fix(chv-muse-r12fix2-1): tmpfiles.d 预建 worker 运行时路径（P6-1）

R12 复测钉死的根因：chv-gitea-worker.service 用 ProtectSystem=strict
+ ReadWritePaths=/home/chv/workspace /run/chv-gitea
/var/log/chv-gitea-worker.log，systemd 建 mount namespace 时要求每个
列出路径事先存在，否则 226/NAMESPACE crash-loop（NRestarts=12）；
交付镜像里 /run/chv-gitea（/run 是 tmpfs）与
/var/log/chv-gitea-worker.log（worker 首次写审计才建）两处都不存在，
worker 从未起来过。

取舍：只用 tmpfiles.d（/etc/tmpfiles.d/chv.conf，加 d /run/chv-gitea
0700 与 f /var/log/chv-gitea-worker.log 0600，与 P4 的 /run/chv 同款
写法、同一文件）。ExecStartPre 不行——命名空间搭建在任何
ExecStartPre 之前，226 发生在它运行之前；改 ReadWritePaths 为已存在
目录（/var/log）会把写权限放大到整个目录。tmpfiles.d 由
systemd-tmpfiles-setup 在 sysinit 跑、早于 multi-user 的服务启动；
不新增进镜像的文件（chv.conf 本就是 build.sh 内联生成），lockfile
无需登记。unit 文件只加注释说明耦合，不改 ReadWritePaths 本身。

测试：WorkerUnitTmpfilesTest 钉住 ReadWritePaths 每一项挥发路径都有
对应的 tmpfiles 行（类型 + 模式）、P4 四行仍在、unit 无 ExecStartPre。

chv-guest/chv-gitea-worker.service

@@ -24,6 +24,13 @@ NoNewPrivileges=yes
 CapabilityBoundingSet=
 RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6
 SystemCallFilter=@system-service
+# ReadWritePaths 下的路径必须在开机时已存在（ProtectSystem=strict
+# 下 systemd 建 mount namespace 的硬要求，缺一个即 226/NAMESPACE）：
+# /run/chv-gitea 与 /var/log/chv-gitea-worker.log 由
+# /etc/tmpfiles.d/chv.conf 预建（build.sh 内联写，round-12 修复轮
+# 第二轮项 1）；/home/chv/workspace 开机时已在（R12 复测的 226
+# 只报过前两处）。ExecStartPre 不能替代 tmpfiles.d——命名空间
+# 搭建在它之前，226 发生在它运行之前。
 ReadWritePaths=/home/chv/workspace /run/chv-gitea /var/log/chv-gitea-worker.log
 # worker 崩溃不拖垮 agent：broker/薄 CLI 收到类型化失败即返回，
 # 不重试、不挂起；systemd 只负责拉起 worker 本身。