取址改为官方源优先+自建源兜底，只有官方源成功才上报（V1.6.2/45，未发布）

需求一：流程反转 + 上报绑定官方源成功
- 默认 sourceHosts 反转为 ["http://zk.ktv1.top:6677", "https://mdmuse.kasugano.cn"]；
  SourceHosts.DEFAULT / SongUrlResolver.DEFAULT_HOSTS（收敛为引用前者）/ ktv_api.js
  CONFIG.HOSTS+HOST 三处一致。
- 取址结果改为 SourcedSongUrl(url, sourceHost)（**显式来源标志**，不靠 URL 猜）：
  新增 SongSourceFlow（回落链 firstAvailable / 上报判定 shouldReportToSelfHost /
  全失败信号）；JS 侧新增 android.onSongSource(requestId, host) 回传命中的源。
- 汇合点 SongApiClient.getSongDownloadUrl 只在"地址来自官方源"时才 POST /push_download；
  自建源自己给的地址与 DB 回落都不上报。
- 推送默认目标改为"从歌曲源列表里找第一个自建源"（自建源不再排第一，旧写法会直接关掉推送）。
- 1.6.1 落盘的旧默认顺序（自建源优先）在 KtvStore.load() 里一次性迁移；自定义列表不动。
- 业务码 404（自建源没有这首歌）仍只当"该源没地址"，不置 sawForbidden、不进冷却、不污染受限统计。

需求二：6 条隐患
1) 设置页改源对 JS 立即生效：KtvJsBridge.applySourceSettingsNow 重新注入 KtvApiConfig.*
   并把已构造实例的 window.api.sourceOrder 重置为新列表；SongApiClient.applySourceSettings 接线。
2) JS 路径识别业务码 403：新增 KtvJsBridge.riskForbidden(status, body)（纯函数，手写判定
   避免 org.json 在单测里是空壳），HTTP 403 与 HTTP 200+{"code":403} 都算风控，与原生 sawForbidden 同口径。
3) isTrustedDownloadUrl 移除广告域名 ac16.vip 白名单，并改为黑名单优先（不再依赖调用顺序）。
4) MainActivity.download(song)（第五条地址消费点）补 AdVideoFilter.isTrustedSongUrl 闸门，
   不可信按"源失效"处理（Eac19WindowGuard.noteAllSourcesFailed），不再静默下载。
5) SongApiClient.fetchFromDb 不再静默吞异常：曲库打不开/查询异常各记一条 MiliLog.localWarn（含编号与异常）。
6) 删除死代码 streamDownloadAndPlay（全仓 grep 无调用点，且内部取址不过最终闸门）。

需求三：死代码/漂移清理（均先全仓搜索确认无引用）
- AdVideoFilter.replacementUrl 无任何写入点（恒为 null）→ 删除，resolve() 只保留"屏蔽"语义。
- ktv_api.js CONFIG.VER/VN 由"从不生效的死值"改为实际使用值 2.0 / 4.1.3.03281430。
- CONFIG.HOST 改为被 getToken 真正读取（不再"注入但从未被读"）。
- KTV_BRIDGE_API 14 → 15（JS 两处 + KtvJsBridge 两处校验）；AGENTS.md / README.md / README.en.md
  的陈旧标记统一到 15。
- do.php 的 limit 与 i.php 的 retry/ordertype/end_date/heart_time 确认无消费方 → 不新增解析（保持现状）。

需求四：测试与打包
- 新增 SourceOrderConsistencyTest / SongSourceFlowTest / JsBridgeGateTest / DownloadEntryGateTest，
  更新 SourceHostsTest / AdVideoFilterTest；app/build.gradle 打开 unitTests.returnDefaultValues。
- testReleaseUnitTest --rerun-tasks --offline：12 个测试类 / 87 例全过。
- assembleRelease --offline 通过（lintVital NewApi 0 条）；版本 1.6.1/44 → 1.6.2/45。

不发布：未推 Gitea/Gitee、未动 Release/tag。

README.md

@@ -51,7 +51,7 @@
 - **曲库**：统一走**官方 Muse 同步**（`mconn.cherryonline.cn` `mls-api/v1/sqlite/sync`，RSA 登录 + 增量文件校验），不再依赖代码托管仓库承载数据库。
 - **歌曲源**：接入 `w.w345.my`（`i.php` 取 token → `do.php` 解析播放地址），固定设备标识并复刻签名算法；广告/错号资源（如返回 `wb66.cn/.../719.ts` 或文件名与 musicno 不一致）会被拦截并重试。
 - **风控应对**：源对陌生出口 IP 存在试用窗口（约 10 分钟，403"检测到异常行为"），App 检测到 403 后弹窗提示更换公网 IP；同 token 退避重试，不放大请求量。
-- **JS 热更新**：歌曲接口逻辑在 `app/src/main/assets/mobile/ktv_api.js`，安装后从本仓库自动拉取兼容版本（须保留 `KTV_BRIDGE_API: 8` 标记）。
+- **JS 热更新**：歌曲接口逻辑在 `app/src/main/assets/mobile/ktv_api.js`，安装后从本仓库自动拉取兼容版本（须保留 `KTV_BRIDGE_API: 15` 标记）。
 - **应用更新**：以 Gitea Release 标签作为版本号（如 `1.3.0`），Release 需附带一个 `.apk` 附件；仅当标签高于当前 `BuildConfig.VERSION_NAME` 时提示下载。
 
 ## 🔧 编译教程
@@ -132,7 +132,7 @@ adb install -r app/build/outputs/apk/release/app-release.apk
 
 - **曲库初始化失败**：检查设备网络能否访问 `mconn.cherryonline.cn`；已在设置页提供「重置数据库」。
 - **点歌报 403 / 无播放地址**：多为歌曲源对当前公网 IP 的试用窗口到期，重启光猫/路由器更换公网 IP 后恢复。
-- **热更新脚本不生效**：确认远端 `ktv_api.js` 保留 `KTV_BRIDGE_API: 8` 标记，否则内置版本优先。
+- **热更新脚本不生效**：确认远端 `ktv_api.js` 保留 `KTV_BRIDGE_API: 15` 标记，否则内置版本优先。
 - **想改签名/ABI**：编辑 `app/build.gradle` 的 `signingConfigs` 与 `ndk.abiFilters` 后重新编译。
 
 ## 项目结构