style: 逐条修静态分析告警（706 → 44），并把 MaxDepth 这条假承诺删掉

修掉的：空 catch 5 处；名词白名单 7 处；default-value 开关、自带 -WhatIf、lab 的明文口令与 irm|iex 各挂抑制并写明理由。

MaxDepth：它是分析器拓出来的真 bug —— 参数声明了却从未使用，也就是配置里的 CatalogMaxDepth 是假的，前缀补全实际只查 1 层，而配置注释与 README 都承诺「向下找几层」。按确认过的原则处理：**先让文档不撒谎**，所以把整条链路去掉（配置默认值、三个函数的参数、70 处实参、配置注释），而不是留一个假旋钮。零行为变化。想真的支持多层补全时，那是一个独立决定。

剩下 3 条都是分析器的误判，而且我实测确认过其中一条：$sourcePath 被报「赋值后从未使用」，我照着改成 $null = 之后，Set-StrictMode -Version 3.0 下读未定义变量直接抛错，Security 套件的 BeforeAll 挂掉、4 条用例连带失败。恢复后才绿。

这一类误判有共同成因：静态分析看不到「在传给 Test-Case / It / Where-Object 的 scriptblock 里被使用」。所以我只对能证明是误判的挂抑制并写明理由，不为了数字好看去改代码。

验收：test.ps1 9/9 全绿（7 与 5.1）、100 个文件两版解析零错、Run-RealSmoke 4/4。

tools/lab/Lab-Common.ps1

@@ -88,6 +88,8 @@ function Save-LabCredential {
 
 function Get-LabCredential {
     <# .SYNOPSIS 读出 VM 凭据为 PSCredential。 #>
+    [Diagnostics.CodeAnalysis.SuppressMessageAttribute('PSAvoidUsingConvertToSecureStringWithPlainText', '',
+        Justification = '实验机的随机口令本来就得明文生成再注入 unattend.xml（Windows Setup 只接受那种形式）。它只活在本机实验环境，不进生产路径。')]
     param()
     $path = Get-LabCredentialPath
     if (-not (Test-Path -LiteralPath $path)) { throw "找不到 VM 凭据：$path（先跑 New-BakNRetLab.ps1）" }