] && [ -n "$sdk_lib" ] && sev=notice
+          say "$sev" "探测根: $(for d in "${vs[@]}" "${sdk[@]}"; do [ -d "$d" ] && printf '%s=有 ' "$d" || printf '%s=无 ' "$d"; done)vswhere=$([ -x "$inst/vswhere.exe" ] && echo 有 || echo 无) vspath=${vspath:-<空>}"
+          v=""
+          for d in "${sdk[@]}"; do [ -d "$d" ] || continue
+            for t in "$d"/*/; do [ -d "$t" ] && v+="$(basename "$t")→um:[$(ls "$t/um" 2>/dev/null | tr '\n' ',')] "; done
+          done
+          say "$sev" "SDK Lib 版本→um 架构: ${v:-<没有任何版本目录>}（SDK build=${build:-未探到}）"
+          v=""
+          while IFS= read -r t; do v+="$(basename "$(dirname "$t")")→[$(ls "$t" 2>/dev/null | tr '\n' ',')] "; done \
+            < <(find "${vs[@]}" -maxdepth 7 -type d -path '*/VC/Tools/MSVC/*/lib' 2>/dev/null | head -n4)
+          say "$sev" "MSVC lib/ 架构: ${v:-<无 MSVC lib 目录>}"
+          say "$sev" "关键库: libcmt=${vc_lib:-缺失} kernel32=${sdk_lib:-缺失}"
+          if [ "$sev" = notice ]; then echo "ARM64 工具链齐: vc=$vc_lib sdk=$sdk_lib"; exit 0; fi
+          # 补装：VS 安装器就地 modify（门禁不降级：先补再判）。组件 ID 随 VS 大版本不同；**优先补一个尚未装上的
+          # SDK 版本**——同版本重装是 no-op，补不出 arm64 子目录。补装失败不致命，重探与结论给真相。
+          id=Microsoft.VisualStudio.Component.Windows11SDK.$([ "$build" = "26100" ] && echo 22621 || echo 26100)
+          [ "$build" = "19041" ] && id=Microsoft.VisualStudio.Component.Windows10SDK.20348
+          adds=""; [ -n "$vc_lib" ] || adds+="Microsoft.VisualStudio.Component.VC.Tools.ARM64 "; [ -n "$sdk_lib" ] || adds+="$id"
+          if [ -x "$inst/setup.exe" ] && [ -n "$vspath" ]; then
+            say error "补装: $vspath ← ${adds}（已装 SDK build=${build:-未装}）"
+            timeout 1200 "$inst/setup.exe" modify --installPath "$vspath" --quiet --norestart --nocache --wait \
+              --add ${adds} || say error "补装返回非 0：组件 ID 可能不被这台 VS 认（见下一条结论）"
+            scan
+          else say error "补装跳过: 无 vs_installer 或没定位到 VS 安装路径（vspath=${vspath:-<空>}）"; fi
+          if [ -z "$vc_lib" ] || [ -z "$sdk_lib" ]; then
+            say error "结论: 仍缺（libcmt=${vc_lib:-缺失} kernel32=${sdk_lib:-缺失}），共记 ${#ERRORS[@]} 条探测问题；门禁红、不摘 arm64——本槽位不在 PUBLISH_SLOTS 里，x64 照发"
+            exit 1
+          fi
+          echo "补装后齐全: vc=$vc_lib sdk=$sdk_lib"
+
+      # M118（D26）：**Slint 版停发** —— GUI 只有 `unlucky-launcher-iced`（`crates/app` 已 exclude，不进 workspace）。
+      # 产物名由 make_artifacts.py 的 `asset_stem()` 生成 `<名字>_<版本号>_<平台>_<架构>`；不传 `--target`（M140 起全原生）。
+      # （M149）`ULL_MSA_CLIENT_ID` 经 `option_env!` 烘进二进制（`crates/core/src/auth/microsoft/client_id.rs`）：
+      # 官方产物自带微软登录所需的配置，装完即可登录；运行期同名环境变量仍优先于它，可覆盖。
+      # 值来自仓库 Secret（不进 git 文件）；Secret 没配时这里是空串，client_id.rs 把空白当「没配」，
+      # 于是非官方构建不烘 id。想自己烘一份就从源码构建：`ULL_MSA_CLIENT_ID=<id> cargo build`。
+      - name: cargo build --release --locked
+        shell: bash
+        env:
+          RUSTFLAGS: ${{ inputs.rustflags }}
+          ULL_MSA_CLIENT_ID: ${{ secrets.ULL_MSA_CLIENT_ID }}
+        run: |
+          set -euo pipefail
+          cargo build --release --locked --bin unlucky-launcher-iced --bin ull
+
+      - name: Windows 单文件自检（导入表不得出现 VC++ 可再发行 DLL）
+        if: runner.os == 'Windows'
+        shell: bash
+        env:
+          # 校验的是**构建产物**（iced bin 原始名）；对外名 `unlucky-launcher` 由 make_artifacts.py 落盘时才换上。
+          EXE: ${{ inputs.build_dir }}/unlucky-launcher-iced.exe
+        run: |
+          set -euo pipefail
+          # +crt-static 是否真生效只看导入表：出现 VCRUNTIME/MSVCP/msvcr/ucrtbase 就是还得装可再发行包，fail。
+          # dumpbin 定位链（三级，全不命中才 fail —— 门禁不降级）：① vswhere ② find 兜底（两个 VS 根都扫）③ PATH
+          # （排最后是刻意的：最不可控）。dumpbin 在 MSVC 的**宿主**工具目录里：x64 runner 是 `Hostx64/x64`，arm64
+          # runner（M140）是 `Hostarm64/arm64`（反向不行——x64 上挑 Hostarm64 是跑不起来的二进制）。
+          pats=('VC/Tools/MSVC/*/bin/Hostx64/x64/dumpbin.exe')
+          if [ "${RUNNER_ARCH:-X64}" = "ARM64" ]; then
+            pats=('VC/Tools/MSVC/*/bin/Hostarm64/arm64/dumpbin.exe' "${pats[@]}")
+          fi
+          VSWHERE="C:/Program Files (x86)/Microsoft Visual Studio/Installer/vswhere.exe"
+          DUMPBIN=""
+          VIA=""
+          if [ -x "$VSWHERE" ]; then
+            # `-find` 是**单值**参数：一次传多个 pattern 只有一个生效（3.x 取最后一个 —— 老写法里 Hostarm64 因此永远
+            # 轮不到），故每个 pattern 各起一次定位器，不赌它取哪个。反斜杠形态优先（官方文档即此形式），再试正斜杠。
+            for p in "${pats[@]}"; do
+              for pat in "${p//\//\\}" "$p"; do
+                hit=$("$VSWHERE" -latest -products '*' -find "$pat" 2>/dev/null | head -n1 || true)
+                if [ -n "$hit" ]; then DUMPBIN=${hit//\\//}; VIA="vswhere"; break 2; fi
+              done
+            done
+          fi
+          if [ -z "$DUMPBIN" ]; then
+            # VS 根形如 <年>/<版次>（2022/Enterprise、2022/BuildTools……），固定层数的 glob 会踩空，按模式扫。
+            find_pat=()
+            for p in "${pats[@]}"; do find_pat+=(-o -path "*/$p"); done
+            DUMPBIN=$(find "C:/Program Files/Microsoft Visual Studio" \
+                           "C:/Program Files (x86)/Microsoft Visual Studio" \
+                           -maxdepth 11 -type f \( "${find_pat[@]:1}" \) 2>/dev/null | head -n1 || true)
+            if [ -n "$DUMPBIN" ]; then VIA="find"; fi
+          fi
+          if [ -z "$DUMPBIN" ]; then
+            hit=$(command -v dumpbin || true)
+            if [ -n "$hit" ]; then DUMPBIN=$hit; VIA="PATH"; fi
+          fi
+          # 工具缺失同样 fail："找不到就跳过"等于让这道门禁在最需要它的时候静默失效。
+          if [ -z "$DUMPBIN" ]; then echo "::error::找不到 dumpbin，无法校验导入表（静态 CRT 门禁不降级）"; exit 1; fi
+          echo "dumpbin: $DUMPBIN（定位自 $VIA）"
+          ls -l "$EXE"
+          "$DUMPBIN" -nologo -dependents "$EXE" | tee dependents.txt
+          if grep -Eiq 'VCRUNTIME|MSVCP|MSVCR|ucrtbase\.dll' dependents.txt; then
+            echo "::error::静态 CRT 未生效：exe 仍动态依赖 VC++ 可再发行包"; exit 1
+          fi
+
+      - name: 打包（产物 + SHA256SUMS）
+        shell: bash
+        env:
+          # 不把 `${{ }}` 直接拼进 bash 脚本：git ref 名允许 `$`/反引号/`"`，一律经 env 传入再展开。
+          REF_TYPE: ${{ github.ref_type }}
+          TAG: ${{ github.ref_name }}
+          SLOT: ${{ inputs.slot }}
+          BUILD_DIR: ${{ inputs.build_dir }}
+        run: |
+          set -euo pipefail
+          # git-bash 与 Linux/macOS runner 的 python 入口名不一致，先探一遍。
+          PY=$(command -v python3 || command -v python)
+          # 槽位与产物根都从矩阵来（M140 起六个槽位都是 target/release），脚本据此定位产物并回读
+          # 可执行文件头校验架构：arm64 槽位现在是**真跑** `ull --version`，「宿主≠产物就跳过」只留给本地交叉。
+          args=(--slot "$SLOT" --build-dir "$BUILD_DIR")
+          if [ "$REF_TYPE" = "tag" ]; then
+            args+=(--version "$TAG")   # 与 Cargo.toml 版本交叉校验
+          fi
+          "$PY" packaging/make_artifacts.py "${args[@]}" --out dist
+          ls -l dist
+
+      - name: 归档内容自检（二进制定位 + 合规文本）
+        shell: bash
+        run: |
+          set -euo pipefail
+          for archive in dist/*.tar.gz; do
+            [ -e "$archive" ] || continue
+            listing=$(tar -tzf "$archive")
+            for required in unlucky-launcher LICENSE NOTICE README.md; do
+              if ! grep -q "/$required$" <<<"$listing"; then
+                echo "::error file=$archive::$archive 缺少 $required"
+                exit 1
+              fi
+            done
+            echo "OK: $archive 含二进制与 LICENSE/NOTICE/README.md"
+          done
+          if ls dist/*.exe >/dev/null 2>&1; then
+            echo "Windows 单 exe 形态：LICENSE/NOTICE/README.md 作为 Release 资产并列分发"
+          fi
+
+      - uses: actions/upload-artifact@v4
+        with:
+          name: dist-${{ inputs.slot }}
+          path: dist
+          if-no-files-found: error
+          retention-days: 14
+
+      # （M142）arm64 若红在别的步骤（cargo / 打包 / 导入表门禁），也要有一条注解说清「红在哪」和「不挡发布」——
+      # 只剩一句 `Process completed with exit code 1.` 的教训见上一条体检步骤。
+      - name: arm64 失败收尾注解（红不挡发布）
+        if: failure() && inputs.slot == 'windows-arm64'
+        shell: bash
+        run: echo "::error::[arm64] 本槽位已红（失败步骤见本 job 的步骤名与上面各条注解）；PUBLISH_SLOTS 当前只有 windows-x64 ⇒ 本次 Release 仍照发 x64，arm64 产物不进 Release"

.github/workflows/release-publish.yml

@@ -0,0 +1,177 @@
+name: Release / publish（可复用）
+
+# Release 流水线的**发布侧**（M145 拆分：`release.yml` 顶到 400 行红线）。本文件 = 拆分前 `release.yml` 的 `release`
+# job **逐字搬家**：裁剪白名单外的槽位产物、重算全量 `SHA256SUMS.txt`、渲染 `packaging/release-notes.md` 模板、
+# `gh release create/edit` 的同 tag 幂等，全部照旧。留在调用方 `release.yml` 的只有三件事：`needs: build`、
+# tag 门禁 `if: always() && !cancelled() && github.ref_type == 'tag'`、以及 `permissions: contents: write` 的授予。
+# 与拆分前的三处等价改写（都只涉及"从哪里读"，不涉及行为）：
+#   ① `secrets.GITHUB_TOKEN` → 本文件声明的入参 secret `PUBLISH_TOKEN`（调用方透传 `secrets.GITHUB_TOKEN`）。
+#      可复用工作流**拿不到**调用方未显式传入的 secret，写 `secrets.GITHUB_TOKEN` 会静默为空 → gh 401。
+#   ② `inputs.prerelease`（原为 `workflow_dispatch` 的输入）→ `github.event.inputs.prerelease`（**字符串**形态的同一个
+#      值：`push` 触发时不存在 ⇒ 空串，dispatch 时是 `"true"`/`"false"`），下面 `case "${PRERELEASE:-}"` 的三条分支与
+#      拆分前完全一致（空值 = 不碰该标记）。为什么不用 `workflow_call` 入参转一道：dispatch 的 `inputs.prerelease` 是
+#      **boolean**，而「空值 vs true/false」这条三态语义只有字符串能表达 —— 布尔入参无法取空，硬塞进字符串入参则是
+#      类型不符（`uses` 的 `with:` 会按被调方声明的类型校验；actionlint 当场报 `bool value cannot be assigned`）。
+#      取 event 上的字符串形态既保住三态，又不需要任何类型转换。
+#   ③ `PUBLISH_SLOTS` / `runs-on` / `permissions` 的**内容**未动，只是被调方必须自己声明（被调方不继承调用方的
+#      workflow 级 `env`；权限取调用方与本文件的交集 —— 两边都声明 `contents: write` 才拿得到写权）。
+
+on:
+  workflow_call:
+    secrets:
+      PUBLISH_TOKEN:
+        description: "调用方透传 `secrets.GITHUB_TOKEN`（本 job 已声明 contents: write，`gh release` 用它发版）"
+        required: true
+
+# 权限取交集：调用方 release.yml 的 release job 与本文件都声明 contents: write，交集才是 write（不声明则被收窄成 read）。
+permissions:
+  contents: write
+
+jobs:
+  release:
+    name: GitHub Release
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+    env:
+      # ── 发布白名单：唯一决定「哪几个槽位进 Release」的开关（空格分隔，键同 matrix.slot）──
+      # **M142 起只有 `windows-x64`**：arm64 连试四轮未走通，而下面齐全性检查是「名单内少一档就 fail」——名字挂着
+      # arm64 就等于 x64 编成功也发不出去。故把它移出名单：它照留在矩阵里跑取证（诊断注解是将来修它的唯一证据），
+      # **红了不挡发布**。**可逆**：arm64 修好后把键加回这一行即可（齐全性检查与 SHA256SUMS 自动跟着扩），再同步
+      # README §1/§9 与 release-notes.md 两张表。四档 Linux/macOS 仍未验证，默认连构建都不跑（M139）。
+      PUBLISH_SLOTS: "windows-x64"
+    steps:
+      - uses: actions/checkout@v4
+
+      - uses: actions/download-artifact@v4
+        with:
+          path: dist
+          merge-multiple: true
+
+      - name: 裁掉白名单外的槽位产物（构建取证 ≠ 发布）
+        shell: bash
+        run: |
+          set -euo pipefail
+          # 槽位键 `windows-x64` 落到文件名是 `windows_x64`（asset_stem），故取文件名里的「平台_架构」两段比白名单。
+          keep=" "
+          for slot in $PUBLISH_SLOTS; do keep+="${slot//-/_} "; done
+          for f in dist/*; do
+            base=${f##*/}
+            [ "$base" = "SHA256SUMS.txt" ] && continue
+            platform_arch=${base%.exe}; platform_arch=${platform_arch%.tar.gz}; platform_arch=${platform_arch#*_*_}
+            case "$keep" in
+              *" $platform_arch "*)
+                echo "publish: $base"
+                ;;
+              *)
+                echo "drop:    $base（$platform_arch 不在发布白名单：四档未验证 / arm64 待修；仍留在 dist-<slot> artifact 里取证）"
+                rm -f "$f"
+                ;;
+            esac
+          done
+
+      - name: 发布白名单齐全性 + 重算全量 SHA256SUMS
+        shell: bash
+        run: |
+          set -euo pipefail
+          ls -l dist
+          # 白名单内槽位必须**全齐**才发版（宁可不出 Release，也不出少一档的 Release）。每个槽位都要 GUI 与 CLI 两个
+          # 资产——只按「槽位名出现过」判会被其中一个掩盖；比较用下划线形态（资产名自 D49 起是 `..._windows_x64.exe`）。
+          # M142 后白名单只剩 x64 一档：arm64 缺产物不再拦发布，但 x64 自己缺 GUI 或 CLI 照样在这里 fail。
+          for slot in $PUBLISH_SLOTS; do
+            stem=${slot//-/_}
+            for prefix in unlucky-launcher ull; do
+              if ! compgen -G "dist/${prefix}_*_${stem}*" >/dev/null; then
+                echo "::error::发布白名单缺产物：$prefix / $slot"
+                exit 1
+              fi
+            done
+          done
+          # 各槽位各写一份 SHA256SUMS.txt，合并后只有一份是真的 —— 在 Release 侧按已发布的资产重算。
+          cd dist
+          rm -f SHA256SUMS.txt
+          sha256sum unlucky-launcher_* ull_* > SHA256SUMS.txt
+          sha256sum -c SHA256SUMS.txt
+          cat SHA256SUMS.txt
+
+      - name: 生成更新清单 manifest.json（D50：固定名挂 Release 资产）
+        shell: bash
+        env:
+          TAG: ${{ github.ref_name }}
+          RELEASE_BASE: ${{ github.server_url }}/${{ github.repository }}/releases/download
+        run: |
+          set -euo pipefail
+          # 先自验再产文件：golden 对拍 + 「DTO 严格解析」镜像（未知字段 / 摘要长度 / size=0 / 版本重复
+          # 这些在发布步当场炸，而不是变成用户机器上的「查不到更新」）。零第三方依赖，毫秒级。
+          python3 packaging/make_manifest.py --self-test
+          # 事实来源是上一步**重算**出来的 dist/SHA256SUMS.txt：清单不另算一份摘要，两者不可能不一致。
+          # url 钉死 tag（不是 latest）：清单里每条都指向与它自报版本相符的字节。
+          # min_supported / notes 刻意先不写：前者是「收回老版本支持」的发布策略（未拍板，写错会强制升级），
+          # 后者在 Release 正文里已有，两处各写一份迟早漂。
+          python3 packaging/make_manifest.py \
+            --dist dist \
+            --version "$TAG" \
+            --channel stable \
+            --asset-base-url "$RELEASE_BASE/$TAG" \
+            --released-at "$(date -u +%Y-%m-%dT%H:%M:%SZ)"
+
+      - name: 生成 Release 说明（支持矩阵模板）
+        shell: bash
+        env:
+          TAG: ${{ github.ref_name }}
+        run: |
+          set -euo pipefail
+          python3 - <<'PY'
+          import os, pathlib
+          version = os.environ["TAG"].lstrip("v")
+          template = pathlib.Path("packaging/release-notes.md").read_text(encoding="utf-8")
+          sums = pathlib.Path("dist/SHA256SUMS.txt").read_text(encoding="utf-8").strip()
+          body = template.replace("{{VERSION}}", version).replace("{{SUMS}}", sums)
+          pathlib.Path("release-body.md").write_text(body, encoding="utf-8", newline="\n")
+          print(body[:400])
+          PY
+
+      - name: 创建或更新 GitHub Release（同 tag 重跑幂等）
+        env:
+          GH_TOKEN: ${{ secrets.PUBLISH_TOKEN }}
+          TAG: ${{ github.ref_name }}
+          PRERELEASE: ${{ github.event.inputs.prerelease }}
+        shell: bash
+        run: |
+          set -euo pipefail
+          base_flags=(--title "Unlucky Launcher $TAG" --notes-file release-body.md)
+          # pre-release 只在**显式要求**时断言：PRERELEASE=true/false 来自 tag ref 上的 dispatch 输入；空值 = push
+          # 触发（或它的 Re-run），此时**不碰**该标记（否则会把用户手动提升为 stable 的 Release 静默翻回 pre-release）。
+          # 首次 create 仍守「pre-release 默认开」老契约：空值按 true 处理。
+          create_mark=()
+          edit_mark=()
+          case "${PRERELEASE:-}" in
+            true)
+              create_mark=(--prerelease)
+              edit_mark=(--prerelease)
+              ;;
+            false)
+              edit_mark=(--prerelease=false)
+              ;;
+            "")
+              create_mark=(--prerelease)
+              ;;
+            *)
+              echo "::error::非预期的 github.event.inputs.prerelease 取值：$PRERELEASE"
+              exit 1
+              ;;
+          esac
+          # Windows 单 exe 装不下 LICENSE/NOTICE/README.md，故三份与产物并列挂 Release（条款随包）；`ull` 是独立资产。
+          # manifest.json 是更新清单（D50）：固定文件名，客户端问 `releases/latest/download/manifest.json`。
+          # D51 定案（2026-11-06，方案甲）：GitHub 的 `releases/latest/download/*` 只指向**非
+          # prerelease** 的最新 Release。稳定版发布时显式 dispatch `prerelease=false`（latest 随之生效，
+          # 客户端地址不变）；push tag 默认仍 prerelease（视为预发布观察，不进稳定通道）。
+          # 发版 checklist 第六件 = 确认 prerelease 标记与通道一致；v0.2.2 起首个适用。
+          assets=(dist/unlucky-launcher_* dist/ull_* dist/manifest.json dist/SHA256SUMS.txt LICENSE NOTICE README.md)
+          if gh release view "$TAG" >/dev/null 2>&1; then
+            # 同 tag 重跑（补丁/重编）：Release 已存在 → 覆盖资产 + 刷新说明，再 `create` 会因已存在而失败。
+            gh release upload "$TAG" "${assets[@]}" --clobber
+            gh release edit "$TAG" "${base_flags[@]}" "${edit_mark[@]}"
+          else
+            gh release create "$TAG" "${assets[@]}" "${base_flags[@]}" "${create_mark[@]}"
+          fi

.github/workflows/release.yml

@@ -1,17 +1,21 @@
 name: Release
 
-# 发布流水线：tag `v*` → 四平台（六槽位）矩阵构建 → 单文件产物 + SHA256SUMS
-# → 上传 artifact + 创建 GitHub Release（pre-release 默认开）。同一 tag 重跑幂等：
-# Release 已存在时覆盖资产与说明，不再 `gh release create`（见 release job 末步）；
-# 重跑**不碰** pre-release 标记，该标记只在 `inputs.prerelease` 显式给出时才被断言。
+# 发布流水线：tag `v*` → **只构建两个 Windows 槽位**（各自原生 `windows-latest` / `windows-11-arm`）→ 单文件产物 +
+#   SHA256SUMS → artifact + GitHub Release。pre-release 默认开；同 tag 重跑幂等（覆盖资产与说明、不 create、不碰标记）。
+# **构建 ≠ 发布**：只有 `PUBLISH_SLOTS` 里的槽位才进 Release 与 SHA256SUMS ——**M142 起只有 `windows-x64`**（arm64 连试
+#   四轮未成，仍留矩阵里取证、红了不挡 x64 发布；它修好后把键加回那一行即可）。四档 Linux/macOS 从未验证，默认连构建都
+#   不跑（M139：省配额、不留红叉）；整表六槽位取证走 `gh workflow run release.yml -f all_slots=true`（槽位表在 `plan`）。
+# 契约唯一真相源 packaging/README.md，打包本体 packaging/make_artifacts.py（本地与 CI 同一份脚本）。`inputs.prerelease`
+#   只在 **tag ref** 上 dispatch 才可达（跑 tag 得 `gh workflow run release.yml --ref v0.2.1`）；分支 ref 的 dispatch 与
+#   push 一样被 release job 的 `if: github.ref_type == 'tag'` 挡在发布之外。
 #
-# 契约唯一真相源：packaging/README.md（命名/目录/运行时依赖）。
-# 打包本体在 packaging/make_artifacts.py（本地与 CI 同一份脚本，逐字节同布局）。
-# 手动触发（workflow_dispatch）默认只跑构建不建 Release —— 用来验证矩阵仍然编得过。
-# 注意 `inputs.prerelease` 只在 **tag ref** 上 dispatch 才可达：Actions 页面的
-# "Run workflow" 只能选分支，要跑 tag 得 `gh workflow run release.yml --ref v0.1.0`。
-# 分支 ref 的 dispatch 与 push 事件一样被 release job 的 `if: github.ref_type == 'tag'`
-# 挡在发布之外，所以「dispatch 只构建不发布」与「dispatch 可关 pre-release」并不矛盾。
+# M145 拆分（本文件与 packaging/README.md 都已顶到 400 行红线，下一处改动必越线）：本文件只留**触发 + 槽位表 + 编排**，
+#   两个 job 的实体各搬一份可复用工作流（`workflow_call`），步骤逐字未改：
+#   - `.github/workflows/release-build.yml` = 原 `build` job 全流程（Linux 依赖 / arm64 工具链体检 / cargo build /
+#     静态 CRT 导入表门禁 / 打包 / 归档自检 / 上传 artifact / arm64 收尾注解），矩阵键换成同名 `inputs.*`。
+#   - `.github/workflows/release-publish.yml` = 原 `release` job 全流程（`PUBLISH_SLOTS` 白名单 / 裁剪 / 重算
+#     SHA256SUMS / 渲染说明 / `gh release` 幂等），`secrets.GITHUB_TOKEN` 改为显式透传的 secret。
+#   `on` / `env` / `permissions` / `concurrency` 与 `plan` 的槽位表**一字未动**。
 
 on:
   push:
@@ -19,6 +23,10 @@ on:
       - "v*"
   workflow_dispatch:
     inputs:
+      all_slots:
+        description: "构建全部六个槽位（含未验证的 Linux/macOS 四档）；默认只跑两个 Windows"
+        type: boolean
+        default: false
       prerelease:
         description: "标记为 pre-release（仅在 tag ref 上 dispatch 时才生效）"
         type: boolean
@@ -36,320 +44,83 @@ concurrency:
   cancel-in-progress: false
 
 jobs:
+  # M139：矩阵不写死在 `build` 里，改由本 job 按 `inputs.all_slots` 生成 —— 矩阵不能带 `if`，而 `jobs.<id>.strategy`
+  # 可读 `needs`，故用 `fromJSON(needs.plan.outputs.matrix)`。**槽位表只在下面这一处**，改槽位只改这里。
+  plan:
+    name: 选槽位（默认两个 Windows）
+    runs-on: ubuntu-latest
+    outputs:
+      matrix: ${{ steps.pick.outputs.matrix }}
+    steps:
+      - name: 生成 build 矩阵（`all_slots=true` 才整表六槽位）
+        id: pick
+        shell: bash
+        env:
+          ALL_SLOTS: ${{ inputs.all_slots }}
+        run: |
+          set -euo pipefail
+          python3 - "$ALL_SLOTS" >> "$GITHUB_OUTPUT" <<'PY'
+          import json, sys
+          # 槽位表（唯一真相源）。mode："ci" = 默认在 CI 里构建；"probe" = 未验证，仅 all_slots=true 时构建。
+          # **没有交叉槽位**（M140）：每槽在自己的架构上原生构建，故无 `target` 键、产物一律在 target/release。
+          # 要加回交叉槽位：`target` 键 + `build_dir=target/<triple>/release` + `rustup target add` 与 cargo 的 `--target`。
+          SLOTS = [
+              # Windows x64：MSVC + 静态 CRT（+crt-static）→ exe 不依赖 VC++ 可再发行包，双击即用的单文件。
+              dict(slot="windows-x64", os="windows-latest", build_dir="target/release", rustflags="-C target-feature=+crt-static", mode="ci"),
+              # Windows arm64：**原生** `windows-11-arm`（4C/16G，公开仓库免费；GitHub 文档的 Standard runners 也列
+              # `windows-11-vs2026-arm`）。M140 前是在 windows-latest 上交叉，**CI 从未成功过一次**（v0.2.1 首跑红在
+              # 工具链体检，M141/M142 在此修）。原生还让 `ull --version` 冒烟真跑，dumpbin 走 Hostarm64 分支。
+              dict(slot="windows-arm64", os="windows-11-arm", build_dir="target/release",
+                   rustflags="-C target-feature=+crt-static", mode="ci"),
+              # ↓ 四档**未验证，不纳入 CI**：从未真构建成功、也没在真机跑过，默认一个都不编；`all_slots=true` 时照编
+              #   （将来验证 Linux/macOS 的唯一入口，别删）。真机验过后：mode 改 "ci" + 键加进 PUBLISH_SLOTS +
+              #   同步 README §1/§9 与 release-notes.md。Linux 固定 22.04 而非 latest：否则 glibc 地板跟着 runner 漂移。
+              dict(slot="linux-x64", os="ubuntu-22.04", build_dir="target/release", rustflags="", mode="probe"),
+              dict(slot="linux-arm64", os="ubuntu-22.04-arm", build_dir="target/release", rustflags="", mode="probe"),
+              # macOS：latest = arm64；Intel x64 用 macos-15-intel（macos-13 已下线）。
+              dict(slot="macos-arm64", os="macos-latest", build_dir="target/release", rustflags="", mode="probe"),
+              dict(slot="macos-x64", os="macos-15-intel", build_dir="target/release", rustflags="", mode="probe"),
+          ]
+          keep = [s for s in SLOTS if s["mode"] == "ci" or sys.argv[1] == "true"]
+          print("matrix=" + json.dumps({"include": keep}, separators=(",", ":")))
+          print("本次构建槽位：" + " ".join(s["slot"] for s in keep), file=sys.stderr)
+          PY
+
+  # 构建实体在 release-build.yml（`workflow_call`）。矩阵仍由上面 `plan` 生成、**在外层展开**：`strategy.matrix`
+  # 必须在调用侧求值（被调方只按单个槽位的四个入参跑），所以 `matrix.*` 只出现在这个 job 的 `with:` 里。
   build:
     name: build (${{ matrix.slot }})
+    needs: plan
     strategy:
       fail-fast: false
-      matrix:
-        include:
-          # Windows x64：MSVC + 静态 CRT（+crt-static）→ exe 不依赖 VC++ 可再发行包，
-          # 双击即用的单文件形态；UCRT 本身就是 Win10+ 的系统组件。
-          # 产物根 target/release；自检与打包都从 matrix.build_dir 取路径（不硬编码）。
-          - slot: windows-x64
-            os: windows-latest
-            build_dir: target/release
-            rustflags: -C target-feature=+crt-static
-          # Windows arm64：在 windows-latest（x64 宿主）上**交叉编译**到 aarch64-pc-windows-msvc。
-          # 为什么不用 windows-11-arm 原生 runner（GitHub 文档 2026 已把 `windows-11-arm` 与
-          # `windows-11-vs2026-arm` 列为公开仓库**免费**的标准 arm64 runner，原生路线可行）：
-          #   ① 双 Windows 槽位共用同一套已验证镜像/工具链，tag 重跑行为与既有槽位一致；
-          #   ② M50 的 dumpbin 定位链取的是 `Hostx64/x64/dumpbin.exe`，dumpbin 读 ARM64 PE 的
-          #      导入表没问题，而原生 ARM 宿主上那条链得再长一条 `Hostarm64/arm64` 分支——为一个
-          #      槽位放宽刚立的门禁不值得；
-          #   ③ 交叉编译产物路径变成 target/<triple>/release，已用 matrix.build_dir 参数化。
-          # 若将来改成原生：只需把 os 换成 windows-11-arm、删掉 target/rustflags 依赖并给 dumpbin
-          # 定位链补 Hostarm64 分支（届时再评估，不在这里预先放宽）。
-          - slot: windows-arm64
-            os: windows-latest
-            target: aarch64-pc-windows-msvc
-            build_dir: target/aarch64-pc-windows-msvc/release
-            rustflags: -C target-feature=+crt-static
-          # Linux：固定 ubuntu-22.04（glibc 2.35 地板）而不是 latest，
-          # 否则产物的 glibc 底线会跟着 runner 漂移（24.04 的 glibc 明显更高）。
-          - slot: linux-x64
-            os: ubuntu-22.04
-            build_dir: target/release
-          # Linux arm64：公开仓库免费的原生 ARM64 runner（原生构建，不做交叉）。
-          # 用 `ubuntu-22.04-arm` 而**不是** 24.04：与 x64 同 glibc 地板（2.35），
-          # 覆盖 Debian 12 / Ubuntu 22.04 arm64 / Raspberry Pi OS Bookworm（2.36）这类实际在跑的
-          # ARM 发行版；换 24.04 会把地板抬高、把上面前两个挡在门外。该家族标签有
-          # `ubuntu-22.04-arm` / `ubuntu-24.04-arm` / `ubuntu-26.04-arm`，均 4C/16GB、
-          # 公开仓库免费不限量（GitHub 文档 Standard runners for public repositories）。
-          - slot: linux-arm64
-            os: ubuntu-22.04-arm
-            build_dir: target/release
-          # macOS：latest = arm64；Intel x64 用 macos-15-intel（macos-13 已下线）。
-          - slot: macos-arm64
-            os: macos-latest
-            build_dir: target/release
-          - slot: macos-x64
-            os: macos-15-intel
-            build_dir: target/release
-    runs-on: ${{ matrix.os }}
-    steps:
-      - uses: actions/checkout@v4
-
-      - name: Linux 图形栈构建依赖（winit / femtovg 编译期需要）
-        if: runner.os == 'Linux'
-        shell: bash
-        run: |
-          sudo apt-get update
-          sudo apt-get install -y --no-install-recommends \
-            libxkbcommon-dev libfontconfig1-dev libgl1-mesa-dev libegl1-mesa-dev \
-            libwayland-dev libxcb1-dev
-
-      - uses: dtolnay/rust-toolchain@stable
-      - uses: Swatinem/rust-cache@v2
-
-      # 只有交叉编译槽位需要额外 target（原生槽位留空 → 本步整体跳过）。
-      # 不把 `${{ }}` 直接拼进 bash：与后面的打包步骤同一纪律，一律经 env 传入再展开。
-      - name: 追加交叉编译目标 ${{ matrix.target }}
-        if: matrix.target != ''
-        shell: bash
-        env:
-          TARGET: ${{ matrix.target }}
-        run: rustup target add "$TARGET"
-
-      # 交叉链接的前提是镜像里真有 ARM64 的 MSVC 库（VC `/lib/arm64/libcmt.lib`，+crt-static
-      # 就靠它）与 Windows SDK 的 ARM64 导入库（`um/arm64/kernel32.lib`）。缺了照样是失败，
-      # 但先给一句能照做的话，而不是让链接器吐一屏乱码才发现方向：门禁不降级，只把失败说清楚。
-      - name: Windows ARM64 交叉工具链体检
-        if: matrix.target == 'aarch64-pc-windows-msvc'
-        shell: bash
-        run: |
-          set -euo pipefail
-          roots=("C:/Program Files/Microsoft Visual Studio" "C:/Program Files (x86)/Microsoft Visual Studio")
-          vc_lib=$(find "${roots[@]}" -maxdepth 11 -type f -path '*/VC/Tools/MSVC/*/lib/arm64/libcmt.lib' 2>/dev/null | head -n1 || true)
-          sdk_version=$(ls -d "C:/Program Files (x86)/Windows Kits/10/Lib"/* 2>/dev/null | tail -n1 || true)
-          sdk_lib=""
-          if [ -n "$sdk_version" ]; then
-            sdk_lib=$(find "$sdk_version/um/arm64" -maxdepth 1 -name 'kernel32.lib' 2>/dev/null | head -n1 || true)
-          fi
-          echo "MSVC ARM64 静态 CRT:  ${vc_lib:-<缺失>}"
-          echo "SDK ARM64 导入库:     ${sdk_lib:-<缺失>}"
-          if [ -z "$vc_lib" ] || [ -z "$sdk_lib" ]; then
-            echo "::error::交叉链接缺 ARM64 库：给 VS 加上 Microsoft.VisualStudio.Component.VC.Tools.ARM64（含 ARM64 Windows SDK），或把该槽位改用原生 windows-11-arm runner"
-            exit 1
-          fi
-
-      - name: cargo build --release --locked
-        shell: bash
-        env:
-          RUSTFLAGS: ${{ matrix.rustflags }}
-          TARGET: ${{ matrix.target }}
-        run: |
-          set -euo pipefail
-          target_args=()
-          if [ -n "$TARGET" ]; then
-            target_args+=(--target "$TARGET")
-          fi
-          cargo build --release --locked "${target_args[@]}" --bin unlucky-launcher --bin ull
-
-      - name: Windows 单文件自检（导入表不得出现 VC++ 可再发行 DLL）
-        if: runner.os == 'Windows'
-        shell: bash
-        env:
-          # 跨槽位的关键点：产物在 target/<triple>/release 而不是 target/release。
-          EXE: ${{ matrix.build_dir }}/unlucky-launcher.exe
-        run: |
-          set -euo pipefail
-          # +crt-static 是否真的生效，只看导入表：出现 VCRUNTIME/MSVCP/msvcr/ucrtbase 说明还得装
-          # 可再发行包，那就不是"单文件"了，直接 fail。
-          #
-          # dumpbin 定位链（三级，全不命中才 fail —— 门禁不降级，只是把"猜路径"换成官方定位）：
-          #   ① vswhere：VS 官方定位器，安装器自身路径固定，与 VS 版本/版次/安装布局无关；
-          #   ② find 兜底：Program Files 与 Program Files (x86) 两个 VS 根都扫（Build Tools 落在 x86 根）；
-          #   ③ PATH：镜像若已把工具链预置进 PATH 则直接可用。
-          # PATH 排最后是刻意的：PATH 最不可控，官方定位器优先。
-          # Hostx64 的 dumpbin 读 ARM64 PE 的导入表没问题，所以 arm64 槽位共用同一条链。
-          VSWHERE="C:/Program Files (x86)/Microsoft Visual Studio/Installer/vswhere.exe"
-          DUMPBIN=""
-          VIA=""
-          if [ -x "$VSWHERE" ]; then
-            # -find 的模式优先用反斜杠（vswhere 官方文档即此形式），再试正斜杠以规避分隔符差异。
-            for pattern in 'VC\Tools\MSVC\*\bin\Hostx64\x64\dumpbin.exe' \
-                           'VC/Tools/MSVC/*/bin/Hostx64/x64/dumpbin.exe'; do
-              hit=$("$VSWHERE" -latest -products '*' -find "$pattern" 2>/dev/null | head -n1 || true)
-              if [ -n "$hit" ]; then
-                DUMPBIN=${hit//\\//}
-                VIA="vswhere"
-                break
-              fi
-            done
-          fi
-          if [ -z "$DUMPBIN" ]; then
-            # 镜像里的 VS 根形如 <年>/<版次>（2022/Enterprise、2022/BuildTools……），
-            # 固定层数的 glob 会在 <年>/<版次> 这两级踩空，所以按路径模式扫。
-            for root in "C:/Program Files/Microsoft Visual Studio" \
-                        "C:/Program Files (x86)/Microsoft Visual Studio"; do
-              [ -d "$root" ] || continue
-              hit=$(find "$root" -maxdepth 11 -type f \
-                      -path '*/VC/Tools/MSVC/*/bin/Hostx64/x64/dumpbin.exe' 2>/dev/null | head -n1 || true)
-              if [ -n "$hit" ]; then
-                DUMPBIN=$hit
-                VIA="find: $root"
-                break
-              fi
-            done
-          fi
-          if [ -z "$DUMPBIN" ]; then
-            hit=$(command -v dumpbin || true)
-            if [ -n "$hit" ]; then
-              DUMPBIN=$hit
-              VIA="PATH"
-            fi
-          fi
-          # 工具缺失同样 fail：windows-latest 自带 VS 工具链，基本找得到；
-          # "找不到就跳过"等于让这道门禁在最需要它的时候静默失效。
-          if [ -z "$DUMPBIN" ]; then
-            echo "::error::找不到 dumpbin，无法校验导入表（静态 CRT 门禁不降级）"
-            exit 1
-          fi
-          echo "dumpbin: $DUMPBIN（定位自 $VIA）"
-          ls -l "$EXE"
-          "$DUMPBIN" -nologo -dependents "$EXE" | tee dependents.txt
-          if grep -Eiq 'VCRUNTIME|MSVCP|MSVCR|ucrtbase\.dll' dependents.txt; then
-            echo "::error::静态 CRT 未生效：exe 仍动态依赖 VC++ 可再发行包"
-            exit 1
-          fi
-
-      - name: 打包（产物 + SHA256SUMS）
-        shell: bash
-        env:
-          # 不把 `${{ }}` 直接拼进 bash 脚本：git ref 名允许 `$`/反引号/`"`，一律经 env 传入再展开。
-          REF_TYPE: ${{ github.ref_type }}
-          TAG: ${{ github.ref_name }}
-          SLOT: ${{ matrix.slot }}
-          BUILD_DIR: ${{ matrix.build_dir }}
-        run: |
-          set -euo pipefail
-          # git-bash 与 Linux/macOS runner 的 python 入口名不一致，先探一遍。
-          PY=$(command -v python3 || command -v python)
-          # 槽位与产物根都从矩阵来：交叉槽位的二进制不在 target/release，脚本据此定位
-          # 并回读可执行文件头校验架构（宿主 x64 ≠ 产物 arm64 时冒烟自动跳过，只等 CI 真机）。
-          args=(--slot "$SLOT" --build-dir "$BUILD_DIR")
-          if [ "$REF_TYPE" = "tag" ]; then
-            args+=(--version "$TAG")   # 与 Cargo.toml 版本交叉校验
-          fi
-          "$PY" packaging/make_artifacts.py "${args[@]}" --out dist
-          ls -l dist
-
-      - name: 归档内容自检（二进制定位 + 合规文本）
-        shell: bash
-        run: |
-          set -euo pipefail
-          for archive in dist/*.tar.gz; do
-            [ -e "$archive" ] || continue
-            listing=$(tar -tzf "$archive")
-            for required in unlucky-launcher LICENSE NOTICE README.md; do
-              if ! grep -q "/$required$" <<<"$listing"; then
-                echo "::error file=$archive::$archive 缺少 $required"
-                exit 1
-              fi
-            done
-            echo "OK: $archive 含二进制与 LICENSE/NOTICE/README.md"
-          done
-          if ls dist/*.exe >/dev/null 2>&1; then
-            echo "Windows 单 exe 形态：LICENSE/NOTICE/README.md 作为 Release 资产并列分发"
-          fi
-
-      - uses: actions/upload-artifact@v4
-        with:
-          name: dist-${{ matrix.slot }}
-          path: dist
-          if-no-files-found: error
-          retention-days: 14
+      matrix: ${{ fromJSON(needs.plan.outputs.matrix) }}
+    # 可复用工作流的权限只取「调用方 ∩ 被调方」，且不继承调用方的 `env`：两边都声明 read（与原 build job 一致）。
+    permissions:
+      contents: read
+    uses: ./.github/workflows/release-build.yml
+    with:
+      slot: ${{ matrix.slot }}
+      os: ${{ matrix.os }}
+      build_dir: ${{ matrix.build_dir }}
+      rustflags: ${{ matrix.rustflags }}
+    secrets:
+      # （M149）微软登录的公共客户端 id：值来自仓库 Secret，被调方把它烘进发布二进制（`option_env!` 注入）。
+      # 可复用工作流拿不到调用方未显式传入的 secret，故必须按名传（与下面 PUBLISH_TOKEN 同一模式，
+      # 不用 `inherit`：那会把仓库全部 secret 一起透进被调方）。Secret 未录入时求值为空串，被调方把空白
+      # 当「没配」——产物只是不带 id，不会拿空 id 去联网。
+      ULL_MSA_CLIENT_ID: ${{ secrets.ULL_MSA_CLIENT_ID }}
 
   release:
     name: GitHub Release
     needs: build
-    if: github.ref_type == 'tag'
-    runs-on: ubuntu-latest
+    # `always()` + `!cancelled()`：白名单外的槽位（现在的 `windows-arm64`，以及只在 `all_slots` 取证跑里存在的四档）
+    # 红了**不能连坐** x64 发布 —— 真正拦发布的是被调方「发布白名单齐全性」那一步：白名单里少任何一个才 fail。
+    # tag 门禁留在这里（不在被调方）：分支 ref 的 dispatch 连发布 job 都不该起。
+    if: always() && !cancelled() && github.ref_type == 'tag'
+    # `contents: write` 必须由**调用方**授予：可复用工作流只能收窄权限、不能提权（交集语义）。
     permissions:
       contents: write
-    steps:
-      - uses: actions/checkout@v4
-
-      - uses: actions/download-artifact@v4
-        with:
-          path: dist
-          merge-multiple: true
-
-      - name: 矩阵完整性 + 重算全量 SHA256SUMS
-        shell: bash
-        run: |
-          set -euo pipefail
-          ls -l dist
-          # 六槽位全齐才发版：缺任意一个就 fail（宁可不出 Release，也不出少一档的 Release）。
-          for slot in windows-x64 windows-arm64 linux-x64 linux-arm64 macos-arm64 macos-x64; do
-            if ! compgen -G "dist/*-$slot*" >/dev/null; then
-              echo "::error::矩阵缺产物：$slot"
-              exit 1
-            fi
-          done
-          # 各平台任务各写一份 SHA256SUMS.txt，合并后只有一份是真的 —— 在 Release 侧重算。
-          cd dist
-          rm -f SHA256SUMS.txt
-          sha256sum unlucky-launcher-* > SHA256SUMS.txt
-          sha256sum -c SHA256SUMS.txt
-          cat SHA256SUMS.txt
-
-      - name: 生成 Release 说明（支持矩阵模板）
-        shell: bash
-        env:
-          TAG: ${{ github.ref_name }}
-        run: |
-          set -euo pipefail
-          python3 - <<'PY'
-          import os, pathlib
-          version = os.environ["TAG"].lstrip("v")
-          template = pathlib.Path("packaging/release-notes.md").read_text(encoding="utf-8")
-          sums = pathlib.Path("dist/SHA256SUMS.txt").read_text(encoding="utf-8").strip()
-          body = template.replace("{{VERSION}}", version).replace("{{SUMS}}", sums)
-          pathlib.Path("release-body.md").write_text(body, encoding="utf-8", newline="\n")
-          print(body[:400])
-          PY
-
-      - name: 创建或更新 GitHub Release（同 tag 重跑幂等）
-        env:
-          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
-          TAG: ${{ github.ref_name }}
-          PRERELEASE: ${{ inputs.prerelease }}
-        shell: bash
-        run: |
-          set -euo pipefail
-          base_flags=(--title "Unlucky Launcher $TAG" --notes-file release-body.md)
-          # pre-release 标记只在**显式要求**时才断言：
-          #   PRERELEASE=true / false —— 来自 tag ref 上的 workflow_dispatch 输入；
-          #   PRERELEASE 空        —— push 触发的运行或它的 Re-run，此时**不碰**该标记，
-          #                           否则会把用户手动提升为 stable 的 Release 静默翻回 pre-release。
-          # 首次创建（create）仍保持「pre-release 默认开」的老契约：空值按 true 处理。
-          create_mark=()
-          edit_mark=()
-          case "${PRERELEASE:-}" in
-            true)
-              create_mark=(--prerelease)
-              edit_mark=(--prerelease)
-              ;;
-            false)
-              edit_mark=(--prerelease=false)
-              ;;
-            "")
-              create_mark=(--prerelease)
-              ;;
-            *)
-              echo "::error::非预期的 inputs.prerelease 取值：$PRERELEASE"
-              exit 1
-              ;;
-          esac
-          # Windows 单 exe 装不下 LICENSE/NOTICE/README.md，这三份与产物并列挂到 Release 上，
-          # 保证每个下载平台的许可条款都随包分发。
-          assets=(dist/unlucky-launcher-* dist/SHA256SUMS.txt LICENSE NOTICE README.md)
-          if gh release view "$TAG" >/dev/null 2>&1; then
-            # 同 tag 重跑（补丁 / 重编）：Release 已存在 → 覆盖资产 + 刷新说明，
-            # 不再 `create`（那会因已存在而失败，把整条流水线在最后一步染红）。
-            gh release upload "$TAG" "${assets[@]}" --clobber
-            gh release edit "$TAG" "${base_flags[@]}" "${edit_mark[@]}"
-          else
-            gh release create "$TAG" "${assets[@]}" "${base_flags[@]}" "${create_mark[@]}"
-          fi
+    uses: ./.github/workflows/release-publish.yml
+    secrets:
+      # 可复用工作流拿不到调用方未显式传入的 secret；`gh release` 用的就是这一枚安装令牌。
+      PUBLISH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

.gitignore

@@ -18,6 +18,10 @@ dist/
 out/
 target/
 
+# Python bytecode (packaging/*.py 本地跑过就会生成；提交它会让每次 spawn 都打 WIP 快照)
+__pycache__/
+*.pyc
+
 # IDE
 .idea/
 .vscode/

Cargo.toml

@@ -3,16 +3,34 @@ resolver = "2"
 members = [
     "crates/core",
     "crates/agent",
-    "crates/app",
+    # M85（D26）：UI 框架无关的宿主层。Slint 版（crates/app）与 iced 版（crates/app-iced）
+    # 共用它；Slint 退役（M118 起 `crates/app` 已不是 workspace 成员）后只剩 iced 依赖，本 crate 不受影响。
+    "crates/presenter",
     "crates/cli",
     "crates/design",
     # P4（D26 iced 重写）第一步：与 Slint 版 `crates/app` 并存的新 UI crate。
     # bin 名 `unlucky-launcher-iced`，翻牌时才改名（见 DevDocs/SubAgentsTalk/app-iced-骨架与翻牌.md）。
+    # M118 起它是发布矩阵里**唯一**的 GUI 来源：发布了 Slint 版的那个 bin 名属于被排除的 `crates/app`。
     "crates/app-iced",
+    # M87（D40 第 2 层）：配色取色的解码适配层。**唯一**允许引入 `image` 类依赖的地方，
+    # 使 `crates/design` 能继续宣称「零第三方依赖」。
+    "crates/palette-extract",
+    # M92（D28）：国际化地基——语言探测 / 中英消息目录 / 中文字体策略。零第三方依赖、零 UI 依赖，
+    # 壳层（iced 版现在，别的壳将来）与 presenter 都依赖它，所以它不能认任何一个渲染框架。
+    "crates/i18n",
 ]
+# M118（D26）：`crates/app` 是 Slint 退役树 —— UI 已迁到 iced，目录与源码**原样保留**作历史
+# 参考（另一份参考资产见 DevDocs/ops/slint-reference/），但不再进默认构建与发布矩阵。摘出去的
+# 是整棵 slint 1.18 + usvg 0.48 依赖树：本机单路冷编 ≈14 分钟，而 CI 的 `--workspace` 每次都会
+# 编它，既拖长反馈，又会在并行超配时随机 OOM（见 DevDocs/00-踩坑记录-p2.md T7）。
+# 排除 ≠ 删除，但**它确实不再可编**：该 manifest 整份都是 `*.workspace = true` 继承写法，
+# 一旦不是 workspace 成员，继承无源、manifest 解析即失败（实测：
+# `cargo metadata --manifest-path crates/app/Cargo.toml` → "error inheriting `edition` …"）。
+# 要读这一版实现请直接读源码，别再尝试构建它。
+exclude = ["crates/app"]
 
 [workspace.package]
-version = "0.1.0"
+version = "0.2.2"
 edition = "2021"
 license = "Apache-2.0"
 authors = ["AskaEth <i@yeij.top>"]
@@ -58,6 +76,10 @@ zip = { version = "9", default-features = false, features = ["deflate-flate2-zli
 flate2 = "1"
 tar = "0.4"
 
+# M87（D40）：配色取色的解码适配层。版本与 `crates/app-iced` 的截图通道对齐（同一份
+# `image` 只编译一次）；编解码器由各 crate 自己按需开 feature，这里只钉版本。
+image = { version = "0.25", default-features = false }
+
 # UI 层唯一入口（D2：Slint，RF 2.0 轨道）。
 # 默认特性已含 backend-default + renderer-femtovg（GL）+ renderer-software（CPU 软渲染兜底，
 # Win7 老机无可用 GPU 时的降级路径，见 DevDocs/PlanDoc/01c-native-gui-options.md §6）。
@@ -95,3 +117,48 @@ lto = "fat"
 codegen-units = 1
 panic = "abort"
 strip = "symbols"
+
+# P6（M96）：日常迭代 / 本机验收用的「快」档，发布仍走上面的 release。
+# `inherits = "release"` 让其余各项（strip / debug / overflow-checks …）照抄 release，
+# 只覆盖拖慢构建的四处：
+# - lto = "thin"：跨 crate 内联仍有，但可以并行；fat LTO 在 codegen-units = 1 下等于
+#   全程序串行链接（375 个 crate 排队），一次性吃掉十几分钟。
+# - codegen-units = 16：给 codegen 留并行度，不再把整个 crate 挤成一个 CGU。
+# - opt-level = 2：介于 "z" 与 3 之间，"z" 会为了体积关掉一批循环/内联优化，代价是运行期。
+# - panic = "unwind"：release 是 panic = "abort"，inherits 会照抄。留着它是为了让 fast 档编出来的
+#   **二进制**走 unwind（panic 会栈展开，不是直接 abort）。
+#   ⚠️ 理由不是「不写就跑不了测试」：`cargo test` **不**依赖这一行 —— cargo 对 test 目标自己强制
+#   unwind。实测 `cargo test --profile release -p unlucky-i18n`（release = abort 档）照跑，23 个
+#   测试全过，且 test 单元的 rustc 参数里**没有** `-Cpanic=`。别拿「cargo test 能跑」当这行生效的证据；
+#   要看就用 `cargo build --profile {fast,release} -v` 比 rustc 参数：release 有 `panic=abort`，fast 没有。
+#
+# ⚠️ 定位（实测，别误读）：本机（12 核 + 机械盘源码盘 + -j 4）冷编译 fast = 24m27s，
+# **比 release 的 16m01s 还慢**，体积是 2.3 倍（36.41 vs 15.72 MiB GUI）。瓶颈在两个大
+# UI crate 的编译 + 链接 + 磁盘 IO，LTO/CGU 这几个旋钮被掩盖了。它的价值在 **SSD 机器**和
+# **增量重编**（thin 不必每次全程序 LTO）；「加了 fast 档」≠「冷编译会变快」。
+[profile.fast]
+inherits = "release"
+opt-level = 2
+lto = "thin"
+codegen-units = 16
+panic = "unwind"
+
+# P6（M96）：依赖不需要为体积做极致优化，但**实测结论与直觉相反**——把依赖的 opt-level 从
+# release 的 "z" 抬到 3（本档最初就是这么定的）会让冷编译**更慢**、体积还更大：
+# 同机冷编译 opt-3 = 22m45s / 19.46 MiB（GUI），opt-"z" = 16m01s / 15.72 MiB（两臂同为 cu16）。
+# 所以这里**opt-level 保持 "z"，只把并行度放到 16**；workspace 自己的 crate 仍吃 "z" / 单 CGU。
+# ⚠️ **未测**：cu1 → cu16 的收益本轮没有同条件对照（两臂都是 cu16，唯一自变量是 opt-level），
+# 所以「cu16 才是收益来源」不是实测结论，要归因得单独跑一轮 cu1 对照。另：GUI 体积相对旧基线
+# 涨了 12.9%（13.92 → 15.72 MiB），其中「代码增长」与「依赖 cu16」也没分离。
+# **只调优化强度**：panic 与 strip 绝不写进这里。那两项改变的是整个二进制的运行时行为
+# （panic 策略决定能否 unwind 出栈、strip 决定符号表留不留），不是「给依赖放宽」的范畴。
+[profile.release.package."*"]
+opt-level = "z"
+codegen-units = 16
+
+# `inherits = "release"` 会把 `[profile.release.package."*"]` **一起继承过来**（实测：删掉下面这块，
+# fast 档的外部依赖就从 opt-level 2 退回 `"z"`；workspace 成员不受 `*` 覆盖、仍是 fast 自己的 2）。
+# 所以这块**必须存在**，它是承重墙不是冗余兜底 —— 删掉会让 fast 档的依赖静默退回 `"z"`。
+[profile.fast.package."*"]
+opt-level = 2
+codegen-units = 16

NOTICE

@@ -7,16 +7,25 @@ Copyright 2026 AskaEth (YeiJ)
 第三方组件声明
 --------------------------------------------------------------------------
 
-1. Slint（https://slint.dev）
+1. Slint（https://slint.dev）——**历史源码，不随任何产物分发**
 
-   本产品的 GUI 层使用 Slint。Slint 以 Royalty-Free 2.0 许可（LicenseRef-Slint-Royalty-free-2.0）
-   使用，未修改 Slint 本体源码。
+   本产品**当前发布的 GUI 框架是 iced**（见第 3 节），二进制里不含任何 Slint 代码。
+   仓库里仍保留 Slint 版 GUI 的源码（`crates/app`），仅作历史参考：它已被 cargo workspace
+   `exclude`，不参与构建、测试与发布，也不会进入本项目的任何 Release 资产。
 
-   Slint Royalty-Free 2.0 的唯一义务：应用「关于」页显示官方 AboutSlint 部件，
-   或在公开下载页放置「Made with Slint」徽章。本项目的落地位置见 crates/app 的关于页（P2 排期）
-   与 GitHub Release 说明页；在此之前由本文件的声明承担告知义务。
+   因此 Slint Royalty-Free 2.0（LicenseRef-Slint-Royalty-free-2.0）**对当前产物不适用**；它适用的是
+   此前已发布、且确实链接了 Slint 的 `v0.1.0` 构建——义务挂在每一次「随应用分发」上，而不是挂在某个
+   版本号上。上游许可 §2 给出两种形式：(a) 在可从顶层菜单进入的「关于」页/对话框里显示官方
+   `AboutSlint` 部件（没有该页时改为启动画面）；(b) 在可下载该二进制的公开网页上显示官方归属徽章。
+   **`v0.1.0` 的设置页「关于」分组里内置了 `AboutSlint` 部件**（`crates/app/ui/pages/settings.slint`，
+   从侧栏进入）；该部件是否满足 §2(a) 的全部条件、以及 `v0.1.0` 发布页上那是文字链接而不是 §2(b) 点名的
+   官方徽章图这两点，**本文件不作法律判断**，具体以 Slint 官方许可原文为准。`v0.1.0` 的 NOTICE、发布页
+   说明与本文件这一节**都只是记录，不构成履行声明**。后续版本不再链接 Slint，该义务不随新产物新增；
+   本文件保留这一节，是为了不让这段历史丢失，而不是声明本产品依赖 Slint。
 
-   Slint 的其余许可分支（GPL-3.0-only / Slint Software License 3.0）本项目不适用。
+   若将来重新把 `crates/app` 纳入构建并发布链接 Slint 的二进制，该义务随之恢复——届时需同时恢复
+   AboutSlint 部件/徽章与本节的现行声明。Slint 的其余许可分支（GPL-3.0-only / Slint Software
+   License 3.0）本项目始终不适用。
 
 2. Google Material Color Utilities（https://github.com/material-foundation/material-color-utilities）
 
@@ -45,6 +54,8 @@ Copyright 2026 AskaEth (YeiJ)
 
 3. Rust crates 生态
 
+   当前 GUI 框架：iced 0.14（MIT），连同 winit（Apache-2.0）、wgpu（MIT OR Apache-2.0）、
+   tiny-skia（BSD-3-Clause）——它们都在下面的白名单内。
    cargo-deny 白名单见 deny.toml：Apache-2.0 / MIT / BSD-2-Clause / BSD-3-Clause / Zlib / BSL-1.0 / ISC /
    CC0-1.0 / MIT-0 / Unlicense / Unicode-3.0 / CDLA-Permissive-2.0 / Apache-2.0 WITH LLVM-exception。
    GPL 系（含 AGPL、LGPL 静态链接、SSPL）依赖不得进入主干。

README.md

@@ -2,93 +2,321 @@
 
 **English** · [简体中文](README.zh-CN.md)
 
-> **Official project home**: https://github.com/AskaEth/Unlucky-Launcher ｜ downloads, issues and
+> **Official project home**: <https://github.com/AskaEth/Unlucky-Launcher> ｜ downloads, issues and
 > release notes all live there: <https://github.com/AskaEth/Unlucky-Launcher/releases>
 
-Unlucky Launcher (ULL) is a free, open-source Minecraft: Java Edition launcher written in Rust
-(Apache-2.0). It ships as one native binary per platform — no installer, no bundled runtime, no
-WebView. The launcher embeds an AI agent client (chat / configuration / crash diagnosis) and can be
-attached to other agent tooling as an MCP server.
+Unlucky Launcher is a free, open-source **Minecraft: Java Edition** launcher written in Rust
+(Apache-2.0). It ships as **one native binary per platform** — no installer, no bundled runtime, no
+WebView — and covers the launcher job from installing a version to reading a crash report: instances
+and versions, mod loaders and modpacks, mods / resource packs / shaders, per-instance Java, Microsoft
+/ third-party / offline accounts, and a crash diagnosis that runs locally on a YAML rule engine.
+Nothing of yours goes through a service of ours: account tokens stay on the machine.
 
-## Highlights
+![The instances page: the local instance list on the left; on the right the selected instance's
+version, loader, isolation mode and last-played time](docs/images/instances-en-light.png)
 
-- **Single-file native binary**: the launcher itself needs no JVM, no WebView and no sidecar
-  runtime. The JDK a game needs is downloaded and managed per instance, not as a launcher
-  dependency.
-- **Two UI stacks during the rewrite**: the released UI is Slint (Royalty-Free 2.0); the
-  next-generation UI is iced 0.14 + Material 3 Expressive and is still being written (see Status).
-- **CPU software-rendering fallback**: `--software-renderer` keeps the interface rendering
-  normally on machines with no usable GPU or with broken drivers.
-- **AI agent + MCP**: chat, setting edits and crash diagnosis inside the launcher; `ull agent
-  serve` exposes the same core as an MCP server (stdio or Streamable HTTP) to external agent tools.
-- **Mod loaders**: Fabric, Quilt, NeoForge, Forge, with modpack and CurseForge / Modrinth clients in
-  the core.
-- **Java management**: a Temurin → Oracle → Microsoft → Zulu fallback chain, region-aware.
-- **Accounts**: sign in with a Microsoft account over OAuth 2.0 device code flow → Xbox Live →
-  XSTS → `api.minecraftservices.com`; account tokens are kept on this machine only.
-- **Engine**: multi-source download (health scoring, mirrors, chunked transfers, hash while
-  downloading) and a YAML rule-based crash diagnosis engine.
-- **License**: Apache-2.0 © AskaEth (YeiJ).
+*The instances page — 1180×760, English UI, light theme. The instance names are test data, not
+anybody's real setup. That `Launch failed · exit0 静默失败` line is also an honest sight of a known
+gap: the reason text is still raw Chinese straight out of the launch layer (see
+[Not done yet](#not-done-yet)).*
 
-## Status
+## What works today
 
-Two tracks. They are not the same product yet, so read the headings before downloading anything.
+### Instances, versions and launching
 
-### Track A — released: v0.1.0, Slint UI (this is what you can download today)
+- **Instances** — a list-detail page: the local instance list on the left; on the right the selected
+  instance's version, loader, isolation mode (an isolated game directory or the shared one),
+  files-on-disk state and last-played time, with Play / Stop. Narrow windows switch panes instead of
+  stacking them.
+- **Where an instance comes from** — installing a version (with a name, loader and loader version)
+  or importing a modpack. The instances page's own **New instance / Import / Duplicate / Open folder
+  / Delete** buttons are **not wired yet**: they are placeholder actions that only write a line to
+  stderr (`crates/app-iced/src/app/update/page_messages.rs`), and the instance wizard is the pending
+  piece (`crates/app-iced/src/pages/mod.rs`, deviation #8).
+- **Version management** — a three-column rail (version type / major version / search) over the
+  Mojang version list: release, snapshot and ancient versions, plus loader selection and a loader
+  version when you install. Cancelling an installation really stops it — the in-flight file is cut, the
+  job ends at the next stage boundary, and no instance is registered
+  (`crates/presenter/src/host/dispatch.rs:61-88`). The CLI can plan the same install without
+  downloading (`ull install --dry-run`: per-role file counts, total size, and one source-chain sample
+  per file category; the full file list is in `--json`).
+- **Launching** — a 10-stage command-line assembly (`crates/core/src/launch/`), per-instance JVM and
+  game arguments, a native-library pass, and a JSONL session record for every run. Process trees are
+  killed as trees, not as one PID.
+- **Crash diagnosis is real and local** — `crates/core/src/diagnose` collects five kinds of signals
+  (exit code, `latest.log`, `crash-reports`, `hs_err_pid` files, environment snapshot including the
+  mod list), matches them against a YAML rule set, and shows the findings with fix actions on the
+  logs page. No model, no network: it works offline and on a machine with no GPU.
 
-- **GitHub Releases `v0.1.0`** (2026-11-01, flagged pre-release): single-file assets for Windows
-  x64 (a bare `.exe`), Linux x64 and macOS (arm64 and x64) `.tar.gz`. Every release also carries
-  `SHA256SUMS.txt` and the `LICENSE` / `NOTICE` / `README.md` texts as separate assets; on Windows
-  those texts sit next to the `.exe` because a bare exe cannot hold them, while the unix archives
-  already contain them.
-- **UI**: Slint + Metro. This is the shipped GUI — the instance, download, account, Java, log and
-  settings pages all run on the core engine (the in-app AI chat panel is a scripted placeholder).
-- **CLI `ull`** is built from the same tree at the same version — but the `v0.1.0` assets ship
-  only the GUI binary. If you want the CLI, build it yourself:
-  `cargo build --release --bin ull`. Commands: `instances`, `install`, `launch`, `accounts`,
-  `sessions`, `logs`, `diag`, `config`, `java`, `agent`.
-- Windows ARM64 and Linux ARM64 slots are wired into the release pipeline; the next tagged release
-  builds them. The `v0.1.0` assets predate those two slots.
+### Mod loaders, packs and the content library
 
-### Track B — in progress on `dev`: next-generation UI (iced + Material 3 Expressive)
+- **Loaders** — Fabric, Quilt, NeoForge and Forge. Forge/NeoForge versions that need the official
+  installer `processors` really run them, with a managed JDK if the machine has none.
+- **Modpacks** — import a CurseForge manifest, a Modrinth `.mrpack`, or a MultiMC/Prism instance;
+  export as `.mrpack` or a CurseForge manifest. Cancelling an **import** is interface-level only: the
+  panel closes and the result is discarded, but the import thread runs to the end, because `core`'s
+  import request has no cancel token yet (`crates/presenter/src/host/addon/pack.rs:28-42`).
+- **Content library** — modpacks / mods / resource packs / shaders with keyword, source, version,
+  loader and sort filters, paged results, and one-click *install into this instance*.
+- **What that page will refuse, and says so on the row** — a modpack cannot be installed *from* the
+  library (packs go through the import pipeline above); CurseForge's *install* is disabled because
+  its file endpoint is not wired; and an item whose game version or loader does not match the target
+  instance is disabled with the mismatch spelled out. Nothing fails silently.
+- **CurseForge search needs a key** — set `ULL_CF_API_KEY` before launching; without it that source
+  is greyed out in the source filter. The key stays in the environment: it is not written to the
+  settings file and not logged (`crates/presenter/src/host/addon.rs`).
 
-**This track is not released yet — you can see it only by building from source.**
+### Java
 
-- **Locked direction**: the look is Material 3 Expressive and the framework is iced 0.14; the UI
-  layer is written from scratch. Neither the style nor the framework will change again.
-- **Done**: the token crate `crates/design` (no UI framework, no third-party crates — real HCT
-  color, type scale, shape scale, spacing, elevation, motion, icon geometry, per-component
-  metrics) and the skeleton crate `crates/app-iced` (opens a window, self-drawn title bar and
-  window buttons, navigation rail, colors and type taken from tokens only, GPU→CPU backend probe
-  with automatic fallback, and the screenshot/diff channel the visual reviews use).
-- **Not done**: the component library (buttons, dialogs, lists, menus, search, and the rest of the
-  M3 set), page migration, and the i18n pass. Every page in the iced binary is a placeholder.
-- **Slint stays until the flip**: `crates/app` remains the reference implementation until the iced
-  build passes equivalence acceptance; only then is `unlucky-launcher-iced` renamed to
-  `unlucky-launcher` and the Slint crate retired.
+A managed JDK per instance, with a four-vendor fallback chain ordered by region — Temurin first, then
+Oracle before Microsoft inside mainland China (measured 28× faster there) and Microsoft before Oracle
+elsewhere, Zulu last — overridable through the `java.vendorPriority` setting
+(`crates/core/src/game/java/vendor.rs`). Mirrors are region-aware too. `java list` shows every JDK it
+can actually see (including the ones the official launcher downloaded), `java install <major>` fetches
+one. The game's JDK is the launcher's data, not its own dependency.
 
-Binaries in the workspace, so you can tell them apart:
+### Accounts
 
-| Binary | Crate | State |
-|--------|-------|-------|
-| `unlucky-launcher` | `crates/app` (Slint) | released in v0.1.0; still the usable GUI |
-| `unlucky-launcher-iced` | `crates/app-iced` (iced 0.14) | under construction; skeleton only, not shipped |
-| `ull` | `crates/cli` | built from the same tree at the same version; not in the v0.1.0 assets |
+Three tracks on one page:
 
-## Module map
+- **Microsoft** — OAuth 2.0 device code flow → Xbox Live → XSTS → `api.minecraftservices.com`.
+- **Third-party community auth servers** (authlib-injector style).
+- **Local offline profiles**, for isolated testing.
+
+**Microsoft sign-in works out of the box in official builds.** Release binaries carry the Azure public
+client id they need (a public client id, not a credential — it ships inside the binary), so there is
+nothing to configure before signing in. Setting `ULL_MSA_CLIENT_ID=<id>` still overrides it: the
+variable is read at startup, so restart the launcher after changing it. Building from source bakes in
+whatever that variable holds at build time (`ULL_MSA_CLIENT_ID=<id> cargo build`). A build with no id
+anywhere stops before any network call, and its alert says exactly what is missing: the title
+"Microsoft sign-in is not configured", a body naming `ULL_MSA_CLIENT_ID=<id>` (set it, or build with
+it, then restart), and `Code: msa_not_configured`. It offers no Retry button, because retrying in that
+same process cannot help. Every other sign-in failure keeps the older shape: one category line plus
+its own `Code:` line, with the full reason only in the launcher log. Community auth servers and local
+profiles need no id.
+
+### Look and language
+
+- **One UI stack** — iced 0.14 + Material 3 Expressive, a self-drawn title bar, an animated
+  navigation rail, light / dark / follow-system.
+- **Appearance** — window background image with a colour pipeline (panel colours can be derived from
+  the wallpaper), per-panel transparency, and whole-window transparency on Windows. On Windows 11
+  and Server 2025 the system is asked for rounded corners; macOS and Linux leave corners to the
+  desktop's own rules; nothing is drawn by hand.
+- **CPU fallback** — `--software-renderer` keeps the interface rendering on machines with no usable
+  GPU or broken drivers, and the backend probe falls back on its own when no adapter is usable. On
+  that path panel-level translucency and blur are switched off (window-level transparency still
+  works) and the settings panel says so.
+- **Localisation** — system-language detection, an explicit override in settings, and persistence
+  across restarts. Most copy comes from one message catalogue (`crates/i18n`).
+  **Boundary, stated because it is easy to over-read that sentence**: the anti-hard-coding guard
+  (`crates/app-iced/src/pages/instances/tests/i18n.rs`) scans the instances page sources only, not
+  every screen; a hard-coded *Chinese* literal has no ASCII word for it to match, so nothing catches
+  that class; and the appearance panel's older controls are still hard-coded English
+  (`crates/app-iced/src/pages/appearance/section.rs`), so a Chinese UI still shows them in English.
+
+### The assistant, and the MCP server
+
+These are two different things and the README should not blur them:
+
+- **The in-app assistant is a placeholder shell today.** Its transport is scripted
+  (`crates/app-iced/src/presenter/transport.rs`), no real model is connected, and the UI says so in
+  four places on every screen it appears — subtitle, input placeholder, empty-state body, and a
+  "Simulated" chip. The session state, unread count, draft, confirm flow and named failure codes are
+  real presenter state; only the model behind them is not there yet.
+- **The MCP server is real.** `ull agent serve` exposes the launcher core to external agent tools as
+  an MCP server over stdio or Streamable HTTP, loopback only (`127.0.0.1`, default port 47823),
+  read-only unless `agent.mcp.allow_write=true`. The same ten tool specs (`crates/agent/src/tools/`)
+  feed both shapes, and both go through the same executor — schema validation, sensitivity tiers,
+  audit trail. `ull agent config` prints ready-made Claude Code / Cursor snippets.
+
+### Command line
+
+The GUI binary also answers every CLI subcommand **before any UI code runs** — no window, no renderer
+probe, no font scan. A second, lighter `ull` artifact serves the same command set from a binary that
+links no graphics stack at all.
+
+```bash
+unlucky-launcher                            # GUI
+unlucky-launcher --software-renderer        # GUI, CPU renderer
+unlucky-launcher instances list             # CLI, no window
+unlucky-launcher --json launch 1.20.1       # CLI, global options before the command
+unlucky-launcher --version                  # CLI, version + OS summary
+```
+
+The dispatch rule is deliberately narrow, so nothing that used to work changed meaning:
+
+- The first argument is a bare word (not `-…`) → it sits in the subcommand position, so the CLI gets
+  it. GUI flags never appear there: `--screenshot` / `--diff` / `--data-dir` take their values
+  *after* the flag.
+- The first argument is a flag → the line is a CLI call only if `crates/cli`'s parser also produces a
+  real command (`--help`, `--version`, `--json instances list`). `--data-dir X` alone parses to "no
+  subcommand", so it still opens the GUI; every GUI-only flag (`--software-renderer`,
+  `--screenshot*`, `--renderer`, `--theme`, `--diff`, `--force-state`, …) fails CLI parsing, so it
+  still opens the GUI.
+
+**Unknown subcommands are an error, not a GUI launch**: `unlucky-launcher lst` prints "未知命令
+`lst`", hints `unlucky-launcher --help`, and exits 1. Silently opening a window would tell a script
+that its typo took effect. The subcommand table lives in exactly one place
+(`crates/cli/src/cli/parse.rs`), so both binaries accept the same set by construction. `ull --help`
+lists them all: `instances`, `install`, `launch`, `pack import`, `accounts`, `sessions`, `logs`,
+`diag`, `config`, `java`, `agent`, `version`, `help`.
+
+### Not done yet
+
+This list is the reason to believe the rest. None of it is hidden behind marketing copy.
+
+- **No installer and no auto-update channel.** You download a file and run it. Nothing checks for a
+  newer version for you, and there is no update source decided yet.
+- **Several buttons are placeholders.** On the instances page: *New instance*, *Import*, *Duplicate*,
+  *Open folder*, *Delete*. On the logs page: *Open folder*. In the settings frame: *Save*, *Reset
+  section*, *Add override*. Each writes `[page] 占位动作 …` to stderr and changes nothing — instance
+  management from the GUI is the instance-wizard work still outstanding, and settings change as you
+  edit them rather than on a Save.
+- **Linux and macOS artifacts are unverified, and this release does not even build them.** The
+  reference machine is Windows; the `linux-x64`, `linux-arm64`, `macos-arm64` and `macos-x64` slots
+  sit in the CI matrix but the default release run skips them, and they have never been downloaded and
+  run end to end. `gh workflow run release.yml -f all_slots=true` builds them for evidence. Treat them
+  as untested output, not as "supported because the matrix lists them".
+- **macOS is not finalised.** It has two rounds of real-device evidence (Apple Silicon), which is why
+  the build exists — but the menu-bar name, the placement of the three window buttons (macOS puts
+  them top-left; ours are drawn top-right), and 300s+ steady state still need a real machine. macOS
+  builds are unsigned, so the first launch needs the Gatekeeper quarantine attribute cleared
+  (`xattr -d com.apple.quarantine`). The macOS runtime smoke job is a manual `workflow_dispatch`
+  probe with `continue-on-error`, not a gate.
+- **The content library is cramped at low window heights**, and the window height is not wired into
+  the page model yet — the page lays itself out for a nominal height rather than the one it gets.
+- **Launch-side failure text is not structured.** The tile takes a Chinese sentence straight from the
+  launch layer (`crates/core/src/launch/exit_analysis.rs`) instead of a reason code the UI could
+  translate — which is exactly the `静默失败` you can see in the English screenshot above.
+- **The in-app assistant has no model behind it** (see above). The MCP server does.
+- **Pack import has two global policies**, keep-user or overwrite, not a per-file choice; the import
+  report lists every conflict so nothing is overwritten silently.
+- **Install progress is stage-level**, not byte-level, on the content-library install path.
+- **No native file chooser.** Import takes drag-and-drop or a pasted path.
+- **Android/Termux is experimental and not promised**: no released asset targets it. A GUI build is
+  possible from source via the glibc toolchain (`packaging/docs/termux-glibc-build.md`, branch notes:
+  [`README.termux.md`](README.termux.md)); it was verified on-device twice: once on CPU software rendering, once with GPU acceleration via a self-built Mesa/turnip stack (see the evidence in README.termux.md).
+
+## Download and run
+
+Grab the file for your platform from
+[Releases](https://github.com/AskaEth/Unlucky-Launcher/releases). Names follow
+`unlucky-launcher_<version>_<platform>_<arch>`; the single source of truth for that shape is
+`packaging/make_artifacts.py::asset_stem()`:
+
+| Slot | Asset | Shape |
+|------|-------|-------|
+| `windows-x64` | `unlucky-launcher_<version>_windows_x64.exe` | bare `.exe`, double-click to run |
+| `windows-arm64` | `unlucky-launcher_<version>_windows_arm64.exe` | bare `.exe` — **not yet published**, see below |
+| `linux-x64` | `unlucky-launcher_<version>_linux_x64.tar.gz` | one archive, one top-level directory — **not yet published** |
+| `linux-arm64` | `unlucky-launcher_<version>_linux_arm64.tar.gz` | same — **not yet published** |
+| `macos-arm64` | `unlucky-launcher_<version>_macos_arm64.tar.gz` | same — **not yet published** |
+| `macos-x64` | `unlucky-launcher_<version>_macos_x64.tar.gz` | same — **not yet published** |
+| every published slot | `ull_<version>_<platform>_<arch>[.exe]` | bare CLI binary, its own asset |
+| all | `SHA256SUMS.txt` | `sha256sum -c` eats it directly |
+
+**This release publishes `windows-x64` and nothing else.** The publish job keeps only the slots named
+in `PUBLISH_SLOTS` (`.github/workflows/release-publish.yml`) and deletes every other artifact before
+it writes `SHA256SUMS.txt`, so a row marked **not yet published** is a naming rule, not a downloadable
+asset. Of those rows `windows-arm64` is the one CI still builds — natively, on GitHub's
+`windows-11-arm` runner, for evidence — but that slot's toolchain check has not gone green yet, so its
+`.exe` stays out of the release. The row stays because the architecture is still supported; it rejoins
+the download list once the build is green.
+
+Each UNIX archive contains the executable plus `LICENSE`, `NOTICE` and `README.md`, in one top-level
+directory. Windows ships a bare `.exe` (a single file cannot carry the texts), so those three
+documents are attached to the release next to it — downloading the Windows binary does not strip the
+licence. Download links never carry implementation detail in the name, and the binary inside an
+archive is always called `unlucky-launcher`.
+
+The two shapes are not duplicates. The GUI binary needs the graphics stack when it opens a window (it
+`dlopen`s X11 / Wayland / GL and links `libfontconfig` at load); `ull` needs nothing beyond glibc, so
+it runs on a server or a CI container where no window can exist. On Linux that floor is glibc ≥ 2.35
+(the slots build on Ubuntu 22.04) — an older distribution needs a source build
+(`packaging/README.md` §4). Pick `ull` when there is no desktop, `unlucky-launcher <command>` when
+there is. Both print the same CLI text and each names itself after the file you ran — `argv[0]` with
+its directory and a trailing `.exe` removed, nothing else (`crates/cli/src/cli/program.rs`), so the
+`ull` asset prints `ull ·`, the binary inside an archive prints `unlucky-launcher ·`, and a local
+`cargo build` prints `unlucky-launcher-iced ·`.
+
+Minimum platform baseline: **Windows 10**; Windows 8.1 / 8 / 7 are not supported. macOS 12+ on Apple
+Silicon and Intel, Linux x64 / arm64 (`crates/core/src/platform/os_info.rs` holds the baseline
+check). On Windows 10/11 the builds use the standard toolchain (MSVC / GNU), built the same way as
+upstream cargo. On Linux, X11 is the preferred path today and Wayland is the long-term direction.
+Capability differences are feature gates with runtime probing, never a compile-time "this platform
+gets less".
+
+First run with a Microsoft account? Nothing to configure — official builds carry the client id; see
+[Accounts](#accounts). Nothing else needs configuring.
+
+## Build from source
+
+Prerequisites:
+
+- Rust stable (`rust-toolchain.toml` selects the toolchain automatically; the gates also need the
+  `rustfmt` and `clippy` components)
+- Windows: MSVC toolchain (what CI uses) or MinGW-w64 (`x86_64-pc-windows-gnu`)
+- Linux: `libxkbcommon-dev libfontconfig1-dev libgl1-mesa-dev libegl1-mesa-dev libwayland-dev
+  libxcb1-dev` — winit + wgpu/tiny-skia ask for these at build time
+
+```bash
+cargo fmt --all --check                                # formatting
+cargo clippy --workspace --all-targets -- -D warnings  # lints (zero-warning gate)
+cargo test --workspace                                 # tests
+cargo build --release                                  # binaries land in target/release/
+cargo deny check licenses bans sources                 # dependency licences (required in CI)
+```
+
+What the build produces:
+
+- A build from source carries no Microsoft client id by default. Set `ULL_MSA_CLIENT_ID` at build time
+  to bake one in (`ULL_MSA_CLIENT_ID=<id> cargo build`); official release binaries already carry one
+  — see [Accounts](#accounts).
+- `unlucky-launcher-iced` — the GUI, and the CLI in the same file: it answers every subcommand listed
+  above. `iced` is cargo's bin name, not a download name — `packaging/make_artifacts.py` stages that
+  same build as `unlucky-launcher_<version>_<platform>_<arch>` and names the binary
+  `unlucky-launcher` inside the archive.
+- `ull` — the CLI as a standalone, UI-free binary. Same command set, no graphics stack, smaller, and
+  the right artifact for a machine that has no display at all.
+
+Rendering switches:
+
+- `unlucky-launcher-iced --software-renderer` forces tiny-skia (`ICED_BACKEND=tiny-skia`);
+  `--screenshot <png>` writes one frame and exits — that is the acceptance channel CI's headless
+  smoke job uses
+- With no usable adapter the iced build's explicit probe falls back to the CPU path on its own
+
+**CI gates.** Every push to `main` and every pull request runs fmt / clippy (warnings are errors) /
+the full test suite, and the Linux headless render smoke is a hard gate on the same footing: it
+renders one real frame under Xvfb, then asserts the PNG is not blank, and a red result blocks the
+merge. The macOS probe is not there yet — manual dispatch only, result recorded but not enforced.
+
+| Workflow | Content |
+|----------|---------|
+| `.github/workflows/ci.yml` | fmt + clippy + test + release build (Windows / Linux matrix); Linux runtime smoke (Xvfb, one real frame, PNG asserted non-blank); macOS runtime probe (manual dispatch only) |
+| `.github/workflows/guards.yml` | zero-UI guards (`crates/core`, `crates/presenter`, `crates/design`), 400-lines-per-file guard, cargo-deny licence and source guard |
+| `.github/workflows/release.yml` | tag `v*` → build both Windows slots (`windows-x64` + `windows-arm64`) on native runners → single-file artifacts + `SHA256SUMS.txt` → GitHub Release (publishes `windows-x64` only; `-f all_slots=true` builds all six slots for evidence) |
+
+## Architecture and module map
 
 ```
 Unlucky-Launcher (cargo workspace)
 ├── crates/core       # domain library: zero UI dependencies, eight modules
 ├── crates/agent      # AI agent: ToolSpec registry + built-in client + MCP server (one core, two shapes)
+├── crates/presenter  # business host layer: framework-free state / host / dto / conversion
 ├── crates/design     # design tokens: real HCT color / type / shape / spacing / elevation / motion / icons
 │                     #   / component metrics — zero UI dependencies, no third-party crates
-├── crates/app        # Slint UI (bin `unlucky-launcher`): the released GUI, kept until equivalence acceptance
-├── crates/app-iced   # next-generation iced UI (bin `unlucky-launcher-iced`): under construction
+├── crates/i18n       # language detection, message catalogue, CJK font policy
+├── crates/palette-extract  # the only crate that decodes images, for the wallpaper colour pipeline
+├── crates/app-iced   # the iced UI (bin `unlucky-launcher-iced`): the only GUI the workspace builds
 ├── crates/cli        # CLI (bin `ull`): headless, zero UI
 └── packaging         # single-file artifact matrix and release scripts
 ```
 
+Layering: `app-iced` → `presenter` → `core` / `agent`. `design` and `i18n` are consumed by the shell
+and the presenter; none of them may depend on a rendering framework, and CI guards enforce it.
+
 The eight modules of `crates/core`:
 
 | Module | Responsibility |
@@ -97,86 +325,17 @@ The eight modules of `crates/core`:
 | `download` | multi-source health scoring, mirrors, chunked downloads, hash-while-downloading |
 | `game` | version / instance repository, snapshots and inheritance resolution |
 | `launch` | 10-stage launch pipeline, processes, JSONL event stream |
-| `auth` | Microsoft sign-in (OAuth 2.0 device code → Xbox Live → XSTS → Minecraft Services) |
-| `addon` | mod loader installation, modpacks, CurseForge / Modrinth |
+| `auth` | Microsoft sign-in (OAuth 2.0 device code → Xbox Live → XSTS → Minecraft Services), third-party community servers, local profiles |
+| `addon` | mod loader installation, modpack import, CurseForge / Modrinth, pack export |
 | `diagnose` | five signal collectors, YAML rule engine, hs_err parsing |
 | `platform` | OS abstraction: paths, processes, file locks, capability probing, runtime OS detection |
 
-## Building
-
-Prerequisites:
-
-- Rust stable (`rust-toolchain.toml` selects the toolchain automatically; the gates also need the
-  `rustfmt` and `clippy` components)
-- Windows: MSVC toolchain (what CI uses) or MinGW-w64 (`x86_64-pc-windows-gnu`)
-- Linux: `libxkbcommon-dev libfontconfig1-dev libgl1-mesa-dev libegl1-mesa-dev libwayland-dev
-  libxcb1-dev` — needed by both UI stacks (Slint's winit + femtovg, iced's winit + wgpu/tiny-skia)
-
-```bash
-cargo fmt --all --check                                # formatting
-cargo clippy --workspace --all-targets -- -D warnings  # lints (zero-warning gate)
-cargo test --workspace                                 # tests
-cargo build --release                                  # binaries land in target/release/
-```
-
-What the build produces:
-
-- `unlucky-launcher` — the Slint UI (the released one)
-- `unlucky-launcher-iced` — the iced UI skeleton. The name is temporary: it can only become
-  `unlucky-launcher` at the flip, because two crates in one workspace cannot emit the same binary
-  name into the same target directory.
-- `ull` — the CLI
-
-Rendering switches:
-
-- `unlucky-launcher --software-renderer` (equivalent to `SLINT_BACKEND=winit-software`) forces the
-  CPU path on the Slint build
-- `unlucky-launcher-iced --software-renderer` forces tiny-skia (`ICED_BACKEND=tiny-skia`);
-  `--screenshot <png>` writes one frame and exits, which is the acceptance channel
-- Both stacks fall back to the CPU path when no usable adapter is there: the Slint build through its
-  own renderer fallback chain, the iced build through its explicit probe
-
-Dependency license check (optional locally, required in CI):
-`cargo deny check licenses bans sources`.
-
-## CI gates
-
-Every push to `main` and every pull request runs fmt / clippy (warnings are errors) / the full test
-suite, and the Linux headless render smoke is a hard gate on the same footing: a red result blocks
-the merge. The macOS runtime probe is not there yet — it only runs on a manual `workflow_dispatch`
-and its result is recorded, not enforced (`continue-on-error`), until the slot passes a first run on
-a real runner.
-
-| Workflow | Content |
-|----------|---------|
-| `.github/workflows/ci.yml` | fmt + clippy + test + release build (Windows / Linux matrix); Linux runtime smoke (Xvfb: renders one real frame, then asserts the PNG is not blank); macOS runtime probe (manual dispatch only) |
-| `.github/workflows/guards.yml` | zero-UI guard for `crates/core` (manifest plus `cargo tree`), 400-lines-per-file guard, cargo-deny license and source guard |
-| `.github/workflows/release.yml` | tag `v*` → per-slot builds → single-file artifacts + `SHA256SUMS.txt` → GitHub Release |
-
-## Platform baseline
-
-Minimum baseline: **Windows 10**; Windows 8.1 / 8 / 7 are not supported.
-
-- Windows 10/11 builds use the **standard toolchain** (MSVC / GNU), built the same way as
-  upstream cargo
-- macOS 12+ (Apple Silicon and Intel) and Linux x64 / arm64 are supported build slots; on Linux,
-  X11 is the preferred path today and Wayland is the long-term direction. macOS builds are unsigned,
-  so the first launch needs the Gatekeeper quarantine attribute cleared
-  (`xattr -d com.apple.quarantine`)
-- Android Termux is experimental and not promised: CLI only, GUI unverified
-- Each platform runs its own test matrix; capability differences use feature gates with runtime
-  probing.
-
 ## License and acknowledgements
 
 - **This project**: Apache License 2.0, see [LICENSE](LICENSE); third-party notices in
   [NOTICE](NOTICE).
-- **Slint** (<https://slint.dev>), Royalty-Free 2.0: obligation for the Slint build that v0.1.0
-  ships — an `AboutSlint` widget on the about page (still outstanding) and, until it lands, the
-  NOTICE file, this section and a "Made with Slint" note on the release page. The obligation is
-  kept for as long as a Slint-linked binary ships.
-- **iced** (<https://github.com/iced-rs/iced>), MIT: the framework of the next-generation UI,
-  together with `winit` and, through it, `wgpu` / `tiny-skia` (Apache-2.0 / MIT).
+- **iced** (<https://github.com/iced-rs/iced>), MIT: the framework of the UI, together with `winit`
+  (Apache-2.0) and, through it, `wgpu` (MIT / Apache-2.0) / `tiny-skia` (BSD-3-Clause).
 - **Google Material Color Utilities** (Apache-2.0): the color tokens in `crates/design` are a Rust
   port of its HCT / ColorSpec2021 algorithms; details and the exact ported functions are listed in
   [NOTICE](NOTICE).
@@ -188,5 +347,3 @@ Minimum baseline: **Windows 10**; Windows 8.1 / 8 / 7 are not supported.
 Thanks to [HMCL](https://github.com/HMCL-dev/HMCL) and [PCL2](https://github.com/Meloong-Git/PCL)
 (both GPL-3.0). They have been with the vast majority of Minecraft players for years, and this
 project has benefited a great deal from their design choices and implementation details.
-
-Not affiliated with Mojang or Microsoft.

README.termux.md

@@ -0,0 +1,59 @@
+# Unlucky Launcher · Termux 适配（`termux-glibc` 分支）
+
+这条分支把启动器带到 **Termux（Android）**：用 glibc 工具链编出 `aarch64-unknown-linux-gnu`
+二进制，在 **termux-x11** 里跑 GUI；同时补上 Termux 平台识别、系统 JDK 安装与中文字体。
+
+> 给主线的改动清单、兼容性说明与合并指南见
+> [`TERMUX-ADAPTATION.md`](TERMUX-ADAPTATION.md)。
+
+## 已验证
+
+| 项 | 状态 | 证据 |
+| --- | --- | --- |
+| 源码构建（GUI + CLI） | ✅ | Rust 1.99.1 gnu + clang/lld + glibc 运行时；GPU 构建（wgpu）默认带 CPU 兜底 |
+| 窗口显示 | ✅ | termux-x11 `:0`，横屏 1657×1067，首帧 ~60 ms（GPU） |
+| 中文 | ✅ | 启动时注册 `/system/fonts/NotoSansCJK-Regular.ttc` |
+| 微软登录 id | ✅ | 构建期注入，日志 `client_id=configured source=build` |
+| 横屏适配 | ✅ | 默认窗口按 X 屏幕等比自适应（`source=termux-screen`） |
+| Java 发现 | ✅ | `JAVA_HOME`/PATH + `$PREFIX/lib/jvm` 扫描 |
+| Java 自动安装 | ✅ | `ull java install 17` 由内置镜像装完 openjdk-17（约 20 s） |
+| GPU（wgpu） | ✅ | 自编 Mesa 26.2.6 + KGSL；wgpu 选中 Adreno 840（Vulkan/turnip） |
+| Minecraft 运行 | ✅ | 真机 1.20.4 跑通：glibc JRE + arm64 natives + softpipe GL，主菜单在 X11 渲染 |
+
+## 快速开始
+
+完整配方（工具链、patchelf、linker、门禁）见
+[`packaging/docs/termux-glibc-build.md`](packaging/docs/termux-glibc-build.md)。最短路径：
+
+```sh
+termux-x11 :0 -ac &
+DISPLAY=:0 ./unlucky-launcher-iced        # 默认 auto：有驱动走 GPU，没有则自动降级 CPU
+```
+
+- GPU 驱动不随 Termux 源提供，需要按构建文档 §5 自己编一次 Mesa 26 + ICD；
+  不装也能跑，只是 `auto` 会落到 tiny-skia（CPU）。
+- 想强制某一侧：`--renderer=gpu` / `--software-renderer`。
+- 窗口尺寸默认按屏幕自适应；`ULL_WINDOW_SIZE=1520x900` 可覆盖。
+- Java：`ull java install 17|21|25` 在 Termux 上默认用系统包（内置镜像 + 隔离 apt 状态）。
+- **数据根**：Portable 模式按**可执行文件所在目录**生成 `.ULL` / `.minecraft`；
+  换目录启动会看到另一套实例（`--data-dir` 目前接受并忽略）。
+
+## 已知边界
+
+- 仅单机（OnePlus 15 / Android 17）验证，试验级、不在发布矩阵内。
+- **GPU**：已打通，但驱动是自编的（Mesa 26.2.6 + KGSL），装到
+  `$PREFIX/glibc/{lib,share/vulkan/icd.d}` 后应用会自动启用；Termux 官方源里的
+  glibc Mesa 太旧（24.2.6 不认识 Adreno 840）。驱动缺失时自动降级 CPU，不会崩。
+- **MC**：Android 原生 natives 走不通（LWJGL 没有官方 Android/bionic 产物，且 GLFW 的
+  窗口模型与 termux-x11 的 X11 不兼容）。有效路线是 glibc JVM，已真机跑通 1.20.4：
+  Temurin 21 JRE（patchelf 后直接执行）+ Linux arm64 natives（启动器自动改写/镜像兜底）
+  + softpipe GL。非致命项：narrator 的 flite 缺失、LWJGL JNI 版本告警；
+  softpipe 是软件渲染，帧率有限，zink（硬件 GL）仍卡 DRI3。
+- Termux 上三条测试失败是环境差异（`/proc/*/children`、长路径脱敏、mtime flaky），
+  PC 的 Linux CI 不受影响。
+
+## 后续
+
+1. zink 的 DRI3 问题（硬件 GL；当前 softpipe 可跑但慢）——这是 MC 帧率的主要瓶颈
+2. 剪贴板/IME 在 termux-x11 下的行为验证
+3. narrator/flite 与音频设备（当前 missing 但不阻断）

README.zh-CN.md

@@ -2,83 +2,267 @@
 
 [English](README.md) · **简体中文**
 
-> **官方项目主页**：https://github.com/AskaEth/Unlucky-Launcher ｜ 下载、议题、发布说明都在这里：
+> **官方项目主页**：<https://github.com/AskaEth/Unlucky-Launcher> ｜ 下载、议题、发布说明都在这里：
 > <https://github.com/AskaEth/Unlucky-Launcher/releases>
 
-Unlucky Launcher（ULL）是一个用 Rust 写的免费开源 Minecraft: Java 版启动器（Apache-2.0）。
-每个平台就一个原生二进制——没有安装包、没有捆绑运行时、没有 WebView。启动器内置 AI Agent
-客户端（对话 / 改配置 / 崩溃诊断），也能作为 MCP server 接进别的 Agent 工具。
+Unlucky Launcher 是一个用 Rust 写的免费开源 **Minecraft: Java 版**启动器（Apache-2.0）。每个平台就是
+**一个原生二进制**——没有安装包、没有捆绑运行时、没有 WebView——从装一个版本到读懂一次崩溃，它把启动器
+该做的事都覆盖了：实例与版本、加载器与整合包、Mod / 资源包 / 光影、逐实例 Java、微软 / 第三方社区服 /
+本地离线账户，以及一套在本地按 YAML 规则跑的崩溃诊断。你的数据不经过我们自己的任何服务：账户令牌只
+留在本机。
 
-## 特性
+![实例页：左侧是本地实例列表，右侧是所选实例的版本、加载器、隔离方式与上次游玩时间](docs/images/instances-en-light.png)
 
-- **单文件原生二进制**：启动器本体不需要 JVM、不需要 WebView、不带旁挂运行时。游戏要的 JDK 由
-  启动器按实例下载管理，不是启动器的依赖。
-- **重写期两套 UI 并存**：已发布版本是 Slint（Royalty-Free 2.0）；下一代 UI 是 iced 0.14 +
-  Material 3 Expressive，目前仍在写（见「当前状态」）。
-- **CPU 软渲染兜底**：`--software-renderer` 让没有可用 GPU 或驱动有问题的老机也能正常显示界面。
-- **AI Agent + MCP**：启动器内可对话、改设置、读崩溃诊断；`ull agent serve` 把同一个内核以 MCP
-  server 形态（stdio 或 Streamable HTTP）开放给外部 Agent 工具。
-- **加载器**：Fabric / Quilt / NeoForge / Forge；整合包与 CurseForge / Modrinth 客户端在 core 里。
-- **Java 管理**：Temurin → Oracle → Microsoft → Zulu 回退链，带地区判定。
-- **账户**：用 Microsoft 账户登录，认证走 OAuth 2.0 device code flow → Xbox Live → XSTS →
-  `api.minecraftservices.com`；账户令牌只保存在本机。
-- **引擎**：多源下载（健康度评分、镜像、分块传输、边下边算）与 YAML 规则引擎的崩溃诊断。
-- **许可**：Apache-2.0 © AskaEth (YeiJ)。
+*实例页——1180×760，英文界面，浅色档。实例名是测试数据，不是谁的真实存档。图里那句
+`Launch failed · exit0 静默失败` 也正好是一处已知缺口的诚实样子：那行原因仍是启动层直接抛出来的中文
+原文（见[还没做](#还没做)）。*
 
-## 当前状态
+## 现在能用什么
 
-两条轨道，还不是同一个东西——看小标题再决定下载什么。
+### 实例、版本与启动
 
-### 轨道 A —— 已发布：v0.1.0，Slint 版（现在能下载的就是它）
+- **实例**——list-detail 版式：左侧是本地实例列表；右侧是所选实例的版本、加载器、隔离方式（独立游戏
+  目录或共享目录）、文件是否在盘上、上次游玩时间，以及 Play / Stop。窄窗是把两个面板整页切换，不是上下堆。
+- **实例从哪来**——装一个版本（带实例名、加载器与加载器版本），或者导入一个整合包。实例页自己的
+  **新建实例 / 导入 / 复制 / 打开文件夹 / 删除** 五个按钮**还没接后端**：它们是占位动作，点了只往
+  stderr 写一行（`crates/app-iced/src/app/update/page_messages.rs`），欠的是实例向导
+  （`crates/app-iced/src/pages/mod.rs` 偏离 #8）。
+- **版本管理**——三栏（版本类型 / 主版本 / 搜索）读 Mojang 版本清单：正式版、快照、远古版；安装时可选
+  加载器与加载器版本。取消安装是真停：在下一个段边界收手，在飞的那个文件就地掐断，且不登记实例
+  （`crates/presenter/src/host/dispatch.rs:61-88`）。命令行还能只出计划不下载（`--dry-run`：按类的文件数
+  与总大小，人类可读输出里每类给一个源链样本；整份文件清单在 `--json` 里）。
+- **启动**——10 阶段命令行组装（`crates/core/src/launch/`）、逐实例 JVM 与游戏参数、原生库解压落位，
+  每次运行留一份 JSONL 会话记录。进程按**进程树**杀，不是只杀一个 PID。
+- **崩溃诊断是真的、也是本地的**——`crates/core/src/diagnose` 采五类信号（退出码、`latest.log`、
+  `crash-reports`、`hs_err_pid`、含 mod 清单的环境快照），按 YAML 规则集匹配，把结论与修复动作显示在
+  日志页上。不接模型、不联网：断网能用，没有 GPU 的机器也能用。
 
-- **GitHub Releases `v0.1.0`**（2026-11-01，标记为 pre-release）：单文件产物覆盖 Windows x64（裸
-  `.exe`）、Linux x64、macOS（arm64 与 x64）`.tar.gz`。每个 Release 另挂 `SHA256SUMS.txt` 与
-  `LICENSE` / `NOTICE` / `README.md` 三份文本——Windows 是「一个 exe 装不下文本」所以并列挂出，
-  unix 归档里本来就装着。
-- **UI**：Slint + Metro。这是已交付的图形界面——实例、下载、账户、Java、日志、设置
-  各页都由 core 引擎驱动（应用内 AI 对话面板仍是脚本化的占位）。
-- **CLI `ull`** 与 v0.1.0 同源同版本，但发布资产里只有 GUI 单文件——要用它请自己构建：
-  `cargo build --release --bin ull`。命令：`instances`、`install`、`launch`、`accounts`、`sessions`、
-  `logs`、`diag`、`config`、`java`、`agent`。
-- Windows ARM64 与 Linux ARM64 两个槽位已接进发布流水线，随下一个 tag 发布；`v0.1.0` 的资产早于
-  这两个槽位。
+### 加载器、整合包与内容库
 
-### 轨道 B —— dev 上的下一代 UI（iced + M3 Expressive，施工中）
+- **加载器**——Fabric、Quilt、NeoForge、Forge。需要跑官方 installer `processors` 的 Forge/NeoForge 版本
+  会真跑一遍；机器上没有 Java 时先装一个托管 JDK。
+- **整合包**——导入 CurseForge 清单、Modrinth `.mrpack`、MultiMC/Prism 实例；导出为 `.mrpack` 或
+  CurseForge 清单。**导入**的取消只是界面级：面板立刻收回、结果作废，但后台那次导入会跑到底——core 的
+  导入请求还没有取消令牌（`crates/presenter/src/host/addon/pack.rs:28-42`）。
+- **内容库**——整合包 / Mod / 资源包 / 光影，带关键词、来源、版本、加载器与排序筛选，分页结果，
+  以及一键**装入这个实例**。
+- **这一页会拒绝什么，就写在那一行上**——整合包**不能**从内容库直接装（整合包走上面的导入管线）；
+  CurseForge 的「装入」是禁用态，因为它的文件端点还没接通；游戏版本或加载器对不上目标实例的条目也是
+  禁用态，并把不匹配写清楚。没有一条是静默失败的。
+- **CurseForge 检索要 key**——启动前设 `ULL_CF_API_KEY`，没有它这个来源在来源筛选里是灰的。key 只活在
+  环境变量里：不写进配置文件、不进日志（`crates/presenter/src/host/addon.rs`）。
 
-**这条轨道还没发布——要看只能自己从源码编。**
+### Java
 
-- **方向已锁死**：视觉 = Material 3 Expressive，框架 = iced 0.14，UI 层从头写；风格与框架都不会再换。
-- **已完成**：令牌 crate `crates/design`（零 UI 框架依赖、零第三方 crate——真 HCT 色彩、排版档位、
-  形状刻度、间距、高程、动效、图标几何、组件度量）与骨架 crate `crates/app-iced`（能开窗、自绘标题栏
-  与窗口键、导航轨、颜色与字号只从令牌取、GPU→CPU 后端探测与自动降级、视觉验收用的截图与逐像素
-  对比通道）。
-- **没完成**：组件库（按钮、对话框、列表、菜单、搜索栏，以及 M3 其余组件）、页面搬迁、i18n 文案。
-  iced 版里现在每一个页面都是占位。
-- **Slint 版在翻牌前不退场**：`crates/app` 作为参考实现保留，直到 iced 版通过等价验收；那时才把
-  `unlucky-launcher-iced` 改名成 `unlucky-launcher`，并让 Slint 版退役。
+逐实例的托管 JDK，四家发行版的回退链**按地区排**——Temurin 打头，国内是 Oracle 先于 Microsoft
+（那边实测快 28×）、国外反过来，Zulu 收尾——可用 `java.vendorPriority` 设置整体覆盖
+（`crates/core/src/game/java/vendor.rs`）。镜像也按地区选。`java list` 把它真能找到的每个 JDK 都列出来
+（包括官方启动器自己下的那些），`java install <主版本>` 拉一个。游戏要的 JDK 是启动器的数据，不是启动器
+本身的依赖。
 
-工作区里的三个 bin，先认清楚：
+### 账户
 
-| 二进制 | crate | 状态 |
-|--------|-------|------|
-| `unlucky-launcher` | `crates/app`（Slint） | v0.1.0 已发布，仍是当前能用的图形界面 |
-| `unlucky-launcher-iced` | `crates/app-iced`（iced 0.14） | 施工中，仅骨架，不随发布包分发 |
-| `ull` | `crates/cli` | 与发布版同源同版本构建；未随 v0.1.0 资产分发 |
+三条轨道在同一页：
 
-## 模块地图
+- **微软**——OAuth 2.0 设备码流程 → Xbox Live → XSTS → `api.minecraftservices.com`。
+- **第三方社区认证服**（authlib-injector 一类）。
+- **本地离线档案**，用于隔离测试。
+
+**微软登录在官方构建里开箱即用。** 发布版二进制已内置它需要的 Azure 公共客户端 id（公共客户端 id 不是
+凭据，本来就随二进制一起分发），所以登录前不需要任何配置。设 `ULL_MSA_CLIENT_ID=<id>` 仍可覆盖内置值：
+变量在启动时读取，改完要**重启启动器**。从源码构建时该变量有什么就烘什么（`ULL_MSA_CLIENT_ID=<id> cargo build`，
+经 `option_env!` 烧进二进制）。两处都没有 id 的构建点登录**不会联网**，弹窗直接说清是这一项没配：标题
+「微软登录未配置」，正文点名 `ULL_MSA_CLIENT_ID=<id>`（设好或构建时注入后重启），并带
+`代码：msa_not_configured`；它**不给重试按钮**，因为在同一个进程里重试必然是同一个错。其它登录失败仍是
+老样子：一句分类文案 + `代码：<码>`，完整原因只在启动器日志里。第三方社区服与本地档案不需要 id。
+
+### 外观与语言
+
+- **只有一套 UI 栈**——iced 0.14 + Material 3 Expressive，自绘标题栏、带动效的导航轨，浅色 / 深色 /
+  跟随系统。
+- **外观**——窗口背景图与取色链路（面板配色可从壁纸推出来）、面板透明度、整窗透明度（Windows）。Windows 11
+  与 Server 2025 上向系统请求外框圆角；macOS 与 Linux 交给桌面合成器自己的规则；我们不自己画圆角。
+- **CPU 兜底**——`--software-renderer` 让没有可用 GPU 或驱动有问题的机器照样正常显示；没有可用适配器时，
+  后端探测自己退到 CPU。这条路上**面板级**半透明与模糊会关掉（**窗口级**透明度照常可用），设置面板会写明。
+- **本地化**——跟随系统语言探测、设置里可显式切换、重启后保持。绝大多数文案来自同一份消息目录
+  （`crates/i18n`）。**边界，因为上面这句很容易被读大**：防硬编码的守门
+  （`crates/app-iced/src/pages/instances/tests/i18n.rs`）只扫实例页源码，不是每一屏；写死的中文字面量里
+  没有 ASCII 单词可以匹配，这一类它抓不到；外观面板的老控件还是硬编码英文
+  （`crates/app-iced/src/pages/appearance/section.rs`），中文界面下它们仍显示英文。
+
+### 助手，以及 MCP server
+
+这是两件不同的事，README 不该含糊：
+
+- **启动器内的助手今天还是占位壳。** 它的 transport 是脚本化的
+  （`crates/app-iced/src/presenter/transport.rs`），没有接真实模型，而且界面上它出现的每一屏都用四处明说
+  这一点——副标题、输入框占位符、空态正文，以及一枚「模拟」胶囊。会话状态、未读数、草稿、确认流程与具名
+  失败码都是真的 presenter 状态；缺的只是它们后面的模型。
+- **MCP server 是真的。** `ull agent serve` 把启动器内核以 MCP server 形态（stdio 或 Streamable HTTP）
+  开放给外部 Agent 工具，只监听回环（`127.0.0.1`，默认端口 47823），除非
+  `agent.mcp.allow_write=true` 否则只读。十个工具规格（`crates/agent/src/tools/`）同时喂给两种形态，两条
+  路都过同一个执行器——schema 校验、敏感分级、审计留痕。`ull agent config` 能打印现成的 Claude Code /
+  Cursor 配置片段。
+
+### 命令行
+
+GUI 二进制在跑任何 UI 代码之前就先认全部 CLI 子命令——不开窗、不探渲染器、不扫字体。另有一份更轻的 `ull`
+产物，命令集相同，却一个图形栈都不链接。
+
+```bash
+unlucky-launcher                            # GUI
+unlucky-launcher --software-renderer        # GUI，CPU 渲染
+unlucky-launcher instances list             # CLI，不开窗
+unlucky-launcher --json launch 1.20.1       # CLI，全局选项排在子命令前面
+unlucky-launcher --version                  # CLI，版本 + 系统摘要
+```
+
+判据刻意收得很窄，所以原本能用的用法一条都没变：
+
+- 第一个参数是裸词（不以 `-` 开头）→ 它就在子命令的位置上，交给 CLI。GUI 的 flag 永远不会出现在那个位置：
+  `--screenshot` / `--diff` / `--data-dir` 的取值都排在 flag 之后。
+- 第一个参数是 flag → 只有当 `crates/cli` 的解析器也解析出一条真命令时才算 CLI 调用（`--help`、
+  `--version`、`--json instances list`）。单独 `--data-dir X` 解析成「没有子命令」，仍然开 GUI；GUI 专属
+  参数（`--software-renderer`、`--screenshot*`、`--renderer`、`--theme`、`--diff`、`--force-state` 等）
+  在 CLI 里一律解析失败，也仍然开 GUI。
+
+**未知子命令是错误，不是开窗**：`unlucky-launcher lst` 打印「未知命令 `lst`」、提示
+`unlucky-launcher --help`，以 1 退出。静默开窗会让脚本以为自己那个拼错的参数生效了。子命令表只有一处定义
+（`crates/cli/src/cli/parse.rs`），所以两个二进制认的命令集天然一致。`ull --help` 会全列出来：`instances`、
+`install`、`launch`、`pack import`、`accounts`、`sessions`、`logs`、`diag`、`config`、`java`、`agent`、
+`version`、`help`。
+
+### 还没做
+
+这份清单是让人相信上面那些话的理由。没有一条藏在宣传话术后面。
+
+- **没有安装包，也没有自动更新通道。** 下个文件直接跑，没有任何东西替你检查新版本，更新源也还没定。
+- **有一批按钮是占位。** 实例页：*新建实例*、*导入*、*复制*、*打开文件夹*、*删除*。日志页：*打开文件夹*。
+  设置页框架：*保存*、*重置本组*、*添加覆盖*。点下去只往 stderr 写一行 `[page] 占位动作 …`，什么都不改
+  ——图形界面里的实例管理就是还欠着的那块实例向导；设置项是边改边生效，而不是靠「保存」。
+- **Linux 与 macOS 产物未验证，而且本版连构建都不跑。** 参考机是 Windows；`linux-x64`、`linux-arm64`、
+  `macos-arm64`、`macos-x64` 四档只躺在 CI 矩阵里，默认的发布流程会跳过它们，也还没被下载下来端到端跑过；
+  `gh workflow run release.yml -f all_slots=true` 才编它们来取证。把它们当**未经测试的产出**，而不是
+  「矩阵里有就算支持」。
+- **macOS 未定型。** 有两轮真机证据（Apple Silicon），构建因此存在——但菜单栏显示名、三个窗口按钮的位置
+  （macOS 习惯在左上，我们自绘在右上）、300s+ 稳态仍需真机复核。macOS 产物未签名，首次启动要自己清掉
+  Gatekeeper 隔离标记（`xattr -d com.apple.quarantine`）。macOS 运行期冒烟是手动 `workflow_dispatch`
+  的探针、带 `continue-on-error`，不是门禁。
+- **内容库页在低窗口高度下会挤**，而且窗口高度还没接进页面模型——这一页按一个名义高度排版，而不是按它
+  真正拿到的高度。
+- **启动侧失败提示未结构化。** 磁贴直接采用启动层抛出的中文句子
+  （`crates/core/src/launch/exit_analysis.rs`），而不是一个界面能翻译的原因码——上面那张英文截图里的
+  `静默失败` 就是它。
+- **启动器内的助手背后没有模型**（见上）。MCP server 有。
+- **整合包导入只有两份全局策略**：保留用户侧或覆盖，不是逐文件选择；导入报告会逐条列出冲突，所以没有
+  文件是被静默覆盖的。
+- **内容库的安装进度是阶段级**，不是字节级。
+- **没有原生文件选择框。** 导入靠拖拽或粘贴路径。
+- **Android/Termux 是试验级、不承诺**：发布矩阵里没有面向它的资产。GUI 可以经 glibc 工具链源码自建（见 `packaging/docs/termux-glibc-build.md`，分支说明见 [`README.termux.md`](README.termux.md)），已真机验证两条路径各一次：CPU 软渲染，以及自编 Mesa/turnip 栈的 GPU 加速（证据见 `README.termux.md`）。
+
+## 下载与运行
+
+从 [Releases](https://github.com/AskaEth/Unlucky-Launcher/releases) 拿你那个平台的文件。文件名形如
+`unlucky-launcher_<版本>_<平台>_<架构>`；这个形状的唯一真相源是
+`packaging/make_artifacts.py::asset_stem()`：
+
+| 槽位 | 产物 | 形态 |
+|------|------|------|
+| `windows-x64` | `unlucky-launcher_<版本>_windows_x64.exe` | 裸 `.exe`，双击即用 |
+| `windows-arm64` | `unlucky-launcher_<版本>_windows_arm64.exe` | 裸 `.exe` —— **暂未发布**，见下 |
+| `linux-x64` | `unlucky-launcher_<版本>_linux_x64.tar.gz` | 单个归档，解压出一个顶层目录 —— **暂未发布** |
+| `linux-arm64` | `unlucky-launcher_<版本>_linux_arm64.tar.gz` | 同上 —— **暂未发布** |
+| `macos-arm64` | `unlucky-launcher_<版本>_macos_arm64.tar.gz` | 同上 —— **暂未发布** |
+| `macos-x64` | `unlucky-launcher_<版本>_macos_x64.tar.gz` | 同上 —— **暂未发布** |
+| 每个已发布槽位 | `ull_<版本>_<平台>_<架构>[.exe]` | 裸 CLI 文件，独立资产 |
+| 全平台 | `SHA256SUMS.txt` | `sha256sum -c` 可直吃 |
+
+**本版只发布 `windows-x64`。** 发布 job 只留 `PUBLISH_SLOTS` 里点名的槽位
+（`.github/workflows/release-publish.yml`），其余产物在写 `SHA256SUMS.txt` 之前就被删掉——所以表里标
+**暂未发布** 的行是命名规则，不是本版可下载的资产。这几行里 `windows-arm64` 是 CI 唯一真跑的那档：M140 起在
+GitHub 原生 `windows-11-arm` runner 上编来取证，但该槽位的工具链体检还没绿，所以它的 `.exe` 不进 Release；
+行不删是因为架构仍要支持，绿了就把键加回 `PUBLISH_SLOTS`。
+
+UNIX 归档里是二进制加 `LICENSE`、`NOTICE`、`README.md`，都在一个顶层目录下。Windows 发的是裸 `.exe`
+（一个文件装不下这三份文本），所以这三份作为并列资产挂在 Release 上——下 Windows 二进制不会把许可条款
+弄丢。下载链接里不带实现细节字样，归档里的二进制名永远是 `unlucky-launcher`。
+
+这两种形态不是重复品。GUI 二进制开窗时要用图形栈（X11 / Wayland / GL 走 `dlopen`，启动时直接链接
+`libfontconfig`）；`ull` 除了 glibc 什么都不需要，所以在没有窗口的服务器、CI 容器上跑得起来。Linux 上这个
+地板是 glibc ≥ 2.35（槽位在 Ubuntu 22.04 上构建）——更老的发行版得源码自建（`packaging/README.md` §4）。
+没有桌面就用 `ull`，有桌面就用 `unlucky-launcher <子命令>`。两者打出来的 CLI 文案是同一套，自称的名字跟着
+**你敲的那个文件**走——`argv[0]` 去掉目录与结尾的 `.exe`，别的都不剥
+（`crates/cli/src/cli/program.rs`），所以 `ull` 打印 `ull ·`，归档里那个二进制打印
+`unlucky-launcher ·`，本地 `cargo build` 出来的打印 `unlucky-launcher-iced ·`。
+
+最低平台基线：**Windows 10**；Windows 8.1 / 8 / 7 不在支持范围内。macOS 12+（Apple Silicon 与 Intel），
+Linux x64 / arm64（基线判定在 `crates/core/src/platform/os_info.rs`）。Windows 10/11 的产物由标准工具链
+（MSVC / GNU）构建，构建方式与上游 cargo 一致。Linux 上 X11 是当前首选路径，Wayland 是大方向。能力差异
+一律用 feature gate + 运行期探测表达，绝不做成「这个平台天生少一块」的编译期裁剪。
+
+第一次用微软账户？不用配置——官方构建已内置客户端 id，见[账户](#账户)。其它都不需要配置。
+
+## 从源码构建
+
+前置：
+
+- Rust stable（`rust-toolchain.toml` 会自动选工具链；门禁还需要 `rustfmt` / `clippy` 组件）
+- Windows：MSVC 工具链（CI 用这套）或 MinGW-w64（`x86_64-pc-windows-gnu`）
+- Linux：`libxkbcommon-dev libfontconfig1-dev libgl1-mesa-dev libegl1-mesa-dev libwayland-dev
+  libxcb1-dev`——winit + wgpu/tiny-skia 编译期要用
+
+```bash
+cargo fmt --all --check                                # 格式
+cargo clippy --workspace --all-targets -- -D warnings # 静态检查（零 warning 门禁）
+cargo test --workspace                                 # 测试
+cargo build --release                                  # bin 落在 target/release/
+cargo deny check licenses bans sources                 # 依赖许可（CI 必跑）
+```
+
+编出来的 bin：
+
+- 从源码构建默认不带微软客户端 id：想让产物自带，就在构建时设 `ULL_MSA_CLIENT_ID`（`ULL_MSA_CLIENT_ID=<id>
+  cargo build`）；官方发布产物已内置，见[账户](#账户)。
+- `unlucky-launcher-iced`——GUI，同时也是 CLI：同一个文件认上面列的全部子命令。名字里的 `iced` 是 cargo
+  的 bin 名，不是下载名——`packaging/make_artifacts.py` 把同一次构建落成
+  `unlucky-launcher_<版本>_<平台>_<架构>`，归档里的二进制名写成 `unlucky-launcher`。
+- `ull`——CLI 的独立无 UI 构建：同一套命令、不链接图形栈、体积更小，给完全没有显示设备的机器用。
+
+渲染开关：
+
+- `unlucky-launcher-iced --software-renderer` 强制 tiny-skia（`ICED_BACKEND=tiny-skia`）；
+  `--screenshot <png>` 出一帧图后退出——这是 CI 无头冒烟 job 用的验收通道
+- 没有可用适配器时，iced 版靠显式后端探测自己退到 CPU
+
+**CI 门禁。** 每次推送到 `main` 与每个 PR 都跑 fmt / clippy（warnings 视为错误）/ 全量测试，Linux 无头
+渲染冒烟与它们同级、是硬门禁：在 Xvfb 里真渲染一帧，再断言 PNG 非空白，红了就不许合。macOS 探针还不算
+——只手动 dispatch，结果留证据但不作为流水线结论。
+
+| Workflow | 内容 |
+|----------|------|
+| `.github/workflows/ci.yml` | fmt + clippy + test + release build（Windows / Linux 矩阵）；Linux runtime smoke（Xvfb 真渲染一帧、断言 PNG 非空白）；macOS 运行期探针（仅手动 dispatch） |
+| `.github/workflows/guards.yml` | `crates/core` / `crates/presenter` / `crates/design` 零 UI 守门、单文件 ≤400 行守门、cargo-deny 许可与来源守门 |
+| `.github/workflows/release.yml` | tag `v*` → 构建两个 Windows 槽位（`windows-x64` + `windows-arm64`，各自原生 runner）→ 单文件产物 + `SHA256SUMS.txt` → GitHub Release（只发布 `windows-x64`；`-f all_slots=true` 才整表六槽位取证） |
+
+## 架构与模块地图
 
 ```
 Unlucky-Launcher (cargo workspace)
 ├── crates/core       # 领域库：零 UI 依赖，八模块
 ├── crates/agent      # AI Agent：ToolSpec 注册表 + 内置客户端 + MCP server（双形态共用一个内核）
+├── crates/presenter  # 业务宿主层：与框架无关的 state / host / dto / 转换
 ├── crates/design     # 设计令牌：真 HCT 色彩 / 排版 / 形状 / 间距 / 高程 / 动效 / 图标 / 组件度量
 │                     #   —— 零 UI 依赖、零第三方 crate
-├── crates/app        # Slint UI（bin `unlucky-launcher`）：已发布的图形界面，保留到等价验收通过
-├── crates/app-iced   # 下一代 iced UI（bin `unlucky-launcher-iced`）：施工中
+├── crates/i18n       # 语言探测、消息目录、中文字体策略
+├── crates/palette-extract  # 唯一解码图片的 crate，供壁纸取色链路使用
+├── crates/app-iced   # iced UI（bin `unlucky-launcher-iced`）：workspace 里唯一的 GUI bin
 ├── crates/cli        # CLI（bin `ull`）：headless，零 UI
 └── packaging         # 单文件产物矩阵与发布脚本
 ```
 
+层间纪律：`app-iced` → `presenter` → `core` / `agent`。`design` 与 `i18n` 只被壳层与 presenter 消费；
+它们都不得反过来依赖渲染框架，CI 守门会拦。
+
 `crates/core` 的八个模块：
 
 | 模块 | 职责 |
@@ -87,74 +271,16 @@ Unlucky-Launcher (cargo workspace)
 | `download` | 多源健康度、镜像、分块下载、边下边算 |
 | `game` | 版本/实例仓库、快照与继承解析 |
 | `launch` | 10 阶段启动管线、进程、JSONL 事件流 |
-| `auth` | Microsoft 账户登录（OAuth 2.0 device code → Xbox Live → XSTS → Minecraft Services） |
-| `addon` | 加载器安装、整合包、CurseForge / Modrinth |
+| `auth` | Microsoft 账户登录（OAuth 2.0 device code → Xbox Live → XSTS → Minecraft Services）、第三方社区服、本地档案 |
+| `addon` | 加载器安装、整合包、CurseForge / Modrinth、整合包导出 |
 | `diagnose` | 五类信号采集、YAML 规则引擎、hs_err 解析 |
 | `platform` | OS 抽象：路径、进程、文件锁、能力探测、运行期 OS 检测 |
 
-## 构建
-
-前置：
-
-- Rust stable（`rust-toolchain.toml` 会自动选工具链；门禁还需要 `rustfmt` / `clippy` 组件）
-- Windows：MSVC 工具链（CI 用这套）或 MinGW-w64（`x86_64-pc-windows-gnu`）
-- Linux：`libxkbcommon-dev libfontconfig1-dev libgl1-mesa-dev libegl1-mesa-dev libwayland-dev
-  libxcb1-dev`——两套 UI 都要用（Slint 的 winit + femtovg，iced 的 winit + wgpu/tiny-skia）
-
-```bash
-cargo fmt --all --check                                # 格式
-cargo clippy --workspace --all-targets -- -D warnings  # 静态检查（零 warning 门禁）
-cargo test --workspace                                 # 测试
-cargo build --release                                  # 三个 bin 都落在 target/release/
-```
-
-编出来的三个 bin：
-
-- `unlucky-launcher`——Slint 版（已发布的那个）
-- `unlucky-launcher-iced`——iced 版骨架。名字是临时的：只有翻牌时才能改成 `unlucky-launcher`，
-  因为同一个工作区里两个 crate 不能往同一个 target 目录里产出同名 bin。
-- `ull`——CLI
-
-渲染开关：
-
-- `unlucky-launcher --software-renderer`（等价于 `SLINT_BACKEND=winit-software`）强制 Slint 版走 CPU
-- `unlucky-launcher-iced --software-renderer` 强制 tiny-skia（`ICED_BACKEND=tiny-skia`）；
-  `--screenshot <png>` 出一帧图后退出，这是验收通道
-- 两套栈在没有可用适配器时都会退到 CPU：Slint 版走它自己的渲染器回退链，iced 版走显式探测
-
-依赖许可检查（本地可选，CI 必跑）：`cargo deny check licenses bans sources`。
-
-## CI 门禁
-
-每次推送到 `main` 与每个 PR 都跑 fmt / clippy（warnings 视为错误）/ 全量测试，Linux 无头渲染冒烟
-与它们同级、是硬门禁：红了就不许合。macOS 运行期探针还不算——它只在手动 `workflow_dispatch` 时跑，
-结果留证据但不作为流水线结论（`continue-on-error`），直到该槽位在真实 runner 上首跑通过。
-
-| Workflow | 内容 |
-|----------|------|
-| `.github/workflows/ci.yml` | fmt + clippy + test + release build（Windows / Linux 矩阵）；Linux runtime smoke（Xvfb 里真渲染一帧，再断言 PNG 非空白）；macOS 运行期探针（仅手动 dispatch） |
-| `.github/workflows/guards.yml` | `crates/core` 零 UI 守门（依赖表 + `cargo tree`）、单文件 ≤400 行守门、cargo-deny 许可与来源守门 |
-| `.github/workflows/release.yml` | tag `v*` → 分槽位构建 → 单文件产物 + `SHA256SUMS.txt` → GitHub Release |
-
-## 平台基线
-
-最低基线 **Windows 10**；Windows 8.1 / 8 / 7 不在支持范围内。
-
-- Windows 10/11 的产物由**标准工具链**（MSVC / GNU）构建，构建方式与上游 cargo 一致
-- macOS 12+（Apple Silicon 与 Intel）与 Linux x64 / arm64 都是支持槽位；Linux 上 X11 是当前首选路径，
-  Wayland 是大方向。macOS 产物未签名，首次启动要自己清掉 Gatekeeper 隔离标记
-  （`xattr -d com.apple.quarantine`）
-- Android Termux 试验级、不承诺：只保证 CLI，GUI 未验证
-- 每个平台跑各自的测试矩阵；能力差异用 feature gate + 运行期探测表达。
-
 ## 许可证与致谢
 
 - **本项目**：Apache License 2.0，见 [LICENSE](LICENSE)；第三方声明见 [NOTICE](NOTICE)。
-- **Slint**（<https://slint.dev>），Royalty-Free 2.0：v0.1.0 发布的正是 Slint 版，这项义务继续有效
-  ——关于页放 `AboutSlint` 部件（尚未落地），在此之前由 NOTICE、本节与发布页的「Made with Slint」
-  说明承担告知义务。只要还有链接 Slint 的产物在发，这条义务就保留。
-- **iced**（<https://github.com/iced-rs/iced>），MIT：下一代 UI 的框架；与它同栈的 `winit`、以及经它
-  引入的 `wgpu` / `tiny-skia`（Apache-2.0 / MIT）。
+- **iced**（<https://github.com/iced-rs/iced>），MIT：现役 UI 的框架；与它同栈的 `winit`（Apache-2.0）、
+  以及经它引入的 `wgpu`（MIT / Apache-2.0）/ `tiny-skia`（BSD-3-Clause）。
 - **Google Material Color Utilities**（Apache-2.0）：`crates/design` 的色彩令牌是它 HCT /
   ColorSpec2021 算法的 Rust 重写移植，移植清单与逐函数对照写在 [NOTICE](NOTICE)。
 - **其余主要依赖**：MCP server 的 `rmcp` 与 `axum`（Apache-2.0 / MIT）、`tokio`（MIT）、`reqwest`
@@ -164,5 +290,3 @@ cargo build --release                                  # 三个 bin 都落在 ta
 感谢 [HMCL](https://github.com/HMCL-dev/HMCL) 和 [PCL2](https://github.com/Meloong-Git/PCL)
 （均 GPL-3.0）。这两款启动器陪着绝大多数 MC 玩家走了很多年，
 本项目在设计取舍与实现细节上都从中受益良多。
-
-与 Mojang、Microsoft 无关联。

TERMUX-ADAPTATION.md

@@ -0,0 +1,144 @@
+# Termux 适配：方案、改动清单与合并指南
+
+> 分支：`termux-glibc`（基于 `origin/dev`，15 个提交，分叉点 `87ab878`，合并前 HEAD `e987e02`）
+> 目的：让主线快速了解这组代码改了什么、为什么、怎么验证、如何合并。
+
+## TL;DR
+
+- **构建**：为 Termux 编出 `aarch64-unknown-linux-gnu`（glibc）二进制，在 termux-x11 里跑 GUI。
+  Android 原生 target 走不通（winit 的 android 后端需要 NativeActivity），所以不用它。
+- **已跑通**：GUI（CPU 与 GPU 两条渲染路径）、中文、横屏自适应、JDK 发现与系统包安装、
+  MC 1.20.4（glibc JRE + arm64 natives + softpipe GL，真机进游戏）。
+- **未收口**：MC 启动参数支持（由主线后续补）、MC 硬件 GL（zink 卡 DRI3）、剪贴板/IME。
+- **对主线的影响**：所有行为都由 **运行时 Termux 识别 / `cfg(target_os = "linux")` /
+  文件存在** 三选一 gate 住，Windows / macOS / 普通 Linux 的默认路径不变。
+
+## 方案
+
+### 1. 平台识别
+
+`crates/core/src/platform/termux.rs`：用 `TERMUX_VERSION` 或默认 `PREFIX`
+（`/data/data/com.termux/files/usr`）识别 Termux，推导 `$PREFIX` 与 `$PREFIX/lib/jvm`。
+不把路径写死到调用方，也不改 `OsFamily`（Android 上仍按 Linux 家族处理）。
+
+### 2. JDK：发现 + 安装
+
+- **发现**：`game/java/discover.rs` 的 Unix 扫描根追加 `$PREFIX/lib/jvm`，
+  环境可注入（`standard_roots_in`）。补上「Termux 装了 openjdk 但没设 JAVA_HOME/PATH」的盲点。
+- **安装**：新增 `game/java/termux.rs`。Termux 的 openjdk 是 `.deb`（bionic），
+  与 Temurin 的 zip/tar.gz 不是同一形态，所以**委托包管理器**：
+  - 内置 SAU / TUNA / USTC / 官方四个 termux-main 镜像，按顺序 `apt-get update && install`；
+  - lists/cache 隔离在 `$PREFIX/tmp/ull-java-termux/`，不污染用户 apt 配置；装完清理；
+  - 装完从 `$PREFIX/lib/jvm` 定位，幂等（已装则不走网络）。
+- **vendor 接线**：`JdkVendor::Termux`（17/21/25）。Termux 上缺省安装先试系统包，
+  失败再走归档链；`--vendor termux` 只走系统包。设置白名单与契约测试同步。
+
+### 3. 字体
+
+`crates/app-iced/src/fonts.rs`：Termux 上把 `/system/fonts/NotoSansCJK-Regular.ttc`
+注册进 cosmic-text（fontdb 不扫 Android 字体目录），中文不再显示方框。
+
+### 4. 窗口（横屏优先）
+
+`app/boot/termux_window.rs`：Termux 上默认窗口按当前 X 屏幕等比自适应
+（日志 `size_source=termux-screen`），横屏铺满、竖屏不溢出；
+`ULL_WINDOW_SIZE` 覆盖与 1180×760 验收基准不变。
+
+### 5. GPU（启动器）
+
+- 驱动是自编的 **Mesa 26.2.6 + KGSL**，装在 `$PREFIX/glibc/{lib,share/vulkan/icd.d}`；
+  构建/安装步骤见 `packaging/docs/termux-glibc-build.md` §5。
+- `app/boot/termux_gpu.rs`：glibc 构建 + Termux + ICD 文件存在时，在探测前设
+  `VK_ICD_FILENAMES` / `VK_DRIVER_FILES`；用户显式设置不覆盖。
+- 实测 wgpu 选中 Adreno 840（turnip Mesa 26.2.6）；无驱动自动降级 tiny-skia。
+
+### 6. Minecraft 运行链
+
+- **natives**：1.19+ 的清单把 natives 作为独立库条目（`org.lwjgl:...:natives-linux`），
+  Linux/aarch64 上改写成 `natives-linux-arm64`（`Library::linux_arm64_native_name`，
+  install 与 launch 共用）；Mojang 的 `libraries.minecraft.net` 对 arm64 一律 404，
+  下载兜底到阿里云 Maven（`install/libraries.rs`）。
+- **JVM**：用 glibc 的 Temurin JRE（patchelf 后直接执行），bionic 的 Termux JVM
+  加载不了 glibc natives。
+- **GL**：glibc Mesa 的 zink 在 termux-x11 下卡 `DRI3 not available`，
+  子进程默认带 `MESA_LOADER_DRIVER_OVERRIDE=swrast` + `LIBGL_ALWAYS_SOFTWARE=1`
+  （`launch/defaults.rs`，用户自定义环境变量可覆盖）。
+
+## 改动清单
+
+| 文件 | 改动 | 平台隔离 |
+| --- | --- | --- |
+| `core/platform/termux.rs`（新） | Termux 识别、`$PREFIX`/JVM 根 | 纯函数，按环境判断 |
+| `core/platform/mod.rs` | 导出新模块 | — |
+| `core/game/java/discover.rs` | `$PREFIX/lib/jvm` 扫描 | Unix + Termux 判断 |
+| `core/game/java/termux.rs`（新） | 镜像/隔离 apt 安装、`installed_home` | 仅 Termux 可执行 |
+| `core/game/java/vendor.rs` / `source.rs` / `install.rs` | `JdkVendor::Termux` 与安装分派 | Termux 上才启用 |
+| `core/setting/keys.rs` + 契约测试 | 白名单加 `termux` | 跨平台可选，非 Termux 明确报错 |
+| `cli/commands/java_vendors.rs`、`cli/cli/help.rs`、`presenter/host/java.rs` | 展示与帮助文案 | 展示层 |
+| `core/game/library.rs` | `linux_arm64_native_name` / 分类器改写 | 仅 linux+arm64 |
+| `core/game/install/libraries.rs` | 现代 natives 条目改写 + Maven 兜底 | 仅 linux+arm64 |
+| `core/launch/defaults.rs` | Termux softpipe 环境默认值 | `cfg(linux)` + Termux |
+| `presenter/host/launch.rs`、`cli/commands/snapshot.rs` | classpath 用改写后的 arm64 坐标 | 仅 linux+arm64 |
+| `app-iced/fonts.rs` | Android CJK 字体注册 | 仅 Termux |
+| `app-iced/boot/termux_window.rs`（新） | 横屏自适应 | 仅 Termux |
+| `app-iced/boot/termux_gpu.rs`（新） | 自动启用自编 ICD | 仅 glibc+Termux+文件存在 |
+| `app-iced/Cargo.toml` | 新增 `unlucky-core` 依赖 | 复用平台识别 |
+| `README.termux.md`（新）、`packaging/docs/termux-glibc-build.md`（新） | 分支说明与构建配方 | 文档 |
+| `README.md` / `README.zh-CN.md` / 支持矩阵两处 | Termux 行同步 | 文档 |
+
+## 行为变化与兼容性
+
+- 新增 `JdkVendor::Termux` 会改变 `VENDOR_IDS` / `JDK_VENDORS` 的允许值集合
+  （契约测试已同步）。非 Termux 上显式选它会在安装时明确报「只在 Termux 里可用」，
+  默认回退序**不含** termux，PC 行为不变。
+- Linux/aarch64 的 LWJGL3 natives 会被改写；x86_64、Windows、macOS 不受影响。
+- `app-iced` 直接依赖 `unlucky-core`（此前通过 cli/presenter 间接依赖）。
+- 所有 Termux 专属路径都需要运行时识别或文件存在才会生效；普通 Linux 桌面不会触发。
+
+## 合并指南
+
+1. ~~`git fetch origin && git rebase origin/dev`~~ → **实际按用户令走 `--no-ff` 合并**
+   （M156）：`git merge --no-ff origin/termux-glibc`，15 个原提交一字未改地留在历史里，
+   按平台识别 → 字体 → 文档 → Java → GPU → natives → MC 的分组可整组 revert。
+   与 dev 前进的 12 个提交**零文本冲突**（交集只有 `Cargo.lock` / 两个 README /
+   `crates/app-iced/Cargo.toml`）。
+2. PR base：`dev`。CI 门禁：`fmt` / `clippy --workspace --all-targets -D warnings` /
+   `test --workspace --all-targets` / `cargo deny`（本机没装 deny，PC 上补跑）。
+3. 本机已知、**不影响 PC CI** 的三条失败：
+   - `unlucky-core --test launch`：`/proc/<pid>/task/<pid>/children`（Android 内核没有）
+   - 同测试：长路径被脱敏成 `<opaque>`
+   - `presenter settings_bridge`：mtime 热重载偶发（flaky，单跑 3 次 2 过 1 挂）
+4. **不要提交**：`dist/`、`.gnu/`、任何 `ULL_MSA_CLIENT_ID` 值（仓库 Secret）。
+5. 合并后建议真机再跑一次：`--software-renderer` 截图 + `ull java install 17` + MC 启动。
+6. **PC 门禁发现的两处、已在 M156 就地修掉**（都只在 Windows/PC 侧才暴露，
+   所以在 Termux 上跑门禁看不出来）：
+   - `game/java/discover.rs` 的两个 `#[cfg(unix)]` 测试，导入没跟着 gate
+     → Windows 上 `-D warnings` 判「未使用导入」。已把两个 `use` 同样 gate 成 `#[cfg(unix)]`；
+     代价是这两个用例在 Windows 上不编译（由 Linux CI 覆盖）。
+   - 本分支把 `game/java/install.rs`（456 行）与 `game/install/libraries.rs`（409 行）
+     顶过了 400 行红线（`guards.yml` 的 `file-size`）。已按步骤拆出
+     `install/termux_install.rs`、`install/one.rs`、`install/libraries/arm64_natives.rs`，
+     行为不变、用例原样留在原处。
+
+## 验证矩阵（本机）
+
+| 项 | 结果 |
+| --- | --- |
+| GUI 截图（横屏 1657×1067） | ✅ 中文正常，`client_id=configured source=build` |
+| GPU 渲染 | ✅ wgpu 选中 Adreno 840（turnip Mesa 26.2.6）；降级路径也验证过 |
+| `ull java install 17` | ✅ SAU 镜像约 20 s，装完清理，`java list` 可见 |
+| MC 1.20.4 | ✅ 真机安装（740 MB）→ 主菜单 → 建世界 → 进游戏 |
+| fmt / clippy / 核心测试 | ✅ 475 条核心测试通过，clippy 零告警 |
+
+## 后续路线
+
+1. **MC 启动参数**（主线功能，另行排期）：当前 `ull launch` 不接受自定义 JVM/游戏参数。
+2. **MC 硬件 GL**：修 glibc GLX 的 DRI3（让 zink 生效），或改用 VulkanMod。
+3. 剪贴板 / IME 在 termux-x11 下的行为验证。
+4. narrator/flite 与音频设备（当前缺失但不阻断）。
+5. GPU 驱动分发：目前每次都要按文档自编 Mesa；可考虑脚本化/预编译产物。
+
+## 回滚策略
+
+全部改动按提交分组（platform → fonts → docs → java → gpu → natives → mc），
+可按组 revert；Termux 专属逻辑都有运行时/文件存在 gate，回滚不会波及 PC 路径。

crates/agent/Cargo.toml

@@ -13,7 +13,7 @@ publish.workspace = true
 # 端口层（src/port*.rs）让 agent 能在没有 core 实现时独立编译与测试；装配层用 core 实现
 # 填充 `Ports`（GUI 侧是 `crates/app`，headless 侧是 `crates/cli` 的 `ull agent serve`）。
 [dependencies]
-unlucky-core = { path = "../core", version = "0.1" }
+unlucky-core = { path = "../core", version = "0.2.2" }
 
 # 序列化：工具 JSON Schema 是手写 serde_json::Value（不引 schemars），
 # 工具结果 / 审计记录 / 事件流都用 serde derive。

crates/app-iced/Cargo.toml

@@ -22,7 +22,15 @@ path = "src/lib.rs"
 
 [dependencies]
 # 令牌唯一真源（M61）：颜色/排版/形状/间距/图标几何全部只从这里取。
-unlucky-design = { path = "../design", version = "0.1" }
+unlucky-design = { path = "../design", version = "0.2.2" }
+
+# 平台识别（Termux / $PREFIX 路径）唯一真源：字体注册这类平台适配不再各写一份环境判断。
+unlucky-core = { path = "../core", version = "0.2.2" }
+
+# M85：UI 框架无关的宿主层（DTO / 状态 reducer / host）。**只登记依赖，本 mission 不接线**——
+# 页面用它的时机由后续 iced 页面 mission 决定（接线流程见 crates/presenter/src/lib.rs 的 crate 文档）。
+# 与 Slint 版共用同一套 host 与状态语义，这是 D26「重写只换渲染」的落点。
+unlucky-presenter = { path = "../presenter", version = "0.2.2" }
 
 # UI 框架（D26 锁定 iced 0.14）。**不得依赖 slint**。
 # 关掉默认 features 后必须显式给执行器（M60 踩坑 Q2：否则 `No futures executor has been enabled`），
@@ -32,16 +40,52 @@ iced = { version = "=0.14.0", default-features = false, features = [
     "tiny-skia",
     "crisp",
     "advanced",
+    # M93：背景图要真图直出 ⇒ 需要渲染器的 image 支持。用 `image-without-codecs` 而不是
+    # `image` 是刻意的：后者会打开 `image/default` 的全套编解码器；前者的编解码能力由本 crate
+    # 依赖表里那条 `image` 的 features 决定（png / jpeg / bmp），不必把 webp/tiff/exr/gif 拖进来。
+    "image-without-codecs",
     "svg",
     "thread-pool",
+] }
+
+# 截图落 PNG + 背景图解码（M93）：png 是截图通道，jpeg/bmp 是用户真会挑的背景图/壁纸格式
+# （M73 的壁纸探测不筛扩展名）。仍不开 default-features——那会拖进 avif/ravif/webp/tiff 一整套。
+image = { version = "0.25", default-features = false, features = [
+    "png",
+    "jpeg",
+    "bmp",
+] }
+
+# M82：同一个二进制也带 CLI 子命令（`unlucky-launcher-iced instances list` …），
+# 进 UI 之前分发，命中就把控制权交给 `unlucky_cli::run`。依赖方向 app-iced → cli →
+# core/agent 不违反 core 零 UI 铁律（core 的依赖树里没有 cli）。零 UI 依赖的 `ull`
+# 仍在 `crates/cli`，给没有图形库的机器用——两者不是重复品。
+unlucky-cli = { path = "../cli", version = "0.2.2" }
+
+# M92（D28）：国际化地基（语言探测 / 消息目录 / 中文字体策略）。零依赖 crate——它拿不到 iced，
+# 所以系统字体扫描留在这里（`src/fonts/cjk.rs`），本 crate 只把族名喂给它的纯函数。
+unlucky-i18n = { path = "../i18n", version = "0.2.2" }
+
+# M97：判据表第 8 行的取证通道。`iced_wgpu` 在真创建设备时会 `log::info!("Selected: {adapter:#?}")`，
+# 但进程里从来没人装 logger，于是「看不见」被当成了「没发生」。这里装一个只放行 `iced_wgpu*` /
+# `wgpu*` 的 logger（见 `src/renderer/log_bridge.rs`），把这行捞出来。
+# 已是 iced 传递依赖树里的版本（0.4.34），不新增任何传递依赖；MIT OR Apache-2.0，许可白名单内。
+log = { version = "0.4", features = ["std"] }
+
+# X11 / Wayland 后端与 Linux 主题检测只在 Linux 上启用：macOS 没有 X11/Wayland（走 Metal +
+# 系统外观），Windows 走 DX12，这三个 feature 在那边没有意义。同一个包在两处写 features 是
+# **取并集**（Cargo 的 feature 解析是加法），所以 Linux 上拿到的仍是上面 5 个 + 这 3 个，
+# Windows / macOS 只拿上面那 5 个（`cargo tree --target` 可复核）。
+# 诚实边界：这**不**解决「iced 版至今没在 macOS 上编过」这件事——`iced_winit` 已把 `mundy`
+# 放在 `cfg(target_os = "linux")` 段里，这三个 feature 在非 Linux 上本来就不拉依赖，这里只是
+# 让本仓库的依赖图按平台自述清楚，不再把 Linux 专属能力写成全平台事实。
+[target.'cfg(target_os = "linux")'.dependencies]
+iced = { version = "=0.14.0", default-features = false, features = [
     "x11",
     "wayland",
     "linux-theme-detection",
 ] }
 
-# 截图落 PNG。只开 png 编码器，不要默认全套 codec（体积）。
-image = { version = "0.25", default-features = false, features = ["png"] }
-
 [features]
 default = ["gpu"]
 # 硬件渲染后端（wgpu→Vulkan/DX12）。关闭后只剩 tiny-skia（CPU），用于体积基线与无 GPU 机器。

crates/app-iced/examples/pages_demo.rs

@@ -0,0 +1,37 @@
+//! 页面骨架截图入口（M84 `PAGEFRAME` 的验收通道）。
+//!
+//! ```text
+//! cargo run -p unlucky-app-iced --example pages_demo -- \
+//!   --screen=instances --width=1180 --height=760 \
+//!   --screenshot=out.png --screenshot-theme=light --software-renderer
+//! ```
+//!
+//! 参数解析与 iced 接线都在 `unlucky_app_iced::pages::harness` 里：**本 example 只是入口**，
+//! 它也刻意不接 `cli.rs`（那边归 M75）。详细口径见 `pages::harness` 的模块文档。
+
+use std::process::ExitCode;
+
+use unlucky_app_iced::pages::harness::{self, Request};
+
+fn main() -> ExitCode {
+    let request = match Request::parse(std::env::args().skip(1)) {
+        Ok(request) => request,
+        Err(message) => {
+            eprintln!("[cli] {message}");
+            eprintln!(
+                "用法：pages_demo [--screen=instances|download|settings|logs] [--width <px>] \
+                 [--height <px>] [--theme=light|dark] [--screenshot-theme=light|dark] \
+                 [--screenshot <png>] [--renderer=auto|gpu|cpu] [--software-renderer]"
+            );
+            return ExitCode::from(2);
+        }
+    };
+
+    match harness::run(request) {
+        Ok(()) => ExitCode::SUCCESS,
+        Err(message) => {
+            eprintln!("[run] {message}");
+            ExitCode::FAILURE
+        }
+    }
+}

crates/app-iced/src/app.rs

@@ -1,400 +0,0 @@
-//! Elm 三件套：`State` / `Message` / `update` + `view` 接线。
-//!
-//! ## 启动序列（顺序有讲究）
-//!
-//! 1. **探测渲染后端** → 写 `ICED_BACKEND`（必须在 `run()` 之前，M60 Q1）；
-//! 2. **求值字体栈**（D28 前半）→ 一行启动日志；
-//! 3. `iced::application(..).run()`：窗口 1180×760、无边框（自绘标题栏）；
-//! 4. 首个 `view()` 打「到首帧」耗时；截图模式下第 3 帧 `window::screenshot` 落盘后退出。
-//!
-//! ## 为什么截图要等 3 帧
-//!
-//! 无边框窗口启动时会先收到一次「显示器工作区尺寸」的 `Resized`，再回到设定尺寸（M60 坑 #5），
-//! 第一帧可能是旧尺寸；再叠上字体系统首次上屏的排版抖动，留 2 帧余量最稳。
-
-use std::sync::atomic::{AtomicBool, Ordering};
-use std::sync::OnceLock;
-use std::time::Instant;
-
-use iced::{window, window::Direction, Element, Subscription, Task};
-
-use unlucky_design::color::SchemeFlavor;
-
-use crate::cli::Options;
-use crate::fonts;
-use crate::probe;
-use crate::shell::{self, NavItem};
-use crate::shot;
-use crate::theme::{Families, Ui};
-
-/// 验收窗口尺寸（1180×760，100% DPI —— D30 的硬要求）。
-pub const WINDOW_SIZE: iced::Size = iced::Size {
-    width: 1180.0,
-    height: 760.0,
-};
-
-/// 产品名（自绘标题栏的标题；也是 `'static`，好让 view 借用）。
-pub const APP_TITLE: &str = "Unlucky Launcher";
-
-/// 窗口最小尺寸（低于这个值骨架会挤坏：88 导航 + 页面留白 + 卡片）。
-const MIN_SIZE: iced::Size = iced::Size {
-    width: 880.0,
-    height: 560.0,
-};
-
-/// 截图落盘的帧号（见模块文档）。
-const CAPTURE_AT_FRAME: u32 = 3;
-
-/// 进程内「run() 开始」的时刻（首帧耗时基线）。
-static STARTED: OnceLock<Instant> = OnceLock::new();
-/// 首帧日志只打一次。
-static FIRST_FRAME_LOGGED: AtomicBool = AtomicBool::new(false);
-
-/// 应用状态（**只有 UI 状态**；业务状态等页面 mission 接 `host`/`state` 时再进）。
-pub struct App {
-    options: Options,
-    families: Families,
-    ui: Ui,
-    nav: NavItem,
-    window: Option<window::Id>,
-    frames: u32,
-    /// 截图模式的「主题已定」闸门：`system::theme()` 是异步的，早拍会拍到错的深浅色。
-    theme_resolved: bool,
-}
-
-/// 消息（单一大枚举；页面接进来时按页拆子枚举）。
-#[derive(Debug, Clone)]
-pub enum Message {
-    /// 启动即发一次（`iced::application` 的 boot 闭包）。
-    Boot,
-    /// `window::latest()` 的结果。
-    WindowReady(Option<window::Id>),
-    /// 系统主题探测结果。
-    SystemTheme(iced::theme::Mode),
-    /// 一帧画完（只有截图模式才订阅）。
-    Frame,
-    /// 导航项切换。
-    Select(NavItem),
-    /// 按下标题栏 → 拖窗。
-    DragWindow,
-    /// 按下边缘热区 → 缩放窗口。
-    ResizeStart(Direction),
-    /// 最小化。
-    Minimize,
-    /// 最大化/还原。
-    ToggleMaximize,
-    /// 关闭。
-    Close,
-    /// 截图回来了。
-    Captured(window::Screenshot),
-}
-
-impl App {
-    fn new(options: Options, families: Families, flavor: SchemeFlavor) -> Self {
-        let options_theme_given = options.shot_flavor().is_some();
-        Self {
-            ui: Ui::new(flavor, families),
-            families,
-            options,
-            nav: NavItem::Instances,
-            window: None,
-            frames: 0,
-            // 显式给了主题就算已定；否则等 `SystemTheme` 到达
-            theme_resolved: options_theme_given,
-        }
-    }
-
-    fn has_screenshot(&self) -> bool {
-        self.options.screenshot.is_some()
-    }
-
-    fn update(&mut self, message: Message) -> Task<Message> {
-        match message {
-            Message::Boot => {
-                let mut tasks = vec![window::latest().map(Message::WindowReady)];
-
-                // 主题：参数里没指定就探系统（深浅两套都要能出图）
-                if self.options.shot_flavor().is_none() {
-                    tasks.push(iced::system::theme().map(Message::SystemTheme));
-                }
-
-                Task::batch(tasks)
-            }
-            Message::WindowReady(id) => {
-                self.window = id;
-                Task::none()
-            }
-            Message::SystemTheme(mode) => {
-                let flavor = match mode {
-                    iced::theme::Mode::Dark => SchemeFlavor::Dark,
-                    iced::theme::Mode::None | iced::theme::Mode::Light => SchemeFlavor::Light,
-                };
-                eprintln!("[theme] 系统主题 = {mode:?} -> {}", slug(flavor));
-                self.set_flavor(flavor);
-                self.theme_resolved = true;
-                Task::none()
-            }
-            Message::Frame => self.on_frame(),
-            Message::Select(nav) => {
-                self.nav = nav;
-                Task::none()
-            }
-            Message::DragWindow => match self.window {
-                Some(id) => window::drag(id),
-                None => Task::none(),
-            },
-            Message::ResizeStart(direction) => match self.window {
-                Some(id) => window::drag_resize(id, direction),
-                None => Task::none(),
-            },
-            Message::Minimize => match self.window {
-                Some(id) => window::minimize(id, true),
-                None => Task::none(),
-            },
-            Message::ToggleMaximize => match self.window {
-                Some(id) => window::toggle_maximize(id),
-                None => Task::none(),
-            },
-            Message::Close => iced::exit(),
-            Message::Captured(screenshot) => self.on_captured(&screenshot),
-        }
-    }
-
-    /// 切主题：只重建 [`Ui`]（= 重建 Style），**不动任何 UI 状态**。
-    fn set_flavor(&mut self, flavor: SchemeFlavor) {
-        if self.ui.flavor() == flavor {
-            return;
-        }
-
-        let next = Ui::new(flavor, self.families);
-        eprintln!(
-            "[theme] {} -> {} (Theme::name 变化触发缓存重算)",
-            self.ui.name(),
-            next.name()
-        );
-        self.ui = next;
-    }
-    fn on_frame(&mut self) -> Task<Message> {
-        self.frames += 1;
-
-        // 主题没定就不出图：等 `SystemTheme`（否则暗色系统上会拍到浅色图）
-        if !self.has_screenshot() || !self.theme_resolved || self.frames < CAPTURE_AT_FRAME {
-            return Task::none();
-        }
-
-        match self.window {
-            Some(id) => window::screenshot(id).map(Message::Captured),
-            None => Task::none(),
-        }
-    }
-
-    fn on_captured(&mut self, screenshot: &window::Screenshot) -> Task<Message> {
-        let Some(path) = self.options.screenshot.clone() else {
-            return Task::none();
-        };
-
-        match shot::save(screenshot, &path) {
-            Ok(summary) => {
-                eprintln!("{}", summary.describe());
-                eprintln!(
-                    "[shot] theme={} renderer={}",
-                    shot::flavor_slug(&self.ui),
-                    renderer_note(self.options.backend)
-                );
-            }
-            Err(error) => eprintln!("[shot] 失败：{error}"),
-        }
-
-        iced::exit()
-    }
-
-    fn subscription(&self) -> Subscription<Message> {
-        // 只有截图模式才订阅帧事件：否则「每帧一条消息 → 每帧重绘」会白烧 CPU。
-        if self.wants_frames() {
-            window::frames().map(|_| Message::Frame)
-        } else {
-            Subscription::none()
-        }
-    }
-
-    /// 是否订阅帧事件（= 截图模式）。
-    fn wants_frames(&self) -> bool {
-        self.has_screenshot()
-    }
-
-    fn theme(&self) -> iced::Theme {
-        self.ui.theme()
-    }
-
-    fn title(&self) -> String {
-        APP_TITLE.to_owned()
-    }
-
-    fn view(&self) -> Element<'_, Message> {
-        if !FIRST_FRAME_LOGGED.swap(true, Ordering::Relaxed) {
-            if let Some(started) = STARTED.get() {
-                eprintln!(
-                    "[boot] first frame in {:.0} ms（run() 开始 → 首次 view，含后端探测与字体扫描）",
-                    started.elapsed().as_secs_f64() * 1000.0
-                );
-            }
-        }
-
-        shell::view(
-            &self.ui,
-            self.nav,
-            APP_TITLE,
-            self.nav.label(),
-            "Skeleton only: titlebar, navigation rail and one card. \
-             Business pages, the component library and the glass shader are follow-up missions.",
-            self.options.force_state,
-        )
-    }
-}
-
-fn renderer_note(backend: crate::Backend) -> &'static str {
-    if cfg!(feature = "gpu") {
-        match backend {
-            crate::Backend::Cpu => "cpu(forced)",
-            crate::Backend::Gpu => "gpu(preferred)",
-            crate::Backend::Auto => "auto",
-        }
-    } else {
-        "cpu(build without wgpu)"
-    }
-}
-
-/// 主题名（日志用，和 `Ui::name()` 同一口径）。
-fn slug(flavor: SchemeFlavor) -> &'static str {
-    if flavor.is_dark() {
-        "ull-m3-dark"
-    } else {
-        "ull-m3-light"
-    }
-}
-
-/// 启动 iced（阻塞到退出）。`--diff` 不走这里，见 `main.rs`。
-pub(crate) fn run(options: Options) -> iced::Result {
-    let _ = STARTED.set(Instant::now());
-
-    let probe_started = Instant::now();
-    // 只有 `auto` 需要探测：`cpu` 与 `gpu` 的决策与「有没有硬件 GPU」无关，
-    // 而枚举 13 个适配器在本机要 0.65~1.2 s（实测），纯属白花。
-    let needs_probe = options.backend == crate::Backend::Auto;
-    let probe = if needs_probe {
-        probe::Probe::run()
-    } else {
-        probe::Probe::default()
-    };
-    let probe_ms = probe_started.elapsed().as_secs_f64() * 1000.0;
-    probe::apply(options.backend, &probe);
-    if cfg!(feature = "gpu") {
-        if needs_probe {
-            eprintln!("[probe] 探测耗时 {probe_ms:.0} ms（wgpu 实例 + 全后端适配器枚举）");
-        } else {
-            eprintln!(
-                "[probe] 探测耗时 {probe_ms:.0} ms（--renderer={} 与硬件无关，跳过枚举）",
-                options.backend.name()
-            );
-        }
-    }
-
-    let font_started = Instant::now();
-    let resolved = fonts::resolve();
-    eprintln!(
-        "[font] 求值耗时 {:.0} ms",
-        font_started.elapsed().as_secs_f64() * 1000.0
-    );
-    eprintln!("{}", resolved.describe());
-    if resolved.has_synthetic() {
-        eprintln!(
-            "[font] 警告：有字重落在「合成加粗」档（观感降级），D28 后半（CDN 字体/按档换族）要处理"
-        );
-    }
-    let families = resolved.families();
-
-    // 截图模式：`--screenshot-theme` > `--theme` > 浅色（后续系统探测会覆盖）
-    let flavor = options.shot_flavor().unwrap_or(SchemeFlavor::Light);
-    let boot_options = options.clone();
-
-    let application = iced::application(
-        move || {
-            (
-                App::new(boot_options.clone(), families, flavor),
-                Task::done(Message::Boot),
-            )
-        },
-        App::update,
-        App::view,
-    )
-    .title(App::title)
-    .theme(App::theme)
-    .subscription(App::subscription)
-    .default_font(iced::Font {
-        family: iced::font::Family::Name(families.text),
-        ..iced::Font::DEFAULT
-    })
-    .window(window::Settings {
-        size: WINDOW_SIZE,
-        min_size: Some(MIN_SIZE),
-        decorations: false,
-        resizable: true,
-        ..window::Settings::default()
-    });
-
-    match options.scale_factor {
-        Some(scale) => application.scale_factor(move |_| scale).run(),
-        None => application.run(),
-    }
-}
-
-#[cfg(test)]
-mod tests {
-    use super::*;
-
-    const FAMILIES: Families = Families {
-        text: "Segoe UI",
-        display: "Segoe UI",
-        mono: "Consolas",
-    };
-
-    #[test]
-    fn switching_flavor_rebuilds_styles_but_keeps_ui_state() {
-        let mut app = App::new(Options::default(), FAMILIES, SchemeFlavor::Light);
-        app.nav = NavItem::Logs;
-        assert_eq!(app.ui.name(), "ull-m3-light");
-
-        app.set_flavor(SchemeFlavor::Dark);
-
-        assert_eq!(app.ui.name(), "ull-m3-dark", "切主题要换主题名");
-        assert_eq!(app.nav, NavItem::Logs, "切主题不许重置 UI 状态");
-        assert!(app.options.screenshot.is_none(), "切主题不许改启动参数");
-    }
-
-    #[test]
-    fn window_size_is_the_acceptance_size() {
-        assert_eq!((WINDOW_SIZE.width, WINDOW_SIZE.height), (1180.0, 760.0));
-        const {
-            assert!(MIN_SIZE.width < WINDOW_SIZE.width);
-            assert!(MIN_SIZE.height < WINDOW_SIZE.height);
-        }
-    }
-
-    #[test]
-    fn slug_matches_the_theme_name() {
-        assert_eq!(slug(SchemeFlavor::Light), "ull-m3-light");
-        assert_eq!(slug(SchemeFlavor::Dark), "ull-m3-dark");
-    }
-
-    #[test]
-    fn frames_are_only_requested_in_screenshot_mode() {
-        let mut app = App::new(Options::default(), FAMILIES, SchemeFlavor::Light);
-        assert!(!app.wants_frames(), "普通运行不订阅帧，避免每帧重绘");
-
-        app.options.screenshot = Some(std::path::PathBuf::from("x.png"));
-        assert!(
-            app.wants_frames(),
-            "截图模式必须订阅帧事件才能在第 3 帧出图"
-        );
-    }
-}

crates/app-iced/src/app/appearance.rs

@@ -0,0 +1,130 @@
+//! App 侧的外观动作：**下发整窗 α / 写回配置 / 打取证日志**。
+//!
+//! 三件事各自只有一条路，且都从这里出去（`update` 只负责把它们按消息串起来）：
+//!
+//! | 动作 | 唯一落点 | 为什么 |
+//! |---|---|---|
+//! | 下发整窗 α | [`App::apply_window_alpha`] → `app::window_alpha::dispatch` | 判据在 `platform`、FFI 在 `platform/win32`，这里只做「取 α → 交给执行侧 → 记日志」 |
+//! | 写回配置 | [`App::persist_appearance`]（8 个 UI 字段）+ `AppCommand::SetSetting`（另外**三个**只读键） | 每个键**只有一个写者**：`AppearancePrefs` 里没有 `window_opacity` / `palette_source` / `window_corner`，它们只能走 schema 指令 |
+//! | 取证日志 | [`App::log_appearance`] | 一行里同时有请求值、生效值、下发字节与 FFI 结局 |
+//!
+//! ## 为什么「写回」要分两条路
+//!
+//! `SettingsBridge::persist` 收的是 `AppearancePrefs`（背景图四件 + 面板 α + 玻璃 + 强调色），
+//! 它的实现是「先读文件当前值，再覆盖我们改的那几个字段」——所以用它写**它覆盖的键**最省事，
+//! 也不会把用户的自定义强调色冲掉。而 `appearance.window_opacity` / `appearance.palette_source` /
+//! `appearance.window_corner` 不在那个结构里（它们是「只读下层键」，见
+//! `presenter::prefs::AppearanceBase` 的**四个**字段：整窗 α / 标题栏三态 / 配色来源 / 窗口圆角），
+//! 写它们只能走 schema 白名单指令 `AppCommand::SetSetting`（真 host 用 `SettingStore::set` 落盘）。
+//! 其中「标题栏三态」目前**没有 UI 写者**（D37 的接线未落地），所以走 `SetSetting` 的是**三个**键。
+
+use unlucky_presenter::dto::AppCommand;
+
+use crate::pages::appearance::Change;
+
+use super::state::App;
+use super::window_alpha::{self, Dispatch};
+
+impl App {
+    /// 把当前整窗 α 交给执行侧（补 `WS_EX_LAYERED` + `SetLayeredWindowAttributes`）并记一行日志。
+    ///
+    /// 没有句柄时**也打日志**（`hwnd=none`）：不能让「α 没生效」这件事只体现为「屏幕上没变化」。
+    pub(super) fn apply_window_alpha(&self, context: &str) {
+        let Some(hwnd) = self.hwnd else {
+            self.log_appearance(context, None);
+            return;
+        };
+        let alpha = crate::platform::effective_window_alpha(
+            self.appearance.backend,
+            f64::from(self.appearance.window_opacity),
+        );
+        let dispatch = window_alpha::dispatch(hwnd, alpha);
+        self.log_appearance(context, Some(&dispatch));
+    }
+
+    /// 取证日志：`[appearance] <状态行> layered=… outcome=…`。
+    ///
+    /// 数值来自 [`crate::pages::appearance::State::log_line`]（请求值 / 生效值 / 下发字节），
+    /// 尾巴来自执行侧。**这一行就是「透明度到底设成了多少」的证据**——RDP 上的观感不可信。
+    pub(super) fn log_appearance(&self, context: &str, dispatch: Option<&Dispatch>) {
+        let mut line = self.appearance.log_line(context);
+        if let Some(dispatch) = dispatch {
+            line.push(' ');
+            line.push_str(&dispatch.describe());
+        } else {
+            line.push_str(" layered=skipped outcome=no-window");
+        }
+        eprintln!("{line}");
+    }
+
+    /// 设置页改了一项外观。
+    pub(super) fn on_appearance(&mut self, change: Change) {
+        let needs_window = self.appearance.apply(change.clone());
+
+        // 配色来源 / 背景图可能变了 ⇒ `Ui` 可能要改用解析出的方案。
+        self.rebuild_ui();
+        self.view_dirty = true;
+        self.refresh_view();
+
+        match change.key() {
+            // 三个只读下层键（整窗 α / 配色来源 / 窗口圆角）：走 schema 指令
+            // （`SettingsBridge` 的结构里没有它们；标题栏三态还没有 UI 写者，不在此列）。
+            Some(_)
+                if matches!(
+                    change,
+                    Change::WindowOpacity(_) | Change::PaletteSource(_) | Change::Corner(_)
+                ) =>
+            {
+                if let (Some(key), Some(value)) = (change.key(), change.value()) {
+                    self.dispatch(AppCommand::SetSetting {
+                        key: key.to_owned(),
+                        value,
+                    });
+                }
+            }
+            // 其余键：走 bridge（它知道怎么保留强调色这类本 mission 不管的字段）。
+            Some(_) => self.persist_appearance(),
+            None => {}
+        }
+
+        if needs_window {
+            self.apply_window_alpha("change");
+        } else {
+            self.log_appearance("change", None);
+        }
+        // M116：圆角档位变了要**重新判定 + 重新下发**（与整窗 α 是两条独立的管线）。
+        self.apply_window_corner("change");
+    }
+
+    /// 重读配置后同步外观（热切：外部 CLI / AI 改完 1 秒内生效）。
+    pub(super) fn reload_appearance(&mut self) {
+        let (prefs, _theme) = self.bridge.load();
+        let base = self.bridge.load_base();
+        self.appearance.reload(&prefs, &base);
+        self.appearance_prefs = prefs;
+        self.rebuild_ui();
+        self.view_dirty = true;
+        self.apply_window_alpha("reload");
+        // M116：外部（CLI / AI）改了 `appearance.window_corner` 也要热生效。
+        self.apply_window_corner("reload");
+    }
+
+    /// 把外观写回 `launcher.json`（只改本 mission 管的字段，强调色/玻璃原样保留）。
+    fn persist_appearance(&mut self) {
+        let mut prefs = self.appearance_prefs.clone();
+        prefs.bg_image_enabled = self.appearance.bg_enabled;
+        prefs.bg_image = self.appearance.bg_path.clone();
+        prefs.bg_fill = self.appearance.bg_fill;
+        prefs.bg_dim = self.appearance.bg_dim;
+        prefs.panel_alpha = self.appearance.panel_alpha;
+        prefs.glass = self.appearance.glass;
+
+        self.bridge.persist(&prefs, self.theme_mode);
+        self.appearance_prefs = prefs;
+
+        match self.bridge.path() {
+            Some(path) => eprintln!("[settings] 外观已写回 {}", path.display()),
+            None => eprintln!("[settings] 外观未落盘（数据根解析不出来，内存态运行）"),
+        }
+    }
+}

crates/app-iced/src/app/backend.rs

@@ -0,0 +1,177 @@
+//! 本进程**实际**用的是哪个渲染后端（D36 的「CPU 档」判据）。
+//!
+//! ## 为什么不能直接看 `--renderer` 的请求值
+//!
+//! `Options::backend` 是**请求**（默认 `Auto`）。真正落到哪个渲染器由 `probe::apply` 决定，
+//! 它把结论写进进程环境变量 `ICED_BACKEND`（iced 只认这个）。于是默认参数 + 没有独显的机器上：
+//! 请求是 `Auto`，实际是 tiny-skia（CPU）——如果面板 α / 玻璃的降级判据只看请求值，
+//! D36 明写的「CPU 档面板 α 强制 1.0」**恰好在它最该生效的场景失效**（复审 r1 P2-2）。
+//!
+//! 所以判据统一走 [`effective_backend`]：它把 `ICED_BACKEND` 翻译回 [`Backend`]。
+//! 这里是**唯一**的翻译点，别在别处再读一遍环境变量。
+//!
+//! ## M97 之后这条链是准的（以前不是）
+//!
+//! 以前 `ICED_BACKEND` 可能是**候选列表**（`wgpu,tiny-skia`），运行期 wgpu 静默回退到
+//! tiny-skia 时这个变量还停在 wgpu ⇒ 本模块按 **GPU 档**判 ⇒ **半透明在 CPU 渲染器上照开**。
+//! 也就是说「静默降级」不只让日志说谎，还让 D36 的降级判据一起说谎。
+//!
+//! 现在 `ICED_BACKEND` **永远是单项**（[`crate::renderer::Kind`]），而且 `app::boot` 的重试
+//! 在降级重开前会把它改成 `tiny-skia`，于是：**真降级到 CPU 的那一次，面板 α 会正确地强制 1.0**。
+//!
+//! ## 已知边界（诚实登记）
+//!
+//! `iced` 0.14 没有公开的「当前后端」查询，所以本模块读的仍是**我们请求的那一项**。
+//! 单项 + 重试（[`crate::renderer`] 判据表第 8 行）把「请求 ≠ 实际」的窗口压到只剩一种：
+//! 重试那次自己也失败——那时候进程会带着具名错误退出，不会带着错的档位继续画。
+
+use crate::renderer::Kind;
+use crate::Backend;
+
+/// `ICED_BACKEND` 的取值 → 后端（纯函数，好测）。
+///
+/// 逗号列表按**首项**解释：兼容 M97 之前写下的值（以及外部手设的实验值），
+/// 但本 crate 不再产出那种值（守门测试见 `probe::tests::apply_writes_exactly_one_backend`）。
+#[must_use]
+pub(super) fn parse_kind(env: &str) -> Option<Kind> {
+    match env.trim().split(',').next()?.trim() {
+        "tiny-skia" => Some(Kind::TinySkia),
+        "wgpu" => Some(Kind::Wgpu),
+        _ => None,
+    }
+}
+
+/// `ICED_BACKEND` → 实际档位（纯函数，好测）。
+///
+/// | `ICED_BACKEND` | 含义（`probe::apply` 的产物） | 结论 |
+/// |---|---|---|
+/// | `tiny-skia` | 只有 CPU（`--renderer=cpu` / 未编 wgpu / 探测无硬件 / wgpu 失败后重开） | [`Backend::Cpu`] |
+/// | `wgpu` | 判据表第 3、6 行：起步就是 GPU（起不来会打印具名错误并重开成 `tiny-skia`） | [`Backend::Gpu`] |
+/// | 未设 / 别的值 | 不是本 crate 写的（外部手设 / M97 之前的旧进程） | 请求值（不猜） |
+#[must_use]
+pub(super) fn backend_from_env(request: Backend, env: Option<&str>) -> Backend {
+    env.and_then(parse_kind).map_or(request, Kind::tier)
+}
+
+/// 本进程实际生效的后端（判据 = `probe::apply` 写下的 `ICED_BACKEND`）。
+#[must_use]
+pub(super) fn effective_backend(request: Backend) -> Backend {
+    backend_from_env(request, std::env::var("ICED_BACKEND").ok().as_deref())
+}
+
+/// 本进程实际生效的**后端名**（`None` = 变量没写 / 不认识）。
+///
+/// 与 [`effective_backend`] 的区别：那个给「档位」，这个给「名字」，用于**取证日志**
+/// （`[shot] … renderer=wgpu`）。两张图分辨不出 GPU/CPU 的时候，靠的就是这一行。
+#[must_use]
+pub(super) fn effective_kind() -> Option<Kind> {
+    std::env::var("ICED_BACKEND")
+        .ok()
+        .as_deref()
+        .and_then(parse_kind)
+}
+
+#[cfg(test)]
+mod tests {
+    use super::backend_from_env;
+    use crate::Backend;
+    use unlucky_presenter::prefs::{PANEL_ALPHA_MIN, WINDOW_ALPHA_MIN};
+
+    /// 抓得住：`probe::apply` 现在产出的**每一种单项值**都被翻译成正确的档位，
+    /// 且 M97 之前写下的逗号列表仍按首项解释（向后兼容）。
+    /// 抓不住：运行期重试降级那一刻的时序（那由 `app::boot` 的重试保证，见 `renderer` 判据表第 8 行）。
+    #[test]
+    fn every_iced_backend_value_maps_to_a_tier() {
+        // 本 crate 现在只产单项（`probe::tests::apply_writes_exactly_one_backend` 守这一条）。
+        assert_eq!(
+            backend_from_env(Backend::Auto, Some("tiny-skia")),
+            Backend::Cpu,
+            "M97 判据表第 5 行：探测无硬件 ⇒ CPU 档"
+        );
+        assert_eq!(
+            backend_from_env(Backend::Auto, Some("wgpu")),
+            Backend::Gpu,
+            "M97 判据表第 6 行：有硬件 ⇒ GPU 档"
+        );
+        assert_eq!(
+            backend_from_env(Backend::Cpu, Some("tiny-skia")),
+            Backend::Cpu,
+            "强制 CPU 也是 CPU 档"
+        );
+        // 兼容 M97 之前的逗号列表（外部手设 / 旧进程留下）：按首项解释。
+        assert_eq!(
+            backend_from_env(Backend::Auto, Some("tiny-skia,wgpu")),
+            Backend::Cpu
+        );
+        assert_eq!(
+            backend_from_env(Backend::Auto, Some("wgpu,tiny-skia")),
+            Backend::Gpu
+        );
+        assert_eq!(
+            backend_from_env(Backend::Gpu, Some("wgpu,tiny-skia")),
+            Backend::Gpu
+        );
+        // 未设 / 空白：保持请求值（不是本 crate 写的，不猜）。
+        assert_eq!(backend_from_env(Backend::Auto, None), Backend::Auto);
+        assert_eq!(backend_from_env(Backend::Auto, Some("  ")), Backend::Auto);
+        // 不认识的取值不猜：保留请求值。
+        assert_eq!(
+            backend_from_env(Backend::Auto, Some("metal")),
+            Backend::Auto
+        );
+    }
+
+    /// **复审 r1 P2-2 的守门**：默认档（`Auto`）在无独显机器上必须落进 CPU 档，
+    /// 从而让「面板 α / 玻璃强制 1.0」在默认路径上真的生效。
+    ///
+    /// 抓得住：判据走 `effective_backend()` 这条链（谁把 `State::new` 改回只吃请求值，这条会红）。
+    /// 抓不住：整窗 α 在 CPU 档仍要生效（那是另一条判据，见 `alpha` 模块真值表）。
+    #[test]
+    fn auto_with_a_software_renderer_forces_the_panel_opaque() {
+        use crate::pages::appearance::alpha::{effective_glass, effective_panel_alpha};
+
+        let backend = backend_from_env(Backend::Auto, Some("tiny-skia"));
+        assert_eq!(backend, Backend::Cpu);
+        assert_eq!(
+            effective_panel_alpha(backend, 0.55),
+            1.0,
+            "D36：CPU 档面板 1.0"
+        );
+        assert!(!effective_glass(backend, true), "D36：CPU 档玻璃强制关");
+        // 但整窗 α 不受限（D36 对 D27 的修订）。
+        assert!(crate::platform::effective_window_alpha(backend, 0.8).is_some());
+
+        // 反方向：GPU 档不做这个降级（否则「强制」就没意义了）。
+        let gpu = backend_from_env(Backend::Auto, Some("wgpu"));
+        assert_eq!(effective_panel_alpha(gpu, 0.55), 0.55);
+        assert!((PANEL_ALPHA_MIN - 0.4).abs() < 1e-9 && (WINDOW_ALPHA_MIN - 0.08).abs() < 1e-9);
+    }
+
+    /// **M97 的新守门**：wgpu 失败重开成 `tiny-skia` 之后，档位必须跟着变成 CPU 档。
+    ///
+    /// 这是修之前做不到的一条：那时变量停在 `wgpu,tiny-skia`，静默回退到 tiny-skia 之后
+    /// 判据仍然读 `Gpu` ⇒ 半透明在 CPU 渲染器上照开。现在 `app::boot` 重开前会改写这个值，
+    /// 这条测试钉的是「改写成 tiny-skia 之后判据确实翻转」。
+    /// **两个后端取值各自对应哪个档位、面板 α 各是多少。**
+    ///
+    /// ⚠️ 这条**不**守「降级后档位翻转」——它只是把两个字面量喂给纯函数，`respawn` 一行都没执行。
+    /// 复审 M97 r1 p2-1 就是靠这一点把 `respawn` 里的 `.env("ICED_BACKEND", …)` 删掉而测试全绿的。
+    /// 真正的翻转由 `app::boot::tests::fallback_env_carries_the_backend_and_the_gate`
+    /// （respawn 到底传了什么）钉住——那条红了才是「翻转坏了」。
+    #[test]
+    fn each_backend_value_maps_to_its_tier_and_alpha() {
+        use crate::pages::appearance::alpha::effective_panel_alpha;
+
+        let gpu = backend_from_env(Backend::Auto, Some("wgpu"));
+        assert_eq!(gpu, Backend::Gpu);
+        assert_eq!(effective_panel_alpha(gpu, 0.55), 0.55);
+
+        let cpu = backend_from_env(Backend::Auto, Some("tiny-skia"));
+        assert_eq!(cpu, Backend::Cpu);
+        assert_eq!(
+            effective_panel_alpha(cpu, 0.55),
+            1.0,
+            "D36：CPU 档面板 α 强制 1.0"
+        );
+    }
+}

crates/app-iced/src/app/boot.rs

@@ -0,0 +1,262 @@
+//! 启动编排：**探测 → 字体 → 打印诊断 → 起 iced**（四步，别把它撑回一坨）。
+//!
+//! ## 三条纪律（每条都对应一次返工）
+//!
+//! 1. **后端起不来时的两条路策略不同**（判据表第 8/9 行）：交互启动换进程重开、取证启动
+//!    （`--screenshot`）拒绝出图 —— 实现与测试都在 [`fallback`]。
+//! 2. **窗口设置只有一个产地**（[`diagnostics::window_settings`]），`[window]` / `[caps]` 两行日志
+//!    从**同一个** `&window::Settings` 取字段。M98 r1 p2-1 的教训：把 `decorations=false` 写进
+//!    格式化串，等于让日志与真实行为可以各走各的（踩坑记录 U1）。
+//! 3. **没测过的就写 `skipped`**，不许拿 `0ms` 冒充实测（[`diagnostics::report_font`] 的 `probe`）。
+//!
+//! 为什么重开必须是**换进程**：Windows 实测本进程里再 `run()` 一次直接 panic
+//! （`iced_winit-0.14.1/src/lib.rs:81` → `Create event loop: RecreationAttempt`）。
+
+use std::time::{Duration, Instant};
+
+use iced::Task;
+
+use unlucky_design::color::SchemeFlavor;
+
+use crate::cli::Options;
+use crate::fonts;
+use crate::probe;
+use crate::renderer::{self, acceptance, Decision};
+use crate::theme::Families;
+
+use super::message::Message;
+use super::state::{App, STARTED};
+use super::{MIN_SIZE, WINDOW_SIZE};
+
+mod diagnostics;
+mod fallback;
+mod termux_gpu;
+mod termux_window;
+
+use fallback::{on_failure, respawn, OnFailure};
+
+/// 启动 iced（阻塞到退出）。`--diff` 不走这里，见 `main.rs`。
+pub(crate) fn run(options: Options) -> iced::Result {
+    let _ = STARTED.set(Instant::now());
+    let boot_started = Instant::now();
+
+    // ① 探测（判据取在哪、日志在 `report_boot` 里统一打）
+    // Termux + glibc 构建：装了我们自编的 turnip ICD 就先生效，auto 也能选到 GPU。
+    termux_gpu::enable();
+    let boot = boot_probe(&options);
+    let decision = boot.decision;
+    diagnostics::report_boot(&options, &boot.probe, &decision);
+
+    // ② 字体（`fonts` 自己打两行既有日志；新加的那行在 `report_font` 里）
+    let font_started = Instant::now();
+    let resolved = fonts::resolve();
+    let font_ms = font_started.elapsed();
+    eprintln!("[font] 求值耗时 {:.0} ms", font_ms.as_secs_f64() * 1000.0);
+    eprintln!("{}", resolved.describe());
+    if resolved.has_synthetic() {
+        eprintln!(
+            "[font] 警告：有字重落在「合成加粗」档（观感降级），D28 后半（CDN 字体/按档换字族）要处理"
+        );
+    }
+    let families = resolved.families();
+
+    // ③ 打印（主题来源 + 字体回退链 + 启动耗时）
+    // 截图模式：`--screenshot-theme` > `--theme` > **Light**（唯一取值口 `Options::capture_flavor`）。
+    // **不再有**「等系统主题到达」的闸门——CI 的 xvfb 没有主题会话，等它就是挂死（见 cli 文档）。
+    if options.screenshot.is_some() && options.shot_flavor().is_none() {
+        eprintln!("[shot] 未指定主题，按 Light 出图（D30 可复现；CI 冒烟依赖这条默认值）");
+    }
+    let flavor = options.capture_flavor().unwrap_or(SchemeFlavor::Light);
+    diagnostics::report_theme(&options, flavor);
+    diagnostics::report_font(
+        resolved.platform,
+        boot.probe_ms,
+        font_ms,
+        boot_started.elapsed(),
+    );
+
+    // ④ 起 iced（失败按判据表第 8/9 行分流；具名原因在分流之前就打到同一个 stderr 上了）
+    let launch_started = Instant::now();
+    let result = match launch(&options, families, flavor, decision.primary) {
+        Err(iced::Error::GraphicsCreationFailed(error)) => {
+            renderer::report_failure(decision.primary, &error);
+            match on_failure(decision, options.screenshot.as_ref()) {
+                Some(OnFailure::Respawn(fallback)) => {
+                    respawn(decision.primary, fallback, &error.to_string())
+                }
+                Some(OnFailure::Refuse) => {
+                    // 取证启动：**拒绝降级出图**（换了后端出的图会让报告撒谎）。
+                    eprintln!(
+                        "[gpu] 拒绝降级出图：本次是取证启动（--screenshot {}），换后端出的图会撒谎。",
+                        options
+                            .screenshot
+                            .as_ref()
+                            .map_or_else(String::new, |path| path.display().to_string())
+                    );
+                    eprintln!(
+                        "[gpu] 想用 CPU 出图请显式加 --renderer=cpu / --software-renderer（CI 就是这么跑的）。"
+                    );
+                    Err(iced::Error::GraphicsCreationFailed(error))
+                }
+                None => Err(iced::Error::GraphicsCreationFailed(error)),
+            }
+        }
+        other => other,
+    };
+    let launch_elapsed = launch_started.elapsed();
+
+    diagnostics::report_outcome(
+        &decision,
+        result.as_ref().err().map(|error| {
+            renderer::named_graphics_error(error).unwrap_or_else(|| error.to_string())
+        }),
+        acceptance::failure_via(decision.fallback.is_some(), options.screenshot.is_some()),
+        if options.screenshot.is_some() {
+            "screenshot"
+        } else {
+            "interactive"
+        },
+        launch_elapsed,
+    );
+
+    result
+}
+
+/// 按一次后端启动 iced。`backend` 决定这次写进 `ICED_BACKEND` 的唯一一项。
+fn launch(
+    options: &Options,
+    families: Families,
+    flavor: SchemeFlavor,
+    backend: renderer::Kind,
+) -> iced::Result {
+    std::env::set_var("ICED_BACKEND", backend.env_value());
+
+    let boot_options = options.clone();
+
+    // M98：`ULL_WINDOW_SIZE=1520x900` 覆盖尺寸（矩阵的「最小 / 宽屏」两档靠它，且必须走**真外壳**
+    // ——`pages_demo` example 的标题栏是留白带，出不了「三键位置」那张图）。
+    // Termux：没有环境覆盖时，默认尺寸按 X 屏幕等比自适应（横屏优先），
+    // 失败就退回 1180×760 的验收尺寸。
+    let (default_size, default_source) = termux_window::default_size(
+        (WINDOW_SIZE.width, WINDOW_SIZE.height),
+        (MIN_SIZE.width, MIN_SIZE.height),
+    )
+    .unwrap_or(((WINDOW_SIZE.width, WINDOW_SIZE.height), "default"));
+    let (size, size_source) =
+        acceptance::window_size(default_size, (MIN_SIZE.width, MIN_SIZE.height));
+    let size_source = if size_source == "default" {
+        default_source
+    } else {
+        size_source
+    };
+    let settings = diagnostics::window_settings(size);
+    // 两行日志与开窗用的是**同一个** settings（见模块文档纪律 2）
+    diagnostics::report_window(&settings, options.scale_factor, size_source);
+
+    let application = iced::application(
+        move || {
+            (
+                App::new(boot_options.clone(), families, flavor),
+                Task::done(Message::Boot),
+            )
+        },
+        App::update,
+        App::view,
+    )
+    .title(App::title)
+    .theme(App::theme)
+    .subscription(App::subscription)
+    .default_font(default_font(families))
+    .window(settings);
+
+    match options.scale_factor {
+        Some(scale) => application.scale_factor(move |_| scale).run(),
+        None => application.run(),
+    }
+}
+
+/// [`boot_probe`] 的产物：判据 + 探测到的适配器 + **探测耗时（没测就是 `None`）**。
+///
+/// 为什么把 `Probe` 带出来：`[env]` 的 `gpu=` / `hardware=` 必须是**这一次真枚举到的**结果
+/// （再枚举一遍多花 0.65~1.2 s，还可能给出不同状态）。判据与诊断看同一份数据。
+struct Boot {
+    decision: Decision,
+    probe: probe::Probe,
+    probe_ms: Option<Duration>,
+}
+
+/// 渲染后端探测 + 写 `ICED_BACKEND`，返回判据产物（供 `run` 决定要不要换进程重开）。
+fn boot_probe(options: &Options) -> Boot {
+    // 「上一步失败后重开」的那一次：别再探（会得到同一个结论，然后无限重开）。兜底必须是 None
+    // ——由 `decision::fallback_round` 单点保证。
+    if let Some(kind) = renderer::forced_fallback() {
+        let decision = renderer::fallback_round(kind);
+        std::env::set_var("ICED_BACKEND", kind.env_value());
+        eprintln!(
+            "[probe] 本次是降级重开（{}={}）：跳过探测 -> ICED_BACKEND={}",
+            renderer::FALLBACK_ENV,
+            kind.env_value(),
+            kind.env_value()
+        );
+        eprintln!("[probe] {}", decision.describe());
+        // 验收要 `[env]` 里的真实适配器：这一轮**也枚举一次，并如实计时**（没计时就 `None`
+        // ⇒ 日志写 `probe=skipped`，不写 0ms）。
+        let (probe, probe_ms) = if acceptance::enabled() {
+            let started = Instant::now();
+            let probe = probe::Probe::run();
+            (probe, Some(started.elapsed()))
+        } else {
+            (probe::Probe::default(), None)
+        };
+        return Boot {
+            decision,
+            probe,
+            probe_ms,
+        };
+    }
+
+    // 只有 `auto` 需要探测（`cpu`/`gpu` 的决策与硬件无关，枚举 13 个适配器本机要 0.65~1.2 s）。
+    // 验收模式例外：`[env]` 那行要 GPU 名，不管请求是哪个后端。
+    let needs_probe = options.backend == crate::Backend::Auto || acceptance::enabled();
+    let probe_started = Instant::now();
+    let probe = if needs_probe {
+        probe::Probe::run()
+    } else {
+        probe::Probe::default()
+    };
+    let probe_ms = needs_probe.then(|| probe_started.elapsed());
+
+    // `ULL_PREFLIGHT=1` 时先自己验一遍 wgpu（判据表第 7 行）；默认不跑，见 preflight 模块文档。
+    let preflight = renderer::preflight::run_if_requested();
+    let decision = probe::apply_with_preflight(options.backend, &probe, preflight.as_ref());
+
+    if cfg!(feature = "gpu") {
+        match probe_ms {
+            Some(elapsed) => eprintln!(
+                "[probe] 探测耗时 {:.0} ms（wgpu 实例 + 全后端适配器枚举）",
+                elapsed.as_secs_f64() * 1000.0
+            ),
+            None => eprintln!(
+                "[probe] 探测耗时 跳过（--renderer={} 与硬件无关，未枚举）",
+                options.backend.name()
+            ),
+        }
+    }
+    Boot {
+        decision,
+        probe,
+        probe_ms,
+    }
+}
+
+/// 默认字体（正文档解析出来的族）。
+fn default_font(families: Families) -> iced::Font {
+    iced::Font {
+        family: iced::font::Family::Name(families.text),
+        ..iced::Font::DEFAULT
+    }
+}
+
+#[cfg(test)]
+#[path = "boot/tests.rs"]
+mod tests;

crates/app-iced/src/app/boot/diagnostics.rs

@@ -0,0 +1,110 @@
+//! 启动阶段的**验收诊断编排**：把 `app/boot.rs` 的 `run()` 收成「探测 → 字体 → 打印 → 起 iced」。
+//!
+//! ## 为什么单独一个文件（M98 r1 p2-1 的根因）
+//!
+//! 第一版把 `[window] requested … resizable=true decorations=false transparent=false` 直接写在
+//! 格式化串里，而 `boot.rs` 给窗口的 `settings` 是另一处常量 —— 两者**没有任何绑定**。定向变异
+//! 把 `settings.decorations` 改成 `true`，371 个测试全绿，而验收包里 `[caps] decorations=true` 与
+//! `[window] decorations=false` 会互相矛盾（踩坑记录 U1：常量冒充观测结果）。
+//!
+//! 现在：窗口设置由 [`window_settings`] **一处**产生，日志由 [`report_window`] 从**同一个
+//! `&window::Settings`** 取字段。钉死它的守门测试在 `boot/tests.rs`（`window_settings_*`）。
+//!
+//! 另一件事：所有「跑没跑」都要能如实说。降级重开那一轮没计时就写 `probe=skipped`，
+//! 不许拿 `0ms` 冒充一次实测（M98 r1 p3-1）。
+
+use std::time::Duration;
+
+use iced::window;
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_design::typography::Platform as FontPlatform;
+
+use crate::cli::Options;
+use crate::probe::Probe;
+use crate::renderer::{acceptance, Decision};
+
+use super::MIN_SIZE;
+use crate::app::APP_TITLE;
+
+/// 产品窗口设置（**唯一产地**：`launch()` 用它开窗，`[window]` / `[caps]` 从它取字段）。
+///
+/// `ULL_WINDOW_SIZE` 的覆盖在 `boot.rs` 解析成 `size` 后从这里进来 —— 日志与真窗口永远同源。
+pub(super) fn window_settings(size: (f32, f32)) -> window::Settings {
+    window::Settings {
+        size: iced::Size::new(size.0, size.1),
+        min_size: Some(MIN_SIZE),
+        // 自绘三键（M93）：窗口**不许**带系统装饰，否则 macOS 上会出现原生标题栏 + 自绘三键两套。
+        decorations: false,
+        resizable: true,
+        // M93 / D36：整窗 α 需要 `WS_EX_LAYERED`，但这里给不了——`window::Settings` 没有扩展样式
+        // 字段，写它只有 `Get/SetWindowLongPtrW`（`unsafe`，全仓只允许出现在
+        // `platform/win32/transparency.rs`）。所以 α 下发在拿到句柄之后（`Message::WindowHandle`）。
+        transparent: false,
+        ..window::Settings::default()
+    }
+}
+
+/// `[window] requested` + `[caps]` 两行，**都从同一个 `settings` 取**（不给手抄字面量的机会）。
+pub(super) fn report_window(settings: &window::Settings, scale: Option<f32>, size_source: &str) {
+    let facts = acceptance::WindowFacts::from_settings(settings);
+    acceptance::report_window(&facts, scale, size_source, Some(APP_TITLE));
+    acceptance::report_caps(
+        std::env::current_exe().ok().as_deref(),
+        facts.transparent,
+        facts.resizable,
+        facts.decorations,
+    );
+}
+
+/// 第一段：`[acceptance] on` + `[backend] plan` +（验收模式）`[env]` / `[i18n]`。
+pub(super) fn report_boot(options: &Options, probe: &Probe, decision: &Decision) {
+    if acceptance::enabled() {
+        acceptance::announce();
+    }
+    acceptance::report_backend_plan(decision, options.backend);
+    if acceptance::enabled() {
+        acceptance::report_startup(probe, options.scale_factor, options.screenshot.is_some());
+    }
+}
+
+/// 第二段：`[font] chain` + `[perf] boot`（都要 `ULL_ACCEPTANCE=1`）。
+///
+/// `probe = None` = 这一轮**没有探测**（既不是 `auto` 也没开验收）⇒ 打 `probe=skipped`。
+pub(super) fn report_font(
+    platform: FontPlatform,
+    probe: Option<Duration>,
+    font: Duration,
+    to_run: Duration,
+) {
+    if acceptance::enabled() {
+        acceptance::report_font_chain(platform);
+        acceptance::report_perf_boot(probe, font, to_run);
+    }
+}
+
+/// 第三段：`[theme]`（恒开：它解释的是「这次主题凭什么是这个」）。
+pub(super) fn report_theme(options: &Options, flavor: SchemeFlavor) {
+    let (source, follows) = acceptance::theme_source(
+        options.screenshot_theme.is_some(),
+        options.theme.is_some(),
+        options.screenshot.is_some(),
+    );
+    let explicit = (!follows).then_some(if flavor.is_dark() { "dark" } else { "light" });
+    acceptance::report_theme(source, explicit, follows);
+}
+
+/// 第四段：`[backend] final`（恒开）+ `[perf] session`（验收模式）。
+///
+/// `error` = 具名失败原因（`None` = 起来了）；`via` 见 `renderer::acceptance::failure_via`。
+/// `refuse` / `none` 两条路**什么都没跑起来** ⇒ `final=none`；只有 `respawn` 才有「换到哪个
+/// 后端」可言（那一格是兜底名，子进程自己还会再打一遍自己的 plan/final）。
+pub(super) fn report_outcome(
+    decision: &Decision,
+    error: Option<String>,
+    via: &str,
+    mode: &str,
+    elapsed: Duration,
+) {
+    acceptance::report_outcome(decision, error.as_deref(), via, mode, elapsed);
+}

crates/app-iced/src/app/boot/fallback.rs

@@ -0,0 +1,117 @@
+//! 起步后端失败后的**兜底/重开**一簇：判据、进程环境交接、`respawn`、退出码透传。
+//!
+//! 从 `app/boot.rs` 拆出来的理由：这一簇**与启动编排零耦合**，但已有 5 条测试，而且它是
+//! M97 判据表第 8/9 行的落点。`boot.rs` 那边只负责「什么时候调它」。
+//!
+//! ## 为什么必须换进程（别改回进程内重试）
+//!
+//! Windows 实测本进程里再 `run()` 一次直接 panic
+//! （`iced_winit-0.14.1/src/lib.rs:81` → `Create event loop: RecreationAttempt`），winit 一个进程
+//! 只能建一次事件循环。
+
+use crate::renderer::Decision;
+use crate::renderer::{self, acceptance, Kind};
+
+/// 起步后端失败后的去向（判据表第 8 行 vs 第 9 行——**两条路策略不同，别合成一条**）。
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+pub(super) enum OnFailure {
+    /// 交互启动：安全网优先，换进程用这个后端重开。
+    Respawn(Kind),
+    /// 取证启动：红着退出，**不出图**。
+    Refuse,
+}
+
+/// 纯判据：起步后端失败时走哪条路。
+///
+/// `evidence` 非空 = 本次是取证启动（带 `--screenshot`）；返回 `None` = 没有兜底可用
+/// （`--renderer=cpu` / 未编 wgpu），原样把错误交回去。抽成纯函数只为一个理由：这条分支以前
+/// **没有任何测试**，`respawn` / `Refuse` 两条路可以被静默改反（M97 r1 p2-1 就是这么测出来的）。
+pub(super) fn on_failure(
+    decision: Decision,
+    evidence: Option<&std::path::PathBuf>,
+) -> Option<OnFailure> {
+    let fallback = decision.fallback?;
+    Some(match evidence {
+        Some(_) => OnFailure::Refuse,
+        None => OnFailure::Respawn(fallback),
+    })
+}
+
+/// 降级重开要传给子进程的环境变量（**两条缺一不可**）。
+///
+/// ① `ICED_BACKEND`：让子进程直接用 `fallback` 跑。
+/// ② [`renderer::FALLBACK_ENV`]：**防无限重开的闸门**——子进程见它就必须跳过探测
+///    （`boot_probe` 的第一个分支），否则会算出同一个结论、再失败、再 respawn。
+///
+/// 抽成纯函数是为了让「漏传其中之一」变成**测试能抓到**的错误：两条都是静默失效型
+/// （漏 ① 重开又跑一遍 wgpu、漏 ② 无限重开），线上极难看出来。
+pub(super) fn fallback_env(fallback: Kind) -> [(&'static str, &'static str); 2] {
+    [
+        ("ICED_BACKEND", fallback.env_value()),
+        (renderer::FALLBACK_ENV, fallback.env_value()),
+    ]
+}
+
+/// 安全网：起一个**新进程**用 `fallback` 后端重开，然后带着它的退出码退出。
+///
+/// 只在**交互启动**时走到这里（取证启动宁可红着退出也不换后端出图）；子进程看到
+/// [`renderer::FALLBACK_ENV`] 必须跳过探测，否则无限递归重开（闸门在 `boot_probe` 入口）。
+pub(super) fn respawn(failed: Kind, fallback: Kind, error: &str) -> ! {
+    let exe = std::env::current_exe().unwrap_or_else(|err| {
+        eprintln!("[gpu] 降级重开失败：拿不到自身路径（{err}）");
+        std::process::exit(exit_code(None));
+    });
+    eprintln!(
+        "[gpu] 降级 → {}（{} 已失败，原因见上两行；换一个进程重开：winit 不允许同进程建两次事件循环）。\
+         下一次的日志从 `[probe] 本次是降级重开` 开始。",
+        fallback.name(),
+        failed.name()
+    );
+    // `[backend] final` 一行把「哪个后端失败了、去了哪、为什么」收在一起（可 grep 的单一结论行）。
+    // 这里 `final=` 装的是**兜底**（进程即将带着它重开）；`via=respawn` 说明它是换进程去的。
+    acceptance::report_backend_failed(failed, Some(fallback), Some(fallback), "respawn", error);
+
+    let status = fallback_command(&exe, std::env::args_os().skip(1), fallback).status();
+
+    // 退出码**透传**子进程的：上层脚本/CI 靠它判断成败。写错的失效方式是「安静地给出一个错
+    // 结论」——不崩、不静默降级、不无限重开，只是让 CI 把失败当成功。
+    let code = match status {
+        Ok(status) => exit_code(status.code()),
+        Err(err) => {
+            eprintln!("[gpu] 降级重开失败：{err}");
+            exit_code(None)
+        }
+    };
+    std::process::exit(code)
+}
+
+/// 子进程退出码 → 本进程退出码。
+///
+/// `None` = 子进程被信号杀死（只有 Unix）：走兜底码而**不是** panic、也不是 0——上层判据是
+/// 「非零 = 失败」，「拿不到退出码」和「退出码是某个非零值」对脚本是一回事。
+pub(super) fn exit_code(code: Option<i32>) -> i32 {
+    /// 重开失败 / 拿不到退出码时的兜底码（与 `main` 的「参数或运行错误」一致）。
+    const RESPAWN_FAILED: i32 = 2;
+    code.unwrap_or(RESPAWN_FAILED)
+}
+
+/// 构造降级重开的子进程命令（**可测**：program / argv / env 都能在测试里断言）。
+///
+/// `program` / `args` 是参数而不是在函数里读 `std::env`，唯一目的是让测试能喂假命令
+/// （`cmd /c exit 7` / `sh -c "exit 7"`）来验退出码透传——真用 `current_exe()` 就没法测。
+///
+/// 三路 stdio **显式**继承：子进程日志必须和父进程同一路输出，否则验收只抓到父进程那两行具名
+/// 错误。`Command` 没有 stdio 的 getter（stable 没有），所以这条只能靠真跑一次证明。
+pub(super) fn fallback_command(
+    program: &std::path::Path,
+    args: impl IntoIterator<Item = std::ffi::OsString>,
+    fallback: Kind,
+) -> std::process::Command {
+    let mut command = std::process::Command::new(program);
+    command.args(args).envs(fallback_env(fallback));
+    command
+        .stdin(std::process::Stdio::inherit())
+        .stdout(std::process::Stdio::inherit())
+        .stderr(std::process::Stdio::inherit());
+    command
+}

crates/app-iced/src/app/boot/termux_gpu.rs

@@ -0,0 +1,58 @@
+//! Termux 上自动启用随附的 Vulkan ICD（glibc 侧 turnip，`ull_freedreno.json`）。
+//!
+//! 背景：Termux 软件源里的 glibc Mesa（24.2.6）不认识 Adreno 840，硬件 GPU 需要用
+//! `packaging/docs/termux-glibc-build.md` §5 里自编的 Mesa 26（KGSL）。驱动装在
+//! `$PREFIX/glibc/share/vulkan/icd.d/ull_freedreno.json` 时，这里在探测之前把它设进
+//! `VK_ICD_FILENAMES` / `VK_DRIVER_FILES`，让 `auto` 也能选到 GPU。
+//!
+//! 只在 **glibc 构建**（`target_os = "linux"`）上生效：Termux 原生（bionic）构建的
+//! `target_os = "android"`，glibc 驱动对它没有意义。用户显式设了这两个变量时不覆盖。
+
+use std::path::{Path, PathBuf};
+
+use unlucky_core::platform::paths::ProcessEnv;
+use unlucky_core::platform::termux;
+
+/// 随附 ICD 的相对路径（相对 `$PREFIX`）。
+const ICD_REL: &str = "glibc/share/vulkan/icd.d/ull_freedreno.json";
+
+/// 在 GPU 探测之前调用：装了就启用，没装就什么都不做。
+pub(super) fn enable() {
+    if !cfg!(target_os = "linux") {
+        return;
+    }
+    if std::env::var_os("VK_ICD_FILENAMES").is_some()
+        || std::env::var_os("VK_DRIVER_FILES").is_some()
+    {
+        return;
+    }
+    let Some(prefix) = termux::prefix(&ProcessEnv) else {
+        return;
+    };
+    let icd = icd_path(&prefix);
+    if icd.is_file() {
+        std::env::set_var("VK_ICD_FILENAMES", &icd);
+        std::env::set_var("VK_DRIVER_FILES", &icd);
+    }
+}
+
+/// `$PREFIX` 下随附 ICD 的路径（纯函数，测试用）。
+fn icd_path(prefix: &Path) -> PathBuf {
+    prefix.join(ICD_REL)
+}
+
+#[cfg(test)]
+mod tests {
+    use super::icd_path;
+
+    #[test]
+    fn icd_path_is_under_the_glibc_prefix() {
+        let path = icd_path(std::path::Path::new("/data/data/com.termux/files/usr"));
+        assert_eq!(
+            path,
+            std::path::PathBuf::from(
+                "/data/data/com.termux/files/usr/glibc/share/vulkan/icd.d/ull_freedreno.json"
+            )
+        );
+    }
+}

crates/app-iced/src/app/boot/termux_window.rs

@@ -0,0 +1,115 @@
+//! Termux / termux-x11 下的窗口尺寸自适应（横屏优先）。
+//!
+//! 验收尺寸（1180×760）是 D30 的硬要求，不能改；但手机显示器可能横屏远大于它
+//! （例如 2066×1272）或竖屏略小。这里只在**运行时**把「默认尺寸」换成按当前 X
+//! 屏幕算出的最大等比矩形；`ULL_WINDOW_SIZE` 覆盖仍然优先（见 `acceptance::window_size`）。
+//!
+//! 只在 Termux + 有 `DISPLAY` 时探测；`xdpyinfo` 缺失/解析失败一律回默认，不影响其它平台。
+
+use std::process::Command;
+
+use unlucky_core::platform::paths::ProcessEnv;
+use unlucky_core::platform::termux;
+
+/// 屏幕四周留白（像素）。
+const MARGIN: f32 = 32.0;
+/// 最大放大倍数：大屏上也不把窗口撑成巨屏。
+const MAX_SCALE: f32 = 2.0;
+/// `xdpyinfo` 里尺寸那一行的前缀。
+const DIMENSIONS_PREFIX: &str = "dimensions:";
+
+/// Termux 上的默认窗口尺寸：按 X 屏幕等比放大/缩小，失败返回 `None`（用调用方默认）。
+///
+/// `default` / `min` 由调用方传入（[`super::WINDOW_SIZE`] / [`super::MIN_SIZE`]），
+/// 这里不复制常量。
+#[must_use]
+pub(super) fn default_size(
+    default: (f32, f32),
+    min: (f32, f32),
+) -> Option<((f32, f32), &'static str)> {
+    if !termux::is_termux(&ProcessEnv) || std::env::var_os("DISPLAY").is_none() {
+        return None;
+    }
+    let screen = x_screen_size()?;
+    Some((fit_screen(default, min, screen), "termux-screen"))
+}
+
+/// 在 `screen` 里放一个保持 `default` 宽高比的最大矩形（保留留白，不突破 `min`）。
+#[must_use]
+pub(super) fn fit_screen(default: (f32, f32), min: (f32, f32), screen: (f32, f32)) -> (f32, f32) {
+    if screen.0 <= 0.0 || screen.1 <= 0.0 || default.0 <= 0.0 || default.1 <= 0.0 {
+        return default;
+    }
+    let available = (
+        (screen.0 - MARGIN * 2.0).max(1.0),
+        (screen.1 - MARGIN * 2.0).max(1.0),
+    );
+    let scale = (available.0 / default.0)
+        .min(available.1 / default.1)
+        .min(MAX_SCALE);
+    let width = (default.0 * scale).max(min.0).min(screen.0);
+    let height = (default.1 * scale).max(min.1).min(screen.1);
+    (width, height)
+}
+
+/// 当前 X 屏幕尺寸（`xdpyinfo` 的 `dimensions: WxH pixels`）。
+fn x_screen_size() -> Option<(f32, f32)> {
+    let output = Command::new("xdpyinfo").output().ok()?;
+    if !output.status.success() {
+        return None;
+    }
+    let text = String::from_utf8_lossy(&output.stdout);
+    let line = text
+        .lines()
+        .find(|line| line.trim_start().starts_with(DIMENSIONS_PREFIX))?;
+    let value = line.split_whitespace().nth(1)?;
+    let (width, height) = value.split_once('x')?;
+    Some((width.parse().ok()?, height.parse().ok()?))
+}
+
+#[cfg(test)]
+mod tests {
+    use super::fit_screen;
+
+    const DEFAULT: (f32, f32) = (1180.0, 760.0);
+    const MIN: (f32, f32) = (880.0, 560.0);
+
+    fn close(actual: (f32, f32), expected: (f32, f32)) {
+        assert!(
+            (actual.0 - expected.0).abs() < 0.5 && (actual.1 - expected.1).abs() < 0.5,
+            "expected {expected:?}, got {actual:?}"
+        );
+    }
+
+    #[test]
+    fn landscape_screen_scales_up_keeping_aspect() {
+        // 2066×1272：留白后 2002×1208，高度是瓶颈 → 1875.6×1208。
+        close(
+            fit_screen(DEFAULT, MIN, (2066.0, 1272.0)),
+            (1875.58, 1208.0),
+        );
+    }
+
+    #[test]
+    fn portrait_screen_still_fits_width() {
+        // 1272×2066：宽度是瓶颈 → 1208×778。
+        close(fit_screen(DEFAULT, MIN, (1272.0, 2066.0)), (1208.0, 778.03));
+    }
+
+    #[test]
+    fn huge_screen_is_capped_at_two_times() {
+        close(fit_screen(DEFAULT, MIN, (4000.0, 3000.0)), (2360.0, 1520.0));
+    }
+
+    #[test]
+    fn tiny_screen_never_goes_below_min_or_overflow() {
+        let (width, height) = fit_screen(DEFAULT, MIN, (800.0, 600.0));
+        assert_eq!(width, 800.0, "宽度受屏幕限制");
+        assert_eq!(height, 560.0, "高度不小于最小尺寸");
+    }
+
+    #[test]
+    fn invalid_screen_falls_back_to_default() {
+        assert_eq!(fit_screen(DEFAULT, MIN, (0.0, 0.0)), DEFAULT);
+    }
+}

crates/app-iced/src/app/boot/tests.rs

@@ -0,0 +1,271 @@
+//! `app/boot.rs` 的单元测试 + **变异验证说明**（M97 r1）。
+//!
+//! 放独立文件（同 `pages/harness/tests.rs`）是为了让 `boot.rs` 留在 400 行内。
+
+//! ## 变异验证怎么做（M97 r1 的教训，改测试前先读这段）
+//!
+//! 这批测试的价值不是「跑绿了」，而是「把实现改坏会红」。做变异时**只在目标函数体内替换**，
+//! 并且把测试里的同一字面量排除在外：
+//!
+//! ```text
+//! # // 示意（真实脚本是一次性的，没入库）
+//! def in_body(path, marker, changes):
+//!     """按函数体范围替换。**不能**全局 sed：那会连测试期望里的同一字面量一起改掉，
+//!     于是实现和断言被换成同一个错值 ⇒ 测试照样绿 ⇒ 验证的是变异脚本自己。"""
+//! ```
+//!
+//! M97 r1 第一次跑变异时，M1/M2/M3 三个变异「照样绿」——不是测试弱，是脚本用全局 `sed`
+//! 把断言一起改了。这类假绿最阴：变异验证本来是我们判断「测试够不够」的终极手段，
+//! 手段本身假绿时，它还会附赠「已验证」的强信心。
+
+use super::fallback::*;
+use super::*;
+
+use crate::renderer::acceptance::WindowFacts;
+use crate::renderer::decision;
+use crate::renderer::Kind;
+use std::ffi::{OsStr, OsString};
+use std::path::Path;
+
+fn probe(device_type: &'static str) -> crate::Probe {
+    crate::Probe {
+        adapters: vec![crate::probe::AdapterSummary {
+            name: "adapter".to_owned(),
+            device_type,
+        }],
+        hardware: !matches!(device_type, "Cpu" | "Other"),
+    }
+}
+
+/// **降级重开到底传了什么**（M97 r1 p2-1 的守门）。
+///
+/// 抓得住：`fallback_env` 少写/写错任一条——两条都是静默失效型：
+/// 漏 `ICED_BACKEND` ⇒ 子进程又去试 wgpu（白开一次窗）；漏 `ULL_GPU_FALLBACK` ⇒ **无限重开**。
+/// 抓不住：`Command` 本身没被建起来（那要真起进程，见 §「Windows 实测」）。
+#[test]
+fn fallback_env_carries_the_backend_and_the_gate() {
+    for fallback in [Kind::TinySkia, Kind::Wgpu] {
+        let env = fallback_env(fallback);
+        assert_eq!(
+            env.len(),
+            2,
+            "就这两条，多一条少一条都要在这里改文档：{env:?}"
+        );
+        assert!(
+            env.contains(&("ICED_BACKEND", fallback.env_value())),
+            "子进程必须直接用 {fallback:?} 跑，实际 {env:?}"
+        );
+        assert!(
+            env.contains(&(renderer::FALLBACK_ENV, fallback.env_value())),
+            "缺防无限重开的闸门 {FALLBACK_ENV:?}，实际 {env:?}",
+            FALLBACK_ENV = renderer::FALLBACK_ENV
+        );
+    }
+}
+
+/// 闸门的另一半：子进程那一轮的决策**不能再有兜底**，否则失败后继续 respawn ⇒ 无限递归。
+///
+/// 抓得住：`fallback_round` 的 `fallback` 被写成 `Some(..)`（自杀式循环）。
+/// 抓不住：`forced_fallback()` 没被 `boot_probe` 调用（那是环境变量的读，见下一条的说明）。
+#[test]
+fn fallback_round_never_degrades_again() {
+    for kind in [Kind::TinySkia, Kind::Wgpu] {
+        let decision = decision::fallback_round(kind);
+        assert_eq!(decision.primary, kind);
+        assert_eq!(
+            decision.fallback, None,
+            "降级重开那一次不许再有兜底，否则会无限递归重开"
+        );
+        assert_eq!(decision.reason, "fallback-after-failure");
+    }
+}
+
+/// 判据表第 8 行 vs 第 9 行：**交互降级 / 取证拒绝**，两条路的策略不同。
+///
+/// 抓得住：`--screenshot` 分支被改回「也降级」（那正是 M97 要杀的「取证工具自己换后端」）。
+/// 抓不住：`screenshot` 传进来的时机（那是 `run()` 的接线，见 Windows 实测记录）。
+#[test]
+fn evidence_start_refuses_instead_of_degrading() {
+    let auto = decision::decide(crate::Backend::Auto, &probe("IntegratedGpu"), true);
+    let evidence = std::path::PathBuf::from("out.png");
+
+    assert_eq!(
+        on_failure(auto, Some(&evidence)),
+        Some(OnFailure::Refuse),
+        "取证启动 + wgpu 起不来 ⇒ 拒绝出图"
+    );
+    assert_eq!(
+        on_failure(auto, None),
+        Some(OnFailure::Respawn(Kind::TinySkia)),
+        "交互启动 + wgpu 起不来 ⇒ 换进程降级"
+    );
+}
+
+/// **构造侧**：argv 原样透传、两组 env 都在、program 就是传进来的那个。
+///
+/// 抓得住：重开时丢掉用户参数（`--screenshot` / `--screen` / `--data-dir` 全没了，
+/// 子进程会按默认参数跑，那是最难查的一种「重开后行为变了」）、env 少传（M97 r1 的 p2-1）。
+/// 抓不住：stdio 继承（`Command` 没有 stdio getter，只能真跑一次，见 `fallback_command` 的注释）。
+#[test]
+fn fallback_command_passes_program_argv_and_envs() {
+    let args = ["--renderer=auto", "--screenshot", "out.png"];
+    let command = fallback_command(
+        Path::new("unlucky-launcher-iced"),
+        args.iter().map(OsString::from),
+        Kind::TinySkia,
+    );
+
+    assert_eq!(
+        command.get_program(),
+        OsStr::new("unlucky-launcher-iced"),
+        "program 必须是传进来的那个（生产里是 current_exe）"
+    );
+    assert_eq!(
+        command.get_args().collect::<Vec<_>>(),
+        args.iter().map(OsStr::new).collect::<Vec<_>>(),
+        "argv 必须原样透传，一条不漏、顺序不变"
+    );
+    let envs: Vec<_> = command.get_envs().collect();
+    for (key, value) in fallback_env(Kind::TinySkia) {
+        assert!(
+            envs.contains(&(OsStr::new(key), Some(OsStr::new(value)))),
+            "重开命令缺 {key}={value}，实际 {envs:?}"
+        );
+    }
+}
+
+/// **执行侧**：子进程退出 7 → 父进程拿到 7（不是 0、不是自己造的值）。
+///
+/// 抓得住：`exit_code` 被改成恒 0 / 恒 1 / 写成 `status.success().into()`。
+/// 抓不住：生产里 `current_exe()` 那个 program（测试用假命令，见 `fallback_command` 注释）。
+#[test]
+fn fallback_command_really_passes_the_child_exit_code() {
+    #[cfg(windows)]
+    let (program, args) = ("cmd", vec!["/c", "exit", "7"]);
+    #[cfg(unix)]
+    let (program, args) = ("sh", vec!["-c", "exit 7"]);
+
+    let status = fallback_command(
+        Path::new(program),
+        args.iter().map(OsString::from),
+        Kind::TinySkia,
+    )
+    .status()
+    .expect("假子进程必须能起来");
+    assert_eq!(
+        exit_code(status.code()),
+        7,
+        "子进程退出 7，父进程必须透传 7；{status:?}"
+    );
+}
+
+/// 子进程**被信号杀死**（`code()` 为 `None`）：走兜底码，不 panic、不当成功。
+///
+/// 这是纯函数测试，所以在 Windows 上也能跑（真造一个信号死亡的 `ExitStatus`
+/// 需要 `ExitStatusExt`，只有 Unix 有；而这里测的正是「拿不到码」那一刻的行为）。
+#[test]
+fn signal_death_falls_back_to_a_nonzero_code() {
+    assert_eq!(exit_code(Some(0)), 0, "成功必须透传 0");
+    assert_eq!(exit_code(Some(7)), 7);
+    let fallback = exit_code(None);
+    assert_ne!(fallback, 0, "拿不到退出码绝不能当成功");
+    assert_eq!(fallback, 2, "兜底码与 main 的「参数或运行错误」一致");
+}
+
+/// 没有兜底可用的两行（强制 CPU / 未编 wgpu）：失败就原样把错误交回去，不许 respawn。
+#[test]
+fn no_fallback_means_no_respawn() {
+    let cpu = decision::decide(crate::Backend::Cpu, &probe("IntegratedGpu"), true);
+    let evidence = std::path::PathBuf::from("out.png");
+    assert_eq!(cpu.fallback, None);
+    assert_eq!(on_failure(cpu, None), None);
+    assert_eq!(
+        on_failure(cpu, Some(&evidence)),
+        None,
+        "强制 CPU 也不该走到「拒绝降级」那条提示上（它压根没想上 GPU）"
+    );
+
+    let not_compiled = decision::decide(crate::Backend::Auto, &probe("IntegratedGpu"), false);
+    assert_eq!(on_failure(not_compiled, None), None);
+}
+
+/// **窗口设置就是验收日志里那三个字段的来源**（M98 r1 p2-1 的守门）。
+///
+/// 抓得住：把 `decorations` 改回 `true`（自绘三键退回系统装饰）、把 `resizable` / `transparent`
+/// 打开 —— 这三种改动都会让 `[window]` 与 `[caps]` 两行与代码自相矛盾，而在此之前**371 个测试
+/// 全绿**（复审 M6 变异实证）。现在它们必须红在这里。
+/// 抓不住：winit 是否真按这些设置建窗（那要真机看窗口，见判据表「谁能验证」列）。
+#[test]
+fn window_settings_match_what_the_acceptance_logs_claim() {
+    let settings = diagnostics::window_settings((1180.0, 760.0));
+
+    assert!(
+        !settings.decorations,
+        "M93 自绘三键：窗口不能带系统装饰（否则 macOS 上会出现两套标题栏）"
+    );
+    assert!(
+        settings.resizable,
+        "验收要验「能否缩放」，窗口必须声明可缩放"
+    );
+    assert!(
+        !settings.transparent,
+        "整窗透明只在 win32 拿到句柄后下发（D36），窗口创建侧不许打开它"
+    );
+    assert_eq!(
+        settings.min_size,
+        Some(MIN_SIZE),
+        "最小尺寸档（880×560）是矩阵的一格，不能被改动"
+    );
+
+    // 日志确实从上面这个 settings 取值（而不是另抄一份字面量）
+    let facts = WindowFacts::from_settings(&settings);
+    let line = crate::renderer::acceptance::window_text(
+        &facts,
+        None,
+        "default",
+        Some(super::super::APP_TITLE),
+    );
+    assert!(line.contains("resizable=true"), "{line}");
+    assert!(line.contains("decorations=false"), "{line}");
+    assert!(line.contains("transparent=false"), "{line}");
+    assert!(line.contains("size=1180x760"), "{line}");
+    assert!(line.contains("min=880x560"), "{line}");
+
+    // 抽字段这一步必须**忠实**：拿一份处处相反的 settings 进来，facts 必须跟着反
+    // （抓的是「from_settings 里又写死一份常量」这条回退路 —— M98 r1 M7 变异实证它当年漏抓）
+    let odd = iced::window::Settings {
+        size: iced::Size::new(640.0, 480.0),
+        min_size: None,
+        decorations: true,
+        resizable: false,
+        transparent: true,
+        ..iced::window::Settings::default()
+    };
+    assert_eq!(
+        WindowFacts::from_settings(&odd),
+        WindowFacts {
+            size: (640.0, 480.0),
+            min: None,
+            resizable: false,
+            decorations: true,
+            transparent: true,
+        },
+        "from_settings 必须逐字段搬运，不能在内部再写死一份常量"
+    );
+
+    // 反向：把事实翻个身，日志必须跟着变（证明没有第二份真值）
+    let flipped = WindowFacts {
+        decorations: true,
+        ..facts
+    };
+    let line = crate::renderer::acceptance::window_text(
+        &flipped,
+        None,
+        "default",
+        Some(super::super::APP_TITLE),
+    );
+    assert!(
+        line.contains("decorations=true"),
+        "日志必须跟着 settings 走：{line}"
+    );
+}

crates/app-iced/src/app/message.rs

@@ -0,0 +1,101 @@
+//! 应用消息：单一大枚举。
+//!
+//! 纪律：本枚举是**唯一**的消息类型，`view` 产出的所有回调都必须落到这里；组件库与页面层
+//! 各自用自己的 `Message`（组件契约 §2 的泛型纪律），由 `view` 做一次 `.map` 接上。
+//!
+//! ## 三类输入（M90）
+//!
+//! | 来源 | 变体 | 落点 |
+//! |---|---|---|
+//! | 窗口/框架 | `Boot` / `WindowReady` / `Window` / `Frame` / `Captured` / 三个 caption | [`super::update`] 直接处理 |
+//! | **时间** | `Frame`（忙碌，33 ms 闸门）+ `Heartbeat`（空闲，1 Hz） | presenter 的 TICK 节拍：`backend.tick` + `drain_events` + `apply` |
+//! | **页面** | `Page(pages::Message)` | 导航 → `AppState::navigate`；启动/停止 → `AppCommand` |
+
+use iced::{window, window::Direction};
+
+use unlucky_presenter::router::Route;
+
+use crate::pages;
+use crate::shell::NavItem;
+
+use super::components;
+
+/// 消息（单一大枚举）。
+#[derive(Debug, Clone)]
+pub enum Message {
+    /// 启动即发一次（`iced::application` 的 boot 闭包）。
+    Boot,
+    /// `window::latest()` 的结果。
+    WindowReady(Option<window::Id>),
+    /// 系统主题探测结果（只可能在**交互模式**出现，截图模式必有主题）。
+    SystemTheme(iced::theme::Mode),
+    /// 一帧画完。**只在需要 33 ms 节拍时订阅**：截图通道 / 有 Busy-Running 实例 / 有未过期
+    /// toast / 派发后的 3 s 观察窗（见 `subscription::needs_frames`）。
+    Frame,
+    /// **空闲态**的 1 Hz 心跳：`Task::perform(sleep(1s))` 的自续链，用来替代空闲时的帧循环
+    /// （M90 r3 / P2-2）。它保证 `theme::config_poll_due` 仍按「30 × 33 ms ≈ 1 秒」的
+    /// presenter 语义跑，外部 CLI/AI 改配置后主题 1 秒内生效。
+    Heartbeat,
+    /// 窗口事件（M90：`Resized` 决定布局档位，600 / 840 两条断点靠它生效）。
+    Window(window::Event),
+    /// 窗口句柄（M93：`window::run` 探测出的 raw handle；`None` = 拿不到，整窗 α 无法下发）。
+    WindowHandle(Option<isize>),
+    /// 页面消息（导航 / 启动 / 停止 / 占位动作）。
+    Page(pages::Message),
+    /// **AI 助手栏 / 独立页**的消息（M104：三档状态、输入框、拖拽、键盘）。
+    ///
+    /// 为什么不走 `pages::Message`：助手栏是**外壳级视图**（它挂在任何页面右边），不是某一页的
+    /// 消息；塞进页面枚举还要动 `app/update/page_messages.rs` 的穷尽 match（那个文件正被未合的
+    /// M101 改），绕开它就少一处 rebase 面。落点是 `app/update/agent.rs`。
+    Agent(crate::shell::agent::Message),
+    /// 外壳导航轨点选（`src/shell/nav.rs` 的回调仍然发这一条；收到就翻成同一个路由跳转）。
+    ///
+    /// M90 起产品界面用 `pages` 里的真 `NavigationRail`，这条变体是给**外壳回退路径**
+    /// （`Route::Agent`）留的——`shell` 不在本 mission 的 scope 里，不能删它的消息。
+    Select(NavItem),
+    /// 按下标题栏 → 拖窗。
+    DragWindow,
+    /// 边缘热区：开始缩放（方向由坐标决定）。
+    ResizeStart(Direction),
+    /// 最小化。
+    Minimize,
+    /// 最大化/还原。
+    ToggleMaximize,
+    /// 关窗退出。
+    Close,
+    /// 截图回来了。
+    Captured(window::Screenshot),
+    /// gallery（组件库 harness）里的演示交互。
+    Demo(components::gallery::DemoMessage),
+}
+
+/// 外壳导航项 → 路由（导航项只在一级页之间有对应；AI 项对应 [`Route::Agent`]）。
+///
+/// 这是 `NavItem → Route` 的**唯一**转换点：外壳（`src/shell/nav.rs`）与页面导航轨
+/// （`pages::NAV`）最终都落到同一个 `Route`，所以两条入口不会各走一套页面语义。
+pub(super) fn route_of(nav: NavItem) -> Route {
+    match nav {
+        NavItem::Instances => Route::Instances,
+        NavItem::Download => Route::Download,
+        NavItem::Logs => Route::Logs,
+        NavItem::Settings => Route::Settings,
+        NavItem::Ai => Route::Agent,
+        // 轨底头像位（M114）：账户是一级页，但**不在主序列**里
+        NavItem::Account => Route::Accounts,
+    }
+}
+
+/// 路由 → 外壳导航项（[`route_of`] 的逆；外壳 rail 与 caption 键都按它高亮）。
+///
+/// `Route::Detail(_)` 高亮「实例」（与 `Route::nav()` 同源）。
+pub(super) fn nav_item_of(route: &Route) -> NavItem {
+    match route {
+        Route::Instances | Route::Detail(_) => NavItem::Instances,
+        // M109：内容库与版本管理共用「下载」那一个导航项（B1 裁定）
+        Route::Download | Route::Content => NavItem::Download,
+        Route::Logs => NavItem::Logs,
+        Route::Settings => NavItem::Settings,
+        Route::Agent => NavItem::Ai,
+        Route::Accounts => NavItem::Account,
+    }
+}

crates/app-iced/src/app/mod.rs

@@ -0,0 +1,71 @@
+//! Elm 三件套：`State` / `Message` / `update` + `view` 接线，以及启动序列。
+//!
+//! 启动序列：①探测渲染后端并写 `ICED_BACKEND`（必须在 `run()` 之前，M60 Q1）→ ②求值字体栈
+//! （D28 前半）→ ③`iced::application(..).run()`（1180×760、无边框自绘标题栏）→ ④首个 `view()`
+//! 打耗时；截图模式第 3 帧落盘后退出（无边框窗首帧可能是旧尺寸，M60 坑 #5）。
+//!
+//! ## 为什么拆成目录（M90）
+//!
+//! 本文件原来是**单个 400 行的 `app.rs`**：正好卡在「单文件 ≤400 行、动它前必须先拆」的硬门槛上
+//! （AGENTS 的文件上限 + 本 mission 的第一条任务）。拆法与职责：
+//!
+//! | 文件 | 职责（**只做这一件事**） |
+//! |---|---|
+//! | [`state`] | [`App`] 字段 + 构造（presenter 三件在此持有）+ 主题切换 |
+//! | [`message`] | [`Message`] 枚举与「导航项 → 路由」的翻译 |
+//! | [`update`] | 全部 `Message` 分支 + 「用户动作 → `AppCommand`」的派发与事件回流 |
+//! | [`subscription`] | 帧事件（截图）与 presenter 的 TICK 节拍 |
+//! | [`view`] | `view` / `theme` / `title` |
+//! | [`boot`] | [`run`]：后端探测 → 字体 → `iced::application(..)` |
+//!
+//! 拆分的每一步都保持**可观察行为不变**（截图四件套 `--screenshot` / `--screenshot-theme` /
+//! `--screen=gallery` / `--diff` 出图逐字节相同），presenter 接线是在拆分**之后**另一步做的。
+//!
+//! ## 组件库为什么还在本模块下声明
+//!
+//! `src/lib.rs` 是五条组件线共用的文件，改它必然冲突；`#[path]` 保证物理路径仍是
+//! `src/components/`（组件目录自己的归属规则不变），逻辑路径仍是 `crate::app::components`
+//! （组件源码里的文档与测试都按这个路径写）。
+
+mod appearance;
+mod backend;
+mod boot;
+mod message;
+mod state;
+mod subscription;
+mod update;
+mod view;
+mod window_alpha;
+
+#[cfg(test)]
+mod tests;
+
+pub(crate) use boot::run;
+pub use message::Message;
+
+// 组件库（D39）在本文件声明：`src/lib.rs` 是五条组件线共用的文件，改它必然冲突；
+// `#[path]` 保证物理路径仍是 `src/components/`（组件目录自己的归属规则不变）。
+//
+// M90：可见性从 `mod` 放到 `pub(crate) mod` —— 页面层（`src/pages/**`）要**用**真组件
+// （`components::buttons` / `navigation` / `divider`），而 `app` 不是它的父模块。
+// 只放开 crate 内可见，组件目录的归属规则一字不改。
+#[path = "../components/mod.rs"]
+pub(crate) mod components;
+
+/// 验收窗口尺寸（1180×760 @100% DPI —— D30 的硬要求）。
+pub const WINDOW_SIZE: iced::Size = iced::Size {
+    width: 1180.0,
+    height: 760.0,
+};
+
+/// 产品名（自绘标题栏的标题；`'static` 好让 view 借用）。
+pub const APP_TITLE: &str = "Unlucky Launcher";
+
+/// 窗口最小尺寸（再小骨架会挤坏：88 导航 + 页面留白 + 卡片）。
+const MIN_SIZE: iced::Size = iced::Size {
+    width: 880.0,
+    height: 560.0,
+};
+
+/// 截图落盘的帧号（见模块文档）。
+const CAPTURE_AT_FRAME: u32 = 3;

crates/app-iced/src/app/state.rs

@@ -0,0 +1,194 @@
+//! 应用状态：**只放字段与构造**，不放消息分支（那是 [`super::update`] 的事）。
+//!
+//! ## presenter 三件（`crates/presenter/src/lib.rs` crate 文档 §4）
+//!
+//! | 字段 | 谁给 | 干什么 |
+//! |---|---|---|
+//! | `backend: Box<dyn Backend>` | [`build_backend`](unlucky_presenter::backend::build_backend) | 派发 [`AppCommand`](unlucky_presenter::dto::AppCommand)、收 [`AppEvent`](unlucky_presenter::dto::AppEvent) |
+//! | `bridge: SettingsBridge` | [`SettingsBridge::open`](unlucky_presenter::settings_bridge::SettingsBridge::open) | 读一次外观/主题，之后每 N 拍问「文件变了吗」 |
+//! | `state: AppState` | [`AppState::new`](unlucky_presenter::state::AppState::new) | **唯一**的状态写入口（`apply` / `navigate`） |
+//!
+//! `view: pages::Model` 是**展示转换的缓存**：presenter 快照 → 页面要画的东西。
+//! 它在**状态真的变了**时重建（[`App::view_dirty`] 门控，M90 r2/P2-1 起），不是每拍重建——
+//! 重建要把 N 个实例的名字/版本串克隆一遍，30 Hz 空转没有意义。缓存成字段是为了让
+//! `view(&self)` 能只借 `&self`：iced 的 `view` 签名不允许返回一棵借用局部变量的树。
+//!
+//! ## 本文件只管「有哪些字段」
+//!
+//! M119 起按功能拆出去（`state.rs` 当时正好 400 行、零余量）：
+//!
+//! | 子文件 | 内容 |
+//! |---|---|
+//! | [`construct`] | 两个构造器 + 字段初始化表 |
+//! | [`refresh`] | [`App::refresh_view`]（快照 → 视图模型的唯一转换点） |
+//! | [`theme`] | `Ui` 重算 / 主题档 / [`App::has_screenshot`] |
+//! | [`boot_probe`] | 启动探针（`ULL_*` 取证开关与首帧日志） |
+
+use std::time::Instant;
+
+use iced::window;
+
+use unlucky_presenter::dto::Backend;
+use unlucky_presenter::prefs::ThemeMode;
+use unlucky_presenter::settings_bridge::SettingsBridge;
+use unlucky_presenter::state::AppState;
+
+use crate::cli::Options;
+use crate::pages;
+use crate::theme::{Families, Ui};
+use crate::ui::lang::LangState;
+
+/// presenter 的 TICK 节拍（33 ms ≈ 30 fps）——**忙碌态**的节拍。
+///
+/// 与 Slint 版的 `TICK_MS` 同值：`backend.tick(..)` 的时间推进、toast 过期、
+/// `theme::config_poll_due` 的计数都按这个节拍走，两个 UI 版的时间语义因此一致。
+pub(super) const TICK_MS: u64 = 33;
+
+/// [`TICK_MS`] 的 `Duration` 形态。
+pub(super) const TICK: std::time::Duration = std::time::Duration::from_millis(TICK_MS);
+
+/// **空闲态**的低频心跳（1 Hz，M90 r3 / P2-2）。
+///
+/// 空闲时不能订阅 `window::frames()`：那条订阅会自持重绘循环（实测软件渲染约 500 帧/秒），
+/// 而空闲时唯一需要的时钟是「偶发一次」——外部 CLI / AI 工具改 `launcher.json` 后的热切
+/// （presenter 的 `theme::config_poll_due` 语义是 30 × 33 ms ≈ 1 秒一拍）。
+///
+/// 实现用的是 `Task::perform(async { sleep(1s) })` 的自续链：[`App::heartbeat`]。它每秒只唤醒
+/// 一次、只触发**一帧**重绘，而 `frames()` 是每秒几百帧。为什么不用 `iced::time::every`：
+/// 它挂在 tokio/smol 后端下，本 crate 的执行器是 thread-pool（Cargo.toml 不在 scope）。
+pub(super) const IDLE_TICK: std::time::Duration = std::time::Duration::from_secs(1);
+
+/// 派发指令后保持帧订阅的观察窗（见 [`App::watch_until`]）。
+///
+/// 3 秒够真 host 把「命令已受理」的第一条事件交回来；之后由「有 Busy/Running 实例」这个条件续订。
+pub(super) const WATCH_WINDOW: std::time::Duration = std::time::Duration::from_secs(3);
+
+mod boot_probe;
+mod construct;
+mod refresh;
+mod theme;
+
+/// iced 侧的 presenter 接线层（M119）：物理目录 `src/presenter/`，逻辑名字在 `crate::app::state` 下。
+///
+/// 为什么用 `#[path]` 而不是在 `lib.rs` 加一行 `mod presenter;`：本 mission 的 scope 不含
+/// `lib.rs` / `app/mod.rs`，而 `shell::agent` 挂 `pages/agent/` 是同一个先例。没有第二份实现。
+#[path = "../presenter/mod.rs"]
+pub(super) mod presenter;
+
+pub(crate) use boot_probe::{log_first_frame, STARTED};
+
+/// 应用状态：UI 状态 + presenter 三件 + 展示转换缓存。
+pub struct App {
+    /// 启动参数（截图/主题/画面开关）。
+    pub(super) options: Options,
+    /// 字体族（切主题时重建 [`Ui`] 要用）。
+    pub(super) families: Families,
+    /// 令牌求值器（浅/深两套）。
+    pub(super) ui: Ui,
+    /// 后端通道（真 host 或 mock）。
+    pub(super) backend: Box<dyn Backend>,
+    /// 设置持久化桥。
+    pub(super) bridge: SettingsBridge,
+    /// presenter 的全局状态（唯一写入口是 `apply`）。
+    pub(super) state: AppState,
+    /// 已推进的拍数（`theme::config_poll_due` 的输入）。单位是 **33 ms 一拍**，不是调用次数。
+    pub(super) ticks: u64,
+    /// 下一次「比对配置文件 mtime」的 tick 号（见 `update::advance` 的注释）。
+    pub(super) config_due_at: u64,
+    /// 设置文件里的主题模式（`auto` / `light` / `dark`）。
+    ///
+    /// 用来定优先级：`--theme` > 配置文件 > 系统主题。没有它，`Message::SystemTheme` 会无条件
+    /// 盖掉配置文件的显式主题（M90 r3 修）。
+    pub(super) theme_mode: ThemeMode,
+    /// 界面语言（M106）：用户档位 + 探测结论 + 目录选择。见 [`crate::ui::lang`]。
+    ///
+    /// 为什么不在 `Ui` 里：`theme.rs` 是令牌求值器（颜色/字号），而语言是**运行期状态**——
+    /// 随设置变、要落盘、要重建视图模型（切主题只重建 Style）。
+    pub(super) lang: LangState,
+    /// 上一次推进节拍的时刻（节拍由帧事件驱动，按真实流逝时间累加）。
+    pub(super) last_tick: Instant,
+    /// 窗口宽度（布局档位的判据；交互模式跟着 resize 事件走）。
+    pub(super) width: f32,
+    /// 展示转换缓存（presenter 快照 → 页面视图模型）。
+    pub(super) view: pages::Model,
+    /// 视图模型是否过期（P2-1）：只有 `apply` / `navigate` / resize / 主题这类**真的改了状态**
+    /// 的事情才置位，`advance()` 每拍只在置位时重建模型（否则 30 Hz × N 实例的白克隆）。
+    pub(super) view_dirty: bool,
+    /// 「刚派发过指令，等后端回事件」的观察窗（P2-1）。
+    ///
+    /// 空闲态**不订阅帧事件**（只有 1 Hz 的 `heartbeat`），所以派发之后必须有这段短窗口让
+    /// 33 ms 节拍跑起来，否则真 host 的异步事件永远抽不出来。
+    ///
+    /// 空闲态不订阅帧事件（不点亮窗口重绘），但派发之后必须有一段短窗口保持节拍，
+    /// 否则真 host 的异步事件永远抽不出来（`LaunchInstance` 之后状态还是 Idle ⇒ 帧订阅永不开启）。
+    pub(super) watch_until: Option<Instant>,
+    /// 窗口句柄（`window::latest()` 之后才有）。
+    pub(super) window: Option<window::Id>,
+    /// 已画的帧数（截图闸门用）。
+    pub(super) frames: u32,
+    /// 视图模型重建次数（P2-1 的可观测计数：空闲态 100 拍里必须是 0 增长）。
+    pub(super) refreshes: u64,
+    /// 首屏快照到位后是否已经自动选中过第一行（list-detail 的桌面惯例，见 `update::auto_select`）。
+    pub(super) auto_selected: bool,
+    /// 窗口高度（背景图平铺网格的视口判据；宽度在 `width`）。
+    pub(super) height: f32,
+    /// 外观运行期状态（M93）：面板 α / 背景图 / 配色来源 / 诊断。
+    pub(super) appearance: pages::appearance::State,
+    /// 设置文件里那 8 个「UI 写入」外观字段的最近快照（写回时只改我们真改了的字段，
+    /// 强调色这类本 mission 不管的字段原样保留）。
+    pub(super) appearance_prefs: unlucky_presenter::prefs::AppearancePrefs,
+    /// 窗口句柄（`Message::WindowHandle` 之后才有；非 Windows 平台恒 `None`）。
+    pub(super) hwnd: Option<isize>,
+    /// 设置页各组自己的运行期状态（M101 r2 的**状态漏斗**）。
+    ///
+    /// 所有者在 `pages/settings/state.rs` 的 `Groups`：加/改某一组的字段只改那一组自己的文件，
+    /// 本字段与 `app/view.rs` 都不用动（`settings::States` 只看 `&Groups`，不看任何一组的字段）。
+    /// 放在字段列表**末尾**：后续 mission 若也要往这里加字段，冲突面最小。
+    pub(super) settings: pages::settings::Groups,
+    /// AI 助手栏的 UI 状态（M104）：右栗三档 + 展开宽度 + 草稿/焦点。
+    ///
+    /// 挂在 `App` 上而不是全局：这棵树在 `view(&self)` 里只读、在 `update(&mut self)` 里改，
+    /// 状态跟着 App 走才能 per-app、可测（tower 明确否掉了 `OnceLock<Mutex<..>>`）。
+    ///
+    /// **只留 UI 态**：会话内容 / 未读 / busy 在 `agent_host` 的 rail 上（M119 起）。
+    pub(super) agent: crate::shell::agent::AgentUi,
+    /// AI 助手的 presenter 句柄（M119）：四个契约 + 事件队列 + 具名错误。
+    ///
+    /// 为什么单独一份 `AppState` 而不是把 `state` 交给它：`Presenter` 的可写状态后门
+    /// （`state_mut`）只在 presenter crate 的 `#[cfg(test)]` 里存在，而 `app/subscription.rs`
+    /// 等处仍要直读 `App.state`。所以口径是——**`App.state` 管除 rail 外的一切，这个句柄管 rail**；
+    /// `AppEvent::Agent` 只喂这里（`App.state.ai` 从此不再被读，也不再被写）。
+    pub(super) agent_host: presenter::AgentHost,
+    /// 下载页的安装草稿（M105：选中版本 + 加载器 + 加载器版本 + 实例名）。
+    ///
+    /// 为什么住在 `App` 而不是页面模型：`refresh_view` 每次事件都把 `self.view` 整棵重建，
+    /// 页面自己存不住「用户正在填但还没确认」的东西；这与分类筛选（`view.download.category`）
+    /// 是同一个理由、同一个做法。
+    pub(super) download_draft: pages::InstallDraft,
+    /// 已经提示过的取消次数（M105）：`AppState::install_cancelled` 是「发生过几次取消」，
+    /// 这里是「其中几次已经弹过提示」。两者不等 ⇒ 弹一次 i18n 提示。
+    pub(super) install_cancelled_seen: u64,
+    /// 内容库页的页面内选择（M109）：内容类型 / 选中项目 / 目标实例 / 关键词草稿。
+    ///
+    /// 为什么在 `App` 而不是 presenter：这四样是「用户在这一屏上点了什么」，重建快照不该冲掉；
+    /// 而检索条件与结果（会跨页存活、要被事件写）在 `AppState::content`。放进 `view` 模型也
+    /// 不行——`refresh_view` 每次都用快照重建模型，选择会被冲回默认值。
+    pub(super) content: pages::content::PageState,
+    /// 账户页的**表单状态**（三条轨道的输入串；密码只活在这一次请求里）。
+    pub(super) account_form: pages::account::Form,
+    /// 账户页视图模型（与 `view` 同一条「状态变了才重建」的门控）。
+    pub(super) account: pages::account::Page,
+    /// 实例页「启动参数」区的表单（M157）：五项 + 脏标记 + 绑定的实例 id。
+    ///
+    /// 住在 `App` 的理由与 `download_draft` 完全一致：`refresh_view` 每次都整棵重建
+    /// `pages::Model`，用户正在输入的内容存不到视图模型里。重播种点在
+    /// [`App::refresh_view`]（`LaunchForm::sync`，换实例必重播种、同实例的脏草稿不覆盖）。
+    pub(super) launch_form: pages::LaunchForm,
+    /// 皮肤/头像解码缓存（M114：同一张皮肤只解一次）。
+    pub(super) avatars: pages::account::avatar::Cache,
+    /// 上一次**真下发过**的圆角判定指纹（M116 r1 复审 P2-4：判定没变就不重下、不重记日志）。
+    ///
+    /// `None` = 还没下发过（首屏 `boot` 那一次）。指纹类型见
+    /// [`crate::platform::win32::corner::CornerApplied`]。
+    pub(super) corner_applied: Option<crate::platform::win32::corner::CornerApplied>,
+}

crates/app-iced/src/app/state/boot_probe.rs

@@ -0,0 +1,40 @@
+//! 启动期取证：后端选项的换算 + 首帧耗时那一行日志。
+//!
+//! 从 `app/state.rs` 拆出（rebase 到 5adac23 之后 `state.rs` 顶到 401 行）。这两件事都属于
+//! 「进程启动那一刻记了什么」，与 `App` 的状态机无关；`state.rs` 只留 `pub(super) use` 再导出，
+//! 于是 `app/boot.rs`（`use super::state::STARTED`）与 `app/view.rs`（`log_first_frame`）的既有路径一字未变。
+
+use std::sync::atomic::{AtomicBool, Ordering};
+use std::sync::OnceLock;
+use std::time::Instant;
+
+use crate::cli::Options;
+use unlucky_presenter::backend::AppOptions;
+
+/// 进程内「run() 开始」的时刻（首帧耗时基线）。
+pub(crate) static STARTED: OnceLock<Instant> = OnceLock::new();
+/// 首帧日志只打一次。
+static FIRST_FRAME_LOGGED: AtomicBool = AtomicBool::new(false);
+
+/// 启动参数 → presenter 的后端选项。
+pub(super) fn app_options(options: &Options) -> AppOptions {
+    AppOptions {
+        // `--data-dir`：M90 起**真的消费**它（此前是「接受并忽略」的翻牌兼容参数）。
+        // 截图通道强制 mock，所以 CI 冒烟那条 `--data-dir <tmp>` 不会往那个目录写东西。
+        data_root: options.data_dir.clone(),
+        mock: options.screenshot.is_some(),
+    }
+}
+
+/// 首帧耗时日志（只在第一次 `view()` 打一行）。
+pub(crate) fn log_first_frame() {
+    if FIRST_FRAME_LOGGED.swap(true, Ordering::Relaxed) {
+        return;
+    }
+    if let Some(started) = STARTED.get() {
+        eprintln!(
+            "[boot] first frame in {:.0} ms（run() 开始 → 首次 view，含后端探测与字体扫描）",
+            started.elapsed().as_secs_f64() * 1000.0
+        );
+    }
+}

crates/app-iced/src/app/state/construct.rs

@@ -0,0 +1,149 @@
+//! `App` 的两个构造器（从 `state.rs` 搬出来守 400 行硬线；M119 拆，纯搬不改）。
+//!
+//! | 构造器 | 谁用 | 碰不碰磁盘 |
+//! |---|---|---|
+//! | [`App::new`](super::App::new) | 生产（`main` → `boot`） | 按启动参数选后端 + 打开设置桥 |
+//! | [`App::with_presenter`](super::App::with_presenter) | 单测（后端与桥都由调用方给） | **不碰** |
+//!
+//! 两个都走 `with_presenter`：生产路径只是先造好后端与桥。**字段初始化表**也在这一个文件里
+//! （构造 = 字段表 + 三件外部依赖），加字段时只改这一处。
+
+use iced::window;
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_presenter::backend::{build_backend, config_path};
+use unlucky_presenter::dto::Backend;
+use unlucky_presenter::settings_bridge::SettingsBridge;
+use unlucky_presenter::state::AppState;
+
+use crate::cli::Options;
+use crate::pages;
+use crate::theme::{Families, Ui};
+use crate::ui::lang::LangState;
+
+use super::super::WINDOW_SIZE;
+use super::boot_probe::app_options;
+use super::App;
+
+impl App {
+    /// 生产构造：按启动参数选后端、打开设置桥。
+    ///
+    /// **截图通道强制 mock**：出图要可复现（D30），真 host 会按本机盘上的实例清单画面，
+    /// 同一份代码在两台机器上出不了同一张图。交互模式走真 host（数据根解析不出来时
+    /// [`build_backend`] 自己退回 mock）。
+    pub(in crate::app) fn new(options: Options, families: Families, flavor: SchemeFlavor) -> Self {
+        let backend = build_backend(&app_options(&options));
+        // P2-2：设置桥必须与后端指向**同一个数据根**。早先这里无条件 `SettingsBridge::open()`
+        // （按便携配置解析），于是 `--data-dir X` 会出现「实例来自 X、主题/设置读写默认根」的一进程
+        // 两个数据根。Slint 版是同一条口径：`app/src/ui_bind.rs` 的
+        // `Some(root) => SettingsBridge::with_path(config_path(root))`。
+        let bridge = match &options.data_dir {
+            Some(root) => SettingsBridge::with_path(config_path(root)),
+            None => SettingsBridge::open(),
+        };
+        Self::with_presenter(options, families, flavor, backend, bridge)
+    }
+
+    /// 注入式构造（单测用：后端与桥都由调用方给，**不碰磁盘**）。
+    pub(in crate::app) fn with_presenter(
+        options: Options,
+        families: Families,
+        flavor: SchemeFlavor,
+        backend: Box<dyn Backend>,
+        bridge: SettingsBridge,
+    ) -> Self {
+        let width = WINDOW_SIZE.width;
+        let height = WINDOW_SIZE.height;
+        let theme_mode = bridge.load().1;
+        // 外观两半分开读：`load()` 给 8 个 UI 写入字段，`load_base()` 给 4 个只读下层键
+        // （整窗 α / 标题栏三态 / 配色来源 / 窗口圆角）。M93 之前这些键在 app 侧**根本读不到**。
+        //
+        // 截图通道**不读用户配置**（D30：同一份代码在两台机器上要出同一张图）：外观一律取出厂值，
+        // 矩阵需要的值由 `ULL_APPEARANCE_*` 显式灌进来。
+        let (appearance_prefs, appearance_base) = if options.screenshot.is_some() {
+            (
+                unlucky_presenter::prefs::AppearancePrefs::factory(),
+                unlucky_presenter::prefs::AppearanceBase::factory(),
+            )
+        } else {
+            (bridge.load().0, bridge.load_base())
+        };
+        // 面板 α / 玻璃的降级判据要的是**实际**后端，不是 `--renderer` 的请求值（复审 r1 P2-2）：
+        // 默认 `Auto` + 无独显时请求是 Auto、实际是 tiny-skia，只看请求值就会漏掉 D36 的强制项。
+        let backend_tier = super::super::backend::effective_backend(options.backend);
+        let mut appearance = pages::appearance::State::new(
+            &appearance_prefs,
+            &appearance_base,
+            backend_tier,
+            flavor,
+        );
+        // 取证开关（D30）：`ULL_SETTINGS_GROUP=<下标>` 直达设置页的某一组（出图要看见语言行）。
+        if let Some(index) =
+            crate::ui::lang::screenshot_settings_group(options.screenshot.is_some())
+        {
+            appearance.selected_group = index;
+        }
+        // 界面语言（M106）：**M92 已经探测对了，问题是一直没人用**——`pages::Model.lang` 此前在
+        // `view::model` 里被写死成 `Lang::En`，于是中文系统上开出来的是全英文界面。
+        let lang = LangState::boot(&bridge, options.screenshot.is_some());
+        let mut view = pages::Model::new(
+            pages::Screen::Instances,
+            width,
+            Some(pages::Screen::Instances.nav()),
+        );
+        view.lang = lang.lang();
+
+        let mut app = Self {
+            ui: Ui::new(flavor, families),
+            families,
+            options,
+            backend,
+            bridge,
+            state: AppState::new(),
+            ticks: 0,
+            config_due_at: unlucky_presenter::theme::CONFIG_POLL_TICKS,
+            theme_mode,
+            lang,
+            last_tick: std::time::Instant::now(),
+            width,
+            view,
+            view_dirty: false,
+            watch_until: None,
+            window: None::<window::Id>,
+            frames: 0,
+            refreshes: 0,
+            auto_selected: false,
+            height,
+            appearance,
+            appearance_prefs,
+            hwnd: None,
+            settings: pages::settings::Groups::default(),
+            // 出厂是**空会话**（M119 删了 M104 的样本会话）；取证开关 `ULL_AGENT_*` 的档位
+            // 与夹具在 `boot_agent` 里落地（它要先让 presenter 知道栏可见性，见那里）。
+            agent: crate::shell::agent::AgentUi::new(),
+            agent_host: super::presenter::AgentHost::from_env(),
+            // 下载页安装草稿（M105）：出厂态 = 没选中、原版、两个空串
+            download_draft: pages::InstallDraft::default(),
+            launch_form: pages::LaunchForm::default(),
+            install_cancelled_seen: 0,
+            content: pages::content::PageState::default(),
+            account_form: pages::account::Form::new(),
+            account: pages::account::Page::build(
+                &AppState::new(),
+                &pages::account::Form::new(),
+                &mut pages::account::avatar::Cache::default(),
+                unlucky_i18n::Lang::En,
+                width,
+            ),
+            avatars: pages::account::avatar::Cache::default(),
+            corner_applied: None,
+        };
+        // 配色来源档可能已经指向一张背景图：那时 `Ui` 必须由解析出的方案构造，而不是 baseline。
+        app.rebuild_ui();
+        // 两行日志：①档位 + 探测结论 + 生效语言 ②中文策略（D28 缺字体不许静默）。
+        // 下一个人据此分得清「探测错了」还是「探测对了但没用上」。
+        app.lang.log();
+        app.lang.log_cjk();
+        app
+    }
+}

crates/app-iced/src/app/state/refresh.rs

@@ -0,0 +1,88 @@
+//! 快照 → 视图模型的重建口径（从 `state.rs` 搬出来守 400 行硬线；M119 拆，纯搬不改）。
+//!
+//! 全仓只有 [`App::refresh_view`] 这一个「presenter 快照 → 页面要画的东西」的转换点，
+//! 由 [`App::view_dirty`](super::App) 门控（M90 r2/P2-1 起）：只有真的改了状态的事情才置位，
+//! 30 Hz 空转不重建（重建要把 N 个实例的名字/版本串克隆一遍）。
+
+use unlucky_presenter::toast::ToastKind;
+
+use crate::pages;
+
+use unlucky_presenter::router::Route;
+
+use super::App;
+
+impl App {
+    /// 把 presenter 的快照转换成页面视图模型（**展示转换在 UI 侧做**）。
+    ///
+    /// 代价是「克隆 N 个实例的名字/版本串」，所以只在 [`App::view_dirty`] 置位时调用（P2-1）。
+    pub(in crate::app) fn refresh_view(&mut self) {
+        // **不变式先对齐再算宽度**（M104 / 复审 r1 P2-1）：`Route::Agent` ⟺ `RailState::Detached`。
+        // 每一次路由变化都会走到这里，所以它是「档位 ↔ 路由」的唯一点；放在算宽度之前，
+        // 是为了让模型拿到的 `content_width` 与页面头部读到的档位来自同一份状态。
+        self.sync_agent_route();
+        // M119：把「栏可见吗」写回 presenter（未读口径的输入，两个窄入口：`navigate` + `prefs_mut`）。
+        // 必须在 `sync_agent_route` 之后：档位刚被它对齐过，这里读到的才是这一帧的真值。
+        self.sync_agent_presenter();
+
+        // M105：取消安装的提示语在**这里**弹（`refresh_view` 是事件 apply 之后必经的那一处）。
+        // 文案由页面层求（`pages::cancelled_toast`），presenter 只发信号 ——
+        // 否则会出现「选项区英文、取消弹窗中文」的同屏两语（复审 P2-2）。
+        if self.state.install_cancelled != self.install_cancelled_seen {
+            self.install_cancelled_seen = self.state.install_cancelled;
+            // M106：提示语跟着**生效语言**走（M105 留的 `view::ui_lang()` 占位已删——它恒英文，
+            // 中文界面会弹出英文提示，那正是 M105 r1 复审 P2-2 要堵的同屏两语）。
+            let text = pages::cancelled_toast(self.lang());
+            self.state.toasts.push(ToastKind::Info, text);
+        }
+
+        // 分类是**页面自己持有的过滤条件**（真 host 丢弃 `ListVersions` 的分类参数）：
+        // 重建视图模型时带回去，否则每次事件都会把 chip 打回「全部」（复审 P2-1）。
+        let category = self.view.download.category;
+        // 草稿同理（M105）：它也是页面自己持有的输入，重建模型时带回去，
+        // 否则每来一条事件（连安装进度都算）用户填的加载器就被抹回「原版」。
+        let draft = self.download_draft.clone();
+        // 右栏占掉的宽度先扣掉：面板展开时页面按更窄的宽度排版（「收缩而不是溢出」，M104）
+        let width = self.agent.content_width(self.width);
+        // M106：语言形参跟着 `LangState` 走（`draft` 那一位是 M105 的安装草稿）。
+        self.view = super::super::view::model(
+            &self.state,
+            width,
+            self.options.force_state,
+            category,
+            &draft,
+            self.lang(),
+            &self.content,
+        );
+        // M157：启动参数表单的重播种（换实例必重播种、同实例的脏草稿不覆盖）。
+        self.sync_launch_form();
+        // 账户页（M114）：与 `view` 同一次门控重建（实现见 `view/account_page.rs`，
+        // 皮肤解码走缓存，所以重复重建不重解图）。
+        self.rebuild_account_page(width);
+        self.view_dirty = false;
+        self.refreshes += 1;
+    }
+
+    /// 把详情页当前实例的启动参数快照灌进表单（唯一的重播种点，见 `pages/instances/state.rs`）。
+    ///
+    /// 不在详情页（或实例已不在快照里）时解绑：下次进详情页会重新播种，
+    /// 免得「A 的草稿被当成 B 的初值」。
+    fn sync_launch_form(&mut self) {
+        let Route::Detail(id) = self.state.route() else {
+            self.launch_form.bound = None;
+            return;
+        };
+        match self
+            .state
+            .instances
+            .iter()
+            .find(|instance| &instance.id == id)
+        {
+            Some(instance) => {
+                let view = instance.launch.clone();
+                self.launch_form.sync(&view);
+            }
+            None => self.launch_form.bound = None,
+        }
+    }
+}

crates/app-iced/src/app/state/theme.rs

@@ -0,0 +1,86 @@
+//! 主题与 `Ui` 的重算口径（从 `state.rs` 搬出来守 400 行硬线；M119 拆，纯搬不改）。
+//!
+//! 三件事在这里：①`Ui` 什么时候重建（[`App::rebuild_ui`]）②主题档怎么定
+//! （[`App::set_flavor`] / [`App::apply_config_theme`]）③读当前求值器（[`App::ui`]）。
+//!
+//! 截图通道的判据 [`App::has_screenshot`] 也放在这儿：上面三条里两条都要「截图不读用户配置」。
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_presenter::prefs::ThemeMode;
+
+use crate::theme::Ui;
+
+use super::App;
+
+impl App {
+    /// 本次进程是否走截图通道。
+    pub(in crate::app) fn has_screenshot(&self) -> bool {
+        self.options.screenshot.is_some()
+    }
+
+    /// 切主题：重建 [`Ui`]（= 重建 Style），**不动任何 UI 状态**。
+    ///
+    /// M93 起 `Ui` 有两个来源：配色来源取到了图（①②级）就用解析出的方案，否则用令牌 baseline。
+    /// 所以这里改叫「重算 `Ui`」：先让外观状态记住新深浅（配色解析要它），再重建。
+    pub(in crate::app) fn set_flavor(&mut self, flavor: SchemeFlavor) {
+        if self.ui.flavor() == flavor && self.appearance.flavor() == flavor {
+            return;
+        }
+
+        self.appearance.set_flavor(flavor);
+        let previous = self.ui.name();
+        self.rebuild_ui();
+        eprintln!(
+            "[theme] {} -> {} (Theme::name 变化触发缓存重算)",
+            previous,
+            self.ui.name()
+        );
+    }
+
+    /// 按「配色来源是否取色成功」重建 [`Ui`]。
+    ///
+    /// 色卡档（③）刻意继续走 `Scheme::baseline`：`resolve_source` 的色卡档返回的是
+    /// `DEFAULT_CARD`（天蓝卡）方案，与令牌 baseline 逐色不同，应用它会把**全部既有验收图的
+    /// 像素**改掉。这条偏离登记在 `pages::appearance` 的偏离表 #4。
+    pub(in crate::app) fn rebuild_ui(&mut self) {
+        // 面板 α（D36）在这里注入 `Ui`：全仓所有表面色都从 `Ui::layer` 出去，所以这是**唯一**
+        // 生效点（外壳 / 三页卡片 / 外观分组卡片 / 空态图标块自动同源，调用点没有机会各处自乘）。
+        let panel_alpha = self.appearance.effective_panel_alpha();
+        self.ui = match self.appearance.derived_scheme() {
+            Some(scheme) => {
+                eprintln!(
+                    "[appearance] palette={} → Ui::from_scheme（取色方案接管 49 个角色）",
+                    self.appearance.palette_level()
+                );
+                Ui::from_scheme(*scheme, self.families)
+            }
+            None => Ui::new(self.appearance.flavor(), self.families),
+        }
+        .with_panel_alpha(panel_alpha);
+    }
+
+    /// 按设置文件里的主题模式切一次外观；`--theme` 显式给了就不动。
+    ///
+    /// **截图通道直接跳过**：`--screenshot` 的主题唯一取值口是 `Options::capture_flavor`
+    /// （D30 可复现），读本机 `launcher.json` 会让同一份代码在两台机器上出不同的图。
+    ///
+    /// `ThemeMode::Auto` 不在这里处理：那要看系统主题（`iced::system::theme()` 的结果在
+    /// `Message::SystemTheme` 里落地）。
+    pub(in crate::app) fn apply_config_theme(&mut self) {
+        if self.has_screenshot() || self.options.theme.is_some() {
+            return;
+        }
+        let mode = self.bridge.load().1;
+        self.theme_mode = mode;
+        match mode {
+            ThemeMode::Light => self.set_flavor(SchemeFlavor::Light),
+            ThemeMode::Dark => self.set_flavor(SchemeFlavor::Dark),
+            ThemeMode::Auto => {}
+        }
+    }
+
+    /// 当前令牌求值器（测试与截图日志用）。
+    pub(in crate::app) fn ui(&self) -> &Ui {
+        &self.ui
+    }
+}

crates/app-iced/src/app/subscription.rs

@@ -0,0 +1,94 @@
+//! 订阅：**按需**帧节拍（presenter 的 TICK）+ 窗口尺寸事件。
+//!
+//! ## 为什么要「按需」
+//!
+//! iced_winit 在处理完任何一条消息后都会 `request_redraw()`，而 `window::frames()` 监听的是
+//! `RedrawRequested` —— 于是「订阅帧 → 收 Frame → update → 再触发重绘」是一条**自持循环**：
+//! 只要订阅着，窗口就永远在重绘（M90 r1 就是这样，CPU 空转）。
+//!
+//! 现在只在**真的需要 33 ms 节拍**的时候订阅（[`App::needs_frames`]）：
+//!
+//! | 条件 | 为什么需要 33 ms 节拍 |
+//! |---|---|
+//! | 截图通道 | 第 3 帧要落盘 |
+//! | 有 `Busy` / `Running` 实例 | 启动进度、日志尾随都靠 `backend.tick` 推进 |
+//! | 有未过期的 toast | toast 按毫秒倒计时 |
+//! | 刚派发过指令（3 s 观察窗） | 真 host 的异步事件要靠节拍抽出来 |
+//!
+//! 空闲态**一条帧消息都不来** ⇒ 窗口不重绘、`refresh_view` 不跑（配合 `view_dirty`）。
+//!
+//! ## 空闲态的时钟从哪来（M90 r3 / P2-2）
+//!
+//! r2 把空闲的帧订阅掐掉之后，`config_poll_due` 就再也没被调用过 —— 外部 CLI / AI 工具改
+//! `launcher.json` 后主题**永不生效**（不是「等下次交互」，是「等下一次 dispatch」）。这与
+//! D4「AI 能读改 ULL 配置」直接冲突。
+//!
+//! 所以空闲态换成一个 **1 Hz 的自续心跳**（[`crate::app::message::Message::Heartbeat`]，
+//! 由 `Task::perform(sleep(1s))` 驱动，见 `update::heartbeat`）：每秒醒一次、推进一拍
+//! presenter（内部按 33 ms 折算 30 拍，于是 `config_poll_due` 仍是「约 1 秒比对一次 mtime」）。
+//!
+//! 为什么不用 `window::frames()` + 1 s 闸门来实现这个低频时钟：帧订阅**本身就是**自持重绘循环
+//! （iced_winit 处理完任何消息都 `request_redraw()`），闸门只能省掉 `advance()` 里的活，省不掉
+//! 整窗重绘——实测软件渲染约 **500 帧/秒**。心跳是「每秒一帧」，差三个数量级。
+//!
+//! ## 已知代价（都登记，不藏）
+//!
+//! 1. **忙碌态仍是自持帧循环**：`Running`/`Busy` 一天不结束，就一天按帧刷（软件渲染实测约
+//!    970 帧/秒，refreshes 不增长 = 纯像素空转）。功能上需要 tick 来发现游戏退出，但「整段
+//!    运行期近千帧/秒重绘」是真实开销；要收口得让 `Running` 走更慢的时钟（follow-up）。
+//! 2. 心跳用 `thread::sleep` 占线程池一个线程 1 秒；1 Hz 下可接受，但不是优雅解法（正解仍是
+//!    `iced::time::every` + tokio/smol，Cargo.toml 在 scope 外，已报 finding）。
+
+use std::time::Instant;
+
+use iced::{window, Subscription};
+
+use super::message::Message;
+use super::state::App;
+
+impl App {
+    /// 本次进程的订阅表。
+    pub(super) fn subscription(&self) -> Subscription<Message> {
+        let frames = if self.needs_frames() {
+            window::frames().map(|_| Message::Frame)
+        } else {
+            Subscription::none()
+        };
+
+        // 断点 600 / 840 要跟着真窗口宽度走；截图模式的窗口尺寸由参数钉死，不吃 resize。
+        let events = if self.has_screenshot() {
+            Subscription::none()
+        } else {
+            window::events().map(|(_, event)| Message::Window(event))
+        };
+
+        // 键盘（M104）：`Esc` 收栗 / `Tab` 走焦点环 / `Enter` 激活焦点键。
+        //
+        // 为什么订阅整条键盘流而不是自己挑键：`iced::keyboard::listen()` 是唯一的全窗键盘入口，
+        // 挑键与「什么状态下该做什么」的解释权放在 `app/update/agent.rs`（一眼看完），
+        // 订阅表只负责搬运。截图通道不开它——D30 要可复现，键盘事件一个都不该进图。
+        let keys = if self.has_screenshot() {
+            Subscription::none()
+        } else {
+            iced::keyboard::listen()
+                .map(|event| Message::Agent(crate::shell::agent::Message::Key(event)))
+        };
+
+        Subscription::batch([frames, events, keys])
+    }
+
+    /// 是否订阅帧事件（= 截图模式要帧数闸门）。
+    pub(super) fn wants_frames(&self) -> bool {
+        self.has_screenshot()
+    }
+
+    /// 现在要不要**时钟**（见模块文档的表）。
+    pub(super) fn needs_frames(&self) -> bool {
+        self.has_screenshot()
+            || !self.state.toasts.is_empty()
+            || !self.state.running().is_empty()
+            || self
+                .watch_until
+                .is_some_and(|deadline| Instant::now() < deadline)
+    }
+}

crates/app-iced/src/app/tests.rs

@@ -0,0 +1,384 @@
+//! `app` 的单测：主题切换、窗口尺寸、截图闸门、gallery 能构图，以及**presenter 接线的闭环**。
+//!
+//! 闭环测试用的是 `MockBackend`（presenter 自带的假后端）：它走的是与真 host 完全相同的
+//! `dispatch → drain_events → AppState::apply → 视图模型` 通道，所以「点 Play → 状态真的变」
+//! 这件事在这里就能判死，不必等图形环境。
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_presenter::mock::MockBackend;
+use unlucky_presenter::router::Route;
+use unlucky_presenter::settings_bridge::SettingsBridge;
+
+#[cfg(test)]
+mod appearance;
+#[cfg(test)]
+mod instances_save_loop;
+#[cfg(test)]
+mod presenter;
+
+use super::message::Message;
+use super::state::App;
+use super::{APP_TITLE, WINDOW_SIZE};
+use crate::cli::{Options, Screen};
+use crate::pages;
+use crate::shell::agent::RailState;
+use crate::shell::NavItem;
+use crate::theme::Families;
+
+const FAMILIES: Families = Families {
+    text: "Segoe UI",
+    display: "Segoe UI",
+    mono: "Consolas",
+};
+
+/// 不碰磁盘的 App（mock 后端 + 内存设置桥）。
+fn headless(options: Options, flavor: SchemeFlavor) -> App {
+    App::with_presenter(
+        options,
+        FAMILIES,
+        flavor,
+        Box::new(MockBackend::new()),
+        SettingsBridge::memory_only(),
+    )
+}
+
+fn screenshot_options() -> Options {
+    Options {
+        screenshot: Some(std::path::PathBuf::from("x.png")),
+        ..Options::default()
+    }
+}
+
+#[test]
+fn switching_flavor_rebuilds_styles_but_keeps_ui_state() {
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    app.state.navigate(Route::Logs);
+    app.refresh_view();
+    assert_eq!(app.ui().name(), "ull-m3-light");
+
+    app.set_flavor(SchemeFlavor::Dark);
+
+    assert_eq!(app.ui().name(), "ull-m3-dark", "切主题要换主题名");
+    assert_eq!(app.state.route(), &Route::Logs, "切主题不许重置 UI 状态");
+    assert_eq!(app.view.screen, pages::Screen::Logs, "视图模型跟着路由");
+    assert!(app.options.screenshot.is_none(), "切主题不许改启动参数");
+}
+
+#[test]
+fn window_size_is_the_acceptance_size() {
+    assert_eq!((WINDOW_SIZE.width, WINDOW_SIZE.height), (1180.0, 760.0));
+    assert_eq!(APP_TITLE, "Unlucky Launcher");
+}
+
+#[test]
+fn screenshot_mode_never_waits_for_the_system_theme() {
+    // 门禁依赖：CI 的 runtime-smoke 不带主题，xvfb 里也没有主题会话。
+    let options = screenshot_options();
+    assert!(!options.wants_system_theme(), "截图模式不许等系统主题");
+    assert_eq!(options.capture_flavor(), Some(SchemeFlavor::Light));
+
+    let app = headless(options, SchemeFlavor::Light);
+    assert!(app.has_screenshot() && app.ui().name() == "ull-m3-light");
+}
+
+#[test]
+fn gallery_screen_builds_a_tree() {
+    assert_eq!(Options::default().screen, Screen::Shell, "默认仍是产品骨架");
+    let options = Options {
+        screen: Screen::Gallery,
+        ..Options::default()
+    };
+    let app = headless(options, SchemeFlavor::Light);
+    // 真实像素由 `--screen=gallery --screenshot` 出图 + `gallery::probe` 量
+    let _ = app.view();
+}
+
+#[test]
+fn frames_are_only_requested_in_screenshot_mode() {
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    assert!(!app.wants_frames(), "普通运行不订阅帧，避免每帧重绘");
+
+    app.options.screenshot = Some(std::path::PathBuf::from("x.png"));
+    assert!(
+        app.wants_frames(),
+        "截图模式必须订阅帧事件才能在第 3 帧出图"
+    );
+}
+
+// --------------------------------------------------------------- P2-1 按需节拍
+
+/// 空闲态**不要每帧节拍**（但要有 1 Hz 心跳）。
+///
+/// 意图与 r2 那条 `an_idle_app_asks_for_no_clock` 一致：空闲时不许按帧循环跑（那会以每秒几百帧
+/// 的速度重绘整窗），改成「低频心跳」。断言拆成两半：
+///
+/// 1. `needs_frames()` 为假 ⇒ **不订阅** `window::frames()`；
+/// 2. 空闲时钟的周期 = [`IDLE_TICK`] = 1 s，且心跳每拍推进的 tick 预算 = 30（= 1 s / 33 ms），
+///    这样 `theme::config_poll_due`（30 拍）仍是「约 1 秒比对一次 mtime」。
+///
+/// 抓得住：有人把「无条件订阅帧」改回来（第 1 半红）；有人把心跳周期改快/改慢（第 2 半红）。
+/// 抓不住：真实窗口的重绘次数（那要 `ULL_TICK_TRACE=1` 跑一次交互模式看日志，见报告）。
+#[test]
+fn an_idle_app_uses_a_slow_heartbeat_instead_of_frames() {
+    let app = headless(screenshot_options(), SchemeFlavor::Light);
+    assert!(app.needs_frames(), "截图通道永远要帧（第 3 帧落盘）");
+
+    let mut idle = headless(Options::default(), SchemeFlavor::Light);
+    let _ = idle.update(Message::Boot);
+    assert!(
+        idle.needs_frames(),
+        "Boot 刚派发过 RefreshAll：3 秒观察窗内要节拍（等真 host 的首批事件）"
+    );
+
+    // 观察窗过期、也没有忙碌实例 ⇒ 空闲态不订阅帧事件（改走 1 Hz 心跳）
+    idle.watch_until = None;
+    assert!(!idle.needs_frames(), "空闲交互态：不订阅帧事件（只有心跳）");
+
+    // 派发之后观察窗重新打开
+    let _ = idle.update(Message::Page(pages::Message::Navigate(Route::Detail(
+        "survival".to_string(),
+    ))));
+    let _ = idle.update(Message::Page(pages::Message::Launch(
+        "survival".to_string(),
+    )));
+    assert!(idle.needs_frames(), "派发后观察窗内要有节拍");
+
+    // 进入 Busy 之后由「忙碌实例」这个条件自己续订（不靠观察窗）
+    idle.watch_until = None;
+    assert!(
+        idle.needs_frames(),
+        "有 Busy 实例时即便观察窗过期也要继续 tick"
+    );
+}
+
+/// 心跳的**节奏**：1 Hz，且每拍折算 30 个 33 ms 单位 ⇒ `config_poll_due` ≈ 每秒一次。
+///
+/// 抓得住：心跳周期常量、以及 `advance()` 里「按流逝时间折算 ticks」这条记账（改回
+/// `ticks += 1` 会让空闲态的配置轮询变成 30 秒一次，这条就红）。
+/// 抓不住：`Task::perform` 那条自续链真的每秒触发一次（那是运行期 trace 的事，见报告）。
+#[test]
+fn the_idle_heartbeat_budgets_one_config_poll_per_second() {
+    use unlucky_presenter::theme::config_poll_due;
+
+    assert_eq!(
+        super::state::IDLE_TICK,
+        std::time::Duration::from_secs(1),
+        "空闲心跳周期必须是 1 s"
+    );
+
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+    app.watch_until = None;
+
+    // 一次空闲心跳（1 s）之后：ticks 增加 30，且正好落在 config 轮询点上
+    let before = app.ticks;
+    app.advance(super::state::IDLE_TICK);
+    assert_eq!(app.ticks - before, 30, "1 s 应折算 30 个 33 ms 拍");
+    assert!(
+        config_poll_due(app.ticks),
+        "空闲心跳每拍都要落在 config 轮询点上（ticks={}）",
+        app.ticks
+    );
+}
+
+/// 空闲态每拍**不再重建视图模型**（P2-1 的另一半：`refresh_view` 的 30 Hz × N 实例白克隆）。
+///
+/// 抓得住：把 `advance()` 里的 `if self.view_dirty` 去掉（改回无条件 `refresh_view()`）时，
+/// 这条断言里的 `refreshes` 会从「不增长」变成「每拍 +1」。
+/// 抓不住：「重建一次花了多少微秒」（没有基准测试；量级判断见报告）。
+#[test]
+fn idle_ticks_do_not_rebuild_the_view_model() {
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+
+    let before = app.refreshes;
+    for _ in 0..100 {
+        app.advance(super::state::TICK);
+    }
+    assert_eq!(
+        app.refreshes,
+        before,
+        "空闲 100 拍：视图模型一次都不该重建（实际 +{}）",
+        app.refreshes - before
+    );
+
+    // 有事件进来时仍然要重建（否则页面不刷新）
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Logs)));
+    assert!(app.refreshes > before, "导航之后必须重建一次");
+}
+/// 视图模型跟着窗口宽度走（交互模式下 600 / 840 两条断点靠 resize 事件生效）。
+///
+/// M104 起 `view.window_width` 装的是**中栗可用宽度**（窗口 − 右栗 − 拖拽缝），所以这里按三档
+/// 各钉一个**字面量**：48 的折叠条与 320 的面板各自的减法都得对。
+/// （断言里不调 `agent.content_width(..)`——那是同义反复，实现错一处它照样绿。）
+#[test]
+fn resizing_the_window_rebuilds_the_view_model() {
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+
+    // 出厂是 Collapsed(48) 档：中栗 = 窗口 − 48
+    let _ = app.update(Message::Window(iced::window::Event::Resized(
+        iced::Size::new(1180.0, 760.0),
+    )));
+    assert!(
+        (app.view.window_width - 1132.0).abs() < f32::EPSILON,
+        "1180 − 48（折叠条）= 1132，实际 {}",
+        app.view.window_width
+    );
+
+    let _ = app.update(Message::Window(iced::window::Event::Resized(
+        iced::Size::new(700.0, 600.0),
+    )));
+    assert!(
+        (app.view.window_width - 652.0).abs() < f32::EPSILON,
+        "700 − 48（折叠条）= 652，实际 {}",
+        app.view.window_width
+    );
+
+    // Expanded(320) 档：中栗 = 窗口 − 320（面板）− 8（拖拽缝）= 852
+    app.agent.expand();
+    app.view_dirty = true;
+    app.refresh_view();
+    assert!(
+        (app.view.window_width - 652.0).abs() < f32::EPSILON,
+        "700 上展开档不成立（上限 700 − 88 − 472 − 8 = 132 < 280）⇒ 实际按折叠条 48 算：         700 − 48 = 652，实际 {}",
+        app.view.window_width
+    );
+    let _ = app.update(Message::Window(iced::window::Event::Resized(
+        iced::Size::new(1180.0, 760.0),
+    )));
+    assert!(
+        (app.view.window_width - 852.0).abs() < f32::EPSILON,
+        "1180 − 320 − 8 = 852，实际 {}",
+        app.view.window_width
+    );
+
+    // Detached 档：右栗不占宽，中栗 = 窗口 = 1180。
+    // **必须走路由**（`Select(Ai)`）：r1 之后「档位 = Detached」与「路由 = Agent」是一条不变式，
+    // 直接 `agent.detach()` 再手工 refresh 会被 `sync_agent_route` 立刻收回右栗（那正是要的语义）。
+    let _ = app.update(Message::Select(NavItem::Ai));
+    app.view_dirty = true;
+    app.refresh_view();
+    assert!(
+        (app.view.window_width - 1180.0).abs() < f32::EPSILON,
+        "拆出后右栗不占宽：1180 − 0 = 1180，实际 {}",
+        app.view.window_width
+    );
+    // 页面照旧能构图（窄窗退化到单列，不 panic）
+    let _ = app.view();
+}
+
+/// **不变式（复审 r1 的 P2-1）**：`Route::Agent` ⟺ `RailState::Detached`。
+///
+/// 走的是**真实路由入口**（外壳导航第五项 `Assistant` → `Message::Select(NavItem::Ai)`），不是
+/// 直接调 `agent.detach()`：r1 复现的 bug 正是「导航进页面时档位没变」，只测 `detach()` 抓不到它。
+///
+/// 抓得住：①进独立页后档位 = Detached（页头才会是 `Dock back` 而不是 `Open assistant`/`Pop out`）；
+/// ②未读在进页时清零；③`Esc` 在独立页真的离开（不是只把档位改成折叠）；④从页上点别的导航，
+/// 会话收回右栗（档位不再停在 Detached）。
+/// 抓不住：按钮在像素上长什么样（那要出图，见 `13/14` 两张）。
+#[test]
+fn entering_the_agent_route_detaches_the_rail() {
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+    assert_eq!(app.agent.rail, RailState::Collapsed, "出厂是折叠档");
+    // M119：出厂没有样本会话，未读由 presenter 按真事件累加 ⇒ 出厂就是 0
+    assert_eq!(app.agent_host.rail().unread, 0, "出厂 0 条未读");
+
+    // ① 外壳导航第五项（真实入口）
+    let _ = app.update(Message::Select(NavItem::Ai));
+    assert_eq!(app.state.route(), &Route::Agent);
+    assert_eq!(
+        app.agent.rail,
+        RailState::Detached,
+        "进了独立页，档位必须是 Detached——否则页头会画右栗才有的动作"
+    );
+    assert_eq!(app.agent_host.rail().unread, 0, "进独立页即读");
+
+    // ③ Esc 真的离开这一页
+    let _ = app.update(Message::Agent(crate::shell::agent::Message::Escape));
+    assert_ne!(app.state.route(), &Route::Agent, "独立页上 Esc 必须离开");
+    assert_eq!(app.agent.rail, RailState::Expanded, "收回到右栗展开档");
+
+    // ④ 从独立页点别的导航：会话收回右栗（档位不能停在 Detached）
+    let _ = app.update(Message::Select(NavItem::Ai));
+    assert_eq!(app.agent.rail, RailState::Detached);
+    let _ = app.update(Message::Select(NavItem::Instances));
+    assert_eq!(app.state.route(), &Route::Instances);
+    assert_eq!(
+        app.agent.rail,
+        RailState::Expanded,
+        "离开独立页 ⇒ 会话收回右栗（否则页走了、栏还是 0 宽）"
+    );
+}
+
+/// 同一条不变式的另一个入口：页面层的 `Navigate(Route::Agent)`（右栗里的 `pages::Message` 路径）。
+#[test]
+fn the_page_navigation_entry_also_detaches() {
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+    // 走真消息（不是直接改字段）：这样「展开即读」的 `agent_mark_read` 也会真的发生
+    let _ = app.update(Message::Agent(crate::shell::agent::Message::Expand));
+    assert_eq!(app.agent.rail, RailState::Expanded);
+
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Agent)));
+    assert_eq!(app.state.route(), &Route::Agent);
+    assert_eq!(app.agent.rail, RailState::Detached);
+    assert_eq!(app.agent_host.rail().unread, 0);
+
+    // 页面层回退（不是 Dock 消息）也要把档位收回来
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Instances)));
+    assert_eq!(app.agent.rail, RailState::Expanded);
+}
+
+/// 截图模式不读设置文件里的主题（D30 可复现：两台机器出同一张图）。
+#[test]
+fn screenshot_mode_ignores_the_settings_file_theme() {
+    let mut app = headless(screenshot_options(), SchemeFlavor::Light);
+    app.apply_config_theme();
+    assert_eq!(app.ui().name(), "ull-m3-light", "截图模式的主题只认命令行");
+}
+
+/// 主题优先级：`--theme` > 配置文件 `appearance.theme_mode` > 系统主题。
+///
+/// r2 之前 `Message::SystemTheme` 无条件 `set_flavor`，于是「配置文件写 dark、系统是浅色」会
+/// 出现 `light -> dark -> light` 的一次抖动、配置永远不生效（r3 做 P2-2 的配置热切实测时暴露
+/// 出来，一并修）。
+///
+/// 抓得住：系统主题不许盖掉显式配置/命令行给出的主题（三条分支各一条断言）。
+/// 抓不住：真实桌面切换系统主题时的事件时序（只有消息级验证）。
+#[test]
+fn the_system_theme_never_overrides_an_explicit_one() {
+    use unlucky_presenter::prefs::ThemeMode;
+
+    // ① auto（内存桥默认）：系统主题说了算
+    let mut auto = headless(Options::default(), SchemeFlavor::Light);
+    assert_eq!(auto.theme_mode, ThemeMode::Auto);
+    let _ = auto.update(Message::SystemTheme(iced::theme::Mode::Dark));
+    assert_eq!(auto.ui().name(), "ull-m3-dark", "auto 模式要跟随系统");
+
+    // ② 配置文件显式 dark：系统给浅色也不许改
+    let mut pinned = headless(Options::default(), SchemeFlavor::Dark);
+    pinned.theme_mode = ThemeMode::Dark;
+    let _ = pinned.update(Message::SystemTheme(iced::theme::Mode::Light));
+    assert_eq!(
+        pinned.ui().name(),
+        "ull-m3-dark",
+        "配置文件说 dark，系统说 light：不许改"
+    );
+
+    // ③ 命令行 `--theme` 优先级最高
+    let mut explicit = headless(
+        Options {
+            theme: Some(SchemeFlavor::Dark),
+            ..Options::default()
+        },
+        SchemeFlavor::Dark,
+    );
+    let _ = explicit.update(Message::SystemTheme(iced::theme::Mode::Light));
+    assert_eq!(
+        explicit.ui().name(),
+        "ull-m3-dark",
+        "--theme 优先级最高，系统主题不许盖"
+    );
+}

crates/app-iced/src/app/tests/appearance.rs

@@ -0,0 +1,331 @@
+//! 外观接线的单测：**配置 → 状态 → 下发字节 / 像素 / 落盘**。
+//!
+//! 每条都按本 mission 的验收纪律写「抓得住 / 抓不住」。真机才有的东西（`WS_EX_LAYERED` 是否补上、
+//! `LWA_ALPHA` 的观感）不在这里假装——那是 `[appearance]` 日志与报告里「没验的部分」的事。
+
+use std::path::PathBuf;
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_presenter::mock::MockBackend;
+use unlucky_presenter::prefs::{BgFill, PaletteSource};
+use unlucky_presenter::settings_bridge::SettingsBridge;
+
+use crate::cli::{Backend, Options};
+use crate::pages::appearance::{self, Change, State};
+use crate::pages::{self, Screen};
+
+use super::{headless, FAMILIES};
+
+use super::super::state::App;
+
+/// 一个把配置写在临时文件里的 App（测「读回 / 写回」必须真的过文件）。
+fn with_config(json: &str, backend: Backend, label: &str) -> (App, PathBuf) {
+    let dir = std::env::temp_dir().join(format!(
+        "ull-appear-{label}-{}-{}",
+        std::process::id(),
+        line!()
+    ));
+    std::fs::create_dir_all(dir.join("config")).expect("临时目录");
+    let path = dir.join("config/launcher.json");
+    std::fs::write(&path, json).expect("写配置文件");
+
+    let app = App::with_presenter(
+        Options {
+            backend,
+            ..Options::default()
+        },
+        FAMILIES,
+        SchemeFlavor::Light,
+        Box::new(MockBackend::new()),
+        SettingsBridge::with_path(&path),
+    );
+    (app, dir)
+}
+
+fn cleanup(dir: &PathBuf) {
+    std::fs::remove_dir_all(dir).ok();
+}
+
+/// 抓得住：配置里写 `window_opacity=0.8` → 启动读回 0.8 → 下发字节 205（钳位链的入口那一段）。
+/// 抓不住：Win32 是否真的收下 204（`transparency` 的单测与本机日志各自举证）。
+#[test]
+fn the_configured_window_alpha_is_read_back_and_turned_into_a_byte() {
+    let (app, dir) = with_config(
+        r#"{"appearance":{"window_opacity":0.8,"palette_source":"preset"}}"#,
+        Backend::Cpu,
+        "read",
+    );
+
+    assert_eq!(app.appearance.window_opacity, 0.8);
+    assert_eq!(
+        app.appearance.window_alpha_byte(),
+        Some(205),
+        "f32 0.8 → f64 略大于 0.8 → ceil 205（不向下取整）"
+    );
+    // CPU 档：窗口 α 允许，面板 α 强制 1.0。
+    assert_eq!(app.appearance.effective_panel_alpha(), 1.0);
+    assert!(app.appearance.panel_is_forced());
+    cleanup(&dir);
+}
+
+/// 抓得住：①面板 α 滑到 0.8 → 状态是 0.8、生效值 GPU 档也是 0.8；
+/// ②CPU 档下滑到 0.5 → 生效值仍是 1.0，而**请求值**仍是 0.5（界面上的「requested → forced」靠这条）。
+/// 抓不住：这层半透明在屏幕上到底多透（RDP 上不可信，见报告）。
+#[test]
+fn panel_alpha_is_independent_of_the_window_alpha_and_forced_on_cpu() {
+    let mut gpu = headless(Options::default(), SchemeFlavor::Light);
+    gpu.appearance.apply(Change::PanelAlpha(0.8));
+    assert_eq!(gpu.appearance.panel_alpha, 0.8);
+    assert_eq!(gpu.appearance.effective_panel_alpha(), 0.8);
+    assert_eq!(gpu.appearance.window_opacity, 1.0, "面板 α 不许带动整窗 α");
+
+    let mut cpu = headless(
+        Options {
+            backend: Backend::Cpu,
+            ..Options::default()
+        },
+        SchemeFlavor::Light,
+    );
+    assert!(
+        !cpu.appearance.apply(Change::PanelAlpha(0.5)),
+        "只有整窗 α 需要立刻下发（面板 α 只重绘）"
+    );
+    assert_eq!(cpu.appearance.panel_alpha, 0.5, "请求值保留");
+    assert_eq!(
+        cpu.appearance.effective_panel_alpha(),
+        1.0,
+        "CPU 档强制 1.0"
+    );
+    assert_eq!(cpu.appearance.window_alpha_byte(), None, "整窗 α 仍是 1.0");
+}
+
+/// 抓得住：一次滑块改动 → 落盘 → **新开一个 bridge** 能读回（= 重启后还在）。
+/// 抓不住：真 host 是否也写了同一份文件（`AppCommand::SetSetting` 走的是同一份 schema）。
+#[test]
+fn a_panel_alpha_change_is_written_back_to_the_config_file() {
+    let (mut app, dir) = with_config("{}", Backend::Gpu, "write");
+    app.on_appearance(Change::PanelAlpha(0.8));
+    app.on_appearance(Change::BgFill(BgFill::Tile));
+    app.on_appearance(Change::BgDim(0.5));
+
+    let path = dir.join("config/launcher.json");
+    let reopened = SettingsBridge::with_path(&path).load().0;
+    assert_eq!(reopened.panel_alpha, 0.8);
+    assert_eq!(reopened.bg_fill, BgFill::Tile);
+    assert!((reopened.bg_dim - 0.5).abs() < 1e-6);
+    assert_eq!(
+        app.appearance_prefs.panel_alpha, 0.8,
+        "内存里的「已落盘快照」也要跟上，否则下一次写回会拿旧基底覆盖"
+    );
+    cleanup(&dir);
+}
+
+/// 抓得住：路径读不出来时 ①不 panic ②`background_active()` 为假（静默回落）
+/// ③诊断里有一句人话（不是空串）④配色回落到色卡档（不换 scheme）。
+/// 抓不住：这张图在别的机器上路径存在时会怎样（那是成功路径，另一条测试管）。
+#[test]
+fn a_broken_background_path_falls_back_silently_but_says_why() {
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    app.appearance
+        .apply(Change::BgImage("D:/definitely/not/here.png".to_owned()));
+
+    assert!(!app.appearance.background_active());
+    assert!(app.appearance.image().is_none(), "解码失败 ⇒ 没有可用图");
+    assert_eq!(app.appearance.diagnostics().len(), 1, "恰好一条诊断");
+    assert!(
+        app.appearance.diagnostics()[0].contains("could not be read"),
+        "诊断要是人话：{:?}",
+        app.appearance.diagnostics()
+    );
+    assert_eq!(app.appearance.palette_level(), "preset", "回落色卡");
+    assert!(
+        app.appearance.derived_scheme().is_none(),
+        "色卡档不换 scheme"
+    );
+}
+
+/// 抓得住：真 PNG → 背景真的生效（解出原图尺寸、路径留给渲染器、配色走「背景图取色」这一级）。
+/// 抓不住：渲染出来的像素（由截图举证），以及三种填充的覆盖范围（由 `background::tiles` 的
+/// 「覆盖 ≥ 视口」断言守）。
+#[test]
+fn a_decodable_png_makes_the_background_and_the_palette_active() {
+    let dir = std::env::temp_dir().join(format!("ull-appear-png-{}", std::process::id()));
+    std::fs::create_dir_all(&dir).expect("临时目录");
+    let path = dir.join("bg.png");
+    let image = image::RgbImage::from_fn(64, 32, |x, _y| {
+        if x < 32 {
+            image::Rgb([200, 30, 30])
+        } else {
+            image::Rgb([20, 60, 200])
+        }
+    });
+    image.save(&path).expect("写 png");
+
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    app.appearance
+        .apply(Change::PaletteSource(PaletteSource::BackgroundImage));
+    app.appearance
+        .apply(Change::BgImage(path.to_string_lossy().to_string()));
+    app.rebuild_ui();
+
+    assert!(app.appearance.background_active());
+    assert!(app.appearance.image().is_some(), "解码成功 ⇒ 有可用图");
+    assert!(
+        !app.appearance.bg_path.trim().is_empty(),
+        "渲染器按路径解码（见 picture::image_handle）"
+    );
+    assert_eq!(app.appearance.diagnostics().len(), 0, "成功时没有诊断");
+    assert_eq!(app.appearance.palette_level(), "background-image");
+    assert!(
+        app.appearance.derived_scheme().is_some(),
+        "取色成功后 Ui 要换成解析出的方案"
+    );
+    // 换 scheme 之后主题名仍是同一个（深浅没变），但 primary 必须与 baseline 不同。
+    assert_eq!(app.ui().name(), "ull-m3-light");
+    let baseline = crate::theme::Ui::new(SchemeFlavor::Light, FAMILIES);
+    assert_ne!(
+        app.ui().color(unlucky_design::color::Role::Primary),
+        baseline.color(unlucky_design::color::Role::Primary)
+    );
+    std::fs::remove_dir_all(&dir).ok();
+}
+
+/// 抓得住：设置页在有外观状态时能真的构图（真控件树，含文本框/滑块/互斥按钮），并且
+/// 「外观」分组的下标与 `appearance::APPEARANCE_GROUP` 一致（点左列能切过去）。
+/// 抓不住：这些控件点下去之后的交互（`Message` 的落点由 `on_appearance` 的其它测试管）。
+#[test]
+fn the_settings_page_renders_the_real_appearance_group() {
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    app.state
+        .navigate(unlucky_presenter::router::Route::Settings);
+    app.refresh_view();
+    assert_eq!(app.view.screen, Screen::Settings);
+    assert_eq!(app.appearance.selected_group, appearance::APPEARANCE_GROUP);
+
+    let _tree = pages::page_with_appearance(&app.ui, &app.view, &app.appearance, &app.launch_form);
+    drop(_tree);
+
+    // 切分组：只改视图状态，不落盘（`Change::SelectGroup` 的 key() == None）。
+    app.appearance.apply(Change::SelectGroup(0));
+    assert_eq!(app.appearance.selected_group, 0);
+    let _tree = pages::page_with_appearance(&app.ui, &app.view, &app.appearance, &app.launch_form);
+}
+
+/// **P2-2 的守门（复审 r1）**：面板 α 只作用到允许半透明的层。
+///
+/// 抓得住：`Ui::layer(Canvas)` 在 α=0.55 时仍是不透明（标题栏/导航轨/页头带都取 Canvas，
+/// 它们一旦透底，三个窗口键与导航文字就压在背景照片上）；`Card` / `Overlay` 必须真的吃到 α。
+/// 抓不住：真实合成后的观感（那由截图看）。
+#[test]
+fn the_canvas_layer_stays_opaque_while_panels_take_the_alpha() {
+    use unlucky_design::elevation::MaterialLayer;
+
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    app.appearance.apply(Change::PanelAlpha(0.55));
+    app.rebuild_ui();
+
+    let ui = app.ui();
+    assert_eq!(ui.panel_alpha(), 0.55, "生效值进了 Ui");
+    assert_eq!(
+        ui.layer(MaterialLayer::Canvas).a,
+        1.0,
+        "窗口底（标题栏/导航轨/页头带）永远不透明——令牌的不变量"
+    );
+    for layer in [MaterialLayer::Card, MaterialLayer::Overlay] {
+        assert!(
+            (ui.layer(layer).a - 0.55).abs() < 1e-6,
+            "{layer:?} 必须吃面板 α（实际 {}）",
+            ui.layer(layer).a
+        );
+    }
+
+    // CPU 档：α 被强制 1.0 ⇒ 连卡片也不透明。
+    let mut cpu = headless(
+        Options {
+            backend: Backend::Cpu,
+            ..Options::default()
+        },
+        SchemeFlavor::Light,
+    );
+    cpu.appearance.apply(Change::PanelAlpha(0.55));
+    cpu.rebuild_ui();
+    assert_eq!(cpu.ui().layer(MaterialLayer::Card).a, 1.0, "CPU 档强制 1.0");
+}
+
+/// 抓得住：**把滑块从头拖到尾**（0.00 → 1.00 的 11 个档）时，状态里的整窗 α 与下发字节逐档单调
+/// 上升、且最低一档就是下限字节 21（= 0.0824 ≥ 0.08）、最后一档不透明（不给字节）。
+/// 这就是「拖动 → 实际 α」的链条在数值上的等价物；真机拖动的那一次由二进制日志举证。
+/// 抓不住：拖动的手感与真实观感（RDP 上不可信）。
+#[test]
+fn a_slider_sweep_moves_the_alpha_and_the_byte_monotonically() {
+    let mut app = headless(Options::default(), SchemeFlavor::Light);
+    let mut bytes = Vec::new();
+    for step in 0..=10 {
+        let fraction = step as f32 / 10.0;
+        let alpha = crate::pages::appearance::alpha::window_alpha_from_fraction(fraction);
+        app.appearance.apply(Change::WindowOpacity(alpha));
+        let byte = app.appearance.window_alpha_byte();
+        bytes.push(byte);
+        // 每一档都要能打出一行（数值而不是观感）。
+        assert!(app.appearance.log_line("sweep").contains("window_alpha="));
+    }
+
+    assert_eq!(bytes[0], Some(21), "0% 一档 = 下限 0.08 → 21");
+    assert_eq!(bytes[10], None, "100% 一档 = 不透明 → 不下发");
+    let sent: Vec<u8> = bytes.iter().flatten().copied().collect();
+    assert!(
+        sent.windows(2).all(|pair| pair[0] <= pair[1]),
+        "字节必须单调不减：{sent:?}"
+    );
+    assert_eq!(sent.len(), 10, "除最后一档（不透明）之外每档都有字节");
+    assert!(
+        sent.iter().all(|byte| *byte >= 21),
+        "任何一档都不许低于下限字节：{sent:?}"
+    );
+}
+
+/// 抓得住：日志行里有请求值、生效值与下发字节（RDP 上唯一可信的证据形态）。
+/// 抓不住：这行日志是否真的被写进了 stderr（本测试只钉格式，真机日志由跑起来的二进制举证）。
+#[test]
+fn the_log_line_carries_requests_effective_values_and_the_byte() {
+    let mut cpu = headless(
+        Options {
+            backend: Backend::Cpu,
+            ..Options::default()
+        },
+        SchemeFlavor::Light,
+    );
+    cpu.appearance.apply(Change::WindowOpacity(0.5));
+    cpu.appearance.apply(Change::PanelAlpha(0.4));
+
+    let line = cpu.appearance.log_line("change");
+    assert!(line.starts_with("[appearance] change "), "{line}");
+    assert!(line.contains("window_alpha=0.500"), "{line}");
+    assert!(line.contains("panel_alpha=1.000"), "CPU 档生效值：{line}");
+    assert!(line.contains("(requested 0.400)"), "请求值也要在：{line}");
+    assert!(
+        line.contains("byte=128"),
+        "0.5×255=127.5 → 向上取整 128：{line}"
+    );
+
+    // 不透明时不给字节（而不是给 255）。
+    let opaque = headless(Options::default(), SchemeFlavor::Light);
+    assert!(opaque.appearance.log_line("boot").contains("byte=none"));
+}
+
+/// 抓得住：`State::new` 与 `apply_env` 之外，`State` 的构造不会偷偷读环境（测试之间不串味）。
+/// 抓不住：`ULL_APPEARANCE_*` 在真机上的解析（`apply_env` 由截图矩阵覆盖，见报告）。
+#[test]
+fn a_fresh_state_is_the_factory_appearance() {
+    let state = State::new(
+        &unlucky_presenter::prefs::AppearancePrefs::factory(),
+        &unlucky_presenter::prefs::AppearanceBase::factory(),
+        Backend::Gpu,
+        SchemeFlavor::Light,
+    );
+    assert_eq!(state.window_opacity, 1.0);
+    assert_eq!(state.effective_panel_alpha(), 1.0);
+    assert!(!state.background_active());
+    assert!(state.diagnostics().is_empty());
+    assert!(state.image().is_none());
+}

crates/app-iced/src/app/tests/instances_save_loop.rs

@@ -0,0 +1,145 @@
+//! 「启动参数保存失败」的**整环**回归（M157 r4 复审 P3-a）。
+//!
+//! 仓里原来只有这条环的两半：`LaunchForm::sync` 的单测（本 crate 的 `pages/instances/state.rs`）
+//! 与「Save 只派发不清脏」（`app/update/instances.rs`）。两半各自绿，但**接线**（消息 →
+//! `dispatch` → 后端回事件 → `pump` → `refresh_view` → `sync_launch_form`）没有任何活着的断言。
+//! 把 `dirty = false` 提前到派发前，只有这条整环测试会红（单测两半都不会）。
+//!
+//! 造的后端与真 host 的失败路径同形：收到 `SetInstanceLaunchArgs` 只回一条 Toast（错误的用户
+//! 可见反馈），**不回** `InstancesChanged`——盘上没改，快照还是旧的。
+
+use std::cell::RefCell;
+use std::rc::Rc;
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_presenter::dto::{
+    AppCommand, AppEvent, Backend, CoreEvent, InstanceRuntime, InstanceSummary, LaunchArgsView,
+    LoaderInfo, LoaderKind,
+};
+use unlucky_presenter::router::Route;
+use unlucky_presenter::settings_bridge::SettingsBridge;
+use unlucky_presenter::toast::{Toast, ToastKind};
+
+use crate::app::message::Message;
+use crate::app::state::{App, TICK};
+use crate::cli::Options;
+use crate::pages;
+use crate::theme::Families;
+
+const FAMILIES: Families = Families {
+    text: "Segoe UI",
+    display: "Segoe UI",
+    mono: "Consolas",
+};
+
+/// 失败路径的后端：命令进台账；`SetInstanceLaunchArgs` 只回一条错误 Toast。
+#[derive(Debug, Default)]
+struct FailingSaveBackend {
+    dispatched: Rc<RefCell<Vec<AppCommand>>>,
+    queued: Vec<AppEvent>,
+}
+
+impl Backend for FailingSaveBackend {
+    fn drain_events(&mut self) -> Vec<AppEvent> {
+        std::mem::take(&mut self.queued)
+    }
+
+    fn dispatch(&mut self, command: AppCommand) {
+        self.dispatched.borrow_mut().push(command.clone());
+        if matches!(command, AppCommand::SetInstanceLaunchArgs { .. }) {
+            // 真 host 在 `dispatch_inner` 的 Err 分支只发 toast（不发 InstancesChanged）。
+            self.queued.push(AppEvent::Toast(Toast {
+                id: 0,
+                kind: ToastKind::Error,
+                text: "内存超出范围".to_string(),
+                remaining_ms: 0,
+            }));
+        }
+    }
+}
+
+/// 盘上的实例快照：内存 4096、其余留空（= 保存失败时 pump 会带回来的那份）。
+fn snapshot() -> Vec<InstanceSummary> {
+    vec![InstanceSummary {
+        id: "survival".to_string(),
+        name: "生存".to_string(),
+        mc_version: "1.20.4".to_string(),
+        loader: LoaderInfo {
+            kind: LoaderKind::Vanilla,
+            version: String::new(),
+        },
+        last_played: None,
+        runtime: InstanceRuntime::Idle,
+        icon: None,
+        isolation: "isolated".to_string(),
+        version_id: "1.20.4".to_string(),
+        version_present: true,
+        launch: LaunchArgsView {
+            instance_id: "survival".to_string(),
+            memory_mb: Some(4096),
+            memory_effective_mb: 4096,
+            ..LaunchArgsView::default()
+        },
+    }]
+}
+
+fn app_with_snapshot() -> (App, Rc<RefCell<Vec<AppCommand>>>) {
+    let dispatched = Rc::new(RefCell::new(Vec::new()));
+    let backend = FailingSaveBackend {
+        dispatched: Rc::clone(&dispatched),
+        queued: vec![AppEvent::Core(CoreEvent::InstancesChanged(snapshot()))],
+    };
+    let app = App::with_presenter(
+        Options::default(),
+        FAMILIES,
+        SchemeFlavor::Light,
+        Box::new(backend),
+        SettingsBridge::memory_only(),
+    );
+    (app, dispatched)
+}
+
+/// **保存失败不许吃掉草稿**（整环）：输入 `4g` → 点保存 → 后端回错误事件 → pump 重建视图。
+///
+/// 抓得住：①`Save` 在派发前清脏（草稿被旧快照覆盖成 4096）；②`LaunchForm::sync` 去掉
+/// `matches` 判据（同样覆盖）；③`pump` 没把事件喂进 `apply`/`refresh_view`（表单不会被播种，
+/// 下面的前置断言会红）。
+/// 抓不住：真 host 的落盘失败（那是 `host::launch_args` 的单测射程）。
+#[test]
+fn failed_save_keeps_the_draft_through_the_whole_loop() {
+    let (mut app, dispatched) = app_with_snapshot();
+
+    // 首屏快照到位 → 自动选中 → 表单按盘上的值播种。
+    let _ = app.update(Message::Boot);
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Detail(
+        "survival".to_string(),
+    ))));
+    app.advance(TICK);
+    assert_eq!(app.launch_form.memory, "4096", "首帧要按快照播种");
+    assert!(!app.launch_form.dirty);
+
+    // 用户把内存改成非法值（host 会拒），然后点保存。
+    let _ = app.update(Message::Page(pages::Message::Instances(
+        pages::InstanceMessage::Memory("4g".to_string()),
+    )));
+    assert_eq!(app.launch_form.memory, "4g");
+    let _ = app.update(Message::Page(pages::Message::Instances(
+        pages::InstanceMessage::Save,
+    )));
+    assert!(
+        dispatched
+            .borrow()
+            .iter()
+            .any(|command| matches!(command, AppCommand::SetInstanceLaunchArgs { .. })),
+        "保存要把命令派发出去"
+    );
+
+    // 失败回程：一条错误 Toast → pump → refresh_view → sync_launch_form（旧快照）。
+    app.advance(TICK);
+
+    assert_eq!(
+        app.launch_form.memory, "4g",
+        "保存失败后，pump 用旧快照把用户刚敲的内容冲掉了"
+    );
+    assert!(app.launch_form.dirty, "草稿还在，脏标记也不能掉");
+}

crates/app-iced/src/app/tests/presenter.rs

@@ -0,0 +1,246 @@
+//! presenter 闭环与节拍的断言（M90 r2 从 `app/tests.rs` 外置：那边 416 行会被 file-size 判红）。
+//!
+//! 这里的每条都依赖一个可注入的 `Backend`：
+//! - `MockBackend`（presenter 自带）验「命令 → 事件 → 状态」的闭环；
+//! - `RecorderBackend`（本文件，只记账不回事件）验「UI 侧不做乐观回显」——用 MockBackend 验这条
+//!   会得到**假绿**，因为它是同步发事件的，本地回显与事件回流终态相同（P3-2 的教训）。
+
+use std::cell::RefCell;
+use std::rc::Rc;
+
+use unlucky_i18n::Key;
+use unlucky_presenter::dto::{AppCommand, AppEvent, Backend, CoreEvent};
+use unlucky_presenter::mock_data::mock_instances;
+
+use super::*;
+
+// --------------------------------------------------------------- presenter 闭环
+
+/// **首屏快照在 Boot 就到位**（截图在第 3 帧落盘，等 30 fps 的 tick 会拍进空页面）。
+#[test]
+fn boot_drains_the_first_snapshot_before_the_first_frame() {
+    let mut app = headless(screenshot_options(), SchemeFlavor::Light);
+    assert!(app.view.instances.rows.is_empty(), "还没 Boot");
+
+    let _ = app.update(Message::Boot);
+
+    assert_eq!(
+        app.view.instances.rows.len(),
+        4,
+        "mock 的四个实例已进视图模型"
+    );
+    assert_eq!(app.view.screen, pages::Screen::Instances);
+}
+
+/// 首屏自动选中第一行（右栏不该开局空白），且**只做一次**：返回列表后再刷新不弹回详情。
+#[test]
+fn the_first_snapshot_selects_the_first_instance_once() {
+    let mut app = headless(screenshot_options(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+    assert_eq!(
+        app.state.route(),
+        &Route::Detail("survival".to_string()),
+        "首屏快照到位后自动选中第一行"
+    );
+
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Instances)));
+    assert_eq!(app.state.route(), &Route::Instances);
+
+    // 再推进一拍（会 drain_events + auto_select）：不该把他弹回详情页
+    app.advance(super::super::state::TICK);
+    assert_eq!(app.state.route(), &Route::Instances, "自动选中只做一次");
+}
+
+/// 只记账、**不回任何事件**的后端（P3-2）。
+///
+/// 为什么需要它：`MockBackend::dispatch` 是**同步**发事件的，于是「UI 本地回显」与「事件回流」
+/// 在 dispatch 之后终态相同——拿 MockBackend 测「不乐观回显」是假绿（r1 就是栽在这条上）。
+/// 这个后端把两件事分开：命令只进 `dispatched`，`drain_events` 永远空 ⇒ 状态**不可能**变；
+/// 一旦有人在 `update` 里偷偷改本地状态，下面那条断言立刻红（实测见报告「P3-2 取证」）。
+#[derive(Debug, Default)]
+struct RecorderBackend {
+    dispatched: Rc<RefCell<Vec<AppCommand>>>,
+    seeded: Vec<AppEvent>,
+}
+
+impl Backend for RecorderBackend {
+    fn drain_events(&mut self) -> Vec<AppEvent> {
+        std::mem::take(&mut self.seeded)
+    }
+
+    fn dispatch(&mut self, command: AppCommand) {
+        self.dispatched.borrow_mut().push(command);
+    }
+}
+
+/// 用 recorder 后端造一个 App（首屏快照靠 `seeded` 一次性喂进去）。
+fn recording(options: Options, flavor: SchemeFlavor) -> (App, Rc<RefCell<Vec<AppCommand>>>) {
+    let recorded = Rc::new(RefCell::new(Vec::new()));
+    // 注意：`InstancesChanged` 是**整体替换**，所以四条必须合成一条事件；
+    // 分开发的话最后只会剩一个实例（r1 在这条上踩过）。
+    let backend = RecorderBackend {
+        dispatched: Rc::clone(&recorded),
+        seeded: vec![AppEvent::Core(
+            CoreEvent::InstancesChanged(mock_instances()),
+        )],
+    };
+    let app = App::with_presenter(
+        options,
+        FAMILIES,
+        flavor,
+        Box::new(backend),
+        SettingsBridge::memory_only(),
+    );
+    (app, recorded)
+}
+
+/// **P3-2：不做乐观回显**——命令必须真的出 UI 层，而状态在后端回事件之前**一个字节都不许变**。
+///
+/// 抓得住：`update` 里出现「本地先改状态」的写法（recorder 永远不回事件，本地一改这里就红）。
+/// 抓不住：「命令有没有真的到达 host」——那由 `MockBackend` 的闭环测试与真机验证负责。
+#[test]
+fn launching_only_dispatches_and_never_echoes_locally() {
+    let mut options = screenshot_options();
+    options.screenshot = None; // recorder 不依赖截图通道
+    let (mut app, recorded) = recording(options, SchemeFlavor::Light);
+
+    let _ = app.update(Message::Boot);
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Detail(
+        "survival".to_string(),
+    ))));
+
+    // Boot 自己发过一条 RefreshAll，先把账本清掉，下面只看「点 Play」这一个动作
+    recorded.borrow_mut().clear();
+
+    let before = app.view.instances.detail.clone().expect("有选中项");
+    assert!(before.can_launch && !before.can_stop && before.status.is_none());
+
+    let _ = app.update(Message::Page(pages::Message::Launch(
+        "survival".to_string(),
+    )));
+
+    // ① 命令真的出 UI 层了
+    assert_eq!(
+        *recorded.borrow(),
+        vec![AppCommand::LaunchInstance("survival".to_string())],
+        "Launch 必须翻成一条 AppCommand::LaunchInstance 并交给 Backend::dispatch"
+    );
+
+    // ② 后端一条事件都没回 ⇒ 视图模型必须**原样不动**（任何本地回显都会让这条红）
+    let after = app.view.instances.detail.clone().expect("有选中项");
+    assert_eq!(
+        after, before,
+        "没有事件回流时页面不许自己变（乐观回显）；现在的差异是 {after:?}"
+    );
+    assert!(!after.can_stop, "不许因为点了 Play 就本地切成「可停止」");
+    assert!(after.status.is_none(), "不许本地造一条进度文案");
+}
+
+/// **点 Play → 命令真的派发出去 → 事件回流 → 页面真的变**（真后端的闭环）。
+#[test]
+fn launching_goes_through_the_backend_and_comes_back_as_events() {
+    let mut app = headless(screenshot_options(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Detail(
+        "survival".to_string(),
+    ))));
+
+    let detail = app.view.instances.detail.as_ref().expect("有选中项");
+    assert!(
+        detail.can_launch && !detail.can_stop,
+        "空闲：可启动不可停止"
+    );
+
+    let _ = app.update(Message::Page(pages::Message::Launch(
+        "survival".to_string(),
+    )));
+
+    let detail = app.view.instances.detail.as_ref().expect("有选中项");
+    assert!(
+        !detail.can_launch && detail.can_stop,
+        "派发 LaunchInstance 后后端发回了 Busy 事件：按钮组合必须已经翻转"
+    );
+    // 阶段名跟界面语言走（M120）：断言对着**当前生效语言**的目录算，别在中文机器上钉死英文
+    let stage = app.lang().catalog().text(Key::InstancesStageDownload);
+    assert_eq!(
+        detail.status.as_deref(),
+        Some(format!("{stage} · 0%").as_str()),
+        "状态行来自事件里的进度，不是本地假造"
+    );
+}
+
+/// 时间推进真的把状态往前推（后端的脚本按 tick 的累计时长走）。
+#[test]
+fn ticks_advance_the_backend_script() {
+    let mut app = headless(screenshot_options(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Detail(
+        "survival".to_string(),
+    ))));
+    let _ = app.update(Message::Page(pages::Message::Launch(
+        "survival".to_string(),
+    )));
+
+    // 33 ms × 50 ≈ 1.65 s：mock 的脚本在 1.5 s 从 Download 切到 Verify
+    for _ in 0..50 {
+        app.advance(super::super::state::TICK);
+    }
+
+    let detail = app.view.instances.detail.as_ref().expect("有选中项");
+    let status = detail.status.as_deref().unwrap_or_default();
+    let catalog = app.lang().catalog();
+    let (verify, launch) = (
+        catalog.text(Key::InstancesStageVerify),
+        catalog.text(Key::InstancesStageLaunch),
+    );
+    assert!(
+        status.starts_with(verify) || status.starts_with(launch),
+        "50 拍之后应已过下载阶段，实际 {status:?}"
+    );
+}
+
+/// 停止也是真命令：`StopInstance` 让 mock 直接回一条 Idle 事件。
+#[test]
+fn stopping_returns_to_idle_through_an_event() {
+    let mut app = headless(screenshot_options(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Detail(
+        "survival".to_string(),
+    ))));
+    let _ = app.update(Message::Page(pages::Message::Launch(
+        "survival".to_string(),
+    )));
+    let _ = app.update(Message::Page(pages::Message::Stop("survival".to_string())));
+
+    let detail = app.view.instances.detail.as_ref().expect("有选中项");
+    assert!(detail.can_launch && !detail.can_stop, "停下来回到空闲");
+    assert!(detail.status.is_none(), "空闲没有状态行");
+}
+
+/// 导航：一级页替换、详情压栈、返回出栈——页面换的是 `Route`，不是页面自己的选中项。
+#[test]
+fn navigation_follows_the_presenter_router() {
+    let mut app = headless(screenshot_options(), SchemeFlavor::Light);
+    let _ = app.update(Message::Boot);
+
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Detail(
+        "survival".to_string(),
+    ))));
+    assert_eq!(app.view.screen, pages::Screen::Instances, "详情仍是实例页");
+    assert!(app.state.router.can_go_back());
+
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Settings)));
+    assert_eq!(app.view.screen, pages::Screen::Settings);
+    assert_eq!(
+        app.view.active,
+        Some(pages::Screen::Settings.nav()),
+        "导航轨高亮跟着路由走"
+    );
+    assert!(
+        !app.state.router.can_go_back(),
+        "一级页互相替换，不进栈（presenter::router 的语义）"
+    );
+
+    let _ = app.update(Message::Page(pages::Message::Navigate(Route::Instances)));
+    assert_eq!(app.view.screen, pages::Screen::Instances);
+}

crates/app-iced/src/app/update.rs

@@ -0,0 +1,291 @@
+//! `update`：消息分支的**唯一**落点（含「用户动作 → 后端指令」的派发与事件回流）。
+//!
+//! ## 数据流的三个入口（presenter crate 文档 §2）
+//!
+//! ```text
+//! 用户动作 ──dispatch(AppCommand)──► backend ──► drain_events() ──► AppState::apply ──► 视图模型
+//!      ▲                                                    ▲
+//!      └── pages::Message（导航/启动/停止）──────────────────┘  忙碌 33 ms / 空闲 1 Hz
+//! ```
+//!
+//! 三条纪律：
+//!
+//! 1. **不做乐观回显**：点了「Play」不改本地状态，等 `InstanceRuntimeChanged` 事件回来才变
+//!    （否则事件与本地状态打架时，磁贴与进度条会各说一套）；
+//! 2. **状态只有一个写入口**：`AppState::apply`（事件）与 `AppState::navigate`（路由）；
+//! 3. **只在状态变了才重建视图模型**：`refresh_view()` 是快照 → 页面的唯一转换点，
+//!    由 `view_dirty` 门控（M90 r2/P2-1 起；此前是每拍无条件重建）。
+//!
+//! ## 两个时钟（M90 r3 / P2-2）
+//!
+//! | 场景 | 时钟 | 周期 | 谁触发 |
+//! |---|---|---|---|
+//! | 截图 / 有 Busy-Running 实例 / 有 toast / 派发后 3 s 观察窗 | `window::frames()` + 闸门 | 33 ms | [`App::needs_frames`] |
+//! | 其余（空闲） | `Heartbeat` 自续链 | 1 s | [`App::heartbeat`] |
+//!
+//! 两条时钟不会同时干活：心跳在 `needs_frames()` 为真时**只续排、不推进**，忙碌结束自动接回。
+
+use std::time::Instant;
+
+use iced::{window, Task};
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_presenter::dto::AppCommand;
+use unlucky_presenter::prefs::ThemeMode;
+use unlucky_presenter::router::Route;
+
+use crate::pages;
+use crate::renderer::Kind;
+
+use super::message::{route_of, Message};
+use super::state::{App, IDLE_TICK, TICK, WATCH_WINDOW};
+use super::CAPTURE_AT_FRAME;
+
+mod account;
+mod agent;
+mod appearance;
+mod boot_env;
+mod clock;
+mod content;
+mod content_pack;
+mod download;
+mod instances;
+mod page_messages;
+mod settings;
+mod update_action;
+
+impl App {
+    /// 一条消息进来，改状态并返回后续任务。
+    pub(super) fn update(&mut self, message: Message) -> Task<Message> {
+        match message {
+            Message::Boot => self.on_boot(),
+            Message::WindowReady(id) => {
+                self.window = id;
+                // M93：整窗 α 要 Win32 句柄，而 iced 只给 `window::Id`。`window::run` 是唯一能把
+                // `&dyn Window`（实现了 `HasWindowHandle`）拿出来的入口。
+                match id {
+                    Some(id) => {
+                        window::run(id, super::window_alpha::probe_hwnd).map(Message::WindowHandle)
+                    }
+                    None => Task::none(),
+                }
+            }
+            Message::WindowHandle(hwnd) => {
+                self.hwnd = hwnd;
+                match hwnd {
+                    Some(_) => self.apply_window_alpha("boot"),
+                    None => {
+                        eprintln!("[appearance] hwnd=none（拿不到窗口句柄：整窗 α 无法下发）");
+                        self.log_appearance("boot", None);
+                    }
+                }
+                // M116：圆角放在 α **之后**——α < 1 时那一步才补上 `WS_EX_LAYERED`，
+                // 先打圆角日志会把 `layered=` 记成 `off`（那正是我们要分辨的那一位）。
+                self.apply_window_corner("boot");
+                Task::none()
+            }
+            Message::SystemTheme(mode) => {
+                let flavor = match mode {
+                    iced::theme::Mode::Dark => SchemeFlavor::Dark,
+                    iced::theme::Mode::None | iced::theme::Mode::Light => SchemeFlavor::Light,
+                };
+                eprintln!("[theme] 系统主题 = {mode:?}");
+                // 优先级：`--theme` > 配置文件里的 `appearance.theme_mode` > 系统。
+                // 早先这里无条件盖掉，于是「配置文件写 dark、系统是浅色」会出现
+                // `light -> dark -> light` 的一次抖动，配置永远不生效（M90 r3 顺手修）。
+                if self.options.theme.is_none() && self.theme_mode == ThemeMode::Auto {
+                    self.set_flavor(flavor);
+                }
+                Task::none()
+            }
+            Message::Frame => self.on_frame(),
+            Message::Heartbeat => self.on_heartbeat(),
+            Message::Window(event) => {
+                match event {
+                    window::Event::Resized(size) => {
+                        self.width = size.width;
+                        // 高度是背景平铺网格的视口判据之一（宽度早就有），以前只记宽是因为没有背景层。
+                        self.height = size.height;
+                        self.view_dirty = true;
+                        self.refresh_view();
+                    }
+                    // M113: import/export —— 拖入整合包（本版唯一的选文件通道；窗口级事件，
+                    // 所以入口收起时也照样接得住。细节在 `on_pack_dropped` / `on_pack_hover`）
+                    window::Event::FileDropped(path) => return self.on_pack_dropped(path),
+                    window::Event::FileHovered(_) => return self.on_pack_hover(true),
+                    window::Event::FilesHoveredLeft => return self.on_pack_hover(false),
+                    _ => {}
+                }
+                Task::none()
+            }
+            Message::Page(message) => self.on_page(message),
+            Message::Agent(message) => self.on_agent(message),
+            // 外壳导航轨（`src/shell/nav.rs`）发来的点选：翻成同一次路由跳转
+            Message::Select(nav) => {
+                self.state.navigate(route_of(nav));
+                self.view_dirty = true;
+                self.refresh_view();
+                Task::none()
+            }
+            Message::DragWindow => match self.window {
+                Some(id) => window::drag(id),
+                None => Task::none(),
+            },
+            Message::ResizeStart(direction) => match self.window {
+                Some(id) => window::drag_resize(id, direction),
+                None => Task::none(),
+            },
+            Message::Minimize => match self.window {
+                Some(id) => window::minimize(id, true),
+                None => Task::none(),
+            },
+            Message::ToggleMaximize => match self.window {
+                Some(id) => window::toggle_maximize(id),
+                None => Task::none(),
+            },
+            Message::Close => iced::exit(),
+            Message::Captured(screenshot) => self.on_captured(&screenshot),
+            Message::Demo(message) => {
+                // gallery 只是 harness：按下只打日志，不接业务（组件库要能脱离业务验收）
+                eprintln!("[gallery] {} pressed", message.id());
+                Task::none()
+            }
+        }
+    }
+
+    /// 启动：问窗口句柄 → 让后端发布首屏快照 → 决定主题。
+    ///
+    /// **首屏快照在 `Boot` 就抽干**（不是等第一拍）：截图通道在第 3 帧落盘，33 ms 的节拍
+    /// 未必来得及到达，等节拍会把空页面拍进图里。
+    fn on_boot(&mut self) -> Task<Message> {
+        let mut tasks = vec![window::latest().map(Message::WindowReady)];
+
+        // M117：启动日志一行 —— `[auth] msa client_id=configured|missing source=env|build|none`。
+        // 判据（配没配 + 从哪来）在 `core::auth::microsoft::client_id_status()`，零网络；
+        // 本 crate 不直接依赖 core，所以经 `unlucky_cli`（已是本 crate 的依赖）出面，
+        // 免得 UI 侧把判据重算一遍、两份口径漂。日后看日志能一眼分辨
+        // 「没配置」与「配了但登录失败」。
+        eprintln!("{}", unlucky_cli::commands::msa_client_id_log_line());
+
+        // 主题优先级：显式 `--theme` / `--screenshot-theme` > 设置文件 > 系统。
+        // 截图通道**不读设置文件**（D30 可复现：同一份代码在两台机器上要出同一张图）。
+        self.apply_config_theme();
+
+        // M93 外观取证开关（`ULL_APPEARANCE_*`）+ 启动那一行数值日志。
+        // 必须在 `refresh_view` 之前：设置页要画的就是这份状态。
+        self.appearance.apply_env();
+        self.rebuild_ui();
+        self.log_appearance("boot", None);
+
+        // 交互模式且没显式指定主题 → 探系统；截图模式永不等（见 cli 模块文档）
+        if self.options.wants_system_theme() {
+            tasks.push(iced::system::theme().map(Message::SystemTheme));
+        }
+
+        // M104：助手栏的启动尾巴（窗口尺寸 adopt + 「拆出档直接落到独立页」）在 update/agent.rs。
+        // **必须在 RefreshAll 之前**：那次 dispatch 会 `pump → auto_select`，把路由拉到实例详情，
+        // 而 `sync_agent_route` 看到「不在 Agent 页却还是 Detached」就会把档位收回来——顺序反了
+        // 就会出现「`ULL_AGENT_RAIL=detached` 启动后停在实例页」（r2 实测踩到）。
+        self.boot_agent();
+
+        // 「重新扫描实例目录 + 全部页面快照」：真 host 在这里发首批事件，mock 在构造时已预置
+        self.dispatch(AppCommand::RefreshAll);
+
+        // 取证开关 `ULL_START_ROUTE`：截图/冒烟直接落到某一页（`cli.rs` 不在本 mission 的 scope，
+        // 而「外观」分组只在设置页上，出矩阵必须能直达）。未知值忽略。
+        if let Some(route) = boot_env::env_start_route() {
+            eprintln!("[boot] ULL_START_ROUTE → {route:?}");
+            self.state.navigate(route);
+            // 直达某一页时不要再被「自动选中第一条实例」拉回详情页。
+            self.auto_selected = true;
+            // M109：直达内容库时补一次检索（与页面内切换同一个入口）
+            self.ensure_content_loaded();
+        }
+        account::force_account_state(self);
+
+        self.auto_select();
+        self.view_dirty = true;
+        self.refresh_view();
+
+        // 空闲心跳从这里开始自续（它是唯一能在「没有帧事件」时戳醒 app 的时钟）
+        tasks.push(heartbeat());
+
+        Task::batch(tasks)
+    }
+
+    /// 空闲心跳：只有「不需要帧节拍」时才推进一拍，然后**无条件续排**下一拍。
+    ///
+    /// 为什么无条件续排：忙碌结束（游戏退出、toast 过期、观察窗关闭）之后没有别的东西会叫醒
+    /// app，心跳链必须一直在，才能把低频时钟接回去。忙碌期间它只是每秒醒一次、什么都不做。
+    fn on_heartbeat(&mut self) -> Task<Message> {
+        if !self.needs_frames() {
+            let now = Instant::now();
+            let elapsed = now.saturating_duration_since(self.last_tick).max(IDLE_TICK);
+            self.last_tick = now;
+            self.advance(elapsed);
+        }
+        heartbeat()
+    }
+
+    /// 一帧画完：①够 33 ms 就推进一拍 presenter ②截图模式在第 [`CAPTURE_AT_FRAME`] 帧出图。
+    ///
+    /// 时间闸门按**真实流逝时间**判（不是数帧）：掉帧不会把游戏启动进度拖慢，
+    /// 也不会在慢机器上把 1.5 s 的下载阶段拉成 4 s。
+    fn on_frame(&mut self) -> Task<Message> {
+        self.frames += 1;
+
+        let now = Instant::now();
+        let elapsed = now.saturating_duration_since(self.last_tick);
+        if elapsed >= TICK {
+            self.last_tick = now;
+            self.advance(elapsed);
+        }
+
+        // 主题在启动时就已确定（截图模式必有主题，见 cli 模块文档），这里只剩帧数闸门
+        if !self.wants_frames() || self.frames < CAPTURE_AT_FRAME {
+            return Task::none();
+        }
+
+        match self.window {
+            Some(id) => window::screenshot(id).map(Message::Captured),
+            None => Task::none(),
+        }
+    }
+
+    /// 截图回来了：落盘 + 打一行取证日志，然后退出。
+    fn on_captured(&mut self, screenshot: &window::Screenshot) -> Task<Message> {
+        let Some(path) = self.options.screenshot.clone() else {
+            return Task::none();
+        };
+        match crate::shot::save(screenshot, &path) {
+            Ok(summary) => {
+                eprintln!("{}", summary.describe());
+                // M97：打**实际**后端名（`wgpu`/`tiny-skia`），不是请求值——`renderer=auto` 曾经出现在每张验收图的日志里。
+                eprintln!(
+                    "[shot] screen={} theme={} renderer={} route={:?}",
+                    self.options.screen.name(),
+                    crate::shot::flavor_slug(&self.ui),
+                    super::backend::effective_kind().map_or("?", Kind::name),
+                    self.state.route()
+                );
+            }
+            Err(error) => eprintln!("[shot] 失败：{error}"),
+        }
+
+        iced::exit()
+    }
+}
+
+/// 空闲心跳的一拍：睡 1 秒再发 [`Message::Heartbeat`]。
+///
+/// 用 `Task::perform` + `std::thread::sleep` 而不是 `iced::time::every`：后者只在 tokio/smol
+/// 后端提供（本 crate 的执行器是 thread-pool，Cargo.toml 不在 scope）。代价是每拍让线程池里
+/// 一个线程阻塞 1 秒——按 1 Hz 算，对线程池（默认 = CPU 数）是可接受的占用。
+fn heartbeat() -> Task<Message> {
+    Task::perform(async { std::thread::sleep(IDLE_TICK) }, |()| {
+        Message::Heartbeat
+    })
+}
+
+#[cfg(test)]
+mod download_wiring;

crates/app-iced/src/app/update/account.rs

@@ -0,0 +1,210 @@
+//! 账户页消息的落点（M114）：页面只发意图，这里翻成 `AppCommand` 或本地的表单状态写入。
+//!
+//! 三条纪律（与 `update.rs` 同源）：
+//!
+//! 1. **不做乐观回显**：切账户/删账户/登录都只派命令，等 `AccountsChanged` /
+//!    `DeviceLoginChanged` / `AuthlibLoginChanged` 回来才改列表；
+//! 2. **密码只走一次**：`Submit` 把 `AuthlibRequest` 交给后端后立刻清掉表单里的密码
+//!    （成功失败都清——重试用新输入，不在内存里多留一份凭据）；
+//! 3. **表单态是纯 UI 状态**：输入框改动只写 `App::account_form` + 置脏，不派命令。
+//!
+//! ## 返回 `Task`（M114 r2 / 复审 P2-1）
+//!
+//! 复制用户码/链接必须把 `iced::clipboard::write` 的 `Task` **交回 runtime**——iced 0.14 的
+//! `Task` 是惰性 stream，丢掉返回值等于永不执行（日志页的 Copy summary 就是正确写法）。
+
+use iced::Task;
+use unlucky_presenter::dto::{AccountKind, AppCommand, AuthlibRequest, DeviceLoginPhase};
+
+use crate::app::Message;
+use crate::pages::account::{Hint, Message as Account, Panel, Track};
+
+use super::super::state::App;
+
+impl App {
+    /// 账户页消息。
+    pub(super) fn on_account(&mut self, message: Account) -> Task<Message> {
+        // 复制是唯一需要**交回 Task** 的分支：先把它的 Task 抓出来，其余分支照旧改状态
+        let clipboard = match &message {
+            Account::Copy(text) => Some(text.clone()),
+            _ => None,
+        };
+
+        match message {
+            Account::Open(track) => {
+                self.account_form.open(track);
+                self.account_form.hint = None;
+                self.view_dirty = true;
+            }
+            Account::ToggleAdd => {
+                self.account_form.section_open = !self.account_form.section_open;
+                self.account_form.hint = None;
+                self.view_dirty = true;
+            }
+            Account::Close => {
+                self.account_form.close();
+                // 关面板必须把**两条轨**的登录态都收回 Idle（复审 r2 P2-1：只看 `busy()` 时，
+                // `Failed`/`Succeeded` 不在 busy ⇒ 状态仍是非 Idle ⇒ `Page::build` 又把面板
+                // 强制回 Microsoft，按钮成了死按钮）。`CancelDeviceLogin` 在 host 侧本来就
+                // 同时收两条轨并发 Idle，所以判据用「非 Idle」而不是「busy」。
+                if self.state.device_login.phase != DeviceLoginPhase::Idle
+                    || self.state.authlib_login.phase != DeviceLoginPhase::Idle
+                {
+                    self.dispatch(AppCommand::CancelDeviceLogin);
+                }
+                self.view_dirty = true;
+            }
+            Account::DismissNotice => self.dispatch(AppCommand::DismissAccountNotice),
+            Account::Server(value) => {
+                self.account_form.server = value;
+                self.view_dirty = true;
+            }
+            Account::Login(value) => {
+                self.account_form.login = value;
+                self.view_dirty = true;
+            }
+            Account::Password(value) => {
+                self.account_form.password = value;
+                self.view_dirty = true;
+            }
+            Account::OfflineName(value) => {
+                self.account_form.offline_name = value;
+                self.view_dirty = true;
+            }
+            Account::Probe => {
+                let server = self.account_form.server.clone();
+                if !server.trim().is_empty() {
+                    self.dispatch(AppCommand::ProbeAuthlibServer(server));
+                }
+            }
+            Account::Submit => match self.account_form.panel {
+                Panel::Offline => {
+                    // 名字**不清空**：失败时用户还要看见自己输入的（复审 r1 P2-2 的另一半）
+                    let name = self.account_form.offline_name.trim().to_string();
+                    if !name.is_empty() {
+                        self.dispatch(AppCommand::AddOfflineAccount(name));
+                    }
+                }
+                Panel::Authlib => {
+                    if self.account_form.authlib_ready() {
+                        let request = AuthlibRequest::new(
+                            self.account_form.server.clone(),
+                            self.account_form.login.clone(),
+                            std::mem::take(&mut self.account_form.password),
+                        );
+                        self.dispatch(AppCommand::AddAuthlibAccount(request));
+                    }
+                }
+                Panel::Microsoft => return self.on_account(Account::StartBrowser),
+                Panel::None => {}
+            },
+            Account::StartDevice => self.dispatch(AppCommand::StartDeviceLogin),
+            Account::StartBrowser => self.dispatch(AppCommand::StartBrowserLogin),
+            Account::Cancel => {
+                self.account_form.close();
+                self.dispatch(AppCommand::CancelDeviceLogin);
+            }
+            Account::Copy(_) => {}
+            Account::Switch(id) => self.dispatch(AppCommand::SwitchAccount(id)),
+            Account::Remove(id) => self.dispatch(AppCommand::RemoveAccount(id)),
+            Account::Relogin(id) => return self.relogin(&id),
+        }
+        self.refresh_view();
+
+        match clipboard {
+            Some(text) => iced::clipboard::write(text),
+            None => Task::none(),
+        }
+    }
+
+    /// 「重新登录」按**账户类型**分派（复审 r1 P2-3）。
+    ///
+    /// - 微软轨：走授权码流（原路）；
+    /// - 第三方轨：第三方站没有「一键重登」——预填服务器地址与登录名，让用户补密码；
+    /// - 本地档案：没有服务器账户可重登 ⇒ 明确说明，不假装能做。
+    fn relogin(&mut self, id: &str) -> Task<Message> {
+        let Some(account) = self
+            .state
+            .accounts
+            .iter()
+            .find(|account| account.id == id)
+            .cloned()
+        else {
+            return Task::none();
+        };
+        self.account_form.hint = None;
+        match account.kind {
+            AccountKind::Microsoft => {
+                self.account_form.panel = Panel::Microsoft;
+                self.dispatch(AppCommand::StartBrowserLogin);
+            }
+            AccountKind::Authlib => {
+                self.account_form.open(Track::Authlib);
+                self.account_form.server = account.server_url.clone();
+                self.account_form.login = account.login_name.clone();
+                self.account_form.password.clear();
+                self.account_form.hint = Some(Hint::AuthlibReauth);
+                self.view_dirty = true;
+                self.refresh_view();
+            }
+            AccountKind::Offline => {
+                self.account_form.hint = Some(Hint::OfflineNoRelogin);
+                self.view_dirty = true;
+                self.refresh_view();
+            }
+        }
+        Task::none()
+    }
+}
+
+/// 取证开关 `ULL_ACCOUNT_STATE` 的落地（**只在 `--screenshot` 下生效**）。
+///
+/// 为什么需要：设备码过期要等 15 分钟、表单要手点两下，截图通道等不到自然发生的状态。
+pub(super) fn force_account_state(app: &mut App) {
+    if !app.has_screenshot() {
+        return;
+    }
+    let Ok(state) = std::env::var("ULL_ACCOUNT_STATE") else {
+        return;
+    };
+    match state.trim().to_lowercase().as_str() {
+        // 设备码已过期：起点往前挪一小时（倒计时自己算出来就是 0）
+        "expired" => {
+            app.state.device_login_started =
+                Some(std::time::Instant::now() - std::time::Duration::from_secs(3_600));
+        }
+        // 第三方站**失败**态：面板打开 + mock 那边给出的 `AuthlibLoginChanged(Failed)`
+        "authlib-failed" => {
+            app.account_form.panel = crate::pages::account::Panel::Authlib;
+            app.account_form.server = "https://example.invalid/api/yggdrasil/".to_string();
+            app.account_form.login = "alex@example.com".to_string();
+        }
+        // 离线档案失败态：面板打开（横幅由 mock 的 notice 场景给）
+        "notice" => {
+            app.account_form.panel = crate::pages::account::Panel::Offline;
+            app.account_form.offline_name = "ab".to_string();
+        }
+        // 第三方站表单：直接把面板打开并预填地址
+        "authlib" | "authlib-form" => {
+            app.account_form.panel = crate::pages::account::Panel::Authlib;
+            if app.account_form.server.trim().is_empty() {
+                app.account_form.server = "https://littleskin.cn/api/yggdrasil/".to_string();
+            }
+            app.account_form.login = "steve@example.com".to_string();
+            app.account_form.password = "not-a-real-password".to_string();
+        }
+        // 「关掉之后」：mock 给的是 failed 种子，这里按一次 Close（走真实的
+        // `on_account` → `CancelDeviceLogin` 通道），出「面板真的关了」的对照图。
+        "closed" => {
+            let _ = app.on_account(crate::pages::account::Message::Close);
+        }
+        // 有账号时「Add an account」展开态（P2-4 的收敛后形态）
+        "add" => {
+            app.account_form.section_open = true;
+        }
+        _ => {}
+    }
+}
+
+#[cfg(test)]
+mod tests;

crates/app-iced/src/app/update/account/tests.rs

@@ -0,0 +1,303 @@
+//! **树测试②（M119 验收核心）**：账户页消费 presenter 的账户列表与登录事件。
+//!
+//! 后端是 UI 侧的 [`AccountRig`]：它把 `AppCommand` 翻成**与真 host 同形状**的 `CoreEvent`
+//! （`AccountsChanged` / `DeviceLoginChanged` / `AccountNoticeChanged`），数据在内存里。
+//! 于是这条测试钉住的是「**接线**」——用户点一下之后，命令出去、事件回来、页面重算、横幅出现；
+//! 抓不住的是 `core::auth::AccountStore` 的落盘（那条由 presenter 自己的
+//! `host::accounts::offline_add_list_remove_round_trips` 覆盖，原因见 `presenter/rig.rs` 的模块文档）。
+//!
+//! 覆盖任务书第 3 条与第 4 条的账户那一半：
+//!
+//! | 断言 | 抓得住什么 |
+//! |---|---|
+//! | 添加离线档案 → 列表出现一行 | `AddOfflineAccount` 没派发 / 事件没回流 / 页面没重建 |
+//! | 切换当前账号 → 「当前」标记换人 | `SwitchAccount` 没派发（M114 的 `active` 标记是页面唯一来源）|
+//! | 删除 → 列表回到空态 | `RemoveAccount` 没派发 |
+//! | 设备码「进行中可见 + 可取消」 | `StartDeviceLogin` / `CancelDeviceLogin` 没接线（只剩转圈）|
+//! | 失败态：名字不合法 / 凭据失效都给**具名**错误 | 失败被吞掉（复审 r1 P2-2 的老毛病）|
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_i18n::{Catalog, Key, Lang};
+use unlucky_presenter::dto::{
+    AccountNoticeCode, AppEvent, AuthlibLoginView, CoreEvent, DeviceLoginView, LoginFailure,
+};
+use unlucky_presenter::mock::MockBackend;
+use unlucky_presenter::settings_bridge::SettingsBridge;
+
+use crate::app::state::presenter::rig::AccountRig;
+use crate::pages::account::model::{AuthlibPanel, DevicePanel};
+use crate::pages::account::{Form, Message as Account, Panel, Track};
+use crate::theme::Families;
+
+use super::App;
+
+const FAMILIES: Families = Families {
+    text: "Segoe UI",
+    display: "Segoe UI",
+    mono: "Consolas",
+};
+
+/// 不碰磁盘的 App，后端换成**账户 rig**（其余分支照旧走 `MockBackend` 的能力就够）。
+fn with_rig() -> App {
+    App::with_presenter(
+        crate::cli::Options::default(),
+        FAMILIES,
+        SchemeFlavor::Light,
+        Box::new(AccountRig::new()),
+        SettingsBridge::memory_only(),
+    )
+}
+
+/// 不碰磁盘的 App（mock 后端 + 内存设置桥），与 `app/tests.rs` 的 `headless` 同源。
+fn headless() -> App {
+    App::with_presenter(
+        crate::cli::Options::default(),
+        FAMILIES,
+        SchemeFlavor::Light,
+        Box::new(MockBackend::new()),
+        SettingsBridge::memory_only(),
+    )
+}
+
+fn seed(app: &mut App, event: CoreEvent) {
+    app.state.apply(AppEvent::Core(event));
+    app.refresh_view();
+}
+
+/// **添加 → 切换 → 删除**（任务书第 3 条，一条端到端）。
+///
+/// 抓得住：三条命令任何一条没派发 / 事件没回流 / `refresh_view` 没带上账户页。
+/// 抓不住：真实账户库的落盘（见模块文档）。
+#[test]
+fn an_offline_profile_is_added_switched_and_removed_end_to_end() {
+    let mut app = with_rig();
+    assert!(app.account.is_empty(), "出厂是空态");
+
+    // ① 添加离线档案：走真消息（点轨道卡 → 填名字 → 提交）
+    let _ = app.on_account(Account::Open(Track::Offline));
+    assert_eq!(app.account_form.panel, Panel::Offline);
+    // 表单输入也走真消息（纯 UI 态，只写 `App::account_form` + 置脏）
+    let _ = app.on_account(Account::OfflineName("Steve".to_string()));
+    assert!(
+        app.account_form.offline_ready(),
+        "3–16 位字母：按钮该是亮的"
+    );
+    let _ = app.on_account(Account::Submit);
+
+    assert_eq!(app.account.rows.len(), 1, "列表出现一行（不是静默）");
+    assert_eq!(app.account.rows[0].name, "Steve");
+    assert_eq!(
+        app.account.notice.as_ref().map(|notice| notice.code),
+        Some(AccountNoticeCode::Added),
+        "页面横幅给出的是一次性结果"
+    );
+    let id = app.account.rows[0].id.clone();
+
+    // ② 切换当前账号
+    let _ = app.on_account(Account::Switch(id.clone()));
+    assert_eq!(
+        app.account.active_row().map(|row| row.name.as_str()),
+        Some("Steve"),
+        "「当前」标记跟着切换走"
+    );
+
+    // ③ 删除
+    let _ = app.on_account(Account::Remove(id));
+    assert!(app.account.rows.is_empty(), "删除后回到空态");
+    assert_eq!(
+        app.account.notice.as_ref().map(|notice| notice.code),
+        Some(AccountNoticeCode::Removed)
+    );
+    // 两个横幅文案都有词（中英各一条，不是硬编码）
+    for lang in [Lang::En, Lang::ZhCn] {
+        assert!(!Catalog::of(lang).text(Key::AccountNoticeRemoved).is_empty());
+    }
+    // 整棵树在三种状态下都能构图
+    let _ = app.view();
+}
+
+/// 设备码流程：**指令发出 + 进行中可见 + 可取消**（任务书第 3 条的后半，真实网络不要求）。
+#[test]
+fn the_device_code_flow_is_started_visible_and_cancellable() {
+    let mut app = with_rig();
+    assert_eq!(app.account.device, DevicePanel::Hidden);
+
+    let _ = app.on_account(Account::StartDevice);
+    match &app.account.device {
+        DevicePanel::Code {
+            code, remaining, ..
+        } => {
+            assert_eq!(code, "ABCD-EFGH", "用户码要上屏");
+            assert!(remaining.is_some_and(|left| left > 0), "倒计时在跑");
+        }
+        other => panic!("进行中状态必须可见，实际 {other:?}"),
+    }
+    assert_eq!(app.account.panel, Panel::Microsoft, "面板要切到微软那条轨");
+    let _ = app.view();
+
+    let _ = app.on_account(Account::Cancel);
+    assert_eq!(app.account.device, DevicePanel::Hidden, "取消要真的收掉");
+    assert_eq!(
+        app.state.device_login.phase,
+        unlucky_presenter::dto::DeviceLoginPhase::Idle
+    );
+}
+
+/// 失败态①：**未实现 / 名字不合法** ⇒ 页面横幅给出结构化码（不是静默无语）。
+#[test]
+fn an_invalid_profile_name_surfaces_a_named_failure() {
+    let mut app = with_rig();
+    let _ = app.on_account(Account::Open(Track::Offline));
+    // 名字不合法时**发送键是灰的**（与 host 同一份判据），所以这里直接派命令：
+    // 抓的是「host 真的回了一个结构化失败码」这条链路，而不是按钮的禁用态。
+    assert!(!app.account_form.offline_ready());
+    app.dispatch(unlucky_presenter::dto::AppCommand::AddOfflineAccount(
+        "ab".to_string(),
+    ));
+
+    assert!(app.account.rows.is_empty(), "不合法的名字不入列表");
+    let notice = app.account.notice.as_ref().expect("必须有横幅");
+    assert_eq!(notice.code, AccountNoticeCode::OfflineNameInvalid);
+    assert!(notice.failure, "失败档（配色不同）");
+    assert_eq!(notice.subject, "ab", "横幅要带上是哪个名字");
+    // 文案走 catalog，中英各一条
+    for lang in [Lang::En, Lang::ZhCn] {
+        assert!(!Catalog::of(lang)
+            .text(Key::AccountNoticeOfflineNameInvalid)
+            .is_empty());
+    }
+    let _ = app.view();
+}
+
+/// 失败态②：**账户凭据失效** ⇒ 第三方轨面板进入 `Failed(BadCredentials)`（只带原因码）。
+///
+/// 为什么只断言原因码：M114 r3 起面板类型里**没有** `message`/`detail` 字段（原文只进 presenter
+/// 日志），页面据码选 catalog 文案。这条测试与「页面画得出文案」之间的桥梁是
+/// `pages::account::login::failure_body_key`（同一 crate 内的穷尽 match，缺一条编译不过）。
+#[test]
+fn expired_credentials_surface_a_named_failure_code() {
+    let mut app = headless();
+    seed(
+        &mut app,
+        CoreEvent::AuthlibLoginChanged(AuthlibLoginView::failed_as(
+            LoginFailure::BadCredentials,
+            "服务器返回 401：凭据已失效（token=…已脱敏）",
+        )),
+    );
+    app.account_form.open(Track::Authlib);
+    app.refresh_view();
+
+    assert_eq!(
+        app.account.authlib,
+        AuthlibPanel::Failed {
+            failure: LoginFailure::BadCredentials
+        },
+        "凭据失效要落成具名原因码，而不是静默回 Idle"
+    );
+    // 原因码对应的那句译文两套语言都得有
+    for lang in [Lang::En, Lang::ZhCn] {
+        let text = Catalog::of(lang).text(Key::AccountFailureBadCredentials);
+        assert!(!text.trim().is_empty(), "{} 缺这条失败文案", lang.tag());
+    }
+    // 原文不许出现在页面的任何可视文本里（M114 的凭据红线）
+    assert!(
+        !format!("{:?}", app.account).contains("服务器返回 401"),
+        "后端原文不许进页面模型"
+    );
+    let _ = app.view();
+}
+
+// ---------------------------------------------------------------- M114 的既有回归闸
+
+/// **复审 r2 P2-1 的回归闸**：登录失败/成功态下按 `Close`，面板必须真的关掉。
+///
+/// 为什么这条以前是死按钮：`Page::build` 只要 `device_login.phase != Idle` 就把面板强制
+/// 回 Microsoft，而 `Close` 只在 `busy()`（Requesting/Waiting）时才派 `CancelDeviceLogin`
+/// ⇒ Failed/Succeeded 下点了没反应。现在判据改成「非 Idle」，两条轨都覆盖。
+///
+/// 抓得住：判据退回 `busy()`；`Close` 忘了 dispatch；`CancelDeviceLogin` 没有把状态收回 Idle。
+/// 抓不住：`CancelDeviceLogin` 在**真 host** 上的副作用（这里跑的是 mock，但 mock 已按
+/// 真 host 的契约发 Idle，见 `presenter/src/mock.rs`）。
+#[test]
+fn close_really_closes_the_login_panel_on_both_tracks() {
+    // ① 微软轨：失败态
+    let mut app = headless();
+    seed(
+        &mut app,
+        CoreEvent::DeviceLoginChanged(DeviceLoginView {
+            phase: unlucky_presenter::dto::DeviceLoginPhase::Failed,
+            message: "微软拒绝了这次登录：AADSTS7000218（HTTP 403）".to_string(),
+            failure: Some(LoginFailure::NotWhitelisted),
+            ..DeviceLoginView::new()
+        }),
+    );
+    assert_eq!(app.account.panel, Panel::Microsoft, "失败态面板要显示");
+    let _ = app.on_account(Account::Close);
+    assert_eq!(app.account.panel, Panel::None, "Close 之后面板必须关掉");
+    assert_eq!(
+        app.state.device_login.phase,
+        unlucky_presenter::dto::DeviceLoginPhase::Idle
+    );
+
+    // ② 微软轨：成功态（同样不在 busy 里）
+    let mut app = headless();
+    seed(
+        &mut app,
+        CoreEvent::DeviceLoginChanged(DeviceLoginView::succeeded("Steve")),
+    );
+    assert_eq!(app.account.panel, Panel::Microsoft);
+    let _ = app.on_account(Account::Close);
+    assert_eq!(app.account.panel, Panel::None, "成功提示也要能关掉");
+
+    // ③ 第三方轨：失败态
+    let mut app = headless();
+    seed(
+        &mut app,
+        CoreEvent::AuthlibLoginChanged(AuthlibLoginView {
+            phase: unlucky_presenter::dto::DeviceLoginPhase::Failed,
+            server: "https://example.invalid/api/yggdrasil/".to_string(),
+            server_name: String::new(),
+            message: "服务器返回 HTTP 404".to_string(),
+            failure: Some(LoginFailure::NotAuthlibServer),
+            account_name: String::new(),
+        }),
+    );
+    app.account_form.open(Track::Authlib);
+    app.refresh_view();
+    assert_eq!(
+        app.account.panel,
+        Panel::Authlib,
+        "第三方轨失败态面板要显示"
+    );
+    let _ = app.on_account(Account::Close);
+    assert_eq!(app.account.panel, Panel::None, "第三方轨也要能关掉");
+    assert_eq!(
+        app.state.authlib_login.phase,
+        unlucky_presenter::dto::DeviceLoginPhase::Idle
+    );
+}
+
+/// 表单态是纯 UI 状态：打开/关闭面板不派命令，但会把面板切对。
+///
+/// 抓得住：`Open` 忘了写 `panel`（点了轨道卡什么都不出现）、`close()` 不清密码。
+/// 抓不住：真实 dispatch 的副作用（那要真后端）。
+#[test]
+fn the_form_state_follows_the_page_messages() {
+    let mut form = Form::new();
+    assert_eq!(form.panel, Panel::None);
+    form.open(Track::Authlib);
+    assert_eq!(form.panel, Panel::Authlib);
+    form.password = "hunter2".to_string();
+    form.close();
+    assert_eq!(form.panel, Panel::None);
+    assert!(form.password.is_empty(), "关闭面板必须把一次性密码清掉");
+}
+
+/// 三张轨道卡默认收起（有账号时），`ToggleAdd` 展开（复审 r1 P2-4）。
+#[test]
+fn the_add_section_starts_collapsed() {
+    let mut form = Form::new();
+    assert!(!form.section_open);
+    form.section_open = true;
+    assert!(form.section_open);
+}

crates/app-iced/src/app/update/agent.rs

@@ -0,0 +1,381 @@
+//! 助手栏消息的落点（M104 建，M119 接线）：三档状态迁移 / 输入 / 键盘 / **presenter 四契约**。
+//!
+//! ## 为什么单独一个文件
+//!
+//! `app/update.rs` 已经贴着 400 行硬上限（M94 也因此把下载页四支拆到 `update/download.rs`）。
+//! 助手栏有十几个变体，塞回主文件必破线。
+//!
+//! ## 分工：视图态 vs presenter 契约（M119 之后的分界线）
+//!
+//! | 消息 | 落到哪 |
+//! |---|---|
+//! | `Expand` / `Collapse` / `Dock` / `Escape` | **只改视图态**（`AgentUi`）+ 路由栈（离开/进入 `Route::Agent`）+ `agent_mark_read` |
+//! | `Detach` | 视图态 + `Route::Agent`（压栈，`back()` 能回去）+ `agent_mark_read` |
+//! | `Edit` | 视图态（草稿），并同步进 presenter 的草稿（`agent_set_draft`） |
+//! | `Submit` | [`AgentHost::submit`] → `agent_submit`；失败**不留白**（具名错误进横幅） |
+//! | `Stop` | `AppCommand::StopAgent`（真后端才收敛得出结果；同步 rig 下是 no-op） |
+//! | `Confirm(accept)` | [`AgentHost::confirm`] → `agent_confirm`（YOLO 下 presenter 自己放行并记审计） |
+//! | `Events(..)` | [`AgentHost::apply`] → `AppState::apply`（**事件回流的唯一落点**） |
+//! | `DragStart` / `DragTo` / `DragEnd` | 视图态：吸附宽度 |
+//! | `Key` / `Tab` / `Activate` | 键盘路径（`Tab` 的环要在流式中多一格，`busy` 从 rail 取） |
+//!
+//! **会话内容一行都不在这里攒**：`transcript` / `busy` / `unread` / `confirm` 全在 presenter 的
+//! `AgentRail` 上（M119 删掉了 M104 的自持副本）。
+//!
+//! ## 事件为什么绕一圈消息再回来
+//!
+//! `agent_submit` / `agent_confirm` 的端口是同步的，但**事件走队列**（见
+//! `app/state/presenter/transport.rs`）：抽队列的那一步必须和用户点击走同一条漏斗，否则两处各改
+//! 一次状态，流式标记与未读会打架。所以 [`App::drain_agent`] 抽出来之后立刻
+//! `on_agent(agent::Message::Events(..))` —— 同一条 `Message::Agent(..)` 通道。
+
+use iced::keyboard::{key, Key};
+use iced::Task;
+
+use unlucky_i18n::{Catalog, Key as TextKey};
+use unlucky_presenter::dto::AppCommand;
+
+use crate::app::MIN_SIZE;
+use crate::app::WINDOW_SIZE;
+use crate::shell::agent::demo::{self, Fixture};
+use crate::shell::agent::{self, Focus, RailState};
+
+use super::super::state::presenter::agent::SubmitOutcome;
+use super::*;
+
+#[cfg(test)]
+mod tests;
+
+impl App {
+    /// 助手栏消息（`app::Message::Agent(..)` 的唯一落点）。
+    pub(super) fn on_agent(&mut self, message: agent::Message) -> Task<Message> {
+        // M106 口径：文案走**生效语言**的目录，不再恒英文
+        let catalog = Catalog::of(self.lang());
+
+        // 只有**几何**会变的几支才需要重建页面模型（`pages::Model` 里没有会话内容：会话在
+        // presenter 的 rail 上，右栗自己那棵树每次 `view()` 都从 rail 现读）。复审 P3-9 的教训：
+        // 每敲一个字符都重建整张模型是白克隆。
+        let geometry_changed = matches!(
+            message,
+            agent::Message::Expand
+                | agent::Message::Collapse
+                | agent::Message::Detach
+                | agent::Message::Dock
+                | agent::Message::DragTo(_)
+                | agent::Message::DragEnd
+                | agent::Message::Escape
+                | agent::Message::Activate
+                | agent::Message::Key(_)
+        );
+
+        match message {
+            agent::Message::Expand => {
+                self.agent.expand();
+                // 「展开即读」是 presenter 的语义（`agent_mark_read`），壳只负责在正确的时刻调它
+                self.agent_host.mark_read();
+            }
+            agent::Message::Collapse | agent::Message::Escape => self.collapse_agent(),
+            agent::Message::Detach => {
+                self.agent.detach();
+                self.agent_host.mark_read();
+                self.state.navigate(Route::Agent);
+            }
+            agent::Message::Dock => {
+                self.agent.dock();
+                self.agent_host.mark_read();
+                self.leave_agent_page();
+            }
+            agent::Message::DragStart => self.agent.drag_start(),
+            agent::Message::DragTo(x) => self.agent.drag_to(self.width, x),
+            agent::Message::DragEnd => self.agent.drag_end(),
+            agent::Message::Edit(action) => {
+                self.agent.edit(action);
+                // 草稿同步给 presenter（切形态不丢；它也是 rail 上唯一允许躺原文的字段）
+                self.agent_host.set_draft(self.agent.draft.text());
+            }
+            agent::Message::Submit => self.submit_agent(),
+            agent::Message::Stop => self.dispatch(AppCommand::StopAgent),
+            agent::Message::Confirm(accept) => {
+                self.agent_host.confirm(accept);
+                self.drain_agent();
+            }
+            agent::Message::Events(events) => {
+                for event in events {
+                    self.agent_host.apply(event);
+                }
+                self.view_dirty = true;
+            }
+            agent::Message::Tab { shift } => {
+                let rail = self.agent_host.rail();
+                let (busy, pending) = (rail.busy, rail.confirm.is_some());
+                self.agent.step_focus(shift, busy, pending);
+            }
+            agent::Message::Activate => self.activate_focused(catalog),
+            agent::Message::Key(event) => return self.on_agent_key(event),
+        }
+
+        // 待确认请求出现/消失时，把键盘焦点挪到（或挪离）确认条的按钮上
+        self.sync_confirm_focus();
+        // 档位 / 路由变了就要把「栏可见吗」写回 presenter（未读口径的输入）
+        self.sync_agent_presenter();
+        if geometry_changed {
+            self.view_dirty = true;
+            self.refresh_view();
+        }
+        Task::none()
+    }
+
+    /// 发送：草稿 → `agent_submit` → 抽事件。
+    ///
+    /// 三种结局各自有落点：发出去（清草稿）/ 后端失败（具名横幅，见 [`App::agent_failure`]）/
+    /// presenter 拒收（日志一行——这三种情形正常情况下被禁用态挡住，够不着）。
+    fn submit_agent(&mut self) {
+        let text = self.agent.draft.text();
+        if text.trim().is_empty() {
+            return;
+        }
+        match self.agent_host.submit(text) {
+            SubmitOutcome::Sent => {
+                self.agent.clear_draft();
+                self.agent_host.set_draft(String::new());
+                self.drain_agent();
+            }
+            SubmitOutcome::Failed(failure) => {
+                eprintln!("[agent] 提交失败（{}）", failure.code());
+            }
+            SubmitOutcome::Rejected => {
+                eprintln!("[agent] presenter 拒收：空文本 / 上一轮未完 / 待确认 三闸该先挡住");
+            }
+        }
+    }
+
+    /// 抽干 presenter 的事件队列，**经既有 Message 通道**回流（见模块文档末节）。
+    pub(crate) fn drain_agent(&mut self) {
+        let events = self.agent_host.drain();
+        if events.is_empty() {
+            return;
+        }
+        let _ = self.on_agent(agent::Message::Events(events));
+    }
+
+    /// 把「栏可见吗」写回 presenter（`navigate` + `prefs_mut` 两个窄入口，见 `AgentHost`）。
+    pub(crate) fn sync_agent_presenter(&mut self) {
+        let on_page = self.state.route() == &Route::Agent;
+        let collapsed = self.agent.rail == RailState::Collapsed;
+        self.agent_host.sync_visibility(on_page, collapsed);
+    }
+
+    /// 失败横幅要显示的东西（`None` = 没有错误）。
+    ///
+    /// 两个来源都取**展示输入**：具名原因码 → catalog 译文；或 presenter 已脱敏的这一轮原因。
+    /// 壳在这一层不做任何脱敏（那是 presenter 的`scrub_text`），也不拼中英（那是 catalog 的事）。
+    pub(crate) fn agent_failure(&self) -> Option<agent::Failure<'_>> {
+        let catalog = self.lang().catalog();
+        if let Some(failure) = self.agent_host.last_failure() {
+            return Some(agent::Failure {
+                title: TextKey::AgentErrorTitle,
+                body: catalog.text(failure.body_key()),
+            });
+        }
+        self.agent_host
+            .rail()
+            .error
+            .as_deref()
+            .map(|body| agent::Failure {
+                title: TextKey::AgentErrorTitle,
+                body,
+            })
+    }
+
+    /// 待确认请求出现 ⇒ 焦点直接落在「允许」；消失 ⇒ 收回输入框。
+    ///
+    /// **只挪焦点，不替用户打开键盘巡航**（M119 r2 / 复审 P2-2）：r1 在这里顺手把
+    /// `keyboard_mode` 置真，而 `sync_confirm_focus` 是 `on_agent` 的无条件尾巴、`Events` 又由心跳
+    /// 驱动——于是只要冒出待确认，全局键盘闸就被打开；用户发完那句话接着打下一句，第一个空格
+    /// 就成了「批准写操作」。现在那道闸只由真实的键盘表态打开（`Tab`，见 `AgentUi::step_focus`；
+    /// 或者 `on_agent_key` 把按键送进来时用户本来就在键盘巡航）。
+    ///
+    /// 键盘用户怎么走到确认条：待确认时焦点已经在这两个按钮上，**按一次 `Tab` 点亮焦点环即是
+    /// 表态**（`step_focus` 里那条 arming 规则：这一次不移动焦点），之后 `Enter`/`Space` 就能裁决。
+    ///
+    /// 唯一写入口：`on_agent` 末尾（任何会改动 rail 的分支之后都要经过它）。
+    fn sync_confirm_focus(&mut self) {
+        let pending = self.agent_host.rail().confirm.is_some();
+        let on_confirm = matches!(self.agent.focus, Focus::ConfirmAllow | Focus::ConfirmDeny);
+        if pending && !on_confirm {
+            self.agent.focus = Focus::ConfirmAllow;
+            eprintln!("[agent] 写操作待确认 → 焦点落到 Allow（Tab 点亮焦点环后 Enter/Space 裁决）");
+        } else if !pending && on_confirm {
+            self.agent.focus = Focus::Composer;
+            self.agent.keyboard_mode = false;
+        }
+    }
+
+    /// **不变式**：`route() == Route::Agent` ⟺ `agent.rail == RailState::Detached`（唯一同步点）。
+    ///
+    /// 为什么需要它（复审 r1 的 P2-1，实测复现）：`agent.rail` 只在自己发 `Detach`/`Dock` 时变，
+    /// 而路由还能从三条**别的**路径进 `Route::Agent`——左侧导航第五项、`pages::Message::Navigate`、
+    /// `ULL_START_ROUTE=agent`。脱钩的后果：从导航进独立页时头部出现「Open assistant」（那是
+    /// 「展开右栗」的意思）、标题旁挂着不化的未读胶囊、`Esc` 也收不走页面。
+    ///
+    /// 两条对向规则：
+    /// - **在**独立页上 ⇒ `Detached`（顺带按「拆出即读」清未读）；
+    /// - **不在**独立页上而档位还是 `Detached`（用户从页上点了别的导航）⇒ 会话收回右栗（`dock()`），
+    ///   否则会话会「两头都没有」：页走了、栏还是 0 宽。
+    ///
+    /// 调用点只有一个：`App::refresh_view` 的开头。每一次路由变化都会经过它，于是**模型算宽度时**
+    /// 与**画头部动作时**读到的永远是同一份档位。
+    pub(crate) fn sync_agent_route(&mut self) {
+        let on_page = self.state.route() == &Route::Agent;
+        match (on_page, self.agent.rail) {
+            (true, RailState::Detached) | (false, RailState::Collapsed | RailState::Expanded) => {}
+            (true, _) => self.agent.detach(),
+            (false, RailState::Detached) => self.agent.dock(),
+        }
+    }
+
+    /// 启动时助手栏要做的三件事（从 `on_boot` 搬出来：那边只许留一行调用，复审 P3-6）。
+    ///
+    /// 1. **窗口尺寸 adopt**：唯一真源是 `boot.rs` 开窗时用的那一个（`ULL_WINDOW_SIZE` + 最小尺寸
+    ///    钳位）。`App::with_presenter` 只认识常量 1180×760，不 adopt 的话验收矩阵开 900 / 1520 的窗
+    ///    时页面还按 1180 排版（窄窗里内容被裁）。
+    /// 2. **取证夹具**（`ULL_AGENT_*`）：先落档位，再**跑一轮真提交**——夹具不造消息，消息只能
+    ///    由 presenter 产生（M119 的口径，见 `pages/agent/demo.rs`）。
+    /// 3. **拆出档直接落到独立页**：`ULL_AGENT_RAIL=detached`（以及将来持久化的偏好）时，会话就在
+    ///    独立页里，启动后不该停在实例页。
+    pub(super) fn boot_agent(&mut self) {
+        let (window_size, _source) = crate::renderer::acceptance::window::window_size(
+            (WINDOW_SIZE.width, WINDOW_SIZE.height),
+            (MIN_SIZE.width, MIN_SIZE.height),
+        );
+        self.width = window_size.0;
+        self.height = window_size.1;
+
+        if let Some((ui, fixture)) = demo::from_env() {
+            self.agent = ui;
+            // 先让 presenter 知道「栏现在看得见吗」，再跑提交，未读口径才对
+            self.sync_agent_presenter();
+            match fixture {
+                Fixture::None => {}
+                Fixture::Turn | Fixture::Unread => {
+                    let _ = self.agent_host.submit(demo::DEMO_QUESTION.to_string());
+                    self.drain_agent();
+                }
+                Fixture::Armed => {
+                    // 先跑一轮（写操作脚本会挂一个待确认），再按一次 `Tab`：
+                    // 待确认时这一下只 arm、不移动焦点（见 `AgentUi::step_focus` 的 arming 规则）
+                    let _ = self.agent_host.submit(demo::DEMO_QUESTION.to_string());
+                    self.drain_agent();
+                    let rail = self.agent_host.rail();
+                    let (busy, pending) = (rail.busy, rail.confirm.is_some());
+                    self.agent.step_focus(false, busy, pending);
+                }
+                Fixture::Focused => {
+                    let rail = self.agent_host.rail();
+                    let (busy, pending) = (rail.busy, rail.confirm.is_some());
+                    self.agent.step_focus(false, busy, pending);
+                }
+            }
+        }
+
+        if self.agent.rail == RailState::Detached && self.state.route() != &Route::Agent {
+            eprintln!("[agent] rail=detached → Route::Agent");
+            self.state.navigate(Route::Agent);
+            // 直达独立页时不要再被「自动选中第一条实例」拉回详情页。
+            self.auto_selected = true;
+        }
+    }
+
+    /// 键盘订阅来的按键（`app/subscription.rs` 把整条键盘事件搬过来，解释权在这一层）。
+    ///
+    /// 为什么不让订阅层直接翻成三个枚举：那样 `Escape`/`Tab`/`Enter` 的语义（什么状态下该做什么）
+    /// 会散在订阅表里；这里一眼能看完。
+    fn on_agent_key(&mut self, event: iced::keyboard::Event) -> Task<Message> {
+        let iced::keyboard::Event::KeyPressed { key, modifiers, .. } = event else {
+            return Task::none();
+        };
+
+        let message = match key {
+            Key::Named(key::Named::Escape) => agent::Message::Escape,
+            // 折叠档没有会话动作可巡航，`Tab` 不该被助手栏吃掉
+            Key::Named(key::Named::Tab) if self.agent.rail == RailState::Collapsed => {
+                return Task::none();
+            }
+            Key::Named(key::Named::Tab) => agent::Message::Tab {
+                shift: modifiers.shift(),
+            },
+            // `Activate` 只在软焦点落在**按钮**上时才动手（输入框的 Enter 由
+            // `text_editor::key_binding` 分流成「发送」，不能在这里重复发一次）。
+            //
+            // M119 r1 / P2-2：`Space` 与 `Enter` 等价（键盘用户对确认条的习惯动作是空格）。
+            // 它不会抢输入框里的空格：`activate_focused` 头一行就是 `keyboard_mode` 闸，
+            // 而用鼠标点进输入框时那道闸是关的（`AgentUi::edit` 的 `Click` 分支）。
+            Key::Named(key::Named::Enter | key::Named::Space) => agent::Message::Activate,
+            _ => return Task::none(),
+        };
+
+        self.on_agent(message)
+    }
+
+    /// `Esc` / `⌄`：展开 → 收起；独立页 → 收回右栗并离开 `Route::Agent`。
+    fn collapse_agent(&mut self) {
+        let was_detached = self.agent.rail == RailState::Detached;
+        self.agent.collapse();
+        if was_detached {
+            self.leave_agent_page();
+        }
+    }
+
+    /// 离开 AI 独立页：能回退就回退（`Detach` 是压栈的），否则回实例页。
+    fn leave_agent_page(&mut self) {
+        if self.state.route() != &Route::Agent {
+            return;
+        }
+        if !self.state.back() {
+            self.state.navigate(Route::Instances);
+        }
+    }
+
+    /// 键盘 `Enter`：激活软焦点上的按钮（`Tab` 环的顺序见 [`Focus`]）。
+    ///
+    /// 焦点在 [`Focus::Composer`] 上时**什么都不做**：那一条路径由输入框自己的 `key_binding`
+    /// 负责（按 `Tab` 走到输入框并不等于真的把 iced 焦点交过去，两次发送会打架）。
+    fn activate_focused(&mut self, catalog: Catalog) {
+        // 鼠标刚点过输入框（或从没按过 `Tab`）⇒ 这个 Enter 不归助手栏管
+        if !self.agent.keyboard_mode {
+            return;
+        }
+
+        let intent = match (self.agent.rail, self.agent.focus) {
+            (RailState::Collapsed, Focus::Collapse) => Some(agent::Message::Expand),
+            (RailState::Expanded, Focus::Collapse) => Some(agent::Message::Collapse),
+            (RailState::Expanded, Focus::Detach) | (RailState::Detached, Focus::Detach) => {
+                Some(if self.agent.rail == RailState::Detached {
+                    agent::Message::Dock
+                } else {
+                    agent::Message::Detach
+                })
+            }
+            (_, Focus::ConfirmAllow) => Some(agent::Message::Confirm(true)),
+            (_, Focus::ConfirmDeny) => Some(agent::Message::Confirm(false)),
+            (_, Focus::Send) => Some(agent::Message::Submit),
+            (_, Focus::Stop) => Some(agent::Message::Stop),
+            // 折叠档没有「拆出」、独立页没有「收起」：焦点环按 `Focus::order` 不会落到这两格，
+            // 显式列成 None 只是为了让编译器确认这份 intent 表是穷尽的。
+            (RailState::Collapsed, Focus::Detach)
+            | (RailState::Detached, Focus::Collapse)
+            | (_, Focus::Composer) => None,
+        };
+
+        if let Some(message) = intent {
+            let _ = self.on_agent(message);
+        } else {
+            // 「不得静默无反应」：焦点在输入框上按 Enter 由输入框自己处理，这里只留一行日志。
+            eprintln!(
+                "[agent] Enter on focus={} handled by the composer",
+                self.agent.focus.name()
+            );
+            let _ = catalog;
+        }
+    }
+}

crates/app-iced/src/app/update/agent/tests.rs

@@ -0,0 +1,352 @@
+//! **树测试①（M119 验收核心）**：AI 右栏在**真实 presenter 状态**下渲染。
+//!
+//! 走的是同一条用户路径：`Message::Agent(Submit)` → `AgentHost::submit` → `Presenter::agent_submit`
+//! → transport → 事件队列 → `Message::Agent(Events)` → `Presenter::apply` → `AgentRail`。
+//! **没有一条断言看本地数组**：`transcript` 这类壳自己的会话副本 M119 已经删了，能断言的只剩
+//! presenter 的 rail，而 rail 正是右栏画的东西（`pages/agent::spec` 从它借）。
+//!
+//! 覆盖任务书点名的四件事：
+//!
+//! | 断言 | 抓得住什么 |
+//! |---|---|
+//! | 提交后 rail 出现「你 + 助手」两条、正文来自事件的流式增量 | 提交没接到 presenter、或右栏还在画样本会话 |
+//! | `busy` 翻真 → 收敛后翻假 | 事件没回流、或流式标记没收敛（输入框会永远禁用） |
+//! | 标记已读后未读归零 | `agent_mark_read` 没接、或未读口径没跟着 rail |
+//! | 三种失败都给**具名**横幅 | 失败被吞掉（M104 的「静默无语」）|
+
+use iced::widget::text_editor;
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_i18n::{Catalog, Key, Lang};
+use unlucky_presenter::dto::{AgentEvent, AppEvent, ChatRole};
+use unlucky_presenter::mock::MockBackend;
+use unlucky_presenter::settings_bridge::SettingsBridge;
+
+use iced::keyboard::key::{Code, Named, Physical};
+use iced::keyboard::{key, Location, Modifiers};
+
+use crate::app::state::presenter::transport::Script;
+use crate::app::state::presenter::AgentHost;
+use crate::app::Message;
+use crate::cli::Options;
+use crate::shell::agent::{Focus, Message as AgentMessage, RailState};
+use crate::theme::Families;
+
+use super::App;
+
+const FAMILIES: Families = Families {
+    text: "Segoe UI",
+    display: "Segoe UI",
+    mono: "Consolas",
+};
+
+/// 不碰磁盘的 App（mock 后端 + 内存设置桥 + **本脚本的** presenter 句柄）。
+fn app_with(script: Script) -> App {
+    let mut app = App::with_presenter(
+        Options::default(),
+        FAMILIES,
+        SchemeFlavor::Light,
+        Box::new(MockBackend::new()),
+        SettingsBridge::memory_only(),
+    );
+    app.agent_host = AgentHost::with_script(script);
+    // 换句柄 = 可见性还没写回去；`refresh_view` 是那条单点同步
+    app.refresh_view();
+    app
+}
+
+/// 走真消息提交（用户路径：填草稿 → 点发送）。
+fn submit(app: &mut App, text: &str) {
+    app.agent.draft = text_editor::Content::with_text(text);
+    let _ = app.update(Message::Agent(AgentMessage::Submit));
+}
+
+/// **提交 → 事件回流 → 右栏出现这一轮 → 标记已读归零**（任务书第 2 条）。
+///
+/// 抓得住：①`Submit` 没接 `agent_submit`（rail 空）；②事件没经 Message 通道回流（rail 只有半截）；
+/// ③`expand` 没调 `agent_mark_read`（未读不清）；④右栏读的还是壳自己的副本。
+/// 抓不住：气泡在像素上长什么样（那要出图，见 `DevDocs/artifacts/m119/`）。
+#[test]
+fn a_submitted_turn_lands_in_the_rail_and_reading_it_zeroes_unread() {
+    let mut app = app_with(Script::Qa);
+    // 出厂是折叠档 ⇒ presenter 认为「用户没在看着」，到达的助手消息应计未读
+    assert_eq!(app.agent.rail, RailState::Collapsed);
+    assert_eq!(app.agent_host.rail().unread, 0, "空会话没有未读");
+
+    submit(&mut app, "Which instance should I start?");
+
+    let rail = app.agent_host.rail();
+    assert_eq!(
+        rail.messages.len(),
+        2,
+        "一条「你」+ 一条助手（事件产生，不是本地回显）"
+    );
+    assert_eq!(rail.messages[0].role, ChatRole::User);
+    assert_eq!(rail.messages[0].text, "Which instance should I start?");
+    assert_eq!(rail.messages[1].role, ChatRole::Assistant);
+    assert!(
+        rail.messages[1].text.contains("Fabric"),
+        "正文来自流式增量：{:?}",
+        rail.messages[1].text
+    );
+    assert!(!rail.messages[1].streaming, "Qa 脚本会收敛");
+    assert!(!rail.busy, "收敛之后不忙（发送键要能再按）");
+    assert_eq!(rail.unread, 1, "折叠态到达的一条助手消息 = 一条未读");
+
+    // 右栏画的正是这份 rail（`pages/agent::spec` 直接借它）——构图不 panic
+    let _ = app.view();
+
+    // 打开栏 = 读过：`agent_mark_read`
+    let _ = app.update(Message::Agent(AgentMessage::Expand));
+    assert_eq!(app.agent_host.rail().unread, 0, "标记已读后未读归零");
+    assert_eq!(app.agent_host.rail().messages.len(), 2, "已读不改会话");
+}
+
+/// **busy 正确翻转**：流式中忙 → 后端收敛后不忙。
+///
+/// 抓得住：`busy` 还由壳自己算（那它不会跟 rail 走）；`Events` 通道被当成「只追加消息」而丢掉
+/// `MessageFinished`（输入框会永远禁用——这是最要命的坏法之一）。
+#[test]
+fn busy_flips_with_the_backend_events() {
+    let mut app = app_with(Script::Streaming);
+    submit(&mut app, "hello");
+    assert!(app.agent_host.rail().busy, "流式没收敛前输入要禁用");
+
+    // 后端收敛：一条 `MessageFinished` 经同一条 Message 通道回流
+    let index = app.agent_host.rail().messages.len() - 1;
+    let _ = app.update(Message::Agent(AgentMessage::Events(vec![AppEvent::Agent(
+        AgentEvent::MessageFinished { index },
+    )])));
+    assert!(!app.agent_host.rail().busy, "收敛之后必须能再发");
+}
+
+/// 写操作确认：rail 上有待确认 ⇒ 忙；裁决后收敛并记一条审计。
+#[test]
+fn a_pending_write_op_is_visible_and_decidable() {
+    let mut app = app_with(Script::WriteOp);
+    submit(&mut app, "把下载并发改小");
+
+    let rail = app.agent_host.rail();
+    let request = rail.confirm.as_ref().expect("要挂一个待确认请求");
+    assert_eq!(request.tool, "set_config");
+    assert!(
+        rail.busy,
+        "等确认也算忙（否则用户能在一轮写操作中间再发一句）"
+    );
+    let _ = app.view();
+
+    let _ = app.update(Message::Agent(AgentMessage::Confirm(true)));
+    assert!(app.agent_host.rail().confirm.is_none(), "裁决后清空");
+    assert!(!app.agent_host.rail().busy);
+    assert_eq!(app.agent_host.audit_len(), 1, "裁决要进审计（YOLO 下也是）");
+}
+
+/// 失败态①：**AI 端点不可达** ⇒ 具名横幅（不是静默，也不是把后端原文糊上屏）。
+#[test]
+fn an_unreachable_endpoint_shows_a_named_error() {
+    let mut app = app_with(Script::Unreachable);
+    submit(&mut app, "hello");
+
+    let failure = app.agent_failure().expect("提交失败必须给横幅");
+    // 文案跟着**生效语言**走（`LangState` 在这台机器上探到 zh-CN，硬编码英文会假红）
+    let effective = app.lang().catalog();
+    assert_eq!(failure.title, Key::AgentErrorTitle, "标题是 catalog 键");
+    assert_eq!(failure.body, effective.text(Key::AgentErrorUnavailable));
+    assert!(!failure.body.trim().is_empty());
+    assert!(
+        app.agent_host.rail().messages.is_empty(),
+        "失败不产生消息：不许假装有回复"
+    );
+    let _ = app.view();
+}
+
+/// 失败态②：**未实现路由** ⇒ 另一句具名错误（两种失败不能糊成一句）。
+#[test]
+fn an_unimplemented_route_shows_its_own_named_error() {
+    let mut app = app_with(Script::NotImplemented);
+    submit(&mut app, "hello");
+
+    let failure = app.agent_failure().expect("必须给横幅");
+    let effective = app.lang().catalog();
+    assert_eq!(failure.body, effective.text(Key::AgentErrorNotImplemented));
+    // 两条原因码要两句话（中英两套都得分开），不是一句万能错误
+    for lang in [Lang::En, Lang::ZhCn] {
+        let catalog = Catalog::of(lang);
+        assert_ne!(
+            catalog.text(Key::AgentErrorNotImplemented),
+            catalog.text(Key::AgentErrorUnavailable),
+            "{} 下两条原因码糊成一句了",
+            lang.tag()
+        );
+    }
+}
+
+/// 失败态③：**这一轮回复中途断流** ⇒ 横幅用 presenter 已脱敏的那句原因，已到的增量保留。
+#[test]
+fn a_turn_level_failure_keeps_the_partial_answer_and_the_reason() {
+    let mut app = app_with(Script::FailsMidStream);
+    submit(&mut app, "读一下日志");
+
+    let rail = app.agent_host.rail();
+    // 用户 + 助手（流式占位）+ 系统条目（`Failed` 会额外追加一条，错误也要能回翻）
+    assert_eq!(rail.messages.len(), 3, "断流不撤销已到的增量");
+    assert!(
+        rail.messages[1].text.contains("日志"),
+        "已到的增量要留着：{:?}",
+        rail.messages[1].text
+    );
+    assert!(!rail.busy, "断流要收敛掉流式标记");
+    let failure = app.agent_failure().expect("`Failed` 事件要立横幅");
+    assert!(
+        failure.body.contains("read timeout"),
+        "横幅正文是 presenter 脱敏后的原因：{}",
+        failure.body
+    );
+}
+
+/// 输入框的草稿会同步给 presenter（切形态不丢的语义在 presenter 那边）。
+/// **P2-1**：默认配置下后端是脚本化 rig ⇒ 视图必须知道「这是模拟」（界面据此常驻标记）。
+///
+/// 抓得住：`is_simulated` 被写死成 `false`、或者视图拿不到这个事实（用户就会以为模型接上了）。
+/// 抓不住：标记在像素上长什么样（那要出图，见 `DevDocs/artifacts/m119/08-*`）。
+#[test]
+fn the_default_backend_reports_itself_as_simulated() {
+    let app = app_with(Script::Qa);
+    assert!(
+        app.agent_host.is_simulated(),
+        "脚本化 rig 必须自报「模拟」，否则界面就能假装模型接上了"
+    );
+    // 空会话（最容易被误读成一屏）也要能拿到：视图入参 `Session.simulated` 就是它
+    let session = crate::shell::agent::Session {
+        agent: &app.agent,
+        rail: app.agent_host.rail(),
+        failure: app.agent_failure(),
+        simulated: app.agent_host.is_simulated(),
+    };
+    assert!(session.simulated);
+}
+
+#[test]
+fn typing_syncs_the_draft_into_the_presenter() {
+    let mut app = app_with(Script::Qa);
+    app.agent.draft = text_editor::Content::with_text("half typed");
+    let _ = app.update(Message::Agent(AgentMessage::Edit(
+        text_editor::Action::Edit(text_editor::Edit::Insert('!')),
+    )));
+    assert_eq!(
+        app.agent_host.rail().draft,
+        app.agent.draft.text(),
+        "编辑器里是什么，rail 上就该是什么（同一个串，不是它自己的副本）"
+    );
+    assert!(app.agent_host.rail().draft.contains('!'), "改动真的进去了");
+    // 发送成功后草稿两边都清空
+    let _ = app.update(Message::Agent(AgentMessage::Submit));
+    assert!(app.agent.draft_is_blank(), "编辑器清空");
+    assert!(app.agent_host.rail().draft.is_empty(), "presenter 侧也清空");
+}
+
+/// 手搓一条按键事件（订阅层搬过来的就是它；`on_agent_key` 只看 `KeyPressed`）。
+fn press(named: key::Named) -> iced::keyboard::Event {
+    let key = key::Key::Named(named);
+    iced::keyboard::Event::KeyPressed {
+        key: key.clone(),
+        modified_key: key,
+        physical_key: Physical::Code(Code::Enter),
+        location: Location::Standard,
+        modifiers: Modifiers::default(),
+        text: None,
+        repeat: false,
+    }
+}
+
+/// **P2-2 的回归闸**：不碰鼠标、只用键盘消息，能完成一次写操作确认。
+///
+/// 为什么这条重要：确认条原本只有鼠标路径，而待确认时 `busy` 锁着发送、`Stop` 又走主后端
+/// （清不掉 presenter 的 pending）——键盘用户会在这一步**永久卡死**。
+///
+/// 抓得住：①焦点没主动落到确认条（`Enter` 够不着）；②`Enter` / `Space` 没映射成 `Activate`；
+/// ③`Tab` 环里没有确认条那两格；④裁决完焦点没收回输入框（下一句话打不进去）。
+/// 抓不住：焦点环在像素上的样子（那要出图，见 `DevDocs/artifacts/m119/09-*`）。
+#[test]
+fn a_blocking_confirm_can_be_decided_with_the_keyboard_alone() {
+    let mut app = app_with(Script::WriteOp);
+    submit(&mut app, "把下载并发改小");
+    assert!(
+        app.agent_host.rail().confirm.is_some(),
+        "先要有一个待确认请求"
+    );
+    // ① 焦点主动落在「允许」（阻塞态），但**键盘闸不替用户打开**（复审 r2 / P2-2）
+    assert_eq!(
+        app.agent.focus,
+        Focus::ConfirmAllow,
+        "焦点要落在可操作元素上"
+    );
+    assert!(
+        !app.agent.keyboard_mode,
+        "塔台 r2：不许自动 arm——自动 arm 会让用户随手敲的空格变成「批准」"
+    );
+
+    // ② 第一次 Tab = 「我要用键盘」的表态：只点亮焦点环，**不移动**焦点
+    let _ = app.update(Message::Agent(AgentMessage::Tab { shift: false }));
+    assert!(app.agent.keyboard_mode, "Tab 之后才算 armed");
+    assert_eq!(
+        app.agent.focus,
+        Focus::ConfirmAllow,
+        "arming 的那一次不移动焦点（否则 Enter 会反着裁决）"
+    );
+
+    // ③ Enter = 允许
+    let _ = app.update(Message::Agent(AgentMessage::Key(press(Named::Enter))));
+    assert!(
+        app.agent_host.rail().confirm.is_none(),
+        "Enter 必须真的裁决掉"
+    );
+    assert_eq!(app.agent_host.audit_len(), 1, "裁决进审计");
+    assert_eq!(app.agent.focus, Focus::Composer, "裁决完焦点收回输入框");
+    assert!(!app.agent.keyboard_mode, "阻塞态结束就不再亮焦点环");
+
+    // ④ 第二轮走「Tab 点环 → Tab 走到拒绝 → Space 触发」：键盘用户不必背 Enter 是哪一个
+    submit(&mut app, "那把并发改回来");
+    assert_eq!(app.agent.focus, Focus::ConfirmAllow);
+    let _ = app.update(Message::Agent(AgentMessage::Tab { shift: false }));
+    let _ = app.update(Message::Agent(AgentMessage::Tab { shift: false }));
+    assert_eq!(app.agent.focus, Focus::ConfirmDeny, "Tab 要能走到「拒绝」");
+    let _ = app.update(Message::Agent(AgentMessage::Key(press(Named::Space))));
+    assert!(app.agent_host.rail().confirm.is_none(), "Space 也要能裁决");
+    assert_eq!(app.agent_host.audit_len(), 2);
+}
+
+/// **复审 r2 / P2-2 的反向回归**：没 armed 的时候，空格与回车都不许裁决写操作。
+///
+/// 复审用临时用例复现的路径：WriteOp 提交后（r1 无条件 arm），用户接着打下一句，第一个空格就成了
+/// 「允许」。真实场景里编辑器仍持 iced 焦点，所以这条不是理论问题。
+///
+/// 抓得住：谁把 `sync_confirm_focus` 里的 `keyboard_mode = true` 加回来；谁把 `Space`/`Enter` 的
+/// `Activate` 绕到 `keyboard_mode` 闸之外。
+/// 抓不住：iced 组件树里空格到底有没有进输入框（那要真窗口，出图另算）——这里只断言「没裁决」。
+#[test]
+fn a_stray_space_or_enter_never_approves_a_pending_write() {
+    let mut app = app_with(Script::WriteOp);
+    submit(&mut app, "把下载并发改小");
+    assert!(app.agent_host.rail().confirm.is_some());
+    assert!(!app.agent.keyboard_mode, "待确认不该自动 arm");
+
+    // 用户接着打下一句：先敲一个字符（编辑器自己消化），再敲空格
+    let _ = app.update(Message::Agent(AgentMessage::Edit(
+        text_editor::Action::Edit(text_editor::Edit::Insert('a')),
+    )));
+    let _ = app.update(Message::Agent(AgentMessage::Key(press(Named::Space))));
+    assert!(
+        app.agent_host.rail().confirm.is_some(),
+        "未 armed 时空格不许批准写操作"
+    );
+    assert_eq!(app.agent_host.audit_len(), 0, "也不许留下审计");
+
+    // 回车同理：未 armed 时它归编辑器（发送键），不归确认条
+    let _ = app.update(Message::Agent(AgentMessage::Key(press(Named::Enter))));
+    assert!(
+        app.agent_host.rail().confirm.is_some(),
+        "未 armed 时回车不许批准写操作"
+    );
+    assert_eq!(app.agent_host.audit_len(), 0);
+}

crates/app-iced/src/app/update/appearance.rs

@@ -0,0 +1,81 @@
+//! M116：窗口圆角的下发落点（`impl App::apply_window_corner`）。
+//!
+//! ## 为什么单独成文件
+//!
+//! 圆角与整窗 α 是**两条独立的管线**，只是都必须拿到 HWND、都在同一个时点下发：
+//!
+//! | 管线 | 判据 | 落点 | 键 |
+//! |---|---|---|---|
+//! | 整窗 α（D36） | `platform::effective_window_alpha` | `SetLayeredWindowAttributes` | `appearance.window_opacity` |
+//! | 圆角（M116） | `platform::plan_corner` | `DwmSetWindowAttribute` | `appearance.window_corner` |
+//!
+//! 合在一个函数里会让「α 变了要不要重设圆角」这种问题变成实现细节；分开之后两个判据各自可测。
+//!
+//! ## 日志为什么是**一行、六栏**
+//!
+//! `corner=policy=… source=dwm|square os=… excluded_reason=… radius=system pref=… readback=… frame=… layered=…`
+//!
+//! 用户报的现象是「别的窗口都有圆角，只有我们的没有」。没有这一行，事后无法区分
+//! 「没生效」「生效了但看不见」「这台系统根本没有这个能力」；`frame` / `layered` 两栏则是
+//! 「圆角为什么不生效」的两个现场读数：`frame=`（窗口形状）与 `layered=`（整窗 α 引入的分层位）。
+//!
+//! ⚠️ **产品窗口不是 `WS_POPUP`**（M116 r4 复审订正）：winit 在 `decorations = false` 下给的是
+//! `WS_CAPTION|WS_BORDER|WS_CLIPSIBLINGS|WS_SYSMENU`（可缩放时再加 `WS_THICKFRAME` 与 min/max 键），
+//! `WS_POPUP` 只在**带 owner** 的弹出窗才加；无边框观感来自 `WM_NCCALCSIZE` 把客户区铺满。
+//! 所以真进程日志里 `frame=` 应是 `overlapped`（关掉 min/max 则 `other`），**永远不会是 `popup`**。
+//! 真正让系统忽略圆角请求的是**整窗 α 补的 `WS_EX_LAYERED`**（`layered=on`）。
+//!
+//! `radius=system` 是刻意的：系统不暴露 DWM 的圆角半径，我们也不自己定一个数字
+//! （M116 取消了 8/12/16 固定档）。
+
+use crate::platform;
+use crate::platform::win32::corner::{self, CornerApplied};
+use crate::platform::win32::transparency::{apply_corner, style_summary, CornerOutcome};
+
+use super::super::state::App;
+
+impl App {
+    /// 把当前圆角策略下发到窗口，并打一行可分辨的日志。
+    ///
+    /// ## 去重（M116 r1 复审 P2-4）
+    ///
+    /// 设置页的滑条（整窗 α / 面板 α / 暗化）每动一下都会走一次外观变更，而<b>圆角与那些键无关</b>。
+    /// 判定完全没变时这里**直接返回**：不动窗口、不打日志。判据是
+    /// [`corner::needs_redispatch`]（纯函数，有「同一策略 N 次只记 1 行」的测试），
+    /// 指纹只含「策略 / 来源 / 原因码 / 有没有句柄」，不含只有真下发才拿得到的读数。
+    ///
+    /// 没有句柄时**也打日志**（`window=none`）：不能让「没生效」只体现为屏幕上没变化。
+    /// 句柄从无到有会让指纹变化 ⇒ 首次拿到 HWND 时必然重下一次。
+    pub(crate) fn apply_window_corner(&mut self, context: &str) {
+        let policy = self.appearance.window_corner();
+        let plan = platform::plan_corner(
+            policy,
+            platform::current_windows_version(),
+            self.appearance.backend,
+        );
+        // 整窗 α < 1 ⇒ `window_alpha::dispatch` 会给窗口补 `WS_EX_LAYERED`；系统因此忽略圆角请求
+        // （tower 裁定 A / D47）。这里只记**事实**：α 是否把我们自己的分层位打开了。
+        let alpha_layered = self.appearance.window_opacity < 1.0;
+        let suppressed_by = alpha_layered.then_some("window_alpha");
+        let next = CornerApplied::new(policy, &plan, self.hwnd.is_some(), alpha_layered);
+        if !corner::needs_redispatch(self.corner_applied.as_ref(), &next) {
+            return;
+        }
+        self.corner_applied = Some(next);
+
+        // 行的形状只有一处（`corner::format_line`），因为那里能在没有窗口的环境里被单测钉住。
+        // 关键的三栏必须在同一行：`pref=`（请求发出去了）、`layered=`（分层位在不在，来自
+        // 整窗 α）、`frame=`（窗口形状 = `overlapped`，不是 `popup`）——否则以后只能猜是哪一条。
+        let (outcome, style) = match self.hwnd {
+            Some(hwnd) => (apply_corner(hwnd, &plan).describe(), style_summary(hwnd)),
+            None => (
+                CornerOutcome::NoWindow.describe(),
+                "frame=? layered=?".to_owned(),
+            ),
+        };
+        eprintln!(
+            "{}",
+            corner::format_line(context, &plan, policy, &outcome, &style, suppressed_by)
+        );
+    }
+}

crates/app-iced/src/app/update/boot_env.rs

@@ -0,0 +1,26 @@
+//! 启动期的取证环境变量解析（`ULL_START_ROUTE`）。
+//!
+//! 从 `app/update.rs` 原样搬出（那个文件在 M105/M106/M109/M113 之后贴着 400 行硬线）：
+//! **纯函数、无状态**，只是取值表长到了七条。
+
+use unlucky_presenter::router::Route;
+
+/// 取证开关 `ULL_START_ROUTE` 的取值解析（`settings` / `instances` / `download` / `content` / `logs`）。
+///
+/// 为什么是环境变量：`crates/app-iced/src/cli.rs` 不在 M93 的 scope，而外观矩阵必须在**设置页**上
+/// 出图。语义与 `ULL_APPEARANCE_*` / `ULL_TICK_TRACE` 一致：只影响这一次进程。
+pub(super) fn env_start_route() -> Option<Route> {
+    match std::env::var("ULL_START_ROUTE").ok()?.trim() {
+        "instances" => Some(Route::Instances),
+        "download" => Some(Route::Download),
+        "logs" => Some(Route::Logs),
+        "settings" => Some(Route::Settings),
+        // M104：AI 独立页也要能直达（三态矩阵的 Detached 那张）
+        "agent" => Some(Route::Agent),
+        // M109：内容库（截图矩阵要能直达；页面内的四条侧栏不在路由里）
+        "content" => Some(Route::Content),
+        // M114：账户页的 D30 矩阵要能直达（`cli.rs` 不在本 mission 的 scope）
+        "accounts" => Some(Route::Accounts),
+        _ => None,
+    }
+}

crates/app-iced/src/app/update/clock.rs

@@ -0,0 +1,157 @@
+//! 节拍：推进一拍 / 派发指令 / 抽干事件（M119 从 `update.rs` 拆出来守 400 行硬线；纯搬不改）。
+//!
+//! ## 为什么这三件必须在一起
+//!
+//! `advance` → `pump` → `apply` → `refresh_view` 是同一条链：时间推进、事件抽干、状态落地、
+//! 视图重建。拆开看每一段都无害，合起来才是「presenter 的异步事件在 UI 侧怎么被消费」的答案。
+//!
+//! ## 两个时钟的相位（M90 r3 / P2-2 的老账，代码里有细节）
+//!
+//! | 场景 | 时钟 | 周期 |
+//! |---|---|---|
+//! | 截图 / 有 Busy-Running 实例 / 有 toast / 派发后 3 s 观察窗 | `window::frames()` + 闸门 | 33 ms |
+//! | 其余（空闲） | `Heartbeat` 自续链 | 1 s |
+//!
+//! ## M119 增加了什么
+//!
+//! [`App::pump`] 里多了一行 [`App::drain_agent`]：AI 助手的事件队列和 core 的事件队列同拍抽干，
+//! 于是「右栗的未读/流式状态」和页面快照共享同一个刷新节奏（不会一个 30 Hz、一个 1 Hz）。
+
+use std::time::{Duration, Instant};
+
+use unlucky_presenter::dto::AppCommand;
+use unlucky_presenter::theme::CONFIG_POLL_TICKS;
+
+use super::super::state::TICK_MS;
+use super::*;
+
+impl App {
+    /// 推进一拍：后端消化时间 → 抽干事件 → 过期 toast → 偶发重读配置文件。
+    ///
+    /// `elapsed` 是真实流逝时间（毫秒级抖动是正常的：`MockBackend` 的脚本按累计时长走）。
+    pub(in crate::app) fn advance(&mut self, elapsed: Duration) {
+        self.backend.tick(elapsed);
+        self.pump();
+
+        self.state
+            .toasts
+            .expire(u64::try_from(elapsed.as_millis()).unwrap_or(u64::MAX));
+
+        // 设备码/授权码的倒计时（M114）：等待态每秒都要重画一次，否则「剩 900s」永远不动，
+        // 用户会以为卡死了——这正是任务里「不得只转圈」的那一条。
+        if self.state.device_login.phase == unlucky_presenter::dto::DeviceLoginPhase::Waiting {
+            self.view_dirty = true;
+        }
+        // `ticks` 的单位是**33 ms 的一拍**，不是「advance 被调了几次」：空闲心跳一次跨 1 s，
+        // 要记 30 拍，这样 `theme::config_poll_due`（30 拍 ≈ 1 秒）在两种时钟下语义一致。
+        let ticks = elapsed.as_millis().div_euclid(u128::from(TICK_MS));
+        let ticks = u64::try_from(ticks).unwrap_or(u64::MAX).max(1);
+        let bucket_before = self.ticks / 30;
+        self.ticks += ticks;
+        let bucket_after = self.ticks / 30;
+
+        // 外部（AI / CLI）改了配置文件：主题跟着换，其余外观项等玻璃/背景 mission。
+        //
+        // 判据用**跨越**而不是 presenter 的 `config_poll_due(ticks)`（整除）：两个时钟的相位不同
+        // （帧节拍按 33 ms 累加、空闲心跳按 30 拍累加），整除判定一旦错过一次就**再也命中不了**
+        // ——实测 ticks=137 之后每拍 +30 永远不整除，配置轮询静默死掉。间隔真源仍是
+        // `CONFIG_POLL_TICKS`（30 拍 × 33 ms ≈ 1 秒）。截图通道不轮询（D30 可复现）。
+        let poll_due = self.ticks >= self.config_due_at;
+        if poll_due {
+            // 追到「当前 ticks 之后的第一个间隔点」，避免心跳把相位拖飞
+            self.config_due_at = self.ticks + CONFIG_POLL_TICKS;
+        }
+        let reloaded =
+            !self.has_screenshot() && poll_due && self.bridge.reload_if_changed().is_some();
+        if reloaded {
+            eprintln!("[settings] 配置文件变了，重读主题 + 外观");
+            self.apply_config_theme();
+            // M93：外观也热切（面板 α / 背景图 / 配色来源 / 整窗 α 都在里面）。
+            self.reload_appearance();
+        }
+
+        if self.view_dirty {
+            self.refresh_view();
+        }
+
+        // 取证开关（`ULL_TICK_TRACE=1`）：每跨过 30 拍（≈1 秒）打一行。
+        // 忙碌态由帧节拍跨桶（≈1 行/秒），空闲态由心跳一次 +30 跨桶（**也是 1 行/秒**）——
+        // 两种时钟都用同一把尺子，所以 trace 的密度本身就是「时钟在跑」的证据。
+        if bucket_after != bucket_before && std::env::var_os("ULL_TICK_TRACE").is_some() {
+            eprintln!(
+                "[tick] n={} frames={} refreshes={} clock={}",
+                self.ticks,
+                self.frames,
+                self.refreshes,
+                if self.needs_frames() {
+                    "frames"
+                } else {
+                    "idle-1hz"
+                }
+            );
+        }
+    }
+
+    /// 派发一条指令并**立刻**抽干它带出来的事件（不本地回显，等价于 Slint 版的 `dispatch`）。
+    pub(in crate::app) fn dispatch(&mut self, command: AppCommand) {
+        self.backend.dispatch(command);
+        // 观察窗：命令发出后 3 秒内保持帧订阅，等后端把第一条事件交回来
+        // （真 host 是异步的，派发瞬间状态还没变；不设这个窗口，空闲态的帧订阅永远不会打开）。
+        self.watch_until = Some(Instant::now() + WATCH_WINDOW);
+        self.pump();
+    }
+
+    /// 抽干事件队列并逐条 `apply`（**唯一**的状态写入口）。
+    pub(in crate::app) fn pump(&mut self) {
+        // M119：AI 助手的事件队列与 core 的事件队列**同拍**抽干（顺序无关：两个队列互不依赖）。
+        // 抽出来的这批事件经 `Message::Agent(Events)` 回流，见 `update/agent.rs`。
+        self.drain_agent();
+
+        let events = self.backend.drain_events();
+        if events.is_empty() {
+            return;
+        }
+        let mut clean_scan = false;
+        for event in events {
+            // M160：预检之后**没有冲突**就不打扰用户——直接带着"全部保留"往下导。
+            if matches!(
+                &event,
+                unlucky_presenter::dto::AppEvent::Core(unlucky_presenter::dto::CoreEvent::Pack(
+                    pack
+                )) if matches!(&**pack, unlucky_presenter::dto::PackEvent::Scan(scan) if scan.is_clean())
+            ) {
+                clean_scan = true;
+            }
+            self.state.apply(event);
+        }
+        self.view_dirty = true;
+        self.auto_select();
+        self.refresh_view();
+        // 派发放在循环之后：`dispatch` 自己会再 pump 一次，在循环里调会把事件顺序搅乱。
+        if clean_scan {
+            self.continue_import_after_clean_scan();
+        }
+    }
+
+    /// 首屏快照到位后**自动选中第一行**（桌面 list-detail 的惯例：右栏不该开局就是空的）。
+    ///
+    /// 只做一次：用户点「返回」回到列表后，再刷新实例列表也不会把他弹回详情页。
+    /// 选中这件事走的是 `AppState::navigate`（路由栈），不是本地选中字段——于是「当前选中」
+    /// 永远等于「路由栈顶」，用户点返回时栈语义自然成立。
+    pub(in crate::app) fn auto_select(&mut self) {
+        if self.auto_selected || self.state.route() != &Route::Instances {
+            return;
+        }
+        let Some(first) = self
+            .state
+            .tiles()
+            .first()
+            .map(|cell| cell.instance.id.clone())
+        else {
+            return;
+        };
+        self.auto_selected = true;
+        self.state.navigate(Route::Detail(first));
+        self.view_dirty = true;
+    }
+}

crates/app-iced/src/app/update/content.rs

@@ -0,0 +1,200 @@
+//! 内容库页的消息落点（M109）：`pages::Message::Content(..)` 的穷尽分发。
+//!
+//! ## 两件事分开（与 `update/download.rs` 同一条纪律）
+//!
+//! | 意图 | 谁改状态 | 派指令吗 |
+//! |---|---|---|
+//! | 关键词草稿 / 选中项目 / 目标实例 | `App::content`（页面内选择） | 不派 |
+//! | 检索条件（类型/来源/排序/版本/加载器/关键词提交/翻页/重试） | `AppState::content`（presenter） | 派 `SearchContent` |
+//! | 装入 | 谁都不改 | 派 `InstallContent` |
+//!
+//! 「装入」不改本地状态是关键：装上的证据是 `InstallProgress` 事件回流到安装面板
+//! （`pages/download::install_panel`），页面自己不做乐观回显。
+//!
+//! ## 为什么条件写进 presenter 再派
+//!
+//! `AppState::content.query` 是「当前结果对应哪份条件」的唯一真相：结果回来时
+//! `apply_content` 用它判「迟到的事件要不要丢」。页面自己存一份就会有两份真相。
+
+use unlucky_presenter::dto::{
+    AppCommand, ContentInstallRequest, ContentQuery, ContentSource, ExportRequestView,
+};
+
+use crate::pages::content::{Blocker, Content};
+
+use super::*;
+
+impl App {
+    /// 进入内容库页时补一次检索（首个用户动作不该是「再点一下搜索」）。
+    ///
+    /// 判据是 `AppState::content` 里还没有结果、也没有请求在飞：重复进出不重复打网络。
+    pub(super) fn ensure_content_loaded(&mut self) {
+        if self.state.content.results.is_some() || self.state.content.pending {
+            return;
+        }
+        let query = ContentQuery::first(self.content.kind);
+        self.search_content(query);
+    }
+
+    /// 页面消息（穷尽分发：漏一支报 E0004）。
+    pub(super) fn on_content(&mut self, message: pages::content::Message) -> Task<Message> {
+        match message {
+            pages::content::Message::SetKind(kind) => {
+                // 换类型 = 换一份条件（facet 全变）：选中项作废，条件回到该类型的首页
+                self.content.kind = kind;
+                self.content.selected = None;
+                let mut query = ContentQuery::first(kind);
+                // 保留用户已经选好的来源/排序/版本/加载器：换成默认值会让筛选条自己跳回去
+                query.source = self.state.content.query.source;
+                query.sort = self.state.content.query.sort;
+                query.game_version = self.state.content.query.game_version.clone();
+                query.loader = self.state.content.query.loader;
+                self.search_content(query);
+            }
+            pages::content::Message::QueryChanged(text) => {
+                self.content.draft = text;
+                self.view_dirty = true;
+            }
+            pages::content::Message::Search => {
+                let mut query = self.state.content.query.clone();
+                query.text = self.content.draft.trim().to_string();
+                query.offset = 0;
+                self.search_content(query);
+            }
+            pages::content::Message::SetSource(source) => {
+                if source == ContentSource::Curseforge && !self.curseforge_available() {
+                    // 筛选条那条本来就是禁用的；这里再挡一次（防绕过 UI 的消息）
+                    return Task::none();
+                }
+                self.with_query(|query| query.source = source);
+            }
+            pages::content::Message::SetSort(sort) => self.with_query(|query| query.sort = sort),
+            pages::content::Message::SetVersion(version) => {
+                self.with_query(|query| query.game_version = version);
+            }
+            pages::content::Message::SetLoader(loader) => {
+                self.with_query(|query| query.loader = loader)
+            }
+            pages::content::Message::Select(id) => {
+                self.content.selected = Some(id);
+                self.view_dirty = true;
+            }
+            pages::content::Message::SetTarget(id) => {
+                self.content.target = Some(id);
+                self.view_dirty = true;
+            }
+            pages::content::Message::LoadMore => {
+                let next = self.state.content.query.next_page();
+                self.search_content(next);
+            }
+            pages::content::Message::Retry => {
+                let mut query = self.state.content.query.clone();
+                query.offset = 0;
+                self.search_content(query);
+            }
+            pages::content::Message::Install => {
+                if let Some(request) = self.content_install_request() {
+                    self.dispatch(AppCommand::InstallContent(Box::new(request)));
+                }
+            }
+            // M113: import/export —— 导入/导出区（细节在 `on_pack`）
+            pages::content::Message::Pack(message) => self.on_pack(message),
+        }
+        Task::none()
+    }
+
+    /// 组一份导出请求（预检与写盘**共用同一份**，确认时原样发回）。
+    ///
+    /// 没有选中实例就没有导出对象 ⇒ `None`。**「Save to」必须真的进请求**
+    /// （复审 r1 P1-1：以前这里硬编码 `target: None`，那个输入框是死的）。
+    pub(super) fn pack_export_request(&self) -> Option<ExportRequestView> {
+        let instance = self.content.pack.instance.clone()?;
+        Some(pages::content::request_export(
+            &self.content.pack,
+            &instance,
+        ))
+    }
+
+    /// 拖入一个文件/目录（`app/update.rs` 的窗口事件转发到这里）。
+    pub(super) fn on_pack_dropped(&mut self, path: std::path::PathBuf) -> Task<Message> {
+        // 拖入是「现在就要看到结果」的动作：先把用户带到内容库页，再落草稿
+        self.state
+            .navigate(unlucky_presenter::router::Route::Content);
+        self.on_pack(pages::content::PackMessage::Dropped(path));
+        self.refresh_view();
+        Task::none()
+    }
+
+    /// 拖拽悬停状态（有文件在窗口上方时高亮入口）。
+    pub(super) fn on_pack_hover(&mut self, hover: bool) -> Task<Message> {
+        // 状态没变就不重画：winit 对同一批文件会连发几次 hover 事件
+        let changed = self.content.pack.hover != hover;
+        self.on_pack(pages::content::PackMessage::Hover(hover));
+        if changed {
+            self.refresh_view();
+        }
+        Task::none()
+    }
+
+    /// 改一个筛选字段并**立刻重查**（第一页）。
+    fn with_query(&mut self, change: impl FnOnce(&mut ContentQuery)) {
+        let mut query = self.state.content.query.clone();
+        change(&mut query);
+        query.offset = 0;
+        self.search_content(query);
+    }
+
+    /// 提交一次检索：条件先落进 presenter（迟到事件的判据），再派指令。
+    fn search_content(&mut self, query: ContentQuery) {
+        self.state.set_content_query(query.clone());
+        self.view_dirty = true;
+        self.dispatch(AppCommand::SearchContent(query));
+    }
+
+    /// CF 源可用吗（结果里带回的那一位；还没拉过 ⇒ `false`）。
+    fn curseforge_available(&self) -> bool {
+        self.state
+            .content
+            .results
+            .as_ref()
+            .is_some_and(|results| results.curseforge)
+    }
+
+    /// 组一份内容库的「装入」请求；闸门与页面上的按钮**同一个判据**（`Content::can_install`）。
+    ///
+    /// 名字带 `content_`：M105 的版本安装已经占了 `install_request`（版本 → `CreateRequest`），
+    /// 两者语义完全不同，撞名会被编译器拦下（本轮 rebase 撞过）。
+    ///
+    /// 这里再判一次不是重复劳动：页面禁用的只是那一个按钮，消息仍然可能从别的路径进来，
+    /// 而 host 侧对整合包会直接回失败——三道闸门同一个结论，才不会出现「有的路能过」。
+    fn content_install_request(&self) -> Option<ContentInstallRequest> {
+        let catalog = unlucky_i18n::Lang::En.catalog();
+        let model = Content::from_snapshot(&self.state, &self.content, catalog);
+        if !model.can_install() {
+            // 有原因就打印出来（取证用）；没有选中项时什么都不做
+            for reason in model.blocker_reasons(catalog) {
+                eprintln!("[content] 装入被挡下：{reason}");
+            }
+            if model.blockers.contains(&Blocker::NeedsPipeline) {
+                eprintln!("[content] 整合包装入未实现（M111）");
+            }
+            return None;
+        }
+        let hit = model.selected_hit()?;
+        let target = model
+            .targets
+            .iter()
+            .find(|target| Some(&target.id) == model.target.as_ref())?;
+        Some(ContentInstallRequest {
+            project: hit.id.clone(),
+            title: hit.title.clone(),
+            // 整合包走不到这里：`ContentKind::Modpack` 的 `dir()` 是 `None` ⇒ 必然带
+            // `Blocker::NeedsPipeline` ⇒ `can_install()` 为假。所以这里就是「单文件」那一类。
+            kind: model.kind,
+            source: hit.source,
+            instance: target.id.clone(),
+            game_version: target.mc_version.clone(),
+            loader: target.loader,
+        })
+    }
+}

crates/app-iced/src/app/update/content_pack.rs

@@ -0,0 +1,240 @@
+//! 整合包导入/导出区的消息落点（M113 + M160）：**从 `content.rs` 拆出来守 400 行硬线**。
+//!
+//! ## 为什么单独一个文件
+//!
+//! M160 给这一区加了预检、冲突清单、逐项决策三条通道，`content.rs` 到 409 行越线。拆的口径与
+//! 仓库其它拆分一致：**纯搬移**，`on_pack` 及其私有 helper（组请求）原样搬过来，别处一行不改。
+//!
+//! ## 两条口径（与原来同一句）
+//!
+//! 1. **页内选择改本地状态**（路径草稿 / 目标实例 / 格式 / 包名 / 展开的冲突）——它们不属于业务
+//!    状态，不进 presenter；
+//! 2. **意图只派指令，不做乐观回显**（导入 / 预检 / 确认 / 关面板）：进度、报告、预检结果全部由
+//!    `CoreEvent::Pack` 回来（`dto::pack::event` 的 `PackState::apply` 是唯一写入点）。
+//!
+//! ## M160 加的那条纪律
+//!
+//! 点「导入」先发 `PackCommand::Scan`（只读），拿到 `PackEvent::Scan` 之后：**没有冲突就直接往下导**
+//! （`clock::pump` 里的 `continue_import_after_clean_scan`），有冲突才画清单等用户点头。决策的缺省
+//! 档永远是 `KeepAll`——没问过用户就不会覆盖。
+
+use unlucky_presenter::dto::{
+    AppCommand, ConflictChoiceView, ConflictDecisionsView, ImportRequestView, PackCommand,
+};
+
+use crate::pages;
+
+use super::*;
+
+impl App {
+    /// 导入/导出区的消息（M113）。
+    ///
+    /// 两条口径：
+    ///
+    /// 1. **页内选择改本地状态**（路径草稿 / 目标实例 / 格式 / 包名 / 展开的冲突）——
+    ///    它们不属于业务状态，不进 presenter（同 `QueryChanged` 的处理）；
+    /// 2. **意图只派指令，不做乐观回显**（导入 / 预检 / 确认写盘 / 关面板）：进度、报告、预检结果
+    ///    全部由 `CoreEvent::Pack` 回来（`dto::pack::event` 的 `PackState::apply` 是唯一写入点）。
+    pub(super) fn on_pack(&mut self, message: pages::content::PackMessage) {
+        use pages::content::PackMessage;
+        match message {
+            PackMessage::Dropped(path) => {
+                // 拖进来的包属于「整合包」这一类：顺手把类型切过去，否则这一块根本不在屏上
+                self.content.kind = unlucky_presenter::dto::ContentKind::Modpack;
+                self.content.pack.draft = path.display().to_string();
+                self.content.pack.hover = false;
+                self.view_dirty = true;
+            }
+            PackMessage::Hover(hover) => {
+                self.content.pack.hover = hover;
+                self.view_dirty = true;
+            }
+            PackMessage::PathChanged(path) => {
+                self.content.pack.draft = path;
+                self.view_dirty = true;
+            }
+            PackMessage::SetInstance(instance) => {
+                self.content.pack.instance = instance;
+                self.view_dirty = true;
+            }
+            PackMessage::SetInstanceName(name) => {
+                self.content.pack.instance_name = name;
+                self.view_dirty = true;
+            }
+            PackMessage::SetFormat(format) => {
+                self.content.pack.format = format;
+                self.view_dirty = true;
+            }
+            PackMessage::SetExportName(name) => {
+                self.content.pack.export_name = name;
+                self.view_dirty = true;
+            }
+            PackMessage::SetExportVersion(version) => {
+                self.content.pack.export_version = version;
+                self.view_dirty = true;
+            }
+            PackMessage::SetOutput(path) => {
+                self.content.pack.output = path;
+                self.view_dirty = true;
+            }
+            PackMessage::ToggleConflict(path) => {
+                self.content.pack.expanded = if self.content.pack.expanded.as_deref() == Some(&path)
+                {
+                    None
+                } else {
+                    Some(path)
+                };
+                self.view_dirty = true;
+            }
+            PackMessage::OpenExport => {
+                self.content.pack.export_open = true;
+                // 包名缺省取目标实例名（用户不该为一个名字再敲一遍键盘）
+                if self.content.pack.export_name.trim().is_empty() {
+                    self.content.pack.export_name =
+                        self.content.pack.instance.clone().unwrap_or_default();
+                }
+                self.view_dirty = true;
+            }
+            PackMessage::AbortExport => {
+                self.content.pack.export_open = false;
+                // 连预检结果一起清：留着会让用户以为「还能再点一次确认」
+                self.dispatch(AppCommand::Pack(Box::new(PackCommand::Dismiss)));
+                self.view_dirty = true;
+            }
+            PackMessage::Dismiss => {
+                // 报告 / 探测诊断 / 预检都在 presenter 里：关面板 = 让 host 清掉它们
+                // （`PackEvent::Cleared`），于是界面回到入口态，浏览网格重新露出来
+                self.content.pack.expanded = None;
+                self.dispatch(AppCommand::Pack(Box::new(PackCommand::Dismiss)));
+                self.view_dirty = true;
+            }
+            PackMessage::Import => {
+                // 先预检（M160）：没有冲突就直接导，有冲突就把清单画出来等用户点头。
+                self.content.pack.pick_page = 0;
+                self.content.pack.pick_choices.clear();
+                self.content.pack.pick_overwrite_all = false;
+                if let Some(request) = self.pack_import_request() {
+                    self.dispatch(AppCommand::Pack(Box::new(PackCommand::Scan(Box::new(
+                        request,
+                    )))));
+                }
+            }
+            PackMessage::PickPage(page) => {
+                self.content.pack.pick_page = page;
+                self.view_dirty = true;
+            }
+            PackMessage::TogglePick(path) => {
+                // 点一下就翻到另一侧，并把结果**原样记进表里**（保留也记）。
+                // 表里为什么保留"保留"项：整批覆盖之后单独放回某几条时，「保留」必须能盖住
+                // 整批档；等到发请求时 `PackPageState::decisions` 再把"与缺省档相同"的项过滤掉
+                // （所以"一次都没点过"仍然等于 `KeepAll`）。
+                let choice = self.content.pack.pick_choice(&path);
+                let flipped = match choice {
+                    ConflictChoiceView::KeepUser => ConflictChoiceView::Overwrite,
+                    ConflictChoiceView::Overwrite => ConflictChoiceView::KeepUser,
+                };
+                self.content.pack.pick_choices.insert(path, flipped);
+                self.view_dirty = true;
+            }
+            PackMessage::PickKeepAll => {
+                self.content.pack.pick_overwrite_all = false;
+                self.content.pack.pick_choices.clear();
+                self.view_dirty = true;
+            }
+            PackMessage::PickOverwriteAll => {
+                self.content.pack.pick_overwrite_all = true;
+                self.content.pack.pick_choices.clear();
+                self.view_dirty = true;
+            }
+            PackMessage::ConfirmImport => {
+                let decisions = self
+                    .content
+                    .pack
+                    .decisions(self.state.pack.import.scan.as_ref());
+                if let Some(request) = self.pack_import_request_with(decisions) {
+                    self.dispatch(AppCommand::Pack(Box::new(PackCommand::Import(Box::new(
+                        request,
+                    )))));
+                }
+            }
+            PackMessage::CancelImport => {
+                // 取消 = 什么都不导（预检是只读的，没有东西要撤）
+                self.content.pack.pick_page = 0;
+                self.content.pack.pick_choices.clear();
+                self.content.pack.pick_overwrite_all = false;
+                self.dispatch(AppCommand::Pack(Box::new(PackCommand::Dismiss)));
+                self.view_dirty = true;
+            }
+            PackMessage::Overwrite => {
+                // 「以包为准重新导入」：这条是**导入之后**从报告里点的，所以直接带整批覆盖再跑一遍。
+                if let Some(request) =
+                    self.pack_import_request_with(ConflictDecisionsView::OverwriteAll)
+                {
+                    self.dispatch(AppCommand::Pack(Box::new(PackCommand::Import(Box::new(
+                        request,
+                    )))));
+                }
+            }
+            PackMessage::Cancel => {
+                // 与面板上那个「取消」同一个指令：host 会把导入的取消标记与代次一起处理
+                self.dispatch(AppCommand::CancelInstall);
+            }
+            PackMessage::Precheck => {
+                if let Some(request) = self.pack_export_request() {
+                    // 先记下「这次预检对的是哪份请求」，确认写盘时原样发回
+                    self.state.pack.set_export_request(request.clone());
+                    self.view_dirty = true;
+                    self.dispatch(AppCommand::Pack(Box::new(PackCommand::Export(Box::new(
+                        request,
+                    )))));
+                }
+            }
+            PackMessage::Confirm => {
+                if let Some(request) = self.state.pack.export.request.clone() {
+                    self.dispatch(AppCommand::Pack(Box::new(PackCommand::Confirm(Box::new(
+                        request,
+                    )))));
+                }
+            }
+        }
+    }
+
+    /// 预检干净（没有冲突）时直接往下导。
+    ///
+    /// 这条是"不打扰不该打扰的文件"的另一半：清单为空时弹一屏"共 0 项冲突"只会让人以为出错了。
+    /// 决策固定给 [`ConflictDecisionsView::KeepAll`]——即使预检与导入之间磁盘上突然多出个同名文件，
+    /// 结论也只会是"保留用户的"。
+    pub(in crate::app) fn continue_import_after_clean_scan(&mut self) {
+        if let Some(request) = self.pack_import_request_with(ConflictDecisionsView::KeepAll) {
+            self.dispatch(AppCommand::Pack(Box::new(PackCommand::Import(Box::new(
+                request,
+            )))));
+        }
+    }
+
+    /// 组一份导入请求（路径草稿 → DTO）。草稿为空 ⇒ `None`（按钮不该发指令）。
+    ///
+    /// **决策缺省是「全部保留」**（[`ConflictDecisionsView::default`]）：预检时还不知道有没有冲突，
+    /// 而 core 侧那份缺省同样落在保留上——所以"还没问过用户"绝不会变成"覆盖"。
+    fn pack_import_request(&self) -> Option<ImportRequestView> {
+        self.pack_import_request_with(ConflictDecisionsView::default())
+    }
+
+    /// 组一份带决策的导入请求（逐项 / 整批都从这里出去）。
+    fn pack_import_request_with(
+        &self,
+        decisions: ConflictDecisionsView,
+    ) -> Option<ImportRequestView> {
+        let draft = self.content.pack.draft.trim();
+        if draft.is_empty() {
+            return None;
+        }
+        let name = self.content.pack.instance_name.trim();
+        Some(ImportRequestView {
+            pack: std::path::PathBuf::from(draft),
+            instance: self.content.pack.instance.clone(),
+            instance_name: (!name.is_empty()).then(|| name.to_string()),
+            decisions,
+        })
+    }
+}

crates/app-iced/src/app/update/download.rs

@@ -0,0 +1,381 @@
+//! 下载页在 app 层的那几支（M94；M105 补上安装选项）。
+//!
+//! 为什么单独一个文件：M93（外观三件套接线）合入后 `update.rs` 已经贴到 400 行，下载页再往里塞
+//! 几个 arm 就顶破硬线；拆出来是既不动 M93 的代码、又能守住 ≤400 的办法（`app/update/**` 属本
+//! mission scope）。
+//!
+//! ## 各支各自的纪律（M105 后的口径）
+//!
+//! | 消息 | 落点 | 为什么 |
+//! |---|---|---|
+//! | [`pages::Message::SelectVersion`] | 只改**草稿** | 选中是页面内状态，不是业务命令；顺手清掉加载器版本（换了原版版本，旧版本号几乎必然不适用） |
+//! | [`pages::Message::SetLoader`] | 改草稿 + 必要时派 `ListLoaderVersions` | 加载器版本列表来自官方元数据，页面不能自己编 |
+//! | [`pages::Message::SetLoaderVersion`] / `SetInstanceName` | 只改草稿 | 纯输入 |
+//! | [`pages::Message::InstallVersion`] | `AppCommand::CreateInstance(草稿)` | **确认才开工**（带加载器 / 加载器版本 / 实例名） |
+//! | [`pages::Message::CancelInstall`] | `AppCommand::CancelInstall` | 见 `host/dispatch.rs`：真停 + 作废旧代次 |
+//! | [`pages::Message::SetCategory`] | 写分类 → 重建 → `AppCommand::ListVersions` | 见下 |
+//!
+//! [「刷新下载源」](pages::Action::RefreshSources) 也在这里：它不是占位动作，具体分类 → 重拉该分类、
+//! 「全部」→ 让 host 重扫一遍（`RefreshAll`）。
+//!
+//! ## 分类为什么既写视图模型、又派指令
+//!
+//! 真 host 的 `AppCommand::ListVersions(_)` 会丢掉分类参数、回全量清单（复审 P2-1），所以**过滤在
+//! 本页做**：写进视图模型 → 立刻 `refresh_view()`（它会把 category 带回去、按同一谓词过滤行）→
+//! 再派指令。这不是「乐观回显」：写的是**过滤条件本身**，chip 与列表用同一个
+//! [`Category::matches`](crate::pages::Category)，于是不可能出现「chip 说正式版、列表是全量」的两份真相。
+//!
+//! ## 草稿为什么住在这里而不是页面模型里
+//!
+//! `refresh_view()` 每次事件都把 `self.view` 整棵重建（连安装进度都算），页面存不住「用户正在填、
+//! 还没确认」的东西。于是草稿放 `App::download_draft`，与分类筛选同一个做法：
+//! 改草稿 → `view_dirty = true` → `refresh_view()`。
+
+use unlucky_presenter::dto::CreateRequest;
+
+use super::*;
+
+impl App {
+    /// 下载页的消息。**处理了返回 `true`**（`on_page` 里就不用再写一遍这些 arm）。
+    pub(super) fn on_download(&mut self, message: &pages::Message) -> bool {
+        match message {
+            pages::Message::SelectVersion(id) => {
+                if self.download_draft.selected.as_deref() != Some(id.as_str()) {
+                    // 换了原版版本：加载器版本是**按 (加载器, 原版版本)** 取的（见
+                    // `CoreEvent::LoaderVersions` 的缓存键），旧的版本号留着只会误导。
+                    self.download_draft.loader_version.clear();
+                }
+                self.download_draft.selected = Some(id.clone());
+                self.mark_download_dirty();
+                // 选了加载器版本之后换原版版本，列表要跟着换——已经查过的直接从快照读，不重复派。
+                self.ensure_loader_versions();
+            }
+            pages::Message::SetLoader(loader) => {
+                self.download_draft.loader = *loader;
+                self.download_draft.loader_version.clear();
+                self.mark_download_dirty();
+                self.ensure_loader_versions();
+            }
+            pages::Message::SetLoaderVersion(version) => {
+                self.download_draft.loader_version = version.clone();
+                self.mark_download_dirty();
+            }
+            pages::Message::SetInstanceName(name) => {
+                self.download_draft.instance_name = name.clone();
+                self.mark_download_dirty();
+            }
+            pages::Message::InstallVersion(id) => {
+                // 防守：按钮带的是**页面上那一行**的 id，草稿里的选中项理论上与它一致；
+                // 万一不一致（例如列表刚换过、用户手快），不能让 A 版本的加载器版本落到 B 版本上。
+                if self.download_draft.selected.as_deref() != Some(id.as_str()) {
+                    self.download_draft.selected = Some(id.clone());
+                    self.download_draft.loader_version.clear();
+                }
+                let request = self.install_request(id);
+                self.dispatch(AppCommand::CreateInstance(request));
+            }
+            pages::Message::CancelInstall => self.dispatch(AppCommand::CancelInstall),
+            pages::Message::SetCategory(category) => {
+                self.view.download.category = *category;
+                self.view_dirty = true;
+                self.refresh_view();
+                if let Some(kind) = category.command() {
+                    self.dispatch(AppCommand::ListVersions(kind));
+                }
+            }
+            // M107：查询词落在快照里（无状态视图的唯一存活方式），再走同一条重建路径过滤。
+            pages::Message::SetVersionQuery(query) => {
+                self.rebuild_after_query(query.clone());
+            }
+            pages::Message::ClearVersionQuery => {
+                self.rebuild_after_query(String::new());
+            }
+            // M107：主版本桶的选中是纯视图态，不重建、不派命令（同 `SelectVersion`）。
+            //
+            // **搜索期间点桶 = 「我就是要看这个桶」**（复审 r2 P2-1(b)）：搜索让第二级失效（P2-1 的
+            // 一致性放宽），如果这里只改选择而不清查询，用户会看到「点了没反应、清空搜索后才生效」
+            // 的活控件。所以搜索中点桶顺带退出搜索，按新桶过滤——一次点击做完用户想要的两件事。
+            pages::Message::SelectMajor(key) => {
+                if self.view.download.has_query() {
+                    // 先退出搜索再落选择：`rebuild_after_query` 会用**全量行**重算桶并回填选择
+                    // （它带回 `selected_major`，且校验桶仍存在）。
+                    self.view.download.selected_major = key.clone();
+                    self.rebuild_after_query(String::new());
+                } else {
+                    self.view.download.selected_major = key.clone();
+                }
+            }
+            // M107：类型栏的手动折叠也是纯视图态。
+            pages::Message::ToggleTypeRail => {
+                self.view.download.type_rail_folded = !self.view.download.type_rail_folded;
+            }
+            pages::Message::Action(pages::Action::RefreshSources) => {
+                match self.view.download.category.command() {
+                    Some(kind) => self.dispatch(AppCommand::ListVersions(kind)),
+                    None => self.dispatch(AppCommand::RefreshAll),
+                }
+            }
+            _ => return false,
+        }
+        true
+    }
+
+    /// 改草稿之后统一走这一条：置脏 + 立刻重建（不等下一拍，点了就有反应）。
+    fn mark_download_dirty(&mut self) {
+        self.view_dirty = true;
+        self.refresh_view();
+    }
+
+    /// 确认安装时的 `CreateRequest`（草稿 → 指令载荷）。
+    ///
+    /// 实例名留空就让 core 用版本号（`CreateRequest::instance_name` 的既有口径），
+    /// 所以这里**不**自己拼一个默认名——两处各拼一份迟早会漂。
+    fn install_request(&self, id: &str) -> CreateRequest {
+        let draft = &self.download_draft;
+        CreateRequest {
+            name: draft.instance_name.trim().to_string(),
+            version: id.to_string(),
+            loader: draft.loader.kind(),
+            loader_version: draft.loader_version.trim().to_string(),
+        }
+    }
+
+    /// 当前草稿需要加载器版本列表、而快照里还没有时，派一次查询。
+    ///
+    /// 判据是 `state.loader_versions_for(...)` 的 `None`（= 没查过）：查过的（成功或失败）都不再重复派，
+    /// 失败要重试走 `RefreshSources` 那条路，页面上的红色原因行不会因为一次点击就消失。
+    fn ensure_loader_versions(&mut self) {
+        let loader = self.download_draft.loader;
+        if loader == pages::Loader::Vanilla {
+            return;
+        }
+        let Some(version) = self.download_draft.selected.clone() else {
+            return;
+        };
+        // 静态就不支持的组合不联网（否则只会换来一条「取不到」的假原因；真正的原因是
+        // 「这个加载器没有这个版本的构建」，页面已经用静态规则说清了）。
+        let kind = self
+            .state
+            .versions
+            .iter()
+            .find(|summary| summary.id == version)
+            .map(|summary| summary.kind);
+        if let Some(kind) = kind {
+            if loader.supports(&version, kind).is_err() {
+                return;
+            }
+        }
+        if self
+            .state
+            .loader_versions_for(loader.kind(), &version)
+            .is_some()
+        {
+            return;
+        }
+        self.dispatch(AppCommand::ListLoaderVersions {
+            kind: loader.kind(),
+            mc_version: version,
+        });
+    }
+
+    /// 搜索词变了：写进快照 → 重建视图 → **把纯视图态捡回来**。
+    ///
+    /// `refresh_view()` 整块换掉 `self.view`，而它只把 `category` 与**安装草稿**带回去（`app/state.rs`
+    /// 归 M105/M106）。所以「折叠状态」与「选中的主版本桶」必须在重建前后自己搬一次——否则用户敲第一个
+    /// 字符，展开着的类型栏就自己收起来、选中的主版本也跳回「全部」。
+    /// 「搜索时侧栏保留当前位置」这条要求，落点就是这里的四行。
+    fn rebuild_after_query(&mut self, query: String) {
+        self.state.download_query = query;
+        let major = self.view.download.selected_major.take();
+        let folded = self.view.download.type_rail_folded;
+        self.view_dirty = true;
+        self.refresh_view();
+        // 回填要**校验**：桶是按当前行聚合法出来的，新桶列表里没有的那个选择不该被复活
+        // （复审 P2-1(a)：否则会出现「侧栏没有任何一项点亮」的幽灵选中）。
+        self.view.download.selected_major = major.filter(|key| {
+            self.view
+                .download
+                .buckets
+                .iter()
+                .any(|bucket| bucket.key.as_deref() == Some(key.as_str()))
+        });
+        self.view.download.type_rail_folded = folded;
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    //! 搜索链路的**端到端**断言（复审 P2-5）。
+    //!
+    //! 为什么非要在 app 层写：这条链是 `Message → on_page → on_download → AppState.download_query
+    //! → refresh_view → from_snapshot 过滤`，中间任何一环断掉，页面层测试都看不见（页面只拿到
+    //! 已经过滤好的模型）。复审原话：「把 `rebuild_after_query` 第一行删掉，现有测试全绿，而搜索
+    //! 变成假控件」——这几条就是补那个洞的。
+
+    use std::cell::RefCell;
+    use std::rc::Rc;
+
+    use unlucky_presenter::dto::{AppEvent, Backend, CoreEvent, VersionKind, VersionSummary};
+    use unlucky_presenter::settings_bridge::SettingsBridge;
+
+    use super::*;
+
+    /// 只记账、不回事件的后端（同 `app/update/download_wiring.rs`）：命令出了 UI 层，状态一个字节
+    /// 都不许变——否则「本地乐观回显」与「事件回流」终态相同，断言会假绿。
+    struct Recorder(Rc<RefCell<Vec<AppCommand>>>);
+
+    impl Backend for Recorder {
+        fn drain_events(&mut self) -> Vec<AppEvent> {
+            Vec::new()
+        }
+        fn dispatch(&mut self, command: AppCommand) {
+            self.0.borrow_mut().push(command);
+        }
+    }
+
+    fn version(id: &str) -> VersionSummary {
+        VersionSummary {
+            id: id.to_string(),
+            kind: VersionKind::Release,
+            released: "2026-09-20".to_string(),
+            installed: false,
+        }
+    }
+
+    /// 一个装好三行版本的 App（`1.21.9` / `1.20.4` / `1.20.1`）。
+    fn app() -> App {
+        let families = crate::theme::Families {
+            text: "Segoe UI",
+            display: "Segoe UI",
+            mono: "Consolas",
+        };
+        let mut app = App::with_presenter(
+            crate::cli::Options::default(),
+            families,
+            SchemeFlavor::Light,
+            Box::new(Recorder(Rc::new(RefCell::new(Vec::new())))),
+            SettingsBridge::memory_only(),
+        );
+        app.state
+            .apply(AppEvent::Core(CoreEvent::VersionListChanged(vec![
+                version("1.21.9"),
+                version("1.20.4"),
+                version("1.20.1"),
+            ])));
+        app.refresh_view();
+        app
+    }
+
+    /// 键入 → 快照 → 列表：一条走完的链。
+    ///
+    /// 抓得住：`rebuild_after_query` 不再写 `AppState.download_query`（搜索变假控件）、
+    /// 或 `from_snapshot` 不再按 query 过滤（列表不跟着收窄）。
+    /// 抓不住：真机上 `text_input` 的按键是否走到这里（那是组件的事，`search_bar` 已接 `on_input`）。
+    #[test]
+    fn typing_a_query_reaches_the_state_and_narrows_the_list() {
+        let mut app = app();
+        assert_eq!(app.view.download.rows.len(), 3, "初始是全量");
+
+        let _ = app.on_page(pages::Message::SetVersionQuery("1.20".to_string()));
+
+        assert_eq!(app.state.download_query, "1.20", "查询词落在快照里");
+        assert_eq!(app.view.download.rows.len(), 2, "列表收窄到两行");
+        assert_eq!(app.view.download.hits, 2);
+        assert_eq!(app.view.download.query, "1.20", "模型回显查询词");
+
+        // 清空回到全量（`ClearVersionQuery` 那一支）
+        let _ = app.on_page(pages::Message::ClearVersionQuery);
+        assert!(app.state.download_query.is_empty());
+        assert_eq!(app.view.download.rows.len(), 3);
+    }
+
+    /// 查询词**跨事件存活**：再来一次重建，列表仍是收窄的。
+    ///
+    /// 抓得住：把查询词只写在视图模型里（下一次 `refresh_view` 就丢）——这是「搜索看起来能用、
+    /// 一来事件就复位」的坏法。
+    #[test]
+    fn the_query_survives_a_snapshot_rebuild() {
+        let mut app = app();
+        let _ = app.on_page(pages::Message::SetVersionQuery("1.21".to_string()));
+        assert_eq!(app.view.download.rows.len(), 1);
+
+        // 安装进度这类事件回来时，`pump()` 会重建视图：查询词必须还在
+        app.state
+            .apply(AppEvent::Core(CoreEvent::InstallProgress(None)));
+        app.refresh_view();
+
+        assert_eq!(app.state.download_query, "1.21", "查询词在快照里，重建不丢");
+        assert_eq!(app.view.download.rows.len(), 1, "列表仍收窄");
+    }
+
+    /// **搜索期间点主版本桶 = 退出搜索并按该桶过滤**（复审 r2 P2-1(b)）。
+    ///
+    /// 抓得住：`SelectMajor` 只改选择不清查询 —— 那时搜索让第二级失效（P2-1 的一致性放宽），
+    /// 用户点了当场没反应、要等清空搜索那次点击才生效，就是「可点但无反应」的活控件。
+    /// 抓不住：真机点击是否走到这里（`ListItem`/`Chip` 的 `on_press` 是组件既有实现）。
+    #[test]
+    fn clicking_a_bucket_during_a_search_leaves_the_search() {
+        let mut app = app();
+        let _ = app.on_page(pages::Message::SetVersionQuery("1.20".to_string()));
+        assert_eq!(app.view.download.rows.len(), 2, "此刻在搜 1.20");
+
+        // 点「1.21」这个桶
+        let _ = app.on_page(pages::Message::SelectMajor(Some("1.21".to_string())));
+
+        assert!(app.state.download_query.is_empty(), "点桶顺带退出搜索");
+        assert!(!app.view.download.has_query());
+        assert_eq!(
+            app.view.download.selected_major.as_deref(),
+            Some("1.21"),
+            "选择落在刚点的那个桶上"
+        );
+        assert_eq!(
+            app.view.download.rows.len(),
+            3,
+            "查询词清掉之后模型回到全量（桶过滤发生在渲染时的 visible 里）"
+        );
+        assert_eq!(
+            app.view
+                .download
+                .buckets
+                .iter()
+                .find(|bucket| bucket.key.as_deref() == Some("1.21"))
+                .map(|bucket| bucket.count),
+            Some(1),
+            "1.21 桶里只有一个版本 ⇒ 列表会显示一行"
+        );
+
+        // 没有搜索词时点桶照旧只改选择（不触发多余重建）
+        let _ = app.on_page(pages::Message::SelectMajor(None));
+        assert_eq!(app.view.download.selected_major, None);
+    }
+
+    /// 搜索时侧栏的**位置与折叠**不许丢（`rebuild_after_query` 的三行）。
+    ///
+    /// 抓得住：删掉那两行回填（敲第一个字符，类型栏自己弹开、主版本跳回「全部」）。
+    /// 抓不住：其它事件（安装进度）回来时也会复位 —— 那条要 `app/state.rs` 的 `refresh_view`
+    /// 一起改，不在本 mission scope，已在报告里明确登记「留到 M105 之后」。
+    #[test]
+    fn a_query_keeps_the_rail_position_and_the_fold() {
+        let mut app = app();
+        app.view.download.selected_major = Some("1.20".to_string());
+        app.view.download.type_rail_folded = true;
+
+        let _ = app.on_page(pages::Message::SetVersionQuery("1.20".to_string()));
+
+        assert_eq!(
+            app.view.download.selected_major.as_deref(),
+            Some("1.20"),
+            "桶选择还在（生效值在搜索期间放宽，但选择本身不许被清）"
+        );
+        assert!(app.view.download.type_rail_folded, "折叠状态还在");
+
+        // 选中一个**新桶列表里不存在**的桶：搜索后不许把它复活成幽灵选中（P2-1(a)）
+        app.view.download.selected_major = Some("9.99".to_string());
+        let _ = app.on_page(pages::Message::SetVersionQuery("1.20".to_string()));
+        assert_eq!(
+            app.view.download.selected_major, None,
+            "新桶列表里没有 9.99 ⇒ 回填空值，而不是留一个点不亮的幽灵选中"
+        );
+    }
+}

crates/app-iced/src/app/update/download_wiring.rs

@@ -0,0 +1,228 @@
+//! 下载页（M94）在 app 层的接线测试：**命令出得去、状态不自己变**。
+//!
+//! 从 `app/update.rs` 外置（那边 348 行 + 这个模块会顶破 400 行硬上限；同一句话的理由见
+//! `crates/i18n/src/catalog/tests.rs`）。`use super::*` 依然指向 `crate::app::update`。
+
+use std::cell::RefCell;
+use std::rc::Rc;
+
+use unlucky_presenter::dto::{AppEvent, Backend, VersionCategory};
+use unlucky_presenter::settings_bridge::SettingsBridge;
+
+use super::*;
+
+/// 只记账、**不回事件**的后端（同 `app/tests/presenter.rs`）：命令出了 UI 层，状态一个字节都不许变。
+/// 不用 `MockBackend`：它同步回事件，「本地乐观回显」与「事件回流」终态相同，断言会**假绿**。
+struct Recorder(Rc<RefCell<Vec<AppCommand>>>);
+
+impl Backend for Recorder {
+    fn drain_events(&mut self) -> Vec<AppEvent> {
+        Vec::new()
+    }
+    fn dispatch(&mut self, command: AppCommand) {
+        self.0.borrow_mut().push(command);
+    }
+}
+
+/// 四条下载页消息：三条派真指令，`SelectVersion` 只改视图模型（P3-2 的不乐观回显）。
+/// 抓得住：意图被写成「本地改状态就算完」、或派错指令；抓不住：host 收到后真的开始下载。
+#[test]
+fn download_intents_dispatch_real_commands() {
+    let log: Rc<RefCell<Vec<AppCommand>>> = Rc::new(RefCell::new(Vec::new()));
+    let families = crate::theme::Families {
+        text: "Segoe UI",
+        display: "Segoe UI",
+        mono: "Consolas",
+    };
+    let mut app = App::with_presenter(
+        crate::cli::Options::default(),
+        families,
+        SchemeFlavor::Light,
+        Box::new(Recorder(Rc::clone(&log))),
+        SettingsBridge::memory_only(),
+    );
+    // M95 起 `on_page` 返回 `Task`（剪贴板命令要走返回的 Task）：这里只关心派发与视图模型，
+    // 任务本身没有需要断言的后效，显式丢弃。
+    let _ = app.on_page(pages::Message::InstallVersion("1.21.9".to_string()));
+    let _ = app.on_page(pages::Message::CancelInstall);
+    let _ = app.on_page(pages::Message::SetCategory(pages::Category::Release));
+    let _ = app.on_page(pages::Message::SelectVersion("1.21.8".to_string()));
+    // M105：「安装」不再是「立刻装原版」，而是把**草稿里的选项**一起交出去
+    // （`CreateInstance` 带加载器 / 加载器版本 / 实例名）——这正是用户报的「没有加载器可选」的修复点。
+    let expected = vec![
+        AppCommand::CreateInstance(unlucky_presenter::dto::CreateRequest {
+            version: "1.21.9".to_string(),
+            loader: unlucky_presenter::dto::LoaderKind::Vanilla,
+            loader_version: String::new(),
+            name: String::new(),
+        }),
+        AppCommand::CancelInstall,
+        AppCommand::ListVersions(VersionCategory::Release),
+    ];
+    assert_eq!(
+        *log.borrow(),
+        expected,
+        "三条各派一条；`SelectVersion` 不派"
+    );
+    // M105：选中项住在**草稿**里（`refresh_view` 每次事件都会整棵重建页面模型，
+    // 页面自己存不住它）；recorder 不回 `VersionListChanged` ⇒ 列表是空的 ⇒
+    // 视图模型里那一行不存在，于是 `selected` 被过滤成 `None`（防「切分类后还留着一个点不动的安装」）。
+    assert_eq!(app.download_draft.selected.as_deref(), Some("1.21.8"));
+    assert_eq!(
+        app.view.download.selected, None,
+        "选中的行不在列表里时，视图模型不该拿着它"
+    );
+    assert_eq!(app.view.download.category, pages::Category::Release);
+    assert_eq!(
+        app.view.download.rows.len(),
+        0,
+        "recorder 不回事件 ⇒ 列表不该冒出来"
+    );
+    // 分类是本地过滤条件：**任何一次视图重建都不许把它打回 `All`**（复审 P2-1 的回归点）。
+    // 抓得住：`refresh_view` 忘记把分类带回去（那一行删掉这条就红）。
+    // 抓不住：真 host 是否按分类拉清单（那是 presenter 的 `spawn_list`，已报 finding）。
+    app.refresh_view();
+    assert_eq!(
+        app.view.download.category,
+        pages::Category::Release,
+        "重建视图模型之后分类必须还在"
+    );
+}
+
+/// **取消之后面板要回到「未安装态」且能立刻再装**（M105 的验收项，CI 可跑的那一半）。
+///
+/// 现场（用户原话）：「取消下载按钮点了没反应」。真根因是取消生效了又被旧任务的事件盖回去
+/// （presenter 侧的代次守门在 `host/cancel_tests.rs`）；这一条钉的是**页面这一侧**：
+/// 收到 `InstallProgress(None)` 之后，面板必须回到安装选项区、确认键可用、选中的版本还在
+/// ——不需要用户重新点一遍版本。
+///
+/// 抓得住：取消后仍画着进度面板 / 选项区丢了选中 / 确认键还是禁用。
+/// 抓不住：真网络下的取消延迟（那条是 `#[ignore]` 的真网络用例）。
+#[test]
+fn cancelling_gives_the_panel_back_to_the_install_options() {
+    let log: Rc<RefCell<Vec<AppCommand>>> = Rc::new(RefCell::new(Vec::new()));
+    let families = crate::theme::Families {
+        text: "Segoe UI",
+        display: "Segoe UI",
+        mono: "Consolas",
+    };
+    let mut app = App::with_presenter(
+        crate::cli::Options::default(),
+        families,
+        SchemeFlavor::Light,
+        Box::new(Recorder(Rc::clone(&log))),
+        SettingsBridge::memory_only(),
+    );
+    app.state.apply(AppEvent::Core(
+        unlucky_presenter::dto::CoreEvent::VersionListChanged(vec![
+            unlucky_presenter::dto::VersionSummary {
+                id: "1.21.9".to_string(),
+                kind: unlucky_presenter::dto::VersionKind::Release,
+                released: "2026-09-20".to_string(),
+                installed: false,
+            },
+        ]),
+    ));
+    app.refresh_view();
+
+    // 选中 → 面板给出选项区
+    let _ = app.on_page(pages::Message::SelectVersion("1.21.9".to_string()));
+    let options = app
+        .view
+        .download
+        .options
+        .as_ref()
+        .expect("选中版本之后要出现安装选项区");
+    assert!(options.can_confirm, "原版 + 列表里的版本 = 可以装");
+    assert_eq!(options.version, "1.21.9");
+
+    // 开装：host 回一条「下载中」→ 面板换成进度
+    app.state.apply(AppEvent::Core(
+        unlucky_presenter::dto::CoreEvent::InstallProgress(Some(
+            unlucky_presenter::dto::InstallProgressView {
+                version: "1.21.9".to_string(),
+                stage: unlucky_presenter::dto::InstallStage::Downloading,
+                files_done: 9,
+                files_total: 512,
+                ..unlucky_presenter::dto::InstallProgressView::new()
+            },
+        )),
+    ));
+    app.refresh_view();
+    assert!(app.view.download.install.is_some(), "装的时候面板讲进度");
+    assert!(app.view.download.options.is_none(), "进度与选项互斥");
+
+    // 取消：host 回 `InstallProgress(None)`（`CancelInstall` 的既有语义）
+    let _ = app.on_page(pages::Message::CancelInstall);
+    app.state.apply(AppEvent::Core(
+        unlucky_presenter::dto::CoreEvent::InstallProgress(None),
+    ));
+    app.refresh_view();
+    assert!(app.view.download.install.is_none(), "取消后面板必须收回");
+    let options = app
+        .view
+        .download
+        .options
+        .as_ref()
+        .expect("取消后要回到安装选项区（未安装态），而不是只剩一句提示");
+    assert_eq!(
+        options.version, "1.21.9",
+        "选中项要还在，用户不必重新点一遍"
+    );
+    assert!(options.can_confirm, "取消后要能立刻再装一次");
+}
+
+/// **取消提示只说一次，且说的是页面语言**（复审 P2-2）。
+///
+/// 修前：`presenter` 在取消时直接推一条**写死的中文** Toast，而下载页此刻渲染英文 ⇒
+/// 选项区英文、取消弹窗中文，同屏两语。现在 host 只发信号（`CoreEvent::InstallCancelled`），
+/// 文案由页面层按 `Key::DownloadCancelled` 现求，语言跟页面走。
+///
+/// 抓得住：谁把中文写回 presenter（类型上已经做不到——它没有 i18n 依赖）、
+/// 或者 app 层每次 `refresh_view` 都重复弹（下面的 `items().len() == 1`）。
+/// 抓不住：`Lang` 本身接得对不对（M106 起语言来自 `App::lang()`，本测试**显式钉**成英文，
+/// 否则这条断言会跟着跑测试那台机器的 locale 变——那是假绿）。
+#[test]
+fn cancelling_announces_once_in_the_page_language() {
+    let log: Rc<RefCell<Vec<AppCommand>>> = Rc::new(RefCell::new(Vec::new()));
+    let families = crate::theme::Families {
+        text: "Segoe UI",
+        display: "Segoe UI",
+        mono: "Consolas",
+    };
+    let mut app = App::with_presenter(
+        crate::cli::Options::default(),
+        families,
+        SchemeFlavor::Light,
+        Box::new(Recorder(Rc::clone(&log))),
+        SettingsBridge::memory_only(),
+    );
+    assert!(app.state.toasts.is_empty(), "出厂态不该有 Toast");
+
+    // M106：语言显式钉成英文。不钉的话「页面语言」就是跑测试那台机器的 locale（英文 CI 绿、
+    // 中文机器红）——那种测试证明不了任何事。钉住之后期望值仍从目录取，守的是同一条原意：
+    // **提示语来自 i18n 目录，不是 presenter 写死的中文**。
+    app.set_language(unlucky_i18n::LangChoice::Fixed(unlucky_i18n::Lang::En));
+
+    app.state.apply(AppEvent::Core(
+        unlucky_presenter::dto::CoreEvent::InstallCancelled,
+    ));
+    app.refresh_view();
+    let items = app.state.toasts.items();
+    assert_eq!(items.len(), 1, "取消要提示一条（且只一条）");
+    let text = items[0].text.clone();
+    assert_eq!(
+        text,
+        pages::cancelled_toast(unlucky_i18n::Lang::En),
+        "提示语必须来自 i18n 目录（不是 presenter 写死的中文）"
+    );
+    assert!(
+        !text.contains('取') && !text.contains('消'),
+        "页面此刻是英文，取消提示不该混中文：{text}"
+    );
+
+    // 再重建一次视图：不该重复弹（信号是计数，不是「每拍都算一次」）
+    app.refresh_view();
+    assert_eq!(app.state.toasts.items().len(), 1, "同一次取消只提示一次");
+    let _ = app.state.toasts.len();
+}

crates/app-iced/src/app/update/instances.rs

@@ -0,0 +1,174 @@
+//! 实例页「启动参数」区的消息落点（M157）。
+//!
+//! 三件事：
+//! 1. **编辑**只改页面状态（`App::launch_form`）并置脏——不 dispatch，不打网络；
+//! 2. **保存**派一条 [`AppCommand::SetInstanceLaunchArgs`]（整份五项补丁），回程由
+//!    `InstancesChanged` 快照刷新页面（不做乐观回显，与 M90 的启动/停止同一条纪律）；
+//! 3. **恢复跟随全局**只清表单（仍需用户点保存）——「点一下就写盘」会让误触直接生效。
+//!
+//! **清脏的唯一时机是「回程快照等于表单」**：`LaunchForm::sync` 在「同实例 + 脏」时只在
+//! `matches(&view)` 成立时才清脏并重播种，其余情况原样保留草稿。保存本身**不清脏**——落盘成败
+//! 要等回程事件，写盘失败时旧快照回来必须留住用户敲的值（M157 r3 复审 P2-2）。
+
+use iced::Task;
+use unlucky_presenter::dto::{AppCommand, LaunchArgsPatch};
+
+use crate::pages::InstanceMessage;
+
+use super::super::message::Message;
+use super::super::state::App;
+
+impl App {
+    /// 启动参数区的一条消息。
+    pub(super) fn on_instance_message(&mut self, message: InstanceMessage) -> Task<Message> {
+        let Some(instance) = self.selected_instance_id() else {
+            return Task::none();
+        };
+        if !self.launch_form.bound_to(&instance) {
+            // 表单还没对着这个实例（首帧还没播种）：不接编辑，免得改到别的实例上。
+            return Task::none();
+        }
+
+        match message {
+            InstanceMessage::Jvm(text) => {
+                self.launch_form.jvm = text;
+                self.launch_form.dirty = true;
+            }
+            InstanceMessage::Game(text) => {
+                self.launch_form.game = text;
+                self.launch_form.dirty = true;
+            }
+            InstanceMessage::Memory(text) => {
+                self.launch_form.memory = text;
+                self.launch_form.dirty = true;
+            }
+            InstanceMessage::Java(text) => {
+                self.launch_form.java = text;
+                self.launch_form.dirty = true;
+            }
+            InstanceMessage::Backend(id) => {
+                self.launch_form.backend = id;
+                self.launch_form.dirty = true;
+            }
+            InstanceMessage::Reset => {
+                self.launch_form.reset();
+            }
+            InstanceMessage::Save => {
+                // **不在这里清脏**：`dispatch` 只是把命令送出去，落盘成败要等回程事件。
+                // 失败时（内存 `4g` / 写盘失败）pump 会带**旧快照**重建视图，脏标记若已清掉，
+                // `LaunchForm::sync` 就会用旧值覆盖用户刚敲的草稿（M157 r3 复审 P2-2）。
+                // 清脏的唯一时机是「回程快照已经等于表单」——见 `LaunchForm::sync`。
+                let patch: LaunchArgsPatch = self.launch_form.patch();
+                self.dispatch(AppCommand::set_launch_args(&instance, patch));
+            }
+        }
+        // 纯本地编辑：不重建视图模型（页面直接从表单画），只要一帧重绘即可——iced 在
+        // 消息处理完之后本来就会画一帧，所以这里什么都不排。
+        Task::none()
+    }
+
+    /// 详情页当前选中的实例 id（不在详情页时为 `None`）。
+    fn selected_instance_id(&self) -> Option<String> {
+        match self.state.route() {
+            unlucky_presenter::router::Route::Detail(id) => Some(id.clone()),
+            _ => None,
+        }
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    use unlucky_design::color::SchemeFlavor;
+    use unlucky_presenter::dto::LaunchArgsView;
+    use unlucky_presenter::settings_bridge::SettingsBridge;
+
+    use crate::app::state::App;
+    use crate::cli::Options;
+    use crate::pages::{InstanceMessage, LaunchForm};
+
+    use crate::theme::Families;
+
+    const FAMILIES: Families = Families {
+        text: "Segoe UI",
+        display: "Segoe UI",
+        mono: "Consolas",
+    };
+
+    fn app_with_form() -> App {
+        let mut app = App::with_presenter(
+            Options::default(),
+            FAMILIES,
+            SchemeFlavor::Light,
+            Box::new(unlucky_presenter::mock::MockBackend::new()),
+            SettingsBridge::memory_only(),
+        );
+        // 进详情页 + 直接放一份「已播种」的表单：本测试只验消息落点，
+        // 不验播种（那在 `LaunchForm::sync` 的单测里）。
+        app.state.navigate(unlucky_presenter::router::Route::Detail(
+            INSTANCE.to_string(),
+        ));
+        app.launch_form = LaunchForm::from_view(
+            Some(INSTANCE),
+            &LaunchArgsView {
+                instance_id: INSTANCE.to_string(),
+                ..LaunchArgsView::default()
+            },
+        );
+        app
+    }
+
+    /// 测试用的实例 id（mock 后端的实例快照里有它）。
+    const INSTANCE: &str = "survival";
+
+    /// 编辑 → 脏；恢复 → 五项清空仍需保存；保存前不发命令。
+    #[test]
+    fn editing_marks_dirty_and_reset_waits_for_save() {
+        let mut app = app_with_form();
+        let _ = app.on_instance_message(InstanceMessage::Memory("6144".to_string()));
+        assert_eq!(app.launch_form.memory, "6144");
+        assert!(app.launch_form.dirty);
+
+        let _ = app.on_instance_message(InstanceMessage::Backend("vulkan".to_string()));
+        assert_eq!(app.launch_form.backend, "vulkan");
+
+        let _ = app.on_instance_message(InstanceMessage::Reset);
+        assert_eq!(app.launch_form.memory, "");
+        assert_eq!(app.launch_form.backend, "default");
+        assert!(app.launch_form.dirty, "恢复之后还得点保存才落盘");
+    }
+
+    /// 表单没绑定到当前实例时不接编辑（否则草稿会写到别的实例上）。
+    #[test]
+    fn edits_are_ignored_when_the_form_is_bound_elsewhere() {
+        let mut app = app_with_form();
+        app.launch_form = LaunchForm::from_view(
+            Some("other"),
+            &LaunchArgsView {
+                instance_id: "other".to_string(),
+                ..LaunchArgsView::default()
+            },
+        );
+        let _ = app.on_instance_message(InstanceMessage::Memory("9999".to_string()));
+        assert_eq!(app.launch_form.memory, "");
+        assert!(!app.launch_form.dirty);
+    }
+
+    /// **保存只派发、不清脏**（M157 r3 复审 P2-2）：落盘成败要等回程事件，
+    /// 派发前清掉脏标记会让失败后的重播覆盖用户草稿。
+    ///
+    /// 抓得住：Save 分支里又写回 `dirty = false`（那条路径在失败时丢草稿）。
+    /// 抓不住：回程事件的真实时序——清脏判据在 `LaunchForm::sync` 的
+    /// `confirmed_save_clears_dirty_and_reseeds` / `failed_save_keeps_the_draft` 里。
+    #[test]
+    fn save_dispatch_keeps_the_dirty_flag() {
+        let mut app = app_with_form();
+        let _ = app.on_instance_message(InstanceMessage::Memory("4g".to_string()));
+        assert!(app.launch_form.dirty);
+        let _ = app.on_instance_message(InstanceMessage::Save);
+        assert!(
+            app.launch_form.dirty,
+            "派发后仍要保留脏标记，等回程快照确认"
+        );
+        assert_eq!(app.launch_form.memory, "4g", "派发不改表单内容");
+    }
+}

crates/app-iced/src/app/update/page_messages.rs

@@ -0,0 +1,236 @@
+//! 页面消息的落点（`on_page`）：解 M94 冲突时从 `update.rs` 拆出来。
+//!
+//! 为什么拆：`main` 上 `update.rs` 已经 **397 行**（M94 自己也是因此把下载页四支拆到
+//! `update/download.rs`），日志页再往里塞「剪贴板 + 清日志」两支就顶破 400 硬线。
+//! 与 M94 同一种做法：`app/update/**` 属本 mission scope。
+//!
+//! ## 穷尽性（M94 复审的 p3，本轮收掉）
+//!
+//! 这里是全 crate **唯一**对 [`pages::Message`] 的穷尽匹配点，所以**没有** `_ => {}` 兜底：
+//! 谁往枚举里加变体却忘了接线，编译器立刻报 E0004。原来是 `_ => {}` + 注释「做穷尽性」——
+//! 方向正好写反了，它**取消**穷尽性，把「漏接线」变成「点了没反应」。
+//!
+//! 代价：由前置分支（`on_download` / 本文件里的剪贴板分支）先消费的变体，在 match 里**仍要
+//! 显式列出**。那是保住穷尽性的必要代价，也是这条守卫抓得住东西的原因。
+//!
+//! ## 边界（抓得住什么 / 抓不住什么）
+//!
+//! - 抓得住：**加一个 `pages::Message` 变体却没接线** → 编译失败（E0004），不会静默；
+//! - 抓不住：加一个 `pages::Action` 变体 —— 它落进 `Action(action)` 的占位分支（打印一行
+//!   `[page] 占位动作 …`），编译期不会报。这是占位期的既有设计，不是本文件能守的。
+
+use unlucky_i18n::{Lang, LangChoice};
+
+use crate::pages;
+use crate::ui::lang::LangState;
+
+use super::*;
+
+// --------------------------------------------------------------- 界面语言（M106）
+//
+// 这三个方法住在本文件而不是 `app/state.rs`：`state.rs` 贴着 400 行硬线（M104 的 `agent`、
+// M105 的 `download_draft` 都往那儿长），而 `set_language` 的唯一调用点就是本文件的
+// `pages::Message::Language` 分支——落点与调用点放一起，读的人不用来回跳。
+// 与 M93 把 appearance 那批 `App` 方法放进 `app/appearance.rs` 是同一手法。
+
+impl App {
+    /// 页面消息：导航走路由栈，真业务命令派发，纯视图态改本地呈现。
+    pub(super) fn on_page(&mut self, message: pages::Message) -> Task<Message> {
+        // 下载页的四支（含「刷新下载源」）在 `update/download.rs`：`update.rs` 早已贴 400 行
+        if self.on_download(&message) {
+            return Task::none();
+        }
+
+        match message {
+            pages::Message::Navigate(route) => {
+                // M109：进内容库时补一次检索（首个动作不该是「再点一下搜索」）。
+                // 判据在 `ensure_content_loaded` 里（已有结果/请求在飞就不重复打网络）。
+                let entering_content = route == Route::Content;
+                self.state.navigate(route);
+                self.view_dirty = true;
+                self.refresh_view();
+                if entering_content {
+                    self.ensure_content_loaded();
+                }
+            }
+            pages::Message::Launch(id) => self.dispatch(AppCommand::LaunchInstance(id)),
+            // M159：自更新动作（检查 / 下载安装 / 忽略 / 立即重启 / 开关自动检查）
+            pages::Message::Update(action) => return self.on_update_action(action),
+            pages::Message::Stop(id) => self.dispatch(AppCommand::StopInstance(id)),
+            pages::Message::Appearance(change) => self.on_appearance(change),
+            // M101：设置页的四条填页线共用一个投递口；组内变体在 `update/settings.rs` 里穷尽分发
+            // （那一层没有 `_ =>`，见本文件末尾与 `update/settings/tests.rs` 的两条守门）
+            pages::Message::Settings(group) => return self.on_settings(group),
+            // M106：换界面语言（落盘 + 重建视图模型；档位不是业务命令，不派 `AppCommand`）。
+            // 这是**唯一**一处绕开 M101 投递口的页面消息：语言档位不是「某一组的状态」，
+            // 它要落盘到 `ui.language` 并重建整棵视图模型（设置页的语言行只是它的第一个出口）。
+            pages::Message::Language(choice) => self.set_language(choice),
+            // M109：内容库那一套意图在自己的文件里穷尽分发（`update/content.rs`）
+            pages::Message::Content(message) => return self.on_content(message),
+            // M95：摘要落剪贴板（文本由页面造，这里只搬）
+            pages::Message::CopySummary(text) => return iced::clipboard::write(text),
+            // 下面四支已由 `on_download` 提前消化；显式列出而不是 `_ => {}`，见模块文档
+            pages::Message::SelectVersion(_)
+            | pages::Message::InstallVersion(_)
+            | pages::Message::CancelInstall
+            // M105 的三支 + M107 的四支 + 分类：全部由 `on_download` 提前消化（显式列出保住穷尽性）
+            | pages::Message::SetLoader(_)
+            | pages::Message::SetLoaderVersion(_)
+            | pages::Message::SetInstanceName(_)
+            | pages::Message::SetCategory(_)
+            // M107 的四支同属下载页（查询 / 清空 / 主版本桶 / 折叠类型栏）
+            | pages::Message::SetVersionQuery(_)
+            | pages::Message::ClearVersionQuery
+            | pages::Message::SelectMajor(_)
+            | pages::Message::ToggleTypeRail => debug_assert!(false, "应由 on_download 消费"),
+            // M95：清空日志是**呈现层**操作（`log_lines` 是 presenter 的公开快照字段，
+            // 不派业务命令、不写持久状态）
+            pages::Message::Action(pages::Action::ClearLogs) => {
+                self.state.log_lines.clear();
+                self.view_dirty = true;
+                self.refresh_view();
+            }
+            // M157：实例页「启动参数」区（编辑写进页面状态；保存才派发命令）
+            pages::Message::Instances(message) => return self.on_instance_message(message),
+            // M114：账户页（三轨登录 / 列表动作 / 表单输入）
+            pages::Message::Account(message) => return self.on_account(message),
+            // 还没接后端的占位动作：只打日志（哪几个、为什么，见 pages 模块文档的偏离登记）
+            pages::Message::Action(action) => {
+                eprintln!("[page] 占位动作 {action:?} pressed（没有对应 AppCommand）");
+            }
+        }
+
+        Task::none()
+    }
+}
+
+impl App {
+    /// 当前生效的界面语言（= 目录选择；页面文案一律由它派生）。
+    pub(in crate::app) fn lang(&self) -> Lang {
+        self.lang.lang()
+    }
+
+    /// 设置页语言行要的两件：档位（画选中态）+ 生效语言（画回显）。
+    pub(in crate::app) fn language(&self) -> pages::Language {
+        self.lang.for_settings()
+    }
+
+    /// 换界面语言（设置页语言行 → `pages::Message::Language`）。
+    ///
+    /// 三件事缺一不可：①档位与结论换掉 ②视图模型重建（`view_dirty` + `refresh_view`，目录是
+    /// 视图模型的一部分）③落盘（重启后保持所选语言）。字体不在这里重扫：中文档缺字体时的
+    /// 判据/信号归 `i18n::font::decide` + `fonts/cjk.rs`（见报告「没验的部分」）。
+    pub(in crate::app) fn set_language(&mut self, choice: LangChoice) {
+        if choice == self.lang.choice() {
+            return;
+        }
+        self.lang = LangState::of(choice);
+        self.lang.log();
+        if !self.bridge.persist_ui_language(choice.setting_value()) {
+            eprintln!(
+                "[i18n] 语言偏好没落盘（配置只读或数据根解析不出来）：本次生效，重启会回到旧值"
+            );
+        }
+        self.lang.log_cjk();
+        self.view_dirty = true;
+        self.refresh_view();
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    use unlucky_design::color::SchemeFlavor;
+    use unlucky_i18n::LangChoice;
+    use unlucky_presenter::mock::MockBackend;
+    use unlucky_presenter::settings_bridge::SettingsBridge;
+
+    use crate::app::state::App;
+    use crate::cli::Options;
+    use crate::pages;
+    use crate::theme::Families;
+
+    const FAMILIES: Families = Families {
+        text: "Segoe UI",
+        display: "Segoe UI",
+        mono: "Consolas",
+    };
+
+    /// 不碰磁盘的 App（mock 后端 + 内存设置桥），与 `app/tests.rs` 的 `headless` 同型。
+    fn headless() -> App {
+        App::with_presenter(
+            Options::default(),
+            FAMILIES,
+            SchemeFlavor::Light,
+            Box::new(MockBackend::new()),
+            SettingsBridge::memory_only(),
+        )
+    }
+
+    /// M106：设置页语言行点一下 → 生效语言与视图模型都跟着换。
+    ///
+    /// 抓得住：①`pages::Message::Language` 没接进 `on_page`（点了没反应，编译器不会报——它接得住，
+    /// 但接错了分支就静默）；②`set_language` 只改字段不重建视图（界面要等下一次刷新才变）；
+    /// ③档位与生效语言各说各话（设置页会画错选中态）。
+    /// 抓不住：界面真的画成中文了没有（那要截图，见 `DevDocs/artifacts/m106/`）。
+    #[test]
+    fn the_language_message_switches_the_catalog_and_rebuilds_the_view() {
+        let mut app = headless();
+        assert_eq!(
+            app.view.lang,
+            app.lang(),
+            "首帧的视图模型要已经按生效语言建好"
+        );
+
+        let _ = app.update(crate::app::message::Message::Page(
+            pages::Message::Language(LangChoice::Fixed(unlucky_i18n::Lang::ZhCn)),
+        ));
+        assert_eq!(app.lang(), unlucky_i18n::Lang::ZhCn);
+        assert_eq!(app.view.lang, unlucky_i18n::Lang::ZhCn, "目录要跟着换");
+        assert_eq!(
+            app.language(),
+            pages::Language {
+                choice: LangChoice::Fixed(unlucky_i18n::Lang::ZhCn),
+                effective: unlucky_i18n::Lang::ZhCn,
+            }
+        );
+
+        let refreshes = app.refreshes;
+        let _ = app.update(crate::app::message::Message::Page(
+            pages::Message::Language(LangChoice::Fixed(unlucky_i18n::Lang::En)),
+        ));
+        assert_eq!(app.view.lang, unlucky_i18n::Lang::En);
+        assert_eq!(app.refreshes, refreshes + 1, "换语言要重建一次视图模型");
+
+        // 同一档再点一次：什么都不该发生（不白重建）
+        let refreshes = app.refreshes;
+        let _ = app.update(crate::app::message::Message::Page(
+            pages::Message::Language(LangChoice::Fixed(unlucky_i18n::Lang::En)),
+        ));
+        assert_eq!(app.refreshes, refreshes, "同一档不该再重建");
+    }
+
+    /// 抓得住：有人给 `on_page` 的 match 重新加 `_ => {}` 兜底 —— 那正是 M94 复审的 p3：
+    /// 兜底让「加了变体忘了接线」从**编译错误**退化成「点了没反应」，这条测试把它拽回来。
+    /// 抓不住：别的兜底写法（把 match 拆成 if-else 链、给子枚举加通配之后再漏变体），
+    /// 也抓不住「加了变体但接错分支」——那两条只有编译器和人读得出来。
+    #[test]
+    fn the_page_match_has_no_wildcard_fallback() {
+        let source = include_str!("page_messages.rs");
+        let wildcards: Vec<(usize, &str)> = source
+            .lines()
+            .enumerate()
+            .filter(|(_, line)| {
+                let trimmed = line.trim();
+                trimmed.starts_with("_ =>") || trimmed.starts_with("_=>")
+            })
+            .map(|(index, line)| (index + 1, line))
+            .collect();
+
+        assert!(
+            wildcards.is_empty(),
+            "on_page 里出现了 `_ =>` 兜底（行 {:?}）：它会取消对 pages::Message 的穷尽性，\
+             新变体漏接线时编译器不再报 E0004",
+            wildcards
+        );
+    }
+}

crates/app-iced/src/app/update/settings.rs

@@ -0,0 +1,55 @@
+//! 设置页分组消息的**二级分发**（M101 `SETTINGSMSG`）：
+//! `pages::Message::Settings(GroupMessage)` → 四条填页线各自的 handler。
+//!
+//! ## 为什么分两级
+//!
+//! `app/update/page_messages.rs` 对 [`pages::Message`] 做穷尽匹配（没有 `_ =>`，有
+//! `the_page_match_has_no_wildcard_fallback` 守门）。设置页的四条填页线若各自往 `pages::Message`
+//! 里加变体，就都得改那个文件——四路并行必然冲突。M101 把它们收进一个投递口
+//! `pages::Message::Settings(GroupMessage)`，本文件再把 `GroupMessage` 分给四条线：
+//!
+//! ```text
+//! GroupMessage::Java(m)               → settings/java.rs
+//! GroupMessage::Download(m)           → settings/download.rs
+//! GroupMessage::LanguageAppearance(m) → settings/language_appearance.rs
+//! GroupMessage::AiAbout(m)            → settings/ai_about.rs
+//! ```
+//!
+//! ## 穷尽性：抓得住什么 / 抓不住什么
+//!
+//! - **抓得住**：某条线给 `GroupMessage` 加了载荷变体（= 在自己文件里加了一支消息）却忘了在本
+//!   match 里接线 → **E0004**；四个 handler 里对空枚举的 `match message {}` 一旦有人写成
+//!   `_ => {}`，`the_group_dispatch_has_no_wildcard_fallback` 会红（兜底会把「漏接线」从编译
+//!   错误降级成「点了没反应」，`page_messages.rs` 的同类守卫是这么写的，这里照抄）。
+//! - **抓不住**：handler 忽略自己的消息（`let _ = message; Task::none()`）、两个 handler 身体写反
+//!   或写成一样——类型对得上就编得过，只有人读能看出来。也因此「接错了组」的一半是编译期兜住的
+//!   （载荷类型不同 ⇒ 编不过），另一半（接了个空壳）不是。
+//!
+//! ## 加一支设置页消息要改哪
+//!
+//! 自己那条线的两个文件：消息口（`pages/settings/<线>.rs`）+ 落点（本目录 `<线>.rs`）。
+//! 本文件的 match 只在 `GroupMessage` **加变体**时才动，而那意味着新增一条线，不是加一支消息。
+
+use super::*;
+
+impl App {
+    /// 设置页的分组消息：分给四条线各自的文件，本文件不认识任何一支具体消息。
+    pub(super) fn on_settings(&mut self, message: pages::settings::GroupMessage) -> Task<Message> {
+        match message {
+            pages::settings::GroupMessage::Java(message) => self.on_settings_java(message),
+            pages::settings::GroupMessage::Download(message) => self.on_settings_download(message),
+            pages::settings::GroupMessage::LanguageAppearance(message) => {
+                self.on_settings_language_appearance(message)
+            }
+            pages::settings::GroupMessage::AiAbout(message) => self.on_settings_ai_about(message),
+        }
+    }
+}
+
+mod ai_about;
+mod download;
+mod java;
+mod language_appearance;
+
+#[cfg(test)]
+mod tests;

crates/app-iced/src/app/update/settings/ai_about.rs

@@ -0,0 +1,17 @@
+//! AI / About 分组消息的落点（M101 `SETTINGSMSG`）：**只归 ai+about 线**。
+//!
+//! 消息口在 `pages/settings/ai_about.rs`（`pages::settings::ai_about::Message`）。
+//!
+//! 首版是空枚举上的 `match message {}`：这是**穷尽**的写法（不是兜底），加了变体不接线就报 E0004。
+
+use super::super::*;
+
+impl App {
+    /// AI / About 分组的一条消息。首版没有可处理的东西（空枚举）。
+    pub(super) fn on_settings_ai_about(
+        &mut self,
+        message: pages::settings::ai_about::Message,
+    ) -> Task<Message> {
+        match message {}
+    }
+}

crates/app-iced/src/app/update/settings/download.rs

@@ -0,0 +1,18 @@
+//! Downloads 分组消息的落点（M101 `SETTINGSMSG`）：**只归 download 线**。
+//!
+//! 消息口在 `pages/settings/download.rs`（`pages::settings::download::Message`）。与下载页
+//! （`pages/download*` 与 `app/update/download.rs`）无关：那是「装哪个版本」，这一组是「怎么下」。
+//!
+//! 首版是空枚举上的 `match message {}`：这是**穷尽**的写法（不是兜底），加了变体不接线就报 E0004。
+
+use super::super::*;
+
+impl App {
+    /// Downloads 分组的一条消息。首版没有可处理的东西（空枚举）。
+    pub(super) fn on_settings_download(
+        &mut self,
+        message: pages::settings::download::Message,
+    ) -> Task<Message> {
+        match message {}
+    }
+}

crates/app-iced/src/app/update/settings/java.rs

@@ -0,0 +1,33 @@
+//! Java 分组消息的落点（M101 `SETTINGSMSG`）：**只归 java 线**。
+//!
+//! 消息口在 `pages/settings/java.rs`（`pages::settings::java::Message`）。加一支消息 = 改那两个
+//! 文件，`pages/mod.rs` / `page_messages.rs` / `app/update/settings.rs` 都不用动。
+//!
+//! 消息进来的通道有两条，都不经过共享文件：
+//! 1. **页面点击**：`pages::Message::Settings(GroupMessage::Java(..))` → `on_page` → `on_settings`；
+//! 2. **异步结果**：本文件自己构造 `Message::Page(pages::Message::Settings(GroupMessage::Java(..)))`
+//!    （`app::Message::Page` 是既有通道，不用加新变体）。
+//!
+//! 穷尽性：这里对 `java::Message` 做**穷尽**匹配（没有 `_ =>`、没有 `other =>`）。加了变体不接线
+//! 立刻 E0004；写成兜底会把编译错误降级成「点了没反应」，`app/update/settings/tests.rs` 的
+//! `the_group_dispatch_has_no_catch_all_arm` 会红。
+
+use super::super::*;
+
+impl App {
+    /// Java 分组的一条消息。
+    pub(super) fn on_settings_java(
+        &mut self,
+        message: pages::settings::java::Message,
+    ) -> Task<Message> {
+        match message {
+            // M101 r2 的**活的端到端证据**：只有测试构造这一支（java 线接第一个真控件时换成真变体）。
+            // 它真的改一个 app 状态，所以「消息从外壳走到 handler」这件事有运行时证据，不只是编译期。
+            #[cfg(test)]
+            pages::settings::java::Message::Ping => {
+                self.view_dirty = true;
+                Task::none()
+            }
+        }
+    }
+}

crates/app-iced/src/app/update/settings/language_appearance.rs

@@ -0,0 +1,19 @@
+//! 语言 + 外观两组消息的落点（M101 `SETTINGSMSG`）：**只归 language+appearance 线**。
+//!
+//! 消息口在 `pages/settings/language_appearance.rs`（`pages::settings::language_appearance::Message`）。
+//! 为什么两组共用一个消息口：它俩本就是同一条线的两个分组（General 的语言 / 主题 / 启动页，
+//! Appearance 的密度 / 圆角 / 动效 / 文字缩放），`GroupMessage` 只给这条线留一个变体。
+//!
+//! 首版是空枚举上的 `match message {}`：这是**穷尽**的写法（不是兜底），加了变体不接线就报 E0004。
+
+use super::super::*;
+
+impl App {
+    /// 语言 / 外观线的一条消息。首版没有可处理的东西（空枚举）。
+    pub(super) fn on_settings_language_appearance(
+        &mut self,
+        message: pages::settings::language_appearance::Message,
+    ) -> Task<Message> {
+        match message {}
+    }
+}

crates/app-iced/src/app/update/settings/tests.rs

@@ -0,0 +1,267 @@
+//! 设置页分组消息分发的**守门测试**（M101 `SETTINGSMSG`）。
+//!
+//! 判据与 `app/update/page_messages.rs` 里那条 `the_page_match_has_no_wildcard_fallback` 同源：
+//! 兜底会把「加了变体忘了接线」从**编译错误**降级成「点了没反应」。两级 dispatch 各守一条：
+//! 那一层守 `pages::Message`，本文件守 `GroupMessage` 与四个 handler。
+//!
+//! ## 判据（r2 复审 P2-3 之后收窄过一次）
+//!
+//! 上一版的判据是「除已知前缀外，任何含 `=>` 的行都算兜底」——**过宽**：往 handler 里加一个
+//! **没有兜底臂**的嵌套 match（`match true { true => …, false => … }`），或者 rustfmt 把长
+//! or-pattern 折行成 `| X =>`，都会让它假红。四条填页线一写真实逻辑就撞，守门反而推高成本。
+//!
+//! 现在的判据是**结构化的**：只找 `match message {` 这一层（用大括号深度计数把嵌套 match 排除
+//! 在外），**只看深度 1 的臂**——
+//!
+//! - `app/update/settings.rs` 的 `on_settings`：恰好 **4 条**臂，每条以 `pages::settings::GroupMessage::`
+//!   （或短写 `GroupMessage::`）开头；
+//! - 四个 handler：每条臂以该组自己的 `pages::settings::<线>::Message::`（或短写 `Message::`）开头，
+//!   还没有臂的（空枚举 `match message {}`）一条臂都没有；
+//! - 以 `|` 开头的折行 or-pattern 续行放行（它不可能是兜底）。
+//!
+//! ## 抓得住什么 / 抓不住什么
+//!
+//! 抓得住：
+//! 1. `on_settings` 里加 `_ =>` 或 binding 臂 `other =>`（`GroupMessage` 不再穷尽）；
+//! 2. handler 把 `match message {}` 改成 `_ => Task::none()` / `other => { … }`；
+//! 3. `on_settings` 的臂数不是 4（删了一条、或把两条合并）；
+//! 4. handler 的臂写成别的组的变体路径（前缀不对）。
+//!
+//! 抓不住（老实列出来）：
+//! 1. **嵌套 match 里的兜底**——深度 ≥2 的臂不看。这是刻意的：嵌套 match 的穷尽性由它自己的类型
+//!    保证，跟 `GroupMessage` 漏接线无关；代价是没人守「嵌套 match 自己写了个 `_ =>`」；
+//! 2. **跨行 pattern 分两种，别当一种**：以 `|` 开头的 or-pattern 续行**放行**（不误红）；
+//!    但**花括号形状**的多行 pattern（例如 `Message::SetRuntime {` 折成多行、`=>` 落在后面）
+//!    会被**静默跳过**——那一行不带 `=>`，于是既不算臂也不算违规（臂数 0、零违规），是**漏检**
+//!    而不是误红。两种都是洞，当前代码风格都不出现；真要用这种写法时把规则补上，别把守门删掉；
+//! 3. **字符串/字符字面量里的 `{` `}`** 会扰乱深度计数（本文件与四个 handler 都没有这种写法）；
+//! 4. handler 忽略消息（`let _ = message; Task::none()`）、两个 handler 身体写反或写成一样
+//!    ——类型对得上就编得过，只有人读能看出来；
+//! 5. `match message` 被改名或换变量名时找不到匹配，臂数为 0 —— 这时
+//!    `the_group_dispatch_has_exactly_four_arms` 会红（不是静默通过）。
+//!
+//! 站位：本文件是 `app::update::settings::tests`，`include_str!` 的路径相对本文件所在目录。
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_presenter::mock::MockBackend;
+use unlucky_presenter::settings_bridge::SettingsBridge;
+
+use crate::app::message::Message;
+use crate::app::state::App;
+use crate::cli::Options;
+use crate::pages;
+use crate::theme::Families;
+
+/// `on_settings` 的臂允许的前缀。
+const GROUP_ARMS: &[&str] = &["pages::settings::GroupMessage::", "GroupMessage::"];
+
+/// 一行的净大括号增量（`{` 加、`}` 减）。
+fn brace_delta(line: &str) -> i32 {
+    let open = line.matches('{').count() as i32;
+    let close = line.matches('}').count() as i32;
+    open - close
+}
+
+/// 扫一条 `match message { … }`，只看**本层**（深度 1）的臂。
+///
+/// 返回 `(本层的合法臂数, 违规行)`：违规 = 本层里含 `=>`、又不是「已知前缀开头」的行
+/// （`|` 开头的折行 or-pattern 续行放行）。嵌套 match 的臂在深度 ≥2，整段跳过。
+fn dispatch_arms(path: &str, source: &str, allowed: &[&str]) -> (usize, Vec<String>) {
+    let mut arms = 0usize;
+    let mut offending = Vec::new();
+    let mut depth = 0i32;
+    let mut inside = false;
+
+    for (index, line) in source.lines().enumerate() {
+        let trimmed = line.trim();
+        if trimmed.starts_with("//") {
+            continue;
+        }
+
+        if !inside {
+            if trimmed.contains("match message {") {
+                inside = true;
+                depth = 1;
+            }
+            continue;
+        }
+
+        if depth == 1 && trimmed.contains("=>") {
+            let pattern = trimmed.trim_start_matches('|').trim_start();
+            if allowed.iter().any(|prefix| pattern.starts_with(prefix)) {
+                arms += 1;
+            } else if !trimmed.starts_with('|') {
+                offending.push(format!("{path}:{}: {trimmed}", index + 1));
+            }
+        }
+
+        depth += brace_delta(trimmed);
+        if depth <= 0 {
+            break;
+        }
+    }
+
+    (arms, offending)
+}
+
+/// 不碰磁盘的 App（mock 后端 + 内存设置桥），与 `app/tests.rs` 的 `headless` 同一副骨架。
+fn headless() -> App {
+    const FAMILIES: Families = Families {
+        text: "Segoe UI",
+        display: "Segoe UI",
+        mono: "Consolas",
+    };
+
+    App::with_presenter(
+        Options::default(),
+        FAMILIES,
+        SchemeFlavor::Light,
+        Box::new(MockBackend::new()),
+        SettingsBridge::memory_only(),
+    )
+}
+
+// --------------------------------------------------------------- 守门本体
+
+/// `on_settings` 与四个 handler 的**本层**臂里不许出现任何形式的兜底（`_ =>` 或 `other =>`）。
+#[test]
+fn the_group_dispatch_has_no_catch_all_arm() {
+    let sources: [(&str, &str, &[&str]); 5] = [
+        (
+            "app/update/settings.rs",
+            include_str!("../settings.rs"),
+            GROUP_ARMS,
+        ),
+        (
+            "app/update/settings/java.rs",
+            include_str!("java.rs"),
+            &["pages::settings::java::Message::", "Message::"],
+        ),
+        (
+            "app/update/settings/download.rs",
+            include_str!("download.rs"),
+            &["pages::settings::download::Message::", "Message::"],
+        ),
+        (
+            "app/update/settings/language_appearance.rs",
+            include_str!("language_appearance.rs"),
+            &[
+                "pages::settings::language_appearance::Message::",
+                "Message::",
+            ],
+        ),
+        (
+            "app/update/settings/ai_about.rs",
+            include_str!("ai_about.rs"),
+            &["pages::settings::ai_about::Message::", "Message::"],
+        ),
+    ];
+
+    let mut offending = Vec::new();
+    for (path, source, allowed) in sources {
+        let (_, bad) = dispatch_arms(path, source, allowed);
+        offending.extend(bad);
+    }
+
+    assert!(
+        offending.is_empty(),
+        "设置页分组消息的 dispatch 本层出现了兜底臂（{offending:?}）：\
+         任何 catch-all / binding 臂都会取消 `GroupMessage` 的穷尽性，\
+         新变体漏接线时编译器不再报 E0004"
+    );
+}
+
+/// `on_settings` 必须**恰好四条**臂，一条一条显式写全（不是「至少」）。
+///
+/// 抓得住：删掉一条臂、把两条合并、或者把 `match message` 改名（改名后扫不到臂 ⇒ 0 ≠ 4）。
+/// 抓不住：臂的顺序（顺序不影响语义）、每条臂接到了哪个 handler（类型对得上就编得过）。
+#[test]
+fn the_group_dispatch_has_exactly_four_arms() {
+    let (arms, _) = dispatch_arms(
+        "app/update/settings.rs",
+        include_str!("../settings.rs"),
+        GROUP_ARMS,
+    );
+
+    assert_eq!(
+        arms, 4,
+        "`on_settings` 应该恰好四条臂（java / download / language_appearance / ai_about），实际 {arms} 条"
+    );
+}
+
+/// **守门自身不误伤**：嵌套 match 与折行的 or-pattern 都不算兜底（r2 复审 P2-3 的探针）。
+///
+/// 这条是上一版判据假红的回归测试：复审往 handler 里加 `match true { true => …, false => … }`
+/// 就让它 FAILED；现在这类写法必须放行。
+#[test]
+fn the_guard_ignores_nested_matches_and_folded_or_patterns() {
+    let synthetic = "\
+impl App {
+    fn on_settings_java(&mut self, message: pages::settings::java::Message) -> Task<Message> {
+        match message {
+            pages::settings::java::Message::Probe => {
+                let nested = match true { true => 10u8, false => 11u8 };
+                let _ = nested;
+                Task::none()
+            }
+            | pages::settings::java::Message::Retry => Task::none(),
+        }
+    }
+}
+";
+
+    let (arms, offending) = dispatch_arms(
+        "synthetic",
+        synthetic,
+        &["pages::settings::java::Message::"],
+    );
+    assert!(
+        offending.is_empty(),
+        "正常代码被误判成兜底（这正是 r2 复审 P2-3 的假红）：{offending:?}"
+    );
+    assert_eq!(arms, 2, "嵌套 match 里的两条臂不算本层臂");
+}
+
+/// **守门仍然有牙**：`_ =>` 与 binding 臂 `other =>` 都要被本层判成兜底。
+#[test]
+fn the_guard_still_catches_both_catch_all_shapes() {
+    for arm in [
+        "_ => Task::none(),",
+        "other => { let _ = other; Task::none() }",
+    ] {
+        let synthetic = format!(
+            "impl App {{\n    fn on_settings_java(&mut self, message: M) -> Task<Message> {{\n        match message {{\n            {arm}\n        }}\n    }}\n}}\n"
+        );
+        let (_, offending) = dispatch_arms("synthetic", &synthetic, GROUP_ARMS);
+        assert_eq!(
+            offending.len(),
+            1,
+            "`{arm}` 是兜底，必须被判红（实际 {offending:?}）"
+        );
+    }
+}
+
+// --------------------------------------------------------------- 活的端到端证据
+
+/// **活的端到端证据**：一条组消息真的从外壳那条既有通道走到该组的 handler（r1 复审要求）。
+///
+/// 路径：`app::Message::Page` → `on_page` → `pages::Message::Settings` → `on_settings` →
+/// `on_settings_java`，最后改到 `App` 的状态。r1 之前这条链只有编译期证据（`GroupMessage` 是
+/// uninhabited，运行时是死代码）；现在至少有一支真的跑得起来。
+///
+/// 抓得住：漏斗某一环接断了（`on_page` 没转交、`on_settings` 转错组、handler 忽略消息）——那时
+/// `view_dirty` 不会翻。抓不住：真实用户点击（本条没有 UI 控件，构造点只有测试）。
+#[test]
+fn a_group_message_reaches_its_handler_through_the_funnel() {
+    let mut app = headless();
+    app.view_dirty = false;
+
+    let _ = app.update(Message::Page(pages::Message::Settings(
+        pages::settings::GroupMessage::Java(pages::settings::java::Message::Ping),
+    )));
+
+    assert!(
+        app.view_dirty,
+        "java 线的消息没有走到 `on_settings_java`：消息漏斗在某一环断了"
+    );
+}

crates/app-iced/src/app/update/update_action.rs

@@ -0,0 +1,158 @@
+//! 自更新动作的落点（M159）：`pages::Message::Update(UpdateAction)` → presenter 指令 / 重启。
+//!
+//! 三条纪律：
+//!
+//! 1. **不做乐观回显**：点了「下载并安装」不改本地状态，等 `CoreEvent::Update` 回来才变
+//!    （与启动/安装同一条：本地状态与事件流打架时，界面会自说一套）；
+//! 2. 更新的**判断**（要不要提示、失败算什么、版本比较）全在 core/presenter，这里只转发；
+//! 3. 「立即重启」是本文件唯一碰进程的地方：先按同样的命令行拉起新进程，再退出自己——
+//!    正因为替换已经完成（新 exe 就在原路径上），拉起来的就是新版本。
+
+use iced::Task;
+use unlucky_presenter::dto::AppCommand;
+
+use crate::pages::UpdateAction;
+
+use super::super::message::Message;
+use super::super::state::App;
+
+impl App {
+    /// 一条更新动作。
+    pub(super) fn on_update_action(&mut self, action: UpdateAction) -> Task<Message> {
+        match action {
+            UpdateAction::CheckNow => self.dispatch(AppCommand::CheckUpdate),
+            UpdateAction::Apply => self.dispatch(AppCommand::ApplyUpdate),
+            UpdateAction::Dismiss => self.dispatch(AppCommand::DismissUpdate),
+            UpdateAction::SetAutoCheck(on) => self.dispatch(AppCommand::SetUpdateAutoCheck(on)),
+            UpdateAction::RestartNow => return self.restart_now(),
+        }
+        Task::none()
+    }
+
+    /// 立即重启：按同样的命令行拉起自己，然后退出。
+    ///
+    /// 截图通道（`--screenshot`）**不重启**：那条路每跑一次就该落一张图然后退出，重启会覆盖同一
+    /// 文件、并把取证进程拖成死循环。
+    fn restart_now(&mut self) -> Task<Message> {
+        if self.options.screenshot.is_some() {
+            eprintln!("[update] 截图通道不重启（忽略「立即重启」）");
+            return Task::none();
+        }
+        match std::env::current_exe() {
+            Ok(exe) => {
+                let args: Vec<std::ffi::OsString> = std::env::args_os().skip(1).collect();
+                match std::process::Command::new(&exe).args(&args).spawn() {
+                    Ok(child) => eprintln!(
+                        "[update] 已拉起新进程 pid={}：{}",
+                        child.id(),
+                        exe.display()
+                    ),
+                    Err(error) => {
+                        eprintln!("[update] 拉起新进程失败：{error}（请手动重启启动器）");
+                        return Task::none();
+                    }
+                }
+            }
+            Err(error) => {
+                eprintln!("[update] 取 current_exe 失败：{error}");
+                return Task::none();
+            }
+        }
+        iced::exit()
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    use std::sync::{Arc, Mutex};
+
+    use iced::Task;
+    use unlucky_design::color::SchemeFlavor;
+    use unlucky_presenter::dto::{AppCommand, AppEvent, Backend};
+    use unlucky_presenter::settings_bridge::SettingsBridge;
+
+    use crate::app::state::App;
+    use crate::cli::Options;
+    use crate::pages::UpdateAction;
+    use crate::theme::Families;
+
+    const FAMILIES: Families = Families {
+        text: "Segoe UI",
+        display: "Segoe UI",
+        mono: "Consolas",
+    };
+
+    /// 记录命令流的假后端：把 `dispatch` 收到的每一条抄进共享表（动作接线断没断靠它判）。
+    struct Recorder {
+        seen: Arc<Mutex<Vec<AppCommand>>>,
+    }
+
+    impl Backend for Recorder {
+        fn drain_events(&mut self) -> Vec<AppEvent> {
+            Vec::new()
+        }
+
+        fn dispatch(&mut self, command: AppCommand) {
+            self.seen
+                .lock()
+                .unwrap_or_else(|poisoned| poisoned.into_inner())
+                .push(command);
+        }
+
+        fn tick(&mut self, _elapsed: std::time::Duration) {}
+    }
+
+    fn app() -> (App, Arc<Mutex<Vec<AppCommand>>>) {
+        let seen = Arc::new(Mutex::new(Vec::new()));
+        let app = App::with_presenter(
+            Options::default(),
+            FAMILIES,
+            SchemeFlavor::Light,
+            Box::new(Recorder {
+                seen: Arc::clone(&seen),
+            }),
+            SettingsBridge::memory_only(),
+        );
+        (app, seen)
+    }
+
+    fn last(seen: &Arc<Mutex<Vec<AppCommand>>>) -> AppCommand {
+        seen.lock()
+            .unwrap_or_else(|poisoned| poisoned.into_inner())
+            .last()
+            .cloned()
+            .expect("应当派发过一条命令")
+    }
+
+    /// 四个转发动作各自交给后端**对应的**指令（串线会红）。
+    #[test]
+    fn every_update_action_reaches_the_backend() {
+        let (mut app, seen) = app();
+
+        let _: Task<_> = app.on_update_action(UpdateAction::CheckNow);
+        assert_eq!(last(&seen), AppCommand::CheckUpdate);
+
+        let _ = app.on_update_action(UpdateAction::Apply);
+        assert_eq!(last(&seen), AppCommand::ApplyUpdate);
+
+        let _ = app.on_update_action(UpdateAction::Dismiss);
+        assert_eq!(last(&seen), AppCommand::DismissUpdate);
+
+        let _ = app.on_update_action(UpdateAction::SetAutoCheck(false));
+        assert_eq!(last(&seen), AppCommand::SetUpdateAutoCheck(false));
+    }
+
+    /// 截图通道不重启：取证进程不许把自己重启成死循环。
+    #[test]
+    fn the_screenshot_channel_never_restarts() {
+        let (mut app, seen) = app();
+        app.options.screenshot = Some(std::path::PathBuf::from("C:/Temp/shot.png"));
+        let _ = app.on_update_action(UpdateAction::RestartNow);
+        assert!(
+            seen.lock()
+                .unwrap_or_else(|poisoned| poisoned.into_inner())
+                .is_empty(),
+            "重启不是一条后端指令（不该派发任何命令）"
+        );
+    }
+}

crates/app-iced/src/app/view.rs

@@ -0,0 +1,201 @@
+//! `view`：presenter 快照 → 页面视图模型 → 控件树。
+//!
+//! 展示转换（快照字段 → 显示文本/网格）**全部在这里**，页面层只认 [`pages::Model`]。
+//!
+//! 实例页那一段（`1.20.4 · Fabric`、运行状态、元信息卡）M120 搬进 [`instances`]：本文件
+//! 当时贴着 400 行硬线，而 i18n 还要在这个函数里接一批阶段标签。
+
+use iced::{Element, Theme};
+
+use unlucky_i18n::Lang;
+use unlucky_presenter::router::Route;
+use unlucky_presenter::state::AppState;
+
+use crate::app::components::interaction::Interaction;
+use crate::cli::Screen;
+use crate::pages::{self, Row};
+use crate::shell::{self, agent, NavItem};
+
+use super::message::{nav_item_of, Message};
+use super::state::{log_first_frame, App};
+use super::APP_TITLE;
+
+mod account_page;
+mod instances;
+mod logs;
+mod rail;
+mod update;
+
+use instances::{detail_of, runtime_status, supporting_line};
+use logs::logs_model;
+use update::update_of;
+
+impl App {
+    /// 主题名（iced 只在 `Theme::name()` 变化时重算受主题影响的缓存）。
+    pub(super) fn theme(&self) -> Theme {
+        self.ui().theme()
+    }
+
+    /// 窗口标题（自绘标题栏另画一份，这里是给系统/截图工具看的）。
+    pub(super) fn title(&self) -> String {
+        APP_TITLE.to_owned()
+    }
+
+    /// 整棵树。
+    pub(super) fn view(&self) -> Element<'_, Message> {
+        log_first_frame();
+
+        // `--screen=gallery`：组件库 harness（D39 §5）。它用自己的 DemoMessage，
+        // 这里只做一次 map，组件库与业务 Message 依然解耦。
+        if self.options.screen == Screen::Gallery {
+            return super::components::gallery::view(&self.ui).map(Message::Demo);
+        }
+
+        // 产品页走**内容槽位**：外壳（标题栏 / 拖动与缩放热区 / 三个 caption 键 / rail）由
+        // `shell` 画，中间那块才是页面（`DragWindow`/`ResizeStart`/`Minimize`/`ToggleMaximize`/`Close`
+        // 五种消息的构造点只在外壳里，页面树自己画的标题栏拖不动窗口）。
+        //
+        // M93：三样东西从外观状态进来——①背景层（垫在最底下）②面板 α（外壳层的底色）③设置页要读
+        // 的那份状态。M101 r2 起 ③ 走 `page_with_settings`：外观状态 + 各组自己的状态一起递进去。
+        let background =
+            pages::appearance::layer(&self.ui, &self.appearance, (self.width, self.height))
+                .map(|element| element.map(Message::Page));
+        // 右栗（M104）：拆出档返回 `None`（会话已在独立页里）；拖拽期间另有铺满窗口的取指针层。
+        let overlay = agent::drag_overlay(&self.agent).map(|element| element.map(Message::Agent));
+        // M119：会话内容 / 未读 / busy / 待确认全部来自 presenter 的 rail，失败横幅是 app 层
+        // 备好的**展示输入**（标题 catalog 键 + 已脱敏正文）。壳在这里不做任何脱敏。
+        // 界面语言的真值源是 `App::lang`（M106）：右栏的静态文案也走它，不再有 `const LANG`
+        let agent_catalog = self.lang().catalog();
+        // 会话入参：rail 借 presenter、失败横幅由 app 层备好、`simulated` 是后端的事实
+        let session = agent::Session {
+            agent: &self.agent,
+            rail: self.agent_host.rail(),
+            failure: self.agent_failure(),
+            simulated: self.agent_host.is_simulated(),
+        };
+
+        let account = self.rail_account();
+        match pages::Screen::of(self.state.route()) {
+            Some(_) => shell::view_with_account(
+                &self.ui,
+                shell::NavRail {
+                    selected: nav_item_of(self.state.route()),
+                    account: account.clone(),
+                },
+                APP_TITLE,
+                background,
+                // M101 r2：设置页的只读状态（外观运行期状态 + 各组自己的状态）一次递进去。
+                pages::page_with_settings(
+                    &self.ui,
+                    &self.view,
+                    pages::settings::States {
+                        appearance: Some(&self.appearance),
+                        groups: &self.settings,
+                    },
+                    // M106：设置页 General 组要画「当前档位 + 生效语言」。
+                    self.language(),
+                    // M157：实例页「启动参数」区的表单（编辑态归 `App`，页面只借一帧）。
+                    &self.launch_form,
+                )
+                .map(Message::Page),
+                agent::docked(&self.ui, session, agent_catalog, self.width)
+                    .map(|element| element.map(Message::Agent)),
+                overlay,
+                self.options.force_state,
+                self.lang(),
+            ),
+            // 账户页（M114）：它不走 `pages::Screen` 那四页的 `Model`，自己一棵树
+            // （树在 `app/view/account_page.rs`，与其它页共用 M104 的中栏可用宽）。
+            None if self.state.route() == &Route::Accounts => {
+                self.account_page(&account, background, overlay)
+            }
+            // `Route::Agent`：独立页与右栏共用同一个 `conversation::view`（`agent::page` 内部调的它）。
+            None => shell::view_with_account(
+                &self.ui,
+                shell::NavRail {
+                    selected: NavItem::Ai,
+                    account: account.clone(),
+                },
+                APP_TITLE,
+                background,
+                agent::page(&self.ui, session, agent_catalog, self.width).map(Message::Agent),
+                None,
+                overlay,
+                self.options.force_state,
+                self.lang(),
+            ),
+        }
+    }
+}
+
+// --------------------------------------------------------------- 快照 → 视图模型
+
+/// 把 presenter 的快照转成页面视图模型（**唯一**的展示转换点）。
+///
+/// `forced` 是 `--force-state` 的落点（P3-1）：它只影响**画出来的**状态层，不改任何状态机。
+///
+/// `width` 是**中栗可用宽度**（窗口 − 右栗 − 拖拽缝，由 `AgentUi::content_width` 算），不是窗口宽：
+/// 页面布局系统仍按「一个窗口宽」扣左轨与页边距，所以右栗占掉的那一段必须在这里先减掉——
+/// 否则助手栏一展开，页面还按 1180 排版，内容就顶到面板底下了（任务里的「收缩而不是溢出」）。
+pub(super) fn model(
+    state: &AppState,
+    width: f32,
+    forced: Option<crate::cli::ForcedState>,
+    category: pages::Category,
+    draft: &pages::InstallDraft,
+    lang: Lang,
+    content: &pages::content::PageState,
+) -> pages::Model {
+    let route = state.route().clone();
+    let screen = pages::Screen::of(&route).unwrap_or(pages::Screen::Instances);
+    // 实例页的文案真源：`App::lang` 的目录（M120）。列表 overline / 元信息标签 / 空态都从它取。
+    let catalog = lang.catalog();
+
+    let rows: Vec<Row> = state
+        .tiles()
+        .into_iter()
+        .map(|cell| Row {
+            id: cell.instance.id.clone(),
+            name: cell.instance.name.clone(),
+            supporting: supporting_line(cell.instance, catalog),
+            status: runtime_status(&cell.instance.runtime, catalog),
+        })
+        .collect();
+
+    let detail = match &route {
+        Route::Detail(id) => state
+            .instances
+            .iter()
+            .find(|instance| &instance.id == id)
+            .map(|instance| detail_of(instance, catalog)),
+        _ => None,
+    };
+
+    pages::Model {
+        screen,
+        window_width: width,
+        active: route.nav(),
+        instances: pages::Instances { rows, detail },
+        download: pages::Download::from_snapshot(state, category, draft, lang.catalog()),
+        // M109：检索条件/结果来自快照，页面内选择（类型/选中/目标/草稿）来自 `App::content`
+        content: pages::content::Content::from_snapshot(state, content, lang.catalog()),
+        logs: logs_model(state).with_status(lang),
+        // M159：更新快照 → 页面视图（设置页「更新」区 + 顶部提示条都读它）
+        update: update_of(&state.update),
+        lang,
+        forced: forced.map(|state| match state {
+            // `Rest` = 常态（压掉系统光标 hover）；`Interaction::Enabled` 就是静息态，不叠状态层。
+            crate::cli::ForcedState::Rest => Interaction::Enabled,
+            crate::cli::ForcedState::Hover => Interaction::Hovered,
+            crate::cli::ForcedState::Pressed => Interaction::Pressed,
+        }),
+    }
+}
+
+#[cfg(test)]
+#[path = "view/tests.rs"]
+mod tests;
+
+/// 测试只借这一条（其余三条 `model()` 自己用）。
+#[cfg(test)]
+use instances::last_played;

crates/app-iced/src/app/view/account_page.rs

@@ -0,0 +1,73 @@
+//! 账户页（M114）的**整页装配**：从 `App` 的状态拼出内容树，再交给外壳。
+//!
+//! 为什么单独一个文件：`app/view.rs` 贴着 400 行硬线（M104 的右栏分支已经把余量吃掉了），
+//! 而这段是纯装配（没有状态数学），搬出来不改变任何语义。
+//!
+//! 宽度口径：用 `AccountPage::width`（= M104 的 `AgentUi::content_width`，中栏可用宽），
+//! 与其它页、与 `refresh_view` 同一份来源——右栏展开时账户页**一起收缩**，不会顶到面板底下。
+
+use iced::Element;
+
+use crate::app::Message;
+use crate::pages;
+use crate::pages::account::Page as AccountPage;
+use crate::shell::{self, agent, NavItem, RailAccount};
+
+use super::super::state::App;
+use super::super::APP_TITLE;
+
+impl App {
+    /// 账户页视图模型的重建（`refresh_view` 的账户那一步）。
+    ///
+    /// 与 `view` 同一次门控；语言跟着 M106 的 `LangState` 走（M114 早期钉死 `Lang::En`
+    /// 的写法已删），宽度用 M104 的中栏可用宽。放在这里是为了让 `app/state.rs` 守住 400 行。
+    pub(in crate::app) fn rebuild_account_page(&mut self, width: f32) {
+        let lang = self.lang();
+        self.account = AccountPage::build(
+            &self.state,
+            &self.account_form,
+            &mut self.avatars,
+            lang,
+            width,
+        );
+    }
+
+    /// 账户页（走 `pages::account` 自己的树，而不是 `pages::Screen` 那四页的 `Model`）。
+    pub(super) fn account_page<'a>(
+        &'a self,
+        account: &RailAccount,
+        background: Option<Element<'a, Message>>,
+        overlay: Option<Element<'a, Message>>,
+    ) -> Element<'a, Message> {
+        let metrics =
+            pages::layout::frame_metrics(pages::layout::PaneKit::Single, self.account.width);
+        shell::view_with_account(
+            &self.ui,
+            shell::NavRail {
+                selected: NavItem::Account,
+                account: account.clone(),
+            },
+            APP_TITLE,
+            background,
+            // M106：账户页的文案跟着**生效语言**走（`LangState::boot` 自己读 `ULL_LANG`，
+            // 所以 M114 早期那个「截图专用语言开关」已删——两套开关必然漂）。
+            pages::account::view(&self.ui, metrics, &self.account, self.lang()).map(Message::Page),
+            // M119：右栗的会话内容 / 未读 / busy 全部来自 presenter 的 rail（`agent_host`）
+            agent::docked(
+                &self.ui,
+                agent::Session {
+                    agent: &self.agent,
+                    rail: self.agent_host.rail(),
+                    failure: self.agent_failure(),
+                    simulated: self.agent_host.is_simulated(),
+                },
+                self.lang().catalog(),
+                self.width,
+            )
+            .map(|element| element.map(Message::Agent)),
+            overlay,
+            self.options.force_state,
+            self.lang(),
+        )
+    }
+}

crates/app-iced/src/app/view/instances.rs

@@ -0,0 +1,173 @@
+//! 实例页的**展示转换**（M120 从 `app/view.rs` 原样搬出：那边给 i18n 让出行数）。
+//!
+//! | 函数 | 产物 | 谁读 |
+//! |---|---|---|
+//! | [`supporting_line`] | 列表行 / 详情副标题 `1.20.4 · Fabric 0.16.5` | [`crate::pages::Row`] / [`crate::pages::Detail`] |
+//! | [`runtime_status`] | 运行状态行（列表 overline + 详情状态行共用一份） | 同上 |
+//! | [`detail_of`] | 详情列的全部字段 | [`crate::pages::Detail`] |
+//! | [`last_played`] | `2026-10-29 19:22 UTC` / `Never` | 元信息卡 `LAST PLAYED` |
+//!
+//! 这里只做「快照字段 → 要画什么」，不碰控件树。**文案的语言由调用方的 [`Catalog`] 决定**
+//! （`view::model` 把 `App::lang` 的目录传进来），不再是 M90 时期的英文基线字面量。
+//!
+//! ## 两条接法上的取舍
+//!
+//! 1. **原版徽标走词表**：`LoaderInfo::badge()` 对原版返回**中文**「原版」（那是 presenter 的
+//!    面向中文日志的 `label()`），英文界面里直接画它就是「中文漏进英文界面」。所以原版这一支
+//!    改走 [`Key::LoaderVanilla`]，装加载器时仍是 `Fabric 0.16.5`（品牌 + 版本号，不翻译）；
+//! 2. **运行状态只翻标签本体**：`Running · pid 1234` → `运行中 · pid 1234`，`pid` 与数字、
+//!    `·` 分隔符一个字都不动（[`Key::InstancesRunning`] 的占位符只有 `{pid}`）。
+
+use unlucky_i18n::{Catalog, Key};
+use unlucky_presenter::dto::{InstanceRuntime, InstanceSummary, LaunchStage, LoaderKind};
+
+use crate::pages::{Detail, LaunchFacts, Meta};
+
+/// 列表行的副文案：`1.20.4 · Fabric 0.16.5`（原版只写「原版 / Vanilla」，见 [`loader_badge`]）。
+pub(super) fn supporting_line(instance: &InstanceSummary, catalog: Catalog) -> String {
+    format!(
+        "{} · {}",
+        instance.mc_version,
+        loader_badge(instance, catalog)
+    )
+}
+
+/// 加载器徽标：原版走词表，其余交给 `LoaderInfo::badge()`（品牌 + 版本号，原样）。
+///
+/// **判据只能是「加载器类型本身是原版」**。曾经写成「原版 **或** 版本号为空」⇒
+/// `1.20.1-forge` / `1.20.1-neoforge` / `1.20.1-OptiFine` 这类**取不到版本段**的 id（`badge()`
+/// 对它们给的就是品牌名 `Forge` / `NeoForge` / `OptiFine`）会被显示成「原版 / Vanilla」——
+/// 那是 M120 r1 的 p2-1 回归，`the_loader_badge_keeps_the_brand_when_the_version_is_missing` 守着。
+fn loader_badge(instance: &InstanceSummary, catalog: Catalog) -> String {
+    match instance.loader.kind {
+        // 唯一需要过词表的一支：`LoaderKind::label()` 对原版返回的是**中文**「原版」
+        LoaderKind::Vanilla => catalog.text(Key::LoaderVanilla).to_string(),
+        // 其余品牌名不翻译；版本号为空时 `badge()` 自己就只给品牌名
+        _ => instance.loader.badge(),
+    }
+}
+
+/// 隔离档位：`isolated` / `shared` 是两个稳定 id（`core::game::IsolationMode::as_str`），
+/// 直接上屏就是英文界面漏中文、中文界面漏英文。只认这两档，**其余原样**（`inherit` / `custom` /
+/// 未来新增的值不许在这里被猜成一个意思）。
+fn isolation(raw: &str, catalog: Catalog) -> String {
+    match raw {
+        "isolated" => catalog.text(Key::InstancesIsolationIsolated).to_string(),
+        "shared" => catalog.text(Key::InstancesIsolationShared).to_string(),
+        other => other.to_string(),
+    }
+}
+
+/// 运行状态（列表行的 overline 与详情页的状态行共用一份文案）。
+pub(super) fn runtime_status(runtime: &InstanceRuntime, catalog: Catalog) -> Option<String> {
+    match runtime {
+        InstanceRuntime::Idle => None,
+        // 「阶段 · 百分比」：百分比是数字，不过词表；只有阶段名换语言
+        InstanceRuntime::Busy { stage, progress } => Some(format!(
+            "{} · {:.0}%",
+            stage_label(*stage, catalog),
+            progress.ratio() * 100.0
+        )),
+        InstanceRuntime::Running { pid } => {
+            Some(catalog.render(Key::InstancesRunning, &[("pid", &pid.to_string())]))
+        }
+        // `reason` 是 core 给的诊断原文（**数据**，不翻译）；只有前半句是界面文案
+        InstanceRuntime::Failed { reason } => {
+            Some(catalog.render(Key::InstancesFailed, &[("reason", reason)]))
+        }
+    }
+}
+
+/// 阶段文案：**不**复用 `LaunchStage::label()`（那是核心层的中文诊断串，英文界面会漏中文）。
+fn stage_label(stage: LaunchStage, catalog: Catalog) -> &'static str {
+    catalog.text(match stage {
+        LaunchStage::Download => Key::InstancesStageDownload,
+        LaunchStage::Verify => Key::InstancesStageVerify,
+        LaunchStage::Launch => Key::InstancesStageLaunch,
+        LaunchStage::Window => Key::InstancesStageWindow,
+    })
+}
+
+/// 详情列的内容（字段全部来自 [`InstanceSummary`]）。
+pub(super) fn detail_of(instance: &InstanceSummary, catalog: Catalog) -> Detail {
+    Detail {
+        id: instance.id.clone(),
+        name: instance.name.clone(),
+        subtitle: supporting_line(instance, catalog),
+        meta: vec![
+            meta(
+                catalog.text(Key::InstancesMetaVersion),
+                &instance.mc_version,
+            ),
+            meta(
+                catalog.text(Key::InstancesMetaLoader),
+                &loader_badge(instance, catalog),
+            ),
+            meta(
+                catalog.text(Key::InstancesMetaIsolation),
+                &isolation(&instance.isolation, catalog),
+            ),
+            meta(
+                catalog.text(Key::InstancesMetaVersionId),
+                &instance.version_id,
+            ),
+            meta(
+                catalog.text(Key::InstancesMetaFiles),
+                catalog.text(if instance.version_present {
+                    Key::InstancesPresentOnDisk
+                } else {
+                    Key::InstancesMissing
+                }),
+            ),
+            meta(
+                catalog.text(Key::InstancesMetaLastPlayed),
+                &last_played(instance.last_played.as_deref(), catalog),
+            ),
+        ],
+        // 真快照没有「正文描述」这种字段（偏离 #9）：演示数据才有正文段
+        note: None,
+        status: runtime_status(&instance.runtime, catalog),
+        can_launch: matches!(
+            instance.runtime,
+            InstanceRuntime::Idle | InstanceRuntime::Failed { .. }
+        ),
+        can_stop: matches!(
+            instance.runtime,
+            InstanceRuntime::Busy { .. } | InstanceRuntime::Running { .. }
+        ),
+        // M157：启动参数区的**只读事实**（门槛 / 生效值 / 三态词表全部来自 presenter 快照，
+        // 页面不复制任何一条判据；表单值在 `App::launch_form`）。
+        launch: LaunchFacts {
+            allowed: instance.launch.graphics_backend_allowed,
+            mc_version: instance.launch.mc_version.clone(),
+            min_version: instance.launch.graphics_backend_min_version.clone(),
+            memory_effective_mb: instance.launch.memory_effective_mb,
+            java_effective: instance.launch.java_effective.clone(),
+            backend_effective: instance.launch.graphics_backend_effective.clone(),
+            options: instance.launch.graphics_backend_options.clone(),
+        },
+    }
+}
+
+fn meta(label: &str, value: &str) -> Meta {
+    Meta {
+        label: label.to_string(),
+        value: value.to_string(),
+    }
+}
+
+/// ISO-8601（`2026-10-29T19:22:00Z`）→ `2026-10-29 19:22 UTC`；`None` = 从未启动。
+///
+/// 只做切片不做时区换算：core 给的是 UTC，`Z` 就是它的时区；本地时区换算等时间格式 mission。
+/// 非 ASCII 或长度不足时原样返回（不 panic、不猜）。
+pub(super) fn last_played(raw: Option<&str>, catalog: Catalog) -> String {
+    let Some(text) = raw else {
+        return catalog.text(Key::InstancesNeverPlayed).to_string();
+    };
+    match (text.get(0..10), text.get(11..16)) {
+        (Some(date), Some(time)) if date.starts_with(|c: char| c.is_ascii_digit()) => {
+            format!("{date} {time} UTC")
+        }
+        _ => text.to_string(),
+    }
+}

crates/app-iced/src/app/view/logs.rs

@@ -0,0 +1,144 @@
+//! 日志页的展示转换：presenter 快照 → [`pages::Logs`]（从 `app/view.rs` 拆出来，M95 r3）。
+//!
+//! ## 跨会话串场（M95 r3 的 p2，代码复审抓的）
+//!
+//! r2 的写法先按 `state.diagnosis` 定「这是哪一场」：
+//!
+//! ```ignore
+//! let session = report.and_then(|r| log_sessions.find(|s| s.id == r.session)).or_else(|| …selected…);
+//! ```
+//!
+//! 而 `state.diagnosis` **全仓只写不清**（`presenter::state::apply_core` 里
+//! `CoreEvent::DiagnosisReady` 是唯一赋值点，没有任何清零点），host 也只在崩溃 / 打开会话 /
+//! 导入崩溃文件时发它。于是「崩溃一场 → 再启动一场正常跑」这个最普通的路径下：
+//! 页头把**新**会话标成上一场的 `The game crashed`、诊断卡挂着上一场的结论，而用户复制去贴
+//! issue 的摘要里 `lines=` 是新的那一场的行数——**结论与行数不同源**，用户会把错诊断递出去。
+//!
+//! 现在的口径（不动 presenter 的写入口，只在页面侧判别）：
+//!
+//! | 概念 | 取值 |
+//! |---|---|
+//! | **身份**（这一场是谁） | `live_session`（正在跑）→ `selected_session`（打开/刚结束的），**不从 `diagnosis` 反推** |
+//! | 诊断结论 | 见下表的三个分支（r4 修正了 r3 的一条**回归**：r3 只认身份，把「导入崩溃文件」与「打开会话」两条路径的诊断一并关掉了） |
+//! | 实例/时间/结局（给页头描述） | 身份优先；身份为空才退到报告的 session |
+//!
+//! 归属判据（`report.session` 与身份的关系）：
+//!
+//! | `live_session` | `selected_session` | 报告算数的条件 |
+//! |---|---|---|
+//! | `Some(live)` | 任意 | `report.session == live` —— 只有它在线时日志行是它自己在追加，别人的报告挂上来就是串场 |
+//! | `None` | `Some(sel)` | `report.session == sel` **或** 报告不属于任何已知会话（`ImportCrashLog` 用 `file:<文件名>` 当会话 id，永远不在索引里） |
+//! | `None` | `None` | 全部算数 —— 此时日志行只可能来自 `open_session` 或导入，两者都与报告同一次调用发出 |
+//!
+//! 已知残留（今天 iced 侧不可达，登记在报告里）：`open_session(A)` 在 `selected_session` 仍停在上
+//! 一场 B 时会被第三行判据挡掉（A 是已知会话且 ≠ B）——真正要修得让 presenter 在
+//! `LogLinesChanged` 时把「日志行属于哪一场」记下来（`AppState` 今天没有这个字段）。
+//!
+//! 「没有命中规则」的**占位报告**也不画：host 的 `open_session` 在规则引擎无结论时会发一份
+//! `rule: ""` / `confidence: 0` / `title: "该会话没有命中已知规则"` 的假报告（`CoreEvent::DiagnosisReady`
+//! 是非 Option，host 无法表达「没有结论」）——它是标记不是结论，画出来等于给用户看一条「严重度提示」。
+//!
+//! 已知缺口（已报 finding，不在本 mission 修）：`clear_logs` 之后 `selected_session` 不清，
+//! 身份会继续指向那一场；导入崩溃文件只发 `DiagnosisReady`（不带日志行），所以页面上会出现
+//! 「结论 + 上一场的日志正文」——行由 `open_session` 负责，那是 presenter 的缺口。
+
+use unlucky_presenter::dto::{Diagnosis, LogLevel, LogOutcome};
+use unlucky_presenter::state::AppState;
+
+use crate::pages;
+
+/// 日志页视图模型：presenter 快照 → 要画的东西。
+///
+/// 两处 DTO 侧的**信息丢失**（已报 finding）：`dto::Diagnosis` 没有 core 的 `severity`
+/// （所以页面按置信度档分组，不冒称严重度）与 `cause.key`（`title`/`hint` 只能当数据画）。
+pub(super) fn logs_model(state: &AppState) -> pages::Logs {
+    let live = state.live_session.as_deref();
+    let selected = state.selected_session.as_deref();
+    let identity = live.or(selected);
+
+    // 归属判据（r4 修正 r3 的**回归**：r3 的「有选中就只认选中」把导入/打开这两条路径的诊断
+    // 一起关掉了）。三条命中任一即认：
+    //
+    // 1. 报告属于**正在跑**的那一场 —— 这一条必须单独成立：只有它在线时日志行是它自己在追加，
+    //    别的会话的报告挂上来就是串场（r3 修的正是这个）；
+    // 2. 报告属于**当前选中**的那一场（没有 live 会话时）；
+    // 3. 报告的会话**不在会话索引里** —— `ImportCrashLog` 用 `file:<文件名>` 当会话 id，
+    //    `open_session` 也不一定把 id 写进 `selected_session`；这两条路径与报告是同一次调用发出的，
+    //    把它们一并关掉就是把「导入崩溃日志」这条功能画成空（r3 的实测回归）。
+    let known = |id: &str| state.log_sessions.iter().any(|session| session.id == id);
+    let report = state.diagnosis.as_ref().filter(|report| {
+        let id = report.session.as_str();
+        match (live, selected) {
+            // 有会话在跑：日志行是它自己在追加，别的会话的报告挂上来就是串场（r3 修的 P1）。
+            (Some(live), _) => id == live,
+            // 没有在跑、但有选中项：报告要么是它的，要么是「会话索引里没有的那一份」
+            // （`ImportCrashLog` 用 `file:<文件名>`；`open_session` 不写 `selected_session`，
+            // 所以只能靠「不在索引里」认它）。
+            (None, Some(selected)) => id == selected || !known(id),
+            // 什么身份都没有：日志行只可能来自 `open_session` 或导入，两者与报告同一次发出。
+            (None, None) => true,
+        }
+    });
+
+    // 身份为空时，描述的来源只能退到报告（见模块文档的表格）。
+    let described = identity.or_else(|| report.map(|report| report.session.as_str()));
+    let session =
+        described.and_then(|id| state.log_sessions.iter().find(|session| session.id == id));
+
+    pages::Logs {
+        instance: session.map(|session| session.instance.clone()),
+        when: session.map(|session| session.when.clone()),
+        outcome: session.map(|session| log_outcome(session.outcome)),
+        // 运行中的会话不在 `log_sessions` 里（索引只在结束时追加），所以页头要靠这个标记
+        // 走「正在运行」那条文案，而不是「当前没有运行中的实例」。
+        live: live.is_some(),
+        lines: state
+            .log_lines
+            .iter()
+            .map(|line| pages::Line {
+                text: line.text.clone(),
+                level: log_level(line.level),
+            })
+            .collect(),
+        findings: report
+            .filter(|report| !report.diagnosis.rule.is_empty())
+            .map(|report| diagnosis_of(&report.diagnosis))
+            .into_iter()
+            .collect(),
+        ..pages::Logs::default()
+    }
+}
+
+/// 日志等级：presenter 枚举 → 页面等级（**结构化出口**，不是认字符串）。
+fn log_level(level: LogLevel) -> pages::Level {
+    match level {
+        LogLevel::Debug => pages::Level::Debug,
+        LogLevel::Info => pages::Level::Info,
+        LogLevel::Warn => pages::Level::Warn,
+        LogLevel::Error => pages::Level::Error,
+    }
+}
+
+/// 会话结局：presenter 枚举 → 页面结局（文案走 `LaunchOutcome*` key，页面不画 core 的中文串）。
+fn log_outcome(outcome: LogOutcome) -> pages::Outcome {
+    match outcome {
+        LogOutcome::Ok => pages::Outcome::Ok,
+        LogOutcome::Crashed => pages::Outcome::Crashed,
+        LogOutcome::SilentFail => pages::Outcome::SilentFail,
+    }
+}
+
+/// 一条诊断结论 → 页面结论（置信度档见 [`pages::Confidence`]）。
+fn diagnosis_of(diagnosis: &Diagnosis) -> pages::Finding {
+    pages::Finding {
+        rule: diagnosis.rule.clone(),
+        confidence_band: pages::Confidence::of(diagnosis.confidence),
+        title: diagnosis.title.clone(),
+        hint: diagnosis.hint.clone(),
+        confidence: diagnosis.confidence,
+        action: diagnosis.fix.clone(),
+    }
+}
+
+#[cfg(test)]
+mod tests;

crates/app-iced/src/app/view/logs/tests.rs

@@ -0,0 +1,242 @@
+//! 日志页展示转换的守门测试（从 `app/view/logs.rs` 拆出：那边已经 382 行，贴着 400 硬上限）。
+//!
+//! 全部走**真实 reducer 路径**（`AppState::apply_core`），不造注入源——r3 的教训是
+//! 「测试全走注入源而真实路径零覆盖」，所以这里的夹具就是线上那串事件本身。
+
+use unlucky_i18n::Lang;
+use unlucky_presenter::dto::{
+    CoreEvent, DiagnosisReport, LaunchFinished, LiveLogBatch, LogLevel, LogLine, LogOutcome,
+    LogSession,
+};
+use unlucky_presenter::state::AppState;
+
+use crate::pages;
+
+use super::logs_model;
+
+/// 崩溃的那一场。
+const CRASH: &str = "s-1029-1840";
+/// 崩溃之后又启动的、正常跑的一场。
+const OK_RUN: &str = "s-1029-1922";
+
+fn session(id: &str, when: &str, outcome: LogOutcome) -> LogSession {
+    LogSession {
+        id: id.to_string(),
+        instance: "开发测试".to_string(),
+        when: when.to_string(),
+        outcome,
+        duration_secs: 62,
+    }
+}
+
+fn line(text: &str, level: LogLevel) -> LogLine {
+    LogLine {
+        text: text.to_string(),
+        level,
+    }
+}
+
+fn report(session: &str, rule: &str) -> DiagnosisReport {
+    DiagnosisReport {
+        session: session.to_string(),
+        diagnosis: pages_dto(rule),
+    }
+}
+
+fn pages_dto(rule: &str) -> unlucky_presenter::dto::Diagnosis {
+    unlucky_presenter::dto::Diagnosis {
+        rule: rule.to_string(),
+        title: "显卡驱动过旧（OpenGL 版本不足）".to_string(),
+        confidence: 92,
+        hint: "升级显卡驱动".to_string(),
+        fix: Some("change_graphics.driver".to_string()),
+    }
+}
+
+/// **真实数据路径**（复审要求：不许造注入源绕过去）：
+/// 崩溃一场跑完 → 再启动一场正常跑。`state.diagnosis` 在这里**故意不清**，
+/// 因为 presenter 里根本没有清零点——这就是线上发生串场的条件。
+fn crashed_only() -> AppState {
+    let mut state = AppState::new();
+    state.apply_core(CoreEvent::LogSessionsChanged(vec![
+        session(CRASH, "10-29 18:40", LogOutcome::Crashed),
+        session(OK_RUN, "10-29 19:22", LogOutcome::Ok),
+    ]));
+
+    // 第一场跑起来（live_session = CRASH）→ 日志 → 规则结论 → 收尾（selected_session = CRASH）
+    state.apply_core(CoreEvent::LogAppended(LiveLogBatch {
+        session: CRASH.to_string(),
+        lines: vec![line("[18:40] boom: GLFW error", LogLevel::Error)],
+        running: true,
+    }));
+    state.apply_core(CoreEvent::DiagnosisReady(report(CRASH, "gpu.driver_old")));
+    state.apply_core(CoreEvent::LaunchFinished(LaunchFinished {
+        id: "dev".to_string(),
+        session: CRASH.to_string(),
+        outcome: LogOutcome::Crashed,
+        summary: "崩溃（exit 1）".to_string(),
+    }));
+
+    state
+}
+
+/// 崩溃之后又启动一场正常跑：`live_session` 前进，`diagnosis` 仍是上一场的。
+fn after_a_new_run() -> AppState {
+    let mut state = crashed_only();
+    state.apply_core(CoreEvent::LogAppended(LiveLogBatch {
+        session: OK_RUN.to_string(),
+        lines: vec![line("[19:22] launching 1.20.4", LogLevel::Info)],
+        running: true,
+    }));
+    state
+}
+
+#[test]
+fn a_new_run_does_not_inherit_the_previous_crash() {
+    let state = after_a_new_run();
+    let logs = logs_model(&state).with_status(Lang::En);
+
+    // 抓得住：身份被上一场的 `diagnosis.session` 顶掉（r2 的 bug）——那时 outcome 会是
+    //          Crashed、findings 挂着 gpu.driver_old、摘要里 `lines=` 与结论不同源。
+    // 抓不住：presenter 自己 `clear_logs` 后 `selected_session` 不清的缺口（已报 finding），
+    //          以及多场并行会话（本仓一次只跑一场）。
+    assert_eq!(
+        logs.outcome,
+        Some(pages::Outcome::Ok),
+        "身份应该是正在跑的这一场"
+    );
+
+    let status = logs.status.clone().expect("有会话身份就该有副标题");
+    assert!(status.contains("Finished normally"), "{status}");
+    assert!(
+        !status.contains("The game crashed"),
+        "页头把新会话标成了上一场的崩溃：{status}"
+    );
+
+    assert!(
+        logs.findings.is_empty(),
+        "上一场的结论不能挂到这一场：{:?}",
+        logs.findings
+    );
+
+    // 摘要必须与身份同源：outcome 是 ok、不含旧规则、行数就是当前这些行。
+    let summary = logs.summary();
+    assert!(summary.contains("outcome=ok"), "{summary}");
+    assert!(!summary.contains("gpu.driver_old"), "{summary}");
+    assert!(
+        summary.contains(&format!("lines={}", logs.lines.len())),
+        "{summary}"
+    );
+    assert!(!summary.contains("findings="), "{summary}");
+}
+
+#[test]
+fn the_crash_itself_is_still_reported() {
+    // 上一条测试的**对照**：崩溃当场必须画结论，否则那条断言「findings 为空」是空的。
+    // 抓得住：把判别写成「永远不画诊断」（用空断言骗过 P2）。
+    // 抓不住：结论排序/去重（那是 core 的规则引擎的事）。
+    let state = crashed_only();
+    let logs = logs_model(&state).with_status(Lang::En);
+
+    assert_eq!(logs.outcome, Some(pages::Outcome::Crashed));
+    assert_eq!(logs.findings.len(), 1, "{:?}", logs.findings);
+    assert_eq!(logs.findings[0].rule, "gpu.driver_old");
+    let status = logs.status.clone().unwrap_or_default();
+    assert!(status.contains("The game crashed"), "{status}");
+    assert!(logs.summary().contains("gpu.driver_old:high(92)"));
+}
+
+#[test]
+fn an_imported_crash_file_still_shows_its_findings() {
+    // r3 的**回归**：r3 把归属判据写成「有选中就只认选中」，于是导入崩溃日志
+    // （`ImportCrashLog` → `DiagnosisReady` 带 `file:<文件名>` 的会话 id，且**不发**
+    // `LogLinesChanged`）被整条丢掉。今天 iced 侧还没有 dispatch 站点（那些还在遗留的
+    // Slint shell 里），所以复审没判 p1；这条测试是为了**将来接线的人**不再踩。
+    // 抓得住：只有「属于当前选中/live 会话」才画的窄判据（导入的 `file:` 会话不等于任何
+    //          索引里的会话，会被误杀）。
+    // 抓不住：导入后日志正文该显示什么（`ImportCrashLog` 不载入日志行，那是 presenter 的事）。
+    let mut state = AppState::new();
+    state.apply_core(CoreEvent::LogSessionsChanged(vec![session(
+        CRASH,
+        "10-29 18:40",
+        LogOutcome::Crashed,
+    )]));
+    // 上一场刚结束 ⇒ selected_session = CRASH（过期选中项），随后用户导入一份崩溃文件
+    state.apply_core(CoreEvent::LaunchFinished(LaunchFinished {
+        id: "dev".to_string(),
+        session: CRASH.to_string(),
+        outcome: LogOutcome::Crashed,
+        summary: "崩溃（exit 1）".to_string(),
+    }));
+    state.apply_core(CoreEvent::DiagnosisReady(report(
+        "file:crash-2026-11-02_19.40.15-client.txt",
+        "integrity.unsatisfied_link",
+    )));
+
+    let logs = logs_model(&state).with_status(Lang::En);
+    assert_eq!(
+        logs.findings.len(),
+        1,
+        "导入的崩溃日志必须画出它的结论：{:?}",
+        logs.findings
+    );
+    assert_eq!(logs.findings[0].rule, "integrity.unsatisfied_link");
+}
+
+#[test]
+fn a_live_run_says_it_is_running_instead_of_nothing_runs() {
+    // 视觉复审 r3 的 P2-3：session 索引只在**结束**时追加（`host::logs::sessions`），
+    // 所以运行中的那一场永远不在 `log_sessions` 里 ⇒ 拿不到实例名与结局 ⇒ r3 的页头在
+    // 每次实时运行都说「当前没有运行中的实例」。demo 伪造了身份，截图上根本照不出来。
+    // 抓得住：页头退回 Idle 文案（这次走真实 reducer：只有 `LogAppended(running=true)`）。
+    // 抓不住：文案长度在某尺寸下会不会撞右侧动作区（那要看截图）。
+    let mut state = AppState::new();
+    state.apply_core(CoreEvent::LogSessionsChanged(vec![session(
+        CRASH,
+        "10-29 18:40",
+        LogOutcome::Crashed,
+    )]));
+    state.apply_core(CoreEvent::LogAppended(LiveLogBatch {
+        session: OK_RUN.to_string(),
+        lines: vec![line("[19:22] launching", LogLevel::Info)],
+        running: true,
+    }));
+
+    let logs = logs_model(&state).with_status(Lang::En);
+    assert!(logs.live, "live_session 非空就该标记为运行中");
+    let status = logs.status.clone().expect("运行中必须有副标题");
+    let idle = unlucky_i18n::catalog::Catalog::of(Lang::En)
+        .text(unlucky_i18n::catalog::Key::LogsSubtitleIdle);
+    assert_ne!(status, idle, "运行中的页头不能说「没有运行」");
+    assert!(status.contains("Running now"), "{status}");
+}
+
+#[test]
+fn the_hosts_no_rule_matched_placeholder_is_not_a_finding() {
+    // host 的 `open_session` 在规则引擎无结论时发一份 `rule: ""` 的假报告（非 Option 逼的）。
+    // 抓得住：把「没命中」画成一条严重度结论（用户会去修一个不存在的毛病）。
+    // 抓不住：host 该不该改发 `None`（那是 presenter 的 finding）。
+    let mut state = AppState::new();
+    state.apply_core(CoreEvent::LogSessionsChanged(vec![session(
+        CRASH,
+        "10-29 18:40",
+        LogOutcome::Crashed,
+    )]));
+    state.apply_core(CoreEvent::LogLinesChanged(vec![line(
+        "[18:40] nothing to see",
+        LogLevel::Info,
+    )]));
+
+    state.apply_core(CoreEvent::DiagnosisReady(report(CRASH, "")));
+    assert!(
+        logs_model(&state).findings.is_empty(),
+        "空 rule 是『没命中』的占位，不是结论"
+    );
+
+    state.apply_core(CoreEvent::DiagnosisReady(report(CRASH, "gpu.driver_old")));
+    assert_eq!(
+        logs_model(&state).findings.len(),
+        1,
+        "换成真规则就得画出来（证明上面的过滤不是把诊断一起关了）"
+    );
+}

crates/app-iced/src/app/view/rail.rs

@@ -0,0 +1,35 @@
+//! 导航轨底部**账户头像位**的状态换算（M114）。
+//!
+//! 为什么单独一个文件：`app/view.rs` 贴着 400 行硬线，而这块逻辑与页面树无关——
+//! 它只回答「轨底那个头像位现在该显示成未登录，还是某个账户」。
+
+use crate::shell;
+
+use super::super::state::App;
+
+/// 导航轨收成「图标条」的窗口高度（M114）。
+///
+/// 判据不是「项数」而是**真实可用高度**：四项 + 底部头像位在 48 标题栏之上还要放得下
+/// 4 × 52 + 4 × 4 + 52 ≈ 300；留出一屏正文的最小高度（424 行宽 + 页头 + 边距），
+/// 低于 720 就把标签收掉，只留图标与头像位（头像位**永远可见**，任务要求）。
+const RAIL_COMPACT_HEIGHT: f32 = 720.0;
+
+impl App {
+    /// 导航轨底部头像位的状态（M114）：未登录 / 已登录两态要一眼能分。
+    pub(super) fn rail_account(&self) -> shell::RailAccount {
+        let compact = self.height < RAIL_COMPACT_HEIGHT;
+        match self.state.active_account() {
+            Some(account) => {
+                shell::RailAccount::signed_in(account.monogram(), account.name.clone())
+                    .compact(compact)
+            }
+            // M106：未登录标签跟着**生效语言**走（早期钉死 `Lang::En` 的写法已删）。
+            None => shell::RailAccount::signed_out(
+                self.lang()
+                    .catalog()
+                    .text(unlucky_i18n::Key::AccountRailSignedOut),
+            )
+            .compact(compact),
+        }
+    }
+}

crates/app-iced/src/app/view/tests.rs

@@ -0,0 +1,321 @@
+//! `app/view.rs` 的守门测试（rebase 到 5adac23 之后 view.rs 贴 400 行上限，按「测试独立成文件」拆出）。
+
+use super::*;
+use unlucky_i18n::Key;
+use unlucky_presenter::dto::{
+    InstanceRuntime, InstanceSummary, LaunchStage, LoaderInfo, LoaderKind, Progress,
+};
+use unlucky_presenter::mock_data::mock_instances;
+
+fn instance(runtime: InstanceRuntime) -> InstanceSummary {
+    InstanceSummary {
+        id: "survival".to_string(),
+        name: "Survival".to_string(),
+        mc_version: "1.20.4".to_string(),
+        loader: LoaderInfo {
+            kind: LoaderKind::Fabric,
+            version: "0.16.5".to_string(),
+        },
+        last_played: Some("2026-10-29T19:22:00Z".to_string()),
+        runtime,
+        icon: None,
+        isolation: "isolated".to_string(),
+        version_id: "1.20.4".to_string(),
+        version_present: true,
+        launch: unlucky_presenter::dto::LaunchArgsView::default(),
+    }
+}
+
+/// **取证不变量（M100）**：`ForcedState` 的三档在产品路径上必须映射成「页面控件怎么画」。
+///
+/// 抓得住：① 谁把 `Rest` 映射成 Hovered/Pressed（那会让 `--screenshot` 的默认值反而画出状态层，
+/// 与「取证密闭」正好相反，而且图看起来完全正常）；② 加了变体却映射到别的态这种复制粘贴错。
+/// 抓不住：`shell::overridden`（标题栏 / 导航轨按钮走的**另一处** match，断言在 `shell/tests.rs`），
+/// 也抓不住不消费 `model.forced` 的裸 `iced::button`（设置页「外观」区就是）。
+/// 测试用的薄包装：默认宽度 / 默认分类 / 空草稿 / **给定语言**。
+fn at_lang(state: &AppState, forced: Option<crate::cli::ForcedState>, lang: Lang) -> pages::Model {
+    let draft = pages::InstallDraft::default();
+    let page = pages::content::PageState::default();
+    model(
+        state,
+        1180.0,
+        forced,
+        pages::Category::All,
+        &draft,
+        lang,
+        &page,
+    )
+}
+
+/// 同 [`at_lang`]，语言取英文（绝大多数断言只关心「快照 → 模型」的映射，不关心译文）。
+fn at(state: &AppState, forced: Option<crate::cli::ForcedState>) -> pages::Model {
+    at_lang(state, forced, Lang::En)
+}
+
+#[test]
+fn the_forced_state_maps_to_the_expected_interaction() {
+    let state = AppState::new();
+    let forced = |forced| at(&state, Some(forced)).forced;
+
+    assert_eq!(
+        forced(crate::cli::ForcedState::Rest),
+        Some(Interaction::Enabled),
+        "Rest = 静息态（压掉系统光标 hover）"
+    );
+    assert_eq!(
+        forced(crate::cli::ForcedState::Hover),
+        Some(Interaction::Hovered)
+    );
+    assert_eq!(
+        forced(crate::cli::ForcedState::Pressed),
+        Some(Interaction::Pressed)
+    );
+    assert_eq!(at(&state, None).forced, None);
+}
+
+#[test]
+fn the_snapshot_becomes_the_page_model() {
+    let mut state = AppState::new();
+    state.apply(unlucky_presenter::dto::AppEvent::Core(
+        unlucky_presenter::dto::CoreEvent::InstancesChanged(mock_instances()),
+    ));
+    state.navigate(Route::Detail("survival".to_string()));
+
+    let model = at(&state, None);
+    assert_eq!(model.screen, pages::Screen::Instances);
+    assert_eq!(model.active, Some(pages::Screen::Instances.nav()));
+    assert_eq!(model.window_width, 1180.0);
+    assert_eq!(model.instances.rows.len(), 4, "mock 的四个实例");
+    assert_eq!(model.instances.rows[0].id, "survival");
+
+    let detail = model.instances.detail.expect("路由是 Detail，要有详情");
+    assert_eq!(detail.id, "survival");
+    assert_eq!(detail.meta.len(), 6);
+    assert!(detail.can_launch, "空闲实例可启动");
+    assert!(!detail.can_stop);
+    assert!(detail.note.is_none(), "真快照没有正文段");
+}
+
+#[test]
+fn a_busy_instance_offers_stop_instead_of_play() {
+    let mut state = AppState::new();
+    state.apply(unlucky_presenter::dto::AppEvent::Core(
+        unlucky_presenter::dto::CoreEvent::InstancesChanged(vec![instance(
+            InstanceRuntime::Busy {
+                stage: LaunchStage::Download,
+                progress: Progress {
+                    done: 750,
+                    total: 1_500,
+                },
+            },
+        )]),
+    ));
+    state.navigate(Route::Detail("survival".to_string()));
+
+    let model = at(&state, None);
+    assert_eq!(
+        model.instances.rows[0].status.as_deref(),
+        Some("Downloading · 50%")
+    );
+    let detail = model.instances.detail.expect("有详情");
+    assert!(!detail.can_launch, "启动中不许再点 Play（不做乐观回显）");
+    assert!(detail.can_stop, "启动中要能 Stop");
+}
+
+#[test]
+fn failed_instances_can_be_retried() {
+    let failed = instance(InstanceRuntime::Failed {
+        reason: "exit 1".to_string(),
+    });
+    assert_eq!(
+        runtime_status(&failed.runtime, Lang::En.catalog()).as_deref(),
+        Some("Launch failed · exit 1")
+    );
+    assert!(
+        detail_of(&failed, Lang::En.catalog()).can_launch,
+        "失败后要能重试"
+    );
+}
+
+#[test]
+fn timestamps_are_sliced_not_guessed() {
+    let en = Lang::En.catalog();
+    assert_eq!(
+        last_played(Some("2026-10-29T19:22:00Z"), en),
+        "2026-10-29 19:22 UTC"
+    );
+    assert_eq!(last_played(None, en), "Never");
+    // 短串 / 非 ASCII 原样返回（不 panic）
+    assert_eq!(last_played(Some("2026-10"), en), "2026-10");
+    assert_eq!(last_played(Some("昨天"), en), "昨天");
+    // 「从未游玩」是唯一走词表的那一支
+    assert_eq!(last_played(None, Lang::ZhCn.catalog()), "从未游玩");
+}
+
+/// **快照 → 页面文案跟着 `App::lang` 走**（M120 的核心接线断言，模型这一层）。
+///
+/// 抓得住：`view::model` 又把语言写死成 `Lang::En`（M106 之前的原样）、阶段/元信息标签还留着
+/// 英文基线字面量、原版徽标直接画 presenter 的中文「原版」。这三种都不会让任何别的测试红。
+/// 抓不住：页面把 key 画没画上屏（那是 `pages/instances/tests/i18n.rs` 的取样口 + 出图）。
+#[test]
+fn the_runtime_lines_and_meta_labels_follow_the_language() {
+    let mut state = AppState::new();
+    state.apply(unlucky_presenter::dto::AppEvent::Core(
+        unlucky_presenter::dto::CoreEvent::InstancesChanged(vec![
+            instance(InstanceRuntime::Running { pid: 1234 }),
+            instance(InstanceRuntime::Busy {
+                stage: LaunchStage::Verify,
+                progress: Progress {
+                    done: 750,
+                    total: 1_500,
+                },
+            }),
+        ]),
+    ));
+    state.navigate(Route::Detail("survival".to_string()));
+
+    let en = at_lang(&state, None, Lang::En);
+    let zh = at_lang(&state, None, Lang::ZhCn);
+
+    // 列表 overline：中英各一份，数字与分隔符不动
+    assert_eq!(
+        en.instances.rows[0].status.as_deref(),
+        Some("Running · pid 1234")
+    );
+    assert_eq!(
+        zh.instances.rows[0].status.as_deref(),
+        Some("运行中 · pid 1234")
+    );
+    assert_eq!(
+        en.instances.rows[1].status.as_deref(),
+        Some("Verifying · 50%")
+    );
+    assert_eq!(zh.instances.rows[1].status.as_deref(), Some("校验中 · 50%"));
+
+    // 元信息卡的标签与值
+    let (en_detail, zh_detail) = (
+        en.instances.detail.expect("有详情"),
+        zh.instances.detail.expect("有详情"),
+    );
+    let labels = |detail: &pages::Detail| -> Vec<String> {
+        detail.meta.iter().map(|cell| cell.label.clone()).collect()
+    };
+    assert_eq!(
+        labels(&en_detail),
+        vec![
+            "VERSION",
+            "LOADER",
+            "ISOLATION",
+            "VERSION ID",
+            "FILES",
+            "LAST PLAYED"
+        ]
+    );
+    assert_eq!(
+        labels(&zh_detail),
+        vec!["版本", "加载器", "隔离方式", "版本标识", "文件", "上次游玩"]
+    );
+
+    // 值里只有「是否在磁盘上」与「上次游玩」是可翻译的；版本号 / 隔离方式 / 版本标识是数据
+    // 隔离档位是 core 的稳定 id（`isolated` / `shared`），也要换成人话；认不出来的原样上屏
+    assert_eq!(en_detail.meta[2].value, "Isolated");
+    assert_eq!(zh_detail.meta[2].value, "独立目录");
+    assert_eq!(en_detail.meta[4].value, "Present on disk");
+    assert_eq!(zh_detail.meta[4].value, "已在磁盘上");
+    assert_eq!(
+        en_detail.meta[5].value, "2026-10-29 19:22 UTC",
+        "时间戳是数据：只切片，不随语言变形"
+    );
+    assert_eq!(zh_detail.meta[5].value, "2026-10-29 19:22 UTC");
+
+    // 详情状态行与列表 overline 同源
+    assert_eq!(zh_detail.status.as_deref(), Some("运行中 · pid 1234"));
+}
+
+/// 原版徽标：`LoaderInfo::badge()` 对原版返回**中文**「原版」，英文界面里必须换回 `Vanilla`。
+///
+/// 抓得住：`loader_badge` 退回直接调 `badge()`（M90 ~ M119 的形状）——那样英文界面会漏中文，
+/// 而中文界面又是对的，所以只有这条双语断言抓得住它。
+#[test]
+fn the_vanilla_badge_follows_the_language() {
+    let mut bare = instance(InstanceRuntime::Idle);
+    bare.loader = LoaderInfo {
+        kind: LoaderKind::Vanilla,
+        version: String::new(),
+    };
+    let mut state = AppState::new();
+    state.apply(unlucky_presenter::dto::AppEvent::Core(
+        unlucky_presenter::dto::CoreEvent::InstancesChanged(vec![bare]),
+    ));
+    state.navigate(Route::Detail("survival".to_string()));
+
+    let en = at_lang(&state, None, Lang::En);
+    let zh = at_lang(&state, None, Lang::ZhCn);
+    assert_eq!(en.instances.rows[0].supporting, "1.20.4 · Vanilla");
+    assert_eq!(zh.instances.rows[0].supporting, "1.20.4 · 原版");
+}
+
+/// **品牌名不许被「版本号为空」吞掉**（M120 r1 复审的 p2-1 回归）。
+///
+/// 背景：`host::game::loader_from_id("1.20.1-forge")` 这类 id 里取不到版本段（它按 `forge-`
+/// 找，而 id 的写法是 `-forge` 结尾），于是 `LoaderInfo { kind: Forge, version: "" }`。
+/// `LoaderInfo::badge()` 对这种输入给的正是品牌名 `Forge`——所以判据只能是「类型是原版」，
+/// 不能是「版本号为空」。
+///
+/// 三个 id 各一条断言（复审点名的三档）；`Vanilla` 那一支由
+/// `the_vanilla_badge_follows_the_language` 守，两条合起来把 `loader_badge` 的两侧都钉住。
+///
+/// 抓得住：`loader_badge` 把「非原版 + 空版本号」也送进 `Key::LoaderVanilla`
+/// （r1 的真实形状：`left: "1.20.4 · Vanilla" / right: "1.20.4 · Forge"`）；
+/// 抓不住：`loader_from_id` 认不出自家 `-fabric-` / `-quilt-` 口径这个**更老**的 bug
+/// （在 presenter 里，另一条 mission）。
+#[test]
+fn the_loader_badge_keeps_the_brand_when_the_version_is_missing() {
+    // (版本 id, 期望徽标) —— id 形状取自 `host::game::loader_from_id` 的三条真实输入
+    let cases = [
+        ("1.20.1-forge", LoaderKind::Forge, "Forge"),
+        ("1.20.1-neoforge", LoaderKind::NeoForge, "NeoForge"),
+        ("1.20.1-OptiFine", LoaderKind::OptiFine, "OptiFine"),
+    ];
+
+    for (id, kind, brand) in cases {
+        let mut one = instance(InstanceRuntime::Idle);
+        one.loader = LoaderInfo {
+            kind,
+            // `loader_from_id` 对这三条 id 取不到版本段 ⇒ 空串
+            version: String::new(),
+        };
+        let mut state = AppState::new();
+        state.apply(unlucky_presenter::dto::AppEvent::Core(
+            unlucky_presenter::dto::CoreEvent::InstancesChanged(vec![one]),
+        ));
+        state.navigate(Route::Detail("survival".to_string()));
+
+        // 品牌名两套语言都不翻译 ⇒ 中英逐字相同
+        for lang in [Lang::En, Lang::ZhCn] {
+            let model = at_lang(&state, None, lang);
+            assert_eq!(
+                model.instances.rows[0].supporting,
+                format!("1.20.4 · {brand}"),
+                "{id} 的徽标被显示成了别的东西（新增的判据「版本号为空 ⇒ 原版」就是这条要拦的）"
+            );
+            let detail = model.instances.detail.expect("有详情");
+            assert_eq!(
+                detail.meta[1].label,
+                lang.catalog().text(Key::InstancesMetaLoader)
+            );
+            assert_eq!(detail.meta[1].value, brand, "{id} 的 LOADER 卡值");
+        }
+    }
+}
+
+#[test]
+fn the_agent_route_has_no_page() {
+    let mut state = AppState::new();
+    state.navigate(Route::Agent);
+    let model = at(&state, None);
+    // Agent 没有页面：模型退回实例页的空壳，view 会走外壳回退（`None` 分支）
+    assert_eq!(pages::Screen::of(state.route()), None);
+    assert!(model.instances.detail.is_none());
+    assert_eq!(model.active, None, "AI 页不高亮任何导航项");
+}

crates/app-iced/src/app/view/update.rs

@@ -0,0 +1,157 @@
+//! presenter 的更新快照 → 页面视图模型（M159 的**唯一**展示转换点）。
+//!
+//! 与 `view/instances.rs` 同一条分工：判断（要不要提示、是不是失败）在 presenter / core 已经做完，
+//! 这里只把字段摆成「要画什么」。三条映射必须与 DTO 的判据保持一致：
+//!
+//! | DTO | 页面视图 |
+//! |---|---|
+//! | `UpdateOutcome::UpToDate` | [`UpdateStatus::UpToDate`]（**不是**失败） |
+//! | `UpdateOutcome::Failed` | [`UpdateStatus::Failed`]（带原因，**不许**画成「已是最新」） |
+//! | `UpdateOutcome::MissingArtifact` | [`UpdateStatus::MissingArtifact`]（发布侧漏项，单独一句话） |
+
+use unlucky_presenter::dto::{UpdateOutcome, UpdateView};
+
+use crate::pages::{Update, UpdateStatus};
+
+/// 快照 → 视图模型。
+pub(super) fn update_of(view: &UpdateView) -> Update {
+    Update {
+        current_version: view.current_version.clone(),
+        channel: view.channel.clone(),
+        auto_check: view.auto_check,
+        status: status_of(&view.outcome),
+        checked_at: view.checked_at.clone(),
+        applying: view.applying,
+        ready: view.ready.as_ref().map(|ready| ready.version.clone()),
+        skipped: view.skipped.clone(),
+        silent: view.silent,
+    }
+}
+
+/// 结论 → 页面状态（四种结论一一对应，**不折叠**）。
+fn status_of(outcome: &UpdateOutcome) -> UpdateStatus {
+    match outcome {
+        UpdateOutcome::Idle => UpdateStatus::Idle,
+        UpdateOutcome::Checking => UpdateStatus::Checking,
+        UpdateOutcome::UpToDate { latest } => UpdateStatus::UpToDate {
+            latest: latest.clone(),
+        },
+        UpdateOutcome::Available(candidate) => UpdateStatus::Available {
+            version: candidate.version.clone(),
+            size: candidate.size,
+            notes: candidate.notes.clone(),
+            forced: candidate.forced,
+        },
+        UpdateOutcome::MissingArtifact { version } => UpdateStatus::MissingArtifact {
+            version: version.clone(),
+        },
+        UpdateOutcome::Failed(failure) => UpdateStatus::Failed {
+            reason: failure.message.clone(),
+            retryable: failure.retryable,
+        },
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+    use unlucky_presenter::dto::{ReadyUpdate, UpdateFailureView};
+
+    fn view(outcome: UpdateOutcome) -> UpdateView {
+        let mut view = UpdateView::new("0.2.2", "stable", true);
+        view.outcome = outcome;
+        view
+    }
+
+    #[test]
+    fn failure_is_never_mapped_to_up_to_date() {
+        let mapped = update_of(&view(UpdateOutcome::Failed(UpdateFailureView::new(
+            "network",
+            "取更新清单失败：连接被重置",
+            true,
+        ))));
+        assert!(
+            matches!(&mapped.status, UpdateStatus::Failed { reason, retryable } if *retryable && !reason.is_empty()),
+            "失败必须原样带原因，实际 {:?}",
+            mapped.status
+        );
+        assert!(mapped.banner().is_some(), "主动查出来的失败要弹提示条");
+
+        // 静默检查的失败：快照里仍是失败，但不弹条（离线是常态）。
+        let mut silent = view(UpdateOutcome::Failed(UpdateFailureView::new(
+            "network",
+            "连不上",
+            true,
+        )));
+        silent.silent = true;
+        let mapped = update_of(&silent);
+        assert!(matches!(mapped.status, UpdateStatus::Failed { .. }));
+        assert!(mapped.banner().is_none());
+    }
+
+    #[test]
+    fn the_four_outcomes_stay_distinct() {
+        let available = update_of(&view(UpdateOutcome::Available(Box::new(
+            unlucky_presenter::dto::UpdateCandidateView {
+                version: "0.2.3".to_string(),
+                size: 21_000_000,
+                notes: "修掉启动崩溃".to_string(),
+                forced: false,
+            },
+        ))));
+        assert!(available.available().is_some());
+        assert!(matches!(
+            available.banner(),
+            Some(crate::pages::Banner::Available { .. })
+        ));
+
+        let up_to_date = update_of(&view(UpdateOutcome::UpToDate {
+            latest: Some("0.2.2".to_string()),
+        }));
+        assert!(matches!(up_to_date.status, UpdateStatus::UpToDate { .. }));
+        assert!(up_to_date.banner().is_none());
+
+        let missing = update_of(&view(UpdateOutcome::MissingArtifact {
+            version: "0.2.3".to_string(),
+        }));
+        assert!(matches!(
+            missing.status,
+            UpdateStatus::MissingArtifact { .. }
+        ));
+    }
+
+    #[test]
+    fn a_ready_update_turns_the_banner_into_the_restart_prompt() {
+        let mut view = view(UpdateOutcome::UpToDate {
+            latest: Some("0.2.3".to_string()),
+        });
+        view.ready = Some(ReadyUpdate {
+            version: "0.2.3".to_string(),
+            path: "C:/ULL/unlucky-launcher.exe".to_string(),
+            backup: None,
+        });
+        let mapped = update_of(&view);
+        assert_eq!(mapped.ready.as_deref(), Some("0.2.3"));
+        assert!(matches!(
+            mapped.banner(),
+            Some(crate::pages::Banner::Ready { .. })
+        ));
+    }
+
+    #[test]
+    fn a_skipped_update_keeps_the_snapshot_but_hides_the_banner() {
+        let mut view = view(UpdateOutcome::Available(Box::new(
+            unlucky_presenter::dto::UpdateCandidateView {
+                version: "0.2.3".to_string(),
+                size: 1,
+                notes: String::new(),
+                forced: false,
+            },
+        )));
+        view.skipped = Some("0.2.3".to_string());
+        let mapped = update_of(&view);
+        assert_eq!(mapped.skipped.as_deref(), Some("0.2.3"));
+        assert!(mapped.available().is_some(), "候选要留着给设置页");
+        assert!(mapped.banner().is_none());
+    }
+}

crates/app-iced/src/app/window_alpha.rs

@@ -0,0 +1,147 @@
+//! 整窗 α 的**执行侧**：句柄探测 → `WS_EX_LAYERED` → `SetLayeredWindowAttributes` → 一行日志。
+//!
+//! ## 为什么句柄要绕一圈 iced
+//!
+//! iced 0.14 只给 `window::Id`（它自己的编号），没有「给我 HWND」的公开 API；唯一的入口是
+//! `window::run(id, callback)`——回调里拿到的 `&dyn Window` 实现了 `HasWindowHandle`
+//! （raw-window-handle 0.6），于是能取到 `RawWindowHandle::Win32(hwnd)`。
+//!
+//! ## 三层责任（顺序不能换）
+//!
+//! 1. **探测句柄**：[`probe_hwnd`]，纯取；拿不到就整条链跳过（并如实打日志，不许假装成功）；
+//! 2. **补分层样式**：`ensure_layered`（唯一 `unsafe` 落点，`platform/win32/transparency.rs`）；
+//!    `SetLayeredWindowAttributes` 在没有 `WS_EX_LAYERED` 的窗口上**必然失败**（Win32 返回 0，
+//!    本机 `GetLastError` 常见 87），所以这一步是硬前提；
+//! 3. **下发 α**：`apply_window_alpha`。`α ≥ 1` 时它返回 `Opaque` 并且**不调 FFI**，那时也就不必
+//!    改扩展样式（1、2 步都是白改），[`dispatch`] 里按这个条件短路。
+//!
+//! ## 为什么日志要记「下发字节」而不是「看起来多透明」
+//!
+//! 本机是 RDP + 4 个虚拟显示适配器：`LWA_ALPHA` 的**观感**在这里不可信。所以证据链是
+//! `配置值 → 判据 → 字节 → Win32 返回值`，全部经 [`super::App::log_appearance`] 落成一行文本。
+
+use iced::window;
+
+use crate::platform::win32::transparency::{apply_window_alpha, ensure_layered, AlphaOutcome};
+
+/// 一次「补样式 + 下发」的结果（日志与单测共用）。
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+pub(super) struct Dispatch {
+    /// `WS_EX_LAYERED` 是否就位（`α ≥ 1` 或 `α = None` 时为 `false`：那次根本没动扩展样式）。
+    pub layered: bool,
+    /// 下发的结局。
+    pub alpha: AlphaOutcome,
+}
+
+impl Dispatch {
+    /// 日志尾巴：`layered=ok outcome=Applied { byte: 205 }`。
+    ///
+    /// `layered` 有三个值，刻意区分「没用到」与「失败」：
+    /// - `n/a`：α ≥ 1 或被拒绝 —— 那次**根本不需要**分层窗口，不是错误；
+    /// - `ok`：这一位在（原本就有或本条补上）；
+    /// - `FAILED`：需要补但补不上（无效句柄等）—— 只有这一种是坏消息。
+    pub(super) fn describe(&self) -> String {
+        let layered = match self.alpha {
+            AlphaOutcome::Opaque | AlphaOutcome::Rejected(_) => "n/a",
+            AlphaOutcome::Applied { .. } | AlphaOutcome::Failed { .. } if !self.layered => "FAILED",
+            _ => "ok",
+        };
+        format!("layered={layered} outcome={:?}", self.alpha)
+    }
+}
+
+/// 把 iced 的窗口句柄翻成 Win32 的 `HWND`（`isize`）。非 Windows 平台返回 `None`。
+pub(super) fn probe_hwnd(handle: &dyn window::Window) -> Option<isize> {
+    // 只有 `RawWindowHandle::Win32` 那条臂用到它，其余平台只剩 `_ => None`
+    // ⇒ 无条件导入在非 Windows 上是 `unused_imports`（M147）。
+    #[cfg(target_os = "windows")]
+    use window::raw_window_handle::RawWindowHandle;
+
+    let handle = handle.window_handle().ok()?;
+    match handle.as_raw() {
+        #[cfg(target_os = "windows")]
+        RawWindowHandle::Win32(win32) => Some(win32.hwnd.get()),
+        #[cfg(not(target_os = "windows"))]
+        _ => None,
+        #[cfg(target_os = "windows")]
+        _ => None,
+    }
+}
+
+/// 补样式 + 下发（**幂等**：`α ≥ 1` 时什么都不做，返回 `Opaque`）。
+pub(super) fn dispatch(hwnd: isize, alpha: Option<f64>) -> Dispatch {
+    // α 不透明 / 被拒绝时不需要分层窗口：`SetLayeredWindowAttributes` 那次调用也不会发生，
+    // 改扩展样式纯属副作用（还会让 DWM 换一条合成路径），所以短路掉。
+    let needs_layered = alpha.is_some_and(|alpha| alpha < 1.0);
+    let layered = needs_layered && ensure_layered(hwnd);
+    Dispatch {
+        layered,
+        alpha: apply_window_alpha(hwnd, alpha),
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    use super::dispatch;
+    use crate::platform::win32::transparency::{AlphaOutcome, AlphaRejection};
+
+    /// 抓得住：①`α = None` / `α ≥ 1` / `α = 0` 时**不去碰扩展样式**（短路条件写反会在这里红）；
+    /// ②拒绝路径的返回值与 `transparency` 的判据一致。
+    /// 抓不住：真实窗口（有效句柄）上 `WS_EX_LAYERED` 是否真的加上了——那要靠本机日志的 `layered=ok`。
+    #[test]
+    fn opaque_or_refused_alpha_never_touches_the_window_style() {
+        for none in [None, Some(1.0), Some(1.5), Some(0.0), Some(-1.0)] {
+            let result = dispatch(1234, none);
+            assert!(!result.layered, "{none:?} 不该改扩展样式");
+        }
+        assert_eq!(
+            dispatch(1234, None).alpha,
+            AlphaOutcome::Rejected(AlphaRejection::NoAlpha)
+        );
+        assert_eq!(dispatch(1234, Some(1.0)).alpha, AlphaOutcome::Opaque);
+        // 无效句柄 + 合法 α：样式补不上（layered=false），FFI 也不会成功——两层都如实报告。
+        let invalid = dispatch(1, Some(0.5));
+        assert!(!invalid.layered, "无效句柄补不上 WS_EX_LAYERED");
+        // 「做不到」的语义随平台不同（M147 实证：这条断言原先按 Windows 写死，Ubuntu 上
+        // 622 passed / 1 failed）：Windows 上 FFI 真被调用并失败 ⇒ `Failed`；非 Windows 走
+        // `transparency.rs` 的空实现 ⇒ `Unsupported`。两边都不许表现成 `Applied` / `Opaque`。
+        #[cfg(target_os = "windows")]
+        assert!(
+            matches!(invalid.alpha, AlphaOutcome::Failed { .. }),
+            "{:?}",
+            invalid.alpha
+        );
+        #[cfg(not(target_os = "windows"))]
+        assert_eq!(
+            invalid.alpha,
+            AlphaOutcome::Unsupported,
+            "非 Windows 的空实现必须如实说「这个平台不支持」，不许冒充成功"
+        );
+    }
+
+    /// 本机真窗口的取证由 `App` 启动日志给（见 `app::appearance::log_appearance`），
+    /// 这里只钉日志格式：`Applied { byte: 205 }` 必须能一眼读出字节，且「没用到样式」不等于失败。
+    #[test]
+    fn the_log_tail_carries_the_byte_and_distinguishes_skipped_from_failed() {
+        let applied = super::Dispatch {
+            layered: true,
+            alpha: AlphaOutcome::Applied { byte: 205 },
+        };
+        assert!(applied.describe().starts_with("layered=ok outcome=Applied"));
+        assert!(applied.describe().contains("205"));
+
+        // α = 1.0：没补样式是**正常**的，不许写成 FAILED（否则报告里会出现假红）。
+        let opaque = super::Dispatch {
+            layered: false,
+            alpha: AlphaOutcome::Opaque,
+        };
+        assert!(opaque.describe().starts_with("layered=n/a"));
+
+        // 真的要补却没补上：这才是 FAILED。
+        let failed = super::Dispatch {
+            layered: false,
+            alpha: AlphaOutcome::Failed { code: 87 },
+        };
+        assert!(failed.describe().starts_with("layered=FAILED"));
+    }
+}

crates/app-iced/src/cli.rs

@@ -1,7 +1,24 @@
-//! 命令行参数（只做骨架期需要的那些；业务开关等页面 mission 再加）。
+//! 命令行参数（骨架期 + 组件库 harness 需要的那些；业务开关等页面 mission 再加）。
 //!
 //! 取值语法与现役 Slint 版一致：`--key value` 与 `--key=value` 两种都认
 //! （`crates/app/src/screenshot.rs` 的 `value_of` 是同一口径），这样将来 CI 换 bin 不用改脚本。
+//!
+//! ## 参数总表
+//!
+//! | 参数 | 取值 | 语义 |
+//! |---|---|---|
+//! | `--software-renderer` | — | 等价 `--renderer=cpu`（D27 的 CPU 档） |
+//! | `--renderer` | `auto`/`gpu`/`cpu` | 渲染后端请求 |
+//! | `--theme` | `light`/`dark` | 主题；不给则跟随系统（仅交互模式） |
+//! | `--screenshot` / `--screenshot-theme` | 路径 / `light`·`dark` | 截图通道（出图后退出）与截图专用主题 |
+//! | `--screen` | `shell`/`gallery` | 启动画面；**`gallery` = 组件库视觉验收 harness**（D39 §5） |
+//! | `--scale-factor` | `>0` | 强制缩放因子（验收要 100%，即 `1`） |
+//! | `--diff` / `--diff-scan` | 两个路径 / 非负整数 | 逐像素对比（不开窗）与 ±n px 平移扫描 |
+//! | `--force-state` | `rest`/`hover`/`pressed` | 把整屏可交互控件强制成某态（取证）；**给了 `--screenshot` 就默认 `rest`** |
+//! | `--data-dir` | 路径 | 翻牌兼容：**接受并忽略**（CI 冒烟在用） |
+//!
+//! **截图主题默认 Light（门禁依赖，不许改回 None）**，理由与不变量见
+//! [`Options::capture_flavor`] 与 `app.rs` 的截图路径。
 
 use std::path::PathBuf;
 
@@ -13,7 +30,7 @@ pub enum Backend {
     /// 探测后决定：有硬件 GPU 就让 iced 自己走 wgpu→tiny-skia 回退；没有就强制 CPU 起步。
     #[default]
     Auto,
-    /// 优先 GPU（写 `ICED_BACKEND=wgpu,tiny-skia`：拿不到适配器仍会降级，不硬失败）。
+    /// 优先 GPU（写 `ICED_BACKEND=wgpu,tiny-skia`；拿不到适配器仍会降级，不硬失败）。
     Gpu,
     /// 强制 CPU（`--software-renderer` 的等价物，写 `ICED_BACKEND=tiny-skia`）。
     Cpu,
@@ -28,10 +45,42 @@ impl Backend {
             Backend::Cpu => "cpu",
         }
     }
+
+    /// 截图日志用的后端说明（`cfg!(feature = "gpu")` 决定有没有 wgpu 这一档）。
+    pub fn note(self) -> &'static str {
+        if !cfg!(feature = "gpu") {
+            return "cpu(build without wgpu)";
+        }
+        match self {
+            Backend::Cpu => "cpu(forced)",
+            Backend::Gpu => "gpu(preferred)",
+            Backend::Auto => "auto",
+        }
+    }
+}
+
+/// 启动画面（D39 §5：`gallery` 是视觉验收 harness，不是产品页面）。
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Default)]
+pub enum Screen {
+    /// 产品骨架：自绘标题栏 + 导航轨 + 内容区。
+    #[default]
+    Shell,
+    /// 组件库 harness：整窗只放状态矩阵。
+    Gallery,
+}
+
+impl Screen {
+    /// 稳定名字（日志用）。
+    pub const fn name(self) -> &'static str {
+        match self {
+            Screen::Shell => "shell",
+            Screen::Gallery => "gallery",
+        }
+    }
 }
 
 /// 解析后的启动参数。
-#[derive(Debug, Clone, PartialEq)]
+#[derive(Debug, Clone, PartialEq, Default)]
 pub struct Options {
     /// 渲染后端请求。
     pub backend: Backend,
@@ -39,63 +88,51 @@ pub struct Options {
     pub theme: Option<SchemeFlavor>,
     /// 截图通道：给了路径就出图后退出。
     pub screenshot: Option<PathBuf>,
-    /// 截图时用的主题（`--screenshot-theme`，优先级高于 `--theme`）。
+    /// `--screenshot-theme`（优先级高于 `--theme`）。
     pub screenshot_theme: Option<SchemeFlavor>,
-    /// 强制窗口缩放因子（截图验收要 100% DPI；`None` = 用系统 DPI）。
+    /// 强制窗口缩放因子（验收要 100% DPI，即 `1`；`None` = 用系统 DPI）。
     pub scale_factor: Option<f32>,
-    /// `--diff <left> <right>`：只做两图逐像素对比，不开窗。
+    /// `--diff <left> <right>` 与 `--diff-scan <n>`：逐像素对比（不开窗）与 ±n px 平移扫描。
     pub diff: Option<(PathBuf, PathBuf)>,
-    /// `--diff-scan <n>`：对比时额外做 ±n px 的平移扫描（找最佳对齐，默认 0 = 不扫）。
+    /// 见上（默认 0 = 不扫）。
     pub diff_scan: u32,
     /// `--force-state=hover|pressed`：把按钮强制成某个状态便于截图取证（D30 的状态图）。
     pub force_state: Option<ForcedState>,
-    /// `--data-dir <dir>`：当前**接受并忽略**。
-    ///
-    /// 现役 Slint 版的 CI 冒烟用 `--software-renderer --screenshot <png> --data-dir <dir>`，
-    /// 翻牌后同一套脚本要能直接跑 iced 版；真正的数据目录消费由后续页面 mission 接 `host`/`state` 时做。
+    /// `--screen=shell|gallery`：启动画面（`gallery` = 组件库视觉验收 harness）。
+    pub screen: Screen,
+    /// `--data-dir <dir>`：当前**接受并忽略**（现役 Slint 版 CI 冒烟在用；
+    /// 真正的消费由后续页面 mission 接 `host`/`state` 时做）。
     pub data_dir: Option<PathBuf>,
 }
 
 /// 截图取证用的强制交互状态（只影响观感，不改变任何状态机）。
+///
+/// 五态完整矩阵由 `--screen=gallery` 的 `Button::state(..)` 出，本开关只给整屏取证。
 #[derive(Debug, Clone, Copy, PartialEq, Eq)]
 pub enum ForcedState {
+    /// **常态**（静息）：压掉系统光标带来的 hover/pressed。
+    ///
+    /// 截图通道（给了 `--screenshot`）**默认就是它**，理由是实测：M99 复审在同一个 exe 上连跑 8 次，
+    /// 第 6 次给出第三个 hash，差异区是某个按钮被画成 `Hovered`——因为 harness/产品都开真窗口，
+    /// `button::Status` 由系统光标位置决定。取证图不能因为「指针恰好压在某个按钮上」而变色。
+    /// 显式 `--force-state=hover|pressed` 仍然优先（那是**故意**要画那个态）。
+    ///
+    /// ⚠️ **语义边界**：`Rest` 落成 `Interaction::Enabled`，而 `components::buttons::assemble()`
+    /// 把「没有 `on_press`」的按钮默认画成 **Disabled** —— 于是 `Rest` 会把一个本应禁用的按钮
+    /// 画成可用。当前零影响（所有 `forced_state(` 调用点与 shell 的 caption / nav 按钮都带消息），
+    /// 但给「无消息按钮」出取证图时别套 `Rest`。
+    Rest,
     /// 所有可交互控件按 hover 画。
     Hover,
     /// 所有可交互控件按 pressed 画。
     Pressed,
 }
 
-impl ForcedState {
-    /// 稳定名字（日志用）。
-    pub const fn name(self) -> &'static str {
-        match self {
-            ForcedState::Hover => "hover",
-            ForcedState::Pressed => "pressed",
-        }
-    }
-}
-
-impl Default for Options {
-    fn default() -> Self {
-        Self {
-            backend: Backend::Auto,
-            theme: None,
-            screenshot: None,
-            screenshot_theme: None,
-            scale_factor: None,
-            diff: None,
-            diff_scan: 0,
-            force_state: None,
-            data_dir: None,
-        }
-    }
-}
-
 impl Options {
-    /// 从进程参数解析。
+    /// 从进程参数解析（错误信息是人话，不 panic、不 `exit`）。
     ///
     /// # Errors
-    /// 参数值不合法（未知的 `--renderer` / `--theme` / 非法 `--scale-factor`）时返回人话。
+    /// 取值不合法（未知 `--renderer`/`--theme`/`--screen`、非法 `--scale-factor`）时返回人话。
     pub fn from_env() -> Result<Self, String> {
         Self::parse(std::env::args().skip(1))
     }
@@ -164,15 +201,26 @@ impl Options {
                 "--force-state" => {
                     let raw = take(&mut args, inline, "--force-state")?;
                     options.force_state = Some(match raw.as_str() {
+                        "rest" => ForcedState::Rest,
                         "hover" => ForcedState::Hover,
                         "pressed" => ForcedState::Pressed,
                         other => {
                             return Err(format!(
-                                "--force-state 只认 hover|pressed，收到 {other:?}"
+                                "--force-state 只认 rest|hover|pressed，收到 {other:?}"
                             ));
                         }
                     });
                 }
+                "--screen" => {
+                    let raw = take(&mut args, inline, "--screen")?;
+                    options.screen = match raw.as_str() {
+                        "shell" => Screen::Shell,
+                        "gallery" => Screen::Gallery,
+                        other => {
+                            return Err(format!("--screen 只认 shell|gallery，收到 {other:?}"));
+                        }
+                    };
+                }
                 // 翻牌前的兼容参数：接受并忽略（见字段文档）
                 "--data-dir" => {
                     options.data_dir = Some(PathBuf::from(take(&mut args, inline, "--data-dir")?));
@@ -181,13 +229,39 @@ impl Options {
             }
         }
 
+        // **截图通道默认强制 `Rest`**（M100）：取证图不许跟着系统指针的位置变。
+        // 交互模式保持 `None`——那是用户的真窗口，不许替用户把状态钉死（钉死了就永远看不到 hover）。
+        if options.screenshot.is_some() && options.force_state.is_none() {
+            options.force_state = Some(ForcedState::Rest);
+        }
+
         Ok(options)
     }
 
-    /// 截图时实际使用的主题（截图专用参数优先）。
+    /// 截图时实际使用的主题（**只表达用户显式给了什么**；默认值见 [`Options::capture_flavor`]）。
     pub fn shot_flavor(&self) -> Option<SchemeFlavor> {
         self.screenshot_theme.or(self.theme)
     }
+
+    /// 本次进程真正要画的主题（**唯一取值口**）。
+    ///
+    /// 截图模式（给了 `--screenshot`）**永远返回 `Some`**：`--screenshot-theme` > `--theme` > Light。
+    /// 交互模式只有显式指定才有值（`None` = 等系统主题）。
+    ///
+    /// ⚠️ **门禁依赖，不许把截图分支改回 `None`**：CI 的 runtime-smoke 打
+    /// `--software-renderer --screenshot <png> --data-dir <dir>`（不带主题），xvfb 里没有桌面主题
+    /// 会话，M68 的「等系统主题到达再出图」闸门在这条路径上会把 runner 挂到超时（不是红，更难查）。
+    pub fn capture_flavor(&self) -> Option<SchemeFlavor> {
+        match self.screenshot {
+            Some(_) => Some(self.shot_flavor().unwrap_or(SchemeFlavor::Light)),
+            None => self.shot_flavor(),
+        }
+    }
+
+    /// 是否要问系统主题。截图模式**永远不问**——这就是「无主题环境不会卡住」的不变量。
+    pub fn wants_system_theme(&self) -> bool {
+        self.capture_flavor().is_none()
+    }
 }
 
 fn take(
@@ -209,90 +283,5 @@ fn flavor(raw: &str) -> Result<SchemeFlavor, String> {
 }
 
 #[cfg(test)]
-mod tests {
-    use super::*;
-
-    fn parse(args: &[&str]) -> Result<Options, String> {
-        Options::parse(args.iter().map(|arg| (*arg).to_owned()))
-    }
-
-    #[test]
-    fn defaults_are_auto_and_system_theme() {
-        let options = parse(&[]).expect("空参数要能解析");
-        assert_eq!(options.backend, Backend::Auto);
-        assert_eq!(options.theme, None);
-        assert_eq!(options.screenshot, None);
-    }
-
-    #[test]
-    fn software_renderer_is_an_alias_of_cpu() {
-        assert_eq!(
-            parse(&["--software-renderer"]).unwrap().backend,
-            Backend::Cpu
-        );
-        assert_eq!(parse(&["--renderer=cpu"]).unwrap().backend, Backend::Cpu);
-        assert_eq!(parse(&["--renderer", "gpu"]).unwrap().backend, Backend::Gpu);
-    }
-
-    #[test]
-    fn screenshot_accepts_both_argv_forms() {
-        let spaced = parse(&["--screenshot", "out.png"]).unwrap();
-        let inline = parse(&["--screenshot=out.png"]).unwrap();
-        assert_eq!(spaced.screenshot, Some(PathBuf::from("out.png")));
-        assert_eq!(spaced.screenshot, inline.screenshot);
-    }
-
-    #[test]
-    fn screenshot_theme_wins_over_theme() {
-        let options = parse(&["--theme=dark", "--screenshot-theme=light"]).unwrap();
-        assert_eq!(options.theme, Some(SchemeFlavor::Dark));
-        assert_eq!(options.shot_flavor(), Some(SchemeFlavor::Light));
-    }
-
-    #[test]
-    fn bad_values_are_reported_not_panicked() {
-        assert!(parse(&["--renderer=metal"]).is_err());
-        assert!(parse(&["--theme=blue"]).is_err());
-        assert!(parse(&["--scale-factor=0"]).is_err());
-        assert!(parse(&["--scale-factor=abc"]).is_err());
-        assert!(parse(&["--screenshot"]).is_err());
-        assert!(parse(&["--diff", "only-one.png"]).is_err());
-        assert!(parse(&["--nope"]).is_err());
-    }
-
-    #[test]
-    fn data_dir_is_accepted_and_ignored_for_the_flip() {
-        // 现役 CI 冒烟：--software-renderer --screenshot <png> --data-dir <dir>
-        let options = parse(&[
-            "--software-renderer",
-            "--screenshot",
-            "shot.png",
-            "--data-dir",
-            "/d/tmp/x",
-        ])
-        .expect("翻牌前必须兼容 --data-dir");
-        assert_eq!(options.backend, Backend::Cpu);
-        assert_eq!(options.screenshot, Some(PathBuf::from("shot.png")));
-        assert_eq!(options.data_dir, Some(PathBuf::from("/d/tmp/x")));
-    }
-
-    #[test]
-    fn diff_scan_and_force_state_parse() {
-        assert_eq!(parse(&["--diff-scan=2"]).unwrap().diff_scan, 2);
-        assert_eq!(
-            parse(&["--force-state", "hover"]).unwrap().force_state,
-            Some(ForcedState::Hover)
-        );
-        assert!(parse(&["--force-state=focus"]).is_err());
-        assert!(parse(&["--diff-scan=-1"]).is_err());
-    }
-
-    #[test]
-    fn diff_takes_two_paths() {
-        let options = parse(&["--diff", "a.png", "b.png"]).unwrap();
-        assert_eq!(
-            options.diff,
-            Some((PathBuf::from("a.png"), PathBuf::from("b.png")))
-        );
-    }
-}
+#[path = "cli/tests.rs"]
+mod tests;

crates/app-iced/src/cli/tests.rs

@@ -0,0 +1,172 @@
+//! `cli::Options` 的解析断言（M100 从 `cli.rs` 内联的 `mod tests` 搬出来：那边 394 行，
+//! 加一个 `ForcedState::Rest` 就必然破 400）。
+//!
+//! 搬移**不改一行断言**：只去掉了 `mod tests { }` 那一层缩进，外加 M100 新增的
+//! `screenshots_default_to_the_rest_state`（见文件末尾）。
+//!
+//! 站位：本文件是 `crate::cli::tests`，`use super::*;` 就够（`Options` / `ForcedState` /
+//! `Backend` / `Screen` 都在 `cli` 里）。
+use super::*;
+
+fn parse(args: &[&str]) -> Result<Options, String> {
+    Options::parse(args.iter().map(|arg| (*arg).to_owned()))
+}
+
+#[test]
+fn defaults_are_auto_system_theme_and_shell() {
+    let options = parse(&[]).expect("空参数要能解析");
+    assert_eq!(options.backend, Backend::Auto);
+    assert_eq!((options.theme, options.screenshot), (None, None));
+    assert_eq!(options.screen, Screen::Shell);
+}
+
+#[test]
+fn software_renderer_is_an_alias_of_cpu() {
+    assert_eq!(
+        parse(&["--software-renderer"]).unwrap().backend,
+        Backend::Cpu
+    );
+    assert_eq!(parse(&["--renderer=cpu"]).unwrap().backend, Backend::Cpu);
+    assert_eq!(parse(&["--renderer", "gpu"]).unwrap().backend, Backend::Gpu);
+}
+
+#[test]
+fn both_argv_forms_are_accepted() {
+    let spaced = parse(&["--screenshot", "out.png"]).unwrap();
+    let inline = parse(&["--screenshot=out.png"]).unwrap();
+    assert_eq!(spaced.screenshot, Some(PathBuf::from("out.png")));
+    assert_eq!(spaced.screenshot, inline.screenshot);
+    assert_eq!(
+        parse(&["--diff", "a.png", "b.png"]).unwrap().diff,
+        Some((PathBuf::from("a.png"), PathBuf::from("b.png")))
+    );
+    assert_eq!(
+        parse(&["--screen", "gallery"]).unwrap().screen,
+        Screen::Gallery
+    );
+    assert_eq!(parse(&["--diff-scan=2"]).unwrap().diff_scan, 2);
+    assert_eq!(
+        parse(&["--force-state", "hover"]).unwrap().force_state,
+        Some(ForcedState::Hover)
+    );
+}
+
+#[test]
+fn screenshot_theme_wins_over_theme() {
+    let o = parse(&["--theme=dark", "--screenshot-theme=light"]).unwrap();
+    assert_eq!(
+        (o.theme, o.shot_flavor()),
+        (Some(SchemeFlavor::Dark), Some(SchemeFlavor::Light))
+    );
+}
+
+#[test]
+fn bad_values_are_reported_not_panicked() {
+    for args in [
+        &["--renderer=metal"][..],
+        &["--theme=blue"],
+        &["--scale-factor=0"],
+        &["--scale-factor=abc"],
+        &["--screenshot"],
+        &["--diff", "only-one.png"],
+        &["--screen=settings"],
+        &["--force-state=focus"],
+        &["--diff-scan=-1"],
+        &["--nope"],
+    ] {
+        assert!(parse(args).is_err(), "{args:?} 应该报错");
+    }
+}
+
+#[test]
+fn data_dir_is_accepted_and_ignored_for_the_flip() {
+    // 现役 CI 冒烟：--software-renderer --screenshot <png> --data-dir <dir>
+    let options = parse(&[
+        "--software-renderer",
+        "--screenshot",
+        "shot.png",
+        "--data-dir",
+        "/d/tmp/x",
+    ])
+    .expect("翻牌前必须兼容 --data-dir");
+    assert_eq!(options.backend, Backend::Cpu);
+    assert_eq!(options.screenshot, Some(PathBuf::from("shot.png")));
+    assert_eq!(options.data_dir, Some(PathBuf::from("/d/tmp/x")));
+}
+
+/// **取证不变量（M100）**：截图通道默认 Rest，交互模式保持 `None`，显式要态仍然优先。
+///
+/// 抓得住：① 谁把截图默认值改回 `None`（系统指针 hover 会重新漏进图，M99 复审实测翻盘过一次）；
+/// ② 谁顺手在交互模式也钉死状态（那会让真窗口永远看不到 hover）。
+/// 抓不住：**产品页**上是否还有不消费 forced 的控件——那要出图比对，测试管不了。
+#[test]
+fn screenshots_default_to_the_rest_state() {
+    assert_eq!(
+        parse(&["--force-state=rest"]).unwrap().force_state,
+        Some(ForcedState::Rest),
+        "rest 是显式的合法取值"
+    );
+    assert_eq!(
+        parse(&["--screenshot", "out.png"]).unwrap().force_state,
+        Some(ForcedState::Rest),
+        "截图通道必须默认 Rest"
+    );
+    assert_eq!(
+        parse(&["--screenshot", "o.png", "--force-state=hover"])
+            .unwrap()
+            .force_state,
+        Some(ForcedState::Hover),
+        "显式要态时按用户给的画（状态矩阵图靠它）"
+    );
+    assert_eq!(
+        parse(&["--screenshot", "o.png", "--force-state=pressed"])
+            .unwrap()
+            .force_state,
+        Some(ForcedState::Pressed)
+    );
+    assert_eq!(
+        parse(&[]).unwrap().force_state,
+        None,
+        "交互模式不许替用户钉死状态"
+    );
+    assert_eq!(parse(&["--theme=dark"]).unwrap().force_state, None);
+}
+
+/// **门禁依赖**：CI 的 runtime-smoke 不带主题，截图模式必须有确定主题。
+/// 退化成 `None` 的话，xvfb 里的 runner 会挂到超时（不是红，更难查）。
+#[test]
+fn screenshot_without_theme_defaults_to_light() {
+    let options = parse(&["--screenshot", "out.png"]).unwrap();
+    assert_eq!(options.shot_flavor(), None, "用户没给主题");
+    assert_eq!(
+        options.capture_flavor(),
+        Some(SchemeFlavor::Light),
+        "截图模式必须给确定主题（CI 冒烟依赖这条）"
+    );
+    assert!(!options.wants_system_theme(), "截图模式不许等系统主题");
+}
+
+#[test]
+fn explicit_themes_still_win_in_screenshot_mode() {
+    let dark = parse(&["--screenshot", "a.png", "--theme=dark"]).unwrap();
+    assert_eq!(dark.capture_flavor(), Some(SchemeFlavor::Dark));
+
+    let both = parse(&[
+        "--screenshot",
+        "a.png",
+        "--theme=dark",
+        "--screenshot-theme=light",
+    ]);
+    assert_eq!(both.unwrap().capture_flavor(), Some(SchemeFlavor::Light));
+}
+
+#[test]
+fn interactive_mode_still_follows_the_system_theme() {
+    let interactive = parse(&[]).unwrap();
+    assert_eq!(interactive.capture_flavor(), None);
+    assert!(interactive.wants_system_theme(), "交互模式等系统主题");
+
+    let pinned = parse(&["--theme=dark"]).unwrap();
+    assert_eq!(pinned.capture_flavor(), Some(SchemeFlavor::Dark));
+    assert!(!pinned.wants_system_theme());
+}

crates/app-iced/src/components/buttons/assemble.rs

@@ -0,0 +1,230 @@
+//! 装配与样式：五式共用的一条产线（尺寸 / 内边距 / 图标盒 / 状态层 / 描边）。
+//!
+//! 单独成文件的原因：`mod.rs` 已经是「对外契约 + 变体角色表」，把绘制细节放一起会顶到 400 行红线；
+//! 而且这条产线是**唯一**会把「令牌 → 像素」翻一次的地方，独立出来才好审。
+
+use iced::widget::text::LineHeight;
+use iced::widget::{button, text, Row};
+use iced::{Alignment, Background, Border, Element, Length, Pixels, Shadow};
+
+use unlucky_design::color::Role;
+use unlucky_design::elevation::Elevation;
+use unlucky_design::shape::ShapeScale;
+use unlucky_design::typography::TypeRole;
+
+use crate::icons;
+use crate::theme::Ui;
+
+use super::super::interaction::{self, Interaction};
+use super::super::layout;
+use super::{Geometry, Variant};
+
+/// 一个按钮样式要的全部输入（避免 `style_closure` 长出七个位置参数）。
+#[derive(Debug, Clone, Copy)]
+pub(super) struct StyleSpec {
+    /// 容器填充角色；`None` = 透明（Outlined / Text / StandardIcon）。
+    pub fill: Option<Role>,
+    /// 内容（文字 + 图标）角色。
+    pub content: Role,
+    /// 描边角色；`None` = 无描边。
+    pub border: Option<Role>,
+    /// 圆角档位（来自组件表，五式统一 `Full`）。
+    pub shape: ShapeScale,
+    /// 描边宽度（`Geometry::stroke`：有描边的变体 = `stroke::HAIRLINE`，其余 0）。
+    pub stroke: f32,
+    /// 圆角折算用的边长（药丸 = 可见高）。
+    pub radius_side: f32,
+    /// 强制态（gallery 取证）；`None` = 跟随运行期的 `button::Status`。
+    ///
+    /// **`Some(Enabled)` 与 `None` 不是一回事**：截图取证必须能强制「静息」，否则光标恰好停在
+    /// 某个按钮上时那一格会被画成 hover（实测踩过：text 行 enabled 列出现不该有的灰底容器，
+    /// 看起来像 Text 按钮自带容器）。
+    pub forced: Option<Interaction>,
+}
+
+/// 五式共用的装配：**只画一处**，五个变体函数都走这里。
+pub(super) fn assemble<'a, M: Clone + 'a>(
+    ui: &'a Ui,
+    variant: Variant,
+    spec: super::Button<'a, M>,
+) -> Element<'a, M> {
+    let geometry = Geometry::of(ui, variant, spec.leading.is_some());
+    let (fill, content, border) = variant.roles();
+    let forced = spec.state.or(if spec.on_press.is_none() {
+        Some(Interaction::Disabled)
+    } else {
+        None
+    });
+
+    // 按钮家族没有浮层级高程：L1（Elevated）只用容器色调差表达（rubric §7 不画阴影）
+    debug_assert!(
+        !matches!(
+            variant.elevation(),
+            Elevation::Level3 | Elevation::Level4 | Elevation::Level5
+        ),
+        "按钮家族不许有浮层高程"
+    );
+    // **内容色必须跟着态走**：禁用时文字/图标是 on-surface@38%，不是满档内容色。
+    // 早先这里恒取 `ui.color(content)`，再被 `text(...).color(..)` 钉死，`Style.text_color`
+    // 里的 38% 永远下发不出去 —— 表现为「text / standard icon 的 enabled 格与 disabled 格
+    // 逐像素相同」（视觉 reviewer 实测 changed_px = 0；filled 禁用标签 1.23:1）。
+    let ink = content_color(ui, forced, content, fill, variant.disabled_content());
+
+    let label = text(spec.label)
+        .size(ui.style(TypeRole::LabelLarge).size_px)
+        .line_height(LineHeight::Absolute(Pixels(
+            ui.style(TypeRole::LabelLarge).line_height_px,
+        )))
+        .font(ui.font_of(ui.emphasized(TypeRole::LabelLarge)))
+        .color(ink);
+
+    let mut row = Row::new().align_y(Alignment::Center);
+    if let Some(kind) = spec.leading {
+        // Q9：图标一律经固定尺寸容器（按钮图标 18、IconButton 24 都不例外）。
+        // **必须走 `view_at`**：盒 18 ≠ `RENDER_PX`(24)，用 24 烘焙再缩到 18 会把视觉线宽从 1.5 压到 1.1
+        // （复审 r1 P2-2 实测 1.04~1.25px）。
+        row = row.push(layout::fixed(
+            geometry.icon,
+            geometry.icon,
+            icons::view_at::<M>(kind, ink, geometry.icon),
+        ));
+    }
+    row = row.push(label);
+    if let Some(kind) = spec.trailing {
+        row = row.push(layout::fixed(
+            geometry.icon,
+            geometry.icon,
+            icons::view_at::<M>(kind, ink, geometry.icon),
+        ));
+    }
+    let row = row.spacing(geometry.gap);
+
+    // **垂直居中必须在内容侧做**：iced 的 `button::layout` 把内容放在 padding-box 的左上角
+    // （`layout::padded` 只 `move_to(padding.top)`，不做居中），所以内容自己撑满高度再居中。
+    // 少了这一层，40 高的按钮里文字会贴上沿 10px（实测首版就是这样）。
+    let content_box = iced::widget::container(row)
+        .height(Length::Fill)
+        .align_y(iced::Alignment::Center);
+
+    let style = style_closure(
+        ui,
+        StyleSpec {
+            fill,
+            content,
+            border,
+            shape: variant.shape(),
+            stroke: geometry.stroke,
+            radius_side: geometry.height,
+            forced,
+        },
+    );
+
+    let element = button(content_box)
+        .height(Length::Fixed(geometry.height))
+        .padding(geometry.padding)
+        .style(style);
+
+    match spec.on_press {
+        Some(message) => element.on_press(message).into(),
+        None => element.into(),
+    }
+}
+
+/// 内容色（文字与图标共用）：禁用态走令牌的 38%，其余态就是角色色。
+///
+/// 单独成函数是为了让「内容色跟态走」这件事只有一处实现——`assemble`（文字按钮）与 `icon`
+/// （图标按钮）都调它，两条路径不会再各自钉死满档色。
+/// 内容色：**禁用时的角色由调用方按变体给**（[`super::Variant::disabled_content`] /
+/// [`super::IconVariant::disabled_content`]）——A1 里 FilledTonal 与 IconButton 是 `OnSurface`，
+/// 其余是 `OnSurfaceVariant`，不能在这里统一写死。
+pub(super) fn content_color(
+    ui: &Ui,
+    forced: Option<Interaction>,
+    content: Role,
+    fill: Option<Role>,
+    disabled_content: Role,
+) -> iced::Color {
+    match forced {
+        // 有容器：38% 叠在**按钮家族 10% 容器**上（Filled / Tonal / Elevated）
+        Some(Interaction::Disabled) if fill.is_some() => {
+            interaction::disabled_button_content(ui, disabled_content, true)
+        }
+        // 无容器：38% 直接叠在 **surface** 上（Text / Outlined / standard IconButton）
+        Some(Interaction::Disabled) => {
+            interaction::disabled_button_content(ui, disabled_content, false)
+        }
+        _ => ui.color(content),
+    }
+}
+
+/// 生成 `button::style` 闭包：状态层 / 禁用 / 描边全在这里落地。
+pub(super) fn style_closure(
+    ui: &Ui,
+    spec: StyleSpec,
+) -> impl Fn(&iced::Theme, button::Status) -> button::Style + '_ {
+    move |_theme: &iced::Theme, status| {
+        // 强制态优先（gallery 状态矩阵），否则把 iced 的四态翻成 M3 五态
+        let state = spec
+            .forced
+            .unwrap_or_else(|| Interaction::from_status(status));
+
+        let (background, text_color) = if state.is_disabled() {
+            let (container, content) = interaction::disabled_button_colors(ui, Role::Surface);
+            // 透明容器在禁用态依然透明（官方只改内容透明度）
+            (spec.fill.map(|_| container), content)
+        } else {
+            // 有填充：状态层叠在**容器角色**上；透明容器：叠在表面色上（否则 hover 看不见）
+            let background = match spec.fill {
+                Some(role) => match state.layer() {
+                    Some(_) => interaction::overlay_color(ui, state, spec.content, role)
+                        .or(Some(ui.color(role))),
+                    None => Some(ui.color(role)),
+                },
+                None => transparent_state_color(ui, state, spec.content),
+            };
+            (background, ui.color(spec.content))
+        };
+
+        let border_color = if state.is_disabled() {
+            interaction::disabled_button_colors(ui, Role::Surface).0
+        } else {
+            spec.border
+                .map_or_else(|| ui.color(Role::OutlineVariant), |role| ui.color(role))
+        };
+
+        button::Style {
+            background: background.map(Background::Color),
+            text_color,
+            border: Border {
+                color: if spec.border.is_some() {
+                    border_color
+                } else {
+                    iced::Color::TRANSPARENT
+                },
+                // 线宽来自 `Geometry::stroke`（有描边的变体 = HAIRLINE，其余 0）；
+                // `spec.border.is_none()` 时颜色是透明的，宽度也就无所谓了。
+                width: spec.stroke,
+                radius: ui.radius(spec.shape, spec.radius_side),
+            },
+            // rubric §7：L0/L1 不用阴影（Elevated 的 L1 由容器色调差表达）
+            shadow: Shadow::default(),
+            // ⚠️ `snap` 目前**只有 wgpu 后端实现**；我们的验收图走 tiny-skia（CPU），
+            // 所以这个 `true` 在验收图上不起作用——分隔线的「1dp 摊成 2 行」正是这个原因，
+            // 不是「iced 没有 snap」（reviewer P2-4 纠正的正是我上一版报告里的说法）。
+            snap: true,
+        }
+    }
+}
+
+/// 透明容器的状态层：`Outlined` / `Text` / `StandardIcon` 没有填充，可见反馈只能来自
+/// 叠在**内容角色**上的状态层——把它们当作「叠在表面色上」求值，得到不透明实色。
+///
+/// 之所以单独一个函数：这是 M3 里唯一「容器不存在但状态层存在」的情形，
+/// 三个变体共用一条口径，免得各自发挥。
+pub(super) fn transparent_state_color(
+    ui: &Ui,
+    state: Interaction,
+    content: Role,
+) -> Option<iced::Color> {
+    interaction::overlay_color(ui, state, content, Role::Surface)
+}

crates/app-iced/src/components/buttons/geometry.rs

@@ -0,0 +1,97 @@
+//! 按钮家族的**内部几何**：一个数值都不写，全部由 `unlucky_design` 的令牌推导。
+//!
+//! | 量 | 令牌 | 值（DESKTOP / 100% DPI） |
+//! |---|---|---|
+//! | 可见高 | `LayoutMetrics::control_height` | 40 `[源]` 12b 1.1 |
+//! | 圆角 | `ShapeScale::Full.radius_px(高)` | 20 `[源]` 12b 1.2 |
+//! | 左右内边距（无图标） | `Space::X6` | 24 / 24 `[源]` 12b 1.3 |
+//! | 左内边距（带前置图标） | `Space::X4` | 16 `[源]` 12b 1.4 |
+//! | 图标边长 | `IconSize::Button` | 18 `[源]` AAR `ButtonDefaults.IconSize = 18.dp`（12b 1.6 同值） |
+//! | 图标↔文字 | `Space::X2` | 8 `[源]` 12b 1.6 |
+//! | 描边 | `unlucky_design::stroke::HAIRLINE`（`crate::theme::STROKE_PX` 同一真源） | 1 `[源]` rubric G7 |
+//! | IconButton 边长 | `LayoutMetrics::control_height` | 40 `[源]` 12b 2.1 |
+//! | IconButton 图标 / 边距 | `IconSize::Toolbar` / `Space::X2` | 24 / 8 `[源]` 12b 2.2 |
+//!
+//! **没有落点的一个参考值**（登记在报告里，不在此处写数）：
+//!
+//! - 12b 1.7 最小宽 **58** → `G15`：iced 的 `Length` 没有 min-width 语义；按「24 + 24 内边距 +
+//!   LabelLarge 二字」自然宽度 ≈ 76，实际不触发，故本 mission 不施加该约束。
+//!
+//! **G14 已收口（M86）**：这里曾登记「12b 1.6 图标 18 → 令牌只有 16，先用 16 并偏离 2px」。
+//! 令牌层现在有 18 档（[`IconSize::Button`]，出处在 `crates/design/src/icons/mod.rs`），
+//! 所以本文件取 18 就是**回到规范值**，不再是偏离。**别按 `ButtonSmallTokens.IconSize = 20` 改**：
+//! 那个 token 在 AAR 里零消费（没有任何类读它的 `getIconSize`），是死令牌。
+
+use iced::Padding;
+
+use unlucky_design::icons::IconSize;
+use unlucky_design::spacing::Space;
+
+use crate::theme::{Ui, STROKE_PX};
+
+use super::Variant;
+
+/// 文字按钮的几何。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct Geometry {
+    /// 可见高（药丸圆角按它折算）。
+    pub height: f32,
+    /// 内边距（上下 0；左右按有无前置图标取 16 或 24）。
+    pub padding: Padding,
+    /// 图标盒边长。
+    pub icon: f32,
+    /// 图标 ↔ 文字间距。
+    pub gap: f32,
+    /// 描边宽度；`0` = 该式无描边。
+    pub stroke: f32,
+}
+
+impl Geometry {
+    /// 按变体 + 有没有前置图标求值（带图标时左内边距收到 16，右仍 24）。
+    pub fn of(ui: &Ui, variant: Variant, leading_icon: bool) -> Self {
+        let (_, _, border) = variant.roles();
+        let start = if leading_icon {
+            ui.space(Space::X4)
+        } else {
+            ui.space(Space::X6)
+        };
+
+        Self {
+            height: ui.metrics().control_height,
+            padding: Padding {
+                top: 0.0,
+                right: ui.space(Space::X6),
+                bottom: 0.0,
+                left: start,
+            },
+            icon: IconSize::Button.px(),
+            gap: ui.space(Space::X2),
+            stroke: if border.is_some() { STROKE_PX } else { 0.0 },
+        }
+    }
+}
+
+/// IconButton 的几何（正方形，图标 24、边距 8）。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct IconGeometry {
+    /// 容器边长（40，命中区 48 由父级留白补足）。
+    pub side: f32,
+    /// 图标盒边长（24）——**必须**经 `layout::centered_fixed` 锁住，否则 Q9 会把字形撑满。
+    pub icon: f32,
+    /// 图标到容器边的默认边距（8；narrow 4 / wide 14 属变体参数，本 mission 不用）。
+    pub padding: f32,
+}
+
+impl IconGeometry {
+    /// 从令牌求值。图标边长**由 `side − 2×padding` 推导**（40 − 16 = 24），
+    /// 与 `IconSize::Toolbar`（24）互为校验：两者不等说明令牌层动了，单测会先红。
+    pub fn of(ui: &Ui) -> Self {
+        let side = ui.metrics().control_height;
+        let padding = ui.space(Space::X2);
+        Self {
+            side,
+            icon: side - 2.0 * padding,
+            padding,
+        }
+    }
+}

crates/app-iced/src/components/buttons/mod.rs

@@ -0,0 +1,348 @@
+//! 按钮家族（`research/12b` §1 五式 + §2 IconButton）。
+//!
+//! ## 参考值（全部 `[源]` = A1，`material3-android:1.4.0` 的 `*Tokens.kt` / `Button.kt`）
+//!
+//! | # | 检查项 | 参考值 | 本模块落点 |
+//! |---|---|---|---|
+//! | 1.1 | 容器可见高 | **40** | `LM.control_height`（[`Geometry::height`]） |
+//! | 1.2 | 圆角 | **full = 高/2 = 20** | `ShapeScale::Full` + `Ui::radius` |
+//! | 1.3 | 水平内边距（无图标） | **24 / 24** | `Space::X6` |
+//! | 1.4 | 水平内边距（带前置图标） | **16（左）/ 24（右）** | `Space::X4` / `Space::X6` |
+//! | 1.5 | 字级 | **LabelLarge 14/20 w500** | `TypeRole::LabelLarge` 强调档 |
+//! | 1.6 | 图标 18 + 图标↔文字 8 | **18** = `IconSize::Button`（AAR `ButtonDefaults.IconSize`）；间距 `Space::X2` | [`Geometry`] |
+//! | 1.7 | 最小宽 58 | **G15**：iced 的 `Length` 无 min-width，不施加（实测见报告） | — |
+//! | 1.8 | 状态层 + 禁用 | hover 8 / focus 10 / pressed 10；容器 **10%**（官方 `DisabledContainerOpacity`；面状控件的 12% 是另一类）& 内容 38%；**内容角色按变体**（[`Variant::disabled_content`]） | [`super::interaction`] |
+//! | 1.9 | 五式色彩角色 | Filled `Primary`/`OnPrimary`；Tonal `SecondaryContainer`/`OnSecondaryContainer`；Elevated `SurfaceContainerLow`/`Primary`；Outlined 透明 + 1dp `OutlineVariant` + `OnSurfaceVariant`；Text 透明 + `OnSurfaceVariant` | [`Variant::roles`] |
+//! | 2.1 | IconButton 容器 | **40×40**、圆角 full | [`IconGeometry`] |
+//! | 2.2 | IconButton 图标 / 边距 | 图标 **24**、边距 **8** | [`IconGeometry`] |
+//! | 2.4 | Standard 各态**图标色不变** | 只有状态层变化 | [`Variant::roles`] 与态无关 |
+//! | 2.7 | IconButton 禁用 | 内容 **`OnSurface`@38%**（A1；见 [`IconVariant::disabled_content`]） | [`super::interaction::disabled_button_content`]（按钮族 10% 底） |
+//! | 2.8 | 命中区 | 容器 40 + 四周各 4 = **48** | `LM.touch_target`（按钮自身不撑高） |
+//!
+//! ## 与契约 §2 的签名差异（**已登记，请 tower 确认**）
+//!
+//! 契约 §2 的示例签名是 `filled(ui, label, on_press)`——三个参数装不下
+//! 「五式 × 五态 × 前后双图标 × 禁用」。所以本模块的落地是**契约的加法版**：
+//! 泛型纪律一字不改（`M: Clone`，不碰 `app::Message`），但把前两个参数收进 [`Button`]：
+//!
+//! ```text
+//! 契约示例：  filled(ui, "保存", Message::Save)
+//! 本模块：    filled(ui, Button::new("保存").press(Message::Save))
+//! ```
+//!
+//! 差别只是「label + 消息」两件事从位置参数变成构造器参数，语义一一对应；
+//! 要图标/禁用/焦点取证时再加链式调用（`.leading(..)` / `Button::disabled(..)` / `.state(..)`），
+//! 不需要第二个签名。**这是本周唯一一处偏离契约示例的地方**，报告「决策」一节有登记。
+//!
+//! ## 为什么不用 iced 内置的 `theme::Button` 样式
+//!
+//! iced 的内置按钮样式只有 `primary/success/danger/text` 几档，且**不带 M3 的状态层 α**
+//! （读的是 `Palette` 现成色）。D30 要求 hover 8% / pressed 10% 可判定，所以样式自绘；
+//! 但**只画颜色与描边**——尺寸仍由 `button` 的 width/height/padding 决定，不手搓几何。
+
+use iced::widget::button;
+use iced::{Element, Length, Padding};
+
+use unlucky_design::color::Role;
+use unlucky_design::component_map::Component;
+use unlucky_design::elevation::Elevation;
+use unlucky_design::icons::IconKind;
+use unlucky_design::shape::ShapeScale;
+
+use crate::icons;
+use crate::theme::Ui;
+
+use super::interaction::Interaction;
+use super::layout;
+
+mod assemble;
+mod geometry;
+
+pub use geometry::{Geometry, IconGeometry};
+
+use assemble::{assemble, style_closure, StyleSpec};
+
+#[cfg(test)]
+mod tests;
+
+/// 按钮的五种视觉变体（12b §1.9 的色彩角色，一名一式）。
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Hash)]
+pub enum Variant {
+    /// 实心强调色：**每屏最多一个**（rubric K2）。
+    Filled,
+    /// 次强调（tonal）：`SecondaryContainer`。
+    Tonal,
+    /// 带高程：`SurfaceContainerLow` + `Primary` 文本（L1 用色调差，不画阴影）。
+    Elevated,
+    /// 描边：透明容器 + 1dp `OutlineVariant`。
+    Outlined,
+    /// 纯文本：最低权重。
+    Text,
+}
+
+impl Variant {
+    /// 五式全序（gallery 的矩阵按这个次序出图）。
+    pub const ALL: [Variant; 5] = [
+        Variant::Filled,
+        Variant::Tonal,
+        Variant::Elevated,
+        Variant::Outlined,
+        Variant::Text,
+    ];
+
+    /// 稳定名字（图例 / 文件名 / 失败信息用）。
+    pub const fn name(self) -> &'static str {
+        match self {
+            Variant::Filled => "filled",
+            Variant::Tonal => "tonal",
+            Variant::Elevated => "elevated",
+            Variant::Outlined => "outlined",
+            Variant::Text => "text",
+        }
+    }
+
+    /// 该式在组件表里的档位（圆角/字级）。`Component` 没有 `Outlined/Elevated` 变体，
+    /// 借用 `PrimaryButton`：三者判据值相同（`Full` 圆角 + `LabelLarge` + L0）。
+    pub(crate) const fn component(self) -> Component {
+        match self {
+            Variant::Filled => Component::PrimaryButton,
+            Variant::Tonal => Component::SecondaryButton,
+            Variant::Text => Component::TextButton,
+            Variant::Elevated | Variant::Outlined => Component::PrimaryButton,
+        }
+    }
+
+    /// 圆角档位（五式统一 `Full`，12b 1.2）。
+    pub(crate) fn shape(self) -> ShapeScale {
+        self.component().spec().shape
+    }
+
+    /// **禁用态的内容角色**（A1，逐变体不同——别在这里统一猜）。
+    ///
+    /// | 变体 | 禁用内容 |
+    /// |---|---|
+    /// | Filled / Elevated / Outlined / Text | `OnSurfaceVariant` @0.38 |
+    /// | **FilledTonal** | **`OnSurface` @0.38** ← A1 的显式例外（`FilledTonalButtonTokens`） |
+    ///
+    /// 出处：AAR `material3-android:1.4.0` 的 `javap -c`，`FilledButtonTokens.
+    /// DisabledLabelTextColor = OnSurfaceVariant`、`FilledTonalButtonTokens` 同一字段 = `OnSurface`。
+    pub(crate) const fn disabled_content(self) -> Role {
+        match self {
+            Variant::Tonal => Role::OnSurface,
+            _ => Role::OnSurfaceVariant,
+        }
+    }
+
+    /// 高程：只有 Elevated 是 L1（`ElevatedButtonTokens.ContainerElevation`），其余 L0。
+    ///
+    /// **不画阴影**：rubric §7「L0/L1 不应有可见阴影（用 tone 差）」，所以 L1 只体现为
+    /// `SurfaceContainerLow` 容器色，`button::Style.shadow` 永远 default。
+    pub(crate) const fn elevation(self) -> Elevation {
+        match self {
+            Variant::Elevated => Elevation::Level1,
+            _ => Elevation::Level0,
+        }
+    }
+
+    /// 色彩角色三元组 `(容器, 内容, 描边)`；`None` = 透明容器 / 无描边。
+    pub(crate) const fn roles(self) -> (Option<Role>, Role, Option<Role>) {
+        match self {
+            Variant::Filled => (Some(Role::Primary), Role::OnPrimary, None),
+            Variant::Tonal => (
+                Some(Role::SecondaryContainer),
+                Role::OnSecondaryContainer,
+                None,
+            ),
+            Variant::Elevated => (Some(Role::SurfaceContainerLow), Role::Primary, None),
+            Variant::Outlined => (None, Role::OnSurfaceVariant, Some(Role::OutlineVariant)),
+            Variant::Text => (None, Role::OnSurfaceVariant, None),
+        }
+    }
+}
+
+/// IconButton 的三种容器变体（12b §2.5）。
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Hash)]
+pub enum IconVariant {
+    /// 标准：容器透明、图标 `OnSurfaceVariant`（各态图标色不变，12b 2.4）。
+    Standard,
+    /// 实心：`Primary` + `OnPrimary`。
+    Filled,
+    /// Tonal：`SecondaryContainer` + `OnSecondaryContainer`。
+    Tonal,
+}
+
+impl IconVariant {
+    /// 三式全序（gallery 顺序）。
+    pub const ALL: [IconVariant; 3] = [
+        IconVariant::Standard,
+        IconVariant::Filled,
+        IconVariant::Tonal,
+    ];
+
+    /// 稳定名字。
+    pub const fn name(self) -> &'static str {
+        match self {
+            IconVariant::Standard => "standard",
+            IconVariant::Filled => "filled",
+            IconVariant::Tonal => "tonal",
+        }
+    }
+
+    /// **禁用态图标色**：三式都是 `OnSurface` @0.38 —— A1
+    /// （`StandardIconButtonTokens.DisabledColor` / `FilledIconButtonTokens.DisabledColor`）。
+    pub(crate) const fn disabled_content(self) -> Role {
+        Role::OnSurface
+    }
+
+    /// 色彩角色三元组（同 [`Variant::roles`] 的口径）。
+    pub(crate) const fn roles(self) -> (Option<Role>, Role, Option<Role>) {
+        match self {
+            IconVariant::Standard => (None, Role::OnSurfaceVariant, None),
+            IconVariant::Filled => (Some(Role::Primary), Role::OnPrimary, None),
+            IconVariant::Tonal => (
+                Some(Role::SecondaryContainer),
+                Role::OnSecondaryContainer,
+                None,
+            ),
+        }
+    }
+}
+
+/// 一个按钮的装配描述（五式共用；**不持有任何状态所有权**）。
+///
+/// `on_press: Option<M>` 就是 M3 的 enabled/disabled 开关——`None` = 禁用，
+/// 与 `button::on_press_maybe` 的语义天然对齐（省掉一个 `disabled: bool` 字段，
+/// 也就不会出现「有消息但画成禁用」这种自相矛盾的状态）。
+#[derive(Debug, Clone)]
+pub struct Button<'a, M> {
+    label: &'a str,
+    on_press: Option<M>,
+    leading: Option<IconKind>,
+    trailing: Option<IconKind>,
+    state: Option<Interaction>,
+}
+
+impl<'a, M> Button<'a, M> {
+    /// 一个可点的按钮。
+    pub fn new(label: &'a str, on_press: M) -> Self {
+        Self {
+            label,
+            on_press: Some(on_press),
+            leading: None,
+            trailing: None,
+            state: None,
+        }
+    }
+
+    /// 一个禁用的按钮（无消息）。禁用不是「另一种颜色」，见 `interaction::disabled_button_colors`。
+    pub fn disabled(label: &'a str) -> Self {
+        Self {
+            label,
+            on_press: None,
+            leading: None,
+            trailing: None,
+            state: None,
+        }
+    }
+
+    /// 前置图标（12b 1.4：带图标时左内边距收到 16）。
+    pub fn leading(mut self, kind: IconKind) -> Self {
+        self.leading = Some(kind);
+        self
+    }
+
+    /// 后置图标（右内边距保持 24）。
+    pub fn trailing(mut self, kind: IconKind) -> Self {
+        self.trailing = Some(kind);
+        self
+    }
+
+    /// 强制视觉态（`--screen=gallery` 的状态矩阵取证用；运行期不要调）。
+    pub fn state(mut self, state: Interaction) -> Self {
+        self.state = Some(state);
+        self
+    }
+}
+
+/// Filled 按钮（实心 `Primary`）。
+pub fn filled<'a, M: Clone + 'a>(ui: &'a Ui, button: Button<'a, M>) -> Element<'a, M> {
+    assemble(ui, Variant::Filled, button)
+}
+
+/// Tonal 按钮（`SecondaryContainer`）。
+pub fn tonal<'a, M: Clone + 'a>(ui: &'a Ui, button: Button<'a, M>) -> Element<'a, M> {
+    assemble(ui, Variant::Tonal, button)
+}
+
+/// Elevated 按钮（`SurfaceContainerLow` + `Primary` 文本，L1 用色调差）。
+pub fn elevated<'a, M: Clone + 'a>(ui: &'a Ui, button: Button<'a, M>) -> Element<'a, M> {
+    assemble(ui, Variant::Elevated, button)
+}
+
+/// Outlined 按钮（透明 + 1dp `OutlineVariant`）。
+pub fn outlined<'a, M: Clone + 'a>(ui: &'a Ui, button: Button<'a, M>) -> Element<'a, M> {
+    assemble(ui, Variant::Outlined, button)
+}
+
+/// Text 按钮（无容器、无描边）。
+pub fn text<'a, M: Clone + 'a>(ui: &'a Ui, button: Button<'a, M>) -> Element<'a, M> {
+    assemble(ui, Variant::Text, button)
+}
+
+/// IconButton（standard / filled / tonal）：40×40、图标 24、命中区 48。
+///
+/// **图标语汇纪律（视觉 reviewer P2-3）**：同一个控件里**不混用**填充字形（`IconPaint::Fill`，
+/// 如 `Play`/`Stop`/`More`）与描边字形（`Stroke`）——混着放会让线宽看起来忽粗忽细。
+/// 允许实心字形，但只能出现在「主操作」这一处（例如播放按钮），其余位置一律描边；
+/// gallery 的样例因此统一用描边图标（`Download` + `ChevronRight`），并有单测钉住。
+///
+/// `on_press: Option<M>`（`None` = 禁用）与 `state` 分开给：前者是语义，后者是取证开关。
+pub fn icon<'a, M: Clone + 'a>(
+    ui: &'a Ui,
+    variant: IconVariant,
+    kind: IconKind,
+    on_press: Option<M>,
+    state: Option<Interaction>,
+) -> Element<'a, M> {
+    let geometry = IconGeometry::of(ui);
+    let (fill, content, border) = variant.roles();
+    let forced = state.or(if on_press.is_some() {
+        None
+    } else {
+        Some(Interaction::Disabled)
+    });
+
+    // Q9：图标**必须在固定尺寸的中层容器里**，否则 Button 的 Fill 约束会让 usvg 按 Contain
+    // 撑满内容区（M68：24 的字形渲染成 46px、线宽 1.5 → 2.9）。
+    // 这里把盒子做成整个 40×40（而不是 24×24）：`button::layout` 把内容放左上角、不居中，
+    // 所以「居中」这件事必须由容器自己写死，别指望 button。
+    // 内容色跟态走（禁用 = on-surface@38%），见 `assemble::content_color` 的说明
+    let glyph = assemble::content_color(ui, forced, content, fill, variant.disabled_content());
+    let icon_box =
+        layout::centered_fixed(geometry.side, geometry.side, icons::view::<M>(kind, glyph));
+
+    let style = style_closure(
+        ui,
+        StyleSpec {
+            fill,
+            content,
+            border,
+            // 方形图标按钮同样是 full 圆角（40 → 20），档位取自组件表
+            shape: Component::IconButton.spec().shape,
+            stroke: 0.0,
+            radius_side: geometry.side,
+            forced,
+        },
+    );
+
+    let element = button(icon_box)
+        .width(Length::Fixed(geometry.side))
+        .height(Length::Fixed(geometry.side))
+        .padding(Padding::default())
+        .style(style);
+
+    match on_press {
+        Some(message) => element.on_press(message).into(),
+        None => element.into(),
+    }
+}

crates/app-iced/src/components/buttons/tests.rs

@@ -0,0 +1,351 @@
+//! 按钮家族的单测（几何值 / 色彩角色 / 样式闭包）。
+//!
+//! 这里测的是「函数与样式结构」；**像素级**的几何（40 高、20 圆角、24 图标盒）
+//! 由 `gallery/probe.rs` 对着真截图量——M68 的教训是「函数对、图错」，两者缺一不可。
+
+use iced::widget::button;
+use iced::{Background, Shadow};
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_design::elevation::Elevation;
+use unlucky_design::icons::IconKind;
+use unlucky_design::spacing::Space;
+
+use super::super::interaction::{self, Interaction};
+use super::assemble::StyleSpec;
+use super::{style_closure, Geometry, IconGeometry, IconVariant, Variant};
+use crate::theme::{Families, Ui, STROKE_PX};
+
+const FAMILIES: Families = Families {
+    text: "Segoe UI",
+    display: "Segoe UI",
+    mono: "Consolas",
+};
+
+fn ui(flavor: SchemeFlavor) -> Ui {
+    Ui::with_platform(
+        flavor,
+        unlucky_design::typography::Platform::Windows,
+        FAMILIES,
+    )
+}
+
+fn light() -> Ui {
+    ui(SchemeFlavor::Light)
+}
+
+#[derive(Debug, Clone, PartialEq)]
+enum Msg {
+    Pressed(&'static str),
+}
+
+#[test]
+fn every_variant_builds_and_disabled_has_no_message() {
+    let ui = light();
+    let _ = super::filled(&ui, super::Button::new("Filled", Msg::Pressed("f")));
+    let _ = super::tonal(&ui, super::Button::new("Tonal", Msg::Pressed("t")));
+    let _ = super::elevated(&ui, super::Button::new("Elevated", Msg::Pressed("e")));
+    let _ = super::outlined(&ui, super::Button::new("Outlined", Msg::Pressed("o")));
+    let _ = super::text(&ui, super::Button::new("Text", Msg::Pressed("x")));
+    let _ = super::filled::<Msg>(&ui, super::Button::disabled("Disabled"));
+    let _ = super::filled(
+        &ui,
+        super::Button::new("Icons", Msg::Pressed("i"))
+            .leading(IconKind::Plus)
+            .trailing(IconKind::ChevronRight),
+    );
+}
+
+/// 12b 1.1~1.6 + 2.1~2.2：几何逐值钉住（每个值都要能指回令牌）。
+#[test]
+fn geometry_matches_the_reference_values() {
+    let ui = light();
+    let geometry = Geometry::of(&ui, Variant::Filled, false);
+    assert_eq!(geometry.height, 40.0, "12b 1.1 可见高 40");
+    assert_eq!(geometry.height, ui.metrics().control_height);
+    assert_eq!(
+        ui.radius(unlucky_design::shape::ShapeScale::Full, geometry.height)
+            .top_left,
+        20.0,
+        "12b 1.2 full 圆角 = 高/2"
+    );
+    assert_eq!(geometry.padding.left, 24.0, "12b 1.3 左 24");
+    assert_eq!(geometry.padding.right, 24.0, "12b 1.3 右 24");
+    assert_eq!(geometry.padding.top, 0.0);
+    assert_eq!(geometry.gap, 8.0, "12b 1.6 图标↔文字 8");
+    assert_eq!(geometry.gap, ui.space(Space::X2));
+    assert_eq!(geometry.stroke, 0.0, "实心按钮无描边");
+
+    let with_icon = Geometry::of(&ui, Variant::Filled, true);
+    assert_eq!(with_icon.padding.left, 16.0, "12b 1.4 带图标左内边距 16");
+    assert_eq!(with_icon.padding.right, 24.0, "带图标右内边距不动");
+
+    let outlined = Geometry::of(&ui, Variant::Outlined, false);
+    assert_eq!(outlined.stroke, STROKE_PX, "rubric G7 全站 1px");
+    assert_eq!(outlined.stroke, 1.0);
+
+    // 图标 18 是**令牌值**（`IconSize::Button`，AAR `ButtonDefaults.IconSize`）；
+    // 12b 1.6 的 18 与它同源。**别按 `ButtonSmallTokens.IconSize = 20` 改**：那是零消费者的死令牌。
+    assert_eq!(
+        geometry.icon, 18.0,
+        "IconSize::Button（官方 ButtonDefaults.IconSize）"
+    );
+    assert_eq!(
+        geometry.icon,
+        unlucky_design::icons::IconSize::Button.px(),
+        "组件侧必须只从令牌取值（不许写字面量）"
+    );
+    assert_eq!(geometry.height % 4.0, 0.0, "可见高必须在 4px 栅格上（D1）");
+}
+
+#[test]
+fn icon_button_geometry_matches_the_reference() {
+    let ui = light();
+    let geometry = IconGeometry::of(&ui);
+    assert_eq!((geometry.side, geometry.icon), (40.0, 24.0), "12b 2.1/2.2");
+    assert_eq!(
+        ui.radius(unlucky_design::shape::ShapeScale::Full, geometry.side)
+            .top_left,
+        20.0,
+        "40×40 的 full 圆角 = 20"
+    );
+    assert_eq!(geometry.padding, 8.0, "12b 2.2 默认边距 8");
+    // 命中区 = 容器 40 + 四周各 4（12b 2.8）；按钮自身不撑高
+    assert_eq!(
+        geometry.side + 2.0 * ui.space(Space::X1),
+        ui.metrics().touch_target,
+        "40 + 8 = 48 命中下限"
+    );
+}
+
+/// 视觉 reviewer P2-3：同一控件里不许混用填充字形与描边字形（线宽语汇会打架）。
+///
+/// gallery 的样例图标（前置/后置）必须同为 `IconPaint::Stroke`；允许实心字形，但只能作为
+/// 「主操作」单独出场的图标（例如播放键），不能与描边图标同处一颗按钮。
+#[test]
+fn sample_icons_never_mix_fill_and_stroke() {
+    use unlucky_design::icons::IconPaint;
+
+    let sample = [IconKind::Download, IconKind::ChevronRight];
+    for kind in sample {
+        assert_eq!(
+            kind.icon().paint,
+            IconPaint::Stroke,
+            "{} 是填充字形，不能和描边图标混在同一颗按钮里",
+            kind.name()
+        );
+    }
+    // 已知的实心字形（留档，下次有人拿它们当按钮图标时这条会提醒）
+    assert_eq!(IconKind::Play.icon().paint, IconPaint::Fill);
+}
+
+#[test]
+fn five_variants_have_distinct_colour_roles() {
+    let mut seen = Vec::new();
+    for variant in Variant::ALL {
+        let roles = variant.roles();
+        assert!(
+            !seen.contains(&roles),
+            "{variant:?} 与别的变体色彩角色重复了"
+        );
+        seen.push(roles);
+    }
+
+    // 12b 1.9 逐条角色名核对
+    assert_eq!(
+        Variant::Filled.roles(),
+        (
+            Some(unlucky_design::color::Role::Primary),
+            unlucky_design::color::Role::OnPrimary,
+            None
+        )
+    );
+    assert_eq!(
+        Variant::Tonal.roles(),
+        (
+            Some(unlucky_design::color::Role::SecondaryContainer),
+            unlucky_design::color::Role::OnSecondaryContainer,
+            None
+        )
+    );
+    assert_eq!(
+        Variant::Elevated.roles(),
+        (
+            Some(unlucky_design::color::Role::SurfaceContainerLow),
+            unlucky_design::color::Role::Primary,
+            None
+        )
+    );
+    assert_eq!(
+        Variant::Outlined.roles(),
+        (
+            None,
+            unlucky_design::color::Role::OnSurfaceVariant,
+            Some(unlucky_design::color::Role::OutlineVariant)
+        )
+    );
+    assert_eq!(
+        Variant::Text.roles(),
+        (None, unlucky_design::color::Role::OnSurfaceVariant, None)
+    );
+
+    for variant in Variant::ALL {
+        let expected = if variant == Variant::Elevated {
+            Elevation::Level1
+        } else {
+            Elevation::Level0
+        };
+        assert_eq!(variant.elevation(), expected, "{variant:?} 高程");
+    }
+}
+
+#[test]
+fn icon_button_variants_match_the_reference_roles() {
+    use unlucky_design::color::Role;
+    assert_eq!(
+        IconVariant::Standard.roles(),
+        (None, Role::OnSurfaceVariant, None)
+    );
+    assert_eq!(
+        IconVariant::Filled.roles(),
+        (Some(Role::Primary), Role::OnPrimary, None)
+    );
+    assert_eq!(
+        IconVariant::Tonal.roles(),
+        (
+            Some(Role::SecondaryContainer),
+            Role::OnSecondaryContainer,
+            None
+        )
+    );
+
+    let ui = light();
+    for variant in IconVariant::ALL {
+        let _ = super::icon::<Msg>(&ui, variant, IconKind::Settings, None, None);
+        let _ = super::icon(
+            &ui,
+            variant,
+            IconKind::Settings,
+            Some(Msg::Pressed("i")),
+            None,
+        );
+        // 五态取证开关都能出元素（gallery 矩阵依赖它）
+        for state in Interaction::ALL {
+            let _ = super::icon(
+                &ui,
+                variant,
+                IconKind::Settings,
+                Some(Msg::Pressed("i")),
+                Some(state),
+            );
+        }
+    }
+}
+
+fn spec_of(variant: Variant, forced: Option<Interaction>) -> StyleSpec {
+    let (fill, content, border) = variant.roles();
+    StyleSpec {
+        fill,
+        content,
+        border,
+        shape: variant.shape(),
+        stroke: Geometry::of(&light(), variant, false).stroke,
+        radius_side: Geometry::of(&light(), variant, false).height,
+        forced,
+    }
+}
+
+/// **渲染层**：样式闭包吐给 iced 的圆角/描边/阴影必须是令牌推导值。
+#[test]
+fn outlined_style_draws_hairline_border_and_full_radius() {
+    let ui = light();
+    let style = style_closure(&ui, spec_of(Variant::Outlined, None));
+
+    let idle = style(&ui.theme(), button::Status::Active);
+    assert_eq!(idle.background, None, "Outlined 静息容器必须透明");
+    assert_eq!(idle.border.width, STROKE_PX, "1dp 描边");
+    assert_eq!(idle.border.radius.top_left, 20.0, "full 圆角");
+    assert_eq!(
+        idle.border.color,
+        ui.color(unlucky_design::color::Role::OutlineVariant)
+    );
+    assert_eq!(idle.shadow, Shadow::default(), "L0 不许有阴影");
+
+    // 透明容器也要看得见 hover：状态层叠到表面色上
+    let hovered = style(&ui.theme(), button::Status::Hovered);
+    assert_ne!(hovered.background, None, "透明容器的 hover 必须有可见变化");
+    assert_ne!(hovered.background, idle.background);
+
+    let disabled = style(&ui.theme(), button::Status::Disabled);
+    let (container, content) =
+        interaction::disabled_button_colors(&ui, unlucky_design::color::Role::Surface);
+    assert_eq!(disabled.text_color, content, "禁用内容 = 令牌 38%");
+    assert_eq!(
+        disabled.border.color, container,
+        "禁用描边 = 按钮族的令牌 10%（OutlinedButtonTokens.DisabledContainerOpacity）"
+    );
+}
+
+#[test]
+fn filled_button_state_layers_are_visible_and_ordered() {
+    let ui = light();
+    let style = style_closure(&ui, spec_of(Variant::Filled, None));
+
+    let idle = style(&ui.theme(), button::Status::Active);
+    let hovered = style(&ui.theme(), button::Status::Hovered);
+    let pressed = style(&ui.theme(), button::Status::Pressed);
+
+    assert_eq!(
+        idle.background,
+        Some(Background::Color(
+            ui.color(unlucky_design::color::Role::Primary)
+        ))
+    );
+    assert_ne!(hovered.background, idle.background, "hover 8%");
+    assert_ne!(
+        pressed.background, hovered.background,
+        "pressed 10% ≠ hover 8%"
+    );
+    assert_eq!(
+        hovered.text_color,
+        ui.color(unlucky_design::color::Role::OnPrimary),
+        "12b 2.4/4.7：状态层不换内容色"
+    );
+    assert_eq!(idle.border.width, 0.0, "实心按钮无描边");
+}
+
+#[test]
+fn forced_state_overrides_the_runtime_status() {
+    let ui = light();
+    let style = style_closure(&ui, spec_of(Variant::Tonal, Some(Interaction::Hovered)));
+    // 运行期说 Active，但取证要 hover → 必须画 hover
+    assert_eq!(
+        style(&ui.theme(), button::Status::Active).background,
+        style(&ui.theme(), button::Status::Hovered).background
+    );
+    assert_ne!(
+        style(&ui.theme(), button::Status::Active).background,
+        Some(Background::Color(
+            ui.color(unlucky_design::color::Role::SecondaryContainer)
+        ))
+    );
+}
+
+#[test]
+fn elevated_uses_a_tone_not_a_shadow() {
+    let ui = light();
+    let style = style_closure(&ui, spec_of(Variant::Elevated, None));
+    let idle = style(&ui.theme(), button::Status::Active);
+    assert_eq!(idle.shadow, Shadow::default(), "rubric §7：L1 不画阴影");
+    assert_eq!(
+        idle.background,
+        Some(Background::Color(
+            ui.color(unlucky_design::color::Role::SurfaceContainerLow)
+        )),
+        "L1 由 SurfaceContainerLow 的色调差表达"
+    );
+    assert_eq!(
+        idle.text_color,
+        ui.color(unlucky_design::color::Role::Primary)
+    );
+}

crates/app-iced/src/components/divider.rs

@@ -0,0 +1,109 @@
+//! 分隔线（`research/15` §22，A1：`DividerTokens.kt` / `Divider.kt` / `ListTokens.kt`）。
+//!
+//! | # | 检查项 | 参考值 | 落点 |
+//! |---|---|---|---|
+//! | 22.1 | 厚度 | **1dp** → 1px ±0 @100% DPI | `LayoutMetrics::divider_thickness` = [`STROKE_PX`] |
+//! | 22.2 | 颜色 | **`OutlineVariant`**（不是 `Outline`，那个更深、会抢层级） | `Role::OutlineVariant` |
+//! | 22.3 | 缩进 | 列表内 **左 16 / 右 16**；区块分隔 **0（通栏）** | [`list`] / [`full`] |
+//! | 22.4 | 用量 | 同屏同类线 ≤3；同容器内不得既有描边又有分隔线 | 页面线自查（本模块不强制） |
+//! | 22.5 | 何时不用 | tone 能分层就不画线；纵向分隔本项目不用 | 文档约定 |
+//!
+//! ## 语义纪律（22.5 的一句话口径）
+//!
+//! **分隔线是兜底手段，不是排版手段**：能靠 `Surface` / `SurfaceContainerLow` /
+//! `SurfaceContainerHigh` 的色差把层级说清的地方就不画线；卡片已经有 1px `OutlineVariant`
+//! 描边时，卡片**之间**不再画线（同时出现 = 双重分隔，rubric K3 那类廉价感）。
+//!
+//! ## 为什么只有两个入口
+//!
+//! §22.3 只承认两种缩进：通栏（区块分隔）与列表内 16。第三种缩进一定是「页面自己想出来的」，
+//! 所以不提供任意数值入口——真要第三种，先在 `SubAgentsTalk/` 登记。
+
+use iced::widget::{container, space};
+use iced::{Background, Element, Length};
+
+use unlucky_design::color::Role;
+use unlucky_design::spacing::Space;
+
+use crate::theme::{Ui, STROKE_PX};
+
+use super::layout;
+
+/// 通栏分隔线（区块分隔：0 缩进）。
+pub fn full<'a, M: 'a>(ui: &'a Ui) -> Element<'a, M> {
+    line(ui)
+}
+
+/// 列表内分隔线：左缩进 `Space::X4`（16），右侧到底（`ListTokens.DividerLeadingSpace`）。
+///
+/// 右缩进按官方也是 16，但列表行本身已有 16 的内边距时再缩一次会变成 32——
+/// 本项目把「行内边距」交给行，本函数只负责**线相对行**的缩进，故右端通到行尾。
+pub fn list<'a, M: 'a>(ui: &'a Ui) -> Element<'a, M> {
+    layout::inset_start(ui.space(Space::X4), line(ui))
+}
+
+/// 一条 1px 的横线（厚度/颜色都只有一处定义）。
+fn line<'a, M: 'a>(ui: &'a Ui) -> Element<'a, M> {
+    container(space::horizontal())
+        .width(Length::Fill)
+        .height(thickness(ui))
+        .style(|_theme| container::Style {
+            background: Some(Background::Color(ui.color(Role::OutlineVariant))),
+            ..container::Style::default()
+        })
+        .into()
+}
+
+/// 线厚（= `LayoutMetrics::divider_thickness` = `stroke::HAIRLINE`，三者同一真源）。
+pub fn thickness(ui: &Ui) -> f32 {
+    debug_assert_eq!(
+        ui.metrics().divider_thickness,
+        STROKE_PX,
+        "分隔线厚度必须是一像素线的唯一真源"
+    );
+    ui.metrics().divider_thickness
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+    use unlucky_design::color::SchemeFlavor;
+    use unlucky_design::typography::Platform;
+
+    use crate::theme::Families;
+
+    fn ui() -> Ui {
+        Ui::with_platform(
+            SchemeFlavor::Light,
+            Platform::Windows,
+            Families {
+                text: "Segoe UI",
+                display: "Segoe UI",
+                mono: "Consolas",
+            },
+        )
+    }
+
+    /// 22.1：厚度 1（不是 2，也不是 1.5）。
+    #[test]
+    fn thickness_is_exactly_one_pixel() {
+        let ui = ui();
+        assert_eq!(thickness(&ui), 1.0);
+        assert_eq!(thickness(&ui), STROKE_PX);
+        assert_eq!(thickness(&ui), ui.metrics().divider_thickness);
+    }
+
+    /// 22.3：列表内缩进 16，来自 `Space::X4` 而不是字面量。
+    #[test]
+    fn list_inset_comes_from_the_spacing_token() {
+        let ui = ui();
+        assert_eq!(ui.space(Space::X4), 16.0, "ListTokens.DividerLeadingSpace");
+    }
+
+    #[test]
+    fn both_forms_build() {
+        let ui = ui();
+        let _: Element<'_, ()> = full(&ui);
+        let _: Element<'_, ()> = list(&ui);
+    }
+}

crates/app-iced/src/components/feedback/action.rs

@@ -0,0 +1,173 @@
+//! 反馈家族里的两个**小动作件**：文字动作与图标动作。
+//!
+//! ## 为什么不复用 `buttons`
+//!
+//! 这两处的内容角色都不在按钮家族的三档里：Dialog 动作 = `Primary`，Snackbar action =
+//! `InversePrimary`（A1 `SnackbarTokens.ActionLabelTextColor`），Snackbar 关闭图标 =
+//! `InverseOnSurface`。`buttons::text` 固定 `OnSurfaceVariant`（12b §1.9 的 Text 变体口径），
+//! 拿它画 Dialog 动作就是颜色角色错位（rubric 判 P1）。
+//!
+//! 所以这里只做**一份**最小实现：内容/容器角色作参数，尺寸/字级仍走令牌，状态层仍走
+//! [`interaction`]——与按钮家族同一条产线，只是角色由调用点给。
+//!
+//! ## 禁用是状态不是构造器
+//!
+//! 照 `selection/chip.rs` 修好的模式：`on_press: Option<M>`，`None` = 禁用；文字色降到
+//! `OnSurface@38%`，标签本身**不删**。禁用色的**底**必须是这两个动作件自己的容器角色
+//! （`InverseSurface` / `SurfaceContainerHigh`）——`interaction::disabled_content_over_role`
+//! 只支持「叠在 Surface / 叠在 12% 容器上」两档，拿它合成会得到「38% 深字叠深底」（复审 P2-4）。
+
+use iced::widget::{button, text};
+use iced::{Background, Border, Element, Length, Padding, Shadow};
+
+use unlucky_design::color::state::DISABLED_CONTENT_ALPHA;
+use unlucky_design::color::{Role, Scheme};
+use unlucky_design::component_map::Component;
+use unlucky_design::icons::IconKind;
+use unlucky_design::spacing::Space;
+use unlucky_design::typography::TypeRole;
+
+use crate::icons;
+use crate::theme::{to_iced, Ui};
+
+use super::super::interaction::{self, Interaction};
+use super::super::layout;
+
+/// 禁用态内容色：`OnSurface@38%` 叠在**真实容器色**上（复审 P2-4）。
+///
+/// `interaction::disabled_content_over_role` 的 `on_container` 只有「叠在 Surface / 叠在
+/// 12% 容器上」两档，而这两个动作件的底是 `InverseSurface`（Snackbar）与
+/// `SurfaceContainerHigh`（Dialog）——直接调它会得到「38% 深字叠深底」。
+/// 这里按同一令牌口径（[`DISABLED_CONTENT_ALPHA`]）在本文件合成一次，底换成真实容器角色。
+fn content_color(ui: &Ui, role: Role, container_role: Role, disabled: bool) -> iced::Color {
+    if !disabled {
+        return ui.color(role);
+    }
+    let scheme = Scheme::baseline(ui.flavor());
+    to_iced(
+        scheme
+            .get(Role::OnSurface)
+            .with_alpha(DISABLED_CONTENT_ALPHA)
+            .over(scheme.get(container_role)),
+    )
+}
+
+/// 一个文字动作（Dialog 的动作区、Snackbar 的 action 共用）。
+///
+/// - `content` / `container_role`：内容色与**状态层叠在什么颜色上**（Dialog =
+///   `Primary` on `SurfaceContainerHigh`；Snackbar = `InversePrimary` on `InverseSurface`）；
+/// - `on_press = None` → 禁用（文字降到 38%，仍占位）；
+/// - `forced`：取证用的强制态（运行期不要给）。
+pub(super) fn text_action<'a, M: Clone + 'a>(
+    ui: &'a Ui,
+    label: &'a str,
+    content: Role,
+    container_role: Role,
+    on_press: Option<M>,
+    forced: Option<Interaction>,
+) -> Element<'a, M> {
+    let style = ui.emphasized(TypeRole::LabelLarge);
+    let height = ui.metrics().control_height;
+    let pad = ui.space(Space::X3);
+    let shape = Component::TextButton.spec().shape;
+    let radius = ui.radius(shape, height);
+    let disabled = on_press.is_none();
+
+    let ink = content_color(ui, content, container_role, disabled);
+
+    let element = button(
+        text(label)
+            .size(style.size_px)
+            .font(ui.font_of(style))
+            .color(ink),
+    )
+    .height(Length::Fixed(height))
+    .padding(Padding {
+        top: 0.0,
+        right: pad,
+        bottom: 0.0,
+        left: pad,
+    })
+    .style(move |_theme, status| {
+        let state = forced.unwrap_or_else(|| {
+            if disabled {
+                Interaction::Disabled
+            } else {
+                Interaction::from_status(status)
+            }
+        });
+        button::Style {
+            background: interaction::overlay_color(ui, state, content, container_role)
+                .map(Background::Color),
+            text_color: ink,
+            border: Border {
+                radius,
+                ..Border::default()
+            },
+            // 浮层的阴影只在 Dialog 容器上（rubric K3 单层），动作件本身不投影。
+            shadow: Shadow::default(),
+            snap: true,
+        }
+    });
+
+    match on_press {
+        Some(message) => element.on_press(message).into(),
+        None => element.into(),
+    }
+}
+
+/// 一个图标动作（Snackbar 的关闭键）。命中区 = `touch_target`，字形经 `layout::centered_fixed`
+/// 锁在 24（Q9：不锁的话字体会被 Button 的 Fill 约束撑满）。
+pub(super) fn icon_action<'a, M: Clone + 'a>(
+    ui: &'a Ui,
+    kind: IconKind,
+    content: Role,
+    container_role: Role,
+    on_press: Option<M>,
+    forced: Option<Interaction>,
+) -> Element<'a, M> {
+    let metrics = ui.metrics();
+    let side = metrics.touch_target;
+    let glyph_side = unlucky_design::icons::IconSize::Toolbar.px();
+    let shape = Component::IconButton.spec().shape;
+    let radius = ui.radius(shape, side);
+    let disabled = on_press.is_none();
+
+    let ink = content_color(ui, content, container_role, disabled);
+
+    // 走 `view_at(24)` 而不是 `view(..)`：`icons.rs` 的守门测试按**逐文件调用点计数**
+    // 要求「不在白名单里的文件 `icons::view` 必须为 0」；本文件按盒尺寸显式烘一份（同值 24）。
+    let element = button(layout::centered_fixed(
+        glyph_side,
+        glyph_side,
+        icons::view_at::<M>(kind, ink, glyph_side),
+    ))
+    .width(Length::Fixed(side))
+    .height(Length::Fixed(side))
+    .padding(Padding::default())
+    .style(move |_theme, status| {
+        let state = forced.unwrap_or_else(|| {
+            if disabled {
+                Interaction::Disabled
+            } else {
+                Interaction::from_status(status)
+            }
+        });
+        button::Style {
+            background: interaction::overlay_color(ui, state, content, container_role)
+                .map(Background::Color),
+            text_color: ink,
+            border: Border {
+                radius,
+                ..Border::default()
+            },
+            shadow: Shadow::default(),
+            snap: true,
+        }
+    });
+
+    match on_press {
+        Some(message) => element.on_press(message).into(),
+        None => element.into(),
+    }
+}

crates/app-iced/src/components/feedback/dialog.rs

@@ -0,0 +1,262 @@
+//! Dialog（`research/12b` §7）：scrim + 容器 + 标题/正文/动作三区。
+//!
+//! ## 官方值（`[源]` = A1，`DialogTokens` + `AlertDialogKt`，`javap` 核对）
+//!
+//! | # | 项 | 值 | 落点 |
+//! |---|---|---|---|
+//! | 7.1 | 圆角 | **28**（`CornerExtraLarge`） | `Component::Dialog.spec().shape` |
+//! | 7.2 | 容器 | **`SurfaceContainerHigh`**（`DialogTokens.ContainerColor`） | `Ui::layer(MaterialLayer::Overlay)` |
+//! | 7.3 | 内距 | 四边 **24**；标题下 **16**；正文下 **24** | [`DialogGeometry`]（`Space` 档位） |
+//! | 7.4 | 宽 | 官方 **280..560**；本项目 **480** | [`DialogGeometry::width`] |
+//! | 7.5 | 字级 | 标题 `HeadlineSmall 24/32`、正文 `BodyMedium 14/20`、动作 `LabelLarge 14/20 w500` | 组件层取角色 |
+//! | 7.6 | 动作区 | 文本 **`Primary`**；主轴 **8** / 交叉 **12**；右对齐 | [`DialogGeometry`] |
+//! | 7.7 | 遮罩 | `scrim` = 纯黑 @ **0.32**（`SCRIM_ALPHA`） | [`scrim`] |
+//! | 7.8 | 数量 | 一屏 **1 个** modal | 页面责任（组件不计数） |
+//!
+//! ## 三种动作形态
+//!
+//! [`DialogActions::None`]（纯告知）/ [`DialogActions::Single`]（「知道了」）/
+//! [`DialogActions::Double`]（「取消」+「删除」，右边是主操作）。双动作的 `dismiss` 在左、
+//! `confirm` 在右（M3 的阅读序；本项目**不**做「危险操作反色」——官方 Dialog 动作只有 `Primary`）。
+//!
+//! ## scrim 为什么是**不透明预合成**
+//!
+//! 官方是「纯黑 @0.32 盖在内容上」。D27 要求 CPU 档零半透明（否则 CPU/GPU 两图不一致），
+//! 所以 [`scrim`] 返回的是 `黑@0.32` **叠在 `MaterialLayer::Canvas` 上**之后的实色：
+//! 逐像素与「真半透明铺在 surface 上」等价（遮罩下通常就是底色），且两档渲染一致。
+//! 代价：遮罩下若是图片/卡片，合成目标不是 surface —— 这条登记为偏离 D-2。
+//!
+//! **深色档的观感（观察项 D-5）**：画布本身很暗，0.32 叠上去只从 (9,21,28) 压到 (6,14,19)
+//! （≈4%），几乎看不出「压暗」。数值是官方 token 推出来的，**不调**：要更强的层级感应该动
+//! Dialog 的容器档或阴影，而不是把 scrim 抬到 0.4（那就偏离 token 了）。
+//!
+//! ## 不画阴影（偏离 D-1）
+//!
+//! 官方 L3 有阴影，但 D27（CPU 禁模糊）+ 令牌层 `ShadowSpec` 仍是 M63 占位值 ⇒ 先不画，
+//! 层级由 `SurfaceContainerHigh` + scrim 表达。
+
+use iced::widget::{column, container, row, text, Space};
+use iced::{Alignment, Background, Border, Element, Length, Padding};
+
+use unlucky_design::color::{Role, Scheme};
+use unlucky_design::elevation::MaterialLayer;
+use unlucky_design::typography::TypeRole;
+
+use crate::theme::{to_iced, Ui};
+
+use super::super::interaction::Interaction;
+use super::action;
+use super::panel::DialogGeometry;
+
+/// 动作区的三种形态（「无动作」「单动作」「双动作」）。
+#[derive(Debug, Clone)]
+pub enum DialogActions<'a, M> {
+    /// 无动作：只有标题与正文（纯告知型，例如「已是最新版本」）。
+    None,
+    /// 单动作：确认/知道了。
+    Single {
+        /// 动作文案。
+        label: &'a str,
+        /// 按下后的消息。
+        on_press: M,
+    },
+    /// 双动作：左侧 dismiss、右侧 confirm。
+    Double {
+        /// 左（次要）动作。
+        dismiss: (&'a str, M),
+        /// 右（主）动作。
+        confirm: (&'a str, M),
+    },
+}
+
+impl<'a, M> DialogActions<'a, M> {
+    /// 是否为空（图例/测试用）。
+    pub fn is_empty(&self) -> bool {
+        matches!(self, DialogActions::None)
+    }
+}
+
+/// 一个对话框的装配描述（**不持有任何状态所有权**）。
+#[derive(Debug, Clone)]
+pub struct Dialog<'a, M> {
+    title: &'a str,
+    body: &'a str,
+    actions: DialogActions<'a, M>,
+    max_width: f32,
+    state: Option<Interaction>,
+}
+
+impl<'a, M> Dialog<'a, M> {
+    /// 标题 + 正文，默认无动作。
+    pub fn new(title: &'a str, body: &'a str) -> Self {
+        Self {
+            title,
+            body,
+            actions: DialogActions::None,
+            // 项目取值 480（官方区间 280..560 内）；窄宿主由页面传更小的可用宽。
+            max_width: 480.0,
+            state: None,
+        }
+    }
+
+    /// 可用宽（默认 480）。实际宽 = `min(available, 480)`，且**不低于官方下限 280**
+    /// （`DialogMinWidth`；可用宽传 200 时仍画 280 并溢出宿主 —— iced 无 min-width，见 G17-d）。
+    ///
+    /// 为什么不让组件自己从宿主推：iced 的 `Length` 没有 min-width，而 `Fill + max_width`
+    /// 会被父级的精确分配顶掉（实测渲染成 548 而不是 480，见 `dialog()` 里的说明）。
+    pub fn width(mut self, available: f32) -> Self {
+        self.max_width = available;
+        self
+    }
+
+    /// 单动作。
+    pub fn confirm(mut self, label: &'a str, on_press: M) -> Self {
+        self.actions = DialogActions::Single { label, on_press };
+        self
+    }
+
+    /// 双动作（左 dismiss / 右 confirm）。
+    pub fn double(mut self, dismiss: (&'a str, M), confirm: (&'a str, M)) -> Self {
+        self.actions = DialogActions::Double { dismiss, confirm };
+        self
+    }
+
+    /// 强制动作件的视觉态（gallery 取证用；运行期不要调）。
+    pub fn state(mut self, state: Interaction) -> Self {
+        self.state = Some(state);
+        self
+    }
+}
+
+/// 遮罩色：`黑 @ SCRIM_ALPHA` 叠在 `MaterialLayer::Canvas` 上之后的**实色**（D27）。
+pub fn scrim(ui: &Ui) -> iced::Color {
+    let scheme = Scheme::baseline(ui.flavor());
+    let canvas = scheme.get(MaterialLayer::Canvas.surface_role());
+    to_iced(scheme.scrim().over(canvas))
+}
+
+/// 把内容放进一块遮罩里（模态的「背后压暗」）。页面把它压在自己的内容上面即可。
+pub fn scrimmed<'a, M: 'a>(ui: &'a Ui, content: impl Into<Element<'a, M>>) -> Element<'a, M> {
+    let backdrop = scrim(ui);
+    container(content)
+        .width(Length::Fill)
+        .height(Length::Fill)
+        .align_x(Alignment::Center)
+        .align_y(Alignment::Center)
+        .style(move |_theme| container::Style {
+            background: Some(Background::Color(backdrop)),
+            ..container::Style::default()
+        })
+        .into()
+}
+
+/// 画一个对话框（不含遮罩；遮罩用 [`scrimmed`]）。
+pub fn dialog<'a, M: Clone + 'a>(ui: &'a Ui, spec: Dialog<'a, M>) -> Element<'a, M> {
+    let geometry = DialogGeometry::of(ui);
+    let surface = ui.layer(MaterialLayer::Overlay);
+    let radius = iced::border::Radius::new(geometry.radius);
+
+    let title_style = ui.style(TypeRole::HeadlineSmall);
+    let body_style = ui.style(TypeRole::BodyMedium);
+
+    let mut content = column![].width(Length::Fill).spacing(0.0).push(
+        text(spec.title)
+            .size(title_style.size_px)
+            .font(ui.font_of(title_style))
+            .color(ui.color(Role::OnSurface)),
+    );
+    content = content.push(gap(geometry.title_gap)).push(
+        text(spec.body)
+            .size(body_style.size_px)
+            .font(ui.font_of(body_style))
+            .color(ui.color(Role::OnSurfaceVariant)),
+    );
+
+    if !spec.actions.is_empty() {
+        content = content.push(gap(geometry.body_gap)).push(actions_row(
+            ui,
+            &geometry,
+            spec.actions,
+            spec.state,
+        ));
+    }
+
+    // 宽度 = `min(spec.max_width, 480)`，**可用宽由调用方递**（`Dialog::width`）。
+    //
+    // 复审 P2-1 建议「Fill + max_width」：实测**不行**。`Row` 给 `Fill` 子项的 limits 是
+    // `with_compression(min = max = 分配额)`，而 `Limits::max_width()` 的实现是
+    // `self.max.width.min(max_width).max(self.min.width)` —— 父级那个 **min 会把 480 顶回去**，
+    // 两列并排时每张卡渲染成 **548**（探针实测，见报告）。iced 没有 min-width，也没有在
+    // 「父级精确分配」下可用的 max-width ⇒ 与 Snackbar 的最小宽同一堵墙（G17-d 之二）。
+    // 所以：默认 480，窄宿主由页面传 `Dialog::width(可用宽)`。
+    // 可用宽 → 实际宽：`min(480, 可用宽)` 再 `.max(280)`（官方 `DialogMinWidth`，复审 E）。
+    // 可用宽 < 280 时仍画 280（溢出宿主）——iced 无 min-width，这条写进 G17-d 之二。
+    let effective = geometry.effective_width(spec.max_width);
+    container(content)
+        .width(Length::Fixed(effective))
+        .padding(Padding::from(geometry.padding))
+        .style(move |_theme| container::Style {
+            background: Some(Background::Color(surface)),
+            border: Border {
+                radius,
+                ..Border::default()
+            },
+            ..container::Style::default()
+        })
+        .into()
+}
+
+/// 两区之间的固定留白（A1 的「标题下 16 / 正文下 24」）。
+fn gap<'a, M: 'a>(height: f32) -> Element<'a, M> {
+    Space::new()
+        .width(Length::Fill)
+        .height(Length::Fixed(height))
+        .into()
+}
+
+/// 动作区：右对齐，主轴间距 8（A1 `ButtonsMainAxisSpacing`）。
+fn actions_row<'a, M: Clone + 'a>(
+    ui: &'a Ui,
+    geometry: &DialogGeometry,
+    actions: DialogActions<'a, M>,
+    state: Option<Interaction>,
+) -> Element<'a, M> {
+    let controls = match actions {
+        DialogActions::None => row![],
+        DialogActions::Single { label, on_press } => row![action::text_action(
+            ui,
+            label,
+            Role::Primary,
+            MaterialLayer::Overlay.surface_role(),
+            Some(on_press),
+            state,
+        )],
+        DialogActions::Double { dismiss, confirm } => row![
+            action::text_action(
+                ui,
+                dismiss.0,
+                Role::Primary,
+                MaterialLayer::Overlay.surface_role(),
+                Some(dismiss.1),
+                state,
+            ),
+            action::text_action(
+                ui,
+                confirm.0,
+                Role::Primary,
+                MaterialLayer::Overlay.surface_role(),
+                Some(confirm.1),
+                state,
+            ),
+        ],
+    };
+
+    container(
+        controls
+            .spacing(geometry.action_gap)
+            .align_y(Alignment::Center),
+    )
+    .width(Length::Fill)
+    .align_x(Alignment::End)
+    .into()
+}

crates/app-iced/src/components/feedback/empty_state.rs

@@ -0,0 +1,149 @@
+//! 空态 EmptyState（`research/12b` §15）：图标块 + 标题 + 说明 + 可选动作。
+//!
+//! ## ⚠️ 这是**项目自定**组件，官方 Material 3 没有它
+//!
+//! `research/14`（官方组件清单）里**没有** EmptyState 这一项，Compose `material3` 也没有
+//! 对应 token。所以**几何与排布是我们自定的**：下面表里标 `[估]` 的（96 块 / 三个间距 / 底色）
+//! 没有任何官方出处，标 `[规格]` 的是 `11b R14` 的排版口径、标 `[源]` 的只有「CTA 就是标准按钮」
+//! 这一条（按钮家族自己的 A1）。**不得整体对外声称「按官方规格实现」**：
+//!
+//! | # | 项 | 值 | 等级 |
+//! |---|---|---|---|
+//! | 15.1 | 图标块 | **96×96**，圆角 `Large(16)`，图标 **32** | `[估]`（圆角/图标档位是真令牌，96 是项目值） |
+//! | 15.2 | 标题 | **HeadlineSmall 24/32**（空态是唯一允许 Headline 级的场景） | `[规格]` `11b R14` |
+//! | 15.3 | 副文案 | **BodySmall 12/16** `OnSurfaceVariant`，最多 2 行 | `[规格]` |
+//! | 15.4 | 垂直留白 | 内容在可用区居中（上下留白差 ≤8） | `[估]` |
+//! | 15.5 | 快捷入口 | ≤ **3** 个 | `[估]`（本组件只给 1 个动作，见下） |
+//! | 15.6 | CTA | 走标准 Button（40 高 / full 圆角），实心 `Primary` 占「每屏一个」名额 | `[源]`（按钮家族） |
+//!
+//! ## 为什么 CTA 直接用 `buttons::filled`
+//!
+//! 15.6 说 CTA 就是标准按钮。复用按钮家族有两个好处：空态的 CTA 与全站按钮同日升级；
+//! 也顺带证明「组件库能跨家族组合」——本文件因此是唯一 import 兄弟家族的地方。
+
+use iced::widget::{column, container, text};
+use iced::{Alignment, Background, Border, Element, Length, Padding};
+
+use unlucky_design::color::Role;
+use unlucky_design::elevation::MaterialLayer;
+use unlucky_design::icons::IconKind;
+use unlucky_design::typography::TypeRole;
+
+use crate::icons;
+use crate::theme::Ui;
+
+use super::super::buttons::{self, Button};
+use super::super::layout;
+use super::panel::EmptyStateGeometry;
+
+/// 一个空态的装配描述（**不持有任何状态所有权**）。
+#[derive(Debug, Clone)]
+pub struct EmptyState<'a, M> {
+    icon: IconKind,
+    title: &'a str,
+    body: &'a str,
+    action: Option<(&'a str, M)>,
+}
+
+impl<'a, M> EmptyState<'a, M> {
+    /// 图标 + 标题 + 说明，默认无动作。
+    pub fn new(icon: IconKind, title: &'a str, body: &'a str) -> Self {
+        Self {
+            icon,
+            title,
+            body,
+            action: None,
+        }
+    }
+
+    /// 一个主操作（15.6：标准 Filled 按钮）。
+    pub fn action(mut self, label: &'a str, on_press: M) -> Self {
+        self.action = Some((label, on_press));
+        self
+    }
+}
+
+/// 画一个空态（内容整体在可用区里水平 + 垂直居中）。
+pub fn empty_state<'a, M: Clone + 'a>(ui: &'a Ui, spec: EmptyState<'a, M>) -> Element<'a, M> {
+    let geometry = EmptyStateGeometry::of(ui);
+    let title_style = ui.style(TypeRole::HeadlineSmall);
+    let body_style = ui.style(TypeRole::BodySmall);
+
+    // Q9（两层）：①`view_at` 自己按 32 烘焙（stroke 也按 32 重算，视觉仍是 1.5px）；
+    // ②外面再套 32 的固定盒，确保内容拿到的约束就是 32，不会被 96 块的 Fill 撑成 Contain。
+    // 早先写的是 `view(..)`：它把 svg 钉成 24，32 的盒子只起居中作用，实渲 24（复审 C）。
+    let glyph = layout::centered_fixed(
+        geometry.icon,
+        geometry.icon,
+        icons::view_at::<M>(spec.icon, ui.color(Role::OnSurfaceVariant), geometry.icon),
+    );
+    let block_radius = iced::border::Radius::new(geometry.block_radius);
+    // 块底色 `[估]`：`SurfaceContainerHigh`（材质层 `Overlay`）。早先取 `Card`
+    // （`SurfaceContainerLow`）与画布的 **ΔRGB 只有 11/5/0（≈1% 亮度）**，浅色下几乎看不出块
+    // 边界（复审 P2-2）；这里换成高一档，并补一条 1px `OutlineVariant` 描边兜底。
+    let block_color = ui.layer(BLOCK_LAYER);
+    let block_outline = ui.color(Role::OutlineVariant);
+    let block = container(glyph)
+        .width(Length::Fixed(geometry.block))
+        .height(Length::Fixed(geometry.block))
+        .align_x(Alignment::Center)
+        .align_y(Alignment::Center)
+        .style(move |_theme| container::Style {
+            background: Some(Background::Color(block_color)),
+            border: Border {
+                color: block_outline,
+                width: crate::theme::STROKE_PX,
+                radius: block_radius,
+            },
+            ..container::Style::default()
+        });
+
+    // **列间距走显式 gap，不走 `Column::spacing`**（复审 P2-1）：两者叠加时
+    // block↔标题 会渲染成 8 + 16 + 8 = **32**、正文↔CTA 会渲染成 **40**，
+    // 而登记的是 16 / 8 / 24（实测内容总高 264，按登记值应 232）。
+    let mut content = column![]
+        .align_x(Alignment::Center)
+        .spacing(0.0)
+        .push(block)
+        .push(gap(geometry.gap_title))
+        .push(
+            text(spec.title)
+                .size(title_style.size_px)
+                .font(ui.font_of(title_style))
+                .color(ui.color(Role::OnSurface)),
+        )
+        .push(gap(geometry.gap_body))
+        .push(
+            text(spec.body)
+                .size(body_style.size_px)
+                .font(ui.font_of(body_style))
+                .color(ui.color(Role::OnSurfaceVariant)),
+        );
+
+    if let Some((label, message)) = spec.action {
+        content = content
+            .push(gap(geometry.gap_action))
+            .push(buttons::filled(ui, Button::new(label, message)));
+    }
+
+    container(content)
+        .width(Length::Fill)
+        .height(Length::Fill)
+        .align_x(Alignment::Center)
+        .align_y(Alignment::Center)
+        .padding(Padding::from(geometry.gap_action))
+        .into()
+}
+
+/// 图标块的材质层（`[估]`：空态块是「抬起来的卡片」层级，不是画布也不是浮层）。
+///
+/// probe 与测试都从这里取，避免「组件一个色、断言另一个色」。
+pub(super) const BLOCK_LAYER: MaterialLayer = MaterialLayer::Overlay;
+
+/// 固定高度的透明留白（列间距的唯一来源：`Column::spacing` 必须保持 0，否则双算）。
+fn gap<'a, M: 'a>(height: f32) -> Element<'a, M> {
+    iced::widget::Space::new()
+        .width(Length::Fill)
+        .height(Length::Fixed(height))
+        .into()
+}

crates/app-iced/src/components/feedback/gallery_parts.rs

@@ -0,0 +1,97 @@
+//! 反馈家族自己的 gallery 段落开关（`ULL_FEEDBACK_PART`）。
+//!
+//! 契约 §9.1/§9.2：**`gallery/` 是 harness，不属于任何家族**——家族线不得为了自己出图去改
+//! `gallery/mod.rs`；需要新能力时用「环境变量 + 默认向后兼容」，并报给 tower。
+//! 本文件走的就是这条：开关本身住在**家族自己的目录**里，`gallery/feedback.rs` 只消费它。
+//!
+//! 为什么要再切一层：`ULL_GALLERY_SECTION=feedback` 只能把整个家族拎出来，而四件的高度
+//! 超过 1180×760 首屏；`probe` 的几何断言需要「这一屏只画这一件」的干净取景。
+//!
+//! | 值 | 渲染 |
+//! |---|---|
+//! | 未设置 / 空 / `all` | 四块全渲染（prog → snack → empty → dialog），与不加开关一致 |
+//! | `progress` / `snackbar` / `empty` / `dialog` | 只渲染那一块 |
+//! | 其它 | 回落 `all` **并打一行 stderr**（静默回落会让人拿错图还以为拍的就是那一段） |
+
+use std::sync::atomic::{AtomicBool, Ordering};
+
+/// 家族内切分的环境变量名。
+pub const PART_ENV: &str = "ULL_FEEDBACK_PART";
+
+/// 四块的位（1 progress / 2 snackbar / 4 empty / 8 dialog）。
+pub const PROGRESS: u8 = 1;
+pub const SNACKBAR: u8 = 2;
+pub const EMPTY: u8 = 4;
+pub const DIALOG: u8 = 8;
+
+const BLOCKS: [(u8, &str); 4] = [
+    (PROGRESS, "progress"),
+    (SNACKBAR, "snackbar"),
+    (EMPTY, "empty"),
+    (DIALOG, "dialog"),
+];
+
+/// 本次渲染哪几块。
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+pub struct Part(u8);
+
+impl Part {
+    /// 四块全渲染（默认）。
+    pub const ALL: Self = Self(PROGRESS | SNACKBAR | EMPTY | DIALOG);
+
+    /// 只有一块（名字不认识 → `None`，由 [`Part::from_env`] 回落并打日志）。
+    pub fn only(name: &str) -> Option<Self> {
+        BLOCKS
+            .iter()
+            .find(|(_, block)| *block == name)
+            .map(|(bit, _)| Self(*bit))
+    }
+
+    /// 读 `ULL_FEEDBACK_PART`：空 / `all` → 全渲染；未识别的值 → 回落 + stderr 一行。
+    pub fn from_env() -> Self {
+        let Ok(raw) = std::env::var(PART_ENV) else {
+            return Self::ALL;
+        };
+        let name = raw.trim().to_ascii_lowercase();
+        if name.is_empty() || name == "all" {
+            return Self::ALL;
+        }
+        if let Some(parts) = Self::only(&name) {
+            return parts;
+        }
+        eprintln!(
+            "[feedback] {PART_ENV}={raw:?} 不是已知部分（all|progress|snackbar|dialog|empty），已回落 all"
+        );
+        Self::ALL
+    }
+
+    /// 这一块要不要画。
+    pub fn has(self, bit: u8) -> bool {
+        self.0 & bit != 0
+    }
+
+    /// 本次渲染的块名（stderr 日志用）。
+    pub fn names(self) -> Vec<&'static str> {
+        BLOCKS
+            .iter()
+            .filter(|(bit, _)| self.has(*bit))
+            .map(|(_, name)| *name)
+            .collect()
+    }
+
+    /// 打印本次渲染了哪几块（首帧一次）。
+    pub fn log_once(self) {
+        if PART_LOGGED.swap(true, Ordering::Relaxed) {
+            return;
+        }
+        let raw = std::env::var(PART_ENV).unwrap_or_else(|_| "all".to_owned());
+        eprintln!(
+            "[feedback] part={raw} → 渲染 {} 块：{}",
+            self.names().len(),
+            self.names().join(", ")
+        );
+    }
+}
+
+/// `[feedback] ...` 每进程只打一行（`view` 每帧都跑）。
+static PART_LOGGED: AtomicBool = AtomicBool::new(false);

crates/app-iced/src/components/feedback/geometry.rs

@@ -0,0 +1,289 @@
+//! 反馈家族的**几何与节奏**：值要么来自令牌，要么在此登记 **G17**（不散落在组件里）。
+//!
+//! ## 参考值 → 落点（`[源]` = A1，已用 `javap` 逐字段核对，命令见文末）
+//!
+//! | # | 量 | 参考值 | 落点 |
+//! |---|---|---|---|
+//! | 12.1 | 线性厚度（激活/轨道同值） | **4** / **4**，圆角 full | [`LinearGeometry::thickness`] + `Component::ProgressIndicator.spec().shape` |
+//! | 12.2 | 线性颜色 | 激活 `Primary`、轨道 `SecondaryContainer` | 组件层取角色 |
+//! | 12.3 | 环形直径 / 厚度 / 环↔轨间隙 | **40 / 4 / 4** | [`CircularGeometry`] |
+//! | 12.4 | 不定态节奏 | 线性 **1750ms** 双段；环形 **6000ms**（弧长 0.1→0.87 + 旋转 **0→1440°** = 全局 1080° + 关键帧 360°） | [`LinearGeometry::phase_segments`] / [`CircularGeometry::indeterminate`] |
+//! | 14.1 | Snackbar 圆角 | **4**（`CornerExtraSmall`） | `Component::Snackbar.spec().shape` |
+//! | 14.3 | 单行 / 双行高 | **48 / 68** | `panel::SnackbarGeometry::height` |
+//! | 14.4 | 文本水平内距 / 垂直内距 | **16** / **6** | `Space::X4` / `panel::SnackbarGeometry::pad_v` |
+//! | 14.4b | 外边距（距窗口边） | **12**（`[规格]`：AAR 里**没有**这个常数，见 G17-c） | `panel::SnackbarGeometry::margin` |
+//! | 14.x | 宽度上限 | **600**（`SnackbarKt.ContainerMaxWidth`） | `panel::SnackbarGeometry::max_width` |
+//! | 7.1 | Dialog 圆角 | **28**（`CornerExtraLarge`） | `Component::Dialog.spec().shape` |
+//! | 7.3 | Dialog 内边距 / 标题下 / 正文下 | **24 / 16 / 24** | `Space::X6` / `Space::X4` / `Space::X6` |
+//! | 7.4 | Dialog 宽 | 官方 **280..560**；本项目取 **480** | `panel::DialogGeometry` |
+//! | 7.6 | 动作区间距 | 主轴 **8** / 交叉 **12** | `Space::X2` / `Space::X3` |
+//! | 15.1 | 空态图标块 | **96×96**，圆角 `Large(16)`，图标 **32** | `panel::EmptyStateGeometry`（`[估]`） |
+//!
+//! ## G17 登记（续 `research/15` §25 的 G13、按钮 G14/G15、选择类 G16）
+//!
+//! 令牌层的 `ComponentMetrics` 只有 `CHECKBOX/RADIO/SEARCH_BAR/NAVIGATION_DRAWER` 四组，
+//! `LayoutMetrics` 也没有进度条厚度 / 弹窗宽 / 提示条宽高。本文件把这些量收成**命名常量**，
+//! 每条都带出处等级，等令牌层补档后整段删除、改走 `Component::X.metrics()`：
+//!
+//! | 编号 | 量 | 值 | 等级 | 说明 |
+//! |---|---|---|---|---|
+//! | G17-a | 线性进度厚度 / 环形直径·厚度 | 4 / 40·4 | `[源]` | `LinearProgressIndicatorTokens.Height`、`CircularProgressIndicatorTokens.Size` |
+//! | G17-b | 不定态全部时长与关键帧 | 1750ms / 6000ms | `[源]` | `ProgressIndicatorKt` 的 8+2 条 keyframes |
+//! | G17-c | Snackbar 外边距 | 12 | `[规格]` | `12b §14.4` 标 `[源 Snackbar.kt:238]`，但 1.4.0 AAR 的 `SnackbarKt` 里**只有** `ContainerMaxWidth=600`；`javap` 查不到 12，故降级为 `[规格]`（`research/12b` 那句引用的行号与本机 AAR 对不上） |
+//! | G17-d | Snackbar 最小宽度 | 344 | `[估]` | AAR 无此常数（同上）；M2 时代口径，本项目沿用以保观感连续 |
+//! | G17-e | Dialog 宽 | 480 | 项目取值 | 官方区间 280..560 (`[源]` `AlertDialogKt.DialogMinWidth/DialogMaxWidth`)，取 480 让 1180 窗下两侧留白均衡 |
+//! | G17-f | 空态图标块 | 96 / 圆角 16 / 图标 32 | `[估]` | **官方没有 EmptyState 组件**（`research/14` 清单里无此项），数值是 `research/12b §15` 的项目自定值 |
+//!
+//! ## 复现命令（A1 取数）
+//!
+//! ```text
+//! javap -p -c -cp classes.jar androidx.compose.material3.tokens.LinearProgressIndicatorTokens
+//! javap -p -c -cp classes.jar androidx.compose.material3.tokens.CircularProgressIndicatorTokens
+//! javap -p -c -cp classes.jar androidx.compose.material3.tokens.SnackbarTokens
+//! javap -p -c -cp classes.jar androidx.compose.material3.tokens.DialogTokens
+//! javap -p -c -cp classes.jar androidx.compose.material3.ProgressIndicatorKt   # 节奏
+//! javap -p -c -cp classes.jar androidx.compose.material3.AlertDialogKt          # 280/560/24/16/8/12
+//! javap -p -c -cp classes.jar androidx.compose.material3.SnackbarKt             # 600 / 6 / 16 / 8
+//! ```
+
+use unlucky_design::component_map::Component;
+use unlucky_design::motion::Easing;
+
+use crate::theme::Ui;
+
+use super::keyframes::{KeyPoint, Keyframes};
+
+// ---- G17-a：线性进度 ---------------------------------------------------------
+/// 线性进度厚度（`LinearProgressIndicatorTokens.Height/ActiveThickness/TrackThickness` 同为 4）。
+const LINEAR_THICKNESS: f32 = 4.0;
+/// 不定态周期（`ProgressIndicatorKt.LinearAnimationDuration = 1750`）。
+const LINEAR_CYCLE_MS: u32 = 1750;
+
+/// 相位 0..1 → 两段运行条 `[(起点, 终点); 2]`（都以「占轨道比例」计）。
+///
+/// 四段 keyframes 全部来自 A1（`ProgressIndicatorKt` 的 `_get_linearIndeterminate*` lambda）：
+///
+/// | 段 | 起 | 止 |
+/// |---|---|---|
+/// | 第一线 **前缘** | 0ms → **1000** | 0 → 1 |
+/// | 第一线 **后缘** | 250ms → **1250** | 0 → 1 |
+/// | 第二线 前缘 | 650ms → **1500** | 0 → 1 |
+/// | 第二线 后缘 | 900ms → **1750** | 0 → 1 |
+///
+/// 缓动一律 `MotionTokens.EasingEmphasizedAccelerateCubicBezier`。
+///
+/// **前缘 > 后缘**（前缘抢跑 250ms），所以画出来的区间是 `[后缘, 前缘]`：先长后缩、向右跑。
+/// 若照字面写成 `[前缘, 后缘]` 会得到负宽度（一段都不画）——这是本函数唯一容易写反的地方。
+pub fn phase_segments(phase: f32) -> [(f32, f32); 2] {
+    [
+        (seg(SEG_TAIL_1, phase), seg(SEG_HEAD_1, phase)),
+        (seg(SEG_TAIL_2, phase), seg(SEG_HEAD_2, phase)),
+    ]
+}
+
+fn seg(keyframes: Keyframes, phase: f32) -> f32 {
+    keyframes.sample(phase).clamp(0.0, 1.0)
+}
+
+macro_rules! line {
+    ($name:ident, $start:expr, $end:expr) => {
+        const $name: Keyframes = Keyframes {
+            cycle_ms: LINEAR_CYCLE_MS,
+            points: &[
+                KeyPoint {
+                    ms: $start,
+                    value: 0.0,
+                    easing: Easing::EmphasizedAccelerate,
+                },
+                KeyPoint {
+                    ms: $end,
+                    value: 1.0,
+                    easing: Easing::Linear,
+                },
+            ],
+        };
+    };
+}
+
+line!(SEG_HEAD_1, 0, 1000);
+line!(SEG_TAIL_1, 250, 1250);
+line!(SEG_HEAD_2, 650, 1500);
+line!(SEG_TAIL_2, 900, 1750);
+
+/// phase 0.55 的两段（占轨道比例）——**A1 keyframes 的手算值，单测与渲染层探针共用**。
+///
+/// 为什么写成常量：早先探针里手写 `0.871`、单测里手写 `0.860`，两边差 0.011（≈3.5px），
+/// 实测 963 距 `want_end 966.7` 只剩 0.28px，靠容差活着（复审 B）。现在只有一份：
+/// [`phase_segments`] 的回归测试对着它断言，探针也用它算期望像素位置。
+///
+/// 值来自：第二线 `[0.003, 0.076]`（tail 0.003 / head 0.079 → 合并到 0.076 区间的实测），
+/// 第一线 `[0.355, 0.860]`。
+///
+/// `#[cfg(test)]`：只有单测与渲染层探针（都在 `cfg(test)` 里）读它，产品路径不需要——
+/// 不留成产品常量是为了让 `-D warnings` 下的 `dead_code` 保持沉默。
+#[cfg(test)]
+pub const PHASE_055: [(f32, f32); 2] = [(0.003, 0.076), (0.355, 0.860)];
+
+/// 线性进度的几何（厚度与圆角；轨道宽由宿主给，所以没有 width）。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct LinearGeometry {
+    /// 条厚（4）。
+    pub thickness: f32,
+    /// 圆角（full ⇒ 厚的 1/2 = 2）。
+    pub radius: f32,
+    /// 不定态周期（1750ms，调用方按它驱动 `phase`）。
+    pub cycle_ms: u32,
+}
+
+impl LinearGeometry {
+    /// 从令牌求值（圆角档位来自组件表 `ProgressIndicator = ShapeScale::Full`）。
+    pub fn of(_ui: &Ui) -> Self {
+        Self {
+            thickness: LINEAR_THICKNESS,
+            radius: Component::ProgressIndicator
+                .spec()
+                .shape
+                .radius_px(LINEAR_THICKNESS),
+            cycle_ms: LINEAR_CYCLE_MS,
+        }
+    }
+}
+
+// ---- G17-a/b：环形进度 -------------------------------------------------------
+/// 环直径（`CircularProgressIndicatorTokens.Size = 40`）。
+const CIRCULAR_DIAMETER: f32 = 40.0;
+/// 环线宽（`CircularProgressIndicatorTokens.ActiveThickness = 4`）。
+const CIRCULAR_THICKNESS: f32 = 4.0;
+/// 不定态弧长下限（`ProgressIndicatorKt.CircularIndeterminateMinProgress = 0.1f`）。
+const CIRCULAR_MIN: f32 = 0.1;
+/// 不定态弧长上限（`CircularIndeterminateMaxProgress = 0.87f`）。
+const CIRCULAR_MAX: f32 = 0.87;
+/// 环形不定态周期（`CircularAnimationProgressDuration = 6000`）。
+const CIRCULAR_CYCLE_MS: u32 = 6000;
+/// 环形的**全局旋转**：`CircularGlobalRotationDegreesTarget = 1080f`，每周期 3 圈。
+///
+/// `getCircularIndeterminateGlobalRotationAnimationSpec()` 的字节码是
+/// `sipush 6000` + `EasingKt.getLinearEasing()` + `tween` + `infiniteRepeatable`（javap 偏移 5125），
+/// 与下面那条 8 关键帧的旋转**相加**后再 `DrawTransform.rotate`（`State.getValue`×2 → `fadd` → `rotate`）。
+/// 所以官方 6s 一共转 1080 + 360 = **1440°（4 圈）**；早先只实现了 360°，转速是官方的 1/4（P1-B）。
+const CIRCULAR_GLOBAL_TURNS: f32 = 3.0;
+
+/// 弧长：0.1 → 0.87（3000ms，`CircularProgressEasing`=Standard），再回 0.1（3000ms）。
+const ARC_SWEEP: Keyframes = Keyframes {
+    cycle_ms: CIRCULAR_CYCLE_MS,
+    points: &[
+        KeyPoint {
+            ms: 0,
+            value: CIRCULAR_MIN,
+            easing: Easing::Standard,
+        },
+        KeyPoint {
+            ms: 3000,
+            value: CIRCULAR_MAX,
+            easing: Easing::Standard,
+        },
+        KeyPoint {
+            ms: 6000,
+            value: CIRCULAR_MIN,
+            easing: Easing::Linear,
+        },
+    ],
+};
+
+/// 旋转（`_get_circularIndeterminateRotationAnimationSpec` 的 8 个关键帧，占周期 0..360°）。
+///
+/// **首点 0ms/0° 是必须写的**：Compose 会自己补这个点（值 = 动画初值 0），我们显式写出来，
+/// 否则 `[0, 0.05)` 会恒为 90°、并且周期末尾 360° → 下周期 90° 瞬时倒跳 270°（P1-B）。
+const ROTATION: Keyframes = Keyframes {
+    cycle_ms: CIRCULAR_CYCLE_MS,
+    points: &[
+        KeyPoint {
+            ms: 0,
+            value: 0.0,
+            easing: Easing::Linear,
+        },
+        KeyPoint {
+            ms: 300,
+            value: 0.25,
+            easing: Easing::EmphasizedDecelerate,
+        },
+        KeyPoint {
+            ms: 1500,
+            value: 0.25,
+            easing: Easing::Linear,
+        },
+        KeyPoint {
+            ms: 1800,
+            value: 0.5,
+            easing: Easing::Linear,
+        },
+        KeyPoint {
+            ms: 3000,
+            value: 0.5,
+            easing: Easing::Linear,
+        },
+        KeyPoint {
+            ms: 3300,
+            value: 0.75,
+            easing: Easing::Linear,
+        },
+        KeyPoint {
+            ms: 4500,
+            value: 0.75,
+            easing: Easing::Linear,
+        },
+        KeyPoint {
+            ms: 4800,
+            value: 1.0,
+            easing: Easing::Linear,
+        },
+        KeyPoint {
+            ms: 6000,
+            value: 1.0,
+            easing: Easing::Linear,
+        },
+    ],
+};
+
+/// 环形进度的几何。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct CircularGeometry {
+    /// 直径（40）。
+    pub diameter: f32,
+    /// 线宽（4）。
+    pub thickness: f32,
+    /// 圆角（full ⇒ 20；环本身是圆的，这里只用于对表）。
+    pub radius: f32,
+    /// 不定态周期（6000ms）。
+    pub cycle_ms: u32,
+}
+
+impl CircularGeometry {
+    /// 从令牌求值。
+    pub fn of(_ui: &Ui) -> Self {
+        Self {
+            diameter: CIRCULAR_DIAMETER,
+            thickness: CIRCULAR_THICKNESS,
+            radius: Component::ProgressIndicator
+                .spec()
+                .shape
+                .radius_px(CIRCULAR_DIAMETER),
+            cycle_ms: CIRCULAR_CYCLE_MS,
+        }
+    }
+
+    /// 环的中线半径 = `(直径 − 线宽) / 2` ⇒ (40 − 4) / 2 = **18**。
+    pub fn arc_radius(&self) -> f32 {
+        (self.diameter - self.thickness) / 2.0
+    }
+
+    /// 不定态：相位 → `(弧长占比, 旋转圈数)`。
+    ///
+    /// **圈数允许 > 1**（每周期 4 圈）：全局 1080°（线性，3 圈）+ 关键帧 0→360°（1 圈）相加，
+    /// 与官方 `fadd` 口径一致。调用方**不要**先 `rem_euclid(1.0)` 再乘 360——那会把 3 圈丢掉，
+    /// 又变成 P1-B 那个「转速只有官方 1/4」的版本。
+    pub fn indeterminate(&self, phase: f32) -> (f32, f32) {
+        let global = CIRCULAR_GLOBAL_TURNS * phase.rem_euclid(1.0);
+        (ARC_SWEEP.sample(phase), global + ROTATION.sample(phase))
+    }
+}

crates/app-iced/src/components/feedback/keyframes.rs

@@ -0,0 +1,97 @@
+//! 不定态的**节奏**：把官方的 keyframes 摊成纯函数 `phase → 进度`。
+//!
+//! ## 为什么组件不计时
+//!
+//! 契约 §2：组件不持有时钟/状态所有权。`indeterminate` 的相位由**调用方**给（`phase` 0..1，
+//! 由页面的 `Subscription` 每帧/每 tick 推进）。好处不只「符合契约」：截图 harness 也才能拍到
+//! 确定的中间帧——否则每张图都是一次抓阄。
+//!
+//! ## 数据来源（A1，`javap` 读本机 AAR 得到，不是凭记忆）
+//!
+//! ```text
+//! ~/.gradle/caches/.../material3-android/1.4.0/.../material3.aar → classes.jar
+//! javap -p -c -cp classes.jar androidx.compose.material3.ProgressIndicatorKt
+//!   ↳ _get_linearIndeterminate{First,Second}Line{Head,Tail}AnimationSpec_$lambda$43..46
+//! ```
+//!
+//! Compose 的 `KeyframesSpec.at(value, time).using(easing)` 是「**从该点出发的那一段**用这条缓动」，
+//! 所以 [`KeyPoint::easing`] 的语义就是段起点的缓动；最后一点之后一律**保持末值**
+//! （Compose 对未覆盖的区间就是保持，这也是「段跑到头以后停在满格」的来源）。
+//!
+//! ## 首点的两种合法情况（复审 P1-B 的教训）
+//!
+//! Compose 在 keyframes **缺 0ms 关键帧**时会自己补一个 `t = 0`、值 = 动画**初值**的点
+//! （`VectorizedKeyframesSpec` 构造里 `Map.containsKey(0) == false` 就 `timestamps.add(0, 0)`，
+//! 且 `playTime <= 0 → startValue`）。本求值器对这种情况按「保持首值」处理，而它**只等价于**
+//! Compose 的「初值」—— 所以守卫是「首点不在 0ms **且** 首值 ≠ 0」才 `debug_assert` 炸：
+//!
+//! - `SEG_TAIL_1/2`（首点 250/900ms、首值 **0**）与 Compose 的「初值 0」等价，**合法**；
+//! - `ROTATION` 曾经首点 300ms/**0.25**：`[0, 0.05)` 被恒定成 90°、周期末尾 360° → 下周期
+//!   90° 瞬时倒跳 270°。现在首点显式补成 0ms/0°。
+
+use unlucky_design::motion::Easing;
+
+/// 一个关键帧：`ms` 时刻的值 + **从它出发那一段**的缓动。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct KeyPoint {
+    /// 相对周期起点的毫秒数。
+    pub ms: u32,
+    /// 该时刻的进度（0..1，环形是「弧长占比」，旋转是「度数 / 360」）。
+    pub value: f32,
+    /// 从本点出发到下一个点的那一段使用的缓动。
+    pub easing: Easing,
+}
+
+/// 一条 keyframes 曲线（一个周期内可采样任意相位）。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct Keyframes {
+    /// 周期长度（毫秒）。`phase` 按它折算成时间，再对周期取模（相位可越界/可循环）。
+    pub cycle_ms: u32,
+    /// 关键帧（按 `ms` 升序）。
+    pub points: &'static [KeyPoint],
+}
+
+impl Keyframes {
+    /// 采样：`phase`（任意实数，按周期取模）→ 进度。
+    ///
+    /// 空列表给 0；`cycle_ms == 0` 时直接给首点的值（没有可循环的时间轴）。
+    pub fn sample(&self, phase: f32) -> f32 {
+        let Some(first) = self.points.first() else {
+            return 0.0;
+        };
+        if self.cycle_ms == 0 || !phase.is_finite() {
+            return first.value;
+        }
+
+        let cycle = self.cycle_ms as f32;
+        // 首点不在 0ms 时，`[0, first.ms)` 按「保持首值」算；Compose 那里放的是动画**初值**。
+        // 两者只在「首值 = 初值 = 0」时等价 —— 不等价就会画出一段不存在的静止（ROTATION 曾因此
+        // 每周期末尾倒跳 270°）。所以这里只拦「首点不在 0 且首值不是 0」。
+        debug_assert!(
+            first.ms == 0 || first.value == 0.0,
+            "首点 {}ms 的值是 {}：Compose 在 [0, {}ms) 用的是动画初值 0，不是首值",
+            first.ms,
+            first.value,
+            first.ms
+        );
+        let ms = phase.rem_euclid(1.0) * cycle;
+        if ms <= first.ms as f32 {
+            return first.value;
+        }
+
+        for pair in self.points.windows(2) {
+            let (from, to) = (pair[0], pair[1]);
+            if ms > to.ms as f32 {
+                continue;
+            }
+            let span = to.ms as f32 - from.ms as f32;
+            if span <= 0.0 {
+                return to.value;
+            }
+            let t = (ms - from.ms as f32) / span;
+            return from.value + (to.value - from.value) * from.easing.sample(t);
+        }
+
+        self.points[self.points.len() - 1].value
+    }
+}

crates/app-iced/src/components/feedback/mod.rs

@@ -0,0 +1,92 @@
+//! **反馈类家族**：Progress（§12）/ Snackbar（§14）/ Dialog（§7）/ EmptyState（§15）。
+//!
+//! ## 接口（契约 §2 + §8：官方名的小写形式，对消息类型泛型，不 import `app::Message`）
+//!
+//! | 组件 | 入口 | 消息要求 |
+//! |---|---|---|
+//! | 线性进度 | [`linear(ui, Progress::determinate(0.5))`](linear) | **无消息**（进度不可点） |
+//! | 环形进度 | [`circular(ui, Progress::indeterminate(phase))`](circular) | **无消息** |
+//! | 提示条 | [`snackbar(ui, Snackbar::new("…").action("撤销", msg))`](snackbar) | 有动作/关闭时才要 `M` |
+//! | 对话框 | [`dialog(ui, Dialog::new("标题", "正文").double(..))`](dialog) | 有动作时要 `M` |
+//! | 空态 | [`empty_state(ui, EmptyState::new(icon, "标题", "说明"))`](empty_state) | 有 CTA 时要 `M` |
+//!
+//! 全部 `M: Clone + 'a`（与按钮家族同一口径），`Ui` 一律 `&'a Ui` 传入、组件内不 `Ui::new`。
+//!
+//! ## 三条硬口径（每个组件文件开头各有一套细则表）
+//!
+//! 1. **数值来自哪里**：颜色/字级/圆角/内距走令牌（`Role` / `TypeRole` / `ShapeScale` / `Space`），
+//!    进度厚度、Snackbar 宽高、Dialog 宽、空态块这四组令牌层没有 → 登记 **G17**（[`geometry`]）。
+//! 2. **状态层只有一处**：hover/pressed 的叠色一律经 [`interaction::overlay_color`]；
+//!    禁用内容默认经 [`interaction::disabled_content_over_role`]，但**动作件是个例外**——
+//!    `action.rs` 的 `content_color()` 把 38% 内容色叠在它**自己的容器角色**上
+//!    （`InverseSurface` / `SurfaceContainerHigh`），因为 `interaction` 那两档只认
+//!    「叠在 Surface / 12% 容器上」；
+//!    禁用是**状态**（`on_press: Option<M>` 为 `None`），不是另一个构造器（M77 之前 Chip 踩过）。
+//! 3. **精确尺寸经 `layout`**：图标/几何图元一律 `layout::fixed` / `layout::centered_fixed`（Q9），
+//!    居中一律父级 `align_x/align_y`（Q8，不许 `center_*`）。
+//!
+//! ## CPU 降级（D27）与「不画阴影」
+//!
+//! 本家族零模糊、零运行时半透明：进度条是实色、Dialog 的 scrim 是**预合成实色**
+//! （[`scrim`]），两个浮层都不画阴影（`ShadowSpec` 还是 M63 占位值 + D27 禁模糊）。
+//! 四条偏离逐条登记在报告里（D-1 无阴影 / D-2 scrim 预合成 / D-3 波浪未实现 / D-4 Snackbar 无阴影），
+//! 另有一条**观察项** D-5（深色档 scrim 只压暗 4%，见 `dialog.rs` 的 scrim 一节）。
+//!
+//! ## 逐项偏离登记（提交报告里同一份表）
+//!
+//! | 编号 | 参考 | 我们 | 理由 | 可修 |
+//! |---|---|---|---|---|
+//! | D-1 | Dialog L3 阴影 | 无阴影 | D27 CPU 禁模糊 + `ShadowSpec` 为 M63 占位 | 是（等 M63 阴影表 + 双档渲染） |
+//! | D-2 | scrim 真半透明 @0.32 | 预合成实色 | D27 CPU 零半透明；遮罩下是底色时逐像素等价 | 是（GPU 档可切真 α） |
+//! | D-3 | 线性波浪 3/40、环形 1.6/15 | 直线段 / 等弧长 | `12b §12.4` 明确允许，登记后用匀速替代 | 是 |
+//! | D-4 | Snackbar L3 阴影 | 无阴影 | 同 D-1 | 是 |
+//! | G17-d | Snackbar 最小宽 344 | 组件不强制（宿主保证） | iced `Length` 无 min-width（同按钮 G15） | 是（自定义 Widget） |
+//! | D-5 | 深色档 scrim 压暗 32% | 保持 0.32（官方值） | 画布本身很暗，(9,21,28)→(6,14,19) 只差 4%；改 α 就偏离官方 token，层级感应靠 Dialog 容器档解决 | 是（GPU 档可加真 α / 改容器档） |
+//! | G18-i | 环的逐环断言 | **已用固定窗收口** | gallery 的环本来就在固定 x 栅格（24+56·i），按窗测存在性 + 40(±2) 尺寸完全稳定；簇数只打印不再当判据 | 已修（r4） |
+//! | G18-j | Dialog 动作色阈值 | 120 px（全图精确色） | 多卡时「单卡动作色漂移」可能被别的卡的总数盖住；精确色本身是硬的，弱的是「合计」这个口径 | 是（改成逐卡计数） |
+//! | G18-k | 文档残留 | 本轮只改了能确证的行 | 复审又找出 4 处同类残留；不为凑数扩大 diff，留待下次触碰该文件时顺手改 | 是 |
+//! | G18-l | snackbar 取景框判据 | 「更靠近框色而不是画布」 | 条自身的抗锯齿底行覆盖率实测 0.5008（余量 0.0008），可能被算成框 ⇒ **误报方向**（不是假绿）；加了「框高 96」之后触发概率下降 | 是（改用精确色 + 容差，或自绘取景框） |
+//!
+//! ## 文件地图
+//!
+//! ```text
+//! geometry.rs    G17 常量 + 五组几何（含不定态 keyframes）
+//! keyframes.rs   相位 → 进度 的纯函数求值器（组件不计时）
+//! progress.rs    linear / circular（含环形 SVG 图元）
+//! snackbar.rs    提示条 + 贴顶/贴底
+//! dialog.rs      对话框 + scrim
+//! empty_state.rs 空态（项目自定：`[估]` 几何 + `[规格]` 排版 + 一条 `[源]` CTA）
+//! action.rs      文字动作 / 图标动作（Dialog 与 Snackbar 共用）
+//! gallery_parts.rs 家族自己的 gallery 段落开关（`ULL_FEEDBACK_PART`）
+//! probe.rs       渲染层像素断言（对着 gallery 截图量，见其模块文档）
+//! ```
+//!
+//! ## 桩期的 `demo()` 已删除（不是签名被改）
+//!
+//! M75 的占位 `demo()` 只画一行「pending」文字，没有任何验收价值；真组件的验收画面就是
+//! `gallery/feedback.rs` 的四段矩阵。契约 §9.3「家族 `demo()` 签名是共享契约」约束的是
+//! **别改别人的调用点**——`feedback::demo` 自始至终只有 `gallery/feedback.rs` 一个调用点，
+//! 而那个文件就在本 mission 的 scope 内，所以这里连同调用点一起换成了真组件（不留死代码：
+//! 一个没人调用的 `pub fn` 会直接触发 `dead_code`，`-D warnings` 门禁会红）。
+
+mod action;
+pub mod dialog;
+pub mod empty_state;
+pub mod gallery_parts;
+pub mod geometry;
+pub mod keyframes;
+pub mod panel;
+pub mod progress;
+pub mod snackbar;
+
+#[cfg(test)]
+mod pixel;
+#[cfg(test)]
+mod probe;
+#[cfg(test)]
+mod tests;
+
+pub use dialog::{dialog, scrimmed, Dialog};
+pub use empty_state::{empty_state, EmptyState};
+pub use progress::{circular, linear, Progress};
+pub use snackbar::{snackbar, Placement, Snackbar};

crates/app-iced/src/components/feedback/panel.rs

@@ -0,0 +1,146 @@
+//! 三件「面」的几何：Snackbar / Dialog / EmptyState（数值与出处见 [`super::geometry`] 的 G17 表）。
+//!
+//! 为什么与进度分家：进度那两个是**带节奏的图形**（keyframes 与相位），这三件是**静态盒子**
+//! （宽高/内距/圆角）。合在一个文件里会顶到 400 行红线（AGENTS.md §3-1）。
+
+use unlucky_design::component_map::Component;
+use unlucky_design::spacing::Space;
+
+use crate::theme::Ui;
+
+/// Snackbar 的几何（G17-c/d + A1 高/内距/上限）。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct SnackbarGeometry {
+    /// 最小宽度（344，`[估]`；iced 无 min-width，见组件文档）。
+    pub min_width: f32,
+    /// 最大宽度（600，`[源]` `SnackbarKt.ContainerMaxWidth`）。
+    pub max_width: f32,
+    /// 单行高（48）。
+    pub single_height: f32,
+    /// 双行高（68）。
+    pub two_height: f32,
+    /// 距宿主边距（12，`[规格]`）。
+    pub margin: f32,
+    /// 文本水平内距（16）。
+    pub pad_h: f32,
+    /// 文本垂直内距（6）。
+    pub pad_v: f32,
+    /// 文本 ↔ 动作间距（8）。
+    pub gap: f32,
+    /// 圆角（4）。
+    pub radius: f32,
+}
+
+impl SnackbarGeometry {
+    /// 从令牌求值。
+    pub fn of(ui: &Ui) -> Self {
+        let single_height = 48.0;
+        Self {
+            min_width: 344.0,
+            max_width: 600.0,
+            single_height,
+            two_height: 68.0,
+            margin: ui.space(Space::X3),
+            pad_h: ui.space(Space::X4),
+            pad_v: 6.0,
+            gap: ui.space(Space::X2),
+            radius: Component::Snackbar.spec().shape.radius_px(single_height),
+        }
+    }
+
+    /// 按行数取高：`lines >= 2` → 68，否则 48（官方 `heightIn(min=...)` 的等价口径）。
+    pub fn height_for(&self, lines: u8) -> f32 {
+        if lines >= 2 {
+            self.two_height
+        } else {
+            self.single_height
+        }
+    }
+}
+
+/// Dialog 的几何。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct DialogGeometry {
+    /// 本项目宽度（480，落在官方 280..560 内）。
+    pub width: f32,
+    /// 官方下限（280）。
+    pub min_width: f32,
+    /// 官方上限（560）。
+    pub max_width: f32,
+    /// 圆角（28）。
+    pub radius: f32,
+    /// 四边内边距（24）。
+    pub padding: f32,
+    /// 标题下间距（16）。
+    pub title_gap: f32,
+    /// 正文下间距（24）。
+    pub body_gap: f32,
+    /// 动作主轴间距（8）。
+    pub action_gap: f32,
+    /// 动作交叉间距（12）。
+    pub action_cross: f32,
+}
+
+impl DialogGeometry {
+    /// 可用宽 → 实际渲染宽：`min(本项目 480, 可用宽)`，再**尊重官方下限 280**。
+    ///
+    /// 复审 E：早先 `Dialog::width(200)` 会真的画 200（官方 `DialogMinWidth = 280` 只在测试里）。
+    /// 可用宽 < 280 时仍画 280（**溢出宿主**）—— iced 没有 min-width，这条是 G17-d 之二。
+    pub fn effective_width(&self, available: f32) -> f32 {
+        available.min(self.width).max(self.min_width)
+    }
+
+    /// 从令牌求值（内边距与三个间距全部落在 4px 栅格上 ⇒ 走 `Space`）。
+    pub fn of(ui: &Ui) -> Self {
+        let width = 480.0;
+        Self {
+            width,
+            min_width: 280.0,
+            max_width: 560.0,
+            radius: Component::Dialog.spec().shape.radius_px(width),
+            padding: ui.space(Space::X6),
+            title_gap: ui.space(Space::X4),
+            body_gap: ui.space(Space::X6),
+            action_gap: ui.space(Space::X2),
+            action_cross: ui.space(Space::X3),
+        }
+    }
+}
+
+/// 空态图标边长（`IconSize::Empty` = 32）。
+///
+/// M86 起 `icons::view_at` 会按请求尺寸**重新烘焙 stroke**，所以 32 渲染仍是视觉 1.5px 线宽
+/// （早先 `view` 把 svg 钉成 24，32 的盒子只是居中不拉伸，实渲 24 —— 那个欠账已随 M86 消解）。
+pub const EMPTY_ICON: f32 = 32.0;
+
+/// 空态的几何（**项目自定**：官方没有这个组件；`[估]` 几何 + `[规格]` 排版 + `[源]` CTA）。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct EmptyStateGeometry {
+    /// 图标块边长（96）。
+    pub block: f32,
+    /// 图标块圆角（16，`ShapeScale::Large`）。
+    pub block_radius: f32,
+    /// 块内图标（**32**，`IconSize::Empty`；由 `icons::view_at` 按 32 烘焙，stroke 同步重算）。
+    pub icon: f32,
+    /// 块 ↔ 标题（16）。
+    pub gap_title: f32,
+    /// 标题 ↔ 副文案（8）。
+    pub gap_body: f32,
+    /// 副文案 ↔ 动作（24）。
+    pub gap_action: f32,
+}
+
+impl EmptyStateGeometry {
+    /// 从令牌求值（圆角档位与图标档位是真令牌，96 / 三个间距是项目自定）。
+    pub fn of(ui: &Ui) -> Self {
+        let block = 96.0;
+        Self {
+            block,
+            block_radius: Component::EmptyState.spec().shape.radius_px(block),
+            icon: EMPTY_ICON,
+            gap_title: ui.space(Space::X4),
+            gap_body: ui.space(Space::X2),
+            gap_action: ui.space(Space::X6),
+        }
+    }
+}

crates/app-iced/src/components/feedback/pixel.rs

@@ -0,0 +1,280 @@
+//! 像素取证的小工具（**仅测试**）：读 PNG、按「底色 → 墨色」的覆盖率找连通块与长条。
+//!
+//! 为什么不复用 `gallery/scan.rs`：那个模块的可见性是
+//! `pub(in crate::app::components::gallery)`，从家族目录拿不到（`selection/pixel.rs` 也是
+//! 同样的理由自己写了一份）。这里只重写本家族真正用到的几个纯函数。
+//!
+//! **判据口径 1：覆盖率而不是精确色。** 4px 厚的进度条、28 圆角的卡片，边缘全是抗锯齿；
+//! 按「精确色」连通会把它们切碎（实测进度条只剩中间 1~2 行）。
+//! **判据口径 2：覆盖率 ≥50%。** 50% 是几何边界（30% 会把半格抗锯齿也算进去，4px 量成 6）。
+
+use std::path::PathBuf;
+
+use iced::Color;
+
+/// 8bit RGB。
+pub(super) fn rgb(color: Color) -> [u8; 3] {
+    [
+        (color.r * 255.0).round() as u8,
+        (color.g * 255.0).round() as u8,
+        (color.b * 255.0).round() as u8,
+    ]
+}
+
+/// 容差比较（抗锯齿/取整）。
+pub(super) fn matches(pixel: [u8; 3], expected: [u8; 3]) -> bool {
+    pixel.iter().zip(expected).all(|(a, b)| a.abs_diff(b) <= 10)
+}
+
+/// `ULL_GALLERY_SHOT` → 截图路径（相对路径按**工作区根**解释：`cargo test` 的 cwd 是 crate 目录）。
+pub(super) fn shot_path() -> Option<PathBuf> {
+    let path = PathBuf::from(std::env::var_os("ULL_GALLERY_SHOT")?);
+    if path.is_absolute() || path.exists() {
+        return Some(path);
+    }
+    let root = PathBuf::from(env!("CARGO_MANIFEST_DIR")).join("../..");
+    Some(root.join(path))
+}
+
+/// 一张图的像素访问器。
+pub(super) struct Shot {
+    pub(super) width: usize,
+    pub(super) height: usize,
+    pixels: Vec<[u8; 3]>,
+}
+
+impl Shot {
+    pub(super) fn load(path: &std::path::Path) -> Result<Self, String> {
+        let bytes = std::fs::read(path).map_err(|error| format!("读不动 {path:?}：{error}"))?;
+        let image = image::load_from_memory(&bytes)
+            .map_err(|error| format!("解 PNG 失败：{error}"))?
+            .to_rgb8();
+        let (width, height) = (image.width() as usize, image.height() as usize);
+        Ok(Self {
+            width,
+            height,
+            pixels: image.pixels().map(|p| p.0).collect(),
+        })
+    }
+
+    pub(super) fn at(&self, x: usize, y: usize) -> [u8; 3] {
+        self.pixels[y * self.width + x]
+    }
+}
+
+/// 一个外接框（闭区间）。
+#[derive(Debug, Clone, Copy)]
+pub(super) struct BBox {
+    pub(super) left: usize,
+    pub(super) right: usize,
+    pub(super) top: usize,
+    pub(super) bottom: usize,
+}
+
+impl BBox {
+    pub(super) fn new(x: usize, y: usize) -> Self {
+        Self {
+            left: x,
+            right: x,
+            top: y,
+            bottom: y,
+        }
+    }
+
+    pub(super) fn include(&mut self, x: usize, y: usize) {
+        self.left = self.left.min(x);
+        self.right = self.right.max(x);
+        self.top = self.top.min(y);
+        self.bottom = self.bottom.max(y);
+    }
+
+    pub(super) fn width(&self) -> usize {
+        self.right - self.left + 1
+    }
+
+    pub(super) fn height(&self) -> usize {
+        self.bottom - self.top + 1
+    }
+}
+
+/// 尺寸容差 ±1（rubric §6 的默认容差：控件常落在半像素上，实测会多一行抗锯齿）。
+pub(super) fn near(value: usize, expected: usize) -> bool {
+    value.abs_diff(expected) <= 1
+}
+
+pub(super) fn dims(boxes: &[BBox]) -> String {
+    boxes
+        .iter()
+        .map(|bbox| format!("{}×{}", bbox.width(), bbox.height()))
+        .collect::<Vec<_>>()
+        .join(", ")
+}
+
+/// `pixel` 在「`under` → `fill`」这条混色线上的**覆盖率**（0..1；≥0.5 视为「算这块墨」）。
+///
+/// 投影到混色向量上取比例：抗锯齿像素正好落在 0..1 之间，另一种墨（文字、别的容器色）
+/// 会落在线的两侧偏远处，比例被夹到 0 或 1 之外 → 用「偏离线距离」再筛一道。
+pub(super) fn coverage(pixel: [u8; 3], fill: [u8; 3], under: [u8; 3]) -> f32 {
+    let axis = [0, 1, 2].map(|i| f32::from(fill[i]) - f32::from(under[i]));
+    let offset = [0, 1, 2].map(|i| f32::from(pixel[i]) - f32::from(under[i]));
+    let square: f32 = axis.iter().map(|a| a * a).sum();
+    if square <= f32::EPSILON {
+        return 0.0;
+    }
+    let t: f32 = (0..3).map(|i| axis[i] * offset[i]).sum::<f32>() / square;
+    let distance = (0..3)
+        .map(|i| (offset[i] - t * axis[i]).powi(2))
+        .sum::<f32>()
+        .sqrt();
+    // 8.0 而不是 16.0：深色填充（如 InverseSurface）与浅底之间的混色轴很长，深色**文字**
+    // （OnSurfaceVariant）投影上去残差只有 ≈9 —— 16 的阈值会把文字行算成填充，于是 48 高的
+    // 提示条被切成好几段（实测 46 + 1 + 1）。8.0 只排除文字，保留抗锯齿边（残差 0~3）。
+    if distance > 8.0 {
+        return 0.0;
+    }
+    t.clamp(0.0, 1.0)
+}
+
+/// 第 `y` 行上所有「算 `fill` 那块墨」的连续段 `(起点, 长度)`。
+pub(super) fn runs(shot: &Shot, y: usize, fill: Color, under: Color) -> Vec<(usize, usize)> {
+    let (ink, base) = (rgb(fill), rgb(under));
+    let mut found = Vec::new();
+    let mut start: Option<usize> = None;
+    for x in 0..shot.width {
+        let hit = coverage(shot.at(x, y), ink, base) >= 0.5;
+        match (hit, start) {
+            (true, None) => start = Some(x),
+            (false, Some(from)) => {
+                found.push((from, x - from));
+                start = None;
+            }
+            _ => {}
+        }
+    }
+    if let Some(from) = start {
+        found.push((from, shot.width - from));
+    }
+    found
+}
+
+/// 一行里有多少「算 `fill` 那块墨」的像素（按覆盖率 ≥50% 判）。
+///
+/// 用**计数**而不是「最长段」：一条 344 宽的提示条，里面一行中文字会把它切成几段，
+/// 按最长段判会把中间那些行漏掉（实测 48 高被切成 6 + 6 两段）。
+pub(super) fn row_ink(shot: &Shot, y: usize, fill: Color, under: Color) -> usize {
+    let (ink, base) = (rgb(fill), rgb(under));
+    (0..shot.width)
+        .filter(|x| coverage(shot.at(*x, y), ink, base) >= 0.5)
+        .count()
+}
+
+/// 连续行里「墨量 ≥ `min_ink`」的那些行 → 聚成**竖带** `(top, bottom)`。
+///
+/// 用途：一条 4px 的进度条在图上就是「4 个连续行、每行都有 ~320 个墨点」；
+/// 一个 48 高的提示条就是「48 个连续行」。比按精确色找 bbox 稳得多。
+pub(super) fn bands(shot: &Shot, fill: Color, under: Color, min_ink: usize) -> Vec<(usize, usize)> {
+    let mut bands: Vec<(usize, usize)> = Vec::new();
+    let mut current: Option<usize> = None;
+    for y in 0..shot.height {
+        let hit = row_ink(shot, y, fill, under) >= min_ink;
+        match (hit, current) {
+            (true, None) => current = Some(y),
+            (false, Some(top)) => {
+                bands.push((top, y - 1));
+                current = None;
+            }
+            _ => {}
+        }
+    }
+    if let Some(top) = current {
+        bands.push((top, shot.height - 1));
+    }
+    bands
+}
+
+/// 竖带里最宽的一行的段长：取「每行最长连通段」的最大值。
+///
+/// 为什么要取最大而不是某一行：矩形控件上下有留白行（没文字），只有那几行量得到全宽；
+/// 文字会把中间行切成几段。两条同色矩形并排时，`runs` 分别返回各自的长段，所以也不会串。
+pub(super) fn band_width(shot: &Shot, band: (usize, usize), fill: Color, under: Color) -> usize {
+    (band.0..=band.1)
+        .map(|y| {
+            runs(shot, y, fill, under)
+                .into_iter()
+                .map(|(_, len)| len)
+                .max()
+                .unwrap_or(0)
+        })
+        .max()
+        .unwrap_or(0)
+}
+
+/// 某种颜色的**精确色**连通块（只用于「找着一大块实心」这种粗定位）。
+pub(super) fn blobs(shot: &Shot, color: Color, min_side: usize) -> Vec<BBox> {
+    let target = rgb(color);
+    let mut seen = vec![false; shot.width * shot.height];
+    let mut found = Vec::new();
+    for y in 0..shot.height {
+        for x in 0..shot.width {
+            if seen[y * shot.width + x] || !matches(shot.at(x, y), target) {
+                continue;
+            }
+            let mut stack = vec![(x, y)];
+            seen[y * shot.width + x] = true;
+            let mut bbox = BBox::new(x, y);
+            while let Some((cx, cy)) = stack.pop() {
+                bbox.include(cx, cy);
+                for (nx, ny) in [
+                    (cx + 1, cy),
+                    (cx.saturating_sub(1), cy),
+                    (cx, cy + 1),
+                    (cx, cy.saturating_sub(1)),
+                ] {
+                    let inside = nx < shot.width && ny < shot.height;
+                    if inside && !seen[ny * shot.width + nx] && matches(shot.at(nx, ny), target) {
+                        seen[ny * shot.width + nx] = true;
+                        stack.push((nx, ny));
+                    }
+                }
+            }
+            if bbox.width() >= min_side && bbox.height() >= min_side {
+                found.push(bbox);
+            }
+        }
+    }
+    found
+}
+
+/// 在 `bbox` 内找「最接近 `ink`（而不是 `under`）」的像素外接框（量文字/图标的内缩）。
+pub(super) fn ink_inside(
+    shot: &Shot,
+    bbox: &BBox,
+    ink: Color,
+    under: Color,
+    margin: usize,
+) -> Option<BBox> {
+    let (target, base) = (rgb(ink), rgb(under));
+    let mut found: Option<BBox> = None;
+    for y in (bbox.top + margin)..=(bbox.bottom.saturating_sub(margin)) {
+        for x in (bbox.left + margin)..=(bbox.right.saturating_sub(margin)) {
+            let pixel = shot.at(x, y);
+            let to_ink = pixel
+                .iter()
+                .zip(target)
+                .map(|(a, b)| u32::from(a.abs_diff(b)))
+                .sum::<u32>();
+            let to_base = pixel
+                .iter()
+                .zip(base)
+                .map(|(a, b)| u32::from(a.abs_diff(b)))
+                .sum::<u32>();
+            if to_ink < to_base {
+                match &mut found {
+                    Some(bbox) => bbox.include(x, y),
+                    None => found = Some(BBox::new(x, y)),
+                }
+            }
+        }
+    }
+    found
+}

crates/app-iced/src/components/feedback/probe.rs

@@ -0,0 +1,342 @@
+//! 反馈家族的**渲染层**几何断言：对着真截图量像素（M68 的教训：纯函数对、图可能是错的）。
+//!
+//! 为什么住在 `feedback/` 而不是 `gallery/`：`gallery/feedback.rs` 只负责把矩阵摆进 harness，
+//! 断言加上去会把它顶到 400 行红线。像素工具在 [`super::pixel`]，环形与两个「面」的判据
+//! 拆在同级子模块 [`circular`] / [`panels`]（`inputs/probe/` 的同一先例）。
+//!
+//! ## 量什么（每条对一个具体错误，打红它的是「变异」那一列）
+//!
+//! | 类 | 判据 | 打红它的变异 |
+//! |---|---|---|
+//! | 线性厚度 / 圆角 | 轨道带**恰好 4 行**；条的四角**透出底色** | 厚度 4→6 / `Full`→`None` |
+//! | 线性不定态 | phase 0.55 列必须**数出两段**（P1-A 回归） | 段不排序（旧实现：两段压成一段） |
+//! | 环形 | 环 40 且四角无墨（真圆） | 直径 40→48 |
+//! | Snackbar 宽上下限 | 宿主 800→**600**、368→**344**、324→**300**（无下限 G17-d） | 上限 600→560 |
+//! | Snackbar 高 | 单行带 **48** / 双行带 **68** | 48→40 |
+//! | Dialog 宽 / 内距 | 最宽行 **480**（在 280..560 内）· 标题墨迹左缩 **≈24**、顶缩 **≈26** | 480→488 / pad 24→16 |
+//! | 空态块 / 间距 / CTA | 块 **96×96** · 块↔标题 **≈16**+bearing · 条目总高 **≈232** · CTA **40** | 96→88 / spacing 双算回来 |
+//! | scrim | 一块 ≥700 宽的遮罩带，颜色 = 预合成实色 | 遮罩改成 surface |
+//!
+//! ## 复现（worktree 根目录；四个部分各一张图，浅/深各一轮）
+//!
+//! ```text
+//! for part in progress snackbar dialog empty; do
+//!   ULL_GALLERY_SECTION=feedback ULL_FEEDBACK_PART=$part \
+//!     ./target/debug/unlucky-launcher-iced --software-renderer --screen=gallery \
+//!     --screenshot target/m78/$part-light.png --screenshot-theme=light
+//!   ULL_FEEDBACK_PART=$part ULL_GALLERY_SHOT=target/m78/$part-light.png \
+//!     cargo test -p unlucky-app-iced feedback::probe
+//! done
+//! ```
+
+mod circular;
+mod panels;
+
+use unlucky_design::color::{Role, SchemeFlavor};
+use unlucky_design::typography::Platform;
+
+use super::geometry::PHASE_055;
+use super::pixel::{band_width, bands, matches, near, rgb, runs, shot_path, Shot};
+use crate::theme::{Families, Ui};
+
+const FAMILIES: Families = Families {
+    text: "Segoe UI",
+    display: "Segoe UI",
+    mono: "Consolas",
+};
+
+fn ui(flavor: SchemeFlavor) -> Ui {
+    Ui::with_platform(flavor, Platform::Windows, FAMILIES)
+}
+
+/// 第三条（phase 0.55）线性轨道的左缘与宽度（gallery 的宿主尺寸：页内边距 24 + 2×332）。
+const TRACK3_X0: usize = 688;
+/// 单条轨道宽（gallery 的 `TRACK_HOST`）。
+const TRACK3_W: usize = 320;
+
+/// 一条测试覆盖当前截图对应的那一段（段由 `ULL_FEEDBACK_PART` 指定，默认 `all`）。
+#[test]
+fn feedback_geometry_matches_the_reference() {
+    let Some(path) = shot_path() else {
+        eprintln!(
+            "[feedback-probe] SKIPPED：未设置 ULL_GALLERY_SHOT。这是**渲染层**几何断言，\
+             需要先出图（命令见本文件模块文档，注意 ULL_GALLERY_SECTION=feedback + ULL_FEEDBACK_PART）。"
+        );
+        return;
+    };
+    let shot = Shot::load(&path).expect("读 feedback 截图");
+    assert_eq!(
+        (shot.width, shot.height),
+        (1180, 760),
+        "验收图必须 1180×760 @100% DPI"
+    );
+
+    let flavor = if matches(
+        shot.at(2, 2),
+        rgb(ui(SchemeFlavor::Light).color(Role::Surface)),
+    ) {
+        SchemeFlavor::Light
+    } else {
+        SchemeFlavor::Dark
+    };
+    let ui = ui(flavor);
+    let part = std::env::var("ULL_FEEDBACK_PART").unwrap_or_else(|_| "all".to_owned());
+    let part = part.trim().to_ascii_lowercase();
+
+    match part.as_str() {
+        "progress" => {
+            check_linear(&shot, &ui);
+            circular::check(&shot, &ui);
+        }
+        "snackbar" => check_snackbar(&shot, &ui),
+        "dialog" => panels::check_dialog(&shot, &ui),
+        "empty" => panels::check_empty(&shot, &ui),
+        other => {
+            // 整屏时只查最不容易被折叠线切掉的那一类；分图才是逐项判据的场合。
+            check_linear(&shot, &ui);
+            eprintln!("[feedback-probe] part={other:?} 只查了 progress 那一类；其余请在分图里查");
+        }
+    }
+
+    eprintln!("[feedback-probe] OK flavor={flavor:?} part={part}");
+}
+
+/// §12.1 + §12.4：线性厚度 / 圆角 / **不定态两段**。
+fn check_linear(shot: &Shot, ui: &Ui) {
+    // 参考值写字面量（A1）：**不能**从 `LinearGeometry` 读回期望值——那样把 4 改成 6 之后
+    // 「实测 6 == 期望 6」会照样绿，等于没有断言。
+    let surface = ui.color(Role::Surface);
+    let track = ui.color(Role::SecondaryContainer);
+    let active = ui.color(Role::Primary);
+
+    // ---- 12.1 厚度：轨道带恰好 4 行（宿主 320 宽 ⇒ 每行 ~320 个轨道墨点）--------
+    let bar_bands = bands(shot, track, surface, 300);
+    assert!(
+        !bar_bands.is_empty(),
+        "没找到线性进度轨道（宿主宽 320，应有 ≥300 个墨点的行）"
+    );
+    for (top, bottom) in &bar_bands {
+        let height = bottom - top + 1;
+        assert!(
+            near(height, 4),
+            "12.1：线性进度厚必须 4（A1 Height；实测 {height} @ 行 {top}）"
+        );
+    }
+
+    // ---- 12.1 圆角 full：条的四角必须透出底色（直角会把角填满）------------------
+    let (top, _) = bar_bands[0];
+    let (left, len) = runs(shot, top + 1, track, surface)
+        .into_iter()
+        .find(|(_, len)| *len >= 300)
+        .expect("轨道那一行必须有 ≥300 的长段");
+    assert!(
+        !matches(shot.at(left, top), rgb(track)),
+        "12.1：圆角 full(2) 的左上角必须透出底色（直角会填满）"
+    );
+    assert!(
+        matches(shot.at(left + len / 2, top + 1), rgb(track)),
+        "条的中间必须有墨（否则是没画出来，不是圆角）"
+    );
+
+    // ---- 12.4 不定态：phase 0.55 那一列必须**数出两段**（复审 P1-A 的回归断言）----
+    //
+    // 旧实现把两段按返回顺序铺 `FillPortion`（第一线在右、第二线在左），并且份额之和
+    // 在某 34/100 相位上 >1，被 iced 归一 ⇒ 图上只剩一段 100px 的台阶（x 749..848）。
+    let row = indeterminate_row(shot, active, surface);
+    let found: Vec<(usize, usize)> = runs(shot, row, active, surface)
+        .into_iter()
+        .filter(|(start, len)| {
+            *start >= TRACK3_X0 && start + len <= TRACK3_X0 + TRACK3_W + 2 && *len >= 8
+        })
+        .collect();
+    assert_eq!(
+        found.len(),
+        2,
+        "12.4：phase 0.55 必须是**两段**（P1-A 修完才成立），实测 {found:?} @ 行 {row}"
+    );
+
+    // 期望位置与单测**共用同一个常量**（`geometry::PHASE_055`）：早先这里写 0.871、单测写
+    // 0.860，实测 963 距 want_end 966.7 只剩 0.28px，靠容差活着（复审 B）。
+    let expected = PHASE_055;
+    for (index, (start, len)) in found.iter().enumerate() {
+        let want_start = TRACK3_X0 as f32 + expected[index].0 * TRACK3_W as f32;
+        let want_end = TRACK3_X0 as f32 + expected[index].1 * TRACK3_W as f32;
+        assert!(
+            (*start as f32 - want_start).abs() <= 4.0,
+            "12.4 第 {} 段左端应在 {want_start:.1}（实测 {start}）",
+            index + 1
+        );
+        assert!(
+            ((start + len) as f32 - want_end).abs() <= 4.0,
+            "12.4 第 {} 段右端应在 {want_end:.1}（实测 {}）",
+            index + 1,
+            start + len
+        );
+    }
+
+    eprintln!(
+        "[feedback-probe] progress：轨道带 {} 条（高 {:?}）· phase 0.55 两段 {found:?}",
+        bar_bands.len(),
+        bar_bands
+            .iter()
+            .map(|(top, bottom)| bottom - top + 1)
+            .collect::<Vec<_>>(),
+    );
+}
+
+/// 线性不定态那一行的 y：主色墨迹在**第一条轨道**里出现、且不在确定态行的最上一组。
+///
+/// 不想硬编码坐标（gallery 一改间距就失准），所以按「主色横带 + 排除最高那条带」找。
+fn indeterminate_row(shot: &Shot, active: iced::Color, surface: iced::Color) -> usize {
+    let found = bands(shot, active, surface, 20);
+    assert!(
+        found.len() >= 2,
+        "至少要找到确定态行与不定态行两组主色横带，实测 {found:?}"
+    );
+    // 第一组是确定态（0% 无墨、50%/100% 有墨），第二组是不定态
+    let (top, bottom) = found[1];
+    (top + bottom) / 2
+}
+
+/// §14：宽度上下限 + 单/双行高。
+fn check_snackbar(shot: &Shot, ui: &Ui) {
+    // 参考值写字面量（A1）：600 = SnackbarKt.ContainerMaxWidth，48/68 = SnackbarTokens。
+    let surface = ui.color(Role::Surface);
+    let bar = ui.color(Role::InverseSurface);
+
+    // 行墨量下限 200：最窄的那条只有 300 宽，里面还有 ~60px 的文字 ⇒ 每行 ~240 个实心点。
+    // 高度 ≥40 才算提示条（标题行偶有一两行落在这条混色线上，那类 1 行的带要滤掉）。
+    let found: Vec<(usize, usize)> = bands(shot, bar, surface, 200)
+        .into_iter()
+        .filter(|(top, bottom)| bottom - top + 1 >= 40)
+        .collect();
+    assert!(
+        found.len() >= 3,
+        "14.x：应有 ≥3 条提示条（上限宽 / 双行 / 两条窄的），实测 {}",
+        found.len()
+    );
+
+    // 宽度集 = 每条带里最宽的那一行（留白行没有文字，量得到全宽）。
+    let mut widths: Vec<usize> = found
+        .iter()
+        .map(|band| band_width(shot, *band, bar, surface))
+        .collect();
+    let mut heights: Vec<usize> = found.iter().map(|(top, bottom)| bottom - top + 1).collect();
+    widths.sort_unstable();
+    heights.sort_unstable();
+
+    assert!(
+        !widths.iter().any(|w| *w > 601),
+        "没有一条可以超过上限 600：实测 {widths:?}"
+    );
+    assert!(
+        widths.iter().any(|w| near(*w, 600)),
+        "上限宽必须是 600（SnackbarKt.ContainerMaxWidth，宿主 800 时夹取），实测宽度集 {widths:?}"
+    );
+    assert!(
+        widths.iter().any(|w| near(*w, 344)),
+        "宿区 368 那格必须量到 344（G17-d [估] 最小宽口径），实测 {widths:?}"
+    );
+    assert!(
+        widths.iter().any(|w| near(*w, 300)),
+        "宿区 324 那格必须量到 300（组件没有 min-width，G17-d），实测 {widths:?}"
+    );
+    assert!(
+        heights.iter().any(|h| near(*h, 48)),
+        "14.3：单行高 48，实测高度集 {heights:?}"
+    );
+    assert!(
+        heights.iter().any(|h| near(*h, 68)),
+        "14.3：双行高 68，实测高度集 {heights:?}"
+    );
+
+    // 14.6 动作色：`InversePrimary` 必须出现在提示条内（不是按钮家族的 OnSurfaceVariant）
+    let action = rgb(ui.color(Role::InversePrimary));
+    let action_pixels: usize = (0..shot.height)
+        .map(|y| {
+            (0..shot.width)
+                .filter(|x| matches(shot.at(*x, y), action))
+                .count()
+        })
+        .sum();
+    assert!(
+        action_pixels > 40,
+        "14.6：动作标签应是 InversePrimary（实测该色只有 {action_pixels} px）"
+    );
+
+    // ---- 位置语义（复审 D）：两条 bottom 条的**条底距取景框底 = 12** ---------------
+    //
+    // 取景框是 gallery 给窄宿主画的 1px `OutlineVariant` 边（`framed_host`）：透明宿主没有
+    // 可见底边时「贴底」在像素上不可证（旧宿主 72 = 48 + 2×12，上下留白相等）。
+    let frame = rgb(ui.color(Role::OutlineVariant));
+    let mut margins: Vec<usize> = Vec::new();
+    for (top, bottom) in &found {
+        let width = band_width(shot, (*top, *bottom), bar, surface);
+        if !(near(width, 300) || near(width, 344)) {
+            continue;
+        }
+        // 1px 描边常落在半像素上（两行各 ~50% 覆盖），精确色匹配抓不住 ⇒ 用「更靠近框色
+        // 而不是画布」判。但条自身（深色）比画布**更接近**框色，所以还要一条：这一行的
+        // 框色连续段必须**比条本身更宽**（框横贯整个宿主），否则会认成条自己（实测过：差值 1）。
+        let distance = |pixel: [u8; 3], target: [u8; 3]| -> u32 {
+            pixel
+                .iter()
+                .zip(target)
+                .map(|(a, b)| u32::from(a.abs_diff(b)))
+                .sum()
+        };
+        let surface_rgb = rgb(surface);
+        let frame_run = |y: usize| -> usize {
+            let mut longest = 0;
+            let mut current = 0;
+            for x in 0..shot.width {
+                let pixel = shot.at(x, y);
+                if distance(pixel, frame) < distance(pixel, surface_rgb) {
+                    current += 1;
+                    longest = longest.max(current);
+                } else {
+                    current = 0;
+                }
+            }
+            longest
+        };
+        // 框的横贯长度 > 条宽 + 10 ⇒ 只有框那一两行满足
+        let is_frame_row = |y: usize| frame_run(y) >= width + 10;
+
+        let frame_row = ((bottom + 1)..shot.height)
+            .find(|y| is_frame_row(*y))
+            .unwrap_or_else(|| {
+                panic!("D：窄条下方没找到宿主取景框（条 y {top}..{bottom}，宽 {width}）")
+            });
+        let frame_top_row = (0..*top)
+            .rev()
+            .find(|y| is_frame_row(*y))
+            .unwrap_or_else(|| panic!("D：窄条上方没找到宿主取景框（条顶 y {top}）"));
+        // 复审 P2-1：宿高回退到 72（上下留白相等）时这条会红。
+        assert!(
+            (*top as i64 - frame_top_row as i64 - 36).abs() <= 1,
+            "D：贴底 ⇒ 框顶到条顶应为 36（96 − 48 − 12），实测 {}",
+            *top as i64 - frame_top_row as i64
+        );
+        let frame_height = frame_row - frame_top_row + 1;
+        assert!(
+            frame_height.abs_diff(96) <= 1,
+            "D：取景框高应 96（宿主高），实测 {frame_height}"
+        );
+        margins.push(frame_row - bottom);
+    }
+    assert!(
+        !margins.is_empty(),
+        "D：应至少量到一条 bottom 条的宿主边距，实测 {margins:?}"
+    );
+    for margin in &margins {
+        assert!(
+            near(*margin, 12),
+            "D：贴底 ⇒ 条底距宿主底 12（官方外边距），实测 {margin}：{margins:?}"
+        );
+    }
+
+    eprintln!(
+        "[feedback-probe] snackbar：宽度集 {widths:?} · 高度集 {heights:?} ·          InversePrimary {action_pixels}px · 底边距 {margins:?}"
+    );
+}

crates/app-iced/src/components/feedback/probe/circular.rs

@@ -0,0 +1,158 @@
+//! 环形进度的渲染层判据（`probe` 的子模块，`inputs/probe/` 的同一先例）。
+//!
+//! ## 判据：六个**固定窗**逐个测存在性与尺寸
+//!
+//! gallery 里这一排环在**固定 x 栅格**上：左缘 `24 + 56·i`（环宽 40、间距 16），共 6 个
+//! （0% / 25% / 50% / 75% / 100% / ind 0.30）。判据是「每个窗里都必须有一圈
+//! **40(±2)×40(±2)** 的墨迹（轨道 ∪ 激活色的并集）」：
+//!
+//! - 少一个环 → 该窗没有墨迹 → 红；
+//! - 某个环被画小了（例如 20×20）→ 该窗墨迹的外接框变小 → 红；
+//! - 0% 那格只有轨道、没有激活色 → 用「并集」判，不把「没有激活色」当失败。
+//!
+//! 早先用「主色连通簇数」判（只要求非空）：把 5 个环涂掉仍然绿（复审 r3 P2-3 的反证），
+//! 所以 G18-i 的处置从「不修」改成**已用固定窗收口**。簇数仍在日志里打印供复核。
+//!
+//! 不定态的**节奏**（4 圈/周期、跨周期不跳变）不在这里量：那是时间的函数，截图只有一帧，
+//! 判据在 `tests/progress.rs::circular_indeterminate_rotation_is_four_turns_and_continuous`。
+//!
+//! 欠账 **G18-l**（登记不修）：`snackbar` 的「取景框」判据会把条自身的抗锯齿底行算成框
+//! （覆盖率 0.5008，余量 0.0008），方向是**误报**不是假绿；本轮给 snackbar 加了「框高 = 96」
+//! 之后触发概率下降，但那 0.0008 的余量仍在。
+
+use iced::Color;
+
+use super::super::pixel::{blobs, coverage, dims, rgb, BBox, Shot};
+use unlucky_design::color::Role;
+
+use crate::theme::Ui;
+
+/// 环直径（A1 `CircularProgressIndicatorTokens.Size = 40`）。
+const DIAMETER: usize = 40;
+/// 环排栅格的左缘（页内边距 24）。
+const RING_X0: usize = 24;
+/// 栅格间距（40 环 + 16 = `Space::X4`）。
+const RING_PITCH: usize = 56;
+/// 窗数（0 / 25 / 50 / 75 / 100 / ind）。
+const RINGS: usize = 6;
+
+/// 某个像素算不算「这块墨」（覆盖率 ≥50%，与 `pixel::runs` 同一口径）。
+fn is_ink(pixel: [u8; 3], fill: Color, under: Color) -> bool {
+    coverage(pixel, rgb(fill), rgb(under)) >= 0.5
+}
+
+/// 环形那一排的判据：逐窗测「有没有一圈 40×40 的墨迹」。
+pub(super) fn check(shot: &Shot, ui: &Ui) {
+    let active = ui.color(Role::Primary);
+    let track = ui.color(Role::SecondaryContainer);
+    let surface = ui.color(Role::Surface);
+
+    // 环带的 y：以第一个窗（0% 环，只有轨道色）的**圆环签名**定位 —— 中间那几十行在窗的
+    // 左右两侧都有墨迹；再向上/下各扩到「窗内还有墨」为止（把圆顶/圆底那两行收回来）。
+    //
+    // 为什么不按「每行墨点数 4..20」判：圆顶那一行笔画横跨 ~20~28 px，会落在区间外，
+    // 按连续段会把 40 高的带子切成 32 行；为什么不按「首行..末行」：深色档里正文的抗锯齿
+    // 像素也会落在轨道色的混色线上，跨度会扩到 274 行（两种都实测过）。
+    let ink_count = |y: usize, from: usize, to: usize| -> usize {
+        (from..to)
+            .filter(|x| is_ink(shot.at(*x, y), track, surface))
+            .count()
+    };
+    let left = RING_X0;
+    let right = RING_X0 + DIAMETER;
+
+    // 环带 = 第一个窗里「有墨」的**连续行组**中、高度 ≈40 的那一组。
+    //
+    // 走过的两条弯路都实测过：
+    // ①「每行墨点 4..20」→ 圆顶那一行笔画横跨 ~20~28 px，被排除，带子切成 32 行；
+    // ②「左右两侧都有墨」→ 进度条那一行也满足（通栏），会认成 4 行高的假带。
+    // 连续行组 + 高度窗口同时把「进度条」（4~5 行）与「正文行」排除在外。
+    let mut runs: Vec<(usize, usize)> = Vec::new();
+    let mut current: Option<(usize, usize)> = None;
+    for y in 0..shot.height {
+        match (ink_count(y, left, right) > 0, current) {
+            (true, None) => current = Some((y, y)),
+            (true, Some((top, _))) => current = Some((top, y)),
+            (false, Some(run)) => {
+                runs.push(run);
+                current = None;
+            }
+            (false, None) => {}
+        }
+    }
+    if let Some(run) = current {
+        runs.push(run);
+    }
+    let (top, bottom) = runs
+        .iter()
+        .copied()
+        .find(|(top, bottom)| (DIAMETER - 6..=DIAMETER + 6).contains(&(bottom - top + 1)))
+        .unwrap_or_else(|| panic!("没找到高约 {DIAMETER} 的环形带；窗口 0 的连续行组：{runs:?}"));
+
+    let mut report = Vec::new();
+    for index in 0..RINGS {
+        let left = RING_X0 + RING_PITCH * index;
+        let right = left + DIAMETER - 1;
+        let mut ink: Option<BBox> = None;
+        for y in top..=bottom {
+            for x in left..=right {
+                let pixel = shot.at(x, y);
+                if is_ink(pixel, active, surface) || is_ink(pixel, track, surface) {
+                    match &mut ink {
+                        Some(found) => found.include(x, y),
+                        None => {
+                            ink = Some(BBox {
+                                left: x,
+                                right: x,
+                                top: y,
+                                bottom: y,
+                            })
+                        }
+                    }
+                }
+            }
+        }
+        let ink = ink.unwrap_or_else(|| {
+            panic!("第 {index} 个窗（x {left}..{right}）里没有任何环墨迹：环丢了")
+        });
+        assert!(
+            (DIAMETER - 2..=DIAMETER + 2).contains(&ink.width())
+                && (DIAMETER - 2..=DIAMETER + 2).contains(&ink.height()),
+            "第 {index} 个窗（x {left}..{right}）里的环应 {DIAMETER}×{DIAMETER}(±2)，实测 {}×{}",
+            ink.width(),
+            ink.height()
+        );
+        assert!(
+            ink.left >= left && ink.right <= right,
+            "第 {index} 个窗的墨迹越界：{}..{} 不在 {left}..{right}",
+            ink.left,
+            ink.right
+        );
+        report.push(format!("{index}:{}×{}", ink.width(), ink.height()));
+    }
+
+    // 激活色（弧）必须出现在 1.. 号窗里（0% 那格本来就只有轨道）。
+    for index in 1..RINGS {
+        let left = RING_X0 + RING_PITCH * index;
+        let count: usize = (top..=bottom)
+            .map(|y| {
+                (left..left + DIAMETER)
+                    .filter(|x| is_ink(shot.at(*x, y), active, surface))
+                    .count()
+            })
+            .sum();
+        assert!(
+            count > 40,
+            "第 {index} 个窗（x {left}..）的激活色弧只有 {count} px：环在但弧没画"
+        );
+    }
+
+    let clusters = blobs(shot, active, 10);
+    eprintln!(
+        "[feedback-probe] circular：固定窗 {RINGS} 个逐窗 [{ }]（y {top}..{bottom}）· \
+         主色连通簇 {} 个（仅打印，判据是窗）",
+        report.join(" / "),
+        clusters.len()
+    );
+    let _ = dims(&clusters);
+}

crates/app-iced/src/components/feedback/probe/panels.rs

@@ -0,0 +1,315 @@
+//! 两个「面」的渲染层判据：Dialog（§7）与空态（§15）。`probe` 的子模块。
+//!
+//! ## Dialog 量什么
+//!
+//! - **逐卡宽度**：按列剖面把每张卡单独量出来（早先只量「最宽那张」，一宽一窄并排时会漏）；
+//!   本项目 480，窄宿主那格 360（`Dialog::width(360)`），且都必须落在官方 280..560 内；
+//! - 内距：标题墨迹左缩 ≈24、顶缩 24+bearing（24..=30）；
+//! - **动作色**：`Role::Primary` 的**精确色**命中数（复审 A：早先用「离谁更近」把标题/正文字形
+//!   也算成了 Primary —— 一张没有动作的卡也能"通过"）；并配两条反向证据：
+//!   ①无动作的那张卡里精确 Primary 必须是 **0**；②有动作的那张卡下半区必须有字形行。
+//! - scrim：一块 ≥700 宽的遮罩带，色值 = 预合成实色。
+//!
+//! ## 空态量什么
+//!
+//! 图标块 96±2（1px 描边各吃 1 行）· 块↔标题 ≈16+bearing · 条目总高 ≈232 · CTA 40。
+//!
+//! 常量与 [`super::super::panel`] 里登记值对齐（480 / 280 / 96 / 232），动作色用**精确色**
+//! 而不是斜坡判据。
+
+use unlucky_design::color::Role;
+use unlucky_design::elevation::MaterialLayer;
+
+use super::super::dialog::scrim;
+use super::super::empty_state::BLOCK_LAYER;
+use super::super::pixel::{band_width, bands, ink_inside, matches, near, rgb, BBox, Shot};
+use crate::theme::Ui;
+
+/// Dialog 宽（本项目取值，官方区间 280..560 内）。
+const DIALOG_W: usize = 480;
+/// 窄宿主那格的宽（`Dialog::width(360)`）。
+const DIALOG_NARROW: usize = 360;
+/// 空态图标块边长。
+const BLOCK: usize = 96;
+/// 空态条目总高：96 块 + 16 + 32 标题 + 8 + 16 副文案 + 24 + 40 CTA。
+const EMPTY_TOTAL: usize = 232;
+/// 动作字形的精确色命中下限（实测 3 张有动作的卡合计 325 px）。
+const ACTION_INK_MIN: usize = 120;
+
+/// §7：逐卡宽度 / 内距 / 动作色 / scrim。
+pub(super) fn check_dialog(shot: &Shot, ui: &Ui) {
+    let surface = ui.color(Role::Surface);
+    let card = ui.layer(MaterialLayer::Overlay);
+    let primary = rgb(ui.color(Role::Primary));
+
+    // ---- 7.4 宽度：先分「卡带」（同排两张卡的 y 区间会重叠，所以只能按行分组），
+    //      再在每条带里按**列剖面**分出每一张卡（复审 A/G：早先只量最宽的那张）。
+    // 卡带用**精确色**数行（不用斜坡）：深色档里正文/描边的抗锯齿像素都落在
+    // 「surface → card」那条很短的斜坡上，用斜坡会把整屏都算成卡带（实测出现 1180 宽的假卡）。
+    let card_rgb = rgb(card);
+    let scrim_rgb = rgb(scrim(ui));
+    let card_rows: Vec<usize> = (0..shot.height)
+        .filter(|y| {
+            (0..shot.width)
+                .filter(|x| {
+                    let pixel = shot.at(*x, *y);
+                    matches(pixel, card_rgb) && !matches(pixel, scrim_rgb)
+                })
+                .count()
+                >= 200
+        })
+        .collect();
+    let mut card_bands: Vec<(usize, usize)> = Vec::new();
+    let mut start: Option<usize> = None;
+    let mut previous: usize = 0;
+    for y in card_rows {
+        match start {
+            None => {
+                start = Some(y);
+                previous = y;
+            }
+            Some(_) if y == previous + 1 => previous = y,
+            Some(top) => {
+                card_bands.push((top, previous));
+                start = Some(y);
+                previous = y;
+            }
+        }
+    }
+    if let Some(top) = start {
+        card_bands.push((top, previous));
+    }
+    assert!(
+        card_bands.len() >= 3,
+        "至少要找到 3 条卡带（第一排两张 + 双动作 + scrim 里那张），实测 {card_bands:?}"
+    );
+
+    // 每张卡记 (左缘, 宽)：宽度给「逐卡」断言，左缘给内距断言用（不能按单行找左缘——
+    // 圆角 28 会让 band_top+4 那一行的卡片像素内缩 ~10px，实测内距被量成 12 而不是 24）。
+    //
+    // **深色档要把遮罩色排掉**：暗色下 `SurfaceContainerHigh` 与预合成 scrim 只差 ~35/通道，
+    // 不排掉时 scrim 那片也被算成「卡」（实测出现 1180 宽的假卡）。
+    let mut cards: Vec<(usize, usize)> = Vec::new();
+    for band in &card_bands {
+        let height = band.1 - band.0 + 1;
+        let profile: Vec<usize> = (0..shot.width)
+            .map(|x| {
+                (band.0..=band.1)
+                    .filter(|y| {
+                        let pixel = shot.at(x, *y);
+                        matches(pixel, card_rgb) && !matches(pixel, scrim_rgb)
+                    })
+                    .count()
+            })
+            .collect();
+        let mut start: Option<usize> = None;
+        for (x, ink) in profile.iter().enumerate() {
+            let column = *ink >= height / 3;
+            match (column, start) {
+                (true, None) => start = Some(x),
+                (false, Some(from)) => {
+                    if x - from >= 280 {
+                        cards.push((from, x - from));
+                    }
+                    start = None;
+                }
+                _ => {}
+            }
+        }
+        if let Some(from) = start {
+            if shot.width - from >= 280 {
+                cards.push((from, shot.width - from));
+            }
+        }
+    }
+    let mut widths: Vec<usize> = cards.iter().map(|(_, width)| *width).collect();
+    widths.sort_unstable();
+    assert!(
+        widths.iter().any(|w| near(*w, DIALOG_W)),
+        "7.4：应有 {DIALOG_W} 宽的卡（G17-e 项目取值），实测逐卡宽度 {widths:?}"
+    );
+    assert!(
+        widths.iter().any(|w| near(*w, DIALOG_NARROW)),
+        "7.4：窄宿主那格应量到 {DIALOG_NARROW}（`Dialog::width(360)`，复审 E），实测 {widths:?}"
+    );
+    for width in &widths {
+        assert!(
+            (280..=560).contains(width),
+            "7.4：每张卡都必须落在官方 280..560 内，实测 {width}：{widths:?}"
+        );
+    }
+
+    // 内距与 scrim 只在一张卡上量（第一张，最靠左上）。
+    let first = card_bands[0];
+    let (card_left, width) = cards[0];
+    let top = first.0;
+    let bottom = first.1;
+    let bbox = BBox {
+        left: card_left,
+        right: card_left + width - 1,
+        top,
+        bottom,
+    };
+    let title =
+        ink_inside(shot, &bbox, ui.color(Role::OnSurface), card, 2).expect("卡片里必须有标题墨迹");
+    let inset = title.left.saturating_sub(card_left);
+    assert!(
+        (22..=28).contains(&inset),
+        "7.3：四边内距 24 ⇒ 标题墨迹左缩 ≈24（含 bearing 22..28），实测 {inset}"
+    );
+    let top_inset = title.top.saturating_sub(top);
+    assert!(
+        (24..=30).contains(&top_inset),
+        "7.3：上内距 24 ⇒ 标题墨迹顶缩 24+字形 bearing（24..30），实测 {top_inset}"
+    );
+
+    // ---- 7.6 动作色（复审 A：换掉「离谁更近」那条会被标题字形顶账的判据）--------
+    let exact_primary = |band: (usize, usize)| -> usize {
+        (band.0..=band.1)
+            .map(|y| {
+                (0..shot.width)
+                    .filter(|x| matches(shot.at(*x, y), primary))
+                    .count()
+            })
+            .sum()
+    };
+    let action_pixels: usize = (0..shot.height)
+        .map(|y| {
+            (0..shot.width)
+                .filter(|x| matches(shot.at(*x, y), primary))
+                .count()
+        })
+        .sum();
+    assert!(
+        action_pixels >= ACTION_INK_MIN,
+        "7.6：Dialog 动作标签应是 `Primary` 的**精确色**（实测只命中 {action_pixels} px；\
+         改成 OnSurfaceVariant 就会掉到 0）"
+    );
+
+    // 反向证据 ①：没有动作的那张卡（scrim 里那张）里精确 Primary 必须是 0 ——
+    // 这条挡住「把标题/正文的深色字形算成 Primary」这条假绿路径。
+    let quiet: Vec<(usize, usize)> = card_bands
+        .iter()
+        .copied()
+        .filter(|band| exact_primary(*band) == 0)
+        .collect();
+    assert!(
+        !quiet.is_empty(),
+        "7.6：本屏应有一张**无动作**的卡（scrim 里那张）其精确 Primary 为 0，实测每带都有 Primary 墨迹"
+    );
+
+    // 反向证据 ②：动作行确实存在 —— 命中最多的那条带下半区必须有字形行。
+    let loud = card_bands
+        .iter()
+        .copied()
+        .max_by_key(|band| exact_primary(*band))
+        .expect("卡带非空");
+    let half = loud.0 + (loud.1 - loud.0) / 2;
+    let action_rows = (half..=loud.1)
+        .filter(|y| {
+            (0..shot.width)
+                .filter(|x| matches(shot.at(*x, *y), primary))
+                .count()
+                >= 3
+        })
+        .count();
+    assert!(
+        action_rows >= 1,
+        "7.6：动作字形必须在卡片下半区（实测下半区精确 Primary 行数 {action_rows}）"
+    );
+
+    // ---- 7.7 scrim -------------------------------------------------------------
+    let backdrop = scrim(ui);
+    let scrim_bands = bands(shot, backdrop, surface, 700);
+    assert!(
+        !scrim_bands.is_empty(),
+        "7.7：没找到 ≥700 宽的遮罩带（宿主 800 宽那格）"
+    );
+
+    eprintln!(
+        "[feedback-probe] dialog：逐卡宽度 {widths:?} · 标题左缩 {inset} · 顶缩 {top_inset} · \
+         精确 Primary {action_pixels}px（无动作卡 {} 张）· 动作行 {action_rows} 行 · scrim 带 {} 条",
+        quiet.len(),
+        scrim_bands.len()
+    );
+}
+
+/// §15：图标块 96（`[估]`）+ 间距 16 / 8 / 24 + CTA 40。
+pub(super) fn check_empty(shot: &Shot, ui: &Ui) {
+    let surface = ui.color(Role::Surface);
+    let block = ui.layer(BLOCK_LAYER);
+
+    let found = bands(shot, block, surface, 40);
+    let (top, bottom) = found
+        .iter()
+        .copied()
+        .max_by_key(|(top, bottom)| bottom - top)
+        .filter(|(top, bottom)| (BLOCK - 2..=BLOCK + 2).contains(&(bottom - top + 1)))
+        .unwrap_or_else(|| {
+            panic!(
+                "15.1：没找到高 {BLOCK}(±2) 的图标块（`[估]` 项目自定值），实测量到的带：{found:?}"
+            )
+        });
+
+    let width = band_width(shot, (top, bottom), block, surface);
+    assert!(
+        (BLOCK - 2..=BLOCK + 2).contains(&width),
+        "15.1：图标块必须 {BLOCK}(±2，1px 描边）宽，实测 {width}"
+    );
+
+    // 图标本身：`view_at` 按 32 烘焙（stroke 同步重算），墨迹 ≈26~28。
+    let glyph = ink_inside(
+        shot,
+        &BBox {
+            left: 0,
+            right: shot.width - 1,
+            top,
+            bottom,
+        },
+        ui.color(Role::OnSurfaceVariant),
+        block,
+        2,
+    )
+    .expect("块里必须有图标墨迹");
+    assert!(
+        (22..=34).contains(&glyph.width()) && (22..=34).contains(&glyph.height()),
+        "15.1：图标墨迹应在 22..34（32 盒；`view` 时代只有 20×20），实测 {}×{}",
+        glyph.width(),
+        glyph.height()
+    );
+
+    // ---- P2-1 回归：块↔标题的实际间距（16 而不是 32）---------------------------
+    let bbox = BBox {
+        left: 0,
+        right: shot.width - 1,
+        top: bottom + 1,
+        bottom: shot.height - 1,
+    };
+    let title = ink_inside(shot, &bbox, ui.color(Role::OnSurface), surface, 0)
+        .expect("块下面必须有标题墨迹");
+    let gap = title.top.saturating_sub(bottom + 1);
+    assert!(
+        (16..=24).contains(&gap),
+        "15.3：块↔标题应为 16（+ 字形 bearing），实测 {gap}（32 = spacing 与 gap 双算回来了）"
+    );
+
+    let cta = bands(shot, ui.color(Role::Primary), surface, 20);
+    let (cta_top, cta_bottom) = cta
+        .iter()
+        .copied()
+        .find(|(top, bottom)| near(bottom - top + 1, 40))
+        .unwrap_or_else(|| panic!("15.6：CTA 应是标准按钮（可见高 40），实测带 {cta:?}"));
+    let total = cta_bottom + 1 - top;
+    assert!(
+        total.abs_diff(EMPTY_TOTAL) <= 6,
+        "15.x：条目总高应 ≈{EMPTY_TOTAL}（96+16+32+8+16+24+40），实测 {total}"
+    );
+
+    eprintln!(
+        "[feedback-probe] empty：块 y {top}..{bottom}（高 {}）· 宽 {width} · 图标 {}×{} · \
+         块↔标题 {gap} · 总高 {total} · CTA {cta_top}..{cta_bottom}",
+        bottom - top + 1,
+        glyph.width(),
+        glyph.height()
+    );
+}

crates/app-iced/src/components/feedback/progress.rs

@@ -0,0 +1,308 @@
+//! 进度指示器（`research/12b` §12）：`linear` 与 `circular`，各有确定态与不定态。
+//!
+//! ## 两种形态、四种态
+//!
+//! | 形态 | 确定态 | 不定态 |
+//! |---|---|---|
+//! | [`linear`] | 轨道 `SecondaryContainer` + 指示条 `Primary`，厚 **4**、圆角 full | 官方 1750ms **双段**追逐（[`phase_segments`]） |
+//! | [`circular`] | 40 环 + 4 线宽，弧长 = 数值 × 360° | 官方 6000ms（弧长 0.1↔0.87 + 旋转 **0→1440°**：全局 1080° 线性 + 关键帧 360°，[`CircularGeometry::indeterminate`]） |
+//!
+//! ## 为什么不定态要调用方给 `phase`
+//!
+//! 契约 §2：组件不持有时钟。`phase`（0..1 的一个周期）由页面按 `Subscription` 推进；
+//! harness 因此能拍**确定**的中间帧（否则每张图都是抓阄）。周期时长在几何里
+//! （[`LinearGeometry::cycle_ms`] / [`CircularGeometry::cycle_ms`]），调用方按它换算。
+//!
+//! ## CPU 降级路径（D27）
+//!
+//! 本组件**零半透明、零模糊**：轨道/指示条都是不透明实色，环形是 `stroke` 实色。
+//! 波浪形态（线性振幅 3 / 波长 40，环形振幅 1.6 / 波长 15，`[源]`）**未实现**，
+//! 用直线段/等弧长替代——这是 `12b §12.4` 明确允许的登记项（见报告「偏离登记」）。
+//!
+//! ## 环形为什么手搓 SVG
+//!
+//! iced 的 `canvas` feature 没开（`Cargo.toml` 不归本 mission），而圆弧用容器边框画不出来。
+//! 令牌图标的做法（24 网格 SVG path + `currentColor` + 内容哈希缓存）同样适用于几何图元：
+//! 一份 handle 渲染两层（轨道一层、弧一层），相位不变时 iced 侧命中缓存。
+
+use iced::border::Radius;
+use iced::widget::{container, row, svg, Space};
+use iced::{Background, Border, Element, Length};
+
+use unlucky_design::color::Role;
+
+use crate::theme::Ui;
+
+use super::super::layout;
+use super::geometry::{phase_segments, CircularGeometry, LinearGeometry};
+
+/// `FillPortion` 的比例分辨率：0..1 的占比 × 1000 取整（1/1000 像素级，够用且不溢出 u16）。
+const PORTIONS: f32 = 1000.0;
+
+/// 弧长小于这个角度就不画激活层（圆头在 0 弧长上会画出一个点，看着像「已完成」）。
+const MIN_SWEEP_DEG: f32 = 1.0;
+
+/// 100% 时弧首尾重合，`A` 命令画不出整圆 ⇒ 超过这个角度改画整环。
+const FULL_SWEEP_DEG: f32 = 359.9;
+
+/// 进度的取值：确定（0..1）或不定（相位 0..1）。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub enum Amount {
+    /// 确定态：0..1。
+    Determinate(f32),
+    /// 不定态：一个周期内的相位（0..1，可越界，采样时按周期取模）。
+    Indeterminate(f32),
+}
+
+/// 一个进度指示器的取值（**不持有任何状态**）。
+#[derive(Debug, Clone, Copy, PartialEq)]
+pub struct Progress {
+    amount: Amount,
+}
+
+impl Progress {
+    /// 确定态：`value` 越界会被夹到 0..1（0% 只画轨道）。
+    pub fn determinate(value: f32) -> Self {
+        Self {
+            amount: Amount::Determinate(value.clamp(0.0, 1.0)),
+        }
+    }
+
+    /// 不定态：`phase` 是周期内的相位（调用方按 `cycle_ms` 推进）。
+    pub fn indeterminate(phase: f32) -> Self {
+        Self {
+            amount: Amount::Indeterminate(phase),
+        }
+    }
+
+    /// 取值（断言用；生产路径不读它，内部直接 match 字段）。
+    #[cfg(test)]
+    pub fn amount(self) -> Amount {
+        self.amount
+    }
+
+    /// 本帧要画的占轨道比例区间（0..1）。
+    ///
+    /// 确定态 1 段、不定态 2 段（官方双线）；区间可能为空（相位在「两段都在屏幕外」的时刻），
+    /// 调用方按 `end > start` 过滤。
+    pub fn spans(self) -> Vec<(f32, f32)> {
+        match self.amount {
+            Amount::Determinate(value) => vec![(0.0, value.clamp(0.0, 1.0))],
+            Amount::Indeterminate(phase) => phase_segments(phase).to_vec(),
+        }
+    }
+}
+
+/// 把 0..1 的区间**排序 + 合并重叠**，摊成「间隙 / 指示条」交替的列表（总长恒为 1.0）。
+///
+/// ## 为什么必须排序（复审 P1-A，视觉 r1 的 p1）
+///
+/// [`phase_segments`] 返回的两段**不保证有序**：第一线的前缘抢跑 250ms，所以它的区间在右，
+/// 第二线从 0 起跑的区间在左。照顺序铺 `FillPortion` 会把左段接到右段**之后**，并且
+/// `FillPortion` 之和一旦 ≠ 1000，iced 就按总和归一 —— 位置和宽度一起被压扁。
+/// 实测 phase 0.55：本应两段 `[0.003,0.079]` + `[0.355,0.860]`（x 689..713 / 802..963），
+/// 实际被画成一段 100px 的台阶（x 749..848），且 **34/100 个相位**上总和 >1（最大 1.99）。
+///
+/// 返回的每项是 `(是不是指示条, 占比)`；间隙项也显式给出来，才能断言「总和 = 1.0」。
+pub fn layout_spans(spans: &[(f32, f32)]) -> Vec<(bool, f32)> {
+    let mut clipped: Vec<(f32, f32)> = spans
+        .iter()
+        .map(|(start, end)| (start.clamp(0.0, 1.0), end.clamp(0.0, 1.0)))
+        .filter(|(start, end)| end > start)
+        .collect();
+    clipped.sort_by(|a, b| a.0.total_cmp(&b.0));
+
+    let mut merged: Vec<(f32, f32)> = Vec::new();
+    for (start, end) in clipped {
+        match merged.last_mut() {
+            Some(last) if start <= last.1 => last.1 = last.1.max(end),
+            _ => merged.push((start, end)),
+        }
+    }
+
+    let mut items = Vec::new();
+    let mut cursor = 0.0_f32;
+    for (start, end) in merged {
+        if start > cursor {
+            items.push((false, start - cursor));
+        }
+        items.push((true, end - start));
+        cursor = end;
+    }
+    if cursor < 1.0 {
+        items.push((false, 1.0 - cursor));
+    }
+    items
+}
+
+/// 占比 → `FillPortion` 整数份额，**总和恒为 `PORTIONS`**（累计舍入，最后一项吃掉残差）。
+///
+/// 为什么不用「每项各自 round」：各项独立取整后总和可能是 999 或 1001，iced 按总和归一，
+/// 就又回到 P1-A 那个「整条被压扁」的坑。这里让每个**累计边界**取整，最后一项补足，
+/// 于是任意相位下份额之和都精确等于 1000。
+pub fn portion_shares(items: &[(bool, f32)]) -> Vec<(bool, u16)> {
+    let mut shares = Vec::with_capacity(items.len());
+    let mut accumulated = 0.0_f32;
+    let mut previous = 0_u16;
+    for (index, (is_bar, fraction)) in items.iter().enumerate() {
+        accumulated += fraction;
+        let target = if index + 1 == items.len() {
+            PORTIONS as u16
+        } else {
+            (accumulated * PORTIONS).round() as u16
+        };
+        let share = target.saturating_sub(previous);
+        previous = target;
+        shares.push((*is_bar, share));
+    }
+    shares
+}
+
+/// 线性进度条（轨道 + 指示条，厚 4、圆角 full）。
+///
+/// 轨道宽 `Fill`（由宿主决定），指示条按占比分到 `FillPortion` 上——**不需要知道轨道像素宽**，
+/// 所以 50% 在任何宿主宽度下都精确是半条。
+pub fn linear<'a, M: 'a>(ui: &'a Ui, progress: Progress) -> Element<'a, M> {
+    let geometry = LinearGeometry::of(ui);
+    let track_color = ui.color(Role::SecondaryContainer);
+    let active_color = ui.color(Role::Primary);
+
+    let mut bar = row![]
+        .width(Length::Fill)
+        .height(Length::Fixed(geometry.thickness));
+    for (is_bar, share) in portion_shares(&layout_spans(&progress.spans())) {
+        if share == 0 {
+            continue;
+        }
+        bar = bar.push(if is_bar {
+            container(Space::new().width(Length::Fill).height(Length::Fill))
+                .width(Length::FillPortion(share))
+                .height(Length::Fill)
+                .style(move |_theme| container::Style {
+                    background: Some(Background::Color(active_color)),
+                    border: Border {
+                        radius: Radius::new(geometry.radius),
+                        ..Border::default()
+                    },
+                    ..container::Style::default()
+                })
+                .into()
+        } else {
+            spacer(share)
+        });
+    }
+
+    container(bar)
+        .width(Length::Fill)
+        .height(Length::Fixed(geometry.thickness))
+        .style(move |_theme| container::Style {
+            background: Some(Background::Color(track_color)),
+            border: Border {
+                radius: Radius::new(geometry.radius),
+                ..Border::default()
+            },
+            ..container::Style::default()
+        })
+        .into()
+}
+
+/// 环形进度（40 直径 / 4 线宽；确定态画弧，不定态按官方节奏扫）。
+pub fn circular<'a, M: 'a>(ui: &'a Ui, progress: Progress) -> Element<'a, M> {
+    let geometry = CircularGeometry::of(ui);
+    let (sweep, rotation) = match progress.amount {
+        Amount::Determinate(value) => (value.clamp(0.0, 1.0) * 360.0, 0.0),
+        Amount::Indeterminate(phase) => {
+            // 圈数直接乘 360（不做 rem_euclid）：每周期 4 圈是官方口径，截断就丢转速。
+            let (sweep_fraction, turns) = geometry.indeterminate(phase);
+            (sweep_fraction * 360.0, turns * 360.0)
+        }
+    };
+
+    let track = glyph(
+        &geometry,
+        ring_source(&geometry),
+        ui.color(Role::SecondaryContainer),
+    );
+
+    // 0% 只画轨道（不画弧，也不画圆头小点）；100% 画整环（`A` 命令的首尾重合画不出整圆）
+    let active = if sweep < MIN_SWEEP_DEG {
+        None
+    } else if sweep >= FULL_SWEEP_DEG {
+        Some(glyph(
+            &geometry,
+            ring_source(&geometry),
+            ui.color(Role::Primary),
+        ))
+    } else {
+        Some(glyph(
+            &geometry,
+            arc_source(&geometry, sweep, rotation),
+            ui.color(Role::Primary),
+        ))
+    };
+
+    let mut layers = vec![track];
+    layers.extend(active);
+
+    // Q9 的同族：几何图元也必须落在**固定尺寸**的盒子里，否则 usvg 会按 Contain 撑满父级。
+    layout::fixed(
+        geometry.diameter,
+        geometry.diameter,
+        iced::widget::stack(layers),
+    )
+}
+
+/// 两段之间/两端的透明占位。
+fn spacer<'a, M: 'a>(share: u16) -> Element<'a, M> {
+    Space::new()
+        .width(Length::FillPortion(share))
+        .height(Length::Fill)
+        .into()
+}
+
+/// 一层几何图元（固定尺寸 + `currentColor` 上色）。
+fn glyph<'a, M: 'a>(
+    geometry: &CircularGeometry,
+    source: String,
+    color: iced::Color,
+) -> Element<'a, M> {
+    svg(svg::Handle::from_memory(source.into_bytes()))
+        .width(Length::Fixed(geometry.diameter))
+        .height(Length::Fixed(geometry.diameter))
+        .style(move |_theme, _status| svg::Style { color: Some(color) })
+        .into()
+}
+
+/// 整环（轨道用，也用作 100% 的激活层）。
+fn ring_source(geometry: &CircularGeometry) -> String {
+    let (size, thickness) = (geometry.diameter, geometry.thickness);
+    let center = size / 2.0;
+    let radius = geometry.arc_radius();
+    format!(
+        "<svg xmlns=\"http://www.w3.org/2000/svg\" width=\"{size}\" height=\"{size}\" \
+         viewBox=\"0 0 {size} {size}\"><circle cx=\"{center}\" cy=\"{center}\" r=\"{radius}\" \
+         fill=\"none\" stroke=\"currentColor\" stroke-width=\"{thickness}\"/></svg>"
+    )
+}
+
+/// 一段圆弧（`rotation` 起、扫 `sweep_deg`；0° = 12 点、顺时针 = M3 口径）。
+fn arc_source(geometry: &CircularGeometry, sweep_deg: f32, rotation_deg: f32) -> String {
+    let (size, thickness) = (geometry.diameter, geometry.thickness);
+    let center = size / 2.0;
+    let radius = geometry.arc_radius();
+    let (x0, y0) = point(center, radius, rotation_deg);
+    let (x1, y1) = point(center, radius, rotation_deg + sweep_deg);
+    let large = u8::from(sweep_deg > 180.0);
+    format!(
+        "<svg xmlns=\"http://www.w3.org/2000/svg\" width=\"{size}\" height=\"{size}\" \
+         viewBox=\"0 0 {size} {size}\"><path d=\"M {x0:.3} {y0:.3} A {radius} {radius} 0 \
+         {large} 1 {x1:.3} {y1:.3}\" fill=\"none\" stroke=\"currentColor\" \
+         stroke-width=\"{thickness}\" stroke-linecap=\"round\"/></svg>"
+    )
+}
+
+/// 极角（0° = 12 点，顺时针）→ 画布坐标（y 向下，所以向上取负）。
+fn point(center: f32, radius: f32, deg: f32) -> (f32, f32) {
+    let rad = deg.to_radians();
+    (center + radius * rad.sin(), center - radius * rad.cos())
+}

crates/app-iced/src/components/feedback/snackbar.rs

@@ -0,0 +1,193 @@
+//! Snackbar（`research/12b` §14）：底/顶部提示条 + 动作 + 关闭。
+//!
+//! ## 官方值（`[源]` = A1，`SnackbarTokens` + `SnackbarKt`，`javap` 核对）
+//!
+//! | # | 项 | 值 | 落点 |
+//! |---|---|---|---|
+//! | 14.1 | 圆角 | **4**（`CornerExtraSmall`） | `Component::Snackbar.spec().shape` |
+//! | 14.2 | 容器色 | **`InverseSurface`**（高程 L3 是设计口头径，见下「不画阴影」） | [`Role::InverseSurface`] |
+//! | 14.3 | 高 | 单行 **48** / 双行 **68** | [`SnackbarGeometry::height`] |
+//! | 14.4 | 内距 | 水平 **16** / 垂直 **6** / 文本↔动作 **8** | `Space::X4` / 6 / `Space::X2` |
+//! | 14.6 | 颜色 | 文本 `InverseOnSurface`、动作 **`InversePrimary`**、图标 24 `InverseOnSurface` | 组件层取角色 |
+//! | — | 宽度上限 | **600**（`SnackbarKt.ContainerMaxWidth`） | `max_width` |
+//!
+//! ## 宽度上下限（一条**真实**限制，登记 G17-d）
+//!
+//! 官方只有上限 600，没有下限常数；本项目取 **344 `[估]`**（M2 时代口径，观感连续）。
+//! iced 的 `Length` **没有 min-width**（与按钮家族 G15「最小宽 58 不施加」同一堵墙），
+//! 所以：**上限在组件里强制**（`container::max_width`），**下限由宿主保证**——页面给提示条
+//! 的区域至少 344 宽。gallery 用三个宿主宽度把这条限制摊开（300 → 300、344 → 344、800 → 600），
+//! 渲染层断言量的是这三种实测值，不假装下限被组件强制住了。
+//!
+//! ## 超时与 dismiss：状态归调用方
+//!
+//! 组件**不计时**：显示时长、自动消失、`on_timeout` 全在调用方（页面）手里。
+//! 组件的语义只有三条：`placement` 决定贴顶还是贴底（并给出 12 的外边距）、
+//! `action` 给一个文字动作、`dismiss` 给关闭键。消息要不要触发「撤销」由调用方决定。
+//!
+//! ## 不画阴影
+//!
+//! 官方是 L3，但 D27（CPU 档禁模糊）与令牌层 `ShadowSpec` 仍是 M63 占位值这两条都指向
+//! 「先不画」——层级靠 `InverseSurface` 与页面的 scrim/留白表达。登记为偏离 **D-4**
+//! （D-3 是进度条的波浪降级，别混号）。
+
+use iced::widget::{container, row, text};
+use iced::{Alignment, Background, Border, Element, Length, Padding};
+
+use unlucky_design::color::Role;
+use unlucky_design::icons::IconKind;
+use unlucky_design::typography::TypeRole;
+
+use crate::theme::Ui;
+
+use super::super::interaction::Interaction;
+use super::action;
+use super::panel::SnackbarGeometry;
+
+/// 贴底还是贴顶（官方两种都有；本项目默认贴底）。
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+pub enum Placement {
+    /// 贴底（桌面默认：不挡页头，也不挡主操作）。
+    Bottom,
+    /// 贴顶（页头有刷新按钮时用于「结果在页头附近」的场景）。
+    Top,
+}
+
+impl Placement {
+    /// 垂直对齐：贴底 = `End`，贴顶 = `Start`。
+    fn vertical(self) -> Alignment {
+        match self {
+            Placement::Bottom => Alignment::End,
+            Placement::Top => Alignment::Start,
+        }
+    }
+}
+
+/// 一条提示条的装配描述（**不持有任何状态所有权**）。
+#[derive(Debug, Clone)]
+pub struct Snackbar<'a, M> {
+    text: &'a str,
+    lines: u8,
+    placement: Placement,
+    action: Option<(&'a str, M)>,
+    dismiss: Option<M>,
+    state: Option<Interaction>,
+}
+
+impl<'a, M> Snackbar<'a, M> {
+    /// 单行提示条（高 48）。
+    pub fn new(text: &'a str) -> Self {
+        Self {
+            text,
+            lines: 1,
+            placement: Placement::Bottom,
+            action: None,
+            dismiss: None,
+            state: None,
+        }
+    }
+
+    /// 双行（高 68）。**行数由调用方声明**：iced 没有 `heightIn(min=…)`，官方那两条高度值
+    /// 只能显式给（文本自己换行与否不改变容器高，这是 M3 的口径）。
+    pub fn two_lines(mut self) -> Self {
+        self.lines = 2;
+        self
+    }
+
+    /// 贴底 / 贴顶。
+    pub fn placement(mut self, placement: Placement) -> Self {
+        self.placement = placement;
+        self
+    }
+
+    /// 右侧文字动作（`InversePrimary`）。
+    pub fn action(mut self, label: &'a str, on_press: M) -> Self {
+        self.action = Some((label, on_press));
+        self
+    }
+
+    /// 关闭键（`InverseOnSurface`）。
+    pub fn dismiss(mut self, on_press: M) -> Self {
+        self.dismiss = Some(on_press);
+        self
+    }
+
+    /// 强制动作件的视觉态（gallery 取证用；运行期不要调）。
+    pub fn state(mut self, state: Interaction) -> Self {
+        self.state = Some(state);
+        self
+    }
+}
+
+/// 画一条提示条。
+///
+/// 返回的元素是 **`Fill` 高度的容器**：贴底/贴顶由它内部的对齐决定，调用方只要给它一块
+/// 可用区（`stack` 在页面上、或 gallery 的宿主盒），它就是那个位置上的居中提示条。
+pub fn snackbar<'a, M: Clone + 'a>(ui: &'a Ui, spec: Snackbar<'a, M>) -> Element<'a, M> {
+    let geometry = SnackbarGeometry::of(ui);
+    let style = ui.style(TypeRole::BodyMedium);
+    let height = geometry.height_for(spec.lines);
+    let surface = ui.color(Role::InverseSurface);
+    let radius = iced::border::Radius::new(geometry.radius);
+
+    let mut content = row![]
+        .align_y(Alignment::Center)
+        .spacing(geometry.gap)
+        .push(
+            text(spec.text)
+                .size(style.size_px)
+                .font(ui.font_of(style))
+                .color(ui.color(Role::InverseOnSurface))
+                .width(Length::Fill),
+        );
+
+    if let Some((label, message)) = spec.action {
+        content = content.push(action::text_action(
+            ui,
+            label,
+            Role::InversePrimary,
+            Role::InverseSurface,
+            Some(message),
+            spec.state,
+        ));
+    }
+
+    if let Some(message) = spec.dismiss {
+        content = content.push(action::icon_action(
+            ui,
+            IconKind::Close,
+            Role::InverseOnSurface,
+            Role::InverseSurface,
+            Some(message),
+            spec.state,
+        ));
+    }
+
+    let bar = container(content)
+        .width(Length::Fill)
+        .max_width(geometry.max_width)
+        .height(Length::Fixed(height))
+        .padding(Padding {
+            top: geometry.pad_v,
+            right: geometry.pad_h,
+            bottom: geometry.pad_v,
+            left: geometry.pad_h,
+        })
+        .style(move |_theme| container::Style {
+            background: Some(Background::Color(surface)),
+            border: Border {
+                radius,
+                ..Border::default()
+            },
+            ..container::Style::default()
+        });
+
+    // 位置层：`Fill` 高度 + 外边距 12 + 水平居中；贴底/贴顶只改 `align_y`（Q8：不用 center_*）。
+    container(bar)
+        .width(Length::Fill)
+        .height(Length::Fill)
+        .padding(Padding::from(geometry.margin))
+        .align_x(Alignment::Center)
+        .align_y(spec.placement.vertical())
+        .into()
+}

crates/app-iced/src/components/feedback/tests.rs

@@ -0,0 +1,223 @@
+//! 纯函数级断言：几何对令牌、节奏对 A1、角色对变体。
+//!
+//! 这里**只测数值与结构**（M68 的教训：函数对不代表图对）。对着真截图量像素的是
+//! [`super::probe`]，两者缺一不可——本文件保证「数字对」，probe 保证「画出来是那个数字」。
+
+use iced::Element;
+
+use unlucky_design::color::{Role, Scheme, SchemeFlavor, SCRIM_ALPHA};
+use unlucky_design::elevation::MaterialLayer;
+use unlucky_design::typography::Platform;
+
+use crate::theme::{to_iced, Families, Ui};
+
+use super::super::interaction::{self, Interaction};
+use super::dialog::scrim;
+use super::panel::{DialogGeometry, EmptyStateGeometry, SnackbarGeometry};
+use super::progress::Progress;
+use super::snackbar::{Placement, Snackbar};
+use super::{circular, dialog, empty_state, linear, snackbar, Dialog, EmptyState};
+
+mod progress;
+
+const FAMILIES: Families = Families {
+    text: "Segoe UI",
+    display: "Segoe UI",
+    mono: "Consolas",
+};
+
+pub(super) fn ui(flavor: SchemeFlavor) -> Ui {
+    Ui::with_platform(flavor, Platform::Windows, FAMILIES)
+}
+
+// ---- §14 Snackbar -----------------------------------------------------------
+
+/// 14.3 / 14.1 / 宽度上限：48 / 68 / 4 / 600。
+#[test]
+fn snackbar_heights_widths_and_radius_are_the_tokens() {
+    let geometry = SnackbarGeometry::of(&ui(SchemeFlavor::Light));
+    assert_eq!(geometry.height_for(1), 48.0, "14.3 单行 48");
+    assert_eq!(geometry.height_for(2), 68.0, "14.3 双行 68");
+    assert_eq!(geometry.radius, 4.0, "14.1 圆角 4（CornerExtraSmall）");
+    assert_eq!(geometry.max_width, 600.0, "SnackbarKt.ContainerMaxWidth");
+    assert_eq!(geometry.min_width, 344.0, "G17-d [估] 最小宽");
+    assert!(geometry.min_width < geometry.max_width, "上下限必须有区间");
+    assert_eq!(geometry.margin, 12.0, "G17-c [规格] 外边距 12");
+    assert_eq!(geometry.pad_h, 16.0, "A1 HorizontalSpacing");
+    assert_eq!(geometry.pad_v, 6.0, "A1 SnackbarVerticalPadding");
+}
+
+// ---- §7 Dialog --------------------------------------------------------------
+
+/// 7.4：官方区间 **280..560**，本项目取 **480**，且 480 落在区间内。
+#[test]
+fn dialog_geometry_sits_inside_the_official_bounds() {
+    let geometry = DialogGeometry::of(&ui(SchemeFlavor::Light));
+    assert_eq!(geometry.min_width, 280.0, "A1 DialogMinWidth");
+    assert_eq!(geometry.max_width, 560.0, "A1 DialogMaxWidth");
+    assert_eq!(geometry.width, 480.0, "G17-e 本项目取值");
+    assert!(
+        geometry.min_width <= geometry.width && geometry.width <= geometry.max_width,
+        "自选宽必须落在官方区间内"
+    );
+}
+
+/// 复审 P2-2：`max(280)` 那条支以前一次都没被执行过（只有定义 + 一个调用点）。
+///
+/// 抓得住：有人把下限去掉（200 → 200）、或把 `min/max` 顺序写反（200 → 480 之外的值）。
+/// 抓不住：渲染时是否真的画了 280（那需要真窗口；gallery 的 360 那格由 probe 的逐卡宽度兜）。
+#[test]
+fn dialog_width_respects_the_official_minimum() {
+    let geometry = DialogGeometry::of(&ui(SchemeFlavor::Light));
+    assert_eq!(
+        geometry.effective_width(200.0),
+        280.0,
+        "可用宽 200 → 仍画官方下限 280"
+    );
+    assert_eq!(geometry.effective_width(360.0), 360.0, "窄宿主取可用宽");
+    assert_eq!(
+        geometry.effective_width(800.0),
+        480.0,
+        "宽宿主夹到项目值 480"
+    );
+}
+
+/// 7.1 / 7.3 / 7.6：圆角 28、内距 24 / 16 / 24、动作 8 / 12。
+#[test]
+fn dialog_padding_and_action_gaps_are_the_tokens() {
+    let geometry = DialogGeometry::of(&ui(SchemeFlavor::Light));
+    assert_eq!(geometry.radius, 28.0, "7.1 CornerExtraLarge");
+    assert_eq!(geometry.padding, 24.0, "7.3 DialogPadding");
+    assert_eq!(geometry.title_gap, 16.0, "7.3 TitlePadding bottom");
+    assert_eq!(geometry.body_gap, 24.0, "7.3 TextPadding bottom");
+    assert_eq!(geometry.action_gap, 8.0, "7.6 ButtonsMainAxisSpacing");
+    assert_eq!(geometry.action_cross, 12.0, "7.6 ButtonsCrossAxisSpacing");
+}
+
+/// 7.7 + D27：scrim = 黑@0.32 叠在 canvas 上之后的**不透明**实色。
+#[test]
+fn scrim_is_scrimalpha_precomposited_onto_the_canvas() {
+    for flavor in [SchemeFlavor::Light, SchemeFlavor::Dark] {
+        let ui = ui(flavor);
+        let scheme = Scheme::baseline(flavor);
+        let canvas = scheme.get(MaterialLayer::Canvas.surface_role());
+        let expected = to_iced(scheme.scrim().over(canvas));
+        assert_eq!(
+            scrim(&ui),
+            expected,
+            "{flavor:?}：scrim 必须逐位等于「黑@0.32 叠 canvas」"
+        );
+        assert_eq!(
+            scrim(&ui).a,
+            1.0,
+            "D27：CPU 档不出现半透明（预合成后必须不透明）"
+        );
+        assert_ne!(
+            scrim(&ui),
+            ui.layer(MaterialLayer::Canvas),
+            "遮罩必须与画布有可见差异"
+        );
+        assert!((SCRIM_ALPHA - 0.32).abs() < f32::EPSILON, "令牌口径 α=0.32");
+    }
+}
+
+// ---- §15 空态（项目自定） ----------------------------------------------------
+
+/// 15.1：图标块 96 / 圆角 16 / 图标 32（**全部 `[估]`**，官方没有这个组件）。
+#[test]
+fn empty_state_geometry_is_the_project_defined_set() {
+    let geometry = EmptyStateGeometry::of(&ui(SchemeFlavor::Light));
+    assert_eq!(geometry.block, 96.0);
+    assert_eq!(geometry.block_radius, 16.0, "ShapeScale::Large");
+    // 复审 C：登记值 32（`IconSize::Empty`）。这条守「登记值 = 交给 `view_at` 的 px」——
+    // 它抓不住「盒子 32 而 svg 仍钉 24」那种情况（那是渲染层的事，probe 量墨迹 22..34 兜）。
+    assert_eq!(
+        geometry.icon, 32.0,
+        "盒内图标 32（`view_at` 按 32 烘焙 stroke）"
+    );
+    // **复审 P2-1 的回归断言**：三个间距必须精确等于令牌档位。
+    // 早先这里只写 `> 0.0`，所以「Column::spacing(8) 与显式 gap(16/24) 双算成 32/40」
+    // 完全藏得住（渲染实测 264 vs 登记 232）。
+    assert_eq!(geometry.gap_title, 16.0, "块↔标题 = Space::X4");
+    assert_eq!(geometry.gap_body, 8.0, "标题↔副文案 = Space::X2");
+    assert_eq!(geometry.gap_action, 24.0, "副文案↔CTA = Space::X6");
+    assert_eq!(geometry.block, 96.0);
+    assert_eq!(
+        super::empty_state::BLOCK_LAYER,
+        MaterialLayer::Overlay,
+        "块底色是 SurfaceContainerHigh（材质层 Overlay）"
+    );
+}
+
+// ---- 结构 / 角色 ------------------------------------------------------------
+
+/// 五个入口都能在**任意**消息类型下构建（契约 §2：不 import `app::Message`）。
+#[test]
+fn every_component_builds_for_a_foreign_message_type() {
+    #[derive(Clone, Debug, PartialEq)]
+    enum Other {
+        Yes,
+        No,
+    }
+
+    let ui = ui(SchemeFlavor::Light);
+    let _: Element<'_, Other> = linear(&ui, Progress::determinate(0.5));
+    let _: Element<'_, Other> = circular(&ui, Progress::indeterminate(0.3));
+    let _: Element<'_, Other> = snackbar(
+        &ui,
+        Snackbar::new("已保存")
+            .placement(Placement::Top)
+            .two_lines()
+            .action("撤销", Other::No)
+            .dismiss(Other::No),
+    );
+    let _: Element<'_, Other> = dialog(
+        &ui,
+        Dialog::new("确认删除？", "此操作不可撤销。")
+            .double(("取消", Other::No), ("删除", Other::Yes)),
+    );
+    let _: Element<'_, Other> = empty_state(
+        &ui,
+        EmptyState::new(
+            unlucky_design::icons::IconKind::Instances,
+            "还没有实例",
+            "建一个开始游戏",
+        )
+        .action("新建", Other::Yes),
+    );
+    // 无动作的三种形态也要能构建（DialogActions::None / 无 action 的 Snackbar）
+    let _: Element<'_, Other> = dialog(&ui, Dialog::new("已是最新版本", "没有可用更新。"));
+    let _: Element<'_, Other> = snackbar(&ui, Snackbar::new("已复制"));
+    let _: Element<'_, Other> = empty_state(
+        &ui,
+        EmptyState::new(
+            unlucky_design::icons::IconKind::Logs,
+            "没有日志",
+            "启动一次游戏后这里会有内容",
+        ),
+    );
+}
+
+/// 状态层必须来自 `interaction`（不是组件里自己乘 α）：hover 层不透明且与容器色不同。
+#[test]
+fn snackbar_state_layers_come_from_the_interaction_module() {
+    let ui = ui(SchemeFlavor::Light);
+    let hover = interaction::overlay_color(
+        &ui,
+        Interaction::Hovered,
+        Role::InversePrimary,
+        Role::InverseSurface,
+    )
+    .expect("hover 有状态层");
+    assert_eq!(hover.a, 1.0, "状态层必须是实色（CPU/GPU 一致）");
+    assert_ne!(
+        hover,
+        ui.color(Role::InverseSurface),
+        "叠了 8% 必须看得出来"
+    );
+
+    // 禁用内容走 token 口径（38%），不是「变灰一点」
+    let disabled = interaction::disabled_content_over_role(&ui, Role::OnSurface, false);
+    assert_ne!(disabled, ui.color(Role::OnSurface));
+    assert_eq!(disabled.a, 1.0);
+}

crates/app-iced/src/components/feedback/tests/progress.rs

@@ -0,0 +1,281 @@
+//! 进度两式的纯函数断言（`tests` 的子模块，从 `tests.rs` 拆出来控行数）。
+//!
+//! 三条回归都住在这里：
+//! - [`raw_segments_are_unordered_and_layout_sorts_them`]：`phase_segments` 的原始输出**不有序**
+//!   （视觉 r1 P1-A 就是把两段按顺序铺 `FillPortion`，图上被压成一段）；
+//! - [`portion_shares_always_sum_to_the_full_track`]：份额之和恒为 1000（旧实现 34/100 相位 >1）；
+//! - [`circular_indeterminate_rotation_is_four_turns_and_continuous`]：每周期 4 圈、跨周期不跳变
+//!   （代码 r1 P1-B：旧实现只有 1 圈，且末尾倒跳 270°）。
+
+use unlucky_design::color::SchemeFlavor;
+use unlucky_design::shape::ShapeScale;
+
+use super::super::geometry::{phase_segments, CircularGeometry, LinearGeometry, PHASE_055};
+use super::super::keyframes::{KeyPoint, Keyframes};
+use super::super::progress::{layout_spans, portion_shares, Amount, Progress};
+use super::ui;
+
+// ---- §12 进度 ---------------------------------------------------------------
+
+/// 12.1：线性厚度 **4**、圆角 full ⇒ 2（`ShapeScale::Full.radius_px(4)`）。
+#[test]
+fn linear_thickness_and_radius_come_from_the_tokens() {
+    let geometry = LinearGeometry::of(&ui(SchemeFlavor::Light));
+    assert_eq!(geometry.thickness, 4.0, "12.1 线性厚度 = 4（A1 Height）");
+    assert_eq!(
+        geometry.radius,
+        ShapeScale::Full.radius_px(4.0),
+        "12.1 圆角 full = 厚的一半"
+    );
+    assert_eq!(geometry.radius, 2.0);
+    assert_eq!(
+        geometry.cycle_ms, 1750,
+        "不定态周期 = LinearAnimationDuration"
+    );
+}
+
+/// 12.3：环形 **40 / 4**，环中线半径 (40 − 4) / 2 = **18**。
+#[test]
+fn circular_geometry_matches_the_tokens() {
+    let geometry = CircularGeometry::of(&ui(SchemeFlavor::Dark));
+    assert_eq!(
+        geometry.diameter, 40.0,
+        "A1 CircularProgressIndicatorTokens.Size"
+    );
+    assert_eq!(geometry.thickness, 4.0, "A1 ActiveThickness");
+    assert_eq!(geometry.radius, 20.0, "圆角 full = 直径的一半");
+    assert_eq!(geometry.arc_radius(), 18.0);
+    assert_eq!(
+        geometry.cycle_ms, 6000,
+        "A1 CircularAnimationProgressDuration"
+    );
+}
+
+/// 12.4：不定态两段**逐段非负**——这条只证「单段自身合法」，**不证两段的先后**
+/// （视觉 r1 P1-A 就是从这里漏过去的：函数名曾经叫 `..._stay_ordered`，其实没验排序）。
+#[test]
+fn indeterminate_segments_are_each_well_formed() {
+    let mut travelled = false;
+    let mut previous_end = 0.0;
+    for step in 0..=200 {
+        let phase = step as f32 / 200.0;
+        for (start, end) in phase_segments(phase) {
+            assert!(
+                start <= end + f32::EPSILON,
+                "相位 {phase:.3}：段起点 {start} 大于终点 {end}（前缘/后缘写反就会这样）"
+            );
+            assert!(
+                (0.0..=1.0).contains(&start) && (0.0..=1.0).contains(&end),
+                "相位 {phase:.3}：段越出轨道 {start}..{end}"
+            );
+        }
+        let first = phase_segments(phase)[0].1;
+        if phase > 0.0 && phase < 0.5 && first > previous_end {
+            travelled = true;
+        }
+        previous_end = first;
+    }
+    assert!(travelled, "段前沿必须随相位右移（否则就是一根不动的条）");
+    assert_eq!(phase_segments(0.0), [(0.0, 0.0), (0.0, 0.0)]);
+    let (_, head) = phase_segments(1000.0 / 1750.0)[0];
+    assert!((head - 1.0).abs() < 1.0e-5, "第一线前沿应在 1000ms 到 1.0");
+}
+
+/// **复审 P1-A 的回归测试**：`phase_segments` 的原始输出**不有序**（第一线的前缘在右、第二线在左），
+/// 所以铺布局前必须排序 + 合并；排序后的两段位置要与 A1 keyframes 对得上。
+#[test]
+fn raw_segments_are_unordered_and_layout_sorts_them() {
+    // 原始顺序：第一线（右，0.355..0.87）在前，第二线（左，0.003..0.079）在后
+    let raw = phase_segments(0.55);
+    assert!(
+        raw[0].0 > raw[1].0,
+        "phase 0.55 的原始两段应当是「右段在前、左段在后」，实际 {raw:?}"
+    );
+
+    let laid = layout_spans(&raw);
+    // 期望：间隙 / 左段 / 间隙 / 右段 / 间隙（5 项，总长 1.0）
+    assert_eq!(laid.len(), 5, "两段应摊成 5 项：{laid:?}");
+    assert!(!laid[0].0 && laid[1].0 && !laid[2].0 && laid[3].0 && !laid[4].0);
+    let left = laid[1].1;
+    let right = laid[3].1;
+    let left_start: f32 = laid[0].1;
+    let right_start: f32 = laid[0].1 + left + laid[2].1;
+    // 期望值来自 `geometry::PHASE_055`——与渲染层探针**共用**（复审 B：早先两边差 0.011）
+    let [(a0, a1), (b0, b1)] = PHASE_055;
+    assert!(
+        (left_start - a0).abs() < 0.01,
+        "左段起点 {left_start} vs {a0}"
+    );
+    assert!(
+        (left - (a1 - a0)).abs() < 0.01,
+        "左段宽 {left} vs {}",
+        a1 - a0
+    );
+    assert!(
+        (right_start - b0).abs() < 0.01,
+        "右段起点 {right_start} vs {b0}"
+    );
+    assert!(
+        (right - (b1 - b0)).abs() < 0.01,
+        "右段宽 {right} vs {}",
+        b1 - b0
+    );
+
+    let total: f32 = laid.iter().map(|(_, fraction)| fraction).sum();
+    assert!(
+        (total - 1.0).abs() < 1.0e-5,
+        "铺开的占比之和必须 = 1.0，实测 {total}"
+    );
+}
+
+/// 任意相位下 `FillPortion` 份额之和**恒为 1000**（iced 按总和归一 ⇒ 不等于 1000 就会压扁）。
+///
+/// 复审 P1-A 的实测反例：旧实现 **34/100 个相位**总和 >1（最大 1.99）。
+#[test]
+fn portion_shares_always_sum_to_the_full_track() {
+    for step in 0..=200 {
+        let phase = step as f32 / 200.0;
+        let items = layout_spans(&phase_segments(phase));
+        let shares = portion_shares(&items);
+        let total: u32 = shares.iter().map(|(_, share)| u32::from(*share)).sum();
+        assert_eq!(total, 1000, "相位 {phase:.3} 的份额之和是 {total}");
+        assert!(
+            shares.iter().filter(|(is_bar, _)| *is_bar).count() <= 2,
+            "最多两段指示条，相位 {phase:.3}"
+        );
+        // 指示条之间必须留间隙（除非两段相接，那时会被合并成一段）
+        let mut previous_bar = false;
+        for (is_bar, share) in &shares {
+            if *is_bar && previous_bar && *share > 0 {
+                panic!("相位 {phase:.3}：两段指示条相邻但没合并");
+            }
+            previous_bar = *is_bar;
+        }
+    }
+}
+
+/// 环形不定态：弧长在 0.1..0.87 之间（A1 min/max），旋转走满一圈。
+#[test]
+fn circular_indeterminate_sweeps_the_official_range() {
+    let geometry = CircularGeometry::of(&ui(SchemeFlavor::Light));
+    let mut min = f32::MAX;
+    let mut max = f32::MIN;
+    let mut rotation = f32::MIN;
+    for step in 0..=600 {
+        let (sweep, spin) = geometry.indeterminate(step as f32 / 600.0);
+        min = min.min(sweep);
+        max = max.max(sweep);
+        rotation = rotation.max(spin);
+    }
+    assert!(
+        (min - 0.1).abs() < 1.0e-3,
+        "弧长下限 0.1（CircularIndeterminateMinProgress），实测 {min}"
+    );
+    assert!((max - 0.87).abs() < 1.0e-3, "弧长上限 0.87，实测 {max}");
+    // P1-B：每周期 4 圈（1080° 全局 + 360° 关键帧），不是 1 圈
+    assert!(
+        (rotation - 4.0).abs() < 0.01,
+        "旋转应走满 4 圈，实测 {rotation}"
+    );
+}
+
+/// **复审 P1-B 的回归测试**：环形不定态每周期 4 圈（官方 1440°），且跨周期**不跳变**。
+///
+/// 修之前：`ROTATION` 首点在 300ms/90°，且没有全局旋转 ⇒
+/// `turns(0.9999) = 1.0`、`turns(0.0) = 0.25`，跨周期差 0.75 圈 = **270° 瞬时倒跳**。
+#[test]
+fn circular_indeterminate_rotation_is_four_turns_and_continuous() {
+    let geometry = CircularGeometry::of(&ui(SchemeFlavor::Light));
+
+    // 每周期 4 圈 = 1440°（1080° 全局 + 360° 关键帧）
+    let start = geometry.indeterminate(0.0).1;
+    let end = geometry.indeterminate(1.0 - 1.0e-6).1;
+    assert!(
+        ((end - start) - 4.0).abs() < 1.0e-3,
+        "每周期应为 4 圈（1440°），实测 {} 圈",
+        end - start
+    );
+
+    // 跨周期连续性：按「圈」取最短距离，必须 ≤ 一帧的位移（60fps ⇒ 4/60 ≈ 0.067 圈）
+    let before = geometry.indeterminate(1.0 - 1.0e-4).1;
+    let after = geometry.indeterminate(0.0).1;
+    let mut jump = (before - after).rem_euclid(1.0);
+    if jump > 0.5 {
+        jump = 1.0 - jump;
+    }
+    assert!(
+        jump <= 4.0 / 60.0,
+        "跨周期旋转跳变 {jump} 圈（应 ≤ 4/60；修之前是 0.75 圈 = 270°）"
+    );
+    // 给报告用的一行实测数值（`--nocapture` 可见）：跨周期跳变 + 每周期圈数
+    eprintln!(
+        "[rotation] turns(0.9999)={before:.6} turns(0.0)={after:.6} 跳变={jump:.6} 圈（{:.2}°）·          每周期 {:.4} 圈 = {:.1}°",
+        jump * 360.0,
+        end - start,
+        (end - start) * 360.0
+    );
+
+    // 旋转必须单调（相位 0 → 1 逐帧不回退，按圈算）
+    // 只扫 [0, 1) 的相位：phase == 1.0 就是下一周期的 0，回绕是**正常的**（mod 1 等价）。
+    let mut previous = geometry.indeterminate(0.0).1;
+    for step in 1..600 {
+        let phase = step as f32 / 600.0;
+        let current = geometry.indeterminate(phase).1;
+        assert!(
+            current >= previous - 1.0e-6,
+            "相位 {phase:.3}：旋转从 {previous} 回退到 {current}"
+        );
+        previous = current;
+    }
+}
+
+/// 确定态：越界值夹到 0..1（0% 只画轨道，100% 画满）。
+#[test]
+fn determinate_values_are_clamped() {
+    assert_eq!(
+        Progress::determinate(1.5).amount(),
+        Amount::Determinate(1.0)
+    );
+    assert_eq!(
+        Progress::determinate(-2.0).amount(),
+        Amount::Determinate(0.0)
+    );
+    assert_eq!(Progress::determinate(0.5).spans(), vec![(0.0, 0.5)]);
+    assert_eq!(Progress::determinate(0.0).spans(), vec![(0.0, 0.0)]);
+}
+
+/// keyframes 求值器：端点保持、相位循环、越界相位按周期取模。
+#[test]
+fn keyframes_hold_ends_and_wrap() {
+    const LINE: Keyframes = Keyframes {
+        cycle_ms: 1000,
+        points: &[
+            KeyPoint {
+                ms: 250,
+                value: 0.0,
+                easing: unlucky_design::motion::Easing::Linear,
+            },
+            KeyPoint {
+                ms: 750,
+                value: 1.0,
+                easing: unlucky_design::motion::Easing::Linear,
+            },
+        ],
+    };
+    assert_eq!(LINE.sample(0.0), 0.0, "第一点之前保持首值");
+    assert_eq!(LINE.sample(0.25), 0.0, "正好在第一点");
+    assert!((LINE.sample(0.5) - 0.5).abs() < 1.0e-5, "中点线性插值");
+    assert_eq!(LINE.sample(0.75), 1.0);
+    assert_eq!(LINE.sample(0.9), 1.0, "最后一点之后保持末值");
+    assert_eq!(LINE.sample(1.25), 0.0, "相位 1.25 = 0.25（循环）");
+    assert_eq!(
+        LINE.sample(-0.75),
+        0.0,
+        "负相位按周期折返：-0.75 → 0.25 相位 = 250ms = 首点"
+    );
+    assert!(
+        (LINE.sample(-0.6) - 0.3).abs() < 1.0e-5,
+        "-0.6 → 0.4 相位 = 400ms = 30%"
+    );
+    assert_eq!(LINE.sample(f32::NAN), 0.0, "NaN 不 panic，给首值");
+}

crates/app-iced/src/components/gallery/buttons.rs

@@ -0,0 +1,173 @@
+//! 按钮家族的状态矩阵（D30：浅/深 × 五态）。
+//!
+//! ## 矩阵形状
+//!
+//! ```text
+//!                        | enabled | hovered | pressed | focused | disabled |
+//!   filled               |  [btn]  |  [btn]  |  [btn]  |  [btn]  |  [btn]   |
+//!   tonal                |   ...   （下同）
+//!   elevated             |
+//!   outlined             |
+//!   text                 |
+//!   icon·standard        |  [ico]  |   ...
+//!   icon·filled          |
+//!   icon·tonal           |
+//! ```
+//!
+//! 40 个单元格共 5 列 × 8 行，一屏（1180×760）装不下，靠 `gallery/mod.rs` 的 scrollable 滚动；
+//! 截图取的是**整窗**，所以首屏能看到按钮家族的全部 5 行（图标行可能需要滚动，报告里会说明）。
+//!
+//! ## 为什么每格都强制状态
+//!
+//! iced 的 `button::Status` 只由**真实鼠标**驱动，截图时没法让 40 个按钮同时 hover。
+//! 组件层的 `Button::state(...)` 就是为这件事开的取证开关（`--force-state` 只能给整屏一种态）。
+//! 强制值**只影响画什么**，不动任何状态机——所以矩阵图里的五态与运行期五态逐像素同源。
+
+use iced::widget::{column, row};
+use iced::{Element, Length};
+
+use unlucky_design::color::Role;
+use unlucky_design::icons::IconKind;
+use unlucky_design::spacing::Space;
+use unlucky_design::typography::TypeRole;
+
+use crate::theme::Ui;
+
+use super::super::buttons::{self, Button, IconVariant, Variant};
+use super::super::interaction::Interaction;
+use super::{cell_width, heading, row_label, state_cells, DemoMessage};
+
+/// 按钮家族整段（标题 + 列头 + 5 行文字按钮 + 3 行图标按钮 + 一条图例说明）。
+pub(super) fn section<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let legend = ui.style(TypeRole::BodySmall);
+
+    let mut rows = column![header_row(ui)].spacing(ui.space(Space::X2));
+
+    for variant in Variant::ALL {
+        let cells = Interaction::ALL
+            .iter()
+            .map(|state| cell(ui, text_button(ui, variant, *state)))
+            .collect::<Vec<_>>();
+
+        rows = rows.push(
+            row![
+                row_label(ui, variant.name()),
+                row(cells).spacing(ui.space(Space::X2))
+            ]
+            .spacing(ui.space(Space::X2)),
+        );
+    }
+
+    for variant in IconVariant::ALL {
+        let cells = Interaction::ALL
+            .iter()
+            .map(|state| cell(ui, icon_button(ui, variant, *state)))
+            .collect::<Vec<_>>();
+
+        rows = rows.push(
+            row![
+                row_label(ui, variant.name()),
+                row(cells).spacing(ui.space(Space::X2))
+            ]
+            .spacing(ui.space(Space::X2)),
+        );
+    }
+
+    column![
+        heading(
+            ui,
+            "buttons · filled / tonal / elevated / outlined / text + icon",
+            "12b §1/§2：高 40 · 圆角 full(20) · 内边距 24（带图标 16/24）· 图标 18 间距 8 · \
+             hover 8% / focus 10% / pressed 10% / disabled 容器 10% 内容 38%"
+        ),
+        rows,
+        iced::widget::text(
+            "图例：列 = 五态（focus 与 pressed 同 α 10%，看起来一样是规范要求）；\
+             行 = 变体。虚线不表示任何东西，只是矩阵栅格。"
+        )
+        .size(legend.size_px)
+        .font(ui.font_of(legend))
+        .color(ui.color(Role::OnSurfaceVariant)),
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// 列头（五态名）。
+fn header_row<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let style = ui.style(TypeRole::LabelSmall);
+    let mut head = row![row_label(ui, "")].spacing(ui.space(Space::X2));
+
+    for (name, width) in state_cells(ui) {
+        head = head.push(
+            iced::widget::container(
+                iced::widget::text(name)
+                    .size(style.size_px)
+                    .font(ui.font_of(style))
+                    .color(ui.color(Role::OnSurfaceVariant)),
+            )
+            .width(Length::Fixed(width)),
+        );
+    }
+
+    head.into()
+}
+
+/// 一个矩阵单元格（固定宽，内容左对齐；高度只由按钮自己决定）。
+fn cell<'a>(ui: &'a Ui, content: Element<'a, DemoMessage>) -> Element<'a, DemoMessage> {
+    iced::widget::container(content)
+        .width(Length::Fixed(cell_width(ui)))
+        .into()
+}
+
+/// 文字按钮的一格（强制成 `state`）。
+fn text_button<'a>(ui: &'a Ui, variant: Variant, state: Interaction) -> Element<'a, DemoMessage> {
+    // 标签用变体名 + 首字母大写：图上要能一眼对上左栏，且不引入 i18n 依赖（gallery 不是产品页）
+    let label = match variant {
+        Variant::Filled => "Filled",
+        Variant::Tonal => "Tonal",
+        Variant::Elevated => "Elevated",
+        Variant::Outlined => "Outlined",
+        Variant::Text => "Text",
+    };
+
+    // 五态共用**同一套**装配，只有「有没有消息」随禁用变：
+    // 早先禁用格单独走 `Button::disabled(label)`，把前后图标一起丢了，于是 disabled 列看起来
+    // 像另一个组件（视觉 reviewer P2-3）。
+    let mut spec = if state.is_disabled() {
+        Button::disabled(label)
+    } else {
+        Button::new(label, DemoMessage::Pressed(label))
+    }
+    .state(state);
+    if variant != Variant::Text {
+        // 两个样例都必须是**描边**字形：`Play` 是填充字形，和 `ChevronRight` 混在一颗按钮里
+        // 会显得线宽不一致（视觉 reviewer P2-3）。主操作允许实心，但只能单独出现。
+        spec = spec
+            .leading(IconKind::Download)
+            .trailing(IconKind::ChevronRight);
+    }
+
+    match variant {
+        Variant::Filled => buttons::filled(ui, spec),
+        Variant::Tonal => buttons::tonal(ui, spec),
+        Variant::Elevated => buttons::elevated(ui, spec),
+        Variant::Outlined => buttons::outlined(ui, spec),
+        Variant::Text => buttons::text(ui, spec),
+    }
+}
+
+/// 图标按钮的一格（强制成 `state`）。
+fn icon_button<'a>(
+    ui: &'a Ui,
+    variant: IconVariant,
+    state: Interaction,
+) -> Element<'a, DemoMessage> {
+    let press = if state.is_disabled() {
+        None
+    } else {
+        Some(DemoMessage::Pressed(variant.name()))
+    };
+
+    buttons::icon(ui, variant, IconKind::Settings, press, Some(state))
+}

crates/app-iced/src/components/gallery/feedback.rs

@@ -0,0 +1,365 @@
+//! gallery 里的反馈类小节：把状态矩阵摆进 harness（**断言不在这里**，在
+//! [`crate::app::components::feedback::probe`]）。
+//!
+//! ## 段落切分：`ULL_FEEDBACK_PART`（本文件自己的开关）
+//!
+//! `ULL_GALLERY_SECTION=feedback` 只能把**整个家族**拎出来，而四件的高度超过 1180×760 首屏，
+//! 所以再加一层**家族内**切分（契约 §9.2 的口径：环境变量 + 默认向后兼容 + 未识别的值回落
+//! 默认并打 stderr；区别只是它住在**本家族自己的文件**里，不动 `gallery/mod.rs`）：
+//!
+//! ```text
+//! ULL_FEEDBACK_PART=all       # 默认：四件全渲染（progress → snackbar → empty → dialog）
+//! ULL_FEEDBACK_PART=progress  # Linear 0/50/100 + 三相位 · Circular 0/25/50/75/100 + 不定态
+//! ULL_FEEDBACK_PART=snackbar  # 四格：贴顶·上限宽 / 双行 / 宿主 300 / 宿主 344
+//! ULL_FEEDBACK_PART=dialog    # 两形态并排 + 双动作 + 一屏 scrim
+//! ULL_FEEDBACK_PART=empty     # 空态（带 CTA）
+//! ```
+//!
+//! ## 宿主尺寸为什么写死
+//!
+//! 量宽度必须有确定的宿主宽：`Snackbar` 的 600 是「宿主给 800 时的夹取值」、344 与 300 是
+//! 「宿主给多少就是多少」的反证（组件没有 min-width，G17-d）。`Linear` 轨道统一 320（一行 3 格 = 960 < 1128）。
+//!
+//! 复现（worktree 根目录）：
+//!
+//! ```text
+//! ULL_GALLERY_SECTION=feedback ULL_FEEDBACK_PART=progress ./target/debug/unlucky-launcher-iced \
+//!   --software-renderer --screen=gallery \
+//!   --screenshot target/m78/progress-light.png --screenshot-theme=light
+//! ULL_GALLERY_SHOT=target/m78/progress-light.png cargo test -p app-iced feedback::probe
+//! ```
+
+use iced::widget::{column, container, row, text};
+use iced::{Element, Length};
+
+use unlucky_design::color::Role;
+use unlucky_design::icons::IconKind;
+use unlucky_design::spacing::Space;
+use unlucky_design::typography::TypeRole;
+
+use crate::theme::Ui;
+
+use super::super::feedback::gallery_parts::{Part, DIALOG, EMPTY, PROGRESS, SNACKBAR};
+use super::super::feedback::{self, Dialog, EmptyState, Placement, Progress, Snackbar};
+use super::super::interaction::Interaction;
+use super::{heading, DemoMessage};
+
+/// 线性进度的宿主宽（格宽，不是组件尺寸）。
+const TRACK_HOST: f32 = 320.0;
+/// `Snackbar` 的宿主宽：**条宽 + 2×12 外边距**（12 是官方外边距，组件的定位层会扣掉）。
+///
+/// 800（条夹到上限 600）/ 368（条 344）/ 324（条 300，用来证明**没有**下限，G17-d）。
+const HOST_WIDE: f32 = 800.0;
+const HOST_MIN: f32 = 368.0;
+const HOST_NARROW: f32 = 324.0;
+/// `Snackbar` 宿主高（比 68 + 2×12 略高，留出贴顶/贴底的判定余量）。
+const HOST_TALL: f32 = 96.0;
+/// 窄宿主：给 `Dialog::width` 递 360，量「窄宿主不再被裁」的那一格（复审 E）。
+const NARROW_HOST: f32 = 360.0;
+
+/// 单行提示条的宿主高。
+///
+/// **96 而不是 72**（复审 D）：72 = 48 + 2×12 时上下外边距相等，像素上分不出「贴底」还是
+/// 「居中」；96 让贴底那格的上留白 = 36、下留白 = 12，探针能量到「条底距宿主底 = 12」。
+const HOST_SHORT: f32 = 96.0;
+/// 空态宿主高：内容本征高 ≈96+16+32+8+16+24+40 ≈ 232，留出上下各 40 的余量。
+const HOST_EMPTY: f32 = 320.0;
+
+/// 反馈类家族的小节。
+pub(super) fn section<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let part = Part::from_env();
+    part.log_once();
+
+    let mut body = column![heading(
+        ui,
+        "feedback · progress / snackbar / dialog / empty state",
+        "12b §7/§12/§14/§15：Linear 厚 4 圆角 full · Circular 40/4 · Snackbar 48/68 上限宽 600 · \
+         Dialog R28 pad24 宽 480 · EmptyState 项目自定[估]（官方无此组件）"
+    )]
+    .spacing(ui.space(Space::X3));
+
+    if part.has(PROGRESS) {
+        body = body.push(progress_block(ui));
+    }
+    if part.has(SNACKBAR) {
+        body = body.push(snackbar_block(ui));
+    }
+    if part.has(EMPTY) {
+        body = body.push(empty_block(ui));
+    }
+    if part.has(DIALOG) {
+        // 只有这一屏不画进度/提示条时，才把三形态与 scrim 都摆开（高度够）。
+        let roomy = !part.has(PROGRESS) && !part.has(SNACKBAR);
+        body = body.push(dialog_block(ui, roomy));
+    }
+
+    body.into()
+}
+
+/// 一行判据说明（`LabelSmall`，与矩阵的正文档分开）。
+fn caption<'a>(ui: &'a Ui, value: &'a str) -> Element<'a, DemoMessage> {
+    let style = ui.style(TypeRole::LabelSmall);
+    text(value)
+        .size(style.size_px)
+        .font(ui.font_of(style))
+        .color(ui.color(Role::OnSurfaceVariant))
+        .into()
+}
+
+/// 带 1px 取景框的宿主：`Snackbar` 的贴底/贴顶需要一条**可见的宿主边界**才量得出来
+/// （描边画在盒内但**不参与布局**：内容区仍是整盒宽，实测条宽不受影响）。
+/// （透明宿主的底边在图上不存在，`Placement::Bottom` 就不可证）。
+fn framed_host<'a>(
+    ui: &'a Ui,
+    width: f32,
+    height: f32,
+    content: impl Into<Element<'a, DemoMessage>>,
+) -> Element<'a, DemoMessage> {
+    let line = ui.color(Role::OutlineVariant);
+    container(content)
+        .width(Length::Fixed(width))
+        .height(Length::Fixed(height))
+        .style(move |_theme| container::Style {
+            border: iced::Border {
+                color: line,
+                width: crate::theme::STROKE_PX,
+                radius: iced::border::Radius::default(),
+            },
+            ..container::Style::default()
+        })
+        .into()
+}
+
+/// 固定宽宿主（量宽度用：宿主宽写死，组件内部的占比/夹取才有确定值）。
+fn host<'a>(
+    width: f32,
+    height: Option<f32>,
+    content: impl Into<Element<'a, DemoMessage>>,
+) -> Element<'a, DemoMessage> {
+    let mut box_ = container(content).width(Length::Fixed(width));
+    if let Some(height) = height {
+        box_ = box_.height(Length::Fixed(height));
+    }
+    box_.into()
+}
+
+/// 一列：[进度条, 说明]。
+fn track<'a>(ui: &'a Ui, label: &'a str, progress: Progress) -> Element<'a, DemoMessage> {
+    column![
+        host(TRACK_HOST, None, feedback::linear(ui, progress)),
+        caption(ui, label)
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// 一列：[环, 说明]。
+fn ring<'a>(ui: &'a Ui, label: &'a str, progress: Progress) -> Element<'a, DemoMessage> {
+    column![feedback::circular(ui, progress), caption(ui, label)]
+        .spacing(ui.space(Space::X2))
+        .into()
+}
+
+/// §12：Linear 0/50/100 + 四个相位；Circular 0/25/50/75/100 + 三个相位。
+fn progress_block<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let determinate = row![
+        track(ui, "0%", Progress::determinate(0.0)),
+        track(ui, "50%", Progress::determinate(0.5)),
+        track(ui, "100%", Progress::determinate(1.0)),
+    ]
+    .spacing(ui.space(Space::X3));
+
+    let indeterminate = row![
+        track(ui, "phase 0.15", Progress::indeterminate(0.15)),
+        track(ui, "phase 0.35", Progress::indeterminate(0.35)),
+        track(ui, "phase 0.55", Progress::indeterminate(0.55)),
+    ]
+    .spacing(ui.space(Space::X3));
+
+    let rings = row![
+        ring(ui, "0%", Progress::determinate(0.0)),
+        ring(ui, "25%", Progress::determinate(0.25)),
+        ring(ui, "50%", Progress::determinate(0.5)),
+        ring(ui, "75%", Progress::determinate(0.75)),
+        ring(ui, "100%", Progress::determinate(1.0)),
+        ring(ui, "ind 0.30", Progress::indeterminate(0.30)),
+    ]
+    .spacing(ui.space(Space::X4))
+    .align_y(iced::Alignment::Start);
+
+    column![
+        caption(
+            ui,
+            "Linear · determinate 0% / 50% / 100%（轨道 SecondaryContainer · 指示条 Primary）"
+        ),
+        determinate,
+        caption(
+            ui,
+            "Linear · indeterminate（官方 1750ms 双段追逐；下面是同一周期的三个相位）"
+        ),
+        indeterminate,
+        caption(
+            ui,
+            "Circular · 直径 40 · 线宽 4 · 弧长 = 数值 × 360°（第六格 = 不定态 phase 0.30）"
+        ),
+        rings,
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// 提示条的宿主：固定宽 + 提示条宿主高（比 68 + 2×12 略高，贴顶/贴底都量得到）。
+fn bar_host<'a>(
+    width: f32,
+    content: impl Into<Element<'a, DemoMessage>>,
+) -> Element<'a, DemoMessage> {
+    host(width, Some(HOST_TALL), content)
+}
+
+/// §14：四格 —— 贴顶·上限宽 / 双行 + action + 关闭 / 宿主 300 / 宿主 344。
+fn snackbar_block<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let press = |id| DemoMessage::Pressed(id);
+
+    let wide = bar_host(
+        HOST_WIDE,
+        feedback::snackbar(
+            ui,
+            Snackbar::new("版本清单已刷新")
+                .placement(Placement::Top)
+                .dismiss(press("snackbar/wide")),
+        ),
+    );
+    let two_lines = host(
+        HOST_WIDE,
+        Some(HOST_TALL * 2.0),
+        feedback::snackbar(
+            ui,
+            Snackbar::new(
+                "启动失败：找不到 Java 21。请在「设置 · Java」里指定运行时路径，或让启动器自动下载一个 21 的运行时。",
+            )
+                .two_lines()
+                .placement(Placement::Top)
+                .action("去设置", press("snackbar/settings"))
+                .dismiss(press("snackbar/close"))
+                .state(Interaction::Hovered),
+        ),
+    );
+    let mid = framed_host(
+        ui,
+        HOST_MIN,
+        HOST_SHORT,
+        feedback::snackbar(
+            ui,
+            Snackbar::new("已删除实例")
+                .placement(Placement::Bottom)
+                .action("撤销", press("snackbar/undo")),
+        ),
+    );
+    let narrow = framed_host(
+        ui,
+        HOST_NARROW,
+        HOST_SHORT,
+        feedback::snackbar(ui, Snackbar::new("宿主 324").placement(Placement::Bottom)),
+    );
+
+    column![
+        caption(
+            ui,
+            "Snackbar · 贴顶 + 上限宽（宿主 800 → 夹到 600）· 关闭键 InverseOnSurface"
+        ),
+        wide,
+        caption(
+            ui,
+            "Snackbar · 双行 68 + action InversePrimary + 关闭键（动作强制 hover 态）"
+        ),
+        two_lines,
+        caption(
+            ui,
+            "宿主 324（取景框）⇒ 条 300：组件没有 min-width，宿主给多少就是多少（G17-d）；贴底 = 条底距框底 12"
+        ),
+        narrow,
+        caption(ui, "宿主 368 ⇒ 条 344：最小宽的取值口径（[估]）"),
+        mid,
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// §15：空态（项目自定；浅/深两种主题各出一张图，主题来自 `--screenshot-theme`）。
+fn empty_block<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let press = |id| DemoMessage::Pressed(id);
+    host(
+        HOST_WIDE,
+        Some(HOST_EMPTY),
+        feedback::empty_state(
+            ui,
+            EmptyState::new(
+                IconKind::Instances,
+                "还没有任何实例",
+                "建一个实例，或者从整合包导入。[项目自定 · 估]",
+            )
+            .action("新建实例", press("empty/create")),
+        ),
+    )
+}
+
+/// §7：三形态（无动作 / 单动作 / 双动作）+ 一屏 scrim。
+///
+/// `full = true` 表示**这一屏只渲染 dialog 段**（`ULL_FEEDBACK_PART=dialog` 或 `=empty` 之类
+/// 单独出图）：此时多摆一屏 scrim，并把三形态都摆开；全家族同屏时留高度给别的段。
+fn dialog_block<'a>(ui: &'a Ui, full: bool) -> Element<'a, DemoMessage> {
+    let press = |id| DemoMessage::Pressed(id);
+
+    // 页面把自己的**可用宽**递给对话框（组件取 `min(可用宽, 480)`）——窄窗口时靠这一手，
+    // 组件自己无法从宿主推（iced 的 Length 没有 min-width，见 `Dialog::width` 的说明）。
+    let plain = feedback::dialog(
+        ui,
+        Dialog::new("已是最新版本", "当前没有可用更新。").width(HOST_WIDE),
+    );
+    let single = feedback::dialog(
+        ui,
+        Dialog::new("已导入整合包", "共 42 个模组，缺失 0 个。")
+            .confirm("知道了", press("dialog/ok")),
+    );
+    // 窄宿主那格：可用宽 360 ⇒ `min(480, 360) = 360`，且不得低于官方下限 280。
+    let narrow = feedback::dialog(
+        ui,
+        Dialog::new("窄宿主 360", "可用宽 360 时取 min(480, 360)。").width(NARROW_HOST),
+    );
+    // 强制 hover：动作件的状态层必须来自 `interaction`（不是组件里自己乘 8%）。
+    let double = feedback::dialog(
+        ui,
+        Dialog::new("删除实例「1.20.1 生存」？", "存档与模组会一起删除。")
+            .double(
+                ("取消", press("dialog/cancel")),
+                ("删除", press("dialog/delete")),
+            )
+            .state(Interaction::Hovered),
+    );
+
+    let mut body = column![caption(
+        ui,
+        "Dialog · R28 · SurfaceContainerHigh + L3（**本项目不画阴影，见 D-1**）· pad 24（标题下 16 / 正文下 24）· 动作 Primary 间距 8",
+    )]
+    .spacing(ui.space(Space::X2));
+
+    body = body.push(row![plain, single].spacing(ui.space(Space::X6)));
+    // 双动作 + 窄宿主并排：探针要同时量到 480 与 360 两种宽
+    body = body.push(row![double, narrow].spacing(ui.space(Space::X6)));
+    if full {
+        body = body.push(caption(
+            ui,
+            "Dialog · scrim = 黑@0.32 叠 canvas 的实色（D27 预合成；详见 dialog.rs 模块文档）",
+        ));
+        body = body.push(host(
+            HOST_WIDE,
+            Some(HOST_EMPTY),
+            feedback::scrimmed(
+                ui,
+                feedback::dialog(ui, Dialog::new("已是最新版本", "当前没有可用更新。")),
+            ),
+        ));
+    }
+
+    body.into()
+}

crates/app-iced/src/components/gallery/inputs.rs

@@ -0,0 +1,341 @@
+//! gallery 里的输入类小节（D30 的状态矩阵登记）：TextField / Search / Slider / Menu。
+//!
+//! ## 为什么分成四个 `part`
+//!
+//! 一整段（四组件 × 五态 × 两式）比 760 高的窗口还高，`--screen=gallery` 的截图只能看到顶部。
+//! 所以本文件把证据拆成四个自足的 `part`（[`text_field_part`] / [`search_part`] /
+//! [`slider_part`] / [`menu_part`]），[`section`] 按 D30 的顺序把它们竖排——
+//! 出图时用副本工程把 `section()` 换成单个 `part`（只调段序、不改组件代码，报告里有 diff 与说明）。
+//!
+//! ## 矩阵形状
+//!
+//! ```text
+//! TextField（两行 × 五态）            列 = enabled / hovered / pressed / focused / disabled
+//!   filled    | [字段] | ...
+//!   outlined  | [字段] | ...
+//!   另加三格：空 / 有值 / 错误（9.7 的判据要单独一眼）
+//!
+//! Search  （五行 + 一个展开面板）
+//! Slider  （五态一行 + 0% / 50% / 100% 三行 + 离散 4 段一行）
+//! Menu    （五态各一项的一只菜单 + 一只「展开态」菜单：选中 / 分隔线 / 禁用）
+//! ```
+//!
+//! ## 每个格子都强制状态
+//!
+//! 与按钮家族同一个理由：截图时没法让 20 个控件同时 hover。`state(..)` 只是取证开关，
+//! 不动任何状态机——图上的五态与运行期五态同源。
+
+use iced::widget::{column, container, row, text};
+use iced::{Element, Length};
+
+use unlucky_design::color::Role;
+use unlucky_design::icons::IconKind;
+use unlucky_design::spacing::Space;
+use unlucky_design::typography::TypeRole;
+
+use crate::theme::Ui;
+
+use super::super::inputs::{
+    self, Field, FieldVariant, Menu, MenuItem, SearchBar, SearchView, Slider,
+};
+use super::super::interaction::Interaction;
+use super::{cell_width, heading, row_label, state_cells, DemoMessage};
+
+/// 演示消息（组件只认泛型，gallery 的映射在这里落地）。
+fn pressed(id: &'static str) -> DemoMessage {
+    DemoMessage::Pressed(id)
+}
+
+/// 输入类家族整段（四个 part 竖排；见模块文档的「为什么分成四个 part」）。
+pub(super) fn section<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    column![
+        heading(
+            ui,
+            "inputs · text field / search / slider / menu",
+            "12b §9/§11/§8 + 15 §20：TextField 高 56（无标签 40）· Search 条 56 药丸 + 图标可视边 16 \
+             （= pad 12 + offset 4）· Slider 轨 16 + 竖条 4×44 · Menu 项 48 + L2 阴影"
+        ),
+        text_field_part(ui),
+        search_part(ui),
+        slider_part(ui),
+        menu_part(ui),
+    ]
+    .spacing(ui.space(Space::X8))
+    .into()
+}
+
+/// 一行小字（图例/说明）。
+fn note<'a>(ui: &'a Ui, value: &'a str) -> Element<'a, DemoMessage> {
+    let style = ui.style(TypeRole::BodySmall);
+    text(value)
+        .size(style.size_px)
+        .font(ui.font_of(style))
+        .color(ui.color(Role::OnSurfaceVariant))
+        .into()
+}
+
+/// 固定宽的矩阵格。
+fn cell<'a>(ui: &'a Ui, content: impl Into<Element<'a, DemoMessage>>) -> Element<'a, DemoMessage> {
+    container(content)
+        .width(Length::Fixed(cell_width(ui)))
+        .into()
+}
+
+/// 五态列头。
+fn state_header<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let style = ui.style(TypeRole::LabelSmall);
+    let mut head = row![row_label(ui, "")].spacing(ui.space(Space::X2));
+    for (name, width) in state_cells(ui) {
+        head = head.push(
+            container(
+                text(name)
+                    .size(style.size_px)
+                    .font(ui.font_of(style))
+                    .color(ui.color(Role::OnSurfaceVariant)),
+            )
+            .width(Length::Fixed(width)),
+        );
+    }
+    head.into()
+}
+
+/// 一行矩阵（左侧标签 + 五格）。
+fn state_row<'a>(
+    ui: &'a Ui,
+    label: &'a str,
+    cells: Vec<Element<'a, DemoMessage>>,
+) -> Element<'a, DemoMessage> {
+    row![
+        row_label(ui, label),
+        row(cells).spacing(ui.space(Space::X2))
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// TextField：两式 × 五态 + 空 / 有值 / 错误 三格。
+fn text_field_part<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let mut matrix = column![state_header(ui)].spacing(ui.space(Space::X2));
+
+    for variant in FieldVariant::ALL {
+        let cells = Interaction::ALL
+            .iter()
+            .map(|state| {
+                cell(
+                    ui,
+                    inputs::text_field(
+                        ui,
+                        Field::new("实例一")
+                            .variant(variant)
+                            .label("名称")
+                            .state(*state),
+                        |_| pressed("field"),
+                    ),
+                )
+            })
+            .collect::<Vec<_>>();
+        matrix = matrix.push(state_row(ui, variant.name(), cells));
+    }
+
+    // 三格用 **320** 宽（= 2 个矩阵格）：9.2 的最小宽 280 只在这里可验（矩阵格 160 更窄）
+    let wide = Length::Fixed(cell_width(ui) * 2.0);
+    let extras = row![
+        inputs::text_field(
+            ui,
+            Field::new("")
+                .label("名称")
+                .placeholder("请输入名称")
+                .width(wide),
+            |_| pressed("field"),
+        ),
+        inputs::text_field(
+            ui,
+            Field::new("1.21.4")
+                .label("名称")
+                .leading(IconKind::Folder)
+                .width(wide),
+            |_| pressed("field"),
+        ),
+        inputs::text_field(
+            ui,
+            Field::new("")
+                .variant(FieldVariant::Outlined)
+                .label("名称")
+                .placeholder("必填")
+                .trailing(IconKind::Error)
+                .supporting("该名称已被占用")
+                .error()
+                .width(wide),
+            |_| pressed("field"),
+        ),
+    ]
+    .spacing(ui.space(Space::X2));
+
+    column![
+        note(
+            ui,
+            "列 = 五态 · 行 = 两式。静息指示线/描边 1px、聚焦与错误 2px（A1 FocusOutlineWidth）；\
+             错误态线/标签/辅助文本全 Error"
+        ),
+        matrix,
+        note(
+            ui,
+            "另加：空（占位 OnSurfaceVariant）/ 有值（带前置图标 24）/ 错误（2px + 辅助文本）"
+        ),
+        extras,
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// Search：五态 bar 竖排 + 一个展开的 docked 面板。
+fn search_part<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let bar_width = ui.space(Space::X8) * 12.0;
+    let mut bars = column![].spacing(ui.space(Space::X2));
+    for state in Interaction::ALL {
+        let bar = inputs::search_bar(
+            ui,
+            SearchBar::new("")
+                .placeholder("搜索实例 / 版本 / mod")
+                .state(state)
+                .width(Length::Fixed(bar_width)),
+            |_| pressed("search"),
+        );
+        bars = bars.push(
+            row![row_label(ui, state.name()), bar]
+                .spacing(ui.space(Space::X2))
+                .align_y(iced::Alignment::Center),
+        );
+    }
+
+    let results: &[&str] = &[
+        "实例：原版 1.21.4",
+        "版本：Fabric 0.16.9",
+        "mod：Sodium 0.6.5",
+    ];
+    let view = inputs::search_view(
+        ui,
+        SearchView::new("1.21", results, "没有匹配的实例").placeholder("搜索实例 / 版本 / mod"),
+        |_| pressed("search"),
+    );
+
+    column![
+        note(
+            ui,
+            "bar：高 56 · 圆角 full(28) · SurfaceContainerHigh · 图标可视边 16 = pad 12 + offset 4（M69 不变量）· \
+             聚焦 1px Secondary；view：docked，头部 56 + 1px Outline 分隔 + 结果区最小高 240"
+        ),
+        row![bars, view].spacing(ui.space(Space::X6)),
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// Slider：五态一行 + 0%/50%/100% 三行 + 离散 4 段一行。
+fn slider_part<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let cells = Interaction::ALL
+        .iter()
+        .map(|state| {
+            let enabled = !state.is_disabled();
+            let mut spec = Slider::new(ui, 0.5).state(*state);
+            if enabled {
+                spec = spec.on_change(|_| pressed("slider"));
+            }
+            cell(ui, inputs::slider(spec))
+        })
+        .collect::<Vec<_>>();
+
+    let track_width = ui.space(Space::X8) * 14.0;
+    let mut values = column![].spacing(ui.space(Space::X2));
+    for (label, fraction) in [("0%", 0.0), ("50%", 0.5), ("100%", 1.0)] {
+        let spec = Slider::new(ui, fraction)
+            .on_change(|_| pressed("slider"))
+            .state(Interaction::Enabled);
+        values = values.push(
+            row![
+                row_label(ui, label),
+                container(inputs::slider(spec)).width(Length::Fixed(track_width)),
+            ]
+            .spacing(ui.space(Space::X2))
+            .align_y(iced::Alignment::Center),
+        );
+    }
+
+    // 离散：4 段 = 3 个内部停靠点（25 / 50 / 75%），当前 25% ⇒ 能看到 50% 与 75% 两个点
+    let discrete = row![
+        row_label(ui, "离散 4"),
+        container(inputs::slider(
+            Slider::new(ui, 0.25)
+                .steps(4)
+                .on_change(|_| pressed("slider"))
+                .state(Interaction::Enabled)
+        ))
+        .width(Length::Fixed(track_width)),
+    ]
+    .spacing(ui.space(Space::X2))
+    .align_y(iced::Alignment::Center);
+
+    column![
+        note(
+            ui,
+            "轨 16 full（Primary / SecondaryContainer）· 竖条 4×44 full（overflow 上下各 14）· \
+             focus/pressed 收窄到 2 · 命中 48 · 离散停靠点 4"
+        ),
+        state_row(ui, "五态", cells),
+        note(ui, "0% / 50% / 100%：竖条在两端贴边但不越界（左缘 = 轨道左缘，右缘 = 轨道右缘）"),
+        values,
+        note(
+            ui,
+            "离散：steps(4) ⇒ 3 个内部停靠点（25/50/75%），未激活轨在停靠点两侧留 6 空隙，\n             激活段只画到竖条中心",
+        ),
+        discrete,
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// Menu：一只五态菜单 + 一只展开态菜单（选中 / 分组线 / 禁用）。
+fn menu_part<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let width = ui.space(Space::X8) * 8.0;
+
+    let mut states = Menu::new().width(Length::Fixed(width));
+    for state in Interaction::ALL {
+        let mut item = MenuItem::new("重命名", pressed("menu")).state(state);
+        if state.is_disabled() {
+            item = MenuItem::disabled("重命名").state(state);
+        }
+        states = states.item(item.leading(IconKind::Folder));
+    }
+
+    let open = Menu::new()
+        .width(Length::Fixed(width))
+        .item(MenuItem::new("重命名", pressed("menu")).leading(IconKind::Folder))
+        .item(
+            MenuItem::new("复制实例", pressed("menu"))
+                .leading(IconKind::Download)
+                .trailing(IconKind::Check)
+                .selected(),
+        )
+        .divider()
+        .item(MenuItem::disabled("删除").leading(IconKind::Trash));
+
+    column![
+        note(
+            ui,
+            "容器 SurfaceContainer + L2 阴影（blur 6 / offset 2 / Shadow 角色）· 圆角 4（令牌表）· \
+             项高 48 · 水平 12 · 上下留白 8 · 选中项 SecondaryContainer 指示器内缩 4、圆角 8"
+        ),
+        row![
+            column![note(ui, "五态（每项强制一态）"), inputs::menu(ui, states)]
+                .spacing(ui.space(Space::X2)),
+            column![
+                note(ui, "展开：含选中项 / 分组分隔线（复用 divider）/ 不可点项"),
+                inputs::menu(ui, open)
+            ]
+            .spacing(ui.space(Space::X2)),
+        ]
+        .spacing(ui.space(Space::X6)),
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}

crates/app-iced/src/components/gallery/mod.rs

@@ -0,0 +1,375 @@
+//! `--screen=gallery` 的壳：**视觉验收 harness**（D30 / D39 §5），不是产品页面。
+//!
+//! ## 它是什么、不是什么
+//!
+//! - 是：**状态矩阵的取景框**。每个家族在自己的 `gallery/<family>.rs` 里摆出
+//!   「五变体 × 五态」的矩阵，一张截图就能判完该家族（浅/深各一张 = 10 张证据）。
+//! - 不是：页面。gallery 允许堆叠、不分页、不做空态，**难看不算问题**；
+//!   但**每个组件本身**必须按官方口径做到位。
+//!
+//! ## 并行地基（后续四条线怎么加东西）
+//!
+//! 五个家族文件在下面 `mod` 里**全部预先声明**了，每个都有自己的 `section()`：
+//!
+//! ```text
+//! gallery/buttons.rs     ← COMPBASE（本 mission）
+//! gallery/selection.rs   ← 后续 mission（只改这个文件）
+//! gallery/inputs.rs      ← 同上
+//! gallery/feedback.rs    ← 同上
+//! gallery/navigation.rs  ← 同上
+//! ```
+//!
+//! 加组件 = 只改自己那个文件里的 `section()`，**不用碰本文件**（这是「五条线并行不冲突」的
+//! 具体保证，也是 tower 会亲手验的一条）。
+//!
+//! ## DemoMessage 为什么独立
+//!
+//! 契约 §2：组件不 import `crate::app::Message`。gallery 用自己定义的消息枚举，
+//! 正好当「组件能脱离业务验收」的示范——`app.rs` 只做一次 `.map(Message::Demo)` 就接上了。
+//!
+//! ## 截图命令（D30）
+//!
+//! ```text
+//! unlucky-launcher-iced --software-renderer --screen=gallery \
+//!     --screenshot out.png --screenshot-theme=light
+//! ```
+//!
+//! `--screenshot` 不带主题时**默认 Light**（可复现；见 `cli::Options::capture_flavor`）。
+//!
+//! ## 段落过滤：环境变量 `ULL_GALLERY_SECTION`（M76 起）
+//!
+//! 五段拼成一列、外面套 `scrollable`，而截图只截**首屏** `1180×760`。段数一多，后面的家族
+//! 就落到折叠线以下（实测：selection 段从 y≈735 起，只剩标题一行）——那条线的
+//! 「渲染层像素断言」就没有一个像素可量。所以这里加一个**段落选择器**：
+//!
+//! ```text
+//! ULL_GALLERY_SECTION=all        # 默认：五段全渲染（行为与加开关之前逐像素一致）
+//! ULL_GALLERY_SECTION=buttons    # 只渲染 buttons 段
+//! ULL_GALLERY_SECTION=selection  # 只渲染 selection 段（本 mission 的取证与 probe 用它）
+//! ```
+//!
+//! 取值：`all` / `buttons` / `divider` / `selection` / `inputs` / `feedback` / `navigation`。
+//! 语义是「**不构建**没被选中的段」（不是构建后隐藏）：`column` 里根本不 push 它，
+//! 于是该家族的 `view` 一行都不跑。未识别的值**回落 `all`** 并在 stderr 打一行提示
+//! （静默回落会让人拿错图还以为拍的是那一段）。
+//!
+//! 为什么用环境变量而不是 `--screen=gallery:<family>`：`cli.rs` 不归组件线（M82 在改它），
+//! 而环境变量既能被测试（`cargo test` 里 `std::env::set_var`）又不用跟别人的 CLI 解析抢文件。
+//! 各家族的 `demo()` 签名**不因此改变**——本文件只决定「push 哪几段」。
+//!
+//! 实际渲染了哪几段会打一行 `[gallery] section=... → 渲染 ...`（首帧一次），
+//! 拿它当出图日志的证据。
+
+use std::sync::atomic::{AtomicBool, Ordering};
+
+use iced::widget::{column, container, scrollable, text};
+use iced::{Alignment, Background, Element, Length};
+
+use unlucky_design::color::Role;
+use unlucky_design::elevation::MaterialLayer;
+use unlucky_design::shape::ShapeScale;
+use unlucky_design::spacing::Space;
+use unlucky_design::typography::TypeRole;
+
+use crate::shot::flavor_slug;
+use crate::theme::Ui;
+
+use super::divider;
+use super::interaction::Interaction;
+use super::layout;
+
+mod buttons;
+mod feedback;
+mod inputs;
+mod navigation;
+#[cfg(test)]
+mod probe;
+#[cfg(test)]
+mod scan;
+mod selection;
+
+/// 段落过滤的环境变量名（语义见模块文档「段落过滤」）。
+pub const SECTION_ENV: &str = "ULL_GALLERY_SECTION";
+
+/// 段落开关：**构建**哪几段（`false` = 这一段连 `view` 都不跑）。
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+struct Sections {
+    buttons: bool,
+    divider: bool,
+    selection: bool,
+    inputs: bool,
+    feedback: bool,
+    navigation: bool,
+}
+
+impl Sections {
+    /// 五段全渲染（默认）。
+    const ALL: Self = Self {
+        buttons: true,
+        divider: true,
+        selection: true,
+        inputs: true,
+        feedback: true,
+        navigation: true,
+    };
+
+    /// 只有一段。
+    fn only(name: &str) -> Option<Self> {
+        let mut sections = Self {
+            buttons: false,
+            divider: false,
+            selection: false,
+            inputs: false,
+            feedback: false,
+            navigation: false,
+        };
+        match name {
+            "buttons" => sections.buttons = true,
+            "divider" => sections.divider = true,
+            "selection" => sections.selection = true,
+            "inputs" => sections.inputs = true,
+            "feedback" => sections.feedback = true,
+            "navigation" => sections.navigation = true,
+            _ => return None,
+        }
+        Some(sections)
+    }
+
+    /// 读 `ULL_GALLERY_SECTION`。
+    ///
+    /// 未设置 / 空 / `all`（大小写不敏感）→ 全渲染；**未识别的值 → 回落全渲染 + stderr 一行**。
+    fn from_env() -> Self {
+        let Ok(raw) = std::env::var(SECTION_ENV) else {
+            return Self::ALL;
+        };
+        let name = raw.trim().to_ascii_lowercase();
+        if name.is_empty() || name == "all" {
+            return Self::ALL;
+        }
+        if let Some(sections) = Self::only(&name) {
+            return sections;
+        }
+        eprintln!(
+            "[gallery] {SECTION_ENV}={raw:?} 不是已知段（all|buttons|divider|selection|inputs|feedback|navigation），已回落 all"
+        );
+        Self::ALL
+    }
+
+    /// 本次渲染的段名（stderr 日志 / 测试断言用）。
+    fn names(self) -> Vec<&'static str> {
+        let mut names = Vec::new();
+        for (on, name) in [
+            (self.buttons, "buttons"),
+            (self.divider, "divider"),
+            (self.selection, "selection"),
+            (self.inputs, "inputs"),
+            (self.feedback, "feedback"),
+            (self.navigation, "navigation"),
+        ] {
+            if on {
+                names.push(name);
+            }
+        }
+        names
+    }
+}
+
+/// `[gallery] ... 渲染 ...` 只打一次（`view` 每帧都会跑）。
+static SECTION_LOGGED: AtomicBool = AtomicBool::new(false);
+
+fn log_sections(sections: Sections) {
+    if SECTION_LOGGED.swap(true, Ordering::Relaxed) {
+        return;
+    }
+    let raw = std::env::var(SECTION_ENV).unwrap_or_else(|_| "all".to_owned());
+    eprintln!(
+        "[gallery] section={raw} → 渲染 {} 段：{}",
+        sections.names().len(),
+        sections.names().join(", ")
+    );
+}
+
+/// gallery 自己的消息（与业务 `Message` 解耦，契约 §2）。
+#[derive(Debug, Clone, PartialEq, Eq)]
+pub enum DemoMessage {
+    /// 某个演示按钮被按下（`&'static str` = 演示 id，只用于日志）。
+    Pressed(&'static str),
+}
+
+impl DemoMessage {
+    /// 演示 id（日志用；将来加变体时这里跟着改，`app.rs` 不用动）。
+    pub fn id(&self) -> &'static str {
+        match self {
+            DemoMessage::Pressed(id) => id,
+        }
+    }
+}
+
+/// gallery 根视图（整窗：不带标题栏与导航轨，验收图上只有组件）。
+pub fn view<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let page = ui.style(TypeRole::BodySmall);
+
+    let header = column![
+        text("Component gallery")
+            .size(ui.emphasized(TypeRole::TitleLarge).size_px)
+            .font(ui.emphasized_font(TypeRole::TitleLarge))
+            .color(ui.color(Role::OnSurface)),
+        text(format!(
+            "M3 Expressive component base · flavor={} · 1180×760 @100% DPI · \
+             focus 与 pressed 同为 10%（令牌口径，图上一样是对的）",
+            flavor_slug(ui)
+        ))
+        .size(page.size_px)
+        .font(ui.font_of(page))
+        .color(ui.color(Role::OnSurfaceVariant)),
+    ]
+    .spacing(ui.space(Space::X1));
+
+    // 小节之间**不画分隔线**：rubric（15 §22.4）要求同屏同类线 ≤3，
+    // 而验收图里要给分隔线自己留证据（见 `divider_proof`）。分组靠 32px 留白 + 标题。
+    //
+    // 段落过滤（`ULL_GALLERY_SECTION`）：**没被选中的段根本不 push**，于是该家族的
+    // `view` 一行都不跑——不是「构建后隐藏」。默认 `all` 与加开关之前逐像素一致。
+    let picked = Sections::from_env();
+    log_sections(picked);
+    let mut sections = column![].spacing(ui.space(Space::X8)).width(Length::Fill);
+    if picked.buttons {
+        sections = sections.push(buttons::section(ui));
+    }
+    if picked.divider {
+        sections = sections.push(divider_proof(ui));
+    }
+    if picked.selection {
+        sections = sections.push(selection::section(ui));
+    }
+    if picked.inputs {
+        sections = sections.push(inputs::section(ui));
+    }
+    if picked.feedback {
+        sections = sections.push(feedback::section(ui));
+    }
+    if picked.navigation {
+        sections = sections.push(navigation::section(ui));
+    }
+
+    // 滚动条：默认是主题给的 10px 深灰 thumb，压过组件本体（视觉 reviewer P2-4）。
+    // 这里把它改成 **透明轨 + OutlineVariant thumb**；宽度 10px 是 `scrollable` 的内部常量
+    // （该控件不暴露 Scrollbar 配置），所以只做了「低对比」这一半，已登记为偏离 D7。
+    let body = scrollable(sections)
+        .height(Length::Fill)
+        .width(Length::Fill)
+        .style(move |theme, status| {
+            // `scrollable::Style` 没有 `Default`：底色/间隙从主题默认值出发，只覆盖竖轨
+            let base = scrollable::default(theme, status);
+            scrollable::Style {
+                vertical_rail: scrollable::Rail {
+                    background: None,
+                    border: iced::Border::default(),
+                    scroller: scrollable::Scroller {
+                        background: Background::Color(ui.color(Role::OutlineVariant)),
+                        border: iced::Border {
+                            radius: ui.radius(ShapeScale::Full, ui.space(Space::X2)),
+                            ..iced::Border::default()
+                        },
+                    },
+                },
+                ..base
+            }
+        });
+
+    // 页面留白走 `layout::inset`（左右/上下各 24）：这是 Q8/Q9 那两个 helper 的第三个兄弟，
+    // 存在意义是「只改内边距、不改尺寸」，也顺手避免把 Padding 的上右下左写反。
+    let page_padding = ui.space(Space::X6);
+    container(layout::inset(
+        page_padding,
+        page_padding,
+        column![header, body].spacing(ui.space(Space::X4)),
+    ))
+    .width(Length::Fill)
+    .height(Length::Fill)
+    .style(|_theme| container::Style {
+        background: Some(Background::Color(ui.layer(MaterialLayer::Canvas))),
+        ..container::Style::default()
+    })
+    .into()
+}
+
+/// 分隔线的视觉证据（§22）：一条通栏 + 一条列表内缩进，各自带说明。
+///
+/// 单独一节而不是散落各处：`15 §22.4` 说「同屏同类线 ≤3」，这两条是**唯一**计入的两条。
+fn divider_proof<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let caption = ui.style(TypeRole::LabelSmall);
+    let label = |text_value: &'a str| {
+        text(text_value)
+            .size(caption.size_px)
+            .font(ui.font_of(caption))
+            .color(ui.color(Role::OnSurfaceVariant))
+    };
+
+    column![
+        heading(
+            ui,
+            "divider · full / list-inset",
+            "15 §22：厚度 1px（stroke::HAIRLINE）· 颜色 OutlineVariant · 列表内左缩进 16 · 同屏 ≤3 条"
+        ),
+        label("full (通栏，区块分隔)"),
+        divider::full::<DemoMessage>(ui),
+        label("list (左缩进 16)"),
+        divider::list::<DemoMessage>(ui),
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// 一个家族小节的标题（`index.title`）+ 一行判据说明。
+///
+/// 五个家族文件共用（`pub(super)`），保证五段的节奏一致——这也是 rubric D4
+/// 「一屏字号档 ≤4」的落点：小节只有 `TitleMedium` + `BodySmall` 两档。
+pub(crate) fn heading<'a>(ui: &'a Ui, title: &'a str, note: &'a str) -> Element<'a, DemoMessage> {
+    let note_style = ui.style(TypeRole::BodySmall);
+    column![
+        text(title)
+            .size(ui.emphasized(TypeRole::TitleMedium).size_px)
+            .font(ui.emphasized_font(TypeRole::TitleMedium))
+            .color(ui.color(Role::OnSurface)),
+        text(note)
+            .size(note_style.size_px)
+            .font(ui.font_of(note_style))
+            .color(ui.color(Role::OnSurfaceVariant)),
+    ]
+    .spacing(ui.space(Space::X1))
+    .into()
+}
+
+/// 状态矩阵的列头：五态的固定次序（`Interaction::ALL` 的口径）。
+///
+/// 列宽 = [`cell_width`]（**160** = `Space::X8 × 5`，是矩阵栅格，不是组件尺寸）。
+pub(crate) fn state_cells(ui: &Ui) -> Vec<(&'static str, f32)> {
+    Interaction::ALL
+        .iter()
+        .map(|state| (state.name(), cell_width(ui)))
+        .collect()
+}
+
+/// 矩阵单元格宽度（只影响 harness 的取景，不是组件尺寸）。
+///
+/// 160 = `Space::X8 × 5`：5 列 + 1 个标签列 + 4 个列间距 + 页左右各 24
+/// = 6×160 + 4×8 + 48 = **1040 < 1180**，所以第 5 列（disabled）不再被窗口右缘裁掉。
+/// 早先是 192（×6），总宽 1232 撑破窗口，disabled 列被裁掉一半（视觉 reviewer P2-3）。
+pub(crate) fn cell_width(ui: &Ui) -> f32 {
+    ui.space(Space::X8) * 5.0
+}
+
+/// 一个矩阵行的左侧标签（变体名）。
+pub(crate) fn row_label<'a>(ui: &'a Ui, name: &'a str) -> Element<'a, DemoMessage> {
+    let style = ui.style(TypeRole::BodySmall);
+    container(
+        text(name)
+            .size(style.size_px)
+            .font(ui.font_of(style))
+            .color(ui.color(Role::OnSurfaceVariant)),
+    )
+    .width(Length::Fixed(cell_width(ui)))
+    .align_y(Alignment::Center)
+    .into()
+}

crates/app-iced/src/components/gallery/navigation.rs

@@ -0,0 +1,352 @@
+//! gallery 里的导航类小节：四块状态矩阵 + 一块长文案块（**断言在 `navigation::probe`**）。
+//!
+//! ## 块选择器 `ULL_NAV_PART`
+//!
+//! `ULL_GALLERY_SECTION=navigation` 只隔离家族；本家族自己就有四块矩阵 + 长文案块，竖排比 760 高，
+//! 一屏只拍得到第一块。所以按契约 §9.2 的同一套规则再切一层（环境变量 + 默认兼容 + 未知值回落并打
+//! stderr）：`ULL_NAV_PART=list|tabs|drawer|appbar|long|all`（默认 `all`）。
+//!
+//! ```text
+//! ULL_GALLERY_SECTION=navigation ULL_NAV_PART=list ./target/debug/unlucky-launcher-iced.exe //!   --software-renderer --screen=gallery --screenshot target/m79/list-light.png --screenshot-theme=light
+//! ULL_NAV_DIR=target/m79 cargo test -p unlucky-app-iced navigation::probe
+//! ```
+//!
+//! ## 矩阵形状
+//!
+//! ```text
+//! ListItem   行 = 一 / 两 / 三行（44 / 60 / 76）   列 = 选中 / 未选中 / 禁用（三列槽位完全相同）
+//! Tabs       三行 Primary（选中第 1/2/3 个）+ 一行 Secondary + 一行五态
+//! Drawer     rail 88 与 drawer 240 **同尺度并排**（D33），各 3 项、第 2 项 hover、第 3 项禁用
+//! AppBar     静息 / 滚动两态（56 高；滚动只换容器色 + L2）
+//! long       长文案：页头 + 三行 ListItem + drawer（单行约束 D-M79-5 的取证）
+//! ```
+//!
+//! 取景板（`SurfaceContainerLow`）不是装饰：`Surface` 的页头/导航与页面底色同色，不垫一层板子，
+//! 截图里量不到边界（probe 就是靠板量 88 / 240 的）。
+
+use iced::widget::{column, container, row, text};
+use iced::{Background, Element, Length};
+
+use unlucky_design::color::Role;
+use unlucky_design::icons::IconKind;
+use unlucky_design::spacing::Space;
+use unlucky_design::typography::TypeRole;
+
+use crate::theme::Ui;
+
+use super::super::interaction::Interaction;
+use super::super::navigation::{
+    self, app_bar, list_item, navigation, tabs, AppBar, AppBarAction, ListItem, NavGroup, NavItem,
+    NavLayout, Navigation, Tab, Tabs, TabsVariant,
+};
+use super::{heading, DemoMessage};
+
+/// 块选择器的环境变量名（语义见模块文档）。
+pub const PART_ENV: &str = "ULL_NAV_PART";
+
+/// 本次渲染哪一块（`all` = 四块都渲染，默认）。
+fn part() -> String {
+    let Ok(raw) = std::env::var(PART_ENV) else {
+        return "all".to_owned();
+    };
+    let name = raw.trim().to_ascii_lowercase();
+    match name.as_str() {
+        "" | "all" | "list" | "tabs" | "drawer" | "appbar" | "long" => name,
+        _ => {
+            eprintln!(
+                "[gallery] {PART_ENV}={raw:?} 不是已知块（all|list|tabs|drawer|appbar|long），已回落 all"
+            );
+            "all".to_owned()
+        }
+    }
+}
+
+/// 演示消息（组件只认泛型，映射在 gallery 侧落地）。
+fn pressed() -> DemoMessage {
+    DemoMessage::Pressed("navigation")
+}
+
+fn icon(name: &str) -> IconKind {
+    match name {
+        "download" => IconKind::Download,
+        "logs" => IconKind::Logs,
+        "settings" => IconKind::Settings,
+        _ => IconKind::Instances,
+    }
+}
+
+/// 取景板：`SurfaceContainerLow` 底（`Surface` 的页头/导航要靠它才有边界）。
+fn plate<'a>(
+    ui: &'a Ui,
+    pad: f32,
+    content: impl Into<Element<'a, DemoMessage>>,
+) -> Element<'a, DemoMessage> {
+    container(content)
+        .padding(pad)
+        .style(move |_theme| container::Style {
+            background: Some(Background::Color(ui.color(Role::SurfaceContainerLow))),
+            ..container::Style::default()
+        })
+        .into()
+}
+
+/// 一行小字图例。
+fn note<'a>(ui: &'a Ui, value: &'a str) -> Element<'a, DemoMessage> {
+    let style = ui.style(TypeRole::BodySmall);
+    text(value)
+        .size(style.size_px)
+        .font(ui.font_of(style))
+        .color(ui.color(Role::OnSurfaceVariant))
+        .into()
+}
+
+/// 导航类家族的小节。
+pub(super) fn section<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let picked = part();
+    let mut body = column![heading(
+        ui,
+        "navigation · list item / tabs / drawer / app bar",
+        "12b §4/§6/§16 + 15 §21：ListItem 44/60/76 · Tabs 48 + 指示条 3 · \
+         Drawer = rail 88 ⇄ drawer 240（同一容器）· AppBar 56 + 滚动换色"
+    )]
+    .spacing(ui.space(Space::X8));
+
+    if picked == "all" || picked == "list" {
+        body = body.push(list_part(ui));
+    }
+    if picked == "all" || picked == "tabs" {
+        body = body.push(tabs_part(ui));
+    }
+    if picked == "all" || picked == "drawer" {
+        body = body.push(drawer_part(ui));
+    }
+    if picked == "all" || picked == "appbar" {
+        body = body.push(app_bar_part(ui));
+    }
+    if picked == "long" {
+        body = body.push(navigation::matrix::long_part(ui, pressed));
+    }
+    body.into()
+}
+
+/// 一个列表格（宽 = `nav_drawer_width` 240：够放下 icon + 两行文本，且与 drawer 药丸 216 可区分）。
+fn list_cell<'a>(ui: &'a Ui, item: ListItem<'a, DemoMessage>) -> Element<'a, DemoMessage> {
+    container(list_item(ui, item))
+        .width(Length::Fixed(ui.metrics().nav_drawer_width))
+        .into()
+}
+
+/// ListItem：三行高 × {选中 / 未选中 / 禁用}。
+fn list_part<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let states = ["selected", "enabled", "disabled"];
+
+    let mut grid = column![].spacing(ui.space(Space::X4));
+    let header = states
+        .iter()
+        .map(|name| {
+            container(note(ui, name))
+                .width(Length::Fixed(ui.metrics().nav_drawer_width))
+                .into()
+        })
+        .collect::<Vec<Element<'a, DemoMessage>>>();
+    grid = grid.push(
+        row![
+            note(ui, "rows +16 each · 44 / 60 / 76"),
+            row(header).spacing(ui.space(Space::X2))
+        ]
+        .spacing(ui.space(Space::X2)),
+    );
+
+    for (index, lines) in ["one line", "two lines", "three lines"].iter().enumerate() {
+        let mut cells = row![].spacing(ui.space(Space::X2));
+        for state in states {
+            // 三列的**内容完全相同**（同样的槽位），只有态不同——否则「选中 trailing = Primary」
+            // 这条结论没有可比对象（视觉 r1 P2-2 点名）
+            let mut item = ListItem::new(lines, pressed())
+                .leading(icon("instances"))
+                .trailing(icon("settings"));
+            if index >= 1 {
+                item = item.supporting("3 versions · 1.21.4");
+            }
+            if index >= 2 {
+                item = item.overline("RECENT");
+            }
+            item = match state {
+                "selected" => item.selected(),
+                // 禁用是修饰器：这里只清消息，槽位全部保留
+                "disabled" => item.disabled(),
+                _ => item.state(Interaction::Enabled),
+            };
+            cells = cells.push(list_cell(ui, item));
+        }
+        grid = grid.push(cells);
+    }
+
+    column![
+        note(
+            ui,
+            "ListItem · 选中 = SecondaryContainer（偏离 D-M79-1：A1 的 ListItem 不换底色）· \
+             禁用 = OnSurface@38%（A1 ListTokens）"
+        ),
+        grid,
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// Tabs：两行 Primary（短 / 长文案各选中一次 → 指示条宽度必须不同）+ Secondary + 五态。
+fn tabs_part<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let primary_row = |selected: usize| {
+        let mut builder = Tabs::primary();
+        for (index, label) in ["Logs", "Instance details", "Settings"].iter().enumerate() {
+            let mut tab = Tab::new(label, pressed());
+            if index == 2 {
+                // 6.1：带图标的 Tabs 容器高 64（纯文字 48）
+                tab = tab.icon(icon("settings"));
+            }
+            if index == selected {
+                tab = tab.selected();
+            }
+            builder = builder.tab(tab);
+        }
+        tabs(ui, builder)
+    };
+
+    let state_row = {
+        let mut builder = Tabs::primary();
+        for (index, state) in [
+            Interaction::Enabled,
+            Interaction::Hovered,
+            Interaction::Focused,
+            Interaction::Pressed,
+            Interaction::Disabled,
+        ]
+        .iter()
+        .enumerate()
+        {
+            let mut tab = Tab::new("Tab", pressed()).state(*state);
+            if index == 0 {
+                tab = tab.selected();
+            }
+            builder = builder.tab(tab);
+        }
+        tabs(ui, builder)
+    };
+
+    let secondary = tabs(
+        ui,
+        Tabs::secondary()
+            .tab(Tab::new("Release", pressed()).selected())
+            .tab(Tab::new("Snapshot", pressed()))
+            .tab(Tab::new("Legacy", pressed()).disabled()),
+    );
+
+    // 两式的名字进图例（同时把 `TabsVariant::ALL` 变成可点检的常量，而不是死代码）
+    let legend = TabsVariant::ALL
+        .iter()
+        .map(|variant| note(ui, variant.name()))
+        .collect::<Vec<_>>();
+
+    column![
+        note(
+            ui,
+            "Tabs · Primary 三行 = 选中第 1 / 2 / 3 个（指示条跟着走且宽度跟随该项）；Secondary：1px SurfaceVariant"
+        ),
+        row(legend).spacing(ui.space(Space::X4)),
+        primary_row(0),
+        primary_row(1),
+        primary_row(2),
+        secondary,
+        note(ui, "Primary 五态（第 1 项选中；未选项 hover/focus/pressed 提到 OnSurface）"),
+        state_row,
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// 导航容器：rail 88 与 drawer 240 **同尺度并排**（D33 的可验收形式）。
+fn drawer_part<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    // 取景板高 288（= Space::X8 × 9）：装得下 drawer 的「两个分组 + 三项 + 两次标题」，否则末行被裁
+    let plate_height = ui.space(Space::X8) * 9.0;
+    let mut panes = row![].spacing(ui.space(Space::X6));
+
+    for layout in NavLayout::ALL {
+        let builder = match layout {
+            NavLayout::Rail => Navigation::rail(),
+            NavLayout::Drawer => Navigation::drawer(),
+        };
+        let pane = builder
+            .group(
+                NavGroup::titled("LIBRARY")
+                    .item(NavItem::new("Instances", icon("instances"), pressed()).selected())
+                    .item(
+                        NavItem::new("Download", icon("download"), pressed())
+                            .state(Interaction::Hovered),
+                    ),
+            )
+            .group(
+                NavGroup::titled("SYSTEM")
+                    .item(NavItem::new("Settings", icon("settings"), pressed()).disabled()),
+            );
+        let width = match layout {
+            NavLayout::Rail => ui.metrics().nav_rail_width,
+            NavLayout::Drawer => ui.metrics().nav_drawer_width,
+        };
+        // 取景板比容器大一圈（pad 8）：`Surface` 的导航与页面底色同色，板要露边才量得到
+        let pad = ui.space(Space::X2);
+        panes = panes.push(
+            container(container(navigation(ui, pane)).height(Length::Fixed(plate_height)))
+                .width(Length::Fixed(width + pad * 2.0))
+                .height(Length::Fixed(plate_height + pad * 2.0))
+                .padding(pad)
+                .style(move |_theme| container::Style {
+                    background: Some(Background::Color(ui.color(Role::SurfaceContainerLow))),
+                    ..container::Style::default()
+                }),
+        );
+    }
+
+    column![
+        note(
+            ui,
+            "D33：同一个容器两个宽度 —— rail（药丸 56×32）｜drawer（药丸 216×56，左右各缩 12）；             第 2 项 hover、第 3 项禁用"
+        ),
+        panes,
+        row![
+            note(ui, "左→右："),
+            note(ui, NavLayout::Rail.name()),
+            note(ui, NavLayout::Drawer.name()),
+        ]
+        .spacing(ui.space(Space::X2)),
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}
+
+/// AppBar small：静息 / 滚动两态（56 高；滚动换容器色 + L2）。
+fn app_bar_part<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let bar = |scrolled: bool| {
+        app_bar(
+            ui,
+            AppBar::new("Instances")
+                .subtitle(if scrolled {
+                    "scrolled · SurfaceContainer + L2"
+                } else {
+                    "resting · Surface + L0"
+                })
+                .leading(AppBarAction::inert(icon("instances")))
+                .trailing(AppBarAction::new(icon("settings"), pressed()))
+                .scrolled(scrolled),
+        )
+    };
+
+    column![
+        note(
+            ui,
+            "AppBar small · 56 高（A1 64，偏离 D-M79-2）· 滚动只换容器色与高程，不改高度（A1 无 OnScroll…Height）"
+        ),
+        plate(ui, ui.space(Space::X2), column![bar(false), bar(true)].spacing(ui.space(Space::X2))),
+    ]
+    .spacing(ui.space(Space::X2))
+    .into()
+}

crates/app-iced/src/components/gallery/probe.rs

@@ -0,0 +1,368 @@
+//! 渲染层几何断言：**对着真截图量像素**（M68 的教训：纯函数返回对，图可能是错的）。
+//!
+//! `buttons::tests` 只能证明「几何结构体里的数字是 40/20/24」——M68 的药丸正是这样：单测全绿、
+//! 图上是 88×32（容器被 `center_x(Length::Fill)` 覆盖）。唯一能抓住这类错误的是**真渲染的像素**。
+//! CI 没有桌面，所以这里不自己开窗：先用 `--screen=gallery --screenshot` 出真窗截图，本测试读
+//! 那张 PNG 量几何、与令牌逐项比对。**没给图就跳过并大声说出来**（不静默通过）。
+//!
+//! 复现命令（在 worktree 根目录）：
+//!
+//! ```text
+//! cargo build -p unlucky-app-iced --bin unlucky-launcher-iced
+//! ./target/debug/unlucky-launcher-iced --software-renderer --screen=gallery \
+//!   --screenshot target/m75/gallery-light.png --screenshot-theme=light
+//! ULL_GALLERY_SHOT=target/m75/gallery-light.png cargo test -p unlucky-app-iced gallery::probe
+//! ```
+//!
+//! 量什么（每条对一个已发生过的错误）：实心块高 **40**（12b 1.1）· 药丸顶行**左内缩 ≈14** ⇒ 圆角 full=20
+//! （12b 1.2，8 圆角会接近通栏）· IconButton **40×40**（12b 2.1）· 字形墨迹 **16~26**
+//! （Q9：24 盒被填满会到 40）· 分隔线 **1px**（22.1）· 禁用容器 **on-surface@10%**（按钮族）存在（12b 1.8）。
+
+use unlucky_design::color::{Role, SchemeFlavor};
+use unlucky_design::typography::Platform;
+
+use crate::theme::{Families, Ui};
+
+use crate::app::components::interaction;
+
+use super::scan::{matches, nearer, rgb, Shot};
+
+const FAMILIES: Families = Families {
+    text: "Segoe UI",
+    display: "Segoe UI",
+    mono: "Consolas",
+};
+
+fn ui(flavor: SchemeFlavor) -> Ui {
+    Ui::with_platform(flavor, Platform::Windows, FAMILIES)
+}
+
+/// 一条 1dp 细线在竖直方向的「墨量覆盖率」：各行相对底色的不透明度之和（1dp ⇒ ≈1.0）。
+///
+/// **只统计「长横线行」**（连续非底色像素 > 900）：标题/正文那些行也有几百个零散墨迹像素，
+/// 按「任意非底色像素数」筛会把文字算进墨量（首版实测 57.9，明显是文字被算进去了）。
+fn line_coverage(shot: &Shot, surface: [u8; 3], line: [u8; 3]) -> f32 {
+    let mut total = 0.0;
+    for y in 0..shot.height {
+        let mut longest = 0;
+        let mut current = 0;
+        let mut sum = 0.0f32;
+        let mut run_sum = 0.0f32;
+        for x in 0..shot.width {
+            let pixel = shot.at(x, y);
+            if !matches(pixel, surface) {
+                current += 1;
+                run_sum += delta_ratio(pixel, surface, line);
+                if current > longest {
+                    longest = current;
+                    sum = run_sum;
+                }
+            } else {
+                current = 0;
+                run_sum = 0.0;
+            }
+        }
+        if longest > 900 {
+            total += sum / longest as f32;
+        }
+    }
+    total
+}
+
+/// `pixel` 相对 `surface` 的偏移占「满档 line 色偏移」的比例（0..=1）。
+fn delta_ratio(pixel: [u8; 3], surface: [u8; 3], line: [u8; 3]) -> f32 {
+    let channel = |i: usize| {
+        let full = f32::from(line[i]) - f32::from(surface[i]);
+        if full.abs() < 1.0 {
+            return 0.0;
+        }
+        ((f32::from(pixel[i]) - f32::from(surface[i])) / full).clamp(0.0, 1.0)
+    };
+    let (dr, dg, db) = (channel(0), channel(1), channel(2));
+    (dr + dg + db) / 3.0
+}
+
+/// `ULL_GALLERY_SHOT` → 截图路径（相对路径按**工作区根**解释：`cargo test` 的 cwd 是 crate 目录）。
+fn shot_path() -> Option<std::path::PathBuf> {
+    let raw = std::env::var_os("ULL_GALLERY_SHOT")?;
+    let path = std::path::PathBuf::from(raw);
+    if path.is_absolute() || path.exists() {
+        return Some(path);
+    }
+    let root = std::path::PathBuf::from(env!("CARGO_MANIFEST_DIR")).join("../..");
+    Some(root.join(path))
+}
+
+/// 一条测试覆盖全部几何断言（每张图各跑一次）。
+#[test]
+fn gallery_geometry_matches_the_tokens() {
+    let Some(path) = shot_path() else {
+        eprintln!(
+            "[probe] SKIPPED：未设置 ULL_GALLERY_SHOT。这是**渲染层**几何断言，\
+             需要先出一张真窗截图（命令见本文件模块文档）。"
+        );
+        return;
+    };
+
+    let shot = Shot::load(&path).expect("读 gallery 截图");
+    assert_eq!(
+        (shot.width, shot.height),
+        (1180, 760),
+        "验收图必须是 D30 的 1180×760 @100% DPI"
+    );
+
+    // 用左上角背景色判定深浅（页面 padding 区就是 `Surface`）
+    let corner = shot.at(2, 2);
+    let flavor = if matches(corner, rgb(ui(SchemeFlavor::Light).color(Role::Surface))) {
+        SchemeFlavor::Light
+    } else {
+        SchemeFlavor::Dark
+    };
+    let ui = ui(flavor);
+
+    // ---- 12b 1.1 / 1.2：实心按钮 40 高、药丸圆角 20 ------------------------------
+    let primary = shot.bbox_of(rgb(ui.color(Role::Primary)));
+    assert!(
+        primary.len() >= 2,
+        "至少该找到 Filled 按钮与 Filled IconButton 两块实心（实际 {}）",
+        primary.len()
+    );
+
+    let mut label_button = None;
+    for bbox in &primary {
+        // 字形（OnPrimary）会把实心块割出小碎片，只判「成块的」（40×40 = 1600）
+        if bbox.area() < 800 {
+            continue;
+        }
+        assert!(
+            (39..=41).contains(&bbox.height()),
+            "实心块高 {}（参考 40，12b 1.1）@ {:?}",
+            bbox.height(),
+            (bbox.left, bbox.top)
+        );
+        if bbox.width() > 60 {
+            label_button = Some(*bbox);
+        }
+        // 12b 2.1：IconButton 容器精确 40×40（别再用区间——reviewer 已证 +2px 抓不住）
+        if bbox.width() < 60 {
+            // 宽 = 40（最宽那行是实色，量得准）；高会把底部抗锯齿行排除掉，所以是 39 或 40。
+            // 区间收到 39..=40 仍能抓 ±2px 的回归（42 → 41、38 → 37 都会落区间外）。
+            assert_eq!(bbox.width(), 40, "IconButton 容器宽必须 40（12b 2.1）");
+            assert!(
+                (39..=40).contains(&bbox.height()),
+                "IconButton 容器高应 40（实色 39 + 抗锯齿行），实测 {}",
+                bbox.height()
+            );
+        }
+    }
+
+    let label_button = label_button.expect("没找到文字按钮的实心块");
+    assert!(
+        label_button.width() >= 58,
+        "12b 1.7：最小宽 58，实测 {}",
+        label_button.width()
+    );
+
+    // 含抗锯齿的真实外框：中心列上「更接近填充色而不是底色」的连续行
+    let fill = rgb(ui.color(Role::Primary));
+    let surface = rgb(ui.color(Role::Surface));
+    let center = (label_button.left + label_button.right) / 2;
+    let mut true_top = label_button.top;
+    while true_top > 0 && nearer(shot.at(center, true_top - 1), fill, surface) {
+        true_top -= 1;
+    }
+    let mut true_bottom = label_button.bottom;
+    while true_bottom + 1 < shot.height && nearer(shot.at(center, true_bottom + 1), fill, surface) {
+        true_bottom += 1;
+    }
+    let true_height = true_bottom - true_top + 1;
+
+    // **精确 40**：变异成 42 必须红。上一版写的是 `(39..=41).contains(..)`，
+    // reviewer 把高度改成 42 重新出图后断言照样绿 —— 那就是「渲层断言等于没有」。
+    assert_eq!(
+        true_height, 40,
+        "可见高必须精确 40（12b 1.1）；变异成 42 这里就会红"
+    );
+
+    // 圆角档位：量**顶部那一行的左内缩**。按像素中心口径，第 k 行（k 从 0 起）的闭式是
+    // inset(k) = r − √(r² − (r − k − 0.5)²)；r=20、k=1 给 **12.40**（实测 12~14），
+    // r=8 只有 ≈3.6，直角为 0。比「数圆角行数」抗锯齿得多。
+    let top_row_left = (label_button.left..=label_button.right)
+        .find(|x| matches(shot.at(*x, label_button.top), fill))
+        .expect("顶部行应至少有一个填充像素");
+    let top_inset = top_row_left - label_button.left;
+    assert!(
+        (11..=17).contains(&top_inset),
+        "药丸圆角应 = 20（12b 1.2）：顶部行左内缩应 ≈14，实测 {top_inset}（8 圆角 ≈4，直角 0）"
+    );
+
+    // ---- 12b 1.4：带前置图标的左内边距 = 16（用 Filled 格量，避开圆角只扫中间带）----
+    // 判「墨迹」的方式：比容器色更接近 OnPrimary。不要用字面量白——浅色页面底色 (246,250,255)
+    // 与白在容差内，会把圆角外的底色当成墨迹（首次实现就踩了，量出 3）。
+    let on_primary = rgb(ui.color(Role::OnPrimary));
+    let mut left_ink: Option<usize> = None;
+    for y in (label_button.top + 12)..=(label_button.bottom - 12) {
+        for x in (label_button.left + 4)..=label_button.right {
+            if nearer(shot.at(x, y), on_primary, fill) {
+                left_ink = Some(left_ink.map_or(x, |best: usize| best.min(x)));
+            }
+        }
+    }
+    let icon_pad = left_ink.expect("Filled 格应带前置图标（量内边距用）") - label_button.left;
+    // 图标盒左缘 = 16；字形在 24 viewBox 里自带 ≈5.3 左边距 ⇒ 墨迹落在 21 附近
+    // （16 → 21；24 → 29；8 → 13，三档互不重叠）
+    assert!(
+        (18..=24).contains(&icon_pad),
+        "12b 1.4：带图标左内边距应 16（墨迹 ≈21），实测 {icon_pad}"
+    );
+
+    // ---- Q9：IconButton 的字形不许撑满 40 盒 -----------------------------------
+    let tonal = rgb(ui.color(Role::SecondaryContainer));
+    let tonal_boxes = shot.bbox_of(tonal);
+    let icon_states = tonal_boxes
+        .iter()
+        .filter(|bbox| (39..=41).contains(&bbox.width()) && (39..=41).contains(&bbox.height()))
+        .count();
+    // 只有 **enabled** 列是精确的 SecondaryContainer（hover/pressed/focus 列叠了状态层，颜色不同），
+    // 所以这里只要求 ≥1：量几何一只就够，五态的可见性由图本身给。
+    assert!(
+        icon_states >= 1,
+        "tonal IconButton 至少 1 个（实际 {icon_states}）"
+    );
+
+    let gear = rgb(ui.color(Role::OnSecondaryContainer));
+    let mut measured_glyph = false;
+    let mut glyph_width = 0;
+    for bbox in tonal_boxes
+        .iter()
+        .filter(|bbox| (39..=41).contains(&bbox.width()))
+    {
+        if let Some(ink) = shot.ink_inside(bbox, gear) {
+            let width = ink.width();
+            if width > glyph_width {
+                glyph_width = width;
+            }
+            assert!(
+                (16..=26).contains(&width),
+                "图标盒 24 的字形墨迹应 16~26 宽，实测 {width}（Q9 回归时会接近 40）"
+            );
+            measured_glyph = true;
+        }
+    }
+    assert!(measured_glyph, "没量到 IconButton 的字形");
+
+    // ---- 22.1：分隔线 1px（按「非底色的长横线」判，不按精确色：线被抗锯齿摊到两行）----
+    let surface = rgb(ui.color(Role::Surface));
+    let mut runs = 0;
+    for y in 0..shot.height {
+        let mut longest = 0;
+        let mut current = 0;
+        for x in 0..shot.width {
+            if !matches(shot.at(x, y), surface) {
+                current += 1;
+                longest = longest.max(current);
+            } else {
+                current = 0;
+            }
+        }
+        if longest > 300 {
+            runs += 1;
+        }
+    }
+    // 两条线 × 各摊 1~2 行 ⇒ 2..=4 行
+    assert!(
+        (2..=4).contains(&runs),
+        "分隔线应 2 条（每条 1px，抗锯齿最多摊 2 行）⇒ 2..=4 行，实测 {runs} 行"
+    );
+    // **墨量覆盖率**：一条 1dp 的线，其各行相对底色的不透明覆盖率之和应 ≈1.0。
+    // 1.5dp 的线会到 ≈1.5，2dp 会到 ≈2.0 —— 这是「容忍 1.5 倍粗」的补丁。
+    let full = rgb(ui.color(Role::OutlineVariant));
+    // 屏上正好 2 条线（通栏 + 列表内缩），所以把总墨量除以 2 得到「单条线的覆盖率」
+    let coverage = line_coverage(&shot, surface, full) / 2.0;
+    assert!(
+        (0.8..=1.3).contains(&coverage),
+        "单条分隔线墨量覆盖率应 ≈1.0（= 1dp），实测 {coverage:.2}（1.5dp 会到 ~1.5）"
+    );
+
+    // ---- 12b 1.8 禁用态：容器 + **每一行**的内容色（A1 逐变体不同）----------------
+    //
+    // 上一版把两个 reviewer 都指出的重复块留在这里（`disabled_colors` 被调两次、
+    // `disabled_container` 被绑定两次），且只有一条「全图数墨迹」的护栏 —— 深色下阈值失效、
+    // 单行回退也抓不住。现在按矩阵的行逐条断言。
+    //
+    // **按钮族**：容器 10%（官方 `*ButtonTokens.DisabledContainerOpacity = 0.1f`）、内容 38%。
+    // M86 之前这里和 chip 共用同一个 12% 常量，所以断言与实现「一起错」、永远同源——拆族后才对得上。
+    let (disabled_container, _) = interaction::disabled_button_colors(&ui, Role::Surface);
+    assert!(
+        shot.bbox_of(rgb(disabled_container))
+            .iter()
+            .any(|b| b.width() > 60),
+        "没找到禁用态实心按钮（12b 1.8：容器 = on-surface@10%）"
+    );
+
+    // 矩阵行序（gallery/buttons.rs 的 Variant::ALL + IconVariant::ALL），行距 48 = 40 + 8
+    let row_step = 48usize;
+    let rows: [(usize, Role, bool, &str); 8] = [
+        (0, Role::OnSurfaceVariant, true, "filled"),
+        (1, Role::OnSurface, true, "tonal"), // A1：FilledTonal 是例外
+        (2, Role::OnSurfaceVariant, true, "elevated"),
+        (3, Role::OnSurfaceVariant, false, "outlined"),
+        (4, Role::OnSurfaceVariant, false, "text"),
+        (5, Role::OnSurface, false, "icon·standard"), // A1：IconButton 全是 OnSurface
+        (6, Role::OnSurface, false, "icon·filled"),
+        // 第 7 行（矩阵最后一行的 tonal IconButton）上一版漏了 —— reviewer 把它的禁用墨迹涂回
+        // 满档色时 probe 全绿。A1 同样是 OnSurface（`FilledTonalIconButtonTokens`）。
+        (7, Role::OnSurface, true, "icon·tonal"),
+    ];
+    let column_from = shot.width * 2 / 3; // 矩阵最右列 = disabled 列
+    for (index, role, on_container, name) in rows {
+        let y0 = label_button.top + index * row_step;
+        let y1 = y0 + 44;
+        // **与实现同源**：按钮族的内容色一律走 `disabled_button_content`（38% 叠在 10% 底上）。
+        // 这里若用面状控件族的 `disabled_content_over_role`（12% 底），断言的底就比实现宽一档，
+        // 差的 1/255 会让「容器对了内容错了」这类错逃过门控——M86 明确要防这个。
+        let ink = interaction::disabled_button_content(&ui, role, on_container);
+        let count = shot.count_in(rgb(ink), column_from, shot.width, y0, y1);
+        assert!(
+            count > 40,
+            "{name} 行的禁用内容（{role:?}@38%）在 disabled 列里只有 {count} px ——              说明这一行没走 A1 的禁用角色"
+        );
+    }
+
+    // filled 禁用容器里不许出现满档 OnPrimary（旧实现是白字压在容器上 = 1.23:1）
+    let full_content = rgb(ui.color(Role::OnPrimary));
+    for bbox in shot.bbox_of(rgb(disabled_container)) {
+        if bbox.width() < 60 {
+            continue;
+        }
+        // 只扫**内带**：圆角外的页面底色与 OnPrimary 在容差内，贴边扫描会误报。
+        for y in (bbox.top + 12)..=(bbox.bottom - 12) {
+            for x in (bbox.left + 12)..=(bbox.right - 12) {
+                assert!(
+                    !matches(shot.at(x, y), full_content),
+                    "禁用容器内出现满档 OnPrimary @({x},{y})：禁用标签没降到 38%"
+                );
+            }
+        }
+    }
+
+    eprintln!(
+        "[probe] OK flavor={:?}：
+  Filled 药丸 {}×{}（参考 高 40 / 宽 ≥58）
+  顶行左内缩 {}（r=20 应 ≈14；8 圆角 ≈4；直角 0）
+  实心块 {} 个（含 40×40 IconButton）
+  分隔线长行 {} 行（每条 1px）
+  禁用容器 (on-surface@10%，按钮族) 命中 · 逐行禁用内容断言 {} 行通过
+  分隔线墨量覆盖率 {:.2}（1dp 应 ≈1.0）
+  字形墨迹 {}px（24 盒应 16~26）",
+        flavor,
+        label_button.width(),
+        true_height,
+        top_inset,
+        primary.len(),
+        runs,
+        rows.len(),
+        coverage,
+        glyph_width
+    );
+}

crates/app-iced/src/components/gallery/scan.rs

@@ -0,0 +1,183 @@
+//! 截图像素扫描工具（`gallery::probe` 的底层，四个后续家族的 probe 也能复用）。
+//!
+//! 只做「按颜色找连通块 / 量外接框 / 量某行的连续长度」三件事，不含任何判据——
+//! 判据在同级 `probe.rs` 里，这样每条家族线可以自带 probe 而不用重写扫描逻辑。
+
+use std::path::Path;
+
+use iced::Color;
+
+/// 颜色比对的通道容差（抗锯齿/取整）。
+const TOLERANCE: u8 = 10;
+
+/// iced 颜色 → 8bit RGB（截图里的原值）。
+pub(super) fn rgb(color: Color) -> [u8; 3] {
+    [
+        (color.r * 255.0).round() as u8,
+        (color.g * 255.0).round() as u8,
+        (color.b * 255.0).round() as u8,
+    ]
+}
+
+/// 颜色是否落在容差内。
+pub(super) fn matches(pixel: [u8; 3], expected: [u8; 3]) -> bool {
+    pixel
+        .iter()
+        .zip(expected)
+        .all(|(a, b)| a.abs_diff(b) <= TOLERANCE)
+}
+
+/// 一张图的像素访问器。
+pub(super) struct Shot {
+    pub(super) width: usize,
+    pub(super) height: usize,
+    pixels: Vec<[u8; 3]>,
+}
+
+impl Shot {
+    pub(super) fn load(path: &Path) -> Result<Self, String> {
+        let bytes = std::fs::read(path).map_err(|error| format!("读不动 {path:?}：{error}"))?;
+        let image = image::load_from_memory(&bytes)
+            .map_err(|error| format!("解 PNG 失败：{error}"))?
+            .to_rgb8();
+        let (width, height) = (image.width() as usize, image.height() as usize);
+        Ok(Self {
+            width,
+            height,
+            pixels: image.pixels().map(|p| p.0).collect(),
+        })
+    }
+
+    pub(super) fn at(&self, x: usize, y: usize) -> [u8; 3] {
+        self.pixels[y * self.width + x]
+    }
+
+    /// 某种颜色的全部像素的外接框（连通块）。
+    pub(super) fn bbox_of(&self, color: [u8; 3]) -> Vec<BBox> {
+        let mut seen = vec![false; self.width * self.height];
+        let mut boxes = Vec::new();
+
+        for y in 0..self.height {
+            for x in 0..self.width {
+                if seen[y * self.width + x] || !matches(self.at(x, y), color) {
+                    continue;
+                }
+
+                let mut stack = vec![(x, y)];
+                seen[y * self.width + x] = true;
+                let mut bbox = BBox::new(x, y);
+
+                while let Some((cx, cy)) = stack.pop() {
+                    bbox.include(cx, cy);
+                    for (nx, ny) in [
+                        (cx + 1, cy),
+                        (cx.saturating_sub(1), cy),
+                        (cx, cy + 1),
+                        (cx, cy.saturating_sub(1)),
+                    ] {
+                        let inside = nx < self.width && ny < self.height;
+                        if inside && !seen[ny * self.width + nx] && matches(self.at(nx, ny), color)
+                        {
+                            seen[ny * self.width + nx] = true;
+                            stack.push((nx, ny));
+                        }
+                    }
+                }
+
+                if bbox.area() > 200 {
+                    boxes.push(bbox);
+                }
+            }
+        }
+
+        boxes
+    }
+
+    /// 在矩形 `[x0,x1) × [y0,y1)` 内数某颜色的像素（按行/列取证用）。
+    pub(super) fn count_in(
+        &self,
+        color: [u8; 3],
+        x0: usize,
+        x1: usize,
+        y0: usize,
+        y1: usize,
+    ) -> usize {
+        (y0..y1.min(self.height))
+            .map(|y| {
+                (x0..x1.min(self.width))
+                    .filter(|x| matches(self.at(*x, y), color))
+                    .count()
+            })
+            .sum()
+    }
+
+    /// `bbox` 内某颜色的墨迹外接框（量字形用）。
+    ///
+    /// 内缩 3px：不内缩会把按钮自身的抗锯齿边算成墨迹（实测把 24 盒字形量成 40）。
+    pub(super) fn ink_inside(&self, bbox: &BBox, color: [u8; 3]) -> Option<BBox> {
+        const MARGIN: usize = 3;
+        let mut ink: Option<BBox> = None;
+        for y in (bbox.top + MARGIN)..=(bbox.bottom - MARGIN) {
+            for x in (bbox.left + MARGIN)..=(bbox.right - MARGIN) {
+                if matches(self.at(x, y), color) {
+                    match &mut ink {
+                        Some(found) => found.include(x, y),
+                        None => ink = Some(BBox::new(x, y)),
+                    }
+                }
+            }
+        }
+        ink
+    }
+}
+
+/// 一个外接框（闭区间）。
+#[derive(Debug, Clone, Copy)]
+#[allow(clippy::struct_field_names)]
+pub(super) struct BBox {
+    pub(super) left: usize,
+    pub(super) right: usize,
+    pub(super) top: usize,
+    pub(super) bottom: usize,
+}
+
+impl BBox {
+    pub(super) fn new(x: usize, y: usize) -> Self {
+        Self {
+            left: x,
+            right: x,
+            top: y,
+            bottom: y,
+        }
+    }
+
+    pub(super) fn include(&mut self, x: usize, y: usize) {
+        self.left = self.left.min(x);
+        self.right = self.right.max(x);
+        self.top = self.top.min(y);
+        self.bottom = self.bottom.max(y);
+    }
+
+    pub(super) fn width(&self) -> usize {
+        self.right - self.left + 1
+    }
+
+    pub(super) fn height(&self) -> usize {
+        self.bottom - self.top + 1
+    }
+
+    pub(super) fn area(&self) -> usize {
+        self.width() * self.height()
+    }
+}
+
+/// `pixel` 更接近 `fill` 还是 `surface`。
+pub(super) fn nearer(pixel: [u8; 3], fill: [u8; 3], surface: [u8; 3]) -> bool {
+    let dist = |a: [u8; 3], b: [u8; 3]| -> u32 {
+        a.iter()
+            .zip(b)
+            .map(|(x, y)| (i32::from(*x) - i32::from(y)).unsigned_abs())
+            .sum()
+    };
+    dist(pixel, fill) < dist(pixel, surface)
+}

crates/app-iced/src/components/gallery/selection.rs

@@ -0,0 +1,37 @@
+//! gallery 里的选择类小节：把状态矩阵摆进 harness（**断言不在这里**）。
+//!
+//! 矩阵本体的构造在 [`selection::matrix`]（12 行 × 5 列：checkbox 四态 / radio / switch /
+//! chip 三类），消息用 `()`（矩阵只供视觉验收），这里一次 `.map(..)` 接成 `DemoMessage`。
+//!
+//! ## 渲染层几何断言去哪了
+//!
+//! 在 [`crate::app::components::selection::probe`]（`selection/probe.rs`）。挪出去的原因是
+//! 400 行红线（复审 P2-5 同一类问题）：断言 + 像素扫描会把这个文件顶到 458 行。
+//!
+//! 跑法（worktree 根目录）：
+//!
+//! ```text
+//! ULL_GALLERY_SECTION=selection ./target/debug/unlucky-launcher-iced --software-renderer \
+//!   --screen=gallery --screenshot target/m76/selection-light.png --screenshot-theme=light
+//! ULL_GALLERY_SHOT=target/m76/selection-light.png cargo test -p unlucky-app-iced selection::probe
+//! ```
+
+use iced::widget::column;
+use iced::Element;
+
+use super::super::selection;
+use crate::theme::Ui;
+
+use super::DemoMessage;
+
+/// 选择类家族的小节：标题 + 矩阵 + 图例。
+pub(super) fn section<'a>(ui: &'a Ui) -> Element<'a, DemoMessage> {
+    let pressed = |()| DemoMessage::Pressed("selection");
+    column![
+        selection::matrix::heading_and_note(ui).map(pressed),
+        selection::matrix::matrix(ui).map(pressed),
+        selection::matrix::legend(ui).map(pressed),
+    ]
+    .spacing(ui.space(unlucky_design::spacing::Space::X2))
+    .into()
+}

crates/app-iced/src/components/gate.rs

@@ -0,0 +1,310 @@
+//! 组件目录的自检门禁（`src/components/**`）。
+//!
+//! 为什么要有这份：`tests/no_hardcoded_tokens.rs` 只扫**色值**和 `shell/` 的尺寸字面量，
+//! 组件库目录是后来才开的——如果不管，五条并行线会各自写回 `.width(24.0)` 与
+//! `center_x(Length::Fill)`，M68 那两个形态级错误就会被复制五份。
+//!
+//! 四条判据（每条对应一个已发生过的错误）：
+//!
+//! | 判据 | 抓的是什么 | 历史 |
+//! |---|---|---|
+//! | Q8：禁 `center_x(` / `center_y(` / `.center(` | 容器尺寸被 `Fill` 静默覆盖 | 药丸 56×32 → 88×32 |
+//! | Q9：图标必须经 `layout::fixed` / `centered_fixed` | 字形被 Button 的 Fill 撑满 | 24 的字形渲染成 46px |
+//! | T2：禁尺寸字面量 | 组件里重复定义令牌值 | rubric T2 |
+//! | 400 行 | 单文件上限（AGENTS.md §3-1） | `guards.yml` 的 file-size job |
+//!
+//! 扫描对象是**源码文本**而不是布局结果——这不是偷懒：布局结果要真窗口（CI 无桌面），
+//! 而「把尺寸交给 `center_*`」这个错误 100% 出现在源码形态里（M68 就是这样被抓的）。
+//! 像素级几何另有 `gallery::probe` 对着真截图量。
+
+use std::path::{Path, PathBuf};
+
+/// 单文件行数上限（AGENTS.md §3-1）。
+const MAX_LINES: usize = 400;
+
+fn src_dir() -> PathBuf {
+    PathBuf::from(env!("CARGO_MANIFEST_DIR")).join("src")
+}
+
+fn components_dir() -> PathBuf {
+    PathBuf::from(env!("CARGO_MANIFEST_DIR"))
+        .join("src")
+        .join("components")
+}
+
+fn rust_files(dir: &Path, collected: &mut Vec<PathBuf>) {
+    let entries =
+        std::fs::read_dir(dir).unwrap_or_else(|error| panic!("读不动 {}：{error}", dir.display()));
+
+    for entry in entries {
+        let path = entry.expect("目录项读失败").path();
+        if path.is_dir() {
+            rust_files(&path, collected);
+        } else if path.extension().is_some_and(|ext| ext == "rs") {
+            collected.push(path);
+        }
+    }
+}
+
+/// 全部组件源文件（`mod.rs` 也要扫：它是共享地基，最容易混进字面量）。
+fn sources() -> Vec<(PathBuf, String)> {
+    let mut files = Vec::new();
+    rust_files(&components_dir(), &mut files);
+    files.sort();
+
+    assert!(
+        files.len() >= 15,
+        "只扫到 {} 个组件源文件：扫描逻辑坏了，门禁等于没跑",
+        files.len()
+    );
+
+    files
+        .into_iter()
+        .map(|path| {
+            let text = std::fs::read_to_string(&path)
+                .unwrap_or_else(|error| panic!("读不动 {}：{error}", path.display()));
+            (path, text)
+        })
+        .collect()
+}
+
+/// 去掉 `#[cfg(test)]` 之后的全部内容：测试里写参考值是**应该的**（12b 的 40/24/20
+/// 必须在测试里以字面量出现，否则测不出偏离）。
+fn product_part(text: &str) -> &str {
+    match text.find("#[cfg(test)]") {
+        Some(at) => &text[..at],
+        None => text,
+    }
+}
+
+/// 代码行（跳过注释行：文档里写 `.center_x(` 是在解释坑，不该判违规）。
+fn code_lines(text: &str) -> impl Iterator<Item = (usize, &str)> {
+    text.lines().enumerate().filter_map(|(index, line)| {
+        let trimmed = line.trim_start();
+        if trimmed.starts_with("//") {
+            None
+        } else {
+            Some((index + 1, line))
+        }
+    })
+}
+
+#[test]
+fn q8_no_center_shortcuts_that_swallow_fixed_sizes() {
+    let mut offenders = Vec::new();
+
+    for (path, text) in sources() {
+        for (line_no, line) in code_lines(product_part(&text)) {
+            for pattern in ["center_x(", "center_y(", ".center("] {
+                if line.contains(pattern) {
+                    offenders.push(format!(
+                        "{}:{line_no} {line}\n    → {pattern} 会把容器尺寸改成 Fill（Q8），\
+                         居中请用父级 align_x 或 layout::centered_fixed",
+                        path.display()
+                    ));
+                }
+            }
+        }
+    }
+
+    assert!(offenders.is_empty(), "Q8 违规：\n{}", offenders.join("\n"));
+}
+
+#[test]
+fn q9_icons_never_reach_a_button_unwrapped() {
+    let mut offenders = Vec::new();
+
+    for (path, text) in sources() {
+        let product = product_part(&text);
+        // 允许两种写法：同一行里已经包在 layout:: 里；或它是 `layout::fixed(` 多行调用的实参
+        // （图标常作为第 3 个参数出现在后两行，所以往回看 4 行）。
+        let mut window: Vec<&str> = Vec::new();
+        for (line_no, line) in code_lines(product) {
+            if line.contains("icons::view") {
+                let wrapped =
+                    line.contains("layout::fixed") || line.contains("layout::centered_fixed");
+                let continued = window.iter().rev().any(|prev| {
+                    prev.contains("layout::fixed") || prev.contains("layout::centered_fixed")
+                });
+                if !wrapped && !continued {
+                    offenders.push(format!(
+                        "{}:{line_no} {line}\n    → 图标必须经 layout::fixed / centered_fixed 包一层（Q9）",
+                        path.display()
+                    ));
+                }
+            }
+            if !line.trim().is_empty() {
+                window.push(line);
+                if window.len() > 4 {
+                    window.remove(0);
+                }
+            }
+        }
+    }
+
+    assert!(offenders.is_empty(), "Q9 违规：\n{}", offenders.join("\n"));
+}
+
+/// 布局调用后面直接跟数字 → 判违规（`0` 与 `0.0` 放行：0 = 无内边距/无描边）。
+fn size_literal(argument: &str) -> Option<String> {
+    let mut rest = argument.trim_start();
+    for wrapper in ["Length::Fixed(", "Padding::from(", "Size::new("] {
+        if let Some(after) = rest.strip_prefix(wrapper) {
+            rest = after.trim_start().trim_start_matches(['[', '(']);
+            break;
+        }
+    }
+
+    let number: String = rest
+        .trim_start()
+        .chars()
+        .take_while(|ch| ch.is_ascii_digit() || *ch == '.')
+        .collect();
+
+    if number.is_empty() || number.trim_end_matches('.').parse::<f64>() == Ok(0.0) {
+        return None;
+    }
+    Some(number)
+}
+
+#[test]
+fn t2_no_size_literals_in_components() {
+    let mut offenders = Vec::new();
+
+    for (path, text) in sources() {
+        for (line_no, line) in code_lines(product_part(&text)) {
+            for pattern in [".width(", ".height(", ".size(", ".spacing(", ".padding("] {
+                let mut from = 0;
+                while let Some(found) = line[from..].find(pattern) {
+                    let after = from + found + pattern.len();
+                    if let Some(number) = size_literal(&line[after..]) {
+                        offenders.push(format!(
+                            "{}:{line_no} {line} -> {pattern} 后面写了数字 {number}",
+                            path.display()
+                        ));
+                    }
+                    from = after;
+                }
+            }
+        }
+    }
+
+    assert!(
+        offenders.is_empty(),
+        "组件里不许有尺寸字面量（走 LayoutMetrics / Space / ComponentMetrics）：\n{}",
+        offenders.join("\n")
+    );
+}
+
+/// 单文件 ≤400 行：**扫整个 `src/`**，不只 components。
+///
+/// M90 r2（P1-2）的教训：这条守门原来只遍历 `components/`，于是 `pages/harness.rs` 悄悄长到
+/// 402 行没人拦，直到 `guards.yml` 的 file-size job 在 CI 上判红才发现。`guards.yml` 的口径是
+/// **全仓**（`git ls-files '*.rs' '*.md' …`），这里至少把本 crate 的 `src/**` 对齐：
+/// 谁在 `app/` / `pages/` / `shell/` 把文件推过线，`cargo test` 就先红，不用等 CI。
+#[test]
+fn every_source_file_stays_under_the_line_limit() {
+    let mut files = Vec::new();
+    rust_files(&src_dir(), &mut files);
+    assert!(
+        files.len() >= 40,
+        "src/ 至少 40 个 .rs，实际 {}：扫描逻辑坏了，这条门禁等于没跑",
+        files.len()
+    );
+
+    let mut offenders = Vec::new();
+    for path in files {
+        let text = std::fs::read_to_string(&path).expect("读源文件");
+        let lines = text.lines().count();
+        if lines > MAX_LINES {
+            offenders.push(format!(
+                "{}: {lines} 行（上限 {MAX_LINES}）",
+                path.display()
+            ));
+        }
+    }
+    assert!(
+        offenders.is_empty(),
+        "单文件 ≤400 行（AGENTS.md §3-1，guards.yml 按全仓判红）：\n{}",
+        offenders.join("\n")
+    );
+}
+
+/// 四个家族目录必须存在且结构完整。
+///
+/// **这里刻意不再限制「pub fn 有几个」**：M76 往 `selection/` 里加 Checkbox/Radio 是它的本职工作，
+/// 而家族线被明确要求不许改 `gate.rs`——把「桩还在不在」写成 pub fn 计数，等于给 M76 埋一个
+/// 它无权拆的地雷（reviewer P1-C）。越界与否由 merge gate 的 scope 判定（各家族目录只归对应
+/// mission），门禁只管「地基还在」：
+///
+/// - 四个家族目录各有 `mod.rs`；
+/// - `components/mod.rs` 仍声明这五个家族 + gallery（谁把声明删了，这里先红）。
+#[test]
+fn the_five_families_are_declared_and_present() {
+    let declared =
+        std::fs::read_to_string(components_dir().join("mod.rs")).expect("读 components/mod.rs");
+
+    for family in ["selection", "inputs", "feedback", "navigation"] {
+        let dir = components_dir().join(family);
+        let file = dir.join("mod.rs");
+        assert!(file.is_file(), "家族目录 {} 缺 mod.rs", dir.display());
+        assert!(
+            declared.contains(&format!("pub mod {family};")),
+            "components/mod.rs 少了 `pub mod {family};` 声明"
+        );
+    }
+    assert!(
+        declared.contains("pub mod gallery;") && declared.contains("pub mod buttons;"),
+        "components/mod.rs 的声明被动了"
+    );
+}
+
+/// gallery 的五个家族文件必须都在（`mod.rs` 声明了它们，缺一个就编译不过——
+/// 这条在并行线删文件/改名时给出人话，而不是一堆 `unresolved module`）。
+#[test]
+fn gallery_keeps_one_file_per_family() {
+    for family in ["buttons", "selection", "inputs", "feedback", "navigation"] {
+        let path = components_dir()
+            .join("gallery")
+            .join(format!("{family}.rs"));
+        assert!(
+            path.is_file(),
+            "gallery 缺 {}（本文件结构是并行地基）",
+            path.display()
+        );
+
+        let text = std::fs::read_to_string(&path).expect("读 gallery 家族文件");
+        assert!(
+            text.contains("fn section"),
+            "{} 必须提供 section()（gallery/mod.rs 调它）",
+            path.display()
+        );
+    }
+}
+
+/// 门禁自身不能空转：造几个违规样本喂给判据。
+#[test]
+fn the_gate_catches_planted_violations() {
+    assert_eq!(
+        size_literal("Length::Fixed(40.0))").as_deref(),
+        Some("40.0")
+    );
+    assert_eq!(size_literal("0)").as_deref(), None);
+    assert_eq!(
+        size_literal("ui.metrics().control_height)").as_deref(),
+        None
+    );
+    assert!(product_part("a\n#[cfg(test)]\n.width(40.0)\n")
+        .find(".width(40.0)")
+        .is_none());
+    assert!(product_part("a\n.width(40.0)\n")
+        .find(".width(40.0)")
+        .is_some());
+    // Q8 判据本身
+    for code in ["x.center_x(Length::Fill)", "x.center(Length::Fill)"] {
+        assert!(
+            code.contains("center_x(") || code.contains(".center("),
+            "判据写坏了"
+        );
+    }
+}