feat(S6-P21): 组件族参数化(13族/44成员/导航族15文件同源/79→48概念组件)

【本次核心 · S6-P21】
- 族层数据：families.json + 44 份契约注入 family/familyRole/familyParams；
  data.json / data.js / site/details 同步。13 族 / 44 成员 / 35 独立 → 概念组件 79→48。
- 79 个 slug 全保留、集合逐一不变（铁律 5 对外承诺未破）；frameworks 仍 395 文件、薄壳仍 79。
- 归族判据为契约中可核对字段（semanticTypeCandidates 重叠 / anatomy 为同一骨架子集 /
  变体维度同构 / doNotInvent 显式从属声明），每族 mergeBasis 写明依据，不按名字猜。
- 实现层合并（导航族端到端切片）：tools/gen-family-impl.mjs 从 5 端模板生成
  TopMenu / SideMenu / MixedNavigation 共 15 文件，参数 direction=top|side|mixed；
  三份 CSS md5 完全相同 = 一份样式表服务三个组件。
- 新增 tools/gen-families.mjs、tools/gen-family-impl.mjs、tools/verify-families.mjs、
  tools/lib/family-model.mjs、tools/lib/family-impl/nav-menu/*.tpl。

【同时清掉此前已完成但未提交的批次】
生成物（data.json / data.js / site/sources / site/components 薄壳 / sitemap.xml / tests 报告）
跨阶段交织，无法拆成互相自洽的多个提交，故按既有批量风格合并提交：
- Package：三端可 import（S5-P18）+ 发布到私有 npm 源
- Docs site：导航语言改下拉（S5-P19）、详情页代码块默认展开、中英切换完整性
- Security：生产部署链审计修复（2026-09-19）+ 线上部署
- Theme modes 日间/夜间/自动；S1-P4 data.js 瘦身；S2-P5 暗色；S2-P6 跨端一致性；
  S2-P7 行为断言；S2-P9 FAQ；S3-P8 RTL；S3-P9 契约缺口解释层；S4-P12 发布流程
- 补入 tools/pack-deploy.mjs、run-site-smoke.mjs、verify-*.mjs，.dockerignore、
  安全审计修复与待决策项.md

【验收】
- node tools/verify-families.mjs → OK: 族层端到端一致（13 族 / 44 成员 / 79 组件不变 / 395 文件不变）
- node tools/verify-cross-platform.mjs → 79/79 identical（HEAD 基线 high 44）
- node tools/run-regression.mjs → 100%（79/79 页，1017/1017 断言，N/A 34），连跑 8 次一致，0 超时
- 逐页实测：topmenu / sidemenu / mixednavigation 各 13/13，帧内 direction 参数正确，0 JS 错误
- 零运行时依赖 OK；build-site.ps1 ASCII-only OK

【未纳入】site/components/<slug>/ 平台薄壳 316 个 —— 历史从未跟踪且属构建产物，保持现状。

tests/_collect.html

@@ -58,11 +58,28 @@ pre#out { background: var(--au-color-card-bg); border: 1px solid var(--au-color-
     stateEl.className = 'pill' + (kind ? ' ' + kind : '');
   }
 
+  var frameBySlug = {};
+
+  function isTrustedMessage(e, frame, slug) {
+    var msg = e && e.data;
+    if (!msg || !frame) return false;
+    if (e.origin !== location.origin) return false;
+    try {
+      if (e.source !== frame.contentWindow) return false;
+    } catch (err) {
+      return false;
+    }
+    return !!(msg.result && msg.result.slug === slug);
+  }
+
   window.addEventListener('message', function (e) {
     var d = e.data;
     if (!d || d.type !== 'aa-test-result' || !d.result) return;
     var slug = d.result.slug;
     if (bySlug[slug]) return;
+    if (e.origin !== location.origin) return;
+    var frame = frameBySlug[slug];
+    if (frame && e.source !== frame.contentWindow) return;
     bySlug[slug] = d.result;
     done++;
     update();
@@ -88,14 +105,14 @@ pre#out { background: var(--au-color-card-bg); border: 1px solid var(--au-color-
     var timer = setTimeout(finish, TIMEOUT);
 
     function onMsg(e) {
-      var d = e.data;
-      if (d && d.type === 'aa-test-result' && d.result && d.result.slug === slug) finish();
+      if (isTrustedMessage(e, frame, slug)) finish();
     }
     function finish() {
       if (settled) return;
       settled = true;
       clearTimeout(timer);
       window.removeEventListener('message', onMsg);
+      delete frameBySlug[slug];
       if (!bySlug[slug]) {
         try { frame.removeAttribute('src'); } catch (e) {}
         // 并发下主线程被抢占会导致偶发超时，先重试一次再判定
@@ -105,7 +122,7 @@ pre#out { background: var(--au-color-card-bg); border: 1px solid var(--au-color-
           return setTimeout(function () { loadInto(frame, slug, cb, attempt + 1); }, 250);
         }
         // 两次都超时，记为 timeout（与断言失败区分开，不计入通过率分母）
-        bySlug[slug] = { slug: slug, total: 0, pass: 0, fail: 0, skip: 0, failures: ['timeout'] };
+        bySlug[slug] = { slug: slug, total: 0, pass: 0, fail: 1, skip: 0, failures: ['timeout'] };
         done++;
       }
       try { frame.removeAttribute('src'); } catch (e) {}
@@ -115,6 +132,7 @@ pre#out { background: var(--au-color-card-bg); border: 1px solid var(--au-color-
     }
 
     window.addEventListener('message', onMsg);
+    frameBySlug[slug] = frame;
     frame.setAttribute('src', './' + slug + '.html');
   }