feat: M4a host key 校验（TOFU pin，关闭 MITM 敞口）

- TXCore/SSH: SSHWire(string/mpint 编码)、ECDSAConv(DER→SSH 签名/P256 blob)、
  HostKey(opensshFingerprint/evaluate/HostTriple/KnownHostsStore)，+10 单测（含真实指纹向量、高位 DER）
- TXTransport: SSHConfig.hostKeyVerifier 闭包 + SSHError.hostKeyMismatch；
  SSHSession 握手后 libssh2_session_hostkey 取 blob 交 verifier，拒绝则断开抛错
- app: 文件后端 KnownHostsStore（未签名 app 无 keychain 权限 SecItem -34018，host key 是
  公钥非机密，沙盒文件对 TOFU 足够）+ TOFU verifier + firstUse 横幅 + mismatch alert(信任/取消)
- 验证(192.168.9.199)：首次信任 pin+接受连上；假 pin→不符→断开+告警，本次指纹与 ssh-keygen 逐字符一致

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

packages/TXCore/Sources/TXCore/SSH/HostKey.swift

@@ -0,0 +1,52 @@
+import Foundation
+import CryptoKit
+
+/// host key 三元组身份：egress（direct / tsnet 节点名）+ host + port。
+/// 同一台机器经不同 egress（如 192.168.x 直连 vs 100.x tailnet）host 本就不同，egress 维度兜底 hostname 复用。
+public struct HostTriple: Hashable, Sendable {
+    public let egress: String
+    public let host: String
+    public let port: Int
+    public init(egress: String, host: String, port: Int) {
+        self.egress = egress
+        self.host = host.lowercased()
+        self.port = port
+    }
+    /// Keychain account 规范化键。
+    public var accountKey: String { "\(egress)|\(host)|\(port)" }
+}
+
+/// TOFU 评估结果。
+public enum HostKeyEvaluation: Equatable, Sendable {
+    case firstUse                 // 无记录 → 首次信任并 pin
+    case trusted                  // 与 pin 一致
+    case mismatch(stored: Data)   // 与 pin 不符 → 高度可疑（MITM/换机/配置漂移）
+}
+
+public enum HostKey {
+    /// 纯函数：拿已存 blob 与本次呈现 blob 比对。
+    public static func evaluate(stored: Data?, presented: Data) -> HostKeyEvaluation {
+        guard let stored else { return .firstUse }
+        return stored == presented ? .trusted : .mismatch(stored: stored)
+    }
+
+    /// OpenSSH 风格指纹："SHA256:" + base64(sha256(blob))（去尾部 '=' padding，与 ssh-keygen -lf 逐字符一致）。
+    public static func opensshFingerprint(_ blob: Data) -> String {
+        let digest = SHA256.hash(data: blob)
+        let b64 = Data(digest).base64EncodedString().replacingOccurrences(of: "=", with: "")
+        return "SHA256:" + b64
+    }
+}
+
+/// known_hosts 记录（跨平台层存取）。
+public struct HostKeyRecord: Equatable, Sendable {
+    public let blob: Data
+    public let keyType: Int32     // LIBSSH2_HOSTKEY_TYPE_*
+    public init(blob: Data, keyType: Int32) { self.blob = blob; self.keyType = keyType }
+}
+
+/// pin 存储抽象（平台层用 Keychain 实现；单测用内存实现）。
+public protocol KnownHostsStore: Sendable {
+    func lookup(_ triple: HostTriple) -> HostKeyRecord?
+    func pin(_ triple: HostTriple, record: HostKeyRecord)
+}

packages/TXCore/Sources/TXCore/SSH/SSHWire.swift

@@ -0,0 +1,55 @@
+import Foundation
+
+/// SSH 线格式基础编码（RFC 4251）。纯逻辑、可单测。
+public enum SSHWire {
+    /// `string`：4 字节大端长度前缀 + 原始字节。
+    public static func string(_ bytes: [UInt8]) -> [UInt8] {
+        let n = UInt32(bytes.count)
+        return [UInt8(truncatingIfNeeded: n >> 24), UInt8(truncatingIfNeeded: n >> 16),
+                UInt8(truncatingIfNeeded: n >> 8), UInt8(truncatingIfNeeded: n)] + bytes
+    }
+    public static func string(_ s: String) -> [UInt8] { string([UInt8](s.utf8)) }
+
+    /// `mpint`：大端二补码整数（本函数只处理非负）。去前导 0；最高位为 1 时前补 0x00；再套 string。
+    public static func mpint(_ magnitude: [UInt8]) -> [UInt8] {
+        var b = magnitude
+        while b.first == 0 { b.removeFirst() }        // 去前导零
+        if b.isEmpty { return [0, 0, 0, 0] }          // 值为 0 → 空串
+        if b[0] & 0x80 != 0 { b.insert(0, at: 0) }    // 高位为 1 → 前补 0x00（否则被当负数）
+        return string(b)
+    }
+}
+
+/// ECDSA(P-256) 的 SSH 线格式转换（供 Secure Enclave publickey 认证）。
+public enum ECDSAConv {
+    /// 把 `SecKeyCreateSignature` 的 DER `SEQUENCE{INTEGER r, INTEGER s}` 转成 SSH 的 `mpint(r) || mpint(s)`。
+    /// 注意：r/s 最高位为 1 时 DER 已含前导 0x00，mpint 重新按规则编码即可。失败返回 nil。
+    public static func derToSSHSignature(_ der: [UInt8]) -> [UInt8]? {
+        var i = 0
+        func readLen() -> Int? {
+            guard i < der.count else { return nil }
+            var l = Int(der[i]); i += 1
+            if l & 0x80 != 0 {
+                let n = l & 0x7f
+                guard n > 0, i + n <= der.count else { return nil }
+                l = 0
+                for _ in 0 ..< n { l = (l << 8) | Int(der[i]); i += 1 }
+            }
+            return l
+        }
+        guard i < der.count, der[i] == 0x30 else { return nil }; i += 1   // SEQUENCE
+        guard readLen() != nil else { return nil }
+        func readInt() -> [UInt8]? {
+            guard i < der.count, der[i] == 0x02 else { return nil }; i += 1   // INTEGER
+            guard let l = readLen(), i + l <= der.count else { return nil }
+            let v = Array(der[i ..< i + l]); i += l; return v
+        }
+        guard let r = readInt(), let s = readInt() else { return nil }
+        return SSHWire.mpint(r) + SSHWire.mpint(s)
+    }
+
+    /// 由 X9.63 公钥字节（`0x04 || X || Y`，65B）拼 SSH `ecdsa-sha2-nistp256` 公钥 blob。
+    public static func p256PublicKeyBlob(x963: [UInt8]) -> [UInt8] {
+        SSHWire.string("ecdsa-sha2-nistp256") + SSHWire.string("nistp256") + SSHWire.string(x963)
+    }
+}