feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

app/backend/view/hook/index.html

@@ -0,0 +1,90 @@
+<div class="layui-fluid">
+    <div class="layui-card">
+        <div class="layui-card-header">模板钩子（共 {$total} 个埋点）</div>
+        <div class="layui-card-body">
+            <blockquote class="layui-elem-quote layui-quote-nm">
+                模板里 <code>{:hook('钩子名', $vars)}</code> 是埋点；插件用
+                <code>HookService::mount()</code> / <code>register()</code> 或监听
+                <code>HookRender</code> 事件挂内容。本页只做诊断：埋点是否存在、挂了谁。
+                <br>
+                收集型事件监听：{if $hasListener}<span class="layui-badge layui-bg-green">已注册</span>{else}<span class="layui-badge">无</span>{/if}
+                （事件方式无法枚举到具体插件，排查时优先看「已挂载」列）
+            </blockquote>
+
+            <div style="margin-bottom:12px;">
+                <button class="layui-btn layui-btn-sm {if $devOn}layui-btn-danger{else /}layui-btn-normal{/if}"
+                        id="btnDevMode" data-on="{if $devOn}0{else /}1{/if}">
+                    <i class="layui-icon layui-icon-template-1"></i>
+                    {if $devOn}关闭钩点标注{else /}开启钩点标注{/if}
+                </button>
+                <span class="layui-word-aux" style="margin-left:8px;">
+                    开启后打开任意后台页面：每个 hook() 埋点会显示蓝色虚线框 + 「⟡ 钩子名」标签（灰色「（空）」表示尚无插件挂载）。
+                    仅在本机浏览器生效（cookie），不会随前台页面暴露给访客。
+                </span>
+            </div>
+
+            <table class="layui-table" lay-skin="line">
+                <colgroup>
+                    <col width="240">
+                    <col width="240">
+                    <col>
+                </colgroup>
+                <thead>
+                    <tr>
+                        <th>钩子名</th>
+                        <th>已挂载</th>
+                        <th>埋点位置</th>
+                    </tr>
+                </thead>
+                <tbody>
+                    {empty name="rows"}
+                    <tr>
+                        <td colspan="3" style="text-align:center;">暂无埋点</td>
+                    </tr>
+                    {/empty}
+                    {volist name="rows" id="row"}
+                    <tr>
+                        <td><code>{$row.name}</code></td>
+                        <td>
+                            {empty name="row.mounts"}
+                            <span class="layui-badge">未挂载</span>
+                            {else /}
+                            {volist name="row.mounts" id="m"}
+                            <div style="margin-bottom:4px;">
+                                <span class="layui-badge layui-bg-cyan">{$m.addon ?: '核心'}</span>
+                                <span class="layui-badge layui-bg-gray">w{$m.weight}</span>
+                                <span style="font-size:12px;">{$m.target}</span>
+                            </div>
+                            {/volist}
+                            {/empty}
+                        </td>
+                        <td style="font-size:12px;color:#666;">
+                            {volist name="row.files" id="f"}
+                            <div>{$f}</div>
+                            {/volist}
+                        </td>
+                    </tr>
+                    {/volist}
+                </tbody>
+            </table>
+        </div>
+    </div>
+</div>
+<script>
+    layui.use(['jquery', 'layer', 'http'], function () {
+        var $ = layui.jquery, layer = layui.layer, http = layui.http;
+        $('#btnDevMode').on('click', function () {
+            var btn = $(this);
+            http.post('{:url("devMode")}', { on: btn.data('on') }).then(function (r) {
+                if (r && r.code === 0) {
+                    layer.msg(r.msg || '已切换', { icon: 1 });
+                    setTimeout(function () { location.reload(); }, 800);
+                } else {
+                    layer.msg((r && r.msg) || '切换失败', { icon: 2 });
+                }
+            }).catch(function (err) {
+                layer.msg('请求失败：' + (err && err.message ? err.message : '网络异常'), { icon: 2 });
+            });
+        });
+    });
+</script>