feat(config): 涉密内容外置到配置目录（档案 140）

把散落在代码里的真实部署值统一收进 config/，代码改为引用配置，
使仓库副本/开源导出不再带出生产域名、IP、内网路径与凭据。

新增 config/：platform.env.example（模板）· load.sh（shell 加载器）·
index.cjs（node 加载器）· README.md（键一览与优先级）。
真实值放 config/platform.env —— 已 .gitignore 排除，不入库、不进导出。

TS 侧新增 src/platform-paths.ts 作部署路径的唯一解析处（零副作用）：
platformDir/stateDir/backupDir/artifactDir/installDir/scriptPath。
config.ts 接入这些字段；内置中继种子由生产 URL 改为空（改由
DSHS_OVERLAY_BOOTSTRAP_SEEDS 提供）。修掉 5 处硬编码绝对路径，
src/** 注释中性化 116 行/53 文件。

scripts/** 36 个内部运维脚本：真令牌/PG 口令/隧道目标/主机号/路径
一律改从配置取；web/wake.html 的注册域白名单改为运行时从
location.hostname 推导；test/** 夹具 119 行/13 文件改 RFC 2606/5737
保留值，并把「内置种子必须为空」固化为回归断言。

取证：tsc 0 错；npm test 373/375（唯一失败 lease 属既有）；
全仓扫描（大小写不敏感）代码面涉密标识 = 0；已部署 47 并零回归
（/opt/dsh/* 未搬家，/var/lib/dshs/platform 未被误建）。

scripts/overlay-keyring.cjs

@@ -26,9 +26,9 @@
  * node scripts/overlay-keyring.cjs init-signer   --key /etc/dshs/overlay-signer-key.pem
  * node scripts/overlay-keyring.cjs sign-signerset --root-key <pem> --signers <pubhex,…> --network ops --out <json>
  * node scripts/overlay-keyring.cjs init-node     --key /etc/dshs/node.key
- * node scripts/overlay-keyring.cjs issue-grant   --signer-key <pem> --network ops --host w-106 --node-key <file|hex> --out <json>
+ * node scripts/overlay-keyring.cjs issue-grant   --signer-key <pem> --network ops --host <host-b> --node-key <file|hex> --out <json>
  * node scripts/overlay-keyring.cjs sign-revocations --signer-key <pem> --network ops --hosts a,b --out <json>
- * node scripts/overlay-keyring.cjs verify-grant  --file <json> --signer-pub <hex> [--host w-106 --network ops]
+ * node scripts/overlay-keyring.cjs verify-grant  --file <json> --signer-pub <hex> [--host <host-b> --network ops]
  * node scripts/overlay-keyring.cjs recover-root  --code <hex> --out <pem> [--expect-pub <hex>]
  *                                              # 演练三判据：--expect-pub 比公钥；
  *                                              # 再给 --signers <hex,…> --network <n> --issued-at <iso> ⇒ 用重建的根签 SignerSet 验通（判据②）；