feat(provision): 弹性节点基建 Terraform + 一键更换 (tsk_6u0FxmbC7Yeq)

IaC 面 (infra/) 与控制面 (server/internal/provision) 双产出，落地 doc/04 §4
「节点是牲口」弹性拓扑与 make-before-break 一键更换。

server/internal/provision:
- CloudAdapter 适配层 + Registry（首发 vultr 消耗品池 / hetzner 精品池各一）；
  厂商凭证仅从 PROVISION_<VENDOR>_* env 注入，不入库不入 git。
- ProvisionService：CreateNode(幂等键重放不重复开机)、DestroyNode(幂等)、
  RotateIP(换 IP 不换机 + version bump)、ListProviders。
- Replace 一键更换：先建后拆，新机 up 先于旧机 draining（容量不下降），
  replacement_uuid 幂等键 + replacements 表分步记录，崩溃可续跑不重复。
- RotatePool：池内滚动轮换，并发度 1–2。
- cmd/nodectl CLI：create/destroy/rotate-ip/replace/rotate-pool/providers。
- 单测（mock 厂商 API + 内存 Store）：幂等重放、make-before-break 时序断言、
  开机失败/探活超时→destroyed+失败计数+告警钩子、崩溃续跑、RotatePool。

infra/:
- terraform/：探针机 + 控制面基线模块化（probe / control-plane）+ README，
  低频基线进 state，节点不进 Terraform。
- cloud-init/node.yaml.tmpl：节点引导模板（注入一次性 bootstrap token，task #5）。
- identity-isolation.md：身份隔离登记表（doc/06 §2 红线，无任何凭证）。

migrations/000008：nodes 增 provider_instance_id/elastic_ip_id、node_events
增 ip_rotated、provision_idempotency / replacements 表（附加式，不动现网）。

红线：仅面向新厂商池，绝不纳管现网生产 EC2(deploy/ marzban)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

server/internal/provision/cloudinit.go

@@ -0,0 +1,66 @@
+package provision
+
+import (
+	"crypto/rand"
+	"fmt"
+	"os"
+	"text/template"
+)
+
+// newUUID returns a RFC-4122 v4 UUID string. Self-contained (crypto/rand) so
+// the package does not depend on the not-yet-implemented idgen package.
+func newUUID() (string, error) {
+	var b [16]byte
+	if _, err := rand.Read(b[:]); err != nil {
+		return "", fmt.Errorf("provision: uuid entropy: %w", err)
+	}
+	b[6] = (b[6] & 0x0f) | 0x40 // version 4
+	b[8] = (b[8] & 0x3f) | 0x80 // variant 10
+	return fmt.Sprintf("%x-%x-%x-%x-%x", b[0:4], b[4:6], b[6:8], b[8:10], b[10:16]), nil
+}
+
+// TemplateRenderer renders the node cloud-init document from a Go text/template
+// file (infra/cloud-init/node.yaml.tmpl). It satisfies CloudInitRenderer.
+//
+// The rendered output carries the one-time bootstrap token and MUST NOT be
+// logged. text/template (not html/template) is used because the output is YAML.
+type TemplateRenderer struct {
+	tmpl *template.Template
+}
+
+// NewTemplateRenderer parses the cloud-init template file at path.
+func NewTemplateRenderer(path string) (*TemplateRenderer, error) {
+	raw, err := os.ReadFile(path)
+	if err != nil {
+		return nil, fmt.Errorf("provision: read cloud-init template: %w", err)
+	}
+	return NewTemplateRendererFromString(string(raw))
+}
+
+// NewTemplateRendererFromString parses an in-memory template (used in tests).
+func NewTemplateRendererFromString(body string) (*TemplateRenderer, error) {
+	t, err := template.New("node-cloud-init").Option("missingkey=error").Parse(body)
+	if err != nil {
+		return nil, fmt.Errorf("provision: parse cloud-init template: %w", err)
+	}
+	return &TemplateRenderer{tmpl: t}, nil
+}
+
+// Render executes the template against data.
+func (r *TemplateRenderer) Render(data CloudInitData) (string, error) {
+	var sb stringsBuilder
+	if err := r.tmpl.Execute(&sb, data); err != nil {
+		return "", fmt.Errorf("provision: render cloud-init: %w", err)
+	}
+	return sb.String(), nil
+}
+
+// stringsBuilder is a tiny alias to avoid importing strings just for Builder
+// alongside the strings import elsewhere; kept local for clarity.
+type stringsBuilder struct{ buf []byte }
+
+func (s *stringsBuilder) Write(p []byte) (int, error) {
+	s.buf = append(s.buf, p...)
+	return len(p), nil
+}
+func (s *stringsBuilder) String() string { return string(s.buf) }