fix(honeypot): cleanPath 处理零宽字符，并在清洗生效时打诊断日志

上一版只用 strings.TrimSpace，实测漏掉「看不见但不算 White_Space」的字符：
  cleanPath("\u200b/wp-login.php") = "/\u200b/wp-login.php"
（零宽没被删，还因为首字符不是 '/' 多补了一个斜杠，拼出更怪的路径）

改为 TrimFunc 同时匹配 unicode.IsSpace 与 U+200B/200C/200D/FEFF，且只处理首尾
—— 中间的零宽字符可能是攻击 payload，取证要保留原样。

另加诊断日志：清洗前后不一致时 WARN，用 %q 打出原始值。
测试环境出现过「记录里 path 带前导空白、本地链路却复现不出来」的情况，
不可见字符必须转义输出才定位得到。

测试：TestCleanPath 补零宽空格 / BOM / 中间零宽字符保留三个用例。

internal/route/honeypot_test.go

@@ -81,13 +81,16 @@ func newHoneypotTestServerFull(t *testing.T, enabled, autoBan bool, cs honeypot.
 // 取证数据变脏，爆破脚本还可能把表单提交到错误路径。
 func TestCleanPath(t *testing.T) {
 	cases := map[string]string{
-		"/wp-login.php":   "/wp-login.php",
-		" /wp-login.php":  "/wp-login.php",
-		"\t/wp-login.php": "/wp-login.php",
-		"wp-login.php":    "/wp-login.php",
-		"":                "/",
-		"   ":             "/",
-		"/ADMIN":          "/ADMIN", // 不改大小写：URL 路径大小写敏感
+		"/wp-login.php":       "/wp-login.php",
+		" /wp-login.php":      "/wp-login.php",
+		"\t/wp-login.php":     "/wp-login.php",
+		"wp-login.php":        "/wp-login.php",
+		"":                    "/",
+		"   ":                 "/",
+		"/ADMIN":              "/ADMIN",              // 不改大小写：URL 路径大小写敏感
+		"\u200b/wp-login.php": "/wp-login.php",       // 零宽空格（TrimSpace 不认）
+		"\ufeff/wp-login.php": "/wp-login.php",       // BOM
+		"/wp\u200b-login.php": "/wp\u200b-login.php", // 中间的零宽字符保留（可能是 payload）
 	}
 	for in, want := range cases {
 		if got := cleanPath(in); got != want {