fix: 完成小程序上线整改与 CloudBase V2 加固

[anarkh]

变更概览

• 将生产共享数据统一收口到 CloudBase V2：任务、评论、信任动作、反馈、账户、上传、限流、计数器和管理员鉴权均由服务端处理。
• 收紧生产边界：业务集合拒绝客户端直连，Cloud Storage 保持 READONLY，生产失败不再静默回退到本地 mock 或伪成功。
• 补齐内容安全、服务端图片上传、写操作幂等、事务、地理查询、公共分享只读、传播归因最小化及数据保留/头像生命周期。
• 修复 CloudBase Nodejs20 缺失文档错误文案导致首次限流桶初始化失败的问题，并同步部署 postsV2 / dataRetentionV2。
• 修正附近查询中心的隐私披露与版本化重新同意，统一详情/地图的可选距离展示，避免空距离显示为 nullm。
• 加固 DevTools 服务端口预检：校验监听进程归属，strict 模式拒绝所有 non-ready 状态，并明确区分端口可用与 UI/真机验证。
• 更新上线清单、部署记录、发布负责人操作包和运维手册；明确“微信小程序备案”不是 Android/iOS 原生 App 上架备案。

根因与影响

• CloudBase Nodejs20 返回 document with _id ... does not exist，旧判断没有识别该缺失文档形态，首次创建限流桶会失败。
• 旧隐私文案只描述本机距离计算，没有披露查询中心经纬度会发送给云函数执行附近检索。
• Number(null) 会得到 0，导致公开详情可能把未知距离错误展示为数值。
• DevTools 预检此前依赖进程参数，可能对真实监听端口产生误判，也未充分强调该检查不等于 UI/真机通过。

修复后，公共只读分享可以在首次限流桶不存在时正常读取；位置处理事实与同意版本保持一致；未知距离统一展示为“距离未知”；自动接入检查的可信范围更清晰。

验证

• npm run check：31/31 产品检查通过，JSON 13 个、知识库 14 篇结构检查通过。
• git diff --check 通过；16 个改动 JS/MJS 文件均通过 node --check。
• postsV2、getMyRoleV2、dataRetentionV2 的 npm audit --omit=dev 均为 0 vulnerabilities。
• 可提交文件高置信度密钥扫描通过；公共 project.config.json 保持 touristappid，真实配置仅存在于被忽略的私有配置。
• CloudBase 回读：V2 函数 Active，dataRetentionV2 每日触发器保持启用；postsV2 / dataRetentionV2 增量部署成功。
• 微信 DevTools 52883 接入预检 ready；冻结版 preview 成功，主包 448,105 bytes（437.6 KB）。
• DevTools 模拟器公共路径通过：朋友圈只读详情/评论、动作守卫、好友/朋友圈分享 payload、发布空态、反馈/权利申请空值守卫及法律页；控制台 0 错误、0 异常，相关本地业务存储无变化。

发布状态与剩余门槛

本 PR 可进入代码审查，但当前仍 不放行正式上线：

• 用户尚未亲自确认新版隐私与位置用途；身份化 feed、发布、图片、评论、关闭和管理写链路仍需验证。
• iPhone、Android、双账号、弱网、内容安全故障路径、真实分享/归因和真实数据保留链路仍需验收。
• 微信公众平台隐私指引、法律终审、服务类目和微信小程序备案仍需真实主体完成。
• CLS 日志、错误/延迟/保留任务告警和值班演练尚未开通。
• 当前仅生成 DevTools 预览，没有上传体验版，也没有提交微信审核。

详细门槛见 LAUNCH_TODO.md，发布操作输入见 specs/launch-readiness-remediation/release-operator-pack.md。