merge(chv-muse-round12): 合入 round-11 修复轮 HEAD 50cae2a (RETEST6 全绿)

按 hunk 合入，不整文件覆盖。冲突 3 处：
- chv-guest/build.sh：取 P4 的 copy-in（cdp-broker/guard/blocklist/
  chv-memory）+ cdp-broker service/enable 三件；取 R11 的 git
  config（去掉 credential.helper store，层 5）；tmpfiles 两边
  并存（/run/chv/ask-queue + /run/chv-browser）。
- chv-guest/chv-browser.py：P4 架构保留（CDP broker 客户端 +
  guard 模块）；取 R11 两处仍适用的运行期修复：BROWSER_SOCK
  移进 /run/chv-browser（缺陷 4，合入后的 broker 已指该路径）
  与 handle_request 认 op=browser/action 透传；R11 的直连
  Playwright 代码（validate_url/truncate_aria/_load_playwright/
  _page snapshot）由 P4 取代，不带回。
- cloud/tests/test_chv_muse_p2.py：truncate 三测取 P4 的
  GUARD.truncate_a11y（dict 树）；FakeCdpBroker 取 P4 版，删
  R11 的 FakePage 系列；干跑夹具取 R11 的 _fixture 调用，并
  给 _fixture 补 P4 四件（否则合入后 build.sh fail-fast）。

合入内移植（R11 修复在 P4 里移了位置，不移植即静默丢失）：
- chv-guest/chv-cdp-broker.py：_load_playwright 返回
  sync_playwright()（原 R11 在 chv-browser.py 修过的同形
  bug）；回归测试由 test_p2 移植到 test_chv_muse_p4.py。
- test_chv_muse_p2.py：HOST 由模块级 eager 改懒加载（_host()）：
  host.py 顶层 import queue 会把 stdlib queue 缓进 sys.modules，
  使同进程后加载的 test_queue_sandbox 取不到 cloud/queue.py
  遮蔽而 ImportError（全量唯一失败）。

未移植（见报告）：R11 的 Page.aria_snapshot() 纠正未进
chv-cdp-broker.py（仍调 accessibility.snapshot()，且 guard
的 dict 树 API 须配套改，属 P4 返工，不在本轮合入做）。

全量 cloud 套件：2522 tests OK (skipped=10)，基线 a6f9597
为 2474 OK (skipped=12)；+48 来自 R11 新增测试（p2 +36、
p3 +7、closeup +3、gaps +1、p4 +1 移植）。

chv-guest/chv-browser.py

@@ -10,7 +10,7 @@ Playwright/Chromium，Chromium 的所有权在单元外 CDP broker
 accessibility.snapshot，经 broker 取回），不见原始 DOM，不能
 在页面上下文跑 JS，不暴露交互操作，不开 DevTools。
 
-操作（Unix socket /run/chv/browser.sock，JSON 行）：
+操作（Unix socket /run/chv-browser/browser.sock，JSON 行）：
   open       {url}   -> 经 broker 导航并返回 {title, url, a11y,
                     truncated, untrusted_input, injection_flags,
                     form_risk}
@@ -40,7 +40,11 @@ import os
 import socket
 import sys
 
-BROWSER_SOCK = "/run/chv/browser.sock"
+# round-11 真机修复（缺陷 4）：自有目录 /run/chv-browser，
+# 0755 chv-browser 所有——/run/chv 是 0755 root root，
+# 在此 bind 会 EACCES 而无限 crash loop（见 chv-broker.py）。
+# P4 的 CDP_SOCK 保留：broker 侧仍走 /run/chv/cdp-broker.sock。
+BROWSER_SOCK = "/run/chv-browser/browser.sock"
 CDP_SOCK = "/run/chv/cdp-broker.sock"
 MAX_REQUEST_BYTES = 65536
 
@@ -186,11 +190,18 @@ class BrowserAgent:
 
 
 def handle_request(agent, req):
-    """处理一个请求 dict，返回响应 dict（纯逻辑，可单测）。"""
+    """处理一个请求 dict，返回响应 dict（纯逻辑，可单测）。
+    op "browser" 是 broker 原样转发的形状（round-11 真机修复）：
+    内层 op 在 action 里；无 action 但带 url 时默认 open（驱动
+    只发 url）；action 同样受 FORBIDDEN_OPS 约束。"""
     guard = _load_guard()
     if not isinstance(req, dict):
         return {"ok": False, "error": "请求须是 JSON 对象"}
     op = req.get("op")
+    if op == "browser":
+        op = req.get("action")
+        if op is None and req.get("url"):
+            op = "open"
     if op in guard.FORBIDDEN_OPS:
         return {"ok": False,
                 "error": "操作 %r 不暴露（无 JS/无原始 DOM/无交互）"