test(gateway): 黑盒测试重写 34 断言 + v0.8.0 增量审计闭环文档

- tests/blackbox/test_gateway.py 重写为 6 段 34 断言（输入校验/whoami+admin.verify/
  captcha-image 代理/路径遍历矩阵/限流随机XFF隔离/CORS+脱敏回归），实测 32 passed/2 skipped
- helpers.py 新增 random_xff/assert_no_internal_leak/db_execute
- docs/security/gateway_SECURITY_AUDIT_20260809.md：A1-A8 增量复审（已全部修复）
- docs/reports/libhttp_remote_addr_dev_doc.md：A4 根治方案（X-Remote-Addr 可信头注入）
- docs/INDEX.md：security 29 篇/reports 12 篇同步

tests/blackbox/README.md

@@ -17,7 +17,7 @@ tests/blackbox/
 ├── config.py           # 服务地址与端口映射
 ├── helpers.py          # HTTP/TCP 请求封装 + 断言工具 + 计数器
 ├── test_runner.py      # 统一入口，--url 自动识别目标服务
-├── test_gateway.py     # 用户注册 → 登录 → Token → 代理转发
+├── test_gateway.py     # 输入校验/Token契约/代理路径安全/限流/CORS（v0.8.0 契约，认证链路待测试钩子）
 ├── test_captcha.py     # 获取验证码 → 校验 → 一次性消费
 ├── test_smtp.py        # 发送邮箱验证码 → 校验
 ├── test_dnfs.py        # 创建笔记 → 查询 → 更新 → 删除（含内容审核）