R3.1: keep \?\ for file IO; simplify a save target only as a whole

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

agents.md

@@ -284,4 +284,4 @@ cargo run -p ely-doc          启动一个应用（ElyDoc 先 cargo build -p ely
 - 2026-10-11（用户定：替换 v0.1.3 的 Linux 包）：v0.1.3 发布里原有的六个 AppImage（无头，打不开窗口）已删去，换成本机容器里建出的六个应用各四种包（共 24 个），出自 L1.7 的提交（晚于该标签）；上传后逐个核对大小，ElyTree 的 AppImage 下载回来散列相同。`package.sh` 把每个 RUNPATH 按所在 ELF 解析（`$ORIGIN` 或 `${ORIGIN}` 开头，规范化后须在 AppDir 内），否则拒绝（如未修正的 cairo）：CI 用的是别处建好的引擎，旧构建会在这里报错而不是带进包里。替换的 Linux 包对应的源码随之上传到同一发布（`source.sh`，文件名带构建提交号），发布说明写明 Linux 包出自哪个提交。
 - 2026-10-11：`ci.sh` 用 `ELY_SHARE` 时，CI 克隆里的 `engines`、`reference` 须是指向共享克隆的链接（Windows 为目录联接，不查）；是本克隆自建的目录或指向别处即报错，不混用。`.gitignore` 的 `/engines`、`/reference` 不带斜杠，链接也被忽略（`source.sh` 要求工作区干净）。
 - 2026-10-11（用户定：ElyMark 不用 CEF，不用 Electron）：ElyMark 改为原生。界面用组件库的 Markdown 组件（`documents::MarkdownEditor` 一族，缺的在组件库补并推到 Gitea），解析用 markdown-rs（`markdown` 1.0.0），公式用 RaTeX，Mermaid 用 mermaid-rs-renderer，PDF 用 MuPDF Story；CEF 随之删去，ElyMail 的正文也不用 CEF 与 Electron。进度在 `tasks/TASKS.md` 的 C14。组件库 fcad0ff 与 508cc55：`MarkdownRenderer`、`MarkdownEditor`、Markdown 着色、块范围与链接查找改读 markdown-rs 的语法树（GitHub 风格加公式），引用式链接与图片按定义解析，图片把所在段落分开，单行 `$$…$$` 为块公式，软换行（LF、CRLF、CR）读作空格，嵌套在引用与列表里的定义同样解析，强调与链接里的图片仍是图片（链接里的图片可按）；`BlockEditor` 的导入导出不属 ElyMark，仍用 pulldown-cmark。markdown-rs 读嵌套图片时只留外层的说明。组件库 d5ecc5a：块公式经 `typography::Latex` 由 RaTeX 排出（字形为轮廓，按窗口缩放画），```` ```mermaid ```` 块经 `documents::Diagram` 由 mermaid-rs-renderer 画出（Mermaid 自己的深浅主题，底色与字色取 Ely 色板），都作为 gpui 资源在后台排版，RaTeX 或 Mermaid 对已解析的输入 panic 时显示为错误；`MarkdownRenderer::base` 给出文档所在文件夹，相对与 file 地址的图片从中读取并按自身大小、不超过栏宽显示，`data:` 地址解码，网络图片不载入（写明）。组件库 ab9a14c：每个公式、图与图片元素经 `primitives::held` 持有其资源，按资源计数持有者（8b9820b；画出的图存在共享的记录里，9036c92 起由最后离开的持有者释放，哪怕它自己还没收到图），最后一个持有者换了内容或离开窗口才从 gpui 资源缓存移除、在本帧之后从图集释放，共用同一内容的元素（含 gpui 缓存的视图）不受影响；公式按字形实际范围取画框，字形不被裁；公式失败显示原因、RaTeX 给的位置与原文，日志不含公式；`file:` 地址去掉查询与片段，`localhost` 为本机，Windows 上别的主机为共享路径，他处拒绝；Mermaid 的节点与饼图文字取 Ely 的前景色。组件库 2b6f551：`documents::MarkdownDocument` 是文件级的 Markdown 文档：全文与撤销在一个 `CodeEditor` 里（`CodeEditor::highlighter` 以 `markdown_highlights` 着色，无行号）；可视以 gpui `list` 逐块画出文件的顶层块（链接定义、HTML、front matter 照原文显示，每个字节都在块里或块间），按下的块开成源码（`TextInput`），其键入即刻算作文档的文字，写回为一步撤销，上下键越过块边进入相邻块，Esc 写回；Cmd（他处 Ctrl）按下交给链接；预览只读；源码为编辑器本身；128 KiB 以内当场解析，更长的在后台解析，解析中按下块不打开（日志）；新解析保留两端相同的块，滚动不跳。`CodeEditor` 的撤销历史最多留 64 MiB 文字，超出先丢最旧的步；`CodeEditor::reset` 换文字且撤销重新开始；`MarkdownMode` 加 `Preview`。组件库 fc181b4：一个插入点通用于各模式（编辑器的选区，写回的块移动它）；`set_caret` 与 `set_top_line` 分别设插入点与视图，换模式保持顶行；按下的块在前一块写回后仍是所按的块（按偏移换算，结构变了即不开并记日志）；块是 Tab 停靠点，Enter 或空格打开；预览不收按下、撤销与重做；撤销与重做每次记录、输入法组字、撤销、重做后都限在 64 MiB 内（先丢最旧的撤销，再丢最远的重做）。组件库 433c38f：只有对当下文字的解析才能打开块（解析的文字与编辑器相同），否则拒绝；要求的顶行在其文字解析后才落定：先到所在块，下一帧按块高的比例到块内位置，再有新的要求即接着放下一个；源码与列表之间切换保持顶行，可视与预览共用一个列表，切换不动滚动。组件库 abac8b4：顶行的要求带编号，迟到的帧回调只完成自己的那个；文字一换即按新文字重新放，放时按当下文字的行数夹住；`reveal` 是同样的要求（插入点设在该行，该行放到顶上），新文字解析后才落定。组件库 f59c9f7：文字超过读取上限（2 MiB）即丢掉旧的读取，大纲与块为空。ElyMark（C14.4）：视图即一个 `MarkdownDocument`，文本即文件原文（BOM 与 CRLF 照 `text.rs` 存回），新建、打开、保存、另存、重命名经外壳照旧；视图在建成后的下一轮更新向外壳报一次载入（文档在 `new` 里当场解析，外壳此时还未订阅）；文字超过 2 MiB 即只用源码并转去源码（随当前文字，不只看打开时）；网页实现的查找替换、表格、附件、书写视图的应用、导出与打印Line truncated
-- 2026-10-12（用户报：Windows 上 ElyMark 的最近列表显示 `\\?\C:\…`）：凡取真实路径一律 `dunce::canonicalize`（ely-files 的会话登记与导出、ely-office 的另存身份、ely-lok 的内核目录与配置目录、ElyMark 的文件夹、最近列表、会话与标签比对；ElyTree 原已如此）：Windows 上能写成普通路径即普通路径，他处同 `std::fs::canonicalize`。`ely_files::recent` 读入时以 `dunce::simplified` 去掉旧版写下的 `\\?\` 并去重，下次写入即为普通路径。
+- 2026-10-12（用户报：Windows 上 ElyMark 的最近列表显示 `\\?\C:\…`）：凡取真实路径一律 `dunce::canonicalize`（ely-files 的会话登记、ely-lok 的内核目录与配置目录、ElyMark 的文件夹、最近列表、会话与标签比对；ElyTree 原已如此）：Windows 上能写成普通路径即普通路径，他处同 `std::fs::canonicalize`。只供读写的路径照旧保留 `\\?\`（`ely_files::save` 的落盘与同文件判定：在 250 字的文件夹里，普通写法的暂存文件名越过 260 而写不进）；ely-office 另存的目标先以完整路径求出，再以 `dunce::simplified` 整体判定能否写成普通路径（先简化文件夹再接文件名时，结尾带空格的名字会被 Windows 削成另一个已打开的文件）。`ely_files::recent` 读入时以 `dunce::simplified` 去掉旧版写下的 `\\?\` 并去重，下次写入即为普通路径。

crates/ely-files/src/save.rs

@@ -183,7 +183,7 @@ pub fn export(
 
 /// The canonical form of a possibly missing path.
 fn resolved(path: &Path) -> io::Result<PathBuf> {
-    match dunce::canonicalize(path) {
+    match std::fs::canonicalize(path) {
         Ok(real) => Ok(real),
         Err(error) if error.kind() == io::ErrorKind::NotFound => {
             let name = path.file_name().ok_or_else(|| {
@@ -192,7 +192,7 @@ fn resolved(path: &Path) -> io::Result<PathBuf> {
                     format!("{} has no file name", path.display()),
                 )
             })?;
-            Ok(dunce::canonicalize(parent_dir(path))?.join(name))
+            Ok(std::fs::canonicalize(parent_dir(path))?.join(name))
         }
         Err(error) => Err(error),
     }

crates/ely-files/src/save/tests.rs

@@ -507,3 +507,6 @@ fn overwrite_resolves_a_conflict_with_the_local_version() {
     assert_eq!(read(&own), "local");
     assert_eq!(session.state(), SaveState::Saved);
 }
+
+#[cfg(windows)]
+mod long;

crates/ely-files/src/save/tests/long.rs

@@ -0,0 +1,49 @@
+use std::os::windows::ffi::OsStrExt as _;
+use std::path::{Path, PathBuf};
+
+use super::super::*;
+
+/// UTF-16 units Windows counts in `path`.
+fn units(path: &Path) -> usize {
+    path.as_os_str().encode_wide().count()
+}
+
+/// A folder under `root` whose path is `want` units long.
+fn folder_of(root: &Path, want: usize) -> PathBuf {
+    let name = "d".repeat(want - units(root) - 1);
+    let dir = root.join(name);
+    std::fs::create_dir(&dir).expect("the long folder");
+    assert_eq!(units(&dir), want);
+    dir
+}
+
+#[test]
+fn an_existing_short_file_in_a_long_folder_saves() {
+    let root = tempfile::tempdir().expect("a temp dir");
+    let target = folder_of(root.path(), 250).join("a.md");
+    std::fs::write(&target, "old").expect("the file");
+    save_atomic(&target, b"new", 1).expect("the staging file fits");
+    assert_eq!(std::fs::read(&target).expect("reads"), b"new");
+}
+
+#[test]
+fn a_new_file_past_the_old_limit_saves() {
+    let root = tempfile::tempdir().expect("a temp dir");
+    let dir = folder_of(root.path(), 200);
+    let target = dir.join(format!("{}.md", "x".repeat(72 - 3)));
+    assert_eq!(units(&target), 273);
+    save_atomic(&target, b"long", 1).expect("the long file saves");
+    assert_eq!(std::fs::read(&target).expect("reads"), b"long");
+}
+
+#[test]
+fn a_trailing_space_name_never_overwrites_the_open_file() {
+    let root = tempfile::tempdir().expect("a temp dir");
+    let open = std::fs::canonicalize(root.path()).expect("real").join("guard.md");
+    std::fs::write(&open, "keep").expect("the open file");
+    let literal = PathBuf::from(format!("{} ", open.display()));
+    assert!(literal.to_string_lossy().starts_with(r"\\?\"), "a verbatim path: {}", literal.display());
+    export(&literal, Some(&open), b"exported", 1).expect("the export lands");
+    assert_eq!(std::fs::read(&open).expect("reads"), b"keep");
+    assert_eq!(std::fs::read(&literal).expect("the literal file"), b"exported");
+}

crates/ely-office/src/save.rs

@@ -14,17 +14,19 @@ use crate::{After, Closing, Dialog, Engine, Host, Opening, Tab, Tabs, in_window,
 
 /// The file a path names, links resolved.
 fn identity(path: &Path) -> io::Result<PathBuf> {
-    match dunce::canonicalize(path) {
-        Ok(real) => Ok(real),
+    let real = match std::fs::canonicalize(path) {
+        Ok(real) => real,
         Err(error) if error.kind() == io::ErrorKind::NotFound => {
             let parent = path.parent().unwrap_or(Path::new("."));
             let name = path
                 .file_name()
                 .ok_or_else(|| io::Error::other("no file name"))?;
-            Ok(dunce::canonicalize(parent)?.join(name))
+            std::fs::canonicalize(parent)?.join(name)
         }
-        Err(error) => Err(error),
-    }
+        Err(error) => return Err(error),
+    };
+    // Whole path only: a name may need `\\?\`.
+    Ok(dunce::simplified(&real).to_path_buf())
 }
 
 pub trait Saving: Host {
@@ -478,3 +480,6 @@ pub fn folder<E, G: Engine>(tab: &Tab<E, G>) -> Option<PathBuf> {
                 .map(PathBuf::from)
         })
 }
+
+#[cfg(all(test, windows))]
+mod tests;

crates/ely-office/src/save/tests.rs

@@ -0,0 +1,35 @@
+use std::os::windows::ffi::OsStrExt as _;
+use std::path::{Path, PathBuf};
+
+use super::identity;
+
+fn verbatim(path: &Path) -> bool {
+    path.to_string_lossy().starts_with(r"\\?\")
+}
+
+#[test]
+fn a_short_path_reads_plain() {
+    let root = tempfile::tempdir().expect("a temp dir");
+    let new = identity(&root.path().join("new.md")).expect("a target");
+    assert!(!verbatim(&new), "{}", new.display());
+}
+
+#[test]
+fn a_trailing_space_name_stays_verbatim() {
+    let root = tempfile::tempdir().expect("a temp dir");
+    let real = std::fs::canonicalize(root.path()).expect("real");
+    let spaced = identity(&PathBuf::from(format!("{} ", real.join("guard.md").display())))
+        .expect("a target");
+    assert!(verbatim(&spaced), "{}", spaced.display());
+    assert!(spaced.to_string_lossy().ends_with("guard.md "));
+}
+
+#[test]
+fn a_long_new_name_stays_verbatim() {
+    let root = tempfile::tempdir().expect("a temp dir");
+    let dir = root.path().join("d".repeat(150));
+    std::fs::create_dir(&dir).expect("a folder");
+    let long = identity(&dir.join(format!("{}.md", "x".repeat(120)))).expect("a target");
+    assert!(long.as_os_str().encode_wide().count() > 260);
+    assert!(verbatim(&long), "{}", long.display());
+}

tasks/reviews/R3.1-r1.md

@@ -0,0 +1,5 @@
+FAIL
+
+1. [P1] crates/ely-files/src/save.rs:195; crates/ely-office/src/save.rs:24 — Simplifying the parent before joining a missing filename can change which file the completed path names. On Windows, with `guard.md` open, exporting to the nonexistent extended path `\\?\C:\…\guard.md ` returns success and overwrites `guard.md`: the parent loses its prefix, Win32 trims the filename's trailing space, and `same_file` incorrectly returns false. The intended literal target never exists. This violates FILE-06. The same branch also fails to save a new 273-UTF-16-unit path whose parent is short enough to simplify, violating FILE-09. Both scenarios reproduced against the rebuilt library; the original canonical-parent algorithm preserves the open file and successfully writes the long target. Preserve extended-path semantics until the complete prospective target is formed, then simplify only when the complete path is safe, in both helpers. Add Windows regression tests for the overwrite and new long target. Evidence: `.work/R3.1-probe.log`.
+
+2. [P2] crates/ely-files/src/save.rs:186 — Simplifying an existing target also breaks atomic saves when its sibling staging filename crosses Windows' path limit. Reproduced with a 250-UTF-16-unit directory and existing `a.md` (255 units total): `save_atomic` returns OS error 3, although the original algorithm succeeds. The target is short enough for dunce to strip its prefix, but tempfile's `.tmp` plus six random characters makes the staging path 261 units; tempfile passes that unprefixed path directly to `SetFileAttributesW` during persistence. This affects ordinary saves and autosaves of existing documents (FILE-04/FILE-09), independently of the missing-target branch. Ensure the complete staging and destination paths used by Win32 persistence retain extended syntax whenever required, while keeping displayed paths simplified. Add a Windows regression test with an existing short filename in a directory near this limit. Evidence: `.work/R3.1-probe.log`, `existing_short_file_in_long_directory_keeps_saving`.