落地 BgFilter 单实例受限资源 Worker

新增私有 BgFilter worker，提供内部鉴权、并发限流、超时、顺序重试、flat 熔断和图片校验。
父生成流程改为通过内部二进制 HTTP 原地等待，并保留 flat 降级与 complex 失败语义。
接入本地开发、systemd、生产部署、Provision、健康巡检和配置漂移门禁。
补充动画、部署与运维测试、Linux fixture 隔离以及对应架构文档。

scripts/dev-stack-port-utils.mjs

@@ -55,8 +55,8 @@ export function parsePortRangeSpec(value) {
     throw new Error(`端口段无效: ${spec}，端口必须在 1024-65535 且起始不大于结束`);
   }
 
-  if (end - start + 1 < 4) {
-    throw new Error(`端口段至少需要 4 个端口: ${spec}`);
+  if (end - start + 1 < 5) {
+    throw new Error(`端口段至少需要 5 个端口: ${spec}`);
   }
 
   return {start, end, label: `${start}-${end}`};
@@ -118,6 +118,7 @@ export function mapDevPortsToPortRange(portRange) {
     apiPort: normalizedRange.start + 1,
     spacetimePort: normalizedRange.start + 2,
     adminWebPort: normalizedRange.start + 3,
+    bgfilterWorkerPort: normalizedRange.start + 4,
     range: normalizedRange,
   };
 }
@@ -569,6 +570,7 @@ export async function resolveDevStackPorts(config) {
     ['api', config.api],
     ['web', config.web],
     ['adminWeb', config.adminWeb],
+    ['bgfilterWorker', config.bgfilterWorker],
   ].filter(([, portConfig]) => Boolean(portConfig));
   const result = {};