记忆：把 .workbuddy/memory 纳入版本控制

用户要求这份记忆跟着仓库走，而不是只留在本机。

.gitignore 里挡路的是 `.workbuddy/`。改成反忽略六行，并且**只放行 .md**：
别用 `!.workbuddy/memory/**`——它会把 memory 下任何文件都放行，本项目真发生过
`web.test.exe` 混进暂存。复核用 `git check-ignore -q --no-index` 逐条打靶：
memory/*.png、memory/sub/x.md、memory/MEMORY.md.bak、plans/a.md 全 IGNORED，
17 个 .md 全 included；`git add -An .workbuddy/` 恰好 16 个文件。
其余 .workbuddy 内容（计划、本地设置、临时产物）继续忽略。记忆里没有真凭据
（唯一命中是 2026-09-14.md 里的 `password=rond-admin`，那是项目默认口令）。

顺带做两件整理：

1. 取证了注入上限。以前按「字节数」判断 MEMORY.md 是否超限是错的：
   WorkBuddy 的 `getWorkingMemoryContent()` 用 `MAX_MEMORY_CHARS = 1e4` 比 JS
   `content.length`，即**字符数**（中文 1 字算 1）；超了 substring 截断、尾部静默丢失。
   本 details 与每日日志都不参与注入，只有 MEMORY.md 受约束。
   现已从 6604 字符收到上限的 66%，并把这条上限写进索引抬头。
2. 把「备份合并」「导出/恢复三条铁律」两段长文迁进 MEMORY-details.md 的卅一/卅二节，
   索引只留关键词指针。行尾统一为 LF（仓库 .gitattributes 是 `* text=auto eol=lf`）。

.gitignore

@@ -19,7 +19,15 @@
 # 原始备份
 /data/
 .workbuddy/
-.tmp-test/
+# 但「项目记忆」要跟着仓库走：那批判据与教训是给后续会话看的，不该只留在本机。
+# 其余 .workbuddy 内容（计划、本地设置、临时产物）继续忽略。
+# 注意：只放行 memory 下的 .md——**别写成 `!.workbuddy/memory/**`**，
+# 那会把误落盘的 png/exe 一起放行（本项目真发生过 .test.exe 混进暂存）。
+!.workbuddy/
+.workbuddy/*
+!.workbuddy/memory/
+.workbuddy/memory/*
+!.workbuddy/memory/*.md
 
 # 开发期的临时探针/抓取产物（不属于运行时）
 /tmpfog/

.workbuddy/memory/2026-09-14.md

@@ -0,0 +1,238 @@
+# 2026-09-14
+
+## rond-with-you：把 rond 备份变成足迹站点（从零建成可运行版本）
+
+### 背景
+用户提供 `data/20260914_151649.rondbackup`（3.4MB），要求做一个后台可上传该文件、
+前台展示足迹地图 / 类型 / 日期筛选的站点。技术栈由用户指定为 PostgreSQL（本地测试环境
+`postgres / 127.0.0.1:5432`），后端语言 Python 或 Go 自选。
+
+### 备份结构（已实测确认）
+`.rondbackup` 是 zip，内含 Core Data 库 `LifeEasy.sqlite` + `-wal` + `-shm`。
+**关键点：数据几乎全在 WAL 里**（主库 348KB / WAL 3MB），必须三个文件一起解出再打开，
+否则只能读到极少量记录。Core Data 时间戳基准为 2001-01-01 UTC。
+
+主要表与本次数据量：`ZVISIT` 824、`ZLOCATION` 323、`ZRAWVISIT` 2246、`ZMOVEMENT` 791、
+`ZACTIVITY` 30、`ZHOURLYWEATHER` 557、`ZTAG` 8、`ZTRANSPORT` 5、`ACHANGE` 4810（未导入）。
+标签关联表命名规则为 `Z_<实体号>TAGS_`，如 `Z_11VISITS_` = Visit↔Tag（11=Tag，18=Visit）。
+
+导入结果：823 条到访（跳过 1 条到达时间缺失的空记录）、323 地点、8 标签关联、791 位移、
+557 天气；跨度 2025-02-10 ~ 2026-09-13，估算里程 16861.9km，城市 9 座 / 省份 2 个。
+
+### 技术选型
+- Go 1.25 + 标准库 net/http + html/template（未引入 Web 框架）
+- PostgreSQL + `pgx/v5`；备份解析用纯 Go 的 `modernc.org/sqlite`（无 cgo）
+- 前端手写 CSS，Leaflet + markercluster 本地内置（无 CDN 依赖）
+- 口令 PBKDF2-SHA256（标准库 `crypto/pbkdf2`）；会话为 HMAC 签名 Cookie，
+  签名混入口令摘要前缀，改密即让旧会话失效
+
+### 踩过的坑（都已修复）
+1. `//go:embed static` 的资源路径相对包目录，原放在仓库根的 `web/` 下会编译失败，
+   已移动到 `internal/web/{templates,static}`。
+2. 地点查询用 `WHERE ... EXISTS (SELECT ... visits v` + `inner.SQL()[7:]` 拼接，
+   切片把 `WHERE` 关键字一起去掉了，导致 `SQLSTATE 42601`。改为 `inner.expr()` 并给
+   子查询占位符加偏移（`where.off`），避免与外层 `$1` 冲突。
+3. 模板函数 `dur` 形参写死 int64，而 `VisitRow.DurationMin` 是 int，渲染时报
+   "wrong type for value"，改成接受 `any`。
+4. 页面模板若共用 `templates/*.html` 一次性 ParseFS，各页 `{{define "content"}}`
+   会互相覆盖；改为每个页面与 layout 单独组成模板集。
+5. 月度图表只查有数据的月份，会把空档压缩掉；改为补齐成连续月份序列并标注年份。
+6. 移动端导航会折行撑坏布局，窄屏改为隐藏站点名、导航横向滚动、按钮文案缩短。
+   地图缩放/图层控件在窄屏改挂右下角，避免与全宽筛选面板重叠。
+
+### 环境备忘
+- `GOPROXY=https://goproxy.cn` 可用；`proxy.golang.org` 不通
+- jsdelivr 可下载前端库；高德瓦片 `webrd0X/webst0X.is.autonavi.com` 可直连
+- playwright-cli 通过 `npx --yes @playwright/cli@latest` 调用；**浏览器进程会在两次
+  bash 调用之间被回收**，open / goto / screenshot 必须放在同一次调用里
+
+---
+
+## 第二轮：地图偏移 + 重复导入 + 隐私默认 + 底图配置（P0/P1 收尾与回归）
+
+### 坐标结论（已实测，写进 README 了）
+rond 入库的 `ZLOCATION` / `ZRAWVISIT.ZLATITUDE` **本来就是 GCJ-02**，不是 WGS-84。
+证据两条：① 2246 个采样点「解析坐标 − 原始 GPS」中位差 lat −0.002823 / lon +0.004187，
+与 GCJ-02 理论偏移（−0.002825 / +0.004187）残差 0 米；② 与世界迷雾覆蓋比对，
+逆 GCJ→WGS 后命中率 92.3%，直接用原始值只有 32.8%。
+→ 高德 / 天地图这类 GCJ-02 底图**直接画，不要再纠偏**；只有 WGS-84 底图才做 GCJ→WGS 逆变换。
+旧代码对每个点都套了一次 `gcj()`，所以叠了约 1.1km 的双重偏移。
+
+### 底图配置
+`conf/app.ini`：`map_provider` = amap（默认免密钥）/ tianditu（需 `map_key`）/ custom
+（需 `map_tile_url` + `map_crs`）。填了 `map_key` 后瓦片走服务端代理 `/tiles/{layer}/{z}/{x}/{y}`，
+密钥不出现在页面源码；无密钥则浏览器直连。前端读 `/api/map-config` 拿 `crs` 决定要不要逆变换，
+切换底图时重新投影已有标记。
+
+### 本次修掉的三个 bug（都是实测复现过的）
+1. **瓦片代理子域写死 0** → 高德子域只有 01~04，`webrd00` / `wprd00` 根本不解析。
+   改为按 `(x+y)%count` 轮转，高德 1..4、天地图 0..7。代理模式实测 4 张瓦片全部 200。
+2. **`Stats.Skipped` 从未赋值**（`ingest.go` 构造 Stats 时漏了字段）→ 「已跳过 N 条」
+   与「内容完全重合」两个提示全是死代码。补上后实测提示正常。
+3. **`movements` INSERT 不写 `user_id`** → 位移永远无法去重（重导入 791 条变 1582 条），
+   且下次启动时迁移的回填 UPDATE 会撞上 `idx_movements_dedupe`，**整个站点起不来**
+   （`SQLSTATE 23505`，实测复现）。已补 user_id + `ON CONFLICT DO NOTHING`，
+   并把迁移里三个回填 UPDATE 各自包进 `EXCEPTION WHEN unique_violation`，保证迁移再也不会拖垮启动。
+
+### 数据集模型：已定「快照式」并落地（用户在两个方向里选了快照式）
+「自然键跨数据集全局去重」与「一次上传 = 一份完整数据集」互相矛盾：全局去重下，更新备份里的
+新记录只会落进未激活的数据集，页面上完全看不到（已实测：删 1 条后重导，新记录进了
+`is_active=f` 的数据集 #2，页面仍显示 822 条）。
+
+最终实现（快照式 B+）：
+- 一份备份 = 一份完整快照，行级唯一性只靠各表自带的 `UNIQUE (dataset_id, src_pk)`
+- `schema.sql`：`DROP INDEX idx_visits/movements/weather_dedupe`（迁移里清理旧索引），
+  `datasets` 加 `content_hash` 并建 `(user_id, content_hash)` 索引
+- `ingest.Import`：先按 `contentHash(b)`（到访自然键排序后 sha256）查重，命中就复用旧数据集
+  并返回 `Stats.Identical=true`；否则建新快照，最后 `UPDATE datasets SET is_active=(id=$1) WHERE user_id=$2`
+  让最新快照接管展示
+- `handlers_admin.go`：同 SHA 重复上传改为「已导入过，未重复导入」并顺手删掉刚落盘的文件
+  （顺带修了删除数据集不删上传文件的 P2）；提示语明确写「已切换为当前展示」
+- 回归全绿（一次性库实测）：首导 823 / 同文件复用 / 内容同字节不同的复用 / 含 1 条新到访的
+  备份 → 新快照 #2 824 条接管展示，页面上新记录可见
+- 已知小尾巴：存量数据集的 `content_hash` 是 NULL，无法识别与它的内容重复，只影响第一次
+  重传；后续上传正常
+- 交叉编译产物 `dist/rond-linux-amd64` 已同步重编
+
+### 回归验证配方（可复用，别动真实库）
+1. 建一次性库：`CREATE DATABASE rond_dedup_test`
+2. 写 `conf/app.test.ini` 指向它、`listen = :8090`、独立 upload/data 目录
+3. 首次启动自动建表并生成 `admin / rond-admin`
+4. `curl -X POST -d "username=admin&password=rond-admin" .../admin/login` 拿 cookie
+5. `curl -b <jar> -F "[email protected]" .../admin/upload`，提示语在 303 的
+   `Location` 头里（URL 编码，`urllib.parse.unquote` 解一下）
+6. 造「内容相同但摘要不同」的备份：用 python `zipfile` 按原条目重打包即可换 SHA
+7. 收尾：kill rond.exe → `DROP DATABASE` → 删 `conf/app.test.ini` 与测试目录
+
+### 其他备忘
+- `go build ... | head -20 && echo OK` 会**掩盖编译失败**（管道退出码来自 head），别这么判成功
+- Windows 上用 python 写 `/tmp/x` 会落到 `C:\tmp`（和 Git Bash 的 /tmp 不是一处），
+  尽量写项目内路径
+- 后台删除数据集只删 DB 行，`storage/uploads/` 里的原始文件会留在磁盘上（P2，待清理逻辑）
+
+### 世界迷雾叠加（已全部落地并验证）
+- `internal/fog`（fog.go 解码/编码、store.go 内存索引+Import(merge)、render.go 瓦片渲染）
+- 端到端：Go 解码与 Python 原型一致（52 tile / 8701 块 / 575753 格），编码回环无损（299112B）
+- 路由：`POST /admin/fog`（mode=overlay|cover）、`GET /admin/fog/export`、`GET /tiles/fog/{z}/{x}/{y}?crs=`
+- 前端：mapConfig 下发 fog 统计，rond-map.js 图层控件加「世界迷雾」，切底图自动换 crs 重拉
+- 渲染两坑：① 低缩放级按全球块范围双循环 = z0 卡死 43 亿次 → 改为遍历块表+粗裁剪
+  ② `image.RGBA` 是预乘 alpha，直写颜色被 png 编码器除回 alpha 变绿 → 用 `image.NRGBA`
+- 对齐验证：足迹点 WGS 格位图已点亮；gcj02 渲染像素与足迹点像素偏差 0.0px（数学）；
+  z15 近景合成图迷雾沿道路分布、红点落在迷雾格上（视觉）
+- 测试：overlay 删块恢复 ✓、cover 清空重导 ✓、导出→再导入格数不变 ✓
+- 测试配置留在 `conf/app-test.ini`（已 gitignore）；主站 8080 还是旧二进制，重启后才有迷雾功能
+- 19:07 主站已用新二进制重启（后台任务），真实库迁移出 fog_blocks ✓，fog 瓦片/配置接口正常；
+  真实库尚未导入迷雾，等用户在后台传 .fwss
+- 整体检查：build/vet 零问题；仓库历史文件是 CRLF 行尾（gofmt 全文件 diff），只有 internal/fog
+  做了 gofmt；fog.go 里多余的 filepath_Base 已换成 filepath.Base
+
+### P1+P2 六个功能（19:18-19:38 全部落地并冒烟通过）
+- 迷雾覆盖统计：fog.CellOf/AreaKm2/Index.CellLit + web/fogCoverage，stats 页新区块；
+  坑：SQL 少写一列但 Scan 五个目标 → 静默返回 nil（区块不显示），已修
+- 行程轨迹：/api/track（movements+places 起终点，5000 段上限），map.html 行程轨迹开关，
+  rond-map.js setTrack，随底图坐标系重投影
+- 到访热力：vendor leaflet-heat.js（unpkg 0.2.0），map.html 热力开关 + setHeat，权重=到访次数
+- 年度报告：/report?y=，Nav 新增「报告」，report.html（KPI+城市榜+南北两端+交通）
+- 数据导出：/admin/export/places.{geojson,gpx}，全量地点含家/工作（站长本人数据），
+  GCJ-02 原样导出并在 properties 注明 crs
+- PWA：manifest.webmanifest + PIL 生成的爪印图标 192/512 + layout head meta
+- 验证：测试库（rond_exp_test，已删）验导出 323 features/323 wpt、迷雾覆盖 47.8km²、
+  河池 43/93 等；主站 6 条路由全 200
+- 所有 Go 文件已 gofmt（含 LF 行尾归一，为将来 git init 首提交做准备）
+
+### 三个增强功能（20:00-20:45 全部落地并验证，主站 8080 已用最终二进制重启）
+- **OSM 免密钥兜底**：高德瓦片 tileerror≥8 次前端自动切 OSM + toast； clarification：Leaflet 是渲染库
+  不是瓦片源，高德本来就是免 key 直连默认底图
+- **公开页面开关**：settings 保存 `pages`（map/places/timeline/stats/report），guardPage 中间件
+  对匿名访客 404，管理员放行，导航同步隐藏；实测 anon /stats=404、admin /stats=200
+- **TOTP 两步验证**（internal/auth/totp.go + handlers_admin.go）：RFC 6238 HMAC-SHA1 30s ±1 窗口；
+  两步登录中间令牌 `2fa|uid|exp|mac`（绑定口令摘要，改密失效，5 分钟）；关闭 2FA 也要求新鲜验证码。
+  全流程实测通过：绑定→确认→登出→密码登录→动态码→/admin 200；负例（错码/篡改令牌）均被拒；
+  关闭后登录免第二步 ✓
+- **两个坑**：① TOTP 计数器曾用 `t.Unix()/int64(30*time.Second)`（除以 300 亿），改 `unixSec/30`；
+  ② login2FA 曾用 `SplitN(pending,"|",2)[0]` 取 uid（取到的是 "2fa" 前缀），改 `parts[1]`
+- **测试方法坑（重要）**：html/template 会把属性值里的 `+` 转义成 `&#43;`（防 UTF-7），curl 从 HTML
+  抠隐藏字段直接回传会验签失败——浏览器会解码实体，这不是产品 bug。测试脚本要先 `sed 's/&#43;/+/g'`
+- 验证用测试账号：首次启动自动生成 admin/rond-admin（README 有写）
+- 清理：rond_2fa_test 库已 DROP、conf/app-2fa.ini 与 .tmp-test/2fa 已删；conf/app-test.ini 保留
+  （gitignored，回归配方用）
+- venv 的 python.exe 在 `envs/<name>/Scripts/python.exe`（不在根目录），用户记忆里写的 sss 环境可用
+
+
+### 口令重置（21:05）
+- 主站真实库（rond_with_you）的 admin 口令早已改过，默认 rond-admin 只对空表新库生效
+  （EnsureDefaultUser 见 users 非空即跳过）；用户忘了旧口令，用项目内 auth.HashPassword 写了一次性
+  重置程序（.tmp-test/resetpw，用后已删）把口令恢复为 rond-admin，curl 实测登录 303→/admin 200 ✓
+- 改口令会同时让旧会话失效（session MAC 混入口令摘要前缀）——实测无异常
+- 遗留建议（P2，未实施，等批准）：默认账号首次登录时页面没有任何「请修改默认口令」的提示，
+  README 有写但站点不强制；可考虑 EnsureDefaultUser 建的账号加个首登 flash 提示
+
+### 默认口令警示 + 迷雾后台管理增强（22:30-22:45，主站已重启生效）
+- adminHome 检测 admin 口令仍为 rond-admin 时，后台首页顶部渲染警示条（含改密/2FA 链接）；
+  实现：AdminData.DefaultPW = auth.VerifyPassword(p.User.Hash, "rond-admin")，仅后台首页每次渲染时验证一次
+- 迷雾卡片增强：空态引导（尚未导入提示）、块/格/估算面积/最近更新时间（fog_blocks.max(updated_at)，
+  sql.NullTime + 模板函数 dtt 接受 *time.Time）、「清空迷雾」按钮（POST /admin/fog/clear，confirm 后
+  DELETE FROM fog_blocks + fogResetIndex() 换掉内存单例索引）
+- 模板函数注意：text/template 调函数时指针参数不会自动解引用，可空时间字段要么加 *T 版本函数，
+  要么模板里 if 判空后用 deref
+- 安全全链路实测：导出(299112B)→清空→空态→cover 重导→8701 块/575753 格/47.8km² 完整还原，瓦片 200
+- 用户真实库迷雾是用户 22:26 自己在后台导入的（说明迷雾 UI 其实可用，只是缺状态展示让人困惑）
+
+### 迷雾可视化 A+C + 传输层性能优化（23:50-00:25，主站已重启生效）
+- 迷雾配色改高对比：填充 #307ae0 a=132、边界 #103484 a=232；render.go 改为两遍渲染
+  （先填 mask，再按四邻域判定填充/描边），瓦片外邻格按「已探索」处理以免接缝处出现网格伪影。
+  实测贵阳 z12 瓦片：填充 5572px / 轮廓 663px ✓
+- 前端加「迷雾浓度」滑杆（L.Control + localStorage rond.fogOpacity，默认沿用图层 opacity 0.9）
+- 性能：新增 internal/web/gzip.go（gzip 池 + 首字节判 content-type，PNG 透传）；
+  assets.go 计算静态文件哈希作 assetVersion，cacheStatic 对 ?v=匹配者给 immutable 一年；
+  /map 不再内联 points（58.6KB→12.5KB，gzip 3.1KB）改走 /api/points；leaflet-heat 改为
+  首次勾选热力图时动态加载（ensureHeat）
+- 实测：/stats 38.3→5.4KB、/api/track 38.9→6.7KB、/report 6.3→2.0KB
+- 坑：模板函数传 *time.Time 不会自动解引用（另见上条）；server.go 里 gzip 是包级函数不是 Server 方法
+
+### 访客可见区域白名单 + 地点别名/备注（01:00-01:30，主站已重启生效）
+- 区域白名单：setting.Settings.Regions（省/市/区任意层级）；stats.Filter.Regions 在 visitsWhere 里
+  生成三段 IN 条件（province/city/district 各一份占位符）；filterOf 里仅 `!p.IsAdmin()` 时注入，
+  因此地图/地点库/时间线/统计/报告全站生效、管理员全量。
+  实测：设「贵阳市」→ 匿名 73 点全为贵阳，管理员 283 点 ✓（测完已清空）
+- 地点备注：新表 place_notes(user_id, src_pk, alias, note)，按 src_pk 而非 places.id 存，
+  重传备份不丢；internal/notes 包（All/Save，空则删记录）。Place 加 SrcPK/Alias/Note 三个字段，
+  placeCols 末尾追加 p.src_pk（scanPlace 同步）
+- 显示约定：别名对外替代原名（applyNotes 里直接改 Name，各页面/地图气泡自动生效），
+  备注仅管理员可见（applyNotes 传 admin 标志）
+- 坑：applyNotes 传切片，单地点场景必须 `ps := []stats.Place{place}; ...; place = ps[0]`，
+  直接传字面量切片改不到原值
+- 后台设置页新增「访客可见区域」textarea（一行一个），保存时按行 trim 去空
+
+### 备注可见性开关 + 后台备注管理页（01:25-01:35，主站已重启生效）
+- setting.Settings.NotesPublic（notes_public，默认 false）；applyNotes 参数由 admin 改为 showNote
+  = p.IsAdmin() || p.Settings.NotesPublic，别名始终对外、备注按开关
+- 新增 GET /admin/notes（notesPage + templates/admin/notes.html）：LEFT JOIN places 取地点名/城市/到访数，
+  支持 ?q= 搜索（别名/备注/地点名 ILIKE），每行就地保存/删除（删除=提交空值，Save 会自动删记录），
+  按 Referer 判断保存后回管理页还是后台首页
+- 后台首页导航与地点详情页都已挂入口
+- **事故与修复**：用 curl 单字段 POST /admin/settings 测区域白名单时，未提交 pages 字段导致
+  「公开页面」被清空（/map 等全部 404）。教训：settingsSubmit 是整体覆盖，任何脚本化测试都必须
+  把 pages/modules 等字段一并回传；已用全字段 POST 恢复
+- Git Bash 里 `curl -o /dev/null` 偶发 exit 23（写入失败），改成 -o 文件更稳
+
+### 四个增强功能 F1–F4（20:5x 收尾，主站已重启实测）
+- F1 出行方式配色：apiTrack 返回 `modes` 图例（空方式归「步行/其他」灰色 #8e8e93），
+  rond-map.js 渲染图例；实测 `modes:[步行/其他 370, 电🐔 317, 地铁 22, 高铁 21, 公交 17, 火车 9]`
+- F2 城市级聚合 + 首次到达里程碑：
+  - 地图 `/api/cities` 按城市聚合到访/时长/首次(last)日期，圈大小随到访量；已剔除家/工作
+  - 报告页「🏅 首次到达的城市」里程碑：firstArrivalCities 查「有史以来首次到访落在本年」的城市
+    （HAVING min(arrival) in [from,to)），按日期升序；区域白名单对访客同样生效
+  - **实测发现并修复的 bug**：apiCityAgg 原 SQL 写 `AND NOT p.is_home AND NOT p.is_work`，
+    但 is_home/is_work 是 visits 列、places 表没有 → `SQLSTATE 42703` 直接 500。
+    改为 `NOT EXISTS (SELECT 1 FROM visits vh WHERE vh.place_id=p.id AND (vh.is_home OR vh.is_work))`
+  - 报告页已验证 2025 年出现里程碑、/api/cities 返回 9 城带 first/last 日期
+- F3 年度报告长图/PDF 分享：ReportData 加 Cities []CityMilestone；报告页加「复制链接」(`navigator.share`
+  优先、否则 clipboard) + 「保存为 PDF」(`window.print()`)，app.css 加 `@media print` 隐藏导航/页脚/按钮、
+  卡片 break-inside:avoid。注：长图用浏览器打印生成 PDF（未接 html2canvas），README 已注明该取舍
+- F4 从 GPX 补充轨迹：internal/gpx 解析 trk/trkseg/rte（WGS-84）；adminGpxUpload 存 gpx_tracks，
+  apiGpx 按 crs=gcj02 把 WGS-84 转 GCJ-02 对齐高德底图；地图橙色叠加
+  - **修复**：gpx.Parse 原来 `if len(out)>0 return` 在已有 trk 时直接返回、丢掉 rte；改为 trk 与 rte 都追加
+  - 实测：登录 admin/rond-admin → 上传含 trk+rte 的测试 gpx → /api/gpx 返回两条轨迹（测试数据已删除）
+- 验证手段：`go build` + `go vet` 全过；主站后台起、curl 实测各 API 与报告页；测试轨迹上传后清理
+- README 已把 F1–F4 从「后续可以做的」挪到已实现章节，并补 GPX/城市聚合/报告分享说明

.workbuddy/memory/2026-09-15.md

@@ -0,0 +1,613 @@
+# 2026-09-15
+
+## rond-with-you：修复静态资源被截断（ERR_CONTENT_LENGTH_MISMATCH）
+
+### 现象
+浏览器控制台大量报错，页面样式/脚本失效：
+```
+GET /static/vendor/leaflet/leaflet.css?v=... net::ERR_CONTENT_LENGTH_MISMATCH 206 (Partial Content)
+GET /static/css/app.css?v=...              net::ERR_CONTENT_LENGTH_MISMATCH 206
+GET /static/js/rond-map.js?v=...           net::ERR_CONTENT_LENGTH_MISMATCH 206
+Manifest: Line 1, column 1, Syntax error.
+Uncaught TypeError: Cannot read properties of undefined (reading 'preview')   ← home.html 里 window.rondMap.preview(...)
+```
+
+### 根因（两层，缺一不可）
+gzip 中间件（internal/web/gzip.go）与 `http.FileServer` 冲突：
+1. **206 层**：浏览器对 `immutable` 缓存的静态资源会发 `Range` 请求 → `http.FileServer` 返回 206 并自带
+   `Content-Length`；gzip 无法在首部提交后再改长度 → 长度不符，文件被截断。
+2. **200 层（更隐蔽）**：`http.FileServer`(`serveContent`) 对**任何**请求都是 **先设 `Content-Length`、
+   再显式调用 `WriteHeader(200/206)`、最后才写 body**。原 `gzipWriter` 没有覆盖 `WriteHeader`，
+   所以 `WriteHeader(200)` 已经把 `Content-Length: <未压缩长度>` 提交出去；等到 `Write` 里才
+   `Set("Content-Encoding","gzip")` + `Del("Content-Length")` 全都太晚 → 响应既没有 Content-Encoding、
+   又声明了未压缩长度，body 却是 gzip → 浏览器按声明长度读不到那么多字节 → 截断。
+   （动态页面 `s.render`/`s.json` 不显式 WriteHeader、也不设 Content-Length，所以一直是好的——
+   这解释了「页面 HTML 正常、静态 CSS/JS 全坏」。之前重编译后 `?v=` 哈希变化强制重新拉取才暴露。）
+
+### 修复（internal/web/gzip.go）
+- **给 `gzipWriter` 增加 `WriteHeader` 覆盖**：在首部提交*之前*决定压不压。
+  只有 `200` 且 `compressible(Content-Type)` 才设 `Content-Encoding: gzip` + `Del Content-Length`；
+  `206/304/404/500` 等一律原样透传（自带长度语义，不能压）。
+- `Write` 路径保留「无显式 WriteHeader 时按首字节推断 Content-Type」的逻辑；`gz` 改懒初始化。
+- `gzipHandler` 额外加一道 `Range != ""` 直接透传的守卫（双保险）。
+
+### 验证（curl 实测，全部通过）
+- 普通静态请求：`200 + Content-Encoding: gzip`、**无 Content-Length**、body 解压后 = 完整 21587B ✓
+- Range 请求：`206`、`Content-Length: 100` = 实际 100B、无 Content-Encoding ✓
+- `curl --compressed` 全量拉 app.css = 14643B（完整）✓；manifest 解压后是合法 JSON ✓
+- PNG 图标：`200 + image/png + Content-Length: 1492`、无 Content-Encoding（透传未被压）✓
+- 首页 `--compressed` = 99259B 完整 HTML；`/ /map /report /stats /places /timeline /api/cities /api/track` 全 200 ✓
+
+### 教训
+Go 里做 gzip 中间件，**必须覆盖 `WriteHeader`**，否则任何「先 WriteHeader 再写 body」或
+「显式设置 Content-Length」的 handler（典型如 `http.FileServer`/`http.ServeContent`）都会踩坑。
+压缩决策要在首部提交前完成，不能拖到第一次 `Write`。
+
+---
+
+## 推荐 / 踩雷 投票 + 备注批量管理（A/B/C 三批次，均实测）
+
+### 需求 & 决策（用户拍板）
+- 备注与「踩雷 / 推荐」分开：踩雷/推荐改成按钮式，统计里单独计。
+- 投票主体：**站长官方结论 + 访客投票计数并存**；展示：**详情 + 地点库 + 地图**；
+  备注管理：**改为「全部地点可编辑」**（含新增 / 批量）。
+
+### 数据模型（internal/db/schema.sql）
+- `place_votes(user_id, src_pk, verdict, updated_at)`：站长结论，verdict 1 推荐 / -1 踩雷，单值。
+- `place_visitor_votes(src_pk, voter_key, vote, updated_at)` PK(src_pk, voter_key)：访客一人一票。
+- 都按 src_pk 存（与 place_notes 一致），换快照不丢。
+
+### 批次 A：投票后端 + 详情页卡片
+- 新包 `internal/votes`：Verdicts/Verdict/SaveVerdict、Tallies/Tally、Voter、Cast
+  （Cast 逻辑：没投过→插入；投同一票→**撤销**；投另一票→改票）。
+- `internal/web/handlers_vote.go`：`voterKeyFromRequest` / `ensureVoterKey`（cookie `rond_voter`
+  + IP 一起 sha256 取前 16 字节作 voter_key，清 cookie 也认同一来源，轻度防刷）；clientIP 取 XFF。
+  `apiVotes`(GET /api/votes)、`apiVote`(POST /api/vote)、`adminPlaceVote`(POST /admin/place/vote)。
+- setting 加 `MarksPublic`（marks_public，默认 true）+ 设置页勾选项。
+- 详情页 place.html：备注卡片下独立「推荐 / 踩雷」卡片；站长区是**表单**（提交即刷新，无需 JS），
+  访客区是 AJAX 投票（就地刷新票数）；备注框删掉「踩雷还是推荐」占位文案。
+- 实测：匿名看不到站长控件、管理员可标结论、访客投票 up→撤销→down 正确。
+
+### 批次 B：地点库 / 地图 / 统计
+- `stats.Filter` 加 `Verdict`，`stats.Places` 用 `EXISTS(place_votes ...)` 支持按结论筛选
+  （占位符接在内层条件之后，args 复用）。
+- `stats.Place` 加 Verdict/Up/Down；`web.attachVotes` 查询后填充（按 src_pk）。
+- Page 加 Verdict 字段 + filterPairs + `VerdictLink`；places.html 加标记筛选 chips + 行内徽章。
+- MapPoint 加 `sp/vd/u/dn`（omitempty）；rond-map.js popup 显示结论与票数。
+- stats.html 加「推荐 & 踩雷」区块（VoteRec/VoteAvoid/VoteUp/VoteDown + 两个榜单）。
+- 实测：列表徽章、?verdict=±1 筛选、统计区块、api/points 字段全部正确。
+
+### 批次 C：备注管理页重写
+- 数据源从 place_notes 改为「places LEFT JOIN place_notes LEFT JOIN place_votes」，
+  筛选 q/status(all|has|none)/city/sort(visit|note|talk|name) + 分页(50/页)；
+  底部单列「孤儿备注」（src_pk 已不在当前数据集）。
+- NotesData 加 Orphans/CityOptions/Status/City/Sort/BackURL + `PageLink` 方法（保留筛选）。
+- 端点：`POST /admin/notes/bulk`（action=delete|clear|verdict）；notes 存储加 `SetNote`(保留别名) / `Delete`。
+- notes.html 重写：**关键点**——批量复选框用 `form="bulk-form"` 关联到独立的批量表单，
+  避免「批量表单」与「每行编辑表单」嵌套（HTML 不允许嵌套 form）；行内保存/打标用同一表单 +
+  `formaction` 分流到 /admin/place/note 或 /admin/place/vote。
+- adminPlaceNote 优先用表单 `next`（带完整筛选）回跳，其次 Referer。
+- 实测：323 地点全列出、status=has/none 筛选、行内保存、批量设置结论/清空备注(保留别名)/删除 全部正确。
+
+### 踩坑
+- 嵌套 `<form>` 不合法：用 HTML5 `form="id"` 属性把行内复选框关联到外部批量表单，可绕开。
+- `omitempty` 会让 0 值字段（vd/u/dn）从 JSON 消失，grep 校验时要注意，别误判为没数据。
+- 内网 Git Bash `curl -o /dev/null` 在多命令 `&&` 链里偶发 exit 23 中断后续命令，改用 `-o 文件`。
+
+---
+
+## 投票前移到地图气泡 + 备注只读展示 + 备注保存回跳（实测通过）
+
+### 需求（用户原话要点）
+1. 点赞/点踩直接放到地图上点开的那个气泡里，属快速交互，不必再进详情页。
+2. 地图气泡：**登录时显示「我的结论」**（站长的 👍/👎），**未登录显示「大家怎么说」**（票数）。
+3. 顺带解决：在详情页输入备注但未提交时去点点赞点踩，会把备注框内容冲掉。
+4. 备注内容要能在气泡里直接看到（只读，不用编辑）。
+5. 提交备注后跳到 `/admin?ok=备注已保存`，与来源页无关，要跳回原处。
+
+### 实现
+- **后端**
+  - `MapPoint` 加 `Note string json:"note,omitempty"`，`toPoint` 带上 `p.Note`（备注是否可见仍由
+    `applyNotes(..., IsAdmin || Settings.NotesPublic)` 把关，访客在 `notes_public=false` 时拿不到）。
+  - `votes.VoterAll(ctx, voterKey) map[int]int`：一次取回该访客投过的全部票，供地图标「我投的」。
+  - `votePayload` 加 `Admin` / `Public` 两个布尔；`apiVotes` 填充（`userFrom(ctx)!=nil` 为 admin）。
+    前端据此决定气泡里渲染「我的结论」还是「大家怎么说」，不用在页面里另塞全局变量。
+  - 新增 `POST /api/verdict`（`requireAdmin` → `apiVerdict`）：气泡里 AJAX 设站长结论，不刷新页面。
+    *注意*：handler 用 `r.PostFormValue`，参数必须走 **POST body**（`ParseForm` 不把 query 并进 PostForm）。
+- **前端 `rond-map.js`**
+  - 新增模块级 `voteData/voteMeta/voteLoad` + `loadVotes()`：进地图取一次 `/api/votes`，
+    气泡渲染时同步查表，不为每个点单独发请求；到货后 `repaintVotes()` 刷新已打开的气泡。
+  - `popup(p, vote)` 改为**构造 DOM 节点**；`bindPopup(function(){ return popup(p, vote); })` 用函数式内容
+    （已验证 vendored leaflet 支持 `_content?this._content(this._source||this...)`），这样每次打开都重算
+    「我投的」，避免字符串闭包里的陈旧票数。
+  - 气泡结构：`.mp > .mp-n / .mp-m / .mp-note(white-space:pre-line 只读直出) / .mp-foot` +
+    `.mp-vote`（`.mp-vl` 标签 + `.mp-vb` 按钮）。管理员点已选中按钮 = 取消（`verdict=0`）。
+  - `markers(points, crs, useCluster, vote)` 多一个 `vote` 参数，`state4` 存 `this.vote` 并透传给
+    `apply()`，`setPoints` 也传 true —— **切底图坐标系重画标记时必须带上**，否则表决区会消失。
+- **详情页 `place.html`**
+  - 备注表单加 `<input type="hidden" name="next" value="/places/{{.Place.ID}}">` → 保存后跳回本页
+    （`/places/49?ok=备注已保存`），并在卡片里渲染 `.Flash`（`placePage` 只在 IsAdmin 时读 `?ok=`）。
+  - 站长结论从「表单提交」改为 AJAX（`POST /api/verdict`）：原来提交会整页刷新，把没保存的备注冲掉，
+    这正是需求 3 的根因。
+  - 删掉不再使用的 `.vote-form` CSS。
+- 顺手修：`full()` 原本没有 `return`，`map.html` 里 `window.__map = window.rondMap.full(...)` 一直是
+  `undefined`（虽无人读）。现在 `full()` 返回 Leaflet map。
+
+### 验证（本机 Chrome + CDP 真实点击，非静态推断）
+- 管理员：气泡显示备注「测试」+「我的结论」+ `👍 推荐[选中]`；点 👎 → 气泡立即变 `👎 踩雷[选中]`，
+  `/api/votes` 变 `{"49":-1}`；点 👍 回到 `1`。无 JS 报错。
+- 访客（清 cookie）：`admin:false`，气泡显示「大家怎么说」`👍0 👎1`；点 👍 → `👍1[选中]`，再点 → 撤回 `👍0`。
+  备注 `noteText=None` —— `notes_public=false`，访客确实拿不到，符合预期。
+- curl 侧：备注保存 303 → `Location: /places/49?ok=备注已保存`；匿名 `POST /api/verdict` 被 requireAdmin 拦（303）。
+
+### 环境经验（踩坑）
+- **`agent-browser` 在本机卡死**（`open` 挂了 7+ 分钟无输出，估计要 `agent-browser install` 下 Chromium）。
+  更省事的路子：本机 Chrome 已装，直接起
+  `chrome.exe --headless=new --remote-debugging-port=9333 --remote-allow-origins=* --user-data-dir=<tmp>`
+  再用 Python `websocket-client` 走 CDP（`Runtime.evaluate` / `Network.setCookie` / `Page.navigate`）。
+  必须加 `--remote-allow-origins=*`，否则 WS 握手 403。
+- 测试脚本要**轮询等待**而不是固定 sleep：`setView(17)` 让聚合散开后 `openPopup()` 才有效，
+  并且要重试直到 `.leaflet-popup .mp` 真的出现在 DOM 里（否则偶发抓不到气泡）。
+
+### rond 备份备注 → 地点备注（回填，实测通过）
+- 取证：rond 的备注在 `ZVISIT.ZREMARK_` → `visits.remark`，**per-visit**。当前活动数据集 14 条、
+  覆盖 12 个地点（`src_pk=286`「上班」3 条：拿快递 / 充电 / 充电）；`place_notes` 本来只有 1 行。
+- 用户拍板：① 多条**全部保留，每条一行带日期**（去重）；② 覆盖但**旧内容追加在后面**；
+  ③ **导入时自动 + 备注页手动按钮**。
+- 落地方案：**单独一列 `place_notes.rond_note`** 存回填结果。
+  这是唯一能同时满足「幂等 + 不销毁手写内容 + rond 在前」的做法：回填只重写这一列，
+  手写 `note` 一个字都不动，展示时 `joinNote(rond, hand)` 按「rond + 空行 + 手写」拼接。
+  （若直接往 `note` 里追加，每次重跑都会把上一次的结果再追加一遍，无限膨胀。）
+- `notes.BackfillRond(ctx, userID, datasetID)`：
+  - 汇总 SQL 两层去重——`DISTINCT (src_pk, line)`，`line = to_char(arrival,'YYYY-MM-DD') || ' ' || btrim(remark)`，
+    再 `string_agg(line, E'\n' ORDER BY day, line)`。同一天写的同一句只留一条。
+  - 顺带把「备注已从 rond 删掉」的地点清空（幂等），且**限定在本数据集的地点内**：
+    `dataset_id` 不合法时子查询为空 → 一行都不动，不会误清别的数据集。
+  - 不写 `updated_at`（那是手写备注的编辑时间）。日期用**完整 YYYY-MM-DD**：数据跨 2025/2026，MM-DD 会歧义。
+- `notes.Save`：两者都空时不再无条件删行——先 `DELETE ... AND rond_note=''`，再
+  `UPDATE SET alias='',note=''`。这样批量「清空备注」不会把 rond 那一块一起清掉。
+- `web.applyNotes` 用 `joinNote` 拼装展示值（详情页/地点库/地图气泡/接口都走这里）。
+- `notesPage`：搜索加 `n.rond_note ILIKE`；`status=has|none` 与 `HasNote` 都把 `rond_note` 算进去。
+  行内多一块 `来自 rond：...`（`.note-block`，`white-space: pre-line`）。
+- 触发点：`adminUpload` 导入成功后回填（并在 flash 里报「已从 rond 备注回填 N 个地点」）、
+  `adminActivate` 切换数据集时重算、`POST /admin/notes/rond` 手动按钮。
+- `PlaceData` 拆成 `MyNote`（编辑框里的手写内容）+ `RondNote`（只读展示），
+  详情页站长卡片把 rond 那一块单独列在表单上方——**否则编辑框里会看到拼好的全文，一保存就把 rond 行也写进手写备注**。
+- 实测：手动回填 → 12 个地点；`286` = `2026-08-22 拿快递\n2026-08-23 充电`（重复的「充电」已去重）；
+  重跑幂等；手写备注 `和室友一起去的` 保留且排在后（`2025-07-19 拍日月塔\n\n和室友一起去的`）；
+  浏览器实测：气泡 `white-space: pre-line`、2/3 行正确渲染，详情页编辑框只含手写内容、`next` 回跳本页。
+- 遗留：`place_notes` 里 `src_pk=49`（来宾北站）还有一条 `note=测试`，疑似早期测试残留，未擅自删除。
+
+
+
+### 地图气泡尺寸 + 投票按钮重复（本轮修复，实测通过）
+- **气泡太窄 → 推荐/踩雷换行**：真因是 Leaflet `.leaflet-popup` 默认 `maxWidth≈300`，
+  把 `.mp` 挤到 169px。修法：`bindPopup(..., {maxWidth: 360, minWidth: 240})`；
+  并在 CSS 上 `.mp-vl/.mp-vb { white-space: nowrap; flex: 0 0 auto; }` + `.mp-vote { flex-wrap: nowrap; }`。
+  实测桌面 1440 / 移动 390：气泡宽 241px，按钮 top 坐标唯一（不换行）。
+- **详情页站长同时看到「我的结论」+「大家怎么说」**：模板原来把两块都渲染在
+  `{{if or .IsAdmin .Settings.MarksPublic}}` 里。改为：`{{if .IsAdmin}}` 只出「我的结论」+ 只读
+  `访客票数 👍/👎`；`{{else}}` 只出「大家怎么说」。实测站长 `vote-row` 数=1。
+- **同类隐藏 bug（备注页）**：行内 👍/👎 原是 `formaction=/admin/place/vote` 提交，
+  会整页刷新 → 丢掉同一行备注框里未保存的编辑（与详情页同一病根）。改为 AJAX `POST /api/verdict`
+  （`data-verdict-btn` + `data-src`/`data-v`，toast 由 `[data-verdict-status]` 局部更新，不刷新页面）。
+- **`/api/verdict` 取参数**：必须 `r.PostFormValue(...)`（POST body），前端要放 body 不能放 query。
+- **`rond-map.js` `preview(opts)`**：只有 `opts.vote === true` 才 `loadVotes()` + 传 `vote`。
+  否则详情页/picker 里的小地图气泡也会长出投票按钮。`full()` 仍 `vote:true`。
+- 验证方式：headless Chrome + CDP 真点击（见上文环境经验）。全部无 JS 报错。
+
+### 详情页「访客票数」只读行样式统一（本轮，实测通过）
+- 反馈：站长详情页里 `访客票数 👍0 👎0（只读）` 是 12.5px 纯文本 + `margin-top:6px`，
+  比上面「我的结论」那一行（按钮 13.5px、padding 6/14、行高 27.5px）小一圈，看着不整齐。
+- 改法：不再单独搞 `.vote-tally`，直接复用 `.vote-row` 结构——
+  `访客票数` 用 `.vote-label`，两个数字用 `.vote-btn.ro`（`<span>`，只读变体），末尾 `.vote-tip` 放「只读」。
+  CSS 只保留 `.vote-btn.ro { cursor:default; color:var(--text-2); border-style:dashed; background:transparent }`
+  + 覆盖它的 `:hover`（不然会继承 `.vote-btn:hover` 的强调色，像可点）。
+- 实测（CDP 量出来的，不是肉眼看）：两行 `rowH=27.5`、`labelFont=12.5px`、`labelLH=20px`、
+  `margin-top=8px`、按钮字号 13.5px 全部一致；1440 与 390 两种视口都对得上，无 JS 报错。
+- 用虚线边框 + `cursor:default` 区分「不可点」，比整块 `opacity:.55` 干净。
+
+### 无密码状态下登录站长视图（本次新摸出来的路子，很好用）
+- 之前那套 `storage/2fa-cookies.txt` 里的 cookie 是 `uid=1`，但库里根本没有 id=1 的用户
+  （管理员是 `id=2 / admin`），所以带着它访问只会掉进访客分支。
+- 自己签一个会话 cookie 即可，不用知道口令：
+  `token = "<uid>|<exp>|" + base64_raw(hmac_sha256(secret_key, "<uid>|<exp>|" + password_hash[:16]))`
+  - `secret_key` 在 `conf/app.ini`；`password_hash` 用 psql 从 `users` 表取。
+  - 逻辑见 `internal/auth/auth.go` 的 `SignToken`/`mac`（base64 是 **RawStdEncoding，无 `=` 填充**）。
+- CDP 两处坑（补上次的记录）：
+  1. `/json/version` 给的是 **browser** 级 WS，调 `Page.enable` 会报 `-32601 wasn't found`；
+     要用 `/json` 列表里 `type=="page"` 那个 `webSocketDebuggerUrl`。
+  2. `--window-size=390,844` 在 `--headless=new` 下**不会**给出 390 的真实视口
+     （量出来卡片宽 457）。要 `Emulation.setDeviceMetricsOverride(width,height,deviceScaleFactor,mobile=width<=500)`。
+  3. `captureScreenshot(clip=...)` 的 clip 是**文档坐标**，不是视口坐标——滚动过就要
+     `rect.y + scrollY`，否则截到别处空白；且截图前要 `scrollIntoView({block:'center'})`
+     再等 ~0.5s，不等会得到半张空白 / 文字重叠的鬼影图。
+- 上述这套（含上面的自签 cookie）已沉淀成 skill `rond-web-verify`，
+  脚本 `~/.workbuddy/skills/rond-web-verify/scripts/site_cdp.py`，下次直接调，不用再摸一遍。
+
+### 移动端 .kpis 统计格子高矮不一（本轮，实测通过）
+- 反馈：`/places/196` 详情页移动端 2×2 统计格，第一行明显比第二行高。
+- 根因（实测复现，不是推断）：`.kpi .v` 固定 `font-size: 23px`，「112天19小时」在窄屏放不下
+  就折成两行，**把那一整行撑高**——量出来 row1=124.6 / row2=87.8，差 36.8px 正好一个 line-height。
+  临界宽度在 340~350px 之间（330 时两行都折，看起来反而"齐"；350 时只有停留那格折 → 就是你截图的样子）。
+  `2025-05-30` 这种数字窄，先撑不住的是中文字多的 `dur` 值（`fmtDur` 输出最长约「1234天23小时」9 字符）。
+- 改法（`internal/web/static/css/app.css` 的 `.kpis` / `.kpi .v` 两处）：
+  1. `.kpis { grid-auto-rows: 1fr }` —— 所有格子强行等高，这是兜底保证。
+  2. `.kpi .v { font-size: clamp(17px, 5.6vw, 23px) }` —— 字号随视口收，让长值在窄屏也能一行放下；
+     ≥411px 视口时 `5.6vw ≥ 23px`，clamp 封顶 → 桌面字号与原来完全一致，零回归。
+  没用 `white-space: nowrap`：万一将来出现更长的值，nowrap 会横向溢出卡片，比折行更难看；
+  靠字号收缩 + 行等高兜底更稳。
+- 实测：320/334/360/390/900 五种视口下 4 格宽高**完全一致**，
+  塞入最坏值「1234天23小时」仍是单行；`/`（8 格）、`/stats`（7 格）同样全等高、无折行、无 JS 报错；
+  1440 桌面 4 列、字号 23px 未变。
+- 一句话要记住：**「每个 .kpi 是 grid item」不等于「每行等高」**——`grid-auto-rows` 默认 `auto`，
+  某一格内容变高，它那一行就变高，另一行不受影响，视觉上就是"高矮不一"。
+
+### 访客可见区域：白名单 + 黑名单双模式（本轮，实测通过）
+- 背景：原本 `settings.regions` 是**白名单**（填了的区域才放行）。用户要黑名单，最终选「加模式开关，两种都留」。
+- 落地点：
+  - `internal/setting/setting.go`：新增 `RegionsMode`（`whitelist`/`blacklist`）+ `RegionBlacklist()`。
+    `Default()` 用黑名单；**`Load()` 在缺 `regions_mode` 键时一律回退白名单** —— 历史配置里填过的白名单
+    若被新默认值顺过来，会静默反转成黑名单（本该放行的区域全藏起来），这是唯一有破坏性的点。
+  - `internal/stats/stats.go`：`Filter.RegionsExclude` 决定 `EXISTS(...)` 前面加不加 `NOT`。
+  - `internal/web/handlers_public.go`：`regionSQL(regions, exclude, args)` 统一给报告页和城市聚合用；
+    `filterOf` 传 `RegionsExclude`；新增 `regionHidden()` 给详情页兜底。
+  - 后台：`settings.html` 加白名单/黑名单单选；`handlers_admin.go` 只认这两个值。
+- **补掉两个真窟窿**（改黑名单后更要紧，黑名单的意义就是藏住的绝不漏）：
+  1. `placePage` 原来按 ID 直取地点、**完全没走 `filterOf`** → 访客拿到链接就能看隐藏区域的地点。现在返回 404。
+  2. `apiCityAgg` 直接查 `places` 分组、**没挂区域条件** → 隐藏区域的城市名/坐标照样出现在地图上。现在挂上了。
+- 🩸 **踩到的 SQL 坑（三值逻辑）**：黑名单条件下访客的城市列表空了。
+  `NOT (province='x' OR city='x' OR district='x')` —— `district` 常为 NULL，`NULL='x'` 是 NULL，
+  整个 OR 变 NULL，`NOT NULL` 还是 NULL，行被静默丢掉。修法：`COALESCE(p.district,'') = $n`。
+  注意 `stats.go` 那份**不需要**改：条件包在 `EXISTS` 里，NULL 只是让子查询查不到行，`NOT EXISTS` 照样正确。
+  两处形式不同是对的，已在两处各留一行注释说明原因。
+- 实测（真跑服务 + 真读库）：
+  - 白名单 `[贵阳市]`：访客 points=73、`/api/cities` 只有贵阳市、`/places/1`(贵阳)=200、`/places/196`(河池)=**404**；站长 283/9 城/两个都 200。
+  - 黑名单 `[贵阳市]`：访客 points=210（=283-73）、cities=8（除贵阳）、`/places/1`=**404**、`/places/196`=200；站长全量。
+  - 后台表单端到端 POST 存黑名单 → 库里 `regions_mode='blacklist'` ✓。
+  - 还原成原始配置（`regions: null`、无 `regions_mode`）后行为回到基线：访客 283/9 城/两个都 200。
+- ⚠️ 测试期间临时改过 `settings`（改完已还原，并用 JSON 全字段 diff 确认与原值**完全一致**）。
+  还原时注意：原始配置里 **`marks_public` 这个键本来就不存在**（靠 `Load()` 的缺键默认值兜成 true），
+  重建表单提交会把缺失键写成 `false` 而改变行为 —— 用 `value - 'regions_mode' - 'marks_public'` 精确还原。
+- 遗留：用户明确说上一轮那两个问题（`src_pk=49` 的 `测试` 备注、回填日期格式）**都不要动**，已停止追问。
+
+---
+
+## 黑名单城市彻底隐藏 + 后台说明文案移动端换行优化（本轮，实测通过）
+
+### 需求 E-1：黑名单城市要从「城市列表」本身消失
+- 上一轮黑名单已过滤地点/地图/统计，但**城市筛选下拉框**仍显示被拉黑城市，点进去才空结果。
+- 根因：`internal/stats/stats.go` 的 `Cities()` 直接查 `places` 表，完全没走 `filterOf` / 区域条件。
+- 修法：
+  - `Cities(ctx, datasetID, regions, exclude)` 增加区域参数；省/市/区三级用 `COALESCE` 匹配（直接查 `places` 时 `district` NULL 会触发三值逻辑bug，必须 COALESCE）。
+  - `pageBase`（`internal/web/handlers_public.go`）对非站长传 `p.Settings.Regions + RegionBlacklist()`；站长传空列表，始终全量。
+  - 管理员备注页 `handlers_admin.go` 调用也传空列表，保证后台筛选城市选项不受区域限制。
+- 实测（当前配置 `regions:[河池市], regions_mode:blacklist`）：
+  - 访客 `/places` 城市下拉只剩 8 城，**河池市消失**。
+  - 管理员 `/places` 城市下拉仍为 9 城，**河池市在首位**。
+  - 时间线 / 地图的城市下拉共享同一 `CityList`，同步生效。
+
+### 需求 E-2：后台「访客可见区域」说明文案移动端换行不美观
+- 原模板用行内 `<b style="font-weight:500">只</b>` / `<b>隐藏</b>`，导致移动端 `隐藏` 被单独 orphans 到一行，像被「分开展示」。
+- 修法：
+  - `internal/web/templates/admin/settings.html` 去掉行内 `<b>`，改为自然文案：
+    - 白名单：访客只能看到这些区域的记录
+    - 黑名单：这些区域的记录对访客隐藏，其余照常开放
+  - 关键短语加 `<span class="nobr">` 保持同框：「只能看到这些区域」「对访客隐藏」。
+  - `internal/web/static/css/app.css`：`.check` 加 `word-break: keep-all; overflow-wrap: break-word;`，让中文词组优先不被拆开；新增 `.nobr { white-space: nowrap; }`。
+- 实测：390px CDP 截图，区域说明两行都按「词组」自然换行，不再出现单字/强调词孤立。
+
+### 服务状态
+- 重新编译并启动于后台任务 `Zy7wUd`，`home=200`，端口 8080 正常。
+
+## 新功能：编辑导入的 rond 数据 → 导出回 .rondbackup（完整编辑器 + PG 重建导出）
+
+用户诉求：有些记录点当时没带手机，想手动补录（新增点、时间）后导出为与原始格式一致的 `.rondbackup`。
+
+### 关键事实（先纠正一个旧假设）
+- **rond 的 `ZLOCATION` 坐标就是 GCJ-02**（`README.md:84-88`，实测 2246 采样点与 GCJ-02 理论偏移残差 0m）；站点 `places.lat/lon` 存的就是它。→ **导出回 rondbackup 无需任何坐标变换**（之前以为 rond 是 WGS-84 是错的）。
+- Core Data 主键表真名是 **`Z_PRIMARYKEY`**（带下划线），不是 `ZPRIMARYKEY`。列 `Z_ENT/Z_NAME/Z_MAX`。实体号：Location=6, Tag=11, Visit=18, Activity=1, ActivityGroup=2, HourlyWeather=3 …
+- 访问↔标签多对多表名形如 `Z_11VISITS_`，列 `Z_18VISITS_`（visit FK）/ `Z_11TAGS_5`（tag FK）。实体号可从 `Z_PRIMARYKEY` 反查。
+- Core Data 时间戳 = 自 2001-01-01 UTC 起的 float64 秒；往返存在 **亚微秒级浮点舍入**（实测最大 1.024µs），可忽略。
+
+### 实现（方案：PG 重建 + 导入期抓取 Core Data 元信息）
+- `internal/db/schema.sql`：`datasets` 新增列 `coredata_meta JSONB`。
+- `internal/rond/parse.go`：`Parse` 末尾调 `captureMeta` 抓 `Z_PRIMARYKEY`（实体名→Z_ENT/Z_MAX）、全部 `Z*` 表 DDL、以及用 `PRAGMA table_info` 定位的访问↔标签关联表（名+两列），存进 `Backup.Meta`。新增 `MetaFromArchive(path)` 只抓结构。
+- `internal/ingest/ingest.go`：`Import` 把 meta 写进 `datasets.coredata_meta`（新建快照路径 + 内容相同的复用路径都写）。
+- `internal/web/handlers_admin.go`：`adminUpload` 的 **sha256 去重短路** 分支里，若该数据集缺 meta 就 `MetaFromArchive` 补抓——这是旧数据集唯一的补抓途径（重传同一文件）。
+- `internal/rond/export.go`（新）：`ExportRondbackup(ctx, db, datasetID, meta, dst)` 从 PG 按实体重建 `LifeEasy.sqlite`（用抓取的 DDL 建表，INSERT 部分列，Z_PK=src_pk，appleSeconds 写时间，回写 `Z_PRIMARYKEY.Z_MAX`），zip 成含 `.sqlite/-wal/-shm` 的 `.rondbackup`。写入需注意 **PG 布尔列要扫进 `bool` 而非 `int`**（`is_home/is_work/is_bookmarked/is_user_added/is_daylight`）。
+- `internal/rond/export_roundtrip_test.go`（新）：用 rond 自己的 `Open+Parse` 反向解析导出包与原始包逐项比对（env `ROND_SRC`/`ROND_EXPORT`）。**回归测试保留**。
+- 编辑界面：`internal/web/handlers_edit.go` + `templates/admin/edit.html` + 路由 `GET /admin/edit` 及 `POST /admin/edit/{place,place/update,place/delete,visit,visit/update,visit/delete,movement,weather}`；`server.go` 注册 `admin/edit` 模板；后台首页加「数据编辑」入口与「导出 rondbackup」按钮。新增行 `src_pk=MAX+1`、`is_user_added=TRUE`；改删后重算地点/数据集聚合。
+- 地图选点用站点自带 `/tiles/amap-street/{z}/{x}/{y}`（GCJ-02，点选即所得）。新增 CSS `.inline-edit`。
+
+### 验证结论
+- 往返测试：823 到访 / 323 地点 / 8 标签 / 30 活动 / 791 位移 / 557 天气**完全一致**，坐标偏差 0，时间偏差 ≤1µs。`rawvisits` 2246→0（原始 GPS 采样点不导出，属预期）。
+- 补录实测：新增地点 src_pk=324 + 到访 src_pk=825 → 导出包中 `ZLOCATION(324)`、`ZVISIT(825)`（含时间/`ZUSERADDED=1`/标签关联 `(1,825)`）、`Z_PRIMARYKEY` Z_MAX 正确 bump；改/删/清理均正常，计数回到 323/823。
+- 服务：重新编译，运行于后台任务 `N52YdB`，端口 8080。
+- 旧数据集需**重传一次原始 .rondbackup** 补抓 `coredata_meta`（内容相同也会补抓）；未补抓时导出接口会明确提示。
+
+### 注意
+- `storage/` 已 gitignore；导出样本 `storage/export_clean.rondbackup` 保留备查。
+
+## 修复：/admin/edit 「新增地点」下方地图空白（用户反馈）
+
+**两个叠加的根因**（缺一不可，只修一个仍空白）：
+1. **脚本时序**：`layout.html` 的 `{{template "content" .}}`（L140）在 Leaflet `<script>`（L148）**之前**渲染。编辑页内联脚本执行时 `window.L` 仍是 `undefined`，`if (!el || !window.L) return;` 直接退出 → 地图容器连 `leaflet-container` 类都没有。实测证据：`tiles:0`、容器无 leaflet 类、截图仅剩一个空边框 div。
+2. **瓦片 URL 写错**：内联脚本硬写了 `/tiles/amap-street/{z}/{x}/{y}`。但 `handleTile` 只转发 `s.tiles.upstream` 里的图层，而 `map_provider=amap` 且 `map_key` 为空时 `upstream` 是**空的**，免密钥底图走浏览器直连的 `amapStyleStreet`（带 `{s}` 占位符）→ 该路由 404。
+
+**改法**：
+- `internal/web/tiles.go`：`mapConfig` 响应新增 `subs`（由 `tiles.subStart/subCount` 生成，amap 为 `["1","2","3","4"]`），供前端交给 Leaflet 展开 `{s}`。
+- `templates/admin/edit.html`：内联脚本改为 `whenReady`（`document.readyState==='complete'` 或等 `load` 事件）后再 `fetch('/api/map-config')`，取 `base[0]` + 顶层 `subs` 建 `L.tileLayer`，并保留「直接高德直连 URL」兜底。不再写站内 `/tiles/...` 路由。
+
+**验证**（无头 Chrome + CDP，站长会话 uid=2）：容器含 `leaflet-container`、7 个 pane、**10 个瓦片全部 loaded**，src 为 `https://webrd02.is.autonavi.com/...`（`{s}` 已展开），JS 报错为空，截图可见中国全域底图。
+
+### 可复用教训
+- 本项目模板用 `//go:embed`，**改 .html 必须重新编译二进制**，否则无头浏览器验证的还是旧页面。
+- 编辑页地图类断言必须先等 `load`（Leaflet 在 content 之后加载），否则拿到「容器存在但没初始化」的假象。
+
+## 地理编码（按名称搜坐标）可行性实测
+
+- 用户想法：「能否直接搜索名称来添加 GPS 坐标」。
+- 实测本机网络：**Nominatim（OSM 免密钥）超时不可达**（`http=000`，12s）；**高德 `restapi.amap.com/v3/geocode/geo` 可达**（无效 key 返回 200）、**天地图 `api.tianditu.gov.cn/geocoder` 可达**（无效 tk 返回 400）。
+- 结论：免密钥路线在当前网络下**不可行**，做地理编码必须申请 key。当前 `conf/app.ini` 为 `map_provider=amap` + `map_key=` 空（**无任何 key**）。
+- 待用户拍板方案：A 申请高德「Web 服务」类型 Key（返回 GCJ-02，零坐标转换，质量最好，仅用于地理编码，底图维持免密钥高德）；B 申请天地图 tk 并把底图也换成天地图（一个 key 管瓦片+地理编码，但底图观感变化，且返回 WGS-84 近似需转 GCJ-02）。key 一律只在服务端代理（新增 `/api/geocode`），不进前端源码。
+
+## 新增：「新增地点」按名称搜坐标 + 可选同时建到访（用户拍板方案 A）
+
+用户两点诉求：①「新增地点」没法填到访时间；②想按名称直接搜出 GPS 坐标。
+
+### 结论修正（用户提问）：「安全密钥(jscode)」与我们无关
+- 用户担心「没有安全密钥不能用」——那是**高德 Web端(JS API)** 的要求。我们走的是 **Web服务** 类型的 REST 接口
+  （`restapi.amap.com/v3/place/text`、`/v3/geocode/geo`），**只需 key，不需要安全密钥**。
+- 且底图仍走免密钥瓦片 CDN（`webrd0x.is.autonavi.com`），根本没碰 JS SDK。→ 配置里只填一个 `geocode_key` 即可。
+  申请时在高德开放平台选「**Web服务**」类型，别选「Web端(JS API)」。
+
+### 实现
+- `internal/config/config.go`：新增 `GeocodeKey`（配置项 `geocode_key`，可选，留空则功能关闭）。
+- `internal/web/geocode.go`（新）：`GET /api/geocode?q=`，**仅管理员**（`requireAdmin`，防配额被外部消耗）；
+  先打 `place/text`（POI 关键字，适合地名），无结果再兜底 `geocode/geo`（结构化地址）；
+  高德返回 **GCJ-02，与库内同系，零坐标转换**；密钥只在服务端拼接，不进前端源码。
+  高德字段 `province/city/district/address` 可能返回**空数组**而非字符串（直辖市常见），用 `amapStr(json.RawMessage)` 兼容。
+- `templates/admin/edit.html`：「新增地点」卡片顶部加搜索框 + 候选列表（点选填入 name/lat/lon/省市区并平移地图）；
+  仅 `{{if .GeocodeReady}}`（= `geocode_key` 非空）时渲染，未配置则显示一行配置提示，避免「看着能用却报错」。
+  地图选点与搜索共用 `fillCoord()` / `mapGoto()`，**地图未就绪时坐标照样能填**。
+- 「可选：同时创建一条到访记录」：用 `<details class="opt-visit">` 折叠，含到达/离开时间、活动、备注。
+  **只有填了 `arrival` 才建到访**，否则行为与以前完全一致。
+- `handlers_edit.go`：抽出 `insertVisit(...)`（`editVisitCreate` 与「地点+到访一次提交」共用，保证落库一致）；
+  `editPlaceCreate` 改为 `INSERT ... RETURNING id` 以拿到新地点 id，再按需建到访。
+- `view.go`：`EditData.GeocodeReady`。`static/css/app.css`：`.geo-list/.geo-item/.opt-visit`。
+- `conf/app.ini`：新增 `geocode_key =` 及说明注释。
+
+### 验证（无头 Chrome + CDP + psql）
+- 地图：容器含 `leaflet-container`、7 pane、**10 瓦片全 loaded**，无 JS 报错；截图确认新 UI 正常。
+- 未配 key：搜索框不渲染，显示配置提示；`/api/geocode` 返回 `{"error":"服务端未配置 geocode_key…"}`；访客访问返回 **303**（被 requireAdmin 拦）。
+- **临时填假 key 实测上游**：返回 `{"error":"高德返回：INVALID_USER_KEY"}` → 证明服务端确实打到了高德、参数构造正确、错误能优雅透出（随后已还原 `geocode_key` 为空）。
+- 补录流程：只填位置 → `places(324)`，`visit_count=0`、无到访（行为未变）；位置+时间 → `places(325)` + `visits(825, place_id=649, arrival 2026-08-01 10:00, departure 12:30, duration_min=150, is_user_added=true)`。
+- 用 `place/delete` 清理测试数据后计数回到 **323 / 823**，无残留；`go test ./...` 全绿。
+
+## 地理编码上线实测（用户已填 geocode_key，验证通过）
+
+- 用户在高德开放平台申请的 **Web服务** 类型 key 已填入 `conf/app.ini` 的 `geocode_key`（32 位 hex）。
+  **注意：配置只在启动时读取，填完必须重启服务才生效。**
+- `GET /api/geocode?q=杭州西湖` 返回真实候选：「杭州西湖风景名胜区」(30.222692,120.121358)、「西湖」(30.246255,120.144302) 等，
+  坐标经核算是 **GCJ-02**（西湖 WGS-84 约 30.2438/120.1503，加 GCJ 偏移后正合 30.2463/120.1443）。
+- **端到端 UI 实测**（无头 Chrome + CDP 自建轮询脚本）：输入「上海外滩」→ 点搜索 → 8 个候选 → 点第 1 个 →
+  表单被填为 `name=外滩 / lat=31.233516 / lon=121.492127 / 上海市 / 上海市 / 黄浦区`，地图落 1 个 marker 并平移到外滩，
+  提示语「已填入：外滩」，**无 JS 报错**。截图里 marker 正好压在高德底图的「外滩」标注上 → 直观证明坐标与底图同系。
+- 探测脚本只填表单未提交，数据计数仍为 **places=323 / visits=823**，无脏数据。
+- `/.gitignore` 已含 `/conf/app.ini`，密钥不会被提交进仓库。
+- 环境坑：Write/Read/present_files 与 Windows 版 python 的 `/tmp/...` 解析为 **`C:\tmp\...`**，
+  而 Git Bash 的 `/tmp` 是另一处；跨工具传路径要统一用 `C:/tmp/...`。
+
+## 修复：「按名称搜坐标」输入框与按钮不同行 / 按钮歪（用户反馈）
+
+**两个具体根因**（都用 headless 量数确认）：
+1. **纵向偏移 13.8px**：`label.f` 自带 `margin-bottom: 13px`（`.field` 基线间距），而那行用了 `align-items: flex-end`。
+   flex 是按**外边距盒**底边对齐的 → 标签的 13px 下边距把输入框整体抬高，按钮看起来"矮一截/歪"。
+   实测：1280 下输入框 `top=256.78 h=38.39`，按钮 `top=270.58 h=37.59` → 底边差 **13px**、高度差 0.8px。
+2. **窄屏换行**：输入框写了 `flex:3 1 240px`（基准 240px），`.row` 又是 `flex-wrap: wrap`
+   → 320px 视口下按钮被挤到下一行。实测 320 下 `sameLine=False`，按钮 top 比输入框低 **60.6px**。
+
+**改法**：新增专用类 `.search-row`（`static/css/app.css`），模板 `edit.html` 去掉内联样式：
+```css
+.search-row { display:flex; flex-wrap:nowrap; align-items:flex-end; gap:8px; margin-bottom:12px; }
+.search-row > label.f { flex:1 1 auto; min-width:0; margin-bottom:0; }   /* 归零外边距 + 可收缩 */
+.search-row > .btn { flex:0 0 auto; font-size:14px; }                     /* 与输入框同字号 → 同高 */
+```
+**注意**：`flex:1 1 auto`（可增长）是刻意保持的 —— 项目既有约定就是「宽输入框 + 按钮靠右」
+（`edit.html:74` 地点列表搜索、`layout.html:84` 筛选栏都写 `margin-bottom:0` + `flex:2 1 200px`），不要改成定宽靠左。
+
+**实测（三视口，修复前/后对照）**：1280 / 390 / 320 下修复后均 `同行=True、底边差=0、高度差=0`；
+320 下输入框 right=221、按钮 left=229（8px 间距），无溢出；JS 无报错。
+
+### 待办（已复现，等用户确认再动）
+同类搜索行**在窄屏也会换行**，但未包含在本次改动范围内：
+`edit.html:73` 的「地点列表」搜索行在 **320 和 390 都换行**（实测 320：标签 bottom=1624、按钮组 top=1634；
+390：1391 / 1401）。`layout.html:84` 的筛选栏同理（`flex:2 1 180px` + 可换行）。若用户要统一，把这两处也换成 `.search-row` 即可。
+
+## 推广：「搜索行」统一（用户回「一起改」）
+
+把 `.search-row` 推广到同类位置，并**顺手发现筛选栏有反方向的同类偏移**：
+- `edit.html` 地点列表搜索行（`<form class="row" style="margin:6px 0 12px">`）→ 改 `class="search-row" style="margin-top:6px"`，
+  按钮组加 `.act` 包裹。CSS 相应扩展 `.search-row > .act { display:flex; gap:8px }` 与 `.search-row .btn`。
+- `layout.html` 的 `{{define "filters"}}`（用于 /places、/stats、/timeline）：控件行 `<div class="row">` 原用默认
+  `align-items: center`，而每个 label 是「文字+输入框」整盒（约 63px），按钮组只有 38px → **按钮被居中，底边比输入框高 14px**。
+  改成 `style="align-items:flex-end"`，并删掉按钮组那个没用的 `padding-bottom:1px` 补丁。
+- **保留换行**：filters 是 6 控件筛选卡片，窄屏换行是设计如此（实测 390 底边极差 193px、320 为 412px，即多行），不能强上 nowrap。
+  `notes.html:30` 的筛选行本来就写了 `align-items:flex-end` + `margin:0`，`notes.html:85` 用 `align-items:end` 的 grid —— 都是对的，未动。
+  `map.html` 侧栏筛选 = 控件与按钮本就分行，未动。`places.html:18/30` 是 chip 行，未动。
+
+**复测（底边极差，0 = 齐平）**：按名称搜坐标 390/320 → 0；地点列表搜索 1280/390/320 → 0（320 下按钮 left=163、right=287，确认不换行）；
+筛选栏 1280 → 0（按钮 div bottom=382.8 = 各 label bottom）。JS 无报错。
+
+### 可复用教训（已写进 rond-web-verify 技能）
+- 判断 flex 行是否「同一行」**不能用 `top` 去重**：label 内含文字 span，`top` 天然比按钮高约 25px，
+  会误判成换行。正确判据：竖直重叠 / `button.left >= input.right`；**是否对齐要看 `bottom` 而不是 `top`**。
+
+## 🔴 P0：导出的 .rondbackup 无法回导（rond 提示「备份恢复失败」）——根因取证
+
+用户反馈：导出包只有 85KB，原始包 3402KB；怀疑丢数据/改了库名。**库名没问题**（都是 `LifeEasy.sqlite`），
+但**确实大量缺失**。逐项对比（原始 `data/20260914_151649.rondbackup` vs `storage/export_clean.rondbackup`）：
+
+| 项 | 原始 | 导出 | 说明 |
+|---|---|---|---|
+| 表 | 31 | 12 | 缺 19 张 |
+| 索引 | 47 | 1 | 只重建了表，`CREATE INDEX` 全丢 |
+| 关联表 | 6 张 | 1 张 | 只重建了 `Z_11VISITS_`，`Z_6TAGS_`(2 行) 等全丢 |
+| `.sqlite` | 356KB | 254KB | |
+| `-wal` | 3,094,152B | **0B** | 原始数据主要在 WAL 里 |
+| `-shm` | 32,768B | **0B** | |
+| zip 压缩 | **STORED(0)** | DEFLATE(8) | 与 rond 不一致 |
+
+### 致命根因：缺 `Z_METADATA`（Core Data 靠它判断 store 与模型是否兼容）
+- `Z_METADATA` 有 1 行：`Z_VERSION / Z_UUID / Z_PLIST(1585B)`。plist 键含
+  **`NSStoreModelVersionHashes`（19 个实体的模型哈希：Keyword/UserPhoto/Tag/RawVisit/PoiCategory/Movement…）**、
+  `NSStoreModelVersionHashesDigest`、`NSStoreModelVersionChecksumKey`、`NSPersistenceFrameworkVersion`、`NSStoreType`。
+- 我们的导出**根本没有这张表** → Core Data 打不开库 → 备份恢复失败。`Z_MODELCACHE`(16073B) 同样缺失。
+
+### 代码层根因（`internal/rond/parse.go` + `export.go`）
+1. `captureMeta` 的 DDL 抓取条件 `type='table' AND name LIKE 'Z%'` → **漏掉 `ACHANGE/ATRANSACTION/ATRANSACTIONSTRING`**（非 Z 前缀），
+   也**完全没抓 `type='index'`**。
+2. `buildSQLite` 只按硬编码 `createOrder` 建 11 张表 → `Z_METADATA`、`Z_MODELCACHE`、`ZKEYWORD`(8 行数据!)、
+   `ZACTIVITYGROUP`、`ZTRIP*`、`ZJOURNAL`、`ZUSERPHOTO` 等一律不建，也不写 Core Data 元数据行的内容。
+3. **数据真丢失**：`ZKEYWORD` 8 行、`Z_6TAGS_` 2 行、`ZRAWVISIT` 2246 行。
+4. `parse.go:441` 对 ZRAWVISIT 只 `SELECT count(*)`，从不读行 → **PG 里也没存原始 GPS 采样点**
+   （`datasets.raw_visit_count=2246` 只是统计值），所以现状下无法补导。
+5. `zipBackup` 用默认 DEFLATE，且把 0 字节的 -wal/-shm 也打进去。
+
+### 修复方案（待用户拍板）
+- **方案 A（推荐）基线库 + 覆盖**：导入时把原始 sqlite（checkpoint 合并 WAL 后）留一份基线
+  （如 `storage/data/<dataset_id>/base.sqlite`）；导出时复制基线 → 清空并重写我们管理的实体表
+  （ZLOCATION/ZVISIT/ZACTIVITY/ZTAG/ZTAGGROUP/ZTRANSPORT/ZMOVEMENT/ZHOURLYWEATHER + 全部关联表）
+  → 回写 `Z_PRIMARYKEY.Z_MAX` → checkpoint → **STORED** 打包。
+  好处：`Z_METADATA`/`Z_MODELCACHE`/持久化历史/47 索引/我们不管的表（含 **ZRAWVISIT 2246 个原始点**、ZKEYWORD、ZTRIP*）
+  **全部原样保留**，不需要往 PG 存原始点；最保真。
+  代价：每数据集多存约 3.4MB 基线；已导入的旧数据集要重建基线（可从 `storage/uploads/` 里按 `original_name` 找回，或重传一次）。
+- **方案 B 全量抓结构进 `coredata_meta`**：抓全 sqlite_master（表+索引+触发器）并把 Z_METADATA/Z_MODELCACHE 行以 blob 存进 JSONB。
+  代价：**ZRAWVISIT 2246 行仍然丢**（PG 没存），要真正不丢还得同时改导入新增原始点表，工作量更大、体积也大。
+
+---
+
+## P0 导出回导：方案 A「基线库 + 覆盖」已实现并验证（18:45）
+
+用户拍板走方案 A。改动清单：
+
+| 文件 | 改动 |
+|---|---|
+| `internal/rond/parse.go` | 新增 `WriteBaseline(archivePath, dst)`：解包 + `wal_checkpoint(TRUNCATE)` 后 `VACUUM INTO` 出单文件基线（退路是直接复制合并过 WAL 的主库）；`copyFile`。顺手删掉只用过一次的 `MetaFromArchive`（其存在理由已消失） |
+| `internal/rond/export.go` | 全量重写。新签名 `ExportRondbackup(ctx, db, datasetID, baselinePath, dst io.Writer)`；`patchSQLite` 复制基线 → 只 `DELETE`/`INSERT` 7 张管理表 + 访问↔标签表；`loadEntities`/`discoverVisitTagJoin`/`tableExists` 从基线探测结构，**不再依赖 `coredata_meta`**；`Z_PRIMARYKEY.Z_MAX` 只上调；`zipBackup` 改 `zip.Store` |
+| `internal/web/handlers_export.go` | `baselinePath`（`<data_dir>/baselines/<id>.sqlite`）、`ensureBaseline`（缺失时自愈）、`findSourceArchive`（按 `sha256` 去 `upload_dir` 找回原包） |
+| `internal/web/handlers_admin.go` | 导入成功后写基线；sha256 去重分支从「补抓 coredata_meta」改成「补写基线」 |
+| `internal/web/handlers_edit.go` | `HasMeta` → `CanExport`：改为调 `ensureBaseline` 判断，老数据集访问编辑页即自愈 |
+| `internal/web/templates/admin/edit.html` | 提示文案改为「基线库不可用…重新上传即可恢复导出」 |
+| `internal/rond/export_roundtrip_test.go` | 新增 `TestBaselineKeepsCoreData`（守 `Z_METADATA`/`Z_MODELCACHE`/表索引集合/`ZRAWVISIT`），用 `ROND_SRC` 门控 |
+
+### 踩到的坑：`SetMaxOpenConns(1)` 自死锁（卡 5 分钟、零输出、零报错）
+`patchSQLite` 里 `BeginTx` 已经独占那唯一连接，之后又用 `sdb.QueryContext` 读 `ZTAGGROUP` → 永久等连接。
+**改为 `tx.QueryContext`**。规律记进 skill 了：开事务后要么走 `tx`，要么把只读查询挪到 `BeginTx` 之前。
+
+### 验证结果（实测，非推断）
+原始包 = `storage/uploads/1789372176-20260914_151649.rondbackup`（3402 KB，sha 匹配 dataset #1）。
+
+```
+HTTP GET /admin/export/rondbackup   → 200，2,871,700 B（≈2804 KB，不再是 85 KB）
+包内：LifeEasy.sqlite / -wal(0) / -shm(0)，method=0（Store，与 rond 一致）
+表 31 / 索引 47 / Z_METADATA ✅ / Z_MODELCACHE ✅(1 行 16073B) / ZRAWVISIT 2246 / ZKEYWORD 8
+Z_METADATA.Z_PLIST 字节哈希 502bf007e218c077 …与原始包逐字节相同 ✅
+表集合、索引集合与原始包完全一致；Z_PRIMARYKEY 22 个实体不变，仅 Z_MAX 上调（Location 323→324、Visit 824→825）
+导出 → 再导出：各项计数完全一致（幂等）✅
+```
+
+导出内容 = **PG 当前状态**：PG 里 324 地点 / 824 到访（比原包多 1 个地点），导出与之逐项吻合 ——
+说明「编辑页补录的记录会随导出回写」这条链路也是通的。
+
+### 遗留 / 可选项
+- `coredata_meta` 现在只作为结构快照留档，**不再参与导出**。想彻底清掉的话，要一起动
+  `Backup.Meta`、`captureMeta`、`CoreDataMeta`、`ingest` 的两处写入、以及 schema 里的 `coredata_meta` 列。属可选清理，未做。
+- 每数据集多存约 2.8 MB 基线（`storage/data/baselines/`，已 gitignore）。
+- **仍未真机验证**：导出包在 iPhone 上能否被 rond 成功恢复，需要用户实测。已留
+  `storage/roundtrip-check.rondbackup` 供其直接 AirDrop 试。
+- 基线里保留了原始持久化历史（`ACHANGE`/`ATRANSACTION*`），而业务表是被直接 SQL 覆盖的，
+  历史与实际数据不再对应；Core Data 一般不做交叉校验，但若真机恢复失败，这里是第一处可怀疑点
+  （退路：清空历史表并重置 history token）。
+
+---
+
+## 导出闭环验证 + 发现两个老数据问题（19:00）
+
+### 闭环：导出 → 回传 → 被识别为同一份数据 ✅
+把 `/admin/export/rondbackup` 产出的包直接回传到 `POST /admin/upload`：
+
+```
+flash[ok]: 这份备份的记录与已有数据集 #1 完全一致（824 条到访、323 个地点），未新建快照，当前展示不变
+```
+
+这是不依赖真机的最强证明——导出包能被我们自己的解析器读回来，且内容指纹与原数据集逐键一致
+（824 个 `(Z_PK, arrival.Unix())` 键完全相同，说明 Core Data 浮点时间戳的往返在秒级精度上无损）。
+
+### 发现 1（P1，已修）：老数据集 `content_hash` 为 NULL，内容去重永远不命中
+- `datasets.content_hash` 是后来加的列；**在它出现之前导入的数据集（如 #1）该列是 NULL**。
+- `ingest.Import` 的去重查询 `WHERE user_id=$1 AND content_hash=$2` 永远匹配不到 NULL →
+  「内容相同、字节不同」的包（典型就是自己导出的 rondbackup）会**新建重复数据集并切走展示**。
+- sha256 去重挡不住这种场景（rond 每次导出字节都不同）。
+- **修复**：手工给 #1 回填了正确指纹 `ba2712819f710b43…`（用临时 Go 程序按 `ingest.contentHash`
+  同一套逻辑实算，不能用 psql/Python 复刻——跨语言算出来对不上，实测证明）。
+- **建议后续做**：启动时或导入时对 `content_hash IS NULL` 的数据集批量回填，否则其它老库照样重复。
+  若历史上还有别的老数据集，这条要补。
+
+### 发现 2（P2，未修）：`datasets.place_count/visit_count` 是缓存值，编辑页新增后不更新
+回传导出包时 flash 显示「323 个地点」，但 `places WHERE dataset_id=1` 实际 324 条。
+`handlers_edit.go` 的增删改只动业务表，没同步 `datasets` 上的计数列 → 后台 flash 与统计数字会漂。
+低危，但要修的话应在编辑处理里重算或改成实时 count。
+
+### 教训：跨语言复刻哈希逻辑不可信
+为回填 content_hash 我先用 psql+Python 复刻 Go 的 `contentHash`，结果算出的值与 Go 实算不一致
+（键集合明明逐条相同）。**凡是要写回库里的指纹/哈希，必须用原实现（Go）算**，别跨语言复刻。
+
+---
+
+## 「固定」状态 + P2 计数漂移 已修（19:35）
+
+### 用户反馈
+真机导入成功，但导入的新地点在 rond 里默认是「固定」状态；另外让顺手修 P2（计数漂移）。
+
+### 「固定」根因（实测定位，非猜测）
+逐列对比真机原始包 vs 我们的导出包，发现**所有被重写的行**都丢了 rond 自己写的列：
+
+- `ZLOCATION.ZPINSTYLE_`：真机 323 行全是 `0`，我们导出全是 `NULL`
+- 同样丢的还有 `ZTYPE_/ZBOOKMARKED/ZUSERADDED/ZUSERIGNORED/ZRADIUS/ZRAWLAT(ZLON)/ZLASTARRIVALDATE_/ZSUBTHOROUGHFARE/…`
+- `ZVISIT.ZRAW(785)/ZIDENTIFIER_(822)/ZMERGEDTO(52)/ZPARENT(10)`、`ZMOVEMENT.ZTYPE_(791)/ZISMODIFIED`、
+  `ZHOURLYWEATHER.ZPRECIPITATION_/ZDEWPOINT_`、`ZACTIVITY.ZUID_`、`ZTAG.ZLASTARRIVALDATE_` —— 共 48 列
+
+原因：`patchSQLite` 是 DELETE+INSERT，INSERT 只列出我们管理的十几个列，其余全成 NULL。
+rond 对 `ZPINSTYLE_` 等标志位 NULL 的行按「固定」处理。
+
+### 修复：导出改为 UPDATE-in-place（internal/rond/export.go 重写 patchSQLite）
+- 基线里**已有**的主键 → `UPDATE` 只动我们管理的列，rond 写的其余列**原样保留**
+- **新增**的行 → `INSERT`，并把 rond 会写的标志位补成 `0`（照真机包取值分布抄）
+- PG 里已删除的行 → `finish()` 时 `DELETE` 同步
+- `Z_ENT`/`Z_OPT` 只在 INSERT 时写；UPDATE 不碰，避免动 Core Data 的乐观锁版本
+- 结构性重构：PG 侧行先取回内存再统一写 SQLite（避免两库交错），新增 `tableWriter`
+  （write/finish）与 `knownPKs`；各表列清单与默认值集中在构造处，一眼可查
+
+### 顺手修掉的连带 bug：基线被「导出包」污染
+重传导出包时，我此前的代码会在 Identical 分支**之前**重写基线 → 用退化副本覆盖了原始基线，
+导致后一次导出是在坏基线上做的（第一次复检时 48 列仍全 NULL，就是这个原因）。
+修复：`handlers_admin.go` 只在 `!st.Identical` 时写基线；重传一律交给 `ensureBaseline`
+按 sha256 找回原始包重建。本次实测：删掉坏基线 → 访问编辑页自愈 → 导出恢复正常。
+
+### 复检结果（原始 vs 新导出）
+- 丢列清单：**只剩 `ZVISIT.ZEMOJINAME_`（真机里是 `''` 空串，我们写 NULL，语义等价，可接受）**
+- `ZLOCATION.ZPINSTYLE_` 323→324（多出的 1 行是编辑页新增的地点，且 **全标志位=0，不再 NULL**）
+- `ZVISIT.ZRAW/ZIDENTIFIER_/ZMERGEDTO/ZPARENT`、`ZMOVEMENT.ZTYPE_`、`ZHOURLYWEATHER.ZPRECIPITATION_` 等
+  全部 100% 保留；`Z_METADATA` 哈希仍是 `502bf007e218c077`
+- 回传导出包仍被识别为「与数据集 #1 完全一致，未新建快照」✅
+
+### P2 修复（internal/web/handlers_edit.go）
+`refreshDatasetAgg` 原来只重算 `visit_count/first/last`，补上 `place_count`。
+实测：新增地点 → `place_count` 324→325，删除 → 回到 324，与实际行数一致。
+（`raw_visit_count` 不重算——PG 不存原始采样点，它只是导入时的统计值。）
+
+### 待用户真机复测
+重新导出一份再导入 rond，确认新地点不再显示「固定」。
+注意：手机上已导入的那份还是旧导出包（标志位是 NULL），要用新导出的包覆盖导入。

.workbuddy/memory/2026-09-16.md

@@ -0,0 +1,923 @@
+# 2026-09-16
+
+## rond-with-you：编辑页表单必填收紧 + 换 flatpickr 时间选择器
+
+### 需求
+到达时间、离开时间、活动设为必选；备注可选但不折叠；原生 datetime-local 不好用，换别的。
+
+### 改动
+- **新建地点**：`<details class="opt-visit">` 折叠移除，到访三要素平铺显示且必填（到达/离开/活动），
+  备注可选；语义从「可选同时创建到访」变为「与地点同时创建到访」。
+- **新增到访**：离开时间、活动必填；「类型」改叫「活动」，默认 option 从「（无）」改「请选择活动」。
+- **编辑到访（行内）**：离开时间也必填（历史 departure 0 条 NULL，无副作用）；
+  活动不强制（历史 73 条 NULL 活动，强制会拦住编辑）。
+- **时间选择器**：引入 flatpickr v4.6.13（vendor 到 `internal/web/static/vendor/flatpickr/`，
+  含 l10n/zh.js，共 ~69KB，离线可用）；`Page.Flatpickr` 开关控制 layout 按页加载；
+  24 小时制、中文、`allowInput` 可手输，`dateFormat: 'Y-m-dTH:i'` 保证提交值仍是
+  datetime-local 格式，服务端 `parseLocalDT` 无需改动。
+- **服务端**：`parseVisitTimes` 离开时间必填；`editVisitCreate` / `editPlaceCreate` 活动必填
+  （resolveActivity 返回 nil 即拒）；editPlaceCreate 删除「arrival 空则不建到访」分支。
+- **CSS**：`.flatpickr-calendar` 圆角/阴影与站点一致，选中/今天/hover 用 `--accent`。
+
+### 验证
+HTTP 实测：缺活动 → 「请选择活动类型」；缺离开 → 「请填写离开时间」；三要素齐 → 创建成功；
+测试数据已删（visits 回到 823）。管理员密码已还原。
+
+## 追加修复：搜索失效（flatpickr l10n 崩溃）+ 地点下拉信息不足
+
+### 搜索失效根因
+配置文件没动过（`conf/app.ini` 的 `geocode_key` 原样在，直调高德 API 也正常）。
+真正根因是我给编辑页加的 flatpickr 初始化写错了 API：flatpickr 的语言包静态属性是
+**`flatpickr.l10ns`（复数）**，我写成 `flatpickr.l10n.zh` → 读取 undefined 的 `.zh` 抛
+TypeError → 同一个 `whenReady` 回调里**后面的地图初始化和地点搜索绑定全部没执行**。
+表现就是「搜索按钮点了没反应」。
+修复：`flatpickr.l10ns.zh` + 整段 try/catch 兜底（防止一处错毁掉全部初始化）。
+教训：给页面加同步脚本时，先于其它初始化的代码必须自行兜错。
+
+### 第二个坑（排查中新引入又修复）
+改「新增到访」地点下拉时，`COALESCE(NULLIF(sublocality,''), NULLIF(district,''))` 在两列
+同为 NULL 时结果仍是 NULL，pgx 扫进 string 报错 → **整个 /admin/edit 页面 500**。
+COALESCE 兜底要兜到底：末尾再加一个 `''`。
+
+### 地点下拉信息不足（用户反馈「看不出是哪次到访、有重复、太笼统」）
+原 Label 只有「城市 · 名称」。改为从库里的 province/city/区县(sublocality 缺失时退 district)/
+街道拼完整地址 + 到访次数 + src_pk：
+`#196 家 — 广西壮族自治区 河池市 金城江区 西环路（246次）`
+src_pk 直接对应「新增行程」表单里要填的值。相邻重复段去重（直辖市不会出现「北京市北京市」）。
+
+### 无头验证结论
+CDP 实测：0 JS 报错、flatpickr 中文包注册成功、Leaflet 地图初始化完成（执行流走完整）、
+页内 XHR 调 `/api/geocode?q=南宁东站` 返回 8 条。
+
+## 再修正：离开时间不该必填（用户纠正）
+
+用户指出逻辑错误：补录「家」这类高频地点的到访，常常只知道到达时间（刚到家/只记到达），
+强制填离开时间不成立。已回退：离开时间恢复可选，留空=只记了到达（原语义），
+前端 required/星号移除，`parseVisitTimes` 恢复原实现。
+新增单元测试 `internal/web/parse_visit_times_test.go` 覆盖四种情况
+（只到达/双时间/缺到达/离开早于到达），无需重置密码即可验证服务端逻辑。
+保持必填的：到达时间、活动（用户未质疑）。
+
+教训：把「必填」要求落到每个字段前先想补录场景——必填清单该由「这条数据不填就无意义」决定，
+而不是照单全收；用户说的"必选"清单可能覆盖不了真实的补录姿势。
+
+## 再修正：到达时间默认当前时刻（用户质疑「246 次到家还让我手填到达时间」）
+
+**这版方向错了，用户又否定了**（见下节）。到达时间预填当前时刻已回退。
+
+## 根因澄清：不是必填问题，是「新增到访」语义传达失败
+
+用户三层质疑（离开必填→到达重复→填一个时间代表什么）拼起来，真正的意思是：
+**用户以为选了「家（246次）」后，表单填的时间要「代表」这个地点的全部到访**——
+"246 次到达时间都不一样，填一个时间代表它们当然不合理"。
+而功能的真实语义是「往时间线追加一条**独立的**新到访（比如某次忘带手机的那段）」，
+每次提交一条、互不影响。UI 从没把这层讲清楚。
+
+修正：
+1. 回退「预填当前时刻」——补录的永远是历史时刻（忘带手机的那天），预填当下只会诱导提交错误数据。
+2. 表单文案写明：「追加一次单独的到访……每提交一次就是一条全新的独立记录，和该地点已有的到访互不影响，
+   更不是去『代表』它们；下拉里的次数只是参考。时间凭当时记忆填个大概即可」。
+3. flatpickr `minuteIncrement` 1→5：补录靠回忆，没人记得 12:59:47，5 分钟步进贴合「大概那个点」。
+
+教训（重要）：**用户连续质疑表单逻辑时，先怀疑语义传达，而不是急着调必填/默认值**。
+我顺着「必填是否合理」修了三轮，实际是用户没看懂这个表单在创建什么。
+
+## 融合表单：新增地点 + 新增到访合一（用户最终指令）
+
+用户拍板：「把新增地点和新增到访融合起来，而不是分开，到访时间和日期选填，但是不要折叠选项。」
+
+实现（internal/web/handlers_edit.go + templates/admin/edit.html + server.go）：
+- 一个融合表单（action 仍为 /admin/edit/place），radio 切两种模式：
+  `new`=新建地点（名称/坐标必填，地图选点+搜索）；`existing`=给已有地点补到访（下拉选地点）。
+- 到访时段**整体选填平铺**（到达/离开/活动/备注/收藏/标签）：
+  到达留空 → 只建地点；填了到达 → 同时追加一条独立到访（活动也可不选，存 NULL）。
+  补已有地点时到达必填（否则没意义），后端给出明确提示。
+- 删除独立「新增到访」card 与 `editVisitCreate` + 路由 POST /admin/edit/visit
+  （update/delete 保留）。到访的增删改现在全部走融合表单。
+- HTML5 required 不能写在会被隐藏的字段上（display:none 仍会拦截提交），校验全交后端。
+- 模式切换时 Leaflet 在 display:none 容器里会拿到 0 尺寸，切回 new 模式时
+  `window.dispatchEvent(new Event('resize'))` 触发 invalidateSize。
+
+端到端实测（用 site_cdp.py 签名 cookie，无需动密码）：四条路径
+（补到访缺到达→拒 / 补到访→成 / 新地点无到访→只建地点 / 新地点带到访→地点+到访）
+全部正确；测试数据经 HTTP 删除，计数核对 places=324（323 原始+昆明站）、visits=823、家=246。
+
+## 编辑页三项易用性改进（用户第 4 轮反馈）
+
+1. **补到访的地点选择器**：324 个地点用原生 `<select>` 无法搜索/收起。改为
+   `input#place-search`（按名称/城市/#编号过滤）+ `#place-results` 结果列表（最多 30 条，
+   复用 `.geo-item` 样式）+ `hidden input[name=existing_place]`；选中后收起输入框、
+   显示「已选：xxx 重选」。
+2. **类别可直选**：新建地点的「类别」加 `datalist`，选项来自库里 `DISTINCT poi_category`。
+   原值是 MapKit 的 `MKPOICategoryRestaurant` 这类标识符（12 个），配了中文映射
+   （`poiCategoryText`），`<option value="原值" label="中文">`——提交值仍是原值，
+   与 rond 保持一致（rond 靠它取图标）。
+3. **活动可新建**：新增 `POST /admin/edit/activity`（JSON），表单里「或新建活动」输入框 +
+   按钮，创建后即时 append 进活动下拉并选中；Enter 键也触发（preventDefault 防止误提交）。
+   新活动 `src_pk=MAX+1`、`color='blue'`。
+
+### 踩坑
+- **模板里别用 `{{printf "%q" .Label}}` 生成 JS 字面量**：html/template 会在 `<script>`
+  上下文再做一次 JS 转义，得到 `"\"#196 家…\""`（值里混进引号）。改成把数据渲染进隐藏的
+  `<select id="place-options">`，JS 读它的 option——彻底绕开模板转义问题。
+- **验证脚本 site_cdp.py 默认只等 2.5s**，本页含地图瓦片，`whenReady`（等 load）还没跑完就去
+  eval 会得到「事件没绑上、结果为空」的假象。测这个页面要 `--wait 5`。
+- **`<datalist>` 无输入时不展开、`<option label>` 兼容性差**，用户反馈「类别下拉是空的」。
+  类别只有十来个，直接用 `<select>` + 「自定义…」项。
+
+## 类别下拉（second take）+ 数据库/站点审阅
+
+### 类别改成 select（新建 + 每行行内编辑）
+`EditPlace.CategoryOptions`（已有类别 + 当前值若不在其中则补上，避免真机里少见类别被静默改掉）；
+`pickCategory()` 处理「自定义…」→ 旁边 `category_custom` 输入框；`poiCategoryText` 中文映射
+（value 仍是 `MKPOICategoryXxx` 原值，与 rond 一致）。行内编辑 40 行全部生效。
+
+### 审计发现（tools/audit_db.sql，可复用）
+全绿：聚合漂移 0、悬空引用 0（含 movements 的 place/visit 两端、weather、visit_tags 跨数据集）、
+时间倒挂 0、笔记/投票错位 0。留档差集只有 1 行且是 `skipped=t`（那条孤独到访，正常）。
+
+**已加固（防患于未然，当前数据未触发）**：
+1. `pruneEntityRaw()`：删除地点/到访后清掉留档里已不在库的行。风险链是
+   「删除 → 新建取 MAX(src_pk)+1 → 复用被删编号 → 新行继承旧留档的 rond 私有字段」。
+   `skipped=TRUE` 的行保留。
+2. 删除地点/到访时清理 `movements`（端点没了就是悬空引用）、`weather.visit_src` 置 NULL
+   （天气有独立价值，只解除关联）。
+
+**数据特征（非缺陷，rond 原始数据自带）**：11 组同名同坐标重复地点（柳州站×3…）、
+1 条零时长、1 条超 30 天（家 50517 分钟）、70 条无活动、218 个地点无类别。
+
+**待用户决定的优化**：行程/天气表单仍要手填 src_pk（建议改可搜索下拉）；
+活动只能新建不能删改；place_notes/place_votes 缺 dataset_id（多数据集切换会串）。
+
+
+## rond-with-you：导入导出字段级一致（entity_raw 全字段留档）
+
+### 需求
+「引入 rondbackup 时就应该保留所有字段和数据」——把现有数据清空、用 `data/20260914_151649.rondbackup` 重新导入，
+并要求导出包与原始包**逐字段一致**；编辑表单把必填字段标出来。
+
+### 做法
+1. `entity_raw` 表（JSONB）在导入时存下每个实体的**完整原始行**（8 张业务表共 2540 行），
+   导出时不依赖基线库补字段，直接按留档逐列还原。
+2. 写入改成 `INSERT OR REPLACE` 写全列：管理列取 PG 当前值，其余列取留档原值。
+3. `entity_raw.skipped` 标记「因缺必填字段没能进 PG」的行（如无到达时间的孤独到访 ZVISIT#191），
+   导出时按留档原样补回——用户在站点上删掉的行不在此列，不会被复活。
+
+### 本轮修掉的 5 个不一致（对比脚本 tools/verify_rondbackup.py）
+| 问题 | 根因 | 修法 |
+|---|---|---|
+| ZVISIT 少 1 条 | 导入时 `Arrival == nil` 被跳过 | `skipped` 标记 + 导出补回 |
+| ZVISIT.ZLOCATION/ZACTIVITY_ 全成 NULL | `placeSrcByID` 用 `SrcPK` 当 key，而 `v.PlaceID` 是 PG 自增 id | queryPlaces/queryActivities 改查 `id`，用 id 作 key |
+| 时间戳差 1 微秒 | `Duration(float64秒 * 1e9)` 超出 float64 精确整数范围(2^53) | 整数秒与小数分开算：`int64(sec)*1e6 + round(frac*1e6)` |
+| ZREMARK_/ZEMOJINAME_ 空串变 NULL | 空串当未填写存成 NULL | `keepEmptyString()`：PG 值为 nil 且留档是 `""` 时写回 `""` |
+| 新建地点区县丢失 | 表单「区县」写的是 `district` 列，而导出映射的是 `sublocality` | 导出取 `COALESCE(sublocality, district)` |
+
+另外给 `newRowDefaults["ZLOCATION"]` 补 `ZRADIUS: 100.0`（真机地点都有值，NULL 可能触发 rond 异常状态）。
+
+### 结果
+12 张表（8 托管 + ZRAWVISIT/ZKEYWORD/ZPOICATEGORY/ZACTIVITYGROUP）逐列逐行 **总差异 = 0**；
+31 张表 / 47 个索引 / Z_METADATA(1585B) 结构完全一致；导出包 2871700B。
+新建「昆明站」后重导出：仅 ZLOCATION 多 1 条，其余仍 0 差异；
+新地点 ZPINSTYLE_=0 / ZTYPE_=0 / ZUSERADDED=0（不会再显示「固定」）。
+
+### 编辑表单必填标记
+- CSS 加 `.req`（红色星号）与 `.req-tip`（表单顶部说明行）。
+- 必填：地点=名称/纬度/经度；到访=地点/到达时间；行程=起止到访 src_pk；天气=时间。
+- 服务端补了 `editPlaceCreate` 的名称非空校验；`editPlaceUpdate` 名称留空时保留原值
+  （历史数据里有 1 个无名称地点，不该逼着补名字）。
+
+### 踩坑
+- `patchSQLite` 里 `sdb.SetMaxOpenConns(1)`：`BeginTx` 后任何 `sdb.QueryContext` 都会静默死锁
+  （表现为导出卡 5 分钟无输出）。所有只读查询必须在 `BeginTx` 之前做完。
+- Git Bash 的 `/tmp` ≠ `C:/tmp`，脚本要写到项目内路径。
+- psql 在 `/c/OtherFiles/PostgreSQL/18/bin/`（不是 Program Files）；`pg_restore` 必须带 `-f`。
+
+### 数据
+- 清库前备份 `storage/backup/rond-with-you-20260916-0012.dump`（custom 格式）。
+- 清库时误删了 place_notes(14) / place_votes(4)，已从该备份用 `pg_restore -t ... --data-only` 恢复。
+- 管理员凭据被临时重置过，已从备份还原原始 password_hash（原本就没启用 2FA）。
+
+## 第 5 轮：4 项优化 + 专题展示功能
+
+### 四项优化（用户「都修改」）
+1. **行程 / 天气表单不再手填 src_pk**：抽了通用可搜索选择器 `.picker`
+   （`data-source` 指向隐藏 select，JS 读 option 当数据源——避开模板 JS 上下文转义），
+   地点、起始到访、结束到访、天气关联到访四处复用；新增 `EditData.VisitOptions`（最近 500 条到访）。
+2. **活动可改名 / 删除**：`/admin/edit/activity/update|delete`；删除时把引用它的到访
+   `activity_id` 置 NULL 并清 `is_home/is_work` 冗余标记，再 pruneEntityRaw。
+3. **place_notes / place_votes 加 dataset_id**：主键扩成 (user_id, dataset_id, src_pk)，
+   用 DO 块判断主键列是否已是三列再重建（幂等）；旧数据回填到当前激活数据集。
+   notes/votes 包所有方法加 datasetID 参数，web 层调用点全部跟着改；
+   stats 里 `place_votes` 的 EXISTS 关联加 `pv.dataset_id = p.dataset_id`。
+   place_visitor_votes 保持不挂 dataset_id（设计上刻意跟地点走，注释已写明）。
+4. **异常时长裁剪**：`maxDwellMin = 10080`（7 天），stats 里 6 处 sum + 1 处子查询、
+   refreshPlaceAgg 全部改成 `sum(LEAST(COALESCE(duration_min,0), 10080))`；
+   存量 `places.dwell_minutes` 用等价 SQL 重算过（总停留 259096 → 218659 分钟）。
+
+### 专题展示（新功能）
+- **数据模型** `topics`：标题/副标题/说明、时间范围、中心点+半径（半径 0 = 不限区域）、
+  show_fog、enabled（是否对外展示）、sort_order。
+- **内容**：时间范围内的到访聚合出地点列表；区域过滤用写进 SQL 的 haversine 表达式
+  （`topicHaversineSQL`），一次查询同时完成过滤与统计。
+- **迷雾**不落库：地图用 `rondMap.full()`，瓦片按视口自动呈现——所以只要把视野限到
+  区域（或地点包围盒）即可。为此给 rond-map.js 的 full() 加了 `fitCircle` / `fitBBox` 覆盖默认的点集贴合。
+- **页面**：`/admin/topics`（新建/编辑/删除/开关/排序 + 列表）、`/topics`（卡片列表，只列 enabled，
+  站长看得到未展示的）、`/topics/{id}`（KPI + 地图 + 地点表；未展示的专题访客 404、站长可预览）。
+- 导航入口仅在数据集有专题时出现（`Page.HasTopics`，pageBase 里用一次 EXISTS 查）。
+
+### 两个坑
+- **`#map { height: 100% }` 是 ID 选择器**，`.topic-map { height: 520px }` 压不过它 →
+  容器高度算成 0，地图一片空白且 `fitBounds` 退化到 zoom 3。规则要写成 `#map.topic-map`。
+- 新增页面模板必须在 `pageFiles` 里登记，否则报「未知页面模板」——embed 的 glob 只是把文件带进
+  二进制，页面集仍按 map 显式列举。
+
+### 补：专题页地图不可见（用户反馈）
+用户看到专题页只有表格、没有地图——是我修 `#map` 高度塌陷之前的版本（CSS 优先级 bug）。
+服务端渲染一直是正常的（容器 1058×520、18 张瓦片、3 个聚类）。
+加固：地图高度改为 inline style（`style="height:520px"`，窄屏由 JS 改 360），
+再也不会被外部 CSS 的 ID 选择器影响；容器内加「地图加载中/被拦」兜底提示，
+脚本就绪（容器带上 leaflet-container 类）后 1.2s 自动隐藏。
+
+### 专题页布局与时间精度（用户第 6 轮反馈）
+用户嫌时间范围「缩成一团拆成三行」。根因：时间范围原本塞在 4 列 KPI 网格里，
+23px 字号放不下 `2026-08-14 09:00 ~ 2026-08-16 18:30`。
+
+- **时间范围独立成行**（`.topic-range`，13.5px），详情页放在标题/副标题之下；
+  列表页卡片同样独立一行。
+- **KPI 只放数字**：详情页去掉「时间范围」项，保留 地点/到访次数/涉及城市/累计停留（4 项，桌面 4 列、移动 2 列）；
+  列表页卡片改为 地点/到访/天数（`.kpis-3`，移动也保持 3 列）。
+- **说明文字**从 KPI 卡片里挪出来独立成卡（`.topic-desc`）。
+- **时间精确到分钟**：后台表单 date → datetime-local，并加载 flatpickr（`p.Flatpickr = true`）；
+  后端 `parseTopicTime` 同时接受 `2006-01-02T15:04` 与 `2006-01-02`（老表单兼容），
+  只给日期时把结束补到当天 23:59:59。
+- **显示规则**：整天（00:00 ~ 23:59）只显示日期，避免「00:00 ~ 23:59」噪音；
+  任一端带时刻则完整显示到分钟。
+- 移动端：KPI 2 列、卡片 3 列、时间范围 1 行、地图 360px、无横向滚动（均已实测）。
+
+**坑**：flatpickr 初始化后会把 input 的 `type` 改成 `text`，
+验证脚本里 `querySelectorAll('input[type=datetime-local]')` 会得到空数组——要按 `name` 查。
+
+### 到访记录加搜索（用户第 7 轮）
+之前只有地点列表能搜，到访记录只有分页。现在两处各有独立搜索词：
+- 地点列表 `q`、到访记录 `vq`（`EditData.VisitQuery`）；两个搜索表单互相带隐藏字段，
+  分页链接也带上对方的关键词，切来切去不会丢条件。
+- 到访搜索匹配：地点名 / 城市 / 备注 / 活动名 / **日期**（`to_char(arrival,'YYYY-MM-DD') ILIKE`）
+  / src_pk 精确命中。实测：「喜洲」5 条、「2026-08-14」7 条、「08-14」9 条（模糊）、「196」1 条。
+- 加了 `escapeLike()` 转义 ILIKE 通配符（搜 `%` 不再命中全部、`_` 不再变成任意字符），
+  地点列表的 `q` 也一并转义。
+
+**坑（第二次踩）**：Go 源文件是 CRLF，Python 里用 `"\n".join(...)` 拼出的替换串永远匹配不到。
+这类批量替换必须 `io.open(..., newline='')` 读入后按实际换行符拼串；替换后要 grep 验证真的写进去了
+（本次日期条件第一遍就是静默没生效，靠「搜日期返回 0 条」才发现的）。
+
+### 后台操作后不再跳回页顶（用户第 8 轮）
+后台的收藏 / 删除 / 搜索 / 翻页 / 专题开关都是传统表单提交 + 整页刷新，浏览器一律回到顶部。
+
+做法（layout.html 底部一段通用脚本，只在 `/admin` 下生效）：
+- `submit` 事件（捕获阶段）与「同路径 <a> 点击」时把 `scrollY` + 时间戳写进
+  `sessionStorage["rond:scroll:"+pathname]`；
+- 新页面 **load 之后**读出来滚回去（`document.readyState==="complete"` 时直接执行）。
+- 10 秒有效期：用户点了删除又在确认框里取消时留下的记录，不该在下次打开页面时把视图拽走。
+- 只对后台生效：前台「主页 → 详情」本来就该从头看。
+
+**两个坑**：
+1. 恢复必须在 `load` 之后做。放在 `</body>` 前的同步脚本里，文档高度还没定，
+   `scrollTo` 会被截断到 0（表现为「偶尔不生效」，CDP 直接 Page.navigate 时必现）。
+2. 验证要模拟真实路径：`form.submit()` 不触发 submit 事件，得点 `button[type=submit]`；
+   两步导航的验证脚本 import `site_cdp` 复用它的 CDP 类即可。
+
+## 新功能：照片批量导入（EXIF → 预览确认 → 落库）
+
+用户要「批量选照片 → 读 EXIF 生成地点 → 逐个修改确认 → 入库；拍照时间=到达时间，
+离开默认 +10 分钟可改」。
+
+### 实现
+- **`internal/exif`（新包，零依赖）**：手写 JPEG EXIF 解析。
+  只读两样：ExifIFD 的 `DateTimeOriginal(0x9003)` 与 GPS IFD 的度分秒 + 南北/东西半球。
+  流程：SOI 后逐段扫描 → APP1 且以 `Exif\0\0` 开头 → TIFF header（II/MM）→ IFD0 →
+  0x8769 指向 ExifIFD、0x8825 指向 GPS IFD。值 ≤4 字节内联在条目里，否则是偏移。
+  测试用「手工拼的最小 JPEG」覆盖：正常坐标 / 南纬西经 / 非 JPEG / 无 EXIF。
+- **`handlers_photos.go` + `templates/admin/photos.html`**：
+  `GET /admin/photos` 选照片 → `POST /admin/photos/parse` 解析并渲染可编辑确认表
+  （每行：是否导入 / 地点名 / 经纬度 / 到达 / 离开 / 说明）→ `POST /admin/photos/import` 落库。
+  上传与导入分两步，预览表单带着全部数据，不需要服务端暂存。
+- **坐标必须转**：EXIF 是 WGS-84，库内是 GCJ-02，用 `geo.WGS84ToGCJ02`。
+  实测 (25.6890,100.1560) → (25.686043,100.157229)，偏移约 350m，符合纠偏特征。
+- 每张照片 → 一个 place + 一条 visit（`is_user_added=TRUE`），src_pk 取 MAX+1 递增。
+- 上限：60 张 / 单张 25MB；HEIC 直接给出「暂无 EXIF 支持」的明确提示。
+
+### 边界
+- 无 GPS / 无拍摄时间 → 该行给出说明，默认取消勾选。
+- **GPS 写 (0,0) 的情况**（相机没定位时的常见写法）要当成无 GPS，否则会生成几内亚湾的点。
+- 导入时再校验一次坐标与时间，无效行跳过并在 flash 里说明跳了几张。
+
+### 追加：HEIC/HEIF 支持（用户反馈「现在手机默认都是 HEIC」）
+在 `internal/exif` 里加了 HEIF 容器解析（`heif.go`），并把 `Parse` 改成按魔数分发：
+JPEG（FFD8）走 `parseJPEG`，ISO BMFF（第 5~8 字节是 ftyp）走 `parseHEIF`。
+
+HEIC 的结构与取 EXIF 的路径：
+- 顶层找 `meta`（FullBox，负载前 4 字节是 version+flags）；
+- `iinf` 里遍历 `infe`，取 `item_type == "Exif"` 的 item_ID（v2 起 item_type 在 payload+8）；
+- `iloc` 里按 item_ID 找数据段：注意 offset/length/base_offset 的长度是「字节长度字段」，
+  v1/v2 还多一个 construction_method 与 index_size，必须逐个 readN 推进指针；
+- Exif item = 4 字节 TIFF 偏移 + 标准 TIFF → 后半段直接复用 `parseTIFF`（与 JPEG 完全共用）。
+
+要点：
+- 不引 libheif：内网/离线构建下 CGO 依赖太麻烦，而我们只要 EXIF；
+- `Parse` 的读取上限提到 32MB：HEIC 的 Exif item 位置由 iloc 指到绝对偏移，可能在文件靠后；
+- 新增测试：HEIC 正常解析、只有 meta 没有 Exif item、以及**截断到各种长度都不 panic**
+  （上传中断/文件损坏在真实世界都会出现，边界检查得逐个 readN 做）。
+- 实测：同一个表单里 HEIC + JPEG 混合上传，两张都正确解析出坐标与拍摄时间并成功入库。
+
+### 时间线排序按钮无效（用户第 9 轮）
+症状：「最早在前」点了没变化。
+根因：`timelinePage` 里把排序方向**硬编码**写死成 `"desc"`：
+`s.q.Visits(..., "desc")` —— 按钮生成的 `?sort=asc` 被完全忽略（查询层 `Visits` 本来就支持 asc）。
+修好后按 `p.Sort` 决定方向。
+
+实测：默认首日 2026-09-13 / 首条 20:40；`?sort=asc` 首日 2025-02-10 / 首条 12:00，
+按天分组的**天序与组内顺序都跟着反转**（groupByDay 按输入顺序建组，无需另改）。
+顺带核实地点库的 4 个排序按钮（到访次数 / 停留时长 / 最近到访 / 名称）数据确实会重排，无同类问题；
+翻页链接里也带了 sort（filterPairs 已包含），切页不会丢排序。
+
+**教训**：这类「按钮看得见但没反应」的 bug，根因多半是 handler 没用页面传来的参数
+（硬编码常量兜底），排查时先顺着「模板生成什么参数 → handler 读了没有」这条线走，比查 SQL 快得多。
+
+### 排序按钮（续）：切回默认不生效的真根因
+上一轮只修了「handler 硬编码 desc」，用户复现出第三类问题：
+**进入（默认）→ 最早在前（成功）→ 再点最新在前（失败）**。
+
+两个叠加的根因（都在链接拼装层，与 SQL 无关）：
+1. 「最新在前」按钮写成 `{{.Link .FilterBase}}`，而 `filterPairs()` 会把当前的 `sort=asc`
+   一起带上 → 点它得到的还是 `?sort=asc`。模板要显式清键：`{{.Link .FilterBase "sort" ""}}`
+   （`buildURL` 会跳过空值，所以空串等价于删除该参数）。
+2. `Link()` 把 extra 直接 append 到筛选参数后面，同键会拼成 `?sort=dwell&sort=name`，
+   而 `q.Get()` 只取**第一个** → 地点库从一个排序切到另一个也「点了没反应」。
+
+一并修掉：`Link()` 现在让 extra **覆盖**同名键（先按 extra 的键过滤 kv，再追加），
+值为空则等于删掉。地点库「到访次数」也改成显式清 sort。
+
+实测完整链路（进入 → 最早在前 → 最新在前）：首日 2026-09-13 → 2025-02-10 → **回到 2026-09-13** ✓；
+地点库在任一排序下点其他项，href 都是单一 sort 参数、点「到访次数」回到 `/places`。
+
+**教训**：页面筛选类的「点了没反应」，除了看 handler 有没有读参数，还要看**链接里参数有没有被正确替换/清除**——
+重复参数（`?a=1&a=2`）会让 `Get` 只认第一个，表现为「只能单向切」。
+
+### 照片导入改为「浏览器读 EXIF」（用户实测 51 张 334MB 崩掉）
+用户问得对：**原来的 EXIF 是在后端读的**，意味着每张照片都要先传到服务器。
+实测 51 张 / 334MB → 直接崩，原因链：
+- `http.MaxBytesReader(..., photoMaxBytes*4)` = **100MB 请求体上限**，334MB 当场被截断；
+- 即使放宽，`ParseMultipartForm` 会把超出内存的部分落磁盘，1C1G 上很难看；
+- 而且早期 handler 里只读前 2MB 交给解析器，**HEIC 的 Exif item 可能在文件后部**，本来就会漏。
+
+**改成前端解析**（`static/js/photo-exif.js`，算法与 Go 版一一对应，但必须分片读）：
+- 先 `file.slice(0, 64KB)` 读头部：JPEG 的 APP1、HEIC 的 meta/iinf/iloc 都在这一段；
+- HEIC 的 Exif item 位置由 iloc 给的是**绝对偏移**，若超出已读范围就再按偏移读那一小段；
+- 串行逐个读（并发几十个 FileReader 在手机上容易吃满内存）；
+- 页面只提交文本：`n` + 每行 name/lat/lon/arrival/departure + `wgs84=1`；
+  坐标转换仍放在服务端（`geo.WGS84ToGCJ02`），避免前后端两份实现跑偏。
+
+实测：**51 张 334MB → 1.2 秒**读完、51 张全部拿到坐标、表格 51 行、0 报错；
+服务端确认照片不过网（file input 无 name、form 无 multipart）。
+坐标链路单独验过：提交 WGS-84 (28.191654,106.123456) → 库存 GCJ-02 (28.188390,106.127306)，
+与 `geo.WGS84ToGCJ02` 的期望值一致。
+
+**加了世代号保护**：测试时发现 change 触发两次会让表格出现**双份行**（真实场景里用户连续选两次文件同样会中招）。
+用 `gen` 计数，旧一轮的解析结果一律丢弃。
+
+服务端 `internal/exif` 包保留（已无调用点）：它是 JS 实现的对照物，未来 JS 解析出问题时可以拿 Go 版交叉验证；
+若确定不再需要，可连同 `internal/web/handlers_photos.go` 里已删的上传路径一起清理。
+
+### 照片导入：地址反查 + 地图预览 + 坐标系可选
+用户反馈「只看经纬度看不出点对不对」+「不是所有手机都用 WGS-84」。
+
+1. **逆地理编码（新增 `POST /api/regeo`）**：坐标交给服务端 → 转成 GCJ-02 → 调高德 regeo
+   → 返回 formatted_address + 省/市/区/街道/乡镇。要点：
+   - **按 5 位小数去重**：同一地点拍的多张只查一次（省配额也省时间）；
+   - 4 并发 + 30 秒超时；
+   - 结果带 `key` 原样回传（前端传行号），否则去重后配不回原来的行。
+2. **名称默认用地名**：反查成功后，若名称还停在文件名（用 `dataset.initial` 判断用户是否改过），
+   换成「区县 + 街道/乡镇」——`IMG_20251219_095042` → `雨花区花侯路`。
+3. **地图预览**：`rondMap.preview` 把所有点画出来；坐标系选错时会跑到国外/海里，一眼可见。
+4. **坐标系可选**：WGS-84（默认）/ 已经是 GCJ-02（部分国产手机直接写 GCJ-02）。
+   实测同一坐标两种选择反查出的街道不同（相差几百米），说明选择真的生效。
+5. **每行「更多」**：类别/省份/城市/区县/街道/时区，反查结果自动预填，可改；导入时一并落库。
+
+实测 51 张 334MB：4.2 秒（含 51 次反查），51 个点位全部成功，0 报错。
+
+**坑**：`photo-exif.js` 一开始放在页面底部，DOM 还没解析到它就执行了内联脚本，
+`window.rondExif` 还是 undefined → 内联脚本直接 return，表现为「选了文件毫无反应」。
+把脚本移到页面最前面解决。另外 curl 在 Git Bash 里测静态文件大小会显示 0B（write error），
+用 `curl -s ... | wc -c` 才准。
+
+### 照片导入的字段补齐到与「新增地点」一致
+用户要求：类别、活动也要像新增地点那样是**可选下拉**，字段完全对齐。
+
+「更多」区现在分三行：
+1. **类别（下拉，16 项：已有类别中文 + 「自定义…」）**、国家代码、省份、城市、区县、街道、时区；
+2. **活动（下拉，31 个活动）**、备注、标记为收藏；
+3. 标签（多选 chips，与新增地点同款）。
+反查到的省/市/区/街道自动预填，类别与活动由用户选。
+
+实现要点：
+- 选项数据与数据编辑页**同源**（`editOptions` 查 activities/tags，类别查 `DISTINCT poi_category`），
+  保证两处能选的东西完全一致；
+- 选项通过**隐藏 select** 传给前端（内联 JSON 会被模板 JS 上下文转义搞坏，这个坑踩过）；
+- 写入复用 `insertVisit()`（内部含标签关联与 `refreshPlaceAgg`），
+  与「新增到访」走同一条路径——活动/备注/收藏/标签的行为因此天然一致；
+- 类别支持「自定义…」（`categoryCustomValue` 常量与数据编辑页共用）。
+
+实测落库：poi_category / country_code / province / city / district / thoroughfare / timezone /
+activity_id(纪念馆) / remark / bookmarked / visit_tags(羊肉粉店) 全部正确。
+
+**验证脚本的坑**：`DOM.getDocument` 拿到的 nodeId 在页面尚未就绪时会失效，
+报 `Could not find node with given id`——要等页面稳了再取，并加重试。
+
+### 照片导入：单点地图 + 高德限速
+用户反馈「所有点挤在一张图看不出哪个是哪个」+「一次性请求太多也不好」。
+
+1. **总图保留、每行可单独看图**：说明列加了「地图」链接（与「更多」并列），点开是个弹窗，
+   里面一张街区级（zoom 16）的地图指着这个点，标题是地点名、副标题是「地址 · 坐标」。
+   - **只建一个 Leaflet 实例**反复用（`setPoints` + `setView` + `invalidateSize`），
+     否则 51 行各建一个地图会直接卡死浏览器；
+   - 单点 `fitBounds` 会顶到最大缩放，所以底图就绪后用 `setView(..., 16)` 覆盖；
+   - 支持 Esc / 点遮罩关闭。
+2. **高德限速 10 QPS**：`time.NewTicker(time.Second / regeoQPS)` 逐个发令牌，
+   超出的请求排队等待（原来的「4 并发」只限制了并发数、没限制速率）。
+   51 个点位的反查耗时从 4.2 秒变成 6.3 秒——变慢正是限速生效的证据，也避免触发
+   `CUQPS_HAS_EXCEEDED_THE_LIMIT`。请求超时相应放宽到 60 秒。
+
+实测：总图 51 个点；单点弹窗标题「雨花区花侯路」、副标题「湖南省长沙市雨花区东山街道平阳路 · 28.141772, 113.067569」、
+zoom=16、9 张瓦片；关掉再点另一行，地图中心切到新点（实例复用成功）。
+
+### 「地图」两字被拆成两行
+原因：**中文默认可以在任意字之间断行**（`word-break: normal` 对 CJK 就是逐字断），
+说明列窄（220px）里放着说明文字 + 「地图」「更多」两个链接，链接被挤到只剩一个字宽。
+
+修法：
+1. 两个操作链接包进一个 `white-space:nowrap` 的容器，与说明文字分行；
+2. CSS 加一条通用规则 `.tb a { white-space: nowrap; }` —— 表格里的行内链接一律不许折行，
+   免得以后再加「编辑」「删除」这类两字链接又踩同一个坑。
+
+**扫描全站时学到的判据**：想查「短文本有没有被拆行」，别用元素高度
+（按钮的 padding、emoji 都会让高度超标），要用 Range 量文本实际占几行：
+```js
+var r = document.createRange(); r.selectNodeContents(el);
+r.getClientRects() 里 top 去重后的个数 = 行数
+```
+并且要跳过**含子元素**的节点（emoji 圆点都是子元素，会量出多个矩形）。
+收紧判据后扫 12 个页面：零命中。
+
+### 照片导入表：把「更多」挤出视口 → 改固定列宽
+症状：8 列加起来超出视口，最右边的「地图/更多」要横向拖动才看得到。
+根因：每个 input 自带 `min-width`（我原来给地点名 120px、坐标 98px、时间 170px…），
+列宽由内容撑开，总和必然超过屏幕。
+
+改法：`table-layout: fixed` + `<colgroup>` 百分比列宽（4/10/12/12/20/14/14/14），
+输入框统一 `width:100%; min-width:0` 跟着格子走。
+
+实测：1440 / 1280 / 1024 三种宽度**都没有横向滚动**、8 列全部可见，
+「地图@1098-1122」「更多@1132-1156」都在 1440 视口内。
+手机端（≤700px）额外隐藏信息量最低的「文件」列，最小宽度从 880px 降到 640px
+（8 列表格在 390px 屏上物理上放不下，滑动仍不可避免，但滚动量小了）。
+
+**注意**：`tInput` 里我一度写了个未定义的 `inPhotoTable` 变量——`node --check` 只查语法，
+这种运行时 ReferenceError 查不出来，是靠读代码发现的。这类模板内联 JS 的改动，
+除了语法检查还要过一眼变量引用。
+
+### 照片导入：失败重试 + 最近店名
+用户问「查不到的地址能否再查」「能否给最近的地点（店名）而不是街道」。
+
+1. **重试**：
+   - 网络层：`amapGet` 失败退避重试 3 次（400ms / 800ms）；
+   - 交互层：新增「重新反查未成功的」按钮，只挑地址列还是占位符「—」的行重发。
+2. **店名（关键）**：不要用 regeo 的 `pois`——`extensions=all` 返回的 30 条多是行政单位
+   （实测「雨花区黎托乡东山村村民委员会」）。改用**周边搜索** `place/around`：
+   `radius=200 & offset=1 & sortrule=distance`，按距离排序取第一条才是店名
+   （实测「悦达餐厅」95m、「浏阳蒸菜…」145m）。
+   显示成「店名（距离）· 完整地址」，地点名默认也用店名；取不到就退化成「区县+街道」。
+3. **限速位置调整**：原来的令牌桶放在 `apiRegeo` 的循环里（按点位发），
+   现在每个点位要发 2 次请求（regeo + around），按点位限速就不准了 →
+   把限速挪进 `amapGet`，所有高德请求统一 10 QPS。51 张照片耗时 6.3s → 11.3s（102 个请求），符合预期。
+4. 实测：51/51 点位反查成功，其中 **31 个拿到店名**（其余 20 个周边 200m 内没收录）。
+
+**踩的坑**：`rowRefs` 定义在 change 回调内部，而 `applyOne`/重试按钮在外层作用域 →
+运行时报 `rowRefs is not defined`，表格地址全空。提到外层解决。
+另有：用 Python 改模板 JS 时，替换后残留了一段旧回调代码，`node --check` 抓到了多余的大括号
+——**改完模板内联 JS 一定要跑一次语法检查**。
+
+### 导出 fwss 缺内容（用户怀疑得对）+ 收藏按钮被挤出视口
+
+**1. 收藏被挤出**：`.row` 里的备注设了 `flex:1 1 220px`（会自动拉伸占满剩余空间），
+把最右边的「标记为收藏」顶出了可见区域。改成 `flex:0 1 260px`（不拉伸）后三者紧凑排列：
+活动右边界 376 / 备注 646 / 收藏 748，都在 1440 视口内。
+
+**2. fwss 导出确实缺数据**（这是本轮最重要的发现）。
+fog of world 的快照里有**三类瓦片**，我们原来只解析了第一类：
+
+| 目录 | 原始包里 | 每块字节 | 原来 |
+|---|---|---|---|
+| `Model/*` | 52 个 | 512 + 3（位图 + 元信息） | 解析并导出 ✓ |
+| `Model/~` | 52 个 | 512（纯位图） | **被跳过** ✗ |
+| `Model/#` | 54 个 | 3（仅元信息） | **被跳过** ✗ |
+
+体积正好对得上：`*` 类未压缩 6.18MB / 三类 13.8MB ≈ 45%，而导出是 299KB / 原始 680KB ≈ 44%。
+
+修法（`internal/fog/layers.go` + `fog_raw_files` 表）：
+- 新增 `RawLayers(data)`：从快照里挑出**非 `Model/*`** 的条目，存**原始压缩字节**（不解压、不重组）；
+- 上传时调 `SaveRawLayers` 落库；导出时 `LoadRawLayers` 读出、原样写回 zip；
+- `Encode(blocks, layers)` 签名相应增加一个参数；
+- 已用一次性脚本把现有快照的 106 个文件补录进库。
+
+实测：导出 **299KB → 701KB**，条目 158→169（`*` 63 + `~` 52 + `#` 54），
+往返解析块数/格数完全一致（10542 块 / 670565 格）。
+（`*` 比原始多 11 个瓦片，是因为库里是多次导入合并后的 10542 块，比单个快照的 8701 块多。）
+
+**教训**：解析第三方文件格式时，先**枚举压缩包里的全部条目并按目录分组**，
+别看到一类目录就以为全了——`Model/*` 那 52 个文件只是三分之一。
+
+### 程序新建的地点显示「无数据」——最近活跃时间（ZLOCATION.ZLASTARRIVALDATE_）
+
+**现象**：app 里加的地点（如贺州站(出站口)）能显示「最近活跃时间」，程序（照片导入 / 手工新增）建的地点一律显示「无数据」。
+
+**取证**（别再靠猜，实测数据如下）：
+- 枚举 ZLOCATION 全部 33 列，时间类只有 `ZLASTARRIVALDATE_` 一列，
+  贺州站(#97) 该列 = 2025-09-21 17:43 = 它唯一一次到访的到达时间 → 它就是「最近活跃时间」。
+- 原始包 323 个地点的分布：有到访 281 个写最新到访时间、2 个写 distantPast 哨兵（app 自己漏更新）；
+  无到访 38 个写哨兵、2 个写 NULL。**哨兵值 = -63114076800**（Core Data 的 distantPast，
+  换算即公元 1 年），判空时不能只看 IS NULL。
+- 我们这边：`ZLASTARRIVALDATE_` 在代码里**零引用**——parse 不读、export 不写。
+  数据库里 367 个地点有 326 个 `places.last_visit_at` 有值（refreshPlaceAgg 算得很准），
+  只是导出没把它写进包，新行留 NULL → rond 显示「无数据」。
+
+**修法**（`internal/rond/export.go`）：
+1. `ZLASTARRIVALDATE_` 加进 `managedCols["ZLOCATION"]`，值取 `places.last_visit_at`（`appleSeconds`）；
+2. 新增 `keepNilCols`：PG 侧为 NULL 时**保持基线原值**——从没到访过的地点，
+   app 写的是哨兵或 NULL，站点复现不了就别用 NULL 去覆盖。
+   落到 `tableWriter.keep`：UPDATE 分支跳过该列、writeFull 分支回退留档原值（新增 `typeOf` 取列类型）；
+3. `pgPlace` 加 `LastVisitAt sql.NullTime`，`queryPlaces` 多取一列。
+
+**实测**：导出 367 个地点里「有到访却为空」从 43 个降到 **0**；程序新建的地点现在都带时间
+（茶颜悦色 → 2025-12-21 14:01）。无到访的 41 个保持原样（38 哨兵 + 3 NULL）。
+与原始包逐行比对：除用户手改过的 4 条到访（导出跟随真值，是应该的）+ 哨兵回填 2 条，零漂移。
+
+**新增回归测试** `TestLastArrivalDateMatchesVisits`（需 ROND_EXPORT）：断言每个有到访的地点
+该列 == max(ZVISIT.ZARRIVALDATE_)。拿旧导出跑会失败 —— 已验证它抓得住这个 bug。
+
+**顺带**：
+- `tools/verify_rondbackup.py` 原来把两个包路径写死在文件头，改成可传命令行参数。
+- `TestExportRoundtrip` 是「同一份数据」的严格对比，数据一旦被编辑过就会失败
+  （旧导出文件现在跑同样失败），不是本次改动引起的。
+
+**留了个待批的小问题**：照片导入是「先 INSERT places、再 insertVisit」两步且无事务，
+写到访失败时地点会留下成为孤儿（visit_count=0），它导出去照样显示「无数据」。
+另外手工新增地点的「到访时段」是选填的，留空就只建地点——这种本该显示「无数据」，属正常。
+
+### 照片导入并入事务 + 全库「输入了但导出缺东西」的系统排查
+
+**1. 照片导入/手工新增改成事务**（`internal/web`）
+- 新增 `execer` 接口（`*sql.DB` 与 `*sql.Tx` 的公共子集）与 `Server.withTx`；
+  `insertVisit` / `saveVisitTags` / `refreshPlaceAgg` 加一个 `ex execer` 参数，其余调用点传 `s.db`。
+- 照片导入：每张照片的「建地点 + 建到访」放进一个事务；失败整体回滚并把 `nextPlaceSrc--` 让出主键。
+- 手工新增（`editPlaceCreate`）：**把所有校验提到落库之前**，再开事务写「地点 + 到访」。
+  以前是先建地点、再校验时段，时段不合法就留一个没有到访的地点（提示还写「地点已新增」）。
+  实测：非法到达时间提交后 places/visits 计数完全不变；合法提交则地点+到访一起落库。
+
+**2. 系统性排查「用户输入了、导出到 rond 却缺东西」**（这次最有价值的部分）
+两步法，缺一不可：
+ - **代码层**：把 `internal/web` 的 INSERT/UPDATE 列与 `export.go` 的 `managedCols` /
+   `newRowDefaults` 对照，找出「站点写了但导出不写」的列；
+ - **数据层**：拿原始包（app 造的行）与导出包（程序新建的行，`Z_PK > 基线最大主键`）
+   **逐列比对非空计数**。注意各表主键区间不同，基线最大主键要**按表分别算**。
+   凡是「app 高覆盖、新建行全空」的就是缺口。
+
+查出并修掉的缺口（`internal/rond/export.go`）：
+| 列 | 真机覆盖 | 修法 |
+|---|---|---|
+| `ZLOCATION.ZRAWLATITUDE/ZRAWLONGITUDE` | 323/323 | 新地点用 `geo.GCJ02ToWGS84(lat,lon)` 反算填上 |
+| `ZVISIT.ZIDENTIFIER_` | 822/824 | 新到访补确定性 UUID（16 字节） |
+| `ZACTIVITY.ZUID_` | 30/30 | 新活动补确定性 UUID |
+| `ZACTIVITY.ZLASTARRIVALDATE_` | 29/30 | 由「该活动下最晚到访」算（已逐行验证 28/30 精确相等） |
+| `ZTAG.ZLASTARRIVALDATE_` | 8/8 | 由关联表聚合（验证 6/8 相等） |
+| `ZACTIVITY.ZICON_` | 30/30 | 站点无图标入口，缺省 `📍`（同站点模板 `iconor` 兜底） |
+
+**关键发现：raw 坐标是 WGS-84**。`ZLATITUDE` 是 `gcj(ZRAWLATITUDE)`——用 Python 复刻 GCJ-02
+正变换验证 293/323 精确命中（另 30 个是用户挪过点的）。所以新地点要反算 WGS-84，不能直接复制。
+
+**UUID 必须确定性**：真机存的是 v4 随机值，但站点用它当身份标识，随机会导致每次导出都变、
+rond 把同一批记录当成新的。改用 UUIDv5（命名空间 + `表名/src_pk`，src_pk 跨快照稳定）。
+
+**新增测试**（`internal/rond/export_roundtrip_test.go`）：
+- `TestUUIDv5`：同名校验确定性、版本/变体位、跨表不碰撞；
+- `TestProgramRowsFillNativeColumns`：导出包里「新建行」的原生列必须全部有值
+  （拿旧包跑会失败，已验证抓得住）。
+
+**确认不是缺口的列**（真机自己也是空的，别去「修」）：`ZVISIT.ZRAW`（是整数，原始采样点
+**数量**；真机手工加的到访同样为空）、`ZMERGEDTO`/`ZPARENT`/`ZTIMEZONEIDENTIFIER`、
+`ZLOCATION.ZNOTE_`（站点另有 place_notes，且是 rond→站点的单向汇总，不回写）。
+
+**顺带确认的两件事**：
+- `TestExportRoundtrip` 是「同一份数据」的严格对比，数据被编辑过就会失败（旧包现在也失败），
+  别把它当成本次改动的回归信号。
+- `gofmt -l` 会把全仓库都列出来：文件是 CRLF 行尾，属既有状态，不是格式坏了。
+
+### 迷雾（fog of world）这边有没有同类问题——有，修掉了
+
+用户问「另一边的迷雾数据库会不会有类似问题」。方法是把整条往返链路**逐字节**比对：
+写一个临时程序（`fog.Decode` + `RawLayers` → `fog.Encode`）拿真机快照
+`data/Snapshot-20260914T154839+0800.fwss` 做「解析→重打包」，再逐条目、逐块、按格比对。
+
+**结论：位图 0 差异、瓦片名 0 差异、块索引结构 0 差异，但 3 字节元信息 8701/8701 全部不一致。**
+- 真机：`[0x00, hi, lo]`，那 3 字节其实是一个**大端 24 位数 = 置位数×2+1**
+  （118 格 → 0x0000ED = 237 ✓）。64×64 块最多 4096 格 → 值 ≤ 0x2001，**最高字节在数学上恒为 0**。
+- 旧 `extraBytes` 却按臆造的 `0x10, 0x80|…` 生成（大概是早先写体积对比实验时的猜测被抄进了实现）。
+  修法：`return []byte{0x00, byte(sum>>8), byte(sum&0xFF)}`，并写清楚为什么最高字节恒为 0。
+
+顺带搞清了包的层级结构（之前只模糊知道「三类瓦片」）：
+- `Model/*/` = 头 32768 + 每块 515（512 位图 + 3 元信息），id 区间 110996~115099；
+- `Model/~/` = 头 + 每块 512（纯位图）；`Model/#/` = 头 + 每块 3（纯元信息）。
+  这两层的**文件名用另一套编码，与 `*` 完全不重叠**（三者的名字集合两两交集为 0），
+  所以无法一一对应；只要**原样留住**就不会丢东西——实测这两层导出后逐字节一致。
+- `.fwss` 的 zip **条目内容本身就是 zlib 流**，不是明文（这点搞错过一次：拿解压后内容去比压缩字节，
+  白白困惑了一阵）。
+
+**另外两处同类隐患，一并修了**：
+- `RawLayers` 原来只留 `Model/` 之下的条目，若快照出现别的顶层条目就会被丢掉；
+  改成「留住全部条目，剔除已探索层与被 Decode 解析掉的瓦片（按文件名判断，避免解析一遍又写一遍）」。
+  顺手把「超 8MB 就报错」加上，不再用 `LimitReader` 静默截断。
+- `清空迷雾` 只删了 `fog_blocks`，留存的 `~`/`#` 还在 → 导出的快照会有图层条目却没有对应的
+  `Model/*` 瓦片。现在 `清空` 与 `整体替换(cover)` 都会连 `fog_raw_files` 一起处理。
+
+**实测（站点实际导出，10542 块）**：
+- 每块元信息符合公式 **10542/10542**，首字节全为 0；
+- `Model/~` 52/52、`Model/#` 54/54 与原始快照**逐字节一致**；`Model/*` 瓦片 0 缺失；
+- 「导出 → 清空 → 重新上传 → 再导出」**169 个条目 0 差异**（清空后库为 0/0，还原后 10542/106）。
+
+**新增测试** `internal/fog/fog_test.go`：
+- `TestNativeSnapshotRoundtrip`（需 FOG_SRC）：条目名集合、按格逐块比对位图与元信息、其它层逐字节；
+  拿旧的 `extraBytes` 跑会失败（已验证）；
+- `TestExtraBytesEncoding`：钉住 3 字节编码，含满块 4096 格 → 002001。
+
+**留待真机验证的一点**：`~`/`#` 两层覆盖的瓦片与 `*` 完全不同，我们无法为「新点亮的迷雾」生成这两层
+的条目。若 fog of world 实际读的是这两层，那么站内新加的迷雾就不会体现在那里——但站点本身没有
+手工点亮格子之类的功能，迷雾只会来自上传的快照，所以这条影响面很小，标记为待真机确认。
+
+### 迷雾图层默认打开（前端）
+
+用户反馈：迷雾浓度滑杆一直摆在图上，但图层默认是关的，会让人以为功能已经开了。
+根因：`rond-map.js` 的 `full()` 里 `fogLayer` 只注册进 `L.control.layers()` 的 overlays，
+**从没 `addTo(map)`**（Leaflet 的 overlay 默认不勾选），而滑杆却无条件创建。
+
+改法（`internal/web/static/js/rond-map.js`）：
+- `addFogOpacityControl` 返回控件本身（原来是 `new Ctl().addTo(map)` 丢弃返回值），
+  这样能拿到 `getContainer()` 去显隐；
+- 默认 `fogLayer.addTo(map)`；只有用户自己关过（`localStorage['rond.fogOff']==='1'`）才不显示；
+- 监听 `map.on('overlayadd overlayremove')`（判 `e.name === '世界迷雾'`）同步：
+  图层关掉就把浓度滑杆一并 `display:none`，并把开关状态写回 `rond.fogOff`。
+  这样「控制项」和「实际状态」永远一致，不会再出现「滑杆在、迷雾不在」。
+
+**注意**：静态资源走 `//go:embed static`，只有 `debug=true` 时才直读磁盘
+（见 `server.go` 的 routes：debug 下 `http.Dir("internal/web/static")`）。
+本项目 conf/app.ini 是 `debug = true`，所以改 JS 不用重编即可验证；但**生产模式必须重编**。
+
+**无头实测**（`rond-web-verify` 技能，1440 与 390 两个视口）：
+- 首次打开：图层勾选 true、浓度控件可见（116×49，在视口内、与图层/缩放控件不重叠）、
+  滑杆默认值 90、迷雾瓦片 30 个全部加载（移动端 12 个）、无 JS 报错；
+- 取消勾选：瓦片全部撤下、浓度控件 `display:none`、`rond.fogOff=1`；
+- 再勾选：全部恢复；
+- 专题页 `/topics/3` 同样 18/18 瓦片加载；首页走 `preview()`，本来就没有迷雾与滑杆，未受影响。
+
+**顺手发现的（未改，等确认）**：专题管理页那个「展示世界迷雾」勾选框（`topics.show_fog`）
+**在前端根本没被读**——`topic.html` 调 `rondMap.full()` 时没把 `ShowFog` 传进去，
+`view.go` 的 `ShowFog` 字段也没有渲染消费方。也就是说它一直是个死控件。
+库里唯一的专题 `show_fog=t`，所以当前行为无差异；要不要把它接上（专题页可不显示迷雾）等用户定。
+
+### 专题迷雾开关接上 + 用户名可改 + 登录验证码
+
+**1. 专题的「展示世界迷雾」生效**
+`topics.show_fog` 一直是个死控件：`topic.html` 调 `rondMap.full()` 时没传，`view.go` 也没有消费方。
+现在模板传 `showFog: {{if .Topic.ShowFog}}true{{else}}false{{end}}`，
+JS 侧 `var wantFog = opts.showFog !== false;` —— 为 false 时图层、浓度滑杆、图层选项都不出现。
+实测：把 show_fog 置 false → fog 瓦片 0 个、无浓度滑杆；还原 true → 18/18 瓦片、滑杆回来。
+
+**2. 用户名可改**（`/admin/password` 页面升级为「账号设置」，导航按钮同步改名）
+- `auth.Store.ChangeUsername(ctx, userID, current, name)`：先验当前口令，再查占用，最后 UPDATE。
+  新增 `ErrUsernameTaken`。**改名不会踢掉当前登录**——会话 cookie 只含 uid 与口令摘要，都不含用户名。
+- 校验（`validateUsername`）：2~32 个字符（按 rune 数）、不含空白与控制字符、不能与当前同名。
+- 新增路由 `POST /admin/username`；失败时带上 `Username` 回显。
+- 实测：四条负路径（同名/太短/含空格/口令错）文案都对且库未被改动；
+  正路径用一个**临时用户**的 DB 测试覆盖（`ROND_DSN` 门控）：口令错 → ErrInvalidCredentials、
+  占用 → ErrUsernameTaken、改名成功 → UserByID 拿到新名、旧会话 token 仍有效、原口令仍可登录，
+  结束自动删除临时用户。
+
+**3. 登录图形验证码**（新包 `internal/captcha`）
+- 自绘 PNG，**不引新依赖**：内置 5×7 点阵（数字 + 大写字母），放大 4 倍后逐字符抖动，
+  再叠干扰线与噪点。取码字符集去掉 0/O、1/I/L。
+  **踩过的坑**：字符宽 20、步长 26 时抖动后最小间距只剩 2px，相邻笔画会串在一起
+  （回读测试把 L 读成了 E）→ 步长改 30，画布 130×40。
+- 服务端只存答案：`Store`（内存 map + 过期 + 上限剔除），一次性使用，10 分钟过期。
+  `Issue()` 出图并返回 id（写进 `rond_captcha` cookie），`Verify()` 无论对错都作废。
+- `GET /captcha` 出图（`Cache-Control: no-store`）；登录页 `<img>` 引用它，点击带时间戳换一张；
+  `loginSubmit` **先验码再验口令**，失败提示「验证码不正确或已过期」。
+- 测试：`internal/captcha` 覆盖一次性/过期/大小写容错/清理，以及**从图里逐位回读答案**
+  （模板匹配，命中加分误命中扣分）——这条同时保证「图里画的确实是答案」，否则用户会被自己锁在门外。
+- 端到端（真实 HTTP + 从 PNG 回读验证码）：正确码 + 错口令 → 走到「用户名或密码错误」；
+  同一张码二次使用 → 被拒；新码 + 错码 → 被拒；无 cookie → 被拒。
+
+**登录页布局踩的坑**：`input[type=text]` 全局 `width:100%` 会把验证码图挤到下一行；
+且 `label.f > span` 的 `display:block` 会盖掉 `.row` 的 flex（`.f > span` 特异性更高）。
+改用 `div class="row"` + 输入框内联 `flex:1 1 0;width:auto;min-width:0`。
+实测 1440/390/320 三个宽度：输入框与图同一行、间距 8px、无横向溢出、无 JS 报错。
+
+**说明**：验证码能挡住傻瓜机器人，但**挡不住 OCR**（可回读就是证明）。
+真正的防线仍是已有的 TOTP 两步验证——这点在回复里跟用户讲清楚了。
+
+### app.ini 里的库不存在时自动创建
+
+`db.Open` 原先只会 Ping 一次然后报错。现在：Ping 失败且错误是**「库不存在」**（SQLSTATE 3D000，
+驱动只给文本时按消息兜底）时，连维护库把它建出来再重试一次。
+
+- 维护库优先 `postgres`，没有就退回 `template1`；库名走 `pgx.Identifier{}.Sanitize()` 转义，
+  配置里写什么名字都拼不坏语句；并发启动撞到 "already exists" 视为成功。
+- **只在库不存在时兜底**：端口不通、口令错这些原样报错，不会被误当成「那就建个新的」——
+  否则 DSN 里库名打错也会静悄悄建个空库，用户看到的是个空站点。这条专门写了测试。
+- 建库时打日志「数据库 X 不存在，已自动创建」，让配置写错的情况看得见。
+- 权限不足时报「（当前账号可能没有 CREATEDB 权限）」。
+- 用 `pgx.ParseConfig` 复用 dsn 里除库名外的全部参数（主机/端口/账号/口令/sslmode），
+  不用自己拆 URL（pgx v5 的 `ConnConfig` 没有 `ConnString()`，所以维护连接用 `pgx.ConnectConfig` 直连）。
+
+实测：
+- 临时配置指向 `rond_autocreate_check`（库不存在）→ 日志出现「已自动创建」，
+  库建好、18 张表建全、初始管理员也建了、服务正常监听；
+- 端口改成 5499 → 报连接失败且**没有**建库；口令改错 → 报认证失败（28P01）；
+- 新增 `internal/db/db_test.go`（ROND_DSN 门控）：自动建库 + 建表 + 用完自动 DROP，
+  既有库正常连接，以及 `isDatabaseMissing` 的识别边界。跑完测试库已清理干净。
+
+### 上传备份后没有任何提示 + 配置样例不完整
+
+**1. 提示被吞掉（根因）**
+`adminFlash` 把消息挂在 URL 上重定向到 `/admin?ok=`/`?err=`，但 `adminHome` **从来没读这两个参数**
+（photos/notes/topics/edit/settings/password 都读了，唯独后台首页漏了）。
+于是上传备份、导入/清空迷雾、开关两步验证、删除数据集的所有提示全都无声无息——
+用户反馈的「rond 文件上传后没有任何提示」就是这么来的。
+
+修法：给 `Page` 加 `SetFlashFromQuery(r)`（把「跳回本页的处理必须接住提示」写在注释里，
+免得下次再漏），`adminHome` 与 `twofaPage` 都改用它。
+实测：错误文件 → 页面显示「文件类型不正确…」；重复内容 → 显示「与已有数据集 #9 完全一致
+（866 条到访、367 个地点），未新建快照」。
+
+**顺手校正的数据**：`datasets.visit_count/place_count` 还是 867/368，比实时数据多 1——
+是我上次用裸 SQL 删测试地点时没走 `refreshDatasetAgg`。已按同一语句重算为 866/367。
+（教训：动 places/visits 一定要同步数据集缓存计数。）
+
+**2. 配置样例不完整**
+对照 `config.Load` 真正读取的键（以 `get(kv,...)`/`getInt(kv,...)` 为准）扫了一遍：
+- 样例缺 `geocode_key`（后台「按名称搜坐标」的高德 Web 服务 Key）→ 补上，并写清它与瓦片 JS Key
+  不是同一种、留空则功能关闭。
+- 顺带发现 **`base_url` 是个死键**：struct 里有、会解析，但全仓库（代码/模板/JS/README）无人使用
+  → 直接把 `Config.BaseURL` 删掉。留着「填了没反应」的键，比没有更容易让人怀疑自己。
+- 样例里补上：库不存在会自动创建（及需要 CREATEDB 权限）、目录会自动创建、环境变量
+  `ROND_ADMIN_USER` / `ROND_ADMIN_PASSWORD` 的作用。
+- 新增 `internal/config/config_test.go` **双向**校验样例与代码：代码读的键必须在样例里出现，
+  样例里出现的键也必须真被读取（拼错或死键都会失败）。已验证能抓到（注释掉 geocode_key 即红）。
+
+### 调查：删掉的地点又出现 + 城市黑名单与迷雾
+
+**1.「建设路」删掉后地图还在显示——没复现出 bug，是「快照式导入」把它带回来了**
+在测试库（`conf/app-test.ini` → `rond_fog_test`，现在已自动建库并导入了同一份备份）完整复现：
+- 通过站点删除 src_pk=119 的建设路 → `/api/points` 立刻不再返回它（278 个点），删除**本身是好的**；
+- 再传**同一份**文件 → 走「内容完全一致」分支，**不会**重新导入，删除保持 ✓；
+- 传一份**内容不同**的备份 → 新建数据集 #2 并接管展示，**建设路又出现了** ✓ ← 这就是用户看到的现象。
+
+结论：站点是快照式语义（每次导入 = 一个新数据集接管展示，内容以备份为准），
+所以「先删、后传备份」必然把删掉的地点带回来。生产库的活动数据集是今天 00:48 导入的，时间线吻合。
+- 顺手把上传卡片的说明改写清楚（原话只有一句「重复上传同一份备份会替换原有数据」，会误导）；
+- 另记：站点上新加的地点属于当时那个数据集，传新备份后要看它们得在数据集列表里切回。
+- 待用户决定（未实现）：是否要「删除墓碑」——导入时把站点上删除过的 src_pk 再删一遍，让删除真正持久。
+
+**2. 城市黑名单（`settings.regions` + `regions_mode`）**
+- **只对访客生效**：`filterOf` 里写着「站长自己要看全部数据」，所以登录状态下试是不会有变化的
+  ——这很可能是「好像无效」的第一层原因。
+- 审计了所有直接查 `places` 的公开路径，修掉三处漏过滤（`apiCityAgg` 作者已经处理过并留了注释）：
+  | 位置 | 泄漏内容 | 修法 |
+  |---|---|---|
+  | `fogCoverage` | 迷雾「涉及城市」列表里带出黑名单城市 | 加 `regionSQL(f.Regions, f.RegionsExclude)` |
+  | `extremePlace` | 报告页「最北/最南」直接显示**地点名与城市** | 同上 |
+  | 报告页「新地点」计数 | 数字里含黑名单区域的地点 | 同上 |
+  实测（测试库把河池市/长沙市/贵阳市设为黑名单）：访客的迷雾城市列表不再出现河池市（站长仍可见）；
+  报告页「最北」由「小平香辣老素粉·贵阳市」变成「喜洲古镇洱海环境监测站」；新地点计数 47 → 24。
+- **迷雾瓦片图层无法按城市过滤**：迷雾是站点级数据（`fog_blocks` 不分数据集），
+  格子上没有任何城市归属信息，要按城市遮罩得先有行政区划边界。这条只能如实告诉用户。
+
+### 追查「未命名」点：不是删除留下的残影
+
+用户提示「删掉建设路后刷新页面大概率会变成未命名」。在测试库照做，结论是**不会**：
+- 删掉建设路（src_pk=119）后 `/api/points` 322 → 321，不含建设路，`visits` 里 place_id 为空的记录 0 条
+  （`visits.place_id` 是 ON DELETE CASCADE ✓ 到访跟着删）；
+- 空名字的点只有一个，**删除前就已经存在**：测试库 id=365 / 生产库 id=1987，都是 **src_pk=42**，
+  地址字段全空、1 次到访（2025-10-16 22:26→22:46），坐标 24.6898/108.0365，
+  与建设路相距约 1.9km、到访日期也不同 → **两条不同记录**。
+- 名字为空的源头在**原始备份里**：`ZLOCATION` Z_PK=42 本来就是 `ZNAME_=NULL, ZLOCALITY=NULL`
+  （整包仅此 1 条），是 rond 自己记的无名停留点，不是我们导入丢的。
+- 生产库的建设路**仍然存在**（id=2064，1 次到访 2025-10-18），我未动生产库。
+
+**黑名单「无效」的完整解释（三层）**：
+1. **只对访客生效**（`filterOf` 有意为之）→ 登录状态下试必然没变化；
+2. 迷雾瓦片无法按城市过滤（雾是站点级、格子无城市归属）；
+3. 黑名单匹配的是 `province/city/district` **文本字段** → 地址全空的点匹配不上。
+   实测黑名单=河池市：访客侧 92 个 `city='河池市'` 的点全部消失，但 src_pk=42 那个空地址点**照样返回**。
+
+**可提议的改进（未实现，等用户定）**：导入时对地址为空的点用高德 regeo 反查补上 city/district
+（站点已有 `geocode_key`），这样黑名单能覆盖它们，顺便这类点也能显示成真实地名而不是「未命名」。
+代价是要吃反查配额，得限量/串行。
+
+### 反查补全无地址地点 + 迷雾遮罩区（对访客隐藏的范围）
+
+**A. 反查补全**（`internal/web/backfill.go` 新增）
+- `backfillPlaceAddresses(ctx, datasetID, limit)`：只挑「地址全空或名字为空」的地点，
+  **只填空着的列**（不覆盖已有值）；名字为空时依次尝试：最近 POI（`amapNearestPOI`，与 rond 自己的命名方式一致）
+  → 街道 → 乡镇。复用现成的 `amapRegeo` 与 `amapGet` 里的全局 10QPS 限速，`limit` 兜住配额。
+- 三处接线：① 导入成功后自动跑（限 20 条，结果拼进 flash）；
+  ② 后台首页数据集卡片上的「补全缺失地址」按钮（每次 100 条，点了会告知还剩多少）；
+  ③ 路由 `POST /admin/places/backfill`。
+- **实测**：测试库那条 `name=''`/`city=NULL` 的点 → 「寿乡雪花牛肉 · 广西壮族自治区 河池市 金城江区」；
+  **生产库也跑了一遍**（用户说「有的都反查」）：id=1987/src_pk=42 同样的结果，库里已无缺地址的地点；
+  导入钩子单独验证 —— 先清空该点名字、从测试库导出一份**内容不同**的备份再上传，
+  提示里出现「已自动反查补全 1 个缺地址的地点」✓（内容相同的备份会走「完全一致」分支，不触发导入）。
+- 顺带：`conf/app-test.ini` 原来没配 `geocode_key`，这功能在测试环境是关闭的 → 补上。
+
+**B. 迷雾遮罩区**（新表 `fog_masks`、`internal/fog/mask.go`、`internal/web/fog_mask.go` + 管理页）
+- 数据模型是**圆**：中心（存 GCJ-02，与 places 同系）+ 半径（米）。
+- 判定前把中心换算到迷雾网格（WGS-84）；注意网格纵向边长恒定、横向随纬度乘 cos(φ) 收缩，
+  所以「地上的圆」在网格里是**椭圆**（横向更宽）——按正圆算的话高纬度会明显偏窄。
+- `RenderTile(blocks,z,x,y,crs,masks)`：被遮住的格子既不画填充，**也不算「未探索」的邻居**，
+  否则遮罩边缘会被描出一圈轮廓，等于把隐藏范围本身暴露了（为此加了 hole 缓冲）。
+  低缩放级（格子小于 1px）按块中心判定。
+- `handleFogTile` 只给**访客**带遮罩（站长要看完整迷雾才能核对遮哪里）；覆盖率同样只对访客扣掉
+  遮罩内的地点与格子（`MaskSet.MaskedCells` 只遍历遮罩包围盒内的块，不做全库扫描）。
+- 管理页 `/admin/fog/mask`（入口在后台迷雾卡片上，带数量）：Leaflet 地图点选圆心、marker 可拖、
+  半径输入实时改圈、已有区域画出来；列表可编辑（回填表单 + 地图跟过去）与删除。
+- **实测**：无遮罩时访客与站长的同一张瓦片完全一致（2104 像素）；加一块 1500m 遮罩后
+  访客只剩 346 像素、站长不变；覆盖率 575,753 格/47.8 km²（站长）vs 570,569 格/47.4 km²（访客），
+  差的正是圆内的迷雾。
+- **踩的坑**：页面漏了 `p.HasMap = true` —— 布局按这个标记条件加载 Leaflet，漏了地图整块不出现
+  （页面只有 3 个 script、`window.L` 是 undefined）。CDP 检查抓到的。
+  另外 inline 脚本要等 `load` 再初始化（Leallet 在 content 之后引入），与后台「新增地点」同一条约定。
+
+### 行程轨迹泄漏黑名单城市 + 统计页的备份文件名
+
+**1. 轨迹（`apiTrack`）漏了区域限制**
+根因：那个 handler 只处理了 `f.From/f.To` 与「家/工作」，**没套区域限制**——而它是
+`movements JOIN places pf/pt` 后返回两端坐标，所以只要线段碰了黑名单城市，那个坐标就露出来了。
+修法：区域限制套在**两端**上（任一端在被隐藏区域，整段都不返回；只按起点过滤的话终点照样画得出来）。
+为此把 `regionSQL` 加上表别名参数（原来写死 `p.`），7 处调用点同步更新。
+
+实测：
+- 测试库（黑名单=贵阳市）：站长 192 段 / 访客 145 段 / 隐藏 47 段，
+  **47 段全部是贵阳市相关、0 段误伤**，访客结果里贵阳市相关 0 段（可复现，跑两次一致）。
+- **生产库**（黑名单=河池市，正是用户设的）：站长 298 / 访客 146 / 隐藏 **152** 段，
+  152 段全部河池市相关、0 误伤，访客侧 0 泄漏 —— 也就是线上原本漏了 152 段。
+
+**2. 统计页对访客显示「数据来自 xxx.rondbackup」**
+`stats.html` 那行副标题把备份文件名给了所有人看。改成只有站长可见
+（`{{if .IsAdmin}}`），访客只留时间范围。
+顺手把访客可见的 7 个页面（/ /stats /report /places /map /timeline /topics）扫了一遍：
+「rondbackup」「数据来自」字样均为 0 ✓。
+
+**待说明**：GPX 图层（用户上传的 .gpx 轨迹）没有城市信息，无法按区域过滤——那是另一份独立数据。
+
+### 报告页占位卡片 / KPI 灰格 / 追踪脚本 / 完整 debug
+
+**1. 报告页「迷雾版图」是空白** —— 不是渲染问题：那张卡里**从来只有标题和一句说明**，
+没接任何内容（本来想放地图但没接上）。报告页本身也没有地图（只有首页/地图页/地点页有）。
+改成与统计页一致的四个数字（面积 / 点亮率 / 点亮地点 / 快照块数），标题改为「世界迷雾」。
+
+**2. KPI 灰格**（用户说「有两个格子是灰色的，其他地方也有」）
+`.kpis` 原是 `grid-template-columns: repeat(4, …)` + `gap:1px` + **底色画间隔**，
+所以不满行时空格子会露出底色 → 灰块。KPI 个数又常是 6（报告）、7（统计）这种除不尽的。
+改成 `display:flex; flex-wrap:wrap` + `.kpi{flex:1 1 158px}`：最后一行自己撑满，
+任何个数、任何宽度都不会有空格。`.kpis-3` 同步改成 `flex: 1 1 30%`。
+实测（CDP 量每行缺口）：1440 下 6 个 KPI 一行排满、4 个一行排满；700 下 4+2 与 3+1 都撑满；
+390 下 2+2+2 与 2+2 —— 全部 1px（就是边框），无灰格 ✓
+
+**3. app.ini 新增 `track_script`（第三方统计脚本）**
+填 URL（http/https 开头）→ 渲染成 `<script defer src="…">`；含尖括号则整段原样输出
+（百度统计/Plausible 这类要带属性或初始化代码的）。形如 URL 却夹引号/尖括号的视为配置写错，宁可不挂。
+只注入**公开页面**（`{{if and .TrackScript (ne .Nav "admin")}}`），后台与登录页不挂。
+实测：`/`、`/map`、`/stats`、`/report` 有；`/admin`、`/admin/login` 无；主实例没配则为 0 ✓
+
+**4. 完整 debug（按用户要求）—— 找到并修掉的问题**
+- 🔴 **专题页泄漏**：`topicContent`（专题详情页 + 专题列表页的统计）**没套区域限制** →
+  访客能在 `/topics/{id}` 与其地图上看到黑名单城市的全部地点。修：加区域参数 +
+  新增 `visitorRegions(p)` 把「只对访客生效」收敛成一个入口（filterOf 也改用它）。
+  实测：访客 0 个点、站长 76 个点 ✓
+- 🔴 **迷雾瓦片的共享缓存泄漏**：访客与站长的瓦片 **URL 完全相同**，却都返回
+  `Cache-Control: public, max-age=3600` → CDN/反代会把站长那份**未遮罩**的瓦片发给访客。
+  修：站长那份改 `private, no-store` ✓
+- 🟠 **删除数据集后的静默失败**：`adminDelete` 里「自动启用最新一份」那步**忽略错误** →
+  失败时站上一份生效数据都没有、页面全空，提示却说「已删除」。修：检查错误并明确提示 ✓
+- 已确认**没问题**的：所有 `/admin/*` 都有 requireAdmin ✓；排序/方向/表名都是白名单或转义
+  （无 SQL 注入面）✓；设置**没有**内存缓存（不存在改了不生效）✓；瓦片代理有图层白名单
+  （不是开放代理）✓；上传与表单都有大小上限 ✓；访客可写入口只有投票（整型参数）✓。
+- 记下**未改**的：`apiVotes` 仍下发黑名单地点的票数（按 src_pk、无名称坐标，信息量极低）；
+  GPX 图层无城市信息无法过滤；登录只有验证码、没有失败次数限流。

.workbuddy/memory/2026-09-17.md

@@ -0,0 +1,626 @@
+# 2026-09-17
+
+## 迷雾遮罩：生效时机、重叠语义、访客默认页（提问）回复
+
+用户三问：①遮罩生效需要时间吗 ②重叠遮罩有效吗 ③能否设置访客默认页面。
+
+**① 生效时机：服务端即时，访客端原来最长 1 小时**
+`handleFogTile` 每个请求都 `LoadMasks` 实时读库（遮罩**不在** `fogIndex` 的 sync.Once 缓存里），
+所以保存/删除后下一次请求即生效、无需重启。**但**访客瓦片是 `public, max-age=3600`，
+而瓦片 URL 的 `?v=` 来自 `ix.Version()`（只跟**迷雾数据**走）→ 设完遮罩 URL 不变，
+访客浏览器/CDN 继续用旧瓦片，看起来像「遮罩没生效」。
+修：新增 `fog.MaskFingerprint(masks)`（FNV-1a 64，按 id|lat|lon|radius 求哈希），
+`mapConfig` 的 `fog.ver` 变成 `"<ix.Version()>-<指纹>"`（string）。遮罩一变 URL 就变，缓存自然失效。
+实测：无遮罩 `1789578442-0` → 加一块 `…-7e72b20aa455d2f9` → 再加一块 `…-5cc45ddb03dc0230` → 删光回到 `…-0` ✓
+
+**② 重叠遮罩：渲染有效，但统计原来会重复扣数（已修）**
+- 渲染/判定本来就是并集：`MaskSet.Hit` 遍历所有圆、任一命中即隐藏 ✓，重叠无副作用。
+- **但 `MaskedCells` 是「逐遮罩累加命中格数」**——重叠区域被统计多遍，`cov.Cells` 扣多
+  （面积走的是另一套逐格算法 `AreaKm2Excluding`，于是两个数字互相矛盾）。
+  修：改成**逐格判一次 `Hit`** + 用 `done` 集合对「遮罩包围盒覆盖到的块」去重。
+- 新增 `internal/fog/mask_test.go`：
+  `TestMaskedCellsUnion`（重叠时 == 暴力并集）、`TestMaskedAreaMatchesCells`（面积差换算成格数与 MaskedCells 一致，1e-6 m²）、
+  `TestMaskFingerprint`（增删改都会换指纹）。
+  **验证测试有效**：退回旧算法 → 303019 vs 并集 189470（多扣 60%）→ FAIL ✓
+- 实测（测试库 8701 块迷雾）：无遮罩访客=站长；一块 2000m 遮罩 → 访客像素 77959→71689、格数 575753→571692，站长不变；
+  再加一块**完全相同**的遮罩 → 访客数字**一点不变**（旧实现会扣两倍 8122 格）✓；删光后双方复原 ✓
+
+**③ 访客默认页面：目前没有这个功能**
+`/` 固定走 `home`；页面级控制只有 `setting.AllPages`（map/places/timeline/stats/report 的可见性开关）。
+已在回复里给方案让用户选（后台下拉 / .ini 配置 / 不做）。
+
+## 新增「访客默认页面」（后台设置下拉）
+
+需求确认后按「后台设置加下拉」实现：
+- `setting.Settings.VisitorHome`（json `visitor_home`，缺键/非法值一律回落 `VisitorHomeMain="home"`），
+  `VisitorHomePath()` 只在**目标页已对访客开放**时返回 `/<key>`，否则返回空串不跳。
+  收敛用 `NormalizeVisitorHome()`（表单被改坏时回落主页）。
+- `home` handler：在「没导入数据」分支之后，`!IsAdmin && VisitorHomePath()!=""` → 302。
+  刻意不跳的三种情况：站长自己访问、没配、目标页没开放；另外**没数据时不跳**
+  （让访客留在主页看引导，比落到空地图有用）。
+- 后台「公开页面」卡片下方加下拉（主页 + AllPages 五项）。
+- 新增 `internal/setting/setting_test.go`：纯逻辑用例 + `TestVisitorHomeStore`（ROND_DSN 门控，
+  **库名不含 test 时自动跳过**，避免动到正式站的 settings；用例内先备份原值、defer 还原）。
+
+实测（测试库 HTTP）：
+| 场景 | 访客 / | 站长 / |
+|---|---|---|
+| 默认（home） | 200 主页 | 200 主页 |
+| 设为 map（页面全开） | **302 → /map** | 200 主页（不受影响） |
+| 设为 map 但 map 未对访客开放 | 200 不跳（/map 本身 404） | 200 |
+| 库里被塞非法值 `//evil.com` | 200 不跳 | 200 |
+CDP 复核下拉：6 个选项、正确回填（map 时选中「足迹地图」）、无 JS 报错。
+生产库没有这个键 → 缺键回落默认，访客行为不变 ✓
+
+## 到访热力无效 + CPU/内存优化 + 点地图跳 /map（+ 回归）
+
+### 1. 「到访热力」无效：热力图恒为空
+`full()` 里 `var points = opts.points || []`，而地图页首屏是 `full({points: []})`（地点随后走
+`/api/points` 拉回），`setPoints` 只写了 `st.points`，**没同步闭包里的 `points`**；
+`buildHeat` 用的正是闭包那个 → 恒为空数组。
+修：`buildHeat` 改用 `st.points`，并让 `setPoints` 同时写 `points = st.points = pts`
+（与 `preview()` 里已有的写法一致）。
+**实测（awaitPromise 探针 + canvas 像素统计）**：旧写法画布在但**非透明像素 0**；
+修复后 59258 像素（生产站访客视角 51049）✓ 这就是「勾了没反应」。
+
+### 2. 点击地图跳 /map：改成按需启用
+`preview()` 里硬编码 `map.on('click', () => location.href='/map')`，而 preview 被 4 处复用：
+主页（要）、地点详情页（不想要，上面本来就有「在地图中查看」按钮）、后台照片页 2 处
+（**最不该有，点一下就被甩出后台**）。
+修：加 `opts.clickToFull`，只有主页传 true。实测：主页 `home-map` 有 1 个 click 监听；
+地点页 `place-map` 为 **0** ✓
+
+### 3. CPU / 内存优化（先测量后动手）
+**基线**：`/stats` 379ms（访客）/ 505ms（站长），fog 瓦片 7.9ms，其余 <50ms。
+**根因（测出来的，不是猜的）**：
+- 单个统计查询只要 **2–3ms**（psql 也是 3ms），但页面 379ms → 逐段计时日志显示
+  `weather` 任务 400–700ms。测出**建一条 PG 连接要 307ms**（psql 建连同样 0.55–0.7s）——
+  Windows 上新建 backend 进程就是这么贵。
+- 池配置 `MaxOpenConns(12)` + **`MaxIdleConns(4)`**：串行页面只需 1 条连接（首次付 300ms，
+  之后复用），**并发超过 4 条时反复重建连接**，于是「并行反而更慢」。
+- 另外 `fogCoverage` 每次要 `ix.All()` **三次**，而 `All()` 会复制 10542 个块并**排序**。
+
+**改动**：
+1. `internal/db/db.go`：`MaxIdleConns` 提到与 `MaxOpenConns` 相同（8/8），
+   新增 `WarmUp(d, 6)` 在启动时并发预建连接（main.go 调用）。
+2. `internal/web/parallel.go`：`runJobs` 并发执行页面里互不依赖的查询（上限 6），
+   debug 下打印 >30ms 的慢查询（**这条日志就是定位到建连问题的关键**）；statsPage 的 13 个查询改用它。
+3. `internal/fog`：`Index` 预存 `areaM2`（写入索引时顺手算），新增 `Index.AreaKm2()`；
+   `maskedStats`/`Index.MaskedStats` 直接在索引上按遮罩包围盒算（不再复制整张块表），
+   删掉旧的 `MaskedCells` 与 `AreaKm2Excluding`。
+4. `internal/web/mask_cache.go`：缓存遮罩列表 + 指纹（30s TTL，保存/删除时**主动失效**），
+   瓦片渲染结果也进 `fogTiles` 缓存（key 含 crs 与遮罩指纹，站长用 "-"）。
+
+**结果**：`/stats` **379→38ms / 505→29ms**；fog 瓦片 **7.9→1.8ms**；
+rond.exe RSS 42–44MB（压测 200 次请求后不涨，无泄漏）；
+单次 `/stats` 约 15.6ms CPU。剩下的 2 条慢查询是启动后第一次请求的冷连接。
+
+### 4. 回归检查又发现两处区域限制遗漏（同「轨迹」那类）
+`Overview` 的**总里程**与 `TransportStats`（出行方式）都重建了 `where` 而**丢掉 `f.Regions`**
+→ 访客看到的里程/出行里程里含黑名单区域。新增 `Filter.movementsWhere()` 统一（按两端的
+`places` 判定，黑白名单语义与 `visitsWhere` 一致），两处都换过去。
+实测生产站：访客里程 **16861.9 → 4678.8 km**，站长不变 ✓
+新增 `internal/stats/stats_test.go`（ROND_DSN 门控、**只读**）：
+与手工 SQL 逐项对账 + 区域过滤对 visits/movements 双向生效 + 时间范围仍有效。
+**验证测试有效**：退回旧写法 → 立刻报「白名单 广西壮族自治区 后里程没减少」✓
+
+其余巡检：8 个公开页 + 7 个后台页全部 200；遮罩保存/删除**立即生效**（28ms 内访客数字与瓦片
+同步变化，站长不受影响）；全量测试通过。
+
+### 主实例「退出」事件排查：不是崩溃，是端口被另一个进程接管
+
+收到后台任务完成通知（我启动的 8080 实例结束），排查结论：
+- **事件日志没有任何 rond 崩溃记录**（Application 日志里 Application Error / WER 均无）；
+  rond 自己的日志也没有 panic → 是**被正常终止**，不是崩溃。
+- 进程清单（Get-CimInstance Win32_Process）给出了真相：
+  | PID | 启动时间 | 命令行 |
+  |---|---|---|
+  | 11992 | 01:33:08 | `bin\rond.exe -c conf/app-test.ini`（我起的 8081 测试实例） |
+  | 14556 | **02:36:42** | `bin\rond.exe -c conf/app.ini` —— **没有日志重定向** |
+- 日志里的 `02:36:46 已启动` + `02:36:47 服务异常退出: listen tcp :8080: bind ...`
+  是**我的重启尝试**：它在 02:36:42 那个进程占住端口后才启动，于是 bind 失败退出。
+  （main.go 是先打印「已启动」再 ListenAndServe，所以会看到这两行连在一起。）
+- 结论：**用户在 02:36 自己重启了服务**（命令行没有 `tee` 重定向，所以它的日志不落在
+  storage/rond-main.log 里，这正是「日志里看不到我这次请求」的原因）。我停止抢占 8080。
+- 已验证当前实例是**最新构建**（`/api/map-config` 的 `fog.ver` 带 `-0` 遮罩指纹后缀，
+  这是本轮才有的），/stats 实测 59ms、8081 对照 45ms（整机当时有浏览器等负载，属正常波动）。
+
+**运维提示（值得记住）**：`main.go` 先打印「足迹站点已启动」再真正 ListenAndServe，
+所以端口被占时会出现「已启动」+「服务异常退出: bind」两行连在一起 —— 看到这对组合
+就是**有另一个实例抢着占了端口**，而不是启动成功后又崩了。
+
+---
+
+## 出行（ZMOVEMENT）后台增改删 + 导出保真（本轮新增功能）
+
+需求：编辑页能对「出行区间的方式 / 时长 / 时间」做新增、修改、删除，且导回 rond 正常可用。
+
+**先反推真机语义**（拿 `data/20260914_151649.rondbackup` 逐列实测，脚本跑完即删）：
+- `ZMOVEMENT` 11 列，`ZTYPE_` **791/791 非空**：2=无交通方式（中位速度 5.0km/h≈步行）、
+  5=有交通方式（中位 17km/h），另有 23 条 4、1 条 0 → **不能写 NULL**，站点只给新行补 2/5。
+- 时间窗口硬不变量：`ZSTART_ >= 起点到访离开`、`ZEND_ <= 终点到访到达`（760/756 条 0 违例）。
+- `ZTRANSPORT` 是全局表，站点侧从位移聚合；`ZVISITFROM_/ZVISITTO_` 真机就有 35 条为空。
+
+**改动**（`internal/rond/export.go`、`internal/web/handlers_edit.go`、`view.go`、`server.go`、
+`templates/admin/edit.html`、`static/css/app.css`）：
+1. 编辑页新增「行程记录」卡片：搜索（地点/方式/日期/#编号）+ 分页 + 行内改（起止到访、
+   时间区间、方式）+ 删除；「新增行程」表单重做（时间留空自动按两端到访推断、方式可内联新建）。
+2. 落库补齐派生字段：`from_place_id`/`to_place_id`（**区域黑名单按两端 places 判定，留空会绕过过滤**）、
+   `distance_km`、`duration_min`，与导入路径同源。
+3. 编号复用防护 `nextSrcPK`（取库内/coredata_meta/留档三者上限 +1）。
+4. 导出侧：`ZMOVEMENT.ZTYPE_` 进 `keepNilCols` + 新行补值；`queryTransports` 改 `GROUP BY`
+   （原来 `DISTINCT` 会在同名冲突时产出两个同 `Z_PK` → 撞主键让整次导出失败）；
+   `ZTRANSPORT` 的名称/颜色/图标「空则保留基线」+ `keepMissing`（没有行程引用的方式不再被删）。
+
+**验证（可复现，全部实测）**
+- 新增 `internal/web/movement_e2e_test.go`：真导入真机包 → 调真实处理函数 → 导出 → 读导出 SQLite 核对。
+  门控 `ROND_TEST_CONF` + `ROND_SRC`，在测试库建一次性账号、跑完连数据集一起删。
+  实测：删基线最大位移 #791 后新建拿到 #792（防复用生效）；新行 `ZTYPE_`=5/2、`ZTRANSPORT` 指向新方式、
+  原名保真；`tools/verify_rondbackup.py` 比对 → **ZMOVEMENT/ZTRANSPORT valuediff=0**，只有我动过的行在差。
+- 纯净往返（不增删改）对照组：新旧代码的比对输出**逐行相同**（总差异 3，全是 `ZLOCATION.
+  ZLASTARRIVALDATE_` 的「站点重算最近活跃时间」，属既有行为）→ 证明改动没波及别处。
+- 项目自带断言全过：`TestExportRoundtrip`（坐标 0 偏差、时间 0 偏差）、`TestBaselineKeepsCoreData`、
+  `TestProgramRowsFillNativeColumns`（新行 2 条 `ZTYPE_` 全有值）、新加 `TestMovementTypeNeverNull`。
+- 无头 Chrome（`rond-web-verify` 技能）实测编辑页：**0 JS 报错**，6 张卡片顺序正确，40 行行内表单、
+  41 个方式下拉、165 个 flatpickr 全初始化；方式联动（选已有→预填名称/颜色/图标、新建→清空、
+  无→禁用）与时长实时提示（「时长 1 小时 35 分钟」/「结束时间必须晚于开始时间」）均按预期。
+- 移动端：发现行程行高 206px（到访行 115px），把时间压成一行 + 窄屏隐藏城市名后降到 165px
+  （卡片 10607→7332px），320/390 无横向溢出；桌面 61px vs 到访 57px，基本齐平。
+
+**注意**：8080 主实例已用新构建重启（`bin/rond.exe~` 是改动前的旧二进制，可回滚）。
+
+### 反馈三点：改方式不生效（真 bug）、卡片折叠、筛选改选项框
+
+**1) 「改方式保存不了」的根因（我上一轮引入的）**
+页面时间输入只到分钟，回填后原样提交 → 服务端把 `20:03:21.323` 截成 `20:03:00`：
+① 顺带改掉了时间（数据漂移）；② 截断值早于起点到访的离开时间（`20:03:21`），被上一轮
+新加的时间窗口校验直接拒掉。用户那行是 **movement #385（09-13 20:03→20:31，电🐔）**，
+起点到访 #403 的离开时间正是 `20:03:21.323088`——卡在秒上。
+修法：**与库里同分钟就沿用库里原值**（`keepStoredTime`；行程走 `resolveMovementEnd`），
+手填越界仍给硬校验（带 1 分钟取整余量）。到访的 `editVisitUpdate` 是同一类病，一起修了
+（改备注也会磨掉 `ZARRIVALDATE_` 的秒）。回归用例：
+`TestKeepStoredTime`、`TestMovementWindowKeepsStoredSeconds`，E2E 的「只改方式」用例
+专门挑「截到分钟就会越界」的行，并断言导出包里 `ZSTART_/ZEND_` 与原始包逐位一致。
+
+**2) 卡片折叠**：编辑页 6 张卡片各加 `data-card` 键 + 标题右侧箭头（标题整行可点），
+状态记 localStorage，页头加「全部折叠/展开」。选点地图做了延迟初始化
+（折叠着就不建，展开时经 `window.__pickerMapInit` 补建）——否则 Leaflet 在
+`display:none` 容器里初始化会拿到 0 尺寸。
+
+**3) 行程筛选**：把手输关键词换成三个选项框——交通方式（全部/无方式/各方式含段数）、
+地点（起或止，取前 300 个地点）、开始时间从/到（date）。分页链接改由 Go 生成
+（`EditData.PageLink` 返回 `template.URL`）——直接拼在 href 里会被转义成 `mt%3d4`，
+翻页会静默丢筛选。
+
+**实测**：`mt=4`→332 段（与下拉里的「332 段」一致）、`mt=none`→390 段（= 791−401 ✓）、
+日期区间 2026-09-01~30→37 段；`?mt=4&mpage=2` 第 2/9 页且选中态保持；折叠/展开/全部折叠
+与 localStorage 读取均正常；桌面筛选行底边极差 0（按钮不歪）、390/320 无横向溢出；
+全程 0 JS 报错。8080 已用最新构建重启。
+
+### 再反馈：默认折叠 + 选择器收不回/被覆盖
+
+**默认折叠**：折叠脚本的默认值从「未记录=展开」翻成「未记录=折叠」（`state[k] !== false`），
+只有明确记过展开的卡片才展开。实测 6/6 折叠、页面高度 = 视口高（不再一屏拉不到底）。
+选点地图的延迟初始化因此成了常态路径：折叠时 `startMap()` 不执行、也不建 Leaflet，
+展开时经 `window.__pickerMapInit` 补建（实测展开瞬间就发出 `/api/map-config` 请求）。
+
+**选择器「只能选不能收回 + 被其他元素覆盖」**——量出来的根因是 CSS 不是 z-index：
+`.picker-results` 有 `max-height:200px` 但 `overflow:visible`（flex 子项不会因上限收缩），
+30 条候选实际溢出 **1020px**，溢出部分被后面 DOM 里的表单元素压住
+（`elementFromPoint` 在框下方 20px 处拿到的是 `BUTTON.geo-item`，即「看得见点不着」）。
+修法：`.picker-results{overflow-y:auto}` → 200px 内滚（框下方 20px 处已变回 `DIV.row`）。
+交互上补：点空白处 / Esc / 失焦都收回候选列表；行内编辑表单里隐藏域已有值时
+直接渲染成「已选： #173 2026-09-13 20:40 家 + 重选」，用户能看到当前值、也能清空重选
+（原来预填了隐藏域却不显示，看着像「选了就收不回」）。
+
+### 地点坐标换算（有些点没做过 GCJ-02 偏移）
+
+需求：地点列表每个点能就地做坐标系换算，并能看到前后变动，不用删了重填。
+
+**先反推判据**（实测 `data/20260914_151649.rondbackup` 的 323 个地点）：
+`gcj(raw)==lat` **305** 个（正常）、`raw` 与 `lat` **一字不差 18 个**（= 当初没偏移，显示坐标
+其实还是 WGS-84，偏 500~540m）、其他 0 个。⇒ 「哪个点没偏移」可自动判定：`raw == lat`
+且在中国外接矩形内（境外的点本就不该偏移，必须排除，否则误报）。
+顺带纠正了记忆里「293/323」的旧数字（实测 305）。
+
+**实现**：`GET /api/coords?mode=wgs2gcj|gcj2wgs`（站长限定，geo 包是唯一实现，实测
+21.428836,109.116822 → 21.426460,109.121113 / 517m 往东南，与离线 Python 分析逐位一致）；
+编辑页每行加「坐标系换算」下拉 + 前后对照行（`原 → 新（移动 N 米 · 往X）`），
+换算前先记 base，来回切方向不会越换越偏；地点列表加「疑似 WGS-84」橙标 + 「坐标系」筛选
+（实测生产站正好筛出 18 个）+ 「比导入时移动了 N 米」；保存后的提示带上移动距离与方位。
+「导入时的原值」取自 entity_raw 留档里的 ZLATITUDE/ZLONGITUDE，所以改动后能一直对照。
+
+**实测（端到端）**：换算 亚平村二巷 #33 后，导出包里 `ZRAWLATITUDE/ZRAWLONGITUDE` **一字未动**、
+只有 `ZLATITUDE/ZLONGITUDE` 变了，且 `gcj(原始GPS) == 显示坐标` 重新成立（rond 的坐标模型）。
+`verify_rondbackup.py` 差异明细：`PK 33 differs: [('ZLATITUDE', 21.428836, 21.42646),
+('ZLONGITUDE', 109.116822, 109.121113)]` —— 正是要动的那两列。
+
+另外给验证脚本 `site_cdp.py` 加了 `--await`（async 表达式等 resolve 再取值），
+这次要验 fetch 驱动的换算界面才发现原来不支持；SKILL.md 补了用法。
+
+### 站长给的实例：IMG_20260418_181404.jpg 的坐标到底对不对
+
+站长截图给了「源图 GPS」，我读不了图，但照片本体在 `Downloads/temp2/` 找到了 —— 直接读 EXIF：
+`22°51'11.58"N 113°15'11.04"E` = **22.853216, 113.253067（与站点里存的完全相同）**，
+相机 HUAWEI Mate 80 Pro Max。结论：**导入时没做偏移**（导入页默认会转，所以是当时选了
+「已经是 GCJ-02」）。EXIF 按标准就是 WGS-84 → 这个点在 GCJ 底图上偏了 **626m**。
+
+**怎么裁决**（不靠猜）：站长说手机地图上显示在「银星雅苑西北门/柏景楼二期/翠庭轩/咖研社
+这个十字路口」。用这些地物名走 `/api/geocode` 取坐标再比距离：
+- 银星雅苑 22.849159,113.258707 → 距现状 733m、距换算后的点 **144m**
+- 翠庭轩 22.850376,113.259255 → 距现状 708m、距换算后的点 **91m**
+⇒ 手机是对的，站点偏了。已按真实保存路径换算：**22.853216,113.253067 → 22.850420,113.258373**，
+提示「坐标移动到 22.850420, 113.258373（626 米，东南方向）」，复测新位置距地物 91~144m。
+
+**补了回归断言**（`movement_e2e_test.go` 5d）：站点新建（= 照片导入同类）的地点换算后，
+导出包必须 `ZRAWLATITUDE=22.853216,113.253067`（换算前输入值）+ `ZLATITUDE=22.850420,113.258373`
+（换算后），且 `gcj(原始GPS)==显示坐标`。这条覆盖了「新行 ZRAW 由显示坐标反算」的分支。
+
+站长选了**先不补**「照片导入的坐标来源」记录 → 这类点仍然不在「疑似 WGS-84」判据里，
+只能按上头的「地物名裁决」人工核。这条限制已写进 MEMORY.md。
+
+### 生产环境「这两天导入的照片全是错坐标」——排查与补救清单
+
+站长在生产（life.shiroko.one）导了一批照片，都是按「已经是 GCJ-02」导的 → 坐标没转换。
+
+**排查手段（不登录也能做）**：公开 `GET /api/points` 带 `sp`(=src_pk) 与全精度经纬度。
+生产 281 个可见点里：195 个长小数全部 sp≤323（= rond 导入基线），85 个 ≤6 位小数全部 sp>323
+（= 站点新建，即照片导入）。**站长从没手工点选新增过地点**，所以这 85 个就是全量受影响面。
+（生产中还有被区域黑名单/迷雾遮罩挡住的点，完整清单要登录后取。）
+
+**判定命中**：拿仓库 `data/images/` 的 51 张长沙原图 EXIF 对账生产数据，24 个可判定的点
+**全部**是 `stored == round(exif,6)`（没转换），**0 个**是 `gcj(exif)`。本地环境同样 24/24。
+偏移 351~673m，方向南/东南（随纬度变化）。清单：`tmpfog/photo-coord-fix-preview.csv`。
+
+**关键坑**：不能靠库内字段自证——逆地理用的是同一个错坐标，省市区/街道/名称自洽；
+`places`/`visits` 无 created_at，也没记录导入时的坐标系选择。只有原图 EXIF 能定罪。
+
+**生产环境事实**：跑的是 v7（`/api/coords` 在、`app.css` 含 `.tag.warn`），所以现成接口能用；
+只走 IPv4（curl 必须 `-4`，IPv6 超时）；登录有验证码，cookie 形如 `uid|token`（HMAC，不绑
+IP/UA），站长复制过来即可用 curl 操作。
+
+待站长定：会话怎么给 / 照片目录是否提供（把 61 个未匹配的点也逐张核实）/ 是否补「导入来源」记录。
+
+### 照片错坐标：86 个站点新建地点的最终裁定（含判据标定）
+
+对生产 86 个 `sp>323` 的点做了三路证据对账，结论 **63 修 / 23 不动**。
+
+**判据 A（铁证）· 47 个**：库内坐标与某张原图 EXIF **六位小数逐位相等** → 当时没换算。
+长沙 24（sp344-367）+ 佛山 23（sp387-409）。原图在本机 Downloads/桌面等 4 个目录下。
+
+**判据 B（列签名）· 16 个**：`places.country_code='CN'` 且 `timezone='Asia/Shanghai'`。
+机制：`photos.html` 的 `tInput(name,value,...)` 把 country/timezone 写成**表单默认值**，
+而 `edit.html` 的同名字段只有 placeholder（空 value），且 `search()` 只回填
+name/province/city/district/坐标，**不回填** country/timezone/街道。
+标定（60 个已知答案）：47 个照片导入**全部**命中；13 个按名搜索只有 1 个例外
+（324 昆明站，坐标与 POI 完全一致、且与 325 是重复点 → 归为「不动」）。→ 判据可信。
+命中的是荔波 368-383（荔波原图不在本机，无法用 A 复核）。
+
+**判据 C（不动）· 23 个**：昆明 2 + 大理 18 + 荔波 384/385 + 南宁 386。创建于「新增地点」页，
+坐标来自高德 POI 或地图点选，本来就是 GCJ-02。
+
+**被否证的两条判据（别再捡起来）**：
+- **「按名搜索同名 POI」的对称距离判据不可用**。在 47 个已知「需修」点上标定：
+  只有 17/31 有候选的点判对（55%），**14 个把需修的点判成「正确」**（如 sp409 柠季
+  same=16.7/fix=630 → 判「正确」但实际是 EXIF 原值）；16 个连候选都搜不到。
+  只有 `same<=10m`（坐标就是 POI 坐标本身）这一档是可信的——47 个需修点里**没有一个**
+  落在该档。即「same≈0 ⇒ 按名搜索」成立，其余档位一律不可信。
+- **迷雾栅格不可用**。荔波 16 个点里 12 个两侧都是 0%；大理更是出现与已知正确点
+  （sp333 喜洲古镇北区停车场，same=0.0）**相反**的结果（C=0%、gcj(C)=23%）。作废。
+
+**其他相关事实**：
+- 导出的 `ZISPHOTOIMPORT` 恒为 0（站点导出不给新建行补这个值），所以 rond 里分不出
+  「照片导入」与「手工新增」——这是继「坐标来源」之后第二个该补的缺口。
+- `editPlaceUpdate` 的 UPDATE 不含 `thoroughfare`，所以「只改坐标」不会动到街道字段（好消息）；
+  但省/市/区/街道是按**错坐标**反查来的，改完坐标后会与新位置差约 600m（多为同区，可接受）。
+- 生产备份里 `ZVISIT.ZUSERADDED` 85 个新建到访**全部为 1**，`ZISPHOTOIMPORT` 全 0。
+
+产物：`tmpfog/fix-list-final.csv`（63 行）、`tmpfog/keep-list-final.csv`（23 行）、
+`tmpfog/fix-review.html`（前后对照表）、`tmpfog/live-preview.csv`（对生产只读试运行，
+已验证会话有效、线上值与备份一致）。写库走 `tools/photo_coord_audit.py --apply`，
+换算调服务端 `/api/coords?mode=wgs2gcj`（与错导入正好互逆）。**尚未写库，等站长确认范围**。
+
+### 已执行：63 个坐标全部换算回 GCJ-02（生产）
+
+站长选「全部 63 个 / 只改坐标」。用 `tools/photo_coord_audit.py --include-unverified --only <63> --apply`
+写库（换算走服务端 `/api/coords?mode=wgs2gcj`）：**成功 63 / 失败 0**。随后重新拉 `/api/points` 逐点复核，
+`63 一致 / 0 不符 / 最大偏差 0.00m`，23 个「本来正确」的点坐标一字未动。
+
+**执行后才发现并解决的重大疑点（差点误判成「改错了」）**：用同名高德 POI 当标尺时，有 6 个点显示
+「旧值离 POI 只有 17~78m」→ 像是在说旧值本来就是 GCJ。**真相是循环论证**：这些点的**名称本身就是
+「用那个错坐标做逆地理」生成的**（`/api/regeo` 会把最近的 POI 名回填到名称框），所以名称必然贴着旧坐标。
+用 `/api/regeo` 在旧坐标上重跑一遍即可判定：名称出现在反查结果里 ⇒ 名称无证据力。
+逐点跑完：**63 个里 13 个名称是反查来的、50 个是站长自己命名的**。
+- 6 个「疑似改错」的点（349 天心阁、364、372、387 钟楼公园、394 顺德体育中心、409 柠季）**全部**落在
+  「反查来的」这 13 个里 → 全是伪证。
+- 而「修后离同名 POI 4~39m」的（348 茶颜悦色、352 长沙南站、354 肉丸店、390 萨莉亚、407 大地醉鹅、
+  375 小七孔古桥…）**全部**落在「站长自己命名」那 50 个里 —— 站长按自己当时所在命名，新坐标落在同名
+  地物上，这才是有效证据。两组完全互斥，逻辑自洽。
+
+**EXIF 基准的决定性证明（回答「照片 EXIF 到底是不是 WGS-84」）**：13 个按名搜索的点，坐标与高德 POI
+六位小数完全一致 ⇒ 它们是已知 GCJ 真值。拿大理原图去对，3 个真值点各有一张照片，**EXIF 换算成 GCJ 后
+落在 5.2 / 19.0 / 31.4m 内，且拍摄时刻与到访时刻相差 8~78 分钟**（`IMG_20260815_101254.heic` → 九孃
+豌豆粉店 5.2m、晚 8 分钟）。不换算则离真值 238~370m。⇒ **EXIF 确为 WGS-84，换算方向正确**。
+换算函数另在基线真机数据上验证 **305/323 逐位一致**，各地偏移量与真值吻合（贵阳实测 -0.00354/+0.00373，
+函数给 -0.00353/+0.00377）。
+
+**旁证：高德 POI 是 GCJ-02**（别再怀疑）：拿贵阳基线的 76 个真值点验证，64 个高德 POI 落在
+「显示坐标（GCJ）」3m 内、离「原始 GPS（WGS）」约 540m。
+
+**修复后新出现的瑕疵**：13 个「名称/地址由错坐标反查而来」的点，坐标改对后名称与位置差了约 600m
+（如 sp349 现在在天心阁东南 630m，名字还叫「天心阁」）。已列清单，等站长定是否按新坐标重跑一次逆地理刷新。
+
+产物：`tmpfog/fix-report.html`（最终报告，含前后坐标、验证结论、遗留项）、`tmpfog/applied.csv`、
+`tmpfog/_name_origin.json`、`tmpfog/_old_datum.json`、`tmpfog/_exif_dist.json`。
+
+### 按新坐标刷新地址（生产）+ 坐标来源留档上线（根治方案）
+
+站长指令：**「1、按新坐标重跑一次逆地理刷一致；2、按根治方案动手」**。两件都做完了。
+
+#### 一、名称「与位置差 600m」的裁定：**不改名称，只刷省市区街道**
+
+上一轮说「13 个点的名称/地址是旧坐标反查产物」用的是**宽松判据**（名称出现在旧坐标 regeo 的 blob 里），
+这轮校准出它**过宽**：`#349` 的 blob 里出现「天心阁」只是因为里面有「8117咖啡(天心阁**店**)」和「天心**公园**」。
+真正的判据只有两条（照片导入页 `applyOne` 只会用这两种方式自动填名）：
+① 名称 == 旧坐标 200m 内最近 POI 的店名；② 名称 == 「区县 + 街道/乡镇」兜底拼法。
+按这两条重判：**13 个里只有 `#409`（柠季，旧坐标最近 POI 一字不差、17m）和 `#377`（荔波县瑶山瑶族乡，兜底拼法）是软件填的**，
+其余 11 个是站长自己的标注 → **一律不动**。
+
+**「同名地物离旧坐标更近」不是反证**（差点把它当成改错了）：13 个里有 7 个被判「名称属于旧坐标」，
+但旧坐标附近往往有一批同名 POI（天心阁古玩城/钟楼公园店/华莱士·钟楼公园店…），
+更多是**站长照着导入页显示的那一行地址（`店名（N米） · 完整地址`）抄下来的**——地址也是错坐标反查出来的。
+站长的 `#409` 就是实例。
+
+**同一批次同一定律（这才是决定性的）**：一次导入里所有点用的是同一个坐标系选择、同一台手机。
+长沙批次里 `#348 茶颜悦色`（旧坐标距同名 POI **647m**，远超反查半径 200m ⇒ 不可能是自动填的）、
+`#354 肉丸店`(674m→11m)、`#352 长沙南站`(566m→12m)、`#360 四方坪三十栋饭店`(629m→35m)、
+`#356 坡子街派出所`(322m→32m) 等 **8 个站长自己命名的点，换算后全部落在同名地物 11~383m 内**
+⇒ 换算方向对整个批次成立 ⇒ 剩下那几个「旧坐标更近」的只能是名称伪证。
+
+**设备同一性（补完最后一块证据）**：长沙原图 `data/images/IMG_20251219_*.jpg`、大理 `IMG_20260815_*.heic`、
+佛山 `IMG_20260418_181404.jpg` **全是 HUAWEI Mate 80 Pro Max**。大理那 3 张已独立证明 EXIF=WGS-84
+（gcj(EXIF) 落在高德真值 5.2/19.0/31.4m 内），佛山那张经站长肉眼复核（银星雅苑/翠庭轩 91~144m）。
+同机同约定 ⇒ 长沙批次也是 WGS-84 ⇒ 上一轮 63 个点的换算全部正确，**无需回退**。
+
+#### 二、地址刷新（已落库，39 行）
+
+派生字段（省/市/区/街道）还是按旧坐标反查来的——长沙 24 个、荔波 16 个的**「区县」干脆是空的**
+（顺带说明：这 40 行是**老版**照片导入页建的，那时表单还没有区县字段；佛山那批才带区县——
+所以「区县为空」可以给「老版照片导入」当旁证）。
+以**新坐标**调 `/api/regeo`（coord=gcj02，不再换算），只覆盖反查给出值的字段，反查失败不清空。
+`tmpfog/addr_apply.py --apply` → **成功 39 / 失败 0**；复核 **区县异常 0 ｜ 名称/类别变动 0 ｜ 坐标偏移 0**
+（回退清单 `tmpfog/addr-rollback.csv`）。佛山 23 行本来就对。`#367` 首次反查空返回，单独重试补上（开福区）。
+**街道（thoroughfare）这轮没提交**——线上还是旧二进制会忽略该字段，等部署后再跑一轮。
+
+#### 三、根治方案：places 加 4 列坐标来源留档（已实现，待部署）
+
+列：`coord_source`（rond / photo / manual，空=历史行无留档）、`coord_sys`（wgs84 / gcj02）、
+`src_lat`/`src_lon`（**换算前**的原始坐标）。三者齐全时 **显示坐标 == 按 coord_sys 换算 src_lat/src_lon**。
+
+- `schema.sql`：4 列 + 存量回填（有 ZLOCATION 留档 → rond/wgs84/`ZRAWLATITUDE`）。**不拿启发式猜**——
+  猜错比留空更糟，那 45 行（生产 86 行）宁可先空着，标「未留档」。
+  本地实测回填 323 行，其中 18 行 src==显示坐标（正是「当初没偏移」的那批）。
+- `ingest.go` 加 `backfillCoordSource`：导入完 rondbackup 后按同一判据补，新导入的包立刻有档。
+- `handlers_photos.go`：写入 `photo` + 用户选的坐标系 + 换算前坐标（换算前先存 `srcLat/srcLon`）。
+- `handlers_edit.go`：新增记 `manual`/`gcj02`；`editPlaceUpdate` 拆出 `updatePlaceRow`，规则：
+  **表单没提交的列一个字不动**（批量工具只改坐标时不能把留档/街道抹掉）；**坐标动过才更新留档**（否则改个名字就冲掉原始坐标）；
+  走换算时原始坐标记换算前那份 + `coord_sys` 记来源坐标系；选「未记录」整组清空。
+- `edit.html`：列表加来源标记（`rond 导入 · WGS-84` / `未留档`）+ 来源筛选下拉（带各来源计数）；
+  行内新增「按坐标刷新地址」按钮、`coord_source`/`coord_sys` 下拉、街道输入框；换算下拉联动修正留档
+  （`coord_sys` 设成来源系、`src_lat/src_lon` 填换算前的值），隐藏字段用全精度带出（原先 `%.6f` 会截断留档）。
+- `place_coord_test.go`（新增，6 条断言）：导入自动补档、只改名称不动留档与街道、换算带原始坐标且 `显示==gcj(src)`、
+  选「未记录」清空、后台新增 manual/gcj02、照片导入 photo/(wgs84|gcj02) + 原始坐标。
+
+**实测**：`bin/rond.exe` 重编后本地起站（伪造会话 uid=2）→ 列表标记/筛选正确（368 / rond 323 / 未留档 45 / photo 0）；
+用 `rond-web-verify` 的无头 Chrome 真点按钮：反查把空的区县填成「金城江区」、街道保留、提示带地址与最近 POI（13m）、**0 JS 报错**；
+换算下拉实测 `24.689928,108.042479`（WGS）→ `24.687112,108.046675`（527m 往东南），
+`src_lat/src_lon` 变成换算前的值、`coord_sys=wgs84`，切回「保持原样」原值（含全精度）完整还原。
+导出侧回归：`TestMovementCRUDExportE2E` PASS；纯净往返 `verify_rondbackup.py` **总差异 3**
+（全是既有的 `ZLOCATION.ZLASTARRIVALDATE_` 站点重算，与改动前逐行相同）。
+
+**部署**：`bash scripts/build-linux.sh` → `dist/rond-linux-amd64` 已生成，替换后 `systemctl restart rond-with-you`
+（启动自动跑增量迁移，幂等）。留档列不参与导出，rond 侧列一字不变。
+
+**遗留**：① 街道需部署后再跑一轮（目标值在 `tmpfog/addr-plan.csv`）；② 86 个历史行的留档仍为空
+（审计结论已能逐行定性，等站长要就按结论回填）；③ `#324–343、#384、#385` 缺区县（新增地点页建的正确点）；
+④ 导出 `ZISPHOTOIMPORT` 恒 0（有了 `coord_source` 后很容易补，属导出侧改动，单独一轮）。
+
+产物：`tmpfog/report-coordsource.html`（本轮报告）、`tmpfog/addr-plan.csv`、`tmpfog/addr-rollback.csv`、
+`tmpfog/regeo-plan.csv`（13 个名称点的新旧反查对照）、`tmpfog/regeo_refresh.py` / `addr_plan.py` / `addr_apply.py` / `addr_verify.py` / `name_check.py`。
+
+### 部署后复测：发现并修掉「导出合成行」这个真 bug（v7 之后）
+
+站长指令：**「继续未完成的任务，并检查最近的修改是否引入了什么逻辑错误或者bug」**。
+
+#### 一、真 bug：62 个照片导入的点被误标成 `rond 导入 · WGS-84`
+
+**根因（两条，都在我上一轮自己写的代码里）**：
+1. **判据错**：回填写的是「有 ZLOCATION 留档 = rond 导入」。但生产这份数据集是**用站点自己
+   导出的包回导**出来的，而 `export.go:247` 会给站点新建的地点**合成** ZLOCATION 行
+   （`ZRAWLATITUDE = GCJ02ToWGS84(导出那一刻的显示坐标)`）。于是 324–385 这些照片/手工点
+   全都"有留档"，被整批当成 rond。386–409 是那次导出之后才建的，没有留档行，所以是空的。
+2. **列错位**：`src_lon` 取的是 `ZLONGITUDE`（显示经度），应为 `ZRAWLONGITUDE`（原始经度）。
+   纬度取对了、经度复制粘贴错。本地实测 323 行里只有 18 行碰巧对。
+
+**判据（唯一可靠的那条）**：合成行的 `ZRAW` 是我们自己写进去的，所以**位级**满足
+`ZRAWLATITUDE == GCJ02ToWGS84(该留档行自己的 ZLATITUDE)`；真机行的 ZRAW 是独立采样值，
+从不满足（基线 321 行**零命中**，Go 实测）。**必须用留档行自己的 ZLAT 比，不能用 `places.lat`**
+——344–383 的显示坐标在导出之后被改过，拿当前值比会漏掉这 40 行。
+
+**修法**：`internal/ingest/coord.go`（新）写 `BackfillCoordSource`：
+- 合成行 → 有 `coord_source='rond'` 且 `src_lat==ZRAW` 的**撤回**（清成 NULL，宁可留空不猜）
+- 非合成行 → 空的补 rond/wgs84 + src=ZRAW；src_lon 是显示经度的**顺手改回原始经度**
+- **境外点跳过**：境外不做偏移，`GCJ02ToWGS84` 是恒等，合成行与真机行长得一模一样、判不出来
+启动时 `BackfillAllCoordSource` 跑一遍（`main.go`），schema.sql 里那段 SQL 回填删掉（写不出 geo 判据）。
+
+#### 二、生产数据订正（`tmpfog/repair_coord_source.py`，86/86 成功）
+
+| 组 | 行数 | 目标留档 | 依据 |
+|---|---|---|---|
+| 344–383、387–409 | 63 | `photo` / `wgs84` / src=换算前的 EXIF | `tmpfog/fix-list-final.csv` |
+| 324–343、384、385、386 | 23 | `manual` / `gcj02` / src=显示坐标 | `tmpfog/keep-list-final.csv` |
+
+顺带补完上一轮遗留：**街道**（`addr-plan.csv` 的「新街道」；84/86 有值）+ **324–343、384、385
+的区县**（反查补齐，86 行零缺失）。写库前先验不变式「显示坐标 == 按 coord_sys 换算 src」，
+86 行全过才提交。复核：321 rond / 63 照片导入 / 23 后台新增 / **0 未留档**。
+回退清单 `tmpfog/repair-rollback.csv`（注意：留档那几列回退等于退回已知有 bug 的状态）。
+
+#### 三、导出侧补 `ZISPHOTOIMPORT`（`export.go`）
+
+rond 靠这一位分「照片导入 / 手工新增」，站点没这个字段，但 `coord_source='photo'` 说得清楚。
+做法：`queryPlaces` 多取 `coord_source`，ZLOCATION 写完统一 `UPDATE ZLOCATION SET
+ZISPHOTOIMPORT=1 WHERE Z_PK IN (...)`（分块 500）——新建行与「走整行还原」的行都覆盖得到，
+而真机行（`coord_source='rond'`）不碰。列不存在时跳过（`loc.typeOf`）。
+
+#### 四、顺手发现并修掉的两个 bug
+
+1. **「按坐标刷新地址」按钮从来不填街道**（`edit.html`）：接口给的是 `street`/`township`，
+   JS 却读 `it['thoroughfare']` → 永远 undefined。改成 `it.street || it.township`。
+   无头 Chrome 实测：修前街道保持空，修后填出「西环路」，0 JS 报错。
+2. **行内保存会把坐标截到 6 位小数**（`handlers_edit.go`）：表单经纬度框是 `%.6f`，真机基线
+   的点带长小数。实测只改名称也把 `26.46800422211455` 写成 `26.468004`。照 `keepStoredTime`
+   的同一套办法加 `keepStoredCoord`：落在同一个 6 位小数上就沿用库里那份。实测修后不再截断。
+
+#### 五、还没动、留给站长拍板的
+
+`adminPhotosImport` / `editPlaceCreate` / 天气新增 都用 `SELECT MAX(src_pk)+1`，没走
+`nextSrcPK`（那个还会看 `coredata_meta` 与 `entity_raw` 的最大编号），也没调 `clearStaleRaw`。
+`entity_raw` 里**确实存在 skipped 行**（本地 ZVISIT#191），意味着某个编号可能没有对应实体行却
+一直占着号；删掉最大号的地点后再新建就会复用，导出时被当旧行。位移/交通方式两条路径是走对了的，
+地点与天气没走。当前生产没踩到（places max 409 > entity_raw max 385，且删地点有 pruneEntityRaw 兜底）。
+
+产物：`internal/ingest/coord.go`、`tmpfog/repair_coord_source.py`、`tmpfog/repair-regeo.csv`、
+`tmpfog/repair-rollback.csv`、`dist/rond-linux-amd64`。新增测试：
+`TestCoordSourceSkipsExportSynthetic`、`TestExportPhotoImportFlag`、`TestInlineSaveKeepsFullPrecisionCoord`。
+纯净往返差异仍是 **3**（全是既有的 `ZLASTARRIVALDATE_`）。
+
+### 站长部署后的复核 + 编号分配收口
+
+站长指令：**「我已经在正式环境部署了最新的源码编译版本，你再检查下你在本地测试的结果是否正确。
+另外你发现的地点与天气没走 nextSrcPK 问题，一并收口，做完再次完整测试。」**
+
+#### 一、生产复核（`tmpfog/verify_deploy.py`，全绿）
+
+| 检查项 | 结果 |
+|---|---|
+| 来源标记分布 | 321 rond / 63 照片导入 / 23 后台新增 / **0 未留档** |
+| 基础行留档自愈（321 行） | `src_lat`、`src_lon` 与导出包 `ZRAWLAT/ZRAWLON` **全精度逐行相等，0 不符** |
+| 导出侧 `ZISPHOTOIMPORT` | 照片行全 = 1、手工行全 = 0 |
+| 不变式「显示 == 按 coord_sys 换算 src」 | 407 行 0 不符 |
+| 新增行地址完整度 | 区县 0 缺失；街道缺 367、386（高德未返回，可接受） |
+
+⇒ **启动自愈真的跑了、跑对了**：`src_lon` 那个「取成显示经度」的笔误在生产上被自动改回原始经度，
+且 86 行手工订正的留档一个没被动。本地测试结论在真实环境成立。
+
+#### 二、编号分配收口（本轮新改动）
+
+原来只有位移/交通方式走 `nextSrcPK`，其余全是 `SELECT MAX(src_pk)+1`。**统一改成
+`nextSrcPK` + `clearStaleRaw`**，新增四个编号空间：
+
+```go
+placeSeq    = srcPKSeq{"places", "src_pk", "Location", "ZLOCATION"}
+visitSeq    = srcPKSeq{"visits", "src_pk", "Visit", "ZVISIT"}
+activitySeq = srcPKSeq{"activities", "src_pk", "Activity", "ZACTIVITY"}
+weatherSeq  = srcPKSeq{"weather", "src_pk", "HourlyWeather", "ZHOURLYWEATHER"}
+```
+
+改动点：`adminPhotosImport`（原来在循环外算一次、失败还 `nextPlaceSrc--`，现在每行在事务里
+按三处上限取号）、`editPlaceCreate`、`editWeatherCreate`（原来是裸 `s.db` 插入，顺手包进事务）、
+`insertVisit`（新增到访 / 照片导入共用）、活动内联新建。全项目已无 `COALESCE(MAX(src_pk),0)+1`。
+
+新增 `internal/web/seq_test.go` 的 `TestNewRowNumberingSkipsArchivedPKs`：造一条
+「只有留档、没有实体行」的 ZLOCATION（`skipped=true`，**raw 里必须带 `Z_PK`**，判据就是靠它算上限），
+再走手工新增与照片导入两条路径，断言编号绕开它、且留档行本身不被误清。
+
+**踩过的坑**：第一版测试 fixture 的 raw JSON 忘了写 `Z_PK`，`nextSrcPK` 读不到，
+于是「绕开」断言失败 —— 反过来说明这条测试确实在盯 `entity_raw` 的最大号。
+
+#### 三、复测
+
+`go test ./internal/...` 全绿；`go vet` 干净；纯净往返 `verify_rondbackup.py` 总差异仍是 **3**。
+产物 `dist/rond-linux-amd64`（19:29）与 `bin/rond.exe` 均已重编。本轮只改编号分配、不涉及数据订正，
+部署替换二进制即可。
+
+### 三个新需求：地图底图可选 / 文字折行 / 地点图片（前端转 WebP）
+
+站长指令原文：**「一，地图放到最大时会显示很多信息显得杂乱，看不清自己的点，能否只显示街道或
+有其他表现形式可选（可在后台选择）；二，不少地方文字显示异常，一行只有一个字就截断到第二行；
+三，加一个展示图片的功能，点开地点用按钮显示管理员维护的图片，图片可存本地或 S3（R2），
+已有地点可编辑添加、新增地点可选择是否保留图片，要转 WebP 且**在前端完成转码**。
+请逐项完成，每项做完测试是否引入新 bug 或与其他功能冲突。」**
+
+#### 一、文字「一字一行」：表格被压扁（已修，全站回归 0 处）
+
+**取证方式**：写了段 CDP 诊断脚本，用 `Range.getClientRects()` 数**真实行盒**
+（按 top 以半字号为容差聚类，避免同一行里不同字体被算成多行），再算「每行平均字数」，
+扫 10 个页面 × 6 个宽度（360/390/480/620/768/1024）。
+
+**发现**：只有 `/places` 与 `/admin` 两处，都在 `table.tb` 上。根因是
+`table.tb { width: 100% }` + CJK 允许逐字断行 ⇒ 窄屏时**列被榨到一两个字宽**而不是溢出
+（`/places` 7 列在 390px 下每列约 68px，「一般公共场所」排成 **6 行、一行一个字**）。
+
+**修法**：`.tw > table.tb { min-width: 640px }` —— 给表格一个内容下限，放不下交给 `.tw` 横滚。
+修后 60 个组合全部 `[]`（无挤压）。
+
+#### 二、地图底图可选「纯路网」（已做，后台可切 + 访客自选优先）
+
+**先确认了「杂乱」来自底图自带的 POI/路名标注**（地图上我们自己的点只有 hover 气泡，没有常驻标注）。
+`style=8`（当前「街道」）与 `style=7` 对比实测：同一块的**近黑像素占比**（≈文字量）
+长沙 1.46% vs 0.21%、香港 1.27% vs 0.82% —— **style=7 是纯路网，几乎不标注**。
+
+改动：`tiles.go` 加 `amap-roadnet`（style=7）；后台「设置 → 地图底图」加「默认用哪张底图」
+下拉（`setting.MapDefaultBase`，取值按当前实际图层校验，换过 map_provider 的旧值自动失效）；
+`/api/map-config` 下发 `default`；`rond-map.js` 的 `pickBase()` 三级回落
+**访客在图上切过的那张（localStorage `rond.base`）→ 后台默认 → 第一张**，
+并监听 `baselayerchange` 记住。无头 Chrome 实测：后台设 `amap-roadnet` 后地图真的铺 style=7；
+同一会话里写 localStorage 为 amap-street/amap-roadnet，铺的分别是 style=8/style=7。
+
+**踩过的坑**：`setting.Load()` 是**逐字段显式覆盖**的，新加的字段忘了写那一行 ⇒ 库里存了、
+读出来是默认值。加设置字段时**必须同时改 Default()/Load()/settingsSubmit() 三处**。
+
+#### 三、地点图片（已做，前端转 WebP + 本地/R2 双后端）
+
+站长拍板：**照片导入时勾选保留** / **经本站后端中转** / **选择放后台、凭据放 app.ini**。
+
+- `internal/media`（新）：`Save/Delete/PublicURL`，后端 `local`（`data_dir/media/...`，
+  由 `GET /media/` 直出、内容寻址可强缓存）或 `s3`（**手写 SigV4**，PUT/DELETE，路径式）。
+  零新依赖——go.mod 只有 pgx 与 sqlite，为这个引一个 SDK 不划算。
+- `place_images` 表：`storage` + `object_key` 分别记住每张图**实际**在哪，
+  换存储后端后老图仍取得到。key = `<dataset>/<src_pk>/<sha256[:20]>.webp`（内容寻址、天然去重）。
+- `POST /admin/place/images`（multipart）、`POST /admin/place/images/delete`、`GET /media/`。
+- 前端 `static/js/place-image.js`：canvas 转 WebP（长边 2000px、q0.82），
+  **`blob.type !== 'image/webp'` 必须显式判错**——不支持编码的浏览器会静默给回 PNG。
+- 地点页：访客一个「图片 N」按钮 → 全屏画廊（深底、Esc/点空白关闭、锁背景滚动）；
+  站长多一块管理面板（缩略图墙 + 多选上传 + 单张删除）。
+- 照片导入页：新增「存图」列（默认不勾），提交时**拦下 submit → 逐张转码 → 塞进隐藏的
+  `<input type=file>`（DataTransfer）→ 再 `form.submit()` 放行**；表单改 `multipart/form-data`。
+
+**两个真 bug（都是测试逼出来的）**：
+
+1. **`r.ParseForm()` 会毒化后续的 multipart 读取**。前端用 `FormData` 发（multipart），
+   `ParseForm` 只解析 urlencoded，却会把 `r.Form` 先填成「不含 multipart 字段」的那一份；
+   `FormValue` 只在 `r.Form == nil` 时才去解析 ⇒ 之后再怎么读都是空。图片删除按钮点了没反应
+   就是这个。**规则：收 multipart 的 handler 不要先 ParseForm**，直接 `ParseMultipartForm`
+   （注意 urlencoded 调用方会收到 `ErrNotMultipart`，要 `errors.Is` 放过，否则测试与脚本全挂）。
+2. **把照片导入表单改成 multipart 后，原 `ParseForm` 直接让 `n` 读成 0**，整批导入静默失败
+   （报「没有可导入的照片」）。同一个根因，同一次修。
+
+顺带加了防护：导入请求 `http.MaxBytesReader` 60MB（勾了存图才可能有几百 KB×N），
+前端勾超过 60 张先 confirm 提示。
+
+**验收**：`TestPlaceImageUploadDelete`（multipart 上传→落盘→`/media` 字节一致→非 WebP 被拒→
+multipart 删除两处都清）、`TestPhotoImportWithImage`（勾选存图→地点与图都建好、宽高记对）、
+`TestPlaceImageS3Backend`（httptest 假装 S3，断言路径式 URL + SigV4 Authorization + 公开域名取址 +
+切 s3 后本地不再落盘）、`internal/media/media_test.go` 的
+**`TestSignV4MatchesAWSExample`（AWS 官方向量，签名逐位相符）** + escape/canonicalURI/取址/路径穿越。
+浏览器实测：CDP 造一张 PNG 塞进文件框，页面自己转成 WebP（落盘确为 `WEBP (800,600) 4954 bytes`）
+并出现在缩略图墙；全站 8 个页面 JS 报错 0。
+
+**测试间互相污染**：多个测试共用一个库，S3 那个测试把 `media_backend` 留着没还，
+后面的本地上传就失败。加了 `setMediaBackend()` + `t.Cleanup` 还原本。
+
+#### 复测
+
+`go test ./internal/...` 全绿；`go vet` 干净；纯净往返总差异仍是 **3**。
+产物 `dist/rond-linux-amd64`（22:58）。本轮**新增表 `place_images`**，启动迁移会自动建；
+`conf/app.ini` 多了 6 个 `s3_*` 空键（不填 = 只能存本地）。

.workbuddy/memory/2026-09-19.md

@@ -0,0 +1,509 @@
+# 2026-09-19
+
+## 真机反馈「移动端还是要左右滑」：容器查询是错的，改回媒体查询（阈值 800）
+
+站长 00:09 反馈：在本地环境用移动端测试，还是得左右滑动，否则只能看到一部分信息。
+
+### 根因：我上一轮把堆叠判据换成 @container 是个错误决定
+
+无头 Chrome（新版）里容器查询工作正常，390 下表格都堆叠了；但**容器查询要 iOS 16 / Chrome 105
+起才支持**，不支持的浏览器会把整块 `@container` 规则当不认识的东西**整块丢弃** ⇒ 表格完全不堆叠、
+8 列要横滑 328~388px。站长的手机浏览器大概率就落在这一档，于是「还是得左右滑、只能看到一部分」。
+（顺带：媒体查询 620 那个旧版本同样有漏 —— 视口 621~792 的卡片既放不下表格又没窄到 620 以下。）
+
+### 改法
+
+`app.css` 末尾：`@container (max-width: 699px)` + `.tw{container-type:inline-size}` →
+**`@media (max-width: 800px)`**。800 是从「卡片能不能放下表格」换算来的：卡片内容宽 ≈ 视口 − 93，
+最宽的表 min-width 700 ⇒ 视口 793 以上才放得下，取 800 留几像素余量（注释里写清了换算依据）。
+`wide_table_layout_test.go` 的 CSS 断言同步改成：**每条 tb-stack 规则都必须落在 max-width ≥ 792
+的 @media 里**（容器查询会被判为「不在任何 @media 里」，退回 620 会被判「阈值太小」）。
+
+### 实测
+
+- 形态切换点：360/390/620/800 → 堆叠；801/900/1440 → 表格。**全部横滑 0**（/places、/stats、/report）。
+- **禁用容器查询的环境下依然堆叠**（注入脚本删 CSSContainerRule：删到 0 条、横滑仍 0）⇒ 旧手机不会再退化。
+- 两次变异验证：阈值退回 620 → FAIL（「视口 621~792 的卡片放不下表格」）；
+  改回 @container → FAIL（「不在任何 @media 里」）。
+- 四轮全站审计（390 站长 / 390 访客 / 1440 / 320）与改动前**逐值一致**（溢出全 0、0 JS 报错）。
+- 两段式全量：纯净包 PASS → 11 包 ok、0 FAIL。
+
+### 移动端还剩哪三处能左右滑（普查全站所有 overflow-x:auto 的元素）
+
+| 位置 | 需滑 | 性质 |
+| --- | --- | --- |
+| `.nav-links`（每个页面顶部） | 107~137px | 7 个导航项在 390 里放不下（内容 321 / 可视 214），`overflow-x:auto` + 隐藏滚动条 |
+| `.heat`（首页「活跃日历」） | 513px | 有意的横向滚动（一周 53 格） |
+| `.temp-strip`（统计页「天气与气温」逐月气温条） | 32px | 有意的横向滚动 |
+
+表格已全部不滑。导航那处每个页面都有、且用户看不出「还能滑」，是下一个候选（方案：换行两行 /
+「更多」菜单 / 保持滑动但加渐隐提示），等站长定。
+
+### 教训
+
+**"更精确"的技术特性要先看兼容性代价**：容器查询在无头 Chrome 里完美，我却没评估旧浏览器会
+整块失效——这是把「自己环境的验证通过」当成了「用户环境可用」。凡是写 CSS/JS 判据，
+先问一句「不支持这个特性时会发生什么」，退化路径比精确性更重要。
+
+## 站长补充定位：「后台数据编辑页面，比如地点列表等地方」
+
+我把问题定位到 `/admin/edit`：**三张表（地点列表 / 到访记录 / 行程记录）从来没有打过 `tb-stack`**，
+390 下 5 列要横滑 316px。之所以上两轮全站审计没发现，是因为它们默认折叠在 `data-card` 卡片里、
+探针量到的是 `display:none` —— **默认态测不出隐藏内容的横滑**，这是漏页的真正原因。
+
+### 改动
+
+- `admin/edit.html`：三张表加 `tb-stack`，非首格补 `data-label`（城市/坐标/到访/地点/类型/备注/路线/方式/里程）；
+  末尾那个只放「编辑」的操作格**不加标签**（表头本来就是空的 `<th></th>`，硬加会把按钮/表单挤窄）。
+- 三处行内编辑表单的 `style="min-width:280/300/320px"` → `style="--efw:280/300/320px"`；
+  CSS 里 `.inline-edit form { min-width: var(--efw, 280px) }`，放不下宽表时再放开成 0。
+  用 CSS 变量而不是 `!important`：inline 的 min-width 压不过后面的媒体查询覆盖，变量没有优先级问题。
+- **操作格的 `white-space:nowrap` 从 inline style 挪成类 `.ops`**（`table.tb td.ops`）：`white-space`
+  会继承到格内的编辑表单，堆叠后「已选：#403 2026-09-13 19:53 · 某某地」这一行不换行、把卡片顶出 44px。
+  同样的 nowrap 还出现在 `admin/index.html` 与 `admin/topics.html`，一并改成类。
+- 堆叠态放开：`td:not([data-label])` 与 `td.ops` 都 `white-space: normal`。
+
+### 测试（重点：让「漏页」不再可能）
+
+- `tb_stack_test.go` targets 加 `/admin/edit`（12 张表）；**标签豁免规则改成跟着表头走**：
+  表头为空的列不需要 `data-label`（正好覆盖操作格，规则自洽）。
+- `wide_table_layout_test.go` targets 加 `/admin/edit`、`/admin/photos`；div 栈同时跟踪 `.tw`，
+  新增判据 **「凡被 .tw 包住的表格都必须带 tb-stack」**（照片表按既有方案单独处理，显式豁免）。
+  这条是通用的：以后任何新页面漏加，测试直接报出来。
+
+### 实测
+
+- 展开三张表后：360/390/620/801/1440 横滑**全部 0**（改前 390 是 316）。
+- 每张表各展开一行编辑表单：28 个可见控件逐个 `elementFromPoint` 点测 **0 个点不到**，
+  表单不超出卡片（390 下 302px 放进 324px）；0 JS 报错。桌面 1440 仍是表格、`td.ops` 仍 nowrap。
+- 后台各页（edit / photos / admin / topics）展开后全站可横滑元素只剩 `.nav-links`（导航，107px）。
+- 两段式全量：纯净包 PASS → 11 包 ok、0 FAIL（`tb_stack_test` 12 张表、`wide_table_layout_test` 12 张表 13 条规则）。
+- 四轮审计与上一版**逐值一致**（表格改的都是折叠区内容，默认态审计看不出来）。
+
+### 两个坑
+
+1. **折叠/隐藏区域里的内容，默认态探针测不到** —— 审计脚本跑的是页面默认态，`/admin/edit` 三张表
+   一直是 `display:none`。凡是"某个区块要展开/切换才出现"的页面，必须**先展开再量**。
+2. **CDP 独占**：我在审计脚本运行期间并发跑了截图命令，两边抢同一个 Chrome/9333，
+   审计数字当场就歪了（`/timeline` 小触控 181 → 6、`/map` 13 → 6）。审计/探针/截图一律串行。
+
+## 导航栏：保持可滑动 + 右缘渐隐提示（站长选的方案）
+
+站长的第二问选了「保持滑动，加渐隐提示」。7 个导航项在 390 下内容 321 / 可视 214，硬塞不下
+（每项 2~3 个汉字 + 44px 触控高度，缩字号内边距也省不出 107px），换行或「更多」菜单都动结构，
+所以按他选的做提示。
+
+- `layout.html` 的 `nav` 定义里加 9 行脚本（跟在 `</nav>` 后）：按
+  `scrollWidth - clientWidth - scrollLeft > 2` 给 `.nav-links` 加/去 `.overflow-right`，
+  监听 `scroll`（passive）与 `resize`。
+- `app.css` 620 块里加 `.nav-links.overflow-right { mask-image: linear-gradient(...) }`。
+  用 **mask** 而不是盖一层渐变伪元素——伪元素会把链接文字一起遮住，mask 是让内容本身渐隐。
+  不支持 mask 的浏览器只是少个提示，滑动照旧（退化安全）。
+
+实测：390 溢出 107 → 有类、mask 生效；滑到末端类自动消失、滑回开头回来；1440 无溢出无类、mask=none。
+**像素级验证渐隐可见**：同一页面 A/B（注入脚本摘掉类）截图对比，差异区 `x 516~548`（scale 2）
+正好是 `.nav-links` 右缘那 28px——注意别拿整图最右侧去采样，那里是「后台/退出」按钮、不在 mask 范围内
+（我第一次就这么采的，差 0.0 差点误判成"渐隐没生效"）。
+
+全量测试（含 layout.html/CSS 改动）：纯净包 PASS → 11 包 ok、0 FAIL。改动仍未提交。
+
+## 收尾复查与提交（01:30~01:55）
+
+复查清单与结论：
+- `go build ./...` / `go vet ./...` / `gofmt -l` 全清；CSS 花括号 485/485 平衡；CSS 里 `@container`
+  只出现在注释里（`stripCSSComments` 那条判据就是为它写的：注释里的 `@media/@container` 会带偏解析）。
+- **导出验收两段式**：`ROND_CLEAN_OUT=… go test ./internal/web -run TestMovementCleanExport` →
+  `ROND_EXPORT=… go test ./internal/rond -run TestExportRoundtrip`，visits 823/places 323/moves 791 全对上，
+  **坐标偏差 0.000000000、时间偏差 0s**。注意：**这两个测试的相对路径是相对包目录**（`internal/rond`），
+  从仓库根传 `ROND_SRC=data/…` 会报「找不到文件」，必须给绝对路径 `C:/…/data/…`。
+- 全量 `go test -count=1 ./...`（带 `ROND_TEST_CONF` + `ROND_SRC`）：11 包 ok、**0 FAIL 0 SKIP**。
+- CDP 实测（debug=true，模板/CSS 热加载）：390 下 `/admin/edit` `/stats` `/report` 整页溢出 0、
+  每个 `.tw` 横滑 0、`__errs=0`；1440 下同样 0 溢出，且 **nav 无 overflow-right 类**（桌面不该有渐隐），
+  操作格 `white-space`=桌面 nowrap / 堆叠态 normal。三张行内编辑表的字段逐一核对无缺失。
+
+**修了一处测试的逻辑瑕疵**：`checkWideTablesOutsideGrid` 原来「凡在 g2 里的表都报错」，
+但 g2 里放窄表是合法的 → 会误报。改成只判 `tb-stack`（那才是「宽表」的定义），窄表走 .tw 那条判据。
+**做了变异验证**：把 `/stats` 的 grid 改回 g2 → 测试确实报 3 条 FAIL → 还原。
+
+⚠️ **变异验证差点污染工作区**：我图省事用 `b.replace(b'<div class="grid">', b'<div class="grid g2">')`
+全量替换，而 stats.html 里本来就有 2 处没动过的 `grid g2`（「推荐&踩雷」「类型分布+一天中的分布」），
+还原时又被全量换回去 ⇒ 凭空多出 2 处我不想要的改动（diff 从 3 行变 5 行）。
+**教训：变异只改一处、且改完用 `git diff --stat` 跟改前的行数对账**（这次是看到 6→10 才发现）。
+按行号改（不是按内容 replace）才安全。
+
+提交 `9e01923` 并 push（`96e7631..9e01923`，一次带上了前三次未推的提交）。
+
+---
+
+## 评估「导入新备份 → 分析差异 → 合并」（未动生产代码）
+
+用户诉求：`data/20260919_111819.rondbackup` 与运行中的库有明显差异、两边各有对方没有的数据；
+fwss 虽然能选叠加/覆盖，但看不到差异。
+
+**先做实测，结论推翻了朴素设想**。临时探针 `tools/{diffprobe,idprobe,colprobe,fogprobe}/`（一次性，可删）：
+
+1. `diffprobe 20260919 … 9`：867 条到访「同号且一致 0 / 仅备份有 5 / 同号冲突 867」；
+   但按**到达时刻**对齐能命中 866/871 ⇒ 是同一批数据，**Z_PK 被整体重排**（配对全是 1→555、2→276 这种乱序）。
+2. 对照 `diffprobe 20260914 … 9`：同号一致 819/824、1→1 2→2… ⇒ 库内那一份就是 0914 备份
+   （外加 44 条站点补录 `is_user_added` + 4 处站点改过的时间）。所以 0914 时 PK 还是稳的，是这 5 天里变的。
+3. `idprobe`：`ZVISIT.ZIDENTIFIER_` 两次备份 **822 条 UUID 完全交集**（A 独有 0），
+   但 822 条里 **Z_PK 全变**；`ZACTIVITY.ZUID_` 同理（30/31）。⇒ **UUID 才是跨备份稳定键**。
+4. `colprobe`：`ZLOCATION.ZPLACEID` 322/323 为空、`ZEVENTIDENTIFIER` 全空 ⇒ 地点**没有 UUID 可用**，
+   只能「名称+坐标(1e-5)」当键（B 的 367 个地点命中 A 323 个，44 个是新的）。
+5. `fogprobe`：库内 10542 块/670565 格。0914 快照 8701 块对库 overlay 新增 **0 格**（全重复），
+   而 cover 会**静默丢弃 1841 块 / 94401 格**（≈14%）。`fog-export-fixed.fwss` 与库完全一致（0 差异）。
+
+**副产品发现**：`schema.sql` 里「src_pk（rond 内部地点 ID，跨快照稳定）」的注释是错的；
+`ingest.contentHash` 用 `SrcPK|Arrival` 做指纹，被 PK 重排骗过 ⇒ 同批数据重导会被当成新内容、新建数据集。
+
+**给出的方案（待批准，未写代码）**：上传先 dry-run 出差异页（新增/冲突/站点独有，UUID 优先对齐）→
+确认后单事务合并；fwss 先补数字差异面板（重点是 cover 会丢多少），再考虑差异地图预览。
+
+## 用户拍板 + 落地迷雾差异（阶段 1）
+
+三个回答：①**没重装/换设备/恢复 iCloud，"最后一次是从本项目正式环境导出数据覆盖到 rond 里"**
+②冲突策略=全部逐条 ③先做差异。
+
+①是决定性的：**Z_PK 重排不是 iCloud 的锅，是「把站点导出的包导回 rond」这个动作本身**，
+即每次往返都会发生。于是补做了链路验证 `tools/exportprobe`：调 `ExportRondbackup` 导一份，
+再与 0914 原始备份比 —— **822 条 UUID 全部一致、Z_PK 也全部一致**（B 独有 44 条正是站点补录的）。
+⇒ **站点侧导出完好，UUID 是贯穿全链路的唯一稳定键**，合并方案的地基成立。
+
+已实现（`internal/fog/diff.go` + `internal/web/fog*.go` + `templates/admin/fog-preview.html`）：
+
+- `fog.DiffBlocks(cur, inc)` 纯函数，出 GainBlocks/GainCells/GainArea、Overlap/SameBlocks、
+  LostBlocks/LostCells/LostArea；面积按块中心纬度 cos 修正。
+- 导入改**三段式**：`POST /admin/fog/preview`（暂存到 `data_dir/fog-staging/`，令牌 32 位 hex，
+  TTL 2h）→ `GET /admin/fog/preview/{token}`（现算差异，**不落库**）→ `POST /admin/fog?stash=…`
+  （此时是 urlencoded，`PostFormValue` 能读到 mode；无 stash 才走原 multipart，向后兼容）。
+- 差异页把两件事摆出来：叠加能补多少；**整体替换会丢多少块/格/面积**（快照缺 Model/~、Model/# 时另给警示）。
+
+真实数据实测（开发库 10542 块 / 670565 格 vs `data/Snapshot-20260914T154839+0800.fwss`）：
+叠加 **+0**（全是重复）⇒ 文案报「已被完全覆盖」；整体替换会丢 **1841 块 / 94401 格 / 7.7 km²**。
+页面数字与独立探针 `tools/fogprobe` 逐项吻合。CDP 量过 1440/390 均无横向溢出、按钮 84×44 达标。
+
+验证：`fog/diff_test.go`（5 例）+ `web/fog_preview_test.go`（预览不落库、叠加真写、替换丢数据、
+令牌挡路径穿越）。**变异验证**：把 `ix.Import(..., mode=="overlay")` 改成 `true`，
+`TestFogPreviewWarnsBeforeCoverLosesData` 立刻失败（"应有 3 格，实际 5"）。
+`go test ./internal/web/ ./internal/fog/` 全绿；全量 `./...` 也绿（`internal/rond` 那条
+`TestBaselineKeepsCoreData` 要传**绝对路径**的 `ROND_SRC`，相对路径会报"不是有效的 zip"）。
+
+探针仍在 `tools/{diffprobe,idprobe,colprobe,fogprobe,exportprobe}/`，后续做 rondbackup 合并还要用。
+
+**下一步（未做）**：rondbackup 差异预演页（UUID 对齐 + 地点用名称/坐标兜底），冲突全部逐条选。
+
+## rondbackup 差异预演（本次）
+
+`internal/rond/diff.go`（纯函数：`DiffVisits`/`DiffPlaces`/`DiffActivities` + `Counts`）
++ `rond.Parse` 新增 `Backup.VisitUUID`/`ActivityUUID`（从 SQLite `hex(ZIDENTIFIER_)` 读）
++ `web/backup_diff.go`（库侧加载 + `POST /admin/preview` 暂存 + `GET /admin/preview/{token}` 渲染）
++ `templates/admin/backup-preview.html`。后台上传区改成两个按钮：**分析差异**（primary）/ 直接导入（普通）。
+暂存逻辑同时抽成通用 `stashPut/stashRead/stashSweep`（迷雾与备份共用），迷雾那套测试原样通过。
+
+### 过程中撞到并修掉的两个真问题
+
+1. **无 UUID 的到访被双算**：真机 824 条到访里有 2 条没写 UUID，只按 UUID 配对 ⇒ 同一条既进
+   「备份新增」又进「仅站内有」。修法是加「到达时间（到秒）+ 地点坐标」兜底配对
+   （`timeKey`；只到秒是因为苹果时间戳是浮点秒、PG 存微秒）。
+2. **地点改名造成 17 条假冲突**：首版地点键是「名称+坐标」，而站点的 `backfillAfterImport`
+   把「体育馆美食街」反查成了「河池市国民体质监测中心」（坐标一字未动），于是一整个地点的
+   17 条到访全被报成「换了地点」。改成**地点只认坐标**（`PlaceCoordKey`），名称降级为比较字段；
+   配不上再按名称兜底（覆盖站点把坐标纠偏过的情况）。改完真实数据上冲突 **17 → 0**。
+
+### 真实数据实测（0919 备份 vs 库内 0914 数据集）
+
+| 实体 | 备份 | 站内 | 备份新增 | 仅站内有 | 冲突 | 一致 |
+|---|---|---|---|---|---|---|
+| 到访 | 872 | 867 | 49 | 45 | **0** | **822** |
+| 地点 | 367 | 368 | 1 | 2 | 4 | 362 |
+| 活动 | 31 | 31 | 0 | 0 | 0 | 31 |
+
+账目（`tools/keyprobe` 逐条核过）：0914 备份 824 行 = 822 有 UUID + 2 无（#16、#191）；
+其中 #191 无到达时间，导入时就被跳过且**不写 visits 但写了留档**，所以库里是 821 条有 UUID 的到访。
+0919 备份 872 行 = 870 有 UUID + 2 无（#365、#372 无到达时间）。
+于是：**821 条按 UUID 配对**、**49 条是 0919 新出现的 UUID**（870−821）、
+**#365 靠「到达时间+地点坐标」兜底配上库里的 #16**、
+库里 45 条站点补录无 UUID 也没留档 ⇒ **仅站内有 45**。四个数字全部自洽。
+（一度以为「有 1 条无 UUID 没配上」，是把补录数记成 44 了 —— `is_user_added` 实际是 45 条。）
+
+地点 4 条冲突正是反查补全留下的：
+改名 1 条、站内比备份更全 1 条、坐标被纠偏 2 条（28.141772→28.144964 这类）。
+
+### 验证
+
+`rond/diff_test.go` 11 例（UUID 对齐/字段差异/编号撞号不得误配/兜底配对/改名/坐标纠偏/活动重命名）
++ `web/backup_diff_test.go` 3 例端到端（同一份备份报一致、站内改动静默识别、**渲染前后行数不变**）。
+**变异验证**：去掉 `used[i] = true`，fog 与 web 两层同时失败。
+完整验收（带 `ROND_SRC`/`ROND_EXPORT`/`ROND_DSN`/`FOG_SRC`/`ROND_CLEAN_OUT`）见当次结果。
+
+### 按建议补做的三项
+
+1. **`ingest.contentHash` 换稳定键**（原为 `SrcPK|Arrival`）：改成按到访 UUID / 活动 UUID /
+   地点「名称+坐标」排序后取摘要，没有 UUID 的老备份退回「到达时间+地点坐标」。
+   回归 `ingest_test.go` 六例，变异验证（把 UUID 换回 `fmt.Sprintf("V%d", pk)`）当场失败。
+2. **修正两处声称「src_pk 跨快照稳定」的注释**（`db/schema.sql`、`rond/export.go`），
+   改成「只在单个数据集内稳定」并写明跨备份要靠 UUID。
+3. **复查「1 条配对不上」**：用 `tools/keyprobe` 把两边的键逐条打出来，结论是**没有 bug**，
+   是补录条数记错（45 而非 44）。兜底配对实际工作正常。
+
+**顺带确认**：「站点补录行占用 nextSrcPK 号段」这个隐患**不影响正确性** ——
+跨备份对齐走 UUID，导出时新行是 INSERT（基线里没有该号），回导实机后 pk 重排也无所谓。
+
+## 合并执行（本次）
+
+`rond/merge.go`（纯逻辑：`Choices` + `BuildMergePlan`，把「差异 + 页面上逐条的选择」翻成改动清单）
++ `web/backup_merge.go`（真执行）+ 差异页的合并表单（`form=` 属性把各表格里的 radio 关联到同一个 `#merge-form`）
+→ `POST /admin/preview/{token}/merge`。
+
+**语义**：新增类勾选才并；「仅站内有」一律保留；冲突逐条选（用实机/用站内/跳过，默认**用站内**，没提交或怪值也退回用站内）。
+**不做删除** —— 删地点会级联删掉它的全部到访。
+
+**合并顺序**：地点 → 活动 → 标签 → 到访 → 位移/天气 → 重算地点聚合与数据集汇总，全在一个 `withTx` 里。
+
+### 三个实测撞出来的坑（都已修）
+
+1. **位移/天气被整份复制**：一开始遍历 `b.Movements` 只要两端能映射就插，而映射表里包含**所有**备份到访
+   ⇒ 库里已有的位移又插了一遍（791 → 1547）。改成只处理「至少一端是这一轮新插入的到访」。
+2. **天气重复**：站内删到访时是把 `weather.visit_src` 置 NULL 而保留记录（`editVisitDelete`），
+   合并把到访找回来时又插一条同 `at` 的天气。改成插入前先**认领**「同一时刻、`visit_src IS NULL`」的那条。
+3. **测试自己的手法问题**：直接 `DELETE FROM visits` 会留下孤儿天气/位移（`weather.visit_src` 没有外键），
+   数字对不上。改成按站点的方式删（删位移、天气置 NULL、删到访）。
+
+### 验证
+
+`rond/merge_test.go` 4 例（选择翻译、怪值退回用站内、跳过、活动键优先 UUID）
++ `web/backup_merge_test.go` 3 例端到端：**删两条到访 → 合并 → 到访/位移/天气全部复原 → 再比对「零差异」（幂等）**、
+冲突选「用实机」真覆盖 / 选「用站内」不动、什么都不勾则一个字节都不写。
+**变异验证**：把新行的 `writeRawRow` 去掉，留档变 821/823 且**幂等性当场破**（合并后再比对报「新增 1 / 仅站内有 1」）。
+
+真实数据只验证了**渲染**（radio 分组正确、390 宽无溢出），**没有在开发库上真执行合并**——那会改动你 0914 那套真实数据。
+
+## 附属数据改挂坐标键（迁移）
+
+**动因**：备注/结论/图片原本挂 `(dataset_id, src_pk)`，换个数据集就全看不见——这是用户最初的痛点之一。
+用户这次明确要求：**迁移可以，但导出出去的 .rondbackup 与 .fwss 必须还是原有结构**。
+核对过：这次只动 PG 的三张附属表，`ExportRondbackup` 走的 visits/places/movements/weather/entity_raw
+一个没碰，迷雾那几张表也没碰，所以导出结构不受影响（并用往返测试实测确认）。
+
+**做法**：`place_key` = 经纬度各 6 位小数（约 0.1m）。`place_notes`/`place_votes` 主键换成
+`(user_id, place_key)`；`place_images` 加列 + 索引查。Store 的**对外签名一律不变**（仍是
+userID/datasetID/srcPK），内部改成按 key 存查，所以调用方一处没改。
+
+**关键前提验证**：Go 的 `%.6f` 与 PG 的 `FM999990.000000` 必须逐位一致——先在真实数据上
+比了 **368/368 全同**才敢动。
+
+### 撞出来的一个大坑：迁移块互相打架
+
+改完后测试报 `没有匹配 ON CONFLICT 说明的唯一或者排除约束`。查测试库发现：`place_key` 列**在**、
+主键却还是老的 `(user_id, dataset_id, src_pk)`。
+
+根因：`schema.sql` 里**早就有一段**把主键改回三列的 DO 块（当年加 dataset_id 时写的），
+守卫是「有 src_pk 列」——而 src_pk 永远存在，于是它**每次启动都执行**，把我刚改成 place_key 的主键
+又改回去。**每次都停在最后执行的那个块上**。
+
+修法两条：① 老块先判「没有 place_key 列」再动手（让位）；② 新块的判据从「列在不在」改成
+**「主键列组合对不对」**，这样「列已补、主键还老」的半迁移库也能自愈
+（测试库正好卡在这个状态，改完立刻验证通过）。
+
+**结论**：`schema.sql` 里所有改同一约束的块都会互相覆盖，**必须让老块能被新块取代**。
+
+### 访客票一并迁移（用户确认了猜法）
+
+用户明确：**访客投票只属于本站，rondbackup 里没有这一项**；但它同样要认得出是哪个地点，
+「如果两边都有就跟着活跃的走」。于是 `place_visitor_votes` 也改挂坐标键，
+主键换成 `(place_key, voter_key)`；这张表没有 dataset_id，回填时按**活跃数据集**认领
+（同编号在多个数据集里也只认活跃的那个），认不出的留 `orphan:<pk>` 不丢票。
+
+连带把**所有按这两张表统计的地方**都改成按坐标键 join `places`：`voteTotals`、
+`verdictPlaces`、备注页的排序与两处关联、`stats` 的 `Verdict` 过滤。
+按它们自己的 `dataset_id` 过滤会漏掉「从别的数据集写进来的票」。
+
+`apiVote` 原本没有数据集上下文，补了 `datasetFor`。
+
+开发库实测：1 条访客票迁到 `26.471574|106.673434`，与活跃数据集里 `src_pk=162`
+（孔学堂-礼仪广场）的坐标完全一致；`/api/votes` 返回 `tallies:{"162":{"up":1}}`、
+`verdicts` 4 条都对得上。新增 `TestVisitorVotesFollowPlaceAcrossDatasets`
+（换数据集票还在、从任一侧点两次都能撤掉同一张票）。
+
+### 验证
+
+- 开发库：迁移后行数不变（notes 14 / votes 3 / images 5）、无空键、无孤儿键、
+  `place_key` 与实际坐标 0 条不符；**重启两次主键稳定**（收敛）
+- 新增 `place_identity_test.go` 两例：**换数据集后备注与结论照旧跟在同一个地点**、
+  坐标差 0.1 度的地点**不会互相认领**
+- 全量复测（含 `TestExportRoundtrip` 与 `TestNativeSnapshotRoundtrip`）见当次结果
+
+## 合并的删除（上一轮）
+
+「仅站内有」的记录**默认一条都不删**，要清的逐条勾「合并时删除」（`dv_<src_pk>` / `dp_<src_pk>` / `da_<src_pk>`）。
+键用 `src_pk` 而不是 UUID —— 站点补录的行压根没有 UUID。
+
+**顺序：到访 → 活动 → 地点**，删到访时连 `movements`、`entity_raw` 一起清、`weather.visit_src` 置空（与站点
+`editVisitDelete` 一致）。**名下有到访的地点直接拒绝**（外键是 `ON DELETE CASCADE`，真删会带走到访），
+拒绝后整体回滚。
+
+**测试**：`TestBackupMergeDeletesOnlyChecked`（勾一条只删一条、没勾的不动、留档一起清、再合并不勾仍不删）
++ `TestBackupMergeRefusesDeletingPlaceInUse`（空地点可删、有到访的地点被拒且数据不变）。
+**变异验证**：把「有到访就拒绝」改成 `n > 100000`，测试当场失败。
+
+页面实测：45 个 `dv_` 勾选框**默认全未勾**、12 个冲突 radio、`add_new` 默认勾选；
+那两个「仅站内有」的地点因为 `visit_count > 0`，按设计不给删除框（显示「还有到访，不能删」）。
+
+**踩的坑**：`TestBackupDiffIdentical` 一开始断言整页含「完全一致」四个字——结果被**说明文字里的
+「UUID 完全一致」**命中，成了假阳性；且断言整页 `data-label="冲突">0</td>` 会被地点行张冠李戴。
+改用 `visitCounts()` 正则取「到访」那一行。另外「上传同一份备份」在地点层面**本来就有差异**
+（导入后反查补全改过名称/地址），所以不能拿整页 Identical 当断言。
+
+## 差异地图（用户要求「差异部分在地图上展示」）
+
+新增 `internal/fog/render_diff.go`：`RenderDiffTile(cur, inc, z, x, y, crs)` 出三色瓦片
+（绿=叠加会新增 `{36,164,90}`、灰=两边都有 `{126,134,146}`、红=替换会丢 `{214,56,56}`）。
+**精度分两级**：z≥14（scale≥1）逐格精确；更粗的级别下一个块还不到一像素，按块内多数类整块涂
+（`dominantKind`，绘制顺序 both→gain→lost，让绿/红压住灰）。不做描边（三色已够，粗级别会糊）。
+
+`internal/web/fog_diff.go`：瓦片端点 + 两边块集的单槽缓存（按 token，TTL 10 分钟，
+否则每张瓦片都要重解一遍 680KB 的 .fwss）。`diffBounds` 算两边包围盒给前端 `fitBounds`
+（按底图 crs 换算，否则视野偏几百米）。
+
+**踩的坑（值得记）**：第一次 CDP 测出 `container=NO`、`diffTiles=0` 且**控制台零报错** ——
+原因是页面没设 `p.HasMap=true`，layout 因此不引 Leaflet，而脚本里 `if(!window.L) return`
+静默退出。记忆里本来就写着这条，还是漏了。判据要认 `leaflet-container` 类，不能只看有没有报错。
+
+真实数据验证（0914 快照 vs 开发库）：`container=ok diffTiles=15 ok=15 bad=0`，
+三色像素 **gain=0 / lost=557 / both=2473** —— 绿色为 0 与页面上「叠加 +0」完全自洽。
+390/1440 均无横向溢出（地图 324/1042 宽，高 400）。
+
+测试：`render_diff_test.go`（逐格三色、单边整块、粗级别多数类、边界、dominantKind、计数）
++ `fog_preview_test.go` 的 `TestFogDiffTileColors`（端点颜色语义 + 越界/无效令牌 404；
+第一版用例把 `(0,0)` 当越界，被测试自己纠正成 `x=262144`）。**变异验证**：把 `cellKind` 的
+gain/lost 反过来，fog 与 web 两层测试同时失败。
+
+### 后台服务任务的假失败（12:44）
+`bin/rond.exe` 的后台任务报 failed，查下来是**重复启动**撞端口：旧实例还占着 8080，新进程只打一行
+「bind: Only one usage」就退出（日志写进的是*新进程*那个文件，真正在服务的实例日志在
+`storage/_rond_new.log`）。判据：用唯一 URL（`/probe-<pid>-<rand>`）打一下，看**哪个日志文件**出现这条记录，
+那个文件对应的才是活着的实例。别急着重编——先看日志确认是不是 bind 冲突。
+本次实例是 12:44:09 起的、一直在正常服务（各页 200），templates/CSS 在 debug=true 下热加载，不受影响。
+
+## 地点补全（本轮）
+
+用户要的：新增/活动和类别为空的地点，**根据地名自动判断填充**；匹配不上就新增或手工填。
+
+摸底：dataset 9 有 368 个地点，**217 个没类别**、**52 个完全没活动**（71 条到访无活动）、41 个零到访空地点。
+`poi_category` 存的是 **Apple MapKit 枚举**（真机用过 12 种），不是高德分类 —— 补的时候必须写这种形状。
+
+实现：`fillup.go`（页面/列表/写入）+ `fillup_rules.go`（词表与映射）+ `fillup.html`。
+三层判断：本地词表 → 高德周边搜索（按坐标，比按名字准）→ 人工。**只填空**，活动**按地点批量**设。
+
+### 撞出来的三件事
+
+1. **规则匹配要先掐括号、再按词长优先**：否则「尚优居客栈(大理古城步行街店)」命中「步行街」、
+   「马鞍山公园」命中「山」。
+2. **单字关键词必须删掉**：「独山路28-17号」被猜成「山」——误命中率太高，这类交给高德更稳。
+3. **页面一度 927KB**：每行两个 30+ 选项的 `<select>`，218 行就是 13000 个 option。
+   改成 `input + datalist` 后降到 169KB。
+
+### 验证
+
+真实数据跑十批高德：218 个待补里 **71 个拿到建议**（活动 25、类别 47），
+其中词表 10 个、其余来自高德。剩下的高德查过但类型映射不上（邮局、公司、地名地址这类），
+缓存记下不再重试，所以批次跑几轮就收敛。
+
+测试：`fillup_rules_test.go`（用真实地名做用例）+ `fillup_test.go`
+（按地点批量设活动 / **已有值不被覆盖** / 填陌生名字自动建活动类型）。
+**变异验证**：去掉 `AND activity_id IS NULL`，`TestFillupNeverOverwrites` 当场失败。
+完整验收（含导出往返）全绿。
+
+### 补：高德参考列 + 类别安全标注
+
+没映射出建议的行原先一片空白，但高德其实已经说了「这里是什么」。多了一列「高德参考」
+（POI 名 + 类型原文），「中国邮政 / 生活服务;邮局」这种一眼就能判断该填什么。
+类别下拉加了中文标签，并标出哪 12 种是**真机确实用过**的。
+
+**顺带实测回答了一个重要问题**：`poi_category` 改动后导出的 rondbackup 还能不能导回 rond ——
+**能**。用 `exportprobe` 导一份再读 `ZLOCATION.ZCATEGORY_`，值与真机备份**同格式**
+（都是 `MKPOICategoryXxx` 字符串）。当时还写了「**真机自己也会写中文类别**」——
+**⚠️ 这条 2026-09-20 已证伪，见下面那次的更正：真机从没写过非枚举值。**
+
+### 补：下拉改回 select
+
+`input + datalist` 只在下拉展开时显示 label，**框里永远显示 value**
+（`MKPOICategoryPark` 这种枚举名），站长看不懂。改成 `<select>` 后选中项直接是中文。
+页面原始 940KB、**gzip 后 22KB**（选项高度重复），体积不是问题，不必再为它绕路。
+
+`datalist` 这个坑值得记：**要用它就得接受「框里显示 value」**，想显示中文只能用 select。
+
+## 全量回归（今天所有改动 + 原有功能）
+
+三层都跑了，**没发现回归，也没改任何代码**。
+
+**1. 代码层** `go test ./...`（带齐 ROND_TEST_CONF / ROND_SRC / ROND_EXPORT / ROND_DSN / FOG_SRC）：
+所有包 ok、零 FAIL。关键细节：fwss 往返核对 8701 块 / 106 个其它层条目；
+rondbackup 往返逐项一致（visits 823 / places 323 / tags 8 / acts 30 / moves 791 / weather 557 / rawvisits 2246），
+**坐标偏差 0.000000000、时间偏差 0s**；`tb_stack_test` 检查了 12 张表；访客页面 6 个子测试全过。
+
+**2. HTTP 层**（curl 全站扫）：站长 18 页全 200；访客 9 页全 200；
+访客访问 /admin/* 四个都 303 跳登录（权限边界正常）；API 五支全 200 且都有数据
+（points 64KB / track 108KB / cities / votes / map-config）；导出四支全 200
+（geojson 108KB / gpx 62KB / rondbackup 2.9MB / fwss 693KB）；迷雾瓦片三档全 200 且访客也能取。
+新增的三个页面（迷雾差异 / 备份差异 / 地点补全）也各 200，备份差异页数字与之前一致（49/45/0）。
+
+**3. 渲染层**（CDP，390 宽）：`run_all.py` 扫的 14 个页面**横向溢出全部为 0**；
+新增三页 × 两种视口也是溢出 0、零 JS 报错。
+
+**两个改进点**（不是 bug）：
+- `/admin/fillup` 在 390 下页高 54870px —— 218 行堆叠确实很长，**该加分页**（每页 30 行）。
+- `/stats` 小字 40、`/map` iOS 自放大 1，都是**既有**的（技能笔记里就记着），与本次改动无关。
+
+### 补：补全页分页
+
+每页 30 行。390 宽下页高 **54870 → 8126**。页码夹紧（`?page=999` 停在末页、解析不出来回第一页），
+提交后留在同一页；翻页前若有改过还没提交的下拉会先 confirm（预选的建议不算改过，靠记录初始值判断）。
+测试：`TestClampPage`（8 个边界）+ `TestFillupPagination`（造 35 个地点验两页与越界）。
+**变异验证**：去掉夹紧逻辑，两个测试同时失败。
+
+### ⚠️ 测试基础设施的已知脆弱点（不是代码 bug）
+
+`go test ./...`（默认并行跑包）时 `internal/stats` 偶发 SKIP —— 它的 `setup` 读**全局**的
+`datasets WHERE is_active LIMIT 1`，而 `internal/web` 的 fixture 会在导入期间**临时把 is_active
+指向自己的数据集**、cleanup 时再删掉。两者撞上就是「没有生效数据集」或「找不到可用省份」而 skip。
+
+**单独跑 stats 包 5 个测试全过**，`-p 1` 串行跑也不会有这问题。
+以后做「完整验收」建议用 `go test -p 1`，或者把 stats 测试也改成自带数据集。
+
+### 补：修 UI 回归（用户报的）
+
+用户报「活动和类别变得无法手工填写」+「选不动后点用高德分析就锁死了」。根因都是我上一版改 select 引入的：
+
+1. **纯 select 把手工填写的路堵死了** —— 活动改回可输入的 input（活动名本来就是中文，没有显示问题）；
+   类别保留 select 但末尾加「其它（自己写）…」，选中露出文本框（后端认 `cat_<id>__custom`）。
+   （当时以为「真机自己也存中文类别」所以让用户随便写中文 —— **那条判断是错的，见 2026-09-20 的更正**：
+   真机只写过 `MKPOICategoryXxx`，中文全是站内自己写进去的。）
+2. **建议被强制预选 ⇒ 用户表达不了「不动」** —— 而且点「用高德分析」会整页重载，
+   刚选的全丢，看起来就像锁死。改成**默认什么都不选**，批量采纳走「采纳本页建议」按钮；
+   分析前把本页填过的存进 sessionStorage，回来恢复，提交时清掉。
+
+**教训**：`select` 只适合「选项可穷举」的字段。活动是用户可自由新增的，就绝不能做成纯下拉。
+
+顺带被测试抓到一次：分页测试数 `name="cat_` 时把新加的 `cat_X__custom` 也算进去了（30 行变 60），
+口径改成数 `<select name="cat_`。
+
+### 补：活动与类别统一样式（用户报的）
+
+用户说「类别和活动的选择样式好像不一样」。上一版我为了恢复手工填写，把活动做成 input+datalist、
+类别做成 select+「其它」，同一行两个格子长得不一样。
+
+现在活动也改成 select + 「其它（自己写）…」+ 文本框，与类别完全同款：
+- 模板两处结构一字不差，只换 `act_`/`cat_` 前缀；CSS 类合并成 `fill-sel`（原 `cat-sel` 全部替换）
+- 后端 `act_<id>` 读到 `__custom__` 就读 `act_<id>__custom`
+- 删掉 `datalist#fill-act`；「采纳本页建议」与草稿存取改走 `select.fill-sel` 一次遍历
+- 草稿恢复对 SELECT 派发 `change` ⇒ 「其它」文本框能跟着恢复显示（否则值在、框被隐藏）
+
+实测（CDP）：390 宽下两者完全一致 229×37；1440 宽下同字号/内边距/边框，宽度由内容撑开略有差。
+**新增两个测试**：`TestFillupCustomActivity`（写文本框里的名字）、`TestFillupCustomActivityEmptyIsSkipped`（空名不建类型）。
+
+**验收插曲**：第一次串行跑出现 `--- SKIP: TestMovementCleanExport` —— 不是回归，是我把
+`ROND_CLEAN_OUT` 只写在第一条命令的前缀里（前缀 env 只作用于那一条），整链跑时没导出。
+改成 `export` 全部环境变量后重跑：12 个包全 ok，零 FAIL 零 SKIP。**教训：验收链要用 `export`，
+不要用命令前缀**，否则导出验收会在完整跑里静默跳过、看着像全绿其实没跑。
+提交 `bf23fc6`。

.workbuddy/memory/2026-09-20.md

@@ -0,0 +1,253 @@
+# 2026-09-20
+
+### 补全页：手工填过的值自动进下拉候选
+
+用户报「手工填了之前没有的活动/类别，后面同类地点还得再手工打一遍，效率低」。
+根因：下拉候选是**页面渲染时定好的**（活动来自 `activities` 表、类别来自静态表），
+本页新填的值在提交前进不了候选。
+
+做法（全部在 `templates/admin/fillup.html` 的脚本里，后端没动）：
+- `sessionStorage['rond-fillup-newopts']` 存 `{act:[],cat:[]}`；本页文本框里的值 + 从别处带来的值，
+  一起补进同类下拉，插在**建议之后、真候选之前**（不沉到列表最底下），标成「新填：X」，带 `data-local` 标记
+- 本页打字即生效；翻页/「用高德分析」重载也留得住（重载时读回来重新 paint）；提交成功后清掉
+- 先 paint 再恢复草稿：草稿里选中的可能就是新填的值，选项不在跟前 `select.value` 设不进去
+- 草稿保存改成**按 name 合并**（`delete` 掉本页明确清空那些），翻页不再覆盖上一页；分页链接也接了保存
+- **重画候选前要留住「这一格已选中的新填值」再还回去**，否则改一下文本框会把别的行选好的值抹成空
+
+**两个坑**：
+1. 文本框监听**不能委托到 `document`**：`new Event('input')` 默认**不冒泡**，探针第一次就是这么假绿的。
+   直接 `box.addEventListener` 更稳，也少一层隐式约定。（用户真实打字是冒泡的，但别赌这个）
+2. 验收时我用了**新的** `ROND_CLEAN_OUT` 文件名，`-p 1` 下 `internal/rond` 按字母序**排在 `internal/web` 之前**，
+   导出文件还没生成 → `TestExportRoundtrip` 等 4 个测试全红。**这是假警报**，
+   先跑 web 的 `TestMovementCleanExport` 生成文件、或沿用上次的文件名即可。
+提交 `ffee082`。
+
+### 数据编辑页加「活动与类别」卡片
+
+用户要求「在数据编辑页添加一个模块，对活动和类别进行更改、删除和新增」。先摸清现状：
+
+- **活动**：`activities` 表，31 条。后端 create/update/delete **三个端点早就有**，
+  但 UI 只藏在「到访记录」卡片里——要先在下拉选中某个活动，再点按钮弹 `prompt/confirm`，
+  入口隐蔽、也看不见「哪些活动一条到访都没挂」（实测有「学习」0 条）。
+- **类别**：**根本没有表**，就是 `places.poi_category`。16 种值在用（12 个 MapKit 枚举 + 4 个中文）。
+  候选来源还两套：编辑页/照片页读 `DISTINCT`（只有用过的才出现），补全页读静态表 `fillupCategories()`。
+  → 库里真在用的中文类别（一般道路/彩票店/租车点/美食街）在补全页下拉里选不到。这是**已存在的 bug**，记下了。
+
+**用户拍板的选择**（问过才动手）：类别**不加字典表**、不预置空字典项，只做批量改名/合并/清空；
+活动**要合并**。
+
+实现：
+- 新端点 `category/rename`（改成已有值就是合并，同一条 UPDATE）、`category/clear`（写 NULL）、
+  `activity/merge`（事务内把到访转过去 + 抄目标活动的 `is_home/is_work` + 删源活动 + `pruneEntityRaw`）
+- `EditData` 加 `ActivityRows`/`CategoryRows`；编辑页原来那条 `DISTINCT poi_category` 查询
+  顺手改成 `GROUP BY` 带计数（一份数据两用，不额外查）
+- 卡片 `data-card="taxonomy"` 放页首，是**唯一默认展开**的卡片（脚本里给 `taxonomy` 开了小灶）
+
+**自己踩的坑（值得记）**：表我写成 `class="tb-stack"`，漏了配对的 `tb`。
+CSS 全是 `.tw > table.tb.tb-stack …`，结果一条堆叠规则都没命中，390 宽下表还是 640px 底宽——
+**而且守卫测试没拦住**（它只查 `tb-stack` 在不在），页面也不横滑（横滑在 `.tw` 里滚），
+是探针量到「表宽 560 > 卡片宽 362」才发现的。已给 `wide_table_layout_test.go` 补上
+「有 tb-stack 必须有 tb」的判据，并做了变异验证（去掉 tb → 守卫报错）。
+另外宽度**别用行内 min-width** 写死，堆叠态的 `min-width:0` 会被 inline 压过去。
+
+实测（CDP，全程拦截 fetch 保证不动真实数据）：默认展开、31 活动/16 类别行、「家」引用 250、
+改名没变→只提示不请求、删除确认带条数、清空确认、合并同一个→拒绝、合并确认带两个名字和条数、0 次请求。
+
+### 补：补全页的类别候选取「在用的 ∪ 静态表」
+
+上一轮记下的「两页候选不一致」用户决定修掉（原话：不然使用时会有异常）。
+
+改动只在 `internal/web/fillup.go`：
+- 新增 `(*Server).usedCategories(ctx, dsID)`：`SELECT poi_category, count(*) … GROUP BY 1 ORDER BY 2 DESC, 1`
+- `fillupCategories(inUse []fillupCategory)` 现在三段拼：**在用的**（按地点数降序，标签 `中文名（在用 N）`）
+  → 真机用过的 12 种（`（真机用过）`）→ 其余常见 MapKit 类别。用 `push` + `seen` 去重，
+  **同一个值只出现一次**，在用的那份信息更准、顶掉静态说明。
+- 标签统一走 `poiCategoryLabel`（MKPOICategoryX→中文；未知枚举去掉前缀；中文值原样返回）。
+
+**实测真实数据**：36 项 = 16 在用 + 18 未用过的静态 +（不动）+（其它「自己写」），零重复。
+前几项：餐厅（在用 51）/ 商店（在用 29）/ 公共交通（在用 22）/ 酒店（在用 14）/ 地标（在用 10）/
+**一般道路（在用 5）**/ 菜市场（在用 4）…；这个数据集里静态表的 12 种恰好全都在用，所以「真机用过」组为空。
+
+写测试时踩了两次自己的口径错误（都不是产品的错）：
+1. 数「值出现几次」时把整页数了——**下拉每行渲染一份**，30 行就是 30 次。改成先截出第一个 `<select>…</select>` 再数。
+2. 断言「餐厅（在用 1）」——**夹具导的是真实备份**，那类别本来就有 51 个地点在用。改成只断言 `value="X">中文（在用 ` 前缀，不钉数字。
+
+### ⚠️ 更正一条错误结论：真机**从没**写过非枚举的类别值
+
+用户问「类别这里部分显示中文、部分显示 MKPOICategoryBeach，直接改会有影响吗」，
+顺手把数据核了一遍，结果**推翻了我 2026-09-19 的判断**（那条写在 `knownMKCategories` 附近：
+「真机自己也会写中文类别（一般道路/彩票店/美食街/租车点）⇒ 这列本来就是自由文本」）。
+我从「库里看到中文值」直接推成了「真机写的」，**没查这些值到底是谁写进去的**。
+
+实测（活跃数据集）：
+
+```sql
+-- 真机留档里的 ZCATEGORY_ 分布
+SELECT COALESCE(NULLIF(r.raw->>'ZCATEGORY_',''),'--empty--'), count(*)
+  FROM entity_raw r WHERE r.dataset_id=… AND r.entity='ZLOCATION' GROUP BY 1;
+--  →  201 空 + 12 种 MKPOICategoryXxx，非枚举值 **0 条**
+-- 站内值与留档不一致的地点：**只有 2 个**（公园 1 + 美食街 1）
+-- 4 个中文类别全部落在「真机本来就没给类别」的地点上（留档为空，或那行站内新建、根本没有留档）
+```
+
+⇒ **结论**：`ZCATEGORY_` 在真机那边就是 MapKit 枚举串；中文值是**站内**（补全页手填 / 高德建议 / 自定义）写进去的。
+当时我还把这句错误结论当成依据安抚用户「写中文完全安全」，**这句得撤回**：
+写中文不会坏数据（导出侧不校验、站内显示原样），但 **app 那边很可能显示不出类别**，
+而且我们**没有任何实测样本**能保证 app 怎么处理未知值 —— 只能说「不损坏」。
+
+**教训**：看到「库里某个值不符合预期形状」时，先分成「谁写的」——查 `entity_raw` 里的留档
+（站内新建的行**没有留档**，`raw IS NULL` 就是最强指纹），别把「站内写进去的」当成「真机的行为」。
+
+### 类别「显示名」可维护（枚举 ↔ 中文对照）
+
+用户：「MKPOICategoryBeach 下边标注海滩，我希望能够改，一一对应的或者现在没有对应值的让我来填写补充」。
+根因：中文名是 **Go 里硬编码的两张 map**，用户根本改不了；而且两张表还对不上。
+
+**先合并两套中文名**（这次的关键清理）：
+- `view.go` 的 `poiNames`（38 条，给补全页静态项 + GPX）与 `handlers_edit.go` 的 `poiCategoryText`（33 条，给编辑页）
+  **冲突 3 处**：FoodMarket 菜市场/食品市场、Cafe 咖啡馆/咖啡厅、FitnessCenter 健身房/健身中心；
+  还有 `ATM`/`Atm` 大小写各写一份、一条永远匹配不上的死条目 `MKPOICategoryMarina2`。
+- 合并成 `poiCategoryText` 一张（42 条，冲突处取编辑页那套），删掉 `poiNames`/`poiName`。
+- **连带清掉两个模板函数** `catName` / `poiname`（它们绑在旧函数上）。模板里算不出显示名（要读站点覆盖），
+  所以改成在 Go 侧算好塞进数据：`FillupRow.CatLabel`、`PlaceData.CategoryLabel`。
+
+**新增可维护层**：
+- 表 `category_labels(value PK, label)`，**站点级、不挂 dataset_id**（值本身是稳定键）。
+  内置表降级为「默认值」，`categoryLabel(v, custom)` 的兜底顺序：自定义 > 内置 > 去掉前缀的原值。
+- 端点 `POST /admin/edit/category/label`；**传空 label = 删除覆盖行、恢复默认**（UPSERT/ DELETE 两条路）。
+- 类别台账那行改成两个带前缀标签的输入框：`导出值`（会写回手机）+ `显示名`（只影响显示），
+  外加「保存显示名」按钮；`Missing`（是 MKPOICategory* 但内置表没有）提示「填一个中文名」。
+  placeholder 分两种：缺名 →「填一个中文名」；否则「留空＝默认「X」」。
+
+**必须记住的不变量**：显示名**绝不写进 `places.poi_category`**——那是导出回手机的值，
+中文跟着写进去就污染数据了。测试 `TestCategoryLabelNeverTouchesValue` 专门钉这一条。
+
+实测：类别行「导出值=MKPOICategoryBeach / 显示名=空 / placeholder=留空＝默认「海滩」」，
+点保存发出 `value=MKPOICategoryBeach&label=海边`；390 宽卡内无溢出；访客地点页副标题照常显示「海滩」。
+
+### 修：「填了显示名却还说没有中文名」+ 枚举拼错拦一道
+
+用户报：原来「租车」那行，把导出值改成 `MKPOICategoryCarRent`、再手工添了显示名「租车」，
+保存后页面仍显示「还没有中文名」。
+
+**根因 1（真 bug）**：`Missing` 判定只看内置表（`categoryLabelMissing(v)`），
+**没看有没有自定义覆盖** ⇒ 填过了还照样提示。改成 `categoryLabelMissing(c) && catNames[c] == ""`。
+补了回归测试 `TestCategoryLabelMissingRespectsOverride`，并做了变异验证（去掉那半个条件 → 测试报错）。
+
+**根因 2（用户真正踩的坑）**：`MKPOICategoryCarRent` **不是真机的枚举**，正确是 `MKPOICategoryCarRental`
+（少了个 `al`）。站内看不出任何异常，但导回手机后那个地点显示不出类别——正是上一轮提醒过的风险。
+
+**加的一道防线**：编辑页把内置枚举名渲染成 JS 数组 `KNOWN`，`okEnum(v)` 在**写 poi_category 的两个入口**
+（类别台账的「改名」按钮、地点行内编辑的「自定义类别」提交）都拦一下：
+不在 KNOWN 里就 confirm，还能猜「你是不是想写 MKPOICategoryCarRental」（双向前缀匹配）。
+中文值不拦（不是枚举），已知枚举不拦（返回 true 不打扰）。
+实测：普通提交/自定义中文/已知枚举都不拦，拼错的才拦。
+
+**数据现状（用户的数据，等他们决定）**：地点 id=2290 `大理星羽阁精品民宿(古城店)`
+（原来是「租车点」）的类别现在是 `MKPOICategoryCarRent`；还有一条孤儿覆盖行
+`category_labels.MKPOICategoryCarRent → 租车`。正确做法是把导出值改成 `MKPOICategoryCarRental`
+（内置名就是「租车」，覆盖行随即可删）。
+
+### ⚠️ 教训：用脚本改模板时 `\n` 会被多转义一层
+
+我通过 `Bash` + Python heredoc 往 `edit.html` 写 JS 时，写的是 `'\n\n你去…'`，
+结果落到文件里变成**真换行** ⇒ JS 单引号字符串含裸换行 ⇒ **整块 `<script>` 语法错误**，
+页面上所有交互静默失效。而 `TestPageTemplatesParse` 照样通过（模板语法本身没问题），
+`present_files`/构建也不报错——只有 CDP 探针的「JS 报错」和实际点不动才发现。
+
+三条处置：
+1. **改含转义的文本一律用 Edit 工具**（它按字面写入），或 Python 里用 `chr(92)+'n'` 显式拼；
+2. 新增守卫测试 `inline_script_test.go`：扫模板里所有内联 `<script>`，**发现字符串跨行就报错**
+   （带文件名+行号）。跳过注释/模板串/`{{…}}`。已做变异验证（放一个坏样本 → 精准报错）。现在扫 31 个脚本块。
+3. **改完模板必须用 CDP 看「JS 报错」是否为空**——这条已在技能里，但这次才是它真正救命的场景。
+
+### 排查「导出包导不回 rond」
+
+用户给了一个从**生产环境**导出的包（`data/20260914_151649-export-20260916(1)-export-20260917-export-20260920.rondbackup`）
+导回手机失败，要我和真机原版 `data/20260914_151649.rondbackup` 对比。
+
+**排查方法（可复用）**：先跑现成工具，再补三项工具没覆盖的检查。
+1. `tools/verify_export_structure.py rondbackup <原版> <导出>` → 表/索引/CREATE TABLE 逐字符、
+   `integrity_check`、`foreign_key_check`、关键不变量、派生列重算 —— **结构一致性：通过**。
+2. `tools/verify_rondbackup.py` 逐字段比对 → 差异全部能解释成「用户在站点上的编辑」（改名/新增/删除/设类别）。
+3. 工具没覆盖、我补查的：
+   - **NOT NULL 违例**（`integrity_check` 和 `foreign_key_check` 都不查这个！真出的话 Core Data 打不开）
+   - `Z_METADATA.Z_PLIST` / `Z_UUID` / `Z_MODELCACHE.Z_CONTENT` 的**字节哈希**（技能只要求「相等」，工具只比了行数）
+   - `Z_PRIMARYKEY.Z_MAX` vs 各表实际 `MAX(Z_PK)`
+   - **所有列**逐值比对（不只技能清单里那几列）→ 只暴露出时间戳最后一位差 ~0.1µs，
+     是 PG `timestamptz` 只有微秒精度造成的，在技能认可的 ≤1ms 容差内，**不是 bug**
+   - 确定性：同数据导两次，`sha256` 完全相同 ✓
+   - zip 条目顺序（我们 `sqlite,wal,shm` vs 真机 `sqlite,shm,wal`，都是 Store 不压缩）
+   - `ACHANGE`(4810) 内容、`ZRAWVISIT` 抽样、78 个 sqlite 对象（含 sqlite_ 内部）── 全一致
+
+**找到的唯一实质缺陷**：新建的交通方式「步行」导成 `ZTRANSPORT.ZCOLOR_=NULL / ZICON_=NULL`，
+而真机原有 5 条**全部**有值（`cyan`/`cablecar.fill` …）。真机这两列**从不写 NULL、也不写空串**。
+成因链：站点不单独维护交通方式表（颜色/图标是从 `movements` 上聚合的）→ 建方式时没选就是空
+→ `queryTransports` 的 `FILTER (WHERE ... IS NOT NULL)` 聚成 NULL → `ns()` 把空串/NULL 都变 nil → 写进包里是 NULL。
+
+**修法**（`internal/rond/export.go`）：**只对新建的行**（`!known["ZTRANSPORT"][src]`）补占位
+`gray` / `circle.fill`；**基线已有的行不碰**——那种情况 `keepNilCols["ZTRANSPORT"]` 会保留真机原值，
+擅自补占位反而会把真机的真值盖掉。与「新建活动补 `blue`/`📍`」同一套做法。
+
+**新增通用守卫** `internal/web/export_placeholder_test.go`：判据是
+「**基线里 100% 有值的列，导出里的新行也不许为空**」——对所有托管表逐列扫。
+这才是这类问题的根治办法（单点修 ZTRANSPORT 只是治标）。已做变异验证（关掉修复 → 精准报错）。
+
+**没法部署时的临时办法**：在编辑页把用了「步行」的**任意一条行程**的方式颜色/图标补上保存
+（`editMovementUpdate` 只改那一条，但聚合取「最新一条非空的」），再重新导出，`ZCOLOR_/ZICON_` 就有值了。
+
+### 真机报「备份恢复失败，你的当前数据未被更改」→ 找到悬空关系
+
+用户重试仍失败，真机只给一句「错误，备份恢复失败，你的当前数据未被更改」。
+「当前数据未被更改」说明它是**先校验、整体回滚**，即在校验阶段被拒。
+
+**关键醒悟**：**Core Data 的 SQLite 表里没有真正的外键约束**（关系由 Core Data 自己维护），
+所以之前跑的 `PRAGMA foreign_key_check` 报 0 违例**毫无意义** —— 它压根没有可检查的约束。
+必须自己按「关系列 → 目标表 Z_PK」手查悬空引用。
+
+手查结果（8 组关系列全扫）：
+
+```
+原版：悬空引用 0
+导出：⚠️ ZRAWVISIT.ZVISIT → ZVISIT 悬空 2 条   (2051→到访46, 465→到访200)
+```
+
+正是用户在站点上删掉的那两条到访（46、200）：`ZRAWVISIT`（原始 GPS 采样点）是**不托管实体**、
+导出原样保留，删到访后就留下了指向已删记录的悬空引用。原版 0 条，且真机删到访时采样点跟着**级联删**。
+
+**修法**（`internal/rond/export.go`，`visit.finish()` 之后）：删掉 `ZVISIT` 指向不存在到访的
+`ZRAWVISIT` 行。选「删」而不是「置空 ZVISIT」的理由：真机「未归并采样点」虽有 1461/2246 条（置空合法），
+但**留成未归并会让 app 重新推出一条到访、把用户删掉的记录复活**。
+
+**顺手加固**：
+- `tools/verify_export_structure.py` 新增 1.45 节「关系完整性」手查悬空（8 组关系列），
+  有悬空就把结论标成「有差异」——`foreign_key_check` 那条查不出来的坑，从此进标准验收清单。
+- `internal/web/export_placeholder_test.go` 加 `TestExportDropsOrphanedRawVisits`：
+  删一条带采样点的到访 → 导出 → 断言没有悬空。已做变异验证。
+
+**为了让用户在部署前就能验证**，直接对那个失败包做了两份修复包（`data/` 下）：
+A = 只修数据（保持原条目顺序）；B = 修数据 + 条目顺序对齐真机（sqlite, shm, wal）。
+两份都复核过：结构逐字符一致、悬空 0、交通方式空值 0、采样点 2246→2244。
+
+### ✅ 结案：A 包导入成功，根因确认是悬空引用
+
+用户实测 `data/20260920-fixed-A-数据修复.rondbackup` **能正常导入**。
+
+- A 包 = 你那个失败包 + 清 2 条悬空采样点 + 补交通方式颜色/图标，**zip 条目顺序保持原样**
+  ⇒ **条目顺序不影响真机导入**（B 包不用试了，可以删）
+- ⇒ 根因就是**悬空关系引用**（`ZRAWVISIT.ZVISIT` 指向已删到访）被真机的校验拒掉
+- A 里同时含「交通方式补颜色/图标」，所以严格说没单独隔离出它的影响；但悬空是**关系完整性**问题，
+  正是 Core Data 校验的对象，主因没有疑问。**不再让用户复做归因实验**（价值低、还要覆盖手机数据）
+
+**今天的两个修复都在代码里了**：`56c7283`（新建行不留 NULL）、`78865fc`（清悬空采样点）。
+**但都还没 push、没部署** —— 生产站点的导出包仍然会带悬空引用，除非部署后重导。
+
+### 技能 `rond-backup-parse` 的四处修正（今天的实测推翻了里面的旧断言）
+
+1. 保真度清单**补上「关系完整性」**（手查悬空，必须 0）并加了专节；
+2. 明确警告 **`foreign_key_check` 在这个库里永远报 0**（Core Data 没有外键约束）——
+   旧版把它列进了必查项，等于给了个假的通行证；`integrity_check` 也不查 NOT NULL；
+3. 旧的「时间往返**零差异**，出现 1µs 偏差就是精度写法有问题」**是错的**：
+   实测 ~625 条到访带 0.1µs 偏差（PG `timestamptz` 只有微秒精度），**而这样的包能导入**。
+   改成「秒级零差异 + 说明 µs 偏差的成因，别去修」；
+4. 「新建行」那条补上机械判据：**基线里一条空值都没有的列，新行也不许留空**。

.workbuddy/memory/2026-09-21.md

@@ -0,0 +1,373 @@
+# 2026-09-21
+
+## 记忆维护
+
+- `MEMORY.md` 超限（25KB）被注入截断 ⇒ 已收敛：把 details 未覆盖的新知识（跨备份 UUID、坐标键主键、合并执行、迷雾三段式、tb-stack、活动/类别、补全页交互、导出排除顺序）并入 `MEMORY-details.md`（新增第 19–27 节，36.7KB），`MEMORY.md` 重写为 ~6.5KB 索引（只留「违反了会静默出 bug」的判据）。
+
+## 全量排查（产出 `audit-2026-09-21.md`）
+
+范围：77 条路由 / 23 个页面集 / 96 个 Go 文件 / 24 模板 / 4 前端脚本 + app.css。方法：4 路只读深挖 + 关键结论回读复验 + 模板行为实测 + `go build`/`vet`/`test` 实跑。
+
+### 新确认的 P0（本次实测坐实）
+
+- **`internal/web/parallel.go:43-57` `runJobs` 子 goroutine 无 recover** ⇒ 任一 job panic **终止整个进程**（`server.go:317` 的 recover 只管请求 goroutine）。可用性最严重。
+- **`internal/auth/auth.go:199` `hash[:min(len(hash),16)]` 恒为常量**（`pbkdf2$sha256$21`）⇒ MAC 只绑 `uid|exp`，**改密码不失效旧会话**（注释声称相反）。`SignPending2FA` 同。
+
+### 新确认的 P1
+
+- `layout.html:215` `{{d .Dataset.Last}}`：`d` 收 `time.Time` 而 `.Last` 是 `*time.Time`。**实测**：非 nil 会被模板解一层指针、正常工作；**nil 时报错并截断输出**。`refreshDatasetAgg`（LEFT JOIN）在数据集零到访时写 NULL，编辑路径调用 9 次 ⇒ 可达。后果是 HTTP 200 + 页脚之后整段不渲染（含 Leaflet/脚本引入），服务端只有一行 log。
+- `server.go:447` `serverError` 回显 `err.Error()`，调用点含 `home`/`mapPage`/`placesPage`/`placePage`/`reportPage` 等**公开页**与公开 JSON 接口。
+- `stats.go:195` `movementsWhere` 比 `visitsWhere` 少了 City/Province/ActivityIDs/MinDwell/TagID/Keyword ⇒ 按这些维度筛选时「总里程/出行方式」仍是全量。
+- `rond-map.js` tooltip 未转义（382/772/818/836）而 popup 已 `esc()`（340-348）——同文件内不一致。
+- 多语句写操作未包事务：`handlers_edit.go:699/1235/1411/1332+1342/1832+1848`（建地点+建到访、合并两处反而是对的）。
+- 解压无上限：`rond/parse.go:201`、`fog/fog.go:134/199`（上传只限压缩后体积）。
+- `^-?[0-9.]+$` 不是浮点校验却紧跟 `::float8`：`handlers_edit.go:2315`（suspectWGS）、`coord.go:40`；`:187` 那处连正则都没有。
+- `main.go:50-52` 默认口令 `rond-admin`，登录只有一次性验证码、无失败限速。
+
+### 其他值得记的
+
+- **`go test ./...` 全绿是假信号**：本机 62 SKIP / 59 PASS（缺 5 个环境变量），`internal/web`/`rond`/`stats`/`fog` 的重用例全在 skip 里。
+- `html/index.html`（856 行）已不被服务（`go:embed` 与 routes 都无引用）。
+- ✅ 已核对**不是**问题：SQL 全参量化、`ORDER BY` 白名单、`serveMedia` 路径穿越、无 SSRF、验证码不可重放、无模板 XSS 与 405、26 张 tb-stack 表类名成对且 data-label 全齐。
+
+## 修复落地：第 1–4 批 + 途中新发现 1 个 panic
+
+**纪律**：每条都先做变异验证（先确认测试能变红，再还原确认变绿）。全量套件（含 `-p 1` 验收）0 失败。
+
+### 新增回归
+`web/tx_atomicity_test.go`、`web/server_error_test.go`、`web/map_escape_test.go`、`web/tb_static_test.go`、`rond/limit_test.go`、`fog/limit_test.go`、`auth/guard_test.go`、`web/login_guard_test.go`、`stats/placecols_test.go`、`web/topic_stats_test.go`、`fog/tilename_test.go`。
+
+### 性能 P1：placeCols 的相关子查询缺索引前导列（已实测）
+`idx_visits_place` 是 `(dataset_id, place_id)`，6 个子查询只写 `place_id=p.id` ⇒ 每轮为库里每个 dataset 各下一次索引。
+Index Searches 2371→366、Buffers 23737→5669、actual time 53.4ms→31.5ms。跨 dataset 的到访 0 条 ⇒ 该谓词语义冗余。
+
+### 性能 P2：专题列表 N+1 → 一条 UNION ALL
+新增 `fillTopicStatsBatch`（顺手发现「天数」查询与点位查询的到访集合完全相同，纯重复）；删掉 `fillTopicStats`，列表页与详情页共用 `topicAreaCond`。回归以详情页 `topicContent` 为预言机（3 轮 × 5 专题）。
+
+### 新发现 bug：`fog.tileName`/`tileIDFromName` 单数字编号越界 panic
+- 导出：`Encode` 里 `id := t[0]+t[1]*MapTiles`，第一列就是 0~9 ⇒ M2 尾缀循环起点 `len(s)-2 = -1` ⇒ `s[-1]` 越界。
+- 导入：长度守卫 `len(name)<7` **恰好放行**「4 位 md5 + 1 位掩码 + 2 位尾缀」的 7 字节名，md5 公开可算 ⇒ 构造 .fwss 上传即 panic（DoS）。
+- 修复：`tileDigits(id)` 不足两位补前导 0、编解码共用；守卫收紧到 `len(name)<8`。真机编号 ≥2 位 ⇒ 导出字节不变。
+
+### 两个踩过的坑（会静默浪费时间）
+- **`time.Time` 的 `==` 会连内部 `*Location` 指针一起比**：pgx 每次 Scan 都新建 Location ⇒ 「值相同」也判不等（366 行里假报 325 行差异）。比对数据库行一律 `json.Marshal` 后比字符串。
+- **静态 SQL 守卫必须按子查询分段**：`placeCols` 里 v2 出现 3 次，全文 `Contains` 会被另外两处顶包，变异跑不出红。要先按 `FROM visits (vN)` 的匹配位置切段再判。
+
+### 尚未处理
+P2 的 S1–S9 / D1–D8 / F4–F10、F14、F16–F18，性能 P3–P8。
+建议优先：S5（CSRF token / JSON 端点 Origin 校验）、S4（cookie 无 `Secure`）、S3（两处 `//evil.com` 协议相对跳转）、D2（`writeRawRow` 的 marshal 失败只 log ⇒ 留档静默丢失）、P4（导出整包进 buffer，受 `WriteTimeout 120s` 约束）。
+
+## 修复落地（第二批）：S3 / S4 / S5 / D2
+
+### S3 协议相对跳转 ✅
+同一份判据在仓库里有**三份实现**：`view.go` 的 `backFromRequest` 是加固过的正确版，
+`handlers_admin.go` 的 next 与 `handlers_vote.go` 的投票后跳转是**手写的弱化版**（只判 `HasPrefix(next, "/")`，放行 `//evil.com`）。
+⇒ 抽成纯函数 `safeInternalPath`，三处 + 登录跳转共用。回归：`redirect_target_test.go`
+（21 个拒绝样例 + 静态守卫 `TestNoWeakRedirectPrefixCheck`，守卫还自查扫到的文件数防假绿）。
+
+### S4 会话 cookie 补 Secure ✅
+**不能无条件打**：本机 http 调试与 CDP 验证流程都跑在 http，打了 Secure 谁都登不进去。
+按「本次请求是否 https」判断：`r.TLS != nil`，或 `X-Forwarded-Proto`（多段取首段）。`login` 签名多了 `*http.Request`。
+回归：`session_cookie_test.go` 五种来源 + 断言 HttpOnly/Path/SameSite 未被顺手改掉。
+
+### S5 CSRF 纵深防御 ✅
+先取证：**全部改状态的路由都是 POST**（没有 GET 改状态）✓，cookie 已是 `SameSite=Lax`（跨站 POST 本就带不上 cookie）。
+故定位为纵深防御。新增 `csrf.go` 的 `csrfOriginGuard`（只对 POST/PUT/PATCH/DELETE 生效）：
+有 `Origin` 必须本站（`null` 一律拒）→ 无则看 `Referer` → 都没有则放行（跨站 POST 浏览器必带 Origin）。
+**一行模板都不用改**。拒绝时日志带 Origin/Referer/Host，反代配错一眼可见。
+部署前提：反代要传原始 Host（或用 `X-Forwarded-Host` 兜底）。
+回归：`csrf_test.go`（14 例单元 + 走完整中间件链的接线测试）。变异两轮：①摘掉中间件（只有接线测试红）②判据恒真（都红）。
+
+### D2 留档静默丢失 ✅
+`writeRawRow` 的 `json.Marshal` 失败原来只 log 后 `return nil` ⇒ 调用方以为写成功、合并照常提交、原始列永久缺失。
+改为上抛由 `withTx` 整笔回滚。回归：`entity_raw_test.go` 用 `math.NaN()` 触发真实序列化失败，
+断言「必须报错 + 失败不留半截行 + 正常值仍写得进去」（第三条防断言假绿）。
+
+### 下一批建议
+🔴 **S1**（`fogResetIndex()` 无锁写，全报告唯一真 data race）、🔴 **S7**（TOTP 不消耗验证码 + `login2FA` 无限速，`auth.Guard` 现成可复用）、
+🟠 **S2**（图片上传缺 `MaxBytesReader`，一行改动）、🟠 **D3**（`parse.go` 不查 `rows.Err()`）、🟠 **P4**（导出整包 buffer + WriteTimeout）。
+
+
+
+---
+
+# 第三批（S1 / S7 / S2 / D3 / P4）✅
+
+### 先说两个会让验证白跑的坑
+1. **`-race` 需要 cgo + C 编译器**，本机原本没有 gcc（`go env CC` 写着 gcc 但 PATH 里没有）。
+   解法：`scoop install mingw`（装到 `~/scoop/apps/mingw/current/bin`），
+   跑法：`export PATH="$HOME/scoop/apps/mingw/current/bin:$PATH"; CGO_ENABLED=1 go test -race ...`。
+2. **用 `newMovementFixture` 的新测试会静默 SKIP**（它同时要 `ROND_TEST_CONF` 与 `ROND_SRC`）。
+   只带 `ROND_TEST_CONF` 时结果是 `ok`，看起来全绿其实一条没跑——这轮就这样骗过了一次变异验证
+   （变异后仍「通过」，一打印 body 才发现根本没进函数）。**验收一律用 `-v` 数 SKIP，别只看 ok。**
+
+### S1 迷雾索引 data race ✅
+`fogIndexV` 普通指针 → `atomic.Pointer[fog.Index]`（`Load`/`Store`）。
+**这条是全报告唯一真正的 data race，也是第一次真跑出 -race 报告**：
+变异回普通指针后 `-race` 报 `WARNING: DATA RACE`（write @fog.go:453 `fogResetIndex` vs read @fog.go:45 `fogIndex`），
+恢复 atomic 后干净通过。回归 `fog_race_test.go`（8 读者 + 1 重置者）。
+
+### S7 两步验证限速 + 验证码一次性 ✅
+`login2FA` 接 `loginGuard`，键 `"2fa:"+用户名`（与口令环分开计数）；新增 `auth.CodeReplay`
+（`Consume(uid, code)`，`replayTTL = 3*totpStep = 90s` 覆盖 ±1 步窗口）。
+重放**不计入爆破计数**（用户手抖重复提交也会撞上，不该越锁越久）。
+阈值是第 5 次失败才上锁（`guardFreeTries=5`）⇒ 测试里「几次才锁」要写成循环探测，别硬编码次数。
+变异两轮：摘掉入口 `RetryAfter`（锁定期内递正确码能登录成功）、`Consume` 短路成 `if false`（同码拿到 303）——都红。
+
+### S2 图片上传缺请求体上限 ✅
+补 `r.Body = http.MaxBytesReader(w, r.Body, imageMaxBytes+1<<20)`。
+判据要认准：`ParseMultipartForm` 的 `maxMemory` 只限内存，超出**无上限**落临时文件；
+`mime/multipart` 内部另有 `maxMemory+10MB` 的松量，所以拿 9MB 去打 8MB 是能过的——必须大到越过上限。
+变异后文案变 `图片超过 6MB`（走的是单张 6MB 上限那条），据此判红。
+
+### D3 rows.Err() ✅
+`parse.go` 加 `drainRows(rows, what)`，13 处循环收尾全走它。
+守卫 `internal/rond/parse_rows_test.go`：抓出所有 `for x.Next()` 的变量名，逐个要求 `x.Err()` 或 `drainRows(x,`；
+再单独校验 `drainRows` 本体确实既查 `Err()` 又 `Close()`（防空壳）。
+往返验收全等（823/323/8/30/791/557/2246，坐标 0.000000000、时间 0s）。
+
+### P4 导出下载 ✅
+导出补 `Content-Length` + 用 `http.NewResponseController(w).SetWriteDeadline(+10min)` **只放宽这一条路由**；
+`gzipWriter` 补 `Unwrap() http.ResponseWriter`（少了它 ResponseController 一律 `ErrNotSupported`）。
+注意：测试里用 `httptest.ResponseRecorder` 会打日志「无法延长写超时」，那是预期的降级路径，不是 bug。
+
+### 验收
+- 全量 `go test -count=1 -v ./...`：**209 PASS / 0 FAIL**；只带单次 env 时 5 SKIP（全是两段式导出的），
+  预置 `ROND_CLEAN_OUT`/`ROND_EXPORT` 产物后 0 SKIP。两段式单独跑也全绿。
+- `gofmt -l` 干净、`go vet` 干净、无残留 MUTATION 标记。
+
+### ⚠️ 待查：`TestPlaceUpdateBatchActivity` 偶发失败（4 次全量里 1 次）
+症状：`导出包里只有 245/246 条到访`（`place_activity_test.go`）。
+**已排除本轮改动**：
+- 导出链路完全不经过 `rond.Parse`（只有 `backup_diff`/`backup_merge`/`handlers_admin` 上传用），D3 无关；
+- `f.export` 读的是 recorder 的 body，zip 若被截断 `rond.Open` 会直接失败（中央目录没了），
+  所以 P4 的 `WriteHeader`/`Content-Length`/`buf.WriteTo` 也无关；
+- 那一轮和上一轮的唯一差别是 3 个模板/JS 文件的 CRLF→LF，影响不到到访条数。
+**已加诊断**：失败时打印「包里缺哪些 Z_PK / pks 自身有无重复 / 包内 ZVISIT 总行数」，
+三种成因（少写一行 / 两行撞号 / 选错了数据集）一眼可分。
+**怀疑方向（未证实）**：`datasetFor` 是**全局**取活跃数据集
+（`WHERE is_active AND status='done' ORDER BY uploaded_at DESC LIMIT 1`，**没有 tiebreaker**），
+而用例的 `pks` 来自 fixture 自己的 `dsID`；若有两份导入同时 `is_active` 且 `uploaded_at` 同秒，
+导出可能取到另一份「几乎一样」的数据集 —— 差异正好是这种个位数级别。
+下次复发时看新诊断输出即可定性。
+
+### 收尾
+- 全量 `./internal/web/`（带两段式产物，CRLF 归一后重跑）：**113 PASS / 0 FAIL / 0 SKIP**。
+- 全量 `./...`：**214 PASS / 0 FAIL / 0 SKIP**。
+
+---
+
+## 第四批：S6 / D5 / D1 / P5 + N1 定位（2026-09-21 下午）
+
+顺序：先把上一批留下的 **D1 编译中断**修完（`activityFlags` 签名改 3 返回值、`fillup.go:384` 补错误处理、
+`handlers_photos.go:236` 接 `logAggFailure`），再依次做 S6/D5/P5。
+
+### S6 `X-Forwarded-For` 只认最后一段 ✅
+`clientIP` 改为「末段 + `netip.ParseAddr` 校验，不合法退回 `RemoteAddr`」。
+回归 `client_ip_test.go`（12 组表驱动 + 伪造前缀不改身份）；变异回「取首段」⇒ 红。
+副作用写进注释：投票身份 = `hash(cookie, IP)`，取法变即身份变；单反代没伪造时首末段相同、无影响；
+反代前再叠 CDN 时末段变 CDN 的 IP ⇒ 访客被叠成同一来源（cookie 仍各异，不会认错人）。
+
+### D5 收藏切换一条语句 ✅
+`UPDATE ... RETURNING bookmarked`。静态守卫（不许再有 `SELECT bookmarked` / `err == nil && on`）+
+行为用例（连点两次，提示与库内实况必须一致；不存在的记录不许回成功提示）。
+
+### D1 聚合刷新不再吞错 ✅
+四个助手统一返回 error：事务内上抛、提交后走 `logAggFailure`（只记日志不改判请求）。
+回归 `agg_error_test.go`：取消 context ⇒ 必错；裸调用静态扫描；签名必须以 `) error` 结尾。
+变异两处（`return nil` 吞错 / 改回裸调用）分别打红。顺带全仓确认再无「语句形式丢弃返回值」的 DB 调用。
+
+### P5 `findSourceArchive` 先按大小筛再算摘要 ✅
+新增 `pickArchiveBySha(files, sha, size, hash)`；`sha=''` 的退化路径不筛。
+`hash` 做成参数是为了让用例**数「算了几次摘要」**——只看返回哪个文件新旧写法没有区别。
+变异删掉大小筛 ⇒ 红并报「实际算了 3 次（白读了 2 份整包）」。
+
+### ⚠️ 自查：静态守卫的 cwd 依赖（本轮自己踩出来的坑）
+`TestVisitBookmarkTogglesInOneStatement` 用 `os.ReadFile("handlers_edit.go")` 单跑绿、跟夹具混跑红
+——因为 `newMovementFixture` 会 `os.Chdir` 到仓库根，而 `-run` 选中的用例集不同，cwd 就不同。
+`TestNoWeakRedirectPrefixCheck` 的 `filepath.Walk(".")` 同理，更阴：不报错，但扫的子树从
+`internal/web` 悄悄变成整仓。
+**修法**：新增 `internal/web/testpaths_test.go`（`moduleRoot(t)` / `pkgFile(t,name)`，从
+`runtime.Caller(0)` 往上找 `go.mod`），三处守卫全部改用它；`Walk` 起点改成仓库根并把「自查文件数」
+从「只在 found==0 时查」改成**无条件查**。验收跑了「单跑」+「跟夹具混跑」两遍，并在包外
+（`internal/config/config.go`）注入一次探针确认整仓覆盖真的生效。
+→ 已同步到技能 `rond-fix-verify`。
+
+### ★ N1 定位：不是导出丢行，是测试把 SQL 参数绑错了位
+症状「导出包里只有 245/246 条到访（缺 []，pks 内重复 []）」在第四轮全量里复现。
+根因：断言 SQL 是 `SELECT count(*), count(*) FILTER (WHERE ZACTIVITY_=?) FROM ZVISIT WHERE Z_PK IN (?,…)`，
+`FILTER` 的 `?` 是**第一个**占位符，而 `args` 是 `[pks…, actSrc]` ⇒ FILTER 绑到 `pks[0]`，
+IN 列表变成 `pks[1:] ∪ {actSrc}`，于是条数偶尔少 1、`converted` 只有碰巧 `pks[0]==actSrc` 时才成立。
+（「缺失列表为空」正是错位的指纹：缺的 `pks[0]` 被 `actSrc` 顶替了。）
+修法：`actSrc` 放最前、`ph`/`args` 同循环成对生成 + `Count(q,"?") != len(args)` 自检。
+验证：连跑 6 次全绿；变异 `export.go` 的 `actPK = sp` → `actPK = v.ActivityID.Int64` ⇒ 稳定红
+（`导出包里只有 0/246 条到访的活动换成了 #1（站点内部 id 75881）`）。
+**意味着这条断言以前是靠巧合绿的，等于没守住「导出写的是 rond 的 src_pk」。**
+先前怀疑的 `datasetFor` 全局取数据集已排除（包内 ZVISIT 始终 824 行）。
+
+### 验收（本轮收尾）
+- 全量 `go test -count=1 -v ./...`：**211 PASS / 0 FAIL / 0 SKIP，exit=0**（12 包全 ok）。
+- 两段式：`TestMovementCleanExport` → `TestExportRoundtrip`，823/323/8/30/791/557/2246 全等、
+  坐标 0.000000000、时间 0s；迷雾 8701 块一致。
+- `gofmt -l` 干净、`go build`/`go vet` 干净、`export.go` 与 HEAD 无差异（变异已完全还原）。
+- ⚠️ 本轮踩了一次环境变量：`ROND_DSN` 指了 `postgres` 维护库 ⇒ `TestChangeUsername` 失败
+  （关系 users 不存在）+ 6 个 stats skip + `TestVisitorHomeStore` skip。**必须指 `rond_fog_test`。**
+- 清理：删掉临时 `tmp-verify/`（含日志与中间包）与探针文件。
+
+### 遗留
+- **D7 待用户定语义**：`Filter.Verdict` 只在 `Places` 生效，`Cities`/`ActivityCounts`/`ActivityStats`
+  连 `Filter` 都没接。直接加会让「点被藏了、轨迹还在」——需要先决定「verdict 过滤是否也管轨迹」。
+- 其余：S8、S9、D4、D6、D8、F4–F10、F14、F16–F18、P3、P6–P8。
+
+---
+
+## 第五批（S8 / S9 / D7）——按用户「全部，但先从安全入手」
+
+### S8 GPX 轨迹两个入口都按属主收口
+- `/api/gpx`（公开无鉴权）原来全表吐；`adminGpxDelete` 只按 `id` 删。改成：取生效数据集的
+  `user_id`（`is_active AND status='done'` 最近一份）→ 取不到返空，`WHERE user_id=$1`；
+  delete 用 `WHERE id=$1 AND user_id=$2` + **查 `RowsAffected()==0`**（只改 WHERE 不看行数 ⇒
+  删他人轨道静默「成功」）。
+- 守卫 `gpx_owner_test.go`（行为 + 静态）。**静态守卫差点假绿**：写成 `strings.Contains(body,"user_id")`
+  时，一句中文注释就能糊过去 ⇒ 改成**只扫反引号里的 SQL 文本** + 「一段 SQL 都没扫到就 Fatal」。
+  变异：删 `WHERE user_id=$2` ⇒ 红。
+
+### S9 下载文件名可逃出引号
+- 四个 `Content-Disposition`（geojson/gpx/rondbackup/fwss）裸拼 `datasets.original_name` ⇒ 带 `"`
+  或换行即可注入头部。新增 `downloadDisposition`（`filename=` ASCII 兜底 + `filename*=UTF-8''…`）、
+  `rfc5987Escape`、`asciiSafe`、`hasAlnum`；四个出口全部改走它。
+- 守卫 `download_name_test.go` 三条。**反过来抓出实现自身两处 bug**：正则漏 `-`（合法名判不符）、
+  `asciiSafe` 漏 `=`（`a;b=c` 能溜过）——都修了。变异：某调用点改回裸拼 ⇒ 红；`asciiSafe` 删 `=` ⇒ 红。
+
+### D7 verdict 筛选全域一致（用户定「全域一致」口径）
+- 原来 `Filter.Verdict` 只在 `Places` 生效，`Cities`/`ActivityCounts`/`ActivityStats` 不认。
+  把 verdict 条件**下沉到 `visitsWhere`**（`place_key` 坐标键 `EXISTS(place_votes…)`），所有走
+  `visitsWhere` 的统计自动一致；`hasVisitConds()` 同步加 `|| f.Verdict != 0`；`Places` 那段重复
+  特殊-case 删掉。`place_key` 表达式抽成 `placeKeyExpr(alias)`（原来散在三处）。
+- 守卫 `stats/verdict_scope_test.go`：fixture **自建封闭数据集**（坐标 89.9/100.x、独立 user、
+  **故意不设 is_active**，避免并行测试按坐标键串味）；`Verdict=99` ⇒ 14 口径全空；只投 p1/p2 ⇒
+  visits=3/dwell=110/places=2/cities=2/provinces=1/movements=2/distance=12.00/weather=1。
+  变异：去掉 visitsWhere 下推 ⇒ 红；从 hasVisitConds 删 verdict ⇒ 只 movements/weather 清空 ⇒ 红。
+- 全量回归结果见下方「第五批验收」。
+
+### 第五批验收
+- 全量 `go test -count=1 -v ./...`（四件套齐全、DSN 指 `rond_fog_test`）：**218 PASS / 0 FAIL / 0 SKIP，exit=0**
+  （第四批 211 + 本批 S8/S9/D7 共 7 条）。两段式 823/323/8/30/791/557/2246 全等、坐标 `0.000000000`、时间 `0s`、迷雾 8701 块一致。
+- 已更新 `audit-2026-09-21.md`（新增「修复记录（第五批）」+ 重写「尚未处理」表，删掉 S8/S9/D7/P5；验收数字改 218）。
+- 已更新 `.workbuddy/memory/MEMORY.md`（GPX 属主 / Content-Disposition / verdict 全域一致三条硬规矩）与技能 `rond-fix-verify`（静态守卫三反模式）。
+
+---
+
+## 第六批（D4）——脏备份的伪时间与越界坐标
+
+### 实测复现（临时探针调 appleTime）
+Go 对超范围浮点转 int64 **是回绕不是饱和**：`NaN/±Inf/1e30/±1e30 → 2001-01-01`（恰好回绕到基准点，
+看着完全正常）、`1e12 → 2123-10-28`、`-1e12 → 1878-03-08`。
+要命的是 `ingest` 拿所有到达时间做 min/max 写 `datasets.first_visit_at/last_visit_at` ⇒ 一条脏行让
+整条时间轴从 2001 年起算。**只卡结果没用**（回绕后可能又落回合法区间），必须先卡输入秒数再乘。
+
+### 改法
+- `parse.appleTime`：`NaN/±Inf` 或秒数超出 `[1970,2100)` ⇒ nil（接上既有「装不下就 skip+留档」契约）。
+- 新增 `parse.validCoord`：NaN/±Inf/越界 ⇒ 读 `ZLOCATION` 时归一成 `(0,0)`（与 `COALESCE(NULL,0)` 一致，
+  顺带让 `place_key`/`contentHash` 对脏行稳定）。
+- 位移的脏时间**保留行、时间置空**（本就可空、导出走 `sql.NullTime`），不制造「无声消失的行程」。
+
+### 回归 + 变异
+- `internal/rond/dirty_test.go`：纯函数 + 静态守卫 + **真的建一个 Core Data 版 sqlite 走一遍 `Parse`**。
+- `internal/ingest/dirty_import_test.go`（DB，独立用户跑完即删）：脏到访不进 visit_count、留档为 skipped、
+  `first_visit_at` 不被污染。
+- 变异 5 次全红：去窗口检查 / 去 NaN 检查（两者互补） / 去地点归一化（静态+端到端双红） /
+  ingest 改「补零时间」/ ingest 只跳过不留档。
+- 已更新 `audit-2026-09-21.md`（新增「修复记录（第六批）」+ 尚未处理表移除 D4）。
+
+### ⚠️ 自查：新写的 ingest 用例把统计用例「串」成了假 skip（本轮自己踩出来的）
+第六批全量首跑 `220 PASS / 0 FAIL / 4 SKIP`——4 条 stats 用例报「没有天气数据可测 / 找不到可用省份」。
+根因两层：
+1. `stats` 夹具是 `SELECT id FROM datasets WHERE is_active LIMIT 1`，**不带 user 过滤**；我的 ingest 用例
+   `Import` 时会把临时数据集的 `is_active` 切成 true ⇒ 运行期间别的包可能选中这份几乎空的数据集 ⇒ skip。
+2. 更糟的是**清理没生效**：`defer d.Close()` 在 `t.Cleanup` 之前执行（defer 先跑），Cleanup 里
+   `d.Exec(DELETE FROM users …)` 拿到的连接已经关了，静默失败 ⇒ 库里留下 5 个 `__dirty_*` 用户、
+   5 个生效数据集，把所有 stats 用例永久污染。
+**修法**：派生**专用库**（`ROND_DSN` 库名加 `_ingest` 后缀、`db.Open` 自动建）+ 把 `d.Close()` 也放进
+`t.Cleanup` 并**先注册**（后进先出 ⇒ 删用户时才还连着）。清掉残留用户后重跑，共享库 `users=1/active=1`。
+→ 已同步到技能 `rond-fix-verify` 与 `MEMORY.md`。
+
+### 第六批验收
+- 全量 `go test -count=1 -v ./...`：**224 PASS / 0 FAIL / 0 SKIP，exit=0**（12 包全 ok；第五批 218 + D4 新增 6）。
+- 两段式导出数字与第五批完全一致（823/323/8/30/791/557/2246、坐标 0.000000000、时间 0s、迷雾 8701 块）
+  —— D4 只拦脏值，干净备份路径零变化。
+- 验收数字已写入 `audit-2026-09-21.md`「验收状态」。
+
+---
+
+## 第七批（F4/F7）——异步回包把已关掉的图层又画回来
+
+### 症状与根因
+勾选图层 → 请求发出 → 立刻取消 → 回包 → **图层照画**（开关显示「关」，地图上却有东西）。
+四个出口全中：`setGpx`/`setHeat`/`setCityAgg`（`rond-map.js`）+ 模板里的行程轨迹 `refreshTrack`（`map.html`）。
+共同写法是取消时 `xxxLayer = null` 就 return，**在途那次请求没人作废**。
+
+### 改法
+每次调用发递增序号；关键是**序号必须在 `if (!on) return;` 之前递增**（否则取消这条路径不改序号，
+在途请求照样合法），回包首行 `if (seq !== xxxSeq) return;`。序号顺带解决「连点筛选/切底图」的旧回包盖新回包。
+`refreshTrack` 的 `.then` 与 `.catch` 两个分支都要挡。
+
+### 验证
+- 守卫 `map_async_cancel_test.go`：按大括号配平取函数体，断言**两个异步分支的相对顺序**
+  （递增早于早退、作废检查早于画）。变异 3 次全红。
+- **CDP A/B（比静态守卫硬）**：`--inject` 给 `/api/track|gpx|cities` 回包各加 900ms 延迟撑开竞态窗口，
+  探针「勾选 → 120ms → 取消 → 2.2s」后数 `path.leaflet-interactive`：
+  有守卫 `2→2 delta=0`；去掉守卫 `2→758 delta=756`（**开关关着画了 756 条线，且 errs=0**）。
+- 临时的 inject/探针脚本写在 `storage/_*`，跑完已删。
+- → CDP 手法（延迟注入 + 数 DOM 做 A/B）已同步到技能 `rond-web-verify`。
+
+## 第八批（D8 / P8）
+
+### D8 上传失败后把半成品留在 uploads 里
+`adminUpload` 先落盘再解析（`rond.Open`/`Parse`/`ingest.Import` 任一失败都直接 return），
+原来只有「sha 完全相同」那条早退分支才 `os.Remove` ⇒ 坏包反复上传堆垃圾，而 `findSourceArchive`
+正要遍历这个目录。改法：落盘后挂 `keepStored` + `defer`，只有「新导入成功」那一支置 true
+（那份上传件是导出的基线源）；顺带修掉 `st.Identical` 分支的同类泄漏。
+回归 `upload_cleanup_test.go`（DB）：投垃圾 `.rondbackup`，断言 303 带 err + 目录无新增；
+**带前提守卫**（Location 必须含「解析备份失败」，否则落在更早分支时断言会空过）。
+变异：清理改空操作 ⇒ 红并报出泄漏文件名。
+
+### P8 recover 在响应已写出时追加错误体
+`http.Error` 无条件调用 ⇒ handler 写了半页才 panic 时会二次 `WriteHeader`
+（`superfluous response.WriteHeader`）并把错误体接在半个页面后面。
+改法：`recover` 用 `headerSent` 包装 ResponseWriter（`WriteHeader`/`Write` 任一即置 sent），
+已写出就只记日志。包装层必须实现 **`Unwrap()`**（又踩到 P4 给 gzipWriter 补过的同一个坑：
+少了它 `NewResponseController` 拿不到 `SetWriteDeadline`，导出的 10 分钟写死线静默失效）。
+回归 `server_error_test.go` 三条（半页+panic / 未写+panic / 用现成 `deadlineRecorder` 验 Unwrap）。
+变异：还原无条件 http.Error ⇒ 红；删 Unwrap ⇒ 红（feature not supported）。
+
+### 第八批验收
+- 全量 `go test -count=1 -v ./...`：**229 PASS / 0 FAIL / 0 SKIP，exit=0**（12 包全 ok；第八批新增 4 条）。
+- 两段式导出与第六批逐项相同（823/323/8/30/791/557/2246、坐标 0.000000000、时间 0s、迷雾 8701 块）
+  —— 七、八两批都没碰数据路径。
+- ⚠️ 变异验证会在 `storage/uploads-test/` 留一个泄漏文件（清理被改成空操作那轮），
+  已清掉；正常测试轮不留（用例自带断言）。
+
+## 第九批（D6）——轨迹图层与里程统计的区域判定不一致
+
+原报告写「可见性口径不一致」，查清后具体是**区域判定的连接方式**不同（与迷雾遮罩无关）：
+`apiTrack` 是 `regionSQL("pf") + regionSQL("pt")` ⇒ 白名单下**两端都要命中**；
+`movementsWhere` 是 `EXISTS(... pmv.id IN (from,to) ...)` ⇒ **任一端命中**。
+黑名单下两种写法恰好等价，白名单下才分叉：一端在北京、一端在上海的位移，白名单只选北京时
+图层画不出来（缺上海那端）、总里程却算进去。图层那侧「两端都要在」才是安全侧
+（白名单的用意就是不暴露区域外坐标）。
+
+**改法**：`movementsWhere` 的区域条件改成对两端各判一次、两端 AND（与 regionSQL 同款），
+并把 `IN` 换成 `COALESCE(col,'') = $n` —— `district` 常 NULL，`NULL IN (...)` 得 NULL，
+黑名单的 `NOT (...)` 跟着变 NULL ⇒ **整行被误删**（regionSQL 早用 COALESCE 绕过，这是第三点分叉）。
+
+**回归**：`internal/web/region_consistency_test.go` 是**对账测试**（不是各写一遍 SQL 互比）：
+自建封闭数据集（3 地点 / 2 段位移：一端在外 10km、两端在内 20km），一边跑**真 regionSQL** 拼的
+图层谓词、一边跑**真 `stats.Overview`**，断言相等。变异：还原成「任一端命中」⇒ 红，
+报「图层 20.00 km，统计 30.00 km」。
+→ 已更新 `audit-2026-09-21.md` 与 `MEMORY.md`（区域判定必须两端 AND + COALESCE）。
+
+### 第九批验收
+
+- 全量 `go test -count=1 -v ./...`：**230 PASS / 0 FAIL / 0 SKIP，exit=0**（12 包全 ok；第九批新增 1 条对账用例）。
+- 两段式导出 823/323/8/30/791/557/2246 全等、坐标 0.000000000、时间 0s；迷雾 8701 块逐字节一致（未碰数据路径）。

.workbuddy/memory/2026-09-22.md

@@ -0,0 +1,39 @@
+# 2026-09-22
+
+## 第十批（P6 / P7 / P3）——性能：缓存上限、重复查询、批量往返
+
+### P6 `fillupCache` 无界增长
+`fillup.go` 的 `fillupCache` 是全局 map 只写不清。改成**带上限的 FIFO**：超过 `fillupCacheMax`(2048)
+丢最旧的四分之一（`fillupOrder` 记插入顺序），覆盖写同一键不重复记账（否则 order 比 cache 长、淘汰错删）。
+守卫 `fillup_cache_test.go`；变异（阈值抬到 ×1000）⇒ 红。
+
+### P7 统计页「周几」查两遍
+`handlers_public.go` 的 `d.Weekday` 已在 `runJobs` 的 weekday 任务里查过，渲染前又同步查了一遍
+（第二个纯多余）。删掉后者。守卫 `stats_weekday_once_test.go`（`s.q.Weekday(` 必须恰好 1 次）；变异 ⇒ 红。
+
+### P3 `adminNotesBulk` 逐条往返
+三个分支原本都是 `for _, id := range ids` 逐条调 store（勾 50 个地点 = 50 次、清空 100 次往返）。
+新增 `notes.DeleteBulk` / `notes.SetNoteBulk` / `votes.SaveVerdictBulk`，统一用 `p.src_pk = ANY($3::bigint[])`。
+`SetNoteBulk` 两条语句等价于逐条 `SetNote(..., "")`：先删「别名与 rond 备注都空」的行、再清其余行的
+手写 note（顺带把 `dataset_id/src_pk` 刷成当前数据集的值，与逐条 upsert 对齐）。
+守卫 `admin_notes_bulk_test.go`：①静态扫描（函数体不许再出现逐条的 `Delete(`/`SetNote(`/`SaveVerdict(`、
+必须有三个 `*Bulk`）；②端到端（3 个地点依次走 结论/清空/取消/删除，每步断言**全部**生效）。
+变异：①退回逐条循环 ⇒ 静态守卫红；②给批量 INSERT 加 `LIMIT 1` ⇒ 端到端红（「实际 1」）。
+
+**新事实**：pgx v5 stdlib（走 `database/sql`）**直接接受 `[]int64` 作为 `ANY($3::bigint[])` 的数组参数**，
+既不用 `pq.Array`，也不必手写 `IN` 占位符——实测通过（`TestAdminNotesBulkAppliesToEveryCheckedPlace`）。
+
+### 第十批验收
+- 全量 `go test -count=1 -v ./...`：**234 PASS / 0 FAIL / 0 SKIP，exit=0**（第十批新增 4 条）。
+- 两段式导出 823/323/8/30/791/557/2246 全等、坐标 0.000000000、时间 0s；迷雾 8701 块逐字节一致（未碰 rond 数据路径）。
+- → 已更新 `audit-2026-09-21.md`（新增「修复记录（第十批）」+ 重写「尚未处理」表，删掉 P3/P6/P7；
+  「尚未处理」只剩 F5/F6/F8–F10/F14/F16–F18 这批前端交互/无障碍细节）。
+
+## 收尾：MEMORY.md 精简（注入被截断）
+
+`.workbuddy/memory/MEMORY.md` 注入时被截断——尾部「安全/跳转」「口径/404/验收」两节根本进不来，
+等于白写。就地精简：**12452 → 8888 字符（-29%）**，保留全部规矩与守卫名，把「验证机制细节」
+（四件套环境变量之外的那些：静态守卫禁相对路径、`?` 绑定顺序、`-race` 的 mingw PATH 等）
+指向技能 `rond-fix-verify`，只留两个最容易「假绿」的坑（缺 `ROND_SRC` 静默 skip、共用库写数据集串味）。
+（随后第十批又补了 2 条性能规矩，当前 9277 字符 —— 已贴近注入上限，**后续新规矩优先写进
+`MEMORY-details.md` 或技能，别再往这个索引里堆**。）

.workbuddy/memory/2026-09-23.md

@@ -0,0 +1,24 @@
+# 2026-09-23 工作日志
+
+## 第十一批（前端 P2 收尾）完成 + 全量审查
+
+- 修掉原报告 P2 前端剩下的 8 条：F5/F6（`rond-map.js`：localStorage 走 `lsGet`/`lsSet`；
+  `previewQueue` 在 `if (live)` 之前排队）、F8/F9（`photo-exif.js`：EXIF 时间范围校验、
+  `findExifItemID` 读宽度守卫）、F14（`app.css` 删死内边距）、F16（`edit.html` 三个筛选表单带全 8 个参数）、
+  F17（`view.go` 删 `safe`）、F18（`place.html` aria-label + alt）。
+- 新增 `internal/web/frontend_fixes_test.go`，本批 9 条守卫（含补的 F10：`fillup.html` 的
+  sessionStorage 读写必须包 try）。全部逐条变异验证（注入→红→还原→绿）。
+- **重要发现：F10 的代码早在提交 `82e6341` 就修好了**，原报告「尚未处理」清单与表格 ✅ 标记是陈旧的。
+  审查时把 F11/F12/F13/F15 也复核了一遍——同样是在更早批次已修，只是表格漏标。
+- 最终验收：**243 PASS / 0 FAIL / 0 SKIP**，12 个包全 `ok`；导出 823/323/8/30/791/557/2246 全等、
+  坐标偏差 0、时间偏差 0s、迷雾 8701 块一致（本批不碰数据路径）。
+- 完整审查另抽查复核 3 条早期批次守卫（D6 区域判定、S8 GPX 属主 ×2）——重新注入原始 bug 全部转红，
+  报文与当时记录逐字相同；还原后 `git diff --stat` 与注入前一致。
+- 报告 `audit-2026-09-21.md` 已补「修复记录（第十一批）」「完整审查（2026-09-23 收尾）」，
+  「尚未处理」清空，验收状态更新到 243。
+
+## 记忆整理
+
+- `MEMORY.md` 之前 14,471 字符，注入时被截断（尾部「安全/跳转」「口径/验收」收不到）。
+  已把完整判据搬进 `MEMORY-details.md` 新增的**第二十八节**，索引压到 **8,650 字符**
+  （只留一句话判据 + 守卫名）。**以后新规矩写 details / 技能，别再堆索引。**

.workbuddy/memory/2026-09-24.md

@@ -0,0 +1,100 @@
+# 2026-09-24 工作日志
+
+## 稳定性基线实测（回答「现在稳定了吗」，把数字钉下来）
+
+- 覆盖率（`go test -cover ./...`，全套环境变量）：web 53.2%、stats 62.2%、auth 50.5%、db 53.4%、
+  fog 52.9%、ingest 47.6%、rond 38.8%、exif 69.7%、media 64.6%、setting 85.0%、config 75.0%、
+  captcha 90.6%；**按源码行数加权 ≈ 51%**。
+  `geo`/`gpx`/`notes`/`votes` 报 0.0% 只是 `-cover` 不统计跨包执行，它们被 web/stats 的用例间接跑到。
+- **「不带环境变量 = 假绿」的规模变大了**：只跑 `./internal/web/ ./internal/rond/ ./internal/stats/`
+  （不设四件套）→ 三个包全 `ok`、exit=0，但 **95 PASS / 86 SKIP**。
+  原始报告基线是 62 SKIP；本轮的回归守卫几乎都带 DB 夹具 ⇒ 假绿面反而扩大。
+- 路由触达：92 条注册路由里，41 条在测试里被直接引用过（51 条没有；但不少 handler 是用函数直调
+  覆盖的，这个比例**高估**了缺口）。
+- 无 CI、无 Makefile、无 linter 配置 ⇒ 0-skip 验收完全靠人记住六个环境变量。
+- 仓库卫生：`tools/__pycache__/*.pyc` 已入库（编译产物）；6 个 `tools/*probe` 探针工具在库里
+  （技能里写的是「用完删掉」）。
+- 未提交：48 个修改 + 38 个新增文件仍全在工作区。
+
+## P0（落地）
+
+- **一键验收 `scripts/verify.sh`**（无 make，用 bash）：自己从 `conf/app-test.ini` 取 DSN（不写死口令）；
+  库名不含 `test` 直接拒跑；**数 SKIP 并让非 0 失败**；两段式导出（先产纯净包再全量）；
+  支持 `--fast`（gofmt+vet+build）/`--race`/`--cover`/`--pkg`/`--run`。
+  实测：`--fast` 通过；DSN 指 `postgres` → 拒跑；缺 `ROND_SRC` → 拒跑；未知参数 → exit 2。
+- **仓库卫生**：删掉 6 个一次性探针（colprobe/diffprobe/exportprobe/fogprobe/idprobe/sqlprobe）
+  与误入库的 `tools/__pycache__/photo_coord_audit.cpython-313.pyc`；`.gitignore` 补 `__pycache__/`、`*.pyc`；
+  新增 `tools/README.md` 说明留下的 4 个工具（verify_export_structure / verify_rondbackup /
+  photo_coord_audit / audit_db.sql）与验收命令。
+- **分 3 个提交落地**（工作区已干净）：
+  `b4c2a84` 后端（安全/数据一致性/性能）70 文件、`d5f6dfa` 前端（模板/CSS/JS+无障碍）18 文件、
+  `d2e4392` 验收脚本 + 工具整理 + 排查报告。每个提交都过了 `go build ./... && go vet ./...`。
+  提交顺序说明：前端守卫要读模板/静态文件，所以读前端产物的测试（frontend_fixes / tb_static /
+  templates_test / wide_table_layout / tb_stack / map_async_cancel / map_escape）跟模板放同一提交。
+
+## P1
+
+- **全新库冒烟 `internal/db/fresh_db_test.go`**：空库 → `Open` 自动建库 → `Migrate`（跑两遍验幂等）
+  → 断言 21 张表、迁移块补出来的列（`places.coord_*`、三张表的 `place_key`…）、三张附属表的主键
+  已搬到坐标键、4 个索引，最后用 `stats.DB{DB: d}` 真打 18 个读查询（空库上不报错）。
+  **变异验证**：把 `CREATE INDEX idx_place_images_key` 移到 `CREATE TABLE place_images` 之前
+  ⇒ 新库报 `关系 "place_images" 不存在 (SQLSTATE 42P01)` 变红；同一条语句在老库上
+  `psql -c` 却提示「已存在，跳过」⇒ 正是「开发库无症、新库起不来」。已还原（`git diff` 空）。
+- **web 整包 `-race`**：`./scripts/verify.sh --race --pkg ./internal/web/`（脚本自动把 mingw 加进 PATH）
+  ⇒ **161 PASS / 0 FAIL / 0 SKIP / 0 个 DATA RACE**。此前只有迷雾索引那一条验过 race。
+- 脚本补丁：SKIP/FAIL 计数改成 `^[[:space:]]*--- `，**连子测试一起数**（只数顶层会漏掉子测试的跳过）。
+- 最终验收（HEAD，一条命令）：**244 顶层用例 / 271 含子测试 / 0 FAIL / 0 SKIP**，12 包全 `ok`；
+  往返包 823/323/8/30/791/557/2246 全等、坐标 0、时间 0s、迷雾 8701 块。`--fast` 干净。
+- 提交：`b4c2a84` 后端 → `d5f6dfa` 前端 → `d2e4392` 脚本/工具/报告 → `ff59412` 脚本补丁。
+  中间提交未单独跑全量（实现与其守卫同批落地，拆开必假红），最终状态已验收。
+- 仍剩的 P2（未做）：`rond` 38.8% 覆盖率补主路径、关键页面 CDP 冒烟、**导出包真机导入**（唯一终审）。
+
+## P2（落地，只做了前两项；真机导入仍需站长操作）
+
+### 覆盖率：先纠正口径，`rond` 根本不是 38.8%
+
+- **`go test -cover` 只统计「测试文件所在那个包」自己的执行**。`internal/rond` 一半的代码
+  （`export.go` 1416 行）由 `internal/web` 的 `TestMovementCleanExport` 跑；`geo`/`notes`/`votes` 同理。
+  按 `-cover` 量这些包一律假报 0%（`gpx` 也报 0%，但那条是**真的**）。
+- 正确口径 `-coverpkg=./internal/...`：rond **82.2%**（假读 38.8%）、geo 92.9%（假读 0%）、
+  stats 83.7%（假读 62.2%）、web 53.2%（它自己不假）。**项目合计 62.3%**。
+- ⚠️ 解析 profile 必须**按 `(文件,行段)` 取 max**：`-coverpkg` 下每个测试二进制都给同一段代码写一条，
+  求和 = 语句数乘份数 ⇒ 每包都像只有 `1/N`（第一版 awk 就这么错的，web 印成 4.4%）。
+- `scripts/verify.sh --cover` 已切到该口径并按包打印。
+
+### 补的用例（只补「线上会走到」的，不追 `nil`/错误返回）
+
+- `internal/rond/merge_clash_test.go`：`BuildMergePlan` 的**地点/活动冲突**（`placePick`/`activityPick`
+  长期 0%，而差异页线上确实会提交这两类选择）+ 删除逐条勾选。`merge.go` 64.3% → **96.4%**。
+- `internal/gpx/gpx_test.go`：该包**整包零测试**（0/61 语句），而它解析的是**用户上传的 XML**。
+  8 条用例覆盖 trk/rte 两分支、名字退回 `metadata>name`、`(0,0)` 丢弃、单点轨迹丢弃、非法 XML、
+  无轨迹点、时间错不致命、里程数值。⇒ **0% → 96.0%**。
+- 两处**死代码**（全仓核查含模板后确认零引用）：`rond.Counts.Total()`、`gpx.Track.BBox()`，已删；
+  **没给它们写测试**（给死代码补用例等于把死代码固化）。
+- **一条实测否证**：`gpx.haversine` 没有 `geo.Haversine` 那道 `math.Min(1,…)` 夹子，
+  本以为会出 NaN；实测对跖点 `h` 最多到 `1+2^-52`，而 `sqrt(1+2^-52)` 回舍成正好 `1.0`，
+  `asin(1.0)=π/2` ⇒ **改不动，也没改代码**，只留 `TestLengthKmAntipodalIsFinite` 钉住该性质。
+  三条 haversine 公式两个半径（6371.0 / 6371.0088）差 0.20 m/146 km，纯口径不统一。
+
+### 关键页冒烟 `scripts/smoke.py`（16 页）
+
+- 三种口径：站长浏览器（200 + 落点路径 + 内容区尺寸非 0 + 零 JS 报错）、访客纯 HTTP
+  （公开页 200、后台页必须 **303 跳登录**，不跟随跳转即可，比开 Chrome 快一个数量级）、
+  访客浏览器抽检 `/` 与地点详情。接进 `verify.sh --smoke` / `--all`。
+- 三个坑：①关键区块**不能取 `nav.nav`**（在 layout 里，内容块没渲染它照样在）；
+  ②**用 `.card` 不用 `div.card`**（专题卡片是 `<a class="card topic-card">`，选不中时
+  `querySelector` 返回 null ⇒ 尺寸也是 0，打印出来跟「被压成 0 宽」一模一样）；
+  ③`--min-body` 只兜「整页空白」（专题列表正文天生 166 字）。
+- **变异验证**：`timeline.html` 里塞 `<script>throw new Error(...)</script>`
+  （`debug=true` 模板热加载，不用重启）⇒ 冒烟红在「JS 报错」，而**状态码/内容区尺寸全正常**
+  ⇒ 没有这条断言就会放过它。已还原。
+- ⚠️ `verify.sh` 给 Windows python 传路径要用 `$ABS`（`C:\...`），传 `$ROOT`（`/c/...`）
+  会被拼成 `C:\c\...` 报 `No such file`。
+- `site_cdp.py` 不报 HTTP 状态；用 `performance.getEntriesByType('navigation')[0].responseStatus`。
+
+### 收尾验收与提交
+
+- `./scripts/verify.sh` ⇒ **284 PASS / 0 FAIL / 0 SKIP**（P1 时 244，本轮 +新用例）；
+  `--all` ⇒ 冒烟 16 页全绿；`--cover` ⇒ 62.3%；`--fast` 干净。
+- 提交：`05c6e97` 测试与死代码 → `256620e` 验收脚本与冒烟 → `f2ce664` 报告。工作区已干净。
+

.workbuddy/memory/2026-09-28.md

@@ -0,0 +1,78 @@
+# 2026-09-28
+
+## rondbackup「差异分析 → 合并执行」实测（真机导出包 20260928_183908）
+
+环境 `conf/app.ini`（库 `rond_with_you`、`data_dir=storage/data`、:8080），数据集 id=9；
+把真机新导出的 `data/20260928_183908.rondbackup`（955 到访 / 432 地点）合并进已有 867 到访的数据集。
+
+**主链路生效**（真跑路由 + 站长登录）：`POST /admin/preview` → `GET 差异页` → `POST /admin/preview/{token}/merge`，
+`add_new=1`、冲突留默认 ⇒ 新增 70 地点 / 1 活动 / 134 到访，随到访带入 24 位移 / 32 天气；
+到访 867→1001、地点 368→438、位移 791→815、天气 557→589；**孤儿位移 0、无地点到访 0、重复 UUID 0 组**。
+逐条核对：备份里 953 条带 UUID 的到访全部命中且**到达时间微秒级零误差**；站内 2 条 app 已删的 UUID 到访被正确保留。
+合并后 12 个关键页全 200。报告：`storage/.mergetest/报告-rondbackup合并实测-20260928.md`
+
+**三个问题**
+1. 🟠 同名同坐标的重复地点**不幂等**：`DiffPlaces` 的 `byCoord`/`byName` 是单槽位 map + `used[]`，
+   同一坐标下 N 条备份地点最多只能配 2 条 ⇒ 第 3 条永远判「备份新增」，每次合并多插一条。
+   实测备份里同名同坐标共 10 组、只有「柳州站」count=3 ⇒ **每次合并固定多 1 个重复地点**，差异永不归零
+   （438→439→…）。修法：多值 map 逐条消费 + `mergePlaces` INSERT 前按 `PlaceCoordKey` 去重兜底。
+2. 🟠 到访冲突被「活动改名」放大：`visitFieldChanges` 比的是**活动名称**不是身份；16 个活动改名
+   （餐厅→吃饭…）⇒ 355 条到访冲突全部同因（库内挂在改名活动下的 378 条 − 站内独有 23 条 = 355，精确吻合），
+   活动类型本身只报 16 条。且对到访选「用实机」**不会**改活动名（`activity_id` 按 UUID 映射回同一个）
+   ⇒ 冲突永不收敛。修法：到访层面按活动身份（`ZUID_`/id）比对，改名只在活动层报一次。
+3. 🟡 21 个**长沙**地点两边坐标差 661~748m，实测 20 条满足「站内坐标 == 反纠偏(备份坐标)」
+   ⇒ 坐标系不一致（站内那侧被多做了一次 GCJ→WGS 反向换算）；**差异页冲突的默认选项是「用实机」**，
+   直接点合并会把这批坐标覆盖、地图上跳 ~660m。另有 分类 12 处（站内中文标签 vs 备份 `MKPOICategory*` 原始枚举）。
+
+**备份 / 回滚**：`storage/.mergetest/rond_with_you-before-20260928.sql`（整库 pg_dump）；
+差异页快照 `diff-before-merge.html` / `diff-after-merge.html`。库内最终状态 = 合并一次（我重复跑测试
+多插的 1 个重复地点已回退）。
+
+**方法（可复用）**：临时 Go 测试（`package web`，才能拿到非导出的 `srv.captcha`）——
+`httptest.NewServer(srv.Handler())` + cookie jar + **`CheckRedirect: http.ErrUseLastResponse`**
+（站点用 303，必须关掉自动跟随才能读到 Location）；验证码答案直接读 `captcha.Store.Answer(id)`，
+绕开图像识别；管理员口令是默认 `rond-admin`（pbkdf2 可离线核对）。跑完删掉测试文件，`git status` 保持干净。
+
+## 同日晚：修复 + 复测（回档数据库后重跑）
+
+按上面前两条问题改了代码，**5 个文件 +172/−22**：
+
+1. `internal/rond/diff.go` `DiffPlaces`：`byCoord`/`byName` 由单槽位 map 改为**多值索引**（`map[string][]StoredPlace`），
+   抽出 `take()` 逐条认领未使用的候选（认领即置 `used`）。`classify` 不再自己置 used。
+2. `internal/rond/diff.go` `visitFieldChanges`：到访的「活动」改为**按身份**比（新增参数 `actUUID`），
+   两边都缺 UUID 才退回名称；`DiffVisits` 传入 `b.ActivityUUID`。`StoredVisit` 新增 `ActivityUUID`。
+3. `internal/web/backup_diff.go` `loadStoredVisits`：多 JOIN 一次 `entity_raw`（`entity='ZACTIVITY'`，按 `a.src_pk`）取 `ZUID_`。
+
+**复测结果**（回档 → 重跑同一份备份，同环境）：到访冲突 **253 → 6**（247 条活动改名假冲突消失）；
+地点新增 **70 → 67**，合并后再比对 **地点新增 1 → 0**；再点合并由「再插 1 个重复地点」变成
+「**按当前的选择没有要写入的改动，数据未变**」，地点 435→435、「柳州站」稳定 3 条。
+到访 1001 / 位移 815 / 天气 589 与修复前一致；953 条 UUID 到访全命中、到达时间 0 偏差、孤儿位移 0。
+
+**新增守护**：`TestDiffPlacesAlignsDuplicateNameCoordGroups`（含「站内真少两条仍报新增 2」反向断言）、
+`TestDiffVisitsIgnoresActivityRename`、`TestDiffVisitsReportsActivityChange`、
+`TestDiffVisitsActivityWithoutUUIDFallsBackToName`；`TestBackupDiffIdentical` 补地点新增断言、
+两个 merge 幂等用例补「地点差异归零」。**变异验证**：把两处改回旧逻辑，对应用例确实全挂
+（⚠️ 变异要忠于旧行为：旧 `byCoord` 是 map「后者覆盖前者」＝取最后一条；我第一次写成「取第一条」，
+误报 8 条，与真实旧行为不符，改用 `byCoord[k] = []StoredPlace{sp}` + `byName` 只留第一条才复现出正确的 1 条）。
+
+**仍未动**：21~24 个长沙地点坐标系差 ~660m（默认「用实机」会覆盖站内；现连带 25 条到访「地点」冲突）、
+分类 12 处中文标签 vs `MKPOICategory*` 枚举、16 个活动改名需选「用实机」才同步。
+报告已更新为「实测 → 修复 → 复测」完整版。
+
+## 收尾：回滚 + 推送 + 重建（19:35）
+
+- **回滚**：`DROP/CREATE rond_with_you` + 恢复 `storage/.mergetest/rond_with_you-before-20260928.sql`，
+  核对回到合并前基线 867 到访 / 368 地点 / 31 活动 / 791 位移 / 557 天气 / 2538 留档 / 柳州站 3。
+- **推送**：提交 `10d23e0`（5 文件 +172/−22），`git push origin master`（远端 `git.shiroko.one`）。
+  本地原本就**领先远端 8 个提交**，一并推上去了（`78865fc..10d23e0`）。
+  ⚠️ **推送凭据陷阱**：`~/.git-credentials`（store）与 GCM 里缓存的 token **都已失效**
+  （`remote: Failed to authenticate user`），SSH 22 端口 `Network is unreachable`（只有 HTTP 代理
+  `http.proxy=http://100.104.48.63:11882` 能通）。**别加 `GIT_TERMINAL_PROMPT=0`**——它会让 GCM
+  直接放弃认证；去掉这个变量、让 GCM 自己走一遍交互认证即可成功（13 秒完成）。
+- **重建**：`go build -o bin/rond.exe .`（`bin/rond.exe` 原本还是 9-20 的旧构建，不含修复；
+  旧文件留了副本 `bin/rond.exe.bak-20260920`）。只读冒烟：`/healthz` `/` `/admin/login` 均 200、
+  `/admin` 303，随后 `taskkill //F //IM rond.exe` 停掉、8080 释放，库内计数不变。
+- 注意：`go build` 那次 `bin/rond.exe~`（9-20 12:14 的更旧副本）不见了；原因未查明，
+  两个都是修复前的旧产物，无实际损失。
+
+

.workbuddy/memory/2026-09-29.md

@@ -0,0 +1,484 @@
+# 2026-09-29
+
+## 站长手动合并后追问：3 条「地点 X → X」的冲突为什么
+
+用户按默认（全「用实机」）把我的库合并了，差异页报「两边都有但不一样（3）」，三行都是
+`地点 中国体育彩票 → 中国体育彩票` 这种**两边显示同名**的形态。复现与定性（用真实代码路径 +
+独立探针库 `rond_merge_probe` 恢复快照，不动用户库）：
+
+- 合并前：到访冲突 6（2 地点 + 4 活动）→ 与 9-28 的测量一致。
+- 合并后（用户已合）：**到访冲突 3、地点冲突 2、活动冲突 0**，逐条与用户贴的 3 行**完全一致**。
+- 结论：**「地点」这一项比的是坐标（`rond.PlaceCoordKey`，经纬度 6 位小数），不是名称**；
+  而差异页只把**名称**印出来 ⇒ 名称相同、坐标不同的组合渲染成 "X → X"，看着像没变化。
+  三处的真实坐标差：
+
+  | 到访 | 站内地点 | 实机地点 | 直线距离 |
+  | --- | --- | --- | --- |
+  | 2025-09-20 22:39 中国体育彩票 | 广东佛山 (22.927572,113.222052) | 广西贺州 (24.408376,111.554626) | **236.8 km** |
+  | 2025-12-19 09:50 长沙南站 | (28.146535,113.062164) | (28.141772,113.067569) | **750 m** |
+  | 2025-12-21 14:01 茶颜悦色 | (28.181954,112.986995) | (28.242581,113.037061) | **8.3 km** |
+
+- 成因不是同一个：237km / 8.3km 是**连锁店重名**（实机里「中国体育彩票」3 条、「长沙南站」2 条、
+  「茶颜悦色」2 条），`DiffPlaces` 坐标配不上就**按名称兜底配**，把不同的店配成了一对；
+  750m 那条是坐标系/纠偏那类（站内被多做了一次 GCJ→WGS 反向换算）。
+
+**顺带发现：这次默认「用实机」已经动了库里的坐标**（对照 probe 库 vs 现库）：
+- `中国体育彩票` src_pk=71：贺州 (24.408376,111.554626) → **佛山 (22.927572,113.222052)**，搬了 236.8km（错配导致的误覆盖）
+- `茶颜悦色` src_pk=348：移动 665m；`长沙南站` src_pk=344：移动 750m（这两条属于坐标系修正，是对的）
+
+**已修（用户批准「修两处 + 回滚重跑」后落地，`internal/rond/diff.go` 单文件 + 用例）**：
+1. `takeByName` 加距离上限 `nameMatchMaxKm = 1.0`（`DiffPlaces` 的按名称兜底）：两边都有坐标却超 1km
+   不再配对，改报「备份新增 + 仅站内有」；任一侧无坐标时保持旧行为。
+   ⚠️ **量纲坑**：`geo.Haversine` 返回**公里**不是米（列名 `distance_km` 可佐证），我第一次写成
+   `nameMatchMaxM = 1000.0` 导致用例直接抓到 `TestDiffPlacesNameFallbackNeedsNearby` 变红。
+2. `visitFieldChanges` 的「地点」在**名称相同时**用 `coordSuffix` 把坐标印出来（`name (lat, lon)`，
+   无坐标则 `（无坐标）`），否则那一行看着像没变化、站长无从选择。
+3. 用例 3 条：`TestDiffPlacesNameFallbackNeedsNearby`、`TestDiffPlacesNameFallbackKeepsNearbyCoordFix`、
+   `TestDiffVisitsPlaceConflictShowsCoords`；变异验证全过（去掉距离判断 / 去掉坐标显示 → 对应用例变红）。
+
+**复测（回滚 → 按浏览器默认全选「用实机」重跑，49 组冲突）**：地点新增 67→68、仅站内有 3→4；
+后台回执「新增 68 地点 / 1 活动 / 134 到访；更新 27 地点 / 16 活动 / 6 到访」；
+**「被搬动超过 1km 的地点 = 0 个」**（修复前是 1 个 236.8km）；`中国体育彩票` src_pk=71 仍是贺州 ✓；
+合并后再比对：到访 0/47/1、地点 0/4/1、活动 0/0/0；953 条 UUID 到访全命中、到达时间 0 偏差。
+残余 1 对冲突现在渲染成 `地点 茶颜悦色 (28.181954, 112.986995) → 茶颜悦色 (28.242581, 113.037061)`。
+
+**仍未处理**：`mergePlaces` 的 `placeID` 映射仍是单槽位 byCoord/byName（多条同名备份地点会并到同一个
+站内地点；这次被差异层拦住了，但换数据顺序仍可能让到访挂错分店）。
+
+**方法备忘**：临时探针测试 `ROND_PROBE=1` + `ROND_PROBE_DSN`（可指向从 dump 恢复的独立库）
++ `ROND_PROBE_STASH`（备份暂存路径），走 `srv.loadStored*/parseBackupFile` 真实路径打差异，
+跑完即删；`psql -c` 里带中文会因 Windows 代码页报 `无效的 "UTF8" 编码字节顺序`，**用 heredoc**。
+「按浏览器默认合并」= 从差异页正则抓 `name="(vc_|pc_|ac_)..." value="backup"` 全部提交；
+**这一点很关键**：早先的手写测试只提交 `add_new=1`，走的是「冲突默认保留站内」那条路，与站长点一下
+「合并」的真实行为（全部「用实机」）完全不同。
+
+## 第二轮（用户要求）：修 mergePlaces 的单槽位映射
+
+**病因**：差异层虽然已经不错配了，但 `mergePlaces` 自己又用**单槽位** `byCoord`/`byName` 配了一遍，
+多条同名备份地点全映射到同一行站内地点 → 到访挂到错的分店。
+
+**修法（结构性，不是再抄一遍逻辑）**：抽出 `rond.MatchPlaces(stored, backup) PlaceMatch`
+（坐标优先 + ≤1km 同名兜底 + 多值索引 take），**差异判定与合并执行共用这一份**；
+`mergePlaces` 直接用它的结果，再叠加 `plan.AddPlaces` 的新插入。
+`loadStoredPlaces` 与 `mergePlaces` 的地点查询都加 `ORDER BY id`（候选多于一个时靠顺序定谁配谁，
+两侧必须一致）。顺手删了两个只写不读的死字段 `PlacePatch.CoordKey`、`ActivityPatch.Key`。
+
+**新用例**：`TestMatchPlacesKeepsDuplicateNameGroupsDistinct`（同一坐标 / 邻近同名都要一条配一条）、
+`TestMergePlacesMapsSameNameLocationsOneToOne`（真库+真事务，两条同名备份地点必须映射到两条不同地点）；
+变异验证：认领不标记已用 → rond 用例红；恢复单槽位映射 → web 用例红（41→1195893、42→1195893）。
+
+**复测（探针库，不动本地真库）**：差异页 到访 134/47/6、地点 68/4/27、活动 1/0/16；49 组「用实机」；
+回执「新增 68 地点 / 1 活动 / 134 到访；更新 27 地点 / 16 活动 / 6 到访」→ 1001 / 436 / 32 / 815 / 589。
+两条不变量：**地点被搬动 >1km = 0**；**到访挂错地点（>1km）= 0 / 953 条**。
+合并后再比对三类全 0（到访 0/47/0、地点 0/4/0、活动 0/0/0），再点合并「没有要写入的改动」。
+⇒ **一次按默认点合并即可让差异全部归零**（上一轮残留的那 1 对「茶颜悦色」冲突，根因就是到访挂在
+8.3km 外另一家分店）。
+
+## 第三轮：生产导出被 rond 拒收「备份恢复失败，你的当前数据未被更改」
+
+用户在生产导出 `data/20260914_151649-export-...-export-20260929.rondbackup`（2.93MB）后导不回 rond。
+
+**取证顺序（可复用）**：
+1. `tools/verify_export_structure.py rondbackup <参照> <导出>` —— 表/索引/`CREATE TABLE`/列定义/zip 条目/
+   关键不变量全部一致；`Z_METADATA.Z_PLIST`、`Z_MODELCACHE` 也**逐字节相同**（我自己另验的）；
+   关系完整性 0 悬空（对比参照反而有 2 条：那是旧代码的缺陷，本次已修）。
+2. 写 `tools/audit_export_nulls.py <参照> <导出>` 做**逐列空值画像 + 全关系列悬空 + Z_MAX**：
+   参照里 0 个 NULL、导出里却有的列 = 形状违规。当场只抓到两条：
+   - `ZACTIVITY.ZCOLOR_`：参照 0 → 导出 **1**（33 行里）
+   - `ZLOCATION.ZISOCOUNTRYCODE`：参照 0 → 导出 23 —— **但它不是违规**（真机自己的 09-14 包里就有 1 个 NULL，
+     说明该列容忍 NULL；跳过）
+
+**根因链**：站内「地点补全」建活动时写 `color=''`、`icon=''`（`internal/web/fillup.go` 的 INSERT）
+→ 导出侧 `ns()` 把**空串也当空** → 图标有 `📍` 兜底、**颜色没有** → 写出 `ZACTIVITY.ZCOLOR_ = NULL`
+→ 真机这一列在任何包里都是 0 NULL/0 空串（扫了 data/ + storage/ 全部 15 个包，只有出事的那份有 1 个空）
+→ Core Data 判成损坏数据 → 整包拒收。
+
+**修复（`internal/rond/export.go`）**：加 `activityPlaceholderColor = "gray"`（与 `transportPlaceholderColor`
+同一套写法），导出活动时 `color` 为空则兜底；并把 `TestExportNeverNullsColumnsTheDeviceAlwaysFills`
+（通用守卫：基线里 0 NULL 的列，导出新行也不许 NULL）补上「没选颜色的活动」场景。
+变异验证：去掉兜底 → 两条断言都红（提示语正好复刻生产现象）。全量验收 293 PASS / 0 SKIP。
+
+**顺手交付**：`data/...-export-20260929-fixed-activity-color.rondbackup` —— 只把 `ZACTIVITY.Z_PK=33` 那格
+改成 `'gray'` 的停gap包（`Z_PLIST`/`Z_MODELCACHE` 逐字节未变、zip 仍 Store、`integrity_check` ok），
+用户可不等重新部署直接导入。
+
+⚠️ 遗留（非违规、未改）：`ZLOCATION.ZISOCOUNTRYCODE` 有 23 个 NULL（真机同类位置写的是 `''`）；
+另：包里比实机多一个站内自建活动「一般公共场所」，导入后可能看着多余。
+
+## 第四轮：导出被拒的第二个坑（也是主因）——交通方式编号空间串了
+
+用户把最新源码（含颜色兜底）部署到生产、重新导出 `data/20260929.rondbackup`，**依旧导不回 rond**。
+
+**关键取证方法**：拿**最后一次被真机接受的包** `data/20260920-fixed-A-数据修复.rondbackup`（09-20 记录里
+写着「✅ 结案：A 包导入成功」）当参照，与新导出逐项对比：
+- SQLite 头（page_size/encoding/user_version/application_id/auto_vacuum）✓、31 表 / 47 索引 / CREATE 语句 /
+  列定义 ✓、`Z_METADATA.Z_PLIST` 与 `Z_MODELCACHE` **逐字节相同** ✓
+- 值类型分布（typeof 集合）✓、文本无 NUL/非法 UTF-8 ✓、BLOB 长度集合 ✓、UUID 全 16 字节且无重复 ✓
+- 关系完整性 ✓、`Z_OPT` 全 1 ✓、行级时间不变量 ✓
+- **唯一差异：新导出的 `ZTRANSPORT` 里有两条同名「公交」（Z_PK 2 与 4），而真机与 A 包都只有一条**
+
+**根因**：`mergeVisits` 把**实机的 ZTRANSPORT 编号原样写进** `movements.transport_src`。站点没有交通方式表，
+方式只活在位移的 transport_* 四列里，而两套编号空间的同一个数字含义不同（实测 src=4：站点=电🐔、实机=公交）。
+于是同一个 src 带着两种含义 → 导出按 src 聚合时只能取一个名字 → 另一种含义的位移挂错方式，更糟的是吐出两条
+同名方式（真机整包拒收）。本地库实测：src 3/4/5/6 都撞了（3=高铁|地铁、4=电🐔|公交、5=地铁|高铁、6=步行|电🐔）。
+
+**修复（两处）**：
+1. 合并侧 `mergeVisits`：按**名称**把实机方式归一到站点编号（已有同名就沿用它的号，没有才 `nextSrcPK(
+   transportSeq)` 新发一个）——新增 `(*Server).transportsByName`。
+2. 导出侧 `queryTransports`：改为**按名称归组**（名称就是身份），用量最多的名称优先认领编号，其余编号的位移
+   改挂过去；并把「基线里同名但编号已被归并掉」的旧行删掉（否则 `keepMissing` 把它原样带回、又是两条同名）。
+   ⚠️ 这段清理必须放在**所有托管表写完之后**（我最初放在交通方式段里，兜底判据看到的是基线里还没重写的
+   ZMOVEMENT，误以为还有位移指着旧行就跳过了删除）。
+
+**效果（本地真实数据，同一形状）**：方式恢复成站点原本那套 1火车/2公交/3高铁/4电🐔/5地铁/6步行，无重名；
+位移各挂回自己的方式（电🐔 336、地铁 25、高铁 23、公交 19、火车 9、步行 3——修复前只有 6 条能对上）。
+
+**用例**：`TestExportMergesDuplicateTransportNames`（同名归并 + 位移挂回自己那条 + 无悬空）、
+`TestMergeKeepsTransportNumberingConsistent`（合并后同一 transport_src 不许有两种名称；⚠️ 这条第一次写成了
+**空用例**——夹具里没有新增到访就不会插入位移，必须先按站点方式删一条带方式的位移的端点到访，并加哨兵断言
+「位移确实被补回来了」）。变异验证：去掉改挂 → 导出用例红；去掉旧行清理 → 红；合并侧照抄实机编号 → 合并用例红。
+
+⚠️ 教训：**「导出包」里每条位移的方式名已经丢了**（导出时被压成 src 的一个名字），所以「把生产包重新导入本地
+再导出」并不能修复它——只有**在生产库上用修好的导出器重新导出**才行（生产库的 `movements.transport_name`
+还留着每条位移的真实名称）。给用户的停gap 文件属于「能否导入」的探针，其方式标注是近似值。
+
+
+## 第五轮：真凶是 zip 的 data descriptor（第九次才找到）
+
+用最新源码在生产导出 `data/20260929v2.rondbackup`，**依旧被拒**。此时 v2 已通过所有机械判据
+（空值画像 0 项、悬空 0、Z_MAX、全列重复扫描、与可导入 A 包的完整深度对比**到处一致**）。
+
+**突破口：zip 层的 flag bit 3（data descriptor）。**
+
+| 包 | 本地头 flags | csize/usize | 结果 |
+| --- | --- | --- | --- |
+| 所有 **Go 写的站点导出**（09-16 起每一份） | **0x0008** | **0/0** | 全部被拒 |
+| `20260920-fixed-A-数据修复`（**Python 重打包**） | **0x0000** | 有值 | **真机接受** |
+| 真机自己的包 | 0x0800（UTF-8 标志） | 有值 | 正常 |
+
+Go 的 `zip.Writer` 默认走流式写入：本地头里长度/CRC 留 0、把真值挪到条目尾部的描述符里并置上 bit3。
+**真机的读取器只认「本地头里就写着长度」的条目**，遇到直接判成损坏 → 「备份恢复失败，你的当前数据未被更改」。
+⇒ 09-20 那次「修悬空引用 + 补交通方式颜色」后能导入，其实是因为那份包被 **Python 重新打包**过，
+真正的病根（zip 写法）一直没被发现；这解释了为什么 09-29 一整天「修内容」全部无效。
+
+**修复**：`zipBackup` 用 `zw.CreateRaw(&zip.FileHeader{... CRC32/CompressedSize64/UncompressedSize64})`
+（先把三文件读进内存，3MB 无所谓），不再用 `CreateHeader`。
+新增用例 `TestZipBackupWritesNoDataDescriptor`（直接读**第 0 个条目的本地头**，断言 bit3 为 0 且
+长度/CRC 非 0；变异：改回 `CreateHeader` → 立刻变红 ✔）。真实数据验证：新导出的本地头 flags=0x0000 ✓。
+
+**给用户的即时探针**：`data/20260929v2-reframed-zip.rondbackup`——把 v2 的三个条目原样解出、用 Python
+重新打包（内容逐字节一致，只修 framing）⇒ 若它能导入，即坐实根因。
+
+
+## 第六轮：真机对照实验——`ZISOCOUNTRYCODE` 写空串会让整包被拒（我今天引入的回归，已撤销）
+
+用户拿四份包在真机上做对照：
+
+| 包 | 与 v2 的唯一差异 | 结果 |
+| --- | --- | --- |
+| `probe1-country-null` | 国家码 `''` → **NULL** | **能导入** ✓（但重启后软件里没数据，见下） |
+| `probe2-category-a` | 分类列回退到 A 的取值 | 导入失败 |
+| `probe3-country-and-category` | 上面两处都回退 | 导入失败 |
+| `20260920-fixed-A`（09-20 被接受过） | — | 用户未回报 |
+
+⇒ **`ZLOCATION.ZISOCOUNTRYCODE = ''` 是拦路虎**：真机包里确实有 19 行是 `''`（它自己写得出），
+但**导入侧不吃**——同一份内容、同一台设备，只把这一列从 NULL 改成 `''` 就从「能导入」变成
+「备份恢复失败」。所以「按真机形状补空串」是有害的回归（`d5e96ed` 已撤销，改成原样写 NULL）。
+⚠️ 教训：**真机写得出 ≠ 真机吃得回**；形状美化要拿真机实测，别靠统计推断。
+
+**仍未解决（新问题）**：probe1 能导入，但**重启软件后没有任何数据**。两种可能，需要区分：
+(a) 老数据还在、只是导入的东西没出现在界面（例如被当成另一个「库/数据集」导入）；
+(b) 整个 app 变空（store 被替换但 Core Data 打不开 → 回落到空库）。
+待问用户：rond 是否有「库/数据集」切换？上次成功是哪一步？
+另一个待验证点：`Z_METADATA.Z_UUID`（我方导出固定为基线链的 `FB9A80D0-...`）。若用户手机当前
+store 的 UUID 不同（曾重装/重建过 store），导入可能落到另一个库 ⇒ 表现为「没有数据」。
+→ 让用户**现在从 rond 重新导一份**，对比其 Z_UUID 即可判定，同时这份也是「app 自身往返」的对照。
+
+
+## 第七轮：app 自身「变空后」导出的包（`data/20260929_152324.rondbackup`）与新的行为画像
+
+用户的补充实验把行为画像讲清楚了：
+- **app 数据被清空时**：我方包**能导入**（但**有概率**失败——暗示超时/资源或竞态，不是纯内容校验）
+- **app 里有数据时**：导入会**先把库清空、然后数据没写进去** → app 变空（用户实测并导出为空库包）
+- `probe1`（国家码 NULL）在有数据时也不行；`probe2/3`（含分类回退）在有数据时也失败
+
+**空库包给出的事实**：
+- `Z_PLIST`/`Z_MODELCACHE` 与真机 09-28、我方导出**逐字节相同** ⇒ **不是 app 版本/模型变更**
+- `Z_UUID` 每份不同（空库 `1760D9F5…` / 真机 09-28 `DCBAE704…` / 我方 `FB9A80D0…`），而 09-20 被接受的
+  A 包用的正是 `FB9A80D0` ⇒ **库标识不是门禁**（可排除）
+- 空库 = 19 个 Z_PRIMARYKEY 行（少 CHANGE/TRANSACTION/TRANSACTIONSTRING 三个历史实体）、各表 0 行、历史 0 行
+  ⇒ 是干净的最小 store，结构没问题
+- 我方 vs 真机 Z_MAX 全部 ≥ 各自实际最大 Z_PK；`RawVisit 我方 2246 < 真机 2314`、`CHANGE 4810 < 5171`
+  只是数据量不同，不构成冲突
+
+**又补查了两处盲区（均干净）**：全表 REAL/INTEGER 列的 NaN/Inf 与范围（无异常）、所有时间列（Apple epoch）
+范围（都在合理区间，无哨兵错写）。
+
+**当前最强假设**：app 的导入是「合并式」的——**空库时能落地，有数据时因为与现有行冲突/或清空后落库失败而变空**。
+验证路径：把**真机自己的 09-28 包**导进**当前的空 app**：
+- 若能导入且**有数据** ⇒ app 的导入机制没问题 ⇒ 差异在我方导出的内容里，接下来按表二分；
+- 若也失败/也变空 ⇒ app 导入机制本身坏了（app 侧问题），与站点导出无关。
+
+**新探针**：`data/probe4-no-history.rondbackup`＝已有 probe1 的数据 + **清空 ACHANGE/ATRANSACTION\* 与对应 Z_MAX**
+（单变量测试「持久化历史表是否让 app 变空」）。
+
+
+## 第八轮：决定性对照——真机自己的 09-28 包能导入且能展示
+
+用户实测：**`data/20260928_183908.rondbackup`（真机 09-28，955 到访）导入成功，重启后数据正常展示** ✓；
+且 rond **没有「库/数据集」切换入口** ✓。
+
+⇒ **app 的导入机制是好的**，问题在**我方导出的内容**里 ✓✓（此前所有「app 侧/版本/库标识」的猜测全部排除）。
+
+**二分探针（交叉包，各只换一半）**：
+- `data/probe6-our-skeleton-device-data.rondbackup` = **我方骨架**（ZRAWVISIT 2244 / ACHANGE 4810 / 实体 22）
+  + **真机的托管表**（955 到访 / 432 地点 / 32 活动）✓ integrity ok
+  ⇒ 若这份**失败/无数据** ⇒ 病根在**骨架侧**（未托管的原始采样点、持久化历史、元数据、关联表）
+- `data/probe5-device-skeleton-our-data.rondbackup` = **真机骨架**（ZRAWVISIT 2314 / ACHANGE 5171）
+  + **我方托管表**（994 到访 / 433 地点 / 33 活动）✓ integrity ok
+  ⇒ 若这份**失败/无数据** ⇒ 病根在**我方托管数据**里（下一步按表二分）
+
+⚠️ 造包踩坑记录：真机包的**数据在 `-wal` 里**（主库只有 356KB）。第一次造 probe5 时我只复制了主库文件，
+结果造出一份「骨架全空」的坏包（ZRAWVISIT=0 / ACHANGE=0 / 实体 19）——**必须先连 wal 一起解出来并
+`PRAGMA wal_checkpoint(TRUNCATE)`，再复制/改动**。核对方法：造完必查关键表行数与实体数。
+
+
+## 第九轮【结案】：真正的原因是**编号空间（PK）不同**，不是数据缺什么
+
+用户实测：真机自己的 09-28 包导入成功且**展示正常**；我方导出（含各种修好的变体）一律失败或落库为空；
+rond 没有「库/数据集」切换。⇒ app 的导入机制没问题，问题在**我方导出的编号**。
+
+**决定性证据（按 UUID 对齐同一批到访，真机 09-28 vs 我方导出）**：
+
+| 列 | 不同的行数 | 说明 |
+| --- | --- | --- |
+| `ZVISIT.ZLOCATION` | **920 / 920** | 例：真机指向 `#134`「河池市国民体质监测中心」(24.69183,108.03527)，我方指向 `#188`——**同名同坐标**；而真机的 `#134` 在我方库里是「穿山景区-观景台」 |
+| `ZVISIT.ZACTIVITY_` | **903 / 920** | 例：真机 `#29`「家」（同坐标）vs 我方 `#196`「家」 |
+| `ZRAW` / `ZMERGEDTO` / `ZPARENT` | 783 / 52 / 10 | 附属字段 |
+
+⇒ 同一个到访在两边指向**语义相同、编号完全不同**的地点/活动。**地点与活动没有 UUID**（只有到访有），
+所以 app 恢复时只能靠编号解引用 ⇒ 我们每个到访都指向错的对象（或不存在） ⇒ **数据落不进去 / 落进去也看不见**。
+这也解释了为什么真机自己的包永远没问题（编号自洽），以及为什么前面修内容（颜色/交通方式/历史）全都无效。
+
+**根因**：站点的 `src_pk` 与手机 store 的 `Z_PK` 不是一套编号——站点的基线本身是**导出包**（导入-导出循环），
+PK 早已漂移；导出时直接把站点编号写回，app 那边就对不上。这正是项目笔记里「基线不能用导出包」的
+**实际后果**（以前只知道会「退化」，现在知道会**编号错位**）。
+
+**可用的修法（无需改代码，用现成功能）**：让**真机包成为数据集基线**：
+1. 从 rond 重新导出一份（编号 = 手机当前 store）；
+2. 在站点把它作为**新数据集**上传（基线就是它，编号即手机编号）；
+3. 在这个新数据集上，把旧站点导出包当「备份」合并进来（冲突选「用实机」= 保留站点侧的值）；
+   —— 合并走 `mergePlaces`/`mergeVisits`：**更新的是数据集自己那几行**（`UPDATE ... WHERE id=<数据集行 id>`），
+   新行才用 `nextSrcPK` 取号 ⇒ **合并后编号仍是手机编号空间**（已从代码确认）；
+4. 从这个数据集导出 → 导入 rond ⇒ 编号能对上，数据可展示。
+
+**持久修法（待批准）**：导出侧做「按身份重新编号」——地点按 (坐标,名称)、活动/到访按 UUID、位移/天气按
+所属到访与时间对齐到**基线的 PK**；站点新建的行取基线 Z_MAX 之上的新号。这样任何一次导出都与手机编号对齐。
+
+**探针教训**：probe5/probe6（半真机半我方）都失败——**交叉包会混出新的不一致**（引用与编号错位），
+不适合做二分；二分要在**同一编号空间内**做。另外真机包的**数据在 `-wal` 里**（主库只有 356KB），
+造包必须先连 wal 解出并 `wal_checkpoint(TRUNCATE)`，造完核对关键表行数。
+
+**本地库已还原**：测试留下的数据集 152 已连同 11 张表的关联行清掉，生效数据集恢复为 9 号
+（1001 到访 / 436 地点）。
+
+
+## 第十轮：实现「编号对齐」的持久修法（用户批准）
+
+新增 `internal/rond/export_align.go`：导出时把托管表的行**按身份重新编号到基线的编号空间**
+（基线是这份数据集从手机那儿来的那个 store，所以对齐基线 = 对齐手机）：
+
+- 地点：**坐标键优先**（多值索引，同坐标重复行按序认领），退到「同名且 ≤1km」
+- 活动 / 到访：UUID（读留档 `entity_raw` 的 `ZUID_` / `ZIDENTIFIER_`）
+- 标签 / 交通方式：名称；位移 / 天气：所属到访（已对齐）
+- 基线里没有身份对应的（站点新建的）行，取基线最大编号之上的新号，分配顺序固定
+
+导出流程改动：每张表先建映射再写，写回用 `outPK`；引用（`ZVISIT.ZLOCATION`/`ZACTIVITY_`、
+`ZMOVEMENT.ZVISITFROM_/TO_/ZTRANSPORT_`、`ZHOURLYWEATHER.ZVISIT`）全部改挂；
+`ZVISIT.ZMERGEDTO`/`ZPARENT` 加入托管列并列并**按映射改挂**（留档里是站点编号，不改挂会指错/悬空）；
+`Z_PRIMARYKEY.Z_MAX` 改用「实际写入的编号」；基线的身份查询都加 `ORDER BY Z_PK` 保证确定性。
+
+**验证（决定性）**：本地数据集 9（编号已漂移）+ 真机 09-28 包当基线导出后，按 UUID 对齐的 953 条
+共同到访里，**地点引用一致 933、活动引用一致 951**（修复前是 0 / 7）；剩余 20 条是基线自己重名重复行的
+1:1 归属歧义（名称与坐标相同）。悬空引用 0。
+**用例** `TestExportAlignsPKsToBaseline`（package web）：把库里编号整体平移 500000（模拟「数据来自编号
+完全不同的备份」）再导出，断言**按 UUID 对齐后地点/活动的编号与基线一致率 ≥95%** + 7 类引用无悬空。
+⚠️ 第一版用例只比「名称+坐标」，变异验证时**没变红**（编号不一致但引用自洽，语义检查查不出来）——
+必须比**编号本身**。加强后变异（不做地点对齐）→ 地点一致率 0/822，用例变红 ✓。
+另外：`byCoord` 一开始写成单槽位，同坐标的重复行只能配一条 ⇒ 一致率只有 797/822；改成多值索引后 822/822。
+
+
+## 第十一轮：编号对齐的**首次实现已撤回**（未通过往返测试，未入库）
+
+第十轮那版「按身份重新编号」在**真实数据上验证通过**（本地数据集 + 真机 09-28 当基线：
+953 条共同到访里地点引用一致 933、活动一致 951；回归用例 `TestExportAlignsPKsToBaseline`
+把编号平移 500000 后**地点/活动编号一致率 822/822**，变异验证也会变红），但**两条既有用例被打破**：
+
+1. `TestExportNeverNullsColumnsTheDeviceAlwaysFills`：它按「站点 src_pk」去找新建的活动
+   （`WHERE Z_PK=950001`），而对齐会把它放到「基线最大编号之上」的新号 ⇒ 找不到。属**用例假设**问题，
+   改成按名称/UUID 查即可。
+2. **`TestExportRoundtrip`（核心不变量）**：往返（基线 = 源包本身）本应保持编号不变，却报
+   「导出多出到访 825」⇒ 大量到访被当成了新行。**未在预算内查清原因**，因此整版撤回（`git checkout`
+   + 删掉 `export_align.go` / `export_align_test.go`），保持仓库全绿（两条用例已复跑通过）。
+
+**下一轮排查线索**（按嫌疑排序）：
+- `visitsPKs/actsPKs/...` 这类 helper 返回的字段（要用 `SrcPK`，若返回 PG 的 `ID` 就会全体对不上）；
+- `siteUUIDMap` 的 SQL 在**fixture 数据集**上的返回（我已在 dataset 9 上验证 `encode(decode(...))`
+  与 web 侧 hex 一致，但没在 fixture 上验过）；
+- `alignUUIDs` 里「匹配上却拿到新号」的分支条件（`used` 复用/`known` 判定）。
+
+**重要**：对齐只是「让导出的编号回到基线」，而**基线本身在哪**才是关键——所以即便不做代码改动，
+**用「以真机包为基线的数据集」照样能让编号对齐**（见第九轮的配方，`mergePlaces`/`mergeVisits`
+更新的是数据集自己那几行、新行才另取号，已在代码层面确认）。这条路径**今天就能用**。
+
+
+## 第十二轮：编号对齐定稿（往返失败的真因 = 那条「没有 UUID 的空到访」）
+
+重做实现后带 `ROND_ALIGN_DEBUG=1` 打印每张表的映射规模，夹具上一切正常
+（ZLOCATION 323/323、ZACTIVITY 30/30、ZTAG 8/8、ZTRANSPORT 5/5、ZMOVEMENT 791/791、
+ZHOURLYWEATHER 557/557，**只有 ZVISIT 是 822/823**）——落在夹具上跑本来就是对齐的幂等情形。
+
+跑 `TestExportRoundtrip` 才看清：包内计数完全一致（823 到访 / 323 地点 / …），只有一条
+「导出多出到访 **825**」⇒ 那**唯一一条没匹配上的到访**（= 没有 UUID 的「全空到访」，真机包里也
+在、留档里没有它的身份）被重新发号成了 825。
+
+**修法（关键的一条规则）**：身份匹配不上的行，**若它自己的编号没被别的身份占用，就保持原编号**；
+只有被占用时才另发新号。这样：
+- 往返导出（基线就是源包）**一行都不动** ⇒ `TestExportRoundtrip` 通过；
+- 编号漂移过的库，匹配上的行照旧被拉回基线编号（对齐用例 822/822）。
+（这也避免了「把基线的行覆盖成另一条记录」的情况：被占用说明那个编号在基线里属于别的身份。）
+
+配合的另一个改动：`siteUUIDMap` 改为**读出 base64 字符串后在 Go 里解码**（与 web 侧
+`loadStoredVisits` 同一手法），不再在 SQL 里 `decode/encode` 拼——第一版就是因为这个
+（或与此相关）导致大量行匹配不上。
+
+
+## 第十三轮：「数据双份」的真相 = 站点数据里的历史重复条目（不是导入 bug）
+
+用户以手机包 `20260928_183908.rondbackup` 为数据集、导入生产导出
+`20260928_183908-export-20260929.rondbackup`，**清除 app 数据后导入仍看到「重复」**。
+
+核对两份包：生产导出 **1027 到访 / 433 地点**，其中 `ZMERGEDTO` 56 + `ZPARENT` 10（已并入的隐藏记录）；
+app 显示 **965 到访 / 388 地点** ⇒ 388 ≈ 包内「有到访的地点」390 ✓、965 ≈ 1027 − 隐藏的那些 ✓
+⇒ **导入本身是成功的、app 里就是这份包的数据**（我上一轮「rond 是追加式」的判断错了）。
+
+真正多出来的是**站点侧的历史重复条目**：**72 条**到访与手机包里某条**到达时间 + 地点完全相同**、
+但 UUID 不同（手机包自身也有 31 组这种成对条目，那是 app 自己产生的，合法）。合并按 UUID 认人 ⇒
+站点那条被判成「备份新增」⇒ app 里出现成对的两条。
+
+**处理**：写脚本（以手机包为参照）删掉这 72 条站点侧副本 + 其附属（位移/天气/原始采样），
+并把指向它们的 `ZMERGEDTO`/`ZPARENT` 改指到保留项（否则会把已并入的记录放出来）。自检：
+到访 955（= 手机包）、重复 UUID 0、(时间,地点) 重复正好 31 组（= 手机包自身）、悬空引用 0、
+zip framing 0x0000 ✓。产物 `data/20260928_183908-export-20260929-dedup.rondbackup` +
+清单 `storage/.mergetest/站点侧重复到访清单.csv`。
+
+⚠️ 教训：**去重必须以手机包为参照**（先判「UUID 在不在手机包里」），只按 (时间,地点) 判会把手机包
+自身合法的成对条目一起删掉（第一版就这么错了：955 → 924）。
+永久修法应在**站点侧**清掉这些副本（否则下次导出还会带出来）；可行做法是给 CLI 加 `dedup`，
+参照即数据集的基线（手机包）。
+
+
+## 更正：CLI 名字记混了
+
+本项目（rond-with-you）**没有 `cmd/` 目录、没有子命令 CLI** —— 之前笔记里「管理 CLI（`TamaBox <cmd>`）、
+注册在 `cmd/tamabox.go`」是**另一个项目（TamaBox）**的东西，被我串到这边的笔记里了。本项目的维护脚本
+都在 `tools/*.py`（verify_export_structure.py / verify_rondbackup.py / photo_coord_audit.py / audit_export_nulls.py）。
+
+新增 `tools/dedup_site_visits.py`：以**手机包为参照**清掉站点侧的历史重复到访（默认只预演，
+`--apply` 才删；连带处理位移/天气/留档，并把指向副本的 ZMERGEDTO/ZPARENT 改指到保留项）。
+状态：**已完成并在真实数据上演练通过**。踩了两个 PG 坑：
+  1. `raw->>` 是 text，与数字比较报「text = integer 操作符不存在」→ 工具在动手前整个退出（预演没事、
+     一旦 --apply 就 exit 1）⇒ 必须按字符串比 `(raw->>'ZMERGEDTO') = '956'`；
+  2. 同一 UPDATE 里给 raw 两次赋值报「对同一列 raw 进行了多次分配」⇒ jsonb_set 必须嵌套。
+演练（导入含 72 条副本的包 → --apply → 核对）：到访 1026→954、位移 833→809、天气 621→589
+（与手机包一致）；(时间,地点) 重复组 101→**31**（= 手机包自身）、悬空 0/0 ✓。
+站长也实测：去重后的包导入 rond **正常**了。生产用法（先预演）：
+`python tools/dedup_site_visits.py --dataset <id> --baseline <手机包.rondbackup> --db/--user/--password/--host ...`，
+确认后加 `--apply`。
+
+
+## 待办：「重复到访」清理做进页面（方案已获批，尚未动代码）
+
+用户要求「不能在页面上直接实现吗」→ 已给出变更清单并获批准（「就按你的默认去做」），**本轮未落地**（上下文预算耗尽，
+不愿留半成品在库里）。下一轮直接按这份清单写：
+
+**落点（已侦察）**：
+- 判定逻辑：与 `tools/dedup_site_visits.py` 同规则（UUID 不在基线里 + (到达时间, 地点) 与基线某条一致），
+  Go 侧新建 `internal/web/edit_duplicates.go`；参照 = `s.baselinePath(ds.ID)`（`internal/web/handlers_export.go:196`）。
+- ⚠️ `internal/web` **没有引 sqlite 驱动**（`grep modernc.org/sqlite internal/web/*.go` 为空）→ 读基线库需要
+  加 `_ "modernc.org/sqlite"` 的 import（或复用 `rond` 里现成的读取）。
+- 视图：编辑页的数据结构在 `internal/web/view.go:768` 附近（已有 `Activities []EditOption`、`TransportColors`），
+  加一个 `DupVisits []…` 字段；装配在 `internal/web/handlers_edit.go:25` 的 `editPage` 里（`d.Activities` 在 73 行附近）。
+- 模板：`internal/web/templates/admin/edit.html` 用 `<h3>活动</h3>` + `<div class="tw"><table class="tb tb-stack">` 的卡片风格
+  （活动卡片在 34 行附近）。**该模板只能用 shell 改**（用编辑工具会被注入 `data-page-node-id`）。
+- 路由：新增 POST（如 `/admin/edit/duplicate-visits`），照 `editActivityUpdate` 等的注册方式加。
+- 删除语义照 `editVisitDelete` + 工具已验证的那套：删副本 + 其 movements/weather/entity_raw，
+  并把指向副本的留档（`entity_raw.raw` 的 ZMERGEDTO/ZPARENT）**改指到保留项**（jsonb_set 要嵌套，
+  比较用字符串 `(raw->>'ZMERGEDTO')='956'`——这两个 PG 坑都踩过）。
+- 卡片只在检出 >0 时显示；基线不是手机包时显示一行灰字说明；提交要二次确认；做完闪信 + 刷新。
+- 用例：夹具里造一对副本 → 断言检出 1 对、清理后到访 −1、未勾选的不动、无悬空；然后全量验收。
+
+## 已落地：编辑页「重复到访」卡片（上一轮清单执行完毕）
+
+新增 `internal/web/edit_duplicates.go`（判定 + `editDuplicateVisitsApply` + `cleanDuplicateVisits`）、
+`EditData.DupVisits/DupUnavailable`（view.go）、`editPage` 装配、`POST /admin/edit/dup/clean`、edit.html 卡片（45 行纯新增，编辑工具这次没注入属性）、
+用例 `internal/web/dup_visits_test.go`（4 个）。判定照工具语义，UUID 是前提；与工具刻意不同的一处：改指合并标记只动本来就有的键
+（工具会凭空补 ZMERGEDTO）。变异验证 3 项全绿（其中「丢 UUID 前提」第一次漏判，补了定义性不变量才抓到）。
+
+顺带修了一个**导出必挂**的洞：`rond/export.go` 的 `queryWeather` 把 `is_daylight` 扫进裸 `bool`，
+而站点「新增天气」不写这一列 ⇒ 一补录天气，整包导出 303 +「备份恢复失败」一类报错。改成 `COALESCE(is_daylight,false)`（与 `parse.go` 同口径）。
+
+## 待用户拍板：时间线上的 ZMERGEDTO / ZPARENT 行
+
+用户报「生产+测试时间线上出现重复」，实测是**手机自己标的「已并入 / 子记录」行**（如 09-04 家 20:21 的 #422 `ZMERGEDTO=#562`），
+不是本卡片管的站点副本（那两条 UUID 都在手机包里，删了导出会丢合并信息）。全站没有任何查询识别这两个字段 ⇒ 时间线与日停留都重复计入。
+数据集 9：54 条 `ZMERGEDTO` + 10 条 `ZPARENT`，26 条并入行与原件到达时间相同。方案（A 加派生列 / B where 里 NOT EXISTS）已报给用户等选。
+
+## 验收：301 PASS / 0 FAIL / 0 SKIP（5m49s）
+
+**⚠️ 环境坑（这次卡了 1 小时，务必先做）**：
+- `rond_fog_test` 死元组膨胀到 **3311 MB**（`entity_raw` 2.2GB / places 378MB / visits 233MB），级联
+  `DELETE FROM users` 变成 IO 爬虫 ⇒ 全量验收跑 30 分钟都跑不完。`VACUUM (FULL, ANALYZE)` 后 **3311MB → 16MB**，
+  整套 5m49s 跑完。跑过几十轮全量后会再涨，卡了就先 VACUUM。
+- 库里**必须有生效数据集**：`SELECT id FROM datasets WHERE is_active LIMIT 1` 取不到时 `internal/stats` 的
+  6 个对照用例全 **SKIP**（假 skip，看着像「没环境变量」）。本次先 `UPDATE datasets SET is_active=(id=1)` 才 0 skip。
+- 验收跑着的时候**别并发跑定点测试**（同一个库，会加剧膨胀/timing）；中途 kill 测试进程还会留下孤儿 e2e 数据集
+  （fixture 只在自己正常退出时才清理）。
+- 结果：PASS=301（基线 297 + 本卡 4 个用例）/ FAIL=0 / SKIP=0；第一段纯净往返包 PASS。
+- 二进制已重编（`go build -o rond.exe .` + 拷进 `bin/`，旧版存 `bin/rond.exe.old-20260929d`），站点当时没在跑。
+
+## 已落地：已并入 / 子段到访在读的一侧收口（方案 A）
+
+用户报「生产+测试时间线上有重复」，实测是手机自带 `ZMERGEDTO`（已并入别处）/ `ZPARENT`（某个父段的子段）行：
+app 不单独显示、不计数，本站当成普通到访 ⇒ 时间线上「同时刻同地点两条」、日停留重复计入。
+**不能删**（导出要靠它认这次合并），所以判据只立一份 `stats.SoloVisitSQL`，在读的一侧收口：
+`visitsWhere`/`VisitsByPlace`/`Bookmarked`/`placeCols` 子查询、`handlers_public` 两处、`handlers_topics` 四处、
+三处聚合（ingest / refreshPlaceAgg / recountPlaces）的 count+dwell、`schema.sql` 一段幂等回填。
+**天气与位移不收口**（真实发生过）；**导出侧一个字节不动**（rond 不读 visit_count/dwell，只读 last_visit_at，保持全量）。
+
+审阅中发现并修掉的真 bug：**ingest 的地点聚合回填排在 `insertEntityRaw` 之前** ⇒ 判据读不到留档 ⇒ 每行都算独立到访
+（多算 62~64 条）。是新写的 `hidden_visit_test.go` 抓出来的。另一个是「0 次却有最近到访」（4 个地点），
+展示侧用 `CASE WHEN p.visit_count > 0` 兜住。
+
+实测：places 到访数合计 1001 → 937，停留 249769 → 222399 分（数据集 9，回填已在该库执行）。
+时间线查询 0.35ms → 3.5ms（42 次主键探测），Planning 3.6 → 6.4ms。
+
+验收：**301 → 305 PASS / 0 FAIL / 0 SKIP**（推送后复测也绿）（`internal/stats` 三个对照用例先红后绿：天气/位移一开始也继承了判据，
+`TestWeatherStatsRespectsFilter`、`TestVisitSideFiltersApplyToMovements` 立刻抓出来）。
+环境：一轮全量让测试库涨 ~370MB 死元组，跑前跑后各 `VACUUM (FULL, ANALYZE)`（16MB → 5m49s；385MB → 30 分钟未完）。
+
+## 审阅时又发现一个既有 bug：地图城市圈的「到访次数」差 128 倍
+
+`/api/cities` 把聚合打在 `places ⋈ visits` 上 ⇒ `sum(p.visit_count)` 按到访条数重复累加、`count(*)` 当成地点数。
+实测最大城市显示「到访 72661 次 · 568 个地点」，真值 568 次 / 86 个地点。改成「先按地点聚合、再按城市汇总」，
+并补上已并入/子段的判据；新增 `city_agg_test.go`（手写口径对账 + 变异验证）。
+
+## 收尾（最后一批）
+
+- `scripts/verify.sh`：库 ≥ 200MB 时先 `VACUUM (ANALYZE)`（只做普通版，FULL 会锁库把验收卡住）；
+  同一夹具用例 13.6s → 10.2s。
+- 城市圈首末到访改按可见到访算（`min/max(v.arrival)`），并补了**能区分**的断言：
+  把某地点最晚那次标成已并入后，城市最近到访必须从 09-13 退到 09-08（原来的同口径比对是假绿）。
+- README 补「重复到访卡片」「为什么有些到访在页面上看不到」+ 验收环境说明。
+- **明确不做的两项**（有实测理由）：派生列 `visits.solo`（LIMIT 下只 42 次探测，存列反而要跟着刷）、
+  改指语句批量化（会遇到「一行两个键指向不同副本」只改一个键的边界）。

.workbuddy/memory/2026-09-30.md

@@ -0,0 +1,159 @@
+# 2026-09-30
+
+## 生产时间线「部分重复部分没有」的根因与修复
+
+用户报 https://life.shiroko.one/timeline 上仍有重复。抓页面逐条比对：一屏 180 条里有 **53 对**
+到达时间、离开时间、停留时长**完全相同**的条目——与 09-04 那种「离开时间不同」的已并入行不同，
+`ZMERGEDTO`/`ZPARENT` 判据一条都收不到（43 对里隐藏侧 0）。
+
+真正成因：**站点补录的行没有留档 ⇒ 没有 UUID**，导出时被补上 `v5("ZVISIT/<src_pk>")`；这份包
+再合并回站点时站点侧没有 UUID 可对齐，被当成「备份新增」又插一条（41/43 的副本 UUID 正好等于
+配对行的派生 UUID，实测确认）。
+
+修：rond 里把派生 UUID 抽出来当**对账键**（`DerivedUUID`/`VisitMatchUUID`），差异与合并都用它；
+卡片新增第二类判定（成因「你补录的那条被合并回来的一份」），清理时把副本名下的位移/天气**改挂**
+到保留项。提交 `8dec973`（+ 格式 `aaf65f6`），已推送；全量验收随后跑。
+
+## 「本地测试要十几分钟」的根因：我昨天那个收口把页面拖成了 44~70 秒
+
+- 症状：最慢的 4 个用例占全套 55%（309s/274s/226s/115s），全是「渲染若干页面」的布局用例。
+- 定位：临时逐页计时探针（`/` 43.6s、`/places` 70.1s）→ 变异对照（关掉判据 0.28s）→ CPU profile
+  （135 秒只用 3 秒 CPU ⇒ 在等，不是算）。孤立的 EXPLAIN 只有 12~38ms，**会骗人**。
+- 根因：判据打在 `entity_raw.raw`（TOAST 过的整行 JSON）上，而 /places 是「每个地点 × 5 个子查询」。
+- 修：派生列 `visits.is_merged` + 刷新（ingest / recountPlaces）+ 部分索引；/places 70084ms → 206ms，
+  首页 43633ms → 698ms。新增 `page_render_budget_test.go`（7 个页面卡 10 秒的灾难探测器）。
+- 教训：**别拿单条查询的耗时判断整页性能**；「功能对、就是慢」的退化必须有守卫。
+
+## 生产导出 `data/20260930.rondbackup` 被真机拒收 —— 逐项排查（未定位到形状违规）
+
+按技能里「备份恢复失败」的排查顺序全跑了一遍，**每一层都与手机包/曾被接受的包同形**：
+1. 打包层（头号真凶）：本地头 bit3=0、长度非 0、条目名与顺序与 09-20 被接受的那份一致 ✓
+2. 模型骨架：表 31 / 索引 47 / CREATE TABLE 逐字符 / `Z_PLIST` sha256 / `Z_MODELCACHE` 16073B / `Z_UUID` / `Z_VERSION` —— 与 09-29v2 手机包**完全一致** ✓
+3. 逐列空值画像：唯一差异 `ZLOCATION.ZISOCOUNTRYCODE` 20 个 NULL。**这不是问题**——09-20 被接受过的包也是 23 个 NULL，
+   且 09-29 做过**真机对照实验**（同一份包唯一差异这列）：`''` 被拒、`NULL` 能导入（见 commit `d5e96ed`）⇒ NULL 是对的，
+   **别再去「补空串美化」**（我这次差点又去改它）。
+4. 关系完整性 0 悬空（含 `ZRAWVISIT→ZVISIT`、`ZVISIT.ZLOCATION/ZACTIVITY_`、自引用 `ZMERGEDTO/ZPARENT`）✓
+5. `Z_OPT` 全 ≥1、`Z_ENT` 与参照一致、`ZIDENTIFIER_` 16B 且唯一、值类型分布无新增类别、无非法 UTF-8、
+   行级时间不变量 0 违例、SQLite 文件头（页大小/WAL 版本/编码）一致 ✓
+6. 计数画像同形（1001 到访 / 64 隐藏 / 436 地点 / 392 有到访 / 交通方式 6 条无重名）✓
+7. 包里**仍有 43 组站内副本重复对**（就是 dedup 卡片要清的），但不影响导入 ✓
+
+**下一步（等用户）**：要报错原文 + 两个对照导入把范围切两半——
+`storage/.verify/acceptance-clean.rondbackup`（纯净往返）与 `data/20260920-fixed-A-数据修复.rondbackup`（曾成功）。
+若指向「站点数据」，就用这份失败包做行级二分（按 UUID 拆「手机原有的行」/「站内新建的行」）。
+
+## 拒收排查续：静态判据全过 ⇒ 转真机二分（工具已提交）
+
+用户确认：报错就是「备份恢复失败，你的当前数据未被修改」（QQ 传文件，同一路径传的另一份能导入）⇒
+**导出链路与 App 都没问题，问题在这份数据集的数据里**。
+
+静态排查全过（打包位标志 / Core Data 骨架逐字节 / 空值画像 / 关系完整性含自引用 / 类型分布 /
+Z_OPT·UUID·BLOB / 行级时间不变量 / 位移窗口不变量 / 取值域与数值范围 / SQLite 文件头）。
+顺手排掉四个「看着像」的：
+- `ZISOCOUNTRYCODE` 20 个 NULL：09-20 被接受过的包也是 23 个 NULL，且 09-29 真机对照实验证明「空串被拒、NULL 能进」⇒ 不是它；
+- 站内新建行的 v5 UUID：手机包自己就有 172 个 v5；
+- 43 组精确重复到访：**手机包自己就有 39 组** ⇒ 真机容忍；
+- 位移窗口越界：这份包 0 条（手机包自己倒有 2 条）。
+
+新增 `tools/bisect_export.py`：以被拒包为底生成 V1（去掉站内新建的 22 条到访）、
+V2（+3 个站内新建地点）、V3（手机里也有的行按手机原值重置），都已过审计（悬空 0 / Z_MAX 够 / 打包正常）。
+判读：哪一版开始能进，问题就在上一版删/改掉的那一类里；三版都进不去 ⇒ 问题在「行的集合」（删过/多过的行）。
+
+## 二分结果：V1 ✓ / V2 ✓ / V3 ✗ ⇒ 罪在「站内新建的那 22 条到访」（地点无辜）
+
+- V1（去掉 22 条）能导入、V2（再多去 3 个地点）也能导入、V3（全保留、但把手机里也有的行按手机原值重置）报错
+  ⇒ **问题在这 22 条到访本身或其附属记录**里，与地点、与「共享行被改过的值」无关。
+- 这 22 条的构成：`Z_PK=[46,200]+998..1017`。其中 **46/200 其实是基线（09-14 包）自己的行**
+  （同一 UUID、同一数据），只是**手机在 09-29 前把它们删掉了**（09-29v2 里没有这两个 UUID）——
+  所以「按 UUID 是否在手机包里」分类会把它们误判成站内新建。
+- 下一轮对照（都已过审计、位于 `data/bisect/`）：
+  `V4` = 保留这 22 条但删掉它们的附属记录（15 位移 / 16 天气 / 2 采样）；
+  `V5` = 删 `[46,200,998..1007]`；`V6` = 删 `[1008..1017]`。
+- 判读：V4 ✓ ⇒ 罪在附属记录；V5/V6 哪个 ✓ ⇒ 罪在另一半的那 10~12 条里，继续对半拆。
+
+## 二分第二轮：V4 ✗ / V5 ✓ / V6 ✗ ⇒ 罪在 [46,200,998~1007]，再收紧到 [998~1007]
+
+- V4（保留 22 条、只删它们的附属记录）**报错** ⇒ 附属记录（15 位移 / 16 天气 / 2 采样）无罪；
+- V5（删 [46,200,998~1007]）**能进**、V6（删 [1008~1017]）报错 ⇒ 罪在 V5 删掉的那 12 条里；
+- **46/200 被排除**：它们就是基线自己的行（同 UUID 同数据），而**纯净往返包里也有这两行且能导入** ✓
+  ⇒ 罪在 **[998~1007] 这 10 条站内新建行本身**（其余一切都已被 V5 证明是兼容的）。
+- 静态差分：这 10 条与无辜的 [1008~1017] **逐列完全同形**（同为 v5 UUID、同标志位、ZRAW 都有值、TZ 都是 NULL）
+  —— 看不出任何结构差异，只能继续对半。
+- 第三轮：`V10` = 删 [998~1002]、`V11` = 删 [1003~1007]（都在 `data/bisect/`）。
+
+## 二分定案：罪魁是 `ZVISIT #1000`（09-22 06:16→10:48，挂在重复地点 416 上）
+
+- 五个「只留一条」对照：**只有 P1000 报错**，P998/P999/P1001/P1002 都能导入 ⇒ 单条罪魁 = #1000。
+- 顺带排除的：重复地点本身（手机包自己就有 8 组同名同坐标且都带访，坐标连低位都相同）；
+  UUID（#1000 的 UUID 就是标准的 v5("ZVISIT/1000")，与兄弟们同形）；ZRAW 量级（2305 与手机的 2209 同量级）；
+  重复组的 ZLASTARRIVALDATE_ 规律（手机各组也是各成员各值）。
+- #1000 与四个无辜兄弟的**唯一差异 = 它的地点是 416**，而 416 是「广西壮族自治区邮政公司」的
+  **重复地点行**（与 417 同名同坐标全字段相同，只有 ZLASTARRIVALDATE_ 不同），且**只有 #1000 用它**；
+  V1/V2/V10 能导入，正是因为那时 #1000 已删、416 成了没有到访的空壳。
+- 判别包（都在 `data/bisect/`）：
+  `W1` = 只留 #1000 但把它的地点换成 417；`W2` = 只留 #1000 但把 416 的「最近到访」改成与 417 一致；
+  `W3` = 只留 #1000 但把 ZRAW 改成 1421。
+  W1 能进 ⇒ 罪在「416 这一行 / 这个对」；W1 报错而 W2/W3 能进 ⇒ 罪在 416 的 ZLASTARRIVALDATE_ 或采样数。
+
+## 定案：真机拒收的根因 = `ZVISIT.ZRAW` 超过包内采样行数（已修，commit `d99c63f`）
+
+- 判别包结果：**只有 W3 能进**（W1 改地点、W2 改「最近到访」都报错）⇒ 罪魁是 `ZVISIT #1000` 的
+  **`ZRAW = 2305`**（「这次到访由多少个原始采样点归并而来」的计数）。
+- 不变量：`ZRAW ≤ 包内 ZRAWVISIT 行数`。接受过的三份包（09-14 基线 / 09-20 A 包 / 验收纯净往返）
+  最大值都 ≤ 采样行数；被拒的那份只有 #1000 越界（2305 > 2246）。夹到 2246 以内即可导入
+  （W3 用 1421 验证过；被接受的包里 ZRAW 为 NULL/0 的行本来就有 39~139 条 ⇒ 往下夹安全）。
+- 成因链：合并进来的到访带着**源包**的 ZRAW，而源包的 `ZRAWVISIT` 采样行站点不托管（只从基线带）
+  ⇒ 计数与包内采样行数脱节。导出侧修法：写完行、清完悬空采样点之后，一条 UPDATE 把
+  `ZRAW` 夹到 `count(ZRAWVISIT)` 以内。用例 `TestExportClampsRawSampleCount`（变异验证过）。
+- 顺手：`readDupBaseline` 先 os.Stat（sql.Open 默认 READWRITE|CREATE，路径不存在会静默建空库，
+  报「no such table」而不是「没有基线」）。
+- 给用户的即时包：`data/20260930-fixed-zraw.rondbackup`（就是那份被拒的包，只把 #1000 的
+  ZRAW 2305→2246，其余一字未动，审计干净）。
+- 更彻底的做法（记着）：把数据集的**基线换成一份较新的手机包**——采样行来自基线，
+  基线越新，新到访的采样行越齐，`ZRAW` 也就天然自洽。
+
+## 基线替换：用户按链路操作，差异页显示「完全一致」（= 预期结果，不是失败）
+
+用户把 App 导出的 `20260930_180637.rondbackup` 直接导入成新数据集，再用旧的站点导出
+`20260930.rondbackup` 做差异合并 → 差异页说「与当前数据集完全一致：没有新增、没有被删、也没有冲突」。
+
+原因：喂给 App 的那份包**就是站点自己的导出**（`20260930-fixed-zraw.rondbackup` = 站点导出只夹了 ZRAW），
+所以 App 再导出来内容当然一样 ⇒ **换基线这一步已经达成**（新数据集的基线 = 一份新鲜手机包 ✓），
+清单里的「把旧站点导出合并进去」在他这条路径上是**多余的**（那一步是为「上传一份全新手机包、
+里面没有站点数据」的路径准备的）。
+
+顺带记：新数据集的收益主要是**编号/存储对齐**（App 导入时会重排 Z_PK，新数据集的 src_pk 与它的基线同一套）；
+采样行（ZRAWVISIT）**不会**因此变多——那些采样点从来不在我们的包里（真实缺失），
+以后靠导出侧的 ZRAW 夹取兜住即可。
+
+## 闭环完成：换基线成功并验证（2026-09-30 18:20）
+
+用户流程：App 导出的 `20260930_180637.rondbackup` 直接导入成新数据集 → 网页端显示 **937 条到访**
+（= 包内 1001 − 64 条隐藏行 ✓ 说明 App 那份把数据放在 `-wal`（3.16MB）里也被我们完整读入 ✓）→
+以它为基线在网页端导出 `20260930_180637-export-20260930.rondbackup` → **导入 App 正常** ✓✓。
+
+我这边独立验证（新导出 vs 新基线）：跨表计数 **全部 ±0**（1001 到访 / 436 地点 / 815 位移 / 589 天气 /
+2246 采样 / 6 方式 / 32 活动 / 8 标签）；表 31/31、索引 47/47、`CREATE TABLE` 逐字符、
+`Z_PLIST`/`Z_MODELCACHE` sha256 全部一致；`ZRAW` 最大 2246 ≤ 采样行 2246 ✓；打包层 bit3=0 ✓。
+（App 那份的 zip flags 是 `0x0800`——只有 UTF-8 位，数据在 `-wal` 里，与我们 `0x0000` 的写法不同但都被接受。）
+
+技术结论已写进 `rond-backup-parse` 技能：ZRAW 不变量、逐行二分手法（`tools/bisect_export.py`）、
+换基线六步 + 自检、以及排查顺序里新增的「先验纯净往返包」与「值域不变量」两步。
+
+## 项目记忆纳入版本控制 + 注入上限取证（2026-09-30 18:30）
+
+用户要求「记忆跟着项目走」，把 `.workbuddy/memory/` 从 gitignore 里放出来。
+
+- `.gitignore` 挡路的是 `.workbuddy/` 那行。改成「反忽略」六行：`.workbuddy/` → `!.workbuddy/`
+  → `.workbuddy/*` → `!.workbuddy/memory/` → `.workbuddy/memory/*` → `!.workbuddy/memory/*.md`。
+  ⚠️ 别用 `!.workbuddy/memory/**`——它把 memory 下的**任何**文件都放行。实测 `./web.test.exe` 混进
+  暂存过，所以收紧成只认 `.md`。复核用 `git check-ignore -q --no-index <path>` 逐条打靶：
+  `memory/*.png`、`memory/sub/x.md`、`memory/MEMORY.md.bak`、`plans/a.md` 全 IGNORED，
+  三个 `.md` 全 included，`git add -An .workbuddy/` 恰好 16 个文件。
+- 记忆里**没有真凭据**（唯一命中是 `2026-09-14.md` 里的 `password=rond-admin`，那是项目默认口令）。
+- **注入上限取证**（以前一直靠猜）：`app.asar` 里 `getWorkingMemoryContent()` 用
+  `var MAX_MEMORY_CHARS = 1e4`，比较的是 JS `content.length`——**字符数（UTF-16 单元），不是字节**；
+  中文 1 字算 1。超了就 `substring(0,1e4)` 且尾部静默丢失，只在当轮挂一句「ACTION REQUIRED」。
+  ⇒ 以前按「15.6KB 字节」判断是否超限是**错的**（中文文本 1 万字符≈1.5 万字节）。
+  本 details 与每日日志**都不参与注入**，只有 `MEMORY.md` 一个文件受约束。
+- 索引现状：`MEMORY.md` 6604 字符 / 10526 字节，距上限留 34% 余量；仍有 12 节，34 节正文在 details。

.workbuddy/memory/MEMORY-details.md

@@ -0,0 +1,536 @@
+# rond-with-you 项目长期记忆
+
+> 只留「改代码前必须知道的结论」，一句话一条。**细节别在这儿找**：rond 包/迷雾/导出验收见技能 `rond-backup-parse`，量法与探针见技能 `rond-web-verify`，推导过程见 `.workbuddy/memory/YYYY-MM-DD.md`。
+
+## 一、站点侧落库规矩
+
+- **「建地点 + 建到访」必须同一事务**（`Server.withTx` + `execer`）：两步写留下孤儿地点，导进 rond 永远「无数据」。到访时段选填，但**校验必须先于落库**。
+- **行程派生字段必须与导入路径一致**（`validateMovementForm`）：`from_place_id`/`to_place_id`（轨迹靠它画线，**区域黑名单也按两端 places 判定**，留空 = 绕过过滤直接露给访客）、`distance_km`、`duration_min`。
+- **新行编号一律走 `nextSrcPK` + `clearStaleRaw`**：取三处最大 +1 —— 库内该列、`coredata_meta.entities.<实体>.max`、`entity_raw.raw->>'Z_PK'`（留档存着 skipped 行，占号但无实体行）。只看库内 `MAX` 会复用 → 新行被当旧行、继承对方 rond 写的列。**绝不再写 `SELECT MAX(src_pk)+1`**；pk 分配在事务内。回归 `internal/web/seq_test.go`。
+
+## 二、rond 备份包导出（细节见技能 `rond-backup-parse`）
+
+真机包 `data/20260914_151649.rondbackup` 是唯一标准答案。
+
+- **两条铁律**：① PG 是真值来源、`entity_raw` 是原值来源——管理列由 PG 覆盖，其余列只能从导入时留的原始整行还原；② 区分**基线已有行**与**站点新建行**（`keepNilCols` + `known[pk]`），前者永远保持真机原值。
+- **只给新行补的列**：`ZLOCATION.ZRAWLATITUDE/LONGITUDE` = 原始 WGS-84（`ZLATITUDE/ZLONGITUDE` 是 GCJ-02），用 `geo.GCJ02ToWGS84` 反算；`ZVISIT.ZIDENTIFIER_`/`ZACTIVITY.ZUID_` **必须确定性**（表名 + src_pk），随机则每次导出都变、rond 当新记录；`ZACTIVITY.ZICON_` 缺省 `📍`。
+- **派生缓存列** `Z*_.ZLASTARRIVALDATE_` = 该对象最晚一次到访到达时间；没用过写哨兵 `-63114076800` 或 NULL（判空不能只看 `IS NULL`），**别留空**否则 rond 显示「无数据」。
+- **ZMOVEMENT**：`ZTYPE_` 791/791 非空、**不能写 NULL**（2 = 无交通方式、5 = 有）；进 `keepNilCols` 且**只给新建行**补，**别做成管理列**（否则 23 条 `type=4` 被洗掉）。硬不变量 `ZSTART_ >= 起点离开`、`ZEND_ <= 终点到达`（0 违例）。`ZTRANSPORT` 聚合（`queryTransports`）必须 `GROUP BY transport_src`（`DISTINCT` 会给重复 Z_PK → 撞主键、整次导出失败）。
+- **不是缺口**：`ZVISIT.ZRAW`（采样点**数量**）、`ZMERGEDTO`/`ZPARENT`、`ZLOCATION.ZNOTE_`；`place_notes` 仅站长可见，单向从 `ZVISIT.ZREMARK_` 汇总、不回写 rond。
+
+## 三、迷雾（Fog of World）.fwss
+
+zip 包，**条目内容本身是 zlib 流**；`Model/*/` = 头 32768B + 每块 515B，**已探索层由 `fog_blocks` 重建**；`Model/~/`、`Model/#/` **不解析只原样写回**（少了快照残缺约 55%）。块尾 3 字节 = 大端 24 位数 = 置位数×2+1（真机 8701/8701 精确满足）、上限 4096 ⇒ **最高字节恒 0**。
+
+- `Decode→Encode` 除压缩级别与块体槽位顺序外完全一致；回归 `internal/fog/fog_test.go`（需 `FOG_SRC`）。**清空迷雾**与**整体替换（cover）**都要连 `fog_raw_files` 一起处理，否则残留「无对应 `Model/*` 瓦片」的图层条目。
+
+## 四、精度陷阱：时间与坐标都不能「原样回贴」
+
+表单精度低于库里真值，**只改备注也会悄悄改掉时间和坐标**：**时间** `datetime-local` 只到分钟、真机带小数秒（`20:03:21.323088`，截断后还会早于起点离开时间被行程窗口拒掉——线上「改方式提示开始时间不能早于离开时间」就是这个）；**坐标**控件 `%.6f`、真机长小数（`26.46800422211455`），只改名称就把点挪走。规矩：**与库里已有值落在同一精度上就沿用库里那份**（`keepStoredTime`/`resolveMovementEnd`/`keepStoredCoord`），行程、到访、地点三条编辑路径都要用。
+
+## 五、坐标来源留档（`places` 四列）
+
+`coord_source`（rond/photo/manual，空 = 历史行）、`coord_sys`（wgs84/gcj02）、`src_lat`/`src_lon`（**换算前**）。不变式：**显示坐标 == 按 `coord_sys` 换算 src_lat/src_lon**。
+
+- 写入点：`ingest/coord.go` 的 `BackfillCoordSource`（启动全量跑；判据要 geo 往返换算，**不写进 schema.sql**）、`adminPhotosImport`、`editPlaceCreate`；`editPlaceUpdate` 走 `updatePlaceRow`——表单没提交的列不动、坐标动过才更新留档、走换算时记换算前那份。
+- **「有 ZLOCATION 留档」≠「rond 导入」**：`export.go` 给站点新建点**合成** ZLOCATION 行（`ZRAWLATITUDE = GCJ02ToWGS84(导出那一刻的显示坐标)`），与真机行无异。**唯一判据**：`ZRAWLATITUDE == GCJ02ToWGS84(该行自己的 ZLATITUDE)` 位级相等 ⇒ 合成行（基线 321 行零命中）；**境外点跳过**（换算是恒等）。
+- `ZISPHOTOIMPORT` 由 `coord_source` 推；换算统一走 `GET /api/coords?mode=wgs2gcj|gcj2wgs`，**geo 包是全站唯一实现，前端别另抄**。**高德 POI 就是 GCJ-02**；`/api/regeo` 返回 `street`/`township`（表单里叫 `thoroughfare`，`edit.html` 曾读错键导致街道填不进去）。
+- **存量坐标裁决**：同名 POI 对称距离、迷雾栅格两条判据**已否证别再试**；用**批次同一定律**（一批 = 一坐标系 + 一台手机、批内同向，凡几个旧坐标距同名 POI >200m 的点换算后落回地物几十米内即成立；**名称无证据力**）。修库 `tools/photo_coord_audit.py --apply`，修完拉 `/api/points` 复核；`/api/points` 带 `sp`(=src_pk)，**基线 sp ≤ 323 用长小数、照片导入 > 323 是 6 位小数**。
+
+## 六、前端 / 模板 / CSS 坑
+
+- **改 Go 必须重启**（旧进程占 8080 时新进程报 `bind: Only one usage`，看着像构建失败）；**模板走 `//go:embed`，正式态改 `.html` 要重编二进制**，但 `debug=true` 时每次从磁盘重解析、刷新即生效；CSS/JS 只在 `debug=true` 直读磁盘。**带地图的页面必须 `p.HasMap = true`**，否则 Leaflet 不引入 →「地图容器在、整块不出现」。
+- **模板拼查询串 href 必须走返回 `template.URL` 的方法**（`Page.PlaceLink/EditPlaceLink/MapLink`）：`?{{.FilterQS}}` 被 URL 上下文转义（`=`→`%3d`）→ 筛选**静默失效**（翻页最易忽略），`{{safe}}` 挡不住；**返回 template.URL 时不要再手工做 HTML 属性转义**（`&amp;` 会被再转成 `&amp;amp;`）。
+- **CSS 顺序陷阱**：同特异性靠后的赢，而 `.chip`/`.btn`/`.check input` 的**基础规则在 `app.css` 中部** ⇒ 写在文件前半的 `@media (max-width:620px)` 覆盖是**死代码**（`.check input{width:20px}` 一直没生效）。窄屏尺寸/内边距覆盖**一律写进文件末尾那个块**（已标注「必须放最后」）；基础规则里没有的属性（`min-height`/`display`/`--field-fs`）写前面没事。
+- **控件字号**：`input:not([type=file]):not([type=color])…,select,textarea{font-size:var(--field-fs,inherit)}`，窄屏 `--field-fs:16px`、表格里 14px。**被 `:not()` 排除的类型（file/color/range/checkbox）吃不到**，要单独给字号——iOS 聚焦 <16px 控件会自放大整页（file/color 已提 16px；**range 是审计误报**，滑块不弹键盘）。窄屏下限：触控 44px（`.btn/.chip/.nav-links a` + 导航 logo `.brand`）、`select{min-height:44px}`（表格里除外）、`checkbox/radio{20px}`、`.tag{12px}`。
+- **表格别让 CJK 把列榨干**：`table.tb{width:100%}` + CJK 逐字可断 ⇒ 窄屏列压到 1~2 字宽；靠 `.tw > table.tb{min-width:…}` + `.tw` 横滚。**展开行与主行等宽靠 `colSpan`**（主行 9 列 ⇒ `colSpan=9`），浅底用 `var(--bg-2)` 别用 `--line-soft`。
+- **`rond-map.js`**：`full()` 首屏用 `points: []` 再靠 `setPoints` 填，**按需构建的图层必须读 `st.points`**；`preview()` 的「点击进全屏」要传 `opts.clickToFull`（只有主页该有）；**同容器二次 `L.map()` 抛 `already initialized`**（被 catch = 假失败），`_state[id]` 已有 `setPoints` 就复用实例；时间轴增量更新判据是**对象引用**、拖动传 `{keepView:true}`；markerCluster 子标记**异步**渲染，动画类要挂 `add`。
+- **`map.html` 筛选面板**：三个坑（内边距须挂 `#filter-form` 而非面板、sticky 元素**后面不能还挂内容**、「查询/重置」按钮要 `width:100%`）与量法见技能 `rond-web-verify` 的 `probe_map_panel.js`；`act`/`hw` 两个 hidden **必须留在 `details` 外面**否则收起即丢筛选。
+
+## 七、访客 vs 站长：双身份差异（新 bug 都容易出在这）
+
+**访客页与站长页的 DOM 不一样**——只在访客视角复现、站长自己点一遍一切正常。遇到「某功能只有站长有」先查这类。
+
+- **定性手法**：用**不带 cookie 拉原始 HTML**（urllib）与 CDP 求值后的 DOM 比，能区分「服务端没渲染」与「渲染了被 JS 删掉」，比看截图快。
+- **已修**（`96e7631`）：详情页画廊 `syncGallery()` 从 `#imgs-grid` 反推地址，而缩略图墙整块在 `{{if .IsAdmin}}` 里 ⇒ 访客页数到 0 张，把服务端渲染好的「图片 N」按钮 `remove` 掉。修法：`PlaceData.ImageURLs` 随页面下发；`cellURLs()` 判据改成**「缩略图墙在不在」而非「墙里有几张」**（站长删光图时墙还在，按张数回退会把删掉的图数回来）。回归 `TestVisitorPlacePageCarriesImageURLs`。
+- **同类扫描**（条件块内声明的 `id` 被 JS `getElementById` 读）目前**只有 place.html 命中**，其余是「本页元素被本页脚本读」的正常形态；改模板时别新增这种耦合。
+
+## 八、地点图片与转码
+
+- **对象名 = `<数据集>/<上传月份>/<地点号>-<内容哈希>.webp`**（按月分目录便于备份、带地点号便于认领、哈希天然去重）；**不要去地点号**（删图按 key 精确删）。key 存 DB 行，**改规则不影响旧图**。排序 `ORDER BY position, id`。
+- **转码在浏览器 canvas 做**（`place-image.js`），服务端只校验文件头、原样写盘、**不解码** ⇒ 任何平台都不需要 libwebp；**`canvas.toBlob` 在不支持 WebP 的浏览器会静默返回 PNG**，必须判 `blob.type`。
+- **压缩参数（2026-09-18 重定，别退回旧值）**：长边 **1440**、质量阶梯 `[0.72, 0.58]`、命中 **220KB** 即停，走到底仍超标就整张缩到 **1080** 重编（≤3 次编码）。依据：压质量掉 19% 画面就糊，缩尺寸同 q 掉 55% ⇒ **超标该缩尺寸**。透明 PNG 先铺白底。
+- 存哪边由后台设置决定（local/s3），凭据只在 `conf/app.ini` 的 `s3_*`；`internal/media` 手写 SigV4、零新依赖。**`s3_public_base` 必须带协议**（裸域名 = 相对地址 = **图全变破图且不报错**）。**上传不能只放 `<input type=file>`**：用 `<label class="btn primary" for=...>` 包隐藏输入框，文案写明**选中即上传**。
+- **照片导入页**：地图卡在「2. 确认与修改」内 `position:sticky`，`.stuck` 时收矮到 132px（移动 110）——收矮后必须 `invalidateSize()`，否则瓦片不全。改坐标/时间要重算 KPI（`updateKpis()` 从 DOM 现算，不能只挂在 `finishLookup`）。
+
+## 九、迷雾遮罩区 / 区域限制
+
+- `fog_masks` 圆心存 **GCJ-02** + 半径（米），判定前换算到网格的 WGS-84；网格横向随纬度乘 cos(φ) 收缩 ⇒「地上的圆」在网格里是**椭圆**。遮罩**只对访客生效**；被遮格子不画填充、也不当「未探索」邻居（否则边缘描出轮廓 = 暴露范围）。
+- `stats.Filter` 有**两套 where**：`visitsWhere` 与 `movementsWhere`（按**两端** places 判定），漏一个就「到访数藏了、里程还留着」；`internal/stats/stats_test.go` 对账。被区域规则挡的地点详情**不直接 404**，走 `notice.go` 的 `pausePage()`。
+
+## 十、底图、后端与性能
+
+- 高德免密钥瓦片：`style=8` 街道（带 POI/路名）vs `style=7` **纯路网**（近黑像素 1.46% vs 0.21%），点位密到觉得乱就用 7。默认底图 = 后台 `MapDefaultBase`；`pickBase()` 三级回落：**访客切过的（`localStorage['rond.base']`）→ 后台默认 → 第一张**。
+- **`r.ParseForm()` 会毒化后续 multipart 读取**：它把 `r.Form` 先填成「不含 multipart 字段」的那份，而 `FormValue` 只在 `r.Form == nil` 时解析 ⇒ 字段一律读成空（表现为「删图按钮点了没反应」）。**收 multipart 的 handler 直接用 `ParseMultipartForm`**；urlencoded 调用方会收到 `ErrNotMultipart`，用 `errors.Is` 放过。
+- **加 `setting` 字段要同时改三处**：`Default()`、`Load()`（逐字段显式覆盖，漏了 = 存进去读出来是默认值）、`settingsSubmit()`；**`conf/app.example.ini` 与解析器同步有测试守着**（键名要允许数字 `s3_*`）。
+- **PG 建连接比查询贵两个数量级**（~300ms vs ~2ms）→ `SetMaxIdleConns` **必须等于** `SetMaxOpenConns`（8/8），启动 `db.WarmUp(d, 6)`；页面里的独立查询用 `runJobs` 并发（上限 6）。**`fog.Index.All()` 会复制排序整张块表**，统计别用（面积读 `ix.AreaKm2()`）；**保存或删除遮罩必须 `s.masks.invalidate()` + `s.fogTiles.clear()`**。
+
+## 十一、导出包验收（改完代码要跑的那套）
+
+**分两段跑，别指错变量**：`ROND_CLEAN_OUT=… go test ./internal/web/ -run TestMovementCleanExport` 产**纯净包** → `ROND_EXPORT=… go test ./internal/rond/ -run TestExportRoundtrip` 比。指到真库的导出会大批报「导出多出到访」——不是 bug。干净往返应 visits/places/acts/moves/weather/rawvisits 全等、**坐标偏差 0、时间偏差 0s**。`go test -count=1 ./...` 要 **0 skip** 才算真跑过（缺 `ROND_DSN`/`ROND_SRC`/`ROND_TEST_CONF`/`FOG_SRC`/`ROND_EXPORT` 会静默跳过）；e2e 会往真库导一份基线再清掉，跑前 `pg_dump`，跑后核 `users like 'e2e-%'`=0 且 `is_active` 没被改。**三处「差异正常」见技能最后一节，别当 bug 修**。
+
+## 十二、404 / 中间页的分工（改路由前先看）
+
+`notice.go` 的 `pausePage` 是站点样式的「停一下」页；三种话术**别混**：`placeHiddenPage` → **403**「这个地点没有对访客开放」（区域隐藏，刻意告知，代价是能反推 ID 存在）；`notFoundPage` → **404**「不存在」（未对外展示的专题对访客**走这套、刻意不区分**）；`guardPage` → **404**「该页面未对访客开放」。`fog.go`/`tiles.go`/`handlers_images.go` 的 `http.NotFound` **故意保留纯文本**（瓦片/图片是给浏览器爬虫取的）。
+
+## 十三、指标口径与筛选计数（先对齐语义，再怀疑算法）
+
+- **「累计停留」= 各次到访时长之和**，不是「首到达 → 末离开」的跨度：`sum(LEAST(COALESCE(duration_min,0),10080))`（首页/统计页/专题同一个口径）。**全站没有跨度 KPI**；夜间没记录到的到访、在途时间都不进「停留」。改口径前先确认站长要的是哪个。
+- **筛选条上的类型计数必须是分面计数**：`pageBase` 里用 `stats.DB.ActivityCounts(ctx, s.filterOf(p))` 覆盖 `Activities(ds.ID)` 那份全量数字，且**必须把 `ActivityIDs` 清空**（否则选中一个类型后其它类型全变 0）。`Activities(ds.ID)` 只适合取「有哪些类型、名字/颜色/图标」。
+
+## 十四、「新增 XX…」两种形态（别照抄）
+
+- **自由文本型**（`类别`，存 `poi_category` 原串）：放 `__custom__` 哨兵 + 文本框，**不需要先建实体行**；新值要 `addCategoryOption/promoteCategory` 挂到所有 `select[name^="category_"]`（含隐藏选项源、插在 `__custom__` 之前），否则同一批里第 2 张还得重打。触发点是 **change（失焦）或回车**。
+- **实体型**（`活动` → `activities`）：必须先 `POST /admin/edit/activity` 建行拿 id。该接口**不去重，同名会真建两行** ⇒ 客户端按名字去重；新选项插在 `__new__` 哨兵之前；并加**提交守卫**（仍停在 `__new__` 就 `preventDefault`），否则解析不出整数、静默当成「未指定」。
+- 两者都靠「隐藏 select（`#activity-options`/`#tag-options`）+ `makeSelect` 克隆」分发 ⇒ **往隐藏源里插**，之后新解析出来的行也自动带上。`活动` 的新增入口只在 `admin/edit.html` 与 `admin/photos.html`；`admin/edit.html:273`（行内编辑某条到访）仍没有。
+- **2026-09-18 晚补记**：三处活动下拉现在共用同一套委派处理器（`select.activity-id-inline` + 同表单里的 `.visit-act-new` / `.visit-act-add` / `.visit-act-name`，都在 `admin/edit.html`）：新建地点卡、到访行内编辑、地点行内编辑。**别再给某个下拉单独挂 `change/click`**——会建出两条活动（顶部原来那对 `#activity-add`/`#new-activity-name` 已因此删掉）。地点行内编辑的「活动」= **批量改该地点名下全部到访**（`place/update` 的 `activity_id`，默认空值「（不修改）」；与地点行同一事务提交；哨兵 `__new__`/不存在的 id/别的数据集一律拒；`is_home`/`is_work` 跟着活动走）。回归 `internal/web/place_activity_test.go`（做了两次变异验证）。
+
+## 十五、`?back=` 贯穿（筛选不丢）
+
+- `Page.Back` **只放行站内路径**（拒 `//host`、非 `/` 开头、引号/尖括号/反斜杠——因为当 `template.URL` 用，放行就是开放重定向/XSS）；`Page.BackQS` 是当前地址编码后的参数值，**要剔除 back 自己**否则套娃。**非 href 位置（表单 hidden）用 `BackRaw`（string）**。
+- `EditData.PageLink` 翻页要带 back；`/admin/edit` 三个 GET 筛选表单各有 hidden back，三个「重置」走 `EditData.EditLink(clear…)`，别在模板里手拼。`BackLabel` 取路径段**必须先剥 `?`/`#`**。**一次性 flash 不进 back**（`backQS` 要 `Del("ok")`/`Del("err")`）；**别把用户输入直接内插进 href**（`/map?q={{.Place.Name}}` 是反例，已改走 `Page.MapLink`）。回归 `internal/web/pagelink_test.go`。
+
+## 十六、改到访时间后必须夹行程（已实现）
+
+真机硬不变量：位移不早于起点到访的离开、不晚于终点到访的到达。`movementWindow` 的 1 分钟容差（表单只到分钟）会让**改到访时间**这条路径漏出越界。现在 `editVisitUpdate` 调 `clampVisitMovements`（纯函数 `clampMovementWindow` 可单测，回归 `clamp_movement_test.go`）：① 夹完必须 `end > start`，窗口压没了就 `end = start + 1min`（真机 791/791 条都有值，不能写 NULL）；② `execer` 接口为此补了 `QueryContext`。**残留**：行程表单那条路的容差没动，手工把结束填到终点到达的下一分钟仍会产生 ≤60 秒越界。
+
+## 十七、加表格列必看（会把别的列挤换行）
+
+`table.tb` 是 `width:100%`、下限只有 `.tw > table.tb{min-width:640px}`，CJK 逐字可断 ⇒ **加的列会把别人的空间吃掉**（地点库加「图片」列后「河池市」折成两行）。实测：**只有抬表格下限有效**（min-width 700 → 城市回到一行），收窄新列自己的 padding **没用**；给那张表单独一个类（`.tw > table.tb.places-table{min-width:700px}`），别动全局 640。`PlaceCols`/`scanPlace` **成对**，且 `PlaceCols` 还被 geojson/gpx 导出、单地点查询、投票页用着 ⇒ **新列一律追加在最后**，只需同步改 `scanPlace`。
+
+## 十八、重启与操作纪律
+
+- **重编重启**：`go build -o bin/rond.exe .` → 停掉占 8080 的进程 → `./bin/rond.exe -c conf/app.ini`。`taskkill //F` 的双斜杠参数会被 Git Bash 吃掉，改用 PowerShell 按端口找 PID + `Stop-Process`。
+- 生产 `life.shiroko.one` **只走 IPv4**（curl 必须 `-4`）；会话 cookie `rond_session=uid|token`（HMAC）；HTTP 303 **不能跟随**（Location 里带 `ok=`/`err=`）。`/tmpfog/` 不是运行必需，`tmpfog/_ck.txt` 是**死票**（实打接口被 302）⇒ 不必轮换 `secret_key`。
+- **`gofmt -l` 会报假警**：仓库存 LF、`core.autocrlf=true` 把工作区换成 CRLF（已加 `.gitattributes` 钉住）；**用 python `open(p,'w')` 回写 Go/CSS 会把行尾变 CRLF**，要二进制模式读写。
+- **同一文件绝不并行改**：多条 Edit 一起发给同一文件时，各自「读整份-替换-写整份」会互相覆盖——工具**报 success 但磁盘上没落**（实测一次发 3 条给 `map.html`，`map-count` 那条丢了）。**一个文件串行改，改完 `grep` 复核关键标记，再编译。**
+- **CDP 探针里的 `click()` 可能静默落空**（落点在 HTML 解析中途，监听还没挂；`errs` 也空）：要先触发才成立的断言一律写成轮询。**新写的回归测试要做变异验证**：把修复处临时改坏跑一遍确认它**会失败**，再改回来。
+
+---
+
+## 十九、跨备份：src_pk 不可用，只能认 UUID（2026-09-21 并入）
+
+- rond 每次导出/同步都会**重排 Z_PK**：实测 0914→0919 两份备份 822 条到访 `ZVISIT.ZIDENTIFIER_` **全部相同**、Z_PK **100% 不同**。跨备份唯一稳定键 = 到访 `ZIDENTIFIER_`、活动 `ZUID_`；**地点/标签/交通方式/位移/天气都没有 UUID**，只能「名称+坐标」「名称」「起止到访 UUID+时间」兜底。
+- `contentHash` 拿 `SrcPK|Arrival` 当指纹会被 PK 重排骗过 ⇒ 同一批数据重导被判「内容不同」→ 建新数据集 → 备注/投票按 `dataset_id` 隔离后全部失联。**跨备份判重必须用 `ZIDENTIFIER_`**。
+- 差异预演（`internal/rond/diff.go`）：到访按 `VisitUUID`、活动按 `ActivityUUID`；库侧值在 `entity_raw.raw #>> '{ZIDENTIFIER_,$blob}'`，**留档是 base64，必须 `uuidFromBase64` 转 hex 再比**。地点**只认坐标**（`PlaceCoordKey` 6 位小数），名称不参与（`backfillAfterImport` 会反查改名）；配不上再按名称兜底。真机约 **2/824 条到访没有 UUID** ⇒ 必须有「到达时间（到秒）+ 坐标」兜底配对，否则同一条既算「新增」又算「仅站内有」（`timeKey` 到秒即可：苹果时间戳浮点秒 vs PG 微秒，逐位比永远配不上）。预演**只读**，`backup_diff_test.go` 钉「渲染前后三张表行数不变」。
+
+## 二十、附属数据主键 = 坐标键（不是 dataset_id+src_pk）（2026-09-21 并入）
+
+- `place_notes`/`place_votes`/`place_images` 一律挂 **`place_key`**（经纬度各 6 位小数，约 0.1m）；`dataset_id`/`src_pk` 只留作「最后写在哪儿」的排查线索。
+- **Go 与 SQL 两套实现必须逐位一致**：`rond.PlaceCoordKey`（`%.6f|%.6f`）↔ `to_char(x,'FM999990.000000')||'|'||to_char(y,'FM999990.000000')`，同款表达式散在 `notes`、`votes`、`web/handlers_images.go`（`placeKeyExpr`）、`stats/placeCols` **四处**，改一处搜全仓。实测 368/368 一致。
+- 主键：`place_notes`/`place_votes` = `(user_id, place_key)`；`place_visitor_votes` = `(place_key, voter_key)`；`place_images` 用自己的 id + `place_key` 索引。
+- **访客票是站点自有数据（rondbackup 里没有）**，表里**没有 dataset_id** ⇒ 迁移时只能按**活跃数据集**认领编号；两边都有同编号时也只认活跃的；认不出留 `orphan:<pk>`，票不丢。
+- **凡按这两张表统计的都要改成按坐标键 join `places`**（`voteTotals`、`verdictPlaces`、备注页排序/关联、`stats` 的 `Verdict` 过滤）——**不能按它们自己的 dataset_id 过滤**，那会漏掉从别的数据集写进来的票。
+- ⚠️ **迁移块必须收敛**：改主键的两段（老块改回三列 / 新块改 place_key），**老块先判「没有 place_key 列」**，否则每次启动来回翻；**新块判据用「主键列组合」而非「列在不在」**，半迁移的库才自愈。
+- ⚠️ **迁移块必须排在依赖表之后**：坐标键迁移块一度插在 `CREATE TABLE place_images` 之前，开发库无症（表早存在），**新库直接起不来**。只被 `TestOpenCreatesMissingDatabase` 抓到 —— **加迁移块后务必跑 `ROND_DSN=… go test ./internal/db/`**。
+
+## 二十一、合并执行 `internal/web/backup_merge.go`（2026-09-21 并入）
+
+- 顺序：地点 → 活动 → 标签 → 到访 → 位移/天气 → 重算聚合，全在**一个 `withTx`**，失败整体回滚。**不做删除**（删地点会级联删掉它的全部到访）。
+- **只有库里那套编号有效**：新行走 `nextSrcPK` 发新号 ⇒ `movements.from/to_visit_src`、`weather.visit_src` 必须写**库里的 src_pk**。
+- **位移/天气只随「这一轮新插入的到访」走**（`addedVisit`：至少一端是新行）；少了判断会把库里已有位移整份复制（实测 791 → 1547）。
+- **新行必须 `writeRawRow` 写 `entity_raw`**：下次比对靠那里的 UUID 认人，漏了幂等性立刻破。
+- 插天气前先**认领**「同一时刻、`visit_src IS NULL`」的记录（站内删到访就是这么置空的），否则多一份重复天气。
+- 冲突逐条选；页面用 `form=` 属性把散落各表的 radio/checkbox 关联到同一个（空）`<form id="merge-form">`。
+- **删除勾了才做，默认一个不删**（键是 `src_pk`）。顺序：到访 → 活动 → 地点；删到访要连 `movements`、`entity_raw` 一起清、并把 `weather.visit_src` 置空。**名下有到访的地点直接拒绝**（外键 `ON DELETE CASCADE`，真删会带走到访）。
+
+## 二十二、迷雾导入三段式 + 差异地图（2026-09-21 并入）
+
+- **别退回一步直写**：`POST /admin/fog/preview`（暂存 `<data_dir>/fog-staging/`，令牌 32 位 hex、TTL 2h）→ `GET /admin/fog/preview/{token}`（`fog.DiffBlocks` 现算、**不落库**）→ `POST /admin/fog?stash=…`。**带 stash 的是 urlencoded**（`PostFormValue` 可读 mode），**无 stash 是 multipart**（`readFogSnapshot`）；两条路都得留。
+- 差异页必须摆出：整体替换「会丢多少块/格/面积」+ 快照缺 `Model/~`、`Model/#` 层 —— 实测替换静默丢过 **1841 块 / 14%**。
+- 差异瓦片 `GET /admin/fog/preview/{token}/{z}/{x}/{y}?crs=…` → `fog.RenderDiffTile`（绿=新增 / 灰=两边都有 / 红=会丢）。**两条硬前提**：① 瓦片必须与底图同 `crs`（服务端逐块 WGS→GCJ 纠偏）；② 页面必须 `p.HasMap=true`，否则 layout 不引 Leaflet，脚本 `if(!window.L) return` **静默退出、控制台无报错**。精度两级：z≥14 逐格精确；更粗按块内多数类涂色（`dominantKind`，绘制序 both→gain→lost）。两边块集按 token 单槽缓存 10 分钟（`fogDiffSets`）。
+- **迷雾测试用 `conf/app-test.ini`（库 `rond_fog_test`）**：`fog_blocks` 是站点级、`LoadAll` 不分用户，跑开发库会污染真实迷雾。`fogIndex()` 只在 `sync.Once` 里跑一次 ⇒ 测试里清库/写库后必须手动 `LoadAll`（`fog_preview_test.go` 的 `reloadIndex`）。
+
+## 二十三、宽表窄屏「字段+值」堆叠（2026-09-21 并入）
+
+- 表加 **`class="tb tb-stack"`（类名成对，缺 `tb` 则 CSS 全不命中）**、非首格加 `data-label`（首格=主角不带；**表头为空的列不用**，如操作格）。
+- CSS 写在 `app.css` **末尾**，判据 **`@media (max-width:800px)`**（卡片内容宽≈视口−93、最宽表 min-width 700 ⇒ 793 才放得下；内边距变了要重算）。**别用 `@container`**（iOS<16/Chrome<105 整块失效）**也别退回 620**。
+- 堆叠态放开桌面 nowrap/宽度下限：行内表单 `min-width:var(--efw,280px)`（模板 inline `--efw`）、操作格 `td.ops{white-space:nowrap}`（`white-space` 会继承进表单顶破卡片）。**宽度别用行内 `style="min-width"` 写死**。
+- **宽表卡片不进 g2**（半宽时 1440 也横滑）。回归 `tb_stack_test.go` + `wide_table_layout_test.go`（通用判据：凡被 `.tw` 包住的表必须带 tb-stack；每条 tb-stack 规则都在 `max-width≥792` 的 @media 里；有 tb-stack 必须有 tb）。
+- 横滑是 `.tw` 内部滚的、**页面本身不溢出**，肉眼极难发现（2026-09-20 漏过一次）。
+
+## 二十四、活动 / 类别（分类字典）（2026-09-21 并入）
+
+- **活动是表（`activities`），类别不是**——类别只是 `places.poi_category` 字符串列 ⇒「改/删类别」只能是**按值批量 UPDATE 地点**（`poi_category=$to` / `=NULL`）。
+- **类别候选来源**：数据编辑页/照片页 = `SELECT poi_category, count(*) FROM places … GROUP BY 1`（只有真在用的才出现）；补全页 = **在用（标「（在用 N）」，按地点数降序）∪ 静态表**（`fillupCategories(inUse)`：真机用过的 12 种标「真机用过」+ 其余 18 种）。**加新页面/改候选照这个来**。
+- 「改名」和「合并」是**同一条 UPDATE**；类别**不预置空字典项**，「新增类别」= 地点行内编辑选「自定义…」。
+- 活动改名/删除/新增/合并：`/admin/edit/activity{,/update,/delete,/merge}`；类别：`/admin/edit/category/rename`、`/admin/edit/category/clear`。都返回 JSON。合并要把源的到访转过去**并把 `is_home/is_work` 抄成目标的**，删完 `pruneEntityRaw`。测试 `taxonomy_test.go`；页面卡片 `edit.html` 的 `data-card="taxonomy"`（唯一默认展开）。
+- ⚠️ **`ZCATEGORY_` 真机只有 `MKPOICategoryXxx` 枚举串**（实测 122 条全枚举、0 条非枚举）。**别说「真机也写中文」**（2026-09-19 误判、09-20 证伪）。库里中文类别（一般道路/彩票店/租车点/美食街）**全是站内写的**。这列导出**原样写回**（`managedCols`）⇒ 改任意串**不坏数据**，但 app 里**可能显示不出类别（未实测）**。想稳用 `MKPOICategoryXxx`。判「这行谁写的」：**站内新建行 `entity_raw.raw IS NULL`**。
+- **类别中文名 = 内置 `poiCategoryText`（42 条）+ 站点覆盖 `category_labels(value PK, 站点级)`**。取用一律 `categoryLabel(v, custom)`：自定义 > 内置 > `TrimPrefix(v,"MKPOICategory")`；`categoryLabelMissing` 只对「是 MKPOICategory* 但内置表没有」为真。⚠️ **显示名绝不写进 `places.poi_category`**（`TestCategoryLabelNeverTouchesValue`）。历史两张中文名表已合并、`poiName` 与模板函数 `catName`/`poiname` 已删——**模板里算不出显示名**，一律 Go 侧算好塞数据。
+- **`Missing`（类别缺名）必须同时看覆盖**：`categoryLabelMissing(v) && custom[v]==""`。
+- **写 `poi_category` 的两个入口都要过 `okEnum()` 提醒**（类别台账「改名」+ 地点行内编辑「自定义类别」）：不在内置枚举表就 confirm 并猜「你是不是想写 X」。
+- ⚠️ **改模板 JS 别用「shell heredoc + python」写 `\n`**：多转义一层 → 落到文件成真换行 → 单引号字符串含裸换行 → **整块 `<script>` 语法错误、交互全哑**，而模板解析测试照样通过。一律用 Edit 工具或 `chr(92)+'n'`。守卫 `inline_script_test.go`。**改完模板仍要用 CDP 确认「JS 报错」为空**。
+
+## 二十五、补全页交互（2026-09-21 并入）
+
+- 活动和类别**同款**：`select.fill-sel` + 末尾「其它（自己写）…」，选中后露出同名 `__custom` 文本框（后端 `act_`/`cat_<id>==__custom__` 时读 `<key>__custom`）。共用一套 CSS 类与脚本（`select.fill-sel` 一次遍历、`input[name$="__custom"]` 自动配对）——**加新字段照这个模板抄**。
+- **下拉必须留「其它（自己写）」出口**：纯 select 会把「列表里没有的新名字」堵死。**默认一律「不动」，绝不预选建议**（预选后点「用高德分析」整页重载，像被锁死）；批量采纳走「采纳本页建议」按钮。
+- 点「用高德分析」前把本页填的存 sessionStorage，回来恢复；提交时清掉。草稿恢复时对下拉**派发 `change`**，让「其它」文本框跟着露出。
+- 手工填的值补进同类下拉（标「新填：X」、带 `data-local`、插在建议之后真候选之前），存 `sessionStorage['rond-fillup-newopts']`。**重画候选前先留住本格已选中的新填值**。文本框监听**直接挂**（`input` 不冒泡）。
+
+## 二十六、导出包导不回真机时的排除顺序（2026-09-21 并入）
+
+① `tools/verify_export_structure.py rondbackup <原版> <导出>`（结构/不变量）；② `tools/verify_rondbackup.py`（逐字段）；③ **工具没覆盖、必须自己补三项**：**NOT NULL 违例**（`integrity_check`/`foreign_key_check` **都不查**，真出就是 Core Data 打不开）、`Z_METADATA.Z_PLIST`/`Z_UUID`/`Z_MODELCACHE.Z_CONTENT` 的**字节哈希**、**所有列**逐值比对；④ 时间戳末位差 ~0.1µs 是 **PG `timestamptz` 只有微秒精度**，属 ≤1ms 容差，**别当 bug 修**。
+- ⚠️ **新建行的「真机从不留空的列」不能写 NULL**：判据 =「基线里 100% 有值的列，新行也不许为空」。已知 `ZTRANSPORT.ZCOLOR_/ZICON_`（站点不维护方式表、从 `movements` 聚合 ⇒ 用户没选就空）。修的时候**只补新建行**（`!known[tbl][src_pk]`）。守卫 `export_placeholder_test.go`。
+- ⚠️ **`PRAGMA foreign_key_check` 在 rond 库里毫无意义**（SQLite 表**没有外键约束**），关系完整性必须自己按「关系列 → 目标表 Z_PK」扫悬空。已知 8 组：`ZRAWVISIT.{ZVISIT,ZLOCATION,ZACTIVITY}`、`ZSTAYSEGMENT.ZLOCATION`、`ZUSERPHOTO.ZVISIT_`、`ZVISITPHOTOFAVORITE.ZVISIT_`、`ZKEYWORD.ZACTIVITY_`、`ZPOICATEGORY.ZACTIVITY_`。典型场景：**站点删掉到访/地点/活动后，不托管的子表留悬空引用 ⇒ 真机拒收**（「备份恢复失败，你的当前数据未被更改」＝先校验、整体回滚）。`ZRAWVISIT` 失去到访时**删掉该行**。已进 `tools/verify_export_structure.py` 1.45 节 + `TestExportDropsOrphanedRawVisits`。
+
+## 二十七、其余散条（2026-09-21 并入）
+
+- 补全（`internal/web/fillup.go`）：补 `visits.activity_id`（活动挂在**到访**上）+ `places.poi_category`；**按地点批量**填该地点名下所有 `activity_id IS NULL` 的到访，否则同一地点在统计里分裂成两种活动。**只填空**（两条 UPDATE 各带 `AND … IS NULL` / `AND poi_category=`）。来源三层：本地词表（`fillup_rules.go`）→ 高德周边搜索（按坐标 `place/around`）→ 人工。规则「**词长优先 + 先掐掉括号里的地址**」；**单字关键词一律不要**（「山」「站」）。高德结果缓存 `fillupCache`，**查过不再重试**（含没查着的），批次跑几轮自然收敛。
+- `coords` 留档与判据见第五节；`/api/regeo` 返回 `street`/`township`。
+- 口径：**「累计停留」= Σ 各次到访时长**（`LEAST(COALESCE(duration_min,0),10080)`），不是首到末跨；筛选条类型计数必须用分面 `ActivityCounts` 且**清空 `ActivityIDs`**。
+- 404 三种别混：`placeHiddenPage`=403、`notFoundPage`=404、`guardPage`=404；瓦片/图片**故意纯文本 404**。
+- 导航横向溢出：`.nav-links` 可滑，脚本按 `scrollWidth-clientWidth-scrollLeft>2` 加/去 `.overflow-right`，CSS 用 `mask-image` 渐隐。
+- 窄屏折叠筛选卡（`layout.html` 的 `filters` 片段）：挂载点 `form.card.filters-card`+`#filters-fold`；CSS 只在末尾窄屏块；**脚本必须紧跟表单**（放末尾会闪一帧）；状态键 `rond-filters-fold`；收起只是 CSS 隐藏，控件照旧提交。回归 `filters_fold_test.go`。
+- 验收两段：`ROND_CLEAN_OUT=… go test ./internal/web/ -run TestMovementCleanExport` → `ROND_EXPORT=… go test ./internal/rond/ -run TestExportRoundtrip`；`go test -count=1 ./...` 要 **0 skip**。⚠️ 跑 `-p 1 ./internal/...` **别用新的 `ROND_CLEAN_OUT` 文件名**（`internal/rond` 字母序在 `web` 前 ⇒ 导出文件还没生成 ⇒ 4 个测试一起红，假警报）。
+- 纪律：生产只走 IPv4（`curl -4`）、303 不跟随；`gofmt -l` 会被 CRLF 假警（python 回写用二进制模式）；**同一文件绝不并行发多条 Edit**；CDP 探针点击写成轮询，新回归测试做变异验证。
+- `verify_*` 工具与验收脚本见技能 `rond-backup-parse`；量法探针见技能 `rond-web-verify`。
+
+## 二十八、安全 / 性能 / 验收补充规矩（2026-09-21~22 并入）
+
+> 这一节是原 `MEMORY.md` 索引里「违反会静默出 bug」那批判据的完整表述（索引为控制注入长度已压缩，正文放这）。
+
+### A. 落库与导出补充
+- 建地点+到访必须**同一事务**，校验先于落库。
+- 新行号只走 `nextSrcPK`+`clearStaleRaw`（取「库列 / `coredata_meta` / `entity_raw.raw->>'Z_PK'`」三处最大 +1）；**禁 `MAX(src_pk)+1`**（撞号会继承对方 rond 列）。守卫 `seq_test.go`。
+- 行程派生列必须与导入一致（`validateMovementForm`）：`from/to_place_id`（**留空=绕过区域过滤直接露给访客**）、`distance_km`、`duration_min`。
+- 表单精度低于真值（分钟 / `%.6f`）⇒ 只改备注也会**静默改时间坐标**；同精度就沿用库里那份（`keepStoredTime`/`resolveMovementEnd`/`keepStoredCoord`，行程/到访/地点三条路）。改到访时间要 `clampVisitMovements` 夹行程（窗口空则 `end=start+1min`，不能 NULL）。
+- `src_pk` 只在单数据集内有效（重导 Z_PK 100% 变）；跨备份稳定键＝到访 `ZIDENTIFIER_`/活动 `ZUID_`，其余靠名称+坐标。`contentHash` **别用** `SrcPK|Arrival`（重导即建新数据集 ⇒ 备注投票失联）。
+- 坐标留档 `coord_source/coord_sys/src_lat/src_lon`；不变式「显示坐标 == 按 coord_sys 换算 src」；换算只走 geo 包与 `/api/coords`；高德 POI 即 GCJ-02。
+- **脏备份守卫在 `parse`**：`appleTime` 对 NaN/±Inf 或秒数超 `[1970,2100)` 返 nil——**Go 超范围浮点转 int64 是回绕不是饱和**（`NaN/±Inf/1e30→2001`、`1e12→2123`，回绕还可能又落合法区间 ⇒ **先卡输入秒数再乘**）；nil 接「装不下就 skip+留档」。`validCoord` 把非法坐标归 `(0,0)`。`rond/dirty_test.go`+`ingest/dirty_import_test.go`。
+- 聚合刷新（`saveVisitTags`/`refreshPlaceAgg`/`refreshDatasetAgg`/`activityFlags`）**必须返回 error**：事务内上抛、事务外 `logAggFailure`（只记日志、不放错给用户）。`agg_error_test.go`。
+- 收藏切换走 `UPDATE … RETURNING bookmarked` 一条语句（分两步回读，失败会误报「已取消」）。`visit_bookmark_test.go`。
+- `writeRawRow` 留档写入**必须上抛错误**让 `withTx` 回滚；只 log 后 `return nil` ⇒ 合并照常提交、原始列永久缺失。
+- rows 循环收尾必须 `drainRows(rows, what)`（先 `Err()` 再 `Close()`）：只 Close ⇒ 半张表当完整交出。`parse_rows_test.go`。
+
+### B. 安全 / 跳转
+- **跳转唯一判据 `safeInternalPath`**（`view.go`）：挡 `//evil.com`、`/\evil.com`、控制字符、引号尖括号。`?back=`/表单 `next`/投票后/登录后四处共用。`redirect_target_test.go`（含禁弱判据的静态扫描）。
+- cookie 的 `Secure` 必须**按请求判断**（`cookieSecure`：`r.TLS` 或 `X-Forwarded-Proto` 首段）：无条件打会让本机 http 调试与 CDP 谁都登不进。
+- **CSRF 只加同源 Origin/Referer 守卫**（`csrf.go`，不动模板）：仅写方法、`Origin: null` 拒、两头都缺则放行。前提是反代传原始 Host（改写需带 `X-Forwarded-Host`），否则本站表单也 403。
+- `clientIP` 只认 `X-Forwarded-For` **最后一段**（首段可伪造；nginx 把真对端补在最后），须 `netip.ParseAddr` 通过否则退 `RemoteAddr`。⚠️ 投票匿名身份 = `hash(cookie,IP)` ⇒ 改取法即改身份。
+- **GPX 按属主收口**：`/api/gpx`（无鉴权）先取生效数据集 `user_id`（`is_active AND status='done'` 最近一份）取不到返空，再 `WHERE user_id=$1`；`adminGpxDelete` 用 `DELETE … WHERE id=$1 AND user_id=$2` **且查 `RowsAffected()==0`**。`gpx_owner_test.go`（静态扫描**只认反引号里的 SQL**）。
+- **下载名走 `downloadDisposition`**：`filename=` ASCII 兜底（`asciiSafe`）＋ `filename*=UTF-8''`（`rfc5987Escape` 只放行 `A-Za-z0-9.-_~`）。四个出口（geojson/gpx/rondbackup/fwss）都经此。`download_name_test.go`。
+- **两步验证两闸都要**：`login2FA` 接 `loginGuard`（键 `"2fa:"+用户名`，与口令环分开计数）；`CodeReplay.Consume(uid,code)` 保证同码在 ±1 步窗口（`replayTTL=90s`）内只换一会话；重放不计入爆破计数。`twofa_guard_test.go`+`code_replay_test.go`。
+
+### C. 后端 / 性能
+- `findSourceArchive` **先按 `size_bytes` 筛再算 sha256**（`pickArchiveBySha`）；`sha=''` 退化路径不筛。
+- PG 建连接贵 ⇒ 池 8/8 + `db.WarmUp(d,6)`；页面内独立查询走 `runJobs`(≤6)；别用 `fog.Index.All()`；改遮罩必须 `masks.invalidate()`+`fogTiles.clear()`。
+- `placeCols` 6 个相关子查询**必须带 `vN.dataset_id=p.dataset_id`**（索引 `(dataset_id,place_id)`；实测 Index Searches 2371→366、53→31ms）。`stats/placecols_test.go`（**按子查询分段**判，v2 出现 3 次）。
+- 收 multipart 的 handler 直接 `ParseMultipartForm`（`r.ParseForm()` 毒化字段）；urlencoded 调用方 `errors.Is(err, ErrNotMultipart)` 放过。**之前必须 `r.Body = http.MaxBytesReader(...)`**（`maxMemory` 只限内存，超出无上限落临时文件）。五个上传口：备份/GPX/迷雾/照片/**地点图片**。
+- 包了 `ResponseWriter` 必须实现 **`Unwrap()`**（`gzipWriter`、`headerSent` 已补）：否则 `NewResponseController` 拿不到 `SetWriteDeadline`/`Flush`/`Hijack`。导出路由靠它放宽写死线到 10 分钟。
+- **`recover` 写错误页前须看「首部是否已提交」**（`headerSent`）：写了半页才 panic 再 `http.Error` 会二次 WriteHeader 且错误体接半页后。`server_error_test.go`。
+- **上传 handler「先落盘再解析」时，落盘后每条失败路径都要删半成品**（`adminUpload`：`keepStored`+`defer os.Remove`，只「新导入成功」保留——上传件是导出基线源，`findSourceArchive` 按 `datasets.sha256` 在 uploads 找它）。`upload_cleanup_test.go`（断言前先从 Location 确认真走到写盘后失败分支，否则空过）。
+- **批量勾选操作必须走 `*Bulk` + `p.src_pk = ANY($3::bigint[])`**（pgx stdlib 直接吃 `[]int64`，不必 `pq.Array`，也不用手写 `IN` 占位符）：逐条循环是 N 次往返，1C1G 上体感明显。**全局内存缓存必须带上限**（`fillupCache` 用 FIFO 淘汰最旧 1/4，覆盖写同一键不重复记账）。守卫 `admin_notes_bulk_test.go`（静态扫描「不许退回逐条循环」+端到端「每步断言全部生效」）+`fillup_cache_test.go`。
+- **同一查询别在一个 handler 里查两遍**（统计页 `Weekday` 曾在 `runJobs` 的 job 之外又同步查一次，白跑一次）；守卫 `stats_weekday_once_test.go`。
+- 加 `setting` 字段改三处：`Default()`/`Load()`/`settingsSubmit()`。
+- `fogIndexV` 是 `atomic.Pointer[fog.Index]`（`fogIndex()` Load / `fogResetIndex()` Store）：普通指针会成真 data race。`fog_race_test.go`（需 `-race`）。
+- 瓦片编号走 `tileDigits`（补前导 0）：`tileName` 的 M2 尾缀起点 `len(s)-2` 在单数字编号时为 -1 ⇒ panic；解码守卫 `len(name)<8`（旧 `<7` 放行 7 字节伪造名，md5 可算 ⇒ 上传 .fwss 即触发）。
+
+### D. 前端补充
+- **异步回包一律发序号作废**：勾图层→请求在飞→取消→回包照画 ⇒ 开关关着图层还在画（CDP 实测少守卫多画 756 条、`errs=0`）。`var seq=++xxxSeq;` 须在 `if(!on) return;` **之前**，回包首行 `if(seq!==xxxSeq) return;`，`.then`/`.catch` 都挡。`map_async_cancel_test.go`。
+- ⚠️ 改模板 JS 别用「heredoc+python」写 `\n`（多转义→真换行→整块 `<script>` 语法错、交互全哑而模板测试照过）；一律用 Edit。`inline_script_test.go`；改完 CDP 确认 JS 报错为空。
+- 窄屏覆盖必须写 `app.css` 末尾那块（靠后赢）；被 `:not()` 排除的 file/color 单独给字号；触控 44px、checkbox 20px。
+- 宽表窄屏堆叠：`class="tb tb-stack"`（**类名成对，缺 `tb` 全不命中**）、非首格 `data-label`；`@media (max-width:800px)`；别用 `@container` / 别退回 620。`tb_stack_test.go`+`wide_table_layout_test.go`。
+- 加表格列：`PlaceCols`/`scanPlace` **成对**、新列**追加最后**；CJK 挤换行只抬该表 `min-width`。
+- 访客页与站长页 DOM 不同：只在访客复现的 bug 先「无 cookie 原始 HTML vs CDP 后 DOM」定性；别让 JS 从 `{{if .IsAdmin}}` 块读 `id`。
+- ES5 风格 JS 里访问 `window.localStorage` / `sessionStorage` 一律包 try（可走 `lsGet`/`lsSet` 包装）——隐私模式下裸访问会抛异常，异常冒出去会打断整段脚本（地图白屏 / 下拉哑掉），而模板测试照过。守卫 `TestMapLocalStorageGoesThroughGuard`、`TestFillupSessionStorageIsGuarded`；`previewQueue[id]` 必须在 `if (live)` **之前**排队，回调里消费后删除，不能只在「已初始化」分支保留 points。
+
+### E. 口径 / 404 / 验收
+- **区域判定必须「两端各过一遍再 AND」**，与 `regionSQL` 同款：`apiTrack`=`regionSQL("pf")+regionSQL("pt")`；`movementsWhere` 也必须两端各判（**不能** `EXISTS(... IN (from,to) ...)` 任一端命中——黑名单下等价、白名单下分叉 ⇒「图层画不出、总里程却算进去」）。比较列一律 `COALESCE(col,'')=$n`（`district` 常 NULL ⇒ `NULL IN (...)` 得 NULL、黑名单 `NOT` 跟着 NULL ⇒ 整行误删）。对账 `internal/web/region_consistency_test.go`。
+- 「累计停留」= **Σ 各次到访时长**（`LEAST(COALESCE(duration_min,0),10080)`），非首到末跨；筛选条类型计数用分面 `ActivityCounts` 且**清空 `ActivityIDs`**。
+- **`Filter.Verdict` 全域一致**：verdict 条件下沉到 `visitsWhere`（`place_key` 坐标键 `EXISTS(place_votes…)`），`Cities`/`ActivityCounts`/`ActivityStats` 跟着走；`hasVisitConds()` 要加 `|| f.Verdict != 0`。`place_key` 抽 `placeKeyExpr(alias)`。`stats/verdict_scope_test.go`（fixture 自建封闭数据集、**不设 is_active** 免串味）。
+- 404 三种别混：`placeHiddenPage`=403、`notFoundPage`=404、`guardPage`=404；瓦片/图片故意纯文本 404。
+- 验收四件套环境变量：`ROND_TEST_CONF`+`ROND_SRC`（绝对路径）+`FOG_SRC`+`ROND_DSN`（**须指 `rond_fog_test`**；指 `postgres` ⇒ `TestChangeUsername` 报「users 不存在」+6 个 stats skip）。`go test -count=1 -v ./...` 要 **0 fail / 0 skip**。
+- ⚠️ **「全绿」的假信号规模**（2026-09-24 实测）：不设四件套跑 `./internal/web/ ./internal/rond/ ./internal/stats/` ⇒ 三个包全 `ok`、`exit=0`，但 **95 PASS / 86 SKIP**（原始报告基线是 62 SKIP，随回归守卫增多而变大）。**永远 `-v` 数 SKIP**。
+- 📊 稳定性基线（2026-09-24 更正，见 **§二十九**）：**口径必须用 `-coverpkg=./internal/...`**。此前记的「加权 ≈51%；rond 38.8% / stats 62.2%」是 `-cover` 假读数——它只统计「测试文件所在那个包」自己的执行，而 rond 的导出、geo/notes/votes 都由 `internal/web` 驱动。真值：`rond 82.2%`、`geo 92.9%`、`stats 83.7%`、`web 53.2%`、`db 53.4%`、`fog 65.9%`、`auth 73.6%`、`exif 69.7%`、`setting 92.5%`、`captcha 90.6%`、**项目合计 62.3%**；`gpx` 曾真报 0%（整包零测试，已补到 96.0%）。**无 CI / Makefile / linter**，0-skip 验收靠 `scripts/verify.sh`（别再靠人记环境变量）。
+- ⚠️ 两个「假绿」坑：①`newMovementFixture` 缺 `ROND_SRC` 就 `t.Skip` 而结果仍 `ok`；②往共用测试库 `Import`（切 `is_active`）会让 `internal/stats` 用例假 skip（夹具 `SELECT id FROM datasets WHERE is_active LIMIT 1`，**无 user 过滤**）⇒ 必须用**专用库**（`url.Parse(ROND_DSN)` 加后缀、`db.Open` 自建），且 `t.Cleanup` 在测试自己的 `defer` **之后**才跑（`defer d.Close()`+Cleanup 删数据 = 连接已关、静默失败）。
+- 静态守卫不要用相对路径读文件，走 `moduleRoot(t)`/`pkgFile(t,name)`；`?` 占位符按 SQL 出现顺序绑定；`-race` 需 `~/scoop/apps/mingw/current/bin` 在 PATH。
+- 纪律：生产只走 IPv4（`curl -4`）、303 不跟随；`gofmt -l` 会被 CRLF 假警；**同一文件绝不并行发多条 Edit**；新回归测试要做**变异验证**（注入 bug→确认红且理由正确→还原→确认绿）。
+
+## 二十九、覆盖率口径 / 死代码 / 关键页冒烟（2026-09-24 并入）
+
+### A. 覆盖率：先确认口径，再看数字
+- **`go test -cover` 只统计「测试文件所在那个包」自己的执行。** 本项目大量代码被别的包驱动
+  （`rond` 的 `export.go` 由 `internal/web` 的 `TestMovementCleanExport` 跑；`geo`/`notes`/`votes` 由 `web`/`stats`），
+  按 `-cover` 量这些包一律**假报 0%**。判据：**换个口径数字会翻倍以上 ⇒ 先怀疑口径，别急着补测试**。
+  正确用法：`go test -coverpkg=./internal/... -coverprofile=… ./...`；`verify.sh --cover` 已固化。
+- ⚠️ **解析 profile 必须按 `(文件,行段)` 取 max，不能求和**：`-coverpkg` 下每个测试二进制
+  都给同一段代码写一条记录（一条 `count=0`、一条 `count>0`），求和 = 语句数乘份数 ⇒ 每包都像只有 `1/N`
+  （踩过：`web` 印成 4.4%，真值 53.2%）。`go tool cover -func` 会自己合并，优先用它。
+- 补测试只补「**线上会走到、且一条用例都没有**」的路径。`nil` 分支与
+  `if err != nil { return err }` 一律不追——那是覆盖率灌水。抓到的真缺口：`BuildMergePlan` 的
+  地点/活动冲突（`placePick`/`activityPick` 长期 0%）、`internal/gpx` 整包 0/61。
+
+### B. 死代码：删，别给它写测试
+- 删前**必须全仓核查、且要连模板一起搜**——Go 模板能调方法（`{{.Counts.Total}}`），只搜 `.go` 会漏。
+- 已删：`rond.Counts.Total()`（模板里的 `.Total` 都是各页 view 自己的字段）、`gpx.Track.BBox()`
+  （`handlers_topics.go` 的 `fitBBox` 是无关变量）。**给死代码补用例 = 把死代码固化，比不管更糟。**
+- 「实测否证」也要写下来：`gpx.haversine` 缺 `geo.Haversine` 那道 `math.Min(1,…)` 夹子，
+  本以为会出 NaN；实测对跖点 `h` 最多到 `1+2^-52`，`sqrt(1+2^-52)` 回舍成正好 `1.0`，
+  `asin(1.0)=π/2` ⇒ **够不着，不改代码**，只留一条用例钉住该性质并在注释里写明是实测结论。
+  另有三条 haversine 公式、两个半径（6371.0 / 6371.0088），差 0.20 m/146 km，属口径不统一、不影响功能。
+
+### C. 关键页冒烟 `scripts/smoke.py`（模板测试过了 ≠ 页面能看）
+- 模板守卫只证明「模板里有那段文字」；白屏、JS 抛错、内容区被压成 0 高，**模板测试全是绿的**。
+- 三种口径：**站长浏览器**（200 + 落点路径 + 内容区尺寸非 0 + 零 JS 报错）、**访客纯 HTTP**
+  （公开页 200；后台页必须 **303 跳登录**，`urllib` 不跟随跳转即可，比开 Chrome 快一个数量级）、
+  **访客浏览器抽检**（只在访客侧复现的 bug 藏这里）。`verify.sh --smoke`（只跑）/`--all`（全量+冒烟）。
+- ⚠️ **关键区块不能取 `nav.nav`**：它在 `layout.html` 里，内容块整个没渲染它照样在，等于没断言。
+  地图页取地图容器（`#home-map`/`#map`/`#place-map`），其余取首个 `.card`。
+- ⚠️ **用 `.card` 不要 `div.card`**：专题卡片是 `<a class="card topic-card">`，写 `div.card` 一个都选不中，
+  而 **`querySelector` 返回 null 时尺寸也是 0**，打印出来跟「元素被压成 0 宽」一模一样（踩过，差点去查布局）。
+  日志必须把「没选中」与「选中了但 0×0」分开印。
+- ⚠️ **`--min-body` 只能兜「整页空白」**：专题列表正文天生 166 字（就一张卡片），阈值定 200 会假红。
+  公开页受总开关控制 ⇒ 先探测 `/places` 的访客状态码再定同类页期望值。
+- ⚠️ `verify.sh` 给 Windows 版 python 传脚本路径要用 **`$ABS`（`C:\...`）**，传 `$ROOT`（`/c/...`）
+  会被拼成 `C:\c\...` 报 `No such file`。`site_cdp.py` 不报 HTTP 状态 ⇒ 用
+  `performance.getEntriesByType('navigation')[0].responseStatus`（给的是**最终文档**状态，
+  所以「访客访问后台必须跳登录」要看 `location.pathname` 或直接用 `urllib`）。
+- 变异验证手法：往公开模板塞 `<script>throw new Error('…')</script>`，`debug=true` 下模板热加载
+  **不用重启**，冒烟立刻红在「JS 报错」而**状态码/内容区尺寸全正常** ⇒ 证明没这条断言就会放过它。
+
+### D. 一键验收的完整形态（`scripts/verify.sh`）
+`--fast`（gofmt/vet/build）｜`--race`｜`--cover`（`-coverpkg` + 按包表）｜`--smoke`（只跑冒烟）｜
+`--all`（全量+冒烟）｜`--pkg`/`--run` 定点。默认全量要 **0 FAIL / 0 SKIP**（SKIP 计数含子测试）。
+2026-09-24 收尾实测：**284 PASS / 0 FAIL / 0 SKIP**，冒烟 16 页全绿，项目覆盖率 62.3%。
+
+## 三十、「重复到访」清理做进编辑页（2026-09-29）
+
+### A. 判定与落点
+- 实现：`internal/web/edit_duplicates.go`（读基线库 + 检出 + `cleanDuplicateVisits`）、视图字段 `view.go` 的 `EditData.DupVisits/DupUnavailable`、
+  装配在 `handlers_edit.go` 的 `editPage`（`ensureBaseline` 之后）、路由 `POST /admin/edit/dup/clean`、卡片在 `templates/admin/edit.html` 到访记录卡片之前。
+- 判定与 `tools/dedup_site_visits.py` **同一套语义**：参照 = `s.baselinePath(ds.ID)`（就是那份手机包，实测 9.sqlite 与 20260914_151649.rondbackup 的 ZVISIT 完全一致）；
+  **UUID 是前提**——站点到访的 UUID 不在基线里、且基线里有一条「到达时间 + 地点」完全相同的才算副本。只按时间+地点判会把手机包自身合法的成对条目一起删掉。
+- 「时间 + 地点」折成 `round(apple秒*1000) + "|" + 名称/坐标(%.6f|%.6f)`；两侧用同一个 `dupKey`，先到先得（Python 的 `setdefault`），顺序一致结果才一致。
+- 读基线库：`sql.Open("sqlite", "file:…?_pragma=query_only(1)")`。驱动**不支持 mode=ro**，但基线是 VACUUM INTO 的产物（rollback journal 模式），只 SELECT 不落旁写文件；`internal/web` 不必自己 import 驱动（`rond` 里已 `_ "modernc.org/sqlite"`，blank import 随包 init）。
+- 基线不可用 / **跟本站 UUID 一条都对不上**（`matched == 0`）⇒ 只给灰字说明、不给按钮。缺了这道闸，拿别人的手机包当参照会把全站到访都算成副本。
+
+### B. 与工具刻意不同的一处：改指合并标记只动「本来就有的那个键」
+- 工具用 `jsonb_set(..., '{ZMERGEDTO}', …, true)` 把两个键都写成保留项 ⇒ 「只有 ZPARENT 指向副本」的行会**凭空长出一个 ZMERGEDTO**
+  （真机里那是「这条已并入别处」，会白丢一条记录）。实测基线 956 条 ZVISIT 留档都带着这两个键，但只有 54 / 10 条**有值**，凭空补键很容易踩到。
+- 所以 Go 侧逐键更新、`create_if_missing=false`；`raw->>$4 = $2` 必须**按字符串比**（拿数字比报「text = integer 操作符不存在」，整批清理会失败）。`TestDupCleanKeepsMergeKeysAsIs` 静态守这两条。
+
+### C. 顺带修掉：站点补录天气会让**整包导出失败**（`rond/export.go` 的 `queryWeather`）
+- `is_daylight` 被扫进裸 `bool`，而站点「新增天气」(`editWeatherCreate`) 不写这一列 ⇒ NULL ⇒ `sql: Scan error … couldn't convert <nil> into type bool`，导出整包 303 + err。
+- 修法：`COALESCE(is_daylight,false)`，与导入侧同口径（`parse.go` 读真机包用的就是 `COALESCE(ZISDAYLIGHT,0)`）。真机 557/557 都有值 ⇒ 兜 0 而不是 NULL。
+
+### D. ⚠️ 时间线上「看着重复」还有**另一类**：手机自带的 ZMERGEDTO / ZPARENT 行（**尚未处理，等方案**）
+- 现象（2026-09-04 家 20:21 两条）：`#422`(20:21→01:52, 331min, `ZMERGEDTO=#562`) 与 `#562`(20:21→15:37, 1156min)。两行 UUID **都在手机包里**，是手机自己「已并入」的碎片行——
+  真机 UI 只显示 `#562`，本站两条都显示，日停留也被重复计入（那天「1天12小时」里 5h31m 是重复的：`TimelineDay.Dwell` 就是当天各行 `DurationMin` 之和）。
+- **不能删**：导出要靠它告诉 rond「这次合并发生过」；本卡片的 UUID 前提也天然把它们排除在外（删了就是毁手机自己的记录）。
+- 规模（数据集 9）：54 条 `ZMERGEDTO` 非空、10 条 `ZPARENT` 非空，其中 26 条并入行与原件**到达时间完全相同**。
+  `ZPARENT` 的形状是「子段拼成父段」：`#64`(11:35→14:21) + `#133`(09:01→11:35) = 父 `#374`(09:01→14:21)。
+- 洞在哪：全站（`internal/web`、`internal/stats`）**只有 edit_duplicates.go 提到过这两个字段**，没有任何查询识别它们。
+- 收口点（真修的话）：`stats.Filter.visitsWhere`（时间线/首页/统计/城市/省份/活动/星期/地点列的公共出口）+ `movementsWhere`（memory 铁律：两套 where 都要加）
+  + 三处材料化聚合（`ingest.Import`、`refreshPlaceAgg`/`refreshDatasetAgg`、`backup_merge`），否则列表与计数会不一致。两条路：加派生列（快，要迁移）或 where 里 `NOT EXISTS` 子查询（无迁移，稍慢）。
+- 先例：`parse.go` 读真机包时对这两列没有任何处理 ⇒ 导入侧也没过滤，所以这不是「某一处漏判」，是口径从没建过。
+
+### E. 测试/取证手法（这一轮踩到的新坑）
+- ⚠️ **相对计数断言会假绿**：`len(pairs) != len(before)+N` 在「把前提删掉导致 before 一起膨胀」的变异下自洽（实测 0 → 822，断言照样过）。
+  必须补**定义性不变量**：副本的 UUID 一定不在基线里、保留项的 UUID 一定在。变异验证要专门挑这种「让基准值一起变」的改法。
+- ⚠️ **核对导出包不能按留档里的 UUID 找行**：站点侧新建的行（副本就是）导出时会被补上本站派生的确定性 UUID（`coreDataUUID`/uuidV5 表名+src_pk），
+  留档那个 UUID 根本不会写进包。要按「时间 + 地点」或整包条数差分来断言。
+- 夹具复用 `newMovementFixture`（真实导入 + 真实基线），造副本时**照抄原件那一行**再换 `Z_PK`/`ZIDENTIFIER_`，列形状才和真实副本一致。
+- ⚠️ **`render` 是流式直写**：模板执行到一半出错也只记日志、状态码照样 200、body 截断 ⇒ 断言只看 `code==200` 等于没测。
+  卡片之后的字（`全部保留` 在 `{{.EditLink}}` 之后）、以及末尾 `</html>` 都要断。
+
+### F. 全量验收的环境前置（2026-09-29 卡了一小时，先做这两件事）
+- **先 `VACUUM (FULL, ANALYZE)`**：`rond_fog_test` 跑几十轮全量后死元组能到 **3.3GB**（`entity_raw` 2.2GB），
+  级联 `DELETE FROM users` 秒变 IO 爬虫 ⇒ 全量跑 30 分钟跑不完（看着像 hang：测试进程 CPU 20 秒纹丝不动）。
+  清完 **3311MB → 16MB**，全量 **5m49s** 跑完。
+- **先确保库里有生效数据集**（`is_active`）：`internal/stats` 的 `setup()` 取不到就 `t.Skipf("没有生效数据集")`，
+  6 个对照用例一起假 skip。本次 `UPDATE datasets SET is_active=(id=1)` 之后才 0 skip。
+- ⚠️ 验收跑着时别并发跑定点测试（同一个库）；中途 kill 测试进程会留下孤儿 e2e 数据集（fixture 只在正常退出时清理），
+  下次 `purgeE2EUsers` 删除它时又赶上膨胀 ⇒ 更慢。
+- 结果口径：**PASS=305 / FAIL=0 / SKIP=0**（基线 297 + 重复到访 4 个 + 收口 3 个 + 城市聚合 1 个用例）；三个提交 `152af81` / `4597047` / `3d03aae` 均已推到 origin/master，推送后复测过。
+
+### G. 已并入 / 子段到访在读的一侧收口（2026-09-29 当天完成）
+用户报「时间线上出现重复」（09-04 家 20:21 两条）：其中一条的留档带 `ZMERGEDTO`——那是**手机自己标了
+「已并入别处」的碎片行**，app 只显示被并入的那条。**不能删**（导出要靠它认这次合并发生过），
+所以只在读的一侧收口。判据唯一一份：`stats.SoloVisitSQL(alias)`。
+
+- **收口的落点**（改一处要连带改的清单，漏一个就是「数字自相矛盾」）：
+  `stats.visitConds(off, solo)` ← `visitsWhere` 是 solo 版，覆盖时间线/首页/统计/城市/省份/活动/星期/地点列；
+  `stats.VisitsByPlace`、`stats.Bookmarked`（这两处自建 where，不走 visitsWhere）；`stats.placeCols` 的 v2/v3/v4 子查询；
+  `handlers_public.go` 的 firstArrivalCities + extremePlace；`handlers_topics.go` 的专题（外层 + 2 处子查询 + 天数）；
+  三处聚合的 `visit_count` / `dwell_minutes`（`ingest` 回填、`refreshPlaceAgg`、`recountPlaces`）；`schema.sql` 一段幂等回填。
+- ⚠️ **天气与位移不收口**（`solo=false`）：那几小时、那段路真实发生过（数据集 9 有 12 条天气、5 条位移挂在被并入的行上）。
+  `TestWeatherStatsRespectsFilter` / `TestVisitSideFiltersApplyToMovements` 钉的就是这条——一开始我让它俩也继承了判据，两个用例立刻红。
+- **导出侧一个字节不动**：rond 只读 `places.last_visit_at`（保持全量），压根不读 visit_count / dwell_minutes；
+  静态守卫 `TestSoloVisitCondSharedAndOffTheExport` 钉住「export.go / backup_diff.go 不许出现 SoloVisitSQL」，
+  行为上由 `TestHiddenVisitStaysInExportButLeavesReads` 钉住（标记后导出，包里那行还在、编号与 ZMERGEDTO 都对）。
+- 展示侧兜底：`placeCols` 把 first/last_visit_at 包在 `CASE WHEN p.visit_count > 0 THEN ... END` 里，
+  否则「到访数按访客口径、日期按全量」会凑出「0 次却有最近到访」（数据集 9 实测 4 个地点）。
+- ⚠️ **ingest 的回填必须排在 `insertEntityRaw` 之后**：判据要读 entity_raw，留档还没写盘时每一行都被当成独立到访
+  （实测整整多算一个「已并入」的量）。这个坑是新写的用例抓出来的，不是看出来的。
+- 实测（数据集 9）：places 到访数合计 **1001 → 937**（= 去掉 64 条），停留 **249769 → 222399 分**。
+- 代价（EXPLAIN ANALYZE，时间线那条查询）：0.35ms → **3.5ms**（42 次 entity_raw 主键探测），Planning 3.6 → 6.4ms（SQL 文本变长）。
+  真嫌慢就改派生列（导入/合并时写 `visits.solo`）：查询回落到原样，判据更集中，代价是加列 + 重算。
+- 边界（都记着，问起来能答）：管理端「地点补全」页、`notes` 的备注汇总、`backup_diff/merge` 一律**全量**；
+  `datasets.visit_count` 是后台口径（全量，与时间线会差 64）；城市统计的 `max(p.last_visit_at)` 仍取列值。
+
+### I. 城市聚合（地图城市圈气泡）的既有口径错误（2026-09-29 审阅时发现并修）
+- `/api/cities`（`apiCityAgg`）原来把聚合打在 `places ⋈ visits` 上：`sum(p.visit_count)` / `sum(p.dwell_minutes)`
+  会按该地点的到访条数重复累加、`count(*)` 被当成「地点数」显示。实测最大城市显示
+  「到访 72661 次 · 568 个地点」，真值 568 次 / 86 个地点（差 128 倍）。
+- 修法：改成两级聚合——内层按 `p.id` GROUP BY 出每个地点的 visits/dwell，外层再按城市 `sum/count/min/max`。
+  顺带补上 `stats.SoloVisitSQL("v")`（与其它访客口径一致）。`ORDER BY 5`（城市到访数）与 Scan 列序不变。
+- 回归：`city_agg_test.go`（手写同口径 SQL 对账 + 「地点数不可能多于到访数」的不变量）；变异验证：把
+  `sum(pa.visits)` 改成 `*2` 立刻红。**这个 bug 是既有的，与「已并入」收口无关**，只是同一次审阅里发现。
+
+### M. ⚠️ `ZLOCATION.ZISOCOUNTRYCODE` 保持 NULL，别「美化」成空串（2026-09-30 复查，差点重犯）
+- 真机包自己那列会写空串（09-29v2：CN 410 + `''` 23），但**导入侧不接受空串**：09-29 做过真机对照实验
+  （同一份包、同一台设备，唯一差异这一列）——`''` → 「备份恢复失败」；`NULL` → 能导入（commit `d5e96ed`）。
+- 所以「空值画像」判据在这里要留个例外：参照里 0 NULL 而导出里有 NULL **也不算违规**。
+  同类教训：真机自己写出来的形状不代表它能吃回去。
+- 顺带记：2026-09-30 生产导出被拒收这一次，把技能里记的全部判据都跑了一遍仍没定位到形状违规
+  （打包层 / 骨架 / 空值 / 关系 / 类型 / OPT / UUID / 时间 / 文件头全过）；后续结论补在这一节。
+
+### L. 一次「功能对、就是慢」的性能回归与定位手法（2026-09-30）
+- 症状：整套验收从 6 分钟变成 20+ 分钟；最慢的 4 个用例（309s / 274s / 226s / 115s，占了全套 55%）都是
+  「渲染若干页面」的布局用例（`TestWideTableCardsAreFullWidth` / `TestStackedTablesHaveLabels` /
+  `TestFiltersFoldHook` / `TestVisitorPagesWithRegionFilter`），**不是**夹具/导出类。
+- 定位手法（按有效性排序）：
+  1. **写一个临时的「逐页计时探针」**（渲染 7~8 个关键页并打印 ms）——一眼看出是 /（44s）与 /places（70s）；
+  2. **变异对照**：把可疑判据临时改成恒真再跑同一个探针（70s → 0.3s ⇒ 就是它）；
+  3. **CPU profile**：`-cpuprofile` 显示 135 秒里只用了 3 秒 CPU ⇒ 进程在**等**，不是算
+     （排除模板渲染/Go 逻辑，指向「大量往返 / 逐行取大字段」）；
+  4. 反例：孤立的 `EXPLAIN ANALYZE` **会骗人**（同一条判据 12~38ms），因为它只有 40 行、不是整页的量级。
+- 根因：判据 `raw->>'ZMERGEDTO' IS NOT NULL OR raw->>'ZPARENT' IS NOT NULL` 打在 `entity_raw.raw` 上，
+  而 raw 是**整行 Core Data JSON（TOAST）**——每行探针都要取回+解析。
+- 修法（两层）：派生列 `visits.is_merged`（读侧只看布尔）+ 部分索引 `idx_entity_raw_visit_flags`
+  （只索引真带标记的那几十行，给「从留档重算」的写入路径用）。
+- 防回归：`page_render_budget_test.go` 给 7 个关键页卡 10 秒上限的**灾难探测器**
+  （「功能全对、只是慢」这种退化，之前没有任何用例会红——模板测试、快照、静态守卫都照过）。
+
+### K. 「补录行被合并回来」造成的重复（2026-09-30 修，与「已并入」不是一类）
+- 现象：生产时间线上成对出现**到达时间、离开时间、停留时长全都一样**的两条（一屏 53 对）。
+  与 09-04 那种「离开时间不同」的已并入行不同——用 `ZMERGEDTO`/`ZPARENT` 判据一条都收不到
+  （实测 43 对里 `with_hidden_side = 0`）。
+- 成因链：站点**补录**的到访没有 `entity_raw` 留档 ⇒ 没有 UUID；导出时被补上确定性 UUID
+  `v5("ZVISIT/<src_pk>")` 写进包里，手机于是把它当一条真记录；这份包再合并回站点时，
+  **站点这侧没有 UUID 可对齐** ⇒ `DiffVisits` 判成「备份新增」又插一条。
+  实测：43 对里 41 对的副本 UUID 恰好等于 `v5("ZVISIT/配对行 src_pk")`（另 2 对编号被重排过）。
+- 修法（**不改导出、不改数据**，只认它）：
+  * `rond.DerivedUUID / DerivedVisitUUID / VisitMatchUUID`（导出侧 `coreDataUUID` 复用同一个函数）；
+  * `DiffVisits` 的 `byUUID` 索引：无留档的行也挂上它的派生 UUID ⇒ 备份那行能对上；
+  * `backup_merge` 的 `storedByUUID` 同样处理（位移/天气端点映射也走它）；
+  * 「时间 + 地点」兜底配对补 `used` 检查——同一条行现在两个索引里都有，不查会被 classify 两次；
+  * 卡片新增第二类判定（派生 UUID 命中，**排在「站点侧副本」之前**，证据更强），
+    清理时把副本名下的位移/天气**改挂**到保留项（补录行自己没有位移，跟着删就白丢里程）。
+- 用例：`TestDiffVisitsAlignsSiteCreatedRowByDerivedUUID` + 反例 `...DoesNotAlignOtherDerivedUUID`；
+  web 端到端 `TestDupCleanMergedBackSiteRow`（造补录行+副本 → 检出 → 清理 → 断言改挂）。
+  变异验证：去掉改挂语义 / 关掉判定，两条立刻红。
+- ⚠️ 测试里造这类数据时，补录行的时间要**避开基线里已有的时刻**，否则会先被「站点侧副本」
+  判据认走（用例里刻意错开 7 分钟，注释写明了原因）。
+
+### J. 收尾项（同一天，最后一批）
+- `scripts/verify.sh`：库 ≥ `VACUUM_MIN_MB`（默认 200MB）时先 `VACUUM (ANALYZE)`。
+  **只做普通 VACUUM**：`FULL` 要 ACCESS EXCLUSIVE 锁，万一有别的服务连着测试库会把验收整段卡住；
+  普通版是并发的。实测同一夹具用例 13.6s → 10.2s（200MB → 62MB），主要防的是「上一轮的死元组留到这一轮」
+  那种 30 分钟爬不完的最坏情况。缩文件还是要手动 `VACUUM (FULL, ANALYZE)`。
+- 城市圈的**首末到访**改成按可见到访算（`min/max(v.arrival)` 内层聚合），不取 `places.first/last_visit_at`
+  （那两列是全量的，会被已并入 / 子段的行推早推晚）。
+- ⚠️ **只比对同口径会假绿**：被并入的行大多落在父段区间内，所以「按列值」与「按可见到访」在夹具数据上
+  结果一样，断言看不出差别。必须**主动把某地点最晚那次到访标成已并入**，再看城市的最近到访有没有跟着退
+  （实测：仍停在 09-13 而应退到 09-08 ⇒ 抓到）。这条是变异验证抓出来的，不是看出来的。
+- ⚠️ **派生列是必须的，不是可选**（2026-09-30 自我更正）：我当初按「时间线查询只做 42 次主键探测」判它
+  「得不偿失」——**只量了单条查询，没量整页**。实际 /places 有「每个地点 × 5 个子查询」，每个子查询都要
+  取回并解析 TOAST 过的整行 JSON ⇒ **70 秒**才出页面（首页 44 秒）。已改成派生列 `visits.is_merged`
+  （`RefreshMergedFlagsSQL` 刷、部分索引兜住刷新路径），/places 70s → 0.2s。
+  教训：**性能判断要在「渲染出来的页面」上做**，孤立的 EXPLAIN（12~38ms）完全看不出来。
+- 改指语句批量化仍然不做：一条语句 + `unnest` 会遇到「同一行 ZMERGEDTO 与 ZPARENT 指向两个不同副本」时只改一个键；
+  地点聚合批量化则会把 `refreshPlaceAgg` 抄成第二份。现在的循环是对的，别为了省几条语句换来边界错误。
+- 文档：README 补了「数据编辑页上的重复到访」与「为什么有些到访在页面上看不到」两节，
+  以及验收脚本清理死元组、`datasets.is_active` 的说明。
+
+### H. 全量验收的环境维护（每轮都要做）
+- 一轮全量会让 `rond_fog_test` 涨 **~370MB 死元组**（16MB → 385MB）：级联 `DELETE FROM users` 随之变慢，
+  下一轮就能爬到 20~30 分钟（进程 CPU 长时间不动，看着像 hang）。
+- 跑前跑后各来一次 `VACUUM (FULL, ANALYZE)`：16MB 状态 **5m49s** 跑完，385MB 状态 22 分钟还没跑完。
+- 顺手确认 `datasets` 里有 `is_active`（`UPDATE datasets SET is_active=(id=1)`），否则 `internal/stats` 6 个用例假 skip。
+
+
+
+---
+
+## 三十一、从 MEMORY.md 索引迁出的两段长文（2026-09-28/29 备份合并 + 导出恢复三条铁律）
+
+> 2026-09-30 整理：索引文件（MEMORY.md）注入时被截断，按它自己的规矩把这些长文挪到这里；
+> 与「廿一、合并执行」有部分重叠，后续可以合并去重。
+
+## 备份合并（差异 → 执行）（details：2026-09-28）
+- 链路：`POST /admin/preview`（`stashPut` 暂存）→ `GET /admin/preview/{token}`（`rond.DiffVisits/Places/Activities`）→ `POST /admin/preview/{token}/merge`（`BuildMergePlan` + `applyMergePlan`，单事务）。合并前必须重算差异（渲染到点击之间库可能已变）。
+- 对齐键：到访 = `ZIDENTIFIER_`（库侧从 `entity_raw.raw #>> '{ZIDENTIFIER_,$blob}'` 取），地点 = `PlaceCoordKey`（坐标 6 位小数，**不认名称**），活动 = `ZUID_`。
+- ⚠️ **`DiffPlaces` 对「同名同坐标」的重复地点**：2026-09-28 已修——`byCoord`/`byName` 改为**多值索引**（`map[string][]StoredPlace`）+ `take()` 逐条认领未使用的候选。旧实现是单槽位 map，同一坐标 N 条备份地点最多配 2 条 ⇒ 第 3 条永远「备份新增」，**每次合并多插一条重复地点、差异永不归零**（实测「柳州站」3 条 → 稳定每合并一次 +1）。回归用例 `TestDiffPlacesAlignsDuplicateNameCoordGroups`（含「站内真少两条仍报新增 2」反向断言）。
+- ⚠️ `visitFieldChanges` 判「活动」：2026-09-28 已改为**按身份（`ZUID_`）比**（`StoredVisit.ActivityUUID` 由 `loadStoredVisits` 多 JOIN 一次 `entity_raw`/ZACTIVITY 取得），两边都缺 UUID 才退回名称。旧实现按名称比 ⇒ 活动一改名，挂在它下面的每条到访都报「冲突」（实测 16 个活动 → 355 条同因冲突），且对到访选「用实机」也改不掉名字（`activity_id` 按 UUID 映射回同一个）⇒ 冲突不收敛。
+- ⚠️ **`DiffPlaces` 的「按名称兜底」必须有距离上限**：2026-09-29 已加 `nameMatchMaxKm = 1.0`（`takeByName`）。
+  名称不是唯一键——连锁店同名是常态（实机里「中国体育彩票」3 条、「长沙南站」2 条、「茶颜悦色」2 条），
+  没有上限就会把相隔几百公里的两家店配成一对；站长勾「用实机」时站内地点被搬到另一座城市、名下到访集体跳城
+  （实测把佛山的「中国体育彩票」配给贺州那条，**236.8km**，合并后站内 place 真的搬了）。`geo.Haversine` 返回**公里**，别按米写。
+- ⚠️ `visitFieldChanges` 的「地点」字段比的是**坐标键**（`PlaceCoordKey`），**名称相同时必须把坐标印出来**
+  （`coordSuffix`），否则差异页渲染成「X → X」，站长看不出差在哪、无从选择。
+- ⚠️ **导出侧 `ns()` 把空串当空（返回 nil）**：凡「真机从不留空」的列，写完值都要兜底——
+  `transportPlaceholderColor/Icon`、`activityPlaceholderColor`（2026-09-29 加）就是这么来的。
+  站内「地点补全」建的活动 `color=''`、`icon=''`（`fillup.go`），图标那侧早有 📍 兜底、颜色漏了，
+  导出写出 `ZACTIVITY.ZCOLOR_ = NULL` → **生产整包被 rond 拒收**（「备份恢复失败，你的当前数据未被更改」）。
+  守这个不变量的用例是 `TestExportNeverNullsColumnsTheDeviceAlwaysFills`（基线里 0 NULL 的列，
+  导出新行也不许 NULL；改了填值逻辑就顺手给它加个场景）。
+- 排查「导出被拒收」的最快路径：拿一份参照包（真机原包 / 同一数据集上次的导出）做**逐列空值画像**
+  —— 参照里 0 NULL、导出里有 NULL 的列就是形状违规。判据必须是「参照里 0 个 NULL」：
+  `ZLOCATION.ZISOCOUNTRYCODE` 真机自己漏过 1 个 NULL ⇒ 它容忍 NULL，别去"修"。
+- ⚠️ 「差异页默认选项是**用实机**」⇒ 站长直接点「合并」= 所有冲突都用实机值覆盖站内
+  （浏览器提交全部 checked 的 radio）。
+  写合并测试**必须照这个提交**（从页面抓 `name="(vc_|pc_|ac_)... value="backup"`）；只提交 `add_new=1`
+  走的是「冲突保留站内」，与真实点击行为完全不同。合并后的自检项：**没有任何地点被搬动超过 1km**。
+- **地点配对只有一份实现：`rond.MatchPlaces`**（2026-09-29 抽出）。差异判定（`DiffPlaces`）与合并执行
+  （`web.mergePlaces`）**必须共用它**——两处各配一遍就会漂移：合并侧原来用单槽位 map 自己配，多条同名
+  备份地点全并到同一行站内地点，到访被挂到错的分店（实测「茶颜悦色」差 8.3km）。两侧的地点查询都要
+  `ORDER BY id`（候选多于一个时靠顺序定谁配谁）。自检不变量：**合并后没有任何地点被搬动 >1km，
+  也没有任何到访离它的实机地点 >1km**。
+- 计划里不要存「改哪一行」的键：`PlacePatch.CoordKey` / `ActivityPatch.Key` 已删（只写不读，
+  且容易被误当成查找键）。要找行就靠配对结果。
+- 测试手法：包内临时测试 + `httptest.NewServer(srv.Handler())`；**必须 `CheckRedirect: http.ErrUseLastResponse`**（站点 303，自动跟随会读不到 Location）；验证码答案读 `captcha.Store.Answer(id)`，不必 OCR。管理员默认口令 `rond-admin`。
+
+## 导出/恢复链路的三条铁律（2026-09-29 全部踩过一遍）
+
+1. **app 只能靠 Z_PK 解引用地点与活动**（它们没有 UUID）⇒ 导出的编号必须与**数据集的基线**同一套。
+   已实现 `internal/rond/export_align.go`（按身份对齐：地点坐标/名称、活动到访 UUID、标签方式名称、
+   位移天气按所属到访；匹配不上且原编号没被占用的行保持原编号，保证往返不变）。
+   ⚠️ **对齐的目标是数据集的基线** ⇒ 基线必须是**手机包**，否则对到的是「站点自己的编号那套」。
+   做法：把手机导出作为新数据集上传 → 把旧站点导出包当备份合并进去 → 从它导出。
+2. **rond 的导入是「整库替换」**：导入前**必须先清空 app 数据**，否则会出现成对重复（站长实测）。
+   自检：app 的到访数 ≈ 包内到访数（减去 `ZMERGEDTO`/`ZPARENT` 那些已并入的隐藏记录）；
+   地点数 ≈ 包内「有到访的地点」数。
+3. **站点数据里存在「同时间同地点、UUID 不同」的历史副本**（合并按 UUID 认人 ⇒ 它们被判成新增，
+   导出后就是成对重复）。清理用 `tools/dedup_site_visits.py`（**以手机包为参照**，默认只预演，
+   `--apply` 才删；会连带清位移/天气/留档，并把指向副本的 `ZMERGEDTO`/`ZPARENT` 改指到保留项）。
+   ⚠️ 参照必须是手机包：只按 (时间,地点) 判会把手机包自身合法的成对条目一起删掉。
+
+
+---
+
+## 三十二、从 MEMORY.md 索引压缩出来的各节正文（2026-09-30 整理）
+
+> 索引（MEMORY.md）注入时会被截断，超过 900 字的小节只留前两条要点，正文挪到这里。
+> 小节标题就是原来的索引标题，按它检索即可。
+
+### 口径 / 404 / 验收（details 十一~十三、廿七、廿八E）
+- ⚠️ **跑全量验收前两件事**：① `VACUUM (FULL, ANALYZE)`——测试库死元组涨到 3.3GB 后级联 DELETE 变 IO 爬虫，30 分钟跑不完（看着像 hang）；清完 5m49s。② 库内必须有 `is_active` 数据集，否则 `internal/stats` 6 个用例**假 skip**。跑着时别并发跑定点测试。`details 三十F`
+- 区域判定**两端各过一遍再 AND**（同 `regionSQL`）；`movementsWhere` 也必须两端各判，不能用 `EXISTS(... IN (from,to) ...)`；比较列一律 `COALESCE(col,'')=$n`。`region_consistency_test.go`
+- 「累计停留」=Σ 各次到访时长（`LEAST(COALESCE(duration_min,0),10080)`）；类型计数用分面 `ActivityCounts` 且清空 `ActivityIDs`。
+- `Filter.Verdict` 全域一致：条件下沉 `visitsWhere`；`hasVisitConds()` 加 `|| f.Verdict != 0`。`stats/verdict_scope_test.go`
+- 404 别混：`placeHiddenPage`=403、`notFoundPage`/`guardPage`=404；瓦片/图片故意纯文本 404。
+- 验收四件套 `ROND_TEST_CONF`+`ROND_SRC`+`FOG_SRC`+`ROND_DSN`（须指 `rond_fog_test`）；`-count=1 -v ./...` 要 **0 skip**。两个假绿坑：缺 `ROND_SRC` 静默 Skip；共用库 `Import` 让 `internal/stats` 假 skip ⇒ 用专用库，`t.Cleanup` 在 `defer` **之后**才跑。
+- 静态守卫走 `moduleRoot(t)`/`pkgFile(t,name)`；`-race` 需 mingw 在 PATH。纪律：只走 IPv4、303 不跟随；**同一文件绝不并行发多条 Edit**；新回归测试做**变异验证**。
+- 📐 覆盖率**必须 `-coverpkg=./internal/...`**（`-cover` 只算本包 ⇒ rond/geo 假报 0%，真值 82.2%/92.9%）；解析 profile 按 `(文件,行段)` 取 **max 别求和**；**死代码删掉、别给它补测试**。关键页冒烟 `scripts/smoke.py`（`verify.sh --smoke`/`--all`）：关键区块不能用 `nav.nav`、用 `.card` 不用 `div.card`。`details 廿九`

.workbuddy/memory/MEMORY.md

@@ -0,0 +1,88 @@
+# rond-with-you 硬规矩（索引）
+
+> 全文：`.workbuddy/memory/MEMORY-details.md`（34 节）；验证机制：技能 `rond-fix-verify`；备份包解析/导出：技能 `rond-backup-parse`。本文件只做关键词索引——**新规矩写 details，别堆这里**。
+>
+> ⚠️ 本文件**按字符数**注入，硬上限 `MAX_MEMORY_CHARS = 1e4`（WorkBuddy `app.asar` 里 `getWorkingMemoryContent`；中文 1 字算 1，不是按字节）。超了会被 `substring(0,1e4)` 截断并写明「先整理再干活」——即整段尾部静默丢失。日常日志与本 details **不参与注入**，可以随便写。现值见 `wc -m`，留 20% 余量。
+
+## 落库 / 精度（details 一、四、五、十六、十九、廿八A）
+- 建地点+到访**同一事务**；新行号只走 `nextSrcPK`+`clearStaleRaw`，**禁 `MAX(src_pk)+1`**。`seq_test.go`
+- 行程派生列同导入（`validateMovementForm`）：`from/to_place_id`（留空=绕过区域过滤直露访客）、`distance_km`、`duration_min`。
+- 表单精度低于真值 ⇒ 只改备注也**静默改时间/坐标**：`keepStoredTime`/`resolveMovementEnd`/`keepStoredCoord`；改到访时间须 `clampVisitMovements` 夹行程。
+- `src_pk` 只单数据集内有效；跨备份键=`ZIDENTIFIER_`/`ZUID_`；`contentHash` 别用 `SrcPK|Arrival`。
+- 坐标留档 `coord_source/coord_sys/src_lat/src_lon`；换算只走 geo 包与 `/api/coords`。
+- 脏数据：`appleTime` 超范围浮点转 int64 **回绕非饱和**（先卡秒数）；`validCoord` 非法归 `(0,0)`。`dirty_test.go`
+- 聚合刷新（`saveVisitTags`/`refreshPlaceAgg`/`refreshDatasetAgg`/`activityFlags`）**必须返回 error**。`agg_error_test.go`
+- 收藏切换走单语句 `UPDATE … RETURNING bookmarked`。`visit_bookmark_test.go`
+
+## rond 导出（details 二、廿六）
+- 铁律：**PG 覆盖管理列、`entity_raw` 还原其余列**；基线已有行保真机原值（`keepNilCols`+`known[pk]`）。
+- 新行只补 `ZRAWLATITUDE/LONGITUDE`、`ZVISIT.ZIDENTIFIER_`/`ZACTIVITY.ZUID_`（确定性=表名+src_pk）、`ZICON_`、`ZLASTARRIVALDATE_` 哨兵 `-63114076800`。
+- `ZMOVEMENT.ZTYPE_` 不能 NULL、**别当管理列**（会洗掉 type=4）；`queryTransports` 必须 `GROUP BY transport_src`。
+- rows 收尾必须 `drainRows`（先 `Err()` 再 `Close()`）。`parse_rows_test.go`
+- **扫进裸 `bool` 的列必须先 `COALESCE`**：`weather.is_daylight` 漏写 ⇒ NULL ⇒ 整包拒收（details 卅C）。
+- 核对导出包**别按留档 UUID 找行**：站点新建行会被补派生 UUID（`coreDataUUID`）。
+
+## 迷雾 / 遮罩（details 三、九、十、廿二）
+- `.fwss`=zip、条目 zlib；`Model/*/`=头 32768B+每块 515B；`Model/~/`、`Model/#/` 原样写回；清空/替换都要连 `fog_raw_files`。
+- 导入三段式（preview 暂存 → 差异页现算 → `?stash=` 落地）；带 stash=urlencoded、无 stash=multipart 两条都留。
+- `fog_masks` 圆心 GCJ-02+半径，判定前换 WGS-84 网格；遮罩只对访客；`stats.Filter` 有**两套 where**（`visitsWhere`+`movementsWhere`），漏一个=「到访藏了里程还在」。
+- 瓦片须与底图同 `crs`；带地图页须 `p.HasMap=true`。
+- `tileDigits` 补前导 0；`tileName` 尾缀 `len(s)-2` 单数字编号时为 -1 ⇒ panic；解码守卫 `len(name)<8`。
+- `fogIndexV` 必须 `atomic.Pointer`（普通指针=真 data race）。`fog_race_test.go`（-race）
+
+## 前端 / 模板 / CSS（details 六~八、十七、廿三、廿八D）
+- 改 Go 必须重启；模板/CSS/JS 只在 `debug=true` 热加载（`AssetV` 启动哈希）。
+- 拼查询串走返回 `template.URL` 的方法（`PlaceLink`/`EditPlaceLink`/`MapLink`/`EditLink`），勿手工转义。
+- 窄屏覆盖写 `app.css` **末尾那块**；宽表堆叠类名**成对** `class="tb tb-stack"`；触控 44px。`tb_stack_test.go`
+- 加表格列：`PlaceCols`/`scanPlace` **成对**、新列追加最后；CJK 挤换行只抬该表 `min-width`。
+- ⚠️ 模板 JS 别用「heredoc+python」写 `\n`（`<script>` 语法错、交互全哑而模板测试照过）；用 Edit，改完 CDP 验 JS 报错为空。`inline_script_test.go`
+- 只在访客复现的 bug：先比「无 cookie 原始 HTML vs CDP 后 DOM」；别让 JS 从 `{{if .IsAdmin}}` 块读 id。
+- **异步回包一律发序号作废**：`var seq=++xxxSeq;` 在 `if(!on) return;` **之前**，回包首行 `if(seq!==xxxSeq) return;`。`map_async_cancel_test.go`
+- `window.localStorage` 一律经 `lsGet`/`lsSet`（隐私模式裸访问会抛）；`previewQueue[id]` 须在 `if (live)` 之前排队、回调消费后删。
+
+## 编辑页 / 重复到访（details 三十）
+- 「重复到访」卡片：判定与 `tools/dedup_site_visits.py` 同语义、**UUID 是前提**、基线对不上就不给按钮；改指合并标记只动**本来就有**的键（`create_if_missing=false`）。`dup_visits_test.go`
+- **已并入 / 子段（`ZMERGEDTO`/`ZPARENT`）只在读侧收口**，判据唯一一份 `stats.SoloVisitSQL`；天气与位移**不收口**；导出侧一字节不动。收口点清单见 details 卅G。
+- 相对计数断言会**假绿**（变异让基准值一起膨胀），必须写定义性不变量；`render` 是流式直写，`code==200` 不等于渲染完。
+- ⚠️ ingest 地点聚合回填必须排在 `insertEntityRaw` **之后**（判据读 entity_raw）。
+
+## 活动 / 类别（details 廿四、廿五）
+- **活动是表，类别不是**——类别只是 `places.poi_category` 字符串列；显示名**绝不写进该列**（`TestCategoryLabelNeverTouchesValue`），走 `categoryLabel(v,custom)`，Go 侧算好塞。
+- 站内新建行 `entity_raw.raw IS NULL`；`ZCATEGORY_` 真机只有 `MKPOICategoryXxx` 枚举。
+- 类别候选：编辑/照片页=库里在用 `GROUP BY`；补全页=在用 ∪ 静态表；下拉留「其它（自己写）」，默认「不动」。
+
+## 跨备份 / 附属数据（details 十九~廿一）
+- 预演按 `VisitUUID`/`ActivityUUID` 对齐、只读；`raw #>> '{ZIDENTIFIER_,$blob}'` 是 base64 须转 hex 比；地点只认坐标（`PlaceCoordKey` 6 位）。
+- 附属数据（备注/投票/图片）主键=`place_key` 坐标键（非 dataset+src_pk）；Go 与 SQL 两套须逐位一致。
+- ⚠️ `schema.sql` 迁移块必须收敛且排在依赖表之后（插在 `place_images` 前：开发库无症、**新库起不来**）。
+- 合并 `backup_merge.go`：整个 `withTx`、不删除；新行 `*_visit_src` 写**库里的 src_pk**；必须 `writeRawRow`；删地点前先查有无到访（CASCADE）。
+
+## 后端 / 性能（details 十、廿八C）
+- `findSourceArchive` 先按 `size_bytes` 筛再算 sha256（`pickArchiveBySha`）。池 8/8 + `db.WarmUp(d,6)`；页面内查询 `runJobs`(≤6)；别用 `fog.Index.All()`；改遮罩须 `masks.invalidate()`+`fogTiles.clear()`。
+- `placeCols` 子查询必须带 `vN.dataset_id=p.dataset_id`。`stats/placecols_test.go`（按子查询分段判）
+- multipart handler 直接 `ParseMultipartForm`（`r.ParseForm()` 毒化字段）；**之前必须 `MaxBytesReader`**。五个上传口：备份/GPX/迷雾/照片/地点图片。
+- 包了 `ResponseWriter` 必须实现 `Unwrap()`（`gzipWriter`/`headerSent`）；`recover` 写错误页前须看 `headerSent`。`server_error_test.go`
+- 「先落盘再解析」的上传 handler，落盘后每条失败路径都要删半成品。`upload_cleanup_test.go`
+- 批量勾选走 `*Bulk` + `p.src_pk = ANY($3::bigint[])`（pgx 直接吃 `[]int64`）；**全局内存缓存必须带上限**（`fillupCache` FIFO 淘汰最旧 1/4）；**同一查询别在一个 handler 里查两遍**。`admin_notes_bulk_test.go`+`fillup_cache_test.go`+`stats_weekday_once_test.go`
+- 加 `setting` 字段改三处：`Default()`/`Load()`/`settingsSubmit()`。
+
+## 安全 / 跳转（details 廿八B）
+- 跳转唯一判据 `safeInternalPath`（`view.go`）；四处共用。`redirect_target_test.go`（含禁弱判据静态扫描）
+- cookie `Secure` 按请求判断（`cookieSecure`），否则本机 http 与 CDP 都登不进。
+- CSRF 只加同源 Origin/Referer 守卫（`csrf.go`）：仅写方法、`Origin: null` 拒、两头都缺放行。
+- `clientIP` 只认 XFF **最后一段**（须 `netip.ParseAddr`）；⚠️ 投票匿名身份=`hash(cookie,IP)`⇒改取法即改身份。
+- GPX 按属主收口：`/api/gpx` 取生效数据集 `user_id` 再 `WHERE user_id=$1`；`adminGpxDelete` 查 `RowsAffected()==0`。`gpx_owner_test.go`
+- 下载名走 `downloadDisposition`（ASCII 兜底+`filename*=UTF-8''`）；四出口都经此。`download_name_test.go`
+- `writeRawRow` 必须上抛错误让 `withTx` 回滚。**两步验证两闸都要**：`loginGuard`（键 `"2fa:"+用户名`）+`CodeReplay.Consume`。`twofa_guard_test.go`+`code_replay_test.go`
+
+## 口径 / 404 / 验收（details 十一~十三、廿七、廿八E、卅二）
+- ⚠️ **跑全量验收前**：① `VACUUM (FULL, ANALYZE)`（死元组涨到 3.3GB 后级联 DELETE 变 IO 爬虫，看着像 hang）；② 库内必须有 `is_active` 数据集，否则 `internal/stats` 6 用例**假 skip**。跑着时别并发跑定点测试。
+- 区域判定**两端各过一遍再 AND**（同 `regionSQL`）；`movementsWhere` 也必须两端各判，不能用 `EXISTS(... IN (from,to) ...)`；比较列一律 `COALESCE(col,'')=$n`。`region_consistency_test.go`
+- 其余（累计停留口径、`Filter.Verdict` 下沉、404 分档、验收四件套、覆盖率 `-coverpkg`）见 details 卅二。
+
+## 备份合并 / 导出链路（details 卅一 + 廿一）
+- 对齐键：到访=`ZIDENTIFIER_`、地点=`PlaceCoordKey`（坐标 6 位，**不认名称**）、活动=`ZUID_`；合并前必须**重算差异**。
+- 地点配对只有一份实现 `rond.MatchPlaces`（差异与合并共用）；同名兜底必须有距离上限（`nameMatchMaxKm=1.0`）。
+- 差异页默认 radio 是「**用实机**」；写合并测试要照这个提交（抓 `value="backup"`），否则测的不是真实点击行为。
+- 自检不变量：合并后没有任何地点被搬动 >1km、也没有任何到访离它的实机地点 >1km。
+- **三条铁律**：① app 只靠 `Z_PK` 解引用地点/活动 ⇒ 导出的编号必须与**数据集基线**同一套 ⇒ **基线必须是手机包**；② rond 导入是**整库替换** ⇒ 导入前先清空 app 数据；③ 站点数据是超集 ⇒ 用「手机导出作新数据集 + 旧站点导出当备份合并进去」对齐；`ZRAW` 这类从源包抄来的计数会越界，靠导出侧夹取兜住。