feat(1190): 审计三条 P0 + DS-01 字体 + 引导措辞（1.19.0 加做四项）

[belliedmonkey]

1.19.0 scope 裁定（#528）里的四项全部落在这个分支上。跟踪 issue：#528（关联审计 #524）。

1 · OVL-01 / OVL-02（P0）：注入层收进 token 体系

审计原话：「页内注入层完全脱离 token 体系，palette 门禁管不到」。洞很具体：pinned 名单只覆盖页面 CSS，注入层的 JS 不在里面，于是 #ffb3b3 / #d6d6d6 / #4caf50 这类六位色整片漏过 registry。

• 这些值登记进 build/palette.config.js 的 overlay* 一组；
• 运行时读注册表：extension/content/subtitle-adapter.js 走 window.MT_PALETTE（该文件早有先例），src/content/sub-menu.jsx 走 lib/registry.js 的 palette() getter（该文件有一条 src-boundaries 门禁盯着「零 MT_ 全局」，只能走桥）；
• content/subtitle-adapter.js 与 content/sub-menu.bundle.js 加进 pinned 名单 ⇒ 门禁从此覆盖这一层；
• OVL-03 的 Material 绿换成注册表里的 overlayTick（sage600 = handoff §1 的「已开启/勾选」角色）；
• 圆角并入三档（指示性 8px · 面板 16px · 控件胶囊），design/handoff.md §2 记档。

如实说：pinned 只校验六位 hex，rgba() 字面量（面板底 / hover / 分隔线）登记了但仍不受门禁约束（阴影等合法用法太多，扩面会淹在误报里）。写进了 build.js 与注册表的注释。

2 · POP-01（P0）：键盘焦点基线

:focus-visible 基线写进共享 token sheet，四个面共用一条：扩展三页各自 link，App 壳由 build/app-bundle.js prepend。写在页面样式之前，各页自己的 :focus 规则仍覆盖它。

3 · DS-01（P1，同日裁定「引入」）：Caprasimo + Figtree

照设计系统 handoff.md §2 的分工引两个家族（Caprasimo 展示字 / Figtree 正文），都只带拉丁子集、CJK 回落系统字。

• extension/fonts/：Caprasimo 21KB + Figtree 可变字体 20KB（Google 对各字重返回同一份文件，只留一份）+ 两份 OFL；
• extension/styles/typography.css：@font-face + --font-heading / --font-body（变量名取设计稿），body 走 Figtree、h1/h2/h3 走 Caprasimo；
• 五个扩展页面 link 它，放在各自 CSS 之后（同特异性靠顺序取胜）。

4 · 引导措辞：去掉时长承诺

「两步，约 30 秒」→「两步就好」一类（12 语种）。点了「我只要网页翻译」之后的 ext 屏要人离开 App 手工操作，承诺与事实不符（ONB-04 残留）；出口维持 #493。docs/telemetry-design.md §3.9 记一笔。

验证

• npm test → 2313 passed, 0 failed
• node build.js → 通过（含扩了 pinned 名单的 palette 门禁）；包 3692 → 3739 KB（+字体）
• *.woff2 魔数校验为 wOF2；挂链顺序已核对

⚠️ 还未验证 / 未做

• 全矩阵没跑：3 的字体渲染要看四个面（尤其中英混排的回落），1 的圆角是可见变化（YouTube 字幕行 / 播客叠层 / 字幕控制菜单），2 的焦点环要走一遍键盘
• 本分支尚未合并；合并后要：重生成 1.19.0 发布说明 + 重打包四包 + 重传 TestFlight