fix(security): не исполнять теги покупателя в Telegram и SMS

[Ibochkarev]

Описание

Шаблоны Telegram и SMS рендерились через getChunk() без маскировки тегов в данных покупателя. Email такую маскировку уже имел.

nonce / neutralize / restore вынесены в TemplateTagGuard. Письмо вызывает тот же класс, порядок сборки темы и тела не менялся. renderTemplate() для Telegram и SMS маскирует значения до getChunk() и возвращает их после. Для Telegram значения дополнительно проходят htmlspecialchars под parse_mode=HTML. SMS остаётся обычным текстом. Штатные сообщения без чанка не трогались.

Тип изменений

• Исправление бага (non-breaking change)
• Новая функциональность (non-breaking change)
• Breaking change (изменение, ломающее обратную совместимость)
• Рефакторинг (без изменения функциональности)
• Документация
• Другое (опишите):

Связанные Issues

Closes #929

Как это было протестировано?

php -l на изменённых PHP-файлах, smoke php tests/EmailTagInjectionGuardTest.php, PHPUnit TemplateTagGuardTest и EmailChannelTagHandlingTest (29 тестов). Полный composer ci:php и PHPStan не запускал.

• Ручное тестирование
• Автоматические тесты (composer ci:php / composer test, npm run lint:ci, composer stan / GitHub Actions CI)
• Тестирование на разных версиях PHP/MODX

Конфигурация тестирования:

• MiniShop3: ветка beta
• MODX: не поднимался
• PHP: 8.2+ локально

Скриншоты (если применимо)

До	После

Чеклист

• Код соответствует стилю проекта
• Добавлены/обновлены комментарии в сложных местах
• Изменения не ломают существующую функциональность
• Лексиконы добавлены на двух языках (ru/en)
• PHPStan проходит без новых ошибок (composer stan / CI job PHPStan)
• ESLint проходит без ошибок (npm run lint:ci для Vue)
• Обновлён CHANGELOG.md (для значимых изменений)

Дополнительные заметки

CHANGELOG не трогал: записи добавляются при подготовке релиза. Лексиконы и Vue не менялись.