fix(admin): убрать каналы утечки секретов и остатки H UI из runtime

Экспорт в панели формировался через os.Create в /var/lib/hy2xs-admin/export,
и файл там оставался навсегда. При includeSecrets=true это означало
расшифрованные секреты пиров — фактические учётные данные доступа — в
открытом виде на диске, накапливающиеся с каждым нажатием кнопки. Выгрузки
формируются в памяти, каталога export/ больше нет.

Generic export/import таблицы config удалён целиком. Он исключал только сырой
Hysteria YAML, а в той же таблице лежат JWT_SECRET, PEER_SECRET_KEY,
PEER_SECRET_ENCRYPTION_KEY и HYSTERIA2_TRAFFIC_STATS_SECRET: кнопка Export
выгружала их открытым текстом, импорт позволял подменить. Для
PEER_SECRET_ENCRYPTION_KEY подмена ломает расшифровку секретов уже
существующих пиров. Production-сценария у этой пары не было.

Импорт пиров шёл мимо всей валидации, которую проходит обычное создание пира:
в базу попадало имя любой длины и с любыми символами, disabled с произвольным
числом, отрицательные счётчики. Файл применялся построчно, поэтому ошибка в
середине оставляла список наполовину изменённым, а импорт мог перезаписать
bootstrap-admin-peer, чей секрет продублирован в bootstrap-admin.secret.
Партия проверяется целиком до первой записи, неизвестные поля отклоняются.

Убран слой сетевых настроек панели: H_UI_WEB_PORT, H_UI_WEB_CONTEXT,
H_UI_CRT_PATH, H_UI_KEY_PATH и собственный TLS. Оркестратор передавал порт
аргументом, админка писала его в SQLite и тут же читала обратно, а UI
показывал поля disabled — второй источник истины, из которого ничего нельзя
было изменить. HUI_DATA/HUI_LOG заменены на HY2XS_DATA_DIR/HY2XS_LOG_DIR,
база переименована в hy2xs-admin.db, reference-схема — в schema.sql.

API namespace разделён по природе маршрутов: операторский API на /api,
machine-auth Hysteria на /internal/hysteria/auth. Путь machine-auth —
runtime-контракт, он уезжает в config.yaml и post-install.env, поэтому
объявлен одной константой на компонент.

Go-санитайзер экспорта вырезал секреты из URL только у ключей url/addr:
будущее upstream-поле с другим именем уносило учётные данные и access_token
целиком, а URL внутри списков не обрабатывались вовсе. Граница определяется
значением, а не именем ключа — как в TS-санитайзере оркестратора.

Заодно индикатор загрузки и цвета 401/404 переведены на брендовый токен:
NProgress приходил со своим #29d и был единственным элементом вне палитры.

apps/service/peer.go

@@ -205,11 +205,15 @@ func ListExportPeer(includeSecrets bool) ([]bo.PeerExport, error) {
 }
 
 func UpsertPeerExport(items []bo.PeerExport) error {
+	// Первый проход — только проверка. Импорт либо применяется целиком, либо
+	// не применяется вовсе: наполовину импортированный список пиров хуже
+	// отклонённого файла.
+	if err := ValidatePeerImportBatch(items); err != nil {
+		return err
+	}
+
 	for _, item := range items {
 		name := strings.TrimSpace(item.Name)
-		if name == "" {
-			return errors.New(constant.InvalidError)
-		}
 
 		var existing entity.Peer
 		var err error
@@ -217,10 +221,16 @@ func UpsertPeerExport(items []bo.PeerExport) error {
 		if authID != "" {
 			existing, err = dao.GetPeer("auth_id = ?", authID)
 		}
-		if (err != nil || existing.Id == nil) && name != "" {
+		if err != nil || existing.Id == nil {
 			existing, err = dao.GetPeer("name = ?", name)
 		}
 
+		// Пир установщика не переопределяется импортом ни при каком совпадении:
+		// его секрет живёт ещё и в /etc/hy2xs/bootstrap-admin.secret.
+		if err == nil && existing.Name != nil && *existing.Name == ReservedBootstrapPeerName {
+			return fmt.Errorf("peer import: пир %q принадлежит установщику и не может быть изменён импортом", ReservedBootstrapPeerName)
+		}
+
 		quota := item.QuotaBytes
 		expires := item.ExpiresAt
 		maxDevices := item.MaxDevices