fix(review): 修复全量审查发现的域名到期日链路、AI 资产挂靠迁移与 2FA 取码缺陷

92 文件全量代码审查后的高危/中危修复，每条都带回归测试，并在未修复的 HEAD 上
反向确认过「测试确实会失败」。

- H1 域名同步整批失败：NormalizedDomain.expiry_date 契约声明为字符串，Cloudflare
  适配器把 Registrar 的 ISO 时间戳截成 "YYYY-MM-DD" 直接赋给 Date 列，写库抛
  TypeError；而 _sync_domains 的 commit 在循环外，一个域名就让整批全量回滚
  （Cloudflare 域名实际从未同步成功）。现统一契约：base.py 新增 parse_iso_date，
  适配器产出 date，_sync_domains 写库前再归一一次以兼容仍返回字符串的适配器
- M9 Vultr / DigitalOcean 的域名到期日此前完全没映射，这两家域名永远进不了续费提醒
- M1 同步失败变 500：能力分支写库失败后未回滚，Session 停在 pending-rollback，
  随后更新 last_synced_at 的 commit 抛 PendingRollbackError，真实错误被 500 掩盖
- H2 AI 资产挂靠迁移静默零命中：迁移 SQL 用枚举值 'ai_agent' 匹配 Enum 列，而
  SQLAlchemy Enum 存的是成员名 'AI_AGENT'，该分支从未生效（6 个 AI 资产的
  account_id 全为 NULL）。改用成员名并加日志留痕；账号命名沿用步骤 1 的
  「{slug}-默认」约定，避免建出与既有账号语义重复、且没有凭证的空账号
  （dry-run 实测：deepseek 资产复用已有且有凭证的 deepseek-默认）
- H3 2FA 动态码不刷新：otpState 全局常驻、收起只清 timer 不删条目，「不存在才拉」
  的守卫导致再次展开显示上一次的旧码且倒计时冻结在 0。改为每次展开都重取；
  stopOtp 同时清空旧码（避免重展开瞬间闪过已失效的码），并加请求代号，防止
  「请求在途时收起」后返回的响应又重启轮询
- M10 账号弹窗关闭不清理：外层用 v-if 关闭并不卸载组件，onUnmounted 不触发，
  OTP 轮询定时器与明文密码驻留后台。关闭时显式调 closePwd
- M2 提醒发不出去：Telegram 用 parse_mode=HTML，资产名含 < > & 时整条消息被 400
  拒收；纯文本提醒不需要任何标签，去掉 parse_mode，并把拒收正文带回便于排查
- M3 负数天文案：cbb32ea 已修好提醒消息正文，本次补齐仍在直出负数的两处
  （check_renewals.py 输出、设置页预览），后端抽出 renewal_service.day_text 统一，
  前端走 Fmt.countdownText

验证：pytest 94 passed（新增 tests/test_domain_expiry.py、tests/test_notification.py）；
本地起服务对 H2 迁移做真实 dry-run（6 个 AI 资产挂到 4 个账号、无重复账号、幂等、
非 AI 资产零影响，迁移前已备份）；浏览器端以 otpState 状态断言验证 H3/M10，
设置页续费预览确认已过期项显示「已过期 N 天」。

app/database.py

@@ -4,11 +4,14 @@
 - metrics.db：MetricPoint / ServerInfo / SecurityCheck / EventLog
 """
 
+import logging
 from pathlib import Path
 from typing import Generator
 
 from sqlmodel import Session, SQLModel, create_engine
 
+logger = logging.getLogger("vps-manager.db")
+
 BASE_DIR = Path(__file__).resolve().parent.parent
 DATA_DIR = BASE_DIR / "data"
 DATA_DIR.mkdir(parents=True, exist_ok=True)
@@ -367,21 +370,28 @@ def _backfill_account_credentials(conn) -> None:
         )
 
     # 2. 无账号的 AI 资产按 provider 挂靠（account_id 外键 + account 字符串兼容）
+    #    注意：SQLAlchemy Enum 列存的是成员名（'AI_AGENT'）而不是枚举值（'ai_agent'），
+    #    写值会让这个分支静默零命中（同文件 _migrate_account_credentials_to_vault 用的 'PASSWORD' 即成员名）
     rows = conn.execute(
         sa.text(
             "SELECT a.id, COALESCE(ai.provider, '') FROM assets a "
             "JOIN ai_accounts ai ON ai.asset_id = a.id "
-            "WHERE a.asset_type = 'ai_agent' AND a.account_id IS NULL AND (a.account IS NULL OR a.account = '')"
+            "WHERE a.asset_type = 'AI_AGENT' AND a.account_id IS NULL AND (a.account IS NULL OR a.account = '')"
         )
     ).fetchall()
+    attached = 0
     for asset_id, provider in rows:
         if not provider:
             continue
-        acc_id = _ensure_account(provider, provider)
+        # 沿用步骤 1 的「{slug}-默认」命名：同平台已有账号时直接复用。
+        # 用裸 provider 名会建出「deepseek」与「deepseek-默认」两个语义重复的账号，
+        # 而新建那个没凭证，在 UI 上点同步/测试会直接报「缺少凭证配置」
+        acc_id = _ensure_account(f"{provider}-默认", provider)
         conn.execute(
             sa.text("UPDATE assets SET account = :acc, account_id = :aid WHERE id = :id"),
             {"acc": provider, "aid": acc_id, "id": asset_id},
         )
+        attached += 1
         # 账号尚无 API 配置时，把该资产的 api_key 写入账号配置（解密后重组 JSON 再加密）
         key_row = conn.execute(
             sa.text("SELECT api_key_encrypted FROM ai_accounts WHERE asset_id = :id"),
@@ -396,11 +406,14 @@ def _backfill_account_credentials(conn) -> None:
                     conn.execute(
                         sa.text(
                             "UPDATE accounts SET api_config_encrypted = :cfg "
-                            "WHERE name = :name AND COALESCE(platform,'') = :platform "
+                            "WHERE id = :aid "
                             "AND (api_config_encrypted IS NULL OR api_config_encrypted = '')"
                         ),
-                        {"cfg": cfg_enc, "name": provider, "platform": provider},
+                        {"cfg": cfg_enc, "aid": acc_id},
                     )
+    if attached:
+        # 这段迁移每次启动都会重跑（幂等），有实际改动时必须留痕迹便于事后核对
+        logger.info("凭证下沉迁移：本次将 %s 个 AI 资产挂靠到账号", attached)
 
 
 def get_session() -> Generator[Session, None, None]: