jianf/MailUI4Agents
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
321 Commits 1 Branch 0 Tags
b806a05bfaa1430645d54ff83185c645a87a6cc1
Commit Graph

16 Commits

Author SHA1 Message Date
JianFeeeee
b806a05bfa 跨端: harmony 管理页（用户管理）+ P4c 壁纸上传入口 —— 「功能做全再交付」的两块 
pi 的交付清单里缺的两块（`docs/GUI-PLAN-HARMONY.md` 原先把管理后台划在首版之外，
用户明确要求「功能做全再给我」之后收进来）。

标 `跨端:` 是因为判据落在 `client/electron/test/`（鸿蒙的判据目录一向量在那里），
代码本体全在 `client/harmony/`。

## 管理页（用户管理）

- `pages/AdminUsersPage.ets`：新建 / 编辑（显示名·角色·白名单）/ 启停 / 重置密码。
  排布照 `AdminUsersPage.tsx`，包括「受限」徽标口径（普通用户且白名单非空才显示）、
  最后登录缺席与空串都显示「从未登录」、管理员对白名单两项忽略。
- 入口在设置页底部，**仅管理员可见**（`role === 'admin'` 严格相等，与 `App.tsx` 同口径）。
  读不到身份时**不**显示也不报错（乐观放行会让每个普通用户看到点进去 403 的入口）。
- `api/AdminApi.ets` + `model/AdminUsers.ts`（纯逻辑，零 import ⇒ 判据能真跑）。
- 启停**只发 status 一个字段** —— 服务端是部分更新，多发字段会把显示名与白名单一起改掉。
- `model/Models.ets` 补管理端 DTO；`main_pages.json` 注册路由。

## P4c 壁纸上传

- `model/ImagePrep.ts`：阈值与两档策略（2560/0.85 → 1280/0.78，入口 20MB，压后上限 3.5MiB）。
  **一处有意不对齐 WebUI** 并写明理由：WebUI 卡 data-URL 长度（含 base64 膨胀），
  鸿蒙内存直传 ArrayBuffer，卡的是字节数。
- `common/BackgroundPicker.ets`：不设 / 预设 / 自定义图片 + 浓度与模糊滑杆。
  上传链：picker → 判可不可以 → 逐档按 desiredSize 解码压缩 → 上传 → **请页面以服务端为准重新同步**。
  失败**必带原因**（服务端 415/413 文案原样透出）。用户取消选图**不算失败**。
- `ApiClient.uploadBytes`：MultiFormData.data 收 ArrayBuffer（核了 SDK，since 11；本工程 23）
  ⇒ 内存直传，不需要 base64 也不需要临时文件。

## 两处真 bug（变异测试逼出来的，不是"新写坏的"）

1. **压缩循环的第二档此前是死代码**：循环里的 break 与循环外那句 shouldRetryWithActual
   互相抵消 —— 把循环里那处改成 `if (true)`（永远只压一档）整套判据照样全绿。
   收成一处判定（overLimit），循环外只读结论，并加结构性判据（该函数在这条链上只许调用一次）。
2. **壁纸的模糊档一直是「只写不读」**（计划文档 §7.12 登记过）：滑杆能拖、值能存、
   blurStyleFor 也写了，就是**没有调用点**，壁纸一点没糊。
   本次补上的调用点分两层：壁纸层 `.blur(px)` = **图片内容模糊**
   （与 WebUI 的 `filter: blur(var(--bg-blur))` 同一个量、同一个数，所以不需要映射表）；
   而那张**材质档**映射表 `blurStyleFor` 也终于有了调用点（`navMaterialFor` 内部复用它）。
   `docs/HARMONY-ALIGN-PLAN.md` 的 §7.12 两行（材质 / 壁纸模糊度）已一并改准、不再互相矛盾。

## pi 复核后**改回来的**（这一笔里我自己犯的两处，都由 pi 抓出）

1. **导航条材质一度绑定到 `bg_blur`，`bg_blur=0` 时整个消失。**
   我把 `NavBar` 从固定档改成 `blurStyleFor(bgPlan.blurPx)`，而滑杆 `min: 0` 可达、
   `blurStyleFor(0) === 'NONE'` ⇒ 用户把壁纸调清晰时**导航条一点材质都没有**。
   而且它与本笔自己的论证**相反**：刚论证完"图片内容模糊"与"面板材质"是两个物理量，
   转头把面板材质接到壁纸模糊这个输入上。
   现在**分层**：`blurStyleFor` 是通用映射（**允许** NONE —— "0 px 不模糊"是它的正确语义）；
   `navMaterialFor` 是**导航条专用、有下限**的入口（0 px ⇒ 最薄档）。
   判据钉**可达性**（滑杆 0..40 每个整数 + 界外值都不许 NONE，且三档都要出现 ——
   否则"恒定最薄档"会让滑杆成为死控件）。
2. **`Theme.navMaterial` 被我弄成了死令牌**，而看着它的判据**照样绿**
   （那条只断言"声明存在且不是 NONE" —— 守的是声明，坏的是活的调用路径）。
   现在导航条真的用它；并把同文件里**只覆盖 `Theme.overlay` 一个令牌**的死令牌规则
   **铺到 Theme 的全部 35 个令牌**（量**外部引用数**：只被 Theme 内部方法读、
   而那个方法自己有外部调用点 ⇒ 不算死 —— `chipSpentBg` 是这种；`navMaterial` 当时
   唯一的消费者是一张可整体删掉的局部表，所以必须被抓）。

## pi 复核后**补上的**（这一笔漏掉的接线，都是我造成的）

- **`test/run-all.mjs` 的 SUITE 没接两个新判据文件** ⇒ HEAD 上 `npm test`
  **一条判据都不跑、直接 exit 1**（套件自检 2 就是为这件事写的）。已接入，
  并把两条登记进 `STATIC_ONLY`（`.ets` 要设备 ⇒ 静态欠账）。
- **`debt-visibility` 是我自伤**：那两个新文件里有 5 处"边界声明"但一次都没登记。
  我当时报"2 条失败是改动前就红" —— **只对一半**：这条在父提交上是**绿的**。
  我那次 `git stash push -u -- client/harmony` 的对照是**无效对照**
  （`-- client/harmony` 把 `client/electron/test/` 整个排除在外，新判据文件根本没被 stash），
  所以两次跑都红、看着像"既有"。已按 pi 的建议改用 `git worktree` 到父提交做对照。
  现在两处都登记进 `docs/DEBTS.json`（含 `static-criteria` 5→7，Go 侧同一份登记同步改）。

## 一并修正的旧判据（都是"太宽/太窄/钉错东西"，不是放宽标准）

- 「模糊归属」：原文「壁纸层不许有**任何**模糊调用」把**图片内容模糊**与**面板材质**
  混为一谈（WebUI 侧核实：`.app-backdrop` 的 filter 与它之上那层的 backdrop-filter
  是两个不同的量）⇒ 改成按两种模糊分别钉。
- 「bgBlur 只写不读，消费侧必须为 0」：值不再成立，**形状保留**（逐文件登记 + 计数 + 理由），
  标题与断言里的假话一并改掉。
- isDarkMode 那条 `/dark\s*\)/` 断的是**参数顺序**（加一个入参就误红）⇒ 改成"dark 在实参里"。
- 三条钉 `backgroundBlurStyle` **整条字面表达式**的断言 ⇒ 改成钉语义
  （"用系统材质 + 材质有下限"），不再匹配那一行的字符。

## 判据

新增 `harmony-admin.test.mjs`（22 条）、`harmony-imageprep.test.mjs`（29 条）；
`harmony-presets.test.mjs` 加 1 条（模糊档搬运与归一，含 `-0` 那个洞：
`Math.round(-0.4)` 是 `-0` 而 `-0 < 0` 为 false ⇒ 改成判 `!(r > 0)`）。

**`node test/run-all.mjs`：22 个判据文件全部跑起来**，红的只有 1 个：
`build-stamp`（`dist` 是 `a5fc86b` 上构建的，`gitRev` 对不上当前 HEAD）。
这条**不是我的代码造成的**（可证：`a5fc86b..HEAD` 之间，`srcHash` 覆盖的那批文件
——`client/electron/src` 等——**一个都没动过**，所以 `srcHash` 没变，差的是 `gitRev`），
但也**不是"改动前就红"**：任何推进 HEAD 的提交都会让它变红，正确修法是重构建。

## 未验（如实标注）

- **本机无设备/无模拟器 ⇒ 全部观感未验**：管理页排版与卡片观感、滑杆手感、
  模糊在真机上的实际档位观感、系统材质在自绘悬浮条上的实际效果。代码齐 ≠ 真机验过。
- 预设档**没有**上模糊（壁纸在预设档下是一叠自绘矩形，系统材质对它不生效）——
  这是我**主动收的范围**，不是漏，真机看一眼再决定要不要补。
- **Go 侧的 `debt_registry_test.go` 我没能跑**（沙箱里没有 Go 模块缓存，`go test` 起不来），
  只做了 `gofmt` 校验；那处改动是一行 `Count: 5 → 7`。
 2026-09-15 11:17:23 +08:00
JianFeeeee
f8fe14d124 docs(debts): 登记 pi-bridge-adopt-cwd-mismatch —— 沙箱 rw 与 worker cwd 的第三个来源（接管路径）未对齐，且这类错位没有任何一层提示 2026-09-15 06:47:24 +08:00
JianFeeeee
4c2bf26c42 fix(deploy): flock 没登记进 AGENTMAIL_REQUIRE（"缺命令"被报成"另一个部署在跑"）+ 中断 trap + 两条欠账入册 
**1. 自指缺口：新能力带的新依赖没登记回表（pi 抓到）**
我加"同时性"那一列时引入了 `flock`，**却没把 `flock` 加进三个脚本的 `AGENTMAIL_REQUIRE`**。
后果实测：
    PATH 里没有 flock ⇒ `flock: command not found`（127）⇒ `! flock` 为真
    ⇒ 打印"**另一个部署正在跑（锁被占用）**"
退出码事后是对的（2），但**诊断是错的** —— 而照着它做的是"等另一个部署结束"：**永远等不到**。
三个脚本各加一个词；并在 `env-defaults.sh` 的 ③b 注释里写明这条规矩
（**新增任何外部命令时回到 `AGENTMAIL_REQUIRE` 登记**）与这个实例。
→ docs 第 19 条：「表与被表的东西不同步」。

**2. 第六列候选：中断（信号）—— 已按 pi 的建议修 `redeploy-gateway.sh`**
原子 `mv` 修的是"半截二进制"，**没修"服务停着而脚本死了"**：
第 250 行 stop 与第 267 行 start 之间被外部信号打断（Ctrl-C、宿主杀进程、会话回收、OOM）
⇒ 脚本直接退出、**服务留在停止状态而什么也不说** ⇒ "邮件全停 + 无人告知"。
已加 `trap … INT TERM HUP`：进窗口前置位 `_SERVICE_STOPPED`，出窗口复位并摘 trap；
**trap 只在"确实还停着"时才动手**（否则会多起一次服务）；回滚分支也维护该标志。
**用 stub `systemctl` + 探针真喂过四个分支**：
    stopped=1 + SIGINT ⇒ 调了 `systemctl start`、退出码 130、打印点名
    stopped=0 + SIGINT ⇒ **没有**调用 start（不误起）
    （探针里两次 harness 自身的错也一并记下：`sed`/`awk` 的区间端点选错，
      把 `trap -` 也取进来，导致"trap 没生效"的假象 —— 是探针错，不是代码错。）
★ 顺带修掉自己写的一处：`printf '… $SERVICE …'` 用**单引号**包裹 ⇒ `$SERVICE` **不展开**，
原样打出字面量（探针里实测看到）。改双引号传参。这类"消息里有变量但没展开"会让读者
以为服务名真叫 `$SERVICE`。

**3. `install -d -m` 对已存在目录的行为：实测会改（pi 的疑问）**
    mkdir -p 建 755 → `install -d -m 0700 <同一目录>` → **700**
所以**下一次部署就会收紧** `/opt/agentmail/data` 与 `/etc/agentmail`，不需要额外的
`chmod 0700` 动作，也不必为此单开一次"人按一下"。
（我按这条如实回报，因为 pi 说过"若不会改就需要显式 chmod，且安全意义比
`user-question.js` 高" —— 结论是不需要。）

**4. 两条欠账入 `docs/DEBTS.json`（按 pi 的界线：只修新机制自己引入且会误报的缺口）**
· `deploy-space-prefix-fs`：空间列只铺了 `$TMPDIR`，没铺 `$PREFIX` 所在文件系统
  （属"列内没铺满"，不是新列）。
· `deploy-interrupt-trap-other-scripts`：trap 只在 `redeploy-gateway.sh`；
  `install.sh`/`redeploy-plugin.sh` 被打断同样会留半成品（没有"服务停着"那种后果，故低优先）。
→ docs 第 20 条同时记下 trap 这条纪律与它的可喂判据写法。

验证：install.sh --check exit 0；npm test exit 0；prune 自检 22/22；drift 自检 35/0；
check-shared-libs exit 0；全部 deploy 脚本 bash -n 通过；DEBTS.json 有效（13 条）。
 2026-09-14 21:26:51 +08:00
JianFeeeee
fbdfdcc81d fix(deploy): staging 拷贝失败必须当场 exit 2（这次实测打出了假的 [ OK ]）+ 登记同类未堵点 
一次在沙箱里跑的 `bash deploy/redeploy-plugin.sh pi`（本意是修生产缺文件）被权限拒绝，
结果暴露出脚本自己的一个假绿：

    mkdir: cannot create directory '…/.20260914-201204.staging': Permission denied
    cp: cannot create directory '…' : Permission denied
      [ OK ] 已拷入 node_modules（生产不借用仓库的依赖）      ← 一个字节都没拷
      [FAIL] staging 里没有入口 src/index.mjs

**一段输出里两个互相矛盾的信号，而且 OK 在前** —— 这正是本仓库反复记录的那个病
（"从失败里产出一份看着正常的报告"），这次是部署脚本自己得上了。

改动：`mkdir`/`cp` 当场判失败并按约定 exit 2（环境/权限问题，不是检查问题）；
`node_modules` 那一份**拷失败就不再打 OK**（依赖进不了 staging 会在重启时才炸，
而那时旧版已经被换掉了）。实测同一路径：现在**立刻** exit 2、零个假 `[ OK ]`。

成功路径未受影响（脚本其余部分与 `[ OK ]`/`[FAIL]` 约定不变）。

`docs/DEBTS.json` 登记同类未堵点 `redeploy-script-unguarded-steps`：
`deploy/redeploy-gateway.sh:84` 的 `run "cp -r …"` 无守卫，而该脚本只有
`set -uo pipefail`（**无 `-e`**）、`run()` 内部 `eval` 的失败既不中断也不被调用点接收
⇒ 前端产物没拷进去也继续往下走。**没有当场改那个文件**：另一条会话正在改它，
改它等于把冲突塞给一条我看不见的路径（`install.sh` 已有 `set -euo pipefail`，无需处理）。
登记的 `due` 就是"下次改任一 deploy 脚本时"。

验证：`npm test` 463/463、`check-shared-libs.sh` exit 0、`--self-check` 全过、`bash -n` OK。
 2026-09-14 20:13:57 +08:00
pi
94ba4b9c58 跨端: 鸿蒙端功能同步第一步——日历（只读月视图）上架，入口进底部导航 
用户：「要给鸿蒙端做功能同步」。按 API 面盘点（WebUI 62 个 API 函数 vs 鸿蒙 38 个），
最大的用户面缺口是**日历**：纯逻辑（model/Calendar.ts）与判据早就在，一直没页面。

新增：
- api/CalendarApi.ets：GET /calendar/events?from=&to=（与 WebUI 同参；区间按**网格**取，
  不是月首月末 —— 首尾格子会显示邻月，只查当月会让那些格子永远空着）
- pages/CalendarPage.ets：月网格（翻月/回今天）、点某天看当天日程、事件点、今天/选中两态、
  加载失败说出来。**没做**：写侧（增删改）、农历重复、.ics、滑动翻页 —— 逐条写在文件头
- model/Calendar.ts：补 localIsoOf / hhmmAtOffset / deviceOffsetMinutes（偏移是入参 ⇒ 三时区可真跑）
- model/Models.ets：CalendarEvent / CalendarListResponse（字段对齐服务端 JSON）
- NavItems：加「日历」，底部成为 通信/日历/联系人 三项（与 WebUI 同序）
- MainPage：日历是**常驻 pane**（visibility 控制），首次可见才拉数据；today 走
  @Prop @Watch(visible) 在 pane 变可见时重算 ⇒ 结算欠账 calendar-today-recompute
  （DEBTS 15 笔 → 14 笔，余额里不再计这一笔）

判据：harmony-calendar 新增 6 条（网格/表头同源、事件归日走 localIsoOf、三时区钟点、
today 重算路径、翻月走 addMonths、变异自检）；harmony-nav ② 分派与 ④ 让位跟着改成结构性判据
（④ 原来那个 400 字符窗口一加 pane 就红 —— 窗口式判据的又一次现身）；harmony-logic 两处
「只剩两个平级页签」跟着改成三项。

真机实测（harmony-emu + hvigorw assembleHap + hdc install + uitest click + dumpLayout）：
9 月网格星期对齐（周一起始，2026-09-01 落在「二」列）、事件点恰好在有日程的那 6 天
（11/17/18/24/25/30）、点 09-17 列出当天两条日程且钟点是本地时间（DB 里 02:20Z/08:30Z
→ 界面 10:20/16:30）。
 2026-09-14 18:38:51 +08:00
JianFeeeee
12294835da fix(余额): 圆角差异条目补两侧数值 + 策略现在就定（设备只做验证、不做决策） 
pi 2026-09-14 两条。

1. **别让设备当"以谁为准"的决策者**：这个工作区起不了模拟器，把决策挂在设备上
   就是一笔**永远不还**的账。观测能告的只是"并排看是否感知不一致"，而策略现在就能写 ——
   已写进条目（提案，待人追认）：**语义配对成立 ⇒ 数值按两端各自成立（WebUI 的 rem 基准
   vs 鸿蒙 vp/系统档），默认以 WebUI 为准**；只有鸿蒙平台规范明确要求系统档时才反向。
   设备**只做验证，不做决策**。`kind` 从 env 改回 **scope**：这里等的是"有人拍一下"，
   不是"环境到位"；并写明**实现者不能自己拍**（同 `unknown-preset-approval`）。

2. **补两个数**（没有数就既不能裁定也不能验证）：
   · WebUI：`0.875rem`=14px / `0.5rem`=8px；
   · 鸿蒙：**本工作区读不到数值** —— `toolchains/id_defined.json` 该条目只有 name/type，
     SDK 的 `ets-loader/sysResource.js` 只有**资源 ID 125829709 / 125829702**，
     实体值在**系统资源包**里（编译进 resources.index / 随设备）。
   这个"只能读到 ID、读不到值"的事实写进条目，免得下一个人以为去查一下就有。
 2026-09-14 17:52:15 +08:00
JianFeeeee
8390890646 跨端: feat(对齐): 参照物版本登记（CalendarView.tsx @d78f19f，变了即红）+ 圆角按语义配对（数值来源不同另行登记） 
pi 2026-09-14 骨架开工前两件。

1. **对齐参照物要有版本号**：WebUI `CalendarView.tsx` 可能同时在动（gui-lab 有未合入改动），
   照工作副本画完之后参照物一变，这版就成了"照一份没人认领的草案对齐的"，而**没人能判它对不对**。
   新增 `docs/ALIGN-REFS.json`（blob 哈希 + 登记于哪个 commit + "以哪次为准"）
   + 判据 `test/align-refs.test.mjs`：哈希变了即红，报错按 §14 写明
   「正确修法 = 读差异→判断骨架要不要改→再更新登记」与
   「最常见的错误修法 = 把新哈希抄进去（那是把闸门降级成状态记录）」。变异确认会红。
   当前登记：`d78f19f`「日历页面补上圆角」，工作副本干净 —— 若另有未合入的，合入后再对一次。

2. **圆角必须走令牌，且跨端按语义配对**：鸿蒙侧已有 `Theme.ets:105/107` 的
   `radiusCard`/`radiusControl`（**系统**资源），WebUI 是 `--radius-card: 0.875rem` /
   `--radius-control: 0.5rem`。⇒ 端**语义对齐、数值来源不同**，所以登记写成"按语义配对"，
   并且判据要求每条都写明"按语义还是按数值"（否则下一个人会直接去比数字）。
   数值差异本身按形态差异进余额：`radius-card-numeric-divergence`（等设备并排看再决定以谁为准）。
   鸿蒙侧不许把 14 / 0.875 抄成裸数字 —— 与当初 14 处 Material 调色板清零同一形态，量纲换成长度。
 2026-09-14 17:46:20 +08:00
JianFeeeee
6fc8099b33 跨端: feat(日历): today 不许跨调用残留（常驻 pane 跨零点）；扫描口径去注释+去字符串现在就定 
pi 2026-09-14 骨架前最后两条。

1. **`today` 必须"显示时求值"**：顶层是「通信 / 日历 / 联系人」三个平级 pane，日历**常驻**，
   而 `today` 是唯一随时间变的输入。建页取一次 ⇒ 跨午夜后标记停在昨天，**判据全绿**
   （模型没错，是喂进去的值过期了）—— 与 `Calendar.ts` 防的"上次渲染残留"同一件事，
   只是残留在**调用侧**。
   · 纯逻辑侧判据（新增第 10 条）：连续两次不同输入各自独立（不许跨调用残留）、
     推进一天后值必须变、**不传就不许有今天**（不许内部兜底取系统时间 —— 那正是"取一次"的写法）；
   · 调用侧义务（pane 变可见时重算，不许只在 aboutToAppear）进余额：
     `calendar-today-recompute`（kind=scope），到期前提写明"骨架写完后立刻"。

2. **`code()` 去注释、不去字符串**：任何只是**提到**被禁写法的字符串会被自己判红。
   两条路（"报错文案不引被禁模式" vs "只在表达式位置匹配"）现在就定，选后者：
   先**整段去掉字符串字面量**再匹配 —— "提到"不再误红，"真的用它取日期键"照样红。
   副作用写在旁边（正则近似、非解析器；转义/跨行模板处理不干净 ⇒ 是采样不是完备性证明），
   并写明：**出现同族误红时不许"再改一次扫描口径"把判据往宽里挪**。
 2026-09-14 17:44:52 +08:00
JianFeeeee
e94e4dcd39 跨端: feat(P6): 日历纯逻辑 model/Calendar.ts + 6 条可跑判据（第 1 步的逻辑那一半，不需要设备） 2026-09-14 17:41:43 +08:00
JianFeeeee
9fd89308ab fix(判据): 自指豁免改成"按次数"登记；标签缩回"已登记词表"并把它自己的盲区登记成欠账 
pi 2026-09-14 两点，本质是同一件事：**判据自己的盲区，又成了新的"只写在某处"**。

1. **自指豁免从"整文件放行"改成"登记一个次数"**：整文件放行的后果很具体 ——
   `debt-visibility.test.mjs` 成了唯一一个"可以在里面声明边界而不被抓"的文件，
   而它恰好是定义词表的那个（将来有人在这里写一句真实的「这里没判/已知缺口」，① 不会红）。
   现在把 N=9 当普通登记值：N 处是**词表定义与报错文案**，第 N+1 处就是新边界声明 ⇒ 红。
   变异确认：在本文件里再加一处 ⇒ 红；撤回 ⇒ 绿。
   pi 那句话我照抄进注释："用自己定义的词表数自己无意义"推出的是"**这 N 处**无意义"，
   不是"**这个文件**无意义"。

2. **标签缩回断言范围**（§17 的收法一）：判据名从"有边界声明就必须登记"改成
   "用**已登记词表**声明边界的文件，必须在余额里有对应的一笔（词表外的说法不在范围内）"。
   并且**词表键控这个盲区本身按我自己的新规则进了余额**：
   `boundary-vocabulary-incomplete`（已知未覆盖：`TODO`/「这里没判」/「跳过」等同义说法抓不到），
   到期前提是"发现词表外说法时扩词表并登记那一处"。
   —— 这条是被**本判据自己的分支 ③** 逼出来的：它先报"debt-visibility.test.mjs 有边界声明，
   但没有任何一笔余额的 where 指向它"。判据咬到了判据自己身上，正合其意。

余额：`debts=13 (static-only=5==登记 ✓ / other=8 by go-test)`。
 2026-09-14 17:39:47 +08:00
JianFeeeee
d34342b49b feat(判据): §16 本身变成判据 —— 判据目录里的"未覆盖/未验/已知缺口"声明必须在余额里有对应的一笔 
pi 2026-09-14：§16 一直是"靠记得问"的纪律，按 §15 它该有判据；这是同一形状的**第五次**，
这次落在规则自己身上。

新判据 `test/debt-visibility.test.mjs`（三支，均已变异验证）：

1. **出现次数必须与登记一致**：某文件里新多出一处边界声明 ⇒ 红，
   报错按 §14 写「正确修法（先补一笔余额，再改次数）」与
   「最常见的错误修法（只把数字调大／把声明删掉）」。变异：给 harmony-logic 加一处 ⇒ 红。
2. **每一笔余额必须带到期前提与位置** ⇒ 变异：清空 static-criteria 的 due ⇒ 红
   （「那不是欠账，是"我们知道"」）。
3. **有边界声明的文件必须被某笔余额的 where 引用**（两处挂钩，不是各写各的）。

**自指豁免**（按文件 + 理由）：本文件**定义**了那套措辞，用自己定义的词表数自己是无意义的
—— 而且它**第一次跑就把自己抓出来了**（11 处），证明计数是活的，不是走过场。

顺带把 `static-criteria` / `observability-output` 的 `where` 与具体文件挂钩（5 个静态判据文件）。
 2026-09-14 17:38:33 +08:00
JianFeeeee
6eef1fd91c fix(余额): 两条"已知未覆盖的回滚路径"进余额（绿判据的名字在默认路径上不打印） 
pi 2026-09-14：这不是新规则，是我自己刚立的 §16 往上递归一层。

- 判据**绿**的时候名字不打印（默认路径只出 `RESULT pass=N fail=0`），
  所以「另两条路未覆盖」这句话写在标签/注释里 = **默认路径上看不见** ——
  正是 §16 要挡的那一类；与 overlay 那条同族：**希望别人知道的边界只存在于源码里**。
- 登记两笔，`where` 明确写「这是**已知未覆盖的回滚路径**，不是未验的运行时性质」
  （两件事不同，不混一格）：
  · `nav-dark-route-b-unguarded`：引入深色主题 / 第一次给导航组件加 `dark:` 变体时堵；
    堵法按**文件窄豁免**，不许写成「导航目录不许出现 dark:」。
  · `nav-blur-route-c-unguarded`：第一次给导航元素加工具类模糊时堵。

余额：`debts=12 (static-only=5==登记 ✓ / other=7 by go-test)`。
 2026-09-14 17:36:54 +08:00
JianFeeeee
1fcb754b61 fix(判据): 两条反向断言"标签比断言宽"——缩回真实范围并记下三条逃逸路（各注变异确认）；overlay 运行期边界进余额 
pi 2026-09-14：变异证明的是"我注入的那两条会被抓"，不是"回滚会被抓" —— 对。

1. **标签缩回断言的真实范围**（选 pi 的 (a)）：两条判据原先叫"导航不得变暗 / 不得自叠模糊"，
   实际各只扫了一条路。按 pi 预测的三条逃逸路各注一次变异，**三条全部逃掉**（导航变黑/变模糊，
   判据照样全绿）：`.dark .nav-rail{background-color}`（选择器作用域）、组件 `dark:bg-slate-900`
   （Tailwind 产的不是 `.dark{--nav-}`）、组件 `backdrop-blur-lg`（不在那条选择器下）。
   现在名字就是它们真正断言的东西，**未覆盖的路逐条写在注释里**（含变异表），
   并写明要堵时按文件窄豁免写、别一刀切。
   理由：**标签比断言宽的判据，会在它没测的那条路上被回滚时给绿，而人信的是标签。**

2. **overlay 的运行期边界进余额**（`overlay-follows-app-theme`）：机制依据（`applyTheme →
   setColorMode`、资源按应用配置解析）我认，但它是**运行期**性质、注释里的"未验"没人判 ——
   按我自己刚立的纪律：只活在注释里的边界 = 没人判的边界。到期前提写死：上设备后翻转
   colorMode，断言遮罩跟着「应用」主题变；证伪则改为从应用主题派生，**不是**回双常量。
 2026-09-14 17:35:53 +08:00
JianFeeeee
e35ea479b5 fix(余额): 子集关系打进字符串本身（读到 9≠5 的人不该需要读信才知道为什么）；映射欠账加"不许绕过映射"到期前提 
pi 2026-09-14 两点。

1. `debts=9(registered) measured_static=5==登记 ✓` 让读的人先看到 9≠5，而
   "本相位只有 static 有权威实测"只写在**信里**、不在那一行里 —— 那一行**没有一个字在判它可读**。
   现在：`debts=9 (static-only=5==登记 ✓ / other=4 by go-test)（…）`。
   理由与 §12 同源：**余额里任何需要靠注释才能读对的地方，就是下一个假绿。**

2. `blurStyleFor` 那笔欠账的到期前提再加一条：**调用点出现时**，判据要同时判
   「调用点不许自己再换算一次 px→档」—— 否则调用点到位、消费侧计数转绿，
   而换算被绕过（直接传算好的档位），映射那条行为判据照样全绿 —— 钉了个没人走的路。
 2026-09-14 17:27:14 +08:00
JianFeeeee
512b3f8f80 fix(更正): 我登记的"不存在映射表"是错的（blurStyleFor 一直在，缺的是调用点）；豁免按文件+次数抓出来的 
pi 2026-09-14 三条接续，其中 §3 那一条**抓出了我自己的一个错误结论**。

1. **§3 交叉提醒（豁免按"文件 + 次数"）→ 直接翻出我漏掉的东西**：
   把 `bgBlur` 的豁免改成计数后，逐处核对出现次数时发现 `model/Appearance.ts` 里
   **有一个 `blurStyleFor(bgBlur)`** —— **px → 系统材质档的映射表早就在那儿**
   （文件注释还写着「判据可以直接跑它」），只是**没有任何调用点**。
   而我先前把"鸿蒙没有消费点"登记成了"**不存在映射表 ⇒ 钉映射判据是假判据**"，
   **那是错的**，并且已经写进了两处文档（CRITERIA.md §10、计划文档 §7.12）。
   ⇒ 两处都**更正**了，并写明发现方式（计数机制把它翻出来的）。
   正确的登记：**映射表存在且可判；缺的是调用点** —— 这两件事分开判。

2. **映射表按"它是行为"来钉**（新判据，26/26 绿）：分档边界 0/8/20、
   **单调性**（px 变大档次不许倒退）、**NaN 不许落到最厚那一档**（比较全 false 时掉到最后一档
   是最坏方向）。`blurStyleFor` 是纯函数 ⇒ 与 Wallpaper 一样能直接用 node 跑，不需要设备。

3. **§1 痕迹的"输出那条腿"仍无人判 —— 我把它登记成欠账而不是假装钉了**：
   页面层（`MainPage.ets`）有没有真的拿 `presetSubstitutedFrom` 打日志，现在**没有判据**。
   我没有在本轮补上，原因是它要动 `.ets`（按环境约定，写 `.ets` 前要先按 ArkTS 纪律加载规范），
   而 P6 第 1、2 步正好要动那个文件 —— 所以登记成 `docs/DEBTS.json` 的
   `observability-output`（余额 1、到期前提写明"页面接上日志时同时补判据"），
   **不是"未完成"含糊过去**，而是"什么时候还"写清楚了。

4. **§2 §10 那格从"无人类批准"收口成"待批准"**：仍进余额 —— `unknown-preset-approval`，
   到期前提是"有人追认或驳回『未知 id 显示 aurora 而不是空白』这个方向"，
   并写明**我作为实现者不能自己追认自己**。

5. 顺手把 pi 那条建议入册（`CRITERIA.md` §14）：**登记/清册类判据的报错要同时写
   "正确修法"与"最常见的错误修法"** —— 因为读到红的人第一反应通常是改那个数字。

余额现在一处可见：`RESULT phase=install static=5 debts=9（…） probe=ok`。
 2026-09-14 17:20:18 +08:00
JianFeeeee
d25770ea2f fix(欠账): Skip 进余额且条件必须是测量；豁免按文件+次数；三笔欠账合成一处可读余额 
pi 2026-09-14 三条（他接受了我对"恒红=相位错"的反驳，但指出 Skip 带来的两处漏洞）。

1. **Skip 必须进余额、条件必须是测量**：
   - **条件**：跳过与否由 `measureMailStatusDebt` **实测**（详情路径的 status 是否真的
     等于按读者派生），不是常量、不是"我们还没迁完"这种没人会更新的事实；
   - **余额**：`docs/DEBTS.json` 是**唯一登记**，Go 侧判据 `TestDebtLedgerMatchesMeasurement`
     **自己测量**后与登记比对（第一版我让余额由另一条判据写入 ⇒ **排序依赖**，
     Go 同包内按源文件顺序跑，登记那条先跑就读到 0 —— 排序依赖是隐蔽的假绿，已抽成自足函数）；
   - **可见性**：`go test` 跑通时**不打印包的输出**，我第一版把余额打在 TestMain 里，
     常态运行一个字都看不见 —— 正是 pi 说的"不显形"。所以常态可见的那份打在
     electron 套件的 RESULT 行：`RESULT phase=install static=5 debts=7
     （static-criteria:5,mails-status-derived:1,gesture-semantics:1） probe=ok`。

2. **豁免从"按文件"改成"按文件 + 次数"**：`migrate.go` 这类比较**上限 2 处**（附理由），
   多一处即红。我在读侧清册上自己修过这个洞，豁免那格却退了一格 —— pi 指出得对。

3. **三笔欠账合成一处**：原先各自表达（`RESULT static=5` / `t.Skip` 无余额 /
   文档里的到期前提无余额），**没有一处能一眼看全**。现在统一登记在 `docs/DEBTS.json`
   （id / 余额 / 到期前提 / 判据位置），两端读同一份：Go 侧比对实测，electron 侧打进 RESULT 行。
   还清那天：登记要跟着清 —— 不清则由 `TestDebtLedgerMatchesMeasurement` 报
   "**欠账已还清**，但登记还记着 N"（还清是可测事件，这正是那条判据存在的意义）。
 2026-09-14 17:17:37 +08:00