feat: 添加 WireGuard 设备管理并完善客户端分流

实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。

完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。

docs/FINANCE-RULES.md

@@ -0,0 +1,33 @@
+# Finance 分组与金融服务规则（2026-10-13）
+
+后续按用户要求删除了旧手动 `DOMAIN-SUFFIX,paypal.com`，保留 `DOMAIN-KEYWORD,paypal`；最新 Finance 为 86 条规则，生产共 265 条（263 启用）。全面检查结果见 [移动端校验](MOBILE-CLIENT-AUDIT-2026-10-13.md)。下文 87／266 条属于新增组时的历史阶段。
+
+用户授权为 Plasma One、PayPal 新增英文金融分组，指定成员顺序为美国、日本、新加坡、最后 DIRECT；默认美国，不加入 All Nodes。
+
+## 分组与规则来源
+
+`💰 Finance` 为手动 select，成员依次为 `🇺🇸 United States`、`🇯🇵 Japan`、`🇸🇬 Singapore`、`DIRECT`，显示在 Bybit 后、Mainland 前。默认是第一项美国地区组；地区组自身仍采用现有测速机制，并非固定单一节点 IP。Bybit 保留独立组。
+
+PayPal 来源为 [blackmatrix7 PayPal 清单](https://github.com/blackmatrix7/ios_rule_script/blob/master/rule/Surge/PayPal/PayPal.list)。它包含 246 条域名后缀、1 条 paypal 关键词及 1 条旧 USER-AGENT。此次保留关键词和不被该关键词覆盖的 80 条后缀，另将既有 `paypal.com → 美国` 改为 Finance；域名覆盖与上游 247 条域名规则等价。未导入 USER-AGENT，避免依赖可见 HTTP 请求头。上游包含 Braintree、Venmo、Xoom 等 PayPal 家族域名，也会交给 Finance；关键词会匹配其他含 paypal 的主机名，分流命中不代表站点可信。
+
+没有找到 Plasma One 的现成专用分流清单，按官方入口与开源 SDK 整理：
+
+- [Plasma 官方入口](https://www.plasma.org/personal)：旧 `one.plasma.to` 已跳转至该页面。收录 `plasma.to`、`plasma.org` 后缀。
+- [plasma-card-sdk constants](https://github.com/mediakov/plasma-card-sdk/blob/main/src/constants.ts)：API 为 `pay-tasks.prod.plasma-one.tech`，WebSocket 为 `pay-tasks-ws.prod.plasma-one.tech`。收录 `plasma-one.tech` 后缀。
+- [SDK 认证实现](https://github.com/mediakov/plasma-card-sdk/blob/main/src/auth/email.ts) 使用 `auth.privy.io`，并引用 `recovery.plasma.org`；[Privy 官方钱包 API 文档](https://docs.privy.io/wallets/wallets/external-ids) 使用 `api.privy.io`。后两者采用精确 DOMAIN 规则；它们是共享钱包服务，其他 App 对这两个主机的请求也会进入 Finance。
+
+没有加入搜索中出现的非官方同名 meme 项目，也未按伙伴名称泛收 Bridge、Rain、SumSub 等完整域名。Plasma App 的更多身份核验、第三方充值或链上 RPC 请求仍需实际连接日志补齐。
+
+现有管理 API 仅能读取规则集目录，不能创建新远程规则集。因此本次通过规则 API 写入显式快照，未改数据库表或代码、未部署服务、未 reset。快照见 [rules/finance.list](../rules/finance.list)，不会自动追踪上游变化。
+
+## 生产操作与验证
+
+在线备份：`/opt/proxy-station/data/backups/before-finance-plasma-paypal-20261013-171418.db`，写入前确认 root 属主、600 权限、非空。
+
+新增 1 个组、4 个成员、86 条规则，另定向修改已有 paypal.com 的策略。新规则放在原 paypal.com 位置的业务例外区段，在 AI 后、广告和通用分流之前；Unbreak 仍先于 Finance。已有其他规则内容与相对顺序保持，唯一启用 FINAL 仍在末尾。不改节点、Surge 原文设置或客户端已保存选择。
+
+管理 API 重读验证：13 个组、25 个显式成员、266 条规则（264 启用），87 条规则指向 Finance；既有规则除 paypal.com 的策略与排序序号外保持不变。实际 HTTPS Surge、Clash、Shadowrocket conf 均包含 Finance 组及 87 条规则，四个成员顺序正确且没有 All Nodes；Surge self URL 也已核对。
+
+Surge 官方 CLI 与静态防护检查通过。因本机到 GitHub 的连接失败，本次通过 LA 只读下载公开外部规则集：49/49 快照下载成功，本地快照再次通过官方 CLI，静态域名遮蔽提示为 0。代表性官网、API、WebSocket、Privy、PayPal 与 Braintree 主机均已检查显式域名匹配。CLI 与域名检查不模拟设备缓存、IP／进程／协议路径，也不代表支付或登录已验收。没有可用的 mihomo，因此 Clash 完成产物结构核对，未做原生解析；移动端也未做真机验收。
+
+客户端需更新订阅；未代用户登录、查询余额或执行支付／转账，也不以配置检查宣称业务连接已验收。