docs: vendor 固件目录实证（CH镜像=本地镜像）+ 全量烧录安全性论证入库

DECISIONS.md

@@ -20,3 +20,5 @@
 | 2026-07-29 | **SUOTA 状态码分两类：会话信息码（8/16）与流程错误码**；16=MEM_DEV type 0x13 位测试应答（固件 0x07FCB770），状态保持 | 反汇编 MEM_DEV handler + 三轮烧录对照（16 恒在 MEM_DEV 后 ~1s 到达，块未受影响） | bridge 对 8/16 记录继续、块确认只认 2；APK 表未覆盖 16，固件证据为准 |
 | 2026-07-29 | **SUOTA 状态 22/20 根因分层**：22=0x38000 产品头读电气失败（GPIO_MAP 引脚错）；20=读成功但非 'pR'（引脚有效、0x38000 疑为空） | GPIO 探针（max_blocks=2 安全模式）：A{00,00,06,05}→22、B{40,00,06,05}→22、C{05,06,00,40}→20；C=APK 整数 0x05060040 的 BE 字节，为唯一电气有效候选 | GPIO_MAP 采用 C（BE 序）；剩余阻断=0x38000 产品头（'pR'）缺失/无效，见下条 |
 | 2026-07-29 | **0x38000 产品头阻断为 vendor 级问题**：固件在首 0x200 缓冲处理时校验 0x38000 的 'pR' 产品头（0x07FCB4AA），无效则发 20 并中止该缓冲处理；本机疑以裸 'pQ' 直启（无产品头） | 反汇编完整校验链；固件镜像内 0x3A19 处的 70 52 系代码巧合非真产品头；MEM_INFO 读回 00000000 | 强推 END 有变砖风险（END 会写 0xAA 标志+复位，裸启兜底可恢复但需 JTAG 兜底方案）；暂缓强推，先与用户决策 |
+| 2026-07-29 | **vendor 固件目录实证**：qbsg.top /api/firmware/catalog 免认证开放，PP_da14585_4.2_CH.img 与本地镜像 sha256 完全一致（vendor OTA 镜像=本镜像，无产品头附加）；NEW 变体同样引用 0x38000 检查 | 下载比对（analysis/apk/vendor_catalog.json + vendor_PP_CH/NEW.img） | 排除"vendor 镜像含产品头"假设；阻断确在设备端 0x38000 内容，非镜像差异 |
+| 2026-07-29 | **全量烧录实证安全性论证**：产品头校验失败时所有缓冲处理在写 flash 前中止（state[0x70] 恒 0），END 仅写 0xAA 于 [state[0x60]+2]=0x0002 而该字节原本就是 0xAA（无操作），复位后裸启原固件 | 反汇编 END 路径（0x07FCB7C6-0x07FCB7E4）与缓冲写路径（0x07FCB514 依赖中止的头部处理产物 state[0x74]） | 全量跑 OTA 的最坏结果=安全空转+复位；若中途校验通过则自然转正为真实烧录。用户授权下可执行 |