feat-chv-to10：往 10 分方向提升（类型/lint 清零、worker 适配抽取、审计落盘、lockfile 生成脚本、前端四态与统一文案、就绪清单 §13）

cloud/chv/hardening.py

@@ -20,7 +20,7 @@ from cloud.chv.errors import ChvFailure
 _NET_FIELDS = frozenset({"tap", "mac", "ip", "mask"})
 
 
-def ensure_secure_state_dir(state_dir: str) -> None:
+def ensure_secure_state_dir(state_dir: str) -> str:
     """建 state_dir 并保证 0700（H6）：目录不存在即按 0700
     建；已存在但组/其它位可访时 chmod 0700；失败即
     ChvFailure（state_dir_insecure），绝不带着 /tmp 式
@@ -125,7 +125,7 @@ def _normalize_net_entry(entry: dict) -> dict:
 
 def _check_net_duplicates(normalized: list) -> None:
     """本次条目内 tap/mac/ip 重复即 net_config_invalid。"""
-    seen = {"tap": set(), "mac": set(), "ip": set()}
+    seen: dict[str, set[str]] = {"tap": set(), "mac": set(), "ip": set()}
     for entry in normalized:
         for kind in ("tap", "mac", "ip"):
             value = entry.get(kind)
@@ -152,7 +152,7 @@ def _check_net_conflicts(normalized: list, existing_entries: list) -> None:
                         % (kind, value, other.get("vm")))
 
 
-def validate_egress_proxy(egress_proxy: str) -> None:
+def validate_egress_proxy(egress_proxy: str) -> str | None:
     """egress 代理地址校验（H1 代码门的一部分）：须为
     http/https URL 且带主机名；否则 net_config_invalid…
     实际 kind 用 config_invalid（preflight 的配置类失败）。