feat(config): 涉密内容外置到配置目录（档案 140）

把散落在代码里的真实部署值统一收进 config/，代码改为引用配置，
使仓库副本/开源导出不再带出生产域名、IP、内网路径与凭据。

新增 config/：platform.env.example（模板）· load.sh（shell 加载器）·
index.cjs（node 加载器）· README.md（键一览与优先级）。
真实值放 config/platform.env —— 已 .gitignore 排除，不入库、不进导出。

TS 侧新增 src/platform-paths.ts 作部署路径的唯一解析处（零副作用）：
platformDir/stateDir/backupDir/artifactDir/installDir/scriptPath。
config.ts 接入这些字段；内置中继种子由生产 URL 改为空（改由
DSHS_OVERLAY_BOOTSTRAP_SEEDS 提供）。修掉 5 处硬编码绝对路径，
src/** 注释中性化 116 行/53 文件。

scripts/** 36 个内部运维脚本：真令牌/PG 口令/隧道目标/主机号/路径
一律改从配置取；web/wake.html 的注册域白名单改为运行时从
location.hostname 推导；test/** 夹具 119 行/13 文件改 RFC 2606/5737
保留值，并把「内置种子必须为空」固化为回归断言。

取证：tsc 0 错；npm test 373/375（唯一失败 lease 属既有）；
全仓扫描（大小写不敏感）代码面涉密标识 = 0；已部署 47 并零回归
（/opt/dsh/* 未搬家，/var/lib/dshs/platform 未被误建）。

scripts/gen-capabilities.cjs

@@ -1,11 +1,12 @@
 #!/usr/bin/env node
+const cfg = require('../config/index.cjs')
 /**
  * gen-capabilities.cjs —— 生成「实例能力清单」（档案 56）
  *
  * 解决什么：agent 每开新会话都要**现场试一遍**才能知道能做什么（实测同一批探测重复 3 轮，
  * 撞同样 4 类墙：/etc 白名单、127.0.0.1 被 SSRF 拒、技能不存在、写边界），用户也跟着反复问
  * "能力有变化吗"。本脚本把**平台事实**固化成两份同源产物：
- *   ① /opt/dsh/state/capabilities.json      —— 给平台 API / 门户（机读）
+ *   ① <platform-dir>/state/capabilities.json      —— 给平台 API / 门户（机读）
  *   ② <bundled-skill-dir>/platform-capabilities/SKILL.md —— 给实例内 agent（它可被 skill 机制加载）
  *
  * 用法：node scripts/gen-capabilities.cjs            # 生成
@@ -17,10 +18,10 @@ const { execFileSync } = require('node:child_process')
 const { existsSync, mkdirSync, readdirSync, statSync, writeFileSync } = require('node:fs')
 const { join } = require('node:path')
 
-const STATE = process.env.DSH_STATE_DIR ?? '/opt/dsh/state'
+const STATE = cfg.stateDir()
 const OUT_JSON = join(STATE, 'capabilities.json')
-const BUNDLED = process.env.DSH_BUNDLED_SKILL_DIR ?? '/var/lib/dshs/bundled-skills'
-const USERS = process.env.DSH_USERS_DIR ?? '/var/lib/dshs/users'
+const BUNDLED = cfg.bundledSkillsDir()
+const USERS = cfg.usersDir()
 const PERMISSION_MODE = process.env.DSH_PERMISSION_MODE ?? 'danger-full-access'
 
 const run = (cmd, args) => {
@@ -96,7 +97,7 @@ const capabilities = {
   },
   fileDelivery: {
     hint: '把产出交给用户时：**用工作区相对路径**（如 `报告.md`），并提示「点会话页右下角『我的文件』可查看/下载」。',
-    avoid: ['不要给 `/var/lib/dshs/users/...` 这类服务器绝对路径', '不要给 127.0.0.1:<port> 链接（用户浏览器打不开）'],
+    avoid: ['不要给服务器绝对路径', '不要给 127.0.0.1:<port> 链接（用户浏览器打不开）'],
     howToShare: '用户在会话页右下角「我的文件」面板里可浏览工作区并下载任意文件（平台代理，不暴露宿主路径）。',
   },
 }