boot恢复模式不再404死胡同：持boot凭据的请求一律302回引导配置页

- security.php 新增 secBootRecoveryRedirect()：secGatePage 遇到「不在 IP 白名单但持有效 boot 凭据」的请求，改 302 送回 admin_2fa_setup.php（唯一豁免页），不再返回 nginx 404；secBootAuthenticate 增加凭据预判（无 boot 参数、无会话 cookie、无活动会话则直接判失败），避免路由覆盖面变大后给每个探测请求都 session_start() 刷 session 文件。
- admin.php 令牌层改 secTokenGate(true)：admin.php?boot=<引导令牌> 才能进入恢复路由（原先在令牌层就 404）；页面对非白名单 IP 依旧不渲染。
- admin_2fa.php 持 boot 但不在白名单 → 直接送回配置页，不再掉进 admin_login.php / admin.php?token= 的 404 弹簧。
- admin_2fa_setup.php：boot 模式隐藏「← 返回」、顶部加恢复指引横幅、后台唯一入口下加 404 警告；新增  修正「刚保存白名单但 ADMIN_IP_WHITELIST 常量本请求内未刷新」导致横幅误报。
- 背景（db/security.log 实录）：2026-10-05 09:35:58 boot_unlock 成功，09:35:59 即被 admin.php ip_block，09:42 只能靠宝塔手工改 config.php 脱困。

admin_2fa.php

@@ -9,6 +9,15 @@ secEnsureSession();
 // IP 白名单闸门；boot 引导会话（配置流程中转）也放行
 secGatePage(true);
 
+// ★ boot 恢复模式（2026-10-05）：持有 boot 凭据但 IP 不在白名单 → 直接送回引导配置页。
+//   不加这一跳的话，下面的链路对非白名单 IP 全是 404 死胡同：
+//   未登录 → 跳 admin_login.php → 404；已登录已过2FA → 跳 admin.php?token= → 404
+//   （线上 09:35:58 boot_unlock 后 1 秒就吃了 admin.php 的 ip_block，实录见 db/security.log）。
+//   白名单校验本身没有被绕过 —— 本页对非白名单 IP 依旧不渲染，只是不再把人丢去 404。
+if (!secIpAllowed() && secBootAuthenticate()) {
+    secBootRecoveryRedirect();
+}
+
 $enabled = defined('SEC_2FA_ENABLED') && SEC_2FA_ENABLED;
 $err = '';