fix(admin): убрать каналы утечки секретов и остатки H UI из runtime

Экспорт в панели формировался через os.Create в /var/lib/hy2xs-admin/export,
и файл там оставался навсегда. При includeSecrets=true это означало
расшифрованные секреты пиров — фактические учётные данные доступа — в
открытом виде на диске, накапливающиеся с каждым нажатием кнопки. Выгрузки
формируются в памяти, каталога export/ больше нет.

Generic export/import таблицы config удалён целиком. Он исключал только сырой
Hysteria YAML, а в той же таблице лежат JWT_SECRET, PEER_SECRET_KEY,
PEER_SECRET_ENCRYPTION_KEY и HYSTERIA2_TRAFFIC_STATS_SECRET: кнопка Export
выгружала их открытым текстом, импорт позволял подменить. Для
PEER_SECRET_ENCRYPTION_KEY подмена ломает расшифровку секретов уже
существующих пиров. Production-сценария у этой пары не было.

Импорт пиров шёл мимо всей валидации, которую проходит обычное создание пира:
в базу попадало имя любой длины и с любыми символами, disabled с произвольным
числом, отрицательные счётчики. Файл применялся построчно, поэтому ошибка в
середине оставляла список наполовину изменённым, а импорт мог перезаписать
bootstrap-admin-peer, чей секрет продублирован в bootstrap-admin.secret.
Партия проверяется целиком до первой записи, неизвестные поля отклоняются.

Убран слой сетевых настроек панели: H_UI_WEB_PORT, H_UI_WEB_CONTEXT,
H_UI_CRT_PATH, H_UI_KEY_PATH и собственный TLS. Оркестратор передавал порт
аргументом, админка писала его в SQLite и тут же читала обратно, а UI
показывал поля disabled — второй источник истины, из которого ничего нельзя
было изменить. HUI_DATA/HUI_LOG заменены на HY2XS_DATA_DIR/HY2XS_LOG_DIR,
база переименована в hy2xs-admin.db, reference-схема — в schema.sql.

API namespace разделён по природе маршрутов: операторский API на /api,
machine-auth Hysteria на /internal/hysteria/auth. Путь machine-auth —
runtime-контракт, он уезжает в config.yaml и post-install.env, поэтому
объявлен одной константой на компонент.

Go-санитайзер экспорта вырезал секреты из URL только у ключей url/addr:
будущее upstream-поле с другим именем уносило учётные данные и access_token
целиком, а URL внутри списков не обрабатывались вовсе. Граница определяется
значением, а не именем ключа — как в TS-санитайзере оркестратора.

Заодно индикатор загрузки и цвета 401/404 переведены на брендовый токен:
NProgress приходил со своим #29d и был единственным элементом вне палитры.

apps/service/hysteria2_export.go

@@ -154,20 +154,35 @@ func redactNode(node *yaml.Node, path []string) {
 				redactSubtree(value)
 				continue
 			}
-			if value.Kind == yaml.ScalarNode && looksLikeURLKey(key) {
-				value.Value = sanitizeURLValue(value.Value)
-				value.Tag = "!!str"
-				value.Style = 0
-				continue
-			}
 			redactNode(value, childPath)
 		}
+
+	case yaml.ScalarNode:
+		// Секрет может лежать в URL и без «говорящего» имени ключа.
+		//
+		// Раньше здесь стоял фильтр по имени ключа (url / addr / *url), и
+		// upstream-поле вроде `endpoint: https://user:pass@host/?token=…`
+		// уезжало в выгрузку целиком. Правильная граница — не имя ключа, а
+		// сам факт, что значение разбирается как URL: sanitizeURLValue
+		// возвращает вход без изменений, если это не URL. Ровно так же
+		// устроен TS-санитайзер в orchestrator/src/lib/redaction.ts.
+		sanitizeURLScalar(node)
 	}
 }
 
-func looksLikeURLKey(key string) bool {
-	lowered := strings.ToLower(key)
-	return lowered == "url" || lowered == "addr" || strings.HasSuffix(lowered, "url")
+// sanitizeURLScalar применяет URL-санитайзер к скаляру, не трогая ни его тип,
+// ни значения, которые URL не являются.
+func sanitizeURLScalar(node *yaml.Node) {
+	if node.Tag != "" && node.Tag != "!!str" {
+		return
+	}
+	sanitized := sanitizeURLValue(node.Value)
+	if sanitized == node.Value {
+		return
+	}
+	node.Value = sanitized
+	node.Tag = "!!str"
+	node.Style = 0
 }
 
 func redactSubtree(node *yaml.Node) {