feat(honeypot): 蜜罐安全状况周期汇总（周报/月报 + 地图 + 邮件）

以周/月为单位汇总蜜罐命中，把来源 IP 通过公共服务查地理位置，画到地图上，
生成 HTML 报告并发邮件。同时补齐 ipinfo 无法回答「这个 IP 在哪儿」的问题。

新增 IP 地理定位层 internal/security/geoip：
- 与 internal/security/ipinfo 正交。ipinfo 走 cdncheck 离线指纹，只认云厂商/CDN/WAF，
  答的是「是不是代理」；肉鸡（家宽、企业宽带、移动网络）必然被判为
  「未识别（普通网络）」，所以「在哪儿」必须另建一套。
- ip-api.com 批量打底（100 个/请求、1.4s 节流）+ 腾讯位置服务精修国内
  （一 IP 一请求，只精修命中数最高的前 N 个，受 ip_geo_tencent_key 控制）。
- Result{Geo, Unresolved, Requests, Failures} 三态。服务明确回答「没有这个地址」
  才允许写失败缓存；请求超时/限流/5xx 一律不写 —— 否则一次抖动会把整批 IP
  钉成「查不到」三天，此后每份报告的定位覆盖率都莫名变成 0。
- addrs 按调用方给的顺序构建（不是 map 遍历）：腾讯精修只取前 N 个，乱序会让
  每次运行精修到不同 IP，配额花在长尾上。

报告生成 internal/security/report：
- period：PreviousWeek / PreviousMonth，窗口一律 [start, end) 左闭右开，
  相邻两期不重叠也不漏边界整点；period_key（week:2026-W44）做幂等。
- aggregate：按 shared.LimitKey 合并（IPv4 精确 / IPv6 折 /64）；国家、城市、
  路径、每日趋势；显式统计未定位命中数（覆盖率 60% 的图看起来和 100% 一样）。
- mapdraw：自绘等距圆柱投影气泡图。零海岸线零国界 —— 国界/台湾/南海诸岛绘制
  必须符合国家标准，自绘极易画错，真实底图交给腾讯。经纬网 + 度数刻度 +
  标签防重叠（同一都市圈两城市坐标差 0.01°，曾把「AU 55」和「AU 30」叠成
  看起来像 AU 305 的假数字）。
- html：自包含报告页，内嵌 SVG + 腾讯交互地图（无 key 时给申请指引，
  代码里不预置任何 key）。
- countryname：港澳台统一显示「中国香港/中国澳门/中国台湾」，常见国家用中文名。

存储与调度：
- ip_geo_cache（主键 = LimitKey，成功 TTL 90 天 / 明确无数据 TTL 3 天）
- security_report_logs（period_key 唯一索引 → 重启、错过时间窗都能正确补发，
  失败重试上限 5 次后停止）
- honeypot report --period week|month [--to] [--dir] [--no-email]
- web 启动时按配置挂 30 分钟一轮的调度器（与保留期清理共用停止信号，
  defer 移出 if 外，避免「清理关掉、报告开着」时 goroutine 泄漏）

配置（[security]）：ip_geo_provider=auto|ipapi|tencent|none、ip_geo_tencent_key、
honeypot_report_enabled / _weekly / _monthly / _email / _dir。

顺带修复：
- route/honeypot_test.go 的 captureStore 缺 AggregateSources/AggregatePaths/
  TimestampsBetween，整个 route 包编译不过。
- templates/render_test.go 的 mockLoggedUser 缺 TelegramChatID，3 个渲染测试失败。

conf/app.sample.ini

@@ -195,6 +195,48 @@ honeypot_ban_minutes = 1440
 ; 建议单独挂一个卷，并让它不参与备份。
 honeypot_cred_dir = data/honeypot-creds
 
+; ── 安全状况汇总报告（周报 / 月报）──────────────────────────────
+;
+; 把周期内的蜜罐命中按来源 IP 聚合，再通过公共 IP 库定位到城市，
+; 生成「世界地图 + 国家/城市排行 + 来源明细」的 HTML 报告并邮件送达。
+;
+; ⚠️ 与 cdncheck 离线指纹的区别：那个只认云厂商 / CDN / WAF 的 ASN，
+; 肉鸡（家宽、企业宽带、移动网络）一律显示「未识别（普通网络）」。
+; 下面的 IP 库回答的是「这个 IP 在哪儿」，是另一个维度。
+;
+; 数据源（ip_geo_provider）：
+;   auto（缺省） = ip-api.com 批量打底（全球、无需 key）+ 腾讯精修国内
+;   ipapi        = 只用 ip-api.com
+;   tencent      = 只用腾讯位置服务（必须配 key，否则降级 ipapi）
+;   none         = 不查询任何外部服务，攻击者 IP 一个字节都不外发
+; 隐私边界：auto / ipapi 会把攻击者 IP 发给 ip-api.com，tencent 发给腾讯。
+ip_geo_provider = auto
+
+; 腾讯位置服务 key（lbs.qq.com 申请，个人免费额度足够）。
+; 两个用途：① 精修国内 IP 的省市与坐标；② 报告里可交互地图的底图。
+; 留空 → 跳过国内精修，报告里只保留离线地图（经纬网 + 气泡）。
+ip_geo_tencent_key =
+
+; 周期性安全汇总邮件。缺省全开。
+; 发送时机：周报在每周一、月报在每月 1 日之后的第一轮检查发出，覆盖
+; 「上一个完整周期」；服务停机错过时间窗会在重新上线后补发；
+; 幂等由 security_report_logs 的 period_key 唯一索引保证，不会重复发。
+; 失败最多重试 5 次后停下（SMTP 配错时无限重试只会刷满日志），
+; 之后可用 TamaBox honeypot report 手动补发。
+honeypot_report_enabled = true
+honeypot_report_weekly = true
+honeypot_report_monthly = true
+
+; 报告收件人。留空回退 security_alert_email。
+; 单独一个键是为了能把「随时发生的封禁告警」与「定期汇总」分投到不同邮箱
+; （例如告警进手机推送邮箱、汇总进归档邮箱）。
+honeypot_report_email =
+
+; 报告文件（HTML + PNG）的存放目录，按 0700 创建、文件 0600。
+; 里面有攻击者 IP 明细，不要放进 Web 可访问的目录。
+; 想先看内容不发送：TamaBox honeypot report --period week --no-email
+honeypot_report_dir = data/reports
+
 ; 被封禁（自动封禁 / 蜜罐封禁）时返回的图片路径，相对路径以进程工作目录为基准。
 ; 留空、文件读不到、或内容不是图片 → 一律回退为纯文字 "403 Forbidden"。
 ; 只接受 image/* 的内容（png / jpeg / gif / webp）：指向 app.ini 之类会被拒绝，