feat: 18 引擎驱动全家桶 + 驱动管理/离线包 + 设置中心 + 工作台交互打磨

驱动接入（全部本机真实例验收）：
- Elasticsearch 原生 SQL API、InfluxDB 原生 HTTP+Flux（官方 JDBC 付费许可，实测弃用）
- ZooKeeper/MongoDB JVM agent（连接时自动下载官方驱动 jar，sha256 钉版本到 ~/.opsxdb/drivers/）
- 达梦 JDBC agent 桥就绪（待厂商 jar+实例）；TiDB 真实例验收
- 协议族代码审查放行 PolarDB/TDSQL/OceanBase/Kingbase/GaussDB/Oracle
- 驱动能力模型：按驱动开关对象树分组/右键菜单/行编辑，NoSQL 树拍平（对象直挂库节点）

驱动管理：
- 驱动管理弹框（状态/预装/离线包导入/JDK 检测）+ /api/drivers/* 三接口
- opsxdb-driver 驱动商店仓库（清单/fetch.sh/pack.sh 离线包/import.sh）
- 连接时懒加载：DMG 零 Java 产物，首连自动下载（实测 ZK 九件套 1.35s），离线包自动回退

UI/交互：
- 设置中心（⚙）：常规/执行/结果/驱动/快捷键/关于，左导航+右面板（对标 opsxshell）
- 实例级展开箭头（行首 SVG chevron，替代字体回退失真的 Unicode 三角）
- 树内嵌套渲染修复：对象树挂在激活连接下；工具栏窄窗口不断行（按钮 nowrap+整颗换行）
- 侧栏连接行精简（图标+连接名）、SQLite SSH 守卫、Oracle 死参数清理

质量：
- Go 协议层/离线回退单测、E2E 门控测试（ES/ZK/Influx/Mongo/TiDB/JDBC 桥）
- 驱动注册表单一事实来源 connection-types.json，README/BACKLOG/AGENTS 同步

apps/server/internal/db/tls.go

@@ -30,6 +30,15 @@ func SSLEnabled(c ConnReq) bool {
 	return EffectiveSSLMode(c) != "disable"
 }
 
+// tlsServerNameFor 返回 TLS 校验用的 ServerName:显式 tlsServerName 优先,否则用 Host。
+// SSH 隧道把 Host 改写成 127.0.0.1 之前,ApplySSHTunnel 会把原 Host 存入 TLSServerName。
+func tlsServerNameFor(c ConnReq) string {
+	if v := strings.TrimSpace(c.TLSServerName); v != "" {
+		return v
+	}
+	return strings.TrimSpace(c.Host)
+}
+
 // tlsConfigFrom builds a *tls.Config from ConnReq paths/mode.
 // Returns (nil, nil) when SSL is disabled.
 func tlsConfigFrom(c ConnReq) (*tls.Config, error) {
@@ -41,7 +50,7 @@ func tlsConfigFrom(c ConnReq) (*tls.Config, error) {
 	cfg := &tls.Config{
 		MinVersion: tls.VersionTLS12,
 	}
-	if host := strings.TrimSpace(c.Host); host != "" {
+	if host := tlsServerNameFor(c); host != "" {
 		cfg.ServerName = host
 	}
 
@@ -56,14 +65,26 @@ func tlsConfigFrom(c ConnReq) (*tls.Config, error) {
 		return nil, fmt.Errorf("未知 SSL 模式: %s", mode)
 	}
 
-	if path := strings.TrimSpace(c.SSLCA); path != "" {
-		pem, err := os.ReadFile(path)
-		if err != nil {
-			return nil, fmt.Errorf("读取 CA 证书失败 (%s): %w", path, err)
+	caContent := strings.TrimSpace(c.SSLCAContent)
+	caPath := strings.TrimSpace(c.SSLCA)
+	if caContent != "" || caPath != "" {
+		// 内容优先于路径(免在服务端落盘/共享文件)
+		var pem []byte
+		if caContent != "" {
+			pem = []byte(caContent)
+		} else {
+			var err error
+			pem, err = os.ReadFile(caPath)
+			if err != nil {
+				return nil, fmt.Errorf("读取 CA 证书失败 (%s): %w", caPath, err)
+			}
 		}
 		pool := x509.NewCertPool()
 		if !pool.AppendCertsFromPEM(pem) {
-			return nil, fmt.Errorf("CA 证书不是有效 PEM: %s", path)
+			if caContent != "" {
+				return nil, fmt.Errorf("CA 证书内容不是有效 PEM")
+			}
+			return nil, fmt.Errorf("CA 证书不是有效 PEM: %s", caPath)
 		}
 		cfg.RootCAs = pool
 		if mode == "verify-ca" {
@@ -98,9 +119,21 @@ func tlsConfigFrom(c ConnReq) (*tls.Config, error) {
 		return nil, fmt.Errorf("verify-ca 模式需要填写 CA 证书路径")
 	}
 
+	certContent := strings.TrimSpace(c.SSLCertContent)
+	keyContent := strings.TrimSpace(c.SSLKeyContent)
 	certPath := strings.TrimSpace(c.SSLCert)
 	keyPath := strings.TrimSpace(c.SSLKey)
-	if certPath != "" || keyPath != "" {
+	if certContent != "" || keyContent != "" {
+		// 内容与路径二选一,各自成对:证书与密钥必须同时给
+		if certContent == "" || keyContent == "" {
+			return nil, fmt.Errorf("客户端证书与密钥需同时填写")
+		}
+		cert, err := tls.X509KeyPair([]byte(certContent), []byte(keyContent))
+		if err != nil {
+			return nil, fmt.Errorf("加载客户端证书内容失败: %w", err)
+		}
+		cfg.Certificates = []tls.Certificate{cert}
+	} else if certPath != "" || keyPath != "" {
 		if certPath == "" || keyPath == "" {
 			return nil, fmt.Errorf("客户端证书与密钥需同时填写")
 		}