feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

addon/blog/controller/Article.php

@@ -93,21 +93,28 @@ class Article extends BlogFrontend
      */
     public function detail($id)
     {
+        // 详情页必须校验审核状态，否则待审/驳回文章可通过直接访问 URL 打开
         $article = ArticleModel::with(['user', 'category', 'tags'])
             ->where('id', $id)
             ->where('status', 1)
+            ->where('audit_status', 2)
             ->find();
             
         if (!$article) {
-            return $this->error('文章不存在或已被删除');
+            // 软 404 会被搜索引擎收录：显式返回 HTTP 404
+            return $this->result->setStatusCode(404)->error('文章不存在或已被删除', 404);
+        }
+
+        // 浏览量去重：同一访客（IP + UA）24 小时内同一篇只计一次，避免刷新刷量
+        if (!$this->viewed((int) $article->id)) {
+            $article->view_count += 1;
+            $article->save();
         }
         
-        $article->view_count += 1;
-        $article->save();
-        
+        // 注意：BlogComment 只定义了 user()（无 member()），写 'member' 会 Call to undefined method
         $comments = CommentModel::with([
-                'member',
-                'children' => 
+                'user',
+                'children' =>
                 function ($q) {
                     $q->with(['user'])->where('status', 1)->order('create_at', 'asc');
                 },
@@ -238,6 +245,12 @@ class Article extends BlogFrontend
                 'id' => $comment->id,
                 'content' => $comment->content,
                 'create_at' => date('Y-m-d H:i', $comment->create_at),
+                // 前端渲染取 d.user.*，键名必须一致（原先返回 member）
+                'user' => [
+                    'uid' => $comment->user->uid,
+                    'nickname' => $comment->user->nickname,
+                    'avatar' => $comment->user->avatar ?? '/static/images/avatar.png'
+                ],
                 'member' => [
                     'uid' => $comment->user->uid,
                     'nickname' => $comment->user->nickname,
@@ -287,6 +300,7 @@ class Article extends BlogFrontend
         $articles = ArticleModel::with(['user', 'category', 'tags'])
             ->where('uid', $id)
             ->where('status', 1)
+            ->where('audit_status', 2)
             ->order('create_at', 'desc')
             ->paginate(10);
 
@@ -298,4 +312,22 @@ class Article extends BlogFrontend
             'articles'    => $articles,
         ]);
     }
+
+    /**
+     * 浏览量去重判定（true = 24 小时内同一访客已计过）
+     */
+    private function viewed(int $articleId): bool
+    {
+        $fingerprint = md5(
+            (string) $this->request->ip() . '|' . (string) $this->request->header('user-agent', '')
+        );
+        $key = 'blog_view:' . $articleId . ':' . $fingerprint;
+
+        if (\think\facade\Cache::get($key, 0)) {
+            return true;
+        }
+
+        \think\facade\Cache::set($key, 1, 86400);
+        return false;
+    }
 }