fix(honeypot): 蜜罐封禁与 enable_auto_ban 解耦 + 泄露扫描后缀匹配

- autoban: 新增 RecordHoneypot 独立通道（不受 enabled 约束）+ 独立阈值/时长；
  IsBanned 不再因 enable_auto_ban=false 而忽略已有封禁
- honeypot: 新增 honeypotSuffixes 后缀匹配，覆盖 /backup.zip、/db.sql、/id_rsa.pem
- 新增配置 honeypot_threshold / honeypot_ban_minutes
- 补测试：autoban/honeypot_test.go、route 侧禁用自动封禁仍封禁

internal/conf/static.go

@@ -87,6 +87,12 @@ var (
 		HoneypotPaths string `ini:"honeypot_paths"`
 		// HoneypotRetainDays 蜜罐命中记录的保留天数，到期由 CLI 清理。
 		HoneypotRetainDays int    `ini:"honeypot_retain_days"`
+		// HoneypotThreshold 窗口内蜜罐命中多少次即封禁。默认 1（一次即封）：
+		// 蜜罐路径与真实业务路由零交集，正常访客不可能命中，一次即足以判定扫描器。
+		// 留空回退 1。
+		HoneypotThreshold int `ini:"honeypot_threshold"`
+		// HoneypotBanMinutes 蜜罐封禁时长（分钟）。留空则复用 ban_duration_minutes。
+		HoneypotBanMinutes int `ini:"honeypot_ban_minutes"`
 		SecurityAlertEmail string `ini:"security_alert_email"` // 触发封禁时告警收件人（留空不发送）
 	}