feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用

安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
  （ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）

ywxapp/service/JwtService.php

@@ -62,6 +62,41 @@ class JwtService
         $this->initConfiguration();
     }
 
+    /**
+     * HS256 密钥强度校验（线上签发前的最后一道闸）
+     *
+     * 背景：config/jwt.php 曾给过一个公开的默认值 'your-default-secret-key-change-in-production'，
+     * 而 .env.production.example 里的键名又写成了 JWT_SECRET_KEY（代码读的是 JWT_SECRET），
+     * 结果「照着生产模板部署 = 用公开密钥签发」，任何人都能伪造 isAdmin 的管理员 token。
+     * 因此这里不仅要求非空，还要求足够长、且不得命中已知弱值。
+     *
+     * @param string $secret
+     * @return string 原样返回，便于直接作为 InMemory::plainText() 入参
+     * @throws Exception
+     */
+    protected function assertStrongSecret(string $secret): string
+    {
+        if ($secret === '') {
+            throw new Exception('JWT 密钥未配置：请在 .env 中设置 JWT_SECRET（生成命令：openssl rand -base64 64），'
+                . '留空会导致所有登录/签发接口不可用（这是刻意的 fail-closed 设计）');
+        }
+        if (strlen($secret) < 32) {
+            throw new Exception('JWT 密钥强度不足（当前 ' . strlen($secret) . ' 字节，要求 ≥32）：'
+                . '请重新生成 openssl rand -base64 64');
+        }
+        $weak = [
+            'your-default-secret-key-change-in-production',
+            'changeme',
+            'secret',
+            '123456',
+            'ywxapp',
+        ];
+        if (in_array(strtolower($secret), $weak, true)) {
+            throw new Exception('JWT 密钥为公开的默认值，已被拒绝签发：请立即用 openssl rand -base64 64 重新生成');
+        }
+        return $secret;
+    }
+
     /**
      * 返回 JwtService 单例（经容器解析，便于替换/单测）。
      * @param array $options 参数（预留，当前未使用）
@@ -79,8 +114,8 @@ class JwtService
     {
         $algorithm = $this->jwtConf['algorithm'];
         if ($algorithm === 'HS256') {
-            $signer       = new Sha256();
-            $key          = InMemory::plainText($this->jwtConf['secret']);
+            $signer = new Sha256();
+            $key    = InMemory::plainText($this->assertStrongSecret((string) ($this->jwtConf['secret'] ?? '')));
             $this->config = Configuration::forSymmetricSigner($signer, $key);
         } elseif ($algorithm === 'RS256') {
             $signer     = new RsaSha256();