feat(config): 涉密内容外置到配置目录（档案 140）

把散落在代码里的真实部署值统一收进 config/，代码改为引用配置，
使仓库副本/开源导出不再带出生产域名、IP、内网路径与凭据。

新增 config/：platform.env.example（模板）· load.sh（shell 加载器）·
index.cjs（node 加载器）· README.md（键一览与优先级）。
真实值放 config/platform.env —— 已 .gitignore 排除，不入库、不进导出。

TS 侧新增 src/platform-paths.ts 作部署路径的唯一解析处（零副作用）：
platformDir/stateDir/backupDir/artifactDir/installDir/scriptPath。
config.ts 接入这些字段；内置中继种子由生产 URL 改为空（改由
DSHS_OVERLAY_BOOTSTRAP_SEEDS 提供）。修掉 5 处硬编码绝对路径，
src/** 注释中性化 116 行/53 文件。

scripts/** 36 个内部运维脚本：真令牌/PG 口令/隧道目标/主机号/路径
一律改从配置取；web/wake.html 的注册域白名单改为运行时从
location.hostname 推导；test/** 夹具 119 行/13 文件改 RFC 2606/5737
保留值，并把「内置种子必须为空」固化为回归断言。

取证：tsc 0 错；npm test 373/375（唯一失败 lease 属既有）；
全仓扫描（大小写不敏感）代码面涉密标识 = 0；已部署 47 并零回归
（/opt/dsh/* 未搬家，/var/lib/dshs/platform 未被误建）。

scripts/overlay-probe.cjs

@@ -6,7 +6,7 @@
  * `交接单_relay落地R2-R4` 的教训原文是「**静默失效靠判别器定位**」。要让判别器能被**脚本**
  * （而不是人读日志）用，就必须有「一条命令出 PASS/FAIL」的入口 —— 本文件就是那个入口：
  *
- *   cd "E:/ProgramData/AI技能/aliyun-dsh-server" && node "D:/github/dsh_shenxian/scripts/overlay-probe.cjs"
+ *   cd "E:/ProgramData/AI技能/aliyun-dsh-server" && node "<repo>/scripts/overlay-probe.cjs"
  *
  * - **退出码**：全绿 `0` / 任一红 `1` / 用法或取数失败 `2`（可直接被 automation 消费）
  * - **输出**：≤ 12 行（每行 = 一条指标）；红的条目**另外**写到 stderr，并**指名**是哪个 ID
@@ -66,7 +66,7 @@
  * ## 🆕 观测面**并集**（序㊾：⛔ 单看 47 会把"合法拓扑态"判成红）
  * `OBS-01` / `OBS-08` / `OBS-09` 的绿**取决于 106 worker 挂在哪台中继** —— worker 通道按**抖动**换址
  * （`[relay-switch]`）⇒ 一旦落到 **106 自家中继**，47 视角就是
- * `used=1 / endpoints=[w-106:<PEER_AGENT_PORT> offline, w-106:<实例口> offline]` ⇒ `OBS-01` FAIL、`OBS-08` FAIL、
+ * `used=1 / endpoints=[<host-b>:<PEER_AGENT_PORT> offline, <host-b>:<实例口> offline]` ⇒ `OBS-01` FAIL、`OBS-08` FAIL、
  * `OBS-09` SKIP —— 三条**全是假红 / 假 SKIP**（客户端好好的，只是"不在我这一台"）。
  *
  * 口径 = **按 `hostId`（含 `network`）合并两台中继的视图**：
@@ -182,7 +182,7 @@ function argOf(argv, name) {
  * 4. **注册文件**的每一行（`DSHS_OVERLAY_TABLE_REGISTRY`，缺省 `~/.dshs/overlay-table-dir`；
  *    `#` 起注释；**机器本地、⛔ 不入库**）
  * 5. `cwd`（保持既有默认，⛔ 不破坏老用法）
- * 6. 脚本自身目录、其上一级、上两级（仓根 / `/opt/dshs` 这类部署形态都覆盖）
+ * 6. 脚本自身目录、其上一级、上两级（仓根 / `<install-dir>` 这类部署形态都覆盖）
  *
  * 🔴 **"恰好 1 个才算合法"这条防错保留、且更严**：
  * 任一候选目录里 ≥2 份 ⇒ **立即报错**；跨候选目录合计 ≥2 份 ⇒ **也报错**（列出全部命中）。
@@ -1637,7 +1637,7 @@ function main() {
    * ② **`count ≥ CAND_MIN`**（每连接候选数 ≥ 2）。
    *
    * 🔑 **`hosts`（主机名个数）只作信息输出、⛔ 不作判据** —— 且它**不是「独立物理路径数」**：
-   * 观测器**不解析 DNS**（零网络），而生产目录前两条候选 `ai1net.com` 与 `relay-direct.ai1net.com`
+   * 观测器**不解析 DNS**（零网络），而生产目录前两条候选 `<base-domain>` 与 `relay-direct.<base-domain>`
    * **摘名不同、同落 47** ⇒ **真机实测 `count=3` 时 `hosts` 也报 3**，而机器级独立路径只有 **2**（47 ＋ 106）。
    * 故本项**照实判「条数」**，把 `hosts` 打出来供人判「冗余建成」，⛔ **不放宽判据凑绿**；
    * 真机首轮读数（2026-09-18 00:0x）已实证 **worker 侧 `count=1`**（根因见回报）。