feat(multicloud): 补齐上线前的多云管理缺口（适配器/动作层/DNS/定时同步）

评估发现项目只有台账能力，缺失真正的多云管理链路。本次按缺口逐项补齐：

适配层
- 新增 aws / linode / namesilo 适配器，registry 登记；阿里云、腾讯云补
  list_domains 与 get_account 余额
- NormalizedVPS 补 expiry_date + charge_type：此前云端同步进来的 VPS 拿不到
  到期日，永远进不了续费提醒——而续费提醒正是这套台账存在的理由
- base.py 统一云端错误可读化（http_error_message / cloud_error_text）：各厂商
  把原因放的位置都不同（Linode errors[].reason、Cloudflare errors[].message、
  腾讯 Response.Error.Message、AWS XML），此前直接 str(e) 会把 httpx 的多行文本
  连同 MDN 链接弹给用户

动作层与 DNS
- 新增 /api/actions：实例启停/重启/续费，写操作全部二次确认 + 审计
- 新增 Cloudflare DNS 记录的增删改查

定时同步
- scripts/sync_all_assets.py + /api/sync/assets + vps-sync-assets.timer(08:30)
- 08:30 而非随机时刻：必须早于 09:00 的续费检查，否则提醒读到上一天的旧到期日
- sync_all_assets 修正计数：每一项子同步都失败时不再计为「成功」，否则凭证过期
  会显示「成功 1」，用户以为数据拉到了、实际一条没有

数据一致性
- AssetRead 输出 external_id（只出不进）：前端「云操作」「DNS」按钮靠它渲染，
  缺了则所有按钮永远出不来
- import_assets 落库 external_id：导出带了去重键而导入丢弃，会让迁移后首次同步
  把所有云端资产当新增再建一份
- _align_preset_providers 取代 _backfill_provider_services：库里声明但注册表未
  实现的 sdk_type 清空（声明支持却不支持，比明说不支持更糟），services 只增量
  补标签不覆盖，用户自建平台不动

前端如实展示
- cost 为 0 统一显示「未填」而非「0 USD」：0 既可能是没填、也可能是云端不返回
  价格，而汇总处又把 0 当「无费用」排除，两处口径不一致
- 总览「本年支出」增加 year_cost_missing，把合计的覆盖缺口说出来
- DNS 弹窗补 MX/SRV 优先级与备注；列表请求失败时 provider 用资产自带 slug 兜底，
  否则 Cloudflare 代理勾选框永远不出现

测试：257 -> 309 passed

app/adapters/cloudflare.py

@@ -1,14 +1,21 @@
 """Cloudflare 适配器（REST API v4，Bearer Token）
 
 API 文档：https://developers.cloudflare.com/api/
-所需配置：{"api_token": "..."}（建议用 API Token，权限含 Zone:Read / Account:Read / Registrar:Read）
+所需配置：{"api_token": "..."}
+Token 权限建议：Zone:Read / Zone:Edit（DNS 记录写操作需要）/ Account:Read / Registrar:Read
 Cloudflare 无传统 VPS，主要同步托管域名（zones）；Workers/R2/Tunnel 子资产留待后续阶段。
 域名到期日通过 Registrar API（/accounts/{id}/registrar/domains）补充获取。
+DNS 的 zone_id 即 zone uuid（与 list_domains 返回的 external_id 一致）。
 """
 
 import httpx
 
-from app.adapters.base import BaseAdapter, NormalizedDomain, parse_iso_date
+from app.adapters.base import (
+    BaseAdapter,
+    NormalizedDNSRecord,
+    NormalizedDomain,
+    parse_iso_date,
+)
 from app.adapters.registry import register
 
 
@@ -20,16 +27,19 @@ class CloudflareAdapter(BaseAdapter):
     def _headers(self) -> dict:
         return {"Authorization": f"Bearer {self.config.get('api_token', '')}"}
 
-    def _get(self, path: str) -> dict:
+    def _request(self, method: str, path: str, json_body: dict = None) -> dict:
         with httpx.Client(timeout=30) as client:
-            resp = client.get(self.BASE + path, headers=self._headers())
+            resp = client.request(method, self.BASE + path, headers=self._headers(), json=json_body)
             resp.raise_for_status()
-            data = resp.json()
+            data = resp.json() if resp.content else {}
             if not data.get("success", True):
                 errors = data.get("errors", [])
                 raise RuntimeError(errors[0].get("message") if errors else "Cloudflare API 返回失败")
             return data
 
+    def _get(self, path: str) -> dict:
+        return self._request("GET", path)
+
     def test_connection(self) -> dict:
         try:
             data = self._get("/user/tokens/verify")
@@ -98,3 +108,84 @@ class CloudflareAdapter(BaseAdapter):
                     if parsed:
                         expiry[name] = parsed
         return expiry
+
+    # ---------------- DNS 记录管理 ----------------
+
+    def list_dns_records(self, zone_id: str) -> list:
+        result = []
+        page = 1
+        while True:
+            data = self._get(f"/zones/{zone_id}/dns_records?per_page=100&page={page}")
+            for r in data.get("result", []):
+                result.append(
+                    NormalizedDNSRecord(
+                        record_id=str(r.get("id")),
+                        zone_id=zone_id,
+                        name=r.get("name"),
+                        type=r.get("type"),
+                        content=r.get("content"),
+                        ttl=r.get("ttl"),
+                        proxied=r.get("proxied"),
+                        priority=r.get("priority"),
+                        comment=r.get("comment"),
+                        raw=r,
+                    )
+                )
+            info = data.get("result_info", {})
+            if page >= info.get("total_pages", 1):
+                break
+            page += 1
+        return result
+
+    @staticmethod
+    def _record_body(record: dict) -> dict:
+        body = {
+            "type": record.get("type", "A"),
+            "name": record.get("name", ""),
+            "content": record.get("content", ""),
+            "ttl": record.get("ttl") or 1,  # 1 = Cloudflare 的「自动」TTL
+        }
+        # proxied 只对 A/AAAA/CNAME 有意义，其余类型传了会被 API 拒绝
+        if record.get("proxied") is not None and body["type"] in ("A", "AAAA", "CNAME"):
+            body["proxied"] = bool(record["proxied"])
+        if record.get("priority") is not None:
+            body["priority"] = record["priority"]
+        if record.get("comment"):
+            body["comment"] = record["comment"]
+        return body
+
+    def create_dns_record(self, zone_id: str, record: dict) -> dict:
+        try:
+            data = self._request(
+                "POST", f"/zones/{zone_id}/dns_records", self._record_body(record)
+            )
+            return {
+                "ok": True,
+                "message": "记录已创建",
+                "record_id": str(data.get("result", {}).get("id", "")),
+                "raw": data,
+            }
+        except httpx.HTTPStatusError as e:
+            return {"ok": False, "message": f"HTTP {e.response.status_code}：创建失败（Token 可能缺 Zone:Edit）"}
+        except Exception as e:  # noqa: BLE001
+            return {"ok": False, "message": f"创建失败：{e}"}
+
+    def update_dns_record(self, zone_id: str, record_id: str, record: dict) -> dict:
+        try:
+            self._request(
+                "PATCH", f"/zones/{zone_id}/dns_records/{record_id}", self._record_body(record)
+            )
+            return {"ok": True, "message": "记录已更新"}
+        except httpx.HTTPStatusError as e:
+            return {"ok": False, "message": f"HTTP {e.response.status_code}：更新失败（Token 可能缺 Zone:Edit）"}
+        except Exception as e:  # noqa: BLE001
+            return {"ok": False, "message": f"更新失败：{e}"}
+
+    def delete_dns_record(self, zone_id: str, record_id: str) -> dict:
+        try:
+            self._request("DELETE", f"/zones/{zone_id}/dns_records/{record_id}")
+            return {"ok": True, "message": "记录已删除"}
+        except httpx.HTTPStatusError as e:
+            return {"ok": False, "message": f"HTTP {e.response.status_code}：删除失败（Token 可能缺 Zone:Edit）"}
+        except Exception as e:  # noqa: BLE001
+            return {"ok": False, "message": f"删除失败：{e}"}