fix: Backup.ps1 与 Restore.ps1 并发撞车时互踩账本（加运行锁）

问题：两个入口都会写 manifest.json，也都会在备份目录里用 <归档>.tmp 这个名字生成临时
归档。计划任务与手动运行撞在一起时，两边会互相覆盖对方的账本；更糟的是两边会把彼此的临时
归档当成自己的。计划任务的 -MultipleInstances IgnoreNew 只挡住"计划任务之间"，挡不住手动运行。

修法：备份目录上的一把跨进程锁，用**独占文件句柄**（FileShare.None）而不是命名互斥体：
  * 句柄由内核持有，进程被杀 / 崩溃时自动关闭，锁自动释放 —— 不会留下需要人工清理的陈旧锁；
    命名互斥体要跨会话（计划任务在另一个会话里跑）还得用 Global\ 前缀，那需要额外权限。
  * 它是文件系统的锁：不区分会话、不区分终端，计划任务与手动运行会互相看见。
  * 锁文件里写明持有进程（pid / 起始时间 / 主机 / 用户）—— "到底是谁占着"不该靠猜。
拿不到锁就直接失败（退出码 1 + 明确消息），不等待：单个条目压缩可能十几分钟，"等它跑完"
对用户来说和挂住没区别。

只读模式不取锁（Backup 的 -DryRun；Restore 的 -DryRun / -WhatIf / -VerifyOnly）：
它们一个字节都不写，没必要被正在跑的备份挡在外面。

踩到并记下的两个坑：
  1) catch [System.IO.IOException] 接不住 —— PowerShell 把 .NET 方法抛出的异常包成
     MethodInvocationException，按内层类型做的 catch 会漏。现在沿 InnerException 链找，
     不是 IOException 就把原异常抛回去（目录不可写是 UnauthorizedAccessException，那是真
     错误，不该伪装成"另一次运行在进行中"）。
  2) 锁文件是独占打开的，所以内容只能在**释放之后**读 —— 第一版断言在持锁时去 Get-Content，
     被自己的锁拒了；这条断言现在挪到释放之后。

跨进程证据（真跑，不是推理）：父进程持锁 → 另一个进程取锁得到 DENIED；持锁状态下跑
真实的 Backup.ps1 → 退出码 1、日志点名锁文件、manifest 的 SHA256 未变；释放后另一进程
得到 GOT。

验收：test.ps1 9/9 全绿（7 与 5.1）；tests\Run-RealSmoke.ps1 4/4 全绿。

Restore.ps1

@@ -109,6 +109,18 @@ if ($WhatIfPreference) { Write-Log '试运行模式（-WhatIf / -DryRun）：不
 if (-not (Test-Administrator)) {
     Write-Log '建议以管理员身份运行以获取完整的目录访问权限' -Level WARN
 }
+# 同一份备份目录同一时间只允许一个进程操作（见 Common.psm1 的「运行锁」一节）。
+# 三种只读模式不取锁：它们一个字节都不写，没必要被正在跑的备份挡在外面。
+$runLock = $null
+if (-not $WhatIfPreference -and -not $VerifyOnly) {
+    $runLock = Enter-BaknretRunLock -Directory $BackupDir
+    if (-not $runLock) {
+        Write-Log ("另一次运行正在进行中（锁文件：{0}，里面写明了持有者）。本次不执行。" -f (Get-BaknretRunLockPath -Directory $BackupDir)) -Level ERROR
+        Stop-BaknretLog
+        exit 1
+    }
+    Write-Log ("已取得运行锁：{0}" -f (Get-BaknretRunLockPath -Directory $BackupDir)) -Level DEBUG
+}
 
 $passwordFile = if ($KeyFile) { $KeyFile } else { $script:Config.Encryption.PasswordFile }
 $password = Get-BaknretPassword -PasswordFile $passwordFile
@@ -853,6 +865,7 @@ Write-Log $summaryText -Level INFO
 
 $logPath = Get-BaknretLogPath
 if ($logPath) { Write-Log "日志已写入：$logPath" -Level INFO }
+Exit-BaknretRunLock -Lock $runLock
 Stop-BaknretLog
 
 if ($stats.failed -gt 0) { exit 1 }