feat(autoban): 封禁响应图改为 ban_image_path 配置，默认仍是纯文字

上一版把 403 图 //go:embed 进了二进制。实际部署里图会集中放在 R2 统一管理、
由运维分发到各机器，进仓库反而成了负担：换一张图就要重新编译。

改为配置驱动：
- 新增 [security] ban_image_path（相对路径以进程工作目录为基准）；
- 留空 / 文件读不到 / 是目录 / 不是图片 / 超过 2 MB → 一律回退为纯文字
  "403 Forbidden"，即改造前的老行为。封禁响应是最后一道兜底，不能因为
  一张图缺失就变成 500，更不能把站点拦在启动阶段（失败只 Warn）；
- 启动时读一次装进 atomic.Pointer，热路径零磁盘 IO；换图 = 换文件 + 重启。

安全细节：按内容嗅探（http.DetectContentType）而不是扩展名，必须是 image/*。
把 ban_image_path 配成 app.ini / .env 会被拒绝并告警 —— 否则等于把配置文件
原样吐给每一个被封的攻击者。这条有专门的用例与变异验证。

顺带删掉 internal/route/assets（webp + embed），已无引用。

测试：
- TestWriteBannedTextFallback：未配图 → 403 + text/plain + 13 字节明文；
- TestWriteBannedServesConfiguredImage：配了 1×1 PNG → image/png（按内容嗅探）、
  Content-Length 与文件一致、body 与文件逐字节相同；
- TestLoadBanImageRejectsBadInput：不存在 / 是目录 / 非图片 / 空文件四种配置错误
  都不得装载，且**不得把文件内容当响应体吐出去**；
- TestLoadBanImageTooLarge：超 2 MB 拒绝；
- TestWriteBannedHead：两条分支的 HEAD 都只回头不给 body。
变异验证：去掉 image/* 校验 → 用例报「把文件内容当响应体吐了出去：
"[server]\nsalt = secret"」；强制走纯文字分支 → 配图用例按预期变红。

实测：真 webp 嗅探为 image/webp；app.sample.ini 嗅探为 text/plain 被拒。

docs/honeypot.md

@@ -112,19 +112,35 @@ honeypot_cred_dir = data/honeypot-creds
 
 ### 被封之后会看到什么
 
-状态码 `403`，body 是一张 256×256 的 webp（约 8.6 KB，画面写着 403 Forbidden），不再是那行 13 字节的明文：
+状态码永远 `403`，body 由 `[security] ban_image_path` 决定：
+
+```ini
+[security]
+ban_image_path = data/403.webp
+```
+
+| 情况 | 响应体 |
+|---|---|
+| 配了合法图片 | 图片本身（`Content-Type` 按内容嗅探，png/jpeg/gif/webp 都行） |
+| 留空 | 纯文字 `403 Forbidden`（改造前的老行为） |
+| 文件读不到 / 是目录 / 不是图片 / 超过 2 MB | 纯文字 `403 Forbidden` + 启动日志 Warn |
 
 ```
-$ curl -si https://你的站点/anything | head -4
+$ curl -si https://你的站点/anything | head -5
 HTTP/2 403
 content-type: image/webp
 content-length: 8608
 cache-control: no-store, no-cache, must-revalidate
 ```
 
-这样做有两个目的：爆破脚本常靠读响应体里的 `403 Forbidden` 确认自己已被拦，换掉 body 让这类判断失效；人肉访问（尤其是被共享出口连累的误封）时，看到一张明确的图比白屏好判断。
+为什么要能换成图：爆破脚本常靠读响应体里的 `403 Forbidden` 确认自己已被拦，换掉 body 让这类判断失效；人肉访问（尤其是被共享出口连累的误封）时，看到一张明确的图比白屏好判断。但这是**可选**的——配错了不会影响封禁本身，只是回到纯文字。
 
-图片用 `go:embed` 编进二进制（`internal/route/assets/403.webp`），不占任何可公开访问的 URL。想换成自己的图：覆盖同目录文件后重新编译、重启即可。注意体积——被封的来源会反复重试，8.6 KB 是刻意压过的（原图别直接塞几百 KB 的）。
+几个约束，都是刻意的：
+
+- **只认内容，不认扩展名**（`http.DetectContentType`）。把 `ban_image_path` 配成 `app.ini` / `.env` 会被拒绝并告警——否则等于把配置文件原样吐给每一个被封的攻击者。
+- **上限 2 MB**。被封来源会反复重试，每张图都照常占用出网带宽；建议 256×256、20 KB 以内。
+- **启动时读一次**，之后每个请求只读内存，不在热路径上做磁盘 IO。换图 = 换文件 + 重启进程。
+- `no-store`：中间层缓存一张 403 没有意义，还会让解封后的响应继续命中缓存。
 
 ### 封的是一把「键」，不是一个人