chore: 记录改造前基线

改造开始前的完整状态，作为可回退的基点。此提交之后：Pester 175 项、零依赖套件 101 项全绿；PowerShell 5.1 尚不可用（源文件无 BOM）。

包含此前未提交的在制品：安全描述符套件、Hyper-V 实验环境（tools/lab）、agent 约定（AGENTS.md 与 docs/agents）。

.gitignore 增加 *.key / *.pfx：BackupConfig.psd1 的 PasswordFile 此前默认指向仓库内的 baknret.key，一次 git add -A 就会把口令提交进版本库。默认值在后续提交中改为空。

tools/lab/payload/sandbox/BackupList.txt

@@ -0,0 +1,26 @@
+###########
+# BakNRet 隔离沙盒清单（只在 VM 内使用；所有路径都指向 C:\BakNRet-Lab\sources）
+###########
+#
+# 形态覆盖：多 Slot 软件名、单文件 Slot、中文+空格路径、真 NTFS 连接点、手写路径、
+#           :- 排除、:+ 追加、:: 覆盖 Path、行首方向标记 + / -、源缺失条目。
+# 约束提醒：归档名 = 软件名（或路径推导名），每行必须产生唯一归档名。
+
+# ---- 软件名条目（查同目录的 SoftwareCatalog.psd1）----
+
+AppMultiSlot   :- CacheSlot\cache-01.tmp,!*.log                       # Slot 前缀排除 + 任意层级通配
+AppFileSlot    :+ Modules:C:\BakNRet-Lab\sources\AppMultiSlot\Config  # 追加映射：把 Config 放到包内 Modules\
+软件目录甲                                                             # 中文 + 空格 + 点的路径
+JunctionToData                                                        # 真 NTFS 连接点
+MissingApp                                                            # 源不存在：记 missing-source，退出码仍 0
+OverrideTarget :: C:\BakNRet-Lab\sources\AppMultiSlot\Config          # :: 覆盖名录里故意写错的 Path
+
+# ---- 手写路径条目 ----
+
+C:\BakNRet-Lab\sources\AppBig
+C:\BakNRet-Lab\sources\AppLocked                                      # 被占用文件：验证「有文件没打进归档」的告警
+
+# ---- 行首方向标记 ----
+
++ C:\BakNRet-Lab\sources\AppDeep                                      # 仅备份，不恢复
+- C:\BakNRet-Lab\sources\AppRestoreOnly                               # 仅恢复，不备份（备份端跳过）