feat(aibox): 创建/安装技能工具统一生成 .md 扩展名 + 下线旧版 smtp.py

- CreateSkillTool/InstallSkillTool 改为生成带 .md 扩展名的技能文件，与人格技能文件规范一致
- 同步更新 7_extension_skills.md 模板与工具描述
- 删除旧版 smtp.py（P0-1）并同步审计文档与 README

docs/security/smtp_SECURITY_AUDIT_20260801.md

@@ -15,15 +15,15 @@
 
 | 等级 | 总数 | 已修复 | 部分修复 | 未修复 | 修复率 |
 |------|------|--------|----------|--------|--------|
-| P0 | 2 | 0 | 1 | 1 | 25% (部分) |
+| P0 | 2 | 1 | 0 | 1 | 50% |
 | P1 | 2 | 1 | 0 | 1 | 50% |
-| **合计** | **4** | **1** | **1** | **2** | **37.5%** (部分) |
+| **合计** | **4** | **2** | **0** | **2** | **50%** |
 
 ### 逐条验证
 
 | 编号 | 状态 | 代码位置 | 验证说明 |
 |------|------|----------|----------|
-| P0-1 | ⚠️ 部分 | `_run.sh` L6, `smtp.py` | `_run.sh` 已确认使用 `smtp_v2.py`，但旧版 `smtp.py` 仍存在于代码库中，可被误启动 |
+| P0-1 | ✅ 已修复 | ~~`smtp.py`~~ | 旧版 `smtp.py` 已删除下线（2026-08-04），杜绝误启动；`_run.sh` 使用 `smtp_v2.py` |
 | P0-2 | ❌ 未修复 | `smtp_v2.py` L113-117 | 使用 pymsg RpcServer，无认证机制（与 pymsg P0-3 同源），依赖 127.0.0.1 网络隔离 |
 | P1-1 | ❌ 未修复 | `smtp_v2.py` L90 | 验证码存储在进程内存 `code_store` dict，服务重启后全部失效 |
 | P1-2 | ✅ 已修复 | `smtp_v2.py` L82, L191 | `SMTP_HOURLY_LIMIT` 从环境变量正确加载（默认 100），全局熔断逻辑正确生效 |
@@ -34,15 +34,15 @@
 
 | 优先级 | 总数 | 已修复 | 待修复 |
 |--------|------|--------|--------|
-| P0 | 2 | 1（v2已修复） | 1（旧版需下线） |
+| P0 | 2 | 2 | 0 |
 | P1 | 2 | 1 | 1 |
 
 ---
 
 ## 🔴 P0 — 严重问题
 
-### P0-1: 旧版 smtp.py 存在大量致命漏洞（需立即下线） ⚠️ 部分修复
-- **位置**: `smtp.py`、`_run.sh`
+### P0-1: 旧版 smtp.py 存在大量致命漏洞（需立即下线） ✅ 已修复
+- **位置**: ~~`smtp.py`~~、`_run.sh`
 - **问题**: 旧版 smtp.py 缺乏关键防护：
   1. 无发送速率限制（可被用于邮件炸弹）
   2. 无同邮箱 60 秒发送冷却
@@ -50,10 +50,7 @@
   4. 无连续失败锁定机制
   5. 存在 `NameError` 风险：`server.quit()` 在 finally 块中，若 SMTP 连接失败导致 `server` 未赋值则崩溃
 - **已确认**: `_run.sh` L6 使用 `exec python3 smtp_v2.py`，生产环境已切换至新版
-- **仍缺失**: 旧版 `smtp.py` 仍存在于代码库中，可被误启动
-- **修复建议**:
-  1. 删除或重命名旧版 `smtp.py`（如 `smtp.py.deprecated`）防止误用
-  2. 在代码注释中明确标记废弃
+- **修复 (2026-08-04)**: 旧版 `smtp.py` 已**删除下线**，杜绝误启动；README 中相关描述已同步更新
 
 ### P0-2: 依赖 pymsg 无认证（缓解：绑定 127.0.0.1）
 - **说明**: 与其他 pymsg 服务相同，当前依赖网络层隔离
@@ -85,8 +82,8 @@
 ## 修复路线图
 
 ### 立即（24小时）
-- [ ] 确认 smtp 服务运行的是 smtp_v2.py，旧版下线
-- [ ] 删除或隔离 smtp.py 防止误用
+- [x] 确认 smtp 服务运行的是 smtp_v2.py，旧版下线 ✅ 已确认（`_run.sh` 使用 `smtp_v2.py`）
+- [x] 删除或隔离 smtp.py 防止误用 ✅ 已删除（2026-08-04）
 
 ### 短期
 - [ ] 验证全局熔断配置生效