自定义媒体库崩溃后残留的临时文件没有清理入口

[PraiseZhu]

来源：#4728 Greptile 线程（apps/desktop/src/main/cindy-brain/libraryVault.ts:522）。

发生了什么：#4728 为了在自定义媒体库目录掉线或被替换时不误删用户文件，打开自定义库时整段跳过 sweepStaleTmp()。但普通写入和流式写入仍会在 .cindy-library/tmp 下产生 .tmp / .stream 暂存文件；进程崩溃后这些文件没有别的清理入口，也不计入 Library 用量，会一直占磁盘。

影响：只影响使用自定义 Library 目录、且写入过程中崩溃过的用户；不影响数据正确性。

修法思路：在 held-parent / binding 复核通过之后，对自定义库的 tmp 目录做一次 fd-relative 的安全清理，只删超龄的 .tmp / .stream，不在复核前动目录。

[dash-s-cindy]

判断：自定义 Library 崩溃残留的临时文件在当前 main（139e081d）仍有清理入口：apps/desktop/src/main/cindy-brain/libraryVault.ts 的 open() 对默认根与自定义根一视同仁地执行 sweepStaleTmp()，按超龄阈值（tmpMaxAgeMs，默认 24 小时）清理 .cindy-library/tmp 残渣。本 Issue 描述的「没有清理入口」来自尚未合并的 #4728：该 PR 为避免自定义目录掉线或被同路径对象替换时误删用户文件，让 custom 库的 open 跳过清理（fail-closed），并在风险栏明确记录「安全处置需后续明确设计……是否接受残留或要求修复，须维护者具名」。因此这里真正需要处理的是 #4728 合并路线上的一个设计决策，主线与已发布版本目前不受影响；建议在 #4728 合并前完成裁决，避免带着已知残留缺口发布。

行动：

1. 请维护者在 fix(library): 自定义媒体库暂时不可用时不重建空库 #4728 风险栏标注未 resolve 的 custom tmp 审查线程上具名裁决：接受「custom 残留暂不清理」随 PR 合并、以本 Issue 跟进后续，还是要求在 fix(library): 自定义媒体库暂时不可用时不重建空库 #4728 内恢复清理。这是 PR 作者明确等待的决定，也是本 Issue 进入实现的前提。
2. 若选择恢复清理，建议方向：在 held-parent / binding 复核通过之后，对 custom 库 tmp 目录执行一次清理，只删超龄残渣（与默认根 tmpMaxAgeMs 同口径），清理动作严格放在复核之后，不在复核前触碰目录。同时需回应 fix(library): 自定义媒体库暂时不可用时不重建空库 #4728 风险栏的顾虑——tmp 文件可能是 fsync 后、rename 前的唯一原件；进一步检查发现，该顾虑与默认根现行的 24 小时超龄清理语义相同（未收到 ACK 的写入，插件侧本应保留源文件并重试），24 小时阈值已留出充足重试窗口。若希望更强保证（例如「可证明安全才删」，或把 tmp 计入用量/状态展示），属于待确认的产品决策，建议裁决时一并明确，不默认纳入本次修复。
3. 回归验证建议：custom 库写入中途模拟进程崩溃 → 重启后 open → 超龄残渣被清理、未超龄保留；目录掉线/同路径替换场景下，复核通过前不触碰目录（不删、不建、不改 binding）。

已核对的代码事实（main @ 139e081d）：

• LibraryVault.open()（libraryVault.ts:365）在目录骨架创建后无条件调用 sweepStaleTmp()；vault 对默认根/自定义根透明（locationKind 仅透传给 status），主线不存在 custom 专属跳过。
• sweepStaleTmp()（libraryVault.ts:622-635）按 now - tmpMaxAgeMs 清理 tmp 目录下超龄文件；这是 Library tmp 崩溃残渣的唯一清理入口（分块流的 idle 超时与 atomicWrite 的失败回收都只在进程存活时生效，无其他启动期 GC）。
• 普通写入 atomicWrite 在 tmp 目录创建 ${randomUUID()}.tmp，分块流 writeBegin 创建 ${streamId}.stream（libraryVault.ts:796）；进程在 staging→rename 之间崩溃即留残渣，本 Issue 对产生路径的描述属实。
• scanUsageUnlocked() 跳过根下 .cindy-library（libraryVault.ts:658），残渣不计入用量账本与 status；该点默认根与自定义根现状一致。
• fix(library): 自定义媒体库暂时不可用时不重建空库 #4728（open，head d7c68cd，base main）在 custom 路径跳过 sweep；其 Greptile 审查第 3 条发现即本 Issue 来源，PR 风险栏写明保留 fail-closed、不按龄 unlink、线程未 resolve。

相关记录：

• fix(library): 自定义媒体库暂时不可用时不重建空库 #4728：缺口的直接来源与裁决落点；custom tmp 取舍在其审查线程上待维护者具名决定，本 Issue 的推进与该裁决绑定。
• [维护者确认] #4728 插件 Library 基座改动需确认存量兼容 #4772：fix(library): 自定义媒体库暂时不可用时不重建空库 #4728 的插件基座维护者确认门，2026-09-21 已通过、PR 恢复正常审查（正式 Approve 仍未齐）；其中分析也已把「临时 .tmp/.stream 文件仍应有安全清理路径」列为合并前需澄清的点。
• feat(library): 暂存未入库原件并在确认归档后释放 #4730：依赖 fix(library): 自定义媒体库暂时不可用时不重建空库 #4728 的暂存 PR；其暂存设计明确「唯一耐久原件不按 TTL 删除」，是评估「tmp 可能是唯一原件」这一安全顾虑时可参考的既有设计先例。