feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

addon/iot/view/backend/admin/index.html

@@ -0,0 +1,101 @@
+
+<div class="layui-container">
+    <div class="admin-title">MQTT 运行概览
+        <span class="layui-badge layui-bg-blue" id="live" style="margin-left:10px;">实时</span>
+        <span style="float:right;color:#999;font-size:12px;">最后刷新：<span id="lastSync">--</span></span>
+    </div>
+
+    <div class="layui-row layui-col-space15">
+        <div class="layui-col-md3">
+            <div class="layui-card"><div class="layui-card-header">在线连接</div>
+                <div class="layui-card-body" style="font-size:30px;font-weight:bold;color:#1E9FFF;" id="m_online">0</div></div>
+        </div>
+        <div class="layui-col-md3">
+            <div class="layui-card"><div class="layui-card-header">会话总数</div>
+                <div class="layui-card-body" style="font-size:30px;font-weight:bold;" id="m_total">0</div></div>
+        </div>
+        <div class="layui-col-md3">
+            <div class="layui-card"><div class="layui-card-header">订阅关系</div>
+                <div class="layui-card-body" style="font-size:30px;font-weight:bold;color:#16a34a;" id="m_subs">0</div></div>
+        </div>
+        <div class="layui-col-md3">
+            <div class="layui-card"><div class="layui-card-header">运行时长</div>
+                <div class="layui-card-body" style="font-size:30px;font-weight:bold;" id="m_uptime">00:00:00</div></div>
+        </div>
+    </div>
+
+    <div class="layui-row layui-col-space15">
+        <div class="layui-col-md3">
+            <div class="layui-card"><div class="layui-card-header">累计接收</div>
+                <div class="layui-card-body" style="font-size:26px;font-weight:bold;" id="m_recv">0</div></div>
+        </div>
+        <div class="layui-col-md3">
+            <div class="layui-card"><div class="layui-card-header">累计发送</div>
+                <div class="layui-card-body" style="font-size:26px;font-weight:bold;" id="m_sent">0</div></div>
+        </div>
+        <div class="layui-col-md3">
+            <div class="layui-card"><div class="layui-card-header">保留消息</div>
+                <div class="layui-card-body" style="font-size:26px;font-weight:bold;" id="m_retained">0</div></div>
+        </div>
+        <div class="layui-col-md3">
+            <div class="layui-card"><div class="layui-card-header">快照时间</div>
+                <div class="layui-card-body" style="font-size:18px;" id="m_ts">--</div></div>
+        </div>
+    </div>
+
+    <div class="admin-title">最近消息</div>
+    <table id="recentTable" lay-filter="recentTable"></table>
+
+    <div class="layui-text" style="margin-top:15px;color:#999;">
+        指标由 Broker 进程每 2 秒写入数据库，本页每 3 秒轮询刷新（跨进程安全，Windows 调试与 Linux 生产通用）。
+        若长时间显示 0，请确认 Broker 已启动：<code>php think iot start -d</code>（需在命令行运行常驻进程）。
+    </div>
+</div>
+
+<script>
+layui.use(['jquery', 'table'], function(){
+    var $ = layui.jquery, table = layui.table;
+    var recent = {$recentJson|raw};
+    function esc(s){ return String(s==null?'':s).replace(/&/g,'&amp;').replace(/"/g,'&quot;').replace(/</g,'&lt;'); }
+    function fmtTime(ts){ if(!ts){return '—';} var d=new Date(Number(ts)*1000),p=function(n){return (n<10?'0':'')+n;}; return d.getFullYear()+'-'+p(d.getMonth()+1)+'-'+p(d.getDate())+' '+p(d.getHours())+':'+p(d.getMinutes())+':'+p(d.getSeconds()); }
+
+    table.render({
+        elem: '#recentTable',
+        data: recent || [],
+        page: false,
+        limit: 10,
+        cols: [[
+            { field: 'id', title: 'ID', width: 80, align: 'center' },
+            { field: 'topic', title: '主题', minWidth: 180, templet: function (d) { return esc(d.topic); } },
+            { field: 'source', title: '来源', width: 100, templet: function (d) { return esc(d.source); } },
+            { field: 'payload', title: '内容', minWidth: 300, templet: function (d) { return esc(d.payload); } },
+            { field: 'create_at', title: '时间', width: 170, templet: function (d) { return fmtTime(d.create_at); } }
+        ]]
+    });
+
+    function fmtUptime(s){
+        s = parseInt(s||0);
+        var h = Math.floor(s/3600), m = Math.floor((s%3600)/60), ss = s%60;
+        var p = function(n){ return (n<10?'0':'')+n; };
+        return p(h)+':'+p(m)+':'+p(ss);
+    }
+    function load(){
+        $.getJSON('/iot/backend/statsData', function(res){
+            if (res.code !== 0 || !res.data) return;
+            var d = res.data;
+            $('#m_online').text(d.db_online != null ? d.db_online : d.clients_online);
+            $('#m_total').text(d.clients_total);
+            $('#m_subs').text(d.subscriptions);
+            $('#m_uptime').text(fmtUptime(d.uptime));
+            $('#m_recv').text(d.messages_received);
+            $('#m_sent').text(d.messages_sent);
+            $('#m_retained').text(d.retained);
+            $('#m_ts').text(new Date((d.timestamp||0)*1000).toLocaleString());
+            $('#lastSync').text(new Date().toLocaleTimeString());
+            $('#live').text('实时●');
+        }).fail(function(){ $('#live').text('断开'); });
+    }
+    load();
+    setInterval(load, 3000);
+});
+</script>