Harden auth/vault path sanitization and clean WeKnora docs

docs/operations/control-plane-turso.md

@@ -37,7 +37,7 @@ export MNOTE_TURSO_SYNC_INTERVAL_MS=5000
 
 - 本地 `.md`、附件、mindmap、OnlyOffice 文件仍是 local-first 文件真相，不迁入 Turso。
 - Turso 只承接 Rust control-plane 元数据：auth、session、workspace、grant、AI policy/runtime、audit/outbox 等。
-- `dev-hot`、`desktop-hot`、prod runtime 默认使用 `libsql-local`；`sqlite` 不再是 mnote-web 运行时后端。
+- `dev-hot`、`mnote-web-hot`、prod runtime 默认使用 `libsql-local`；`sqlite` 不再是 mnote-web 运行时后端。
 - `turso-remote` / `turso-local-replica` / `turso-synced` 只作为 dev DB dry-run、迁移演练、回滚演练和后续受保护 smoke。
 - remote 成为长期候选默认前，必须先完成 Argon2id password hash migration、remote smoke、rollback export 和 token 轮换策略。
 
@@ -123,7 +123,7 @@ cargo run --manifest-path rust/Cargo.toml -p control-plane --bin control-plane-a
   --backup-existing
 ```
 
-备份文件仅用于审计、对照和后续手工恢复，不作为 `npm run desktop:hot` / `npm run dev:hot` 启动后端。
+备份文件仅用于审计、对照和后续手工恢复，不作为 `npm run dev:hot` / `npm run dev:hot` 启动后端。
 
 ## 验证命令
 
@@ -134,7 +134,7 @@ cargo test --manifest-path rust/Cargo.toml -p control-plane --features turso-uni
 cargo test --manifest-path rust/Cargo.toml -p mnote-web app_state_initializes_control_plane_store_for_tests
 cargo test --manifest-path rust/Cargo.toml -p mnote-web dev_seed -- --test-threads=1
 cargo test --manifest-path rust/Cargo.toml -p mnote-web local_folder_watcher -- --test-threads=1
-node --test scripts/desktop-hot.test.js
+node --test scripts/mnote-web-hot.test.js
 node scripts/task-dev-hot-plan-test.js
 node scripts/task-control-plane-admin-libsql-roundtrip-smoke.js
 codegraph sync .
@@ -152,7 +152,7 @@ rg -n "sqlite3|better-sqlite3|node:sqlite|MNOTE_CONTROL_PLANE_DB_PATH|control-pl
 - `control-plane-admin` CLI
 - `control-plane-admin` 的 SQLite 迁移 / 导出参数
 - `scripts/lib/control-plane-test-env.js` 的显式测试后端参数
-- `desktop-hot` / `dev-hot` / `prod-build-start` 对 `sqlite` runtime 的拒绝逻辑
+- `mnote-web-hot` / `dev-hot` / `prod-build-start` 对 `sqlite` runtime 的拒绝逻辑
 - legacy `evidence.sqlite` / local search 测试边界
 
 不允许命中范围：
@@ -265,7 +265,7 @@ Tantivy FTS 当前不进入 control-plane：
 
 - Turso FTS 是 `CREATE INDEX ... USING fts` + `fts_match` / `fts_score` / `fts_highlight`，不是 SQLite FTS5 的无成本替换。
 - 当前 control-plane 只存轻量元数据，全文搜索收益有限。
-- 页面正文、知识库和 RAG 仍走 local-first 文件 / OpenHub / WeKnora，不迁入 Turso control-plane。
+- 页面正文、知识库和 RAG 仍走 local-first 文件 / OpenHub / LightRAG，不迁入 Turso control-plane。
 - 后续如需搜索页面标题、路径、AI 会话标题或轻量摘要，可单独做 P2/P3 spike。
 
 Browser WASM / OPFS 当前不进入主线：