fix: 收敛正确性缺口并补齐质量门禁

备份、隧道生命周期、日志、会话与设置项存在一批「静默失效」问题，本次一并收敛。

正确性：
- 备份归档补上 session_secret 与 frp 配置。缺密钥时换机恢复后库里所有凭据都解不开，
  界面表现为「配置都在、一执行就报解密失败」；同时支持口令加密（scrypt + AES-256-GCM）。
- 修复「立即备份」必失败：tar 头用的是遍历时的文件尺寸，而 logs、frpc 配置在打包期间
  还在增长，读出的字节多于声明值导致 archive/tar 报错、整份备份作废。改为打开后重新
  取尺寸并用 LimitReader 兜住，被截短时补零保持条目结构完整。
- 数据库改用 VACUUM INTO 生成一致性快照。直接打包正在写入的 SQLite 文件可能得到
  结构完整但内容自相矛盾的副本，恢复后才暴露。
- Cloudflare 启动改用 StartAuto，Shutdown 显式 StopAll，子进程绑定应用 ctx。此前
  重启会把用户手动停掉的隧道重新拉起，退出也可能留下孤儿进程。
- Nginx 访问/错误日志加轮转（200MB 阈值、gzip 归档、USR1 重开），读取改为从文件尾
  分块倒读，并跨当日归档统计。此前日志只增不减，读接口每次全量扫描。
- 过期会话改由日任务清理；删除反代规则时同步清掉流量累计，避免同名规则重建继承旧读数。
- 启动加就绪门：Nginx bootstrap 完成后再放行 FRP 对账、Agent 隧道与 Cloudflare 自启。

设置项：
- 新增设置项注册表（internal/settings/registry.go），白名单与默认值从它派生，
  并记录每个键的消费者，防止再出现「界面能改、后端没人读」的黑洞设置。
- 接上三个此前不生效的设置项：timezone（启动与保存时应用到 time.Local）、
  theme（后端为权威源，挂载时覆盖本地偏好、顶栏切换回写）、log_retention_days
  （控制日志归档保留天数）。

工程质量：
- gofmt 全量格式化 23 个历史文件，CI 增加格式化门禁。
- 前端引入 ESLint（flat config）与 lint 脚本，CI 增加 lint 步骤；顺带修掉
  logDisplay 的 let→const 与 LogsView 模板内直接改 prop 两处问题。
- 删除无引用的 pnpm-lock.yaml，prototype/ 加入忽略列表。
- 打包版本对齐：Docker manifest 同步到 2.0.0，CI 校验 VERSION 与 package.json 一致。

验证：gofmt 0 文件、go vet、go test ./...、npm run lint/typecheck/test/build 全绿。

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>

internal/api/settings_handler.go

@@ -44,67 +44,9 @@ func (h *SettingsHandler) Put(w http.ResponseWriter, r *http.Request) {
 		writeError(r, w, http.StatusBadRequest, "请求格式无效")
 		return
 	}
-	allowed := map[string]bool{
-		settings.KeyTheme:                       true,
-		settings.KeyTimezone:                    true,
-		settings.KeyLogRetentionDays:            true,
-		settings.KeyDDNSCheckInterval:           true,
-		settings.KeyCertRenewThreshold:          true,
-		settings.KeyRootDomain:                  true,
-		settings.KeyACMEEmail:                   true,
-		settings.KeyACMECA:                      true,
-		settings.KeyZeroSSLAPIKey:               true,
-		settings.KeyACMEDNSResolvers:            true,
-		settings.KeyLiteSSLEABKid:               true,
-		settings.KeyLiteSSLEABHMAC:              true,
-		settings.KeyNotifyWebhookURL:            true,
-		settings.KeyNotifyType:                  true,
-		settings.KeyNotifyEmailJSON:             true,
-		settings.KeyNotifySMTPPassword:          true,
-		settings.KeyNotifyWebhookJSON:           true,
-		settings.KeyNotifyWebhookSecret:         true,
-		settings.KeyNotifyTelegramJSON:          true,
-		settings.KeyNotifyTelegramToken:         true,
-		settings.KeyNotifyOnDDNSIPChange:        true,
-		settings.KeyNotifyOnDDNSFailure:         true,
-		settings.KeyNotifyOnCertExpiry:          true,
-		settings.KeyNotifyOnCertRenewSuccess:    true,
-		settings.KeyNotifyOnIPFrequentAccess:    true,
-		settings.KeyNotifyOnCertRenewFailure:    true,
-		settings.KeyNotifyOnLoginFailure:        true,
-		settings.KeyNotifyOnNginxReloadFailure:  true,
-		settings.KeyNotifyIPFrequentThreshold:   true,
-		settings.KeyNotifyIPFrequentWindowSec:   true,
-		settings.KeyNotifyLoginFailureThreshold: true,
-		settings.KeyNotifyLoginFailureWindowSec: true,
-		settings.KeyNotifyOnResourceThreshold:   true,
-		settings.KeyNotifyOnTunnelDown:          true,
-		settings.KeyNotifyCPUThreshold:          true,
-		settings.KeyNotifyMemoryThreshold:       true,
-		settings.KeyNotifyDiskThreshold:         true,
-		settings.KeyNotifyTunnelFailThreshold:   true,
-		settings.KeyNotifyOnFrpsDown:            true,
-		settings.KeyNotifyOnAgentUnreachable:    true,
-		settings.KeyNotifyOnRouteDrift:          true,
-		settings.KeyNotifyFrpsFailThreshold:     true,
-		settings.KeyNotifyAgentFailThreshold:    true,
-		settings.KeyNotifyDriftCooldownHours:    true,
-		settings.KeyBackupAutoEnabled:           true,
-		settings.KeyRouteHealthEnabled:          true,
-		settings.KeyStatusPageEnabled:           true,
-		settings.KeyMetricsHistoryEnabled:       true,
-		settings.KeyStatusPageCode:              true,
-		settings.KeyBackupKeepCount:             true,
-		settings.KeyNotifyOnBackupFailure:       true,
-		settings.KeyTrustedProxy:                true,
-		settings.KeyGlobalIPBlacklist:           true,
-		settings.KeyGlobalIPWhitelist:           true,
-		settings.KeyChinaCIDRUpdateHours:        true,
-		settings.KeyChinaCIDRSourceV4:           true,
-		settings.KeyChinaCIDRSourceV6:           true,
-		settings.KeyTerminalEnabled:             true,
-		settings.KeyTerminalRecording:           true,
-	}
+	// 白名单从设置注册表派生（settings.Specs 里 Writable=true 的键）。
+	// 之前是手写 map，新增设置项时容易只改前端与常量、忘了加白名单。
+	allowed := settings.WritableKeys()
 	filtered := map[string]string{}
 	for key, value := range req {
 		if !allowed[key] {
@@ -116,6 +58,13 @@ func (h *SettingsHandler) Put(w http.ResponseWriter, r *http.Request) {
 		}
 		filtered[key] = value
 	}
+	// 时区在写入前先校验：写进库之后才发现不合法，就得再回滚一次。
+	if tz, ok := filtered[settings.KeyTimezone]; ok {
+		if _, err := settings.LoadTimezone(tz); err != nil {
+			writeError(r, w, http.StatusBadRequest, err.Error(), err)
+			return
+		}
+	}
 	// 状态页访问码走「掩码往返」：客户端提交明文，这里落 SHA-256；
 	// 空串 = 清除访问码，掩码值 = 保持不变。哈希字段不接受客户端直接写入。
 	if code, ok := filtered[settings.KeyStatusPageCode]; ok {
@@ -146,6 +95,14 @@ func (h *SettingsHandler) Put(w http.ResponseWriter, r *http.Request) {
 		writeError(r, w, http.StatusInternalServerError, "保存设置失败", err)
 		return
 	}
+	// 时区是进程级状态：保存后立即生效，不必等重启（否则用户改了看不到变化，
+	// 又会变成「界面能改、实际不生效」的观感）。
+	if tz, ok := filtered[settings.KeyTimezone]; ok && strings.TrimSpace(tz) != "" {
+		if _, err := settings.ApplyTimezone(r.Context(), h.store); err != nil {
+			writeError(r, w, http.StatusBadRequest, err.Error(), err)
+			return
+		}
+	}
 	if h.proxy != nil && (filtered[settings.KeyTrustedProxy] != "" || filtered[settings.KeyGlobalIPBlacklist] != "" || filtered[settings.KeyGlobalIPWhitelist] != "") {
 		if err := h.proxy.ReloadAll(r.Context()); err != nil {
 			writeError(r, w, http.StatusInternalServerError, "设置已保存，但 Nginx 重载失败："+err.Error(), err)
@@ -267,6 +224,19 @@ func (h *SettingsHandler) validateSetting(key, value string) error {
 				return err
 			}
 		}
+	case settings.KeyTheme:
+		switch strings.TrimSpace(value) {
+		case "system", "light", "dark":
+		default:
+			return fmt.Errorf("无效的主题：只支持 system / light / dark")
+		}
+	case settings.KeyLogRetentionDays:
+		if value != "" {
+			n, err := strconv.Atoi(value)
+			if err != nil || n < 1 || n > 365 {
+				return fmt.Errorf("日志保留天数需在 1–365 之间")
+			}
+		}
 	}
 	return nil
 }