fix: validate callback hosts before generating payloads

docs/bug-sheet-review.md

@@ -86,3 +86,9 @@
 - Excel 第 50 行：编辑保存使用 document 点击委托，但 c2-modal 内层 inline stopPropagation 阻止按钮到达委托。移除内层阻断；背景关闭本来已检查 event.target===this，不会因内部点击关闭。验证实际委托分发到真实 saveListener 后发送 PUT 并在成功后关闭。
 - Excel 第 23 行：名称、类型、端口增加必填标识；创建/编辑均提示并聚焦具体错误字段，端口仅允许 1–65535 整数，不再接受 parseInt 的小数或尾随文本。网络/响应解析失败显示错误并保留表单。
 - 编辑 API 在修改字段前检查空名称和端口范围；数据库回归验证非法请求不部分保存、合法编辑正常落库。5 项前端测试和针对性后端测试通过。
+
+## 追加：回连地址生成校验
+
+- Excel 第 52 行：截图中的 `bad host/abc` 原先会直接拼入 URL。单行生成与 Beacon 构建均在生成前校验 IP/DNS 主机名，拒绝协议、路径、端口、空格、非法数字 IP 与命令片段；不执行 DNS 查询，也不改变地址解析优先级。
+- URL 以监听器协议生成，HTTPS 使用 https；IPv6 使用 net.JoinHostPort 补齐方括号，普通域名及 IPv4 保持原格式。
+- 主机校验覆盖全部单行类型；真实 API 验证非法输入返回 400、合法域名与 IPv6 正常生成，测试仅使用 test-only-token。

docs/bug-sheet-status.md

@@ -54,7 +54,7 @@
 | 49 | — | C2 会话终端执行没有换行结尾的命令时，系统内部用于获取当前目录的 pwd 输出会与用户命令输出 | 已修复，Unix Shell 回归通过 |
 | 50 | — | 监听器编辑后点击保存没有反应 | 已修复弹窗事件冒泡阻断；实际委托保存和失败提示回归通过 |
 | 51 | — | 创建 Malleable Profile 时 UA、响应头和 Jitter 配置被静默丢弃 | 已修复并有针对性验证 |
-| 52 | — | C2 载荷生成未校验回连地址，非法地址仍能生成 Oneliner | 待核对 |
+| 52 | — | C2 载荷生成未校验回连地址，非法地址仍能生成 Oneliner | 已修复：生成前校验主机格式；非法输入拒绝，HTTPS/IPv6 API 回归通过 |
 | 53 | — | 知识库索引构建失败原因不怎么太清晰 | 待核对 |
 | 54 | — | Agent 未挂载知识检索工具 | 待核对 |
 | 55 | — | - 选择其专用测试会话，打开「终端」。 | 已修复，Unix Shell 回归通过 |