feat(net/udp): UDP 数据面并入 netMsgQueue 串行执行（#73）

前置来自 #57 SNTP 调研：旧 net_sendto / net_recvfrom 由调用方直调
SPI 且无限自旋收包，既违约「netTask 是芯片唯一访问者」，又把 IWDG
预算吃在自旋里。

改造面
- 新增 Drivers/BSP/NET/net_udp.c/.h（真机专属，模拟器不编译）：
  bind/set_peer/sendto/recvfrom 四条执行体 + 挂起收包表 + tick；
  net_msg_type_t 加四型，公开 API 一律「入队 → 睡在通知上」。
- 源地址出参不搭 net_msg_t（按值拷贝，AGENTS 禁加回传字段）：改住
  net_udp.c 的 per-fd 槽，netTask 就地写回调用方内存，通知值只带
  结果码；每条出口都清槽，泄漏 = 该 fd 永久 BUSY。
- 发送复用 net_send_locked，不写第二份分块逻辑；「会话是否已死」
  收成一条判据 net_send_state_down()（TCP 看 ESTABLISHED、UDP 看
  UDP_OPEN），原先 4 处各写一遍。
- 顺带修掉真缺陷（新条 TRAP-NET-22）：旧 sendto 把 DesIP 写成具体
  IP，芯片静默切 UDP Client，而旧 recvfrom 无条件剥 8 字节 → SNTP
  这类 48 B 应答丢载荷前 8 字节并交出垃圾源地址。加 udp_mode（塞进
  原有 padding，sizeof 不变）、bind 恒 SERVER、显式对端 sendto 切
  CLIENT、set_peer(fd, NULL) 轻量回 SERVER，仅 SERVER 且 avail >= 8
  才剥头。
- 截断定案：一次调用交付一个数据报，buf 装不下的尾巴用 64 B 栈上
  scratch 排空（不用 clear_recv_buf——它连后面已到达的包一起丢）。
- 取消点接齐：net_init 重建 cancel_all、net_socket 分配 fd clear、
  net_close settle_close + clear、重 bind 前先结算等包者，
  net_process_messages 第 5 个 tick 位挂 net_udp_tick。
- 收紧两处契约（原实现无生产调用者）：UDP 未 bind 一律 -5；
  net_recv / _nb / _to 拒 DGRAM（绕过剥头就是静默吃 8 字节）；
  NET_ERR_NOT_IN_NETTASK(-12) 退役为历史常量并写明原因。

验证
- 主机单测 test/host/net_socket 全套 616/616 绿（改造前 470）：新
  分片 ns_s7_udp.c 20 组，改写 440 / 555 / 560 组；覆盖率
  net_udp.c 234/236（99.2%）、net_socket.c 956/969（98.7%），
  scripts/test_coverage_baseline.json 随本提交登记新文件。
- 测试抓到 4 个被测码真 bug：自等守卫误用调用侧谓词、芯片长度被读
  两次、槽指针取在 fd 合法性检查之前、重 bind 静默作废等待者。
- Keil ARMCC 0 Error(s) 0 Warning(s)；net_udp.o Code 1,358 / ZI 224
  （8 fd × 28 B，其余模块零增长），全仓 RW_IRAM1 72.2%；内存台账
  受管区按门禁提示用 --write / --update 机器回填，未手改数字。
- pre-commit 全量钩子（含 doc-links、coding-standard、mem-budget、
  generated-fresh、bsp-err、registration、nested-comment）全绿。

限度
- 本轮无板子：真机回归 5 条（两端互通、set_peer(NULL) 能否恢复收
  广播、截断排空后下一包完整性、挂起 recv 期间 IWDG 余量、bind 写
  DesIP 与 open 先后的真芯片效果）已写进覆盖率口径「台架必验」。
- scripts/stack_report.py 退出码 1 是 10-26 起挂在账上的 iec104Task
  栈债（margin 1,016 < 1,024，见 docs/代码规范/pre-commit使用说明.md:
  122）；本轮只让 net_bind 的 UDP 分支多一层静态帧（1,544 → 1,600），
  netTask margin 1,888 与 timeSyncTask 1,152 不受影响。抬栈要过
  mem-budget 台账，不在本分支自行处理。
- 登记簿销项按仓库约定留给主工作树，本分支不动 docs/任务规划/**。

test/host/net_socket/ns_s5_io.c

@@ -425,7 +425,10 @@ static void tc_430_connect(void)
     reset_all();
 }
 
-/* TC-NETSOCK-440 UDP 数据报：sendto 分块 / recvfrom 剥 8 字节报文头 */
+/* TC-NETSOCK-440 UDP 数据报（2026-11-03 队列化改造后）：
+ * 三条硬前提写进每一段——UDP 必须**先 net_bind**（芯片侧 Socket 没打开就发/收，
+ * 是 NOTCONN 而不是"看起来能用"），执行任务（netTask）上下文走**直接执行**分支，
+ * 别的任务走 netMsgQueue（完整队列链路由分片 7 ns_s7_udp.c 钉）。 */
 static void tc_440_udp_datagram(void)
 {
     static char big[2100];
@@ -445,62 +448,71 @@ static void tc_440_udp_datagram(void)
 
     fd = net_socket(NET_AF_INET, NET_SOCK_DGRAM);
     CHECK(net_sendto(fd, NULL, 5, 0, NULL, 0) == -1 && net_get_errno() == NET_ERR_INVAL,
-          "TC-NETSOCK-440d sendto invalid arguments -> INVAL");
+          "TC-NETSOCK-440d sendto invalid arguments -> INVAL (argument checks come before the bind check)");
     CHECK(net_recvfrom(fd, NULL, 5, NET_MSG_DONTWAIT, NULL, NULL) == -1 &&
           net_get_errno() == NET_ERR_INVAL, "TC-NETSOCK-440e recvfrom with a NULL buf -> INVAL");
+    /* 参数没错但还没 bind：新收紧，明确报 NOTCONN（改造前这里会直调芯片 open 都没开的 Socket） */
+    CHECK(net_sendto(fd, "x", 1, 0, NULL, 0) == -1 && net_get_errno() == NET_ERR_NOTCONN,
+          "TC-NETSOCK-440p sendto before net_bind -> NOTCONN (the chip socket is not open yet)");
 
-    /* 带目的地址：先设 DesIP/DesPort 再写数据（不带上限的自旋实现，健康链路一次写完） */
+    /* 带目的地址：先设 DesIP/DesPort 再写数据（执行任务上下文=直接执行，健康链路一次写完） */
     reset_all();
     bring_up_netctx();
-    fd = net_socket(NET_AF_INET, NET_SOCK_DGRAM);
+    fd = udp_bind_ctx(8888);
+    CHECK(fd >= 0, "TC-NETSOCK-440q bind precondition");
     (void)memset(&in, 0, sizeof(in));
     in.sin_port = net_htons(8888);
     in.sin_addr.s_addr = net_inet_addr("192.168.31.9");
+    ch395f_fake_enable_write_capture();
     CHECK(net_sendto(fd, "hello", 5, 0, sa, (int)sizeof(in)) == 5,
           "TC-NETSOCK-440f sendto returns the number of bytes sent");
     CHECK(g_fx.des_ip[fd][3] == 9U && g_fx.des_port[fd] == 8888U,
           "TC-NETSOCK-440g the destination address travels with this send (UDP is connectionless, address is per packet)");
     CHECK(g_chip.write_calls == 1 && s_net_socks[fd].send_bytes == 5U,
           "TC-NETSOCK-440h small packet written in one go plus statistics");
+    CHECK(g_fx.write_cap_n == 5U && memcmp(g_fx.write_cap, "hello", 5) == 0,
+          "TC-NETSOCK-440r the chip received exactly the caller's five bytes (the queue carries a pointer, not a copy of the payload)");
+    CHECK(s_net_socks[fd].udp_mode == NET_UDP_MODE_CLIENT,
+          "TC-NETSOCK-440s an explicit destination puts the chip in client mode and the software books it");
 
-    /* 大报分块（仍受 NET_SEND_CHUNK_MAX 上界约束） */
+    /* 大报分块（仍受 NET_SEND_CHUNK_MAX 上界约束，与 TCP 同一份实现） */
     reset_all();
     bring_up_netctx();
-    fd = net_socket(NET_AF_INET, NET_SOCK_DGRAM);
+    fd = udp_bind_ctx(8888);
     g_ns_int_pin_set = 0;
     ch395f_fake_push_glob((uint16_t)(1U << (fd + 4)));
     ch395f_fake_set_sint_sticky((uint8_t)fd, CH395F_SINT_STAT_SENBUF_FREE);
     CHECK(net_sendto(fd, big, 2100, 0, NULL, 0) == 2100, "TC-NETSOCK-440i all 2100 bytes delivered");
     CHECK(g_chip.write_calls == 3, "TC-NETSOCK-440j UDP also chunks at the 1024 bound (the FIFO overrun constraint matches TCP)");
 
-    /* recvfrom：前 8 字节是芯片 UDP 头（长度/srcPort/srcIP），要剥掉再交出去 */
+    /* recvfrom：服务器模式前 8 字节是芯片信息头（长度/源端口/源 IP），剥掉再交出去 */
     reset_all();
     bring_up_netctx();
-    fd = net_socket(NET_AF_INET, NET_SOCK_DGRAM);
+    fd = udp_bind_ctx(8888);
     ch395f_fake_push_recv_len((uint8_t)fd, 8U + 20U);
     addrlen = (int)sizeof(in);
     (void)memset(&in, 0, sizeof(in));
-    CHECK(net_recvfrom(fd, buf, (int)sizeof(buf), 0, sa, &addrlen) == 20,
+    CHECK(net_recvfrom(fd, buf, (int)sizeof(buf), NET_MSG_DONTWAIT, sa, &addrlen) == 20,
           "TC-NETSOCK-440k returns 20: the 8-byte report header was stripped, the header is not handed over as data");
     CHECK(addrlen == (int)sizeof(in) && in.sin_family == NET_AF_INET,
           "TC-NETSOCK-440l fills the source address structure and length");
 
-    /* 无数据 + 非阻塞 → WOULDBLOCK（阻塞形态是自旋无预算，本套刻意不测，见交付说明） */
+    /* 无数据 + 非阻塞 → WOULDBLOCK */
     reset_all();
     bring_up_netctx();
-    fd = net_socket(NET_AF_INET, NET_SOCK_DGRAM);
+    fd = udp_bind_ctx(8888);
     CHECK(net_recvfrom(fd, buf, (int)sizeof(buf), NET_MSG_DONTWAIT, NULL, NULL) == -1 &&
           net_get_errno() == NET_ERR_WOULDBLOCK, "TC-NETSOCK-440m non-blocking with no data -> WOULDBLOCK");
     s_net_socks[fd].blocking = 0U;
     CHECK(net_recvfrom(fd, buf, (int)sizeof(buf), 0, NULL, NULL) == -1 &&
           net_get_errno() == NET_ERR_WOULDBLOCK, "TC-NETSOCK-440n the non-blocking attribute follows the same decision");
-    /* 短于 8 字节的残包：不剥头，整包交出去（钉当前实现的边界，不猜"应该怎么算"） */
+    /* 服务器模式短于 8 字节的残包：无从判头，整包按载荷交付（440o 的既有定案保留） */
     reset_all();
     bring_up_netctx();
-    fd = net_socket(NET_AF_INET, NET_SOCK_DGRAM);
+    fd = udp_bind_ctx(8888);
     ch395f_fake_push_recv_len((uint8_t)fd, 5U);
-    CHECK(net_recvfrom(fd, buf, (int)sizeof(buf), 0, NULL, NULL) == 5,
-          "TC-NETSOCK-440o with recv_len<8 no header is stripped, the whole packet is returned (current implementation)");
+    CHECK(net_recvfrom(fd, buf, (int)sizeof(buf), NET_MSG_DONTWAIT, NULL, NULL) == 5,
+          "TC-NETSOCK-440o with recv_len<8 no header is stripped, the whole packet is delivered");
     reset_all();
 }