feat(cluster): 集群化落地 —— Manager/Worker 拆分 + 归属租约 + 跨机验证（T08）

背景：把平台从「单机单进程」改造成「1 组 Manager + N 台 Worker + 共享归属状态」，
硬约束 = 全程兼容单例模式（deployMode 默认 local；生产切换前 47 一行未动）。

主要改动
1) 数据模型 v7（SQLite 与 PG 两方言同步）：新增 dsh_hosts 注册表 +
   dsh_instances.{host_id,epoch,heartbeat_at,lease_until}；claimInstance 原子抢占
   （UPDATE … WHERE host_id IS NULL OR lease_until < now）+ pinInstanceHost 钉住归属。
2) 租约与 fencing：src/supervisor/lease.ts（acquire/renew/release + stillHolder 判据 +
   ttl > 2×renew 硬校验）；心跳里续租，失权即向 worker 下发更高 epoch（self-fencing）。
   ⚠️ release 只清租约（lease_until），**保留 host_id** —— host_id 是「用户数据在哪台」的锚点。
3) Worker agent（src/worker/agent.ts，子命令 dshs worker）：实例生命周期 + 文件面 /fs/*
   + 幂等键（operationId）+ 鉴权（timingSafeEqual）；Worker 不写控制面数据
   （apiKey/uid 由 Manager 随 launch 投递，R5 收窄）。
4) 远端 Spawner + LeasedSpawner：按 host 路由（**粘性优先**：有历史归属且那台 up 就留在原地，
   否则按容量选最空的）+ 容量准入 + deployMode=cluster 装配（systemd drop-in，可回滚）。
5) bwrap 修正：**所有挂载点的中间目录统一前置 + 去重 + 由外到内**（「就近创建」会在嵌套前缀下
   遮掉已绑挂载点 ⇒ bwrap: Can't chdir）；且**只能用 --tmpfs**，用 --perms 会让 47 的
   bwrap 0.4.0 直接拒启动（沙箱全挂）。
6) 跨机隧道 src/worker/tunnel.ts：SSH ControlMaster + 动态 -R 转发；**自愈由 agent 本地
   20s 定时器驱动**（不能只放 /healthz —— 心跳本身经隧道进来，断了就没人触发它）。
7) 文件面按归属路由（RemoteUserFs）：实例与文件必须落在同一台机器，否则实例看不到自己的文件。
8) 观测面：dshs doctor / dshs cluster status。

验证（本次均已实跑）
- test/lease.test.mjs：SQLite 10/10 == PG 10/10
- 组件级端到端 5 个：verify-cluster-{agent,lease,fs,migrate,live}.mjs
- 真跨机（47 Manager / 106 Worker，跨云 + 反向隧道）verify-cluster-cross.mjs 九步全绿
- 域名形态访问 verify-cluster-domain.mjs（<user>.域名 → Manager → 远端实例；越权 403）
- 冒烟 scripts/smoke-*：6/8，失败项与改动前基线完全相同（无回归）
- 生产切换与回滚剧本见 dsh-server-docs/交接单/T08-集群化落地-兼容单例模式.md §16

src/db/schema.ts

@@ -292,6 +292,59 @@ ALTER TABLE credential_vault ADD COLUMN models TEXT;
 ALTER TABLE users ADD COLUMN shared_model_enabled INTEGER NOT NULL DEFAULT 1;
 `
 
+// v7: 集群化 —— worker 注册表 + 实例归属/租约（T08 S2；设计 §3.1/§3.2）。
+//
+// 为什么需要它：local 模式靠"进程内 Map + 单机"天然保证「一个用户只有一个活实例」；
+// 多机后这个保证必须落到 DB 的**原子 CAS** 上，否则两个 worker 会同时写同一个
+// `$DSH_HOME`（会话日志 append 冲突 ⇒ 数据损坏）。
+//
+//   · `dsh_hosts` = worker 注册表：agent 地址、容量、水位、心跳时间。
+//   · `dsh_instances.{host_id, epoch, heartbeat_at, lease_until}` = 归属与租约。
+//     `epoch` 是 **fencing token**：抢占时 +1，旧持有者的写入据此被拒（防脑裂双写）。
+//
+// 抢占语义（两方言同款，见 `repo.ts` 的 claimInstance / `pg.ts` 同名方法）：
+//   `INSERT … ON CONFLICT(id) DO UPDATE SET … WHERE host_id IS NULL OR lease_until < now`
+//   —— 冲突时仅在"无人持有或租约过期"才更新；否则**不动行也不报错**，
+//   调用方以「受影响行数 0」判定"有人在管"。
+// ⚠️ 时间戳一律 **epoch 毫秒 BIGINT**（与全库一致，勿用 timestamptz）。
+const SQLITE_V7 = `
+CREATE TABLE IF NOT EXISTS dsh_hosts (
+  id             TEXT PRIMARY KEY,
+  endpoint       TEXT NOT NULL,
+  agent_token    TEXT NOT NULL,
+  capacity_mb    INTEGER NOT NULL DEFAULT 0,
+  used_mb        INTEGER NOT NULL DEFAULT 0,
+  status         TEXT NOT NULL DEFAULT 'up'
+                 CHECK (status IN ('up','draining','down')),
+  last_heartbeat INTEGER
+);
+ALTER TABLE dsh_instances ADD COLUMN host_id      TEXT;
+ALTER TABLE dsh_instances ADD COLUMN epoch        INTEGER NOT NULL DEFAULT 0;
+ALTER TABLE dsh_instances ADD COLUMN heartbeat_at INTEGER NOT NULL DEFAULT 0;
+ALTER TABLE dsh_instances ADD COLUMN lease_until  INTEGER NOT NULL DEFAULT 0;
+CREATE INDEX IF NOT EXISTS idx_dsh_instances_host  ON dsh_instances (host_id);
+CREATE INDEX IF NOT EXISTS idx_dsh_instances_lease ON dsh_instances (lease_until);
+`
+
+const PG_V7 = `
+CREATE TABLE IF NOT EXISTS dsh_hosts (
+  id             TEXT PRIMARY KEY,
+  endpoint       TEXT NOT NULL,
+  agent_token    TEXT NOT NULL,
+  capacity_mb    BIGINT NOT NULL DEFAULT 0,
+  used_mb        BIGINT NOT NULL DEFAULT 0,
+  status         TEXT NOT NULL DEFAULT 'up'
+                 CHECK (status IN ('up','draining','down')),
+  last_heartbeat BIGINT
+);
+ALTER TABLE dsh_instances ADD COLUMN host_id      TEXT;
+ALTER TABLE dsh_instances ADD COLUMN epoch        BIGINT NOT NULL DEFAULT 0;
+ALTER TABLE dsh_instances ADD COLUMN heartbeat_at BIGINT NOT NULL DEFAULT 0;
+ALTER TABLE dsh_instances ADD COLUMN lease_until  BIGINT NOT NULL DEFAULT 0;
+CREATE INDEX IF NOT EXISTS idx_dsh_instances_host  ON dsh_instances (host_id);
+CREATE INDEX IF NOT EXISTS idx_dsh_instances_lease ON dsh_instances (lease_until);
+`
+
 interface Migration {
   version: number
   name: string
@@ -306,6 +359,7 @@ const MIGRATIONS: readonly Migration[] = [
   { version: 4, name: 'instance desired state', sqlite: SQLITE_V4, pg: PG_V4 },
   { version: 5, name: 'business plugin candidate pool', sqlite: SQLITE_V5, pg: PG_V5 },
   { version: 6, name: 'user model providers', sqlite: SQLITE_V6, pg: PG_V6 },
+  { version: 7, name: 'cluster host registry + instance lease', sqlite: SQLITE_V7, pg: PG_V7 },
 ]
 
 /** Apply unapplied SQLite migrations inside a single transaction. */