fix: 清理 CodeQL 告警，修复兑换守门、配置并发等问题

[heylumen]

跑了一遍完整审查（CodeQL 扫出 4 条 high 告警），修掉了所有确认的问题。分三块说明。

一、CodeQL 的 4 条告警

1 条是真问题，已经修了：

• allocation-size-overflow（clink/protocol.go）：帧长度用 int 累加没有上限，32 位平台上可能先溢出再按错误的 size 分配内存。加了 16 MiB 上限，超了直接 panic（外层有 RecoverPanic 接住）。消息负载都是本地构造的短数据，正常路径碰不到这个上限。

另外 3 条看过之后确认不是漏洞，加了注释说明原因（我在自己的 fork 上 dismiss 了，这边合并后还需要处理一次）：

• disabled-certificate-check（clink/tls.go）：Clink 是拿 IP 直连 wss 的，服务端只发 *.ctyun.cn 证书，而且线上有已经过期的旧证书。Go 没法只忽略有效期，必须关掉默认校验再在 VerifyConnection 里自己验——链签名、ctyun.cn 域名、还没生效的证书这些都会被拒绝，不存在跳过校验的路径。
• 两处 weak-sensitive-data-hashing（auth/sign.go 的 SHA256、auth/clink_login.go 的 MD5）：都是天翼服务端协议定死的算法，改了就登录不上，这里是传输摘要不是本地存密码。

提醒一下：源码里的 // codeql[...] 注释只在 advanced setup（启用 AlertSuppression.ql）时生效，默认设置下这 3 条还会报，需要在界面里 dismiss 一下。

二、修复的缺陷

1. 兑换守门有漏洞（app/automation.go）：手动点"检查兑换"会先确认"使用1小时"任务完成才继续，但自动调度那条路在等满 80 分钟后不管任务完没完成都会继续下单。现在两条路走同一个检查，任务没完成就跳过并提示原因。注意这是行为变化：以前超时后会硬着头皮兑换，现在不会了。
2. 兑换状态会"漂移"（automation/redeem_job.go）：commitState 原来先改内存再写盘，写盘失败两边就不一致了，重启后 pending 标记会丢。改成先落盘、成功后再改内存，跟 ResolvePending 的做法对齐。
3. 两处后台 goroutine 没 recover（app/runtime.go、app/automation.go）：包里其他地方都有 RecoverPanic，就这两处漏了。刷积分链路 panic 一次，整个保活进程就没了。
4. 配置保存互相覆盖（storage/config.go 加 UpdateConfig，登录/设置/兑换三处调用点统一改走）：原来都是自己 Load→改→Save，并发时后写的会把先写的冲掉。
5. 兑换设置保存会卡住定时任务（app/redeem_settings.go）：原来一进 Save 就拿写锁，然后才发网络请求加载目录，网络慢的时候所有定时任务都要干等。目录加载挪到锁外了，拿到锁之后会重新校验一遍账号状态。

三、顺手改的小问题

• 登录/绑定/兑换设置这几个对话框，关闭之后后台还在飞的网络回调会继续操作已经销毁的控件。现在 dlg.Run() 返回后置个 closed 标志，回调开头检查一下。
• 主日志初始化失败时程序直接起不来，改成降级运行——crash 日志本来就是允许失败的，主日志没道理更严格。
• UI 判断"上次兑换结果不确定"原来靠文案字符串比较，改成 State 里的 RedeemPending 字段。
• 三处随机字符串生成有轻微模偏差（256 % 62 = 8），改成拒绝采样。
• storage/protected.go 的文件名校验和 statePath 规则不一致（少了 ./..），统一掉。
• Windows 凭据写入后把内存里的明文清零。
• 代理的 UTF-16 解析换成 windows.UTF16PtrToString，原来的手写循环没上界。
• 打包脚本里 finally 的 throw 会覆盖 try 里的原始异常，排障看不到根因，改成了 warning。

影响和验证

正常路径的行为基本不变，唯一的例外就是上面说的兑换守门：超时后不再硬兑换。现有的测试语义都没动（pending 持久化、settings 回滚、跨账号守门这些用例都核对过）。

写这个 PR 的环境里没有 Go 工具链，没跑过 build/test，麻烦合并前跑一下：

go build ./... && go vet ./... && go test ./...