feat: 优化集群部署与堡垒机接入

[Awuqing]

变更摘要

• 支持 Agent 通过直连、HTTP(S) 代理、SOCKS5(H)、SSH 堡垒机及私有 CA 连接 Master
• 使用受保护的 Token 文件，拒绝认证请求重定向，并限制可信反向代理
• 重构 Agent 安装向导，绑定节点侧 Master 地址、代理和 CA 配置
• 增加 Release SHA-256 校验、原子升级、重复部署重启和失败诊断
• 将 Master 容器改为单进程、非 root 运行，移除内置 Nginx 与 Docker Socket
• 加固裸机 systemd、Nginx、安装目录权限和旧数据卷迁移
• 增加 SQLite busy timeout 与 Agent 命令队列复合索引，并明确单活 Master 边界
• 完善中英文堡垒机、灾备、Docker、裸机和反向代理文档

验证

• Linux 后端全量测试通过
• GOOS=linux CGO_ENABLED=0 go vet ./... 通过
• go mod verify 通过
• 前端 15 个测试文件、35 项测试通过
• 前端生产构建通过
• 中英文文档类型检查与生产构建通过
• 部署 Shell 语法检查与 Git diff 检查通过

设计边界

• 内置 SQLite 仍为单活控制面，不支持多个 Master 共享数据库
• 当前 SQLite 依赖未启用 WAL，避免已知并发重置风险
• Docker Agent 只能访问显式挂载的宿主机目录
• 本地环境没有 Docker Engine，容器配置已完成静态测试，实际镜像构建交由 CI
• Web 审计剩余 2 个 React Router 中危项，修复需要单独迁移到 v7
• 文档静态构建链剩余 1 个高危、20 个中危项；自动修复会降级 Docusaurus，当前保留已验证的 3.10.2

提交结构

1. feat(cluster): support restricted-network agent connectivity
2. feat(deploy): harden restricted-network agent installs
3. fix(deploy): harden container and bare-metal installs
4. perf(cluster): reduce agent command queue contention
5. build(deps): refresh supported web and docs tooling
6. docs(cluster): document bastion and recovery operations