fix(review): 处理全量审查剩余项（M4-M8/M11/M12 + 21 条 low）

后端
- asset_service: delete_asset 先清 subdomains/site_certs 子表（SQLite 不强制
  FK 且 assets.id 无 AUTOINCREMENT，删最大 id 后新建会复用 rowid 导致孤儿误挂）；
  metrics.db 清理改 best-effort，不再让已成功的删除返回 500
- provider_service: slug 唯一约束竞态补 IntegrityError 兜底（与 account_service 一致）
- account_service/sync_service: raise HTTPException 补 from e，保留原始异常链
- sync_service: 删死代码 _load_config；新增 BalanceUnsupported，平台无余额接口时
  计入 skipped 而不是静默当作失败；到期日写库前归一
- ai: 删掉 OpenAI 早已下线的 billing 余额接口实现，能力探测如实报「不支持」
- adapters/base: _overridden 改走 MRO，中间层基类实现的能力不再被误判为未实现
- core/timeutils: 删死代码 utcnow_iso（注释声称 Z 后缀，实际输出 +00:00）
- main: lifespan 退出时 await 被 cancel 的清理任务，避免 pending task 被销毁
- ssl_service: 写 site_certs/subdomains 前校验 asset_id 存在，杜绝悬空引用；
  到期阈值贯穿 _judge_status/_apply_probe/check_one/check_all_site_certs
- routers/credentials、accounts: 明文密码 GET 补 Cache-Control: no-store
- routers/stats: /stats/expiring 的 Query 描述与实际语义对齐（不设下界，含已过期）

Agent
- collector: 解析 sshd_config 的 Include（含 sshd_config.d/*.conf，按 sshd 语义
  「首次出现的值生效」），未显式配置的关键字按编译默认值判定，消除假 pass；
  防火墙检测改用 iptables -S 统计 -A 规则行并读 INPUT 策略（-L -n 恒有链头输出）
- reporter: 4xx（除 429）不再重试直接退出，429 优先按 Retry-After 退避

安全与部署
- core/security: require_agent_key 改为对外 fail-closed——tailnet/本机放行，
  外部来源未配 AGENT_KEY 时一律 401（此前全放行，而服务默认监听 0.0.0.0，
  公网上任何人可伪造监控指标与安全检查结果）
- main: 启动时把「未配 API_KEY/AGENT_KEY 则外部来源不可用」打进日志
- run.sh: HOST/PORT 可用环境变量覆盖，并说明默认 0.0.0.0 的权衡
- deploy/setup.sh: 新装时自动生成随机 API_KEY/AGENT_KEY 并提示同步到各 VPS；
  注册 vps-cert-check.timer
- deploy/vps-cert-check.{service,timer}: 新增每日 09:30 的站点证书到期探测
  （此前 check_site_certs.py 没有任何 unit，证书提醒不会自动跑）
- deploy/update.sh: sync_units 对 timer 用 enable --now（新增 timer 只 restart
  不会建开机自启软链），主服务 unit 变更后额外 restart；pip 安装失败不再被吞
- scripts/check_site_certs.py: threshold 参数真正生效并打印
- scripts/make_migration_bundle.py: 缺 assets.db 直接 abort；umask 077 + chmod 600
  （包内含 .env 的 MASTER_KEY 与 escrow，不能默认 644 落在 /tmp）
- scripts/restore_migration_bundle.py: 校验之外补必备文件预检，缺文件在触碰
  目标机状态之前就 abort

前端
- store: 拆分列表口径 assets 与统计口径 allAssets（无筛选时同源，不重复请求）；
  删除已无消费者的 expiring/loadExpiring（每次 loadAll 白发一个请求）
- dashboard/monitor/providers/subscriptions/modals: 统计与计数改用 allAssets，
  资产页的筛选（含统计卡片点击跳转带的筛选）不再让其他视图的数字缩水
- modals: 账号同步后补 loadOverview；settings: 导入后改 loadAll
- api: countdownText 支持 unit/empty 选项，monitor/domains 各自的实现改为委托，
  assets/domains/subscriptions 的到期列不再直出「(-3天)」
- servers: cpu/mem/disk 百分比统一判空，采样缺项不再渲染「null%」
- assets: 同步 AI 余额的结果提示区分 skipped（平台无余额接口）与 failed
- modals: 修正凭据库头注释——2FA 动态码是选填 + 可事后补验，与实现一致

测试
- 新增 tests/test_agent_collector.py（8 条）、tests/test_security.py（11 条）
- 全量 113 passed；改动 JS 均通过 node --check，deploy 脚本通过 bash -n
- 浏览器实测：筛选态下总览/监控中心/平台页/付费资产的统计仍为全量口径，
  到期文案与 null 百分比渲染正确，console 零报错

deploy/setup.sh

@@ -40,10 +40,15 @@ python3 -m venv .venv
 echo "==> [4/6] 生成 .env（若不存在）"
 if [ ! -f .env ]; then
   MASTER_KEY="$(.venv/bin/python -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())")"
+  # API_KEY / AGENT_KEY 默认生成强随机值：留空时 Agent 上报接口对任意来源放行
+  # （require_agent_key 未配 key 即全放），而服务默认监听 0.0.0.0，
+  # 公网上任何人都能伪造监控数据上报
+  API_KEY="$(.venv/bin/python -c "import secrets; print(secrets.token_urlsafe(32))")"
+  AGENT_KEY="$(.venv/bin/python -c "import secrets; print(secrets.token_urlsafe(32))")"
   cat > .env <<EOF
 APP_NAME=VPS 资产管理系统
-API_KEY=
-AGENT_KEY=
+API_KEY=$API_KEY
+AGENT_KEY=$AGENT_KEY
 MASTER_KEY=$MASTER_KEY
 TELEGRAM_BOT_TOKEN=
 TELEGRAM_CHAT_ID=
@@ -62,7 +67,9 @@ S3_PREFIX=vps-manager
 S3_REGION=auto
 EOF
   chmod 600 .env
-  echo "    已生成 .env（MASTER_KEY 自动生成，请妥善保管）"
+  echo "    已生成 .env（MASTER_KEY / API_KEY / AGENT_KEY 均自动生成，请妥善保管）"
+  echo "    - API_KEY：填入前端「设置」后，外部（非 tailnet/本机）来源的写操作才能通过鉴权"
+  echo "    - AGENT_KEY：需写入各 VPS 的 /etc/vps-agent.env（VPS_AGENT_KEY），否则 Agent 上报会 401"
 else
   echo "    .env 已存在，跳过生成"
 fi
@@ -74,11 +81,12 @@ cp deploy/vps-backup-assets.service deploy/vps-backup-assets.timer /etc/systemd/
 cp deploy/vps-backup-metrics.service deploy/vps-backup-metrics.timer /etc/systemd/system/
 cp deploy/vps-sync-ai.service deploy/vps-sync-ai.timer /etc/systemd/system/
 cp deploy/vps-renewal-check.service deploy/vps-renewal-check.timer /etc/systemd/system/
+cp deploy/vps-cert-check.service deploy/vps-cert-check.timer /etc/systemd/system/
 systemctl daemon-reload
 systemctl enable --now vps-manager
 systemctl enable --now vps-manager-update.timer
 systemctl enable --now vps-backup-assets.timer vps-backup-metrics.timer
-systemctl enable --now vps-sync-ai.timer vps-renewal-check.timer
+systemctl enable --now vps-sync-ai.timer vps-renewal-check.timer vps-cert-check.timer
 
 echo "==> [6/6] 验证服务状态"
 sleep 3

deploy/update.sh

@@ -1,6 +1,7 @@
 #!/usr/bin/env bash
 # vps-manager 自动更新脚本（由 systemd timer 定时触发）
-# 1. 自动同步 deploy/ 下的 systemd 单元文件（有变更才拷贝 + daemon-reload）
+# 1. 自动同步 deploy/ 下的 systemd 单元文件（有变更才拷贝 + daemon-reload；
+#    timer 变更 enable --now，主服务 unit 变更额外 restart）
 # 2. 从 Gitea 拉取最新代码，如有更新则装依赖并重启服务
 #
 # 可配置项（环境变量）：
@@ -30,10 +31,11 @@ print_version() {
 }
 
 # 同步 systemd 单元文件：deploy/ 下的 .service/.timer 与 /etc/systemd/system
-# 不一致时拷贝并 reload；timer 变更额外 restart 使新调度周期立即生效。
+# 不一致时拷贝并 reload；timer 变更额外 enable --now（新调度周期立即生效且开机自启），
+# 主服务 unit 变更额外 restart（否则光 daemon-reload 日志说已更新、实际没生效）。
 # 每次都执行（而非仅版本更新时），保证单元变更不依赖代码变更触发。
 sync_units() {
-  local changed=0 f base
+  local changed=0 restart_main=0 f base
   for f in "$APP_DIR"/deploy/*.service "$APP_DIR"/deploy/*.timer; do
     [ -f "$f" ] || continue
     base=$(basename "$f")
@@ -42,7 +44,16 @@ sync_units() {
       echo "[$(date '+%F %T')] 单元已更新: $base"
       changed=1
       case "$base" in
-        *.timer) systemctl restart "$base" 2>/dev/null || true ;;
+        *.timer)
+          # enable --now：新增的 timer 只 restart 不会建开机自启软链，宿主重启后就丢了
+          systemctl enable --now "$base" 2>/dev/null \
+            || systemctl restart "$base" 2>/dev/null || true
+          ;;
+        "$SERVICE_NAME".service)
+          # 常驻服务的 unit 变更（如 ExecStart）光 daemon-reload 不生效，必须 restart；
+          # oneshot 服务下次触发自然读新配置，无需 restart
+          restart_main=1
+          ;;
       esac
     fi
   done
@@ -50,6 +61,10 @@ sync_units() {
     systemctl daemon-reload
     echo "[$(date '+%F %T')] systemd 单元同步完成"
   fi
+  if [ "$restart_main" -eq 1 ]; then
+    systemctl restart "$SERVICE_NAME"
+    echo "[$(date '+%F %T')] 已重启 $SERVICE_NAME 使 unit 变更生效"
+  fi
 }
 
 sync_units
@@ -72,7 +87,10 @@ git reset --hard -q "origin/$BRANCH"
 
 # 依赖如有变更自动安装（无变化时 pip 会快速跳过）
 if [ -x ".venv/bin/pip" ]; then
-  .venv/bin/pip install -q -r requirements.txt 2>/dev/null || true
+  # 不再用 2>/dev/null || true 把报错全吞：装不上时只表现为服务重启后 ImportError，极难定位
+  if ! .venv/bin/pip install -q -r requirements.txt; then
+    echo "[$(date '+%F %T')] 警告：依赖安装失败，服务可能因 ImportError 起不来；请手动执行 .venv/bin/pip install -r requirements.txt 看完整报错"
+  fi
 fi
 
 # 重启服务加载新代码

deploy/vps-cert-check.service

@@ -0,0 +1,13 @@
+# 站点 SSL 证书检查服务（oneshot，由 timer 触发）
+# 部署位置：/etc/systemd/system/vps-cert-check.service
+
+[Unit]
+Description=Probe site SSL certificates and notify on expiry
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=oneshot
+WorkingDirectory=/opt/vps-manager
+EnvironmentFile=-/opt/vps-manager/.env
+ExecStart=/opt/vps-manager/.venv/bin/python /opt/vps-manager/scripts/check_site_certs.py

deploy/vps-cert-check.timer

@@ -0,0 +1,15 @@
+# 站点 SSL 证书每日检查定时器（09:30，错开 09:00 的续费检查，避免两条提醒同时发）
+# 部署位置：/etc/systemd/system/vps-cert-check.timer
+# 阈值默认取 ssl_service.EXPIRING_THRESHOLD（30 天）；如需自定义，
+# 在 vps-cert-check.service 的 ExecStart 末尾追加天数参数即可。
+
+[Unit]
+Description=Daily site SSL certificate check
+
+[Timer]
+OnCalendar=*-*-* 09:30:00
+Persistent=true
+Unit=vps-cert-check.service
+
+[Install]
+WantedBy=timers.target