release.yml

name: Release

# 推 v* 标签即出包；也可以在 Actions 页面上手动给一个已存在的 tag 重跑。
# 重跑是**幂等**的：publish 用的是 `gh release upload --clobber`，已存在的
# Release 会被更新而不是报错 —— 这条很重要，因为第一次跑往往就挂在某个平台上，
# 修完只想重发那一个。
on:
  push:
    tags: ['v*']
  workflow_dispatch:
    inputs:
      tag:
        description: '要出包的 tag（须已存在）'
        required: true
        type: string
      dry_run:
        description: '只跑构建与打包，不创建/更新 Release'
        required: false
        default: false
        type: boolean

permissions:
  contents: write

# 版本号不在这里写死：出包的 zip 名与 uvcpp.pc 的 Version 由
# `package_release.py` 从 `src/uvcpp/uvcpp_version.h` 读（`_header_version()`）。
# 这里原本有一条 `env: UVCPP_VERSION: '1.1.0'`，全文件零引用，且标签打到 v1.1.5
# 时它仍然写着 1.1.0 —— 删掉，免得下次有人拿它当"版本来源"。

# ---------------------------------------------------------------------------
# 1.5.0 起：**六条腿的发布产物都是全功能的**（QUIC + HTTP3 + C API 一起开）
# ---------------------------------------------------------------------------
# 之前的版本里发布包**不带** QUIC/HTTP3（那两个开关默认 OFF，发布腿也不传）。
# 1.5.0 起官方二进制按"全功能"发，于是每条腿都要满足 QUIC 的前提：一份
# **带 QUIC API 的 mainline OpenSSL ≥ 3.2**。各腿的来路不同，逐条记在这里，
# 改任何一条之前先看这张表：
#
#   linux-x64 / linux-arm64  —— runner 是 22.04，apt 的 libssl-dev 是 **3.0.2**
#       （没有 QUIC API），所以这两条腿**自己在 job 里编一份 OpenSSL 3.5.0**，
#       参数是 `no-shared no-tests -fPIC`：静态（发布产物要"除 libc 外无运行时
#       依赖"）、PIC（要塞进 libuvcpp.so）。同时**不装** libssl-dev，免得给
#       find_package 摆一份不合用的候选。见各腿 "Build OpenSSL with the QUIC API"。
#   mingw-x64 / mingw-arm64  —— 用 MSYS2 包的 openssl（今天 3.6.5，≥ 3.2）。
#       这两条腿是把静态 OpenSSL 链进 dll，与 SSL 那条路同一条，只是多了一个
#       会用到 QUIC 符号的 ngtcp2。
#   msvc-x64                —— 用 runner 镜像/脚本给的那份 OpenSSL（见
#       `.github/scripts/win-openssl-deps.sh`）。这份**必须是 ≥ 3.2**：不够的话
#       配置期预检会把 QUIC 静默关掉，而下面的模块断言会把这条腿判红。
#   msvc-arm64              —— 镜像上没有 arm64 的 OpenSSL，这条腿自己拿
#       `VC-WIN64-ARM no-asm` 从源码编 3.5.8（见 "Build OpenSSL for arm64"）。
#
# **静默降级**是这五处共同的风险形状：OpenSSL 不合用时根 CMakeLists 走的是
# `message(WARNING)` + `set(UVCPP_ENABLE_QUIC OFF)`，那是**普通变量**，于是
# `CMakeCache.txt` 里照旧写着 `=ON` 而编译器看到的是 0。所以六条腿的模块断言
# **一律读生成的头**（`<tree>/include/uvcpp/uvcpp_config.h`）而不是 cache ——
# 判据得是"编译器真读到了什么"。理由写在 mingw-x64 那条断言步的注释里。

# ---------------------------------------------------------------------------
# 1.7.0 起：上面那句"全功能"才真的全 —— 补上 yyjson / brotli / MySQL+PostgreSQL
# ---------------------------------------------------------------------------
# 1.5.0 写下"全功能"时漏了三个开关，1.7.0 才补上。补之前先把口径钉死：把
# `CMakeLists.txt` 里每个 `option(UVCPP_ENABLE_*)` 与十处 configure 对一遍，
# "**默认 OFF 且发布腿没传**"的集合在 1.6.x 里**恰好有两个元素**；补完之后这个
# 集合是**空的**（本机用一段脚本对过，不是数出来的）。口径只算 `UVCPP_ENABLE_*`：
# `UVCPP_BUILD_EXAMPLES` / `UVCPP_BUILD_BENCH` 同样默认 OFF 且不传，但那两个问的是
# "要不要顺手编示例与跑分程序"，不影响库本身导出什么。
#
#   ⑥ UVCPP_ENABLE_YYJSON / UVCPP_ENABLE_BROTLI —— 上面那两个元素。
#      yyjson 是**第二个 JSON 后端**（`src/yyjson/`，与 nlohmann **并存**、不是
#      二选一：公开头一个 yyjson 类型都不出现，它是私有依赖、单头加单 .c）；
#      brotli 是响应的 `Content-Encoding: br`。
#
#      这一条必须配 `UVCPP_BROTLI_FROM_SOURCE=ON`（1.6.52 新增，见
#      CMakeLists.txt 里 brotli 发现那一段）。不配就是听天由命 —— 发现顺序是
#      pkg-config → find_path/find_library → FetchContent，而 Linux 腿今天"干净"
#      只是因为那条 `apt-get install` 只装了 zlib1g-dev/ninja-build。哪天镜像或
#      msys2 自带了 libbrotli，配置期会**静默**改走系统共享库，产物凭空多三条
#      DT_NEEDED（libbrotlienc/dec/common），而 zlib 那条用的
#      `-DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON` 在这里**不管用**：它只挡
#      `find_package`，挡不住 `pkg_check_modules`。下面 ldd 那份名单里也补了
#      `brotli` —— 开关是"让它静态进去"，名单是"万一没进去就当场红"，两件事。
#
#   ⑦ db 的 MySQL / PostgreSQL 两个后端 —— 1.6.x 为止十处 configure 都显式传
#      `-DUVCPP_ENABLE_DB_MYSQL=OFF -DUVCPP_ENABLE_DB_PGSQL=OFF`，包里只有 SQLite。
#      这一版改成**三个后端都在**，但这条路有个陷阱，也是它比 ⑥ 麻烦得多的原因：
#      直接链 libmysqlclient/libpq 会让"自包含"当场作废，而且失败方式不是"少个
#      功能"，是**进程根本起不来** ——
#
#          DT_NEEDED（Windows 上是 PE 的导入表）是**加载期**解析的。产物上多一条
#          `libpq.so.5`，没装过 libpq 的机器连 `libuvcpp.so` 都加载不了，哪怕那个
#          程序只跑 HTTP、一行 db 代码都不碰。
#
#      所以六条腿都配 `-DUVCPP_DB_RUNTIME_LOAD=ON`（1.6.54 新增，**默认 OFF** ⇒
#      既有使用者的构建逐字节不变）：符号走 `dlopen(RTLD_NOW | RTLD_LOCAL)` /
#      `LoadLibraryA` 运行时取，链接行上不出现这两个库。
#
#      **但"省掉链接"省不掉编译**：头必须在（`MYSQL_BIND`/`MYSQL_FIELD`/`PQresult`
#      这些按值、按布局用到的类型不能靠手抄结构体赌 ABI —— 那正是这条路要躲开的
#      东西）。于是六条腿各自去弄一份头，三种来路：
#        · mingw-x64 / mingw-arm64 —— MSYS2 的 `mingw-w64-*-libmariadbclient` 与
#          `-postgresql` 进了 job 的 `install:` 列表，头在 `$MINGW_PREFIX/include/`；
#        · msvc-x64 / msvc-arm64 —— 镜像上都没有（MySQL 那一项是 `Install-MysqlCli`
#          装的**命令行工具**、没有头；`windows-11-arm` 连 PostgreSQL 都没有），
#          两条腿统一跑 `.github/scripts/win-client-headers.sh` 取同一份钉死版本的
#          MSYS2 `.pkg.tar.zst`；
#        · linux-x64 / linux-arm64 —— `apt-get download` 取 `.deb`、`dpkg -x` 摊开，
#          **一个包都不 install**：jammy 的 `libmysqlclient-dev` 与 `libpq-dev` **都**
#          `Depends: libssl-dev`，装任何一个都会把上面那条"不装 libssl-dev"的规矩
#          破掉（整段理由链在 linux-x64 那一步的注释里）。
#
#      于是失败形状变成"没装客户端库的机器照常跑 HTTP/SQLite，只有真去连
#      MySQL/PG 才拿到一条说人话的错误"，而不是"整个库加载不了"。下面那条 ldd
#      断言里 `mysqlclient|pq` 两个名字从此**正面**证明这件事成立（谁把链接行改
#      回去，它立刻红）；Linux 两条腿另外多一条 `nm -D -u` 的判据，量的是"还剩
#      几个未定义的 mysql_/PQ 符号"—— 那是 `ldd` 看不见的另一半（漏改一处调用点
#      的形状，见那一步的注释）。
#
# ---------------------------------------------------------------------------
# 1.7.2 起：db 的**第四个**后端 ODBC —— 这一节补的是"最容易被静默漏掉"的那一个
# ---------------------------------------------------------------------------
#   ⑧ UVCPP_ENABLE_DB_ODBC —— 与 ⑦ 的三个后端不同，这一个**默认就是 ON**，所以它
#      不在"默认 OFF 且发布腿没传"那个差集里（那个差集在 1.7.0 之后已经是空的）。
#      加它不是为了补差集，是因为它的失败形状**恰好在差集之外**、而正确性只由生成
#      头那颗宏决定：
#
#          `CMakeLists.txt` 对它的处理是"找不到 `sql.h` ⇒ `message(WARNING)` +
#          `set(UVCPP_ENABLE_DB_ODBC OFF)`"。那是一句**普通变量赋值** ⇒
#          `CMakeCache.txt` 里照旧写着 `UVCPP_ENABLE_DB_ODBC:BOOL=ON`，只有生成的
#          `uvcpp_config.h` 里那颗宏是 0（这一条与 1.5.0 那次 QUIC/HTTP3 的静默降级
#          是同一个形状，理由写在 mingw-x64 那条断言步的注释里）。所以：**读 cache
#          永远看不出这个后端没进去，只有读生成头才看得出** —— 这就是它必须进那份
#          断言清单的原因，也是"默认 ON"不能当作"不用管"的原因。
#
#          （`UVCPP_DB_RUNTIME_LOAD` 那一步为什么救不了：它管的是**链接**，编不编这个
#          后端是**头**在决定。两条腿各自独立，任一条没配好就少一个后端。）
#
#      六条腿的头**两种来路**，与 ⑦ 的三路同一条纪律（能取到就是取到，取不到当场
#      红，绝不"跳过这一步继续编"）：
#        · mingw-x64 / mingw-arm64 —— MSYS2 的 `mingw-w64-{x86_64,clang-aarch64}-unixodbc`
#          进了 job 的 `install:` 列表。**注意它的头不在 `include/` 下**，而在
#          `$MINGW_PREFIX/include/unixodbc/`（2026-10-16 在 `packages.msys2.org` 上
#          逐条核过两个 arch 的文件表：`/mingw64/include/unixodbc/sql.h`、
#          `/clangarm64/include/unixodbc/sql.h`）—— 指到 `include/` 会**找不到**，
#          然后就是上面那个静默降级，所以下面 configure 里那份 `_INCLUDE_DIR`
#          必须带着 `/unixodbc` 这一段。
#        · msvc-x64 / msvc-arm64 —— 用 Windows SDK 里那份（`<SDK>/Include/<ver>/um/sql.h`），
#          由 `.github/scripts/win-odbc-headers.sh` 找出来。理由：Microsoft 的 ODBC
#          头就是 SDK 的一部分、随工具链一起装、且**已经是这个后端验证过的那一份**
#          （wlzaweb 的 CI 里 libuvcpp 的 ODBC 后端就是在 SDK 头上编出来、并连上真
#          SQL Server 跑通业务口径的）。
#
#          **那段脚本真正承重的地方是"挑哪一版 SDK"**：按**版本号**取最大的那个，
#          不是字典序。这条是实测出来的 —— 字典序会把 `10.0.17763.0`（第一个
#          compat-only 的 SDK）排在 `10.0.22621.0` 前面，而把老 SDK 的 `um` 混进新
#          工具链的头搜索路径，报出来的是 `oaidl.h`/`propidlbase.h`/`sqltypes.h` 里
#          成百条的 C4430/C2144，看上去像 ODBC 的锅，其实一行关系都没有。脚本里那段
#          注释写了怎么复现。
#
#      两条 mingw 腿拿到的是 **unixODBC** 的头、不是微软那套：这是有意的，也是
#      `packages.msys2.org` 上给 mingw 编的唯一一份。两个后果都是我们要的：
#        · 运行期那份 `libodbc` 也是 unixODBC —— 头与实现同一份源码，不存在"按微软
#          的头编、却在 unixODBC 上跑"的分叉（`src/db/uvcpp_db_odbc.cpp` 头部那条
#          `SQLWCHAR` 宽度不假设正是为这件事写的：2 字节走 UTF-16、4 字节走 UTF-32，
#          两种头的差异在那里被消化掉）；
#        · Windows 上真正加载的仍然是**系统** `odbc32.dll`（`uvcpp_db_odbc.cpp` 的候选
#          名里 Windows 那一支就是它）—— 所以 mingw 包里连 unixODBC 的 .dll 都不需要，
#          头只是编译期的事。
#
#      **两条 mingw 腿的导入表白名单一个字都不要动。** 那份白名单（下面
#      "Assert the DLL is self-contained" 那一步）里**没有** `odbc32.dll`，这是想要
#      的性质：真被链进去时它会当场红，红了就是"运行期加载失效"的信号。为了让断言
#      变绿而把 `odbc32.dll` 加进白名单，等于把"Windows 上也按需加载"这条唯一的守卫
#      拆掉。
#
#      Linux 两条腿多一条**负面**判据：`ldd` 的白名单加 `odbc` 分支（命中即红 =
#      runtime load 没生效、被直接链进去了），`nm -D -u` 那条计数加 `SQL[A-Z]`
#      （ODBC 符号也不该留下未定义残留）。

jobs:
  # ---------------------------------------------------------------------------
  # Windows x64 / MinGW-w64 —— 这是主发布产物（依赖全静态，任意 64 位 Windows 可用）
  # ---------------------------------------------------------------------------
  mingw-x64:
    runs-on: windows-latest
    # 120 → 150（1.5.0 起）：这一版**六条腿全开 QUIC/HTTP3**，于是每条腿除了
    # 自己的源文件与用例，还要先把 ngtcp2 / nghttp3 从源码编出来（FetchContent，
    # 见 CMakeLists.txt 里那两段），linux 那两条腿还要多编一份 OpenSSL。
    # 卡在上限上红一次 = 重推一次标签 + 再等一个多小时；多给的这半小时只在真
    # 出问题时才用到。两个方向的代价不对称，所以给。
    timeout-minutes: 150
    defaults:
      run:
        shell: msys2 {0}
    steps:
      - uses: actions/checkout@v4

      - uses: msys2/setup-msys2@v2
        with:
          msystem: MINGW64
          update: false
          # 最后两个是 1.7.0 起的：发布包要带 db 模块的 MySQL/PG 两个后端，而
          # `UVCPP_DB_RUNTIME_LOAD=ON` 省掉的是**链接**、省不掉**编译** ——
          # `MYSQL_BIND`/`MYSQL_FIELD` 这些按值按布局用到的类型要从真的
          # `mysql.h` 读（见 `.github/scripts/win-client-headers.sh` 头部那段）。
          # 包里的头落在 `$MINGW_PREFIX/include/mysql/mysql.h` 与
          # `$MINGW_PREFIX/include/libpq-fe.h`（2026-10-14 在 `packages.msys2.org`
          # 上逐个核过文件表），下面 configure 里那两个 `_INCLUDE_DIR` 就是照
          # 这个布局指过去的。
          #
          # 最后那个 `unixodbc` 是 1.7.2 起的（db 的第四个后端）。**它的头不在
          # `include/` 下而在 `include/unixodbc/` 下** —— 同一个包页上核过文件表，
          # 所以下面 configure 里那份 `_INCLUDE_DIR` 带着 `/unixodbc` 这一段。
          # 拿它是为了**编**（头），运行期加载的是 Windows 系统的 `odbc32.dll`，
          # 与这个包里的 .dll 无关（整段理由在文件头 ⑧）。
          #
          # `mongo-c-driver` 是 1.7.5 起的（db 的第五个后端）。与 odbc 那条同形：
          # 只拿**头**，运行期 `LoadLibraryA` 使用者装的那份客户端库。**头的布局与
          # 另外四个都不同**：`$MINGW_PREFIX/include/{mongoc,bson}/…` 是**平的**
          # （2026-10-19 在 `mirror.msys2.org` 的 `mingw64.db.tar.zst` 里核过文件
          # 表），没有 Debian 那种 `libmongoc-1.0/` 中间层，所以 configure 里的
          # `_INCLUDE_DIR` 指 `include` 本身。这个包同时带来 `libmongoc2.dll` /
          # `libbson2.dll`（2.x 的 SONAME 去掉了 `-1.0`）—— 那两个**不进包**，
          # 下面那条导入表白名单会拦。
          install: >-
            mingw-w64-x86_64-gcc
            mingw-w64-x86_64-cmake
            mingw-w64-x86_64-ninja
            mingw-w64-x86_64-openssl
            mingw-w64-x86_64-python
            mingw-w64-x86_64-libmariadbclient
            mingw-w64-x86_64-postgresql
            mingw-w64-x86_64-unixodbc
            mingw-w64-x86_64-mongo-c-driver

      - name: Configure & Build
        run: |
          set -o pipefail
          # 两个开关都是为了"依赖静态进去"，缺一个产物就多一个 dll 依赖。
          # ① UVCPP_BUILD_LIBUV_FROM_SOURCE=ON：不带 preset 时它默认 OFF，
          #    `find_library` 会撞上 runner 镜像 MSYS2 自带的 libuv.dll.a，链成
          #    共享库 ⇒ 依赖 libuv-1.dll。BUILD_SHARED_LIBS 救不了这一路
          #    （CMakeLists.txt:1613-1613 判的是 TARGET uv_a，而 find_library 给的是路径）。
          # ② BUILD_SHARED_LIBS=OFF：管 llhttp（根 CMakeLists.txt:6 默认 ON ⇒
          #    llhttp_shared ⇒ 依赖 libllhttp.dll）。zlib 不受影响，
          #    CMakeLists.txt:2556-2557 明确链 zlibstatic。
          # 本机所有树都走 CMakePresets（它有 ①），所以这两条从来没在本机复现过。
          #
          # ③ UVCPP_ENABLE_NGHTTP2=ON：这个开关**默认 OFF**（CMakeLists.txt:159-159），
          #    而这几个打包装的 job 一直没传它 —— 于是包里根本没有 h2，README 却在
          #    介绍它。nghttp2 是唯一被强制静态的依赖（CMakeLists.txt:653-667），
          #    所以开它不会给产物添任何 dll。六个打包 job 都必须传，任何一个漏了
          #    就会发一个"同版本号但少一半功能"的包。
          #
          # ④ UVCPP_ENABLE_CAPI=ON：它**默认也是 OFF**，而"发布出来的库支持导出 C
          #    类型接口"是这一版的一条**发布判据**（需求原话），不是可选项。与
          #    ③ 同一条纪律：**十个 configure 一个都不许漏**（六个打包 job，其中四个
          #    各自还有一棵 debug 树）。漏一个的后果比 ③ 更隐蔽 —— 包里的头照样有
          #    `include/capi/`（那由 `package_release.py` 的 MODULES 决定，与这一趟
          #    开关无关），于是"头在、符号不在"，使用方在**运行时**才拿到
          #    `EntryPointNotFoundException`。C 层是薄包装：不加外部依赖、不多产物、
          #    不多一个 dll，所以开它不改变发布包的模块集合。
          #
          # ⑤ UVCPP_ENABLE_DB=ON + UVCPP_DB_SQLITE_FROM_SOURCE=ON（1.7.0 起
          #    MySQL/PG 也显式 ON，1.7.2 起 ODBC 同样）：
          #    "发布包带数据库模块"是这一版的一条**发布判据**，而 SQLite 走**自编
          #    amalgamation**。四条理由全是本机实测出来的，
          #    完整版写在 CMakeLists.txt 那段 SQLite 发现上面与 doc/db-guide.md
          #    「预编译包里的 SQLite 是从源码编的」：
          #      · 链系统 `libsqlite3.so` ⇒ 产物多一条 DT_NEEDED，正是下面那条 ldd
          #        断言在拦的形状（名单原先**没有** sqlite3，已一并补上）；
          #      · 链系统 `libsqlite3.a` ⇒ Ubuntu 24.04 上那份不是 PIC，塞进 .so
          #        当场 `relocation R_X86_64_PC32 … can not be used when making a
          #        shared object`；
          #      · MySQL/PG 在 1.7.0 **之前**是显式 `=OFF` 的：runner 上装着
          #        libpq-dev 时 `find_package(PostgreSQL QUIET)` 会**静默**成功，
          #        包里就多一条 `libpq.so.5` —— 那种包在开发机上照样跑得动，只有
          #        换台机器才炸。1.7.0 起改成"显式 `=ON` + 显式给头目录 + 靠
          #        `UVCPP_DB_RUNTIME_LOAD=ON` 把链接行擦干净"（文件头 ⑦ 那三种
          #        头的来路）：要的是**两个后端都在包里**，而不是拿 `=OFF` 换一条
          #        好看的链接行。这一条今天仍然承重 —— 谁把头目录那一行删掉，
          #        `find_package` 那一路就又有了机会。
          #      · ODBC 是同一形状的第四个：它**默认 ON**，但找不到 `sql.h` 时
          #        只 WARNING 一句就自己关掉（cache 里照旧写着 ON）—— 这一组里
          #        最容易"少一个后端而没有任何东西响"的就是它。所以它除了显式
          #        `=ON`，还必须同时给头目录，并被下面那条断言盯着（文件头 ⑧）。
          #      · 三个都关掉时整个模块会被强制关掉，所以 SQLite 那一条不能省。
          #    与 ③④ 同一条纪律：**十个 configure 一个都不许漏**。SQLite 这条路
          #    不需要任何新包、不添任何步骤 —— 依赖是配置期从 sqlite.org 取的一份
          #    钉死哈希的 zip（本机实测：哈希与 sqlite.org 下载页上印的那个逐字相同）。
          cmake -S . -B build-mingw -G Ninja -DCMAKE_BUILD_TYPE=Release \
            -DBUILD_SHARED_LIBS=OFF \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=ON -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include/unixodbc" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include" \
            -DUVCPP_BUILD_EXPAND=ON -DUVCPP_STATIC_RUNTIME=ON \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-mingw --parallel 4

          # 调试档：**另开一棵**单配置树（`CMAKE_BUILD_TYPE=Debug`），开关列表与上面
          # 逐字相同 —— 上面那三条注释（依赖静态）对调试档**一样**成立，少传任何一个
          # 就等于发一份"能调但起不来"的调试库。
          # 不换成 Ninja Multi-Config：那会把 Release 产物从 build-mingw/ 挪到
          # build-mingw/Release/，上面那条 objdump 自检与 --tree 实参全要跟着动。
          # `-DUVCPP_BUILD_TESTS=OFF`：这条腿要的是**产物**，调试档的测试不在这里跑。
          cmake -S . -B build-mingw-dbg -G Ninja -DCMAKE_BUILD_TYPE=Debug \
            -DBUILD_SHARED_LIBS=OFF \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=OFF -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include/unixodbc" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include" \
            -DUVCPP_BUILD_EXPAND=ON -DUVCPP_STATIC_RUNTIME=ON \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-mingw-dbg --parallel 4

      # 发布产物必须是"任意 64 位 Windows 直接可用"。这条只有在这里断言才拦得住
      # —— 静态链接被改坏时，产物在 CI 机上照样跑得动。
      #
      # 断言写成**白名单**而不是黑名单：黑名单一开始只 grep 了
      # libgcc|libstdc|libwinpthread，漏掉了 OpenSSL —— MSYS2 同时装了 `libssl.a`
      # 和 `libssl.dll.a`，find_library 默认挑 `.dll.a`，产物会凭空多一个
      # libssl-3-x64.dll 而断言照样放行。两个方向的代价不对称：白名单误判时挡住
      # 发布（看得见，改一行就好），黑名单漏判时发一个干净机器起不来的包。
      - name: Assert the DLL is self-contained
        run: |
          # 两份都要过：调试档与发布档是**两次独立的 configure**，上面那三个开关
          # 任何一份漏传，就只有那一份多出 dll 依赖 —— 只查发布档会把它放过去，
          # 而那恰恰是使用者拿去调试时才会撞上的那份。`-g` 本身不改导入表。
          rc=0
          for d in build-mingw/libuvcpp.dll build-mingw-dbg/libuvcppd.dll; do
            echo "--- $d"
            deps=$(objdump -p "$d" | awk '/DLL Name/ {print $3}' | sort -u)
            echo "$deps"
            bad=$(echo "$deps" | grep -viE '^(ADVAPI32|bcrypt|bcryptprimitives|CRYPT32|dbghelp|DNSAPI|IPHLPAPI|KERNEL32|msvcrt|ntdll|ole32|PSAPI|RPCRT4|SECUR32|SHELL32|SHLWAPI|USER32|USERENV|WINMM|WS2_32|api-ms-win-[a-z0-9-]+)\.dll$' || true)
            if [ -n "$bad" ]; then
              echo "::error title=mingw-not-self-contained::$d 依赖了非 Windows 自带的模块: $bad"
              rc=1
            fi
          done
          exit $rc

      # **这份判据取生成的头，不取 CMakeCache** —— 1.5.0 起三个新开关里有两个走
      # 静默降级链（QUIC/HTTP3：缺依赖或那份 OpenSSL 不带 QUIC API 时是
      # `message(WARNING)` + `set(... OFF)`，**普通变量、不是 cache 写**），于是
      # `CMakeCache.txt` 里**照旧**写着 `=ON`，而编译器看到的是生成头里的 0。
      # 只 grep cache 的断言会放行一个缺功能的包 —— 而"发出去的包缺功能"正是它
      # 要拦的那件事，放行等于没写。生成的头是编译器真正读到的那个数，也是
      # config-contract 门禁读的那个数。
      #
      # 名字映射（cache 键 → 生成头里的宏，别照着 cache 键去 grep）。**这张表是
      # 逐条对着 `CMakeLists.txt` 的 `_uvcpp_literal01(...)` 那一段抄的**，不是
      # 按名字想当然：
      #   UVCPP_BUILD_EXPAND⇒**UVCPP_ENABLE_MEMORY_POOL**（**不是** WSDL —— expand
      #     是内存池那个模块，名字像纯属巧合。第一版就是按名字猜的，本机对着真
      #     生成头实测当场红了一条，而六条腿会一起红）；
      #   UVCPP_BUILD_WEB⇒UVCPP_WEB_ENABLE、UVCPP_BUILD_WEBAPP⇒UVCPP_WEBAPP_ENABLE、
      #   UVCPP_BUILD_NET⇒UVCPP_NET_ENABLE、UVCPP_ENABLE_ZLIB⇒UVCPP_ZLIB_ENABLE；
      #   其余同名加 `_ENABLE` 后缀（`UVCPP_ENABLE_QUIC`⇒`UVCPP_QUIC_ENABLE`）。
      #
      # **`UVCPP_ENABLE_WSDL`⇒`UVCPP_WSDL_ENABLE` 现在必须在下面那一串里。** 它归
      # 自己那个开关（不是 `UVCPP_BUILD_EXPAND`），默认 OFF，而发布腿自 1.5.2 起
      # **显式开**它：`1.5.0` 起发布包带上 QUIC/HTTP3/C ABI，WSDL/SOAP 是当时漏下
      # 的唯一一块 —— 包里的 `include/wsdl/*.h` 照装不误（那由 `package_release.py`
      # 的 MODULES 决定，与开关无关），但生成头里 `UVCPP_WSDL_ENABLE` 是 0，于是那些
      # 头的内容整段落在 `#if` 外面**编出来是空的**，使用方拿到的是"头在、功能不在"。
      # 打开它同时要满足 `UVCPP_BUILD_WEBAPP=ON`（WSDL 的前提，否则配置期静默降级），
      # 而六条腿本来就都开着。
      #
      # **`UVCPP_DB_ENABLE` / 四个后端宏同理。** db 模块的开关与宏同名加后缀，
      # **但这一族的内层宏是按后端各一枚**（`UVCPP_DB_SQLITE_ENABLE` /
      # `UVCPP_DB_MYSQL_ENABLE` / `UVCPP_DB_PGSQL_ENABLE` /
      # `UVCPP_DB_ODBC_ENABLE`）。**1.7.0 起前三枚都在这一串里** —— 在那之前这里只量
      # `UVCPP_DB_SQLITE_ENABLE`，因为另两个被显式 `=OFF`。为什么现在开着、以及"开着"
      # 与"链接行上有它"为什么不是一回事，见 mingw-x64 配置那一步 ⑤ 那段注释。
      #
      # **`UVCPP_DB_ODBC_ENABLE` 是 1.7.2 新加的第四枚**，也是这一串里唯一一个
      # **"开关默认 ON、仍必须量"**的：它不走"默认 OFF + 发布腿显式开"那条路，而是
      # 走"找不到 `sql.h` 就 `set(... OFF)`"那条静默降级 —— 于是**这正是**上面那段
      # 说的"cache 里照旧 ON、生成头里是 0"的形状。换句话说：对前三枚，这条断言拦的
      # 是"发布腿忘了传开关"；对这一枚，它拦的是"这条腿没弄到头"。两者的判据是同一个
      # （生成头），但第二种更隐蔽 —— 开关默认 ON 这件事本身会让人以为它不用管。
      # 整段理由（六条腿各自去哪儿弄头、mingw 那份为什么在 `include/unixodbc/` 下）
      # 在文件头 ⑧。
      #
      # **`UVCPP_YYJSON_ENABLE` / `UVCPP_BROTLI_ENABLE` 是 1.7.0 新加的两枚。** 它们
      # 与 WSDL 那次同形（默认 OFF、发布腿显式开），但更隐蔽一点：yyjson 在没有这两行
      # 之前是**发布腿一条都不开**的，所以"包里没有它"曾经是发布配置的事实而不是缺陷。
      # 这两枚进了清单，就等于把"包里必须真有 yyjson / brotli"变成一条会红的断言。
      # 注意 brotli 的宏是 `UVCPP_BROTLI_ENABLE`（跟着 `UVCPP_ENABLE_BROTLI`），
      # 而它还有一个派生宏 `UVCPP_HTTP_COMPRESS_ENABLE` —— 这里量的是前者：派生宏
      # 在"没开 zlib"的构建里也是 1，分不出是哪个编码器在库里。
      #
      # 两份产物都量：调试档与发布档是**两次独立的 configure**，漏传只让其中一份
      # 缺功能 —— 而那一份正是使用者拿去调试时才撞上的。
      - name: Assert the requested modules are actually on
        run: |
          rc=0
          check_tree() {
            tree="$1"; shift
            hdr="$tree/include/uvcpp/uvcpp_config.h"
            if [ ! -f "$hdr" ]; then
              echo "::error title=mingw-x64-no-config-header::找不到 $hdr —— 这一档的 configure 没落地"
              rc=1; return
            fi
            for k in "$@"; do
              if ! grep -qE "^#  define ${k} 1$" "$hdr"; then
                echo "::error title=mingw-x64-module-off::${k} 在 $tree 里不是 1，包会缺功能"
                grep -E "^#  define ${k} " "$hdr" || echo "  （生成头里没有这一项）"
                rc=1
              fi
            done
          }
          for t in build-mingw build-mingw-dbg; do
            check_tree "$t" UVCPP_NET_ENABLE UVCPP_WEB_ENABLE UVCPP_WEBAPP_ENABLE \
              UVCPP_ENABLE_MEMORY_POOL UVCPP_ZLIB_ENABLE UVCPP_OPENSSL_ENABLE \
              UVCPP_NGHTTP2_ENABLE UVCPP_CAPI_ENABLE UVCPP_QUIC_ENABLE \
              UVCPP_HTTP3_ENABLE UVCPP_WSDL_ENABLE \
              UVCPP_DB_ENABLE UVCPP_DB_SQLITE_ENABLE \
              UVCPP_DB_MYSQL_ENABLE UVCPP_DB_PGSQL_ENABLE \
              UVCPP_DB_ODBC_ENABLE \
              UVCPP_DB_MONGODB_ENABLE UVCPP_REDIS_ENABLE \
              UVCPP_YYJSON_ENABLE UVCPP_BROTLI_ENABLE
          done
          exit $rc

      # **出包之前必须全绿**。发布一个测试挂掉的库比不发更坏。
      # 排除项与四个平台文件一致：test_shutdown_func 是 ~1% 的既有间歇性失败
      # （doc/ci-guide.md §4），拿它卡发布只会卡住发布本身。
      - name: Test
        run: |
          # 续行必须写在块标量里。`run: cmd \` 是 YAML 普通标量，普通标量把换行
          # **折成空格**，`\` 于是只转义掉后面那个空格：shell 收到的是一条
          # `... --timeout 60 \ --exclude-regex "..."`，ctest 把这两个都当裸参数
          # 忽略 ⇒ 排除静默失效（实测过一次，80 个测试全跑了）。
          ctest --test-dir build-mingw --output-on-failure --timeout 60 \
            --exclude-regex "test_shutdown_func"

      - name: Package
        run: |
          # 同上：普通标量会把续行折成空格，argparse 收不到 --tree 直接退出 2。
          python tests/tools/package_release.py \
            --tree build-mingw --platform mingw-x64 \
            --debug-tree build-mingw-dbg --out dist

      - uses: actions/upload-artifact@v4
        with:
          name: mingw-x64
          path: dist/*.zip
          if-no-files-found: error

  # ---------------------------------------------------------------------------
  # Windows arm64 / MinGW-w64（MSYS2 CLANGARM64）
  #
  # 这条腿不是"换个架构的 MINGW64"，而是换了一整套 C++ 运行库：MSYS2 没有
  # aarch64 的 gcc，arm64 的 MinGW 工具链只有 clang，而 CLANGARM64 是
  # libc++ + libunwind 环境，不是 libstdc++。所以下面那条自检比 x64 那边更要紧。
  # ---------------------------------------------------------------------------
  mingw-arm64:
    runs-on: windows-11-arm
    timeout-minutes: 150
    defaults:
      run:
        shell: msys2 {0}
    steps:
      - uses: actions/checkout@v4

      - uses: msys2/setup-msys2@v2
        with:
          msystem: CLANGARM64
          update: false
          # 最后两个与 mingw-x64 同一件事：发布包要带 db 的 MySQL/PG 两个后端，而
          # `UVCPP_DB_RUNTIME_LOAD=ON` 省的是链接、省不掉编译 —— 头必须在。
          # 这两个包名 2026-10-14 在 `packages.msys2.org` 上核过（`clang-aarch64`
          # 仓里都在，版本与 x86_64 那条仓同步发布）。
          #
          # `unixodbc` 是 1.7.2 起的第四个后端，2026-10-16 在同一个站上核过
          # （`clangarm64` 仓里有，2.3.14-1，与 `mingw64` 那份同版本），**头的布局
          # 也一样在 `include/unixodbc/` 下** —— 下面 configure 里那份 `_INCLUDE_DIR`
          # 与 mingw-x64 逐字相同。理由（为什么 mingw 两条腿用 unixODBC 的头而不是
          # 微软 SDK 那份）在文件头 ⑧。
          #
          # `mongo-c-driver` 是 1.7.5 起的第五个后端，2026-10-19 在同一个站的
          # `clangarm64.db.tar.zst` 里核过（2.5.4-1，与 `mingw64` 那份同版本），头的
          # 布局也是**平**的 `include/{mongoc,bson}/`。只拿头：运行期是使用者那份。
          install: >-
            mingw-w64-clang-aarch64-clang
            mingw-w64-clang-aarch64-cmake
            mingw-w64-clang-aarch64-ninja
            mingw-w64-clang-aarch64-openssl
            mingw-w64-clang-aarch64-python
            mingw-w64-clang-aarch64-libc++
            mingw-w64-clang-aarch64-libunwind
            mingw-w64-clang-aarch64-libmariadbclient
            mingw-w64-clang-aarch64-postgresql
            mingw-w64-clang-aarch64-unixodbc
            mingw-w64-clang-aarch64-mongo-c-driver

      # 这条腿的机器本机不存在（没有 arm64 的 Windows 开发机），三个探点只能在这里
      # 实测。这一步**故意不设断言**：要的是数据，把关交给下面真正会拦人的白名单
      # 自检与 ctest；第一轮 CI 的输出就是探针结果本身。
      #
      # 关键的是第二段 —— 它用一个真跑 libc++ 的最小 dll，直接量
      # `-static -static-libgcc -static-libstdc++` 之后导入表里还剩什么。clang 把
      # 这三个都当普通 Flag 收下（Options.td 里就是裸 Flag，不会报 unknown
      # argument），所以"接受"不代表"生效"，只有真编一个出来看导入表才知道。
      # 用的解析器就是下面那道断言用的同一个 pe_imports()。
      - name: Probe toolchain
        run: |
          clang++ --version | head -1
          echo "target: $(clang++ -dumpmachine)"
          cat > probe_dll.cpp <<'CPP'
          #include <string>
          #include <stdexcept>
          extern "C" __declspec(dllexport) int probe()
          {
              try { throw std::runtime_error(std::string("probe")); }
              catch (const std::exception&) { return 1; }
          }
          CPP
          clang++ -shared -static -static-libgcc -static-libstdc++ \
            probe_dll.cpp -o probe_dll.dll
          python - <<'PY'
          import sys
          sys.path.insert(0, 'tests/tools')
          from package_release import pe_imports
          print('probe_dll.dll imports:', pe_imports('probe_dll.dll'))
          PY
          rm -f probe_dll.cpp probe_dll.dll

      - name: Configure & Build
        run: |
          set -o pipefail
          # 与 mingw-x64 同一个理由链：BUILD_SHARED_LIBS=OFF 管 llhttp、
          # UVCPP_BUILD_LIBUV_FROM_SOURCE=ON 管 libuv，缺一个产物就多一个 dll 依赖。
          #
          # UVCPP_STATIC_RUNTIME=ON 在这里比 x64 更要紧：CLANGARM64 的 libc++.dll /
          # libunwind.dll 是随工具链装进来的，不静态链就会出现在导入表里，产物在
          # 没装 MSYS2 的机器上直接起不来。CMakeLists.txt:30-37 的 MINGW 分支给的是
          # `-static -static-libgcc -static-libstdc++`，其中真正干活的是 -static
          # （另两个是 GCC 的名字，clang 收下但它们指的不是 libc++）。
          cmake -S . -B build-mingw -G Ninja -DCMAKE_BUILD_TYPE=Release \
            -DBUILD_SHARED_LIBS=OFF \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=ON -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include/unixodbc" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include" \
            -DUVCPP_BUILD_EXPAND=ON -DUVCPP_STATIC_RUNTIME=ON \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-mingw --parallel 4

          # 调试档：另开一棵单配置树，开关与上面逐字相同（理由链同 mingw-x64）。
          # 这一条腿的 `-static` 尤其要跟着传：CLANGARM64 的 libc++.dll /
          # libunwind.dll 不静态链就会出现在导入表里。
          cmake -S . -B build-mingw-dbg -G Ninja -DCMAKE_BUILD_TYPE=Debug \
            -DBUILD_SHARED_LIBS=OFF \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=OFF -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include/unixodbc" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$(cygpath -m "$MINGW_PREFIX")/include" \
            -DUVCPP_BUILD_EXPAND=ON -DUVCPP_STATIC_RUNTIME=ON \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-mingw-dbg --parallel 4

      # 与 mingw-x64 同一张白名单，但**不用 objdump**：gcc 依赖 binutils 所以
      # MINGW64 上 objdump 一定在，而 clang 不依赖 GNU binutils，CLANG64/CLANGARM64
      # 的 `mingw-w64-clang-aarch64-binutils` 是个虚拟包（没有可安装的包体）。
      # 改用仓库自己的 pe_imports()：打包器的导入表自检用的就是它，于是断言和
      # 打包共用一份解析实现，少一个"两边对同一件事各说各话"的自由度。
      - name: Assert the DLL is self-contained
        run: |
          python - <<'PY'
          import re
          import sys

          sys.path.insert(0, "tests/tools")
          from package_release import pe_imports

          system = re.compile(
              r"^(advapi32|bcrypt|bcryptprimitives|crypt32|dbghelp|dnsapi|iphlpapi|"
              r"kernel32|msvcrt|ntdll|ole32|psapi|rpcrt4|secur32|shell32|shlwapi|"
              r"user32|userenv|winmm|ws2_32|api-ms-win-[a-z0-9-]+)\.dll$")

          # 两份都要过：调试档与发布档是两次独立的 configure，开关漏传只会让
          # **那一份**多出 dll 依赖。见 mingw-x64 那边的同一段注释。
          rc = 0
          for dll in ("build-mingw/libuvcpp.dll", "build-mingw-dbg/libuvcppd.dll"):
              print("--- %s" % dll)
              deps = pe_imports(dll)
              if deps is None:
                  print("%s 不是 PE，断言无从谈起，按失败处理" % dll)
                  rc = 1
                  continue
              print("\n".join(deps))
              bad = [d for d in deps if not system.match(d)]
              if bad:
                  print("::error title=mingw-arm64-not-self-contained::"
                      "%s 依赖了非 Windows 自带的模块: %s" % (dll, bad))
                  rc = 1
          sys.exit(rc)
          PY

      # 与 mingw-x64 那一同名步骤逐字同构（判据为什么取生成的头、名字怎么映射、
      # 为什么两份产物都要量 —— 全在那边的注释里），只换了标题里的腿名。
      - name: Assert the requested modules are actually on
        run: |
          rc=0
          check_tree() {
            tree="$1"; shift
            hdr="$tree/include/uvcpp/uvcpp_config.h"
            if [ ! -f "$hdr" ]; then
              echo "::error title=mingw-arm64-no-config-header::找不到 $hdr —— 这一档的 configure 没落地"
              rc=1; return
            fi
            for k in "$@"; do
              if ! grep -qE "^#  define ${k} 1$" "$hdr"; then
                echo "::error title=mingw-arm64-module-off::${k} 在 $tree 里不是 1，包会缺功能"
                grep -E "^#  define ${k} " "$hdr" || echo "  （生成头里没有这一项）"
                rc=1
              fi
            done
          }
          for t in build-mingw build-mingw-dbg; do
            check_tree "$t" UVCPP_NET_ENABLE UVCPP_WEB_ENABLE UVCPP_WEBAPP_ENABLE \
              UVCPP_ENABLE_MEMORY_POOL UVCPP_ZLIB_ENABLE UVCPP_OPENSSL_ENABLE \
              UVCPP_NGHTTP2_ENABLE UVCPP_CAPI_ENABLE UVCPP_QUIC_ENABLE \
              UVCPP_HTTP3_ENABLE UVCPP_WSDL_ENABLE \
              UVCPP_DB_ENABLE UVCPP_DB_SQLITE_ENABLE \
              UVCPP_DB_MYSQL_ENABLE UVCPP_DB_PGSQL_ENABLE \
              UVCPP_DB_ODBC_ENABLE \
              UVCPP_DB_MONGODB_ENABLE UVCPP_REDIS_ENABLE \
              UVCPP_YYJSON_ENABLE UVCPP_BROTLI_ENABLE
          done
          exit $rc

      - name: Test
        run: |
          # 续行必须写在块标量里。`run: cmd \` 是 YAML 普通标量，普通标量把换行
          # **折成空格**，`\` 于是只转义掉后面那个空格：shell 收到的是一条
          # `... --timeout 60 \ --exclude-regex "..."`，ctest 把这两个都当裸参数
          # 忽略 ⇒ 排除静默失效（实测过一次，80 个测试全跑了）。
          ctest --test-dir build-mingw --output-on-failure --timeout 60 \
            --exclude-regex "test_shutdown_func"

      - name: Package
        run: |
          python tests/tools/package_release.py \
            --tree build-mingw --platform mingw-arm64 \
            --debug-tree build-mingw-dbg --out dist

      - uses: actions/upload-artifact@v4
        with:
          name: mingw-arm64
          path: dist/*.zip
          if-no-files-found: error

  # ---------------------------------------------------------------------------
  # Windows x64 / MSVC (VS2022) —— 给 MSVC 使用者用；/MD + 包内自带运行库
  # ---------------------------------------------------------------------------
  msvc-x64:
    # 钉 windows-2022 而不是 windows-latest：后者现在指向 "windows-2025-vs2026"
    # 镜像，那张镜像里**只有 VS 2026**，下面写死的 `-G "Visual Studio 17 2022"`
    # 会直接报 "could not find any instance of Visual Studio"（首跑就是这么挂的）。
    # 也不改成"去掉 -G 让 CMake 自己挑"：那会把发布产物的 ABI 绑在 GitHub 换镜像
    # 的节奏上（今天 VS2026，下次不知道）。windows-2022 上只有 VS2022，
    # 生成器是写死还是自动挑结果相同，但写出来在日志里可核对。
    runs-on: windows-2022
    timeout-minutes: 150
    steps:
      - uses: actions/checkout@v4

      # 不靠镜像里"碰巧装了 OpenSSL"：没找到时 `find_package(OpenSSL QUIET)` 会把
      # UVCPP_ENABLE_OPENSSL 静默置 OFF（CMakeLists.txt:580-580），那样发出去的包
      # 一句 SSL 都没有 —— 而它的生成头会**如实**说 0，使用者照配也拿不到 SSL。
      #
      # 这条要求由 `.github/scripts/win-openssl-deps.sh` 兑现，而且比原来那一行更硬：
      # 原来 `choco install` 退出 0 就算数，现在**必须真找到一份 openssl.exe**，
      # 找不到就 exit 1（并把找过哪几处、choco 的原话折进 `::error`）。镜像自带的那份
      # 也认，但它要跟 choco 那份一样先被"找到"才放行 —— 所以"静静发一个没有 SSL 的
      # 包"这条路仍然堵着。
      #
      # 为什么不再直接用裸 choco：2026-09-29 20:46 UTC 起它在两张 windows 镜像上都
      # 恒非 0 退出，理由与实测写在那个脚本的头部。
      - name: Install OpenSSL
        shell: bash
        run: bash .github/scripts/win-openssl-deps.sh

      # MySQL/PG/MongoDB 的**头**。这条腿的机器上一份都没有：镜像里 MySQL 那一项是
      # `Install-MysqlCli.ps1` 装的命令行工具（没有头），PostgreSQL 14 虽然装着
      # 但只有 x64 这一条腿有、另一条（windows-11-arm）连 PostgreSQL 都没有 ——
      # 所以两条 MSVC 腿统一用 `win-client-headers.sh` 取同一份钉死版本的头，
      # 而不是一条用镜像自带的、一条用别处来的。理由与"为什么不用 MSYS2 那份"
      # 全在脚本头部。MongoDB 那一份（1.7.5 起）是同一个脚本、同一个来路。
      - name: Install MySQL / PostgreSQL / MongoDB client headers
        shell: bash
        run: bash .github/scripts/win-client-headers.sh

      - name: Configure & Build
        shell: bash
        run: |
          set -o pipefail
          # 同 mingw-x64：① 让 libuv 从源码静态编（runner 上若有系统 libuv，
          # 不带这个开关就会链成 uv.dll），② 让 llhttp 静态（否则 llhttp.dll）。
          # zlib 不受 ② 影响（CMakeLists.txt:2556-2557 明确链 zlibstatic）。
          # MSVC 侧 uvcpp 自己仍走 /MD + 包内自带 VC++ 运行库，与此无关。
          #
          # ODBC 的**头**：db 的第四个后端（1.7.2 起进发布包），头在 Windows SDK
          # 里，但要自己找出来 —— `find_path(sql.h)` 不会去翻 SDK 的 `um` 目录，
          # 找不到就直接静默降级（生成头里那颗宏是 0，cache 里照旧 ON）。整段理由
          # （为什么用 SDK 那份而不是 unixODBC、为什么**必须按版本号取最大**、别改成
          # 字典序）在 `.github/scripts/win-odbc-headers.sh` 头部。
          # 取不到时它 exit 1 ⇒ 这一步当场停（`shell: bash` 是 `-eo pipefail`），
          # 不会带着一份少后端的配置继续编下去。
          odbc_inc=$(bash .github/scripts/win-odbc-headers.sh)
          cmake -S . -B build-msvc -G "Visual Studio 17 2022" -A x64 \
            -DBUILD_SHARED_LIBS=OFF \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=ON -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR=C:/client-headers/mysql \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR=C:/client-headers/pgsql \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$odbc_inc" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR=C:/client-headers/mongo \
            -DUVCPP_BUILD_EXPAND=ON \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-msvc --config Release --parallel 4

          # 调试档：同一棵树换配置，产物落在 build-msvc/Debug/（含 uvcppd.pdb）。
          # 只建 `uvcpp` 这一个目标，不建 Debug 的测试 —— 这条腿要的是**产物**，
          # 而 Debug 全套测试会把这一步的墙钟翻倍（Release 那份测试在上面已经跑过）。
          # 必须**显式**建 Debug，不能指望 `--config Release` 顺带产出：DEBUG_POSTFIX
          # 只在 Debug 配置下加那个 `d`。
          cmake --build build-msvc --config Debug --target uvcpp --parallel 4

      # 上面那条注释说的静默降级，在这里被钉死。
      - name: Assert the requested modules are actually on
        shell: bash
        run: |
          # 判据从 CMakeCache 改成**生成的头**（1.5.0 起）：旧写法只 grep cache，
          # 而这一版新开的 QUIC/HTTP3 走的正是"cache 里照旧 ON、真正生效的是 0"
          # 那条静默降级链 —— 旧断言会放行一个缺功能的包。完整理由、名字映射与
          # "两份产物都要量"都在 mingw-x64 那个同名步骤的注释里。
          #
          # MSVC 这里只有**一棵**多配置树（Release/Debug 共用一次 configure），
          # 所以 `for t` 只有一格 —— 与 mingw/linux 那边两份树的形状不同，
          # 那是生成器差异（单配置 vs 多配置），不是漏了一只。
          rc=0
          check_tree() {
            tree="$1"; shift
            hdr="$tree/include/uvcpp/uvcpp_config.h"
            if [ ! -f "$hdr" ]; then
              echo "::error title=msvc-x64-no-config-header::找不到 $hdr —— configure 没落地"
              rc=1; return
            fi
            for k in "$@"; do
              if ! grep -qE "^#  define ${k} 1$" "$hdr"; then
                echo "::error title=msvc-x64-module-off::${k} 在 $tree 里不是 1，包会缺功能"
                grep -E "^#  define ${k} " "$hdr" || echo "  （生成头里没有这一项）"
                rc=1
              fi
            done
          }
          check_tree build-msvc UVCPP_NET_ENABLE UVCPP_WEB_ENABLE \
            UVCPP_WEBAPP_ENABLE UVCPP_ENABLE_MEMORY_POOL UVCPP_ZLIB_ENABLE \
            UVCPP_OPENSSL_ENABLE UVCPP_NGHTTP2_ENABLE UVCPP_CAPI_ENABLE \
            UVCPP_QUIC_ENABLE UVCPP_HTTP3_ENABLE UVCPP_WSDL_ENABLE \
            UVCPP_DB_ENABLE UVCPP_DB_SQLITE_ENABLE \
            UVCPP_DB_MYSQL_ENABLE UVCPP_DB_PGSQL_ENABLE \
            UVCPP_DB_ODBC_ENABLE \
            UVCPP_DB_MONGODB_ENABLE UVCPP_REDIS_ENABLE \
            UVCPP_YYJSON_ENABLE UVCPP_BROTLI_ENABLE
          exit $rc

      - name: Test
        shell: bash
        run: |
          # 内存池在 Windows 上出过问题（MinGW 侧，见 RELEASE.md），
          # 所以这里的 test_memory_pool 不是可选项。
          ctest --test-dir build-msvc -C Release --output-on-failure \
            --timeout 60 --exclude-regex "test_shutdown_func"

      - name: Package
        shell: bash
        run: |
          # MSVC 的运行库在 VCToolsRedistDir 下，packager 靠这个环境变量定位；
          # 找不到就报错退出，而不是发一个缺 vcruntime 的包。
          export VCToolsRedistDir
          python tests/tools/package_release.py \
            --tree build-msvc --platform msvc-x64 --config Release \
            --debug-tree build-msvc --out dist

      # 安装程序的内容就是上面那一步产出的 stage 目录 —— 不再重新组装文件清单。
      # `packaging/windows/libuvcpp.iss` 里写了为什么（那是已经过全部自检的那棵
      # 树，再抄一份清单就是第二个真相来源）。
      #
      # 签名证书是**可选**的：没有 `WINDOWS_CERT_PFX_BASE64` 时只打一行 warning、
      # 安装包照出。缺证书是配置问题，不该让整条发布腿红 —— 但也不能悄悄跳过，
      # 所以 warning 里点名了该看 RELEASE.md 的哪一节。
      - name: Build installer
        shell: pwsh
        env:
          WINDOWS_CERT_PFX_BASE64: ${{ secrets.WINDOWS_CERT_PFX_BASE64 }}
          WINDOWS_CERT_PASSWORD: ${{ secrets.WINDOWS_CERT_PASSWORD }}
        run: |
          $ErrorActionPreference = 'Stop'
          $arch = 'x64'
          $zip = Get-ChildItem "dist/libuvcpp-*-msvc-$arch.zip" | Select-Object -First 1
          if (-not $zip) { throw "dist 下没有 libuvcpp-*-msvc-$arch.zip —— Package 那一步没产出" }
          $base = $zip.BaseName
          # 用正则而不是 `-split`：版本号里一旦出现连字符（预发布那种），split
          # 取到的是半截版本号，而它只影响**文件名**，ISCC 那边照样能编过。
          if ($base -notmatch '-(\d+\.\d+\.\d+)-msvc-') { throw "从 $base 里取不出版本号" }
          $ver = $Matches[1]
          $stage = Join-Path (Get-Location) "dist/$base"
          if (-not (Test-Path $stage)) { throw "没有 stage 目录 $stage" }
          Write-Host "version=$ver stage=$stage"

          choco install innosetup --no-progress -y | Out-Host
          $iscc = Get-ChildItem 'C:\Program Files (x86)\Inno Setup*\ISCC.exe' |
                    Sort-Object FullName -Descending | Select-Object -First 1
          if (-not $iscc) { throw "找不到 ISCC.exe（choco innosetup 装了但没落到预期路径）" }
          Write-Host "ISCC: $($iscc.FullName) $($iscc.VersionInfo.FileVersion)"

          # ArchAllowed 必须显式给：.iss 的默认值是 `x64compatible`，arm64 那一步
          # 不给它就会编出一个自称 x64compatible 的 arm64 安装包。
          $isccArgs = @("/DMyVersion=$ver", "/DMyArch=$arch", "/DArchAllowed=x64compatible",
                        "/DStageDir=$stage", "/DOutputDir=$((Get-Location).Path)\dist")
          $pfx = $null
          $wrap = $null
          if ($env:WINDOWS_CERT_PFX_BASE64) {
            $pfx = Join-Path $env:RUNNER_TEMP 'codesign.pfx'
            [IO.File]::WriteAllBytes($pfx, [Convert]::FromBase64String($env:WINDOWS_CERT_PFX_BASE64))
            $signtool = Get-ChildItem "${env:ProgramFiles(x86)}\Windows Kits\10\bin\*\x64\signtool.exe" |
                          Sort-Object FullName -Descending | Select-Object -First 1
            if (-not $signtool) { throw "找不到 signtool.exe（Windows SDK 装了吗？）" }
            # ISCC 的 /S 值里一旦同时有空格和引号（signtool 在 `Program Files
            # (x86)` 下、命令行本身也得带引号），传过去会被拆成多段，ISCC 报
            # "You may not specify more than one script filename" —— 2026-10-18
            # 用自签证书第一次真跑签名时踩到。落成一个路径无空格的 .cmd 包装器，
            # 值里只留路径 + `$f`（后者是 ISCC 强制的占位符，缺了报
            # "$f sequence is missing"），文件名由 ISCC 追加、包装器里收 %1。
            $wrap = Join-Path $env:RUNNER_TEMP 'sign.cmd'
            Set-Content -Path $wrap -Encoding ascii -Value @(
              '@echo off',
              ('"{0}" sign /fd sha256 /td sha256 /tr http://timestamp.digicert.com /f "{1}" /p "{2}" %1' -f $signtool.FullName, $pfx, $env:WINDOWS_CERT_PASSWORD)
            )
            $isccArgs += '/DSignSetup=1'
            $isccArgs += "/Ssigntool=$wrap `$f"
            Write-Host "签名工具: $($signtool.FullName)"
          } else {
            Write-Host "::warning title=no-signing-cert::没有 WINDOWS_CERT_PFX_BASE64，安装包不签名（见 packaging/README.md 的「首次发布前的一次性准备」）"
          }

          # 脚本文件必须当**位置参数**给它 —— `$isccArgs` 里全是 `/D`/`/S` 选项。
          # 2026-10-18 的 v1.7.4 发布第一次跑这一步就漏了它：ISCC 收到零个位置
          # 参数，打印用法后以 1 退出，看着像编译失败、其实是没给脚本。
          & $iscc.FullName @isccArgs packaging/windows/libuvcpp.iss
          if ($LASTEXITCODE -ne 0) { throw "ISCC 失败，退出码 $LASTEXITCODE" }
          # 包装器里是明文口令，和 PFX 一起删掉
          if ($pfx) { Remove-Item $pfx -Force }
          if ($wrap) { Remove-Item $wrap -Force }

          $exe = Join-Path (Get-Location) "dist/libuvcpp-$ver-msvc-$arch-setup.exe"
          if (-not (Test-Path $exe)) { throw "ISCC 报成功但没有 $exe" }
          Write-Host "built: $exe ($((Get-Item $exe).Length) 字节)"
          if ($pfx -or $env:WINDOWS_CERT_PFX_BASE64) {
            $sig = Get-AuthenticodeSignature $exe
            Write-Host "signature: $($sig.Status) / $($sig.SignerCertificate.Subject)"
            if ($sig.Status -ne 'Valid') {
              # 自签名证书天生的"不受信任"：链停在一张没人信过的根上，Status 是
              # `UnknownError`（`HashMismatch` 才是包被改过，那个照旧判死）。
              # 自签只警告 —— 它存在的意义是先把签名链路跑通。
              $c = $sig.SignerCertificate
              $selfSigned = $c -and ($c.Subject -eq $c.Issuer)
              if ($selfSigned -and $sig.Status -in @('UnknownError', 'NotTrusted')) {
                Write-Host "::warning title=self-signed-installer::安装包用自签名证书（$($c.Subject)）签的：签名与哈希完整，但证书不受信任，用户仍会看到未知发布者"
              } else {
                throw "安装包签名无效：$($sig.Status)"
              }
            }
          }

      - uses: actions/upload-artifact@v4
        with:
          name: msvc-x64
          path: |
            dist/*.zip
            dist/*.exe
          if-no-files-found: error

  # ---------------------------------------------------------------------------
  # Windows arm64 / MSVC (VS2022 v143) —— 与 msvc-x64 同源，只差架构。
  # 真正的卡点是 OpenSSL：choco 的 openssl 只有 x64/x86，arm64 那份没有现成的，
  # 只能自己编。其余开关与 msvc-x64 逐字一致。
  #
  # **工具集是 v143，但它现在只能靠 `-T` 钉住、不能靠镜像，这里把为什么写清楚。**
  # `windows-11-arm` 这个标签在 2026-09-21~30 之间从 VS2022 镜像切成了 VS2026 镜像
  # （GitHub 的公告；本仓第一次撞上它是 2026-10-04 那次 release 测试，红在下面那条
  # ABI 断言上）。VS2026 的**默认**工具集不再是 v143，所以"让 CMake 自己挑生成器"
  # 这条腿会静默把 ABI 升上去 —— 那边 msvc-x64 钉在 `windows-2022` 上照旧是 v143，
  # 两个包就对不上了，而 `RELEASE.md` 的平台表把两个 Windows 包都写成 VS2022。
  #
  # 好在**镜像里装着 v143 的 ARM64 工具集**：
  # `Microsoft.VisualStudio.Component.VC.14.44.17.14.ARM64`（见 actions/runner-images
  # 的 `Windows11-VS2026-Arm64-Readme.md`；14.44 就是 VS2022 17.14 的那版 MSVC）。
  # 所以这条腿改成三处一起钉 v143：OpenSSL 那步的 `vcvarsall -vcvars_ver`、
  # 下面 configure 的 `-T v143`、以及那条断言（断言**工具集**而不是生成器名）。
  # 注意**别**照着 msvc-x64 的样子写死 `-G "Visual Studio 17 2022"`：那张镜像上
  # 没有 VS2022，生成器名只会是 18 2026 —— 要钉的是工具集，不是生成器。
  #
  # 若哪天镜像连这个兼容组件也撤了，失败是响亮的：configure 期 `MSB8020`
  # （"cannot be found for Platform Toolset = 'v143'"），而不是发一个 ABI 不同的包。
  # ---------------------------------------------------------------------------
  msvc-arm64:
    runs-on: windows-11-arm
    timeout-minutes: 180
    steps:
      - uses: actions/checkout@v4

      - name: Fetch OpenSSL source
        uses: actions/checkout@v4
        with:
          repository: openssl/openssl
          ref: openssl-3.5.8
          path: openssl-src

      # vcvarsall 设的 INCLUDE/LIB/PATH 不跨 step 传递，所以"定位 VS → 进环境 →
      # 配置 → 编译 → 安装"必须在同一个 shell 里做完。
      #
      # VC-WIN64-ARM 是 OpenSSL 唯一给 MSVC ARM64 的 target，定义在
      # Configurations/50-win-onecore.conf:75 —— 不在 10-main.conf，按文件名找会漏。
      # 它带 OPENSSL_SYS_WIN_CORE + onecore.lib + /NODEFAULTLIB:kernel32.lib，看着像
      # "非桌面的"，其实不是：把它变成 UWP 的是 WINAPI_FAMILY=WINAPI_FAMILY_APP +
      # /APPCONTAINER + WindowsApp.lib —— 那是 VC-WIN64-ARM-UWP 在这个 target 上再
      # 叠三样；VC-WIN64-ARM 自己反倒显式定义了
      # _ARM_WINAPI_PARTITION_DESKTOP_SDK_AVAILABLE（desktop 分区可用），而
      # onecore.lib 本来就是桌面 SDK 里的 umbrella 库。另一条路
      # VC-WIN64-CLANGASM-ARM（vcpkg 编桌面 arm64 用的正是它）带的是**完全相同**
      # 的两个 define，只是不写死 onecore.lib，代价是白添一个 clang-cl 依赖 ——
      # 两条路都躲不开 OPENSSL_SYS_WIN_CORE，所以取工具链更少的这条。
      #
      # no-asm 是刻意的：镜像没有 NASM（那是 x64 的汇编器），arm64 汇编要走
      # armasm64，引入的变数大于收益 —— 这是发布构建，不是基准测试。
      # no-tests / no-apps 见 INSTALL.md，省掉全部测试程序与命令行工具。
      #
      # 用 jom 而不是 nmake：nmake 没有 -j，串行编 libcrypto 会把这条腿拖到时限
      # 边缘。jom 就是"带 -j 的 nmake"，vcpkg 在同一个平台上编 OpenSSL 用的正是
      # 它（portfile 里的 PREFER_JOM）。
      #
      # 但并行会撞 PDB：10-main.conf:1547 的 lib_cflags 给**所有** .obj（含 shlib）
      # 写同一个 /Fdossl_static.pdb，多个 cl.exe 抢它就报 C1041。所以要补 /FS
      # —— 正是那条报错自己给出的解法。写成裸 /FS 而不是 --fs：Configure 只把
      # ^[-+] 与 ^/ 开头的参数并进 useradd{CFLAGS}，而 useradd 是**追加**语义
      # （Configure:791 的注释与 :1505 的 push 都写明了），于是 /FS 落进 $(CFLAGS)，
      # 再进 LIB_CFLAGS/DSO_CFLAGS/BIN_CFLAGS。本机跑 Configure 实测：
      #   CFLAGS=/W3 /wd4090 /nologo /O2 /FS
      # no-makedepend 同理 —— 并行的依赖生成会 race，vcpkg 也在 CONCURRENCY>1
      # 时加它。
      - name: Build OpenSSL for arm64
        shell: cmd
        run: |
          choco install jom --no-progress -y
          if not exist "C:\ProgramData\chocolatey\bin\jom.exe" (
            echo ::error title=no-jom::jom 没装上，串行 nmake 会拖垮这条腿
            exit /b 1
          )
          set "PATH=C:\ProgramData\chocolatey\bin;%PATH%"

          set "VSWHERE=%ProgramFiles(x86)%\Microsoft Visual Studio\Installer\vswhere.exe"
          if not exist "%VSWHERE%" set "VSWHERE=%ProgramFiles%\Microsoft Visual Studio\Installer\vswhere.exe"
          if not exist "%VSWHERE%" (
            echo ::error title=no-vswhere::镜像里找不到 vswhere.exe
            exit /b 1
          )
          set "VSDIR="
          for /f "usebackq delims=" %%i in (`"%VSWHERE%" -latest -products * -requires Microsoft.VisualStudio.Component.VC.Tools.ARM64 -property installationPath`) do set "VSDIR=%%i"
          if not defined VSDIR (
            echo ::error title=no-arm64-toolset::镜像里没有带 ARM64 工具集的 VS
            exit /b 1
          )
          echo VSDIR=%VSDIR%
          rem `-vcvars_ver=14.44` 把工具集钉到 v143（14.44 = VS2022 17.14 那版 MSVC），
          rem 理由见 job 头那段：VS2026 是默认工具集，不钉就会让 OpenSSL 用 14.5x
          rem 编、而 uvcpp 那边用 `-T v143` 编 —— 一个包里两个工具集。
          rem 光传参不算数，下面直接核对 vcvars 真的选中了 14.44（`VCToolsVersion`
          rem 是 vcvars 自己导出的），传了个不存在的版本号而静默回退也拦得住。
          rem 用 /l 让 '.' 按字面匹配 —— findstr 默认把搜索串当正则。
          call "%VSDIR%\VC\Auxiliary\Build\vcvarsall.bat" arm64 -vcvars_ver=14.44
          if errorlevel 1 exit /b 1
          echo VCToolsVersion=%VCToolsVersion%
          echo %VCToolsVersion% | findstr /l /b "14.44." >nul || (
            echo ::error title=openssl-toolset-drift::期望 v143 的 MSVC 14.44，实际 '%VCToolsVersion%'
            exit /b 1
          )

          cd /d "%GITHUB_WORKSPACE%\openssl-src"
          perl Configure VC-WIN64-ARM no-asm no-tests no-apps no-makedepend /FS ^
            --prefix=%GITHUB_WORKSPACE%\openssl-arm64 ^
            --openssldir=%GITHUB_WORKSPACE%\openssl-arm64\ssl
          if errorlevel 1 exit /b 1
          jom /J 4
          if errorlevel 1 exit /b 1
          nmake /nologo install_sw
          if errorlevel 1 exit /b 1

      # 与 msvc-x64 同一个脚本、同一份钉死版本的头：`windows-11-arm` 那张镜像里
      # **连 PostgreSQL 都没有**（`Windows11-Arm64-Readme.md` 里 postgres 零命中，
      # MySQL 那一项是命令行工具、没有头），所以这一条腿必须自己取。MongoDB 那份
      # （1.7.5 起）与另两份同在一个脚本里。
      - name: Install MySQL / PostgreSQL / MongoDB client headers
        shell: bash
        run: bash .github/scripts/win-client-headers.sh

      - name: Configure & Build
        shell: bash
        run: |
          set -o pipefail
          # 不写 -G：这张镜像已经只剩 VS2026 了（job 头那段），写死
          # `-G "Visual Studio 17 2022"` 就是 msvc-x64 那边的"生成器找不到"。
          # 生成器交给 CMake 挑（今天会挑到 VS2026），但**工具集**必须钉回 v143：
          # ABI 是工具集决定的，不是生成器决定的 —— 包要是拿 v144 编出来，
          # 就和钉在 windows-2022 上的 msvc-x64 不是一个 ABI，而 RELEASE.md
          # 两个 Windows 包都写着 "MSVC (VS2022)"。`-T v143` 就是这一钉，
          # 镜像上真装了 v143 的 arm64 组件（job 头引了 runner-images 的清单），
          # 没有的话 configure 阶段就 MSB8020 响亮地停。下面那条断言再从
          # CMakeCache 里把实际选中的工具集读回来核对 —— 传参不算数，缓存算数。
          #
          # 开关与 msvc-x64 逐字一致（理由见那边）：BUILD_SHARED_LIBS=OFF 管 llhttp、
          # UVCPP_BUILD_LIBUV_FROM_SOURCE=ON 管 libuv。
          #
          # OPENSSL_ROOT_DIR 必须显式给：不给的话 find_package 会在镜像里乱找，
          # 而 choco 那份是 x64 的 —— 把 x64 的 .lib 链进 arm64 是响亮失败，
          # 但"找不到 ⇒ QUIET 静默关掉 SSL"是静默坏包，两种都不能靠运气。
          #
          # ODBC 的头与 msvc-x64 逐字同源（`win-odbc-headers.sh`）：SDK 那份、
          # 按版本号取最大的 `um`。这条腿的镜像是 windows-11-arm，SDK 版本号与
          # windows-2022 未必相同 —— 所以这里**必须**还是走那个脚本去算，不能把
          # 那条腿实测到的路径抄过来。
          odbc_inc=$(bash .github/scripts/win-odbc-headers.sh)
          cmake -S . -B build-msvc -A arm64 -T v143 \
            -DBUILD_SHARED_LIBS=OFF \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=ON -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR=C:/client-headers/mysql \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR=C:/client-headers/pgsql \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$odbc_inc" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR=C:/client-headers/mongo \
            -DUVCPP_BUILD_EXPAND=ON \
            -DOPENSSL_ROOT_DIR="$(cygpath -m "$GITHUB_WORKSPACE")/openssl-arm64" \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-msvc --config Release --parallel 4

          # 调试档：同 msvc-x64，只建 `uvcpp` 这一个目标（见那边的注释）。
          cmake --build build-msvc --config Debug --target uvcpp --parallel 4

      # ABI 由**工具集**决定，不由生成器决定：镜像从 VS2022 换到 VS2026 之后，
      # 同一个生成器（现在是 "Visual Studio 18 2026"）能配出 v143 也能配出 v144
      # 两种 ABI。上面用 `-T v143` 钉住，这一条把**缓存里实际落下的**值读回来
      # 核对 —— 传参不算数，缓存算数：`-T` 被谁删了、写成了别的版本、或镜像上
      # 没装 v143 而 CMake 静默回退，都在这里响。判据取 CMakeCache，比刮
      # configure 日志稳。
      #
      # 取的是 CMAKE_GENERATOR_TOOLSET（`-T` 落的那个）；不传 `-T` 时它是空串
      # （本机对着一个 VS2022 的缓存实测过），所以"有人删掉 -T"会被下面这句抓住，
      # 不会悄悄漏成生成器的默认工具集。
      #
      # 平台键是 CMAKE_GENERATOR_PLATFORM（`-A` 落的那个），**不是**
      # CMAKE_VS_PLATFORM_NAME —— 后者是 CMake 脚本里的变量，CMakeCache.txt 里
      # 根本没有这个键。用 grep 取它时：GitHub 的 `shell: bash` 跑的是
      # `bash -eo pipefail`，grep 无命中 ⇒ 管道非零 ⇒ `-e` 当场终止整段，
      # echo 与 ::error 全都不执行，只留一句 "exit code 1"。实测踩过一次。
      # 所以这里用 sed -n 取值：无命中返回空串且退出 0，一律落到下面的 if 去报告。
      - name: Assert the arm64 ABI is the one we ship
        shell: bash
        run: |
          gen=$(sed -n 's/^CMAKE_GENERATOR:INTERNAL=//p' build-msvc/CMakeCache.txt)
          plat=$(sed -n 's/^CMAKE_GENERATOR_PLATFORM:INTERNAL=//p' build-msvc/CMakeCache.txt)
          ts=$(sed -n 's/^CMAKE_GENERATOR_TOOLSET:INTERNAL=//p' build-msvc/CMakeCache.txt)
          echo "generator=$gen  platform=$plat  toolset=$ts"
          if [ "$ts" != "v143" ] || [ "$plat" != "arm64" ]; then
            echo "::error title=arm64-abi-drift::期望工具集 v143 / arm64，实际 '$ts' / '$plat' ——（生成器是 '$gen'）工具集换了这一版 ABI 就和钉在 VS2022 上的 msvc-x64 对不上，而 RELEASE.md 两个 Windows 包都写着 MSVC (VS2022)，先停下来定"
            exit 1
          fi

      - name: Assert the requested modules are actually on
        shell: bash
        run: |
          # 判据从 CMakeCache 改成**生成的头**（1.5.0 起）—— 完整理由（为什么 cache
          # 会漏掉 QUIC/HTTP3 的静默降级、名字怎么映射、为什么只有一棵树）在
          # msvc-x64 那个同名步骤的注释里。这一条是 arm64 特有的**补充**判据：
          # 这条腿的 OpenSSL 是自己拿 `VC-WIN64-ARM no-asm` 从源码编的（见上面
          # "Build OpenSSL for arm64"），本机无法验证，所以这里额外把"这份 OpenSSL
          # 确实带 QUIC API"从**配置期的探测结果**里读回来 —— 探测结果是 cache 变量
          # `UVCPP_OPENSSL_HAS_QUIC_CBS`，它与 QUIC 是否真生效是同一次探测的两面，
          # 拿它能把"OpenSSL 不对"与"开关没传"两类红分开报。
          rc=0
          for k in UVCPP_OPENSSL_HAS_QUIC_CBS; do
            if ! grep -qE "^${k}:(INTERNAL|BOOL)=1$" build-msvc/CMakeCache.txt; then
              echo "::error title=msvc-arm64-openssl-no-quic::这份 OpenSSL 的探测结果里没有 QUIC API（$k 不是 1）—— ngtcp2 的 crypto 目标会走错分支/建不出来"
              grep -E "^${k}:" build-msvc/CMakeCache.txt || echo "  (缓存里没有这一项，说明预检没跑到)"
              rc=1
            fi
          done
          check_tree() {
            tree="$1"; shift
            hdr="$tree/include/uvcpp/uvcpp_config.h"
            if [ ! -f "$hdr" ]; then
              echo "::error title=msvc-arm64-no-config-header::找不到 $hdr —— configure 没落地"
              rc=1; return
            fi
            for k in "$@"; do
              if ! grep -qE "^#  define ${k} 1$" "$hdr"; then
                echo "::error title=msvc-arm64-module-off::${k} 在 $tree 里不是 1，包会缺功能"
                grep -E "^#  define ${k} " "$hdr" || echo "  （生成头里没有这一项）"
                rc=1
              fi
            done
          }
          check_tree build-msvc UVCPP_NET_ENABLE UVCPP_WEB_ENABLE \
            UVCPP_WEBAPP_ENABLE UVCPP_ENABLE_MEMORY_POOL UVCPP_ZLIB_ENABLE \
            UVCPP_OPENSSL_ENABLE UVCPP_NGHTTP2_ENABLE UVCPP_CAPI_ENABLE \
            UVCPP_QUIC_ENABLE UVCPP_HTTP3_ENABLE UVCPP_WSDL_ENABLE \
            UVCPP_DB_ENABLE UVCPP_DB_SQLITE_ENABLE \
            UVCPP_DB_MYSQL_ENABLE UVCPP_DB_PGSQL_ENABLE \
            UVCPP_DB_ODBC_ENABLE \
            UVCPP_DB_MONGODB_ENABLE UVCPP_REDIS_ENABLE \
            UVCPP_YYJSON_ENABLE UVCPP_BROTLI_ENABLE
          exit $rc

      - name: Test
        shell: bash
        run: |
          ctest --test-dir build-msvc -C Release --output-on-failure \
            --timeout 60 --exclude-regex "test_shutdown_func"

      - name: Package
        shell: bash
        run: |
          # arm64 那份运行库由 packager 按 msvc_arch 从 VS 树里挑（挑错架构是
          # "静默坏包"类 —— 打包机是 x64，错的也能跑）。找不到就退出 2。
          export VCToolsRedistDir
          python tests/tools/package_release.py \
            --tree build-msvc --platform msvc-arm64 --config Release \
            --debug-tree build-msvc --out dist

      # 与 msvc-x64 的 `Build installer` 同构（理由全在那边）。两处不同：
      # ① `$arch = 'arm64'`；② Inno Setup 的 arm64 支持是 **6.3 起**才有的，
      # 这条腿多一道版本判据 —— choco 哪天回退到 6.2，报出来的是 "ARMCore
      # 平台不认识" 那种一眼看不出所以然的错，不如在这里点名。
      - name: Build installer
        shell: pwsh
        env:
          WINDOWS_CERT_PFX_BASE64: ${{ secrets.WINDOWS_CERT_PFX_BASE64 }}
          WINDOWS_CERT_PASSWORD: ${{ secrets.WINDOWS_CERT_PASSWORD }}
        run: |
          $ErrorActionPreference = 'Stop'
          $arch = 'arm64'
          $zip = Get-ChildItem "dist/libuvcpp-*-msvc-$arch.zip" | Select-Object -First 1
          if (-not $zip) { throw "dist 下没有 libuvcpp-*-msvc-$arch.zip —— Package 那一步没产出" }
          $base = $zip.BaseName
          # 用正则而不是 `-split`：版本号里一旦出现连字符（预发布那种），split
          # 取到的是半截版本号，而它只影响**文件名**，ISCC 那边照样能编过。
          if ($base -notmatch '-(\d+\.\d+\.\d+)-msvc-') { throw "从 $base 里取不出版本号" }
          $ver = $Matches[1]
          $stage = Join-Path (Get-Location) "dist/$base"
          if (-not (Test-Path $stage)) { throw "没有 stage 目录 $stage" }
          Write-Host "version=$ver stage=$stage"

          choco install innosetup --no-progress -y | Out-Host
          $iscc = Get-ChildItem 'C:\Program Files (x86)\Inno Setup*\ISCC.exe' |
                    Sort-Object FullName -Descending | Select-Object -First 1
          if (-not $iscc) { throw "找不到 ISCC.exe（choco innosetup 装了但没落到预期路径）" }
          # 版本**别从 `VersionInfo.FileVersion` 读**：v1.7.4 第一次跑这一步时，
          # 两个 msvc 腿上都读成 `0.0.0.0`（choco 那份 6.7.1 的 exe 没有可读的
          # 版本资源）。x64 那边只是把它打印出来，arm64 这边拿它比 6.3 —— 于是
          # 一个装着 6.7.1 的 runner 被判成"不支持 arm64"。改从卸载登记表读
          # `DisplayVersion`；两处都读不出来时**不拦**，只报警 —— 判据是辅助，
          # 真不支持时 ISCC 自己会报 "Unknown architecture"。
          $iv = $null
          $fv = $iscc.VersionInfo.FileVersion
          if ($fv -and $fv -ne '0.0.0.0') {
            try { $iv = [version]$fv } catch { $iv = $null }
          }
          if ($null -eq $iv) {
            $roots = @('HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall',
                       'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall',
                       'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall')
            foreach ($root in $roots) {
              $k = Get-ChildItem $root -ErrorAction SilentlyContinue |
                     Where-Object { $_.PSChildName -like 'InnoSetup*' -or $_.PSChildName -like 'Inno Setup*' } |
                     Select-Object -First 1
              if (-not $k) { continue }
              $dv = (Get-ItemProperty $k.PSPath -ErrorAction SilentlyContinue).DisplayVersion
              if (-not $dv) { continue }
              try { $iv = [version]$dv; break } catch { $iv = $null }
            }
          }
          Write-Host "ISCC: $($iscc.FullName) $iv"
          if ($null -eq $iv) {
            Write-Host "::warning title=iscc-version-unknown::读不出 Inno Setup 的版本（FileVersion 与卸载登记表都没有），跳过 arm64 那条 6.3+ 判据；编译若报平台不认识就是它"
          } elseif ($iv -lt [version]'6.3') {
            throw "Inno Setup $iv 不支持 arm64（要 6.3+）"
          }

          $isccArgs = @("/DMyVersion=$ver", "/DMyArch=$arch", "/DArchAllowed=arm64",
                        "/DStageDir=$stage", "/DOutputDir=$((Get-Location).Path)\dist")
          $pfx = $null
          $wrap = $null
          if ($env:WINDOWS_CERT_PFX_BASE64) {
            $pfx = Join-Path $env:RUNNER_TEMP 'codesign.pfx'
            [IO.File]::WriteAllBytes($pfx, [Convert]::FromBase64String($env:WINDOWS_CERT_PFX_BASE64))
            $signtool = Get-ChildItem "${env:ProgramFiles(x86)}\Windows Kits\10\bin\*\x64\signtool.exe" |
                          Sort-Object FullName -Descending | Select-Object -First 1
            if (-not $signtool) { throw "找不到 signtool.exe（Windows SDK 装了吗？）" }
            # ISCC 的 /S 值里一旦同时有空格和引号（signtool 在 `Program Files
            # (x86)` 下、命令行本身也得带引号），传过去会被拆成多段，ISCC 报
            # "You may not specify more than one script filename" —— 2026-10-18
            # 用自签证书第一次真跑签名时踩到。落成一个路径无空格的 .cmd 包装器，
            # 值里只留路径 + `$f`（后者是 ISCC 强制的占位符，缺了报
            # "$f sequence is missing"），文件名由 ISCC 追加、包装器里收 %1。
            $wrap = Join-Path $env:RUNNER_TEMP 'sign.cmd'
            Set-Content -Path $wrap -Encoding ascii -Value @(
              '@echo off',
              ('"{0}" sign /fd sha256 /td sha256 /tr http://timestamp.digicert.com /f "{1}" /p "{2}" %1' -f $signtool.FullName, $pfx, $env:WINDOWS_CERT_PASSWORD)
            )
            $isccArgs += '/DSignSetup=1'
            $isccArgs += "/Ssigntool=$wrap `$f"
            Write-Host "签名工具: $($signtool.FullName)"
          } else {
            Write-Host "::warning title=no-signing-cert::没有 WINDOWS_CERT_PFX_BASE64，安装包不签名（见 packaging/README.md 的「首次发布前的一次性准备」）"
          }

          # 脚本文件必须当**位置参数**给它 —— `$isccArgs` 里全是 `/D`/`/S` 选项。
          # 2026-10-18 的 v1.7.4 发布第一次跑这一步就漏了它：ISCC 收到零个位置
          # 参数，打印用法后以 1 退出，看着像编译失败、其实是没给脚本。
          & $iscc.FullName @isccArgs packaging/windows/libuvcpp.iss
          if ($LASTEXITCODE -ne 0) { throw "ISCC 失败，退出码 $LASTEXITCODE" }
          # 包装器里是明文口令，和 PFX 一起删掉
          if ($pfx) { Remove-Item $pfx -Force }
          if ($wrap) { Remove-Item $wrap -Force }

          $exe = Join-Path (Get-Location) "dist/libuvcpp-$ver-msvc-$arch-setup.exe"
          if (-not (Test-Path $exe)) { throw "ISCC 报成功但没有 $exe" }
          Write-Host "built: $exe ($((Get-Item $exe).Length) 字节)"
          if ($env:WINDOWS_CERT_PFX_BASE64) {
            $sig = Get-AuthenticodeSignature $exe
            Write-Host "signature: $($sig.Status) / $($sig.SignerCertificate.Subject)"
            if ($sig.Status -ne 'Valid') {
              # 同 msvc-x64：自签证书的 `UnknownError` 只警告，其余状态判死。
              $c = $sig.SignerCertificate
              $selfSigned = $c -and ($c.Subject -eq $c.Issuer)
              if ($selfSigned -and $sig.Status -in @('UnknownError', 'NotTrusted')) {
                Write-Host "::warning title=self-signed-installer::安装包用自签名证书（$($c.Subject)）签的：签名与哈希完整，但证书不受信任，用户仍会看到未知发布者"
              } else {
                throw "安装包签名无效：$($sig.Status)"
              }
            }
          }

      - uses: actions/upload-artifact@v4
        with:
          name: msvc-arm64
          path: |
            dist/*.zip
            dist/*.exe
          if-no-files-found: error

  # ---------------------------------------------------------------------------
  # Linux x64 —— 钉 22.04：ubuntu-latest 会滚到新版本，而这里要发的是一份
  # 依赖（glibc 符号版本）尽量旧的产物，越旧的 glibc 能跑的新发行版越多。
  # ---------------------------------------------------------------------------
  linux-x64:
    runs-on: ubuntu-22.04
    timeout-minutes: 150
    steps:
      - uses: actions/checkout@v4

      # **不装 `libssl-dev`**（1.5.0 起）：这一版发布包要带 QUIC/HTTP3，而 22.04 那份
      # libssl-dev 是 3.0.2 —— 没有 QUIC API。装上它只会往 find_package 的候选里
      # 摆一份不合用的头（`OPENSSL_INCLUDE_DIR` 指错，配置期预检就看的是它），
      # 而"预检不过 ⇒ 静默关掉 QUIC"是**静默坏包**：cache 里照旧 ON，包却缺功能。
      # 三处候选里只留一份、且是对的那一份，比"指对了就行"稳。与
      # ci-linux-ubuntu.yml 的 quic/http3 两格同一条规矩（那边注释里也写了这条）。
      - name: Install deps
        run: |
          sudo apt-get update
          sudo apt-get install -y zlib1g-dev ninja-build

          # MySQL / PostgreSQL 的**头**：`apt-get download` 只取 `.deb`、`dpkg -x`
          # 就地摊开，**一个包都不 install**。理由不是洁癖，是上面那条"不装
          # libssl-dev"的规矩要求这么做：jammy 的 `libmysqlclient-dev` 与
          # `libpq-dev` **都 `Depends: libssl-dev`**（本机 `apt-cache depends` 逐个
          # 读过），而 `--no-install-recommends` 去不掉 Depends。靠
          # `-DOPENSSL_ROOT_DIR` 去"盖住"一份多出来的 3.0.2 则是把一条不变量换成
          # 一句祈祷 —— 上面那段说的静默坏包就是这么来的。
          #
          # 而这里真正需要的只是**编译期**的头：`UVCPP_DB_RUNTIME_LOAD=ON` 之后链接行
          # 上本来就不出现这两个库，运行期要的是**使用者**机器上那份客户端库（那正是
          # 这个开关的全部意义）。把头所在的目录指给 configure 就够了 —— 与两条 MSVC
          # 腿（`.github/scripts/win-client-headers.sh`）做的是同一件事，只是那边上游
          # 是 MSYS2 的 `.pkg.tar.zst`（Windows 镜像上没有第二种选择）、这边是 Ubuntu
          # 的 `.deb`；两条路都**不 install**，所以两条腿的依赖集合都没变。
          #
          # 判据落在**头在不在**（`test -f`），与 win-client-headers.sh 同一条规矩：
          # 取不到就当场红，绝不"跳过这一步继续编" —— 那样编出来的包少两个后端，
          # 而它会一路走到发版。
          #
          # `unixodbc-dev` 是 1.7.2 起的第三个（db 的第四个后端 ODBC，头在
          # `usr/include/sql.h`，与另两个同一个 `dpkg -x` 里摊出来）。写在这里是
          # 为了**同一个机制**，不是同一个理由：它**不依赖 libssl-dev**（本机
          # `apt-cache depends` 读过：只依赖 libodbc2/libodbccr2/libodbcinst2 三个
          # 运行库），也就是说这一条即便 `install` 也不会破坏上面那条"不装
          # libssl-dev"的规矩。仍然不 install，理由是另外两条：
          #   · 这三份头要的是同一种东西、同一个判据、同一个目录约定，三条包名走
          #     两个机制只会让人下次改漏一处；
          #   · 这台机器上**没有** odbc 的运行库（`.deb` 里那份 `.so` 摊在
          #     `$HOME/client-headers` 下、不在链接器的搜索路径里），于是"产物没链
          #     libodbc"这件事多一层保障：`UVCPP_DB_RUNTIME_LOAD=ON` 一旦被人从下面
          #     configure 里删掉，`find_library(odbc)` 在这里也找不到东西可链 ——
          #     而下面那条 ldd 断言是最后一道（那时它才有机会红）。
          # （ODBC 在 Linux 上要的**只是头**：`UVCPP_DB_RUNTIME_LOAD=ON` 时
          # `CMakeLists.txt` 连 `find_library(odbc)` 都不跑，运行期那份 `libodbc.so.2`
          # 是**使用者**机器上的事 —— 这正是这个开关的全部意义。）
          #
          # 目录约定：`$HOME/client-headers/usr/include/{mysql,postgresql}` 与
          # `$HOME/client-headers/usr/include`（ODBC 的 `sql.h` 直接落在 `include/`
          # 下，与前两个不同层 —— 本机 `dpkg -x` 后 `find` 过一遍），与下面两个
          # configure 里那**六个** `-DUVCPP_DB_*_INCLUDE_DIR=` **必须同表**。
          # 改这里就要改那里。
          #
          # ⚠️ `unixodbc-dev` 的头**布局随发行版变**，而且它是三个包里唯一一个会
          # 因此编不过的 —— 这件事只有真编一次才会露出来。1.7.2 第一次空转量到两份：
          #
          #   jammy 2.3.9-5ubuntu0.1（`ubuntu-22.04` 与 `ubuntu-22.04-arm` 两条腿）
          #     usr/include/{sql,sqlext,sqltypes,sqlucode,…}.h   平的，就这一层
          #     `sqltypes.h` 只 `#include <wchar.h>`；**全包没有 `unixodbc.h`**
          #   noble 2.3.12（开发机那份）
          #     usr/include/<multiarch>/unixodbc.h
          #     usr/include/<multiarch>/unixODBC/unixodbc_conf.h
          #     `sqltypes.h` 第 56 行有一句 `#include "unixodbc.h"` ← 少挂就编不过
          #
          # （`<multiarch>` 是 `x86_64-linux-gnu` / `aarch64-linux-gnu`，两条腿各一份。）
          # 真机上这两层本来都在编译器的默认搜索路径里（`/usr/include` 与 gcc 自己的
          # multiarch 目录），所以**装了 unixodbc-dev 的人一辈子看不到这个分层**；
          # 我们只把 `usr/include` 这一层交给 `-DUVCPP_DB_ODBC_INCLUDE_DIR=`，在 noble
          # 那种布局下症状是一句 `sqltypes.h:56:10: fatal error: unixodbc.h: 没有那个
          # 文件或目录` —— 看着像头坏了，其实是搜索路径少一层。
          #
          # 补法是**把那份头挂到公共头旁边**（符号链接，不是拷贝），这样 `-I
          # usr/include` 一个目录就够。`unixodbc.h` 里那句
          # `#include "unixODBC/unixodbc_conf.h"` 是按**打开它的那个路径**解析的，
          # 所以 `unixODBC/` 这个目录也要一起挂 —— 少挂它，下一个错就是那句找不到
          # `unixodbc_conf.h`。
          #
          # ⚠️⚠️ **但这只在 noble 那种布局下需要。** jammy 是平的、连 `unixodbc.h`
          # 都没有，硬要求它存在就是把判据写成了"发行版的属性"而不是"我们的要求"
          # —— 第一版正是这么写的，于是在两条 jammy 腿上把一个**完全正常**的包判红
          # （`linux-odbc-headers`，2026-10-17 那次空转）。所以下面那段改成"**有就挂、
          # 没有就算了**"，真正的判据是**编一次**（见同一步末尾那个 probe）。
          # 另外：开发机是 Mint 22.3（基于 noble），照它验出来的布局**不能当普遍规律**。
          #
          # 这条只影响"把头摊在一个目录里"的做法，与 `CMakeLists.txt` 无关：在真机上
          # `find_path(sql.h)` 拿到的就是 `/usr/include`，下面那一层由 gcc 自己带上。
          #
          # **版本号必须自己给**（`pkg=ver`），不能交给 `apt-get download` 去挑：
          # 它挑的是"版本号最大的那个"，而这张镜像上 PGDG 的 `libpq-dev` 是
          # `18.6-1.pgdg22.04+2` —— 版本最高，且在这张镜像上**没有可取回的源**，
          # 于是它在取包之前就以 100 退出。1.7.0 的空转里两条 Linux 腿各自实测到：
          #   E: Can't find a source to download version '18.6-1.pgdg22.04+2'
          #      of 'libpq-dev:{amd64,arm64}'
          #
          # **而"把候选钉回发行版"这条路走不通 —— `apt-get download` 不看任何 pin**。
          # 这两条都是实测的，不是推断：本机对同一台机器上 `libpq-dev` 的两个候选
          # （noble-updates 16.15 / noble 16.2）量过，`-t noble` 改不动它，一份
          # `Pin-Priority: 1001` 的 preferences 也改不动（两次都取到 16.15）。
          # `-t jammy` 就是照这条推断先写、并让第二次空转照样红掉的那一版。
          #
          # 所以改成：把 `madison` 列的版本号**一版一版试取**，哪一版取回来就用哪一版
          # —— "取不取得到"直接问 apt，不从来源名去推断。这条判据是被第三次空转改出来
          # 的：第一版写的是"源 URL 里带 `ubuntu.com` 的那一行"，而 runner 把源重写成
          # `mirror+file:/etc/apt/apt-mirrors.txt`，那一列里根本没有域名
          # （`libmysqlclient-dev` 三条全是这个形状），于是守卫每次都报"没有可取回的
          # 版本"——守卫本身是对的（宁可红，也不静默发半个包），错的是那个谓词。我们
          # 要的只是头，版本号无所谓；每一版都试不动就当场红，与 win-client-headers.sh
          # 同一条规矩。
          rm -rf "$HOME/client-headers"
          mkdir -p "$HOME/client-headers"
          (
            cd "$HOME/client-headers"
            for p in libmysqlclient-dev libpq-dev unixodbc-dev \
                     libmongoc-dev libbson-dev; do
              ok=""
              for v in $(apt-cache madison "$p" \
                           | awk -F'|' '{gsub(/^[ \t]+|[ \t]+$/,"",$2); if (!seen[$2]++) print $2}'); do
                if apt-get download "${p}=${v}" 2>/dev/null; then ok="$v"; break; fi
                echo "    ${p}=${v} 取不到源，试下一版"
              done
              if [ -z "$ok" ]; then
                echo "::error title=linux-client-headers::${p} 的每一版都取不回 .deb"
                apt-cache madison "$p" || true
                exit 1
              fi
              echo "--- 取回的 ${p}=${ok}"
            done
            for d in ./*.deb; do dpkg -x "$d" .; done
            rm -f ./*.deb
          )
          # `unixodbc-dev` 的头：noble 那种布局要挂、jammy 那种不用（两者的差见本步
          # 上面那一大段）。所以这里是"**有就挂**" —— 没找到**不是**错误。
          _inc="$HOME/client-headers/usr/include"
          _uoh=$(find "$_inc" -mindepth 2 -maxdepth 2 -name unixodbc.h -print -quit)
          if [ -n "$_uoh" ]; then
            # 用绝对路径：`$_inc` 来自 `$HOME`，本来就是绝对的。`ln -sfn` 的目标按
            # **链接所在目录**解析，喂相对路径会建出一个自指的坏链接（本机试过：
            # `noble/usr/include/unixodbc.h -> noble/usr/include/noble/…`，照样编不过）。
            ln -sfn "$_uoh" "$_inc/unixodbc.h"
            ln -sfn "$(dirname "$_uoh")/unixODBC" "$_inc/unixODBC"
          fi
          test -f "$HOME/client-headers/usr/include/mysql/mysql.h"
          test -f "$HOME/client-headers/usr/include/postgresql/libpq-fe.h"
          test -f "$HOME/client-headers/usr/include/sql.h"
          # MongoDB（1.7.5 起）是这批里唯一**跨两个包**的：`libmongoc-dev` 带
          # `mongoc/`，`libbson-dev` 带 `bson/`（前者 Depends 后者，但我们只
          # `apt-get download`、不 install，所以两个包名都得在循环里）。两份头
          # **必须同时到** —— 后端两个都 include，缺一份 configure 就静默降级。
          test -f "$HOME/client-headers/usr/include/libmongoc-1.0/mongoc/mongoc.h"
          test -f "$HOME/client-headers/usr/include/libbson-1.0/bson/bson.h"
          # ODBC 这一份的判据**不是 `unixodbc.h` 在不在**（那是发行版的属性，不是我们
          # 的要求，见本步上面那一大段），而是把后端真正 include 的那两个头**编一次**：
          # 后端只有 `#include <sql.h>` 与 `<sqlext.h>`（Windows 上多一个 `<windows.h>`
          # 且必须排在最前），没有别的隐含要求 —— 所以这个 probe 就是它的编译期前提
          # 本身，发行版怎么换、布局怎么变都判得对。用 `c++ -std=c++11` 是因为真实的
          # TU 是 C++ 源文件（那两个是 C 头），与库同一个标准。
          _probe=$(mktemp -d)
          printf '#include <sql.h>\n#include <sqlext.h>\n' > "$_probe/probe.cpp"
          if ! c++ -std=c++11 -I "$_inc" -fsyntax-only "$_probe/probe.cpp" 2>"$_probe/err.txt"; then
            echo "::error title=linux-odbc-headers::-I $_inc 编不过 <sql.h>/<sqlext.h> —— ODBC 后端会静默降级（生成头里 UVCPP_DB_ODBC_ENABLE=0），包少一个后端"
            sed 's/^/    /' "$_probe/err.txt" || true
            find "$_inc" -maxdepth 3 -name '*.h' | sort | sed 's/^/    /' || true
            exit 1
          fi
          rm -rf "$_probe"
          # MongoDB 与 ODBC 同一条规矩：判据是**编一次**，不是"文件在不在"。头跨
          # 两个目录（`libmongoc-1.0/` 与 `libbson-1.0/`），所以两个 `-I` 都要给 ——
          # `mongoc/mongoc.h` 自己按 `<bson/bson.h>` 找过去。发行版换布局时这里红，
          # 而不是让 configure 静默降级、发一个少后端的包。
          _probe=$(mktemp -d)
          printf '#include <mongoc/mongoc.h>\n#include <bson/bson.h>\n' > "$_probe/probe.cpp"
          if ! c++ -std=c++11 -I "$_inc/libmongoc-1.0" -I "$_inc/libbson-1.0" \
                   -fsyntax-only "$_probe/probe.cpp" 2>"$_probe/err.txt"; then
            echo "::error title=linux-mongoc-headers::-I $_inc/libmongoc-1.0 + libbson-1.0 编不过 <mongoc/mongoc.h>/<bson/bson.h> —— MongoDB 后端会静默降级（生成头里 UVCPP_DB_MONGODB_ENABLE=0），包少一个后端"
            sed 's/^/    /' "$_probe/err.txt" || true
            find "$_inc" -maxdepth 2 -name '*.h' | sort | sed 's/^/    /' || true
            exit 1
          fi
          rm -rf "$_probe"

      - name: Build OpenSSL with the QUIC API
        run: |
          set -euo pipefail
          # 3.5.0 是 QUIC API（`SSL_set_quic_tls_cbs`）进 mainline 之后的一份稳定版。
          # 与 ci-linux-ubuntu.yml 的 quic 格同一份源码、同一套参数，**除了一点**：
          # 那边编 `shared`（测试跑起来要 LD_LIBRARY_PATH），这里必须 `no-shared` ——
          # 发布产物的判据是"除 libc 外没有运行时依赖"，下面那条 ldd 断言会拦
          # libssl.so.3。静态库要塞进 libuvcpp.so，所以还要显式 `-fPIC` —— 它
          # **不是保险，是承重的**：OpenSSL 的 Configure 把不认识的 `-X` 参数收进用户
          # CFLAGS，而 `no-shared` 自己**不带** PIC。本机实测同一份源码两条命令行
          # 生成的 Makefile：
          #   给 `-fPIC` ⇒ CFLAGS=-Wall -O3 -fPIC（装出来只有 libssl.a/libcrypto.a，
          #                探针 .so 链得上）
          #   不给      ⇒ CFLAGS=-Wall -O3      （静态库链进 .so 就是
          #                "relocation R_X86_64_PC32 ... recompile with -fPIC"）
          cd "$RUNNER_TEMP"
          curl -sSL --retry 3 --retry-delay 5 -o openssl.tar.gz \
            https://codeload.github.com/openssl/openssl/tar.gz/refs/tags/openssl-3.5.0
          mkdir -p openssl-src
          tar xzf openssl.tar.gz -C openssl-src --strip-components=1
          cd openssl-src
          # `no-tests` 只是不编上游测试套件（省时间），`no-shared` 见上。
          ./Configure --prefix="$HOME/openssl-quic" --libdir=lib \
            no-shared no-tests -fPIC
          make -j"$(nproc)"
          make install_sw
          "$HOME/openssl-quic/bin/openssl" version
          # 自检：这份 OpenSSL 真的带 QUIC API。不查的话，配置期那道预检会
          # WARNING + `set(UVCPP_ENABLE_QUIC OFF)`，整条腿变成一次**静默降级**，
          # 而 cache 里仍是 ON —— 下面那条断言才是最终判据，这条只是让失败停在
          # 更近的地方（省下一次 ~40 分钟的构建）。
          #
          # 查的是**静态库**，所以是 `nm` 而不是 `nm -D`（no-shared 下没有 .so），
          # 且要求那枚符号是**有定义的**（`T`/`W`）：只按名字匹配的话，一份"只有
          # 引用没有实现"的库也能过。`$` 锚行尾在这里是对的 —— 归档成员里的符号
          # 不带 `@@OPENSSL_x.y.z` 那种版本后缀（本机实测）。
          nm --defined-only "$HOME/openssl-quic/lib/libssl.a" \
            | grep -qE ' [TW] SSL_set_quic_tls_cbs$' || {
            echo "::error title=quic-openssl::编出来的 libssl.a 没有 SSL_set_quic_tls_cbs —— 这份 OpenSSL 不对，后面的 QUIC/HTTP3 断言必然红"; exit 1; }

      - name: Configure & Build
        run: |
          set -o pipefail
          # BUILD_SHARED_LIBS=OFF 让 FetchContent 进来的 libuv/llhttp/zlib 都编成
          # 静态库；OPENSSL_USE_STATIC_LIBS 让系统的 libssl/libcrypto 也静态链。
          # 合起来 .so 除 libc 与 C++ 运行时（`libstdc++`/`libgcc_s`，见下）外
          # 没有运行时依赖。
          #
          # **这条腿 1.7.0 起不再传 `-DUVCPP_STATIC_RUNTIME=ON`，这是实测结论。**
          # 那个开关在 UNIX 上会把 `-static-libgcc -static-libstdc++` 同时追加到
          # `CMAKE_SHARED_LINKER_FLAGS` **与** `CMAKE_EXE_LINKER_FLAGS`（CMakeLists.txt
          # 里那一段），于是 `libuvcpp.so` 与**每一个**测试可执行文件各自带一份
          # libstdc++ ⇒ 同一进程里两份。同一份模板实例（`std::once_flag` /
          # `__future_base` 那一族）是 COMDAT，两边都进导出表，动态解析按
          # "可执行文件优先" ⇒ 一侧的 `__once_proxy` 会跳进另一侧的 `_FUN`。
          # 2026-10-14 那轮预演 9 条用例当场崩（x64 与 arm64 逐条相同）：
          # `test_tcp_client_func`、`test_tcp_multiloop_func`、`test_web_multiloop_func`、
          # `test_http3_multiloop_func`、`test_web_static_server_func`、
          # `test_web_app_{context,middleware,response}_func`、`test_db_sqlite_async_func`
          # —— 全是"跨线程 + future/promise"那一类（5 条 SEGV、4 条 SIGABRT）。
          #
          # **这不是用例特有的毛病**，改用例没用：把 .so 摆成"静态 libstdc++"、
          # 只把用例改成链系统那份 `libstdc++.so.6`（也就是**任何一个普通 C++ 使用者**
          # 的形状），同一条用例照样段错误 —— 本机 `build-relrepro` 两种形状各量过一遍，
          # 而把开关去掉后 9 条全绿、整棵 136 条用例零失败（其中 2 条 db 用例因没起数据库
          # 而跳过）。所以"被别人直接使用"这条
          # 要求与"静态 libstdc++ 的 .so"是互斥的，选前者。
          #
          # 代价是 `ldd` 多出 `libstdc++.so.6` 与 `libgcc_s.so.1`：两者是所有装了
          # `apt` 的 Linux 都有的基础库（`libstdc++6` 本身就是 `apt` 的依赖），
          # 比"每个使用者都可能踩的两份 libstdc++"划算得多。**Windows 那两条 MinGW 腿
          # 照旧开着**：PE 没有全局符号作用域，不存在互相顶掉的问题，而 MinGW 用户
          # 机器上未必有 `libstdc++-6.dll`（那两条腿的注释里写了各自的理由）。
          # 下面 `Report runtime deps` 那一步的期望值也跟着改了 —— 它原来是
          # "看见 libstdc++ 就 warn"，现在是"看见就算预期、不看见才该问一句"。
          #
          # UVCPP_BUILD_LIBUV_FROM_SOURCE=ON 钉死"libuv 从源码编"：22.04 现在没装
          # libuv，但只要哪天 runner 镜像带了，find_library 就会静默改成动态链
          # （cmake 那行的 `libuv1-dev` 只有 basic job 装，这里没有，但别靠这个）。
          #
          # CMAKE_POSITION_INDEPENDENT_CODE=ON 是这条链上唯一能解开矛盾的地方：
          # 上面那个 BUILD_SHARED_LIBS=OFF 是"依赖静态进去"的必要条件，但它同时让
          # CMake 把 PIC 默认值派生成 OFF（`POSITION_INDEPENDENT_CODE` 初值就是
          # `BUILD_SHARED_LIBS`），于是 FetchContent 的 libuv/llhttp 和 add_subdirectory
          # 的 zlib 全都不带 -fPIC —— 而 libuvcpp 是 shared，链不上：
          #   relocation R_X86_64_PC32 against symbol 'environ@@GLIBC_2.2.5'
          #   can not be used when making a shared object; recompile with -fPIC
          # libuv 自己从不设 PIC（其 CMakeLists 里零命中），所以只能由我们显式打开。
          # 用命令行 -D 而不是在 CMakeLists 里 set：缓存变量对每个子项目都可见。
          cmake -S . -B build-linux -G Ninja -DCMAKE_BUILD_TYPE=Release \
            -DBUILD_SHARED_LIBS=OFF \
            -DCMAKE_POSITION_INDEPENDENT_CODE=ON \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=ON -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/postgresql" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DOPENSSL_ROOT_DIR="$HOME/openssl-quic" \
            -DUVCPP_BUILD_EXPAND=ON \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-linux --parallel 4

          # 调试档：另开一棵单配置树，开关与上面逐字相同。PIC 那条（上面那一大段）
          # 对调试档**一样**成立 —— 少了它，调试档在这里链不上。
          cmake -S . -B build-linux-dbg -G Ninja -DCMAKE_BUILD_TYPE=Debug \
            -DBUILD_SHARED_LIBS=OFF \
            -DCMAKE_POSITION_INDEPENDENT_CODE=ON \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=OFF -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/postgresql" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DOPENSSL_ROOT_DIR="$HOME/openssl-quic" \
            -DUVCPP_BUILD_EXPAND=ON \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-linux-dbg --parallel 4

      - name: Report runtime deps
        run: |
          # 打出真实依赖，别让"依赖全静态"停留在口号上。
          # 不写死 libuvcpp.so：带 SOVERSION 时可能只有 libuvcpp.so.1.1.0 那个实体。
          # 两份都量：调试档与发布档是两次独立的 configure，开关漏传只会让那一份
          # 多出动态依赖（见 mingw-x64 那边同一段注释）。
          rc=0
          for d in build-linux build-linux-dbg; do
            # 逐个目录取**第一个**命中：写成 `ls A* B* | head -2` 的话，`ls` 会
            # 先把第一个 glob 列完，于是两行可能都是同一棵树的 SOVERSION 软链，
            # 另一棵树根本没被量到（而它照样算"跑过了"）。
            so=$(ls "$d"/libuvcpp*.so* 2>/dev/null | head -1)
            if [ -z "$so" ]; then
              echo "::error title=linux-so-missing::$d 下没有 libuvcpp*.so* —— 这一档没编出来"
              rc=1
              continue
            fi
            echo "--- so=$so"
            ldd "$so"
            # 第三方库必须是静态进去的：这几个在用户机器上不一定有，缺了就是
            # "装了跑不起来"。C++ 运行时（`libstdc++`/`libgcc_s`）不在这份名单里，
            # 它们单独说 —— 见下面那一段。
            # ngtcp2/nghttp3 是 1.5.0 起新进这份产物的两枚：它们由本仓 FetchContent
            # 以 `ENABLE_SHARED_LIB=OFF` 压成静态（CMakeLists.txt 里那两段），所以
            # 今天**不可能**出现在这里 —— 把它写进名单是为了让"哪天有人把上游那个
            # 开关改成 ON"变成一条**当场看得见**的红，而不是一个安静的 DLL 依赖。
            # sqlite3/mysqlclient/pq 是同一形状的第三批：db 模块这一版**第一次**进
            # 发布包，而它的三个客户端库本来都长着"链系统那份也能编过"的样子。这份
            # 名单原先**一个都没收** —— 于是把 `-DUVCPP_DB_SQLITE_FROM_SOURCE` 删掉、
            # 改成链系统 libsqlite3.so 时，这条断言会一条条放行。
            # `brotli` 是 1.7.0 起进这份产物的：它由 `UVCPP_BROTLI_FROM_SOURCE=ON`
            # 强制走 FetchContent 静态编（CMakeLists.txt 那段），而 22.04 的
            # `libbrotli-dev` 是"装了就能静默改成动态链"的另一份候选 —— 名字写进
            # 来才是判据，否则那三个 `.so`（`libbrotlienc`/`libbrotlidec`/
            # `libbrotlicommon`）会一条不响地进包。它同时还是那条 `UVCPP_BROTLI_
            # FROM_SOURCE` 开关的**兜底**：开关哪天被删掉、而 runner 上正好有
            # libbrotli，这里当场红。
            # `odbc` 是 1.7.2 起的：ODBC 那一族（`libodbc`/`libodbcinst`/`libodbccr`）
            # 与 mysql/pq 同形 —— `UVCPP_DB_RUNTIME_LOAD=ON` 时链接行上不该有它。
            # 这条比另两个更值得留神：**这条腿上根本没装 unixODBC 的运行库**（只
            # `dpkg -x` 摊了头，那份 `libodbc.so.2` 不在链接器搜索路径里），所以
            # 真出现在这里，说明有人把运行库装上了并把 `RUNTIME_LOAD` 那一档弄丢了。
            bad=$(ldd "$so" | grep -oE 'lib(ssl|crypto|z|brotli|uv|llhttp|nghttp2|ngtcp2|nghttp3|sqlite3|mysqlclient|pq|odbc|mongoc|bson)[^ ]*\.so[^ ]*' | sort -u || true)
            if [ -n "$bad" ]; then
              echo "::error title=linux-not-self-contained::$so 动态依赖了第三方库: $bad"
              rc=1
            fi
            # libstdc++/libgcc_s 在这里**不再是警告**：1.7.0 起这条腿有意不传
            # `UVCPP_STATIC_RUNTIME`（理由见上面 Configure & Build 那一大段 ——
            # 静态 libstdc++ 的 .so 会与普通使用者那份在同一进程里互相顶掉
            # COMDAT 模板实例，9 条用例当场崩）。所以这里只**记录**实测值：
            # 这句话的语义已经从"静态运行时没生效"翻成了"就是要共享的那一份"，
            # 再 warn 只会训练人忽略警告。反过来，它要是**不在**了，就该回头问
            # 一句是不是有人把那个开关加回去了 —— 那正是要避免的形状。
            shared_rt=$(ldd "$so" | grep -oE 'lib(stdc\+\+|gcc_s)[^ ]*\.so[^ ]*' | sort -u | tr '\n' ' ' || true)
            echo "--- 共享 C++ 运行时（预期有）: ${shared_rt:-（无 —— UVCPP_STATIC_RUNTIME 又被打开了？见上面那段）}"
            # `UVCPP_DB_RUNTIME_LOAD=ON` 的**正面**判据，与上面那条 ldd 是两件事：
            # `ldd` 只看 DT_NEEDED（"有没有链上"），看不见"有一个没人提供的
            # `mysql_query` 挂在那里"—— 而那正是**漏改一处调用点**、且 `--no-undefined`
            # 没生效时的形状。阶段 3 实测过这一条：共享库**默认允许**未定义符号，
            # 故意留一处裸 `mysql_query(` 之后 `make` 照样 rc=0、只是 `nm -D -u` 里
            # 多一行 `U mysql_query`，而 `UVCPP_BUILD_TESTS=OFF` 的调试档连"链一个
            # 可执行文件"那一步都没有。所以这里直接量"还剩几个"。
            #
            # 0 是今天的事实（本机 build-dbdlopen 量过）；`--no-undefined`
            # （CMakeLists.txt 那一段）是同一件事的另一半 —— 两条都在，任何一边
            # 被人删掉另一条还会响。
            #
            # `SQL[A-Z]` 是 1.7.2 起补进来的第三个前缀（ODBC 那 24 个符号全以
            # `SQL` 开头、第四个大写字母接着）。落地时对本机一次真配置的
            # `libuvcpp.so` 量过：加了它之后仍然是 0（没加之前量到的也是 0 ——
            # 这条判据今天**不会**红，它拦的是"哪天有人把 `uvcpp_db_odbc_api.h`
            # 里那张符号表换回直接调用"）。
            undef=$(nm -D -u "$so" 2>/dev/null | grep -cE 'mysql_|PQ|SQL[A-Z]|mongoc_|bson_' || true)
            if [ "$undef" != "0" ]; then
              echo "::error title=linux-db-symbols-still-linked::$so 里还有 $undef 个未定义的 mysql_/PQ/SQL*/mongoc_/bson_ 符号 —— 运行期加载那一档没生效（漏改的调用点，或 UVCPP_DB_RUNTIME_LOAD 被关掉了）"
              rc=1
            fi
          done
          exit $rc

      - name: Assert the requested modules are actually on
        run: |
          # 与 mingw-x64 那一同名步骤逐字同构（判据为什么取生成的头、名字怎么
          # 映射、为什么两份树都要量 —— 全在那边的注释里）。这条腿多一层理由：
          # 它的 OpenSSL 是 job 里现编的，**编出一份不带 QUIC API 的库**完全可能
          # （源码/参数被人改错），而那种情况下配置期只会 WARNING 一句然后把
          # QUIC 关掉 —— 生成头是唯一会说实话的地方。
          rc=0
          check_tree() {
            tree="$1"; shift
            hdr="$tree/include/uvcpp/uvcpp_config.h"
            if [ ! -f "$hdr" ]; then
              echo "::error title=linux-no-config-header::找不到 $hdr —— 这一档的 configure 没落地"
              rc=1; return
            fi
            for k in "$@"; do
              if ! grep -qE "^#  define ${k} 1$" "$hdr"; then
                echo "::error title=linux-module-off::${k} 在 $tree 里不是 1，包会缺功能"
                grep -E "^#  define ${k} " "$hdr" || echo "  （生成头里没有这一项）"
                rc=1
              fi
            done
          }
          for t in build-linux build-linux-dbg; do
            check_tree "$t" UVCPP_NET_ENABLE UVCPP_WEB_ENABLE UVCPP_WEBAPP_ENABLE \
              UVCPP_ENABLE_MEMORY_POOL UVCPP_ZLIB_ENABLE UVCPP_OPENSSL_ENABLE \
              UVCPP_NGHTTP2_ENABLE UVCPP_CAPI_ENABLE UVCPP_QUIC_ENABLE \
              UVCPP_HTTP3_ENABLE UVCPP_WSDL_ENABLE \
              UVCPP_DB_ENABLE UVCPP_DB_SQLITE_ENABLE \
              UVCPP_DB_MYSQL_ENABLE UVCPP_DB_PGSQL_ENABLE \
              UVCPP_DB_ODBC_ENABLE \
              UVCPP_DB_MONGODB_ENABLE UVCPP_REDIS_ENABLE \
              UVCPP_YYJSON_ENABLE UVCPP_BROTLI_ENABLE
          done
          exit $rc

      - name: Test
        run: |
          # 见 mingw Test 那条的注释：普通标量折行会让 --exclude-regex 静默失效。
          ctest --test-dir build-linux --output-on-failure --timeout 60 \
            --exclude-regex "test_shutdown_func"

      # -------------------------------------------------------------------
      # 发行版包（.deb / .rpm）用**另一棵树**：系统 libuv + 系统 zlib。
      #
      # 为什么不复用上面那棵：公开头里有 `<uv.h>`（`src/net/*`、`src/grpc/*`）
      # 与 `<zlib.h>`（`src/web/uvcpp_ws_parser.h`）。发布 zip 把这两样静态编进
      # `libuvcpp.so`，把它装到 `/usr/lib` 之后，使用者按 `libuv1-dev` 的头编译、
      # 调用系统 libuv —— 同一个进程里两份 libuv，结构体布局不同就是内存破坏。
      # 所以两棵树**形状不同**，别为了省时间把这里改成复用 build-linux。
      #
      # 其余开关与发布树逐字相同（少一个 `-DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON`，
      # 因为这里要的正是系统 zlib）。OpenSSL 继续用本 job 刚编的静态那份：
      # 发行版的 `libssl3`/`libssl3t64` 版本地狱与 QUIC API 都躲开。
      # -------------------------------------------------------------------
      - name: Configure & build the package tree (system libuv/zlib)
        run: |
          set -euo pipefail
          # `libuv1-dev` 与上面"绝不装 libssl-dev"那条不冲突（jammy 的元数据里它只
          # 依赖 libuv1 与 libc6-dev）。要防的是哪天上游给它加了 libssl-dev 依赖。
          #
          # **别用"装完还在不在"当判据**：`ubuntu-22.04` 的 runner 镜像**本来就预装**
          # libssl-dev 3.0.2（actions/runner-images 的 `Ubuntu2204-Readme.md` 里有这
          # 一行），所以 `dpkg -s libssl-dev` 恒真。2026-10-18 的 v1.7.4 发布第一次跑
          # 这一步，两条 Linux 腿就是被这条假判据拦下的。
          #
          # 也别用 `apt-get install --dry-run` 的 `Inst` 行：libssl-dev 既然预装着，
          # 就算上游真加了这条依赖，apt 也不会再"安装"它 ⇒ 假绿。要看的是**声明的
          # 依赖**本身，`apt-cache depends` 与安装状态无关。
          if apt-cache depends libuv1-dev | grep -qE '(^|[[:space:]])libssl-dev([[:space:]]|$)'; then
            echo "::error title=linux-ssl-dev-pulled::libuv1-dev 的依赖会把 libssl-dev 拉进来 —— 这条腿的 OpenSSL 必须是自编的那份"
            exit 1
          fi
          sudo apt-get install -y libuv1-dev
          cmake -S . -B build-pkg -G Ninja -DCMAKE_BUILD_TYPE=Release \
            -DBUILD_SHARED_LIBS=OFF \
            -DCMAKE_POSITION_INDEPENDENT_CODE=ON \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=OFF -DUVCPP_USE_SYSTEM_LIBUV=ON \
            -DUVCPP_SET_SOVERSION=ON \
            -DUVCPP_BUILD_TESTS=ON -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/postgresql" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DOPENSSL_ROOT_DIR="$HOME/openssl-quic" \
            -DUVCPP_BUILD_EXPAND=ON
          cmake --build build-pkg --parallel 4

          # 与发布树那条"模块真的开着"同构：包树的 OpenSSL 也来自本 job，
          # 静默降级同样只会在生成头里现形。
          hdr=build-pkg/include/uvcpp/uvcpp_config.h
          test -f "$hdr"
          rc=0
          for k in UVCPP_NET_ENABLE UVCPP_WEB_ENABLE UVCPP_WEBAPP_ENABLE \
                   UVCPP_ZLIB_ENABLE UVCPP_OPENSSL_ENABLE UVCPP_NGHTTP2_ENABLE \
                   UVCPP_CAPI_ENABLE UVCPP_QUIC_ENABLE UVCPP_HTTP3_ENABLE \
                   UVCPP_WSDL_ENABLE UVCPP_DB_ENABLE UVCPP_DB_SQLITE_ENABLE \
                   UVCPP_DB_MYSQL_ENABLE UVCPP_DB_PGSQL_ENABLE \
                   UVCPP_DB_ODBC_ENABLE UVCPP_DB_MONGODB_ENABLE \
                   UVCPP_REDIS_ENABLE UVCPP_YYJSON_ENABLE UVCPP_BROTLI_ENABLE; do
            grep -qE "^#  define ${k} 1$" "$hdr" || {
              echo "::error title=linux-pkg-module-off::${k} 在 build-pkg 里不是 1，发行版包会缺功能"
              grep -E "^#  define ${k} " "$hdr" || true
              rc=1
            }
          done
          exit $rc

      # 这是"系统 libuv/zlib 这套配置"的唯一验证：包树与发布树只有依赖来源这一处
      # 不同，所以这里红了就是包树红了。少了这一步，包树就是一棵没人跑过的树。
      - name: Test the package tree
        run: |
          ctest --test-dir build-pkg --output-on-failure --timeout 60 \
            --exclude-regex "test_shutdown_func"

      - name: Build .deb / .rpm
        run: |
          set -euo pipefail
          so=$(ls build-pkg/libuvcpp.so.*.* | head -1)
          echo "--- so=$so"
          readelf -d "$so" | grep -E 'SONAME|NEEDED'
          soname=$(readelf -d "$so" | sed -n 's/.*SONAME.*\[\(.*\)\]/\1/p')
          if [ "$soname" != "libuvcpp.so.1" ]; then
            echo "::error title=linux-pkg-soname::SONAME 是 '$soname'，发行版包要 libuvcpp.so.1（UVCPP_SET_SOVERSION 没生效？）"
            exit 1
          fi
          needed=$(readelf -d "$so" | sed -n 's/.*NEEDED.*\[\(.*\)\]/\1/p' | tr '\n' ' ')
          echo "--- NEEDED: $needed"
          # 与发布树**相反**的判据：这几样在包树里必须真的链成动态库。写进来是
          # 因为"以为链了系统库、其实又被静态编进来"是本仓踩过的形状（见上面
          # Configure 里那些 FROM_SOURCE 开关的来历）。
          for want in libuv.so.1 libz.so.1 libstdc++.so.6 libgcc_s.so.1 libc.so.6; do
            case " $needed " in
              *" $want "*) ;;
              *) echo "::error title=linux-pkg-needed-missing::$so 的 NEEDED 里没有 $want"; exit 1 ;;
            esac
          done
          bad=$(echo "$needed" | grep -oE 'lib(ssl|crypto|brotli|llhttp|nghttp2|ngtcp2|nghttp3|sqlite3|mysqlclient|pq|odbc)[^ ]*\.so[^ ]*' || true)
          if [ -n "$bad" ]; then
            echo "::error title=linux-pkg-not-static::$so 动态依赖了: $bad"
            exit 1
          fi
          undef=$(nm -D -u "$so" 2>/dev/null | grep -cE 'mysql_|PQ|SQL[A-Z]' || true)
          if [ "$undef" != "0" ]; then
            echo "::error title=linux-pkg-db-symbols::$so 里还有 $undef 个未定义的 db 符号"
            exit 1
          fi

          rm -rf stage
          cmake --install build-pkg --prefix "$PWD/stage/usr"
          # 系统包负责的头**不许**进产物：dpkg 会因为这些文件与
          # `nlohmann-json3-dev` / `libuv1-dev` / `zlib1g-dev` 冲突而拒绝安装。
          #
          # 判据落在哪里，取决于这些头是怎么来的 —— 两半的来路不一样：
          #   * libuv / zlib：包树链的是**系统**库，CMake 本来就不会装它们的头。
          #     所以这一半在安装阶段判就够了：出现了就意味着依赖被改回了源码构建。
          #   * nlohmann（以及 FetchContent 的 `llhttp.h`）：上游 CMake 自带
          #     install 规则，stage 里**必然有**它们；`make_packages.py` 是在
          #     复制出来的那份树里剪掉的（它的 PRUNE）。v1.7.4 第一次跑这一步
          #     就是在 stage 上判 nlohmann、于是两条 Linux 腿都红在一个本就该存在
          #     的东西上。这一半只能判**产物**。
          for p in include/libuv include/zlib.h include/zconf.h; do
            if [ -e "stage/usr/$p" ]; then
              echo "::error title=linux-pkg-header-conflict::stage 里有 $p（应由系统包提供）"
              exit 1
            fi
          done

          python3 packaging/nfpm/make_packages.py \
            --stage "$PWD/stage/usr" --out dist --arch amd64

          # 产物的头清单。deb 用 dpkg-deb（一定有）；rpm 用 rpm -qlp（runner 上
          # 不一定有 —— 没有就明说没判，不假装判过）。
          check_headers() {
            local f="$1" hit
            hit=$(grep -oE '\.?/usr/include/(nlohmann|libuv)/[^ ]*|\.?/usr/include/(zlib|zconf|llhttp)\.h' \
                  | head -3 || true)
            if [ -n "$hit" ]; then
              echo "::error title=linux-pkg-header-conflict::$f 里带了系统包/私有依赖的头：$hit"
              exit 1
            fi
          }
          for f in dist/*.deb; do
            dpkg-deb -c "$f" | check_headers "$f"
          done
          if command -v rpm >/dev/null 2>&1; then
            for f in dist/*.rpm; do
              rpm -qlp "$f" | check_headers "$f"
            done
          else
            echo "（本机没有 rpm，rpm 包的头清单未读回 —— 它与 deb 出自同一棵剪过的树）"
          fi

      - name: Package
        run: |
          # 同上：普通标量会把续行折成空格，argparse 收不到 --tree 直接退出 2。
          python3 tests/tools/package_release.py \
            --tree build-linux --platform linux-x64 \
            --debug-tree build-linux-dbg --out dist

      - uses: actions/upload-artifact@v4
        with:
          name: linux-x64
          path: |
            dist/*.zip
            dist/*.deb
            dist/*.rpm
          if-no-files-found: error

  # ---------------------------------------------------------------------------
  # Linux arm64 —— 与 linux-x64 逐字同构，只有两处不同：runner 标签、出包时的
  # --platform。所有 CMake 开关都是架构无关的，包括 PIC 那条（ELF 的 PIC 与架构
  # 无关），所以理由见 linux-x64，这里不重复。
  # ---------------------------------------------------------------------------
  linux-arm64:
    runs-on: ubuntu-22.04-arm
    timeout-minutes: 150
    steps:
      - uses: actions/checkout@v4

      # 不装 libssl-dev —— 理由与 linux-x64 那边逐字相同（22.04 那份是 3.0.2，
      # 没有 QUIC API；装上只是给 find_package 添一份不合用的候选）。
      - name: Install deps
        run: |
          sudo apt-get update
          sudo apt-get install -y zlib1g-dev ninja-build

          # MySQL/PG 的头：只取 `.deb` 摊开、不 install（整段理由链在 linux-x64 那
          # 一步的注释里）。这条腿的 `apt-get download` 拿到的是 **arm64 的 .deb**，
          # 头是同一份源码生成的，与 x64 那条腿取到的逐字节相同的那几个文件。
          # 目录约定同表：`$HOME/client-headers/usr/include/{mysql,postgresql}`
          # 加 `$HOME/client-headers/usr/include`（ODBC 的 `sql.h`；1.7.2 起的第三个
          # 包 `unixodbc-dev`，为什么也走"只摊开不 install"在 linux-x64 那一步）。
          # "一版一版试取"的理由链在 linux-x64 那一步的注释里（PGDG 的候选版本最高、
          # 却没有可取回的源 ⇒ 不显式给版本号时 `apt-get download` 以 100 退出；而
          # `-t` 与 preferences 都改不动它的候选，按来源名去筛也筛不准，全是实测的）。
          # 这条腿实测到的是 `libpq-dev:arm64` 那一份，根因与修法逐字相同。
          rm -rf "$HOME/client-headers"
          mkdir -p "$HOME/client-headers"
          (
            cd "$HOME/client-headers"
            for p in libmysqlclient-dev libpq-dev unixodbc-dev \
                     libmongoc-dev libbson-dev; do
              ok=""
              for v in $(apt-cache madison "$p" \
                           | awk -F'|' '{gsub(/^[ \t]+|[ \t]+$/,"",$2); if (!seen[$2]++) print $2}'); do
                if apt-get download "${p}=${v}" 2>/dev/null; then ok="$v"; break; fi
                echo "    ${p}=${v} 取不到源，试下一版"
              done
              if [ -z "$ok" ]; then
                echo "::error title=linux-client-headers::${p} 的每一版都取不回 .deb"
                apt-cache madison "$p" || true
                exit 1
              fi
              echo "--- 取回的 ${p}=${ok}"
            done
            for d in ./*.deb; do dpkg -x "$d" .; done
            rm -f ./*.deb
          )
          # `unixodbc-dev` 的头：noble 那种布局要挂、jammy 那种不用（两者的差见本步
          # 上面那一大段）。所以这里是"**有就挂**" —— 没找到**不是**错误。
          _inc="$HOME/client-headers/usr/include"
          _uoh=$(find "$_inc" -mindepth 2 -maxdepth 2 -name unixodbc.h -print -quit)
          if [ -n "$_uoh" ]; then
            # 用绝对路径：`$_inc` 来自 `$HOME`，本来就是绝对的。`ln -sfn` 的目标按
            # **链接所在目录**解析，喂相对路径会建出一个自指的坏链接（本机试过：
            # `noble/usr/include/unixodbc.h -> noble/usr/include/noble/…`，照样编不过）。
            ln -sfn "$_uoh" "$_inc/unixodbc.h"
            ln -sfn "$(dirname "$_uoh")/unixODBC" "$_inc/unixODBC"
          fi
          test -f "$HOME/client-headers/usr/include/mysql/mysql.h"
          test -f "$HOME/client-headers/usr/include/postgresql/libpq-fe.h"
          test -f "$HOME/client-headers/usr/include/sql.h"
          # MongoDB（1.7.5 起）是这批里唯一**跨两个包**的：`libmongoc-dev` 带
          # `mongoc/`，`libbson-dev` 带 `bson/`（前者 Depends 后者，但我们只
          # `apt-get download`、不 install，所以两个包名都得在循环里）。两份头
          # **必须同时到** —— 后端两个都 include，缺一份 configure 就静默降级。
          test -f "$HOME/client-headers/usr/include/libmongoc-1.0/mongoc/mongoc.h"
          test -f "$HOME/client-headers/usr/include/libbson-1.0/bson/bson.h"
          # ODBC 这一份的判据**不是 `unixodbc.h` 在不在**（那是发行版的属性，不是我们
          # 的要求，见本步上面那一大段），而是把后端真正 include 的那两个头**编一次**：
          # 后端只有 `#include <sql.h>` 与 `<sqlext.h>`（Windows 上多一个 `<windows.h>`
          # 且必须排在最前），没有别的隐含要求 —— 所以这个 probe 就是它的编译期前提
          # 本身，发行版怎么换、布局怎么变都判得对。用 `c++ -std=c++11` 是因为真实的
          # TU 是 C++ 源文件（那两个是 C 头），与库同一个标准。
          _probe=$(mktemp -d)
          printf '#include <sql.h>\n#include <sqlext.h>\n' > "$_probe/probe.cpp"
          if ! c++ -std=c++11 -I "$_inc" -fsyntax-only "$_probe/probe.cpp" 2>"$_probe/err.txt"; then
            echo "::error title=linux-odbc-headers::-I $_inc 编不过 <sql.h>/<sqlext.h> —— ODBC 后端会静默降级（生成头里 UVCPP_DB_ODBC_ENABLE=0），包少一个后端"
            sed 's/^/    /' "$_probe/err.txt" || true
            find "$_inc" -maxdepth 3 -name '*.h' | sort | sed 's/^/    /' || true
            exit 1
          fi
          rm -rf "$_probe"
          # MongoDB 与 ODBC 同一条规矩：判据是**编一次**，不是"文件在不在"。头跨
          # 两个目录（`libmongoc-1.0/` 与 `libbson-1.0/`），所以两个 `-I` 都要给 ——
          # `mongoc/mongoc.h` 自己按 `<bson/bson.h>` 找过去。发行版换布局时这里红，
          # 而不是让 configure 静默降级、发一个少后端的包。
          _probe=$(mktemp -d)
          printf '#include <mongoc/mongoc.h>\n#include <bson/bson.h>\n' > "$_probe/probe.cpp"
          if ! c++ -std=c++11 -I "$_inc/libmongoc-1.0" -I "$_inc/libbson-1.0" \
                   -fsyntax-only "$_probe/probe.cpp" 2>"$_probe/err.txt"; then
            echo "::error title=linux-mongoc-headers::-I $_inc/libmongoc-1.0 + libbson-1.0 编不过 <mongoc/mongoc.h>/<bson/bson.h> —— MongoDB 后端会静默降级（生成头里 UVCPP_DB_MONGODB_ENABLE=0），包少一个后端"
            sed 's/^/    /' "$_probe/err.txt" || true
            find "$_inc" -maxdepth 2 -name '*.h' | sort | sed 's/^/    /' || true
            exit 1
          fi
          rm -rf "$_probe"

      # 与 linux-x64 那一同名步骤逐字同构（同一份源码、同一套参数、同一条自检），
      # 只有 `--prefix` 下的那份库是 aarch64 的 —— OpenSSL 的 Configure 按机器
      # 自己挑目标（这里挑到 linux-aarch64），不需要我们传。`-fPIC` 在 aarch64 上
      # 一样是承重的（理由见 linux-x64 那边的实测）。
      - name: Build OpenSSL with the QUIC API
        run: |
          set -euo pipefail
          cd "$RUNNER_TEMP"
          curl -sSL --retry 3 --retry-delay 5 -o openssl.tar.gz \
            https://codeload.github.com/openssl/openssl/tar.gz/refs/tags/openssl-3.5.0
          mkdir -p openssl-src
          tar xzf openssl.tar.gz -C openssl-src --strip-components=1
          cd openssl-src
          ./Configure --prefix="$HOME/openssl-quic" --libdir=lib \
            no-shared no-tests -fPIC
          make -j"$(nproc)"
          make install_sw
          "$HOME/openssl-quic/bin/openssl" version
          nm --defined-only "$HOME/openssl-quic/lib/libssl.a" \
            | grep -qE ' [TW] SSL_set_quic_tls_cbs$' || {
            echo "::error title=quic-openssl::编出来的 libssl.a 没有 SSL_set_quic_tls_cbs —— 这份 OpenSSL 不对，后面的 QUIC/HTTP3 断言必然红"; exit 1; }

      - name: Configure & Build
        run: |
          set -o pipefail
          # 开关与 linux-x64 那条腿逐字相同 —— 包括"**不传** `-DUVCPP_STATIC_RUNTIME`"
          # 这一条。两条 Linux 腿栽的是同一个坑（静态 libstdc++ 的 .so 与使用者那份
          # 在同一进程里互相顶掉 COMDAT 模板实例），实测与推导写在 linux-x64 的
          # Configure & Build 上方那一大段，这里不重复。
          cmake -S . -B build-linux -G Ninja -DCMAKE_BUILD_TYPE=Release \
            -DBUILD_SHARED_LIBS=OFF \
            -DCMAKE_POSITION_INDEPENDENT_CODE=ON \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=ON -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/postgresql" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DOPENSSL_ROOT_DIR="$HOME/openssl-quic" \
            -DUVCPP_BUILD_EXPAND=ON \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-linux --parallel 4

          # 调试档：另开一棵单配置树，开关与上面逐字相同（理由链见 linux-x64）。
          cmake -S . -B build-linux-dbg -G Ninja -DCMAKE_BUILD_TYPE=Debug \
            -DBUILD_SHARED_LIBS=OFF \
            -DCMAKE_POSITION_INDEPENDENT_CODE=ON \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=ON \
            -DUVCPP_BUILD_TESTS=OFF -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/postgresql" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DOPENSSL_ROOT_DIR="$HOME/openssl-quic" \
            -DUVCPP_BUILD_EXPAND=ON \
            -DCMAKE_DISABLE_FIND_PACKAGE_ZLIB=ON
          cmake --build build-linux-dbg --parallel 4

      - name: Report runtime deps
        run: |
          # 两份都量，逐个目录取第一个命中 —— 见 linux-x64 那边的两条注释。
          rc=0
          for d in build-linux build-linux-dbg; do
            so=$(ls "$d"/libuvcpp*.so* 2>/dev/null | head -1)
            if [ -z "$so" ]; then
              echo "::error title=linux-so-missing::$d 下没有 libuvcpp*.so* —— 这一档没编出来"
              rc=1
              continue
            fi
            echo "--- so=$so"
            ldd "$so"
            # ngtcp2/nghttp3 是 1.5.0 起新进这份产物的两枚：它们由本仓 FetchContent
            # 以 `ENABLE_SHARED_LIB=OFF` 压成静态（CMakeLists.txt 里那两段），所以
            # 今天**不可能**出现在这里 —— 把它写进名单是为了让"哪天有人把上游那个
            # 开关改成 ON"变成一条**当场看得见**的红，而不是一个安静的 DLL 依赖。
            # sqlite3/mysqlclient/pq 是同一形状的第三批：db 模块这一版**第一次**进
            # 发布包，而它的三个客户端库本来都长着"链系统那份也能编过"的样子。这份
            # 名单原先**一个都没收** —— 于是把 `-DUVCPP_DB_SQLITE_FROM_SOURCE` 删掉、
            # 改成链系统 libsqlite3.so 时，这条断言会一条条放行。
            # `brotli` 是 1.7.0 起进这份产物的：它由 `UVCPP_BROTLI_FROM_SOURCE=ON`
            # 强制走 FetchContent 静态编（CMakeLists.txt 那段），而 22.04 的
            # `libbrotli-dev` 是"装了就能静默改成动态链"的另一份候选 —— 名字写进
            # 来才是判据，否则那三个 `.so`（`libbrotlienc`/`libbrotlidec`/
            # `libbrotlicommon`）会一条不响地进包。它同时还是那条 `UVCPP_BROTLI_
            # FROM_SOURCE` 开关的**兜底**：开关哪天被删掉、而 runner 上正好有
            # libbrotli，这里当场红。
            # `odbc` 是 1.7.2 起的：ODBC 那一族（`libodbc`/`libodbcinst`/`libodbccr`）
            # 与 mysql/pq 同形 —— `UVCPP_DB_RUNTIME_LOAD=ON` 时链接行上不该有它。
            # 这条比另两个更值得留神：**这条腿上根本没装 unixODBC 的运行库**（只
            # `dpkg -x` 摊了头，那份 `libodbc.so.2` 不在链接器搜索路径里），所以
            # 真出现在这里，说明有人把运行库装上了并把 `RUNTIME_LOAD` 那一档弄丢了。
            bad=$(ldd "$so" | grep -oE 'lib(ssl|crypto|z|brotli|uv|llhttp|nghttp2|ngtcp2|nghttp3|sqlite3|mysqlclient|pq|odbc|mongoc|bson)[^ ]*\.so[^ ]*' | sort -u || true)
            if [ -n "$bad" ]; then
              echo "::error title=linux-not-self-contained::$so 动态依赖了第三方库: $bad"
              rc=1
            fi
            # libstdc++/libgcc_s 在这里**不再是警告**：1.7.0 起这条腿有意不传
            # `UVCPP_STATIC_RUNTIME`（理由见上面 Configure & Build 那一大段 ——
            # 静态 libstdc++ 的 .so 会与普通使用者那份在同一进程里互相顶掉
            # COMDAT 模板实例，9 条用例当场崩）。所以这里只**记录**实测值：
            # 这句话的语义已经从"静态运行时没生效"翻成了"就是要共享的那一份"，
            # 再 warn 只会训练人忽略警告。反过来，它要是**不在**了，就该回头问
            # 一句是不是有人把那个开关加回去了 —— 那正是要避免的形状。
            shared_rt=$(ldd "$so" | grep -oE 'lib(stdc\+\+|gcc_s)[^ ]*\.so[^ ]*' | sort -u | tr '\n' ' ' || true)
            echo "--- 共享 C++ 运行时（预期有）: ${shared_rt:-（无 —— UVCPP_STATIC_RUNTIME 又被打开了？见上面那段）}"
            # `UVCPP_DB_RUNTIME_LOAD=ON` 的**正面**判据，与上面那条 ldd 是两件事：
            # `ldd` 只看 DT_NEEDED（"有没有链上"），看不见"有一个没人提供的
            # `mysql_query` 挂在那里"—— 而那正是**漏改一处调用点**、且 `--no-undefined`
            # 没生效时的形状。阶段 3 实测过这一条：共享库**默认允许**未定义符号，
            # 故意留一处裸 `mysql_query(` 之后 `make` 照样 rc=0、只是 `nm -D -u` 里
            # 多一行 `U mysql_query`，而 `UVCPP_BUILD_TESTS=OFF` 的调试档连"链一个
            # 可执行文件"那一步都没有。所以这里直接量"还剩几个"。
            #
            # 0 是今天的事实（本机 build-dbdlopen 量过）；`--no-undefined`
            # （CMakeLists.txt 那一段）是同一件事的另一半 —— 两条都在，任何一边
            # 被人删掉另一条还会响。
            #
            # `SQL[A-Z]` 是 1.7.2 起补进来的第三个前缀（ODBC 那 24 个符号全以
            # `SQL` 开头、第四个大写字母接着）。落地时对本机一次真配置的
            # `libuvcpp.so` 量过：加了它之后仍然是 0（没加之前量到的也是 0 ——
            # 这条判据今天**不会**红，它拦的是"哪天有人把 `uvcpp_db_odbc_api.h`
            # 里那张符号表换回直接调用"）。
            undef=$(nm -D -u "$so" 2>/dev/null | grep -cE 'mysql_|PQ|SQL[A-Z]|mongoc_|bson_' || true)
            if [ "$undef" != "0" ]; then
              echo "::error title=linux-db-symbols-still-linked::$so 里还有 $undef 个未定义的 mysql_/PQ/SQL*/mongoc_/bson_ 符号 —— 运行期加载那一档没生效（漏改的调用点，或 UVCPP_DB_RUNTIME_LOAD 被关掉了）"
              rc=1
            fi
          done
          exit $rc

      - name: Assert the requested modules are actually on
        run: |
          # 与 mingw-x64 那一同名步骤逐字同构（判据为什么取生成的头、名字怎么
          # 映射、为什么两份树都要量 —— 全在那边的注释里）。这条腿多一层理由：
          # 它的 OpenSSL 是 job 里现编的，**编出一份不带 QUIC API 的库**完全可能
          # （源码/参数被人改错），而那种情况下配置期只会 WARNING 一句然后把
          # QUIC 关掉 —— 生成头是唯一会说实话的地方。
          rc=0
          check_tree() {
            tree="$1"; shift
            hdr="$tree/include/uvcpp/uvcpp_config.h"
            if [ ! -f "$hdr" ]; then
              echo "::error title=linux-no-config-header::找不到 $hdr —— 这一档的 configure 没落地"
              rc=1; return
            fi
            for k in "$@"; do
              if ! grep -qE "^#  define ${k} 1$" "$hdr"; then
                echo "::error title=linux-module-off::${k} 在 $tree 里不是 1，包会缺功能"
                grep -E "^#  define ${k} " "$hdr" || echo "  （生成头里没有这一项）"
                rc=1
              fi
            done
          }
          for t in build-linux build-linux-dbg; do
            check_tree "$t" UVCPP_NET_ENABLE UVCPP_WEB_ENABLE UVCPP_WEBAPP_ENABLE \
              UVCPP_ENABLE_MEMORY_POOL UVCPP_ZLIB_ENABLE UVCPP_OPENSSL_ENABLE \
              UVCPP_NGHTTP2_ENABLE UVCPP_CAPI_ENABLE UVCPP_QUIC_ENABLE \
              UVCPP_HTTP3_ENABLE UVCPP_WSDL_ENABLE \
              UVCPP_DB_ENABLE UVCPP_DB_SQLITE_ENABLE \
              UVCPP_DB_MYSQL_ENABLE UVCPP_DB_PGSQL_ENABLE \
              UVCPP_DB_ODBC_ENABLE \
              UVCPP_DB_MONGODB_ENABLE UVCPP_REDIS_ENABLE \
              UVCPP_YYJSON_ENABLE UVCPP_BROTLI_ENABLE
          done
          exit $rc

      - name: Test
        run: |
          # 见 mingw Test 那条的注释：普通标量折行会让 --exclude-regex 静默失效。
          ctest --test-dir build-linux --output-on-failure --timeout 60 \
            --exclude-regex "test_shutdown_func"

      # 与 linux-x64 那段逐字同构（理由、判据、为什么另开一棵树全在那边），
      # 只有一处不同：`--arch arm64`。
      - name: Configure & build the package tree (system libuv/zlib)
        run: |
          set -euo pipefail
          # 判据是 libuv1-dev **声明的依赖**里有没有 libssl-dev，不是"装完它还在不在"
          # —— 这张镜像本来就预装 libssl-dev，`dpkg -s` 恒真；`apt --dry-run` 的
          # `Inst` 行同样看不见已装包的依赖（同 linux-x64 那段）。
          if apt-cache depends libuv1-dev | grep -qE '(^|[[:space:]])libssl-dev([[:space:]]|$)'; then
            echo "::error title=linux-ssl-dev-pulled::libuv1-dev 的依赖会把 libssl-dev 拉进来 —— 这条腿的 OpenSSL 必须是自编的那份"
            exit 1
          fi
          sudo apt-get install -y libuv1-dev
          cmake -S . -B build-pkg -G Ninja -DCMAKE_BUILD_TYPE=Release \
            -DBUILD_SHARED_LIBS=OFF \
            -DCMAKE_POSITION_INDEPENDENT_CODE=ON \
            -DUVCPP_BUILD_LIBUV_FROM_SOURCE=OFF -DUVCPP_USE_SYSTEM_LIBUV=ON \
            -DUVCPP_SET_SOVERSION=ON \
            -DUVCPP_BUILD_TESTS=ON -DUVCPP_BUILD_SHARED=ON -DUVCPP_BUILD_STATIC=OFF \
            -DUVCPP_BUILD_WEB=ON -DUVCPP_BUILD_WEBAPP=ON \
            -DUVCPP_ENABLE_ZLIB=ON -DUVCPP_ENABLE_OPENSSL=ON \
            -DUVCPP_ENABLE_NGHTTP2=ON \
            -DUVCPP_ENABLE_CAPI=ON \
            -DUVCPP_ENABLE_QUIC=ON -DUVCPP_ENABLE_HTTP3=ON \
            -DUVCPP_ENABLE_WSDL=ON \
            -DUVCPP_ENABLE_YYJSON=ON \
            -DUVCPP_ENABLE_BROTLI=ON -DUVCPP_BROTLI_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB=ON -DUVCPP_DB_SQLITE_FROM_SOURCE=ON \
            -DUVCPP_ENABLE_DB_MYSQL=ON -DUVCPP_ENABLE_DB_PGSQL=ON \
            -DUVCPP_ENABLE_DB_ODBC=ON \
            -DUVCPP_DB_RUNTIME_LOAD=ON \
            -DUVCPP_DB_MYSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/mysql" \
            -DUVCPP_DB_PGSQL_INCLUDE_DIR="$HOME/client-headers/usr/include/postgresql" \
            -DUVCPP_DB_ODBC_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DUVCPP_ENABLE_DB_MONGODB=ON \
            -DUVCPP_DB_MONGODB_INCLUDE_DIR="$HOME/client-headers/usr/include" \
            -DOPENSSL_USE_STATIC_LIBS=ON \
            -DOPENSSL_ROOT_DIR="$HOME/openssl-quic" \
            -DUVCPP_BUILD_EXPAND=ON
          cmake --build build-pkg --parallel 4

          hdr=build-pkg/include/uvcpp/uvcpp_config.h
          test -f "$hdr"
          rc=0
          for k in UVCPP_NET_ENABLE UVCPP_WEB_ENABLE UVCPP_WEBAPP_ENABLE \
                   UVCPP_ZLIB_ENABLE UVCPP_OPENSSL_ENABLE UVCPP_NGHTTP2_ENABLE \
                   UVCPP_CAPI_ENABLE UVCPP_QUIC_ENABLE UVCPP_HTTP3_ENABLE \
                   UVCPP_WSDL_ENABLE UVCPP_DB_ENABLE UVCPP_DB_SQLITE_ENABLE \
                   UVCPP_DB_MYSQL_ENABLE UVCPP_DB_PGSQL_ENABLE \
                   UVCPP_DB_ODBC_ENABLE UVCPP_DB_MONGODB_ENABLE \
                   UVCPP_REDIS_ENABLE UVCPP_YYJSON_ENABLE UVCPP_BROTLI_ENABLE; do
            grep -qE "^#  define ${k} 1$" "$hdr" || {
              echo "::error title=linux-pkg-module-off::${k} 在 build-pkg 里不是 1，发行版包会缺功能"
              grep -E "^#  define ${k} " "$hdr" || true
              rc=1
            }
          done
          exit $rc

      - name: Test the package tree
        run: |
          ctest --test-dir build-pkg --output-on-failure --timeout 60 \
            --exclude-regex "test_shutdown_func"

      - name: Build .deb / .rpm
        run: |
          set -euo pipefail
          so=$(ls build-pkg/libuvcpp.so.*.* | head -1)
          echo "--- so=$so"
          readelf -d "$so" | grep -E 'SONAME|NEEDED'
          soname=$(readelf -d "$so" | sed -n 's/.*SONAME.*\[\(.*\)\]/\1/p')
          if [ "$soname" != "libuvcpp.so.1" ]; then
            echo "::error title=linux-pkg-soname::SONAME 是 '$soname'，发行版包要 libuvcpp.so.1（UVCPP_SET_SOVERSION 没生效？）"
            exit 1
          fi
          needed=$(readelf -d "$so" | sed -n 's/.*NEEDED.*\[\(.*\)\]/\1/p' | tr '\n' ' ')
          echo "--- NEEDED: $needed"
          for want in libuv.so.1 libz.so.1 libstdc++.so.6 libgcc_s.so.1 libc.so.6; do
            case " $needed " in
              *" $want "*) ;;
              *) echo "::error title=linux-pkg-needed-missing::$so 的 NEEDED 里没有 $want"; exit 1 ;;
            esac
          done
          bad=$(echo "$needed" | grep -oE 'lib(ssl|crypto|brotli|llhttp|nghttp2|ngtcp2|nghttp3|sqlite3|mysqlclient|pq|odbc)[^ ]*\.so[^ ]*' || true)
          if [ -n "$bad" ]; then
            echo "::error title=linux-pkg-not-static::$so 动态依赖了: $bad"
            exit 1
          fi
          undef=$(nm -D -u "$so" 2>/dev/null | grep -cE 'mysql_|PQ|SQL[A-Z]' || true)
          if [ "$undef" != "0" ]; then
            echo "::error title=linux-pkg-db-symbols::$so 里还有 $undef 个未定义的 db 符号"
            exit 1
          fi

          rm -rf stage
          cmake --install build-pkg --prefix "$PWD/stage/usr"
          # 判据与 x64 那条同构（为什么分「安装阶段」与「产物」两半，理由全在
          # 那边的注释里）：libuv/zlib 的头不该出现，nlohmann/llhttp 的头由打包
          # 脚本剪掉、只能判产物。
          for p in include/libuv include/zlib.h include/zconf.h; do
            if [ -e "stage/usr/$p" ]; then
              echo "::error title=linux-pkg-header-conflict::stage 里有 $p（应由系统包提供）"
              exit 1
            fi
          done

          python3 packaging/nfpm/make_packages.py \
            --stage "$PWD/stage/usr" --out dist --arch arm64

          check_headers() {
            local f="$1" hit
            hit=$(grep -oE '\.?/usr/include/(nlohmann|libuv)/[^ ]*|\.?/usr/include/(zlib|zconf|llhttp)\.h' \
                  | head -3 || true)
            if [ -n "$hit" ]; then
              echo "::error title=linux-pkg-header-conflict::$f 里带了系统包/私有依赖的头：$hit"
              exit 1
            fi
          }
          for f in dist/*.deb; do
            dpkg-deb -c "$f" | check_headers "$f"
          done
          if command -v rpm >/dev/null 2>&1; then
            for f in dist/*.rpm; do
              rpm -qlp "$f" | check_headers "$f"
            done
          else
            echo "（本机没有 rpm，rpm 包的头清单未读回 —— 它与 deb 出自同一棵剪过的树）"
          fi

      - name: Package
        run: |
          python3 tests/tools/package_release.py \
            --tree build-linux --platform linux-arm64 \
            --debug-tree build-linux-dbg --out dist

      - uses: actions/upload-artifact@v4
        with:
          name: linux-arm64
          path: |
            dist/*.zip
            dist/*.deb
            dist/*.rpm
          if-no-files-found: error

  # ---------------------------------------------------------------------------
  # 六条腿全绿才发布。用的是内置 GITHUB_TOKEN（permissions: contents: write），
  # 不需要、也不该用一个长期 PAT。
  # needs 是这套流程的干跑机制：任何一条腿红了都不会产生半成品 Release ——
  # 资产是六份，少一份就是一个"装得上但缺一半平台"的发布。
  # ---------------------------------------------------------------------------
  publish:
    needs: [mingw-x64, mingw-arm64, msvc-x64, msvc-arm64, linux-x64, linux-arm64]
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          # 正文由 `release_notes.py` 从工作区里的 `RELEASE.md` 现切 —— 切的是
          # **那份文件里的段落**，不是 git 历史，所以 depth 1 就够（这里曾经写着
          # "需要完整历史"，与实际的 1 自相矛盾）。
          fetch-depth: 1

      - uses: actions/download-artifact@v4
        with:
          path: dist
          merge-multiple: true

      - name: Show assets
        run: ls -la dist/

      # 这条是**跨腿**判据，打包器自己给不了：某条腿漏传 `--debug-tree` 时，
      # 打包器只会打一行"本次包不含调试档"然后**照常成功** —— 于是发布出去的是
      # "五个平台有调试档、一个没有"。每份包在各自那条腿上都验过自己，只有这里
      # 能看出有一份跟别的不一样。
      - name: Assert every zip carries the debug artifacts
        run: |
          python3 - <<'PY'
          import glob, sys, zipfile

          bad = []
          zips = sorted(glob.glob("dist/*.zip"))
          for z in zips:
              base = [n.rsplit("/", 1)[-1] for n in zipfile.ZipFile(z).namelist()]
              if not [n for n in base if n.startswith(("uvcppd.", "libuvcppd."))]:
                  bad.append("%s 里没有任何调试档动态库（这条腿少了 --debug-tree？）" % z)
              if "uvcpp-debug.pc" not in base:
                  bad.append("%s 里没有 uvcpp-debug.pc（有调试档却没它的 .pc，"
                             "使用者没法用 pkg-config 链上）" % z)
              # MSVC 的符号是外置的 .pdb；MinGW/Linux 的调试信息内嵌在动态库里，
              # 本来就没有独立符号文件，别按同一个形状去要。
              if "-msvc-" in z and "uvcppd.pdb" not in base:
                  bad.append("%s 是 MSVC 的包，却没有 uvcppd.pdb" % z)
          print("扫了 %d 份包：%s" % (len(zips), ", ".join(zips)))
          if bad:
              print("::error title=debug-artifacts-missing::不是每份包都带了调试档")
              for b in bad:
                  print("  - " + b)
              sys.exit(1)
          PY

      # `RELEASE.md` 是**归档**，不是任何一版的正文（见该文件顶上的注释）。正文按
      # tag 现切：下载表 + 这一版那个 `## vX.Y.Z 重点` 小节 + 指向 CHANGELOG.md。
      # 此前是把整份八百多行的 RELEASE.md 当正文 —— 每次发版贴的都是同一份，读的人
      # 得自己在里面找"这一版新增了什么"，而这一版有哪六个包、点哪个，文件里没有。
      #
      # **无条件跑**：dry_run 也要跑。空转的全部意义就是排练这条链，而切片恰恰是
      # 最可能在发版当天才第一次跑的一步。
      - name: Build release notes from RELEASE.md
        run: |
          TAG="${{ inputs.tag || github.ref_name }}"
          python3 tests/tools/release_notes.py --tag "$TAG" \
            --repo "$GITHUB_REPOSITORY" --out "$RUNNER_TEMP/release-notes.md"
          # 退出码 0 生成成功 / 1 判据红了（缺该 tag 的小节、tag 与版本头不符）/
          # 3 前提不满足（RELEASE.md 读不到…）。Actions 里非 0 一律失败，但 3 是
          # **「没判」而不是「绿」** —— 别看到 3 以为可以放行。
          echo "---- $RUNNER_TEMP/release-notes.md ----"
          cat "$RUNNER_TEMP/release-notes.md"
          echo "---- 共 $(wc -l < "$RUNNER_TEMP/release-notes.md") 行 ----"

      - name: Create / update release
        if: ${{ !inputs.dry_run }}
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: |
          TAG="${{ inputs.tag || github.ref_name }}"
          echo "tag=$TAG"
          if gh release view "$TAG" >/dev/null 2>&1; then
            echo "Release $TAG 已存在，更新标题与正文"
            gh release edit "$TAG" --title "libuvcpp $TAG" --notes-file "$RUNNER_TEMP/release-notes.md"
          else
            gh release create "$TAG" --title "libuvcpp $TAG" --notes-file "$RUNNER_TEMP/release-notes.md"
          fi
          # --clobber：重跑时覆盖同名资产，让这条流程幂等。
          # 用数组而不是裸 glob：某个 glob 一个都没匹配上时，bash 会把**字面量**
          # `dist/*.exe` 当成路径传给 gh，报的是一条和实际原因无关的错。
          shopt -s nullglob
          assets=(dist/*.zip dist/*.deb dist/*.rpm dist/*.exe)
          echo "上传 ${#assets[@]} 个资产：${assets[*]}"
          if [ "${#assets[@]}" -eq 0 ]; then
            echo "::error title=no-assets::dist/ 里一个资产都没有"
            exit 1
          fi
          gh release upload "$TAG" "${assets[@]}" --clobber
          gh release view "$TAG" --json assets --jq '.assets[] | "\(.name)\t\(.size)"'

      # 空转也要**说出来**发的是什么：否则 dry_run 的日志里最后一步是空的，
      # 看不出这条链到底会不会发东西。
      - name: Dry run —— 只报告会发什么
        if: ${{ inputs.dry_run }}
        run: |
          echo "dry_run=true：跳过 gh release create/edit/upload（不碰任何已公开的 ref）"
          echo "真发布时会发到 tag ${{ inputs.tag }} 的资产："
          ls -la dist/*.zip

  # ---------------------------------------------------------------------------
  # 自建 apt / dnf 仓库 → gh-pages。
  #
  # 这是"让 Linux 用户用一条命令装上"的那一半：`publish` 发的是给人下载的
  # 文件，这里发的是给包管理器读的索引。两者并列，互不依赖。
  #
  # 三条硬规矩：
  #   * **只有真发布才跑**（`dry_run` 不碰任何公开 ref）；
  #   * **没有 GPG 私钥就整个跳过**（`::warning`，job 保持绿）：不产出未签名
  #     仓库，但也不拿"还没配密钥"去卡住发版 —— 安装包与 zip 照发，只是 apt/dnf
  #     这两个通道在密钥就位前不存在。密钥一配，下一次真发布自己就长出来；
  #   * **钉 24.04**：`createrepo-c` 在它的 universe 里，22.04 没有。
  #
  # 仓库是增量维护的（旧版本的包留着，每包每架构留最近 5 个），所以这个 job
  # 每次都要先把上一次的 gh-pages 取下来。
  # ---------------------------------------------------------------------------
  publish-repo:
    needs: [linux-x64, linux-arm64]
    if: ${{ !inputs.dry_run }}
    runs-on: ubuntu-24.04
    timeout-minutes: 30
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 1

      - uses: actions/download-artifact@v4
        with:
          name: linux-x64
          path: pkgs
      - uses: actions/download-artifact@v4
        with:
          name: linux-arm64
          path: pkgs

      # 先在**不花任何代价**的前提下判一下密钥在不在，后面三步都挂在它的输出上。
      # 用 `::warning` 而不是 `::error`：这是"还没配"，不是"配错了"。
      - name: Check for the signing key
        id: gpg
        env:
          GPG_PRIVATE_KEY: ${{ secrets.GPG_PRIVATE_KEY }}
        run: |
          if [ -n "${GPG_PRIVATE_KEY:-}" ]; then
            echo "have_key=true" >> "$GITHUB_OUTPUT"
          else
            echo "have_key=false" >> "$GITHUB_OUTPUT"
            echo "::warning title=gpg-private-key-missing::没有 GPG_PRIVATE_KEY secret —— 这次跳过 apt/dnf 仓库发布（安装包与 zip 照发）。一次性准备见 packaging/README.md"
          fi

      - name: Install repo tools
        if: steps.gpg.outputs.have_key == 'true'
        run: |
          sudo apt-get update
          # apt-ftparchive 随 apt 而来；只差 createrepo-c 与 gpg（后者镜像自带，
          # 写出来是为了让这条 job 的依赖一眼看全）。
          sudo apt-get install -y createrepo-c gnupg

      - name: Import the signing key
        if: steps.gpg.outputs.have_key == 'true'
        env:
          GPG_PRIVATE_KEY: ${{ secrets.GPG_PRIVATE_KEY }}
          GPG_KEY_ID: ${{ secrets.GPG_KEY_ID }}
        run: |
          # 临时 GNUPGHOME：runner 上那份 keyring 是共享的，别往里塞长期私钥。
          export GNUPGHOME="$RUNNER_TEMP/gnupg"
          mkdir -p "$GNUPGHOME"; chmod 700 "$GNUPGHOME"
          printf '%s\n' "$GPG_PRIVATE_KEY" | gpg --batch --import
          gpg --batch --list-secret-keys
          # 当场盲签一次，判据就是"不带口令能不能签"。`--quick-generate-key` 在
          # batch 下产出的密钥**空口令但仍带 S2K 保护**：本机 gpg 拿空口令就签了，
          # runner 的 agent 却要 pinentry，只会在建仓库树那步报
          # `Inappropriate ioctl for device` —— 那条报错看不出是密钥形状的问题，
          # 2026-10-18 为此白跑了两轮。改用 `%no-protection` 生成（见 packaging/README.md）。
          echo smoke > "$RUNNER_TEMP/smoke.txt"
          if ! gpg --batch --yes --digest-algo SHA256 --local-user "$GPG_KEY_ID" \
                   --clearsign -o "$RUNNER_TEMP/smoke.asc" "$RUNNER_TEMP/smoke.txt"; then
            echo "::error title=gpg-key-needs-passphrase::签名密钥在 runner 上要口令（Inappropriate ioctl for device）。请改用 %no-protection 生成的密钥，见 packaging/README.md 的「首次发布前的一次性准备」"
            exit 1
          fi
          echo "盲签通过：$(wc -c < "$RUNNER_TEMP/smoke.asc") 字节"
          echo "GNUPGHOME=$GNUPGHOME" >> "$GITHUB_ENV"

      - name: Build the repository tree
        if: steps.gpg.outputs.have_key == 'true'
        env:
          GPG_KEY_ID: ${{ secrets.GPG_KEY_ID }}
        run: |
          set -euo pipefail
          SITE="$RUNNER_TEMP/site"
          # 先问"分支在不在"，别拿 `git fetch` 的失败当判据：那样网络抖一下
          # 就会走 orphan 分支、把整段仓库历史换掉（旧版本连同索引一起消失）。
          # `ls-remote --exit-code` 的 2 就是"没有匹配的 ref"，其余非 0 是真错。
          if git ls-remote --exit-code --heads origin gh-pages >/dev/null 2>&1; then
            git fetch --quiet --depth 1 origin \
              "+refs/heads/gh-pages:refs/remotes/origin/gh-pages"
            git worktree add --quiet --detach "$SITE" origin/gh-pages
          else
            rc=$?
            if [ "$rc" -ne 2 ]; then
              echo "::error title=gh-pages-probe-failed::读不到 origin/gh-pages（exit $rc），不敢重建历史"
              exit 1
            fi
            echo "gh-pages 还不存在：这次建一个空树"
            # 真·孤儿：没有父提交，gh-pages 的历史从这一版开始。
            git worktree add --quiet --detach "$SITE" HEAD
            ( cd "$SITE" && git checkout -q --orphan gh-pages \
              && git rm -rqf . && git clean -qfdx )
          fi
          owner="${GITHUB_REPOSITORY_OWNER,,}"
          repo="${GITHUB_REPOSITORY#*/}"
          python3 packaging/repo/publish.py \
            --site "$SITE" --packages pkgs \
            --pages-url "https://${owner}.github.io/${repo}" \
            --gpg-key "$GPG_KEY_ID"
          echo "---- 树 ----"
          find "$SITE" -maxdepth 3 -type f | sort | sed "s|$SITE/||"

      - name: Commit & push gh-pages
        if: steps.gpg.outputs.have_key == 'true'
        run: |
          set -euo pipefail
          cd "$RUNNER_TEMP/site"
          git config user.name "github-actions[bot]"
          git config user.email "41898282+github-actions[bot]@users.noreply.github.com"
          git add -A
          if git diff --cached --quiet; then
            echo "没有变化（同一版本重跑），不产生空提交"
            exit 0
          fi
          TAG="${{ inputs.tag || github.ref_name }}"
          git commit -q -m "repo: ${TAG}"
          git push --quiet origin HEAD:gh-pages
          echo "gh-pages -> $(git rev-parse --short HEAD)"