Doubao Office SSR → safeToken/actionKey bounded canary

固定合成数据；默认不触发；无任意 prompt 输入；仅限授权安全复测。

DISARMED：需要同时提供已登记的 mode 与 arm。
未创建目标 iframe，未写入 token/actionKey，未导航 URL-action。
diagnostic trace: disarmed