feat: 运维标杆化打磨 P0/P1/P2 —— 审计日志、真实指标、备份恢复、菜单收敛

审计发现 5 处硬伤（/metrics 空壳、零备份、prod 双副本数据分裂、零审计、资源偏紧），
本轮全部落地。

=== P0-1 真实 /metrics（原来是空壳）===
原实现只返回一行注释 `# LokiStack Metrics`，注释却写着"可被 Prometheus 抓取"，
平台挂了/DB 写不进去/告警引擎卡死都只能靠用户反馈。
现接入 prometheus/client_golang，四层指标：
  HTTP    : lokistack_http_requests_total / _duration_seconds / _in_flight_requests
  存储    : lokistack_db_size_bytes / _db_save_duration_seconds / _db_save_total / _db_records
  业务    : lokistack_deployments{status,mode} / lokistack_collectors{status,type,run_mode}
  后台任务: lokistack_alert_evaluations_total / _duration_seconds / lokistack_loki_queries_total
  + go_* / process_*（GoCollector、ProcessCollector）

关键点：path 标签用 c.FullPath() 路由模板，不用原始 URL —— 否则 117 个 Deployment
会把 Prometheus 基数炸掉。指标定义下沉 pkg/metrics 叶子包，避开
services ↔ repository 循环依赖。

=== P0-2 备份与恢复（原来 0 处代码）===
平台全部状态在 /app/data/opsxloki.json（51KB）+ kubeconfigs/ + known_hosts/，
DB 丢了 = 失去"这些资源是谁建的"的映射，从此无法管理/卸载/升级在跑的 Loki。

  CLI : lokistack backup --output <path> / restore <pkg> / self-check / version
  API : GET /system/backup（下载）/ POST /system/restore（校验暂存）/
        POST /system/restore/apply（确认应用）/ GET /system/backups
  K8s : kubernetes/pdb-backup.yaml —— 每日 03:30 CronJob，保留最近 7 份

安全设计：
  - manifest.json 记录 ENCRYPTION_KEY 的 sha256 前 16 位**指纹**，用于恢复时
    校验"这把钥匙能不能解开这份备份"，不泄露密钥本身
  - 恢复分两步（校验暂存 → 确认应用），应用前自动把当前 DB 备份为
    opsxloki.json.before-restore.<时间戳>
  - 包内不含明文密钥（kubeconfig 本就是加密态）

=== P0-3 prod compose 双副本 → 单副本 ===
lokistack-1 / lokistack-2 各挂独立数据卷 + nginx 轮询 = 数据分裂：
页面刷新两次可能看到不同结果，写操作只落一个副本。不是高可用。
已改单实例（nginx 仅做反代），文件顶部与 nginx.conf 都写明原因。

=== P0-4 操作审计日志（借鉴 /usr/local/src/aiops 的字段口径）===
aiops 是每个 controller 各写 recordXxxAudit()；本平台有 60+ 写接口，
逐个埋点必然漏，漏掉的那个恰好最危险（删集群、改存储凭证）。
改为 **gin 中间件统一记录** + handler 通过 SetAudit 补充业务语义：
  models/audit.go     : 字段对齐 aiops，另加 Method/Path/Before/After
  services/audit.go   : 写入 + 90 天/2 万条自动裁剪 + 脱敏 + diff 生成
  middleware/audit.go : 自动识别 module/action/resource，跳过只读接口
  controllers/audit.go: 列表/详情/统计（仅 admin）
敏感字段（password/secretKey/privateKey/token）写入前统一替换为 ***。

=== P1 稳定性 ===
- 平台资源 1C/1Gi → 4C/4Gi 限（500m/512Mi 请求）：JSON DB 全量读写 +
  每分钟告警评估 + 批量发布并发，1Gi 会 OOM
- terminationGracePeriodSeconds: 30 —— 收到 SIGTERM 要等 DB 完整落盘，
  否则 kubelet SIGKILL 会把 JSON 写一半（全库丢失）
- liveness timeoutSeconds 10s（默认 1s 写盘时会被误杀）
- PDB minAvailable: 0 —— 让 kubectl drain 正确等待重建，不卡维护
- DB schemaVersion + migrateSchema() 版本递进迁移（原先加字段全靠零值兜底）
- scripts/release.sh —— 不可变 tag <版本>-<日期>-<commit> + IfNotPresent，
  根治 latest 并发构建互相覆盖导致的静默回滚（本项目已实际踩过）
- PVC 保持 30Gi（按长期增长预留，云盘单价低，不做在线扩容）

=== P2 易用性 ===
- 一键自检 GET /system/self-check + 仪表盘自检卡：真实探活 Loki /ready、
  集群凭据解密、磁盘空间、主机状态、近 24h 失败操作
- 审计日志页 /audit：统计卡 + 用户名/模块/结果筛选 + 变更前后 diff 弹窗
- 菜单收敛 13 → 7（页内 tab 切换，URL 全部不变）：
    资源接入 = 集群 + 主机 + 存储
    日志服务 = Loki 实例 + 采集器
    日志     = 查询 + 分析
    系统管理 = 用户 + 审计 + 设置
  新增 GroupTabs 组件 + meta.group/groupKey，侧栏按分组去重并正确高亮

测试：go vet 通过、go test 全绿、tsc 通过

backend/repository/db.go

@@ -3,6 +3,7 @@ package repository
 import (
 	"encoding/json"
 	"fmt"
+	"log"
 	"os"
 	"path/filepath"
 	"sync"
@@ -10,6 +11,7 @@ import (
 
 	"lokistack/config"
 	"lokistack/models"
+	"lokistack/pkg/metrics"
 )
 
 // saveRequest 表示一个保存请求，通过channel序列化
@@ -35,6 +37,14 @@ type JsonDB struct {
 	AlertDeliveries []models.AlertDelivery  `json:"alertDeliveries"`
 	NotifyChannels  []models.NotifyChannel  `json:"notifyChannels"`
 	LogPolicyGroups []models.LogPolicyGroup `json:"logPolicyGroups"`
+	// AuditLogs 操作审计日志（保留期 90 天 / 上限 2 万条，见 services.auditRetention）
+	AuditLogs []models.AuditLog `json:"auditLogs"`
+
+	// SchemaVersion 数据结构版本号。
+	// 之前加字段全靠 JSON 反序列化的零值兜底，字段一多必然出事
+	// （例如新增 ScrapeJobs 时老数据要手写兼容）。有了版本号，
+	// 以后的结构变更可以在 InitDB 里按版本号顺序迁移，可测、可回滚。
+	SchemaVersion int `json:"schemaVersion"`
 	sequences       map[string]uint
 
 	// 防抖保存机制
@@ -51,6 +61,41 @@ func GetDB() *JsonDB {
 	return db
 }
 
+// CurrentSchemaVersion 当前数据结构版本。
+// 每次做**不兼容**的结构变更时 +1，并在 migrateSchema 里补一段迁移逻辑。
+//
+//	v0/v1（无字段）→ 1：新增 auditLogs / schemaVersion（老库走零值兜底即可，无需处理）
+//	v1 → 2：预留示例（如把 ScrapeJobs 从 logPath 拆分时，需按旧结构生成默认 job）
+const CurrentSchemaVersion = 1
+
+// migrateSchema 按版本号顺序迁移老库。返回是否发生了迁移（需要回写）。
+func (d *JsonDB) migrateSchema() bool {
+	if d.SchemaVersion >= CurrentSchemaVersion {
+		return false
+	}
+	from := d.SchemaVersion
+
+	// 逐版本递进，每段只处理"上一版 → 下一版"的差异，
+	// 不要写成 if version < X 的叠加判断，否则分支会指数增长。
+	for d.SchemaVersion < CurrentSchemaVersion {
+		switch d.SchemaVersion {
+		case 0:
+			// v0 → v1：补审计表；老库没有 auditLogs 字段，反序列化后为 nil，
+			// 这里显式初始化，避免后续 append 到 nil 之外还留着 nil 判断。
+			if d.AuditLogs == nil {
+				d.AuditLogs = []models.AuditLog{}
+			}
+			d.SchemaVersion = 1
+		default:
+			// 防御：出现未知版本（比当前代码还新）时不乱动，避免降级把数据写坏
+			log.Printf("[schema] 数据库版本 %d 高于当前代码支持版本 %d，跳过迁移", d.SchemaVersion, CurrentSchemaVersion)
+			return false
+		}
+	}
+	log.Printf("[schema] 数据结构已从 v%d 迁移到 v%d", from, d.SchemaVersion)
+	return true
+}
+
 func InitDB() error {
 	cfg := config.GetConfig()
 	_ = os.MkdirAll(cfg.DataDir, 0700)
@@ -70,6 +115,8 @@ func InitDB() error {
 		AlertDeliveries: []models.AlertDelivery{},
 		NotifyChannels:  []models.NotifyChannel{},
 		LogPolicyGroups: []models.LogPolicyGroup{},
+		AuditLogs:       []models.AuditLog{},
+		SchemaVersion:   CurrentSchemaVersion,
 		sequences: map[string]uint{
 			"users":           0,
 			"clusters":        0,
@@ -131,12 +178,14 @@ func InitDB() error {
 	}
 
 	migratedLogAccess := migrateLogAccessToGroups(d)
+	// 结构版本迁移（审计表、采集项等新字段的兼容处理）
+	migratedSchema := d.migrateSchema()
 	// 启动序列化保存goroutine
 	d.wg.Add(1)
 	go d.saveWorker()
 
 	db = d
-	if migratedLogAccess {
+	if migratedLogAccess || migratedSchema {
 		d.RequestSave()
 	}
 	return nil
@@ -247,6 +296,14 @@ func (d *JsonDB) saveWorker() {
 
 // doSave 执行实际的原子文件写入
 func (d *JsonDB) doSave() error {
+	start := time.Now()
+	err := d.doSaveInner()
+	// JSON DB 是全量写盘，落盘耗时是平台最主要的延迟来源之一，必须可观测
+	metrics.ObserveDBSave(time.Since(start).Seconds(), err == nil)
+	return err
+}
+
+func (d *JsonDB) doSaveInner() error {
 	d.mu.RLock()
 	data, err := json.MarshalIndent(d, "", "  ")
 	d.mu.RUnlock()
@@ -275,6 +332,7 @@ func (d *JsonDB) doSave() error {
 		os.Remove(tmpFile)
 		return err
 	}
+	metrics.DBSizeBytes.Set(float64(len(data)))
 
 	return nil
 }