feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

addon/blog/view/frontend/article/detail.html

@@ -1,5 +1,9 @@
 {extend name="layout" /}
 {block name="title"}{$article.title} - {$siteConf.site_name|default='博客'}{/block}
+{* 文章级 SEO：关键词 / 描述 / 规范链接（canonical 指向本文唯一地址） *}
+{block name="keywords"}{$article.title},{$article.category.name|default=''}{/block}
+{block name="description"}{$article.summary|default=''}{/block}
+{block name="canonical"}{:url('blog/article/detail', ['id' => $article.id])}{/block}
 
 {block name="content"}
 <div class="fb-layout">
@@ -133,6 +137,13 @@ layui.use(['layer', 'jquery'], function(){
         $(this).hide();
         $('#LAY-msg-content').attr('placeholder', '既然来了,就说几句吧').val('');
     });
+    // HTML 转义：评论内容/昵称来自用户输入，直接拼接进 HTML 会形成 DOM XSS
+    function esc(s) {
+      return String(s == null ? '' : s).replace(/[&<>"']/g, function (c) {
+        return { '&': '&amp;', '<': '&lt;', '>': '&gt;', '"': '&quot;', "'": '&#39;' }[c];
+      });
+    }
+
     $('#item-btn').on('click', function(){
         var content = $('#LAY-msg-content').val();
         if(content.replace(/\s/g,'')==''){ layer.msg('请先输入留言内容'); return; }
@@ -141,10 +152,10 @@ layui.use(['layer', 'jquery'], function(){
                 var d = res.data;
                 var avatar = d.user.avatar || '/static/blog/img/portrait.jpg';
                 if(replyTo > 0){
-                    var html = '<li data-id="'+d.id+'"><img src="'+avatar+'"><div class="ci-body"><p style="margin:0;"><span class="ci-name">'+d.user.nickname+'</span><span class="ci-time">'+d.create_text+'</span> <span class="ci-reply" data-id="'+replyTo+'" data-name="'+d.user.nickname+'">回复</span></p><p class="ci-text">'+d.content+'</p></div></li>';
+                    var html = '<li data-id="'+esc(d.id)+'"><img src="'+esc(avatar)+'"><div class="ci-body"><p style="margin:0;"><span class="ci-name">'+esc(d.user.nickname)+'</span><span class="ci-time">'+esc(d.create_text)+'</span> <span class="ci-reply" data-id="'+esc(replyTo)+'" data-name="'+esc(d.user.nickname)+'">回复</span></p><p class="ci-text">'+esc(d.content)+'</p></div></li>';
                     $('.fb-cmt-item[data-id="'+replyTo+'"] > .ci-body > .fb-cmt-children').prepend(html);
                 } else {
-                    var html = '<li class="fb-cmt-item" data-id="'+d.id+'"><img src="'+avatar+'"><div class="ci-body"><p style="margin:0;"><span class="ci-name">'+d.user.nickname+'</span><span class="ci-time">'+d.create_text+'</span> <span class="ci-reply" data-id="'+d.id+'" data-name="'+d.user.nickname+'">回复</span></p><p class="ci-text">'+d.content+'</p><ul class="fb-cmt-children"></ul></div></li>';
+                    var html = '<li class="fb-cmt-item" data-id="'+esc(d.id)+'"><img src="'+esc(avatar)+'"><div class="ci-body"><p style="margin:0;"><span class="ci-name">'+esc(d.user.nickname)+'</span><span class="ci-time">'+esc(d.create_text)+'</span> <span class="ci-reply" data-id="'+esc(d.id)+'" data-name="'+esc(d.user.nickname)+'">回复</span></p><p class="ci-text">'+esc(d.content)+'</p><ul class="fb-cmt-children"></ul></div></li>';
                     $('#LAY-msg-box').prepend(html);
                 }
                 $('#LAY-msg-content').val('');