fix(review): 处理全量审查剩余项（M4-M8/M11/M12 + 21 条 low）

后端
- asset_service: delete_asset 先清 subdomains/site_certs 子表（SQLite 不强制
  FK 且 assets.id 无 AUTOINCREMENT，删最大 id 后新建会复用 rowid 导致孤儿误挂）；
  metrics.db 清理改 best-effort，不再让已成功的删除返回 500
- provider_service: slug 唯一约束竞态补 IntegrityError 兜底（与 account_service 一致）
- account_service/sync_service: raise HTTPException 补 from e，保留原始异常链
- sync_service: 删死代码 _load_config；新增 BalanceUnsupported，平台无余额接口时
  计入 skipped 而不是静默当作失败；到期日写库前归一
- ai: 删掉 OpenAI 早已下线的 billing 余额接口实现，能力探测如实报「不支持」
- adapters/base: _overridden 改走 MRO，中间层基类实现的能力不再被误判为未实现
- core/timeutils: 删死代码 utcnow_iso（注释声称 Z 后缀，实际输出 +00:00）
- main: lifespan 退出时 await 被 cancel 的清理任务，避免 pending task 被销毁
- ssl_service: 写 site_certs/subdomains 前校验 asset_id 存在，杜绝悬空引用；
  到期阈值贯穿 _judge_status/_apply_probe/check_one/check_all_site_certs
- routers/credentials、accounts: 明文密码 GET 补 Cache-Control: no-store
- routers/stats: /stats/expiring 的 Query 描述与实际语义对齐（不设下界，含已过期）

Agent
- collector: 解析 sshd_config 的 Include（含 sshd_config.d/*.conf，按 sshd 语义
  「首次出现的值生效」），未显式配置的关键字按编译默认值判定，消除假 pass；
  防火墙检测改用 iptables -S 统计 -A 规则行并读 INPUT 策略（-L -n 恒有链头输出）
- reporter: 4xx（除 429）不再重试直接退出，429 优先按 Retry-After 退避

安全与部署
- core/security: require_agent_key 改为对外 fail-closed——tailnet/本机放行，
  外部来源未配 AGENT_KEY 时一律 401（此前全放行，而服务默认监听 0.0.0.0，
  公网上任何人可伪造监控指标与安全检查结果）
- main: 启动时把「未配 API_KEY/AGENT_KEY 则外部来源不可用」打进日志
- run.sh: HOST/PORT 可用环境变量覆盖，并说明默认 0.0.0.0 的权衡
- deploy/setup.sh: 新装时自动生成随机 API_KEY/AGENT_KEY 并提示同步到各 VPS；
  注册 vps-cert-check.timer
- deploy/vps-cert-check.{service,timer}: 新增每日 09:30 的站点证书到期探测
  （此前 check_site_certs.py 没有任何 unit，证书提醒不会自动跑）
- deploy/update.sh: sync_units 对 timer 用 enable --now（新增 timer 只 restart
  不会建开机自启软链），主服务 unit 变更后额外 restart；pip 安装失败不再被吞
- scripts/check_site_certs.py: threshold 参数真正生效并打印
- scripts/make_migration_bundle.py: 缺 assets.db 直接 abort；umask 077 + chmod 600
  （包内含 .env 的 MASTER_KEY 与 escrow，不能默认 644 落在 /tmp）
- scripts/restore_migration_bundle.py: 校验之外补必备文件预检，缺文件在触碰
  目标机状态之前就 abort

前端
- store: 拆分列表口径 assets 与统计口径 allAssets（无筛选时同源，不重复请求）；
  删除已无消费者的 expiring/loadExpiring（每次 loadAll 白发一个请求）
- dashboard/monitor/providers/subscriptions/modals: 统计与计数改用 allAssets，
  资产页的筛选（含统计卡片点击跳转带的筛选）不再让其他视图的数字缩水
- modals: 账号同步后补 loadOverview；settings: 导入后改 loadAll
- api: countdownText 支持 unit/empty 选项，monitor/domains 各自的实现改为委托，
  assets/domains/subscriptions 的到期列不再直出「(-3天)」
- servers: cpu/mem/disk 百分比统一判空，采样缺项不再渲染「null%」
- assets: 同步 AI 余额的结果提示区分 skipped（平台无余额接口）与 failed
- modals: 修正凭据库头注释——2FA 动态码是选填 + 可事后补验，与实现一致

测试
- 新增 tests/test_agent_collector.py（8 条）、tests/test_security.py（11 条）
- 全量 113 passed；改动 JS 均通过 node --check，deploy 脚本通过 bash -n
- 浏览器实测：筛选态下总览/监控中心/平台页/付费资产的统计仍为全量口径，
  到期文案与 null 百分比渲染正确，console 零报错

app/services/sync_service.py

@@ -36,17 +36,6 @@ from app.models.provider import Provider
 _VALID_STATUS = {s.value for s in AssetStatus}
 
 
-def _load_config(provider: Provider) -> dict:
-    """（已弃用）解密平台级 API 配置，仅为兼容历史数据保留"""
-    plain = crypto.decrypt(provider.api_config_encrypted)
-    if not plain:
-        return {}
-    try:
-        return json.loads(plain)
-    except (json.JSONDecodeError, TypeError):
-        return {}
-
-
 def _load_account_config(account: Account) -> dict:
     """解密账号的 API 配置 JSON"""
     plain = crypto.decrypt(account.api_config_encrypted)
@@ -334,6 +323,20 @@ _AI_SDK_MAP = {
 }
 
 
+class BalanceUnsupported(HTTPException):
+    """该平台没有可用的余额查询接口
+
+    与「查询失败」区分开：sync_all_ai_balances 把它计入 skipped 而不是 failed，
+    否则每次「同步 AI 余额」都会把这类平台报成错误。
+    """
+
+    def __init__(self, sdk_type: str):
+        super().__init__(
+            status_code=status.HTTP_400_BAD_REQUEST,
+            detail=f"{sdk_type} 暂不支持余额查询",
+        )
+
+
 def refresh_ai_balance(session: Session, asset_id: int) -> dict:
     """刷新 AI 账号余额：解密 api_key → 适配器 get_account → 更新余额"""
     asset = session.get(Asset, asset_id)
@@ -367,19 +370,18 @@ def refresh_ai_balance(session: Session, asset_id: int) -> dict:
         )
 
     adapter = registry.get_adapter(sdk_type, {"api_key": api_key})
+    if not adapter.capabilities().get("get_account"):
+        raise BalanceUnsupported(sdk_type)
     try:
         acc = adapter.get_account()
-    except NotImplementedError:
-        raise HTTPException(
-            status_code=status.HTTP_400_BAD_REQUEST,
-            detail=f"{sdk_type} 暂不支持余额查询",
-        )
+    except NotImplementedError as e:
+        raise BalanceUnsupported(sdk_type) from e
     except HTTPException:
         raise
     except Exception as e:  # noqa: BLE001
         raise HTTPException(
             status_code=status.HTTP_502_BAD_GATEWAY, detail=f"查询余额失败：{e}"
-        )
+        ) from e
 
     if acc.balance is not None:
         ai.balance = acc.balance
@@ -417,6 +419,7 @@ def sync_all_ai_balances(session: Session, max_workers: int = 5) -> dict:
 
     success = 0
     failed = 0
+    skipped = 0
     errors = []
     with ThreadPoolExecutor(max_workers=max_workers) as pool:
         futures = {pool.submit(_refresh_one, aid): name for aid, name in asset_ids}
@@ -425,6 +428,9 @@ def sync_all_ai_balances(session: Session, max_workers: int = 5) -> dict:
             try:
                 future.result()
                 success += 1
+            except BalanceUnsupported:
+                # 平台本身没余额接口，不算失败（否则每次都报一堆红）
+                skipped += 1
             except HTTPException as e:
                 failed += 1
                 errors.append(f"{name}: {e.detail}")
@@ -435,6 +441,7 @@ def sync_all_ai_balances(session: Session, max_workers: int = 5) -> dict:
         "total": len(asset_ids),
         "success": success,
         "failed": failed,
+        "skipped": skipped,
         "errors": errors,
         "synced_at": utcnow().isoformat(),
     }