merge(chv-muse-round12): 合入 round-11 修复轮 HEAD 50cae2a (RETEST6 全绿)

按 hunk 合入，不整文件覆盖。冲突 3 处：
- chv-guest/build.sh：取 P4 的 copy-in（cdp-broker/guard/blocklist/
  chv-memory）+ cdp-broker service/enable 三件；取 R11 的 git
  config（去掉 credential.helper store，层 5）；tmpfiles 两边
  并存（/run/chv/ask-queue + /run/chv-browser）。
- chv-guest/chv-browser.py：P4 架构保留（CDP broker 客户端 +
  guard 模块）；取 R11 两处仍适用的运行期修复：BROWSER_SOCK
  移进 /run/chv-browser（缺陷 4，合入后的 broker 已指该路径）
  与 handle_request 认 op=browser/action 透传；R11 的直连
  Playwright 代码（validate_url/truncate_aria/_load_playwright/
  _page snapshot）由 P4 取代，不带回。
- cloud/tests/test_chv_muse_p2.py：truncate 三测取 P4 的
  GUARD.truncate_a11y（dict 树）；FakeCdpBroker 取 P4 版，删
  R11 的 FakePage 系列；干跑夹具取 R11 的 _fixture 调用，并
  给 _fixture 补 P4 四件（否则合入后 build.sh fail-fast）。

合入内移植（R11 修复在 P4 里移了位置，不移植即静默丢失）：
- chv-guest/chv-cdp-broker.py：_load_playwright 返回
  sync_playwright()（原 R11 在 chv-browser.py 修过的同形
  bug）；回归测试由 test_p2 移植到 test_chv_muse_p4.py。
- test_chv_muse_p2.py：HOST 由模块级 eager 改懒加载（_host()）：
  host.py 顶层 import queue 会把 stdlib queue 缓进 sys.modules，
  使同进程后加载的 test_queue_sandbox 取不到 cloud/queue.py
  遮蔽而 ImportError（全量唯一失败）。

未移植（见报告）：R11 的 Page.aria_snapshot() 纠正未进
chv-cdp-broker.py（仍调 accessibility.snapshot()，且 guard
的 dict 树 API 须配套改，属 P4 返工，不在本轮合入做）。

全量 cloud 套件：2522 tests OK (skipped=10)，基线 a6f9597
为 2474 OK (skipped=12)；+48 来自 R11 新增测试（p2 +36、
p3 +7、closeup +3、gaps +1、p4 +1 移植）。

chv-guest/chv-sync.sh

@@ -14,11 +14,12 @@
 #     只给客内 authd 守护进程读）。
 # boot（root，cloud-init runcmd 调）读 guest-env，authd 在时配
 # git credential helper 走 authd 按次取凭证（只进 git 子进程
-# 内存，不落盘）；authd 不在时（旧镜像）才回落到把 token 写进
-# /home/chv/.git-credentials（0600，chv 所有，git credential
-# store 标准机制）并警告。pull/push/status 以 chv 身份跑，用
-# helper 或已落盘的 credential，不再读 guest-env；token 不会
-# 出现在 git remote URL 或镜像里。
+# 内存，不落盘）；authd 不在时直接失败（round-11 真机修复层 5：
+# 旧镜像的落盘回落已废止——它在真机测试里把 authd 释放的长效
+# token 写进了客内 ~/.git-credentials；authd helper 是唯一凭证
+# helper，且自身绝不落盘）。pull/push/status 以 chv 身份跑，用
+# helper，不再读 guest-env；token 不会出现在 git remote URL 或
+# 镜像里。
 #
 # 用法：
 #   chv-sync boot              # 启动时 clone（已 clone 则静默退出，不自动 pull）
@@ -79,19 +80,16 @@ cmd_boot() {
     : "${GITEA_USER:?guest-env 缺 GITEA_USER}"
     : "${SYNC_REPO:?guest-env 缺 SYNC_REPO}"
     [ "$(id -u)" = "0" ] || die "boot 须以 root 运行（cloud-init runcmd）"
-    local host="${GITEA_URL#https://}"
-    host="${host#http://}"
-    host="${host%%/*}"
     local name="${SYNC_REPO##*/}"
     local dir="$WORKSPACE/$name"
     mkdir -p "$WORKSPACE"
     chown "$SYNC_USER:$SYNC_USER" "$WORKSPACE"
     # feat-chv-muse-p3：authd 路径——socket 存在时凭证走 helper，
     # 不再把真 token 写进 .git-credentials 落盘；helper 按次向
-    # authd 取凭证，只进 git 子进程内存。socket 不存在（旧镜像）
-    # 时走旧路径 + 警告（过渡兼容，旧镜像退役后改为 fail-closed）。
+    # authd 取凭证，只进 git 子进程内存。socket 不存在时直接失败
+    #（round-11 真机修复层 5：落盘回落已废止，见下）。
     # 注意：authd 路径下 GITEA_TOKEN 不在 guest-env 里（它只进
-    # authd-seed 给守护进程），所以这里不要求它；旧路径才要求。
+    # authd-seed 给守护进程），所以这里不要求它。
     local authd_socket="${CHV_AUTHD_SOCKET:-/run/chv-authd/authd.sock}"
     local helper="/usr/local/bin/git-credential-chv-authd"
     if [ -S "$authd_socket" ] && [ -x "$helper" ]; then
@@ -102,14 +100,13 @@ cmd_boot() {
         runuser -u "$SYNC_USER" -- env HOME="$USER_HOME" git config --global credential.useHttpPath true
         info "凭证走 chv-authd（不落盘）"
     else
-        : "${GITEA_TOKEN:?guest-env 缺 GITEA_TOKEN（旧路径）}"
-        echo "chv-sync: 警告：chv-authd 未运行，凭证走旧落盘路径（须用含 authd 的新镜像）" >&2
-        # token 只落盘进用户家目录的 credential store（0600），
-        # 不进 git remote URL、不进镜像、不进日志（此处不打印 token）。
-        local creds="$USER_HOME/.git-credentials"
-        printf 'https://%s:%s@%s\n' "$GITEA_USER" "$GITEA_TOKEN" "$host" > "$creds"
-        chmod 0600 "$creds"
-        chown "$SYNC_USER:$SYNC_USER" "$creds"
+        # round-11 真机修复（层 5）：authd 不在时直接失败，不再
+        # 把真 token 写进 ~/.git-credentials 落盘——旧路径在
+        # round-11 真机测试里把 authd 释放的长效 token 写进了
+        # 客内磁盘（/home/chv/.git-credentials，0600）。authd
+        # helper 是唯一凭证 helper，且自身绝不落盘；旧镜像退役
+        # 后过渡兼容即废止，不再留落盘逃生口。
+        die "chv-authd 未运行（socket 或 helper 缺失），拒绝同步：凭证绝不落盘，请用含 authd 的镜像"
     fi
     if [ -d "$dir/.git" ]; then
         info "已 clone：$dir（不自动 pull，改动由用户显式同步）"