维护者确认：#3810 Desktop 自定义背景图片

[MagicLizi]

这条 PR 需要维护者确认后再合。

为什么要确认

这是用户看得见的外观和交互改动。

• 设置 → 通用 → 外观新增自定义背景：选择 / 更换 / 移除本地图片
• 可调遮罩强度和模糊
• 背景覆盖标题栏、侧栏和主内容区，输入区改为半透明模糊材质
• 新增 cindy-background:// 协议，并改了 CSP / preload / IPC

请重点看：主窗口铺背景图是否符合当前设计方向；半透明输入区和实体卡片的可读性；自定义协议与 CSP 放行是否可接受。

怎么确认

• 可以直接在 PR 上 Approve，门就会放行
• 需要修改就 Request Changes，作者改完后再 Approve 即可
• 普通评论、摘标签都不算通过

PR: #3810

---

关联 PR:#3810(作者 @Stella-xixi);本 issue 由 review-pr 流程自动创建,用于先讨论该 PR 涉及的产品 / UI 变更,维护者确认后 PR 会恢复推进。

[dash-s-cindy]

判断：自定义背景图片能直接满足 #3448 提出的个性化和基础可读性需求，产品价值明确，建议继续推进 #3810；但在当前证据下不建议批准合并。下一步应先 Request Changes，完成持久化一致性与失败回滚修复，并补齐跨平台界面证据后再复审。

行动：

1. 修复背景托管文件与外观设置的提交一致性。导入、更换和移除需要串行化或等价的并发协调，避免文件已替换但设置写入失败、重叠操作互相清理，最终使持久化 URL 指向不存在的文件。失败时应保留旧背景和旧设置，或明确恢复到可验证的一致状态。
2. 修复 Renderer 写入失败路径。遮罩、模糊和移除等乐观更新在 IPC 拒绝时应回滚到持久值；调用点应处理 Promise rejection，并向用户给出可理解的失败反馈，不能让界面长期显示未保存状态。
3. 补充 UI 证据：截图、录屏或 HTML 预览至少覆盖有背景/无背景、Light/Dark、标题栏、侧栏、主内容区、设置页、自动化页、输入区、遮罩与模糊调节、替换以及移除后恢复默认。PR 当前的演示视频仍为占位，不能作为视觉批准依据。
4. 在 macOS 实机验证原生文件选择器、标题栏铺底效果、窗口材质与输入区可读性；保留已有 Windows 验证，并说明其他平台是否不在本次范围。
5. 对 cindy-background:// 增加或确认定向安全测试：只读协议、固定 userData 托管根目录、路径越界与畸形 URL 拒绝、文件不存在/格式异常的响应、实际 MIME 校验、受信 Renderer IPC 断言，以及 CSP 只在需要的资源指令中放行该 scheme。还需确认它被加入 Electron 的唯一 registerSchemesAsPrivileged 列表，而不是通过新增注册调用覆盖现有协议。

证据与代码核对：

• #3448 是直接关联的产品需求：要求从本地选择图片、移除/恢复默认、提供亮度/模糊/遮罩等基础可读性调节，并持久化到主界面。feat(desktop): 支持自定义背景图片 #3810 的功能边界与该需求一致，且明确不扩展到云同步、动态背景或 Mobile。
• 当前 main 快照 f3bb6038b89a7d52f0308788c539ab60ed137f46 的 apps/desktop/src/renderer/components/settings/AppearanceSection.tsx 仅包含主题、字体、本地主题和侧栏相关设置，没有自定义背景入口；源码中也没有 cindy-background 或 appearance-background 实现。因此这不是已有能力的重复报告，也不是已发布修复。
• 当前 main 已有可复用的协议安全模式。apps/desktop/src/main/imageProtocol.ts 和 apps/desktop/src/main/cindy-media/cindyMediaProtocol.ts 都采用只读 handler、secure: true、bypassCSP: false，并由 bootstrap-electron.ts 汇总到唯一的 registerSchemesAsPrivileged 调用。新增背景协议应遵循该模式，不能仅因为能显示图片就放宽到任意本地路径或绕过 CSP。
• 当前 main 的 apps/desktop/src/main/security/csp.ts 对本地媒体 scheme 采用显式 img-src/media-src allowlist，并保持 bypassCSP: false 的设计。feat(desktop): 支持自定义背景图片 #3810 声称同步修改 CSP、preload、IPC 和相关测试；批准前应确认新增 scheme 的放行范围最小且与实际资源类型一致，不应借机放宽脚本、任意连接或 frame 能力。
• #3810 声称支持 JPG、PNG、WebP，单文件上限 25 MB，校验实际文件格式，将文件复制到应用 userData，并提供选择、更换、移除、遮罩和模糊设置；其自动验证包括 related unit、Desktop typecheck、i18n、glossary 和 design inventory。上述结果支持“实现范围已覆盖需求”，但不能替代失败路径、跨平台和视觉验证。
• feat(desktop): 支持自定义背景图片 #3810 的现有讨论还记录了两个具体阻塞风险：背景文件先替换、设置后持久化，可能在设置写入失败时出现文件与设置失配；导入与移除重叠时可能删除另一请求的文件。Renderer Hook 的乐观状态在 IPC 失败后可能不回滚，调用点还可能丢弃拒绝。这些不是抽象的安全推测，而是当前 PR review 指出的具体状态一致性缺陷，应在 Approve 前验证修复。

建议的复审门槛：作者提交上述修复后，至少重新运行背景 main/IPC、Renderer Hook/组件、协议/CSP 定向测试和 Desktop typecheck；同时附 Windows 与 macOS 的可复核 UI 证据。若原子一致性、失败回滚或协议/CSP 边界仍无法证明，应继续 Request Changes，而不是仅以普通评论或标签替代批准。

相关记录：

• #3448：直接产品需求，确认该能力是新增诉求而非重复缺陷。
• #3810：待确认的实现 PR；功能方向与需求一致，但当前仍缺少 macOS 验证、视觉证据，并存在待闭环的文件/设置一致性与 Renderer 失败回滚问题。