jianf/MailUI4Agents
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
346 Commits 1 Branch 0 Tags
8ea33aeb913cbfb692d4b37ab0224255b0ec0149
Commit Graph

54 Commits

Author SHA1 Message Date
JianFeeeee
8ea33aeb91 跨端: fix(套件): 把自检 4 移到到期闸之前，并修掉"锚点自匹配导致它空转报 ok" 
dsh 报了"移动未完成"（他两次栽在自己的锚点假设上）并把行号级配方留在上一封里。
这一笔把那一步做完，并在做的过程中撞到**移动本身引出的新洞**：

1. 自检 4 从到期闸**下游**移到**上游**（与自检 1/2/3 同层）
   —— 否则"闸一 exit，自检连跑的机会都没有"，而那正是它唯一要防的场景。
   `let selfCheckFailed` 的声明一起上移（否则在声明前赋值 → ReferenceError）。

2. ★ 移动后它**空转报 ok**（比原来更糟：连失效都不响）。原因：
   锚点写的是 `indexOf('let dueFailed = false;')` / `indexOf('const probeSummary')`，
   而**这两串字本身就写在自检代码里**（作为 indexOf 的实参）。自检块一旦移到真闸之前，
   `indexOf` 第一次命中的就是**自检自己那两行** ⇒ 扫描区间变成自检自己的两行 ⇒ 真闸从没被扫过。
   ⇒ 修法：锚点改 `lastIndexOf`（真闸在自检之后），并加一道**自匹配断言**
   （区间里若出现 `selfSrc.indexOf` 就判红，不许空转）。

实测（pi）：
- 正常跑：`ok 4 - 到期闸是记账而不是 exit`、汇总照常打；
- 变体（把 `process.exit(1)` 塞回 `dueFailed = true;` 之后）：**`✗ 套件自检 4`当场打出来**
  （报文：到期闸区块里又出现了 process.exit()）—— 修复前这个变体是 0 命中；
- 变体撤销后文件字节恢复（`git diff` 空）。
 2026-09-15 12:22:15 +08:00
JianFeeeee
9a10ab2fcf 跨端: fix(harmony-appearance): blurStyleFor 已删除 ⇒ 换成**碑文判据 + 性质现居地**（不是只删）；顺手修两处说谎的标题 
pi 2026-09-15 查到根因：`blurStyleFor`（px → 材质档）已**有意删除**（碑文 `Wallpaper.ts:246`：
"没有、也不该有消费者"），而判据文件里还有引用、2 条真在调用 ⇒ `A.blurStyleFor is not a function`。

**只删会把"这个性质搬到哪了"一起删掉**（pi 的建议）。所以两处改成：

1. **碑文/反回归**：`typeof A.blurStyleFor === 'undefined'` —— 有意删除的东西不许悄悄回来；
   外加"理由必须留在原处"（碑文正则，删了理由也会红）；
2. **性质的现居地**：导航面板材质现在是**固定系统档** ——
   `common/Theme.ets` 的 `navMaterial: BlurStyle = BlurStyle.COMPONENT_THICK`（从"函数映射"搬到"常量"）。
3. 后半段那组（分档边界/单调性/NaN）**整体作废且不硬造等价物**：它们的**主语**没了，
   常数没有单调性、没有越界归并、没有 NaN 方向 —— **性质随主语一起消失，判据变少是对的**。

★ 另修**两处说谎的标题**（本判据属于 pi 的"标签必须等于断言范围"）：
- `★ blurStyleFor：分档边界、单调性、NaN 都是行为` → `★ 碑文：blurStyleFor 不许回来 + 理由必须留在原处`；
- `★ 模糊值映射到**系统材质档次**` → `★ 材质档**不再是 px 的映射**：碑文 + 性质现居地`。
  改前它们断言的内容与标题已经完全不是一回事。

实测：`# pass 25 / # fail 0`（此前 退出码 1）。登记 26 → 25 同步（**变少是对的**）。
 2026-09-15 12:20:41 +08:00
JianFeeeee
ee3ada2740 test(登记): harmony-calendar 登记数 10→23（自报 23）—— 这条判据是我写的，登记数该我维护 
汇总被到期闸吃掉时看不见这条；修好到期闸后它立刻显形（正是 pi 抓的那个 bug 的收益）。
其它 4 条条数不符（narrow-layout 88>64、nav-merge 9>8、harmony-presets 6>5、commit-hygiene 3>2）
都是**别人的在飞文件**，我不改它们的数字。
 2026-09-15 12:16:50 +08:00
JianFeeeee
171f2323d9 test(套件): 补"到期闸不许吃掉汇总"的自检 4 —— **但它现在放在下游，抓不到它要抓的那种回归**（已知未完成） 
补的是我上一封自己承认的缺口（"这条修复没有判据钉着"）。但实测暴露了更难看的一件事：

**突变检验**（把 `process.exit(1);` 塞回 `dueFailed = true;` 之后）：
```
突变侧退出码=1，grep "套件自检 4" → **0 次命中**
```
原因：突变让到期闸**在自检之前就退出了进程** ⇒ 自检**根本没机会跑**。

⇒ 我把判据放在了**被它检查的东西的下游** —— 而这**正是本文件自检 3 存在的原因**
（"判据不得写在 `process.exit()` 之后，永远不会跑"）。我新写的这条自检，犯了它旁边那条自检专门在防的错。

**修法（未完成，如实记在这里）**：这条自检是**纯静态源码检查**，应当移到到期闸**之前**。
我尝试移动时脚本自己的断言失败（锚点没匹配上），所以**没有移成** —— 现状是：
- 绿侧 ✓ `ok 4 - 到期闸是**记账**而不是 exit`；
- **失效场景未被抓住**：设备在场、到期闸红、有人写回 exit ⇒ 自检不会响。

另外记一条同族：这条自检第一版**指着自己报红**（它的报错文案里就含 `process.exit(` 这串字），
改成 `stripComments()` 后正常 —— 与 `@ohos`/`toISOString` 那两次同族，规矩不变：**不挪扫描口径，去掉不该扫的部分**。
 2026-09-15 12:15:40 +08:00
JianFeeeee
ecab509a57 跨端: fix(套件): 到期闸的 process.exit(1) 排在汇总之前 ⇒ 它把汇总和**所有其它红**一起吃了（pi 实测） 
pi 2026-09-15：这块在报文末尾直接 `process.exit(1)`，而它位于汇总之前 ⇒ 只要到期闸红，
`RESULT phase=` 行、欠账余额、条数不符、以及**所有其它红的列表**都不会打出来。
他实测到：`harmony-presets` **实报 6 / 登记 5** 这条真红**一次都没显示过**。

形状：**一道闸把不属于它的证据一起吃掉** —— 与"跳过会在下一轮被读成验过了"同族：
前者让红的**消失**，后者让没验的**看起来验过**。

修法不是"少红"，而是**记账 + 继续走完**：
- 到期块改成 `dueFailed = true`（不再 exit）；
- 汇总分支条件加 `&& !dueFailed`（否则会误报"全部通过"）；
- 结尾保留 `exit(1)`，并在"只有到期闸红"时多打一句说明。

实测（`AGENTMAIL_CRITERIA_PHASE=install node test/run-all.mjs`，退出码 1）：
```
RESULT files=25 ran=45 checks=772 pass=771 fail=1 broken=0 unreported=0 verdict=red
```
⇒ 汇总**打出来了**，并且 `fail=1` 正是 pi 说的那条 `harmony-presets`（此前被吃掉的）。
`RESULT phase=` 行与到期报文同时在场。

**已知缺口（没掩盖）**：这条修复目前**没有判据钉着** —— 要钉它得跑一次完整套件并断言
"到期报文与汇总同时出现"，成本高，我没在这轮加。谁下次碰这块应先补它。
 2026-09-15 12:12:19 +08:00
JianFeeeee
4880c31110 跨端: fix(设备闸): app state 交叉验证（矛盾⇒拿不准）+ 正例换成**真机实采**样本 
pi 邮件 `6f902e1e` 指出两件，都对：

1. **我那条正例是自相矛盾的**：我用脚本把 `state #FOREGROUND` 对调，却漏了同一块的 `app state #X`
   ⇒ 造出 `state FG` + `app state BG` 这种**真机上不会出现**的 dump。于是"闸能放行"这条正例
   建在**非法输入**上 —— 它绿，但它没证明任何真机会发生的事。
   现在：正例改用 12:08 **真机实采**的 `fixtures/aa-dump-l-ours-foreground.txt`（两个 mission 都在、
   `state`/`app state` 一致、FG 是我们）；
2. 顺手把"矛盾怎么办"钉成规则：同一块里 `state` 与 `app state` 打架 ⇒ **`unverified`**，
   **不许"挑一个信"**（那是把互相打脸的证据当成证据）。`app state` 缺失时不因此判未验
   （否则老格式 dump 会一律未验 —— 那是"更安静的失效"）。

判据 8 条全绿；登记同步为 8。
 2026-09-15 12:10:49 +08:00
JianFeeeee
5337d51bfb test(设备闸): 补第二份真样本（单 mission，我们不在列表里）+ 把"状态对调"那条从弱断言改成**严格正例**（pi §4②） 
- 新样本 `fixtures/aa-dump-l-single-theirs.txt`：由真样本删掉我们那块得到，形状与 pi 12:03 的活 dump 一致
  （单 mission、`state #FOREGROUND` 是对方）⇒ 正确判决 **`other`**，不是 `unverified`
  —— 否则会把"别人占着前台"和"没读到"混成一种；
- `#FOREGROUND` 全删 ⇒ `unverified`（缺证据不猜）；
- ★ 原"状态对调"那条我原先只断言 `ours || unverified`（当时心虚写宽的）。pi 指出：
  **只判"读不出来就不许过"是不够的，还得有正例证明"读出来了真的能过"** —— 否则这道闸的失效方式是
  "永远说未验"（更安静的失效，而且欠账永远还不完）。已改成严格断言 `ours` + `mayAssertOn === true`。
- 登记 5→7（我一度写成 8：我只加了 2 条，5+2=7 —— 相等契约下这种手误会被套件当场抓住，这正是它该干的事）。
 2026-09-15 12:08:09 +08:00
JianFeeeee
4af083e8b8 test(判据): 4 个判据读的是**另一棵树** —— 修掉硬编码的仓库根，并让 stripComments 保持行号 
pi 2026-09-15 实测出来的，**这次长在判据自己身上** —— 正是我们前几轮一直在消的那个形状。

## 一、`const ROOT = '/home/program/agentmail'`：规则进来了，对象没进来

`harmony-arkts.test.mjs` 把仓库根写成了绝对路径。后果我按 pi 的步骤亲手复现了：

```
$ git worktree add --detach /tmp/wt-verify 7f4fa26      # 那个检出里 import 顺序**确实**违规
  （核对：最后 import 在第 80 行，而第 63 行已是 `const NAV_MATERIAL_OF…`）
$ cd /tmp/wt-verify/client/electron && node --test test/harmony-arkts.test.mjs
ok 1 / ok 2 / ok 3   # pass 3  # fail 0      ← **在一个明显违规的检出上 3/3 全绿**
```

因为它读的不是 `/tmp/wt-verify`，是 `/home/program/agentmail`（那份早已修好）。
两层后果，第二层最糟：
① 它**永远无法验证任何别的 checkout / CI / 镜像** —— 换目录不是"红"，是 `readdirSync` 直接抛；
② 在本机做 worktree 复核时，它**静默读另一棵树并报绿**。
**判据的逻辑是对的、对象是错的** —— 这比"判据写错了"更难发现，因为它在原地永远是绿的。

同一个毛病在 4 个文件里，**恰好全是最近这几笔新写的**（另 10 个鸿蒙判据写法是对的）：

```
harmony-admin / harmony-imageprep / harmony-presets / harmony-arkts  →  const ROOT = '/home/program/agentmail';
其余 10 个                                                          →  const ROOT = join(HERE, '..', '..', '..');
```

已全部照邻居改掉。**修好之后在同一个违规检出上：`# fail 1`** —— 它终于会红了。

## 二、修这条时又牵出一个：`stripComments` **改变了行号**

修好路径后，判据报出"最后一个 import 在第 64 行、第 47 行已是语句"，
而**真实文件里是第 80 / 63 行**。成因：`stripComments` 把块注释整块抹成 `''`，
而块注释**自带换行** ⇒ 它之后所有行号整体前移。

这不是小节：全仓判据都用 `文件:行号` 定位（`grep -n`、编辑器跳转、`git show` 核对），
**报出来的行号必须能直接用**，否则读者第一步得先猜"这是剥过的还是没剥的"。
改成"块注释里的每个换行换成等量空行"。修完报的就是 **80 / 63**，与文件逐字对上。

## 三、新增两条判据，让这两个形状不能再回来

1. **`★ 判据不许把仓库根硬编码成绝对路径`** —— 扫判据目录里**真代码**
   （`code()` 剥注释，否则本文件自己的说明文字就会误报），找
   `const X = '/绝对路径'` 且**看着像仓库内**的声明。
   **例外按名字放行**（含 `TOOLCHAIN`/`SDK`/`HDC` 的常量）—— 工具链本来就不在仓库里、推不出来；
   按**值**做白名单会逼着下一个人为了过判据去改那个路径的写法。
2. **`★ stripComments 必须保持行号`** —— 造含多行块注释的样本，断言剥完
   **行数不变**、且第 N 行仍是原来的第 N 行；**同时**断言注释内容确实被去掉了
   （别为了保行号把注释留下）。

两条都做了**变异验证**：
- 把 `harmony-admin` 的 ROOT 改回硬编码 ⇒ 新判据**红**，并点名那个文件；还原后绿。
- 在 `MainPage.ets` **import 之前**插一条语句 ⇒ `harmony-arkts` **红**
  （第 79 行 vs 第 1 行）；还原后绿。**这条同时证明了"读的是自己那棵树"** ——
  同样这个变异，在修路径**之前**是绿的。

## 四、未做 / 未验

- 到期闸门那 7 条**没动**（要真装真点，是另一件活）。
- **"把 build 做成一条判据"我探了，两个硬障碍**（详见给 pi 的回信）：
  ① `client/harmony/oh_modules` 被 `.gitignore` 排除且未入库 ⇒ **全新检出没有它**，
     构建会先死在装依赖上；② 本沙箱**拒写 `/root/.hvigor`**（`mkdir` Permission denied），
     `hvigorw` 在 worktree 里直接 `EACCES: mkdir '/root/.hvigor/project_caches/…'`。
  所以它在本仓能编过、在干净检出编不过 —— 作为判据它现在会**假红**。
 2026-09-15 12:06:15 +08:00
JianFeeeee
c12744e8c3 跨端: 导航条材质选 (a) 固定档（推翻我的 (b)）—— 并修掉"注释说 (a)、代码是 (b)"的自相矛盾 
pi 2026-09-15 裁定：**推翻 (b)，选 (a)**。我原先给 (b) 的理由不成立，他逐条驳了：

1. **WebUI 的导航条根本不读 `--bg-blur`**：`index.css:1114` 的 `.narrow-nav` 是硬编码
   `backdrop-filter: blur(18px) saturate(1.5)`。我引这条支持"两个量不同"，
   而同一条也说明**它不由用户偏好驱动**。
2. **WebUI 那个滑杆的语义是"背景"**：`BackgroundPicker.tsx:183` —— `label="模糊"`、
   `hint="虚化细节，避免背景与正文抢注意力"`、`min=0 max=24`，只作用在
   `.app-backdrop{filter:blur(var(--bg-blur))}` 上。
3. WebUI 自己留了**分开的**令牌 `--bg-blur-panel`（`index.css:267`，注释写明
   "与壁纸自身的 `--bg-blur` 分开"）—— 它的词汇表本身就拒绝把两者等同。
4. **★ 我给 (b) 的理由不成立**：我写"(a) 会让那个滑杆在导航条上变成死控件"，
   可那个滑杆**已经**被壁纸消费了（`MainPage.ets` 壁纸层的 `.blur(bgPlan.blurPx)`）——
   它从来**不是**导航条的控件。(a) 之下它照样是活的。
5. §7.12 的「材质（玻璃）」行原本写的就是固定档 ⇒ (a) 是**回到**已登记契约。

产品向还有一条：**导航条是 chrome，材质应当稳定**，不该因为用户换张壁纸而变厚变薄。

## 最该记的是：我的注释和代码**互相矛盾**

`MainPage.ets` 里那段注释论证的是 (a)、并明确写着"跟随是错的，pi 抓出来了"，
而它下面那一行代码是 (b)。**下一个读者会照注释把代码改回去，并引我那句话当权威。**
这是这一路反复在消的形状（说的与做的不一致、而判据看不见），这次落在**注释**上 ——
而注释正是"理由要写清"那条纪律的证据源。已整段重写为真实的 (a) 版本，并把
"(a) 会让滑杆变死控件"这个**错的理由**连同它为什么错一起留在注释里。

## 做掉的东西

- `MainPage.ets`：导航条回到 `.backgroundBlurStyle(Theme.navMaterial)`；
  删掉 `NAV_MATERIAL_OF` 表与 `navMaterialFor` 的 import（(a) 之下都是孤儿）。
- `model/Appearance.ts`：删 `navMaterialFor`（它存在的唯一理由就是方案 (b)）。
  `blurStyleFor` 现在**没有任何调用点** —— 如实登记在它的文档注释里
  （"有测试"不等于"有人用"，上一轮我刚因同形状被抓过），不假装它活着。
- **五处"整条字面表达式"断言改成语义断言**（pi §四）：`cross-client-theme`、`harmony-appearance`、
  `harmony-nav`（3 处）此前都在钉
  `/\.backgroundBlurStyle\(NAV_MATERIAL_OF\[navMaterialFor\(…\)\] \?\? Theme\.navMaterial\)/`
  —— 字面换字面，正是 `CRITERIA.md` 不许的"对源码形状的匹配"。
  现在判：① 那一处的材质**来自 `Theme.navMaterial` 这个系统令牌**；
  ② **不许跟随** `bg_blur`（NavBar 真代码里不许出现 `blurPx`/`blurStyleFor`）；
  ③ 令牌是 `BlurStyle` 枚举值、不是 `NONE`、且**成员名真实存在于 SDK 枚举**。
- "可达性"那条判据**随契约作废**（它守的是方案 (b)）：换成判 (a) 的契约。
  **判据随契约走，不随实现走。**
- `harmony-appearance`：原先判"页面里那张表的键必须是 SDK 成员"。表删了，
  改成**枚举 `blurStyleFor` 的整个值域**（0..40 + 界外 + NaN），逐个核 SDK 成员 ——
  比原来只核表里那三行**更严**。

## 判据自己先错了一次，记下来

新判据第一版**没剥注释**就断言"NavBar 里不许出现 `blurPx`"，当场红了 ——
而红的原因不是代码错，是 `NavBar` 的**文档注释**里正好写着
"我一度把档位接过用户偏好（`navMaterialFor(this.bgPlan.blurPx)`）"这句历史说明。
**注释说明禁令 ≠ 违反禁令**；不剥注释，这条判据就会变成"逼人删掉解释"，
恰好与本仓库"理由要写清"的纪律相反。改成 `stripComments(bar)` 后再判，并加了一条
"注释里确实留着那处说明"的自检前提。

## 变异体：45 个全部被抓（含 3 个新判据的专属变异）

方案 (b) 落地时配的 13 个变异体**整体作废**（它们锚的代码被删了），标注 `retired`
并写清理由 —— 不是"没跑成"。另有 5 个锚点漂移（我在注释里逐字引用了被锚的那句代码，
污染了通用正则）的**重锚**到真代码；注释里那句逐字引用也一并去掉了
（**注释里逐字抄代码**正是让"按字面锚定"的变异体反复失效的根因）。
新增 3 个针对 (a) 契约的变异体（绕过令牌 / 又跟随 `bg_blur` / 令牌变 `NONE`），全部被抓。

## 未验

- **真机观感仍未验**：三档材质在真机上能不能看出差别、滑杆手感、管理页布局，
  只有真机能答。本机模拟器已起（`hdc list targets` 有目标），但
  `run-all.mjs` 的**设备闸已经到期**（8 个静态判据的前提成立）⇒ 套件现在会挡在
  那道闸上、不打 `RESULT`。**这不是本笔引入的**（前提是环境变了），已单独报给 pi。
- Go 侧 `debt_registry_test.go` 仍未在本机跑（无 Go 模块缓存）；pi 已在别处跑过，绿。
 2026-09-15 11:58:19 +08:00
JianFeeeee
e917b8782a 跨端: feat(设备闸): DeviceProbe.ts —— "读到别人的界面"是假绿来源，读之前先判"是谁的"，拿不到就记未验 
pi 邮件 `971c58fa` §4 / `bf583b0f` §2。别的 agent 在同模拟器上 `aa start` 会抢前台，
之后读到的控件树是**它的窗口** ⇒ 断言可能通过也可能红，**两者都不是在讲我们的界面**（前者=假绿）。

- `foregroundVerdict` 判决只有三种：`ours` / `other` / `unverified`；**只按 bundle 判，不许看标题/文案/控件名**
  （别人的合法 dump 里完全可能有同名控件与同文案，"邮件"这种通用词尤其容易撞）；
- `parseForeground` 取不到就 **undefined**（空 dump / 截断 / 格式变了都不猜）；
- `mayAssertOn === false` ⇒ 调用侧必须记 **`未验`**（欠账继续开着），**不许**记通过、**不许**静默跳过
  —— 跳过会在下一轮被读成"验过了"；
- `unverifiedReason` 统一状态词，并写明"**缺证据 ≠ 没有那个现象**"。

判据喂 4 类样本（pi 指定的最易漏输入）：① 我们的 dump ② **别人的合法 dump（含同名控件 + 同文案）**
③ 截断/畸形 ④ **空 dump**（窗口没起来时最常见，最容易被当成"坏现象不存在"）。
另加一条只按 bundle 判的反证（把标题改成"像我们"也不许变 ours）。

**顺手抓到自己一个坑**：`firstMatch` 第一版的否定类既接受非 ASCII 也接受**换行**
⇒ 对 `windowTitle: 邮件\n abilityName: …` 会吞掉中文标题并**捕获下一行的键名**，
"标题"读到 `abilityName`（看起来有值、其实指错地方）。判据当场抓到 ⇒ 改成按行取、值允许中文、空值不回退。
 2026-09-15 11:54:25 +08:00
JianFeeeee
38b0e07415 fix(判据): 计数契约由"不少于"改成"相等"（只判下界时，多加的判据不受"被删会红"保护） 
pi 邮件 `9fed4386`：`harmony-push` 实报 13 / 清单登记 12 —— 因为 `ran < expected` 只判**下界**，
所以多出来的第 13 条**不在"被删会红"的保护内**（删掉它不会有任何东西变红，保护只覆盖前缀）。

两处改：
1. `harmony-push` 登记 12 → **13**；
2. 计数契约改成**相等**，并把两个方向的成因与处置分开写：
   · `ran < expected`：判据被删/被跳过/check() 被改坏…… 确认该减少条数时改清单数字；
   · `ran > expected`：新加的判据不在保护内 —— 请把清单数字改成实际条数，
     这样"被删会红"才真正覆盖全部判据，而不是只覆盖登记过的那部分。
 2026-09-15 11:51:39 +08:00
JianFeeeee
ab31690348 跨端: fix(推送客户端): 登记标记绑定账号（token 换账号是"转移"不是并存 ⇒ 别把登记状态缓存成长期结论） 
pi 邮件 `2518e1a3` 的服务端事实：注销只认注册者本人、token 字符串不是凭证，
**同一个 token 换账号登录是"转移"而不是并存** ⇒ "我登记过没有"的答案**随账号而变**。

原来的 `shouldReportToken(lastReported, current)` 只按 token 存标记 ⇒ 换账号后
（同一 token）会**错误地跳过上报**，而那个账号其实还没登记过这个 token。
改成 `reportMarker(accountKey, token) = accountKey|token` + `shouldReportToken(lastMarker, accountKey, token)`：
**账号变了标记必然不同** —— 于是"换账号必然重新上报"是**性质**，不靠人记得 reset。

判据 13 条全绿（新增"换账号后必然重新上报 / 切回来也要重新上报"，并断言两次 marker 不相等）。
 2026-09-15 11:51:39 +08:00
JianFeeeee
ed0ad2508e 跨端: feat(推送客户端): 按线上形状补契约层（DELETE 也带 body / 未知字段 400 / provider 无白名单 / 错误是 {"error"}） 
pi 2026-09-14 给的线上形状（从 handler/push.go 读的，不是猜的）逐条落成可判的：

- **请求体只放已知键**：`PUSH_BODY_KEYS` 登记四个键，**未知字段服务端直接 400**（不是静默忽略）
  ⇒ 拼错会立刻可见；可选字段为空就不放（空串虽合法，但不放更不容易踩校验）。
- **provider 只做形状校验、没有白名单**（`^[a-z0-9_-]{1,32}$`）：判据断言 `apns`/`fcm` 也合法 ——
  客户端**不许**硬编码"只有 hms 合法"去先拦一道（服务端没实现的通道不该变成客户端的 400）。
  这正是"校验的范围必须等于它真正知道的事"的又一落点。
- **token**：空非法、512 上限；形状不合法 ⇒ `buildTokenBody` 返回 undefined，调用侧**静默跳过**，
  不去打一次注定 400 的请求。
- **错误体是 `{"error"}` 不是 `{"message"}`**：判据专门断言 `{"message":"x"}` 解析出 undefined
  （用错键会把"没有消息"当有消息）。
- **注销：`deleted:false`（本来没登记）不是失败** ⇒ 它**不改变分类**，所以**不再是入参**
  （一个不影响结果的入参只会让人误以为它影响结果），判据断 `classifyUnregister.length === 2` 钉住这点。
- **`ApiClient.del` 补可选 JSON body**：DELETE 端点是 JSON body 形状（不是 query、不是 path 参数），
  原来只有 `path` ⇒ 注销会无效。不传 body 时行为与旧版完全一致（向后兼容）。
EOF
 2026-09-15 11:43:22 +08:00
JianFeeeee
8fed8401de 跨端: feat(推送客户端): 契约层 model/PushContract.ts + 6 条设备无关判据（静默失败/enabled:false 正常态/按 provider+tail 比/按 mail_id 去重） 
pi 2026-09-14 推送契约的客户端半边。四条不变量里**三条是纯逻辑**，所以先落这三条，
平台调用（Push Kit 取 token、通知权限）留在下一步的 `PushService.ets` 里。

- `shouldReportToken`：取不到 token 不上报；与上次相同不重复上报（否则每次启动打一次接口）；
- `tokenTail` / `isRegistered`：GET **只回尾 6 位** ⇒ "登记过没有"必须按 `provider + tail` 比。
  比全文是**看起来更严、其实永远为假**的写法（全文永不等于尾 6 位 ⇒ 每次启动重复上报），
  所以有判据钉它，并在注释里写明"同尾 6 位即视为同一条 —— 这是服务端给的信息量的上界，不是我们的选择"；
- `classifyRegister`：`ok-enabled` / `ok-disabled` / `silent-skip` —— **三种里没有一种是"提示失败"**
  （`enabled:false` 是自部署常态 ⇒ 不重试、不提示）；
- `parseNotificationData`：不满足约定形状就返回 undefined（坏 JSON 不抛、缺 mail_id/动作不符都忽略）——
  推送是可选通道，收到不认识的东西不许有任何副作用；
- `NotificationLedger`：服务端**无幂等键**（至多一次、无重试/去重表）⇒ 重复保护落客户端；台账**有界**。

另有一条判据禁止契约层引入 `@ohos`/`@kit`（否则这些判据会退化成必须上设备）。
它第一次跑**咬到了解释这条规则的那行注释** ⇒ 改扫 `code()`（去注释），与前面扫描口径那次同族。

`npm test`（install 相位）全绿；余额 `debts=13`。
 2026-09-15 11:40:54 +08:00
JianFeeeee
7f4fa2629e 跨端: ArkTS 编译期硬规则进判据 —— 我插的常量表把 import 挤到了后面，assembleHap 报 arkts-no-misplaced-imports 
`hvigorw assembleHap` 在 `f31bc02`/`b806a05` 上都红了一条：

    ERROR: ArkTS:ERROR …/MainPage.ets
    "import" statements after other statements are not allowed  (arkts-no-misplaced-imports)

**是我造成的**：P4c 那笔我在 `MainPage.ets` 里插了 `NAV_MATERIAL_OF` 那张（带注释的）
常量表，位置在**既有 import 之前**。ArkTS 要求所有 import 在任何语句之前，
常量表算语句 —— 编译器直接报错。

## 为什么我那一笔的判据一条都没抓到它

因为**这个仓库里没有任何判据会跑 ArkTS 的编译规则**。我的判据判的是"表达式对不对、
接没接上、颜色写没写死…"，它们全绿 —— **文本层面确实没问题**，问题只有编译器知道。
pi 是构建时撞上的。

⇒ 教训不是"下次小心"，是**把编译器能抓、而判据不抓的那一类固化下来**。
这一类里有一批**纯文本就能判、不需要设备**，所以它们不该待在"等设备才能验"的欠账里。

## 做了什么

- 新增 `test/harmony-arkts.test.mjs`（3 条，不需要设备 ⇒ **不进** STATIC_ONLY）：
  · **所有 26 个 `.ets` 的 import 必须在任何其它语句之前**（就是这次报的那条）；
  · 全仓 `.ets` 的词汇层硬坑（对象解构 / `any` / `unknown` / 函数表达式）
    —— 这几条此前**只在"我自己新写的那个页面"里判**，而我恰恰是在**改既有文件**时犯的下一个错，
    编译期硬规则不该按"谁写的"分覆盖；
  · **一条自检**：造已知坏样本（常量插在两组 import 之间）确认检查会红、合法样本不误报
    —— 否则"全绿"可能只是扫描逻辑失效（我第一版就把多行 import 的成员行误判成了语句）。
- 接进 `SUITE`（判据文件数 22 → 23）。
- 文件头明确写了它**不能**替代 `hvigorw`：覆盖的只是"能静态判出来的那几类"，
  类型推断/重载解析/Sendable 那些仍然只有 build 能验 ——
  不许把这个文件的存在读成"编译已经验过了"。
- 变异测试 5 条**全部被抓**，含**精确复现我那个错的形状**（把 import 搬到常量表之后）。
  基线 `7/7✓`（逐字节还原）。
- 现口径：`mutants=52 ran=52 skipped=0 on_new_criteria=36 baseline=7/7✓`。

## 工作树里**不是我做的**两处改动（已核实为正确，我没有提交也没有回退）

工作树是共享的：`AdminUsersPage.ets` 与 `MainPage.ets` 在我提交**之后**被别的进程改过，
两处都是**修构建错误**，都核实过是对的：

1. `MainPage.ets`：把两组 import（`CalendarPage`、`NavItems`）从 `NAV_MATERIAL_OF` 表**之后**
   挪到文件最前 —— 就是上面那条 `arkts-no-misplaced-imports`；
2. `AdminUsersPage.ets`：`Chip(text, bg, fg: string)` → `ResourceColor`
   （`Theme.surfaceMuted`/`textSubtle` 是 `Resource`、`chipNeutralBg` 是 `string`，
   第 368 行那个三目因此是 `Resource | string` ⇒ 旧签名编译不过）。

我不提交别人的活、更不回退它；但它们**让基线必须重算**，而**重算基线是有意动作**
（随手重算会把"某次变异没还原"永久掩盖掉），所以 `baseline.sha` 顶部记了原因与哈希来源。

## 未验

- 这三条判据**只覆盖静态可判的那几类**。`assembleHap` 仍然只有真正构建才能验 ——
  这次就是构建先于我所有判据发现的问题，下次还可能是。
- Go 侧 `debt_registry_test.go` 仍未跑（沙箱无 Go 模块缓存），只有 `gofmt`。
 2026-09-15 11:27:35 +08:00
JianFeeeee
bcd4f97e37 跨端: 变异体计数收进仓库 —— 前面报过 40/48/58 四个数，根因是"job 集合"从没定义 
pi 用 `/tmp/mut/` 复算后指出：48 也不对。他是对的，而且**不是记性问题、是口径问题**——
我把 9 个 `jobs*.json` 的条目**直接相加**，没做归一：同一个变异体在跨批重锚时被键了多次
（13 组重复、15 条冗余），最典型的是「计划不搬运模糊值」同时挂在 `jobs-b3`/`jobs-blur`/`jobs-blur2`
三个文件、三个不同 `test` 键上 —— 于是"按判据文件分组求和"必然把它算三次，
而"跑在新增判据上的是多少"在交叉归类下**没有唯一答案**（41 或 35）。

更根本的是 pi 指出的第二层：**那个统计脚本根本不在 `/tmp/mut/` 里**（他为了复算是现写的），
而且 `/tmp` 会被清、不在仓库里 ⇒ 变异体数字**只活在信里**。
这一路已经立过同形状的规则（余额打在 `RESULT` 行、权威源在文件里），这条当时漏了。

## 做了什么

- `client/electron/test/mutants/`：把 `mut.py`、`run.sh`、`jobs*.json`、`baseline.sha`
  从 `/tmp` 挪进仓库（`/tmp` 会清、复核方够不着）。
- `mutants/summary.py`：**口径的唯一权威**，定义写死在代码里：
  · 不同变异体 = 按 (file, pat, repl) 去重（`retired` 不计）；
  · 跑起来 = 锚点在该文件里**恰好命中 1 次**（与 mut.py 同一条件）；
  · `on_new_criteria` = 该变异体的**每一个** test 键都指向本批新增的两个判据文件
    （口径 A —— 不因交叉归类虚高；另报口径 B 作参考，它只增不减，不拿来报数）。
- `run-all.mjs` 的 `RESULT` 行播报它，并**顺带自证基线**：跑不起 `summary.py` 时
  **不静默**（打印 status 与 stderr 末行）——我第一版路径写错，只看到"计数未知"，
  真因（`can't open file …/test/test/mutants/summary.py`）被吞掉了。
- `mutants/test-keys.json`：`test` 键 → 判据文件的**唯一来源**（`mut.py` 与 `summary.py`
  共用）。此前两处各写一份，分叉过一次：键名从旧名换成 API 名后 `summary.py` 那份没跟上，
  于是所有锚点被判 `hits=-1`、报出"51 个变异体全部 skipped"。
- 无歧义口径下的**当前真值**：`mutants=48 ran=48 skipped=0 on_new_criteria=36 baseline=7/7✓`
  （口径 B = 41；原始条目 66，其中 `retired` 5）。
- 清掉 pi 指出的三类脏数据：
  · **过期条目**（锚点是修复前的旧写法，`hits=0`）标 `retired` 5 条 ——
    它们**不是"没跑成的变异体"**，重锚后都跑过、都红了；留着只会把 skipped 一直抬高；
  · **重复计数**（multipart 那条在两个文件里各一次）去重；
  · **真 skip** 的 multipart 锚点切片成 `name: 'file',\n contentType: mimeType` ⇒ 真的跑起来了
    （此前命中 2 次，因为 `ApiClient.ets` 有两个 multipart 构造器）。
- 修两处并发/竞争：`mut.py` 的 `tempfile.mktemp()`（Py3 起 deprecated，**TOCTOU**）→ `mkstemp`；
  `run.sh` 的固定 `/tmp/mut/bak` → 按 `$$-$RANDOM` 唯一（并行跑会互相覆盖备份）。

## 未做（如实说）

- **`AdminUsersPage.ets` 有一处不是我做的改动留在工作树里**（11:20:48，我 11:21 的提交之后）：
  `Chip(text, bg, fg: string)` → `ResourceColor`。核实过是**正确的 ArkTS 修法**
  （`Theme.surfaceMuted`/`textSubtle` 是 `Resource`、`chipNeutralBg` 是 `string`，
  第 368 行的三目因此是 `Resource | string` ⇒ 旧签名**编译不过**）。
  我**没有提交也没有回退**它 —— 工作树是共享的，不该替别人提交别人的活。
  基线因此重算了（`baseline.sha` 顶部记了原因与哈希来源，重算本身是**有意动作**：
  随手重算会把"某次变异没还原"永久掩盖掉）。
- Go 侧 `debt_registry_test.go` 仍未跑（沙箱无 Go 模块缓存），只做了 `gofmt`。
 2026-09-15 11:23:41 +08:00
JianFeeeee
b806a05bfa 跨端: harmony 管理页（用户管理）+ P4c 壁纸上传入口 —— 「功能做全再交付」的两块 
pi 的交付清单里缺的两块（`docs/GUI-PLAN-HARMONY.md` 原先把管理后台划在首版之外，
用户明确要求「功能做全再给我」之后收进来）。

标 `跨端:` 是因为判据落在 `client/electron/test/`（鸿蒙的判据目录一向量在那里），
代码本体全在 `client/harmony/`。

## 管理页（用户管理）

- `pages/AdminUsersPage.ets`：新建 / 编辑（显示名·角色·白名单）/ 启停 / 重置密码。
  排布照 `AdminUsersPage.tsx`，包括「受限」徽标口径（普通用户且白名单非空才显示）、
  最后登录缺席与空串都显示「从未登录」、管理员对白名单两项忽略。
- 入口在设置页底部，**仅管理员可见**（`role === 'admin'` 严格相等，与 `App.tsx` 同口径）。
  读不到身份时**不**显示也不报错（乐观放行会让每个普通用户看到点进去 403 的入口）。
- `api/AdminApi.ets` + `model/AdminUsers.ts`（纯逻辑，零 import ⇒ 判据能真跑）。
- 启停**只发 status 一个字段** —— 服务端是部分更新，多发字段会把显示名与白名单一起改掉。
- `model/Models.ets` 补管理端 DTO；`main_pages.json` 注册路由。

## P4c 壁纸上传

- `model/ImagePrep.ts`：阈值与两档策略（2560/0.85 → 1280/0.78，入口 20MB，压后上限 3.5MiB）。
  **一处有意不对齐 WebUI** 并写明理由：WebUI 卡 data-URL 长度（含 base64 膨胀），
  鸿蒙内存直传 ArrayBuffer，卡的是字节数。
- `common/BackgroundPicker.ets`：不设 / 预设 / 自定义图片 + 浓度与模糊滑杆。
  上传链：picker → 判可不可以 → 逐档按 desiredSize 解码压缩 → 上传 → **请页面以服务端为准重新同步**。
  失败**必带原因**（服务端 415/413 文案原样透出）。用户取消选图**不算失败**。
- `ApiClient.uploadBytes`：MultiFormData.data 收 ArrayBuffer（核了 SDK，since 11；本工程 23）
  ⇒ 内存直传，不需要 base64 也不需要临时文件。

## 两处真 bug（变异测试逼出来的，不是"新写坏的"）

1. **压缩循环的第二档此前是死代码**：循环里的 break 与循环外那句 shouldRetryWithActual
   互相抵消 —— 把循环里那处改成 `if (true)`（永远只压一档）整套判据照样全绿。
   收成一处判定（overLimit），循环外只读结论，并加结构性判据（该函数在这条链上只许调用一次）。
2. **壁纸的模糊档一直是「只写不读」**（计划文档 §7.12 登记过）：滑杆能拖、值能存、
   blurStyleFor 也写了，就是**没有调用点**，壁纸一点没糊。
   本次补上的调用点分两层：壁纸层 `.blur(px)` = **图片内容模糊**
   （与 WebUI 的 `filter: blur(var(--bg-blur))` 同一个量、同一个数，所以不需要映射表）；
   而那张**材质档**映射表 `blurStyleFor` 也终于有了调用点（`navMaterialFor` 内部复用它）。
   `docs/HARMONY-ALIGN-PLAN.md` 的 §7.12 两行（材质 / 壁纸模糊度）已一并改准、不再互相矛盾。

## pi 复核后**改回来的**（这一笔里我自己犯的两处，都由 pi 抓出）

1. **导航条材质一度绑定到 `bg_blur`，`bg_blur=0` 时整个消失。**
   我把 `NavBar` 从固定档改成 `blurStyleFor(bgPlan.blurPx)`，而滑杆 `min: 0` 可达、
   `blurStyleFor(0) === 'NONE'` ⇒ 用户把壁纸调清晰时**导航条一点材质都没有**。
   而且它与本笔自己的论证**相反**：刚论证完"图片内容模糊"与"面板材质"是两个物理量，
   转头把面板材质接到壁纸模糊这个输入上。
   现在**分层**：`blurStyleFor` 是通用映射（**允许** NONE —— "0 px 不模糊"是它的正确语义）；
   `navMaterialFor` 是**导航条专用、有下限**的入口（0 px ⇒ 最薄档）。
   判据钉**可达性**（滑杆 0..40 每个整数 + 界外值都不许 NONE，且三档都要出现 ——
   否则"恒定最薄档"会让滑杆成为死控件）。
2. **`Theme.navMaterial` 被我弄成了死令牌**，而看着它的判据**照样绿**
   （那条只断言"声明存在且不是 NONE" —— 守的是声明，坏的是活的调用路径）。
   现在导航条真的用它；并把同文件里**只覆盖 `Theme.overlay` 一个令牌**的死令牌规则
   **铺到 Theme 的全部 35 个令牌**（量**外部引用数**：只被 Theme 内部方法读、
   而那个方法自己有外部调用点 ⇒ 不算死 —— `chipSpentBg` 是这种；`navMaterial` 当时
   唯一的消费者是一张可整体删掉的局部表，所以必须被抓）。

## pi 复核后**补上的**（这一笔漏掉的接线，都是我造成的）

- **`test/run-all.mjs` 的 SUITE 没接两个新判据文件** ⇒ HEAD 上 `npm test`
  **一条判据都不跑、直接 exit 1**（套件自检 2 就是为这件事写的）。已接入，
  并把两条登记进 `STATIC_ONLY`（`.ets` 要设备 ⇒ 静态欠账）。
- **`debt-visibility` 是我自伤**：那两个新文件里有 5 处"边界声明"但一次都没登记。
  我当时报"2 条失败是改动前就红" —— **只对一半**：这条在父提交上是**绿的**。
  我那次 `git stash push -u -- client/harmony` 的对照是**无效对照**
  （`-- client/harmony` 把 `client/electron/test/` 整个排除在外，新判据文件根本没被 stash），
  所以两次跑都红、看着像"既有"。已按 pi 的建议改用 `git worktree` 到父提交做对照。
  现在两处都登记进 `docs/DEBTS.json`（含 `static-criteria` 5→7，Go 侧同一份登记同步改）。

## 一并修正的旧判据（都是"太宽/太窄/钉错东西"，不是放宽标准）

- 「模糊归属」：原文「壁纸层不许有**任何**模糊调用」把**图片内容模糊**与**面板材质**
  混为一谈（WebUI 侧核实：`.app-backdrop` 的 filter 与它之上那层的 backdrop-filter
  是两个不同的量）⇒ 改成按两种模糊分别钉。
- 「bgBlur 只写不读，消费侧必须为 0」：值不再成立，**形状保留**（逐文件登记 + 计数 + 理由），
  标题与断言里的假话一并改掉。
- isDarkMode 那条 `/dark\s*\)/` 断的是**参数顺序**（加一个入参就误红）⇒ 改成"dark 在实参里"。
- 三条钉 `backgroundBlurStyle` **整条字面表达式**的断言 ⇒ 改成钉语义
  （"用系统材质 + 材质有下限"），不再匹配那一行的字符。

## 判据

新增 `harmony-admin.test.mjs`（22 条）、`harmony-imageprep.test.mjs`（29 条）；
`harmony-presets.test.mjs` 加 1 条（模糊档搬运与归一，含 `-0` 那个洞：
`Math.round(-0.4)` 是 `-0` 而 `-0 < 0` 为 false ⇒ 改成判 `!(r > 0)`）。

**`node test/run-all.mjs`：22 个判据文件全部跑起来**，红的只有 1 个：
`build-stamp`（`dist` 是 `a5fc86b` 上构建的，`gitRev` 对不上当前 HEAD）。
这条**不是我的代码造成的**（可证：`a5fc86b..HEAD` 之间，`srcHash` 覆盖的那批文件
——`client/electron/src` 等——**一个都没动过**，所以 `srcHash` 没变，差的是 `gitRev`），
但也**不是"改动前就红"**：任何推进 HEAD 的提交都会让它变红，正确修法是重构建。

## 未验（如实标注）

- **本机无设备/无模拟器 ⇒ 全部观感未验**：管理页排版与卡片观感、滑杆手感、
  模糊在真机上的实际档位观感、系统材质在自绘悬浮条上的实际效果。代码齐 ≠ 真机验过。
- 预设档**没有**上模糊（壁纸在预设档下是一叠自绘矩形，系统材质对它不生效）——
  这是我**主动收的范围**，不是漏，真机看一眼再决定要不要补。
- **Go 侧的 `debt_registry_test.go` 我没能跑**（沙箱里没有 Go 模块缓存，`go test` 起不来），
  只做了 `gofmt` 校验；那处改动是一行 `Count: 5 → 7`。
 2026-09-15 11:17:23 +08:00
JianFeeeee
f14f2d6fa7 chore: 动画盘点判据接入套件 + 让其合规 + 对齐参照物重新登记（清工程收尾） 
用户：「清理一下tmp和工程吧」。

- 新判据 test/animation-audit.test.mjs 接入 test/run-all.mjs：原先**写了却不会跑**
  （套件自带的那条闸门当场报「这些判据文件没接进套件」）。
- 该文件改用 test/lib/read.mjs 的具名入口（code/prose/bytes），不再裸用 readFileSync ——
  criteria-hygiene 抓到：读原文判代码会被解释性注释骗，今天已踩过两次。
- docs/ALIGN-REFS.json：CalendarView 的对齐登记按规矩**重新核对后再登记**
  （差异只有动画类 rise-in → pane-rise，骨架/布局/圆角来源未变；鸿蒙侧本无日历动效
  ⇒ 不产生新的对齐义务），不是抄一处新哈希。
 2026-09-15 09:16:05 +08:00
JianFeeeee
8390890646 跨端: feat(对齐): 参照物版本登记（CalendarView.tsx @d78f19f，变了即红）+ 圆角按语义配对（数值来源不同另行登记） 
pi 2026-09-14 骨架开工前两件。

1. **对齐参照物要有版本号**：WebUI `CalendarView.tsx` 可能同时在动（gui-lab 有未合入改动），
   照工作副本画完之后参照物一变，这版就成了"照一份没人认领的草案对齐的"，而**没人能判它对不对**。
   新增 `docs/ALIGN-REFS.json`（blob 哈希 + 登记于哪个 commit + "以哪次为准"）
   + 判据 `test/align-refs.test.mjs`：哈希变了即红，报错按 §14 写明
   「正确修法 = 读差异→判断骨架要不要改→再更新登记」与
   「最常见的错误修法 = 把新哈希抄进去（那是把闸门降级成状态记录）」。变异确认会红。
   当前登记：`d78f19f`「日历页面补上圆角」，工作副本干净 —— 若另有未合入的，合入后再对一次。

2. **圆角必须走令牌，且跨端按语义配对**：鸿蒙侧已有 `Theme.ets:105/107` 的
   `radiusCard`/`radiusControl`（**系统**资源），WebUI 是 `--radius-card: 0.875rem` /
   `--radius-control: 0.5rem`。⇒ 端**语义对齐、数值来源不同**，所以登记写成"按语义配对"，
   并且判据要求每条都写明"按语义还是按数值"（否则下一个人会直接去比数字）。
   数值差异本身按形态差异进余额：`radius-card-numeric-divergence`（等设备并排看再决定以谁为准）。
   鸿蒙侧不许把 14 / 0.875 抄成裸数字 —— 与当初 14 处 Material 调色板清零同一形态，量纲换成长度。
 2026-09-14 17:46:20 +08:00
JianFeeeee
6fc8099b33 跨端: feat(日历): today 不许跨调用残留（常驻 pane 跨零点）；扫描口径去注释+去字符串现在就定 
pi 2026-09-14 骨架前最后两条。

1. **`today` 必须"显示时求值"**：顶层是「通信 / 日历 / 联系人」三个平级 pane，日历**常驻**，
   而 `today` 是唯一随时间变的输入。建页取一次 ⇒ 跨午夜后标记停在昨天，**判据全绿**
   （模型没错，是喂进去的值过期了）—— 与 `Calendar.ts` 防的"上次渲染残留"同一件事，
   只是残留在**调用侧**。
   · 纯逻辑侧判据（新增第 10 条）：连续两次不同输入各自独立（不许跨调用残留）、
     推进一天后值必须变、**不传就不许有今天**（不许内部兜底取系统时间 —— 那正是"取一次"的写法）；
   · 调用侧义务（pane 变可见时重算，不许只在 aboutToAppear）进余额：
     `calendar-today-recompute`（kind=scope），到期前提写明"骨架写完后立刻"。

2. **`code()` 去注释、不去字符串**：任何只是**提到**被禁写法的字符串会被自己判红。
   两条路（"报错文案不引被禁模式" vs "只在表达式位置匹配"）现在就定，选后者：
   先**整段去掉字符串字面量**再匹配 —— "提到"不再误红，"真的用它取日期键"照样红。
   副作用写在旁边（正则近似、非解析器；转义/跨行模板处理不干净 ⇒ 是采样不是完备性证明），
   并写明：**出现同族误红时不许"再改一次扫描口径"把判据往宽里挪**。
 2026-09-14 17:44:52 +08:00
JianFeeeee
13e8671d03 跨端: feat(P6): 表头与网格共用同一个 startOfWeek；"今天"的调用侧入可跑判据；禁用 toISOString 取日期键 
pi 2026-09-14 两条，都赶在页面骨架之前定下来。

1. **唯一分叉点必须同时喂两处**：整月网格有两个地方依赖"周从哪天开始" ——
   空格数（`leadingBlanks`）**与表头第一格**。表头若在页面里硬编码，就是**第二个分叉**：
   格子全对、**表头整体错一列**，而原有 6 条判据一条都不会红（它们只看网格）。
   新增 `weekdayLabels(startOfWeek)`（顺序只从这一个参数出）+ **交叉核对判据**：
   把"1 号落在第几列"与"那一列的表头字"对上（6 个月份 × 2 种起始）。

2. **"今天"的调用侧**：`today` 入参化让纯逻辑侧干净了，代价是**唯一还能错的地方搬到了调用侧**
   —— 而它正好是纯逻辑判据够不着的。`toISOString()` 是 UTC 口径：UTC+8 的清晨会给**昨天**，
   "今天"就标到上一格，且在本机跑 UTC 的环境里**永远测不出来**。
   新增 `isoOfLocal(now)`（本地年月日手工补零）+ `isoAtOffset(now, 分钟)`（与前者同源但不依赖进程时区，
   好让三种偏移**可以真跑**）。判据钉住：UTC+8 / UTC-7 / UTC 三种偏移的日期、
   **两种取法在 UTC+8 清晨必须不同**（把陷阱本身钉死）、以及本机两条取法自洽。

3. 附带一条**未来时**的判据：鸿蒙树里不许出现 `toISOString().slice(0,10)` 取日期键
   （登记值 0 ⇒ 页面骨架写错时立刻红，报错写"正确修法 = isoOfLocal"与"最常见的错误修法 = 改期望值"）。
   它第一次跑就抓到了 `model/Calendar.ts` 里**解释这个陷阱的注释** —— 所以改扫 `code()`
   （去注释后的代码）：规则管代码，注释是文档。
 2026-09-14 17:43:09 +08:00
JianFeeeee
e94e4dcd39 跨端: feat(P6): 日历纯逻辑 model/Calendar.ts + 6 条可跑判据（第 1 步的逻辑那一半，不需要设备） 2026-09-14 17:41:43 +08:00
JianFeeeee
d34342b49b feat(判据): §16 本身变成判据 —— 判据目录里的"未覆盖/未验/已知缺口"声明必须在余额里有对应的一笔 
pi 2026-09-14：§16 一直是"靠记得问"的纪律，按 §15 它该有判据；这是同一形状的**第五次**，
这次落在规则自己身上。

新判据 `test/debt-visibility.test.mjs`（三支，均已变异验证）：

1. **出现次数必须与登记一致**：某文件里新多出一处边界声明 ⇒ 红，
   报错按 §14 写「正确修法（先补一笔余额，再改次数）」与
   「最常见的错误修法（只把数字调大／把声明删掉）」。变异：给 harmony-logic 加一处 ⇒ 红。
2. **每一笔余额必须带到期前提与位置** ⇒ 变异：清空 static-criteria 的 due ⇒ 红
   （「那不是欠账，是"我们知道"」）。
3. **有边界声明的文件必须被某笔余额的 where 引用**（两处挂钩，不是各写各的）。

**自指豁免**（按文件 + 理由）：本文件**定义**了那套措辞，用自己定义的词表数自己是无意义的
—— 而且它**第一次跑就把自己抓出来了**（11 处），证明计数是活的，不是走过场。

顺带把 `static-criteria` / `observability-output` 的 `where` 与具体文件挂钩（5 个静态判据文件）。
 2026-09-14 17:38:33 +08:00
JianFeeeee
e35ea479b5 fix(余额): 子集关系打进字符串本身（读到 9≠5 的人不该需要读信才知道为什么）；映射欠账加"不许绕过映射"到期前提 
pi 2026-09-14 两点。

1. `debts=9(registered) measured_static=5==登记 ✓` 让读的人先看到 9≠5，而
   "本相位只有 static 有权威实测"只写在**信里**、不在那一行里 —— 那一行**没有一个字在判它可读**。
   现在：`debts=9 (static-only=5==登记 ✓ / other=4 by go-test)（…）`。
   理由与 §12 同源：**余额里任何需要靠注释才能读对的地方，就是下一个假绿。**

2. `blurStyleFor` 那笔欠账的到期前提再加一条：**调用点出现时**，判据要同时判
   「调用点不许自己再换算一次 px→档」—— 否则调用点到位、消费侧计数转绿，
   而换算被绕过（直接传算好的档位），映射那条行为判据照样全绿 —— 钉了个没人走的路。
 2026-09-14 17:27:14 +08:00
JianFeeeee
b16e2d24fd fix(欠账): RESULT 行同时打"登记 vs 实测"（副本漂移可见 + 不等即红）；共享树 stash 纪律与两条推广入册 
pi 2026-09-14 三条。

1. **可见的那个数字是副本**：`docs/DEBTS.json` 手可编辑，而它唯一的守卫是 Go 那条断言
   —— 相位耦合（打印它的相位里 Go 断言未必跑过）+ 副本会漂移（我自己 §12 那句话）。
   现在 RESULT 行同时给出：

   `debts=9(registered) measured_static=5==登记 ✓（…；本相位只有 static 有权威实测，其余由 go test 侧判据比对）`

   即：**本相位能实测的（static，权威来源就是代码）当场比对并标注 ✓/✗**；
   **测不了的明说由谁比对**，不冒充已实测。并新增判据：**static 的登记值 ≠ 实测值即红**。

2. **共享树上不要用 `git stash` / `--autostash`**（pi：同一台机器，只是自动化了）——
   它把**别人**未提交的改动也收走，冲突/中断时可能留在 stash 里，而 ta 只看到"我的改动不见了"。
   入册 CRITERIA §8.1：优先 `git worktree add`；必须原地操作就先约定窗口；事后核对别人的文件还在原处。

3. **两条推广入册**（各只出现过一次，但形状会复发）：
   · §15 **判据必须自足**：不许通过共享可变状态在判据之间传递结论 —— 顺序依赖的显形方式
     永远是**假绿**（我踩过：余额由 SKIP 那支写入、登记判据去读 ⇒ 同包按文件顺序跑 ⇒ 读到 0）；
   · §16 **"要提醒人的"输出必须走默认路径**（`TestMain` 收尾打印在常态 `go test` 里不存在），
     配套动作是 pi 那句：**写完"可打印的余额"之后，去看一眼默认路径实际打出来的样子**。
 2026-09-14 17:21:26 +08:00
JianFeeeee
512b3f8f80 fix(更正): 我登记的"不存在映射表"是错的（blurStyleFor 一直在，缺的是调用点）；豁免按文件+次数抓出来的 
pi 2026-09-14 三条接续，其中 §3 那一条**抓出了我自己的一个错误结论**。

1. **§3 交叉提醒（豁免按"文件 + 次数"）→ 直接翻出我漏掉的东西**：
   把 `bgBlur` 的豁免改成计数后，逐处核对出现次数时发现 `model/Appearance.ts` 里
   **有一个 `blurStyleFor(bgBlur)`** —— **px → 系统材质档的映射表早就在那儿**
   （文件注释还写着「判据可以直接跑它」），只是**没有任何调用点**。
   而我先前把"鸿蒙没有消费点"登记成了"**不存在映射表 ⇒ 钉映射判据是假判据**"，
   **那是错的**，并且已经写进了两处文档（CRITERIA.md §10、计划文档 §7.12）。
   ⇒ 两处都**更正**了，并写明发现方式（计数机制把它翻出来的）。
   正确的登记：**映射表存在且可判；缺的是调用点** —— 这两件事分开判。

2. **映射表按"它是行为"来钉**（新判据，26/26 绿）：分档边界 0/8/20、
   **单调性**（px 变大档次不许倒退）、**NaN 不许落到最厚那一档**（比较全 false 时掉到最后一档
   是最坏方向）。`blurStyleFor` 是纯函数 ⇒ 与 Wallpaper 一样能直接用 node 跑，不需要设备。

3. **§1 痕迹的"输出那条腿"仍无人判 —— 我把它登记成欠账而不是假装钉了**：
   页面层（`MainPage.ets`）有没有真的拿 `presetSubstitutedFrom` 打日志，现在**没有判据**。
   我没有在本轮补上，原因是它要动 `.ets`（按环境约定，写 `.ets` 前要先按 ArkTS 纪律加载规范），
   而 P6 第 1、2 步正好要动那个文件 —— 所以登记成 `docs/DEBTS.json` 的
   `observability-output`（余额 1、到期前提写明"页面接上日志时同时补判据"），
   **不是"未完成"含糊过去**，而是"什么时候还"写清楚了。

4. **§2 §10 那格从"无人类批准"收口成"待批准"**：仍进余额 —— `unknown-preset-approval`，
   到期前提是"有人追认或驳回『未知 id 显示 aurora 而不是空白』这个方向"，
   并写明**我作为实现者不能自己追认自己**。

5. 顺手把 pi 那条建议入册（`CRITERIA.md` §14）：**登记/清册类判据的报错要同时写
   "正确修法"与"最常见的错误修法"** —— 因为读到红的人第一反应通常是改那个数字。

余额现在一处可见：`RESULT phase=install static=5 debts=9（…） probe=ok`。
 2026-09-14 17:20:18 +08:00
JianFeeeee
c274dad462 fix(判据): 读取欠账登记改用 prose（判据目录不得出现裸 readFileSync） 
我自己刚踩的：往 run-all.mjs 里写余额时用了 readFileSync，被判据目录的读取纪律抓住。
JSON 属于数据 → 按既有约定走 prose。
 2026-09-14 17:18:07 +08:00
JianFeeeee
d25770ea2f fix(欠账): Skip 进余额且条件必须是测量；豁免按文件+次数；三笔欠账合成一处可读余额 
pi 2026-09-14 三条（他接受了我对"恒红=相位错"的反驳，但指出 Skip 带来的两处漏洞）。

1. **Skip 必须进余额、条件必须是测量**：
   - **条件**：跳过与否由 `measureMailStatusDebt` **实测**（详情路径的 status 是否真的
     等于按读者派生），不是常量、不是"我们还没迁完"这种没人会更新的事实；
   - **余额**：`docs/DEBTS.json` 是**唯一登记**，Go 侧判据 `TestDebtLedgerMatchesMeasurement`
     **自己测量**后与登记比对（第一版我让余额由另一条判据写入 ⇒ **排序依赖**，
     Go 同包内按源文件顺序跑，登记那条先跑就读到 0 —— 排序依赖是隐蔽的假绿，已抽成自足函数）；
   - **可见性**：`go test` 跑通时**不打印包的输出**，我第一版把余额打在 TestMain 里，
     常态运行一个字都看不见 —— 正是 pi 说的"不显形"。所以常态可见的那份打在
     electron 套件的 RESULT 行：`RESULT phase=install static=5 debts=7
     （static-criteria:5,mails-status-derived:1,gesture-semantics:1） probe=ok`。

2. **豁免从"按文件"改成"按文件 + 次数"**：`migrate.go` 这类比较**上限 2 处**（附理由），
   多一处即红。我在读侧清册上自己修过这个洞，豁免那格却退了一格 —— pi 指出得对。

3. **三笔欠账合成一处**：原先各自表达（`RESULT static=5` / `t.Skip` 无余额 /
   文档里的到期前提无余额），**没有一处能一眼看全**。现在统一登记在 `docs/DEBTS.json`
   （id / 余额 / 到期前提 / 判据位置），两端读同一份：Go 侧比对实测，electron 侧打进 RESULT 行。
   还清那天：登记要跟着清 —— 不清则由 `TestDebtLedgerMatchesMeasurement` 报
   "**欠账已还清**，但登记还记着 N"（还清是可测事件，这正是那条判据存在的意义）。
 2026-09-14 17:17:37 +08:00
JianFeeeee
f5c4f56682 跨端: feat(预设): 静默兜底留一条可观测痕迹；"只写不读"在鸿蒙侧也补上判据（照 LEGACY_BACKUP_KEY 照搬）；§10 出处落地 
pi 2026-09-14 的三小条。

1. **§3 静默兜底要留可观测痕迹**：`normalizePreset` 把认不出的 id 换成 aurora 这件事，
   原先在真实环境里**不留任何痕迹** —— §10 的登记只防"被误报成 bug"，防不住
   "没人知道它正在发生"。现在 `BackgroundPlan.presetSubstitutedFrom` 带出**原来那个 id**
   （换过非空、没换过空串），页面据此打一行日志 ⇒ 后果从"可能发生"变成"**可数**"。
   **痕迹记在返回值里而不是在这一层直接打日志**，理由写进代码：这一层是**纯逻辑**
   （无 `@ohos` 依赖 ⇒ 判据能用 node strip-types 直接跑它）；为打一行日志引入 `@ohos.hilog`，
   等于把"能真跑的行为判据"换成"只能读源码的形态判据"——不划算的交易。
   **判据两条方向都钉**：替换必须留痕（且带出原 id）；**没替换时必须为空**
   （痕迹退化成噪声就等于没有）。变异与正反例都在（5 条全绿）。

2. **§2 §10 的"谁批准"落成出处**：那一格原写"产品决定" —— 按 pi 的话这是**事后追认**。
   现在写的是 **「无人类批准：这是实现时的默认行为（随 `model/Wallpaper.ts` 引入，
   `git log --diff-filter=A` 可查出处，2e42aac），本行是补登记」**，并把**意图**与**批准**分开写
   （不拿意图冒充批准）。另两行也补了出处（`Appearance.ts:39,52,88,104,133` /
   `AppearanceStore.ets:142-195` / `backgroundStore.ts:200`）。

3. **§1 "可扫的字段清册"不必先造 —— 同形状已有一边是判据**：他说得对。
   WebUI 的 `LEGACY_BACKUP_KEY` 早就钉着"只写不读"，鸿蒙的 `bgBlur` 只有文档
   ⇒ 差的是**同一个形状只有一边有判据**。已照搬：`harmony-appearance.test.mjs` 新增
   **"消费侧出现次数必须为 0"**；豁免**按文件登记 + 写理由**（域模型 / 状态同步 / 线上 DTO
   三处是搬运与传输，不是消费）——与 `mail_status_readers_test.go` 的豁免同一形状，
   登记表本身就是清册，不必另造一张。
   变异验证：让 MainPage 读一次 `bgBlur` → 判据红，红的信息写着"**停下：那时必须先补
   px ↔ 材质档位的映射判据**，而不是把登记值从 0 改成 1"。

SUITE 计数同步：harmony-presets 4→5、harmony-appearance 24→25。
 2026-09-14 17:17:37 +08:00
JianFeeeee
5e74e0312e test(预设): 补行为判据 —— "清单里有、渲染器没有"必须红（值判据只挡住一半） 
pi 2026-09-14 指出：我那条"两端预设清单 id/顺序逐项相等"只挡得住**一半** ——
它挡"清单漏一档"，挡不住"清单有、渲染器没有"（第 7 档两边都加、忘了给
`layersFor` 加分支 ⇒ 值判据全绿，用户看到的却是 aurora）。症状与"信息对等缺口"
一模一样，只是路径换了。核对：他说得对，`layersFor` 的兜底就是 `aurora`，
所以丢分支是**静默**的。

新增 `test/harmony-presets.test.mjs`（4 条，`--experimental-strip-types` 直接执行
纯逻辑 `model/Wallpaper.ts` —— 与 `harmony-logic` 同一先例，**能真跑**）：

1. 六档 × 两主题：不抛异常、非空、每层 kind/色标/网格字段有效；
2. ★ **清单里有、渲染器没有 → 红**：手法是拿一个不存在的 id 调一次当作"兜底长相"，
   任何一档丢了分支就会与兜底逐字节相同 ⇒ 红。**并写明已知边界**：`aurora` 自己
   就是兜底档，它"丢分支"在行为上不可观测（由值判据 + 第 3 条兜住）；
3. 六档两两不同（复制分支没改参数 → 红）；
4. 深色档必须与浅色档不同（"深色没换色" → 红）。

**不需要设备 ⇒ 按 pi 的提醒不登记进 `static` 欠账**（那会虚增余额）。
两条变异都验过：删 `mesh` 分支 → 行为判据报"画出来的和兜底档一模一样"；
清单加第 7 档不加分支 → **值判据与行为判据同时红**（两条一起才闭合）。
安装相位 14/14 绿。

另按 pi 要求处理两处登记：
· §7.12 那行"px ↔ 档位"改成**核实后的真相**：`bg_blur` 在鸿蒙侧只有搬运没有消费
  （`Appearance.ts` clamp 存下、`AppearanceStore` 同步，**没有任何页面读它**），
  所以不存在映射表可钉 —— 钉一张不存在的表是假判据；并写明"若将来开始消费它，
  那时必须补映射判据"，作为"人工约定、当前无判据"的登记处。
· 预设 id/顺序那条**标清钉的是产品要求**（顺序=用户看到的选项次序），理由写进判据注释。
 2026-09-14 17:05:15 +08:00
JianFeeeee
05e9583fe5 test(预设): 钉住两端预设清单的 id 与顺序；更正"模糊只由壁纸层负责"这条被撤回的口径 
pi 2026-09-14 的三处答复，逐条处理：

1. **§1 预设渲染（他担心的信息对等缺口）实际不存在**：鸿蒙侧 `model/Wallpaper.ts` 已有
   `PRESET_IDS = ['aurora','dusk','mint','sand','ink','mesh']` + 标签 + 归一化 + `layersFor`，
   计划文档 §P4 行也早写着"预设 6 档都能画出来 ✅"。所以 P4c（上传入口）不必让位。
   **但缺口在判据上**：原先只钉了"服务端默认预设要在鸿蒙清单里"与"预设色板的值两边相同"，
   **id 集合与顺序没钉**。新增判据：`PRESET_IDS` 必须与 WebUI `PRESETS` 的 id **与顺序**逐项一致
   （顺序也是契约：顺序不同会让两端的选择界面看起来"选错了"）。变异验证：把 aurora/dusk 对调 → 红。

2. **§3 模糊口径**：他说判据"现在是后者"（只有导航必须有材质）—— 实际**两条都在**
   （`harmony-appearance.test.mjs`：壁纸层不许有 `backgroundBlurStyle`、也不许有任何 `blur(`；
   导航条必须有 `.backgroundBlurStyle(Theme.navMaterial)`）。所以这里不需要改代码。
   需要改的是**文档里的规则原文**：`docs/HARMONY-ALIGN-PLAN.md` 第 9 行那句
   "模糊只由壁纸层负责"是**被撤回的原话**（它其实是 WebUI 的架构结论：WebUI 壁纸自带
   `filter: blur()`，所以浮在它上面的面再 `backdrop-filter` 就是糊第二遍），已换成两段式规则
   "同一张底只许被模糊一次 / 模糊该出现在背后是可变内容的层"，并把撤回本身留痕。

3. **§3 补的第二件（语义转换）**：§7.12 的表里新增一行 —— WebUI 的 `bg_blur` 是**像素半径**、
   作用在壁纸图层；鸿蒙**没有对应物**，栏上的系统材质档位是唯一一次模糊，壁纸层不糊。
   写清"不是同一个物理量，`bg_blur=8px` 与档位对不上不是 bug"，否则以后必被当 bug 报。
 2026-09-14 16:59:16 +08:00
JianFeeeee
c094a1b6e2 fix(判据): 汇总报本相位**实际跑了**几条，不报清单长度 
install 相位会跳过 2 条构建相位判据，而汇总原先打 SUITE.length 并把全部文件名都列出来 ——
那是在一行里声称"15 条全过"，实际只跑了 13 条。同一行里犯的正是这轮一直在修的错
（看起来健康的过度声明）。现在打实际跑了多少条，并注明另有几条属构建相位、本相位不判。
 2026-09-14 16:55:39 +08:00
JianFeeeee
33488760ce fix(相位/安全): 部署门禁只判产物自证；静默 break 改成出声；内核读数带时间坐标 
pi 2026-09-14 的裁定与两条更正，逐条落地。

1. **相位裁定（选 c）**：`packaging`/`build-stamp` 属于**构建相位**，不属于安装相位。
   `run-all.mjs` 现在有相位：`AGENTMAIL_CRITERIA_PHASE=install`（部署门禁用）。
   每条判据登记它读的哪一侧（`ARTIFACT`/`SOURCE`），install 相位里出现 SOURCE 侧判据 → 红；
   被跳过的判据**点名打印**，不静默丢。汇总打 `RESULT phase=build|install`。
   规则入册 `test/CRITERIA.md` §11（含三个真实实例：check-shared-libs 恒红、
   packaging 一改前端就卡死、HOME 在门禁跑完之后才炸）。

   安装相位**真正能判的那一半**：`deploy/install.sh` 读**产物自证**（不重算 dist）——
   `releaseCandidate !== true` → 拒绝；产物 `gitRev` ≠ HEAD → "这个包比源码旧" → 拒绝；
   放行要显式 `--allow-dirty` / `--allow-stale`；`--check` 干跑只报结论不拦。
   实测干跑输出：`产物：gitRev=6702cc2 树=dirty releaseCandidate=false ｜ 当前 HEAD=6702cc2`
   → 报"不是发布候选 + 正式安装会被拒绝 + 要放行请显式说清"。

2. **别解析运行器文本**（pi §5）：`broken`/`red` 的判定改成按 TAP 的**名字**——
   文件级失败的测试名就是路径，断言失败的名字是判据名。变异双向验证：
   未定义标识符 → 「跑不起来的判据」；把某条判据条件改成假 → 「红的判据」。
   不再往关键字表里加补丁（那是往文本解析里加补丁，方向是错的）。

3. **静默 break 是安全相关**（pi §3）：`session_update` 找不到活动会话时不再静默 break，
   改成出声日志（走 journalctl 那条通道），写清两种成因（此刻没在跑 / **接管会话**重启后无法定位）、
   方向（收紧被延迟）、以及兜底的**前提**（"下次投递"要求这条会话还会收到新邮件）。
   `lib/mail-session-id.js` 模块头同步改成安全相关措辞（"人以为自己收紧了权限、实际没有"），
   四桥逐字节同源，`check-shared-libs.sh` 退出码 0。

4. 内核读数补时间坐标（pi 13ea2fdf）：`BUILD_INFO.txt` 里除原始 `dep`/`=>` 行外，
   现在还有 `kernelBinMtime` 与**正在运行的进程启动时间** —— 二进制会在两次读数之间被换掉，
   没有时间坐标的读数不成立。
 2026-09-14 16:54:30 +08:00
JianFeeeee
f27ad31c91 fix(判据/部署): 探针不再假设清单穷尽；broken≠red；到期报文自带"要放行什么"；部署加 --check 干跑 
pi 2026-09-14（两封）提的六条，能做的都做了。

1. **`[Empty]` 不是"没有设备"，是第三态**（pi §1）。改了，而且不是改成"一律红"，
   是**去证服务端健康**：探针现在读 `/proc/<pid>/cmdline` 找 `hdc -m`（server 模式），
   服务端在 → 空集才是可判的"确实没有目标"（false）；服务端找不到 → `unknown`（红）。
   本机实测：`hdc -m -s ::ffff:127.0.0.1:8710` 在跑 → 空集可信。
   这条用机制而不是用嘴回答"我检查过了"。

2. **硬编码候选清单**（pi §2）：候选来源写清（`/opt/huawei/command-line-tools` 是文档安装根），
   `hdc` 也走 PATH；**工具链根在、里面却没有 hdc → `unknown`**（"装了但长得不一样"不是"没装"）。
   这与 build.sh 那次"第一个命中就算"是同一形状 —— 今天各咬一次。

3. **前提改成"本工作区能装能点"**（pi §2）：原前提"设备存在"会让 5 条判据在**我修不了**的时候同时红
   （模拟器要写 /run、/var/log）。现在前提是工作区能力，`need` 逐条写清，
   并且**到期报文会把这些门槛打出来** —— 第一次真红不能被当成噪音消掉。

4. **broken ≠ red**（pi §3）：跑不起来（语言级崩痕：SyntaxError/ReferenceError/…）单列
   "跑不起来的判据（N）—— 不是红，也不算过"，红是"判据说不成立"，broken 是"判据没说话"。
   变异验证：注入未定义标识符 → 报 broken ✓；绿基线 → exit 0 ✓。
   第一版我用"输出里有没有 `not ok`"判，当场误判（node:test 把导入期 ReferenceError 也报成 `not ok`），
   已改成语言级崩痕 —— 判据自己的第一版就得被现实修一次。

5. **标签要有消费点**（pi §4）：`release-linux.sh --release` 遇脏树**拒绝**（`--allow-dirty` 才放行），
   不加参数是自用打包（只出声）。"出声≠拒绝"这条说得对。

6. **`deploy/install.sh --check` 干跑**（pi §6）：跑全部门禁、不写系统目录，末尾列出正式安装会写什么、
   需要哪里的权限。干跑立刻抓到两个真缺陷：
   · `set -u` 下 `$HOME` 未设 → `HOME: unbound variable`（cron/env -i/某些 sudo 下就是没有），
     而它发生在**所有门禁跑完之后**——最贵的位置（这轮第三次同形状，前两次在 homeagent build.sh）。
   · **packaging 这条门在部署路径上永远过不去**：install.sh 先 `npm test`（含 packaging），
     而 packaging 要求"安装包里的 dist == 当前 dist"，部署路径却不重新打包 →
     前端一改，install.sh 就卡在这条门上（第二条"挂在部署路径上却恒红"的门，第一条是 check-shared-libs）。
     这条需要决定：部署路径要么重新打包、要么把 packaging 排除在部署门禁外。**我没有擅自改口径。**
 2026-09-14 16:49:08 +08:00
JianFeeeee
317f3265e3 fix(判据): 探针三值 + 发布候选标签 —— 顺带查出探针从写下那天起一次都没跑成过 
pi 的两条"真实的洞"，都落了，而且第一条当场抓到实证。

1. **探针三值**（可用 / 不可用 / 拿不准→红）：`RESULT static=5 probe=ok|unknown`
   把"欠账余额"和"探针是否健康"拆成两个数字。
   **换完第一次运行就报 probe=unknown** —— 一查：探针调的是 `execFileSync`，
   而这个文件 import 的是 `spawnSync`，**名字根本没定义**。也就是说
   **探针从写下的那天起一次都没跑成过**，旧的两值设计把 `ReferenceError`
   和"没有设备"一起吞掉、统一报成"设备不可用"：机制在、闸门从没开过，
   而它看起来完全健康。这正是 pi 描述的"恒不开闸"，只是比预想更彻底。
   现在：命令在但跑不成 → unknown → 红；所有候选都不存在（本机没装 hdc）→ 可判的
   "没有设备工具" → false，避免没装 SDK 的机器天天假红。
   附 `--probe-selftest`（只跑分类器，不跑套件）+ 变异验证（把 unknown 当"不成立"→ 红）。

2. **releaseCandidate = !gitDirty**（从展示升成标签）：BUILD_INFO 现在自报
   `releaseCandidate`，发布脚本在脏树时会打印"这个包不是发布候选"。
   判据 `build-stamp` 断言"标签与 gitDirty 必须一致"。
   **实证**：本轮我打的包正是这种情况 —— `gitDirty: true`（含着 gui-lab 未提交的
   NarrowStack/index.css），`releaseCandidate: false`，日志里明确说了"不是发布候选"。

3. 附带：`criteria-hygiene` 加一条"用到 `code/prose/bytes` 就必须真的 import"。
   理由是同一形状我这轮在三个文件里各犯过一次（最后一次是 `execFileSync`/`spawnSync`），
   而它表现为"判据红了"（ReferenceError 抛在判据自己身上），看起来像判据失败、
   不像判据写错。这条至少把最常写错的那几个名字变成明确的红。
 2026-09-14 16:35:40 +08:00
JianFeeeee
d5cfcbdc9c fix(权限): 409 的第二种含义是「本档不该问」——四桥都补上；状态写入点不再兜默认档 
线上事故（jianf 经 pi 转达）：补投路径漏传 permission_mode，插件拿 undefined 兜了
workspace 档，把 full 档会话写成 workspace-write + ask —— 不是"拦一次"，是一整轮
工具能力降级，且状态留在会话里；随后该会话每次受守卫调用都撞 409。

四件事：

1. **状态写入点不接受默认值**（新增共享 `modeForStateWrite`）：缺字段/脏值 → `null`
   = 不写状态。"默认值可以出现在**决策**里，不可以出现在**状态写入**里。"
   同时保留共享契约的 fail-closed：真读到 workspace 才写 workspace。

2. **409 的两种含义分开处理**。`allowed-once` 只绕过**审批**，改不了**沙箱** ——
   所以 dsh 桥在放行前先把服务端给的权威档位**写回会话**（这也就成了自愈路径：
   已经降级的会话，下一次带档位的 409 会把它修回来）；只认服务端明说的 full，
   plan 与"链上没有人类"照旧 fail closed。

3. **同一处缺陷在 zcode / opencode 也在**（`hooks/permission.mjs` 与 `index.js`
   都把 409 当永久失败拒绝）。我先前在回信里写过"这两个桥不转发权限询问，不需要改"
   —— 那句话是错的，我当时的搜索面只有 `<plugin>/src/*.mjs`。按 pi 的要求把这条
   **否定性事实变成常驻判据**后，它第一次运行就红给我看。四桥现在都有
   「409 + full → 放行」，且**排在永久失败分支之前**（含顺序变异自检）。

4. **共用测试重新同源**：`test/catchup.test.mjs` 从 `153985e` 起就是分叉的
   （我那版把平台专属路径写进了共用文件），而 `deploy/install.sh` 第 24 行会跑
   `check-shared-libs.sh` —— 也就是说**部署一直是红的**，我没跑过那个脚本。
   共用文件只放契约（值/行为），跨平台配对judge 移到平台专属文件，四份逐字节相同。

另外把"判代码 vs 判理由"从记忆变成代码：`test/lib/read.mjs` 提供 `code()/prose()/bytes()`，
判据目录里不得再裸用 `readFileSync`（新判据 `criteria-hygiene` 管，含读取器自检）。

判据证据（每条都做过"能不能红"的变异）：
- 写回去掉 → 红；纠正块挪到普通 409 之后 → 红；状态写入点退回兜默认 → 红；
- zcode/opencode 的放行分支拿掉 → 各自红；共用测试分叉 → check-shared-libs 红。

各套件：dsh 388、pi 443、zcode 387、opencode 333（均经 npm test，含 tsc）；
electron `npm test` 15/15 判据绿 + vitest 266 + typecheck；`check-shared-libs.sh` 退出 0；
Go `go test ./...` 全 ok。
 2026-09-14 16:21:27 +08:00
JianFeeeee
d78f19fe9a fix(webui): 日历页面补上圆角（圆角要给到「有底色的那一层」） 
用户（2026-09-14）：「日历页面还没有添加圆角」。

根因不是「忘了写 border-radius」—— 外壳那条 `.app-shell > *` 是生效的，
它给日历**根节点**加了 14px 圆角。问题是根节点写着
`flex-1 min-w-0 flex min-h-0`、**自己完全没有底色**：
真正白底的是里面那两块面板（网格栏、右栏），它们的直角从透明外壳里戳出来。
所以 `getComputedStyle(根).borderRadius` 一直是 14px，看上去却全是方角。

两处不能照搬收件箱做法的地方：

① 网格栏与右栏**不是两张卡**（中间只有 1px 分隔线，没有外壳间距）
   ⇒ 只能给**外沿**：左边那块给左两角、右边那块给右两角。
   内侧也给会露出底色缺口。
② 右栏外面还套了一层容器（管 `lg:w-[400px]` 与 `border-l`，自己不上色），
   真正上色的是它里面的 DayAgendaPane / CalendarEventEditor
   ⇒ 圆角要**再往下给一层**，只加在容器上会被内层直角原地盖掉。
   （左栏本身就是白底面板，不能再往下给：它的第一个子元素是工具条。）

实测（1280×800，真浏览器读渲染像素）：
  改前 左栏 radius=0px、右栏 radius=0px，四个外角都是白像素（方角）
  改后 左栏 `14px 0px 0px 14px`、右栏内层 `0px 14px 14px 0px`，
       四个外角像素都等于页面底色（被切掉）；上边缘内缩 8px，
       与收件箱详情栏（对照）完全一致；内侧分隔线两侧保持直角。

判据：narrow-layout 新增 4 条 —— 钉的是「规则与 JSX 接没接上」「给的是哪几条边」
「右栏有没有再往下给一层」「左栏有没有多给一层」，不是那条 14px。
wide-regression 新增一条**渲染层**判据：从 `elementFromPoint` 沿祖先链找第一个
自带底色的元素，四个外角都必须正是那个圆角面板（光看 computed style 区分不了，
因为被盖掉的形态 computed 也照样是 14px）。

顺手修掉 wide-regression 里一条**假失败**：`#root > div` 现在指向壁纸幕布
（`app-backdrop` 后来挂成了 `#root` 的第一个子节点），于是「仍是三栏并排」
一直报「栏数=0」，而三栏好好的。假失败比没有判据更贵 —— 看的人会去查一个
本来没坏的东西。
 2026-09-14 16:05:15 +08:00
JianFeeeee
456ae5a66d 跨端: pi 五条评审落地 —— 产物自证替代时间戳代理、静态判据可到期、判据能读一层标识符、值/来源配对规则、归因不许动别人的树 
pi 2026-09-14 的评审（`9839f8a9`）五条，逐条落地；其中 §6 的两条是**核对后已成立**，不重复劳动。

## 1 产物自证：`dist/BUILD_INFO.json`（pi §1）

原来那条判据是"`dist` 比 `src` 新"——**代理变量**，pi 指出两层都靠不住：看不见"构建是否
成功"（实测过），而"`dist` 比 `src` 新"也不等于"dist 是从这份 src 构建的"（`checkout`/`cp`/时钟
都骗得过 mtime；我确实用 checkout 造过一次假红）。现在改成**内容自证**：
`scripts/build-info.mjs` 在构建最后一步写 `{gitRev, gitDirty, srcHash, srcFiles, buildCmd, builtAt}`，
判据重算当前指纹再**精确比对**（`test/build-stamp.test.mjs`）——"代理"两个字没有了，
报错能直接读出两边指纹。`release-linux.sh` 打完包把同一份信息打进日志（一个包自带
"它对应哪个源码状态"）。`gitDirty` **只展示不判定**：共享工作区常年是脏的，拿它当红/绿依据
会天天误报。

实测三变异：改 src 内容不重建 → 红（两个指纹都打出来）；BUILD_INFO 记成别的提交 → 红；
**`touch`（只动 mtime）→ 绿** —— 旧判据在这里是**假红**，新判据不误伤，这是它严格更好的地方。

## 2 静态判据的**欠账**与到期（pi §5）

"暂时"不是状态、是待办，规范里写下的"暂时"没有任何机制回来读它。改成可机检的形状：
`run-all.mjs` 登记 `STATIC_ONLY`（5 条：`.ets` 只能验形态）+ **必填到期前提**（探针，真跑
`hdc list targets`）；汇总打 `RESULT static=N`（**欠账余额**）；**前提一旦为真，这些判据当场
变红**并要求"改成行为判据或换更准的前提"。实测：探针恒真 → 5 条同时报"到期"；把前提写成
`'vibes'`（未知探针/陈述）→ 套件红。这是"自报条数 < 登记条数"的**时间版本**。

## 3 判据能解析一层标识符（pi §3）

Go 默认值判据原来"值不是字面量 → 判据读不懂 → 红"，长期结局是有人做一次无害重构
（`BgDim: defaultDim`）就把判据逼宽、再下一步少核一个字段。现在：字面量直接用；
标识符在**同一文件**查 `NAME = <字面量>`；查不到（跨包/计算/iota）才报"读不懂"。
实测：`BgDim: defaultDim` + `const defaultDim = 12` → **绿**（无害重构不再误伤）；
`const defaultDim = baseDim + 0` → 红且报文说"读不懂"。**只解析一层**：再深就是"执行 Go"了。

## 4 §6.7 的可机检分流规则（pi §2）

新增 §6.7.0：**值 → 行为判据，来源 → 静态判据**，理由写成覆盖问题（行为判据只覆盖它跑到的
路径 ⇒ 原理上判不了"有没有别的路绕过去"；来源约束要的是全程序可达性 ⇒ 只有读代码能答）。
两条推论：静态判据判值永远差一个反例、行为判据判来源永远差一条路径；**不是强弱，是分工**，
缺任一条那一对就是假判据。附本仓已有的完整样例（P5 命中区：值判据"≥44"+ 来源判据
"应用点必须引用常量"），新增 §6.8 记欠账机制、§8 记共享树归因纪律。

## 5 值/来源配对补齐 + 让位派生（pi §6 的两条）

- 命中区原来只有值那一半：补**来源**判据（`.ets` 里出现 `minHeight: 44` 这类裸数字 → 红，
  报文点出"值判据管数字够不够大、来源判据管用的是不是同一个数字"）。变异：写死 44 → 红。
- "`76` 应从条高派生"：**核对后已成立**（`NAV_CONTENT_RESERVE = NAV_BAR_HEIGHT +
  NAV_BAR_BOTTOM + 8`，判据也按常量算）。顺手把裸的 `8` 起名 `NAV_CONTENT_GAP`
  （这一族里唯一还需要人判断的数），并加判据钉住**派生关系**：写回字面量 `76` → 红。

## 6 `legacy.bak` 的生命周期（pi §4）：**有意永久残留**，并说清代价

pi 质疑成立：判据钉死"没有任何代码读它"⇒ 也没有任何代码能删它。**否决了"点重置外观时删"**：
最可能点重置的人正是外观被接管的那个人，而这份备份是他唯一的旧值，那时删等于把恢复数据
毁在最需要的时刻。所以定为"有意永久残留"（没有代码路径能判定何时安全删除——那取决于人），
并把代价量出来写进 §7.12：值受 `MAX_DATA_URL_BYTES`（2.4MB）约束，**最坏是一张用户原图的
整份副本**，共享机器上即一份别人的外观；要清就手工 `removeItem`。判据钉住这行**同时**给出
"为什么不删"与"怎么删"（变异：删掉删除方法 → 红）。

## 7 归因方法（pi §6 第三条）：认错并写成纪律

我当天归因 `narrow-layout` 的 3 条红时用了 `git stash push -- MailView.tsx`，动的是**并发写
作者的未提交改动**。结论对、方法不行：它写共享工作区（别人崩溃/`git add -A` 就丢他的活），
而且只影响 tracked 文件（untracked 的 WIP 还在 ⇒ "干净了"是假干净，结论也可能假）。
纪律写进 CRITERIA.md §8：只读手段（`git show HEAD:path > /tmp/...`、`git worktree add`）或直接问作者。

## 验证

`npm test` 全绿（14 个判据文件 + vitest 266 + typecheck），`RESULT static=5`；
`hvigorw assembleHap` BUILD SUCCESSFUL；`scripts/release-linux.sh` 重打 deb（日志带产物指纹）。
提交前两道**真红**按预期挡了我：改了 src 未重建 → build-stamp 红；重建了 dist 未重打包 →
packaging 红。**未验**（照旧不写成已完成）：鸿蒙侧视觉/交互观感、运行期换肤重算（静态判据，
到期前提见 `RESULT static=5`）。

注：本次 `dist`/deb 是在**共享工作区**上构建的，树里含并发写作者未提交的
`CalendarView.tsx`/`index.css` —— 产物里的 `gitDirty: true` + `gitRev` 正是为此留的，
复核时先看那一行。
 2026-09-14 16:00:34 +08:00
JianFeeeee
00c4df4e98 fix(webui): 滚动边缘淡出按容器高度封顶，弹层不再淡（「渐变过猛」） 
用户（2026-09-14）：「你有的地方渐变用的过猛了，比如收件人候选那里」。

上一轮加的「边缘淡出」写的是上下各固定 12px —— 那是拿**长列表**的内边距
（10px）当尺子量的，可它作用在**所有** `overflow-y-auto` 上。
实测收件人候选菜单整块只有 58px 高（提示行 22px + 一条候选 34px），
上下各淡 12px 共 24px ⇒ 小半个菜单是渐变的，那条唯一的候选底部被洗白。

根因不是「12px 太大」，而是**固定像素用在了高度不固定的东西上**。所以：

1. `.overflow-y-auto` 的淡出宽度改成按可见高度封顶 `min(12px, 10%)`；
2. 弹层（`.overflow-y-auto.glass-control`）**不淡**：它是圆角＋边框的独立
   表面，内容被边框截住已经「有交代」，而它高度小到淡出只剩负作用。

实测（Chromium 渲染后读像素，不是读声明的字面）：
  60px 容器：新规则淡出 6px（10.0%），旧规则 12px（20.0%）
  700px 容器：新规则淡出 12px（1.7%）—— 高列表观感不变
  真实候选菜单：`getComputedStyle(...).maskImage` 从 12px 渐变变为 `none`

判据：narrow-layout 新增 4 条，钉的是**结构**而不是那个数字 ——
淡出宽度必须带上限、两个上限都必须 > 0、弹层必须豁免、两套前缀都要在。
（第一版只取了 `min(` 里的 px 就断言 > 0，把 10% 改成 0% 时照样绿，
被变异测试抓到后重写。）
 2026-09-14 15:44:08 +08:00
JianFeeeee
71a3c35610 按 pi 复核改五处：判据的"值/行为"原则、真正的构建门、typecheck 进门、Go 判据零匹配、迁移归属 
pi 用反例与变异逐条点了五处，全部**先跑变异再改**（结论都写在原地）。

## 1 判据③：形状正则已删（它永远差一个反例）

实测 pi 的反例 —— `const k = PREFIX + accountId; return PREFIX;`（拼了但没返回）——
对第三版判据**仍然全绿**：第三版锚的是"**函数体里存在**这样的表达式"，不是"**返回的**表达式"。
三版的骗法各一个（签名里的参数 / 提了一下没用 / 拼了没返回），都在判"源码里有没有那个形状"，
而缺陷是"算出来的值对不对" ⇒ **权威交给行为判据**（`test/stores/background.test.ts` 直接断言
`storageKey('a') !== storageKey('b')`、`=== 'agentmail.background.acct-a'`、不退回全局键），
正则那条删掉并把反例写在原地（否则下一个人会好心加回来）。
保留"键必须来自 storageKey()"那条：那是**来源**约束，不是值对不对，正则在这里合适。
鸿蒙侧只能静态判（`.ets` 本机没有运行时），已把这条限制写进判据说明。
推广进规范：CRITERIA.md §6.7 + run-all 自检关键词（10 → 11）。

## 2 真正的门：`scripts/release-linux.sh`

- 实测 pi 提的变异：**`touch dist/index.html` 时 stamp 判据是绿的** —— 它抓不到"构建失败但碰过 dist"。
  stamp 是**探测器**（抓"src 改了产物没跟上"），门是**喂退出码**，两者不互替（§6.7.1）。
- `build:linux` 里**没有管道**（`&&` 链，退出码本来就传），但那次的哑巴失败是我在命令行手打
  `npm run build 2>&1 | tail -4 && …` 造成的；同时发现它跑的是**裸 `vite build`，跳过 `gen:bg`**。
- 于是把配方收成 `scripts/release-linux.sh`：`set -euo pipefail` + 走 `npm run build` + 再打包。
- 判据是**行为**的：注入失败的构建（`AGENTMAIL_BUILD_CMD='exit 7'`）→ 断言退出码非 0
  **且打包那步没跑**（标记文件不存在）。变异：脚本改成 `|| true` → 红 ✓。

## 3 typecheck 进 `npm test` 链

`npm run typecheck` 原本就有，但没人跑。先修掉它唯一的报错（我自己留下的未使用 import），现在干净；
`test` = run-all + vitest + typecheck。它恰好检查**没被任何测试 import 的文件**（vitest 只解析被测到的图）——
也就是那次 `is not exported by` 的形状。

## 4 Go 源码判据：零匹配 / 读不懂 都要红

改成三分：切不出函数体 → 红；字段在但值不是字面量 → 报「**判据读不懂**」（变异：`BgDim: defaultDim` → 红 ✓）；
字段不在 → 红。静默放行是这类判据最危险的失败方式。
**措辞更正**：这条核对的是"与**这份服务端源码**的契约"，不是"在跑的服务端二进制是 12/4"
（与"dist 是产物"同构）；文档同步改。

## 5 迁移归属：定向做不到，就把"不可恢复"降级成"可恢复"

查实：`accountStore` 的 `activeId` 是**派生视图状态、不落盘**（`persist(accounts)` 只存数组），
所以**本机没有"上次活跃账号"标记可定向** —— 旧值的作者事后无法还原，定向迁移在原理上做不到。
升级前用 B、升级后先登录 A ⇒ A 接管 B 的外观，**一次性错档**，触发条件就这一条。
两件能做的都做了：**写了回读校验**（写不进去就不删旧键，避免净损失；变异：改成先删后写 → 2 条红 ✓）、
**删前另存** `agentmail.background.legacy.bak`（只写不读 ⇒ 不引入新的继承源，判据钉"只写不读"）。
§7.12 把本地这半与显形方式写进同一行。

## 验证

`npm test` 退出码 0：14 个判据文件全绿 + vitest **265** 通过（+2 迁移行为测试）+ typecheck 干净；
`hvigorw assembleHap` BUILD SUCCESSFUL；安装包经新脚本重打（dist 与包同批）。
 2026-09-14 15:41:52 +08:00
JianFeeeee
7ef3ea7306 fix(webui): 宽屏也同步折叠策略 —— 头部与回复框默认收起（正文 48% → 90%） 
用户（2026-09-14）：「我发现宽屏布局也有邮件内容显示区域过小的问题，
宽屏也同步窄屏的折叠策略吧」。

上一版是「窄屏默认收起 / 宽屏恒展开」，理由是「宽屏横向空间够、不该引入多余
点击」。那条理由只看了**横向**：实测 1280x800 下详情栏里头部 139px(17%)、
回复框 246px(31%)，留给正文的只剩 385px（48%）—— 竖向一样不够用。

改法：两种宽度用同一套默认值（收起），点标题行 / 悬浮球展开。
- CollapsibleHeader：useState(false)，toggle 不再以 narrow 为条件，展开箭头常显；
- ReplyBar：收起态恒为悬浮球（原来只有窄屏才收），「收起」按钮宽窄都有，
  autoFocus 不再以 narrow 为条件；
- MailView 两个根节点补 relative —— 否则宽屏下 `absolute` 会一路找到视口，
  悬浮球会挂到窗口右下角而不是这块详情栏里。

实测（真浏览器量盒子，1280x800，同一封正文撑满的长信）：
  头部 139 → 48px，回复框 246 → 0（收起为球），正文 385 → 722px（占视口 48% → 90%）；
  点标题展开 / 点球开输入框（带焦点）/「收起」收回，三条都通。
窄屏 390x844 同项通过，横向溢出 0。

判据：narrow-layout 里三条旧判据钉的是「窄屏专属」，已改成钉「宽窄同一套」，
并新增两条（折叠分支里不得再有 `narrow &&`；悬浮球必须锚在详情栏内）。
wide-regression 补 6 条宽屏实测 —— 此前宽屏的折叠行为**一条判据都没有**，
这正是它坏掉而没人发现的原因。

已知遗留（另行报告，本次未改）：窄屏上回复框展开后，第一次点它上面的按钮
（抄送 / 回复全部 / 收起）会被吞掉 —— 焦点离开 textarea 会让 .form-editing
失效、底部导航重新占位 71px，按钮在 mousedown 与 mouseup 之间从指针下移走，
click 目标退化成公共祖先。HEAD 上已存在，与本次改动无关。
 2026-09-14 15:38:49 +08:00
JianFeeeee
25ac19b343 跨端: P5 悬浮玻璃导航取代系统 TabBar —— 自绘浮动条 + 命中区 ≥44vp + 内容让位 
（subject 原为「跨端(P5): …」—— 被自己的 commit-hygiene 判据判红：约定是 subject 里带
 `跨端:`，而 `跨端(P5):` 让字面 grep 找不到。判据是对的，改提交不改成判据。）
 2026-09-14 15:34:32 +08:00
JianFeeeee
f412751b37 test(criteria): 规范加 §1.5「两张表各缺一半时按 id 联接，不按相邻关系配对」（pi 的建议 + 我方实测的串行实例） 2026-09-14 15:20:39 +08:00
JianFeeeee
e94313f66a 跨端: 接手 pi 的两个 WebUI 开项——默认值统一到服务端契约 12/4；缓存键按账号（含一次性迁移） 
pi 问"这两个开项谁执行"，我接了（他那边无 shell，我这边改过 WebUI）。两件都是他读源码读出来的实缺陷。

## 1 默认值：不是审美，是**服务端契约**（pi 更正了自己上一封）

`server/internal/models/models.go` 的 `DefaultAppearance()` 明写 `BgDim: 12, BgBlur: 4`，
且注释宣称"与客户端 backgroundStore / themeStore 的默认值一致"——而 WebUI 的
`backgroundStore.ts` 是 `dim: 24, blur: 8`，**那句注释是假的**；`lib/appearance.ts`
的 `clamp(..., 12, 4)` 又是另一套。**同一份代码里两个"默认值"**，走哪条路就落哪个数。

后果不是"两处代码不一样"这么轻：服务端"没有记录"时客户端以本地为准推上去，
于是**新账号的初始外观由第一个同步它的客户端决定**（先 WebUI 登录存 24/8，
先鸿蒙登录存 12/4）——同一个账号，压暗强度取决于谁先到。

改法：新增 `src/lib/appearanceDefaults.ts` 作为**唯一来源**（DEFAULT_DIM/DEFAULT_BLUR/
上限），`backgroundStore` 与 `lib/appearance` 都引用它，字面量全部消失。

## 2 缓存键按账号（含旧全局键的一次性迁移）

`STORAGE_KEY = 'agentmail.background'` → `storageKey(accountId)` = 前缀 + 账号；
写盘只走 `storageKey()`；旧全局键**只作为迁移源**：当前账号首次读到它时接管并存进自己的键，
然后**立刻删除**（否则下一个账号继续从它"继承"，等于把刚修的缺陷留在原地）；
未登录时不迁移（旧值不能送给一个还不知道是谁的账号）。

配套顺序：`appearanceSync` 在账号切换时**先 `reloadForAccount()` 再 `pull()`** ——
服务端"没有记录"时 `pull()` 会"以本地为准推上去"，那时"本地"必须已经是本账号的值。

## 3 判据（新增第 13 个判据文件 appearance-defaults）

`test/appearance-defaults.test.mjs`：**去 Go 源码里读** `DefaultAppearance()` 的四个字段，
再比对三处（WebUI 常量、store 的 DEFAULT_BACKGROUND 不许有字面量、鸿蒙 Appearance 的字段默认值）；
另两条钉"键按账号、不许退回全局键、旧键必须被删除"与"重读在 pull 之前"。
这样服务端那句注释是**可核对**的，不是承诺。

顺带更正：`Wallpaper.ts` 里"WebUI 默认 24"的注释已过时 → 改 12 并写明缘由；
`harmony-appearance` 里"WebUI 是全局键"的前提失效 → 改为断言两端都按账号分键。

## 验证

`npm test` 退出码 0（13 个判据文件全绿 + vitest 263 passed，原 258 + 新增 5 条行为测试：
键隔离、迁移一次并删除、未登录不迁移、默认值=12/4）。
 2026-09-14 15:17:01 +08:00
JianFeeeee
2d8f5424b5 test(criteria): 规范补两条 + 还原纪律改写成"先固化基线再破坏" 
pi 三条增量的第三条（纠正我的写法）与配套文档：

## 1 还原纪律：禁令 → 操作顺序（pi 纠正）

我原来写的是"变异后不要用 `git checkout` 还原"——**治症不治因**。真因是
**被还原到的那个状态还没提交**（我丢的是一个刚加、尚未提交的 marker）。
可执行的形状：

> **任何破坏性还原，都要求"将被还原到的那个状态已经在某个提交里"。**

所以：**变异前先把基线提交掉**；更稳就 `git worktree add` 一个干净副本去变异。
`cp` 备份仍然可用，但它依赖"人记得备份"，顺序改对了则不依赖记性 ——
与"记得打 marker"改成"计数写在 `check()` 内部"是同一招。

本提交自身就是这条纪律的示范：先提交 `ec90cba`（helper + 移植 + 错误信息）作为基线，
再在已提交的基线上做 marker 变异验证。

## 2 共享 helper 与"失败信息自带修法"写进 §6.6

- `test/lib/checks.mjs` 的存在理由与用法（计数只可能在该模块内发生 →
  漏 marker / 计数写错位置在新判据上不可能发生）；
- **失败信息要自带修法**：red 是那个人一定会看到的东西，文档不一定被打开。
  验证方式也记了：真删掉一条判据的 marker 行跑一遍，确认错误信息能照抄执行
  （已验：输出里给了 helper 用法与样板文件路径，且 `node:test` 的判据不用管）。

## 3 规范自检关键词 7 → 9

新增 '已经在某个提交里'、'自带修法'，防止这两条被删掉还不报错。

## 验证

`npm test` 退出码 0（12 个判据文件全绿 + vitest 258/258）。
 2026-09-14 15:12:19 +08:00
JianFeeeee
ec90cba129 test(criteria): 抽出共享 check/finish（marker 不再靠记性）＋ 失败信息自带修法 
pi 的三条增量，前两条落地：

1. **错误信息自带修法**：受众不只是读过规范的人 —— 并发写 WebUI 的 agent 新加判据时不会打开
   CRITERIA.md，看到红的第一反应可能是"套件坏了"。所以把可照抄的修法写进那条错误本身
   （共享 helper 的用法 + 样板文件路径），并说明 node:test 的判据不用管。
   **red 是 ta 一定会看到的，文档不一定被打开。**

2. **marker 由共享 helper 打印**：新增 test/lib/checks.mjs（导出 check/finish），
   计数只可能在该模块内发生 → "漏打 marker"与"计数写错位置"这两类在新文件上不可能发生。
   为避免"写了没人用"（本仓踩过的坑），同时把两个手工计数的判据改用它：
   narrow-layout（原来只有 failed 计数）与 markdown-xss（原来根本没有计数器）——
   条数不变（52 / 9），套件仍全绿。

未回改其余 10 个文件：run-all 的 marker 检查已经覆盖它们。
 2026-09-14 15:11:47 +08:00
JianFeeeee
a8ac2fc28b test(criteria): 闭环——判据自报条数 + 每文件期望条数（只增不减的棘轮） 
pi 指出的残余缺口：我上一轮加的自检 4 是**文本证据**（文件里有 `test(` / `check(` /
`process.exit(1)`），只能证明"**有能红的路径**"，不能证明"**它跑过**"。反例很短：

```js
const check = () => {};     // 实现被换空（现实形态：合并冲突改坏实现）
check('a', false);          // 存在、也执行了，但什么都不会红
console.log('主题：通过');   // 有输出
```

## 落地（pi 给的闭环形状）

1. 自定义 `check()` 的判据结尾打一行机器可读汇总 `RESULT pass=<条数> fail=<失败数>`
   （`node:test` 的判据不用改，已有 `# pass N`）；
2. `run-all.mjs` **只解析这个固定 marker**（不猜口语汇总——「窄屏布局：全部通过」里没有数字，
   按数字猜会误报，这一点我上轮已经实测过）；
3. 与清单里登记的**期望条数**比对，**低于 → 红**。

关键细节：**计数写在 `check()` 内部**（theme/background 原本就在内部 ++；
narrow-layout 只有 failed 计数，补了 passed；markdown-xss 按 payload 条数算）。
写在调用点或靠扫源码的话，"实现被换空"就看不见了。

棘轮"只增不减"：加判据**不用**改那个数，只有"条数掉了"才红。期望值按**实测**回填
（9/52/8/30/42/15/28/5/23/5/3/2）。

附带的可见性收益：这几轮我一直用"13→14""19→28""34→42"当信号，现在它成了判据 ——
某次改动顺手删掉两条判据、或某条被跳过，会立刻红。

## 变异

- pi 那个反例（`check` 换成空函数）→ 红（`自报 0 条 < 登记的 30 条`）；
- 删掉 5 条 `check(` 调用 → 红（`自报 47 条 < 登记的 52 条`）。

## 规范

§6.5 新增"涉及运行时行为的结论必须实测过才能写进规范/判据"——同一个错这轮犯了两次
（我从"报告 0 个测试、退出 0"推断"退出码被吞"，实测是照传；pi 拿我这个结论又建了一个洞）。
规则：**一次观察只支撑你看到的那一层**。
§6.6 记闭环形状与代价（故意删判据要同步改数字，属于一次可复核的显式编辑）。

⚠️ 并且如实记下一次**我自己违反规范**的事：写 §3 那条"变异后别用 `git checkout` 还原"的人
（就是我）在这次变异验证里又用了 `git checkout -- <文件>`，把刚加、尚未提交的 marker 抹掉了。
规矩写下来不等于会遵守 —— 已把这条实例写进规范，让人知道它是活人踩的坑。

## 验证

`npm test` 退出码 0（12 个判据文件全绿 + vitest 258/258）；`run-all` 单独跑也 exit 0。
 2026-09-14 15:06:14 +08:00
JianFeeeee
4babc96f8b test(criteria): runner 不再手写 --test（由内容推导）+ 自检 4「这条判据能不能红」；规范补两档 
pi 提的三条，第一条落地前先按他的要求**贴真实样本实测**，结论与他的猜测不同（记在代码里）。

## 1 runner 内部那个"配错 flag = 绿" —— 实测后换了个形状

pi 的猜测：给自定义 `check()` 的判据传 `--test`，runner 会报"0 个测试"并以 0 退出。
实测（node v22.22.2，两条真实样本）：

- `node --test <自定义 check() 判据>`：**退出码照样传出来**（文件 exit 1 → 命令行 exit 1），
  没有被吞；
- 但 `node --test <什么都不做的文件>` 报 `# tests 1 / # pass 1` ——
  **pass 计数不是"检查跑过"的证据**。

所以"解析 pass 计数、0 就判红"这条路两头不讨好：抓不到空判据（它报 1），
还会在 `narrow-layout` 上误报（它的汇总行是"窄屏布局：全部通过"，里面没有数字）——
正是 pi 提醒的"别照抄我的正则，先贴样本"。

换成两条**结构证据**：

- **`--test` 不再手写**：由文件内容推导（源码里 `from 'node:test'` 就走 node:test），
  清单里出现手写 `--test` 直接红 —— 配对错误不再靠记性维护；
- **自检 4**：每条判据文件里必须存在"能红"的路径（`test(` / `check(` / `process.exit(1)`），
  外加"跑完必须有输出"。一个都没有 = 它永远不会红，与"全通过"长得一模一样
  （这是"判据自己不会跑"家族的第 6 个宿主，家族表和六种宿主都写进规范了）。

变异：清单手写 `--test` → 红；加一条"什么都不做、退出 0"的判据 → 红；
静默成功（有能红路径但一行不输出）→ 红。

## 2 规范 §3 补一档：变异红了还要看**红在哪**（pi）

"只报红了不算，要能指名红的是哪几条"；**红在解析/加载失败上不算红**（先让变异
"语法正确、语义错"）；变异作用于被剥掉的注释也不算。

## 3 `CRITERIA.md` 的可见性（pi 提的位置问题）

它管两个客户端的判据，却躺在 electron 的测试目录里。已在
`docs/HARMONY-ALIGN-PLAN.md` §四（验收纪律）加指针，并顺手把 pi 点名过的两条口径写死在那儿：
**"未验"只能用于"步骤做过、结果没看"，功能不存在必须写"没做"**；
**"机制上确定不同"要判、不许记成"未验"**（深色档预设那次）。

## 验证

`npm test` 退出码 0（12 个判据文件全绿 + vitest 258/258）。
 2026-09-14 15:00:26 +08:00
JianFeeeee
22c9be7181 跨端: 预设色板两套（pi：这不是"观感未验"而是机制上确定不同）+ 手写色清册跨文件 + TMPDIR 按会话分家 + 提交归属可判 
pi 读完 `model/Wallpaper.ts` 后指出四处，全部处理。这一提交同时改了
`client/harmony/` 与 `client/electron/`（跨端改动），所以 subject 按新约定自报家门。

## 1 预设色板不随主题 —— **类别判错了：不是"未验"，是机制上确定不同**

我上一版把"深色档预设"记成"观感未验"。pi 指出：WebUI 的 `.bg-preset-*` 写的是
`rgb(var(--c-blue-100))`，而 `--c-*` 在 `.dark` 里整体换了一套（blue-100 → `30 43 67`），
所以 **WebUI 的预设自动随主题变**；这边只有浅色那套 = 深色主题下"浅色渐变垫在深色系统表面之下"，
正是这一整轮在治的病。**它不需要真机就能判**（机制写在代码里）—— 我把可判的东西
记成了"未验"，这跟上一轮把"没做"写成"没验"是同一类错。

选 pi 倾向的那条（跟随主题，与 WebUI 一致）：

- 色板两套：`LIGHT_*` 取 CSS `:root`、`DARK_*` 取 CSS `.dark`；`paletteFor(dark)` 选一套，
  `layersFor(id, dark)` 按主题出层；
- `isDarkMode(theme, systemColorMode)` 放在纯逻辑里：选了 dark/light 就照办，
  `system` 看系统当时的 `colorMode`（锚到 SDK：`COLOR_MODE_DARK = 0` / `COLOR_MODE_LIGHT = 1`；
  读不到按浅色，与 WebUI 的 `:root` 默认一致）；
- 系统深浅从 `resourceManager.getConfigurationSync().colorMode` 读
  （`Context` 基类没有 `config`；`UIAbilityContext.config` 要转型；两个枚举取值一致，都核过 SDK）；
- 判据：两套值与 `:root`/`.dark` **逐个相等**；每个预设的深浅两套**必须真的不同**
  （否则"两套"是抄了两遍）；网格线色也要换；`isDarkMode` 五种输入。
- **未做**：运行期间改系统深浅色不会自动重算（要重进页面）——系统侧正确做法是订阅
  `applicationContext.on('environment', …)`，记在 §7.17b。

变异：`DARK_BLUE_100` 偏一位 → 红；`paletteFor` 永远返回浅色（= 我原来那个状态）→ 红；
`isDarkMode` 把系统深浅记反 → 红；页面把深浅写死成 false → 红。

## 2 手写色清册**跨文件按类扫**（原 A2 只保护 `Theme.ets`）

`Wallpaper.ts` 也有手写色。若对照是"按名字枚举"的，第 15 个色就会逃掉 ——
与 A2 要防的是同一件事，只是换了文件。现在一份清册按类扫：全 `ets/` 树里每个
`X: string = '#RRGGBB'` 都必须登记（Theme 的品牌/业务语义色，或预设色板 ——
后者常量名必须带 `LIGHT_`/`DARK_` 前缀，值由 CSS 两段比对负责）。反向也判清册过期。

变异：`Theme.ets` 加未登记色 → 红；`Wallpaper.ts` 加未登记色 → 红；
加一个"看着合规"的 `DARK_EXTRA` → 红。

## 3 `TMPDIR` 互踩（pi 提出）

这个 worktree 可能同时有多个 agent 跑构建，而 fpm 会把 291MB 的 `linux-unpacked`
**整份复制**进 `TMPDIR` —— 撞车就是随机的产物损坏。`whoami` 区分不开（大家都是 root），
所以按**会话**分家：`TMPDIR=$PWD/.tmp/${DSH_SESSION_ID:-$(id -un)-$$}`
（进了 `npm run build:linux` 与 BUILD.md 的手敲命令；普通终端退化成"用户+PID"）。

## 4 提交归属变成**跑判据就看得出来**（pi 给的形状）

新的 `test/commit-hygiene.test.mjs`：扫最近 40 条提交，**同时改两侧目录**的提交
必须在 subject 里自报家门（`跨端:`）。两条防腐：基线 = 该判据文件自己的引入提交
（**历史不改**，规则管从今往后）；分类逻辑拿合成输入自检
（未标注的混合提交必须判红、标注过的不许红）——否则"解析没跑起来"时它会全绿。
变异：`COMMIT_HYGIENE_BASELINE` 指到老提交 → 历史里那两个被卷进去的提交立刻判红。

## 验证

`hvigorw assembleHap` BUILD SUCCESSFUL；`npm test` 退出码 0
（12 个判据文件全绿 + vitest 258/258；`commit-hygiene` 在本提交落地后基线生效）。
 2026-09-14 14:57:18 +08:00
JianFeeeee
0ce8b29546 test(criteria): 判据规范 CRITERIA.md（邻接不是结构·第三次露头）+ 废弃 API allow-list 结构化 + 扫描范围自检 
pi 的两条增量，都不需要他再确认。

## 1（pi 建议）：生成清单 + 空 allow-list 的结构性风险

他的推演：SDK 升版会往清单里加新条目 → 某天早上套件**突然红**，且红在与本次改动无关的
代码上；这时人的第一反应是把名字塞进 allow-list —— 而 allow-list 一旦这么用，
就不再是"研究过的例外"，只是"红的止痛药"。所以条目结构化：

```js
const ALLOW = [ /* { name, replacement, why } */ ];
```

`replacement` 非空是硬断言（"暂时不想改"不是放行理由，"替代品要求的 API level 高于基线"才是）。
**刻意不断言"名单必须为空"** —— 那会挡住合理放行；断言的是"有名字、没替代品 → 红"，
于是侵蚀发生时红的是**放行这件事本身**，而不是某天的新 SDK。
变异：塞一条 `{ name:'px2vp', replacement:'', why:'暂时不想改' }` → 红。

## 2（pi 建议）：扫目录的判据要防"空判据"

他问废弃 API 判据扫哪些目录（怕只扫 `pages/`，`common/` 里的旧写法逃掉）。
答案：扫的是**整个 ets 目录递归**（实测 25 个文件，含 `pages/ common/ model/ api/ entryability/`）。
顺手加了防退化的自检：文件数 ≥ 20，且 `pages/ common/ model/ api/` 四个目录都必须扫到
—— 目录改名/只扫一个子目录会让这条变成空判据而依然全绿。
变异：把扫描范围改成只扫 `pages/` → 红。

## 3（pi 建议）：把"邻接不是结构"写进判据规范

同一个坑在本仓露头三次：① 窗口式正则被一行注释挤爆（原注释自嘲过）；
② 括号配对取代窗口；③ 链式修饰符让"看前一个字符是不是 `}`"静默失效。
共同形式值得升格成规则，于是新建 `client/electron/test/CRITERIA.md`（七条），
并在 `run-all.mjs` 加**自检 3**：规范文件必须在、且必须点到关键条目。
WebUI 侧 `background.test.mjs` 的窗口式存量按 pi 的说明**记着不动**（那是他的地盘）。

规范里另外两条是本仓自己踩出来的：剥注释读代码 vs 读原文读理由（混用必红）；
以及**验证要按真实入口跑** —— 我用 `node --test test/run-all.mjs` 验自检 3 时它"依然绿"，
其实是 runner 把内部的 `process.exit(1)` 吞了；换成 `npm test` 走的那一行就红对了。
变异：删掉规范里的一条关键规则 → `npm test` 那条路 exit 1。

## 验证

`npm test` 退出码 0（11 个判据文件全绿 + vitest 258/258）；`hvigorw assembleHap` 未受影响。
 2026-09-14 14:51:30 +08:00