review: M5 双 Web 审查后的质量加固（两轮真机验证）

八角度审查双 Web 批次。修确凿问题：

铁律风险（最高）
- network_config：base-config cleartextTrafficPermitted 由 false 改 true。我之前的"白名单收紧"比平台默认更严，
  会拦掉 H5 可能访问的任意第三方明文 http 与本地 127.0.0.1 上传 → 违反 H5 零改动。改回允许明文（对齐原 Android）

正确性
- 子游戏 controller 不再复用：每次进子游戏 new WebviewController()（存 slotS.controller），消除"复用同一 controller
  时 onControllerAttached 不再触发致第二个子游戏建不出桥"的竞态。真机两轮验证 subB 桥正常 ✓
- BridgeController.dispose 置 active=false：显式抑制 dispose 后能力延迟异步 callHandler（不靠 adapter emitter-off 偶然安全）
- WebSlot.resumeLoaded 补发 setPostUrl：覆盖"非激活期渲染崩溃重载后 onFirstProgress 被闸门抑制丢失上传地址"。真机验证返回必带 setPostUrl ✓
- onRenderExited 不可见时延迟重载：非激活槽崩溃标记 needReload，激活时再 reload（官方建议可见后重载）；activate 返回是否重载，resumeLoaded 据此避免重复推送
- 容器 aboutToDisappear：先退订 cancels 再 dispose 槽，关闭销毁期事件又建槽窗口
- LocationProvider：权限对话框 await 后加 disposed 守卫（防 onDestroy 后再注册监听泄漏+打已弃桥）
- AudioProvider：createAVPlayer.then 加 disposed 守卫（创建期已销毁则直接 release，防孤儿播放器泄漏）
- NetworkProvider.onForeground：重订阅后补播当前网络（覆盖非激活期网络变化，避免 H5 状态陈旧）

研判驳回：network_config 需 metadata 关联（官方文档证实 profile 路径自动识别）；app 前后台只发 activeSlot（非激活大厅已收 appservice'2'，正确）。
延期：WeChatApi 单例陈旧回调（随微信集成）。

devecocli build + scripts/test.sh 通过；模拟器两轮(大厅↔subA↔大厅↔subB↔大厅)无回归。
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

feature_bridge/src/main/ets/core/BridgeController.ets

@@ -59,6 +59,8 @@ export class BridgeController {
     this.responseCallbacks.clear();
     this.registry.clear();
     this.startupMessages = null;
+    // 置非激活：dispose 后能力的延迟异步回调若仍 callHandler，dispatch 闸门显式抑制（不依赖 adapter emitter-off 的偶然安全）
+    this.active = false;
   }
 
   // —— H5 → 原生：在 Web().onLoadIntercept 调用，返回 true 表示拦截、阻断真实导航 ——