v0.8.72

远程文件面板自动打开可永久关闭（issue #78）+ 连接报错现在一定带机器名 + zod 安全修复

#78 — 「远程文件」面板每次重启都自动弹，且关不掉
装了 better-sidebar 时，每次启动后第一次打开远程工作区都会自动弹出「远程文件」面板；
手动关闭只在当次运行有效（记录只在内存）。现在设置页新增
「打开远程工作区时，自动在侧边栏展开『远程文件』」复选框：取消勾选即持久生效，
重启不再打扰。默认保持开启，老用户习惯不变。

连接超时的报错现在一定告诉你是哪台机器
此前连接超时（真实网络上最常见的失败）只显示一句 Timed out while waiting for handshake，多台机器时分不清是谁超时——macOS 上该现象被新上线的 CI 腿抓出
（macOS 对未配置的回环别名不回 RST，必走超时路径）。现在连接阶段的错误统一在
连接池层归类，报错始终带 user@host:port 与可操作提示；新覆盖 ECONNRESET
（连接被重置）分类。friendlyMessage 幂等化，多层调用不会重复包装。

安全：zod 4.6.5 → 4.6.7
修复上游「校验超大受限集合时内存耗尽」漏洞（DoS，经 @deepseek-ai/schemastery
传递引入；zod 用于配置与工具入参校验）。

测试/基建（对贡献者）：目录选择器渲染级点击链已钉死（testing.md §7 销项）；
所有 client 沙盒统一为确定性假定时器；覆盖率合并修复跨实例决胜假象
（client.js 稳定 71.7%、index.js 77.7%，加权 80.3%）；CI 新增 macOS 腿
（security 钥匙串后端从此每次 push 实跑）；新增 tag 推送自动发布 workflow
（provenance + 安装验证）与 Dependabot；审计域抽出为 lib/audit.js（#82 第一步）。