feat(config): 涉密内容外置到配置目录（档案 140）

把散落在代码里的真实部署值统一收进 config/，代码改为引用配置，
使仓库副本/开源导出不再带出生产域名、IP、内网路径与凭据。

新增 config/：platform.env.example（模板）· load.sh（shell 加载器）·
index.cjs（node 加载器）· README.md（键一览与优先级）。
真实值放 config/platform.env —— 已 .gitignore 排除，不入库、不进导出。

TS 侧新增 src/platform-paths.ts 作部署路径的唯一解析处（零副作用）：
platformDir/stateDir/backupDir/artifactDir/installDir/scriptPath。
config.ts 接入这些字段；内置中继种子由生产 URL 改为空（改由
DSHS_OVERLAY_BOOTSTRAP_SEEDS 提供）。修掉 5 处硬编码绝对路径，
src/** 注释中性化 116 行/53 文件。

scripts/** 36 个内部运维脚本：真令牌/PG 口令/隧道目标/主机号/路径
一律改从配置取；web/wake.html 的注册域白名单改为运行时从
location.hostname 推导；test/** 夹具 119 行/13 文件改 RFC 2606/5737
保留值，并把「内置种子必须为空」固化为回归断言。

取证：tsc 0 错；npm test 373/375（唯一失败 lease 属既有）；
全仓扫描（大小写不敏感）代码面涉密标识 = 0；已部署 47 并零回归
（/opt/dsh/* 未搬家，/var/lib/dshs/platform 未被误建）。

scripts/switch-B2b-push.sh

@@ -1,30 +1,31 @@
 #!/usr/bin/env bash
+. "$(cd "$(dirname "$0")/.." && pwd)/config/load.sh"
 # B2' 步：47 → 106 直推生产 dataRoot（tar-over-ssh；只用命令执行，绕开 rsync 协议问题）
 #   · tar --numeric-owner 保 uid/gid（否则 106 上属主错 ⇒ 实例 EACCES）
 #   · 排除 dshs.db*（权威源=47 的 PG）与 secret.key（主密钥不外扩 —— R5 最小面）
 set -uo pipefail
 KEY=/root/.ssh/dshworker_ed25519
-DST=root@106.54.21.172
+DST=root@"$DSH_PEER_PUBLIC_IP"
 SSHO="-i $KEY -o BatchMode=yes -o StrictHostKeyChecking=accept-new"
 
 echo "=== 1) 目标端准备（ssh -n 防抢 stdin） ==="
-ssh -n $SSHO "$DST" 'mkdir -p /var/lib/dshs && echo "  ready: $(ls -ld /var/lib/dshs)"'
+ssh -n $SSHO "$DST" "mkdir -p $DSHS_DATA_ROOT && echo ready: \$(ls -ld $DSHS_DATA_ROOT)"
 
 echo "=== 2) 推送（tar → ssh → tar --numeric-owner -x） ==="
-cd /var/lib/dshs
+cd "$DSHS_DATA_ROOT"
 tar --numeric-owner -cf - \
   --exclude=./dshs.db --exclude=./dshs.db-shm --exclude=./dshs.db-wal --exclude=./secret.key \
-  . | ssh $SSHO "$DST" 'tar -C /var/lib/dshs --numeric-owner -xf -'
+  . | ssh $SSHO "$DST" "tar -C $DSHS_DATA_ROOT --numeric-owner -xf -"
 rc=$?
 echo "  管道 rc=$rc"
 
 echo "=== 3) 目标端核对 ==="
 ssh -n $SSHO "$DST" 'bash -c "
-echo \"  顶层: \$(ls /var/lib/dshs | tr \"\n\" \" \")\"
-echo \"  总量: \$(du -sh /var/lib/dshs | cut -f1)\"
-echo \"  users 目录数: \$(ls /var/lib/dshs/users | wc -l)\"
+echo \"  顶层: \$(ls "$DSHS_DATA_ROOT" | tr \"\n\" \" \")\"
+echo \"  总量: \$(du -sh "$DSHS_DATA_ROOT" | cut -f1)\"
+echo \"  users 目录数: \$(ls "$DSHS_DATA_ROOT"/users | wc -l)\"
 echo \"  --- 属主抽样（应与 47 的 uid 一致） ---\"
-for d in /var/lib/dshs/users/*/; do printf \"    %-38s uid=%s\n\" \"\$(basename \$d)\" \"\$(stat -c %u \$d)\"; done
-echo \"  bundled-skills=\$(ls /var/lib/dshs/bundled-skills | wc -l)  business-plugins=\$(ls /var/lib/dshs/business-plugins | wc -l)\"
-echo \"  ⛔ 不该有 dshs.db/secret.key: \$(ls /var/lib/dshs/dshs.db /var/lib/dshs/secret.key 2>/dev/null | wc -l) 个（应 0）\"
+for d in "$DSHS_DATA_ROOT"/users/*/; do printf \"    %-38s uid=%s\n\" \"\$(basename \$d)\" \"\$(stat -c %u \$d)\"; done
+echo \"  bundled-skills=\$(ls "$DSHS_DATA_ROOT"/bundled-skills | wc -l)  business-plugins=\$(ls "$DSHS_DATA_ROOT"/business-plugins | wc -l)\"
+echo \"  ⛔ 不该有 dshs.db/secret.key: \$(ls "$DSHS_DATA_ROOT"/dshs.db "$DSHS_DATA_ROOT"/secret.key 2>/dev/null | wc -l) 个（应 0）\"
 "'