feat: 证书探测改走国内机真 Node —— Workers 拿不到证书正文的兜底方案

根因：Workers 上 cloudflare:sockets 没有 getPeerCertificate，
node:tls 的同名方法是桩函数（调用即抛 not implemented）。

- editor-api 新增 /ssl-probe 本地端点（真 Node，读对端证书正文）：
  不外发、不落盘；ssl 白名单放行，admin/ssl 可用，editor/匿名拒绝
- certprobe 改两级：首选国内机（带 X-Editor-Token），失败自动降级本地握手
- certProbe/certCheck 接线 EDITOR_API_BASE + EDITOR_TOKEN，撤掉 ?debug 诊断
- wrangler.toml 显式开 nodejs_compat（compat date 早于默认启用阈值）
- 手写 node:tls 最小类型声明（保持零依赖）
- seed-ssl-config.mjs 净化：真实凭据移到 secrets-backup/certkeeper-seeds.json，
  TOKEN_SECRET 改从 .dev.vars 读；脚本本体不含任何凭据
- role-perm 新增第 9 节 12 项（59/59），UI 探测 37 项全过

blog-admin/package.json

@@ -7,7 +7,7 @@
     "dev": "wrangler dev",
     "deploy": "wrangler deploy",
     "typecheck": "tsc --noEmit",
-    "selftest:ssl:build": "tsc src/routes/ssl.ts src/lib/role.ts src/lib/certstore.ts src/lib/certvault.ts src/lib/certprobe.ts --outDir .selftest-ssl --module commonjs --target es2022 --moduleResolution node --strict --types ./node_modules/@cloudflare/workers-types --skipLibCheck --esModuleInterop --resolveJsonModule",
+    "selftest:ssl:build": "tsc src/routes/ssl.ts src/lib/role.ts src/lib/certstore.ts src/lib/certvault.ts src/lib/certprobe.ts src/types/node-tls.d.ts --outDir .selftest-ssl --module commonjs --target es2022 --moduleResolution node --strict --types ./node_modules/@cloudflare/workers-types --skipLibCheck --esModuleInterop --resolveJsonModule",
     "selftest:ssl": "npm run selftest:ssl:build && node tools/selftest-ssl.mjs",
     "db:init:local": "wrangler d1 execute artalk-cf --local --file=./schema.sql",
     "db:init:remote": "wrangler d1 execute artalk-cf --remote --file=./schema.sql",