merge: maestro/tsk_iP5-_Ztq5THx [桥接 API 面 Channel 契约 + 三端原生骨架] [tsk_rcNKc3GQHBUd]

合并冲突补救：原分支从 merge base 7871512 分叉，仅修改 client/ 目录，
与 main 新增的 server/(apierr/idgen/CONVENTIONS.md) 完全不重叠，
无真实文件冲突，手动应用 feature branch 的全部 client/ 改动。

client 侧新增：
- lib/bridge/vpn_bridge.dart      — Dart↔原生通道契约（冻结）
- lib/bridge/vpn_bridge_mock.dart — 假内核，UI 联调用
- lib/bridge/kernel_process.dart  — 桌面子进程管理接口
- ios/PacketTunnel/{Info.plist,PacketTunnelProvider.swift} — NEPacketTunnel 骨架
- ios/Runner/VpnManager.swift     — NETunnelProviderManager 封装
- android/.../PangolinVpnService.kt — VpnService 骨架
- android/.../VpnEventBus.kt      — Application 级状态总线
- test/bridge/vpn_bridge_mock_test.dart — 桥接层单元测试

client 侧修改：
- android/.../MainActivity.kt    — 注册三通道（MethodChannel + 2×EventChannel）
- android/.../AndroidManifest.xml — 声明 FOREGROUND_SERVICE + PangolinVpnService
- ios/Runner/AppDelegate.swift   — 注册通道 + VpnManager 初始化
- ios/Runner/Info.plist          — 新增 NSVPNUsageDescription
- ios/Runner.xcodeproj/project.pbxproj — 添加 PacketTunnel extension target
- lib/widgets/connect_button.dart — VpnStatus 迁移到 bridge/vpn_bridge.dart
- lib/widgets/home_shell.dart    — error 状态 UI 分支补全

client/android/app/src/main/AndroidManifest.xml

@@ -1,9 +1,17 @@
 <?xml version="1.0" encoding="utf-8"?>
 <manifest xmlns:android="http://schemas.android.com/apk/res/android">
+
+    <!-- 网络权限（实际隧道流量） -->
+    <uses-permission android:name="android.permission.INTERNET" />
+    <!-- 前台服务（VPN 持续运行所需，API 28+） -->
+    <uses-permission android:name="android.permission.FOREGROUND_SERVICE" />
+
     <application
         android:label="穿山甲"
         android:name="${applicationName}"
         android:icon="@mipmap/ic_launcher">
+
+        <!-- 主 Activity -->
         <activity
             android:name=".MainActivity"
             android:exported="true"
@@ -14,13 +22,28 @@
             android:windowSoftInputMode="adjustResize">
             <meta-data
               android:name="io.flutter.embedding.android.NormalTheme"
-              android:resource="@style/NormalTheme"
-              />
+              android:resource="@style/NormalTheme" />
             <intent-filter>
                 <action android:name="android.intent.action.MAIN"/>
                 <category android:name="android.intent.category.LAUNCHER"/>
             </intent-filter>
         </activity>
+
+        <!--
+          VPN 服务（骨架）。
+          android:permission="android.permission.BIND_VPN_SERVICE" 确保只有系统可 bind。
+          intent-filter android.net.VpnService 是 VpnService 规范要求。
+          TODO(11E): 启用后在设备上需用户授权 VPN 权限（VpnService.prepare()）。
+        -->
+        <service
+            android:name=".PangolinVpnService"
+            android:exported="false"
+            android:permission="android.permission.BIND_VPN_SERVICE">
+            <intent-filter>
+                <action android:name="android.net.VpnService" />
+            </intent-filter>
+        </service>
+
         <meta-data
             android:name="flutterEmbedding"
             android:value="2" />