feat(server): Hy2 自签 TLS 证书(方案①)— 补全 hysteria2 入站可用

Hy2 跑在 QUIC 上、强制 TLS,需服务端证书(不像 REALITY 借大站证书)。此前
handler_grpc 只发 ListenPort、cert 路径为空 → hysteria2 入站起不来。改为节点自签:

- agentd/hy2cert.go: ensureSelfSignedCert 生成 ECDSA P-256 自签证书到
  /etc/sing-box/hy2.{crt,key}(幂等,缺失才生成;key 0600;SAN=reality SNI)
- singbox.go: writeAndRestart 渲染前对启用 hy2 的节点 ensure 证书并把
  CertPath/KeyPath 写回 hy2 配置
- httpapi/clientconfig.go: hy2 出站 TLS 加 insecure:true + server_name,收自签
  (两端自有,服务端鉴权靠 per-user 派生的 hy2 密码)

验证:单元测试(证书可被 crypto/tls 加载/幂等/0600)+ sing-box check 接受自签 hy2 入站。
注:节点实际启用 hy2 还需配 Hy2Port + 放行 UDP(单独步骤)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

server/internal/httpapi/clientconfig.go

@@ -80,8 +80,12 @@ func BuildClientConfig(node *nodes.NodeRow, dpUUID, deriveKey string) ([]byte, e
 		"server_port": node.Hy2Port.Int32,
 		"password":    hy2Password,
 		"tls": map[string]any{
-			"enabled": true,
-			"alpn":    []string{"h3"},
+			"enabled":     true,
+			"alpn":        []string{"h3"},
+			"server_name": node.RealitySNI,
+			// 节点 hy2 用自签证书(方案①);两端自有,跳过 CA 校验,
+			// 服务端鉴权靠 per-user 派生的 hy2 密码。
+			"insecure": true,
 		},
 	}