fix(plugins): endurecer pluginLifecycle y sanear _removeFile

Tras la revision de seguridad de 273c3dd:
- pluginLifecycle exige POST con cuerpo JSON (token, tokenHash, event, plugin),
  como _saveFile: el token no viaja en la query string.
- La excepcion de un gancho se loguea entera en el servidor y al cliente va
  sin rutas absolutas.
- _removeFile (preexistente): la ruta la mandaba el cliente sin sanear y
  _deleteAll borraba cualquier cosa alcanzable, ../ incluido. Ahora en modo
  plugin solo una carpeta directa de pluginsdir y en modo fichero solo dentro
  de la raiz de la web; nunca la raiz ni pluginsdir, nunca fuera por symlink.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HPL66q9F33YZxbLPUT7KW8

cms/lib/plugins/index.php

@@ -465,8 +465,13 @@ function runPluginLifecycle($folder, $event, $context = array()) {
         $res["ok"] = $hookOk;
         if (!$hookOk && !$res["error"]) $res["error"] = "El gancho " . $event . ".php ha devuelto ok=false";
     } catch (Throwable $e) {
+        // El detalle completo (ruta, linea) va al log del servidor; al cliente,
+        // el mensaje sin rutas absolutas.
+        error_log("[pluginLifecycle] " . $folder . "/" . $event . ".php: " . $e->getMessage()
+            . " en " . $e->getFile() . ":" . $e->getLine());
+        $raiz = realpath($GLOBALS["APP"]["pluginsdir"] . "/../../..");
         $res["ok"] = false;
-        $res["error"] = "Excepcion en " . $event . ".php: " . $e->getMessage();
+        $res["error"] = "Excepcion en " . $event . ".php: " . ($raiz ? str_replace($raiz, "", $e->getMessage()) : $e->getMessage());
     }
     return $res;
 }