feat: opsx-loki 全面升级 — 前端重构/用户与LDAP/部署向导/日志查询

基于 WEB-UI-Development-Guide 标准的整体升级,并更名 LokiDeploy → opsx-loki。

前端(Gin+React+shadcn/ui):
- 按 02/07 章重构:页面域化拆分(无超 400 行文件)、PageContainer/ListQuery、
  反馈分级(成功静默/失败 toast/危险确认)、401 单飞刷新+队列重放
- 暗色模式(next-themes)+ 语义 Token(--primary 品牌色/success/warning/info)
- 部署向导(状态推导四步:环境→存储→Loki→采集,内嵌表单闭环)
- 日志查询页:LogQL 标签构建器/拖拽直方图/日志上下文/Live Tail/查询历史
- 按用户+标签策略的查询授权(服务端强制合并策略)

后端(Go+Gin+JSON DB):
- 简单用户管理(仅 admin,无 RBAC)+ TokenVersion 会话吊销 + 登录 IP 限流
- LDAP 接入:配置(AES 加密存储/hasPassword 脱敏)/测试连接/批量导入/登录
- 存储配置测试连接(SigV4 零依赖)+ 桶不存在自动创建
- Loki 三模式部署修复:SSH 密钥认证、3.x 配置模板、ruler 对象存储嵌套块、
  凭证解密、孤儿 deploying 状态恢复、Grafana 部署(可选默认关)+面板导入
- DaemonSet 采集纯 YAML(去 helm 依赖)+ DNS 自愈回退 ClusterIP + 集群名标签
- 日志查询代理:cluster-svc 经 kube-apiserver proxy/url 直连 + cursor 翻页
- 统一 log 命名空间;部署就绪探活;Grafana 访问地址自动记录

修复:run.sh 增量编译检测、Sanitized 脱敏补全、LokiDeployment Update 白名单、
健康检查 CreatedAt 零值等 10+ 存量 bug。

数据兼容:DB 沿用旧 lokideploy.json(新名优先);localStorage 一次性迁移;
HKDF 加密前缀保留(已加密凭证不受影响)。

backend/middleware/ratelimit.go

@@ -0,0 +1,84 @@
+package middleware
+
+import (
+	"net/http"
+	"sync"
+	"time"
+
+	"opsxloki/utils"
+
+	"github.com/gin-gonic/gin"
+)
+
+// ipLimiter 内存滑动窗口 IP 限流（借鉴 opsx-web-lite rate_limit.go 的简化版）。
+// 用于登录防爆破：超限返回 429。单实例部署下内存实现即可，无需外部存储。
+type ipLimiter struct {
+	mu      sync.Mutex
+	window  time.Duration
+	max     int
+	hits    map[string][]time.Time
+	lastSweep time.Time
+}
+
+func newIPLimiter(max int, window time.Duration) *ipLimiter {
+	return &ipLimiter{
+		window:  window,
+		max:     max,
+		hits:    make(map[string][]time.Time),
+	}
+}
+
+// Allow 记录一次命中并判断是否放行
+func (l *ipLimiter) Allow(ip string) bool {
+	l.mu.Lock()
+	defer l.mu.Unlock()
+
+	now := time.Now()
+	// 惰性清理过期记录，防止 map 无限增长
+	if now.Sub(l.lastSweep) > time.Minute {
+		for k, v := range l.hits {
+			kept := v[:0]
+			for _, t := range v {
+				if now.Sub(t) < l.window {
+					kept = append(kept, t)
+				}
+			}
+			if len(kept) == 0 {
+				delete(l.hits, k)
+			} else {
+				l.hits[k] = kept
+			}
+		}
+		l.lastSweep = now
+	}
+
+	history := l.hits[ip]
+	kept := history[:0]
+	for _, t := range history {
+		if now.Sub(t) < l.window {
+			kept = append(kept, t)
+		}
+	}
+	if len(kept) >= l.max {
+		l.hits[ip] = kept
+		return false
+	}
+	l.hits[ip] = append(kept, now)
+	return true
+}
+
+// LoginRateLimit 登录接口 IP 限流：max 次 / window 时长
+func LoginRateLimit(max int, window time.Duration) gin.HandlerFunc {
+	limiter := newIPLimiter(max, window)
+	return func(c *gin.Context) {
+		if !limiter.Allow(c.ClientIP()) {
+			c.JSON(http.StatusTooManyRequests, utils.Response{
+				Code:    http.StatusTooManyRequests,
+				Message: "登录尝试过于频繁，请稍后再试",
+			})
+			c.Abort()
+			return
+		}
+		c.Next()
+	}
+}