feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

docs/guide/database_table_admin.md

@@ -0,0 +1,57 @@
+# 数据表管理（可视化建表）
+
+系统管理 → **数据表管理**（`/admin/datatable/index`）。和「数据库备份」是两件事：
+那边管数据（备份 / 还原），这边管结构（建表 / 看结构 / 优化 / 删表）。
+
+## 能做什么
+
+| 功能 | 入口 | 说明 |
+|------|------|------|
+| 表列表 | 页面表格 | 表名、备注、引擎、行数、大小、字符集；支持关键字搜索与分页 |
+| 新建表 | 顶部「新建表」 | 可视化字段设计 → **生成 SQL 预览** → 确认后执行 |
+| 查看结构 | 行内「结构」 | 字段（类型 / 可空 / 默认值 / 键 / 注释）+ 完整建表语句，可复制 |
+| 优化表 | 行内「优化」/ 顶部「优化选中」 | `OPTIMIZE TABLE` |
+| 删除表 | 行内「删除」 | 需手动输入表全名二次确认；核心表直接禁止 |
+
+建表成功后页面会给出下一步命令：
+
+```bash
+php think addon:crud <插件> -t <表名，不含前缀>
+```
+
+## 字段表单说明
+
+每行一个字段：字段名、类型、长度 / 精度、默认值、注释，以及
+无符号 / 可空 / 自增 / 主键 / 索引（无 / 普通 / 唯一）五个开关。
+
+- 类型走白名单（21 种常用类型），整型不输出显示宽度（MySQL 8 已废弃）；
+- `varchar` 默认长度 255、`decimal` 默认 `10,2`；
+- 默认值 `NULL`、`CURRENT_TIMESTAMP`、数字字面量不加引号，其余按字符串处理；
+- 自增字段必须同时是主键，且只能有一个（MySQL 硬性约束，表单提交前就拦下）。
+
+## 安全约束
+
+DDL 不可逆，这里比普通 CRUD 保守得多：
+
+1. **白名单拼装**：表名、字段名、类型、长度、引擎、字符集、排序规则全部白名单校验，
+   用户输入的字符串一个字符都不会进入 SQL 语法结构；注释与默认值只做转义。
+2. **只新建，不覆盖**：表已存在直接中止，绝不做 `DROP + CREATE`。
+3. **删表双重闸**：必须回传与表名完全一致的确认串；`backend_admin` /
+   `backend_power` / `backend_role` / `backend_group` / `backend_log` /
+   `backend_menu` 列入保护名单，拒绝删除。
+4. **全程留痕**：建表（含失败）、删表、优化都写 `backend_log`，
+   在「操作日志」里按 `datatable/create`、`datatable/drop` 可查。
+
+## 权限节点
+
+`datatable:index | create | structure | optimize | drop`，与菜单一同在首次访问时
+由 `MenuRegistry`（`app/backend/library/MenuRegistry.php`）自动补录，无需手工加节点。
+
+## 相关文件
+
+| 文件 | 作用 |
+|------|------|
+| `app/backend/controller/Datatable.php` | 控制器：列表 / 结构 / 预览 / 建表 / 删表 / 优化 |
+| `app/backend/view/datatable/index.html` | 列表页 + 建表弹窗 + 结构弹窗模板 |
+| `public/static/backend/modules/datatable.js` | 表格渲染、字段行增删、SQL 预览与执行 |
+| `app/backend/route/app.php` | `Route::group('datatable', ...)` |