fix(v1): сделать отзыв доступа, бэкап и диагностику соответствующими своим именам

Проход по операциям, которые делают не то, что обещает их имя.

P0. Удаление bootstrap-admin-peer не было отзывом доступа. Признаком «создавать
пир или нет» служило наличие строки в таблице, а HY2XS_ADMIN_CON_PASS
продолжает жить в /etc/hy2xs/hy2xs.env — его читает systemd-юнит. Оператор
удалял пира, доступ исчезал, и ближайший restart возвращал того же пира с тем же
секретом. Молча. Признаком стала отметка BOOTSTRAP_PEER_SEEDED в таблице config:
«создавался когда-либо», а не «существует сейчас». Отметка и пир пишутся одной
транзакцией.

P1. Резервная копия с includeSecrets=true проглатывала и ошибку расшифровки, и
отсутствие шифртекста, отдавая пира с пустым secret и успешный ответ. Теперь
недоступный секрет любого пира отклоняет весь запрос с указанием имени.

P1. DecryptPeerSecret возвращала содержимое колонки как расшифрованный секрет,
если оно не начиналось с v1: — остаток поколения с открытыми секретами.

P1. doctor перезапускал hysteria-server и hy2xs-admin: диагностика подозрения на
проблему обрывала все живые соединения.

P1. Админка сама генерировала HYSTERIA2_TRAFFIC_STATS_SECRET, записать который в
/etc/hysteria/config.yaml она не может. Сервис объявлял себя здоровым, а machine
auth переставал совпадать.

P1. Обходы проверки зависимостей (accepted-risk/skipped) не могли произвести
артефакт: приёмка требует dependency_security_gate=true. Удалены из сборки и
документации, отсутствие проверяется приёмкой.

P2. UPDATE по отсутствующей строке config считался успехом, и cron
перепланировался при несохранённом значении. Решение по RowsAffected.

P2. Слой данных не отличал «записи нет» от «база не ответила»: sentinel-значения
ErrPeerNotFound / ErrAdminUserNotFound / ErrConfigNotFound / ErrStorage.

P2. Удалены алиасы /:id/client-url и /:id/qr.

Контракт разработки: apps/go.mod объявляет toolchain go1.26.7 (директива go —
языковой baseline, а не выбор компилятора), tools/dev/doctor.sh|.ps1 сверяют
среду с versions.env.

apps/dao/dashboard.go

@@ -1,9 +1,7 @@
 package dao
 
 import (
-	"errors"
 	"github.com/sirupsen/logrus"
-	"hy2xs-admin/model/constant"
 	"hy2xs-admin/model/entity"
 	"hy2xs-admin/model/vo"
 	"strings"
@@ -13,7 +11,7 @@ import (
 func SaveMetricSample(sample entity.MetricSample) error {
 	if tx := sqliteDB.Save(&sample); tx.Error != nil {
 		logrus.Errorf("%v", tx.Error)
-		return errors.New(constant.SysError)
+		return ErrStorage
 	}
 	return nil
 }
@@ -22,7 +20,7 @@ func LastMetricSample() (entity.MetricSample, error) {
 	var sample entity.MetricSample
 	if tx := sqliteDB.Model(&entity.MetricSample{}).Order("sampled_at desc").Limit(1).Find(&sample); tx.Error != nil {
 		logrus.Errorf("%v", tx.Error)
-		return sample, errors.New(constant.SysError)
+		return sample, ErrStorage
 	}
 	return sample, nil
 }
@@ -33,7 +31,7 @@ func CleanupMetricSample(olderThanMs int64) error {
 	}
 	if tx := sqliteDB.Exec("DELETE FROM metric_sample WHERE sampled_at < ?", olderThanMs); tx.Error != nil {
 		logrus.Errorf("%v", tx.Error)
-		return errors.New(constant.SysError)
+		return ErrStorage
 	}
 	return nil
 }
@@ -54,7 +52,7 @@ func DashboardPeerSummary(nowMs int64) (vo.DashboardPeerVo, error) {
 		COALESCE(SUM(CASE WHEN expires_at > 0 AND expires_at < ? THEN 1 ELSE 0 END),0) AS expired
 		FROM peer`, nowMs).Scan(&r); tx.Error != nil {
 		logrus.Errorf("%v", tx.Error)
-		return result, errors.New(constant.SysError)
+		return result, ErrStorage
 	}
 	result.Total = r.Total
 	result.Enabled = r.Enabled
@@ -75,7 +73,7 @@ func DashboardTrafficSummary() (vo.DashboardTrafficVo, error) {
 		COALESCE(SUM(upload_bytes),0) AS upload
 		FROM peer`).Scan(&r); tx.Error != nil {
 		logrus.Errorf("%v", tx.Error)
-		return result, errors.New(constant.SysError)
+		return result, ErrStorage
 	}
 	result.DownloadBytes = r.Download
 	result.UploadBytes = r.Upload
@@ -125,7 +123,7 @@ func DashboardTopPeers(fromMs int64, toMs int64, limit int, source string) ([]vo
 		ORDER BY total DESC
 		LIMIT ?`, fromMs, toMs, limit).Scan(&rows); tx.Error != nil {
 		logrus.Errorf("%v", tx.Error)
-		return rows, errors.New(constant.SysError)
+		return rows, ErrStorage
 	}
 	return rows, nil
 }
@@ -164,7 +162,7 @@ func DashboardTrafficTimeseries(fromMs int64, toMs int64, bucketMs int64, source
 		GROUP BY ts
 		ORDER BY ts ASC`, alignedFrom, alignedFrom, bucketMs, bucketMs, queryFrom, toMs).Scan(&rows); tx.Error != nil {
 		logrus.Errorf("%v", tx.Error)
-		return rows, errors.New(constant.SysError)
+		return rows, ErrStorage
 	}
 
 	rowMap := make(map[int64]vo.DashboardSeriesPointVo, len(rows))
@@ -203,7 +201,7 @@ func DashboardSystemTimeseries(fromMs int64, toMs int64, bucketMs int64) ([]vo.D
 		GROUP BY ts
 		ORDER BY ts ASC`, alignedFrom, alignedFrom, bucketMs, bucketMs, fromMs, toMs).Scan(&rows); tx.Error != nil {
 		logrus.Errorf("%v", tx.Error)
-		return rows, errors.New(constant.SysError)
+		return rows, ErrStorage
 	}
 	return rows, nil
 }