feat(huya): 浏览器兑换三目标直达并收窄扩展注入范围

- 操作列改为「直播间 / 精英宝典 / 电竞宝典」三个直达按钮，点哪个就按哪个目标写入登录态并打开，去掉弹窗内选择
- 新增 services/huya_exchange_targets.py 统一三个目标地址，接口支持可选 body {"target": "..."}（不传=精英宝典）
- 扩展内容脚本从 <all_urls> 收窄到后台站点白名单，service worker 校验 sender.tab.url，拒绝其它来源的注入
- 注入改为 Cookie 写完后回执（ok/written/failed/error），前端按回执提示成功或失败，不再静默
- 扩展图标兜底改用 world:'MAIN' 读取；一个 Cookie 都没写成功时不打开目标页
- 兑换材料签发写审计 huya:exchange:kit（含账号与目标）
- 控制台脚本增加 huya.com 域校验与 Secure，与扩展路径保持一致
- 修复兑换记录轮询的跨账号串扰与卸载后 setState；兑换请求加 epoch 防止过期结果覆盖弹窗
- 新增 tests/test_huya_browser_exchange.py（13 项）并同步 docs/HUYA_BROWSER_EXCHANGE.md

core/huya/cookie_utils.py

@@ -76,21 +76,31 @@ def browser_login_script(
     *,
     domain: str = ".huya.com",
     ttl_days: int = 180,
+    secure: bool = True,
 ) -> str:
     """生成在用户自己浏览器控制台执行的登录脚本。
 
     脚本把 Cookie 写入指定域后跳转目标页；Cookie 值以 JSON 数组内联，
-    保证引号、反斜杠等字符安全转义。
+    保证引号、反斜杠等字符安全转义。属性与扩展注入保持一致（默认 Secure），
+    并先校验当前页面确实在 huya.com 域下——否则 document.cookie 会静默失效，
+    操作者会以为已登录。
     """
     payload = json.dumps(
         [[key, value] for key, value in pairs.items()], ensure_ascii=False
     )
     target = json.dumps(target_url, ensure_ascii=False)
     ttl_ms = max(1, ttl_days) * 86_400_000
+    suffix = ";secure" if secure else ""
     return (
-        f"(function(){{var c={payload};"
+        f"(function(){{"
+        f"if(!/(^|\\.)huya\\.com$/i.test(location.hostname)){{"
+        f"alert('请在 huya.com 域下的页面执行本脚本，当前页面：'+location.hostname);"
+        f"return;}}"
+        f"var c={payload};"
         f"var e=new Date(Date.now()+{ttl_ms}).toUTCString();"
         f"for(var i=0;i<c.length;i++){{"
-        f"document.cookie=c[i][0]+'='+c[i][1]+';domain={domain};path=/;expires='+e;"
-        f"}}location.href={target};}})();"
+        f"document.cookie=c[i][0]+'='+c[i][1]+';domain={domain};path=/;expires='+e+'{suffix}';"
+        f"}}"
+        f"location.href={target};"
+        f"}})();"
     )