feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

addon/blog/Addon.php

@@ -10,44 +10,158 @@ declare (strict_types = 1);
 
 namespace addon\blog;
 
+use addon\blog\library\BlogSchema;
 use think\facade\Db;
 use ywxapp\AddonBase;
+use ywxapp\service\AddonService;
 
 /**
  * Addon 类
  *
+ * 注意：基类是 ywxapp\AddonBase（仓库中不存在名为 addon 的类）。
+ * 写成 extends addon 时，钩子回调会因 class_exists 失败而被静默跳过
+ * （Windows 大小写不敏感可能掩盖，Linux 必然 Class not found）。
+ *
  * @author ywxapp <admin@ywxapp.cn>
  */
-class Addon extends addon
+class Addon extends AddonBase
 {
     /**
      * 安装钩子
      *
-     * 菜单与建表/种子数据由框架统一处理，无需在此手写：
-     *  - 菜单：addon/blog/menu.json
-     *        backend    → wxapp_admin_power（后台权限/菜单，含 addon 归属）
-     *        member     → wxapp_user_rule（module='member'，会员中心）
-     *        frontend   → wxapp_user_rule（module='frontend'，前台）
-     *  - 数据：addon/blog/install.sql（建表，框架 importsql 白名单执行）
-     *
-     * 这里仅保留插件自身的额外初始化钩子（无需可留空）。
+     * 建表与种子数据由 install.sql 负责，这里补做列/索引自愈
+     * （install.sql 的 ALTER 会被框架白名单跳过）。
      */
     public function install()
     {
+        BlogSchema::ensure();
         return true;
     }
 
     /**
      * 卸载钩子
      *
-     * 框架 AddonService::deleteMenu() 只清理 admin_power，
-     * 这里补清 user_rule 中本插件的前端/会员菜单（按 name 前缀），避免残留。
-     * 采用物理删除，防止软删除后唯一键 name 冲突导致重装失败。
+     * 框架 AddonService::deleteMenu() 只清理后台权限表，这里补齐：
+     * 私有表、会员/前台菜单、插件配置、静态资源。
      */
     public function uninstall()
     {
-        Db::execute("DELETE FROM wxapp_user_rule WHERE name LIKE 'blog:%'");
-        Db::execute("DELETE FROM wxapp_admin_power WHERE addon='blog'");
+        $prefix = $this->prefix();
+
+        // 1) 插件私有表（表名从 install.sql 解析，避免硬编码与遗漏）
+        foreach ($this->tableNames() as $table) {
+            try {
+                Db::execute("DROP TABLE IF EXISTS `{$prefix}{$table}`");
+            } catch (\Throwable $e) {
+                // 单表失败不阻断整体卸载
+            }
+        }
+
+        // 2) 菜单残留：框架清后台，这里补会员中心/前台
+        //    （表名用 Db::name 自动加前缀，勿写死 wxapp_）
+        try {
+            Db::name('member_rule')->where('name', 'like', 'blog:%')->delete();
+        } catch (\Throwable $e) {
+            // 表不存在时忽略
+        }
+
+        // 3) 配置残留（框架卸载不清配置，重装会继承旧值）
+        try {
+            Db::name('common_addonconf')->where('addon', 'blog')->delete();
+        } catch (\Throwable $e) {
+            // 表不存在时忽略
+        }
+        AddonService::clearConfigCache('blog');
+
+        // 4) 静态资源（框架只清 public/static/addon/<name>/，清不到实际目录）
+        $this->deleteDirectory(public_path() . 'static' . DIRECTORY_SEPARATOR . 'blog');
+
         return true;
     }
+
+    /**
+     * 启用钩子（轻量自愈）
+     */
+    public function enable()
+    {
+        BlogSchema::ensure();
+        return true;
+    }
+
+    /**
+     * 禁用钩子
+     */
+    public function disable()
+    {
+        return true;
+    }
+
+    /**
+     * 升级钩子（覆盖升级 / addon:manage 时由框架回调）
+     *
+     * install.sql 的 ALTER 会被白名单跳过，所以老库补列补索引必须放这里。
+     *
+     * @param string $currentVersion 已安装版本号
+     */
+    public function upgrade($currentVersion = '')
+    {
+        BlogSchema::ensure();
+        // 清理已从 install.sql 移除的历史遗留表（老库升级时执行）
+        BlogSchema::dropLegacyTables();
+        return true;
+    }
+
+    /**
+     * 从 install.sql 解析插件私有表名（不含前缀）
+     */
+    private function tableNames(): array
+    {
+        $file = dirname(__DIR__) . DIRECTORY_SEPARATOR . 'install.sql';
+        if (!is_file($file)) {
+            return [];
+        }
+
+        $content = (string) file_get_contents($file);
+        preg_match_all('/CREATE TABLE IF NOT EXISTS\s+`__PREFIX__([a-z_]+)`/i', $content, $m);
+
+        return $m[1] ?? [];
+    }
+
+    /**
+     * 当前数据库表前缀
+     */
+    private function prefix(): string
+    {
+        $default = (string) config('database.default', 'mysql');
+        return (string) config("database.connections.{$default}.prefix", '');
+    }
+
+    /**
+     * 递归删除目录（卸载时清理静态资源）
+     */
+    private function deleteDirectory(string $dir): void
+    {
+        if (!is_dir($dir)) {
+            return;
+        }
+
+        $items = scandir($dir);
+        if (!is_array($items)) {
+            return;
+        }
+
+        foreach ($items as $item) {
+            if ($item === '.' || $item === '..') {
+                continue;
+            }
+            $path = $dir . DIRECTORY_SEPARATOR . $item;
+            if (is_dir($path)) {
+                $this->deleteDirectory($path);
+            } else {
+                @unlink($path);
+            }
+        }
+
+        @rmdir($dir);
+    }
 }