test(NET): net_pending 模块（43 条，覆盖 87.1%），钉住通知值回传契约

假 CH395F 的第二批消费者。新增 test/host/net_pending/，net_pending.c 覆盖
169/194 = 87.1%。共享假芯片补了**缓冲尺寸宏链的同构转抄**（RAM_BLOCK 512 /
SEND_BLOCKS 2 → SEND_BUF 1024；RECV_BLOCKS 4 → RECV_BUF 2048 → SPI_DMA_BUF 2052
→ SPI_DMA_MAX_PAYLOAD 2048），于是 net_pending.h 里的 NET_SEND_CHUNK_MAX 是**真值
1024**，分块断言测的是芯片上界而不是假件自己发明的数字。

本模块的核心契约是跨上下文回传：AGENTS 模块约定写着 net_* 的错误码经**任务通知值**
回传（net_msg_t 按值拷入队列，netTask 改的是自己那份副本，调用方永远看不到；也勿给
net_msg_t 加回传字段，否则调用方读到栈垃圾）。台架读不到通知值，所以把 xTaskNotify
做成可观测假件（记目标句柄与通知值）之后，这条契约才第一次被真正验证。

钉住的契约：
- 注册闸门：越界 fd 报 BADF；同 fd 已有挂起报 BUSY；caller 为空报 BUSY；**属主任务
  自己发起被拒**（自己等自己等于死锁 netTask）；to_ms=0 记为无限等（不置 deadline）。
- 到达与截断：读量钳在调用方缓冲内（绝不越界写别人的 buf）；readable 但芯片没数据时
  只清标志继续等，不误交 0 字节。
- 收尾四条分支：还有残留先把最后一包读走再收尾（**不丢尾包**）；干净结束报 0 并按
  auto_relisten 请求重开监听（不自动重开的不被偷偷要求重建）；released_abnormal 报
  CONNRESET 而不是 0（调用方要能分辨好坏收尾）；session_dead 与 CLOSED 同路。
- settle_close：没挂起时直接返回不打扰芯片；有残留交还字节数；无残留报 CONNRESET。
- 挂起发送：参数校验（buf 空 / len<=0 / sent<0 / sent>=len 报 INVAL）；单次写入钳在
  NET_SEND_CHUNK_MAX；**deadline 每写一轮就续期**（还在推进就不该被 1000ms 掐死，
  FTP 上传大文件最容易撞这条）；停滞不前进才报 TIMEDOUT；槽位消失或会话塌掉都**交还
  已发字节数**（不是错误码，调用方据此算进度）；cancel 留痕且幂等；**clear 不发通知**
  （与 recv 侧同一条纪律，不给调用方假答复）。

自查：42/43 首跑，唯一红的是**我的测试构造缺陷**——无限等那条没先把槽位置成在用，
被 in_use==0 兜底分支提前收口，测不到时间轴；补 mk_sock 后 43/43。reset_all 从上一
批的教训直接带过来（连被测模块的 static 挂起表与属主句柄一起复位），这次没再红。

覆盖率与台账：套件 23 → 24 全绿；files_tested 27 → 28；未触及 .c 39 → 38；分母
3,572 → 3,766 行；line=3297/3766（87.5%）、func=255/282（90.4%）。恒等式
38 = 4(P1 剩) + 5(P2) + 29(P3) 仍咬合。编号补建 TC-HOST-NETPEND（游标 040），
族数 17 → 18；注册表仍只做增量插入。

自查门禁：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）；
12 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。
--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）
与 ui-golden（ref/*.bin 不入库）三条失败，与本分支改动无关。

test/host/net_pending/run_unit_test.py

@@ -0,0 +1,59 @@
+#!/usr/bin/env python3
+# -*- coding: utf-8 -*-
+"""NET 层挂起 recv / 挂起 send（net_pending）主机侧单元测试运行器（L0.5，纯标准库）。
+
+做什么：
+    用本机 MSVC 编译 test/host/net_pending/net_pending_test.c（以 #include 纳入生产源
+    Drivers/BSP/NET/net_pending.c 与共享假芯片 test/host/common/ch395f_fake.c），在 PC
+    上离线验证两条挂起队列：注册闸门、错误码经任务通知值回传、收数据到达/截断/超时、
+    会话塌掉的四条收尾分支、settle_close 语义、发送侧分块上限与停滞判定与 deadline
+    续期。工具链与判定委托 test/host/common/unit_test_harness.py。
+
+为什么要主机侧单测（而不是只用台架）：
+    本模块的核心契约是"跨上下文回传"——net_msg_t 按值拷入队列，netTask 改的是自己那份
+    副本，错误码只能搭任务通知值回来（也绝不能给 net_msg_t 加回传字段，否则调用方读到
+    栈垃圾）。台架根本读不到通知值，所以这条契约在真机上只表现为"偶发拿到 0 或正数却
+    不知道为何"。另外：收尾四条分支少一条就是"对端已断而我方任务还挂着"或"最后一包数据
+    被丢掉"；发送分块上限踩错会写爆芯片 FIFO；deadline 续期写错会把 FTP 大文件在传输
+    中途掐死——这些都要能精确数着字节与毫秒测。
+
+桩的边界：net_pending.h / net_types.h / net_config.h / net_listener.h 用真实头
+    （TaskHandle_t 入参与 NET_PENDING_REGISTERED、NET_SEND_TIMEOUT_MS、net_listener_req_t
+    一改即编译期报错）；net_socket.h 是桩（net_set_errno 与 NET_ERR_RETURN_1 照抄真实头
+    同名宏）；ch395f.h 只转发到共享假芯片（缓冲尺寸宏链与真实头同构转抄，
+    NET_SEND_CHUNK_MAX 因此是真值 1024）；FreeRTOS.h / task.h 是宿主等价壳，但把
+    xTaskNotify 做成**可观测**假件——没有它，本模块最重要的那条契约根本无法验证。
+
+用法（仓库根目录）：
+    python test/host/net_pending/run_unit_test.py
+
+退出码：0=PASS / 1=测试失败 / 2=环境错误。
+
+设计依据：AGENTS.md 模块约定（错误码经任务通知值回传）、
+docs/网络/Net层阻塞模型架构设计.md、docs/测试说明/主机单测覆盖率口径.md §9
+创建日期：2026-10-23
+"""
+import os
+import sys
+
+HERE = os.path.dirname(os.path.abspath(__file__))
+ROOT = os.path.dirname(os.path.dirname(os.path.dirname(HERE)))
+sys.path.insert(0, os.path.join(ROOT, "test", "host", "common"))
+
+from unit_test_harness import TestBuild, run_host_unit_test  # noqa: E402
+
+BUILD = TestBuild(
+    name="NET Pending Tests",
+    src=os.path.join(HERE, "net_pending_test.c"),
+    include_dirs=[
+        os.path.join(HERE, "stub"),
+        os.path.join(ROOT, "test", "host", "common"),
+        os.path.join(ROOT, "Drivers", "BSP", "NET"),
+        HERE,
+    ],
+    summary_marker="=== NET Pending Tests:",
+)
+
+if __name__ == "__main__":
+    sys.exit(run_host_unit_test(BUILD))
+