chore(备份): 异地备份定案为 OpenList 离线 bundle，撤销全部 git 辅仓

用户定案：「辅助仓就用 openlist，其他不再考虑」。
据此把前一轮为 Gitee 铺的路全部收回，git 远端只剩 CNB 一个。

一、git 配置收口
- `pushall` 别名 `origin + gitee` → `!git push origin main`（只推唯一远端）
- 移除 `gitea` remote（自建 23.254.236.47:3001）—— 远端仓库本身没删，
  需要时可 `git remote add` 恢复；改动前配置存
  `.workbuddy-backup/git-remotes.20261006-211516.txt`
- 确认无 gitee 相关 credential 残留

二、发布链路去 Gitee 化（6 处）
- `deploy/editor-api/bootstrap.sh`
    · 删掉 GITEE_URL / GITEE_SSH_KEY 两个变量与「没给私钥就降级」的分支
    · PUSH_REMOTES 默认 → origin
    · 原「配 gitee 辅仓远端」一节改为「清理退役远端」循环（gh/gitee/gitea），
      让从旧部署续用的工作区自动恢复干净
- `docker-compose.editor.yml`、`editor-api/server.mjs` → 默认值 origin
- `editor-api/README.md` → 变量表同步
- `editor-api/Dockerfile` → 注释里的「CNB / GitHub」改「CNB」
- `blog-admin/src/routes/rss/tools.ts` → deploy-notify 的注释里
  「与 Gitea Actions 的构建通知配套」改为中性描述
  （该轮询链路 2026-10-04 起已被 CNB 国内节点直传取代）

三、`scripts/setup-cnb-remotes.sh` 重写为单远端模式
- 去掉 GITEE_URL / GITEE_TOKEN 参数、校验、凭据写入与自检提示
- 新增「清理退役远端」步骤
- 凭据处理改为「已存在空的 credential.helper 就不再添加」，
  不再用 --replace-all —— 本仓另有一个从 `$HOME/.workbuddy/secrets/cnb-token`
  读令牌的自定义 helper，那是有效的，不能被脚本抹掉

四、备份升级为「唯一辅仓」的配置
- 保留份数 3 → 7（一周窗口；每份 605.5 MB ≈ 4.2 GB，F50 有 256 GB）
    · `scripts/backup-task.cmd` 默认参数 --keep 7
    · `scripts/backup-bundle.mjs` 的 KEEP 默认值同步为 7
      （原先写的是 2，一直被命令行参数掩盖着）
- 远端目录 `/本地/备份` → `/本地/备份/blog-bundle`：
  根目录是用户自己在用的（放着 github-zqlit-*、local-repos-* 等手工备份），
  实测发现直接放根下的 bundle 已被清掉 —— 改子目录隔离，避免混放与误删

五、新增 `scripts/backup-run.mjs`：备份的推荐入口 + 失败告警
- 读 `.workbuddy-backup/openlist-backup.env`（只补空缺，环境变量优先）
- 跑 backup-bundle.mjs 并实时透传输出，同时留一份日志尾部
- 退出码非 0 → 经 `scripts/send_mail.js` 发告警邮件（附日志尾部与常见原因）；
  成功默认不发，`--notify-success` 才发
- 退出用 `process.exitCode` 而非 `process.exit()`，避免截断未排干的 stdout
- 发信失败不改判备份退出码 —— 通知不该掩盖真正的故障
- 理由：这是当前**唯一**的异地备份，而「每天自动跑」的任务最典型的失败模式
  恰恰是静默的（F50 被带出门、换了网段、OpenList 没起来、口令改过……），
  没有告警就要等到真要用备份那天才发现
- `scripts/backup-task.cmd` 改调它

六、文档
- `架构总览.md`
    · §1.2 地址地图：备份行改指 F50/OpenList；通知行补「兼做备份失败告警」
    · §2 旅程图：双推改单推，并说明备份换了介质
    · §5.1 / §5.2 推送与远端：只剩 origin；补「已移除远端」表与恢复命令；
      GitHub 退役记录保留并补上「CI 定义也已删除」
    · §5.3 由「辅仓选型」改为「异地备份的定案」—— 明确不走 git 远端；
      平台对比数据保留备查，并注明 `bin/linux/hugo` 出库不必再做了
    · §5.6 补「唯一备份」定位、专属子目录、失败告警、keep 7、SMTP 配置键，
      实测数据更新为本次复测值
    · §6 待办：#2 定案、#3 不必做、#4 已移除、#8 已更新、#10 定位升级，
      新增 #11（F50 目录使用约定）
- `CNB构建落地方案.md` §4.0：双远端改单远端，脚本示例去掉 Gitee 参数
- `README.md`：推送说明改单推；脚本表补 backup-run.mjs

实测（2026-10-06，本轮复测）：
  bundle 7.4s / AES-256-GCM 加密 1.3s / 上传 19.2s（31.6 MB/s）
  / 读回 sha256 一致 → 端到端 60.6s，退出码 0
  告警邮件链路已实测（发出一封「备份成功」验证信）

★ 一处过程记录，供以后避免重复踩坑：
  中途我把「本机沙箱里 `env -u ... cmd > file` 会让输出整个消失」
  误判成 process.exit 截断 stdout，并据此改了日志实现；
  随后用 `env -u FOO echo hi > file`（同样零输出）证伪 ——
  那是沙箱文件重定向的伪影，与脚本无关。相关改动已回滚，
  只留下本身无害的 process.exitCode 写法。

deploy/editor-api/bootstrap.sh

@@ -20,18 +20,23 @@
 #
 # 可选环境变量（都有默认值）：
 #   CNB_URL       默认 https://cnb.cool/zqlit/blog.git
-#   GITEE_URL     默认 git@gitee.com:zqlit/blog.git（配了 GITEE_SSH_KEY 才会推它）
-#   GITEE_SSH_KEY 可选：Gitee 部署私钥的**内容**。给了才会把 gitee 加进推送远端，
-#                 否则 PUSH_REMOTES 自动降级成只推 origin（CNB 主仓）
 #   BLOG_DIR      /srv/blog          仓库工作区
 #   APP_DIR       /srv/editor-api    compose + .env
 #   TRASH_DIR     /srv/editor-trash  删除文章的回收目录（故意放在仓库外）
 #   BIND_PORT     8017               只绑 127.0.0.1
-#   PUSH_REMOTES  origin,gitee
+#   PUSH_REMOTES  origin             发布时依次推送的远端（默认只有 CNB 主仓）
 #   GIT_AUTHOR_NAME / GIT_AUTHOR_EMAIL / BLOG_BASE
 #
-# ★ 2026-10-06：原先的 GitHub（GH_URL / GH_SSH_KEY / remote `gh`）已随账号被标记
-#   而退役，备份远端改为 Gitee。旧的 GH_* 变量不再被读取。
+# ★ 2026-10-06（定案）：**异地备份不再走 git 远端**。
+#     - GitHub（GH_URL / GH_SSH_KEY / remote `gh`）：账号被平台标记，仓库被按
+#       AUP 清空 → 已从本脚本与整个链路移除
+#     - Gitee：单仓 500MB / 单文件 50MB 两道硬门槛，本仓 `bin/linux/hugo`
+#       是 83.1MB → 未采用
+#     - 自建 Gitea：已从远端列表移除
+#   现行备份 = CNB 主仓 + OpenList 上的加密 bundle（scripts/backup-bundle.mjs，
+#   由 Windows 计划任务 Blog-BundleBackup 每天 03:30 跑）。
+#   所以 PUSH_REMOTES 默认只有 origin；将来若要再加辅仓，设
+#   PUSH_REMOTES=origin,<名字> 并在下面「远端配置」一节补上对应 remote。
 # =====================================================================
 set -euo pipefail
 
@@ -43,7 +48,6 @@ die() { printf '\033[1;31m!! %s\033[0m\n' "$*" >&2; exit 1; }
 : "${ADMIN_PASS:?必须设置 ADMIN_PASS（后台登录密码，账号固定 admin）}"
 
 CNB_URL="${CNB_URL:-https://cnb.cool/zqlit/blog.git}"
-GITEE_URL="${GITEE_URL:-git@gitee.com:zqlit/blog.git}"
 BLOG_DIR="${BLOG_DIR:-/srv/blog}"
 APP_DIR="${APP_DIR:-/srv/editor-api}"
 TRASH_DIR="${TRASH_DIR:-/srv/editor-trash}"
@@ -51,12 +55,7 @@ BIND_PORT="${BIND_PORT:-8017}"
 GIT_AUTHOR_NAME="${GIT_AUTHOR_NAME:-blog-editor}"
 GIT_AUTHOR_EMAIL="${GIT_AUTHOR_EMAIL:-editor@usj.cc}"
 BLOG_BASE="${BLOG_BASE:-}"
-PUSH_REMOTES="${PUSH_REMOTES:-origin,gitee}"
-
-# 没有 Gitee 私钥就只推主仓 —— 宁可少推一个备份，也不要让每次发布都报错
-if [ -z "${GITEE_SSH_KEY:-}" ]; then
-  PUSH_REMOTES="origin"
-fi
+PUSH_REMOTES="${PUSH_REMOTES:-origin}"
 
 command -v docker >/dev/null || die "没有 docker"
 docker compose version >/dev/null 2>&1 || die "没有 docker compose"
@@ -79,16 +78,13 @@ else
   git clone --branch main "$AUTH_URL" "$BLOG_DIR"
 fi
 
-# gitee 辅仓远端：只有给了私钥才配（没给就只推 origin，见上面 PUSH_REMOTES 降级）
-if [ -n "${GITEE_SSH_KEY:-}" ]; then
-  install -d -m 700 ~/.ssh
-  printf '%s\n' "$GITEE_SSH_KEY" > ~/.ssh/blog_editor_gitee
-  chmod 600 ~/.ssh/blog_editor_gitee
-  ssh-keyscan -t rsa,ed25519 gitee.com >> ~/.ssh/known_hosts 2>/dev/null || true
-  git -C "$BLOG_DIR" remote remove gitee 2>/dev/null || true
-  git -C "$BLOG_DIR" remote add gitee "$GITEE_URL"
-  git -C "$BLOG_DIR" config core.sshCommand "ssh -i ~/.ssh/blog_editor_gitee -o StrictHostKeyChecking=accept-new"
-fi
+# 退役的远端：以前这一节会配 GitHub / Gitee 辅仓。2026-10-06 起异地备份改走
+# OpenList 上的加密 bundle（与 git 远端无关），所以 git 远端只留 CNB 主仓。
+# 若这份工作区是从旧部署续用的，顺手把残留的退役远端清掉，
+# 免得 `git pushall` 或后端按 PUSH_REMOTES 推送时撞上已失效的远端。
+for _retired_remote in gh gitee gitea; do
+  git -C "$BLOG_DIR" remote remove "$_retired_remote" 2>/dev/null || true
+done
 
 # 容器里要能 commit —— 顺手把身份写进仓库配置（不改全局）
 git -C "$BLOG_DIR" config user.name "$GIT_AUTHOR_NAME"