feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

addon/wxchat/README.md

@@ -55,6 +55,14 @@
 - **鉴权现状**：当前开发态下，所有 `controller/api/*` 控制器均声明
   `protected $noNeedLogin = ['*']; protected $noNeedVerify = ['*'];`
   即**接口全部开放**，便于联调。**上线前务必关闭开放态、开启登录与签名校验。**
+
+  > ⚠️ 上述开放态**仅允许用于前台/会员/API 控制器**（`controller/api/*`、`controller/*`）。
+  > **后台控制器（`controller/backend/*`）禁止照抄这种写法**，必须保持：
+  > `protected $noNeedLogin = []; protected $noNeedVerify = [];`
+  > 原因：`BackendBase::beforeAuth()` 已对插件后台强制清空 `noNeedLogin`（安全基线），
+  > 且插件后台权限节点的匹配规则（`wxchat:backend:控制器[/动作]`）已由 `Auth::verifyAuth()`
+  > 补齐；若后台仍写 `['*']`，任何已登录管理员都能绕过角色权限直接调用后台接口。
+  > 插件后台需要的操作权限，应通过 `menu.json` 注册节点后在「管理角色」里授权。
 - **Token**：登录成功后由会员体系 `TokenService` 下发，后续需鉴权的请求在请求头携带该 Token。
 
 ---

addon/wxchat/controller/backend/WxchatAuth.php

@@ -20,9 +20,9 @@ use ywxapp\controller\BackendBase;
  */
 class WxchatAuth extends BackendBase
 {
-    // 插件后台按框架惯例放宽登录校验（与 mqttbroker 等插件后台一致）
+    // 插件后台按框架惯例放宽登录校验（与 iot 等插件后台一致）
 
-    protected $noNeedVerify = ['*'];
+    protected $noNeedVerify = [];
 
     
     protected function initialize() {}

addon/wxchat/controller/backend/WxchatRoom.php

@@ -22,9 +22,9 @@ use ywxapp\controller\BackendBase;
  */
 class WxchatRoom extends BackendBase
 {
-    // 插件后台按框架惯例放宽登录校验（与 mqttbroker 等插件后台一致）
+    // 插件后台按框架惯例放宽登录校验（与 iot 等插件后台一致）
 
-    protected $noNeedVerify = ['*'];
+    protected $noNeedVerify = [];
 
     
     protected function initialize() {}

addon/wxchat/controller/backend/WxchatTask.php

@@ -21,9 +21,9 @@ use ywxapp\controller\BackendBase;
  */
 class WxchatTask extends BackendBase
 {
-    // 插件后台按框架惯例放宽登录校验（与 mqttbroker 等插件后台一致）
+    // 插件后台按框架惯例放宽登录校验（与 iot 等插件后台一致）
 
-    protected $noNeedVerify = ['*'];
+    protected $noNeedVerify = [];
 
     
     protected function initialize() {}

addon/wxchat/view/backend/wxchatauth/index.html

@@ -80,7 +80,7 @@
 </script>
 
 <script>
-layui.use(['table','form','layer','laytpl','http'], function(){
+layui.use(['table','form','layer','laytpl','http', 'ywxapp'], function(){
     var table = layui.table, form = layui.form, layer = layui.layer, laytpl = layui.laytpl, $ = layui.$, http = layui.http;
     var base = '/wxchat/backend/auth';
 

addon/wxchat/view/backend/wxchatroom/index.html

@@ -91,7 +91,7 @@
 </script>
 
 <script>
-layui.use(['table','form','layer','laytpl','util','http'], function(){
+layui.use(['table','form','layer','laytpl','util','http', 'ywxapp'], function(){
     var table = layui.table, form = layui.form, layer = layui.layer, laytpl = layui.laytpl, util = layui.util, $ = layui.$, http = layui.http;
     var base = '/wxchat/backend/room';
 

addon/wxchat/view/backend/wxchattask/index.html

@@ -76,7 +76,7 @@
 </script>
 
 <script>
-layui.use(['table','form','layer','laytpl','http'], function(){
+layui.use(['table','form','layer','laytpl','http', 'ywxapp'], function(){
     var table = layui.table, form = layui.form, layer = layui.layer, laytpl = layui.laytpl, $ = layui.$, http = layui.http;
     var base = '/wxchat/backend/task';