Lian Ai v2.10.5-r35

CSP estricta y cierre de estilos inline

style-src-attr 'none' activado en enforcement.
script-src-attr 'none' se mantiene sin unsafe-inline.
form-action restringido a 'self'.
frame-ancestors pasa a 'none' por defecto; Web Chat conserva allowlist por origen validado.
Eliminado el reemplazo parcial de CSP que existía en index.php.
Nuevo InlineStyleMigrator para convertir estilos heredados server-side a clases con <style nonce>.
Nuevo assets/csp-runtime.js para estilos dinámicos CSP-safe.
156 estilos estáticos de vistas migrados a assets/csp-legacy.css; los dinámicos restantes usan data-lian-style.
Las vistas ya no contienen atributos style fuera de bloques de script/estilo.
Se retiró el onerror inline del carrito público.
Web Chat, geolocalización, tour, WhatsApp, conversaciones, Blog Builder y Agente PWA migran sus cambios visuales dinámicos a la capa CSP-safe.
La página offline de Agente PWA usa una CSP propia sin estilos inline.

No hay cambios SQL ni cambios de API pública.

El actualizador r35 vuelve a reconciliar shared_http y elimina de forma segura las fachadas HTTP legacy de r34 si todavía existen físicamente en el servidor.
view_hardening conserva la limpieza segura de las tres vistas legacy residuales.
El diagnóstico r35 exige que ambos bloques queden en OK antes de actualizar schema_version y VERSION.