终端模块初版

.gitignore

@@ -7,8 +7,14 @@ yarn-error.log*
 pnpm-debug.log*
 lerna-debug.log*
 
-# 发布暂存目录
+.trae
+.workbuddy
+.npm-cache
+.bun-tmp
+.uploads
+temp/
 release_stage/
+musicdl_outputs/
 
 node_modules
 dist

MODULE_DEV_GUIDE.md

@@ -1,618 +0,0 @@
-# 模块开发指南
-
-本文档详细说明 Thing 应用的模块系统架构，帮助开发者快速理解并创建新模块。
-
-## 架构概述
-
-Thing 采用**统一模块注册机制**，每个模块通过 `index.ts` 自描述其全部配置（名称、图标、组件、搜索项、进程配置、生命周期钩子等），由中央注册表 `moduleRegistry` 统一管理。
-
-```
-┌─────────────────────────────────────────────────────┐
-│                    main.ts                          │
-│         import './modules' (触发注册)                │
-└──────────────────────┬──────────────────────────────┘
-                       ▼
-┌─────────────────────────────────────────────────────┐
-│              src/modules/index.ts                    │
-│        聚合入口：导入所有模块配置并注册               │
-└──────────────────────┬──────────────────────────────┘
-                       ▼
-┌─────────────────────────────────────────────────────┐
-│           src/modules/registry.ts                    │
-│     ModuleRegistry 单例：注册 / 查询 / 组件懒加载     │
-└──────┬───────────────┬───────────────┬──────────────┘
-       │               │               │
-       ▼               ▼               ▼
-  App.vue         Sidebar.vue     GeneralSettings
-  (组件加载)       (侧边栏导航)     (模块开关管理)
-```
-
-## 核心文件说明
-
-| 文件 | 职责 |
-|------|------|
-| `src/types/module.ts` | 模块配置类型定义 |
-| `src/modules/registry.ts` | 注册表单例：注册、查询、组件懒加载缓存 |
-| `src/modules/index.ts` | 聚合入口：导入并注册所有模块 |
-| `src/modules/icons.ts` | 模块图标映射表 |
-| `src/modules/<name>/index.ts` | 各模块的配置声明 |
-| `src/modules/<name>/*.vue` | 模块前端组件 |
-
-## 模块配置类型
-
-```typescript
-// src/types/module.ts
-
-interface ModuleConfig {
-  /** 模块唯一标识（如 'proxy'、'clipboard'） */
-  id: string
-  /** 显示名称 */
-  name: string
-  /** 图标标识（对应 icons.ts 中的 key） */
-  icon: string
-  /** 模块描述（显示在设置界面的模块管理中） */
-  description: string
-  /** 模块分类 */
-  category: 'network' | 'tool' | 'system' | 'media'
-  /** 默认是否启用（默认 true） */
-  defaultEnabled?: boolean
-  /** 是否为内置模块（不可禁用，如设置模块） */
-  builtin?: boolean
-  /** 懒加载组件的 loader 函数（推荐） */
-  loader?: () => Promise<{ default: Component }>
-  /** 直接组件引用（内置模块可用，无需懒加载） */
-  component?: Component
-  /** 全局搜索项 */
-  searchItems?: SearchIndexItem[]
-  /** 进程配置（需要管理子进程的模块填写） */
-  process?: ModuleProcessConfig
-  /** 生命周期钩子 */
-  lifecycle?: ModuleLifecycle
-  /** 排序权重（数值越小越靠前，默认 100） */
-  order?: number
-}
-```
-
-## 创建新模块
-
-### 第 1 步：创建模块目录
-
-```
-src/modules/my-module/
-├── index.ts              # 模块配置
-└── MyModule.vue          # 前端组件
-```
-
-### 第 2 步：编写模块配置
-
-```typescript
-// src/modules/my-module/index.ts
-import type { ModuleConfig } from '@/types/module'
-
-export const moduleConfig: ModuleConfig = {
-  id: 'my-module',
-  name: '我的模块',
-  icon: 'my-module',           // 需在 icons.ts 中添加映射
-  description: '模块功能描述',
-  category: 'tool',
-  defaultEnabled: true,
-  loader: () => import('./MyModule.vue'),
-  searchItems: [
-    {
-      title: '功能名称',
-      description: '功能描述',
-      keywords: ['关键词1', '关键词2', 'keyword']
-    }
-  ],
-  order: 70
-}
-```
-
-### 第 3 步：注册模块
-
-在 `src/modules/index.ts` 中添加导入：
-
-```typescript
-import { moduleConfig as myModule } from './my-module'
-
-const allModules: ModuleConfig[] = [
-  // ... 已有模块
-  myModule
-]
-
-moduleRegistry.registerAll(allModules)
-```
-
-### 第 4 步：添加图标映射
-
-在 `src/modules/icons.ts` 中添加：
-
-```typescript
-import { Wrench } from '@lucide/vue'  // 选择合适的图标
-
-export const moduleIconMap: Record<string, Component> = {
-  // ... 已有映射
-  'my-module': Wrench
-}
-```
-
-### 第 5 步（可选）：添加 Rust 后端命令
-
-如果模块需要 Rust 后端支持，在 `src-tauri/src/` 中创建命令模块，并在 `lib.rs` 的 `invoke_handler` 中注册。
-
-## 进程管理
-
-需要管理外部子进程的模块（如 mihomo）通过 `ModuleProcessConfig` 声明进程配置。下载器模块使用进程内自建下载引擎，不涉及外部子进程管理。
-
-### 配置示例
-
-```typescript
-// src/modules/proxy/index.ts
-export const moduleConfig: ModuleConfig = {
-  // ...
-  process: {
-    name: 'mihomo',              // 进程标识
-    executable: '',              // 可执行文件路径（运行时确定）
-    args: ['-f', 'config.yaml'], // 启动参数
-    autoStart: false,            // 模块启用时是否自动启动
-    restartOnCrash: true,        // 崩溃后自动重启
-    maxRestarts: 3               // 最大重启次数（0 = 不限制）
-  }
-}
-```
-
-### 前端 API
-
-```typescript
-import { useProcessStore } from '@/stores/processStore'
-
-const processStore = useProcessStore()
-
-// 通过模块 ID 启动进程（自动读取模块配置）
-await processStore.startByModule('proxy')
-
-// 停止进程
-await processStore.stopByModule('proxy')
-
-// 获取进程状态（从缓存读取）
-const status = processStore.getProcessStatus('proxy')
-// status.status: 'running' | 'stopped' | 'crashed' | 'starting'
-
-// 刷新所有进程状态
-await processStore.refreshAll()
-```
-
-### 自动化行为
-
-模块启用/禁用时，`appStore.toggleModule` 会自动处理：
-
-| 操作 | 禁用模块 | 启用模块 |
-|------|----------|----------|
-| 进程 | 停止运行中的进程 | 若 `autoStart` 为 true，启动进程 |
-| 搜索项 | 移除该模块的搜索项 | 恢复该模块的搜索项 |
-| 组件缓存 | 清除组件缓存，释放内存 | 下次访问时重新懒加载 |
-| 生命周期 | 调用 `onDisable` 钩子 | 调用 `onEnable` 钩子 |
-| 侧边栏 | 从侧边栏隐藏 | 在侧边栏显示 |
-| Toast 通知 | 显示"已禁用 {模块名}" | 显示"已启用 {模块名}" |
-
-## 生命周期钩子
-
-```typescript
-interface ModuleLifecycle {
-  /** 模块首次加载时调用 */
-  onInit?: () => void | Promise<void>
-  /** 模块组件挂载时调用（切换到该模块） */
-  onActivate?: () => void | Promise<void>
-  /** 模块组件卸载时调用（切换离开该模块） */
-  onDeactivate?: () => void | Promise<void>
-  /** 模块被禁用时调用 */
-  onDisable?: () => void | Promise<void>
-  /** 模块被启用时调用 */
-  onEnable?: () => void | Promise<void>
-}
-```
-
-使用示例：
-
-```typescript
-export const moduleConfig: ModuleConfig = {
-  // ...
-  lifecycle: {
-    onEnable: async () => {
-      console.log('模块已启用')
-      // 初始化资源、建立连接等
-    },
-    onDisable: async () => {
-      console.log('模块已禁用')
-      // 释放资源、关闭连接等
-    },
-    onActivate: () => {
-      console.log('用户切换到本模块')
-      // 开始实时数据更新等
-    },
-    onDeactivate: () => {
-      console.log('用户离开本模块')
-      // 暂停实时更新以节省资源
-    }
-  }
-}
-```
-
-## 全局搜索
-
-模块通过 `searchItems` 声明可被全局搜索的功能项。用户在标题栏搜索框输入关键词时，匹配的搜索项会显示在结果列表中。
-
-```typescript
-searchItems: [
-  {
-    title: '代理设置',           // 显示标题
-    description: '配置网络代理',  // 显示描述
-    keywords: ['代理', 'proxy', '网络']  // 匹配关键词
-  }
-]
-```
-
-如果搜索项需要执行特定操作（如跳转到子页面、触发命令），在模块组件挂载时通过 `searchStore.registerAction` 注册：
-
-```typescript
-import { useSearchStore } from '@/stores/searchStore'
-
-const searchStore = useSearchStore()
-
-onMounted(() => {
-  // 注册第 0 个搜索项的 action
-  searchStore.registerAction('my-module', 0, () => {
-    // 跳转到特定子页面或执行操作
-    activeTab.value = 'settings'
-  })
-})
-```
-
-## 模块分类
-
-| 分类 | 说明 | 适用场景 |
-|------|------|----------|
-| `network` | 网络相关 | 代理、下载器、网络工具 |
-| `tool` | 实用工具 | 剪贴板、文件搜索、文本处理 |
-| `system` | 系统相关 | 硬件监控、系统设置 |
-| `media` | 媒体相关 | 截图、录屏、图片处理 |
-
-分类目前用于元信息标记，未来可用于设置界面的分组展示。
-
-## 模块禁用机制详解
-
-当用户在设置页面切换模块开关时：
-
-```
-用户点击开关
-    │
-    ▼
-appStore.toggleModule(moduleId, enabled)
-    │
-    ├─ 禁用时：
-    │   ├─ searchStore.unregisterModule(moduleId)   // 移除搜索项
-    │   ├─ processStore.stopByModule(moduleId)       // 停止进程
-    │   ├─ config.lifecycle?.onDisable?.()           // 生命周期钩子
-    │   ├─ moduleRegistry.clearComponentCache(id)    // 清除组件缓存
-    │   ├─ modules[id].enabled = false               // 更新状态
-    │   └─ toast.success('已禁用 {模块名}')           // 通知用户
-    │
-    └─ 启用时：
-        ├─ modules[id].enabled = true                // 更新状态
-        ├─ config.lifecycle?.onEnable?.()            // 生命周期钩子
-        ├─ searchStore.registerItem(...)             // 恢复搜索项
-        ├─ processStore.startByModule(moduleId)      // 启动进程（若 autoStart）
-        └─ toast.success('已启用 {模块名}')            // 通知用户
-```
-
-禁用后的效果：
-- 模块从侧边栏导航中隐藏
-- 模块的搜索项从全局搜索中移除
-- 模块的后台进程被停止
-- 模块的组件缓存被清除，释放内存
-- 如果当前正在查看被禁用的模块，自动切换到第一个可用模块
-
-## 注意事项
-
-1. **模块 ID 必须唯一**：重复注册会被忽略并输出警告
-2. **图标必须映射**：模块配置中的 `icon` 字符串必须在 `icons.ts` 中有对应映射，否则回退到 Settings 图标
-3. **懒加载优先**：使用 `loader` 而非 `component`，避免首屏加载所有模块代码
-4. **避免循环依赖**：模块的 `index.ts` 只导出配置，不导入其他模块的 store
-5. **进程配置的 executable**：通常留空，由模块组件在运行时根据用户设置确定实际路径
-6. **内置模块**：设置 `builtin: true` 的模块不可被用户禁用，开关处于禁用状态
-
-## 跨模块开发经验（代理模块沉淀）
-
-以下要点来自代理模块开发，对后续涉及子进程管理、外部 API 交互、shadcn-vue 组件使用的模块同样适用。
-
-### Tauri 命令与主线程
-
-- **同步命令（`pub fn`）会阻塞主线程**：Tauri 的同步命令在主线程执行，其内部的 `std::thread::sleep`、磁盘 I/O、网络请求会阻塞所有 async 命令的调度。涉及等待/阻塞操作的命令必须声明为 `pub async fn`，并用 `tauri::async_runtime::spawn_blocking(|| { std::thread::sleep(...) }).await` 将阻塞操作放到线程池。
-- **Windows 端口释放有延迟**：`child.kill()` + `child.wait()` 后 TCP 端口不会立即可用，需等待约 800ms 再重新绑定。重启类命令应预留此延迟。
-- **`Mutex` 持锁期间禁止 sleep**：`ProcessManager::check_and_cleanup` 等持锁函数中不要执行长时间 sleep，否则会阻塞所有需要该锁的命令（如状态查询）。应先释放锁再 sleep，或移出临界区。
-- **进程监控线程**：`start_monitoring_thread` 每 3 秒检查一次进程状态，崩溃时自动重启（可配置 `maxRestarts`）。前端通过监听 `process-status-changed` 事件更新 UI。
-
-### 外部 API 交互
-
-- **API 就绪轮询**：子进程 spawn 后 API 不会立即可用（需初始化配置、加载 geo 文件等）。前端应在请求前轮询健康检查接口（如 `/version`），500ms 间隔、10s 超时。
-- **缓存配置避免频繁读盘**：后端 Manager 每次方法调用都从磁盘读 settings 会拖慢批量操作。建议在 Manager 内维护内存缓存，`save_settings` 时同步更新。
-- **并发请求限流**：批量测速等场景不要一次性 `Promise.all` 全部请求，应分批（如每批 20 个），避免压垮子进程。
-
-### shadcn-vue / reka-ui 注意事项
-
-- **Select 禁止空字符串 value**：`<SelectItem value="">` 会触发警告并失效。使用哨兵值（如 `__default__`、`__all__`）替代空字符串，在 `@update:model-value` 回调中转回空值。
-- **Select 双击问题**：reka-ui Select 的 DismissableLayer + closeAutoFocus 会导致连续点击两个 Select 时第一次点击仅关闭上一个、需第二次点击才打开下一个。当前未完美解决，建议同一界面避免放置过多相邻 Select。
-- **Switch 使用 `model-value` / `update:model-value`**：reka-ui v2+ 的 Switch 不再使用 `checked` / `update:checked`。
-- **Sonner toast 不可见**：通常是缺少 `vue-sonner/lib/index.css` 导入，而非 z-index 问题。确保在入口处导入该 CSS。
-- **AlertDialog 替代 confirm()**：原生 `confirm()` 在 Tauri WebView 中样式不一致，使用 shadcn-vue AlertDialog 封装 Promise 化的 `showConfirm()` 函数，支持 destructive 样式。
-
-### 数据一致性与自愈
-
-- **配置文件与磁盘 reconcile**：settings.json 中的列表（如订阅 profiles）可能与磁盘文件不同步（用户手动删除、反序列化失败被 default 覆盖）。每次 `load_settings` 时应扫描磁盘补全缺失条目，并在 `currentProfile` 为 null 时自动指向第一个。
-- **操作顺序防重复**：导入文件后写入 settings 时，若先写文件再 load_settings（含 reconcile 扫盘），reconcile 会扫到新文件添加一次，随后 push 又添加一次。应先 load_settings → 写文件 → push（加去重保护）。
-- **子进程崩溃循环防护**：子进程因依赖文件损坏（如 geo 数据库）崩溃时，`restart_on_crash` 会反复重启。需配置备用下载源（如 jsdelivr 镜像）避免无代理时 GitHub 超时。
-
-### UI 细节
-
-- **瀑布流布局避免卡片等高撑开**：使用 `columns-1 md:columns-2 gap-4 [&>*]:mb-4 [&>*]:break-inside-avoid` 替代 `grid`，让卡片按内容高度自然排列。
-- **模块禁用清理系统状态**：模块 `onDisable` 钩子应清理系统级副作用（如系统代理注册表项），避免模块停用后遗留导致系统异常。
-- **应用退出清理**：在 `lib.rs` 的 `quit_app` 命令和托盘退出事件中都要调用 `cleanup_on_exit` + `stop_all`，确保任何退出路径都清理干净。
-
-## 近期重要变更（影响其他模块开发）
-
-以下是最近几次改动中确立的约定和模式，开发新模块时需遵循。
-
-### 后端：子进程启动必须隐藏控制台窗口
-
-`process_manager.rs` 暴露了公共函数 `setup_creation_flags(cmd: &mut Command)`，Windows 上会设置 `CREATE_NO_WINDOW` 标志。
-
-**所有用 `std::process::Command` 启动外部程序的地方都必须调用它**，否则会弹出黑色控制台窗口（即使程序是后台运行）。包括：
-
-- `ProcessManager::start()` 启动 mihomo 等内核
-- `ProcessManager::check_and_cleanup()` 崩溃重启
-- 任何调用 `mihomo.exe -v` 等查询版本的场景
-
-跨平台：非 Windows 平台该函数为空实现，无需条件编译。
-
-```rust
-use crate::process_manager::setup_creation_flags;
-
-let mut cmd = std::process::Command::new(&path);
-cmd.arg("-v");
-setup_creation_flags(&mut cmd);  // 必须调用
-cmd.stdout(Stdio::piped()).stderr(Stdio::null()).stdin(Stdio::null());
-```
-
-### 后端：长时间 wait() 不要阻塞主线程
-
-`ProcessManager::stop()` 中 `child.kill()` 是快速的，但 `child.wait()` 可能阻塞几十到几百毫秒。**wait() 已移到后台线程**：
-
-```rust
-thread::spawn(move || {
-    let _ = entry.child.wait();
-});
-```
-
-新模块若有类似的"终止外部进程"逻辑，也应遵循此模式，避免 Tauri 命令阻塞导致前端卡顿。
-
-### 后端：内核/二进制下载用流式 + 事件推送
-
-`mihomo_manager/` 目录（`kernel.rs`）的 `install_kernel` 确立了"下载二进制资源"的标准模式，未来若有其他模块需要下载外部内核时应复用：
-
-- **流式下载**：`reqwest::Response::bytes_stream()` + `futures_util::StreamExt`，避免大文件一次性读入内存
-- **进度事件**：通过 `app.emit("xxx-install-progress", progress)` 推送，事件载荷结构参考 `InstallProgress`
-- **事件节流**：仅在百分比变化 ≥1% 时 emit，避免事件轰炸
-- **zip 解压**：用 `zip` crate（纯 Rust），不要用 PowerShell `Expand-Archive`（有执行策略问题）
-- **文件名匹配**：解压后用 `find_exe_in_dir` 查找 `.exe`（zip 内文件名可能含版本号，不是固定名字），找到后重命名为标准名
-
-### 后端：GitHub API rate limit 规避
-
-`check_kernel_update` 采用 **API 优先 + 重定向回退** 策略：
-
-1. 先调 `api.github.com/.../releases/latest`（能拿完整资产列表，命名变化时更健壮）
-2. 失败（403 rate limit / 网络错误）时回退到访问 `github.com/.../releases/latest`，从 302 重定向的最终 URL 提取版本号，按稳定命名规则构造下载 URL
-
-**新模块若需要查 GitHub 最新版本，应复用此模式**，不要直接调 API（未认证 60次/小时/IP 极易超限）。
-
-### 后端：资产命名规则适配
-
-mihomo v1.19+ 改了 Windows 资产命名，按 CPU 微架构分级：
-
-- 旧：`mihomo-windows-amd64-vX.X.X.zip`（已废弃）
-- 新：`mihomo-windows-amd64-v3-vX.X.X.zip`（v1/v2/v3 对应 CPU level）
-
-`fetch_latest_via_api` 中的匹配优先级：v3 标准 > v3-go124 > v3-go123 > v3 其他 > v2 > v1 > 旧命名。若未来其他内核也有类似分级，参考此优先级策略。
-
-### 前端：Transition 内的 v-if/v-else 必须加 key
-
-**这是 dev 模式的坑**。`<Transition mode="out-in">` 内的 `v-if`/`v-else` 分支如果缺 `:key`，Vue 3.5.x dev 模式下会触发 `__vnode` 写入竞态，导致：
-
-- 控制台报错 `Cannot set properties of null (setting '__vnode')`
-- vnode 树损坏，所有事件派发失效（按钮点击没反应）
-- **build 模式不报错**（生产构建剥除了 `__vnode` instrumentation），容易漏掉
-
-**约定**：`<Transition>` 内所有分支（v-if/v-else-if/v-else）都必须加 `:key`，即使是原生 div 也要加。
-
-```vue
-<Transition name="fade" mode="out-in">
-  <ComponentA v-if="cond" key="a" />
-  <div v-else key="empty">占位</div>
-</Transition>
-```
-
-`ModuleContainer.vue` 和 `ProxyModule.vue` 的 Progress 区块已修复，新模块开发时注意。
-
-### 前端：模块内 Tabs 顶部固定模式
-
-模块根容器用 `h-full overflow-hidden flex flex-col`，Tabs 用 `flex-1 min-h-0 flex flex-col`，TabsList 加 `shrink-0`，TabsContent 加 `flex-1 min-h-0 overflow-y-auto`：
-
-```vue
-<div class="h-full p-6 overflow-hidden flex flex-col">
-  <Tabs v-model="tab" class="flex-1 min-h-0 flex flex-col">
-    <TabsList class="shrink-0">...</TabsList>
-    <TabsContent value="x" class="flex-1 min-h-0 overflow-y-auto">...</TabsContent>
-  </Tabs>
-</div>
-```
-
-这样 TabsList 固定在顶部，只有 TabsContent 滚动。`min-h-0` 是 flex 子元素 overflow 生效的关键，不能省。
-
-### 前端：Tauri 事件监听需在 store 中管理生命周期
-
-`proxyStore.ts` 的 `installKernel` 确立了模式：
-
-- 监听在方法调用时注册，`finally` 块中取消
-- 用模块级变量保存 `UnlistenFn`，避免重复注册
-- 错误事件由后端保证 emit（前端不重复弹 toast，统一由 watch 处理）
-
-```typescript
-let progressUnlisten: UnlistenFn | null = null
-const installKernel = async () => {
-  if (!progressUnlisten) {
-    progressUnlisten = await listen<Progress>('xxx-progress', (e) => {
-      progress.value = e.payload
-    })
-  }
-  try {
-    await invoke('xxx_command')
-  } finally {
-    if (progressUnlisten) {
-      progressUnlisten()
-      progressUnlisten = null
-    }
-  }
-}
-```
-
-### 前端：窗口隐藏前 blur 焦点
-
-TitleBar 的关闭按钮实际是 `hide()` 到托盘。webview 快速隐藏时浏览器 `mouseleave` 可能不触发，导致从托盘恢复后按钮仍显示 hover 高亮。
-
-**修复**：`hide()` 前调用 `document.activeElement.blur()`，并监听 `onFocusChanged` 在窗口重新获得焦点时再 blur 一次。新模块若有类似的"隐藏窗口"操作（如全局快捷键隐藏），同样需要 blur。
-
-### 前端：浮动标签切换器（TabsList 滚动遮挡时在 TitleBar 显示）
-
-模块详情页内容滚动时，顶部 `TabsList` 会被 `TitleBar` 遮挡，导致用户必须滚回顶部才能切换 Tab。已抽取通用 composable `src/lib/use-module-tabs.ts` 自动处理。
-
-**接入方式**（任何使用 Tabs 的模块都可用，代理/下载器模块已接入）：
-
-```ts
-// 模块 <script setup> 顶部
-import { useModuleTabs } from '@/lib/use-module-tabs'
-
-const activeTab = ref('overview')
-const tabsListRef = useModuleTabs(activeTab, [
-  { value: 'overview', label: '概览' },
-  { value: 'settings', label: '设置' }
-])
-```
-
-```vue
-<!-- 模板中给 TabsList 包一层带 ref 的 div -->
-<Tabs v-model="activeTab">
-  <div ref="tabsListRef">
-    <TabsList>...</TabsList>
-  </div>
-  <TabsContent .../>
-</Tabs>
-```
-
-**工作原理**：
-- composable 内部在 `onMounted` 时注册标签到 `moduleTabsStore`，`onUnmounted` 时注销
-- 用 `IntersectionObserver`（`rootMargin: '-44px 0px 0px 0px'` 裁剪 TitleBar 高度）监听 TabsList 可见性
-- 滚动遮挡时 `TitleBar` 中"Thing"标题右侧自动显示浮动切换按钮（带淡入+左滑动画）
-- 双向 watch 同步本地 `activeTab` 与 store，用户点击 TitleBar 浮动按钮也能切换模块内 Tab
-
-**约束**：TitleBar 高度固定 40px（h-10），composable 已用 44px 裁剪（含 4px 缓冲）；store 是单例，一个模块同一时间只能注册一组标签。
-
-### 前端：内核路径用 %APPDATA% 简化显示
-
-内核路径较长（如 `C:\Users\xxx\AppData\Roaming\thing.lfeng.me\proxy\cores\mihomo.exe`），展示时用 `%APPDATA%` 替换前缀，并提供复制完整路径 / 在文件夹中显示两个按钮。代理和下载器模块的内核管理区块已采用此模式。
-
-```ts
-import { appDataDir } from '@tauri-apps/api/path'
-
-const appDataPath = ref('')
-onMounted(async () => {
-  try { appDataPath.value = await appDataDir() } catch {}
-})
-
-const pathDisplay = computed(() => {
-  const p = store.kernel?.path
-  if (!p) return ''
-  if (appDataPath.value && p.toLowerCase().startsWith(appDataPath.value.toLowerCase())) {
-    return '%APPDATA%' + p.slice(appDataPath.value.length)
-  }
-  return p
-})
-```
-
-`<title>` 放完整路径，显示文本用 `pathDisplay`，复制时复制完整路径。
-
-### 前端：任务历史持久化（下载器模块模式）
-
-下载引擎在进程内运行，状态通过 `engine_state.json` 持久化到磁盘。前端 store 的做法：
-
-- `onMounted` 时调用 `store.init()`，一次性加载 status/settings/extensionInfo/tasks
-- 通过 Tauri 事件 `download-progress`、`download-complete`、`download-added` 实时更新任务状态
-- 引擎在 `Storage::new` 时自动创建数据目录，`save` 时兜底重建父目录，避免路径不存在错误
-
-此模式适用于任何"引擎在进程内运行、状态需持久化"的场景。
-
-### 前端：轻量设置 Dialog（替代独立 Tab）
-
-模块设置项较多时，传统做法是单独开一个"设置"Tab。但任务页工具栏需要快速调整少量核心设置（如下载目录、并发数），切到设置 Tab 再切回来体验割裂。
-
-**模式**：在任务工具栏放一个"下载设置"按钮，点击弹出 Dialog，包含核心设置项（与设置页共用 `store.settings`），保存时调用 `handleSaveSettings`（引擎立即应用新配置，无需重启）并自动关闭弹窗。完整设置仍保留在"设置"Tab。
-
-适用场景：需要在任务页快速调整的少量高频设置；若设置项不多，可完全用 Dialog 替代设置 Tab。
-
-### 后端：opener 插件 scope 限制与绕过
-
-`tauri-plugin-opener` 的 `opener:allow-open-path` 权限默认 **无 scope**，IPC `open_path` 命令会拒绝任何路径并报错 `Not allowed to open path`。
-
-**解决方案**：在 Rust 端写一个自定义命令，用 `OpenerExt::opener().open_path()` 直接调用（绕过 IPC scope 检查）：
-
-```rust
-use tauri_plugin_opener::OpenerExt;
-
-#[tauri::command]
-pub fn my_open_dir(app: AppHandle, path: String) -> Result<(), String> {
-    let p = std::path::Path::new(&path);
-    if !p.exists() {
-        return Err(format!("路径不存在: {}", path));
-    }
-    app.opener().open_path(path, None::<&str>).map_err(|e| e.to_string())
-}
-```
-
-在 `lib.rs` 的 `invoke_handler` 中注册，前端通过 `invoke('my_open_dir', { path })` 调用。下载器模块的"打开下载目录"已采用此方案。
-
-### 前端：剩余时间（ETA）可读化
-
-下载卡片直接显示 `(total-completed)/speed` 会得到 `17.217666215634114 B` 这种难懂的字节数。应格式化为时间：
-
-```ts
-const formatEta = (seconds: number): string => {
-  if (!isFinite(seconds) || seconds <= 0) return ''
-  if (seconds < 60) return `剩余 ${Math.ceil(seconds)} 秒`
-  if (seconds < 3600) {
-    const m = Math.floor(seconds / 60)
-    const s = Math.ceil(seconds % 60)
-    return `剩余 ${m} 分 ${s} 秒`
-  }
-  const h = Math.floor(seconds / 3600)
-  const m = Math.ceil((seconds % 3600) / 60)
-  return `剩余 ${h} 小时 ${m} 分`
-}
-```
-
-`getEta(task) = (totalLength - completedLength) / downloadSpeed`，speed≤0 时返回 0（不显示）。
-
-### 前端：状态统计用 Badge 替代纯文本
-
-下载任务工具栏的速度/活跃/等待/已完成数量，以及代理概览页的内核状态/版本，从纯文本改为 `Badge variant="secondary"` 或带颜色的 `Badge`（绿色已安装/红色未安装），视觉更醒目。新模块的状态展示建议统一用 Badge。
-
-### 后端：应用退出清理（单一出口）
-
-退出清理已收敛到 `lib.rs` 的 `RunEvent::ExitRequested` 分支（P0-1/V7）：`quit_app` 命令与托盘退出项都只触发 `app.exit(0)`，清理逻辑（`cleanup_on_exit` + `stop_all`）只在该分支执行一次。新增管理子进程的模块时，在 `ExitRequested` 分支注册自己的 `cleanup_on_exit` 即可，不要在命令或托盘路径重复清理。

TERMINAL_MODULE_PLAN.md

@@ -0,0 +1,841 @@
+# 终端模块规划（Terminal Module Plan）
+
+> 状态：**P0 骨架已落地；P1 进行中**（Rust 侧：cwd 跟踪 / 状态事件 / GBK 编码 / SFTP 后端已完成并编译通过）
+> 定位：Thing 工具集的第 11 个模块，`id = terminal`，`category = 'tool'`
+> 作者：砚　|　日期：2026-09-17
+> 关联文档：`AI_DEV_GUIDE.md`（模块注册机制 / IPC / 进程管理范式）
+>
+> **实施进度与踩坑记录见文末 §9（P0）与 §10（P1）**（含与本规划不一致之处，以 §9 / §10 为准）
+
+---
+
+## 0. 结论先行
+
+三个关键判断，先摆在这里，后文展开论证：
+
+1. **终端模块不应复用 `ProcessManager`**。它是为「单例常驻守护进程（mihomo）」设计的：一个模块 ID 对应一个进程，崩溃即重启。而终端要的是「N 个会话、每个会话生命周期独立、能挂起能重连、能写 stdin」——语义不同，硬套会把这套抽象撑坏。正确做法是**新建独立的 `TerminalManager`**，与 `ClipboardManager` / `MusicManager` / `TranslateManager` 平级，`manage()` 进 Tauri State。
+
+2. **会话进程必须跑在 Rust 侧，不能是前端 shell**。这是 Windows 上的硬约束，且与已有基建同构：`ProcessManager`、`download_engine` 都在 Rust 侧管进程。理由有三——(a) WebView2 无 PTY 访问；(b) 前端持有的子进程会在页面重载时变孤儿；(c) 多标签、后台保活、断线重连都需要一个独立于 UI 生命周期的宿主。
+
+3. **SSH 走「自研客户端 + 真实 PTY」，而不是「拼接 ssh.exe + ConPTY」**。后者实现快但天花板低：无法做 SFTP 复用连接、无法读主机密钥指纹、无法做跳板机链、无法统一错误模型、`ssh.exe` 的输出会与 ConPTY 的 ANSI 处理打架。代价是 Ruffles/ssh2 的移植与 ConPTY 绑定要自己写，收益是整个能力面没有上限。
+
+**总工作量估算**：P0 骨架（本地 Shell + 多会话 + 密钥管理）约 8~12 个工作日；P1（SSH/SFTP 完整能力）约 15~20 个工作日；P2（高级能力）按需。**建议按 P0 先行落地可用版本，再迭代。**
+
+> **收官状态（2026-09-18）**：P0–P2 全部落地（ZMODEM 经评估放弃，见实施记录），
+> 并完成一轮全链路审查（修复键盘输入失效、切标签丢缓冲、连接期关闭竞态等 7 项）。
+> 单测 91/91、`cargo check` 与 `vue-tsc` 零错误。实施记录见 §9-11（精编版）。
+
+---
+
+## 1. 需求解构
+
+用户提出的四条主干，拆成可执行的规格：
+
+| 用户原话 | 解构为 | 落点 |
+|---|---|---|
+| 「主要是 ssh」 | SSH2 客户端、主机密钥校验、认证（密钥/密码/Agent/键盘交互/2FA）、跳板机、端口转发、连接复用 | §4.2 / §5.1 |
+| 「多会话」 | 多标签 + 分屏、会话持久化（切页不断连）、状态栏、会话恢复、会话模板 | §4.3 |
+| 「密钥管理」 | SSH 密钥生成/导入/列举、passphrase 托管、known_hosts 管理、ssh-agent 集成、私钥不进明文 | §4.4 |
+| 「文件快捷管理」 | SFTP 双栏文件管理器、拖拽上传下载、跟随终端 cwd、内联 `rz/sz`、文件编辑器 | §4.5 |
+| 「方便的快捷键」 | 终端键盘映射（复制粘贴/搜索/新建标签/分屏/跳转）、可配置、与全局面板联动 | §4.6 |
+| （我补充） | **本地 Shell**（PowerShell/cmd/WSL/Git-Bash）、**命令补全与历史**、**命令片段库**、**AI 命令助手**、**日志与审计**、**快速面板联动** | §4.1 / §4.7 / §4.8 |
+
+---
+
+## 2. 现状勘察（论证依据）
+
+以下为 2026-09-17 从仓库实际读取的结果，作为设计约束的来源。
+
+### 2.1 已具备的基建
+
+| 能力 | 现有实现 | 终端模块可复用的部分 |
+|---|---|---|
+| 模块注册 | `src/modules/registry.ts` + `src/modules/index.ts` 静态导入 | 直接沿用，新增一行导入 + 图标映射 |
+| 类型绑定 | `tauri-specta` 自动生成 `src/lib/bindings.ts`，debug 构建时导出 | **必须复用**，终端命令量较大，手写 `invoke` 类型不可接受 |
+| 凭据存储 | `src-tauri/src/secrets.rs`：`keyring` + Windows 凭据管理器（DPAPI），服务名固定 `"Thing"` | **直接复用**，见 §4.4 |
+| 全局快捷键 | `src-tauri/src/shortcut.rs`：原子化注册 + 应用内冲突检测 + 占用表 | **直接复用**，见 §4.6 |
+| 托盘 | `src-tauri/src/tray_menu.rs` | 可挂「新建会话」入口（P2） |
+| 日志 | `src-tauri/src/logger.rs`（`log_info` / `log_warn` / `log_error`） | 继承统一日志，日志页可过滤 |
+| 窗口常量 | `src-tauri/src/constants.rs`（`windows` / `events`） | 需新增窗口与事件常量 |
+| 弹窗范式 | `translate-popup` 的 NOACTIVATE 预创建窗口 + `capabilities/translate-popup.json` | 终端「快速会话/命令补全」浮层可参照 |
+
+### 2.2 关键缺口（需要新增依赖）
+
+| 缺口 | 现状 | 方案 |
+|---|---|---|
+| ConPTY 绑定 | 无。`windows-sys` 未开启 `Win32_System_Console` | 开启该 feature；或引入 `portable-pty`（见 §3.1 取舍） |
+| SSH 客户端 | 无 | 引入 `russh`（纯 Rust）或 `ssh2`（libssh2 绑定） |
+| SFTP | 无 | 随 SSH 库一并引入 |
+| 终端渲染 | 无。`node_modules` 中**不存在** `@xterm/*` | 引入 `@xterm/xterm` + `@xterm/addon-fit` + `@xterm/addon-webgl` + `@xterm/addon-search` + `@xterm/addon-web-links` |
+| 前端代码编辑器 | 无 | 按需引入 `codemirror` 或复用纯 `<textarea>`（见 §4.5） |
+| 密码短语输入 | 无安全输入通道 | 用 Tauri 原生窗口 + 一次性输入，不经 IPC 明文回传 |
+
+> **注意**：仓库 `Cargo.toml` 存在**编码损坏**（多处注释已是乱码，如第 64、70、120、121、127 行）。新增依赖时建议顺带修复该文件编码，否则后续 diff 会持续污染。这是一个独立的清理项，不阻塞终端模块。
+
+---
+
+## 3. 技术选型
+
+### 3.1 终端进程层：ConPTY
+
+Windows 10 1809+ 提供 **ConPTY**（`CreatePseudoConsole`），是 Windows Terminal 的底层机制。三条路径：
+
+| 方案 | 优势 | 代价 | 判断 |
+|---|---|---|---|
+| `portable-pty`（wezterm 提取库） | 跨平台、API 干净、久经考验 | 引入一个非 Tauri 生态的大依赖；其 Windows 后端同样走 ConPTY，出问题时要下钻 | 可接受 |
+| **直接绑 `windows-sys` 的 ConPTY** | 零额外依赖、完全可控、与项目已有 `windows-sys` 姿态一致 | 需自行处理 pseudo console handle 生命周期、read/write 线程、resize 时序 | **推荐** |
+| `conpty` 窄封装 crate | 上手快 | 维护活跃度不确定 | 备选 |
+
+**推荐直接绑定 `windows-sys`**，理由：项目已有大量原生 Win32 调用（`win32_util.rs`、`screenshot/wgc_capture.rs`、`translate/capture/uia_capture.rs`），团队对该路径熟悉；且 ConPTY 的坑（下述）无论如何都要踩，多一层封装只增加定位难度。
+
+ConPTY 的三个已知陷阱，必须在设计阶段规避：
+
+1. **`ClosePseudoConsole` 会阻塞**，直到所有引用该 PTY 的句柄关闭。必须在独立线程调用，且先取消挂起的 `ReadFile`。
+2. **`ResizePseudoConsole` 有竞态**：进程刚创建、还没开始读 stdout 时 resize 可能被吞掉。需要在首帧输出后再应用队列中的尺寸。
+3. **进程退出不等于 PTY 关闭**：要等 `ReadFile` 返回 0 或 `ERROR_BROKEN_PIPE`，才算真正结束，否则会漏掉尾部输出。
+
+### 3.2 SSH 层：`russh` vs `ssh2`
+
+| 维度 | `russh`（纯 Rust，基于 `thrussh`） | `ssh2`（libssh2 绑定） |
+|---|---|---|
+| 构建 | 纯 Rust，无 C 依赖，交叉编译友好 | 需 libssh2；Windows 下常走 vendored 编译 |
+| async | 原生 async，与现有 `tokio` 运行时契合 | 同步阻塞，需 `spawn_blocking` 包装 |
+| 算法覆盖 | 新算法跟进快（如 `chacha20-poly1305`、`sntrup761x25519`） | 受 libssh2 版本限制 |
+| 稳定性 | API 演进较快，偶有破坏性变更 | 老牌稳定，几乎不再变化 |
+| 与 `tokio` 集成 | 直接 | 需额外线程池，与 `ProcessManager` 的线程模型并存会增加心智负担 |
+
+**推荐 `russh`**。决定性理由是 **async 契合度**：Cargo.toml 已启用 `tokio` 的 `rt-multi-thread` / `sync` / `net` / `fs`，而终端会话本质是「一个长连接 + 多个并发数据流（shell channel、SFTP channel、port forward）」，用 async 表达最自然；`ssh2` 的同步模型会迫使每个会话占一个 OS 线程，多会话场景下线程数线性增长。
+
+若 `russh` 在实际接入中出现阻塞性问题，回落方案是 `ssh2` + `spawn_blocking`，本规划的结构（`SessionHandle` 抽象）可容纳这次替换。
+
+### 3.3 前端渲染：xterm.js
+
+`@xterm/xterm` 是事实标准（VS Code 终端同源）。必须装的插件：
+
+| 包 | 用途 |
+|---|---|
+| `@xterm/xterm` | 核心 VT 解析与渲染 |
+| `@xterm/addon-fit` | 容器尺寸 → 行列数，配合 ConPTY resize |
+| `@xterm/addon-webgl` | GPU 渲染，大量输出时的性能关键（无它时大 `tail` 会卡） |
+| `@xterm/addon-search` | 终端内搜索 |
+| `@xterm/addon-web-links` | 链接可点击 |
+| `@xterm/addon-unicode11` | 宽字符 / emoji 正确宽度（中文场景重要） |
+| `@xterm/addon-serialize`（P1） | 会话快照序列化，用于恢复 |
+
+### 3.4 数据流架构
+
+```
+┌──────────────────────── WebView (Vue 3) ────────────────────────┐
+│  TerminalModule.vue                                             │
+│   ├── SessionSidebar.vue      会话/标签/分组                     │
+│   ├── TerminalTabs.vue        多标签 + 分屏容器                  │
+│   │    └── TerminalPane.vue   xterm 实例（每个会话一个）          │
+│   ├── SftpPanel.vue           文件管理器（P1）                   │
+│   ├── KeyManagerPanel.vue     密钥管理                           │
+│   └── SnippetsPanel.vue       命令片段库                         │
+│  stores/terminal.ts          Pinia：会话元数据 / 布局 / 设置      │
+└───────────────┬─────────────────────────────────────────────────┘
+                │  invoke（命令，请求-响应）
+                │  listen（事件，流式输出）
+┌───────────────▼──────────────── Rust ───────────────────────────┐
+│  TerminalManager  (Tauri State, manage())                       │
+│   ├── sessions: DashMap<SessionId, Arc<Mutex<Session>>>         │
+│   ├── local: ConPtyBackend       本地 Shell 后端                 │
+│   ├── remote: SshBackend         SSH 后端（russh）               │
+│   │    ├── shell channel   → 终端 I/O                           │
+│   │    ├── sftp subsystem  → 文件管理                            │
+│   │    └── port forward    → 隧道（P2）                          │
+│   └── known_hosts: HostKeyStore  主机密钥校验                    │
+│  secrets.rs             ← 复用：passphrase / 密码 / 代理凭据      │
+│  shortcut.rs            ← 复用：全局快捷键                       │
+└─────────────────────────────────────────────────────────────────┘
+```
+
+**关键设计**：`Session` 是一层 trait 抽象，`ConPtyBackend` 与 `SshBackend` 都实现它（`write` / `resize` / `kill` / `subscribe_output`）。这样上层命令层（`terminal_write`、`terminal_resize`）无需区分本地与远程，多会话管理逻辑只需写一遍。
+
+---
+
+## 4. 功能规格
+
+### 4.1 本地 Shell（P0）
+
+- **Shell 探测**：启动时枚举可用 Shell，按顺序探测——
+  - PowerShell 7+（`pwsh.exe`，优先）
+  - Windows PowerShell（`powershell.exe`）
+  - cmd（`cmd.exe`）
+  - Git Bash（`bash.exe`，从 `git --exec-path` 反推）
+  - WSL 发行版（`wsl.exe -l -q` 枚举）
+- **Shell 配置**：每个 Shell 可配可执行路径、启动参数、工作目录、环境变量覆盖、启动时执行命令（如 `cd /d/project && claude`）。
+- **默认工作目录**：记住上次 cwd；新建会话时可选「跟随当前项目目录」。
+- **注意 cwd 同步**：ConPTY 拿不到子进程的真实 cwd（`GetCurrentDirectory` 只反映父进程）。需要**注入 shell hook**（PowerShell 用 `$PROMPT` 包装输出 OSC 7；bash 用 `PS1` 输出 OSC 7）来跟踪 `cwd`。这是 SFTP「跟随终端目录」的前提，P0 就要做进去。
+
+### 4.2 SSH 连接（P0 骨架 / P1 完整）
+
+**连接管理**
+- 主机条目 CRUD：别名、host、port、user、认证方式、私钥、跳板机、分组、备注、标签色。
+- **从 `~/.ssh/config` 导入**（P0 就做——用户已有配置不该被要求重录）。
+- 连接超时、keep-alive 间隔、重试次数可配。
+- 连接状态机：`idle → connecting → auth → established → degraded → closed`，每态可观测。
+
+**认证方式**（P0 覆盖前两项，P1 补齐）
+1. **公钥认证**（P0）：支持 RSA / ECDSA / Ed25519，私钥来自文件或导入的存储。
+2. **密码认证**（P0）：密码存 `secrets.rs`，键名 `terminal-ssh-password-{hostId}`。
+3. **ssh-agent 集成**（P1）：Windows OpenSSH Agent 命名管道 `\\.\pipe\openssh-ssh-agent`。
+4. **键盘交互 / 2FA**（P1）：需要前端弹窗接收一次性输入，走「弹窗 → 回传 → 继续握手」的异步流程，不能阻塞握手线程。
+5. **证书认证**（P2）。
+
+**主机密钥校验（安全基线，P0 必须做）**
+- 首次连接展示指纹，要求用户显式确认（**不允许 TOFU 静默接受**）。
+- 维护 `known_hosts`（放在 `{app_data_dir}/terminal/known_hosts.json`），格式与 OpenSSH 兼容以便导出。
+- 指纹变更时**红色告警 + 阻断连接**，要求用户明确选择「接受新指纹」或「中止」。这是防 MITM 的核心开关，不能省。
+- 支持 SHA256 / MD5 双格式展示（SHA256 为主，MD5 兼容老文档）。
+
+**高级能力（P2）**
+- 跳板机链（ProxyJump，多级）。
+- 端口转发：本地转发 `-L`、远程转发 `-R`、动态转发 `-D`（SOCKS5）。
+- 连接复用（ControlMaster 式）：同主机多会话共享 TCP 连接，第二次开标签秒开。
+
+### 4.3 多会话（P0）
+
+**组织形态**
+- **左侧会话侧栏**：树形结构，支持「收藏 / 按主机分组 / 按项目分组」，支持拖拽排序（复用 `vue-draggable-plus`）。
+- **标签页**：会话标签可关闭、可拖动重排、可重命名、可固定（pin）。
+- **分屏**：水平/垂直切分，最多 2×2（4 格）。**每个格子是独立会话**，而非同一会话的两视图（后者需要 SSH 多 channel，复杂度高收益低）。
+- **会话持久化**：切换到别的模块时**会话不断开**（进程在 Rust 侧活着），回来时重新 attach，用 `@xterm/addon-serialize` 恢复可视区快照。
+
+**会话状态可视化**
+- 侧栏与标签上显示状态点：绿=已连接、黄=连接中、灰=已断开、红=异常。
+- 状态栏展示：会话类型（Local/SSH）、用户@主机、cwd、编码、终端尺寸、连接延迟。
+
+**会话恢复（P2）**
+- 应用重启后，提供「恢复上次会话」——本地会话重建 shell 并 `cd` 到原目录；SSH 会话重连（**不恢复进程态**，这点要在 UI 上说明，避免误解）。
+- 会话模板：把「一组会话 + 布局」存为模板（如「后端开发环境」= 3 个 SSH 会话横向分屏），一键拉起。
+
+### 4.4 密钥管理（P0）
+
+**密钥生命周期**
+- **生成**：Ed25519（推荐默认）/ RSA（2048/3072/4096）/ ECDSA（P-256/P-384/P-521）。可设注释、可设 passphrase。
+- **导入**：支持 OpenSSH 格式、PEM、PKCS#8；支持带 passphrase 的私钥；**支持 PuTTY `.ppk`**（Windows 用户存量多，P1）。
+- **导出**：导出公钥到剪贴板（一键复制 `ssh-ed25519 AAAA... comment`，配合用户自己贴到服务器）。
+- **删除**：二次确认 + 提示「该密钥还关联 N 个主机」。
+
+**存储策略（安全姿态必须与本项目既有约定对齐）**
+
+参照 `secrets.rs` 头部注释里明确批判过的历史问题——「同样是可冒充身份的凭据，不该区别对待」。据此定：
+
+| 数据 | 存放位置 | 理由 |
+|---|---|---|
+| 私钥**文件本身** | `{app_data_dir}/terminal/keys/` 目录，文件权限收紧 | 私钥可能几 KB，塞进凭据管理器（单条上限约 2.5KB）不可靠；且用户需要用其他工具引用该路径 |
+| 私钥 **passphrase** | `secrets.rs` → 系统凭据管理器 | 是「可冒充身份的凭据」，必须 DPAPI 保护，键名 `terminal-key-passphrase-{keyId}` |
+| SSH 密码 | `secrets.rs` | 同上，键名 `terminal-ssh-password-{hostId}` |
+| 代理密码（P2） | `secrets.rs` | 同上 |
+| 主机密钥指纹 / known_hosts | JSON 文件 | 非机密，需要人可读、可导出 |
+| 主机配置 / 会话元数据 / 设置 | `{app_data_dir}/terminal/settings.json` | 非机密；`#[serde(default)]` 容器级默认，保证向后兼容 |
+
+**明文禁令**（写入代码注释与评审清单）：
+- 私钥明文**只允许**存在于内存与 `keys/` 目录，禁止回写 `settings.json`。
+- 私钥 passphrase / SSH 密码禁止进入 localStorage、禁止进入任何日志行。
+- 前端**不存在读取凭据明文的命令**——参照 `translate` 模块的姿态：列表接口只回传 `hasPassphrase: bool` + 掩码串。
+
+**ssh-agent 集成（P1）**
+- 检测 Windows OpenSSH Agent 服务是否运行。
+- 「添加到 agent」/「从 agent 移除」操作。
+- 指明哪些密钥由 agent 托管（UI 上区分展示）。
+
+**known_hosts 管理（P1）**
+- 列表查看所有已知主机，支持搜索、删除单条、批量导入导出。
+- 变更告警历史留档。
+
+### 4.5 文件快捷管理（P1）
+
+**SFTP 双栏文件管理器**
+- 左侧本地、右侧远程（或双远程，支持拖拽跨栏传输）。
+- 列视图：名称 / 大小 / 类型 / 权限 / 修改时间 / 所有者。支持排序、多选、框选。
+- 路径面包屑 + 可直接编辑路径 + 前进后退历史。
+- 权限可视化与编辑（`rwxr-xr-x` ↔ `755` 双向互转）。
+
+**文件操作**
+- 新建目录 / 新建文件 / 重命名 / 删除（二次确认）/ 复制 / 移动。
+- 上传 / 下载：目录递归、进度显示、**并发分片**（多小文件并行，大文件单流）、断点续传、失败重试、队列管理。
+- 拖拽：从 Windows 资源管理器拖入上传；从远程栏拖出到本地栏下载。
+- 编辑远程文件：双击打开内置编辑器，保存时上传（P1 用 `<textarea>`，P2 换 CodeMirror 带语法高亮）。
+
+**与终端的联动（这是本模块区别于普通 SFTP 客户端的核心）**
+- **跟随 cwd**：终端里 `cd` 后，SFTP 面板自动跟随（依赖 §4.1 的 OSC 7 hook）。
+- **`rz` / `sz` 内联传输**：拦截终端里的 `sz <file>`，自动弹出「保存到本地」对话框；拦截 `rz`，弹出「选择本地文件上传」。需要实现 ZMODEM 协议或调用 `lrzsz`（P2，但价值高）。
+- **选中即操作**：终端里双击路径（如 `/var/log/nginx/error.log`）→ 右键菜单「用 SFTP 打开所在目录」。
+
+**本地文件管理（附带）**
+- 「本地 Shell」会话同样挂载文件面板，可当轻量双栏文件管理器用（与快速面板的文件能力形成互补，不重复：快速面板面向「搜索定位」，这里面向「浏览操作」）。
+
+### 4.6 快捷键体系（P0）
+
+分三层，边界清晰：
+
+**第一层：全局快捷键**（走 `shortcut.rs`，与系统级冲突检测）
+
+| 功能 | 默认值 | 说明 |
+|---|---|---|
+| 唤起快速会话菜单 | `Ctrl+Alt+T` | 类「新建终端」语义，弹浮层选主机/Shell |
+| 打开终端模块 | 无（不抢占） | 建议不设，避免与用户既有习惯冲突 |
+
+> 注意：`shortcut.rs` 的应用内冲突检测会拒绝「已被其他模块占用」的组合。截图默认 `Ctrl+Alt+A`、翻译面板默认 `Ctrl+2`。终端默认值需与此避让。
+
+**第二层：终端内快捷键**（xterm `attachCustomKeyEventHandler` 拦截，仅在终端聚焦时生效）
+
+| 功能 | Windows 键位 | 说明 |
+|---|---|---|
+| 复制 | `Ctrl+Shift+C` | Windows Terminal 惯例。**不拦 `Ctrl+C`**（必走 SIGINT） |
+| 粘贴 | `Ctrl+Shift+V` | |
+| 选中即复制 | 可开关 | 习惯问题，默认关 |
+| 新建标签 | `Ctrl+Shift+T` | |
+| 关闭标签 | `Ctrl+Shift+W` | 有活动进程时二次确认 |
+| 下一个/上一个标签 | `Ctrl+Tab` / `Ctrl+Shift+Tab` | |
+| 跳转到第 N 标签 | `Alt+1..9` | |
+| 垂直/水平分屏 | `Ctrl+Shift+D` / `Ctrl+Shift+E` | |
+| 关闭分屏 | `Ctrl+Shift+Q` | |
+| 终端内搜索 | `Ctrl+Shift+F` | 走 `addon-search` |
+| 清屏 | `Ctrl+Shift+K` | 发送 `clear` 或 `cls`（按 shell 判断） |
+| 字体放大/缩小/复位 | `Ctrl+=` / `Ctrl+-` / `Ctrl+0` | |
+| 打开 SFTP 面板 | `Ctrl+Shift+P` | |
+| 命令片段库 | `Ctrl+Shift+S` | |
+| 重命名标签 | `F2` | |
+| 会话切换器（快速跳转） | `Ctrl+Shift+O` | 模糊搜索所有会话 |
+
+**第三层：Shell 内快捷键**（终端原生，不改）
+- `Ctrl+L`、`Ctrl+R`、`Ctrl+A/E/U/K` 等一律透传给 shell，终端不拦截。
+
+**可配置性**
+- 第二层全部可自定义，配置存 `terminal/settings.json`。
+- 冲突检测：同一组合被两个动作占用时高亮提示。
+- 提供「重置为默认」。
+
+### 4.7 命令增强（P1，体现「全能」）
+
+- **命令历史搜索**：跨会话聚合历史（本地 shell 从 PowerShell 历史文件读，SSH 会话抓取输出流），`Ctrl+R` 增强版，模糊搜索 + 频次排序。
+- **命令片段库（Snippets）**：保存常用命令模板，支持 `{{变量}}` 占位符，选择时弹窗填参；支持分类与搜索；支持一键发送到当前会话。
+- **命令补全**（P1）：基于历史 + 片段做行内补全（类似 fish 的灰字建议），在 xterm 上叠加一层浮层实现。
+- **AI 命令助手（P2）**：复用 `translate` 模块已配置的 AI 引擎（`translate/settings.rs` 里的 `TranslateEngineConfig`），把自然语言转成命令。「复用引擎配置而非另配一套」是关键——用户在翻译模块填过的 API Key 不该再填一遍。
+
+### 4.8 与既有模块联动（P1/P2）
+
+| 联动对象 | 联动方式 |
+|---|---|
+| **快速面板** | (a) 快速面板搜索里出现「打开 SSH：prod-web-01」条目；(b) 快速面板输入 `> ssh prod` 直接建会话 |
+| **剪贴板模块** | 终端内复制的内容进入剪贴板历史，可回溯找回；剪贴板历史的「粘贴到目标」支持终端 |
+| **翻译模块** | 终端选中文本 → `Ctrl+Alt+T` 之类触发划词翻译（**注意**：需把终端进程加进 `SelectionSettings.blacklist` 的思考——实际上终端不在黑名单里，因为终端内 `Ctrl+C` 是复制语义由 xterm 处理，不会误触发；但需实测确认） |
+| **代理模块** | SSH 连接可走 mihomo 代理（读 `proxy/settings.json` 的 `mixedPort`，参照 `translate/mod.rs::read_mixed_port` 的写法：**只读文件不依赖 Manager 状态**） |
+| **日志模块** | 连接失败、认证失败、主机密钥变更等关键事件写统一日志 |
+| **下载器** | SFTP 传输是否复用下载器的队列/进度 UI？（**建议不复用**——传输语义与 HTTP 下载差异大，共享 UI 会两边受限） |
+
+### 4.9 其他工程能力（补充项）
+
+- **终端外观**：主题（跟随应用亮/暗 + 内置若干配色）、字体族与字号、行高、光标样式（块/竖线/下划线 + 闪烁）、滚动缓冲区行数（默认 10000）、背景透明度。
+- **编码**：默认 UTF-8；SSH 老服务器可能是 GBK，需支持按会话指定编码（`encoding_rs` crate）。中文环境下这是刚需，不是可选项。
+- **日志与审计（P2）**：可开启「记录会话输入输出到文件」（合规场景），提供脱敏正则。
+- **安全基线**：
+  - 禁止在日志中出现私钥、passphrase、密码。
+  - 会话命令回显中若匹配到疑似密钥（如 `-----BEGIN`），提示用户。
+  - 危险命令（`rm -rf /`、`dd`）不做拦截（越权），但可做**高亮提示**（可选功能）。
+
+---
+
+## 5. 工程实现
+
+### 5.1 Rust 侧目录结构
+
+```
+src-tauri/src/terminal/
+├── mod.rs                  # TerminalManager（Tauri State）+ 设置读写
+├── settings.rs             # 设置数据模型（#[serde(default)] 容器级默认）
+├── commands.rs             # Tauri 命令层（薄：参数整形 / 校验 / 错误归类）
+├── session.rs              # Session trait + SessionRegistry（DashMap）
+├── pty/
+│   ├── mod.rs
+│   └── conpty.rs           # ConPTY 绑定、read/write 线程、resize 时序处理
+├── shell.rs                # 本地 Shell 探测与启动参数组装
+├── ssh/
+│   ├── mod.rs              # SshBackend（实现 Session）
+│   ├── auth.rs             # 认证方式（公钥/密码/agent/键盘交互）
+│   ├── hostkey.rs          # known_hosts 与指纹校验
+│   ├── sftp.rs             # SFTP 客户端与传输队列
+│   ├── forward.rs          # 端口转发（P2）
+│   └── config.rs           # ~/.ssh/config 解析
+├── keys.rs                 # 密钥生成/导入/列举（含 passphrase 走 secrets.rs）
+├── snippets.rs             # 命令片段库
+├── history.rs              # 命令历史（SQLite，参照 translate/history.rs）
+└── encoding.rs             # 编码转换（UTF-8 / GBK 等）
+```
+
+**命令命名**：`terminal_*` 前缀，snake_case。预计 P0 约 30 个、P1 约 45 个命令。
+
+**注册顺序**（严格按此，缺一不可）：
+1. `lib.rs` `mod terminal;` + `use terminal::{...}` 导入命令
+2. `lib.rs` `manage(TerminalManager::new(...))`（`setup.rs` 中构造，与 `TranslateManager` 同法）
+3. `lib.rs` `invoke_handler![...]` 追加命令
+4. `lib.rs` `export_bindings()` 的 `collect_commands![...]` 追加同名命令 —— **漏掉这步前端就没有 `commands.terminalXxx` 类型**
+5. `RunEvent::ExitRequested` 中追加 `terminal.cleanup_on_exit()`（关闭所有会话与 PTY）
+6. `constants.rs` 新增 `windows::TERMINAL_*` 与 `events::TERMINAL_*`
+
+### 5.2 前端目录结构
+
+```
+src/modules/terminal/
+├── index.ts                    # ModuleConfig（含 searchItems / lifecycle / order）
+├── TerminalModule.vue          # 主组件（布局容器）
+├── components/
+│   ├── SessionSidebar.vue      # 会话树（拖拽排序）
+│   ├── TerminalTabs.vue        # 标签 + 分屏管理
+│   ├── TerminalPane.vue        # xterm 实例宿主（单个会话）
+│   ├── TerminalToolbar.vue     # 顶部工具条
+│   ├── TerminalStatusBar.vue   # 底部状态栏
+│   ├── HostEditorDialog.vue    # 主机编辑
+│   ├── KeyManagerPanel.vue     # 密钥管理
+│   ├── SftpPanel.vue           # 文件管理器（P1）
+│   ├── SnippetsPanel.vue       # 命令片段
+│   └── QuickSessionPopup.vue   # 全局快捷键唤起的快速会话浮层
+├── composables/
+│   ├── useXterm.ts             # xterm 实例创建 / 插件装配 / 尺寸同步
+│   ├── useSessionStream.ts     # 事件订阅 → 写入 xterm（含背压处理）
+│   └── useTerminalKeys.ts      # 快捷键拦截与分发
+└── settings/TerminalSettings.vue  # 设置页（挂进 settings 模块）
+```
+
+**store**：`src/stores/terminal.ts` — 会话元数据（不持有 xterm 实例）、布局树、当前激活会话、设置缓存。
+
+**事件常量**（`constants.ts` 对应前端 `src/lib/constants.ts`）：
+
+| 事件名 | 负载 | 触发时机 |
+|---|---|---|
+| `terminal-output` | `{ sessionId, data: Vec<u8>（base64） , seq }` | 会话有输出 |
+| `terminal-exit` | `{ sessionId, code, signal }` | 会话进程/连接结束 |
+| `terminal-state` | `{ sessionId, state }` | 状态机变更 |
+| `terminal-cwd` | `{ sessionId, cwd }` | OSC 7 报告目录变化 |
+| `terminal-sftp-progress` | `{ taskId, transferred, total, speed }` | 传输进度 |
+
+> **背压是重点**：大量输出（如 `cat` 大文件）时，事件频率会压垮 WebView。设计上用**批次聚合**——Rust 侧 8~16ms 窗口聚合一次，前端按 `seq` 校验无丢包；xterm 侧用 `write(data, callback)` 的回调控制写入节奏，配合 `addon-webgl` 提升渲染吞吐。
+
+### 5.3 设置模型（`terminal/settings.json`）
+
+```rust
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]   // 容器级默认：字段增减向后兼容
+pub struct TerminalSettings {
+    pub version: u32,                     // 结构版本，用于迁移判断（参照 translate 的 heal 模式）
+    pub shells: Vec<ShellProfile>,        // 本地 Shell 配置
+    pub hosts: Vec<SshHost>,              // SSH 主机条目
+    pub layout: LayoutSettings,           // 标签/分屏默认行为
+    pub appearance: AppearanceSettings,   // 主题/字体/光标/缓冲区
+    pub shortcuts: Vec<ShortcutBinding>,  // 可自定义快捷键
+    pub selection: SelectionSettings,     // 终端内选中行为（复制/粘贴策略）
+    pub sftp: SftpSettings,               // 传输并发、覆盖策略、时间戳保留
+    pub history: HistorySettings,         // 命令历史开关与条数
+    pub security: SecuritySettings,       // 主机密钥策略、代理开关、编码默认值
+}
+```
+
+**`version` + `heal()` 模式必须沿用**：参照 `translate/settings.rs::heal` ——老配置缺字段取默认值、失效引用自动回落、版本号推进。这是本项目已确立的向后兼容约定。
+
+### 5.4 权限与窗口
+
+- 主窗口已具备 `core:default` 等权限，终端模块**无需新增 capabilities**（全部通过自定义命令走 IPC）。若做独立的快速会话浮层窗口，则需新增 `capabilities/terminal-quick.json`，参照 `translate-popup.json`（NOACTIVATE + 预创建）。
+- 若后续要做「终端独立窗口」（P2），同样需要独立 capability。
+
+### 5.5 依赖清单
+
+**Rust（`Cargo.toml`）** —— 以下为**实施后的实际形态**（本节的规划值已被 §9/§10 修正，以这里为准）
+
+```toml
+# ===== SSH =====
+russh = "0.63"             # 规划写 0.5；实际落地版本 0.63.3（见 §9.2 偏差表）
+russh-sftp = "3.0"         # 【规划遗漏】russh 不含 SFTP，协议在独立 crate 里
+                           # 版本配套：russh-sftp 3.0.0 依赖 `russh ^0.63.2`，与上面同源。
+                           # 这一点是硬约束——SFTP 通道必须从**已认证的同一个
+                           # Session** 上开，跨 patch 版本的类型不互通。
+
+# ===== 编码 =====
+encoding_rs = "0.8"        # GBK/GB18030/Big5/Shift_JIS/EUC-KR/latin1
+                           # 依赖树里已存在（reqwest → encoding_rs 0.8.35），
+                           # 提升为直接依赖**不新增编译单元**
+
+# ===== 已存在可直接用 =====
+# tokio / serde / serde_json / base64 / sha2 / rand / rusqlite / dirs / keyring / dashmap
+
+# ===== 需开启 feature =====
+windows-sys = { version = "0.52", features = ["Win32_System_Console", "Win32_System_Pipes",
+                                              "Win32_System_Threading", "Win32_Foundation", ...] }
+# 注意：InitializeProcThreadAttributeList / UpdateProcThreadAttribute /
+# DeleteProcThreadAttributeList 虽属 Win32_System_Threading，但 0.52 未随 feature 导出，
+# 用 `unsafe extern "system"` 自行声明（见 conpty.rs 尾部），
+# 避免为三个函数开启一个大 feature 而显著拖长编译时间。
+```
+
+**前端（`package.json`）**
+```
+@xterm/xterm
+@xterm/addon-fit
+@xterm/addon-webgl
+@xterm/addon-search
+@xterm/addon-web-links
+@xterm/addon-unicode11
+@xterm/addon-serialize        # P1
+```
+
+### 5.5.1 依赖数量校验（实施后）
+
+`cargo metadata --no-deps` 结果：**50 个直接依赖，0 重复**。重点确认了两件事：
+
+1. `russh` 只有一份（`russh-sftp` 3.0.0 把 `russh` 列为 dev-dependency，不会重复引入）。
+2. `encoding_rs` 不会引入第二个 `iconv` 类 C 依赖——它是纯 Rust 实现。
+
+### 5.6 模块注册
+
+```typescript
+// src/modules/terminal/index.ts
+export const moduleConfig: ModuleConfig = {
+  id: 'terminal',
+  name: '终端',
+  icon: 'terminal',              // 需在 icons.ts 加映射 → lucide 的 SquareTerminal
+  description: 'SSH 与本地 Shell 多会话终端，含密钥管理与文件传输',
+  category: 'tool',
+  defaultEnabled: true,
+  loader: () => import('./TerminalModule.vue'),
+  searchItems,                   // 见下方搜索项设计
+  order: 18                      // 建议：proxy=10 / music=15 / terminal=18 / clipboard=20 / translate=25
+}
+```
+
+`src/modules/icons.ts` 新增：
+```typescript
+import { SquareTerminal } from '@lucide/vue'
+// moduleIconMap 中追加
+terminal: SquareTerminal
+```
+
+**全局搜索项**（`searchItems`）建议覆盖：终端、本地 Shell、SSH 主机（动态）、密钥管理、known_hosts、命令片段、终端设置、外观、编码、快捷键。
+
+---
+
+## 6. 分期路线图
+
+### P0 — 骨架可跑（目标：本地 Shell + SSH 基本连得上 + 密钥管理）
+
+**Rust**
+- [ ] `TerminalManager` 骨架 + `Session` trait + `SessionRegistry`
+- [ ] ConPTY 绑定（含 resize 时序、阻塞关闭、EOF 处理三个坑）
+- [ ] 本地 Shell 探测（PowerShell 7 / Windows PowerShell / cmd / Git Bash / WSL）
+- [ ] 输出读线程 + 事件聚合（8~16ms 批处理）
+- [ ] OSC 7 cwd hook 注入与解析
+- [ ] `secrets.rs` 复用：密码 / passphrase 存取
+- [ ] 密钥生成（Ed25519 / RSA / ECDSA）、导入、列举、删除
+- [ ] SSH 连接（russh）：公钥认证 + 密码认证
+- [ ] 主机密钥校验 + known_hosts 存储 + 指纹变更阻断
+- [ ] 设置模型 + `heal()` 迁移骨架
+- [ ] `lib.rs` 六处注册（含 `collect_commands!`）+ `cleanup_on_exit`
+- [ ] `constants.rs` 窗口/事件常量
+
+**前端**
+- [ ] 模块注册（`index.ts` / `modules/index.ts` / `icons.ts`）
+- [ ] `useXterm.ts`：实例装配（fit + webgl + unicode11 + search + web-links）
+- [ ] `TerminalPane.vue`：I/O 绑定、尺寸同步、焦点管理
+- [ ] `TerminalTabs.vue`：多标签 + 关闭确认
+- [ ] `SessionSidebar.vue`：会话列表 + 状态点
+- [ ] 主机编辑对话框 + 密码短语输入
+- [ ] `KeyManagerPanel.vue`
+- [ ] 三层快捷键（第二层可配置）
+- [ ] 设置页（外观 / Shell / 快捷键）
+- [ ] `stores/terminal.ts`
+
+**P0 验收标准**：能开 3 个本地 PowerShell 标签 + 2 个 SSH 会话（一个公钥、一个密码），秒级切换不卡顿，切到其他模块再回来会话仍在，`Ctrl+Shift+C/V` 可复制粘贴，关闭应用无残留进程。
+
+### P1 — 完整能力
+
+- [ ] SFTP 双栏文件管理器（浏览 / 上传 / 下载 / 目录递归 / 并发分片 / 断点续传）
+- [ ] 分屏（2×2）
+- [ ] ssh-agent 集成
+- [ ] 键盘交互认证 / 2FA
+- [ ] `~/.ssh/config` 导入
+- [ ] 命令历史聚合 + 增强搜索
+- [ ] 命令片段库
+- [ ] 会话侧栏拖拽分组、收藏
+- [ ] 会话快照序列化与恢复
+- [ ] 全局快捷键「快速会话浮层」
+- [ ] 快速面板联动（搜索项 + `> ssh` 语法）
+- [ ] SFTP 跟随 cwd
+- [ ] 编码支持（GBK）
+- [ ] 终端内搜索、链接点击
+
+### P2 — 高级与生态
+
+- [x] 端口转发（`-L` / `-R`）（2026-09-18 第五轮，见 §11.3；`-D` SOCKS5 留作后续）
+- [x] 跳板机链（ProxyJump）（2026-09-18 第四轮，见 §11.2）
+- [x] 连接复用（2026-09-18 第八轮，见 §11.8）
+- [x] AI 命令助手（复用 translate 引擎配置）（2026-09-18 第七轮，见 §11.7）
+- [x] `rz` / `sz` ZMODEM 内联传输 —— **已放弃**（2026-09-18 评审：SFTP 已覆盖主场景，
+     协议成本 600–800 行且无法单测主流程；详见实施记录 §11.9 评估）
+- [x] 会话模板（一键拉起一组会话 + 布局）（2026-09-18 第六轮，见 §11.6）
+- [x] 终端独立窗口（P1 已交付 detach/attach；「拖出标签成窗」手势留后续）
+- [x] 会话日志与审计（2026-09-18 第五轮，见 §11.4）
+- [x] PuTTY `.ppk` 导入（2026-09-18 第四轮，见 §11.1）
+- [x] 主机分组同步（导入导出配置）（2026-09-18 第六轮，见 §11.5）
+
+---
+
+## 7. 风险清单
+
+| # | 风险 | 影响 | 缓解 |
+|---|---|---|---|
+| 1 | ConPTY resize 竞态导致 TUI 程序（vim/htop）花屏 | 中 | 首帧后延迟应用尺寸；监听 `WINDOW_BUFFER_SIZE_EVENT` 校正；实测 vim/top/less |
+| 2 | `ClosePseudoConsole` 阻塞导致退出卡死 | **高** | 独立线程 + 先取消 `ReadFile`；`cleanup_on_exit` 带超时（参照 `MonitorKernel` 的 3s `recv_timeout` 写法） |
+| 3 | 输出洪流压垮 WebView（`cat` 大文件） | **高** | Rust 侧 8~16ms 批次聚合 + `seq` 校验；xterm `write` 回调节流；`addon-webgl` |
+| 4 | `russh` API 破坏性变更 | 中 | 锁定小版本；`Session` trait 隔离，必要时可换 `ssh2` |
+| 5 | 主机密钥校验被用户习惯性点过（TOFU 疲劳） | **高（安全）** | 首次连接突出展示指纹；变更时红色阻断而非黄色提示；提供「仅本次接受」与「永久接受」区分 |
+| 6 | 多会话内存占用（每个 xterm 实例 + 滚动缓冲） | 中 | 默认缓冲 10000 行；会话数量上限提示；非激活标签暂停渲染 |
+| 7 | 中文宽字符对齐错乱 | 中 | 必装 `addon-unicode11`；实测 `ls -l` 中文文件名的列对齐 |
+| 8 | SSH 老服务器 GBK 编码乱码 | 中 | `encoding_rs` 按会话转码；默认 UTF-8 可选 GBK |
+| 9 | 私钥文件被其他进程读取 | 中（安全） | `keys/` 目录权限收紧；passphrase 存凭据管理器；UI 提示用户优先使用带 passphrase 的密钥 |
+| 10 | `Cargo.toml` 编码损坏影响新增依赖的 diff | 低 | 独立清理项，建议在动工前修复 |
+| 11 | 分屏 × 标签 × 会话的组合复杂度爆炸 | 中 | 分屏上限 2×2；布局用树结构表达并单测 |
+| 12 | 全局快捷键与应用内快捷键语义混淆 | 低 | 明确三层边界，UI 上一处分开展示；不做「全局拦截 Ctrl+C」这类危险映射 |
+
+---
+
+## 8. 待确认决策项
+
+动工前需要拍板的四项，我给出倾向但需要用户确认：
+
+1. **SSH 库**：倾向 `russh`（async 契合）。若用户更看重稳定性与既有经验，可改 `ssh2`。
+2. **ConPTY**：倾向直接绑定 `windows-sys`（与项目现有原生态一致）。若更看重开发速度，可用 `portable-pty`。
+3. **P0 范围**：本规划把「SSH + 密钥管理 + 多会话 + 快捷键」全放进 P0，工作量偏大（8~12 天）。若希望更快见到可用版本，可将 SSH 拆到 P0.5，先交付「本地 Shell + 多会话 + 快捷键」。
+4. **是否需要终端独立窗口**：影响窗口与 capability 设计，早定早省事。
+
+---
+
+## 附录 A：与既有模块的范式对照
+
+| 范式 | 既有实现 | 终端模块对应 |
+|---|---|---|
+| 模块 ID / 分类 | `translate`：`category: 'tool'` | 同 |
+| 设置持久化 | `{app_data_dir}/<module>/settings.json` | `{app_data_dir}/terminal/settings.json` |
+| 设置兼容 | 容器级 `#[serde(default)]` + `heal()` + `version` | 完全沿用 |
+| 凭据存储 | `secrets.rs` + 服务名 `"Thing"` | 完全复用，仅新增键名约定 |
+| 命令层姿态 | `translate/commands.rs`「薄」：整形/校验/归类 | 同 |
+| 类型绑定 | `tauri-specta` → `src/lib/bindings.ts` | 必须复用 |
+| 事件命名 | `kebab-case`：`translate-stream-chunk` | `terminal-output` / `terminal-exit` / ... |
+| 快捷键 | `shortcut.rs` 原子注册 + 冲突检测 | 完全复用 |
+| 退出清理 | `RunEvent::ExitRequested` 逐个 `cleanup_on_exit` | 追加 `TerminalManager` |
+| 历史存储 | `translate/history.rs`（SQLite） | `terminal/history.rs` 同法 |
+| 原生浮层窗口 | `translate-popup`（NOACTIVATE 预创建） | 快速会话浮层参照 |
+
+## 附录 B：命名规范落点
+
+| 类型 | 规范 | 示例 |
+|---|---|---|
+| 前端组件 | PascalCase | `TerminalPane.vue` |
+| 前端文件 | kebab-case | `use-session-stream.ts`（composable 目录内用 camelCase 前缀 `use`） |
+| Pinia store | camelCase 文件 | `src/stores/terminal.ts` |
+| Rust 模块 | snake_case | `terminal/pty/conpty.rs` |
+| Tauri 命令 | `terminal_` + snake_case | `terminal_open_session` |
+| Tauri 事件 | kebab-case | `terminal-output` |
+| 凭据键名 | `terminal-<用途>-<id>` | `terminal-key-passphrase-{keyId}` |
+| 设置字段 | camelCase（serde rename_all） | `maxScrollback` |
+
+---
+
+## 9-11. 实施记录（P0–P2 精编）
+
+> 本节为 2026-09-18 全链路审查时按「精简」要求压缩的版本：保留全部**架构决策、
+> 坑记录与语义备忘**，省略逐轮的过程性叙述与重复的验证表。按阶段分节的原始
+> 详版（P0 §9 / P1 §10 / P2 §11，共 8 轮）记录在 git 历史与当日工作日志中。
+
+### 交付总览
+
+| 阶段 | 交付 | 状态 |
+|---|---|---|
+| P0 | 本地 Shell（ConPTY）、SSH 连接、多标签、密钥管理、快捷键骨架 | ✅ |
+| P1 | SFTP 双栏、分屏 2×2、命令片段库、命令历史（OSC 133）、编码切换、Cargo.toml 修复 | ✅ |
+| P2 | `.ppk` 导入、ProxyJump 跳板链、端口转发 -L/-R、会话日志与审计、主机导入导出、会话模板、AI 命令助手、连接复用 | ✅ |
+| P2 | 终端独立窗口 | ✅（P1 交付 detach/attach） |
+| P2 | ZMODEM | ❌ 已放弃（评估见下） |
+| 审查 | 全链路审查：修复 2 个 P0 级前端缺陷 + 1 个后端竞态 + 4 个中低问题 | ✅ |
+
+### 分阶段决策摘要
+
+**P0（骨架）**
+- ConPTY 直接用 `windows-sys`，`CreatePseudoConsole` 三函数自行声明（避免拖入大 feature）。
+- 会话抽象 `Session` trait：本地/SSH 双后端共用命令层；`ProcessManager` 不适用（N 会话 + 双向流 + 退出不重启）。
+- `SessionId` 用短序号（`s1`…），会出现在窗口 label 与日志。
+- 密码/密钥 passphrase 分离存储：密码进系统凭据管理器（按 id 键名），私钥本体落 `keys/` 目录。
+
+**P1（完整能力）**
+- SFTP：russh 不含 SFTP → 引入 `russh-sftp`；通道挂在会话连接上（非独立连接）。
+- 分屏 = 新建会话 + 并排渲染（tmux 语义），上限 4（WebGL 上下文约束）；CSS Grid 布局。
+- 命令片段：占位符 `${name}` 语法只在 Rust 侧实现一份（前端自己写正则必分叉）；两步执行（填入 vs 执行）。
+- 命令历史：OSC 133 + 1337 提取命令边界；本地用 shell hook 上报 cwd；不做 DROP 重建式迁移。
+- 编码切换：解码在前端（用户可切编码重看历史），读写两侧都从会话状态现取。
+
+**P2（高级与生态，共 8 轮）**
+- `.ppk` 导入：`ssh-key` 的 `ppk` feature（russh 不转发 → 自己声明同版本号 `=0.7.0-rc.11`）；PPK 解析后统一转 OpenSSH 落盘。
+- ProxyJump：russh 无内置 → 逐跳手搭（`direct-tcpip` 通道流 + `connect_stream`）；跳板与直连同权校验。
+- 端口转发 -L/-R：`direct-tcpip` + `copy_bidirectional` / `tcpip_forward` + Handler 白名单回调；规则挂会话不持久化。
+- 会话日志：双后端 `flush_output` 单点挂钩；记原始字节含 ANSI；只记输出不记输入（密码安全）。
+- 主机同步：JSON 备份只含配置不含密码/私钥；导入重编 id（凭据键名冲突）+ 重写跳板链 + 三元组去重。
+- 会话模板：捕获当前可见面板集合；拉起 = 逐条开会话 + addPane；只存 target 引用。
+- AI 助手：复用翻译模块引擎配置（`chat_once` 通用补全出口）；三层解析防御；默认填入不执行。
+- 连接复用：连接池按「用户名|host:port|auth|材料指纹」共享 SSH 连接；引用计数归零才断开。
+
+### 关键架构语义备忘（跨模块契约）
+
+1. **`ssh-key 0.7` 的 `decrypt()`/`encrypt()` 都是 `&self → Result<Self>` 转换语义**——返回值必须接住；
+   丢返回值 = 仍在加密态（坑 31，曾导致加密私钥导入从未成功过）。
+2. **`encrypt()` 会清空内存对象的注释**（重建 public_key），但加密载荷里含注释（decrypt 可读回）；
+   `set_comment` 必须在 encrypt 之后调用。
+3. **`collect_commands!`（导出绑定）与 `generate_handler!`（运行时注册）是两份独立清单**——
+   新增命令必须双清单登记；前端用原生 `invoke` + 手写镜像类型（translate 先例，terminal 跟随）。
+4. **`export_bindings()` 失败是运行时的**：specta 类型注册表全局按名索引，
+   跨模块同名 `Type` 派生类型会让应用启动即 panic（`cargo check` 完全看不见）。
+5. **`tauri-specta` derive 路径无法重命名类型**（`#[specta(rename)]` 只对函数宏生效）——
+   通用词（Settings/HistoryPage/Item…）一律加模块前缀。
+6. **`Write` 契约**：前端 `store.write(string)` 必须 TextEncoder 编码后 base64
+   （后端严格解码）；xterm onData / 粘贴走字符串分支。
+7. **`vue-draggable-plus` 的 `target` 是跨容器专用 prop**，且 `querySelector` 不匹配元素自身——
+   单容器排序禁止传 target。
+8. **连接池槽位是 tokio Mutex**（连接建立期跨 `.await` 持锁，天然串行化同主机并发连接）；
+   sftp/转发的同步访问走 `spawn_blocking + block_on`，锁在 block_on 内获取。
+9. **跳板 Handle 挂池条目**而非首建会话——否则首建会话关闭剪断他人隧道。
+10. **`-R` 入站路由按端口全局匹配**：连接级 Handler 的 session_id 属于首建会话；
+    远程监听端口全局唯一（add 时强制）。
+11. **`chat_once`（translate 根 re-export）是终端 AI 助手的唯一 API 配置源**——
+    终端不持有任何引擎配置副本。
+12. **面板常驻挂载**：`renderPanes` 含全部会话，v-show 切可见性——
+    切标签/分屏绝不销毁 xterm 实例（缓冲与隐藏期输出不丢）。
+
+### 坑记录（35 条精编）
+
+| # | 一句话 | 修复/规避 |
+|---|---|---|
+| 1 | `ssh-key` 双版本分叉（0.6 vs russh 钉的 0.7） | 只用 russh re-export；例外须同版本号声明 |
+| 2 | ssh-key 的 getrandom feature 门控（rand_core 0.10） | 直接依赖 getrandom 0.4 + UnwrapErr(SysRng) |
+| 3 | `#[specta::specta]` 与 `#[tauri::command]` 必须成对 | 漏一个 = 绑定缺失或运行时不可调 |
+| 4 | windows-sys 0.52 的 HANDLE/HPCON 是 isize | 注意类型转换 |
+| 5 | ConPTY 三个时序陷阱（先建管道再建 PTY 等） | 见 pty::conpty 注释 |
+| 6 | `create_pipe()` 已返回 File，不要再转一次 | — |
+| 7 | xterm 无 selectWordAt（自实现选择词语） | 右键菜单自定义 |
+| 8 | PowerShell 写文件产出 UTF-16LE | 让程序自己写或 Python 落盘 |
+| 9 | 密码与配置分离存储（凭据管理器 vs settings.json） | 永不明文落盘 |
+| 10 | 新建主机先向后端要 id（密码按 id 存取） | id 规则单点 |
+| 11 | russh 无 SFTP → 引入 russh-sftp | 通道复用连接 |
+| 12 | SFTP 通道借用 Handle 需 spawn_blocking+block_on | Handle 不可 Clone、不能跨 await 持锁 |
+| 13 | WebGL 上下文上限 4 个（黑屏风险） | maxPanes 封顶 + onContextLoss 回退 |
+| 14 | 分屏容器是标签级的，切标签要重置 | resetPanesTo（见坑 36 修正） |
+| 15 | 本机 Bash 缺 coreutils，管道全部失真 | 验证命令重定向到文件后用 Python 读 |
+| 16 | `npx` 触发 wsl.exe 黑名单拦截 | 直接调 JS 入口 |
+| 17 | PowerShell 重定向产出 UTF-16LE | 同 8 |
+| 18 | `vite build` 重定向+后台 = 假死（非 OOM） | 构建一律前台跑 |
+| 19 | impl 块放错位置 → trait 方法「已实现却报未实现」 | — |
+| 20 | Session trait 未引入时报错指不到成因 | 显式 use |
+| 21 | OSC 133 命令文本与结束标记是两个独立序列 | 必须累积 |
+| 22 | `1337` 与 `133` 共享前缀，判断顺序错了静默失效 | 先判长前缀 |
+| 23 | `${x#"$y"}` 类语法在 Rust 字符串里写不出 | 换等价写法 |
+| 24 | 两份 `scan_control_sequences` 拷贝按后端分支出诡异 bug | 收敛到一处 |
+| 25 | 命令历史遵守 `HISTCONTROL=ignorespace` 惯例 | 前导空格不记录 |
+| 26 | FTS 与 LIKE 双路径查询需一致性测试 | — |
+| 27 | `export_bindings()` 失败是运行时的（编译全绿 ≠ 能启动） | 新增 Type 必须实际跑二进制 |
+| 28 | 两份命令清单不自动同步 | 双清单登记 + 交叉注释 |
+| 29 | 重定向/后台让验证命令本身不可信 | 前台对照实验 |
+| 30 | `vue-draggable-plus` 的 `target` 是跨容器专用（querySelector 不搜自身） | 单容器禁用 target |
+| 31 | `decrypt()/encrypt()` 是转换语义，丢返回值 = 加密私钥导入从未成功 | 接住 Result\<Self\> |
+| 32 | `encrypt()` 清空内存对象注释（载荷里有） | set_comment 在 encrypt 后 |
+| 33 | trait object 不能挂两个非 auto trait（E0225） | 合并 trait + blanket impl |
+| 34 | russh 对 forwarded-tcpip 默认全收 | Handler 白名单覆写 |
+| 35 | 连接复用后 -R 入站按 session_id 路由永不命中 | 全局端口匹配 + 唯一性 |
+| 36 | **[审查轮]** 切标签销毁 xterm 实例、隐藏期输出被丢弃 | renderPanes 常驻全部会话 + v-show |
+| 37 | **[审查轮]** store.write 字符串分支未编码 → 键盘输入完全失效 | TextEncoder 后 base64 |
+
+### 全链路审查（2026-09-18，P2 收官）
+
+探查代理 + 人工复核，确认并修复 7 项（另排除 2 项误报）：
+
+| # | 级别 | 问题 | 修复 |
+|---|---|---|---|
+| 1 | **P0** | `store.write` 字符串分支未 base64 编码——xterm 键盘输入/粘贴全部被后端拒绝，**终端无法打字**（坑 37） | TextEncoder 编码后再 base64 |
+| 2 | **P0** | 切标签卸载其他会话的 TerminalPane：xterm 缓冲丢失、隐藏期输出被丢弃（坑 36） | renderPanes 常驻全部会话 + v-show |
+| 3 | 高 | 连接期间关闭标签的竞态：do_connect 复活会话（Established 覆盖 Closed）、连接写进已拆除的池条目永不断开 | do_connect 三处 closed 检查点，命中则断开新连接并放弃 |
+| 4 | 高 | `closeTab` 分屏组误判：分屏激活时关后台标签会误关分屏组而非目标 | 仅当目标在分屏组内才按组关闭 |
+| 5 | 中 | SFTP 面板在 SSH 会话间切换不关旧通道（泄漏） | `<SftpPanel :key="sessionId">` 强制重建 |
+| 6 | 低 | HistoryPanel 防抖定时器卸载不清理 | onBeforeUnmount clearTimeout |
+| 7 | 低 | Alt+1..9 要求焦点在 `.xterm` 内（侧栏/对话框下失效） | 只在输入控件聚焦时让路 |
+
+已排除的误报：「兜底 watch 只看 sessions.length」（实际有 activeSessionId 有效性校验）等。
+
+**性能结论**：输出管线（8ms 聚合窗口 + base64 + 事件）与渲染（WebGL + 回退）无热点；
+面板常驻化后 xterm 实例数 = 会话数，WebGL 超限已有回退兜底。无需要改动的热路径。
+
+### ZMODEM 评估（已放弃）
+
+完整协议（帧结构 / CRC-16+32 / 转义编码 / 滑动窗口重同步 / 双向状态机）约 600–800 行，
+调试依赖真实 rz/sz 对端，无法用单测覆盖主流程。SFTP 已覆盖绝大多数文件传输场景，
+ZMODEM 剩余价值主要在串口/老旧嵌入式设备。成本收益不成立，正式放弃；
+若未来出现需求，建议独立一轮且优先做 sz 下载方向。
+
+### 验证汇总（收官状态）
+
+| 检查 | 结果 |
+|---|---|
+| `cargo check` | exit 0（警告数与 P0 基线一致） |
+| `cargo test --lib` | **91/91 通过**（keys 17 + commands 9 + assistant 6 + audit 5 + pool 5 + 既有 49） |
+| `vue-tsc --noEmit` | exit 0 |
+| 类型重名扫描 / 池引用计数 / 解析防御 | 单测覆盖 |
+
+### 待用户真机验证清单
+
+1. 终端键盘输入与粘贴（审查轮修复 #1——此前从未被测出）。
+2. 多标签切换不丢缓冲、隐藏期输出不丢（修复 #2）。
+3. 连接复用：同主机双标签秒连、关一个另一个不受影响、全关后连接断开。
+4. ProxyJump 跳板链、端口转发 -L/-R、`.ppk` 导入、会话模板拉起、AI 助手（需翻译引擎配置）。
+
+## 附：P1 新增命令清单（供前端对接与后续维护）
+
+| 命令 | 参数 | 返回 |
+|---|---|---|
+| `terminal_sftp_is_open` | `sessionId` | `bool` |
+| `terminal_sftp_open` | `sessionId` | `ActionOutcome`（幂等） |
+| `terminal_sftp_close` | `sessionId` | `()` |
+| `terminal_sftp_list` | `sessionId`, `path` | `RemoteDir` |
+| `terminal_sftp_parent` | `path` | `string` |
+| `terminal_sftp_read_link` | `sessionId`, `path` | `string` |
+| `terminal_sftp_mkdir` | `sessionId`, `path` | `()` |
+| `terminal_sftp_delete` | `sessionId`, `path`, `isDir` | `ActionOutcome` |
+| `terminal_sftp_rename` | `sessionId`, `from`, `to` | `()` |
+| `terminal_sftp_upload` | `sessionId`, `localPath`, `remotePath` | `ActionOutcome` |
+| `terminal_sftp_download` | `sessionId`, `remotePath`, `localPath` | `ActionOutcome` |
+| `terminal_session_cwd_value` | `sessionId` | `string` |
+| `terminal_open_local_path` | `path` | `()` |
+| `terminal_reveal_local_path` | `path` | `()` |
+| `terminal_list_snippets` | — | `SnippetView[]` |
+| `terminal_save_snippet` | `snippet` | `SnippetView[]` |
+| `terminal_delete_snippet` | `snippetId` | `SnippetView[]` |
+| `terminal_render_snippet` | `snippetId`, `values` | `string` |
+| `terminal_run_snippet` | `sessionId`, `snippetId`, `values`, `submit` | `ActionOutcome` |
+| `terminal_restore_default_snippets` | — | `SnippetView[]` |
+
+**新增事件**：`terminal-transfer-progress`（负载 `TransferProgress`，200ms 节流）。
+
+### 追加：P1 第四 / 第五批（字符编码 + 命令历史）
+
+| 命令 | 参数 | 返回 | 备注 |
+|---|---|---|---|
+| `terminal_set_encoding` | `sessionId`, `encoding` | `string` | 返回**后端 normalize 后的规范名**，前端须以此回写；内部已 emit `TERMINAL_STATE`，前端不要重复刷新 |
+| `terminal_history_query` | `query: HistoryQuery` | `HistoryPage` | `keyword` 短于 3 字符自动走 `LIKE` 回退（trigram 索引对 `ls`/`cd` 无效） |
+| `terminal_history_sources` | — | `HistorySource[]` | 只返回**有历史记录**的来源，不是全部主机列表 |
+| `terminal_history_toggle_favorite` | `id` | `bool` | 返回切换后的状态 |
+| `terminal_history_delete` | `id` | `ActionOutcome` | |
+| `terminal_history_clear` | `keepFavorites: Option<bool>` | `ActionOutcome` | 省略时默认 `true`（保留收藏）；`ActionOutcome` 带删除条数 |
+| `terminal_history_run` | `sessionId`, `command`, `submit: Option<bool>` | `ActionOutcome` | `submit` 省略即 `false`（只填入不执行）；命令内 `\r`/`\n` **折叠为空格** |
+
+**前端配套约定**
+
+- `SessionInfo.encoding` 是唯一编码事实源；状态栏下拉改值走 `terminal_set_encoding`，成功后回写 store 里的 `session.encoding`。
+- 输出侧解码在 `useXterm`（`decoderFor(encoding)` 缓存 `TextDecoder`）；**Rust 侧永不转码**，只发原始字节的 base64。
+- 输入侧重编码在 `SshSession::write`（本地会话不需要 —— Windows 控制台收的是 UTF-8，UTF-16 转换由 ConPTY 负责）。
+- 历史面板 `Ctrl+Shift+H`；单击**填入**、双击 / `Enter` **填入并执行**（默认不执行是刻意的取舍，理由见 §10.12）。

bun.lock

@@ -16,6 +16,7 @@
         "class-variance-authority": "^0.7.1",
         "clsx": "^2.1.1",
         "pinia": "^3.0.4",
+        "pinyin-pro": "^3.28.2",
         "reka-ui": "^2.10.1",
         "tailwind-merge": "^3.6.0",
         "tailwindcss": "^4.3.2",
@@ -381,6 +382,8 @@
 
     "pinia": ["pinia@3.0.4", "https://registry.npmmirror.com/pinia/-/pinia-3.0.4.tgz", { "dependencies": { "@vue/devtools-api": "^7.7.7" }, "peerDependencies": { "typescript": ">=4.5.0", "vue": "^3.5.11" }, "optionalPeers": ["typescript"] }, "sha512-l7pqLUFTI/+ESXn6k3nu30ZIzW5E2WZF/LaHJEpoq6ElcLD+wduZoB2kBN19du6K/4FDpPMazY2wJr+IndBtQw=="],
 
+    "pinyin-pro": ["pinyin-pro@3.29.4", "https://registry.npmmirror.com/pinyin-pro/-/pinyin-pro-3.29.4.tgz", {}, "sha512-SPXpDT2cHEy+d26V1RXYMlVzXN42hotFAak1fzyWPi4o2dKXb61UqD4pzxDJHwk6gbv8vQ6EfErd+hYX0Qhzug=="],
+
     "postcss": ["postcss@8.5.19", "https://registry.npmmirror.com/postcss/-/postcss-8.5.19.tgz", { "dependencies": { "nanoid": "^3.3.12", "picocolors": "^1.1.1", "source-map-js": "^1.2.1" } }, "sha512-Mz8SaolMd8nB+G13WkORcxQKHZ/NE4xXevtkJHVuG+guo9/wYKlIMTKAqGdEmYOXR2ijPjTYNHssizdaVSUNdQ=="],
 
     "reka-ui": ["reka-ui@2.10.1", "https://registry.npmmirror.com/reka-ui/-/reka-ui-2.10.1.tgz", { "dependencies": { "@floating-ui/dom": "^1.6.13", "@floating-ui/vue": "^1.1.6", "@internationalized/date": "^3.5.0", "@internationalized/number": "^3.5.0", "@tanstack/vue-virtual": "^3.12.0", "@vueuse/core": "^14.1.0", "@vueuse/shared": "^14.1.0", "aria-hidden": "^1.2.4", "defu": "^6.1.5", "ohash": "^2.0.11" }, "peerDependencies": { "vue": ">= 3.4.0" } }, "sha512-drcOQ4rQtDYAcGCsyQBqQg8QQ+H3B+zDaMJU0h8KPEPMa7g9BHu3zcOi4OB39XJSWizceFoNO0Z9tctSGLOXqg=="],

package-lock.json

@@ -1,12 +1,12 @@
 {
   "name": "thing",
-  "version": "0.1.0",
+  "version": "26.9.3",
   "lockfileVersion": 3,
   "requires": true,
   "packages": {
     "": {
       "name": "thing",
-      "version": "0.1.0",
+      "version": "26.9.3",
       "dependencies": {
         "@lucide/vue": "^1.28.0",
         "@tailwindcss/vite": "^4.3.2",
@@ -16,6 +16,13 @@
         "@tauri-apps/plugin-global-shortcut": "^2",
         "@tauri-apps/plugin-opener": "^2",
         "@vueuse/core": "^14.4.0",
+        "@xterm/addon-fit": "^0.11.0",
+        "@xterm/addon-search": "^0.16.0",
+        "@xterm/addon-serialize": "^0.14.0",
+        "@xterm/addon-unicode11": "^0.9.0",
+        "@xterm/addon-web-links": "^0.12.0",
+        "@xterm/addon-webgl": "^0.19.0",
+        "@xterm/xterm": "^6.0.0",
         "class-variance-authority": "^0.7.1",
         "clsx": "^2.1.1",
         "pinia": "^3.0.4",
@@ -1719,6 +1726,51 @@
         "vue": "^3.5.0"
       }
     },
+    "node_modules/@xterm/addon-fit": {
+      "version": "0.11.0",
+      "resolved": "https://registry.npmmirror.com/@xterm/addon-fit/-/addon-fit-0.11.0.tgz",
+      "integrity": "sha512-jYcgT6xtVYhnhgxh3QgYDnnNMYTcf8ElbxxFzX0IZo+vabQqSPAjC3c1wJrKB5E19VwQei89QCiZZP86DCPF7g==",
+      "license": "MIT"
+    },
+    "node_modules/@xterm/addon-search": {
+      "version": "0.16.0",
+      "resolved": "https://registry.npmmirror.com/@xterm/addon-search/-/addon-search-0.16.0.tgz",
+      "integrity": "sha512-9OeuBFu0/uZJPu+9AHKY6g/w0Czyb/Ut0A5t79I4ULoU4IfU5BEpPFVGQxP4zTTMdfZEYkVIRYbHBX1xWwjeSA==",
+      "license": "MIT"
+    },
+    "node_modules/@xterm/addon-serialize": {
+      "version": "0.14.0",
+      "resolved": "https://registry.npmmirror.com/@xterm/addon-serialize/-/addon-serialize-0.14.0.tgz",
+      "integrity": "sha512-uteyTU1EkrQa2Ux6P/uFl2fzmXI46jy5uoQMKEOM0fKTyiW7cSn0WrFenHm5vO5uEXX/GpwW/FgILvv3r0WbkA==",
+      "license": "MIT"
+    },
+    "node_modules/@xterm/addon-unicode11": {
+      "version": "0.9.0",
+      "resolved": "https://registry.npmmirror.com/@xterm/addon-unicode11/-/addon-unicode11-0.9.0.tgz",
+      "integrity": "sha512-FxDnYcyuXhNl+XSqGZL/t0U9eiNb/q3EWT5rYkQT/zuig8Gz/VagnQANKHdDWFM2lTMk9ly0EFQxxxtZUoRetw==",
+      "license": "MIT"
+    },
+    "node_modules/@xterm/addon-web-links": {
+      "version": "0.12.0",
+      "resolved": "https://registry.npmmirror.com/@xterm/addon-web-links/-/addon-web-links-0.12.0.tgz",
+      "integrity": "sha512-4Smom3RPyVp7ZMYOYDoC/9eGJJJqYhnPLGGqJ6wOBfB8VxPViJNSKdgRYb8NpaM6YSelEKbA2SStD7lGyqaobw==",
+      "license": "MIT"
+    },
+    "node_modules/@xterm/addon-webgl": {
+      "version": "0.19.0",
+      "resolved": "https://registry.npmmirror.com/@xterm/addon-webgl/-/addon-webgl-0.19.0.tgz",
+      "integrity": "sha512-b3fMOsyLVuCeNJWxolACEUED0vm7qC0cy4wRvf3oURSzDTYVQiGPhTnhWZwIHdvC48Y+oLhvYXnY4XDXPoJo6A==",
+      "license": "MIT"
+    },
+    "node_modules/@xterm/xterm": {
+      "version": "6.0.0",
+      "resolved": "https://registry.npmmirror.com/@xterm/xterm/-/xterm-6.0.0.tgz",
+      "integrity": "sha512-TQwDdQGtwwDt+2cgKDLn0IRaSxYu1tSUjgKarSDkUM0ZNiSRXFpjxEsvc/Zgc5kq5omJ+V0a8/kIM2WD3sMOYg==",
+      "license": "MIT",
+      "workspaces": [
+        "addons/*"
+      ]
+    },
     "node_modules/alien-signals": {
       "version": "1.0.13",
       "dev": true,

package.json

@@ -1,11 +1,13 @@
 {
   "name": "thing",
   "private": true,
-  "version": "26.8.5",
+  "version": "26.9.3",
   "type": "module",
   "scripts": {
     "dev": "vite",
-    "build": "vue-tsc --noEmit && vite build",
+    "build": "vue-tsc --noEmit && node --max-old-space-size=8192 node_modules/vite/bin/vite.js build",
+    "build:vite": "node --max-old-space-size=8192 node_modules/vite/bin/vite.js build",
+    "typecheck": "vue-tsc --noEmit",
     "preview": "vite preview",
     "test": "node --test src/modules/quickpanel/engine.test.ts src/lib/calc.test.ts",
     "tauri": "tauri"
@@ -19,6 +21,13 @@
     "@tauri-apps/plugin-global-shortcut": "^2",
     "@tauri-apps/plugin-opener": "^2",
     "@vueuse/core": "^14.4.0",
+    "@xterm/addon-fit": "^0.11.0",
+    "@xterm/addon-search": "^0.16.0",
+    "@xterm/addon-serialize": "^0.14.0",
+    "@xterm/addon-unicode11": "^0.9.0",
+    "@xterm/addon-web-links": "^0.12.0",
+    "@xterm/addon-webgl": "^0.19.0",
+    "@xterm/xterm": "^6.0.0",
     "class-variance-authority": "^0.7.1",
     "clsx": "^2.1.1",
     "pinia": "^3.0.4",

scripts/release.ps1

@@ -54,17 +54,18 @@ $tauriConf = Join-Path $Root 'src-tauri\tauri.conf.json'
 $cargoToml = Join-Path $Root 'src-tauri\Cargo.toml'
 $pkgJson   = Join-Path $Root 'package.json'
 
-$t = Get-Content $tauriConf -Raw
-$t = $t -replace '("version"\s*:\s*")[^"]*(")', "`${1}$Version`${2}"
-[System.IO.File]::WriteAllText($tauriConf, $t, (New-Object System.Text.UTF8Encoding($false)))
+# UTF-8 安全读写：`Get-Content` 默认按系统 ANSI(如 GBK) 解码，会把本就含中文/乱码的文件二次编码损坏（曾导致
+# Cargo.toml 的 keyring 依赖行被弄丢）。这里统一用显式 UTF-8 无 BOM 读写，保证逐字节稳定往返。
+function Set-Utf8Version([string]$Path, [string]$Pattern, [string]$NewVersion) {
+  $utf8NoBom = New-Object System.Text.UTF8Encoding($false)
+  $content = [System.IO.File]::ReadAllText($Path, $utf8NoBom)
+  $content = $content -replace $Pattern, "`${1}$NewVersion`${2}"
+  [System.IO.File]::WriteAllText($Path, $content, $utf8NoBom)
+}
 
-$c = Get-Content $cargoToml -Raw
-$c = $c -replace '(?m)^(version\s*=\s*")[^"]*(")', "`${1}$Version`${2}"
-[System.IO.File]::WriteAllText($cargoToml, $c, (New-Object System.Text.UTF8Encoding($false)))
-
-$p = Get-Content $pkgJson -Raw
-$p = $p -replace '("version"\s*:\s*")[^"]*(")', "`${1}$Version`${2}"
-[System.IO.File]::WriteAllText($pkgJson, $p, (New-Object System.Text.UTF8Encoding($false)))
+Set-Utf8Version -Path $tauriConf -Pattern '("version"\s*:\s*")[^"]*(")' -NewVersion $Version
+Set-Utf8Version -Path $cargoToml -Pattern '(?m)^(version\s*=\s*")[^"]*(")' -NewVersion $Version
+Set-Utf8Version -Path $pkgJson   -Pattern '("version"\s*:\s*")[^"]*(")' -NewVersion $Version
 Write-Step "版本号已同步：tauri.conf.json / Cargo.toml / package.json"
 
 # ---------- 2. 构建 ----------

src-tauri/capabilities/terminal-window.json

@@ -0,0 +1,23 @@
+{
+  "$schema": "../gen/schemas/desktop-schema.json",
+  "identifier": "terminal-window",
+  "description": "Capability for detached terminal windows (one session per window, label = terminal-window-<sessionId>)",
+  "windows": ["terminal-window-*"],
+  "permissions": [
+    "core:default",
+    "core:window:allow-close",
+    "core:window:allow-minimize",
+    "core:window:allow-maximize",
+    "core:window:allow-toggle-maximize",
+    "core:window:allow-set-focus",
+    "core:window:allow-start-dragging",
+    "core:window:allow-set-theme",
+    "core:window:allow-set-background-color",
+    "core:event:allow-listen",
+    "core:event:allow-emit",
+    "opener:default",
+    "opener:allow-open-path",
+    "opener:allow-reveal-item-in-dir",
+    "snap-layout:default"
+  ]
+}

src-tauri/capabilities/translate-popup.json

@@ -0,0 +1,19 @@
+{
+  "$schema": "../gen/schemas/desktop-schema.json",
+  "identifier": "translate-popup",
+  "description": "Capability for the non-activating translate popup window",
+  "windows": ["translate-popup"],
+  "permissions": [
+    "core:default",
+    "core:window:allow-hide",
+    "core:window:allow-show",
+    "core:window:allow-close",
+    "core:window:allow-set-theme",
+    "core:window:allow-set-effects",
+    "core:window:allow-set-background-color",
+    "core:window:allow-start-dragging",
+    "core:event:allow-listen",
+    "core:event:allow-emit",
+    "snap-layout:default"
+  ]
+}

src-tauri/src/clipboard/manager.rs

@@ -12,6 +12,7 @@ use specta::Type;
 use super::monitor::start_monitor;
 use super::reader::{write_dib, write_files, write_text};
 use super::storage::Storage;
+use super::suppress::SuppressState;
 use windows_sys::Win32::System::DataExchange::GetClipboardSequenceNumber;
 
 /// 剪贴板设置（持久化到 clipboard/settings.json）
@@ -56,8 +57,9 @@ impl Default for ClipboardSettings {
 pub struct ClipboardManager {
     storage: Arc<Storage>,
     settings: Arc<Mutex<ClipboardSettings>>,
-    /// 本应用 copy_back 写入后的剪贴板序列号，用于跳过自身写入产生的记录
-    suppress: Arc<Mutex<Option<u32>>>,
+    /// 写入抑制状态。由本模块持有（谁启动监听谁负责），但**对其他模块开放**：
+    /// 划词取词会连续改三次剪贴板，同样需要屏蔽，见 `super::suppress`。
+    suppress: Arc<SuppressState>,
     monitor_stop: Arc<AtomicBool>,
     monitor_handle: Mutex<Option<JoinHandle<()>>>,
     settings_path: PathBuf,
@@ -75,7 +77,7 @@ impl ClipboardManager {
         };
         let settings_path = clip_dir.join("settings.json");
         let settings = Arc::new(Mutex::new(load_settings(&settings_path)));
-        let suppress = Arc::new(Mutex::new(None));
+        let suppress = Arc::new(SuppressState::new());
         let monitor_stop = Arc::new(AtomicBool::new(true));
         Self {
             storage,
@@ -167,7 +169,7 @@ impl ClipboardManager {
             // 绑定到写入完成后的剪贴板序列号：仅跳过本次写入产生的记录，
             // 用户后续复制（序列号不同）不会被误吞。
             let seq = unsafe { GetClipboardSequenceNumber() };
-            *self.suppress.lock().unwrap_or_else(|e| e.into_inner()) = Some(seq);
+            self.suppress.mark_seq(seq);
             Ok(())
         } else {
             Err("写回剪贴板失败".into())
@@ -177,6 +179,20 @@ impl ClipboardManager {
     pub fn storage(&self) -> &Arc<Storage> {
         &self.storage
     }
+
+    /// 写入抑制状态（供划词取词等会改剪贴板的其他模块共享）
+    pub fn suppress(&self) -> Arc<SuppressState> {
+        self.suppress.clone()
+    }
+
+    /// 把**当前**剪贴板序列号登记为「应跳过」。
+    ///
+    /// 给其他模块写完剪贴板后调用：它们自己拿不到「写入后」的序列号，
+    /// 但知道「刚刚写完」这件事。把 win32 调用留在这个模块里，
+    /// 别处就不必重复引入 DataExchange。
+    pub fn suppress_current_sequence(&self) {
+        self.suppress.mark_seq(unsafe { GetClipboardSequenceNumber() });
+    }
 }
 
 impl Drop for ClipboardManager {

src-tauri/src/clipboard/mod.rs

@@ -6,6 +6,7 @@ pub mod monitor;
 pub mod popup;
 pub mod reader;
 pub mod storage;
+pub mod suppress;
 
 pub use commands::{
     clipboard_clear, clipboard_copy_back, clipboard_count, clipboard_delete, clipboard_get_history,

src-tauri/src/clipboard/monitor.rs

@@ -12,15 +12,17 @@ use tauri::{AppHandle, Emitter};
 
 use super::reader::{read_clipboard, ClipData};
 use super::storage::{NewItem, Storage};
+use super::suppress::SuppressState;
 use windows_sys::Win32::System::DataExchange::GetClipboardSequenceNumber;
 
 /// 启动监听线程，返回 JoinHandle。
-/// `suppress` 记录本应用 copy_back 写入后的剪贴板序列号，用于跳过自身写入产生的记录。
+/// `suppress` 记录本应用写入剪贴板产生的序列号、以及取词等流程的屏蔽窗口，
+/// 用于跳过自身写入产生的记录。
 pub fn start_monitor(
     storage: Arc<Storage>,
     app: AppHandle,
     settings: Arc<Mutex<super::manager::ClipboardSettings>>,
-    suppress: Arc<Mutex<Option<u32>>>,
+    suppress: Arc<SuppressState>,
     stop: Arc<AtomicBool>,
 ) -> thread::JoinHandle<()> {
     thread::spawn(move || loop {
@@ -41,13 +43,10 @@ pub fn start_monitor(
         if seq == last {
             continue;
         }
-        // 序列号变化：仅当变化来自本应用 copy_back（序列号精确匹配）时跳过，
-        // 避免旧布尔标志在用户后续复制时被误吞。
-        if let Ok(mut s) = suppress.lock() {
-            if *s == Some(seq) {
-                *s = None;
-                continue;
-            }
+        // 序列号变化，但可能来自本应用：精确记账（copy_back）或屏蔽窗口内（取词流程）。
+        // 判定放在读剪贴板之前，避免为一次注定要丢弃的变化做无谓的读取与解码。
+        if suppress.should_skip(seq) {
+            continue;
         }
         let (rec_text, rec_image, rec_files, max_items, max_image_kb, dedup) = {
             let s = settings.lock().unwrap_or_else(|e| e.into_inner());

src-tauri/src/clipboard/suppress.rs

@@ -0,0 +1,142 @@
+//! 剪贴板写入抑制。
+//!
+//! 存在的理由：剪贴板监听线程会把**任何**序列号变化录进历史。而应用自身也会写剪贴板
+//! （copy_back 写回、划词取词时模拟 Ctrl+C 与随后的还原），这些都不该出现在用户的
+//! 历史里。抑制状态因此必须能被**多个模块**访问，而不是某个模块的私有字段。
+//!
+//! 两种机制并存，因为要解决的问题不同：
+//!
+//! - **精确抑制（seq）**：只跳过「本应用刚写入的那一次变化」。写入者是我们自己时，
+//!   写入后的序列号可以立刻读到，于是能精确记账一次；用户随后的复制是另一个序列号，
+//!   不会被误吞。`copy_back` 用这条。
+//!
+//! - **时间窗抑制（burst）**：屏蔽一个区间内的**所有**变化。划词取词要连续动三次剪贴板
+//!   （Ctrl+C 覆盖 → 我们读走 → 还原原文），而监听线程是 250ms 轮询：按序列号逐个记账
+//!   存在竞态——监听恰好落在我们两次操作之间时，选区文本就被录进历史了。
+//!   因此取词期间必须整体屏蔽，读完并还原之后再解除。
+//!
+//! burst 用**计数**而非布尔：取词流程内部可能再触发一次写入，用布尔会在内层先结束时
+//! 提前解除屏蔽。配对由 [`SuppressState::burst`] 返回的 RAII 守卫保证，提前 return 也安全。
+
+use std::sync::atomic::{AtomicUsize, Ordering};
+use std::sync::Mutex;
+
+#[derive(Default)]
+pub struct SuppressState {
+    /// 待跳过的序列号（消费一次即清空）
+    seq: Mutex<Option<u32>>,
+    /// 屏蔽窗口嵌套计数
+    burst: AtomicUsize,
+}
+
+/// 屏蔽窗口守卫：析构时自动解除，保证与 `begin` 严格配对。
+pub struct BurstGuard<'a>(&'a SuppressState);
+
+impl Drop for BurstGuard<'_> {
+    fn drop(&mut self) {
+        self.0.end_burst();
+    }
+}
+
+impl SuppressState {
+    pub fn new() -> Self {
+        Self::default()
+    }
+
+    /// 记账：跳过 `seq` 这一次变化（消费一次）。
+    /// 只记一个序列号即可——本应用的写入是串行的，不会同时积压多次。
+    pub fn mark_seq(&self, seq: u32) {
+        if let Ok(mut guard) = self.seq.lock() {
+            *guard = Some(seq);
+        }
+    }
+
+    /// 开始屏蔽窗口。返回的守卫析构时自动结束，**不要**手动配对 end。
+    pub fn burst(&self) -> BurstGuard<'_> {
+        self.burst.fetch_add(1, Ordering::SeqCst);
+        BurstGuard(self)
+    }
+
+    fn end_burst(&self) {
+        // saturating：异常路径下的多余 end 不应让计数下溢，否则会永久屏蔽
+        let _ = self
+            .burst
+            .fetch_update(Ordering::SeqCst, Ordering::SeqCst, |v| {
+                Some(v.saturating_sub(1))
+            });
+    }
+
+    /// 当前是否处于屏蔽窗口内（供调用方在取词前做提示，不参与判定）
+    pub fn in_burst(&self) -> bool {
+        self.burst.load(Ordering::SeqCst) > 0
+    }
+
+    /// 监听线程询问：这次变化是否应当跳过。
+    /// 命中序列号时**消费**该记账（下次同序列号不再跳过），避免误吞用户后续的复制。
+    pub fn should_skip(&self, seq: u32) -> bool {
+        if self.in_burst() {
+            return true;
+        }
+        let mut guard = match self.seq.lock() {
+            Ok(g) => g,
+            Err(e) => e.into_inner(),
+        };
+        if *guard == Some(seq) {
+            *guard = None;
+            true
+        } else {
+            false
+        }
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    #[test]
+    fn seq_suppression_is_consumed_once() {
+        let s = SuppressState::new();
+        s.mark_seq(7);
+        assert!(s.should_skip(7), "记账的那次应被跳过");
+        assert!(!s.should_skip(7), "同序列号不应被反复跳过");
+        assert!(!s.should_skip(8), "其他序列号不受影响");
+    }
+
+    #[test]
+    fn burst_suppresses_everything_until_dropped() {
+        let s = SuppressState::new();
+        {
+            let _guard = s.burst();
+            assert!(s.should_skip(1));
+            assert!(s.should_skip(2));
+            assert!(s.in_burst());
+        }
+        assert!(!s.in_burst());
+        assert!(!s.should_skip(3));
+    }
+
+    #[test]
+    fn burst_is_reentrant() {
+        let s = SuppressState::new();
+        let outer = s.burst();
+        {
+            let _inner = s.burst();
+        }
+        // 内层结束不应提前解除外层
+        assert!(s.in_burst());
+        assert!(s.should_skip(9));
+        drop(outer);
+        assert!(!s.in_burst());
+    }
+
+    #[test]
+    fn extra_end_does_not_underflow() {
+        let s = SuppressState::new();
+        s.end_burst();
+        s.end_burst();
+        // 下溢会让计数变成极大值从而永久屏蔽，这里确保不会
+        assert!(!s.in_burst());
+        assert!(!s.should_skip(4));
+    }
+}

src-tauri/src/constants.rs

@@ -14,6 +14,11 @@ pub mod windows {
     pub const SCREENSHOT_PIN: &str = "screenshot-pin";
     #[allow(dead_code)]
     pub const SCREENSHOT_SCROLL: &str = "screenshot-scroll";
+    /// 取词翻译悬浮窗（由 translate 模块预创建，非激活显示）
+    pub const TRANSLATE_POPUP: &str = "translate-popup";
+    /// 终端独立窗口前缀，实际 label = `${TERMINAL_WINDOW}-<sessionId>`
+    /// 每个终端窗口承载一个会话，脱离主窗口独立存在。
+    pub const TERMINAL_WINDOW: &str = "terminal-window";
 }
 
 /// Tauri 事件名（与前端 constants::EVENTS 对应）
@@ -53,16 +58,44 @@ pub mod events {
     // 截图
     pub const SCREENSHOT_SHORTCUT: &str = "screenshot-shortcut";
     pub const SCREENSHOT_PIN_SHORTCUT: &str = "screenshot-pin-shortcut";
-    /// 截图结果导出（含覆盖层/编辑器/滚动截图会话）
-    pub const SCREENSHOT_EXPORTED: &str = "screenshot-exported";
     /// 滚动截图会话：实时进度 { width, height, auto }
     pub const SCROLL_PROGRESS: &str = "screenshot-scroll-progress";
-    /// 滚动截图会话：完成并导出（负载与 SCREENSHOT_EXPORTED 相同）
+    /// 滚动截图会话：完成并导出
     pub const SCROLL_COMPLETE: &str = "screenshot-scroll-complete";
     /// 滚动截图会话：已取消（无负载）
     pub const SCROLL_CANCELLED: &str = "screenshot-scroll-cancelled";
     // 内核安装进度
     pub const KERNEL_INSTALL_PROGRESS: &str = "kernel-install-progress";
+    // 翻译：取词悬浮窗显示（负载见 translate::popup::PopupPayload）/ 隐藏（无负载）
+    pub const TRANSLATE_POPUP_SHOW: &str = "translate-popup-show";
+    pub const TRANSLATE_POPUP_HIDE: &str = "translate-popup-hide";
+    // 翻译：流式输出（负载见 translate::engines::StreamEvent；失败经 start 的 Promise reject，
+    // 已发出 requestId 之后的失败额外走 error 事件兜底）
+    pub const TRANSLATE_STREAM_CHUNK: &str = "translate-stream-chunk";
+    pub const TRANSLATE_STREAM_DONE: &str = "translate-stream-done";
+    pub const TRANSLATE_STREAM_ERROR: &str = "translate-stream-error";
+    // 音乐模块：Python 便携运行时安装进度
+    pub const MUSIC_RUNTIME_INSTALL_PROGRESS: &str = "music-runtime-install-progress";
+    // 终端模块：会话输出批次（负载见 terminal::events::OutputPayload）
+    // 按 8~16ms 窗口聚合，前端用 seq 校验连续性
+    pub const TERMINAL_OUTPUT: &str = "terminal-output";
+    // 终端模块：会话结束（负载见 terminal::events::ExitPayload）
+    pub const TERMINAL_EXIT: &str = "terminal-exit";
+    // 终端模块：会话状态变更（负载为 SessionInfo，前端据此刷新侧栏与标签）
+    pub const TERMINAL_STATE: &str = "terminal-state";
+    // 终端模块：工作目录变化（OSC 7 hook 上报；SFTP 跟随目录依赖此事件）
+    pub const TERMINAL_CWD: &str = "terminal-cwd";
+    // 终端模块：SSH 主机密钥需用户确认（阻塞式交互，握手暂停等待回传）
+    pub const TERMINAL_HOST_KEY_PROMPT: &str = "terminal-host-key-prompt";
+    // 终端模块：请求前端对「关闭仍在运行的会话」二次确认
+    // （P2 起用：P0 的关闭确认在前端 store 内完成，事件通道先占位）
+    #[allow(dead_code)]
+    pub const TERMINAL_CONFIRM_CLOSE: &str = "terminal-confirm-close";
+    // 终端模块：SFTP 传输进度（负载见 terminal::ssh::sftp::TransferProgress）
+    // 节流后发送（约 200ms 一次），前端据此画进度条
+    pub const TERMINAL_TRANSFER_PROGRESS: &str = "terminal-transfer-progress";
+    // 音乐模块：下载任务事件（桥接事件行 → 前端，负载见 bridge.py _emit_event）
+    pub const MUSIC_DOWNLOAD_EVENT: &str = "music-download-event";
     // 后端自动切换节点完成（前端据以刷新节点列表并提示）
     pub const PROXY_AUTO_SWITCH: &str = "proxy-auto-switch";
     // 应用更新进度

src-tauri/src/lib.rs

@@ -6,14 +6,18 @@ mod download_engine;
 mod logger;
 mod mihomo_manager;
 mod monitor_kernel;
+mod music;
 mod network_monitor;
 mod osd_window;
 mod process_manager;
 mod quickpanel;
 mod screenshot;
+mod secrets;
 mod setup;
 mod shortcut;
 mod snap_fix;
+mod terminal;
+mod translate;
 mod tray_menu;
 mod updater;
 mod win32_util;
@@ -41,6 +45,19 @@ use monitor_kernel::{
     monitor_set_hardware_config, monitor_start, monitor_start_elevated, monitor_status, monitor_stop,
     MonitorKernel,
 };
+use music::{
+    feiniu_activate_connection, feiniu_cache_clear, feiniu_cache_fetch, feiniu_cache_status,
+    feiniu_delete_connection, feiniu_delete_local, feiniu_fnconnect_resolve, feiniu_get_config,
+    feiniu_list_connections, feiniu_list_audio_files, feiniu_list_tracks, feiniu_login,
+    feiniu_logout, feiniu_lyric,
+    feiniu_media_prefix, feiniu_save_connection, feiniu_scan_local, feiniu_test_connection,
+    music_cancel_runtime_install, music_download, music_download_cancel, music_env_status,
+    music_get_settings, music_get_sources, music_install_runtime, music_parse_playlist, music_ping,
+    music_resolve, music_save_settings, music_search, music_secret_get, music_secret_set,
+    music_stop_bridge, music_update_musicdl, webdav_delete, webdav_get_secret,
+    webdav_save_secret, webdav_test,
+    webdav_upload, MusicManager,
+};
 use network_monitor::network_status;
 use osd_window::{
     osd_apply_overlay_style, osd_begin_drag, osd_set_bounds, osd_set_click_through,
@@ -61,7 +78,7 @@ use screenshot::commands::{
     screenshot_register_shortcut,
     screenshot_save_cache, screenshot_save_png, screenshot_scroll_capture,
     screenshot_scroll_cancel, screenshot_scroll_finish, screenshot_scroll_start,
-    screenshot_show_overlay, screenshot_take_editor_image_raw,
+    screenshot_set_scroll_hole, screenshot_show_overlay, screenshot_take_editor_image_raw,
     screenshot_unregister_pin_shortcut, screenshot_unregister_shortcut,
 };
 use clipboard::{
@@ -87,6 +104,58 @@ use quickpanel::{
     quickpanel_show_window, quickpanel_unregister_shortcut, quickpanel_focus_main_window,
 };
 use tray_menu::{tray_menu_action, tray_menu_hide, tray_menu_ready};
+use terminal::commands::{
+    terminal_attach_session, terminal_clear_known_hosts, terminal_clear_session,
+    terminal_close_session, terminal_confirm_host_key, terminal_default_cwd, terminal_delete_host,
+    terminal_delete_key, terminal_delete_shell, terminal_detach_session,
+    terminal_export_known_hosts, terminal_forget_host, terminal_generate_key,
+    terminal_get_settings, terminal_import_key, terminal_import_known_hosts,
+    terminal_import_ssh_config, terminal_key_public, terminal_list_hosts,
+    terminal_list_known_hosts, terminal_list_keys, terminal_list_sessions,
+    terminal_list_shells, terminal_new_host_id, terminal_open_local,
+    terminal_open_ssh, terminal_open_local_path, terminal_reveal_local_path,
+    terminal_refresh_shells, terminal_rename_key, terminal_rename_session,
+    terminal_resize, terminal_save_appearance, terminal_save_host, terminal_save_layout,
+    terminal_save_security, terminal_save_selection, terminal_save_settings,
+    terminal_save_shell, terminal_save_shortcuts, terminal_send_key, terminal_session_alive,
+    terminal_session_cwd, terminal_session_cwd_value, terminal_set_host_password,
+    terminal_set_encoding,
+    terminal_set_key_passphrase,
+    terminal_set_last_shell, terminal_test_shell, terminal_write,
+    // SFTP 文件管理（P1）
+    terminal_sftp_close, terminal_sftp_delete, terminal_sftp_download, terminal_sftp_is_open,
+    terminal_sftp_list, terminal_sftp_mkdir, terminal_sftp_open, terminal_sftp_parent,
+    terminal_sftp_read_link, terminal_sftp_rename, terminal_sftp_upload,
+    // 命令片段（P1）
+    terminal_delete_snippet, terminal_list_snippets, terminal_render_snippet,
+    terminal_restore_default_snippets, terminal_run_snippet, terminal_save_snippet,
+    // 命令历史（P1）
+    terminal_history_clear, terminal_history_delete, terminal_history_query,
+    terminal_history_run, terminal_history_sources, terminal_history_toggle_favorite,
+    // 端口转发（P2）
+    terminal_add_forward, terminal_list_forwards, terminal_remove_forward,
+    // 会话日志（P2）
+    terminal_log_path, terminal_toggle_logging,
+    // 主机配置同步（P2）
+    terminal_export_hosts, terminal_import_hosts,
+    // 会话模板（P2）
+    terminal_delete_template, terminal_save_template,
+    // AI 命令助手（P2）
+    terminal_ai_engines, terminal_ai_suggest,
+};
+use terminal::TerminalManager;
+use translate::{
+    translate_abort, translate_apply_shortcuts, translate_copy_text, translate_engine_delete,
+    translate_engine_models, translate_engine_save, translate_engine_test_config,
+    translate_engines_list,
+    translate_get_settings, translate_history_clear, translate_history_delete,
+    translate_history_list, translate_history_set_favorited, translate_ocr_languages,
+    translate_paste_back, translate_popup_edit_mode, translate_popup_hide,
+    translate_popup_prefs_set, translate_popup_ready, translate_popup_resize,
+    translate_popup_set_pinned, translate_preview_popup, translate_run, translate_save_settings,
+    translate_screenshot_region, translate_secret_clear, translate_secret_set,
+    translate_stream_start,
+};
 use updater::{
     app_version, update_check, update_install, update_thinghk_apply, update_thinghk_cancel,
     update_thinghk_confirm, ThinghkUpdateState,
@@ -99,11 +168,16 @@ fn quit_app(app: tauri::AppHandle) {
 }
 
 /// 导出 tauri-specta 生成的 TypeScript 类型与命令绑定（仅 debug 构建，开发时自动刷新）。
-/// 覆盖 proxy / quickpanel / clipboard / download_engine / screenshot 五个模块；
+/// 覆盖 proxy / quickpanel / clipboard / download_engine / screenshot / translate 等模块；
 /// 豁免清单（返回 serde_json::Value 或 tauri::ipc::Response/Request，specta 无法生成）：
 /// proxy_version / proxy_get_proxies / proxy_get_connections / proxy_patch_configs、
 /// downloader_status / downloader_get_extension_info、
-/// screenshot_get_fullscreen_bmp（返回 ipc::Response）/ screenshot_compose_copy（接收 ipc::Request）。
+/// screenshot_get_fullscreen_bmp（返回 ipc::Response）/ screenshot_compose_copy（接收 ipc::Request）、
+/// music_ping / music_get_sources / music_search（返回 serde_json::Value）。
+///
+/// 注意：export 结果写入 `../src/lib/bindings.ts`，因此**新增模块的命令后需至少以 debug
+/// 构建运行一次**，前端才能用 `commands.xxx` 拿到类型。在此之前前端若需调用，
+/// 只能退回原生 `invoke`（返回类型需自行声明）。
 #[cfg(debug_assertions)]
 fn export_bindings() {
     use specta_typescript::Typescript;
@@ -149,7 +223,10 @@ fn export_bindings() {
             downloader_get_tasks, downloader_check_url, downloader_add_task, downloader_pause_task,
             downloader_resume_task, downloader_cancel_task, downloader_redownload, downloader_remove_task, downloader_get_settings,
             downloader_save_settings, downloader_open_dir, downloader_open_url, downloader_focus_window, downloader_inspect, downloader_select_bt_files,
-            // screenshot（22，豁免 3：get_fullscreen_bmp / take_editor_image_raw 返回 ipc::Response、
+            // music（6，豁免 3：music_ping / music_get_sources / music_search 返回 serde_json::Value）
+            music_env_status, music_install_runtime, music_cancel_runtime_install,
+            music_stop_bridge, music_get_settings, music_save_settings,
+            // screenshot（23，豁免 3：get_fullscreen_bmp / take_editor_image_raw 返回 ipc::Response、
             // compose_copy / compose_png 接收 ipc::Request）
             screenshot_disable_transitions, screenshot_show_overlay, screenshot_register_shortcut,
             screenshot_unregister_shortcut, screenshot_register_pin_shortcut,
@@ -158,8 +235,48 @@ fn export_bindings() {
             screenshot_crop_copy_stored, screenshot_pick_list, screenshot_cursor_pos,
             screenshot_enum_windows, screenshot_capture_window, screenshot_scroll_capture,
             screenshot_scroll_cancel, screenshot_scroll_finish, screenshot_scroll_start,
+            screenshot_set_scroll_hole,
             screenshot_copy_image, screenshot_save_png,
             screenshot_save_cache, screenshot_load_cache, screenshot_delete_cache,
+            // translate（20）
+            translate_get_settings, translate_save_settings, translate_apply_shortcuts,
+            translate_engines_list, translate_engine_save, translate_engine_delete,
+            translate_secret_set, translate_secret_clear, translate_engine_test_config,
+            translate_engine_models, translate_run, translate_copy_text,
+            translate_preview_popup, translate_popup_ready, translate_popup_hide,
+            translate_popup_edit_mode, translate_popup_set_pinned, translate_popup_prefs_set,
+            translate_popup_resize, translate_screenshot_region, translate_ocr_languages,
+            translate_history_list, translate_history_delete, translate_history_clear,
+            translate_history_set_favorited,
+            translate_stream_start, translate_abort, translate_paste_back,
+            // terminal（41：39 业务 + key_public / new_host_id 两个辅助）
+            terminal_get_settings, terminal_save_settings, terminal_save_appearance,
+            terminal_save_layout, terminal_save_selection, terminal_save_security,
+            terminal_save_shortcuts,
+            terminal_list_shells, terminal_refresh_shells, terminal_save_shell,
+            terminal_delete_shell, terminal_set_last_shell, terminal_test_shell,
+            terminal_default_cwd,
+            terminal_open_local, terminal_open_ssh, terminal_list_sessions,
+            terminal_close_session, terminal_write, terminal_resize, terminal_rename_session,
+            terminal_detach_session, terminal_attach_session, terminal_session_cwd,
+            terminal_send_key, terminal_clear_session, terminal_session_alive,
+            terminal_set_encoding,
+            terminal_list_hosts, terminal_save_host, terminal_delete_host,
+            terminal_set_host_password, terminal_import_ssh_config,
+            terminal_list_keys, terminal_generate_key, terminal_import_key,
+            terminal_delete_key, terminal_rename_key, terminal_set_key_passphrase,
+            terminal_key_public, terminal_new_host_id,
+            terminal_list_known_hosts, terminal_forget_host, terminal_clear_known_hosts,
+            terminal_export_known_hosts, terminal_import_known_hosts,
+            terminal_confirm_host_key,
+            // 命令历史（6 个）
+            //
+            // 注意：这 6 个命令**必须与 `run()` 里那份 `collect_commands!` 同时登记**。
+            // 只登记其中一处不会报错：漏了这里 = 运行时能调但 `bindings.ts` 里没有类型；
+            // 漏了那边 = 有类型但调用失败。两种都是「编译/启动全绿但功能静默不可用」。
+            terminal_history_query, terminal_history_sources,
+            terminal_history_toggle_favorite, terminal_history_delete,
+            terminal_history_clear, terminal_history_run,
         ])
         .export(Typescript::default(), "../src/lib/bindings.ts")
         .expect("failed to export bindings");
@@ -243,6 +360,45 @@ pub fn run() {
             monitor_set_auto_start,
             monitor_get_hardware_config,
             monitor_set_hardware_config,
+            music_env_status,
+            music_install_runtime,
+            music_cancel_runtime_install,
+            music_update_musicdl,
+            music_ping,
+            music_stop_bridge,
+            music_get_sources,
+            music_search,
+            music_parse_playlist,
+            music_resolve,
+            music_get_settings,
+            music_save_settings,
+            music_download,
+            music_download_cancel,
+            feiniu_list_connections,
+            feiniu_save_connection,
+            feiniu_delete_connection,
+            feiniu_activate_connection,
+            feiniu_test_connection,
+            feiniu_login,
+            feiniu_logout,
+            feiniu_get_config,
+            feiniu_list_tracks,
+            feiniu_lyric,
+            feiniu_media_prefix,
+            feiniu_scan_local,
+            feiniu_list_audio_files,
+            feiniu_cache_status,
+            feiniu_cache_clear,
+            feiniu_cache_fetch,
+            feiniu_fnconnect_resolve,
+            webdav_test,
+            webdav_upload,
+            webdav_delete,
+            webdav_get_secret,
+            webdav_save_secret,
+            music_secret_get,
+            music_secret_set,
+            feiniu_delete_local,
             network_status,
             osd_apply_overlay_style,
             osd_begin_drag,
@@ -344,6 +500,7 @@ pub fn run() {
             screenshot_scroll_cancel,
             screenshot_scroll_finish,
             screenshot_scroll_start,
+            screenshot_set_scroll_hole,
             screenshot_take_editor_image_raw,
             screenshot_copy_image,
             screenshot_save_png,
@@ -357,7 +514,128 @@ pub fn run() {
             screenshot_unregister_pin_shortcut,
             screenshot_disable_transitions,
             screenshot_compose_copy,
-            screenshot_compose_png
+            screenshot_compose_png,
+            translate_get_settings,
+            translate_save_settings,
+            translate_apply_shortcuts,
+            translate_engines_list,
+            translate_engine_save,
+            translate_engine_delete,
+            translate_secret_set,
+            translate_secret_clear,
+            translate_engine_test_config,
+            translate_engine_models,
+            translate_run,
+            translate_copy_text,
+            translate_preview_popup,
+            translate_popup_ready,
+            translate_popup_hide,
+            translate_popup_edit_mode,
+            translate_popup_set_pinned,
+            translate_popup_prefs_set,
+            translate_popup_resize,
+            translate_screenshot_region,
+            translate_ocr_languages,
+            translate_history_list,
+            translate_history_delete,
+            translate_history_clear,
+            translate_history_set_favorited,
+            translate_stream_start,
+            translate_abort,
+            translate_paste_back,
+            terminal_get_settings,
+            terminal_save_settings,
+            terminal_save_appearance,
+            terminal_save_layout,
+            terminal_save_selection,
+            terminal_save_security,
+            terminal_save_shortcuts,
+            terminal_list_shells,
+            terminal_refresh_shells,
+            terminal_save_shell,
+            terminal_delete_shell,
+            terminal_set_last_shell,
+            terminal_test_shell,
+            terminal_default_cwd,
+            terminal_open_local,
+            terminal_open_ssh,
+            terminal_list_sessions,
+            terminal_close_session,
+            terminal_write,
+            terminal_resize,
+            terminal_rename_session,
+            terminal_detach_session,
+            terminal_attach_session,
+            terminal_session_cwd,
+            terminal_set_encoding,
+            terminal_send_key,
+            terminal_clear_session,
+            terminal_session_alive,
+            terminal_list_hosts,
+            terminal_save_host,
+            terminal_delete_host,
+            terminal_set_host_password,
+            terminal_import_ssh_config,
+            terminal_list_keys,
+            terminal_generate_key,
+            terminal_import_key,
+            terminal_delete_key,
+            terminal_rename_key,
+            terminal_set_key_passphrase,
+            terminal_key_public,
+            terminal_new_host_id,
+            terminal_list_known_hosts,
+            terminal_forget_host,
+            terminal_clear_known_hosts,
+            terminal_export_known_hosts,
+            terminal_import_known_hosts,
+            terminal_confirm_host_key,
+            // SFTP 文件管理（P1）
+            terminal_sftp_is_open,
+            terminal_sftp_open,
+            terminal_sftp_close,
+            terminal_sftp_list,
+            terminal_sftp_parent,
+            terminal_sftp_read_link,
+            terminal_sftp_mkdir,
+            terminal_sftp_delete,
+            terminal_sftp_rename,
+            terminal_sftp_upload,
+            terminal_sftp_download,
+            terminal_session_cwd_value,
+            // 本地文件操作（SFTP 面板的「打开 / 在资源管理器中显示」）
+            terminal_open_local_path,
+            terminal_reveal_local_path,
+            // 命令片段（P1）
+            terminal_list_snippets,
+            terminal_save_snippet,
+            terminal_delete_snippet,
+            terminal_render_snippet,
+            terminal_run_snippet,
+            terminal_restore_default_snippets,
+            // 命令历史（P1）
+            terminal_history_query,
+            terminal_history_sources,
+            terminal_history_toggle_favorite,
+            terminal_history_delete,
+            terminal_history_clear,
+            terminal_history_run,
+            // 端口转发（P2）
+            terminal_add_forward,
+            terminal_list_forwards,
+            terminal_remove_forward,
+            // 会话日志（P2）
+            terminal_log_path,
+            terminal_toggle_logging,
+            // 主机配置同步（P2）
+            terminal_export_hosts,
+            terminal_import_hosts,
+            // 会话模板（P2）
+            terminal_delete_template,
+            terminal_save_template,
+            // AI 命令助手（P2）
+            terminal_ai_engines,
+            terminal_ai_suggest
         ])
         .setup(setup::init)
         .on_window_event(|window, event| {
@@ -395,6 +673,16 @@ pub fn run() {
                     });
                     let _ = rx.recv_timeout(std::time::Duration::from_secs(3));
                 }
+                if let Some(music) = app.try_state::<MusicManager>() {
+                    // 停止音乐桥接进程（kill 快速返回，wait 在后台线程完成）
+                    music.cleanup_on_exit();
+                }
+                if let Some(term) = app.try_state::<TerminalManager>() {
+                    // 关闭全部终端会话。**不等待**：ConPTY 的 ClosePseudoConsole 会
+                    // 阻塞到所有句柄关闭，退出路径上等待会卡死（会话侧已把关闭动作
+                    // 放进后台线程，进程终止时 OS 回收剩余资源）。
+                    term.cleanup_on_exit();
+                }
                 if let Some(clip) = app.try_state::<ClipboardManager>() {
                     clip.stop();
                 }

src-tauri/src/music/bridge.rs

@@ -0,0 +1,262 @@
+//! 桥接进程生命周期：spawn（stdio JSON-Lines 协议）→ 请求分发 → 事件转发 → 停止。
+//! 子模块通过 `impl super::MusicManager` 追加方法。
+//!
+//! 协议（与 bridge.py 对应）：
+//! 请求 `{"id":1,"method":"ping","params":{}}`
+//! 响应 `{"id":1,"ok":true,"result":{...}}` 或 `{"id":1,"ok":false,"error":"..."}`
+//! 无 id 的事件行 `{"event":"download","type":"progress",...}` 由 reader 线程
+//! 原样转发为 Tauri 事件 `music-download-event`（见 constants::events）。
+
+use std::io::{BufRead, BufReader, Write};
+use std::process::{Command, Stdio};
+use tauri::Emitter;
+
+use super::{BridgeEntry, MusicManager, PythonEnv};
+
+/// 桥接脚本源码（内置，运行时写出到 {root}/bridge.py，避免资源目录配置）
+const BRIDGE_SCRIPT: &str = include_str!("bridge.py");
+
+/// 桥接请求错误分类：决定是否允许重启桥接进程重试。
+/// 应用层错误与超时绝不能触发重启——重启会杀掉正在进行的下载任务。
+pub(crate) enum BridgeError {
+    /// 传输层错误（进程退出/管道损坏/写入失败/通道关闭）→ 可重启重试
+    Transport(String),
+    /// 应用层错误（桥接正常响应 ok:false）→ 不重启
+    App(String),
+    /// 响应超时 → 不重启（进程可能只是忙，如正在执行长耗时搜索）
+    Timeout(String),
+}
+
+impl BridgeError {
+    fn into_message(self) -> String {
+        match self {
+            BridgeError::Transport(m) | BridgeError::App(m) | BridgeError::Timeout(m) => m,
+        }
+    }
+}
+
+impl MusicManager {
+    /// 桥接进程是否在运行（存在且未退出）
+    pub fn bridge_running(&self) -> bool {
+        let mut guard = match self.bridge.lock() {
+            Ok(g) => g,
+            Err(_) => return false,
+        };
+        match guard.as_mut() {
+            Some(entry) => entry.child.try_wait().ok().map(|w| w.is_none()).unwrap_or(false),
+            None => false,
+        }
+    }
+
+    /// 确保桥接进程已启动（已启动则直接返回；并发调用由 start_lock 串行化）
+    pub fn ensure_bridge(&self) -> Result<(), String> {
+        if self.bridge_running() {
+            return Ok(());
+        }
+        let _guard = self.start_lock().lock().map_err(|e| e.to_string())?;
+        // 二次检查（等待锁期间可能已被其他调用方启动）
+        if self.bridge_running() {
+            return Ok(());
+        }
+        // 清理可能残留的旧条目
+        self.bridge.lock().map_err(|e| e.to_string())?.take();
+        let python = self.resolve_python()?;
+        self.spawn_bridge(&python)
+    }
+
+    /// 启动桥接进程：stdin/stdout 管道直连，stderr 写入 runtime/bridge_stderr.log
+    fn spawn_bridge(&self, python: &PythonEnv) -> Result<(), String> {
+        let script = self.bridge_script_path();
+        // 每次启动前重写脚本，保证与当前版本一致（内容固定，成本极低）
+        std::fs::write(&script, BRIDGE_SCRIPT).map_err(|e| format!("写出桥接脚本失败: {}", e))?;
+
+        let stderr_log = self.runtime_dir().join("bridge_stderr.log");
+        let stderr_file = std::fs::File::create(&stderr_log).map_err(|e| e.to_string())?;
+
+        let mut cmd = Command::new(&python.exe);
+        cmd.arg(&script);
+        cmd.stdin(Stdio::piped())
+            .stdout(Stdio::piped())
+            .stderr(Stdio::from(stderr_file));
+        crate::process_manager::setup_creation_flags(&mut cmd);
+        // cwd 统一设为模块根目录：musicdl 会在 cwd 落 search_results.pkl 等缓存文件，
+        // 不设置时（系统 Python）会污染应用工作目录（开发期为仓库根目录）
+        if let Some(parent) = script.parent() {
+            cmd.current_dir(parent);
+        }
+
+        let mut child = cmd
+            .spawn()
+            .map_err(|e| format!("启动桥接进程失败 (python: {}): {}", python.exe.display(), e))?;
+        crate::process_manager::assign_to_job(&child);
+
+        let stdin = child.stdin.take().ok_or_else(|| "无法获取桥接 stdin".to_string())?;
+        let stdout = child.stdout.take().ok_or_else(|| "无法获取桥接 stdout".to_string())?;
+
+        *self.bridge.lock().map_err(|e| e.to_string())? = Some(BridgeEntry { child, stdin });
+
+        // 启动 stdout reader 线程：按行读取，按 id 分发到 pending；无 id 的事件行转发到前端
+        let pending = self.pending.clone();
+        let app = self.app_handle();
+        std::thread::spawn(move || {
+            let reader = BufReader::new(stdout);
+            for line in reader.lines() {
+                let Ok(line) = line else { break };
+                let Ok(v) = serde_json::from_str::<serde_json::Value>(&line) else {
+                    crate::logger::log_warn("music-bridge", &format!("无法解析 stdout: {}", line));
+                    continue;
+                };
+                if let Some(id) = v.get("id").and_then(|i| i.as_u64()) {
+                    if let Some(tx) = pending.lock().ok().and_then(|mut m| m.remove(&id)) {
+                        let _ = tx.send(v);
+                    }
+                } else if v.get("event").is_some() {
+                    // 事件行（下载进度等）：原样转发给前端
+                    if let Some(app) = app.as_ref() {
+                        let _ = app.emit(crate::constants::events::MUSIC_DOWNLOAD_EVENT, &v);
+                    }
+                } else {
+                    // 其他无 id 行仅记日志
+                    crate::logger::log_info("music-bridge", &line);
+                }
+            }
+            crate::logger::log_info("music-bridge", "stdout 已关闭，reader 线程退出");
+        });
+
+        crate::logger::log_info(
+            "music-bridge",
+            &format!("桥接进程已启动 (python: {})", python.exe.display()),
+        );
+        Ok(())
+    }
+
+    /// 停止桥接进程：kill 快速返回，wait 移到后台线程；所有 pending 请求置为失败
+    pub fn stop_bridge(&self) {
+        let entry = self.bridge.lock().ok().and_then(|mut b| b.take());
+        if let Some(mut entry) = entry {
+            let _ = entry.child.kill();
+            // drop stdin/stdout 关闭管道端，reader 线程读到 EOF 退出
+            drop(entry.stdin);
+            std::thread::spawn(move || {
+                let _ = entry.child.wait();
+            });
+            crate::logger::log_info("music-bridge", "桥接进程已停止");
+        }
+        // 通知前端：活动中的下载任务应标记为中断
+        if let Some(app) = self.app_handle() {
+            let _ = app.emit(
+                crate::constants::events::MUSIC_DOWNLOAD_EVENT,
+                serde_json::json!({ "event": "download", "type": "bridge-stopped" }),
+            );
+        }
+        // 唤醒所有等待中的请求（以 Null 表示已中止）
+        if let Ok(mut map) = self.pending.lock() {
+            for (_, tx) in map.drain() {
+                let _ = tx.send(serde_json::Value::Null);
+            }
+        }
+    }
+
+    /// 发送一条请求并等待响应（默认 5s 超时）。传输层错误时自动重启重试一次。
+    pub async fn request(
+        &self,
+        method: &str,
+        params: serde_json::Value,
+    ) -> Result<serde_json::Value, String> {
+        self.request_with_timeout(method, params, std::time::Duration::from_secs(5))
+            .await
+    }
+
+    /// 发送一条请求并等待响应（自定义超时，供 search 等长耗时操作使用）。
+    /// 仅传输层错误（进程退出/管道损坏）会重启桥接并重试一次；
+    /// 应用层错误（桥接返回 ok:false）与超时不重启——重启会误杀正在下载的任务。
+    pub async fn request_with_timeout(
+        &self,
+        method: &str,
+        params: serde_json::Value,
+        timeout: std::time::Duration,
+    ) -> Result<serde_json::Value, String> {
+        self.ensure_bridge()?;
+        match self.request_inner(method, params.clone(), timeout).await {
+            Ok(v) => Ok(v),
+            Err(BridgeError::Transport(_)) => {
+                // 一次重启机会（进程可能已退出/管道损坏）
+                self.stop_bridge();
+                self.ensure_bridge()?;
+                self.request_inner(method, params, timeout)
+                    .await
+                    .map_err(BridgeError::into_message)
+            }
+            Err(e) => Err(e.into_message()),
+        }
+    }
+
+    async fn request_inner(
+        &self,
+        method: &str,
+        params: serde_json::Value,
+        timeout: std::time::Duration,
+    ) -> Result<serde_json::Value, BridgeError> {
+        let id = self.next_id.fetch_add(1, std::sync::atomic::Ordering::SeqCst);
+        let (tx, rx) = tokio::sync::oneshot::channel::<serde_json::Value>();
+        self.pending
+            .lock()
+            .map_err(|e| BridgeError::Transport(e.to_string()))?
+            .insert(id, tx);
+
+        // 写入 stdin（同步函数，MutexGuard 在返回时释放，避免跨 await 持有非 Send 值）
+        self.write_request(id, method, &params)
+            .map_err(BridgeError::Transport)?;
+
+        let v = tokio::time::timeout(timeout, rx)
+            .await
+            .map_err(|_| BridgeError::Timeout("桥接响应超时".to_string()))?
+            .map_err(|_| BridgeError::Transport("桥接响应通道已关闭".to_string()))?;
+
+        // 停止桥接时发送 Null 表示中止
+        if v.is_null() {
+            return Err(BridgeError::Transport("桥接进程已停止".into()));
+        }
+        if v.get("ok").and_then(|o| o.as_bool()).unwrap_or(false) {
+            Ok(v.get("result").cloned().unwrap_or(serde_json::Value::Null))
+        } else {
+            Err(BridgeError::App(
+                v.get("error")
+                    .and_then(|e| e.as_str())
+                    .unwrap_or("桥接返回未知错误")
+                    .to_string(),
+            ))
+        }
+    }
+
+    /// 写入一条请求到桥接 stdin（同步；进程已退出 / 管道损坏时返回错误）
+    fn write_request(&self, id: u64, method: &str, params: &serde_json::Value) -> Result<(), String> {
+        let line = format!(
+            "{{\"id\":{},\"method\":{},\"params\":{}}}\n",
+            id,
+            serde_json::to_string(method).map_err(|e| e.to_string())?,
+            params
+        );
+        let mut guard = self.bridge.lock().map_err(|e| e.to_string())?;
+        let Some(entry) = guard.as_mut() else {
+            return Err("桥接进程未启动".into());
+        };
+        // 进程已退出 → 立即失败，交给外层重启
+        if entry.child.try_wait().map_err(|e| e.to_string())?.is_some() {
+            return Err("桥接进程已退出".into());
+        }
+        entry
+            .stdin
+            .write_all(line.as_bytes())
+            .map_err(|e| format!("写入桥接 stdin 失败: {}", e))?;
+        entry.stdin.flush().map_err(|e| format!("刷新桥接 stdin 失败: {}", e))?;
+        Ok(())
+    }
+
+    /// ping 桥接进程（P0 环境层连通性验证）
+    pub async fn ping(&self) -> Result<serde_json::Value, String> {
+        let v = self.request("ping", serde_json::Value::Null).await?;
+        crate::logger::log_info("music-bridge", &format!("ping 成功: {}", v));
+        Ok(v)
+    }
+}

src-tauri/src/music/commands.rs

@@ -0,0 +1,730 @@
+//! 音乐模块 Tauri 命令层。
+
+use serde_json::json;
+use std::time::{SystemTime, UNIX_EPOCH};
+use tauri::{AppHandle, State};
+
+use super::{
+    normalize_base_url, resolve_base_url, extract_fn_id, FeiniuConnection, MusicEnvStatus,
+    MusicManager, MusicSettings,
+};
+
+/// 查询环境状态（Python / musicdl / FFmpeg / 桥接进程），设置页「环境检查」面板调用。
+/// 异步命令：子进程探测在阻塞线程池执行，避免冻结主线程/UI。
+#[tauri::command]
+#[specta::specta]
+pub async fn music_env_status(state: State<'_, MusicManager>) -> Result<MusicEnvStatus, String> {
+    state.env_status().await
+}
+
+/// 安装便携 Python + musicdl（幂等），全程推送 music-runtime-install-progress 事件
+#[tauri::command]
+#[specta::specta]
+pub async fn music_install_runtime(
+    state: State<'_, MusicManager>,
+    app: AppHandle,
+) -> Result<MusicEnvStatus, String> {
+    state.install_runtime(&app).await?;
+    Ok(state.env_status().await?)
+}
+
+/// 取消便携运行时安装/下载
+#[tauri::command]
+#[specta::specta]
+pub fn music_cancel_runtime_install(state: State<'_, MusicManager>) -> Result<(), String> {
+    state.cancel();
+    Ok(())
+}
+
+/// 把 musicdl 对齐到本应用锁定的版本（`force = true` 表示强制重装）。
+///
+/// 与「安装便携版」的区别：安装的闸门是「能否 import」，所以版本不一致时它什么都不做；
+/// 更新则是显式对齐到 `MUSICDL_VERSION`。**只升到锁定版本，不升 PyPI 最新版**
+/// （bridge.py 的 monkey patch 与 musicdl 版本强耦合，见 `update_musicdl` 的说明）。
+///
+/// 成功后顺手停掉桥接进程：它可能已经 import 了旧版 musicdl 并缓存了 MusicClient，
+/// 不重启就会继续用旧代码跑。下一次搜索/下载会自动拉起新进程。
+///
+/// 返回更新后的环境状态，前端一次往返即可刷新面板。
+#[tauri::command]
+pub async fn music_update_musicdl(
+    state: State<'_, MusicManager>,
+    app: AppHandle,
+    force: Option<bool>,
+) -> Result<MusicEnvStatus, String> {
+    state.update_musicdl(&app, force.unwrap_or(false)).await?;
+    state.stop_bridge();
+    state.env_status().await
+}
+
+/// ping 桥接进程（未启动则自动拉起），返回 {"version","python"}；
+/// 返回 Value 且未标注 specta：前端直接按 JSON 使用
+#[tauri::command]
+pub async fn music_ping(state: State<'_, MusicManager>) -> Result<serde_json::Value, String> {
+    state.ping().await
+}
+
+/// 停止桥接进程
+#[tauri::command]
+#[specta::specta]
+pub fn music_stop_bridge(state: State<'_, MusicManager>) -> Result<(), String> {
+    state.stop_bridge();
+    Ok(())
+}
+
+/// 列出 musicdl 已注册的全部搜索源（客户端名）；返回 Value，未标注 specta
+#[tauri::command]
+pub async fn music_get_sources(state: State<'_, MusicManager>) -> Result<serde_json::Value, String> {
+    state.request("get_sources", serde_json::Value::Null).await
+}
+
+/// 多源搜索（最长 90s）。sources 为空时桥接使用默认 3 个大陆源；返回 Value，未标注 specta
+#[tauri::command]
+pub async fn music_search(
+    state: State<'_, MusicManager>,
+    keyword: String,
+    sources: Option<Vec<String>>,
+    proxy_url: Option<String>,
+    qq_cookie: Option<String>,
+) -> Result<serde_json::Value, String> {
+    // proxy_url 为空串表示「明确不走代理」（桥接侧会强制直连、屏蔽系统代理）；
+    // qq_cookie 为空表示游客身份（桥接侧不注入 Cookie）
+    let params = serde_json::json!({
+        "keyword": keyword,
+        "sources": sources.unwrap_or_default(),
+        "proxy": proxy_url.unwrap_or_default(),
+        "cookies": qq_cookie.unwrap_or_default(),
+    });
+    state
+        .request_with_timeout("search", params, std::time::Duration::from_secs(90))
+        .await
+}
+
+/// 解析歌单链接（网易云/QQ 等），返回歌曲列表；返回 Value，未标注 specta
+#[tauri::command]
+pub async fn music_parse_playlist(
+    state: State<'_, MusicManager>,
+    url: String,
+    sources: Option<Vec<String>>,
+    proxy_url: Option<String>,
+    qq_cookie: Option<String>,
+) -> Result<serde_json::Value, String> {
+    let params = serde_json::json!({
+        "url": url,
+        "sources": sources.unwrap_or_default(),
+        "proxy": proxy_url.unwrap_or_default(),
+        "cookies": qq_cookie.unwrap_or_default(),
+    });
+    state
+        .request_with_timeout("parse_playlist", params, std::time::Duration::from_secs(90))
+        .await
+}
+
+/// 读取音乐模块设置
+#[tauri::command]
+#[specta::specta]
+pub fn music_get_settings(state: State<'_, MusicManager>) -> MusicSettings {
+    state.load_settings()
+}
+
+/// 保存音乐模块设置（立即生效）
+///
+/// 飞牛音乐**连接相关字段一律以磁盘为准**，不接受前端传值：
+/// 连接列表 / 激活连接 / 旧版单连接字段只由 `feiniu_save_connection`、
+/// `feiniu_activate_connection`、`feiniu_delete_connection`、`feiniu_login`
+/// 等专用命令维护。
+///
+/// 原因：前端 `musicStore` 只在 init 时读一次整份设置并长期复用快照，
+/// 若允许它整份回写，删除连接后任意一次设置保存（哪怕是切页触发的）
+/// 都会把已删除的连接从旧快照里写回来。
+#[tauri::command]
+#[specta::specta]
+pub fn music_save_settings(
+    state: State<'_, MusicManager>,
+    settings: MusicSettings,
+) -> Result<(), String> {
+    let persisted = state.load_settings();
+    let mut next = settings;
+    next.feiniu_connections = persisted.feiniu_connections;
+    next.feiniu_active_id = persisted.feiniu_active_id;
+    next.feiniu_base_url = persisted.feiniu_base_url;
+    next.feiniu_token = persisted.feiniu_token;
+    next.feiniu_username = persisted.feiniu_username;
+    next.feiniu_device_id = persisted.feiniu_device_id;
+    next.feiniu_access_code = persisted.feiniu_access_code;
+    state.save_settings(&next)
+}
+
+/// 解析歌曲真实下载链接（懒解析：搜索只取元数据，试听/下载前调用）。
+/// song（单曲）或 songs（批量）二选一；返回 Value，未标注 specta。
+#[tauri::command]
+pub async fn music_resolve(
+    state: State<'_, MusicManager>,
+    song: Option<serde_json::Value>,
+    songs: Option<Vec<serde_json::Value>>,
+    quality: Option<String>,
+    proxy_url: Option<String>,
+    qq_cookie: Option<String>,
+) -> Result<serde_json::Value, String> {
+    let mut list: Vec<serde_json::Value> = songs.unwrap_or_default();
+    if let Some(s) = song {
+        list.insert(0, s);
+    }
+    if list.is_empty() {
+        return Err("未提供歌曲".into());
+    }
+    let params = serde_json::json!({
+        "songs": list,
+        "quality": quality.unwrap_or_default(),
+        "proxy": proxy_url.unwrap_or_default(),
+        "cookies": qq_cookie.unwrap_or_default(),
+    });
+    state
+        .request_with_timeout("resolve", params, std::time::Duration::from_secs(180))
+        .await
+}
+
+/// 启动下载任务（桥接后台工作池执行，立即返回 taskId；进度经 music-download-event 推送）。
+/// songs 为搜索结果的歌曲 dict（桥接端用 SongInfo.fromdict 重建）。
+/// 返回 Value，未标注 specta。
+#[tauri::command]
+pub async fn music_download(
+    state: State<'_, MusicManager>,
+    task_id: String,
+    songs: Vec<serde_json::Value>,
+    savedir: String,
+    lyric: Option<bool>,
+    cover: Option<bool>,
+    proxy_url: Option<String>,
+    max_concurrent: Option<u32>,
+    quality: Option<String>,
+    qq_cookie: Option<String>,
+) -> Result<serde_json::Value, String> {
+    if songs.is_empty() {
+        return Err("未选择任何歌曲".into());
+    }
+    let params = serde_json::json!({
+        "taskId": task_id,
+        "songs": songs,
+        "savedir": savedir,
+        "lyric": lyric.unwrap_or(true),
+        "cover": cover.unwrap_or(true),
+        "proxy": proxy_url.unwrap_or_default(),
+        "maxConcurrent": max_concurrent.unwrap_or(1).clamp(1, 16),
+        "quality": quality.unwrap_or_default(),
+        "cookies": qq_cookie.unwrap_or_default(),
+    });
+    state
+        .request_with_timeout("download", params, std::time::Duration::from_secs(15))
+        .await
+}
+
+/// 取消下载任务（队列级：正在下载的歌曲会完成，其余标记取消）
+#[tauri::command]
+pub async fn music_download_cancel(
+    state: State<'_, MusicManager>,
+    task_id: String,
+) -> Result<serde_json::Value, String> {
+    state
+        .request("cancel", serde_json::json!({ "taskId": task_id }))
+        .await
+}
+
+// ============ 飞牛音乐(NAS)客户端（多连接） ============
+// 全部命令返回 serde_json::Value、不加 specta：前端用裸 invoke，映射在 feiniuStore。
+
+/// 连接列表 + 激活 id。返回 `{ activeId, list: [{id,name,kind,baseUrl,username,loggedIn,accessCode,insecure}] }`。
+/// `loggedIn` 的权威是系统凭据管理器里的 token（结构体字段只在凭据库不可用降级时才有值）。
+#[tauri::command]
+pub fn feiniu_list_connections(state: State<'_, MusicManager>) -> Result<serde_json::Value, String> {
+    let s = state.load_settings();
+    let list: Vec<_> = s
+        .feiniu_connections
+        .iter()
+        .map(|c| {
+            json!({
+                "id": c.id,
+                "name": c.name,
+                "kind": c.kind,
+                "baseUrl": c.base_url,
+                "username": c.username,
+                "loggedIn": !c.token.is_empty() || crate::music::secrets::has_feiniu_token(&c.id),
+                "accessCode": c.access_code,
+                "insecure": c.insecure,
+                "fnId": c.fn_id,
+                "relay": c.relay,
+            })
+        })
+        .collect();
+    Ok(json!({ "activeId": s.feiniu_active_id, "list": list }))
+}
+
+/// 新增/更新一条连接（不触碰已登录的 token；改地址后需重新登录）。
+#[tauri::command]
+pub fn feiniu_save_connection(
+    state: State<'_, MusicManager>,
+    connection: FeiniuConnection,
+) -> Result<serde_json::Value, String> {
+    let mut settings = state.load_settings();
+    let mut conn = connection;
+    conn.base_url = normalize_base_url(&conn.base_url);
+    if conn.id.is_empty() {
+        conn.id = new_conn_id();
+    }
+    let id = conn.id.clone();
+    if let Some(existing) = settings.feiniu_connections.iter_mut().find(|c| c.id == conn.id) {
+        conn.token = existing.token.clone(); // 保留既有 token
+        // relay 是解析结果而非用户输入：同为 fnconnect 时沿用，切换类型则重置
+        conn.relay = conn.kind == "fnconnect" && existing.kind == "fnconnect" && existing.relay;
+        *existing = conn;
+    } else {
+        settings.feiniu_connections.push(conn);
+    }
+    state.save_settings(&settings)?;
+    // 回传 id：新建时前端无需按「地址 + 名称」反查，避免 FnConnect（地址为空）匹配失败
+    Ok(json!({ "ok": true, "id": id }))
+}
+
+/// 删除一条连接；若删的是激活连接，自动切换激活到第一条。
+#[tauri::command]
+pub fn feiniu_delete_connection(
+    state: State<'_, MusicManager>,
+    id: String,
+) -> Result<serde_json::Value, String> {
+    let mut settings = state.load_settings();
+    settings.feiniu_connections.retain(|c| c.id != id);
+    if settings.feiniu_active_id == id {
+        settings.feiniu_active_id = settings
+            .feiniu_connections
+            .first()
+            .map(|c| c.id.clone())
+            .unwrap_or_default();
+    }
+    // 旧版单连接字段是迁移逻辑的输入：残留会让「列表为空」再次被迁移出一条连接。
+    // 删除是明确意图，顺手清掉，保证删了就是删了。
+    settings.feiniu_base_url.clear();
+    settings.feiniu_token.clear();
+    settings.feiniu_username.clear();
+    settings.feiniu_device_id.clear();
+    settings.feiniu_access_code.clear();
+    state.save_settings(&settings)?;
+    // 顺带清掉该连接在系统凭据管理器里的 token，避免留下孤儿凭据
+    let _ = crate::music::secrets::secret_delete(&crate::music::secrets::feiniu_token_key(&id));
+    state.feiniu.sync_with_settings(&settings);
+    Ok(json!({ "ok": true }))
+}
+
+/// 设某连接为激活连接。
+#[tauri::command]
+pub fn feiniu_activate_connection(
+    state: State<'_, MusicManager>,
+    id: String,
+) -> Result<serde_json::Value, String> {
+    let mut settings = state.load_settings();
+    if !settings.feiniu_connections.iter().any(|c| c.id == id) {
+        return Err("连接不存在".into());
+    }
+    settings.feiniu_active_id = id;
+    state.save_settings(&settings)?;
+    state.feiniu.sync_with_settings(&settings);
+    Ok(json!({ "ok": true }))
+}
+
+/// 登录激活/某连接：校验通过后写回该连接的 token/device_id 并启动本地流代理。
+/// fnconnect 连接会先用 fnId 解析出可达 base_url 再登录。
+#[tauri::command]
+pub async fn feiniu_login(
+    state: State<'_, MusicManager>,
+    connection_id: String,
+    username: String,
+    password: String,
+) -> Result<serde_json::Value, String> {
+    let mut settings = state.load_settings();
+    let mut conn = settings
+        .feiniu_connections
+        .iter()
+        .find(|c| c.id == connection_id)
+        .cloned()
+        .ok_or_else(|| "连接不存在，请先保存连接".to_string())?;
+    // fnconnect：用 fnId 解析 base_url
+    if conn.kind == "fnconnect" {
+        let fid = extract_fn_id(&conn.fn_id).ok_or_else(|| "FnConnect 连接缺少有效 fnId".to_string())?;
+        let (url, relay) = resolve_base_url(&fid).await?;
+        conn.base_url = url;
+        conn.relay = relay;
+        if let Some(c) = settings.feiniu_connections.iter_mut().find(|c| c.id == connection_id) {
+            c.base_url = conn.base_url.clone();
+            c.relay = relay;
+        }
+        state.save_settings(&settings)?;
+    }
+    // 用该连接配置装备运行期
+    let mut tmp = settings.clone();
+    tmp.feiniu_active_id = conn.id.clone();
+    state.feiniu.sync_with_settings(&tmp);
+
+    let (token, device_id) = state.feiniu.login(&conn.base_url, &username, &password).await?;
+
+    // token 存进系统凭据管理器；只有写入失败才降级为明文落 settings.json（并记日志）。
+    // 顺序很重要：先确认凭据库写成功，再决定要不要把明文留在结构体里。
+    let token_key = crate::music::secrets::feiniu_token_key(&connection_id);
+    let token_protected = crate::music::secrets::try_store(&token_key, &token);
+    if let Some(existing) = settings.feiniu_connections.iter_mut().find(|c| c.id == connection_id) {
+        existing.token = if token_protected { String::new() } else { token.clone() };
+        existing.device_id = device_id;
+        existing.username = username;
+    }
+    settings.feiniu_active_id = connection_id.clone();
+    state.save_settings(&settings)?;
+    state.feiniu.sync_with_settings(&settings);
+    let prefix = state.feiniu.media_prefix().await?;
+    // 不把 token 回传前端：前端除了 mediaPrefix 之外不需要它，少一处明文暴露面
+    Ok(json!({ "ok": true, "mediaPrefix": prefix, "protected": token_protected }))
+}
+
+/// 登出某连接（清 token，保留地址/账号），代理 Cookie 同步失效。
+///
+/// 顺序有讲究：**必须先删凭据库里的 token 再 sync**，
+/// 否则 `sync_with_settings` 会从凭据库把刚登出的 token 又读回运行期（看起来「登出无效」）。
+#[tauri::command]
+pub fn feiniu_logout(
+    state: State<'_, MusicManager>,
+    connection_id: String,
+) -> Result<serde_json::Value, String> {
+    let mut settings = state.load_settings();
+    let _ = crate::music::secrets::secret_delete(&crate::music::secrets::feiniu_token_key(
+        &connection_id,
+    ));
+    if let Some(c) = settings.feiniu_connections.iter_mut().find(|c| c.id == connection_id) {
+        c.token.clear();
+    }
+    state.save_settings(&settings)?;
+    state.feiniu.sync_with_settings(&settings);
+    state.feiniu.logout();
+    Ok(json!({ "ok": true }))
+}
+
+/// 测试一条连接**草案**能否登录（不持久化任何变更）。
+///
+/// 入参是编辑对话框里的完整草案而非连接 id：新建连接在保存前没有 id，
+/// 若按 id 查库，对话框里的「测试」在保存前必然报 missing required key。
+/// 探测以「草案作为唯一连接」装备运行期，结束后恢复持久化的激活连接。
+#[tauri::command]
+pub async fn feiniu_test_connection(
+    state: State<'_, MusicManager>,
+    connection: FeiniuConnection,
+    username: String,
+    password: String,
+) -> Result<serde_json::Value, String> {
+    let mut conn = connection;
+    conn.base_url = normalize_base_url(&conn.base_url);
+    // fnconnect：先解析 fnId（解析结果只用于本次探测，不回写设置）
+    if conn.kind == "fnconnect" {
+        let fid = extract_fn_id(&conn.fn_id).ok_or_else(|| "FnConnect 连接缺少有效 fnId".to_string())?;
+        let (url, relay) = resolve_base_url(&fid).await?;
+        conn.base_url = url;
+        conn.relay = relay;
+    }
+    if conn.base_url.trim().is_empty() {
+        return Err("请先填写服务器地址或飞牛 ID".to_string());
+    }
+
+    let settings = state.load_settings();
+    let mut tmp = settings.clone();
+    tmp.feiniu_connections = vec![conn.clone()];
+    tmp.feiniu_active_id = conn.id.clone();
+    state.feiniu.sync_with_settings(&tmp);
+
+    let r = state.feiniu.login(&conn.base_url, &username, &password).await;
+    // 探测可能污染运行期：恢复为持久化的激活连接
+    state.feiniu.sync_with_settings(&state.load_settings());
+    match r {
+        Ok(_) => Ok(json!({ "ok": true })),
+        Err(e) => Err(e),
+    }
+}
+
+/// 查询当前激活连接配置：{ activeId, baseUrl, username, loggedIn }。
+#[tauri::command]
+pub fn feiniu_get_config(state: State<'_, MusicManager>) -> Result<serde_json::Value, String> {
+    let settings = state.load_settings();
+    state.feiniu.sync_with_settings(&settings);
+    let active_id = settings.feiniu_active_id;
+    let mut cfg = state.feiniu.config();
+    cfg["activeId"] = json!(active_id);
+    Ok(cfg)
+}
+
+/// 分页拉取激活连接曲目列表：{ page, size, keyword? } → NAS 原始 data。
+#[tauri::command]
+pub async fn feiniu_list_tracks(
+    state: State<'_, MusicManager>,
+    page: Option<u32>,
+    size: Option<u32>,
+    keyword: Option<String>,
+) -> Result<serde_json::Value, String> {
+    state.feiniu.sync_with_settings(&state.load_settings());
+    state
+        .feiniu
+        .list_tracks(
+            page.unwrap_or(1).max(1),
+            size.unwrap_or(50).clamp(1, 100),
+            keyword.as_deref(),
+        )
+        .await
+}
+
+/// 获取某曲目歌词：{ lyric }（无则空字符串）。
+#[tauri::command]
+pub async fn feiniu_lyric(
+    state: State<'_, MusicManager>,
+    guid: String,
+) -> Result<serde_json::Value, String> {
+    state.feiniu.sync_with_settings(&state.load_settings());
+    let text = state.feiniu.lyric(&guid).await?;
+    Ok(json!({ "lyric": text }))
+}
+
+/// 本地媒体地址前缀：{ mediaPrefix }（首次调用惰性启动本地流代理）。
+#[tauri::command]
+pub async fn feiniu_media_prefix(
+    state: State<'_, MusicManager>,
+) -> Result<serde_json::Value, String> {
+    state.feiniu.sync_with_settings(&state.load_settings());
+    let prefix = state.feiniu.media_prefix().await?;
+    Ok(json!({ "mediaPrefix": prefix }))
+}
+
+/// 允许访问的本地目录（下载目录 + 自定义曲库目录）。
+/// 本地文件的**列举与删除**都限定在其中——前端只应能操作曲库范围内的文件。
+fn allowed_local_roots(state: &MusicManager) -> Vec<String> {
+    let s = state.load_settings();
+    let mut dirs: Vec<String> = vec![s.savedir.clone()];
+    for d in &s.feiniu_local_dirs {
+        if !dirs.iter().any(|x| x == d) {
+            dirs.push(d.clone());
+        }
+    }
+    dirs.into_iter().filter(|d| !d.trim().is_empty()).collect()
+}
+
+/// 路径是否位于允许的根目录之下。
+/// 两侧都先 `canonicalize`：`..` 与符号链接因此无法越出根目录。
+fn is_within_roots(path: &std::path::Path, roots: &[String]) -> bool {
+    let Ok(target) = std::fs::canonicalize(path) else {
+        return false;
+    };
+    roots.iter().any(|r| {
+        std::fs::canonicalize(r)
+            .map(|root| target.starts_with(&root))
+            .unwrap_or(false)
+    })
+}
+
+/// 列出某个下载目录中的音频文件（非递归）：`{ items: [{path,name,size,mtim}] }`。
+///
+/// 供上传编排在下载目录里定位「刚落盘的文件」——用 `feiniu_scan_local` 会递归遍历
+/// 整个曲库并解析标签，为一次上传扫全库是纯浪费。不解析标签（匹配只需要文件名与时间）。
+#[tauri::command]
+pub async fn feiniu_list_audio_files(
+    state: State<'_, MusicManager>,
+    dir: String,
+) -> Result<serde_json::Value, String> {
+    let roots = allowed_local_roots(&state);
+    if roots.is_empty() || !is_within_roots(std::path::Path::new(&dir), &roots) {
+        return Err(format!("拒绝列举曲库目录之外的路径：{dir}"));
+    }
+    tauri::async_runtime::spawn_blocking(move || crate::music::feiniu::list_audio_files(&dir))
+        .await
+        .map_err(|e| format!("列举目录失败: {e}"))
+}
+
+/// 扫描本地曲库目录中的音频文件：{ items }（目录 = 下载 savedir + 用户自定义 dirs）。
+/// 标签解析结果缓存在 CacheManager（size+mtim 未变即复用）。
+///
+/// **必须 async + spawn_blocking**：Tauri 中不带 async 的命令在主线程执行，
+/// 而 walkdir 递归 + lofty 全量标签解析在万级曲库下会阻塞数秒——UI 直接冻住。
+/// 目录与缓存路径都先取出为自有值，避免把 `State` 借进 'static 的阻塞任务。
+#[tauri::command]
+pub async fn feiniu_scan_local(state: State<'_, MusicManager>) -> Result<serde_json::Value, String> {
+    let dirs = allowed_local_roots(&state);
+    let tags_cache = state.feiniu.local_tags_path();
+    tauri::async_runtime::spawn_blocking(move || {
+        crate::music::scan_local_dirs(&dirs, Some(tags_cache.as_path()))
+    })
+    .await
+    .map_err(|e| format!("本地曲库扫描任务失败: {e}"))
+}
+
+/// 播放缓存状态：{ count, usedBytes, usedMb }。
+#[tauri::command]
+pub fn feiniu_cache_status(state: State<'_, MusicManager>) -> Result<serde_json::Value, String> {
+    Ok(state.feiniu.cache_status())
+}
+
+/// 清空播放缓存。
+#[tauri::command]
+pub fn feiniu_cache_clear(state: State<'_, MusicManager>) -> Result<serde_json::Value, String> {
+    state.feiniu.cache_clear();
+    Ok(json!({ "ok": true }))
+}
+
+/// 缓存一首歌（命中则直接返回）：{ path } 或 { cached }。
+#[tauri::command]
+pub async fn feiniu_cache_fetch(
+    state: State<'_, MusicManager>,
+    guid: String,
+) -> Result<serde_json::Value, String> {
+    state.feiniu.sync_with_settings(&state.load_settings());
+    let max_gb = state.load_settings().feiniu_cache_max_gb;
+    let hit = state.feiniu.cache_fetch(&guid, max_gb).await?;
+    Ok(json!({ "path": hit, "cached": hit.is_some() }))
+}
+
+/// 生成一条新连接的 id（时间戳 + 进程号，避免引 rand）。
+fn new_conn_id() -> String {
+    let n = SystemTime::now()
+        .duration_since(UNIX_EPOCH)
+        .map(|d| d.as_nanos())
+        .unwrap_or(0);
+    format!("c{n:x}")
+}
+
+// ============ P6：下载到飞牛 + 曲库增删（WebDAV，无状态） ============
+
+/// 测试 WebDAV 连接与目标目录是否可达。
+#[tauri::command]
+#[specta::specta]
+pub async fn webdav_test(
+    config: crate::music::feiniu::webdav::WebDavConfig,
+    dir: String,
+) -> Result<serde_json::Value, String> {
+    let msg = crate::music::feiniu::webdav::test(&config, &dir).await?;
+    Ok(json!({ "ok": true, "message": msg }))
+}
+
+/// 上传本地文件到 WebDAV 目标目录（流式，不整载内存）。
+#[tauri::command]
+#[specta::specta]
+pub async fn webdav_upload(
+    config: crate::music::feiniu::webdav::WebDavConfig,
+    local_path: String,
+    remote_path: String,
+) -> Result<serde_json::Value, String> {
+    let name = crate::music::feiniu::webdav::upload_file(
+        &config,
+        std::path::Path::new(&local_path),
+        &remote_path,
+    )
+    .await?;
+    Ok(json!({ "ok": true, "name": name }))
+}
+
+/// 删除 WebDAV 远程文件（404 视为已删除）。
+#[tauri::command]
+#[specta::specta]
+pub async fn webdav_delete(
+    config: crate::music::feiniu::webdav::WebDavConfig,
+    remote_path: String,
+) -> Result<serde_json::Value, String> {
+    crate::music::feiniu::webdav::delete(&config, &remote_path).await?;
+    Ok(json!({ "ok": true }))
+}
+
+// ============ 敏感串（系统凭据管理器，DPAPI 保护） ============
+// 统一实现在 crate::music::secrets：WebDAV 账号密码、QQ 音乐 Cookie、飞牛登录 token
+// 三类凭据同构存放，不再出现「一类进凭据库、另一类明文落盘」的双标。
+
+/// 读取 WebDAV 凭据。未配置时 username/password 为 null。
+#[tauri::command]
+pub fn webdav_get_secret() -> Result<serde_json::Value, String> {
+    let parsed = crate::music::secrets::secret_read(crate::music::secrets::KEY_WEBDAV)
+        .unwrap_or(None)
+        .and_then(|raw| serde_json::from_str::<serde_json::Value>(&raw).ok());
+    Ok(parsed.unwrap_or_else(|| json!({ "username": null, "password": null })))
+}
+
+/// 保存 WebDAV 凭据（账号 + 密码整体覆盖）。
+#[tauri::command]
+pub fn webdav_save_secret(username: String, password: String) -> Result<serde_json::Value, String> {
+    let blob = json!({ "username": username, "password": password }).to_string();
+    crate::music::secrets::secret_write(crate::music::secrets::KEY_WEBDAV, &blob)?;
+    Ok(json!({ "ok": true }))
+}
+
+/// 校验前端可访问的凭据键：只允许白名单内的键（见 `secrets::FRONTEND_KEYS`）。
+///
+/// 白名单刻意不含 `webdav-credentials` 与飞牛 token——
+/// 前端因此无法通过这两个通用命令去读写它们，只能碰自己的 QQ 音乐 Cookie。
+fn assert_frontend_secret_key(key: &str) -> Result<(), String> {
+    if crate::music::secrets::frontend_key_allowed(key) {
+        Ok(())
+    } else {
+        Err(format!("不允许访问的凭据键：{key}"))
+    }
+}
+
+/// 读取一个音乐模块的敏感串（如 QQ 音乐 Cookie）：{ value }（未设置 → null）。
+#[tauri::command]
+pub fn music_secret_get(key: String) -> Result<serde_json::Value, String> {
+    assert_frontend_secret_key(&key)?;
+    Ok(json!({ "value": crate::music::secrets::secret_read(&key)? }))
+}
+
+/// 写入 / 清除一个音乐模块的敏感串。`value` 为空表示删除该凭据。
+#[tauri::command]
+pub fn music_secret_set(key: String, value: String) -> Result<serde_json::Value, String> {
+    assert_frontend_secret_key(&key)?;
+    if value.is_empty() {
+        crate::music::secrets::secret_delete(&key)?;
+    } else {
+        crate::music::secrets::secret_write(&key, &value)?;
+    }
+    Ok(json!({ "ok": true }))
+}
+
+/// 删除本地媒体文件（「下载到飞牛」落地即传流程的收尾）。
+/// 仅允许音频 / 歌词 / 封面扩展名，拒绝目录，且**必须落在已配置的下载/曲库目录内**——
+/// 只校验扩展名的话，前端一旦传错路径就能删掉用户的任意音乐文件。
+#[tauri::command]
+#[specta::specta]
+pub fn feiniu_delete_local(
+    state: State<'_, MusicManager>,
+    path: String,
+) -> Result<serde_json::Value, String> {
+    const ALLOWED: [&str; 13] = [
+        "mp3", "flac", "wav", "m4a", "aac", "ogg", "ape", "wma", "lrc", "jpg", "jpeg", "png", "webp",
+    ];
+    let p = std::path::Path::new(&path);
+    let ext_ok = p
+        .extension()
+        .and_then(|e| e.to_str())
+        .map(|e| ALLOWED.contains(&e.to_lowercase().as_str()))
+        .unwrap_or(false);
+    if !ext_ok {
+        return Err(format!("拒绝删除非媒体文件：{path}"));
+    }
+    let meta = std::fs::metadata(p).map_err(|e| format!("文件不存在: {e}"))?;
+    if meta.is_dir() {
+        return Err("拒绝删除目录".to_string());
+    }
+    if !is_within_roots(p, &allowed_local_roots(&state)) {
+        return Err(format!("拒绝删除曲库目录之外的文件：{path}"));
+    }
+    std::fs::remove_file(p).map_err(|e| format!("删除失败: {e}"))?;
+    Ok(json!({ "ok": true }))
+}
+
+// ============ P7：FnConnect 远程连接解析 ============
+
+/// 解析 fnId → 可达 base_url（探测后返回）。命令层在 fnconnect 连接登录前调用。
+#[tauri::command]
+pub async fn feiniu_fnconnect_resolve(
+    state: State<'_, MusicManager>,
+    fn_id: String,
+) -> Result<serde_json::Value, String> {
+    let _ = &state;
+    let (url, relay) = resolve_base_url(&fn_id).await?;
+    Ok(json!({ "baseUrl": url, "relay": relay }))
+}
+

src-tauri/src/music/feiniu/cache.rs

@@ -0,0 +1,162 @@
+//! 飞牛音乐播放缓存（容量限制 + LRU 逐出）。
+//!
+//! 缓存目录：`{app_data}/music/cache`，文件 `guid.<ext>`（ext 缺省记 `bin`）。
+//! 元数据：`index.json` → `{ "guid": { "size", "lastUsed", "file" } }`。
+//! 超上限按 lastUsed 升序逐出，直到总占用低于上限。
+
+use std::collections::HashMap;
+use std::fs;
+use std::io::Write;
+use std::path::{Path, PathBuf};
+use std::time::{SystemTime, UNIX_EPOCH};
+
+use serde::{Deserialize, Serialize};
+use serde_json::json;
+
+/// 单条缓存元数据
+#[derive(Serialize, Deserialize, Clone)]
+pub struct CacheEntry {
+    pub size: u64,
+    pub last_used: u64,
+    pub file: String,
+}
+
+pub struct CacheManager {
+    root: PathBuf,
+    index_path: PathBuf,
+}
+
+impl CacheManager {
+    pub fn new(app_data_dir: &Path) -> Self {
+        let root = app_data_dir.join("music").join("cache");
+        fs::create_dir_all(&root).ok();
+        let index_path = root.join("index.json");
+        Self { root, index_path }
+    }
+
+    /// 本地曲库标签缓存文件：{cache_root}/local-tags.json。
+    /// 记录 path -> {size, mtim, 标签}，扫描时未变化的文件直接复用，
+    /// 避免万级曲库每次都重新解析音频标签。
+    pub fn local_tags_path(&self) -> PathBuf {
+        self.root.join("local-tags.json")
+    }
+
+    fn load_index(&self) -> HashMap<String, CacheEntry> {
+        fs::read_to_string(&self.index_path)
+            .ok()
+            .and_then(|s| serde_json::from_str(&s).ok())
+            .unwrap_or_default()
+    }
+
+    fn save_index(&self, idx: &HashMap<String, CacheEntry>) {
+        if let Ok(s) = serde_json::to_string(idx) {
+            fs::write(&self.index_path, s).ok();
+        }
+    }
+
+    fn now_ms(&self) -> u64 {
+        SystemTime::now()
+            .duration_since(UNIX_EPOCH)
+            .map(|d| d.as_millis() as u64)
+            .unwrap_or(0)
+    }
+
+    /// 命中缓存：更新 lastUsed 并返回文件路径。
+    pub fn hit(&self, guid: &str) -> Option<String> {
+        let mut idx = self.load_index();
+        if let Some(e) = idx.get_mut(guid) {
+            let path = self.root.join(&e.file);
+            if path.exists() {
+                e.last_used = self.now_ms();
+                self.save_index(&idx);
+                return Some(path.to_string_lossy().to_string());
+            }
+            idx.remove(guid);
+            self.save_index(&idx);
+        }
+        None
+    }
+
+    /// 写入缓存（流式 chunk）；按上限（GB）逐出。返回写入总字节数。
+    pub async fn put<E: std::fmt::Display>(
+        &self,
+        guid: &str,
+        ext: &str,
+        max_gb: u32,
+        mut stream: impl futures_util::Stream<Item = Result<bytes::Bytes, E>> + Unpin,
+    ) -> Result<u64, String> {
+        let safe_guid = sanitize(guid);
+        let ext = if ext.is_empty() { "bin" } else { ext };
+        let file = format!("{safe_guid}.{ext}");
+        let path = self.root.join(&file);
+        let mut total: u64 = 0;
+        let mut f = fs::File::create(&path).map_err(|e| format!("创建缓存文件失败: {e}"))?;
+        while let Some(chunk) = futures_util::StreamExt::next(&mut stream).await {
+            let chunk = chunk.map_err(|e| format!("读取流失败: {e}"))?;
+            total += chunk.len() as u64;
+            f.write_all(chunk.as_ref()).map_err(|e| format!("写入缓存失败: {e}"))?;
+        }
+        f.flush().ok();
+
+        let mut idx = self.load_index();
+        idx.insert(
+            guid.to_string(),
+            CacheEntry {
+                size: total,
+                last_used: self.now_ms(),
+                file,
+            },
+        );
+        self.save_index(&idx);
+        self.evict(max_gb);
+        Ok(total)
+    }
+
+    /// 按上限（GB）逐出。max_gb==0 视为全部清空。
+    fn evict(&self, max_gb: u32) {
+        if max_gb == 0 {
+            self.clear();
+            return;
+        }
+        let max_bytes = max_gb as u64 * 1024 * 1024 * 1024;
+        let mut idx = self.load_index();
+        let mut total: u64 = idx.values().map(|e| e.size).sum();
+        let mut order: Vec<(String, u64)> = idx.iter().map(|(g, e)| (g.clone(), e.last_used)).collect();
+        order.sort_by_key(|(_, t)| *t);
+        for (guid, _) in order {
+            if total <= max_bytes {
+                break;
+            }
+            if let Some(e) = idx.remove(&guid) {
+                let _ = fs::remove_file(self.root.join(&e.file));
+                total = total.saturating_sub(e.size);
+            }
+        }
+        self.save_index(&idx);
+    }
+
+    /// 当前占用与条目数。
+    pub fn status(&self) -> serde_json::Value {
+        let idx = self.load_index();
+        let total: u64 = idx.values().map(|e| e.size).sum();
+        json!({
+            "count": idx.len(),
+            "usedBytes": total,
+            "usedMb": (total as f64 / 1024.0 / 1024.0 * 10.0).round() / 10.0,
+        })
+    }
+
+    pub fn clear(&self) {
+        let idx = self.load_index();
+        for e in idx.values() {
+            let _ = fs::remove_file(self.root.join(&e.file));
+        }
+        fs::remove_file(&self.index_path).ok();
+    }
+}
+
+fn sanitize(s: &str) -> String {
+    s.chars()
+        .map(|c| if c.is_ascii_alphanumeric() || c == '-' || c == '_' { c } else { '_' })
+        .collect()
+}

src-tauri/src/music/feiniu/conn.rs

@@ -0,0 +1,31 @@
+//! 飞牛音乐原生接口纯函数工具（登录签名、地址规范化、设备 ID）。
+//! 接口路径/认证方式对照 FeiNiuMusic(Flutter) `api_client.dart` 的第三方实现。
+
+use sha2::{Digest, Sha256};
+
+/// 规范化服务器地址：去首尾空白、去尾部各层斜杠、去误粘贴的 `/music/api/v1` 后缀。
+pub fn normalize_base_url(input: &str) -> String {
+    let mut u = input.trim().trim_end_matches('/').to_string();
+    let lower = u.to_lowercase();
+    if lower.ends_with("/music/api/v1") {
+        u = u[..u.len() - "/music/api/v1".len()].to_string();
+    }
+    u.trim_end_matches('/').to_string()
+}
+
+/// SHA-256 十六进制（登录时密码签名，对齐原生客户端 `sha256Hex(password)`）。
+pub fn sha256_hex(input: &str) -> String {
+    let mut hasher = Sha256::new();
+    hasher.update(input.as_bytes());
+    format!("{:x}", hasher.finalize())
+}
+
+/// 32 位 hex 设备 ID（首次生成后落 settings 复用；不依赖 rand，用时间戳+进程号哈希）。
+pub fn generate_device_id() -> String {
+    use std::time::{SystemTime, UNIX_EPOCH};
+    let nanos = SystemTime::now()
+        .duration_since(UNIX_EPOCH)
+        .map(|d| d.as_nanos())
+        .unwrap_or(0);
+    sha256_hex(&format!("{}-{}", nanos, std::process::id()))[..32].to_string()
+}

src-tauri/src/music/feiniu/fnconnect.rs

@@ -0,0 +1,295 @@
+//! FnConnect 远程连接解析。
+//!
+//! 链路参考第三方客户端 FnMusic 的 `fn_connection_probe_service.dart`：
+//! fnId → 网关 `<网关>/api/v1/fn/con`（authx md5 签名）→ 内网 / 公网 IPv6 / 公网 IPv4 / 中继
+//! 候选 → 并发探测（按优先级早停）→ 首个可达的 base_url。
+//!
+//! 关键约束（实测确认）：
+//! 1. authx 原文为 `PREFIX_url_nonce_timestamp_md5(body)_API_KEY`，
+//!    md5 与 API_KEY 之间是**单个**下划线；多一个下划线网关即返回 `invalid sign`。
+//! 2. 中继地址（`<fnId>.fnos.net`）必须携带 `Cookie: mode=relay` 才会被网关转发到
+//!    NAS 音乐后端，否则网关直接 302 回登录页。
+
+use std::time::Duration;
+
+use futures_util::stream::{FuturesUnordered, StreamExt};
+use md5::{Digest, Md5};
+use rand::RngCore;
+use serde_json::{json, Value};
+
+/// 网关主机（按序回退；5ddd.com 与 fnos.net 为同一服务的不同集群入口）。
+const FN_CONNECT_HOSTS: [&str; 2] = ["https://5ddd.com", "https://fnos.net"];
+/// 连接参数接口路径（签名原文中的 url 部分）。
+const FN_CON_PATH: &str = "/api/v1/fn/con";
+/// 签名常量（对齐第三方实现）。
+const FN_AUTHX_PREFIX: &str = "NDzZTVxnRKP8Z0jXg1VAMonaG8akvh";
+const FN_API_KEY: &str = "zIGtkc3dqZnJpd29qZXJqa2w7c";
+
+/// 网关查询超时。
+const FN_QUERY_TIMEOUT: Duration = Duration::from_secs(10);
+/// 直连候选（内网/公网 IP）探测超时。
+const FN_PROBE_TIMEOUT_DIRECT: Duration = Duration::from_secs(3);
+/// 中继候选探测超时（走公网网关，放宽）。
+const FN_PROBE_TIMEOUT_RELAY: Duration = Duration::from_secs(10);
+
+fn md5_hex(input: &str) -> String {
+    let mut h = Md5::new();
+    h.update(input.as_bytes());
+    format!("{:x}", h.finalize())
+}
+
+/// 从输入识别 fnId：`fnos.net/<id>`、`5ddd.com/<id>`、`<id>.fnos.net`、`<id>.5ddd.com`、或裸 fnId。
+pub fn extract_fn_id(input: &str) -> Option<String> {
+    let s = input.trim();
+    if s.is_empty() {
+        return None;
+    }
+    // 去协议后统一按「可能带路径的 host」处理
+    let mut t = s;
+    for p in ["https://", "http://"] {
+        if let Some(r) = t.strip_prefix(p) {
+            t = r;
+            break;
+        }
+    }
+    let t = t.trim_end_matches('/');
+    // 形如 <网关>/<id>
+    for gw in ["fnos.net/", "5ddd.com/"] {
+        if let Some((_, rest)) = t.split_once(gw) {
+            let id = rest.split('/').next().unwrap_or("").trim();
+            if !id.is_empty() {
+                return Some(id.to_string());
+            }
+        }
+    }
+    // 形如 <id>.<网关>
+    for suffix in [".fnos.net", ".5ddd.com"] {
+        if let Some(id) = t.strip_suffix(suffix) {
+            if !id.is_empty() {
+                return Some(id.to_string());
+            }
+        }
+    }
+    // 裸 fnId
+    if s.len() >= 3 && s.chars().all(|c| c.is_alphanumeric() || c == '-' || c == '_') {
+        return Some(s.to_string());
+    }
+    None
+}
+
+/// 计算网关 authx 签名。
+///
+/// 原文（下划线连接，**注意 md5 与 API_KEY 之间只有一个下划线**）：
+/// `PREFIX_url_nonce_timestamp_md5(body)_API_KEY` → 取 md5 作为 sign。
+fn fn_authx(method: &str, url: &str, data: &Value) -> String {
+    let body = if method.eq_ignore_ascii_case("get") {
+        String::new()
+    } else {
+        serde_json::to_string(data).unwrap_or_default()
+    };
+    let mut nonce = String::new();
+    let mut rng = rand::thread_rng();
+    for _ in 0..6 {
+        nonce.push(char::from(b'0' + (rng.next_u32() % 10) as u8));
+    }
+    let timestamp = std::time::SystemTime::now()
+        .duration_since(std::time::UNIX_EPOCH)
+        .map(|d| d.as_millis().to_string())
+        .unwrap_or_default();
+    let raw = format!(
+        "{FN_AUTHX_PREFIX}_{url}_{nonce}_{timestamp}_{}_{FN_API_KEY}",
+        md5_hex(&body)
+    );
+    format!("nonce={nonce}&timestamp={timestamp}&sign={}", md5_hex(&raw))
+}
+
+/// 从网关查询 fnId 的连接参数（多网关按序回退）。
+pub async fn query_fn_connect(fn_id: &str) -> Result<Value, String> {
+    let client = reqwest::Client::builder()
+        .timeout(FN_QUERY_TIMEOUT)
+        .build()
+        .map_err(|e| e.to_string())?;
+    let body = json!({ "fnId": fn_id });
+    let authx = fn_authx("post", FN_CON_PATH, &body);
+
+    let mut last_err = String::from("FnConnect 网关不可达");
+    for host in FN_CONNECT_HOSTS {
+        let resp = match client
+            .post(format!("{host}{FN_CON_PATH}"))
+            .header("Content-Type", "application/json")
+            .header("authx", authx.clone())
+            .json(&body)
+            .send()
+            .await
+        {
+            Ok(r) => r,
+            Err(e) => {
+                last_err = format!("FnConnect 网关不可达: {e}");
+                continue;
+            }
+        };
+        let b: Value = match resp.json().await {
+            Ok(v) => v,
+            Err(e) => {
+                last_err = format!("FnConnect 网关响应异常: {e}");
+                continue;
+            }
+        };
+        if b["code"].as_i64().unwrap_or(-1) != 0 {
+            last_err = b["msg"]
+                .as_str()
+                .filter(|s| !s.is_empty())
+                .map(|s| s.to_string())
+                .unwrap_or_else(|| "FnConnect 网关返回错误".to_string());
+            continue;
+        }
+        return Ok(b["data"].clone());
+    }
+    Err(last_err)
+}
+
+/// 去掉 `host:port` 形式的端口（仅用于中继域名，中继恒走 443）。
+fn strip_port(addr: &str) -> &str {
+    match addr.rsplit_once(':') {
+        Some((host, port)) if !host.is_empty() && port.chars().all(|c| c.is_ascii_digit()) => host,
+        _ => addr,
+    }
+}
+
+/// 构建候选 base_url 列表。返回 `(url, is_relay)`，顺序即优先级：
+/// 内网 IPv4 → 公网 IPv6 → 公网 IPv4 → 中继。
+///
+/// IP 直连地址 HTTP 优先、HTTPS 兜底（自签证书场景 HTTP 更易通）；
+/// `forbbidPublicIpv6` 为真时跳过公网 IPv6。
+pub fn build_candidates(data: &Value, fn_id: &str) -> Vec<(String, bool)> {
+    let mut out: Vec<(String, bool)> = Vec::new();
+    let port = &data["port"];
+    let http = port["httpPort"].as_u64().unwrap_or(5666);
+    let https = port["httpsPort"].as_u64().unwrap_or(5667);
+    let empty: Vec<Value> = Vec::new();
+
+    let strings = |key: &str| -> Vec<String> {
+        data[key]
+            .as_array()
+            .unwrap_or(&empty)
+            .iter()
+            .filter_map(|v| v.as_str())
+            .map(|s| s.to_string())
+            .collect()
+    };
+
+    // 1) 内网 IPv4
+    for ip in strings("ipv4") {
+        out.push((format!("http://{ip}:{http}"), false));
+        out.push((format!("https://{ip}:{https}"), false));
+    }
+    // 2) 公网 IPv6（NAS 侧可禁用）
+    if !data["forbbidPublicIpv6"].as_bool().unwrap_or(false) {
+        for ip in strings("publicIpv6") {
+            out.push((format!("http://[{ip}]:{http}"), false));
+            out.push((format!("https://[{ip}]:{https}"), false));
+        }
+    }
+    // 3) 公网 IPv4
+    for ip in strings("publicIpv4") {
+        out.push((format!("http://{ip}:{http}"), false));
+        out.push((format!("https://{ip}:{https}"), false));
+    }
+    // 4) 中继：仅 HTTPS；网关未返回时按两种集群域名兜底
+    let mut relays = strings("fn");
+    if relays.is_empty() {
+        relays = vec![
+            format!("{fn_id}.fnos.net"),
+            format!("{fn_id}.5ddd.com"),
+        ];
+    }
+    for addr in relays {
+        let domain = strip_port(&addr);
+        if !domain.is_empty() {
+            out.push((format!("https://{domain}"), true));
+        }
+    }
+    out
+}
+
+/// 探测单个 base_url 是否可用（中继候选携带 `mode=relay` 才会被网关转发）。
+///
+/// 判据必须排除 3xx：重定向说明请求**没有真正落到 NAS 音乐后端**
+/// （中继缺 `mode=relay` 时网关 302 回登录页；端口上实际是 fnOS Web UI 时同样 302）。
+/// 早先把「任何 < 500」都当可达，结果候选探测通过、紧接着登录报 `HTTP 302 Found`。
+async fn probe(client: &reqwest::Client, url: &str, relay: bool) -> bool {
+    let timeout = if relay {
+        FN_PROBE_TIMEOUT_RELAY
+    } else {
+        FN_PROBE_TIMEOUT_DIRECT
+    };
+    let full = format!(
+        "{}/music/api/v1/track/list?page=1&size=1",
+        url.trim_end_matches('/')
+    );
+    let mut rb = client.get(&full).timeout(timeout);
+    if relay {
+        rb = rb.header("cookie", "mode=relay");
+    }
+    match rb.send().await {
+        // 未登录时中继会返回 401（已触达 NAS 音乐后端），直连返回 200/401，
+        // 均视为链路可达；3xx（重定向）与 5xx 视为不可达。
+        Ok(resp) => {
+            let code = resp.status().as_u16();
+            code < 500 && !(300..400).contains(&code)
+        }
+        Err(_) => false,
+    }
+}
+
+/// 解析 fnId → 首个可达的 base_url；返回 `(base_url, is_relay)`。
+///
+/// 所有候选并发探测，按优先级（索引越小越优先）取首个确认可达者并早停，
+/// 避免远程场景下顺序探测逐个等待超时。
+pub async fn resolve_base_url(fn_id: &str) -> Result<(String, bool), String> {
+    let data = query_fn_connect(fn_id).await?;
+    let candidates = build_candidates(&data, fn_id);
+    if candidates.is_empty() {
+        return Err("FnConnect 未返回可用地址".into());
+    }
+
+    let client = reqwest::Client::builder()
+        .timeout(FN_PROBE_TIMEOUT_RELAY)
+        .build()
+        .map_err(|e| e.to_string())?;
+
+    let mut pending = FuturesUnordered::new();
+    for (i, (url, relay)) in candidates.iter().enumerate() {
+        let client = client.clone();
+        let url = url.clone();
+        let relay = *relay;
+        pending.push(async move {
+            let ok = probe(&client, &url, relay).await;
+            (i, url, relay, ok)
+        });
+    }
+
+    let mut undecided: Vec<usize> = (0..candidates.len()).collect();
+    let mut best: Option<(usize, String, bool)> = None;
+
+    while let Some((i, url, relay, ok)) = pending.next().await {
+        undecided.retain(|x| *x != i);
+        if ok && best.as_ref().map_or(true, |(bi, _, _)| i < *bi) {
+            best = Some((i, url, relay));
+        }
+        // 早停：已有可达候选，且不存在索引更小（优先级更高）的未决候选
+        if let Some((bi, _, _)) = best.as_ref() {
+            if !undecided.iter().any(|x| x < bi) {
+                break;
+            }
+        }
+    }
+
+    match best {
+        Some((idx, url, relay)) => {
+            let _ = idx;
+            Ok((url, relay))
+        }
+        None => Err(format!("FnConnect 候选均不可达（{} 个）", candidates.len())),
+    }
+}

src-tauri/src/music/feiniu/mod.rs

@@ -0,0 +1,743 @@
+//! 飞牛音乐(NAS)原生接口客户端 + 本地流代理的运行期。
+//!
+//! 支持多连接（本地 / frp / 预留 FnConnect），当前以"激活连接"为准。
+//! 原生接口路径/认证（`music-token` Cookie、`x-access-code` 安全码、`/user/password-login` 登录）
+//! 对照 FeiNiuMusic(Flutter) `api_client.dart` 的第三方纯前端实现翻译。
+//! 所有对 NAS 的 HTTP 请求在本模块收敛（页面/命令层不直接发请求）。
+
+use std::fs;
+use std::path::{Path, PathBuf};
+use std::sync::{Arc, Mutex};
+use std::time::Duration;
+
+use axum::http::StatusCode;
+use lofty::file::{AudioFile, TaggedFileExt};
+use lofty::tag::Accessor;
+use serde::{Deserialize, Serialize};
+use specta::Type;
+use serde_json::{json, Value};
+
+use super::MusicSettings;
+
+pub use conn::normalize_base_url;
+mod cache;
+mod conn;
+mod fnconnect;
+pub mod proxy;
+pub mod webdav;
+
+pub use cache::CacheManager;
+pub use fnconnect::{extract_fn_id, resolve_base_url};
+
+use conn::{generate_device_id, sha256_hex};
+use proxy::{ProxyCfg, ProxyShared};
+
+/// 一条飞牛音乐连接（持久化在 `MusicSettings`）。
+#[derive(Serialize, Deserialize, Clone, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct FeiniuConnection {
+    pub id: String,
+    pub name: String,
+    /// "lan" | "frp" | "fnconnect"（fnconnect 预留）
+    pub kind: String,
+    /// 服务器地址（http://192.168.x.x:5666 或 https://域名）
+    pub base_url: String,
+    pub username: String,
+    pub token: String,
+    pub device_id: String,
+    pub access_code: String,
+    /// https 遇到自签证书时忽略校验
+    pub insecure: bool,
+    /// fnconnect 连接的 fnId（如 fnos.net/<id> 或裸 id）
+    #[serde(default)]
+    pub fn_id: String,
+    /// 是否经由 FnConnect 中继链路（`<fnId>.fnos.net`）。
+    /// 中继要求所有请求携带 `Cookie: mode=relay`，否则网关 302 回登录页。
+    #[serde(default)]
+    pub relay: bool,
+}
+
+impl Default for FeiniuConnection {
+    fn default() -> Self {
+        Self {
+            id: String::new(),
+            name: String::new(),
+            kind: "lan".to_string(),
+            base_url: String::new(),
+            username: String::new(),
+            token: String::new(),
+            device_id: String::new(),
+            access_code: String::new(),
+            insecure: false,
+            fn_id: String::new(),
+            relay: false,
+        }
+    }
+}
+
+/// 当前激活连接信息（运行期副本，与 `MusicSettings` 的激活连接一致）。
+struct Conn {
+    base_url: String,
+    token: String,
+    username: String,
+    device_id: String,
+    access_code: String,
+    insecure: bool,
+    /// FnConnect 中继链路标记
+    relay: bool,
+}
+
+/// LAN 直连，`no_proxy` 避免被代理模块(mihomo)拦走；按 insecure 惰性重建（支持自签证书）。
+struct ClientSlot {
+    insecure: bool,
+    client: reqwest::Client,
+}
+
+/// 构建飞牛请求 client。
+///
+/// `streaming = true` 时不设**总超时**：reqwest 的 `timeout` 覆盖到响应体读完为止，
+/// 用来取整首音频会把流式中途掐断（大文件/慢链路下播放器会一直缓冲）。
+/// 流式只限制建连时间。
+fn build_client(insecure: bool, streaming: bool) -> reqwest::Client {
+    let mut b = reqwest::Client::builder()
+        .no_proxy()
+        .connect_timeout(Duration::from_secs(10))
+        .danger_accept_invalid_certs(insecure);
+    if !streaming {
+        b = b.timeout(Duration::from_secs(10));
+    }
+    b.build().unwrap_or_else(|_| reqwest::Client::new())
+}
+
+pub struct Feiniu {
+    client: Mutex<Option<ClientSlot>>,
+    /// 流代理专用 client（无总超时）
+    stream_client: Mutex<Option<ClientSlot>>,
+    conn: Mutex<Conn>,
+    proxy: Mutex<Option<(u16, ProxyShared)>>,
+    cache: CacheManager,
+}
+
+impl Default for Feiniu {
+    fn default() -> Self {
+        Self {
+            client: Mutex::new(None),
+            stream_client: Mutex::new(None),
+            conn: Mutex::new(Conn {
+                base_url: String::new(),
+                token: String::new(),
+                username: String::new(),
+                device_id: String::new(),
+                access_code: String::new(),
+                insecure: false,
+                relay: false,
+            }),
+            proxy: Mutex::new(None),
+            cache: CacheManager::new(Path::new("placeholder")), // 由 set_cache_root 重建
+        }
+    }
+}
+
+/// 按 insecure 惰性构建 client（`streaming` 决定是否免总超时）。
+fn slot_client(slot: &Mutex<Option<ClientSlot>>, insecure: bool, streaming: bool) -> reqwest::Client {
+    let mut g = slot.lock().unwrap_or_else(|e| e.into_inner());
+    let hit = g.as_ref().map(|s| s.insecure == insecure).unwrap_or(false);
+    if !hit {
+        *g = Some(ClientSlot {
+            insecure,
+            client: build_client(insecure, streaming),
+        });
+    }
+    g.as_ref().unwrap().client.clone()
+}
+
+impl Feiniu {
+    /// 设置缓存根目录（{app_data}/music/cache），应用启动时调用一次。
+    pub fn set_cache_root(&mut self, app_data_dir: &Path) {
+        self.cache = CacheManager::new(app_data_dir);
+    }
+    /// 本地曲库标签缓存文件路径（{cache_root}/local-tags.json）。
+    pub fn local_tags_path(&self) -> PathBuf {
+        self.cache.local_tags_path()
+    }
+    /// 取（并惰性构建）对应 insecure 的 reqwest client（普通请求，10s 总超时）。
+    fn client(&self, insecure: bool) -> reqwest::Client {
+        slot_client(&self.client, insecure, false)
+    }
+
+    /// 取流式请求专用 client（无总超时）。
+    fn stream_client(&self, insecure: bool) -> reqwest::Client {
+        slot_client(&self.stream_client, insecure, true)
+    }
+
+    /// 从持久化设置刷新运行期连接与代理配置（以激活连接为准；幂等）。
+    pub fn sync_with_settings(&self, s: &MusicSettings) {
+        let (base_url, token, username, device_id, access_code, insecure, relay) =
+            match s.feiniu_active() {
+                Some(c) => (
+                    c.base_url.clone(),
+                    // token 常态存放在系统凭据管理器（见 crate::music::secrets），
+                    // 结构体字段为空；只有凭据库不可用（降级）时才回落到明文。
+                    if c.token.is_empty() {
+                        super::secrets::read_feiniu_token(&c.id)
+                    } else {
+                        c.token.clone()
+                    },
+                    c.username.clone(),
+                    c.device_id.clone(),
+                    c.access_code.clone(),
+                    c.insecure,
+                    c.relay,
+                ),
+                None => (
+                    String::new(),
+                    String::new(),
+                    String::new(),
+                    String::new(),
+                    String::new(),
+                    false,
+                    false,
+                ),
+            };
+        if let Ok(mut c) = self.conn.lock() {
+            c.base_url = base_url;
+            c.token = token;
+            c.username = username;
+            c.device_id = device_id;
+            c.access_code = access_code;
+            c.insecure = insecure;
+            c.relay = relay;
+        }
+        // 确保 client 构建到位（insecure 变化时重建）
+        self.client(insecure);
+        self.sync_proxy_cfg();
+        self.sync_proxy_client();
+    }
+
+    fn sync_proxy_cfg(&self) {
+        if let Ok(g) = self.proxy.lock() {
+            if let Some((_, shared)) = g.as_ref() {
+                let cfg = self.current_cfg();
+                if let Ok(mut c) = shared.cfg.lock() {
+                    *c = cfg;
+                }
+            }
+        }
+    }
+
+    fn sync_proxy_client(&self) {
+        // 代理必须用流式 client：普通 client 的 10s 总超时会把长音频流掐断
+        let (_, client) = self.conn_stream_client();
+        if let Ok(mut g) = self.proxy.lock() {
+            if let Some((_, shared)) = g.as_mut() {
+                shared.client = client;
+            }
+        }
+    }
+
+    fn conn_client(&self) -> (bool, reqwest::Client) {
+        let insecure = self.conn.lock().unwrap_or_else(|e| e.into_inner()).insecure;
+        (insecure, self.client(insecure))
+    }
+
+    fn conn_stream_client(&self) -> (bool, reqwest::Client) {
+        let insecure = self.conn.lock().unwrap_or_else(|e| e.into_inner()).insecure;
+        (insecure, self.stream_client(insecure))
+    }
+
+    fn current_cfg(&self) -> ProxyCfg {
+        let c = self.conn.lock().unwrap_or_else(|e| e.into_inner());
+        ProxyCfg {
+            base_url: c.base_url.clone(),
+            token: c.token.clone(),
+            access_code: c.access_code.clone(),
+            relay: c.relay,
+        }
+    }
+
+    /// 构造鉴权 Cookie 头。
+    ///
+    /// 中继链路需把 `mode=relay` 与 `music-token` 合并进**同一个** Cookie 头
+    /// （拆成两个 Cookie 头会互相覆盖）；未登录的中继请求只带 `mode=relay`。
+    /// 无 token 且非中继时返回 None，表示无需携带 Cookie。
+    fn auth_cookie(token: &str, relay: bool) -> Option<String> {
+        match (token.is_empty(), relay) {
+            (false, true) => Some(format!("music-token={token}; mode=relay")),
+            (false, false) => Some(format!("music-token={token}")),
+            (true, true) => Some("mode=relay".to_string()),
+            (true, false) => None,
+        }
+    }
+
+    /// 鉴权上下文：`(base_url, token, access_code, relay)`。
+    fn auth_triple(&self) -> (String, String, String, bool) {
+        let c = self.conn.lock().unwrap_or_else(|e| e.into_inner());
+        (
+            c.base_url.clone(),
+            c.token.clone(),
+            c.access_code.clone(),
+            c.relay,
+        )
+    }
+
+    /// 对某个 base_url 执行登录（探测/登录连接共用）。
+    /// 成功返回 `(userToken, device_id)` 并更新运行期 conn；命令层负责落回对应连接持久化。
+    pub async fn login(
+        &self,
+        base_url: &str,
+        username: &str,
+        password: &str,
+    ) -> Result<(String, String), String> {
+        let base = normalize_base_url(base_url);
+        let (device_id, insecure) = {
+            let c = self.conn.lock().unwrap_or_else(|e| e.into_inner());
+            let d = if c.device_id.is_empty() {
+                generate_device_id()
+            } else {
+                c.device_id.clone()
+            };
+            (d, c.insecure)
+        };
+        let body = json!({
+            "username": username,
+            "password": sha256_hex(password),
+            "deviceId": device_id,
+        });
+        let relay = self
+            .conn
+            .lock()
+            .unwrap_or_else(|e| e.into_inner())
+            .relay;
+        let mut rb = self
+            .client(insecure)
+            .post(format!("{base}/music/api/v1/user/password-login"))
+            .json(&body);
+        // 中继链路：登录请求也需带 mode=relay，否则网关 302 回登录页
+        if let Some(cookie) = Self::auth_cookie("", relay) {
+            rb = rb.header("cookie", cookie);
+        }
+        let resp = rb
+            .send()
+            .await
+            .map_err(|e| {
+                let kind = if e.is_timeout() {
+                    "连接超时（NAS 不可达？）"
+                } else {
+                    "连接失败"
+                };
+                format!("{kind}: {e}")
+            })?;
+        let status = resp.status();
+        let b: Value = resp
+            .json()
+            .await
+            .unwrap_or_else(|_| json!({ "code": status.as_u16() }));
+        let code = b["code"].as_i64().unwrap_or(i64::from(status.as_u16()));
+        if code != 0 {
+            if code == 120001 {
+                return Err("用户名或密码错误".into());
+            }
+            let msg = b["msg"]
+                .as_str()
+                .map(|s| s.to_string())
+                .unwrap_or_else(|| format!("HTTP {status}"));
+            return Err(msg);
+        }
+        let token = b["data"]["userToken"]
+            .as_str()
+            .ok_or_else(|| "登录失败：未返回 token".to_string())?
+            .to_string();
+
+        if let Ok(mut c) = self.conn.lock() {
+            c.base_url = base;
+            c.token = token.clone();
+            c.username = username.to_string();
+            c.device_id = device_id.clone();
+        }
+        self.sync_proxy_cfg();
+        Ok((token, device_id))
+    }
+
+    /// 登出：仅清运行期 token（保留连接信息与账号）。
+    pub fn logout(&self) {
+        if let Ok(mut c) = self.conn.lock() {
+            c.token.clear();
+        }
+        self.sync_proxy_cfg();
+    }
+
+    /// 当前激活连接配置（前端状态展示 + 是否已登录）。
+    pub fn config(&self) -> Value {
+        let c = self.conn.lock().unwrap_or_else(|e| e.into_inner());
+        json!({
+            "baseUrl": c.base_url,
+            "username": c.username,
+            "loggedIn": !c.token.is_empty(),
+        })
+    }
+
+    /// 分页拉取曲目列表：`GET /music/api/v1/track/list`（可选关键词）。
+    pub async fn list_tracks(&self, page: u32, size: u32, keyword: Option<&str>) -> Result<Value, String> {
+        let mut query = vec![
+            ("page".to_string(), page.to_string()),
+            ("size".to_string(), size.to_string()),
+        ];
+        let kw = keyword.unwrap_or("").trim().to_string();
+        if !kw.is_empty() {
+            query.push(("keyword".to_string(), kw));
+        }
+        self.authed_get("/music/api/v1/track/list", query).await
+    }
+
+    /// 歌词：`GET /music/api/v1/lyric/list?trackGUID=<guid>`。
+    pub async fn lyric(&self, guid: &str) -> Result<String, String> {
+        let v = self
+            .authed_get(
+                "/music/api/v1/lyric/list",
+                vec![("trackGUID".to_string(), guid.to_string())],
+            )
+            .await?;
+        Ok(extract_lyric_text(&v))
+    }
+
+    /// 本地媒体地址前缀：`http://127.0.0.1:<port>/feiniu`。首次调用惰性启动代理。
+    pub async fn media_prefix(&self) -> Result<String, String> {
+        let port = self.ensure_proxy().await?;
+        Ok(format!("http://127.0.0.1:{port}/feiniu"))
+    }
+
+
+    /// 缓存状态。
+    pub fn cache_status(&self) -> Value {
+        self.cache.status()
+    }
+
+    /// 清空缓存。
+    pub fn cache_clear(&self) {
+        self.cache.clear();
+    }
+
+    /// 命中缓存直接返回文件路径；未命中则从 NAS 流式拉取写入缓存后返回。
+    /// 返回缓存文件路径。失败返回 Err。
+    pub async fn cache_fetch(&self, guid: &str, max_gb: u32) -> Result<Option<String>, String> {
+        if let Some(hit) = self.cache.hit(guid) {
+            return Ok(Some(hit));
+        }
+        let (base, token, access_code, relay) = self.auth_triple();
+        if base.is_empty() || token.is_empty() {
+            return Err("未登录".into());
+        }
+        // 整首拉取写入缓存：同样用无总超时的 client，否则大文件会被 10s 超时截断
+        let (_, client) = self.conn_stream_client();
+        let mut rb = client.get(format!("{base}/music/api/v1/track/stream?guid={guid}"));
+        if let Some(cookie) = Self::auth_cookie(&token, relay) {
+            rb = rb.header("cookie", cookie);
+        }
+        if !access_code.is_empty() {
+            use base64::Engine;
+            rb = rb
+                .header(
+                    "x-access-code",
+                    base64::engine::general_purpose::STANDARD.encode(access_code.as_bytes()),
+                )
+                .header("x-access-source", "app");
+        }
+        let resp = rb.send().await.map_err(|e| format!("拉取失败: {e}"))?;
+        if !resp.status().is_success() {
+            return Err(format!("拉取失败（HTTP {}）", resp.status().as_u16()));
+        }
+        let ct = resp
+            .headers()
+            .get("content-type")
+            .and_then(|v| v.to_str().ok())
+            .map(|s| s.to_string())
+            .unwrap_or_default();
+        let ext = match ct.split('/').last() {
+            Some("flac") => "flac",
+            Some("mpeg") => "mp3",
+            Some("wav") => "wav",
+            Some("ogg") => "ogg",
+            Some("mp4") => "m4a",
+            Some("aac") => "aac",
+            _ => "bin",
+        };
+        let stream = resp.bytes_stream();
+        let path = self
+            .cache
+            .put(guid, ext, max_gb, stream)
+            .await
+            .map_err(|e| e)?;
+        let _ = path;
+        Ok(self.cache.hit(guid))
+    }
+
+    // ===== WebDAV 传输（下载到飞牛 / 曲库增删）=====
+    // 无状态：配置由前端每次调用传入，实现在 webdav 模块，命令层直接调用。
+
+    async fn ensure_proxy(&self) -> Result<u16, String> {
+        if let Ok(g) = self.proxy.lock() {
+            if let Some((port, _)) = g.as_ref() {
+                return Ok(*port);
+            }
+        }
+        // 流代理用无总超时的 client（见 build_client）
+        let (_, client) = self.conn_stream_client();
+        let shared = ProxyShared {
+            client,
+            cfg: Arc::new(Mutex::new(self.current_cfg())),
+        };
+        let port = proxy::start(shared.clone()).await?;
+        if let Ok(mut g) = self.proxy.lock() {
+            *g = Some((port, shared));
+        }
+        Ok(port)
+    }
+
+    async fn authed_get(&self, path: &str, query: Vec<(String, String)>) -> Result<Value, String> {
+        let (base, token, access_code, relay) = self.auth_triple();
+        if base.is_empty() || token.is_empty() {
+            return Err("未登录".into());
+        }
+        let (_, client) = self.conn_client();
+        let qrefs: Vec<(&str, &str)> = query.iter().map(|(k, v)| (k.as_str(), v.as_str())).collect();
+        let mut rb = client.get(format!("{base}{path}")).query(&qrefs);
+        if let Some(cookie) = Self::auth_cookie(&token, relay) {
+            rb = rb.header("cookie", cookie);
+        }
+        if !access_code.is_empty() {
+            use base64::Engine;
+            rb = rb
+                .header(
+                    "x-access-code",
+                    base64::engine::general_purpose::STANDARD.encode(access_code.as_bytes()),
+                )
+                .header("x-access-source", "app");
+        }
+        let resp = rb.send().await.map_err(|e| format!("请求失败: {e}"))?;
+        let status = resp.status();
+        let body: Value = resp
+            .json()
+            .await
+            .unwrap_or_else(|_| json!({ "code": status.as_u16() }));
+        let code = body["code"].as_i64().unwrap_or(i64::from(status.as_u16()));
+        if code != 0 {
+            if status == StatusCode::UNAUTHORIZED || status == StatusCode::FORBIDDEN {
+                return Err("登录已过期，请重新登录".into());
+            }
+            let msg = body["msg"]
+                .as_str()
+                .map(|s| s.to_string())
+                .unwrap_or_else(|| format!("请求失败（HTTP {status}）"));
+            return Err(msg);
+        }
+        Ok(body["data"].clone())
+    }
+}
+
+/// 本地曲库 / 下载目录里认可的音频扩展名。
+/// 扫描（递归）与单目录列举共用同一份，避免两处判定不一致。
+pub const AUDIO_EXTS: [&str; 7] = ["mp3", "flac", "wav", "m4a", "aac", "ogg", "ape"];
+
+/// 该路径是否为认可的音频文件（只看扩展名，不校验存在性）。
+pub fn is_audio_path(path: &Path) -> bool {
+    path.extension()
+        .and_then(|e| e.to_str())
+        .map(|e| AUDIO_EXTS.contains(&e.to_lowercase().as_str()))
+        .unwrap_or(false)
+}
+
+/// 列出一个**目录**（非递归）下的音频文件：`{ items: [{path,name,size,mtim}] }`。
+///
+/// 与 [`scan_local_dirs`] 的分工：那个是「曲库全量扫描 + 标签解析」，
+/// 用于曲库视图；这个是「只看一层目录、不读标签」的轻量列举，
+/// 用于上传编排（只需在下载目录里找到刚落盘的文件）。
+/// 为一次上传去递归遍历整个曲库目录是纯浪费。
+pub fn list_audio_files(dir: &str) -> Value {
+    let mut items: Vec<Value> = Vec::new();
+    let p = Path::new(dir);
+    if !p.is_dir() {
+        return json!({ "items": items });
+    }
+    let Ok(entries) = fs::read_dir(p) else {
+        return json!({ "items": items });
+    };
+    for entry in entries.flatten() {
+        let path = entry.path();
+        if !path.is_file() || !is_audio_path(&path) {
+            continue;
+        }
+        let size = entry.metadata().map(|m| m.len()).unwrap_or(0);
+        let mtim = entry
+            .metadata()
+            .ok()
+            .and_then(|m| m.modified().ok())
+            .and_then(|t| t.duration_since(std::time::UNIX_EPOCH).ok())
+            .map(|d| d.as_secs())
+            .unwrap_or(0);
+        let name = path
+            .file_stem()
+            .and_then(|n| n.to_str())
+            .unwrap_or("未知")
+            .to_string();
+        items.push(json!({
+            "path": path.to_string_lossy(),
+            "name": name,
+            "size": size,
+            "mtim": mtim,
+        }));
+    }
+    json!({ "items": items })
+}
+
+/// 递归扫描本地曲库目录中的音频文件，返回轻量条目。
+///
+/// 元数据（标题/歌手/专辑/时长/是否有内嵌封面）用 lofty 解析音频标签；
+/// 结果按 path 缓存（size+mtim 未变即复用），避免万级曲库每次全量重解析。
+/// `tags_cache_path` 为标签缓存文件路径（由命令层传入 CacheManager）。
+///
+/// **纯函数（不依赖 &self）**：全量解析是重活，命令层必须把它放进
+/// `spawn_blocking`（Tauri 的同步命令在主线程执行，会冻结 UI）。
+pub fn scan_local_dirs(dirs: &[String], tags_cache_path: Option<&Path>) -> Value {
+    // ---- 标签缓存 ----
+    let mut tag_cache: serde_json::Map<String, Value> = tags_cache_path
+        .and_then(|p| fs::read_to_string(p).ok())
+        .and_then(|s| serde_json::from_str(&s).ok())
+        .unwrap_or_default();
+    let cache_hit = |cache: &serde_json::Map<String, Value>,
+                     path: &str,
+                     size: u64,
+                     mtim: u64|
+     -> Option<Value> {
+        cache
+            .get(path)
+            .and_then(|v| v.as_object())
+            .filter(|e| {
+                e.get("size").and_then(|x| x.as_u64()) == Some(size)
+                    && e.get("mtim").and_then(|x| x.as_u64()) == Some(mtim)
+            })
+            .map(|e| Value::Object(e.clone()))
+    };
+
+    let mut items: Vec<Value> = Vec::new();
+    // 本次扫描命中的音频路径：用于修剪缓存（见函数末尾）
+    let mut seen: std::collections::HashSet<String> = std::collections::HashSet::new();
+    // 至少有一个目录可访问才允许修剪，避免目录临时不可用（外接盘未挂载）时清空整个缓存
+    let mut scanned_any_dir = false;
+    for dir in dirs {
+        let p = Path::new(dir);
+        if !p.is_dir() {
+            continue;
+        }
+        scanned_any_dir = true;
+        for entry in walkdir::WalkDir::new(p).follow_links(false) {
+            let Ok(entry) = entry else { continue };
+            if !entry.file_type().is_file() {
+                continue;
+            }
+                let path = entry.path();
+                if !is_audio_path(path) {
+                    continue;
+                }
+            let size = entry.metadata().map(|m| m.len()).unwrap_or(0);
+            let mtim = entry
+                .metadata()
+                .ok()
+                .and_then(|m| m.modified().ok())
+                .and_then(|t| t.duration_since(std::time::UNIX_EPOCH).ok())
+                .map(|d| d.as_secs())
+                .unwrap_or(0);
+            let path_str = path.to_string_lossy().to_string();
+            let name = path
+                .file_stem()
+                .and_then(|n| n.to_str())
+                .unwrap_or("未知")
+                .to_string();
+            seen.insert(path_str.clone());
+
+            // 标签：命中缓存直接复用；否则 lofty 解析并写回缓存
+            let tags = match cache_hit(&tag_cache, &path_str, size, mtim) {
+                Some(hit) => hit,
+                None => {
+                    let mut t = json!({
+                        "size": size,
+                        "mtim": mtim,
+                        "title": name,
+                        "artist": "",
+                        "album": "",
+                        "durationS": 0,
+                        "cover": false,
+                    });
+                    if let Ok(tagged) = lofty::read_from_path(path) {
+                        let tag = tagged.primary_tag().or_else(|| tagged.first_tag());
+                        if let Some(tag) = tag {
+                            if let Some(v) = tag.title().filter(|s| !s.trim().is_empty()) {
+                                t["title"] = json!(v.trim());
+                            }
+                            if let Some(v) = tag.artist().filter(|s| !s.trim().is_empty()) {
+                                t["artist"] = json!(v.trim());
+                            }
+                            if let Some(v) = tag.album().filter(|s| !s.trim().is_empty()) {
+                                t["album"] = json!(v.trim());
+                            }
+                            t["cover"] = json!(!tag.pictures().is_empty());
+                        }
+                        let secs = tagged.properties().duration().as_secs();
+                        if secs > 0 {
+                            t["durationS"] = json!(secs);
+                        }
+                    }
+                    tag_cache.insert(path_str.clone(), t.clone());
+                    t
+                }
+            };
+
+            items.push(json!({
+                "path": path_str,
+                "name": name,
+                "title": tags.get("title").cloned().unwrap_or(json!(name)),
+                "artist": tags.get("artist").cloned().unwrap_or(json!("")),
+                "album": tags.get("album").cloned().unwrap_or(json!("")),
+                "durationS": tags.get("durationS").cloned().unwrap_or(json!(0)),
+                "cover": tags.get("cover").cloned().unwrap_or(json!(false)),
+                "size": size,
+                "mtim": mtim,
+                "dir": dir,
+            }));
+        }
+    }
+    // 修剪：删掉本次扫描中未再出现的缓存条目（文件已删除/改名/移出曲库目录）。
+    // 只增不减的缓存会随使用时间无限膨胀，且每次扫描都要整份读写。
+    if scanned_any_dir {
+        tag_cache.retain(|k, _| seen.contains(k));
+    }
+    if let Some(p) = tags_cache_path {
+        if let Ok(s) = serde_json::to_string(&tag_cache) {
+            fs::write(p, s).ok();
+        }
+    }
+    json!({ "items": items })
+}
+
+/// 尽力从 /lyric/list 响应中取第一段歌词文本（响应结构未文档化，做宽松映射）。
+fn extract_lyric_text(v: &Value) -> String {
+    match v {
+        Value::Array(arr) => arr
+            .first()
+            .map(|it| {
+                it["content"]
+                    .as_str()
+                    .or_else(|| it["lyric"].as_str())
+                    .or_else(|| it["text"].as_str())
+                    .unwrap_or("")
+                    .to_string()
+            })
+            .unwrap_or_default(),
+        Value::Object(_) => v["content"]
+            .as_str()
+            .or_else(|| v["lyric"].as_str())
+            .or_else(|| v["text"].as_str())
+            .unwrap_or("")
+            .to_string(),
+        _ => String::new(),
+    }
+}

src-tauri/src/music/feiniu/proxy.rs

@@ -0,0 +1,237 @@
+//! 飞牛音乐本地流代理（axum）。
+//!
+//! 原生 `/track/stream`、`/static/cover` 需要 `Cookie: music-token=<token>`，而
+//! WebView 的 `<audio>/<img>` 无法设置 Cookie。本模块绑定 `127.0.0.1:<动态端口>`，
+//! 转发请求时注入 Cookie 与可选的安全码头，前端直接用本地地址播放/显示，天然支持 Range/seek。
+
+use std::collections::HashMap;
+use std::sync::{Arc, Mutex};
+
+use axum::{
+    extract::{Query, State},
+    http::{header, HeaderMap, StatusCode},
+    response::{IntoResponse, Response},
+    routing::get,
+    Router,
+};
+
+use lofty::file::TaggedFileExt;
+
+use super::conn::normalize_base_url;
+
+/// 由 Feiniu 运行期与代理 handler 共享的连接配置（登录更新、登出置空）。
+#[derive(Clone, Default)]
+pub struct ProxyCfg {
+    pub base_url: String,
+    pub token: String,
+    pub access_code: String,
+    /// FnConnect 中继链路：所有请求需携带 `Cookie: mode=relay`
+    pub relay: bool,
+}
+
+#[derive(Clone)]
+pub struct ProxyShared {
+    pub client: reqwest::Client,
+    pub cfg: Arc<Mutex<ProxyCfg>>,
+}
+
+/// 启动本地流代理，绑定到 `127.0.0.1:0`（动态空闲端口），返回实际端口。
+/// 代理以独立 tokio 任务常驻应用存活期；token 变化经共享 `ProxyCfg` 即时生效，无需重启。
+pub async fn start(shared: ProxyShared) -> Result<u16, String> {
+    let listener = tokio::net::TcpListener::bind("127.0.0.1:0")
+        .await
+        .map_err(|e| format!("绑定本地端口失败: {e}"))?;
+    let port = listener
+        .local_addr()
+        .map_err(|e| e.to_string())?
+        .port();
+    let app = Router::new()
+        .route("/feiniu/stream", get(proxy_stream))
+        .route("/feiniu/cover", get(proxy_cover))
+        .route("/feiniu/local-cover", get(proxy_local_cover))
+        .with_state(shared);
+    tokio::spawn(async move {
+        if let Err(e) = axum::serve(listener, app).await {
+            crate::logger::log_error("music", &format!("飞牛流代理异常: {e}"));
+        }
+    });
+    Ok(port)
+}
+
+/// 本地音频文件的内嵌封面：`GET /feiniu/local-cover?path=<绝对路径>`。
+///
+/// 供「本地曲库」列表显示封面（无需 NAS 登录）。只接受音频扩展名，且必须
+/// 能被 lofty 解析出内嵌图片——非音频文件在这里必然 404，不构成任意文件读取。
+/// 响应带 immutable 缓存头：path 不变时 WebView 直接复用。
+async fn proxy_local_cover(Query(q): Query<HashMap<String, String>>) -> Response {
+    const AUDIO_EXTS: [&str; 7] = ["mp3", "flac", "wav", "m4a", "aac", "ogg", "ape"];
+    let Some(path) = q.get("path") else {
+        return (StatusCode::BAD_REQUEST, "missing path").into_response();
+    };
+    let p = std::path::Path::new(path);
+    let ext_ok = p
+        .extension()
+        .and_then(|e| e.to_str())
+        .map(|e| AUDIO_EXTS.contains(&e.to_lowercase().as_str()))
+        .unwrap_or(false);
+    if !ext_ok || !p.is_file() {
+        return StatusCode::NOT_FOUND.into_response();
+    }
+    let picture = lofty::read_from_path(p).ok().and_then(|tagged| {
+        tagged
+            .primary_tag()
+            .or_else(|| tagged.first_tag())
+            .and_then(|t| t.pictures().first())
+            .cloned()
+    });
+    let Some(pic) = picture else {
+        return StatusCode::NOT_FOUND.into_response();
+    };
+    // lofty 0.22 的 mime_type 返回 Option<MimeType>
+    let mime = pic
+        .mime_type()
+        .map(|m| m.to_string())
+        .unwrap_or_else(|| "image/jpeg".to_string());
+    let mut resp = ([(header::CONTENT_TYPE, mime)], pic.data().to_vec()).into_response();
+    resp.headers_mut().insert(
+        header::CACHE_CONTROL,
+        header::HeaderValue::from_static("public, max-age=2592000, immutable"),
+    );
+    resp
+}
+
+async fn proxy_stream(
+    State(s): State<ProxyShared>,
+    Query(q): Query<HashMap<String, String>>,
+    headers: HeaderMap,
+) -> Response {
+    let guid = q.get("guid").cloned().unwrap_or_default().trim().to_string();
+    if guid.is_empty() {
+        return (StatusCode::BAD_REQUEST, "missing guid").into_response();
+    }
+    forward(
+        &s,
+        "/music/api/v1/track/stream",
+        vec![("guid".to_string(), guid)],
+        &headers,
+    )
+    .await
+}
+
+async fn proxy_cover(
+    State(s): State<ProxyShared>,
+    Query(q): Query<HashMap<String, String>>,
+    headers: HeaderMap,
+) -> Response {
+    let cover_id = q
+        .get("coverId")
+        .cloned()
+        .unwrap_or_default()
+        .trim()
+        .to_string();
+    if cover_id.is_empty() {
+        return (StatusCode::BAD_REQUEST, "missing coverId").into_response();
+    }
+    let size = q.get("size").cloned().unwrap_or_else(|| "320".into());
+    forward(
+        &s,
+        "/music/api/v1/static/cover",
+        vec![
+            ("coverId".to_string(), cover_id),
+            ("size".to_string(), size),
+        ],
+        &headers,
+    )
+    .await
+}
+
+/// 统一转发：向 NAS 发起上游 GET，注入 Cookie/安全码，透传 Range 与响应头，流式回传 body。
+async fn forward(
+    s: &ProxyShared,
+    path: &str,
+    query: Vec<(String, String)>,
+    headers: &HeaderMap,
+) -> Response {
+    let cfg = match s.cfg.lock() {
+        Ok(g) => g.clone(),
+        Err(e) => e.into_inner().clone(),
+    };
+    if cfg.base_url.is_empty() || cfg.token.is_empty() {
+        return (StatusCode::UNAUTHORIZED, "飞牛音乐未登录").into_response();
+    }
+
+    let base = normalize_base_url(&cfg.base_url);
+    let url = format!("{base}{path}");
+    let qrefs: Vec<(&str, &str)> = query.iter().map(|(k, v)| (k.as_str(), v.as_str())).collect();
+
+    let mut rb = s.client.get(&url).query(&qrefs);
+    // 中继链路必须带 mode=relay，网关据此转发到 NAS（与 music-token 合并进同一个 Cookie 头）。
+    rb = rb.header(
+        "cookie",
+        if cfg.relay {
+            format!("music-token={}; mode=relay", cfg.token)
+        } else {
+            format!("music-token={}", cfg.token)
+        },
+    );
+    if !cfg.access_code.is_empty() {
+        use base64::Engine;
+        rb = rb
+            .header(
+                "x-access-code",
+                base64::engine::general_purpose::STANDARD.encode(cfg.access_code.as_bytes()),
+            )
+            .header("x-access-source", "app");
+    }
+    if let Some(range) = headers.get(header::RANGE) {
+        rb = rb.header(header::RANGE, range.clone());
+    }
+    drop(cfg);
+
+    let resp = match rb.send().await {
+        Ok(r) => r,
+        Err(e) => return (StatusCode::BAD_GATEWAY, format!("上游错误: {e}")).into_response(),
+    };
+    let status = resp.status();
+
+    let ct = resp.headers().get(header::CONTENT_TYPE).cloned();
+    let cl = resp.headers().get(header::CONTENT_LENGTH).cloned();
+    let cr = resp.headers().get(header::CONTENT_RANGE).cloned();
+    let ar = resp.headers().get(header::ACCEPT_RANGES).cloned();
+    // 缓存头必须透传：NAS 的封面接口带 `public, max-age=2592000, immutable`，
+    // 丢掉它就等于告诉 WebView「这个响应不可缓存」——每次进曲库页都要重新下载全部封面。
+    let cc = resp.headers().get(header::CACHE_CONTROL).cloned();
+    let et = resp.headers().get(header::ETAG).cloned();
+    let lm = resp.headers().get(header::LAST_MODIFIED).cloned();
+    let ex = resp.headers().get(header::EXPIRES).cloned();
+
+    let body = axum::body::Body::from_stream(resp.bytes_stream());
+    let mut out = Response::new(body);
+    *out.status_mut() = status;
+    let h = out.headers_mut();
+    if let Some(v) = ct {
+        h.insert(header::CONTENT_TYPE, v);
+    }
+    if let Some(v) = cl {
+        h.insert(header::CONTENT_LENGTH, v);
+    }
+    if let Some(v) = cr {
+        h.insert(header::CONTENT_RANGE, v);
+    }
+    if let Some(v) = ar {
+        h.insert(header::ACCEPT_RANGES, v);
+    }
+    if let Some(v) = cc {
+        h.insert(header::CACHE_CONTROL, v);
+    }
+    if let Some(v) = et {
+        h.insert(header::ETAG, v);
+    }
+    if let Some(v) = lm {
+        h.insert(header::LAST_MODIFIED, v);
+    }
+    if let Some(v) = ex {
+        h.insert(header::EXPIRES, v);
+    }
+    out
+}

src-tauri/src/music/feiniu/webdav.rs

@@ -0,0 +1,205 @@
+//! WebDAV 客户端（无状态）——用于把音乐传输到 fnOS NAS 的曲库目录。
+//!
+//! 选择 WebDAV 而非 SMB/FTP/NFS 的原因：
+//! - 纯 HTTP 语义，`reqwest` 即可实现，无原生依赖（SMB 在 Rust 侧生态差）；
+//! - **无会话**：Basic 认证随每个请求携带，没有"重启后要重新登录"的问题；
+//! - fnOS 原生支持：系统设置 → 文件服务 → WebDAV（HTTP 5005 / HTTPS 5006）。
+//!
+//! fnOS 侧需要的设置（作为 UI 提示展示）：
+//! 1. 开启 WebDAV 服务并记下端口；
+//! 2. 目标文件夹必须在「可见文件夹范围」内（团队文件夹需勾选
+//!    「允许通过文件共享协议(SMB、WebDAV、FTP)挂载到其他设备上」）；
+//! 3. 账号对该文件夹有读写权限。
+
+use bytes::Bytes;
+use serde::{Deserialize, Serialize};
+use std::time::Duration;
+
+/// WebDAV 连接配置（由前端每次调用时传入，后端不持有状态）。
+#[derive(Debug, Clone, Deserialize, Serialize, specta::Type)]
+pub struct WebDavConfig {
+    /// 服务地址，如 `http://192.168.110.100:5005`
+    pub url: String,
+    pub username: String,
+    pub password: String,
+}
+
+/// WebDAV 操作结果状态码相关的可读错误。
+fn status_err(action: &str, status: u16, url: &str) -> String {
+    match status {
+        401 => format!("WebDAV 认证失败（401）：请检查账号与密码"),
+        403 => format!("WebDAV 拒绝访问（403）：账号可能没有该目录的写入权限"),
+        404 => format!("WebDAV 目标不存在（404）：{url}（目录需要先在 NAS 上创建，且在 WebDAV 可见范围内）"),
+        409 => format!("WebDAV 父目录不存在（409）：{url}"),
+        _ => format!("WebDAV {action}失败（HTTP {status}）：{url}"),
+    }
+}
+
+fn dav_client(_cfg: &WebDavConfig) -> Result<reqwest::Client, String> {
+    // NAS 通常在内网，默认禁用系统代理（走代理会连不上）；Basic 认证在请求级设置
+    reqwest::Client::builder()
+        .timeout(Duration::from_secs(600))
+        .connect_timeout(Duration::from_secs(10))
+        .no_proxy()
+        .build()
+        .map_err(|e| e.to_string())
+}
+
+/// 拼接 WebDAV 完整 URL：base + 远程路径（逐段百分号编码，保留 `/`）。
+fn dav_url(cfg: &WebDavConfig, remote_path: &str) -> String {
+    let base = cfg.url.trim_end_matches('/');
+    let path = remote_path.trim_start_matches('/');
+    let encoded: Vec<String> = path
+        .split('/')
+        .filter(|s| !s.is_empty())
+        .map(|seg| {
+            let mut out = String::new();
+            for b in seg.bytes() {
+                match b {
+                    b'A'..=b'Z' | b'a'..=b'z' | b'0'..=b'9' | b'-' | b'_' | b'.' | b'~' => {
+                        out.push(b as char)
+                    }
+                    _ => out.push_str(&format!("%{b:02X}")),
+                }
+            }
+            out
+        })
+        .collect();
+    format!("{base}/{}", encoded.join("/"))
+}
+
+fn with_auth(mut rb: reqwest::RequestBuilder, cfg: &WebDavConfig) -> reqwest::RequestBuilder {
+    if !cfg.username.is_empty() {
+        rb = rb.basic_auth(&cfg.username, Some(&cfg.password));
+    }
+    rb
+}
+
+/// 逐级 MKCOL 创建远程目录（已存在会被忽略）。
+async fn ensure_dirs(cfg: &WebDavConfig, remote_path: &str) -> Result<(), String> {
+    let path = remote_path.trim_start_matches('/');
+    let segs: Vec<&str> = path.split('/').filter(|s| !s.is_empty()).collect();
+    // 最后一段是文件名，只建目录部分
+    let dirs: Vec<String> = segs
+        .iter()
+        .take(segs.len().saturating_sub(1))
+        .fold(Vec::new(), |mut acc, s| {
+            let prev = acc.last().cloned().unwrap_or_default();
+            acc.push(if prev.is_empty() {
+                s.to_string()
+            } else {
+                format!("{prev}/{s}")
+            });
+            acc
+        });
+    let client = dav_client(cfg)?;
+    for d in dirs {
+        let url = dav_url(cfg, &d);
+        let method = reqwest::Method::from_bytes(b"MKCOL").expect("MKCOL 是合法的 HTTP 方法");
+        let resp = with_auth(client.request(method, &url), cfg)
+            .send()
+            .await
+            .map_err(|e| format!("WebDAV MKCOL 失败: {e}"))?;
+        // 201 创建成功；405 已存在；其余只记不阻断（权限问题会在 PUT 时暴露）
+        let code = resp.status().as_u16();
+        if code != 201 && code != 405 && code != 301 && code != 409 && code != 200 {
+            return Err(status_err("创建目录", code, &url));
+        }
+    }
+    Ok(())
+}
+
+/// 测试连接：PROPFIND 目标目录（Depth 0）。成功返回目录确认信息。
+pub async fn test(cfg: &WebDavConfig, dir: &str) -> Result<String, String> {
+    let url = dav_url(cfg, dir);
+    let client = dav_client(cfg)?;
+    let resp = with_auth(
+        client
+            .request(reqwest::Method::from_bytes(b"PROPFIND").unwrap(), &url)
+            .header("Depth", "0")
+            .body(String::new()),
+        cfg,
+    )
+    .send()
+    .await
+    .map_err(|e| format!("无法连接 WebDAV 服务：{e}（请确认地址与端口）"))?;
+    let code = resp.status().as_u16();
+    match code {
+        207 | 200 => Ok(format!("连接成功：{url}")),
+        404 => Err(format!(
+            "WebDAV 服务可达，但目标目录不存在（404）：{url}\n请先在 NAS 上创建该目录，并确认它在 WebDAV「可见文件夹范围」内"
+        )),
+        401 => Err("WebDAV 认证失败（401）：请检查账号与密码".to_string()),
+        403 => Err("WebDAV 拒绝访问（403）：账号可能没有该目录的读取权限".to_string()),
+        _ => Err(status_err("连接", code, &url)),
+    }
+}
+
+/// 上传本地文件（流式读取，不整载内存）。返回远程路径。
+pub async fn upload_file(
+    cfg: &WebDavConfig,
+    local_path: &std::path::Path,
+    remote_path: &str,
+) -> Result<String, String> {
+    ensure_dirs(cfg, remote_path).await?;
+    let file = tokio::fs::File::open(local_path)
+        .await
+        .map_err(|e| format!("读取本地文件失败: {e}"))?;
+    // 128KB 分块流：用 unfold 把 AsyncRead 转 Stream，避免引入 tokio-util
+    let stream = futures_util::stream::unfold(file, |mut f| async move {
+        use tokio::io::AsyncReadExt;
+        let mut buf = vec![0u8; 128 * 1024];
+        match f.read(&mut buf).await {
+            Ok(0) => None,
+            Ok(n) => Some((Ok::<Bytes, std::io::Error>(Bytes::copy_from_slice(&buf[..n])), f)),
+            Err(e) => Some((Err(e), f)),
+        }
+    });
+    let url = dav_url(cfg, remote_path);
+    let client = dav_client(cfg)?;
+    let resp = with_auth(client.put(&url), cfg)
+        .header("Content-Type", mime_of(remote_path))
+        .body(reqwest::Body::wrap_stream(stream))
+        .send()
+        .await
+        .map_err(|e| format!("WebDAV 上传失败: {e}"))?;
+    let code = resp.status().as_u16();
+    if !(200..300).contains(&code) {
+        return Err(status_err("上传", code, &url));
+    }
+    Ok(remote_path.to_string())
+}
+
+/// 删除远程文件（404 视为已删除）。
+pub async fn delete(cfg: &WebDavConfig, remote_path: &str) -> Result<(), String> {
+    let url = dav_url(cfg, remote_path);
+    let client = dav_client(cfg)?;
+    let resp = with_auth(client.delete(&url), cfg)
+        .send()
+        .await
+        .map_err(|e| format!("WebDAV 删除失败: {e}"))?;
+    let code = resp.status().as_u16();
+    if code == 404 {
+        return Ok(());
+    }
+    if !(200..300).contains(&code) {
+        return Err(status_err("删除", code, &url));
+    }
+    Ok(())
+}
+
+pub fn mime_of(name: &str) -> &'static str {
+    let ext = name.rsplit('.').next().unwrap_or("").to_lowercase();
+    match ext.as_str() {
+        "mp3" => "audio/mpeg",
+        "flac" => "audio/flac",
+        "wav" => "audio/wav",
+        "m4a" => "audio/mp4",
+        "aac" => "audio/aac",
+        "ogg" => "audio/ogg",
+        "ape" => "audio/x-ape",
+        _ => "application/octet-stream",
+    }
+}
+
+

src-tauri/src/music/mod.rs

@@ -0,0 +1,682 @@
+//! 音乐下载模块（musicdl 桥接）。
+//!
+//! 架构：Vue 前端 → Tauri 命令 → [MusicManager] → stdio JSON-Lines → `bridge.py`
+//! → musicdl（纯 Python 聚合下载器）。
+//!
+//! 目录布局（{app_data_dir}/music/）：
+//! - `bridge.py`：桥接脚本（include_str! 内置，运行时写出）
+//! - `runtime/python/`：便携 Python（python.org embeddable，含 pip）
+//! - `runtime/get-pip.py`：pip 引导脚本（下载后删除）
+//! - `runtime/*.zip`：下载过程中的临时安装包（完成后删除）
+//! - `outputs/`：默认音乐下载目录
+//!
+//! 子模块：
+//! - [`runtime`]：Python 运行时探测与便携版安装
+//! - [`bridge`]：桥接进程生命周期（spawn / JSON 协议 / ping / 停止）
+//! - [`commands`]：Tauri 命令层
+
+mod bridge;
+mod commands;
+mod feiniu;
+mod runtime;
+mod secrets;
+
+pub use feiniu::{
+    extract_fn_id, normalize_base_url, resolve_base_url, scan_local_dirs, Feiniu, FeiniuConnection,
+};
+
+pub use commands::{
+    feiniu_activate_connection, feiniu_cache_clear, feiniu_cache_fetch, feiniu_cache_status,
+    feiniu_delete_connection, feiniu_delete_local, feiniu_fnconnect_resolve, feiniu_get_config,
+    feiniu_list_connections, feiniu_list_audio_files, feiniu_list_tracks, feiniu_login,
+    feiniu_logout, feiniu_lyric,
+    feiniu_media_prefix, feiniu_save_connection, feiniu_scan_local, feiniu_test_connection,
+    music_cancel_runtime_install, music_download, music_download_cancel, music_env_status,
+    music_get_settings, music_get_sources, music_install_runtime, music_parse_playlist, music_ping,
+    music_resolve, music_save_settings, music_search, music_secret_get, music_secret_set,
+    music_stop_bridge, music_update_musicdl, webdav_delete, webdav_get_secret,
+    webdav_save_secret, webdav_test, webdav_upload,
+};
+
+use serde::{Deserialize, Serialize};
+use specta::Type;
+use std::collections::HashMap;
+use std::fs;
+use std::path::PathBuf;
+use std::process::{Child, ChildStdin};
+use std::sync::atomic::{AtomicBool, AtomicU64, Ordering};
+use std::sync::{Arc, Mutex};
+use std::time::{Duration, Instant};
+use tauri::AppHandle;
+
+/// 便携 Python 版本（python.org embeddable，含 pip 引导）
+pub const BUNDLED_PY_VERSION: &str = "3.12.10";
+/// musicdl 锁定版本（其 API 每周都在变，必须锁版本并定期升级）
+pub const MUSICDL_VERSION: &str = "2.13.11";
+/// pip 镜像源（国内网络直连 PyPI 较慢，默认用清华镜像，可改回官方）
+pub const PIP_INDEX_URL: &str = "https://pypi.tuna.tsinghua.edu.cn/simple";
+/// 默认搜索源（网易云 / QQ音乐 / 酷狗）
+pub const DEFAULT_SOURCES: [&str; 3] = [
+    "NeteaseMusicClient",
+    "QQMusicClient",
+    "KugouMusicClient",
+];
+
+/// 桥接进程条目（自管 stdio，不走 ProcessManager）
+pub(crate) struct BridgeEntry {
+    pub child: Child,
+    pub stdin: ChildStdin,
+}
+
+/// 解析出的 Python 运行时信息（内部使用，不序列化）
+pub(crate) struct PythonEnv {
+    pub source: &'static str, // "system" | "bundled"
+    pub exe: PathBuf,
+    pub version: String,
+}
+
+/// 环境状态（返回前端，设置页「环境检查」面板展示）
+#[derive(Serialize, Clone, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct MusicEnvStatus {
+    /// 系统 Python 版本（如 "3.14.5"），无则 None
+    pub python: Option<String>,
+    /// python 来源："system" | "bundled" | "none"
+    pub python_source: String,
+    /// 便携 Python 可执行文件路径（未安装则 None）
+    pub bundled_python: Option<String>,
+    /// musicdl 是否可导入
+    pub musicdl_installed: bool,
+    /// musicdl 版本
+    pub musicdl_version: Option<String>,
+    /// 本应用锁定的 musicdl 版本（`MUSICDL_VERSION`）：是否过期、更新到哪个版本都以它为准
+    pub musicdl_expected: String,
+    /// 已装 musicdl 是否与锁定版本不一致。
+    /// 未安装时恒为 false（那是「安装」引导的事，不是「更新」）。
+    pub musicdl_outdated: bool,
+    /// FFmpeg 是否可用（部分音源需要，非必需）
+    pub ffmpeg: Option<String>,
+    /// 桥接进程是否在运行
+    pub bridge_running: bool,
+    /// 运行时目录（{app_data_dir}/music）
+    pub runtime_dir: String,
+}
+
+/// 运行时安装进度事件负载（对应 events::MUSIC_RUNTIME_INSTALL_PROGRESS）
+#[derive(Serialize, Clone, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct MusicInstallProgress {
+    pub stage: String,
+    pub percent: u32,
+    pub downloaded_bytes: u64,
+    pub total_bytes: Option<u64>,
+    pub message: String,
+}
+
+/// 音乐模块设置（settings.json 持久化；变更即时生效）
+#[derive(Serialize, Deserialize, Clone, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct MusicSettings {
+    /// 下载保存目录
+    pub savedir: String,
+    /// 搜索源（musicdl 客户端名，如 NeteaseMusicClient）
+    pub sources: Vec<String>,
+    /// 下载时同步保存歌词
+    pub lyric_download: bool,
+    /// 下载时同步保存封面
+    pub cover_download: bool,
+    /// 搜索/下载请求是否走代理模块（mihomo mixed 端口）
+    pub use_proxy: bool,
+    /// 最大并发下载数
+    pub max_concurrent: u32,
+    /// 下载引擎："musicdl" | "rust"（P2 生效）
+    pub download_engine: String,
+    /// 下载时是否弹窗选择音质（默认关；开启后点下载弹出所选歌曲档位并集选择）
+    pub select_quality_on_download: bool,
+    /// 下载时默认音质："" 表示最高；否则为搜索音质档位 label（如 "无损"、"320K"）
+    pub default_download_quality: String,
+    /// QQ 音乐 Cookie（可选）：用于解析需要登录的歌单（含自己的隐私歌单）与 VIP 音质。
+    /// 传给 musicdl 的 default_search/parse/download_cookies；空=游客身份。
+    #[serde(default)]
+    pub qq_cookie: String,
+    /// 飞牛音乐(NAS)连接：服务器地址（如 http://192.168.1.10:5666，空=未配置）
+    #[serde(default)]
+    pub feiniu_base_url: String,
+    /// 飞牛音乐登录 token（登录成功后保存）
+    #[serde(default)]
+    pub feiniu_token: String,
+    /// 飞牛音乐登录账号（展示 + 重新登录回填用）
+    #[serde(default)]
+    pub feiniu_username: String,
+    /// 飞牛音乐设备 ID（32 位 hex，登录签名用，一次生成复用）
+    #[serde(default)]
+    pub feiniu_device_id: String,
+    /// 飞牛音乐访问安全码（可选；仅需访问码的库才填，LAN 通常为空）
+    #[serde(default)]
+    pub feiniu_access_code: String,
+    /// 飞牛音乐连接列表（多连接：局域网 / FnConnect）
+    #[serde(default)]
+    pub feiniu_connections: Vec<FeiniuConnection>,
+    /// 当前激活连接的 id
+    #[serde(default)]
+    pub feiniu_active_id: String,
+    /// 本地曲库扫描目录（默认含音乐下载 savedir）
+    #[serde(default)]
+    pub feiniu_local_dirs: Vec<String>,
+    /// 播放缓存开关
+    #[serde(default)]
+    pub feiniu_cache_enabled: bool,
+    /// 缓存上限（GB）
+    #[serde(default)]
+    pub feiniu_cache_max_gb: u32,
+    /// 播放模式："stream" 直连流式 | "cache" 缓存后播放
+    #[serde(default)]
+    pub feiniu_play_mode: String,
+    /// 飞牛曲库目标目录（NAS 绝对路径，如 vol1/1000/Music；上传到飞牛用）
+    #[serde(default)]
+    pub feiniu_library_nas_path: String,
+    /// 下载完成后自动上传到飞牛曲库
+    #[serde(default)]
+    pub feiniu_auto_upload: bool,
+}
+
+impl MusicSettings {
+    /// 取激活连接：优先按 active_id，否则回退到第一条。
+    pub fn feiniu_active(&self) -> Option<&FeiniuConnection> {
+        self.feiniu_connections
+            .iter()
+            .find(|c| c.id == self.feiniu_active_id)
+            .or_else(|| self.feiniu_connections.first())
+    }
+
+    /// 兼容旧版单连接字段：把旧字段迁移成列表里的一条连接，并**清除旧字段**。
+    ///
+    /// 必须是「一次性」的：旧字段一旦残留，用户把连接删光后，下一次 `load_settings()`
+    /// 会再次命中「列表为空 + 旧字段非空」而重新造出一条连接，
+    /// 表现为「删掉的连接切个页又回来了」。因此迁移完成后要清空旧字段，
+    /// 且返回是否发生变更，由 `load_settings` 负责落盘。
+    pub fn migrate_feiniu(&mut self) -> bool {
+        let mut changed = false;
+
+        // 1) 旧单连接字段 → 连接列表（仅在列表为空时迁移）
+        if self.feiniu_connections.is_empty() && !self.feiniu_base_url.trim().is_empty() {
+            let base = self.feiniu_base_url.clone();
+            self.feiniu_connections.push(FeiniuConnection {
+                id: "default".to_string(),
+                name: base.clone(),
+                kind: "lan".to_string(),
+                base_url: base,
+                username: self.feiniu_username.clone(),
+                token: self.feiniu_token.clone(),
+                device_id: self.feiniu_device_id.clone(),
+                access_code: self.feiniu_access_code.clone(),
+                insecure: false,
+                fn_id: String::new(),
+                relay: false,
+            });
+            self.feiniu_active_id = "default".to_string();
+            changed = true;
+        }
+
+        // 2) 无论列表是否为空，旧字段都已无意义（内容已并入连接，或本就没有连接），
+        //    一律清空并落盘，杜绝其再次触发迁移。
+        for v in [
+            &mut self.feiniu_base_url,
+            &mut self.feiniu_token,
+            &mut self.feiniu_username,
+            &mut self.feiniu_device_id,
+            &mut self.feiniu_access_code,
+        ] {
+            if !v.is_empty() {
+                v.clear();
+                changed = true;
+            }
+        }
+
+        // 3) 激活 id 兜底（内存态修正，无需落盘）
+        if self.feiniu_active_id.is_empty()
+            || !self.feiniu_connections.iter().any(|c| c.id == self.feiniu_active_id)
+        {
+            if let Some(c) = self.feiniu_connections.first() {
+                self.feiniu_active_id = c.id.clone();
+            }
+        }
+
+        changed
+    }
+
+    /// 把明文凭据迁入系统凭据管理器，并从结构体里清掉（返回是否有变更）。
+    ///
+    /// 与 `migrate_feiniu` 同一套「一次性迁移」原则：**凭据库写入成功才清明文**，
+    /// 并由 `load_settings` 落盘，避免每次读取反复尝试。
+    /// 写失败时保留明文——宁可姿态不一致，也不能让用户莫名掉登录态。
+    pub fn migrate_secrets(&mut self) -> bool {
+        let mut changed = false;
+        for c in self.feiniu_connections.iter_mut() {
+            let token = c.token.trim().to_string();
+            if token.is_empty() {
+                continue;
+            }
+            let key = secrets::feiniu_token_key(&c.id);
+            // 凭据库已有值时不覆盖：它可能比 settings.json 里的明文更新
+            let stored = secrets::secret_read(&key).ok().flatten().unwrap_or_default();
+            if stored.is_empty() && !secrets::try_store(&key, &token) {
+                continue;
+            }
+            c.token.clear();
+            changed = true;
+        }
+        changed
+    }
+}
+
+/// settings 内存缓存条目（短时复用，避免高频调用反复读盘）
+struct SettingsCacheEntry {
+    read_at: Instant,
+    settings: MusicSettings,
+}
+
+/// 音乐模块管理器
+pub struct MusicManager {
+    root: PathBuf,
+    client: reqwest::Client,
+    /// 桥接进程（stdio 自管）
+    bridge: Mutex<Option<BridgeEntry>>,
+    /// 待响应请求表：id → oneshot（reader 线程按 id 分发）
+    pending: Arc<Mutex<HashMap<u64, tokio::sync::oneshot::Sender<serde_json::Value>>>>,
+    /// 请求 id 自增
+    next_id: AtomicU64,
+    /// 便携运行时安装/下载取消标志
+    runtime_cancel: Arc<AtomicBool>,
+    /// 正在执行的 pip/python 子进程 pid（取消时 taskkill）
+    install_pid: Arc<AtomicU64>,
+    /// 桥接启动互斥锁（防止并发 ensure_bridge 双重 spawn）
+    start_lock: Mutex<()>,
+    /// settings 内存缓存
+    settings_cache: Mutex<Option<SettingsCacheEntry>>,
+    /// 飞牛音乐(NAS)播放器运行期（连接 + 本地流代理）
+    feiniu: Feiniu,
+    /// AppHandle（桥接 reader 线程据此将事件转发给前端；setup 时设置）
+    app: Mutex<Option<AppHandle>>,
+}
+
+impl MusicManager {
+    pub fn new(app_data_dir: PathBuf) -> Self {
+        let root = app_data_dir.join("music");
+        for d in ["runtime", "outputs"] {
+            fs::create_dir_all(root.join(d)).ok();
+        }
+        let mut feiniu = Feiniu::default();
+        feiniu.set_cache_root(&app_data_dir);
+        Self {
+            root,
+            client: reqwest::Client::builder()
+                // 默认 30s 兜底超时；流式下载按块推进，不受此限制
+                .timeout(std::time::Duration::from_secs(30))
+                .build()
+                .unwrap_or_else(|_| reqwest::Client::new()),
+            bridge: Mutex::new(None),
+            pending: Arc::new(Mutex::new(HashMap::new())),
+            next_id: AtomicU64::new(1),
+            runtime_cancel: Arc::new(AtomicBool::new(false)),
+            install_pid: Arc::new(AtomicU64::new(0)),
+            start_lock: Mutex::new(()),
+            settings_cache: Mutex::new(None),
+            feiniu,
+            app: Mutex::new(None),
+        }
+    }
+
+    /// 设置 AppHandle（setup 阶段调用；桥接 reader 线程据此转发事件到前端）
+    pub fn set_app(&self, app: AppHandle) {
+        if let Ok(mut guard) = self.app.lock() {
+            *guard = Some(app);
+        }
+    }
+
+    pub(crate) fn app_handle(&self) -> Option<AppHandle> {
+        self.app.lock().ok().and_then(|g| g.clone())
+    }
+
+    // ---------- 设置 ----------
+    /// 默认保存目录：系统「下载」目录（不可用时退回 {root}/outputs）
+    fn default_savedir(&self) -> String {
+        dirs::download_dir()
+            .unwrap_or_else(|| self.outputs_dir())
+            .to_string_lossy()
+            .to_string()
+    }
+
+    fn default_settings(&self) -> MusicSettings {
+        MusicSettings {
+            savedir: self.default_savedir(),
+            sources: DEFAULT_SOURCES.iter().map(|s| s.to_string()).collect(),
+            lyric_download: true,
+            cover_download: true,
+            use_proxy: false,
+            max_concurrent: 4,
+            download_engine: "musicdl".to_string(),
+            select_quality_on_download: false,
+            default_download_quality: "最高".to_string(), // 默认下载最高音质
+            qq_cookie: String::new(),
+            feiniu_base_url: String::new(),
+            feiniu_token: String::new(),
+            feiniu_username: String::new(),
+            feiniu_device_id: String::new(),
+            feiniu_access_code: String::new(),
+            feiniu_connections: Vec::new(),
+            feiniu_active_id: String::new(),
+            feiniu_local_dirs: Vec::new(),
+            feiniu_cache_enabled: false,
+            feiniu_cache_max_gb: 5,
+            feiniu_play_mode: "stream".to_string(),
+            feiniu_library_nas_path: String::new(),
+            feiniu_auto_upload: false,
+        }
+    }
+
+    fn settings_path(&self) -> PathBuf {
+        self.root.join("settings.json")
+    }
+
+    /// 读取设置（500ms 内存缓存；文件缺失/损坏时回退默认值）
+    pub fn load_settings(&self) -> MusicSettings {
+        if let Ok(cache) = self.settings_cache.lock() {
+            if let Some(entry) = cache.as_ref() {
+                if entry.read_at.elapsed() < Duration::from_millis(500) {
+                    return entry.settings.clone();
+                }
+            }
+        }
+        let defaults = self.default_settings();
+        let settings = fs::read_to_string(self.settings_path())
+            .ok()
+            .and_then(|s| serde_json::from_str::<MusicSettings>(&s).ok())
+            .unwrap_or_else(|| defaults.clone());
+        // 自愈：保存目录为空 / 源为空时补默认值
+        let mut settings = settings;
+        if settings.savedir.trim().is_empty() {
+            settings.savedir = defaults.savedir;
+        }
+        // 迁移：旧默认保存目录（{root}/outputs）→ 系统下载目录
+        if settings.savedir == self.outputs_dir().to_string_lossy() {
+            settings.savedir = self.default_savedir();
+        }
+        if settings.sources.is_empty() {
+            settings.sources = defaults.sources;
+        }
+        // 飞牛音乐多连接迁移：旧单连接字段 → 连接列表，并清除旧字段。
+        // 变更必须落盘，否则每次读取都会重新迁移，导致删掉的连接"复活"。
+        let migrated = settings.migrate_feiniu();
+        // 明文凭据（连接 token）→ 系统凭据管理器，成功后从结构体清除。
+        let secrets_migrated = settings.migrate_secrets();
+        if let Ok(mut cache) = self.settings_cache.lock() {
+            *cache = Some(SettingsCacheEntry {
+                read_at: Instant::now(),
+                settings: settings.clone(),
+            });
+        }
+        if migrated || secrets_migrated {
+            if let Err(e) = self.save_settings(&settings) {
+                crate::logger::log_error("music", &format!("迁移飞牛连接设置落盘失败: {e}"));
+            }
+        }
+        settings
+    }
+
+    /// 保存设置并更新缓存
+    pub fn save_settings(&self, settings: &MusicSettings) -> Result<(), String> {
+        let json = serde_json::to_string_pretty(settings).map_err(|e| format!("序列化设置失败: {}", e))?;
+        fs::write(self.settings_path(), json).map_err(|e| format!("写入设置失败: {}", e))?;
+        if let Ok(mut cache) = self.settings_cache.lock() {
+            *cache = Some(SettingsCacheEntry {
+                read_at: Instant::now(),
+                settings: settings.clone(),
+            });
+        }
+        Ok(())
+    }
+
+    // ---------- 目录 ----------
+    pub fn runtime_dir(&self) -> PathBuf {
+        self.root.join("runtime")
+    }
+    /// 默认音乐下载目录
+    pub fn outputs_dir(&self) -> PathBuf {
+        self.root.join("outputs")
+    }
+    pub fn bridge_script_path(&self) -> PathBuf {
+        self.root.join("bridge.py")
+    }
+    pub fn bundled_python_exe(&self) -> PathBuf {
+        self.runtime_dir().join("python").join("python.exe")
+    }
+
+    // ---------- Python 探测 ----------
+    /// 解析桥接要用的 Python 运行时。
+    /// 便携版优先：musicdl 只装入便携运行时，系统 Python 无法保证装有 musicdl；
+    /// 无便携版时退回系统 Python（此时 search 会报 musicdl 未安装，引导用户装便携版）。
+    pub fn resolve_python(&self) -> Result<PythonEnv, String> {
+        if let Some(env) = self.detect_bundled_python() {
+            return Ok(env);
+        }
+        if let Some(env) = detect_system_python() {
+            return Ok(env);
+        }
+        Err("未找到 Python 运行时：系统未安装 Python，且便携版未安装。请点击「安装便携版」".into())
+    }
+
+    /// 便携 Python 是否可用（exe 存在且能跑 --version）
+    pub fn detect_bundled_python(&self) -> Option<PythonEnv> {
+        detect_bundled_python_at(&self.bundled_python_exe())
+    }
+
+    // ---------- 环境状态 ----------
+    /// 查询环境状态。子进程探测（python/musicdl/ffmpeg，便携 Python 冷启动可达数秒）
+    /// 放入阻塞线程池执行，避免阻塞主线程导致 UI 冻结。
+    pub async fn env_status(&self) -> Result<MusicEnvStatus, String> {
+        let bundled_exe = self.bundled_python_exe();
+        let bridge_running = self.bridge.lock().map(|b| b.is_some()).unwrap_or(false);
+        let runtime_dir = self.root.to_string_lossy().to_string();
+        let probe =
+            tauri::async_runtime::spawn_blocking(move || probe_env_blocking(bundled_exe))
+                .await
+                .map_err(|e| format!("环境探测任务失败: {}", e))?;
+        Ok(MusicEnvStatus {
+            python: probe.python,
+            python_source: probe.python_source.to_string(),
+            bundled_python: probe.bundled_python,
+            musicdl_installed: probe.musicdl_installed,
+            musicdl_outdated: probe.musicdl_installed
+                && !version_matches(probe.musicdl_version.as_deref(), MUSICDL_VERSION),
+            musicdl_version: probe.musicdl_version,
+            musicdl_expected: MUSICDL_VERSION.to_string(),
+            ffmpeg: probe.ffmpeg,
+            bridge_running,
+            runtime_dir,
+        })
+    }
+
+    // ---------- 退出清理 ----------
+    /// 应用退出时停止桥接进程（stdin/stdout 随 child drop 关闭，reader 线程读到 EOF 自行退出）
+    pub fn cleanup_on_exit(&self) {
+        self.stop_bridge();
+    }
+
+    // ---------- 内部工具 ----------
+    pub(crate) fn cancel(&self) {
+        self.runtime_cancel.store(true, Ordering::SeqCst);
+        let pid = self.install_pid.load(Ordering::SeqCst);
+        if pid != 0 {
+            // 杀掉正在执行的 pip/python 子进程，避免安装流程挂住
+            let _ = std::process::Command::new("taskkill")
+                .args(["/F", "/T", "/PID", &pid.to_string()])
+                .stdout(std::process::Stdio::null())
+                .stderr(std::process::Stdio::null())
+                .status();
+        }
+    }
+
+    pub(crate) fn is_cancelled(&self) -> bool {
+        self.runtime_cancel.load(Ordering::SeqCst)
+    }
+
+    pub(crate) fn start_lock(&self) -> &Mutex<()> {
+        &self.start_lock
+    }
+}
+
+/// 环境探测结果（spawn_blocking 跨线程返回）
+struct EnvProbe {
+    python: Option<String>,
+    python_source: &'static str,
+    bundled_python: Option<String>,
+    musicdl_installed: bool,
+    musicdl_version: Option<String>,
+    ffmpeg: Option<String>,
+}
+
+/// 阻塞式环境探测（串行 spawn 多个子进程，必须在阻塞线程池执行，禁止占用主线程）
+fn probe_env_blocking(bundled_exe: PathBuf) -> EnvProbe {
+    let bundled = detect_bundled_python_at(&bundled_exe);
+    let sys_py = detect_system_python();
+    // 便携版优先（与 resolve_python 一致）：musicdl 只装入便携运行时，
+    // 若按系统优先检查，装好便携版后 UI 仍会误报 musicdl 未安装
+    let python = bundled.as_ref().or(sys_py.as_ref());
+
+    let (musicdl_installed, musicdl_version) = match python {
+        Some(env) => check_musicdl(&env.exe),
+        None => (false, None),
+    };
+    EnvProbe {
+        python: python.map(|e| e.version.clone()),
+        python_source: match python {
+            Some(e) => e.source,
+            None => "none",
+        },
+        bundled_python: bundled.map(|e| e.exe.to_string_lossy().to_string()),
+        musicdl_installed,
+        musicdl_version,
+        ffmpeg: check_ffmpeg(),
+    }
+}
+
+/// 指定路径的便携 Python 是否可用（exe 存在且能跑 --version）
+fn detect_bundled_python_at(exe: &PathBuf) -> Option<PythonEnv> {
+    if !exe.exists() {
+        return None;
+    }
+    let version = run_python_version(exe)?;
+    Some(PythonEnv {
+        source: "bundled",
+        exe: exe.clone(),
+        version,
+    })
+}
+
+/// 探测系统 Python：依次尝试 python / py / python3，解析 `--version` 输出。
+/// 注意：Windows 的「应用商店别名」python 会在无安装时打印提示并以非零码退出，会被自然过滤。
+fn detect_system_python() -> Option<PythonEnv> {
+    for candidate in ["python", "py", "python3"] {
+        let mut cmd = std::process::Command::new(candidate);
+        cmd.arg("--version");
+        crate::process_manager::setup_creation_flags(&mut cmd);
+        cmd.stdout(std::process::Stdio::piped())
+            .stderr(std::process::Stdio::piped())
+            .stdin(std::process::Stdio::null());
+        let out = cmd.output().ok()?;
+        let text = format!(
+            "{}{}",
+            String::from_utf8_lossy(&out.stdout),
+            String::from_utf8_lossy(&out.stderr)
+        );
+        if let Some(version) = parse_python_version(&text) {
+            return Some(PythonEnv {
+                source: "system",
+                exe: PathBuf::from(candidate),
+                version,
+            });
+        }
+    }
+    None
+}
+
+/// 运行 `python --version` 并解析版本号
+fn run_python_version(exe: &PathBuf) -> Option<String> {
+    let mut cmd = std::process::Command::new(exe);
+    cmd.arg("--version");
+    crate::process_manager::setup_creation_flags(&mut cmd);
+    cmd.stdout(std::process::Stdio::piped())
+        .stderr(std::process::Stdio::piped())
+        .stdin(std::process::Stdio::null());
+    let out = cmd.output().ok()?;
+    let text = format!(
+        "{}{}",
+        String::from_utf8_lossy(&out.stdout),
+        String::from_utf8_lossy(&out.stderr)
+    );
+    parse_python_version(&text)
+}
+
+/// 从 "Python 3.14.5" 文本中提取 "3.14.5"
+fn parse_python_version(text: &str) -> Option<String> {
+    text.split_whitespace().find_map(|w| {
+        let mut parts = w.split('.');
+        let major = parts.next()?.parse::<u32>().ok()?;
+        let minor = parts.next()?.parse::<u32>().ok()?;
+        if (major, minor) >= (3, 8) {
+            Some(w.to_string())
+        } else {
+            None
+        }
+    })
+}
+
+/// 已装版本是否就是本应用锁定的版本。
+///
+/// `unknown` / 空值一律视为**不匹配**：`check_musicdl` 拿不到 `__version__` 时
+/// 无法确认它是不是受支持的那一版，宁可提示更新。
+/// 兼容 `v2.13.11` 这类带前缀的写法。
+fn version_matches(installed: Option<&str>, expected: &str) -> bool {
+    let v = installed.unwrap_or("").trim().trim_start_matches('v');
+    !v.is_empty() && !v.eq_ignore_ascii_case("unknown") && v == expected
+}
+
+/// 检查指定 Python 能否导入 musicdl（同步子进程调用，仅在设置页触发）
+fn check_musicdl(exe: &PathBuf) -> (bool, Option<String>) {
+    let mut cmd = std::process::Command::new(exe);
+    cmd.args([
+        "-c",
+        "import musicdl; print(getattr(musicdl, '__version__', 'unknown'))",
+    ]);
+    crate::process_manager::setup_creation_flags(&mut cmd);
+    cmd.stdout(std::process::Stdio::piped())
+        .stderr(std::process::Stdio::null())
+        .stdin(std::process::Stdio::null());
+    match cmd.output() {
+        Ok(out) if out.status.success() => {
+            let version = String::from_utf8_lossy(&out.stdout).trim().to_string();
+            (true, Some(version))
+        }
+        _ => (false, None),
+    }
+}
+
+/// 检查 FFmpeg 是否可用（部分海外音源需要，非必需）
+fn check_ffmpeg() -> Option<String> {
+    let mut cmd = std::process::Command::new("ffmpeg");
+    cmd.arg("-version");
+    crate::process_manager::setup_creation_flags(&mut cmd);
+    cmd.stdout(std::process::Stdio::piped())
+        .stderr(std::process::Stdio::null())
+        .stdin(std::process::Stdio::null());
+    cmd.output()
+        .ok()
+        .and_then(|o| String::from_utf8(o.stdout).ok())
+        .and_then(|s| {
+            s.lines()
+                .next()
+                .map(|l| l.trim().to_string())
+                .filter(|l| !l.is_empty())
+        })
+}

src-tauri/src/music/runtime.rs

@@ -0,0 +1,478 @@
+//! 便携 Python 运行时安装：流式下载 → 解压 → _pth 补丁 → get-pip 引导 → musicdl 安装。
+//! 子模块通过 `impl super::MusicManager` 追加方法。
+//!
+//! 依赖下载源（已验证）：
+//! - https://www.python.org/ftp/python/{ver}/python-{ver}-embed-amd64.zip
+//! - https://bootstrap.pypa.io/get-pip.py
+//!
+//! 取消：`MusicManager::cancel()` 置标志 + taskkill 当前 pip/python 子进程。
+
+use std::fs;
+use std::io::{Read, Write};
+use std::path::{Path, PathBuf};
+use std::sync::Arc;
+
+use futures_util::StreamExt;
+use tauri::{AppHandle, Emitter};
+
+use super::{MusicInstallProgress, MusicManager, PIP_INDEX_URL};
+use crate::constants::events::MUSIC_RUNTIME_INSTALL_PROGRESS;
+
+/// 用户主动取消安装的标记错误信息（前端据此静默处理）
+pub(crate) const RUNTIME_CANCELLED: &str = "安装已取消";
+
+impl MusicManager {
+    /// 安装便携 Python + musicdl（幂等：已就绪的步骤自动跳过），全程推送进度事件。
+    pub async fn install_runtime(&self, app: &AppHandle) -> Result<(), String> {
+        self.runtime_cancel.store(false, std::sync::atomic::Ordering::SeqCst);
+        let result = self.install_runtime_inner(app).await;
+        if let Err(ref e) = result {
+            if e != RUNTIME_CANCELLED {
+                let _ = app.emit(
+                    MUSIC_RUNTIME_INSTALL_PROGRESS,
+                    MusicInstallProgress {
+                        stage: "error".into(),
+                        percent: 0,
+                        downloaded_bytes: 0,
+                        total_bytes: None,
+                        message: e.clone(),
+                    },
+                );
+            }
+        }
+        result
+    }
+
+    async fn install_runtime_inner(&self, app: &AppHandle) -> Result<(), String> {
+        let runtime_dir = self.runtime_dir();
+        fs::create_dir_all(&runtime_dir).map_err(|e| e.to_string())?;
+
+        let python_exe = self.bundled_python_exe();
+
+        // ---------- 1. 便携 Python 已就绪则跳过下载/解压 ----------
+        if !(python_exe.exists() && super::run_python_version(&python_exe).is_some()) {
+            self.emit_progress(app, "download", 2, 0, None, "开始下载便携 Python...").await;
+
+            // 下载 embeddable zip（~11MB，流式写入）
+            let zip_path = runtime_dir.join(format!("python-{}-embed.zip", super::BUNDLED_PY_VERSION));
+            let zip_url = format!(
+                "https://www.python.org/ftp/python/{}/python-{}-embed-amd64.zip",
+                super::BUNDLED_PY_VERSION,
+                super::BUNDLED_PY_VERSION
+            );
+            self.download_stream(app, &zip_url, &zip_path).await?;
+
+            // 解压到 runtime/python/
+            self.emit_progress(app, "extract", 42, 0, None, "正在解压便携 Python...").await;
+            let python_dir = runtime_dir.join("python");
+            if python_dir.exists() {
+                fs::remove_dir_all(&python_dir).ok();
+            }
+            fs::create_dir_all(&python_dir).map_err(|e| e.to_string())?;
+            self.extract_zip(&zip_path, &python_dir)?;
+            fs::remove_file(&zip_path).ok();
+
+            // _pth 补丁：启用 site（否则无法识别 site-packages 与 pip）
+            self.emit_progress(app, "patch", 52, 0, None, "正在配置 Python 环境...").await;
+            self.patch_pth(&python_dir)?;
+
+            // 下载 get-pip.py 并引导 pip（只装 pip 本体，走官方源，包很小）
+            self.emit_progress(app, "pip", 54, 0, None, "正在引导 pip...").await;
+            let get_pip = runtime_dir.join("get-pip.py");
+            self.download_bytes(&"https://bootstrap.pypa.io/get-pip.py".to_string(), &get_pip)
+                .await?;
+            let pip_py = python_exe.clone();
+            let pip_py2 = pip_py.clone(); // 供 setuptools 步骤闭包使用（先于 move 克隆）
+            let get_pip2 = get_pip.clone();
+            self.run_blocking_step(
+                app,
+                "pip",
+                55,
+                60,
+                move |pid| {
+                    let mut cmd = std::process::Command::new(&pip_py);
+                    cmd.arg(&get_pip2).args(["--no-warn-script-location"]);
+                    run_cmd_blocking(cmd, pid)
+                },
+                "正在安装 pip...",
+            )
+            .await?;
+            fs::remove_file(&get_pip).ok();
+
+            // 安装 setuptools（musicdl 的 setup.py 构建依赖 setuptools.build_meta，
+            // 必须先于 musicdl 就位，否则构建阶段报 BackendUnavailable）
+            self.run_blocking_step(
+                app,
+                "pip",
+                62,
+                66,
+                move |pid| {
+                    let mut cmd = std::process::Command::new(&pip_py2);
+                    cmd.args([
+                        "-m", "pip", "install", "--no-warn-script-location",
+                        "--timeout", "60",
+                        "--index-url", PIP_INDEX_URL,
+                        "setuptools",
+                    ]);
+                    run_cmd_blocking(cmd, pid)
+                },
+                "正在安装 setuptools...",
+            )
+            .await?;
+        } else {
+            self.emit_progress(app, "check", 2, 0, None, "便携 Python 已就绪").await;
+        }
+
+        // ---------- 2. 安装 musicdl（幂等：已安装则跳过） ----------
+        if !self.musicdl_ready(&python_exe).await {
+            let pip_py = python_exe.clone();
+            self.run_blocking_step(
+                app,
+                "musicdl",
+                68,
+                95,
+                move |pid| {
+                    let mut cmd = std::process::Command::new(&pip_py);
+                    cmd.args([
+                        "-m", "pip", "install", "--no-warn-script-location",
+                        "--timeout", "60",
+                        "--index-url", PIP_INDEX_URL,
+                        &format!("musicdl=={}", super::MUSICDL_VERSION),
+                    ]);
+                    run_cmd_blocking(cmd, pid)
+                },
+                "正在安装 musicdl（下载依赖较多，可能需几分钟）...",
+            )
+            .await?;
+        }
+
+        self.emit_progress(app, "done", 100, 0, None, "环境就绪").await;
+        crate::logger::log_info("music", "便携 Python + musicdl 安装完成");
+        Ok(())
+    }
+
+    /// 检查便携 Python 能否导入 musicdl
+    async fn musicdl_ready(&self, python_exe: &PathBuf) -> bool {
+        let exe = python_exe.clone();
+        let (ok, _) = super::check_musicdl(&exe);
+        ok
+    }
+
+    /// 把已装的 musicdl 对齐到本应用锁定的版本（`MUSICDL_VERSION`）。
+    ///
+    /// 为什么必须有这个动作：`install_runtime_inner` 的闸门是「能否 import」而不是
+    /// 「版本是否一致」——仅升级应用（哪怕代码里的锁定版本提高了）**不会**触发 pip，
+    /// 已装环境会永远停在旧版本。这里显式执行 `pip install --upgrade musicdl==<pinned>`；
+    /// `force = true` 用 `--force-reinstall` 兜住「能 import 但依赖已损坏」的灰区
+    /// （`check_musicdl` 只验证 `import musicdl` 与 `__version__`，证明不了子模块可用）。
+    ///
+    /// 只允许升到**锁定版本**，绝不升到 PyPI 最新：`bridge.py` 对 musicdl 的 monkey patch
+    /// 与版本强耦合（第三方解析链方法名、各源搜索字段映射、音质常量前缀），
+    /// 任意升版会静默破坏解析链。升锁定版本时必须同步核对那些补丁。
+    pub async fn update_musicdl(&self, app: &AppHandle, force: bool) -> Result<(), String> {
+        self.runtime_cancel.store(false, std::sync::atomic::Ordering::SeqCst);
+        let result = self.update_musicdl_inner(app, force).await;
+        if let Err(ref e) = result {
+            if e != RUNTIME_CANCELLED {
+                let _ = app.emit(
+                    MUSIC_RUNTIME_INSTALL_PROGRESS,
+                    MusicInstallProgress {
+                        stage: "error".into(),
+                        percent: 0,
+                        downloaded_bytes: 0,
+                        total_bytes: None,
+                        message: e.clone(),
+                    },
+                );
+            }
+        }
+        result
+    }
+
+    async fn update_musicdl_inner(&self, app: &AppHandle, force: bool) -> Result<(), String> {
+        let python_exe = self.bundled_python_exe();
+        // 便携 Python 不可用（或跑不起来）：直接走完整安装流程，
+        // 它会把 Python / pip / setuptools / musicdl 一次装齐
+        if !(python_exe.exists() && super::run_python_version(&python_exe).is_some()) {
+            return self.install_runtime_inner(app).await;
+        }
+
+        let mut args: Vec<String> = vec![
+            "-m".into(),
+            "pip".into(),
+            "install".into(),
+            "--no-warn-script-location".into(),
+            "--timeout".into(),
+            "60".into(),
+            "--index-url".into(),
+            PIP_INDEX_URL.into(),
+        ];
+        args.push(if force {
+            "--force-reinstall".into()
+        } else {
+            "--upgrade".into()
+        });
+        args.push(format!("musicdl=={}", super::MUSICDL_VERSION));
+        let msg = if force {
+            "正在修复 musicdl（强制重装，依赖较多，可能需几分钟）...".to_string()
+        } else {
+            format!("正在更新 musicdl 到 {}...", super::MUSICDL_VERSION)
+        };
+
+        let exe = python_exe.clone();
+        self.run_blocking_step(
+            app,
+            "musicdl",
+            10,
+            95,
+            move |pid| {
+                let mut cmd = std::process::Command::new(&exe);
+                cmd.args(&args);
+                run_cmd_blocking(cmd, pid)
+            },
+            &msg,
+        )
+        .await?;
+        self.emit_progress(app, "done", 100, 0, None, "musicdl 已对齐到锁定版本")
+            .await;
+        Ok(())
+    }
+
+    // ---------- 阶段工具 ----------
+    async fn emit_progress(
+        &self,
+        app: &AppHandle,
+        stage: &str,
+        percent: u32,
+        downloaded_bytes: u64,
+        total_bytes: Option<u64>,
+        message: &str,
+    ) {
+        let _ = app.emit(
+            MUSIC_RUNTIME_INSTALL_PROGRESS,
+            MusicInstallProgress {
+                stage: stage.into(),
+                percent,
+                downloaded_bytes,
+                total_bytes,
+                message: message.into(),
+            },
+        );
+    }
+
+    /// 流式下载（带取消 + 进度事件，percent 0-40 区间），复用内核下载模式
+    async fn download_stream(
+        &self,
+        app: &AppHandle,
+        url: &str,
+        dest: &Path,
+    ) -> Result<(), String> {
+        let resp = self
+            .client
+            .get(url)
+            .timeout(std::time::Duration::from_secs(300))
+            .send()
+            .await
+            .map_err(|e| format!("请求下载失败: {}", e))?;
+        let status = resp.status();
+        if !status.is_success() {
+            return Err(format!("下载返回 HTTP {}", status.as_u16()));
+        }
+        let total: Option<u64> = resp.content_length();
+        let mut file = fs::File::create(dest).map_err(|e| format!("创建文件失败: {}", e))?;
+        let mut stream = resp.bytes_stream();
+        let mut downloaded: u64 = 0;
+        let mut last_percent: u32 = 0;
+        while let Some(chunk) = stream.next().await {
+            if self.is_cancelled() {
+                drop(file);
+                fs::remove_file(dest).ok();
+                return Err(RUNTIME_CANCELLED.to_string());
+            }
+            let chunk = chunk.map_err(|e| format!("下载中断: {}", e))?;
+            file.write_all(&chunk).map_err(|e| format!("写入文件失败: {}", e))?;
+            downloaded += chunk.len() as u64;
+            let percent = total
+                .filter(|t| *t > 0)
+                .map(|t| ((downloaded as f64 / t as f64) * 38.0) as u32)
+                .unwrap_or(0)
+                .min(38);
+            if percent >= last_percent + 1 {
+                last_percent = percent;
+                self.emit_progress(
+                    app,
+                    "download",
+                    percent,
+                    downloaded,
+                    total,
+                    &format!("正在下载便携 Python ({:.1} MB)", downloaded as f64 / 1048576.0),
+                )
+                .await;
+            }
+        }
+        file.flush().ok();
+        self.emit_progress(app, "download", 40, downloaded, total, "下载完成").await;
+        Ok(())
+    }
+
+    /// 小文件整体下载（get-pip.py），无进度
+    async fn download_bytes(&self, url: &str, dest: &Path) -> Result<(), String> {
+        let resp = self
+            .client
+            .get(url)
+            .timeout(std::time::Duration::from_secs(120))
+            .send()
+            .await
+            .map_err(|e| format!("请求下载失败: {}", e))?;
+        let status = resp.status();
+        if !status.is_success() {
+            return Err(format!("下载返回 HTTP {}", status.as_u16()));
+        }
+        let bytes = resp.bytes().await.map_err(|e| format!("读取响应失败: {}", e))?;
+        fs::write(dest, &bytes).map_err(|e| format!("写入文件失败: {}", e))?;
+        Ok(())
+    }
+
+    /// 解压 zip（复用内核解压逻辑）
+    fn extract_zip(&self, zip_path: &Path, dest: &Path) -> Result<(), String> {
+        let file = fs::File::open(zip_path).map_err(|e| format!("打开 zip 失败: {}", e))?;
+        let mut archive = zip::ZipArchive::new(file).map_err(|e| format!("读取 zip 失败: {}", e))?;
+        for i in 0..archive.len() {
+            let mut entry = archive
+                .by_index(i)
+                .map_err(|e| format!("读取条目失败: {}", e))?;
+            let outpath = match entry.enclosed_name() {
+                Some(p) => dest.join(p),
+                None => continue,
+            };
+            if entry.is_dir() {
+                fs::create_dir_all(&outpath).map_err(|e| e.to_string())?;
+            } else {
+                if let Some(parent) = outpath.parent() {
+                    fs::create_dir_all(parent).map_err(|e| e.to_string())?;
+                }
+                let mut outfile = fs::File::create(&outpath).map_err(|e| e.to_string())?;
+                let mut buf = [0u8; 8192];
+                loop {
+                    let n = entry.read(&mut buf).map_err(|e| e.to_string())?;
+                    if n == 0 {
+                        break;
+                    }
+                    outfile.write_all(&buf[..n]).map_err(|e| e.to_string())?;
+                }
+            }
+        }
+        Ok(())
+    }
+
+    /// 修改 pythonXY._pth：启用 `import site`（embeddable 默认注释掉，
+    /// 不启用则无法识别 site-packages / pip 安装的包）
+    fn patch_pth(&self, python_dir: &Path) -> Result<(), String> {
+        let entries = fs::read_dir(python_dir).map_err(|e| e.to_string())?;
+        let pth = entries
+            .filter_map(|e| e.ok())
+            .map(|e| e.path())
+            .find(|p| {
+                p.extension()
+                    .and_then(|e| e.to_str())
+                    .map(|e| e.eq_ignore_ascii_case("_pth"))
+                    .unwrap_or(false)
+            })
+            .ok_or_else(|| "解压目录中未找到 ._pth 文件".to_string())?;
+
+        let content = fs::read_to_string(&pth).map_err(|e| e.to_string())?;
+        let mut patched = content.replace("#import site", "import site");
+        if !patched.contains("import site") {
+            patched.push_str("import site\n");
+        }
+        // 显式把 site-packages 加入 sys.path（pip 默认安装位置）
+        if !patched.contains("Lib\\site-packages") && !patched.contains("Lib/site-packages") {
+            patched.push_str("Lib\\site-packages\n");
+        }
+        fs::write(&pth, patched).map_err(|e| format!("写入 _pth 失败: {}", e))?;
+        crate::logger::log_info("music", &format!("已补丁 _pth: {}", pth.display()));
+        Ok(())
+    }
+
+    /// 执行一个阻塞子进程步骤（get-pip / setuptools / musicdl），带进度推送、取消检查与超时看门狗。
+    /// start_percent / end_percent：本步骤的进度区间（完成前推进到 end_percent）。
+    /// run 闭包接收「子进程 pid 记录器」，供取消时 taskkill。
+    async fn run_blocking_step<F>(
+        &self,
+        app: &AppHandle,
+        stage: &str,
+        start_percent: u32,
+        end_percent: u32,
+        run: F,
+        msg: &str,
+    ) -> Result<(), String>
+    where
+        F: FnOnce(Arc<std::sync::atomic::AtomicU64>) -> Result<(), String> + Send + 'static,
+    {
+        if self.is_cancelled() {
+            return Err(RUNTIME_CANCELLED.to_string());
+        }
+        let pid_ref = self.install_pid.clone();
+        self.emit_progress(app, stage, start_percent, 0, None, msg).await;
+        let result = tauri::async_runtime::spawn_blocking(move || run(pid_ref.clone()))
+            .await
+            .map_err(|e| format!("任务执行失败: {}", e))?;
+        self.install_pid.store(0, std::sync::atomic::Ordering::SeqCst);
+        if self.is_cancelled() {
+            return Err(RUNTIME_CANCELLED.to_string());
+        }
+        result?;
+        self.emit_progress(app, stage, end_percent, 0, None, "完成").await;
+        Ok(())
+    }
+}
+
+/// 同步运行子进程，带超时看门狗（超时 taskkill），并记录 pid 供取消。
+/// 输出（stdout+stderr 尾部）写入日志；失败返回错误信息。
+fn run_cmd_blocking(
+    mut cmd: std::process::Command,
+    pid_ref: Arc<std::sync::atomic::AtomicU64>,
+) -> Result<(), String> {
+    cmd.stdout(std::process::Stdio::piped())
+        .stderr(std::process::Stdio::piped())
+        .stdin(std::process::Stdio::null());
+    crate::process_manager::setup_creation_flags(&mut cmd);
+
+    let child = cmd.spawn().map_err(|e| format!("启动子进程失败: {}", e))?;
+    pid_ref.store(child.id() as u64, std::sync::atomic::Ordering::SeqCst);
+
+    // 超时看门狗：30 分钟后仍未结束则强杀（慢网络下 pip 装 musicdl 依赖可能超过 10 分钟）
+    let pid = child.id();
+    let (tx, rx) = std::sync::mpsc::channel::<()>();
+    let watcher = std::thread::spawn(move || {
+        if rx.recv_timeout(std::time::Duration::from_secs(1800)).is_err() {
+            let _ = std::process::Command::new("taskkill")
+                .args(["/F", "/T", "/PID", &pid.to_string()])
+                .stdout(std::process::Stdio::null())
+                .stderr(std::process::Stdio::null())
+                .status();
+        }
+    });
+
+    let output = child.wait_with_output();
+    let _ = tx.send(());
+    let _ = watcher.join();
+
+    match output {
+        Ok(out) => {
+            let text = format!(
+                "{}{}",
+                String::from_utf8_lossy(&out.stdout),
+                String::from_utf8_lossy(&out.stderr)
+            );
+            if out.status.success() {
+                Ok(())
+            } else {
+                // 截取尾部 800 字符，便于定位 pip 报错
+                let tail: String = text.chars().rev().take(800).collect::<String>().chars().rev().collect();
+                Err(format!("子进程退出码 {}: {}", out.status.code().unwrap_or(-1), tail))
+            }
+        }
+        Err(e) => Err(format!("读取子进程输出失败: {}", e)),
+    }
+}

src-tauri/src/music/secrets.rs

@@ -0,0 +1,54 @@
+//! 音乐模块的凭据键约定与便捷读取。
+//!
+//! 底层读写原语已抽到 crate 级 [`crate::secrets`]（同一套 `Thing` 服务名与迁移
+//! 策略，翻译模块等其他使用者共享）。本文件只保留**音乐自己的键名**与
+//! 「前端可达范围」这道闸门，读写一律委托给公共模块，避免出现第二套实现。
+//!
+//! 约定：
+//! - 一律使用 `Thing` 作为凭据服务名，`key` 作为用户名（Entry 的 account）。
+//!   服务名是历史值，改动会导致已有凭据读不到。
+//! - 明文只允许存在于内存与系统凭据库，禁止回写 `settings.json` / localStorage。
+//! - 迁移采用「先写凭据库成功、再清明文」的顺序；**写失败时保留明文**，
+//!   宁可牺牲一致性也不能把用户已登录的会话弄丢。
+//! - 非 Windows 平台没有凭据管理器：读取返回 None、写入报错，
+//!   调用方据此退化为「明文存 settings」（功能优先）。
+
+pub use crate::secrets::{secret_delete, secret_read, secret_write, try_store};
+
+/// WebDAV 凭据的 key（**历史值，不可更改**）。
+pub const KEY_WEBDAV: &str = "webdav-credentials";
+/// QQ 音乐 Cookie 的 key（前端 `musicStore` 使用）。
+pub const KEY_QQ_COOKIE: &str = "music-qq-cookie";
+
+/// 允许**前端**通过 `music_secret_*` 命令读写的凭据键白名单。
+///
+/// 用白名单而不是前缀匹配：前端不该有能力枚举/试探凭据库，
+/// `webdav-credentials` 与飞牛 token 因此都在前端的可达范围之外。
+/// 新增键必须在此显式登记（改 Rust 代码），这是一道有意的闸门。
+pub const FRONTEND_KEYS: [&str; 1] = [KEY_QQ_COOKIE];
+
+/// 飞牛连接 token 的 key 前缀（**只由后端使用**，不暴露给前端）。
+const TOKEN_KEY_PREFIX: &str = "music-feiniu-token-";
+
+/// 某条飞牛连接的登录 token 的 key。
+pub fn feiniu_token_key(connection_id: &str) -> String {
+    format!("{TOKEN_KEY_PREFIX}{connection_id}")
+}
+
+/// 前端是否允许访问该凭据键。
+pub fn frontend_key_allowed(key: &str) -> bool {
+    FRONTEND_KEYS.contains(&key)
+}
+
+/// 读取飞牛连接 token；未配置或读取失败 → 空串（等价于未登录）。
+pub fn read_feiniu_token(connection_id: &str) -> String {
+    if connection_id.is_empty() {
+        return String::new();
+    }
+    crate::secrets::read_or_empty(&feiniu_token_key(connection_id))
+}
+
+/// 该连接是否已有可用 token（供前端展示「已登录」）。
+pub fn has_feiniu_token(connection_id: &str) -> bool {
+    !read_feiniu_token(connection_id).is_empty()
+}

src-tauri/src/process_manager.rs

@@ -127,8 +127,9 @@ pub fn setup_creation_flags(_cmd: &mut Command) {
 
 /// 将已启动的子进程加入 Job Object（异常退出时自动清理）
 /// 在 Windows 上调用，非 Windows 平台为空操作
+/// pub(crate)：音乐模块的桥接进程（自管 stdio，不走 ProcessManager）也需加入 Job
 #[cfg(windows)]
-fn assign_to_job(child: &Child) {
+pub(crate) fn assign_to_job(child: &Child) {
     use std::os::windows::io::AsRawHandle;
     if let Some(job) = get_job_handle() {
         let child_handle = child.as_raw_handle() as winapi::HANDLE;

src-tauri/src/screenshot/capture.rs

@@ -18,9 +18,9 @@
 use std::sync::Mutex;
 use windows_sys::Win32::Foundation::{BOOL, HWND, POINT, RECT};
 use windows_sys::Win32::Graphics::Gdi::{
-    BitBlt, CreateCompatibleBitmap, CreateCompatibleDC, DeleteDC, DeleteObject, GetDC, GetDIBits,
-    PatBlt, ReleaseDC, SelectObject, BITMAPINFO, BITMAPINFOHEADER, BLACKNESS, DIB_RGB_COLORS,
-    RGBQUAD, SRCCOPY,
+    BitBlt, CombineRgn, CreateCompatibleBitmap, CreateCompatibleDC, CreateRectRgn, DeleteDC,
+    DeleteObject, GetDC, GetDIBits, PatBlt, ReleaseDC, SelectObject, SetWindowRgn, BITMAPINFO,
+    BITMAPINFOHEADER, BLACKNESS, DIB_RGB_COLORS, RGBQUAD, RGN_DIFF, SRCCOPY,
 };
 use windows_sys::Win32::Storage::Xps::PrintWindow;
 use windows_sys::Win32::System::DataExchange::{
@@ -34,7 +34,7 @@ use windows_sys::Win32::UI::WindowsAndMessaging::{
     WS_EX_TOOLWINDOW,
 };
 
-use super::{CaptureData, ScreenRect, WindowInfo};
+use super::{CaptureData, ScreenRect, ScrollRegion, WindowInfo};
 
 /// 捕获结果（PNG 字节 + 原始 BGRA 像素，像素用于剪贴板 DIB 构造，避免重复解码）
 pub struct CapturedImage {
@@ -406,6 +406,71 @@ pub fn disable_window_transitions(hwnd: isize) -> Result<(), String> {
     }
 }
 
+/// 滚动截图模式：在覆盖层窗口上挖出选区带的"真孔"（内缩 INSET 保留蓝框），或清除恢复整窗。
+///
+/// 背景：Chromium 系浏览器（Edge/Chrome）的原生窗口遮挡检测（occlusion tracking）
+/// 会把被**完全覆盖**的窗口标记为 occluded 并暂停渲染合成——滚动截图时覆盖层
+/// 铺满全屏盖住目标窗口，网页"看起来完全不滚动"，PrintWindow 抓到的也是静止帧。
+/// 覆盖层并非 layered 窗口，即使其内容视觉透明，窗口矩形对遮挡检测仍算不透明覆盖。
+/// 挖孔后目标窗口仅部分被覆盖（Chromium 要求完全覆盖才判 occluded，实测 60x60
+/// 的小孔即可解除），恢复渲染与滚轮响应，拼接匹配随之正常。
+///
+/// - `region = Some`：孔 = 选区带内缩 INSET（保留 2px 蓝框 + 1px 白描边）；
+///   选区过小（< 2*INSET+8）时不挖孔，避免退化区域
+/// - `region = None`：SetWindowRgn(NULL) 清除窗口区域（恢复整窗）
+///
+/// 坐标：region 为屏幕物理像素（与滚动会话同源），按覆盖层窗口原点换算成窗口坐标。
+/// 区域设置在窗口上持续有效，会话结束/新一轮截图开始时必须传 None 复位。
+pub fn set_scroll_hole(hwnd: isize, region: Option<ScrollRegion>) -> Result<(), String> {
+    unsafe {
+        match region {
+            Some(r) => {
+                let mut wr: RECT = std::mem::zeroed();
+                if GetWindowRect(hwnd, &mut wr) == 0 {
+                    return Err("GetWindowRect 失败".into());
+                }
+                const INSET: i32 = 4;
+                let hx1 = r.x - wr.left + INSET;
+                let hy1 = r.y - wr.top + INSET;
+                let hx2 = r.x + r.width - wr.left - INSET;
+                let hy2 = r.y + r.height - wr.top - INSET;
+                if hx2 - hx1 < 8 || hy2 - hy1 < 8 {
+                    // 选区太小：不挖孔（保持整窗）
+                    if SetWindowRgn(hwnd, 0, 1) == 0 {
+                        return Err("SetWindowRgn 失败".into());
+                    }
+                    return Ok(());
+                }
+                let full = CreateRectRgn(0, 0, wr.right - wr.left, wr.bottom - wr.top);
+                let hole = CreateRectRgn(hx1, hy1, hx2, hy2);
+                if full == 0 || hole == 0 {
+                    if full != 0 {
+                        DeleteObject(full);
+                    }
+                    if hole != 0 {
+                        DeleteObject(hole);
+                    }
+                    return Err("CreateRectRgn 失败".into());
+                }
+                CombineRgn(full, full, hole, RGN_DIFF);
+                // 组合结果 full 归 SetWindowRgn 所有；hole 用完即删
+                DeleteObject(hole);
+                if SetWindowRgn(hwnd, full, 1) == 0 {
+                    DeleteObject(full);
+                    return Err("SetWindowRgn 失败".into());
+                }
+                Ok(())
+            }
+            None => {
+                if SetWindowRgn(hwnd, 0, 1) == 0 {
+                    return Err("SetWindowRgn 失败".into());
+                }
+                Ok(())
+            }
+        }
+    }
+}
+
 /// 枚举所有可见、有标题的顶层窗口（供窗口列表选择）
 pub fn enum_visible_windows() -> Vec<WindowInfo> {
     extern "system" fn enum_proc(hwnd: HWND, lparam: isize) -> i32 {

src-tauri/src/screenshot/commands.rs

@@ -10,6 +10,9 @@
 //! - screenshot_show_overlay：一次 IPC 完成覆盖层 show + focus（关键路径减少往返）
 //! - screenshot_enum_windows：枚举可见顶层窗口
 //! - screenshot_capture_window：按 hwnd 捕获指定窗口
+//! - screenshot_scroll_capture / screenshot_scroll_start / screenshot_scroll_finish /
+//!   screenshot_scroll_cancel：滚动截图（同步一次调用 / 会话式：启动、完成、取消）
+//! - screenshot_set_scroll_hole：滚动模式遮罩挖孔（防 Chromium 遮挡检测冻结目标窗口）
 //! - screenshot_take_editor_image_raw：取出编辑器图片（raw IPC，滚动截图会话直接写入）
 //! - screenshot_compose_png / screenshot_compose_copy：raw RGBA → PNG（仅编码 / 剪贴板+编码）
 //! - screenshot_copy_image：写入剪贴板（CF_DIB）
@@ -372,6 +375,54 @@ pub fn screenshot_scroll_cancel() -> Result<(), String> {
     }
 }
 
+/// 滚动模式遮罩挖孔：在截图覆盖层窗口上挖出选区带的真孔（region = None 时复位整窗）。
+///
+/// Chromium 系浏览器（Edge/Chrome）的窗口遮挡检测会把被完全覆盖的窗口标记为
+/// occluded 并暂停渲染——滚动截图时覆盖层铺满全屏，网页"看起来完全不滚动"。
+/// 挖孔后目标窗口仅部分被覆盖，恢复渲染与滚轮响应（详见 capture::set_scroll_hole）。
+/// 进入滚动模式时带选区调用，会话结束/新一轮截图开始时必须传 None 复位。
+#[tauri::command]
+#[specta::specta]
+pub fn screenshot_set_scroll_hole(
+    app: AppHandle,
+    region: Option<super::ScrollRegion>,
+) -> Result<(), String> {
+    #[cfg(windows)]
+    {
+        use raw_window_handle::HasWindowHandle;
+
+        let mut hwnds: Vec<isize> = Vec::new();
+        for (label, win) in app.webview_windows() {
+            if label.starts_with(crate::constants::windows::SCREENSHOT_OVERLAY) {
+                let hwnd = win
+                    .window_handle()
+                    .ok()
+                    .and_then(|h| match h.as_raw() {
+                        raw_window_handle::RawWindowHandle::Win32(w) => {
+                            Some(w.hwnd.get() as isize)
+                        }
+                        _ => None,
+                    });
+                if let Some(h) = hwnd {
+                    hwnds.push(h);
+                }
+            }
+        }
+        if hwnds.is_empty() {
+            return Err("截图覆盖层窗口不存在".into());
+        }
+        for h in hwnds {
+            super::capture::set_scroll_hole(h, region)?;
+        }
+        Ok(())
+    }
+    #[cfg(not(windows))]
+    {
+        let _ = (app, region);
+        Ok(())
+    }
+}
+
 /// 取出编辑器图片（原始 PNG 字节，raw IPC → 前端 ArrayBuffer → Blob URL，取出即清除）
 ///
 /// 长图（滚动截图）可达数十 MB：raw IPC 相比 base64 JSON 事件传输省 ~33% 体积，

src-tauri/src/secrets.rs

@@ -0,0 +1,110 @@
+//! 敏感串的统一存放处（Windows 系统凭据管理器，DPAPI 保护）。
+//!
+//! 从 `music::secrets` 抽出为 crate 级公共模块。抽出的理由：本项目早期出现过
+//! **两种安全姿态**——WebDAV 账号密码走凭据管理器，而飞牛登录 token 与 QQ 音乐
+//! Cookie 明文躺在 `settings.json` / localStorage。同样是可冒充身份的凭据，不该
+//! 区别对待。此后翻译模块又要接入多家 AI 的 API Key，若每个模块自带一套实现，
+//! 姿态只会再次分叉，因此把「原语」收敛到这里，各模块只保留自己的键名约定。
+//!
+//! 约定：
+//! - 一律使用 `Thing` 作为凭据服务名，`key` 作为用户名（Entry 的 account）。
+//!   **服务名不可更改**：已有凭据（`webdav-credentials`、`music-feiniu-token-*`、
+//!   `music-qq-cookie`）都以它存盘，改动会导致这些凭据读不到。
+//! - 明文只允许存在于内存与系统凭据库，禁止回写 `settings.json` / localStorage。
+//! - 迁移采用「先写凭据库成功、再清明文」的顺序；**写失败时保留明文**，
+//!   宁可牺牲一致性也不能把用户已登录的会话弄丢。
+//! - 非 Windows 平台没有凭据管理器：读取返回 None、写入报错，
+//!   调用方据此退化为「明文存设置」（功能优先）。
+
+/// 凭据服务名（**历史值，不可更改**）。
+pub const SERVICE: &str = "Thing";
+
+/// 读取明文（未配置 → `Ok(None)`）。
+#[cfg(windows)]
+pub fn secret_read(key: &str) -> Result<Option<String>, String> {
+    let entry =
+        keyring::Entry::new(SERVICE, key).map_err(|e| format!("无法访问系统凭据管理器: {e}"))?;
+    match entry.get_password() {
+        Ok(v) => Ok(Some(v)),
+        Err(keyring::Error::NoEntry) => Ok(None),
+        Err(e) => Err(format!("读取凭据失败: {e}")),
+    }
+}
+
+/// 写入明文（覆盖式）。
+#[cfg(windows)]
+pub fn secret_write(key: &str, value: &str) -> Result<(), String> {
+    let entry =
+        keyring::Entry::new(SERVICE, key).map_err(|e| format!("无法访问系统凭据管理器: {e}"))?;
+    entry
+        .set_password(value)
+        .map_err(|e| format!("保存凭据失败: {e}"))
+}
+
+/// 删除凭据（不存在视为成功）。
+#[cfg(windows)]
+pub fn secret_delete(key: &str) -> Result<(), String> {
+    let entry =
+        keyring::Entry::new(SERVICE, key).map_err(|e| format!("无法访问系统凭据管理器: {e}"))?;
+    match entry.delete_credential() {
+        Ok(()) => Ok(()),
+        Err(keyring::Error::NoEntry) => Ok(()),
+        Err(e) => Err(format!("删除凭据失败: {e}")),
+    }
+}
+
+#[cfg(not(windows))]
+pub fn secret_read(_key: &str) -> Result<Option<String>, String> {
+    Ok(None)
+}
+
+#[cfg(not(windows))]
+pub fn secret_write(_key: &str, _value: &str) -> Result<(), String> {
+    Err("当前平台不支持系统凭据管理器".to_string())
+}
+
+#[cfg(not(windows))]
+pub fn secret_delete(_key: &str) -> Result<(), String> {
+    Ok(())
+}
+
+/// 把明文**尽力**迁入凭据库（失败只记日志，不抛错）。
+///
+/// 返回「明文是否可以安全清除」：只有写入成功才为 true。
+/// 调用方用这个返回值决定要不要清空内存/配置里的明文。
+pub fn try_store(key: &str, value: &str) -> bool {
+    if value.is_empty() {
+        return true;
+    }
+    match secret_write(key, value) {
+        Ok(()) => true,
+        Err(e) => {
+            crate::logger::log_error(
+                "secrets",
+                &format!("凭据 {key} 写入系统凭据管理器失败（保留明文作为降级）: {e}"),
+            );
+            false
+        }
+    }
+}
+
+/// 读取明文，失败或未配置一律退化为空串（调用方无需区分「没配」与「读不到」）。
+pub fn read_or_empty(key: &str) -> String {
+    secret_read(key).ok().flatten().unwrap_or_default()
+}
+
+/// 掩码展示：保留前 3 位与后 4 位，中间以圆点替代。
+/// 长度不足时全部打码，绝不泄露完整明文。
+pub fn mask(value: &str) -> String {
+    let v = value.trim();
+    let n = v.chars().count();
+    if n == 0 {
+        return String::new();
+    }
+    if n <= 8 {
+        return "•".repeat(n);
+    }
+    let head: String = v.chars().take(3).collect();
+    let tail: String = v.chars().skip(n - 4).collect();
+    format!("{head}••••{tail}")
+}

src-tauri/src/setup.rs

@@ -7,6 +7,7 @@
 //! - 下载：DownloadEngine + 扩展 HTTP API 服务
 //! - 剪贴板：ClipboardManager + 快捷键 + 预创建弹窗
 //! - 快速面板：快捷键 + 预创建弹窗 + 文件索引
+//! - 翻译：TranslateManager（设置与密钥按需读取，启动时不发网络请求）
 //! - 托盘：自定义菜单窗口
 //! - 进程：监控线程
 
@@ -17,8 +18,11 @@ use crate::download_engine::{DownloadEngine, ExtensionServer};
 use crate::logger::LogManager;
 use crate::mihomo_manager::MihomoManager;
 use crate::monitor_kernel::{MonitorKernel, check_and_relaunch_if_needed};
+use crate::music::MusicManager;
 use crate::network_monitor::NetworkMonitor;
 use crate::process_manager::{ProcessManager, start_monitoring_thread};
+use crate::terminal::TerminalManager;
+use crate::translate::TranslateManager;
 
 /// 应用启动初始化入口（setup 闭包调用）。
 /// 初始化顺序即依赖顺序：日志 → 数据目录 → 各管理器 → 托盘 → 进程监控 → 自动启动。
@@ -53,6 +57,36 @@ pub fn init(app: &mut App<Wry>) -> Result<(), Box<dyn std::error::Error>> {
     let monitor = MonitorKernel::new(app_data_dir.clone());
     app.manage(monitor);
 
+    // ===== 音乐模块：MusicManager（Python 运行时 + 桥接进程） =====
+    // 仅注册状态，不主动启动桥接（由前端模块激活/首次请求时按需拉起）
+    let music = MusicManager::new(app_data_dir.clone());
+    // 注入 AppHandle：桥接 reader 线程把下载事件行转发给前端
+    music.set_app(app.handle().clone());
+    app.manage(music);
+
+    // ===== 翻译模块：TranslateManager =====
+    // 仅注册状态：设置与密钥都在命令调用时按需读取，启动阶段不发任何网络请求
+    // （模型可用性校验因此改为懒校验：首次翻译失败时解释原因 + 设置页手动拉取模型列表）。
+    let translate = TranslateManager::new(app_data_dir.clone());
+    app.manage(translate);
+    // 按设置注册「翻译取词 / 翻译剪贴板」两个全局快捷键并预创建悬浮窗。
+    // 失败只记日志（快捷键被占用不该阻断启动）。
+    crate::translate::init_on_launch(app.handle());
+
+    // ===== 终端模块：TerminalManager =====
+    // 仅注册状态 + 做一次 Shell 探测，**不建立任何 SSH 连接**
+    // （沿用 translate 的姿态：启动阶段不发网络请求，会话只在用户主动打开时创建）。
+    let terminal = TerminalManager::new(app_data_dir.clone());
+    // 初始化 known_hosts 存储（主机密钥信任库，非机密，明文 JSON）
+    crate::terminal::ssh::hostkey::init(terminal.root().join("known_hosts.json"));
+    app.manage(terminal);
+    // Shell 探测 + 清理上次运行遗留的 hook 脚本
+    if let Ok(t) = crate::terminal::manager(app.handle()) {
+        t.init_on_launch(app.handle());
+    } else {
+        crate::logger::log_warn("terminal", "终端模块初始化异常：State 未注册");
+    }
+
     // 网速采样不依赖提权，应用启动即开始
     let network_monitor = Arc::new(NetworkMonitor::new());
     app.manage(network_monitor.clone());

src-tauri/src/terminal/assistant.rs

@@ -0,0 +1,207 @@
+//! AI 命令助手（P2）。
+//!
+//! 根据用户意图（+ 可选的终端上下文）生成可执行的命令建议。
+//! **复用翻译模块的 AI 引擎配置**：引擎列表、Base URL、模型、密钥
+//! （凭据管理器）全部来自 translate 的设置——用户只需配置一份 API。
+//!
+//! # 输出契约（与模型约定的 JSON）
+//!
+//! 模型被要求只输出 `[{"command":"...","description":"..."}]` 数组。
+//! 但模型不完全可靠，解析器做了三层防御：
+//! 1. 剥掉可能包裹的 Markdown 代码块标记（```json ... ```）；
+//! 2. 数组解析失败时尝试提取首个 `[...]` 子串再解析；
+//! 3. 条目字段校验（command 非空），并截断到 5 条防止异常输出刷屏。
+use serde::Serialize;
+use specta::Type;
+
+use crate::translate::chat_once;
+use crate::translate::TranslateEngineConfig;
+use crate::translate::TranslateSettings;
+
+/// 可用于命令生成的引擎（kind = "ai" 且配置完整）。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct AiEngineOption {
+    pub id: String,
+    pub name: String,
+    pub model: String,
+}
+
+/// 一条命令建议。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct CommandSuggestion {
+    pub command: String,
+    pub description: String,
+}
+
+/// 系统提示词。
+///
+/// 输出契约写进 prompt 只是第一道防线；解析器（`parse_suggestions`）
+/// 才是真正的保证——两者都不假设模型 100% 遵守。
+const SYSTEM_PROMPT: &str = r#"你是终端命令助手。根据用户的意图和（可选的）终端最近输出，给出可在 shell 中执行的命令建议。
+
+严格规则：
+1. 只输出一个 JSON 数组，格式为 [{"command":"命令","description":"说明"}]，不要输出任何其他文字、不要使用 Markdown 代码块标记。
+2. 给 1~3 条建议：第一条是最直接的做法，其余是备选方案或更安全的变体。
+3. description 用简体中文，说明这条命令做什么；有风险的命令必须醒目标注风险。
+4. 命令默认面向 POSIX shell（bash）。仅当用户明确提到 Windows/PowerShell 时才用 PowerShell 语法。
+5. 命令中的路径、用户名等参数保持通用；不要编造用户环境里不存在的变量值。"#;
+
+/// 列出可用于命令生成的 AI 引擎（按翻译设置的优先级排序）。
+pub fn ai_engine_options(settings: &TranslateSettings) -> Vec<AiEngineOption> {
+    let mut opts: Vec<AiEngineOption> = settings
+        .engines
+        .iter()
+        .filter(|e| e.kind == "ai" && e.enabled && !e.base_url.trim().is_empty())
+        .map(|e| AiEngineOption {
+            id: e.id.clone(),
+            name: e.name.clone(),
+            model: e.model.clone(),
+        })
+        .collect();
+    opts.sort_by_key(|o| {
+        settings
+            .engines
+            .iter()
+            .find(|e| e.id == o.id)
+            .map(|e| e.priority)
+            .unwrap_or(100)
+    });
+    opts
+}
+
+/// 生成命令建议。
+///
+/// `context` 是可选的终端最近输出/选中文本（前端从 xterm 缓冲取），
+/// 帮助模型理解「接着上一步做什么」；为空则只看意图。
+pub async fn suggest(
+    engine: &TranslateEngineConfig,
+    intent: &str,
+    context: &str,
+) -> Result<Vec<CommandSuggestion>, String> {
+    if intent.trim().is_empty() {
+        return Err("请先描述你想做什么".to_string());
+    }
+
+    let mut user = format!("我的意图：{}", intent.trim());
+    if !context.trim().is_empty() {
+        // 上下文截断到 2 KB：太长的输出（cat 大文件）只会稀释意图，
+        // 且模型上下文窗口是按 token 计费的
+        let ctx: String = context.chars().take(2048).collect();
+        user.push_str(&format!("\n\n终端最近的输出（供参考）：\n{ctx}"));
+    }
+
+    let raw = chat_once(engine, vec![("system", SYSTEM_PROMPT.to_string()), ("user", user)]).await?;
+    parse_suggestions(&raw)
+}
+
+/// 解析模型输出为建议列表（纯函数，单测覆盖）。
+fn parse_suggestions(raw: &str) -> Result<Vec<CommandSuggestion>, String> {
+    let text = strip_code_fence(raw);
+    let parsed: Result<Vec<SuggestionRaw>, _> = serde_json::from_str(text);
+
+    let items = match parsed {
+        Ok(items) => items,
+        Err(_) => {
+            // 防御二：提取首个 [...] 子串（模型可能在 JSON 前后加了说明文字）
+            let start = text.find('[').ok_or_else(|| {
+                format!("模型未按约定输出 JSON。原始内容：{}", text.chars().take(300).collect::<String>())
+            })?;
+            let end = text.rfind(']').ok_or_else(|| "模型输出缺少 JSON 数组结尾".to_string())?;
+            if end <= start {
+                return Err("模型输出的 JSON 数组为空或格式错误".to_string());
+            }
+            serde_json::from_str(&text[start..=end])
+                .map_err(|e| format!("模型输出的 JSON 解析失败: {e}"))?
+        }
+    };
+
+    let out: Vec<CommandSuggestion> = items
+        .into_iter()
+        .map(|s| CommandSuggestion {
+            command: s.command.trim().to_string(),
+            description: s.description.trim().to_string(),
+        })
+        .filter(|s| !s.command.is_empty())
+        .take(5)
+        .collect();
+
+    if out.is_empty() {
+        return Err("模型没有给出有效的命令建议".to_string());
+    }
+    Ok(out)
+}
+
+/// 剥掉 Markdown 代码块围栏（```json / ```），以及首尾空白。
+fn strip_code_fence(raw: &str) -> &str {
+    let t = raw.trim();
+    let t = t.strip_prefix("```json").or_else(|| t.strip_prefix("```")).unwrap_or(t);
+    let t = t.strip_suffix("```").unwrap_or(t);
+    t.trim()
+}
+
+/// 模型输出的宽松条目结构（description 缺失时容忍为空串）。
+#[derive(serde::Deserialize)]
+struct SuggestionRaw {
+    command: String,
+    #[serde(default)]
+    description: String,
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    #[test]
+    fn parses_plain_json_array() {
+        let raw = r#"[{"command":"ls -la","description":"列出文件"},{"command":"du -sh *","description":"查看各目录大小"}]"#;
+        let out = parse_suggestions(raw).unwrap();
+        assert_eq!(out.len(), 2);
+        assert_eq!(out[0].command, "ls -la");
+        assert_eq!(out[1].description, "查看各目录大小");
+    }
+
+    #[test]
+    fn parses_markdown_fenced_json() {
+        let raw = "```json\n[{\"command\":\"git status\",\"description\":\"查看状态\"}]\n```";
+        let out = parse_suggestions(raw).unwrap();
+        assert_eq!(out.len(), 1);
+        assert_eq!(out[0].command, "git status");
+    }
+
+    #[test]
+    fn parses_json_with_surrounding_prose() {
+        // 防御二：模型在 JSON 前后加了说明文字
+        let raw = "好的，以下是建议：\n[{\"command\":\"df -h\",\"description\":\"查看磁盘\"}]\n希望有帮助";
+        let out = parse_suggestions(raw).unwrap();
+        assert_eq!(out[0].command, "df -h");
+    }
+
+    #[test]
+    fn tolerates_missing_description_and_blank_commands() {
+        let raw = r#"[{"command":"  ","description":"空命令应被过滤"},{"command":"pwd"}]"#;
+        let out = parse_suggestions(raw).unwrap();
+        assert_eq!(out.len(), 1);
+        assert_eq!(out[0].command, "pwd");
+        assert_eq!(out[0].description, "");
+    }
+
+    #[test]
+    fn caps_at_five_and_reports_garbage() {
+        let items: Vec<String> = (0..8)
+            .map(|i| format!(r#"{{"command":"cmd{i}","description":""}}"#))
+            .collect();
+        let out = parse_suggestions(&format!("[{}]", items.join(","))).unwrap();
+        assert_eq!(out.len(), 5, "超出 5 条的异常输出应被截断");
+
+        assert!(parse_suggestions("这不是 JSON").is_err());
+    }
+
+    #[test]
+    fn fence_without_json_marker_also_stripped() {
+        let raw = "```\n[{\"command\":\"top\",\"description\":\"进程\"}]\n```";
+        let out = parse_suggestions(raw).unwrap();
+        assert_eq!(out[0].command, "top");
+    }
+}

src-tauri/src/terminal/audit.rs

@@ -0,0 +1,229 @@
+//! 会话日志与审计（P2）。
+//!
+//! 把会话的**原始输出字节流**（含 ANSI 序列）追加写入磁盘文件。
+//! 「审计」的另一半——命令文本与退出码——已由命令历史（OSC 133 落库）承担，
+//! 本模块补的是命令历史覆盖不了的部分：完整屏幕内容、非命令输出、时序原貌。
+//!
+//! # 设计取舍
+//!
+//! - **记原始字节，不做任何转义清洗**：与 PuTTY 的会话日志同策略。
+//!   清洗（剥 ANSI / 转可读文本）是**阅读时**的事，日志要保真——
+//!   排查「界面显示为什么这样」恰恰需要原始序列。
+//! - **只记输出不记输入**：PTY 会回显输入（本地与 SSH 皆然），
+//!   输出流已包含用户敲了什么。更重要的是，关闭回显的密码输入
+//!   **不会**出现在输出流里——这保证了日志不会意外存下密码。
+//! - **每批同步追加 + 即时 flush**：日志的价值在崩溃/断线后仍然完整，
+//!   攒缓冲反而丢最关键的最后几行。单批最大 4 MiB（聚合缓冲上限），
+//!   同步写无性能问题。
+//! - **不持久化开关状态**：会话结束日志自然终止，下次会话默认关闭。
+//!   自动记录所有会话涉及磁盘占用与隐私权衡（日志含屏幕上的一切），
+//!   交给用户显式开启更稳妥。
+//!
+//! # 挂点
+//!
+//! 本地 ConPTY 与 SSH 两个后端的 `flush_output` 是所有输出的必经之路
+//! （聚合 → 发前端事件），在此处写日志能保证**零遗漏**且与前端所见一致。
+use std::collections::HashMap;
+use std::io::Write;
+use std::path::PathBuf;
+use std::sync::{Mutex, OnceLock};
+
+/// 注册表：会话 id → 日志条目。
+static LOGS: OnceLock<Mutex<HashMap<String, LogEntry>>> = OnceLock::new();
+
+struct LogEntry {
+    path: PathBuf,
+    file: std::fs::File,
+    /// 已写入字节数（预留：后续可做单文件上限保护）
+    #[allow(dead_code)]
+    written: u64,
+}
+
+fn registry() -> &'static Mutex<HashMap<String, LogEntry>> {
+    LOGS.get_or_init(|| Mutex::new(HashMap::new()))
+}
+
+/// 开启或关闭某会话的日志。
+///
+/// 开启：在 `dir` 下创建 `{session_id}_{时间戳}.log`，写入头部说明，
+/// 返回 `Some(路径)`。已在记录中则幂等（返回现有路径，不重复建文件）。
+/// 关闭：flush 并移除条目，返回 `None`。未在记录中时关闭是空操作。
+pub fn toggle(
+    session_id: &str,
+    enabled: bool,
+    dir: &PathBuf,
+    header: &str,
+) -> Result<Option<String>, String> {
+    let mut reg = registry().lock().unwrap_or_else(|e| e.into_inner());
+
+    if !enabled {
+        // flush 在 Drop（entry 被 remove）时完成；显式 flush 一次更稳
+        if let Some(e) = reg.remove(session_id) {
+            let mut e = e;
+            let _ = e.file.flush();
+        }
+        return Ok(None);
+    }
+
+    if let Some(e) = reg.get(session_id) {
+        return Ok(Some(e.path.to_string_lossy().to_string()));
+    }
+
+    std::fs::create_dir_all(dir).map_err(|e| format!("创建日志目录失败: {e}"))?;
+    let stamp = chrono::Local::now().format("%Y%m%d_%H%M%S");
+    let path = dir.join(format!("{session_id}_{stamp}.log"));
+    let mut file = std::fs::OpenOptions::new()
+        .create(true)
+        .append(true)
+        .open(&path)
+        .map_err(|e| format!("创建日志文件失败（{}）: {e}", path.display()))?;
+
+    // 头部人可读：定位「这是谁的日志」不需要任何工具
+    writeln!(
+        file,
+        "# 终端会话日志 | {header} | 开始于 {}",
+        chrono::Local::now().format("%Y-%m-%d %H:%M:%S")
+    )
+    .map_err(|e| format!("写入日志头部失败: {e}"))?;
+
+    let path_str = path.to_string_lossy().to_string();
+    reg.insert(
+        session_id.to_string(),
+        LogEntry {
+            path,
+            file,
+            written: 0,
+        },
+    );
+    Ok(Some(path_str))
+}
+
+/// 会话是否正在记录。
+pub fn is_logging(session_id: &str) -> bool {
+    registry()
+        .lock()
+        .unwrap_or_else(|e| e.into_inner())
+        .contains_key(session_id)
+}
+
+/// 当前日志文件路径（未记录时为 `None`）。
+pub fn path_of(session_id: &str) -> Option<String> {
+    registry()
+        .lock()
+        .unwrap_or_else(|e| e.into_inner())
+        .get(session_id)
+        .map(|e| e.path.to_string_lossy().to_string())
+}
+
+/// 追加一批输出（热路径：未开启时只付一次哈希查表的钱）。
+pub fn write(session_id: &str, bytes: &[u8]) {
+    if bytes.is_empty() {
+        return;
+    }
+    let mut reg = registry().lock().unwrap_or_else(|e| e.into_inner());
+    let Some(entry) = reg.get_mut(session_id) else {
+        return;
+    };
+    if entry.file.write_all(bytes).is_ok() {
+        entry.written += bytes.len() as u64;
+    }
+    // 单条写入失败不中断会话：日志是尽力而为的旁路，不能反过来影响终端 I/O
+    let _ = entry.file.flush();
+}
+
+/// 会话关闭时的清理：flush 并移除条目。幂等。
+pub fn cleanup(session_id: &str) {
+    if let Some(mut e) = registry()
+        .lock()
+        .unwrap_or_else(|x| x.into_inner())
+        .remove(session_id)
+    {
+        let _ = e.file.flush();
+    }
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    fn temp_dir(tag: &str) -> PathBuf {
+        let d = std::env::temp_dir().join(format!(
+            "thing-audit-test-{tag}-{}",
+            std::process::id()
+        ));
+        let _ = std::fs::remove_dir_all(&d);
+        d
+    }
+
+    /// 每条测试用独立会话 id，避免注册表（全局静态）在测试间串扰
+    fn sid(tag: &str) -> String {
+        format!("{tag}-{}", std::process::id())
+    }
+
+    #[test]
+    fn toggle_write_and_stop_roundtrip() {
+        let id = sid("roundtrip");
+        let dir = temp_dir("roundtrip");
+
+        // 开启：返回路径，头部已写入
+        let path = toggle(&id, true, &dir, "测试会话 ops@example").unwrap().unwrap();
+        assert!(is_logging(&id));
+        assert_eq!(path_of(&id).unwrap(), path);
+        assert!(path.contains(&id));
+
+        // 写入：文件里能找到原始字节与头部
+        write(&id, b"hello \x1b[31mred\x1b[0m\n");
+        let content = std::fs::read(&path).unwrap();
+        let text = String::from_utf8_lossy(&content);
+        assert!(text.contains("# 终端会话日志"), "头部缺失");
+        assert!(text.contains("ops@example"), "头部信息缺失");
+        assert!(content.windows(5).any(|w| w == b"\x1b[31m"), "原始 ANSI 序列应原样保留");
+        assert!(text.contains("hello "));
+
+        // 关闭：条目移除，文件保留在磁盘上
+        assert!(toggle(&id, false, &dir, "").unwrap().is_none());
+        assert!(!is_logging(&id));
+        assert!(path_of(&id).is_none());
+        assert!(std::path::Path::new(&path).exists(), "关闭后日志文件应保留");
+        let _ = std::fs::remove_dir_all(&dir);
+    }
+
+    #[test]
+    fn write_without_log_is_noop() {
+        let id = sid("noop");
+        // 未开启时写入不应 panic、不应创建任何文件
+        write(&id, b"ignored");
+        assert!(!is_logging(&id));
+    }
+
+    #[test]
+    fn toggle_on_twice_is_idempotent() {
+        let id = sid("idempotent");
+        let dir = temp_dir("idempotent");
+        let p1 = toggle(&id, true, &dir, "a").unwrap().unwrap();
+        let p2 = toggle(&id, true, &dir, "b").unwrap().unwrap();
+        assert_eq!(p1, p2, "重复开启应返回同一路径而不是新建文件");
+        cleanup(&id);
+        let _ = std::fs::remove_dir_all(&dir);
+    }
+
+    #[test]
+    fn cleanup_and_off_when_not_logging_are_safe() {
+        let id = sid("safe");
+        cleanup(&id); // 未开启时清理是空操作
+        assert!(toggle(&id, false, &temp_dir("safe"), "").unwrap().is_none());
+    }
+
+    #[test]
+    fn disabled_log_file_keeps_bytes_after_cleanup() {
+        let id = sid("persist");
+        let dir = temp_dir("persist");
+        let path = toggle(&id, true, &dir, "h").unwrap().unwrap();
+        write(&id, b"line1\n");
+        write(&id, b"line2\n");
+        cleanup(&id); // 等价于会话关闭路径
+        let text = std::fs::read_to_string(&path).unwrap();
+        assert!(text.contains("line1") && text.contains("line2"), "cleanup 后内容应完整落盘");
+        let _ = std::fs::remove_dir_all(&dir);
+    }
+}

src-tauri/src/terminal/encoding.rs

@@ -0,0 +1,170 @@
+//! 终端字符编码转换。
+//!
+//! # 为什么需要这个模块
+//!
+//! 终端输出在 SSH 场景下**不保证是 UTF-8**。国内的存量服务器（CentOS 6/7 时代装机、
+//! 未改 `LANG`）默认 `zh_CN.GBK`，`ls` 一个中文文件名就会吐出 GBK 字节。
+//! 若按 UTF-8 解码，得到的是 `测试` 这类不可逆的乱码——而且因为前端拿到的
+//! 是字符串，原始字节已经丢了，用户除了改服务器配置别无办法。
+//!
+//! 因此设计上做了两件事：
+//! 1. **Rust 侧始终以字节流发往前端**（base64），不在这里转 String；
+//! 2. 本模块只在**需要把字节解释成文本**的地方使用（当前是「标题」与
+//!    「cwd」这两处从 OSC 序列解析出的字段，它们是给 UI 直接显示/使用的）。
+//!
+//! 终端画面本身的编码转换放在前端做（xterm 支持自定义 `write` 解码），
+//! 因为那里才能拿到「用户当前是否切了编码」这一运行时状态。
+//!
+//! # 为什么不用 iconv
+//!
+//! `iconv` 绑定需要 C 工具链与系统库；`encoding_rs` 是纯 Rust（Firefox 的
+//! 实现抽出），且它按 WHATWG Encoding 标准处理 GBK 的**单双字节混合**与
+//! 非法序列替换，与浏览器行为一致——这在终端场景下很重要，因为服务端常会
+//! 混发半截多字节字符。
+
+/// 把指定编码的字节解码为 UTF-8 字符串。
+///
+/// 未知编码名一律按 UTF-8 处理（并做有损解码）：宁可显示替换字符，
+/// 也不要因为一个拼错的编码名让整个会话不可用。
+pub fn decode(bytes: &[u8], encoding: &str) -> String {
+    let enc = lookup(encoding);
+    match enc {
+        // UTF-8 走 `from_utf8_lossy`：它比 encoding_rs 的 UTF-8 解码器更快，
+        // 且对非法序列同样产出 U+FFFD（行为一致）。
+        Encoding::Utf8 | Encoding::Fallback => String::from_utf8_lossy(bytes).to_string(),
+        Encoding::Other(e) => {
+            let (cow, _, _) = e.decode(bytes);
+            cow.into_owned()
+        }
+    }
+}
+
+/// 把 UTF-8 字符串编码为目标编码的字节。
+///
+/// 用于「用户键入的内容发往远端」：若服务器是 GBK，输入的中文也必须以 GBK 发出，
+/// 否则远端会显示乱码（甚至把半个字符吃掉导致后续命令错位）。
+pub fn encode(text: &str, encoding: &str) -> Vec<u8> {
+    match lookup(encoding) {
+        Encoding::Utf8 | Encoding::Fallback => text.as_bytes().to_vec(),
+        Encoding::Other(e) => {
+            let (cow, _, _) = e.encode(text);
+            cow.into_owned()
+        }
+    }
+}
+
+/// 编码名是否被识别（供命令层做输入校验与 UI 提示）。
+pub fn is_supported(encoding: &str) -> bool {
+    !matches!(lookup(encoding), Encoding::Fallback)
+}
+
+/// 归一化编码名到标准写法（供 UI 显示与去重比较）。
+///
+/// 输入容忍 `gbk` / `GBK` / `gb18030` / `cp936` / `utf8` 等常见写法。
+pub fn normalize(encoding: &str) -> String {
+    let e = encoding.trim().to_ascii_lowercase();
+    match e.as_str() {
+        "" => "utf-8".to_string(),
+        "utf8" | "utf-8" | "utf_8" => "utf-8".to_string(),
+        "gbk" | "cp936" | "ms936" | "gb2312" | "gb_2312" => "gbk".to_string(),
+        "gb18030" => "gb18030".to_string(),
+        "big5" | "big-5" | "cp950" => "big5".to_string(),
+        "shift_jis" | "shift-jis" | "sjis" | "cp932" => "shift_jis".to_string(),
+        "euc-kr" | "euckr" | "cp949" => "euc-kr".to_string(),
+        "latin1" | "iso-8859-1" => "latin1".to_string(),
+        other => other.to_string(),
+    }
+}
+
+/// 前端设置页可选的编码列表（值与 `normalize` 的输出一致）。
+///
+/// 只列终端场景真实会遇到的：中文（GBK/GB18030）、港台（Big5）、
+/// 日韩（Shift_JIS/EUC-KR）。ISO-8859-1 保留给嵌入式设备（它们的 busybox
+/// 经常只有 C locale）。
+pub const SUPPORTED: &[&str] = &[
+    "utf-8",
+    "gbk",
+    "gb18030",
+    "big5",
+    "shift_jis",
+    "euc-kr",
+    "latin1",
+];
+
+enum Encoding {
+    Utf8,
+    Other(&'static encoding_rs::Encoding),
+    /// 未识别的编码名（回退到 UTF-8 语义，但 `is_supported` 会报 false）
+    Fallback,
+}
+
+fn lookup(encoding: &str) -> Encoding {
+    let e = normalize(encoding);
+    if e == "utf-8" {
+        return Encoding::Utf8;
+    }
+    match encoding_rs::Encoding::for_label(e.as_bytes()) {
+        // UTF-8 通过 label 也能查到，但我们要走更快的 from_utf8_lossy 分支
+        Some(enc) if enc == encoding_rs::UTF_8 => Encoding::Utf8,
+        Some(enc) => Encoding::Other(enc),
+        None => Encoding::Fallback,
+    }
+}
+
+// ===== 测试 =====
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    #[test]
+    fn utf8_roundtrip() {
+        let s = "测试目录 /tmp";
+        assert_eq!(decode(&encode(s, "utf-8"), "utf-8"), s);
+    }
+
+    #[test]
+    fn gbk_roundtrip() {
+        let s = "测试";
+        let bytes = encode(s, "gbk");
+        // GBK 下「测试」是 4 字节（每字 2 字节），而 UTF-8 是 6 字节。
+        // 断言长度而非魔法数字，是为了让这条测试同时验证「确实用了 GBK」。
+        assert_eq!(bytes.len(), 4, "GBK 编码「测试」应为 4 字节");
+        assert_eq!(decode(&bytes, "gbk"), s);
+    }
+
+    #[test]
+    fn gbk_bytes_are_mojibake_under_utf8() {
+        // 反向验证：GBK 字节按 UTF-8 解读会失真。这正是前端必须知道
+        // 会话编码的原因（也是本模块存在的理由）。
+        let bytes = encode("测试", "gbk");
+        let as_utf8 = String::from_utf8_lossy(&bytes).to_string();
+        assert_ne!(as_utf8, "测试");
+    }
+
+    #[test]
+    fn alias_normalization() {
+        assert_eq!(normalize("GBK"), "gbk");
+        assert_eq!(normalize("cp936"), "gbk");
+        assert_eq!(normalize("utf8"), "utf-8");
+        assert_eq!(normalize(""), "utf-8");
+        assert_eq!(normalize("  UTF-8  "), "utf-8");
+    }
+
+    #[test]
+    fn all_supported_labels_resolve() {
+        for name in SUPPORTED {
+            assert!(is_supported(name), "{name} 应被识别");
+        }
+        assert!(!is_supported("not-a-real-encoding"));
+    }
+
+    #[test]
+    fn invalid_bytes_do_not_panic() {
+        // 终端输出经常在半截多字节字符处被切断，解码必须容错而不是 panic
+        let broken = [0xB2u8, 0xE2]; // GBK「测」的前 2 字节（完整），再截断一个
+        let _ = decode(&broken, "gbk");
+        let _ = decode(&[0xFF, 0xFE, 0xFD], "utf-8");
+        let _ = decode(&[0xC0], "gb18030");
+    }
+}

src-tauri/src/terminal/events.rs

@@ -0,0 +1,92 @@
+//! 终端模块 Tauri 事件定义与负载类型。
+//!
+//! 事件名常量集中在 `crate::constants::events`，这里只放负载结构与便捷发射函数。
+//! 命名口径与既有模块一致：kebab-case、`terminal-` 前缀。
+
+use serde::Serialize;
+use specta::Type;
+
+use super::session::SessionId;
+
+/// 事件名再导出，让两个后端可以写 `events::TERMINAL_OUTPUT` 而不必回退两层路径。
+///
+/// `allow(unused_imports)` 的原因：这是**模块对外的常量出口**，六个事件名成组
+/// 定义、成组暴露，便于调用方按同一路径取用；个别常量在当前代码路径上暂未被
+/// 本模块自身引用（如 `TERMINAL_CONFIRM_CLOSE` 由窗口层发射、
+/// `TERMINAL_CWD` 由 shell hook 发射），但都属于稳定契约，不应按使用情况逐个删改。
+#[allow(unused_imports)]
+pub use crate::constants::events::{
+    TERMINAL_CONFIRM_CLOSE, TERMINAL_CWD, TERMINAL_EXIT, TERMINAL_HOST_KEY_PROMPT,
+    TERMINAL_OUTPUT, TERMINAL_STATE, TERMINAL_TRANSFER_PROGRESS,
+};
+
+/// 发射 SFTP 传输进度事件。
+///
+/// 单独一个函数而不是在命令层直接 `emit`：事件名常量与负载类型分属两个模块，
+/// 集中在这里能让「事件名 ↔ 负载类型」的对应关系一眼可见（也是排查
+/// 「前端收到的字段对不上」这类问题的第一落点）。
+pub fn emit_transfer(app: &tauri::AppHandle, payload: &super::ssh::sftp::TransferProgress) {
+    use tauri::Emitter;
+    let _ = app.emit(TERMINAL_TRANSFER_PROGRESS, payload);
+}
+
+/// 会话输出批次（**发往前端**的形态）。
+///
+/// 字段与内部聚合缓冲一一对应但单独定义，是为了让「前端契约」与
+/// 「内部分批策略」可以独立演进（例如未来内部改成分块再组装，前端不必感知）。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct OutputPayload {
+    pub session_id: SessionId,
+    /// base64 编码的原始输出字节。
+    ///
+    /// **为什么用 base64 而不是直接给字符串**：终端输出可能是 GBK 等非 UTF-8
+    /// 编码（老服务器常见），若在 Rust 侧转 String 就永久丢失了原始字节，
+    /// 前端再做后处理也无从下手。用 base64 保持字节完整性，由前端按会话编码解码。
+    pub data: String,
+    /// 全局单调批次序号，前端据此检测丢包。
+    pub seq: u64,
+}
+
+/// 会话结束。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct ExitPayload {
+    pub session_id: SessionId,
+    /// 退出码。本地会话通常有；SSH 通道关闭时多为 None。
+    pub exit_code: Option<i32>,
+    /// 结束原因："eof" | "process-exit" | "killed" | "disconnected" | "error"
+    pub reason: Option<String>,
+}
+
+/// 会话工作目录变化（由 OSC 7 hook 上报）。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct CwdPayload {
+    pub session_id: SessionId,
+    pub cwd: String,
+}
+
+/// 状态变更事件直接复用 [`SessionInfo`] 作为负载——
+/// 前端拿到它就能刷新侧栏与标签，不必再发一次查询。
+
+/// SSH 主机密钥需要用户确认（首次连接或指纹变更）。
+///
+/// 这是一个**阻塞性的交互请求**：Rust 侧握手暂停，等前端调
+/// `terminal_confirm_host_key` 回传决定。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct HostKeyPromptPayload {
+    pub session_id: SessionId,
+    pub host: String,
+    pub port: u16,
+    /// 密钥算法（如 "ssh-ed25519" / "ssh-rsa"）
+    pub key_type: String,
+    /// 服务端出示的指纹（SHA256，OpenSSH 展示格式）
+    pub fingerprint: String,
+    /// 本次是「首次见到」还是「与记录不符」。
+    /// 后者是**高危信号**，前端必须以红色阻断式 UI 呈现。
+    pub reason: String,
+    /// 与记录不符时，给出先前记录的指纹以便用户对比
+    pub previous_fingerprint: Option<String>,
+}

src-tauri/src/terminal/history.rs

@@ -0,0 +1,857 @@
+//! 终端命令历史（SQLite）。
+//!
+//! 存储约定：`{app_data_dir}/terminal/history.db`，范式与 `translate/history.rs` 一致
+//! （WAL、`PRAGMA user_version` 作结构版本、FTS5 trigram 索引）。
+//!
+//! # 与翻译历史的关键差异：为什么不做整库重建式迁移
+//!
+//! 翻译历史用了「版本不等就 DROP 重建」的简化策略，理由是「历史属于可丢弃数据」。
+//! 终端历史**不能照抄**：翻译历史里一条记录是「一段译文」，重建丢的是可以重翻的东西；
+//! 终端历史里一条记录是**用户敲过的命令**，包含服务器地址、路径、以及偶尔泄露在
+//! 命令行里的凭据。用户可能恰恰是为了翻查这些才留着它。
+//!
+//! 因此这里从一开始就写**增量迁移**（`migrate`），不做 DROP。
+//!
+//! # 为什么存两列（command + cwd）
+//!
+//! 同一条命令在 `/var/log` 下和在 `~` 下含义完全不同（`ls`、`make`、`git status`
+//! 都是典型例子）。只存命令会让「我上次在哪个目录跑的那条命令」无从追查，
+//! 而 `cwd` 又是一次 OSC 7 就能免费拿到的信息。
+//!
+//! # 去重键的选择
+//!
+//! 用 `(command, cwd, host_id)` 而不是 `(command, host_id)`：在 A 目录跑过的命令，
+//! 换到 B 目录再跑应当各留一条 —— 它们对用户是两个不同的事实。
+//! 重复执行同一条命令（同一目录）只更新 `ts` 与 `count`，避免历史被刷屏。
+
+use std::path::Path;
+use std::sync::Mutex;
+
+use rusqlite::{params, Connection};
+use serde::{Deserialize, Serialize};
+use specta::Type;
+
+/// 库结构版本（与 `PRAGMA user_version` 对应）。
+///
+/// **递增时必须同步在 `migrate` 里加分支**，否则旧库会因缺少新列而在查询时报
+/// 「no such column」，而报错点在读取路径上、远离真正的成因。
+const SCHEMA_VERSION: i64 = 1;
+
+/// 默认保留条数。超出后在写入路径上淘汰最旧的**非收藏**记录。
+const DEFAULT_MAX_ENTRIES: i64 = 5000;
+
+/// 走 FTS 索引所需的最小字符数。
+///
+/// trigram 分词器把文本切成连续 3 字符的 n-gram，长度小于 3 的查询词
+/// **不会报错、只会静默返回空**。而终端里两字符的命令恰恰是最常见的
+/// （`ls`、`cd`、`rm`），所以短词回退到 `LIKE` 前缀匹配。
+const FTS_MIN_CHARS: usize = 3;
+
+/// 一条命令历史。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct CommandHistoryItem {
+    pub id: i64,
+    /// 毫秒时间戳（最后一次执行）
+    pub ts: i64,
+    pub command: String,
+    /// 执行时的工作目录（可能为空 —— OSC 7 未被远端 shell 上报时）
+    pub cwd: String,
+    /// 会话来源：本地 shell 的 id，或 SSH 主机的 id。
+    /// 为空串表示「来源未知」（如手工录入的历史）。
+    pub host_id: String,
+    /// 显示用的来源名（「PowerShell」/「生产服务器」），随记录一起存。
+    ///
+    /// # 为什么冗余存名字而不只存 id
+    ///
+    /// 主机被删除后，若只有 id，历史列表里那一列会变成一串无意义的 hash。
+    /// 存名字的代价是「主机改名后历史里的旧名字不会更新」—— 这里选择
+    /// **保留历史当时的名字**，因为「我在那台现在叫 X 的机器上跑过什么」
+    /// 本来就是一个有时间性的问题。
+    pub host_name: String,
+    /// 是否为 SSH 会话
+    pub ssh: bool,
+    /// 累计执行次数（同一命令在同一目录重复执行时累加）
+    pub count: i64,
+    /// 用户收藏（收藏项不参与容量淘汰）
+    pub favorited: bool,
+    /// 退出码。`None` 表示未捕获（如会话结束时命令仍在运行）
+    pub exit_code: Option<i32>,
+}
+
+/// 查询参数。
+///
+/// 用结构体而不是一长串位置参数：命令层要把前端 payload 原样转发，
+/// 而 5 个 `Option<String>` 的位置参数在调用点极易顺序写错，且编译器
+/// 无法发现（全是同类型）。
+#[derive(Debug, Clone, Default, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct HistoryQuery {
+    /// 关键词（对 command 做匹配；空则不过滤）
+    pub keyword: String,
+    /// 只看某个来源（host_id；空则全部）
+    pub host_id: String,
+    /// 只看收藏
+    pub favorited_only: bool,
+    /// 分页偏移
+    pub offset: i64,
+    /// 分页大小
+    pub limit: i64,
+}
+
+impl HistoryQuery {
+    /// 归一化：`limit` 兜底并设上限，`offset` 不为负。
+    ///
+    /// 上限 500：前端分页步长是 50~100，500 已远超一屏能展示的量，
+    /// 再大只会让 IPC 序列化成为瓶颈。
+    fn normalized(mut self) -> Self {
+        if self.limit <= 0 {
+            self.limit = 100;
+        }
+        if self.limit > 500 {
+            self.limit = 500;
+        }
+        if self.offset < 0 {
+            self.offset = 0;
+        }
+        self
+    }
+}
+
+/// 一次查询的结果（含总数，供前端显示「共 N 条」）。
+///
+/// # 为什么叫 `TerminalHistoryPage` 而不是 `HistoryPage`
+///
+/// `tauri-specta` 给 `Type` 派生的类型注册表是**全局按类型名索引**的，重名会让
+/// `export_bindings()` 直接 panic（`Detected multiple types with the same name`）。
+/// `clipboard::commands::HistoryPage`（`items: Vec<ClipboardItem>`）已占用这个名字。
+///
+/// specta 2.0.0-rc.25 **没有**给 struct 提供重命名手段 —— `#[specta(rename = ...)]`
+/// 只对**函数**宏生效（`specta-macros/src/specta.rs` 的 `parse_name_attrs`）；
+/// derive 路径下导出名直接取自 Rust 标识符
+/// （`specta-macros/src/type/mod.rs`：`let name = unraw_raw_ident(&format_ident!("{}", raw_ident.to_string()))`），
+/// 而 `ContainerAttr` 只认 `crate` / `type` / `inline` / `remote` / `collect` /
+/// `skip_attr` / `transparent`，且 `reject_unknown_specta_attrs` 会让未知属性直接编译失败。
+/// 因此**改名是唯一可行解**。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct TerminalHistoryPage {
+    pub items: Vec<CommandHistoryItem>,
+    /// 满足筛选条件的总条数（**不受 limit/offset 影响**）
+    pub total: i64,
+}
+
+/// 历史来源（供前端做筛选下拉）。
+///
+/// 单独定义而不是用元组：元组序列化成 JSON 会变成数组，前端得靠下标取值
+/// （`s[0]`/`s[1]`/`s[2]`），改一次顺序就静默错位。具名字段让前后端
+/// 各自独立演进而不怕顺序变动。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct HistorySource {
+    pub host_id: String,
+    pub host_name: String,
+    /// 该来源的命令条数
+    pub count: i64,
+    pub ssh: bool,
+}
+
+pub struct History {
+    conn: Mutex<Connection>,
+}
+
+/// 建表语句。
+///
+/// `v1` 即当前结构。后续版本只追加 `ALTER TABLE`，不重建（见模块头说明）。
+fn schema_v1() -> &'static str {
+    "
+    CREATE TABLE IF NOT EXISTS cmd_history (
+       id         INTEGER PRIMARY KEY,
+       ts         INTEGER NOT NULL,
+       command    TEXT NOT NULL,
+       cwd        TEXT NOT NULL DEFAULT '',
+       host_id    TEXT NOT NULL DEFAULT '',
+       host_name  TEXT NOT NULL DEFAULT '',
+       ssh        INTEGER NOT NULL DEFAULT 0,
+       count      INTEGER NOT NULL DEFAULT 1,
+       favorited  INTEGER NOT NULL DEFAULT 0,
+       exit_code  INTEGER,
+       UNIQUE(command, cwd, host_id)
+    );
+    CREATE INDEX IF NOT EXISTS idx_cmd_hist_ts   ON cmd_history(ts DESC);
+    CREATE INDEX IF NOT EXISTS idx_cmd_hist_host ON cmd_history(host_id, ts DESC);
+    CREATE INDEX IF NOT EXISTS idx_cmd_hist_fav  ON cmd_history(favorited, ts DESC);
+
+    -- 外部内容表：索引只存倒排表，正文仍只在 cmd_history 里一份。
+    -- 代价是不会自动感知主表变化，必须靠下面三个触发器手动同步。
+    CREATE VIRTUAL TABLE IF NOT EXISTS cmd_history_fts USING fts5(
+       command,
+       content='cmd_history', content_rowid='id',
+       tokenize='trigram'
+    );
+
+    CREATE TRIGGER IF NOT EXISTS cmd_hist_fts_ai AFTER INSERT ON cmd_history BEGIN
+       INSERT INTO cmd_history_fts(rowid, command) VALUES (new.id, new.command);
+    END;
+    CREATE TRIGGER IF NOT EXISTS cmd_hist_fts_ad AFTER DELETE ON cmd_history BEGIN
+       INSERT INTO cmd_history_fts(cmd_history_fts, rowid, command)
+       VALUES ('delete', old.id, old.command);
+    END;
+    CREATE TRIGGER IF NOT EXISTS cmd_hist_fts_au AFTER UPDATE ON cmd_history BEGIN
+       INSERT INTO cmd_history_fts(cmd_history_fts, rowid, command)
+       VALUES ('delete', old.id, old.command);
+       INSERT INTO cmd_history_fts(rowid, command) VALUES (new.id, new.command);
+    END;
+    "
+}
+
+/// 转义 FTS5 查询串。
+///
+/// FTS5 的 `MATCH` 语法把 `"` `*` `(` `)` `:` `^` `-` `+` 等当操作符。
+/// 终端命令里这些字符**比比皆是**（`grep -v foo`、`ls *.rs`、`git log --oneline`），
+/// 不转义时会抛语法错误或产生完全意外的匹配。
+///
+/// 做法：整体包成双引号短语，并把内部的 `"` 转义为 `""`（FTS5 的转义约定，
+/// 与 SQL 的 `''` 同理）。包成短语后所有操作符都失去特殊含义，代价是不支持
+/// 用户手写布尔表达式 —— 对「搜我敲过的命令」这个场景，字面量匹配正是所需。
+fn fts_phrase(keyword: &str) -> String {
+    format!("\"{}\"", keyword.replace('"', "\"\""))
+}
+
+impl History {
+    pub fn new(dir: &Path) -> Result<Self, String> {
+        std::fs::create_dir_all(dir).map_err(|e| format!("创建终端目录失败: {e}"))?;
+        let conn =
+            Connection::open(dir.join("history.db")).map_err(|e| format!("打开历史库失败: {e}"))?;
+        conn.execute_batch("PRAGMA journal_mode = WAL;")
+            .map_err(|e| format!("初始化历史库失败: {e}"))?;
+
+        migrate(&conn)?;
+
+        Ok(Self {
+            conn: Mutex::new(conn),
+        })
+    }
+
+    fn conn(&self) -> std::sync::MutexGuard<'_, Connection> {
+        self.conn.lock().unwrap_or_else(|e| e.into_inner())
+    }
+
+    /// 记录一条命令（同 command+cwd+host 只累加计数并更新时间）。
+    ///
+    /// # 过滤规则
+    ///
+    /// - 空命令 / 纯空白：不记（回车空行不该进历史）
+    /// - 以空格开头：不记。这是 shell 的**惯例**（`HISTCONTROL=ignorespace`），
+    ///   用户用它来避免把含密码的命令写进 `.bash_history`。我们若不遵守，
+    ///   等于把用户对系统历史的信任**从背后捅穿** —— 这条规则不是可选项。
+    pub fn record(
+        &self,
+        command: &str,
+        cwd: &str,
+        host_id: &str,
+        host_name: &str,
+        ssh: bool,
+        exit_code: Option<i32>,
+    ) -> Result<(), String> {
+        let cmd = command.trim();
+        if cmd.is_empty() || command.starts_with(' ') {
+            return Ok(());
+        }
+        let now = chrono::Utc::now().timestamp_millis();
+        self.conn()
+            .execute(
+                "INSERT INTO cmd_history (ts, command, cwd, host_id, host_name, ssh, count,
+                     favorited, exit_code)
+                 VALUES (?1, ?2, ?3, ?4, ?5, ?6, 1, 0, ?7)
+                 ON CONFLICT(command, cwd, host_id)
+                 DO UPDATE SET ts = excluded.ts,
+                     count = cmd_history.count + 1,
+                     ssh = excluded.ssh,
+                     host_name = excluded.host_name,
+                     exit_code = excluded.exit_code",
+                params![now, cmd, cwd, host_id, host_name, ssh as i64, exit_code],
+            )
+            .map_err(|e| format!("写入命令历史失败: {e}"))?;
+        Ok(())
+    }
+
+    /// 分页查询。
+    pub fn query(&self, q: HistoryQuery) -> Result<TerminalHistoryPage, String> {
+        let q = q.normalized();
+        let conn = self.conn();
+
+        // 动态拼 WHERE。所有用户输入一律走 `params!` 占位符绑定，
+        // **不做字符串插值** —— 命令历史里出现 `'` 是家常便饭
+        // （`awk '{print $1}'`），插值会直接语法错误甚至注入。
+        let mut wheres: Vec<String> = Vec::new();
+        let mut args: Vec<Box<dyn rusqlite::ToSql>> = Vec::new();
+
+        let keyword = q.keyword.trim();
+        if !keyword.is_empty() {
+            if keyword.chars().count() >= FTS_MIN_CHARS {
+                wheres.push(
+                    "id IN (SELECT rowid FROM cmd_history_fts WHERE cmd_history_fts MATCH ?)"
+                        .to_string(),
+                );
+                args.push(Box::new(fts_phrase(keyword)));
+            } else {
+                // 短词回退：trigram 索引里没有 2 字符以下的片段，走 FTS 只会
+                // 静默返回空。用 LIKE 做前缀匹配（`ls` 命中 `ls -la` 也命中 `lsof`）。
+                wheres.push("command LIKE ? ESCAPE '\\'".to_string());
+                args.push(Box::new(format!(
+                    "{}%",
+                    escape_like(keyword)
+                )));
+            }
+        }
+        if !q.host_id.trim().is_empty() {
+            wheres.push("host_id = ?".to_string());
+            args.push(Box::new(q.host_id.trim().to_string()));
+        }
+        if q.favorited_only {
+            wheres.push("favorited = 1".to_string());
+        }
+
+        let where_sql = if wheres.is_empty() {
+            String::new()
+        } else {
+            format!(" WHERE {}", wheres.join(" AND "))
+        };
+
+        // 总数单独查一次：`COUNT(*) OVER ()` 需要窗口函数支持（SQLite 3.25+，
+        // bundled 版本满足），但把 total 与分页放在同一查询里会让「无结果时
+        // total 也拿不到」，而前端在无结果时同样需要显示「共 0 条」。分开查更直白。
+        let total: i64 = {
+            let sql = format!("SELECT COUNT(*) FROM cmd_history{where_sql}");
+            let refs: Vec<&dyn rusqlite::ToSql> = args.iter().map(|b| b.as_ref()).collect();
+            conn.query_row(&sql, refs.as_slice(), |r| r.get(0))
+                .map_err(|e| format!("统计命令历史失败: {e}"))?
+        };
+
+        // 排序：收藏优先 → 时间倒序。收藏优先放在 SQL 而非前端排序，
+        // 否则「翻到第 3 页」的语义会变成「在未排序的集合里翻页」，结果不稳定。
+        let sql = format!(
+            "SELECT id, ts, command, cwd, host_id, host_name, ssh, count, favorited, exit_code
+             FROM cmd_history{where_sql}
+             ORDER BY favorited DESC, ts DESC
+             LIMIT ? OFFSET ?"
+        );
+        let mut refs: Vec<&dyn rusqlite::ToSql> = args.iter().map(|b| b.as_ref()).collect();
+        let limit = q.limit;
+        let offset = q.offset;
+        refs.push(&limit);
+        refs.push(&offset);
+
+        let mut stmt = conn
+            .prepare(&sql)
+            .map_err(|e| format!("准备查询失败: {e}"))?;
+        let items = stmt
+            .query_map(refs.as_slice(), |row| {
+                Ok(CommandHistoryItem {
+                    id: row.get(0)?,
+                    ts: row.get(1)?,
+                    command: row.get(2)?,
+                    cwd: row.get(3)?,
+                    host_id: row.get(4)?,
+                    host_name: row.get(5)?,
+                    ssh: row.get::<_, i64>(6)? != 0,
+                    count: row.get(7)?,
+                    favorited: row.get::<_, i64>(8)? != 0,
+                    exit_code: row.get(9)?,
+                })
+            })
+            .map_err(|e| format!("查询命令历史失败: {e}"))?
+            .collect::<Result<Vec<_>, _>>()
+            .map_err(|e| format!("读取命令历史失败: {e}"))?;
+
+        Ok(TerminalHistoryPage { items, total })
+    }
+
+    /// 切换收藏。返回切换后的值。
+    pub fn toggle_favorite(&self, id: i64) -> Result<bool, String> {
+        let conn = self.conn();
+        let cur: i64 = conn
+            .query_row("SELECT favorited FROM cmd_history WHERE id = ?1", params![id], |r| {
+                r.get(0)
+            })
+            .map_err(|e| format!("找不到历史记录 {id}: {e}"))?;
+        let next = if cur == 0 { 1 } else { 0 };
+        conn.execute(
+            "UPDATE cmd_history SET favorited = ?1 WHERE id = ?2",
+            params![next, id],
+        )
+        .map_err(|e| format!("更新收藏状态失败: {e}"))?;
+        Ok(next != 0)
+    }
+
+    /// 删除单条。返回是否真的删掉了（`false` = 该 id 不存在）。
+    pub fn delete(&self, id: i64) -> Result<bool, String> {
+        let n = self
+            .conn()
+            .execute("DELETE FROM cmd_history WHERE id = ?1", params![id])
+            .map_err(|e| format!("删除历史记录失败: {e}"))?;
+        Ok(n > 0)
+    }
+
+    /// 清空。`keep_favorites` 为真时保留收藏项。
+    ///
+    /// 返回删除条数，供前端提示「已清空 N 条」——只说「已清空」而不给数字，
+    /// 用户无法判断是否误删了收藏项之外的全部内容。
+    pub fn clear(&self, keep_favorites: bool) -> Result<i64, String> {
+        let conn = self.conn();
+        let n = if keep_favorites {
+            conn.execute("DELETE FROM cmd_history WHERE favorited = 0", [])
+        } else {
+            conn.execute("DELETE FROM cmd_history", [])
+        }
+        .map_err(|e| format!("清空历史失败: {e}"))?;
+        Ok(n as i64)
+    }
+
+    /// 淘汰超出容量上限的最旧非收藏记录。
+    ///
+    /// 在写入路径末尾调用（而非定时任务）：容量只会在写入时增长，
+    /// 挂一个定时器反而要处理「定时器与写入并发」的竞态。
+    ///
+    /// 用 `id NOT IN (SELECT id ... LIMIT n)` 的子查询形式而不是 `OFFSET`：
+    /// 后者在超大偏移下要扫描全部前置行，而这里每写一条就跑一次，
+    /// 不能让单次写入的代价随库增大而线性上升。
+    pub fn prune(&self, max: i64) -> Result<i64, String> {
+        let max = if max <= 0 { DEFAULT_MAX_ENTRIES } else { max };
+        let n = self
+            .conn()
+            .execute(
+                "DELETE FROM cmd_history
+                 WHERE favorited = 0 AND id NOT IN (
+                     SELECT id FROM cmd_history WHERE favorited = 0
+                     ORDER BY ts DESC LIMIT ?1
+                 )",
+                params![max],
+            )
+            .map_err(|e| format!("淘汰历史失败: {e}"))?;
+        Ok(n as i64)
+    }
+
+    /// 全部来源（供前端做筛选下拉，避免前端自己聚合而漏掉已删除主机的历史）。
+    pub fn sources(&self) -> Result<Vec<HistorySource>, String> {
+        let conn = self.conn();
+        let mut stmt = conn
+            .prepare(
+                "SELECT host_id, host_name, COUNT(*) AS n,
+                        MAX(CASE WHEN ssh THEN 1 ELSE 0 END) AS ssh
+                 FROM cmd_history
+                 WHERE host_id <> ''
+                 GROUP BY host_id, host_name
+                 ORDER BY n DESC",
+            )
+            .map_err(|e| format!("准备来源查询失败: {e}"))?;
+        let rows = stmt
+            .query_map([], |r| {
+                Ok(HistorySource {
+                    host_id: r.get(0)?,
+                    host_name: r.get(1)?,
+                    count: r.get(2)?,
+                    ssh: r.get::<_, i64>(3)? != 0,
+                })
+            })
+            .map_err(|e| format!("查询来源失败: {e}"))?
+            .collect::<Result<Vec<_>, _>>()
+            .map_err(|e| format!("读取来源失败: {e}"))?;
+        Ok(rows)
+    }
+}
+
+/// 转义 `LIKE` 模式里的通配符。
+///
+/// 调用方在 SQL 里写了 `ESCAPE '\'`，这里必须把 `\` `%` `_` 三个字符
+/// 各自加反斜杠前缀。**`\` 必须最先替换** —— 否则后两步插入的反斜杠
+/// 会被第三步再次转义，产生 `\\%` 这种把通配符当成字面量的错误结果。
+fn escape_like(s: &str) -> String {
+    s.replace('\\', "\\\\")
+        .replace('%', "\\%")
+        .replace('_', "\\_")
+}
+
+/// 增量迁移。
+///
+/// 从 `user_version` 逐级升到 `SCHEMA_VERSION`。首次打开（version = 0）
+/// 直接建 v1 结构并把版本置为 1。
+///
+/// # 为什么不复用翻译历史的「版本不等就 DROP」
+///
+/// 见模块头说明：终端历史里是用户敲过的命令，可能包含服务器地址与路径，
+/// 是可追溯的资产而非可丢弃的缓存。
+fn migrate(conn: &Connection) -> Result<(), String> {
+    let mut version: i64 = conn
+        .query_row("PRAGMA user_version", [], |row| row.get(0))
+        .map_err(|e| format!("读取历史库版本失败: {e}"))?;
+
+    if version == 0 {
+        // 全新库（或来自更早的、没有版本号的实验版本）。
+        // 用 `CREATE TABLE IF NOT EXISTS` 保证对已有表幂等 ——
+        // 若库文件存在但 user_version 丢了，这里不会因表已存在而失败。
+        conn.execute_batch(schema_v1())
+            .map_err(|e| format!("初始化命令历史表失败: {e}"))?;
+        version = 1;
+        conn.execute_batch(&format!("PRAGMA user_version = {version};"))
+            .map_err(|e| format!("写入历史库版本失败: {e}"))?;
+    }
+
+    // 后续版本在此追加：
+    // if version == 1 {
+    //     conn.execute_batch("ALTER TABLE cmd_history ADD COLUMN xxx TEXT NOT NULL DEFAULT '';")?;
+    //     version = 2;
+    //     conn.execute_batch(&format!("PRAGMA user_version = {version};"))?;
+    // }
+
+    if version < SCHEMA_VERSION {
+        // 走到这里说明有迁移分支被漏写了。**显式报错而不是静默继续** ——
+        // 静默继续会让「新加的列在运行时找不到」变成一个远离成因的报错。
+        return Err(format!(
+            "命令历史库版本 {version} 低于期望的 {SCHEMA_VERSION}，但缺少对应的迁移步骤"
+        ));
+    }
+
+    Ok(())
+}
+
+// ===== 后台 writer =====
+
+/// 一条待落库的命令记录（读线程 → writer 线程的通道载荷）。
+pub struct HistoryEntry {
+    pub command: String,
+    pub cwd: String,
+    pub host_id: String,
+    pub host_name: String,
+    pub ssh: bool,
+    pub exit_code: Option<i32>,
+}
+
+/// 攒批参数：到达任一阈值（条数 / 时间窗）就把积压写进 SQLite。
+const WRITER_BATCH_MAX: usize = 64;
+const WRITER_BATCH_WINDOW: std::time::Duration = std::time::Duration::from_millis(400);
+
+/// 把积压的记录写进历史库。
+///
+/// 放成模块级函数（而非闭包）：writer 循环的三个分支（满批 / 超时 / 断开）
+/// 都要走到它，闭包会被借用检查卡住（循环里持有 `&mut batch`）。
+fn flush_batch(app: &tauri::AppHandle, batch: &mut Vec<HistoryEntry>) {
+    use tauri::Manager as _;
+    if batch.is_empty() {
+        return;
+    }
+    let Some(mgr) = app.try_state::<crate::terminal::TerminalManager>() else {
+        // 应用正在退出（manager 已释放）：丢掉这批，历史是辅助功能
+        batch.clear();
+        return;
+    };
+    let guard = match mgr.history() {
+        Ok(g) => g,
+        Err(e) => {
+            crate::logger::log_error("terminal", &format!("打开历史库失败（丢弃一批记录）: {e}"));
+            batch.clear();
+            return;
+        }
+    };
+    let Some(h) = guard.as_ref() else {
+        batch.clear();
+        return;
+    };
+    for e in batch.drain(..) {
+        if let Err(err) = h.record(
+            &e.command,
+            &e.cwd,
+            &e.host_id,
+            &e.host_name,
+            e.ssh,
+            e.exit_code,
+        ) {
+            crate::logger::log_error("terminal", &format!("写入命令历史失败（不影响会话）: {err}"));
+        }
+    }
+    // 每批淘汰一次（而非每条）：把 prune 的 DELETE 子查询从「每命令一次」
+    // 降为「每批一次」，这是此前输出热路径上最贵的一步。
+    if let Err(err) = h.prune(0) {
+        crate::logger::log_error("terminal", &format!("淘汰历史容量失败: {err}"));
+    }
+}
+
+/// 启动后台历史 writer，返回入队端。
+///
+/// # 为什么需要它（此前的形态是同步写）
+///
+/// `record_command` 位于**输出热路径**上（OSC 133 的 D 标记到达时，读线程/SSH
+/// 读任务正在转发终端输出）。同步形态意味着：整份 settings 深拷贝 + SQLite
+/// 写入 + prune 的 DELETE 子查询都发生在转发线程上，`cat` 大文件时每条命令
+/// 都会让同一批输出多等一次磁盘 IO。
+///
+/// 改为通道 + 后台 writer 后，读线程只做一次 `mpsc::send`（非阻塞、无锁竞争）。
+/// 落库延迟最多一个攒批窗口（400ms），对「翻历史」场景无感。
+///
+/// 退出语义：所有入队端 drop 后（`cleanup_on_exit` 会 drop manager 里的那份），
+/// `recv` 返回 Err 且缓冲清空，writer 把剩余记录写完后自然退出。
+pub fn spawn_writer(app: tauri::AppHandle) -> std::sync::mpsc::Sender<HistoryEntry> {
+    use std::sync::mpsc::{channel, RecvTimeoutError};
+
+    let (tx, rx) = channel::<HistoryEntry>();
+    std::thread::spawn(move || {
+        let mut batch: Vec<HistoryEntry> = Vec::new();
+        loop {
+            match rx.recv_timeout(WRITER_BATCH_WINDOW) {
+                Ok(e) => {
+                    batch.push(e);
+                    if batch.len() >= WRITER_BATCH_MAX {
+                        flush_batch(&app, &mut batch);
+                    }
+                }
+                Err(RecvTimeoutError::Timeout) => {
+                    flush_batch(&app, &mut batch);
+                }
+                Err(RecvTimeoutError::Disconnected) => {
+                    // 入队端全部关闭：写完剩余的，退出
+                    flush_batch(&app, &mut batch);
+                    break;
+                }
+            }
+        }
+    });
+    tx
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    /// 每个用例一个独立目录。
+    ///
+    /// 沿用 `translate/history.rs` 的做法（`std::env::temp_dir()` + 进程号 + 序号），
+    /// 而不是引入 `tempdir` dev-dependency：`History` 持有的连接在测试结束前不释放，
+    /// Windows 会拒绝删除仍被打开的文件，所以**本来就没法真正清理**。
+    /// 为一件做不到的事加一个依赖不划算。
+    fn open(tag: &str) -> History {
+        use std::sync::atomic::{AtomicUsize, Ordering};
+        static SEQ: AtomicUsize = AtomicUsize::new(0);
+        let n = SEQ.fetch_add(1, Ordering::Relaxed);
+        let dir = std::env::temp_dir().join(format!(
+            "thing-cmd-hist-test-{}-{tag}-{n}",
+            std::process::id()
+        ));
+        let _ = std::fs::remove_dir_all(&dir);
+        History::new(&dir).expect("建库失败")
+    }
+
+    #[test]
+    fn record_and_query_roundtrip() {
+        let h = open("roundtrip");
+        h.record("ls -la", "/home/me", "h1", "服务器A", true, Some(0))
+            .unwrap();
+        h.record("git status", "/home/me", "h1", "服务器A", true, Some(0))
+            .unwrap();
+
+        let page = h.query(HistoryQuery::default()).unwrap();
+        assert_eq!(page.total, 2);
+        // 收藏优先 + 时间倒序：两条都不是收藏，按 ts 倒序 → 后插入的在前
+        assert_eq!(page.items[0].command, "git status");
+    }
+
+    #[test]
+    fn dedup_accumulates_count() {
+        let h = open("dedup");
+        h.record("make", "/proj", "h1", "A", true, Some(0)).unwrap();
+        h.record("make", "/proj", "h1", "A", true, Some(2)).unwrap();
+        let page = h.query(HistoryQuery::default()).unwrap();
+        assert_eq!(page.total, 1, "同 command+cwd+host 应复用同一行");
+        assert_eq!(page.items[0].count, 2);
+        assert_eq!(page.items[0].exit_code, Some(2), "退出码应为最后一次");
+    }
+
+    #[test]
+    fn same_command_different_cwd_is_separate() {
+        let h = open("cwd");
+        h.record("ls", "/a", "h1", "A", true, None).unwrap();
+        h.record("ls", "/b", "h1", "A", true, None).unwrap();
+        let page = h.query(HistoryQuery::default()).unwrap();
+        assert_eq!(page.total, 2, "不同目录下的同名命令是两条独立记录");
+    }
+
+    #[test]
+    fn leading_space_is_not_recorded() {
+        // shell 惯例：以空格开头的命令不进历史（HISTCONTROL=ignorespace）。
+        // 我们若不遵守，等于把用户对系统历史的信任从背后捅穿。
+        let h = open("leadspace");
+        h.record("  curl -u user:pass http://x", "/", "h1", "A", true, None)
+            .unwrap();
+        h.record("", "/", "h1", "A", true, None).unwrap();
+        h.record("   ", "/", "h1", "A", true, None).unwrap();
+        let page = h.query(HistoryQuery::default()).unwrap();
+        assert_eq!(page.total, 0, "带前导空格与空命令都不应入库");
+    }
+
+    #[test]
+    fn short_keyword_uses_like_fallback() {
+        // trigram 索引对 <3 字符的查询静默返回空，必须走 LIKE 回退，
+        // 否则「搜 ls」会得到空结果 —— 而这正是最常用的搜索词之一。
+        let h = open("shortkw");
+        h.record("ls -la", "/", "h1", "A", true, None).unwrap();
+        h.record("git log", "/", "h1", "A", true, None).unwrap();
+        let page = h
+            .query(HistoryQuery {
+                keyword: "ls".to_string(),
+                ..Default::default()
+            })
+            .unwrap();
+        assert_eq!(page.total, 1);
+        assert_eq!(page.items[0].command, "ls -la");
+    }
+
+    #[test]
+    fn keyword_with_quotes_and_operators_is_safe() {
+        // 命令里出现 `'` `"` `*` 是家常便饭（`awk '{print $1}'`、`ls *.rs`）。
+        // 既不能造成 SQL 注入，也不能让 FTS 语法报错。
+        let h = open("meta");
+        h.record("awk '{print $1}' file.txt", "/", "h1", "A", true, None)
+            .unwrap();
+        h.record("ls *.rs", "/", "h1", "A", true, None).unwrap();
+
+        let p1 = h
+            .query(HistoryQuery {
+                keyword: "awk '{print $1}'".to_string(),
+                ..Default::default()
+            })
+            .unwrap();
+        assert_eq!(p1.total, 1, "含单引号的查询必须能命中且不报错");
+
+        let p2 = h
+            .query(HistoryQuery {
+                keyword: "ls *.rs".to_string(),
+                ..Default::default()
+            })
+            .unwrap();
+        assert_eq!(p2.total, 1, "含通配符的查询应按字面量匹配");
+    }
+
+    #[test]
+    fn favorite_survives_prune_and_clear() {
+        let h = open("fav");
+        for i in 0..5 {
+            h.record(&format!("cmd{i}"), "/", "h1", "A", true, None)
+                .unwrap();
+        }
+        let page = h.query(HistoryQuery::default()).unwrap();
+        let fav_id = page.items[0].id;
+        assert!(h.toggle_favorite(fav_id).unwrap());
+
+        // 容量淘汰到 2 条：收藏项必须留下（即使它不在最新的 2 条里）
+        h.prune(2).unwrap();
+        let after = h.query(HistoryQuery::default()).unwrap();
+        assert_eq!(after.total, 3, "2 条最新 + 1 条收藏");
+        assert!(
+            after.items.iter().any(|i| i.id == fav_id),
+            "收藏项不应被容量淘汰"
+        );
+
+        // 保留式清空：收藏仍在
+        let removed = h.clear(true).unwrap();
+        assert_eq!(removed, 2);
+        let final_page = h.query(HistoryQuery::default()).unwrap();
+        assert_eq!(final_page.total, 1);
+        assert_eq!(final_page.items[0].id, fav_id);
+    }
+
+    #[test]
+    fn like_escape_handles_backslash_first() {
+        // `\` 必须最先替换，否则后续插入的反斜杠会被再次转义。
+        assert_eq!(escape_like("a%b"), "a\\%b");
+        assert_eq!(escape_like("a_b"), "a\\_b");
+        assert_eq!(escape_like("a\\b"), "a\\\\b");
+        // 混合场景：反斜杠 + 通配符
+        assert_eq!(escape_like("\\%"), "\\\\\\%");
+    }
+
+    #[test]
+    fn fts_phrase_escapes_double_quotes() {
+        // FTS5 的短语转义约定：内部 `"` 写成 `""`。
+        assert_eq!(fts_phrase("a\"b"), "\"a\"\"b\"");
+    }
+
+    #[test]
+    fn query_limit_is_clamped() {
+        let q = HistoryQuery {
+            limit: 99999,
+            offset: -5,
+            ..Default::default()
+        }
+        .normalized();
+        assert_eq!(q.limit, 500, "limit 上限 500");
+        assert_eq!(q.offset, 0, "offset 不为负");
+
+        let q2 = HistoryQuery::default().normalized();
+        assert_eq!(q2.limit, 100, "未指定时默认 100");
+    }
+
+    #[test]
+    fn host_filter_and_favorite_filter() {
+        let h = open("filters");
+        h.record("a", "/", "h1", "A", true, None).unwrap();
+        h.record("b", "/", "h2", "B", true, None).unwrap();
+        h.record("c", "/", "h1", "A", true, None).unwrap();
+
+        let by_host = h
+            .query(HistoryQuery {
+                host_id: "h1".to_string(),
+                ..Default::default()
+            })
+            .unwrap();
+        assert_eq!(by_host.total, 2);
+
+        let page = by_host.clone();
+        h.toggle_favorite(page.items[0].id).unwrap();
+        let favs = h
+            .query(HistoryQuery {
+                favorited_only: true,
+                ..Default::default()
+            })
+            .unwrap();
+        assert_eq!(favs.total, 1);
+    }
+
+    #[test]
+    fn sources_aggregates_by_host_id() {
+        let h = open("sources");
+        h.record("a", "/", "h1", "A", true, None).unwrap();
+        h.record("b", "/", "h1", "A", true, None).unwrap();
+        h.record("c", "/", "h2", "B", true, None).unwrap();
+        h.record("d", "/", "", "", false, None).unwrap(); // 无来源，不参与聚合
+
+        let s = h.sources().unwrap();
+        assert_eq!(s.len(), 2);
+        // 按条数倒序：h1 有 2 条
+        assert_eq!(s[0].host_id, "h1");
+        assert_eq!(s[0].count, 2);
+    }
+
+    #[test]
+    fn migration_is_idempotent_on_reopen() {
+        // 同一目录重复打开不应报错，也不应因重复建表而丢失数据。
+        // `migrate` 在 version != 0 时跳过建表，这条用例正是守着那个分支。
+        use std::sync::atomic::{AtomicUsize, Ordering};
+        static SEQ: AtomicUsize = AtomicUsize::new(0);
+        let n = SEQ.fetch_add(1, Ordering::Relaxed);
+        let dir = std::env::temp_dir().join(format!(
+            "thing-cmd-hist-test-reopen-{}-{n}",
+            std::process::id()
+        ));
+        let _ = std::fs::remove_dir_all(&dir);
+
+        {
+            let h = History::new(&dir).expect("首次打开");
+            h.record("keepme", "/", "h1", "A", true, None).unwrap();
+        }
+
+        let h2 = History::new(&dir).expect("二次打开（v0 分支不应再执行）");
+        let page = h2.query(HistoryQuery::default()).unwrap();
+        assert_eq!(page.total, 1, "重开库不应清空数据");
+        assert_eq!(page.items[0].command, "keepme");
+    }
+}

src-tauri/src/terminal/mod.rs

@@ -0,0 +1,431 @@
+//! 终端模块：SSH 与本地 Shell 多会话终端。
+//!
+//! # 模块结构
+//!
+//! | 文件 | 职责 |
+//! |---|---|
+//! | [`session`] | `Session` trait 抽象 + `SessionRegistry`（本地/SSH 共用） |
+//! | [`pty::conpty`] | 本地 ConPTY 后端（含三个已知坑的处理） |
+//! | [`shell`] | Shell 探测、命令行组装、OSC 7 cwd 跟踪 |
+//! | [`ssh`] | SSH 后端（russh）、认证、主机密钥校验、SFTP |
+//! | [`keys`] | SSH 密钥生成/导入/管理 |
+//! | [`settings`] | 设置模型与默认值（容器级 `#[serde(default)]`） |
+//! | [`events`] | 事件负载类型 |
+//! | [`commands`] | Tauri 命令层（薄：整形/校验/归类） |
+//!
+//! # 为什么自带一套会话管理而不复用 `ProcessManager`
+//!
+//! 见 [`session`] 模块注释。一句话：`ProcessManager` 是「单例守护进程」模型，
+//! 终端要的是「N 个独立会话 + 双向流式 I/O + 退出不重启」，语义不同。
+//!
+//! # 数据目录
+//!
+//! ```text
+//! {app_data_dir}/terminal/
+//! ├── settings.json     设置、主机列表、密钥元数据
+//! ├── known_hosts.json  主机密钥指纹库（非机密，人可读可导出）
+//! ├── keys/             SSH 私钥文件本体
+//! └── hooks/            Shell cwd 跟踪临时脚本（Git Bash 用）
+//! ```
+//!
+//! # 凭据存储
+//!
+//! SSH 密码、私钥 passphrase 一律走 [`crate::secrets`]（系统凭据管理器，DPAPI）。
+//! 键名约定：
+//! - `terminal-ssh-password-{hostId}`
+//! - `terminal-key-passphrase-{keyId}`
+//!
+//! **本模块不存在任何读取凭据明文的命令**：列表接口只回传是否已配置与掩码串。
+
+pub mod assistant;
+pub mod audit;
+pub mod commands;
+pub mod encoding;
+pub mod events;
+pub mod history;
+pub mod keys;
+pub mod pty;
+pub mod session;
+pub mod settings;
+pub mod shell;
+pub mod ssh;
+pub mod window;
+
+use std::path::PathBuf;
+use std::sync::{Mutex, MutexGuard};
+
+use tauri::{AppHandle, Emitter, Manager};
+
+use session::SessionRegistry;
+use settings::TerminalSettings;
+
+/// 供 `pty::conpty` 与 `ssh` 共用的事件常量入口。
+///
+/// 两个后端都要 emit 事件，逐处写 `super::super::events::...` 可读性差且容易写错层级，
+/// 因此在这里做一次再导出，后端内部统一用 `crate::terminal::events::TERMINAL_*`。
+///
+/// 注：当前两个后端已改为直接引用 `crate::terminal::events::TERMINAL_*`，
+/// 此别名保留为对外稳定出口（避免下游按路径引用时因重构断链）。
+#[allow(unused_imports)]
+pub use crate::constants::events as event_names;
+
+/// 输出事件负载（两个后端共用）。同样作为对外出口保留。
+#[allow(unused_imports)]
+pub use events::OutputPayload;
+
+/// 终端模块管理器（Tauri State）。
+///
+/// 与 `TranslateManager` / `MusicManager` 平级，在 `setup::init` 中构造并 `manage`。
+pub struct TerminalManager {
+    /// 模块自身目录：`{app_data_dir}/terminal`
+    root: PathBuf,
+    /// 会话注册表（本地 + SSH 共用一张表，id 全局唯一）
+    pub sessions: SessionRegistry,
+    /// 活跃的 SFTP 通道（按会话 id 索引）。
+    ///
+    /// 放在 `TerminalManager` 而不是 `SessionRegistry` 上：SFTP 是**可选能力**，
+    /// 只有 SSH 会话且用户打开了文件面板才存在。挂在会话注册表上会让「会话」
+    /// 这个概念背负一个大多数情况下为空的字段。
+    pub sftp: ssh::sftp::SftpRegistry,
+    /// SSH 连接池（P2 连接复用）：同身份的多个会话共享一条 SSH 连接。
+    ///
+    /// 挂在 `TerminalManager` 上与 SFTP 同理——它是**跨会话**的资源，
+    /// 生命周期由池内引用计数管理（最后一个使用它的会话关闭时才断开）。
+    pub ssh_pool: ssh::pool::ConnectionPool,
+    /// 命令历史库（SQLite）。懒加载：`None` 表示尚未打开连接。
+    ///
+    /// 与 `settings` 一样懒加载：大多数会话（尤其是刚启动就开标签的场景）
+    /// 在第一次写入命令之前根本用不到历史库，没必要在 `TerminalManager::new`
+    /// 里同步打开一个 SQLite 连接（含 WAL 初始化与建表检查）。
+    pub history: Mutex<Option<history::History>>,
+    /// 命令历史后台 writer 的入队端。
+    ///
+    /// `record_command` 位于输出热路径上，此前每次都同步「settings 深拷贝 +
+    /// SQLite 写 + prune」；现在改为 `mpsc::send` 入队，由 [`history::spawn_writer`]
+    /// 的 writer 线程攒批落库。`None` 表示尚未启动（init_on_launch 时启动）。
+    history_tx: Mutex<Option<std::sync::mpsc::Sender<history::HistoryEntry>>>,
+    /// 设置缓存。`None` 表示尚未加载（懒加载，避免启动时多做一次磁盘 IO）
+    settings: Mutex<Option<TerminalSettings>>,
+}
+
+impl TerminalManager {
+    pub fn new(app_data_dir: PathBuf) -> Self {
+        let root = app_data_dir.join("terminal");
+        // 目录先行创建：后续 keys/ 与 hooks/ 都依赖它
+        std::fs::create_dir_all(root.join("keys")).ok();
+        std::fs::create_dir_all(root.join("hooks")).ok();
+        // logs/ 由 audit::toggle 按需创建（首次开启日志才落盘），此处不预建
+        Self {
+            root,
+            sessions: SessionRegistry::new(),
+            sftp: ssh::sftp::SftpRegistry::new(),
+            ssh_pool: ssh::pool::ConnectionPool::default(),
+            history: Mutex::new(None),
+            history_tx: Mutex::new(None),
+            settings: Mutex::new(None),
+        }
+    }
+
+    /// 取（必要时打开）命令历史库。
+    ///
+    /// `&self` + 内部 `Mutex<Option<..>>` 而非 `&mut self`：命令层拿到的是
+    /// `State<'_, TerminalManager>`，多个并发命令（比如历史面板在搜、同时
+    /// 另一个会话在写新命令）都会调到它，`&mut` 会把两者串行化。
+    ///
+    /// 打开失败**不缓存失败结果**（`left` 保持 `None`）：磁盘临时不可用、
+    /// 目录权限刚被修好这类情况应当允许后续调用重试。若把 `Err` 也当成
+    /// 「已初始化」，用户就得重启应用才能恢复历史功能。
+    pub fn history(&self) -> Result<std::sync::MutexGuard<'_, Option<history::History>>, String> {
+        let mut guard = self.history.lock().unwrap_or_else(|e| e.into_inner());
+        if guard.is_none() {
+            *guard = Some(history::History::new(&self.root)?);
+        }
+        Ok(guard)
+    }
+
+    pub fn root(&self) -> &PathBuf {
+        &self.root
+    }
+
+    /// 把一条命令历史入队（由后台 writer 攒批落库）。
+    ///
+    /// 通道不可用（writer 尚未启动或已退出）时退回同步写：
+    /// 「writer 死了历史就静默丢失」比「热路径偶尔慢一次」更糟。
+    pub fn queue_history(&self, mut entry: history::HistoryEntry) {
+        {
+            let guard = self.history_tx.lock().unwrap_or_else(|e| e.into_inner());
+            if let Some(tx) = guard.as_ref() {
+                match tx.send(entry) {
+                    Ok(()) => return,
+                    // writer 已退出：SendError 里带着原值，取回走同步兜底
+                    Err(e) => entry = e.0,
+                }
+            }
+        }
+        // 通道已断：同步兜底
+        if let Ok(guard) = self.history() {
+            if let Some(h) = guard.as_ref() {
+                if let Err(e) = h.record(
+                    &entry.command,
+                    &entry.cwd,
+                    &entry.host_id,
+                    &entry.host_name,
+                    entry.ssh,
+                    entry.exit_code,
+                ) {
+                    crate::logger::log_error(
+                        "terminal",
+                        &format!("写入命令历史失败（不影响会话）: {e}"),
+                    );
+                }
+                if let Err(e) = h.prune(0) {
+                    crate::logger::log_error("terminal", &format!("淘汰历史容量失败: {e}"));
+                }
+            }
+        }
+    }
+
+    /// 查 shell / 主机的显示名（供历史落库）。
+    ///
+    /// 此前 `record_command` 用 `settings()`（整份深拷贝，含全部主机、Shell、
+    /// 快捷键表）只为拿一个名字，而它在输出热路径上。这里改为持锁只读出
+    /// 需要的字段。
+    pub fn display_name(&self, target_id: &str, ssh: bool) -> String {
+        let guard = self.lock_settings();
+        let Some(s) = guard.as_ref() else {
+            return target_id.to_string();
+        };
+        if ssh {
+            s.hosts
+                .iter()
+                .find(|h| h.id == target_id)
+                .map(|h| h.name.clone())
+                .unwrap_or_else(|| target_id.to_string())
+        } else {
+            s.shells
+                .iter()
+                .find(|x| x.id == target_id)
+                .map(|x| x.name.clone())
+                .unwrap_or_else(|| target_id.to_string())
+        }
+    }
+
+    pub fn settings_path(&self) -> PathBuf {
+        self.root.join("settings.json")
+    }
+
+    /// 密钥文件存放目录。
+    pub fn keys_dir(&self) -> PathBuf {
+        self.root.join("keys")
+    }
+
+    /// cwd hook 脚本目录（Git Bash 的 `--init-file` 需要一个真实文件）。
+    pub fn hooks_dir(&self) -> PathBuf {
+        self.root.join("hooks")
+    }
+
+    /// 会话日志目录（`{app_data_dir}/terminal/logs/`）。
+    ///
+    /// 目录由 `audit::toggle` 按需创建：日志是可选能力，
+    /// 不为它预付一次磁盘 IO。
+    pub fn logs_dir(&self) -> PathBuf {
+        self.root.join("logs")
+    }
+
+    /// 读取设置（带缓存）。
+    ///
+    /// 首次调用会从磁盘读取并执行 `heal()`；若 `heal` 报告变更则立即落盘，
+    /// 避免「老配置每次启动都要自愈一遍」。
+    pub fn settings(&self) -> TerminalSettings {
+        let mut guard = self.lock_settings();
+        if let Some(s) = guard.as_ref() {
+            return s.clone();
+        }
+        let mut s = self.load_settings_from_disk();
+        if s.heal() {
+            if let Err(e) = self.write_settings_file(&s) {
+                crate::logger::log_error("terminal", &format!("自愈后保存设置失败: {e}"));
+            }
+        }
+        *guard = Some(s.clone());
+        s
+    }
+
+    /// 写入设置（覆盖缓存 + 落盘）。
+    pub fn save_settings(&self, mut next: TerminalSettings) -> Result<(), String> {
+        // 保存前自愈一次：前端可能提交了越界值（滚动缓冲、字体大小等）
+        next.heal();
+        self.write_settings_file(&next)?;
+        *self.lock_settings() = Some(next);
+        Ok(())
+    }
+
+    /// 局部修改设置：读 → 改 → 写。避免前端为了改一个字段而回传整份设置
+    /// （回传整份会带来「前端旧快照覆盖后端新值」的竞态）。
+    pub fn update_settings<F>(&self, f: F) -> Result<TerminalSettings, String>
+    where
+        F: FnOnce(&mut TerminalSettings),
+    {
+        let mut s = self.settings();
+        f(&mut s);
+        self.save_settings(s.clone())?;
+        Ok(s)
+    }
+
+    /// 从磁盘读取。文件不存在或解析失败时返回默认值——
+    /// 配置文件损坏不该让整个模块不可用（用户至少还能新建会话）。
+    fn load_settings_from_disk(&self) -> TerminalSettings {
+        let path = self.settings_path();
+        match std::fs::read_to_string(&path) {
+            Ok(raw) => match serde_json::from_str::<TerminalSettings>(&raw) {
+                Ok(s) => s,
+                Err(e) => {
+                    // 备份损坏文件再退回默认：直接覆盖会让用户丢失可手工修复的内容
+                    let bak = path.with_extension("json.broken");
+                    let _ = std::fs::rename(&path, &bak);
+                    crate::logger::log_error(
+                        "terminal",
+                        &format!(
+                            "设置解析失败（已备份至 {}）: {e}",
+                            bak.display()
+                        ),
+                    );
+                    TerminalSettings::default()
+                }
+            },
+            Err(_) => TerminalSettings::default(),
+        }
+    }
+
+    fn write_settings_file(&self, s: &TerminalSettings) -> Result<(), String> {
+        let path = self.settings_path();
+        if let Some(parent) = path.parent() {
+            std::fs::create_dir_all(parent).map_err(|e| format!("创建配置目录失败: {e}"))?;
+        }
+        let json = serde_json::to_string_pretty(s).map_err(|e| format!("序列化设置失败: {e}"))?;
+        // 先写临时文件再 rename：避免写入中途崩溃留下半截 JSON
+        let tmp = path.with_extension("json.tmp");
+        std::fs::write(&tmp, json).map_err(|e| format!("写入设置失败: {e}"))?;
+        std::fs::rename(&tmp, &path).map_err(|e| format!("保存设置失败: {e}"))
+    }
+
+    /// 统一的锁获取：中毒时取回内部值。
+    ///
+    /// 设置结构本身没有跨字段不变量（每个字段独立），因此「中毒」不代表数据
+    /// 已损坏，直接 panic 反而会把一次无关的线程崩溃放大成整个模块不可用。
+    fn lock_settings(&self) -> MutexGuard<'_, Option<TerminalSettings>> {
+        self.settings.lock().unwrap_or_else(|e| e.into_inner())
+    }
+
+    /// 刷新 Shell 探测结果并写回设置。
+    ///
+    /// 返回完整的 Shell 列表（含用户自定义项）。用户在设置页点「重新探测」时调用。
+    pub fn refresh_shells(&self) -> Result<Vec<settings::ShellProfile>, String> {
+        let current = self.settings();
+        let merged = shell::detect_and_merge(&current.shells);
+        let result = merged.clone();
+        self.update_settings(|s| {
+            s.shells = merged;
+        })?;
+        Ok(result)
+    }
+
+    /// 应用退出清理：关闭所有会话。
+    ///
+    /// **不等待**。ConPTY 的 `ClosePseudoConsole` 会阻塞到所有句柄关闭，
+    /// 退出路径上等待会卡死（参照 `MonitorKernel` 的教训——那里用了独立线程
+    /// + `recv_timeout(3s)` 防挂起）。会话侧已把关闭动作放进后台线程，
+    /// 进程终止时 OS 回收剩余资源。
+    pub fn cleanup_on_exit(&self) {
+        let n = self.sessions.len();
+        if n > 0 {
+            crate::logger::log_info("terminal", &format!("退出：关闭 {n} 个会话"));
+        }
+        // 先关 SFTP 通道：它们与 shell 共用同一条 TCP 连接，若先关连接，
+        // SFTP 侧的 close 报文会写到已关闭的 socket 上（在日志里留下一串噪音）。
+        let ids: Vec<String> = self.sessions.list().into_iter().map(|s| s.id).collect();
+        for id in ids {
+            self.sftp.close(&id);
+        }
+        // 丢弃历史 writer 的入队端：writer 会把通道里剩余的记录写完后自然退出
+        // （不 join —— 退出路径上不做任何等待，见本函数头部注释）
+        *self.history_tx.lock().unwrap_or_else(|e| e.into_inner()) = None;
+        self.sessions.close_all();
+    }
+
+    /// 在应用启动时初始化：预创建 hooks 目录、刷新 Shell 探测、按需注册全局快捷键。
+    ///
+    /// **不发任何网络请求**（沿用 translate 模块的姿态）：SSH 连接只在用户
+    /// 主动打开会话时建立。
+    pub fn init_on_launch(&self, app: &AppHandle) {
+        // 首次运行或探测结果为空时做一次 Shell 探测
+        let s = self.settings();
+        if s.shells.is_empty() {
+            if let Err(e) = self.refresh_shells() {
+                crate::logger::log_error("terminal", &format!("Shell 探测失败: {e}"));
+            }
+        } else {
+            // 已有配置也要重新探测：用户可能升级/卸载了 PowerShell 7。
+            // 失败不阻断启动。
+            if let Err(e) = self.refresh_shells() {
+                crate::logger::log_warn("terminal", &format!("Shell 重探测失败（沿用旧配置）: {e}"));
+            }
+        }
+
+        // 清理上次运行遗留的 hook 脚本（内容每次都重新生成，不会丢信息）
+        let hooks = self.hooks_dir();
+        if let Ok(entries) = std::fs::read_dir(&hooks) {
+            for e in entries.flatten() {
+                if e.path().extension().map_or(false, |x| x == "sh") {
+                    let _ = std::fs::remove_file(e.path());
+                }
+            }
+        }
+
+        // 启动命令历史后台 writer（见 `history_tx` 字段的说明）
+        *self.history_tx.lock().unwrap_or_else(|e| e.into_inner()) =
+            Some(history::spawn_writer(app.clone()));
+
+        let _ = app; // 全局快捷键由前端 store 在模块启用时注册（与截图模块同一范式）
+    }
+}
+
+/// 从 Tauri State 取 TerminalManager。
+pub fn manager(app: &AppHandle) -> Result<tauri::State<'_, TerminalManager>, String> {
+    app.try_state::<TerminalManager>()
+        .ok_or_else(|| "终端模块未初始化".to_string())
+}
+
+/// 发射 SFTP 传输进度事件。
+///
+/// 转发到 [`events::emit_transfer`]，在 `terminal` 根上再导出一层是为了让命令层
+/// 写 `crate::terminal::emit_transfer(...)` 与 `emit_state` 保持同一路径风格。
+pub fn emit_transfer(app: &AppHandle, payload: &ssh::sftp::TransferProgress) {
+    events::emit_transfer(app, payload);
+}
+
+/// 发射会话状态事件。
+///
+/// # 为什么需要这个统一入口
+///
+/// 两个后端（ConPTY / SSH）在**六处**要更新状态：连接中、已认证、已建立、
+/// 降级、关闭、失败。若每处各自 `emit(TERMINAL_STATE, session.info())`，
+/// 就会出现「某处忘了 emit，前端状态点停在旧值」这类难查的不一致。
+/// 集中到一处后，「改状态」与「广播状态」永远成对发生。
+///
+/// `final_state` 参数是**显式传入**而非从 `info()` 读取的：调用方常常是在
+/// 刚写入状态、但 `info()` 还持有旧值的时间窗内调用（各自持有不同 Mutex），
+/// 传参能避免这个竞态。
+pub fn emit_state(
+    app: &AppHandle,
+    state: &session::LocalSessionState,
+    final_state: session::SessionState,
+    error: Option<String>,
+) {
+    if let Some(err) = error.as_ref() {
+        *state.error.lock().unwrap_or_else(|e| e.into_inner()) = Some(err.clone());
+    }
+    let mut info = session::local_info(state, session::SessionKind::Local);
+    info.state = final_state;
+    let _ = app.emit(crate::constants::events::TERMINAL_STATE, info);
+}

src-tauri/src/terminal/pty/conpty.rs

@@ -0,0 +1,746 @@
+//! ConPTY 绑定与本地会话实现。
+//!
+//! 直接绑定 `windows-sys` 的 `CreatePseudoConsole` 系列 API（而非引入
+//! `portable-pty` 之类的封装）。理由：本项目已有大量原生 Win32 调用
+//! （`win32_util.rs` / `screenshot/wgc_capture.rs` / `translate/capture/uia_capture.rs`），
+//! 这条路径熟悉；而 ConPTY 的三个坑（见下）无论加不加封装都要踩，多一层只增加定位难度。
+//!
+//! # ConPTY 的三个坑（全部已在实现中处理）
+//!
+//! 1. **`ClosePseudoConsole` 会阻塞**，直到所有引用该 PTY 的句柄被关闭。若在读线程
+//!    仍挂起于 `ReadFile` 时调用，就会永久卡住。处理：先 `CancelIoEx` 取消挂起的读，
+//!    再在**独立线程**里调用 `ClosePseudoConsole`，调用方不等待（见 [`ConPtySession::kill`]）。
+//!
+//! 2. **`ResizePseudoConsole` 有早期竞态**：进程刚创建、还没开始读 stdout 时调用，
+//!    尺寸可能被吞掉（表现为 TUI 程序启动后按 80×24 而不是实际尺寸绘制，vim/htop 花屏）。
+//!    处理：首帧输出到达前，resize 请求只入队不执行；首帧到达后再应用队列中的最新值
+//!    （见 [`PtyInner::pending_size`]）。
+//!
+//! 3. **进程退出 ≠ PTY 关闭**：子进程退出后，管道里可能还有未读完的输出（如最后一行
+//!    提示符、错误信息）。必须等 `ReadFile` 返回 0 或 `ERROR_BROKEN_PIPE` 才算真正结束，
+//!    否则会丢掉尾部输出——这正是很多自制终端「退出时少一行」的原因。
+//!
+//! # 线程模型
+//!
+//! 每个会话起 **两个** 后台线程：
+//! - 输出读线程：循环 `ReadFile`，把数据推入聚合缓冲，按 8~16ms 窗口发批次事件。
+//! - 退出等待线程：`WaitForSingleObject` 等子进程句柄，拿退出码，等读线程自然结束
+//!   （即坑 3）后把状态置为 `Closed` 并发事件。
+//!
+//! 写操作不单独起线程：`WriteFile` 在 ConPTY 上通常不阻塞（有内部缓冲），
+//! 由命令层直接同步调用。若未来证实大块粘贴会阻塞，再改成写队列。
+
+use std::io::{ErrorKind, Read, Write};
+use std::os::windows::io::{AsRawHandle, FromRawHandle, OwnedHandle};
+use std::sync::atomic::{AtomicBool, AtomicU64, Ordering};
+use std::sync::{Arc, Mutex};
+use std::time::{Duration, Instant};
+
+use tauri::{AppHandle, Emitter};
+use windows_sys::Win32::Foundation::{CloseHandle, HANDLE, INVALID_HANDLE_VALUE};
+use windows_sys::Win32::System::Console::{
+    ClosePseudoConsole, CreatePseudoConsole, ResizePseudoConsole, COORD, HPCON,
+};
+use windows_sys::Win32::System::Threading::{
+    CreateProcessW, GetExitCodeProcess, TerminateProcess, WaitForSingleObject,
+    CREATE_UNICODE_ENVIRONMENT, EXTENDED_STARTUPINFO_PRESENT, PROCESS_INFORMATION,
+    STARTUPINFOEXW,
+};
+
+use super::super::session::{
+    local_info, LocalSessionState, Session, SessionId, SessionInfo, SessionKind, SessionState,
+};
+
+/// 输出聚合窗口。
+///
+/// 8ms 是权衡值：`cat` 大文件时每秒可产生数万次 `ReadFile` 返回，逐条 emit 会压垮
+/// WebView；但窗口太长（如 50ms）会让交互式输入出现可感知的延迟。8ms 约等于
+/// 一帧（120Hz），人眼无法分辨，同时能把数千次读合并成一次事件。
+const AGGREGATE_WINDOW: Duration = Duration::from_millis(8);
+
+/// 单次读缓冲区大小。64KB 与 ConPTY 内部缓冲匹配，避免多次往返。
+const READ_BUF_SIZE: usize = 64 * 1024;
+
+/// 聚合缓冲上限：防止「疯狂输出且前端卡住」时内存无限增长。
+/// 超出后丢弃**最旧**的数据（终端语义：用户更关心最新的输出）。
+const MAX_PENDING_BYTES: usize = 4 * 1024 * 1024;
+
+/// 会话终止时附加到输出的提示（由 Rust 侧统一给出，避免前端各写一套）。
+const EXIT_HINT: &str = "\r\n";
+
+// ===== 共享状态 =====
+
+struct PtyInner {
+    /// PTY 句柄。`Mutex` 保护是因为 resize 需要并发访问，而 ClosePseudoConsole
+    /// 会把它置为 None（表示已关闭，后续调用应静默忽略）。
+    hpc: Mutex<Option<HPCON>>,
+    /// 写入端（我们 → 伪控制台输入）。`Option` 以便 kill 后释放。
+    writer: Mutex<Option<std::fs::File>>,
+    /// 子进程句柄，用于退出等待与强制终止。
+    process: Mutex<Option<OwnedHandle>>,
+    /// 是否已收到首帧输出（ConPTY resize 竞态的处理依据，见模块注释坑 2）。
+    first_output_seen: AtomicBool,
+    /// 首帧之前缓存的尺寸请求。
+    pending_size: Mutex<Option<(u16, u16)>>,
+    /// 是否已关闭（幂等保护）。
+    closed: AtomicBool,
+}
+
+/// 本地 ConPTY 会话。
+pub struct ConPtySession {
+    pub state: Arc<LocalSessionState>,
+    inner: Arc<PtyInner>,
+    /// 事件发射器。持有 `AppHandle` 而非 `Window`：会话可以「提升」为独立窗口
+    /// （见 `terminal_detach_session`），事件应发给所有窗口而不是绑定的那一个。
+    app: AppHandle,
+    /// 输出批次序号（每会话独立计数，前端按会话校验连续性）。
+    seq: AtomicU64,
+}
+
+impl ConPtySession {
+    /// 启动一个本地 Shell 会话。
+    ///
+    /// `command_line` 必须是**完整的命令行**（含可执行文件路径）。Windows 的
+    /// `CreateProcessW` 在传入 `lpApplicationName = NULL` 时会自行解析命令行首段
+    /// 作为可执行文件，因此需要调用方保证路径带引号（见 [`super::super::shell::build_command_line`]）。
+    pub fn spawn(
+        app: AppHandle,
+        id: SessionId,
+        shell_id: String,
+        shell_name: String,
+        command_line: String,
+        cwd: Option<String>,
+        env: Vec<(String, String)>,
+        cols: u16,
+        rows: u16,
+    ) -> Result<Self, String> {
+        let state = Arc::new(LocalSessionState::new(id.clone(), shell_id, shell_name));
+        *state.size.lock().unwrap_or_else(|e| e.into_inner()) = (cols, rows);
+
+        // ===== 1. 创建一对匿名管道 =====
+        // ConPTY 需要「输入管道」（我们写、PTY 读）与「输出管道」（PTY 写、我们读）。
+        let (input_read, input_write) = create_pipe()?;
+        let (output_read, output_write) = create_pipe()?;
+
+        // ===== 2. 创建伪控制台 =====
+        let size = COORD {
+            X: cols as i16,
+            Y: rows as i16,
+        };
+        let mut hpc: HPCON = 0;
+        // SAFETY: 传入的两个句柄是本函数刚创建的、有效的管道端；
+        // size 已按 COORD 的 i16 范围做了钳制（见 clamp_dim）。
+        let hr = unsafe {
+            CreatePseudoConsole(size, input_read.as_raw_handle() as HANDLE, output_write.as_raw_handle() as HANDLE, 0, &mut hpc)
+        };
+        if hr < 0 {
+            return Err(format!("CreatePseudoConsole 失败（HRESULT: 0x{hr:08X}）"));
+        }
+
+        // 创建后立即关掉我们持有的这两端：
+        // - input_read：PTY 已持有自己的副本，我们只保留写端
+        // - output_write：同理，我们只保留读端
+        // 若不关闭，读端永远等不到 EOF（因为写端仍被本进程持有），
+        // 表现为「会话关闭后读线程不退出」，进而导致 ClosePseudoConsole 卡死（坑 1）。
+        drop(input_read);
+        drop(output_write);
+
+        // ===== 3. 组装 STARTUPINFOEX 并把 PTY 传给子进程 =====
+        let mut si: STARTUPINFOEXW = unsafe { std::mem::zeroed() };
+        si.StartupInfo.cb = std::mem::size_of::<STARTUPINFOEXW>() as u32;
+        // 必须设置这两个标志：
+        // - EXTENDED_STARTUPINFO_PRESENT：让系统读 attribute list 里的 HPCON
+        // - CREATE_UNICODE_ENVIRONMENT：环境块是 UTF-16
+        let mut pi: PROCESS_INFORMATION = unsafe { std::mem::zeroed() };
+
+        // 把 HPCON 放进进程属性列表。这一步用 ATTRIBUTE 常量的原始值即可，
+        // 不必引入 PROCTHREAD_ATTRIBUTE 类型（windows-sys 未导出便捷构造器）。
+        const PROC_THREAD_ATTRIBUTE_PSEUDOCONSOLE: usize = 0x0002_0016;
+        let mut attr_size: usize = 0;
+        unsafe {
+            // 第一次调用取所需大小
+            InitializeProcThreadAttributeList(std::ptr::null_mut(), 1, 0, &mut attr_size);
+        }
+        let mut attr_buf = vec![0u8; attr_size];
+        let attr_list = attr_buf.as_mut_ptr() as *mut _;
+        // SAFETY: attr_buf 按 API 报告的大小分配；attr_size 已由上一次调用写入。
+        let ok = unsafe { InitializeProcThreadAttributeList(attr_list, 1, 0, &mut attr_size) };
+        if ok == 0 {
+            unsafe { ClosePseudoConsole(hpc) };
+            return Err(format!(
+                "InitializeProcThreadAttributeList 失败: {}",
+                std::io::Error::last_os_error()
+            ));
+        }
+        // SAFETY: attr_list 已初始化且声明可容纳 1 个属性；hpc 是有效的 HPCON。
+        //
+        // 注意 windows-sys 0.52 里 `HPCON = isize`（0.59+ 才是 `*mut c_void`）。
+        // `isize as *const c_void` 是不允许的直接转型（E0641），
+        // 必须先转成 `usize` 再转指针——两步都是明确的大小的整数/指针转换。
+        let hpc_ptr = hpc as usize as *const std::ffi::c_void;
+        let ok = unsafe {
+            UpdateProcThreadAttribute(
+                attr_list,
+                0,
+                PROC_THREAD_ATTRIBUTE_PSEUDOCONSOLE,
+                hpc_ptr,
+                std::mem::size_of::<HPCON>(),
+                std::ptr::null_mut(),
+                std::ptr::null_mut(),
+            )
+        };
+        if ok == 0 {
+            let e = std::io::Error::last_os_error();
+            unsafe {
+                DeleteProcThreadAttributeList(attr_list);
+                ClosePseudoConsole(hpc);
+            }
+            return Err(format!("UpdateProcThreadAttribute 失败: {e}"));
+        }
+        si.lpAttributeList = attr_list;
+
+        // ===== 4. 组装环境块与命令行 =====
+        let env_block = build_env_block(&env)?;
+        let mut cmdline: Vec<u16> = command_line.encode_utf16().chain(std::iter::once(0)).collect();
+        let cwd_wide: Option<Vec<u16>> = cwd
+            .as_ref()
+            .filter(|s| !s.trim().is_empty())
+            .map(|s| s.encode_utf16().chain(std::iter::once(0)).collect());
+
+        // ===== 5. 创建进程 =====
+        // SAFETY: 所有指针都指向本函数栈/堆上的有效数据，且在调用期间存活；
+        // cmdline 是可变的（CreateProcessW 可能原地修改它，这是 API 约定）。
+        let created = unsafe {
+            CreateProcessW(
+                std::ptr::null(),                                  // 让系统从命令行解析可执行文件
+                cmdline.as_mut_ptr(),                              // 可写缓冲
+                std::ptr::null(),                                  // 默认进程安全属性
+                std::ptr::null(),                                  // 默认线程安全属性
+                0,                                                 // 不继承句柄（PTY 走属性列表传递）
+                EXTENDED_STARTUPINFO_PRESENT | CREATE_UNICODE_ENVIRONMENT,
+                env_block.as_ptr() as *const std::ffi::c_void,     // 环境块
+                cwd_wide.as_ref().map_or(std::ptr::null(), |s| s.as_ptr()),
+                &si.StartupInfo,
+                &mut pi,
+            )
+        };
+
+        // 无论成功与否，属性列表都可以释放了（系统已复制所需信息）
+        unsafe {
+            DeleteProcThreadAttributeList(attr_list);
+        }
+
+        if created == 0 {
+            let e = std::io::Error::last_os_error();
+            unsafe { ClosePseudoConsole(hpc) };
+            return Err(format!("创建进程失败: {e}"));
+        }
+
+        // 主线程句柄用不到，立即关闭（进程句柄保留，用于等待退出）
+        unsafe { CloseHandle(pi.hThread) };
+
+        // ===== 6. 组装会话对象 =====
+        // `create_pipe` 已直接返回 `File`（在内部完成裸句柄 → `File` 的转换），
+        // 此处不再做二次转换——早前那版把 `File` 当句柄再转一次，
+        // 会触发 `expected isize, found File` 的类型错误。
+        let writer = input_write;
+        let reader = output_read;
+        let process = unsafe { OwnedHandle::from_raw_handle(pi.hProcess as *mut _) };
+
+        let inner = Arc::new(PtyInner {
+            hpc: Mutex::new(Some(hpc)),
+            writer: Mutex::new(Some(writer)),
+            process: Mutex::new(Some(process)),
+            first_output_seen: AtomicBool::new(false),
+            pending_size: Mutex::new(None),
+            closed: AtomicBool::new(false),
+        });
+
+        let session = Self {
+            state: state.clone(),
+            inner: inner.clone(),
+            app: app.clone(),
+            seq: AtomicU64::new(0),
+        };
+
+        session.set_state(SessionState::Established, None);
+
+        // ===== 7. 启动读线程与退出等待线程 =====
+        spawn_reader(app.clone(), state.clone(), inner.clone(), reader);
+        spawn_waiter(app, state.clone(), inner, session.seq_counter());
+
+        Ok(session)
+    }
+
+    /// 输出序号计数器（每会话独立；前端按会话分别校验连续性）。
+    fn seq_counter(&self) -> Arc<AtomicU64> {
+        // 这里刻意返回一个独立计数器：`ConPtySession` 自身可能被 move 进
+        // 注册表，而读线程需要在 move 之前就拿到它。两者通过 Arc 共享。
+        Arc::new(AtomicU64::new(self.seq.load(Ordering::Relaxed)))
+    }
+}
+
+/// 管道创建：返回 (读端, 写端) 两个 `File`。
+fn create_pipe() -> Result<(std::fs::File, std::fs::File), String> {
+    use std::os::windows::io::FromRawHandle;
+    use windows_sys::Win32::System::Pipes::CreatePipe;
+
+    let mut read: HANDLE = INVALID_HANDLE_VALUE;
+    let mut write: HANDLE = INVALID_HANDLE_VALUE;
+    // SAFETY: 两个 out 参数都指向本函数栈上的有效 HANDLE 变量；
+    // 安全属性传 null 表示句柄不可继承（我们不需要子进程继承管道本身）。
+    let ok = unsafe { CreatePipe(&mut read, &mut write, std::ptr::null(), 0) };
+    if ok == 0 {
+        return Err(format!(
+            "CreatePipe 失败: {}",
+            std::io::Error::last_os_error()
+        ));
+    }
+    // SAFETY: CreatePipe 成功返回后，read/write 都是有效的、由我们独占的句柄。
+    unsafe {
+        Ok((
+            std::fs::File::from_raw_handle(read as *mut _),
+            std::fs::File::from_raw_handle(write as *mut _),
+        ))
+    }
+}
+
+/// 构造 UTF-16 环境块（`KEY=VALUE\0...\0\0`）。
+///
+/// 从 `std::env::vars()` 出发做增量修改，而不是从空环境开始：Windows 上进程
+/// 需要 `SystemRoot` / `PATH` / `USERPROFILE` 等继承变量才能正常工作。
+/// 值为空串表示**删除**该变量（前端用「清空值」表达删除意图，比另设开关直观）。
+fn build_env_block(overrides: &[(String, String)]) -> Result<Vec<u16>, String> {
+    let mut map: std::collections::BTreeMap<String, String> = std::env::vars().collect();
+    // 未设置会影响 shell 提示符与编码；显式补齐（用户 override 可覆盖）
+    map.entry("TERM".to_string()).or_insert_with(|| "xterm-256color".to_string());
+    for (k, v) in overrides {
+        if v.is_empty() {
+            map.remove(k);
+        } else {
+            map.insert(k.clone(), v.clone());
+        }
+    }
+
+    let mut block = Vec::with_capacity(4096);
+    for (k, v) in map {
+        // 环境块不允许 key 含 '='（Windows 用它分隔键值）
+        if k.contains('=') || k.is_empty() {
+            continue;
+        }
+        block.extend(format!("{k}={v}").encode_utf16());
+        block.push(0);
+    }
+    block.push(0); // 双 null 结尾
+    Ok(block)
+}
+
+/// 输出读线程：读 → 聚合 → 发批次事件。
+///
+/// 三种结束条件（都发 `terminal-exit`，但来源不同）：
+/// 1. `ReadFile` 返回 0（EOF）—— 正常结束
+/// 2. `ERROR_BROKEN_PIPE` / `ERROR_OPERATION_ABORTED` —— PTY 被关闭（kill 路径）
+/// 3. 其他 IO 错误 —— 异常，上报 error
+fn spawn_reader(
+    app: AppHandle,
+    state: Arc<LocalSessionState>,
+    inner: Arc<PtyInner>,
+    mut reader: std::fs::File,
+) {
+    std::thread::spawn(move || {
+        let mut buf = vec![0u8; READ_BUF_SIZE];
+        let mut pending: Vec<u8> = Vec::with_capacity(READ_BUF_SIZE);
+        let mut last_flush = Instant::now();
+        // OSC 序列扫描的拼接缓冲：序列可能被切在两批数据之间（见 shell::parse_control_sequences）
+        let mut osc_tail: Vec<u8> = Vec::new();
+        // 命令历史累积器（见 session::CommandAccumulator）。
+        // 由本读线程独占持有 —— 只在读线程里被访问，不需要共享。
+        let sim = crate::terminal::session::CommandAccumulator::new();
+        // 上一批发送的序号，用于退出时把 batch 序号一并回传（前端据此判断有无丢包）
+        let mut last_seq: u64 = 0;
+
+        loop {
+            match reader.read(&mut buf) {
+                Ok(0) => break, // EOF：坑 3 的正解，子进程退出后管道仍可能有残余数据
+                Ok(n) => {
+                    pending.extend_from_slice(&buf[..n]);
+
+                    // 首帧到达：应用之前排队的尺寸（坑 2）
+                    if !inner.first_output_seen.swap(true, Ordering::SeqCst) {
+                        if let Some((cols, rows)) = inner
+                            .pending_size
+                            .lock()
+                            .unwrap_or_else(|e| e.into_inner())
+                            .take()
+                        {
+                            apply_resize(&inner, cols, rows);
+                        }
+                    }
+
+                    // cwd / 标题 / 命令边界跟踪：在**原始字节**上解析，且解析结果不从前端输出里剔除。
+                    //
+                    // 为什么保留 OSC 7 原文发给前端：xterm 会自行忽略它，而保留原文让
+                    // 「会话输出日志」可以原样重放（P2 的审计功能）。剔除反而会引入
+                    // 一份「两份流不一致」的隐患。
+                    crate::terminal::session::scan_control_sequences(
+                        &app,
+                        &state,
+                        &mut osc_tail,
+                        &buf[..n],
+                        &sim,
+                    );
+
+                    // 聚合窗口到了就发一批
+                    if last_flush.elapsed() >= AGGREGATE_WINDOW {
+                        last_seq = flush_output(&app, &state, &mut pending).unwrap_or(last_seq);
+                        last_flush = Instant::now();
+                    } else if pending.len() > MAX_PENDING_BYTES {
+                        // 前端卡住导致积压：丢弃最旧的一半，保留最新输出
+                        let drop_len = pending.len() - MAX_PENDING_BYTES / 2;
+                        pending.drain(..drop_len);
+                        crate::logger::log_warn(
+                            "terminal",
+                            &format!(
+                                "会话 {} 输出积压超限，已丢弃 {} 字节最旧数据",
+                                state.id, drop_len
+                            ),
+                        );
+                    }
+                }
+                Err(e) => {
+                    // BROKEN_PIPE / OPERATION_ABORTED 是 kill 路径的正常表现，不算错误
+                    if e.kind() != ErrorKind::BrokenPipe && e.raw_os_error() != Some(995) {
+                        crate::logger::log_error(
+                            "terminal",
+                            &format!("会话 {} 读取失败: {e}", state.id),
+                        );
+                    }
+                    break;
+                }
+            }
+
+            // 有未发出的剩余数据时，退化为「尽快发出」：
+            // 交互式场景下提示符必须立刻可见，不能等满一个窗口
+            if !pending.is_empty() && last_flush.elapsed() >= AGGREGATE_WINDOW {
+                last_seq = flush_output(&app, &state, &mut pending).unwrap_or(last_seq);
+                last_flush = Instant::now();
+            }
+        }
+
+        // 读线程结束前把残留数据全部发出（否则最后一行提示符会丢）
+        if let Some(s) = flush_output(&app, &state, &mut pending) {
+            last_seq = s;
+        }
+
+        // 读线程结束即代表 PTY 侧已无更多数据，此时可以安全关闭 PTY（坑 1 的正解）
+        close_pty_background(&inner);
+
+        // 更新状态并发状态事件：若已被 waiter 置为 Closed 则保持 Closed 不变
+        let final_state = {
+            let mut st = state.state.lock().unwrap_or_else(|e| e.into_inner());
+            if *st != SessionState::Closed && *st != SessionState::Failed {
+                *st = SessionState::Closed;
+            }
+            *st
+        };
+        let _ = last_seq;
+        crate::terminal::emit_state(&app, &state, final_state, None);
+        let _ = app.emit(
+            crate::terminal::events::TERMINAL_EXIT,
+            crate::terminal::events::ExitPayload {
+                session_id: state.id.clone(),
+                exit_code: *state.exit_code.lock().unwrap_or_else(|e| e.into_inner()),
+                reason: Some("eof".to_string()),
+            },
+        );
+    });
+}
+
+// OSC 7（cwd）/ OSC 0,2（标题）/ OSC 133（命令边界）的扫描与落库
+// 全部委托给 `session::scan_control_sequences`。
+//
+// 这里此前有一份与本文件同源的实现，SSH 后端另有一份几乎相同的拷贝。
+// P1 加命令历史时把两份合一了 —— 否则「OSC 133 解析 + 落库」要在两处各写一遍，
+// 任何一处漏掉都表现为「只有本地会话有历史」这类按后端分支的诡异 bug。
+// 具体理由与实现见 `session.rs` 中该函数的长注释。
+
+/// 退出等待线程：等子进程结束 → 拿退出码 → 等读线程收尾。
+fn spawn_waiter(
+    app: AppHandle,
+    state: Arc<LocalSessionState>,
+    inner: Arc<PtyInner>,
+    _seq: Arc<AtomicU64>,
+) {
+    std::thread::spawn(move || {
+        // 取出进程句柄（不 take，kill 也要用）
+        let handle = {
+            let g = inner.process.lock().unwrap_or_else(|e| e.into_inner());
+            g.as_ref().map(|h| h.as_raw_handle() as HANDLE)
+        };
+        let Some(h) = handle else { return };
+
+        // SAFETY: h 是本会话持有的有效进程句柄；无限等待直到进程退出。
+        let _ = unsafe { WaitForSingleObject(h, u32::MAX) };
+
+        let mut code: u32 = 0;
+        // SAFETY: h 有效且进程已退出，GetExitCodeProcess 会写入 code。
+        let ok = unsafe { GetExitCodeProcess(h, &mut code) };
+        if ok != 0 {
+            *state.exit_code.lock().unwrap_or_else(|e| e.into_inner()) = Some(code as i32);
+        }
+
+        // 注意：这里**不**立刻置 Closed。进程退出后管道里可能还有尾部输出，
+        // 要等读线程把残余数据发完（坑 3）。读线程结束时会把状态置为 Closed。
+        // 但若进程是被 kill 且读线程已退出，这里的 emit 就成了唯一通知。
+        let already_closed = {
+            let st = state.state.lock().unwrap_or_else(|e| e.into_inner());
+            *st == SessionState::Closed
+        };
+        if !already_closed {
+            // 给读线程一点时间收尾（正常会在 8ms 内完成）
+            std::thread::sleep(Duration::from_millis(50));
+            let st_closed = {
+                let st = state.state.lock().unwrap_or_else(|e| e.into_inner());
+                *st == SessionState::Closed
+            };
+            if !st_closed {
+                *state.state.lock().unwrap_or_else(|e| e.into_inner()) = SessionState::Closed;
+                close_pty_background(&inner);
+                let _ = app.emit(
+                    crate::terminal::events::TERMINAL_EXIT,
+                    crate::terminal::events::ExitPayload {
+                        session_id: state.id.clone(),
+                        exit_code: *state.exit_code.lock().unwrap_or_else(|e| e.into_inner()),
+                        reason: Some("process-exit".to_string()),
+                    },
+                );
+            }
+        }
+    });
+}
+
+/// 把聚合缓冲发成一批事件。返回本次批次序号（缓冲为空时返回 `None`）。
+fn flush_output(app: &AppHandle, state: &LocalSessionState, pending: &mut Vec<u8>) -> Option<u64> {
+    if pending.is_empty() {
+        return None;
+    }
+    // 会话日志（audit）在 clear 之前写：保证日志与前端所见完全一致
+    crate::terminal::audit::write(&state.id, pending);
+    use base64::Engine;
+    let data = base64::engine::general_purpose::STANDARD.encode(&pending);
+    pending.clear();
+
+    let seq = SEQ.fetch_add(1, Ordering::Relaxed) + 1;
+    let _ = app.emit(
+        crate::terminal::events::TERMINAL_OUTPUT,
+        crate::terminal::events::OutputPayload {
+            session_id: state.id.clone(),
+            data,
+            seq,
+        },
+    );
+    Some(seq)
+}
+
+/// 全局输出批次序号。
+///
+/// 用全局计数器而非每会话计数器：前端校验连续性只需一个单调序列，
+/// 且跨会话的绝对顺序在排查问题时更有价值（能看出「哪个会话先输出」）。
+static SEQ: AtomicU64 = AtomicU64::new(0);
+
+/// 取下一个全局输出批次序号。
+///
+/// 对 SSH 后端开放（见 `ssh::flush_output`）：两种后端共用同一序列，
+/// 前端只需一套连续性校验逻辑。
+pub fn next_global_seq() -> u64 {
+    SEQ.fetch_add(1, Ordering::Relaxed) + 1
+}
+
+/// 应用尺寸变更（真正调用 ResizePseudoConsole）。
+fn apply_resize(inner: &PtyInner, cols: u16, rows: u16) {
+    let g = inner.hpc.lock().unwrap_or_else(|e| e.into_inner());
+    let Some(hpc) = *g else { return };
+    let size = COORD {
+        X: clamp_dim(cols) as i16,
+        Y: clamp_dim(rows) as i16,
+    };
+    // SAFETY: hpc 是有效的伪控制台句柄（未关闭），size 已钳制到 i16 范围。
+    let hr = unsafe { ResizePseudoConsole(hpc, size) };
+    if hr < 0 {
+        crate::logger::log_warn("terminal", &format!("ResizePseudoConsole 失败（HRESULT 0x{hr:08X}）"));
+    }
+}
+
+/// 把维度钳制到 COORD 的 i16 正数范围。
+///
+/// 为什么需要：`cols`/`rows` 来自前端 xterm 的测量结果，极端布局（超宽显示器 +
+/// 极窄侧栏）下可能算出 0 或超出 32767，直接转 i16 会得到负数，ConPTY 会拒绝或
+/// 产生诡异绘制。这里统一兜底到合理区间。
+fn clamp_dim(v: u16) -> u16 {
+    v.clamp(1, 1000)
+}
+
+/// 在后台线程关闭 PTY（坑 1：`ClosePseudoConsole` 可能阻塞）。
+///
+/// 调用方不等待。先置标志位保证幂等——读线程与退出等待线程都可能走到这里。
+fn close_pty_background(inner: &Arc<PtyInner>) {
+    if inner.closed.swap(true, Ordering::SeqCst) {
+        return;
+    }
+    let inner = inner.clone();
+    std::thread::spawn(move || {
+        // 先释放写端：否则 PTY 侧仍认为有输入来源，其内部缓冲不会排空
+        {
+            let mut w = inner.writer.lock().unwrap_or_else(|e| e.into_inner());
+            *w = None;
+        }
+        let hpc = {
+            let mut g = inner.hpc.lock().unwrap_or_else(|e| e.into_inner());
+            g.take()
+        };
+        if let Some(hpc) = hpc {
+            // SAFETY: hpc 由本会话创建且尚未关闭（take 保证了唯一性）。
+            // 这个调用可能阻塞到所有句柄关闭，因此放在独立线程。
+            unsafe { ClosePseudoConsole(hpc) };
+        }
+    });
+}
+
+// ===== Session trait 实现 =====
+
+impl Session for ConPtySession {
+    fn id(&self) -> &str {
+        &self.state.id
+    }
+
+    fn kind(&self) -> SessionKind {
+        SessionKind::Local
+    }
+
+    fn write(&self, data: &[u8]) -> Result<(), String> {
+        let mut g = self.inner.writer.lock().unwrap_or_else(|e| e.into_inner());
+        let Some(w) = g.as_mut() else {
+            return Err("会话已关闭，无法写入".to_string());
+        };
+        w.write_all(data).map_err(|e| format!("写入失败: {e}"))?;
+        w.flush().map_err(|e| format!("刷新失败: {e}"))
+    }
+
+    fn resize(&self, cols: u16, rows: u16) -> Result<(), String> {
+        *self.state.size.lock().unwrap_or_else(|e| e.into_inner()) = (cols, rows);
+
+        // 坑 2：首帧之前只入队。ConPTY 在进程尚未开始读 stdout 时对 resize
+        // 的处理不可靠（尺寸可能被吞掉），表现为 vim/htop 按 80×24 绘制而花屏。
+        if !self.inner.first_output_seen.load(Ordering::SeqCst) {
+            *self
+                .inner
+                .pending_size
+                .lock()
+                .unwrap_or_else(|e| e.into_inner()) = Some((cols, rows));
+            return Ok(());
+        }
+
+        apply_resize(&self.inner, cols, rows);
+        Ok(())
+    }
+
+    fn kill(&self) -> Result<(), String> {
+        // 幂等：重复 kill 不报错
+        if self.inner.closed.load(Ordering::SeqCst) {
+            return Ok(());
+        }
+
+        // 1. 先终止进程（若有）
+        if let Some(h) = self
+            .inner
+            .process
+            .lock()
+            .unwrap_or_else(|e| e.into_inner())
+            .as_ref()
+            .map(|h| h.as_raw_handle() as HANDLE)
+        {
+            // SAFETY: h 是本会话持有的有效进程句柄。
+            // 退出码 1 表示「被终止」，与正常退出 0 区分开，便于前端展示。
+            unsafe { TerminateProcess(h, 1) };
+        }
+
+        // 2. 关 PTY（后台线程，不阻塞调用方）
+        close_pty_background(&self.inner);
+
+        // 3. 状态置为 Closed 并发事件
+        *self.state.state.lock().unwrap_or_else(|e| e.into_inner()) = SessionState::Closed;
+        let _ = self.app.emit(
+            crate::terminal::events::TERMINAL_EXIT,
+            crate::terminal::events::ExitPayload {
+                session_id: self.state.id.clone(),
+                exit_code: Some(1),
+                reason: Some("killed".to_string()),
+            },
+        );
+        let _ = EXIT_HINT; // 提示文本由前端拼接，此处保留常量以备审计日志使用
+        Ok(())
+    }
+
+    fn info(&self) -> SessionInfo {
+        local_info(&self.state, SessionKind::Local)
+    }
+
+    fn set_state(&self, state: SessionState, error: Option<String>) {
+        *self.state.state.lock().unwrap_or_else(|e| e.into_inner()) = state;
+        if let Some(e) = error {
+            *self.state.error.lock().unwrap_or_else(|e| e.into_inner()) = Some(e);
+        }
+        let _ = self
+            .app
+            .emit(crate::terminal::events::TERMINAL_STATE, self.info());
+    }
+
+    fn set_title(&self, title: &str) {
+        *self.state.title.lock().unwrap_or_else(|e| e.into_inner()) = title.to_string();
+    }
+
+    fn set_detached(&self, detached: bool) {
+        self.state.detached.store(detached, Ordering::Relaxed);
+    }
+
+    /// 本地会话的编码切换语义与 SSH 不同：**只影响输出的字节→文本解释**，
+    /// 不影响输入（Windows 控制台走 UTF-16 转换，`WriteFile` 收到的一直是
+    /// UTF-8，前端不必按目标代码页重编码）。因此这里不做输入侧处理。
+    fn set_encoding(&self, encoding: &str) -> bool {
+        self.state.set_encoding(encoding)
+    }
+
+    fn emit_state(&self) {
+        let _ = self
+            .app
+            .emit(crate::terminal::events::TERMINAL_STATE, self.info());
+    }
+}
+
+// ===== windows-sys 中未随 feature 导出的 API 声明 =====
+//
+// `InitializeProcThreadAttributeList` / `UpdateProcThreadAttribute` /
+// `DeleteProcThreadAttributeList` 属于 `Win32_System_Threading`，但 windows-sys
+// 0.52 未把它们纳入已启用的 feature 面。用 extern "system" 直接声明，
+// 避免为了三个函数额外开启一个大 feature（会显著增加编译时间）。
+unsafe extern "system" {
+    fn InitializeProcThreadAttributeList(
+        lp_attribute_list: *mut std::ffi::c_void,
+        dw_attribute_count: u32,
+        dw_flags: u32,
+        lp_size: *mut usize,
+    ) -> i32;
+
+    fn UpdateProcThreadAttribute(
+        lp_attribute_list: *mut std::ffi::c_void,
+        dw_flags: u32,
+        attribute: usize,
+        lp_value: *const std::ffi::c_void,
+        cb_size: usize,
+        lp_previous_value: *mut std::ffi::c_void,
+        lp_return_size: *mut usize,
+    ) -> i32;
+
+    fn DeleteProcThreadAttributeList(lp_attribute_list: *mut std::ffi::c_void);
+}
+

src-tauri/src/terminal/pty/mod.rs

@@ -0,0 +1,6 @@
+//! 终端进程后端。
+//!
+//! `conpty` 是本地 Shell 的实现（Windows ConPTY）。未来若需要支持非 Windows
+//! 平台，在此目录下新增 `unix_pty` 即可，上层只依赖 [`super::session::Session`]。
+
+pub mod conpty;

src-tauri/src/terminal/session.rs

@@ -0,0 +1,629 @@
+//! 会话抽象与注册表。
+//!
+//! ## 为什么不用 `crate::process_manager::ProcessManager`
+//!
+//! `ProcessManager` 是为「单例常驻守护进程」设计的（mihomo 内核）：一个模块 ID
+//! 对应一个进程，进程崩溃即按策略重启，配置在模块 `index.ts` 里静态声明。
+//! 终端要的是完全不同的语义——
+//!
+//! - **N 个会话并存**，每个会话生命周期独立（开一个标签 = 多一个会话）；
+//! - 需要**双向流式 I/O**（写 stdin、读 stdout），而不只是「启动/停止/看状态」；
+//! - 崩溃**不应重启**（重启一个 shell 只是给用户一个空提示符，毫无意义），
+//!   而应把退出码报给前端做展示；
+//! - 会话可能因为「网络断开」而进入 `degraded` 而不是 `stopped`。
+//!
+//! 把这四条塞进 `ProcessManager` 会撑坏它的抽象，因此终端模块自带一套。
+//!
+//! ## `Session` trait 的价值
+//!
+//! 本地（ConPTY）与远程（SSH）两种后端在「I/O 形态」上高度一致：都是一个字节流，
+//! 都要支持 write / resize / kill / 输出订阅。抽成 trait 后，上层的命令层
+//! （`terminal_write` / `terminal_resize` / …）与多会话管理逻辑**只需写一遍**。
+//!
+//! 两处刻意的不对称（值得记下，避免后来者以为是疏漏）：
+//! - `resize`：ConPTY 需要显式调用 `ResizePseudoConsole`；SSH 是发
+//!   `window-change` 请求。两者都要，故都在 trait 上。
+//! - `exit_code`：本地拿得到真实退出码；SSH 会话通道关闭时通常拿不到，
+//!   统一返回 `None`，由前端展示为「连接已关闭」。
+
+use std::sync::atomic::{AtomicU64, Ordering};
+use std::sync::Arc;
+
+use dashmap::DashMap;
+use serde::{Deserialize, Serialize};
+use specta::Type;
+
+use super::pty::conpty::ConPtySession;
+
+/// 会话标识。
+pub type SessionId = String;
+
+/// 会话状态机。
+///
+/// `degraded` 专为 SSH 保留：TCP 断了但会话对象还在（可以尝试重连），
+/// 与 `closed`（已终结，需重开）是两回事。本地会话不会进入此态。
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub enum SessionState {
+    /// 已创建，尚未开始握手/启动
+    Idle,
+    /// 正在连接（SSH 握手 / 本地启动进程）
+    Connecting,
+    /// 正在认证（仅 SSH）
+    Authenticating,
+    /// 已建立，可交互
+    Established,
+    /// 连接降级（SSH 断线，可尝试重连）
+    Degraded,
+    /// 已关闭（进程退出或用户主动关闭）
+    Closed,
+    /// 异常（启动失败、握手失败、致命错误）
+    Failed,
+}
+
+/// 会话类型（决定前端展示哪些能力）。
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub enum SessionKind {
+    Local,
+    Ssh,
+}
+
+/// 会话元信息（回传前端；**不含任何 I/O 句柄**）。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct SessionInfo {
+    pub id: SessionId,
+    pub kind: SessionKind,
+    /// 标题（本地为 Shell 名，SSH 为 用户@主机）
+    pub title: String,
+    pub state: SessionState,
+    /// 终端当前列数
+    pub cols: u16,
+    /// 终端当前行数
+    pub rows: u16,
+    /// 当前工作目录（由 OSC 7 hook 上报；未知为空串）
+    pub cwd: String,
+    /// 会话创建时间（Unix 毫秒）
+    pub created_at: u64,
+    /// 进程退出码（本地可拿到；SSH 通常为 None）
+    pub exit_code: Option<i32>,
+    /// 失败原因（state 为 Failed 时非空）
+    pub error: Option<String>,
+    /// 远端标识（本地为 shell id，SSH 为 host id）
+    pub target_id: String,
+    /// 是否由独立窗口承载（决定了关闭窗口时销毁还是保留会话）
+    pub detached: bool,
+    /// 会话的字符编码（规范名，如 `gbk` / `utf-8`）。
+    ///
+    /// 回传前端的原因：**终端画面的字节→文本转换在前端做**。xterm 的
+    /// `write` 接受 `Uint8Array`，解码策略由前端按这个字段决定。若放在 Rust 侧
+    /// 转换，前端就失去了「用户临时切编码重看历史内容」的能力——
+    /// 而重看历史恰恰是老服务器场景下最常用的操作。
+    pub encoding: String,
+    /// 是否正在记录会话日志（`audit` 模块）。前端据此显示工具栏开关状态。
+    pub logging: bool,
+}
+
+/// 会话抽象：本地 ConPTY 与 SSH 两种后端都实现它。
+///
+/// 所有方法都要求 `&self`（配合内部可变性）而不是 `&mut self`：会话句柄需要被
+/// 多个来源同时访问（输出读线程、命令层、退出监听），用 `&mut` 会把它们串行化。
+pub trait Session: Send + Sync {
+    fn id(&self) -> &str;
+    fn kind(&self) -> SessionKind;
+
+    /// 写入数据（前端键入的字符、粘贴内容）。
+    fn write(&self, data: &[u8]) -> Result<(), String>;
+
+    /// 通知终端尺寸变化。
+    ///
+    /// 实现方**必须容忍早期调用**：ConPTY 在进程刚开始输出时 resize 有竞态，
+    /// 需要排队到首帧之后再应用（详见 `pty::conpty`）。
+    fn resize(&self, cols: u16, rows: u16) -> Result<(), String>;
+
+    /// 终止会话。幂等：对已关闭的会话调用不应报错。
+    fn kill(&self) -> Result<(), String>;
+
+    /// 快照当前元信息。
+    fn info(&self) -> SessionInfo;
+
+    /// 更新状态（供内部线程在握手/退出时调用）。
+    fn set_state(&self, state: SessionState, error: Option<String>);
+
+    /// 更新标题。
+    fn set_title(&self, title: &str);
+
+    /// 标记是否由独立窗口承载。
+    fn set_detached(&self, detached: bool);
+
+    /// 切换字符编码。返回 `false` 表示编码名不被支持。
+    ///
+    /// # 为什么放进 trait 而不是走 `as_ssh()` 下转换
+    ///
+    /// 本地 ConPTY 会话也需要它 —— 用户的 Windows 控制台若是 936 代码页，
+    /// 本地会话同样会乱码，只是默认值不同。放进 trait 后命令层不必先判断
+    /// 会话类型再分派，两条后端路径只有一处实现点。
+    fn set_encoding(&self, encoding: &str) -> bool;
+
+    /// 广播当前会话快照到前端（`TERMINAL_STATE` 事件）。
+    ///
+    /// 用于「元信息变了但状态没变」的场景（改编码、改标题），此时
+    /// 既有的状态机路径不会触发广播，需要显式一次。
+    fn emit_state(&self);
+
+    /// 向下转换成 SSH 会话（仅 SFTP 面板需要）。
+    ///
+    /// # 为什么用「返回 `Option<&SshSession>`」而不是 `Any` 向下转换
+    ///
+    /// `Any::downcast_ref` 要求 trait 对象是 `'static` 且需要引入 `std::any`，
+    /// 更关键的是**编译期一无所知**：调用方写错目标类型要到运行期才炸。
+    /// 这里给出一个具名方法，`SshSession` 的返回 `Some(self)`、其余返回 `None`，
+    /// 类型由签名保证，调用点的 `ok_or_else` 也就有了明确的中文错误提示。
+    ///
+    /// 默认实现返回 `None`（本地会话不需要覆写）。
+    fn as_ssh(&self) -> Option<&super::ssh::SshSession> {
+        None
+    }
+}
+
+/// 会话注册表。
+///
+/// 用 `DashMap` 而不是 `Mutex<HashMap>`：会话的读操作极其频繁（每次输出批次都要
+/// 查表找会话），而写操作少（创建/销毁）。分片锁能让多个会话的 I/O 线程互不等待。
+///
+/// 注意 `Arc<dyn Session>`：注册表持有一份，各 I/O 线程各持一份，生命周期由
+/// 引用计数管理。**不使用 `Weak`**——会话的存活由用户显式关闭决定，不该因为
+/// 某个线程退出而被回收。
+pub struct SessionRegistry {
+    sessions: DashMap<SessionId, Arc<dyn Session>>,
+    /// 会话 id 发生器
+    next_id: AtomicU64,
+}
+
+impl SessionRegistry {
+    pub fn new() -> Self {
+        Self {
+            sessions: DashMap::new(),
+            next_id: AtomicU64::new(1),
+        }
+    }
+
+    /// 生成下一个会话 id。
+    ///
+    /// 形如 `s1` / `s2`：短、可读、便于日志检索。不用 UUID 的理由是这个 id 会
+    /// 出现在窗口 label（`terminal-window-s1`）与日志里，UUID 会让两者都难读。
+    /// 会话 id 只在本次进程生命周期内有效，重启后不保证不重复，因此无需全局唯一性。
+    pub fn next_session_id(&self) -> SessionId {
+        let n = self.next_id.fetch_add(1, Ordering::Relaxed);
+        format!("s{n}")
+    }
+
+    pub fn insert(&self, session: Arc<dyn Session>) {
+        self.sessions.insert(session.id().to_string(), session);
+    }
+
+    pub fn get(&self, id: &str) -> Option<Arc<dyn Session>> {
+        self.sessions.get(id).map(|e| e.value().clone())
+    }
+
+    /// 移除会话（**不调用 kill**，由调用方决定是否先终止）。
+    pub fn remove(&self, id: &str) -> Option<Arc<dyn Session>> {
+        self.sessions.remove(id).map(|(_, v)| v)
+    }
+
+    pub fn list(&self) -> Vec<SessionInfo> {
+        let mut list: Vec<SessionInfo> = self.sessions.iter().map(|e| e.value().info()).collect();
+        // 按创建时间排序，保证前端标签顺序稳定（DashMap 的迭代顺序不确定）
+        list.sort_by_key(|s| s.created_at);
+        list
+    }
+
+    pub fn len(&self) -> usize {
+        self.sessions.len()
+    }
+
+    /// 关闭并移除所有会话（应用退出时调用）。
+    ///
+    /// 逐个 `kill` 后清表。**不做等待**：退出路径上不能阻塞（ConPTY 的
+    /// `ClosePseudoConsole` 会阻塞到所有句柄关闭，见 `pty::conpty`）。
+    /// 进程终止时 OS 会回收残留资源，这里是「尽力而为」。
+    pub fn close_all(&self) {
+        let ids: Vec<String> = self.sessions.iter().map(|e| e.key().clone()).collect();
+        for id in ids {
+            if let Some(s) = self.get(&id) {
+                if let Err(e) = s.kill() {
+                    crate::logger::log_warn(
+                        "terminal",
+                        &format!("关闭会话 {id} 失败（退出路径，忽略）: {e}"),
+                    );
+                }
+            }
+            // 会话日志收尾（flush + 移除条目；与 close 命令路径保持一致）
+            crate::terminal::audit::cleanup(&id);
+            self.remove(&id);
+        }
+    }
+}
+
+impl Default for SessionRegistry {
+    fn default() -> Self {
+        Self::new()
+    }
+}
+
+/// 为一个新会话分配终端默认尺寸。
+///
+/// 80×24 是 VT 规范的经典默认值。前端挂载 xterm 后会立刻上报真实尺寸，
+/// 这里的值只在「创建 → 首帧」之间短暂生效。
+pub const DEFAULT_COLS: u16 = 80;
+pub const DEFAULT_ROWS: u16 = 24;
+
+/// 本地会话的共享状态（供 `ConPtySession` 与命令层共用）。
+///
+/// 独立成一个结构而不是塞进 `ConPtySession`，是因为状态字段的读写来自
+/// 多个线程（命令层、读线程、退出监听线程），集中放置便于审计加锁范围。
+pub struct LocalSessionState {
+    pub id: SessionId,
+    pub target_id: String,
+    /// 会话类型（本地 ConPTY / SSH）。
+    ///
+    /// # 为什么存在这里而不是只由会话对象自己知道
+    ///
+    /// `scan_control_sequences` 是**自由函数**（ConPTY 与 SSH 两个后端共用），
+    /// 它只拿到 `LocalSessionState` 而拿不到会话对象。命令历史落库需要区分
+    /// 「target_id 是 shell id 还是主机 id」才能查对显示名 ——
+    /// 没有这个字段就只能靠 `target_id` 的形式去猜，那是不可靠的。
+    pub kind: SessionKind,
+    pub title: std::sync::Mutex<String>,
+    pub state: std::sync::Mutex<SessionState>,
+    pub error: std::sync::Mutex<Option<String>>,
+    pub cwd: std::sync::Mutex<String>,
+    pub size: std::sync::Mutex<(u16, u16)>,
+    pub created_at: u64,
+    pub exit_code: std::sync::Mutex<Option<i32>>,
+    pub detached: std::sync::atomic::AtomicBool,
+    /// 会话的字符编码（`encoding::normalize` 之后的规范名，如 `gbk` / `utf-8`）。
+    ///
+    /// 放在这里而不是让读线程从 `SshConnectParams` 持有：编码在会话存续期间
+    /// **可能被用户改**（连上后发现是 GBK，在状态栏切一下），此时需要立即生效。
+    /// 用 `Mutex<String>` 而非 `Arc<str>` 就是为了支持这个运行时变更。
+    pub encoding: std::sync::Mutex<String>,
+}
+
+impl LocalSessionState {
+    pub fn new(id: SessionId, target_id: String, title: String) -> Self {
+        Self::with_encoding(id, target_id, title, SessionKind::Local, "utf-8")
+    }
+
+    /// 带编码与类型构造。
+    ///
+    /// `kind` 由**创建方**传入而不是从 `target_id` 推断：本地会话的 target_id 是
+    /// shell id、SSH 会话的是主机 id，两者都是任意字符串，形式上看不出区别。
+    /// 让调用方（`ConPtySession::spawn` / `SshSession::spawn`）显式声明是唯一可靠的来源。
+    pub fn with_encoding(
+        id: SessionId,
+        target_id: String,
+        title: String,
+        kind: SessionKind,
+        encoding: &str,
+    ) -> Self {
+        Self {
+            id,
+            target_id,
+            kind,
+            title: std::sync::Mutex::new(title),
+            state: std::sync::Mutex::new(SessionState::Idle),
+            error: std::sync::Mutex::new(None),
+            cwd: std::sync::Mutex::new(String::new()),
+            size: std::sync::Mutex::new((DEFAULT_COLS, DEFAULT_ROWS)),
+            created_at: now_millis(),
+            exit_code: std::sync::Mutex::new(None),
+            detached: std::sync::atomic::AtomicBool::new(false),
+            encoding: std::sync::Mutex::new(crate::terminal::encoding::normalize(encoding)),
+        }
+    }
+
+    /// 是否为 SSH 会话（供命令历史等需要区分来源的场景）。
+    pub fn is_ssh(&self) -> bool {
+        matches!(self.kind, SessionKind::Ssh)
+    }
+
+    /// 当前编码（供读线程与命令层读取）。
+    pub fn encoding(&self) -> String {
+        self.encoding
+            .lock()
+            .unwrap_or_else(|e| e.into_inner())
+            .clone()
+    }
+
+    /// 切换编码。返回 `false` 表示编码名不被支持（调用方应回滚 UI）。
+    pub fn set_encoding(&self, encoding: &str) -> bool {
+        let norm = crate::terminal::encoding::normalize(encoding);
+        if !crate::terminal::encoding::is_supported(&norm) {
+            return false;
+        }
+        *self.encoding.lock().unwrap_or_else(|e| e.into_inner()) = norm;
+        true
+    }
+}
+
+/// 当前 Unix 毫秒时间戳。
+pub fn now_millis() -> u64 {
+    use std::time::{SystemTime, UNIX_EPOCH};
+    SystemTime::now()
+        .duration_since(UNIX_EPOCH)
+        .map(|d| d.as_millis() as u64)
+        .unwrap_or(0)
+}
+
+// ===== 控制序列扫描（ConPTY / SSH 共用） =====
+
+/// `carry` 缓冲上限。正常 OSC 序列只有几十字节，超过即视为畸形数据。
+///
+/// 没有上限时，一段缺终止符的畸形输出（比如二进制文件被 `cat` 出来）
+/// 会让 `carry` 无限增长，最终吃满内存。
+const MAX_OSC_CARRY: usize = 8 * 1024;
+
+/// 扫描输出批次里的控制序列，把结果落到会话状态、广播事件、并在命令边界处落库历史。
+///
+/// # 为什么两个后端共用这一份（此前 ConPTY 与 SSH 各有一份几乎相同的拷贝）
+///
+/// 两份拷贝的差异只有一处：SSH 需要按会话编码二次解码 OSC 载荷
+/// （GBK 服务器上的标题与 cwd 会乱码）。其余（carry 拼接、上限防御、
+/// cwd 变更判定、只上报变化量）**完全一致**。
+///
+/// P1 新增命令历史时这个问题变成硬约束：若继续维持两份拷贝，
+/// 「OSC 133 解析 + 落库」就要在两处各写一遍 —— 任何一处漏掉都表现为
+/// 「只有本地会话有历史」或「只有 SSH 有历史」这类**按后端分支的诡异 bug**，
+/// 而且因为两条路径平时都各自能用，极难在测试中发现。
+///
+/// 编码与类型都从 `state` 上取（`state.encoding()` / `state.kind` /
+/// `state.is_ssh()`），所以这个函数不需要任何按后端分派的参数。
+///
+/// # 关于 `emit_state` 的差异
+///
+/// 标题变化时要广播 `TERMINAL_STATE`，而 ConPTY 走 `terminal::emit_state`
+/// （带显式 `final_state`）、SSH 走 `local_info(.., Ssh)`。统一为
+/// `local_info(state, state.kind)` + 保持当前 state 不变即可 ——
+/// 两条路径的原意都是「状态没变，只是标题变了」，用 `state.kind` 恰好等价。
+pub fn scan_control_sequences(
+    app: &tauri::AppHandle,
+    state: &LocalSessionState,
+    carry: &mut Vec<u8>,
+    chunk: &[u8],
+    sim: &CommandAccumulator,
+) {
+    use tauri::Emitter as _;
+
+    carry.extend_from_slice(chunk);
+    let parsed = crate::terminal::shell::parse_control_sequences(carry);
+    if parsed.consumed > 0 {
+        carry.drain(..parsed.consumed);
+    }
+    // 防御：畸形数据（没有终止符的超长序列）会让 carry 无限增长
+    if carry.len() > MAX_OSC_CARRY {
+        carry.clear();
+    }
+
+    // 编码转换：OSC 载荷与终端画面**共用同一套字节**，因此也必须用会话编码解码。
+    // 不转的话，GBK 服务器上 `echo -e "\e]0;测试\a"` 这种标题会变成乱码。
+    // 注意只在会话编码不是 UTF-8 时才有实际效果 —— `parse_control_sequences`
+    // 内部已按 UTF-8 有损解码过一轮，这一步是在其基础上的「纠正」。
+    let enc = state.encoding();
+    let recode = |v: Vec<String>| -> Vec<String> {
+        if enc == "utf-8" {
+            return v;
+        }
+        v.into_iter()
+            .map(|s| crate::terminal::encoding::decode(s.as_bytes(), &enc))
+            .collect()
+    };
+    let cwds = recode(parsed.cwds);
+    let titles = recode(parsed.titles);
+
+    if let Some(cwd) = cwds.last() {
+        let changed = {
+            let mut cur = state.cwd.lock().unwrap_or_else(|e| e.into_inner());
+            if *cur == *cwd {
+                false
+            } else {
+                *cur = cwd.clone();
+                true
+            }
+        };
+        if changed {
+            let _ = app.emit(
+                crate::terminal::events::TERMINAL_CWD,
+                crate::terminal::events::CwdPayload {
+                    session_id: state.id.clone(),
+                    cwd: cwd.clone(),
+                },
+            );
+        }
+    }
+
+    if let Some(title) = titles.last() {
+        let changed = {
+            let mut cur = state.title.lock().unwrap_or_else(|e| e.into_inner());
+            if *cur == *title {
+                false
+            } else {
+                *cur = title.clone();
+                true
+            }
+        };
+        if changed {
+            let _ = app.emit(
+                crate::terminal::events::TERMINAL_STATE,
+                local_info(state, state.kind),
+            );
+        }
+    }
+
+    // 命令边界：累积到 D 才落库（见 `CommandAccumulator` 的说明）
+    sim.absorb(app, state, &parsed.marks);
+}
+
+/// 跨批次累积「当前正在执行的命令」，在 OSC 133 的 `D` 标记处落库。
+///
+/// # 为什么需要累积而不是收到 D 就存
+///
+/// 协议里命令文本（`1337;Cmd=`）与结束标记（`133;D`）是**两个独立序列**，
+/// 顺序由 shell hook 决定，且可能被切在不同批次里。若收到 D 就立刻用
+/// 「当前已知的命令」落库，遇到「D 先到、Cmd 后到」的顺序会存下**上一条**命令 ——
+/// 错位一条，且只在特定时序下复现，是最难查的一类 bug。
+///
+/// 因此：Cmd 到达时先暂存，D 到达时用暂存的文本落库并清空。
+/// 若 D 到达时没有暂存文本（例如 hook 未被注入的老会话），则跳过 ——
+/// 记一条空命令进历史毫无意义。
+///
+/// # 为什么锁粒度是「整段」
+///
+/// 一个批次里可能有多组 Cmd/D（`ls; pwd` 在极快执行时被一次性读取）。
+/// 逐条加锁会让「暂存 → 落库 → 清空」三步之间可能被另一批次的同三步插入，
+/// 产生交叉覆盖。锁住整段即可，临界区里只有内存操作与一次 SQLite 写入。
+///
+/// # 挂载位置
+///
+/// 由调用方（两个后端的读线程）持有，与会话同生命周期。不放进
+/// `LocalSessionState`：那个结构是**状态**（可被任意线程读），
+/// 而这个是**读线程的私有工作变量**，混在一起会让「谁在改它」变得不清晰。
+pub struct CommandAccumulator {
+    inner: std::sync::Mutex<Option<String>>,
+}
+
+impl CommandAccumulator {
+    pub fn new() -> Self {
+        Self {
+            inner: std::sync::Mutex::new(None),
+        }
+    }
+
+    fn absorb(
+        &self,
+        app: &tauri::AppHandle,
+        state: &LocalSessionState,
+        marks: &[crate::terminal::shell::CommandMark],
+    ) {
+        use crate::terminal::shell::CommandMark;
+        if marks.is_empty() {
+            return;
+        }
+
+        let mut pending = self.inner.lock().unwrap_or_else(|e| e.into_inner());
+        for mark in marks {
+            match mark {
+                CommandMark::Command(cmd) => {
+                    // 覆盖而非追加：`history 1` 总是给最新一条，
+                    // 同一批里出现两次 Cmd 时后者才是当前命令
+                    *pending = Some(cmd.clone());
+                }
+                CommandMark::End(code) => {
+                    let Some(cmd) = pending.take() else {
+                        continue;
+                    };
+                    if cmd.trim().is_empty() {
+                        continue;
+                    }
+                    // 记录失败**不影响终端**：历史是辅助功能，
+                    // 磁盘满 / 库损坏都不该让用户的命令执行流程中断。
+                    if let Err(e) = record_command(app, state, &cmd, *code) {
+                        crate::logger::log_error(
+                            "terminal",
+                            &format!("写入命令历史失败（不影响会话）: {e}"),
+                        );
+                    }
+                }
+                CommandMark::Start => {}
+            }
+        }
+    }
+}
+
+impl Default for CommandAccumulator {
+    fn default() -> Self {
+        Self::new()
+    }
+}
+
+/// 把一条命令送进历史库。
+///
+/// 从 `AppHandle` 反查 `TerminalManager`：本函数由读线程调用，那里只有
+/// `AppHandle` 与会话状态，没有 manager 引用。走 Tauri 的 state 查询
+/// 是这里唯一可行的方式（也是项目里 `manager(&app)` 的既有范式）。
+///
+/// # 落库在后台 writer
+///
+/// 本函数位于**输出热路径**（OSC 133 的 D 标记到达时读线程正在转发输出），
+/// 因此只做两次轻量读（显示名持锁读小字段、cwd 克隆）+ 一次 `mpsc::send`。
+/// SQLite 写入与 prune 由 [`crate::terminal::history::spawn_writer`] 的
+/// writer 线程攒批完成（通道断开时 manager 内部有同步兜底）。
+fn record_command(
+    app: &tauri::AppHandle,
+    state: &LocalSessionState,
+    command: &str,
+    exit_code: Option<i32>,
+) -> Result<(), String> {
+    use tauri::Manager as _;
+    let Some(mgr) = app.try_state::<crate::terminal::TerminalManager>() else {
+        return Ok(()); // 应用正在退出，manager 已释放 —— 静默跳过
+    };
+
+    // 解析显示名。本地会话的 target_id 是 shell id，SSH 会话是主机 id，
+    // 两者对用户是不同含义，所以分开查。
+    //
+    // 显示名**随记录一起存**（而不是查询时再联表）：主机被删除后，
+    // 若只有 id，历史列表里那一列会变成一串无意义的 hash。
+    let name = mgr.display_name(&state.target_id, state.is_ssh());
+    let cwd = state.cwd.lock().unwrap_or_else(|e| e.into_inner()).clone();
+
+    mgr.queue_history(crate::terminal::history::HistoryEntry {
+        command: command.to_string(),
+        cwd,
+        host_id: state.target_id.clone(),
+        host_name: name,
+        ssh: state.is_ssh(),
+        exit_code,
+    });
+    Ok(())
+}
+
+/// 由本地会话状态组装 `SessionInfo`。
+pub fn local_info(state: &LocalSessionState, kind: SessionKind) -> SessionInfo {
+    let (cols, rows) = *state.size.lock().unwrap_or_else(|e| e.into_inner());
+    SessionInfo {
+        id: state.id.clone(),
+        kind,
+        title: state
+            .title
+            .lock()
+            .unwrap_or_else(|e| e.into_inner())
+            .clone(),
+        state: *state.state.lock().unwrap_or_else(|e| e.into_inner()),
+        cols,
+        rows,
+        cwd: state.cwd.lock().unwrap_or_else(|e| e.into_inner()).clone(),
+        created_at: state.created_at,
+        exit_code: *state.exit_code.lock().unwrap_or_else(|e| e.into_inner()),
+        error: state
+            .error
+            .lock()
+            .unwrap_or_else(|e| e.into_inner())
+            .clone(),
+        target_id: state.target_id.clone(),
+        detached: state.detached.load(Ordering::Relaxed),
+        encoding: state.encoding(),
+        logging: crate::terminal::audit::is_logging(&state.id),
+    }
+}
+
+/// 供 `ConPtySession` 引用的类型别名，避免上层直接依赖 `pty` 模块。
+pub type BoxedSession = Arc<dyn Session>;
+
+/// 类型占位：确保 `ConPtySession` 在编译期满足 `Session` 契约。
+/// 若 `ConPtySession` 漏实现某个方法，这里会直接编译失败（比等到使用处才报错更早）。
+#[allow(dead_code)]
+fn _assert_conpty_is_session(s: ConPtySession) -> BoxedSession {
+    Arc::new(s)
+}

src-tauri/src/terminal/settings.rs

@@ -0,0 +1,928 @@
+//! 终端模块设置的数据模型与默认值。
+//!
+//! 持久化位置：`{app_data_dir}/terminal/settings.json`（与 translate / music 同一范式）。
+//! 容器级 `#[serde(default)]`：新增字段对旧配置文件是**向后兼容**的——缺字段取默认值
+//! 而不是让整份设置反序列化失败，避免用户因为一次升级丢掉全部配置。
+//!
+//! 安全姿态（与 `crate::secrets` 的约定一致）：**本结构里不允许出现任何明文凭据**。
+//! SSH 密码、私钥 passphrase 一律进系统凭据管理器，本结构只保存它们的引用 id 与
+//! 派生展示字段（如 `hasPassphrase`，由命令层回填，不落盘）。
+
+use serde::{Deserialize, Serialize};
+use specta::Type;
+
+// ===== 本地 Shell =====
+
+/// 本地 Shell 配置。
+///
+/// 探测到的 Shell 与用户自定义的 Shell 用同一结构表达：`detected` 为 true 表示
+/// 由 [`super::shell::detect_shells`] 自动发现，前端只允许改启动参数而不可改路径
+/// （路径已被验证存在，改错会让会话起不来）。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct ShellProfile {
+    /// 唯一标识（同时是新建会话时的 shellKey）
+    pub id: String,
+    /// 展示名称，如 "PowerShell 7"
+    pub name: String,
+    /// 可执行文件绝对路径
+    pub path: String,
+    /// 启动参数
+    pub args: Vec<String>,
+    /// 启动时的工作目录（空串表示用用户主目录）
+    pub cwd: String,
+    /// 环境变量覆盖（键值对；值为空串表示删除该变量）
+    pub env: Vec<EnvVar>,
+    /// Shell 类型："powershell" | "cmd" | "bash" | "wsl"
+    ///
+    /// 决定三件事：cwd 跟踪 hook 的注入方式、清屏命令、以及 OSC 7 的解析口径。
+    pub kind: String,
+    /// 是否由自动探测得到（true 时前端不可编辑 path）
+    pub detected: bool,
+    /// 是否在新建会话菜单中显示
+    pub enabled: bool,
+}
+
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct EnvVar {
+    pub key: String,
+    pub value: String,
+}
+
+/// 手写 `Default` 而不是 derive：`detected` 与 `enabled` 的默认值必须是
+/// `true` / `true`（derive 会给 `false`），而 `#[serde(default)]` 在容器级
+/// 要求每个字段类型都实现 `Default`。两者不一致会导致「反序列化出来的
+/// Shell 默认禁用」这种隐性 bug。
+impl Default for ShellProfile {
+    fn default() -> Self {
+        Self {
+            id: String::new(),
+            name: String::new(),
+            path: String::new(),
+            args: Vec::new(),
+            cwd: String::new(),
+            env: Vec::new(),
+            kind: "bash".to_string(),
+            detected: true,
+            enabled: true,
+        }
+    }
+}
+
+/// 容器级 `#[serde(default)]` 要求字段类型实现 `Default`。
+/// `EnvVar` 的「空值」语义就是空键空值，用 derive 的默认即可。
+impl Default for EnvVar {
+    fn default() -> Self {
+        Self {
+            key: String::new(),
+            value: String::new(),
+        }
+    }
+}
+
+impl ShellProfile {
+    pub fn new(id: &str, name: &str, path: &str, kind: &str) -> Self {
+        Self {
+            id: id.to_string(),
+            name: name.to_string(),
+            path: path.to_string(),
+            args: Vec::new(),
+            cwd: String::new(),
+            env: Vec::new(),
+            kind: kind.to_string(),
+            detected: true,
+            enabled: true,
+        }
+    }
+}
+
+// ===== SSH 主机 =====
+
+/// SSH 主机条目。
+///
+/// `id` 是凭据键名的一部分（`terminal-ssh-password-{id}`），**创建后不应修改**：
+/// 改了会让已存进凭据管理器的密码读不到。前端在编辑态需禁用该字段。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct SshHost {
+    pub id: String,
+    /// 展示别名（列表主标题）
+    pub name: String,
+    pub host: String,
+    pub port: u16,
+    pub username: String,
+    /// 认证方式："key"（公钥，默认）| "password" | "agent"（P1）| "keyboard"（P1）
+    pub auth_method: String,
+    /// 公钥认证使用的密钥 id（指向 [`super::keys`] 的密钥库）
+    pub key_id: String,
+    /// 分组名（侧栏按此分组）
+    pub group: String,
+    /// 备注
+    pub note: String,
+    /// 标签色（前端用于状态点/分组标识）
+    pub color: String,
+    /// 是否收藏（置顶显示）
+    pub favorited: bool,
+    /// 连接超时（毫秒）
+    pub connect_timeout_ms: u64,
+    /// keep-alive 间隔（秒，0 表示关闭）
+    pub keepalive_secs: u64,
+    /// 启动目录（空串表示登录后进入默认目录）
+    pub remote_cwd: String,
+    /// 登录后自动执行的命令
+    pub startup_command: String,
+    /// 是否走代理模块（mihomo）。默认关闭：内网主机不该被绕进代理。
+    pub use_proxy: bool,
+    /// 跳板机链（ProxyJump）：按连接顺序排列的主机 id。
+    ///
+    /// 每一项引用**本主机列表里的另一台主机**（复用它的地址、账号与凭据），
+    /// 连接方向为 `本机 → jump_ids[0] → jump_ids[1] → … → 本主机`。
+    /// 空 = 直连。约束（命令层校验）：不能引用自己、不能有环、
+    /// 链长上限 5、每一跳的认证方式必须是 key/password。
+    ///
+    /// 用 id 引用而不是内联一份地址+凭据的理由：跳板机自己的密码/密钥
+    /// 存在凭据管理器里，按 id 复用可以避免同一台跳板机在多处配置里
+    /// 留下多份凭据副本（改密码时漏改一处就是连接事故）。
+    pub jump_ids: Vec<String>,
+    /// 终端的字符编码（"utf-8" 默认 | "gbk" 等）。老服务器常见 GBK，中文环境刚需。
+    pub encoding: String,
+}
+
+impl Default for SshHost {
+    fn default() -> Self {
+        Self {
+            id: String::new(),
+            name: String::new(),
+            host: String::new(),
+            port: 22,
+            username: String::new(),
+            auth_method: "key".to_string(),
+            key_id: String::new(),
+            group: String::new(),
+            note: String::new(),
+            color: String::new(),
+            favorited: false,
+            connect_timeout_ms: 15_000,
+            keepalive_secs: 30,
+            remote_cwd: String::new(),
+            startup_command: String::new(),
+            use_proxy: false,
+            jump_ids: Vec::new(),
+            encoding: "utf-8".to_string(),
+        }
+    }
+}
+
+// ===== 外观 =====
+
+/// 终端外观设置。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct AppearanceSettings {
+    /// 配色主题 id（内置若干，见前端 terminalThemes.ts）
+    pub theme: String,
+    /// 是否跟随应用亮暗主题（开启时 `theme` 只作为亮/暗的取色基准）
+    pub follow_app_theme: bool,
+    /// 字体族（逗号分隔的 CSS font-family）
+    pub font_family: String,
+    pub font_size: u32,
+    /// 行高倍数
+    pub line_height: f64,
+    /// 字母间距
+    pub letter_spacing: f64,
+    /// 光标样式："block" | "bar" | "underline"
+    pub cursor_style: String,
+    /// 光标是否闪烁
+    pub cursor_blink: bool,
+    /// 滚动缓冲区行数。上限 200000：再高会显著吃内存且滚动查找变慢。
+    pub scrollback: u32,
+    /// 背景不透明度百分比（100 = 不透明）
+    pub opacity: u32,
+    /// 是否启用 GPU 渲染（addon-webgl）。极少数显卡驱动下有花屏问题，故给开关。
+    pub gpu_rendering: bool,
+}
+
+impl Default for AppearanceSettings {
+    fn default() -> Self {
+        Self {
+            theme: "thing-dark".to_string(),
+            follow_app_theme: true,
+            font_family: "Cascadia Mono, Consolas, Microsoft YaHei Mono, monospace".to_string(),
+            font_size: 14,
+            line_height: 1.2,
+            letter_spacing: 0.0,
+            cursor_style: "block".to_string(),
+            cursor_blink: true,
+            scrollback: 10_000,
+            opacity: 100,
+            gpu_rendering: true,
+        }
+    }
+}
+
+// ===== 快捷键 =====
+
+/// 一条终端内快捷键绑定。
+///
+/// 只覆盖**终端内**（第二层）快捷键：全局快捷键（第一层）由 `crate::shortcut` 统一
+/// 注册并做应用内冲突检测，不走这里；shell 原生快捷键（第三层）不做拦截。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct ShortcutBinding {
+    /// 动作标识，见前端 `terminalActions.ts`（如 "copy" / "newTab"）
+    pub action: String,
+    /// 键位字符串，格式与 `crate::shortcut::parse_shortcut` 一致（如 "Ctrl+Shift+C"）
+    pub keys: String,
+    /// 是否启用（关掉后该动作无快捷键，但仍可从菜单触发）
+    pub enabled: bool,
+}
+
+impl Default for ShortcutBinding {
+    fn default() -> Self {
+        Self {
+            action: String::new(),
+            keys: String::new(),
+            enabled: true,
+        }
+    }
+}
+
+// ===== 终端内选中行为 =====
+
+/// 终端内选中行为。
+///
+/// # 为什么叫 `TerminalSelectionSettings` 而不是 `SelectionSettings`
+///
+/// 与 `translate::settings::SelectionSettings` 撞名。`tauri-specta` 的类型注册表
+/// **全局按类型名索引**，重名会让 `export_bindings()` panic
+/// （`Detected multiple types with the same name`）。
+/// specta 2.0.0-rc.25 的 derive 路径无法重命名导出类型
+/// （详见 `history::TerminalHistoryPage` 的注释），只能改 Rust 标识符本身。
+///
+/// 注意：这是**第二个**独立引入的 `SelectionSettings`。新增跨模块共享名之前，
+/// 先确认没有同名 `Type` 已存在 —— 否则会在**运行时启动阶段**才炸，
+/// 而不是编译期（见 `TERMINAL_MODULE_PLAN.md` 坑 27）。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct TerminalSelectionSettings {
+    /// 选中即复制（受 Linux/macOS 习惯影响的用户会开；默认关，避免误触）
+    pub copy_on_select: bool,
+    /// 中键粘贴（X11 习惯；Windows 下默认关）
+    pub middle_click_paste: bool,
+    /// 右键行为："menu"（默认，弹菜单）| "paste"（直接粘贴）| "select-word"
+    pub right_click: String,
+    /// 复制时是否去掉尾部空行
+    pub trim_trailing_newline: bool,
+}
+
+impl Default for TerminalSelectionSettings {
+    fn default() -> Self {
+        Self {
+            copy_on_select: false,
+            middle_click_paste: false,
+            right_click: "menu".to_string(),
+            trim_trailing_newline: true,
+        }
+    }
+}
+
+// ===== 布局 =====
+
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct LayoutSettings {
+    /// 关闭标签页时若会话仍有活跃进程，是否二次确认
+    pub confirm_close_running: bool,
+    /// 新建标签页时是否继承当前会话的工作目录
+    pub inherit_cwd: bool,
+    /// 侧栏默认是否展开
+    pub sidebar_open: bool,
+    /// 侧栏宽度（像素）
+    pub sidebar_width: u32,
+    /// 是否显示底部状态栏
+    pub show_status_bar: bool,
+    /// 分屏上限（1 = 不分屏，2 = 2×1，4 = 2×2）。
+    /// 上限刻意封在 4：分屏 × 标签 × 会话的组合复杂度会爆炸。
+    pub max_panes: u32,
+}
+
+impl Default for LayoutSettings {
+    fn default() -> Self {
+        Self {
+            confirm_close_running: true,
+            inherit_cwd: true,
+            sidebar_open: true,
+            sidebar_width: 220,
+            show_status_bar: true,
+            max_panes: 4,
+        }
+    }
+}
+
+// ===== 命令片段 =====
+
+/// 一条命令片段。
+///
+/// # 为什么 `command` 里允许变量占位符
+///
+/// 常用命令的差异往往只在少数字段（路径、主机名、分支名）。若每条变体都要
+/// 单独存一条，片段库会迅速退化成「一堆几乎一样的条目」，反而找不到东西。
+/// 因此支持 `${name}` 形式占位符，执行前弹出表单逐个填写。
+///
+/// 占位符语法刻意用 `${name}` 而不是 `{name}`：shell 自身大量使用 `{}`
+/// （`${VAR}`、`awk '{print}'`、brace expansion），单花括号会与用户的正常
+/// 命令冲突，导致片段存进去就「被替换掉了」。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct CommandSnippet {
+    pub id: String,
+    /// 展示名称（列表主标题）
+    pub name: String,
+    /// 命令内容（可含 `${name}` 占位符）
+    pub command: String,
+    /// 说明（列表副标题，讲清这条命令做什么、有什么前提）
+    pub description: String,
+    /// 分组名（空串归入「未分组」）
+    pub group: String,
+    /// 占位符的默认值：name → 默认值。未列出的占位符默认空串。
+    pub defaults: std::collections::BTreeMap<String, String>,
+    /// 适用的 shell kind（空数组表示所有 shell 都适用）。
+    /// 例：`Get-ChildItem` 只对 powershell 有意义，不该出现在 cmd 的列表里。
+    pub shell_kinds: Vec<String>,
+    /// 仅对 SSH 会话显示（如 `sudo systemctl restart` 类远端操作）
+    pub ssh_only: bool,
+    /// 是否需要二次确认（危险命令，如 `rm -rf`）
+    pub confirm: bool,
+    /// 是否在片段面板中置顶
+    pub pinned: bool,
+    /// 创建时间（Unix 毫秒，用于列表排序）
+    pub created_at: u64,
+}
+
+impl Default for CommandSnippet {
+    fn default() -> Self {
+        Self {
+            id: String::new(),
+            name: String::new(),
+            command: String::new(),
+            description: String::new(),
+            group: String::new(),
+            defaults: std::collections::BTreeMap::new(),
+            shell_kinds: Vec::new(),
+            ssh_only: false,
+            confirm: false,
+            pinned: false,
+            created_at: 0,
+        }
+    }
+}
+
+/// 从命令文本中提取 `${name}` 占位符名（去重、保持出现顺序）。
+///
+/// 放在 Rust 侧而不是前端：占位符是**命令语义的一部分**，执行前的替换、
+/// 校验与「哪些占位符还没填」的判断必须用同一套解析，
+/// 两边各写一遍迟早会在边界情况（`$${x}`、`${a}${b}` 相邻）上分叉。
+pub fn snippet_placeholders(command: &str) -> Vec<String> {
+    let bytes = command.as_bytes();
+    let mut out: Vec<String> = Vec::new();
+    let mut i = 0usize;
+    while i < bytes.len() {
+        // 找 `${`
+        if bytes[i] == b'$' && i + 1 < bytes.len() && bytes[i + 1] == b'{' {
+            // `$${x}` 是字面量 `${x}`（转义），跳过
+            let escaped = i > 0 && bytes[i - 1] == b'$';
+            if !escaped {
+                if let Some(end) = command[i + 2..].find('}') {
+                    let name = &command[i + 2..i + 2 + end];
+                    // 占位符名限定为标识符形态，避免把 `${VAR:-default}` 这类
+                    // shell 参数展开语法误当成占位符
+                    if !name.is_empty()
+                        && name
+                            .chars()
+                            .all(|c| c.is_ascii_alphanumeric() || c == '_' || c == '-')
+                        && !out.iter().any(|x| x == name)
+                    {
+                        out.push(name.to_string());
+                    }
+                    i = i + 2 + end + 1;
+                    continue;
+                }
+            }
+        }
+        i += 1;
+    }
+    out
+}
+
+/// 用给定值替换命令里的占位符。
+///
+/// 未提供的占位符**保持原样**（不替换成空串）：静默替换成空串会让
+/// `rm -rf ${dir}` 变成 `rm -rf ` —— 一个参数缺失的命令可能比一个
+/// 显式报错的命令危险得多。调用方应先校验所有占位符都有值。
+pub fn snippet_render(command: &str, values: &std::collections::BTreeMap<String, String>) -> String {
+    let mut out = String::with_capacity(command.len());
+    let bytes = command.as_bytes();
+    let mut i = 0usize;
+    while i < bytes.len() {
+        if bytes[i] == b'$' && i + 1 < bytes.len() && bytes[i + 1] == b'{' {
+            let escaped = i > 0 && bytes[i - 1] == b'$';
+            if !escaped {
+                if let Some(end) = command[i + 2..].find('}') {
+                    let name = &command[i + 2..i + 2 + end];
+                    if !name.is_empty()
+                        && name
+                            .chars()
+                            .all(|c| c.is_ascii_alphanumeric() || c == '_' || c == '-')
+                    {
+                        match values.get(name) {
+                            Some(v) => out.push_str(v),
+                            None => out.push_str(&command[i..i + 2 + end + 1]),
+                        }
+                        i = i + 2 + end + 1;
+                        continue;
+                    }
+                }
+            }
+        }
+        // 逐字符拷贝，注意 UTF-8 多字节边界：这里直接按字节推进会让
+        // 中文字符被切断。故用 chars().next() 取整字符的长度。
+        let ch = command[i..].chars().next().unwrap_or(' ');
+        out.push(ch);
+        i += ch.len_utf8();
+    }
+    out
+}
+
+// ===== 密钥存储（仅元数据）=====
+
+/// 密钥库的单个条目（元数据，**不含私钥内容**）。
+///
+/// 私钥本体存放在 `{app_data_dir}/terminal/keys/` 的独立文件里（可能是几 KB，
+/// 塞进 Windows 凭据管理器不可靠——单条有大小上限），passphrase 才进凭据管理器。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct KeyMeta {
+    pub id: String,
+    /// 展示名称
+    pub name: String,
+    /// 算法："ed25519" | "rsa" | "ecdsa"
+    pub algorithm: String,
+    /// 位数 / 曲线（RSA 2048/3072/4096；ECDSA P-256/P-384/P-521；ed25519 固定空串）
+    pub bits: u32,
+    /// 公钥指纹（SHA256，OpenSSH 展示格式 `SHA256:xxxx`）
+    pub fingerprint: String,
+    /// 公钥内容（`ssh-ed25519 AAAA... comment`），用于一键复制
+    pub public_key: String,
+    /// 注释
+    pub comment: String,
+    /// 私钥文件名（`keys/` 目录下，相对名）
+    pub file_name: String,
+    /// 创建时间（RFC3339）
+    pub created_at: String,
+    /// 是否由 ssh-agent 托管（P1）
+    pub in_agent: bool,
+}
+
+impl Default for KeyMeta {
+    fn default() -> Self {
+        Self {
+            id: String::new(),
+            name: String::new(),
+            algorithm: "ed25519".to_string(),
+            bits: 0,
+            fingerprint: String::new(),
+            public_key: String::new(),
+            comment: String::new(),
+            file_name: String::new(),
+            created_at: String::new(),
+            in_agent: false,
+        }
+    }
+}
+
+// ===== 安全 =====
+
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct SecuritySettings {
+    /// 主机密钥策略："ask"（默认，首次连接必须显式确认指纹）。
+    ///
+    /// **不提供 "auto-accept" 选项**：TOFU 静默接受是 MITM 的入口，
+    /// 属于代码层不该给用户的开关。
+    pub host_key_policy: String,
+    /// 指纹变更时是否阻断（**默认 true**）。关掉会让中间人攻击无声通过，
+    /// 因此前端需以红色风险提示呈现该开关。
+    pub block_on_fingerprint_change: bool,
+    /// 是否记录连接审计日志（P2，默认关；开启后输入输出落盘，含脱敏）
+    pub audit_log: bool,
+}
+
+impl Default for SecuritySettings {
+    fn default() -> Self {
+        Self {
+            host_key_policy: "ask".to_string(),
+            block_on_fingerprint_change: true,
+            audit_log: false,
+        }
+    }
+}
+
+// ===== 根结构 =====
+
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct TerminalSettings {
+    /// 结构版本号（用于后续迁移判断）
+    pub version: u32,
+    /// 本地 Shell 配置（探测结果 + 用户自定义，合并存放）
+    pub shells: Vec<ShellProfile>,
+    /// SSH 主机条目
+    pub hosts: Vec<SshHost>,
+    /// 密钥元数据
+    pub keys: Vec<KeyMeta>,
+    pub appearance: AppearanceSettings,
+    pub layout: LayoutSettings,
+    pub shortcuts: Vec<ShortcutBinding>,
+    pub selection: TerminalSelectionSettings,
+    pub security: SecuritySettings,
+    /// 「关闭标签页时确认」等行为的白名单：某些会话可豁免确认
+    pub close_confirm_exempt: Vec<String>,
+    /// 上次使用的 Shell id（新建会话时的默认选中项）
+    pub last_shell_id: String,
+    /// 命令片段库
+    pub snippets: Vec<CommandSnippet>,
+    /// 会话模板（一键拉起一组会话 + 布局）
+    pub templates: Vec<SessionTemplate>,
+}
+
+impl Default for TerminalSettings {
+    fn default() -> Self {
+        Self {
+            version: 2,
+            shells: Vec::new(),
+            hosts: Vec::new(),
+            keys: Vec::new(),
+            appearance: AppearanceSettings::default(),
+            layout: LayoutSettings::default(),
+            shortcuts: default_shortcuts(),
+            selection: TerminalSelectionSettings::default(),
+            security: SecuritySettings::default(),
+            close_confirm_exempt: Vec::new(),
+            last_shell_id: String::new(),
+            snippets: Vec::new(),
+            templates: Vec::new(),
+        }
+    }
+}
+
+/// 会话模板：一键拉起一组会话并排成布局。
+///
+/// 拉起语义：`entries[0]` 作为主面板，其余依次以分屏面板加入
+/// （受 `layout.maxPanes` 上限约束，超过 4 个的条目被忽略——
+/// WebGL 上下文上限决定了可见面板不可能超过 4，见 useSessionStream 说明）。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct SessionTemplate {
+    pub id: String,
+    pub name: String,
+    /// 创建时间（Unix 毫秒；模板列表按此排序）
+    pub created_at: u64,
+    pub entries: Vec<TemplateEntry>,
+}
+
+impl Default for SessionTemplate {
+    fn default() -> Self {
+        Self {
+            id: String::new(),
+            name: String::new(),
+            created_at: 0,
+            entries: Vec::new(),
+        }
+    }
+}
+
+/// 模板中的一个会话条目。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct TemplateEntry {
+    /// `"local"`（shell）| `"ssh"`（主机）
+    pub kind: String,
+    /// 本地 = shell id；SSH = host id。拉起时实时解析——
+    /// 模板只存引用，不快照账号密码（那些在凭据管理器里按 id 存取）。
+    pub target_id: String,
+    /// 保存时的展示名快照（仅用于模板列表显示；target 失效时前端据此标注）
+    pub label: String,
+}
+
+impl Default for TemplateEntry {
+    fn default() -> Self {
+        Self {
+            kind: "local".to_string(),
+            target_id: String::new(),
+            label: String::new(),
+        }
+    }
+}
+
+/// 默认终端内快捷键。
+///
+/// 键位选择依据（Windows Terminal 惯例 + 与项目既有全局快捷键避让）：
+/// - 复制粘贴用 `Ctrl+Shift+C/V` 而**不是** `Ctrl+C/V`：`Ctrl+C` 在终端里必须是
+///   SIGINT，任何对它做复制映射的设计都会破坏 `^C` 中断，这是不可接受的。
+/// - 新建/关闭标签用 `Ctrl+Shift+T/W`，与浏览器习惯一致。
+/// - 跳转标签用 `Alt+1..9`：`Ctrl+数字` 已被翻译模块的 `Ctrl+2`（翻译面板）占用，
+///   而 `Alt+数字` 在终端里通常不产生控制字符，冲突面最小。
+pub fn default_shortcuts() -> Vec<ShortcutBinding> {
+    let pairs: &[(&str, &str)] = &[
+        ("copy", "Ctrl+Shift+C"),
+        ("paste", "Ctrl+Shift+V"),
+        ("newTab", "Ctrl+Shift+T"),
+        ("closeTab", "Ctrl+Shift+W"),
+        ("nextTab", "Ctrl+Tab"),
+        ("prevTab", "Ctrl+Shift+Tab"),
+        ("splitRight", "Ctrl+Shift+D"),
+        ("splitDown", "Ctrl+Shift+E"),
+        ("closePane", "Ctrl+Shift+Q"),
+        ("search", "Ctrl+Shift+F"),
+        ("clear", "Ctrl+Shift+K"),
+        ("fontIncrease", "Ctrl+="),
+        ("fontDecrease", "Ctrl+-"),
+        ("fontReset", "Ctrl+0"),
+        ("toggleSftp", "Ctrl+Shift+P"),
+        ("snippets", "Ctrl+Shift+S"),
+        // 历史用 H（History）。不与 `Ctrl+Shift+H`（替换）冲突 ——
+        // 终端里没有「替换」这个动作。
+        ("history", "Ctrl+Shift+H"),
+        ("renameTab", "F2"),
+        ("sessionSwitcher", "Ctrl+Shift+O"),
+    ];
+    pairs
+        .iter()
+        .map(|(action, keys)| ShortcutBinding {
+            action: action.to_string(),
+            keys: keys.to_string(),
+            enabled: true,
+        })
+        .collect()
+}
+
+impl TerminalSettings {
+    /// 按 id 找主机。
+    pub fn host(&self, id: &str) -> Option<&SshHost> {
+        self.hosts.iter().find(|h| h.id == id)
+    }
+
+    /// 按 id 找 Shell。
+    pub fn shell(&self, id: &str) -> Option<&ShellProfile> {
+        self.shells.iter().find(|s| s.id == id)
+    }
+
+    /// 自愈：修复失效引用、补齐缺失的默认值、推进结构版本。
+    ///
+    /// 沿用 translate 模块确立的 `heal()` 约定：老配置缺字段取默认值，
+    /// 失效引用自动回落，返回是否发生变更（由调用方决定是否落盘）。
+    pub fn heal(&mut self) -> bool {
+        let mut changed = false;
+
+        // 快捷键表：补齐新增动作、剔除已废弃动作。用户改过的键位保留。
+        let defaults = default_shortcuts();
+        for d in &defaults {
+            if !self.shortcuts.iter().any(|s| s.action == d.action) {
+                self.shortcuts.push(d.clone());
+                changed = true;
+            }
+        }
+        let before = self.shortcuts.len();
+        // 只保留默认表里存在的 action，避免版本升级后残留无人消费的绑定
+        self.shortcuts
+            .retain(|s| defaults.iter().any(|d| d.action == s.action));
+        if self.shortcuts.len() != before {
+            changed = true;
+        }
+
+        // 主机的 key_id 指向已删除的密钥 → 清空并退回密码认证的提示由前端给，
+        // 这里只做数据层清理（不回退 auth_method，避免静默改变用户的认证选择）
+        let key_ids: Vec<String> = self.keys.iter().map(|k| k.id.clone()).collect();
+        for host in &mut self.hosts {
+            if !host.key_id.is_empty() && !key_ids.contains(&host.key_id) {
+                host.key_id.clear();
+                changed = true;
+            }
+        }
+
+        // 主机字段兜底：端口非法、用户名缺失等由前端表单保证，这里只防越界
+        for host in &mut self.hosts {
+            if host.port == 0 {
+                host.port = 22;
+                changed = true;
+            }
+            if host.connect_timeout_ms < 1000 {
+                host.connect_timeout_ms = 15_000;
+                changed = true;
+            }
+            if host.encoding.trim().is_empty() {
+                host.encoding = "utf-8".to_string();
+                changed = true;
+            }
+        }
+
+        // 外观：滚动缓冲与字体大小越界会直接导致渲染异常
+        if self.appearance.scrollback < 100 {
+            self.appearance.scrollback = 10_000;
+            changed = true;
+        }
+        if self.appearance.scrollback > 200_000 {
+            self.appearance.scrollback = 200_000;
+            changed = true;
+        }
+        if self.appearance.font_size < 8 || self.appearance.font_size > 40 {
+            self.appearance.font_size = 14;
+            changed = true;
+        }
+
+        // 布局：分屏上限封顶 4
+        if self.layout.max_panes == 0 || self.layout.max_panes > 4 {
+            self.layout.max_panes = 4;
+            changed = true;
+        }
+
+        // last_shell_id 指向已删除的 Shell → 清空，由前端选第一个可用
+        if !self.last_shell_id.is_empty() && self.shell(&self.last_shell_id).is_none() {
+            self.last_shell_id.clear();
+            changed = true;
+        }
+
+        if self.version < 1 {
+            self.version = 1;
+            changed = true;
+        }
+
+        // v2：引入命令片段库。给**空库**塞一批起步片段 ——
+        // 一个空片段面板对着用户等于没有这个功能，而「自己写第一条」的门槛
+        // 比「改一条现成的」高得多。只在空库时注入，用户删光后不会被重塞。
+        if self.version < 2 {
+            if self.snippets.is_empty() {
+                self.snippets = default_snippets();
+            }
+            self.version = 2;
+            changed = true;
+        }
+
+        changed
+    }
+}
+
+/// 起步命令片段。
+///
+/// 选取标准：**跨平台通用、参数化后确有复用价值、且不容易打错**的东西。
+/// 刻意不放 `ls`/`cd` 这类过短命令 —— 它们手打比在列表里找更快，
+/// 放进片段库只会稀释信噪比。
+pub fn default_snippets() -> Vec<CommandSnippet> {
+    fn mk(
+        id: &str,
+        name: &str,
+        command: &str,
+        description: &str,
+        group: &str,
+        placeholders: &[(&str, &str)],
+        ssh_only: bool,
+        confirm: bool,
+    ) -> CommandSnippet {
+        CommandSnippet {
+            id: id.to_string(),
+            name: name.to_string(),
+            command: command.to_string(),
+            description: description.to_string(),
+            group: group.to_string(),
+            defaults: placeholders
+                .iter()
+                .map(|(k, v)| (k.to_string(), v.to_string()))
+                .collect(),
+            shell_kinds: Vec::new(),
+            ssh_only,
+            confirm,
+            pinned: false,
+            created_at: 0,
+        }
+    }
+
+    vec![
+        mk(
+            "snip-find-large",
+            "查找大文件",
+            "find ${dir} -type f -size +${size} -exec ls -lh {} \\;",
+            "列出指定目录下大于指定体积的文件。size 用 100M / 1G 这类写法。",
+            "文件",
+            &[("dir", "/"), ("size", "100M")],
+            false,
+            false,
+        ),
+        mk(
+            "snip-grep-recursive",
+            "递归搜索内容",
+            "grep -rn --include=${pattern} '${keyword}' ${dir}",
+            "在指定目录下按文件名模式递归搜索关键字。",
+            "文件",
+            &[("pattern", "*.log"), ("keyword", ""), ("dir", ".")],
+            false,
+            false,
+        ),
+        mk(
+            "snip-tar-extract",
+            "解压 tar.gz",
+            "tar -xzvf ${file} -C ${target}",
+            "解压到指定目录。target 留空则解到当前目录。",
+            "文件",
+            &[("file", ""), ("target", ".")],
+            false,
+            false,
+        ),
+        mk(
+            "snip-df",
+            "磁盘占用概览",
+            "df -h | sort -k5 -hr | head -20",
+            "按使用率倒序列出挂载点。排查「磁盘满了」的第一步。",
+            "诊断",
+            &[],
+            false,
+            false,
+        ),
+        mk(
+            "snip-port-owner",
+            "查端口占用",
+            "ss -tlnp | grep ${port}",
+            "查看监听指定端口的进程。老系统若无 ss，改用 netstat -tlnp。",
+            "诊断",
+            &[("port", "8080")],
+            false,
+            false,
+        ),
+        mk(
+            "snip-top-cpu",
+            "CPU 占用前 10",
+            "ps aux --sort=-%cpu | head -11",
+            "按 CPU 占用倒序列出进程（含表头共 11 行）。",
+            "诊断",
+            &[],
+            false,
+            false,
+        ),
+        mk(
+            "snip-tail-follow",
+            "跟踪日志",
+            "tail -f ${file}",
+            "实时跟随文件新增内容。Ctrl+C 退出。",
+            "运维",
+            &[("file", "")],
+            false,
+            false,
+        ),
+        mk(
+            "snip-systemd-status",
+            "服务状态",
+            "systemctl status ${service} --no-pager",
+            "查看 systemd 服务状态。--no-pager 让输出直接落到终端而不是进 less。",
+            "运维",
+            &[("service", "")],
+            true,
+            false,
+        ),
+        mk(
+            "snip-perm-fix",
+            "递归修正属主",
+            "chown -R ${owner}:${group} ${dir}",
+            "递归修改目录属主与属组。",
+            "运维",
+            &[("owner", ""), ("group", ""), ("dir", "")],
+            true,
+            true,
+        ),
+        mk(
+            "snip-ssh-tunnel",
+            "建立 SSH 隧道",
+            "ssh -N -L ${localPort}:${remoteHost}:${remotePort} ${user}@${jumpHost}",
+            "本地端口转发。localPort 是你要在本机访问的端口。",
+            "网络",
+            &[
+                ("localPort", "8080"),
+                ("remoteHost", "127.0.0.1"),
+                ("remotePort", "80"),
+                ("user", ""),
+                ("jumpHost", ""),
+            ],
+            false,
+            false,
+        ),
+        mk(
+            "snip-ssh-keygen",
+            "生成 SSH 密钥",
+            "ssh-keygen -t ed25519 -C \"${comment}\" -f ~/.ssh/${name}",
+            "生成 ed25519 密钥对。ed25519 比 RSA 短且更快，现代环境首选。",
+            "网络",
+            &[("comment", ""), ("name", "id_ed25519")],
+            false,
+            false,
+        ),
+    ]
+}

src-tauri/src/terminal/shell.rs

@@ -0,0 +1,687 @@
+//! 本地 Shell 探测、命令行组装与 cwd 跟踪 hook 注入。
+//!
+//! # cwd 为什么需要 hook
+//!
+//! ConPTY 拿不到子 shell 的真实工作目录：`GetCurrentDirectory` 返回的是**我们
+//! 自己进程**的目录，不是子进程的；`NtQueryInformationProcess` 读 PEB 虽然可行，
+//! 但需要每帧轮询且对已提权进程无权访问。业界通行做法是让 shell 在每次提示符
+//! 绘制时输出 **OSC 7** 转义序列（`ESC ] 7 ; file://host/path BEL`），
+//! Windows Terminal / VS Code Terminal 都走这条路。
+//!
+//! 这是「SFTP 跟随终端目录」的前置能力，因此 P0 就做进去，而不是等到 P1 再补。
+
+use std::path::{Path, PathBuf};
+
+use super::settings::{EnvVar, ShellProfile};
+
+/// 探测结果：合并「自动发现的 Shell」与「用户已有的自定义配置」。
+///
+/// 合并策略：**以自动探测为权威源修正路径**（用户机器上升级了 PowerShell 7，
+/// 路径可能变化），但保留用户设置的名字、参数、环境变量。已不存在且非用户自定义
+/// 的条目直接丢弃（`pwsh.exe` 卸载后不该留一个点不动的菜单项）。
+pub fn detect_and_merge(existing: &[ShellProfile]) -> Vec<ShellProfile> {
+    let detected = detect_shells();
+    let mut result: Vec<ShellProfile> = Vec::with_capacity(detected.len() + 2);
+
+    for mut d in detected {
+        if let Some(old) = existing.iter().find(|s| s.id == d.id) {
+            // 保留用户的个性化字段，路径以探测结果为准
+            d.name = if old.name.trim().is_empty() {
+                d.name.clone()
+            } else {
+                old.name.clone()
+            };
+            d.args = old.args.clone();
+            d.cwd = old.cwd.clone();
+            d.env = old.env.clone();
+            d.enabled = old.enabled;
+            d.detected = true;
+            // 用户在自定义条目上填过的路径若仍存在，尊重用户选择
+            if !old.path.trim().is_empty() && Path::new(&old.path).exists() && !old.detected {
+                d.path = old.path.clone();
+                d.detected = false;
+            }
+        }
+        result.push(d);
+    }
+
+    // 追加用户手工新增的、当前探测不到的条目（prune 逻辑在前端确认删除后执行）
+    for old in existing {
+        if old.detected {
+            continue; // 自动探测项已在上面的循环里处理（含丢弃已失效的）
+        }
+        if result.iter().any(|s| s.id == old.id) {
+            continue;
+        }
+        result.push(old.clone());
+    }
+
+    result
+}
+
+/// 自动探测本机可用的 Shell。
+///
+/// 顺序即菜单顺序，也是新建会话时的默认选中顺序（按现代性与功能排序）。
+pub fn detect_shells() -> Vec<ShellProfile> {
+    let mut list = Vec::new();
+
+    // PowerShell 7+（优先：跨平台、默认 UTF-8、语法现代）
+    if let Some(p) = find_in_path(&["pwsh.exe"]) {
+        list.push(ShellProfile::new("pwsh", "PowerShell 7", &p, "powershell"));
+    }
+    // Windows PowerShell（系统必带，作保底）
+    if let Some(p) = find_windows_powershell() {
+        list.push(ShellProfile::new(
+            "powershell",
+            "Windows PowerShell",
+            &p,
+            "powershell",
+        ));
+    }
+    // cmd
+    if let Some(p) = find_in_path(&["cmd.exe"]).or_else(find_cmd_fallback) {
+        list.push(ShellProfile::new("cmd", "命令提示符", &p, "cmd"));
+    }
+    // Git Bash（从 git 的安装目录反推，比扫 PATH 可靠）
+    if let Some(p) = find_git_bash() {
+        list.push(ShellProfile::new("gitbash", "Git Bash", &p, "bash"));
+    }
+    // WSL 发行版：每个发行版一个条目
+    for distro in list_wsl_distros() {
+        let id = format!("wsl-{}", sanitize_id(&distro));
+        let name = format!("WSL · {distro}");
+        let mut profile = ShellProfile::new(&id, &name, "wsl.exe", "wsl");
+        profile.args = vec!["-d".to_string(), distro];
+        list.push(profile);
+    }
+
+    list
+}
+
+/// 在 PATH 中查找可执行文件。
+fn find_in_path(names: &[&str]) -> Option<String> {
+    let path = std::env::var_os("PATH")?;
+    for dir in std::env::split_paths(&path) {
+        for name in names {
+            let candidate = dir.join(name);
+            if candidate.is_file() {
+                return Some(candidate.to_string_lossy().to_string());
+            }
+        }
+    }
+    None
+}
+
+/// 定位 Windows PowerShell。
+///
+/// 优先用 `%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe`（权威路径），
+/// 而不是查 PATH——PATH 里可能有同名伪装程序。
+fn find_windows_powershell() -> Option<String> {
+    let root = std::env::var_os("SystemRoot")
+        .map(PathBuf::from)
+        .unwrap_or_else(|| PathBuf::from(r"C:\Windows"));
+    let p = root
+        .join("System32")
+        .join("WindowsPowerShell")
+        .join("v1.0")
+        .join("powershell.exe");
+    if p.is_file() {
+        return Some(p.to_string_lossy().to_string());
+    }
+    find_in_path(&["powershell.exe"])
+}
+
+fn find_cmd_fallback() -> Option<String> {
+    let root = std::env::var_os("SystemRoot")
+        .map(PathBuf::from)
+        .unwrap_or_else(|| PathBuf::from(r"C:\Windows"));
+    let p = root.join("System32").join("cmd.exe");
+    if p.is_file() {
+        return Some(p.to_string_lossy().to_string());
+    }
+    find_in_path(&["cmd.exe"])
+}
+
+/// 定位 Git Bash。
+///
+/// 先查 PATH 上的 `bash.exe`（Git 安装时通常会把 `Git\bin` 或 `Git\usr\bin` 加进去），
+/// 但更要紧的是排除掉 WSL 的 `bash.exe`（`System32\bash.exe`）——它不是 Git Bash，
+/// 混用会导致用户点「Git Bash」却进了 WSL。
+fn find_git_bash() -> Option<String> {
+    let candidates = [
+        r"C:\Program Files\Git\bin\bash.exe",
+        r"C:\Program Files (x86)\Git\bin\bash.exe",
+    ];
+    for c in candidates {
+        if Path::new(c).is_file() {
+            return Some(c.to_string());
+        }
+    }
+    // 从 HOME 下的常见位置反推（scoop / 便携版）
+    if let Some(home) = dirs::home_dir() {
+        for rel in [r"scoop\apps\git\current\bin\bash.exe", r"AppData\Local\Programs\Git\bin\bash.exe"] {
+            let p = home.join(rel);
+            if p.is_file() {
+                return Some(p.to_string_lossy().to_string());
+            }
+        }
+    }
+    // 最后才查 PATH，且必须排除 System32（那是 WSL 的 bash）
+    find_in_path(&["bash.exe"]).filter(|p| {
+        let lower = p.to_lowercase();
+        !lower.contains("system32") && !lower.contains("windowsapps")
+    })
+}
+
+/// 枚举 WSL 发行版。
+///
+/// `wsl.exe -l -q` 输出 UTF-16LE（Windows 上部分 wsl.exe 版本如此），
+/// 先按 UTF-16 解，失败再按 UTF-8 解。输出每行一个发行版名。
+fn list_wsl_distros() -> Vec<String> {
+    let out = match std::process::Command::new("wsl.exe")
+        .args(["-l", "-q"])
+        .creation_flags_no_window()
+        .output()
+    {
+        Ok(o) if o.status.success() => o.stdout,
+        _ => return Vec::new(),
+    };
+
+    let text = decode_wsl_output(&out);
+    text.lines()
+        .map(|l| l.trim().trim_matches('\0').to_string())
+        // 过滤空行与提示行（"适用于 Linux 的 Windows 子系统..." 之类）
+        .filter(|l| !l.is_empty() && !l.contains(' ') )
+        .collect()
+}
+
+/// WSL 输出可能是 UTF-16LE 或 UTF-8，试两种。
+fn decode_wsl_output(bytes: &[u8]) -> String {
+    // UTF-16LE 的特征：ASCII 字符之间夹 0x00，且长度为偶数
+    let looks_utf16 = bytes.len() >= 4 && bytes.len() % 2 == 0 && bytes.iter().skip(1).step_by(2).filter(|&&b| b == 0).count() > bytes.len() / 4;
+    if looks_utf16 {
+        let units: Vec<u16> = bytes
+            .chunks_exact(2)
+            .map(|c| u16::from_le_bytes([c[0], c[1]]))
+            .collect();
+        String::from_utf16_lossy(&units)
+    } else {
+        String::from_utf8_lossy(bytes).to_string()
+    }
+}
+
+/// 把发行版名转成可用作 id 的字符串。
+fn sanitize_id(s: &str) -> String {
+    s.chars()
+        .map(|c| if c.is_ascii_alphanumeric() { c.to_ascii_lowercase() } else { '-' })
+        .collect()
+}
+
+/// 组装完整的命令行字符串。
+///
+/// Windows 的 `CreateProcessW` 在 `lpApplicationName = NULL` 时会自行解析命令行首段，
+/// 因此**路径含空格必须加引号**（`C:\Program Files\...` 不加引号会被切成
+/// `C:\Program` + 参数）。这里统一处理。
+pub fn build_command_line(profile: &ShellProfile) -> String {
+    let mut s = quote_if_needed(&profile.path);
+    for a in &profile.args {
+        s.push(' ');
+        s.push_str(&quote_if_needed(a));
+    }
+    // 启动后自动执行的命令：拼在参数之后，由 shell 自己解析
+    if !profile.cwd.is_empty() {
+        // cwd 由 CreateProcessW 的 lpCurrentDirectory 处理，不在这里拼
+    }
+    s
+}
+
+/// 需要时加引号。
+fn quote_if_needed(s: &str) -> String {
+    if s.contains(' ') && !s.starts_with('"') {
+        format!("\"{s}\"")
+    } else {
+        s.to_string()
+    }
+}
+
+/// 把 [`ShellProfile::env`] 转成 `CreateProcessW` 需要的键值对。
+pub fn env_pairs(env: &[EnvVar]) -> Vec<(String, String)> {
+    env.iter()
+        .filter(|e| !e.key.trim().is_empty())
+        .map(|e| (e.key.clone(), e.value.clone()))
+        .collect()
+}
+
+/// 为指定 Shell 生成 cwd 跟踪 hook 的注入参数。
+///
+/// 返回值是**额外的启动参数**，需要由调用方拼到命令行里。返回空表示该 Shell
+/// 无法通过参数注入（如 cmd），此时退化为不跟踪 cwd。
+///
+/// # 各 Shell 的注入方式与理由
+///
+/// - **PowerShell / pwsh**：`-NoExit -EncodedCommand <base64>`。脚本重定义 `prompt` 函数，
+///   在原有提示符前输出 OSC 7。用 `-NoExit` 是因为 `-Command` 默认会在脚本结束后
+///   退出 shell，而我们只要它执行一段初始化。**不覆盖用户已有的 profile**：
+///   `-Command` 在 profile 加载之后执行，属于叠加而非替换。
+///   用 `-EncodedCommand` 而不是 `-Command`：脚本里含**双引号**（`Write-Host "..."`），
+///   而 `CreateProcessW` 的命令行是单一字符串，引号必须按 MSVCRT 规则转义；
+///   直接拼 `-Command "script"` 时脚本内的 `"` 会提前终结外层引号，
+///   PowerShell 收到的是引号被剥掉的残缺脚本 → `Unexpected token '$('` 解析错误。
+///   `-EncodedCommand` 接收 base64（UTF-16LE），纯字母数字，与引号解析彻底无关。
+/// - **Git Bash**：`--init-file <文件>`。需要落一个临时脚本文件，因为 bash 的
+///   `--init-file` 只接受文件路径。脚本里用 `PROMPT_COMMAND` 输出 OSC 7。
+/// - **cmd**：无可靠注入点（`PROMPT` 环境变量不支持转义序列输出 ESC）。
+///   不跟踪，`cwd` 字段保持为空——这是能力边界，如实呈现而不糊弄。
+/// - **WSL**：与 bash 同理，但需要写到 WSL 内部路径，成本高。P0 不跟踪。
+pub fn cwd_hook_args(profile: &ShellProfile, hook_dir: &Path) -> (Vec<String>, Option<PathBuf>) {
+    match profile.kind.as_str() {
+        "powershell" => {
+            let script = powershell_prompt_hook();
+            (
+                vec![
+                    "-NoExit".to_string(),
+                    "-EncodedCommand".to_string(),
+                    encode_powershell_command(&script),
+                ],
+                None,
+            )
+        }
+        "bash" => {
+            let file = hook_dir.join("gitbash-cwd-hook.sh");
+            let content = bash_prompt_hook();
+            if std::fs::write(&file, content).is_err() {
+                return (Vec::new(), None);
+            }
+            (
+                vec!["--init-file".to_string(), file.to_string_lossy().to_string()],
+                Some(file),
+            )
+        }
+        // cmd / wsl：没有可靠注入点，不跟踪 cwd
+        _ => (Vec::new(), None),
+    }
+}
+
+/// 把脚本编码成 PowerShell `-EncodedCommand` 接受的 base64（UTF-16LE）。
+///
+/// PowerShell（5.1 与 7+）按 UTF-16LE 解码该参数；编码后不含空格与引号，
+/// 经过 [`build_command_line`] 的引用规则时不会被改写。
+fn encode_powershell_command(script: &str) -> String {
+    use base64::engine::general_purpose::STANDARD as B64;
+    use base64::Engine as _;
+
+    let utf16le: Vec<u8> = script
+        .encode_utf16()
+        .flat_map(u16::to_le_bytes)
+        .collect();
+    B64.encode(utf16le)
+}
+
+/// PowerShell 提示符 hook。
+///
+/// 关键点：
+/// - 用 `$ExecutionContext.SessionState.Path.CurrentLocation` 取当前路径
+/// - `file://` 后的主机名用 `$env:COMPUTERNAME`（本地会话无实际意义，但保持格式合法）
+/// - 路径里的反斜杠要转成 `/`，且 `file://` 三段式后不能有多余斜杠
+///   （否则部分解析器会把盘符吃掉）
+/// - 结尾用 BEL（`` `a ``）而不是 ST：BEL 兼容性最好，Windows Terminal 也用它
+///
+/// 注意 `$PWD` 在 PowerShell 里是 `PathInfo` 对象而非字符串，直接插值会得到
+/// `Microsoft.PowerShell.Core\FileSystem::C:\...` 这种非预期内容，因此用
+/// `ProviderPath` 显式取字符串路径。
+///
+/// # OSC 133 命令边界（命令历史的来源）
+///
+/// PowerShell 的提示符函数在「上一条命令执行完、即将显示新提示符」这个时刻被调用，
+/// 因此这里输出的是 **D（上一条结束）** 而不是 C（即将开始）。
+///
+/// 退出码取自 `$LASTEXITCODE`（原生命令）或 `$?`（cmdlet），两者语义不同：
+/// cmdlet 成功时 `$LASTEXITCODE` 可能保留着**更早那条原生命令**的值。
+/// 因此优先 `$LASTEXITCODE`（仅当其在本轮被设置过），否则用 `$?` 折算 0/1。
+/// 无法拿到 `$?` 的历史值 —— 它会被提示符函数自身的第一条语句覆盖，
+/// 所以这个取值必须在函数体**最开头**完成。
+fn powershell_prompt_hook() -> String {
+    [
+        "$__thingOrigPrompt = $function:prompt;",
+        "function global:prompt {",
+        // 必须最先取：后面任何一条语句都会刷新 $?
+        "  $__ok = $?;",
+        "  $__code = $LASTEXITCODE;",
+        "  if ($null -eq $__code) { $__code = if ($__ok) { 0 } else { 1 } }",
+        "  Write-Host -NoNewline \"$([char]27)]133;D;$__code$([char]7)\";",
+        "  $__p = $ExecutionContext.SessionState.Path.CurrentLocation;",
+        "  $__loc = $__p.ProviderPath;",
+        "  if ($__loc) {",
+        "    $__u = $__loc -replace '\\\\','/';",
+        "    if ($__u -notmatch '^/') { $__u = '/' + $__u }",
+        "    Write-Host -NoNewline \"$([char]27)]7;file://$env:COMPUTERNAME$__u$([char]7)\";",
+        "  }",
+        "  if ($__thingOrigPrompt) { & $__thingOrigPrompt } else { 'PS ' + (Get-Location) + '> ' }",
+        "}",
+    ]
+    .join(" ")
+}
+
+/// Git Bash 提示符 hook。
+///
+/// 用 `PROMPT_COMMAND` 而不是重定义 `PS1`：`PROMPT_COMMAND` 在每次绘制提示符前
+/// 执行，且不干扰用户自己设置的 `PS1`（重定义 PS1 会覆盖用户的样式）。
+///
+/// # 命令历史的来源（OSC 133 + 1337）
+///
+/// bash 没有「命令执行完」的钩子，但 `PROMPT_COMMAND` 恰好在同一时刻运行，
+/// 且此时 `$?` 仍是上一条命令的退出码（任何语句都会覆盖它，所以先存后读）。
+///
+/// 命令文本取自 `history 1`：它返回 `  123  <命令>`（前导空格 + 序号 + 空格）。
+/// 用 `history 1` 而不是 `BASH_COMMAND` 或 `$1`：
+/// - `BASH_COMMAND` 在 `PROMPT_COMMAND` 里指向的是 `PROMPT_COMMAND` 自身
+/// - `history 1` 给的是 **shell 最终执行的那条**，别名已展开、Tab 补全已生效
+///
+/// # 为什么 `history 1` 要去掉序号而不是按空格切
+///
+/// 序号与命令之间是**两个空格**分隔，但命令本身可能以空格开头
+/// （用户刻意用前导空格隐藏命令）。用 `sed 's/^ *[0-9]* *//'` 会连用户的
+/// 前导空格一起吃掉，导致「刻意隐藏的命令」变成普通命令被记进我们的历史 ——
+/// 这正好违背用户意图。因此用「剥掉前导空白 + 数字 + 一个空格」的精确匹配，
+/// 保留命令本身的任何前导空格... 但这样又与我们「前导空格不入库」的规则冲突。
+///
+/// 结论：**保留 shell 的原样输出交给 Rust 侧判断** —— hook 只管如实上报，
+/// 「前导空格要不要记」是策略，由 `History::record` 统一决定（那里也是
+/// `HISTCONTROL=ignorespace` 的落点）。hook 里做策略判断会散落成两处规则。
+fn bash_prompt_hook() -> String {
+    [
+        "# Thing 终端：shell integration hook（由终端模块注入，可安全删除）",
+        "# 输出 OSC 7（cwd）与 OSC 133/1337（命令边界与命令文本），",
+        "# 供文件管理器、cwd 继承与命令历史使用",
+        "__thing_osc7() {",
+        "  local __code=$?",
+        "  printf '\\033]133;D;%s\\007' \"$__code\"",
+        // 取最后一条历史：`history 1` 返回 `  123  <命令>`
+        // （前导空格 + 序号 + 两个空格 + 命令本体）。
+        //
+        // 用 `read -r` 拆而不是参数展开剥前缀：`${x#"$y"}` 这种嵌套引号在
+        // Rust 字符串字面量里要转义到难以阅读，而且 `history` 的输出里
+        // 命令本体可能**含空格**，参数展开必须保留剩余全部内容。
+        // `read -r _ _ __cmd` 的语义恰好是「跳过前两段空白分隔的字段，
+        // 其余原样（含内部空格）收进 __cmd」—— 正是所需，且引号最少。
+        "  local __cmd=''",
+        "  read -r _ _ __cmd <<< \"$(HISTTIMEFORMAT= builtin history 1)\"",
+        "  printf '\\033]1337;Cmd=%s\\007' \"$__cmd\"",
+        "  printf '\\033]7;file://%s%s\\007' \"${HOSTNAME:-localhost}\" \"$PWD\"",
+        "}",
+        "if [[ -n \"$PROMPT_COMMAND\" ]]; then",
+        "  PROMPT_COMMAND=\"__thing_osc7; $PROMPT_COMMAND\"",
+        "else",
+        "  PROMPT_COMMAND=\"__thing_osc7\"",
+        "fi",
+        "",
+    ]
+    .join("\n")
+}
+
+/// 清屏命令（按 Shell 类型区分）。
+pub fn clear_command(kind: &str) -> &'static str {
+    match kind {
+        "cmd" => "cls\r",
+        "powershell" => "Clear-Host\r",
+        // bash / wsl：`clear` 是 ANSI 序列，也可直接发 \x1bc 复位
+        _ => "clear\r",
+    }
+}
+
+use std::os::windows::process::CommandExt;
+
+/// `Command::creation_flags` 的糖：隐藏控制台窗口。
+trait NoWindow {
+    fn creation_flags_no_window(&mut self) -> &mut Self;
+}
+
+impl NoWindow for std::process::Command {
+    fn creation_flags_no_window(&mut self) -> &mut Self {
+        // CREATE_NO_WINDOW = 0x08000000，避免探测 wsl 时闪一个黑框
+        const CREATE_NO_WINDOW: u32 = 0x0800_0000;
+        self.creation_flags(CREATE_NO_WINDOW)
+    }
+}
+
+/// 解析终端输出流中的 OSC 7（cwd）、OSC 0/2（标题）与 OSC 133（命令边界）序列。
+///
+/// 输入是原始字节流的一个片段，可能**不完整**（序列被切在中间）。因此本函数
+/// 采用「窗口扫描 + 保留尾部」策略：
+/// - 完整解析到的序列被消费掉
+/// - 未闭合的序列从起始 ESC 开始保留到缓冲区末尾，等下一批数据拼接
+///
+/// 返回 [`ParsedSequences`]，而不是继续扩元组 —— 再加一类序列就要变成 4 元组，
+/// 调用点会退化成一串 `let (_, _, x, _) = ...`，加字段时无从判断哪里该改。
+pub fn parse_control_sequences(data: &[u8]) -> ParsedSequences {
+    let mut out = ParsedSequences {
+        consumed: data.len(),
+        cwds: Vec::new(),
+        titles: Vec::new(),
+        marks: Vec::new(),
+    };
+    let mut i = 0usize;
+    // 最后一个「未消费但可能是序列开头」的位置
+    let mut safe_end = data.len();
+
+    while i < data.len() {
+        if data[i] != 0x1b {
+            i += 1;
+            continue;
+        }
+        // ESC ] ... 起点
+        if i + 1 >= data.len() {
+            safe_end = i;
+            break;
+        }
+        if data[i + 1] != b']' {
+            i += 1;
+            continue;
+        }
+        // 找终止符：BEL(0x07) 或 ST(ESC \)
+        let start = i + 2;
+        let mut j = start;
+        let mut terminated = false;
+        while j < data.len() {
+            if data[j] == 0x07 {
+                terminated = true;
+                break;
+            }
+            if data[j] == 0x1b && j + 1 < data.len() && data[j + 1] == b'\\' {
+                terminated = true;
+                break;
+            }
+            j += 1;
+        }
+        if !terminated {
+            // 序列被切断了，从 ESC 位置保留到末尾
+            safe_end = i;
+            break;
+        }
+
+        let body_end = j;
+        let payload = String::from_utf8_lossy(&data[start..body_end]).to_string();
+        // 消费的长度：ESC ] body 终止符(BEL 1 字节 / ST 2 字节)
+        let consumed_end = if data[body_end] == 0x07 { body_end + 1 } else { body_end + 2 };
+        i = consumed_end;
+
+        if let Some(rest) = payload.strip_prefix("7;") {
+            if let Some(cwd) = parse_osc7(rest) {
+                out.cwds.push(cwd);
+            }
+        } else if let Some(rest) = payload.strip_prefix("0;").or_else(|| payload.strip_prefix("2;")) {
+            if !rest.trim().is_empty() {
+                out.titles.push(rest.to_string());
+            }
+        } else if payload.starts_with("133;") {
+            if let Some(mark) = parse_osc133(&payload) {
+                out.marks.push(mark);
+            }
+        }
+    }
+
+    // 消费掉完整解析过的部分，保留尾部残留
+    let consumed = if safe_end < data.len() && i <= safe_end {
+        safe_end.max(i)
+    } else {
+        i.min(data.len())
+    };
+    out.consumed = consumed;
+    out
+}
+
+/// OSC 133 命令边界标记（shell integration 协议）。
+///
+/// # 为什么需要它才能记录命令历史
+///
+/// 终端应用要记录「用户执行了什么命令」，直觉做法是「把用户在键盘上敲的字符
+/// 攒起来，遇到回车就存」。这条路**必然出错**：
+/// - 退格、方向键、`Ctrl+U` 都会改写已敲内容，前端拿到的是一串 `\x7f` 与 `\x1b[D`
+/// - Tab 补全的结果是由 shell 生成的，前端根本不知道补全成了什么
+/// - 别名（`ll` → `ls -al`）、历史展开（`!!`）同理
+///
+/// OSC 133 由 **shell 自己**在提示符处输出，因此上述问题全部不存在 ——
+/// 它报告的是 shell 最终真正执行的那条命令。
+///
+/// # 协议形态
+///
+/// - `OSC 133 ; A` — 提示符开始（准备接收输入）
+/// - `OSC 133 ; B` — 输入区开始
+/// - `OSC 133 ; C` — 命令开始执行
+/// - `OSC 133 ; D ; <exit_code>` — 命令结束，可选携带退出码
+/// - `OSC 133 ; D` — 命令结束，无退出码
+///
+/// 本模块只关心 `D`：它标志着「上一条命令执行完毕」，此刻可以上报。
+///
+/// # 关于「命令文本从哪来」
+///
+/// OSC 133 的 `C` 标记**不携带命令文本**（协议本身只管边界，不管内容）。
+/// 要拿到文本，标准做法是 shell hook 里额外输出一个自定义序列
+/// （如 `OSC 633 ; E ; <cmd>`，VS Code 用这个）。这里沿用同一思路，
+/// 用 `OSC 1337 ; Cmd=<cmd>`（见 `shell_integration_script`）。
+///
+/// 把「命令文本」与「边界」分开传输，是因为前者需要 shell 侧配合转义
+/// （命令里可能含 `\a`、`\x1b`），而边界只要一个字符，两者可靠性诉求不同 ——
+/// 混在一个序列里会让「命令含 BEL 字符」直接破坏边界解析。
+#[derive(Debug, Clone, PartialEq, Eq)]
+pub enum CommandMark {
+    /// 命令开始执行（`C`）
+    Start,
+    /// 命令结束（`D`），携带退出码（若有）
+    End(Option<i32>),
+    /// 即将执行的命令文本（自定义序列，见上）
+    Command(String),
+}
+
+/// 解析 OSC 133 / 1337 的载荷（**不含** `OSC ` 前缀）。
+fn parse_osc133(payload: &str) -> Option<CommandMark> {
+    // 自定义序列必须**先**判断：`1337;Cmd=...` 与 `133;...` 共享 `133` 前缀，
+    // 若先走 `strip_prefix("133;")`，`1337;` 因第 4 字符是 `7` 而非 `;` 而失配，
+    // 结果是「命令文本永远收不到，且不报错」—— 静默失效最难查。
+    if let Some(cmd) = payload.strip_prefix("1337;Cmd=") {
+        return Some(CommandMark::Command(cmd.to_string()));
+    }
+
+    let rest = payload.strip_prefix("133;")?;
+
+    match rest.chars().next()? {
+        'C' => Some(CommandMark::Start),
+        'D' => {
+            // `D` / `D;0` / `D;1` —— 分号后的部分是退出码
+            let code = rest
+                .strip_prefix("D;")
+                .and_then(|s| s.trim().split(';').next())
+                .filter(|s| !s.is_empty())
+                .and_then(|s| s.parse::<i32>().ok());
+            Some(CommandMark::End(code))
+        }
+        // A / B 与历史记录无关（提示符与输入区起止），显式忽略而非报错：
+        // 它们由同一个 hook 输出，忽略掉比让调用方遍历时到处判类型更省事。
+        _ => None,
+    }
+}
+
+/// `parse_control_sequences` 的结果。
+#[derive(Debug, Clone, Default)]
+pub struct ParsedSequences {
+    /// 已完整解析、可从缓冲区丢弃的字节数
+    pub consumed: usize,
+    /// OSC 7 上报的 cwd（按出现顺序）
+    pub cwds: Vec<String>,
+    /// OSC 0/2 上报的标题
+    pub titles: Vec<String>,
+    /// OSC 133 命令边界标记（按出现顺序）
+    pub marks: Vec<CommandMark>,
+}
+
+/// 从 OSC 7 的载荷解析出本地路径。
+///
+/// 载荷形如 `file://HOST/C:/Users/foo` 或 `file:///home/user`。
+/// Windows 上要处理 `file://HOST/C:/...` → `C:\...` 的还原：
+/// 去掉开头的 `/`，把 `/` 换回 `\`，并把 `C:` 前面的多余斜杠去掉。
+fn parse_osc7(payload: &str) -> Option<String> {
+    let rest = payload.strip_prefix("file://").unwrap_or(payload);
+    // 跳过主机名（第一个 '/' 之前的部分）
+    let path_part = match rest.find('/') {
+        Some(idx) => &rest[idx..],
+        None => rest,
+    };
+    if path_part.is_empty() {
+        return None;
+    }
+    let decoded = percent_decode(path_part);
+    // Windows 盘符形态：/C:/Users → C:\Users
+    let normalized = if decoded.len() >= 3
+        && decoded.starts_with('/')
+        && decoded.as_bytes()[2] == b':'
+    {
+        decoded[1..].replace('/', "\\")
+    } else {
+        decoded.replace('/', "\\")
+    };
+    Some(normalized)
+}
+
+/// 极简百分号解码（OSC 7 里的路径可能含 `%20` 等）。
+fn percent_decode(s: &str) -> String {
+    let bytes = s.as_bytes();
+    let mut out = Vec::with_capacity(bytes.len());
+    let mut i = 0;
+    while i < bytes.len() {
+        if bytes[i] == b'%' && i + 2 < bytes.len() {
+            let hex = std::str::from_utf8(&bytes[i + 1..i + 3]).ok();
+            if let Some(v) = hex.and_then(|h| u8::from_str_radix(h, 16).ok()) {
+                out.push(v);
+                i += 3;
+                continue;
+            }
+        }
+        out.push(bytes[i]);
+        i += 1;
+    }
+    String::from_utf8_lossy(&out).to_string()
+}
+
+/// 默认工作目录：优先用户主目录，其次当前目录。
+pub fn default_cwd() -> String {
+    dirs::home_dir()
+        .map(|p| p.to_string_lossy().to_string())
+        .unwrap_or_else(|| ".".to_string())
+}
+
+/// 校验用户给定的工作目录是否可用（不存在则退回默认，不报错阻断会话创建）。
+pub fn resolve_cwd(requested: &str) -> Option<String> {
+    let r = requested.trim();
+    if r.is_empty() {
+        return Some(default_cwd());
+    }
+    if Path::new(r).is_dir() {
+        Some(r.to_string())
+    } else {
+        crate::logger::log_warn(
+            "terminal",
+            &format!("工作目录 {r} 不存在，退回默认目录"),
+        );
+        Some(default_cwd())
+    }
+}

src-tauri/src/terminal/ssh/forward.rs

@@ -0,0 +1,475 @@
+//! 端口转发引擎（P2）：`-L` 本地转发与 `-R` 远程转发。
+//!
+//! # 两个方向的管线
+//!
+//! **-L（本地转发）**：本机开 `TcpListener`，每来一条连接就在 SSH 会话上开一条
+//! `direct-tcpip` 通道指向目标，然后 `copy_bidirectional` 对拷：
+//!
+//! ```text
+//! 本地应用 ──TCP──▶ TcpListener ──▶ direct-tcpip 通道 ──▶ 服务器 ──▶ target_host:port
+//! ```
+//!
+//! **-R（远程转发）**：通过 `handle.tcpip_forward()` 请求**服务器**监听；
+//! 服务器侧来连接时，russh 在 Handler 的
+//! `server_channel_open_forwarded_tcpip` 回调里把通道交给我们，由我们连到目标：
+//!
+//! ```text
+//! 远端访问者 ──▶ 服务器:bind_port ──forwarded-tcpip 通道──▶ 本机 ──TCP──▶ target_host:port
+//! ```
+//!
+//! # 生命周期与所有权
+//!
+//! 转发规则挂在**会话**上（不持久化）：会话关闭 = 全部转发消失，
+//! 这与 ssh 客户端的直觉一致（连接断开转发即失效）。
+//! `-L` 的监听任务句柄存进注册表，remove 时 `abort()` 释放端口；
+//! `-R` 无本地任务（通道由 Handler 回调驱动），remove 时发 `cancel_tcpip_forward`。
+//!
+//! # 安全默认
+//!
+//! russh 对 `forwarded-tcpip` 通道的默认处理是**全部接受**——意味着只要服务器
+//! 愿意，任何一条 forwarded 通道都会被接受并挂起等数据。本模块的 Handler
+//! 覆写为**白名单匹配**：只有注册过的 `-R` 规则（按监听端口）才放行，其余拒绝。
+//!
+//! # 已知取舍
+//!
+//! - `-D`（SOCKS5 动态转发）不在本模块：需要实现 SOCKS5 握手协议，独立成项再做；
+//! - 转发规则不持久化：每次连接后按需添加。若后续要「主机级自动转发」，
+//!   在主机配置里存模板并在会话 Established 后逐条调 `add_local`/`add_remote` 即可。
+use std::collections::HashMap;
+use std::sync::{Mutex, OnceLock};
+
+use serde::Serialize;
+use specta::Type;
+
+use super::{Channel, Msg, SshInner};
+use super::super::session::now_millis;
+
+/// 转发规则视图（发往前端）。
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct ForwardView {
+    pub id: String,
+    /// `"local"`（-L）| `"remote"`（-R）
+    pub kind: String,
+    /// -L：本机监听地址；-R：**服务器端**监听地址
+    pub bind_host: String,
+    pub bind_port: u16,
+    /// -L：从**服务器**视角要连接的目标；-R：从**服务器**视角连接的目标
+    pub target_host: String,
+    pub target_port: u16,
+    /// `"active"` | `"error"`
+    pub status: String,
+    /// 人类可读状态（实际监听地址 / 错误原因）
+    pub detail: String,
+}
+
+/// 注册表条目。
+pub(crate) struct ForwardEntry {
+    pub rule: ForwardView,
+    /// `-L` 的监听循环任务（remove 时 abort 以释放端口）；`-R` 为 None。
+    pub task: Option<tauri::async_runtime::JoinHandle<()>>,
+}
+
+/// 会话 → (转发 id → 条目)。
+///
+/// 全局静态表的理由与 `PENDING_HOST_KEYS` 相同：转发管道任务的 spawn 点
+/// 分散在命令层与 Handler 回调里，拿不到统一的会话对象引用。
+/// 键直接用 `String`（`SessionId` 是它的别名，此处不依赖别名语义）。
+static REGISTRY: OnceLock<Mutex<HashMap<String, HashMap<String, ForwardEntry>>>> =
+    OnceLock::new();
+
+fn registry() -> &'static Mutex<HashMap<String, HashMap<String, ForwardEntry>>> {
+    REGISTRY.get_or_init(|| Mutex::new(HashMap::new()))
+}
+
+fn next_id() -> String {
+    format!("fw{}", now_millis())
+}
+
+/// 列出某会话的全部转发规则。
+pub fn list_for_session(session_id: &str) -> Vec<ForwardView> {
+    registry()
+        .lock()
+        .unwrap_or_else(|e| e.into_inner())
+        .get(session_id)
+        .map(|m| m.values().map(|e| e.rule.clone()).collect())
+        .unwrap_or_default()
+}
+
+/// Handler 回调用：按监听端口做**全局**匹配 `-R` 规则。
+///
+/// # 为什么是全局而不是按会话
+///
+/// P2 连接复用之后，入站的 forwarded-tcpip 通道总是从**连接级** Handler
+/// 回调进来，而该 Handler 的 session_id 属于**第一个**建立连接的会话；
+/// 第二个会话添加的 -R 规则若只查自己的 session_id 就永远匹配不上。
+/// 端口的全局唯一性在 `add_remote` 时已强制（重复绑定端口被拒绝），
+/// 因此这里按端口全局查找是安全的。
+///
+/// 返回 `(规则所属会话 id, 目标主机, 目标端口)`；无匹配 = 服务器来了一条
+/// 没有对应规则的转发连接，调用方应拒绝。
+pub(crate) fn match_remote_rule(connected_port: u32) -> Option<(String, String, u16)> {
+    let reg = registry().lock().unwrap_or_else(|e| e.into_inner());
+    for entries in reg.values() {
+        for e in entries.values() {
+            if e.rule.kind == "remote"
+                && e.rule.status == "active"
+                && e.rule.bind_port as u32 == connected_port
+            {
+                return Some((
+                    e.rule.id.clone(),
+                    e.rule.target_host.clone(),
+                    e.rule.target_port,
+                ));
+            }
+        }
+    }
+    None
+}
+
+/// 检查远程监听端口是否已被（任何会话的）规则占用。
+///
+/// 共享连接下两个会话各自 -R 同一端口会让路由产生歧义，必须在添加时拒绝。
+pub(crate) fn remote_port_taken(bind_port: u16) -> bool {
+    let reg = registry().lock().unwrap_or_else(|e| e.into_inner());
+    reg.values().any(|entries| {
+        entries.values().any(|e| {
+            e.rule.kind == "remote" && e.rule.status == "active" && e.rule.bind_port == bind_port
+        })
+    })
+}
+
+/// 标记规则出错（如 `-L` 监听套接字意外失效）。
+fn mark_error(session_id: &str, forward_id: &str, detail: String) {
+    if let Some(e) = registry()
+        .lock()
+        .unwrap_or_else(|x| x.into_inner())
+        .get_mut(session_id)
+        .and_then(|m| m.get_mut(forward_id))
+    {
+        e.rule.status = "error".to_string();
+        e.rule.detail = detail;
+    }
+}
+
+/// 添加 `-L` 本地转发。
+///
+/// 先 `bind` 再 spawn：端口被占用时**立刻**报错返回（fail-fast），
+/// 而不是存了一条永远没有流量的死规则。
+pub async fn add_local(
+    session_id: &str,
+    inner: std::sync::Arc<SshInner>,
+    bind_host: &str,
+    bind_port: u16,
+    target_host: &str,
+    target_port: u16,
+) -> Result<ForwardView, String> {
+    let listener = tokio::net::TcpListener::bind((bind_host, bind_port))
+        .await
+        .map_err(|e| {
+            format!(
+                "监听 {bind_host}:{bind_port} 失败: {e}。常见原因：端口已被其他程序占用。"
+            )
+        })?;
+    let actual = listener
+        .local_addr()
+        .map(|a| a.to_string())
+        .unwrap_or_else(|_| format!("{bind_host}:{bind_port}"));
+
+    let view = ForwardView {
+        id: next_id(),
+        kind: "local".to_string(),
+        bind_host: bind_host.to_string(),
+        bind_port,
+        target_host: target_host.to_string(),
+        target_port,
+        status: "active".to_string(),
+        detail: format!("本机监听 {actual}"),
+    };
+
+    let sid = session_id.to_string();
+    let target = target_host.to_string();
+    let fw_id = view.id.clone();
+    let task = tauri::async_runtime::spawn(async move {
+        local_accept_loop(&sid, &fw_id, listener, inner, &target, target_port).await;
+    });
+
+    registry()
+        .lock()
+        .unwrap_or_else(|e| e.into_inner())
+        .entry(session_id.to_string())
+        .or_default()
+        .insert(
+            view.id.clone(),
+            ForwardEntry {
+                rule: view.clone(),
+                task: Some(task),
+            },
+        );
+    Ok(view)
+}
+
+/// `-L` 的接受循环：每条连接开一条独立 `direct-tcpip` 通道。
+///
+/// 通道开启用 sftp 同款的 `spawn_blocking + block_on` 模式借出
+/// `Mutex` 里的 `Handle`（不可克隆、不能跨 `.await` 持锁）——
+/// 每条连接只占用阻塞线程一个 RTT，数据对拷是纯异步的。
+async fn local_accept_loop(
+    session_id: &str,
+    forward_id: &str,
+    listener: tokio::net::TcpListener,
+    inner: std::sync::Arc<SshInner>,
+    target_host: &str,
+    target_port: u16,
+) {
+    loop {
+        let accepted = listener.accept().await;
+        let (tcp, peer) = match accepted {
+            Ok(v) => v,
+            Err(e) => {
+                // 监听套接字级错误（极少见，如句柄耗尽）：标记错误并退出循环，
+                // 端口随即释放，前端列表里能看到 status 变为 error
+                mark_error(
+                    session_id,
+                    forward_id,
+                    format!("监听异常，转发已停止: {e}"),
+                );
+                return;
+            }
+        };
+
+        let inner = inner.clone();
+        let target = target_host.to_string();
+        let peer_ip = peer.ip().to_string();
+        let peer_port = peer.port();
+        let target_port_u32 = target_port as u32;
+        tauri::async_runtime::spawn(async move {
+            match open_direct_tcpip(&inner, &target, target_port_u32, &peer_ip, peer_port).await {
+                Ok(channel) => {
+                    // 通道转成流后与本地 TCP 对拷；任一侧关闭即结束
+                    let mut ch = channel.into_stream();
+                    let mut tcp = tcp;
+                    if let Err(e) = tokio::io::copy_bidirectional(&mut ch, &mut tcp).await {
+                        crate::logger::log_warn(
+                            "terminal",
+                            &format!("转发数据管道中断（{peer}）: {e}"),
+                        );
+                    }
+                }
+                Err(e) => {
+                    // 开通道失败：直接 drop 本地 TCP，让发起方立刻看到连接被断开，
+                    // 而不是挂死等超时
+                    crate::logger::log_warn(
+                        "terminal",
+                        &format!("转发开通道失败（{peer} → {target}:{target_port_u32}）: {e}"),
+                    );
+                }
+            }
+        });
+    }
+}
+
+/// 在 SSH 会话上开一条 `direct-tcpip` 通道（sftp 同款的借锁模式）。
+async fn open_direct_tcpip(
+    inner: &std::sync::Arc<SshInner>,
+    host: &str,
+    port: u32,
+    originator_ip: &str,
+    originator_port: u16,
+) -> Result<Channel<Msg>, String> {
+    let inner = inner.clone();
+    let host = host.to_string();
+    let originator_ip = originator_ip.to_string();
+    tokio::task::spawn_blocking(move || {
+        let rt = tokio::runtime::Handle::current();
+        rt.block_on(async {
+            // 槽位为 tokio Mutex（P2 连接复用）：锁的获取也放进 block_on
+            let guard = inner.handle.lock().await;
+            let handle = guard
+                .as_ref()
+                .ok_or_else(|| "SSH 会话已断开，转发不可用".to_string())?;
+            handle
+                .channel_open_direct_tcpip(host, port, originator_ip, originator_port as u32)
+                .await
+                .map_err(|e| format!("打开转发通道失败: {e}"))
+        })
+    })
+    .await
+    .map_err(|e| format!("转发任务异常: {e}"))?
+}
+
+/// 添加 `-R` 远程转发。
+///
+/// 请求**服务器**在 `bind_host:bind_port` 监听；后续连接经
+/// `server_channel_open_forwarded_tcpip` 回调回到本机（见 Handler 覆写）。
+pub async fn add_remote(
+    session_id: &str,
+    inner: &std::sync::Arc<SshInner>,
+    bind_host: &str,
+    bind_port: u16,
+    target_host: &str,
+    target_port: u16,
+) -> Result<ForwardView, String> {
+    // 共享连接下监听端口是**全局**资源：另一个会话已用同一端口时，
+    // 入站路由无法区分归属，必须在添加时拒绝而不是静默错乱
+    if remote_port_taken(bind_port) {
+        return Err(format!(
+            "远程监听端口 {bind_port} 已被占用（可能是其他会话的远程转发）"
+        ));
+    }
+    request_remote_listen(inner, bind_host, bind_port).await?;
+
+    let view = ForwardView {
+        id: next_id(),
+        kind: "remote".to_string(),
+        bind_host: bind_host.to_string(),
+        bind_port,
+        target_host: target_host.to_string(),
+        target_port,
+        status: "active".to_string(),
+        detail: format!("服务器监听 {bind_host}:{bind_port}"),
+    };
+
+    registry()
+        .lock()
+        .unwrap_or_else(|e| e.into_inner())
+        .entry(session_id.to_string())
+        .or_default()
+        .insert(
+            view.id.clone(),
+            ForwardEntry {
+                rule: view.clone(),
+                task: None,
+            },
+        );
+    Ok(view)
+}
+
+/// 请求服务器开始监听（`tcpip_forward`）。
+async fn request_remote_listen(
+    inner: &std::sync::Arc<SshInner>,
+    bind_host: &str,
+    bind_port: u16,
+) -> Result<(), String> {
+    let inner = inner.clone();
+    let host = bind_host.to_string();
+    tokio::task::spawn_blocking(move || {
+        let rt = tokio::runtime::Handle::current();
+        rt.block_on(async {
+            // 槽位为 tokio Mutex（P2 连接复用）：锁的获取也放进 block_on
+            let guard = inner.handle.lock().await;
+            let handle = guard
+                .as_ref()
+                .ok_or_else(|| "SSH 会话已断开，无法建立远程转发".to_string())?;
+            // 返回值是服务器确认的绑定端口（u32）；我们只关心成败
+            handle
+                .tcpip_forward(&host, bind_port as u32)
+                .await
+                .map(|_| ())
+                .map_err(|e| {
+                    format!(
+                        "服务器拒绝在 {host}:{bind_port} 监听: {e}。\
+                         常见原因：端口已被占用、或服务器禁用了 TCP 转发（AllowTcpForwarding no）。"
+                    )
+                })
+        })
+    })
+    .await
+    .map_err(|e| format!("转发任务异常: {e}"))?
+}
+
+/// 删除一条转发。
+///
+/// `-L`：abort 监听任务（端口立即释放）；`-R`：向服务器发 `cancel_tcpip_forward`
+/// （服务器停止监听；已建立的连接自然消亡）。
+pub async fn remove(
+    inner: &std::sync::Arc<SshInner>,
+    session_id: &str,
+    forward_id: &str,
+) -> Result<(), String> {
+    let removed = registry()
+        .lock()
+        .unwrap_or_else(|e| e.into_inner())
+        .get_mut(session_id)
+        .and_then(|m| m.remove(forward_id));
+    let Some(entry) = removed else {
+        return Err(format!("转发规则 {forward_id} 不存在"));
+    };
+
+    if let Some(task) = entry.task {
+        task.abort(); // `-L`：监听循环停止，端口释放
+    } else if entry.rule.kind == "remote" {
+        // `-R`：取消服务器端监听。失败不阻断（会话断开时服务器也会清理），
+        // 但要记日志——否则「删了还在监听」的问题无从排查
+        let inner = inner.clone();
+        let host = entry.rule.bind_host.clone();
+        let port = entry.rule.bind_port;
+        let r = tokio::task::spawn_blocking(move || {
+            let rt = tokio::runtime::Handle::current();
+            rt.block_on(async {
+                let guard = inner.handle.lock().await;
+                let Some(handle) = guard.as_ref() else {
+                    return Ok(());
+                };
+                handle.cancel_tcpip_forward(&host, port as u32).await
+            })
+        })
+        .await
+        .map_err(|e| format!("转发任务异常: {e}"));
+        match r {
+            Ok(Ok(())) => {}
+            Ok(Err(e)) => crate::logger::log_warn(
+                "terminal",
+                &format!("取消远程转发 {}:{} 失败（会话断开时会自动清理）: {e}", entry.rule.bind_host, port),
+            ),
+            Err(e) => crate::logger::log_warn("terminal", &format!("取消远程转发任务异常: {e}")),
+        }
+    }
+    Ok(())
+}
+
+/// 会话关闭时的清理：abort 全部 `-L` 任务并清空条目。
+///
+/// `-R` 不需要显式 cancel：SSH 会话断开时服务器会停掉该会话的所有监听。
+pub fn cleanup_session(session_id: &str) {
+    if let Some(m) = registry()
+        .lock()
+        .unwrap_or_else(|e| e.into_inner())
+        .remove(session_id)
+    {
+        for (_, entry) in m {
+            if let Some(task) = entry.task {
+                task.abort();
+            }
+        }
+    }
+}
+
+/// Handler 回调里的管道任务：`forwarded-tcpip` 通道 → 本机目标。
+///
+/// 供 `ssh/mod.rs` 的 `server_channel_open_forwarded_tcpip` 覆写调用。
+pub(crate) fn pipe_forwarded_channel(
+    channel: Channel<Msg>,
+    target_host: String,
+    target_port: u16,
+) {
+    tauri::async_runtime::spawn(async move {
+        match tokio::net::TcpStream::connect((target_host.as_str(), target_port)).await {
+            Ok(mut tcp) => {
+                let mut ch = channel.into_stream();
+                if let Err(e) = tokio::io::copy_bidirectional(&mut ch, &mut tcp).await {
+                    crate::logger::log_warn(
+                        "terminal",
+                        &format!("远程转发管道中断（{target_host}:{target_port}）: {e}"),
+                    );
+                }
+            }
+            Err(e) => {
+                crate::logger::log_warn(
+                    "terminal",
+                    &format!("远程转发目标 {target_host}:{target_port} 连接失败: {e}"),
+                );
+            }
+        }
+    });
+}

src-tauri/src/terminal/ssh/hostkey.rs

@@ -0,0 +1,405 @@
+//! 主机密钥库（known_hosts）与指纹校验。
+//!
+//! # 为什么自己实现而不是复用 `~/.ssh/known_hosts`
+//!
+//! 三个理由：
+//! 1. **写入冲突**：OpenSSH 的 `known_hosts` 是追加式文本文件，多进程并发写入
+//!    会互相破坏（这也是为什么 OpenSSH 自己做文件锁）。我们的应用与用户的
+//!    `ssh` 命令行会同时改它。
+//! 2. **无法表达「拒绝」**：用户在我们的 UI 上选了「不接受」时，OpenSSH 格式里
+//!    没有对应的记录形态（只能不写，等于下次又问）。
+//! 3. **需要附加信息**：我们要记「首次见到时间」「上次确认时间」「变更历史」
+//!    以便审计与提示，这些在 OpenSSH 格式里无处安放。
+//!
+//! 因此用自有 JSON 存储，同时**提供导入/导出到 OpenSSH 格式**的能力，
+//! 让用户的既有记录可以迁移，且不与命令行工具形成两套互不相知的信任库。
+//!
+//! # 安全姿态
+//!
+//! - 指纹变更**默认阻断**（不是警告）：TOFU 疲劳是 MITM 的主要入口，
+//!   把它做成一个需要主动点开的红色阻断界面，是这里唯一有效的防御。
+//! - 超时/未响应 = 拒绝（安全侧默认值）。
+//! - known_hosts 是**非机密**数据，明文 JSON 存储、可导出、可人工审阅。
+
+use std::collections::BTreeMap;
+use std::path::PathBuf;
+use std::sync::{Mutex, OnceLock};
+
+use serde::{Deserialize, Serialize};
+use specta::Type;
+
+/// 单条已知主机记录。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct KnownHost {
+    /// 主机地址（不含端口，端口单独存）
+    pub host: String,
+    pub port: u16,
+    /// 密钥算法（如 "ssh-ed25519" / "rsa-sha2-512" / "ssh-rsa"）
+    ///
+    /// 同一主机可能有多种算法的密钥（服务器同时提供 ed25519 与 rsa），
+    /// 因此按 (host, port, key_type) 三元组建索引，而不是 (host, port)。
+    pub key_type: String,
+    /// SHA256 指纹（OpenSSH 展示格式，如 `SHA256:Abc...`）
+    pub fingerprint: String,
+    /// 首次见到时间（RFC3339）
+    pub first_seen: String,
+    /// 最近一次确认时间（RFC3339）
+    pub last_confirmed: String,
+    /// 指纹变更历史（最新在前）。
+    ///
+    /// 保留历史的价值：用户点「接受新指纹」之后，回看历史能判断这到底是
+    /// 服务器重装（一次性变更）还是持续的中间人（每次都变）。
+    pub history: Vec<FingerprintChange>,
+}
+
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct FingerprintChange {
+    /// 被替换掉的旧指纹
+    pub old_fingerprint: String,
+    /// 变更发生时间
+    pub changed_at: String,
+    /// 用户是否接受了这次变更
+    pub accepted: bool,
+}
+
+impl Default for FingerprintChange {
+    fn default() -> Self {
+        Self {
+            old_fingerprint: String::new(),
+            changed_at: String::new(),
+            accepted: false,
+        }
+    }
+}
+
+impl Default for KnownHost {
+    fn default() -> Self {
+        Self {
+            host: String::new(),
+            port: 22,
+            key_type: String::new(),
+            fingerprint: String::new(),
+            first_seen: String::new(),
+            last_confirmed: String::new(),
+            history: Vec::new(),
+        }
+    }
+}
+
+/// 校验结论。
+#[derive(Debug, Clone)]
+pub enum Verdict {
+    /// 指纹与记录一致 → 可信，直接放行
+    Trusted,
+    /// 该主机对此算法**没有记录** → 首次连接，需用户确认
+    Unknown,
+    /// 有记录但指纹不同 → 高危，需用户显式确认
+    Changed { previous: String },
+}
+
+/// 主机密钥库（内存缓存 + 文件持久化）。
+struct Store {
+    path: PathBuf,
+    /// `(host, port, key_type)` → 记录
+    entries: BTreeMap<String, KnownHost>,
+    /// 是否需要落盘
+    dirty: bool,
+}
+
+static STORE: OnceLock<Mutex<Option<Store>>> = OnceLock::new();
+
+fn store_slot() -> &'static Mutex<Option<Store>> {
+    STORE.get_or_init(|| Mutex::new(None))
+}
+
+/// 初始化存储路径（应用启动时调用一次）。
+pub fn init(path: PathBuf) {
+    let mut slot = store_slot().lock().unwrap_or_else(|e| e.into_inner());
+    if slot.is_some() {
+        return;
+    }
+    let entries = match std::fs::read_to_string(&path) {
+        Ok(raw) => match serde_json::from_str::<Vec<KnownHost>>(&raw) {
+            Ok(list) => list
+                .into_iter()
+                .map(|h| (key_of(&h.host, h.port, &h.key_type), h))
+                .collect(),
+            Err(e) => {
+                crate::logger::log_error(
+                    "terminal",
+                    &format!("known_hosts 解析失败（将以空库启动）: {e}"),
+                );
+                BTreeMap::new()
+            }
+        },
+        Err(_) => BTreeMap::new(),
+    };
+    *slot = Some(Store {
+        path,
+        entries,
+        dirty: false,
+    });
+}
+
+fn key_of(host: &str, port: u16, key_type: &str) -> String {
+    format!("{host}:{port}:{key_type}")
+}
+
+/// 校验主机密钥。
+///
+/// 注意「同主机多算法」的处理：服务器同时提供 ed25519 与 rsa 时，我们按
+/// `key_type` 分别记录。若用户上次连的是 ed25519、这次服务器（因客户端算法
+/// 偏好变化）用了 rsa，**不应判为指纹变更**——那是不同算法的两把不同密钥，
+/// 属于正常情况。因此这里的比对严格限定在同一 key_type 内。
+pub fn verify(host: &str, port: u16, fingerprint: &str, key_type: &str) -> Verdict {
+    let slot = store_slot().lock().unwrap_or_else(|e| e.into_inner());
+    let Some(store) = slot.as_ref() else {
+        // 未初始化：保守起见按「未知」处理，要求用户确认
+        return Verdict::Unknown;
+    };
+
+    // 先查同算法记录
+    if let Some(rec) = store.entries.get(&key_of(host, port, key_type)) {
+        if fingerprints_equal(&rec.fingerprint, fingerprint) {
+            return Verdict::Trusted;
+        }
+        return Verdict::Changed {
+            previous: rec.fingerprint.clone(),
+        };
+    }
+
+    // 同算法无记录，但同主机其它算法有记录：说明这个主机我们见过，
+    // 只是这次协商出了不同算法。仍按「未知」处理（要求确认），
+    // 但这是正常现象，日志里降级为 info 而非 warn。
+    let has_other_algo = store
+        .entries
+        .keys()
+        .any(|k| k.starts_with(&format!("{host}:{port}:")));
+    if has_other_algo {
+        crate::logger::log_info(
+            "terminal",
+            &format!("主机 {host}:{port} 提供了新的密钥算法 {key_type}，需确认指纹"),
+        );
+    }
+
+    Verdict::Unknown
+}
+
+/// 指纹比较：忽略大小写与前缀差异。
+///
+/// SHA256 指纹在不同工具里可能表现为 `SHA256:AbC...` / `AbC...` / 末尾带 `=`，
+/// 这些差异不该被当作「指纹不同」（那会让用户看到惊悚的变更告警）。
+fn fingerprints_equal(a: &str, b: &str) -> bool {
+    let norm = |s: &str| {
+        s.trim()
+            .trim_start_matches("SHA256:")
+            .trim_start_matches("MD5:")
+            .trim_end_matches('=')
+            .replace(':', "")
+            .to_lowercase()
+    };
+    norm(a) == norm(b)
+}
+
+/// 接受并记录指纹（首次或变更后）。
+pub fn accept(host: &str, port: u16, fingerprint: &str, key_type: &str) -> Result<(), String> {
+    let mut slot = store_slot().lock().unwrap_or_else(|e| e.into_inner());
+    let Some(store) = slot.as_mut() else {
+        return Err("known_hosts 存储未初始化".to_string());
+    };
+
+    let k = key_of(host, port, key_type);
+    let now = chrono::Local::now().to_rfc3339();
+
+    match store.entries.get_mut(&k) {
+        Some(rec) => {
+            if !fingerprints_equal(&rec.fingerprint, fingerprint) {
+                // 记入变更历史（保留最近 20 条，避免无限增长）
+                rec.history.insert(
+                    0,
+                    FingerprintChange {
+                        old_fingerprint: rec.fingerprint.clone(),
+                        changed_at: now.clone(),
+                        accepted: true,
+                    },
+                );
+                rec.history.truncate(20);
+                rec.fingerprint = fingerprint.to_string();
+            }
+            rec.last_confirmed = now;
+        }
+        None => {
+            store.entries.insert(
+                k,
+                KnownHost {
+                    host: host.to_string(),
+                    port,
+                    key_type: key_type.to_string(),
+                    fingerprint: fingerprint.to_string(),
+                    first_seen: now.clone(),
+                    last_confirmed: now,
+                    history: Vec::new(),
+                },
+            );
+        }
+    }
+    store.dirty = true;
+    persist(store)
+}
+
+/// 记录一次「拒绝」（仅记历史，不改指纹）。
+///
+/// 价值：用户拒绝后，下次连接还会弹出提示。历史里留下「曾在某时刻拒绝过」，
+/// 便于事后审计——「谁在什么时候试图用新指纹冒充这台主机」。
+pub fn record_rejection(host: &str, port: u16, fingerprint: &str, key_type: &str) {
+    let mut slot = store_slot().lock().unwrap_or_else(|e| e.into_inner());
+    let Some(store) = slot.as_mut() else { return };
+    let k = key_of(host, port, key_type);
+    if let Some(rec) = store.entries.get_mut(&k) {
+        rec.history.insert(
+            0,
+            FingerprintChange {
+                old_fingerprint: fingerprint.to_string(),
+                changed_at: chrono::Local::now().to_rfc3339(),
+                accepted: false,
+            },
+        );
+        rec.history.truncate(20);
+        store.dirty = true;
+        let _ = persist(store);
+    }
+}
+
+/// 列出全部记录（含历史），供设置页展示。
+pub fn list() -> Vec<KnownHost> {
+    let slot = store_slot().lock().unwrap_or_else(|e| e.into_inner());
+    slot.as_ref()
+        .map(|s| s.entries.values().cloned().collect())
+        .unwrap_or_default()
+}
+
+/// 删除某条记录（用户清理失效主机时用）。
+pub fn forget(host: &str, port: u16, key_type: &str) -> Result<(), String> {
+    let mut slot = store_slot().lock().unwrap_or_else(|e| e.into_inner());
+    let Some(store) = slot.as_mut() else {
+        return Err("known_hosts 存储未初始化".to_string());
+    };
+    store.entries.remove(&key_of(host, port, key_type));
+    store.dirty = true;
+    persist(store)
+}
+
+/// 清空全部记录（危险操作，前端需二次确认）。
+pub fn clear() -> Result<(), String> {
+    let mut slot = store_slot().lock().unwrap_or_else(|e| e.into_inner());
+    let Some(store) = slot.as_mut() else {
+        return Err("known_hosts 存储未初始化".to_string());
+    };
+    store.entries.clear();
+    store.dirty = true;
+    persist(store)
+}
+
+/// 落盘（先写临时文件再 rename，避免半截 JSON）。
+fn persist(store: &Store) -> Result<(), String> {
+    let list: Vec<&KnownHost> = store.entries.values().collect();
+    let json =
+        serde_json::to_string_pretty(&list).map_err(|e| format!("序列化 known_hosts 失败: {e}"))?;
+    if let Some(parent) = store.path.parent() {
+        std::fs::create_dir_all(parent).map_err(|e| format!("创建目录失败: {e}"))?;
+    }
+    let tmp = store.path.with_extension("json.tmp");
+    std::fs::write(&tmp, json).map_err(|e| format!("写入 known_hosts 失败: {e}"))?;
+    std::fs::rename(&tmp, &store.path).map_err(|e| format!("保存 known_hosts 失败: {e}"))
+}
+
+// ===== OpenSSH 格式互操作 =====
+
+/// 导出为 OpenSSH `known_hosts` 文本格式。
+///
+/// 用途：(a) 用户可把记录带进命令行 ssh；(b) 便于人工审阅。
+/// 输出是标准 `host:port keytype base64comment` 形态的 **hashed 形式**
+/// 还是明文形式？这里选 **明文**：用户要能读懂、能 diff，才有审阅价值。
+/// OpenSSH 本身也接受明文（`HashKnownHosts no`）。
+///
+/// 注意：我们只有指纹（SHA256 base64），没有完整公钥 blob，因此导出的
+/// 第二列写 `SHA256:...` 形式的注释，**不是**可直接被 ssh 使用的完整格式。
+/// 这一点必须在 UI 上说明，避免用户以为导出的文件能直接给 ssh 用。
+pub fn export_openssh_text() -> String {
+    let mut out = String::from(
+        "# 由 Thing 终端模块导出\n\
+         # 注意：本文件仅用于人工审阅与记录迁移，第二列是指纹而非公钥 blob，\n\
+         # 不能直接作为 OpenSSH 的 known_hosts 使用。\n",
+    );
+    for h in list() {
+        out.push_str(&format!(
+            "{}:{} {} {}\n",
+            h.host, h.port, h.key_type, h.fingerprint
+        ));
+    }
+    out
+}
+
+/// 从 OpenSSH `known_hosts` 文本导入指纹记录。
+///
+/// 支持的行形态（跳过注释与空行）：
+/// - `host:port keytype fingerprint`（本模块自己的导出格式）
+/// - `host keytype fingerprint`
+///
+/// 返回成功导入的条数。
+pub fn import_openssh_text(text: &str) -> Result<usize, String> {
+    let mut slot = store_slot().lock().unwrap_or_else(|e| e.into_inner());
+    let Some(store) = slot.as_mut() else {
+        return Err("known_hosts 存储未初始化".to_string());
+    };
+
+    let now = chrono::Local::now().to_rfc3339();
+    let mut count = 0usize;
+
+    for line in text.lines() {
+        let line = line.trim();
+        if line.is_empty() || line.starts_with('#') {
+            continue;
+        }
+        let parts: Vec<&str> = line.split_whitespace().collect();
+        if parts.len() < 3 {
+            continue;
+        }
+        // 解析 host[:port]
+        let (host, port) = match parts[0].rsplit_once(':') {
+            Some((h, p)) => match p.parse::<u16>() {
+                Ok(port) => (h.to_string(), port),
+                Err(_) => (parts[0].to_string(), 22),
+            },
+            None => (parts[0].to_string(), 22),
+        };
+        let key_type = parts[1].to_string();
+        let fingerprint = parts[2].to_string();
+        // 只接受指纹形态（SHA256:...）——完整公钥 blob 需要另外的解析路径，
+        // 且我们无法从它反推指纹而不引入更多依赖
+        if !fingerprint.starts_with("SHA256:") && !fingerprint.starts_with("MD5:") {
+            continue;
+        }
+
+        let k = key_of(&host, port, &key_type);
+        store.entries.insert(
+            k,
+            KnownHost {
+                host,
+                port,
+                key_type,
+                fingerprint,
+                first_seen: now.clone(),
+                last_confirmed: now.clone(),
+                history: Vec::new(),
+            },
+        );
+        count += 1;
+    }
+
+    store.dirty = true;
+    persist(store)?;
+    Ok(count)
+}

src-tauri/src/terminal/ssh/pool.rs

@@ -0,0 +1,255 @@
+//! SSH 连接池（P2 连接复用）。
+//!
+//! # 语义
+//!
+//! 同一「身份」（用户名 + 主机 + 端口 + 认证材料指纹）的多个会话
+//! **共享同一条 SSH 连接**：第二个会话跳过 TCP / 握手 / 认证，直接在
+//! 既有连接上开新的会话通道。与 OpenSSH ControlMaster 的行为一致：
+//! - 打开：首个会话建立连接；
+//! - 共享：后续会话引用计数 +1；
+//! - 关闭：会话关闭只减引用并关闭**自己的 shell 通道**；
+//!   **最后一个引用释放时**才断开底层连接（含跳板机链）。
+//!
+//! # 为什么 Handle 必须经由池共享
+//!
+//! `russh::client::Handle` 不实现 `Clone`（内含 session actor 的接收端），
+//! 此前每个 `SshSession` 独占一个 Handle，无从复用。池条目持有
+//! `Arc<tokio::sync::Mutex<Option<Handle>>>` 槽位，会话间共享同一 Arc；
+//! tokio Mutex（而非 std）是为了允许**连接建立期间跨 `.await` 持锁**——
+//! 它天然串行化了「双击两个标签同时连同一主机」的竞态：后到者等待，
+//! 先到者成功后直接复用。
+//!
+//! # 跳板机链的归属
+//!
+//! 经跳板链建立的连接，其跳板 Handle 挂在**池条目**上而不是首建会话上：
+//! 否则首建会话关闭时会连带剪断仍在被其他会话使用的隧道。
+//! 最后一个引用释放时，跳板与目标连接一起断开。
+//!
+//! # 已知取舍
+//!
+//! - 共享连接的 keepalive / 加密参数取自**首个**建立它的会话；
+//! - 共享连接断开（网络故障）时，挂在上面的所有会话一起进入 Closed——
+//!   这与「它们本来就在同一条 TCP 上」的物理事实一致；
+//! - 远程转发（-R）的入站路由按端口做**全局**匹配（见 forward 模块），
+//!   因为入站通道总是从属连接级 Handler，而 Handler 的 session_id 属于首建会话。
+use std::collections::HashMap;
+use std::sync::{Arc, Mutex};
+
+use russh::client::Handle;
+use russh::Disconnect;
+
+use super::SshHandler;
+
+/// 可克隆的池句柄（`TerminalManager` 持有一份，每个会话 clone 一份）。
+#[derive(Clone, Default)]
+pub struct ConnectionPool {
+    conns: Arc<Mutex<HashMap<String, PooledEntry>>>,
+}
+
+struct PooledEntry {
+    /// 共享槽位：`None` = 连接建立中（或失败）；`Some` = 已就绪。
+    slot: Arc<tokio::sync::Mutex<Option<Handle<SshHandler>>>>,
+    /// 仍在使用此连接的会话数
+    refcount: usize,
+    /// 连接是否已就绪（同步可查；`has_handle` 用）
+    ready: bool,
+    /// 跳板机链的连接（经跳板建立时非空；随条目共享，最后释放时断开）
+    hops: Vec<Handle<SshHandler>>,
+    /// 日志用描述
+    label: String,
+}
+
+impl ConnectionPool {
+    /// 取（或创建）某身份的连接槽位，引用计数 +1。
+    ///
+    /// 返回的 Arc 就是池条目里的槽位本身：会话把它存进 `SshInner.handle`，
+    /// 连接建立后写 `Some(handle)`，同键的其他会话即刻可见。
+    pub fn slot(&self, key: &str) -> Arc<tokio::sync::Mutex<Option<Handle<SshHandler>>>> {
+        let mut conns = self.conns.lock().unwrap_or_else(|e| e.into_inner());
+        let entry = conns.entry(key.to_string()).or_insert_with(|| PooledEntry {
+            slot: Arc::new(tokio::sync::Mutex::new(None)),
+            refcount: 0,
+            ready: false,
+            hops: Vec::new(),
+            label: String::new(),
+        });
+        entry.refcount += 1;
+        entry.slot.clone()
+    }
+
+    /// 设置日志用描述（连接建立成功后调用）。
+    pub fn set_label(&self, key: &str, label: &str) {
+        if let Some(e) = self
+            .conns
+            .lock()
+            .unwrap_or_else(|x| x.into_inner())
+            .get_mut(key)
+        {
+            e.label = label.to_string();
+        }
+    }
+
+    /// 标记连接已就绪（do_connect 写入 Handle 之后）。
+    pub fn mark_ready(&self, key: &str) {
+        if let Some(e) = self
+            .conns
+            .lock()
+            .unwrap_or_else(|x| x.into_inner())
+            .get_mut(key)
+        {
+            e.ready = true;
+        }
+    }
+
+    /// 把跳板机连接挂到池条目上（fresh 连接路径、有跳板时调用一次）。
+    pub fn attach_hops(&self, key: &str, hops: Vec<Handle<SshHandler>>) {
+        if let Some(e) = self
+            .conns
+            .lock()
+            .unwrap_or_else(|x| x.into_inner())
+            .get_mut(key)
+        {
+            e.hops = hops;
+        }
+    }
+
+    /// 连接是否已就绪（同步可查；替代原 `SshSession::has_handle` 的语义）。
+    pub fn is_ready(&self, key: &str) -> bool {
+        self.conns
+            .lock()
+            .unwrap_or_else(|e| e.into_inner())
+            .get(key)
+            .is_some_and(|e| e.ready)
+    }
+
+    /// 释放一个会话的引用。
+    ///
+    /// 返回 `Some((槽位, 跳板连接))` 表示这是**最后一个**引用——调用方负责
+    /// 断开底层连接与跳板（异步任务里做，见 `kill`）。非最后引用返回 `None`，
+    /// 调用方只需关闭自己的 shell 通道。
+    pub fn release(
+        &self,
+        key: &str,
+    ) -> Option<(
+        Arc<tokio::sync::Mutex<Option<Handle<SshHandler>>>>,
+        Vec<Handle<SshHandler>>,
+    )> {
+        let mut conns = self.conns.lock().unwrap_or_else(|e| e.into_inner());
+        let Some(entry) = conns.get_mut(key) else {
+            return None;
+        };
+        entry.refcount = entry.refcount.saturating_sub(1);
+        if entry.refcount > 0 {
+            return None;
+        }
+        // 最后一个引用：移除条目并交出断开责任
+        let entry = conns.remove(key)?;
+        Some((entry.slot, entry.hops))
+    }
+}
+
+/// 连接池身份键：用户名 + 主机 + 端口 + 认证方式 + 认证材料指纹。
+///
+/// 认证材料（密码或私钥文本）取短哈希入键——同一主机配置两份不同密钥/密码时
+/// 不应共享连接（那等于用 A 的身份看了 B 的会话）。
+pub fn pool_key_of(
+    username: &str,
+    host: &str,
+    port: u16,
+    auth_method: &str,
+    auth_material: Option<&str>,
+) -> String {
+    let marker = match auth_material {
+        Some(m) => short_hash(m),
+        None => "none".to_string(),
+    };
+    format!("{username}|{host}:{port}|{auth_method}|{marker}")
+}
+
+/// 材料指纹：SHA-256 前 8 字节的十六进制（16 字符）。
+fn short_hash(material: &str) -> String {
+    use sha2::{Digest, Sha256};
+    let digest = Sha256::digest(material.as_bytes());
+    digest[..8].iter().map(|b| format!("{b:02x}")).collect()
+}
+
+/// 断开一个 Handle（kill 与最后引用释放共用的收尾动作）。
+pub async fn disconnect(handle: Handle<SshHandler>) {
+    let _ = handle
+        .disconnect(Disconnect::ByApplication, "closed by user", "")
+        .await;
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    /// 条目级语义测试：不涉及真实 Handle（槽位保持 None 即可）。
+    #[test]
+    fn acquire_increments_and_release_removes_on_last() {
+        let pool = ConnectionPool::default();
+        let s1 = pool.slot("k");
+        let s2 = pool.slot("k");
+        // 同键两次 acquire 返回同一个 Arc（这才是「共享」）
+        assert!(Arc::ptr_eq(&s1, &s2));
+        assert!(pool.release("k").is_none(), "还有 1 个引用，不应触发拆除");
+        let (slot, hops) = pool.release("k").expect("最后一个引用应触发拆除");
+        assert!(Arc::ptr_eq(&slot, &s1));
+        assert!(hops.is_empty());
+        // 移除后再次 acquire 得到全新条目
+        let s3 = pool.slot("k");
+        assert!(!Arc::ptr_eq(&s3, &s1));
+        pool.release("k");
+    }
+
+    #[test]
+    fn independent_keys_are_independent() {
+        let pool = ConnectionPool::default();
+        let a = pool.slot("a");
+        let b = pool.slot("b");
+        assert!(!Arc::ptr_eq(&a, &b));
+        assert!(pool.release("a").is_some());
+        assert!(pool.release("b").is_some());
+    }
+
+    #[test]
+    fn ready_flag_and_hops_follow_entry_lifecycle() {
+        let pool = ConnectionPool::default();
+        assert!(!pool.is_ready("k"));
+        pool.slot("k");
+        pool.slot("k"); // 两个会话共享
+        pool.mark_ready("k");
+        assert!(pool.is_ready("k"));
+        pool.attach_hops("k", Vec::new());
+        // 释放一个引用后条目仍在（另一个会话还在用），ready 保持
+        assert!(pool.release("k").is_none());
+        assert!(pool.is_ready("k"));
+        // 最后一个引用释放后条目消失
+        assert!(pool.release("k").is_some());
+        assert!(!pool.is_ready("k"));
+    }
+
+    #[test]
+    fn over_release_is_safe() {
+        let pool = ConnectionPool::default();
+        assert!(pool.release("ghost").is_none());
+        pool.slot("k");
+        pool.release("k");
+        // 多余的 release 不应 panic（saturating 语义）
+        let _ = pool.release("k");
+    }
+
+    #[test]
+    fn pool_key_distinguishes_identity() {
+        let k1 = pool_key_of("ops", "srv", 22, "key", Some("keytext"));
+        let k2 = pool_key_of("ops", "srv", 22, "key", Some("other-key"));
+        let k3 = pool_key_of("ops", "srv", 22, "key", Some("keytext"));
+        let k4 = pool_key_of("root", "srv", 22, "key", Some("keytext"));
+        assert_ne!(k1, k2, "不同认证材料不应共享连接");
+        assert_eq!(k1, k3, "相同身份应命中同一池条目");
+        assert_ne!(k1, k4, "不同用户不应共享连接");
+        // 无认证材料（理论上不出现）也不与他人混淆
+        let k5 = pool_key_of("ops", "srv", 22, "password", None);
+        assert_ne!(k1, k5);
+    }
+}

src-tauri/src/terminal/ssh/sftp.rs

@@ -0,0 +1,663 @@
+//! SFTP 文件管理：复用 SSH 会话连接的双栏文件传输。
+//!
+//! # 为什么 SFTP 挂在会话上而不是独立连接
+//!
+//! 一台主机开两个 SSH 连接（一个 shell、一个 SFTP）有三个实际代价：
+//! 1. **认证两次**——公钥还好，密码/2FA 场景下用户要输两遍；
+//! 2. **服务端 `MaxStartups` / `MaxSessions` 限制**——内网跳板机经常卡这条；
+//! 3. 两条连接的主机密钥都要各自校验，known_hosts 里同一台机器两份记录。
+//!
+//! SSH 协议本身就为此设计了 **subsystem channel**：在已认证的连接上开新通道，
+//! `request_subsystem(true, "sftp")` 即可。因此 SFTP 面板只对**活跃的 SSH 会话**
+//! 开放——本地 ConPTY 会话没有这条路径（本地文件用系统的资源管理器更合适）。
+//!
+//! # 一个 SFTP 客户端只能串行用一条通道
+//!
+//! `SftpSession` 内部是「请求 → 等响应」的请求/响应模型，**并发调用会因为
+//! 响应乱序而错配**。russh-sftp 内部做了请求 id 匹配，因此 `&SftpSession` 上
+//! 并发 `.await` 是安全的；但同一时刻大量并发（如递归上传 1000 个文件全并发）
+//! 会把服务端的窗口打满并触发限流。
+//!
+//! 因此上传/下载走**受控并发**：由 `SftpHandle::semaphore` 限制在 4 路。
+//!
+//! # 断点续传
+//!
+//! 用 `OpenFlags::WRITE | CREATE` 打开已存在的文件，再 `seek` 到本地已有的
+//! 大小继续写。服务端不支持 `append` 语义时（部分紫光的 sftp-server），
+//! 退化为「整文件重传」——由 `resume_supported` 探测决定。
+
+use std::sync::Arc;
+
+use dashmap::DashMap;
+use russh::client::Handle;
+use russh_sftp::client::SftpSession;
+use russh_sftp::protocol::OpenFlags;
+use serde::{Deserialize, Serialize};
+use specta::Type;
+use tokio::io::{AsyncReadExt, AsyncSeekExt, AsyncWriteExt};
+use tokio::sync::{Mutex, Semaphore};
+
+use super::{SshHandler, SshSession};
+
+/// 受控并发的上限。
+///
+/// 为什么是 4：单个 SFTP 通道的吞吐已接近链路带宽（有 32KB 报文窗口），
+/// 再高的并发只是把服务端的 inflight 队列堆长，收益递减而内存占用线性增长。
+/// 4 路足以让「大量小文件」这条慢路径（每文件一次 round-trip）提速约 3 倍。
+const MAX_CONCURRENT_TRANSFERS: usize = 4;
+
+/// 单次传输的分块大小。
+///
+/// 32KB 是 SFTP 协议默认的最大读报文（部分服务端放宽到 256KB，但 32KB
+/// 是所有实现的**安全下界**）。取 32KB 而非更大：大块在丢包链路上重传代价高，
+/// 而 32KB 已足够跑满千兆内网。
+const CHUNK_SIZE: usize = 32 * 1024;
+
+// ===== 数据模型 =====
+
+/// 一个远端目录项（回传前端渲染）。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct RemoteEntry {
+    pub name: String,
+    /// 完整路径（服务端形态，`/` 分隔）
+    pub path: String,
+    /// "file" | "dir" | "symlink" | "other"
+    pub kind: String,
+    pub size: u64,
+    /// 修改时间（Unix 毫秒；服务端未提供时为 None）
+    pub modified_at: Option<u64>,
+    /// 权限位的八进制展示（如 "755"）；无权限信息时为空串
+    pub permissions: String,
+    /// 符号链接的目标（仅 kind == "symlink" 时非空）
+    pub link_target: String,
+}
+
+/// 目录列举结果。
+///
+/// 单独包一层而不是直接返回 `Vec`：前端需要 `cwd` 来确认「服务端实际解析到
+/// 的目录」——符号链接目录下 `pwd` 与用户点的路径可能不同，这个字段让面包屑
+/// 可以显示真实位置而不是用户以为的位置。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct RemoteDir {
+    /// 服务端规范化之后的目录（`canonicalize` 结果）
+    pub cwd: String,
+    pub entries: Vec<RemoteEntry>,
+}
+
+/// 传输进度事件负载。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct TransferProgress {
+    /// 传输任务 id（前端据此更新对应行的进度条）
+    pub id: String,
+    pub session_id: String,
+    /// "upload" | "download"
+    pub direction: String,
+    /// 源路径（展示用）
+    pub source: String,
+    /// 目标路径（展示用）
+    pub target: String,
+    /// 已传输字节
+    pub transferred: u64,
+    /// 总字节（未知时为 0）
+    pub total: u64,
+    /// "running" | "done" | "failed" | "canceled"
+    pub state: String,
+    /// 失败原因
+    pub error: Option<String>,
+}
+
+// ===== 会话级 SFTP 句柄 =====
+
+/// 一个会话的 SFTP 通道。
+///
+/// `SftpSession` 本身不是 `Sync` 的友好类型，且我们要在其上做「先查目录再写文件」
+/// 这类多步操作，故用 `Mutex` 串行化**结构性操作**（建目录、删文件）；
+/// 大数据传输则只借用不可变引用（`&SftpSession` 的分块读写在 russh-sftp 内部
+/// 有请求 id 匹配，可安全并发）。
+pub struct SftpHandle {
+    /// 打开面板的会话 id。
+    ///
+    /// 当前只有注册表的 key 用到会话 id，结构体内这份冗余字段暂无读者；
+    /// 保留它是为了 P2 的「跨会话传输」与日志定位（错误信息里需要会话上下文）。
+    #[allow(dead_code)]
+    pub session_id: String,
+    /// 串行闸门：保证「建目录 → 上传」这类有先后依赖的操作不会被乱序执行。
+    ///
+    /// P0 的传输命令都是单步操作，尚无读者；P2 的组合操作（模板上传、
+    /// 递归同步）落地时启用。
+    #[allow(dead_code)]
+    pub gate: Mutex<()>,
+    pub sftp: SftpSession,
+    /// 并发闸门：限制同时在跑的大数据传输数量
+    pub semaphore: Semaphore,
+    /// 远端当前目录的缓存（`cwd` 跟随用；避免每次都 round-trip 取）
+    pub last_dir: Mutex<String>,
+}
+
+/// 所有活跃会话的 SFTP 通道表。
+///
+/// 与 `SessionRegistry` 同样的理由用 `DashMap`：查表极频繁（每个传输分块都要
+/// 找 handle），而插入/删除只在打开/关闭面板时发生。
+#[derive(Default)]
+pub struct SftpRegistry {
+    handles: DashMap<String, Arc<SftpHandle>>,
+}
+
+impl SftpRegistry {
+    pub fn new() -> Self {
+        Self {
+            handles: DashMap::new(),
+        }
+    }
+
+    pub fn get(&self, session_id: &str) -> Option<Arc<SftpHandle>> {
+        self.handles.get(session_id).map(|e| e.value().clone())
+    }
+
+    pub fn insert(&self, session_id: String, handle: Arc<SftpHandle>) {
+        self.handles.insert(session_id, handle);
+    }
+
+    pub fn remove(&self, session_id: &str) -> Option<Arc<SftpHandle>> {
+        self.handles.remove(session_id).map(|(_, v)| v)
+    }
+
+    pub fn has(&self, session_id: &str) -> bool {
+        self.handles.contains_key(session_id)
+    }
+
+    /// 关闭某会话的 SFTP 通道（会话关闭时调用）。
+    pub fn close(&self, session_id: &str) {
+        self.handles.remove(session_id);
+    }
+}
+
+/// 在已有 SSH 会话上打开 SFTP subsystem。
+///
+/// # 前置条件
+///
+/// 会话必须已 `Established` 且持有可用的 `Handle`。若会话是本地 ConPTY
+/// 或 SSH 尚未认证完成，这里会返回可读的错误而不是 panic。
+///
+/// # 为什么用 `spawn_blocking` 而不是直接 await
+///
+/// `Handle` 不实现 `Clone`，因此开通道必须**持有 `MutexGuard` 跨 await**。
+/// 而 `std::sync::MutexGuard` 不是 `Send`，这让整个 future 也不是 `Send`，
+/// 无法交给 `tauri::async_runtime::spawn`（Tauri 命令要求 `Send`）。
+///
+/// 解法：把「持锁 + 开通道」这一小段放进 `spawn_blocking`。它内部是
+/// **阻塞的 tokio runtime block_on**，锁与 await 都限制在那个线程里，
+/// 对外只返回值（`Channel` 是 `Send`）。代价是占一个线程约握手 RTT 的时间，
+/// 而这只在用户点「打开文件管理器」时发生一次。
+pub async fn open_subsystem(session: &SshSession) -> Result<Arc<SftpHandle>, String> {
+    // 先在外部确认会话可用（避免为一个必然失败的请求去占线程）
+    if !session.has_handle() {
+        return Err("SSH 会话尚未建立连接，无法打开文件管理器".to_string());
+    }
+
+    let channel = {
+        let inner = session.inner_shared();
+        // 把「加锁 → 开通道 → 请求 subsystem」整段移出 async 上下文。
+        // 槽位是 tokio Mutex（P2 连接复用），锁 `.await` 放进 block_on 里。
+        tokio::task::spawn_blocking(move || {
+            let rt = tokio::runtime::Handle::current();
+            rt.block_on(async {
+                let guard = inner.handle.lock().await;
+                let handle = guard
+                    .as_ref()
+                    .ok_or_else(|| "SSH 会话连接已断开，无法打开文件管理器".to_string())?;
+
+                let channel = handle
+                    .channel_open_session()
+                    .await
+                    .map_err(|e| format!("打开 SFTP 通道失败: {e}"))?;
+                channel
+                    .request_subsystem(true, "sftp")
+                    .await
+                    .map_err(|e| format!("请求 sftp 子系统失败（服务端可能未启用 SFTP）: {e}"))?;
+                Ok::<_, String>(channel)
+            })
+        })
+        .await
+        .map_err(|e| format!("打开 SFTP 通道的任务异常退出: {e}"))?
+    }?;
+
+    let sftp = SftpSession::new(channel.into_stream())
+        .await
+        .map_err(|e| format!("初始化 SFTP 会话失败（可能是版本协商不兼容）: {e}"))?;
+
+    // 初始目录：优先用户配置的 remote_cwd，否则用登录目录。
+    // `canonicalize(".")` 而不是直接用 "."：服务端的 SFTP 起点（chroot 场景下
+    // 是 `/`，普通场景下是 home）只有服务端知道，取回真实值前端才好画面包屑。
+    let initial = match sftp.canonicalize(".").await {
+        Ok(p) if !p.trim().is_empty() => p,
+        _ => ".".to_string(),
+    };
+
+    Ok(Arc::new(SftpHandle {
+        session_id: session.state.id.clone(),
+        gate: Mutex::new(()),
+        sftp,
+        semaphore: Semaphore::new(MAX_CONCURRENT_TRANSFERS),
+        last_dir: Mutex::new(initial),
+    }))
+}
+
+// ===== 目录操作 =====
+
+/// 列举远端目录。
+///
+/// 排序在服务端做而不是让前端排：SFTP 的 `read_dir` 返回顺序是服务端的
+/// 目录项物理顺序（通常是插入序），逐次调用结果不稳定；在这里排一次
+/// 保证「刷新」不会让列表跳动。
+pub async fn list_dir(handle: &SftpHandle, path: &str) -> Result<RemoteDir, String> {
+    // `read_dir` 返回 `ReadDir`（一个可迭代的句柄），**必须显式 collect**：
+    // 它的迭代会持续向服务端发 READDIR 报文直到服务端返回 EOF，
+    // 不 collect 的话句柄被丢弃时可能留下未读完的报文，污染后续请求的响应队列。
+    let iter = handle
+        .sftp
+        .read_dir(path)
+        .await
+        .map_err(|e| format!("读取目录 {path} 失败: {e}"))?;
+
+    let mut list: Vec<RemoteEntry> = Vec::new();
+    for e in iter {
+        let name = e.file_name();
+        // `.` 与 `..` 由前端用面包屑表达，不混进列表（混进去会让「全选」误伤父目录）
+        if name == "." || name == ".." {
+            continue;
+        }
+        let meta = e.metadata();
+        // `file_type()` 来自协议 attrs；`metadata()` 里**没有** `is_file()`
+        // ——`FileAttributes` 只提供 `is_dir()` / `is_symlink()` / `file_type()`。
+        // 因此「是不是普通文件」的判定必须落到 `file_type()` 上（`is_file()` 是
+        // `FileType` 的方法，不是 attrs 的）。
+        let ft = e.file_type();
+        let is_symlink = ft.is_symlink() || meta.is_symlink();
+        let kind = if is_symlink {
+            "symlink"
+        } else if ft.is_dir() || meta.is_dir() {
+            "dir"
+        } else if ft.is_file() {
+            "file"
+        } else {
+            "other"
+        };
+        // `mtime` 是 Unix 秒（SFTP v3 的 attrs 无亚秒精度），统一乘 1000 成毫秒。
+        // 服务端未提供时保持 None，前端显示为「—」而不是伪造的 1970 年。
+        let mtime = meta.mtime.map(|s| (s as u64) * 1000);
+        let perms = meta
+            .permissions
+            .map(|p| format!("{:o}", p & 0o7777))
+            .unwrap_or_default();
+
+        list.push(RemoteEntry {
+            name: name.clone(),
+            path: join_remote(path, &name),
+            kind: kind.to_string(),
+            size: meta.size.unwrap_or(0),
+            modified_at: mtime,
+            permissions: perms,
+            // `read_dir` 不带 link target，符号链接的目标要单独 `read_link`。
+            // 这里不逐条调用：一个含 200 个符号链接的目录会变成 200 次 round-trip。
+            // 前端在用户点击/悬停时再单独请求（见 `read_link` 命令）。
+            link_target: String::new(),
+        });
+    }
+
+    // 目录优先，其次按名称（用不区分大小写的比较，符合 Windows 用户直觉）
+    list.sort_by(|a, b| {
+        let a_dir = a.kind == "dir";
+        let b_dir = b.kind == "dir";
+        b_dir
+            .cmp(&a_dir)
+            .then_with(|| a.name.to_lowercase().cmp(&b.name.to_lowercase()))
+    });
+
+    let cwd = handle
+        .sftp
+        .canonicalize(path)
+        .await
+        .unwrap_or_else(|_| path.to_string());
+    *handle.last_dir.lock().await = cwd.clone();
+
+    Ok(RemoteDir {
+        cwd,
+        entries: list,
+    })
+}
+
+/// 拼接远端路径（POSIX 语义，注意不要产生 `//`）。
+pub fn join_remote(base: &str, name: &str) -> String {
+    if base.is_empty() || base == "." {
+        return name.to_string();
+    }
+    if name.starts_with('/') {
+        return name.to_string();
+    }
+    if base.ends_with('/') {
+        format!("{base}{name}")
+    } else {
+        format!("{base}/{name}")
+    }
+}
+
+/// 取远端路径的父目录（用于「上一级」与面包屑）。
+pub fn parent_remote(path: &str) -> String {
+    let trimmed = path.trim_end_matches('/');
+    // 根目录的父目录还是自己，避免前端无限上溯
+    if trimmed.is_empty() {
+        return "/".to_string();
+    }
+    match trimmed.rfind('/') {
+        Some(0) => "/".to_string(),
+        Some(i) => trimmed[..i].to_string(),
+        // 相对路径（服务端未 canonicalize 时）：退化为当前目录
+        None => ".".to_string(),
+    }
+}
+
+/// 读符号链接的目标。
+pub async fn read_link(handle: &SftpHandle, path: &str) -> Result<String, String> {
+    handle
+        .sftp
+        .read_link(path)
+        .await
+        .map_err(|e| format!("读取链接目标失败: {e}"))
+}
+
+/// 创建目录（递归）。
+pub async fn create_dir_all(handle: &SftpHandle, path: &str) -> Result<(), String> {
+    // 逐级创建：SFTP 的 `create_dir` 不递归（与 `mkdir` 不同，没有 `-p`），
+    // 而 `create_dir_all` 在 russh-sftp 里不存在，只能自己走。
+    let mut cur = String::new();
+    for seg in path.trim_start_matches('/').split('/') {
+        if seg.is_empty() {
+            continue;
+        }
+        cur = if cur.is_empty() {
+            if path.starts_with('/') {
+                format!("/{seg}")
+            } else {
+                seg.to_string()
+            }
+        } else {
+            format!("{cur}/{seg}")
+        };
+        // 已存在是正常情况（多级创建的中途层级），忽略错误继续
+        let _ = handle.sftp.create_dir(&cur).await;
+    }
+    Ok(())
+}
+
+/// 删除远端文件。
+pub async fn remove_file(handle: &SftpHandle, path: &str) -> Result<(), String> {
+    handle
+        .sftp
+        .remove_file(path)
+        .await
+        .map_err(|e| format!("删除文件失败: {e}"))
+}
+
+/// 递归删除远端目录。
+///
+/// 手写递归而不是 `remove_dir_all`：后者在部分服务端实现上对符号链接的处理
+/// 不一致（有的会跟随链接删掉目标内容，这是**数据事故**）。这里显式判断
+/// `symlink_metadata`，遇到符号链接只删链接本身。
+pub async fn remove_dir_all(handle: &SftpHandle, path: &str) -> Result<u64, String> {
+    let mut removed: u64 = 0;
+    let iter = handle
+        .sftp
+        .read_dir(path)
+        .await
+        .map_err(|e| format!("读取目录 {path} 失败: {e}"))?;
+
+    let mut sub_dirs: Vec<String> = Vec::new();
+    let mut files: Vec<String> = Vec::new();
+    for e in iter {
+        let name = e.file_name();
+        if name == "." || name == ".." {
+            continue;
+        }
+        let full = join_remote(path, &name);
+        let ft = e.file_type();
+        let meta = e.metadata();
+        // 符号链接**先于** is_dir 判断：SFTP 的 attrs 对链接常会报告目标类型，
+        // 若先判 is_dir 会把链接当目录递归进去（删掉链接目标的真内容）。
+        if ft.is_symlink() || meta.is_symlink() {
+            files.push(full);
+        } else if ft.is_dir() || meta.is_dir() {
+            sub_dirs.push(full);
+        } else {
+            files.push(full);
+        }
+    }
+
+    // 先删文件再删子目录：先把当前层的文件清掉，收敛更快（失败时更容易定位）
+    for f in files {
+        handle
+            .sftp
+            .remove_file(&f)
+            .await
+            .map_err(|e| format!("删除 {f} 失败: {e}"))?;
+        removed += 1;
+    }
+    for d in sub_dirs {
+        removed += Box::pin(remove_dir_all(handle, &d)).await?;
+    }
+
+    handle
+        .sftp
+        .remove_dir(path)
+        .await
+        .map_err(|e| format!("删除目录 {path} 失败: {e}"))?;
+    Ok(removed + 1)
+}
+
+/// 重命名 / 移动。
+pub async fn rename(handle: &SftpHandle, from: &str, to: &str) -> Result<(), String> {
+    handle
+        .sftp
+        .rename(from, to)
+        .await
+        .map_err(|e| format!("重命名失败: {e}"))
+}
+
+// ===== 上传 / 下载 =====
+
+/// 上传本地文件到远端。
+///
+/// # 断点续传
+///
+/// 打开远端文件时**不加 `TRUNCATE`**，先 `metadata` 取已存在的大小，
+/// 再 `seek` 到该位置继续写。若远端已有文件比本地大（本地被截断过），
+/// 则退回整文件重传——继续写会得到一个「前长后短」的损坏文件。
+pub async fn upload_file(
+    handle: &SftpHandle,
+    local: &str,
+    remote: &str,
+    on_progress: impl Fn(u64, u64),
+) -> Result<u64, String> {
+    let _permit = handle
+        .semaphore
+        .acquire()
+        .await
+        .map_err(|e| format!("获取传输许可失败: {e}"))?;
+
+    let total = tokio::fs::metadata(local)
+        .await
+        .map_err(|e| format!("读取本地文件 {local} 失败: {e}"))?
+        .len();
+
+    // 远端已有大小（用于续传判断）
+    let existing = handle
+        .sftp
+        .metadata(remote)
+        .await
+        .ok()
+        .and_then(|m| m.size)
+        .unwrap_or(0);
+
+    let resume_from = if existing > 0 && existing < total {
+        existing
+    } else {
+        0
+    };
+
+    let flags = if resume_from > 0 {
+        OpenFlags::WRITE
+    } else {
+        OpenFlags::WRITE | OpenFlags::CREATE | OpenFlags::TRUNCATE
+    };
+
+    let mut remote_file = handle
+        .sftp
+        .open_with_flags(remote, flags)
+        .await
+        .map_err(|e| format!("打开远端文件 {remote} 失败: {e}"))?;
+
+    let mut local_file = tokio::fs::File::open(local)
+        .await
+        .map_err(|e| format!("打开本地文件 {local} 失败: {e}"))?;
+
+    if resume_from > 0 {
+        local_file
+            .seek(std::io::SeekFrom::Start(resume_from))
+            .await
+            .map_err(|e| format!("定位本地文件失败: {e}"))?;
+        remote_file
+            .seek(std::io::SeekFrom::Start(resume_from))
+            .await
+            .map_err(|e| format!("定位远端文件失败: {e}"))?;
+    }
+
+    let mut buf = vec![0u8; CHUNK_SIZE];
+    let mut sent = resume_from;
+    on_progress(sent, total);
+
+    loop {
+        let n = local_file
+            .read(&mut buf)
+            .await
+            .map_err(|e| format!("读取本地文件失败: {e}"))?;
+        if n == 0 {
+            break;
+        }
+        remote_file
+            .write_all(&buf[..n])
+            .await
+            .map_err(|e| format!("写入远端失败: {e}"))?;
+        sent += n as u64;
+        on_progress(sent, total);
+    }
+
+    // `shutdown` 会把 SFTP 的 close 报文发出去；不调用的话服务端可能迟迟不落盘
+    // （尤其写的是网络文件系统上的文件）。
+    remote_file
+        .shutdown()
+        .await
+        .map_err(|e| format!("关闭远端文件失败（数据可能未完整落盘）: {e}"))?;
+
+    Ok(sent)
+}
+
+/// 从远端下载文件到本地。
+///
+/// 断点续传逻辑与上传对称：本地已有一部分则从该偏移继续。
+pub async fn download_file(
+    handle: &SftpHandle,
+    remote: &str,
+    local: &str,
+    on_progress: impl Fn(u64, u64),
+) -> Result<u64, String> {
+    let _permit = handle
+        .semaphore
+        .acquire()
+        .await
+        .map_err(|e| format!("获取传输许可失败: {e}"))?;
+
+    let total = handle
+        .sftp
+        .metadata(remote)
+        .await
+        .ok()
+        .and_then(|m| m.size)
+        .unwrap_or(0);
+
+    let existing = tokio::fs::metadata(local)
+        .await
+        .map(|m| m.len())
+        .unwrap_or(0);
+
+    let resume_from = if existing > 0 && total > 0 && existing < total {
+        existing
+    } else {
+        0
+    };
+
+    let mut remote_file = handle
+        .sftp
+        .open(remote)
+        .await
+        .map_err(|e| format!("打开远端文件 {remote} 失败: {e}"))?;
+
+    // 确保父目录存在（下载到新目录时很常见）
+    if let Some(parent) = std::path::Path::new(local).parent() {
+        let _ = tokio::fs::create_dir_all(parent).await;
+    }
+
+    let mut local_file = tokio::fs::OpenOptions::new()
+        .create(true)
+        .write(true)
+        .truncate(resume_from == 0)
+        .open(local)
+        .await
+        .map_err(|e| format!("创建本地文件 {local} 失败: {e}"))?;
+
+    if resume_from > 0 {
+        remote_file
+            .seek(std::io::SeekFrom::Start(resume_from))
+            .await
+            .map_err(|e| format!("定位远端文件失败: {e}"))?;
+        local_file
+            .seek(std::io::SeekFrom::Start(resume_from))
+            .await
+            .map_err(|e| format!("定位本地文件失败: {e}"))?;
+    }
+
+    let mut buf = vec![0u8; CHUNK_SIZE];
+    let mut got = resume_from;
+    on_progress(got, total);
+
+    loop {
+        let n = remote_file
+            .read(&mut buf)
+            .await
+            .map_err(|e| format!("读取远端失败: {e}"))?;
+        if n == 0 {
+            break;
+        }
+        local_file
+            .write_all(&buf[..n])
+            .await
+            .map_err(|e| format!("写入本地文件失败: {e}"))?;
+        got += n as u64;
+        on_progress(got, total);
+    }
+
+    local_file
+        .flush()
+        .await
+        .map_err(|e| format!("刷新本地文件失败: {e}"))?;
+
+    Ok(got)
+}
+
+/// 类型占位：确保 `SshHandler` 与 `Handle<SshHandler>` 的关联在编译期成立。
+#[allow(dead_code)]
+fn _assert_handle_type(h: &Handle<SshHandler>) -> &Handle<SshHandler> {
+    h
+}

src-tauri/src/terminal/window.rs

@@ -0,0 +1,147 @@
+//! 终端窗口管理。
+//!
+//! # 设计取舍：一个会话一个窗口，而非一个窗口多个会话
+//!
+//! 有两条路可走：
+//!
+//! | 方案 | 优势 | 代价 |
+//! |---|---|---|
+//! | 一个独立窗口承载全部会话（把主窗口的终端 UI 整体搬出去） | 实现简单，复用全部前端组件 | 无法「只把一个会话拖出来」；两处 UI 状态要同步 |
+//! | **一个会话一个窗口** | 符合「拖出标签成窗」的直觉；窗口粒度与会话粒度一致，状态无歧义 | 每窗口一个 WebView，内存开销更大 |
+//!
+//! 选后者。理由：终端的核心使用场景就是「同时盯几台机器的输出」，把其中一个
+//! 会话丢到第二块屏幕是所有终端工具的刚需；而窗口粒度与会话粒度一致，意味着
+//! 「关闭窗口」= 「关闭会话」，没有隐藏状态，心智负担最小。
+//!
+//! 内存开销通过限制窗口数量（[`MAX_DETACHED_WINDOWS`]）来控制。
+//!
+//! # 会话与窗口的关系
+//!
+//! 会话**不随窗口创建而创建**。用户点「在新窗口打开」时，会话已经在主窗口里
+//! 跑着（进程在 Rust 侧），窗口只是**另一个 attach 到这个会话的视图**。
+//! 这带来两个后果：
+//! 1. 主窗口关闭（隐藏到托盘）不影响终端窗口 —— 会话在 Rust 侧，与窗口无关。
+//! 2. 同一个会话可以同时显示在主窗口与独立窗口（输出事件是广播的）。
+//!    这是刻意的：用户可以在主窗口把某个会话放进分屏、同时另开一个窗口放大看。
+
+use tauri::{AppHandle, Manager, WebviewUrl, WebviewWindowBuilder};
+
+use super::session::SessionId;
+use crate::constants::windows as W;
+
+/// 同时存在的独立终端窗口上限。
+///
+/// 8 是个经验值：每个终端窗口都是一个独立 WebView（各自约 40~80MB），
+/// 再多会明显吃内存；而「同时盯 8 个终端」已覆盖绝大多数实际需求。
+/// 超出时明确报错而不是静默失败——用户需要知道是上限拦住了他。
+pub const MAX_DETACHED_WINDOWS: usize = 8;
+
+/// 计算会话对应的窗口 label。
+pub fn label_for(session_id: &str) -> String {
+    format!("{}-{}", W::TERMINAL_WINDOW, session_id)
+}
+
+/// 当前有多少个终端独立窗口。
+pub fn count_windows(app: &AppHandle) -> usize {
+    app.webview_windows()
+        .keys()
+        .filter(|k| k.starts_with(&format!("{}-", W::TERMINAL_WINDOW)))
+        .count()
+}
+
+/// 打开（或聚焦）某会话的独立窗口。
+///
+/// 幂等：窗口已存在时只做 `show` + `set_focus`，不重建 WebView。
+/// 重建会丢失 xterm 的滚动缓冲（虽然内容可从会话快照恢复，但没必要多此一举）。
+pub fn open_for_session(
+    app: &AppHandle,
+    session_id: &SessionId,
+    title: &str,
+) -> Result<(), String> {
+    let label = label_for(session_id);
+
+    if let Some(win) = app.get_webview_window(&label) {
+        win.show().map_err(|e| format!("显示窗口失败: {e}"))?;
+        win.set_focus().map_err(|e| format!("聚焦窗口失败: {e}"))?;
+        return Ok(());
+    }
+
+    let n = count_windows(app);
+    if n >= MAX_DETACHED_WINDOWS {
+        return Err(format!(
+            "已达独立终端窗口上限（{MAX_DETACHED_WINDOWS} 个）。\
+             请先关闭一些窗口，或改为在主窗口内使用标签页。"
+        ));
+    }
+
+    // 窗口尺寸：终端是「宽而扁」的，给一个偏宽的默认值，接近常见终端习惯
+    let win = WebviewWindowBuilder::new(
+        app,
+        &label,
+        // 路由到前端的 terminal 独立窗口入口（main.ts 中按 hash 分派）
+        WebviewUrl::App(format!("index.html#terminal-window/{session_id}").into()),
+    )
+    .title(format!("终端 · {title}"))
+    .inner_size(1000.0, 620.0)
+    .min_inner_size(420.0, 240.0)
+    .resizable(true)
+    // 无系统边框：窗口内自绘标题栏（TerminalWindow.vue），系统标题栏会与之叠加
+    .decorations(false)
+    // 无边框窗口默认没有投影，加上以保持与系统窗口一致的层次感
+    .shadow(true)
+    .center()
+    .build()
+    .map_err(|e| format!("创建终端窗口失败: {e}"))?;
+
+    // 关闭窗口时：**只关窗口，不关会话**。
+    //
+    // 这是刻意的语义选择。若「关窗即关会话」，用户移动窗口时误点关闭就会
+    // 丢掉一个正在跑长任务的 SSH 连接；而保留会话的代价只是列表里多一个标签。
+    // 需要在窗口里显式提供「关闭会话」按钮，让两个动作分离。
+    let app_handle = app.clone();
+    let sid = session_id.clone();
+    win.on_window_event(move |event| {
+        if let tauri::WindowEvent::Destroyed = event {
+            // 把会话标记回「未分离」状态，前端的标签列表据此恢复显示
+            if let Ok(state) = super::manager(&app_handle) {
+                if let Some(s) = state.sessions.get(&sid) {
+                    s.set_detached(false);
+                }
+            }
+        }
+    });
+
+    Ok(())
+}
+
+/// 关闭某会话的独立窗口（会话本身保留）。
+pub fn close_for_session(app: &AppHandle, session_id: &SessionId) -> Result<(), String> {
+    let label = label_for(session_id);
+    if let Some(win) = app.get_webview_window(&label) {
+        win.close().map_err(|e| format!("关闭窗口失败: {e}"))?;
+    }
+    Ok(())
+}
+
+/// 把会话的 `detached` 标记与窗口状态对齐。
+///
+/// 应用启动后（或窗口被外部关闭后）可能存在不一致：标记说已分离但窗口不在。
+/// 由命令层在查询会话列表前调用一次，保证前端拿到的状态是准确的。
+///
+/// 返回**是否有任何标记被修正**：调用方（`terminal_list_sessions`）据此决定
+/// 是否需要再取一次列表——无变更时直接复用第一次的结果，省掉一次全表遍历。
+pub fn reconcile_flags(app: &AppHandle, sessions: &[(SessionId, bool)]) -> bool {
+    let mut changed = false;
+    for (id, marked) in sessions {
+        let exists = app.get_webview_window(&label_for(id)).is_some();
+        if *marked != exists {
+            if let Ok(state) = super::manager(app) {
+                if let Some(s) = state.sessions.get(id) {
+                    s.set_detached(exists);
+                    changed = true;
+                }
+            }
+        }
+    }
+    changed
+}

src-tauri/src/translate/capture/clipboard_capture.rs

@@ -0,0 +1,500 @@
+//! 取词：智能路径（UIA 直读）优先，兼容路径（模拟 Ctrl+C）兜底。
+//!
+//! 整个流程在**调用方的阻塞线程**上执行（最长约 1s）。**严禁在主线程调用**：
+//! 全局快捷键回调与 UI 线程都不该被这段等待卡住。命令层用 `spawn_blocking` 包装，
+//! 快捷键回调自行 `std::thread::spawn`。
+
+use std::time::{Duration, Instant};
+
+use serde::Serialize;
+use specta::Type;
+use tauri::{AppHandle, Manager};
+
+use crate::clipboard::reader::{read_clipboard, write_dib, write_files, write_text, ClipData};
+use crate::clipboard::ClipboardManager;
+use crate::translate::engines::{ErrorKind, TranslateError};
+use windows_sys::Win32::Foundation::CloseHandle;
+use windows_sys::Win32::System::DataExchange::GetClipboardSequenceNumber;
+use windows_sys::Win32::System::Threading::{
+    OpenProcess, QueryFullProcessImageNameW, PROCESS_QUERY_LIMITED_INFORMATION,
+};
+use windows_sys::Win32::UI::Input::KeyboardAndMouse::{
+    GetAsyncKeyState, SendInput, INPUT, INPUT_KEYBOARD, KEYBDINPUT, KEYEVENTF_KEYUP, VK_CONTROL,
+};
+use windows_sys::Win32::UI::WindowsAndMessaging::{
+    GetForegroundWindow, GetWindowThreadProcessId,
+};
+
+/// 模拟按键后等待剪贴板更新的上限。
+///
+/// 300ms 偏短：浏览器、Electron 应用、带插件的编辑器在复制前还要走一遍自己的
+/// 命令分发，慢一点的直接超时。放宽到 600ms 后失败率明显下降，而用户感知的
+/// 「按下到弹出」延迟仍在可接受范围（取词是主动行为，不是输入反馈）。
+const PASTE_WAIT: Duration = Duration::from_millis(600);
+/// 轮询间隔
+const POLL_INTERVAL: Duration = Duration::from_millis(10);
+/// 等用户自然松开修饰键的时间（见 [`neutralise_modifiers`]）
+const MOD_RELEASE_WAIT: Duration = Duration::from_millis(400);
+
+const VK_C: u16 = 0x43;
+const VK_V: u16 = 0x56;
+const VK_INSERT: u16 = 0x2D;
+const VK_MENU: u16 = 0x12; // Alt
+const VK_SHIFT: u16 = 0x10;
+const VK_LWIN: u16 = 0x5B;
+const VK_RWIN: u16 = 0x5C;
+
+/// 会「污染」Ctrl+C 的修饰键：按下时目标应用看到的是 Alt+Ctrl+C 之类，
+/// 没有任何应用把它当复制。Alt 与 Shift 会被强制松开（见 [`neutralise_modifiers`]）。
+const BLOCKING_MODIFIERS: [u16; 2] = [VK_MENU, VK_SHIFT];
+/// 参与「等自然松开」但不强制合成的键：合成 Win 抬起会触发开始菜单，代价太大。
+const WAIT_ONLY_MODIFIERS: [u16; 2] = [VK_LWIN, VK_RWIN];
+
+/// 取词参数（来自设置）
+#[derive(Debug, Clone)]
+pub struct CaptureRequest {
+    /// 文本字符数上限，超出直接拒绝而不是发一个巨大的请求
+    pub max_chars: usize,
+    /// 取词后是否还原剪贴板
+    pub restore_clipboard: bool,
+    /// 跳过取词的进程名黑名单（终端类）
+    pub blacklist: Vec<String>,
+    /// 取词方式："smart"（UIA 直读优先，失败退回模拟按键）| "compat"（只用模拟按键）
+    pub mode: String,
+}
+
+/// 取词结果
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct CaptureOutcome {
+    pub text: String,
+    /// 取词来源："clipboard"（模拟 Ctrl+C）
+    pub source: String,
+    /// 取词时的前台窗口句柄（P3 回填替换选区时要用，事后无法补齐）
+    pub source_hwnd: i64,
+    /// 前台窗口所属进程名（用于提示与黑名单判定）
+    pub source_process: String,
+    /// 剪贴板是否被成功还原。false 有两种情况：备份时剪贴板是**不支持的格式**
+    /// （如仅含 HTML/RTF，无法原样写回），或还原本身失败——此时选区文本会留在剪贴板上。
+    pub restored_clipboard: bool,
+}
+
+/// 执行一次取词。**阻塞**，见模块头注释。
+///
+/// 并发互斥：连按快捷键（以为没反应再按一次是常见操作）会让两套
+/// 「备份 → Ctrl+C → 轮询 → 还原」并发执行，互相覆盖剪贴板状态。
+/// 在途时后来者直接放弃，静默返回。
+pub fn capture_selection(
+    app: &AppHandle,
+    req: &CaptureRequest,
+) -> Result<CaptureOutcome, TranslateError> {
+    use std::sync::atomic::{AtomicBool, Ordering};
+
+    static IN_FLIGHT: AtomicBool = AtomicBool::new(false);
+    if IN_FLIGHT.swap(true, Ordering::SeqCst) {
+        return Err(TranslateError::new(
+            ErrorKind::Empty,
+            "上一次取词仍在进行中",
+        ));
+    }
+    let result = capture_selection_inner(app, req);
+    IN_FLIGHT.store(false, Ordering::SeqCst);
+    result
+}
+
+fn capture_selection_inner(
+    app: &AppHandle,
+    req: &CaptureRequest,
+) -> Result<CaptureOutcome, TranslateError> {
+    let (hwnd, process) = foreground_window_process();
+    let process_name = process.clone().unwrap_or_default();
+
+    if !process_name.is_empty()
+        && req
+            .blacklist
+            .iter()
+            .any(|b| b.trim().eq_ignore_ascii_case(&process_name))
+    {
+        return Err(TranslateError::unsupported(format!(
+            "「{process_name}」中 Ctrl+C 是中断信号，无法用于取词。\
+             请选中文字后复制，再用「翻译剪贴板」快捷键。"
+        )));
+    }
+
+    // ===== 智能路径：UIA 直读（不动键盘、不碰剪贴板）=====
+    // 命中即返回：既避免了修饰键残留 / 提权窗口 / 剪贴板占用这三类兼容路径问题，
+    // 也快得多（一次跨进程 COM 调用 vs 一次 600ms 的剪贴板等待）。
+    if req.mode.trim() != "compat" {
+        if let Some(text) = uia_selection() {
+            crate::logger::log_info(
+                "translate",
+                &format!(
+                    "取词：UIA 直读命中（{} 字符），前台进程 {:?}",
+                    text.chars().count(),
+                    process_name
+                ),
+            );
+            return finish_text(req, text, hwnd, &process_name, true);
+        }
+    }
+
+    // 屏蔽窗口覆盖「Ctrl+C 覆盖剪贴板 → 读走 → 还原」的全过程。
+    // 守卫析构时自动解除，提前 return 也不会漏。
+    let suppress = app.try_state::<ClipboardManager>().map(|m| m.suppress());
+    let _guard = suppress.as_ref().map(|s| s.burst());
+
+    let backup = read_clipboard();
+    let before = clipboard_seq();
+
+    // 关键：先让修饰键回到「都没按」的状态，再发 Ctrl+C。
+    // 全局快捷键是在**按下**的瞬间触发的，此刻 Alt 必然还被物理按住；
+    // 直接补发 Ctrl+C，目标应用收到的是 Alt+Ctrl+C —— 复制不会发生，
+    // 于是必然走到下面的「取词超时」。这是兼容路径取不到词最主要的原因。
+    let forced = neutralise_modifiers();
+
+    send_ctrl_c();
+    let mut updated = wait_clipboard_change(before, PASTE_WAIT);
+    // 重试一次：部分应用首次按键被自身的输入法/菜单状态吃掉，第二次才真正复制。
+    // 复制是幂等的，多按一次没有副作用，比直接判定失败划算。
+    if !updated {
+        send_ctrl_c();
+        updated = wait_clipboard_change(before, PASTE_WAIT / 2);
+    }
+    // Ctrl+Insert 兜底：个别应用对合成的 Ctrl+C 不响应，但认经典的复制和弦
+    // （控制台/部分老程序对 Ctrl+Insert 的处理路径也与 Ctrl+C 不同）。
+    // 无选区时该组合键无副作用，与「复制是幂等的」同理。
+    if !updated {
+        crate::logger::log_info(
+            "translate",
+            &format!("取词：Ctrl+C 未更新剪贴板（前台进程 {process_name:?}），改试 Ctrl+Insert"),
+        );
+        send_ctrl_insert();
+        updated = wait_clipboard_change(before, PASTE_WAIT / 2);
+    }
+    let clip = if updated { read_clipboard() } else { None };
+    // 键盘状态尽早复原：越早把 Alt 按回去，越不容易让目标应用进入菜单栏模式
+    restore_modifiers(&forced);
+
+    if !updated {
+        return Err(TranslateError::new(
+            ErrorKind::Empty,
+            "取词失败：模拟 Ctrl+C 后剪贴板没有更新。\
+             常见原因是目标窗口以管理员权限运行（系统会丢弃来自普通权限程序的模拟按键），\
+             或该应用不支持复制选区。可改用「翻译剪贴板」：先复制，再按对应快捷键。"
+                .to_string(),
+        ));
+    }
+
+    // 剪贴板已被目标应用覆盖为选区内容。**先还原再做一切判定**：
+    // 还原必须覆盖所有后续路径（非文本 / 空文本 / 超限 / 成功），
+    // 否则「取词失败」的代价是用户剪贴板被悄悄换掉，与 restore_clipboard 设置矛盾。
+    let restored = if req.restore_clipboard {
+        restore_clipboard(backup)
+    } else {
+        false
+    };
+    // 还原本身也改了剪贴板。虽然还在屏蔽窗口内，但窗口解除后监听可能才轮到这一次变化，
+    // 于是额外精确记账一次，把边界情况的漏网也堵上。
+    if restored {
+        if let Some(s) = suppress.as_ref() {
+            s.mark_seq(clipboard_seq());
+        }
+    }
+
+    let text = match clip {
+        Some(ClipData::Text(t)) => t,
+        Some(_) => {
+            return Err(TranslateError::new(
+                ErrorKind::Empty,
+                "取到的内容不是文本（选区可能是图片或文件）",
+            ))
+        }
+        None => {
+            return Err(TranslateError::new(
+                ErrorKind::Empty,
+                "未获取到选中文本：目标窗口可能不允许复制，或当前没有选中任何文字",
+            ))
+        }
+    };
+
+    finish_text(
+        req,
+        text,
+        hwnd,
+        &process_name,
+        // UIA 路径：剪贴板从头到尾没被碰过
+        restored,
+    )
+}
+
+/// 取到文本后的公共收尾：裁剪 → 空判定 → 字数上限 → 组装结果。
+///
+/// 两条取词路径（UIA 直读 / 模拟 Ctrl+C）都必须过这套校验，否则「字数上限」
+/// 只对其中一条生效——那正是配置里写「上限」却仍被绕过的原因。
+fn finish_text(
+    req: &CaptureRequest,
+    text: String,
+    hwnd: i64,
+    process_name: &str,
+    clip_intact: bool,
+) -> Result<CaptureOutcome, TranslateError> {
+    let trimmed = text.trim();
+    if trimmed.is_empty() {
+        return Err(TranslateError::new(
+            ErrorKind::Empty,
+            "未获取到选中文本（取到的内容为空）",
+        ));
+    }
+    let char_count = trimmed.chars().count();
+    if req.max_chars > 0 && char_count > req.max_chars {
+        return Err(TranslateError::unsupported(format!(
+            "选中内容 {char_count} 字符，超过取词上限（{}）。\
+             请在「翻译 → 设置 → 划词翻译」中调高上限，或改用主面板翻译。",
+            req.max_chars
+        )));
+    }
+
+    Ok(CaptureOutcome {
+        text: trimmed.to_string(),
+        source: "selection".to_string(),
+        source_hwnd: hwnd,
+        source_process: process_name.to_string(),
+        restored_clipboard: clip_intact,
+    })
+}
+
+fn clipboard_seq() -> u32 {
+    unsafe { GetClipboardSequenceNumber() }
+}
+
+/// UIA 直读选区（智能路径）。`windows` crate 只在 Windows 目标上参与构建，
+/// 因此非 Windows 目标这里直接返回 None（等价于「读不到」→ 走兼容路径）。
+#[cfg(windows)]
+fn uia_selection() -> Option<String> {
+    super::uia_capture::read_selection()
+}
+
+#[cfg(not(windows))]
+fn uia_selection() -> Option<String> {
+    None
+}
+
+/// 等剪贴板序号变化（即目标应用完成了复制）。
+fn wait_clipboard_change(before: u32, timeout: Duration) -> bool {
+    let deadline = Instant::now() + timeout;
+    while Instant::now() < deadline {
+        if clipboard_seq() != before {
+            return true;
+        }
+        std::thread::sleep(POLL_INTERVAL);
+    }
+    false
+}
+
+fn key_down(vk: u16) -> bool {
+    (unsafe { GetAsyncKeyState(vk as i32) } as u16 & 0x8000) != 0
+}
+
+/// 发送单个按键事件（`up` 为真表示抬起）。
+fn send_key(vk: u16, up: bool) {
+    let mut input: INPUT = unsafe { std::mem::zeroed() };
+    input.r#type = INPUT_KEYBOARD;
+    input.Anonymous.ki = KEYBDINPUT {
+        wVk: vk,
+        wScan: 0,
+        dwFlags: if up { KEYEVENTF_KEYUP } else { 0 },
+        time: 0,
+        dwExtraInfo: 0,
+    };
+    unsafe {
+        SendInput(1, &input, std::mem::size_of::<INPUT>() as i32);
+    }
+}
+
+/// 让修饰键回到「都没按」的状态，返回被**强制**松开的键（调用方负责按回去）。
+///
+/// 两步走，顺序很重要：
+/// 1. **先等用户自然松开**。全局快捷键在按键**按下**的瞬间触发，此刻 Alt 一定还按着；
+///    绝大多数情况用户几十毫秒内就松手了，等一下既解决了问题，又完全不用合成按键
+///    （合成 Alt 抬起有让目标应用进入菜单栏模式的风险）。
+/// 2. 超时仍未松开（长按、卡键）才合成抬起事件。只处理 Alt/Shift：合成 Win 抬起
+///    会触发开始菜单，代价远大于收益——Win 参与的组合键本就罕见。
+fn neutralise_modifiers() -> Vec<u16> {
+    let deadline = Instant::now() + MOD_RELEASE_WAIT;
+    let all: Vec<u16> = BLOCKING_MODIFIERS
+        .iter()
+        .chain(WAIT_ONLY_MODIFIERS.iter())
+        .copied()
+        .collect();
+    while Instant::now() < deadline {
+        if !all.iter().copied().any(key_down) {
+            break;
+        }
+        std::thread::sleep(Duration::from_millis(8));
+    }
+
+    let mut forced = Vec::new();
+    for vk in BLOCKING_MODIFIERS {
+        if key_down(vk) {
+            send_key(vk, true);
+            forced.push(vk);
+        }
+    }
+    if !forced.is_empty() {
+        // 给目标应用一点时间处理抬起事件，避免紧接着的 Ctrl+C 被合并成 Alt+Ctrl+C
+        std::thread::sleep(Duration::from_millis(10));
+    }
+    forced
+}
+
+/// 把 [`neutralise_modifiers`] 强制松开的键按回去，让用户自己松手时状态一致。
+///
+/// **只还原仍然物理按住的键**：用户可能在等待期间就松手了，此时再合成一个 keydown
+/// 会把 Alt 留在「按下」状态——他下一次敲任意键都会变成 Alt+某键，比不还原糟糕得多。
+fn restore_modifiers(keys: &[u16]) {
+    for vk in keys {
+        if key_down(*vk) {
+            send_key(*vk, false);
+        }
+    }
+}
+
+/// 把备份内容原样写回。仅支持文本 / 图片 / 文件三种格式——其余格式（HTML/RTF 等）
+/// 在备份阶段就读不出来，因此无法还原，返回 false 而不是假装成功。
+fn restore_clipboard(backup: Option<ClipData>) -> bool {
+    match backup {
+        Some(ClipData::Text(t)) => write_text(&t),
+        Some(ClipData::Image { dib, .. }) => write_dib(&dib),
+        Some(ClipData::Files(files)) => write_files(&files),
+        None => false,
+    }
+}
+
+/// 模拟 Ctrl+V（译文回填替换选区用）。
+///
+/// 与 [`send_ctrl_c`] 相同的修饰键处理：若用户仍按着 Ctrl，只补发 V 键，
+/// 避免把用户的修饰键一并释放。
+pub fn send_ctrl_v() {
+    let ctrl_held = (unsafe { GetAsyncKeyState(VK_CONTROL as i32) } as u16 & 0x8000) != 0;
+
+    let mut inputs: Vec<INPUT> = Vec::with_capacity(4);
+    let mut push = |vk: u16, up: bool| {
+        let mut input: INPUT = unsafe { std::mem::zeroed() };
+        input.r#type = INPUT_KEYBOARD;
+        input.Anonymous.ki = KEYBDINPUT {
+            wVk: vk,
+            wScan: 0,
+            dwFlags: if up { KEYEVENTF_KEYUP } else { 0 },
+            time: 0,
+            dwExtraInfo: 0,
+        };
+        inputs.push(input);
+    };
+
+    // 取词悬浮窗是非激活的，前台窗口仍是原应用：Ctrl+V 会落在原选区上
+    let own_ctrl = !ctrl_held;
+    if own_ctrl {
+        push(VK_CONTROL, false);
+    }
+    push(VK_V, false);
+    push(VK_V, true);
+    if own_ctrl {
+        push(VK_CONTROL, true);
+    }
+
+    unsafe {
+        SendInput(
+            inputs.len() as u32,
+            inputs.as_ptr(),
+            std::mem::size_of::<INPUT>() as i32,
+        );
+    }
+}
+
+/// 取前台窗口句柄与所属进程名。
+fn foreground_window_process() -> (i64, Option<String>) {
+    unsafe {
+        let hwnd = GetForegroundWindow();
+        if hwnd == 0 {
+            return (0, None);
+        }
+        let mut pid: u32 = 0;
+        GetWindowThreadProcessId(hwnd, &mut pid);
+        let hwnd_i64 = hwnd as i64;
+        if pid == 0 {
+            return (hwnd_i64, None);
+        }
+        let handle = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION, 0, pid);
+        if handle == 0 {
+            // 目标进程权限更高时连句柄都拿不到——这本身就是一个有效信号，
+            // 但不必在这里下结论，让后续「取词超时」去提示
+            return (hwnd_i64, None);
+        }
+        let mut buf = [0u16; 512];
+        let mut size = buf.len() as u32;
+        let ok = QueryFullProcessImageNameW(handle, 0, buf.as_mut_ptr(), &mut size);
+        CloseHandle(handle);
+        if ok == 0 {
+            return (hwnd_i64, None);
+        }
+        let path = String::from_utf16_lossy(&buf[..size as usize]);
+        let name = path
+            .rsplit(['\\', '/'])
+            .next()
+            .unwrap_or(path.as_str())
+            .to_string();
+        (hwnd_i64, if name.is_empty() { None } else { Some(name) })
+    }
+}
+
+/// 模拟「Ctrl + 某键」。
+///
+/// 关键细节：若用户此刻**正按着 Ctrl**（例如取词快捷键本身带 Ctrl），
+/// 我们发出的 Ctrl 抬起会把用户的修饰键一并释放，造成「按一次快捷键后
+/// Ctrl 行为异常」。因此先探测 Ctrl 的物理状态，只补发缺失的那一段。
+fn send_ctrl_chord(vk: u16) {
+    // 高位为 1 表示当前处于按下状态
+    let ctrl_held = (unsafe { GetAsyncKeyState(VK_CONTROL as i32) } as u16 & 0x8000) != 0;
+
+    let mut inputs: Vec<INPUT> = Vec::with_capacity(4);
+    let mut push = |vk: u16, up: bool| {
+        let mut input: INPUT = unsafe { std::mem::zeroed() };
+        input.r#type = INPUT_KEYBOARD;
+        input.Anonymous.ki = KEYBDINPUT {
+            wVk: vk,
+            wScan: 0,
+            dwFlags: if up { KEYEVENTF_KEYUP } else { 0 },
+            time: 0,
+            dwExtraInfo: 0,
+        };
+        inputs.push(input);
+    };
+
+    let own_ctrl = !ctrl_held;
+    if own_ctrl {
+        push(VK_CONTROL, false);
+    }
+    push(vk, false);
+    push(vk, true);
+    if own_ctrl {
+        push(VK_CONTROL, true);
+    }
+
+    unsafe {
+        SendInput(
+            inputs.len() as u32,
+            inputs.as_ptr(),
+            std::mem::size_of::<INPUT>() as i32,
+        );
+    }
+}
+
+/// 模拟 Ctrl+C。
+fn send_ctrl_c() {
+    send_ctrl_chord(VK_C);
+}
+
+/// 模拟 Ctrl+Insert：部分应用对合成的 Ctrl+C 不响应，但认这条经典复制和弦。
+fn send_ctrl_insert() {
+    send_ctrl_chord(VK_INSERT);
+}

src-tauri/src/translate/capture/mod.rs

@@ -0,0 +1,28 @@
+//! 取词：把「用户选中的文本」弄到手。
+//!
+//! 两条路径，由 `selection.mode` 决定（默认 `"smart"`）：
+//! - **UIA 直读**（[`uia_capture`]）：向目标进程的自动化提供者要当前选区。
+//!   不模拟按键、不碰剪贴板，因此不受修饰键残留、UIPI、剪贴板占用影响。读不到就
+//!   返回 None，自动退回下一条路径。
+//! - **兼容路径**（[`clipboard_capture`]）：备份剪贴板 → 模拟 Ctrl+C → 读走 → 还原。
+//!   覆盖最广（几乎所有支持复制的宿主都行），代价是短暂占用剪贴板。
+//!
+//! 调用方不该关心用了哪条路径，只看 [`clipboard_capture::CaptureOutcome::source`] 即可。
+//!
+//! 四条必须显式处理的现实约束（都是踩过才知道的）：
+//! 0. **修饰键残留**：全局快捷键在按键**按下**瞬间触发，此时 Alt 仍被物理按住，
+//!    补发的 Ctrl+C 在目标应用看来是 `Alt+Ctrl+C` —— 没有任何应用把它当复制。
+//!    这是「按了快捷键却取不到词」最主要的原因，见
+//!    [`clipboard_capture`] 里的 `neutralise_modifiers`。
+//! 1. **剪贴板必须被屏蔽**：整个取词过程会动三次剪贴板，而监听线程是 250ms 轮询，
+//!    按序列号逐个记账存在竞态。见 [`crate::clipboard::suppress`]。
+//! 2. **终端类应用不能取词**：Ctrl+C 在那里是中断信号。走进程黑名单，给出可行的替代做法。
+//! 3. **提权窗口取不到词**：目标进程以管理员权限运行时，非提权进程的 `SendInput`
+//!    会被 UIPI 直接丢弃（不报错、无反馈）。因此必须区分「超时」与「剪贴板变了但没有文本」，
+//!    否则用户只会看到一句含糊的失败。
+
+pub mod clipboard_capture;
+#[cfg(windows)]
+pub mod uia_capture;
+
+pub use clipboard_capture::{capture_selection, send_ctrl_v, CaptureRequest};

src-tauri/src/translate/capture/uia_capture.rs

@@ -0,0 +1,174 @@
+//! UIA 直读取词：不模拟任何按键，直接从焦点元素读出选区文本。
+//!
+//! 为什么需要它 —— 模拟 Ctrl+C 这条兼容路径有三个绕不过去的现实问题：
+//! 1. **修饰键残留**。全局快捷键在**按键按下**的瞬间触发，此时 Alt 仍被物理按住，
+//!    我们补发的 Ctrl+C 在目标应用看来是 `Alt+Ctrl+C` —— 没有任何应用把它当「复制」，
+//!    于是必然走到「取词超时」。这正是「试了好几个程序都取不到」的主因。
+//! 2. **提权窗口**。UIPI 会静默丢弃来自低完整性级别进程的模拟按键。
+//! 3. **剪贴板占用**。取词期间用户的剪贴板被临时换掉，任何并发的复制都会丢。
+//!
+//! UIA 三条全避开：它只是「问」目标进程的自动化提供者要当前选区，不改键盘状态、
+//! 不碰剪贴板。浏览器（Chromium / Firefox）、Office、多数 Qt / Win32 编辑控件都提供
+//! TextPattern；读不到就返回 `None`，由调用方退回兼容路径。
+//!
+//! 两条工程约束：
+//! - **必须在独立线程上执行并带超时**。UIA 是跨进程 COM 调用，目标进程无响应时
+//!   `GetFocusedElement` 会一直挂着（既不返回也不报错）。没有超时就会漏线程、
+//!   并且让「取词」这个动作永久卡住。
+//! - **只能尽力而为**。这里不返回 `Result`：UIA 读不到是正常的（很多程序没有
+//!   TextPattern），调用方只需按「有 / 没有」分支，不需要错误文案。
+
+use std::sync::atomic::{AtomicU32, Ordering};
+use std::sync::mpsc as std_mpsc;
+use std::time::Duration;
+
+use windows::Win32::System::Com::{
+    CoCreateInstance, CoInitializeEx, CoUninitialize, CLSCTX_SERVER, COINIT_MULTITHREADED,
+};
+use windows::Win32::UI::Accessibility::{
+    CUIAutomation, IUIAutomation, IUIAutomationElement, IUIAutomationTextPattern,
+    IUIAutomationTextRangeArray, UIA_TextPatternId,
+};
+
+/// 单次 UIA 读取的超时上限。
+///
+/// 700ms 的依据：本地跨进程 COM 往返正常在 10ms 量级；给到 700ms 足以覆盖目标进程
+/// 偶发忙碌，又不会让用户感到「按了没反应」。再长就该交给兼容路径去兜底了。
+const UIA_TIMEOUT: Duration = Duration::from_millis(700);
+
+/// 沿焦点元素向上找 TextPattern 的最大层数。
+///
+/// 浏览器里焦点常落在一个深层节点（甚至是 body），而 TextPattern 挂在更上层的
+/// 文档节点上；但要限制层数——一路上溯到桌面根节点既慢又可能读到整页文本。
+const MAX_ANCESTORS: usize = 4;
+
+/// 连续超时次数上限。达到后本次进程内暂停尝试 UIA。
+///
+/// 超时意味着目标进程（或 UIA 服务）无响应。每次取词都起一个注定挂住的线程
+/// 会持续泄漏，因此给它一个熔断。熔断带 60s 衰减（见 [`read_selection`]）：
+/// 只针对当下无响应的目标，不该让一次抖动永久禁用 UIA。
+static TIMEOUTS: AtomicU32 = AtomicU32::new(0);
+const TIMEOUT_LIMIT: u32 = 3;
+/// 最近一次 UIA 超时的系统时间（毫秒），配合 TIMEOUTS 做衰减复位
+static LAST_TIMEOUT_MS: std::sync::atomic::AtomicU64 = std::sync::atomic::AtomicU64::new(0);
+/// 熔断衰减窗口：距上次超时超过该时长即清零计数，重新给 UIA 机会
+const TIMEOUT_DECAY_MS: u64 = 60_000;
+
+fn system_millis() -> u64 {
+    std::time::SystemTime::now()
+        .duration_since(std::time::UNIX_EPOCH)
+        .map(|d| d.as_millis() as u64)
+        .unwrap_or(0)
+}
+
+/// 尝试用 UIA 直读当前选区文本。读不到返回 `None`。
+pub fn read_selection() -> Option<String> {
+    // 熔断 + 衰减：达到上限后跳过 UIA，但 60s 内未再超时就清零重新启用。
+    // 没有衰减的话，一次抖动（目标进程短暂忙碌）就会让 UIA 在整个进程生命周期里失效，
+    // 之后所有取词都退到模拟按键路径——症状正是「换个程序也取不到」。
+    if TIMEOUTS.load(Ordering::SeqCst) >= TIMEOUT_LIMIT {
+        let last = LAST_TIMEOUT_MS.load(Ordering::SeqCst);
+        let now = system_millis();
+        if last != 0 && now.saturating_sub(last) < TIMEOUT_DECAY_MS {
+            return None;
+        }
+        TIMEOUTS.store(0, Ordering::SeqCst);
+    }
+
+    let (tx, rx) = std_mpsc::channel();
+    std::thread::spawn(move || {
+        let result = read_selection_blocking();
+        let _ = tx.send(result);
+    });
+
+    match rx.recv_timeout(UIA_TIMEOUT) {
+        Ok(Some(text)) => {
+            // 命中即清零熔断计数：超时针对的是「当下的目标」，成功说明 UIA 服务正常
+            TIMEOUTS.store(0, Ordering::SeqCst);
+            Some(text)
+        }
+        // 读不到（没有 TextPattern / 无选区）：正常情况，交给兼容路径
+        Ok(None) => None,
+        Err(_) => {
+            LAST_TIMEOUT_MS.store(system_millis(), Ordering::SeqCst);
+            let n = TIMEOUTS.fetch_add(1, Ordering::SeqCst) + 1;
+            crate::logger::log_warn(
+                "translate",
+                &format!("UIA 取词超时（第 {n} 次），本次改用模拟 Ctrl+C 兜底"),
+            );
+            None
+        }
+    }
+}
+
+/// 真正的读取逻辑。**阻塞**，且必须在独立线程上调用（见模块头注释）。
+fn read_selection_blocking() -> Option<String> {
+    unsafe {
+        let hr = CoInitializeEx(None, COINIT_MULTITHREADED);
+        // 只在本次调用确实初始化了 COM 时才配平 Uninitialize
+        let uninit = hr.is_ok();
+        let result = read_selection_inner();
+        if uninit {
+            CoUninitialize();
+        }
+        result
+    }
+}
+
+fn read_selection_inner() -> Option<String> {
+    unsafe {
+        let automation: IUIAutomation = CoCreateInstance(&CUIAutomation, None, CLSCTX_SERVER).ok()?;
+        let walker = automation.ControlViewWalker().ok()?;
+        let mut element: Option<IUIAutomationElement> = automation.GetFocusedElement().ok();
+
+        let mut depth = 0;
+        while let Some(el) = element {
+            if let Some(text) = selection_text_of(&el) {
+                let trimmed = text.trim();
+                if !trimmed.is_empty() {
+                    return Some(trimmed.to_string());
+                }
+            }
+            if depth >= MAX_ANCESTORS {
+                break;
+            }
+            depth += 1;
+            element = walker.GetParentElement(&el).ok();
+        }
+        None
+    }
+}
+
+/// 取某个元素上「当前选区」的文本。元素不支持 TextPattern 或没有选区 → None。
+fn selection_text_of(element: &IUIAutomationElement) -> Option<String> {
+    unsafe {
+        let pattern = element
+            .GetCurrentPatternAs::<IUIAutomationTextPattern>(UIA_TextPatternId)
+            .ok()?;
+        let ranges: IUIAutomationTextRangeArray = pattern.GetSelection().ok()?;
+        join_ranges(&ranges)
+    }
+}
+
+/// 把多个选区区间拼成一段文本（`-1` 表示不限长度，取区间全部内容）。
+fn join_ranges(ranges: &IUIAutomationTextRangeArray) -> Option<String> {
+    unsafe {
+        let count = ranges.Length().ok()?;
+        if count <= 0 {
+            return None;
+        }
+        let mut parts: Vec<String> = Vec::new();
+        for i in 0..count {
+            let range = ranges.GetElement(i).ok()?;
+            let text = range.GetText(-1).ok()?.to_string();
+            if !text.trim().is_empty() {
+                parts.push(text);
+            }
+        }
+        if parts.is_empty() {
+            None
+        } else {
+            Some(parts.join("\n"))
+        }
+    }
+}

src-tauri/src/translate/engines/ai.rs

@@ -0,0 +1,661 @@
+//! OpenAI 兼容引擎。
+//!
+//! 一套代码覆盖 DeepSeek / OpenAI / 通义（DashScope 兼容模式）/ Kimi / 智谱 /
+//! 本地 Ollama / LM Studio / one-api 等中转服务——它们都提供
+//! `POST {baseUrl}/chat/completions` 且请求响应结构一致，因此差异只在配置项里。
+//!
+//! 翻译场景刻意**不开思考模式**：不写 `thinking` / `reasoning_effort`，换低延迟与低费用。
+//! 若用户确实需要，可通过 `extra_body`（JSON 文本）自行透传。
+
+use std::time::{Duration, Instant};
+
+use serde::Deserialize;
+use serde_json::json;
+
+use super::{
+    apply_common_params, build_user_content, render_template, EngineRequest, ErrorKind, TokenUsage,
+    TranslateEngine, TranslateError, TranslateMode, TranslateResult,
+};
+use crate::translate::settings::{PromptTemplates, TranslateEngineConfig};
+
+/// 自检与连通性测试使用的探测文本
+const PROBE_TEXT: &str = "Hello, world.";
+
+pub struct AiEngine {
+    cfg: TranslateEngineConfig,
+    templates: PromptTemplates,
+    client: reqwest::Client,
+}
+
+impl AiEngine {
+    pub fn new(
+        cfg: TranslateEngineConfig,
+        templates: PromptTemplates,
+        client: reqwest::Client,
+    ) -> Self {
+        Self {
+            cfg,
+            templates,
+            client,
+        }
+    }
+
+    /// API 根地址。容错处理：用户常把完整端点（`.../chat/completions`）直接粘进来，
+    /// 若不在末尾剥掉，就会拼出 `.../chat/completions/chat/completions`，
+    /// 而这类错误在上游表现为 404，排查成本远高于此处一行判断。
+    fn api_root(cfg: &TranslateEngineConfig) -> Result<String, TranslateError> {
+        let raw = cfg.base_url.trim();
+        if raw.is_empty() {
+            return Err(TranslateError::config(format!(
+                "引擎「{}」尚未配置 Base URL",
+                cfg.name
+            )));
+        }
+        if !(raw.starts_with("http://") || raw.starts_with("https://")) {
+            return Err(TranslateError::config(format!(
+                "Base URL 需以 http:// 或 https:// 开头，当前为「{raw}」"
+            )));
+        }
+        let mut root = raw.trim_end_matches('/').to_string();
+        for suffix in ["/chat/completions", "/completions", "/models"] {
+            if let Some(stripped) = root.strip_suffix(suffix) {
+                root = stripped.trim_end_matches('/').to_string();
+                break;
+            }
+        }
+        Ok(root)
+    }
+
+    fn chat_endpoint(cfg: &TranslateEngineConfig) -> Result<String, TranslateError> {
+        Ok(format!("{}/chat/completions", Self::api_root(cfg)?))
+    }
+
+    fn models_endpoint(cfg: &TranslateEngineConfig) -> Result<String, TranslateError> {
+        Ok(format!("{}/models", Self::api_root(cfg)?))
+    }
+
+    /// 密钥只从系统凭据管理器读，不进配置文件、不经前端。
+    fn api_key(cfg: &TranslateEngineConfig) -> String {
+        crate::translate::engine_api_key(&cfg.id)
+    }
+
+    fn require_key(cfg: &TranslateEngineConfig) -> Result<String, TranslateError> {
+        let key = Self::api_key(cfg);
+        if key.trim().is_empty() {
+            return Err(TranslateError::auth(format!(
+                "引擎「{}」尚未配置 API Key，请在翻译设置中填写",
+                cfg.name
+            )));
+        }
+        Ok(key)
+    }
+
+    fn require_model(cfg: &TranslateEngineConfig) -> Result<String, TranslateError> {
+        let model = cfg.model.trim();
+        if model.is_empty() {
+            return Err(TranslateError::config(format!(
+                "引擎「{}」尚未选择模型，可在设置中拉取模型列表后选择",
+                cfg.name
+            )));
+        }
+        Ok(model.to_string())
+    }
+
+    /// 有效 system prompt：实例级自定义提示词优先，否则用模式对应的全局模板。
+    fn system_prompt(&self, req: &EngineRequest) -> String {
+        if !self.cfg.system_prompt.trim().is_empty() {
+            return render_template(&self.cfg.system_prompt, req);
+        }
+        render_template(self.templates.for_mode(req.mode), req)
+    }
+
+    /// 流式收尾。空内容不直接判死：**自动改用同步接口重试一次**。
+    ///
+    /// 上游偶发「流正常结束但 content 为空」（安全拦截、思维链吃满 max_tokens、
+    /// 中转服务抖动都会导致）。用户视角这与请求失败无异，但同步接口往往能正常
+    /// 返回——与其抛错让人手动重试，不如在这里自愈一次。重试失败才把错误交给上层。
+    async fn finish_stream_with_fallback(
+        &self,
+        tx: &tokio::sync::mpsc::Sender<super::StreamEvent>,
+        request_id: String,
+        content: String,
+        req: &EngineRequest,
+        started: Instant,
+        finish_reason: Option<String>,
+    ) -> Result<(), TranslateError> {
+        if content.trim().is_empty() {
+            if tx.is_closed() {
+                // 调用方已放弃（停止 / 新请求顶替），不再花一次 API 调用
+                return Ok(());
+            }
+            crate::logger::log_warn(
+                "translate",
+                &format!(
+                    "「{}」流式返回为空（finish_reason={:?}），自动改用同步接口重试",
+                    self.cfg.name, finish_reason
+                ),
+            );
+            // 同步路径的错误更具体（认证/额度/响应解析都能区分），直接透传
+            let result = self.translate(req).await?;
+            let _ = tx.send(super::StreamEvent::Done { request_id, result }).await;
+            return Ok(());
+        }
+        finish_stream(
+            tx,
+            request_id,
+            content,
+            req,
+            &self.cfg,
+            started.elapsed().as_millis() as u64,
+        )
+        .await
+    }
+}
+
+#[async_trait::async_trait]
+impl TranslateEngine for AiEngine {
+    fn config(&self) -> &TranslateEngineConfig {
+        &self.cfg
+    }
+
+    async fn translate(&self, req: &EngineRequest) -> Result<TranslateResult, TranslateError> {
+        if req.text.trim().is_empty() {
+            return Err(TranslateError::empty());
+        }
+        let key = Self::require_key(&self.cfg)?;
+        let model = Self::require_model(&self.cfg)?;
+        let endpoint = Self::chat_endpoint(&self.cfg)?;
+
+        let mut body = serde_json::Map::new();
+        body.insert("model".to_string(), json!(model));
+        body.insert("stream".to_string(), json!(false));
+        body.insert(
+            "messages".to_string(),
+            json!([
+                { "role": "system", "content": self.system_prompt(req) },
+                { "role": "user", "content": build_user_content(req, self.cfg.supports_vision) },
+            ]),
+        );
+        apply_common_params(&mut body, &self.cfg);
+
+        let started = Instant::now();
+        let resp = self
+            .client
+            .post(&endpoint)
+            .bearer_auth(&key)
+            .timeout(Duration::from_millis(self.cfg.timeout_ms.max(1000)))
+            .json(&serde_json::Value::Object(body))
+            .send()
+            .await
+            .map_err(|e| classify_reqwest(e, &self.cfg.name))?;
+
+        let status = resp.status();
+        let raw = resp
+            .text()
+            .await
+            .map_err(|e| TranslateError::network(format!("读取「{}」响应失败: {e}", self.cfg.name)))?;
+
+        if !status.is_success() {
+            return Err(classify_http(status.as_u16(), &raw, &self.cfg.name, &model));
+        }
+
+        let parsed: ChatResponse = serde_json::from_str(&raw).map_err(|e| {
+            TranslateError::parse(format!("「{}」响应不是预期的 JSON: {e}", self.cfg.name))
+                .with_detail(&raw)
+        })?;
+
+        if let Some(err) = parsed.error {
+            let msg = err
+                .message
+                .filter(|m| !m.trim().is_empty())
+                .unwrap_or_else(|| "上游返回了错误对象".to_string());
+            return Err(
+                TranslateError::new(ErrorKind::Unknown, format!("「{}」返回错误：{msg}", self.cfg.name))
+                    .with_detail(&raw),
+            );
+        }
+
+        let text = parsed
+            .choices
+            .into_iter()
+            .next()
+            .and_then(|c| c.message.content)
+            .map(|s| s.trim().to_string())
+            .filter(|s| !s.is_empty())
+            .ok_or_else(TranslateError::empty)?;
+
+        let latency_ms = started.elapsed().as_millis() as u64;
+        let usage = parsed.usage.map(|u| {
+            let total = if u.total_tokens > 0 {
+                u.total_tokens
+            } else {
+                u.prompt_tokens + u.completion_tokens
+            };
+            TokenUsage {
+                prompt_tokens: u.prompt_tokens,
+                completion_tokens: u.completion_tokens,
+                total_tokens: total,
+            }
+        });
+
+        Ok(TranslateResult {
+            text,
+            // AI 引擎不做语言检测：显式指定了源语言时回显，auto 时留空由前端展示「自动」
+            detected: if req.from.trim().is_empty() || req.from == "auto" {
+                None
+            } else {
+                Some(req.from.clone())
+            },
+            engine_id: self.cfg.id.clone(),
+            engine_name: self.cfg.name.clone(),
+            latency_ms,
+            usage,
+        })
+    }
+
+    /// 流式翻译（SSE）。增量经通道下发，`data: [DONE]` 或流结束时发 Done。
+    ///
+    /// 错误处理约定：**本方法不发送 `StreamEvent::Error`**——任何失败都通过 `Err` 返回，
+    /// 由命令层统一转成错误事件，避免前端收到两条错误。通道关闭（调用方已放弃，
+    /// 例如用户点了停止）时安静返回 `Ok(())`，不当作失败。
+    async fn translate_stream(
+        &self,
+        req: &EngineRequest,
+        request_id: String,
+        tx: tokio::sync::mpsc::Sender<super::StreamEvent>,
+    ) -> Result<(), TranslateError> {
+        if req.text.trim().is_empty() && req.image_png.is_none() {
+            return Err(TranslateError::empty());
+        }
+        let key = Self::require_key(&self.cfg)?;
+        let model = Self::require_model(&self.cfg)?;
+        let endpoint = Self::chat_endpoint(&self.cfg)?;
+
+        let mut body = serde_json::Map::new();
+        body.insert("model".to_string(), json!(model));
+        body.insert("stream".to_string(), json!(true));
+        body.insert(
+            "messages".to_string(),
+            json!([
+                { "role": "system", "content": self.system_prompt(req) },
+                { "role": "user", "content": build_user_content(req, self.cfg.supports_vision) },
+            ]),
+        );
+        apply_common_params(&mut body, &self.cfg);
+
+        let started = Instant::now();
+        let resp = self
+            .client
+            .post(&endpoint)
+            .bearer_auth(&key)
+            .timeout(Duration::from_millis(self.cfg.timeout_ms.max(1000)))
+            .json(&serde_json::Value::Object(body))
+            .send()
+            .await
+            .map_err(|e| classify_reqwest(e, &self.cfg.name))?;
+
+        let status = resp.status();
+        if !status.is_success() {
+            let raw = resp.text().await.unwrap_or_default();
+            return Err(classify_http(status.as_u16(), &raw, &self.cfg.name, &model));
+        }
+
+        // SSE 逐行解析：字节块可能把一行劈成两半，必须先攒缓冲再按 \n 切
+        use futures_util::StreamExt;
+        let mut stream = resp.bytes_stream();
+        let mut buffer: Vec<u8> = Vec::new();
+        let mut content = String::new();
+        let mut finish_reason: Option<String> = None;
+
+        while let Some(item) = stream.next().await {
+            let bytes =
+                item.map_err(|e| TranslateError::network(format!("读取流失败: {e}")))?;
+            buffer.extend_from_slice(&bytes);
+            while let Some(pos) = buffer.iter().position(|&b| b == b'\n') {
+                let line_bytes: Vec<u8> = buffer.drain(..=pos).collect();
+                let line = String::from_utf8_lossy(&line_bytes[..line_bytes.len() - 1]);
+                let Some(payload) = line.trim().strip_prefix("data:") else {
+                    continue;
+                };
+                let payload = payload.trim();
+                if payload.is_empty() {
+                    continue;
+                }
+                if payload == "[DONE]" {
+                    return self
+                        .finish_stream_with_fallback(
+                            &tx,
+                            request_id,
+                            content,
+                            req,
+                            started,
+                            finish_reason,
+                        )
+                        .await;
+                }
+                let Ok(value) = serde_json::from_str::<serde_json::Value>(payload) else {
+                    continue;
+                };
+                // 上游在流中携带错误对象时终止
+                if let Some(message) = value
+                    .pointer("/error/message")
+                    .and_then(|m| m.as_str())
+                    .filter(|m| !m.trim().is_empty())
+                {
+                    return Err(TranslateError::new(
+                        ErrorKind::Unknown,
+                        format!("「{}」流中返回错误：{message}", self.cfg.name),
+                    ));
+                }
+                if let Some(fr) = value
+                    .pointer("/choices/0/finish_reason")
+                    .and_then(|v| v.as_str())
+                {
+                    finish_reason = Some(fr.to_string());
+                }
+                let Some(delta) = value
+                    .pointer("/choices/0/delta/content")
+                    .and_then(|c| c.as_str())
+                    .filter(|d| !d.is_empty())
+                else {
+                    continue;
+                };
+                content.push_str(delta);
+                if tx
+                    .send(super::StreamEvent::Chunk {
+                        request_id: request_id.clone(),
+                        delta: delta.to_string(),
+                    })
+                    .await
+                    .is_err()
+                {
+                    // 通道已关 = 调用方放弃（停止 / 新请求顶替），安静退出
+                    return Ok(());
+                }
+            }
+        }
+
+        // 流结束但没收到 [DONE]：部分上游异常断流。已有内容仍视为成功，
+        // 否则用户会看着已译出一半的结果被告知失败。
+        self.finish_stream_with_fallback(
+            &tx,
+            request_id,
+            content,
+            req,
+            started,
+            finish_reason,
+        )
+        .await
+    }
+
+    async fn list_models(&self) -> Result<Vec<String>, TranslateError> {
+        let key = Self::require_key(&self.cfg)?;
+        let endpoint = Self::models_endpoint(&self.cfg)?;
+        let resp = self
+            .client
+            .get(&endpoint)
+            .bearer_auth(&key)
+            .timeout(Duration::from_millis(self.cfg.timeout_ms.clamp(3_000, 15_000)))
+            .send()
+            .await
+            .map_err(|e| classify_reqwest(e, &self.cfg.name))?;
+
+        let status = resp.status();
+        let raw = resp
+            .text()
+            .await
+            .map_err(|e| TranslateError::network(format!("读取「{}」模型列表失败: {e}", self.cfg.name)))?;
+
+        if !status.is_success() {
+            return Err(classify_http(
+                status.as_u16(),
+                &raw,
+                &self.cfg.name,
+                self.cfg.model.as_str(),
+            ));
+        }
+
+        let parsed: ModelsResponse = serde_json::from_str(&raw).map_err(|e| {
+            TranslateError::parse(format!("「{}」的模型列表无法解析: {e}", self.cfg.name))
+                .with_detail(&raw)
+        })?;
+
+        let mut ids: Vec<String> = parsed
+            .data
+            .into_iter()
+            .map(|m| m.id)
+            .filter(|id| !id.trim().is_empty())
+            .collect();
+        ids.sort();
+        ids.dedup();
+        Ok(ids)
+    }
+
+    async fn test(&self) -> Result<String, TranslateError> {
+        let req = EngineRequest {
+            text: PROBE_TEXT.to_string(),
+            from: "en".to_string(),
+            to: "zh-Hans".to_string(),
+            to_label: "简体中文".to_string(),
+            from_label: "英语".to_string(),
+            mode: TranslateMode::Translate,
+            image_png: None,
+            via: "preview".to_string(),
+        };
+        let started = Instant::now();
+        let result = self.translate(&req).await?;
+        let total = started.elapsed().as_millis() as u64;
+        Ok(format!(
+            "连通正常 · 模型 {} · {}ms · 回显「{}」",
+            self.cfg.model, total, result.text
+        ))
+    }
+}
+
+/// 收尾：把累积内容封装成结果下发。空内容按「上游没产出」处理。
+async fn finish_stream(
+    tx: &tokio::sync::mpsc::Sender<super::StreamEvent>,
+    request_id: String,
+    content: String,
+    req: &EngineRequest,
+    cfg: &TranslateEngineConfig,
+    latency_ms: u64,
+) -> Result<(), TranslateError> {
+    let text = content.trim().to_string();
+    if text.is_empty() {
+        return Err(TranslateError::new(
+            ErrorKind::Empty,
+            format!("「{}」未返回任何译文（流提前结束）", cfg.name),
+        ));
+    }
+    let _ = tx
+        .send(super::StreamEvent::Done {
+            request_id,
+            result: TranslateResult {
+                text,
+                detected: if req.from.trim().is_empty() || req.from == "auto" {
+                    None
+                } else {
+                    Some(req.from.clone())
+                },
+                engine_id: cfg.id.clone(),
+                engine_name: cfg.name.clone(),
+                latency_ms,
+                // 流式路径不索取 usage：stream_options 是各家扩展，兼容性不一
+                usage: None,
+            },
+        })
+        .await;
+    Ok(())
+}
+
+/// 网络层错误分类。
+fn classify_reqwest(e: reqwest::Error, engine: &str) -> TranslateError {
+    if e.is_timeout() {
+        return TranslateError::timeout(format!(
+            "请求「{engine}」超时，可在引擎设置中调大超时时间，或检查网络"
+        ));
+    }
+    if e.is_connect() {
+        return TranslateError::network(format!(
+            "无法连接「{engine}」：{e}（若该服务在境外，请检查网络或开启代理）"
+        ));
+    }
+    TranslateError::network(format!("请求「{engine}」失败：{e}"))
+}
+
+/// HTTP 状态码分类。把「Key 不对」「模型名不对」「被限流」分开，
+/// 是因为这三者在前端的处置动作完全不同。
+fn classify_http(status: u16, body: &str, engine: &str, model: &str) -> TranslateError {
+    let snippet = body.trim();
+    let lower = snippet.to_lowercase();
+    let err = match status {
+        401 | 403 => TranslateError::auth(format!(
+            "「{engine}」认证失败（HTTP {status}），请检查 API Key 是否正确、是否有该模型的权限"
+        )),
+        402 => TranslateError::auth(format!("「{engine}」余额不足或未开通计费（HTTP 402）")),
+        429 => TranslateError::rate_limit(format!(
+            "「{engine}」请求过于频繁（HTTP 429），请稍后重试或降低频率"
+        )),
+        400 | 404 | 422 => {
+            if lower.contains("model") {
+                TranslateError::config(format!(
+                    "「{engine}」不识别模型「{model}」（HTTP {status}）：上游模型名可能已变更，\
+                     请在设置中拉取模型列表后重新选择"
+                ))
+            } else {
+                TranslateError::new(
+                    ErrorKind::Config,
+                    format!("「{engine}」拒绝了该请求（HTTP {status}）"),
+                )
+            }
+        }
+        408 | 504 => TranslateError::timeout(format!("「{engine}」上游超时（HTTP {status}）")),
+        s if (500..600).contains(&s) => {
+            TranslateError::network(format!("「{engine}」服务端错误（HTTP {status}），可稍后重试"))
+        }
+        s => TranslateError::new(ErrorKind::Unknown, format!("「{engine}」返回 HTTP {s}")),
+    };
+    err.with_detail(snippet)
+}
+
+// ===== 响应结构（宽松解析：缺字段不报错，由业务层判断内容是否可用） =====
+
+#[derive(Debug, Deserialize)]
+struct ChatResponse {
+    #[serde(default)]
+    choices: Vec<ChatChoice>,
+    #[serde(default)]
+    usage: Option<ChatUsage>,
+    #[serde(default)]
+    error: Option<ApiErrorBody>,
+}
+
+#[derive(Debug, Deserialize)]
+struct ChatChoice {
+    #[serde(default)]
+    message: ChatMessage,
+}
+
+#[derive(Debug, Default, Deserialize)]
+struct ChatMessage {
+    /// 部分实现会返回 null（例如只产出思维链时），故用 Option 而非 String
+    #[serde(default)]
+    content: Option<String>,
+}
+
+#[derive(Debug, Deserialize)]
+struct ChatUsage {
+    #[serde(default)]
+    prompt_tokens: u32,
+    #[serde(default)]
+    completion_tokens: u32,
+    #[serde(default)]
+    total_tokens: u32,
+}
+
+#[derive(Debug, Deserialize)]
+struct ApiErrorBody {
+    #[serde(default)]
+    message: Option<String>,
+}
+
+#[derive(Debug, Deserialize)]
+struct ModelsResponse {
+    #[serde(default)]
+    data: Vec<ModelEntry>,
+}
+
+#[derive(Debug, Deserialize)]
+struct ModelEntry {
+    #[serde(default)]
+    id: String,
+}
+
+/// 通用（非翻译语义）的对话补全入口：供终端 AI 助手等模块复用引擎配置。
+///
+/// 与翻译路径共享端点归一（剥 `/chat/completions` 后缀）、密钥存取
+/// （凭据管理器）、`apply_common_params`（temperature / max_tokens / extra_body）
+/// 与响应解析，但 **消息由调用方全量给定**——这里不含任何翻译提示词语义。
+///
+/// 刻意做成关联函数而不是 `AiEngine` 的实例方法：调用方（终端助手）只持有
+/// `TranslateEngineConfig`，为它构造 `AiEngine` 还要 PromptTemplates 与 client，
+/// 属于无谓的耦合。
+pub async fn chat_once(
+    cfg: &TranslateEngineConfig,
+    messages: Vec<(&str, String)>,
+) -> Result<String, String> {
+    let key = AiEngine::require_key(cfg).map_err(|e| e.to_string())?;
+    let model = AiEngine::require_model(cfg).map_err(|e| e.to_string())?;
+    let endpoint = AiEngine::chat_endpoint(cfg).map_err(|e| e.to_string())?;
+
+    let mut body = serde_json::Map::new();
+    body.insert("model".to_string(), json!(model));
+    body.insert("stream".to_string(), json!(false));
+    body.insert(
+        "messages".to_string(),
+        json!(messages
+            .into_iter()
+            .map(|(role, content)| json!({ "role": role, "content": content }))
+            .collect::<Vec<_>>()),
+    );
+    apply_common_params(&mut body, cfg);
+
+    let client = reqwest::Client::new();
+    let resp = client
+        .post(&endpoint)
+        .bearer_auth(&key)
+        .timeout(Duration::from_millis(cfg.timeout_ms.max(1000)))
+        .json(&serde_json::Value::Object(body))
+        .send()
+        .await
+        .map_err(|e| classify_reqwest(e, &cfg.name).to_string())?;
+
+    let status = resp.status();
+    let raw = resp
+        .text()
+        .await
+        .map_err(|e| format!("读取「{}」响应失败: {e}", cfg.name))?;
+    if !status.is_success() {
+        return Err(classify_http(status.as_u16(), &raw, &cfg.name, &model).to_string());
+    }
+
+    let parsed: ChatResponse = serde_json::from_str(&raw)
+        .map_err(|e| format!("「{}」响应不是预期的 JSON: {e}", cfg.name))?;
+    if let Some(err) = parsed.error {
+        let msg = err
+            .message
+            .filter(|m| !m.trim().is_empty())
+            .unwrap_or_else(|| "上游返回了错误对象".to_string());
+        return Err(format!("「{}」返回错误：{msg}", cfg.name));
+    }
+
+    parsed
+        .choices
+        .into_iter()
+        .next()
+        .and_then(|c| c.message.content)
+        .map(|s| s.trim().to_string())
+        .filter(|s| !s.is_empty())
+        .ok_or_else(|| format!("「{}」返回了空内容", cfg.name))
+}

src-tauri/src/translate/engines/deepl.rs

@@ -0,0 +1,255 @@
+//! DeepL 云厂商翻译源。
+//!
+//! 选它作云厂商第一家 purely 因为接入成本：`Authorization: DeepL-Auth-Key <key>`
+//! 一个头就完成鉴权，没有 MD5/TC3 那类签名流程。其它云厂商（百度/腾讯/阿里/有道）
+//! 签名各不相同，按需再加。
+//!
+//! 三个必须如实告知用户的限制：
+//! - **免费 Key 与付费 Key 的端点不同**（`api-free.deepl.com` / `api.deepl.com`）。
+//!   用错端点会返回 403，错误信息里必须把这个可能性讲出来，否则用户只会反复重输 Key。
+//! - **目标语言只有简体中文**（`ZH`）。DeepL 暂无繁体中文目标，本实现会把
+//!   `zh-Hant` 也映射到 `ZH`，译出的会是简体——不是 bug，是上游能力边界。
+//! - 无流式接口，走 trait 默认实现（同步完成后整体下发）。
+//!
+//! HTTP 形态：`POST {base}/translate`，body `{"text":["..."],"target_lang":"ZH"}`，
+//! `source_lang` 省略时由上游自动检测。
+
+use std::time::{Duration, Instant};
+
+use serde::Deserialize;
+
+use super::{
+    is_auto, provider_code, ErrorKind, TranslateEngine, TranslateError, TranslateResult,
+};
+use crate::translate::settings::TranslateEngineConfig;
+
+const PROBE_TEXT: &str = "Hello, world.";
+
+pub struct DeepLEngine {
+    cfg: TranslateEngineConfig,
+    client: reqwest::Client,
+}
+
+impl DeepLEngine {
+    pub fn new(cfg: TranslateEngineConfig, client: reqwest::Client) -> Self {
+        Self { cfg, client }
+    }
+
+    /// API 根地址（容错：剥掉误粘的 `/translate`，与 AI 引擎同一思路）
+    fn api_root(&self) -> Result<String, TranslateError> {
+        let raw = self.cfg.base_url.trim();
+        if raw.is_empty() {
+            return Err(TranslateError::config(format!(
+                "引擎「{}」尚未配置 Base URL（免费 Key 用 https://api-free.deepl.com/v2，\
+                 付费 Key 用 https://api.deepl.com/v2）",
+                self.cfg.name
+            )));
+        }
+        if !(raw.starts_with("http://") || raw.starts_with("https://")) {
+            return Err(TranslateError::config(format!(
+                "Base URL 需以 http:// 或 https:// 开头，当前为「{raw}」"
+            )));
+        }
+        let mut root = raw.trim_end_matches('/').to_string();
+        if let Some(stripped) = root.strip_suffix("/translate") {
+            root = stripped.trim_end_matches('/').to_string();
+        }
+        Ok(root)
+    }
+
+    fn require_key(&self) -> Result<String, TranslateError> {
+        let key = crate::translate::engine_api_key(&self.cfg.id);
+        if key.trim().is_empty() {
+            return Err(TranslateError::auth(format!(
+                "引擎「{}」尚未配置 DeepL Auth Key",
+                self.cfg.name
+            )));
+        }
+        Ok(key)
+    }
+
+    /// 目标语言码。DeepL 要求变体形式：英语必须是 EN-GB/EN-US，葡语必须是 PT-PT/PT-BR。
+    fn target_code(internal: &str) -> Result<String, TranslateError> {
+        let code = provider_code(internal);
+        let lower = code.to_lowercase();
+        let out = match lower.as_str() {
+            "zh" | "zh-cn" => "ZH".to_string(),
+            "zh-tw" | "zh-hant" => "ZH".to_string(),
+            "en" => "EN-US".to_string(),
+            "en-gb" => "EN-GB".to_string(),
+            "en-us" => "EN-US".to_string(),
+            "pt" => "PT-BR".to_string(),
+            "pt-pt" => "PT-PT".to_string(),
+            "pt-br" => "PT-BR".to_string(),
+            other => other.split('-').next().unwrap_or(other).to_uppercase(),
+        };
+        if out.trim().is_empty() {
+            return Err(TranslateError::config("未指定目标语言"));
+        }
+        Ok(out)
+    }
+
+    /// 源语言码。省略（auto）时不上送，由上游检测。
+    fn source_code(internal: &str) -> Option<String> {
+        if is_auto(internal) {
+            return None;
+        }
+        let code = provider_code(internal);
+        Some(code.split('-').next().unwrap_or(&code).to_uppercase())
+    }
+}
+
+#[async_trait::async_trait]
+impl TranslateEngine for DeepLEngine {
+    fn config(&self) -> &TranslateEngineConfig {
+        &self.cfg
+    }
+
+    async fn translate(
+        &self,
+        req: &super::EngineRequest,
+    ) -> Result<TranslateResult, TranslateError> {
+        let text = req.text.trim();
+        if text.is_empty() {
+            return Err(TranslateError::empty());
+        }
+        let key = self.require_key()?;
+        let target = Self::target_code(&req.to)?;
+        let root = self.api_root()?;
+
+        let mut body = serde_json::json!({ "text": [text], "target_lang": target });
+        if let Some(source) = Self::source_code(&req.from) {
+            body["source_lang"] = serde_json::json!(source);
+        }
+
+        let started = Instant::now();
+        let resp = self
+            .client
+            .post(format!("{root}/translate"))
+            .header("Authorization", format!("DeepL-Auth-Key {key}"))
+            .timeout(Duration::from_millis(self.cfg.timeout_ms.max(2_000)))
+            .json(&body)
+            .send()
+            .await
+            .map_err(|e| classify_reqwest(e, self.cfg.name.as_str()))?;
+
+        let status = resp.status();
+        let raw = resp.text().await.map_err(|e| {
+            TranslateError::network(format!("读取「{}」响应失败: {e}", self.cfg.name))
+        })?;
+        if !status.is_success() {
+            return Err(classify_http(status.as_u16(), &raw, self.cfg.name.as_str()));
+        }
+
+        let parsed: DeepLResponse = serde_json::from_str(&raw).map_err(|e| {
+            TranslateError::parse(format!("「{}」响应不是预期的 JSON: {e}", self.cfg.name))
+                .with_detail(&raw)
+        })?;
+
+        // DeepL 的翻译结果按 text 数组分段返回；单段请求时取第一段即可
+        let text_out = parsed
+            .translations
+            .first()
+            .and_then(|t| t.text.clone())
+            .map(|t| t.trim().to_string())
+            .filter(|s| !s.is_empty())
+            .ok_or_else(|| {
+                TranslateError::new(
+                    ErrorKind::Empty,
+                    format!("「{}」未返回译文", self.cfg.name),
+                )
+                .with_detail(raw.trim())
+            })?;
+
+        let detected = parsed
+            .translations
+            .first()
+            .and_then(|t| t.detected_source_language.clone())
+            .filter(|s| !s.trim().is_empty())
+            // 上游返回大写（如 "EN"），统一转小写与内部语言码对齐
+            .map(|s| s.to_lowercase());
+
+        Ok(TranslateResult {
+            text: text_out,
+            detected,
+            engine_id: self.cfg.id.clone(),
+            engine_name: self.cfg.name.clone(),
+            latency_ms: started.elapsed().as_millis() as u64,
+            usage: None,
+        })
+    }
+
+    async fn list_models(&self) -> Result<Vec<String>, TranslateError> {
+        Ok(Vec::new())
+    }
+
+    async fn test(&self) -> Result<String, TranslateError> {
+        let req = super::EngineRequest {
+            text: PROBE_TEXT.to_string(),
+            from: "en".to_string(),
+            to: "zh-Hans".to_string(),
+            to_label: "简体中文".to_string(),
+            from_label: "英语".to_string(),
+            mode: super::TranslateMode::Translate,
+            image_png: None,
+            via: "preview".to_string(),
+        };
+        let started = Instant::now();
+        let result = self.translate(&req).await?;
+        Ok(format!(
+            "连通正常 · {}ms · 回显「{}」",
+            started.elapsed().as_millis(),
+            result.text
+        ))
+    }
+}
+
+fn classify_reqwest(e: reqwest::Error, engine: &str) -> TranslateError {
+    if e.is_timeout() {
+        return TranslateError::timeout(format!("请求「{engine}」超时，可调大超时时间"));
+    }
+    if e.is_connect() {
+        return TranslateError::network(format!("无法连接「{engine}」：{e}，请检查网络"));
+    }
+    TranslateError::network(format!("请求「{engine}」失败：{e}"))
+}
+
+fn classify_http(status: u16, body: &str, engine: &str) -> TranslateError {
+    let err = match status {
+        403 => TranslateError::auth(format!(
+            "「{engine}」认证失败（HTTP 403）：Key 无效，或免费 Key 用了付费端点（反之亦然）。\
+             免费 Key 应使用 https://api-free.deepl.com/v2"
+        )),
+        456 => TranslateError::rate_limit(format!(
+            "「{engine}」本月翻译额度已用尽（HTTP 456）"
+        )),
+        429 => TranslateError::rate_limit(format!(
+            "「{engine}」请求过于频繁（HTTP 429），请稍后重试"
+        )),
+        400 => TranslateError::config(format!(
+            "「{engine}」拒绝了该请求（HTTP 400）：目标语言或文本不合法"
+        )),
+        414 => TranslateError::unsupported(format!(
+            "文本过长，「{engine}」拒绝了该请求（HTTP 414）"
+        )),
+        s if (500..600).contains(&s) => {
+            TranslateError::network(format!("「{engine}」服务端错误（HTTP {status}），可稍后重试"))
+        }
+        s => TranslateError::new(ErrorKind::Unknown, format!("「{engine}」返回 HTTP {s}")),
+    };
+    err.with_detail(body.trim())
+}
+
+#[derive(Debug, Deserialize)]
+struct DeepLResponse {
+    #[serde(default)]
+    translations: Vec<DeepLTranslation>,
+}
+
+#[derive(Debug, Deserialize)]
+struct DeepLTranslation {
+    #[serde(default)]
+    text: Option<String>,
+    #[serde(rename = "detected_source_language", default)]
+    detected_source_language: Option<String>,
+}

src-tauri/src/translate/engines/libretranslate.rs

@@ -0,0 +1,244 @@
+//! LibreTranslate 自托管翻译源。
+//!
+//! 定位：用户自部署的开源翻译服务（https://github.com/LibreTranslate/LibreTranslate），
+//! 数据发往用户自己的服务器，不受境外免费接口的 IP 风控（429）限制。
+//!
+//! 接入形态：
+//! - HTTP：`POST {base}/translate`，body `{"q":..., "source":..., "target":..., "format":"text", "api_key":...}`，
+//!   返回 `{"translatedText": "...", "detectedLanguage": {"language": ..., "confidence": ...}}`。
+//! - **语言码不能走 [`super::provider_code`]**：LibreTranslate 用 `zh-Hans` / `zh-Hant` / `en` / `ja`
+//!   这类代码，与内部语言码一致，原样透传即可；`provider_code` 会把 `zh-Hans` 换成 `zh-CN`，
+//!   那是 Google / MyMemory 那套写法。
+//! - 目标语言集取决于部署时的语言包（常见部署仅含 en / ja / zh-Hans 等少数语言）；
+//!   不支持的语言对上游返回 400 + 错误说明，这里把错误说明透传进 detail，而不是猜一个原因。
+//! - **API Key 可选**：部署启用 `LT_API_KEYS` 后必需；未启用时传不传都行，
+//!   本实现仅在已配置密钥时才上送 `api_key` 字段。
+
+use std::time::{Duration, Instant};
+
+use serde::Deserialize;
+
+use super::{is_auto, ErrorKind, TranslateEngine, TranslateError, TranslateResult};
+use crate::translate::settings::TranslateEngineConfig;
+
+const PROBE_TEXT: &str = "Hello, world.";
+
+pub struct LibreTranslateEngine {
+    cfg: TranslateEngineConfig,
+    client: reqwest::Client,
+}
+
+impl LibreTranslateEngine {
+    pub fn new(cfg: TranslateEngineConfig, client: reqwest::Client) -> Self {
+        Self { cfg, client }
+    }
+
+    /// API 根地址（容错：剥掉误粘的 `/translate`，与 DeepL / AI 引擎同一思路）
+    fn api_root(&self) -> Result<String, TranslateError> {
+        let raw = self.cfg.base_url.trim();
+        if raw.is_empty() {
+            return Err(TranslateError::config(format!(
+                "引擎「{}」尚未配置服务地址：请填写自建 LibreTranslate 的地址（如 https://translate.example.com）",
+                self.cfg.name
+            )));
+        }
+        if !(raw.starts_with("http://") || raw.starts_with("https://")) {
+            return Err(TranslateError::config(format!(
+                "服务地址需以 http:// 或 https:// 开头，当前为「{raw}」"
+            )));
+        }
+        let mut root = raw.trim_end_matches('/').to_string();
+        if let Some(stripped) = root.strip_suffix("/translate") {
+            root = stripped.trim_end_matches('/').to_string();
+        }
+        Ok(root)
+    }
+
+    /// API Key（可选）。部署未启用密钥校验时留空即可。
+    fn api_key(&self) -> Option<String> {
+        let key = crate::translate::engine_api_key(&self.cfg.id);
+        let key = key.trim();
+        if key.is_empty() {
+            None
+        } else {
+            Some(key.to_string())
+        }
+    }
+
+    /// 源语言码：auto 原样上送（LibreTranslate 支持自动检测）；显式语言原样透传。
+    fn source_code(&self, from: &str) -> String {
+        if is_auto(from) {
+            "auto".to_string()
+        } else {
+            from.to_string()
+        }
+    }
+
+    /// 目标语言码：原样透传。不能走 provider_code（见文件头注释）。
+    fn target_code(&self, to: &str) -> Result<String, TranslateError> {
+        let code = to.trim();
+        if code.is_empty() {
+            return Err(TranslateError::config("未指定目标语言"));
+        }
+        Ok(code.to_string())
+    }
+}
+
+#[async_trait::async_trait]
+impl TranslateEngine for LibreTranslateEngine {
+    fn config(&self) -> &TranslateEngineConfig {
+        &self.cfg
+    }
+
+    async fn translate(
+        &self,
+        req: &super::EngineRequest,
+    ) -> Result<TranslateResult, TranslateError> {
+        let text = req.text.trim();
+        if text.is_empty() {
+            return Err(TranslateError::empty());
+        }
+        let target = self.target_code(&req.to)?;
+        let source = self.source_code(&req.from);
+        let root = self.api_root()?;
+
+        let mut body = serde_json::json!({
+            "q": text,
+            "source": source,
+            "target": target,
+            "format": "text",
+        });
+        if let Some(key) = self.api_key() {
+            body["api_key"] = serde_json::json!(key);
+        }
+
+        let started = Instant::now();
+        let resp = self
+            .client
+            .post(format!("{root}/translate"))
+            .timeout(Duration::from_millis(self.cfg.timeout_ms.max(2_000)))
+            .json(&body)
+            .send()
+            .await
+            .map_err(|e| classify_reqwest(e, self.cfg.name.as_str()))?;
+
+        let status = resp.status();
+        let raw = resp.text().await.map_err(|e| {
+            TranslateError::network(format!("读取「{}」响应失败: {e}", self.cfg.name))
+        })?;
+        if !status.is_success() {
+            return Err(classify_http(status.as_u16(), &raw, self.cfg.name.as_str()));
+        }
+
+        let parsed: LibreTranslateResponse = serde_json::from_str(&raw).map_err(|e| {
+            TranslateError::parse(format!("「{}」响应不是预期的 JSON: {e}", self.cfg.name))
+                .with_detail(&raw)
+        })?;
+
+        let text_out = parsed
+            .translated_text
+            .map(|t| t.trim().to_string())
+            .filter(|s| !s.is_empty())
+            .ok_or_else(|| {
+                TranslateError::new(
+                    ErrorKind::Empty,
+                    format!("「{}」未返回译文（该语言对可能不受支持）", self.cfg.name),
+                )
+                .with_detail(raw.trim())
+            })?;
+
+        // 仅 source=auto 时上游会回检测结果；显式源语言时该字段缺失
+        let detected = parsed
+            .detected_language
+            .and_then(|d| d.language)
+            .filter(|s| !s.trim().is_empty());
+
+        Ok(TranslateResult {
+            text: text_out,
+            detected,
+            engine_id: self.cfg.id.clone(),
+            engine_name: self.cfg.name.clone(),
+            latency_ms: started.elapsed().as_millis() as u64,
+            usage: None,
+        })
+    }
+
+    /// 免密钥/自托管端点没有「模型」概念
+    async fn list_models(&self) -> Result<Vec<String>, TranslateError> {
+        Ok(Vec::new())
+    }
+
+    async fn test(&self) -> Result<String, TranslateError> {
+        let req = super::EngineRequest {
+            text: PROBE_TEXT.to_string(),
+            from: "en".to_string(),
+            to: "zh-Hans".to_string(),
+            to_label: "简体中文".to_string(),
+            from_label: "英语".to_string(),
+            mode: super::TranslateMode::Translate,
+            image_png: None,
+            via: "preview".to_string(),
+        };
+        let started = Instant::now();
+        let result = self.translate(&req).await?;
+        Ok(format!(
+            "连通正常 · {}ms · 回显「{}」",
+            started.elapsed().as_millis(),
+            result.text
+        ))
+    }
+}
+
+fn classify_reqwest(e: reqwest::Error, engine: &str) -> TranslateError {
+    if e.is_timeout() {
+        return TranslateError::timeout(format!("请求「{engine}」超时，可调大超时时间"));
+    }
+    if e.is_connect() {
+        return TranslateError::network(format!("无法连接「{engine}」：{e}，请检查服务地址与网络"));
+    }
+    TranslateError::network(format!("请求「{engine}」失败：{e}"))
+}
+
+fn classify_http(status: u16, body: &str, engine: &str) -> TranslateError {
+    // LibreTranslate 的错误体是 JSON `{"error": "..."}`，取这条说明作 detail 比整段响应可读
+    let detail = serde_json::from_str::<serde_json::Value>(body)
+        .ok()
+        .and_then(|v| v.get("error").and_then(|e| e.as_str()).map(String::from))
+        .unwrap_or_else(|| body.to_string());
+    let err = match status {
+        400 => TranslateError::config(format!(
+            "「{engine}」拒绝了该请求（HTTP 400）：目标语言可能不在该部署支持范围内"
+        )),
+        401 => TranslateError::auth(format!(
+            "「{engine}」要求 API Key（HTTP 401）：该部署启用了密钥校验，请配置 API Key"
+        )),
+        403 => TranslateError::auth(format!(
+            "「{engine}」API Key 无效（HTTP 403）：请检查 Key 与该部署的密钥设置"
+        )),
+        429 => TranslateError::rate_limit(format!(
+            "「{engine}」请求过于频繁（HTTP 429），请稍后重试"
+        )),
+        404 => TranslateError::config(format!(
+            "「{engine}」地址无效（HTTP 404）：请确认 Base URL 是 LibreTranslate 服务根地址而非某个页面"
+        )),
+        s if (500..600).contains(&s) => {
+            TranslateError::network(format!("「{engine}」服务端错误（HTTP {status}），可稍后重试"))
+        }
+        s => TranslateError::new(ErrorKind::Unknown, format!("「{engine}」返回 HTTP {s}")),
+    };
+    err.with_detail(detail)
+}
+
+#[derive(Debug, Deserialize)]
+struct LibreTranslateResponse {
+    #[serde(rename = "translatedText", default)]
+    translated_text: Option<String>,
+    #[serde(rename = "detectedLanguage", default)]
+    detected_language: Option<DetectedLanguage>,
+}
+
+#[derive(Debug, Deserialize)]
+struct DetectedLanguage {
+    #[serde(default)]
+    language: Option<String>,
+}

src-tauri/src/translate/engines/mod.rs

@@ -0,0 +1,477 @@
+//! 翻译引擎抽象层。
+//!
+//! 设计要点：
+//! - 所有引擎实现同一个 [`TranslateEngine`] trait，命令层只面对 `Box<dyn TranslateEngine>`，
+//!   因此「多源」与「指定源」都不需要在上层写分支。
+//! - 错误被细分为 [`ErrorKind`]：网络类失败可以重试到下一个源，认证/额度类失败重试
+//!   没有意义。前端也据此给出不同提示（「检查 Key」与「检查网络/代理」是两件事）。
+//! - 目标语言一律传**自然语言全称**给模型（`to_label`），语言码只用于记录与查询——
+//!   模型对「繁体中文」的遵循度明显高于 `zh-Hant`。
+
+pub mod ai;
+pub mod deepl;
+pub mod libretranslate;
+pub mod mymemory;
+
+use serde::{Deserialize, Serialize};
+use serde_json::json;
+use specta::Type;
+
+use super::settings::{PromptTemplates, TranslateEngineConfig};
+
+/// 翻译模式（P0 只用 Translate；其余三档为 P3 的同入口扩展预留）。
+#[derive(Debug, Clone, Copy, PartialEq, Eq)]
+pub enum TranslateMode {
+    Translate,
+    Polish,
+    Explain,
+    Summarize,
+}
+
+impl TranslateMode {
+    /// 宽松解析：未知值一律按「翻译」处理，不因前端多传一个枚举值而报错。
+    pub fn parse(raw: Option<&str>) -> Self {
+        match raw.unwrap_or("").trim() {
+            "polish" => Self::Polish,
+            "explain" => Self::Explain,
+            "summarize" => Self::Summarize,
+            _ => Self::Translate,
+        }
+    }
+}
+
+/// 引擎请求（内部结构，不参与类型绑定导出）。
+#[derive(Debug, Clone)]
+pub struct EngineRequest {
+    /// 待处理文本
+    pub text: String,
+    /// 源语言代码，"auto" 表示自动检测
+    pub from: String,
+    /// 目标语言代码（如 zh-Hans）
+    pub to: String,
+    /// 目标语言自然语言全称（如 简体中文），提示词用
+    pub to_label: String,
+    /// 源语言自然语言全称，auto 时为空
+    pub from_label: String,
+    pub mode: TranslateMode,
+    /// 图像输入（base64 PNG，不含 data: 前缀）。仅截图翻译的「视觉直译」模式使用。
+    /// 免密钥源与未声明 supports_vision 的 AI 引擎会拒绝该请求。
+    pub image_png: Option<String>,
+    /// 记入历史时的来源标签："manual" | "selection" | "clipboard" | "screenshot" | "preview"
+    pub via: String,
+}
+
+/// Token 用量（AI 引擎返回；其余引擎为 None）
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct TokenUsage {
+    pub prompt_tokens: u32,
+    pub completion_tokens: u32,
+    pub total_tokens: u32,
+}
+
+/// 翻译结果
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct TranslateResult {
+    /// 译文
+    pub text: String,
+    /// 检测到的源语言（免费源会上报；AI 引擎为显式指定值或 None）
+    pub detected: Option<String>,
+    /// 实际使用的引擎实例 id
+    pub engine_id: String,
+    /// 实际使用的引擎展示名（自动降级时前端要能看出「是谁答的」）
+    pub engine_name: String,
+    /// 耗时（毫秒）
+    pub latency_ms: u64,
+    pub usage: Option<TokenUsage>,
+}
+
+/// 错误分类。区分它们的意义在于**前端能给出可操作的提示**：
+/// `Auth` 要用户去改 Key，`Network` 要用户查网络/代理，`RateLimit` 只需等待。
+#[derive(Debug, Clone, Copy, PartialEq, Eq, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub enum ErrorKind {
+    /// 配置缺失或不合法（未填 Base URL、模型名无效等）
+    Config,
+    /// 认证失败 / 无权限 / 额度耗尽
+    Auth,
+    /// 被限流
+    RateLimit,
+    /// 网络不可达（含代理问题）
+    Network,
+    /// 超时
+    Timeout,
+    /// 响应无法解析（上游改了格式）
+    Parse,
+    /// 不支持的引擎类型或语言对
+    Unsupported,
+    /// 输入为空（取词失败或用户未输入）
+    Empty,
+    /// 被风控/验证码拦截（免费源常见）
+    Captcha,
+    Unknown,
+}
+
+/// 结构化错误：作为 Tauri 命令的 error 类型返回，前端按 `kind` 分支处理。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct TranslateError {
+    pub kind: ErrorKind,
+    pub message: String,
+    /// 上游原始响应片段（已截断），用于排查；不含密钥
+    pub detail: Option<String>,
+}
+
+/// 上游响应片段入库前的截断长度（避免把整页 HTML 塞进错误对象）
+const DETAIL_LIMIT: usize = 400;
+
+impl TranslateError {
+    pub fn new(kind: ErrorKind, message: impl Into<String>) -> Self {
+        Self {
+            kind,
+            message: message.into(),
+            detail: None,
+        }
+    }
+
+    pub fn with_detail(mut self, detail: impl Into<String>) -> Self {
+        let raw = detail.into();
+        let trimmed = raw.trim();
+        if !trimmed.is_empty() {
+            let clipped: String = trimmed.chars().take(DETAIL_LIMIT).collect();
+            self.detail = Some(clipped);
+        }
+        self
+    }
+
+    pub fn config(msg: impl Into<String>) -> Self {
+        Self::new(ErrorKind::Config, msg)
+    }
+    pub fn auth(msg: impl Into<String>) -> Self {
+        Self::new(ErrorKind::Auth, msg)
+    }
+    pub fn rate_limit(msg: impl Into<String>) -> Self {
+        Self::new(ErrorKind::RateLimit, msg)
+    }
+    pub fn network(msg: impl Into<String>) -> Self {
+        Self::new(ErrorKind::Network, msg)
+    }
+    pub fn timeout(msg: impl Into<String>) -> Self {
+        Self::new(ErrorKind::Timeout, msg)
+    }
+    pub fn parse(msg: impl Into<String>) -> Self {
+        Self::new(ErrorKind::Parse, msg)
+    }
+    pub fn unsupported(msg: impl Into<String>) -> Self {
+        Self::new(ErrorKind::Unsupported, msg)
+    }
+    pub fn empty() -> Self {
+        Self::new(ErrorKind::Empty, "没有可翻译的内容")
+    }
+
+    /// 该错误是否值得「换一个源再试」。
+    ///
+    /// 只有 `Empty` 不可重试：输入本身为空，换任何源结果都一样。
+    /// `Unsupported`（本源超长上限 / 不支持该语言对 / 类型未接入）**必须可降级**——
+    /// 「这个源处理不了这个请求」的含义就是「换下一个」，否则配了
+    /// MyMemory + DeepSeek 的用户翻译一篇超长文本会整体失败（MyMemory 优先时）。
+    pub fn retryable(&self) -> bool {
+        self.kind != ErrorKind::Empty
+    }
+}
+
+impl std::fmt::Display for TranslateError {
+    fn fmt(&self, f: &mut std::fmt::Formatter<'_>) -> std::fmt::Result {
+        write!(f, "{}", self.message)
+    }
+}
+
+impl std::error::Error for TranslateError {}
+
+/// 把模板中的占位符替换为实际语言名。
+pub fn render_template(template: &str, req: &EngineRequest) -> String {
+    let target = if req.to_label.trim().is_empty() {
+        req.to.as_str()
+    } else {
+        req.to_label.as_str()
+    };
+    let source = if req.from_label.trim().is_empty() {
+        "原文的语言（自动判断）"
+    } else {
+        req.from_label.as_str()
+    };
+    template
+        .replace("{target}", target)
+        .replace("{source}", source)
+}
+
+/// 翻译模式下统一附加的「混排」指令。
+///
+/// 截图 OCR 经常抽出中英日混排的文本；显式源语言提示（如「源语言：日语」）反而
+/// 会诱导模型把与目标语言字形相同的部分（日文汉字）当作「已经是译文」原样保留
+/// ——这正是「日转中却总有一些日语没被翻译」的主因。
+///
+/// 固定追加在 user 内容末尾而不是改进提示词模板：模板是用户已保存的存量设置，
+/// 改默认值对老用户不生效；这条属于引擎层的硬约束，不该被模板覆盖。
+const MIXED_LANG_NOTE: &str = "注意：原文可能是多语言混排（如中英日混排）。\
+ 请把全部内容统一译为目标语言——包括与目标语言字形相同的文字（如日文汉字）也要译，\
+ 不要原样保留；仅专有名词可保留原文。";
+
+/// 构造送给模型的用户内容。
+///
+/// 纯文本时：仅在**显式指定了源语言**时补一行提示——模型对「源语言是日语」的显式声明
+/// 比让它自行判断更稳；不指定时什么都不加，避免制造无谓的 token 与
+/// 「别输出提示」的博弈。
+///
+/// 带图像时：改为 OpenAI 视觉消息的 content-parts 结构（文本段 + image_url 段），
+/// 与 `https://platform.openai.com/docs/guides/vision` 的请求体一致；
+/// 兼容该格式的服务（DeepSeek 的实验视觉模型、通义、GLM-4V 等）可直接受理。
+pub fn build_user_content(req: &EngineRequest, supports_vision: bool) -> serde_json::Value {
+    let source_hint = if req.mode == TranslateMode::Translate
+        && !req.from.trim().is_empty()
+        && req.from != "auto"
+        && !req.from_label.trim().is_empty()
+    {
+        Some(format!("源语言：{}", req.from_label))
+    } else {
+        None
+    };
+
+    match &req.image_png {
+        Some(data_url) if supports_vision => {
+            let mut parts = vec![];
+            if let Some(hint) = source_hint {
+                parts.push(json!({ "type": "text", "text": hint }));
+            }
+            parts.push(json!({
+                "type": "text",
+                "text": "识别图中的文字并按系统提示翻译。保持原有排版与分段。"
+            }));
+            if req.mode == TranslateMode::Translate {
+                parts.push(json!({ "type": "text", "text": MIXED_LANG_NOTE }));
+            }
+            parts.push(json!({
+                "type": "image_url",
+                "image_url": { "url": format!("data:image/png;base64,{data_url}") }
+            }));
+            json!(parts)
+        }
+        Some(_) => {
+            // 带图但引擎不支持：这不该发生（命令层已拦截），兜底只发文本说明，
+            // 而不是让请求带着一个模型无法理解的字段出去
+            let note = "（请求包含图像，但当前引擎不支持图像输入，仅能处理文本。）";
+            json!(format!("{}{}", note, req.text))
+        }
+        None => {
+            let text = req.text.clone();
+            let base = match source_hint {
+                Some(hint) => format!("{hint}\n\n{text}"),
+                None => text,
+            };
+            // 翻译模式统一追加混排指令；其他模式（润色/解释/总结）语义不同，不追加
+            if req.mode == TranslateMode::Translate {
+                json!(format!("{base}\n\n{MIXED_LANG_NOTE}"))
+            } else {
+                json!(base)
+            }
+        }
+    }
+}
+
+/// 参数对齐后的公共请求体骨架（`model` / `messages` / `stream` 由各引擎补充）。
+pub fn apply_common_params(
+    body: &mut serde_json::Map<String, serde_json::Value>,
+    cfg: &TranslateEngineConfig,
+) {
+    body.insert("temperature".to_string(), serde_json::json!(cfg.temperature));
+    body.insert("max_tokens".to_string(), serde_json::json!(cfg.max_tokens));
+    if let Some(extra) = cfg.extra_body.as_deref().map(str::trim) {
+        if !extra.is_empty() {
+            if let Ok(serde_json::Value::Object(map)) = serde_json::from_str::<serde_json::Value>(extra) {
+                for (k, v) in map {
+                    body.insert(k, v);
+                }
+            }
+            // 解析失败按「无额外参数」处理：不能让一次笔误导致整个翻译不可用，
+            // 具体错误由命令层的 translate_engine_test 反馈给用户。
+        }
+    }
+}
+
+/// 流式翻译的单条事件。
+///
+/// 引擎 → 命令层用 `mpsc` 通道传递（引擎不持有 AppHandle，保持传输层与 UI 层分离），
+/// 命令层再转发为 Tauri 事件给前端。
+///
+/// **序列化形态是前端契约的一部分**：`tag = "type"` 让事件扁平化为
+/// `{"type":"chunk","requestId":"...","delta":"..."}`，而不是 serde 默认的外层标签
+/// `{"Chunk":{...}}`。前端按 `requestId` 过滤事件，多一层嵌套会让 `requestId` 取到
+/// `undefined`、所有事件被丢弃——表现为「历史里有结果，界面上一片空白」。
+///
+/// **注意 serde 的一个坑**：`rename_all` 用在枚举上只重命名**变体名**（Chunk → chunk），
+/// 不作用于变体内的字段——`request_id` 会原样序列化成 `request_id`，前端拿
+/// `payload.requestId` 永远是 undefined。因此每个变体的 `request_id` 字段都显式
+/// `#[serde(rename = "requestId")]`，别合并成 `rename_all_fields`（依赖 serde 版本）。
+/// 改动这里必须同步改 `src/lib/translate/api.ts` 的 `StreamEventPayload`。
+///
+/// `Error` 变体是**兜底通道**：主通道仍是命令的 `Err`（Promise reject）。保留它
+/// 是为了覆盖「命令已返回 requestId、之后才失败」的情形，否则前端会永远停在
+/// 「翻译中」而没有出口。
+#[derive(Debug, Clone, serde::Serialize)]
+#[serde(tag = "type", rename_all = "camelCase")]
+pub enum StreamEvent {
+    /// 增量片段
+    Chunk {
+        #[serde(rename = "requestId")]
+        request_id: String,
+        delta: String,
+    },
+    /// 完成（携带完整结果，含实际引擎名）
+    Done {
+        #[serde(rename = "requestId")]
+        request_id: String,
+        result: TranslateResult,
+    },
+    /// 失败（兜底通道，见类型注释）
+    Error {
+        #[serde(rename = "requestId")]
+        request_id: String,
+        error: TranslateError,
+    },
+}
+
+/// 引擎统一接口。
+///
+/// 用 `async_trait` 而非原生 `async fn in trait`：本 trait 需要 `Box<dyn>` 动态分派
+/// （多源切换是运行期决定的），原生 async fn 在 dyn 场景下不可用。
+#[async_trait::async_trait]
+pub trait TranslateEngine: Send + Sync {
+    /// 引擎配置。id / name 等一律由此读取，避免在每个实现里重复存字段。
+    fn config(&self) -> &TranslateEngineConfig;
+
+    /// 展示名（自动降级时用于记录「是谁失败了」）
+    fn name(&self) -> &str {
+        &self.config().name
+    }
+
+    /// 执行一次翻译
+    async fn translate(&self, req: &EngineRequest) -> Result<TranslateResult, TranslateError>;
+
+    /// 流式翻译：增量经 `tx` 下发，结束时发一条 [`StreamEvent::Done`]。
+    ///
+    /// 默认实现是「同步翻译后整体下发」——**不支持流式的引擎不需要实现它**，
+    /// 前端因此可以统一走流式入口，无需自己判断引擎能力。
+    /// 通道关闭（`send` 失败）意味着调用方已放弃本次请求，实现方应尽快返回而不是报错。
+    async fn translate_stream(
+        &self,
+        req: &EngineRequest,
+        request_id: String,
+        tx: tokio::sync::mpsc::Sender<StreamEvent>,
+    ) -> Result<(), TranslateError> {
+        let result = self.translate(req).await?;
+        let _ = tx.send(StreamEvent::Done { request_id, result }).await;
+        Ok(())
+    }
+
+    /// 拉取可用模型列表（用于「上游改名」这类失效场景的自救入口）
+    async fn list_models(&self) -> Result<Vec<String>, TranslateError>;
+
+    /// 连通性自检：返回一句人类可读的成功描述（含实际模型回显）
+    async fn test(&self) -> Result<String, TranslateError>;
+}
+
+/// 内部语言码 → 第三方源使用的语言码。
+///
+/// 只有中文需要换算：内部统一用 BCP-47 的 `zh-Hans` / `zh-Hant`，而 MyMemory
+/// 沿用 `zh-CN` / `zh-TW` 这一代写法。其余语言码两边一致，原样透传——
+/// 与其维护一张可能过期的全量映射表，不如只处理确有差异的项。
+/// 注意 LibreTranslate 用的是 `zh-Hans` / `zh-Hant`，与内部一致，**不走本函数**。
+pub fn provider_code(code: &str) -> String {
+    match code {
+        "zh-Hans" => "zh-CN".to_string(),
+        "zh-Hant" => "zh-TW".to_string(),
+        other => other.to_string(),
+    }
+}
+
+/// 免费源的语言支持是「尽力而为」的：第三方接口对不支持的语言对通常返回
+/// 空译文而不是明确报错，因此统一在这里识别，给出可操作的提示。
+pub fn is_auto(code: &str) -> bool {
+    let c = code.trim();
+    c.is_empty() || c == "auto"
+}
+
+#[cfg(test)]
+mod tests {
+    use super::StreamEvent;
+
+    /// 前端契约测试：事件必须扁平化为 `{"type":"chunk","requestId":...}`。
+    /// 守护枚举字段命名的 serde 坑（rename_all 在枚举上不改字段名），
+    /// 一旦回退，前端所有流式事件都会因 requestId 取到 undefined 被丢弃。
+    #[test]
+    fn stream_event_serializes_flat_with_camel_case_request_id() {
+        let json = serde_json::to_value(StreamEvent::Chunk {
+            request_id: "r1".into(),
+            delta: "x".into(),
+        })
+        .unwrap();
+        assert_eq!(json["type"], "chunk", "实际形态: {json}");
+        assert_eq!(json["requestId"], "r1", "实际形态: {json}");
+        assert!(json.get("request_id").is_none(), "实际形态: {json}");
+
+        let json = serde_json::to_value(StreamEvent::Done {
+            request_id: "r1".into(),
+            result: super::TranslateResult {
+                text: "t".into(),
+                detected: None,
+                engine_id: "e".into(),
+                engine_name: "n".into(),
+                latency_ms: 1,
+                usage: None,
+            },
+        })
+        .unwrap();
+        assert_eq!(json["type"], "done", "实际形态: {json}");
+        assert_eq!(json["requestId"], "r1", "实际形态: {json}");
+        assert_eq!(json["result"]["engineName"], "n", "实际形态: {json}");
+    }
+}
+
+/// 依据配置构造引擎实例。
+///
+/// P0/P1 已实现：`ai`（OpenAI 兼容家族）与 `free` 下的 libretranslate / mymemory；
+/// `cloud`（需签名的云厂商）在 P3。未实现的类型显式返回 `Unsupported` 而不是静默忽略，
+/// 避免用户配了却「以为生效」。
+pub fn build_engine(
+    cfg: &TranslateEngineConfig,
+    templates: &PromptTemplates,
+    client: reqwest::Client,
+) -> Result<Box<dyn TranslateEngine>, TranslateError> {
+    match cfg.kind.as_str() {
+        "ai" => Ok(Box::new(ai::AiEngine::new(
+            cfg.clone(),
+            templates.clone(),
+            client,
+        ))),
+        "free" => match cfg.preset.as_str() {
+            "libretranslate" => Ok(Box::new(libretranslate::LibreTranslateEngine::new(
+                cfg.clone(),
+                client,
+            ))),
+            "mymemory" => Ok(Box::new(mymemory::MyMemoryEngine::new(cfg.clone(), client))),
+            other => Err(TranslateError::unsupported(format!(
+                "免密钥源「{other}」尚未接入（可选：libretranslate / mymemory）"
+            ))),
+        },
+        "cloud" => match cfg.preset.as_str() {
+            "deepl" => Ok(Box::new(deepl::DeepLEngine::new(cfg.clone(), client))),
+            other => Err(TranslateError::unsupported(format!(
+                "云厂商源「{other}」尚未接入（可选：deepl）"
+            ))),
+        },
+        other => Err(TranslateError::config(format!(
+            "未知的引擎类型「{other}」（仅支持 ai / free / cloud）"
+        ))),
+    }
+}

src-tauri/src/translate/engines/mymemory.rs

@@ -0,0 +1,216 @@
+//! MyMemory 免密钥翻译源。
+//!
+//! 定位：国内可直接访问的免密兜底。质量不如大模型，但胜在零配置、无代理依赖。
+//!
+//! 两个必须知道的限制：
+//! - **不支持自动检测源语言**。`langpair` 要求显式源语言，因此源语言为 `auto` 时
+//!   直接返回可操作的配置错误（而不是发一个注定失败的请求），让「自动」模式降级到下一个源。
+//! - 免费额度按**字节**计（约 500 字节/次，匿名另有每日上限）。超限时上游返回
+//!   `responseStatus: 403` 并在 `responseDetails` 里说明，这里原样透传给用户看。
+
+use std::time::{Duration, Instant};
+
+use serde::Deserialize;
+
+use super::{
+    is_auto, provider_code, ErrorKind, TranslateEngine, TranslateError, TranslateResult,
+};
+use crate::translate::settings::TranslateEngineConfig;
+
+const ENDPOINT: &str = "https://api.mymemory.translated.net/get";
+
+/// 单次查询的字节上限（上游按字节限制，且 langpair 也占额度的一部分）
+const MAX_QUERY_BYTES: usize = 500;
+
+const PROBE_TEXT: &str = "Hello, world.";
+
+pub struct MyMemoryEngine {
+    cfg: TranslateEngineConfig,
+    client: reqwest::Client,
+}
+
+impl MyMemoryEngine {
+    pub fn new(cfg: TranslateEngineConfig, client: reqwest::Client) -> Self {
+        Self { cfg, client }
+    }
+}
+
+#[async_trait::async_trait]
+impl TranslateEngine for MyMemoryEngine {
+    fn config(&self) -> &TranslateEngineConfig {
+        &self.cfg
+    }
+
+    async fn translate(
+        &self,
+        req: &super::EngineRequest,
+    ) -> Result<TranslateResult, TranslateError> {
+        let text = req.text.trim();
+        if text.is_empty() {
+            return Err(TranslateError::empty());
+        }
+        if is_auto(&req.from) {
+            // 不猜：源语言未知时上游无法工作，明确返回配置类错误（可降级）。
+            // 文案要同时覆盖两个入口：主面板的源语言下拉、划词弹窗顶部的「自」循环按钮
+            // ——弹窗的源语言是独立记忆项，与主面板的选择无关，不点明用户会以为
+            // 「主界面选过了为什么还报错」。
+            return Err(TranslateError::config(format!(
+                "「{}」需要显式指定源语言：主面板请在源语言下拉中选具体语言；\
+                 划词弹窗请点击顶部的「自」按钮切换源语言（选择会被记住）",
+                self.cfg.name
+            )));
+        }
+        if text.len() > MAX_QUERY_BYTES {
+            return Err(TranslateError::unsupported(format!(
+                "文本 {} 字节，超过「{}」的单次上限（{MAX_QUERY_BYTES} 字节）",
+                text.len(),
+                self.cfg.name
+            )));
+        }
+        let target = provider_code(&req.to);
+        if target.trim().is_empty() {
+            return Err(TranslateError::config("未指定目标语言"));
+        }
+        let pair = format!("{}|{}", provider_code(&req.from), target);
+
+        let started = Instant::now();
+        let resp = self
+            .client
+            .get(ENDPOINT)
+            .query(&[("q", text), ("langpair", pair.as_str())])
+            .timeout(Duration::from_millis(self.cfg.timeout_ms.max(2_000)))
+            .send()
+            .await
+            .map_err(|e| classify_reqwest(e, self.cfg.name.as_str()))?;
+
+        let status = resp.status();
+        let raw = resp.text().await.map_err(|e| {
+            TranslateError::network(format!("读取「{}」响应失败: {e}", self.cfg.name))
+        })?;
+        if !status.is_success() {
+            return Err(TranslateError::network(format!(
+                "「{}」返回 HTTP {status}",
+                self.cfg.name
+            ))
+            .with_detail(raw.trim()));
+        }
+
+        let parsed: MyMemoryResponse = serde_json::from_str(&raw).map_err(|e| {
+            TranslateError::parse(format!("「{}」响应不是预期的 JSON: {e}", self.cfg.name))
+                .with_detail(&raw)
+        })?;
+
+        // responseStatus 可能是数字 200 也可能是字符串 "403"，统一取整再判断
+        let code = parsed
+            .response_status
+            .as_ref()
+            .and_then(status_as_u64);
+        if let Some(c) = code {
+            if c != 200 {
+                let detail = parsed
+                    .response_details
+                    .clone()
+                    .unwrap_or_else(|| "上游未提供说明".to_string());
+                let kind = if c == 403 { ErrorKind::RateLimit } else { ErrorKind::Unknown };
+                return Err(TranslateError::new(
+                    kind,
+                    format!("「{}」拒绝了请求（status={c}）", self.cfg.name),
+                )
+                .with_detail(detail));
+            }
+        }
+
+        let text_out = parsed
+            .response_data
+            .and_then(|d| d.translated_text)
+            .map(|s| s.trim().to_string())
+            .filter(|s| !s.is_empty());
+
+        let out = match text_out {
+            Some(t) => t,
+            None => {
+                // 免费额度用尽时也会走到这里，把上游说明带上，用户才知所以然
+                let detail = parsed
+                    .response_details
+                    .filter(|d| !d.trim().is_empty())
+                    .unwrap_or_else(|| raw.clone());
+                return Err(TranslateError::new(
+                    ErrorKind::Empty,
+                    format!("「{}」未返回译文（额度用尽或语言对不支持）", self.cfg.name),
+                )
+                .with_detail(detail));
+            }
+        };
+
+        Ok(TranslateResult {
+            text: out,
+            // 源语言是用户显式指定的，没有可上报的检测结果
+            detected: None,
+            engine_id: self.cfg.id.clone(),
+            engine_name: self.cfg.name.clone(),
+            latency_ms: started.elapsed().as_millis() as u64,
+            usage: None,
+        })
+    }
+
+    async fn list_models(&self) -> Result<Vec<String>, TranslateError> {
+        Ok(Vec::new())
+    }
+
+    async fn test(&self) -> Result<String, TranslateError> {
+        let req = super::EngineRequest {
+            text: PROBE_TEXT.to_string(),
+            from: "en".to_string(),
+            to: "zh-Hans".to_string(),
+            to_label: "简体中文".to_string(),
+            from_label: "英语".to_string(),
+            mode: super::TranslateMode::Translate,
+            image_png: None,
+            via: "preview".to_string(),
+        };
+        let started = Instant::now();
+        let result = self.translate(&req).await?;
+        Ok(format!(
+            "连通正常 · {}ms · 回显「{}」",
+            started.elapsed().as_millis(),
+            result.text
+        ))
+    }
+}
+
+/// 从数字或字符串形式的 status 字段取整
+fn status_as_u64(v: &serde_json::Value) -> Option<u64> {
+    match v {
+        serde_json::Value::Number(n) => n.as_u64(),
+        serde_json::Value::String(s) => s.trim().parse::<u64>().ok(),
+        _ => None,
+    }
+}
+
+fn classify_reqwest(e: reqwest::Error, engine: &str) -> TranslateError {
+    if e.is_timeout() {
+        return TranslateError::timeout(format!(
+            "请求「{engine}」超时，可调大超时时间或检查网络"
+        ));
+    }
+    if e.is_connect() {
+        return TranslateError::network(format!("无法连接「{engine}」：{e}，请检查网络"));
+    }
+    TranslateError::network(format!("请求「{engine}」失败：{e}"))
+}
+
+#[derive(Debug, Deserialize)]
+struct MyMemoryResponse {
+    #[serde(rename = "responseData", default)]
+    response_data: Option<ResponseData>,
+    #[serde(rename = "responseStatus", default)]
+    response_status: Option<serde_json::Value>,
+    #[serde(rename = "responseDetails", default)]
+    response_details: Option<String>,
+}
+
+#[derive(Debug, Deserialize)]
+struct ResponseData {
+    #[serde(rename = "translatedText", default)]
+    translated_text: Option<String>,
+}

src-tauri/src/translate/history.rs

@@ -0,0 +1,532 @@
+//! 翻译历史（SQLite）。
+//!
+//! 存储约定：`{app_data_dir}/translate/history.db`。去重键是
+//! `(source_text, to_lang, engine_id)` —— 同一段文字、同一个目标语言、同一个引擎
+//! 只保留一条，重复翻译只更新时间与译文。**不含 `via`**：划词翻过的句子再用主面板翻，
+//! 是同一件事，拆成两条只会让历史变得难搜。
+//!
+//! 收藏条目不参与容量淘汰（`prune_to_max`）——用户明确说「留着」的东西，
+//! 不该因为新记录挤进来而消失。
+//!
+//! 搜索走 FTS5 三元组索引（`history_fts`），详见 `FTS_MIN_CHARS` 与 `fts_phrase` 的说明。
+
+use std::path::Path;
+use std::sync::Mutex;
+
+use rusqlite::{params, Connection};
+use serde::Serialize;
+use specta::Type;
+
+/// 库结构版本。
+///
+/// 与本值不等的库在打开时**整库重建**（见 `History::new`）。现阶段模块仍在开发、
+/// 未实装，历史属于可丢弃数据，因此不做增量迁移——维护一堆迁移分支、还要处理
+/// 「迁移到一半失败」留下的半新半旧库，成本远高于丢掉几条测试记录。
+/// **实装之后再改结构就必须换成真正的迁移。**
+const SCHEMA_VERSION: i64 = 2;
+
+/// 走 FTS 索引所需的最小字符数。
+///
+/// trigram 分词器把文本切成连续 3 字符的 n-gram，索引里不存在长度小于 3 的片段，
+/// 因此 1~2 个字符的 MATCH **不会报错，只会静默返回空结果**。「条件明明对却搜不到」
+/// 比「慢一点」糟糕得多（中文里两字词又恰恰最常见），所以短词回退到 LIKE 全表扫描：
+/// 此时无论走哪条路都谈不上选择性，扫描是可接受的代价。
+const FTS_MIN_CHARS: usize = 3;
+
+/// 一条历史记录
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct HistoryItem {
+    pub id: i64,
+    /// 毫秒时间戳
+    pub ts: i64,
+    pub from_lang: String,
+    pub to_lang: String,
+    pub engine_id: String,
+    pub engine_name: String,
+    pub source_text: String,
+    pub result_text: String,
+    /// 来源："manual" | "selection" | "clipboard" | "screenshot" | "preview"
+    pub via: String,
+    pub favorited: bool,
+    pub latency_ms: i64,
+}
+
+pub struct History {
+    conn: Mutex<Connection>,
+}
+
+/// 全部建表语句。结构版本变化时整库重建，所以这里不需要考虑兼容旧结构。
+///
+/// `history_fts` 是**外部内容表**（`content='history'`）：索引只存倒排表，
+/// 正文仍只留在 `history` 里一份，不做双份存储。代价是它不会自己感知主表变化，
+/// 必须靠下面三个触发器手动同步——漏了任何一个，索引就会和主表静默错位。
+const SCHEMA_SQL: &str = "
+    CREATE TABLE IF NOT EXISTS history (
+       id           INTEGER PRIMARY KEY,
+       ts           INTEGER NOT NULL,
+       from_lang    TEXT NOT NULL,
+       to_lang      TEXT NOT NULL,
+       engine_id    TEXT NOT NULL,
+       engine_name  TEXT NOT NULL DEFAULT '',
+       source_text  TEXT NOT NULL,
+       result_text  TEXT NOT NULL,
+       via          TEXT NOT NULL DEFAULT 'manual',
+       favorited    INTEGER NOT NULL DEFAULT 0,
+       latency_ms   INTEGER NOT NULL DEFAULT 0,
+       UNIQUE(source_text, to_lang, engine_id)
+    );
+    CREATE INDEX IF NOT EXISTS idx_history_ts ON history(ts DESC);
+    CREATE INDEX IF NOT EXISTS idx_history_fav ON history(favorited, ts DESC);
+
+    CREATE VIRTUAL TABLE IF NOT EXISTS history_fts USING fts5(
+       source_text, result_text,
+       content='history', content_rowid='id',
+       tokenize='trigram'
+    );
+
+    CREATE TRIGGER IF NOT EXISTS history_fts_ai AFTER INSERT ON history BEGIN
+       INSERT INTO history_fts(rowid, source_text, result_text)
+       VALUES (new.id, new.source_text, new.result_text);
+    END;
+    CREATE TRIGGER IF NOT EXISTS history_fts_ad AFTER DELETE ON history BEGIN
+       INSERT INTO history_fts(history_fts, rowid, source_text, result_text)
+       VALUES ('delete', old.id, old.source_text, old.result_text);
+    END;
+    CREATE TRIGGER IF NOT EXISTS history_fts_au AFTER UPDATE ON history BEGIN
+       INSERT INTO history_fts(history_fts, rowid, source_text, result_text)
+       VALUES ('delete', old.id, old.source_text, old.result_text);
+       INSERT INTO history_fts(rowid, source_text, result_text)
+       VALUES (new.id, new.source_text, new.result_text);
+    END;
+";
+
+impl History {
+    pub fn new(dir: &Path) -> Result<Self, String> {
+        std::fs::create_dir_all(dir).map_err(|e| format!("创建翻译目录失败: {e}"))?;
+        let conn =
+            Connection::open(dir.join("history.db")).map_err(|e| format!("打开历史库失败: {e}"))?;
+        conn.execute_batch("PRAGMA journal_mode = WAL;")
+            .map_err(|e| format!("初始化历史库失败: {e}"))?;
+
+        let version: i64 = conn
+            .query_row("PRAGMA user_version", [], |row| row.get(0))
+            .map_err(|e| format!("读取历史库版本失败: {e}"))?;
+        if version != SCHEMA_VERSION {
+            // 先删 FTS 表再删主表：触发器挂在主表上，会跟着一起消失
+            conn.execute_batch(
+                "DROP TABLE IF EXISTS history_fts;
+                 DROP TABLE IF EXISTS history;",
+            )
+            .map_err(|e| format!("重建历史库失败: {e}"))?;
+        }
+
+        conn.execute_batch(SCHEMA_SQL)
+            .map_err(|e| format!("初始化历史表失败: {e}"))?;
+        conn.execute_batch(&format!("PRAGMA user_version = {SCHEMA_VERSION};"))
+            .map_err(|e| format!("写入历史库版本失败: {e}"))?;
+
+        Ok(Self {
+            conn: Mutex::new(conn),
+        })
+    }
+
+    fn conn(&self) -> std::sync::MutexGuard<'_, Connection> {
+        self.conn.lock().unwrap_or_else(|e| e.into_inner())
+    }
+
+    /// 记录一次翻译（去重：命中则更新时间与译文）。
+    pub fn record(
+        &self,
+        from_lang: &str,
+        to_lang: &str,
+        engine_id: &str,
+        engine_name: &str,
+        source_text: &str,
+        result_text: &str,
+        via: &str,
+        latency_ms: i64,
+    ) -> Result<(), String> {
+        if source_text.trim().is_empty() || result_text.trim().is_empty() {
+            return Ok(());
+        }
+        let now = chrono::Utc::now().timestamp_millis();
+        self.conn()
+            .execute(
+                "INSERT INTO history (ts, from_lang, to_lang, engine_id, engine_name,
+                     source_text, result_text, via, favorited, latency_ms)
+                 VALUES (?1, ?2, ?3, ?4, ?5, ?6, ?7, ?8, 0, ?9)
+                 ON CONFLICT(source_text, to_lang, engine_id)
+                 DO UPDATE SET ts = excluded.ts, result_text = excluded.result_text,
+                     via = excluded.via, latency_ms = excluded.latency_ms",
+                params![
+                    now,
+                    from_lang,
+                    to_lang,
+                    engine_id,
+                    engine_name,
+                    source_text,
+                    result_text,
+                    via,
+                    latency_ms
+                ],
+            )
+            .map_err(|e| format!("写入历史失败: {e}"))?;
+        Ok(())
+    }
+
+    /// 列表。`query` 非空时按原文/译文模糊匹配。
+    ///
+    /// 两种 SQL 形态互斥，但**参数个数与顺序固定为 (limit, offset, ?3)**，
+    /// 这样绑定点不需要跟着分支走：
+    /// - 关键词 ≥ `FTS_MIN_CHARS` 走 FTS5 索引（`history_fts MATCH`）；
+    /// - 更短（或没有关键词）走 LIKE。
+    ///
+    /// 两条路径都是子串语义、都忽略 ASCII 大小写，行为一致。
+    pub fn list(
+        &self,
+        offset: i64,
+        limit: i64,
+        query: Option<&str>,
+        favorited_only: bool,
+    ) -> Result<Vec<HistoryItem>, String> {
+        let term = query.map(str::trim).filter(|s| !s.is_empty());
+        let use_fts = term.is_some_and(|t| t.chars().count() >= FTS_MIN_CHARS);
+
+        let mut sql = String::new();
+        if use_fts {
+            // 列必须带 h. 前缀：source_text / result_text 在两张表里同名，不加限定会歧义。
+            sql.push_str(
+                "SELECT h.id, h.ts, h.from_lang, h.to_lang, h.engine_id, h.engine_name,
+                        h.source_text, h.result_text, h.via, h.favorited, h.latency_ms
+                 FROM history_fts f JOIN history h ON h.id = f.rowid
+                 WHERE history_fts MATCH ?3",
+            );
+            if favorited_only {
+                sql.push_str(" AND h.favorited = 1");
+            }
+            sql.push_str(" ORDER BY h.ts DESC LIMIT ?1 OFFSET ?2");
+        } else {
+            sql.push_str(
+                "SELECT id, ts, from_lang, to_lang, engine_id, engine_name, source_text,
+                        result_text, via, favorited, latency_ms FROM history WHERE ",
+            );
+            if favorited_only {
+                sql.push_str("favorited = 1 AND ");
+            }
+            // 无关键词时 pattern 为 NULL，`?3 IS NULL` 让条件恒真。
+            // 这样参数个数固定，避免「有/无 ?3」两种形态下绑定索引不一致。
+            // ESCAPE '\'：SQLite 的 LIKE 默认没有转义符，不写这个子句
+            // escape_like 对 %/_ 的转义就是无效代码。
+            sql.push_str(
+                "(?3 IS NULL OR source_text LIKE ?3 ESCAPE '\\' OR result_text LIKE ?3 ESCAPE '\\')
+                 ORDER BY ts DESC LIMIT ?1 OFFSET ?2",
+            );
+        }
+
+        let param3 = term.map(|t| {
+            if use_fts {
+                fts_phrase(t)
+            } else {
+                format!("%{}%", escape_like(t))
+            }
+        });
+
+        let conn = self.conn();
+        let mut stmt = conn.prepare(&sql).map_err(|e| format!("查询历史失败: {e}"))?;
+        let rows = stmt
+            .query_map(params![limit, offset, param3], row_to_item)
+            .map_err(|e| format!("查询历史失败: {e}"))?;
+        let mut items = Vec::new();
+        for row in rows {
+            items.push(row.map_err(|e| format!("读取历史失败: {e}"))?);
+        }
+        Ok(items)
+    }
+
+    pub fn delete(&self, id: i64) -> Result<(), String> {
+        self.conn()
+            .execute("DELETE FROM history WHERE id = ?1", params![id])
+            .map_err(|e| format!("删除历史失败: {e}"))?;
+        Ok(())
+    }
+
+    pub fn clear(&self) -> Result<(), String> {
+        self.conn()
+            .execute("DELETE FROM history", [])
+            .map_err(|e| format!("清空历史失败: {e}"))?;
+        Ok(())
+    }
+
+    pub fn set_favorited(&self, id: i64, favorited: bool) -> Result<(), String> {
+        self.conn()
+            .execute(
+                "UPDATE history SET favorited = ?1 WHERE id = ?2",
+                params![favorited as i64, id],
+            )
+            .map_err(|e| format!("更新收藏失败: {e}"))?;
+        Ok(())
+    }
+
+    /// 容量淘汰：超出上限时优先删最旧的非收藏记录。
+    pub fn prune_to_max(&self, max_items: i64) {
+        if max_items <= 0 {
+            return;
+        }
+        let Ok(conn) = self.conn.lock() else {
+            return;
+        };
+        let _ = conn.execute(
+            "DELETE FROM history WHERE id IN (
+                SELECT id FROM history WHERE favorited = 0
+                ORDER BY ts DESC LIMIT -1 OFFSET ?1
+             )",
+            params![max_items],
+        );
+    }
+}
+
+fn escape_like(input: &str) -> String {
+    input.replace('\\', "\\\\").replace('%', "\\%").replace('_', "\\_")
+}
+
+/// 把用户输入包成一个 FTS5 短语查询。
+///
+/// **必须包引号**：FTS5 的 MATCH 参数有自己的一套查询语法，`-`、`*`、`(`、`^`
+/// 以及 `AND`/`OR`/`NOT` 都会被当作操作符——用户搜 `a-b` 会被解释成「含 a 但不含 b」，
+/// 搜 `(` 之类则直接抛语法错误。整串加双引号后退化成「按字面顺序出现的短语」，
+/// 与原本 LIKE 子串语义对齐；引号内的 `"` 用双写转义。
+fn fts_phrase(term: &str) -> String {
+    format!("\"{}\"", term.replace('"', "\"\""))
+}
+
+fn row_to_item(row: &rusqlite::Row<'_>) -> rusqlite::Result<HistoryItem> {
+    Ok(HistoryItem {
+        id: row.get(0)?,
+        ts: row.get(1)?,
+        from_lang: row.get(2)?,
+        to_lang: row.get(3)?,
+        engine_id: row.get(4)?,
+        engine_name: row.get(5)?,
+        source_text: row.get(6)?,
+        result_text: row.get(7)?,
+        via: row.get(8)?,
+        favorited: row.get::<_, i64>(9)? != 0,
+        latency_ms: row.get(10)?,
+    })
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+    use std::path::{Path, PathBuf};
+    use std::sync::atomic::{AtomicUsize, Ordering};
+
+    /// 每个用例一个独立目录。`History` 持有连接，测试结束前无法删目录（Windows 会拒绝），
+    /// 因此这里只保证不互相踩，不留清理——落在系统临时目录里是可以接受的代价。
+    fn open(tag: &str) -> (History, PathBuf) {
+        static SEQ: AtomicUsize = AtomicUsize::new(0);
+        let n = SEQ.fetch_add(1, Ordering::Relaxed);
+        let dir = std::env::temp_dir().join(format!(
+            "thing-history-test-{}-{tag}-{n}",
+            std::process::id()
+        ));
+        let _ = std::fs::remove_dir_all(&dir);
+        let history = History::new(&dir).expect("建库失败");
+        (history, dir)
+    }
+
+    /// 一组覆盖两种分词行为的样例：
+    /// 中日英混排、含 FTS 元字符（`-` `*` `"`）、含 LIKE 元字符（`%`）、含 FTS 操作符关键字。
+    const SOURCE_JA: &str = "日本語の翻訳を確認します";
+    const RESULT_JA: &str = "确认日本语翻译";
+    const SOURCE_EN: &str = "return the formatted date string";
+    const RESULT_EN: &str = "返回格式化后的日期字符串";
+    const SOURCE_JA2: &str = "すべての項目に入力をしてください";
+    const RESULT_JA2: &str = "请在所有项目中输入。";
+    const SOURCE_META: &str = "tail with \"quote\" and *star and a-b";
+    const SOURCE_PCT: &str = "100% done";
+    const SOURCE_KW: &str = "a AND b";
+
+    fn seed(h: &History) {
+        let rows = [
+            (SOURCE_JA, RESULT_JA, "manual"),
+            (SOURCE_EN, RESULT_EN, "clipboard"),
+            (SOURCE_JA2, RESULT_JA2, "selection"),
+            (SOURCE_META, "x", "manual"),
+            (SOURCE_PCT, "y", "manual"),
+            (SOURCE_KW, "z", "manual"),
+        ];
+        for (i, (src, res, via)) in rows.iter().enumerate() {
+            h.record("auto", "zh-Hans", "mock", "Mock", src, res, via, i as i64)
+                .expect("写入失败");
+        }
+    }
+
+    /// 用原生 LIKE 算出的基准集合，作为 FTS 路径的正确性参照。
+    fn like_baseline(dir: &Path, term: &str, favorited_only: bool) -> Vec<i64> {
+        let conn = Connection::open(dir.join("history.db")).unwrap();
+        let pattern = format!("%{}%", escape_like(term));
+        let sql = if favorited_only {
+            "SELECT id FROM history WHERE favorited = 1
+             AND (source_text LIKE ?1 ESCAPE '\\' OR result_text LIKE ?1 ESCAPE '\\')"
+        } else {
+            "SELECT id FROM history WHERE
+             source_text LIKE ?1 ESCAPE '\\' OR result_text LIKE ?1 ESCAPE '\\'"
+        };
+        let mut stmt = conn.prepare(sql).unwrap();
+        let rows = stmt.query_map(params![pattern], |r| r.get::<_, i64>(0)).unwrap();
+        rows.map(|r| r.unwrap()).collect()
+    }
+
+    /// 按集合比较，忽略顺序：`record()` 用 wall clock 打时间戳，同一用例内的记录
+    /// ts 可能相同，`ORDER BY ts DESC` 的先后不稳定，比顺序会随机失败。
+    fn sorted_ids(h: &History, term: &str, favorited_only: bool) -> Vec<i64> {
+        let mut ids: Vec<i64> = h
+            .list(0, 100, Some(term), favorited_only)
+            .expect("查询失败")
+            .iter()
+            .map(|i| i.id)
+            .collect();
+        ids.sort_unstable();
+        ids
+    }
+
+    fn sorted(v: Vec<i64>) -> Vec<i64> {
+        let mut v = v;
+        v.sort_unstable();
+        v
+    }
+
+    /// 两种 SQL 形态必须给出**完全一致**的结果。
+    ///
+    /// 这条测试的核心是钉住长度分流：trigram 索引里没有短于 3 字符的片段，
+    /// 对 1~2 字的关键词 `MATCH` 不报错、只返回空集。少了回退分支，中文两字词
+    /// （最常见的一类查询）就会「条件明明对却搜不到」。
+    #[test]
+    fn fts_and_like_paths_agree_across_query_lengths() {
+        let (h, dir) = open("paths-agree");
+        seed(&h);
+        let ids: Vec<i64> = h.list(0, 100, None, false).unwrap().iter().map(|i| i.id).collect();
+        assert_eq!(ids.len(), 6, "样例数据应为 6 条（去重键各不相同）");
+        h.set_favorited(ids[1], true).unwrap();
+
+        let terms = [
+            "确",         // 1 字 → LIKE 回退
+            "确认",       // 2 字 → LIKE 回退（中文里最常见，最容易踩坑的长度）
+            "fo",         // 2 字符 ASCII → LIKE 回退
+            "确认日",     // 3 字 → FTS
+            "日本语翻译", // 5 字 → FTS
+            "form",       // 4 字符 → FTS，且是 formatted 的子串
+            "the formatted",
+            "zzz",        // 无命中
+            "100%",       // LIKE 元字符：两条路径都必须按字面处理
+            "a-b",        // FTS 里 `-` 是操作符，必须被短语引号中和
+            "*star",
+            "with \"quote\"",
+            "AND", // FTS 关键字，必须按字面匹配而不是当运算符
+            "(((",
+        ];
+        for term in terms {
+            for favorited_only in [false, true] {
+                assert_eq!(
+                    sorted_ids(&h, term, favorited_only),
+                    sorted(like_baseline(&dir, term, favorited_only)),
+                    "关键词 {term:?}（favoritedOnly={favorited_only}）两条路径结果不一致"
+                );
+            }
+        }
+    }
+
+    /// 外部内容表不会自动感知主表变化，全靠触发器。漏一个就会让索引与正文静默错位
+    /// ——表现是「刚翻过的句子搜不到」或「已删掉的记录还能搜出来」，都很难归因。
+    #[test]
+    fn triggers_keep_fts_in_sync_with_upsert_and_delete() {
+        let (h, _dir) = open("trigger-sync");
+        h.record("ja", "zh-Hans", "mock", "Mock", SOURCE_JA, RESULT_JA, "manual", 1)
+            .unwrap();
+        assert_eq!(sorted_ids(&h, "日本语翻译", false).len(), 1, "新记录应可搜到");
+
+        // 去重键命中 → 走 ON CONFLICT DO UPDATE，应触发 update 触发器
+        h.record("ja", "zh-Hans", "mock", "Mock", SOURCE_JA, "换了译文的说法", "manual", 2)
+            .unwrap();
+        assert_eq!(h.list(0, 100, None, false).unwrap().len(), 1, "应仍是同一条记录");
+        assert_eq!(sorted_ids(&h, "换了译文的说法", false).len(), 1, "更新后新译文应可搜到");
+        assert!(sorted_ids(&h, "日本语翻译", false).is_empty(), "更新后旧译文不应再命中");
+
+        let id = h.list(0, 100, None, false).unwrap()[0].id;
+        h.delete(id).unwrap();
+        assert!(sorted_ids(&h, "换了译文的说法", false).is_empty(), "删除后不应再命中");
+
+        h.record("ja", "zh-Hans", "mock", "Mock", SOURCE_JA, RESULT_JA, "manual", 3)
+            .unwrap();
+        h.clear().unwrap();
+        assert!(h.list(0, 100, None, false).unwrap().is_empty());
+        assert!(sorted_ids(&h, "换了译文的说法", false).is_empty(), "清空后索引应为空");
+    }
+
+    /// FTS 索引必须与主表行数一致。用 FTS5 自带的完整性检查暴露静默错位。
+    #[test]
+    fn fts_index_passes_integrity_check() {
+        let (h, _dir) = open("integrity");
+        seed(&h);
+        let conn = h.conn();
+        conn.execute("INSERT INTO history_fts(history_fts) VALUES('integrity-check')", [])
+            .expect("FTS 索引与主表不一致");
+    }
+
+    /// 收藏条目不参与容量淘汰（既有约定，顺手一起守住）。
+    #[test]
+    fn prune_drops_oldest_unfavorited_only() {
+        let (h, _dir) = open("prune");
+        for i in 0..6 {
+            // 原文必须各不相同：去重键含 source_text，同一段文字只会留一条
+            let src = format!("{SOURCE_JA}{i}");
+            h.record("auto", "zh-Hans", "mock", "Mock", &src, RESULT_JA, "manual", i)
+                .unwrap();
+        }
+        let ids: Vec<i64> = h.list(0, 100, None, false).unwrap().iter().map(|i| i.id).collect();
+        assert_eq!(ids.len(), 6);
+        let favorite = ids[2];
+        h.set_favorited(favorite, true).unwrap();
+
+        h.prune_to_max(3);
+
+        let left: Vec<i64> = h.list(0, 100, None, false).unwrap().iter().map(|i| i.id).collect();
+        assert!(left.contains(&favorite), "收藏条目被淘汰了");
+        assert_eq!(left.len(), 4, "上限 3 之外只该多留那条收藏，实际剩 {left:?}");
+    }
+
+    /// 结构版本变化时整库重建。这条是「现在允许丢数据」这个前提的守卫：
+    /// 一旦有人把 SCHEMA_VERSION 忘了改，旧库会带着不兼容的结构跑下去。
+    #[test]
+    fn stale_schema_is_dropped_and_rebuilt() {
+        let (h, dir) = open("schema-reset");
+        seed(&h);
+        assert_eq!(h.list(0, 100, None, false).unwrap().len(), 6);
+        drop(h);
+
+        {
+            let conn = Connection::open(dir.join("history.db")).unwrap();
+            conn.execute("INSERT INTO history(ts, from_lang, to_lang, engine_id, engine_name, source_text, result_text, via, favorited, latency_ms)
+                          VALUES (1,'auto','zh-Hans','mock','Mock','stale row','stale row','manual',0,0)", []).unwrap();
+            conn.execute_batch("PRAGMA user_version = 1;").unwrap();
+        }
+
+        let rebuilt = History::new(&dir).expect("重建失败");
+        assert!(
+            rebuilt.list(0, 100, None, false).unwrap().is_empty(),
+            "版本不匹配时旧数据应被清掉"
+        );
+        assert!(sorted_ids(&rebuilt, "stale row", false).is_empty(), "重建后不应残留旧索引");
+    }
+
+    /// 短语化必须中和 FTS5 的查询语法，否则用户搜 `a-b` 会被解释成「含 a 但不含 b」，
+    /// 搜 `(` 之类则直接抛语法错误。
+    #[test]
+    fn fts_phrase_quotes_and_escapes() {
+        assert_eq!(fts_phrase("a-b"), "\"a-b\"");
+        assert_eq!(fts_phrase("say \"hi\""), "\"say \"\"hi\"\"\"");
+        assert_eq!(fts_phrase("("), "\"(\"");
+    }
+}

src-tauri/src/translate/mod.rs

@@ -0,0 +1,455 @@
+//! 翻译模块：多源翻译 + AI 翻译 + 划词翻译 + 截图翻译。
+//!
+//! 架构（详见仓库根目录 `TRANSLATE_MODULE_PLAN.md`）：
+//!
+//! ```text
+//! 前端（主面板 / 划词悬浮窗 / 截图选区）
+//!   ↓ Tauri IPC
+//! commands.rs   命令层（薄：参数整形 + 交给 manager）
+//!   ↓
+//! TranslateManager（本文件）：设置读写 / 引擎装配 / 代理判定 / 自动降级编排
+//!   ↓
+//! engines/      引擎实现（ai = OpenAI 兼容；free = libretranslate / mymemory）
+//! capture/      取词（P1：Ctrl+C 兼容路径）
+//! popup.rs      取词结果的非激活悬浮窗
+//!   ↓ reqwest
+//! DeepSeek / OpenAI 兼容端点 / LibreTranslate / MyMemory
+//! ```
+//!
+//! 三条贯穿全模块的约束：
+//! 1. **网络请求只在 Rust 侧发生**。生产构建的 CSP 只允许 `ipc:` 连接，前端直连外部
+//!    API 会被静默拦截；且密钥若进入 WebView，等于把凭据暴露给了页面上下文。
+//! 2. **引擎实例按请求即时构造**，不缓存。引擎是有状态的（密钥、模型、超时），
+//!    而设置页改完就该立刻生效——缓存实例反而要额外处理失效，得不偿失。
+//! 3. **代理只在这里判定一次**。reqwest 的代理必须在建 Client 时指定、不能按请求覆盖，
+//!    因此「直连还是走代理」的决策收敛到 [`TranslateManager::select_client`]，
+//!    各引擎一律拿现成的客户端。
+
+mod capture;
+mod commands;
+mod engines;
+mod history;
+mod ocr;
+mod popup;
+mod settings;
+
+pub use commands::{
+    translate_abort, translate_apply_shortcuts, translate_copy_text, translate_engine_delete,
+    translate_engine_models, translate_engine_save, translate_engine_test_config,
+    translate_engines_list,
+    translate_get_settings, translate_history_clear, translate_history_delete,
+    translate_history_list, translate_history_set_favorited, translate_ocr_languages,
+    translate_paste_back, translate_popup_edit_mode, translate_popup_hide,
+    translate_popup_prefs_set, translate_popup_ready, translate_popup_resize,
+    translate_popup_set_pinned, translate_preview_popup, translate_run, translate_save_settings,
+    translate_screenshot_region, translate_secret_clear, translate_secret_set,
+    translate_stream_start,
+};
+pub use engines::{TranslateEngine, TranslateError, TranslateResult};
+// 只再导出本模块内部（mod.rs / commands.rs / popup.rs）实际用到的类型。其余类型仍保留在
+// `engines::` / `settings::` 下，等真正用到时再提升到此处——提前摆出一堆无人消费的再导出，
+// 只会让「谁在用」更难判断。
+pub use settings::TranslateSettings;
+// 终端 AI 助手（terminal/assistant.rs）复用引擎配置与通用对话补全——
+// 「现在真正用到了」，按上面的原则提升到此处。
+pub use settings::TranslateEngineConfig;
+pub use engines::ai::chat_once;
+
+use engines::EngineRequest;
+use std::path::PathBuf;
+use std::sync::Mutex;
+use std::time::{Duration, Instant};
+
+/// 设置内存缓存有效期。设置页存在「读一次、改一处、再读」的高频往返，
+/// 不缓存会反复读盘；缓存过长又会让外部改动不可见，500ms 与音乐模块保持一致。
+const SETTINGS_CACHE_TTL: Duration = Duration::from_millis(500);
+
+/// 代理可用性的缓存有效期。控制端探测是一次本机 HTTP 请求（通常 1ms 内拒绝/返回），
+/// 但设置页刷一次引擎列表就要探测一次，加个短缓存避免无谓往返。
+const PROXY_CACHE_TTL: Duration = Duration::from_millis(5000);
+
+/// 引擎 API Key 的凭据键前缀（键名格式：`translate-engine-<engineId>`）。
+const ENGINE_KEY_PREFIX: &str = "translate-engine-";
+
+/// 某引擎实例的凭据键。
+pub fn engine_secret_key(engine_id: &str) -> String {
+    format!("{ENGINE_KEY_PREFIX}{engine_id}")
+}
+
+/// 启动时按设置注册全局快捷键并预创建取词悬浮窗。
+/// 失败只记日志、不阻断启动——快捷键被别的程序占用不该让应用起不来。
+pub fn init_on_launch(app: &tauri::AppHandle) {
+    if let Err(e) = popup::apply_shortcuts(app) {
+        crate::logger::log_warn("translate", &format!("启动时注册取词快捷键失败: {e}"));
+    }
+}
+
+/// 读取某引擎实例的 API Key（未配置或读取失败 → 空串）。
+pub fn engine_api_key(engine_id: &str) -> String {
+    if engine_id.trim().is_empty() {
+        return String::new();
+    }
+    crate::secrets::read_or_empty(&engine_secret_key(engine_id))
+}
+
+struct SettingsCache {
+    read_at: Instant,
+    settings: TranslateSettings,
+}
+
+/// 翻译模块管理器（Tauri State）。
+pub struct TranslateManager {
+    /// 应用数据目录（proxy 模块的配置也在这一层，代理判定需要）
+    data_dir: PathBuf,
+    /// 模块自身目录：{app_data_dir}/translate
+    root: PathBuf,
+    /// 直连客户端
+    client: reqwest::Client,
+    cache: Mutex<Option<SettingsCache>>,
+    /// 代理地址解析缓存：`(解析时刻, 结果)`；结果为 None 表示已开启但不可用
+    proxy_cache: Mutex<Option<(Instant, Option<String>)>>,
+    /// 带代理的客户端缓存：`(代理地址, 客户端)`。与地址一一对应，地址变了就重建。
+    proxied_client: Mutex<Option<(String, reqwest::Client)>>,
+    /// 翻译历史。打开失败时为 None：历史是锦上添花，不值得为它让整个模块不可用。
+    history: Option<std::sync::Arc<history::History>>,
+}
+
+impl TranslateManager {
+    pub fn new(app_data_dir: PathBuf) -> Self {
+        let root = app_data_dir.join("translate");
+        std::fs::create_dir_all(&root).ok();
+        let client = reqwest::Client::builder()
+            // 兜底超时：单个请求还会按引擎配置设置更精确的超时
+            .timeout(Duration::from_secs(120))
+            .build()
+            .unwrap_or_else(|_| reqwest::Client::new());
+        let history = match history::History::new(&root) {
+            Ok(h) => Some(std::sync::Arc::new(h)),
+            Err(e) => {
+                crate::logger::log_warn("translate", &format!("翻译历史不可用: {e}"));
+                None
+            }
+        };
+        Self {
+            data_dir: app_data_dir,
+            root,
+            client,
+            cache: Mutex::new(None),
+            proxy_cache: Mutex::new(None),
+            proxied_client: Mutex::new(None),
+            history,
+        }
+    }
+
+    fn settings_path(&self) -> PathBuf {
+        self.root.join("settings.json")
+    }
+
+    // ===== 设置 =====
+
+    /// 读取设置（带短时缓存；文件缺失/损坏回退默认值；自愈结果落盘）。
+    pub fn load_settings(&self) -> TranslateSettings {
+        if let Ok(cache) = self.cache.lock() {
+            if let Some(entry) = cache.as_ref() {
+                if entry.read_at.elapsed() < SETTINGS_CACHE_TTL {
+                    return entry.settings.clone();
+                }
+            }
+        }
+        // 文件缺失或损坏一律回退默认值：翻译是可随时重建的配置，
+        // 不值得为「读不懂的旧文件」让整个模块不可用。
+        let mut settings = std::fs::read_to_string(self.settings_path())
+            .ok()
+            .and_then(|s| serde_json::from_str::<TranslateSettings>(&s).ok())
+            .unwrap_or_default();
+        let healed = settings.heal();
+        if let Ok(mut cache) = self.cache.lock() {
+            *cache = Some(SettingsCache {
+                read_at: Instant::now(),
+                settings: settings.clone(),
+            });
+        }
+        if healed {
+            if let Err(e) = self.save_settings(&settings) {
+                crate::logger::log_error("translate", &format!("设置自愈落盘失败: {e}"));
+            }
+        }
+        settings
+    }
+
+    /// 保存设置并刷新缓存。
+    pub fn save_settings(&self, settings: &TranslateSettings) -> Result<(), String> {
+        let json = serde_json::to_string_pretty(settings)
+            .map_err(|e| format!("序列化翻译设置失败: {e}"))?;
+        std::fs::write(self.settings_path(), json).map_err(|e| format!("写入翻译设置失败: {e}"))?;
+        if let Ok(mut cache) = self.cache.lock() {
+            *cache = Some(SettingsCache {
+                read_at: Instant::now(),
+                settings: settings.clone(),
+            });
+        }
+        Ok(())
+    }
+
+    // ===== 代理 =====
+
+    /// 读代理模块（mihomo）配置：`{app_data_dir}/proxy/settings.json` 的 mixedPort。
+    /// 返回 `(mixedPort, externalController)`；缺失或非法返回 None。
+    ///
+    /// 这里刻意**只读文件不依赖 MihomoManager 状态**：翻译模块不该因为代理模块被禁用
+    /// 就拿不到端口；端口是否可用由下面的控制端探测回答。
+    fn read_mixed_port(&self) -> Option<(u16, String)> {
+        let path = self.data_dir.join("proxy").join("settings.json");
+        let raw = std::fs::read_to_string(path).ok()?;
+        let value: serde_json::Value = serde_json::from_str(&raw).ok()?;
+        let port = value.get("mixedPort").and_then(|v| v.as_u64())?;
+        if port == 0 || port > 65535 {
+            return None;
+        }
+        let controller = value
+            .get("externalController")
+            .and_then(|v| v.as_str())
+            .unwrap_or("127.0.0.1:9090")
+            .to_string();
+        Some((port as u16, controller))
+    }
+
+    /// 探测 mihomo 控制端是否在线。
+    ///
+    /// 判定标准是「能建立连接」而不是「返回 200」：控制端设了 secret 时会返回 401，
+    /// 但那恰恰说明内核在运行、代理端口可用。只有连接失败才算离线。
+    async fn probe_controller(&self, controller: &str) -> bool {
+        let base = if controller.starts_with("http://") || controller.starts_with("https://") {
+            controller.to_string()
+        } else {
+            format!("http://{controller}")
+        };
+        let url = format!("{}/version", base.trim_end_matches('/'));
+        self.client
+            .get(&url)
+            .timeout(Duration::from_millis(800))
+            .send()
+            .await
+            .is_ok()
+    }
+
+    /// 解析当前应使用的代理地址（带 TTL 缓存）。未开启开关时返回 None。
+    async fn resolve_proxy_url(&self) -> Option<String> {
+        if !self.load_settings().use_proxy {
+            return None;
+        }
+        if let Ok(cache) = self.proxy_cache.lock() {
+            if let Some((at, url)) = cache.as_ref() {
+                if at.elapsed() < PROXY_CACHE_TTL {
+                    return url.clone();
+                }
+            }
+        }
+
+        let resolved = match self.read_mixed_port() {
+            Some((port, controller)) => {
+                let url = format!("http://127.0.0.1:{port}");
+                if self.probe_controller(&controller).await {
+                    Some(url)
+                } else {
+                    None
+                }
+            }
+            None => None,
+        };
+
+        if let Ok(mut cache) = self.proxy_cache.lock() {
+            let previous = cache.as_ref().and_then(|(_, u)| u.clone());
+            let changed = previous != resolved;
+            *cache = Some((Instant::now(), resolved.clone()));
+            // 地址变了（或可用性变了）就丢弃旧客户端，否则会继续用已失效的代理
+            if changed {
+                if let Ok(mut client) = self.proxied_client.lock() {
+                    *client = None;
+                }
+            }
+        }
+        resolved
+    }
+
+    /// 选择本次请求使用的 HTTP 客户端：开了代理且可用 → 走代理，否则直连。
+    /// 代理不可用时**静默回退直连**：让请求自己去失败，比在这里造一个错误更接近真相
+    /// （也许代理确实不通但目标站恰好可达）。
+    async fn select_client(&self) -> reqwest::Client {
+        let Some(url) = self.resolve_proxy_url().await else {
+            return self.client.clone();
+        };
+        if let Ok(cache) = self.proxied_client.lock() {
+            if let Some((cached_url, client)) = cache.as_ref() {
+                if *cached_url == url {
+                    return client.clone();
+                }
+            }
+        }
+        let built = reqwest::Proxy::all(&url).ok().and_then(|proxy| {
+            reqwest::Client::builder()
+                .timeout(Duration::from_secs(120))
+                .proxy(proxy)
+                .build()
+                .ok()
+        });
+        match built {
+            Some(client) => {
+                if let Ok(mut cache) = self.proxied_client.lock() {
+                    *cache = Some((url, client.clone()));
+                }
+                client
+            }
+            None => {
+                crate::logger::log_warn("translate", "构造带代理的 HTTP 客户端失败，本次回退直连");
+                self.client.clone()
+            }
+        }
+    }
+
+    // ===== 引擎 =====
+
+    /// 按配置装配引擎实例（异步：需要先决定走不走代理）。
+    pub async fn build(
+        &self,
+        cfg: &TranslateEngineConfig,
+    ) -> Result<Box<dyn TranslateEngine>, TranslateError> {
+        let templates = self.load_settings().prompt_templates;
+        let client = self.select_client().await;
+        engines::build_engine(cfg, &templates, client)
+    }
+
+    /// 解析本次请求实际要尝试的引擎序列。
+    ///
+    /// - 显式指定了 `engineId`：只用它（用户要的就是「这个源」）——请求失败不做降级，
+    ///   否则「指定了 A 却拿到 B 的译文」比报错更令人困惑。
+    /// - `auto` / 未指定：开启降级时按优先级依次尝试；关闭降级时只用默认引擎。
+    pub fn resolve_candidates(
+        &self,
+        engine_id: Option<&str>,
+    ) -> Result<Vec<TranslateEngineConfig>, TranslateError> {
+        let settings = self.load_settings();
+        let explicit = engine_id
+            .map(str::trim)
+            .filter(|s| !s.is_empty() && *s != "auto");
+
+        if let Some(id) = explicit {
+            return settings
+                .engine(id)
+                .cloned()
+                .map(|cfg| vec![cfg])
+                .ok_or_else(|| TranslateError::config(format!("找不到引擎实例「{id}」")));
+        }
+
+        if settings.auto_fallback {
+            let list: Vec<TranslateEngineConfig> =
+                settings.auto_candidates().into_iter().cloned().collect();
+            if list.is_empty() {
+                return Err(TranslateError::config(
+                    "没有已启用的翻译引擎，请先在翻译设置中启用至少一个",
+                ));
+            }
+            return Ok(list);
+        }
+
+        // 未开启降级：只尝试默认引擎；默认引擎失效时回落到优先级最高的已启用实例
+        let preferred = settings
+            .engine(&settings.default_engine_id)
+            .cloned()
+            .or_else(|| settings.auto_candidates().first().map(|c| (*c).clone()));
+        preferred.map(|cfg| vec![cfg]).ok_or_else(|| {
+            TranslateError::config("没有已启用的翻译引擎，请先在翻译设置中启用至少一个")
+        })
+    }
+
+    /// 执行一次翻译（含自动降级）。
+    ///
+    /// `record`：是否写入历史。正常翻译为 true；**多引擎对比必须传 false**——
+    /// 对比一次产生 N 条结果，全部入库只会污染记录。历史是否记录由此参数
+    /// 显式决定，而不是靠调用方绕开本方法（绕开会让「哪些入口记历史」无从查起）。
+    pub async fn run(
+        &self,
+        req: EngineRequest,
+        engine_id: Option<&str>,
+        record: bool,
+    ) -> Result<TranslateResult, TranslateError> {
+        let candidates = self.resolve_candidates(engine_id)?;
+        let mut last_error: Option<TranslateError> = None;
+
+        for cfg in candidates {
+            let engine = match self.build(&cfg).await {
+                Ok(e) => e,
+                Err(e) => {
+                    // 装配失败（如未接入的引擎类型）继续尝试下一个候选，
+                    // 让「自动」模式真正具备容错意义
+                    last_error = Some(e);
+                    continue;
+                }
+            };
+            match engine.translate(&req).await {
+                Ok(result) => {
+                    if record {
+                        self.record_history(&req, &result, &result.engine_id);
+                    }
+                    return Ok(result);
+                }
+                Err(e) => {
+                    crate::logger::log_warn(
+                        "translate",
+                        &format!(
+                            "引擎「{}」翻译失败：{}（kind={:?}）",
+                            engine.name(),
+                            e.message,
+                            e.kind
+                        ),
+                    );
+                    // 输入为空、语言对不支持这类错误换源也没用，直接返回首个错误
+                    if !e.retryable() {
+                        return Err(e);
+                    }
+                    last_error = Some(e);
+                }
+            }
+        }
+
+        Err(last_error.unwrap_or_else(|| {
+            TranslateError::config("没有可用的翻译引擎，请先在翻译设置中启用至少一个")
+        }))
+    }
+
+    /// 历史库（打开失败时为 None）。`Arc` 便于流式转发任务独立持有。
+    pub(crate) fn history(&self) -> Option<std::sync::Arc<history::History>> {
+        self.history.clone()
+    }
+
+    /// 记录一次成功翻译（失败不记：历史是「翻过的东西」，不是「试过的东西」）。
+    /// 历史开关关闭或库不可用时静默跳过。
+    fn record_history(&self, req: &EngineRequest, result: &TranslateResult, engine_id: &str) {
+        let settings = self.load_settings();
+        if !settings.history.enabled {
+            return;
+        }
+        let Some(history) = self.history.as_ref() else {
+            return;
+        };
+        // 截图（视觉直译）没有原文文本，用占位说明来源
+        let source = if req.text.trim().is_empty() {
+            "（屏幕截图）"
+        } else {
+            req.text.as_str()
+        };
+        if let Err(e) = history.record(
+            &req.from,
+            &req.to,
+            engine_id,
+            &result.engine_name,
+            source,
+            &result.text,
+            &req.via,
+            result.latency_ms as i64,
+        ) {
+            crate::logger::log_warn("translate", &format!("记录历史失败: {e}"));
+        }
+        history.prune_to_max(settings.history.max_items as i64);
+    }
+}

src-tauri/src/translate/ocr/mod.rs

@@ -0,0 +1,15 @@
+//! OCR：把图变字。
+//!
+//! 目前只有 Windows 本地识别（`Windows.Media.Ocr`）。抽象成独立模块的原因是
+//! **截图翻译有两条并行的取字路径**：本地 OCR（离线、零成本、图片不外发）与
+//! 视觉大模型直译（识别 + 翻译一步完成，对表格/菜单这类复杂排版明显更好）。
+//! 两条路径对上层暴露相同的入口签名，`screenshot.ocrMode` 决定走哪条。
+//!
+//! 关于本地 OCR 的三个已知限制（都会在错误信息里引导，而不是含糊报错）：
+//! - 依赖系统 OCR 语言包：英文永远可用，中/日/韩等需要系统安装对应语言包；
+//! - 印刷体效果好，竖排、艺术字、低对比度截图效果差；
+//! - `Windows.Media.Ocr` 要求输入为 BGRA8 格式，其它格式需先转换。
+
+pub mod windows_ocr;
+
+pub use windows_ocr::{available_languages, ocr_png};

src-tauri/src/translate/ocr/windows_ocr.rs

@@ -0,0 +1,201 @@
+//! Windows.Media.Ocr 本地识别。
+//!
+//! 实现要点（三个坑都已规避）：
+//! 1. **不落盘**。走「`image` 解码 PNG → RGBA 转 BGRA → `CryptographicBuffer` 构造
+//!    `IBuffer` → `SoftwareBitmap::CreateCopyFromBuffer`」的纯内存路径。
+//!    0.52 版 windows crate 的 `RandomAccessStreamReference` 没有 `CreateFromByteArray`，
+//!    走 BitmapDecoder 的流路径既要临时流又要二次解码，因此放弃。
+//! 2. **像素格式**。`RecognizeAsync` 要求 BGRA8，而 PNG 解出来常是 Rgba8，
+//!    转换在这里显式完成（同时交换 R/B 通道），不做这一步识别会失败。
+//! 3. **`IAsyncOperation::get()` 会阻塞当前线程**。调用方必须在阻塞线程池执行，
+//!    并初始化 MTA——在 STA 上 `get()` 有死锁风险。
+//!
+//! 若干方法（`Lines` / `AvailableRecognizerLanguages`）在 windows crate 里按 feature
+//! 裁剪（返回 `IVectorView` 需要 `Foundation_Collections`），缺 feature 时表现为
+//! 「方法不存在」而不是链接错误，排查时先看 Cargo.toml。
+
+use serde::Serialize;
+use specta::Type;
+use windows::Globalization::Language;
+use windows::Graphics::Imaging::{BitmapPixelFormat, SoftwareBitmap};
+use windows::Media::Ocr::OcrEngine;
+use windows::Security::Cryptography::CryptographicBuffer;
+use windows::Win32::System::Com::{CoInitializeEx, COINIT_MULTITHREADED};
+
+use super::super::engines::{ErrorKind, TranslateError};
+
+/// 一行识别结果
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct OcrLine {
+    pub text: String,
+    /// 行边界框（相对输入图像的物理像素）。多个词的矩形取并集。
+    /// 一并返回是为了给「译文叠加在原文位置上」留出能力——这是截图翻译体验质变的前提。
+    pub x: f64,
+    pub y: f64,
+    pub width: f64,
+    pub height: f64,
+}
+
+/// 一次识别的完整结果
+#[derive(Debug, Clone, Serialize, Type)]
+#[serde(rename_all = "camelCase")]
+pub struct OcrResult {
+    pub lines: Vec<OcrLine>,
+    /// 实际使用的识别语言（BCP-47）
+    pub lang: String,
+}
+
+/// 对 PNG 图像执行本地 OCR。
+///
+/// `lang`：`None` 或 "auto" 跟随用户配置的语言，否则用指定的 BCP-47 标签。
+pub fn ocr_png(png: &[u8], lang: Option<&str>) -> Result<OcrResult, TranslateError> {
+    // MTA：`get()` 阻塞等待需要正确初始化的公寓；已初始化（S_FALSE）与
+    // 变更模式（RPC_E_CHANGED_MODE）都忽略——后者说明调用方已是 STA。
+    unsafe {
+        let _ = CoInitializeEx(None, COINIT_MULTITHREADED);
+    }
+
+    let engine = match lang.map(str::trim).filter(|s| !s.is_empty() && *s != "auto") {
+        Some(tag) => create_engine_for(tag)?,
+        None => match OcrEngine::TryCreateFromUserProfileLanguages() {
+            Ok(e) => e,
+            Err(_) => {
+                return Err(missing_language_pack(
+                    "未检测到可用的 OCR 引擎",
+                    "请在系统「设置 → 时间和语言 → 语言和区域」中添加语言并勾选「文本识别」",
+                ))
+            }
+        },
+    };
+
+    let used_tag = engine
+        .RecognizerLanguage()
+        .ok()
+        .and_then(|l| l.LanguageTag().ok())
+        .map(|t| t.to_string_lossy())
+        .unwrap_or_default();
+
+    let bitmap = bitmap_from_png(png)?;
+    let recognized = match engine.RecognizeAsync(&bitmap) {
+        Ok(op) => match op.get() {
+            Ok(r) => r,
+            Err(e) => return Err(TranslateError::new(ErrorKind::Unknown, format!("识别失败: {e}"))),
+        },
+        Err(e) => return Err(TranslateError::new(ErrorKind::Unknown, format!("识别失败: {e}"))),
+    };
+
+    let mut lines = Vec::new();
+    if let Ok(view) = recognized.Lines() {
+        let count = view.Size().unwrap_or(0);
+        for i in 0..count {
+            let Ok(line) = view.GetAt(i) else { continue };
+            let Ok(text) = line.Text() else { continue };
+            let text = text.to_string_lossy();
+            if text.trim().is_empty() {
+                continue;
+            }
+            let (mut x0, mut y0, mut x1, mut y1) = (f64::MAX, f64::MAX, 0.0_f64, 0.0_f64);
+            if let Ok(words) = line.Words() {
+                let wcount = words.Size().unwrap_or(0);
+                for j in 0..wcount {
+                    let Ok(word) = words.GetAt(j) else { continue };
+                    let Ok(rect) = word.BoundingRect() else { continue };
+                    x0 = x0.min(rect.X as f64);
+                    y0 = y0.min(rect.Y as f64);
+                    x1 = x1.max((rect.X + rect.Width) as f64);
+                    y1 = y1.max((rect.Y + rect.Height) as f64);
+                }
+            }
+            let (x, y, width, height) = if x1 > x0 && y1 > y0 {
+                (x0, y0, x1 - x0, y1 - y0)
+            } else {
+                (0.0, 0.0, 0.0, 0.0)
+            };
+            lines.push(OcrLine {
+                text: text.trim().to_string(),
+                x,
+                y,
+                width,
+                height,
+            });
+        }
+    }
+
+    Ok(OcrResult {
+        lines,
+        lang: used_tag,
+    })
+}
+
+/// 列出系统当前可用的 OCR 语言（BCP-47 标签）。
+/// 设置页用它展示「哪些语言能识别、哪些需要先装语言包」，而不是让用户撞一次错才知道。
+pub fn available_languages() -> Result<Vec<String>, TranslateError> {
+    unsafe {
+        let _ = CoInitializeEx(None, COINIT_MULTITHREADED);
+    }
+    let view = OcrEngine::AvailableRecognizerLanguages()
+        .map_err(|e| TranslateError::parse(format!("读取系统 OCR 语言失败: {e}")))?;
+    let count = view.Size().unwrap_or(0);
+    let mut tags = Vec::with_capacity(count as usize);
+    for i in 0..count {
+        if let Ok(lang) = view.GetAt(i) {
+            if let Ok(tag) = lang.LanguageTag() {
+                let tag = tag.to_string_lossy();
+                if !tag.is_empty() {
+                    tags.push(tag);
+                }
+            }
+        }
+    }
+    tags.sort();
+    tags.dedup();
+    Ok(tags)
+}
+
+/// PNG → BGRA8 `SoftwareBitmap`（纯内存，不落盘）。
+fn bitmap_from_png(png: &[u8]) -> Result<SoftwareBitmap, TranslateError> {
+    let img = image::load_from_memory(png)
+        .map_err(|e| TranslateError::parse(format!("解码截图失败: {e}")))?;
+    let rgba = img.to_rgba8();
+    let (width, height) = rgba.dimensions();
+    // OCR 引擎要求 BGRA8：RGBA 与 BGRA 只差 R/B 两个通道，就地交换
+    let mut bgra = rgba.into_raw();
+    for px in bgra.chunks_exact_mut(4) {
+        px.swap(0, 2);
+    }
+    let buffer = CryptographicBuffer::CreateFromByteArray(&bgra)
+        .map_err(|e| TranslateError::parse(format!("构造图像缓冲失败: {e}")))?;
+    SoftwareBitmap::CreateCopyFromBuffer(
+        &buffer,
+        BitmapPixelFormat::Bgra8,
+        width as i32,
+        height as i32,
+    )
+    .map_err(|e| TranslateError::parse(format!("构造位图失败: {e}")))
+}
+
+fn create_engine_for(tag: &str) -> Result<OcrEngine, TranslateError> {
+    let language = match Language::CreateLanguage(&windows::core::HSTRING::from(tag)) {
+        Ok(l) => l,
+        Err(e) => {
+            return Err(TranslateError::config(format!(
+                "无法解析 OCR 语言「{tag}」: {e}"
+            )))
+        }
+    };
+    match OcrEngine::TryCreateFromLanguage(&language) {
+        Ok(engine) => Ok(engine),
+        // Try* 系列「失败」的返回形态（空对象 / Err）在 windows-rs 里不完全一致，
+        // 统一在这里兜住，给用户「去哪儿装语言包」的确切指引
+        Err(_) => Err(missing_language_pack(
+            &format!("系统未安装「{tag}」的 OCR 语言包"),
+            "请在系统「设置 → 时间和语言 → 语言和区域」中添加该语言并勾选「文本识别」，\
+             或把识别语言改回「自动」",
+        )),
+    }
+}
+
+fn missing_language_pack(what: &str, how: &str) -> TranslateError {
+    TranslateError::config(format!("{what}。{how}"))
+}

src-tauri/src/translate/popup.rs

@@ -0,0 +1,770 @@
+//! 取词结果的悬浮窗（非激活）。
+//!
+//! 沿用剪贴板预览窗已验证的模式（屏幕外预创建、按光标定位、工作区钳制、内容自适应），
+//! 但有一处**刻意的差异**：本窗口在创建时就打上 `WS_EX_NOACTIVATE`（[`apply_no_activate`]），
+//! 因此显示时永远不会抢走焦点。这对划词翻译是硬要求——抢焦点会取消用户的选区、打断阅读，
+//! 弹出一次就把原文弄没了，功能等于不可用。
+//!
+//! 代价是**收不到键盘事件**：非激活窗口不持有键盘焦点，Escape 之类的快捷键不可靠。
+//! 所以本窗口的交互全部走鼠标（复制、换源、关闭都是按钮），并且靠看护线程在
+//! 「点击窗口外部」时自动收起——不能像剪贴板弹窗那样依赖 `Focused(false)`。
+//!
+//! [`apply_no_activate`]: crate::win32_util::apply_no_activate
+
+use std::sync::atomic::{AtomicBool, Ordering};
+use std::sync::Mutex;
+use std::time::{Duration, Instant};
+
+use serde::Serialize;
+use tauri::window::{Effect, EffectsBuilder};
+use tauri::{AppHandle, Emitter, Manager, WebviewUrl, WebviewWindowBuilder};
+
+use super::capture::{self, CaptureRequest};
+use super::settings::TranslateSettings;
+use super::TranslateManager;
+use crate::clipboard::reader::{read_clipboard, ClipData};
+use crate::win32_util::{
+    get_cursor_pos, get_dpi_for_point, get_work_area_at_point,
+};
+
+/// 窗口 label（与 `capabilities/translate-popup.json`、前端 `WINDOWS.translatePopup` 三处对齐，
+/// 因此统一取常量而不是写字面量）
+pub const POPUP_LABEL: &str = crate::constants::windows::TRANSLATE_POPUP;
+
+/// 弹窗逻辑尺寸。双栏布局（左原文右译文）宽度翻倍；高度只是初值，
+/// 前端测完内容会调 `translate_popup_resize` 贴合（内容区上限 26rem，见前端模板）。
+const POPUP_W: f64 = 840.0;
+const POPUP_BASE_H: f64 = 480.0;
+
+/// 尺寸上下限（逻辑像素）：防止前端异常值把窗口撑到屏幕外或压成一条线。
+/// MAX_H 高于前端根节点的 max-height（920px）——前端会在内容超过时自行出滚动条，
+/// 这里只是兜住异常值；实际窗口高度以 syncSize 上报为准，不会被钳到。
+const MIN_W: f64 = 300.0;
+const MAX_W: f64 = 900.0;
+const MIN_H: f64 = 72.0;
+const MAX_H: f64 = 960.0;
+
+/// 光标与弹窗之间的间距
+const GAP: f64 = 12.0;
+
+/// 看护线程的最大看护时长。超过则自动收起，避免用户离开后弹窗长期滞留在屏幕上。
+const WATCH_MAX: Duration = Duration::from_secs(120);
+/// 看护轮询间隔
+const WATCH_TICK: Duration = Duration::from_millis(40);
+
+/// 兜底创建路径：窗口是新建的，等前端 `onMounted` 调 ready 再显示
+static PENDING_SHOW: AtomicBool = AtomicBool::new(false);
+/// 兜底路径下待投递的负载（前端 ready 时取走）
+static PENDING_PAYLOAD: Mutex<Option<PopupPayload>> = Mutex::new(None);
+/// 弹窗当前是否可见（同步单一事实来源，hide 时立刻置 false）
+static POPUP_VISIBLE: AtomicBool = AtomicBool::new(false);
+/// 钉住状态：钉住后点击外部与超时都不再自动收起（只能手动关闭）。
+/// hide 时复位——收起即视为本次会话结束，下次打开回到默认自动收起。
+static PINNED: AtomicBool = AtomicBool::new(false);
+/// 本次显示的光标锚点与落位偏好。resize 时沿用它重算位置，
+/// 否则内容变高会从固定左上角往下长、越出工作区。
+#[derive(Clone, Copy)]
+struct Anchor {
+    x: i32,
+    y: i32,
+    /// 优先落在光标右侧（否则左侧）
+    prefer_right: bool,
+    /// 优先落在光标下方（否则上方）
+    prefer_bottom: bool,
+}
+
+static ANCHOR: Mutex<Option<Anchor>> = Mutex::new(None);
+/// 看护线程防重入
+static WATCHING: AtomicBool = AtomicBool::new(false);
+
+/// 面板候选条目（翻译面板打开时收集）。
+#[derive(Debug, Clone, Serialize)]
+#[serde(rename_all = "camelCase")]
+pub struct PanelCandidate {
+    /// 候选文本
+    pub text: String,
+    /// 来源标签："划词" | "剪贴板"（展示用）
+    pub origin: String,
+}
+
+/// 投递给悬浮窗前端的负载。
+#[derive(Debug, Clone, Serialize)]
+#[serde(rename_all = "camelCase")]
+pub struct PopupPayload {
+    /// 待翻译文本（取词失败时为空串）
+    pub text: String,
+    /// 取词来源："selection"（模拟 Ctrl+C）| "clipboard"（直接读剪贴板）| "screenshot"（截图）| "panel"（翻译面板）
+    pub source: String,
+    /// 取词失败原因（成功时为 None）
+    pub error: Option<String>,
+    /// 来源窗口进程名（展示用）
+    pub process: String,
+    /// 头部补充说明（如「本地识别」「图片已上传至 xx」），比 source 更能回答用户关心的问题
+    pub source_note: Option<String>,
+    /// 来源窗口句柄（P3 回填替换选区用）
+    pub hwnd: i64,
+    /// 剪贴板是否已还原
+    pub restored_clipboard: bool,
+    /// 目标语言（语言码；展示名由前端查语言表得出，避免两处维护同一张表）
+    pub to_lang: String,
+    /// 源语言（"auto" 表示交给引擎判断）。
+    ///
+    /// 弹窗必须能自己指定源语言：MyMemory 这类源**不支持自动检测**，
+    /// 而划词场景天然不知道原文是什么语言。没有它，这类源在划词里等于不可用。
+    pub source_lang: String,
+    /// 默认引擎实例 id（"auto" 表示按优先级）
+    pub engine_id: String,
+    /// 是否默认展开原文
+    pub show_original: bool,
+    pub font_size: u32,
+    /// 正文字号之外的整窗不透明度百分比（100 = 不透明）
+    pub opacity: u32,
+    /// 优先落位："bottom-right" | "bottom-left" | "top-right" | "top-left"
+    pub position_preference: String,
+    /// 显示后是否立即翻译。截图翻译关闭「自动翻译」时为 false：只展示识别文本，
+    /// 由用户决定是否发翻译请求。
+    pub auto_start: bool,
+    /// 是否写入历史。预览悬浮窗为 false（固定样例文本，入库只是噪音）。
+    pub record: bool,
+    /// 预置结果（视觉直译路径用）：识别与翻译在 Rust 侧一步完成，弹窗直接展示，
+    /// 不再发第二次请求。为 None 时弹窗自行用 `text` 走翻译引擎。
+    pub preset_result: Option<super::engines::TranslateResult>,
+    /// 面板候选（仅 source == "panel"）：划词结果与剪贴板首条。
+    /// 为空时面板直接聚焦原文输入框，等用户手动输入。
+    #[serde(default)]
+    pub candidates: Vec<PanelCandidate>,
+}
+
+// ===== 窗口生命周期 =====
+
+/// 应用启动时预创建（隐藏）。首次按快捷键时窗口已就绪，直接显示，避免首次创建的时序问题。
+pub fn ensure_window(app: &AppHandle) {
+    if app.get_webview_window(POPUP_LABEL).is_some() {
+        return;
+    }
+    create_window(app);
+}
+
+fn create_window(app: &AppHandle) {
+    let win = match WebviewWindowBuilder::new(
+        app,
+        POPUP_LABEL,
+        WebviewUrl::App("index.html#translate-popup".into()),
+    )
+    .title("翻译")
+    .inner_size(POPUP_W, POPUP_BASE_H)
+    .position(-10000.0, -10000.0) // 屏幕外，避免隐藏状态下闪一下
+    .decorations(false)
+    .transparent(true)
+    .shadow(true)
+    .always_on_top(true)
+    .skip_taskbar(true)
+    .resizable(false)
+    .visible(false)
+    .focused(false) // 不抢占焦点
+    .effects(EffectsBuilder::new().effects(vec![Effect::Mica]).build())
+    .build()
+    {
+        Ok(w) => w,
+        Err(e) => {
+            crate::logger::log_error("translate", &format!("创建取词悬浮窗失败: {e}"));
+            return;
+        }
+    };
+
+    // 非激活：显示时不夺取前台。圆角：NOACTIVATE 悬浮窗系统不自动圆角，需显式指定，
+    // 否则与剪贴板弹窗外观不一致。
+    #[cfg(windows)]
+    if let Ok(hwnd) = win.hwnd() {
+        crate::win32_util::apply_no_activate(hwnd.0 as isize);
+        crate::win32_util::apply_rounded_corners(hwnd.0 as isize);
+    }
+
+    crate::logger::log_info("translate", "取词悬浮窗已预创建（隐藏状态）");
+}
+
+/// 显示悬浮窗并把负载投递给前端（锚点取当前光标位置）。
+pub fn show(app: &AppHandle, payload: PopupPayload) {
+    let Some((mx, my)) = get_cursor_pos() else {
+        return;
+    };
+    // 先取锚点再移交 payload：show_with_anchor 会拿走所有权，参数求值顺序里
+    // 「先 move 后借用」是编译错误
+    let anchor = Anchor::from(mx, my, &payload.position_preference);
+    show_with_anchor(app, payload, anchor);
+}
+
+/// 指定锚点显示（截图翻译用）：结果要贴在**选区**旁，而截图流程里光标
+/// 已经离开了原位置，跟着光标走会飘到别处。
+pub fn show_at(app: &AppHandle, payload: PopupPayload, anchor_x: i32, anchor_y: i32) {
+    let anchor = Anchor::from(anchor_x, anchor_y, &payload.position_preference);
+    show_with_anchor(app, payload, anchor);
+}
+
+fn show_with_anchor(app: &AppHandle, payload: PopupPayload, anchor: Anchor) {
+    if let Some(win) = app.get_webview_window(POPUP_LABEL) {
+        // 用**当前实际尺寸**参与定位：上一次可能是长译文撑高的窗口，
+        // 恒按 200px 基础高度定位会让底部越界、等前端 resize 才跳回。
+        // outer_size 含四周不可见边框（各约 8px），偏差方向是保守的。
+        let scale = anchor.scale();
+        let (w, h) = win
+            .outer_size()
+            .map(|s| {
+                (
+                    (s.width as f64 / scale).max(POPUP_W),
+                    s.height as f64 / scale,
+                )
+            })
+            .unwrap_or((POPUP_W, POPUP_BASE_H));
+        mark_shown(anchor);
+        let (x, y) = position_for(anchor, w, h);
+        let _ = win.set_position(tauri::Position::Physical(tauri::PhysicalPosition { x, y }));
+        reveal(&win);
+        let _ = app.emit(crate::constants::events::TRANSLATE_POPUP_SHOW, payload);
+        return;
+    }
+
+    // 兜底：窗口被销毁过，重新创建并等前端 ready
+    PENDING_SHOW.store(true, Ordering::SeqCst);
+    if let Ok(mut slot) = PENDING_PAYLOAD.lock() {
+        *slot = Some(payload);
+    }
+    mark_shown(anchor);
+    create_window(app);
+}
+
+/// 前端挂载完成后调用（仅兜底创建路径真正显示）。
+pub fn ready(app: &AppHandle) {
+    if !PENDING_SHOW.swap(false, Ordering::SeqCst) {
+        return;
+    }
+    let payload = PENDING_PAYLOAD.lock().ok().and_then(|mut slot| slot.take());
+    let Some(win) = app.get_webview_window(POPUP_LABEL) else {
+        return;
+    };
+    // 兜底路径窗口建在屏幕外，显示前必须按锚点定位，否则弹窗出现在屏幕外不可见
+    if let Some(anchor) = ANCHOR.lock().ok().and_then(|a| *a) {
+        let (x, y) = position_for(anchor, POPUP_W, POPUP_BASE_H);
+        let _ = win.set_position(tauri::Position::Physical(tauri::PhysicalPosition { x, y }));
+    }
+    reveal(&win);
+    if let Some(p) = payload {
+        let _ = app.emit(crate::constants::events::TRANSLATE_POPUP_SHOW, p);
+    }
+}
+
+/// 隐藏（保留复用，不销毁）。
+pub fn hide(app: &AppHandle) {
+    POPUP_VISIBLE.store(false, Ordering::SeqCst);
+    // 钉住状态随之复位：收起即视为本次会话结束
+    PINNED.store(false, Ordering::SeqCst);
+    if let Some(win) = app.get_webview_window(POPUP_LABEL) {
+        // 若本次显示期间进入过编辑模式（NOACTIVATE 被移除），在这里恢复，
+        // 保证下一次显示仍然不抢焦点
+        #[cfg(windows)]
+        if let Ok(hwnd) = win.hwnd() {
+            crate::win32_util::set_no_activate(hwnd.0 as isize, true);
+        }
+        let _ = win.hide();
+        // 以原生 SW_SHOWNOACTIVATE 显示的窗口，Tauri 内部可见性状态可能不同步，
+        // 补一次原生 SW_HIDE，确保任何路径下都被可靠隐藏。
+        #[cfg(windows)]
+        if let Ok(hwnd) = win.hwnd() {
+            crate::win32_util::hide_window(hwnd.0 as isize);
+        }
+    }
+    let _ = app.emit(crate::constants::events::TRANSLATE_POPUP_HIDE, ());
+}
+
+/// 弹窗编辑模式开关：移除/恢复 WS_EX_NOACTIVATE，开启时把弹窗推到前台。
+///
+/// 弹窗默认是非激活窗口（不抢焦点），代价是收不到键盘事件——原文编辑框因此
+/// 无法输入。用户点击原文编辑区或译文卡片时前端调用 `enable=true`：移除
+/// NOACTIVATE 并把弹窗推到前台，编辑框即可获得键盘焦点、译文可 Ctrl+C。
+/// 弹窗隐藏（[`hide`]）与下次显示（[`reveal`]）都会恢复 NOACTIVATE。
+pub fn set_edit_mode(app: &AppHandle, enable: bool) -> Result<(), String> {
+    let Some(win) = app.get_webview_window(POPUP_LABEL) else {
+        return Err("弹窗不可用".to_string());
+    };
+    #[cfg(windows)]
+    {
+        let Ok(hwnd) = win.hwnd() else {
+            return Err("无法获取弹窗句柄".to_string());
+        };
+        crate::win32_util::set_no_activate(hwnd.0 as isize, !enable);
+        if enable {
+            // 用户刚点击了弹窗（本进程持有最新输入），force_foreground 可绕过前台锁定
+            crate::win32_util::force_foreground(hwnd.0 as isize);
+        }
+    }
+    #[cfg(not(windows))]
+    let _ = enable;
+    Ok(())
+}
+
+/// 按内容尺寸自适应（前端测高后调用），返回前端根节点应使用的 max-height。
+///
+/// 返回值 = 光标所在显示器工作区允许的最大内容高度（逻辑像素，0 表示不限制）。
+/// **刻意来自工作区而不是窗口自身高度**：前端若用 100vh 当上限，窗口缩 → vh 缩 →
+/// 测得高度缩 → 再缩窗口，形成收缩反馈循环（实测窗口一路缩到 MIN_H）。
+/// 工作区是稳定值，前端把它设为根节点 max-height 后整个测量回路收敛。
+///
+/// 其余行为：**只在越界时钳制，绝不重排回打开时的锚点**。历史实现每次 resize 都按
+/// `ANCHOR`（打开时的光标位置）重算并 `set_position`——窗口尺寸因内容变化而
+/// 调整时，会把用户拖动后的位置覆盖掉（实测：钉住面板拖到别处，粘贴内容
+/// 触发 resize 又跳回原位）。现在以窗口**当前位置**为基准：内容变高向
+/// 下/向右生长越出工作区时，才把位置钳回来。
+pub fn resize(app: &AppHandle, width: f64, height: f64) -> f64 {
+    let Some(win) = app.get_webview_window(POPUP_LABEL) else {
+        return 0.0;
+    };
+    if !POPUP_VISIBLE.load(Ordering::SeqCst) {
+        return 0.0;
+    }
+    let w = width.clamp(MIN_W, MAX_W);
+    let h = height.clamp(MIN_H, MAX_H);
+    let Ok(pos) = win.outer_position() else {
+        return 0.0;
+    };
+    let scale = scale_for(pos.x, pos.y);
+    let mut w_px = (w * scale).round() as i32;
+    let mut h_px = (h * scale).round() as i32;
+    let mut max_inner_logical = 0.0f64;
+    let work_area = get_work_area_at_point(pos.x, pos.y);
+    // 小屏适配：窗口尺寸不得超过所在显示器的工作区（留边距）
+    if let Some((left, top, right, bottom)) = work_area {
+        let max_h_px = (bottom - top - 16).max(200);
+        let max_w_px = (right - left - 16).max(200);
+        h_px = h_px.min(max_h_px);
+        w_px = w_px.min(max_w_px);
+        max_inner_logical = max_h_px as f64 / scale;
+    }
+    let _ = win.set_size(tauri::Size::Physical(tauri::PhysicalSize {
+        width: w_px.max(1) as u32,
+        height: h_px.max(1) as u32,
+    }));
+    // 越界才钳制：不越界时保持用户拖动后的位置不动
+    if let Some((left, top, right, bottom)) = work_area {
+        let x = pos.x.clamp(left, (right - w_px).max(left));
+        let y = pos.y.clamp(top, (bottom - h_px).max(top));
+        if x != pos.x || y != pos.y {
+            let _ = win.set_position(tauri::Position::Physical(tauri::PhysicalPosition { x, y }));
+        }
+    }
+    max_inner_logical
+}
+
+fn reveal(win: &tauri::WebviewWindow) {
+    // 每次显示都重置为「不激活」：上一次会话可能以编辑模式结束（NOACTIVATE 被移除）
+    #[cfg(windows)]
+    if let Ok(hwnd) = win.hwnd() {
+        crate::win32_util::set_no_activate(hwnd.0 as isize, true);
+    }
+    // 不激活显示：保持用户当前窗口的前台状态与选区
+    #[cfg(windows)]
+    if let Ok(hwnd) = win.hwnd() {
+        crate::win32_util::show_no_activate(hwnd.0 as isize);
+    }
+    #[cfg(not(windows))]
+    let _ = win.show();
+    spawn_click_outside_watch(win.app_handle().clone());
+}
+
+impl Anchor {
+    fn from(x: i32, y: i32, preference: &str) -> Self {
+        match preference {
+            "bottom-left" => Self {
+                x,
+                y,
+                prefer_right: false,
+                prefer_bottom: true,
+            },
+            "top-right" => Self {
+                x,
+                y,
+                prefer_right: true,
+                prefer_bottom: false,
+            },
+            "top-left" => Self {
+                x,
+                y,
+                prefer_right: false,
+                prefer_bottom: false,
+            },
+            // "bottom-right" 与未知值：落回默认（右下），与设置页文案一致
+            _ => Self {
+                x,
+                y,
+                prefer_right: true,
+                prefer_bottom: true,
+            },
+        }
+    }
+
+    fn scale(&self) -> f64 {
+        scale_for(self.x, self.y)
+    }
+}
+
+fn mark_shown(anchor: Anchor) {
+    POPUP_VISIBLE.store(true, Ordering::SeqCst);
+    if let Ok(mut slot) = ANCHOR.lock() {
+        *slot = Some(anchor);
+    }
+}
+
+fn scale_for(x: i32, y: i32) -> f64 {
+    get_dpi_for_point(x, y).unwrap_or(96) as f64 / 96.0
+}
+
+/// 按锚点与落位偏好算出弹窗左上角（物理像素）。
+///
+/// 两级处理，意义不同：先按偏好落位，放不下时**翻到另一侧**（处理常见情况，
+/// 例如光标贴着屏幕右缘）；最后再钳制到工作区（兜住极端情况，例如窗口比屏幕还宽）。
+fn position_for(anchor: Anchor, w: f64, h: f64) -> (i32, i32) {
+    let (left, top, right, bottom) =
+        get_work_area_at_point(anchor.x, anchor.y).unwrap_or((0, 0, 1920, 1040));
+    let scale = anchor.scale();
+    let w_px = w * scale;
+    let h_px = h * scale;
+
+    let mut x = if anchor.prefer_right {
+        anchor.x as f64 + GAP
+    } else {
+        anchor.x as f64 - GAP - w_px
+    };
+    if anchor.prefer_right && x + w_px > right as f64 {
+        x = anchor.x as f64 - GAP - w_px;
+    } else if !anchor.prefer_right && x < left as f64 {
+        x = anchor.x as f64 + GAP;
+    }
+
+    let mut y = if anchor.prefer_bottom {
+        anchor.y as f64 + GAP
+    } else {
+        anchor.y as f64 - GAP - h_px
+    };
+    if anchor.prefer_bottom && y + h_px > bottom as f64 {
+        y = anchor.y as f64 - GAP - h_px;
+    } else if !anchor.prefer_bottom && y < top as f64 {
+        y = anchor.y as f64 + GAP;
+    }
+
+    let min_x = left as f64;
+    let max_x = (right as f64 - w_px).max(min_x);
+    let min_y = top as f64;
+    let max_y = (bottom as f64 - h_px).max(min_y);
+    (
+        x.clamp(min_x, max_x).round() as i32,
+        y.clamp(min_y, max_y).round() as i32,
+    )
+}
+
+/// 设置钉住状态（前端钉住按钮调用）。
+pub fn set_pinned(pinned: bool) {
+    PINNED.store(pinned, Ordering::SeqCst);
+}
+
+/// 点击弹窗外部即收起。
+///
+/// 为什么不用 `Focused(false)`：本窗口是 NOACTIVATE 的，永远不会获得焦点，
+/// 也就永远收不到失焦事件。只能主动轮询「左键按下沿是否发生在窗口外」。
+/// **钉住时整条自动收起路径失效**（点击外部与超时都不收），只能手动关闭。
+fn spawn_click_outside_watch(app: AppHandle) {
+    if WATCHING.swap(true, Ordering::SeqCst) {
+        return;
+    }
+    std::thread::spawn(move || {
+        let start = Instant::now();
+        let mut was_down = false;
+        loop {
+            std::thread::sleep(WATCH_TICK);
+            if !POPUP_VISIBLE.load(Ordering::SeqCst)
+                || app.get_webview_window(POPUP_LABEL).is_none()
+            {
+                break;
+            }
+            let pinned = PINNED.load(Ordering::SeqCst);
+            if start.elapsed() > WATCH_MAX && !pinned {
+                hide(&app);
+                break;
+            }
+            let down = crate::win32_util::is_left_button_down();
+            // 按下沿判定：上一轮未按下、本轮按下，且落点在窗口外
+            if down && !was_down && !pinned && !cursor_in_popup(&app) {
+                hide(&app);
+                break;
+            }
+            was_down = down;
+        }
+        WATCHING.store(false, Ordering::SeqCst);
+    });
+}
+
+fn cursor_in_popup(app: &AppHandle) -> bool {
+    let Some(win) = app.get_webview_window(POPUP_LABEL) else {
+        return false;
+    };
+    let (Ok(pos), Ok(size)) = (win.outer_position(), win.outer_size()) else {
+        return false;
+    };
+    let Some((cx, cy)) = get_cursor_pos() else {
+        return false;
+    };
+    cx >= pos.x && cx <= pos.x + size.width as i32 && cy >= pos.y && cy <= pos.y + size.height as i32
+}
+
+// ===== 快捷键与翻译面板入口 =====
+
+/// 按当前设置注册/注销「翻译面板」全局快捷键（默认 Ctrl+2）。
+///
+/// 面板打开时会尝试读取当前划词（若「启用划词翻译」）与剪贴板首条文本作为候选，
+/// 覆盖了旧版「翻译取词 Alt+T」「翻译剪贴板 Alt+Shift+T」两个入口的全部场景；
+/// 那两个快捷键因此移除，这里顺带注销其历史注册（升级后首次应用设置时清理）。
+///
+/// 设置项为空串即注销（`register_shortcut` 的既定语义）。
+pub fn apply_shortcuts(app: &AppHandle) -> Result<(), String> {
+    let Some(manager) = app.try_state::<TranslateManager>() else {
+        return Ok(());
+    };
+    let panel_key = manager.load_settings().selection.panel_shortcut.clone();
+
+    // 旧版入口已不存在，显式清理历史注册，释放被 Alt+T / Alt+Shift+T 占用的组合键
+    crate::shortcut::unregister_shortcut(app, "翻译取词");
+    crate::shortcut::unregister_shortcut(app, "翻译剪贴板");
+
+    let mut errors: Vec<String> = Vec::new();
+    let r = crate::shortcut::register_shortcut(app, "翻译面板", &panel_key, |handle| {
+        let handle = handle.clone();
+        // 收集候选含最长约 1s 的阻塞等待，绝不能跑在快捷键回调线程上
+        std::thread::spawn(move || on_panel_shortcut(&handle));
+    });
+    if let Err(e) = r {
+        errors.push(e);
+    }
+
+    // 快捷键生效就顺手预创建窗口，避免首次触发时现建 WebView
+    if !panel_key.trim().is_empty() {
+        ensure_window(app);
+    }
+
+    if errors.is_empty() {
+        Ok(())
+    } else {
+        Err(errors.join("；"))
+    }
+}
+
+/// 面板候选：划词（若启用且非 clipboard 模式）+ 剪贴板首条文本（去重）。
+///
+/// 顺序执行而非并行：兼容路径取词会临时占用剪贴板，并行读会拿到中间状态。
+/// 取词失败静默跳过——面板里还有剪贴板候选与手动输入，失败提示反而碍事
+/// （与旧取词路径「失败也弹窗」不同，这里失败不阻断打开面板）。
+fn collect_candidates(app: &AppHandle) -> Vec<PanelCandidate> {
+    let Some(manager) = app.try_state::<TranslateManager>() else {
+        return Vec::new();
+    };
+    let settings = manager.load_settings();
+    let sel = settings.selection.clone();
+    let mut out: Vec<PanelCandidate> = Vec::new();
+
+    if sel.enabled && sel.mode.trim() != "clipboard" {
+        let req = CaptureRequest {
+            max_chars: sel.max_chars as usize,
+            restore_clipboard: sel.restore_clipboard,
+            blacklist: sel.blacklist.clone(),
+            mode: sel.mode.clone(),
+        };
+        if let Ok(outcome) = capture::capture_selection(app, &req) {
+            if !outcome.text.trim().is_empty() {
+                out.push(PanelCandidate {
+                    text: outcome.text,
+                    origin: "划词".to_string(),
+                });
+            }
+        }
+    }
+
+    // 只读不写：不模拟按键，终端里的 Ctrl+C 不受影响
+    if let Some(ClipData::Text(t)) = read_clipboard() {
+        let t = t.trim().to_string();
+        if !t.is_empty() && !out.iter().any(|c| c.text == t) {
+            out.push(PanelCandidate {
+                text: t,
+                origin: "剪贴板".to_string(),
+            });
+        }
+    }
+    out
+}
+
+fn on_panel_shortcut(app: &AppHandle) {
+    // 已显示：保持原状态（内容不动），只把它带到前台恢复键盘输入
+    if POPUP_VISIBLE.load(Ordering::SeqCst) {
+        focus_panel(app);
+        return;
+    }
+
+    let Some(manager) = app.try_state::<TranslateManager>() else {
+        return;
+    };
+    let settings = manager.load_settings();
+    // 候选必须在面板抢焦点**之前**收集：取词（UIA / 模拟按键）都作用在
+    // 当时的前台目标应用上，面板一旦激活，取到的就只剩面板自己了。
+    // 代价是按下快捷键到面板出现要等一次取词（UIA 命中时毫秒级，最差约 1s）。
+    let candidates = collect_candidates(app);
+    // 收集期间用户可能已通过其他方式打开了面板（如再次连按）：不再覆盖
+    if POPUP_VISIBLE.load(Ordering::SeqCst) {
+        focus_panel(app);
+        return;
+    }
+    let mut payload =
+        build_payload(&settings, String::new(), "panel", None, String::new(), 0, false);
+    // 面板不自动翻译：原文空着，等用户选候选或手动输入
+    payload.auto_start = false;
+    payload.candidates = candidates;
+    show(app, payload);
+    // 面板需要键盘输入（候选导航、原文编辑），显示后立即取得焦点
+    focus_panel(app);
+}
+
+/// 把弹窗带到前台并恢复键盘输入（移除 NOACTIVATE + 强制前台）。
+fn focus_panel(app: &AppHandle) {
+    if let Some(win) = app.get_webview_window(POPUP_LABEL) {
+        #[cfg(windows)]
+        if let Ok(hwnd) = win.hwnd() {
+            crate::win32_util::set_no_activate(hwnd.0 as isize, false);
+            crate::win32_util::force_foreground(hwnd.0 as isize);
+        }
+    }
+}
+
+#[allow(clippy::too_many_arguments)]
+fn build_payload(
+    settings: &TranslateSettings,
+    text: String,
+    source: &str,
+    error: Option<String>,
+    process: String,
+    hwnd: i64,
+    restored_clipboard: bool,
+) -> PopupPayload {
+    build_payload_with(
+        settings,
+        text,
+        source,
+        error,
+        process,
+        hwnd,
+        restored_clipboard,
+        None,
+        None,
+    )
+}
+
+/// 组装弹窗负载。`source_note` / `preset_result` 只有截图链路会用到。
+#[allow(clippy::too_many_arguments)]
+fn build_payload_with(
+    settings: &TranslateSettings,
+    text: String,
+    source: &str,
+    error: Option<String>,
+    process: String,
+    hwnd: i64,
+    restored_clipboard: bool,
+    source_note: Option<String>,
+    preset_result: Option<super::engines::TranslateResult>,
+) -> PopupPayload {
+    PopupPayload {
+        text,
+        source: source.to_string(),
+        error,
+        process,
+        source_note,
+        hwnd,
+        restored_clipboard,
+        to_lang: settings
+            .popup
+            .effective_target_lang(&settings.default_target)
+            .to_string(),
+        source_lang: settings.popup.effective_source_lang().to_string(),
+        engine_id: settings.default_engine_id.clone(),
+        show_original: settings.popup.show_original,
+        font_size: settings.popup.font_size,
+        opacity: settings.popup.opacity,
+        position_preference: settings.popup.position_preference.clone(),
+        auto_start: true,
+        // 预览（source == "preview"）用固定样例文本走链路，入库只是噪音
+        record: source != "preview",
+        preset_result,
+        candidates: Vec::new(),
+    }
+}
+
+/// 预览用负载：用一段固定文本走完整链路（窗口定位、非激活显示、翻译、复制）。
+///
+/// 存在的理由：**从应用内无法真正测试取词**——测试时前台窗口是本应用自己，
+/// Ctrl+C 只会落到一个没有选区的窗口上。所以就"验证悬浮窗这条链路"而言，
+/// 预览比伪造一次取词更有意义，也让用户不必离开设置页去试。
+pub fn preview_payload(settings: &TranslateSettings) -> PopupPayload {
+    build_payload(
+        settings,
+        "The quick brown fox jumps over the lazy dog.".to_string(),
+        "preview",
+        None,
+        String::new(),
+        0,
+        false,
+    )
+}
+
+/// 截图翻译的结果弹窗入口（锚点为选区右下角，结果贴在选区旁）。
+///
+/// `preset_result` 为 Some 时表示识别与翻译已在 Rust 侧一步完成（视觉直译），
+/// 弹窗只负责展示；为 None 时弹窗用 `text`（OCR 文本）自行走翻译引擎。
+#[allow(clippy::too_many_arguments)]
+pub fn show_screenshot_result(
+    app: &AppHandle,
+    settings: &TranslateSettings,
+    text: String,
+    source_note: Option<String>,
+    preset_result: Option<super::engines::TranslateResult>,
+    auto_start: bool,
+    anchor_x: i32,
+    anchor_y: i32,
+) {
+    let mut payload = build_payload(
+        settings,
+        text,
+        "screenshot",
+        None,
+        String::new(),
+        0,
+        false,
+    );
+    payload.source_note = source_note;
+    payload.preset_result = preset_result;
+    payload.auto_start = auto_start;
+    show_at(app, payload, anchor_x, anchor_y);
+}
+
+/// 截图链路的失败弹窗：识别失败也弹窗，用户视线就在选区那里。
+pub fn show_screenshot_error(
+    app: &AppHandle,
+    settings: &TranslateSettings,
+    message: String,
+    anchor_x: i32,
+    anchor_y: i32,
+) {
+    let mut payload = build_payload(
+        settings,
+        String::new(),
+        "screenshot",
+        Some(message),
+        String::new(),
+        0,
+        false,
+    );
+    payload.auto_start = false;
+    show_at(app, payload, anchor_x, anchor_y);
+}

src-tauri/src/translate/settings.rs

@@ -0,0 +1,400 @@
+//! 翻译模块设置的数据模型与默认值。
+//!
+//! 持久化位置：`{app_data_dir}/translate/settings.json`（与音乐模块同一范式）。
+//! 容器级 `#[serde(default)]`：新增字段对旧配置文件是**向后兼容**的——缺字段取
+//! 默认值而不是让整份设置反序列化失败，避免用户因为一次升级丢掉全部配置。
+//!
+//! 安全姿态：**API Key 不在这里**。本结构只允许出现 `hasApiKey` 这类派生展示字段
+//! （且由命令层回填，不落盘），明文一律进系统凭据管理器，见 [`super::engine_secret_key`]。
+
+use serde::{Deserialize, Serialize};
+use specta::Type;
+
+use super::engines::TranslateMode;
+
+/// 提示词模板。`{target}` 为占位符，翻译时替换为目标语言的自然语言全称
+/// （用全称而非语言码，模型遵循度明显更高）。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct PromptTemplates {
+    /// 纯翻译（默认模式）
+    pub translate: String,
+    /// 润色（P3）
+    pub polish: String,
+    /// 解释（P3）
+    pub explain: String,
+    /// 总结（P3）
+    pub summarize: String,
+}
+
+impl Default for PromptTemplates {
+    fn default() -> Self {
+        Self {
+            translate: "你是专业翻译引擎。将用户内容翻译为{target}。\n\
+                 要求：只输出译文，不解释、不加引号、不保留原文；保持术语、代码片段、\
+                 专有名词、数字与原有格式（Markdown / 换行 / 列表）不变；\
+                 若原文已经是{target}，则原样返回。"
+                .to_string(),
+            polish:
+                "你是专业文字编辑。将用户内容改写为更地道、通顺的{target}，保持原意与信息量不变。\
+                 只输出改写结果，不解释。"
+                    .to_string(),
+            explain:
+                "你是专业讲解者。用{target}解释用户给出的内容：先说要点，再说明背景与可能的歧义。\
+                 保持简洁，不要复述原文。"
+                    .to_string(),
+            summarize:
+                "你是专业摘要助手。用{target}总结用户给出的内容，保留关键事实、数字与结论，\
+                 去掉冗余表述。只输出摘要。"
+                    .to_string(),
+        }
+    }
+}
+
+impl PromptTemplates {
+    /// 取指定模式的模板（未填写时退回默认模板）。
+    pub fn for_mode(&self, mode: TranslateMode) -> &str {
+        let candidate = match mode {
+            TranslateMode::Translate => &self.translate,
+            TranslateMode::Polish => &self.polish,
+            TranslateMode::Explain => &self.explain,
+            TranslateMode::Summarize => &self.summarize,
+        };
+        if candidate.trim().is_empty() {
+            self.translate.as_str()
+        } else {
+            candidate.as_str()
+        }
+    }
+}
+
+/// 单个翻译引擎实例的配置。
+///
+/// 「实例」而非「类型」：同一类型可以配置多份（例如官方 API 与本地 Ollama 并存），
+/// 每份有自己的 id / 优先级 / 模型与参数。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct TranslateEngineConfig {
+    /// 实例唯一标识（同时是凭据键的一部分，创建后不建议修改）
+    pub id: String,
+    /// 展示名称
+    pub name: String,
+    /// 引擎类型："ai"（OpenAI 兼容）| "free"（免密钥网络源）| "cloud"（需签名的云厂商，P3）
+    pub kind: String,
+    /// 预设标识："deepseek" | "openai" | "ollama" | "custom" | "libretranslate" | "mymemory"
+    pub preset: String,
+    /// 是否参与「自动」模式的候选
+    pub enabled: bool,
+    /// 优先级（数值越小越先尝试；自动模式下失败按序降级到下一个）
+    pub priority: i32,
+    /// API 根地址，如 https://api.deepseek.com（末尾可有可无 /，不可含 /chat/completions）
+    pub base_url: String,
+    /// 模型标识，如 deepseek-flash
+    pub model: String,
+    /// 采样温度（翻译建议 0.2~0.3）
+    pub temperature: f64,
+    /// 单次请求最大输出 token
+    pub max_tokens: u32,
+    /// 请求超时（毫秒）
+    pub timeout_ms: u64,
+    /// 自定义 system prompt；**非空时覆盖模式模板**（留空表示用全局模板）
+    pub system_prompt: String,
+    /// 额外请求体字段的 JSON 文本（用于 thinking / enable_thinking 这类非标准参数）；
+    /// 用文本而非结构化字段：一是前端直接给文本域，二是避免把任意 JSON 塞进类型绑定。
+    pub extra_body: Option<String>,
+    /// 是否支持图像输入（截图翻译的「视觉直译」模式只发给勾选了此项的引擎）。
+    /// 默认 false：多模态模型与文本模型的计费和端点约束不同，宁可让用户显式勾选。
+    #[serde(default)]
+    pub supports_vision: bool,
+}
+
+impl Default for TranslateEngineConfig {
+    fn default() -> Self {
+        Self {
+            id: String::new(),
+            name: String::new(),
+            kind: "ai".to_string(),
+            preset: "custom".to_string(),
+            enabled: true,
+            priority: 100,
+            base_url: String::new(),
+            model: String::new(),
+            temperature: 0.3,
+            max_tokens: 4096,
+            timeout_ms: 30_000,
+            system_prompt: String::new(),
+            extra_body: None,
+            supports_vision: false,
+        }
+    }
+}
+
+impl TranslateEngineConfig {
+    /// 内置 DeepSeek 预设：默认引擎。模型标识取现行名 `deepseek-flash`
+    /// （`deepseek-chat` / `deepseek-reasoner` 已于 2026-07-24 停用；`deepseek-v4-flash`
+    /// 等旧名虽仍被受理，但请求已被路由到 V4.1-Flash，不适合再写进默认配置）。
+    pub fn deepseek_default() -> Self {
+        Self {
+            id: "deepseek".to_string(),
+            name: "DeepSeek Flash".to_string(),
+            kind: "ai".to_string(),
+            preset: "deepseek".to_string(),
+            enabled: true,
+            priority: 10,
+            base_url: "https://api.deepseek.com".to_string(),
+            model: "deepseek-flash".to_string(),
+            temperature: 0.3,
+            max_tokens: 4096,
+            timeout_ms: 30_000,
+            // 翻译场景用非思考模式：不写 thinking / reasoning_effort，换低延迟低费用
+            system_prompt: String::new(),
+            extra_body: None,
+            supports_vision: false,
+        }
+    }
+}
+
+/// 划词翻译设置（P1 生效；结构在 P0 即定型，避免 P2 改数据结构）。
+///
+/// P2 重构说明：原「取词快捷键 Alt+T」「翻译剪贴板 Alt+Shift+T」已移除，
+/// 统一为「翻译面板」快捷键（`panel_shortcut`）——面板打开时自动尝试读取
+/// 当前划词与剪贴板首条作为候选，覆盖了原来两个入口的全部场景。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct SelectionSettings {
+    /// 总开关：打开翻译面板时是否尝试读取当前划词作为候选
+    pub enabled: bool,
+    /// 打开翻译面板的全局快捷键（默认 Ctrl+2）
+    #[serde(default = "default_panel_shortcut")]
+    pub panel_shortcut: String,
+    /// 取词方式：
+    /// - "smart"（默认）：先用 UIA 直读选区，读不到再退回模拟 Ctrl+C。不碰剪贴板，
+    ///   因此不受「目标窗口提权」「Alt 仍被按住导致 Ctrl+C 变成 Alt+Ctrl+C」这两类问题影响。
+    /// - "compat"：只用模拟 Ctrl+C（覆盖最广，但会短暂占用剪贴板）。
+    /// - "clipboard"：不取词，面板只提供剪贴板首条作为候选。
+    pub mode: String,
+    /// 取词后是否还原剪贴板（关掉则保留选中文本）
+    pub restore_clipboard: bool,
+    /// 单次取词的字符数上限。超出直接拒绝并提示：划词误选整篇文档时，
+    /// 发一个几万字的请求既慢又费钱，不如让用户明确知道发生了什么。
+    pub max_chars: u32,
+    /// 取词跳过的进程名黑名单（终端类 Ctrl+C 是中断信号，必须排除）
+    pub blacklist: Vec<String>,
+}
+
+fn default_panel_shortcut() -> String {
+    "Ctrl+2".to_string()
+}
+
+impl Default for SelectionSettings {
+    fn default() -> Self {
+        Self {
+            // P0 未实现取词，默认关闭以免给出「已开启但无反应」的错误预期
+            enabled: false,
+            panel_shortcut: default_panel_shortcut(),
+            // 默认「智能」：UIA 直读优先，读不到再退回模拟 Ctrl+C
+            mode: "smart".to_string(),
+            restore_clipboard: true,
+            max_chars: 2000,
+            blacklist: vec![
+                "WindowsTerminal.exe".to_string(),
+                "conhost.exe".to_string(),
+                "mintty.exe".to_string(),
+                "OpenConsole.exe".to_string(),
+            ],
+        }
+    }
+}
+
+/// 划词结果悬浮窗外观（P1 生效）。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct PopupSettings {
+    /// 正文字号（逻辑像素）
+    pub font_size: u32,
+    /// 不透明度百分比（100 = 不透明）
+    pub opacity: u32,
+    /// 优先落位："bottom-right" | "bottom-left" | "top-right" | "top-left"
+    pub position_preference: String,
+    /// 是否默认展开原文
+    pub show_original: bool,
+    /// 划词弹窗的源语言（"auto" 表示交给引擎判断）。
+    ///
+    /// 存在的理由：MyMemory 这类源**不支持自动检测**，而划词场景天然不知道源语言。
+    /// 与其让弹窗永远传 auto、把这类源判成「不可用」，不如让用户在这里定一次并记住。
+    #[serde(default = "default_source_lang")]
+    pub source_lang: String,
+    /// 划词弹窗的目标语言。空串表示跟随全局「默认目标语言」。
+    #[serde(default)]
+    pub target_lang: String,
+}
+
+fn default_source_lang() -> String {
+    "auto".to_string()
+}
+
+impl Default for PopupSettings {
+    fn default() -> Self {
+        Self {
+            font_size: 13,
+            opacity: 100,
+            position_preference: "bottom-right".to_string(),
+            show_original: true,
+            source_lang: default_source_lang(),
+            target_lang: String::new(),
+        }
+    }
+}
+
+impl PopupSettings {
+    /// 生效的源语言：空串（旧配置）按 auto 处理。
+    pub fn effective_source_lang(&self) -> &str {
+        let v = self.source_lang.trim();
+        if v.is_empty() {
+            "auto"
+        } else {
+            v
+        }
+    }
+
+    /// 生效的目标语言：未单独设置时跟随全局默认。
+    pub fn effective_target_lang<'a>(&'a self, fallback: &'a str) -> &'a str {
+        let v = self.target_lang.trim();
+        if v.is_empty() {
+            fallback
+        } else {
+            v
+        }
+    }
+}
+
+/// 截图翻译设置。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct ScreenshotSettings {
+    /// 识别方式："windows"（Windows.Media.Ocr，本地离线，默认）| "vision"（视觉模型直译）
+    pub ocr_mode: String,
+    /// OCR 语言："auto" 或 BCP-47 标签（如 en-US / zh-Hans-CN）
+    pub ocr_lang: String,
+    /// 框选完成后是否自动翻译（关闭则只识别，译文由用户在悬浮窗手动触发）
+    pub auto_translate: bool,
+}
+
+impl Default for ScreenshotSettings {
+    fn default() -> Self {
+        Self {
+            ocr_mode: "windows".to_string(),
+            ocr_lang: "auto".to_string(),
+            auto_translate: true,
+        }
+    }
+}
+
+/// 翻译历史设置（P2 生效）。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct HistorySettings {
+    pub enabled: bool,
+    /// 保留条数上限（超出按时间淘汰）
+    pub max_items: u32,
+}
+
+impl Default for HistorySettings {
+    fn default() -> Self {
+        Self {
+            enabled: true,
+            max_items: 2000,
+        }
+    }
+}
+
+/// 翻译模块设置根结构。
+#[derive(Debug, Clone, Serialize, Deserialize, Type)]
+#[serde(rename_all = "camelCase", default)]
+pub struct TranslateSettings {
+    /// 结构版本号（用于后续迁移判断）
+    pub version: u32,
+    /// 默认目标语言（内部代码，如 zh-Hans）
+    pub default_target: String,
+    /// 默认引擎实例 id（"auto" 表示按优先级自动降级）
+    pub default_engine_id: String,
+    /// 自动模式下的失败降级开关
+    pub auto_fallback: bool,
+    /// 翻译请求是否走代理模块（mihomo mixed 端口）。
+    /// **默认关闭**：自建 LibreTranslate 在境内、MyMemory 与 DeepSeek 均可直连，
+    /// 不需要代理；仅当翻译服务部署在境外或直连被拦截时由用户显式打开。
+    pub use_proxy: bool,
+    /// 引擎实例列表
+    pub engines: Vec<TranslateEngineConfig>,
+    pub selection: SelectionSettings,
+    pub popup: PopupSettings,
+    pub screenshot: ScreenshotSettings,
+    pub history: HistorySettings,
+    pub prompt_templates: PromptTemplates,
+}
+
+impl Default for TranslateSettings {
+    fn default() -> Self {
+        Self {
+            version: 1,
+            default_target: "zh-Hans".to_string(),
+            default_engine_id: "deepseek".to_string(),
+            auto_fallback: true,
+            use_proxy: false,
+            engines: vec![TranslateEngineConfig::deepseek_default()],
+            selection: SelectionSettings::default(),
+            popup: PopupSettings::default(),
+            screenshot: ScreenshotSettings::default(),
+            history: HistorySettings::default(),
+            prompt_templates: PromptTemplates::default(),
+        }
+    }
+}
+
+impl TranslateSettings {
+    /// 按 id 找引擎实例。
+    pub fn engine(&self, id: &str) -> Option<&TranslateEngineConfig> {
+        self.engines.iter().find(|e| e.id == id)
+    }
+
+    /// 参与「自动」模式的引擎，按优先级升序。
+    pub fn auto_candidates(&self) -> Vec<&TranslateEngineConfig> {
+        let mut list: Vec<&TranslateEngineConfig> = self.engines.iter().filter(|e| e.enabled).collect();
+        list.sort_by_key(|e| e.priority);
+        list
+    }
+
+    /// 自愈：列表为空时补回 DeepSeek 默认实例；默认引擎 id 失效时回落到第一个可用实例。
+    /// 返回是否发生了变更（由调用方决定落盘）。
+    pub fn heal(&mut self) -> bool {
+        let mut changed = false;
+        if self.engines.is_empty() {
+            self.engines.push(TranslateEngineConfig::deepseek_default());
+            changed = true;
+        }
+        if self.default_target.trim().is_empty() {
+            self.default_target = "zh-Hans".to_string();
+            changed = true;
+        }
+        if self.default_engine_id.trim().is_empty() {
+            self.default_engine_id = "auto".to_string();
+            changed = true;
+        }
+        if self.default_engine_id != "auto" && self.engine(&self.default_engine_id).is_none() {
+            // 指向的实例已被删除：不要静默改写成某个实例，改为「自动」更符合用户预期
+            self.default_engine_id = "auto".to_string();
+            changed = true;
+        }
+        // v1 → v2：取词方式默认值从 "compat" 改为 "smart"（UIA 直读已实现）。
+        // v1 里这个字段没有任何 UI 入口，用户不可能主动选过它，因此直接迁移是安全的；
+        // 迁移后用户再选 "compat" 会被原样保留（版本号已推进，不会再被改写）。
+        if self.version < 2 {
+            if self.selection.mode.trim() == "compat" {
+                self.selection.mode = "smart".to_string();
+            }
+            self.version = 2;
+            changed = true;
+        }
+        changed
+    }
+}

src-tauri/src/win32_util.rs

@@ -137,6 +137,30 @@ pub fn apply_no_activate(hwnd: isize) {
     }
 }
 
+/// 按需添加/移除 WS_EX_NOACTIVATE（不动 WS_EX_TOOLWINDOW）。
+///
+/// 取词悬浮窗默认不激活；但弹窗里的原文编辑框需要键盘焦点——NOACTIVATE 窗口
+/// 永远拿不到焦点，根本无法输入。用户点击编辑区时移除该样式并强制激活
+/// （见 [`force_foreground`]），弹窗隐藏时恢复，保证下一次划词仍不抢焦点。
+#[cfg(windows)]
+pub fn set_no_activate(hwnd: isize, no_activate: bool) {
+    use windows_sys::Win32::UI::WindowsAndMessaging::{
+        GetWindowLongPtrW, SetWindowLongPtrW, GWL_EXSTYLE, WS_EX_NOACTIVATE,
+    };
+    unsafe {
+        let ex = GetWindowLongPtrW(hwnd, GWL_EXSTYLE);
+        let new_ex = if no_activate {
+            ex | (WS_EX_NOACTIVATE as isize)
+        } else {
+            ex & !(WS_EX_NOACTIVATE as isize)
+        };
+        SetWindowLongPtrW(hwnd, GWL_EXSTYLE, new_ex);
+    }
+}
+
+#[cfg(not(windows))]
+pub fn set_no_activate(_hwnd: isize, _no_activate: bool) {}
+
 /// 鼠标左键当前是否按下（GetAsyncKeyState，全局异步状态，无需窗口焦点）。
 /// 供看护线程轮询检测"点击外部"（配合按下沿判定）。
 #[cfg(windows)]

src-tauri/tauri.conf.json

@@ -1,7 +1,7 @@
 {
   "$schema": "https://schema.tauri.app/config/2",
   "productName": "thing",
-  "version": "26.8.5",
+  "version": "26.9.3",
   "identifier": "thing.lfeng.me",
   "build": {
     "beforeDevCommand": "bun run dev",
@@ -24,7 +24,7 @@
       }
     ],
     "security": {
-      "csp": "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob: asset: http://asset.localhost; font-src 'self' data:; connect-src ipc: http://ipc.localhost; media-src 'self' data: blob:"
+      "csp": "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob: asset: http://asset.localhost http://127.0.0.1:*; font-src 'self' data:; connect-src ipc: http://ipc.localhost; media-src 'self' data: blob: http://127.0.0.1:*"
     }
   },
   "bundle": {

src/App.vue

@@ -5,8 +5,10 @@ import { getCurrentWindow } from '@tauri-apps/api/window'
 import TitleBar from '@/components/layout/TitleBar.vue'
 import Sidebar from '@/components/layout/Sidebar.vue'
 import ModuleContainer from '@/components/layout/ModuleContainer.vue'
+import NowPlayingDialog from '@/components/layout/NowPlayingDialog.vue'
 import { Toaster } from '@/components/ui/sonner'
 import { useAppStore } from '@/stores/appStore'
+import { useFeiniuStore } from '@/stores/feiniuStore'
 import { useScreenshotStore } from '@/stores/screenshotStore'
 import { useQuickPanelStore } from '@/stores/quickpanelStore'
 import { useMonitorStore } from '@/stores/monitorStore'
@@ -19,6 +21,7 @@ import { EVENTS, STORAGE_KEYS, WINDOWS } from '@/lib/constants'
 import { commands } from '@/lib/bindings'
 
 const appStore = useAppStore()
+const feiniuStore = useFeiniuStore()
 const screenshotStore = useScreenshotStore()
 const quickpanelStore = useQuickPanelStore()
 const monitorStore = useMonitorStore()
@@ -197,6 +200,9 @@ const resolveDefaultModule = (): string => {
 onMounted(async () => {
   await appStore.init().catch(e => console.error('App init error:', e))
 
+  // 全局播放器：恢复队列/音量/播放模式等本地状态（幂等，音乐模块内会再次调用但不会重复执行）
+  feiniuStore.init().catch(e => console.error('播放器初始化失败:', e))
+
   // 初始化监控 store：订阅后端 monitor-data / monitor-network 等事件，
   // 使 OSD 窗口在应用启动后即可接收数据流，不依赖用户手动打开监控模块。
   // init() 幂等：MonitorModule 挂载时再次调用不会重复订阅。
@@ -283,7 +289,7 @@ onUnmounted(() => {
   <TooltipProvider>
     <div class="flex flex-col h-screen w-screen overflow-hidden">
       <TitleBar :modules="availableModules" @search="handleSearch" />
-      <div class="flex-1 flex overflow-hidden">
+      <div class="flex-1 flex overflow-hidden min-h-0">
         <Sidebar
           :modules="availableModules"
           :active-module="activeModule"
@@ -292,6 +298,7 @@ onUnmounted(() => {
         <ModuleContainer :active-component="activeComponent" :active-module="activeModule" :loading="moduleLoading" />
       </div>
     </div>
+    <NowPlayingDialog />
     <Toaster position="bottom-right" rich-colors close-button :style="{ zIndex: 99999 }" />
   </TooltipProvider>
 </template>

src/components/common/ScrubBar.vue

@@ -0,0 +1,293 @@
+<script setup lang="ts">
+import { computed, ref } from 'vue'
+
+/**
+ * 通用拖拽进度条。
+ *
+ * 关键行为：拖动过程中**不**向外提交，只更新本地预览值；
+ * 指针抬起（或键盘操作）时才 emit `seek`。
+ * 这样流式音频不会因为拖动而反复中断并重建 Range 请求。
+ */
+const props = withDefaults(
+  defineProps<{
+    /** 当前进度 0~1 */
+    value: number
+    /** 已缓冲比例 0~1 */
+    buffered?: number
+    /** 总秒数：>0 时显示两侧时间与拖动气泡 */
+    durationSec?: number
+    /** 紧凑模式（音量条）：细轨道、无时间、无气泡 */
+    compact?: boolean
+    disabled?: boolean
+    /** 无障碍标签 */
+    label?: string
+  }>(),
+  { buffered: 0, durationSec: 0, compact: false, disabled: false, label: '进度' }
+)
+
+const emit = defineEmits<{ seek: [ratio: number] }>()
+
+const rootRef = ref<HTMLElement | null>(null)
+const dragging = ref(false)
+const dragRatio = ref(0)
+const hoverRatio = ref<number | null>(null)
+
+function clamp(v: number) {
+  return Math.min(1, Math.max(0, Number.isFinite(v) ? v : 0))
+}
+function pct(v: number) {
+  return `${clamp(v) * 100}%`
+}
+const activeRatio = computed(() => (dragging.value ? dragRatio.value : clamp(props.value)))
+const bubbleRatio = computed(() => (dragging.value ? dragRatio.value : hoverRatio.value))
+const showTime = computed(() => !props.compact && props.durationSec > 0)
+
+function ratioFromClientX(clientX: number) {
+  const el = rootRef.value
+  if (!el) return 0
+  const r = el.getBoundingClientRect()
+  if (r.width <= 0) return 0
+  return clamp((clientX - r.left) / r.width)
+}
+
+function fmt(sec: number) {
+  if (!Number.isFinite(sec) || sec < 0) return '--:--'
+  const s = Math.floor(sec)
+  const h = Math.floor(s / 3600)
+  const m = Math.floor((s % 3600) / 60)
+  const r = s % 60
+  if (h > 0) return `${h}:${String(m).padStart(2, '0')}:${String(r).padStart(2, '0')}`
+  return `${String(m).padStart(2, '0')}:${String(r).padStart(2, '0')}`
+}
+
+function onDown(e: PointerEvent) {
+  if (props.disabled) return
+  const el = e.currentTarget as HTMLElement
+  dragging.value = true
+  dragRatio.value = ratioFromClientX(e.clientX)
+  try {
+    el.focus({ preventScroll: true })
+    el.setPointerCapture(e.pointerId)
+  } catch {
+    /* 部分环境不支持指针捕获/聚焦，降级为普通拖动 */
+  }
+  e.preventDefault()
+}
+
+function onMove(e: PointerEvent) {
+  const r = ratioFromClientX(e.clientX)
+  hoverRatio.value = r
+  if (dragging.value) dragRatio.value = r
+}
+
+function onUp(e: PointerEvent) {
+  if (!dragging.value) return
+  dragging.value = false
+  dragRatio.value = ratioFromClientX(e.clientX)
+  emit('seek', dragRatio.value)
+}
+
+function onLeave() {
+  if (!dragging.value) hoverRatio.value = null
+}
+
+function onKey(e: KeyboardEvent) {
+  if (props.disabled) return
+  const step = e.shiftKey ? 0.1 : 0.02
+  let next: number | null = null
+  if (e.key === 'ArrowRight' || e.key === 'ArrowUp') next = clamp(props.value + step)
+  else if (e.key === 'ArrowLeft' || e.key === 'ArrowDown') next = clamp(props.value - step)
+  else if (e.key === 'Home') next = 0
+  else if (e.key === 'End') next = 1
+  if (next !== null) {
+    emit('seek', next)
+    e.preventDefault()
+  }
+}
+</script>
+
+<template>
+  <div
+    class="scrub"
+    :class="{ 'is-compact': compact, 'is-dragging': dragging, 'is-disabled': disabled }"
+  >
+    <span v-if="showTime" class="scrub-time">{{ fmt(activeRatio * durationSec) }}</span>
+
+    <div
+      ref="rootRef"
+      class="scrub-track"
+      role="slider"
+      :tabindex="disabled ? -1 : 0"
+      :aria-label="label"
+      :aria-valuenow="Math.round(activeRatio * 100)"
+      aria-valuemin="0"
+      aria-valuemax="100"
+      :aria-disabled="disabled"
+      @pointerdown="onDown"
+      @pointermove="onMove"
+      @pointerup="onUp"
+      @pointercancel="onUp"
+      @pointerleave="onLeave"
+      @keydown="onKey"
+    >
+      <span class="scrub-buffered" :style="{ width: pct(buffered) }" />
+      <span class="scrub-played" :style="{ width: pct(activeRatio) }" />
+      <span class="scrub-thumb" :style="{ left: pct(activeRatio) }" />
+      <span
+        v-if="showTime && bubbleRatio !== null"
+        class="scrub-bubble"
+        :style="{ left: pct(bubbleRatio) }"
+      >
+        {{ fmt(bubbleRatio * durationSec) }}
+      </span>
+    </div>
+
+    <span v-if="showTime" class="scrub-time">{{ fmt(durationSec) }}</span>
+  </div>
+</template>
+
+<style scoped>
+.scrub {
+  display: flex;
+  align-items: center;
+  gap: 10px;
+  width: 100%;
+  min-width: 0;
+}
+
+.scrub-time {
+  font-size: 11px;
+  color: var(--muted-foreground);
+  font-variant-numeric: tabular-nums;
+  flex: 0 0 auto;
+  min-width: 38px;
+  text-align: center;
+  user-select: none;
+}
+.scrub-time:first-child {
+  text-align: right;
+}
+
+.scrub-track {
+  position: relative;
+  flex: 1 1 auto;
+  min-width: 0;
+  height: 16px;
+  display: flex;
+  align-items: center;
+  cursor: pointer;
+  touch-action: none;
+  outline: none;
+}
+
+/* 视觉轨道（高 4px，hover / 拖动时增到 7px） */
+.scrub-track::before {
+  content: '';
+  position: absolute;
+  left: 0;
+  right: 0;
+  height: 4px;
+  border-radius: 999px;
+  background: var(--muted);
+  transition: height 0.15s ease;
+}
+.scrub:hover .scrub-track::before,
+.scrub.is-dragging .scrub-track::before {
+  height: 7px;
+}
+.scrub-track:focus-visible::before {
+  box-shadow: 0 0 0 3px color-mix(in oklab, var(--ring) 45%, transparent);
+}
+
+.scrub-buffered,
+.scrub-played {
+  position: absolute;
+  left: 0;
+  height: 4px;
+  border-radius: 999px;
+  transition: height 0.15s ease;
+}
+.scrub:hover .scrub-buffered,
+.scrub.is-dragging .scrub-buffered,
+.scrub:hover .scrub-played,
+.scrub.is-dragging .scrub-played {
+  height: 7px;
+}
+.scrub-buffered {
+  background: color-mix(in oklab, var(--muted-foreground) 28%, transparent);
+}
+.scrub-played {
+  background: var(--primary);
+}
+
+.scrub-thumb {
+  position: absolute;
+  top: 50%;
+  width: 12px;
+  height: 12px;
+  margin: -6px 0 0 -6px;
+  border-radius: 50%;
+  background: var(--primary);
+  box-shadow: 0 0 0 2px var(--background);
+  opacity: 0;
+  transition: opacity 0.15s ease, transform 0.15s ease;
+  pointer-events: none;
+}
+.scrub:hover .scrub-thumb,
+.scrub.is-dragging .scrub-thumb,
+.scrub-track:focus-visible .scrub-thumb {
+  opacity: 1;
+}
+.scrub.is-dragging .scrub-thumb {
+  transform: scale(1.15);
+}
+
+.scrub-bubble {
+  position: absolute;
+  bottom: 18px;
+  transform: translateX(-50%);
+  padding: 2px 6px;
+  border-radius: 5px;
+  background: var(--popover);
+  color: var(--popover-foreground);
+  border: 1px solid var(--border);
+  font-size: 11px;
+  font-variant-numeric: tabular-nums;
+  pointer-events: none;
+  white-space: nowrap;
+}
+
+.scrub.is-compact .scrub-time {
+  display: none;
+}
+.scrub.is-compact .scrub-track {
+  height: 14px;
+}
+.scrub.is-compact .scrub-track::before,
+.scrub.is-compact .scrub-buffered,
+.scrub.is-compact .scrub-played {
+  height: 4px;
+}
+.scrub.is-compact:hover .scrub-track::before,
+.scrub.is-compact:hover .scrub-buffered,
+.scrub.is-compact:hover .scrub-played,
+.scrub.is-compact.is-dragging .scrub-track::before,
+.scrub.is-compact.is-dragging .scrub-buffered,
+.scrub.is-compact.is-dragging .scrub-played {
+  height: 6px;
+}
+
+.scrub.is-disabled {
+  opacity: 0.5;
+  pointer-events: none;
+}
+
+@media (prefers-reduced-motion: reduce) {
+  .scrub-track::before,
+  .scrub-buffered,
+  .scrub-played,
+  .scrub-thumb {
+    transition: none;
+  }
+}
+</style>

src/components/common/SegmentedNav.vue

@@ -0,0 +1,55 @@
+<script setup lang="ts">
+import type { Component } from 'vue'
+
+export interface SegmentedItem {
+  value: string
+  label: string
+  /** lucide 图标组件 */
+  icon?: Component
+  /** 右侧计数徽标 */
+  count?: number
+}
+
+/** 模块内统一的分段导航（替代此前并存的三套切换控件） */
+defineProps<{
+  modelValue: string
+  items: SegmentedItem[]
+  /** 铺满容器宽度（等分） */
+  block?: boolean
+}>()
+
+const emit = defineEmits<{ 'update:modelValue': [value: string] }>()
+</script>
+
+<template>
+  <div
+    class="inline-flex items-center rounded-lg bg-muted p-0.5"
+    :class="block ? 'flex w-full' : 'w-fit'"
+    role="tablist"
+  >
+    <button
+      v-for="item in items"
+      :key="item.value"
+      type="button"
+      role="tab"
+      :aria-selected="modelValue === item.value"
+      class="flex min-w-0 flex-1 items-center justify-center gap-1.5 rounded-[7px] px-3 py-1.5 text-[13px] transition-colors duration-150 outline-none focus-visible:ring-2 focus-visible:ring-ring/50"
+      :class="
+        modelValue === item.value
+          ? 'bg-background font-medium text-foreground shadow-sm'
+          : 'text-muted-foreground hover:text-foreground'
+      "
+      @click="emit('update:modelValue', item.value)"
+    >
+      <component :is="item.icon" v-if="item.icon" class="size-3.5 shrink-0" />
+      <span class="truncate">{{ item.label }}</span>
+      <span
+        v-if="item.count"
+        class="shrink-0 rounded-full bg-muted px-1.5 text-[10px] tabular-nums text-muted-foreground"
+        :class="modelValue === item.value ? 'bg-muted' : 'bg-background/70'"
+      >
+        {{ item.count }}
+      </span>
+    </button>
+  </div>
+</template>

src/components/layout/ModuleContainer.vue

@@ -35,7 +35,7 @@ watch(
         <div
           v-if="activeComponent"
           :key="activeModule"
-          class="min-h-full w-full"
+          class="h-full w-full"
         >
           <component :is="activeComponent" />
         </div>
@@ -76,6 +76,20 @@ watch(
 </template>
 
 <style scoped>
+/*
+ * 穿透 reka-ui ScrollArea 的内部 content wrapper。
+ *
+ * reka 的 viewport（overflow 滚动容器）与我们的内容之间还有一层**无高度样式的
+ * div**，百分比高度链在这里断掉——模块根的 `h-full` 解析为 auto，全高模块
+ * （终端/翻译）塌缩成内容高度，表现为卡片下方留白。给它显式 100%：
+ * 内容矮于视口时撑满，高于视口时溢出仍由 viewport 滚动（scrollHeight 计入
+ * 后代溢出），两种场景都不破坏。限定 data-main-scroll 只作用于主滚动区，
+ * 不影响模块内部的局部 ScrollArea。
+ */
+:deep([data-main-scroll] [data-reka-scroll-area-viewport] > div) {
+  height: 100%;
+}
+
 .fade-slide-enter-active,
 .fade-slide-leave-active {
   transition: all 0.3s ease;

src/components/layout/NowPlayingDialog.vue

@@ -0,0 +1,320 @@
+<script setup lang="ts">
+import { computed, ref, watch } from 'vue'
+import { ListMusic, Music2, Pause, Play, Repeat, Repeat1, Shuffle, SkipBack, SkipForward, Trash2, X } from '@lucide/vue'
+import { useFeiniuStore } from '@/stores/feiniuStore'
+import ScrubBar from '@/components/common/ScrubBar.vue'
+import SegmentedNav from '@/components/common/SegmentedNav.vue'
+import { Dialog, DialogContent, DialogClose, DialogTitle } from '@/components/ui/dialog'
+import { ScrollArea } from '@/components/ui/scroll-area'
+import { Tooltip, TooltipContent, TooltipTrigger } from '@/components/ui/tooltip'
+
+const store = useFeiniuStore()
+
+const coverUrl = computed(() => {
+  const t = store.nowPlaying
+  if (!t) return ''
+  if (t.coverUrl) return t.coverUrl
+  if (t.source === 'feiniu' && t.coverId && store.mediaPrefix) {
+    return `${store.mediaPrefix}/cover?coverId=${encodeURIComponent(t.coverId)}&size=400`
+  }
+  return ''
+})
+const coverFailed = ref(false)
+watch(coverUrl, () => (coverFailed.value = false))
+
+const isPreview = computed(() => store.nowPlaying?.source === 'preview')
+const hasTrack = computed(() => !!store.nowPlaying)
+
+const modeIcon = computed(() => {
+  if (store.playMode === 'loopOne') return Repeat1
+  if (store.playMode === 'shuffle') return Shuffle
+  return Repeat
+})
+const modeLabel = computed(() =>
+  store.playMode === 'loopAll' ? '列表循环' : store.playMode === 'loopOne' ? '单曲循环' : '随机播放'
+)
+
+const tabs = computed(() => [
+  { value: 'lyric', label: '歌词' },
+  { value: 'queue', label: `队列` }
+])
+const activeTab = computed({
+  get: () => store.nowPlayingTab,
+  set: (v: string) => (store.nowPlayingTab = v === 'queue' ? 'queue' : 'lyric')
+})
+
+const currentLineIdx = computed(() => store.currentLine())
+
+// ===== 歌词滚动跟随（用函数 ref 收集节点，避免每次全量 querySelectorAll） =====
+const lineEls: (HTMLElement | null)[] = []
+function setLineEl(el: Element | { $el?: Element } | null, idx: number) {
+  lineEls[idx] = (el as HTMLElement) ?? null
+}
+const reduceMotion = typeof window !== 'undefined' && window.matchMedia
+  ? window.matchMedia('(prefers-reduced-motion: reduce)').matches
+  : false
+watch(currentLineIdx, (idx) => {
+  if (idx < 0) return
+  lineEls[idx]?.scrollIntoView({ block: 'center', behavior: reduceMotion ? 'auto' : 'smooth' })
+})
+watch(
+  () => store.lyricLines,
+  () => {
+    lineEls.length = 0
+  }
+)
+
+// ===== 队列：大列表增量渲染（避免上千行一次性挂载） =====
+const QUEUE_STEP = 200
+const queueLimit = ref(QUEUE_STEP)
+watch(
+  () => store.queue.length,
+  () => (queueLimit.value = QUEUE_STEP)
+)
+const visibleQueue = computed(() =>
+  store.queue.slice(0, queueLimit.value).map((item, index) => ({ item, index }))
+)
+const hasMoreQueue = computed(() => store.queue.length > queueLimit.value)
+
+function onSeek(ratio: number) {
+  store.seek(ratio * store.duration)
+}
+
+function playAt(index: number) {
+  const item = store.queue[index]
+  if (item) store.playItem(item)
+}
+
+/** 暂停/继续当前曲目（不切换上下文） */
+function toggleAt(index: number) {
+  if (index === store.queueIndex) store.toggle()
+  else playAt(index)
+}
+</script>
+
+<template>
+  <Dialog v-model:open="store.nowPlayingOpen">
+    <DialogContent
+      class="max-w-5xl overflow-hidden border p-0 sm:max-w-5xl"
+      :show-close-button="false"
+    >
+      <DialogTitle class="sr-only">正在播放</DialogTitle>
+
+      <div class="relative flex h-[min(78vh,600px)] flex-col">
+        <!-- 背景：主题色轻渐变（不使用整图高斯模糊，避免持续 GPU 开销） -->
+        <div
+          class="pointer-events-none absolute inset-0"
+          style="
+            background:
+              radial-gradient(120% 90% at 12% 0%, color-mix(in oklab, var(--muted) 92%, transparent), transparent 62%),
+              linear-gradient(180deg, color-mix(in oklab, var(--muted) 55%, transparent), var(--background) 72%);
+          "
+        />
+
+        <div class="relative flex min-h-0 flex-1">
+          <!-- ===== 左：封面 + 控制 ===== -->
+          <div class="flex w-[46%] min-w-0 flex-col justify-center gap-5 px-9 py-8">
+            <div class="flex justify-center">
+              <img
+                v-if="coverUrl && !coverFailed"
+                :src="coverUrl"
+                class="aspect-square w-[min(240px,60%)] rounded-xl object-cover ring-1 ring-border/60"
+                alt=""
+                referrerpolicy="no-referrer"
+                @error="coverFailed = true"
+              />
+              <div
+                v-else
+                class="flex aspect-square w-[min(240px,60%)] items-center justify-center rounded-xl bg-muted/60 text-muted-foreground ring-1 ring-border/60"
+              >
+                <Music2 class="size-16" />
+              </div>
+            </div>
+
+            <div class="min-w-0 text-center">
+              <div class="flex items-center justify-center gap-2">
+                <h3 class="truncate text-[19px] font-semibold">{{ store.nowPlaying?.title || '未播放' }}</h3>
+                <span
+                  v-if="isPreview"
+                  class="shrink-0 rounded bg-muted px-1.5 py-0.5 text-[10px] text-muted-foreground"
+                >
+                  试听
+                </span>
+              </div>
+              <p class="mt-1 truncate text-[13px] text-muted-foreground">
+                {{ store.nowPlaying?.artistNames || '—'
+                }}<template v-if="store.nowPlaying?.album"> · {{ store.nowPlaying.album }}</template>
+              </p>
+            </div>
+
+            <div class="flex flex-col gap-2">
+              <ScrubBar
+                :value="store.progress / 100"
+                :buffered="store.bufferedPercent / 100"
+                :duration-sec="store.duration"
+                :disabled="!hasTrack"
+                label="播放进度"
+                @seek="onSeek"
+              />
+              <div class="mt-1 flex items-center justify-center gap-6">
+                <Tooltip>
+                  <TooltipTrigger as-child>
+                    <button
+                      type="button"
+                      class="text-muted-foreground transition-colors hover:text-foreground"
+                      :aria-label="modeLabel"
+                      @click="store.togglePlayMode()"
+                    >
+                      <component :is="modeIcon" class="size-4" />
+                    </button>
+                  </TooltipTrigger>
+                  <TooltipContent>{{ modeLabel }}</TooltipContent>
+                </Tooltip>
+
+                <button
+                  type="button"
+                  class="text-muted-foreground transition-colors hover:text-foreground disabled:opacity-40"
+                  :disabled="!store.queue.length"
+                  aria-label="上一首"
+                  @click="store.prev()"
+                >
+                  <SkipBack class="size-6" />
+                </button>
+
+                <button
+                  type="button"
+                  class="flex size-14 items-center justify-center rounded-full bg-primary text-primary-foreground transition-opacity hover:opacity-90 disabled:opacity-40"
+                  :disabled="!hasTrack"
+                  :aria-label="store.playing ? '暂停' : '播放'"
+                  @click="store.toggle()"
+                >
+                  <span
+                    v-if="store.loadingPlay"
+                    class="size-5 animate-spin rounded-full border-2 border-current border-t-transparent"
+                  />
+                  <Pause v-else-if="store.playing" class="size-6" />
+                  <Play v-else class="size-6 translate-x-px" />
+                </button>
+
+                <button
+                  type="button"
+                  class="text-muted-foreground transition-colors hover:text-foreground disabled:opacity-40"
+                  :disabled="!store.queue.length"
+                  aria-label="下一首"
+                  @click="store.next()"
+                >
+                  <SkipForward class="size-6" />
+                </button>
+
+                <button
+                  type="button"
+                  class="text-muted-foreground transition-colors hover:text-foreground"
+                  :class="{ 'text-foreground': store.nowPlayingTab === 'queue' }"
+                  :aria-label="`播放队列（${store.queue.length}）`"
+                  :title="`播放队列（${store.queue.length}）`"
+                  @click="store.nowPlayingTab = 'queue'"
+                >
+                  <ListMusic class="size-4" />
+                </button>
+              </div>
+            </div>
+          </div>
+
+          <!-- ===== 右：歌词 / 队列 ===== -->
+          <div class="flex min-w-0 flex-1 flex-col border-l border-border px-6 py-7">
+            <div class="mb-4 flex items-center">
+              <SegmentedNav v-model="activeTab" :items="tabs" />
+            </div>
+
+            <ScrollArea class="min-h-0 flex-1">
+              <div v-if="activeTab === 'lyric'" class="flex flex-col gap-0.5 px-1 pb-6" data-slot="lyric-list">
+                <p v-if="!store.lyricLines.length" class="py-8 text-center text-[13px] text-muted-foreground">
+                  {{ isPreview ? '试听不加载歌词' : store.nowPlaying?.source === 'local' ? '本地文件无歌词' : '暂无歌词' }}
+                </p>
+                <button
+                  v-for="(line, idx) in store.lyricLines"
+                  :key="idx"
+                  :ref="(el) => setLineEl(el as Element | null, idx)"
+                  type="button"
+                  class="rounded-md px-3 py-1.5 text-left text-[14px] leading-7 transition-all duration-200"
+                  :class="
+                    idx === currentLineIdx
+                      ? 'bg-accent/60 text-[16px] font-medium text-foreground'
+                      : idx < currentLineIdx
+                        ? 'text-muted-foreground/45 hover:text-muted-foreground'
+                        : 'text-muted-foreground/75 hover:text-foreground'
+                  "
+                  @click="store.seek(line.t)"
+                >
+                  {{ line.text }}
+                </button>
+              </div>
+
+              <div v-else class="flex flex-col gap-0.5 px-1 pb-6">
+                <div v-if="!store.queue.length" class="py-8 text-center text-[13px] text-muted-foreground">
+                  队列为空
+                </div>
+                <div
+                  v-for="row in visibleQueue"
+                  :key="`${row.item.source}:${row.item.guid ?? row.index}`"
+                  class="group flex items-center gap-3 rounded-md px-2 py-1.5 transition-colors"
+                  :class="row.index === store.queueIndex && !isPreview ? 'bg-accent/60' : 'hover:bg-accent/40'"
+                >
+                  <button
+                    type="button"
+                    class="flex size-6 shrink-0 items-center justify-center text-[11px] tabular-nums text-muted-foreground"
+                    :aria-label="row.index === store.queueIndex ? '暂停/继续' : '播放'"
+                    @click="toggleAt(row.index)"
+                  >
+                    <span v-if="row.index === store.queueIndex && !isPreview" class="music-eq" :class="{ 'is-paused': !store.playing }">
+                      <i /><i /><i />
+                    </span>
+                    <template v-else>
+                      <Play class="size-3.5 opacity-0 transition-opacity group-hover:opacity-100" />
+                      <span class="group-hover:hidden">{{ row.index + 1 }}</span>
+                    </template>
+                  </button>
+                  <div class="min-w-0 flex-1">
+                    <div
+                      class="truncate text-[13px]"
+                      :class="row.index === store.queueIndex && !isPreview ? 'font-medium' : ''"
+                    >
+                      {{ row.item.title }}
+                    </div>
+                    <div class="truncate text-[11.5px] text-muted-foreground">{{ row.item.artistNames || '—' }}</div>
+                  </div>
+                  <button
+                    type="button"
+                    class="shrink-0 text-muted-foreground opacity-0 transition-opacity hover:text-destructive group-hover:opacity-100"
+                    aria-label="从队列移除"
+                    @click="store.removeFromQueue(row.index)"
+                  >
+                    <Trash2 class="size-3.5" />
+                  </button>
+                </div>
+                <button
+                  v-if="hasMoreQueue"
+                  type="button"
+                  class="mt-1 rounded-md py-2 text-[12px] text-muted-foreground hover:bg-accent/40"
+                  @click="queueLimit += QUEUE_STEP"
+                >
+                  显示更多（{{ store.queue.length - queueLimit }}）
+                </button>
+              </div>
+            </ScrollArea>
+          </div>
+        </div>
+
+        <DialogClose as-child>
+          <button
+            type="button"
+            class="absolute right-4 top-4 z-10 rounded-md p-1.5 text-muted-foreground transition-colors hover:bg-accent hover:text-foreground"
+            aria-label="关闭"
+          >
+            <X class="size-5" />
+          </button>
+        </DialogClose>
+      </div>
+    </DialogContent>
+  </Dialog>
+</template>

src/components/layout/TitleBar.vue

@@ -2,6 +2,7 @@
 import { ref, computed, onMounted, onUnmounted, nextTick, watch } from 'vue'
 import { Search, Settings, ChevronRight, ArrowUp, Check, Loader2 } from '@lucide/vue'
 import { Input } from '@/components/ui/input'
+import TitleBarMusic from '@/components/layout/TitleBarMusic.vue'
 import { invoke } from '@tauri-apps/api/core'
 import { getCurrentWindow } from '@tauri-apps/api/window'
 import { useSearchStore, type SearchItem } from '@/stores/searchStore'
@@ -363,6 +364,11 @@ const handleBlur = () => {
           保存设置
         </button>
       </Transition>
+      <!-- 音乐栏：唱片图标 + 歌名（点击弹出方形播放控制窗），位于搜索框左侧 -->
+      <div class="pointer-events-auto">
+        <TitleBarMusic />
+      </div>
+
       <div class="relative max-w-xs mr-3 pointer-events-auto">
         <Search 
           class="absolute left-2.5 top-1/2 -translate-y-1/2 size-4 text-muted-foreground" 

src/components/layout/TitleBarMusic.vue

@@ -0,0 +1,436 @@
+<script setup lang="ts">
+import { computed, onMounted, ref, watch } from 'vue'
+import { toast } from 'vue-sonner'
+import {
+  Disc3,
+  ListMusic,
+  Maximize2,
+  MicVocal,
+  Pause,
+  Play,
+  Repeat,
+  Repeat1,
+  Shuffle,
+  SkipBack,
+  SkipForward,
+  Volume2,
+  VolumeX
+} from '@lucide/vue'
+import { useFeiniuStore } from '@/stores/feiniuStore'
+import { createLogger } from '@/lib/logger'
+import ScrubBar from '@/components/common/ScrubBar.vue'
+import { Popover, PopoverAnchor, PopoverContent } from '@/components/ui/popover'
+
+const store = useFeiniuStore()
+const logger = createLogger('music-widget')
+
+const open = ref(false)
+
+/** 悬停多久后打开播放控制窗 */
+const HOVER_OPEN_DELAY = 300
+/** 弹层是否由悬停打开：据此决定鼠标移出时是否自动关闭（点击打开则不自动关） */
+let hoverOpened = false
+let hoverTimer: ReturnType<typeof setTimeout> | null = null
+let closeTimer: ReturnType<typeof setTimeout> | null = null
+/** 整库起播进行中（拉列表可能耗时，兼作重复点击保护） */
+const starting = ref(false)
+
+function cancelHoverTimer() {
+  if (hoverTimer) {
+    clearTimeout(hoverTimer)
+    hoverTimer = null
+  }
+}
+function cancelCloseTimer() {
+  if (closeTimer) {
+    clearTimeout(closeTimer)
+    closeTimer = null
+  }
+}
+
+/** 悬停 0.3s 打开控制窗（不依赖 Popover 默认的点击展开） */
+function onTriggerEnter() {
+  cancelCloseTimer()
+  cancelHoverTimer()
+  hoverTimer = setTimeout(() => {
+    hoverTimer = null
+    if (open.value) return
+    hoverOpened = true
+    open.value = true
+  }, HOVER_OPEN_DELAY)
+}
+
+function onTriggerLeave() {
+  cancelHoverTimer()
+  // 悬停打开的：给鼠标从按钮移到弹层留一点余量
+  if (!open.value || !hoverOpened) return
+  cancelCloseTimer()
+  closeTimer = setTimeout(() => (open.value = false), 250)
+}
+
+function onContentEnter() {
+  cancelCloseTimer()
+}
+
+function onContentLeave() {
+  if (!hoverOpened) return
+  cancelCloseTimer()
+  closeTimer = setTimeout(() => (open.value = false), 180)
+}
+
+watch(open, (v) => {
+  if (v) return
+  cancelCloseTimer()
+  cancelHoverTimer()
+  hoverOpened = false
+})
+
+/** 点击标题：打开播放控制窗（点击打开的弹层不随鼠标移出自动关闭） */
+function onTitleClick() {
+  cancelHoverTimer()
+  cancelCloseTimer()
+  hoverOpened = false
+  open.value = true
+}
+
+/**
+ * 点击**音乐图标**：播放 / 暂停。
+ * - 有播放上下文（队列非空）→ 播放 / 暂停；
+ * - 完全空载 → 依次尝试飞牛曲库**全部列表** → 本地曲库；两者皆空则不做任何反应。
+ */
+async function onIconClick() {
+  if (store.nowPlaying || store.queue.length) {
+    store.toggle()
+    return
+  }
+  if (starting.value) return
+  starting.value = true
+  try {
+    try {
+      await store.loadAllTracks()
+    } catch (e) {
+      // 未登录 / 网络不通：按「飞牛曲库为空」处理，继续尝试本地
+      logger.error(`加载飞牛曲库失败: ${e}`)
+    }
+    if (store.tracks.length) {
+      store.playQueue(store.tracks, 0)
+      return
+    }
+    try {
+      await store.scanLocal()
+    } catch (e) {
+      logger.error(`扫描本地曲库失败: ${e}`)
+    }
+    if (store.localTracks.length) store.playQueue(store.localTracks, 0)
+  } finally {
+    starting.value = false
+  }
+}
+
+const coverUrl = computed(() => {
+  const t = store.nowPlaying
+  if (!t) return ''
+  if (t.coverUrl) return t.coverUrl
+  if (t.source === 'feiniu' && t.coverId && store.mediaPrefix) {
+    return `${store.mediaPrefix}/cover?coverId=${encodeURIComponent(t.coverId)}&size=96`
+  }
+  return ''
+})
+const bigCoverUrl = computed(() => {
+  const t = store.nowPlaying
+  if (!t) return ''
+  if (t.coverUrl) return t.coverUrl
+  if (t.source === 'feiniu' && t.coverId && store.mediaPrefix) {
+    return `${store.mediaPrefix}/cover?coverId=${encodeURIComponent(t.coverId)}&size=320`
+  }
+  return ''
+})
+const coverFailed = ref(false)
+watch(coverUrl, () => (coverFailed.value = false))
+
+/** 是否已播放过（未播放过时不展示歌名，只留唱片图标） */
+const hasTrack = computed(() => !!store.nowPlaying)
+const title = computed(() => store.nowPlaying?.title ?? '')
+const subtitle = computed(() => {
+  const t = store.nowPlaying
+  if (!t) return ''
+  return t.artistNames || (t.source === 'local' ? '本地文件' : '')
+})
+const isPreview = computed(() => store.nowPlaying?.source === 'preview')
+
+const modeIcon = computed(() => {
+  if (store.playMode === 'loopOne') return Repeat1
+  if (store.playMode === 'shuffle') return Shuffle
+  return Repeat
+})
+const modeLabel = computed(() =>
+  store.playMode === 'loopAll' ? '列表循环' : store.playMode === 'loopOne' ? '单曲循环' : '随机播放'
+)
+const volumePercent = computed(() => (store.muted ? 0 : store.volume))
+
+function onSeek(ratio: number) {
+  store.seek(ratio * store.duration)
+}
+
+function openLyrics(tab: 'lyric' | 'queue') {
+  store.nowPlayingTab = tab
+  store.nowPlayingOpen = true
+  open.value = false
+}
+
+// 播放失败统一在这里提示（store 只记录原因）
+watch(
+  () => store.playError,
+  (msg) => {
+    if (!msg) return
+    toast.error(msg)
+    store.clearPlayError()
+  }
+)
+
+// 应用启动即初始化音乐 store（幂等）：恢复播放列表/播放进度并预载上次在播的曲目。
+// 这样标题栏控件不必等用户先进「音乐库」页，也能显示并续播上次的歌。
+onMounted(() => {
+  store.init().catch((e) => logger.error(`音乐初始化失败: ${e}`))
+})
+</script>
+
+<template>
+  <Popover v-model:open="open">
+    <PopoverAnchor as-child>
+      <!-- 音乐栏：图标 = 播放/暂停（悬停有遮罩），标题 = 打开控制窗；
+           悬停 0.3s 也会打开控制窗。容器本身不响应点击，避免与图标语义冲突 -->
+      <div
+        class="mr-2 flex h-7 max-w-[210px] items-center gap-2 rounded-md px-1.5 transition-colors hover:bg-secondary/60"
+        @mouseenter="onTriggerEnter"
+        @mouseleave="onTriggerLeave"
+        @mousedown.stop
+      >
+        <!-- 唱片图标：点击开始/暂停 -->
+        <button
+          type="button"
+          class="group/icon relative flex size-5 shrink-0 cursor-pointer items-center justify-center overflow-hidden rounded-full"
+          :aria-label="store.playing ? '暂停' : '播放'"
+          @click.stop="onIconClick"
+        >
+          <!-- 旋转动画只作用于这一层，否则遮罩图标会被带着一起转 -->
+          <span
+            class="disc flex size-5 items-center justify-center rounded-full ring-1 ring-border/50"
+            :class="{ 'is-playing': store.playing && !starting }"
+          >
+            <span
+              v-if="starting"
+              class="size-3 animate-spin rounded-full border-2 border-current border-t-transparent text-muted-foreground"
+            />
+            <img
+              v-else-if="coverUrl && !coverFailed"
+              :src="coverUrl"
+              class="size-full rounded-full object-cover"
+              alt=""
+              referrerpolicy="no-referrer"
+              @error="coverFailed = true"
+            />
+            <Disc3 v-else class="size-4 text-muted-foreground" />
+          </span>
+          <!-- 播放态遮罩：悬停图标时浮现当前可执行的操作 -->
+          <span
+            v-if="!starting"
+            class="absolute inset-0 hidden items-center justify-center bg-foreground/50 text-primary-foreground group-hover/icon:flex"
+          >
+            <Pause v-if="store.playing" class="size-3" />
+            <Play v-else class="size-3 translate-x-px" />
+          </span>
+        </button>
+
+        <!-- 标题：点击打开播放控制窗 -->
+        <button
+          v-if="hasTrack"
+          type="button"
+          class="min-w-0 flex-1 cursor-pointer truncate text-left text-xs text-foreground/90"
+          :aria-label="`打开播放控制：${title}`"
+          @click.stop="onTitleClick"
+        >
+          {{ title }}
+        </button>
+      </div>
+    </PopoverAnchor>
+
+    <!-- 方形播放控制窗 -->
+    <PopoverContent
+      align="end"
+      :side-offset="8"
+      class="w-[300px] p-3"
+      @mouseenter="onContentEnter"
+      @mouseleave="onContentLeave"
+      @mousedown.stop
+    >
+      <div class="flex flex-col items-center gap-3">
+        <!-- 封面 -->
+        <button
+          type="button"
+          class="group relative aspect-square w-[132px] overflow-hidden rounded-lg bg-muted ring-1 ring-border/60"
+          :title="'打开歌词与大屏'"
+          @click="openLyrics('lyric')"
+        >
+          <img
+            v-if="bigCoverUrl"
+            :src="bigCoverUrl"
+            class="size-full object-cover transition-transform duration-300 group-hover:scale-105"
+            alt=""
+            referrerpolicy="no-referrer"
+            @error="($event.target as HTMLImageElement).style.display = 'none'"
+          />
+          <span v-else class="flex size-full items-center justify-center text-muted-foreground">
+            <Disc3 class="size-10" />
+          </span>
+          <span
+            class="absolute inset-0 hidden items-center justify-center bg-foreground/35 text-primary-foreground group-hover:flex"
+          >
+            <Maximize2 class="size-5" />
+          </span>
+        </button>
+
+        <!-- 曲目信息 -->
+        <div class="w-full min-w-0 text-center">
+          <div class="flex items-center justify-center gap-1.5">
+            <span class="truncate text-[13px] font-medium">{{ title || '未播放' }}</span>
+            <span
+              v-if="isPreview"
+              class="shrink-0 rounded bg-muted px-1 py-px text-[10px] text-muted-foreground"
+            >
+              试听
+            </span>
+          </div>
+          <p class="mt-0.5 truncate text-[11.5px] text-muted-foreground">
+            {{ subtitle || '—' }}<template v-if="store.nowPlaying?.album"> · {{ store.nowPlaying.album }}</template>
+          </p>
+        </div>
+
+        <!-- 进度 -->
+        <ScrubBar
+          class="w-full"
+          :value="store.progress / 100"
+          :buffered="store.bufferedPercent / 100"
+          :duration-sec="store.duration"
+          :disabled="!hasTrack"
+          label="播放进度"
+          @seek="onSeek"
+        />
+
+        <!-- 控制 -->
+        <div class="flex w-full items-center justify-center gap-5">
+          <button
+            type="button"
+            class="text-muted-foreground transition-colors hover:text-foreground"
+            :title="modeLabel"
+            :aria-label="modeLabel"
+            @click="store.togglePlayMode()"
+          >
+            <component :is="modeIcon" class="size-3.5" />
+          </button>
+          <button
+            type="button"
+            class="text-muted-foreground transition-colors hover:text-foreground disabled:opacity-40"
+            :disabled="!store.queue.length"
+            aria-label="上一首"
+            @click="store.prev()"
+          >
+            <SkipBack class="size-5" />
+          </button>
+          <button
+            type="button"
+            class="flex size-10 items-center justify-center rounded-full bg-primary text-primary-foreground transition-opacity hover:opacity-90 disabled:opacity-40"
+            :disabled="!hasTrack"
+            :aria-label="store.playing ? '暂停' : '播放'"
+            @click="store.toggle()"
+          >
+            <span
+              v-if="store.loadingPlay"
+              class="size-4 animate-spin rounded-full border-2 border-current border-t-transparent"
+            />
+            <Pause v-else-if="store.playing" class="size-4" />
+            <Play v-else class="size-4 translate-x-px" />
+          </button>
+          <button
+            type="button"
+            class="text-muted-foreground transition-colors hover:text-foreground disabled:opacity-40"
+            :disabled="!store.queue.length"
+            aria-label="下一首"
+            @click="store.next()"
+          >
+            <SkipForward class="size-5" />
+          </button>
+          <button
+            type="button"
+            class="text-muted-foreground transition-colors hover:text-foreground disabled:opacity-40"
+            :disabled="isPreview"
+            :title="`播放队列（${store.queue.length}）`"
+            aria-label="播放队列"
+            @click="openLyrics('queue')"
+          >
+            <ListMusic class="size-3.5" />
+          </button>
+        </div>
+
+        <!-- 音量 + 入口 -->
+        <div class="flex w-full items-center gap-2 border-t pt-2.5">
+          <button
+            type="button"
+            class="shrink-0 text-muted-foreground transition-colors hover:text-foreground"
+            :aria-label="store.muted ? '取消静音' : '静音'"
+            @click="store.toggleMute()"
+          >
+            <VolumeX v-if="volumePercent === 0" class="size-3.5" />
+            <Volume2 v-else class="size-3.5" />
+          </button>
+          <div class="w-16 shrink-0">
+            <ScrubBar compact :value="volumePercent" label="音量" @seek="store.setVolume($event)" />
+          </div>
+          <div class="ml-auto flex items-center gap-1">
+            <button
+              type="button"
+              class="flex items-center gap-1 rounded-md px-1.5 py-1 text-[11.5px] text-muted-foreground transition-colors hover:bg-secondary/60 hover:text-foreground"
+              @click="openLyrics('lyric')"
+            >
+              <MicVocal class="size-3.5" />
+              歌词
+            </button>
+            <button
+              type="button"
+              class="flex items-center gap-1 rounded-md px-1.5 py-1 text-[11.5px] text-muted-foreground transition-colors hover:bg-secondary/60 hover:text-foreground"
+              :disabled="isPreview"
+              @click="openLyrics('queue')"
+            >
+              <ListMusic class="size-3.5" />
+              队列
+            </button>
+          </div>
+        </div>
+      </div>
+    </PopoverContent>
+  </Popover>
+</template>
+
+<style scoped>
+/* 唱片图标：播放时旋转（暂停保持当前角度继续待命） */
+.disc {
+  animation: discSpin 8s linear infinite;
+  animation-play-state: paused;
+  background: var(--muted);
+}
+.disc.is-playing {
+  animation-play-state: running;
+}
+
+@keyframes discSpin {
+  to {
+    transform: rotate(360deg);
+  }
+}
+
+@media (prefers-reduced-motion: reduce) {
+  .disc {
+    animation: none;
+  }
+}
+</style>

src/composables/useSessionStream.ts

@@ -0,0 +1,517 @@
+import { computed, ref, watch, type Ref } from 'vue'
+import { useTerminalStore } from '@/stores/terminalStore'
+import { createLogger } from '@/lib/logger'
+import type { ShortcutBinding, TerminalSettings } from '@/types/terminal'
+import { TERMINAL_ACTIONS } from '@/lib/terminalActions'
+
+const logger = createLogger('terminal')
+
+/**
+ * 终端会话的窗口级编排。
+ *
+ * # 职责划分
+ *
+ * | 层 | 职责 |
+ * |---|---|
+ * | `TerminalPane` | 一个 xterm 实例 ↔ 一个 sessionId 的绑定（渲染与输入） |
+ * | `useTerminalStream`（本文件） | 窗口级状态：标签顺序、活跃标签、分屏布局、快捷键解析 |
+ * | `TerminalModule` | 主窗口的页面骨架（侧栏 + 标签 + 面板） |
+ * | `TerminalWindow` | 独立窗口的骨架（单个会话，无侧栏） |
+ *
+ * 抽出来是因为主窗口与独立窗口需要**同一套**会话状态与快捷键逻辑，
+ * 差别只在「渲染什么」。若各自实现一遍，两边行为迟早分叉。
+ */
+export function useTerminalStream(options?: { fixedSessionId?: Ref<string | null> }) {
+  const store = useTerminalStore()
+
+  /** 主窗口下「当前聚焦」的会话（独立窗口下恒为 fixedSessionId） */
+  const activeSessionId = ref<string | null>(null)
+  /** 标签展示顺序（用户可拖动重排；与 store.sessions 解耦，避免后端刷新打乱用户排序） */
+  const tabOrder = ref<string[]>([])
+
+  /** 分屏：当前标签内并列展示的会话（长度为 1 时即普通单面板） */
+  const panes = ref<Array<{ id: string; sessionId: string }>>([])
+
+  /**
+   * 当前打开的浮层。
+   *
+   * `snippets` 与 `search` 与其余项的区别：它们需要知道「当前作用于哪个会话」，
+   * 而不只是一个全局面板。因此 TerminalModule 渲染它们时会把 activeSession
+   * 一并传下去 —— 片段面板据此过滤出对当前 shell 可用的片段。
+   */
+  const overlay = ref<
+    'none' | 'settings' | 'hosts' | 'keys' | 'knownHosts' | 'search' | 'snippets' | 'history'
+  >('none')
+
+  /** 搜索结果统计（供搜索栏显示「第 n 项」） */
+  const searchTerm = ref('')
+
+  // ===== 标签 =====
+
+  /** 按标签顺序排列的会话列表 */
+  const orderedSessions = computed(() => {
+    const byId = new Map(store.sessions.map(s => [s.id, s]))
+    const ordered = tabOrder.value.map(id => byId.get(id)).filter(Boolean) as typeof store.sessions
+    // 后端新增但还没进 tabOrder 的会话（如从独立窗口或快捷键新建）追加到末尾，
+    // 否则会出现「新建了会话但标签栏看不到」的迷惑现象
+    for (const s of store.sessions) {
+      if (!tabOrder.value.includes(s.id)) ordered.push(s)
+    }
+    return ordered
+  })
+
+  const activeSession = computed(() =>
+    activeSessionId.value ? store.sessionById(activeSessionId.value) : undefined
+  )
+
+  /** 同步 tabOrder：加入新会话、剔除已删除的 */
+  function syncTabOrder() {
+    const alive = new Set(store.sessions.map(s => s.id))
+    // 先剔除消失的
+    const next = tabOrder.value.filter(id => alive.has(id))
+    // 再追加新增的（保持后端返回顺序）
+    for (const s of store.sessions) {
+      if (!next.includes(s.id)) next.push(s.id)
+    }
+    tabOrder.value = next
+  }
+
+  /**
+   * 写回用户拖动后的标签顺序。
+   *
+   * 必须过滤掉不在当前会话集合里的 id：若不做这层校验，用户在拖动过程中
+   * 恰好有会话退出，传进来的 ids 会包含一个已消失的会话，
+   * 而 `orderedSessions` 会把它当成「tabOrder 里查不到的 id」反复过滤 ——
+   * 结果是标签顺序看起来正常，但 syncTabOrder 之后又被打乱。
+   */
+  function applyOrder(ids: string[]) {
+    const alive = new Set(store.sessions.map(s => s.id))
+    const next = ids.filter(id => alive.has(id))
+    for (const s of store.sessions) {
+      if (!next.includes(s.id)) next.push(s.id)
+    }
+    tabOrder.value = next
+  }
+
+  function selectSession(id: string) {
+    activeSessionId.value = id
+  }
+
+  /**
+   * 关闭标签：先判断是否需要二次确认。
+   *
+   * 标签内含分屏时，关闭标签会连带关掉其中的**所有**会话 ——
+   * 因此确认文案必须提这一点，否则用户会以为只关掉当前聚焦的那一个。
+   */
+  async function closeTab(sessionId: string) {
+    // 收集本标签（分屏容器）里的全部会话。
+    // **只有被关的会话本身在当前分屏组里**才按组关闭——
+    // 此前的实现只看 `panes.length > 1`，在分屏激活时从标签栏
+    // 关闭一个无关的后台标签，会误把分屏组里的会话全部关掉。
+    const inCurrentGroup = panes.value.some(p => p.sessionId === sessionId)
+    const group =
+      inCurrentGroup && panes.value.length > 1
+        ? panes.value.map(p => p.sessionId)
+        : [sessionId]
+    const groupSet = new Set(group)
+
+    try {
+      // 只要组里有任意一个仍活跃就要确认（而不是只看被点的那一个）
+      let anyAlive = false
+      for (const id of group) {
+        try {
+          if (await store.sessionAlive(id)) {
+            anyAlive = true
+            break
+          }
+        } catch {
+          /* 单个查询失败按不活跃处理，下面还有整体兜底 */
+        }
+      }
+      if (anyAlive) {
+        const info = store.sessionById(sessionId)
+        const extra = group.length > 1 ? `（该标签含 ${group.length} 个分屏面板）` : ''
+        const ok = await requestConfirm(
+          sessionId,
+          info?.title || '会话',
+          `该会话中可能有正在运行的任务${extra}。关闭后无法恢复，确定继续？`
+        )
+        if (!ok) return
+      }
+    } catch (e) {
+      // 会话可能已经断开（alive 查询本身失败）——此时无需确认，直接关
+      logger.warn(`查询会话存活状态失败，直接关闭：${String(e)}`)
+    }
+
+    for (const id of group) {
+      try {
+        await store.closeSession(id)
+      } catch (e) {
+        logger.warn(`关闭会话 ${id} 失败：${String(e)}`)
+      }
+    }
+
+    // 关闭后把焦点移到相邻标签，而不是留一个空面板
+    const idx = tabOrder.value.indexOf(sessionId)
+    syncTabOrder()
+    const fallback = tabOrder.value[Math.min(idx, tabOrder.value.length - 1)] ?? null
+    activeSessionId.value = fallback
+    // 分屏容器随之重置到新焦点：跨标签保留分屏组合没有意义
+    resetPanesTo(fallback)
+    void groupSet
+  }
+
+  /** 关闭标签的确认请求（由 TerminalModule 渲染模态框） */
+  const confirmDialog = ref<{
+    title: string
+    message: string
+    resolve: (ok: boolean) => void
+  } | null>(null)
+
+  function requestConfirm(sessionId: string, title: string, message: string): Promise<boolean> {
+    return new Promise(resolve => {
+      confirmDialog.value = { title: `${title} · ${sessionId}`, message, resolve }
+    })
+  }
+
+  function resolveConfirm(ok: boolean) {
+    confirmDialog.value?.resolve(ok)
+    confirmDialog.value = null
+  }
+
+  function cycleTab(delta: number) {
+    const list = orderedSessions.value
+    if (list.length === 0) return
+    const cur = activeSessionId.value ? list.findIndex(s => s.id === activeSessionId.value) : -1
+    // 取模保证在 [0, len) 内循环（JS 的 % 对负数返回负值，需修正）
+    const next = (((cur + delta) % list.length) + list.length) % list.length
+    activeSessionId.value = list[next].id
+  }
+
+  function selectTabByIndex(i: number) {
+    const s = orderedSessions.value[i]
+    if (s) activeSessionId.value = s.id
+  }
+
+  // ===== 新建会话 =====
+
+  /** 新建本地会话（用设置里的默认 shell） */
+  async function newLocalTab(cwd?: string) {
+    const shellId = store.settings?.lastShellId || store.shells.find(s => s.enabled)?.id
+    if (!shellId) {
+      logger.error('没有可用的 Shell，无法新建会话')
+      return null
+    }
+    try {
+      // 尺寸给一个合理初值：真实值由 xterm 的 fit 在挂载后立即上报，
+      // 这里的作用只是让 PTY 在首帧有正确的行列数，避免 shell 先按 80x24 画一遍提示符再重排
+      const info = await store.openLocal(shellId, cwd, 120, 30)
+      syncTabOrder()
+      activeSessionId.value = info.id
+      return info
+    } catch (e) {
+      logger.error(`新建本地会话失败：${String(e)}`)
+      throw e
+    }
+  }
+
+  /** 新建 SSH 会话 */
+  async function newSshTab(hostId: string) {
+    try {
+      const info = await store.openSsh(hostId, 120, 30)
+      syncTabOrder()
+      activeSessionId.value = info.id
+      return info
+    } catch (e) {
+      logger.error(`连接主机 ${hostId} 失败：${String(e)}`)
+      throw e
+    }
+  }
+
+  // ===== 分屏 =====
+  //
+  // # 为什么分屏面板**共享同一个会话**而不是各自开新会话
+  //
+  // 用户的诉求通常是「同一个目录下，一边跑构建一边看日志」——需要的是
+  // **两条独立 shell**（各自有独立的进程组、独立的中断语义），但若为此
+  // 复制一个 xterm 实例，两块画面会争抢输出、互相覆盖。
+  //
+  // 所以这里的设计是：分屏 = **新建会话 + 在同一标签内并排渲染**。
+  // 每条分屏有自己的 sessionId、自己的 xterm 实例，只是共享标签页的容器。
+  // 这与 tmux 的「split 出一个新 pane」是同一语义。
+  //
+  // # 上限为什么是 2×2 而不是「无限分屏」
+  //
+  // 每个面板持有一个 WebGL 上下文（见 TerminalModule 的说明），
+  // 4 个已经是常见集显的舒适上限；再多会出现上下文丢失导致画面变黑。
+  // 设置里的 `layout.maxPanes` 允许下调（不能上调超过 4）。
+
+  /** 分屏上限（后端 settings 封顶 4，此处再兜一次） */
+  function maxPanes(): number {
+    const v = store.settings?.layout.maxPanes ?? 4
+    return Math.min(Math.max(1, v), 4)
+  }
+
+  /** 当前分屏布局（1 = 单面板；2 = 左右或上下；3~4 = 2×2） */
+  const splitLayout = computed(() => {
+    const n = panes.value.length
+    if (n <= 1) return 'single'
+    if (n === 2) return splitDirection.value === 'down' ? 'v-split' : 'h-split'
+    return 'grid'
+  })
+
+  /** 两分屏时的方向（由首次分屏的动作决定，后续沿用） */
+  const splitDirection = ref<'right' | 'down'>('right')
+
+  /**
+   * 在分屏中追加一个面板。
+   *
+   * 新面板要新建会话还是复用已有会话由调用方决定 —— 这里只负责容器布局。
+   * 返回 null 表示已达上限（调用方据此提示用户，而不是静默失败）。
+   */
+  function addPane(sessionId: string): boolean {
+    if (panes.value.length >= maxPanes()) return false
+    panes.value = [...panes.value, { id: `pane-${sessionId}`, sessionId }]
+    return true
+  }
+
+  /**
+   * 关闭一个分屏面板。
+   *
+   * 只从布局里移除，**不关闭会话** —— 分屏是视图层概念，
+   * 「关掉这块画面」与「杀掉这个 shell」是两个不同的意图，
+   * 后者应该走 closeTab（带运行中确认）。
+   */
+  function removePane(sessionId: string) {
+    panes.value = panes.value.filter(p => p.sessionId !== sessionId)
+    // 焦点落在被移除的面板上时，转移到剩下的第一个
+    if (activeSessionId.value === sessionId) {
+      activeSessionId.value = panes.value[0]?.sessionId ?? null
+    }
+  }
+
+  /**
+   * 把布局重置为「只有当前激活会话」。
+   *
+   * 切换标签时必须做这件事：`panes` 是**标签级**的容器状态，
+   * 若切标签后仍保留上一个标签的分屏组合，用户会看到一组
+   * 与当前标签无关的会话并排出现。
+   */
+  function resetPanesTo(sessionId: string | null) {
+    panes.value = sessionId ? [{ id: `pane-${sessionId}`, sessionId }] : []
+  }
+
+  /** 分屏模式是否开启（>1 个面板） */
+  const isSplit = computed(() => panes.value.length > 1)
+
+  /**
+   * 向右分屏：新建一个会话作为右侧面板。
+   *
+   * # 为什么新面板默认是本地 Shell 而不是复制当前 SSH 主机
+   *
+   * 「复制当前会话」听起来更贴心，但真正需要的场景（远端作业 + 本地看日志）
+   * 反而更常见，而复制一个 SSH 连接要多付一次认证与一条 TCP。
+   * 想要第二个 SSH 面板的用户可以点侧栏里的主机 —— 一次点击，无需确认。
+   */
+  async function splitRight() {
+    return splitTo('right')
+  }
+
+  async function splitDown() {
+    return splitTo('down')
+  }
+
+  async function splitTo(dir: 'right' | 'down') {
+    if (panes.value.length >= maxPanes()) {
+      return { ok: false, message: `分屏数已达上限（${maxPanes()} 个），请先关闭一些面板` }
+    }
+    if (panes.value.length === 0 && activeSessionId.value) {
+      // 首次分屏：把当前会话放进容器
+      resetPanesTo(activeSessionId.value)
+    }
+    splitDirection.value = dir
+
+    const anchor = activeSessionId.value
+    const info = await newLocalTab()
+    if (!info) {
+      return { ok: false, message: '没有可用的 Shell，无法新建分屏面板' }
+    }
+    if (!addPane(info.id)) {
+      // 已达上限：把刚建的会话收掉，不留一个看不见的孤儿会话
+      await store.closeSession(info.id)
+      return { ok: false, message: `分屏数已达上限（${maxPanes()} 个）` }
+    }
+    // 焦点留在原面板（分屏的语义是「增加视野」，不是「切换过去」）；
+    // 用户按 Ctrl+Tab 或点击即可切换。若原面板不存在才落到新面板。
+    activeSessionId.value = anchor && store.sessionById(anchor) ? anchor : info.id
+    return { ok: true, message: '' }
+  }
+
+  /** 关闭当前分屏（保留会话） */
+  function closePane() {
+    if (!isSplit.value) {
+      return { ok: false, message: '当前没有分屏' }
+    }
+    const id = activeSessionId.value
+    if (!id) return { ok: false, message: '没有可关闭的面板' }
+    removePane(id)
+    return { ok: true, message: '' }
+  }
+
+  /** 切换分屏布局方向（两面板时有效） */
+  function toggleSplitDirection() {
+    if (panes.value.length !== 2) return
+    splitDirection.value = splitDirection.value === 'right' ? 'down' : 'right'
+  }
+
+  // ===== 字号 =====
+
+  /**
+   * 字号缩放是**视图级**的临时覆盖，不写回设置。
+   *
+   * 理由：用户按 Ctrl+= 通常是「这个文件的行太长，临时放大看看」，
+   * 而不是「我要永久改字号」。写回设置会让 Ctrl+0 的语义变成
+   * 「恢复到我上次临时调的值」，失去「重置」的意义。
+   */
+  const fontOverride = ref<number | null>(null)
+
+  async function bumpFont(delta: number) {
+    const base = fontOverride.value ?? store.settings?.appearance.fontSize ?? 14
+    const next = Math.min(48, Math.max(6, base + delta))
+    fontOverride.value = next
+  }
+
+  function resetFont() {
+    fontOverride.value = null
+  }
+
+  /** 生效的外观（把字号覆盖合并进去，供 TerminalPane 使用） */
+  const effectiveAppearance = computed(() => {
+    const a = store.settings?.appearance
+    if (!a) return null
+    if (fontOverride.value === null) return a
+    return { ...a, fontSize: fontOverride.value }
+  })
+
+  // ===== 快捷键 =====
+
+  /** 当前生效的快捷键绑定（后端下发；未取到时用具前端默认值兜底） */
+  const bindings = computed<ShortcutBinding[]>(() => {
+    const fromSettings = store.settings?.shortcuts
+    if (fromSettings && fromSettings.length > 0) return fromSettings
+    return TERMINAL_ACTIONS.map(a => ({ action: a.id, keys: a.defaultKeys, enabled: true }))
+  })
+
+  function shortcutKeysOf(action: string): string {
+    return bindings.value.find(b => b.action === action)?.keys ?? ''
+  }
+
+  // ===== 初始化 =====
+
+  let inited = false
+
+  async function init() {
+    if (inited) return
+    inited = true
+    await store.init()
+    if (options?.fixedSessionId?.value) {
+      // 独立窗口：固定单个会话，不需要标签顺序
+      activeSessionId.value = options.fixedSessionId.value
+    } else if (!activeSessionId.value && store.sessions.length > 0) {
+      // 主窗口：默认聚焦第一个会话
+      activeSessionId.value = store.sessions[0].id
+    }
+    syncTabOrder()
+  }
+
+  // 后端会话列表变化时保持标签顺序同步
+  watch(
+    () => store.sessions.map(s => s.id).join(','),
+    () => {
+      syncTabOrder()
+      // 分屏容器里可能有关闭标签时连带关掉的会话，剔除掉
+      const alive = new Set(store.sessions.map(s => s.id))
+      const pruned = panes.value.filter(p => alive.has(p.sessionId))
+      if (pruned.length !== panes.value.length) {
+        panes.value = pruned
+      }
+    }
+  )
+
+  // 切换标签时把分屏容器重置为该标签的单一会话（见 resetPanesTo 的说明）
+  watch(activeSessionId, (id, prev) => {
+    if (!id || id === prev) return
+    if (!panes.value.some(p => p.sessionId === id)) {
+      resetPanesTo(id)
+    }
+  })
+
+  // 活动会话关闭后自动兜底到相邻标签
+  watch(
+    () => store.sessions.length,
+    len => {
+      if (len === 0) {
+        activeSessionId.value = null
+        panes.value = []
+        return
+      }
+      if (activeSessionId.value && !store.sessionById(activeSessionId.value)) {
+        const next = store.sessions[0].id
+        activeSessionId.value = next
+        resetPanesTo(next)
+      }
+    }
+  )
+
+  return {
+    // 状态
+    activeSessionId,
+    activeSession,
+    orderedSessions,
+    panes,
+    overlay,
+    searchTerm,
+    fontOverride,
+    effectiveAppearance,
+    confirmDialog,
+    // 标签
+    selectSession,
+    closeTab,
+    cycleTab,
+    selectTabByIndex,
+    syncTabOrder,
+    applyOrder,
+    // 分屏
+    isSplit,
+    splitLayout,
+    splitDirection,
+    addPane,
+    removePane,
+    resetPanesTo,
+    splitRight,
+    splitDown,
+    closePane,
+    toggleSplitDirection,
+    // 新建
+    newLocalTab,
+    newSshTab,
+    // 字号
+    bumpFont,
+    resetFont,
+    // 快捷键
+    bindings,
+    shortcutKeysOf,
+    // 确认框
+    resolveConfirm,
+    requestConfirm,
+    // 生命周期
+    init
+  }
+}
+
+export type TerminalStream = ReturnType<typeof useTerminalStream>
+
+/** 供设置页展示「有效设置」用（独立窗口与主窗口共用同一份 settings） */
+export function appearanceOf(settings: TerminalSettings | null) {
+  return settings?.appearance ?? null
+}

src/composables/useTerminalKeys.ts

@@ -0,0 +1,84 @@
+import { onBeforeUnmount, onMounted } from 'vue'
+import { matchesShortcut } from '@/lib/terminalActions'
+import type { ShortcutBinding } from '@/types/terminal'
+
+export type TerminalActionHandler = (actionId: string) => void
+
+export interface UseTerminalKeysOptions {
+  /**
+   * 当前生效的快捷键绑定（来自设置页）。
+   * 传函数而非数组：快捷键可能随时被用户改动，用取值函数保证总能拿到最新值，
+   * 避免「改了键位要重启才生效」。
+   */
+  bindings: () => ShortcutBinding[]
+  /** 动作被触发时的回调（由父组件实现具体行为） */
+  onAction: TerminalActionHandler
+  /** 是否启用（终端隐藏时挂起，避免抢走其他输入框的按键） */
+  enabled?: () => boolean
+}
+
+/**
+ * 终端内的快捷键拦截。
+ *
+ * # 为什么用捕获阶段的 document 监听，而不是 xterm 的 attachCustomKeyEventHandler
+ *
+ * `attachCustomKeyEventHandler` 只能挂在**单个 Terminal 实例**上，而快捷键里有
+ * 一半以上是**窗口级**动作（切标签、分屏、开关侧栏）——这些动作必须由父组件处理，
+ * 且应当在「焦点不在任何终端面板内」时也不生效（否则会和主应用其他输入框打架）。
+ *
+ * 因此这里用 document 上的捕获监听，配合两层判断：
+ * 1. `enabled()` —— 终端模块是否可见
+ * 2. 焦点是否在 `.xterm` 容器内 —— 决定「终端内」语义
+ *
+ * 注册在**捕获阶段**（`capture: true`）：xterm 自己在冒泡阶段处理按键，
+ * 若我们晚了就会被 shell 先消费（例如 Ctrl+Shift+W 会变成写入终端的字节）。
+ *
+ * # 为什么必须 preventDefault + stopPropagation
+ *
+ * 不阻止传播的话，`Ctrl+Shift+T` 会被浏览器当成「恢复关闭的标签页」、
+ * `Ctrl+Tab` 会被 WebView 用于窗口级切换，动作重复触发。
+ */
+export function useTerminalKeys(options: UseTerminalKeysOptions) {
+  /** 焦点是否位于某个 xterm 实例内 */
+  function focusInTerminal(): boolean {
+    const el = document.activeElement
+    if (!el) return false
+    return !!(el.closest && el.closest('.xterm'))
+  }
+
+  function handleKeydown(e: KeyboardEvent) {
+    if (options.enabled && !options.enabled()) return
+    // 「终端内快捷键」的语义边界：焦点必须在终端里。
+    // 否则用户在设置页的输入框里打字时按 Ctrl+Shift+F 会被当成搜索。
+    if (!focusInTerminal()) return
+
+    // 输入法组合中（拼音候选框开着）不要抢按键，否则无法选中文字
+    if (e.isComposing) return
+
+    const list = options.bindings()
+    if (!list || list.length === 0) return
+
+    for (const b of list) {
+      if (!b.enabled || !b.keys) continue
+      if (matchesShortcut(e, b.keys)) {
+        // 阻止默认行为与传播：既防止浏览器/WebView 的内建快捷键，
+        // 也防止按键继续流向 xterm（否则「复制」会同时写入一个 \x03 之类的控制字符）
+        e.preventDefault()
+        e.stopPropagation()
+        options.onAction(b.action)
+        return
+      }
+    }
+  }
+
+  onMounted(() => {
+    // capture: true —— 必须抢在 xterm 与 WebView 之前
+    document.addEventListener('keydown', handleKeydown, true)
+  })
+
+  onBeforeUnmount(() => {
+    document.removeEventListener('keydown', handleKeydown, true)
+  })
+
+  return { focusInTerminal }
+}

src/composables/useXterm.ts

@@ -0,0 +1,500 @@
+import { onBeforeUnmount, ref, shallowRef, watch, type Ref } from 'vue'
+import { Terminal } from '@xterm/xterm'
+import { FitAddon } from '@xterm/addon-fit'
+import { SearchAddon } from '@xterm/addon-search'
+import { WebLinksAddon } from '@xterm/addon-web-links'
+import { Unicode11Addon } from '@xterm/addon-unicode11'
+import { WebglAddon } from '@xterm/addon-webgl'
+import { useTerminalStore } from '@/stores/terminalStore'
+import { resolveTheme } from '@/lib/terminalThemes'
+import { createLogger } from '@/lib/logger'
+import type { AppearanceSettings } from '@/types/terminal'
+
+const logger = createLogger('terminal')
+
+/** xterm 需要显式 import 样式，否则光标/滚动条都不显示 */
+import '@xterm/xterm/css/xterm.css'
+
+/**
+ * 取（并缓存）某个编码对应的 `TextDecoder`。
+ *
+ * # 为什么要缓存
+ *
+ * `TextDecoder` 的构造会做一次编码表查找，且**不能跨批次复用同一个实例做流式解码**
+ * 之外的用途。这里缓存的是「非流式」实例：每次 `decode()` 都传入完整批次。
+ *
+ * # 为什么不用 `{ stream: true }` 做跨批次增量解码
+ *
+ * 看起来更「正确」，但终端输出有个关键约束：**我们会在批次边界插入控制序列**
+ * （`flush_output` 每批次独立、前端 `term.write` 每次调用也可能触发重绘）。
+ * 增量解码会把「上一批末尾的半个字符」留到下一批，而下一批可能承载的是
+ * `OSC` 之类需要立即解析的数据 —— 缓冲半个字符会让控制序列的前置字节错位。
+ * 终端场景下「极少数跨批截断的多字节字符显示为替换符」比「控制序列错位」代价小得多。
+ *
+ * 注意 xterm 自身的 UTF-8 解码**始终是流式的**，所以即便我们传入的是字符串，
+ * 那些被我们替换掉的坏字节也不会影响后续正常字节的渲染。
+ */
+const decoderCache = new Map<string, TextDecoder>()
+
+function decoderFor(encoding: string): TextDecoder {
+  const key = encoding || 'utf-8'
+  let d = decoderCache.get(key)
+  if (!d) {
+    try {
+      d = new TextDecoder(key, { fatal: false })
+    } catch {
+      // 浏览器不认这个编码名（如某些精简构建去掉了 big5）。
+      // 退回 UTF-8 而不是抛出：显示乱码远好于整条输出流断掉。
+      logger.warn(`浏览器不支持编码 ${key}，已退回 utf-8`)
+      d = new TextDecoder('utf-8', { fatal: false })
+    }
+    decoderCache.set(key, d)
+  }
+  return d
+}
+
+export interface UseXtermOptions {
+  /** 容器元素 ref */
+  container: Ref<HTMLElement | null>
+  /** 要绑定的会话 id */
+  sessionId: Ref<string | null>
+  /** 外观设置（响应式；变化时热更新而不重建实例） */
+  appearance: Ref<AppearanceSettings | null>
+  /** 是否只读（已结束的会话保留回放，不允许输入） */
+  readonly?: Ref<boolean>
+  /** 会话输出被消费时回调（用于「有新输出」标记） */
+  onData?: (bytes: string) => void
+}
+
+/**
+ * 把一个 xterm 实例绑定到某个终端会话。
+ *
+ * # 关键设计：为什么绕开 Vue 响应式
+ *
+ * 会话输出是高频字节流（`cat` 大文件时每秒数 MB）。若经 `ref` 传递，
+ * Vue 会为每批数据做依赖追踪 / 触发重渲染，代价与收益完全不成比例。
+ * 这里改为向 store 的**订阅表**注册回调，输出批次直接进 `term.write()`：
+ * 从 Rust 事件到屏幕像素，中间只有一次回调转发。
+ *
+ * # 生命周期
+ *
+ * - 挂载后：创建 Terminal → 打开 fit/weblink/unicode11 插件 → 尝试加载 webgl → 上报初始尺寸
+ * - `sessionId` 变化：退订旧会话、清屏、订阅新会话、重新 fit
+ * - 卸载：注销订阅、dispose 实例、移除 ResizeObserver
+ *
+ * 注意：**不**在卸载时关闭会话。会话存活在 Rust 侧，切换标签只是换一个视图，
+ * 把「视图销毁」等同「会话结束」会导致切标签就断连。
+ */
+
+/**
+ * 把设置里的光标样式收窄到 xterm 接受的联合类型。
+ *
+ * `AppearanceSettings.cursorStyle` 是 `string`（设置文件是用户可改的 JSON，
+ * 不能用字面量联合类型去约束持久化格式），而 `Terminal.options.cursorStyle`
+ * 只接受 `'block' | 'underline' | 'bar'`。中间必须有一层收窄，
+ * 否则设置文件里一个拼错的 `"Block"` 就会让 xterm 的行为未定义。
+ */
+function normalizeCursorStyle(raw: string | undefined): 'block' | 'underline' | 'bar' {
+  if (raw === 'bar' || raw === 'underline' || raw === 'block') return raw
+  return 'block'
+}
+
+export function useXterm(options: UseXtermOptions) {
+  const store = useTerminalStore()
+
+  const term = shallowRef<Terminal | null>(null)
+  const fitAddon = shallowRef<FitAddon | null>(null)
+  const searchAddon = shallowRef<SearchAddon | null>(null)
+  const webglAddon = shallowRef<WebglAddon | null>(null)
+  const isReady = ref(false)
+  /** 首个输出是否已到达（用于「等待首个输出」的加载态） */
+  const hasOutput = ref(false)
+
+  /** 当前订阅的取消函数（会话切换时先调用） */
+  let unsubscribeOutput: (() => void) | null = null
+  let unsubscribeExit: (() => void) | null = null
+  let resizeObserver: ResizeObserver | null = null
+  /** 上一次上报的尺寸，避免重复发送相同的 resize IPC */
+  let lastCols = 0
+  let lastRows = 0
+
+  // ===== 实例创建 =====
+
+  function createTerminal() {
+    const el = options.container.value
+    if (!el || term.value) return
+
+    const app = options.appearance.value
+    const t = new Terminal({
+      // 主题/字体在创建时给初值，之后由 applyAppearance 热更新
+      theme: resolveTheme(app?.theme ?? 'vscode-dark'),
+      fontFamily: app?.fontFamily || 'Cascadia Mono, Consolas, monospace',
+      fontSize: app?.fontSize || 14,
+      lineHeight: app?.lineHeight || 1.2,
+      letterSpacing: app?.letterSpacing || 0,
+      cursorBlink: app?.cursorBlink ?? true,
+      cursorStyle: normalizeCursorStyle(app?.cursorStyle),
+      scrollback: app?.scrollback || 5000,
+      // 允许应用（如 vim、htop）用鼠标上报事件；同时在应用未捕获鼠标时支持文本选择
+      // ——这是 xterm 的标准做法，Ctrl+拖选仍能强制进入选择模式
+      macOptionIsMeta: false,
+      allowProposedApi: true,
+      // 转换宽字符（中日韩）的正确显示；配合 unicode11 插件使用 Unicode 11 宽度表
+      convertEol: false
+    })
+
+    const fit = new FitAddon()
+    const search = new SearchAddon()
+    t.loadAddon(fit)
+    t.loadAddon(search)
+    t.loadAddon(new WebLinksAddon())
+    // Unicode11：正确计算 emoji 与部分 CJK 字符宽度（默认宽度表是过时的 Unicode 6）
+    try {
+      const u11 = new Unicode11Addon()
+      t.loadAddon(u11)
+      t.unicode.activeVersion = '11'
+    } catch (e) {
+      logger.warn(`Unicode11 插件加载失败，回落到默认宽度表：${String(e)}`)
+    }
+
+    t.open(el)
+    fit.fit()
+
+    // Web 字体（Cascadia Mono 等）是异步加载的：上面的首次 fit 用回退字体度量
+    // 计算行列，字体换装后行高变化会让 rows 偏小 —— 面板底部多出一条无字符
+    // 网格覆盖的裸背景（表现为「终端下方多出一截黑色块」）。字体就绪后补一次
+    // fit 把行列数校准到真实度量。
+    if (typeof document !== 'undefined' && document.fonts?.ready) {
+      void document.fonts.ready.then(() => safeFit())
+    }
+
+    // WebGL 渲染：大吞吐场景（`cat` 大文件、编译日志）下 CPU 占用远低于 canvas。
+    // 但它在部分虚拟机 / 远程桌面 / 老显卡上会黑屏，所以**必须可回退**：
+    // 加载失败就留在默认的 DOM 渲染器，功能不受影响，只是性能差一些。
+    if (app?.gpuRendering !== false) {
+      try {
+        const webgl = new WebglAddon()
+        // 上下文丢失（切换显卡、系统休眠唤醒）时必须丢弃，否则画面永久卡死
+        webgl.onContextLoss(() => {
+          logger.warn('WebGL 上下文丢失，回退到默认渲染器')
+          webgl.dispose()
+          webglAddon.value = null
+        })
+        t.loadAddon(webgl)
+        webglAddon.value = webgl
+      } catch (e) {
+        logger.warn(`WebGL 渲染不可用，回退到默认渲染器：${String(e)}`)
+      }
+    }
+
+    // 用户输入 → Rust（base64 保字节完整性）
+    t.onData(data => {
+      const id = options.sessionId.value
+      if (!id || options.readonly?.value) return
+      void store.write(id, data).catch(e => {
+        logger.error(`写入会话 ${id} 失败：${String(e)}`)
+      })
+    })
+
+    // 终端尺寸变化（字体缩放、窗口 resize、分屏比例变化都会触发）
+    t.onResize(({ cols, rows }) => {
+      const id = options.sessionId.value
+      if (!id) return
+      if (cols === lastCols && rows === lastRows) return
+      lastCols = cols
+      lastRows = rows
+      void store.resize(id, cols, rows).catch(e => {
+        logger.error(`调整会话 ${id} 尺寸失败：${String(e)}`)
+      })
+    })
+
+    // 选中文本变化：把选区同步到 store，供「复制」菜单项判断是否有内容
+    t.onSelectionChange(() => {
+      const id = options.sessionId.value
+      if (id) selectionMap.set(id, t.getSelection())
+    })
+
+    term.value = t
+    fitAddon.value = fit
+    searchAddon.value = search
+    isReady.value = true
+
+    setupResizeObserver(el)
+    bindSession(options.sessionId.value)
+  }
+
+  /**
+   * 选区缓存。
+   *
+   * 放在模块级而非组件级：右键菜单由父组件（TerminalPane）渲染，
+   * 需要读取「当前焦点面板」的选区，逐层透传 ref 会把组件树搞得很脏。
+   */
+  const selectionMap = new Map<string, string>()
+
+  // ===== 尺寸自适应 =====
+
+  function setupResizeObserver(el: HTMLElement) {
+    // ResizeObserver 而不是 window.resize：终端面板可能因分屏拖动而改变尺寸，
+    // 此时窗口大小根本没变，只听 window.resize 会漏掉。
+    resizeObserver = new ResizeObserver(() => {
+      // 下一帧再 fit：ResizeObserver 回调时布局可能还没稳定
+      requestAnimationFrame(() => safeFit())
+    })
+    resizeObserver.observe(el)
+  }
+
+  /** fit 会抛异常的场景：容器 display:none（非激活标签）、尺寸为 0、实例已 dispose */
+  function safeFit() {
+    const t = term.value
+    const f = fitAddon.value
+    if (!t || !f) return
+    const el = options.container.value
+    if (!el || el.offsetWidth === 0 || el.offsetHeight === 0) return
+    try {
+      f.fit()
+    } catch {
+      /* 忽略：容器暂时不可测量，下次 resize 会重试 */
+    }
+  }
+
+  // ===== 会话绑定 =====
+
+  function unbindSession() {
+    unsubscribeOutput?.()
+    unsubscribeExit?.()
+    unsubscribeOutput = null
+    unsubscribeExit = null
+  }
+
+  function bindSession(id: string | null) {
+    unbindSession()
+    if (!id || !term.value) return
+
+    // 输出批次 → xterm。
+    //
+    // # 编码在此处（前端）而非 Rust 侧完成
+    //
+    // Rust 侧 `flush_output` 发的是**原样字节**（base64 编码后的 TCP 载荷），
+    // 不做任何转码。原因：`TextDecoder` 只有浏览器环境有，而「用户是否临时切了
+    // 编码」这个状态也只存在于前端。若在 Rust 侧转码，用户切编码时后端要重放
+    // 历史字节才能纠正画面，而前端本就在每次批次到达时现取编码 —— 零额外成本。
+    //
+    // 本地 ConPTY 会话的字节已是 UTF-8（Windows 控制台内部是 UTF-16，转换由
+    // 系统完成），走 UTF-8 分支等价于旧的直接 `term.write(bytes)`。
+    unsubscribeOutput = store.subscribeOutput(id, batch => {
+      if (!term.value) return
+      hasOutput.value = true
+      // 用 TextDecoder 而不是手写字节循环：它能正确处理多字节序列
+      const bytes = store.base64ToBytes(batch.data)
+      const enc = store.sessionEncoding(id)
+      if (enc === 'utf-8') {
+        // 快路径：直接把字节交给 xterm，省掉「字节→字符串→再编码」的往返
+        term.value.write(bytes)
+      } else {
+        term.value.write(decoderFor(enc).decode(bytes))
+      }
+      options.onData?.(batch.data)
+    })
+
+    unsubscribeExit = store.subscribeExit(id, payload => {
+      if (!term.value) return
+      const code = payload.exitCode
+      const why = payload.reason ?? 'unknown'
+      // 用 ANSI 灰字写一行提示，不污染用户的终端内容语义
+      term.value.write(
+        `\r\n\x1b[90m── 会话已结束（${why}${code !== undefined && code !== null ? `，退出码 ${code}` : ''}）──\x1b[0m\r\n`
+      )
+      hasOutput.value = true
+    })
+
+    // 切换会话时清屏：xterm 的 buffer 是实例级的，不清会串台
+    term.value.reset()
+    hasOutput.value = false
+    // reset 会丢主题，需要重新应用
+    applyAppearance(options.appearance.value)
+    requestAnimationFrame(() => {
+      safeFit()
+      term.value?.focus()
+    })
+  }
+
+  // ===== 外观热更新 =====
+
+  function applyAppearance(app: AppearanceSettings | null) {
+    const t = term.value
+    if (!t || !app) return
+    t.options.theme = resolveTheme(app.theme)
+    t.options.fontFamily = app.fontFamily || 'Cascadia Mono, Consolas, monospace'
+    t.options.fontSize = app.fontSize || 14
+    t.options.lineHeight = app.lineHeight || 1.2
+    t.options.letterSpacing = app.letterSpacing || 0
+    t.options.cursorBlink = app.cursorBlink ?? true
+    t.options.cursorStyle = normalizeCursorStyle(app.cursorStyle)
+    t.options.scrollback = app.scrollback || 5000
+    // 字体变化会改变字符宽高 → 行列数变了 → 必须重新 fit 并上报
+    requestAnimationFrame(() => safeFit())
+  }
+
+  // ===== 监视 =====
+
+  watch(
+    () => options.sessionId.value,
+    id => bindSession(id)
+  )
+
+  watch(
+    () => options.appearance.value,
+    app => applyAppearance(app),
+    { deep: true }
+  )
+
+  // ===== 对外接口 =====
+
+  /** 聚焦终端（切换标签、点击面板时调用） */
+  function focus() {
+    term.value?.focus()
+  }
+
+  /** 当前选区文本 */
+  function getSelection(): string {
+    return term.value?.getSelection() ?? ''
+  }
+
+  /** 搜索（返回是否命中；调用方据此提示用户） */
+  function findNext(keyword: string, caseSensitive = false): boolean {
+    if (!searchAddon.value || !keyword) return false
+    return searchAddon.value.findNext(keyword, { caseSensitive })
+  }
+
+  function findPrevious(keyword: string, caseSensitive = false): boolean {
+    if (!searchAddon.value || !keyword) return false
+    return searchAddon.value.findPrevious(keyword, { caseSensitive })
+  }
+
+  function clearSearch() {
+    searchAddon.value?.clearDecorations()
+  }
+
+  /** 选中全部缓冲内容 */
+  function selectAll() {
+    term.value?.selectAll()
+  }
+
+  /**
+   * 选中视口中某个屏幕坐标处的「词」。
+   *
+   * xterm 没有 `selectWordAt`，只有按行列的 `select(col, row, length)`，
+   * 因此需要自己把像素坐标换算成行列。这里刻意**不**去读 xterm 的内部
+   * 渲染服务（`_core._renderService`）取字符尺寸 —— 那是私有 API，
+   * 不在 d.ts 里，版本升级随时可能改名或改变形状。
+   *
+   * 改用公开且稳定的方式：xterm 会生成一个 `.xterm-rows` 容器，
+   * 每行是一个 `<div>`。用其中一行的 `getBoundingClientRect()` 就能得到
+   * 实际行高；列宽则由「行宽 ÷ cols」推出。这两者都是渲染后的真实值，
+   * 已经包含了字体、缩放、内边距的全部影响。
+   *
+   * 之所以做这个功能：终端里最常见的操作是选中一个路径 / URL / commit hash，
+   * 而用鼠标精确拖选一个长串很难 —— 右键选词能省掉一次失败的拖选。
+   */
+  function selectWordAt(clientX: number, clientY: number) {
+    const t = term.value
+    if (!t) return
+    const root = t.element
+    if (!root) return
+
+    const rowsEl = root.querySelector('.xterm-rows') as HTMLElement | null
+    if (!rowsEl) return
+
+    const rowEls = rowsEl.children
+    if (rowEls.length === 0) return
+
+    const firstRow = rowEls[0] as HTMLElement
+    const rowRect = firstRow.getBoundingClientRect()
+    if (rowRect.width <= 0 || rowRect.height <= 0) return
+
+    const cols = t.cols
+    if (cols <= 0) return
+    const cellW = rowRect.width / cols
+    const cellH = rowRect.height
+    if (cellW <= 0 || cellH <= 0) return
+
+    const col = Math.floor((clientX - rowRect.left) / cellW)
+    const row = Math.floor((clientY - rowRect.top) / cellH)
+    if (col < 0 || row < 0 || col >= cols || row >= rowEls.length) return
+
+    const line = t.buffer.active.getLine(t.buffer.active.viewportY + row)
+    if (!line) return
+    const text = line.translateToString(true)
+    if (!text.trim()) return
+
+    // 词边界：以空白和终端里高频出现的语法分隔符切分。
+    // 刻意不用 \b —— 它对 `/`、`-`、`.` 不构成边界，会把整条路径当成一个词，
+    // 而「选中路径的一段」恰恰是这个功能最常见的用途。
+    const isWordChar = (c: string) => c !== '' && !/[\s|&;<>()[\]{}'"]/.test(c)
+
+    let start = col
+    let end = col
+    while (start > 0 && isWordChar(text[start - 1] ?? '')) start--
+    while (end < text.length && isWordChar(text[end] ?? '')) end++
+    if (end <= start) return
+
+    t.select(start, row, end - start)
+    // 选完把焦点交给终端：否则用户接着按 Ctrl+Shift+C 时，
+    // 事件落不到 `.xterm` 上，快捷键的「焦点在终端内」判断会失败
+    t.focus()
+  }
+
+  /** 把视口滚动到底部（新输出到达、用户按 Ctrl+End 时） */
+  function scrollToBottom() {
+    term.value?.scrollToBottom()
+  }
+
+  function clear() {
+    term.value?.clear()
+  }
+
+  /** 重新适配尺寸（外部在容器显示后调用） */
+  function fit() {
+    safeFit()
+  }
+
+  // ===== 销毁 =====
+
+  onBeforeUnmount(() => {
+    unbindSession()
+    resizeObserver?.disconnect()
+    resizeObserver = null
+    // WebGL 需要先手动 dispose：它持有 WebGL context，不释放会累积泄漏
+    try {
+      webglAddon.value?.dispose()
+    } catch {
+      /* 忽略 */
+    }
+    webglAddon.value = null
+    term.value?.dispose()
+    term.value = null
+    fitAddon.value = null
+    searchAddon.value = null
+    isReady.value = false
+  })
+
+  return {
+    term,
+    isReady,
+    hasOutput,
+    createTerminal,
+    focus,
+    fit,
+    getSelection,
+    findNext,
+    findPrevious,
+    clearSearch,
+    selectAll,
+    selectWordAt,
+    scrollToBottom,
+    clear,
+    applyAppearance,
+    /** 读取某会话的选区缓存（供右键菜单判断「复制」是否可用） */
+    selectionOf: (id: string) => selectionMap.get(id) ?? ''
+  }
+}

src/lib/constants.ts

@@ -16,6 +16,10 @@ export const WINDOWS = {
   screenshotScroll: 'screenshot-scroll',
   /** 单文件一次性下载窗口前缀，实际 label = `${downloadWindow}-<taskId>` */
   downloadWindow: 'download-window',
+  /** 取词翻译悬浮窗（非激活显示，由 Rust 预创建） */
+  translatePopup: 'translate-popup',
+  /** 单个终端独立窗口，实际 label = `terminal-window-<sessionId>` */
+  terminalWindow: 'terminal-window',
 } as const
 
 /** Tauri 事件名（前端 emit / listen 与 Rust constants::events 对应） */
@@ -64,10 +68,31 @@ export const EVENTS = {
   screenshotEditorLoad: 'screenshot-editor-load',
   // 内核安装进度
   kernelInstallProgress: 'kernel-install-progress',
+  // 翻译：取词悬浮窗显示（负载见 Rust translate::popup::PopupPayload）/ 隐藏
+  translatePopupShow: 'translate-popup-show',
+  translatePopupHide: 'translate-popup-hide',
+  // 翻译：流式输出（失败经 start 的 Promise reject，不走事件）
+  translateStreamChunk: 'translate-stream-chunk',
+  translateStreamDone: 'translate-stream-done',
+  translateStreamError: 'translate-stream-error',
   // 后端自动切换节点完成（后台执行，刷新节点列表并提示）
   proxyAutoSwitch: 'proxy-auto-switch',
   // 应用更新进度
   updateProgress: 'update-progress',
+  // 终端：会话输出批次（按 8~16ms 窗口聚合，前端用 seq 校验连续性）
+  terminalOutput: 'terminal-output',
+  /** 终端：会话结束 */
+  terminalExit: 'terminal-exit',
+  /** 终端：会话状态变更（负载为 SessionInfo） */
+  terminalState: 'terminal-state',
+  /** 终端：工作目录变化（OSC 7 hook 上报） */
+  terminalCwd: 'terminal-cwd',
+  /** 终端：SSH 主机密钥需用户确认（阻塞式，握手在等待回传） */
+  terminalHostKeyPrompt: 'terminal-host-key-prompt',
+  /** 终端：SFTP 传输进度（上传/下载，节流 200ms 推送一次） */
+  terminalTransferProgress: 'terminal-transfer-progress',
+  /** 终端：请求对「关闭仍在运行的会话」二次确认 */
+  terminalConfirmClose: 'terminal-confirm-close',
   // 监控 OSD
   osdStateUpdate: 'osd-state-update',
   /** OSD 数据通道：仅推送显示项 key→value 映射 + 网速（高频，每秒） */

src/lib/terminalActions.ts

@@ -0,0 +1,287 @@
+/**
+ * 终端内快捷键的动作定义表。
+ *
+ * # 三层快捷键的边界
+ *
+ * | 层级 | 范围 | 注册方式 | 举例 |
+ * |---|---|---|---|
+ * | 全局 | 任何应用前台时都能触发 | `crate::shortcut`（Rust） | 全局唤起终端窗口 |
+ * | **终端内** | **焦点在终端面板内时** | **本文件（前端 keydown）** | 复制粘贴、标签、分屏 |
+ * | shell 原生 | 被 PTY 消费 | 不做拦截，原样透传 | Ctrl+C（SIGINT）、Tab 补全 |
+ *
+ * 本文件只管第二层。
+ *
+ * # 键位设计的两条硬约束
+ *
+ * 1. **`Ctrl+C` 与 `Ctrl+V` 绝不能被终端内快捷键占用**。终端里 `Ctrl+C` 必须是
+ *    SIGINT（中断当前命令），这是不可协商的——把它映射成「复制」会让所有用户
+ *    失去中断能力。因此复制粘贴用 `Ctrl+Shift+C/V`（Windows Terminal 惯例）。
+ *
+ * 2. **避开项目已有的全局快捷键**。`Ctrl+2` 已被翻译模块占用（取词翻译面板），
+ *    所以标签跳转用 `Alt+1..9` —— 在终端里 `Alt+数字` 通常不产生控制字符，
+ *    冲突面最小，且符合「切标签」的直觉。
+ */
+
+/** 快捷键动作定义 */
+export interface TerminalAction {
+  /** 动作标识，与 Rust 侧 `default_shortcuts()` 的 action 字符串一致 */
+  id: string
+  /** 展示名（设置页显示） */
+  label: string
+  /** 分组（设置页按组呈现） */
+  group: string
+  /** 说明（展示在设置页的副标题，讲清「做了什么」） */
+  description: string
+  /** 默认键位（后端也会下发一份，此处用于未取到设置时的兜底与展示） */
+  defaultKeys: string
+}
+
+/**
+ * 全部终端内快捷键动作。
+ *
+ * 顺序即设置页的展示顺序。分组名刻意用「文本操作 / 标签 / 分屏 / 视图 / 会话」
+ * 这种动词短语，而不是「分类1」这类无信息量的标签。
+ */
+export const TERMINAL_ACTIONS: TerminalAction[] = [
+  {
+    id: 'copy',
+    label: '复制',
+    group: '文本操作',
+    description: '复制当前选中内容到剪贴板',
+    defaultKeys: 'Ctrl+Shift+C'
+  },
+  {
+    id: 'paste',
+    label: '粘贴',
+    group: '文本操作',
+    description: '把剪贴板内容写入终端（多行粘贴会触发确认）',
+    defaultKeys: 'Ctrl+Shift+V'
+  },
+  {
+    id: 'search',
+    label: '搜索',
+    group: '文本操作',
+    description: '在滚动缓冲中查找文本',
+    defaultKeys: 'Ctrl+Shift+F'
+  },
+  {
+    id: 'newTab',
+    label: '新建标签',
+    group: '标签',
+    description: '新建一个本地 Shell 会话',
+    defaultKeys: 'Ctrl+Shift+T'
+  },
+  {
+    id: 'closeTab',
+    label: '关闭标签',
+    group: '标签',
+    description: '关闭当前会话（有活跃进程时会二次确认）',
+    defaultKeys: 'Ctrl+Shift+W'
+  },
+  {
+    id: 'nextTab',
+    label: '下一个标签',
+    group: '标签',
+    description: '切换到右侧标签',
+    defaultKeys: 'Ctrl+Tab'
+  },
+  {
+    id: 'prevTab',
+    label: '上一个标签',
+    group: '标签',
+    description: '切换到左侧标签',
+    defaultKeys: 'Ctrl+Shift+Tab'
+  },
+  {
+    id: 'renameTab',
+    label: '重命名标签',
+    group: '标签',
+    description: '修改当前会话显示名称',
+    defaultKeys: 'F2'
+  },
+  {
+    id: 'splitRight',
+    label: '向右分屏',
+    group: '分屏',
+    description: '在当前面板右侧新建一个面板',
+    defaultKeys: 'Ctrl+Shift+D'
+  },
+  {
+    id: 'splitDown',
+    label: '向下分屏',
+    group: '分屏',
+    description: '在当前面板下方新建一个面板',
+    defaultKeys: 'Ctrl+Shift+E'
+  },
+  {
+    id: 'closePane',
+    label: '关闭面板',
+    group: '分屏',
+    description: '关闭当前分屏（保留会话）',
+    defaultKeys: 'Ctrl+Shift+Q'
+  },
+  {
+    id: 'clear',
+    label: '清屏',
+    group: '视图',
+    description: '清空显示内容（向 shell 发送清屏命令）',
+    defaultKeys: 'Ctrl+Shift+K'
+  },
+  {
+    id: 'fontIncrease',
+    label: '放大字号',
+    group: '视图',
+    description: '增大终端字体',
+    defaultKeys: 'Ctrl+='
+  },
+  {
+    id: 'fontDecrease',
+    label: '缩小字号',
+    group: '视图',
+    description: '减小终端字体',
+    defaultKeys: 'Ctrl+-'
+  },
+  {
+    id: 'fontReset',
+    label: '重置字号',
+    group: '视图',
+    description: '恢复设置中的默认字号',
+    defaultKeys: 'Ctrl+0'
+  },
+  {
+    id: 'toggleSftp',
+    label: '文件面板',
+    group: '视图',
+    description: '显示/隐藏当前 SSH 会话的文件管理面板（P1）',
+    defaultKeys: 'Ctrl+Shift+P'
+  },
+  {
+    id: 'snippets',
+    label: '代码片段',
+    group: '会话',
+    description: '打开常用命令片段列表',
+    defaultKeys: 'Ctrl+Shift+S'
+  },
+  {
+    id: 'sessionSwitcher',
+    label: '会话切换器',
+    group: '会话',
+    description: '列出全部会话并快速跳转',
+    defaultKeys: 'Ctrl+Shift+O'
+  },
+  {
+    id: 'detachWindow',
+    label: '独立窗口打开',
+    group: '会话',
+    description: '把当前会话放到独立窗口中（需终端独立窗口支持）',
+    defaultKeys: 'Ctrl+Shift+N'
+  }
+]
+
+/** 动作 id → 定义 的索引 */
+export const ACTION_MAP: Record<string, TerminalAction> = Object.fromEntries(
+  TERMINAL_ACTIONS.map(a => [a.id, a])
+)
+
+/**
+ * 设置页的分组顺序。
+ *
+ * 显式列出而不是从 TERMINAL_ACTIONS 推导：我们希望分组顺序稳定，
+ * 而不是随着动作增删而漂移。
+ */
+export const ACTION_GROUPS = ['文本操作', '标签', '分屏', '视图', '会话'] as const
+
+/**
+ * 判断一个键盘事件是否匹配某个键位字符串。
+ *
+ * 键位字符串格式与 Rust 侧 `crate::shortcut::parse_shortcut` 保持一致：
+ * `Ctrl+Shift+C`、`Alt+1`、`F2`、`Ctrl+=`。
+ *
+ * 匹配规则（与浏览器/系统惯例对齐）：
+ * - 修饰键必须**精确**匹配（多按或少按都算不匹配）。
+ *   例：绑定了 `Ctrl+Shift+C` 时，只按 `Ctrl+C` 不应触发。
+ * - 主键比较不区分大小写（`Ctrl+Shift+C` 与 `Ctrl+Shift+c` 等价）。
+ * - `Tab` 作为主键时，`Shift` 参与区分（`Ctrl+Tab` ≠ `Ctrl+Shift+Tab`）。
+ */
+export function matchesShortcut(e: KeyboardEvent, keys: string): boolean {
+  if (!keys) return false
+
+  const parts = keys
+    .split('+')
+    .map(p => p.trim())
+    .filter(Boolean)
+  if (parts.length === 0) return false
+
+  const wantCtrl = parts.some(p => p.toLowerCase() === 'ctrl')
+  const wantShift = parts.some(p => p.toLowerCase() === 'shift')
+  const wantAlt = parts.some(p => p.toLowerCase() === 'alt')
+  const wantMeta = parts.some(p => p.toLowerCase() === 'meta' || p.toLowerCase() === 'win')
+
+  // 修饰键精确匹配：避免「绑了 Ctrl+Shift+T，按 Ctrl+T 也触发」这类误触
+  if (e.ctrlKey !== wantCtrl) return false
+  if (e.shiftKey !== wantShift) return false
+  if (e.altKey !== wantAlt) return false
+  if (e.metaKey !== wantMeta) return false
+
+  const main = parts.find(
+    p => !['ctrl', 'shift', 'alt', 'meta', 'win'].includes(p.toLowerCase())
+  )
+  if (!main) return false
+
+  // 主键比较：兼容 e.key 的多种写法（'=' vs '+', ' ' vs 'Space'）
+  const key = normalizeKey(e.key)
+  const target = normalizeKey(main)
+  return key === target
+}
+
+/** 把 KeyboardEvent.key 规整成键位字符串里的写法 */
+function normalizeKey(raw: string): string {
+  const k = raw.length === 1 ? raw.toUpperCase() : raw
+  const alias: Record<string, string> = {
+    ' ': 'Space',
+    Spacebar: 'Space',
+    Esc: 'Escape',
+    Del: 'Delete',
+    Ins: 'Insert',
+    Return: 'Enter',
+    Add: '+',
+    Subtract: '-',
+    Equal: '=',
+    Minus: '-',
+    // Shift+数字 时 e.key 会变成符号（Shift+1 → '!'），而键位表里写的是 '1'。
+    // 这里做一次反向映射，让 `Alt+1` 在按住 Shift 的意外情况下也能识别。
+    '!': '1',
+    '@': '2',
+    '#': '3',
+    $: '4',
+    '%': '5',
+    '^': '6',
+    '&': '7',
+    '*': '8',
+    '(': '9',
+    ')': '0',
+    _: '-',
+    '+': '='
+  }
+  return alias[k] ?? k
+}
+
+/**
+ * 把 KeyboardEvent 转成键位字符串（设置页录制新键位时用）。
+ *
+ * 返回空串表示「只按了修饰键」，调用方应忽略这种中间状态。
+ */
+export function eventToShortcut(e: KeyboardEvent): string {
+  const parts: string[] = []
+  if (e.ctrlKey) parts.push('Ctrl')
+  if (e.shiftKey) parts.push('Shift')
+  if (e.altKey) parts.push('Alt')
+  if (e.metaKey) parts.push('Meta')
+
+  const key = e.key
+  // 只按修饰键时 e.key 就是修饰键本身，此时不应产出绑定
+  if (['Control', 'Shift', 'Alt', 'Meta'].includes(key)) return ''
+
+  parts.push(normalizeKey(key))
+  return parts.join('+')
+}

src/lib/terminalThemes.ts

@@ -0,0 +1,199 @@
+import type { ITheme } from '@xterm/xterm'
+
+/**
+ * 终端配色方案。
+ *
+ * # 为什么自己定义而不是引第三方包
+ *
+ * 常见的 `xterm-theme` 包把几十套主题硬编码在一个文件里，其中大部分用不上，
+ * 且它的配色值与 VS Code / Windows Terminal 的官方定义常有小幅偏差
+ * （导致同一个主题在两个终端里看起来不一样）。这里只保留项目实际提供的几套，
+ * 数值取自各主题官方定义，保证「选了 solarized-dark 就和别处一致」。
+ *
+ * # 命名与 Rust 侧一致
+ *
+ * key 必须与 `terminal/settings.rs` 中 `AppearanceSettings.theme` 的取值一致，
+ * 否则用户选了主题却回落到默认（且不会有任何报错，属于静默失效）。
+ */
+export const TERMINAL_THEMES: Record<string, ITheme> = {
+  /** VS Code 默认深色（最通用，作为默认值） */
+  'vscode-dark': {
+    background: '#1e1e1e',
+    foreground: '#cccccc',
+    cursor: '#ffffff',
+    cursorAccent: '#1e1e1e',
+    selectionBackground: '#264f78',
+    black: '#000000',
+    red: '#cd3131',
+    green: '#0dbc79',
+    yellow: '#e5e510',
+    blue: '#2472c8',
+    magenta: '#bc3fbc',
+    cyan: '#11a8cd',
+    white: '#e5e5e5',
+    brightBlack: '#666666',
+    brightRed: '#f14c4c',
+    brightGreen: '#23d18b',
+    brightYellow: '#f5f543',
+    brightBlue: '#3b8eea',
+    brightMagenta: '#d670d6',
+    brightCyan: '#29b8db',
+    brightWhite: '#e5e5e5'
+  },
+
+  /** VS Code 浅色 */
+  'vscode-light': {
+    background: '#ffffff',
+    foreground: '#333333',
+    cursor: '#000000',
+    cursorAccent: '#ffffff',
+    selectionBackground: '#add6ff',
+    black: '#000000',
+    red: '#cd3131',
+    green: '#00bc00',
+    yellow: '#949800',
+    blue: '#0451a5',
+    magenta: '#bc05bc',
+    cyan: '#0598bc',
+    white: '#555555',
+    brightBlack: '#666666',
+    brightRed: '#cd3131',
+    brightGreen: '#14ce14',
+    brightYellow: '#b5ba00',
+    brightBlue: '#0451a5',
+    brightMagenta: '#bc05bc',
+    brightCyan: '#0598bc',
+    brightWhite: '#a5a5a5'
+  },
+
+  /** Solarized Dark（长时间阅读友好，低对比度） */
+  'solarized-dark': {
+    background: '#002b36',
+    foreground: '#839496',
+    cursor: '#93a1a1',
+    cursorAccent: '#002b36',
+    selectionBackground: '#073642',
+    black: '#073642',
+    red: '#dc322f',
+    green: '#859900',
+    yellow: '#b58900',
+    blue: '#268bd2',
+    magenta: '#d33682',
+    cyan: '#2aa198',
+    white: '#eee8d5',
+    brightBlack: '#002b36',
+    brightRed: '#cb4b16',
+    brightGreen: '#586e75',
+    brightYellow: '#657b83',
+    brightBlue: '#839496',
+    brightMagenta: '#6c71c4',
+    brightCyan: '#93a1a1',
+    brightWhite: '#fdf6e3'
+  },
+
+  /** Solarized Light */
+  'solarized-light': {
+    background: '#fdf6e3',
+    foreground: '#657b83',
+    cursor: '#586e75',
+    cursorAccent: '#fdf6e3',
+    selectionBackground: '#eee8d5',
+    black: '#073642',
+    red: '#dc322f',
+    green: '#859900',
+    yellow: '#b58900',
+    blue: '#268bd2',
+    magenta: '#d33682',
+    cyan: '#2aa198',
+    white: '#eee8d5',
+    brightBlack: '#002b36',
+    brightRed: '#cb4b16',
+    brightGreen: '#586e75',
+    brightYellow: '#657b83',
+    brightBlue: '#839496',
+    brightMagenta: '#6c71c4',
+    brightCyan: '#93a1a1',
+    brightWhite: '#fdf6e3'
+  },
+
+  /** Dracula（高对比度深色，护眼配色） */
+  dracula: {
+    background: '#282a36',
+    foreground: '#f8f8f2',
+    cursor: '#f8f8f2',
+    cursorAccent: '#282a36',
+    selectionBackground: '#44475a',
+    black: '#21222c',
+    red: '#ff5555',
+    green: '#50fa7b',
+    yellow: '#f1fa8c',
+    blue: '#bd93f9',
+    magenta: '#ff79c6',
+    cyan: '#8be9fd',
+    white: '#f8f8f2',
+    brightBlack: '#6272a4',
+    brightRed: '#ff6e6e',
+    brightGreen: '#69ff94',
+    brightYellow: '#ffffa5',
+    brightBlue: '#d6acff',
+    brightMagenta: '#ff92df',
+    brightCyan: '#a4ffff',
+    brightWhite: '#ffffff'
+  },
+
+  /** One Dark（Atom/VS Code 经典深色） */
+  'one-dark': {
+    background: '#282c34',
+    foreground: '#abb2bf',
+    cursor: '#528bff',
+    cursorAccent: '#282c34',
+    selectionBackground: '#3e4451',
+    black: '#282c34',
+    red: '#e06c75',
+    green: '#98c379',
+    yellow: '#e5c07b',
+    blue: '#61afef',
+    magenta: '#c678dd',
+    cyan: '#56b6c2',
+    white: '#abb2bf',
+    brightBlack: '#5c6370',
+    brightRed: '#e06c75',
+    brightGreen: '#98c379',
+    brightYellow: '#e5c07b',
+    brightBlue: '#61afef',
+    brightMagenta: '#c678dd',
+    brightCyan: '#56b6c2',
+    brightWhite: '#ffffff'
+  },
+
+  /** 跟随主应用（用 CSS 变量解析，见 resolveTheme） */
+  system: {
+    // 占位：真实值在 resolveTheme 中按当前亮暗模式填入
+  }
+}
+
+/** 供设置页下拉展示的选项（key + 中文标签） */
+export const TERMINAL_THEME_OPTIONS: Array<{ value: string; label: string }> = [
+  { value: 'vscode-dark', label: 'VS Code 深色' },
+  { value: 'vscode-light', label: 'VS Code 浅色' },
+  { value: 'solarized-dark', label: 'Solarized 深色' },
+  { value: 'solarized-light', label: 'Solarized 浅色' },
+  { value: 'dracula', label: 'Dracula' },
+  { value: 'one-dark', label: 'One Dark' },
+  { value: 'system', label: '跟随主应用' }
+]
+
+/**
+ * 解析主题名到具体的 xterm 主题对象。
+ *
+ * `system` 会读取主应用的亮暗模式（`document.documentElement` 上的 `dark` class，
+ * Tailwind 的暗色模式约定），映射到 vscode-dark / vscode-light。
+ * 这样终端不会在主应用切到浅色时突兀地保持全黑。
+ */
+export function resolveTheme(name: string): ITheme {
+  if (name === 'system') {
+    const isDark = document.documentElement.classList.contains('dark')
+    return TERMINAL_THEMES[isDark ? 'vscode-dark' : 'vscode-light']
+  }
+  return TERMINAL_THEMES[name] ?? TERMINAL_THEMES['vscode-dark']
+}

src/lib/translate/api.ts

@@ -0,0 +1,169 @@
+/**
+ * 翻译模块的后端调用封装。
+ *
+ * 单独抽一层的原因：**取词悬浮窗是独立窗口，不加载 Pinia**（`main.ts` 的
+ * `standaloneWindowApps` 分支只 createApp，不装 store）。要让主面板与悬浮窗共用同一套
+ * 调用与错误规整逻辑，就不能把它写在 store 里。
+ *
+ * 调用方式仍用原生 `invoke` 而非 `@/lib/bindings` 的 `commands.*`：specta 绑定只在
+ * debug 构建启动时生成，新增命令在首次 `tauri dev` 之前不存在于 bindings.ts。
+ * 全部收敛在这一个文件与 translateStore 里，将来替换只需改这两处。
+ */
+
+import { invoke } from '@tauri-apps/api/core'
+import { listen, type UnlistenFn } from '@tauri-apps/api/event'
+import { EVENTS } from '@/lib/constants'
+import type {
+  EngineView,
+  TranslateError,
+  TranslateErrorKind,
+  TranslateResult,
+  TranslateRunParams
+} from '@/types/translate'
+
+/**
+ * 把任意异常规整为 TranslateError。
+ *
+ * 后端有两种错误形态：翻译命令返回结构化对象 `{ kind, message, detail }`，
+ * 其余命令返回字符串 —— 这里一并兼容，调用方只需处理一种形状。
+ */
+export function normalizeTranslateError(e: unknown): TranslateError {
+  if (e && typeof e === 'object') {
+    const o = e as Record<string, unknown>
+    if (typeof o.kind === 'string' && typeof o.message === 'string') {
+      return {
+        kind: o.kind as TranslateErrorKind,
+        message: o.message,
+        detail: typeof o.detail === 'string' ? o.detail : null
+      }
+    }
+    try {
+      return { kind: 'unknown', message: JSON.stringify(o), detail: null }
+    } catch {
+      /* 循环引用等异常，落到下面的兜底 */
+    }
+  }
+  return { kind: 'unknown', message: String(e ?? '未知错误'), detail: null }
+}
+
+/** 执行一次翻译（含后端的自动降级） */
+export function runTranslate(params: TranslateRunParams): Promise<TranslateResult> {
+  return invoke<TranslateResult>('translate_run', { params })
+}
+
+/** 引擎实例列表（含密钥状态、可用性、代理状态） */
+export function listEngines(): Promise<EngineView[]> {
+  return invoke<EngineView[]>('translate_engines_list')
+}
+
+/**
+ * 写文本到系统剪贴板。
+ *
+ * 走 Rust 而不是 `navigator.clipboard`：悬浮窗是非激活窗口，浏览器会以
+ * 「无用户激活」为由拒绝写入；走 Rust 还能顺带把这次写入登记进剪贴板抑制表，
+ * 不在剪贴板历史里留下一条自己复制给自己的记录。
+ */
+export function copyToClipboard(text: string): Promise<void> {
+  return invoke('translate_copy_text', { text })
+}
+
+// ===== 流式输出 =====
+
+/**
+ * 流式事件的负载形状。
+ *
+ * 与 Rust `translate::engines::StreamEvent` 一一对应：该枚举用 `#[serde(tag = "type")]`
+ * 序列化，因此 `requestId` 与 `delta` / `result` 是**平级字段**，而不是嵌在
+ * `{"Chunk": {...}}` 里。曾经因为两边形状不一致，所有事件都被 `requestId` 过滤掉，
+ * 表现为「历史里有译文、界面上一片空白」——改任一处都要同时看另一处。
+ */
+interface StreamEventPayload {
+  requestId: string
+  type?: 'chunk' | 'done' | 'error'
+  delta?: string
+  result?: TranslateResult
+  error?: TranslateError
+}
+
+export interface StreamHandlers {
+  onChunk?: (delta: string) => void
+  onDone?: (result: TranslateResult) => void
+  onError?: (error: TranslateError) => void
+}
+
+/**
+ * 一次流式翻译的会话。
+ *
+ * 三条事件（chunk/done/error）都带 requestId，监听器按它过滤——弹窗是常驻窗口，
+ * 用户连续划词时前一次的残留事件不能串进新请求。
+ *
+ * 「统一走流式入口」的含义：不支持流式的引擎（免密钥源、DeepL）在后端走
+ * 同步兜底并发整条 Done，前端无需关心引擎能力差异。
+ */
+export class StreamSession {
+  private unlisten: UnlistenFn[] = []
+  private requestId: string | null = null
+  private finished = false
+  /** 客户端生成 requestId 用的自增序号（配合时间戳保证同毫秒内不重复） */
+  private static seq = 0
+
+  constructor(private handlers: StreamHandlers) {}
+
+  /** 注册事件监听。必须在首次 start 之前调用。 */
+  async init(): Promise<void> {
+    this.unlisten.push(
+      await listen<StreamEventPayload>(EVENTS.translateStreamChunk, e => {
+        if (e.payload.requestId !== this.requestId || this.finished) return
+        if (e.payload.delta) this.handlers.onChunk?.(e.payload.delta)
+      })
+    )
+    this.unlisten.push(
+      await listen<StreamEventPayload>(EVENTS.translateStreamDone, e => {
+        if (e.payload.requestId !== this.requestId || this.finished) return
+        this.finished = true
+        if (e.payload.result) this.handlers.onDone?.(e.payload.result)
+      })
+    )
+    // 兜底通道：命令已返回 requestId、之后才失败的情形（引擎降级失败等）。
+    // 没有它，前端会永远停在「翻译中」——Promise 与事件谁先到没有保证。
+    this.unlisten.push(
+      await listen<StreamEventPayload>(EVENTS.translateStreamError, e => {
+        if (e.payload.requestId !== this.requestId || this.finished) return
+        this.finished = true
+        if (e.payload.error) this.handlers.onError?.(e.payload.error)
+      })
+    )
+  }
+
+  /**
+   * 启动一次流式翻译。启动即失败（如没有可用引擎）时走 onError。
+   *
+   * requestId 由**客户端在发请求之前生成**并随参数带给后端：流式命令要等翻译
+   * 全部结束才返回，chunk/done 事件全部先于 Promise 到达。若等 invoke 返回才
+   * 拿后端生成的 requestId，期间所有事件都因对不上号被过滤——表现为
+   * 「历史里有译文、界面上一片空白」。后端仅在客户端未提供时才自行生成。
+   */
+  async start(params: TranslateRunParams): Promise<void> {
+    this.requestId = `c${Date.now()}-${++StreamSession.seq}`
+    this.finished = false
+    try {
+      await invoke('translate_stream_start', { params, requestId: this.requestId })
+    } catch (e) {
+      this.handlers.onError?.(normalizeTranslateError(e))
+    }
+  }
+
+  /** 停止当前请求（后端会取消 HTTP 流）。 */
+  stop(): void {
+    if (this.requestId && !this.finished) {
+      void invoke('translate_abort', { requestId: this.requestId }).catch(() => {})
+    }
+    this.finished = true
+  }
+
+  dispose(): void {
+    this.stop()
+    this.unlisten.forEach(fn => fn())
+    this.unlisten = []
+  }
+}

src/lib/translate/languages.ts

@@ -0,0 +1,89 @@
+/**
+ * 语言表。
+ *
+ * 内部统一用 BCP-47 短码（`zh-Hans` / `en` / `ja`…）作为**唯一标识**，用于设置持久化、
+ * 历史记录与前端状态；各翻译源自己的语言码方言（如 Google 的 `zh-CN`、Bing 的 `zh-Hans`、
+ * 云厂商的 `zh`）由各自的适配器在内部映射，不向上暴露——否则上层会被迫处处判断
+ * 「这个源认哪种写法」。
+ *
+ * `promptName` 是送给 AI 模型的自然语言全称。刻意不用语言码：模型对「繁体中文」的
+ * 遵循度明显高于 `zh-Hant`，而这是零成本的改动。
+ */
+
+export interface LanguageDef {
+  /** 内部统一代码 */
+  code: string
+  /** 中文展示名 */
+  label: string
+  /** 送给模型的自然语言全称 */
+  promptName: string
+  /** 常用语言（下拉置顶） */
+  common?: boolean
+}
+
+/** 自动检测的伪语言项（仅出现在源语言下拉中） */
+export const AUTO_DETECT: LanguageDef = {
+  code: 'auto',
+  label: '自动检测',
+  promptName: ''
+}
+
+export const LANGUAGES: LanguageDef[] = [
+  { code: 'zh-Hans', label: '简体中文', promptName: '简体中文', common: true },
+  { code: 'zh-Hant', label: '繁体中文', promptName: '繁体中文', common: true },
+  { code: 'en', label: '英语', promptName: '英语', common: true },
+  { code: 'ja', label: '日语', promptName: '日语', common: true },
+  { code: 'ko', label: '韩语', promptName: '韩语', common: true },
+  { code: 'fr', label: '法语', promptName: '法语' },
+  { code: 'de', label: '德语', promptName: '德语' },
+  { code: 'es', label: '西班牙语', promptName: '西班牙语' },
+  { code: 'pt', label: '葡萄牙语', promptName: '巴西葡萄牙语' },
+  { code: 'ru', label: '俄语', promptName: '俄语' },
+  { code: 'it', label: '意大利语', promptName: '意大利语' },
+  { code: 'nl', label: '荷兰语', promptName: '荷兰语' },
+  { code: 'pl', label: '波兰语', promptName: '波兰语' },
+  { code: 'tr', label: '土耳其语', promptName: '土耳其语' },
+  { code: 'ar', label: '阿拉伯语', promptName: '阿拉伯语' },
+  { code: 'hi', label: '印地语', promptName: '印地语' },
+  { code: 'th', label: '泰语', promptName: '泰语' },
+  { code: 'vi', label: '越南语', promptName: '越南语' },
+  { code: 'id', label: '印尼语', promptName: '印尼语' },
+  { code: 'ms', label: '马来语', promptName: '马来语' }
+]
+
+const BY_CODE = new Map<string, LanguageDef>(LANGUAGES.map(l => [l.code, l]))
+
+export function findLanguage(code: string | null | undefined): LanguageDef | undefined {
+  if (!code) return undefined
+  return BY_CODE.get(code)
+}
+
+/** 展示用名称（未知代码原样返回，避免出现空白） */
+export function labelOf(code: string | null | undefined): string {
+  if (!code || code === 'auto') return AUTO_DETECT.label
+  return BY_CODE.get(code)?.label ?? code
+}
+
+/**
+ * 送模型的自然语言语言名。
+ * 未知代码时退回语言码本身——总比留空让模型自行猜测要好。
+ */
+export function promptNameOf(code: string | null | undefined): string {
+  if (!code || code === 'auto') return ''
+  return BY_CODE.get(code)?.promptName ?? code
+}
+
+/** 常用语言在前、其余按表内顺序 */
+export function orderedLanguages(includeAuto: boolean): LanguageDef[] {
+  const common = LANGUAGES.filter(l => l.common)
+  const rest = LANGUAGES.filter(l => !l.common)
+  return includeAuto ? [AUTO_DETECT, ...common, ...rest] : [...common, ...rest]
+}
+
+/**
+ * 推断本次请求的目标语言标签。
+ * 目标语言必须显式选择（没有「自动」一说），因此仅在代码未知时退回代码本身。
+ */
+export function resolveTargetLabel(code: string): string {
+  return promptNameOf(code) || labelOf(code)
+}

src/lib/use-module-tabs.ts

@@ -29,16 +29,18 @@ import { useModuleTabsStore, type ModuleTab } from '@/stores/moduleTabsStore'
  * ```
  *
  * ## 工作原理
- * 1. onMounted 时注册标签到 moduleTabsStore，TitleBar 据此渲染浮动切换器
+ * 1. onMounted 时注册标签到 moduleTabsStore（**并复用该模块上次停留的 tab**），
+ *    TitleBar 据此渲染浮动切换器
  * 2. 用 IntersectionObserver 监听 TabsList 可见性（rootMargin 裁剪 TitleBar 高度）
  * 3. 双向 watch 同步本地 activeTab 与 store.activeTab
  * 4. 消费搜索导航的待跳转 tab（模块尚未挂载的场景）
- * 5. onUnmounted 时清理 observer 并注销标签
+ * 5. onUnmounted 时清理 observer 并把当前 tab 记到 store（按模块）后注销标签
  *
  * ## 约束
  * - TitleBar 高度固定为 40px (h-10)，composable 内部已用 44px 裁剪（含缓冲）
  * - 一个模块同一时间只能注册一组标签（store 是单例）
  * - 模块卸载时务必让 composable 的 onUnmounted 执行（已自动处理，无需手动调用）
+ * - tab 记忆只保内存、不落盘：tab 集合可能随版本变化，跨重启恢复旧值风险更大
  */
 export function useModuleTabs(
   moduleId: string,
@@ -97,10 +99,12 @@ export function useModuleTabs(
   })
 
   onMounted(async () => {
-    tabsStore.registerTabs(tabs, activeTab.value)
+    // 注册时带上模块 id：store 据此复用「上次停留的 tab」（模块卸载时保存）
+    const restored = tabsStore.registerTabs(moduleId, tabs, activeTab.value)
+    if (restored !== activeTab.value) activeTab.value = restored
     await nextTick()
     setupObserver()
-    // 搜索导航跳转：模块刚挂载，消费待跳转 tab
+    // 搜索导航跳转：模块刚挂载，消费待跳转 tab（优先级高于上次停留）
     applyPendingTab()
   })
 
@@ -109,7 +113,7 @@ export function useModuleTabs(
       observer.disconnect()
       observer = null
     }
-    tabsStore.unregisterTabs()
+    tabsStore.unregisterTabs(moduleId)
   })
 
   return tabsListRef

src/main.ts

@@ -39,16 +39,20 @@ const standaloneWindowApps: Array<[hash: string, label: string, loader: () => Pr
   ['#screenshot-pin', '贴图窗口', () => import('./modules/screenshot/ScreenshotPin.vue')],
   ['#screenshot-scroll', '滚动截图', () => import('./modules/screenshot/ScrollControl.vue')],
   ['#download-window', '下载窗口', () => import('./modules/downloader/DownloadWindow.vue')],
+  ['#translate-popup', '翻译悬浮窗', () => import('./modules/translate/TranslatePopup.vue')],
+  ['#terminal-window', '终端独立窗口', () => import('./modules/terminal/TerminalWindow.vue')],
 ]
 
 const winHash = window.location.hash
 
-// #screenshot-overlay 带窗口号参数（多屏）、#download-window 带 ?task= 参数，按前缀匹配；其余精确匹配
+// #screenshot-overlay 带窗口号参数（多屏）、#download-window 带 ?task= 参数，
+// #terminal-window 带 /{session_id} 路径参数，均按前缀匹配；其余精确匹配
 const matched = standaloneWindowApps.find(([hash]) => {
   if (
     hash === '#screenshot-overlay' ||
     hash === '#screenshot-scroll' ||
-    hash === '#download-window'
+    hash === '#download-window' ||
+    hash === '#terminal-window'
   )
     return winHash.startsWith(hash)
   return winHash === hash
@@ -59,6 +63,11 @@ if (matched) {
   logger.info(`${label}窗口启动: ${winHash}`)
   void loader().then(({ default: Comp }) => {
     const app = createApp(Comp)
+    // 独立窗口也要装一份自己的 Pinia：Pinia 是**窗口级**的，每个 WebView 有独立
+    // JS 运行时，store 实例互不可见；后端状态经 IPC 共享，前端缓存分叉无碍
+    //（见 TerminalWindow.vue 头注释）。终端独立窗口在 setup 里调 useTerminalStore，
+    // 缺这一步会直接抛「getActivePinia() was called but there was no active Pinia」。
+    app.use(createPinia())
     app.mount('#app')
   })
 } else {

src/modules/devtools/DevToolsModule.vue

@@ -0,0 +1,157 @@
+<script setup lang="ts">
+import { computed, onMounted, ref, watch } from 'vue'
+import { ArrowLeft, Search } from '@lucide/vue'
+import { Input } from '@/components/ui/input'
+import { Button } from '@/components/ui/button'
+import { Card, CardContent } from '@/components/ui/card'
+import { ScrollArea } from '@/components/ui/scroll-area'
+import { Separator } from '@/components/ui/separator'
+import { useSearchStore } from '@/stores/searchStore'
+import { registerAllTools, TOOLS_META } from './tools'
+import {
+  getAllTools, getTool, searchTools,
+  CATEGORY_ORDER, CATEGORY_LABEL, type DevTool
+} from './registry'
+
+const searchStore = useSearchStore()
+
+registerAllTools()
+
+const allTools = getAllTools()
+
+// ===== 列表视图：搜索 + 分类筛选 =====
+const query = ref('')
+const category = ref<'all' | DevTool['category']>('all')
+
+const filteredTools = computed(() => {
+  const list = searchTools(query.value)
+  if (category.value === 'all') return list
+  return list.filter(t => t.category === category.value)
+})
+
+interface ToolGroup {
+  category: DevTool['category']
+  label: string
+  tools: DevTool[]
+}
+
+const groupedTools = computed<ToolGroup[]>(() => {
+  if (category.value !== 'all') {
+    return [{
+      category: category.value as DevTool['category'],
+      label: CATEGORY_LABEL[category.value as DevTool['category']],
+      tools: filteredTools.value
+    }]
+  }
+  const groups: ToolGroup[] = []
+  for (const cat of CATEGORY_ORDER) {
+    const tools = filteredTools.value.filter(t => t.category === cat)
+    if (tools.length > 0) groups.push({ category: cat, label: CATEGORY_LABEL[cat], tools })
+  }
+  return groups
+})
+
+// ===== 详情视图 =====
+const selectedId = ref<string | null>(null)
+const selectedTool = computed<DevTool | null>(() => {
+  if (!selectedId.value) return null
+  return getTool(selectedId.value) ?? null
+})
+
+function openTool(id: string) {
+  selectedId.value = id
+}
+
+// ===== 全局搜索跳转：工具索引 → 打开对应工具 =====
+onMounted(() => {
+  const actions = new Map<number, () => void>()
+  TOOLS_META.forEach((t, i) => {
+    actions.set(i, () => openTool(t.id))
+  })
+  searchStore.registerActions('devtools', actions)
+})
+
+watch(selectedId, () => {
+  query.value = ''
+})
+</script>
+
+<template>
+  <div class="h-full p-6 overflow-hidden flex flex-col">
+    <!-- 列表视图 -->
+    <template v-if="!selectedTool">
+      <div class="flex items-center gap-3 mb-4 shrink-0 flex-wrap">
+        <div class="relative flex-1 min-w-[180px] max-w-xs">
+          <Search class="absolute left-2.5 top-1/2 -translate-y-1/2 size-4 text-muted-foreground" />
+          <Input v-model="query" placeholder="搜索工具..." class="h-8 pl-8 text-sm" />
+        </div>
+        <Button
+          v-for="cat in (['all', ...CATEGORY_ORDER] as const)"
+          :key="cat"
+          size="sm"
+          variant="ghost"
+          class="h-7 px-2.5 text-xs"
+          :class="category === cat ? 'bg-secondary text-foreground' : 'text-muted-foreground'"
+          @click="category = cat as typeof category"
+        >
+          {{ cat === 'all' ? '全部' : CATEGORY_LABEL[cat as DevTool['category']] }}
+        </Button>
+        <span class="text-xs text-muted-foreground ml-auto">{{ (category === 'all' ? allTools : filteredTools).length }} 个工具</span>
+      </div>
+
+      <ScrollArea class="flex-1 min-h-0 -mr-3 pr-3">
+        <div v-if="filteredTools.length === 0" class="h-full flex items-center justify-center text-muted-foreground text-sm">
+          没有找到匹配的工具
+        </div>
+
+        <!-- 按分类分组 -->
+        <div v-for="group in groupedTools" :key="group.category" class="mb-5">
+          <div class="flex items-center gap-2 mb-2">
+            <span class="text-xs font-medium text-muted-foreground">{{ group.label }}</span>
+            <Separator class="flex-1" />
+          </div>
+          <div class="grid grid-cols-2 md:grid-cols-3 xl:grid-cols-4 gap-3">
+            <Card
+              v-for="tool in group.tools"
+              :key="tool.id"
+              class="cursor-pointer transition-all hover:border-primary/50 hover:shadow-sm !py-0 !gap-0"
+              @click="openTool(tool.id)"
+            >
+              <CardContent class="p-4 flex flex-col gap-2">
+                <div class="size-9 rounded-lg bg-primary/10 text-primary flex items-center justify-center">
+                  <component :is="tool.icon" class="size-5" />
+                </div>
+                <div class="flex flex-col gap-0.5">
+                  <span class="text-sm font-medium leading-tight">{{ tool.name }}</span>
+                  <span class="text-xs text-muted-foreground leading-snug line-clamp-2">{{ tool.description }}</span>
+                </div>
+              </CardContent>
+            </Card>
+          </div>
+        </div>
+      </ScrollArea>
+    </template>
+
+    <!-- 工具详情视图 -->
+    <template v-else>
+      <div class="flex items-center gap-3 mb-4 shrink-0">
+        <Button size="sm" variant="ghost" class="gap-1 h-8" @click="selectedId = null">
+          <ArrowLeft class="size-4" />
+          返回
+        </Button>
+        <div class="size-8 rounded-lg bg-primary/10 text-primary flex items-center justify-center">
+          <component :is="selectedTool.icon" class="size-4" />
+        </div>
+        <div class="flex flex-col">
+          <span class="text-sm font-medium leading-tight">{{ selectedTool.name }}</span>
+          <span class="text-xs text-muted-foreground leading-snug">{{ selectedTool.description }}</span>
+        </div>
+      </div>
+      <ScrollArea class="flex-1 min-h-0 -mr-3 pr-3">
+        <div class="max-w-3xl px-1 pb-6">
+          <component :is="selectedTool.component" />
+        </div>
+      </ScrollArea>
+    </template>
+  </div>
+</template>

src/modules/devtools/components/ResultArea.vue

@@ -0,0 +1,75 @@
+<script setup lang="ts">
+import { computed, ref } from 'vue'
+import { Check, Copy } from '@lucide/vue'
+import { Textarea } from '@/components/ui/textarea'
+import { Button } from '@/components/ui/button'
+
+const props = withDefaults(
+  defineProps<{
+    text: string
+    editable?: boolean
+    placeholder?: string
+    label?: string
+    minHeight?: string
+  }>(),
+  { editable: false, placeholder: '结果...', label: '结果', minHeight: '120px' }
+)
+
+const emit = defineEmits<{
+  (e: 'update:text', v: string): void
+  (e: 'copy', text: string): void
+}>()
+
+const copied = ref(false)
+let copyTimer: number
+
+const lineCount = computed(() => (props.text ? props.text.split('\n').length : 0))
+const charCount = computed(() => props.text.length)
+
+const copy = async () => {
+  try {
+    await navigator.clipboard.writeText(props.text)
+    emit('copy', props.text)
+    copied.value = true
+    window.clearTimeout(copyTimer)
+    copyTimer = window.setTimeout(() => (copied.value = false), 1500)
+  } catch {
+    /* 复制失败静默 */
+  }
+}
+
+const onInput = (v: string | number) => {
+  if (props.editable) emit('update:text', String(v))
+}
+</script>
+
+<template>
+  <div class="flex flex-col gap-1.5">
+    <div class="flex items-center justify-between">
+      <span class="text-xs font-medium">{{ label }}</span>
+      <div class="flex items-center gap-2 text-[11px] text-muted-foreground">
+        <span>{{ lineCount }} 行</span>
+        <span>{{ charCount }} 字符</span>
+        <Button
+          v-if="!editable"
+          size="icon"
+          variant="ghost"
+          class="size-6"
+          :title="copied ? '已复制' : '复制'"
+          @click="copy"
+        >
+          <Check v-if="copied" class="size-3.5 text-green-500" />
+          <Copy v-else class="size-3.5" />
+        </Button>
+      </div>
+    </div>
+    <Textarea
+      :model-value="props.text"
+      :readonly="!editable"
+      :placeholder="placeholder"
+      :style="{ minHeight }"
+      class="font-mono text-xs leading-relaxed resize-y"
+      @update:model-value="onInput"
+    />
+  </div>
+</template>

src/modules/devtools/components/Segmented.vue

@@ -0,0 +1,40 @@
+<script setup lang="ts">
+export interface SegmentedOption {
+  value: string
+  label: string
+}
+
+defineProps<{
+  options: SegmentedOption[]
+  modelValue: string
+  label?: string
+  size?: 'xs' | 'sm'
+}>()
+
+const emit = defineEmits<{
+  (e: 'update:modelValue', v: string): void
+}>()
+</script>
+
+<template>
+  <div class="flex items-center gap-2 shrink-0">
+    <span v-if="label" class="text-sm text-muted-foreground">{{ label }}</span>
+    <div class="inline-flex rounded-md border border-border bg-muted/40 p-1">
+      <button
+        v-for="o in options"
+        :key="o.value"
+        type="button"
+        class="rounded px-3 font-medium transition-colors cursor-pointer"
+        :class="[
+          size === 'sm' ? 'py-1.5 text-sm' : 'py-1 text-sm',
+          modelValue === o.value
+            ? 'bg-background text-foreground shadow-sm'
+            : 'text-muted-foreground hover:text-foreground'
+        ]"
+        @click="emit('update:modelValue', o.value)"
+      >
+        {{ o.label }}
+      </button>
+    </div>
+  </div>
+</template>

src/modules/devtools/index.ts

@@ -0,0 +1,27 @@
+import type { ModuleConfig } from '@/types/module'
+import type { SearchIndexItem } from '@/stores/searchIndex'
+import { TOOLS_META } from './tools'
+
+/** 开发者工具模块：聚合大量轻量文本/编码/转换工具 */
+
+const searchItems: SearchIndexItem[] = TOOLS_META.map((t) => ({
+  title: t.name,
+  description: t.description,
+  keywords: [t.name, ...t.keywords]
+}))
+
+export const moduleConfig: ModuleConfig = {
+  id: 'devtools',
+  name: '开发者工具',
+  icon: 'devtools',
+  description: 'JSON / Base64 / 时间戳 / 正则 / 颜色 / Cron / 密码等 20 个常用开发工具',
+  category: 'tool',
+  defaultEnabled: true,
+  loader: () => import('./DevToolsModule.vue'),
+  searchItems,
+  lifecycle: {
+    onEnable: async () => {},
+    onDisable: async () => {}
+  },
+  order: 60
+}

src/modules/devtools/registry.ts

@@ -0,0 +1,59 @@
+import type { Component } from 'vue'
+
+export type DevToolCategory = 'encoding' | 'transform' | 'text' | 'generate' | 'reference'
+
+export interface DevTool {
+  id: string
+  name: string
+  description: string
+  category: DevToolCategory
+  keywords: string[]
+  icon: Component
+  component: Component
+}
+
+/** 分类展示顺序 */
+export const CATEGORY_ORDER: DevToolCategory[] = ['transform', 'encoding', 'text', 'generate', 'reference']
+export const CATEGORY_LABEL: Record<DevToolCategory, string> = {
+  transform: '转换',
+  encoding: '编码',
+  text: '文本',
+  generate: '生成',
+  reference: '速查'
+}
+
+const allTools: DevTool[] = []
+const registry = new Map<string, DevTool>()
+
+export function registerTool(tool: DevTool): void {
+  if (registry.has(tool.id)) return
+  registry.set(tool.id, tool)
+  allTools.push(tool)
+}
+
+export function getTool(id: string): DevTool | undefined {
+  return registry.get(id)
+}
+
+export function getAllTools(): DevTool[] {
+  return [...allTools]
+}
+
+export function getToolsByCategory(): Record<DevToolCategory, DevTool[]> {
+  const result = {} as Record<DevToolCategory, DevTool[]>
+  for (const cat of CATEGORY_ORDER) result[cat] = []
+  for (const tool of allTools) {
+    result[tool.category].push(tool)
+  }
+  return result
+}
+
+export function searchTools(query: string): DevTool[] {
+  if (!query.trim()) return allTools
+  const q = query.trim().toLowerCase()
+  return allTools.filter(t =>
+    t.name.toLowerCase().includes(q) ||
+    t.description.toLowerCase().includes(q) ||
+    t.keywords.some(k => k.toLowerCase().includes(q))
+  )
+}

src/modules/devtools/tools/Base64Tools.vue

@@ -0,0 +1,166 @@
+<script setup lang="ts">
+import { computed, ref } from 'vue'
+import { ArrowDownUp, Upload } from '@lucide/vue'
+import { Textarea } from '@/components/ui/textarea'
+import { Label } from '@/components/ui/label'
+import { Button } from '@/components/ui/button'
+import Segmented from '../components/Segmented.vue'
+import ResultArea from '../components/ResultArea.vue'
+
+type Tab = 'convert' | 'file'
+
+const tab = ref<Tab>('convert')
+const mode = ref<'encode' | 'decode'>('encode')
+const input = ref('')
+const error = ref('')
+
+function encode(s: string): string {
+  const bytes = new TextEncoder().encode(s)
+  let bin = ''
+  for (const b of bytes) bin += String.fromCharCode(b)
+  return btoa(bin)
+}
+
+function decode(s: string): string {
+  const cleaned = s.replace(/[\r\n\s]/g, '')
+  const bin = atob(cleaned)
+  const bytes = Uint8Array.from(bin, ch => ch.charCodeAt(0))
+  return new TextDecoder().decode(bytes)
+}
+
+const output = computed(() => {
+  error.value = ''
+  const v = input.value
+  if (!v) return ''
+  try {
+    return mode.value === 'encode' ? encode(v) : decode(v)
+  } catch (e) {
+    error.value = '解码失败：' + String(e)
+    return ''
+  }
+})
+
+const swap = () => {
+  if (output.value) {
+    input.value = output.value
+    mode.value = mode.value === 'encode' ? 'decode' : 'encode'
+  }
+}
+
+// ===== 文件转 Base64 =====
+const file = ref<File | null>(null)
+const fileInput = ref<HTMLInputElement | null>(null)
+const fileBase64 = ref('')
+const fileError = ref('')
+const fileLoading = ref(false)
+const FILE_SIZE_LIMIT = 64 * 1024 * 1024 // 64MB 保护上限（Base64 展示本身就很占内存）
+
+function formatSize(bytes: number): string {
+  if (bytes < 1024) return `${bytes} B`
+  if (bytes < 1024 * 1024) return `${(bytes / 1024).toFixed(1)} KB`
+  return `${(bytes / 1024 / 1024).toFixed(1)} MB`
+}
+
+const mime = computed(() => file.value?.type || 'application/octet-stream')
+
+async function onFileChange(e: Event) {
+  const el = e.target as HTMLInputElement
+  const f = el.files?.[0] ?? null
+  fileError.value = ''
+  fileBase64.value = ''
+  file.value = f
+  if (!f) return
+  if (f.size > FILE_SIZE_LIMIT) {
+    fileError.value = `文件过大（${formatSize(f.size)}），请使用 64MB 以内的文件`
+    return
+  }
+  fileLoading.value = true
+  try {
+    const buf = await f.arrayBuffer()
+    const bytes = new Uint8Array(buf)
+    let bin = ''
+    const CHUNK = 0x8000
+    for (let i = 0; i < bytes.length; i += CHUNK) {
+      bin += String.fromCharCode(...bytes.subarray(i, i + CHUNK))
+    }
+    fileBase64.value = btoa(bin)
+  } catch (e) {
+    fileError.value = '读取失败：' + String(e)
+  } finally {
+    fileLoading.value = false
+  }
+}
+
+function clearFile() {
+  file.value = null
+  fileBase64.value = ''
+  fileError.value = ''
+  if (fileInput.value) fileInput.value.value = ''
+}
+
+const dataUrl = computed(() =>
+  fileBase64.value ? `data:${mime.value};base64,${fileBase64.value}` : ''
+)
+</script>
+
+<template>
+  <div class="flex flex-col gap-4">
+    <Segmented
+      v-model="tab"
+      :options="[
+        { value: 'convert', label: '文本互转' },
+        { value: 'file', label: '文件转 Base64' }
+      ]"
+    />
+
+    <!-- 文本互转 -->
+    <template v-if="tab === 'convert'">
+      <div class="flex items-center justify-between flex-wrap gap-2">
+        <Segmented
+          v-model="mode"
+          label="操作"
+          :options="[
+            { value: 'encode', label: '编码' },
+            { value: 'decode', label: '解码' }
+          ]"
+        />
+        <Button size="sm" variant="outline" class="h-8 text-sm gap-1" :disabled="!output" @click="swap">
+          <ArrowDownUp class="size-3.5" />
+          结果回填
+        </Button>
+      </div>
+
+      <div class="flex flex-col gap-1.5">
+        <Label class="text-xs">{{ mode === 'encode' ? '原文' : 'Base64 字符串' }}</Label>
+        <Textarea v-model="input" placeholder="在此输入..." class="min-h-[120px] font-mono text-xs resize-y" />
+      </div>
+
+      <ResultArea :text="output" placeholder="结果" />
+      <p v-if="error" class="text-xs text-destructive">{{ error }}</p>
+    </template>
+
+    <!-- 文件转 Base64 -->
+    <template v-else>
+      <div class="flex items-center gap-2 flex-wrap">
+        <Button size="sm" variant="outline" class="h-8 text-sm gap-1.5" @click="fileInput?.click()">
+          <Upload class="size-3.5" />
+          选择文件
+        </Button>
+        <input ref="fileInput" type="file" class="hidden" @change="onFileChange" />
+        <template v-if="file">
+          <span class="text-xs font-mono text-muted-foreground">{{ file.name }}（{{ formatSize(file.size) }}，{{ mime }}）</span>
+          <Button size="sm" variant="ghost" class="h-7 text-xs" @click="clearFile">移除</Button>
+        </template>
+      </div>
+      <p v-if="fileError" class="text-xs text-destructive">{{ fileError }}</p>
+
+      <template v-if="fileBase64">
+        <ResultArea :text="fileBase64" label="Base64" placeholder="Base64" minHeight="100px" />
+        <ResultArea :text="dataUrl" label="Data URL" placeholder="Data URL" minHeight="100px" />
+        <p class="text-xs text-muted-foreground">Base64 体积约为原文件的 4/3（{{ formatSize(fileBase64.length) }}）。</p>
+      </template>
+      <p v-else-if="!fileLoading" class="text-xs text-muted-foreground">选择文件后自动生成 Base64 与 Data URL。</p>
+      <p v-else class="text-xs text-muted-foreground">读取中...</p>
+    </template>
+  </div>
+</template>

src/modules/devtools/tools/CaseTools.vue

@@ -0,0 +1,87 @@
+<script setup lang="ts">
+import { computed, ref } from 'vue'
+import { Textarea } from '@/components/ui/textarea'
+import { Label } from '@/components/ui/label'
+import Segmented from '../components/Segmented.vue'
+import ResultArea from '../components/ResultArea.vue'
+
+type CaseMode =
+  | 'camel' | 'pascal' | 'snake' | 'kebab'
+  | 'upper' | 'lower' | 'title'
+  | 'spaceToDash' | 'trimLines' | 'collapseSpace'
+
+const modes: { value: CaseMode; label: string }[] = [
+  { value: 'camel', label: 'camelCase' },
+  { value: 'pascal', label: 'PascalCase' },
+  { value: 'snake', label: 'snake_case' },
+  { value: 'kebab', label: 'kebab-case' },
+  { value: 'upper', label: '全大写' },
+  { value: 'lower', label: '全小写' },
+  { value: 'title', label: '标题式' },
+  { value: 'spaceToDash', label: '空格转下划线' },
+  { value: 'collapseSpace', label: '合并空行空白' },
+  { value: 'trimLines', label: '每行去首尾空格' }
+]
+
+const mode = ref<CaseMode>('camel')
+const input = ref('')
+
+function toWords(s: string): string[] {
+  // 拆分 camelCase / snake_case / kebab-case / 空格，得到词
+  return s
+    .replace(/([a-z0-9])([A-Z])/g, '$1 $2')
+    .replace(/[_\-\s]+/g, ' ')
+    .trim()
+    .split(' ')
+    .filter(Boolean)
+}
+
+const output = computed(() => {
+  const v = input.value
+  if (!v) return ''
+  switch (mode.value) {
+    case 'upper':
+      return v.toUpperCase()
+    case 'lower':
+      return v.toLowerCase()
+    case 'title':
+      return v.replace(/\b\w/g, ch => ch.toUpperCase())
+    case 'spaceToDash':
+      return v.replace(/\s+/g, '_')
+    case 'collapseSpace':
+      return v.split(/\n+/).map(l => l.trim()).filter(Boolean).join('\n')
+    case 'trimLines':
+      return v.split('\n').map(l => l.trim()).join('\n')
+    case 'camel': // fallthrough
+    case 'pascal':
+    case 'snake':
+    case 'kebab':
+      break
+  }
+  const words = toWords(v).filter(Boolean)
+  if (words.length === 0) return ''
+  if (mode.value === 'camel') {
+    return words[0].toLowerCase() + words.slice(1).map(w => cap(w)).join('')
+  }
+  if (mode.value === 'pascal') {
+    return words.map(cap).join('')
+  }
+  const sep = mode.value === 'snake' ? '_' : '-'
+  return words.map(w => w.toLowerCase()).join(sep)
+})
+
+function cap(w: string): string {
+  return w.charAt(0).toUpperCase() + w.slice(1).toLowerCase()
+}
+</script>
+
+<template>
+  <div class="flex flex-col gap-4">
+    <Segmented v-model="mode" :options="modes" />
+    <div class="flex flex-col gap-1.5">
+      <Label class="text-xs">原文</Label>
+      <Textarea v-model="input" placeholder="在此输入..." class="min-h-[140px] font-mono text-xs resize-y" />
+    </div>
+    <ResultArea :text="output" placeholder="结果" />
+  </div>
+</template>

src/modules/devtools/tools/CharCountTools.vue

@@ -0,0 +1,129 @@
+<script setup lang="ts">
+import { computed, ref } from 'vue'
+import { Textarea } from '@/components/ui/textarea'
+import { Label } from '@/components/ui/label'
+import { Switch } from '@/components/ui/switch'
+
+const input = ref('')
+const showFrequency = ref(true)
+
+function utf8Bytes(s: string): number {
+  return new TextEncoder().encode(s).length
+}
+
+/** 统计词：中文按字、英文按单词 */
+function countWords(s: string): number {
+  const cjk = (s.match(/[\u4e00-\u9fff\u3400-\u4dbf]/g) ?? []).length
+  const latin = (s.match(/[a-zA-Z0-9]+(?:[-'’][a-zA-Z0-9]+)*/g) ?? []).length
+  return cjk + latin
+}
+
+interface Stats {
+  chars: number
+  charsNoSpace: number
+  bytes: number
+  words: number
+  lines: number
+  nonEmptyLines: number
+  sentences: number
+  paragraphs: number
+}
+
+const stats = computed<Stats>(() => {
+  const v = input.value
+  const lines = v === '' ? 0 : v.split('\n').length
+  const nonEmpty = v.split('\n').filter(l => l.trim()).length
+  // 句子：以 。！？.!?;； 结尾的段落片段
+  const sentences = (v.match(/[^。！？!?\n]+[。！？!?]?/g) ?? []).filter(s => s.trim()).length
+  const paragraphs = v.split(/\n\s*\n/).filter(p => p.trim()).length
+  return {
+    chars: v.length,
+    charsNoSpace: v.replace(/\s/g, '').length,
+    bytes: utf8Bytes(v),
+    words: countWords(v),
+    lines,
+    nonEmptyLines: nonEmpty,
+    sentences,
+    paragraphs
+  }
+})
+
+const FIELDS: Array<{ key: keyof Stats; label: string }> = [
+  { key: 'chars', label: '字符数' },
+  { key: 'charsNoSpace', label: '字符数（不含空白）' },
+  { key: 'bytes', label: '字节数（UTF-8）' },
+  { key: 'words', label: '词数（中文按字/英文按词）' },
+  { key: 'lines', label: '行数' },
+  { key: 'nonEmptyLines', label: '非空行数' },
+  { key: 'sentences', label: '句子数' },
+  { key: 'paragraphs', label: '段落数（空行分隔）' }
+]
+
+/** 高频字符 / 高频词 top 10 */
+const topChars = computed(() => {
+  if (!showFrequency.value || !input.value) return []
+  const map = new Map<string, number>()
+  for (const ch of input.value) {
+    if (/\s/.test(ch)) continue
+    map.set(ch, (map.get(ch) ?? 0) + 1)
+  }
+  return [...map.entries()].sort((a, b) => b[1] - a[1]).slice(0, 10)
+})
+
+const topWords = computed(() => {
+  if (!showFrequency.value || !input.value) return []
+  const tokens = input.value.match(/[\u4e00-\u9fff]|[a-zA-Z0-9]+(?:[-'’][a-zA-Z0-9]+)*/g) ?? []
+  const map = new Map<string, number>()
+  for (const t of tokens) {
+    map.set(t, (map.get(t) ?? 0) + 1)
+  }
+  return [...map.entries()].sort((a, b) => b[1] - a[1]).slice(0, 10)
+})
+</script>
+
+<template>
+  <div class="flex flex-col gap-4">
+    <div class="flex flex-col gap-1.5">
+      <div class="flex items-center justify-between">
+        <Label class="text-xs">文本</Label>
+        <label class="flex items-center gap-2 text-xs text-muted-foreground cursor-pointer">
+          显示高频统计
+          <Switch v-model="showFrequency" />
+        </label>
+      </div>
+      <Textarea v-model="input" placeholder="粘贴或输入文本，实时统计..." class="min-h-[160px] font-mono text-xs resize-y" />
+    </div>
+
+    <div class="rounded-md border border-border divide-y divide-border text-xs">
+      <div v-for="f in FIELDS" :key="f.key" class="flex justify-between px-3 py-1.5">
+        <span class="text-muted-foreground">{{ f.label }}</span>
+        <span class="font-mono">{{ stats[f.key].toLocaleString() }}</span>
+      </div>
+    </div>
+
+    <template v-if="showFrequency && input">
+      <div class="grid grid-cols-2 gap-3">
+        <div class="flex flex-col gap-1.5">
+          <Label class="text-xs">高频字符 Top 10</Label>
+          <div class="rounded-md border border-border divide-y divide-border text-xs">
+            <div v-for="([ch, n], i) in topChars" :key="i" class="flex justify-between px-3 py-1">
+              <span class="font-mono w-8 text-center rounded bg-muted">{{ ch }}</span>
+              <span class="font-mono text-muted-foreground">{{ n }} 次</span>
+            </div>
+            <div v-if="topChars.length === 0" class="px-3 py-2 text-muted-foreground">无内容</div>
+          </div>
+        </div>
+        <div class="flex flex-col gap-1.5">
+          <Label class="text-xs">高频词 Top 10</Label>
+          <div class="rounded-md border border-border divide-y divide-border text-xs">
+            <div v-for="([w, n], i) in topWords" :key="i" class="flex justify-between px-3 py-1">
+              <span class="font-mono">{{ w }}</span>
+              <span class="font-mono text-muted-foreground">{{ n }} 次</span>
+            </div>
+            <div v-if="topWords.length === 0" class="px-3 py-2 text-muted-foreground">无内容</div>
+          </div>
+        </div>
+      </div>
+    </template>
+  </div>
+</template>

src/modules/devtools/tools/ColorTools.vue

@@ -0,0 +1,211 @@
+<script setup lang="ts">
+import { computed, ref } from 'vue'
+import { Input } from '@/components/ui/input'
+import { Label } from '@/components/ui/label'
+import ResultArea from '../components/ResultArea.vue'
+
+const input = ref('#3b82f6')
+const alpha = ref(1)
+
+interface Rgb {
+  r: number
+  g: number
+  b: number
+}
+
+function clampByte(v: number): number {
+  return Math.min(255, Math.max(0, Math.round(v)))
+}
+
+function parseColor(s: string): Rgb | null {
+  const v = s.trim().toLowerCase()
+  if (!v) return null
+  // #rgb / #rgba / #rrggbb / #rrggbbaa
+  const hex = v.match(/^#?([0-9a-f]{3,8})$/)
+  if (hex) {
+    const h = hex[1]
+    if (h.length === 3 || h.length === 4) {
+      const [r, g, b] = [h[0], h[1], h[2]].map(c => parseInt(c + c, 16))
+      return { r, g, b }
+    }
+    if (h.length === 6 || h.length === 8) {
+      return {
+        r: parseInt(h.slice(0, 2), 16),
+        g: parseInt(h.slice(2, 4), 16),
+        b: parseInt(h.slice(4, 6), 16)
+      }
+    }
+    return null
+  }
+  // rgb() / rgba()
+  const rgb = v.match(/^rgba?\(\s*(\d{1,3})[\s,]+(\d{1,3})[\s,]+(\d{1,3})/)
+  if (rgb) {
+    return { r: clampByte(Number(rgb[1])), g: clampByte(Number(rgb[2])), b: clampByte(Number(rgb[3])) }
+  }
+  // hsl() / hsla()
+  const hsl = v.match(/^hsla?\(\s*(\d{1,3}(?:\.\d+)?)\s*[,\s]\s*(\d{1,3})%\s*[,\s]\s*(\d{1,3})%/)
+  if (hsl) {
+    return hslToRgb(Number(hsl[1]), Number(hsl[2]) / 100, Number(hsl[3]) / 100)
+  }
+  return null
+}
+
+function hslToRgb(h: number, s: number, l: number): Rgb {
+  h = ((h % 360) + 360) % 360
+  const c = (1 - Math.abs(2 * l - 1)) * s
+  const x = c * (1 - Math.abs(((h / 60) % 2) - 1))
+  const m = l - c / 2
+  let r = 0, g = 0, b = 0
+  if (h < 60) { r = c; g = x }
+  else if (h < 120) { r = x; g = c }
+  else if (h < 180) { g = c; b = x }
+  else if (h < 240) { g = x; b = c }
+  else if (h < 300) { r = x; b = c }
+  else { r = c; b = x }
+  return { r: clampByte((r + m) * 255), g: clampByte((g + m) * 255), b: clampByte((b + m) * 255) }
+}
+
+function rgbToHsl({ r, g, b }: Rgb): { h: number; s: number; l: number } {
+  const rn = r / 255, gn = g / 255, bn = b / 255
+  const max = Math.max(rn, gn, bn)
+  const min = Math.min(rn, gn, bn)
+  const l = (max + min) / 2
+  let h = 0
+  let s = 0
+  if (max !== min) {
+    const d = max - min
+    s = l > 0.5 ? d / (2 - max - min) : d / (max + min)
+    if (max === rn) h = ((gn - bn) / d + (gn < bn ? 6 : 0)) * 60
+    else if (max === gn) h = ((bn - rn) / d + 2) * 60
+    else h = ((rn - gn) / d + 4) * 60
+  }
+  return { h: Math.round(h), s: Math.round(s * 100), l: Math.round(l * 100) }
+}
+
+function rgbToHsv({ r, g, b }: Rgb): { h: number; s: number; v: number } {
+  const rn = r / 255, gn = g / 255, bn = b / 255
+  const max = Math.max(rn, gn, bn)
+  const min = Math.min(rn, gn, bn)
+  const d = max - min
+  let h = 0
+  if (d !== 0) {
+    if (max === rn) h = (((gn - bn) / d) % 6) * 60
+    else if (max === gn) h = ((bn - rn) / d + 2) * 60
+    else h = ((rn - gn) / d + 4) * 60
+  }
+  h = Math.round(((h % 360) + 360) % 360)
+  return { h, s: Math.round((max === 0 ? 0 : d / max) * 100), v: Math.round(max * 100) }
+}
+
+function toHex({ r, g, b }: Rgb): string {
+  return '#' + [r, g, b].map(x => x.toString(16).padStart(2, '0')).join('')
+}
+
+const rgb = computed<Rgb | null>(() => parseColor(input.value))
+
+const alphaInput = computed(() => {
+  const a = Math.min(1, Math.max(0, alpha.value))
+  return Math.round(a * 255)
+    .toString(16)
+    .padStart(2, '0')
+})
+
+const formats = computed(() => {
+  const c = rgb.value
+  if (!c) return null
+  const hsl = rgbToHsl(c)
+  const hsv = rgbToHsv(c)
+  return {
+    hex: toHex(c),
+    hexA: `${toHex(c)}${alphaInput.value}`,
+    rgb: `rgb(${c.r}, ${c.g}, ${c.b})`,
+    rgba: `rgba(${c.r}, ${c.g}, ${c.b}, ${alpha.value})`,
+    hsl: `hsl(${hsl.h}, ${hsl.s}%, ${hsl.l}%)`,
+    hsla: `hsla(${hsl.h}, ${hsl.s}%, ${hsl.l}%, ${alpha.value})`,
+    hsv: `hsv(${hsv.h}, ${hsv.s}%, ${hsv.v}%)`,
+    cmyk: rgbToCmyk(c)
+  }
+})
+
+function rgbToCmyk({ r, g, b }: Rgb): string {
+  const rn = r / 255, gn = g / 255, bn = b / 255
+  const k = 1 - Math.max(rn, gn, bn)
+  if (k === 1) return 'cmyk(0%, 0%, 0%, 100%)'
+  const c = (1 - rn - k) / (1 - k)
+  const m = (1 - gn - k) / (1 - k)
+  const y = (1 - bn - k) / (1 - k)
+  const p = (x: number) => Math.round(x * 100)
+  return `cmyk(${p(c)}%, ${p(m)}%, ${p(y)}%, ${p(k)}%)`
+}
+
+// 亮度判断（W3C 公式），用于预览色上的文字颜色
+const previewTextLight = computed(() => {
+  const c = rgb.value
+  if (!c) return true
+  return (c.r * 0.299 + c.g * 0.587 + c.b * 0.114) < 140
+})
+
+// 明暗梯度
+const shades = computed(() => {
+  const c = rgb.value
+  if (!c) return []
+  const hsl = rgbToHsl(c)
+  return [-60, -40, -20, 0, 20, 40, 60].map(delta => {
+    const l = Math.min(96, Math.max(4, hsl.l + delta))
+    const rgb2 = hslToRgb(hsl.h, hsl.s / 100, l / 100)
+    return { label: delta === 0 ? `${l}%` : `${l}%`, color: toHex(rgb2) }
+  })
+})
+</script>
+
+<template>
+  <div class="flex flex-col gap-4">
+    <div class="flex items-end gap-3 flex-wrap">
+      <div class="flex flex-col gap-1.5 flex-1 min-w-[200px]">
+        <Label class="text-xs">颜色（支持 #hex / rgb() / hsl()）</Label>
+        <Input v-model="input" placeholder="#3b82f6 或 rgb(59,130,246) 或 hsl(217,91%,60%)" class="font-mono text-sm" />
+      </div>
+      <div class="flex flex-col gap-1.5">
+        <Label class="text-xs">透明度 {{ alpha.toFixed(2) }}</Label>
+        <input v-model.number="alpha" type="range" min="0" max="1" step="0.01" class="w-40 accent-primary" />
+      </div>
+    </div>
+
+    <template v-if="formats && rgb">
+      <!-- 预览 -->
+      <div
+        class="rounded-md border border-border h-20 flex items-center justify-center font-mono text-sm"
+        :style="{ backgroundColor: `rgba(${rgb.r}, ${rgb.g}, ${rgb.b}, ${alpha})`, color: previewTextLight ? '#ffffff' : '#000000' }"
+      >
+        {{ formats.hex }} {{ alpha < 1 ? `（透明度 ${alpha.toFixed(2)}）` : '' }}
+      </div>
+
+      <ResultArea :text="formats.hex" label="HEX" placeholder="HEX" minHeight="60px" />
+      <ResultArea v-if="alpha < 1" :text="formats.hexA" label="HEX + Alpha" placeholder="HEX" minHeight="60px" />
+      <ResultArea :text="formats.rgb" label="RGB" placeholder="RGB" minHeight="60px" />
+      <ResultArea v-if="alpha < 1" :text="formats.rgba" label="RGBA" placeholder="RGBA" minHeight="60px" />
+      <ResultArea :text="formats.hsl" label="HSL" placeholder="HSL" minHeight="60px" />
+      <ResultArea v-if="alpha < 1" :text="formats.hsla" label="HSLA" placeholder="HSLA" minHeight="60px" />
+      <ResultArea :text="formats.hsv" label="HSV" placeholder="HSV" minHeight="60px" />
+      <ResultArea :text="formats.cmyk" label="CMYK" placeholder="CMYK" minHeight="60px" />
+
+      <!-- 明暗梯度 -->
+      <div class="flex flex-col gap-1.5">
+        <Label class="text-xs">明暗梯度</Label>
+        <div class="flex rounded-md overflow-hidden border border-border h-10">
+          <div
+            v-for="(s, i) in shades"
+            :key="i"
+            class="flex-1 flex items-center justify-center text-[10px] font-mono cursor-pointer"
+            :style="{ backgroundColor: s.color, color: i < 3 ? '#fff' : '#000' }"
+            :title="s.color"
+            @click="input = s.color"
+          >
+            {{ s.label }}
+          </div>
+        </div>
+      </div>
+    </template>
+    <p v-else-if="input" class="text-xs text-destructive">无法识别的颜色格式，支持 #hex / rgb() / rgba() / hsl() / hsla()。</p>
+  </div>
+</template>

src/modules/devtools/tools/CronTools.vue

@@ -0,0 +1,228 @@
+<script setup lang="ts">
+import { computed, ref } from 'vue'
+import { Input } from '@/components/ui/input'
+import { Label } from '@/components/ui/label'
+import ResultArea from '../components/ResultArea.vue'
+
+const expr = ref('*/5 * * * *')
+
+interface FieldMatcher {
+  /** 该字段是否为非通配（受限） */
+  restricted: boolean
+  match(v: number): boolean
+}
+
+function parseField(field: string, min: number, max: number): FieldMatcher {
+  const values = new Set<number>()
+  let restricted = false
+  for (const part of field.split(',')) {
+    const [rangePart, stepPart] = part.split('/')
+    const step = stepPart ? Number(stepPart) : 1
+    if (!Number.isFinite(step) || step < 1) throw new Error(`非法步长：${part}`)
+    let lo: number
+    let hi: number
+    if (rangePart === '*') {
+      if (!stepPart) {
+        // 纯通配：匹配任意值（不受限）
+        return { restricted: false, match: () => true }
+      }
+      lo = min
+      hi = max
+    } else if (rangePart.includes('-')) {
+      const [a, b] = rangePart.split('-').map(Number)
+      if (!Number.isFinite(a) || !Number.isFinite(b) || a < min || b > max || a > b) {
+        throw new Error(`非法范围：${part}（应在 ${min}-${max} 内）`)
+      }
+      lo = a
+      hi = b
+    } else {
+      const n = Number(rangePart)
+      if (!Number.isFinite(n) || n < min || n > max) {
+        throw new Error(`非法值：${part}（应在 ${min}-${max} 内）`)
+      }
+      lo = n
+      hi = n
+    }
+    restricted = true
+    for (let v = lo; v <= hi; v += step) values.add(v)
+  }
+  if (values.size === 0) throw new Error(`空字段：${field}`)
+  return { restricted, match: v => values.has(v) }
+}
+
+const FIELD_NAMES = ['分钟', '小时', '日', '月', '星期'] as const
+// 星期允许 0-7（0 与 7 均为周日）
+const FIELD_RANGES: Array<[number, number]> = [[0, 59], [0, 23], [1, 31], [1, 12], [0, 7]]
+const DOW_NAMES = ['日', '一', '二', '三', '四', '五', '六']
+
+/** 支持英文别名（星期/月份）与中文星期 */
+function normalizeExpr(s: string): string {
+  const DOW_MAP: Record<string, string> = {
+    sun: '0', mon: '1', tue: '2', wed: '3', thu: '4', fri: '5', sat: '6',
+    '日': '0', '一': '1', '二': '2', '三': '3', '四': '4', '五': '5', '六': '6'
+  }
+  const MON_MAP: Record<string, string> = {
+    jan: '1', feb: '2', mar: '3', apr: '4', may: '5', jun: '6',
+    jul: '7', aug: '8', sep: '9', oct: '10', nov: '11', dec: '12'
+  }
+  let out = s.trim().toLowerCase()
+  for (const [k, v] of Object.entries(MON_MAP)) {
+    out = out.split(k).join(v)
+  }
+  for (const [k, v] of Object.entries(DOW_MAP)) {
+    out = out.split(k).join(v)
+  }
+  return out
+}
+
+interface CronParsed {
+  minute: FieldMatcher
+  hour: FieldMatcher
+  dom: FieldMatcher
+  month: FieldMatcher
+  dow: FieldMatcher
+  domRestricted: boolean
+  dowRestricted: boolean
+}
+
+function parseCron(s: string): CronParsed {
+  const parts = normalizeExpr(s).split(/\s+/)
+  if (parts.length !== 5) {
+    throw new Error(`应为 5 个字段（分 时 日 月 周），当前 ${parts.length} 个`)
+  }
+  const [minute, hour, dom, month, dowRaw] = parts.map((p, i) => parseField(p, FIELD_RANGES[i][0], FIELD_RANGES[i][1]))
+  // cron 标准允许星期用 0-7，其中 0 与 7 均为周日
+  const dow: FieldMatcher = {
+    restricted: dowRaw.restricted,
+    match: v => dowRaw.match(v) || (v === 0 && dowRaw.match(7))
+  }
+  return {
+    minute, hour, dom, month, dow,
+    domRestricted: dom.restricted,
+    dowRestricted: dow.restricted
+  }
+}
+
+/** 标准 cron 语义：日 与 星期 都受限时，任一匹配即可 */
+function matches(p: CronParsed, d: Date): boolean {
+  if (!p.minute.match(d.getMinutes())) return false
+  if (!p.hour.match(d.getHours())) return false
+  if (!p.month.match(d.getMonth() + 1)) return false
+  const domOk = p.dom.match(d.getDate())
+  const dowOk = p.dow.match(d.getDay())
+  if (p.domRestricted && p.dowRestricted) return domOk || dowOk
+  return domOk && dowOk
+}
+
+function nextRuns(p: CronParsed, from: Date, n: number): Date[] {
+  const out: Date[] = []
+  const t = new Date(from.getTime())
+  t.setSeconds(0, 0)
+  t.setMinutes(t.getMinutes() + 1)
+  // 最多向前扫描 5 年（处理 2 月 29 日等罕见窗口）
+  const limit = new Date(from.getTime() + 5 * 365.25 * 24 * 3600 * 1000)
+  while (out.length < n && t < limit) {
+    if (matches(p, t)) out.push(new Date(t.getTime()))
+    t.setMinutes(t.getMinutes() + 1)
+  }
+  return out
+}
+
+const pad = (x: number) => String(x).padStart(2, '0')
+function fmt(d: Date): string {
+  const week = `周${DOW_NAMES[d.getDay()]}`
+  return `${d.getFullYear()}-${pad(d.getMonth() + 1)}-${pad(d.getDate())} ${pad(d.getHours())}:${pad(d.getMinutes())} ${week}`
+}
+
+const parsed = computed<{ runs: string[]; fields: string[] } | null>(() => {
+  const s = expr.value.trim()
+  if (!s) return null
+  try {
+    const p = parseCron(s)
+    const runs = nextRuns(p, new Date(), 6)
+    const fields = s.split(/\s+/)
+    return { runs: runs.map(fmt), fields }
+  } catch {
+    return null
+  }
+})
+
+const error = computed(() => {
+  const s = expr.value.trim()
+  if (!s) return ''
+  try {
+    parseCron(s)
+    return ''
+  } catch (e) {
+    return String(e instanceof Error ? e.message : e)
+  }
+})
+
+/** 人类可读的字段说明 */
+const fieldDesc = computed<string[]>(() => {
+  const s = expr.value.trim()
+  if (!s || error.value) return []
+  const fields = normalizeExpr(s).split(/\s+/)
+  return fields.map((f, i) => {
+    if (f === '*') return `${FIELD_NAMES[i]}：任意`
+    return `${FIELD_NAMES[i]}：${f}`
+  })
+})
+
+const EXAMPLES = [
+  { expr: '*/5 * * * *', desc: '每 5 分钟' },
+  { expr: '0 * * * *', desc: '每小时整点' },
+  { expr: '30 9 * * 1-5', desc: '工作日 9:30' },
+  { expr: '0 0 1 * *', desc: '每月 1 日零点' },
+  { expr: '0 12 */2 * *', desc: '每 2 天的 12:00' }
+]
+</script>
+
+<template>
+  <div class="flex flex-col gap-4">
+    <div class="flex flex-col gap-1.5">
+      <Label class="text-xs">Cron 表达式（分 时 日 月 周，支持英文/中文星期与英文月份）</Label>
+      <Input v-model="expr" placeholder="*/5 * * * *" class="font-mono text-sm" :class="{ 'border-destructive': !!error }" />
+      <div class="flex items-center gap-2 flex-wrap">
+        <button
+          v-for="ex in EXAMPLES"
+          :key="ex.expr"
+          type="button"
+          class="text-xs px-2 py-0.5 rounded border border-border text-muted-foreground hover:text-foreground cursor-pointer transition-colors"
+          @click="expr = ex.expr"
+        >
+          {{ ex.desc }}
+        </button>
+      </div>
+    </div>
+
+    <p v-if="error" class="text-xs text-destructive">{{ error }}</p>
+
+    <template v-if="parsed">
+      <div class="flex flex-col gap-1.5">
+        <Label class="text-xs">字段拆解</Label>
+        <div class="rounded-md border border-border divide-y divide-border text-xs">
+          <div v-for="(f, i) in parsed.fields" :key="i" class="flex gap-3 px-3 py-1.5">
+            <span class="w-12 shrink-0 text-muted-foreground">{{ FIELD_NAMES[i] }}</span>
+            <span class="font-mono">{{ f }}</span>
+            <span class="ml-auto text-muted-foreground">{{ fieldDesc[i]?.split('：')[1] ?? '' }}</span>
+          </div>
+        </div>
+      </div>
+
+      <div class="flex flex-col gap-1.5">
+        <Label class="text-xs">接下来 6 次执行时间</Label>
+        <div class="rounded-md border border-border divide-y divide-border text-xs font-mono">
+          <div v-for="(r, i) in parsed.runs" :key="i" class="px-3 py-1.5 flex gap-3">
+            <span class="text-muted-foreground w-4">+{{ i + 1 }}</span>
+            <span>{{ r }}</span>
+          </div>
+          <div v-if="parsed.runs.length === 0" class="px-3 py-2 text-muted-foreground">5 年内无执行时间（表达式可能过严，如 2 月 30 日）。</div>
+        </div>
+      </div>
+
+      <ResultArea :text="parsed.runs.join('\n')" label="执行时间列表（可复制）" placeholder="执行时间" />
+    </template>
+    <p v-else-if="!expr" class="text-xs text-muted-foreground">输入 5 段式 cron 表达式，自动计算接下来 6 次执行时间。</p>
+  </div>
+</template>

src/modules/devtools/tools/DiffTools.vue

@@ -0,0 +1,146 @@
+<script setup lang="ts">
+import { computed, ref } from 'vue'
+import { Textarea } from '@/components/ui/textarea'
+import { Label } from '@/components/ui/label'
+import ResultArea from '../components/ResultArea.vue'
+
+const oldText = ref('')
+const newText = ref('')
+
+type Op = 'equal' | 'del' | 'add'
+interface DiffLine {
+  op: Op
+  oldLine: string
+  line: string
+  newLine: string
+}
+
+// LCS DP 为 O(n·m)，行数过大会卡死 UI；超过上限停止计算并提示
+const MAX_LINES = 3000
+
+// 先裁剪公共前缀/后缀，LCS 只算中间差异部分（典型场景提速明显）
+function diffLines(a: string[], b: string[]): DiffLine[] {
+  const out: DiffLine[] = []
+  let start = 0
+  while (start < a.length && start < b.length && a[start] === b[start]) {
+    out.push({ op: 'equal', oldLine: a[start], line: a[start], newLine: b[start] })
+    start++
+  }
+  let endA = a.length, endB = b.length
+  while (endA > start && endB > start && a[endA - 1] === b[endB - 1]) {
+    endA--
+    endB--
+  }
+  const mid = lcsDiff(a.slice(start, endA), b.slice(start, endB))
+  // 后缀公共部分：a[endA..] 与 b[endB..] 逐行配对
+  const suffix: DiffLine[] = []
+  for (let i = a.length - 1; i >= endA; i--) {
+    const j = endB + (i - endA)
+    suffix.unshift({ op: 'equal', oldLine: a[i], line: a[i], newLine: b[j] })
+  }
+  return [...out, ...mid, ...suffix]
+}
+
+function lcsDiff(a: string[], b: string[]): DiffLine[] {
+  const n = a.length
+  const m = b.length
+  if (n === 0) return b.map(line => ({ op: 'add' as const, oldLine: '', line, newLine: '' }))
+  if (m === 0) return a.map(line => ({ op: 'del' as const, oldLine: line, line, newLine: '' }))
+  // LCS DP
+  const dp: number[][] = Array.from({ length: n + 1 }, () => new Array(m + 1).fill(0))
+  for (let i = n - 1; i >= 0; i--) {
+    for (let j = m - 1; j >= 0; j--) {
+      dp[i][j] = a[i] === b[j] ? dp[i + 1][j + 1] + 1 : Math.max(dp[i + 1][j], dp[i][j + 1])
+    }
+  }
+  const out: DiffLine[] = []
+  let i = 0
+  let j = 0
+  while (i < n && j < m) {
+    if (a[i] === b[j]) {
+      out.push({ op: 'equal', oldLine: a[i], line: a[i], newLine: b[j] })
+      i++
+      j++
+    } else if (dp[i + 1][j] >= dp[i][j + 1]) {
+      out.push({ op: 'del', oldLine: a[i], line: a[i], newLine: '' })
+      i++
+    } else {
+      out.push({ op: 'add', oldLine: '', line: b[j], newLine: b[j] })
+      j++
+    }
+  }
+  while (i < n) {
+    out.push({ op: 'del', oldLine: a[i], line: a[i], newLine: '' })
+    i++
+  }
+  while (j < m) {
+    out.push({ op: 'add', oldLine: '', line: b[j], newLine: b[j] })
+    j++
+  }
+  return out
+}
+
+const tooLarge = computed(() =>
+  oldText.value.split('\n').length > MAX_LINES || newText.value.split('\n').length > MAX_LINES
+)
+
+const lines = computed(() => {
+  if (tooLarge.value) return []
+  return diffLines(oldText.value.split('\n'), newText.value.split('\n'))
+})
+
+const stats = computed(() => {
+  let adds = 0
+  let dels = 0
+  for (const l of lines.value) {
+    if (l.op === 'add') adds++
+    else if (l.op === 'del') dels++
+  }
+  return { adds, dels }
+})
+
+const unifiedText = computed(() => {
+  if (lines.value.length === 0) return ''
+  return lines.value
+    .map(l => (l.op === 'add' ? '+' : l.op === 'del' ? '-' : ' ') + l.line)
+    .join('\n')
+})
+</script>
+
+<template>
+  <div class="flex flex-col gap-4">
+    <div class="grid grid-cols-2 gap-3">
+      <div class="flex flex-col gap-1.5">
+        <Label class="text-xs text-red-500">旧文本（删除 {{ stats.dels }} 行）</Label>
+        <Textarea v-model="oldText" placeholder="旧文本..." class="min-h-[140px] font-mono text-xs resize-y" />
+      </div>
+      <div class="flex flex-col gap-1.5">
+        <Label class="text-xs text-green-500">新文本（新增 {{ stats.adds }} 行）</Label>
+        <Textarea v-model="newText" placeholder="新文本..." class="min-h-[140px] font-mono text-xs resize-y" />
+      </div>
+    </div>
+
+    <div class="flex flex-col gap-1.5">
+      <Label class="text-xs">差异预览</Label>
+      <div class="rounded-md border border-border max-h-64 overflow-auto font-mono text-xs leading-relaxed">
+        <div v-if="tooLarge" class="p-3 text-destructive">文本超过 {{ MAX_LINES }} 行，差异计算已停止（LCS 算法复杂度 O(n·m)），请缩减输入。</div>
+        <div v-else-if="lines.length === 0 || (oldText === '' && newText === '')" class="p-3 text-muted-foreground">输入两边文本查看差异。</div>
+        <div
+          v-for="(l, i) in lines"
+          :key="i"
+          class="flex whitespace-pre px-2 py-0.5"
+          :class="{
+            'bg-red-500/10 text-red-600 dark:text-red-400': l.op === 'del',
+            'bg-green-500/10 text-green-600 dark:text-green-400': l.op === 'add',
+            'text-muted-foreground': l.op === 'equal'
+          }"
+        >
+          <span class="w-5 shrink-0 select-none">{{ l.op === 'add' ? '+' : l.op === 'del' ? '-' : ' ' }}</span>
+          <span class="break-all">{{ l.line }}</span>
+        </div>
+      </div>
+    </div>
+
+    <ResultArea :text="unifiedText" label="统一格式（可复制）" placeholder="unified diff" />
+  </div>
+</template>

src/modules/devtools/tools/EolTools.vue

@@ -0,0 +1,64 @@
+<script setup lang="ts">
+import { computed, ref } from 'vue'
+import { Textarea } from '@/components/ui/textarea'
+import { Label } from '@/components/ui/label'
+import Segmented from '../components/Segmented.vue'
+import ResultArea from '../components/ResultArea.vue'
+
+type Eol = 'CRLF' | 'LF' | 'CR'
+
+const target = ref<Eol>('LF')
+const input = ref('')
+
+const detectEol = computed<Eol | 'mixed' | 'none'>(() => {
+  const v = input.value
+  if (!v) return 'none'
+  // 注意：\r\n 中的 \n 也会命中 /\n/，必须用负向后顾排除 CRLF 中的 LF
+  const hasCrlf = v.includes('\r\n')
+  const hasLfOnly = /(?<!\r)\n/.test(v)
+  const hasCrOnly = /\r(?!\n)/.test(v)
+  if (!hasCrlf && !hasLfOnly && !hasCrOnly) return 'none'
+  if (hasCrlf && !hasLfOnly && !hasCrOnly) return 'CRLF'
+  if (!hasCrlf && hasLfOnly && !hasCrOnly) return 'LF'
+  if (!hasCrlf && !hasLfOnly && hasCrOnly) return 'CR'
+  return 'mixed'
+})
+
+const detectLabel: Record<string, string> = {
+  CRLF: 'CRLF（Windows）',
+  LF: 'LF（Unix / macOS）',
+  CR: 'CR（旧 Mac）',
+  mixed: '混合',
+  none: '未检测到换行符'
+}
+
+const output = computed(() => {
+  const v = input.value
+  if (!v) return ''
+  const sep = target.value === 'CRLF' ? '\r\n' : target.value === 'LF' ? '\n' : '\r'
+  return v.replace(/\r\n|\r|\n/g, sep)
+})
+</script>
+
+<template>
+  <div class="flex flex-col gap-4">
+    <Segmented
+      v-model="target"
+      label="目标行尾符"
+      :options="[
+        { value: 'CRLF', label: 'CRLF (\\r\\n)' },
+        { value: 'LF', label: 'LF (\\n)' },
+        { value: 'CR', label: 'CR (\\r)' }
+      ]"
+    />
+
+    <p class="text-xs text-muted-foreground">当前检测：<span class="font-medium">{{ detectLabel[detectEol] }}</span></p>
+
+    <div class="flex flex-col gap-1.5">
+      <Label class="text-xs">原文</Label>
+      <Textarea v-model="input" placeholder="在此输入..." class="min-h-[160px] font-mono text-xs resize-y" />
+    </div>
+
+    <ResultArea :text="output" placeholder="结果" />
+  </div>
+</template>