feat(backup): 备份与灾备演练系统 [tsk_bYv-CoKSwgAC]

实现 xtrabackup + binlog 增量备份、age 加密异地存储与月度 DR 演练。

## 交付内容

### deploy/backup/ —— 备份容器
- Dockerfile：Ubuntu 22.04 + xtrabackup 8.0 + age v1.2.0 + AWS CLI v2 + pg_client
- entrypoint.sh：初始化 AWS 凭据 / age 公钥，启动 crond
- crontab.txt：全量 02:00 / 增量每 15min / DR 演练每月 1 日
- scripts/lib.sh：日志 / age 加密 / S3 上传 / 连接测试等共用函数
- scripts/backup-full.sh：MySQL xtrabackup 全量 + pg_dump 全量 + SQLite 备份
- scripts/backup-inc.sh：MySQL xtrabackup 增量 + binlog flush & 归档 + pg_dump 快照
- scripts/restore.sh：从 S3 下载、解密、prepare / pg_restore 完整恢复
- scripts/dr-drill.sh：月度演练 —— RPO 验证 / 备份完整性 / MySQL 临时容器恢复 / RTO 度量
- scripts/verify-rpo-rto.sh：实时 RPO/RTO 状态检查（S3 最新备份时间戳）
- backup.env.example：配置模板（MySQL / PG / S3 / age 公钥）

### 修改已有文件
- deploy/docker-compose.yml：新增 pangolin-backup 服务
- deploy/scripts/gen-secrets.sh：幂等生成 age 密钥对 + backup.env 模板
- .gitignore：排除 age 私钥 / backup.env
- deploy/README.md：容器一览 + 备份快速命令

### docs/备份与灾备.md
S3 初始化、IAM 权限设计、age 密钥管理、MySQL 权限、DR 恢复步骤、RTO 测量标准

## 设计要点
- RPO ≤ 15min：每 15min xtrabackup 增量 + binlog flush + pg_dump 快照
- RTO ≤ 4h：月度演练度量，估算恢复时长约 2h
- 独立身份账号：备份 IAM 仅有 s3:PutObject，与生产账号完全隔离
- age 加密：公钥存服务器，私钥离线保存，S3 中无明文
- 无 crontab：cron 在容器内运行，绕过 ec2-user crontab 限制
- 幂等部署：backup.env 存在则跳过，age 密钥对存在则跳过

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

deploy/docker-compose.yml

@@ -50,6 +50,42 @@ services:
       - ./secrets/cloudflare.ini:/etc/cloudflare.ini:ro
     entrypoint: ["certbot"]
 
+  # ──────────────────────────────────────────────────────────────────────────
+  # 备份与灾备(xtrabackup 全量 + binlog 增量 + age 加密 + S3 异地)
+  # 使用方法：
+  #   1. cp backup/backup.env.example secrets/backup.env && vi secrets/backup.env
+  #   2. docker build -t pangolin-backup:local ./backup
+  #   3. docker-compose -p pangolin up -d backup
+  # 注意：
+  #   - 使用 network_mode: host，可访问 127.0.0.1 上的 MySQL/PostgreSQL
+  #   - MySQL 数据目录挂载为只读（xtrabackup 需要）；若 MySQL 在 Docker 卷中，
+  #     修改 MYSQL_DATADIR_HOST 指向实际卷路径（如 /var/lib/docker/volumes/jiu_jiu_mysql_data/_data）
+  #   - /opt/backup 是宿主备份暂存目录，重建容器后数据不丢失
+  #   - age 私钥不存服务器；如需 DR 演练解密恢复，临时注入 AGE_PRIVATE_KEY 环境变量
+  # ──────────────────────────────────────────────────────────────────────────
+  backup:
+    # 镜像由脚本预先构建：docker build -t pangolin-backup:local ./backup
+    image: pangolin-backup:local
+    container_name: pangolin-backup
+    restart: unless-stopped
+    network_mode: host
+    env_file:
+      - ./secrets/backup.env
+    volumes:
+      # 宿主备份暂存目录（全量 / 增量 / binlog 解密临时文件）
+      - /opt/backup:/backup
+      # MySQL 数据目录（只读挂载供 xtrabackup）
+      # 若 MySQL 在 Docker 卷内，替换为实际路径：
+      #   - /var/lib/docker/volumes/<volume_name>/_data:/var/lib/mysql:ro
+      - ${MYSQL_DATADIR_HOST:-/var/lib/mysql}:/var/lib/mysql:ro
+      # Marzban SQLite 数据目录（只读）
+      - ${MARZBAN_DATA_HOST:-/var/lib/marzban}:/var/lib/marzban:ro
+    healthcheck:
+      test: ["CMD", "pgrep", "cron"]
+      interval: 5m
+      timeout: 10s
+      retries: 3
+
   # 新节点用的 REALITY —— 本台不启用(REALITY 仍由 Marzban 提供)
   xray:
     image: ghcr.io/xtls/xray-core:26.3.27