fix(chv-muse-r11fix): authd 层 5 去掉 store helper，chv-sync 回落改 fail-closed

round-11 真机测试证实：镜像 /etc/gitconfig 的 [credential]
helper = store 把 authd 释放的长效 token 写进了客内
/home/chv/.git-credentials（0600）。改动：build.sh 不再设
store helper；chv-sync boot 在 authd socket/helper 缺失时直接
die，不再把 token 写进 .git-credentials（旧落盘回落废止）；
authd helper 是唯一凭证 helper，且自身绝不落盘。旧镜像上 boot
现在会直接失败，须用含 authd 的新镜像。测试：无 authd 时 boot
失败且 .git-credentials 不产生、干跑不再含 store helper；P3
差距表 §3.5 更新为已关闭。

docs/chv-muse-p3-gap.md

@@ -106,10 +106,16 @@ authd 保管、代理只见替身令牌；所有连接器动作与网络出口
    凭证前评估），不是网络层强制。客内任意进程的直连仍由 Tinyproxy
    白名单 + 宿主防火墙（第三棒）兜底；eBPF cgroup 拦截 + LSM 污点传播
    是后续工作，不得写成“出口已全部经 Sentinel”。
-5. **过渡兼容留了旧路径**：`chv-sync boot` 在 authd socket 不存在时仍走
-   旧的 `.git-credentials` 落盘（只多一句 stderr 警告），为的是 lite9/
-   lite10 旧镜像不被一次改断。旧镜像退役后应删掉该回落，改为无 socket
-   即 fail-closed；删除前不得声称“旧路径已关闭”。
+5. **过渡兼容已关闭（round-11 真机修复，层 5）**：此前 `chv-sync
+   boot` 在 authd socket 不存在时仍走旧的 `.git-credentials` 落盘
+   （只多一句 stderr 警告），为的是 lite9/lite10 旧镜像不被一次
+   改断。round-11 真机测试证实该回落把 authd 释放的长效 token 写
+   进了客内磁盘，修复轮已改为无 socket 即 fail-closed（`die`），
+   同时镜像 `/etc/gitconfig` 的 `credential.helper store` 也已删
+   除——authd helper 是唯一凭证 helper，且自身绝不落盘。旧镜像
+   （lite10 及更早）上 boot 现在会直接失败，须用含 authd 的新
+   镜像；真机复测须验证跑完一次完整 Gitea 链后客内
+   `~/.git-credentials` 不存在。
 6. **无真机验证**：本轮全部是代码 + 本地单测（含真 git helper 端到端，
    但 authd 守护进程本身未在真 VM 里跑过）。真机待验证清单：authd 在
    lite11 镜像里启动时序（须在 `chv-sync boot` 之前就绪）、SO_PEERCRED