feat(config): 涉密内容外置到配置目录（档案 140）

把散落在代码里的真实部署值统一收进 config/，代码改为引用配置，
使仓库副本/开源导出不再带出生产域名、IP、内网路径与凭据。

新增 config/：platform.env.example（模板）· load.sh（shell 加载器）·
index.cjs（node 加载器）· README.md（键一览与优先级）。
真实值放 config/platform.env —— 已 .gitignore 排除，不入库、不进导出。

TS 侧新增 src/platform-paths.ts 作部署路径的唯一解析处（零副作用）：
platformDir/stateDir/backupDir/artifactDir/installDir/scriptPath。
config.ts 接入这些字段；内置中继种子由生产 URL 改为空（改由
DSHS_OVERLAY_BOOTSTRAP_SEEDS 提供）。修掉 5 处硬编码绝对路径，
src/** 注释中性化 116 行/53 文件。

scripts/** 36 个内部运维脚本：真令牌/PG 口令/隧道目标/主机号/路径
一律改从配置取；web/wake.html 的注册域白名单改为运行时从
location.hostname 推导；test/** 夹具 119 行/13 文件改 RFC 2606/5737
保留值，并把「内置种子必须为空」固化为回归断言。

取证：tsc 0 错；npm test 373/375（唯一失败 lease 属既有）；
全仓扫描（大小写不敏感）代码面涉密标识 = 0；已部署 47 并零回归
（/opt/dsh/* 未搬家，/var/lib/dshs/platform 未被误建）。

src/net/reachability.ts

@@ -8,8 +8,8 @@
  *
  * | hostId | endpoint | 真实语义 |
  * |---|---|---|
- * | `w-47`  | `http://127.0.0.1:19100` | **直连本机**（Manager 与 worker 同机，node 直接监听） |
- * | `w-106` | `http://127.0.0.1:19000` | **经 47 上 sshd 的反向隧道落点**（隧道的副作用） |
+ * | `<host-a>`  | `http://127.0.0.1:<worker-port-a>` | **直连本机**（Manager 与 worker 同机，node 直接监听） |
+ * | `<host-b>` | `http://127.0.0.1:<worker-port-b>` | **经 47 上 sshd 的反向隧道落点**（隧道的副作用） |
  *
  * ⇒ 换会合 / 中继组件时，表里**无法表达**「via（经哪个中继）+ 真实可达地址」，
  * 只能改表；越晚改代价越大（会合中继拆分方案 §2 C3）。
@@ -17,7 +17,7 @@
  * `Reachability` 把这件事显式化：`via` 指向一个 `Rendezvous` 实现，`address` 是真实地址。
  *
  * ## P0-3：为什么要带 `networkId`
- * 地址是**网内**的：`127.0.0.1:19000` 在 `ops` 里指向 `w-106` 的 relay 落点，在 `u:5` 里
+ * 地址是**网内**的：`127.0.0.1:<worker-port-b>` 在 `ops` 里指向 `<host-b>` 的 relay 落点，在 `u:5` 里
  * 可能指另一台。只带 `hostId` 的重达性描述**在多网下是有歧义的**，而歧义会以
  * "打到另一张网的同名节点"这种最贵的形态暴露（静默串网）。⇒ 本类型**必带**网络维度，
  * `parseReachability()` 从**逻辑名**（`<network_id>/<hostId>`）里取它，调用方不许自己拼。
@@ -117,7 +117,7 @@ export function agentBaseUrlOf(host: HostAddressable): string {
  * `<network_id>/<hostId>`：网络段由**本函数**切出来（`parseLogicalName`），调用方不碰。
  * ⚠️ **裸 `hostId` 仍兼容**（⇒ 落 `ops`）：过渡期不破坏现网调用方与既有单测。
  *
- * 强制面：`endpoint` 历史上是完整 URL（`http://127.0.0.1:19000`），也容忍裸
+ * 强制面：`endpoint` 历史上是完整 URL（`http://127.0.0.1:<worker-port-b>`），也容忍裸
  * `host:port` —— 没写 scheme 时按 `http` 处理，与 `RemoteSpawner` 原先"直接把它当
  * fetch 基址"的行为一致（fetch 会补 `http://`）。
  */
@@ -151,7 +151,7 @@ export function toEndpoint(reach: Reachability): string {
  *
  * 为什么需要：relay 为每个注册端口在**它自己的回环**上开一条监听，回环口号由 `listen(0)`
  * 动态分配 ⇒ Manager 拿不到、也推不出，只能拿「要拨的端口号」去 relay 的 `/status` 里查。
- * 而那个号码就住在 `dsh_hosts.endpoint` 里（`http://127.0.0.1:19000`）⇒ 统一在这里剥出来，
+ * 而那个号码就住在 `dsh_hosts.endpoint` 里（`http://127.0.0.1:<worker-port-b>`）⇒ 统一在这里剥出来，
  * 别在调用方各写一遍 `split(':')`（IPv6 字面量会切错）。
  */
 export function addressPort(address: string): number | undefined {