feat(M2): SSH 密钥管理 — 公钥上传/重命名/吊销、authorized_keys 原子同步与吊销即时失效

- KeyService：crypto/ssh 解析校验（单行/类型/长度/去重指纹，拒 ssh-dss 与 RSA<2048），
  Create/Rename/Revoke/List，变更后以 DB 状态全量重写 authorized_keys（同步失败回滚）
- system 层：SyncAuthorizedKeys 完善 —— sudo 模式经白名单命令（mkdir/chown/chmod/install）
  落位并修正属主（sshd StrictModes），direct 模式 root 时同样修正属主；dry-run 计划日志
- API：GET/POST /me/keys、PATCH/DELETE /me/keys/:id（user 会话）、GET /users/:id/keys（admin），
  密钥操作带审计；deploy/sudoers.example 补充密钥同步白名单
- 版本 0.3.0-m2；测试：service 单元（校验/生命周期/回滚/权限）、system 直写落盘、
  API 全流程集成；容器 E2E 32 项 PASS（真实 useradd/authorized_keys/吊销即时失效/禁用清空/删除回收）

internal/router/router.go

@@ -54,6 +54,16 @@ func New(cfg *config.Config, h *api.Handler, sessions auth.SessionStore, log *sl
 			users.POST("/:id/enable", h.User.Enable)
 			users.POST("/:id/extend", h.User.Extend)
 			users.DELETE("/:id", h.User.Delete)
+			users.GET("/:id/keys", h.Key.ListForUser)
+		}
+
+		// 我的密钥（外部用户，自助管理；仅用户上传，管理员不代签）
+		me := v1.Group("/me", sessionMiddleware(sessions), requireUserType(auth.SessionUserUser))
+		{
+			me.GET("/keys", h.Key.ListMine)
+			me.POST("/keys", h.Key.Create)
+			me.PATCH("/keys/:id", h.Key.Rename)
+			me.DELETE("/keys/:id", h.Key.Revoke)
 		}
 
 		// 后续里程碑