feat(debug_log): 新增UART0 RX泵任务支持串口日志转发

新增UART0 RX泵任务功能，将GPIO20接收到的串口数据按切行、剥离后以tag=UART推入ring buffer，通过HTTP /logs接口显示在网页日志面板。接线方式：任意串口源TX连接至H1/H2的ESP_RX引脚，波特率3M 8N1。 feat(motor_ota): GD32 OTA增加包级防呆机制防止错误固件刷入中继触发前校验gd32_ota镜像向量表身份(Gd32FlashStore::validateStoredImageIdentity)，对Bootloader包或非APP包在WiFi /ota/relay与BLE 0xF7均拒绝中继，避免GD32 APP区被错误包擦除。新增0x87完成码用于固件身份验证失败场景。 feat(motor_state): 扩展CAN状态数据结构支持CONFIG负载扩展motor_slot_t结构体，新增config_rx_count、config_seq和config_data字段用于存储CONFIG帧的相关信息。CAN状态数据包大小从44B扩展到76B，页面总数从6调整为9，支持目标值回报的配置数据传输。 fix(motor_ota): 修复OTA取消流程中的信用度管理和任务清理问题 ★ 先复位credit再发送CANCEL命令，防止传输卡住时背压导致CANCEL被拒绝。延长取消等待时间至10s覆盖最坏情况，确保feedTask正常退出而非强制删除。取消完成后复位credit防止锁存死锁，确保后续通信正常进行。 fix(http_server): 修复HTTP请求处理中的边界检查和安全验证拒绝chunked请求(content_len<=0)防止无限循环，添加通道参数范围验证(ch 0~2)，在OTA中继触发前验证固件身份防止错误包刷入，使用http_json_append避免缓冲区越界。 refactor(gd32_flash): 实现GD32固件身份验证算法确保刷写安全基于Cortex-M向量表内容实现包级身份校验，通过MSP和复位向量位置区分APP包、Bootloader包和无效固件，为OTA安全提供基础保障。 BREAKING CHANGE: 电机状态API数据格式变更，CAN通道参数验证更严格
2026-09-01 02:49:34 +08:00
parent ef6d3a4be3
commit ebb3dcdf38
62 changed files with 462 additions and 19644 deletions
@@ -619,3 +619,56 @@ esp_err_t Gd32FlashStore::verifyFrontendSha(const uint8_t frontend_sha32[32],
    }
    return ESP_OK;
 }
+
+// ============================================================
+// 包级身份校验（向量表内容判定）
+// ============================================================
+
+/* GD32E508 Flash 布局常量，与 GD32E50X_BOOT sys/config.h 对齐：
+ *   BOOT   0x08000000 ~ 0x08011FFF（72KB）
+ *   APP    0x08048000 ~ 0x0807DFFB（APPLATEST_START + APP_MAX_SIZE，216KB-4）
+ *   SRAM   0x20000000 ~ 0x2001FFFF（128KB）
+ * APP 固件链接基址 0x08048000、BOOT 链接基址 0x08000000，
+ * 两者向量表第二字（Reset_Handler）必然落在各自区域内，据此区分包类型。
+ * 注意：BOOT 侧 validateApplication() 使用同一判据，修改需两边同步。 */
+static constexpr uint32_t kGd32BootRegionStart = 0x08000000U;
+static constexpr uint32_t kGd32BootRegionEnd   = 0x08012000U;
+static constexpr uint32_t kGd32AppRegionStart  = 0x08048000U;
+static constexpr uint32_t kGd32AppRegionEnd    = 0x08048000U + 0x00035FFCU;
+static constexpr uint32_t kGd32SramStart       = 0x20000000U;
+static constexpr uint32_t kGd32SramEnd         = 0x20020000U;
+
+static inline uint32_t rd_le32(const uint8_t *p)
+{
+    return (uint32_t)p[0] | ((uint32_t)p[1] << 8) | ((uint32_t)p[2] << 16) | ((uint32_t)p[3] << 24);
+}
+
+Gd32ImageIdentity Gd32FlashStore::validateStoredImageIdentity()
+{
+    uint8_t vec[8] = {0};
+    if (flashReadChunk(0, vec, sizeof(vec)) != ESP_OK) {
+        DEBUG_ERR("OTA", "身份校验：读取向量表失败");
+        return Gd32ImageIdentity::kReadFailed;
+    }
+
+    const uint32_t msp   = rd_le32(&vec[0]);
+    const uint32_t reset = rd_le32(&vec[4]) & ~1U;  // 清除 Thumb 位
+
+    const bool msp_valid   = (msp >= kGd32SramStart && msp < kGd32SramEnd);
+    const bool reset_is_app = (reset >= kGd32AppRegionStart && reset < kGd32AppRegionEnd);
+    const bool reset_is_boot = (reset >= kGd32BootRegionStart && reset < kGd32BootRegionEnd);
+
+    if (msp_valid && reset_is_app) {
+        return Gd32ImageIdentity::kApp;
+    }
+
+    if (reset_is_boot) {
+        DEBUG_ERR("OTA", "身份校验：检测到 Bootloader 包 (MSP=0x%08lX RH=0x%08lX)，禁止刷入 APP 区",
+                  (unsigned long)msp, (unsigned long)reset);
+        return Gd32ImageIdentity::kBootloader;
+    }
+
+    DEBUG_ERR("OTA", "身份校验：向量表非法 (MSP=0x%08lX RH=0x%08lX)，非 GD32 APP 固件",
+              (unsigned long)msp, (unsigned long)reset);
+    return Gd32ImageIdentity::kInvalid;
+}
@@ -28,6 +28,21 @@ typedef struct {
    uint8_t  checksum[32]; ///< 固件 SHA-256 校验值
 } ota_meta_t;

+/**
+ * @brief gd32_ota 分区中存储镜像的身份分类（包级防呆）。
+ *
+ * 判定依据是镜像自身内容（Cortex-M 向量表前两个字），不依赖文件名：
+ * SHA-256 只能证明"传对了"，不能证明"传的是对的包"。
+ * 把 BOOT 包（或任意非 APP 包）中继进 GD32 APP 区会擦掉好固件，
+ * 因此触发中继前必须确认镜像身份为 kApp。
+ */
+enum class Gd32ImageIdentity : uint8_t {
+    kApp = 0,        ///< 复位向量落在 APP 区 → 合法 GD32 APP 固件
+    kBootloader,     ///< 复位向量落在 BOOT 区（0x08000000~0x08011FFF）→ Bootloader 包，禁止刷入 APP
+    kInvalid,        ///< 向量表非法 → 非 GD32 APP 固件（ESP32 镜像 / 文本 / 损坏数据）
+    kReadFailed,     ///< 分区读取失败，无法判定
+};
+
 /**
 * @brief GD32 OTA 固件 Flash 存储抽象层（纯静态工具类）。
 *
@@ -139,6 +154,17 @@ public:
    esp_err_t verifyFrontendSha(const uint8_t frontend_sha32[32],
                                uint8_t out_device_sha[32]);

+    /**
+     * @brief 读取 gd32_ota 分区镜像开头的 Cortex-M 向量表并判定包身份。
+     *
+     * 检查初始 MSP 是否落在 GD32E508 SRAM、复位向量是否落在 APP 区
+     * （0x08048000~0x0807DFFB，与 BOOT 侧 validateApplication() 同一判据）。
+     * 复位向量落在 BOOT 区（0x08000000~0x08011FFF）则判为 Bootloader 包。
+     * 供中继触发前的包级防呆使用（WiFi /ota/relay 与 BLE 0xF7 共用）。
+     * @return 镜像身份分类；调用方仅应在 kApp 时允许中继。
+     */
+    Gd32ImageIdentity validateStoredImageIdentity();
+
    /**
     * @brief 获取分区指针（懒初始化）。
     * @return 分区指针，找不到时返回 nullptr。