fix(promtail): 修 Sprintf 缺参导致清单非法 + Ingress 模板固定命名空间 + 资源名去 opsxloki

=== 一、致命 bug：Promtail 清单第 10 个 %s 缺参数（导致日志采集中断）===
go vet 报："format %s reads arg #10, but call has 9 args"。
模板里 DaemonSet 的 `namespace: %s`（第 9 个）和 `image: %s`（第 10 个）
是两个独立占位符，但 Sprintf 只传了 9 个参数，第 10 个变成 %!s(MISSING)，
整个多文档 YAML 解析失败：
  "解析 Kubernetes YAML: yaml: line 23: found character that cannot start any token"

而 installDaemonset 是「先删 daemonset/configmap/serviceaccount 再 apply」，
所以每次失败都会把上一份 Promtail 删掉却不重建 → 日志采集中断。

修复：
1) Sprintf 补上 DaemonSet 命名空间参数（第 9 位）
2) 新增 validateManifest()：在删旧资源之前先本地解析校验清单，
   校验不过直接中止、不碰任何现有资源 —— 让模板错误永远不会再打断采集
3) 新增回归测试 promtail_manifest_test.go：用平台同一套
   YAMLOrJSONDecoder 解析 3 种参数组合，断言各解析出 5 个对象且无 TAB

=== 二、快捷 LogQL：Ingress 访问日志不再跟随所选命名空间 ===
原实现：next = applyLabelFilter(next,'namespace', namespace.trim() || 'ingress-nginx')
→ 选了 monitor 就生成 {namespace="monitor"} |= "HTTP/"，查不到任何日志
  （ingress controller 的 Pod 只在 ingress-nginx 命名空间里）

修复：ingress 模板独立处理
  - 固定用 ingress controller 命名空间（ingress-nginx，缺失则回退 ingress）
  - 不叠加当前选中的 app / pod 过滤（那些属于业务服务）
  - 结果是 {namespace="ingress-nginx"} |= "HTTP/"

=== 三、K8s 资源名去掉 opsxloki ===
ClusterRole / ClusterRoleBinding：opsxloki-promtail → loki-promtail
- PromtailDaemonsetYAML 里 3 处 name 全部改名
- uninstallDaemonset 同步改名，并保留对旧名 opsxloki-promtail 的兼容清理，
  避免升级后留下孤儿 ClusterRole
- 集群侧已实测：新建 loki-promtail，旧的 opsxloki-promtail 已删除

保留的 opsxloki（有兼容性约束，改动会丢数据/掉登录）：
- Go module 导入路径 opsxloki/xxx（149 处，纯内部包名）
- 数据文件 opsxloki.json（改了读不到历史数据）
- 前端 localStorage key opsxloki.auth.* / opsxloki.theme.* 等（改了在线用户掉登录）
- Dockerfile 里的 opsxloki 系统用户/二进制名

镜像：lghost/lokistack:latest + v0.1 = sha256:4a5590580cbb

backend/services/collector_deployer.go

@@ -200,12 +200,20 @@ func (d *CollectorDeployer) installDaemonset(ctx context.Context, endpoint strin
 		clusterName = cluster.Name
 	}
 
+	manifest := PromtailDaemonsetYAML(ns, endpoint, clusterName, d.collector.Labels,
+		d.collector.TargetNamespaces, d.collector.AppLabelSource, d.collector.AppInclude)
+
+	// 关键顺序：先本地校验清单，再删旧资源。
+	// 否则模板有误时会出现「旧 DaemonSet 已删、新的建不出来」→ 日志采集直接中断。
+	if err := validateManifest(manifest); err != nil {
+		d.log("error", fmt.Sprintf("生成的 Promtail 清单无效，已中止且未改动现有资源: %v", err), "")
+		return fmt.Errorf("Promtail 清单校验失败（现有采集器未受影响）: %w", err)
+	}
+
 	// 删除历史残留并通过 Kubernetes API 提交资源。
 	for _, kind := range []string{"daemonset", "configmap", "serviceaccount"} {
 		_ = deleteK8sResource(ctx, cluster, kind, ns, "promtail")
 	}
-	manifest := PromtailDaemonsetYAML(ns, endpoint, clusterName, d.collector.Labels,
-		d.collector.TargetNamespaces, d.collector.AppLabelSource, d.collector.AppInclude)
 	if err := d.applyYAML(ctx, nil, manifest, "promtail"); err != nil {
 		return err
 	}
@@ -245,7 +253,13 @@ func (d *CollectorDeployer) uninstallDaemonset(ctx context.Context) error {
 	if ns == "" {
 		ns = "log"
 	}
-	for _, item := range [][2]string{{"daemonset", "promtail"}, {"configmap", "promtail"}, {"serviceaccount", "promtail"}, {"clusterrole", "opsxloki-promtail"}, {"clusterrolebinding", "opsxloki-promtail"}} {
+	// clusterrole / clusterrolebinding 用 loki-promtail；
+	// 旧版本曾用 opsxloki-promtail，这里一并清理以免升级后留下孤儿资源。
+	for _, item := range [][2]string{
+		{"daemonset", "promtail"}, {"configmap", "promtail"}, {"serviceaccount", "promtail"},
+		{"clusterrole", "loki-promtail"}, {"clusterrolebinding", "loki-promtail"},
+		{"clusterrole", "opsxloki-promtail"}, {"clusterrolebinding", "opsxloki-promtail"},
+	} {
 		if err := deleteK8sResource(ctx, cluster, item[0], ns, item[1]); err != nil {
 			return err
 		}