【规划】Issue #12 — mTLS 双向认证：穿透链路服务端验证客户端证书

[suantea]

背景

多节点场景下，需要确保只有授权的 frpc/easytier 节点能接入主干。当前仅靠 token 认证，存在 token 泄露风险。

目标

• 新增 mTLS 支持：服务端验证客户端 X.509 证书
• 自动生成 CA + 节点证书（基于 lego ACME 扩展）
• 节点 enrollment 使用一次性 token 换取证书（类似 portlyn 设计）
• 与 架构讨论：先统一线路接口、后插件化 — 模块化演进的轻路径（承接 #4） #11（per-route 认证）和 feat(cftunnel): 新增 Cloudflare Tunnel 穿透方式（cloudflared） #14（审计日志）联动

技术要点

• backend/service/cert/ca.go：新增 CA 签发模块
• backend/service/frp/manager.go：生成带 clientCertFile/clientKeyFile 的 frpc.toml
• service/oauth/enrollment.go：一次性 token 换证书流程