feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

addon/haonav/controller/trait/SitemapTrait.php

@@ -0,0 +1,68 @@
+<?php
+declare(strict_types=1);
+
+namespace addon\haonav\controller\trait;
+
+use think\facade\Cache;
+use think\Response;
+use addon\haonav\model\Links as LinksModel;
+use addon\haonav\model\Category as CategoryModel;
+
+/**
+ * SEO 站点地图（缓存 1 小时）
+ */
+trait SitemapTrait
+{
+    /**
+     * 站点地图（SEO）
+     * /haonav/sitemap.xml 输出标准 sitemap 协议 XML：
+     * 首页/排行/投稿 + 全部启用分类页 + 全部启用链接详情页；缓存 1 小时。
+     */
+    public function sitemap()
+    {
+        $domain = $this->request->domain();
+        $cacheKey = 'haonav_sitemap_' . md5($domain);
+        $xml = Cache::get($cacheKey);
+        if (! $xml) {
+            $urls = [
+                ['loc' => $domain . '/haonav/index.html',  'priority' => '1.0', 'changefreq' => 'daily'],
+                ['loc' => $domain . '/haonav/rank.html',   'priority' => '0.8', 'changefreq' => 'daily'],
+                ['loc' => $domain . '/haonav/apply.html', 'priority' => '0.5', 'changefreq' => 'monthly'],
+            ];
+            $cates = CategoryModel::where('status', 1)->field('id,update_at')->select();
+            foreach ($cates as $c) {
+                $urls[] = [
+                    'loc'        => $domain . '/haonav/category/' . $c->id . '.html',
+                    'priority'   => '0.8',
+                    'changefreq' => 'weekly',
+                    'lastmod'    => $c->update_at ? date('Y-m-d', strtotime((string)$c->update_at)) : '',
+                ];
+            }
+            $links = LinksModel::where('status', 1)->field('id,update_at')->order('id', 'asc')->limit(5000)->select();
+            foreach ($links as $l) {
+                $urls[] = [
+                    'loc'        => $domain . '/haonav/site/' . $l->id . '.html',
+                    'priority'   => '0.6',
+                    'changefreq' => 'weekly',
+                    'lastmod'    => $l->update_at ? date('Y-m-d', strtotime((string)$l->update_at)) : '',
+                ];
+            }
+            $xml = '<?xml version="1.0" encoding="UTF-8"?>' . "\n"
+                . '<urlset xmlns="http://www.sitemaps.org/schemas/sitemap/0.9">' . "\n";
+            foreach ($urls as $u) {
+                $xml .= "  <url>\n    <loc>" . htmlspecialchars($u['loc']) . "</loc>\n";
+                if (! empty($u['lastmod'])) {
+                    $xml .= '    <lastmod>' . $u['lastmod'] . "</lastmod>\n";
+                }
+                $xml .= '    <changefreq>' . $u['changefreq'] . "</changefreq>\n"
+                    . '    <priority>' . $u['priority'] . "</priority>\n  </url>\n";
+            }
+            $xml .= '</urlset>';
+            Cache::set($cacheKey, $xml, 3600);
+        }
+        return Response::create($xml)->header([
+            'Content-Type'  => 'application/xml; charset=utf-8',
+            'Cache-Control' => 'public, max-age=3600',
+        ]);
+    }
+}