feat(collect): 按 docs/tdc-案例.md 重做主链路 —— 四段加密 + 字符串指纹识别 37/37

做的什么:
  1. 判决并修正 collect 结构: 不是「整体一次加密」, 而是
     chunk1 / trajectory / chunk2 / sd **四段独立加密**, 前 3 段
     空格 pad 到 24 字节对齐、sd 不 pad, 4 段 base64 直接拼接。
  2. 按案例 §5.3 实现字符串+结构指纹的模块识别器, 把 37 个采集器
     全部识别且跨构建唯一。
  3. 修 reorder 的恒等映射 bug, 并补强断言。
  4. 在线抓取全新样本作为唯一数据源, 清理探索性脚本。

为什么:
  * 旧「整体加密 + \x00 补齐」与真机数据矛盾 —— 导致多轮实验
    建立在结构错误的 collect 上（这正是此前反复"乱碰"的根因）。
  * 模块 id 每份构建重排, 不能当跨构建锚点; 但模块的**代码**
    （字符串集合、结构）不变 —— 这是案例指明的不变量。
  * reorder 旧实现用「目标槽下标」切「源数组」, 顺序不同即全盘错位;
    原测试只断言"是置换", 恒等函数也满足, 所以 bug 被放过了。

怎么验证:
  * 四段结构（3 条独立证据, 其中一条不需密钥）:
      - 真机明文 3 处连续空格串 [+5,+10,+24], 且 pad == 24-len%24 全中
      - 密文长度算术 480+96+416+56 = 1048 == 真实 1048 字符
      - '=' 只出现在 1046/1048, 对应 sd 段 33B→补 7→40B
  * 指纹: 4 份全新在线构建 37/37 识别、0 unknown、跨构建语义名集合
    完全一致、单构建内 0 重名
  * 配对正确性: 独立证据 37/37 一致; 负对照（清单下标 / 模块 id /
    随机配对）均只有 2-3/37 —— 证明归一化没有过拟合
  * 端到端重排 3/3 正确且非恒等
  * selftest 全绿; 强断言自查: 旧实现过不了新断言

新增:
  tools/tdc_modules.py            字符串+结构指纹识别（案例 §5.3）
  scripts/fetch_online_samples.py 在线抓取全新 tdc.js
  scripts/verify/*.py             7 个可复现的验证脚本
  docs/tdc-案例.md                案例原文（看雪, 作者执着的猫）

修改:
  tcaptcha/crypto.py          +build_collect / split_collect_segments（四段）
  tools/tdc_collectgen.py     reorder 改为跨构建锚点对齐 + spec_from_seq
  tools/tdc_layout.py         +static_fingerprint / opcode_histogram
  tools/tdc_program.py        修符号求值插值类型崩溃
  tcaptcha/tests/test_collectgen.py  补「非恒等」强断言 + 在线新样本端到端
  tcaptcha/client.py          debug 目录改到系统临时目录（不再写仓库内 scratch/）
  har/1ms_dianxuan/PROGRESS.md      新增已知 #41~#49, 显式修正被推翻的旧结论
  .gitignore                  +scratch/  +har/online/

删除:
  scratch/（含 10-11 遗留的一次性脚本, 已确认不可恢复后清理）

注意:
  * 账本记录了一次自我纠错: 曾据案例 §5.5 误判 kind=2「不进 cd」,
    实测（cd 38 槽、轨迹在第 10 槽）否定后已撤回。
  * 仍未打通: 纯离线生成需要每个语义名的取值来源（已知 #38）。

tools/tdc_layout.py

@@ -35,8 +35,9 @@ import argparse
 import json
 import re
 import sys
+from collections import Counter
 from pathlib import Path
-from typing import Dict, List, Optional, Tuple
+from typing import Dict, List, Optional, Sequence, Tuple
 
 ROOT = Path(__file__).resolve().parents[1]
 if str(ROOT) not in sys.path:
@@ -152,6 +153,86 @@ def slot_semantics(p: tp.Program, reg: Dict[int, int], mid: int, depth: int = 2)
     return out
 
 
+_ENV_RE = re.compile(r"c\.|screen|navigator|document|window")
+_DELEG_RE = re.compile(r"r\d+\(\d*\)\s*$")
+
+
+def _is_delegation(e: str) -> bool:
+    """纯模块委派 `r5(22)` / `r5()` —— 括号里的模块号每份构建重排，不能进指纹。"""
+    return bool(_DELEG_RE.fullmatch(e))
+
+
+def static_fingerprint(p: tp.Program, reg: Dict[int, int], mid: int,
+                       depth: int = 4, keep: int = 3) -> str:
+    """模块的**静态语义指纹** —— 跨构建对齐的主锚点（2026-10-12 实测）。
+
+    为什么不用模块 id（实测证伪）：模块 id 是编译器序号，每份构建重新洗牌。
+    两份构建清单交集的 28 个模块里 `id -> 语义` 完全相同的只有 **1/11**
+    （模块9 在 A 是 canvas，在 B 是 webkitRTCPeerConnection）。按 id 对齐必错位。
+
+    构造规则（两条，都是为了抹掉"会重排"的部分、留下"不会变"的部分）:
+      1. 丢掉纯模块委派 `r5(22)` —— 括号里的模块号会重排;
+      2. 其余符号表达式**排序**后取前 keep 条 —— 排序消除遍历顺序差异。
+
+    实测（har/1ms_dianxuan/tdc.js vs live/tdc_fresh.js）:
+      * 覆盖 29/37 项（比只取"环境路径"的 24/37 高不少 —— 常量槽、结构槽也有稳定形状）
+      * 两份构建指纹**多重集交集 27/29**
+      * 单构建内 **27/29 唯一**（只有 "Not supported | createElement(canvas)" 这一组重复）
+    """
+    keepers: List[str] = []
+    for e in slot_semantics(p, reg, mid, depth=depth):
+        e = e.strip()
+        if not e or _is_delegation(e):
+            continue
+        keepers.append(e)
+    return " | ".join(sorted(set(keepers))[:keep])
+
+
+def env_fingerprint(p: tp.Program, reg: Dict[int, int], mid: int,
+                    depth: int = 4, keep: int = 3) -> str:
+    """只保留**读环境**的表达式（`c.`/screen/navigator/document/window）。
+
+    覆盖比 `static_fingerprint` 低（24/37 vs 29/37），仅在需要"这一槽读什么环境"
+    这种**人类可读标签**时使用。做**对齐**请用 static_fingerprint。
+    """
+    keepers: List[str] = []
+    for e in slot_semantics(p, reg, mid, depth=depth):
+        e = e.strip()
+        if not e or _is_delegation(e) or not _ENV_RE.search(e):
+            continue
+        keepers.append(e)
+    return " | ".join(sorted(set(keepers))[:keep])
+
+
+def opcode_histogram(p: tp.Program, reg: Dict[int, int], mid: int) -> str:
+    """模块的**指令直方图** —— 覆盖 37/37、跨构建多重集交集 37/37 的兜底锚点。
+
+    有些采集器（常量槽、纯闭包槽）的符号求值拿不到表达式（实测 8/37 项返回空串），
+    但它们**函数体的 opcode 分布**是稳定的：编译器把同一份源码编成同一串指令，
+    只是模块 id 换了。实测两份构建 37/37 全部匹配。
+
+    缺点：唯一性差一些（单构建内 20/37 唯一），所以只能当**第三级**锚点，
+    在静态指纹匹配不上时兜底，并且同样要求"双向唯一"才配对。
+    """
+    entry = reg.get(mid)
+    if entry is None:
+        return ""
+    counts = Counter(inst["name"] for inst in p.function_code(entry))
+    return "|".join(f"{k}:{v}" for k, v in sorted(counts.items()))
+
+
+def item_fingerprints(p: tp.Program, seq: Sequence[int]) -> List[str]:
+    """按清单顺序, 给每一项算出静态语义指纹（与 seq 等长）。"""
+    reg = dict(p.module_registry(0))
+    return [static_fingerprint(p, reg, m) for m in seq]
+
+
+def item_histograms(p: tp.Program, seq: Sequence[int]) -> List[str]:
+    """按清单顺序, 给每一项算出指令直方图（与 seq 等长, 兜底锚点）。"""
+    reg = dict(p.module_registry(0))
+    return [opcode_histogram(p, reg, m) for m in seq]
+
+
 def find_manifest_module(p: tp.Program) -> Tuple[int, int, List[int]]:
     """找"清单模块": 体内 `push(require(N))` 次数最多者。