feat(config): 涉密内容外置到配置目录（档案 140）

把散落在代码里的真实部署值统一收进 config/，代码改为引用配置，
使仓库副本/开源导出不再带出生产域名、IP、内网路径与凭据。

新增 config/：platform.env.example（模板）· load.sh（shell 加载器）·
index.cjs（node 加载器）· README.md（键一览与优先级）。
真实值放 config/platform.env —— 已 .gitignore 排除，不入库、不进导出。

TS 侧新增 src/platform-paths.ts 作部署路径的唯一解析处（零副作用）：
platformDir/stateDir/backupDir/artifactDir/installDir/scriptPath。
config.ts 接入这些字段；内置中继种子由生产 URL 改为空（改由
DSHS_OVERLAY_BOOTSTRAP_SEEDS 提供）。修掉 5 处硬编码绝对路径，
src/** 注释中性化 116 行/53 文件。

scripts/** 36 个内部运维脚本：真令牌/PG 口令/隧道目标/主机号/路径
一律改从配置取；web/wake.html 的注册域白名单改为运行时从
location.hostname 推导；test/** 夹具 119 行/13 文件改 RFC 2606/5737
保留值，并把「内置种子必须为空」固化为回归断言。

取证：tsc 0 错；npm test 373/375（唯一失败 lease 属既有）；
全仓扫描（大小写不敏感）代码面涉密标识 = 0；已部署 47 并零回归
（/opt/dsh/* 未搬家，/var/lib/dshs/platform 未被误建）。

scripts/switch-B1-key.sh

@@ -1,4 +1,5 @@
 #!/usr/bin/env bash
+. "$(cd "$(dirname "$0")/.." && pwd)/config/load.sh"
 # B1 步（在 47 上跑）：uid 保真校验 + 建 47→106 专用密钥并打印公钥
 set -uo pipefail
 KEY=/root/.ssh/dshworker_ed25519
@@ -6,16 +7,16 @@ KEY=/root/.ssh/dshworker_ed25519
 echo "=== 1) uid 保真校验（PG 与 SQLite 必须一致 —— 否则 106 上文件属主全错） ==="
 echo -n "  PG     : "; PGPASSWORD=dshs_cluster_2026 /usr/bin/psql -h 127.0.0.1 -p 15432 -U dshs -d dshs -tAc \
   "select string_agg(username||'='||coalesce(uid::text,'NULL'), ' ' order by row_id) from users" 2>&1 | head -1
-echo -n "  SQLite : "; node -e 'const D=require("better-sqlite3");const db=new D("/var/lib/dshs/dshs.db",{readonly:true});console.log(db.prepare("select username, uid from users order by rowid").all().map(u=>u.username+"="+u.uid).join(" "))'
+echo -n "  SQLite : "; node -e 'const D=require("better-sqlite3");const db=new D("'"$DSHS_DATA_ROOT"'/dshs.db",{readonly:true});console.log(db.prepare("select username, uid from users order by rowid").all().map(u=>u.username+"="+u.uid).join(" "))'
 echo "  --- 磁盘目录属主（与 uid 对照；多出的 5 个是已删用户孤儿目录） ---"
-for d in /var/lib/dshs/users/*/; do printf "    %-38s uid=%s\n" "$(basename "$d")" "$(stat -c %u "$d")"; done
+for d in "$DSHS_DATA_ROOT"/users/*/; do printf "    %-38s uid=%s\n" "$(basename "$d")" "$(stat -c %u "$d")"; done
 
 echo "=== 2) 建 47→106 专用密钥（仅用于 rsync） ==="
 [ -f "$KEY" ] || ssh-keygen -t ed25519 -N "" -C "dshs-rsync-47to106" -f "$KEY" >/dev/null 2>&1
 echo "  PUBKEY=$(cat "$KEY.pub")"
 
 echo "=== 3) 试连通 106:22 ==="
-if ssh -i "$KEY" -o BatchMode=yes -o StrictHostKeyChecking=accept-new -o ConnectTimeout=8 root@106.54.21.172 'echo ok' 2>/dev/null | grep -q ok; then
+if ssh -i "$KEY" -o BatchMode=yes -o StrictHostKeyChecking=accept-new -o ConnectTimeout=8 root@"$DSH_PEER_PUBLIC_IP" 'echo ok' 2>/dev/null | grep -q ok; then
   echo "  ✓ 已可连通（公钥已装）"
 else
   echo "  ⏳ 尚不可连通 —— 需先把我本机把这个公钥装到 106"