fix(证书管家): writeapi.usj.cc 证书纳管（相对软链接）；pushall 改为先 rebase 再推

用户：「动手 推送吧」—— 动手处理两个有死线的遗留。

一、writeapi.usj.cc 的证书（12 月会断）→ 已解决

现状复核推翻了上一轮的判断：
  · 上一轮记的「它的 ssl_certificate 引用不在 /www/sites/ 树里」是**错的** ——
    /www/conf.d/writeapi.usj.cc.conf 里明确写着
    ssl_certificate /www/sites/writeapi.usj.cc/ssl/fullchain.pem;
  · 真正原因是**它在 1Panel 面板上根本不是一个网站**（面板共 11 个站点，没有它），
    所以 `findWebsite('writeapi.usj.cc')` 必然抛「找不到网站」→
    加进 one_panel_sites 只会让**每次续期都报错**（而且只警告不阻断，长期没人发现）
  · 实测确认：redeploy 时其余 5 个站点正常，只有它失败

解法：**不写一行代码** —— 它与 artalk.usj.cc 本来就同用一张 *.usj.cc 证书，
让它用**相对软链接跟随 artalk** 即可，随续期自动更新：
  ln -sfn ../../artalk.usj.cc/ssl/fullchain.pem /1panel/1panel/www/sites/writeapi.usj.cc/ssl/fullchain.pem

★★ 踩到的坑：软链接**必须相对路径**
  宿主 /1panel/1panel/www/sites/ ↔ 容器内 /www/sites/（1Panel 的 openresty 跑在容器
  `1Panel-openresty-Kmh2`）。第一版写成宿主绝对路径 → **容器侧断链** →
  nginx -s reload **静默失败**（保留旧配置、服务不中断、握手照旧拿旧证书）→
  表面全绿，真实后果是「等某天 nginx 重启，writeapi 的 HTTPS 直接挂」。
  唯一线索是 worker 进程的启动时间没变 —— **所以验收必须看 worker 是否真的重启**。

验收（全部实测）：
  替换前 CN=usj.cc    / LiteSSL RSA CA / 2026-12-07（mtime 10-04 21:50）
  替换后 CN=*.usj.cc  / LiteSSL ECC CA / 2027-01-04
  容器内 head -1 → -----BEGIN CERTIFICATE----- / -----BEGIN PRIVATE KEY-----
  预检 syntax is ok / test is successful
  reload → signal process started；**worker 22:51:39 重启**（证明软链接真被读了）
  握手 SNI=writeapi.usj.cc → *.usj.cc / Jan 4 2027；实访 /health → HTTP 200

新增 deploy/cn-certkeeper/src/dump-cert.mjs：把 KV 里（AES-GCM 加密）的证书导成明文 PEM，
补上「KV ↔ 手工 vhost 磁盘文件」之间原先不存在的桥。只读，用完即删（含明文私钥）。

操作层的两个坑（写进文档）：
  · 1Panel 文件 API **拒绝写 .mjs**（返回 500「目标路径不存在」，实为可执行扩展名过滤）；
    往新建的 root:root 700 目录写也会失败 → 临时脚本用
    `docker exec -i … sh -c 'cat > 路径' < 本地文件` 送
  · cnrun.py（1Panel 计划任务通道）偶发「退出码 0 但零输出」；
    加 `timeout 30 docker exec …` 包一层即稳定，判断状态优先看容器内直接证据

二、配置回退 + 文档更正

  · certkeeper-config.mjs：把 writeapi 从 one_panel_sites 移除，换成一段注释说明
    「它不是 1Panel 站点，别加进来」+ 软链接做法 + 必须相对的警告；
    线上 config.kv 同步回退（sha256 与改动前完全一致 ccac2530…）
  · 更正「3 个手工 vhost」的说法：vaultwarden **是**正常纳管的站点（面板 #13，
    主域名 vw.usj.cc，别名才是 vaultwarden）→ 手工 vhost 实际只剩 writeapi + dnsapi
  · dnsapi.usj.cc 重新定性为**不做**：它是 cn-dns-helper 的反代入口
    （proxy_pass 127.0.0.1:8018，仅 HTTP），去留应与 cn-dns-helper 一起决定，
    不该单独给一个待退役的服务加 HTTPS

三、pushall 加固：先 fetch + rebase 再推（本次真实撞到的问题）

推 CNB 时被 rejected —— 因为线上写作后台（editor-api）发文章会**直接推 main**，
本机两笔提交与之分叉。这不是异常，是**日常**。原别名直接 push，必然反复撞。

  · 新增 scripts/pushall.sh：fetch → 已在远端之后则 rebase → 推所有远端
    - 冲突时**停在 rebase 中途**交人工（不强推、不丢东西）
    - 工作区不干净时 git 自己会拒绝 rebase（不会吞改动）
    - 任一远端失败**不改判另一个**（主仓失败辅仓照样推），退出码以第一次失败为准
    - ⚠️ 修了自己写的一处疏漏：`if ! cmd; then ec=$?` 的 $? 是**取反后**的结果（0），
      不是 git 的退出码 —— 必须显式 ec=1（靠 set -o pipefail 保证管道退出码不被 sed 掩盖）
  · setup-cnb-remotes.sh 的别名改指向脚本；README 脚本表补这一行

四、文档

  · docs/证书管家.md：速览表「已知遗留」→ 已解决；§9.14 遗留段重写（含纠正自己写错的判据
    「路径像不像不构成判据，要直接查面板站点清单」）；**新增 §9.15**
    「手工 vhost 的证书：用相对软链接跟随已纳管站点」（机制 + 路径坑 + 三条验收 + dump-cert 用法）
  · docs/架构精简候选.md：候选 5 标记完成，补上「为什么 A 走不通、B 未采用」；
    执行顺序里划掉它
  · 架构总览.md：§5.7「已知遗留」重写（2 个手工 vhost + vaultwarden 更正）；
    §6 待办 #13 改为已解决、#14 标注完成

deploy/cn-certkeeper/src/dump-cert.mjs

@@ -0,0 +1,61 @@
+/**
+ * 把 KV 里**已签好**的证书导出成明文 PEM 文件（运维工具，不联网、不改任何线上状态）。
+ *
+ * 为什么需要它（2026-10-06 加）：
+ *   证书管家把证书存在数据目录的 KV 里（AES-GCM 加密），而**手工 vhost** 用的是
+ *   磁盘上的 .pem 文件。两者之间原先没有任何桥 —— 手工 vhost 的证书只能靠人
+ *   上传，续期自然覆盖不到（writeapi.usj.cc 就是这么停在旧证书上的）。
+ *   这个脚本负责「把锁在 KV 里的证书取出来」，取出来之后往哪儿放由调用方决定
+ *   （通常配合 1Panel 的 /files/save 或直接 cp）。
+ *
+ * ★ 只读：不签发、不部署、不改 KV。
+ * ★ 输出含**明文私钥**，写到 /data/tmp/ 下（容器内路径，宿主对应
+ *   <数据目录>/tmp/）。用完请删除，不要进任何备份或日志。
+ *
+ * 用法（在容器内跑）：
+ *   docker exec cn-certkeeper node /data/tmp/dump-cert.mjs usj.cc
+ * 需要把脚本先放进数据目录（宿主 <数据目录>/tmp/ 与容器 /data/tmp/ 是同一处）：
+ *   cp deploy/cn-certkeeper/src/dump-cert.mjs /srv/cn-certkeeper/data/tmp/
+ */
+import fs from 'node:fs';
+import path from 'node:path';
+import { createRequire } from 'node:module';
+
+const require = createRequire(import.meta.url);
+const lib = (n) => require('/app/lib/' + n + '.js');
+const { FileKV } = await import('/app/src/kv-file.mjs');
+
+const name = process.argv.find((a) => !a.startsWith('--'));
+if (!name) {
+  console.error('用法：node dump-cert.mjs <域名>   （容器内路径建议 /data/tmp/dump-cert.mjs）');
+  process.exit(2);
+}
+
+const dataDir = process.env.DATA_DIR || '/data';
+const kv = new FileKV(dataDir);
+const env = {
+  RSS_KV: kv,
+  TOKEN_SECRET: String(process.env.TOKEN_SECRET || '').trim(),
+  EDITOR_API_BASE: '',
+  EDITOR_TOKEN: '',
+};
+
+const { getCert } = lib('certstore');
+const rec = await getCert(env, name);
+if (!rec?.cert || !rec?.key) {
+  console.error(`KV 里没有「${name}」的证书内容（先跑一次签发）`);
+  process.exit(2);
+}
+
+const outDir = path.join(dataDir, 'tmp');
+fs.mkdirSync(outDir, { recursive: true });
+const certPath = path.join(outDir, `${name}.fullchain.pem`);
+const keyPath = path.join(outDir, `${name}.privkey.pem`);
+fs.writeFileSync(certPath, rec.cert);
+fs.writeFileSync(keyPath, rec.key, { mode: 0o600 });
+
+console.log(`域名 ${name}：证书到期 ${new Date(rec.expireAt).toISOString()}`
+  + `（${Math.round((rec.expireAt - Date.now()) / 86400000)} 天）`);
+console.log('已写出（★ 含明文私钥，用完请删）：');
+console.log('  ' + certPath);
+console.log('  ' + keyPath);