feat: 添加 WireGuard 设备管理并完善客户端分流

实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。

完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。

.claude/skills/update-db/scripts/api.sh

@@ -56,7 +56,7 @@ case "$cmd" in
     CTX="${1:-}"; [ -n "$CTX" ] || die "用法：api.sh backup <context>（小写字母/数字/连字符，如 add-jp-hy2）"
     case "$CTX" in *[!a-z0-9-]*) die "context 只允许小写字母、数字与连字符";; esac
     # .backup 是 SQLite 在线备份，WAL 下安全，产出独立完整快照（无需 wal/shm）
-    "${SSH[@]}" 'set -e; ts=$(date +%Y%m%d-%H%M%S); f='"$BACKUP_DIR"'/before-'"$CTX"'-$ts.db; sqlite3 '"$DB_FILE"' ".backup $f"; if [ -s "$f" ]; then ls -la "$f"; else echo "备份为空" >&2; exit 1; fi'
+    "${SSH[@]}" 'set -e; umask 077; ts=$(date +%Y%m%d-%H%M%S); f='"$BACKUP_DIR"'/before-'"$CTX"'-$ts.db; sqlite3 '"$DB_FILE"' ".backup $f"; if [ -s "$f" ]; then chmod 600 "$f"; chown root:root "$f"; ls -la "$f"; else echo "备份为空" >&2; exit 1; fi'
     ;;
   backups)
     "${SSH[@]}" "ls -la '$BACKUP_DIR' | tail -20"