feat(安全+品牌): 对外产物发布脱敏(3注入点/2465文件0泄露) + Kole Cup 定稿

安全：CHANGELOG.md 是仓库内部变更流水（含服务器目录、镜像回滚标签、内网网段、
部署时序、AI 工作流用语），此前被 build-site.ps1 / precompute.mjs / build-mobile.mjs
原样注入站点，而站点是公网可下载的静态文件 —— 抓一次 /site/m/changelog.html
即可拿到内网地址段与服务器目录布局。

- 新增 tools/lib/redact-publish.mjs（零依赖，构建期过滤，不改 CHANGELOG.md，
  内部可追溯性完整保留）
- 接入 precompute.mjs（PC data.json/changelog.json）与 build-mobile.mjs
  （移动端更新日志页）；build-site.ps1 不碰（ASCII-only 铁律）
- 只处理 changelog 字段：components[].sources 是规范实现源码，逐字保真
  （详情页代码区主动高亮注释，剥注释会破坏该功能）
- 实测消除：/opt/aurora-admin.prev-*、kole-ui-showcase:pre-*、docker compose、
  192.168.5.7、16 位产物指纹、1531/1531、并发会话/本会话/派子 agent
- settings.html 演示占位 IP 192.168.5.0/24（= 真实网段）改为 RFC 5737 的 192.0.2.0/24

品牌：Kole Cup 饮料杯标记定稿（几何 K → 圆角杯盖 + 杯身负空间 K，无吸管），
brand-mark.json 升 schemaVersion 3（paths 支持 { d, evenodd }），
verify:brand 增至 25 条（新增 B9b：负空间必须带 fill-rule）。

验证：发布集 2465 文件全量扫描 0 泄露；PC 回归 100%(1464/1464) ·
移动端 100%(807/807)；门禁品牌 25 / 隔离 31 / 移动文档 12 / 示例 9 / 版本 40 / i18n 17 全绿；
已按 AGENTS §九 发布公网，2461/2461 逐字节一致，五项验收全过。

已知未处理（既有缺口，ROADMAP S7-P28 已记录）：data.mobile.json 的
meta.generated 为墙上时钟，会让 CI 的「生成物可复现」断言在重跑构建后永远非空；
该 CI 流水线本身亦从未通过（无 runner）。

tools/precompute.mjs

@@ -30,6 +30,10 @@ import path from 'path';
    构建期绝不对 frameworks/ 里的内容做动态求值 —— 旧实现把数组字面量交给函数构造器求值，
    投毒的 .vue 因此可在构建机上执行任意 JS。 */
 import { parseStringLiteralArray } from './lib/parse-string-literal-array.mjs';
+/* 发布脱敏：CHANGELOG 段会被原样注入对外产物（data.json / changelog.json），
+   而它是仓库内部变更流水，含服务器目录、镜像回滚标签、内网网段与部署时序。
+   过滤只发生在「写产物」这一步，CHANGELOG.md 自身保持完整（见该模块头注释）。 */
+import { redactText, redactDeep } from './lib/redact-publish.mjs';
 /* 逐示例用法片段（构建期；运行时只读结果）：
    extractExamples 切场景 / extractClassPropMap 提 class↔prop / buildSnippets 生成四端用法 */
 import {
@@ -51,6 +55,10 @@ if (!existsSync(DATA_JSON)) {
 
 const data = JSON.parse(readFileSync(DATA_JSON, 'utf8'));
 const beforeKb = Math.round(statSync(DATA_JSON).size / 1024);
+/* 变更日志对外脱敏：它是从 CHANGELOG.md 抽的仓库内部流水，含部署目录、镜像标签、
+   内网网段与部署时序；产物是公网可下载的静态文件。
+   只处理 changelog —— components[].sources 是规范实现源码，必须逐字保真。 */
+if (Array.isArray(data.changelog)) data.changelog = redactDeep(data.changelog);
 const SOURCE_KINDS = ['html', 'css', 'jsx', 'vue2', 'vue3'];
 const expectedSourcePaths = [];