C14.10 r1: no line break in an image's alt text; names that are no text are refused before copying

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

Cargo.lock

@@ -2016,6 +2016,7 @@ dependencies = [
  "gpui-pre",
  "jiff",
  "log",
+ "markdown",
  "notify",
  "serde",
  "serde_json",

agents.md

@@ -283,4 +283,4 @@ cargo run -p ely-doc          启动一个应用（ElyDoc 先 cargo build -p ely
 - 2026-10-11：Linux 包的实测（L1.6）。本机（Omarchy，Hyprland 0.56）装上六个 Arch 包与六个 AppImage，`linux-installed.sh` 两种都过；deb、rpm、Arch 包在 Ubuntu 26.04、Fedora 44、Arch 容器里装上、全部 ELF 找得到库；deb 与 rpm 的六个应用在各自容器的 Xvfb 下画出窗口（`linux-distros.sh`）。截图按窗口（`grim -T` 加 Hyprland 的 `stableId`）：按区域截时用户切换工作区或别的窗口盖住即截错。ElyMark 的文件监视略去读取后不会自激：重读前先比指纹（长度与修改时间），不打开文件。
 - 2026-10-11（用户定：替换 v0.1.3 的 Linux 包）：v0.1.3 发布里原有的六个 AppImage（无头，打不开窗口）已删去，换成本机容器里建出的六个应用各四种包（共 24 个），出自 L1.7 的提交（晚于该标签）；上传后逐个核对大小，ElyTree 的 AppImage 下载回来散列相同。`package.sh` 把每个 RUNPATH 按所在 ELF 解析（`$ORIGIN` 或 `${ORIGIN}` 开头，规范化后须在 AppDir 内），否则拒绝（如未修正的 cairo）：CI 用的是别处建好的引擎，旧构建会在这里报错而不是带进包里。替换的 Linux 包对应的源码随之上传到同一发布（`source.sh`，文件名带构建提交号），发布说明写明 Linux 包出自哪个提交。
 - 2026-10-11：`ci.sh` 用 `ELY_SHARE` 时，CI 克隆里的 `engines`、`reference` 须是指向共享克隆的链接（Windows 为目录联接，不查）；是本克隆自建的目录或指向别处即报错，不混用。`.gitignore` 的 `/engines`、`/reference` 不带斜杠，链接也被忽略（`source.sh` 要求工作区干净）。
-- 2026-10-11（用户定：ElyMark 不用 CEF，不用 Electron）：ElyMark 改为原生。界面用组件库的 Markdown 组件（`documents::MarkdownEditor` 一族，缺的在组件库补并推到 Gitea），解析用 markdown-rs（`markdown` 1.0.0），公式用 RaTeX，Mermaid 用 mermaid-rs-renderer，PDF 用 MuPDF Story；CEF 随之删去，ElyMail 的正文也不用 CEF 与 Electron。进度在 `tasks/TASKS.md` 的 C14。组件库 fcad0ff 与 508cc55：`MarkdownRenderer`、`MarkdownEditor`、Markdown 着色、块范围与链接查找改读 markdown-rs 的语法树（GitHub 风格加公式），引用式链接与图片按定义解析，图片把所在段落分开，单行 `$$…$$` 为块公式，软换行（LF、CRLF、CR）读作空格，嵌套在引用与列表里的定义同样解析，强调与链接里的图片仍是图片（链接里的图片可按）；`BlockEditor` 的导入导出不属 ElyMark，仍用 pulldown-cmark。markdown-rs 读嵌套图片时只留外层的说明。组件库 d5ecc5a：块公式经 `typography::Latex` 由 RaTeX 排出（字形为轮廓，按窗口缩放画），```` ```mermaid ```` 块经 `documents::Diagram` 由 mermaid-rs-renderer 画出（Mermaid 自己的深浅主题，底色与字色取 Ely 色板），都作为 gpui 资源在后台排版，RaTeX 或 Mermaid 对已解析的输入 panic 时显示为错误；`MarkdownRenderer::base` 给出文档所在文件夹，相对与 file 地址的图片从中读取并按自身大小、不超过栏宽显示，`data:` 地址解码，网络图片不载入（写明）。组件库 ab9a14c：每个公式、图与图片元素经 `primitives::held` 持有其资源，按资源计数持有者（8b9820b；画出的图存在共享的记录里，9036c92 起由最后离开的持有者释放，哪怕它自己还没收到图），最后一个持有者换了内容或离开窗口才从 gpui 资源缓存移除、在本帧之后从图集释放，共用同一内容的元素（含 gpui 缓存的视图）不受影响；公式按字形实际范围取画框，字形不被裁；公式失败显示原因、RaTeX 给的位置与原文，日志不含公式；`file:` 地址去掉查询与片段，`localhost` 为本机，Windows 上别的主机为共享路径，他处拒绝；Mermaid 的节点与饼图文字取 Ely 的前景色。组件库 2b6f551：`documents::MarkdownDocument` 是文件级的 Markdown 文档：全文与撤销在一个 `CodeEditor` 里（`CodeEditor::highlighter` 以 `markdown_highlights` 着色，无行号）；可视以 gpui `list` 逐块画出文件的顶层块（链接定义、HTML、front matter 照原文显示，每个字节都在块里或块间），按下的块开成源码（`TextInput`），其键入即刻算作文档的文字，写回为一步撤销，上下键越过块边进入相邻块，Esc 写回；Cmd（他处 Ctrl）按下交给链接；预览只读；源码为编辑器本身；128 KiB 以内当场解析，更长的在后台解析，解析中按下块不打开（日志）；新解析保留两端相同的块，滚动不跳。`CodeEditor` 的撤销历史最多留 64 MiB 文字，超出先丢最旧的步；`CodeEditor::reset` 换文字且撤销重新开始；`MarkdownMode` 加 `Preview`。组件库 fc181b4：一个插入点通用于各模式（编辑器的选区，写回的块移动它）；`set_caret` 与 `set_top_line` 分别设插入点与视图，换模式保持顶行；按下的块在前一块写回后仍是所按的块（按偏移换算，结构变了即不开并记日志）；块是 Tab 停靠点，Enter 或空格打开；预览不收按下、撤销与重做；撤销与重做每次记录、输入法组字、撤销、重做后都限在 64 MiB 内（先丢最旧的撤销，再丢最远的重做）。组件库 433c38f：只有对当下文字的解析才能打开块（解析的文字与编辑器相同），否则拒绝；要求的顶行在其文字解析后才落定：先到所在块，下一帧按块高的比例到块内位置，再有新的要求即接着放下一个；源码与列表之间切换保持顶行，可视与预览共用一个列表，切换不动滚动。组件库 abac8b4：顶行的要求带编号，迟到的帧回调只完成自己的那个；文字一换即按新文字重新放，放时按当下文字的行数夹住；`reveal` 是同样的要求（插入点设在该行，该行放到顶上），新文字解析后才落定。组件库 f59c9f7：文字超过读取上限（2 MiB）即丢掉旧的读取，大纲与块为空。ElyMark（C14.4）：视图即一个 `MarkdownDocument`，文本即文件原文（BOM 与 CRLF 照 `text.rs` 存回），新建、打开、保存、另存、重命名经外壳照旧；视图在建成后的下一轮更新向外壳报一次载入（文档在 `new` 里当场解析，外壳此时还未订阅）；文字超过 2 MiB 即只用源码并转去源码（随当前文字，不只看打开时）；网页实现的查找替换、表格、附件、书写视图的应用、导出与打印Line truncated
+- 2026-10-11（用户定：ElyMark 不用 CEF，不用 Electron）：ElyMark 改为原生。界面用组件库的 Markdown 组件（`documents::MarkdownEditor` 一族，缺的在组件库补并推到 Gitea），解析用 markdown-rs（`markdown` 1.0.0），公式用 RaTeX，Mermaid 用 mermaid-rs-renderer，PDF 用 MuPDF Story；CEF 随之删去，ElyMail 的正文也不用 CEF 与 Electron。进度在 `tasks/TASKS.md` 的 C14。组件库 fcad0ff 与 508cc55：`MarkdownRenderer`、`MarkdownEditor`、Markdown 着色、块范围与链接查找改读 markdown-rs 的语法树（GitHub 风格加公式），引用式链接与图片按定义解析，图片把所在段落分开，单行 `$$…$$` 为块公式，软换行（LF、CRLF、CR）读作空格，嵌套在引用与列表里的定义同样解析，强调与链接里的图片仍是图片（链接里的图片可按）；`BlockEditor` 的导入导出不属 ElyMark，仍用 pulldown-cmark。markdown-rs 读嵌套图片时只留外层的说明。组件库 d5ecc5a：块公式经 `typography::Latex` 由 RaTeX 排出（字形为轮廓，按窗口缩放画），```` ```mermaid ```` 块经 `documents::Diagram` 由 mermaid-rs-renderer 画出（Mermaid 自己的深浅主题，底色与字色取 Ely 色板），都作为 gpui 资源在后台排版，RaTeX 或 Mermaid 对已解析的输入 panic 时显示为错误；`MarkdownRenderer::base` 给出文档所在文件夹，相对与 file 地址的图片从中读取并按自身大小、不超过栏宽显示，`data:` 地址解码，网络图片不载入（写明）。组件库 ab9a14c：每个公式、图与图片元素经 `primitives::held` 持有其资源，按资源计数持有者（8b9820b；画出的图存在共享的记录里，9036c92 起由最后离开的持有者释放，哪怕它自己还没收到图），最后一个持有者换了内容或离开窗口才从 gpui 资源缓存移除、在本帧之后从图集释放，共用同一内容的元素（含 gpui 缓存的视图）不受影响；公式按字形实际范围取画框，字形不被裁；公式失败显示原因、RaTeX 给的位置与原文，日志不含公式；`file:` 地址去掉查询与片段，`localhost` 为本机，Windows 上别的主机为共享路径，他处拒绝；Mermaid 的节点与饼图文字取 Ely 的前景色。组件库 2b6f551：`documents::MarkdownDocument` 是文件级的 Markdown 文档：全文与撤销在一个 `CodeEditor` 里（`CodeEditor::highlighter` 以 `markdown_highlights` 着色，无行号）；可视以 gpui `list` 逐块画出文件的顶层块（链接定义、HTML、front matter 照原文显示，每个字节都在块里或块间），按下的块开成源码（`TextInput`），其键入即刻算作文档的文字，写回为一步撤销，上下键越过块边进入相邻块，Esc 写回；Cmd（他处 Ctrl）按下交给链接；预览只读；源码为编辑器本身；128 KiB 以内当场解析，更长的在后台解析，解析中按下块不打开（日志）；新解析保留两端相同的块，滚动不跳。`CodeEditor` 的撤销历史最多留 64 MiB 文字，超出先丢最旧的步；`CodeEditor::reset` 换文字且撤销重新开始；`MarkdownMode` 加 `Preview`。组件库 fc181b4：一个插入点通用于各模式（编辑器的选区，写回的块移动它）；`set_caret` 与 `set_top_line` 分别设插入点与视图，换模式保持顶行；按下的块在前一块写回后仍是所按的块（按偏移换算，结构变了即不开并记日志）；块是 Tab 停靠点，Enter 或空格打开；预览不收按下、撤销与重做；撤销与重做每次记录、输入法组字、撤销、重做后都限在 64 MiB 内（先丢最旧的撤销，再丢最远的重做）。组件库 433c38f：只有对当下文字的解析才能打开块（解析的文字与编辑器相同），否则拒绝；要求的顶行在其文字解析后才落定：先到所在块，下一帧按块高的比例到块内位置，再有新的要求即接着放下一个；源码与列表之间切换保持顶行，可视与预览共用一个列表，切换不动滚动。组件库 abac8b4：顶行的要求带编号，迟到的帧回调只完成自己的那个；文字一换即按新文字重新放，放时按当下文字的行数夹住；`reveal` 是同样的要求（插入点设在该行，该行放到顶上），新文字解析后才落定。组件库 f59c9f7：文字超过读取上限（2 MiB）即丢掉旧的读取，大纲与块为空。ElyMark（C14.4）：视图即一个 `MarkdownDocument`，文本即文件原文（BOM 与 CRLF 照 `text.rs` 存回），新建、打开、保存、另存、重命名经外壳照旧；视图在建成后的下一轮更新向外壳报一次载入（文档在 `new` 里当场解析，外壳此时还未订阅）；文字超过 2 MiB 即只用源码并转去源码（随当前文字，不只看打开时）；网页实现的查找替换、表格、附件、书写视图的应用、导出与打印Line truncated

apps/ely-mark/Cargo.toml

@@ -29,6 +29,7 @@ serde_json.workspace = true
 workspace = true
 
 [dev-dependencies]
+markdown = "=1.0.0"
 ely-gpui-component = { workspace = true, features = ["test-support"] }
 ely-ui = { workspace = true, features = ["test-support"] }
 gpui = { workspace = true, features = ["test-support"] }

apps/ely-mark/src/attach.rs

@@ -39,6 +39,13 @@ impl MarkView {
                 if !others.is_empty() {
                     cx.emit(said("mark.attach.images", cx));
                 }
+                // A link names the file; its name must be text.
+                let (pictures, unnamed): (Vec<&PathBuf>, Vec<&PathBuf>) = pictures
+                    .into_iter()
+                    .partition(|path| path.file_name().is_some_and(|name| name.to_str().is_some()));
+                if !unnamed.is_empty() {
+                    cx.emit(said("mark.attach.name", cx));
+                }
                 pictures.into_iter().cloned().map(Source::File).collect()
             }
             Attachment::Picture(image) => {
@@ -132,10 +139,16 @@ fn link(folder: &Path, copy: &Path) -> String {
     let relative = copy.strip_prefix(folder).expect("copied under the folder");
     let address: Vec<String> = relative
         .components()
-        .map(|part| escaped(&part.as_os_str().to_string_lossy()))
+        .map(|part| escaped(part.as_os_str().to_str().expect("named in text")))
         .collect();
-    let stem = copy.file_stem().unwrap_or_default().to_string_lossy();
+    let stem = copy
+        .file_stem()
+        .unwrap_or_default()
+        .to_str()
+        .expect("named in text");
+    // A line break would end the image.
     let alt = stem
+        .replace(|ch: char| ch.is_control(), " ")
         .replace('\\', "\\\\")
         .replace('[', "\\[")
         .replace(']', "\\]");
@@ -296,4 +309,55 @@ mod tests {
             "![a b\\[1\\]](assets/a%20b%5B1%5D.png)"
         );
     }
+
+    #[test]
+    fn a_name_with_line_breaks_links_one_image() {
+        let folder = Path::new("/notes");
+        let written = link(
+            folder,
+            &folder.join("assets").join(
+                "a
+
+b.png",
+            ),
+        );
+        let tree =
+            markdown::to_mdast(&written, &markdown::ParseOptions::default()).expect("parses");
+        let blocks = tree.children().expect("a root");
+        let [markdown::mdast::Node::Paragraph(line)] = blocks.as_slice() else {
+            panic!("one paragraph, not {blocks:?}")
+        };
+        assert!(
+            matches!(line.children.as_slice(), [markdown::mdast::Node::Image(_)]),
+            "{written}"
+        );
+    }
+
+    /// A file name that is no text.
+    #[cfg(unix)]
+    fn odd_name() -> std::ffi::OsString {
+        use std::os::unix::ffi::OsStrExt as _;
+        std::ffi::OsStr::from_bytes(b"pic-\xFF.png").to_owned()
+    }
+
+    #[cfg(windows)]
+    fn odd_name() -> std::ffi::OsString {
+        use std::os::windows::ffi::OsStringExt as _;
+        std::ffi::OsString::from_wide(&[0x70, 0xD800, 0x2E, 0x70, 0x6E, 0x67])
+    }
+
+    #[gpui::test]
+    fn a_name_that_is_no_text_is_refused(cx: &mut TestAppContext) {
+        let (view, cx, [_, files], said) = saved(cx);
+        let odd = files.path().join(odd_name());
+        std::fs::write(&odd, "png").expect("an oddly named picture");
+        attach(&view, Attachment::Files(vec![odd]), cx);
+        assert!(!files.path().join("assets").exists());
+        assert_eq!(said.borrow().len(), 1);
+        assert_eq!(
+            current(&view, cx),
+            "a
+"
+        );
+    }
 }

crates/ely-ui/src/i18n/mark.rs

@@ -28,6 +28,7 @@ pub(super) const EN: &[(&str, &str)] = &[
     ("mark.attach.untitled", "Save the document first: images go beside it"),
     ("mark.attach.preview", "Switch to an editing mode to add images"),
     ("mark.attach.images", "Only images can be added"),
+    ("mark.attach.name", "A picture's file name is not plain text; rename it first"),
     ("mark.attach.moved", "The file moved while images copied; they are in {folder}, not linked"),
     ("mark.outside.changed", "{name} changed on disk; your unsaved text is kept"),
     ("mark.outside.deleted", "{name} was deleted on disk; your text is kept"),
@@ -120,6 +121,7 @@ pub(super) const ZH_CN: &[(&str, &str)] = &[
     ("mark.attach.untitled", "请先保存文档：图片放在它旁边"),
     ("mark.attach.preview", "请切到编辑模式再添加图片"),
     ("mark.attach.images", "只能添加图片"),
+    ("mark.attach.name", "图片的文件名不是规范文字，请先改名"),
     ("mark.attach.moved", "复制图片期间文件移动了；图片在 {folder}，未写入链接"),
     ("mark.outside.changed", "{name} 在磁盘上被改了；未保存的内容保留"),
     ("mark.outside.deleted", "{name} 在磁盘上被删除了；内容保留"),

tasks/reviews/C14.10-r1.md

@@ -0,0 +1,5 @@
+FAIL
+
+- apps/ely-mark/src/attach.rs:138 — Literal line breaks in the filename are copied into image alt text. On Linux, dropping `a\n\nb.png` copies the file successfully but inserts `![a\n\nb](assets/a%0A%0Ab.png)`. markdown-rs parses this as two ordinary paragraphs, with no image. Encode CR/LF safely in the alt text and add a regression that checks the generated Markdown parses as an image. Reproduced with the original `link`/`escaped` functions and markdown-rs; output: `.work/C14.10-r1/linux-probe.log`.
+
+- apps/ely-mark/src/attach.rs:135 — `to_string_lossy()` silently changes an attachment's actual filename when building its address. On WSL Linux, importing the valid filename `b"pic-\xFF.png"` preserves those bytes on disk, but the generated link is `assets/pic-%EF%BF%BD.png`, which names a different, nonexistent file. No failure is reported. Remove the lossy conversion from address generation; either support the actual filename end to end or explicitly reject unrepresentable names before copying. Add a regression using a real non-UTF-8 filename. Reproduced with `ely_files::import_attachment` and the original link functions; output: `.work/C14.10-r1/linux-probe.log`.