Implement unsafe icon cache diagnostics (T-611)

docs/routes.md

@@ -12,7 +12,7 @@
 │ 视图   │  每项:图标·名称·版本·状态·进度·主操作按钮 │
 │ 全部   │                                    │
 │ 已安装 │  右侧/弹层:软件详情                   │
-│ 可更新 │   版本 · 简介 · 教程 · 授权状态 · 操作   │
+│ 可更新 │   版本 · 简介 · 安全诊断 · 状态 · 操作    │
 │ 最近使用│                                    │
 ├────────┴────────────────────────────────────┤
 │ 底部状态栏:网络 · 任务数 · 磁盘 · 盒子版本(Legacy 标识) │
@@ -24,7 +24,7 @@
 | 视图 | 职责 | MVP |
 | --- | --- | --- |
 | 软件列表(主视图) | T-203 已实现全部/已安装/可更新切换、名称/ID/tag 即时搜索、单分类筛选、稳定滚动与明确空状态;下载中/最近使用和多标签复选随对应用例后续接入 | P0 |
-| 软件详情(弹层或右栏) | T-204 已实现右栏、关闭、版本/分类/简介/tags/状态/不可用原因/教程/主页展示与内存图标;真实操作和授权事实随对应模块接入 | P0 |
+| 软件详情(弹层或右栏) | T-204 已实现右栏、关闭、版本/分类/简介/tags/状态/不可用原因/教程/主页展示与内存图标;T-611 仅对当前 `unsafe_cache` 显示稳定安全诊断和人工恢复提示;真实操作和授权事实随对应模块接入 | P0 |
 | 下载队列 | 所有任务的进度、速度、剩余时间;暂停/取消/重试 | P0 |
 | 设置 | 并发数、目录、代理、自动检查更新、beta 通道、日志级别、便携模式(V2) | P0(最小集) |
 | 授权 | 许可证导入、已授权软件列表、machine 信息、换绑/申诉入口 | P0 |
@@ -50,7 +50,7 @@ T-610 固定 modern 与 Win7 两个 `ui/gio` 适配器的同 package 文件职
 | `shell.go` | `AppShell` 状态/构造、`SetItems`/`ApplyIcon` 生命周期、根 `Layout` 与输入 drain |
 | `shell_header.go` | 顶部栏、分类、view/filter 导航与版本特有 footer |
 | `shell_catalog.go` | content/catalog、惰性列表、app row/icon 与空状态 |
-| `shell_detail.go` | 详情布局、详情字段与动作/回退文案 helper |
+| `shell_detail.go` | 详情布局、详情字段、`unsafe_cache` 安全诊断与动作/回退文案 helper |
 | `shell_style.go` | palette/theme、panel 绘制、view/status 文案与颜色 helper |
 
 这些文件仍共同实现一个 `gio` package,不是新增页面 API 或状态层。modern-only 的 `layoutCatalog`/`layoutFooter`/`actionLabel` 等保留在对应职责文件,Win7 不增加空壳;后续视图应进入相应职责文件,不能重新把布局链堆回根 `shell.go`。
@@ -83,6 +83,8 @@ T-204 已落地的详情/图标约束:
 - modern 与 Legacy 均显示版本、分类、简介、tags、状态、不可用原因、教程和主页文本;尚未接入的安装/启动/授权不伪装为已可执行操作。
 - T-607 由 `IconEventDelivery` 在后台完成可信加载/解码并发布强类型 `IconReady`/`IconFailed`;有界 FIFO relay 只请求 Invalidate,Frame/UI goroutine drain 后才调用 `ApplyEvent`/`ApplyIcon`。相同 app 只接受最新且 IconRef/DPI 匹配的 request_id;Catalog 删除、IconRef 变化或取消后丢弃迟到结果,IconRef 变化同时清除旧 ImageOp。
 - 图标未命中或离线缓存不可用时显示非 emoji 的字母占位,不阻塞列表或详情。
+- T-611 将最近一次已验证失败保存为完整 `IconEventIdentity + IconFailureCode`;新请求、匹配 ready、IconRef/DPI 变化、取消和 app 删除清除旧诊断,同引用 Catalog snapshot 可保留。只有 `unsafe_cache` 在当前选中详情显示文字告警、`unsafe_cache`、app ID 与 `<digest>-<dpi>.icon` locator;`unavailable`/`invalid_content` 保持普通占位,不冒充安全事件。
+- 安全告警必须有可访问标题、明确说明本次未继续远端获取/自动修复并指向 [故障排查](troubleshooting.md);颜色不能作为唯一信号,不得增加清理、隔离或重试按钮,不得显示绝对路径、原始 error、URL/query 或 link target。
 
 ## 导航规则