401U-12: 在线投票、受控操作与权限备份

[401U]

Summary

切换和重置由在线玩家显式投票决定；授权 force 操作须本人确认，独立 backup 按权限直接执行并逐文件校验。统一执行器负责请求互斥、停启恢复和失败收尾。关联 401U-12，版本 2.0.0。

可信快照 → 冻结投票 / 本人 force 确认 / 授权备份 → 单次执行 → 停启恢复

直接基于 main d1169e3439e0427da965a1c5e1ad20c6aba839fa，head b5e784c204dae9211b9ed4c48fc6b7ada0e71ce0；两个线性提交、33 个文件均属于操作实现、配置、使用文档或回归测试。列表保持配置顺序；既有统计字段保持 main 定义，线程与配置 IO 修复用于操作生命周期。

Evidence

• Before: main 的切换/重置使用操作确认，无冻结投票和独立权限备份；停启/槽锁收尾存在故障。
  After: 此 head 在真实 MCDR 2.7/2.14/2.16 各 83 项通过（含原样 QA-O02 文档断言 2 项），退出码均 0，无 skip 或 parser mock。覆盖权限撤销、force/vote/cancel 竞争、快照边界、备份完整性/失败、停启超时、reload/unload 和精确目标。
• 当前明确命令和 2.0.0 使用文档已同步，旧操作转接已移除；真实配置管理命令兼容三版 API。
• QA-O02 已删除两份 README 四行不支持字段，并保留独立断言；修订待原 QA 独立复核。当前 SHA 尚待 Java 验证；认证客户端、真实玩家 NBT、Paper 和生产配置未验证。历史 SHA 结论不替代此 head 的验收。工程日志及范围核对交付在 Multica 任务附件。

Merge Danger

Door: one-way

2.0.0 操作命令有破坏性变化；重置磁盘失败可能部分替换，无自动回滚。

Blast Radius: worlds

跨实例 occupied_by TOCTOU、容量/留存、历史异常退出证据不足和 CI artifact/workflow 权限风险保留。未合并发布。