feat(chv): 架构与代码质量提升——WarmPool 定案、长函数提取、严格测试替身、Docker 同步守卫、配置统一校验、类型注解与 ADR

堆叠于 #246（feat-chv-secfix），只到 PR OPEN，未合并、未部署。
安全语义不变：egress、key seed 投递、磁盘删除、默认 provisioned、
tap 校验一律保留；前端零改动。
- WarmPool 定案为实验性（ADR-5）：dispatch 永远冷启动，
  wired_to_dispatch 恒 False，acquire/resume 只保留实验接口，
  worker 仍调 reconcile_orphans 清理残留。
- 长函数提取：preflight 126→31、wake_vm 135→36、__init__ 69→31、
  build_chv_config 159→58；错误文案逐字不变。
- 严格测试替身：fake API 校验 VmConfig（任务盘+seed 盘、net
  无重复），fake SSH 校验 known_hosts 钉死；新增 5 项测试。
- Docker 同步守卫：8 个真实标记用例下 Docker 内联版与正典
  parse_goal_result 状态全等，改分叉即 fail。
- 配置统一校验：preflight 以 config_invalid 统一兜底端口/配额/
  超时/快照/host-key 模式（构造时已校验正常值，preflight 兜底
  事后改写）；CHV_NET 与 CHV_NET_JSON 双设仍警告不硬拒。
- 类型与 lint：chv 叶子模块公开 API 补类型注解；stdlib 扫描
  揪出 executor 内 1 个真死 import（host_key_paths）并删除。
- ADR：docs/chv-architecture.md（ADR-1 至 ADR-7）。
测试：CHV 163 项全过；cloud 全量 1593 项三跑结果为 8 errors
（首跑详细日志因 tail 截断丢失）、全过、1 失败（浏览器代理
时序测试，与 CHV 无关），全量本身存在时序偶发，CHV 套件
确定性全过。

cloud/chv/hostkeys.py

@@ -40,7 +40,7 @@ import shlex
 GUEST_ENV_PATH = "/etc/chv/guest-env"
 
 
-def host_key_paths(state_dir, vm_name):
+def host_key_paths(state_dir: str, vm_name: str) -> tuple:
     """该 VM 的 host key 文件路径（私钥/公钥/known_hosts）。"""
     base = os.path.join(state_dir, vm_name)
     return {
@@ -51,7 +51,7 @@ def host_key_paths(state_dir, vm_name):
     }
 
 
-def dirty_marker_path(state_dir, vm_name):
+def dirty_marker_path(state_dir: str, vm_name: str) -> str:
     """清理失败脏标记路径（feat-chv-secfix，M2）：stop_vm
     清理 seed/私钥/磁盘任一步失败时写下该标记；标记存在
     时同名 VM 拒绝启动（清理失败即拒起），人工清理并删
@@ -59,7 +59,7 @@ def dirty_marker_path(state_dir, vm_name):
     return os.path.join(state_dir, vm_name, ".cleanup-dirty")
 
 
-def delete_host_private_key(state_dir, vm_name):
+def delete_host_private_key(state_dir: str, vm_name: str) -> None:
     """删宿主侧 host 私钥文件（feat-chv-secfix，H5）：seed
     盘建好后宿主私钥已无存在必要（客机已有私钥、宿主只需
     公钥 + known_hosts 做校验）。删失败即 OSError，由调用
@@ -83,12 +83,12 @@ def known_hosts_line(port, public_key_text, host="127.0.0.1"):
     return "[%s]:%s %s %s" % (host, port, parts[0], parts[1])
 
 
-def seed_disk_path(state_dir, vm_name):
+def seed_disk_path(state_dir: str, vm_name: str) -> str:
     """该 VM 的 NoCloud seed 磁盘镜像路径（CIDATA 卷标 ISO）。"""
     return os.path.join(state_dir, vm_name, "seed.iso")
 
 
-def build_seed_disk(seed_dir, seed_disk, runner=None):
+def build_seed_disk(seed_dir: str, seed_disk: str, runner=None) -> None:
     """把 seed 目录做成 CIDATA 卷标 ISO（feat-chv-fix，P0-1 的
     注入载体）：genisoimage -volid CIDATA -joliet -rock。