fix(chv): P2-20/P2-19/P2-17/P2-18 残留收尾 + NO_PROXY 合并

- P2-20：_guest_env_delivered 加专用锁，读写只走
  _delivered_secrets/_mark/_clear 三个入口，并发 hammer 测试钉死
- P2-19：_record_net_entries 失败发 net_registry_write_failed
  独立审计并返回 False；_boot_vm 见 False 即拒起（wake 随后清半醒 VM）
- P2-17：net.json 删失败发 vm_net_registry_delete_failed 审计；
  _write_dirty_marker 失败发 dirty_marker_write_failed 审计并返回
  False，stop 不抛的契约不变
- P2-18：新增 cloud/chv/atomic_file.py（mkstemp 随机名 + 文件
  fsync + rename + 目录 fsync），net.json/known_hosts/
  snapshots.json/pool registry/脏标记/spill 全部走它，固定 .tmp 清零
- H1 附带：NO_PROXY 实测确有覆盖 bug（env 重复赋值以后者为准，
  调用方 NO_PROXY 被 egress 的 localhost 值静默覆盖），改为合并
  单条发出；egress 已设时调用方代理变量（含小写）一律不发
- 测试：新增 cloud/tests/test_chv_residual.py（23 项），旧 closeup
  两处钉死旧语义的测试按新语义更新

cloud/chv/orphans.py

@@ -74,15 +74,15 @@ def _read_registry(path: str) -> tuple[dict | None, bool]:
 
 
 def _write_registry(path: str, data: dict) -> None:
-    """原子落盘 registry（tmp + rename）；写失败只记日志。"""
+    """原子落盘 registry（随机 tmp 名 + 双 fsync，P2-18）；
+    写失败只记日志。"""
     try:
+        from cloud.chv.atomic_file import atomic_write_text
+        import json
         directory = os.path.dirname(path)
         if directory:
             os.makedirs(directory, exist_ok=True)
-        tmp_path = path + ".tmp"
-        with open(tmp_path, "w") as fh:
-            json.dump(data, fh)
-        os.replace(tmp_path, path)
+        atomic_write_text(path, json.dumps(data))
     except OSError:
         _LOGGER.warning("chv_pool_registry_save_failed path=%s", path)