feat: 添加 WireGuard 设备管理并完善客户端分流

实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。

完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。

.claude/skills/deploy/scripts/deploy.sh

@@ -106,7 +106,8 @@ if [ "$TARGET" != web ]; then
     cp .staging/web/package.json web/; rm -rf .staging"
 
   step "远端安装生产依赖（frozen lockfile）"
-  "${SSH[@]}" "cd '$REMOTE_DIR' && CI=true pnpm install --frozen-lockfile --prod --filter '@proxy-station/server...' 2>&1 | tail -3 && chown -R $RUN_USER:$RUN_USER '$REMOTE_DIR'" \
+  # Only application paths: data/backups must retain root ownership and mode 600.
+  "${SSH[@]}" "cd '$REMOTE_DIR' && CI=true pnpm install --frozen-lockfile --prod --filter '@proxy-station/server...' 2>&1 | tail -3 && chown -R $RUN_USER:$RUN_USER server/src shared/src server/assets node_modules" \
     || fail "pnpm install 失败。锁文件与 package.json 不一致时先在本地 pnpm install 并提交锁文件"
 
   step "重启 $SERVICE 并等待健康检查"