fix: recover authenticated undergraduate full pages with session guards

docs/tpschedule-0.7.3-validation.md

@@ -0,0 +1,33 @@
+# TPSchedule 0.7.3+21：本科教务完整页面恢复
+
+2026-10-15，工程F:/program/app。按用户已确认的同会话完整页恢复设计实现；本版包含实际恢复逻辑。
+
+## 证据和范围
+
+更正后的0.7.2日志显示认证成功但jQuery不存在，页面只有两个脚本、没有样式或样式链接。Beangle旧框架会依据X-Requested-With头是否存在省略公共head，而Android WebView有自动添加该头的实现。源码与日志吻合，但尚未捕获该手机的实际线上请求，不能将推断写成已确认的网络事实。分析和官方源码链接见[证据与设计](school-webview-missing-head-analysis-2026-10-15.md)。
+
+本版先对本科系统启用恢复，研究生流程不变。无需更换浏览器内核，学校账号和验证码继续由学生在学校网页填写。本科仍需自行打开课表和选择学期，再点击导入。
+
+## 实现
+
+识别已认证而公共依赖缺失的页面后，原生沿用Cookie与浏览器标识GET原学校HTTPS只读地址，不携带X-Requested-With。禁止自动跳转及表单提交，检查状态、类型、大小、超时和Cookie作用域。完整HTML通过结构校验后，在相同WebView恢复，并保留学校原URL和来源。20秒临时令牌、文档代次及同会话检查避免迟到结果覆盖新页面；失败、关闭或切换时保留旧页面和旧课表。重试和并发有上限。
+
+新增school_full_page_restore固定状态日志，记录requested/applied/rejected/failed/cancelled及固定错误类别。原始HTML、正文、URL查询、Cookie和密码均不写日志；反馈协议和服务端部署不变。
+
+## 验证记录
+
+核心恢复及Android读取先观察到回归失败，再实现并通过。Flutter覆盖完整页恢复、片段/登录表单/外部base/重定向拒绝、切页取消、重复恢复保护，以及原生渲染开始回调存在或缺失的两种会话路径。
+
+Android JVM检查覆盖省略头部的模拟框架、请求头与会话、GET和禁止跳转、路由限制、MIME、压缩大小、Cookie作用域及临时令牌生命周期。API36模拟器的实际WebView渲染验证了原URL与origin、中文、相对路径外部脚本与CSS，以及地址/会话变化时不替换DOM。模拟器Chromium133.0.6943.137，与用户156.0.8078.4不同。
+
+完整Flutter套件265项通过，随后新增的渲染等待中取消回归在8项恢复测试中通过；静态检查无问题。4个Node脚本检查通过，原生JVM16项通过，Android原生渲染检查和Flutter原生浏览器测试各1项通过。独立审查提出的相同URL文档竞态已补上私有文档标记、原生失效和异步后复核，复审无阻塞项，见[审查记录](tpschedule-0.7.3-review.md)。上述测试不能代替校园网内真实学校账号复测。
+
+## 用户复测
+
+覆盖安装0.7.3，连接校园网后选择电子科技大学（本科生）并登录。缺少依赖时应出现“正在恢复完整教务页面”，随后确认学校菜单与组件能显示；打开课表选择学期后导入，再检查考试查询。若仍异常，立即导出本次新日志，检查恢复状态和固定失败类别。
+
+## 安装包核对
+
+发布包构建成功，com.tpschedule.app，versionName=0.7.3、versionCode=21，minSdk24、targetSdk36。TPSchedule-0.7.3.apk与TPSchedule.apk字节相同，60155727字节，SHA256为E78FD460F006EA879BC9BBCF24BCADB0377686E0A4DDDE2A00EBB218417F7E0E。
+
+与0.7.2证书逐字节一致，证书SHA256为AF5C21B1BA1E48E461D8EA38DF0FE1C3653F64EB7E8E7728BAE6E5D988BA0D0A。源码包由最终提交生成，不含原始学生附件、私钥或运行缓存。登记冻结及旧版安装包在交付打包时重新校验。