fix(review): 处理全量审查剩余项（M4-M8/M11/M12 + 21 条 low）

后端
- asset_service: delete_asset 先清 subdomains/site_certs 子表（SQLite 不强制
  FK 且 assets.id 无 AUTOINCREMENT，删最大 id 后新建会复用 rowid 导致孤儿误挂）；
  metrics.db 清理改 best-effort，不再让已成功的删除返回 500
- provider_service: slug 唯一约束竞态补 IntegrityError 兜底（与 account_service 一致）
- account_service/sync_service: raise HTTPException 补 from e，保留原始异常链
- sync_service: 删死代码 _load_config；新增 BalanceUnsupported，平台无余额接口时
  计入 skipped 而不是静默当作失败；到期日写库前归一
- ai: 删掉 OpenAI 早已下线的 billing 余额接口实现，能力探测如实报「不支持」
- adapters/base: _overridden 改走 MRO，中间层基类实现的能力不再被误判为未实现
- core/timeutils: 删死代码 utcnow_iso（注释声称 Z 后缀，实际输出 +00:00）
- main: lifespan 退出时 await 被 cancel 的清理任务，避免 pending task 被销毁
- ssl_service: 写 site_certs/subdomains 前校验 asset_id 存在，杜绝悬空引用；
  到期阈值贯穿 _judge_status/_apply_probe/check_one/check_all_site_certs
- routers/credentials、accounts: 明文密码 GET 补 Cache-Control: no-store
- routers/stats: /stats/expiring 的 Query 描述与实际语义对齐（不设下界，含已过期）

Agent
- collector: 解析 sshd_config 的 Include（含 sshd_config.d/*.conf，按 sshd 语义
  「首次出现的值生效」），未显式配置的关键字按编译默认值判定，消除假 pass；
  防火墙检测改用 iptables -S 统计 -A 规则行并读 INPUT 策略（-L -n 恒有链头输出）
- reporter: 4xx（除 429）不再重试直接退出，429 优先按 Retry-After 退避

安全与部署
- core/security: require_agent_key 改为对外 fail-closed——tailnet/本机放行，
  外部来源未配 AGENT_KEY 时一律 401（此前全放行，而服务默认监听 0.0.0.0，
  公网上任何人可伪造监控指标与安全检查结果）
- main: 启动时把「未配 API_KEY/AGENT_KEY 则外部来源不可用」打进日志
- run.sh: HOST/PORT 可用环境变量覆盖，并说明默认 0.0.0.0 的权衡
- deploy/setup.sh: 新装时自动生成随机 API_KEY/AGENT_KEY 并提示同步到各 VPS；
  注册 vps-cert-check.timer
- deploy/vps-cert-check.{service,timer}: 新增每日 09:30 的站点证书到期探测
  （此前 check_site_certs.py 没有任何 unit，证书提醒不会自动跑）
- deploy/update.sh: sync_units 对 timer 用 enable --now（新增 timer 只 restart
  不会建开机自启软链），主服务 unit 变更后额外 restart；pip 安装失败不再被吞
- scripts/check_site_certs.py: threshold 参数真正生效并打印
- scripts/make_migration_bundle.py: 缺 assets.db 直接 abort；umask 077 + chmod 600
  （包内含 .env 的 MASTER_KEY 与 escrow，不能默认 644 落在 /tmp）
- scripts/restore_migration_bundle.py: 校验之外补必备文件预检，缺文件在触碰
  目标机状态之前就 abort

前端
- store: 拆分列表口径 assets 与统计口径 allAssets（无筛选时同源，不重复请求）；
  删除已无消费者的 expiring/loadExpiring（每次 loadAll 白发一个请求）
- dashboard/monitor/providers/subscriptions/modals: 统计与计数改用 allAssets，
  资产页的筛选（含统计卡片点击跳转带的筛选）不再让其他视图的数字缩水
- modals: 账号同步后补 loadOverview；settings: 导入后改 loadAll
- api: countdownText 支持 unit/empty 选项，monitor/domains 各自的实现改为委托，
  assets/domains/subscriptions 的到期列不再直出「(-3天)」
- servers: cpu/mem/disk 百分比统一判空，采样缺项不再渲染「null%」
- assets: 同步 AI 余额的结果提示区分 skipped（平台无余额接口）与 failed
- modals: 修正凭据库头注释——2FA 动态码是选填 + 可事后补验，与实现一致

测试
- 新增 tests/test_agent_collector.py（8 条）、tests/test_security.py（11 条）
- 全量 113 passed；改动 JS 均通过 node --check，deploy 脚本通过 bash -n
- 浏览器实测：筛选态下总览/监控中心/平台页/付费资产的统计仍为全量口径，
  到期文案与 null 百分比渲染正确，console 零报错

scripts/check_site_certs.py

@@ -22,7 +22,9 @@ def main() -> int:
     threshold = int(sys.argv[1]) if len(sys.argv) > 1 else ssl_service.EXPIRING_THRESHOLD
     init_db()
     with Session(assets_engine) as session:
-        result = ssl_service.check_all_site_certs(session)
+        # 阈值必须传进去：否则定级仍按模块常量 EXPIRING_THRESHOLD，
+        # CLI 参数取了却从未生效（文档声称支持）
+        result = ssl_service.check_all_site_certs(session, threshold)
         stats = result["stats"]
 
         # 即将到期 / 已过期 / 探测失败的证书 → 发提醒
@@ -40,7 +42,7 @@ def main() -> int:
             )
 
     print(
-        f"[SSL检查] 共 {stats['total']} 个站点 | 正常 {stats['ok']} | "
+        f"[SSL检查] 阈值 {threshold} 天 | 共 {stats['total']} 个站点 | 正常 {stats['ok']} | "
         f"即将到期 {stats['expiring']} | 已过期 {stats['expired']} | 探测失败 {stats['error']}"
     )
     for p in result["problems"]:

scripts/make_migration_bundle.py

@@ -18,6 +18,7 @@ setup.sh 与一条 serve 命令重建，故不在包内）：
 
 import hashlib
 import json
+import os
 import shutil
 import socket
 import sqlite3
@@ -81,8 +82,14 @@ def main() -> int:
         if src.exists():
             snap_db(src, data_dst / db)
             copied.append(f"data/{db}")
+        elif db == "assets.db":
+            # 资产库是迁移的主体：缺了它仍打包，恢复端会把目标机 data/ 换成空库
+            # 并报「恢复成功」，旧数据仅存于 data.pre-restore-*
+            print("[abort] 缺少 data/assets.db（迁移包没有主体数据）", file=sys.stderr)
+            shutil.rmtree(work, ignore_errors=True)
+            return 2
         else:
-            print(f"[skip] {db} 不存在")
+            print("[warn] metrics.db 不存在，包内不含监控历史（不影响资产迁移）")
     escrow = data_src / "master_key.escrow"
     if escrow.exists():
         shutil.copy2(escrow, data_dst / "master_key.escrow")
@@ -119,8 +126,15 @@ def main() -> int:
     )
 
     out.parent.mkdir(parents=True, exist_ok=True)
-    with tarfile.open(out, "w:gz") as tar:
-        tar.add(root, arcname="bundle")
+    # 包内含 .env（MASTER_KEY）与 escrow：先收紧 umask 再落盘，
+    # 避免默认 644 落在 /tmp 被同机其他用户读走
+    old_umask = os.umask(0o077)
+    try:
+        with tarfile.open(out, "w:gz") as tar:
+            tar.add(root, arcname="bundle")
+    finally:
+        os.umask(old_umask)
+    out.chmod(0o600)
     shutil.rmtree(work, ignore_errors=True)
 
     print(f"[ok] 迁移包：{out}")

scripts/restore_migration_bundle.py

@@ -65,10 +65,12 @@ def main() -> int:
             print("[abort] 包内缺 manifest.sha256，拒绝恢复", file=sys.stderr)
             return 2
         print("[1/4] 校验包内文件…")
+        listed: set[str] = set()
         for line in manifest_sha.read_text(encoding="utf-8").splitlines():
             if not line.strip():
                 continue
             digest, name = line.split("  ", 1)
+            listed.add(name)
             target = root / name
             if not target.exists():
                 print(f"[abort] 包内缺文件：{name}", file=sys.stderr)
@@ -80,6 +82,18 @@ def main() -> int:
                 return 2
             print(f"  ok {name}")
 
+        # 必备文件预检：校验和只能证明「已列出的文件完好」，发现不了「压根没打进包」。
+        # 缺 assets.db/.env 还往下走的话，目标机 data/ 与 .env 已被移走，
+        # 恢复出的却是空库，而且还会报「恢复成功」
+        missing = [
+            name for name in ("data/assets.db", ".env")
+            if name not in listed or not (root / name).exists()
+        ]
+        if missing:
+            print(f"[abort] 迁移包缺必备文件：{', '.join(missing)}（尚未触碰目标机状态）",
+                  file=sys.stderr)
+            return 2
+
         ts = datetime.now().strftime("%Y%m%d_%H%M%S")
         print("[2/4] 备份目标机现有状态…")
         for src, tag in ((app_dir / "data", f"data.pre-restore-{ts}"),