feat(authz): add atomic mobile knowledge writes

server-tools/lake-lamp-authz/README.md

@@ -35,6 +35,10 @@ HoloLake 手机端使用独立的邮箱验证码会话，不复用工单批准
 - 六位验证码只在邮件正文出现，服务器状态仅保存带私密 pepper 的摘要，十分钟失效且最多尝试五次；
 - 会话绑定 HoloLake 设备编号，手机仅保存短期会话令牌；服务器磁盘仍只保存令牌摘要；
 - `/api/hololake/knowledge/manifest` 与 `/archive` 只暴露固定登记仓库
+- `PUT /api/hololake/knowledge/page` 只接受普通 Markdown、精确 `main`
+  基线与已绑定设备会话；服务器用临时 Git index 原子前移裸仓库并返回提交回执
+- `本地密钥/**`、路径穿越、非 Markdown、超限内容与过期基线全部失败关闭，回执
+  不包含页面内容
   `bingshuo/hololake-knowledge-base` 的当前 `refs/heads/main` 快照，不向手机下发 Forgejo 凭据；
 - `/api/hololake/ai/catalog` 只返回可用模型编号；`/execute` 只调用服务器登记的提供商与模型，
   不接受任意 URL、请求头或密钥，响应和回执均不包含服务器密钥。