chore: 记录改造前基线

改造开始前的完整状态，作为可回退的基点。此提交之后：Pester 175 项、零依赖套件 101 项全绿；PowerShell 5.1 尚不可用（源文件无 BOM）。

包含此前未提交的在制品：安全描述符套件、Hyper-V 实验环境（tools/lab）、agent 约定（AGENTS.md 与 docs/agents）。

.gitignore 增加 *.key / *.pfx：BackupConfig.psd1 的 PasswordFile 此前默认指向仓库内的 baknret.key，一次 git add -A 就会把口令提交进版本库。默认值在后续提交中改为空。

docs/agents/issue-tracker.md

@@ -0,0 +1,33 @@
+# 议题追踪：本地 Markdown
+
+本仓库的 issue 与 spec 都是 `.scratch/` 下的 markdown 文件。没有远程追踪器，也没有 CLI 依赖。
+
+## 约定
+
+- 一个特性一个目录：`.scratch/<feature-slug>/`
+- spec 是 `.scratch/<feature-slug>/spec.md`
+- 实现类 issue **一个 ticket 一个文件**：`.scratch/<feature-slug>/issues/<NN>-<slug>.md`，
+  从 `01` 编号，不要写成一个合并的 tickets 文件
+- 分诊状态记在每个 issue 文件靠近顶部的 `Status:` 行
+- 评论与对话历史追加到文件底部的 `## Comments` 标题下
+
+## 当某个技能说「publish to the issue tracker」
+
+在 `.scratch/<feature-slug>/` 下新建文件（需要就一并建目录）。
+
+## 当某个技能说「fetch the relevant ticket」
+
+读那个路径的文件。用户通常会直接给出路径或 issue 编号。
+
+## Wayfinding（`/wayfinder` 用）
+
+**Map** 是一份文件，每个 ticket 对应一个 **child** 文件。
+
+- **Map**：`.scratch/<effort>/map.md`（Notes / Decisions-so-far / Fog 正文）。
+- **Child ticket**：`.scratch/<effort>/issues/NN-<slug>.md`，从 `01` 开始，正文写问题本身；
+  `Type:` 行记类型（`research`/`prototype`/`grilling`/`task`），`Status:` 行记 `claimed`/`resolved`。
+- **Blocking**：靠近顶部写 `Blocked by: NN, NN`；列出的文件全部 `resolved` 才算解锁。
+- **Frontier**：扫 `.scratch/<effort>/issues/`，取未关闭、未阻塞、未认领的，编号最小者优先。
+- **Claim**：动手前先写 `Status: claimed` 并保存。
+- **Resolve**：在 `## Answer` 标题下追加答案，写 `Status: resolved`，
+  再把一段上下文指针（要点 + 链接）追加到 `map.md` 的 Decisions-so-far。