fix(review): 修复全量审查发现的域名到期日链路、AI 资产挂靠迁移与 2FA 取码缺陷

92 文件全量代码审查后的高危/中危修复，每条都带回归测试，并在未修复的 HEAD 上
反向确认过「测试确实会失败」。

- H1 域名同步整批失败：NormalizedDomain.expiry_date 契约声明为字符串，Cloudflare
  适配器把 Registrar 的 ISO 时间戳截成 "YYYY-MM-DD" 直接赋给 Date 列，写库抛
  TypeError；而 _sync_domains 的 commit 在循环外，一个域名就让整批全量回滚
  （Cloudflare 域名实际从未同步成功）。现统一契约：base.py 新增 parse_iso_date，
  适配器产出 date，_sync_domains 写库前再归一一次以兼容仍返回字符串的适配器
- M9 Vultr / DigitalOcean 的域名到期日此前完全没映射，这两家域名永远进不了续费提醒
- M1 同步失败变 500：能力分支写库失败后未回滚，Session 停在 pending-rollback，
  随后更新 last_synced_at 的 commit 抛 PendingRollbackError，真实错误被 500 掩盖
- H2 AI 资产挂靠迁移静默零命中：迁移 SQL 用枚举值 'ai_agent' 匹配 Enum 列，而
  SQLAlchemy Enum 存的是成员名 'AI_AGENT'，该分支从未生效（6 个 AI 资产的
  account_id 全为 NULL）。改用成员名并加日志留痕；账号命名沿用步骤 1 的
  「{slug}-默认」约定，避免建出与既有账号语义重复、且没有凭证的空账号
  （dry-run 实测：deepseek 资产复用已有且有凭证的 deepseek-默认）
- H3 2FA 动态码不刷新：otpState 全局常驻、收起只清 timer 不删条目，「不存在才拉」
  的守卫导致再次展开显示上一次的旧码且倒计时冻结在 0。改为每次展开都重取；
  stopOtp 同时清空旧码（避免重展开瞬间闪过已失效的码），并加请求代号，防止
  「请求在途时收起」后返回的响应又重启轮询
- M10 账号弹窗关闭不清理：外层用 v-if 关闭并不卸载组件，onUnmounted 不触发，
  OTP 轮询定时器与明文密码驻留后台。关闭时显式调 closePwd
- M2 提醒发不出去：Telegram 用 parse_mode=HTML，资产名含 < > & 时整条消息被 400
  拒收；纯文本提醒不需要任何标签，去掉 parse_mode，并把拒收正文带回便于排查
- M3 负数天文案：cbb32ea 已修好提醒消息正文，本次补齐仍在直出负数的两处
  （check_renewals.py 输出、设置页预览），后端抽出 renewal_service.day_text 统一，
  前端走 Fmt.countdownText

验证：pytest 94 passed（新增 tests/test_domain_expiry.py、tests/test_notification.py）；
本地起服务对 H2 迁移做真实 dry-run（6 个 AI 资产挂到 4 个账号、无重复账号、幂等、
非 AI 资产零影响，迁移前已备份）；浏览器端以 otpState 状态断言验证 H3/M10，
设置页续费预览确认已过期项显示「已过期 N 天」。

app/adapters/base.py

@@ -7,7 +7,30 @@
 
 from abc import ABC, abstractmethod
 from dataclasses import asdict, dataclass, field
-from typing import Optional
+from datetime import date, datetime
+from typing import Any, Optional
+
+
+def parse_iso_date(value: Any) -> Optional[date]:
+    """把到期日归一化为 date 对象（接受 date / datetime / ISO 字符串，解析失败返回 None）
+
+    各厂商返回形态不一（'2027-03-15'、'2027-03-15T00:00:00Z'、'2027-03-15T00:00:00+00:00'）。
+    必须统一成 date 再交给上层：expiry_date 是 SQLAlchemy Date 列，
+    直接塞字符串会在写库时抛 TypeError，导致整批同步在循环末尾的 commit 上全量失败。
+    """
+    if value is None:
+        return None
+    if isinstance(value, datetime):
+        return value.date()
+    if isinstance(value, date):
+        return value
+    text = str(value).strip()
+    if not text:
+        return None
+    try:
+        return date.fromisoformat(text[:10])
+    except ValueError:
+        return None
 
 
 @dataclass
@@ -38,12 +61,16 @@ class NormalizedDomain:
     external_id: str
     domain_name: str
     registrar: Optional[str] = None
-    expiry_date: Optional[str] = None  # ISO 日期字符串 YYYY-MM-DD
+    expiry_date: Optional[date] = None  # 到期日 date；厂商原始值请过 parse_iso_date
     status: str = "active"
     raw: dict = field(default_factory=dict)
 
     def to_dict(self) -> dict:
-        return asdict(self)
+        d = asdict(self)
+        # date 不可直接 JSON 序列化，转回 ISO 字符串（对外形态与旧契约一致）
+        if d.get("expiry_date") is not None:
+            d["expiry_date"] = d["expiry_date"].isoformat()
+        return d
 
 
 @dataclass

app/adapters/cloudflare.py

@@ -8,7 +8,7 @@ Cloudflare 无传统 VPS，主要同步托管域名（zones）；Workers/R2/Tunn
 
 import httpx
 
-from app.adapters.base import BaseAdapter, NormalizedDomain
+from app.adapters.base import BaseAdapter, NormalizedDomain, parse_iso_date
 from app.adapters.registry import register
 
 
@@ -43,7 +43,7 @@ class CloudflareAdapter(BaseAdapter):
             return {"ok": False, "message": str(e)}
 
     def list_domains(self) -> list:
-        # 先拉取 Registrar 域名到期日映射（domain_name -> expires_at ISO 日期）
+        # 先拉取 Registrar 域名到期日映射（domain_name -> date）
         expiry_map = self._registrar_expiry_map()
 
         result = []
@@ -69,7 +69,7 @@ class CloudflareAdapter(BaseAdapter):
         return result
 
     def _registrar_expiry_map(self) -> dict:
-        """拉取 Cloudflare Registrar 域名到期日映射 {domain_name: YYYY-MM-DD}
+        """拉取 Cloudflare Registrar 域名到期日映射 {domain_name: date}
 
         流程：/accounts → 对每个 account 调 /accounts/{id}/registrar/domains。
         若 Token 无 Registrar 权限或账号无 Registrar 域名，静默返回空映射。
@@ -92,6 +92,9 @@ class CloudflareAdapter(BaseAdapter):
                 name = d.get("id") or d.get("domain_name") or ""
                 expires_at = d.get("expires_at")
                 if name and expires_at:
-                    # expires_at 为 ISO8601 时间戳，截取日期部分
-                    expiry[name] = expires_at[:10]
+                    # expires_at 为 ISO8601 时间戳，必须解析成 date 再交给上层：
+                    # 直接塞截取的字符串会在写库时触发 SQLite Date 类型错误，整批同步失败
+                    parsed = parse_iso_date(expires_at)
+                    if parsed:
+                        expiry[name] = parsed
         return expiry

app/adapters/digitalocean.py

@@ -11,6 +11,7 @@ from app.adapters.base import (
     BaseAdapter,
     NormalizedDomain,
     NormalizedVPS,
+    parse_iso_date,
 )
 from app.adapters.registry import register
 
@@ -92,6 +93,8 @@ class DigitalOceanAdapter(BaseAdapter):
                         external_id=d.get("name"),
                         domain_name=d.get("name"),
                         registrar="digitalocean",
+                        # /domains 用 expiry_date，部分账号下会返回 expires_at，两者都兼容
+                        expiry_date=parse_iso_date(d.get("expiry_date") or d.get("expires_at")),
                         raw=d,
                     )
                 )

app/adapters/vultr.py

@@ -11,6 +11,7 @@ from app.adapters.base import (
     BaseAdapter,
     NormalizedDomain,
     NormalizedVPS,
+    parse_iso_date,
 )
 from app.adapters.registry import register
 
@@ -93,6 +94,8 @@ class VultrAdapter(BaseAdapter):
                         external_id=d.get("domain"),
                         domain_name=d.get("domain"),
                         registrar="vultr",
+                        # 非 Vultr 注册的域名 expiry_date 为空，解析失败统一归为 None
+                        expiry_date=parse_iso_date(d.get("expiry_date")),
                         raw=d,
                     )
                 )