fix(chv-muse-r12fix3-2): worker socket 组权限 + allowed_uids 含 chv（P6 缺口 ②）

R12 复测 2 钉死：即使 worker active，chv 客户端也永远连不上
socket——worker root + 目录 /run/chv-gitea 0700 root + socket
0600 root + allowed_uids=(0,) 三处锁死；chv ping 一律 EACCES
（rc=2），root ping rc=0，privsep_worker_call 恒为 0，全部同步
走回落。

修法：三处配套改，只改一处仍锁死——
1. chv-gitea-worker.py：DEFAULT_ALLOWED_UIDS=(0, 1000)（root +
   chv；round-11 authd 同款；环境变量
   CHV_GITEA_WORKER_ALLOWED_UIDS 可覆盖）；socket 用 group 权限
   （目录 0750、socket 0660、组为第一个非 root 放行 uid 的主组，
   _socket_group_gid/_set_group_perms 与 authd 同款实现；gid
   解析不出时回落 root-only 0700/0600，绝不放给全员）。
   拒绝 0666 探针口径。
2. build.sh tmpfiles.d：d /run/chv-gitea 改为 0750 root 1000，与
   新方案一致。gid 写数字 1000 而不用组名 chv——tmpfiles-setup
   跑在 07:23:24，chv 用户由 cloud-init 在 07:23:40 才建，组名
   当时解析不出；1000 是 chv 的 uid/gid（seed users 块未指定
   uid/gid，cloud-init 取首个空闲 1000；authd 同款假设）。
   worker 启动时再按 passwd 重新推导 gid 并重设权限，tmpfiles
   行只是开机存在性保证。审计日志仍 0600 root，不动。
3. 服务单元 ReadWritePaths 不动（/run/chv-gitea 仍在列，存在性
   由 tmpfiles 保证）。

注意：单元内 agent 同样映射为 chv uid 1000，故也能走到 socket，
但只能走类型化协议——操作白名单、仓库 confinement、安全扫描三
处仍在，worker 不持凭证（见 worker 模块注释）。

测试：WorkerSocketGroupPermsTest 新增 7 项——默认白名单含
(0,1000)、环境变量覆盖、gid 可推导时 0750/0660 + 组正确、显式
socket_group 时同样组权限、只有 root 时回落 0700/0600、gid 推导
函数四档、tmpfiles 行 0750 root 1000；WorkerUnitTmpfilesTest 的
/run/chv-gitea 期望改 0750。P6/round12/P2/P4 四模块 205 项全过。

chv-guest/build.sh

@@ -407,7 +407,16 @@ VC_ARGS=(-a "$OUT/disk.raw"
   # 跑、早于 multi-user 的服务启动，且与 P4 的 /run/chv 同款写法，
   # 不新增进镜像的文件（chv.conf 本就是 build.sh 内联生成），
   # lockfile 无需登记。模式与 worker 审计 0600 同款口径。
-  --run-command 'printf "d /run/chv 2775 root chv-browser -\nd /run/chv/shots 0755 chv-browser chv-browser -\nd /run/chv/ask-queue 0750 chv-browser chv-browser -\nd /run/chv-browser 0755 chv-browser chv-browser -\nd /run/chv-gitea 0700 root root -\nf /var/log/chv-gitea-worker.log 0600 root root -\n" > /etc/tmpfiles.d/chv.conf && systemctl enable chv-broker chv-browser chv-cdp-broker || true')
+  # round-12 修复轮第三轮（缺口 ②）：/run/chv-gitea 改为组权限
+  # 0750，与 worker 新方案一致（目录 0750 + socket 0660，组为
+  # chv 主组；绝不用 0666）。gid 写数字 1000 而不用组名 chv——
+  # tmpfiles-setup 跑在 07:23:24，chv 用户由 cloud-init 在
+  # 07:23:40 才建，组名当时解析不出；1000 是 chv 的 uid/gid
+  #（seed users 块未指定 uid/gid，cloud-init 取首个空闲 1000；
+  # authd DEFAULT_ALLOWED_UIDS 同款假设）。worker 启动时再按
+  # passwd 重新推导 gid 并重设目录/socket 权限，tmpfiles 行只是
+  # 开机存在性保证。
+  --run-command 'printf "d /run/chv 2775 root chv-browser -\nd /run/chv/shots 0755 chv-browser chv-browser -\nd /run/chv/ask-queue 0750 chv-browser chv-browser -\nd /run/chv-browser 0755 chv-browser chv-browser -\nd /run/chv-gitea 0750 root 1000 -\nf /var/log/chv-gitea-worker.log 0600 root root -\n" > /etc/tmpfiles.d/chv.conf && systemctl enable chv-broker chv-browser chv-cdp-broker || true')
 # P3 交接（Muse P3 的 authd/sentinel 叶子模块）：文件在仓库里存在时
 # 拷入镜像（本分支已有，合入后自动生效）；不存在时只警告、不失败——
 # M4 既定 build.sh 不硬要求 cloud/，见上。缺叶子模块时 chv-authd