feat(publish): auto-localize Leaflet CDN to platform assets

Ship Leaflet 1.9.4 under public/assets/leaflet and rewrite common CDN script/stylesheet URLs during publish and public HTML delivery, matching the existing Chart.js guard pattern.

Co-authored-by: Cursor <cursoragent@cursor.com>

skills/page-data-collect/SKILL.md

@@ -211,16 +211,19 @@ await client.deleteRow('dataset_name', rowId);
 
 禁止发明 `softDeleteRows`、`deleteRows` 等不存在的方法；服务端会根据 dataset 的 `soft_delete` 授权把 `deleteRow` 转换为软删除。
 
-- **第三方 JS 库**（Chart.js、ECharts 等）禁止写 CDN `https://...`；发布页 CSP 只允许同源脚本。优先用平台预置路径，或下载到 `public/assets/` 后用相对路径引用：
+- **第三方 JS 库**（Chart.js、Leaflet、ECharts 等）禁止写 CDN `https://...`；发布页 CSP 只允许同源脚本。优先用平台预置路径，或下载到 `public/assets/` 后用相对路径引用：
 
 ```html
 <!-- 推荐：平台已预置 Chart.js -->
 <script src="/assets/chart.umd.min.js"></script>
+<!-- 地图页：平台已预置 Leaflet -->
+<link rel="stylesheet" href="/assets/leaflet/leaflet.css">
+<script src="/assets/leaflet/leaflet.js"></script>
 <!-- 或页面自有副本 -->
 <script src="assets/chart.umd.min.js"></script>
 ```
 
-平台会在发布/访问时自动把常见 Chart.js CDN 改写为 `/assets/chart.umd.min.js`；其它未知 CDN 会在发布检查中被拦截。
+平台会在发布/访问时自动把常见 Chart.js、Leaflet CDN 改写为 `/assets/chart.umd.min.js`、`/assets/leaflet/*`；其它未知 CDN 会在发布检查中被拦截。
 
 ### 4. 发布并绑定页面（推荐）
 

skills/static-page-publish/SKILL.md

@@ -24,7 +24,7 @@ description: 在专属 MindSpace 目录生成可公开访问的静态 HTML 报
 7. 默认只生成 HTML；不要在没有明确需求时强制生成 Word、PDF、长图等伴生文件
 8. 只有用户明确要求 **Word/PDF 等二进制下载** 时：文件单独落盘（如 `public/方案.docx`），链接用相对路径；**禁止**在 HTML 内用 `data:...;base64,...` 嵌入 docx（易截断损坏）
 9. 只有用户明确要求**长图下载**时：必须先 `load_skill` → `long-image-download`，调用 `generate_long_image` 生成同目录 `public/<页面名>.long.png`，再返回长图预览与下载链接；禁止把 `.thumbnail.svg` 当成长图
-10. **禁止**在 HTML 中用 CDN `https://...` 引用 `<script src>`；MindSpace 发布页 CSP 仅允许同源脚本。常用库优先用平台路径（如 Chart.js → `/assets/chart.umd.min.js`），或下载到 `public/assets/` 后相对引用
+10. **禁止**在 HTML 中用 CDN `https://...` 引用 `<script src>`；MindSpace 发布页 CSP 仅允许同源脚本。常用库优先用平台路径（如 Chart.js → `/assets/chart.umd.min.js`，Leaflet → `/assets/leaflet/leaflet.js` + `/assets/leaflet/leaflet.css`），或下载到 `public/assets/` 后相对引用；发布时会自动改写常见 Chart.js / Leaflet CDN
 11. **纯静态页（无 Page Data 问卷/后台）禁止调用 `private_data_bind_workspace_page`**；`write_file` / `edit_file` 落盘 `public/*.html` 后，直接按下方「回复格式」交付 **MindSpace 路径**（`/MindSpace/<用户ID>/public/...`），无需 bind、无需口令
 12. **微信分享必须使用 MindSpace 路径**：该路由会在服务端注入 `og:site_name=TKMind 智趣`、封面缩略图（`*.thumbnail.png`）与微信 JS-SDK 分享桥；禁止交付 `/u/用户名/pages/...` 作为用户可见链接
 13. **只要页面接收用户输入并要求以后查看、汇总、统计、修改或删除，就不是纯静态页**。禁止使用 `localStorage` / `sessionStorage` / `IndexedDB` 保存任何数据；必须立即 `load_skill` → `page-data-collect`，通过 Page Data API 写入当前用户专属 PostgreSQL schema。禁止 SQLite、静态 JSON/JS 文件或内存 fallback 冒充持久化。记账、日记、打卡、清单、台账、问卷、报名及其管理页都适用。