refactor: config + lldaplib 收敛到 LLDAP 形态（读只读、删 OpenLDAP 写路径与密码包）

- config 重写：删 user-ou/inactive-ou/group-root-* / group-object-class /
  group-member-attr / initial-password；新增 lldap 写通道 + webhook + confirm-base-url
  + 两套 schedule + guard
- ldaplib 收拢为只读：属性常量/DN 归入 attrs.go；删 ops.go 写路径与 internal/password
- config.example.yml 重写成 LLDAP 形态
- 组命名修订（呼应 AGENTS.md 约束12）：用部门稳定索引 cn=<dept_id> 做组身份，
  mirror_departments 增 group_id 列并跨快照保留，可读中文名只走 DB 展示

internal/syncer/snapshot_test.go

@@ -260,16 +260,13 @@ func TestSnapshotLeaveLifecycle(t *testing.T) {
 		t.Errorf("bob 初始应为 active，实际 %q", userState(t, h, "bob"))
 	}
 
-	// 部门镜像应持久化拍平拼音与 DN。
+	// 部门镜像应持久化稳定索引派生出的组 DN。
 	dm, err := h.store.MapDepartmentsByID()
 	if err != nil {
 		t.Fatalf("读取部门镜像失败: %v", err)
 	}
-	if d := dm["od-yanfa"]; d == nil || d.DN != "cn=Acme.yanfa,ou=groups,dc=example,dc=com" {
-		t.Errorf("od-yanfa DN = %+v, 期望拍平拼音", d)
-	}
-	if d := dm["od-yanfa"]; d == nil || d.PinyinName != "Acme.yanfa" {
-		t.Errorf("od-yanfa PinyinName = %+v", d)
+	if d := dm["od-yanfa"]; d == nil || d.DN != "cn=od-yanfa,ou=groups,dc=example,dc=com" {
+		t.Errorf("od-yanfa DN = %+v, 期望索引派生 cn=<dept_id>", d)
 	}
 
 	// 第 2 轮：bob 在飞书标记离职 → 不在 FindByDepartment 返回（视为缺席），