feat(core,presenter,app-iced): 存档三个写操作（重命名 / 删除 / 备份）+ 行操作区（M247 SAVESOPS）

core::game::saves 新增 write 模块，三个入口的第一句都是 boundary::guard：

- rename_world：saves/<old> → saves/<new>，撞名/同名/非法名字各自具名拒绝
- delete_world：递归删（不跟随符号链接、层级上限 64），先过边界校验
- backup_world：流式 zip（限额预检 → 临时文件 → 原子改名），
  <世界名>-YYYYMMDD-HHMMSS.zip，撞名顺延，绝不覆盖上一份

guard 三道判据（每次写前重做，不信任调用方）：名字必须是单段裸名字；
saves/ 必须是运行目录的真实直属子目录；世界目录必须是 saves/ 下的真目录
（解析后比父级，不比字符串前缀）。落点目录要求绝对路径（相对路径会落到进程 CWD，
实测过一次）。

presenter：SavesCommand 增 RenameWorld/DeleteWorld/BackupWorld，host 三个后台入口
写成功后重新列一遍目录并把「回执」挂在快照上（SavesOped：改名两端 / 被删的名字 /
备份落点+字节数+跳过的链接数）。SavesFailureView 增 file 与 op，写失败八类一一对应。
SavesState 增 draft / pending / confirm 三样交互态（草稿是行内输入缓冲，
pending 与 ModsState::pending 同一条先例，confirm 是删除确认框在等谁）。

app-iced：世界行右侧重命名/备份/删除；行内输入框改名（现成模态队列没有「输入变了」
这一条消息，用输入模态等于重写一套）；删除走现成 modal 的 Confirm，主按钮落点接在
app/update/dialog.rs。回执行画在卡片里（备份落点看不见就是静默失败）。

i18n：新增 25 条中英成对 key + 金表同步；删掉 M235 的「这一版只读」那条（写操作接上
之后它是假的）。出图夹具 ULL_SAVES_FIXTURE=rename|confirm|backed-up 三种形态。

crates/app-iced/src/pages/instances/state.rs

@@ -170,6 +170,31 @@ pub enum Message {
     ReloadSaves,
     /// 打开存档文件夹（M235）：拉起哪个目录由 host 决定（`saves/` → `screenshots/` → 运行目录）。
     OpenSavesFolder,
+    /// 开始**行内重命名**一个世界（M247）：那一行就地换成输入框 + 确定/取消。
+    ///
+    /// 为什么是行内而不是模态输入框：现成的模态队列有 `DialogKind::Input`，但 app 侧的
+    /// `dialog::Message` 只有「主按钮 / 次按钮 / 关闭」，**没有「输入变了」**这一条——
+    /// 用输入模态等于重写一套可编辑模态。行内复用 `components::inputs` 的单行框，一处新控件都不用加。
+    StartRenameWorld {
+        /// 磁盘目录名
+        dir: String,
+    },
+    /// 行内输入框的内容变了（原样存进 presenter 的草稿，不在前端过滤）。
+    RenameWorldChanged(String),
+    /// 提交行内重命名（空名字 / 没改 → 直接收起，不打扰后台）。
+    CommitRenameWorld,
+    /// 取消行内重命名。
+    CancelRenameWorld,
+    /// 请求删除一个世界（M247）：**先弹确认框**，不直接删。
+    RequestDeleteWorld {
+        /// 磁盘目录名
+        dir: String,
+    },
+    /// 备份一个世界（M247）：导出 zip 到启动器自己的 `exports/saves/`。
+    BackupWorld {
+        /// 磁盘目录名
+        dir: String,
+    },
 }
 
 #[cfg(test)]