chore: 记录改造前基线

改造开始前的完整状态，作为可回退的基点。此提交之后：Pester 175 项、零依赖套件 101 项全绿；PowerShell 5.1 尚不可用（源文件无 BOM）。

包含此前未提交的在制品：安全描述符套件、Hyper-V 实验环境（tools/lab）、agent 约定（AGENTS.md 与 docs/agents）。

.gitignore 增加 *.key / *.pfx：BackupConfig.psd1 的 PasswordFile 此前默认指向仓库内的 baknret.key，一次 git add -A 就会把口令提交进版本库。默认值在后续提交中改为空。

tools/lab/payload/sandbox/SoftwareCatalog.psd1

@@ -0,0 +1,34 @@
+<#
+    BakNRet 隔离沙盒名录：软件名 -> Slot 组，全部指向 C:\BakNRet-Lab\sources 下的假数据。
+
+    只在 VM 内使用，宿主机仓库里的 SoftwareCatalog.psd1 不受影响。
+    带连字符的键必须加引号（PSD1 会把它当减法）；这里用中文键名，也统一加引号。
+#>
+@{
+    AppMultiSlot = @{
+        DefaultData   = @{ Path = 'C:\BakNRet-Lab\sources\AppMultiSlot\Data';   Description = '主数据（含 node_modules、session.log、空目录）' }
+        DefaultConfig = @{ Path = 'C:\BakNRet-Lab\sources\AppMultiSlot\Config'; Description = '配置（含 .bak）' }
+        CacheSlot     = @{ Path = 'C:\BakNRet-Lab\sources\AppMultiSlot\Cache';  Description = '缓存（清单里再排除一条 cache-01.tmp）' }
+    }
+
+    AppFileSlot = @{
+        Profile = @{ Path = 'C:\BakNRet-Lab\sources\AppFileSlot\profile.json'; Description = '单文件 Slot：归档内是名为 Profile 的文件' }
+        Readme  = @{ Path = 'C:\BakNRet-Lab\sources\AppFileSlot\readme.txt';   Description = '另一个单文件 Slot' }
+    }
+
+    '软件目录甲' = @{
+        DefaultData = @{ Path = 'C:\BakNRet-Lab\sources\软件 目录.甲'; Description = '中文 + 空格 + 点的路径' }
+    }
+
+    JunctionToData = @{
+        DefaultData = @{ Path = 'C:\BakNRet-Lab\sources\JunctionToData'; Description = '真 NTFS 连接点（指向 AppMultiSlot\Data）' }
+    }
+
+    MissingApp = @{
+        DefaultData = @{ Path = 'C:\BakNRet-Lab\sources\MissingApp'; Description = '源不存在：备份跳过并记 missing-source，恢复仍知道目标位置' }
+    }
+
+    OverrideTarget = @{
+        DefaultData = @{ Path = 'C:\BakNRet-Lab\sources\OverrideTarget-故意不存在'; Description = '故意写错，由清单里的 :: 覆盖成存在的目录' }
+    }
+}