feat(agent): 私有目的地 ACL 配置类型与 fail-closed 加载语义

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

server/internal/agentd/config.go

@@ -5,9 +5,15 @@
 // command feed by managing the local sing-box user table.
 //
 // No-state invariant (doc/04 §2, doc/06 §3): the agent persists ONLY the
-// credential table (dp_uuid + expires_at) to disk. It keeps zero user identities,
-// zero destination/DNS data and writes no access logs. A seized node leaks only
-// opaque dp_uuids, never accounts.
+// credential table (dp_uuid + expires_at) to disk. It keeps zero user identities
+// and writes no access logs. A seized node leaks only opaque dp_uuids, never
+// accounts.
+//
+// 例外(私有目的地 ACL):节点本地 acl.json 含一份 dp_uuid 白名单与目的地清单,
+// 由运营手工维护、不经控制面。它确实让节点知道「这几个 dp_uuid 享有私有访问权」
+// 以及那几个私有域名/端口 —— 这是知情接受的不变式弱化,范围仅限该文件与渲染出的
+// route 规则,不涉及账户身份,也不产生任何访问日志。设计见
+// docs/private-dest-acl-design.html §12。
 package agentd
 
 import (
@@ -58,6 +64,10 @@ type Config struct {
 	// 文件不存在 = WARP 未启用。渲染时读取,支持编辑后重启 agent 生效(#29)。
 	WarpConfigPath string
 
+	// ACLConfigPath 指向节点本地的私有目的地访问控制表(默认 <StateDir>/acl.json)。
+	// 文件不存在 = 该功能未配置。渲染时读取,SIGHUP agent 即可生效。
+	ACLConfigPath string
+
 	// DeriveKey keys the Hy2 password derivation (see DeriveHy2Password).
 	DeriveKey string
 
@@ -86,6 +96,9 @@ func (c Config) withDefaults() Config {
 	if c.WarpConfigPath == "" {
 		c.WarpConfigPath = filepath.Join(c.StateDir, "warp.json")
 	}
+	if c.ACLConfigPath == "" {
+		c.ACLConfigPath = filepath.Join(c.StateDir, "acl.json")
+	}
 	if c.HeartbeatInterval == 0 {
 		c.HeartbeatInterval = DefaultHeartbeatInterval
 	}
@@ -118,3 +131,7 @@ func (c Config) KeyPath() string   { return filepath.Join(c.StateDir, "node.key"
 func (c Config) CertPath() string  { return filepath.Join(c.StateDir, "node.crt") }
 func (c Config) CAPath() string    { return filepath.Join(c.StateDir, "ca.crt") }
 func (c Config) StatePath() string { return filepath.Join(c.StateDir, "state.json") }
+
+// ACLLastGoodPath 是最近一次成功加载的 ACL 快照,供 agent 冷启动时在 acl.json
+// 损坏的情况下兜底(fail-closed 跨重启成立的前提)。
+func (c Config) ACLLastGoodPath() string { return filepath.Join(c.StateDir, "acl.last-good.json") }