fix(review): second_pass 生命周期（panic 收尾/单飞/取消收敛）+ 采集孤儿清理 + 图类型白名单

Author: Aparencia

app/src-tauri/src/commands_asr_pass2.rs

@@ -101,7 +101,12 @@ fn run_second_pass(
     let mut inserted = 0usize;
     for (i, (start_ms, end_ms)) in windows.iter().enumerate() {
         if job.is_cancelled() {
-            let _ = app.emit("session:refine2:aborted", session_id);
+            // 取消：已完成的窗保留为 pending 草稿（重跑会清理）；payload 与
+            // 其余终态事件同构（对象含 sessionId——前端监听按对象消费）
+            let _ = app.emit(
+                "session:refine2:aborted",
+                serde_json::json!({ "sessionId": session_id }),
+            );
             return Ok(inserted);
         }
         let from = (*start_ms * sample_rate as u64 / 1000) as usize;
@@ -169,24 +174,46 @@ pub fn second_pass_start(
         return Err("未找到会话落盘音频（离线精修仅支持有 S4 音频的实时捕获会话）".to_string());
     }
     let job = Pass2Job::new();
+    // 单锁内原子“检查-注册”（审查 M4：防双击/跨窗口同跑）：
+    // 会话级防重 + 全局单飞（引擎池 ASR worker 串行，多会话并行只会互相排队）
     {
         let mut jobs = state.second_pass_jobs.lock().map_err(|_| "任务注册表锁中毒".to_string())?;
+        if jobs.contains_key(&session_id) {
+            return Err("该会话已有第二遍任务进行中".to_string());
+        }
+        if !jobs.is_empty() {
+            return Err("已有其他会话的第二遍在跑（引擎串行）——请先等待完成或取消".to_string());
+        }
         jobs.insert(session_id, job.clone());
     }
     let app = app.clone();
     let db = state.db.clone();
     let engines = state.engines.clone();
     let path = audio_path.clone();
+    // 线程内取消标志副本（run 移走 job 后 wrapper 仍需读取消态）
+    let cancel_flag = job.clone();
     let spawn = std::thread::Builder::new()
         .name("entropy-second-pass".into())
         .spawn(move || {
-            let result = run_second_pass(app.clone(), db.clone(), engines, path, session_id, job);
+            // panic 收尾（审查 M4）：catch_unwind 保证注册表清理与终态事件
+            // ——panic 永不残留 running 卡死态
+            let result = std::panic::catch_unwind(std::panic::AssertUnwindSafe(|| {
+                run_second_pass(app.clone(), db.clone(), engines, path, session_id, job)
+            }))
+            .unwrap_or_else(|_| {
+                Err("第二遍内部错误（panic）——已清理注册表，请重试".to_string())
+            });
             // 无论成败先移除运行标记（注册表与线程一一对应）
             if let Ok(mut jobs) = app.state::<AppState>().second_pass_jobs.lock() {
                 jobs.remove(&session_id);
             }
             match result {
                 Ok(n) => {
+                    // 取消路径已发 aborted——不再补发 done（避免“已取消”被覆盖闪烁）
+                    if cancel_flag.is_cancelled() {
+                        eprintln!("[SecondPass] 会话 {} 第二遍已取消（保留 {} 条已完成草稿）", session_id, n);
+                        return;
+                    }
                     let _ = app.emit(
                         "session:refine2:done",
                         serde_json::json!({ "sessionId": session_id, "proposals": n }),

app/src-tauri/src/commands_web.rs

@@ -100,19 +100,23 @@ fn capture_inner(st: &AppState, url: &str) -> Result<WebCaptureView, String> {
             kind: Some("web".to_string()),
         })
         .map_err(|e| e.to_string())?;
-    st.db
-        .insert_web_page(&WebPage {
-            session_id: session.id,
-            url: url.to_string(),
-            site: page.site.clone(),
-            author: page.author.clone(),
-            published: page.published.clone(),
-            markdown: if page.ok { page.markdown.clone() } else { String::new() },
-            raw_html: if page.ok { None } else { Some(html.clone()) },
-            extracted_ok: page.ok,
-            fetched_at: now,
-        })
-        .map_err(|e| e.to_string())?;
+    if let Err(e) = st.db.insert_web_page(&WebPage {
+        session_id: session.id,
+        url: url.to_string(),
+        site: page.site.clone(),
+        author: page.author.clone(),
+        published: page.published.clone(),
+        markdown: if page.ok { page.markdown.clone() } else { String::new() },
+        raw_html: if page.ok { None } else { Some(html.clone()) },
+        extracted_ok: page.ok,
+        fetched_at: now,
+    }) {
+        // 审查 M5：页面落库失败 → 清理孤儿会话（重试不产生重复/不可转笔记残留）
+        if let Err(clean_err) = st.db.delete_session(session.id) {
+            eprintln!("[WebCapture] 孤儿会话清理失败 {}: {}", session.id, clean_err);
+        }
+        return Err(format!("页面落库失败（已清理本次会话）: {}", e));
+    }
     // 会话域广播（列表即时可见）
     crate::notify::emit_changed(&st.app, crate::notify::DataDomain::Sessions);
     Ok(WebCaptureView {

app/src-tauri/src/commands_web_inbox.rs

@@ -306,12 +306,26 @@ fn ingest_from_extension(
     let mut markdown = p.markdown.clone();
     let notes_images = data_dir.join("notes-images");
     let _ = std::fs::create_dir_all(&notes_images);
+    let mut written_files: Vec<String> = Vec::new();
     for img in &p.images {
         if let Some(bytes) = crate::web_inbox::data_uri_bytes(&img.data_base64) {
             let mime = img.data_base64.split_once(';').map(|(m, _)| m).unwrap_or("data:image/png");
-            let ext = mime.rsplit('/').next().unwrap_or("png");
+            let raw_ext = mime.rsplit('/').next().unwrap_or("png").to_ascii_lowercase();
+            // 审查 L1：扩展名白名单映射（内容类型断言——禁止 svg+xml/.html 落盘）
+            let ext = match raw_ext.as_str() {
+                "png" | "apng" => "png",
+                "jpg" | "jpeg" => "jpg",
+                "gif" => "gif",
+                "webp" => "webp",
+                "bmp" => "bmp",
+                _ => {
+                    eprintln!("[WebInbox] 拒绝非白名单图片类型: {}", raw_ext);
+                    continue;
+                }
+            };
             let filename = format!("web-{}-{}.{}", session.id, crate::web_inbox::short_hash(&bytes), ext);
             if std::fs::write(notes_images.join(&filename), bytes).is_ok() {
+                written_files.push(filename.clone());
                 // 替换 md 中 `![name](data:...)` 引用为相对路径（编辑器同解析基座）
                 markdown = markdown.replace(
                     &format!("]({})", img.data_base64),
@@ -320,7 +334,7 @@ fn ingest_from_extension(
             }
         }
     }
-    db.insert_web_page(&WebPage {
+    if let Err(e) = db.insert_web_page(&WebPage {
         session_id: session.id,
         url: p.url.clone().unwrap_or_else(|| "".to_string()),
         site: p.site.clone(),
@@ -330,8 +344,16 @@ fn ingest_from_extension(
         raw_html: None,
         extracted_ok: true,
         fetched_at: now,
-    })
-    .map_err(|e| e.to_string())?;
+    }) {
+        // 审查 M5：页面落库失败 → 清理孤儿会话与本次已落图文件
+        for f in &written_files {
+            let _ = std::fs::remove_file(notes_images.join(f));
+        }
+        if let Err(clean_err) = db.delete_session(session.id) {
+            eprintln!("[WebInbox] 孤儿会话清理失败 {}: {}", session.id, clean_err);
+        }
+        return Err(format!("页面落库失败（已清理本次会话与图文件）: {}", e));
+    }
     if let Some(app) = app {
         crate::notify::emit_changed(app, crate::notify::DataDomain::Sessions);
     }

app/src/components/SecondPassPanel.tsx

@@ -119,8 +119,8 @@ export default function SecondPassPanel({ sessionId, onChanged, onClose }: Props
         setErr(`第二遍失败: ${e.payload.error}`);
         void reload();
       }),
-      listen<number>("session:refine2:aborted", (e) => {
-        if (e.payload !== sessionId) return;
+      listen<{ sessionId: number }>("session:refine2:aborted", (e) => {
+        if (e.payload.sessionId !== sessionId) return;
         setRunningMsg("已取消（已完成窗口保留为待裁决草稿）");
         void reload();
       }),