feat: 添加 WireGuard 设备管理并完善客户端分流

实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。

完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。

.env.example

@@ -4,3 +4,7 @@ PORT=3000
 DATA_DIR=./data
 # 管理界面鉴权 token。未设置时 /api/* 仅放行 localhost 与局域网私有网段
 ADMIN_TOKEN=
+
+# 可选：WireGuard 身份加密主密钥（32 字节 Base64，由启动环境注入）。
+# 未设置时首次使用生成 DATA_DIR/wg-master.key（600）；必须和数据库受控备份，勿随部署重新生成。
+# WG_MASTER_KEY=