feat(ca): 认证独立化 CA 模块 v1.0.0 + gateway v0.9.0 纯转发瘦身

拓扑：waf:443 → ca:8443（认证+前置转发）→ gateway:8445（仅 loopback 纯转发），
WAF upstream 不变，core/dnfs2/前端零改动。

ca v1.0.0（新模块）：
- 认证资产逐字搬迁自 gateway v0.8.0（9 条认证路由、Token 双轨吊销、
  PBKDF2、限流、WS 代理鉴权、wrapperHttp、优雅关闭）
- handleForward 前置转发层：固定上游 gateway:8445；无 Target-Url 公开直转，
  有则本地验签后注入 X-Auth-User/X-Auth-Admin/Authorization（strip-then-set）
- is_special_header 新增剥离 x-auth-user/x-auth-admin；上游不可达统一 502
- confs/configs/ca.ini 新增（[Upstream] gateway + UPSTREAM_GATEWAY env）

gateway v0.9.0（2470→约 560 行）：
- 删除全部认证代码，退居 127.0.0.1:8445
- 启动 loopback 强制自检（非 loopback 拒绝启动）
- X-Auth-User 存在性不变量：显式 Target-Url 无该头一律 401
- gateway.ini 精简至 [Server]/[Proxy]/[Downstream db]

验收：黑盒 34 断言对 8443 原样全绿（32 passed/2 skipped，与基线一致）；
探针实测伪造 X-Auth-User 经 CA 被剥离（echo 实证）、直连 8445 无头 401、
白名单外 403、gateway 宕机 CA 502。core/init.txt 加入 ca/_run.sh。

ca/inc/DbC.hpp

@@ -0,0 +1,57 @@
+#pragma once
+#include <us/HttpClient.hpp>
+#include <us/Msg.hpp>
+#include <boost/json.hpp>
+namespace qing {
+	namespace json = boost::json;
+	class DbC {
+		public:
+			/* 本机 db 轻量查询的默认超时（秒）；慢操作由调用方显式放宽。
+			 * smtp/captcha 等其他下游的超时常量见 main.cpp。 */
+			static constexpr double DEFAULT_TIMEOUT = 5.0;
+
+			/// 初始化 db 服务地址（启动时从配置设置，默认 127.0.0.1:8005）
+			static void init(const std::string& host, int port) {
+				_host = host;
+				_port = port;
+			}
+
+			// 【保留】旧版 HTTP 接口：通过 HttpClient POST 到 dbv2 HTTP /execute 端点。
+			// 保留用于兼容性参考，新代码优先使用 call_msg()（pymsg TCP 协议，更可靠）。
+			static json::value call_http(json::value& params) {
+				
+				auto client = pmc::net::HttpClient();
+				client.set_header("Content-Type: application/json");
+				std::string payload = json::serialize(params);
+				std::string res = "";
+				std::string url = "http://" + _host + ":" + std::to_string(_port) + "/execute";
+				client.post_stream_sync(url, payload, [&res](const auto& ret) {
+						res += ret;
+				});
+				return json::parse(res);
+			}
+
+			// 新版 pymsg 接口：通过 MsgClient（TCP 长度前缀帧协议）调用 dbv2。
+			// 自动添加 _route = "execute"，返回 dbv2 pymsg 完整 JSON 响应
+			//   {"success":..., "data":[...]}。
+			// 响应格式与 call_http 兼容，调用方可直接替换。
+			// db 是强依赖，启用 retry_on_refused：db 未启动时阻塞等待，避免启动顺序问题。
+			static json::value call_msg(const json::value& params,
+					double timeout = DEFAULT_TIMEOUT) {
+				json::value jv_route = params;
+				jv_route.as_object()["_route"] = "execute";
+				pmc::net::MsgClient client(_host, _port, "ca");
+				std::string resp = client.call(
+					json::serialize(jv_route), timeout,
+					/*retry_on_refused=*/true);
+				return json::parse(resp);
+			}
+
+			static const std::string& host() { return _host; }
+			static int port() { return _port; }
+
+		private:
+			static inline std::string _host = "127.0.0.1";
+			static inline int _port = 8005;
+	};
+}