Implement unsafe icon cache diagnostics (T-611)

docs/04-architecture.md

@@ -65,6 +65,8 @@ T-610 在两个隔离 `ui/gio` package 内采用相同文件职责:`shell.go`
 
 T-204/T-606/T-607 图标链路为 `Catalog icon digest + DPI → 32 MiB/256-key memory LRU → verified disk → 流式 IconFetcher(maxBytes+1) → SHA-256/图片资源限制校验 → 原子磁盘缓存 → 后台 DecodeIcon → IconReady/IconFailed application event → bounded FIFO relay + Window.Invalidate → Frame/UI ApplyEvent → ApplyIcon(paint.ImageOp)`。同一 key 由一个 in-flight leader 去重,不同 key 的磁盘/网络工作并行;全局锁只保护 memory/LRU/in-flight 元数据。relay 队列满时无损背压且可由 context/close 取消,后台从不修改 shell map。UI 只接受当前 app 最新且 icon_ref/DPI 匹配的 request_id;删除 app、替换 IconRef 或取消会使迟到结果失效,替换 IconRef 同时清除旧 ImageOp。磁盘与远端都重新校验,断网只使用已验证磁盘缓存;详情右栏只读取 `CatalogListModel.SelectedItem` 与内存 ImageOp,关闭详情不清空筛选或列表位置。
 
+T-611 固定该链路的 fail-closed 诊断:磁盘 entry 为 symlink/非普通文件时 `IconCache` 不读取、不删除且不 fetch,`IconEventDelivery` 只发布安全分类 `unsafe_cache`,同时把包含 `ErrIconCacheUnsafe` 的错误留给后台调用方。双端 shell 在 UI owner goroutine 保存完整失败 identity + code,只对当前选中软件显示 code/app ID/`<digest>-<dpi>.icon` locator 与人工恢复提示;生命周期与最新请求、reference/DPI、ready、取消和 app 删除绑定。正式安装目标 root 为 `%LOCALAPPDATA%\OwnSoftBox\cache\icons\`,但当前生产 `cmd` 尚未装配 IconCache/Delivery/Fetcher,constructor root 才是代码事实;人工步骤见 [故障排查](troubleshooting.md)。
+
 ## 三、仓库目录结构
 
 ```text
@@ -125,7 +127,8 @@ soft_quay/
 ├─ apps/<id>/   # current/ staging/ backup/ installed-app.json
 ├─ data/<id>/   # 子软件用户数据(更新永不覆盖)
 ├─ licenses/    # 许可证(更新永不覆盖)
-├─ cache/       # 清单缓存、图标缓存
+├─ cache/       # 清单缓存
+│  └─ icons/    # 正式装配的目标图标缓存根;当前以 NewIconCache(root, ...) 实参为事实
 ├─ downloads/   # 下载临时文件 + 任务元数据
 ├─ staging/     # 盒子自更新暂存
 ├─ backups/     # 盒子自更新备份