C14.7 r3: inline GIFs end at a bad frame too; C14.7 [~]

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

agents.md

@@ -283,4 +283,4 @@ cargo run -p ely-doc          启动一个应用（ElyDoc 先 cargo build -p ely
 - 2026-10-11：Linux 包的实测（L1.6）。本机（Omarchy，Hyprland 0.56）装上六个 Arch 包与六个 AppImage，`linux-installed.sh` 两种都过；deb、rpm、Arch 包在 Ubuntu 26.04、Fedora 44、Arch 容器里装上、全部 ELF 找得到库；deb 与 rpm 的六个应用在各自容器的 Xvfb 下画出窗口（`linux-distros.sh`）。截图按窗口（`grim -T` 加 Hyprland 的 `stableId`）：按区域截时用户切换工作区或别的窗口盖住即截错。ElyMark 的文件监视略去读取后不会自激：重读前先比指纹（长度与修改时间），不打开文件。
 - 2026-10-11（用户定：替换 v0.1.3 的 Linux 包）：v0.1.3 发布里原有的六个 AppImage（无头，打不开窗口）已删去，换成本机容器里建出的六个应用各四种包（共 24 个），出自 L1.7 的提交（晚于该标签）；上传后逐个核对大小，ElyTree 的 AppImage 下载回来散列相同。`package.sh` 把每个 RUNPATH 按所在 ELF 解析（`$ORIGIN` 或 `${ORIGIN}` 开头，规范化后须在 AppDir 内），否则拒绝（如未修正的 cairo）：CI 用的是别处建好的引擎，旧构建会在这里报错而不是带进包里。替换的 Linux 包对应的源码随之上传到同一发布（`source.sh`，文件名带构建提交号），发布说明写明 Linux 包出自哪个提交。
 - 2026-10-11：`ci.sh` 用 `ELY_SHARE` 时，CI 克隆里的 `engines`、`reference` 须是指向共享克隆的链接（Windows 为目录联接，不查）；是本克隆自建的目录或指向别处即报错，不混用。`.gitignore` 的 `/engines`、`/reference` 不带斜杠，链接也被忽略（`source.sh` 要求工作区干净）。
-- 2026-10-11（用户定：ElyMark 不用 CEF，不用 Electron）：ElyMark 改为原生。界面用组件库的 Markdown 组件（`documents::MarkdownEditor` 一族，缺的在组件库补并推到 Gitea），解析用 markdown-rs（`markdown` 1.0.0），公式用 RaTeX，Mermaid 用 mermaid-rs-renderer，PDF 用 MuPDF Story；CEF 随之删去，ElyMail 的正文也不用 CEF 与 Electron。进度在 `tasks/TASKS.md` 的 C14。组件库 fcad0ff 与 508cc55：`MarkdownRenderer`、`MarkdownEditor`、Markdown 着色、块范围与链接查找改读 markdown-rs 的语法树（GitHub 风格加公式），引用式链接与图片按定义解析，图片把所在段落分开，单行 `$$…$$` 为块公式，软换行（LF、CRLF、CR）读作空格，嵌套在引用与列表里的定义同样解析，强调与链接里的图片仍是图片（链接里的图片可按）；`BlockEditor` 的导入导出不属 ElyMark，仍用 pulldown-cmark。markdown-rs 读嵌套图片时只留外层的说明。组件库 d5ecc5a：块公式经 `typography::Latex` 由 RaTeX 排出（字形为轮廓，按窗口缩放画），```` ```mermaid ```` 块经 `documents::Diagram` 由 mermaid-rs-renderer 画出（Mermaid 自己的深浅主题，底色与字色取 Ely 色板），都作为 gpui 资源在后台排版，RaTeX 或 Mermaid 对已解析的输入 panic 时显示为错误；`MarkdownRenderer::base` 给出文档所在文件夹，相对与 file 地址的图片从中读取并按自身大小、不超过栏宽显示，`data:` 地址解码，网络图片不载入（写明）。组件库 ab9a14c：每个公式、图与图片元素经 `primitives::held` 持有其资源，按资源计数持有者（8b9820b；画出的图存在共享的记录里，9036c92 起由最后离开的持有者释放，哪怕它自己还没收到图），最后一个持有者换了内容或离开窗口才从 gpui 资源缓存移除、在本帧之后从图集释放，共用同一内容的元素（含 gpui 缓存的视图）不受影响；公式按字形实际范围取画框，字形不被裁；公式失败显示原因、RaTeX 给的位置与原文，日志不含公式；`file:` 地址去掉查询与片段，`localhost` 为本机，Windows 上别的主机为共享路径，他处拒绝；Mermaid 的节点与饼图文字取 Ely 的前景色。组件库 2b6f551：`documents::MarkdownDocument` 是文件级的 Markdown 文档：全文与撤销在一个 `CodeEditor` 里（`CodeEditor::highlighter` 以 `markdown_highlights` 着色，无行号）；可视以 gpui `list` 逐块画出文件的顶层块（链接定义、HTML、front matter 照原文显示，每个字节都在块里或块间），按下的块开成源码（`TextInput`），其键入即刻算作文档的文字，写回为一步撤销，上下键越过块边进入相邻块，Esc 写回；Cmd（他处 Ctrl）按下交给链接；预览只读；源码为编辑器本身；128 KiB 以内当场解析，更长的在后台解析，解析中按下块不打开（日志）；新解析保留两端相同的块，滚动不跳。`CodeEditor` 的撤销历史最多留 64 MiB 文字，超出先丢最旧的步；`CodeEditor::reset` 换文字且撤销重新开始；`MarkdownMode` 加 `Preview`。组件库 fc181b4：一个插入点通用于各模式（编辑器的选区，写回的块移动它）；`set_caret` 与 `set_top_line` 分别设插入点与视图，换模式保持顶行；按下的块在前一块写回后仍是所按的块（按偏移换算，结构变了即不开并记日志）；块是 Tab 停靠点，Enter 或空格打开；预览不收按下、撤销与重做；撤销与重做每次记录、输入法组字、撤销、重做后都限在 64 MiB 内（先丢最旧的撤销，再丢最远的重做）。组件库 433c38f：只有对当下文字的解析才能打开块（解析的文字与编辑器相同），否则拒绝；要求的顶行在其文字解析后才落定：先到所在块，下一帧按块高的比例到块内位置，再有新的要求即接着放下一个；源码与列表之间切换保持顶行，可视与预览共用一个列表，切换不动滚动。组件库 abac8b4：顶行的要求带编号，迟到的帧回调只完成自己的那个；文字一换即按新文字重新放，放时按当下文字的行数夹住；`reveal` 是同样的要求（插入点设在该行，该行放到顶上），新文字解析后才落定。组件库 f59c9f7：文字超过读取上限（2 MiB）即丢掉旧的读取，大纲与块为空。ElyMark（C14.4）：视图即一个 `MarkdownDocument`，文本即文件原文（BOM 与 CRLF 照 `text.rs` 存回），新建、打开、保存、另存、重命名经外壳照旧；视图在建成后的下一轮更新向外壳报一次载入（文档在 `new` 里当场解析，外壳此时还未订阅）；文字超过 2 MiB 即只用源码并转去源码（随当前文字，不只看打开时）；网页实现的查找替换、表格、附件、书写视图的应用、导出与打印Line truncated
+- 2026-10-11（用户定：ElyMark 不用 CEF，不用 Electron）：ElyMark 改为原生。界面用组件库的 Markdown 组件（`documents::MarkdownEditor` 一族，缺的在组件库补并推到 Gitea），解析用 markdown-rs（`markdown` 1.0.0），公式用 RaTeX，Mermaid 用 mermaid-rs-renderer，PDF 用 MuPDF Story；CEF 随之删去，ElyMail 的正文也不用 CEF 与 Electron。进度在 `tasks/TASKS.md` 的 C14。组件库 fcad0ff 与 508cc55：`MarkdownRenderer`、`MarkdownEditor`、Markdown 着色、块范围与链接查找改读 markdown-rs 的语法树（GitHub 风格加公式），引用式链接与图片按定义解析，图片把所在段落分开，单行 `$$…$$` 为块公式，软换行（LF、CRLF、CR）读作空格，嵌套在引用与列表里的定义同样解析，强调与链接里的图片仍是图片（链接里的图片可按）；`BlockEditor` 的导入导出不属 ElyMark，仍用 pulldown-cmark。markdown-rs 读嵌套图片时只留外层的说明。组件库 d5ecc5a：块公式经 `typography::Latex` 由 RaTeX 排出（字形为轮廓，按窗口缩放画），```` ```mermaid ```` 块经 `documents::Diagram` 由 mermaid-rs-renderer 画出（Mermaid 自己的深浅主题，底色与字色取 Ely 色板），都作为 gpui 资源在后台排版，RaTeX 或 Mermaid 对已解析的输入 panic 时显示为错误；`MarkdownRenderer::base` 给出文档所在文件夹，相对与 file 地址的图片从中读取并按自身大小、不超过栏宽显示，`data:` 地址解码，网络图片不载入（写明）。组件库 ab9a14c：每个公式、图与图片元素经 `primitives::held` 持有其资源，按资源计数持有者（8b9820b；画出的图存在共享的记录里，9036c92 起由最后离开的持有者释放，哪怕它自己还没收到图），最后一个持有者换了内容或离开窗口才从 gpui 资源缓存移除、在本帧之后从图集释放，共用同一内容的元素（含 gpui 缓存的视图）不受影响；公式按字形实际范围取画框，字形不被裁；公式失败显示原因、RaTeX 给的位置与原文，日志不含公式；`file:` 地址去掉查询与片段，`localhost` 为本机，Windows 上别的主机为共享路径，他处拒绝；Mermaid 的节点与饼图文字取 Ely 的前景色。组件库 2b6f551：`documents::MarkdownDocument` 是文件级的 Markdown 文档：全文与撤销在一个 `CodeEditor` 里（`CodeEditor::highlighter` 以 `markdown_highlights` 着色，无行号）；可视以 gpui `list` 逐块画出文件的顶层块（链接定义、HTML、front matter 照原文显示，每个字节都在块里或块间），按下的块开成源码（`TextInput`），其键入即刻算作文档的文字，写回为一步撤销，上下键越过块边进入相邻块，Esc 写回；Cmd（他处 Ctrl）按下交给链接；预览只读；源码为编辑器本身；128 KiB 以内当场解析，更长的在后台解析，解析中按下块不打开（日志）；新解析保留两端相同的块，滚动不跳。`CodeEditor` 的撤销历史最多留 64 MiB 文字，超出先丢最旧的步；`CodeEditor::reset` 换文字且撤销重新开始；`MarkdownMode` 加 `Preview`。组件库 fc181b4：一个插入点通用于各模式（编辑器的选区，写回的块移动它）；`set_caret` 与 `set_top_line` 分别设插入点与视图，换模式保持顶行；按下的块在前一块写回后仍是所按的块（按偏移换算，结构变了即不开并记日志）；块是 Tab 停靠点，Enter 或空格打开；预览不收按下、撤销与重做；撤销与重做每次记录、输入法组字、撤销、重做后都限在 64 MiB 内（先丢最旧的撤销，再丢最远的重做）。组件库 433c38f：只有对当下文字的解析才能打开块（解析的文字与编辑器相同），否则拒绝；要求的顶行在其文字解析后才落定：先到所在块，下一帧按块高的比例到块内位置，再有新的要求即接着放下一个；源码与列表之间切换保持顶行，可视与预览共用一个列表，切换不动滚动。组件库 abac8b4：顶行的要求带编号，迟到的帧回调只完成自己的那个；文字一换即按新文字重新放，放时按当下文字的行数夹住；`reveal` 是同样的要求（插入点设在该行，该行放到顶上），新文字解析后才落定。组件库 f59c9f7：文字超过读取上限（2 MiB）即丢掉旧的读取，大纲与块为空。ElyMark（C14.4）：视图即一个 `MarkdownDocument`，文本即文件原文（BOM 与 CRLF 照 `text.rs` 存回），新建、打开、保存、另存、重命名经外壳照旧；视图在建成后的下一轮更新向外壳报一次载入（文档在 `new` 里当场解析，外壳此时还未订阅）；文字超过 2 MiB 即只用源码并转去源码（随当前文字，不只看打开时）；网页实现的查找替换、表格、附件、书写视图的应用、导出与打印Line truncated

apps/ely-mark/src/view/tests.rs

@@ -243,19 +243,23 @@ fn a_file_link_is_refused_and_said(cx: &mut TestAppContext) {
     assert!(said.get() && cx.opened_url().is_none());
 }
 
+/// A GIF whose frame never decodes.
+fn broken_gif() -> Vec<u8> {
+    let gif =
+        "47494638396101000100800000000000ffffff21f90401000000002c0000000001000100000202ffff003b";
+    (0..gif.len())
+        .step_by(2)
+        .map(|at| u8::from_str_radix(&gif[at..at + 2], 16).expect("hex"))
+        .collect()
+}
+
 #[gpui::test]
 fn a_broken_gif_ends_and_its_error_names_no_path(cx: &mut TestAppContext) {
     let (_view, cx) = open("x\n", cx);
     let folder = std::env::temp_dir().join(format!("ely-marker-{}", std::process::id()));
     std::fs::create_dir_all(&folder).expect("a folder");
-    let gif =
-        "47494638396101000100800000000000ffffff21f90401000000002c0000000001000100000202ffff003b";
-    let bytes: Vec<u8> = (0..gif.len())
-        .step_by(2)
-        .map(|at| u8::from_str_radix(&gif[at..at + 2], 16).expect("hex"))
-        .collect();
     let path = folder.join("broken.gif");
-    std::fs::write(&path, bytes).expect("the gif");
+    std::fs::write(&path, broken_gif()).expect("the gif");
     let resource = gpui::Resource::Path(path.into());
     let loaded = loop {
         let asked = cx.update(|_, cx| cx.fetch_asset::<gpui::ImageAssetLoader>(&resource));
@@ -268,3 +272,11 @@ fn a_broken_gif_ends_and_its_error_names_no_path(cx: &mut TestAppContext) {
     let error = loaded.expect_err("a broken frame fails the load");
     assert!(!format!("{error:?}").contains("ely-marker"), "{error:?}");
 }
+
+#[gpui::test]
+fn a_broken_inline_gif_ends(cx: &mut TestAppContext) {
+    let (_view, cx) = open("x\n", cx);
+    let renderer = cx.update(|_, cx| cx.svg_renderer());
+    let image = gpui::Image::from_bytes(gpui::ImageFormat::Gif, broken_gif());
+    assert!(image.to_image_data(renderer).is_err());
+}

tasks/TASKS.md

@@ -104,7 +104,7 @@
 - [x] C14.4 ElyMark 文件会话改为原生（MARK-01，§14.3，QA-21）：视图换成 C14.3 的组件，文本即文件原文，无序列化；BOM、CRLF 照旧；新建、打开、保存、另存、重命名照旧；应用不再依赖 `ely-web-content`。网页实现的功能随之删去，在各自的任务里原生重做：查找替换与表格（C14.9）、附件（C14.10）、书写视图的应用（C14.12，`look.json` 与菜单照旧）、导出与打印（C14.14）；其文案留到那时。依赖网页的真窗口脚本 `tests/scripts/mark-*` 删去，ElyMark 的行为由 gpui 窗口测试覆盖 — R1 FAIL 四项已修：载入未报给外壳（视图在下一轮更新报一次）；大文件判定只看打开时（随当前文字，越过即转源码，组件库丢旧读取）；刷新测试不核对文字与撤销；四行注释超长。R2 ok
 - [~] C14.5 删去 CEF：`crates/ely-web-content`、`scripts/fetch-cef.sh`、`scripts/build-mark-content.sh`、`apps/ely-mark/web`、打包里的 CEF 辅助应用与许可、CEF 的测试脚本；PRD 与 `agents.md` 写明新路线，ElyMail 正文不用 CEF 与 Electron — R1 FAIL 三项已修：帮助里“只读所在文件夹”是网页的限制（改写原生的图片规则）；`agents.md` 与无障碍记录引用已删的脚本；PERF-07 的就绪日志随 C14.6 接上（写明）。R2 FAIL 一项已修：存储测试的样本在干净启动时被删（改为崩溃后只由清除记号删去恢复副本，记号用掉即为重试）。R3 FAIL 一项已修（不再送审）：新建文档在可视模式键入无处落下，存储测试先 Cmd+2 到源码；产品缺陷记入 C14.6
 - [~] C14.6 编辑模式与大文件（MARK-02、14，PERF-07）：可视、源码、预览按标签切换，切换不改文件，撤销跨模式；超过阈值的文件只开源码并说明；1 MB 文档 2 秒内可编辑，实测记录；新建的空文档在可视模式下键入无处落下（C14.5 审查查出），须可直接键入 — R1 FAIL 两项已修：预览回可视不再打开空文档的输入框（同一焦点，无事件；换模式时直接查）；自动打开的空块吞掉撤销（块未动时撤销走全文）。R2 FAIL 两项已修：以文字相同判断块的历史边界，丢了块内的重做；全文撤销成空后不再能键入（读完新文字再打开）。R3 FAIL 一项已修（不再送审）：两份历史，关块即丢块内重做；改为只有全文一份历史，块内撤销重做先写回块再走全文（组件库 639521e，三条复现写成回归）
-- [ ] C14.7 Markdown 与扩展语法（MARK-03、04）：CommonMark 与 GFM、脚注、公式、Mermaid、front matter（不进可视，原样在上方）；文档旁图片；链接照 M-05（可视 Cmd/Ctrl 单击、预览单击交应用）
+- [~] C14.7 Markdown 与扩展语法（MARK-03、04）：CommonMark 与 GFM、脚注、公式、Mermaid、front matter（不进可视，原样在上方）；文档旁图片；链接照 M-05（可视 Cmd/Ctrl 单击、预览单击交应用） — R1 FAIL 四项已修：坏 GIF 使 gpui 的加载器永不结束（坏帧即结束并报错）；加载器把图片路径写进日志（错误不带路径）；表格单元格丢图片（单元格为块）；组件库的长注释。R2 FAIL 三项已修：窄格里图片不缩（单元格可收缩）；`tree.rs` 超过 500 行（测试移出）；测试文件的长注释。R3 FAIL 一项已修（不再送审）：`data:` 图片走 `Image::to_image_data`，同一坏帧循环（同样结束并报错，应用测试复现）
 - [ ] C14.8 导航（MARK-05）：大纲取 markdown-rs 的标题与位置，按标题跳转；文件树、多标签、最近文件照旧
 - [ ] C14.9 编辑工具（MARK-06）：查找替换（大小写、全词、正则），缩进，列表续写，表格插入与行列操作，代码高亮
 - [ ] C14.10 附件（MARK-07）：拖放与粘贴图片复制到文档旁 `assets/`，在插入点写相对链接

tasks/reviews/C14.7-r3.md

@@ -0,0 +1,3 @@
+FAIL
+
+- `reference/Ely-GPUI-Components/src/documents/picture.rs:133`：`data:` 图片经 `Unpacker` 调用 `Image::to_image_data`，没有经过本轮修复的 `ImageAssetLoader`；前者的 GIF 解码循环仍吞掉坏帧错误并继续迭代，解码器持续返回错误时加载永不结束，也不显示失败原因。复现：打开含 `![broken](data:image/gif;base64,R0lGODlhAQABAIAAAAAAAP///yH5BAEAAAAALAAAAAABAAEAAAIC//8AOw==)` 的文档。这与已有坏 GIF 回归使用相同数据，但该回归只覆盖本地文件入口。Windows 与 WSL 实际调用 `origin` → `Unpacker::load` 的独立探针均在两秒后超时；本地文件回归通过。应让内联图片的解码路径同样在坏帧处返回错误，并补充该入口的回归测试。证据：`.work/C14.7-r3/windows-data-picture.log`、`linux-data-picture.log`、`actual-probe.txt.source.log`。

vendor/gpui-pre/src/platform.rs

@@ -3277,14 +3277,13 @@ impl Image {
                             }
                             frames.push(frame);
                         }
-                        Err(err) => {
-                            log::debug!("Skipping GIF frame due to decode error: {err}");
-                        }
+                        // A bad frame ends it: the decoder may never stop.
+                        Err(err) => return Err(err.into()),
                     }
                 }
 
                 if frames.is_empty() {
-                    anyhow::bail!("GIF could not be decoded: all frames failed");
+                    anyhow::bail!("GIF could not be decoded: no frames");
                 }
 
                 frames