fix(honeypot): 蜜罐封禁与 enable_auto_ban 解耦 + 泄露扫描后缀匹配

- autoban: 新增 RecordHoneypot 独立通道（不受 enabled 约束）+ 独立阈值/时长；
  IsBanned 不再因 enable_auto_ban=false 而忽略已有封禁
- honeypot: 新增 honeypotSuffixes 后缀匹配，覆盖 /backup.zip、/db.sql、/id_rsa.pem
- 新增配置 honeypot_threshold / honeypot_ban_minutes
- 补测试：autoban/honeypot_test.go、route 侧禁用自动封禁仍封禁

conf/app.sample.ini

@@ -80,6 +80,11 @@ enable_honeypot = false             ; 开启后，扫描器探测后台路径（
                                    ; 假页面只含 canary 标记与假凭据，绝不含任何真实信息。
 honeypot_paths =                   ; 追加自定义诱饵路径（逗号分隔），与内置清单取并集。
 honeypot_retain_days = 30          ; 蜜罐命中记录的保留天数（取证用途），到期可用 CLI 清理。
+honeypot_threshold = 1               ; 窗口内蜜罐命中多少次即封禁。默认 1（一次即封）：蜜罐路径
+                                   ; 与真实业务路由零交集，正常访客不可能命中，一次即足以判定扫描器。
+honeypot_ban_minutes =              ; 蜜罐封禁时长（分钟）。留空则复用 ban_duration_minutes（15）。
+                                   ; ⚠️ 蜜罐封禁与 enable_auto_ban 相互独立：即使关掉自动封禁，
+                                   ; 只要 enable_honeypot = true，蜜罐命中仍会封禁并记录。
 default_moderation_strictness =    ; 站点默认「内容审核严格度」：lax（宽松）/ standard（标准）/ strict（严格）。
                                    ; 仅对未单独设置档位的账号生效（账号在设置页选择后以账号设置为准）。
                                    ; 留空回退 strict（最严档）：保证升级不会放宽任何拦截。