feat(honeypot): 蜜罐安全状况周期汇总（周报/月报 + 地图 + 邮件）

以周/月为单位汇总蜜罐命中，把来源 IP 通过公共服务查地理位置，画到地图上，
生成 HTML 报告并发邮件。同时补齐 ipinfo 无法回答「这个 IP 在哪儿」的问题。

新增 IP 地理定位层 internal/security/geoip：
- 与 internal/security/ipinfo 正交。ipinfo 走 cdncheck 离线指纹，只认云厂商/CDN/WAF，
  答的是「是不是代理」；肉鸡（家宽、企业宽带、移动网络）必然被判为
  「未识别（普通网络）」，所以「在哪儿」必须另建一套。
- ip-api.com 批量打底（100 个/请求、1.4s 节流）+ 腾讯位置服务精修国内
  （一 IP 一请求，只精修命中数最高的前 N 个，受 ip_geo_tencent_key 控制）。
- Result{Geo, Unresolved, Requests, Failures} 三态。服务明确回答「没有这个地址」
  才允许写失败缓存；请求超时/限流/5xx 一律不写 —— 否则一次抖动会把整批 IP
  钉成「查不到」三天，此后每份报告的定位覆盖率都莫名变成 0。
- addrs 按调用方给的顺序构建（不是 map 遍历）：腾讯精修只取前 N 个，乱序会让
  每次运行精修到不同 IP，配额花在长尾上。

报告生成 internal/security/report：
- period：PreviousWeek / PreviousMonth，窗口一律 [start, end) 左闭右开，
  相邻两期不重叠也不漏边界整点；period_key（week:2026-W44）做幂等。
- aggregate：按 shared.LimitKey 合并（IPv4 精确 / IPv6 折 /64）；国家、城市、
  路径、每日趋势；显式统计未定位命中数（覆盖率 60% 的图看起来和 100% 一样）。
- mapdraw：自绘等距圆柱投影气泡图。零海岸线零国界 —— 国界/台湾/南海诸岛绘制
  必须符合国家标准，自绘极易画错，真实底图交给腾讯。经纬网 + 度数刻度 +
  标签防重叠（同一都市圈两城市坐标差 0.01°，曾把「AU 55」和「AU 30」叠成
  看起来像 AU 305 的假数字）。
- html：自包含报告页，内嵌 SVG + 腾讯交互地图（无 key 时给申请指引，
  代码里不预置任何 key）。
- countryname：港澳台统一显示「中国香港/中国澳门/中国台湾」，常见国家用中文名。

存储与调度：
- ip_geo_cache（主键 = LimitKey，成功 TTL 90 天 / 明确无数据 TTL 3 天）
- security_report_logs（period_key 唯一索引 → 重启、错过时间窗都能正确补发，
  失败重试上限 5 次后停止）
- honeypot report --period week|month [--to] [--dir] [--no-email]
- web 启动时按配置挂 30 分钟一轮的调度器（与保留期清理共用停止信号，
  defer 移出 if 外，避免「清理关掉、报告开着」时 goroutine 泄漏）

配置（[security]）：ip_geo_provider=auto|ipapi|tencent|none、ip_geo_tencent_key、
honeypot_report_enabled / _weekly / _monthly / _email / _dir。

顺带修复：
- route/honeypot_test.go 的 captureStore 缺 AggregateSources/AggregatePaths/
  TimestampsBetween，整个 route 包编译不过。
- templates/render_test.go 的 mockLoggedUser 缺 TelegramChatID，3 个渲染测试失败。

internal/db/honeypot.go

@@ -97,6 +97,20 @@ type HoneypotStore interface {
 	// 而不是只能靠开发一次性汇报。Bytes 取整个关系的总大小（含索引），
 	// 因为磁盘压力来自索引和 TOAST，不只是堆表。
 	Size(ctx context.Context) (HoneypotSize, error)
+	// AggregateSources 统计 [since, until) 内按来源 IP 聚合的命中数。
+	//
+	// 安全汇总报告专用：报告要先按 IP 聚合再拿去地理定位，而不是把几十万条
+	// 命中明细全捞进内存再 group —— 明细只在「命中数」这一个维度上有用，
+	// 聚合能把它压到「独立 IP 数」的量级。
+	AggregateSources(ctx context.Context, since, until time.Time) ([]*HoneypotSourceAgg, error)
+	// AggregatePaths 统计 [since, until) 内被探测最多的路径。
+	AggregatePaths(ctx context.Context, since, until time.Time, limit int) ([]*HoneypotPathStat, error)
+	// TimestampsBetween 返回 [since, until) 内所有命中的时间戳（仅这一列）。
+	//
+	// 用于画每日趋势。刻意不在 SQL 里按天分组：DATE() 的返回类型在
+	// PostgreSQL（date）与 MySQL（[]byte）之间不一致，跨方言解析很脆；
+	// 而这一列的体积极小（时间戳 8 字节），取回来在 Go 里按天归并更稳。
+	TimestampsBetween(ctx context.Context, since, until time.Time) ([]time.Time, error)
 	// LegacyCredentialColumns 返回仍残留的旧版凭据列（空表示已清理）。
 	LegacyCredentialColumns(ctx context.Context) ([]string, error)
 	// PurgeLegacyCredentialColumns 删除旧版遗留的凭据列（不可逆）。
@@ -121,6 +135,20 @@ type HoneypotSourceStat struct {
 	Provider string
 }
 
+// HoneypotSourceAgg 是带「处置结果」的来源聚合行（安全汇总报告用）。
+//
+// 与 HoneypotSourceStat 的区别：那个是给 CLI 排行看的（只要次数），
+// 这个要给报告回答「打了多少次 / 有多少次被拦下 / 有多少次真的在试密码」。
+type HoneypotSourceAgg struct {
+	IP     string
+	Hits   int64
+	Banned int64
+	// Creds 带有凭据字段的命中数（真实破解尝试，区别于纯路径探测）。
+	Creds int64
+	// Provider 是该 IP 最近一次命中时的 cdncheck 标签（云厂商/CDN/WAF）。
+	Provider string
+}
+
 // HoneypotPathStat 路径聚合行。
 type HoneypotPathStat struct {
 	Path  string
@@ -234,6 +262,55 @@ func (h *honeypots) TopPaths(ctx context.Context, since time.Time, limit int) ([
 	return rows, err
 }
 
+// AggregateSources 统计 [since, until) 内按来源 IP 聚合的命中数。
+//
+// [since, until) 左闭右开：周期报告的相邻两期不能有重叠，也不能漏掉
+// 恰好落在整点上的记录 —— 用闭区间会让周一的 00:00:00 同时算进上周和本周。
+func (h *honeypots) AggregateSources(ctx context.Context, since, until time.Time) ([]*HoneypotSourceAgg, error) {
+	var rows []*HoneypotSourceAgg
+	err := h.db.WithContext(ctx).
+		Table("honeypot_hits").
+		// SUM(CASE WHEN ...) 是 PG 与 MySQL 都支持的写法（boolean 在 PG 里
+		// 不能直接 sum，转 1/0 才跨方言）。
+		Select("ip AS ip, count(*) AS hits, "+
+			"sum(case when banned then 1 else 0 end) AS banned, "+
+			"sum(case when had_fields then 1 else 0 end) AS creds, "+
+			"max(provider) AS provider").
+		Where("created_at >= ? AND created_at < ?", since, until).
+		Group("ip").
+		Order("hits DESC").
+		Scan(&rows).Error
+	return rows, err
+}
+
+// AggregatePaths 统计 [since, until) 内被探测最多的路径。
+func (h *honeypots) AggregatePaths(ctx context.Context, since, until time.Time, limit int) ([]*HoneypotPathStat, error) {
+	if limit <= 0 || limit > 500 {
+		limit = 20
+	}
+	var rows []*HoneypotPathStat
+	err := h.db.WithContext(ctx).
+		Table("honeypot_hits").
+		Select("path AS path, count(*) AS count").
+		Where("created_at >= ? AND created_at < ?", since, until).
+		Group("path").
+		Order("count DESC").
+		Limit(limit).
+		Scan(&rows).Error
+	return rows, err
+}
+
+// TimestampsBetween 返回 [since, until) 内所有命中的时间戳。
+func (h *honeypots) TimestampsBetween(ctx context.Context, since, until time.Time) ([]time.Time, error) {
+	var ts []time.Time
+	err := h.db.WithContext(ctx).
+		Model(&HoneypotHit{}).
+		Where("created_at >= ? AND created_at < ?", since, until).
+		Order("created_at ASC").
+		Pluck("created_at", &ts).Error
+	return ts, err
+}
+
 func (h *honeypots) DeleteBefore(ctx context.Context, before time.Time) (int64, error) {
 	res := h.db.WithContext(ctx).Where("created_at < ?", before).Delete(&HoneypotHit{})
 	return res.RowsAffected, res.Error