fix: 口令文件默认值回到仓库根（按你的决定），并让相对路径与工作目录无关

你的决定：口令文件继续放在仓库根，靠 .gitignore 的 *.key 兜住"不被提交"。我把出厂默认值改回 baknret.key，并把配置注释从"必须放在仓库之外"改成如实说明这是一次取舍：省事 vs 「不提交」依赖一个规则文件（git add -f、或整目录复制到别处再初始化仓库时，口令会跟着走）。

顺手修掉一个潜在陷阱：口令文件写相对路径时，原先的 Test-Path 是按**当前工作目录**找的。计划任务的工作目录通常是 C:\Windows\System32，在那里 Test-Path baknret.key 为假，加密条目就会以"拿不到口令"失败 —— 而配置看上去毫无问题。现在相对路径按仓库根解析（复用上一轮抽出来的 Resolve-BakNRetRootedPath）。

证据：把工作目录切到 C:\Windows\System32 再跑真实清单只读冒烟，仍然 4/4 通过（那份真实配置里有 5 个加密条目、口令文件就是仓库根的 baknret.key）。

验收：test.ps1 9/9 全绿（7 与 5.1）。

Backup.ps1

@@ -162,6 +162,11 @@ $manifest = Read-BakNRetManifest -Path $manifestPath
 $manifest.compressor = [pscustomobject]@{ name = $tool.Name; command = $tool.Command; extension = $tool.Extension; version = $toolVersion }
 
 $passwordFile = if ($KeyFile) { $KeyFile } else { $script:Config.Encryption.PasswordFile }
+if ($passwordFile) {
+    # 相对路径按**仓库根**解析，而不是按当前工作目录：计划任务的工作目录是 C:\Windows\System32，
+    # 在那里 Test-Path 找不到 baknret.key，加密条目就会以"拿不到口令"失败，而配置看上去没问题。
+    $passwordFile = Resolve-BakNRetRootedPath -Path $passwordFile -Default $passwordFile -Root $PSScriptRoot
+}
 $password = Get-BakNRetPassword -PasswordFile $passwordFile
 $encryptAll = [bool]$script:Config.Encryption.Enabled
 $showToolOutput = (-not $QuietTool) -and ($script:Config.ToolOutput -ne 'quiet')