test(NET): 假 CH395F 芯片落地 + net_listener 模块（34 条，覆盖 99.2%）

按 §9 规格做假芯片的第一批消费者。新增 test/host/common/ch395f_fake.{h,c}：15 个
函数的**真实原型逐字照抄**（含 ch395f_sock_state_t{open,tcp_state} 与 ERR_SUCCESS/
PROTO_TYPE_TCP/SOCKET_CLOSED/TCP_CLOSED/TCP_LISTEN 的真实取值），脚本化模型沿用本仓
既有假件风格：读函数按调用序号取返回队列（耗尽回落最后一个值）、写函数记次数与
最近入参、外加一条**调用顺序日志**让时序契约可断言。两条芯片怪癖必须复刻：
① get_sock_int_status **整体读即清**、无按位清除手段（AGENTS 模块约定 B3 实证坑，
不复刻就照不出"顺手全量清一遍把别的在用 Socket 门焊死"）；② *_cached 是**缓存值**
而非现场值，"监听还活着"的判据是 (open != CLOSED && tcp_state == LISTEN)。
各模块 stub/ch395f.h **只做转发** include 共享件（规格里拍板的方案）：三份假芯片各自
漂移会让"假件与被测代码同时错"再也报不出来，签名与常量只能有一份定义。

新增 test/host/net_listener/，34 条断言，net_listener.c 覆盖 125/126 = **99.2%**。
钉住的契约（真机上一闪而过、台架凑不齐的组合）：
- 四道互相牵制的时间闸门：30ms 退避（20ms 不重试、30ms 重试）、隔离级 400ms 与
  优雅级 100ms（399ms/99ms 不放行、400ms/100ms 放行）、**800ms 上限只留痕且不放弃
  请求**（留痕只打一次，到 2000ms 预算耗尽才报 ERROR 交对账器）。排期登记里那句
  "沉降窗 800ms 上限只留痕"至此第一次有了可执行的验证。
- 该不该重建：芯片仍报 LISTEN 就不重建且清空请求；有挂起 recv/send 时让路但**保留
  请求**（挂起结束自动补做）；五种条件静默放弃（非 LISTENING/CLOSED 态、
  auto_relisten=0、非 STREAM、local_port=0、in_use=0）。
- 失败不留半成品：open 失败关回去并回 BUSY；listen 失败也必须 close_socket。
- 重建后簿记：转 LISTENING、清 send_ready/recv_bytes/remote_ip(_arr)/remote_port、旧
  remote_port 记进 last_peer_port、清 lost_conn_seen/released_abnormal；源端口与协议
  取自表项本身（监听端口不能漂）。
- 芯片时序：清接收 → 关断 → 读即清 → 读状态（顺序不可换）；清理接收区单次读钳到
  256B、最多 16 轮、读到空即停。越界 fd 全程静默且不打扰芯片；请求去重保留首个 reason。

测试自查修了两处（都不是生产问题但值得记）：
① reset_all 只复位假世界、**没复位被测模块自己的 static**（s_relisten_req/_next/_dead/
_quarantine/_settle_*/_capped），一上来红了 9 条；改用模块自带的 net_listener_clear()
清，顺带验证了 clear 的完整性。
② 沉降窗边界必须在**独立场景**测：放行判定与 30ms 退避共用 s_relisten_next，同一条
链里"恰好 400ms"那轮 tick 会被上一轮设的退避槽挡掉。这本身是个该知道的事实——
**hold 到点后最坏还要再等一个退避周期（实测 ≤30ms）才真正放行**，已写进用例注释。
另留痕一处死分支：net_relisten_locked 的 NET_ERR_BADF 从 tick **不可达**（tick 在调用
前就因表项为空放弃），TC-NETLIS-026 记着，新增调用点时要重新审视。

桩的口径：net_listener.h/net_types.h/net_config.h/net_pending.h 用**真实头**（net_sock_t
字段与各枚举一改即编译期报错）；net_socket.h 是桩，但 net_set_errno 与 NET_ERR_RETURN_1
照抄真实头同名宏（net_socket.h:528/532）；真实 net_pending.h 原型带 TaskHandle_t，故
宿主 FreeRTOS.h 补一个 void* typedef（只出现在签名里，被测代码从不传它）。

覆盖率与台账：套件 22 → 23 全绿；files_tested 26 → 27；未触及 .c 40 → 39；分母
3,446 → 3,572 行；line=3128/3572（87.6%，本批净涨因为新进来的文件几乎全绿）、
func=243/266（91.3%）。恒等式 39 = 5(P1 剩) + 5(P2) + 29(P3) 仍咬合。编号补建
TC-HOST-NETLIS（游标 026），族数 16 → 17；注册表仍只做增量插入。

自查：test-cppcheck Passed（连假芯片一起过）；check_ids --strict 通过；doc-links 35 处
（= 存量）；新增文件 BOM/CR/U+FFFD/行尾逐项净。**本增量零生产代码改动**，未跑 @build。
--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）
与 ui-golden（ref/*.bin 不入库，新 worktree 天生没有黄金参考）三条失败，与本分支无关。

docs/测试说明/主机单测覆盖率口径.md

@@ -227,9 +227,14 @@
   未测（要先把假 `FIL/FILINFO` 的字段语义做实，否则断言落在假件自己写的规则上） |
 | NET 四块之一：`net_select.c` | ✅ 完成 | `test/host/net_select`（21 条） | `net_select.c` 97/114 = **85.1%** |
 | `lftpd.c` / `lftpd_inet.c` | ⬜ 未开始 | — | 需假 `net_socket` 层（`time_sync`/stub 那份可扩展） |
-| NET 剩下三块（`net_pending`/`net_events`/`net_listener`） | ⬜ 未开始 | — |
-  本批新建的 `stub/ch395f.h` 是**空壳**，只服务"不调芯片函数"的文件；这三块直接调
-  `ch395f_*` 十余处，要的是能脚本化返回的**假芯片**，不是这个空壳 |
+| NET 三块之一：`net_listener.c` | ✅ 完成（**125/126 = 99.2%**） |
+  `test/host/net_listener`（34 条）+ 共享假芯片 `test/host/common/ch395f_fake.{h,c}` |
+  四道时间闸门全钉住（30ms 退避 / 400 与 100ms 两级沉降 / 800ms 上限只留痕 / 2000ms
+  预算交对账器），另有接收区 256B 钳位与 16 轮上限、"清接收→关断→读即清→读状态"的
+  调用顺序、五种静默放弃条件 |
+| NET 剩下两块（`net_pending`/`net_events`） | ⬜ 未开始 | 假芯片已就绪，直接接即可 |
+  `net_pending` 要 `net_listener_request` 的记录型假件；`net_events` 依赖最多
+  （`net_sock_raw`/`net_listener_settle`/`net_pending_cancel`/`xTaskGetTickCount`）放最后 |
 | 104 服务层 | ⬜ 未开始 | — | 桩最省（复用 `cmsis_os2.h` + `net_socket.h`） |
 
 本批照出的两处**现状**（只登记、**未改语义**；全库唯一调用点 `test/board/net_test_task.c`