feat(config): 涉密内容外置到配置目录（档案 140）

把散落在代码里的真实部署值统一收进 config/，代码改为引用配置，
使仓库副本/开源导出不再带出生产域名、IP、内网路径与凭据。

新增 config/：platform.env.example（模板）· load.sh（shell 加载器）·
index.cjs（node 加载器）· README.md（键一览与优先级）。
真实值放 config/platform.env —— 已 .gitignore 排除，不入库、不进导出。

TS 侧新增 src/platform-paths.ts 作部署路径的唯一解析处（零副作用）：
platformDir/stateDir/backupDir/artifactDir/installDir/scriptPath。
config.ts 接入这些字段；内置中继种子由生产 URL 改为空（改由
DSHS_OVERLAY_BOOTSTRAP_SEEDS 提供）。修掉 5 处硬编码绝对路径，
src/** 注释中性化 116 行/53 文件。

scripts/** 36 个内部运维脚本：真令牌/PG 口令/隧道目标/主机号/路径
一律改从配置取；web/wake.html 的注册域白名单改为运行时从
location.hostname 推导；test/** 夹具 119 行/13 文件改 RFC 2606/5737
保留值，并把「内置种子必须为空」固化为回归断言。

取证：tsc 0 错；npm test 373/375（唯一失败 lease 属既有）；
全仓扫描（大小写不敏感）代码面涉密标识 = 0；已部署 47 并零回归
（/opt/dsh/* 未搬家，/var/lib/dshs/platform 未被误建）。

scripts/switch-B2-rsync.sh

@@ -1,12 +1,13 @@
 #!/usr/bin/env bash
+. "$(cd "$(dirname "$0")/.." && pwd)/config/load.sh"
 # B2 步（在 47 上跑）：rsync 生产 dataRoot → 106
 #   · --numeric-ids 保 uid/gid（否则 106 上文件属主全错 ⇒ 实例 EACCES）
 #   · 排除 dshs.db*（DB 权威源已是 47 的 PG）与 secret.key（凭据主密钥不外扩到 Worker —— R5 最小面）
 #   · ⚠️ 所有 ssh 调用带 -n：脚本本身经 stdin 传入，ssh 若不隔离 stdin 会把**脚本剩余部分**吃掉
 set -uo pipefail
 KEY=/root/.ssh/dshworker_ed25519
-DST=root@106.54.21.172
-SRC=/var/lib/dshs
+DST=root@"$DSH_PEER_PUBLIC_IP"
+SRC="$DSHS_DATA_ROOT"
 SSHOPT="-n -i $KEY -o BatchMode=yes -o StrictHostKeyChecking=accept-new -o ConnectTimeout=10"
 
 command -v rsync >/dev/null || { dnf -y install rsync >/tmp/dnf-rsync.log 2>&1 && echo "  ✓ 47 装上 rsync"; }
@@ -15,19 +16,19 @@ echo "=== 连通性 + 对端 rsync ==="
 ssh $SSHOPT "$DST" 'command -v rsync >/dev/null || dnf -y install rsync >/tmp/dnf-rs.log 2>&1; echo "  对端: $(rsync --version | head -1)"' 2>&1 | tail -2
 
 echo "=== 目标端准备 ==="
-ssh $SSHOPT "$DST" 'mkdir -p /var/lib/dshs && ls -ld /var/lib/dshs' 2>&1 | sed 's/^/  /'
+ssh $SSHOPT "$DST" "mkdir -p $DSHS_DATA_ROOT && ls -ld $DSHS_DATA_ROOT" 2>&1 | sed 's/^/  /'
 
 echo "=== rsync ==="
 rsync -a --numeric-ids --stats -e "ssh $SSHOPT" \
   --exclude 'dshs.db' --exclude 'dshs.db-shm' --exclude 'dshs.db-wal' --exclude 'secret.key' \
-  "$SRC/" "$DST:/var/lib/dshs/" 2>&1 | grep -E "Number of regular files transferred|Total file size|sent [0-9]|total size is" | sed 's/^/  /'
+  "$SRC/" "$DST:"$DSHS_DATA_ROOT"/" 2>&1 | grep -E "Number of regular files transferred|Total file size|sent [0-9]|total size is" | sed 's/^/  /'
 
 echo "=== 目标端核对 ==="
 ssh $SSHOPT "$DST" 'bash -c "
-echo \"  顶层: \$(ls /var/lib/dshs | tr \"\n\" \" \")\"
-echo \"  users 目录数: \$(ls /var/lib/dshs/users 2>/dev/null | wc -l)\"
-for d in /var/lib/dshs/users/*/; do printf \"    %-38s uid=%s\n\" \"\$(basename \$d)\" \"\$(stat -c %u \$d)\"; done
-echo \"  bundled-skills: \$(ls /var/lib/dshs/bundled-skills 2>/dev/null | wc -l) 项\"
-echo \"  business-plugins: \$(ls /var/lib/dshs/business-plugins 2>/dev/null | wc -l) 项\"
-echo \"  ⛔ 不应存在(dshs.db/secret.key): \$(ls /var/lib/dshs/dshs.db /var/lib/dshs/secret.key 2>/dev/null | wc -l) 个（应为 0）\"
+echo \"  顶层: \$(ls "$DSHS_DATA_ROOT" | tr \"\n\" \" \")\"
+echo \"  users 目录数: \$(ls "$DSHS_DATA_ROOT"/users 2>/dev/null | wc -l)\"
+for d in "$DSHS_DATA_ROOT"/users/*/; do printf \"    %-38s uid=%s\n\" \"\$(basename \$d)\" \"\$(stat -c %u \$d)\"; done
+echo \"  bundled-skills: \$(ls "$DSHS_DATA_ROOT"/bundled-skills 2>/dev/null | wc -l) 项\"
+echo \"  business-plugins: \$(ls "$DSHS_DATA_ROOT"/business-plugins 2>/dev/null | wc -l) 项\"
+echo \"  ⛔ 不应存在(dshs.db/secret.key): \$(ls "$DSHS_DATA_ROOT"/dshs.db "$DSHS_DATA_ROOT"/secret.key 2>/dev/null | wc -l) 个（应为 0）\"
 "' 2>&1