feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

addon/blog/controller/backend/Setting.php

@@ -32,7 +32,7 @@ class Setting extends BackendBase
      * Summary of needRight
      * @var array
      */
-    protected $noNeedVerify = ['*'];
+    protected $noNeedVerify = [];
 
     /**
      * 控制器初始化 _initialize
@@ -46,10 +46,11 @@ class Setting extends BackendBase
      */
     public function index()
     {
+        // 配置改存统一插件配置表（不再读写 PHP 配置文件，避免任意代码写入）
         $settings = [
-            'site' => Config::get('site'),
-            'seo' => Config::get('seo'),
-            'email' => Config::get('email'),
+            'site'   => $this->getConfig('site'),
+            'seo'    => $this->getConfig('seo'),
+            'email'  => $this->getConfig('email'),
             'upload' => Config::get('upload')
         ];
         
@@ -67,7 +68,7 @@ class Setting extends BackendBase
             return json(['code' => 1, 'msg' => '基本设置已保存']);
         }
         
-        $settings = Config::get('site');
+        $settings = $this->getConfig('site');
         return View::fetch('setting/site', ['settings' => $settings]);
     }
 
@@ -82,7 +83,7 @@ class Setting extends BackendBase
             return json(['code' => 1, 'msg' => 'SEO设置已保存']);
         }
         
-        $settings = Config::get('seo');
+        $settings = $this->getConfig('seo');
         return View::fetch('setting/seo', ['settings' => $settings]);
     }
 
@@ -97,21 +98,70 @@ class Setting extends BackendBase
             return json(['code' => 1, 'msg' => '邮件设置已保存']);
         }
         
-        $settings = Config::get('email');
+        $settings = $this->getConfig('email');
         return View::fetch('setting/email', ['settings' => $settings]);
     }
 
     /**
      * 保存配置
      */
+    /**
+     * 保存配置到统一插件配置表
+     *
+     * 之前的实现把 Request::post() 整个 var_export 写进 config/*.php，
+     * 等于允许任意 PHP 代码写入（RCE），且 app_path() 在插件上下文指向不存在的目录
+     * （写入静默失败）。改为走 AddonService::config() 存库。
+     */
     private function saveConfig($key, $data)
     {
-        $configFile = app_path() . 'config/' . $key . '.php';
-        $content = "<?php\nreturn " . var_export($data, true) . ";\n";
-        file_put_contents($configFile, $content);
-        
-        // 清除配置缓存
-        Config::set([], $key);
-        Cache::delete('config_' . $key);
+        // 分组白名单
+        if (!in_array($key, ['site', 'seo', 'email'], true)) {
+            return;
+        }
+
+        // 只接受标量值，键名做安全校验（防注入与数组嵌套）
+        $clean = [];
+        foreach ((array) $data as $k => $v) {
+            $k = (string) $k;
+            if (!preg_match('/^[a-zA-Z0-9_]+$/', $k)) {
+                continue;
+            }
+            if (is_scalar($v)) {
+                $clean[$k] = (string) $v;
+            } elseif (is_array($v)) {
+                $clean[$k] = json_encode($v, JSON_UNESCAPED_UNICODE);
+            }
+        }
+
+        if (empty($clean)) {
+            return;
+        }
+
+        // 以 "<分组>.<字段>" 形式存到插件配置表
+        $prefixed = [];
+        foreach ($clean as $k => $v) {
+            $prefixed[$key . '.' . $k] = $v;
+        }
+
+        \ywxapp\service\AddonService::config('blog', $prefixed);
+        \ywxapp\service\AddonService::clearConfigCache('blog');
+    }
+
+    /**
+     * 读取某分组的配置（从插件配置表还原为不带前缀的数组）
+     */
+    private function getConfig($key)
+    {
+        $all    = \ywxapp\service\AddonService::config('blog');
+        $prefix = $key . '.';
+        $out    = [];
+
+        foreach ((array) $all as $k => $v) {
+            if (strpos((string) $k, $prefix) === 0) {
+                $out[substr((string) $k, strlen($prefix))] = $v;
+            }
+        }
+
+        return $out;
     }
 }