chore: 记录改造前基线

改造开始前的完整状态，作为可回退的基点。此提交之后：Pester 175 项、零依赖套件 101 项全绿；PowerShell 5.1 尚不可用（源文件无 BOM）。

包含此前未提交的在制品：安全描述符套件、Hyper-V 实验环境（tools/lab）、agent 约定（AGENTS.md 与 docs/agents）。

.gitignore 增加 *.key / *.pfx：BackupConfig.psd1 的 PasswordFile 此前默认指向仓库内的 baknret.key，一次 git add -A 就会把口令提交进版本库。默认值在后续提交中改为空。

.gitignore

@@ -12,6 +12,12 @@ logs/
 # 测试用的本地依赖（Pester 等，见 tools/Install-TestDependencies.ps1）
 .tools/
 
+# 口令与私钥文件绝不进版本库。
+# BackupConfig.psd1 的 PasswordFile 默认值为空：口令应放在仓库之外
+# （用 $env:BAKNRET_PASSWORD，或用 -KeyFile 指向仓库外的文件）。
+*.key
+*.pfx
+
 # 编辑器 / 系统杂项
 .vscode/
 *.swp