Allow explicit trusted control IPv4 sources in initialization firewall

README.md

@@ -101,3 +101,6 @@ Caddy 同时提供 /install.sh 稳定入口与 /releases/<40位小写Git提交>/
 
 
 Debian 初始化时，固定 release 的 `host-init.sh --apply` 支持 `--firewall-policy /run/platform-secrets/firewall.json --firewall-script /已校验的固定release/firewall.sh`，直接调用同一个防火墙事务。脚本不再另写一套内网规则。策略仍需明确主机名、现有 SSH 端口/公网恢复来源和公网服务端口；内网全部放行由通用 firewall.sh 自动生成。新建 SSH 验证后，用 apply 返回的准确摘要执行 firewall.sh --confirm。未传防火墙输入的旧调用仅准备包和主机名，不能宣称已完成防火墙初始化。
+
+
+主机策略可增加 `trusted_sources: ["控制机实际公网IPv4"]`，对这些精确地址允许所有端口/协议。该字段由环境登记输入，禁止 CIDR，脚本不硬编码控制机 IP；host-init.sh 调用 firewall.sh 时自动使用同一字段。