feat(broker): 常开控制面 broker (WSS+PSK+扇出) + abg broker start (PR3)

[raysonmeng]

Stacked on #189 (PR2) — base 是 feat/v3-pr2-identity-auth。逐层合并后自动 retarget。

概要 / Summary

PR3：落地常开控制面 broker（§11.1）——v3 跨机协作的脊柱。新进程 src/broker.ts（独立故障域，不碰现有 daemon 1:1 流）：Bun.serve WSS + 每连接 PSK 握手 + MessageTransport 扇出。控制面 only：只接受/转发 Envelope，绝不读写 repo 文件（§2.6，代码同步靠 git）。

改动 / Changes

件	作用
src/broker.ts	WSS + hello{token} PSK 鉴权(StorePskIdentityProvider)→welcome/auth_error(close 4401)；subscribe(回 ack)/unsubscribe/publish；非 hello 要求先鉴权；close 退订全部；可配 bind host
src/cli/broker.ts	abg broker start --host/--port/--db；collab DB 目录 0700；resolveBindHost 白名单护栏（§7.3）
InProc/InMemory 加固	每个 subscriber handler try/catch 隔离（throwing-subscriber 不阻塞 siblings）+ 契约锁
docker/	多容器多机模拟（compose + Dockerfile + provision/broker/sim-client）+ .dockerignore

测试计划 / Test plan

• broker 集成测试（valid/invalid auth + 扇出 + malformed-JSON 拒绝）+ broker-cli（bind-host 护栏 + CGNAT 精度）
• Docker 多机模拟实跑通过：4 容器 provision→broker→publisher→subscriber，subscriber 跨容器收到 publisher 的 task_completed 事件 → SIM_OK 退 0（验证 §13 跨机切片：PSK 鉴权可达 + 扇出）
• bun run check exit 0 → 1730 pass / 0 fail、typecheck 干净、bundle 同步

Cross-review

• 轮 1（thorough，3 维 + 对抗式 verify）：抓出并修复 2 个真实 issue：
  • HIGH 绑定护栏：旧黑名单 host === "0.0.0.0" 漏掉空串 --host= 与 IPv6 :: → Bun.serve 静默绑全部网口、零警告（lsof 实证）。broker.ts 的 ?? "127.0.0.1" 是 nullish 合并，空串不回落。→ 改 loopback 白名单（空串→loopback；非 loopback 且非 Tailscale CGNAT 100.64.0.0/10 都警告）+ broker.ts 用 || 回落。
  • malformed JSON unhandled-rejection：JSON.parse("null") 后访问 .type 抛错逸出 async handleMessage 被 void 吞成 unhandled rejection（客户端发 null/42 即触发）→ 加 shape 守卫 + message handler .catch。
• 轮 2 / 轮 3（lean）：连续两轮 0 真实 issue → 收敛（CGNAT 精度顺手修正）。

Backlog / 计划内

• broker 无 topic/room 级授权（任一有效 token 可订阅/发布任意 topic）—— room 成员授权是 PR5/PR6（membership + 三档路由）；loop prevention/traceId/hop 同。
• 订阅数 / publish 大小 / idle 无上限（后续限流 + 超时，防 slowloris/DoS）。
• resolveDbPath+0700 在 auth/broker 重复（可抽 helper）；2 个 pre-existing flaky 计时测试（DaemonClient.sendReply、port-cleanup，隔离 pass、非本 PR）。

🤖 Generated with Claude Code