feat(dock): add app launch event reporting for taskbar icons

[Ivy233]

1. Implement LaunchDurationReporter to report event 1000610003 when taskbar icons appear
2. Report app metadata: name, launch type, version, unique ID, timestamp, and package type
3. Query Application Manager via DBus for instance information and launch type
4. Detect package type using ll-cli for linglong apps and dpkg-query for deb packages
5. Cache linglong app versions with 10-minute TTL to handle version updates
6. Use single-threaded worker pool for async DBus and process operations
7. Thread-safe cache implementation with mutex protection

Log: Report app launch events when taskbar icons appear for analytics

Influence:

1. Verify event 1000610003 triggers when new taskbar icons appear
2. Verify correct version reporting for linglong and deb packages
3. Verify cache refreshes after 10 minutes for updated app versions
4. Verify no performance impact on icon appearance timing

feat(dock): 添加任务栏图标出现时的应用启动事件上报

1. 实现 LaunchDurationReporter 在任务栏图标出现时上报 1000610003 事件
2. 上报应用元数据：名称、启动类型、版本、唯一 ID、时间戳和包类型
3. 通过 DBus 查询应用管理器获取实例信息和启动类型
4. 使用 ll-cli 检测玲珑应用，使用 dpkg-query 检测 deb 包
5. 缓存玲珑应用版本，10 分钟 TTL 处理版本更新
6. 使用单线程工作池异步处理 DBus 和进程操作
7. 使用互斥锁实现线程安全的缓存

Log: 任务栏图标出现时上报应用启动事件用于分析

Influence:

1. 验证新图标出现时触发 1000610003 事件
2. 验证玲珑和 deb 包版本正确上报
3. 验证缓存在 10 分钟后刷新以获取更新的应用版本
4. 验证对图标出现时机无性能影响

PMS: TASK-389405

[sourcery-ai]

Sorry @Ivy233, you have reached your weekly rate limit of 500000 diff characters.

Please try again later or upgrade to continue using Sourcery

[deepin-ci-robot]

[APPROVALNOTIFIER] This PR is NOT APPROVED

This pull-request has been approved by: Ivy233

The full list of commands accepted by this bot can be found here.

Details

Needs approval from an approver in each of these files:

• debian/deepin/OWNERS

Approvers can indicate their approval by writing /approve in a comment
Approvers can cancel approval by writing /approve cancel in a comment

[deepin-bot]

TAG Bot

New tag: 2.0.43
DISTRIBUTION: unstable
Suggest: synchronizing this PR through rebase #1611

[deepin-bot]

TAG Bot

New tag: 2.0.44
DISTRIBUTION: unstable
Suggest: synchronizing this PR through rebase #1618

[deepin-bot]

TAG Bot

New tag: 2.0.45
DISTRIBUTION: unstable
Suggest: synchronizing this PR through rebase #1632

[deepin-ci-robot]

deepin pr auto review

☀ ★ 总体评分：60分

■ 【总体评价】

代码实现了应用启动耗时的异步打点上报功能，但存在低危参数注入安全漏洞
逻辑基本正确且性能高效，但因触犯安全红线导致总分受限至上限值

■ 【详细分析】

• 1.语法逻辑（基本正确）✓

代码整体逻辑连贯，异步线程池与主线程的切换通过 QMetaObject::invokeMethod 处理得当，互斥锁 m_cacheMutex 的使用有效保护了共享缓存。但在 queryDebVersion 函数中，调用外部进程 grep、dpkg -S 和 dpkg-query 时，未使用 -- 终止符来分隔选项与参数，若文件路径或包名以 - 开头，会导致参数被误解析为选项，引发逻辑异常。
潜在问题：特殊路径名导致外部命令解析失败
建议：在所有外部命令的参数列表中，在动态参数前插入 QStringLiteral("--")

• 2.代码质量（良好）✓

代码结构清晰，职责划分合理，LaunchDurationReporter 独立封装了打点逻辑。使用了条件编译宏 HAVE_DDE_API_EVENTLOGGER 隔离了第三方日志库依赖。关键步骤如 pidfd_open 和 dpkg 查询均有详尽的注释。变量命名基本符合规范，但 pakType 拼写略显突兀，建议改为 packageType 或 packType 以提高可读性。
潜在问题：pakType 命名不够直观
建议：重命名为 packageType

• 3.代码性能（高效）✓

耗时的 D-Bus 通信、文件解析和外部进程调用均通过 QThreadPool 异步执行，完全避免了阻塞主线程。引入了带有 1800 秒 TTL 的内存缓存 m_packageCache，大幅减少了重复启动或窗口刷新时的冗余系统调用。在 dpkg 查询中优先使用 grep 遍历 info 目录而非直接调用 dpkg -S，体现了较好的性能优化意识。
建议：无

• 4.代码安全（存在 1 个安全漏洞）✕

漏洞对比统计：新增漏洞 1 个，减少漏洞 0 个，持平 0 个
代码在调用外部进程时缺乏严格的参数边界校验，存在参数注入风险，可能导致打点功能失效或产生非预期的系统行为。

• 安全漏洞1（低危）：参数注入 在 launchdurationreporter.cpp 的 queryDebVersion 函数中，desktopFilePath 和 packageName 作为用户态或文件系统输入，直接拼接在 grep 和 dpkg-query 的参数列表中且未使用 -- 终止符。如果恶意构造的桌面文件指向以 - 开头的路径，外部命令会将其误解析为选项，导致命令执行异常或信息泄露。虽然 QProcess 的列表启动模式避免了 Shell 命令注入，但选项注入仍违反了防御性编程原则。 ——非常重要

• 建议：在 grep、dpkg -S 和 dpkg-query 的参数列表中，在动态变量前严格添加 QStringLiteral("--") 以终止选项解析。

■ 【改进建议代码示例】

diff --git a/panels/dock/taskmanager/launchdurationreporter.cpp b/panels/dock/taskmanager/launchdurationreporter.cpp
index dc264bc1b..safe_version 100644
--- a/panels/dock/taskmanager/launchdurationreporter.cpp
+++ b/panels/dock/taskmanager/launchdurationreporter.cpp
@@ -154,7 +154,7 @@ QString queryDebVersion(const QString &desktopFilePath)
     if (QFileInfo::exists(infoDir)) {
         QProcess search;
         search.start(QStringLiteral("grep"),
-                     {QStringLiteral("-rlFx"), QStringLiteral("--include=*.list"), desktopFilePath, infoDir});
+                     {QStringLiteral("-rlFx"), QStringLiteral("--include=*.list"), QStringLiteral("--"), desktopFilePath, infoDir});
         if (!search.waitForFinished(1000)) {
             qCWarning(launchDurationReporter) << "[DockIconTiming] grep dpkg file list timeout for" << desktopFilePath;
             return QString();
@@ -170,7 +170,7 @@ QString queryDebVersion(const QString &desktopFilePath)
     } else {
         QProcess search;
         search.start(QStringLiteral("dpkg"),
-                     {QStringLiteral("-S"), desktopFilePath});
+                     {QStringLiteral("-S"), QStringLiteral("--"), desktopFilePath});
         if (!search.waitForFinished(2000)) {
             qCWarning(launchDurationReporter) << "[DockIconTiming] dpkg -S timeout for" << desktopFilePath;
             return QString();
@@ -188,7 +188,7 @@ QString queryDebVersion(const QString &desktopFilePath)
 
     QProcess query;
     query.start(QStringLiteral("dpkg-query"),
-                {QStringLiteral("-W"), QStringLiteral("-f=${Version}"), packageName});
+                {QStringLiteral("-W"), QStringLiteral("-f=${Version}"), QStringLiteral("--"), packageName});
     if (!query.waitForFinished(1000)) {
         qCWarning(launchDurationReporter) << "[DockIconTiming] dpkg-query timeout for" << packageName;
         return QString();

[deepin-bot]

TAG Bot

New tag: 2.0.46
DISTRIBUTION: unstable
Suggest: synchronizing this PR through rebase #1642