feat(filelib)!: VersionStore 改为真 git,一项目一仓库

内存 store 换成 gitVersionStore:init 建目录并 git init,VersionId 是
commit hash,某文件的版本取 `git log -1 -- <path>`(D16 文件级版本不因
别的文件提交而失效)。删除也是一个 commit,旧版本仍可读。决策见 ADR-0030。

git 用 execFile 调系统二进制,不引依赖。每次调用钉死 --git-dir/--work-tree
并禁 hooks、隔离全局 gitconfig:项目仓库是老师上传的数据,而 storage root
默认就在本 repo 内,不钉死会让命令落到外层仓库上。

同时:
- 单文件上限改为 HUB_FILELIB_MAX_FILE_BYTES(缺省 10MiB),前端从
  /database/config 读,不再两处硬编码
- commit 身份 name=displayName、email=<userId>@filelib.paradigm-edu.net;
  message 缺省为「【用户名】修改了【路径】」,调用方显式传则优先
- 上传改走弹窗,路径与 commit 信息可手填(原先 prompt 只能填路径)

BREAKING CHANGE: VersionId 由计数器(v1/v2)变为 commit hash;
CommitRequest.author 由字符串变为 { userId, displayName? }。
旧 .version-store.json 不迁移,此前建的项目报 repo_not_found。

hub/src/database/filelib/treeService.ts

@@ -35,6 +35,11 @@ export interface FileLibActor {
   readonly userId: string;
   /** silo org OWNER/ADMIN(契约 C4 适配)。仅 root 创建/force_adjust 用,不给读旁路。 */
   readonly isWebsiteAdmin: boolean;
+  /**
+   * 展示名(飞书昵称)。只用于生成 commit message 的【用户名】部分;
+   * 权限判定一律用 userId。缺失时回退到 userId。
+   */
+  readonly displayName?: string | undefined;
 }
 
 export interface TreeServiceDeps {
@@ -229,6 +234,8 @@ export async function createNode(
     }
 
     if (input.kind === "PROJECT") {
+      // ADR-0030:项目扁平居于同一根下、以 uuid 命名;名字不进路径(所以 rename
+      // 不动磁盘)。FOLDER 永不赋值 —— 文件夹不落盘,只存在于 DB 的 parentId/pathIds。
       storageDir = path.join(deps.storageRoot, id);
     }
 
@@ -308,6 +315,7 @@ export async function createNode(
   });
 
   // provisioning 状态机(Metis 风险#1):DB 行已持久,init 失败 → FAILED 可重试/对账。
+  // ADR-0030:这一步真的建目录并 `git init`;宿主无 git 则此处 provision_failed。
   if (input.kind === "PROJECT" && storageDir !== null) {
     try {
       await deps.versionStore.init(storageDir);