wandering1/STM32F4-Base
1
0
Fork 0
Code Issues 30 Pull Requests Actions Packages Projects 2 Releases Wiki Activity
547 Commits 3 Branches 0 Tags
15aa08552cf16fac642666bef0029b6bddde2fd3
Commit Graph

23 Commits

Author SHA1 Message Date
wandering1 15aa08552c docs(问题记录): 删除项目审查与优化建议报告，结论并入模块文档与编号规范 
用户裁定：该报告大部分内容已闭环，可删除；仍有价值的迁到合适文档。删前逐条核对，
确认绝大多数结论在仓内早已有权威副本（LV_DRAW_SW_COMPLEX / osFlagsNoClear / SPI 分频 8
/ 分层反向依赖存量基线等），只迁真正独有的四类内容：

1. 暂缓理由与重开条件（三条量化门槛）→ RAM 使用分析与优化方案 §4，并明确「本节是唯一
   权威」，其它文档只留指针；同时把 10 处指向报告 §5.3 的重开条件引用改指该节。
2. 2026-10-22「常驻 vs 动态」三项诊断（静态前五块 43,462 B = 58%；动态面只有 heap_4，
   故栈余量=CCM 余量；栈深主因是日志/配置写链）→ 同文档 §2.5。
3. `_fp_digits` 1,018 B 删不掉的机理与 F-6 根因修法（Q10 宏改单精度，−332 B，4.49e6 例
   逐位等价）→ §2.6.4。
4. 「UI 侧缓冲进 CCM」要按 DMA 可达性二分（LVGL 池可进，帧缓冲/推流缓冲不可）→ 暂缓清单。

编号侧（报告曾是 6 个族的属主登记处）：
- 原报告 §9 的 26 行「号 → 现在详述于」对照表迁到 docs/编号规范.md 新增 §4.5，6 族
  owner_docs 改指该节。规范正文含大量写法示例，直接当定义集会误伤，故 check_ids.py
  新增 `_def_owners`：snapshot_only 族剔除规范正文，只恢复可判定、不参与悬空/撞号/裸形
  /紧邻判定（实测若不分，裸形 S1 误报 238 条、S-3 与登记簿 S-3 误判重复定义）。
- 11 个已死号（N-03b/N-10~N-13/N-20/N-21/N-24/N-26/S-1/S-2）在 id_aliases.json 登记
  status=void 并写明去处——它们被约 110 处代码注释与文档引用，原先只靠「报告里顺带提过
  一句」才算有定义，报告一删就集体悬空。N-21/S-1/S-2 一号两义，注记已分别标明。
- 顺带修 id_aliases.json 的 note 被脚本累积重复 26 次；修 registry 里 3 处仍指向改名前的
  任务卡文件名（W1-采集保护收尾.md / W8-数据可信.md），以及 iec104_master.py 两处同类注释。

门禁：check_ids --strict 通过（可判定 8747/10410 = 84.02%，基线由 82.6% 抬到 84.0%）；
check_doc_links --all --sections-strict 通过（177 文档）；pre-commit 相关钩子全过。
 2026-10-25 02:08:58 +08:00
wandering1 1e6996ecd0 docs(任务规划): 波次号 W1~W8 改为语义名，两个任务卡文件改名 
用户裁定：W4 这类字母+数字让人难以理解。W 号看着像执行顺序，实际 W8 排在
W3/W4 之前，读者必须先查表才知道谁先谁后；去掉编号后执行顺序就是 §2.0 表
从上到下，少一层映射。

- 波次改语义名：采集保护收尾 / 数据可信 / 预算与内存 / 结构债 / 验证常态 /
  UI 扩展 / 仓库决策
- 文件改名（git mv）：W1-采集保护收尾.md → 采集保护收尾.md，
  W8-数据可信.md → 数据可信.md
- 删掉只为编号存在而写的两条注记（W2/W3 槽位保留、W3 不重编号）
- 并行分道方案的分支 ID 同步：task/W8-scale-doc → task/cal-scale-doc 等
- 编号登记表：WAVE 族标为废止并关闭悬空检查（属主文档已不再定义 W 号），
  C-WAVE / D-WAVE 两族 title 补废止说明
- 同步 15 处跨文档引用（README 文件夹地图、产品需求 §9.2、编号规范 §4.1、
  报告 §0.3 波次表、RAM 台账、保护规划变更记录等）
- 不动的同形异义：网表 W4.0 封装宽度、芯片手册 W1 载带尺寸、MSVC /W4
 2026-10-25 01:44:25 +08:00
wandering1 4a09d4c63f fix(log): syslog_post 投递即拷贝（台架实证驱动的 B 方案整改） 
待发条目 syslog_entry_t 原为 {id, const char *desc}，只存调用方指针，
隐含「desc 必须活到落盘」的契约，但契约既未写进 sys_log.h、也无机械
检查。台架一次可控实验照出后果：testTask 临时钩子复用同一块缓冲连投
12 条带序号记录、并与 8 MB FTP STOR（占住卷锁）重叠，落盘的 12 条变
成「1~5 + 第 12 条七份」——滞留条目全部别名到该缓冲最后一次写入。
叠加卷忙整批回投（条目可滞留到卷空闲），投栈缓冲即成悬垂读。

改法（B 方案）：条目内嵌 char desc[SYSLOG_DESC_MAX + 1u]，syslog_post
投递时按 SYSLOG_DESC_MAX 截断拷贝并补终止符；sys_log.h 参数说明同步
写明「投递即拷贝、不要求生命周期覆盖到落盘」。

R1 台架正/负双向实证（非破坏性，钩子与临时改动已全量反向还原）：
- 修复在位：12/12 全落、序号严格递增、无重无缺（768 B = 12x64）
- 临时把 -2 支路改成 rc == -2 && 0u：只落 5/12、6~12 全丢，两轮独立
  复现一致，且该轮无 queue full 留痕 => 丢的路径确为「卷忙整批丢」

RAM/Flash 前后（scripts/ram_report.py 同口径，同一 .map 来源）：
- ZI   131,500 -> 131,852 B（+352 B；s_preboot/s_batch_src 各 8 条
  由 8 B 变 32 B）；RW_IRAM1 75,280/57.4% -> 75,632/57.7%
- Code 213,720 -> 213,780 B（+60 B）；RW 1,204 B 不变
- RW_CCM 静态不变（57,376 B / 87.9%）；队列存储多要 192 B 取自
  FreeRTOS 堆池，烧后串口水位 [STACK] heap free=15624 min_ever=8464
  余量充足；总量仍远低于 mem-budget 92% 红线

测试：sys_log_mcu 套件 104 -> 106 条全绿，新增 TC-SYSLOG-108（投出
后改写调用方缓冲，落盘必须仍是投递时原文）与 TC-SYSLOG-108b（超长
在条目内钳位）。假消息队列护栏 MQ_MAXMSG 由 24 抬到 40：条目变大后
它拒收一切 Put、从既有用例起整片失败，属「尺寸变了就响」的正向记录。
主机侧此前照不出该类问题，是因为用例传字面量、静态存储期无限。

门禁 pre-commit run --all-files：39 项中 37 通过，含 test-coverage
（已覆盖行只增不减）、id-check（0 条台账外新发现、游标 TC-SYSLOG-108）、
doc-links --sections-strict、coding-standard、cppcheck/test-cppcheck、
bsp-err、layer-deps、no-mojibake、ui-golden、font-charset。仅
mem-numbers 与 mem-budget 失败：docs/内存管理/ 受管台账仍记改前
131,500/213,720。按分支约定不在分支上 --write 受管台账，留待合回
主干时统一回填，故 --no-verify 提交。

真机：产品构建 0 错 0 警告，重烧 + 回读校验 OK（suite=NONE dstr=off）、
启动标记齐全、无 [ERR]、VERDICT PASS。
 2026-10-24 23:15:18 +08:00
wandering1 5a806d8a26 fix(log,net): 处置主机单测照出的 10 条现状，撤销 1 条误报 
用户裁定「全部修」。第 1 轮修复跨三名队友、写范围互斥、零越界；
11 条登记现状 → 10 条已处置 + 1 条撤销（非阻塞 recv 「看不见 EOF」是误报：
net_recv_locked:1885 的非阻塞分支已把 CLOSED||session_dead 判成 EOF(0)，
动手前读码才发现，误报比漏报更贵）。

存储与日志（App/log/sys_log_mcu.c、soe_store.c、cfg_file_store_mcu.c、sys_log.h）
  A 卷忙整批丢日志：批量路径补 rc==-2 分支整批回投（不计故障/不打日志/
    保序）；此前一批最多 8 条既不落盘也不回投，而文档写着「条目不丢」
  B rc==-1 文案与行为相反：改 write fail, requeue + 正常→故障节流
  C 删永不可达的截断支；容量契约写死 sys_log.h（不足一律 -1、不写调用方字节）
  D 自愈触发集违规（比原报告更严重）：新增代码侧唯一入口 s_is_selfheal_code，
    触发集收敛为 {DISK_ERR,INT_ERR,NO_FILESYSTEM,DENIED}，移出名字/参数类码——
    旧集合在 8.3 同名同因下每轮删一次自己的历史日志且永不自愈，正是存储架构
    §10.1 第 10 条严禁的归集；soe_store 侧同源取更保守子集（打开失败绝不 unlink）
  E 注释里的 FR_NO_SYSTEM 不存在，改 FR_NOT_READY / FR_NO_FILESYSTEM
  F syslog_post 满态留痕节流（A 修好后「队列常驻满」成必然场景，不修等于用
    新刷屏换掉静默丢）；丢弃语义一字未改

NET（net_socket.c/.h、net_types.h、net_socket_sim.c、lftpd.c）
  IP 字节序统一到 POSIX 网络序：改 net_inet_addr（&s_addr[0]==第一段）+ 出向
    IP 数组按内存字节顺位拆装（进与出同时换族→芯片侧数组净效果不变，550h 钉住）
    + 模拟器逐字同步；ntoa 函数体未动，只改对它注释里取了废弃族值的例子——
    那正是两套约定长期共存不被发现的原因。lftpd 两处算术核对确认无需改
  UDP 绕过 netTask：两入口加执行任务上下文守卫，新码 NET_ERR_NOT_IN_NETTASK
    (-12，重试永远无意义)；结论口径=危险面已结构性关掉、串行化改造仍未做。
    附带关掉第二条更隐蔽的路：非 netTask 自旋 recvfrom 期间控制块被 close 并
    把同一 sockfd 分给新会话→旧自旋者消费新会话数据报

控制台（console_log.c/.h）：冷却改独立 s_con_cooling 标志（旧写法在 tick==0 那
  拍冷却等于没记）；con_append 的判空位+推进 head+整行拷贝收进同一临界区（旧
  为区外 check-then-act，环 >95% 满时可静默覆盖且既不打 [ERR] 也不计 dropped）；
  Instance==NULL 与僵尸通道分诊（未初始化绝不 reinit）；三本账分离 + 新读口
  dbg_console_tx_timeout()；[ERR] 行改为发成功才销账

测试：net_socket 452、console_log 127、sys_log_mcu 104、soe_store 27、
cfg_file_store_mcu 34；回归 net_listener 34 / net_events 34 / net_pending 43 /
net_select 22 / lftpd 35 / lftpd_inet 28 / lftpd_io 33 / iec104_serv 28 /
nand_port 149 / vol_lock 33 / soe 32 / cfg_file 151 全绿。原「按现状钉住」的
用例全部翻正向；console_log 用「逐条退回旧实现」做变异自证，失败集合单调增长
6→11→18→22（把一条本来空转的断言逼了出来）。
游标抬升：TC-NETSOCK-545→560、TC-SYSLOG-100→107、TC-CONLOG-135→167。

文档：控制台设计说明 §4.1 口径与 §13-O2 销项 + v1.5；运行与自检记录 §4.4/§4.5
四条；存储架构 §10.1 第 10 条推论（指向 s_is_selfheal_code）；TRAP-NET-21 后续
条目；BSD 指南新增 §9.0 s_addr 唯一约定；覆盖率口径 §9「第 1 轮修复处置」表 +
后续项 5 条 + 台架复验 7 条 + 新坑 8 条 + 变更记录。

后续项（本轮刻意不做，理由见 §9）：UDP 改走 netMsgQueue（需 per-task 结果槽，
net_msg_t 按值拷贝、禁止加回传字段，且要真机回归）；sim_syslog.c 同源不可达
支（本轮编译验证不到，不交没编译过的改动）；syslog_post 丢弃计数；
dbg_console_tx_timeout() 读端接线（STALL 行是被解析的证据行，加字段要连解析端
与台架判据一起改）；104 来源地址日志（现网无输出点）。

gate: @build 0 errors 0 warnings（Code=213720 RO=18860 RW=1204 ZI=131500）。
pre-commit run --all-files -> 39 hooks, 36 Passed; failed = mem-numbers +
mem-budget（受管快照与本树首次构建产物的漂移，非本批增量）+ id-check（已修，
现 0 台账外新账，可判定 84.63% > 基线 82.6%）。实测水位 RW_IRAM1 57.4%、
RW_CCM 87.9%，均低于 92% 红线；RAM/Flash 本批增量为数个 static 变量。
test-coverage / cppcheck / coding-standard / bsp-err / layer-deps / doc-links
全 Passed；全量覆盖率 33/33 套件、line 89.3%、func 92.3%、逐文件下降 0。
按仓内分支约定 --no-verify 提交，台账 --write 回填留待主工作树合并后。
 2026-10-24 19:43:56 +08:00
wandering1 794906cdc8 test(host): P2 覆盖率批次，5 套主机单测与共享假 FatFs 
P2 五个文件全部进分母（三名队友并行，写范围互斥、零越界）：
  net_socket 420 条 / 881-883=99.8%、52-52 函数（S1~S6 分片）
  sys_log_mcu 75 条 / 310-313=99.0%、12-12
  console_log 104 条 / 188-189=99.5%、15-15
  cfg_file_store_mcu 34 条 / 97-97=100%、10-10
  soe_store 26 条 / 78-79=98.7%、4-4
合计 659 条断言，P2 本体 1554-1561=99.6%、93-93 函数。

账：套件 28→33 全绿；files_tested 32→37；未触及 112→107（.c 34→29，
恒等式 29 = 0(P1剩) + 0(P2) + 29(P3) 咬合，§9 终点判据达成）；分母
4684→6245 插桩行；line 85.8%→89.3%；func 90.1%→92.2%（这批 5 个文件
全都以 ≥98.7% 进分母，故未摊薄）。--update-baseline 前后逐文件比对：
下降 0 个文件。

基建：新建 test/host/common/fatfs_fake.{h,c}（以真实 ff.h 为声明源、只
定义三文件实际调用的 9 个 f_*，缺哪个链接期响；卷忙/短写/FR_DENIED
可注入；短名违规分档）；扩展 ch395f_fake 为纯新增（g_fx/g_fxchip 另开
一份世界 + ext_reset 挂进既有复位，既有三套面一字不动），并按真头修正
两个错值常量（SOCKET_OPEN 0x01→0x05、TCP_ESTABLISHED 0x05→0x04），
另在 net_socket runner 加真头/假件同名常量文本核对闸（负例验证过）。
存量回归：net_listener 34、net_events 34、net_pending 43、net_select 22、
nand_port 149、lftpd_io 33、vol_lock 33、soe 32、cfg_file 151 全绿。

编号：补 TC-HOST-{NETSOCK,SYSLOG,CFGFST,SOESTORE,CONLOG} 五族（22→27，
先补族再引号）；net_socket 模块码由自取的两字母 NS 正名为 NETSOCK；
id-check 增量拦截无台账外新账，可判定比例 83.27%（基线 82.6%）。

文档：覆盖率口径 §9 新增「P2 落地」（含两套分母口径差、10 条现状表、
12 条可复用手法与并发红线），§8 第 1 条改「清单已吃穿」，补变更记录。
本提交未改任何生产代码（App/Drivers/Src/Lib/MDK-ARM 零触碰）。

10 条现状已逐条登记在 §9（含 sys_log_mcu.c:509~537 卷忙整批丢日志、
net_socket.c 同文件两套 IP 字节序、UDP 两 API 绕过 netTask），已获指示
全部修复，另开一轮（含测试字面量统一纯 ASCII）。

gate: pre-commit run --all-files → 39 hooks, 38 Passed; only mem-numbers
Failed（本工作树从未 @build，无 .map 事实源，属分支期已知陷阱）；
mem-budget Passed；test-coverage 与 id-check Passed。RAM/Flash 增量 = 0
（纯测试批次）。按仓内分支约定走 --no-verify，台账回填留待主树合并后。
 2026-10-24 17:54:02 +08:00
wandering1 957ec64645 test(APP/104): iec104_serv 模块（28 条，84.2%）——P1 十三块全部进分母 
P1 收官批次。新增 test/host/iec104_serv/，iec104_serv.c 覆盖 117/139 = 84.2%。
做法：把生产源整个 #include 进 TU，直接驱动它的 7 个 static 辅助函数——**不跑
iec104_serv_task 的无限主循环**（那是 never-returning 的任务体，不适合单测；事件组
相关支路用 sys_evtHandle=NULL 走"不可用"分支）。链路层与 pts 层给假件：链路协议本身
有 test/host/iec104 的 97 条专测，本模块只管服务怎么活、怎么死、怎么重生。

钉住的契约：
- 建监听：2404 端口过 htons、绑 NET_INADDR_ANY；socket/bind/listen 任一失败都要把
  已经拿到的号关掉（漏关就是每次重试漏一个 socket 号，CH395F 只有 8 个）。
- **网络代次一变就拆掉旧连接与旧监听并重建**：现场改 IP 后端口必须在新地址上继续
  服务，这条不重建就是"设备换了 IP 之后 104 主站再也连不上"。
- accept 门控：监听未就绪不 accept；表项已失效时把监听号丢掉、下一轮重建。
- 单连接 socket 的断线语义：对端 FIN 时只关数据口，**监听必须留着**；数据号与监听
  号同一个时绝不关（关了就端口失联）。recv 返 -1 且 errno 是 WOULDBLOCK 是正常空转，
  不能当成错误丢连接；真错误则丢弃并**当场重建监听**，不留空窗。
- 判死用**连续**短写计数：一次成功即复位。写成累计就会把偶发拥塞误判成断线，主站
  看到的就是莫名掉线（连到 3 次才判死，I104_SEND_FAIL_MAX）。
- 32 分频探活：无可读数据时不是每轮都去收（省 CPU 预算），到点才收一次；对端 FIN 后
  复位计数器。协议状态掉回 IDLE 也要丢并重生（否则服务挂着但永不服务）。
- 时钟桥接两个溢出边界：epoch 秒超过 32 位一律拒绝且不碰时钟（截断写进 RTC 就是乱值）；
  未对时（sys_clock_get 返回 UINT32_MAX）回 UINT64_MAX 哨兵而不是 0（否则对端会以为
  设备时间是 1970-01-01）。

主机侧兼容处理（写进桩注释）：真实 App/util/sys_clock.h 会 include sd2506.h（RTC 芯片
驱动）一路拉到 HAL，PC 上编不动，故桩掉 sys_clock.h 但**两个签名与真实头逐字一致**；
104 的头散在 App 与 Drivers/BSP 的多个子目录（iec104_serv.h/iec104_link.h/iec104_pts.h/
task_watchdog.h/sys_events.h/prot_set.h/sd2506.h…），逐个手写 include 目录必漏且报错会
落在被测源上、极易误读成生产代码坏了——运行器改为**按目录实际是否含 .h 自动收集**。

自查：初跑红 2 条，都是我的场景问题（分频到点那轮 recv 返回 0 会走对端 FIN 支路，
应给 -1 + WOULDBLOCK；"重建失败丢监听号"必须同时让表项失效），改正后 28/28。

P1 收官合计：12 个新模块、**308 条断言**；套件 16 → **28** 全绿；files_tested 19 → **32**；
未触及 .c 47 → **34**；恒等式 34 = 0(P1 剩) + 5(P2) + 29(P3)；分母 2,893 → **4,684** 行；
line=4020/4684（85.8%）、func=300/333（90.1%）。百分比"降"是摊薄不是回退（lftpd.c 64.3%、
lftpd_io.c 53.5% 这类只测主体的文件也进了分母），按 §5 口径该盯 files_tested/files_untested。
亮点：lftpd_inet.c **127/127 = 100%**、net_listener.c 99.2%、net_events.c 97.8%。
编号补建 TC-HOST-I104SRV（游标 041），TC-HOST 族数 20 → 22。§9 的落地进度表补齐并
统一为 NET 拆出的四块 ①②③④。

自查门禁：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）；
10 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。
--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）
与 ui-golden（ref/*.bin 不入库）三条失败，与本分支改动无关。
 2026-10-23 23:44:53 +08:00
wandering1 a0c261b5ee test(NET/lftpd): lftpd 控制通道模块（35 条），FTP 一套四块全部进分母 
新增 test/host/lftpd/，lftpd.c 覆盖 304/473 = 64.3%。做法是把生产源整个 #include 进
TU，于是命令表 commands[]、17 个 static cmd_* 与 handle_control_channel 都能直接驱动：
假 inet 层给"脚本化命令行队列 + 响应记录"，假 io 层给"极简内存视图 + 可注入失败"，
认证与配置当可注入黑盒（认证本身有 test/host/ftp_auth 的 10 条专测，不重复验）。

钉住的契约（都是真机上贵、却难按需复现的那几类）：
- STOR 传到一半写失败必须 **unlink 半成品**：否则 Flash 上永久留个坏文件，现场表现
  是"升级包传坏了再也传不上去"。真机要卡准"传一半掐线"的时机，这里注一个短写就行。
- 数据通道是单连接 socket：LIST/RETR/STOR 用完必须关监听并把 data_socket 复位成 -1；
  accept 失败要报 425 不留残口，会话退出（QUIT 或对端断线）时 cleanup 也要关掉还没
  用的被动监听。漏一次就是下一条命令拿着上一个号继续 accept，偶发连不上。
- 命令名缓冲只有 command_tmp[4+1]，前置判断 if (index >= 5) 就是防 memcpy 越界；
  恰好 5 个字符必须被拒（改一行这条就响）。
- 认证前置白名单：未登录只放行 USER/PASS/QUIT/FEAT/SYST/NOOP，其余一律 530；口令错
  必须清 auth_user_ok 强制重走 USER；被锁与口令错都只回 530，不给攻击者区分提示；
  配置读不到时 USER 无法匹配、PASS 直接 530（fail-closed）。
- 写开关（[ftp] write_en=0）必须在**碰文件之前**挡住 STOR/DELE，且不去 accept 数据
  通道；DELE 不许删目录。
- 227/229 编码：IP 经 net_htonl 后按高字节到低字节排（就是点分序），端口高/低两字节；
  拿不到本机 IP 时要把刚建的监听关掉。FEAT 多行：首行 211-、四条能力无状态码、末行
  211 结束（共 6 条响应）。
- 220 欢迎没送达（对端已走）就直接收工，不空转读命令；该留痕按真实分级算 INFO 而不是
  ERROR（真实 private/lftpd_log.h 把 lftpd_log_peer 归到 INFO：任何人连 21 端口就走
  就能无限制造固件级 ERROR，还会撞掉 @test 的 Forbidden 标记 [ERR]）。
- 传输循环每轮喂狗（lftpd_task_wd_beat 计数可断言）。

主机侧两个必要的兼容处理（都写在桩注释里，不是随手改）：
1. lftpd.c 会 include ff.h，而这份 FatFs 在 Windows 支路上把 winsock.h 拉进来，它带
   "#define s_addr S_un.S_addr" 的 BSD 兼容宏，会把真实 net_types.h 里的字段声明
   uint32_t s_addr; 展开成 uint32_t S_un.S_addr; 直接炸（实测 C2143 在 "." 前缺 ";"）。
   桩里只 #undef 这个污染宏，让固件那份结构体定义原样参与编译，被测代码读的还是真字段。
2. 引号 include 先从 lftpd.c 自己目录找 private/lftpd_log.h，桩目录赢不过它——于是
   顺着用真实那份（它只是把 lftpd_log_* 映射成 DBG_*），只桩最底下的 dbg_log.h。这样
   真实日志分级也一起被编译验证，比我自己重写一套更对。

自查（35 条里前两轮红了 4 条，全是**我的期望/前置态写错**，实现均正确）：未登录时
FOO 被白名单以 530 拦掉测不到 502 分派；227 的 IP 顺序我把 htonl 前后搞反；FEAT 是
6 条响应我按 5 条索引；PASV 之后走完整会话会被 cleanup 关掉监听（那正是 006 要验的
行为），观察 PASV 留下的状态必须直调 cmd_pasv。

覆盖率与台账：套件 26 → 27 全绿；files_tested 30 → 31；未触及 .c 36 → 35；分母
4,072 → 4,545 行。**总体 line_rate 88.4% → 85.9% 是摊薄不是回退**（64.3% 的文件进
了分母），按 §5 口径要盯 files_tested/files_untested——它从 19 一路涨到 31。
恒等式 35 = 1(P1 剩 iec104_serv.c) + 5(P2) + 29(P3)。编号补建 TC-HOST-LFTPD
（游标 034），族数 20 → 21。

自查门禁：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）；
9 个文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。--all-files 仍只有
mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）与 ui-golden
（ref/*.bin 不入库）三条失败，与本分支改动无关。
 2026-10-23 23:44:52 +08:00
wandering1 8aaf9bbb0e test(NET/lftpd): lftpd_inet 模块（28 条，127/127 = 100%） 
FTP 的 socket 适配层吃满——全仓第一个 **100% 行覆盖**的文件（127/127）。
新增 test/host/lftpd_inet/，28 条断言全部 MSVC 编译通过并 PASS。

钉住的契约：
- 端口字节序：bind 前必须过 net_htons（sin_port 的注释就写着"网络字节序"），问名字
  回来要 ntohs 还原；问不到名字报 -1，不拿脏端口当结果。
- 失败路径一律关 socket：建口失败不 bind；bind 失败关口不 listen；listen 失败关口
  并各留一条 ERROR（漏关就是白占一个号，CH395F 只有 8 个）。
- accept 每轮失败都让出 CPU（同一段里也喂狗），直到成功；**网络代次一变立刻撤掉
  accept**——否则改了 IP 之后监听还挂在旧代次上，端口在新地址上根本不通。这是现场
  最常见的自愈路径，台架上要凑"对面正连着我顺手改 IP"极难。
- 带超时的 accept：监听门撤防时**立即放弃**，不对着死监听耗满窗口；对端一直不开
  数据通道就按 100ms 步进等满再 INFO 收场。
- read_line：CRLF 就地截成结束符（FTP 命令行的边界）；跨包分片要能拼出整行；读到 0
  （对端关闭）立刻失败；-2 表示这一片超时继续等；其它负值**原样返回**（错误码不许被
  吞成 -1）；等待按 200ms 分片、30 s 总预算到点退出（分片写错就饿死看门狗）；缓冲
  填满仍无行尾要失败且**不越界写**（最后一格留给结束符）。
- 短写续传：net_send 可以只写一部分，续传必须从正确偏移接着写（少半条响应就是协议
  错乱）；写 0 字节按失败处理；二进制写成功时回请求长度。

桩的口径：private/lftpd_inet.h 与 net_types.h 用真实头；net_socket.h 是桩但函数原型
与真实头逐字一致，并**照做真实头对 FreeRTOS.h / task.h 的 include**（lftpd_inet.c 的
TickType_t / vTaskDelay / pdMS_TO_TICKS 就是从那条链上拿的，桩少这一行就是 C2065）。
lftpd_task_wd_beat 是 __weak 空实现、主机侧替换不掉，因此用同段代码里的"睡 100ms"
次数当喂狗轮数的代理（写进桩注释，不假装能直接数到喂狗）。accept 循环带 100 轮跑飞
保险（net_select 批次被挂死教训换来的）。

覆盖率与台账：套件 25 → 26 全绿；files_tested 29 → 30；未触及 .c 37 → 36；分母
3,945 → 4,072 行；line=3599/4072（**88.4%**，连涨三批）、func=272/299（91.0%）。
恒等式 36 = 2(P1 剩：lftpd.c 与 iec104_serv.c) + 5(P2) + 29(P3) 仍咬合。编号补建
TC-HOST-LFTINET（游标 070），族数 19 → 20。

自查：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）；
9 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。
--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）
与 ui-golden（ref/*.bin 不入库，新 worktree 天生没有黄金参考）三条失败，与本分支无关。
 2026-10-23 23:44:52 +08:00
wandering1 59e6d77224 test(NET): net_events 模块（34 条，覆盖 97.8%），NET 三块收官 
假 CH395F 的第三批、也是 NET 域最后一块。net_events.c 覆盖 175/179 = 97.8%。共享
假芯片本批补齐**对端六元组**（get_remot_ipp 的 6 字节）与**链路变更计数**（
link_change_count / link_up_cached 改为可预置，原来硬编码 0/1）。

钉住的契约（都是真机上会发生、却不能按需复现的那类）：
- 对端六元组解析：remote_ip 是**低字节在前**拼的（192.168.1.50 -> 0x3201A8C0，与
  网络序相反）。钉住它是防止有人"顺手改成大端"，让所有按 IP 比对/白名单静默错位。
- 陈旧中断防误判：芯片说 TCP 还 ESTABLISHED 时，迟到的 DISCONNECT 一律忽略并报
  ERROR（拆活会话的代价是 104 主站看到莫名掉线）；一条数据都没收就报断且芯片接收区
  还有字节，判为疑似误报、只置 lost_conn_seen 延后交给对账器。
- 正常断开：优雅级沉降 + session_dead + last_peer_port 记旧端口 + 转 CLOSED + 发事件。
- 超时：ESTABLISHED 走隔离级沉降并置 released_abnormal —— 这正是 net_pending 收尾时
  把挂起 recv 报成 CONNRESET 而不是 0 的那条输入（TC-NETPEND-014），**跨文件因果**
  只有两边都能离线跑才可测。
- 丢中断自愈：芯片已连上而软件还写着 LISTENING 时补一次 accept；若软件已 CLOSED 则
  只留痕不凭空造会话（TC-NETEV-042b 记现状）。
- 对账器：100ms 周期闸门（同一时刻不重复查芯片）；链路计数**基线那趟不打日志**
  （0xFFFF 哨兵，否则每次上电都冒一条假"link up"）、变化即留痕；五种不一致形态的
  稳定计数分三档（会话死亡要连观 4 次、芯片偷重开监听 2 次、丢 CONNECT 自接 1 次）；
  动作后 1000ms 冷却内不重复折腾；U11 重同步（软件 CLOSED 而芯片在 LISTEN -> 直接跟
  芯片，不做多余重建）；不在用的槽位直接跳过。

三条初判失败的复盘（都是**我的期望值/场景写错**，实现是对的）：① remote_ip 字节序
我按网络序写了期望；② 自愈场景我用了 CLOSED 态，而 accept 分支只认 LISTENING/
CONNECTING，改场景并补一条现状断言；③ 链路"基线不打日志"我测在非基线场景（s_
link_last 是函数内 static，跨场景本就延续）。对账器的 s_last/s_bad[]/s_cool[] 都是
函数内 static（外部够不着），因此每个形态**各占一个 fd**、时基单调前进，互不串扰。

覆盖率与台账：套件 24 → 25 全绿；files_tested 28 → 29；未触及 .c 38 → 37；分母
3,766 → 3,945 行；line=3472/3945（**88.0%**，连涨两批）、func=263/290（90.7%）。
恒等式 37 = 3(P1 剩) + 5(P2) + 29(P3) 仍咬合。编号补建 TC-HOST-NETEV（游标 058），
族数 18 → 19。

自查：test-cppcheck Passed（含补齐后的假芯片）；check_ids --strict 通过；doc-links
35 处（= 存量）；16 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑
@build。--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后
统一 --write 回填）与 ui-golden（simulator/tests/ref/*.bin 不入库，新 worktree 没有
黄金参考）三条失败，与本分支改动无关；提交按并行分支约定走 --no-verify。
 2026-10-23 23:44:51 +08:00
wandering1 b4441f0e1e test(NET): net_pending 模块（43 条，覆盖 87.1%），钉住通知值回传契约 
假 CH395F 的第二批消费者。新增 test/host/net_pending/，net_pending.c 覆盖
169/194 = 87.1%。共享假芯片补了**缓冲尺寸宏链的同构转抄**（RAM_BLOCK 512 /
SEND_BLOCKS 2 → SEND_BUF 1024；RECV_BLOCKS 4 → RECV_BUF 2048 → SPI_DMA_BUF 2052
→ SPI_DMA_MAX_PAYLOAD 2048），于是 net_pending.h 里的 NET_SEND_CHUNK_MAX 是**真值
1024**，分块断言测的是芯片上界而不是假件自己发明的数字。

本模块的核心契约是跨上下文回传：AGENTS 模块约定写着 net_* 的错误码经**任务通知值**
回传（net_msg_t 按值拷入队列，netTask 改的是自己那份副本，调用方永远看不到；也勿给
net_msg_t 加回传字段，否则调用方读到栈垃圾）。台架读不到通知值，所以把 xTaskNotify
做成可观测假件（记目标句柄与通知值）之后，这条契约才第一次被真正验证。

钉住的契约：
- 注册闸门：越界 fd 报 BADF；同 fd 已有挂起报 BUSY；caller 为空报 BUSY；**属主任务
  自己发起被拒**（自己等自己等于死锁 netTask）；to_ms=0 记为无限等（不置 deadline）。
- 到达与截断：读量钳在调用方缓冲内（绝不越界写别人的 buf）；readable 但芯片没数据时
  只清标志继续等，不误交 0 字节。
- 收尾四条分支：还有残留先把最后一包读走再收尾（**不丢尾包**）；干净结束报 0 并按
  auto_relisten 请求重开监听（不自动重开的不被偷偷要求重建）；released_abnormal 报
  CONNRESET 而不是 0（调用方要能分辨好坏收尾）；session_dead 与 CLOSED 同路。
- settle_close：没挂起时直接返回不打扰芯片；有残留交还字节数；无残留报 CONNRESET。
- 挂起发送：参数校验（buf 空 / len<=0 / sent<0 / sent>=len 报 INVAL）；单次写入钳在
  NET_SEND_CHUNK_MAX；**deadline 每写一轮就续期**（还在推进就不该被 1000ms 掐死，
  FTP 上传大文件最容易撞这条）；停滞不前进才报 TIMEDOUT；槽位消失或会话塌掉都**交还
  已发字节数**（不是错误码，调用方据此算进度）；cancel 留痕且幂等；**clear 不发通知**
  （与 recv 侧同一条纪律，不给调用方假答复）。

自查：42/43 首跑，唯一红的是**我的测试构造缺陷**——无限等那条没先把槽位置成在用，
被 in_use==0 兜底分支提前收口，测不到时间轴；补 mk_sock 后 43/43。reset_all 从上一
批的教训直接带过来（连被测模块的 static 挂起表与属主句柄一起复位），这次没再红。

覆盖率与台账：套件 23 → 24 全绿；files_tested 27 → 28；未触及 .c 39 → 38；分母
3,572 → 3,766 行；line=3297/3766（87.5%）、func=255/282（90.4%）。恒等式
38 = 4(P1 剩) + 5(P2) + 29(P3) 仍咬合。编号补建 TC-HOST-NETPEND（游标 040），
族数 17 → 18；注册表仍只做增量插入。

自查门禁：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）；
12 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。
--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）
与 ui-golden（ref/*.bin 不入库）三条失败，与本分支改动无关。
 2026-10-23 23:44:51 +08:00
wandering1 0a3b932395 test(NET): 假 CH395F 芯片落地 + net_listener 模块（34 条，覆盖 99.2%） 
按 §9 规格做假芯片的第一批消费者。新增 test/host/common/ch395f_fake.{h,c}：15 个
函数的**真实原型逐字照抄**（含 ch395f_sock_state_t{open,tcp_state} 与 ERR_SUCCESS/
PROTO_TYPE_TCP/SOCKET_CLOSED/TCP_CLOSED/TCP_LISTEN 的真实取值），脚本化模型沿用本仓
既有假件风格：读函数按调用序号取返回队列（耗尽回落最后一个值）、写函数记次数与
最近入参、外加一条**调用顺序日志**让时序契约可断言。两条芯片怪癖必须复刻：
① get_sock_int_status **整体读即清**、无按位清除手段（AGENTS 模块约定 B3 实证坑，
不复刻就照不出"顺手全量清一遍把别的在用 Socket 门焊死"）；② *_cached 是**缓存值**
而非现场值，"监听还活着"的判据是 (open != CLOSED && tcp_state == LISTEN)。
各模块 stub/ch395f.h **只做转发** include 共享件（规格里拍板的方案）：三份假芯片各自
漂移会让"假件与被测代码同时错"再也报不出来，签名与常量只能有一份定义。

新增 test/host/net_listener/，34 条断言，net_listener.c 覆盖 125/126 = **99.2%**。
钉住的契约（真机上一闪而过、台架凑不齐的组合）：
- 四道互相牵制的时间闸门：30ms 退避（20ms 不重试、30ms 重试）、隔离级 400ms 与
  优雅级 100ms（399ms/99ms 不放行、400ms/100ms 放行）、**800ms 上限只留痕且不放弃
  请求**（留痕只打一次，到 2000ms 预算耗尽才报 ERROR 交对账器）。排期登记里那句
  "沉降窗 800ms 上限只留痕"至此第一次有了可执行的验证。
- 该不该重建：芯片仍报 LISTEN 就不重建且清空请求；有挂起 recv/send 时让路但**保留
  请求**（挂起结束自动补做）；五种条件静默放弃（非 LISTENING/CLOSED 态、
  auto_relisten=0、非 STREAM、local_port=0、in_use=0）。
- 失败不留半成品：open 失败关回去并回 BUSY；listen 失败也必须 close_socket。
- 重建后簿记：转 LISTENING、清 send_ready/recv_bytes/remote_ip(_arr)/remote_port、旧
  remote_port 记进 last_peer_port、清 lost_conn_seen/released_abnormal；源端口与协议
  取自表项本身（监听端口不能漂）。
- 芯片时序：清接收 → 关断 → 读即清 → 读状态（顺序不可换）；清理接收区单次读钳到
  256B、最多 16 轮、读到空即停。越界 fd 全程静默且不打扰芯片；请求去重保留首个 reason。

测试自查修了两处（都不是生产问题但值得记）：
① reset_all 只复位假世界、**没复位被测模块自己的 static**（s_relisten_req/_next/_dead/
_quarantine/_settle_*/_capped），一上来红了 9 条；改用模块自带的 net_listener_clear()
清，顺带验证了 clear 的完整性。
② 沉降窗边界必须在**独立场景**测：放行判定与 30ms 退避共用 s_relisten_next，同一条
链里"恰好 400ms"那轮 tick 会被上一轮设的退避槽挡掉。这本身是个该知道的事实——
**hold 到点后最坏还要再等一个退避周期（实测 ≤30ms）才真正放行**，已写进用例注释。
另留痕一处死分支：net_relisten_locked 的 NET_ERR_BADF 从 tick **不可达**（tick 在调用
前就因表项为空放弃），TC-NETLIS-026 记着，新增调用点时要重新审视。

桩的口径：net_listener.h/net_types.h/net_config.h/net_pending.h 用**真实头**（net_sock_t
字段与各枚举一改即编译期报错）；net_socket.h 是桩，但 net_set_errno 与 NET_ERR_RETURN_1
照抄真实头同名宏（net_socket.h:528/532）；真实 net_pending.h 原型带 TaskHandle_t，故
宿主 FreeRTOS.h 补一个 void* typedef（只出现在签名里，被测代码从不传它）。

覆盖率与台账：套件 22 → 23 全绿；files_tested 26 → 27；未触及 .c 40 → 39；分母
3,446 → 3,572 行；line=3128/3572（87.6%，本批净涨因为新进来的文件几乎全绿）、
func=243/266（91.3%）。恒等式 39 = 5(P1 剩) + 5(P2) + 29(P3) 仍咬合。编号补建
TC-HOST-NETLIS（游标 026），族数 16 → 17；注册表仍只做增量插入。

自查：test-cppcheck Passed（连假芯片一起过）；check_ids --strict 通过；doc-links 35 处
（= 存量）；新增文件 BOM/CR/U+FFFD/行尾逐项净。**本增量零生产代码改动**，未跑 @build。
--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）
与 ui-golden（ref/*.bin 不入库，新 worktree 天生没有黄金参考）三条失败，与本分支无关。
 2026-10-23 23:44:50 +08:00
wandering1 658bc40ccc test(NET): net_select 模块（21 条）与 NET 域首份 ch395f 桩，登记两处死路径 
P1 的 NET 四块开了第一块：新增 test/host/net_select/，21 条断言全部 MSVC 编译
通过并 PASS。net_select.c 一个芯片函数都不调，所以它是四块里唯一不需要假芯片的，
先把它拿下，顺带把 NET 域的桩骨架立起来。

钉住的契约：
- 就绪位回写：入参集合里未就绪的 fd 必须被清掉，只留就绪的（POSIX 语义）；未请求
  的集合不被写回、可以传 NULL。
- 状态准入：LISTENING 即使 readable 也不算可读（accept 语义不在这层）；ESTABLISHED
  + send_ready 才可写；CONNECTING 时 send_ready 不作数。
- 边界：nfds 为 0 / 负 / 超过 NET_MAX_SOCKETS 都返回 -1（不许扫出 socket 表外）。
- 超时算术：tv_usec 是**整除截断**（1999us 当 1ms 而不是 2ms）；timeout=NULL 时
  无限等并由对端事件唤醒；poll 的 timeout=0 首轮即退、每轮先清 revents。
用可控 tick（每问一次 +1）+ 可控 osDelay（计数、可指定轮数后造一个就绪 socket）
把这些变成确定性轮数，台架上根本构造不出"没人来连时该怎么退"。

照出两处**死路径**（只登记，未改语义；全库唯一调用点 test/board/net_test_task.c
传的是 NULL 与非零 tv，今天没有受害者）：
1. net_select 的 timeout = {0,0} 换算出 timeout_ms = 0，而退出条件写的是
   if ((timeout_ms > 0) && (已用时 >= timeout_ms)) → **超时 0 永不触发退出**，退化成
   无限等；POSIX 在这里必须立刻返回 0。同文件 net_poll_events 写的 timeout >= 0
   是对的，两条并排放着正好是对照。风险面：谁拿它当"非阻塞查一遍"，netTask 就
   回不到主循环，而 netTask 在 IWDG required_mask 里。
2. exceptfds 是恒为空的死参数：循环体开头 p_sock == NULL → continue 先跳过，
   check_socket_error 的 NULL 分支从 select 里到不了。按 POSIX 直觉用它收异常的人
   会永远什么都收不到。
两处都用"现状桩"钉成改了会响（用例名里写明不是期望行为）。另修掉我自己写错的一条
用例：给 timeout=NULL 又没有就绪 fd，直接死循环——已在假 osDelay 里加了 500 轮
保险（跑飞就 exit(2)），因为挂死的测试会把 exe 文件名占住、让后续构建报 LNK1104。

桩的边界写死在文件头：net_select.h / net_types.h / net_config.h 用真实头（net_sock_t
字段名与 NET_SOCK_STATE_* 一改即编译期报错）；main.h / cmsis_os.h / FreeRTOS.h /
task.h 是本目录桩；新建的 ch395f.h 是**空壳**，只服务不调芯片函数的文件——
net_pending / net_events / net_listener 直接调十余处 ch395f_*，要的是可脚本化返回的
假芯片，不要把这个空壳当成"NET 域桩已就绪"。

覆盖率：套件 21 → 22 全绿；files_tested 25 → 26；未触及 .c 41 → 40；分母 3,332 →
3,446 行；net_select.c 97/114（85.1%）。恒等式更新为 40 = 6(P1 剩) + 5(P2) + 29(P3)。
编号按 B 层口径补建 TC-HOST-NETSEL（游标 019），TC-HOST 族现共 16 族；注册表仍只
做增量插入。

自查：test-cppcheck Passed；check_ids --strict 通过；doc-links = 35 处（= 存量）；
BOM/CR/U+FFFD/行尾逐项净。本增量零生产代码改动，未跑 @build。--all-files 仍只有
mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）与 ui-golden
（ref/*.bin 不入库，新 worktree 天生没有黄金参考）三条失败，与本分支无关。
 2026-10-23 23:44:48 +08:00
wandering1 6bdf063f50 test(NET/lftpd): P1 增补 lftpd_io 模块（33 条），登记 FTP 域一处潜伏缺陷 
新增 test/host/lftpd_io/：一个 TU 同时纳入生产源 lftpd_io.c 与 lftpd_string.c
（两者静态符号不冲突，省一套桩），33 条断言全部 MSVC 编译通过并 PASS。

钉住的契约（都是真机上偶发、日志看不出根因的那类）：
- 路径规范化：**".." 上跳过头仍被钳在根内**（"/a" + "../../x" = "/x"）——FTP 客户端
  可发任意路径，这是安全属性；绝对名忽略 base、"." 丢弃、段间多余斜杠折叠、
  NULL 入参容忍、全空结果归 "/"。
- 分配失败：这个函数返回 pvPortMalloc 出来的指针（历史上正是它落在 C 库 malloc 上，
  RAM 方案 §4.2.1）。用**可注入失败的假堆**跑两条分支：首块失败 → NULL；结果缓冲
  失败 → NULL **且第一块已 vPortFree**（不泄漏堆）。模拟器宿主 CRT 永不失败，这条
  只有假堆能构造。
- 卷锁时机：open 成功**故意不释放**（整个传输期独占卷，由 close 释放），失败必须
  释放并留 ERROR；单文件槽守卫 s_file_open 命中时**不碰卷锁也不碰 FatFs**。
- 等卷锁循环每轮喂看门狗（lftpd_task_wd_beat）：defaultTask 与 FTP 争卷时这里可能
  空转上百毫秒，漏喂就是整机复位。脚本化 vol_lock_wait 的返回序列直接构造 2 轮空等。
- lftpd_string_trim：行首空白由**返回指针**跳过、原缓冲不搬移（调用点 lftpd.c 用的
  正是返回值）；全空白串返回空串。

**本批照出一处，未改语义、只登记**：lftpd_string_trim 的尾部循环写成
for (i = strlen(p); i >= 0 && isspace(p[i]); i--)，i 起步那格是 NUL、isspace(0) 为假
→ 循环一次都不执行，**尾部空白与 CRLF 从未被裁掉**。今天不发作是因为 CRLF 在
lftpd_inet_read_line 里已用 strstr 截断、且唯一调用点只关心行首；风险在于"以后有人
拿它去尾部空白"不会生效。修法只要一行（i 从 strlen(p)-1 起），但那会改变 FTP 参数
（含空格的文件名/口令）的可见行为，需要 FTP 域一起过，**留给用户裁定**；当前用
TC-LFTSTR-005 把现状钉成"改了会响"（明确标注是现状桩、不是期望行为）。

未覆盖也写在文件头：lftpd_io_read/write/close/stat/unlink/opendir/readdir/closedir
要先把假 FIL/FILINFO 的字段语义（fptr、obj.objsize、fname 等）做实，否则断言会落在
假件自己写的规则上；这 8 个 f_* 只给了可链接的 FR_INT_ERR 实现，走进即失败不静默。

覆盖率：套件 20 → 21 全绿；files_tested 23 → 25；未触及 .c 43 → 41；分母 3,163 →
3,332 行；lftpd_io.c 85/159（53.5%）、lftpd_string.c 8/10。总体 line_rate 88.9% →
87.2% —— **这是摊薄不是回退**（新进来的文件只测了一半，分母涨得比分子快），已按
§5 口径写进口径文档 §9 的落地进度表；恒等式更新为 41 = 7(P1 剩) + 5(P2) + 29(P3)。

编号：按 B 层口径补建 2 族 TC-HOST-LFTPIO（游标 037）与 TC-HOST-LFTSTR（005），
TC-HOST 族现共 **15** 族；id_registry.json 仍只做增量插入（无重排）。

自查：test-cppcheck Passed；coding-standard Passed；check_ids --strict 通过（无台账外
新账）；check_doc_links --all = 35 处（= 存量，本分支贡献 0）；新增/改动文件 BOM/CR/
U+FFFD/行尾卫生逐项净。**本增量零生产代码改动**（只加测试、注册表与文档），故未跑
@build。pre-commit --all-files 仍只有三条失败且与本分支无关：mem-numbers / mem-budget
（本 worktree 上次 @build 生成的 .map 与受管快照漂移，增量 ER_IROM1 +12B、RW_IRAM1
+8B、CCM 0，按并行分支约定不在分支里 --write，等 Lead 合并后统一回填）与 ui-golden
（simulator/tests/ref/*.bin 在 .gitignore 内，新 worktree 天生没有黄金参考）。
 2026-10-23 23:44:47 +08:00
wandering1 b1291f1308 test(NETCFG,CFG): P1①四个主机单测模块，并修 net_cfg 的 WAIT 契约与定长错记 
按 docs/测试说明/主机单测覆盖率口径.md §9 的清单吃 P1 第①批「配置与工具」四块，
新增 4 个主机单测模块共 104 条断言，全部 MSVC 编译通过并 PASS：
- test/host/net_cfg/（45 条）：出厂默认可用、注册幂等与内容、load 报 -1 仍返回 0
  （RAM 恒有效契约）、跨任务保存交接状态机 IDLE/WAIT/OK/FAIL、MAC 三态优先级、
  IPv4 定长格式化。
- test/host/ftp_cfg/（16 条）：[ftp] 段注册（**p_cb 必须为 NULL**，口令下次登录才
  生效）、默认口令判定大小写不敏感、NULL 一律判不等（fail-closed）。
- test/host/prot_set_store/（16 条）：blob 返回码分流 1 无档 / 0 成功 / **2 换代
  （只打 INFO）** / -1 损坏；写盘失败必须回置脏标志（否则定值静默丢失）。
- test/host/task_prof/（27 条）：无效样本闸门（防 DWT 复位把 max 抬到 2^32）、
  未 enter 就 exit 不记账、首次 5s + 每 2s 节流、环形缓冲与裸发两通道、
  周期→微秒换算随 SystemCoreClock 变。

覆盖率收益（已 --update-baseline 登记）：套件 16 → 20 全绿；files_tested 19 → 23；
未触及 125 → 121 个文件（.c 47 → 43、9,657 → 9,228 行）；分母 2,893 → 3,163 插桩
行；line=2811/3163（88.9%）、func=225/240（93.8%）。§9 的恒等式同步更新且仍咬合：
43 = 9(P1 剩) + 5(P2) + 29(P3)、9,228 = 2,188 + 2,226 + 4,814。

新单测照出并修掉两处真问题（都在 net_cfg，不是测试写错）：
1. 实现违反自己的文档契约：net_cfg.h 明写"属主任务写盘中显示 WAIT"，但
   net_cfg_save_run 为了不丢新请求会先清 pending 再写盘 → 写盘那几百毫秒里 UI
   保存行退回上一轮的 OK/IDLE（第一次保存按 ENTER 后屏幕上还是 ENTER），用户只
   会再按一次。补 s_save_busy 标志，TC-NETCFG-028/026/030 钉死（含失败路径必须
   清 busy，否则 UI 永久卡 WAIT）。
2. "定长 11 字符"是错的：%03u.%03u.%03u.%03u = 4 段×3 位 + 3 个点 = **15**。这个数
   错了 4 处（net_cfg.h、net_cfg.c、网络配置说明.md 两处）——是我照抄它才撞上
   FAIL，错在文档不是代码。已全部更正，并确认 len ≥ 16 的要求与 UI_BUF_STRLEN=32
   本来就没问题（无截断风险）。

桩的口径（沿用既有模块，不另起一套）：真实头优先——cfg_file.h / cfg_file_store.h /
console_log.h / prot_set.h 全用真头（接口一漂移就编译期报错），只有 main.h 必须桩
（真实 main.h 拉整棵 HAL 头树，PC 上编不动；桩里字段名与位掩码宏名与 CMSIS 一致）。
prot_set_store 连真实 prot_set.c 一起编：blob 的编解码与脏标志在它里面，只有拿真
serialize 产出的 blob 才能造出"换代"与"损坏"两种真实形态，手搓等于测自己的桩。
配置引擎本身（解析/写盘/沉降）归 test/host/cfg_file 的 103 条，本批不重复测。

编号门禁：按 2026-10-21 批 3 的 B 层口径补建 4 族 TC-HOST-*（NETCFG 游标 056 /
FTPCFG 014 / PROTSTOR 016 / TASKPROF 020，代码即属主登记处）。这一步不是走形式：
建族之前文档里引用 TC-NETCFG-028 被判「台账之外新账」直接卡提交，建族后才通过；
编号规范 §8.4 变更记录加一行说明族数 9 → 13。id_registry.json 只做增量插入（+88 行，
无重排）。

自查（提交时 pre-commit run --all-files，**仅 3 条失败且都与本分支改动无关**）：
- mem-numbers / mem-budget：本 worktree 因需验证代码改动而 @build 过，新生成的 .map
  与 docs/内存管理 受管快照漂移。实测增量 ER_IROM1 +12 B、RW_IRAM1 +8 B、Flash
  +16 B、**CCM 0**，水位百分比全不变（改动 = 1 个静态字节 + 几条指令）。按并行分支
  约定**不在分支里 --write**，台账由 Lead 合并后统一回填。
- ui-golden：simulator/tests/ref/*.bin 写在 .gitignore 里（黄金参考是本地生成物），
  新建的 worktree 天生没有，报的是"缺黄金参考"而非像素差异；本分支零 UI 文件改动。
- 其余全部 Passed，含 @build 0 错误 0 警告、test-cppcheck（它抓到过我一条 p!=NULL
  后又解引用的写法，已改为断言+显式守卫）、coding-standard、doc-links（35 处=存量）、
  id-check --strict、mojibake 与 BOM/CR/U+FFFD/行尾逐项卫生。
- 自审修掉自己写的两条恒真断言（形如 x==0?1:1 的假绿）与一个重复编号标签。
- 4 个新模块**尚未挂 pre-commit 钩子**：.pre-commit-config.yaml 是单写文件，任务工作
  树内不改；覆盖率脚本按 test/host/**/run_unit_test.py 自动发现，已实跑 20/20。
- 未跑 @test：改动仅 1 个静态字节 + UI 保存行的显示时序，无硬件语义变化。
 2026-10-23 23:44:47 +08:00
wandering1 af411866a8 feat(门禁): 批 9 位号规则扩展到引脚名 + 修 --prune-backlog 丢 reason 的 bug 
规则扩展（scripts/check_ids.py，两处共用同一正则）
- 原：^[RCDJXUT][0-9]{1,3}（单字母位号）
- 现：再加 ^[A-Z]{2,3}[0-9]{1,2}(-[0-9]{1,2})? → 收掉硬件语料里的**引脚名 / 总线名 /
  网名 / 引脚区间**：PB12-15、PG0-15、PF13-15、DB0-15、OS0-2、KEY1-3、AIN1 这类
- 关键边界：带连字符的一字母形态（C-10 / A-9 / N-18 / D-7）与 TC-206、TC1003 **不落在
  新形状里**，照旧判定 → 报告自有条目号这类真编号没被顺手挡掉（实测台账仍留 21 类真债）
- 位号与引脚名都不进 refs_total：错误级 661 → **651**，refs_total 8807 → 8797（同步 −10），
  可判定比例 82.84% → **82.94%**（分母没被噪声灌水，涨幅来自噪声出清而非真进展）

修自己的 bug：--prune-backlog 会静默丢掉 reason 字段
- 症状：收账一次后，那 28 类硬件存量条目的「这笔债为什么该存在」说明全部消失
- 根因：prune 用 dict 字面量重建条目，只写了 file/code/literal/count 四个键
- 修法：改为从原始 JSON 取整条再覆盖 count，其它字段原样保留；已实测幂等
  （再跑一次「还清 0 条、剩 313 条、带 reason 仍 21 类」）
- 21 类真债的 reason 已重新写回，内容含一条判断：器件料号 FOC-817 **不做**形状规则，
  因为 [A-Z]{3}-\d{3} 与真家族 DEF-* 撞形，宁可留一条记账也不制造盲区

验证：id-check --strict 通过（存量 651 全在台账内、无未登记新账）；
doc-links --all 失效与待确认均 0；未改 C/H 不需 @build；台账只减不增
 2026-10-22 08:49:39 +08:00
wandering1 125140a3c6 feat(门禁): 硬件语料纳入扫描——位号不进编号也不进比例分母 
- check_ids.py 扫描循环：位号（[RCDJXUT][0-9]{1,3} 无连字符）在 refs_total 之前 continue，
  既不产生结论也不灌分母；add() 里的同一道判定保留作兜底
- 注册表 excluded_paths 移除 docs/硬件平台/（docs/芯片手册/ 仍排除）
- 首次纳入暴露 28 类先前不可见的存量 → 按规矩逐条写 reason 入台账（**不重打快照**，
  台账只增带理由的条目）；错误级 626 → 661，可判定 82.84%（基线 82.6 仍守住）
- 遗留噪声已在 designator_rule 记明：引脚名 PB12-15 / PG0-15 / DB0-15（两字母+数字+区间）
  不是编号，但位号规则不覆盖这种形状，先记账、待加 pin-name 类型规则后清除
- 验证：--strict 通过（无未登记的台账外新账）；未改 C/H 不需 @build
 2026-10-22 06:43:58 +08:00
wandering1 11c82c0d99 feat(门禁): 位号类型识别机制落地（暂不纳入硬件语料） 
- check_ids.py 的 add() 加一道类型判定：硬件类语料（docs/硬件平台/、docs/芯片手册/）里
  匹配「单个大写字母 + 1~3 位数字、无连字符」的字面量判为**位号**（R 电阻 / C 电容 /
  D 二极管 / J 接插件 / X 晶振 / U 芯片 / T 变压器），直接不产生编号结论，并计数到
  stats[designator_skipped]，不是静默放过
- 两处刻意收窄：字母集**不含 B**（V0.0 网表报告里的 B1 是真专项条目）；要求 fullmatch
  无连字符，所以 D-7 / N-18 / TC-206 / TC1003 这些真编号与违规形态一律照旧判
- 注册表新增 designator_rule 说明口径；**本批不解除 excluded_paths 里的硬件目录排除**：
  粗测该目录约 4200 处位号，会灌进可判定比例的分母 refs_total，把真实变化盖掉——
  解除排除必须先把位号从分母里减掉，那是下一件事
- 因此本批对现有数字零影响：错误级仍 626、可判定比例不变、--strict 通过
 2026-10-22 06:38:29 +08:00
wandering1 ee25b10053 chore(编号): 硬件网表报告里的 Trap05 统一为 TRAP-NET-05 
- 6 处裸形 Trap05（V0.0 报告 5 处 + V0.1 报告 1 处）→ TRAP-NET-05，序号不变只补模块码
- 语义已核对：属主条目 docs/问题记录/CH395F_Trap_Records.md 的 TRAP-NET-05 就是
  CH395F 与 RTL8305 自动协商不兼容，同名不同义的担心排除掉了
- 别名表登记 Trap05 → TRAP-NET-05（scope 限定这两个文件，写进真容器 aliases）
- rename_ids.py 解除对 docs/硬件平台/ 的排除（芯片手册仍排除）
- 注册表 TRAP 族注记改为事实：该目录仍不进门禁扫描语料——粗测约 4200 处
  R/C/D/J/X/U/T 位号，位号类型识别做完前纳入只会让 --strict 为位号天天拦提交

验证：id-check --strict 无台账外新账；doc-links 失效与待确认均 0；
改名文件 BOM=否、CR=0、U+FFFD=0；未改 C/H，不需 @build
 2026-10-22 06:33:00 +08:00
wandering1 52976bdec3 refactor(编号): 批 4 陷阱号统一为 TRAP-<模块码>-<nn> 
本批是 ② 形态迁移清的第一族（用户裁定顺序：② 里的 Trap 一族先做）

统一了什么（数字不变、只补模块码，§7.1）——改名工具 23 处 / 11 文件
- Trap 01~07 → TRAP-GD5F-01~07：属主文档 7 个标题行从此成为定义位
- 陷阱 1 → TRAP-RTC-01（SD2506 属 RTC 域，§4.2）、见陷阱 01 → TRAP-GD5F-01
- Trap 21 / Trap 19 → TRAP-NET-21 / TRAP-NET-19（引用的是活登记处
  CH395F_Trap_Records.md，号本身不变）
- 波及 Drivers/BSP/GD5F2GQ5UE/*（4 处注释）与 test/board/*（2 处）→ 已重编

三处判读后**刻意不改**（写进 §8.3，不让人当成漏网）
- docs/环境与部署/并行任务工作树方案.md 的 wip/trap22-fix 是 git 分支名，不是编号；
  这类非编号字面量要靠类型处理，与位号 T1、IEEE 负序 S2、gitlint 规则 ID 同一批
- docs/UI设计/菜单页面设计.md 变更记录行的「陷阱 3」按 §8.1 冻结不改写
- docs/硬件平台/V0.0、V0.1 网表报告里 6 处 Trap05 语义确指 TRAP-NET-05，但该目录
  是门禁与改名工具共同的排除语料 → 不越界动笔，盲区登记进注册表 TRAP 族 cursor_note

两处不是改名、是改错话（映射表类工具的典型失效：字面对了、意思错了）
- scripts/README.md 原写「Trap 19 从未存在」；改名后字面变成 TRAP-NET-19，而它是
  **真实条目**（SET_MAC 必须在 INIT_CH395 之前）→ 那句话成了假话，改用站得住的例子
- docs/编号规范.md 同一处事故叙述补准确说法：当年裸形不在册 ≠ 这个坑不存在
- 菜单页面设计.md 的「见 §8.2 陷阱 1」本就不是 TRAP-* 族的号（指本文小节第 1 条），
  改写成「见本文 §8.2 第 1 条（lv_text_get_width 的 length=0 陷阱）」

关闸第一次真拦人：咬的是自己家的审计表
- scripts/rename_maps/batch3-trap.json 里必然写着 Trap 21 / 陷阱 1 等旧形态，
  被当成 6 类「台账外新账」→ 提交被拦（拦得对，但表不是语料）
- 第 4 次同一类自循环（前三次：别名表、注册表、债务台账）→ 整个 rename_maps/
  目录入 excluded_paths；这条规律写进 §8.4：**登记号的表一律不得当引用语料**

实测变化
- 错误级 659 → 632（−27）；② 空格/中文形 Trap 残余 2 处（都是上面刻意保留的）
- ③ 悬空错误 44 → 42：TRAP-GD5F-01/05/06 三处历史悬空引用自动落地为已定义
- 编号字面量 8277 → 8312（识别面没有缩水，这是改名最容易踩的坑）；
  可判定比例 82.92% → 82.99%（基线 82.6%）；⑦ 定义无引用 100 → 103（如 TRAP-GD5F-02
  只有定义位无人引用，如实挂 warn 不压掉）
- 台账 --prune-backlog 收掉已还清 42 条，剩 298 条（只减不增）；--strict 通过

另修：core.autocrlf=true 把 SD2506_Trap_Records.md 检出成 CRLF（41 处）→ 还原 LF，
该文件 diff 只剩 1 行实质改动（仓库权威行尾是 LF，见 .gitattributes）

验证（全绿）
- @build：0 错误 0 警告（Program Size Code=213356 RO=18580 RW=1184 ZI=131480）
- ci_local.py：L0 + L0.5 全过（16 runner / 1104 断言）
- check_doc_links.py --all：143 篇文档 0 失效、0 待确认
- 改动文件字节卫生逐项与 HEAD 对比：BOM / CR / U+FFFD 异常 0

审计轨迹与文档
- 映射表 scripts/rename_maps/batch3-trap.json（含作用域切分理由与刻意不改清单）
- 别名 11 条全部带 scope；docs/编号规范.md §7.1 行状态、§8.3 批 4 行 + 说明段、
  §8.4 自循环第 4 条、变更记录
 2026-10-21 12:32:13 +08:00
wandering1 858434492c feat(门禁): id-check 关闸——按债务台账增量拦截，warn-only 时代结束 
机制（--strict 不再「有错就失败」，而是只拦台账外的新账）
- scripts/id_known_backlog.json：340 条指纹覆盖 710 处存量（②167 类 / ⑥135 / ③38）
- 指纹 = (文件, 校验号, 字面量) → 计数，故意不含行号：行号每改必漂，
  用它当指纹会让台账天天假新增，三天后没人敢看 strict，台账失效比没台账更糟
- 带计数而非集合：同一文件里同一个号多出现一次也算新账（复制粘贴式扩散
  正是编号烂掉的主路径，只按「出现过没有」判会放过它）
- 新增 --write-backlog 与 --prune-backlog（只减不增；台账内条目变多当场点名）；
  --strict 缺台账返回 2，绝不退化成一次性拦死存量；--only 与 --strict 互斥
- 钩子 entry 加 --strict；--only 与 --strict 互斥
- 顺带修 _scan_malformed 的反向 bug：原条件 (skip and name != "空格形 Trap")
  语义正好写反，带 [示例] 的行反而专被 Trap 规则咬；改为示例行全部不判
- 第一次提交就被自己的台账咬住（id_known_backlog.json 里当然写着 P1-3 等号，
  被当成新引用）→ 台账加入 excluded_paths：登记号的表不是引用号的文档，
  与 id_aliases.json / id_registry.json 同一条道理

为什么不照「清零再升 strict」的原节奏（§8.4 详述）
- 存量 710 处清完要数周，这期间新债一条都不拦，而新增才是烂掉主因
- 「等清零」让人习惯「报红但照样提交」，真关闸那天没人再信门禁；
  本仓已有 mem-budget / mem-numbers 走 --no-verify 的先例，不再开第二个口子

关闸验收三例（临时件当场还原、git diff 干净）
- A 全新前缀 Z-99 → exit 1 点名 ✅ 咬
- B 同号计数 1→2 → exit 1 点名 ✅ 咬
- C 干净态 710 处 → exit 0 放行 ✅ 放（放不住存量就会逼出 --no-verify）

验证：--strict 干净态 exit 0；可判定比例 82.74%（基线 82.6%）；
doc-links 失效/待确认 0；未改 C/H 不需 @build。
文档：编号规范 §8 上线节奏改写 + 新增 §8.4 机制表；pre-commit使用说明 §2.25；
AGENTS.md 门禁行由 warn-only 改为已关闸增量拦截。
 2026-10-21 11:35:30 +08:00
wandering1 4b9a4f4e24 refactor(编号): B 层口径落地——主机侧单测认代码为属主登记处 
为什么不是"补 7 篇文档"
- 实测这些号在代码目录外**零消费者**（NANDPORT 47 / PROTELEM 13 / PROTSET 11 /
  FREQ 11 / FTPAUTH 10 / SHA256 8 / SOE 7 / ADCHEALTH 11 / IEC104 23，共 141 号），
  唯一"外部引用"是 scripts/id_aliases.json 自己 → 逐号写文档等于造一份没人读、
  还要跟着代码同步改的复述层（违反"同一事实只在一处详述"）

判据与注册表改动
- 新增 9 族 TC-HOST-<模块码>：class 仍为 TC（跨模块同号照旧由校验 4 抓）、
  owner_docs_glob = test/host/<目录>/*、每模块游标做号段不越界（含 IEC104 补漏：
  它上批改名前是纯数字 TC-104-*，没进当时的悬空普查所以漏建族）
- 新旗标 allow_orphans（不补该旗标会让 141 号全变孤儿告警）、
  subitem_ok（小写子项后缀母号在册即算已定义，差异仍由双向追溯如实报）
- snapshot_only：§4.3 冻结快照族不参与"定义位优先"——先试无差别生效时，已销项的
  登记簿 N-21 被审计报告同号接管，校验 6 从 266 暴涨到 1437、可判定比例假崩 68.7%，
  且提示会教人补错文档名（正是 §1.2 的 N-31 撞号制造方式），故回退并改为快照族豁免
- excluded_paths 加 scripts/id_aliases.json 与 scripts/id_registry.json：
  别名表/注册表自身不得制造引用面
- T-2 / T-3 / T-4 / T-6 入别名表标 void（2026-10-02 复审专项条目，销项只删行没清引用）

修自己的漏配（这条是 bug 修复，不是口径）
- N / S-LDG / T-LDG 族漏登记 docs/任务规划/README.md（活登记处，N-21 在其中出现 2 次），
  只登记了 docs/任务规划/登记簿.md（N-21 为 0）→ 74 处真条目被误判

数字与诚实交代
- 错误级 1318 → 711（②398 + ③44 + ⑥269）；可判定比例 82.74%（基线 82.6%）
- ⚠ 其中 504 处属**口径修正**、74 处属**修 bug**，**真正变好 0 处**；已在
  docs/编号规范.md §8.1 写口径修正记录表，禁止拿 711 与 1318 直接比
- 文档：§4.1 补 TC-HOST 说明、§8.1 口径修正记录、§8.3 批 3 行、变更记录；
  pre-commit使用说明 §2.25 判定口径与最新实测同步
- 未改任何 C/H，不需 @build；提交钩子即 L0 + L0.5 全量验证
 2026-10-21 10:51:25 +08:00
wandering1 bda7ab2b50 refactor(编号): 16 个测试模块码单词化 + 门禁识别面连带放宽 
批 2（用户授权改名 + 「新名要一眼看懂」裁定）
- 16 个有歧义模块码单词化，共 1,146 处随 scripts/rename_ids.py 改写：
  AI→ADCIN、AH→ADCHEALTH、PS→PROTSET、PE→PROTELEM、PH→PHASOR、
  TS→TIMESYNC、VL→VOLLOCK、NP→NANDPORT、CFG→CONFIG、CLK→SYSCLK、
  WD→WATCHDOG、STO→STORAGE、SH→SHA256、FA→FTPAUTH、FR→FREQ、104→IEC104
- 不动 NET/GD5F/RTC/SOE/UI/ADC/LOG/RS485/TOOL（已是单词、芯片名或业界通用词，
  改了纯属 churn）
- 别名按全局登记：这批字面量已完全限定（TC-<码>-<nnn>），不存在裸形多义
- 映射表存档 scripts/rename_maps/batch2.json 作审计轨迹；§6 模块码表同步

连带修门禁（关键教训）
- 模块码涨到 9 位（ADCHEALTH/WATCHDOG）后，候选正则与族正则的 {0,4} 上界
  会让改名后的号**整批从门禁眼里消失**：实测编号字面量从 8271 掉到 7315、
  悬空假降 490 处。已放宽到 {0,9} 并写进 §6 注记
- 结论：改名批次必须连带复核识别面，只改数据不改判据 = 静默放行；
  这次是靠「可判定比例跌破基线即失败」那条线拦下来的

现状与遗留
- 校验 1 未登记前缀 0 处；可判定比例 82.71%（基线 82.6%，只涨不跌成立）
- 遗留：7 个模块的「单元测试说明.md」仍缺（PROTSET 116、NANDPORT 109、
  PROTELEM 65、FREQ 48、FTPAUTH 45、SHA256 25、SOE 14 处悬空）——改名不解决
  缺文档，处置方式待议
- 遗留：T-2/T-3/T-4/T-6 历史任务号悬空（别名表未收全，属本工具批次漏项）
- 未改任何 C/H 可编译语义（仅注释与宏名内的编号），故不需 @build
 2026-10-21 09:53:28 +08:00
wandering1 301c3e5183 feat(门禁): 编号门禁 id-check 落地（36→37 钩子）+ 批 1 编号单词化改名 
新增门禁本体
- scripts/check_ids.py：实现 docs/编号规范.md §8 八项校验；默认 warn-only，
  唯一硬拦项是「可判定比例跌破基线」（防回退的本体）
- scripts/id_registry.json：66 个前缀族，逐项来自 §4 总表 + 全库实测游标，
  偏差一律写进 cursor_note，不凭记忆编造
- scripts/id_aliases.json：旧号 → 新号 / 作废标记（照搬 section_aliases.json 范式）
- 顺带收编 check_test_traceability.py：正则补齐大写后缀与无模块码形态，
  比对范围扩到 test/host 与 7 篇「单元测试说明.md」，另加 --board-only 回退旧口径

批 1 改名（用户授权解禁「不改写存量号」）
- 代码规范条款 S1~S19 → CODE-RULE-nn：78 处 / 2 文件
- UI 像素回归状态 S0~S7 → MENU-STATE-nn：61 处 / 3 文件（冻结在 07）
- 两族属主登记处 = 脚本自身的规则表 / STATES 表，文档只作引用方
- 新增 scripts/rename_ids.py（§7.3 规划脚本）：映射表驱动、显式 scope、默认干跑、
  自动写 scoped 别名，跳过 [示例]/[计划] 行与变更记录表，按原字节读写保 BOM 行尾
- 已应用映射表存档 scripts/rename_maps/batch1.json 作审计轨迹

有牙实测（证明门禁不是空转）
- 注入 Z-99 / 裸形 / 悬空 / 越游标 / 未紧邻 / 跨文档重复定义 六例，
  分别被校验 1/2/3/5/6/4 点名，--strict 退出码 1；临时档删除后工作树干净

验证与同步
- 可判定比例基线 82.3% → 82.7%（已 --update-baseline 入档）；错误级 1312 → 1291
- ci_local.py 全绿（L0 + L0.5 共 1104 断言）；ui-golden Passed；
  check_doc_links.py --all 无法判定 0
- 未改任何 C/H 源文件，故本次不需 @build
- 文档：AGENTS.md 与 pre-commit使用说明.md 计数 36→37 并新增 §2.25 详解；
  编号规范 §4.1 补两行、§8.1 落地记录、§8.2 规范与仓库偏差、§8.3 迁移批次记录
 2026-10-21 09:33:54 +08:00