docs(official-sync): 推荐环境变量配置代理并同步凭据处理说明

- official-resource-test-pull.md §0.1：新增"带凭据代理优先用 HTTPS_PROXY 环境
  变量"推荐（含 systemd EnvironmentFile 0600 用法），补充凭据处理说明——日志/
  status 脱敏、经 ALL_PROXY 环境变量传 curl、daemon 经环境变量下传、bat-proxy.secret
  复用与 clean-stable 清除；修正旧表述"代理参数写入后台子进程启动参数"。
- official-resource-backend.md 第 13 条：把"仅日志脱敏"扩写为全链路凭据不落
  世界可读位置。
- CURRENT_STATUS.md 第 7 条：同步上述凭据处理描述。
- deployments/systemd/official-sync.env.example：新增注释版 HTTPS_PROXY/NO_PROXY
  示例，并提示含凭据时按 0600 安装。
- CHANGELOG：新增"修复"（Unity 版本数值比较）与"安全"（代理凭据不落世界可读
  位置）条目。

对应 issue #18 维护清单 1-1 / 1-2。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

CHANGELOG.md

@@ -33,6 +33,12 @@
 - 新增 SQLite Resource Repository 和粗粒度 FFI JSON 接口
 - 补齐官方资源运行、架构、状态、缺口和交接文档
 
+### 修复
+- 修正 Unity 版本范围比较：改为按 `(major, minor, patch)` 数值比较，`2021.3.9f1` 等带发布后缀的正式版本号不再被字典序误判越界
+
+### 安全
+- 代理凭据不再落入世界可读位置：传给 curl 子进程时经 `ALL_PROXY` 环境变量而非 `--proxy` 参数，不进 curl 的 `/proc/<pid>/cmdline`；`--daemon` 模式下代理凭据经环境变量下传后台子进程，不进子进程 argv 或 `bat-status.json`，复用凭据单独存于 `0600` 的 `bat-proxy.secret` 并在 `clean-stable` 后台停止后清除；日志与 `status` 输出对带凭据代理 URL 脱敏（含无 `scheme` 形式）；推荐带凭据代理用 `HTTPS_PROXY` 等环境变量配置
+
 ### 计划
 - [x] 实现 CAS 存储引擎
 - [x] 实现 Rust 官方资源同步核心链路