阶段 0 完整版：名册 + 账号 + 安装向导 + 设置（宣纸主题）

这一版把「家」的地基铺完：

功能
- 安装向导 install.php：建四张表 → 建家庭 → 建第一人（兼管理员），装完自删；
  「是否已装」以数据库四张表为准，不以文件是否存在为准
- 家庭名册：成员增删改查、头像上传（居中裁方 512×512 转 JPEG、finfo 校验、
  随机文件名）、生日自动算年龄与倒数天数
- 敏感信息加密存储：手机号双写（SHA-256 哈希用于登录 + AES-256-CBC 密文用于显示）、
  身份证只存密文；页面上永远只显示脱敏后的 138****8000 / 前 6 后 4
- 账号体系：人与账号分离（孩子可入名册但无需密码）、开通/停用/角色、
  防爆破（5 次失败锁 60 秒）、修改密码、最后一个管理员不可移除
- 设置页：家庭名称与座右铭、加密密钥状态
- 宣纸主题 UI：砖红取自图标，扁平、留白充足；移动端顶栏收紧不换行

安全
- 所有 POST 走 CSRF；输出全量 e() 转义；uploads/ 禁执行脚本
- app/ 与 templates/ 加 .htaccess 整体拒绝直连（直接请求模板会 Fatal 并
  把服务器绝对路径打在页面上 —— 这是线上真实抓到过的问题）
- 已安装的 install.php 返回 404；display_errors 线上关闭

工程
- 无框架无 Composer，query-string 路由（index.php?r=模块/动作），不依赖 rewrite
- 静态资源带 mtime+size 版本号，改版后浏览器不会吃旧缓存
- 配套部署与冒烟（_tooling/，不入库）：部署脚本容忍 tar 对非属主目录的
  元数据回填失败；冒烟断言「状态码 + 正文无 PHP 错误 + </html> 收尾 +
  无绝对路径泄露 + 断言总数下限」—— 只看状态码会把「200 但正文中间
  Fatal」当成通过，这一版在线上真实抓到过一次

templates/layout.php

@@ -0,0 +1,63 @@
+<?php
+$navItems = [
+    'home'    => ['首页', 'home'],
+    'people'  => ['名册', 'people'],
+];
+if (\App\Auth::isAdmin()) {
+    $navItems['settings'] = ['设置', 'settings'];
+}
+$me = \App\Auth::check();
+?>
+<!DOCTYPE html>
+<html lang="zh-CN">
+<head>
+<meta charset="utf-8">
+<meta name="viewport" content="width=device-width, initial-scale=1">
+<title><?= e($pageTitle) ?> · 家书</title>
+<link rel="icon" href="/favicon.ico">
+<link rel="apple-touch-icon" href="/apple-touch-icon.png">
+<link rel="manifest" href="/site.webmanifest">
+<meta name="theme-color" content="#A84A28">
+<link rel="stylesheet" href="<?= e(asset('/assets/css/app.css')) ?>">
+</head>
+<body>
+
+<?php if ($me): ?>
+<header class="topbar">
+  <div class="topbar-inner">
+    <a class="brand" href="<?= e(url('home')) ?>">
+      <img src="<?= e(asset('/assets/icons/icon-96.png')) ?>" alt="">
+      <span>家书</span>
+    </a>
+    <nav class="nav">
+      <?php foreach ($navItems as $route => list($label, $key)): ?>
+        <a class="<?= $pageKey === $key ? 'on' : '' ?>" href="<?= e(url($route)) ?>"><?= e($label) ?></a>
+      <?php endforeach; ?>
+    </nav>
+    <div class="topbar-right">
+      <span class="who">
+        <img src="<?= e(\App\Upload::avatarUrl($_SESSION['avatar'] ?? null)) ?>" alt="">
+        <span class="who-name"><?= e(\App\Auth::name()) ?></span>
+      </span>
+      <a class="link-quiet who-pwd" href="<?= e(url('auth/password')) ?>">改密码</a>
+      <a class="link-quiet" href="<?= e(url('auth/logout', ['_csrf' => csrf_token()])) ?>">退出</a>
+    </div>
+  </div>
+</header>
+<?php endif; ?>
+
+<main class="<?= in_array($pageKey, ['install', 'login'], true) ? 'container-narrow' : 'container' ?>">
+
+  <?php foreach (take_flash() as $f): ?>
+    <div class="flash">
+      <div class="flash-item <?= $f['type'] === 'err' ? 'err' : '' ?>"><?= e($f['message']) ?></div>
+    </div>
+  <?php endforeach; ?>
+
+  <?php require $tplFile; ?>
+
+</main>
+
+<script src="<?= e(asset('/assets/js/app.js')) ?>"></script>
+</body>
+</html>