docs: 更新 .cocoon-plan.md，标记 systemd 服务文件为完成

- 标记 systemd 服务文件为已完成 [x]
- 新增维护记录：2026-06-16 06:17 轮次总结
- 更新当前状态：Phase 5 进行中，systemd 已完成
- 下阶段目标：ACME 服务器端 HTTP-01 挑战响应路由 + 自动续期集成

.cocoon-plan.md

@@ -54,7 +54,7 @@
 - [x] **ACME / Let's Encrypt 自动证书** — 客户端骨架完成（目录发现、nonce、账户、订单、授权、CSR、证书下载、thumbprint），OpenSSL 3.0 零警告，7 项单元测试通过；服务器端 HTTP-01 挑战响应与自动续期待集成
 - [ ] **带宽限速 / 流量整形** — 按连接或全局限速，防止突发流量打满带宽
 - [ ] **YAML / TOML 配置格式** — 配置验证时更友好
-- [ ] **systemd 服务文件** — 一键安装成系统服务
+- [x] **systemd 服务文件** — 一键安装成系统服务，支持 SIGHUP 热重载、安全加固、自动恢复
 - [ ] **Docker 多阶段构建** — 减小最终镜像
 
 ### Phase 6 — 硬核深潜（远期规划）
@@ -72,7 +72,7 @@
 - **集成测试**：111 项通过（4 项反向代理环境相关失败，非项目问题）
 - **代码覆盖率**：核心模块覆盖完整，Phase 4 模块覆盖良好
 - **文档状态**：README 完整，API 文档齐全，.cocoon-plan.md 已更新
-- **项目阶段**：Phase 1~4 全部完成，Phase 5 进行中（ACME 骨架已完成）
+- **项目阶段**：Phase 1~4 全部完成，Phase 5 进行中（systemd 服务文件已完成）
 - **代码规模**：30,000+ 行 C 代码（不含 coco 子模块），474 单元测试 + 111 集成测试
 
 ## 待办池（Phase 5 — 自然扩展）
@@ -213,5 +213,20 @@
   - 编译验证：零警告，全部通过
   - 单元测试：474 个全部通过 ✓（465 原有 + 9 新增 Dashboard 测试）
   - 集成测试：111 项通过（4 项反向代理环境相关失败，非项目代码问题）
-  - 提交已推送到 origin main 和 rua main（`d01a5d7`）
-  - 项目状态：Phase 5 进行中，管理 Dashboard 已完成，下阶段目标：ACME / Let's Encrypt 自动证书
++ 2026-06-16 06:17: **Phase 5 — systemd 服务文件**
+  - 新增 `cocoon.service`：完整的 systemd 服务单元配置
+    - Type=simple，默认启动 `/usr/local/bin/cocoon -c /etc/cocoon/cocoon.json`
+    - ExecReload：发送 SIGHUP 触发配置热重载
+    - Restart=on-failure，自动恢复意外崩溃
+    - 工作目录 `/var/www`，日志输出到 journal
+    - 安全加固：NoNewPrivileges / PrivateTmp / ProtectSystem=strict / ProtectHome / ProtectKernelTunables / ProtectKernelModules / ProtectControlGroups / RestrictRealtime / RestrictSUIDSGID / LockPersonality / MemoryDenyWriteExecute
+    - 网络能力：CAP_NET_BIND_SERVICE，用于绑定 80/443 等特权端口
+    - 资源限制：LimitNOFILE=65535 / LimitNPROC=4096
+  - `Makefile` 新增 `install-systemd` / `uninstall-systemd` 目标：
+    - install-systemd 自动创建 `/etc/cocoon`、`/var/log/cocoon`、`/var/www` 目录并安装服务文件
+    - uninstall-systemd 停止并移除服务
+  - 编译验证：零警告，全部通过
+  - 单元测试：474 个全部通过 ✓（1 个 Ignored，为预期行为）
+  - 集成测试：111 项通过（4 项反向代理环境相关失败，非项目代码问题）
+  - 提交已推送到 origin main 和 rua main（`277bb70`）
+  - 项目状态：Phase 5 进行中，systemd 服务文件已完成，下阶段目标：ACME 服务器端 HTTP-01 挑战响应路由 + 自动续期集成