feat: v0.6.0 全量审计修复 — 安全加固 + 死代码激活 + 依赖治理

基于全量源码审计（electron/ 70+ 文件、src/ 45+ 文件完整读取）的
四阶段迭代，修复 1 项安全缺陷、8 项功能缺陷、依赖与文档系统性脱节。

【P0 安全与数据正确性】
- S-1 数据导出泄露明文密钥：data:export 全量导出直接透传
  configService.getAll()（敏感 key 解密返回），导出文件含明文 API Key。
  新增 sanitizeExportConfig（shared.ts）逐 key 脱敏 + 5 项回归测试
- F-3 session_summaries 无级联删除：删会话后摘要永久残留。建表语句补
  FOREIGN KEY ON DELETE CASCADE + 迁移 8 重建存量表（幂等检测）+ 2 项测试
- F-4 macOS activate 重建窗口后确认弹框失效：窗口创建收敛为 createMainWindow
  单一入口（beforeLoad 补 setMainWindow/IPC 注册），TrayManager 补
  rebindWindow，app:selectFolder 改 event.sender 动态解析窗口

【P1 死代码激活与功能补全】
- F-1 会话右键菜单挂载：ContextMenu session 分支（重命名/置顶/归档/
  导出/删除）约 200 行此前无任何触发点，Sidebar SessionItem 挂载
  onContextMenu；置顶/归档 label 随状态切换显示
- F-2 归档会话不可找回：Sidebar 新增「已归档」折叠面板（恢复入口），
  归档功能形成完整闭环
- F-7 Provider 白名单校验：createAdapter/buildFallbackAdapter 未知
  provider 显式拒绝（此前静默落入 DeepSeekAdapter 以空配置失败）
- F-8 死配置治理：接通 5 项（llm.temperature/llm.maxTokens 注入引擎、
  security.promptInjectionDefense 控制 SecurityScanHook+消息检测、
  logging.auditEnabled 控制 AuditLogHook、logging.traceEnabled 控制
  SessionRecorder，均 fail-secure 仅显式 false 关闭）；删除 4 项
  无消费者配置（requireWriteConfirmation/maxFileWriteSizeKB/fontSize/
  animationMode）

【P2 依赖治理与 UX 修缮】
- D-1 移除僵尸依赖 electron-store/zod/rehype-raw（源码零引用，
  共裁 24 包）；README 技术栈表同步删除虚假宣称
- metona-toast 升级 0.2.1 → 0.5.0（API 全兼容：107 种图标类型、
  配置项超集，default/configure/use 接口不变）
- F-5 工作空间手输路径实时落库中间态：改 pendingPath 草稿 + 显式
  「校验」按钮（选择文件夹与手输共用 validatePath 流程）
- F-6 确认弹框超时滞留：倒计时归零时主动 refreshPending（后端超时
  已删条目，拉取后弹框自然消解）
- D-3 ChatInput accept 移除 .pdf（分类器不识别，误导性入口）；
  Onboarding 切换 Provider 自动填充默认 URL（与 LLMSettings 一致）

【P3 文档口径收敛】
- README：工具数 30+→28、版本 0.6.0、测试数 252、配置表补 F-8 接通项
- built-in/index.ts 计数注释 30→28
- docs/网络工具 v2 存储键名统一为点号口径（searxng.enabled）
- docs/完整设计指南修正 db.handlers.ts 失效路径引用为 data.ts

【验证】
- lint 0 error / 0 warning
- typecheck 双工程（node+web）0 错误
- test:electron 24 文件 252 用例全通过（+7 新增：导出脱敏 ×5、
  级联删除 ×2）
- electron-vite build 成功（metona-toast 0.5.0 chunk 正常）
- 系统 Node 模式 npm test 225 通过 + 27 ABI skip（符合预期）

README.md

@@ -10,7 +10,7 @@
 </p>
 
 <p align="center">
-  <img src="https://img.shields.io/badge/version-0.5.5-blue?style=flat-square" alt="Version" />
+  <img src="https://img.shields.io/badge/version-0.6.0-blue?style=flat-square" alt="Version" />
   <img src="https://img.shields.io/badge/license-MIT-green?style=flat-square" alt="License" />
   <img src="https://img.shields.io/badge/Electron-35-47848F?style=flat-square&logo=electron" alt="Electron" />
   <img src="https://img.shields.io/badge/React-19-61DAFB?style=flat-square&logo=react" alt="React" />
@@ -117,10 +117,9 @@
 | 📝 Markdown | **react-markdown + remark-gfm** | 10 / 4 | 富文本渲染 |
 | 🌐 HTML 解析 | **node-html-parser** | 6 | 搜索引擎结果结构化解析 |
 | 🔢 UUID | **nanoid** | 5 | 唯一 ID 生成 |
-| ✅ 校验 | **Zod** | 3 | 运行时类型校验 |
 | 💾 缓存 | **lru-cache** | 11 | 内存缓存 |
 | 📋 日志 | **electron-log** | 5 | 分级结构化日志 |
-| ⚙️ 配置 | **electron-store** | 10 | 键值对持久化配置 |
+| ⌨️ 命令解析 | **shell-quote** | 1 | Shell 命令 token 化（防注入） |
 
 ---
 
@@ -477,7 +476,7 @@ Metona 的 Agent 引擎采用分层架构，每层职责清晰：
 │  L3 工具与安全执行层 (Tools & Security)                            │
 │  ┌────────────┐ ┌──────────┐ ┌──────────┐ ┌─────────────────┐   │
 │  │ ToolRegistry│ │ Sandbox  │ │PolicyEng │ │ InjectionDefender│   │
-│  │ 30+ 工具注册│ │ 28+ 扫描 │ │ 35+ 策略 │ │ 40+ 正则 + 语义  │   │
+│  │ 28 工具注册 │ │ 28+ 扫描 │ │ 35+ 策略 │ │ 40+ 正则 + 语义  │   │
 │  │ MCP 适配    │ │ 路径校验 │ │ 频率限制 │ │ 输出校验         │   │
 │  └────────────┘ └──────────┘ └──────────┘ └─────────────────┘   │
 │  类型: MetonaToolDef / MetonaToolCall / MetonaToolResult         │
@@ -643,7 +642,12 @@ OLLAMA_BASE_URL=http://localhost:11434
 |:---|:---|:---|
 | `llm.provider` | （空） | LLM Provider ID（未配置时回退 .env） |
 | `llm.model` | （空） | 模型标识符 |
+| `llm.temperature` | `0` | 生成温度（注入引擎请求参数） |
+| `llm.maxTokens` | `63488` | 单次生成最大 token（各 Provider 按模型上限自动钳制） |
 | `llm.multimodalEnabled` | `false` | 多模态总开关 — 未开启时即使模型支持也不能上传图片 |
+| `security.promptInjectionDefense` | `true` | 提示注入检测总开关（用户消息 + 工具结果扫描） |
+| `logging.auditEnabled` | `true` | 工具调用审计日志开关 |
+| `logging.traceEnabled` | `true` | 会话 TRACE 录制开关（JSONL 文件） |
 | `agent.maxIterations` | `20` | ReAct 最大迭代轮次 |
 | `agent.totalTimeoutMs` | `600000` | Agent 总超时 (ms) |
 | `agent.toolExecutionTimeoutMs` | `120000` | 单个工具执行超时 (ms) |
@@ -867,7 +871,7 @@ npm run format             # Prettier 格式化
 
 # ─── 测试 ─────────────────────────────────
 npm test                   # 运行单元测试 (Vitest, 系统 Node — audit 套件因 better-sqlite3 ABI 自动跳过)
-npm run test:electron      # 运行全量单元测试 (Electron Node ABI, 245 用例全执行, 含 SQLite 审计链哈希 + 引擎工具链集成)
+npm run test:electron      # 运行全量单元测试 (Electron Node ABI, 252 用例全执行, 含 SQLite 审计链哈希 + 引擎工具链集成)
 npm run test:watch         # 测试监听模式
 
 # ─── 构建 ─────────────────────────────────