sensitive-list.js 残留：tokenizer 词边界误报 / markdown 注入清洗不全（~#&）/ 正则重叠 / cert 锚定不一致 #24

来源：本次自审（dsh-code-review-042913.725.md）sensitive-list.js 四条；为 #11（敏感文件名正则误报 key/cert/pem）修复后的同类残留。

现象：

• :48-54【bug·medium】token 正则过匹配：my-api-tokenizer-decoder.yml 因 tokenizer 含 token 前缀命中误报；tokens? 缺词边界 (?=[._-]|$)。
• :0-0【security·medium】markdown 注入清洗类 [\r\n*_[]<>|]缺~（删除线）#（标题）&（实体）——恶意文件名 keyx.pem/config#Heading` 可注入报告格式。
• :31-32【maintainability·low】\.[^/]*secret 与 (secrets?|credentials?)(\.|\/|$) 覆盖重叠，维护面漂移。
• :40-40【bug·low】cert 扩展名正则 (\.|$) 不锚定路径分隔符，与 .env 模式 (\.[^/]+)?$ 不一致。

影响：误报噪声稀释真正凭据命中；报告格式注入面。

待修方向：① token 关键词加词边界；② 清洗类加 ~ # &；③ 合并重叠正则；④ cert 锚定与 .env 对齐。