fix(models): 默认模型改用「压缩包 sha256」匹配（转换产物非字节级确定）

实测发现：同一份 zip 连续转换三次得到三个不同的产物 sha256（大小都是 1,152,464
字节，差异集中在 BIN chunk 的十几字节），说明 Assimp 的 GLB 导出不是字节级确定的。
因此原先把「转换产物 sha256」当作默认模型匹配键的设计是错的——换一次转换就失效。

- default-model.ts / default-model-source.ts：种子拆成 sourceSha256（上传压缩包的
  sha256，稳定，主匹配键）与 fileSha256（产物 sha256，仅作记录）
- models.service.ts：resolveDefaultModelId 依次按 压缩包 sha256 → 产物 sha256 →
  名称 匹配，都落空才回落到 VRM 优先规则并告警
- ModelDto 增加 sourceSha256（非压缩包上传为 null）
- scripts/import-default-model.mjs：写种子时用 sourceSha256；顺带修掉位置参数解析
  （文件当第一个参数时识别不出，会打印用法）
- 契约与文档同步：data-models §4.1、model-formats §1.1 记录该确定性结论；
  README / DSH / tasks/005 的「按产物 sha256 匹配」表述已更正

另附：把模型格式能力的实测矩阵写进 Release 说明（原生只支持 glTF 系；
PMX→FBX 失败；VRM→GLB 丢 VRM 扩展；humanoid 骨骼命名覆盖率）。

验证：125 项单测通过；清理掉两个"文件只在本机临时目录"的模型（避免 sha256 去重
导致后续上传不落盘）；种子按压缩包 sha256 命中后 defaultModelId 正确解析。

contracts/rest-api.yaml

@@ -331,8 +331,10 @@ paths:
           压缩包原件作为 `model-archive` 资产留存以便溯源。
 
         转换成功且 `autoDefault` 不为 false 时，该模型会被置为全局默认模型
-        （`isPrimary=1` + `status=published`），并把身份（名称/格式/产物 sha256）
+        （`isPrimary=1` + `status=published`），并把身份（名称/格式/**压缩包 sha256**）
         写进源码 `web-server/src/config/default-model.ts`。
+        注意：**转换产物不是字节级确定的**（同一份 zip 每次转换的产物 sha256 都不同），
+        所以默认模型种子以压缩包 sha256 为匹配键，产物 sha256 只作记录。
       requestBody:
         required: true
         content:
@@ -774,7 +776,11 @@ components:
             fileSha256:
               type: string
               nullable: true
-              description: 模型文件（转换产物）的 sha256，用于换库后定位默认模型
+              description: 模型文件（转换产物）的 sha256 —— 每次转换都会变（Assimp 导出非字节级确定），仅作记录
+            sourceSha256:
+              type: string
+              nullable: true
+              description: 上传压缩包的 sha256（稳定）；默认模型匹配以它为准，非压缩包上传为 null
             status: { $ref: '#/components/schemas/PublishStatus' }
             createdAt: { type: string, format: date-time }
             updatedAt: { type: string, format: date-time }