fix: 收敛正确性缺口并补齐质量门禁

备份、隧道生命周期、日志、会话与设置项存在一批「静默失效」问题，本次一并收敛。

正确性：
- 备份归档补上 session_secret 与 frp 配置。缺密钥时换机恢复后库里所有凭据都解不开，
  界面表现为「配置都在、一执行就报解密失败」；同时支持口令加密（scrypt + AES-256-GCM）。
- 修复「立即备份」必失败：tar 头用的是遍历时的文件尺寸，而 logs、frpc 配置在打包期间
  还在增长，读出的字节多于声明值导致 archive/tar 报错、整份备份作废。改为打开后重新
  取尺寸并用 LimitReader 兜住，被截短时补零保持条目结构完整。
- 数据库改用 VACUUM INTO 生成一致性快照。直接打包正在写入的 SQLite 文件可能得到
  结构完整但内容自相矛盾的副本，恢复后才暴露。
- Cloudflare 启动改用 StartAuto，Shutdown 显式 StopAll，子进程绑定应用 ctx。此前
  重启会把用户手动停掉的隧道重新拉起，退出也可能留下孤儿进程。
- Nginx 访问/错误日志加轮转（200MB 阈值、gzip 归档、USR1 重开），读取改为从文件尾
  分块倒读，并跨当日归档统计。此前日志只增不减，读接口每次全量扫描。
- 过期会话改由日任务清理；删除反代规则时同步清掉流量累计，避免同名规则重建继承旧读数。
- 启动加就绪门：Nginx bootstrap 完成后再放行 FRP 对账、Agent 隧道与 Cloudflare 自启。

设置项：
- 新增设置项注册表（internal/settings/registry.go），白名单与默认值从它派生，
  并记录每个键的消费者，防止再出现「界面能改、后端没人读」的黑洞设置。
- 接上三个此前不生效的设置项：timezone（启动与保存时应用到 time.Local）、
  theme（后端为权威源，挂载时覆盖本地偏好、顶栏切换回写）、log_retention_days
  （控制日志归档保留天数）。

工程质量：
- gofmt 全量格式化 23 个历史文件，CI 增加格式化门禁。
- 前端引入 ESLint（flat config）与 lint 脚本，CI 增加 lint 步骤；顺带修掉
  logDisplay 的 let→const 与 LogsView 模板内直接改 prop 两处问题。
- 删除无引用的 pnpm-lock.yaml，prototype/ 加入忽略列表。
- 打包版本对齐：Docker manifest 同步到 2.0.0，CI 校验 VERSION 与 package.json 一致。

验证：gofmt 0 文件、go vet、go test ./...、npm run lint/typecheck/test/build 全绿。

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>

internal/settings/registry_test.go

@@ -0,0 +1,153 @@
+package settings
+
+import (
+	"testing"
+)
+
+// TestEveryDeclaredKeyHasConsumer：每个声明出来的键都要有「谁在读」的说明，
+// 并且不能只是复述键名本身。这条测试防的是「界面能改、后端没人读」的黑洞设置项
+// （theme / timezone 曾经就是这样：常量、默认值、白名单、前端表单四处齐全，唯独没人消费）。
+func TestEveryDeclaredKeyHasConsumer(t *testing.T) {
+	for _, spec := range Specs {
+		if spec.Key == "" {
+			t.Fatal("存在未填 Key 的 Spec")
+		}
+		if spec.Kind == "" {
+			t.Fatalf("%s 未填 Kind", spec.Key)
+		}
+		if spec.Consumer == "" {
+			t.Fatalf("%s 未填 Consumer（说明谁在读这个设置项）", spec.Key)
+		}
+	}
+}
+
+// TestNoDuplicateKeys：同一个键不能声明两次，否则 Lookup / Defaults 会悄悄取其中一个。
+func TestNoDuplicateKeys(t *testing.T) {
+	seen := map[string]bool{}
+	for _, spec := range Specs {
+		if seen[spec.Key] {
+			t.Fatalf("重复声明的设置项：%s", spec.Key)
+		}
+		seen[spec.Key] = true
+	}
+	if len(seen) != len(Specs) {
+		t.Fatalf("Specs 数量 %d 与去重后 %d 不一致", len(Specs), len(seen))
+	}
+}
+
+// TestKindableDefaultsMatchKind：默认值必须能被它声明的 Kind 解析，
+// 否则 GetInt/GetBool 在没写过值时会拿到脏数据。
+func TestKindableDefaultsMatchKind(t *testing.T) {
+	for _, spec := range Specs {
+		if spec.Default == "" {
+			continue
+		}
+		switch spec.Kind {
+		case KindInt:
+			if _, ok := parseInt(spec.Default); !ok {
+				t.Fatalf("%s 的默认值 %q 不是合法整数", spec.Key, spec.Default)
+			}
+		case KindBool:
+			if _, ok := parseBool(spec.Default); !ok {
+				t.Fatalf("%s 的默认值 %q 不是合法布尔值", spec.Key, spec.Default)
+			}
+		}
+	}
+}
+
+// TestDefaultsDerivedFromSpecs：Defaults 必须与 Specs 一致，防止两处各写一份。
+func TestDefaultsDerivedFromSpecs(t *testing.T) {
+	index := map[string]string{}
+	for _, spec := range Specs {
+		if spec.Default != "" {
+			index[spec.Key] = spec.Default
+		}
+	}
+	if len(index) != len(Defaults) {
+		t.Fatalf("Defaults 数量 %d 与 Specs 中带默认值的条目 %d 不一致", len(Defaults), len(index))
+	}
+	for key, want := range index {
+		if got := Defaults[key]; got != want {
+			t.Fatalf("%s 默认值不符：got %q want %q", key, got, want)
+		}
+	}
+}
+
+// TestInternalStateKeysNotWritable：程序自己维护的状态不能通过 API 写入，
+// 否则用户可以把 frp_resume_on_start 之类改成任意值，破坏重启恢复逻辑。
+func TestInternalStateKeysNotWritable(t *testing.T) {
+	internal := []string{
+		KeyFrpResumeOnStart, KeyStatusPageCodeHash,
+		KeyChinaCIDRUpdatedAt, KeyChinaCIDRCountV4, KeyChinaCIDRCountV6, KeyChinaCIDRLastError,
+		KeyNginxGlobalMode,
+	}
+	writable := WritableKeys()
+	for _, key := range internal {
+		if writable[key] {
+			t.Fatalf("%s 是内部状态键，不应出现在可写白名单里", key)
+		}
+	}
+}
+
+// TestSecretKeysAreDeclared：已知的敏感键必须被标记为 Secret，读接口才会打码。
+func TestSecretKeysAreDeclared(t *testing.T) {
+	secrets := []string{
+		KeyNotifySMTPPassword, KeyNotifyWebhookSecret, KeyNotifyTelegramToken,
+		KeyZeroSSLAPIKey, KeyLiteSSLEABHMAC, KeyStatusPageCodeHash,
+	}
+	for _, key := range secrets {
+		spec, ok := Lookup(key)
+		if !ok {
+			t.Fatalf("%s 未在注册表里声明", key)
+		}
+		if !spec.Secret {
+			t.Fatalf("%s 应标记为 Secret", key)
+		}
+	}
+}
+
+// TestWritableWhitelistContainsCoreKeys：核心可配置项必须在白名单里，
+// 否则前端保存会静默丢字段（PUT 会按白名单过滤）。
+func TestWritableWhitelistContainsCoreKeys(t *testing.T) {
+	writable := WritableKeys()
+	core := []string{
+		KeyTheme, KeyTimezone, KeyLogRetentionDays,
+		KeyDDNSCheckInterval, KeyCertRenewThreshold,
+		KeyBackupAutoEnabled, KeyBackupKeepCount,
+		KeyStatusPageEnabled, KeyTerminalEnabled, KeyTerminalRecording,
+	}
+	for _, key := range core {
+		if !writable[key] {
+			t.Fatalf("%s 应允许 API 写入", key)
+		}
+	}
+}
+
+// parseInt / parseBool 是注册表测试用的宽松解析，与 Store 的行为保持一致。
+func parseInt(raw string) (int, bool) {
+	n := 0
+	neg := false
+	for i, c := range raw {
+		if i == 0 && c == '-' {
+			neg = true
+			continue
+		}
+		if c < '0' || c > '9' {
+			return 0, false
+		}
+		n = n*10 + int(c-'0')
+	}
+	if neg {
+		n = -n
+	}
+	return n, true
+}
+
+func parseBool(raw string) (bool, bool) {
+	switch raw {
+	case "1", "true", "yes", "on", "0", "false", "no", "off":
+		return raw == "1" || raw == "true" || raw == "yes" || raw == "on", true
+	default:
+		return false, false
+	}
+}