iOS 原生客户端：libwebrtc 数据面 + UX 改造 + 品牌/字体 + 全平台平均速度

- 原生数据面 libwebrtc（PLAN 决策 F）：新增 Engine/LibWebRtcEngine.swift（RTCPeerConnection，端口 engine.go/session.go 线协议 + 水位背压 + ack 完成 + 不冲突落盘）；NativeTransfer.swift 的 P2PEventsBridge 改 conform P2PEngineDelegate（去 gomobile）；EngineController 4 个 p2p RPC 改调新引擎（completion-based + resolveOnMain）。stasel/WebRTC M149 经 SPM（exactVersion 149.0.0）。环回端到端 20MB 逐字节测过（Tests/）
- UX 改造（PARITY 残余项 1/2）：新增 SendComposeSheet（发送预览＝文件名 + 选设备，手动多选与分享共用）；分享直入预览 + scenePhase .active 兜底（修“分享后必须重启 app”）；重写 MessagesView（按设备会话 + 每设备未读红点 + 删单条 / 删整设备历史）；EngineController 加 conversations / unread 模型
- 品牌 logo：新增 Shared/Brand.swift（BrandMark / Wordmark / BrandLockup / BrandHero）+ Brand.xcassets/LogoMark；登录页 / 传输空态 / 设置头 / 控制中心控件接 logo；Theme 加 cdropAmber
- 字体（对齐 web，仅主 app）：新增 BrandFonts.swift（Orbit Gothic + Maple Mono woff2 运行期 CTFontManager 注册 + UIKit 外观代理 + .oXxx / .maple 助手）；Fredoka SemiBold 字标；7 视图 .font sweep。字体不入库——.gitignore 排除 + just ios-fonts 构建前从 CDN / Google Fonts 拉取，见 Sources/Fonts/README.md
- 分享引导：新增 Share/ShareGuideView（吉祥物卡 + “打开 Commilitia Drop”）；ShareViewController 健壮 staging（文件 / 数据双路）+ 响应链 IMP 唤起宿主
- 全平台平均速度：传输完成态显平均速度（总字节 / 总耗时）而非末次瞬时——web store/slices/transfer.ts + TransferRow.tsx + iOS RootView 卡片 / 详情；i18n 加 transfer.avgRate
- 工程：project.yml 接 SPM WebRTC + CDropTests + Fredoka UIAppFonts + Share i18n；Justfile 加 ios-sim-build + ios-fonts / ios-fonts-fredoka 配方
- 文档：ios/PLAN.md（决策 F + §10 UX + §11 品牌/字体 + §12 平均速度）、ios/PARITY.md（字体分叉条目更新 + 2026-06-28 漂移行）

ios/PLAN.md

@@ -53,6 +53,17 @@
 - **缺失 / 拒绝时按特性二选一**：① **有兜底则降级**——本地网络→回退中继并提示“仅中继、无法同内网直连”；通知→无后台推送但前台仍可用。② **无兜底则提示“无权限”并阻塞该特性**——相机→扫码不可用，提示 + 跳系统设置；阻塞的是**该特性**、非整个 app。
 - 不拿任一权限当**整个 app** 的门槛（HIG 5.1.2）。详见 §9.2 逐权限映射。
 
+### 决策 F（新，2026-06-28）：iOS P2P 数据面下沉原生 libwebrtc（与桌面 pion 对称）
+
+修订决策 A 的“数据面亦跑在无头 WebView JS 里”。**P2P DataChannel 的字节收发（数据面）已从无头 WebView 的 JS 引擎移到原生 libwebrtc**（`Sources/Engine/LibWebRtcEngine.swift`，`RTCPeerConnection`），与桌面把数据面移到 Go/pion **完全对称**。
+
+- **无头 WebView 此后只跑编排**：信令转发 / 会话 / presence / 消息 / 状态机 / relay（`hub.ts` + `transfer.ts`），**不再承载 P2P 数据面**。决策 A 的“原生壳 + 无头引擎”仍成立，只是引擎的职责收窄到编排层。
+- **缘由（U1→U2 翻案）**：先试 gomobile+pion（与桌面同引擎，U1），真机 POC **证伪**——Go raw BSD socket 不与 iOS Network framework 集成（连接时好时坏 + 中途断流）。按闸退到 **libwebrtc.framework**（U2，stasel/WebRTC M149 经 SPM、pin `exactVersion 149.0.0`）。完整决策依据与实测证据见 `desktop/NATIVE-TRANSFER.md` §7/§8。
+- **收益**：libwebrtc 原生集成 iOS 网络栈 + DcSCTP 默认 ~5MB rwnd——摆脱 WebKit 写死的 256KB 接收窗（R-iOS-3 的吞吐残差）对数据面的钳制，连通性与吞吐一并根治。
+- **互通靠线协议逐字节对齐**：`LibWebRtcEngine` 是 `desktop/engine` 的 `engine.go`/`session.go` 线协议的忠实 Swift 端口——DataChannel `cdrop-file`（ordered）、`meta`/二进制分片(64KB)/`done`/`ack` 帧、16MB/4MB 水位背压、ack 追平完成、不冲突落盘。故 iOS↔桌面（pion）、iOS↔浏览器（JS）三端互通。
+- **桥与 JS 路由零改动**：`IOS_NATIVE` 开关、`p2pIos.ts`/`net/ios.ts` 桥协议原样；只在 Swift 侧新增一条原生传输 RPC（`startOutgoing`/`startIncoming`/`handleSignal`/`cancel`，completion-based，经 `resolveOnMain` 跳主线程 resolve）。**iOS 定向的引擎配置绝不回流 `desktop/engine` 共享包**。
+- **验证**：环回端到端（两个引擎同进程交叉连、20MB 经完整线协议传输后逐字节比对）✅；模拟器全 app 编译 ✅；web typecheck/build ✅。真机 / 真网吞吐互通为剩余闸（须 deploy prod 让设备拿到 `IOS_NATIVE=true` 引擎 + 真机装机，二者 Touch ID 门控）。
+
 ---
 
 ## 1. 后端现状（决定 iOS 能做什么，2026-06-24 扫描）
@@ -72,6 +83,8 @@ Share Extension 落法（据上）：**抓文件 → 写 App Group 容器 →
 
 ## 2. 桥协议（arch A 的接口契约，账号无关、可先冻结）
 
+> **状态（2026-06-28，决策 F 后）**：本节描述的桥是**编排与控制面**（信令 / 会话 / presence / 消息 / 接收回退字节通道）。**P2P 数据面（含其磁盘 I/O）现走原生 libwebrtc**（决策 F），不再经此桥的 `sendFile` / `Begin`-`Append`-`Finalize` 路径；那条接收字节通道仅保留给 relay / 非原生回退。下文桥语义对编排层仍准确。
+
 原生 ↔ 无头 JS 引擎的 RPC：`WKScriptMessageHandler`（JS→Swift）+ `evaluateJavaScript`（Swift→JS），类比 Wails 的 `EventsEmit` / bound methods，但**方向相反**（原生在顶层）。
 
 - **平台判定**：`isIOSShell()`（`web/src/net/ios.ts`）查 `window.webkit.messageHandlers.cdropEngine` 在场（类比 `isDesktop()` 查 `window.go.main.App`）。无头入口（`web/src/engine/main.ts`）据此装配桥。
@@ -113,6 +126,8 @@ Share Extension 落法（据上）：**抓文件 → 写 App Group 容器 →
 
 > **实现状态（2026-06-27）**：I1/I2/I3/I4/I5/I6 的**代码**全部落地——发送端流式（R-iOS-4，FileSource + 原生 Range，整文件不进 WebView 内存）；后台续传（BGContinuedProcessingTask）；APNs（后端 `internal/apns` ES256 + 原生注册经引擎桥）；Share Extension（App Group 收件箱 + `cdrop://share` 深链）；控制中心两控件（**专用 broker 设备会话**，纯原生 REST，不与引擎抢 refresh 轮换）。模拟器验 + ultracode 多 agent 审查修讫（0 HIGH，修 2 MED + 7 LOW）。**I0 账号 / 证书 + 真机签名 / 真发推送 / 旁加载分发**仍账号门控——手册 `ios/CDrop/REALDEVICE.md`（ASC API Key 自动 provisioning + `just ios-device` 全 CLI 装机，`-allowProvisioningUpdates` 自动登记设备 / 建 profile）。包名 `net.commilitia.Commilitia-Drop`，App Group `group.net.commilitia.Commilitia-Drop`。
 
+> **更新（2026-06-28）**：① **P2P 数据面改原生 libwebrtc**（决策 F；完整依据 `desktop/NATIVE-TRANSFER.md` §7/§8）——已真机装机、用户反馈“传输总体良好”，真网吞吐互通为剩余闸；② **UX 改造**（发送预览直入 / 消息按设备会话 / 删除粒度，§10）；③ **品牌与字体系统**（logo + Orbit Gothic / Maple Mono / Fredoka，§11）。
+
 ---
 
 ## 5. 一致性：强约束同步 vs 检查单（决策 D 展开）
@@ -235,6 +250,57 @@ Share Extension 落法（据上）：**抓文件 → 写 App Group 容器 →
 
 ---
 
+## 10. UX 改造（2026-06-28，真机反馈驱动）
+
+真机使用后落地的三块结构性改造，均属决策 D 的“非引擎驱动 UI 流程”（进 `ios/PARITY.md` 残余项 1/2，已登记）。
+
+### 10.1 发送预览界面（取代即弹的设备选择框）
+
+- 选文件 / 选图后**不再**直接弹设备选择，而是进入**发送预览**（`Sources/SendComposeSheet.swift`）：列出待发文件名 + 字节大小，下方列表选目标设备。手动发送与分享发送**共用**此界面。
+- 手动入口支持**多选**：`fileImporter(allowsMultipleSelection: true)` + `photosPicker(selection:)` 数组；`RootView` 的 `present`/`sendPicked`/`clearPicked`/`loadPhotos` 串起选取→预览→发送。
+
+### 10.2 分享直入预览（修“必须重启 app”）
+
+- Share Extension 抓取 → 暂存 App Group → 唤起主程序，主程序**直入发送预览**（同 `SendComposeSheet`）。
+- 修复“分享后必须重启 app 才出现传输”：唤起宿主 app 经响应链 IMP 调现代 `openURL:options:completionHandler:`（旧单参 `openURL:` 在 iOS 18+ 已成空壳），**并以 `scenePhase` 回 `.active` 时 `loadPendingShares()` 兜底**——回前台即扫 App Group 暂存、补出预览，不依赖那条 iOS 灰区的扩展→宿主唤起是否可靠。分享引导界面见 §11.3。
+
+### 10.3 消息按设备会话聚合 + 删除粒度
+
+- 消息从扁平流改为**按设备聚合的会话列表**（社交 app 模型，`Sources/MessagesView.swift`）：会话列表项 = 有历史**或**当前可达的设备；点进 `ConversationView` 看与该设备的线程。非 APNs 离线设备**不能**作为发送对象，但历史**可查看**（`canMessage()` 判定）。
+- **每设备未读分桶**：`EngineController` 的 `unreadByPeer: [String: Int]` + `activeConversation`；每设备会话显示各自未读红点，“消息”标签显示总未读（`unreadMessages = unreadByPeer.values.reduce(0,+)`）。进会话即 `markConversationRead` + `setActiveConversation`。
+- **任意删除**：可删**单条消息**与**整个设备的历史**（`deleteConversation()`），避免废 session 堆积。
+
+---
+
+## 11. 品牌与字体系统（2026-06-28，对齐 web）
+
+iOS 界面引入与 web 一致的品牌资产与字体栈——这是强约束③（§5，品牌资产 + 主色单一源）在视觉层的延伸。
+
+### 11.1 品牌 logo
+
+- `Shared/Brand.swift`：`BrandMark`（吉祥物，资产 `Shared/Brand.xcassets/LogoMark`，源 `web/public/logo-mark.png`）、`Wordmark`（“Commilitia” 主色 + “Drop” `cdropAmber`，Fredoka SemiBold）、`BrandLockup`、`BrandHero(tagline:)`。
+- 接入点：登录页（`BrandMark` + `Wordmark` 取代纯文字标题）、传输空态（`BrandHero`）、设置页顶部横向品牌头、控制中心控件重设计（吉祥物 + 品牌渐变 + 全宽按钮，最大化空间）。`Theme.swift` 加 `Color.cdropAmber`（#DB9410 / #F8C637）。
+
+### 11.2 字体栈（Orbit Gothic + Maple Mono + Fredoka）
+
+- 与 web `fonts.css` 同源：Sans = **Orbit Gothic CJK SC**（Regular + SemiBold）、Mono = **Maple Mono**、字标 = **Fredoka SemiBold**。
+- **woff2 运行期注册**：Orbit / Maple 以 woff2 内嵌（约 TTF 的 1/3 体积），`UIAppFonts` 历史只认 ttf/otf，故经 `CTFontManagerRegisterFontsForURL` 运行期注册（iOS 13+ Core Text 原生支持 woff2，实测 register→true）——见 `Sources/BrandFonts.swift` 的 `BrandFonts.register()`（`AppDelegate` 启动调）。Fredoka 是 ttf，走 `UIAppFonts`。
+- **助手 + sweep**：`BrandFonts` 暴露 `Font.oBody/.oHeadline/…`（Orbit，对位 SF 语义样式）、`Font.maple(…)`（Maple Mono）；导航 / 标签栏标题经 UIKit appearance 代理换 Orbit；7 个视图的 `.font(.语义)` → `.font(.o语义)` sweep。
+- **仅主 app**：CJK 字体大，不进 Share / 控件扩展（它们保持系统字 + 仅 Fredoka 字标）；生僻字超 Orbit 字汇时 iOS 字体级联自动回退苹方，不出豆腐块。
+- **字体不入库**：Orbit Gothic 为专有 / 定制字体（公开仓库不分发），Maple / Fredoka 虽开源也统一不入库保持精简；经 `.gitignore` 排除，构建前 `just ios-fonts`（已 chain 进 `ios-device` / `ios-sim-build`）从私有 CDN / Google Fonts 幂等拉取。详见 `Sources/Fonts/README.md`。
+
+### 11.3 分享引导界面
+
+- `Share/ShareGuideView.swift`（`ShareModel: ObservableObject`）：扩展内呈现吉祥物 + Wordmark + “已就绪 N 个文件” + “打开 Commilitia Drop” 主按钮 + 取消，引导用户回到主程序完成发送（扩展内不跑传输引擎，§8.4）。取消则删暂存；`started` 标志防重入。
+
+---
+
+## 12. 全平台平均速度（2026-06-28）
+
+传输完成后，速度列**不再显示最后一次瞬时速率，而显示平均速度**（总字节 / 总耗时）。三端一致：web `store/slices/transfer.ts` 的 `completeTransfer` 在 DONE 时置 `bytesPerSec = total / (elapsedMs/1000)`、`TransferRow.tsx` 在 DONE 读 `avgRate`；iOS `RootView` 卡片 / 详情完成态显平均速度；i18n 加 `transfer.avgRate`（web 3 locale + ios 3 JSON）。桌面（Wails）共享 web store，逻辑自动生效，但需 `just desktop-build-{mac,win}` 重建 + 重分发方落到已装客户端。
+
+---
+
 ## 附：与桌面端策略对照（修订）
 
 | 维度 | 桌面（Wails） | iOS（arch A） |