H-2/H-4 BOX HMAC 改绑 holdingk.box.hmac（v__10）
H-2 / H-4 BOX HMAC 兼容期（v__10）。
- HMAC 绑
holdingk.box.hmac（require/secret/skew-seconds），注册与登录共用开关 -
holdingk.box.regist只留地址 Guard（denied/allowed-cidrs、denied-ports） - 删除
regist.require-hmac、login.require-hmac、nonce-ttl-seconds - 密钥仍走环境变量
BOX_DEVICE_HMAC_SECRET，禁止明文进 git - 对应 holdingk 分支
hotfix/h2-box-regist-ssrf（H-2/H-4 已合到该分支）
兼容期 hmac.require=false：无签名仍可 update/login，不算关闭 CWE-287。