feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

ywxapp/model/BackendAdmin.php

@@ -143,6 +143,18 @@ class BackendAdmin extends BaseModel
     //     return '/static/common/images/avatar.jpg';
     // }
 
+    /**
+     * 是否 is_super 标记的超管（backend_admin.is_super = 1）
+     *
+     * 兜底场景：角色数据（backend_role / backend_role_access）被清空时，
+     * 仅按角色判定会让超管账号登录后菜单与权限全空、后台完全不可用，
+     * 因此这里同时认可 is_super 字段（与角色判定是「或」关系）。
+     */
+    protected function isSuperFlag(): bool
+    {
+        return (int) ($this->getData('is_super') ?? 0) === 1;
+    }
+
     /**
      * 获取用户有权访问的菜单树
      */
@@ -153,9 +165,12 @@ class BackendAdmin extends BaseModel
 
         // 超级管理员：直接可见全部后台菜单（与 getPermissionNames 的 * 语义保持一致）
         $superRoleId = config('ywxapp.superAdmin', 1);
-        if (in_array('superadmin', $roleNames, true) || in_array($superRoleId, $roleIds, true)) {
+        if ($this->isSuperFlag()
+            || in_array('superadmin', $roleNames, true)
+            || in_array($superRoleId, $roleIds, true)) {
+            // type: 1目录 2菜单 5分组标题（组内小标题，不可点击）
             $flatMenus = BackendPower::field('id,title,name,pid,sort,route,icon,type,addon')
-                ->where('type', '<', '3')
+                ->whereIn('type', [1, 2, BackendPower::TYPE_GROUP_TITLE])
                 ->order('sort', 'asc')
                 ->select()
                 ->toArray();
@@ -177,7 +192,8 @@ class BackendAdmin extends BaseModel
         }
         $flatMenus = BackendPower::field('id,title,name,pid,sort,route,icon,type,addon')
             ->whereIn('id', array_values($permissions))
-            ->where('type', '<', '3') // 只获取菜单权限
+            // 只获取菜单权限（含 type=5 分组标题，缺了它侧边栏就少一行分组名）
+            ->whereIn('type', [1, 2, BackendPower::TYPE_GROUP_TITLE])
             ->order('sort', 'asc')
             ->select()
             ->toArray();
@@ -216,6 +232,11 @@ class BackendAdmin extends BaseModel
      */
     public function getPermissionNames()
     {
+        // is_super=1 的账号即使没有角色关联也拥有全部权限（兜底同上）
+        if ($this->isSuperFlag()) {
+            return ['*'];
+        }
+
         $roleIds = $this->roles->column('id');
         if (empty($roleIds)) {
             return [];