feat: detect an agent's public IPv4 and IPv6 addresses automatically, manual values still win [CI]

docs/api.md

@@ -123,7 +123,7 @@
 | POST | `/api/admin/auth/logout` | |
 | GET | `/api/admin/auth/me` | |
 | GET | `/api/admin/agents` | 全部 Agent（包括 pending/disabled）、版本、本地硬上限、心跳计数、任务同步状态 |
-| PATCH | `/api/admin/agents/{id}` | `name`、`labels`、`public_host`、`public_visible` |
+| PATCH | `/api/admin/agents/{id}` | `name`、`labels`、`public_host`、`ipv6_host`、`public_visible`；`public_host_auto` / `ipv6_host_auto` 为 true 时撤销手填、回到自动识别。手填就是手动，Agent 上报的地址不再覆盖；DTO 的 `public_host_auto` / `ipv6_host_auto` 表示当前是不是自动 |
 | POST | `/api/admin/agents/{id}/approve` `/disable` `/enable` `/takeover` | 见 [enrollment.md](enrollment.md) |
 | DELETE | `/api/admin/agents/{id}` | 删除；历史数据按保留策略自然过期 |
 | GET/POST | `/api/admin/join-tokens` | 创建时返回令牌明文和安装命令（仅此一次）；`role` 是 `agent`（默认）或 `probe`，决定用它注册出来的是哪种节点 |

docs/deployment.md

@@ -173,7 +173,7 @@ OpenWrt 默认不带 OpenSSL：`opkg install libopenssl3`（较新的快照和 2
 做法和要点：
 
 - **Backend 通过隧道暴露**：隧道把一个公网域名转到家宽机器的 `29181`；Backend 监听 `http://0.0.0.0:29181`（只写一个监听地址，同时写 `0.0.0.0` 和 `[::]` 会报地址已被占用），家宽路由器的防火墙不放行这个端口，公网只能经隧道进来。Agent 用 `fleet-enroll --server https://<公网域名>` 注册，之后用 WSS 连回 Backend。
-- **经隧道注册之后，检查 Agent 的 `public_host`**：Backend 看到的来源地址是隧道的出口，不是 VPS 的地址，要改成 VPS 的真实地址，Probe 才连得上。
+- **对外地址自动识别**：Agent 在 hello 里上报本机的公网地址（IPv4 公网地址、IPv6 全球单播地址，排除私网、CGNAT、临时地址），面板自动填 `public_host` 和 `ipv6_host`，不需要手填。经隧道注册时来源地址是隧道出口，面板不会用它。只有 Agent 在 NAT 后面、本机看不到公网地址时才需要在管理端手填；手填的优先，勾选“自动识别”可以撤销。
 - **Probe 直连面板**：`probe.json` 里的 `fleet.server` 就是面板地址，Probe 用它连面板，Agent 列表由面板下发；密钥由 Probe 注册时自己生成，身份目录（`node.json`、`node.key`、`tls.pfx`）在 `fleet.identity_dir`。
 - **小 VPS 把 `limits.max_total_mbps` 调低**（试跑时用 100）；Agent 常驻约 23 MB，VPS 上原有的服务不受影响，结束后删除 `/opt/…`、停掉进程即可，没有留下任何东西。
 - 家宽的 IPv6 前缀会在路由器重新拨号（比如停电）后变化，SSH 地址要跟着换；面板走隧道的域名，不受影响。
@@ -219,7 +219,7 @@ sudo sh deploy-node.sh backend --channel dev --admin-password '<密码>' --publi
 sudo sh deploy-node.sh agent
 ```
 
-节点上看不到公网 IPv6 地址，所以 Agent 的 `ipv6_host` 要在管理端手动填，Backend 才会让 Probe 去拨 IPv6。下面是不用脚本的手动步骤。
+Agent 的 `public_host` 和 `ipv6_host` 由 Agent 上报自动识别（需要宿主网络，脚本和 Compose 默认如此，监听 `::`），IPv6 不用额外配置。下面是不用脚本的手动步骤。
 
 在 `packaging/compose/agent` 下首次注册，并写配置（下列 `podman` 可替换为 `docker`）：
 

docs/enrollment.md

@@ -28,7 +28,7 @@ install.sh（只做安装，不包含任何远程控制功能；容器节点的
   └─ 启用 moshiro-agent.service
 
 面板收到 OnEnrolled（MoShiro 挂钩）
-  ├─ public_host 未提供时，取注册请求的来源 IP
+  ├─ public_host 未提供时，来源 IP 是公网地址才用；之后 hello 里 Agent 上报本机公网地址（`addresses`），面板自动填 public_host 和 ipv6_host，手填的优先
   ├─ 按“线路任务模板”为该 Agent 计算有效任务集（TaskSet）
   └─ 面板把新的 Agent 列表作为期望状态推给所有 Probe → Probe 自动连接新 Agent
      从安装到开始出数据，全程不需要手工配置

docs/storage.md

@@ -38,7 +38,7 @@ CREATE TABLE agents (
   status TEXT NOT NULL,                -- pending | active | disabled
   pubkey BLOB NOT NULL,                -- ECDSA P-256 身份公钥
   tls_spki BLOB NOT NULL,              -- 面向 Probe 的证书指纹
-  public_host TEXT NOT NULL,           -- 默认取注册请求的来源 IP，可以修改
+  public_host TEXT NOT NULL,           -- 自动识别（Agent 上报的公网地址），手填后标记 public_host_manual，不再被覆盖
   probe_tcp_port INTEGER NOT NULL, probe_udp_ports TEXT NOT NULL,
   labels TEXT NOT NULL DEFAULT '[]',
   public_visible INTEGER NOT NULL DEFAULT 1,   -- 是否在 public API 中展示