cj-tauri 2.0.0 → 2.1.0

package/native/core/bridge_js.h

@@ -1,108 +1,108 @@
-/*
- * 前端桥接脚本（单份）：暴露 window.__CJ_TAURI__，对标 @tauri-apps/api。
- *
- * 为什么单份：Linux 与 Windows 两座桥原本各存一份同内容的 JS，任何修补都要改两处，
- * 极易漂移（"与 Windows 对齐"曾是反复出现的叮嘱）。这里抽成一份宏，纳入本文件即可。
- *
- * 用法（两平台唯一差异只有两条语句：post 通道 + reload 控制消息）：
- *   1) 先定义 CJ_LIT(x) —— 窄/宽字符串前缀：
- *        Linux   (bridge_linux.c)：#define CJ_LIT(s) s
- *        Windows (bridge_win.c)  ：#define CJ_LIT(s) L##s   （AddScriptToExecuteOnDocumentCreated 要 wchar_t）
- *   2) 提供两条自带缩进与分号的平台语句字面量；
- *   3) 展开 CJ_BRIDGE_JS(POST_STMT, RELOAD_STMT)。
- *
- * 注意：JS 源码里的块注释（斜杠星号）与单引号字符串都是**字符串内容**，不是 C 注释/字符——
- * 改本文件时别把它们挪出引号（仓颉侧内联 HTML 已踩过同类坑，见 AGENTS.md §4）。
- */
-#ifndef CJ_LIT
-#error "bridge_js.h: 请先定义 CJ_LIT(x)（Linux 原样 / Windows L##x）再 include"
-#endif
-
-#define CJ_BRIDGE_JS(POST_STMT, RELOAD_STMT) \
-    CJ_LIT("window.__CJ_TAURI__ = (function () {") \
-    CJ_LIT("  var seq = 0;") \
-    CJ_LIT("  var pending = {};") \
-    CJ_LIT("  var listeners = {};") \
-    CJ_LIT("  var coalesceSlots = Object.create(null);  /* 本帧待投的事件：event -> 最新 payload */") \
-    CJ_LIT("  var coalesceTimer = null;") \
-    CJ_LIT("  var coalesceRaf = 0;") \
-    CJ_LIT("  /* tick = 一帧：同一帧内同名事件只投最后一次 payload（中间值丢弃） */") \
-    CJ_LIT("  function flushCoalesced() {") \
-    CJ_LIT("    if (coalesceTimer !== null) { clearTimeout(coalesceTimer); coalesceTimer = null; }") \
-    CJ_LIT("    if (coalesceRaf && typeof cancelAnimationFrame === 'function') cancelAnimationFrame(coalesceRaf);") \
-    CJ_LIT("    coalesceRaf = 0;") \
-    CJ_LIT("    var due = coalesceSlots;") \
-    CJ_LIT("    coalesceSlots = Object.create(null);") \
-    CJ_LIT("    for (var name in due) {") \
-    CJ_LIT("      var arr = listeners[name] || [];") \
-    CJ_LIT("      for (var i = 0; i < arr.length; i++) arr[i](due[name]);") \
-    CJ_LIT("    }") \
-    CJ_LIT("  }") \
-    CJ_LIT("  function scheduleCoalesced() {") \
-    CJ_LIT("    if (coalesceTimer !== null || coalesceRaf) return;") \
-    CJ_LIT("    /* rAF 是帧边界；窗口不可见时它不来，用定时器兜底，保证尾值一定送达 */") \
-    CJ_LIT("    if (typeof requestAnimationFrame === 'function') coalesceRaf = requestAnimationFrame(flushCoalesced);") \
-    CJ_LIT("    coalesceTimer = setTimeout(flushCoalesced, 50);") \
-    CJ_LIT("  }") \
-    CJ_LIT("  /* 本页面所属窗口的 label：宿主在 document-start 注入 window.__CJ_TAURI_LABEL__ */") \
-    CJ_LIT("  /* 懒读 + 缓存（首次用到才取值）：注入脚本与桥 JS 谁先执行都可能，默认 'main' 与老前端对齐 */") \
-    CJ_LIT("  var cachedLabel = null;") \
-    CJ_LIT("  function labelOf() {") \
-    CJ_LIT("    if (cachedLabel === null) {") \
-    CJ_LIT("      var v = (typeof window !== 'undefined') ? window.__CJ_TAURI_LABEL__ : null;") \
-    CJ_LIT("      cachedLabel = (typeof v === 'string' && v.length > 0) ? v : 'main';") \
-    CJ_LIT("    }") \
-    CJ_LIT("    return cachedLabel;") \
-    CJ_LIT("  }") \
-    CJ_LIT("  function post(obj) {") \
-    POST_STMT \
-    CJ_LIT("  }") \
-    CJ_LIT("  return {") \
-    CJ_LIT("    invoke: function (cmd, args) {") \
-    CJ_LIT("      var id = ++seq;") \
-    CJ_LIT("      var p = new Promise(function (resolve, reject) { pending[id] = { resolve: resolve, reject: reject }; });") \
-    CJ_LIT("      post({ type: 'invoke', id: id, cmd: cmd, args: args || {}, window: labelOf() });") \
-    CJ_LIT("      return p;") \
-    CJ_LIT("    },") \
-    CJ_LIT("    listen: function (event, cb) {") \
-    CJ_LIT("      if (!listeners[event]) listeners[event] = [];") \
-    CJ_LIT("      listeners[event].push(cb);") \
-    CJ_LIT("      return function () {") \
-    CJ_LIT("        var arr = listeners[event] || [];") \
-    CJ_LIT("        var i = arr.indexOf(cb);") \
-    CJ_LIT("        if (i >= 0) arr.splice(i, 1);") \
-    CJ_LIT("      };") \
-    CJ_LIT("    },") \
-    CJ_LIT("    emit: function (event, payload) {") \
-    CJ_LIT("      /* 带 id 才有回执：后端能把「事件未授权 / 报文非法」reject 回来（对齐 Tauri 的 emit 返回 Promise） */") \
-    CJ_LIT("      var id = ++seq;") \
-    CJ_LIT("      var p = new Promise(function (resolve, reject) { pending[id] = { resolve: resolve, reject: reject }; });") \
-    CJ_LIT("      post({ type: 'emit', id: id, event: event, payload: payload === undefined ? {} : payload, window: labelOf() });") \
-    CJ_LIT("      return p;") \
-    CJ_LIT("    },") \
-    CJ_LIT("    reload: function () {") \
-    CJ_LIT("      /* 与 CJT_RELOAD_MSG 保持一致：宿主拦截后不会进 IPC hub */") \
-    RELOAD_STMT \
-    CJ_LIT("    },") \
-    CJ_LIT("    _dispatch: function (msg) {") \
-    CJ_LIT("      if (!msg) return;") \
-    CJ_LIT("      if (msg.type === 'resolve') {") \
-    CJ_LIT("        var p = pending[msg.id];") \
-    CJ_LIT("        if (!p) return;") \
-    CJ_LIT("        delete pending[msg.id];") \
-    CJ_LIT("        if (msg.ok) p.resolve(msg.data); else p.reject(new Error(msg.error || 'invoke failed'));") \
-    CJ_LIT("      } else if (msg.type === 'event') {") \
-    CJ_LIT("        /* window 缺省 = 广播，放行；定向推送只投给 label 匹配的页面 */") \
-    CJ_LIT("        if (msg.window && msg.window !== labelOf()) return;") \
-    CJ_LIT("        if (msg.coalesce) {") \
-    CJ_LIT("          /* emitLatest：只记最新值，一帧后统一投（同一帧内同名事件合成一条） */") \
-    CJ_LIT("          coalesceSlots[msg.event] = msg.payload;") \
-    CJ_LIT("          scheduleCoalesced();") \
-    CJ_LIT("          return;") \
-    CJ_LIT("        }") \
-    CJ_LIT("        var arr = listeners[msg.event] || [];") \
-    CJ_LIT("        for (var i = 0; i < arr.length; i++) arr[i](msg.payload);") \
-    CJ_LIT("      }") \
-    CJ_LIT("    }") \
-    CJ_LIT("  };") \
-    CJ_LIT("})();")
+/*
+ * 前端桥接脚本（单份）：暴露 window.__CJ_TAURI__，对标 @tauri-apps/api。
+ *
+ * 为什么单份：Linux 与 Windows 两座桥原本各存一份同内容的 JS，任何修补都要改两处，
+ * 极易漂移（"与 Windows 对齐"曾是反复出现的叮嘱）。这里抽成一份宏，纳入本文件即可。
+ *
+ * 用法（两平台唯一差异只有两条语句：post 通道 + reload 控制消息）：
+ *   1) 先定义 CJ_LIT(x) —— 窄/宽字符串前缀：
+ *        Linux   (bridge_linux.c)：#define CJ_LIT(s) s
+ *        Windows (bridge_win.c)  ：#define CJ_LIT(s) L##s   （AddScriptToExecuteOnDocumentCreated 要 wchar_t）
+ *   2) 提供两条自带缩进与分号的平台语句字面量；
+ *   3) 展开 CJ_BRIDGE_JS(POST_STMT, RELOAD_STMT)。
+ *
+ * 注意：JS 源码里的块注释（斜杠星号）与单引号字符串都是**字符串内容**，不是 C 注释/字符——
+ * 改本文件时别把它们挪出引号（仓颉侧内联 HTML 已踩过同类坑，见 AGENTS.md §4）。
+ */
+#ifndef CJ_LIT
+#error "bridge_js.h: 请先定义 CJ_LIT(x)（Linux 原样 / Windows L##x）再 include"
+#endif
+
+#define CJ_BRIDGE_JS(POST_STMT, RELOAD_STMT) \
+    CJ_LIT("window.__CJ_TAURI__ = (function () {") \
+    CJ_LIT("  var seq = 0;") \
+    CJ_LIT("  var pending = {};") \
+    CJ_LIT("  var listeners = {};") \
+    CJ_LIT("  var coalesceSlots = Object.create(null);  /* 本帧待投的事件：event -> 最新 payload */") \
+    CJ_LIT("  var coalesceTimer = null;") \
+    CJ_LIT("  var coalesceRaf = 0;") \
+    CJ_LIT("  /* tick = 一帧：同一帧内同名事件只投最后一次 payload（中间值丢弃） */") \
+    CJ_LIT("  function flushCoalesced() {") \
+    CJ_LIT("    if (coalesceTimer !== null) { clearTimeout(coalesceTimer); coalesceTimer = null; }") \
+    CJ_LIT("    if (coalesceRaf && typeof cancelAnimationFrame === 'function') cancelAnimationFrame(coalesceRaf);") \
+    CJ_LIT("    coalesceRaf = 0;") \
+    CJ_LIT("    var due = coalesceSlots;") \
+    CJ_LIT("    coalesceSlots = Object.create(null);") \
+    CJ_LIT("    for (var name in due) {") \
+    CJ_LIT("      var arr = listeners[name] || [];") \
+    CJ_LIT("      for (var i = 0; i < arr.length; i++) arr[i](due[name]);") \
+    CJ_LIT("    }") \
+    CJ_LIT("  }") \
+    CJ_LIT("  function scheduleCoalesced() {") \
+    CJ_LIT("    if (coalesceTimer !== null || coalesceRaf) return;") \
+    CJ_LIT("    /* rAF 是帧边界；窗口不可见时它不来，用定时器兜底，保证尾值一定送达 */") \
+    CJ_LIT("    if (typeof requestAnimationFrame === 'function') coalesceRaf = requestAnimationFrame(flushCoalesced);") \
+    CJ_LIT("    coalesceTimer = setTimeout(flushCoalesced, 50);") \
+    CJ_LIT("  }") \
+    CJ_LIT("  /* 本页面所属窗口的 label：宿主在 document-start 注入 window.__CJ_TAURI_LABEL__ */") \
+    CJ_LIT("  /* 懒读 + 缓存（首次用到才取值）：注入脚本与桥 JS 谁先执行都可能，默认 'main' 与老前端对齐 */") \
+    CJ_LIT("  var cachedLabel = null;") \
+    CJ_LIT("  function labelOf() {") \
+    CJ_LIT("    if (cachedLabel === null) {") \
+    CJ_LIT("      var v = (typeof window !== 'undefined') ? window.__CJ_TAURI_LABEL__ : null;") \
+    CJ_LIT("      cachedLabel = (typeof v === 'string' && v.length > 0) ? v : 'main';") \
+    CJ_LIT("    }") \
+    CJ_LIT("    return cachedLabel;") \
+    CJ_LIT("  }") \
+    CJ_LIT("  function post(obj) {") \
+    POST_STMT \
+    CJ_LIT("  }") \
+    CJ_LIT("  return {") \
+    CJ_LIT("    invoke: function (cmd, args) {") \
+    CJ_LIT("      var id = ++seq;") \
+    CJ_LIT("      var p = new Promise(function (resolve, reject) { pending[id] = { resolve: resolve, reject: reject }; });") \
+    CJ_LIT("      post({ type: 'invoke', id: id, cmd: cmd, args: args || {}, window: labelOf() });") \
+    CJ_LIT("      return p;") \
+    CJ_LIT("    },") \
+    CJ_LIT("    listen: function (event, cb) {") \
+    CJ_LIT("      if (!listeners[event]) listeners[event] = [];") \
+    CJ_LIT("      listeners[event].push(cb);") \
+    CJ_LIT("      return function () {") \
+    CJ_LIT("        var arr = listeners[event] || [];") \
+    CJ_LIT("        var i = arr.indexOf(cb);") \
+    CJ_LIT("        if (i >= 0) arr.splice(i, 1);") \
+    CJ_LIT("      };") \
+    CJ_LIT("    },") \
+    CJ_LIT("    emit: function (event, payload) {") \
+    CJ_LIT("      /* 带 id 才有回执：后端能把「事件未授权 / 报文非法」reject 回来（对齐 Tauri 的 emit 返回 Promise） */") \
+    CJ_LIT("      var id = ++seq;") \
+    CJ_LIT("      var p = new Promise(function (resolve, reject) { pending[id] = { resolve: resolve, reject: reject }; });") \
+    CJ_LIT("      post({ type: 'emit', id: id, event: event, payload: payload === undefined ? {} : payload, window: labelOf() });") \
+    CJ_LIT("      return p;") \
+    CJ_LIT("    },") \
+    CJ_LIT("    reload: function () {") \
+    CJ_LIT("      /* 与 CJT_RELOAD_MSG 保持一致：宿主拦截后不会进 IPC hub */") \
+    RELOAD_STMT \
+    CJ_LIT("    },") \
+    CJ_LIT("    _dispatch: function (msg) {") \
+    CJ_LIT("      if (!msg) return;") \
+    CJ_LIT("      if (msg.type === 'resolve') {") \
+    CJ_LIT("        var p = pending[msg.id];") \
+    CJ_LIT("        if (!p) return;") \
+    CJ_LIT("        delete pending[msg.id];") \
+    CJ_LIT("        if (msg.ok) p.resolve(msg.data); else p.reject(new Error(msg.error || 'invoke failed'));") \
+    CJ_LIT("      } else if (msg.type === 'event') {") \
+    CJ_LIT("        /* window 缺省 = 广播，放行；定向推送只投给 label 匹配的页面 */") \
+    CJ_LIT("        if (msg.window && msg.window !== labelOf()) return;") \
+    CJ_LIT("        if (msg.coalesce) {") \
+    CJ_LIT("          /* emitLatest：只记最新值，一帧后统一投（同一帧内同名事件合成一条） */") \
+    CJ_LIT("          coalesceSlots[msg.event] = msg.payload;") \
+    CJ_LIT("          scheduleCoalesced();") \
+    CJ_LIT("          return;") \
+    CJ_LIT("        }") \
+    CJ_LIT("        var arr = listeners[msg.event] || [];") \
+    CJ_LIT("        for (var i = 0; i < arr.length; i++) arr[i](msg.payload);") \
+    CJ_LIT("      }") \
+    CJ_LIT("    }") \
+    CJ_LIT("  };") \
+    CJ_LIT("})();")

package/native/platforms/harmonyos/README.md

@@ -1,6 +1,7 @@
 # HarmonyOS ArkWeb 平台适配
 
-状态（2026-10-19）：**宿主已在仓颉侧落地并在真机跑通完整闭环；C 桥未落地，宿主能力位仍全 0**。
+状态（2026-10-24）：**宿主已在仓颉侧落地并在真机跑通完整闭环；C 桥未落地；宿主能力位已有 1 项
+（菜单）取证落地，其余仍全 0**。
 
 判据分三层，别混为一谈：
 
@@ -13,9 +14,19 @@
   实现，`@When[env == "ohos"]` 一平台一份。按 AGENTS §2，新增宿主能力仍是「先扩 `WebViewHost` 接口、
   再改各平台实现」，但不要求鸿蒙侧补同名 `cj_bridge_*` 导出（无 C 桥平台：核心 FFI 一律
   `@When` 门禁 + 如实降级，见 §4）。
-- **宿主能力位全 0**——菜单、托盘、全局快捷键、拖放、原生对话框、剪贴板、通知、标题栏副标题
-  一律如实拒绝（`hostCapabilities()` 返回 0）。按 AGENTS §1 门禁 4：**没有实机证据的能力位
-  不许上报**，所以它们不会因为「代码里写了」就变成 1。
+- **宿主能力位：只有菜单置 1，其余五项为 0**——`CJ_CAP_MENU` 已于 2026-10-24 真机取证
+  （点得动菜单项、原生回投 `{"kind":"menu","id":…}`、页面收到 `menu:click`，见文末「菜单能力位」）；
+  托盘 / 全局快捷键 / 拖放 / 通知 / 标题栏副标题一律如实拒绝（对应位为 0）。
+  按 AGENTS §1 门禁 4：**没有实机证据的能力位不许上报**，所以它们不会因为「代码里写了」就变成 1。
+  **注意「对话框」与「剪贴板」根本不占能力位**——`bridge_core.h` 的全部位就是
+  menu / tray / dragdrop / notification / hotkey / subtitle 这六个，没有 dialog、也没有 clipboard。
+  两者的真实形态都是**插件命令**，开关在能力清单的 `commands`（或命名权限集）里：
+  - 对话框：`dialog:message` / `dialog:confirm` / `dialog:open` → 宿主 `showMessageDialog()`
+    在鸿蒙侧是「入队 + 有界轮询等 UI 侧回填」（不占 UI 线程），**渲染由应用侧 `CjDialogHost`
+    组件完成**（ArkUI 只能在应用侧），真机四段日志已取证；
+  - 剪贴板：`clipboard:*` 直连 NDK pasteboard，**真机写通、读被 `READ_PASTEBOARD` 挡住**
+    （系统权限等级 `SYSTEM_BASIC`，普通调试证书声明了也装不上，详见文末「剪贴板」一节）。
+  所以「能力位表里看不到对话框/剪贴板」= 它们不在这张表里，不是「能力不可用」；判据是那三条命令调得通不通。
 
 ⚠️ **两条与桌面平台不同的硬约束**（真机踩过，改动前务必看）：
 
@@ -102,5 +113,103 @@
   每条报文里 `window=`（原生侧归属）与 `me=`（页面自认的 label）**逐条恒等**——这就是「不串台」；
 - 同轮 `SIGSEGV` / `panic` / `fatal` 计数 0，`command not allowed|registered|rejected` 计数 0。
 
-宿主能力位（菜单 / 托盘 / 快捷键 / 拖放 / 对话框 / 剪贴板 / 通知）**仍一项都没有证据**，
-所以 `hostCapabilities()` 保持返回 0——别因为「代码里写了降级」就把它读成验收过了。
+## 菜单能力位（2026-10-24 真机取证）
+
+**结论：`CJ_CAP_MENU` 置 1。** 分工与桌面两平台一致——框架只管「模型 → 宿主」的翻译与报文回投，
+**渲染在应用侧**（鸿蒙的 `bindMenu` 只接受应用侧组件上的 `Array<MenuElement>`，框架包不能碰 ArkUI，
+见上面的硬约束 1）：
+
+| 环节 | 位置 | 做什么 |
+| --- | --- | --- |
+| 模型 | 框架 `src/arkweb_menu.cj` | `MenuModel` / `MenuItem` → 扁平 `Array<MenuElement>`（标题、勾选标记、分隔线），并解析宿主回投的 `{"kind":"menu","id":…}` |
+| 渲染 | 应用侧 `cli/templates/ohos-skeleton/entry/src/main/cangjie/index.cj` | `Button("菜单").bindMenu(...)` + 点击回调 `noteMenuClick(id)`，顺带一行 hilog `menu click label=… id=…` |
+| 回投 | 框架 `src/host_arkweb.cj` | shell 报文 → 应用 `onShellEvent` → 页面 `menu:click` 事件（需在能力清单 `events` 声明） |
+| 状态 | 应用侧 + `menu` 插件 | `menu:setChecked` / `setEnabled` 命令 → 宿主 `setMenuItemState`，应用侧留存「另一维状态」后重新 `bindMenu` |
+
+真机判据（`examples/ohos/ohos-capabilities`，`hdc shell hilog` 原样摘录）：
+
+```
+CjTauri: menu click label=main id=view.sidebar
+CjProbe: PASS menu click id=view.sidebar enabled=true checked=false
+CjProbe: PASS cap menu expect=true actual=true
+CjProbe: PASS menu setChecked view.sidebar=true
+```
+
+- **原生侧真的收到点击**：`menu click` 那行由应用侧组件在 `bindMenu` 回调里打印（设备上框架 stderr
+  不进 hilog，只有应用侧 `Hilog.info` 抓得到）；
+- **回投真的到了页面**：`PASS menu click id=…` 是页面在 `menu:click` 回调里发出的断言，
+  `enabled` / `checked` 与弹窗里看到的状态一致；
+- **两个方向都通**：页面 `menu:setChecked` → `menu` 插件 → 宿主 `setMenuItemState` → 下一次 `bindMenu`
+  的勾选态，所以页面那行 `PASS menu setChecked` 不是自说自话。
+
+**已知限制（`bindMenu` 的形状决定，不是没实现）**：菜单是**一层扁平**结构——`MenuElement` 没有
+禁用位、也不能嵌套子菜单，所以 `MenuItemKind.Separator` 与 `Submenu` 在鸿蒙侧被**拍平**成普通项
+（分隔线渲染成一条横线项，子菜单的项按顺序平铺）；`setMenuItemState` 的 enabled 改动在鸿蒙侧
+**只能改灰（不参与点击高亮）**，不能真正禁用。要完整的层级/禁用语义得等宿主侧自绘菜单，
+在那之前文档与示例按「扁平菜单」表述，别照桌面示例的嵌套树写。其余四项能力位（托盘 / 快捷键 /
+拖放 / 对话框）仍为 0，各有各的阻断原因：
+
+- **托盘 / 全局快捷键**：鸿蒙没有桌面级托盘与系统级热键 API（`2in1` 也没有），如实拒绝；
+- **原生对话框**：`showAlertDialog` / `getPromptAction().showDialog` 在 `javaScriptProxy` 回调的
+  同步栈上会被**静默丢弃**（真机四轮对照，见 §4 与 `docs/鸿蒙ArkWeb接入踩坑.md` §10.11），
+  应用侧只能用声明式 overlay——那不是宿主能力；
+- **文件拖放**：组件有 `onDrop`，但路径来自系统 drag 事件而非桥，且没有 `DragDropPolicy`
+  的「start 前定稿」语义，未做能力位。
+
+## 剪贴板（2026-10-24 真机取证：写通，读被平台门槛挡住）
+
+鸿蒙的仓颉 SDK 6.1 **没有 `ohos.pasteboard` 绑定**（340 个 ohos 包里一个都没有，只有旧的 5.0 Beta 带），
+所以走系统原生 C API：`src/clipboard_bridge.cj` 的 `@When[env == "ohos"]` 段用 `foreign func` 直连
+`libpasteboard.so`（`OH_Pasteboard_*`）与 `libudmf.so`（`OH_Udmf*` / `OH_UdsPlainText_*`）。
+
+### 链接：开关必须落在 entry 模块，不是框架
+
+`OH_Pasteboard_*` 与 `OH_Udmf*` 分属两个库，**两个都要链**：
+
+```toml
+[target.aarch64-linux-ohos]
+  link-option = "-lpasteboard -ludmf"
+```
+
+落点是**入口模块的 `entry/cjpm.toml`**（`output-type = "dynamic"`，最终链接发生在那儿）。
+写进框架自己的 `cjpm.toml` 不生效——生成器 `cli/src/manifest.cj` 的 `renderOhosEntryToml` 会重写
+`targets/ohos/entry/cjpm.toml`，漏了这条的表现是：`libohos_app_cangjie_entry.so` 里留一堆
+`U OH_Pasteboard_*`、`DT_NEEDED` 里**没有** `libpasteboard.so`/`libudmf.so`，应用**启动即 SIGSEGV**
+（模块加载期解析不到符号，表象与「白屏 / 秒退」同形，见 AGENTS §4）。
+判据两条，缺一不可：`readelf -d <模块.so> | grep -E "pasteboard|udmf"` 有输出、`nm -D --undefined-only`
+里的 `OH_*` 能被 NEEDED 解释。设备侧这两个库在 `/system/lib64/ndk/`（`ls` 该目录本身是 Permission
+denied，用 `hdc shell stat -L /system/lib64/ndk/libpasteboard.so` 查）。
+
+### 写能通，读要权限，而普通应用拿不到那个权限
+
+| 方向 | 原生 API | 权限要求 | 真机结果 |
+| --- | --- | --- | --- |
+| 写 | `OH_Pasteboard_SetData` | 无 | **PASS** |
+| 读 | `OH_Pasteboard_GetData` | `ohos.permission.READ_PASTEBOARD`（头文件注明） | 状态码 **201**（`ERR_PERMISSION_ERROR`），框架如实返回 `null` |
+
+`ohos.permission.READ_PASTEBOARD` 在设备上的定义是 `USER_GRANT` + `SYSTEM_BASIC`（`atm dump -d -p` 可查）。
+它是 `user_grant`，所以 `module.json5` 里必须带 `reason` + `usedScene` 才过 schema；但更关键的是
+**`SYSTEM_BASIC` 要签名 profile 里有 ACL**——普通调试证书把这条写进 `requestPermissions` 之后，
+**连装包都失败**：
+
+```
+code:9568289 error: install failed due to grant request permissions failed. PermissionName: ohos.permission.READ_PASTEBOARD
+```
+
+所以**不要把这条权限写进骨架模板**（`cli/templates/ohos-skeleton/entry/src/main/module.json5`）：
+那会让所有 `cj-tauri sync ohos` 的工程装不上。当前的落地是「写完整可用、读如实返回 `None`」，
+探针页把读被拒记成 `SKIP clipboard read denied-by-platform`（不是 `FAIL`：这是平台准入门槛，
+不是框架回归；也不是 `PASS`：没读回内容就不许说通）。
+要真正读到内容，得由应用方自己拿带 ACL 的签名 profile，再按平台要求做运行时授权——
+框架不替应用做这条确认，也不假装读到。
+
+真机判据（`examples/ohos/ohos-capabilities`，`hdc shell hilog` 摘录）：
+
+```
+CjProbe: PASS clipboard write cj-tauri-clip-<时间戳>
+CjProbe: SKIP clipboard read denied-by-platform (needs READ_PASTEBOARD; write verified)
+```
+
+一轮 9 PASS / 0 FAIL（含菜单那三条与能力位对账）。读的状态码用一次**临时诊断**取得
+（把 `statusBox.read()` 拼进返回值），取证后已撤——现在框架返回的就是契约里的 `None`。
+